1. A tényállás
A Cég1, mint közlekedésszervező és a Cég2, mint szolgáltató együttesen közszolgáltatást látnak el. A közszolgáltatás részét képezik Cég2 által teljesített közúti közforgalmú autóbuszos személyszállítási feladatok, valamint a Cég1 által végzett forgalomirányítási feladatok. Cég1, illetve annak diszpécserei felelnek a közszolgáltatás megfelelő műszaki hátterének a biztosításáért és azért, hogy szám és minőség szerint is megfelelő jármű szolgálja ki a közlekedő tömeget. E feladatok ellátását a két cég között létrejött szolgáltatás-ellenőrzési technológiai megállapodás szabályozza. A szerződés szerint a Cég1– akár hangfelvétel készítésével is – ellenőrizheti a Cég2, illetve annak munkavállalói feladatainak ellátását.
Cég2 Kérelmező korábbi munkáltatója. Cég1 fődiszpécser munkatársa telefonos beszélgetést kezdeményezett a Kérelmezővel hivatali telefonján keresztül, és e telefonbeszélgetést a hozzájárulása és tájékoztatása nélkül ismeretlen hangrögzítő eszközzel rögzítette, majd ezt a hangfelvételt a Cég2 felé továbbította. A Cég2 a hangfelvétel alapján vizsgálatot indított a Kérelmezővel szemben, majd a vizsgálat eredményeként kezdeményezte munkaviszonya megszüntetését, mivel az általa folytatott kommunikáció nem felelt meg a Cég2 szolgáltatói és szakmai elvárásainak. A Kérelmező írásban tájékoztatást kért személyes adatai kezeléséről és igénybejelentéssel élt a Cég1 felé. A Cég1 válaszleveleiben vitatta a jogsértés tényét és elzárkózott a közölt igények teljesítésétől, ugyanakkor azt nem vitatta, hogy a hangfelvétel rögzítésére és továbbítására a Kérelmező hozzájárulása és tájékoztatása nélkül került sor. A Cég1 válaszlevelében továbbá arról tájékoztatta a Kérelmezőt, hogy erre a Cég1 és a Cég2 között létrejött szolgáltatás-ellenőrzési technológiai megállapodás alapján került sor. Ugyanakkor a Kérelmező szerint e megállapodás tényéről, tartalmáról nem volt tudomása és azt a Cég1 kifejezett kérése ellenére sem bocsátotta rendelkezésére. Mindezek mellett a Cég1 tájékoztatta a Kérelmezőt személyes adatai kezeléséről, annak körülményeiről, továbbá megküldte a Kérelmező részére az általa kifogásolt hangfelvétel másolatát, azzal, hogy tájékoztatta a Kérelmezőt arról is, hogy a Kérelmező által várhatóan érvényesíteni kívánt igényekre tekintettel a hangfelvétel törlésétől eltekintett, ugyanakkor az ahhoz való hozzáférést korlátozta.
A hangrögzítés a Cég1 diszpécsereinek asztali telefonjain keresztül folytatott összes beszélgetést érinti, beleértve a diszpécserek egymás közötti, a diszpécser és a járművezető közötti, illetve a diszpécser és a szolgáltató egyéb alkalmazottjai közötti beszélgetést is, hiszen minden bejövő és minden kimenő hívás rögzítésre kerül. A hangrögzítésre jogos érdek érvényesítése céljából, a szolgáltatás-ellenőrzési technológiai megállapodásban rögzített autóbuszos személyszállítási szolgáltatás ellenőrzése, illetve az utólagos jogvita tisztázása érdekében került sor.
A Cég2 nyilatkozata szerint számára a hangfelvétel továbbításának célja nem ismert, mivel a hangfelvételt nem ő készítette, nem ő volt az adatkezelő, és nem kérte a felvétel továbbítását sem. Álláspontja szerint a hangfelvétel továbbításának célja a Cég1 arról szóló tájékoztatása lehetett, hogy a Kérelmező, a Cég2 munkavállalója nem megfelelő hangnemben beszélt a Cég1 munkavállalójával. Ennek következményeként a Cég2 oly módon használta fel a hangfelvételt, hogy azt meghallgatta, és az azon elhangzottak ismeretében munkáltatói eljárást kezdeményezett a Kérelmezővel, mint munkavállalójával szemben.
2. Adatkezelők
A GDPR szerint egy természetes személy hangja személyes adatnak, a hangfelvétel készítése, valamint a személyes adaton elvégzett bármely művelet pedig adatkezelésnek minősül.
Hatóság álláspontja szerint egy olyan, részben közös adatkezelésre hasonlító konstrukció jött létre, amelyben a felvételeket mindkét cég a saját önálló és elkülönülő céljaira használja fel. A Cég1 a Cég2 szolgáltatásának ellenőrzése érdekében használja fel a Cég2 munkavállalóiról készített felvételeket, míg a Cég2, amennyiben munkafegyelmi vétséget állapít meg, az érintett munkavállalója felelősségének vizsgálata miatt használja fel azokat, munkáltatói ellenőrzés keretében. A hangrögzítéssel megvalósuló ellenőrzést a Cég1 választotta ki, a felvételeket a Cég2-vel közösen használja fel, más-más célból. Az adatkezelésben a közös pontot – azt, hogy mindkét esetben a Cég2 munkavállalói személyes adatainak kezelése és tevékenységük dokumentálására kerül sor – az alkalmazott technikai eszköz jelenti, ugyanakkor ez nem jelenti azt, hogy ténylegesen közös adatkezelésről lenne szó, mivel mindkét cég külön célból kezeli az érintettek személyes adatait, ugyanakkor ezen célok egymással összefüggnek, illetve egymásból következnek. A Hatóság álláspontja mindebből következően az, hogy a Cég1 és a Cég2 is a GDPR 4. cikk 7. pontja szerinti önálló adatkezelőnek minősülnek.
3. Az adatkezelés célja és jogalapja
A Hatóság álláspontja szerint mind annak a Cég1 általi ellenőrzése, hogy a Cég2 betartja-e a közszolgáltatási tevékenységével kapcsolatos kötelezettségeit, mind annak a Cég2 általi ellenőrzése, hogy munkavállalói betartják-e a munkavégzésre vonatkozó szabályokat, jogszerű adatkezelési célnak tekinthető.
A Hatóság szerint az adatkezelés jogalapja a Cég1 esetében az GDPR 6. cikk (1) bekezdés e) pontja lehet, mely szerint a személyes adatok kezelése közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges. Ennek oka, hogy egy önkormányzat közérdekű feladatainak ellátására közlekedésszervezőnek jelölte ki a Cég1-et, amely cégnek a közlekedés, mint közfeladat szervezésével összefüggő feladatai közé tartozik az is, hogy ellenőrizze a Cég2, mint szolgáltatás nyújtására megbízott cég szolgáltatásának minőségét. Azaz a Cég1 a közérdekű feladatai körében folytatja a szolgáltatás ellenőrzését és az azzal összefüggő adatkezelést, tehát az adatkezelés a közérdekű feladata, illetve abból eredő jogosítványai gyakorlásának keretében végzett feladat végrehajtásához szükséges.
4. Az elszámoltathatóság elve
Jelen ügyben az adatkezelés célja és a mögötte húzódó munkáltatói érdek jogszerű, azonban a Cég1 a Kérelmező személyes adatai kezelése kapcsán az adatkezelést kiváltó más módszer meglétét nem vizsgálta, illetőleg az érintetti és adatkezelői érdekek összevetését nem végezte el, továbbá nem szabályozza átláthatóan adatkezelését, így a Cég1 érdekmérlegelési tesztje nem felel meg a követelményeknek. A Kérelmezőt érintő adatkezelés kapcsán a nem megfelelő érdekmérlegelés miatt a Hatóság megállapítja, hogy a Cég1 megsértette az GDPR 5. cikk (2) bekezdésében meghatározott elszámoltathatóság alapelvi követelményét, illetőleg amiatt, hogy nem megfelelő jogalapra hivatkozott, megsértette az GDPR 6. cikkét.
Tekintettel arra, hogy a Kérelmező által kifogásolt adatkezelésben a Cég2 is részt vett, a Hatóság hivatalból vizsgálta adatkezelése jogalapját. A Cég2 nyilatkozata szerint a hangrögzítésre alkalmas telefon(oka)t a Cég1 működteti, ezért az e vonalon folytatott beszélgetések rögzítésével kapcsolatos adatvédelmi szabályok betartása is kizárólag a Cég1-et, mint adatkezelőt terheli. A Cég2 álláspontja szerint ebben az adatkezelésben nem vesz részt, nem tekinthető adatkezelőnek. A Hatóság ettől eltérően megállapította a jelen döntés III. 1. pontjában azt, hogy Cég2 a Kérelmező munkavégzésének ellenőrzésével összefüggésben felhasználta a Cég1-től kapott hangfelvételeket – mint adott esetben más munkavállalók esetében is felhasználja –, amely alapján munkáltatói intézkedést is hozott, így ezen adatkezelési cél tekintetében önálló adatkezelőnek minősül. Ebből következően ezen adatkezelés tekintetében be kell tartania az adatvédelmi követelményeket. Tekintettel arra, hogy a Cég2 nem tekintette magát adatkezelőnek, így adatkezelési jogalapra sem hivatkozott, a Hatóság megállapítja, hogy a Cég2 jogalap igazolásának hiányában kezelte a Kérelmező személyes adatát, megsértve ezzel szintén az GDPR 5. cikk (2) bekezdés szerinti elszámoltathatóság elvét és az GDPR 6. cikkét.
5. Tájékoztatás az adatkezelésről
Tekintettel tehát arra, hogy két eltérő célú adatkezelésről és két önálló adatkezelőről beszélünk, mind a Cég1-nek, mint a Cég2-nek átlátható tájékoztatást kell nyújtania adatkezeléséről a Kérelmező számára. A nyilatkozatok alapján azonban a Hatóság megállapítja, hogy sem Cég1, sem a Cég2 nem tájékoztatta átlátható módon a Kérelmezőt az adatkezeléséről, megsértve ezzel az GDPR 5. cikk (1) bekezdés a) pontját és a 13. cikk (1)-(2) bekezdését.
Hatóság álláspontja szerint továbbá az adatkezelés jellegére tekintettel az ellenőrzést követően tájékoztatást kell nyújtani az érintett számára arról, hogy vele szemben ellenőrzést, illetve adatrögzítést végeztek, illetve biztosítani kell számára azt, hogy gyakorolni tudja az GDPR III. fejezete szerinti érintetti jogokat, adott esetben tiltakozhasson az adatkezelés ellen.
6. Kérelmező tájékoztatása a személyes adatainak kezeléséről
A Cég1 tájékoztatta a Kérelmezőt a személyes adatai kezelésére vonatkozó információkról, továbbá megküldte részére a kifogásolt hangfelvétel másolatát. A Cég 1tehát biztosította a Kérelmező GDPR 15. cikk szerinti hozzáférési jogát, így ebben a vonatkozásban a Hatóság nem állapít meg jogsértést.
7. Bírság kiszabása
A Hatóság a Cég1-et hivatalból 500.000 Ft, azaz ötszázezer forint adatvédelmi bírság, a Cég2-t hivatalból 200.000 Ft, azaz kétszázezer forint adatvédelmi bírság megfizetésére kötelezte.