Ma ismét jó hangulatban gyűltünk össze annál a bizonyos kerek asztalnál a Budapesti Ügyvédi Kamarában. A korábban érkezők Alessandro tiramisujával és körtés gyömbéres tortájával nyitottak. Ezután tértünk a délután fő témájára, a kamerás adatkezelésre.
Először a testkamerák és gépjárműkamerák adatkezeléséről beszélgettünk. A testkamerákat több adatkezelő alkalmazza már (pl.: MÁV, BKV), azonban üzemi területen teszik ezt. Közterületen az alkalmazásuk kifejezett törvényi alap birtokában képzelhető el, melyre példa a közterület felügyelet. A tapasztalat azonban az, hogy egyre több adatkezelő tervezi a testkamerák alkalmazását, ezért bízom benne, hogy a hatóság - eddig határozatokban nehezen utolérhető - álláspontja is lazulni fog ebben a tekintetben.
A gépjárműkamerák vonatkozásában talán még nehezebb a helyzet, ugyanis azok tipikusan folyamatosan rögzítenek, így sok a potenciális érintett, mellyel szemben csak egy feltételezett baleset esetén szükséges bizonyítékok állnak. A hatóság álláspontja szerint a gépjármű kamerák így nem alkalmazhatóak jogszerűen. Ebben a kérdésben vizsgáltuk a saját használatú gépjármű kamerákat, illetve ezek besorolhatóságát a háztartási adatkezelésbe. Ezzel kapcsolatban az az álláspont alakult ki, hogy bár a gépjármű kamera vélhetőleg nem lehet megalapozott érdekmérlegelési teszttel, de mivel a háztartási adatkezelés nem tartozik a GDPR hatálya alá, így ezt a tesztet el sem kell végezni.
Érdekesség ebben a témában, hogy a hatóság - közérdekű adatigénylés keretében benyújtott kérelmemre - úgy nyilatkozott, hogy testkamera és gépjárműkamera vonatkozásában nem adtak ki határozatot...
A jogalapok tekintetében vizsgáltuk azt az esetet, amikor egy közfeladatot ellátó adatkezelő mondjuk a saját épületének vagyonvédelmi okból történő kamerás megfigyelését végzi. A közfeladattal kapcsolat adatkezelés ez esetben e) pont alapján történik, azonban az épület megfigyelése nem feltétlenül függ össze a közfeladattal.
Ebben a tárgykörben a NAIH - igen érdekes - határozatát Arvid hozta el nekünk:
"Mivel Kötelezett az Ötv. alapján közhatalmi szervnek minősül, a fentiekben kifejtettek miatt érvényesen nem alapozhatja a jogos érdek jogalapra az olyan adatkezelését, amely a közfeladata ellátásához, közhatalom-gyakorlásához szükséges épületben folytatott működésével függ össze. A Kötelezet esetén – tekintettel arra, hogy az általános adatvédelmi rendelet 6. cikk a) –d) pontjában megjelölt jogalapok alkalmazásának feltételei nem állnak fenn, egyedül a 6. cikk (1) bekezdés e) pontja jöhetne szóba mint az adatkezelés jogszerűségét megalapozó jogalap. E szerint akkor lehetne jogszerűnek tekinteni az adatkezelést, ha az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges."
Jómagam érzek némi ellentmondást a NAIH egy másik határozatával, (és az adatvédelem logikájával is), de mindenki döntse el maga.
Ezt követően áttértünk a Ptk. vs. GDPR kérdéskörre (az Alien vs. Predator óta ilyen konfliktust nem láttunk!). A probléma alapja, hogy a GDPR 6 féle jogalapot ismer, mely az adatkezelést jogszerűvé teheti, ezzel szemben a Ptk. szerint kizárólag hozzájárulással kezelhető a képmás, mint személyes adat.
Heves vita alakult ki a kérdésben, melynek szélsőséges álláspontjai ("tűzre a Ptk-val, süssünk szalonnát" / "a Ptk. nem hagyható figyelmen kívül, a GDPR mellett alkalmazandó") között lehet valahol az igazság. Abban konszenzusra jutottunk, hogy a GDPR hatálya alá nem tartozó adatkezelések (pl.: a háztartási adatkezelés) esetén mindenképpen maradhat a Ptk. Az is erősen javasolt, hogy adatvédelmi feladatok kapcsán érdemes legalább a megbízó figyelmét felhívni a Ptk. rendelkezéseire, ha képmás a kezelt adat.
Külön kérdéskört képeznek azok az esetek, ahol nem egyszerűen képmás van, hanem pl. munkavállalók részvételével készítenek image filmet. Ilyen esetben a GDPR alapján a) és f) pontos jogalap jöhet szóba. Az a) pont nyilván biztonsági játék, azonban gondban leszünk a hozzájárulás visszavonása esetén (vö. más jogalapra való áttérés azonos adatkezelési cél esetén). Az f) pont esetén viszont komoly dokumentáció és érdekmérlegelés kell. E sorok írója az f) pontot látja kezelhetőnek, de az asztal körül azért erősen megoszlottak a vélemények.
A témában - szintén Arvid - ajánlásával a következő határozatot érdemes megnézni: az ügyben egy érintett marketing fotóját nyomtatták kamionok oldalára. A képmás kezelése a) pont alapján történt. Nyilván jött a fejvakarás, amikor az érintett a hozzájárulását visszavonta, azonban a kamionok matricázása sok-sok millió volt...
Nagyon pezsgő beszélgetés volt, köszönöm mindenkinek, aki ma is megtisztelt minket a jelenlétével. A következő alkalmakat itt a honlapon láthatjátok.
