Ezeknek a rendszereknek az alkalmazása több célt is szolgálhat egyszerre: az épületbe belépők azonosítása mellett a kártyák által tárolt adatokat a munkáltatók gyakran összekötik a munkaidő-nyilvántartó rendszerekkel.
Az uniós adatvédelmi rendelet (GDPR) alapján személyes adatnak minősül a munkavállaló munkaidejének kezdete és vége, a munkaközi szünetek és a szabadság időtartama is, vagyis minden olyan információ, amely a munkavállaló épületen belüli- és kívüli mozgását eredményezi. Tehát először meg kell határoznunk, hogy ki kezeli a beléptetőrendszer által tárolt adatokat.
Nagyobb irodaházak esetén általános gyakorlat, hogy a rendszert az épület üzemeltetője működteti, a munkáltatók, mint az irodaterületek bérlői pedig csak bizonyos események, incidensek kapcsán vagy rendszeres adatszolgáltatás keretében kapnak adatot.
„Természetesen, ha a beléptetőkártya és a munkaidő-nyilvántartás összekapcsolásra kerül, akkor a munkáltatók is kézhez kaphatják a munkavállalók mozgására vonatkozó adatokat” – hívta fel a figyelmet Kustos Petra, a Deloitte Legal adatvédelmi szakértője. „Akármelyik eset is érvényesüljön, az adatkezelő és adatfeldolgozó pozíciók rögzítése mindig rendkívül fontos, ugyanis a GDPR eltérő kötelezettségeket határoz meg kettejük tekintetében” – tette hozzá.
Felmerülhet a közös adatkezelés esete is: ilyenkor célszerű szerződésben rendelkezni a felelősségmegosztásról. Az adatkezelőnek az adatfeldolgozóhoz képest többletkötelezettségei vannak, az adatfeldolgozó pedig csak abban az esetben tartozik felelősséggel az adatkezelés által okozott károkért, ha nem tartotta be a GDPR-ban meghatározott kötelezettségeket, vagy ha az adatkezelő jogszerű utasításait figyelmen kívül hagyta, vagy azokkal ellentétesen járt el.
Adatvédelmi tennivalók
Mivel a beléptetőrendszer alkalmazása személyes adatok kezelésével jár, a GDPR rendelkezései szerint szükséges eljárni. Az adatkezelőnek meg kell határoznia az adatkezelés célját és jogalapját, és az érintetteket megfelelően tájékoztatnia kell. A beléptetőrendszerek alkalmazása esetén minden esetben szükséges az érdekmérlegelési teszt elvégzése, amelyben az adatkezelőnek a többi között az alábbiakat kell bemutatnia:
- A személyes adatokat csak az adott célok elérése érdekében kezeli. Például személy- és vagyonbiztonság, munkaidő-nyilvántartás.
- Csak annyi adatot kér be, amennyire ténylegesen szükség van. Például a vendég belépésekor nem fénymásol személyigazolványt, amelyről a NAIH több határozatában is kimondta, hogy jogellenes.
A felsoroltak csupán néhány tennivaló az adatkezelő kötelezettségei közül. A GDPR további előírásokat is megállapít, például az adatok tárolásakor biztosítani kell a megfelelő védelmet, továbbá az adatokat csak a megőrzési időn belül szabad kezelni, tehát annak lejártát követően törölni szükséges.
Felhívjuk a figyelmet továbbá arra is, hogy az irodai beléptetőrendszerek alapján készült jelenlét-nyilvántartások nem alkalmasak arra, hogy a munkáltató által kötelezően vezetendő munkaidő-nyilvántartásként szolgáljanak – mondta a szakértő.
Biometrikus azonosítás: még szigorúbbak a szabályok
Az Európai Adatvédelmi Testület legújabb állásfoglalása szerint az ilyen érzékeny adatokon alapuló beléptetés csak és kizárólag szigorúan indokolt esetben lehetséges. Például, ha egy gyártó üzem know-how technológiát alkalmaz, amely nyilvánvalóan egy magasabb fokú vagyonbiztonságot tesz indokolttá. Ezekben az esetekben az adatvédelmi hatásvizsgálatot is el kell végezni, amihez szükséges az adatkezelés körülményeinek és következményeinek megfelelő bemutatása, kiértékelése, valamint a kockázatcsökkentő intézkedések prezentálása.
