Biztonságos munkahelyi adatkezelés, adatvédelem a gyakorlatban

1. Biztonságos munkahelyi adatkezelés, adatvédelem a gyakorlatban Dr. Dósa Imre MBVE- 2010

2. Kérdéscsokor • Az adatkezelés életciklusán haladva: • Humán kockázat elemzése; • Beléptető rendszer logok felhasználása; • Kameraképek készítése, felhasználása, az adatok életciklusa, • Alakfelismerés, mozgáskövetés adatvédelmi oldala; • Munkahelyi telefonhasználat (kódos telefonálás, számlarészletezés, hatékonyságnövelés telefontiltással); • Informatikai eszközhasználat a cég falain túl: • file védelem, e-mail vizsgálat, cég nevében írt levelek; • Nyilvánosságra hozatal: adócsalók adatai, YouTube-ra töltött tréfás felvételek; • Az érintett hozzájárulásának terjedelme, • a célhoz kötöttség és a szükségesség követelménye; • Az adatok felhasználásának korlátozása, • fair adat megismerési eljárás, • a munkahelyi titok szerepe • Archiválás és adattörlés összefüggése

3. Humán kockázatok • Munkavállaló alkalmazást megelőző munkaügyi adatkezelés: • Korábbi munkahelyről információ beszerzése csak a munkavállaló engedélyével történhet • A munkáltató a munkavállalóra vonatkozó tényt, adatot, véleményt harmadik személlyel csak törvényben meghatározott esetben vagy a munkavállaló hozzájárulásával közölhet. • Egy közismert kérdőív részlete (1995. évi CXXV törvény melléklete):

4. Humán kockázatok • Munkaviszonyhoz kapcsolódó személyes adatok köre korlátozott: • A munkavállalótól csak olyan nyilatkozat megtétele vagy adatlap kitöltése kérhető, illetve vele szemben csak olyan alkalmassági vizsgálat alkalmazható, amely személyiségi jogait nem sérti, és a munkaviszony létesítése szempontjából lényeges tájékoztatást nyújthat. • A megismert személyes adatokat a munkáltató a munkaviszony létesítéséről meghozott döntés időpontjáig vagy - munkaviszony létesítése esetén - annak megszűnéséig (megszüntetéséig) kezeli. • Biztonsági dilemma: • Zsarolható-e a leendő munkavállaló? • Adatszivárogtatás kockázata: • Lehetősége (nagy mennyiségű, értékű adathoz fér hozzá) • Veszélye (zsarolható vagy érdekében áll) • Jogellenes cselekmények • Megelőzése; • Bizonyíték biztosítása • Munkaügyi igények: • Munkaidő alap védelme; • Munka intenzitás vizsgálata - javítása; • Hatékonyság fokozása; • Munkaügyi szabályszegés kiszűrése

5. Beléptető naplók felhasználása • Biztonsági célú felhasználás: • Beléptető rendszerek tradicionális vagyonvédelmi célja (prevenció és vizsgálat segítése); • Épületben tartózkodók létszámának ellenőrzése; • Vendégfogadás támogatása. • Munkaügyi célú felhasználás: • Munkaidő nyilvántartás iránti igény; • Jogcímkódok szükségessége – gyanús bejegyzések igazolása; • Épületen belüli mozgás követése • Hatékonysági, vizsgálatok • Munkavállaló részt vett-e kötelező rendezvényen • Adatvédelmi követelmények: • Szabályozás – az érintettek tájékoztatása • Naplók tárolási ideje felhasználási célhoz igazodjon • Gyakorlati követelmények: • Objektum(ok) alkalmassá tétele; • Beléptető logikák kiépítése (például többes belépés) • Oktatás, adminisztráció

6. Kameraképek készítése, felhasználása • Kamera képek jogász szemmel: • Személyes adatok rögzítése • Adatkezelés, adatfeldolgozás • Érintett tájékozott hozzájárulása =  • Jogkorlátozás vagy a védelem eszköze? (prevenció – reparáció) • A képrögzítés veszélye: visszaélésszerű felhasználás • Ellensúlya: szabályozással • Anyagi szabályokkal: • Milyen céllal történik a képrögzítés, ki, milyen esetben nézheti vissza, milyen időtartamban tárolják a felvételeket például. • Eljárásjogi szabályokkal: • Kitől kérhető a felvétel visszanézése, másolat igényelhető-e, miként lehet az érintettről készített felvételről a törlést kérni… • Alakfelismerés, objektumon belüli mozgás követése: • Statisztikai feldolgozás megengedett – adatkezelési cél gondos megválasztása • Visszaélésszerű felhasználás veszélye növekszik.

7. Munkahelyi telefonhasználat • „A távbeszélő munkaeszköz” • „A telefon az adatszivárogtatás eszköze” • Telefonhasználat korlátozása: • Szolgálati célú használat – magáncélú beszélgetések • Vonalkérő kód: a felhasználó minősíti a hívást • Számlázás eszköze • Visszahallgathatóság csak a szolgálati hívásokra • Számlarészletezés: számtöredék kitakarása csak az adatot ismerőnek informatív • Vállalati szintű közös telefonregiszter: ilyen irányban a hívás szolgálati célúnak vélelmezett • Lehallgatás-e a beszélgetések rögzítése? • Rögzítheti-e a beszélgetést az ügyfél? • Legyen a korlátozás indokolható, okszerű. • Nincs mindenkire alkalmazható zsinórmérték: a hívások szervezetben betöltött célja indokolhatja a korlátozást. • Szemléletes példák: • Call center minőségbiztosítása; (oktatása?) • Hatékonyság, munkaintenzitás növelése telefonálás tiltásával

8. Informatikai eszközhasználat • A munkáltató tulajdona: • Az eszköz • A szoftver • Az adat • Szabályozás szükséges: • Fizikai biztonsági intézkedések (notebook asztallábhoz kikötve) • Szoftverjogtisztaság: letölthető-e freeware • Fáljvédelem: technikai megoldások (határvédelmi eszközök, kriptográfiai megoldások) • Szolgálati és magánhasználat elhatárolása • Ha a magánhasználat megengedett, ennek forgalma nem ellenőrizhető! • Forgalom (e-mail, web) szűrése, úgy, hogy ne legyen lehallgatás: • Szabályzatban dolgozókkal ismertetni kell; • Figyelembe véve, hogy a forgalom szűrése személyes adatok kezelése; • Érintettek lehető kíméletével (káros trendről tájékoztatás érintett felkutatása nélkül) • Riasztási technikával. • Internetes forgalom (mail web) a cég képviseletének is minősülhet • Forgalom szűrésének jogalapja • Disclaimer-ek, adatkezelési tájékoztatók (levélküldők informálása)

9. Egy üdítő sziget a munkajogban • Távmunkavégzés. Szabályai akár analógiaként is szolgálhatnak. • Mt. 192/G. § (3) A munkáltató indokolt esetben ellenőrizheti a távmunkát végző munkavállaló munkavégzési kötelezettségének teljesítését. Az ellenőrzés során a munkáltató nem tekinthet be a távmunkát végző munkavállalónak a munkavégzéshez használt információtechnológiai és informatikai eszközön tárolt, a munkaviszonyból származó jogokkal és kötelezettségekkel össze nem függő adataiba. A betekintési jogosultság vonatkozásában a munkaviszonyból származó kötelezettséggel összefüggő adatnak minősül a (6) bekezdés alapján előírt tilalom betartásának ellenőrzéséhez szükséges adat. • (6) A munkáltató meghatározhatja, hogy a munkavégzéshez általa biztosított információtechnológiai és informatikai, illetve elektronikus eszközt a távmunkát végző munkavállaló mely tevékenységre nem használhatja.

10. Nyilvánosságra hozatal • A magyar jog szerint nem lenne jogszerű hekkertől vásárolt lopott banktitokkal adóhiányt bizonyítani. (2004. évi CXL. törvény – Ket. 121. § (1) d) semmis a közigazgatási döntés, ha tartalmát bűncselekmény befolyásolta…) • A munkavállaló munkahelyi azonosítási (elérhetőségi) adatai nem személyes adatok, hanem a cég adatának minősülnek. • Személyes adat nyilvánosságra hozatala reputációs kárt okozhat, gazdasági titkot sérthet.Az információs önrendelkezési jog vadhajtásává válhat. • Példa: YouTube-ra feltöltött call center beszélgetés. • A nyilvánosságra hozott vagy hozható adatok köre csak a munkaviszonyból folyó kötelezettségek, jogok ismeretében állapítható meg esetileg. (Közszereplők a magánszférájuk nagyobb részét áldozzák fel.)

11. Az érintett hozzájárulásának terjedelme • Az adatkezelés jogalapja a munkaügyi kapcsolatokban is többnyire a munkavállaló hozzájárulása az adatkezeléshez • Csodaszernek tekinthető? Mindent szabad, amihez a munkavállaló hozzájárult? – Nem • A hozzájárulás önkéntessége vitatott a munkajogviszony egyenlőtlen erőviszonyaira tekintettel. • A hozzájáulás nem mentesíti az adatkezelőt a • célhoz kötöttség, szükségesség és arányosság • alkotmányos kötelezettségének betartása alól. • Az Alkotmánybíróság gyakorlata szerint alapjog és szabadság tartalma törvénnyel csak más alapjog, vagy alkotmányos érték védelme érdekében elkerülhetetlen esetben, a szükséges mértékben és arányos módon korlátozható. (11/1992. (III. 5.) AB határozat)

12. Az adatok felhasználásának korlátozása • Az információs önrendelkezési jog sérelme a külvilágban a személyes adatok visszaélésszerű felhasználásával jelenik meg. • A felhasználás korrekt szabályozása az adatvédelem legfontosabb alappillére. • Fair adat megismerési eljárás; • Szabályozott keretek között, felsővezetői engedéllyel; • Csak a privátszféra határáig; • Dokumentált, lehetőleg testületi formában; • A munkahelyi titok szerepe. • „A munkavállaló köteles a munkája során tudomására jutott üzleti titkot - a Ptk. 81. §-ában foglaltak figyelembevételével -, valamint a munkáltatóra, illetve a tevékenységére vonatkozó alapvető fontosságú információkat megőrizni. Ezen túlmenően sem közölhet illetéktelen személlyel olyan adatot, amely munkaköre betöltésével összefüggésben jutott a tudomására, és amelynek közlése a munkáltatóra vagy más személyre hátrányos következménnyel járna.”

13. Archiválás és adattörlés • „12. adattörlés: az adatok felismerhetetlenné tétele oly módon, hogy a helyreállításuk többé nem lehetséges; • 13. adatzárolás: az adatok továbbításának, megismerésének, nyilvánosságra hozatalának, átalakításának, megváltoztatásának, megsemmisítésének, törlésének, összekapcsolásának vagy összehangolásának és felhasználásának véglegesen vagy meghatározott időre történő lehetetlenné tétele;” • Az adattörlés: • Technikailag számos informatikai rendszerben kizárt; • Papír alapon a részleges adattörlés megoldatlan; • Ellentmond az adatállomány, adatarchívum integritásához, hitelességéhez fűződő érdeknek. • Kiút lehet a törvényi védelem céljához igazodó „best practice” • Az archívum integritása ne sérüljön; • Ha törlésre nincs technikai lehetőség, adatzárolás érvényesüljön; • Visszatöltés esetére a törölt adatrekordok listáját a visszatöltött adatok tekintetében is vezesse át a rendszeren az adatkezelő.

14. Köszönöm a kitartó figyelmet!