A munkáltatóm a jövő hónaptól ujjlenyomatolvasót szeretne felszereltetni, mellyel egyrészt rögzíteni kívánja a munkavállalók érkezését és távozását, valamint egyes helységekbe biztonsági megfontolásból kizárólag így lehetne belépni. Több kollegám is aggályosnak tartja a tervezett intézkedést, mert nem tudjuk, hogy megvannak-e ehhez a törvényes feltételek. Kötelezhet minket a munkáltató az ujjlenyomatolvasó használatára?
Bár pontos válasz csak a munkáltató által alkalmazni kívánt konkrét műszaki megoldás és használati eset (use case) részleteinek ismeretében adható, elméletileg nem kizárt, hogy a munkáltató jogszerűen vezessen be egy ilyen intézkedést.
Mivel a munkavállalóktól gyűjtött és a munkáltató által tárolt ujjlenyomatok általában személyes adatként minősülnek, ezért a választ az adatvédelmi jogszabályokban kell keresnünk. A teljesség kedvéért megjegyezzük, hogy ismeretesek olyan, adatvédelmi szempontból jóval egyszerűbb megoldások is, amikor a rögzített ujjlenyomat nem köthető az érintett munkavállalókhoz, így nem minősül személyes adatnak (pl. amikor az adatok csak a leolvasó eszköz memóriájában tárolódnak, és nem kerülnek összekapcsolásra a munkáltató egyéb adatbázisaival).
Az ujjlenyomatot, mint biometrikus adatot az adatkezelők tipikusan két célra használják: azonosítás, vagy hitelesítés (ellenőrzés). Mivel a két használati esetre eltérő jogi feltételek vonatkoznak, érdemes tisztázni a kettő közti különbséget.
Az azonosítást olyan esetekben használják, mikor az adott személy az adatkezelő számára ismeretlen, és a személytől felvett biometrikus adatot (pl. ujjlenyomatot, élőképet) egy központi adatbázisban tárolt több biometrikus sablonnal hasonlítják össze (egy a többhöz megfeleltetési folyamat) a személyazonosság megállapítása érdekében. Az azonosítás egyszerűen összefoglalva a ’ki vagy?’ kérdés megválaszolására alkalmas. A biometrikus azonosítás ebből kifolyólag egy jóval bonyolultabb, összetettebb, lassabb, erőforrás-igényesebb, és az érintettek személyiségi jogai szempontjából komolyabb szabályozást igénylő folyamat.
Az ellenőrzés ezzel szemben az adatkezelő (pl. munkáltató) számára már ismert személy (jogosultságainak) validálására szolgál, amelynek során a leolvasott ujjlenyomat az adott személytől korábban már letárolt mintával kerül összevetésre (egy az egyhez történő vizsgálat). Az ellenőrzés célja nem az azonosítás, hanem annak megállapítása, hogy az érintett személy az-e, akinek mondja magát, és hogy ennek megfelelően jogosult-e valamilyen tevékenységre (pl. egy adott szolgáltatás igénybevételére, vagy területre való belépésre).
A fentieknek megfelelően a biometrikus azonosító rendszerekkel kapcsolatban a GDPR – és annak felhatalmazása alapján hazai alkalmazás viszonylatában a Munka Törvénykönyve – sokkal komolyabb feltételeket támaszt. Az azonosítás céljából felhasznált ujjlenyomat és kezelése a GDPR 9. cikkének hatálya alá tartozik, és csak valamely ott írt pluszfeltétel esetén kezelhető (ez munkaviszonyban különösen nehezen teljesíthető), kötelező az adatvédelmi hatásvizsgálat elvégzése, és az adatvédelmi tisztviselő kinevezése is. Fontos továbbá kiemelni, hogy az ilyen megoldások az Mt. 11.§-a alapján csak rendkívül szűk körben (pl. az életet, testi épséget súlyos vagy tömeges, visszafordíthatatlan sérelmének veszélyével járó esetekben, fegyverek, mérgező, veszélyes, biológiai vagy nukleáris anyag őrzése esetén) alkalmazhatóak és akkor is csak a jogosulatlan hozzáférés megakadályozása érdekében.
Az ellenőrzésre használt rendszerek esetén (pl. a munkavállaló munkahelyre történő belépéséhez használt egyszerűbb ujjlenyomat-leolvasó rendszer), amennyiben személyes adatkezelés is történik, a munkáltatónak ezzel szemben „csak” az általános adatvédelmi követelményeknek (GDPR alapelvek, megfelelő jogalap, tájékoztatás stb.) kell megfelelnie. Ilyen esetben az adatkezelés jogalapja általában a munkáltató jogos érdeke lehet, de itt az érdekmérlegelés során például buktató lehet, ha a munkáltató nem tudja megfelelően alátámasztani, hogy a biometrikus ellenőrzés miért feltétlenül szükséges a munkahelyre történő belépés ellenőrzéséhez, és miért nincs más, az adatkezelés szempontjából megfelelőbb megoldás, illetve miért élvez elsőbbséget a munkáltató jogos érdeke a munkavállalók személyiségi jogaihoz képest.
Mielőtt a munkáltató kötelező, és egyedüli lehetséges megoldásként írná elő az ujjlenyomat-olvasó rendszer használatát, érdemes megvizsgálni azt is, hogy amennyiben egy vagy több munkavállaló a GDPR által biztosított tiltakozási jogával élne (azaz nem szeretnék, ha a munkáltató az ujjlenyomataikat ilyen célokra használná), akkor van-e olyan „kényszerítő erejű jogos ok” (pl. akár az Mt. fent idézett szabályaiban az ellenőrző rendszerek kapcsán előírt feltételek valamelyik fennáll-e az adott munkáltatónál), amely alapon a munkáltató az esetleges tiltakozások ellenére is kötelező jelleggel üzemeltetheti a rendszert.
A használat során szerzett biometrikus adatainkat milyen körülmények és feltételek között kezelheti a munkáltató, illetve meddig tárolhatja azokat?
Adatbiztonsági szempontból ezen adatokra ugyanazok az információbiztonsági (hozzáférési jogosultságok szabályozása és kikényszerítése, titkosítás, álnevesítés stb.) és egyéb, a GDPR-ban meghatározott követelmények vonatkoznak, mint a munkáltató által kezelt egyéb adatokra.
A megőrzési időt a jogszabályok nem határozzák meg; ezt az adott adatkezelés egyéb ismérveinek figyelembevételével (pl. mi a felhasználás célja, mennyi ideig szükséges és indokolható a megőrzés stb.) a munkáltatónak kell előzetesen meghatároznia, és arról a munkavállalókat tájékoztatnia.
Kérhetem-e azok törlését és a törlés megtörténtét miként köteles a munkáltató felém igazolni?
Bizonyos esetekben igen (pl. ha az adatkezelés jogalapja a munkáltató jogos érdeke, és a munkáltató nem tud felmutatni az adatkezelés folytatását igénylő kényszerítő erejű körülményt). Akkor is ez a helyzet, ha a munkáltató a rendszert opcionálisan, egy kényelmi szolgáltatásként vezeti be (pl. a munkavállalók kártyával és ujjlenyomatukkal is beléphetnek, de a választás szigorúan önkéntes) és a hozzájárulást kért az ujjlenyomatok kezeléséhez.
***
A fentiekben nagy vonalakban bemutattuk a biometrikus rendszerek főbb adatvédelmi kérdéseit. Természetesen minden egyes konkrét eset egyedi megközelítést, és speciális (pl. munkajogi) szempontok mérlegelését teheti szükségessé, ezért az egyes megoldások bevezetése előtt célszerű nemcsak a cég adatvédelmi tanácsadójával, de munkajogászával is egyeztetni.
Dr. Bartal Iván LL.M.
Ügyvéd/Partner
Ivan.BARTAL@oppenheimlegal.com
0036/30/3839934
Oppenheim Ügyvédi Iroda
***
A szerzői jog jogosultja fenntart minden másolással, terjesztéssel, többszörözéssel kapcsolatos jogot. Tilos a cikkek, egyéb tartalmak teljes vagy rövidített formában történő másolása, nyilvánossághoz közvetítése, újraközlése. Tilos továbbá a honlap tartalmát adatbázisba lementeni. A honlapon található tartalom bármely eleme csak a szerzői jog jogosultjának előzetes engedélyével használható fel. Tájékoztatjuk továbbá, hogy a jelen írás nem minősül jogi tanácsnak!