Ellenőrizheti-e a céges e-mailt és laptopot a munkáltató?

A munkáltató ellenőrizheti a munkavégzésre adott e-mail-fiókot és számítógépet, de csak a munkaviszonnyal összefüggő adatokat ismerheti meg. Az ellenőrzésnek előre meghatározott céllal, előzetes írásbeli tájékoztatás után, arányosan és dokumentáltan kell történnie. A magánlevelek és magánjellegű fájlok tartalma akkor sem nézhető meg, ha a munkavállaló tiltás ellenére tárolta őket a céges eszközön.

Mit mond a Munka Törvénykönyve?

A munkáltatói ellenőrzés alapszabályát 2019 óta az Mt. 11/A. §-a tartalmazza:

• Ellenőrzés és technikai eszköz (1. bekezdés): a munkavállaló a munkaviszonnyal összefüggő magatartása körében ellenőrizhető. A munkáltató ehhez technikai eszközt is alkalmazhat, de erről a munkavállalót előzetesen írásban tájékoztatnia kell. A magánélet tehát nem ellenőrizhető.
• Használat célja (2. bekezdés): a munkáltató által biztosított informatikai eszközt, rendszert eltérő megállapodás hiányában kizárólag a munkaviszony teljesítésére lehet használni.
• Betekintés határa (3. bekezdés): ellenőrzéskor a munkáltató csak az eszközön tárolt, a munkaviszonnyal összefüggő adatokba tekinthet be.
• Magánhasználat ellenőrzése (4. bekezdés): munkaviszonnyal összefüggő adatnak minősül az is, amely a magáncélú használat tilalmának vagy korlátozásának ellenőrzéséhez szükséges.
• Saját eszköz (5. bekezdés): ugyanezek a szabályok érvényesek, ha a munkavállaló megállapodás alapján a saját számítógépén vagy telefonján dolgozik.

Magáncélú használat: tiltás, engedély és ami a kettő között van

Ha a felek nem állapodnak meg másként, a céges laptopot, telefont és e-mail-címet magáncélra használni nem lehet. A gyakorlatban azonban sok munkáltató engedi a mérsékelt magánhasználatot. Ilyenkor ezt írásban érdemes rögzíteni, például úgy, hogy magáncélú használat csak munkaközi szünetben vagy munkaidőn kívül megengedett.

A legfontosabb, hogy a tiltás megszegése sem jogosítja fel a munkáltatót a magánadatok megismerésére. Ellenőrzéskor addig nézhet bele egy adatba, amíg el nem tudja dönteni, hogy az munkához kapcsolódik vagy magánjellegű. A gyakorlatban ez így néz ki:

• egy „Személyes” vagy „Nyaralás 2025” nevű mappát már a neve alapján magánjellegűnek kell tekinteni, és nem szabad megnyitni;
• egy családtagnak címzett vagy egyértelműen magánjellegű tárgyú levél sem nyitható meg;
• a kötelezettségszegés (a tiltott magánhasználat ténye) a tartalom megismerése nélkül is megállapítható.

Az adatvédelmi oldal: GDPR és NAIH-gyakorlat

Az Mt. csak a keretet adja, a részletszabályok az adatvédelmi hatóság (NAIH) döntéseiből ismerhetők meg. Ezek szerint a munkáltatónak a következőkre kell figyelnie:

Előre meghatározott cél. Az ellenőrzés célját már az adatkezelés előtt pontosan rögzíteni kell (például üzleti titok védelme, informatikai biztonság, ügyfélkapcsolatok folytonossága). Utólag, egy konkrét konfliktus kapcsán kitalált cél nem elfogadható.

Jogalap és érdekmérlegelés: Az ellenőrzés jogalapja jellemzően a munkáltató jogos érdeke, nem a munkavállaló hozzájárulása. Ehhez írásos érdekmérlegelési tesztet kell készíteni, amely igazolja, hogy az ellenőrzés szükséges és arányos.

Belső szabályzat: A NAIH következetes álláspontja szerint a munkáltatónak belső szabályzatot kell alkotnia a céges e-mail-fiókok és informatikai eszközök használatáról, ellenőrzéséről, archiválásáról. Szóbeli tájékoztatás nem elég: a munkáltatónak utólag is igazolnia kell tudni, hogy mindent szabályosan tett (elszámoltathatóság elve).

Előzetes tájékoztatás: A munkavállalóknak előre tudniuk kell, milyen célból, ki, milyen módon és milyen gyakorisággal férhet hozzá a céges fiókjukhoz és eszközükhöz.

Hogyan zajlik egy szabályos ellenőrzés?

Fokozatosság: Az ellenőrzést lépcsőzetesen kell végezni. Először csak a levelek feladója, címzettje és tárgya vizsgálható, és csak ezután nyitható meg az, ami ténylegesen munkához kapcsolódik és az ellenőrzés céljához szükséges.

A munkavállaló jelenléte: Az ellenőrzésen a munkavállalónak vagy képviselőjének lehetőséget kell adni a jelenlétre. A jelenléte nélküli fiókátvizsgálás a NAIH szerint alapvetően ellentétes a tisztességes adatkezelés elvével. Ha a munkavállaló előzetes értesítés ellenére nem érhető el vagy nem jelenik meg, az ellenőrzés független harmadik személy bevonásával lefolytatható.

Dokumentálás: Az ellenőrzésről jegyzőkönyvet kell készíteni: ki, mikor, milyen céllal, mit vizsgált, és mi lett az eredmény.

Véletlenül magánadat kerül elő: Ha az ellenőrző véletlenül magánlevelet nyit meg, azonnal abba kell hagynia, és az esetet adatvédelmi incidensként érdemes kezelni és dokumentálni.

Amit a munkáltató nem tehet meg

• nem olvashatja el a magánleveleket és nem nyithatja meg a magánjellegű fájlokat, akkor sem, ha a magánhasználat tilos volt;
• nem végezhet titkos, előzetes tájékoztatás nélküli ellenőrzést;
• nem alkalmazhat aránytalan, folyamatos megfigyelést (például minden billentyűleütés vagy a képernyő folyamatos rögzítése általános jelleggel), ha a cél enyhébb eszközzel is elérhető;
• nem léphet be a munkavállaló privát e-mail-fiókjába vagy közösségimédia-profiljába, még akkor sem, ha a jelszó a céges gépen elmentve maradt;
• 2025 február 2. óta az EU mesterségesintelligencia-rendelete (AI Act) tiltja az érzelemfelismerő MI-rendszerek munkahelyi használatát, néhány egészségügyi és biztonsági kivétellel.

Home office és saját eszköz

Otthoni munkavégzésnél gyakran a munkavállaló saját laptopja vagy telefonja a munkaeszköz. Erre csak a felek megállapodása alapján kerülhet sor, egyoldalúan a munkavállaló nem kötelezhető rá. Ha megállapodtak, a munkáltató a saját eszközt is ellenőrizheti, de itt is kizárólag a munkaviszonnyal összefüggő adatokhoz férhet hozzá. Saját eszköznél a magánhasználat értelemszerűen nem korlátozható, így a munkáltatónak különösen szűken kell meghatároznia, mit és hogyan vizsgál. A gyakorlatban ezért jobb megoldás a céges eszköz, vagy legalább egy elkülönített munkahelyi profil vagy alkalmazás.

Mi történik a kilépő munkavállaló e-mail-fiókjával?

A munkaviszony megszűnésével a céges e-mail-fiók sorsát is rendezni kell:

• Magánlevelek törlése: a NAIH jó gyakorlatnak tartja, ha a munkavállaló még az utolsó munkanapja előtt törölheti vagy lementheti a magánleveleit. Ha erre lehetősége volt, de nem élt vele, és a munkáltató ezt igazolni tudja, a munkáltatót nem terheli felelősség.
• Automatikus válasz: a fiók megszüntetése előtt érdemes automatikus üzenetet beállítani, amely jelzi, hogy a kolléga már nem dolgozik a cégnél, és megadja az új kapcsolattartót.
• Inaktiválás és törlés: a szabályzatban előre rögzíteni kell, mennyi ideig marad aktív a fiók, készül-e róla biztonsági mentés, és mikor törlődik véglegesen. A beérkező levelek korlátlan ideig tartó automatikus továbbítása más munkavállalóhoz nem szerencsés.

Mi a tét?

A NAIH rendszeresen bírságol szabálytalan munkahelyi ellenőrzés miatt. Az egyik ismert ügyben 1 millió forint bírságot szabott ki egy munkáltatóra, amely a betegszabadságon lévő munkavállaló távollétében ellenőrizte az íróasztalát, számítógépét és e-mail-fiókját. A bírságon túl a szabálytalanul megszerzett bizonyíték egy munkaügyi perben is problémás lehet, és a jogsértés a munkáltató hírnevét is rontja.

Az Emberi Jogok Európai Bírósága 2017-ben a Bărbulescu kontra Románia ügyben szintén kimondta, hogy a munkahelyi kommunikáció ellenőrzése csak előzetes tájékoztatás mellett, legitim céllal és arányos módon jogszerű.

Ellenőrzőlista munkáltatóknak

1. A céges eszközök magáncélú használatának engedélyezését vagy tilalmát, illetve annak kereteit írásban kell rögzíteni.
2. Informatikai és e-mail-használati szabályzat szükséges, amely tartalmazza az ellenőrzés célját, módját, gyakoriságát és az arra jogosultak körét.
3. Érdekmérlegelési tesztet kell készíteni és dokumentálni.
4. A munkavállalókat előzetesen, írásban tájékoztatni kell.
5. Az ellenőrzés során be kell tartani a fokozatosság elvét, biztosítani kell a munkavállaló jelenlétét, és jegyzőkönyvet kell készíteni.
6. Szabályozni kell a kilépő munkavállalók e-mail-fiókjainak kezelését.
7. Saját eszköz használata esetén külön megállapodás szükséges, amely az ellenőrzés szűk kereteit is meghatározza.

A cikk általános tájékoztatás, nem minősül jogi tanácsadásnak. Egyedi esetben érdemes munkajogásszal vagy adatvédelmi szakértővel egyeztetni.