GDPR – Kamerás megfigyelés – Kamerarendszer üzemeltetésével kapcsolatos EDPB állásfoglalás
2019. július 12-én tette közzé Európai Adatvédelmi Testület a kamerás megfigyelőrendszerekkel kapcsolatos adatkezelésekről szóló iránymutatását, melyben sok kérdéses dolgok kapcsán foglalt állást. Blogposztunk célja az iránymutatás szerintünk legfontosabb rendelkezéseinek összefoglalása, bemutatása.
Abban a kérdésben, hogy mely kamerák esetében alkalmazandóak a GDPR rendelkezései a Testület egyértelműen kimondja, hogy az álkamerákra, a gépkocsikban lévő parkolást segítő kamerákra (amennyiben azok nem képesek pl. rendszámtáblák, vagy egyéb információk alapján a környezetben tartózkodók azonosítására), illetve főszabály szerint a kizárólag magáncélú, saját ingatlanban elhelyezett kamerák esetében nem kell a GDPR-ban foglaltaknak megfelelni. Utóbbi vonatkozásában fontos azonban megjegyezni, hogy amennyiben a kamera, akárcsak részben is közterületre irányul, felmerülhet már az adatvédelmi szabályoknak való megfelelési kötelezettség.
AZ ADATKEZELÉS CÉLJA
Amennyiben nem esik a kamerás megfigyelőrendszer a fenti kivételek alá, úgy a GDPR rendelkezései irányadóak és az adatkezelő kötelezettsége, hogy ezeknek maradéktalanul megfeleljen. A jogszerű adatkezelés előfeltétele kamerás megfigyelés esetén is az, hogy az adatkezelés meghatározott célból történjén. Az adatkezelés célja elektronikus megfigyelőrendszerek esetében többféle lehet, melyet a Testület álláspontja szerint minden esetben kameránként egyesével kell meghatározni és írásban is megfelelően dokumentálni. Együtt dokumentálható az adatkezelés célja azon kamerák esetében, amelyeket egy adatkezelő ugyanazon célból alkalmaz, mindaddig amíg az összes működő kamera esetében fennáll a meghatározott cél. A Testület szerint nem megfelelő a célt általánosságban meghatározni, pl. „védelem”, vagy az „Ön védelmében” megfogalmazás nem elegendő.
AZ ADATKEZELÉS JOGALAPJA
Ahogyan minden adatkezelésnél, a kamerák esetében is kizárólag megfelelő jogalap megléte esetén lesz jogszerű az adatkezelés. A Testület szerint általánosságban három jogalap merülhet fel, a legtöbb esetben a 6. cikk (1) bekezdés f) pontja, azaz jogos érdeken alapul ez a típusú adatkezelés, emellett közhatalmi szervek közhatalmi jogosítvány gyakorlása keretében alkalmazhatnak kamerás megfigyelőrendszert (6. cikk (1) e) pont), valamint kivételes esetekben az érintett hozzájárulása adhat jogalapot az adatkezelésre.
JOGOS ÉRDEK, MINT JOGALAP
A f) pont alapján az adatkezelés annyiban jogszerű amennyiben az az adatkezelő, vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé.
A Testület leszögezi, hogy a jogos érdeknek valós, a jelenben fennálló érdeknek lennie, tehát nem lehet valamilyen fikcióra vagy vélelmezett érdekre hivatkozni. Vagyonvédelmi cél esetében például az adatkezelőnek a kamerarendszer alkalmazása előtt fel kell mérnie, hogy ténylegesen fennáll-e az adott helyzetben a vagyon elleni jogsértés veszélye, indokolja-e azt például korábbi káreset vagy baleset. Az elszámoltathatóság elvének való megfelelés érdekében egyébként a Testület javasolja, hogy ha történt már a múltban vagyon elleni jogsértés azt az adatkezelő dokumentálja, hiszen az kellően erős bizonyítéka lehet a jogos érdek valós meglétének. A Testület által említett esetekben például, ha a tulajdonos vagyonvédelem céljából szeretne kamerarendszert felszerelni egy újonnan nyitó üzletbe, akkor jogos érdekének bizonyításául alapul vehet olyan statisztikákat, amelyek alátámasztják, hogy a környéken magas a betörések valószínűsége, illetve a környező boltokban már megtörtént esetekkel való alátámasztás is hasznos lehet. Arra azonban figyelni kell, hogy amennyiben statisztikát veszünk alapul, nem elegendő egy általános, országos bűnözési statisztikára hivatkozni, hanem annak az adott területen vagy boltspecifikusan kell, hogy relevenciája legyen. Mindemellett a Testület kiemeli, hogy a jogos érdeket a közvetlen veszélyhelyzet magas valószínűsége már önmagában megalapozhatja, például nagyértékű árucikkeket kínáló üzletek (ékszerboltok) esetében, vagy amennyiben a kérdéses környezet tipikusan célpontja a vagyon elleni jogsértéseknek, például benzinkutak.
SZÜKSÉGESSÉG
A szükségesség vizsgálata körében a Testület megerősíti, hogy elektronikus megfigyelőrendszerek csak abban az esetben alkalmazhatóak, ha nincs az érintettek jogait és szabadságait kevésbé korlátozó módszer a cél elérésére. E körben példaként kerül megemlítésre a vagyonvédelem esete. A Testület álláspontja szerint amennyiben egy társaság vagyonvédelem miatt szeretne felszerelni kamerát az épületben, számba kell vennie minden olyan alternatív megoldást amivel az elérni kívánt célt ugyanúgy meg tudja valósítani. Ilyen lehet például az ingatlan kerítéssel való védelme, biztonsági szolgálat alkalmazása, portaszolgálat működtetése, megfelelő kivilágítás, biztonsági zárak felszerelése, betörésbiztos nyílászárók, stb. Ezek adott esetben ugyanúgy alkalmasak lehetnek a betörések és lopások, illetve egyéb vagyon elleni bűncselekmények megelőzésére, mint a kamerarendszer.
A megfigyelőrendszer felszerelése előtt az adatkezelőnek azt is fel kell mérnie, hogy a cél elérése érdekében pontosan hol szükséges kamerát kihelyezni, illetve azok milyen időszakokban működjenek. Általánosságban a Testület szerint az éjszaka, illetve munkaidőn kívül működő kamerák megfelelően képesek ellátani a vagyonvédelmi célt. A kamerák helyének meghatározásával kapcsolatban, főszabály szerint a vagyonvédelmi célból kihelyezett kamerák esetében a szükségesség mértéke megáll a magánterület határánál. A Testület megjegyzi azonban, hogy egyes esetekben fennállhat a szüksége, hogy a magánterület közelében lévő részt is megfigyelje az adatkezelő, azonban ezekben az esetekben a lehető legtöbb technikai intézkedést meg kell tenni annak érdekében, hogy az érintettek jogai a legkevésbé sérüljenek (pl. a megfigyelés szempontjából nem releváns részeket kihomályosítani).
A szükségesség vizsgálatánál az érdekek mérlegelése során a Testület kiemeli, hogy esetenként kell az adatkezelő, illetve harmadik fél jogos érdekét az érintettek érdekeivel egymással szembe állítva mérlegre helyezni. Döntő tényező az érdekmérlegelés szempontjából az érintett jogainak és szabadságainak korlátozásának mértéke. A korlátozás mértéke függ – többek között – a kezelt adatok körétől, mennyiségétől és az adatkezeléssel érintett személyek számától, az adatkezelés körülményeitől, az érintettek aktuálisan védendő érdekeitől, az alternatív módszerek alkalmazási lehetőségétől ugyanúgy, mint az adatkezelés jellegétől és módjától. Fontos mérlegelési szempont lehet a megfigyelt terület mérete és a megfigyeléssel érintettek száma. Másként kell vizsgálni például az olyan kamerával megfigyelt területet mely elhagyatottabb, nem forgalmas, mint egy bevásárlóközpontot vagy gyalogátkelő helyet.
AZ ÉRINTETT MENNYIBEN SZÁMÍTHATOTT AZ ADATKEZELÉSRE
A jogos érdekre alapozott adatkezelés esetében vizsgálandó továbbá, hogy az érintett milyen mértékben számíthatott az adatkezelésre. Az iránymutatás szerint például a munkavállalók a legtöbb esetben nem számítanak a munkáltató általi megfigyelésre. Ugyanígy nem számítanak rá az érintettek például egy privát kertben, orvosi, vagy egyéb vizsgáló, kezelő helyiségekben, illetve mellékhelyiségekben. Szintén nem életszerű, hogy az érintettek számítsanak kamerás megfigyelésre egészségügyi intézményekben, olyan közösségi helyeken, melyek főként kikapcsolódásra, szabadidős tevékenységek végzésére vannak kialakítva. A Testület e körben kiemeli, hogy a kamerával megfigyelt területet jelző figyelmeztetés meglétét véleményük szerint nem lehet figyelembe venni annak meghatározásakor, hogy az érintett mennyiben számíthat az adatkezelésre.
HOZZÁJÁRULÁS, MINT JOGALAP
A Rendelet 6. cikk (1) bekezdés a) pontja szerinti hozzájárulás, mint jogalap csak kivételes esetekben alkalmazható, figyelembe véve, hogy az adatkezelő ilyenkor nehezen képes megfelelően igazolni a hozzájárulás meglétét az adatkezelés megkezdése előtt, valamint ugyanilyen nehéz hozzájárulás visszavonása esetén annak bizonyítása, hogy a személy adatokat már nem kezeli. Kivételes eset lehet például, ha sportolók esetében az érinttetek hozzájárulása alapján készít olyan videófelvételeket az adatkezelő, amelyeken csak az adott sportoló szerepel és az adatkezelés célja kizárólag a sportoló teljesítményének vizsgálata.
A SZEMÉLYES ADATOK NYILVÁNOSSÁGRA HOZATALA
A rögzített felvételek továbbításával és nyilvánosságra hozatalával kapcsolatban elmondható, hogy függetlenül attól, hogy mi az eredeti adatkezelés célja és jogalapja, mivel a továbbítás/nyilvánosságra hozatal egy másik adatkezelési művelet, arra vonatkozóan is kell, hogy az adatkezelő megfelelő jogalappal és céllal rendelkezzen. Példaként megvilágítva, káresetek felderítése céljából parkolókban elhelyezett kamera esetén, a felvételek jogi igények érvényesítése érdekében a jogi képviselőnek való továbbításánál az adattovábbítás és az adatkezelés célja megegyezik. Amennyiben ezeket a felvételeket az adatkezelő online közzéteszi (pl. közösségi oldalon szórakoztatás céljából), úgy az egy eltérő célnak minősül, amihez már nehéz lesz megfelelő jogalapot találnia.
BIOMETRIKUS ADATOK
Fénykép, illetve videófelvételek önmagukban nem válnak biometrikus adattá, csak akkor, ha olyan speciális eszközzel készítik, vagy olyan speciális adatkezelési műveletet végeznek el rajtuk, amelynek célja, hogy a természetes személy egyedi azonosítását vagy hitelesítését lehetővé tegye.
A Testület iránymutatása szerint a biometrikus átalakító funkcióval (pl. arcfelismerő) rendelkező kamerás megfigyelőrendszerek nem közérdekű használata a legtöbb esetben kizárólag az érintettek előzetes hozzájárulása alapján lesz jogszerű. Amennyiben például egy épületbe való belépéshez szeretne az adatkezelő arcfelismerő kamerával belépési lehetőséget, úgy azt csak az érintett előzetes hozzájárulása alapján teheti meg. Ez esetben annak elkerülése érdekében, hogy olyanokat is felvegyen a kamera, akik nem adták hozzájárulásukat, a belépésnél valamilyen további cselekedetet (pl. egy gombnyomás) kell a felvétel készítésének feltételéül tenni. Egyebekben pedig biztosítani kell alternatív megoldást is az épületbe való bejutáshoz. Nem fog azonban biometrikus adat kezelésének minősülni az az eset, ha az adatkezelés célja nem az egyedi azonosítás, csak az érintett egy csoportjának egy másiktól való megkülönböztetése (például, ha egy boltban a célzott reklámozás céljából a kamera csak arra képes).
A Testület kiemeli azt is, hogy nem megfelelő az a gyakorlat, hogy a kamera minden, a látókörébe kerülő arcot digitalizál abból a célból, hogy kiválassza közülük, hogy melyik érintett esetében rendelkezik hozzájárulással (tehát az arcról készített digitalizált képet összehasonlítja az adatbázisában szereplőkkel) az adatkezeléshez. Arcfelismerő funkció kizárólag olyan érintetten alkalmazható, aki ehhez előzetesen hozzájárult.
AZ ÉRINTETTEK JOGAI
A hozzáféréshez való jog kapcsán a Testület kiemeli, hogy az érintett e jogának biztosítása hátrányosan érintheti egyéb, a felvételen szereplő más személy jogait és szabadságait. Lehetnek olyan esetek, amikor az adatkezelő nem adhat ki olyan felvételt az érintettnek, amelyen harmadik személy érintettek azonosíthatók. Ezen harmadik személyek jogainak és szabadságainak védelme azonban nem szolgálhat általánosságban indokul a felvételek kiadásának megtagadására, ehelyett az adatkezelőnek meg kell tenni a lehetséges technikai intézkedéseket (pl. a felvétel egyes részeinek kivágása, vagy az egyéb a felvételek tartózkodó személyek kihomályosítása) annak érdekében, hogy az érintett hozzáférési jogát biztosítani tudja.
Amennyiben az eszköz nem rendelkezik kereső funkcióval (azaz ahhoz, hogy az adatkezelő megtalálja felvétel azon részét, amin az érintett szerepel, egyesével kell végig mennie a teljes felvételen), az adatkezelő lehetséges, hogy nem lesz képes azonosítani az érinettet. Az ilyen esetekre az adatkezelő előírhatja, hogy az érintett – önmaga személyazonosításán túl – adjon meg további információt, például jelölje meg azon időintervallumot (esettől függően ésszerű mértékben), amikor a kamera látószögében tartózkodott. Az adatkezelőnek előzetesen tájékoztatni kell az érintett, hogy adott esetben milyen további információkra van szüksége ahhoz, hogy az érintett kérelmét teljesíteni tudja.
Amennyiben az adatkezelő a felvételeket nyilvánosságra hozta (pl. online elérhetővé tette), és az érintett élni kíván a törléshez való jogával, úgy az adatkezelő köteles megtenni az ésszerűen elvárható lépéseket – ideértve technikai intézkedéseket – annak érdekében, hogy tájékoztassa a címzetteket, hogy az érintett kérelmezte a szóban forgó személyes adatok törlését. Az ésszerűen elvárható lépések mérlegelésekor figyelembe kell venni az elérhető technológiai megoldásokat és a megvalósítás költségeit.
Fontos megjegyezni, hogy kép-, illetve videófelvételek esetében a Testület szerint a GDPR szerinti törlésnek minősül például, ha az adatkezelő a felvételeken a törlést kérő érintettet elhomályosítja, feltéve, hogy a felvétel eredeti állapota többé már nem állítható vissza.
Amennyiben az érintett jogosult arra, hogy tiltakozzon az adatkezelés ellen (Rendelet a 6. cikk (1) bekezdésének e) pontja vagy az f) pont szerinti jogos érdekből való adatkezelés esetén), ezen tiltakozási jogával elektronikus megfigyelőrendszerek adatkezelése esetén élhet a területre való belépés előtt, az ott tartózkodás idején, illetve utólag is. Ebben az esetben az adatkezelő csak akkor tárolhatja tovább a felvételeket, ha bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.
TÁJÉKOZTATÁS KAMERARENDSZER ALKALMAZÁSÁRÓL
Kamerás megfigyelőrendszerek esetében az érintettek tájékoztatása két lépcsőben történhet. Az első tájékoztatásnak (piktogram, figyelemfelhívó kép, matrica, stb.) kell a legfontosabb információkat tartalmaznia, úgy mint az adatkezelés célját, az adatkezelő megnevezését, az érintettek jogaira való utalást, valamint az adatkezelés legfontosabb hatásait az érintettekre nézve. Ezen kívül tartalmazhatja még a jogos érdek rövid kifejtését, valamint amennyiben van, az adatvédelmi tisztviselő megjelölését. Utalnia kell továbbá a további információk elérhetőségére is, valamint minden olyan információra, amire az érintettek nem számíthatnak (pl. ha továbbítják a felvételeket harmadik személyeknek, különösen, ha EU-n kívüli továbbításról van szó).
A második, részletes tájékoztatásnak kell minden további információt tartalmaznia. Fontos, hogy ez a tájékoztatás is egyszerűen elérhető kell legyen az érintettek számára, nem csak digitálisan, hanem papíralapon is. Sőt, papír alapon a Testület szerint minden esetben elérhetőnek kell lennie a helyszínen anélkül, hogy annak megismeréséhez be kellene lépni a megfigyelt területre.
A FELVÉTELEK TÁROLÁSÁNAK IDŐTARTAMA
A Testület kihangsúlyozza, hogy a felvételek tárolásának idejére a lehető legrövidebb időtartamot kell meghatározni. Az elektronikus megfigyelőrendszerek üzemeltetésének célja a legtöbb esetben a vagyonvédelem, a vagyon elleni jogsértések megelőzése és felderítése. A jogsértésekre általában egy-két napon belül fény derül. A Testület véleménye szerint az adattakarékosság elvére figyelemmel a rögzített felvételek pár napon belül – ideális esetben automatikusan – törlésre kell, hogy kerüljenek. Minél hosszabb az adattárolás ideje – különösen ha a 72 órát meghaladja – annál nehezebb a szükségességét megfelelően alátámasztani a Testület álláspontja szerint.
Mindenképp fontos még megemlíteni, hogy az állásfoglalás a jelenlegi formájában még nem tekinthető végelgesnek, azt a Testület 2019. szeptember 9. napjáig nyilvános véleményezésre bocsátotta. Bár lényegi változást nem várható a “public consultation” után, mégis mindenkit arra biztatunk, hogy küldje meg a véleményét a Testületnek, hátha jobb belátásra tudja őket bírni.
Korábbi blogposztjaink:
Facebook Like gomb használatával kapcsolatos adatkezelés (Európai Bíróság FashionID ügy)
GDPR és a Facebook Custom Audience
NAIH határozat elemzés: Érintetti joggyakorlás teljesítése során megvalósuló jogsértés
Adatvédelmi tisztviselő: kinevezés kötelező esetei (1. rész)
