Manapság bevett gyakorlat, hogy a munkáltató úgynevezett céges e-mail fiókot bocsát a munkavállalói rendelkezésére annak érdekében, hogy ezen keresztül kommunikáljanak egymással, illetve a munkáltató külső partnereivel, ügyfeleivel. D kinek a tulajdonában állnak a munkavállalói típusú e-mail fiókok? Használhatóak-e munkavállalói magáncélra? Személyes adatnak minősülnek-e az ezekben kezelt adatok? Ki felel azok kezeléséért? Jogosult-e erre és ha igen, milyen módon a munkáltató? – Jelen cikk ezen kérdésekre ad választ a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) tárgyban született határozatai alapján.
Első lépésként azt szükséges tisztázni, hogy a munkáltató által biztosított e-mail fiók adattartalma a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, az Európai Parlament és a Tanács (EU) 2016/679. sz. rendelete (GDPR) 4. cikk 1. pontja szerinti személyes adatnak, személyes adaton elvégzett bármely művelet pedig a GDPR 4. cikk 2. pontja szerinti adatkezelésnek minősül.
A szabályozás szempontjából az egyik legfontosabb kérdés, hogy az ilyen jellegű adatkezelés kizárólag a munkavégzéssel, annak céljaival függ össze, vagy a munkavállaló magáncéljaiból történik.
A munka törvénykönyvéről szóló 2012. évi I. törvény (Mt.) 11/A. § (2) bekezdése értelmében
a céges e-mail fiók kizárólag a munkaviszony teljesítése érdekében használható, azonban ezen szabálytól a munkáltató eltérhet, azaz engedélyezheti a magáncélú használatot is.
Az elhatárolás lényege az alábbiakban foglalható össze. Ha az adatkezelés a munkavégzéssel összefüggésben történik, a munkavállaló személyes adatai vonatkozásában a munkáltató minősül adatkezelőnek, a munkavállaló pedig érintettnek. Az e-mail fiókban kezelt, a munkavállalóktól eltérő harmadik személyek személyes adatai kapcsán szintén a munkáltató minősül adatkezelőnek, a munkavállaló ilyenkor a munkáltató nevében jár el, tevékenysége a munkáltatónak, mint adatkezelőnek tudható be.
Ezzel szemben, amikor a munkáltató által biztosított e-mail-fiókban a munkavállaló a munka végzésével össze nem függő – magáncélú – tevékenységet is folytat és ennek keretében harmadik személyek személyes adatait kezeli, már egészen más a helyzet. Ilyenkor ugyanis a NAIH következetes álláspontja szerint a magáncélú levelezések kapcsán megvalósuló adatkezelés célját nem a munkáltató, hanem a munkavállaló határozza meg, aki ezáltal adott esetben maga is adatkezelővé válik a harmadik személyek személyes adatai tekintetében a munkavégzésével semmilyen módon össze nem függő adatkezelés vonatkozásában.
Ugyanakkor továbbra is a munkáltató rendelkezik a magáncélú személyes adatokat (is) tároló e-mail fiók feletti rendelkezési joggal, a rendszer működtetése a munkáltató feladata és hatásköre, és számára állnak elsődlegesen rendelkezésre azok az eszközök (pl.: belső szabályozási és technikai operatív intézkedések), amelyekkel a jogszerűség biztosítható, tehát az ilyen típusú adatkezelés vonatkozásában a felek közös adatkezelői minősége állapítható meg.
A Hatóság több határozatában hangsúlyozza, hogy
jóllehet közös adatkezelői minőség áll fenn a felek között, azonban még ezen adatkezelési jogviszonyon belül is a munkáltatóé az adatkezelés jogszerűségéért való elsődleges felelősség,
azaz neki kell a helyzetet megfelelően azonosítani és például a GDPR 26. cikke szerinti közös adatkezelői megállapodást előkészíteni.
Sokan gondolják jó megoldásnak, hogy a magáncélú adatkezeléssel együtt járó nehézségek elkerülése érdekében egyszerűen megtiltják az e-mail fiók magáncélú használatát. Sajnos az adatvédelmi hatóság gyakorlata ennél összetettebb a témában, a NAIH ugyanis elvi éllel rögzítette egy határozatában, hogy az adatkezelői minőség mindig ténykérdés. Ez azt jelenti, ha a munkavállaló a munkáltató tiltó előírását megszegve magáncélból használja az e-mail fiókját, igaz a munkajogi jogkövetkezmény alkalmazható vele szemben, azonban az adatvédelmi jogi szabályozás megfelelőségéért továbbra is a munkáltató felelős az elszámoltathatóság elvére tekintettel. Továbbá előfordulhat olyan helyzet is amikor a munkavállalónak fel nem róható módon kerül harmadik féltől származó magáncélú e-mail üzenet a céges fiókjába.
A fentiekre tekintettel
a munkáltató, mint adatkezelő elsődleges felelőssége, hogy a megfelelő szabályozási környezetet kialakítsa a céges e-mail fiókokkal kapcsolatban megvaló adatkezelésekre nézve.
Az adatkezelés megkezdése előtt az első és legfontosabb feladat az adatkezelés céljának meghatározása. Az e-mail fiókokkal kapcsolatban számos adatkezelési célt ismer el a hatósági gyakorlat legitimnek, ilyenek lehetnek – többek között – az alábbiak. A személyes adatok munkaviszonnyal összefüggő konkrét feladat teljesítése céljából történő kezelése az egyik legegyszerűbben belátható cél, nem igényel sok magyarázatot, ilyenkor az adatkezelés jogalapja a GDPR 6. cikk (1) bekezdés b) pontja szerinti munkaszerződés teljesítése. Azonban ettől teljesen eltérő önálló adatkezelési célnak minősül a munkavégzéssel kapcsolatos információk helyreállítása érdekében történő biztonsági mentések készítése a munkaviszony fennállása alatt, majd annak megszűnését követően, mely cél a munkáltató, mint adatkezelő munkavégzés folytonosságának biztosításához fűződő jogos érdekén belül értelmezhető.
Érdekes gyakorlatot alakított a NAIH a helyettesítéssel összefüggő adatkezelések vonatkozásában. A helyettesítés ideje alatt ugyanis a helyettesítést ellátó másik munkavállaló jogosult használni a távollevő munkavállaló e-mail-fiókját, abban – az adott feladat ellátásához szükséges mértékben – keresést is folytathat. A Hatóság álláspontja szerint ezekben az esetekben a munkáltató nem végez – a folyamatosan fennálló tároláson kívüli – új adatkezelési műveletet a távollevő munkavállaló személyes adatain, a munkavállaló helyettese tehát lényegében teljesítési segédként jelenik meg a helyettesítés során. Fontos, hogy ilyenkor a helyettesítendő munkavállaló teljesítménye nem értékelhető, hiszen az adatkezelés pusztán azért valósul meg, hogy a távolléte miatt a munkafolyamatok ne szakadjanak meg. Amennyiben a távollévő munkavállaló teljesítményének az értékelésére is sor kerül a helyettesítés keretében és ez rá nézve valamilyen számonkéréssel jár, az adatkezelési cél túlmutat a helyettesítésen, és egy új, önálló adatkezelési cél, a munkavállaló munkaviszonyból fakadó kötelezettségei teljesítésének ellenőrzése valósul meg, melyre teljesen más szabályok vonatkoznak. A munkavállalók munkavégzésének ellenőrzése céljából folytatott adatkezelés jogalapja szintén a munkáltató, mint adatkezelő jogos érdeke, mely érdek az Mt. 11./A.§ (1) bekezdés által is kifejezetten lehetővé tett, ilyen módon a jogalkotó által is elismert jogos érdek.
A korábban részletezettek okán szinte elkerülhetetlen, hogy a munkáltató a munkavállalók céges e-mail fiókjában lévő magáncélú tartalmat is kezeljen. Éppen ezért a Hatóság következetes álláspontja szerint a munkáltató, mint adatkezelő egyik legfontosabb – az elszámoltathatóság elvéből fakadó – kötelezettsége, hogy az általa alkalmazott technikai és szervezési intézkedések keretében belső szabályzatot alkosson a munkavállalók rendelkezésére bocsátott e-mail-fiókok és az abban szereplő személyes adatok kezelésére (így különösen ellenőrzés, archiválás, stb.) vonatkozóan. A megfelelő technikai, szervezési intézkedések magukban foglalják a GDPR 25. cikke szerinti beépített és alapértelmezett adatvédelem teljesülését és a GDPR 32. cikke szerinti adatbiztonsági követelményeknek való megfelelést.
Fontos, hogy a szabályzat megalkotása mellett
a munkáltató köteles a GDPR 13. cikk (1)-(2) bekezdései szerinti előzetes tájékoztatást is nyújtani,
melyben részletes információkkal kell szolgálnia többek között a céges e-mail fiókban szereplő személyes adatok kezelésének a céljáról, jogalapjáról, továbbá arról, hogy a munkáltató részéről ki és milyen módon férhet hozzá ezen adatokhoz és milyen szabályok szerint kerülhet sor az adatkezelésre (fokozatosság elvének betartása).
Az e-mail fiókokkal kapcsolatos adatkezelés teljeskörű ismertetése meghaladná a jelen cikk kereteit, ezért a továbbiakban kizárólag arra szorítkozom, hogy bemutassam milyen szabályok vonatkoznak a céges e-mail fiók magánjellegű tartalmával kapcsolatos adatkezelésre a munkaviszony megszűnése utáni archiválás keretében, valamint a munkavállalók ellenőrzése során.
Elsőként azt szükséges tisztázni, hogy – függetlenül az adatkezelés céljától – főszabály szerint
a munkáltató nem jogosult megismerni a munkavállaló céges e-mail fiókjában tárolt magánjellegű leveleket, arra csak kivételes esetben, rendkívül nyomós indokból kerülhet sor.
Ennek megfelelően a kifejezetten magánjellegű levelezések főszabály szerint nem archiválhatók a munkaviszony megszűnése után, hiszen azokra a munkáltatónak semmilyen célból nem lehet szüksége.
A NAIH csak abban az esetben ismeri el az ilyen típusú tartalom tárolását biztonsági mentési célból, ha az e-mail fiók tartalmának egységes adatbázisként történő mentése következtében a magáncélú levelek leválogatása aránytalanul nagy, ésszerűtlen erőfeszítést igényelne a munkáltató oldaláról.
Fontos azonban, hogy ilyekor a tároláson kívül más adatkezelési művelet nem valósulhat meg (azaz például a munkavállaló magáncélú levelezésében történő keresésre önálló adatkezelési cél és jogalap hiányában nem jogosult a munkáltató), továbbá az egységes adatbázisként való mentés indokoltságát és szükségességét a munkáltatónak kell igazolnia és
megfelelő tájékoztatást kell nyújtania a munkavállalónak, hogy az archiválást megelőzően lehetőségük legyen törölni a magáncélú tartalmat.
A Hatóság jó gyakorlatnak tartja, ha a munkáltató lehetőséget biztosít arra, hogy a munkavállaló a munkaviszonya megszűnését megelőzően (jellemzően az utolsó munkanapján) törölje a magáncélú leveleit. Célszerű a törlésről jegyzőkönyvet készíteni, továbbá javasolt, hogy a törlésre a munkáltatói jogkör gyakorlója, a közvetlen felettes vagy a szervezetben döntésre jogosult más munkavállaló jelenlétében kerüljön sor, elkerülve azt, hogy olyan tartalmak is törlésre kerüljenek, melyek nem magáncélú adatok. Fontos, ha a munkavállaló nem él a munkáltató által biztosított leválogatás lehetőségével és ezt a munkáltató igazolni tudja, a munkáltatót nem terheli felelősség. A NAIH javasolja továbbá a magáncélú levelezésre olyan önálló mappa kialakítását, mely nem képezi részét a biztonsági mentéseknek, így ezzel a megoldással a munkaviszony megszűnésekor egyszerűen törölhetők a magáncélú tartalmak.
A munkaviszony megszűnése utáni másik adatkezelési művelet az archívumokban való keresés lehet. Amennyiben a munkaviszony megszűnésekor a munkáltató, mint adatkezelő nem biztosítja – igazolható módon – a magáncélú tartalmak leválogatásának lehetőségét, vagy arra egyéb okból nem került sor, a volt munkavállaló e-mail fiókjának tartalmában való keresésnek hiába lehet jogszerű célja és megfelelő jogalapja,
az e-mail fiók tartalmának volt munkavállaló jelenléte nélküli áttekintése a GDPR 5. cikk (1) bekezdés a) pontja szerinti tisztességes adatkezelés elvébe ütközik.
A NAIH álláspontja szerint azért elengedhetetlen, hogy a (volt) munkavállaló jelen legyen az e-mail fiók átnézése során, mert így van lehetősége jelezni valamely e-mail tartalmának a megtekintése előtt, hogy az magáncélú személyes adatot is tartalmaz. Ugyanakkor a NAIH is elismeri, hogy a gyakorlatban felmerülhet több olyan helyzet amikor objektív okokból nem biztosítható a munkavállaló személyes jelenléte (pl.: a munkálatónak egy korábbi munkavállalót kell visszahívni a magáncélú üzenetei leválogatása érdekében). Ilyenkor lehetővé kell tenni, hogy a munkavállaló a meghatalmazottja vagy képviselője útján járjon el. Ha ezen megelőző intézkedések ellenére a munkavállaló nem él a munkáltató által biztosított lehetőséggel, távollétében független, harmadik személy alkalmazásával végrehajtható a keresés az archívumban, de erről mindenképp célszerű jegyzőkönyvet felvenni annak érdekében, hogy utólag igazolható legyen adatkezelés jogszerűsége.
A munkavállalók ellenőrzésével összefüggő adatkezelési célok esetén az adattakarékosság elvéből kiindulva fontos, hogy csak a konkrét célhoz feltétlenül szükséges adatok kezelhetők jogszerűen így, ezen alapelvnek való megfelelés érdekében a munkáltatónak – a korábban említett belső szabályzatában – egy lépcsőzetes ellenőrzési rendszert szükséges kialakítania. Ez alapján első lépéként elégséges lehet az e-mail cím és a levél tárgyának az ellenőrzése, mivel gyakran ezekből is lehet következtetni arra, hogy magáncélú e-mail üzenetről van szó. Ha például az ellenőrzés kizárólag annak megállapítására irányul, hogy a munkavállalók betartották-e az e-mail fiók magáncélú használatának tilalmát, akkor az adatkezelési cél az e-mail cím és a levél tárgyának a megismerésével is elérhető, hiszen a munkajogi jogkövetkezmények már ezen tény megállapítása alapján is alkalmazhatók a munkavállalókkal szemben. Ezt követően kerülhet sor az e-mail üzenetek tartalmának a megtekintésére, de itt is a konkrét cél eléréséhez szükséges adatok megismerésére kell szorítkozni (pl.: ha ismert a jogsértés időpontja, akkor elégséges csak ezen intervallumban küldött e-mail üzenetek tartalmának átnézése).
Összességében megállapítható, hogy a céges e-mail fiókokkal, valamint az abban kezelt magánjellegű tartalmakkal kapcsolatban a NAIH egy igen összetett követelményrendszert állapított meg, ezért ezen témakör kapcsán az egyes adatkezelőknek kiemelt figyelmet kell fordítani a hatósági gyakorlat alapos megismerésére, mert ennek hiányában nem tudnak megfelelő adatvédelmi szabályozást kialakítani ezen a területen.
NAIH tajekoztató a munkahelyi adatkezelesek alapvető követelményeiről – ITT elolvasható.
Források:
