A társasházi kamerázás adatvédelmi szabályai

Ez a cikk több mint egy éve került publikálásra. A cikkben szereplő információk a megjelenéskor pontosak voltak, de mára elavultak lehetnek.

A NAIH szerint a kamerák által közvetített élőkép megtekintése, az Infotv. alapján is, de a GDPR alapján mindenképpen adatkezelésnek minősül.

Egy panaszos azért fordult a NAIH-hoz, mert álláspontja szerint a társasház tulajdonát képező laptop kezelője hozzáfér a társasház elektronikus megfigyelőrendszere által rögzített felvételekhez. A laptopot kezelő személy nem munkatársa a társasházkezelő cégnek, ezért rá nem terjed ki a társasházkezelővel kötött adatfeldolgozási szerződés, így adatkezelése jogellenes.

A NAIH a panaszk9rülményeinek kivizsgálása érdekében helyszíni szemlét tartott a társasházban, amelyen a társasház házititkára és recepciósa, valamint a megfigyelőrendszert működtető biztonsági cég biztonsági őre volt jelen.

A társasház házititkára nem tudott választ adni arra, hogy milyen célból és milyen jogalap alapján üzemeltetik a kamerákat, ugyanakkor elmondta, hogy a társasház 2002-es kivitelezésekor már kihelyezték azokat és jelenleg az uszodát, a wellness részleget, a kerti kijárót, a recepciót a garázst és a portát figyelik.

A házititkár a biztonsági cég alkalmazottjaként a társasház pénzügyeit és postázását intézi a saját számítógépéről.

A recepciós elmondta, hogy a kamerák által rögzített képeket tárolják, azonban a tárolás időtartamát nem tudta megmondani. A rendszer által közvetített élőképet a monitoron látják, azonban az érintetteknek kérésre sem engednek betekintést a felvételekbe. A társasház kameraszabályzattal nem rendelkezik, az érkezőket a kapunál kihelyezett piktogramm figyelmezteti a megfigyelőrendszer alkalmazására.

A biztonsági őr elmondta, hogy a portaszolgálatot ellátó személyek a biztonsági cég alkalmazottjai, akik a kamerák élőképét látják, figyelik, azonban a rögzített felvételekhez nem férnek hozzá. Arról is tájékoztatta a NAIH-ot, hogy a rendszerbe való belépéshez az összes portaszolgálatos ugyanazt a felhasználónevet és jelszót használja. A biztonsági őr elmondása szerint körülbelül 22 kamera működik a társasház területén.

A NAIH informatikai munkatársa igazolta a biztonsági őr által elmondottakat és megállapította, hogy a felvételekhez történőhozzáférés megfelelően korlátozott, de a számítógép bekapcsolását követően a rendszer automatikusan elindul, ezért nem azonosítható a portaszolgálatos személye. A kamerakezelő programba pedig minden munkatárs ugyanazzal a felhasználónévvel és jelszóval tud belépni.

A NAIH nyilatkoztatta a biztonsági céget, amely tájékoztatásában kifejtette, hogy tudomása szerint a korábbi kamerarendszert 2013-ban lecserélték és csak a kamerákat hagyták meg belőle.

A társasház intézőbizottságának elnöke tájékoztatta a NAIH-ot, hogy a társasház felmondta a kamerarendszer üzemeltetésére kötött szerződését a biztonsági céggel és egy másik céget bízott meg, amely cég a személy- és vagyonvédelmi, valamint a magánnyomozói tevékenység szabályairól szóló 2005. évi CXXXIII. törvényben (a továbbiakban: Szvtv.) meghatározott személy.

Az intézőbiztottság elnöke minden kamera üzemeltetésének céljaként az emberi élet, a testi épség, a személyi szabadság védelmét, a jogsértő cselekmények megelőzését és bizonyítását, valamint a közös tulajdonban álló vagyon védelmét jelölte meg.

A Társasház intézőbizottságának elnöke akként nyilatkozott továbbá, hogy a Társasház a rendszer üzemeltetésekor figyelembe veszi, hogy személyes adatok abban az esetben dolgozhatóak fel, ha az adatfeldolgozás az adatkezelő, vagy az adatokat megkapó harmadik fél, vagy felek jogszerű érdekének érvényesítéséhez szükséges, kivéve, ha ezeknél az érdekeknél magasabb rendűek az érintetteknek a védelmet élvező érdekei az alapvető jogok és szabadságok tekintetében. Két együttes feltételt vesz figyelembe a Társasház ahhoz, hogy az adatok kezelése jogszerű legyen: egyrészt, hogy a személyes adatok kezelése az adatkezelő vagy felek jogos érdekének érvényesítéséhez szükséges legyen, másrészt, hogy ezeknél ne legyenek magasabb rendűek az érintett személy alapvető jogai és szabadságai. Az Európai Unió Bírósága a C-468/10. és C-469/10. sz. egyesített előzetes döntéshozatali eljárás során hozott döntései szerint ezekre az irányelvekre a tagállami bíróság előtt bárki hivatkozhat. Az ítélet 30. pontjában kifejtettek szerint az effajta adatkezelésre vonatkozó EU-s Irányelv 7. cikke kimerítő és korlátozó jellegű felsorolását írja elő azon eseteknek, amelyekben a személyes adatok kezelése jogszerűnek minősíthető. A kamerák a vagyonvédelmet oly módon is szolgálják, hogy annak ellenére, hogy képet nem rögzítenek és nyilvánvalóan nem lehetséges a valamennyi kamera által közvetített kép egyidejű megfigyelése sem, elrettentő funkciót is betöltenek, ezért hagyták fent azokat. Nincs ugyanakkor kamera elhelyezve olyan helyiségben, amelyben a megfigyelés az emberi méltóságot sértheti. A kamerák által rögzített felvételeket a társasházi törvénnyel összhangban a rögzítéstől számított 15 napig tárolták, azonban 2017 augusztusa óta a kamerák nem rögzítenek.

A házitikárnak korábban sem volt és jelenleg sincs hozzáférése az élőképekhez, munkája az intézőbizottság segítése, adminisztratív teendők ellátása.

Az intézőbizottság elnöke arról is tájékoztatta a NAIH-ot, hogy a tulajdonosokat a kamerarendszerrel összefüggő adatkezelésről az adatvédelmi és adatbiztonsági szabályzat faliújságra történő kifüggesztésével tájékoztatták korábban, mely szabályzat azonban felvételek hiányában aktualitását vesztette. Ezen túlmenően az érintettek figyelmét kihelyezett táblákkal hívják fel az elektronikus megfigyelőrendszer alkalmazásának tényéről, mely tájékoztatásban megjelölték az üzemeltető személyét és elérhetőségét. E cég azonban az adatvédelmi és adatbiztonsági szabályzatban nem szerepel, mivel a figyelemfelhívó táblákon részletes tájékoztatást nyújtottak ezzel kapcsolatban, ezért az adatvédelmi és adatbiztonsági szabályzatnak szükségtelen tartalmaznia.

A NAIH megállapításai

A társasházi intézőbizottság elnökének álláspontja szerint az élőképek megtekintése nem minősül az Infotv. szerinti adatkezelésnek, így e vonatkozásban a NAIH nem rendelkezik hatáskörrel. A NAIH ezzel kapcsolatos kifejtette, hogy a rögzítést nem végző berendezések elhelyezése és a közvetített kép közvetlen megfigyelése hasonlít a megfigyelést végző személy (például a rendőr, a biztonsági őr, a munkahelyi vezető stb.) helyszíni jelenlétéhez, bár bizonyos fokig el is tér attól. Ma már a technika segítségével (például ráközelítéssel) ugyanis jóval szélesebb körű megfigyelésre is lehetőség van, mint a személyes jelenlétkor, így a közvetített képek megfigyelése ezekben az esetekben részletesebb ellenőrzést tesz lehetővé. Ezért a személyes jelenlétet helyettesítő technikai megfigyelés, azaz a képek megismerése az Infotv. rendelkezései szerint csak abban az esetben nem minősül adatkezelésnek, ha a megfigyelés során az alkalmazott technika nem kínál lehetőséget arra, hogy a megfigyelést végző személy többletinformáció birtokába jusson az érintett természetes személlyel kapcsolatban. Ennek további feltétele, hogy a kamerák valóban ne titkos megfigyelési eszközként, hanem az ellenőrzésre jogosult jelenlétének helyettesítőjeként szolgáljanak, így minden esetben jól látható módon kell elhelyezni azokat, és egyéb úton is fel kell hívni az érintettek figyelmét jelenlétükre.

A NAIH álláspontja szerint a Társasházban üzemelő kamerák lehetőséget teremtenek arra, hogy az élőképeket megtekintő személyek, azaz a recepción, valamint a portásfülkében alkalmazott munkavállalók az élőképeken megjelenő képmásadatokat mint személyes adatokat a Társasház lakóival kapcsolatba hozzák. Másrészt általánosságban elmondható, hogy a technológia fejlődésével valamennyi kamera részletesebb ellenőrzést tesz lehetővé, és nem csupán a személyesen jelenlévő ellenőrzést ellátó személyt váltja ki.

Függetlenül attól, hogy a kamerarendszert 2002-ben, az Infotv., illetve a Thtv. hatályba lépése előtt telepítették, a rendszer üzemeltetését – az eltelt időre is tekintettel – az e jogszabályok vonatkozó rendelkezéseivel – azok hatályba lépésétől – összhangba kellett hozni. Jelenleg a társasházi kamerarendszer létesítésére és üzemeltetésére vonatkozó szabályokat a társasházakról szóló törvény tartalmazza, mely szerint a közös tulajdonban álló épületrészek, helyiségek és területek megfigyelését szolgáló, zárt rendszerű műszaki megoldással kiépített elektronikus megfigyelőrendszer létesítéséről és üzemeltetéséről a közgyűlés az összes tulajdoni hányad szerinti legalább kétharmados többségével rendelkező tulajdonostársak igenlő szavazatával dönthet.

A kamerarendszer nem irányulhat a külön tulajdonban álló lakás vagy nem lakás céljára szolgáló helyiség bejáratára vagy más nyílászárójára akkor sem, ha az a közös tulajdonban álló épületen, épületrészen vagy területen van elhelyezve. A kamerarendszer nem helyezhető el a közös tulajdonban és a tulajdonostársak közös használatában álló olyan helyiségben sem, amelyben a megfigyelés – a helyiség rendeltetéséből fakadóan – az emberi méltóságot sértheti.

A felvételen szereplő természetes személy érintett számára biztosítani kell valamennyi, az Infotv.- ben felsorolt jog gyakorlását. A felvételek megismeréséről jegyzőkönyvet kell készíteni, amelynek tartalmaznia kell a rögzített felvételt, az annak megismerésére jogosult személy nevét, továbbá az adatok megismerésének okát és idejét.

A NAIH szerint bár a Thtv. szövege szerint kérelemre kell tájékoztatást nyújtani az adatkezelés körülményeiről, a NAIH álláspontja szerint a Thtv. és az Infotv. együttes értelmezése alapján az felel meg az adatvédelem követelményeinek, és az érintett úgy tud hozzájárulni személyes adatainak kezeléséhez, ha az adatkezelés valamennyi körülményéről megfelelő előzetes tájékoztatást kap, nyomon követve, hogy az őt érintő adatkezelés, mennyiben korlátozza a személyes adatok védelméhez fűződő jogát.

Mindezek alapján a NAIH megállapította, hogy a Társasház intézőbizottságának elnöke által megküldött adatvédelmi szabályzat nem tartalmazza az adatkezelési körülményeket, ezért a Társasház, mivel nem nyújtott megfelelő előzetes tájékoztatást az érintettek számára, így az általa hozzájárulásnak tekintett közgyűlési határozat, mint jogalap sem felelt meg az Infotv. követelményeinek.

A Thtv. alapján a társasházban üzemelő kamerarendszernek meg kell felelnie a mindenkori legmagasabb adatbiztonsági követelményeknek. Ehhez hozzátartozik, hogy az adatokat megfelelő intézkedésekkel védeni kell különösen a jogosulatlan hozzáférés, megváltoztatás, továbbítás, nyilvánosságra hozatal, törlés vagy megsemmisítés, valamint a véletlen megsemmisülés és sérülés, továbbá az alkalmazott technika megváltozásából fakadó hozzáférhetetlenné válás ellen.

A NAIH szerint az elektronikus megfigyelőrendszerrel összefüggő adatkezelés megtervezése során sem a Társasház, sem a biztonsági cég nem tette meg azokat a technikai és szervezési intézkedéseket, és nem alakította ki azokat az eljárási szabályokat, amelyek az adatok biztonságát szolgálják, így különösen védik azokat a jogosulatlan hozzáférés, megváltoztatás, továbbítás, nyilvánosságra hozatal, törlés vagy megsemmisítés, valamint a véletlen megsemmisülés és sérülés ellen. Az ilyen intézkedések hiányát bizonyítja az, hogy a rendszerhez hozzáférő valamennyi recepciós feladatot ellátó személy, valamint valamennyi portaszolgálatot ellátó személy ugyanazon felhasználónév-jelszó párost használta. Egy rendszer biztonságát azonban az teszi lehetővé, ha valamennyi, a rendszerhez hozzáférési jogosultságot kapó személy differenciáltan, külön felhasználónevet és jelszót használ, a jogosulatlan adatbevitel, lekérdezés és változtatás megakadályozása érdekében. Ezzel a megoldással biztosítható annak ellenőrizhetősége és megállapíthatósága, hogy adott esetben mely személyes adatokat, mikor és ki vitte be a rendszerbe.

Nem felel meg az adatbiztonság követelményeinek a 2017. június 27. napján tartott helyszíni vizsgálaton a Hatóság tudomására jutott azon tény, mely szerint a kamerarendszer üzemeltetése kapcsán olyan szerződéses láncolat alakult ki az üzemeltető cégek között, amely alapján csupán jelentős nehézségek árán lehet megállapítani, hogy pontosan mely alvállalkozó jogosult hozzáférni a rendszerhez. Ez a körülmény azt valószínűsíti, hogy az adatbiztonságért felelős szerv nem tartja kontroll alatt az általa üzemeltetett rendszert, ezáltal nem biztosított a személyes adatok megfelelő védelme.

A Hatóság az eljárás során nem tudta megállapítani, hogy e laptopról valóban elérhetőek-e a kamerák által közvetített élőképek, illetve korábban a rögzített felvételek, azonban a fent kifejtettek szerint a Hatóság megállapítja, hogy a Társasházban üzemelő kamerarendszer adatkezelése nem felelt meg az adatbiztonsági követelményeknek.

A fentiek miatt a NAIH 500.000,- Forint adatvédelmi bírságot szabott ki a társasházzal szemben a biztonsági céget pedig a kis és középvállalkozásokra vonatkozó törvény rendelkezéseivel összhangban figyelmeztetésben részesítette.

(naih.hu)

---