Adatvédelem

Ujjlenyomatos blokkolás, arcfelismerés: szabad-e a munkahelyen?

Ismerős helyzet: a raktárban kiderül, hogy az éjszakás műszakban rendszeresen egymás helyett húzzák le a belépőkártyát. A cégvezető ezek után egy ujjlenyomat-olvasós vagy arcfelismerős terminálról kezd érdeklődni, mert „azt nem lehet kölcsönadni”. A forgalmazó szerint minden rendben, hiszen „nem a képet tároljuk, csak egy matematikai mintát”.

A szándék érthető, a jogi helyzet viszont Magyarországon elég egyértelmű, és nem a forgalmazónak kedvez. Sorra vesszük, mit mond a munka törvénykönyve, a GDPR és a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) a biometrikus azonosításról, mi a helyzet a sokat vitatott kórházi arcfelismeréssel, és meddig mehet el a munkáltató a helyadatok terén.

Röviden: munkaidő-nyilvántartásra jellemzően nem szabad

Az Mt. 11. § (1) bekezdése szerint a munkavállaló biometrikus adata az azonosítás céljából csak akkor kezelhető, ha erre valamely dologhoz vagy adathoz való olyan jogosulatlan hozzáférés megakadályozásához van szükség, amely a munkavállaló vagy mások életének, testi épségének, egészségének, vagy törvényben védett jelentős érdeknek a súlyos vagy tömeges, visszafordíthatatlan sérelmével fenyegetne.

A (2) bekezdés példálózva felsorolja, mi számít ilyen jelentős érdeknek:

• legalább „Bizalmas!” minősítésű minősített adatok védelme,
• lőfegyver, lőszer, robbanóanyag őrzése,
• mérgező vagy veszélyes vegyi, illetve biológiai anyagok őrzése,
• nukleáris anyagok őrzése,
• a Btk. szerint legalább különösen nagy vagyoni érték védelme.

Ez a szöveg a GDPR-hoz igazító 2019. évi XXXIV. törvénnyel került az Mt.-be, 2019. április 26-i hatállyal. A felsorolásban sem a munkaidő ellenőrzése, sem a „kolléga helyett blokkolás” megelőzése nem szerepel, és nehéz is lenne érvelni amellett, hogy egy késés vagy egy jogosulatlanul lehúzott kártya a felsorolt veszélyekkel egy súlycsoportba tartozik.

Mit mond a GDPR, és miért nem segít a „csak sablont tárolunk” érv?

A GDPR 4. cikk 14. pontja szerint biometrikus adat minden olyan, sajátos technikai eljárással nyert személyes adat, amely egy természetes személy testi, fiziológiai vagy viselkedési jellemzőire vonatkozik, és lehetővé teszi vagy megerősíti az egyedi azonosítását; ilyen például az arckép vagy a daktiloszkópiai adat. Az ujjlenyomatból képzett sablon pontosan ilyen technikai eljárás eredménye, és éppen az azonosítást szolgálja.

A 9. cikk (1) bekezdése a természetes személyek egyedi azonosítását célzó biometrikus adatok kezelését főszabályként tiltja. Kivétel csak a (2) bekezdésben felsorolt esetekben van. A munkaviszonyban ezek közül a hozzájárulás az, amire a legtöbben gondolnak, és éppen ez a leggyengébb lábakon álló megoldás.

A NAIH szerint kíméletesebb megoldást kell választani

A hatóság 2016-os, a munkahelyi adatkezelések alapvető követelményeiről szóló tájékoztatója – amely még a GDPR előtt készült, de a NAIH honlapján ma is elérhető – egyenesen fogalmaz. Általánosságban a biometrikus rendszerek alkalmazása nem elengedhetetlen, és nem is a legkíméletesebb eszköz a munkavállalók ellenőrzésére. Az ujjlenyomatos munkaidő-nyilvántartásról pedig azt írja, hogy az ellenőrzés mint cél más, a magánszférát kímélőbb módszerekkel is elérhető, „ezért ebből a célból nem lehet biometrikus rendszert bevezetni”.

2019 januárjában egy megkeresésre adott válaszában (NAIH/2019/1074) a hatóság megerősítette: erős függelmi viszonyban a hozzájárulás főszabály szerint nem lehet érvényes jogalap. Ugyanezért a munkaszerződésbe vagy kollektív szerződésbe foglalt biometrikus adatszolgáltatási kötelezettség sem jogszerű. A levél kivételként említi azt az esetet, amikor a hozzájárulás valóban szabadon, következmények nélkül megtagadható, és nem feltétele a munkaviszonynak. Ha viszont a munkavállaló a nemet mondás miatt bármilyen hátrányt szenved, a hozzájárulás érvénytelen.

Fontos tudni, hogy ez a levél még az Mt. 11. §-ának 2019 áprilisi módosítása előtt született. A hatályos 11. § kifejezetten a kezelés célját szűkíti, ezért erősen kétséges, hogy önkéntes hozzájárulással megnyitható-e az út a munkaidő-nyilvántartás felé. Ha egy forgalmazó azt mondja, hogy „aláíratjuk a beleegyezést, és kész”, érdemes adatvédelmi szakember véleményét kérni, mielőtt a terminál felkerül a falra.

És a kórházak? Ez az egyetlen törvényi kivétel

Sokan hivatkoznak arra, hogy az állami kórházakban arcfelismerős beléptetést vezetnek be. Ez igaz, de éppen azt mutatja, mekkora lépés kell hozzá. Az egészségügyről szóló 1997. évi CLIV. törvény (Eütv.) 155/A. §-a szerint az állami fenntartású egészségügyi intézményekben a foglalkoztató egységes, arcképazonosításon alapuló beléptető rendszerrel ellenőrzi a foglalkoztatottak munkaidejének betartását és az intézménybe való be- és kilépésüket. A be- és kilépéskor készült pillanatképet és az azonosítás eredményét legfeljebb egy évig lehet kezelni. A szakaszt a 2024. évi XXIX. törvény iktatta be, mai szövegét a 2025. évi LXVII. törvény állapította meg.

A NAIH elnöke a tervezett szabályozás koncepcióját 2024-ben nem támogatta. Véleménye szerint a munkaidő betartásának ellenőrzése nem olyan súlyú érdek, mint amelyeket az Mt. 11. §-a felsorol, a biometrikus azonosítás aránytalan, és a tervezetben szereplő ötéves megőrzési idő is túlzó (a végleges szöveg egy évet rögzít). A sajtó szerint 2025 novemberében a rendszer néhány fővárosi kórházban még kísérleti üzemben működött.

A tanulság egy magáncég számára: ezt a kivételt törvény teremtette, kizárólag az állami egészségügyi intézményekre. Egy élelmiszer-áruházlánc, egy autóalkatrész-gyártó vagy egy logisztikai központ erre nem hivatkozhat.

Ha a cél mégis indokolja, mit kell végigvinni?

Vannak munkahelyek, ahol a biometrikus beléptetés az Mt. 11. §-a alapján védhető: fegyverraktár, veszélyes biológiai anyagokkal dolgozó labor, nagy értékű árut őrző trezor. Ilyenkor is csak a hozzáférés védelmére, nem a munkaidő mérésére. Ha a cég ebbe a körbe tartozik, legalább ezeket kell rendbe tenni:

• Adatvédelmi hatásvizsgálat a GDPR 35. cikke szerint, különleges adatról lévén szó; a NAIH 2019-es levele is a többletkötelezettségek között említi.
• Előzetes írásbeli tájékoztatás a korlátozás módjáról, feltételeiről, tartamáról, szükségességéről és arányosságáról (Mt. 9. § (2) bekezdés), valamint a technikai eszközről (Mt. 11/A. § (1) bekezdés).
• Az üzemi tanács véleményének kikérése legalább 15 nappal a döntés előtt, ha van üzemi tanács: az Mt. 264. § (2) bekezdése kifejezetten nevesíti a személyes adatok kezelését és a munkavállaló ellenőrzésére szolgáló technikai eszköz alkalmazását.
• Adattakarékos tárolás: a NAIH által is idézett uniós adatvédelmi munkacsoporti példában a sablon nem központi adatbázisban, hanem a munkavállaló saját belépőkártyáján van.

Helyadat és GPS: mennyit szabad tudni arról, hol van a munkavállaló?

A biometria mellett a másik gyakori kérdés a helyadat. A NAIH 2016-os tájékoztatója a céges járművekbe szerelt GPS-ről részletesen ír, és a megállapításai jól átvihetők a mobilos jelenléti rendszerekre is:

• A GPS-t a hatóság elsősorban logisztikai célra, a jármű helyzetének meghatározására tartja indokoltnak, nem a munkavállaló követésére.
• A jogalap a munkáltató jogos érdeke, ezért a bevezetés előtt érdekmérlegelési tesztet kell készíteni.
• Elfogadható cél például a futár- vagy fuvarszervezés, a nagy értékű rakomány védelme vagy a munkavállaló testi épségének óvása.
• Az ellenőrzés csak munkaidőben történhet; munkaidőn kívül a földrajzi helyzet nem ellenőrizhető, ezért ha a jármű a munkavállalónál marad, biztosítani kell a GPS kikapcsolását.
• Otthonról, home office-ban dolgozó munkavállalónál a GPS alkalmazását a hatóság nem tartja indokoltnak.

Mobilos jelenléti alkalmazásnál ez a gyakorlatban azt jelenti, hogy ha a cég azt akarja ellenőrizni, hogy a munkavállaló a telephelyen olvasta-e be a kódot, ahhoz a beolvasás pillanatában vett helyadat elég. Folyamatos, egész napos követést ebből a célból nehéz lenne arányosnak beállítani. A tájékoztatóban meg kell nevezni, mikor, milyen helyadat keletkezik, ki látja, és meddig őrzik.

Mi működik biometria nélkül a „kolléga helyett blokkolás” ellen?

A visszaélés ritkán technikai probléma, sokkal inkább szervezési. Néhány kíméletesebb megoldás, amely biometria nélkül is működik:

• Saját telefonhoz kötött belépés. Ha a munkavállaló a saját mobiljával, a saját fiókjával olvassa be a kódot, a „kártyakölcsönzés” helyett a telefonját kellene odaadnia, ami már jóval nagyobb lépés.
• Változó QR-kód a terminálon. Ha a kód időről időre változik, egy lefotózott kóddal nehezebb később, máshonnan jelentkezni.
• Csak a beolvasáskor vett, opcionális helyellenőrzés, ott, ahol erre valóban szükség van, például kihelyezett munkaterületeken.
• Kivételek figyelése. A vezetőnek a szokatlan időpontokra és az utólagos javításokra kell rákérdeznie, nem minden egyes belépésre.
• Visszakövethető javítások. Ha minden módosításnak van kérelmezője és jóváhagyója, a „majd kijavítjuk” kultúra gyorsan visszaszorul.

Hogyan illeszkedik ide a HelloPDKS?

A HelloPDKS QR-alapú jelenléti rendszer, biometrikus adatot nem használ. A munkavállalók mobilalkalmazással olvassák be a belépési pontokon kihelyezett QR-kódot vagy a fali terminál időről időre változó kódját. A helyadat-ellenőrzés opcionális, internet nélkül a leolvasások sorba állnak. A vezetői panelen élő jelenlét, késés- és korai távozás-értesítés, szabadság- és javításikérelem-kezelés, havi jelenléti ív PDF-ben, túlóra- és munkaidő-megfelelési riport, CSV-export és többtelephelyes kezelés érhető el.

Az adatvédelmi feladatokat viszont egy eszköz sem veszi le a munkáltató válláról: a tájékoztatót, az érdekmérlegelést és szükség esetén az üzemi tanács bevonását a cégnek kell elvégeznie. A kezelőfelület jelenleg török és angol nyelvű. Részletek: hellopdks.com.