Bírságol a NAIH?

„Évek óta így működik a kamerarendszer.”
„Más is feltölt ilyen videókat.”
„Úgysem ellenőrzi senki.”
„Eddig még soha nem volt belőle probléma.”

Kamerás adatkezelésnél és videók közzétételénél gyakran elhangzanak ezek a mondatok. Az adatvédelmi hatósági eljárások következményei valamiért kevésbé vannak jelen a köztudatban, mint például egy NAV-ellenőrzésé. Ettől azonban még nagyon is léteznek.

A Nemzeti Adatvédelmi és Információszabadság Hatóság nyilvánosan elérhető határozatai között vállalkozásokat és magánszemélyeket érintő ügyek egyaránt találhatók. Az eljárások nemcsak kirívó visszaélések miatt indulhatnak: egy rosszul beállított kamera, egy hibás jogalap, a felvételekhez kapcsolódó kérelem félrekezelése vagy egy közösségi médiában közzétett felvétel is vezetett már elmarasztaláshoz.

A bírság nem csak nagyvállalatokat érinthet

A GDPR nem kizárólag vállalkozásokra és intézményekre vonatkozik. Egy természetes személy is adatkezelővé válhat, ha mások személyes adatait a saját, szűken értelmezett magánéleti vagy otthoni tevékenységén kívül kezeli.

Ez különösen akkor merülhet fel, ha valaki:

• közterületre vagy más ingatlanára irányít kamerát;
• más személyről készült felvételt tesz közzé;
• Facebook-csoportban, nyilvános oldalon vagy másoknak továbbít videót;
• a felvételt az eredeti magáncéljától eltérő módon használja fel.

A „magánszemélyként tettem fel” tehát önmagában nem jelent automatikus mentességet.

1. Fénykép közzététele Facebookon – 100 000 Ft bírság

Egy NAIH-ügyben egy természetes személy megfelelő jogalap nélkül készített és tett közzé egy másik személyt ábrázoló fényképet a Facebook-oldalán. A Hatóság megállapította többek között a jogszerűség, a célhoz kötöttség és az adattakarékosság elvének megsértését, elrendelte a kép törlését, és 100 000 Ft adatvédelmi bírságot szabott ki.

Az ügynek közéleti-politikai háttere volt ugyan, mégis világosan mutatja: természetes személy közösségimédia-közzététele is kerülhet a NAIH elé, és pénzbírsággal is végződhet.

Mit érdemes ebből megjegyezni?

Attól, hogy egy kép vagy videó valamilyen valós eseményt mutat be, még nem válik automatikusan szabadon közzétehetővé. A véleménynyilvánításra, közérdekre vagy tájékoztatásra történő hivatkozást is konkrétan alá kell tudni támasztani.

Egy videó közzététele előtt ezért érdemes megvizsgálni:

• szükséges-e a szereplő felismerhetősége;
• milyen célból tesszük közzé;
• milyen jogalap támasztja alá a felhasználást;
• csökkenthető-e a kockázat anonimizálással.

2. Magánkamera közterületre irányítva – 50 000 Ft bírság

Egy másik ügyben egy magánszemély ingatlanára felszerelt kamerák nemcsak a saját területet, hanem közterületet is rögzítettek. A felvételeken az arra közlekedők – köztük gyermekek – is láthatóvá váltak.

A NAIH kötelezte az adatkezelőt a jogellenes megfigyelés megszüntetésére, a kamerák átállítására, a korábbi felvételek törlésére, továbbá 50 000 Ft adatvédelmi bírságot szabott ki.

Mi volt a probléma?

Nem önmagában az, hogy az ingatlanon kamera működött. A gondot az okozta, hogy a megfigyelés túlnyúlt azon a területen, amelynek védelme indokolhatta a kamerázást.

A saját ház vagy kapubejáró védelme nem jelent korlátlan jogosultságot az utca, a járda, a szomszéd ingatlana vagy az arra közlekedők folyamatos rögzítésére.

Gyakorlati tanulság

A kamera fizikai elhelyezése nem elég. A tényleges képet kell ellenőrizni:

• pontosan meddig ér a látószög;
• látszik-e szükségtelenül közterület;
• felismerhetők-e járókelők vagy szomszédok.

3. Munkahelyi kamerázás hibás jogalappal – 500 000 Ft bírság

Egy vállalkozás az iroda-ügyfélváróban és a konyhában is kamerát működtetett. A NAIH megállapítása szerint a kamerák látószöge nem kizárólag a védeni kívánt vagyontárgyakra irányult, hanem alkalmas volt a munkavállalók indokolatlan megfigyelésére is.

Problémát jelentett az is, hogy a munkáltató a kamerázást a dolgozók hozzájárulására alapozta, és nem nyújtott megfelelő tájékoztatást az adatkezelésről. A Hatóság a kamerák látószögének, a szabályzatnak és a tájékoztatónak a módosítására kötelezte a céget, valamint 500 000 Ft adatvédelmi bírságot szabott ki.

Mit mutat ez az ügy?

Egy aláírt munkavállalói nyilatkozat nem tesz automatikusan jogszerűvé minden munkahelyi kamerát.

A munkaviszony alá-fölé rendeltsége miatt kérdéses lehet, hogy a munkavállaló hozzájárulása valóban önkéntes-e. Kamerás megfigyelésnél ezért jellemzően a munkáltató jogos érdekét, a megfigyelés szükségességét és a dolgozók jogait kell megfelelően megvizsgálni és dokumentálni.

A jogalap mellett a látószög is számít. Vagyonvédelemre hivatkozva sem indokolt automatikusan egy teljes pihenőhelyiség vagy munkaterület folyamatos megfigyelése.

4. Nem ismerték fel a kamerafelvételhez kapcsolódó kérelmet – 20 millió Ft bírság

Az egyik legnagyobb tanulságú ügyben nem elsősorban maga a kamera elhelyezése okozta a problémát, hanem az, ahogyan a vállalkozás a felvételhez kapcsolódó kérelmet kezelte.

Az érintett kérte, hogy betekinthessen a róla készült kamerafelvételbe, valamint azt is, hogy a releváns videót ne töröljék, mert bizonyítékként szüksége lehet rá. A vállalkozás azt válaszolta, hogy felvételt csak rendőrségi megkeresésre adhat ki, és nem ismerte fel megfelelően sem a hozzáférési, sem a megőrzésre irányuló kérelmet. Mire a megfelelő jogorvoslati lehetőség tisztázódott, a felvétel már nem állt rendelkezésre.

A NAIH azt is megállapította, hogy a társaságnál nem volt olyan megfelelő technikai és szervezeti rendszer, amely biztosította volna a kamerás érintetti kérelmek szabályos kezelését. Az ügyben 20 millió Ft adatvédelmi bírságot szabtak ki.

Miért fontos ez a cégeknek?

Mert hiába megfelelő a kamerák látószöge és hiába van tájékoztató a bejáratnál, ha a szervezet nem tudja, mit kell tenni, amikor valaki:

• betekintést vagy másolatot kér;
• kéri egy felvétel megőrzését;
• jogi igényre hivatkozik;
• anonimizált felvételt szeretne;
• a kérelme elutasításának indokát kéri.

A határozat szerint a vállalkozás nem háríthatta el automatikusan a megkeresést azzal, hogy felvételt csak a rendőrségnek ad ki. A kamerafelvételen szereplő személyt a GDPR alapján hozzáférési jog is megilletheti.

Ez az ügy látványosan bizonyítja, hogy a kamerás megfelelés nem ér véget a telepítésnél. A működő belső folyamat legalább annyira fontos, mint maga a technika.

5. Magánszemély által megosztott érzékeny felvétel – bírság nélkül is komoly következmény

Egy magánszemély titokban készített hangfelvételt egy óvodai megbeszélésről, majd azt egy Facebook-csoportban hozzáférhetővé tette, valamint több személynek e-mailben is továbbította. A felvételen egy gyermekre vonatkozó személyes és egészségi adatok is elhangzottak.

A NAIH jogsértést állapított meg, megtiltotta a felvétel további közlését, és kötelezte az adatkezelőt arra, hogy értesítse a címzetteket a felvétel törlésének szükségességéről. Ebben az ügyben pénzbírság helyett figyelmeztetést alkalmazott, ugyanakkor jelezte, hogy ellenőrizheti a határozat teljesítését, és egy későbbi jogsértésnél az előzményt fokozott súllyal veheti figyelembe.

A bírság hiánya nem azt jelenti, hogy „nem történt semmi”

A pénzbírság csak az egyik lehetséges következmény. A NAIH:

• megállapíthatja a jogsértést;
• megtilthatja a felvétel további használatát;
• elrendelheti a törlést;
• kötelezheti az adatkezelőt a címzettek értesítésére;
• előírhatja a kamerák vagy a belső folyamatok átalakítását;
• később ellenőrizheti a teljesítést.

Egy vállalkozás számára a rendszer módosítása, a folyamatok újratervezése, a jogi képviselet és a reputációs kár adott esetben a bírság összegénél is nagyobb terhet jelenthet.

Miért kerülnek mégis kevesebbet szóba ezek az ügyek?

Az adatvédelmi hibák gyakran hosszú ideig láthatatlanok maradnak. Egy rossz kamerabeállítás vagy hibás belső eljárás nem feltétlenül okoz azonnal érzékelhető problémát.

A helyzet többnyire akkor változik meg, amikor valaki:

• panaszt tesz;
• hozzáférést vagy törlést kér;
• kifogásolja a kamera látószögét;
• kéri egy felvétel megőrzését;
• felismeri magát egy nyilvánosan közzétett videón;
• a NAIH-hoz vagy bírósághoz fordul.

Ezért veszélyes az „eddig sem volt belőle baj” logika. Könnyen lehet, hogy a gyakorlat korábban sem volt megfelelő — csak még senki nem kérdezett rá.

Mekkora bírságra lehet számítani?

Erre nincs egységes válasz.

A bírság összege nem egy automatikus tarifa alapján dől el. A NAIH az ügy egyedi körülményeit mérlegeli, például:

• a jogsértés jellegét és időtartamát;
• az érintettek számát;
• az adatok érzékenységét;
• a szándékosság vagy gondatlanság mértékét;
• az adatkezelő együttműködését;
• a korábbi jogsértéseket;
• a megtett korrekciós intézkedéseket;
• vállalkozás esetén annak gazdasági helyzetét is.

Ezért a fenti összegekből nem lehet olyan következtetést levonni, hogy ugyanazért a hibáért minden adatkezelő ugyanekkora bírságot kapna. A határozatok tanulsága nem az árlista, hanem az, hogy a hétköznapinak tűnő hibák is valós hatósági következményekkel járhatnak.

Összefoglalás

A NAIH nyilvános határozatai egyértelműen bizonyítják, hogy kamerás megfigyelés és felvételek jogellenes közzététele miatt vállalkozások és magánszemélyek egyaránt kerülhetnek hatósági eljárás alá.

A problémát nem mindig maga a kamera okozza. Gyakori hibaforrás lehet:

• a szükségtelenül széles látószög;
• a hibásan megválasztott jogalap;
• a munkavállalók indokolatlan megfigyelése;
• a nem megfelelő tájékoztatás;
• a hozzáférési és megőrzési kérelmek félrekezelése;
• a képek, videók vagy hangfelvételek jogellenes továbbítása;
• az anonimizálás hiánya.

Az, hogy egy gyakorlatból eddig nem lett probléma, nem bizonyítja annak jogszerűségét. Csupán azt, hogy eddig nem jutott el egy panasz vagy kérelem addig a pontig, ahol már dokumentumokkal is igazolni kellett volna: miért és hogyan kezelik a felvételeket.

Felkészült a kamerás adatkezelésük egy valódi megkeresésre?

A CamControl kamerás adatkezelési auditja segít feltárni többek között:

• a kamerák látószögének problémáit;
• a dokumentáció és a tényleges működés eltéréseit;
• a megőrzési és hozzáférési folyamatok hiányosságait;
• a felvételek kiadásával és anonimizálásával kapcsolatos kockázatokat;
• a belső felelősségi körök bizonytalanságait.

Ismerje meg kamerás adatkezelési szolgáltatásainkat, vagy kérjen egyedi ajánlatot.

Jogi megjegyzés: a cikk általános tájékoztatást nyújt. A bemutatott határozatok egyedi ügyekben születtek, ezért azokból más esetekre automatikusan alkalmazható bírságösszeg vagy jogi következtetés nem vezethető le.