Hazai GDPR bírságok – 3. rész
A Hazai GDPR bírságok elnevezésű cikksorozatunkban összegyűjtjük és ismertetjük a Nemzeti Adatvédelmi és Információszabadság Hatóság által nyilvánosságra hozott, már a GDPR alapján kiszabott adatvédelmi bírságokkal kapcsolatos határozatokat. Cikkünkben részletesen bemutatjuk, miért szabott ki pénzbüntetést a NAIH, és hogy miképp folyt a vizsgálat.
Magánszemély által üzemeltetett kamerával folytatott adatkezelés (NAIH/2019/860)
A vizsgált kamerarendszer 4 db kamerából állt, melyből kettő álkamera volt. A kamerákat vagyon- és személybiztonsági célból helyezték üzembe, mivel a kötelezettek egy korábbi vita miatt fenyegetve érezték magukat. A kötelezettek az adatkezelés jogalapja kapcsán nem nyilatkoztak. Bár a kamerák – a kötelezettek nyilatkozatai szerint – maszkolási funkcióval vannak ellátva, de – az eljárással érintett időszakban – a szomszéd magánterületéről is készültek felvételek, illetve a közterület felé is irányuló kamera esetében nem került alkalmazásra a megfelelő maszkolás. A kamerák internetes eléréssel nem rendelkeznek és nem továbbítják az adatokat harmadik személy felé. A kötelezettek nyilatkozata szerint a kamerák elhelyezéséről az érintetteknek szóbeli tájékoztatást adtak.
Háztartási célú adatkezelés feltételeinek vizsgálata
Az ügyben a fő kérdés az volt, hogy az adatkezelésre kiterjed-e a GDPR hatálya vagy megvalósulnak-e a háztartási célú adatkezelés feltételei?
A GDPR 2. cikk (2) bekezdése alapján, a Rendelet nem alkalmazandó a személyes adatok kezelésére, ha azt: természetes személyek kizárólag személyes vagy otthoni tevékenységük keretében végzik.
Ezzel kapcsolatban a NAIH – hivatkozva a C‑212/13. sz. ügyben (Rynes-ügy) hozott EB ítéletre is – megállapította, hogy
“[…] a jelen eljárás tárgyát képező kamerás megfigyelés – abban a részében, amennyiben az adatkezelő magántulajdonán kívül eső területen tartózkodó személyekre is kiterjed –, nem esik az említett kivétel alá. Nem tekinthető ugyanis kizárólag személyes vagy otthoni tevékenység keretében végzett adatkezelésnek az a vagyonvédelmi célú kamerás megfigyelőrendszerrel végzett adatkezelés, amely az adatkezelést végző személy magánszféráján kívülre irányul.”
Megállapította továbbá a Hatóság azt is, hogy “[…] a Kötelezettek az általuk üzemeltetett kamerákkal oly módon készítenek képfelvételt, hogy annak maszkolási funkciója nem megfelelő, minek következtében a közterületet és más magánterületét is megfigyelik, az adatkezelésük nem minősülhet háztartási adatkezelésnek.“
Tekintettel arra, hogy az adatkezelésre a háztartási célú adatkezelésekre vonatkozó kivétel nem alkalmazható, így az adatkezelés a GDPR hatálya alá tartozik és az adatkezelés jogszerűségének feltétele valamely, a Rendelet 6. cikkében szabályozott jogalap fennállása. Ennek hiányában, a Hatóság megállapított az adatkezelés jogszerűtlenségét.
(A háztartási célú adatkezelésre vonatkozó kivétel kamerafelvételek kapcsán történő alkalmazására vonatkozóan lásd az Európai Adatvédelmi Testület – véleményezésre közzétett – 3/2019. sz. iránymutatásának 2.3. pontját is.)
Közös adatkezelés
A NAIH határozatának egy másik, sajnos nem túl részletesen kifejtett eleme, hogy az adatkezelés kapcsán megállapították a közös adatkezelés megvalósulását. A közös adatkezelés kérdésével a GDPR – az irányelvhez képest részletesebben – külön cikkben (26. cikk) foglalkozik és az elmúlt időszakban több Európai Bíróság által hozott ítélet foglalkozott a témával.
A Hatóság – a kötelezettek erre irányuló nyilatkozatában foglaltaktól eltérően – azt állapította meg: “[…] azáltal, hogy közösen üzemeltetik a kamerarendszert, annak felszereléséről közösen döntöttek, az adatkezelés célját közösen határozták meg, ezért […] szintén adatkezelőnek minősül és az Ügyfelek közös adatkezelést folytatnak a kamerarendszer alkalmazása során.”
Az ügyben az Adatvédelmi Hatóság nem szabott ki pénzbírságot, ellenben utasította a Kötelezetteket, hogy a határozat véglegessé válásától számított 30 napon belül a jogellenes kamerás megfigyelést szüntessék meg, adatkezelési műveleteiket hozzák összhangba a jogszabályi rendelkezésekkel azáltal, hogy a sérelmezett kamerák látószögét módosítják, illetve megfelelő maszkolási, torzítási funkciót alkalmaznak. Ezt a Kötelezettnek az intézkedés megtételétől számított 8 napon belül kellett írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé.
Forrás: gdpr.blog.hu