A NAIH fenti határozatában a munkáltató által a munkavállalók számára biztosított e-mail-fiókok használata, archiválása, illetve az archivált tartalmakban történő dokumentumkeresések során a személyes adatok védelmére vonatkozó fontosabb szabályokat foglalja össze.

Összegzés:

E-mail fiók munkáltatói ellenőrzésekor a tisztességes adatkezelés elvéből következően főszabályként biztosítani kell a munkavállaló jelenlétét. A munkavállaló előzetes tájékoztatása és személyes – ha ez nem biztosítható, meghatalmazottja, képviselője – jelenléte az e-mail-fiók ellenőrzése, áttekintése, illetve az abban történő dokumentumkeresés során azért is szükséges, mert a munkavállaló és harmadik személyek különböző személyes adatai lehetnek a levelezőrendszerben, amelyek kezelésére a munkáltató – a személyes adat e jellege ellenőrzésén túl – nem jogosult. Ha az e-mail fiók áttekintése, ellenőrzése, adott esetben egy dokumentum keresése során a munkavállaló – képviselője, meghatalmazottja – jelen van, és jelezheti valamely személyes adatot tartalmazó e-mail tartalmának megtekintése előtt, hogy az magáncélú leveleket tartalmaz, akkor ezzel biztosítható, hogy a munkáltató ne sértse meg ezt a tilalmat. Az e-mail fiók áttekintésének körülményeitől függően ugyanakkor elképzelhetőek olyan helyzetek, amikor a munkavállaló személyes jelenléte objektív okokból nem biztosítható.

A Hatóság – a főszabálytól eltérően – egyes helyzetekben ezért elfogadhatónak tartja azt is, ha a munkavállaló nincs jelen, például azonnali intézkedést igénylő esetekben, táppénzen lévő vagy olyan volt munkavállaló esetén, akinek a munkaviszonya a munkáltatóval már nem áll fenn. Ebben az esetben is azonban egyrészt tájékoztatást kell nyújtani a munkavállaló számára a tervezett munkáltatói intézkedésről, másrészt lehetőséget kell biztosítani számára arra is, hogy ha ő nem is, helyette meghatalmazottja vagy képviselője jelen legyen. Amennyiben ezen megelőző intézkedések – előzetes tájékoztatás és a munkavállaló vagy meghatalmazottja, képviselője jelenlétének biztosítása – ellenére a munkavállaló nem érhető el vagy nem jelenik meg sem személyesen, sem képviselője útján, akkor távollétében, független harmadik személy alkalmazásával is hozzá lehet férni az e-mail fiókjához az azonnali intézkedések végrehajtása érdekében. Ilyen esetben is meg kell ugyanakkor mindent tenni annak érdekében, hogy az e-mail fiók áttekintésének körülményei olyan módon legyenek rögzítve, hogy annak pontos menete, az annak során megismert adatok köre, azaz a ténylegesen elvégzett adatkezelési műveletek és azok jogszerűsége utólag ellenőrizhető legyen. Mindez az elszámoltathatóság elvéből is következik.

NAIH megállapításai:

A munkavállaló rendelkezésére bocsátott munkahelyi e-mail-fiók adattartalma személyes adatnak, a személyes adaton elvégzett bármely művelet pedig adatkezelésnek minősül.

Abban az esetben, amikor a munkavállaló használja az e-mail-fiókot – függetlenül attól, hogy a munkáltató egyébként megtiltja vagy engedélyezi a magáncélú használatot – az abban tárolt személyes adatok tekintetében maga is adatkezelési tevékenységet végez.

Amennyiben az adatkezelés a munkavégzéssel összefügg, annak érdekében történik, a munkavállaló lényegében a munkáltató mint adatkezelő nevében jár el, és e tevékenysége mint adatkezelői tevékenység is a munkáltatónak tudható be. A munkavállaló saját személyes adatai vonatkozásában addig, ameddig az adatkezelés a munka végzésével összefüggésben történik, az adatkezelés jogalapja munkaviszony esetében mindenekelőtt a munkaszerződés.

Abban az esetben ugyanakkor, amikor a munkavállaló a munkáltató által biztosított e-mail-fiókban a munka végzésével össze nem függő – magáncélú – tevékenységet is folytat és ennek kapcsán a saját és a legtöbb esetben más harmadik személyek személyes adatait kezeli, a munkavállaló dönt a személyes adatnak az e-mail-fiókba kerüléséről, és amíg a birtokában, rendelkezése alatt van a fiók, addig dönthet annak törléséről, egyéb felhasználásáról. Ugyanakkor ezen személyes adatok tekintetében is a rendszer működtetése továbbra is a munkáltató feladata és hatásköre, és a személyes adatokat tároló e-mail-fiók feletti rendelkezési jogát sem veszíti el a munkáltató, aki a magáncélú adatok tekintetében ezért adatkezelő marad. Ugyanígy adott esetben a munkavégzéssel összefüggő elektronikus levelek biztonsága érdekében az is munkáltatói döntés eredménye és a munkáltató adatkezelői minőségét támasztja alá, hogy a munkavállalói e-mail-fiók teljes tartalmát – beleértve a magáncélú leveleket is – egységes adatbázisként archiválja és tárolja a munkáltató.

A munkáltató és a munkavállaló közötti jogviszonyból adódóan a munkáltatóé az adatkezelés jogszerűségéért való elsődleges felelősség, hiszen az ő számára állnak elsődlegesen rendelkezésre azok az eszközök (belső szabályozási és technikai operatív intézkedések), amelyekkel a jogszerűség biztosítható. Így az ő felelőssége e helyzet felismerése, és megfelelő munkáltatói intézkedésekkel ennek kezelése, így közös adatkezelés esetén az adatkezelés részleteiről való megállapodás, az adatkezeléssel összefüggő felelősségi viszonyoknak a szabályozása is (lényegében az általános adatvédelmi rendelet 26. cikkének megfelelően).

A munkáltatónak mint adatkezelőnek  tájékoztatnia kell a munkavállalót a tervezett magáncélú  adatok kezelési műveletről és lehetőséget kell biztosítania számára, hogy az adatok kezelését (törlését) kontrollálhassa, és – ha a kérdéses adatok törlése esetén azok a munkavállaló számára a továbbiakban már nem lennének elérhetők – a munkáltató által nem kezelhető adatokat a maga számára saját eszközre mentse.

A kifejezetten magánjellegű levelezéseket azonban tekintettel arra is, hogy azok kezelése a munkáltató oldaláról nem lehet szükséges semmilyen szempontból, főszabály szerint nem lehet archiválni. A Hatóság abban az esetben fogadná el ezen levelezések puszta tárolását – minden más adatkezelési műveletet kizárva – biztonsági mentési célból, ha a munkavégzési célú és a magáncélú levelek egységes adatbázisként történő mentése következtében a magáncélú levelek leválogatása aránytalanul nagy, észszerűtlen erőfeszítést igényelne a munkáltató részéről. Ennek indokoltságát, szükségességét azonban a munkáltatónak kell bizonyítania. A munkáltatónak továbbá a rendszer működéséről megfelelően tájékoztatnia kell a munkavállalókat, megjelölve számukra azt – többek között –, hogy milyen időközönként kerül sor biztonsági mentésre a rendszerben, biztosítva ezzel például számukra azt, hogy a mentés előtt ténylegesen törölni tudják magánlevelezéseiket.

Az időtartam megjelölése nélküli, korlátlan megőrzési idő úgynevezett készletező adatkezeléshez vezet, amely ellentétes a korlátozott tárolhatóság elvével. Ez következik az általános adatvédelmi rendelet (39) preambulumbekezdéséből is, mely szerint a személyes adatok tárolása a lehető legrövidebb időtartamra korlátozódhat, és ennek biztosítása érdekében az adatkezelőnek tényleges törlési vagy rendszeres felülvizsgálati határidőket kell megállapítania.