Az olasz adatvédelmi hatóság (Garante per la Protezione dei Dati Personali) 80 ezer euró bírságot szabott ki egy társaságra, mert a megbízási jogviszony megszűnését követően jogellenesen kezelte egy megbízottja e-mailjeit. (Az érintett tevékenységét ugyan külsősként végezte, de a hatóság megállapításai munkaviszonnyal összefüggésben is relevánsak.) Tapasztalataink szerint a munkahelyi e-mailek munkaviszonyt követően történő tárolása elengedhetetlen, például incidensek utólagos kivizsgálása vagy üzletmenet-folytonosság biztosítása céljából, de az adatvédelmi feltételek még sok munkahelyi adatvédelmi tájékoztatóból hiányoznak. A döntés így a magyarországi munkáltatók számára is érdekes lehet.
A hatóság döntése ITT érhető el (kizárólag olasz nyelven).
A konkrét ügy körülményei
Az érintett kereskedelmi ügynökként megbízási jogviszonyban állt az adatkezelő társasággal, és a szerződése megszüntetését követően kifogásolta, hogy az adatkezelő aktívan fenntartotta a megbízási jogviszony fennállása alatt használt vállalati e-mail fiókját, valamint hozzáfért a fiókban található levelezés tartalmához. A hatósági megkeresésre az adatkezelő előadta, hogy nem közvetlenül fért hozzá az érintett e-mail fiókjához, hanem a fiók tartalmáról egy szoftver segítségével készített automatikusan és rendszeres biztonsági mentést, a mentéseket pedig a megbízási jogviszony megszüntetését követően legfeljebb három évig őrzi meg. Az adatkezelő hangsúlyozta, hogy ez csak egy, a kibertámadások által okozott adatvesztési kockázatok csökkentése érdekében bevezetett technikai biztonsági intézkedés. Az adott ügyben az érintett e-mailjeihez azért volt szükséges hozzáférni a megbízási jogviszony megszűnését követően, mert az adatkezelő feljelentést tett az érintett ellen üzleti titkok ellopásának gyanúja miatt. Az adatkezelő ennek során megbízott egy forensics szolgáltatót, hogy megállapítsa, az érintett kiszivárogtatott-e üzleti titoknak minősülő vállalati adatokat a megbízási jogviszony fennállása alatt.
Az adatvédelmi hatóság megállapításai
A hatóság megállapította, hogy
az adatkezelő megsértette a GDPR 13. cikkét, mivel az általa nyújtott tájékoztatás hiányos volt az adatkezelés céljainak és módszereinek teljes körű bemutatása tekintetében.
A tájékoztatás túl általános módon tartalmazta, hogy a személyes adatokat a megbízási jogviszony megszüntetésével kapcsolatos vagy abból eredő valamennyi kötelezettség teljesítéséhez szükséges ideig tárolják. Az adatkezelő nem jelölte meg azokat a konkrét célokat sem, amelyek elérése érdekében szükségesnek tartotta a 3 éves megőrzési időszak meghatározását a biztonsági mentések tekintetében. Ezen túlmenően, az adatkezelő az adatokat más célokra is használta, például az érintettel szemben jogi igények előterjesztésére. Ennek kapcsán a hatóság pontosította, hogy
a jogi igények védelme céljából történő adatkezelés már folyamatban lévő jogvitákat kell érintsen, nem pedig lehetséges eseteket.
Javaslatok a magyarországi munkáltatók részére
A fenti hatósági döntés (és a NAIH-nak a nagyon hasonló, „kórházi levelezés” ügyben hozott döntésének) tanulságai alapján a magyarországi munkáltatóknak is érdemes felülvizsgálniuk a munkavállalók e-mail fiókjairól készített biztonsági mentések megőrzésével kapcsolatos gyakorlatukat.
Az e-mail fiók inaktivitásával kapcsolatban elvárt automatikus rendszerüzenetek beállítása mellett, a munkavállalói adatkezelési tájékoztatónak tartalmaznia kell:
- A biztonsági mentések jogalapját – ez valószínűsíthetően az adatkezelő GDPR 6. cikk (1) f) szerinti jogos érdeke. (Szükséges természetesen az érdekmérlegelési teszt is.)
- A biztonsági mentések pontos célját – például: üzletmenet-folytonosság biztosítása vagy a lehetséges jogi igények kezelése (figyelemmel az adott munkakör / feladatkör sajátosságaira). Ezzel kapcsolatban nem tartjuk életszerűnek azt a megközelítést, hogy személyes adatokat csak konkrét, folyamatban levő jogi igények kezelése céljából lehessen jogszerűen megőrizni – nem lehet ugyanis kizárni, hogy egy-egy munkavállaló vagy megbízott tevékenységével kapcsolatban az irányadó elévülési időn belül harmadik fél a munkáltató által korábban értelemszerűen nem ismert jogi igényt érvényesít, amivel kapcsolatban szükség lehet az adatokra.
- A biztonsági mentések megőrzésének pontos időtartamát, figyelemmel például az adott munkák / feladatok teljesítésével kapcsolatban felmerülő igények elévülési idejére.
A cikk megírásában közreműködött: Nagy Vanda
