60 millió forintos bírság a UPC-nek

2020. őszén hozta nyilvánosságra a Nemzeti Adatvédelmi és Információszabadság Hatóság a UPC Magyarország Kft. ügyfélszolgálatain való hangrögzítési gyakorlat jogellenességének megállapításáról szóló határozatát. A határozat szerint a Hatóság a Kft-t (illetve annak jogutódját, a Vodafone Magyarország Zrt-t) 60.000.000,- Ft összegű adatvédelmi bírsággal sújtotta.

Az ügy bejelentés alapján indult, majd a jogsértés valószínűsítése után a Hatóság hivatalból hatósági ellenőrzést, később adatvédelmi hatósági eljárást indított.

A Hatóság, a társaság 2018. május 25. (a GDPR alkalmazandóvá válása) és 2020. március 15. között zajlott adatkezelési gyakorlatát vizsgálta.

A UPC 24 ügyfélszolgálattal rendelkezett, ahol valamennyi ügycsoport intézése során hangrögzítésre került sor. Az ügyfélszolgálatokon havonta 45-55.000 ügyfél fordult meg.

A cég nyilatkozata szerint a hangfelvételkészítés célja az volt, hogy rögzítsék a leendő ügyfelek érdeklődését és a panaszbejelentéseket, illetve, hogy az adatkezelésre vonatkozó nyilatkozatok rekonstruálhatók, a szerződések megkötésére vonatkozó folyamatok biztosíthatóak legyenek, a későbbi vitás helyzeteket bizonyítani lehessen, illetve teljesíteni lehessen a hibajavítást, és egyéb jogszabályban meghatározott kötelezettségeket. Állításuk szerint a hangrögzítés alternatívája a teljesen papír alapú ügyintézés lett volna, de az rontotta volna az ügyfélélményt, lassabb és bonyolultabb, valamint jelentősen környezetszennyezőbb lett volna, továbbá az elektronikus hírközlési piacon már nem bevett megoldás.

Jogalap tekintetében a UPC arról tájékoztatta a Hatóságot, hogy a személyes adatok kezelését az adatkezelő jogos érdeke jogalappal végezte és a Hatóság részére elküldte az általa készített érdekmérlegelési tesztet is.

A hangrögzítésről a UPC a sorszámhúzó rendszeren keresztül tájékoztatta az ügyfeleket, ahol az ügyfél három menüpont közül választhatott (Lakossági szolgálatások, Üzleti szolgáltatások, Átirányított ügyfél). A választható menüpontok alatt – a menüpontok megszövegezéséhez választott betűmérethez képest nagyjából fele akkora betűmérettel – volt megtalálható az alábbi tájékoztatás: „Tisztelt Ügyfelünk! Tájékoztatjuk, hogy az ügyintézés során kollégáinkkal folytatott beszélgetés rögzítésre kerül. A hangfelvételeket a vonatkozó jogszabályi rendelkezések alapján kezeljük és tároljuk. Kérjük, hogy az ügyintézés megkezdésekor jelezze kollégánknak, amennyiben a hangrögzítéshez nem járul hozzá.”

Minden ügyfélnek kötelező volt sorszámot húznia, e nélkül nem volt lehetőség az ügyintézésre, de ha valamilyen nem várt esetben mégis e nélkül került volna valaki az ügyfélszolgálatos kolléga elé, úgy az ügyfél előtt helyezkedett el a mikrofon, amelyen két piros led égő világított, így, ha az be volt kapcsolva, az ügyfél – a UPC megítélése szerint – egyértelműen láthatta, hogy hangrögzítés történik, amely ellen tiltakozhatott. Ha egy érintett tiltakozott az adatkezelés ellen, az ügyfélszolgálatos kolléga minden esetben kikapcsolta a hangrögzítést, és egyéb adminisztratív módon történt az üzleti folyamatok biztosítása.

A UPC a rögzített hangfelvételeket 5 évig tárolta.

Nézzük a Hatóság álláspontját pontokban összefoglalva:

• A Hatóság az érdekmérlegelési teszttel kapcsolatban megállapította, hogy nem elfogadható, hogy a társaság nem vizsgálta, hogy az érintettek konkrétan mely jogait korlátozza az adatkezelés, hogy a korlátozás milyen mértékű és jár-e kockázattal, amennyiben jár, milyen kockázatot jelent az érintettek részére. Semmi nem utal arra, hogy a UPC az érdekek mérlegelését valóban elvégezte volna.

• A Hatóság nem tartotta megfelelőnek az érintettek jogainak biztosítása érdekében beépített garanciákat sem, szinte minden felsorakoztatott érv sántított valamilyen formában.

• A Hatóság nem találta megfelelőnek a UPC által adott tájékoztatást sem. A sorszámhúzó berendezésen nyújtott, rövid, figyelemfelhívó tájékoztatás akkor lett volna megfelelő, ha az adatkezelés részleteiről az érintett a helyszínen tudott volna tájékozódni, a felvétel rögzítését megelőzően. A helyszínen azonban nem volt elhelyezve részletes Adatkezelési Tájékoztató. Fontos lett volna az is, hogy a hangfelvétel készítéséről szóló tájékoztatás figyelemfelhívó módon kerüljön elhelyezésre a sorszámhúzó berendezésen, pl. annak – a többi szövegtől elütő – színe, mérete, betűtípusa, illetve esetlegesen elhelyezett piktogram miatt. A tájékoztatás tartalmi szempontból sem volt megfelelő, hiszen téves jogalapra utalt az adatkezelés tekintetében.

• A Hatóság azt is megállapította, hogy a hangfelvétel-készítés nem volt elengedhetetlenül szükséges.

• A Hatóság vizsgálta a GDPR-ben rögzített alapelveknek való megfelelést is az adatkezelés kapcsán. Megállapította, hogy az adatkezelő megsértette mind a célhoz kötött adatkezelés, mind az adattakarékosság elvét.

• Nem szabadott volna általánosan, minden ügyintézésről, érdeklődésről hangfelvételt készíteni, ez az eljárás nem felel meg többek között a szükségesség-arányosság elvének. Bár az elektronikus hírközlésről szóló törvény rendelkezései szerint a szolgáltató köteles a hibabejelentések folyamatát rögzíteni, akár hangfelvétellel, akár egyéb módon, azonban ez jegyzőkönyv felvételével is megoldható lett volna, másrészt ez a kötelezettség nem indokolja, hogy a társaság minden egyes ügyintézésről felvételt készítsen. A hibabejelentés céljából készített felvételt az adatkezelő 1 évig őrizheti meg, a társaság Adatkezelési Tájékoztatójában erről is tájékoztatta az érintetteket, azonban ténylegesen 5 évig őrizte meg a felvételeket.

A Hatóság a bírság kiszabása során súlyosbító körülményként értékelte, hogy a UPC a GDPR rendelet több alapelvét is megsértette az adatkezelés során, az érintettek magas száma és a jogellenes állapot hosszú ideig való fennállta szintén emelte a bírság összegét. A Hatóság azt is bírságnövelő tényként értékelte, hogy a társaság szerint is lett volna más módszer a célok eléréséhez. Mivel a cég rendszeresen, tömegesen fogadott ügyfeleket, elvárható lett volna tőle az adatvédelmi tudatosság. Súlyosan gondatlan magatartásként értékelte a Hatóság az elnagyolt adatkezelést, mely során sem a jogalap, sem az adatkezelés céljának meghatározása nem volt megfelelő.

Ha segítségre van szükséged céged/vállalkozásod adatvédelmi megfelelőségének biztosítása és a megfelelő tartalmú adatkezelési szabályzati dokumentáció elkészítése kapcsán, fordulj hozzám bizalommal: dr.horvath.barbara@hhbconsulting.hu