A belga adatvédelmi hatóság (Gegevensbeschermingsautoriteit) nemrégiben érdekes döntést hozott a munkavállalók fényképének munkáltató általi felhasználásával kapcsolatban – alábbiakban összefoglaltuk a határozat legfontosabb megállapításait. Tapasztalataink szerint a magyarországi munkáltatók gyakorlata sem egységes abban, hogy az Európai Unió általános adatvédelmi rendelete (GDPR) szerint milyen jogalapot választanak a munkavállalói fényképek kezeléséhez, valamint mikor törlik azokat, ezért a belga döntés számunkra is releváns lehet, és érdemes felülvizsgálni az ezzel kapcsolatos adatkezelési hozzájárulásokat, illetve adatvédelmi tájékoztatókat.
A hatóság döntése ITT elérhető (kizárólag belga nyelven).
1. Előzmények
Az érintett 2021-ig dolgozott munkavállalóként az adatkezelő munkáltató szervezetében. Két évvel később az érintett már az adatkezelő versenytársánál dolgozott, amikor egy kollégája jelezte számára, hogy a fényképe még mindig szerepel a volt munkáltatója online toborzási kampányában. Az érintett kérte a volt munkáltatójától a fénykép törlését, mivel annak ilyen jellegű felhasználásához sosem járult hozzá. A munkáltató álláspontja szerint a kép felhasználása jogszerűen történt, így nem törölte azt – de válaszában nem jelölt meg a GDPR szerint adatkezelési jogalapot a kép felhasználásához kapcsolódóan.
2. A hatóság döntése
A hatóság eljárásában megvizsgálta, hogy a munkavállalóról készült fénykép kezelésének megfelelő jogalapja lehet-e a GDPR 6. cikk (1) bekezdés b) pontja (a munkaszerződés teljesítése) vagy f) pontja (a volt munkáltató jogos érdeke).
A hatóság szerint a „szerződés teljesítéséhez szükséges” jogalap két évvel a munkaszerződés megszűnését követően semmiképpen nem alkalmazható, és
a munkavállaló fényképének online közzététele a munkaszerződés hatálya alatt sem szükséges annak teljesítéséhez.
A „jogos érdek” jogalap kapcsán a hatóság vizsgálta a jogos érdek fennállását, és megállapította, hogy
a munkáltató szervezetének vonzóvá tétele a leendő munkavállalók számára egy online toborzási kampányban a munkáltató jogos érdekének tekinthető. A munkavállalók fotóinak közzététele ugyanakkor nem szükséges e cél eléréséhez, elsősorban akkor, ha a szóban forgó munkavállaló már nem dolgozik az adatkezelőnél.
Ezen túlmenően, az érintett volt munkavállaló ésszerű elvárásainak nem felel meg az sem, hogy fényképét az új munkatársak toborzása céljából a munkáltató elérhetővé tegye weboldalán, különösen, mivel az érintett ebben az időben már egy versenytársnál dolgozott. Ennek megfelelően a „jogos érdek” sem lehetett megfelelő jogalap.
3. Jogkövetkezmények
Mivel az adatkezelő jogalap nélkül, jogellenesen kezelte az érintett (volt) munkavállaló fényképét, a GDPR 17. cikk (1) bekezdés d) pontja alapján köteles lett volna az érintett kérelmére törölni a képet honlapjáról. Mivel ezt nem tette meg, a hatóság 30 napos határidő tűzésével elrendelte a kép törlését a GDPR 58. cikk (2) bekezdés c) pontja alapján.
4. Javaslatok hazai munkáltatók részére
- A fenti hatósági döntés tanulságai alapján javasoljuk a magyarországi munkáltatók számára is megvizsgálni, hogy a munkavállalók fényképének munkáltató általi felhasználása, illetve közzététele esetén a GDPR szerint milyen adatkezelési jogalapot alkalmaznak, figyelemmel arra is, hogy a gyakorlatban észszerűen lehetséges-e az érintett munkavállaló önkéntes, konkrét és megfelelő tájékoztatáson alapuló hozzájárulásának beszerzése.
- Ehhez kapcsolódóan szintén javasoljuk a munkavállalók fényképének munkáltató általi felhasználása, illetve közzététele esetén használt adatvédelmi tájékoztatók szövegének felülvizsgálatát, különös tekintettel a fényképek munkaviszony megszűnését követően történő felhasználására.
A cikk Szerzőiről bővebben: Horváth Katalin, Domokos Márton, Bálint János
