Távozó munkavállaló e-mail fiókjára vonatkozó adatvédelmi szempontok.

Közel 5.000.000 Ft-nak megfelelő összegű pénzbírságot rótt ki a Norvég Adatvédelmi Hatóság egy cégre, miután egy volt munkavállaló panasszal élt vele szemben személyes adatai jogellenes kezelése kapcsán.

Miután a munkavállalónak véget ért a munkaviszonya, a vállalkozás vezetője megváltoztatta a munkavállaló e-mailcímének jelszavát, és minden héten bejelentkezett az e-mail fiókjába, még hat héttel a munkaviszony megszűnését követően is. Az e-mail fiókot nem törölték, az hozzáférhető volt; mindez azzal az állítólagos céllal, hogy lehetőség nyíljon az ügyfelek nyomon követésére, és a munkavállaló távozása után is kezeljék a céghez érkező megkereséseket.

Az ügy vizsgálata után a hatóság megállapította, hogy hiányzik a személyes adatok kezelését lehetővé tevő jogalap az e-mailek ilyen módon történő eléréséhez. A hatóság szerint az, hogy a munkavállaló e-mail fiókjához a munkaviszony megszűnését követően is hozzáfért a cég, közel áll ahhoz, mintha az alkalmazott elektronikus eszközeinek használatát monitoroznák. A vállalkozás a jogalap nélküli hozzáféréssel megsértette a munkavállalók e-mail fiókokhoz és egyéb elektronikus anyagokhoz való hozzáférésére vonatkozó szabályokat, valamint az Általános Adatvédelmi Rendelet (GDPR) által megállapított jogalap követelményét, hiszen a vállalkozás nem állapított meg adatkezelési jogalapot az email fiók tartalmának további kezelésére.

Az Adatvédelmi Hatóság utasította a munkáltatót, hogy a vállalkozás dolgozzon ki belső ellenőrzési intézkedéseket és eljárásrendeket az alkalmazottak és a volt alkalmazottak e-mail fiókjainak kezelése vonatkozásában.

A munkáltató akkor járt volna el jogszerűen, ha a panaszos e-mail fiókja tartalmának törlését eszközli a GDPR 17. cikke alapján, miszerint az érintett (jelen esetben a munkavállaló) jogosult arra, hogy kérésére az adatkezelő (jelen esetben a munkáltató) indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje. Megfelelő lett volna továbbá, ha az adatkezelő fel tud mutatni olyan releváns adatkezelési jogalapot, amely a munkaviszony megszűnését követően lehetővé teszi személyes adatok ilyen jellegű kezelését.

Ügyfeleinknek nem győzzük hangsúlyozni, hogy mennyire fontos az irányadó jogszabályi környezet mellett egy olyan munkáltatói belső szabályzat kidolgozása, amelyben a cégen belüli eljárást, szokásokat egy hivatalos és utólag bizonyítható keretbe foglalja a munkáltató. Ez ugyanúgy vonatkozik pl. a cafeteria juttatások írásos szabályozására, mint a munkaviszony megszüntetése körüli teendőkre, vagy akár az elektronikus felületek használatának szabályozására.

Nem csupán az Mt. alapján történő elszámolás jogszerű lefolytatása, hanem a GDPR szabályainak való megfelelés is a munkáltató és munkavállaló közös érdeke, az erre vonatkozó szabályok dokumentálásával pedig könnyen elkerülhető egy esetleges jogvita vagy bírság.

Célszerű az e-mail fiókok használatának, illetve hozzáférésének szabályait adatvédelmi szempontoknak eleget téve is írásban rögzíteni, hogy a személyes adatok sérelme még véletlenül se valósulhasson meg a fent leírt módon.