Büntet a hatóság: Akaratlanul emailezéssel sértették meg az adatvédelmi szabályokat. Inkább más hibájából tanuljunk!

Az általános adatvédelmi rendelet vagy közismert néven a Gdpr szabályzat (A Gdpr rendelet magyar nyelvű szövege itt olvasható.) védi a személyes adatainkhoz való jogunkat, hogy azzal más ne élhessen vissza. Személyes adatnak számít minden, amivel beazonosíthatóvá válunk. Személyes adat a nevünk, a személyigazolványszámunk, adószámunk, tajszámunk, helymeghatározó adataink, online azonosítónk (A Gdpr és az értékesítéskapcsolatáról itt olvashat) vagy ebben az esetben amiről a cikk kiemelten szól az email levelezésünk. 

Céges email-ek esetében könnyen sérülhetnek a különböző adatvédelmi szabályok, a magán és levéltitok. Most néhány jellemző helyzetet ismertetünk, bírósági határozatokat és eljárásmódot, amellyel megszüntethetjük hibát.

Alapvetés, hogy adatkezelésnek minősül az email címek gyűjtése, rögzítése, rendszerezése, tárolása, lekérdezése vagy terjesztése. Előforduló hiba, hogy egy cég képviselőjével vagy képviselőjeként levelezünk, és közben megsértjük az adatvédelmi szabályzatot.

Email cím kialakítása

A vállalkozásoknál még mindig gyakorlat, hogy képviselőjüknek vezeték és keresztnevét adják meg egy céges levelezés elérhetőségeként. Az email cím így néz ki: minta.aniko@cégnév.hu. Mi ezzel a probléma? Az, hogy ilyenkor a képviselő pontosan beazonosítható az email cím alapján ezért szabályt szeg, aki nem kéri az illető adatkezeléshez való hozzájárulását.

Mi a teendő cégként?

Cégként akkor járunk el helyesen, amennyiben cég elérhetőségként info/szia/hello/@cegnev.hu email címeket adunk a munkavállalóknak. Ilyen esetben anonimizáltak az adatok.

Figyelni kell, hogy a nem közvetlen email küldés esetén, például hírlevélküldés esetén, névjegyadatbázis használatkor (amennyiben nem kértük az illető előzetes hozzájárulást a személyes adatok kezeléséhez) is Gdpr vétséget követünk el.

Körlevél küldés és Gdpr

A hibát ott követhetjük el, hogy az email címek körlevélküldés során látható válnak minden levelezőpartner számára.

Érdemes odafigyelni erre, mert a magyar adatvédelmi hatóság korábban, 2012-ben 800.000,- Ft-os  bírságot szabott ki (itt nézhető meg a határozat) mert a megbírságolt mintegy 600 állampolgárnak, hogy az elektronikus levélcímük minden címzettszámára elérhetővé vált. A megbírságolt azáltal, hogy a körlevelet úgy küldte ki, hogy abban a címzettek egymás előtt ismertté váltak az adatvédelmi szabályokat megsértette, személyes adatokat továbbított az érintettek hozzájárulása nélkül, nem alkalmazott olyan intézkedéseket amelyek ezen személyes adatok megfelelő védelmét jelentették volna.

Mi a teendő cégként?

Titkos másolat alkalmazása, így az érintettek nem látják egymás email címét.

Céges email magáncélú használata

A cégeknek fontos eldönteniük, hogy engedélyezik-e munkavállalójuknak céges email cím magáncélú használatát. Azonban figyelembe kell venni, hogy hiába van munkavállaló és a munkáltató között megállapodás, arról egy harmadik félnek nincs és nem is lehet tudomása, ezért a munkavállaló céges email fiókjába érkezhet magánlevél is! Ezért, ha a munkavállaló magáncélra is használhatja a céges levelezést, vagy magáncélú levél érkezik a céges email fiókjába az esetben a cég tudtán kívül az így nyert adatok adatkezelője lesz. Ezért a cégeknek joguk van ellenőrizni a céges email fiókot.

Alapvető, hogy a levelezés tartalmát a munkáltatónak nincs joga megismerni, mert az magántitkot, levéltitkot sért. Másik fontos szabály, hogy a munkavállalónak jelen kell lennie a céges emailezés vizsgálatakor.

A hatóság 1.000.000. Ft adatvédelmi bírságra kötelezte a munkáltatót, miután a határozatában  (a határozat itt olvasható el)foglaltak szerint a kérelmező azt kifogásolta, hogy betegség miatti keresőképtelenségének időtartama alatt távollétében íróasztalát és számítástechnikai hozzáféréseit, eszközeit, valamint e-mail-fiókját ellenőrizték, a dokumentumok fizikai elhelyezkedését megváltoztatták, továbbá mindezen ellenőrzésről fényképeket is készítettek.

Mi a teendő cégként?

Ahhoz, hogy az e-mail fiók ellenőrzése jogszerű legyen, a munkáltatónak előzetesen részletes tájékoztatást kell biztosítania a munkavállalók számára. A tájékoztatóban a munkáltatónak ki kell térnie többek között arra, hogy: milyen célból, milyen munkáltatói érdekek miatt kerülhet sor az e-mail fiók ellenőrzésére (illetve természetesen a konkrét ellenőrzés előtt tájékoztatni kell a munkavállalót arról, hogy milyen munkáltatói érdek miatt kerül sor az ellenőrzésre), – a munkáltató részéről ki végezheti az ellenőrzést, milyen szabályok szerint kerülhet sor ellenőrzésre (fokozatosság elvének betartása) :

• mi az eljárás menete,
•  milyen jogai és jogorvoslati lehetőségei vannak a munkavállalóknak az e-mail fiók ellenőrzésével együtt járó adatkezeléssel kapcsolatban.
• Ez abban az esetben jogszerű az email fiók ellenőrzése ha, a munkáltató már előzetesen, a szabályzat megalkotása során meghatározta azt, hogy milyen céljai, érdekei miatt kerülhet sor az e-mail fiók ellenőrzésére. Ezeknek az érdekeknek
•  ténylegesnek és valósnak,
•  a munkáltató tevékenységéhez,
• piaci helyzetéhez és a
• munkavállalók munkaköréhez igazodónak kell lenniük.
• A munkáltatónak az e-mail fiók használatának ellenőrzése előtt közölnie kell a munkavállalókkal, hogy milyen érdeke miatt kerül sor a munkáltatói intézkedésre.

A céges fiók ellenőrzése fokozatosan menjen végbe.

1, fokozat: Az e-mail cím és a levél tárgyának az ellenőrzése is elegendő lehet, hiszen bizonyos esetekben már pusztán az e-mail cím felépítéséből és az e-mail tárgyából is lehet látni azt, hogy az magáncélú e-mail cím lesz, és ezért nem szükséges megismerni az e-mail tartalmát.

2, fokozat: A munkáltató a csatolt file-okat kiküldő leveleket vizsgálja meg adatvédelmi szempontból.

Megoldás lehet, a magáncélú levelezés, külön mappába történő tárolása és az onnan biztosítani, hogy email-ezés átlátható legyen, archiválás ne történjen.

Céges levelezés archiválása

Magánlevelek archiválással kapcsolatban a hatóság 500.000 Ft adatvédelmi bírságot szabott ki. A NAIH határozatában (a határozat szövege itt olvasható) foglaltak szerint a kérelmező munkavállaló jogviszonya megszűnését követően, – engedélye nélkül – elektronikus levelezése tudomása szerint törölt, valójában inaktivált fiókjai visszaállítását rendelte el a munkáltató, mert kerestek egy dokumentumot. A kérelmező kifogásolta, hogy ennek során a fiókokban bármelyik dokumentumához hozzáférhettek, bármely személyes adatát megismerhették, tekintettel arra, hogy magánlevelezéseit is azokon bonyolította le, amely engedélyezett is volt számára. Így a fiókok tartalmaztak például magáncélú levelezéseket.

Mit tehetünk cégként?

A céges fiók ellenőrzése fokozatosan menjen végbe.

Főszabályként a munkáltatónak megfelelően tájékoztatnia kell a munkavállalókat,–, hogy milyen időközönként kerül sor biztonsági mentésre a levelezőrendszerben, biztosítva ezzel például számukra azt, hogy a mentés előtt ténylegesen törölni tudják magánlevelezéseiket. A munkaviszony megszűnése után archiválhatók, kezelhetők az elektronikus levelek. Azonban a magánjellegű levelezéseket azonban, mivel azok kezelése a munkáltató oldaláról nem lehet szükséges, semmilyen szempontból, nem lehet archiválni.  

Összefoglalás

A céges email-ek kezeléshez számos előírást figyelembe kell vennünk. A hatóságok , általában bejelentésre, de könnyen adják a büntetést, amennyiben bebizonyosodik, hogy a vállalkozás, akár tudatában volt, akár tudtán kívül megsértette az email címek gyűjtésére, rögzítésére, rendszerezésére, tároláséra, lekérdezésére vagy terjesztésére vonatkozó szabályokat.