A Nemzeti Adavétdelmi és Információszabadság Hatósága legutóbbi Határozata alapján 1.000.000 Ft adatvédelmi bírságot szabott ki egy szálláshelyre kamerás megfigyelés nem megfelelő tájékoztatása miatt.
2023. nyarán egy hazai szálláshelyen kamerával folytatott adatkezelés jogszerűsége tárgyában indult adatvédelmi hatósági eljárás, amely alapján a Hatóság az alábbi döntéseket hozta:
I. A Hatóság a Kérelmező kérelmének helyt ad, és megállapítja, hogy a Kérelmezett megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, az Európai Parlament és a Tanács 2016/679. számú rendelete (a továbbiakban: GDPR) 12. cikk (1) bekezdését, amikor nem nyújtott könnyen hozzáférhető és átlátható módon tájékoztatást a kamerarendszer üzemeltetése útján megvalósuló adatkezelésről.
II. A Hatóság a Kérelmező kérelmének helyt ad, és megállapítja, hogy a Kérelmezett megsértette a GDPR 13. cikkét, amikor nem adott tájékoztatást a kamerarendszer üzemeltetése útján megvalósuló adatkezelésről.
III. A Hatóság a GDPR 58. cikk (2) bekezdés d) pontja alapján hivatalból utasítja a Kérelmezettet, hogy a kamerás adatkezeléssel kapcsolatos tájékoztatási gyakorlatát alakítsa át olyan módon, hogy az maradéktalanul megfeleljen a GDPR 12. cikk (1) bekezdésében, valamint a GDPR 13. cikkében foglaltaknak a jelen határozat véglegessé válásától számított 30 napon belül.
IV. A Hatóság az I.-II. pontokban megállapított jogsértések miatt a Kérelmezettet 1 000 000 Ft, azaz egymillió forint adatvédelmi bírság megfizetésére kötelezi.
Ezt követően a Hatóság kivételesen is hosszan, 17 oldalon keresztül részletezi az indoklásokat és döntés körülményeit. Ebben olvashatjuk például, hogy
„A Kérelmező a kérelmében azt kifogásolta, hogy nem kapott megfelelő tájékoztatást a kamerarendszer üzemeltetéséről, az így megvalósuló adatkezelésről, így abban sem lehetett biztos, hogy a kamerák rögzítenek-e a képet vagy sem. … A Kérelmező azonban a beadványaiban egyszer sem kifogásolta, hogy a kamerák üzemeltetésére a Kérelmezett ne rendelkezne jogalappal, és bár a hozzájárulása hiányára tett utalást a Kérelmező, az önmagában nem befolyásolja az adatkezelés jogszerűségét, hiszen a kamerarendszer útján megvalósuló adatkezelések jogalapja jellemzően az adatkezelő jogos érdeke, másfelől, a jogsértés orvoslására irányuló határozott kérelmében kizárólag az adatkezelésről való tájékoztatás körében adott elő kérelmet.”
Mit jelent ez?
A kamerás megfigyelés jogalapja minden esetben a GDPR II. fejezet 6. cikk f pontja, azaz:
| f) | az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. |
Az adatkezelő jogos érdekét érdekmérlegelési teszt alapján kell bizonyítani. Ez által válik minden érintett fél számára világossá és egyértelművé az az érdek amely alapján az adatkezelő érdeke elsőbbséget élvez a többi érintettel szemben alapvető jogai és szabadságai tekintetében.
A hozzájárulás kérdése ez esetben teljesen értelmetlen és kivitelezhetetlen is, maga a kamerarendszer létéről és üzemeltetéséről azonban kötelező tájékoztatni minden érintettet, mielőtt a megfigyelt területre lép. A szálláshely a NAIH határozata alapján egyértelműen ebben hibázott, ami súlyos pénzbüntetést vont maga után.