A GDPR alaposan megkavarta a társasházi kamerarendszerek üzemeltetésének szabályait.
A társasházakról szóló 2003. évi CXXXIII. törvényből 2019. április 26-tól egyebek között kiszedték ezt a részt:
„A felvételeket a rögzítést követő 15 napig kell tárolni abból a célból, hogy azok a rögzítés helyszínén elkövetett bűncselekmény vagy szabálysértés miatt indult büntető-, szabálysértési vagy más hatósági, bírósági eljárásban – ideértve az érintett személy vagy a társasházi közösség által, jogainak érvényesítése céljából indított eljárásokat, akár a polgári peres eljárást is – bizonyítékul, az erre törvényben felhatalmazott adatkezelők által felhasználhatóak legyenek. E határidő lejártát követően a fel nem használt felvételeket haladéktalanul törölni kell úgy, hogy azok többé ne legyenek helyreállíthatóak.”
És most?
A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) iránymutatása szerint az adatkezelő feladata eldönteni és meghatározni, hogy adott társasházban az adott célok teljesülése érdekében mennyi ideig szükséges tárolni a felvételeket, a szükséges tárolási idő esetről esetre eltérő lehet.
Az adatkezelő ehhez érdekmérlegelést köteles elvégezni: ez azt jelenti, hogy a kamerát üzemeltető személynek mérlegelnie kell a kamerarendszer üzemeltetése során egymással szembe kerülő érdekeket, így pl. a társasház állag- és vagyonmegóváshoz fűződő jogát kell szemben állítania azon személyek személyes adatok védelméhez fűződő jogával, amely személyek képmását, mozgását, egyéb személyes adatát a kamera rögzíti.
Erre azért van szükség, mert valamennyi adatkezelés (így egy kamerarendszer üzemeltetése) jogszerűségének elengedhetetlen feltétele, hogy annak a GDPR 6. cikkében szereplő megfelelő jogalapja legyen (a jogalapok azok a lehetséges feltételek, amelyek fennállása esetén az adatkezelés jogszerű lehet, amennyiben az adatkezelő betartja a GDPR további rendelkezéseit).
Társasházi kamerázás során az esetek többségében a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek megléte szolgáltathat megfelelő jogalapot az adatkezeléshez, amely jogos érdekre hivatkozás kizárólag akkor áll fenn, ha az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.
Azon következtetés, hogy az adatkezelő vagy harmadik személy jogos érdeke (azaz az az érdek, amiért a társasház kamerarendszer üzemeltetéséről döntött, pl. vagyonvédelem) elsőbbséget élvez harmadik személyek érdekeivel vagy alapvető jogaival szemben (pl. személyes adatok védelméhez fűződő jog, képmáshoz való jog, magánszféra védelme), kizárólag akkor állítható, amennyiben az adatkezelő az érdekek mérlegelését elvégezte.
Az érdekmérlegelés elvégzése a megfelelő jogalap meglétén túl
- a célhoz kötöttség
[A GDPR 5. cikk (1) bekezdés b) pontja alapján a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”).]
- és az adattakarékosság
[A GDPR 5. cikk (1) bekezdés c) pontja alapján a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”)]
alapelveinek érvényesítését és megtartásának igazolását is elősegíti, ugyanis az érdekmérlegelésben szükségszerű konkrétan meghatározni a kamerázás célját, továbbá azt, hogy e cél megvalósítása érdekében mennyi ideig szükséges tárolni a felvételeket.
Ki és mikor készít hatásvizsgálatot?
A GDPR 35. cikke rögzíti a hatásvizsgálat elkészítésére vonatkozó szabályokat: a 35. cikk (1) bekezdése szerint akkor köteles az adatkezelő az adatkezelést megelőzően hatásvizsgálatot elvégezni, ha az adatkezelés valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve.
Annak eldöntése során, hogy az adatkezelés magas kockázattal jár-e, különösen az adatkezelés jellegére, hatókörére, körülményére és céljaira kell figyelemmel lenni.
A NAIH álláspontja szerint egy társasházban üzemelő kamera alapvetően nem valószínűsíti, hogy az adatkezelés magas kockázattal járna az érintettekre, de az adatkezelő feladata a konkrét esetben mérlegelni, hogy az adatkezelés magas kockázattal járhat-e az érintettekre nézve.
A hatásvizsgálat elkészítéséhez a GDPR nem ír elő szakképzettséget - hívja fel a figyelmet a NAIH.
Utolsó kommentek