Árgus szemekkel lesi dolgozóját? Új rendelet korlátozza, meddig mehet el

Megosztás Tetszik

Újabb véleményt fogadott el a munkahelyi adatkezelés szabályairól az európai uniós tagállamok adatvédelmi biztosaiból és a tagállami adatvédelmi hatóságok képviselőiből álló 29-es adatvédelmi munkacsoport. Az általános adatvédelmi rendelet (GDPR) munkáltatókat érintő új adatvédelmi kötelezettségekre, egyebek mellett az előzetes adatvédelmi hatásvizsgálatra, valamint a technológiai fejlődéssel járó adatvédelmi kockázatokra is kitér.

Az új vélemény elfogadását a munkahelyeken alkalmazott olyan új információtechnológiai eszközök megjelenése indokolta, mint például a céges autóba telepített GPS-es fedélzeti kamera, a geolokációt lehetővé tevő céges “okos” eszközök, vagy az olyan felhő alapú alkalmazások, amelyekkel a munkavállalók számítógépes tevékenysége részleteiben is nyomon követhető. Az új technológiák alkalmazása adott esetben jogos munkáltatói érdekeket védhet, azonban egyben új adatvédelmi kihívásokat is jelent a munkáltatók számára – szögezik le Bertók Gábor és Vári Csaba, a Horváth és Társai DLA Piper Ügyvédi Iroda ügyvédei az iroda szakmai blogja, az Advocatus legújabb bejegyzésében.

A 29-es munkacsoport kiemeli: ma már olyan munkahelyi adatkezelési technológiák léteznek, amelyek a korábbiakhoz képest jelentősen olcsóbban képesek óriási mennyiségű személyes adat kezelésére. Ráadásul az adatkezelés új formái gyakran rejtve maradnak, így egyre kevésbé nyilvánvalóak a munkavállalók számára. Ez különösen kiszolgáltatottá teheti a munkavállalókat az ilyen technológiákkal visszaélő munkáltatókkal szemben. Ezen felül az otthoni munkavégzés, valamint a Bring Your Own Device (munkahelyen való saját eszközhasználat) elterjedésével megnőtt a veszélye a munkavállalók privát környezetben való megfigyelésének is.

Az új technológiai körülmények fényében ezért indokolt ismételten összemérni a munkáltató jogos érdekeit a munkavállalók személyes adatok védelméhez fűződő jogával.

A 2018. május 25-én hatályba lépő általános adatvédelmi rendelet (Az Európai Parlament és a Tanács (EU) 2016/679 rendelete, az ún. GDPR, azaz General Data Protection Regulation) megtartja és továbbfejleszti az irányelv eddigi előírásait, s új adatkezelési kötelezettségeket is bevezet.

Beépített és alapértelmezett adatvédelem

Az általános adatvédelmi rendelet elvárja az adatkezelőktől, hogy alkalmazzák a beépített adatkezelés és alapértelmezett adatvédelem elvét, amelynél fogva az adatkezelők az adatkezelés módjának meghatározásakor, valamint az adatkezelés során kötelesek olyan megfelelő technikai és szervezési intézkedéseket végrehajtani, amelyek célja egyrészt az adatvédelmi elvek megvalósítása, másrészt az általános adatvédelmi rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába.

Hangsúlyos elv az adatminimalizáció követelménye is, mely szerint csak olyan személyes adatokat lehet kezelni, amelyek az adott adatkezelési cél szempontjából szükségesek. Például, ha egy munkáltató nyomon követést lehetővé tevő eszközöket bocsát a munkavállaló rendelkezésére, az adatvédelmi szempontból legjobb (azaz a munkavállalói magánszférába való legkisebb beavatkozással járó) megoldást kell választania.

Előzetes adatvédelmi hatásvizsgálat

Ha az adatkezelés valamely típusa – figyelemmel annak jellegére, hatókörére, körülményére és céljaira – valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságára nézve, akkor az adatkezelő az adatkezelést megelőzően hatásvizsgálatot végez arra vonatkozóan, hogy a tervezett adatkezelési műveletek hogyan érintik a személyes adatok védelmét.

Ha az adatvédelmi hatásvizsgálat megállapítja, hogy az adatkezelés az adatkezelő által a kockázat mérséklése céljából tett intézkedések hiányában valószínűsíthetően magas kockázattal jár, a személyes adatok kezelését megelőzően az adatkezelő köteles konzultálni a felügyeleti hatósággal.

Tagállami jogalkotás

Az adatvédelmi rendelet a fentieken túlmenően lehetővé teszi a tagállami jogalkotást – ideértve a kollektív szerződések útján való szabályozást is – a munkahelyi adatkezelés kapcsán, így különösen

– a munkaerő-felvétel,
– a munkaszerződés teljesítése,
– a munkaszervezés,
– a munkahelyi egyenlőség és sokféleség,
– a munkahelyi egészségvédelem és biztonság,
– a foglalkoztatáshoz kapcsolódó jogok és juttatások,
– a munkáltatói tulajdonvédelem, valamint
– a munkaviszony megszüntetése céljából.

Mindezek mellett változatlanul érvényesek a 29-es munkacsoportnak a munkahelyi adatkezeléssel kapcsolatban megfogalmazott korábbi megállapításai is, amelyekről ITT olvashat.