1. A NAIH állásfoglalásai
A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) 2016. október 28-án kelt tájékoztatót tett közzé a munkahelyi adatkezelések alapvető követelményeiről. Cikkünkben a tájékoztató céges mobiltelefon használatára vonatkozó ajánlásait szedtük össze, kiegészítve a NAIH/2019/51/11. és NAIH/2019/769/ ügyszámú határozatok egyes adatvédelmi iránymutatásaival.
2. Magáncélú használat engedélyezése
A munkahelyi telefon adattartalma személyes adatnak minősül. Ettől elkülönülő kérdés, hogy a személyes adat a munkavégzéssel függ-e össze, vagy a magáncélú használattal.
A munkáltatónak el kell döntenie, hogy szeretné-e engedélyezni a céges mobiltelefon magáncélú használatát a munkavállalók számára vagy megtiltja azt. Ha engedélyezi a magáncélú használatot, a hatóság szerint megfelelő gyakorlat, ha a kimenő hívások két előhívóval vehetőek igénybe: az egyik előhívó a hivatalos, a másik előhívó a magáncélú hívások során használható. A munkáltató csak a hivatalos hívások adatait ismerheti meg, illetve előírhatja, hogy a magáncélú hívások költségeit a munkavállaló viselje. Egy másik megfelelő gyakorlat lehet, ha a munkáltató hívásrészletezőt kér a telefonszolgáltatótól és felhívja a munkavállalót arra, hogy a dokumentumon a magáncélú hívások esetében a hívott számokat tegye felismerhetetlenné. A fennmaradó telefonszámokat a munkáltató megismerheti, mert azokat a munkáltató képviseletében hívta fel a munkavállaló. A munkáltató ebben az esetben is előírhatja, hogy a magáncélú hívások költségeit a munkavállaló viselje.
A munkáltató nem kezelhet személyes adatokat, vagyis azt már nem ismerheti meg, hogy a munkavállaló magáncélból kit és mikor hívott fel.
3. A magáncélú használat megtiltása
Ha a munkáltató úgy dönt, hogy nem engedélyezi a céges mobiltelefon magáncélú használatát, akkor javasolt kifejezetten fel hívni a munkavállalók figyelmét arra, hogy a mobiltelefon csak munkavégzéssel összefüggő célokra használható.
A munkavállalók a tiltás tudatában nem kezdeményezhetnek magáncélú hívást. Ha mégis megteszik, a munkáltató jogosult lesz az Mt. 11. §-ában szereplő ellenőrzési jogával élni annak érdekében, hogy a magáncélú és a munkavégzési célú telefonhasználatot elkülönítse, illetve a magáncélú hívások tényét bizonyítsa. Azonban ebben az esetben sem tudhatja meg, hogy a munkavállalók kit és mikor hívnak fel magáncélból, mert a munkavállaló magánélete az Mt. 11. § (1) bekezdése alapján nem ellenőrizhető.
Fontos megjegyezni, hogy a NAIH álláspontja szerint az eszközökön tárolt magáncélú (munkavégzéssel összefüggésben nem álló) személyes adatok tekintetében a munkáltató adatkezelő, erre tekintettel elsődlegesen a munkáltató felel az adatkezelés jogszerűségéért akkor is, ha a munkavállaló a munkáltató kifejezett tiltása ellenére, a munkáltató tudta nélkül tárol munkavégzéssel össze nem függő adatokat az eszközön.
A magáncélú személyes adatok tekintetében a NAIH álláspontja szerint a munkáltató és munkavállaló közös adatkezelőknek minősülnek, közös adatkezelői megállapodást kell egymással kötniük akkor is, ha a munkáltató tiltja az eszközök magáncélú használatát.
4. Tájékoztató a mobiltelefon használatáról
A munkáltató jogos érdek jogalapon tudja ellenőrizni a munkavállaló céges telefonjának használatát. Ezzel kapcsolatban érdekmérlegelési tesztet kell elvégeznie a rendszer bevezetése előtt, illetve előzetesen részletesen tájékoztatnia kell a munkavállalókat a következőkről különösen:
- milyen célból, milyen munkáltatói érdekek miatt kerülhet sor a céges mobiltelefon használatának ellenőrzésére,
- a munkáltató részéről ki végezheti az ellenőrzést,
- milyen szabályok szerint kerülhet sor ellenőrzésre és mi az eljárás menete,
- milyen jogai és jogorvoslati lehetőségei vannak a munkavállalóknak céges mobiltelefon ellenőrzésével együtt járó adatkezeléssel kapcsolatban.
Ellenőrzés előtt a munkáltatónak lehetőséget kell biztosítania a munkavállaló számára, hogy az adatok kezelését (törlését) kontrollálhassa, és a munkáltató által nem kezelhető adatokat a maga számára saját eszközre mentse. Egy olyan eljárást kell kialakítani tehát, ahol lehetőség szerint mindkét fél kontrollálja az adatok „szétválogatásának” folyamatát, és ennek során az általa jogszerűen nem kezelhető adatokat csak az adat e minőségének megállapításához, a folyamat ellenőrzéséhez legszükségesebb körre korlátozódjon.