Esettanulmányunkban egy olyan amerikai fejlesztésű, mesterséges intelligencián alapuló szoftvert vizsgálunk, amely a működése során személyes adatokat gyűjt a lehetséges munkavállalók nyilvános közösségi oldal profiljairól (Linkedin, Facebook stb.), amely alapján kiajánlja az adott pozícióra legmegfelelőbb embert a recruitereknek, munkáltatóknak. Mivel ilyen esetben az adott egyén nem tud feltétlen arról, hogy a nyilvános profilja alapján őt kiajánlották, így érdemes a cégnek az eljárását adatvédelmi szempontból megvizsgálni.
I. A szoftver működése
A cég létrehozott egy úgynevezett Talent Pool-t, amely egy olyan, mesterséges intelligencián alapuló keresési és közvetítési szolgáltatás, amely célja, hogy segítsenek a cég recruiter és munkáltató ügyfeleinek munkavállalókat találni.
A szoftver adatokat gyűjt nyilvánosan elérhető weboldalakról és olyan harmadik felektől, akik a cég tájékoztatása szerint jogszerűen bocsátják rendelkezésre az általuk gyűjtött és megosztásra jogosult adatokat. Ezeken a forrásokon keresztül olyan személyes adatokat gyűjtenek az érintettekről, mint például: név, e-mail cím, telefonszám, város vagy régió, iskolai végzettség, karrier háttér, közösségi média profilkép, közösségi média profil linkek és munkaképesség.
II. A szoftver működésének adatvédelmi kérdései
A szolgáltatás alapvető eleme, hogy az általuk összegyűjtött személyes adatokat megosztják az ügyfeleikkel, akik munkáltatók és toborzó csapatok.
Az érintettek személyes adatait azért dolgozzák fel, hogy segítsék a munkáltatók és a leendő munkavállalók közötti egyezések felfedezését és az egyszerűbb kapcsolatfelvételt. Az adatokat úgy dolgozzák fel, hogy az érintettről nyilvánosan elérhető információkat kombinálják a foglalkoztatási előéletére és képességeire vonatkozóan, valamint összevetik a harmadik felektől kapott információkkal. A munkáltatók és a toborzók ezután kereshetnek a platformon olyan potenciális jelöltek után, akikről úgy gondolják, hogy megfelelhetnek egy álláslehetőségnek. Ha egy munkáltató érdeklődik az érintett iránt egy potenciális álláslehetőség miatt, akkor közvetlenül őt keresi meg e-mailben, telefonon vagy szöveges üzenetben.
III. A szoftver adatkezelési tájékoztatója
A szoftvert működtető cég világszinten kívánja használni a szoftvert, így figyelemmel volt arra, hogy nem elegendő az amerikai adatvédelmi szabályoknak megfelelnie, ezért készített egy adatkezelési tájékoztatót kifejezetten a GDPR hatálya alá tartozó országokban élő érintettek részére.
A cég a GDPR hatálya alá tartozó országokban lévő érintettek esetén az adatkezelés jogalapját a GDPR 6. cikke (1) bekezdésének f) pontja alapján a jogos érdekre hivatkozva állapította meg. A cég a jogos érdek megállapítását az alábbiak miatt látta indokoltnak.
- Az érintettek érdeke, hogy értesüljenek a képességeiknek és tapasztalatuknak megfelelő álláslehetőségekről.
- A munkáltatók és toborzók érdeke, hogy felfedezzék és felvegyék a kapcsolatot a potenciális munkavállalókkal.
- A társadalom érdeke, hogy csökkenjen a munkanélküliség.
- A cég érdeke, hogy ezeket a szolgáltatásokat nyújtsa és versenyezzen más hasonló szolgáltatókkal.
IV. Adatvédelmi aggályok
a. Hatósági álláspont a lehetséges munkavállalók személyes adatainak kezelésére vonatkozóan
A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: NAIH) tájékoztatója a munkahelyi adatkezelések alapvető követelményeiről kimondja, hogy a munkavállalók magánélete nem ellenőrizhető. A munkavállalókat a munkahelyen is megilleti a magánélethez való jog, és ezt a munkáltatónak tiszteletben kell tartania. Habár jelen esetben még nem beszélhetünk létrejött munkaviszonyról, de annak a létrehozatala a cél, így ezen szabályokat a kiválasztási eljárásnál is alkalmazni kell, tehát a munkaviszony létesítésével összefüggésben a recruiterek és munkáltatók nem jogosultak ellenőrizni a jelöltek közösségi oldalait és az alapján döntést hozni az adott személy lehetséges munkaviszonyáról.
b. Kezelt személyes adatok köre
A munkaviszony létrehozása, mint adatkezelési cél eléréséhez elégséges magának a jelentkezőnek az önéletrajzában lévő személyes adatok feldolgozása. A jelentkező social médiában fellelhető profiljának elemzése ezen a célon túlterjeszkedik, hiszen az tartalmaz a jelölt magánéletére vonatkozó információkat is, amelyek kezelése főszabály szerint tilos. Ezen eljárás során az emberi méltóság sérelme is felmerülhet, hiszen a közösségi oldalon keresztül olyan személyes adatokat is megismerhetnek a lehetséges munkáltatók, illetve recruiterek, amelyek nem tartoznak a jövőbeli munkáltatóra, mint például az, ha a jelölt profilképen a kiskorú gyermeke is rajta van, így ebből akár olyan következtetésre is juthatnak, hogy az adott személy a gyermeke esetleges kisebb-nagyobb megbetegedése esetén gyakrabban eshet ki a munkából. Ezen információ pedig lehetővé teszi, hogy a potenciális munkavállaló esetleg bekerüljön egy olyan listára, akit a nem kívánnak foglalkoztatni még a jövőben sem, ha esetleg ő magától jelentkezik a meghirdetett pozícióra.
c. Érintettek utólagos tájékoztatása
További aggályt vet fel, hogy tudomásunk szerint a jelölteknek nem szükséges az oldalon regisztrálniuk ahhoz, hogy bekerüljenek a Talent Poolba és a személyes adataikat összegyűjtsék, majd továbbítsák a munkáltatók, recruiterek részére. A rendelkezésre álló információink alapján tehát úgy zajlik egy adatvédelmi szempontból meglehetősen komplex folyamat, hogy az érintett egészen addig nincs tisztában azzal, hogy kezelik a személyes adatait, amíg a recruiter vagy munkáltató fel nem keresi egy álláslehetőséggel.
A fentiek alapján a jelöltek tehát nem regisztrálnak az oldalra, ezért őket a GDPR 14. cikke szerinti tájékoztatásban (tájékoztatás amennyiben a személyes adatokat nem az érintettől szerezték meg) kell részesíteni. Ez a tájékoztatás bár utólag történik, a GDPR kifejezett határidőt is megállapít: a személyes adatok megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül szükséges az érintetteket tájékoztatni az adatkezelés valamennyi lényegi eleméről, amelybe annak közlése is beletartozik, hogy milyen forrásból származnak az érintettek személyes adatai.
Ezen körben szükséges kitérnünk arra is, hogy a recruiterek és munkáltatók szintén adatkezelőkké válnak abban az időpontban, amikor a szoftver átadja részükre az érintettek személyes adatait. A szoftver adatkezelési tájékoztatója alapján ezen – cseppet sem elhanyagolható – információ sem kerül az érintettek birtokába, amely amellett, hogy az adatvédelmi rendelkezések megszegése, az érintettek joggyakorlására jelentősen kihat.
d. Érintettek előzetes tájékoztatása
Ahogy az előző pontban említettük, információink alapján jelenleg nem szükséges regisztrálnia az érintetteknek ahhoz, hogy a szoftver a személyes adataikat kezelje, a cég nem egyértelmű kommunikációjából azonban nem zárható ki az sem, hogy az érintettek maguk is regisztrálhatnak az oldalra. Érdemes ezért néhány mondatban kitérnünk erre az esetre is. Ilyenkor ugyanis a jelölteket előzetesen szükséges tájékoztatni az adatkezelésről, azaz arról, hogy a közösségi oldalaikat toborzási céllal megvizsgálják, onnan személyes adatokat gyűjtenek és továbbítanak az egyes toborzó cégeknek. Minden adatkezelésnél úgy jár el szabályszerűen az adatkezelő, ha az érintetteket megfelelően előzetesen tájékoztatja az adatkezelés részleteiről, amennyiben ezt elmulasztja, úgy bírságokra számíthat.
Amennyiben a cég úgy kezel személyes adatokat az érintettekről, hogy azok nem is tudnak róla, úgy a GDPR-ba ütköző magatartást visz végbe. Amennyiben, bár az előzetes tájékoztatás megtörténik, hogy mely személyes adatokat gyűjt be a cég az érintettekről, még akkor is aggályos lehet az adatkezelés, hiszen arról is szükséges lenne tájékoztatni az érintetteket, hogy a személyes adataikat a cég kiknek fogja továbbítani milyen célból és jogalappal, viszont az a munkáltatói kör, akiknek továbbítják az adatokat, valószínűleg az adatkezelés megkezdésekor még nem ismert, így a tájékoztatás sem lehet teljes körű. Ez azonban nem mentesíti az adatkezelőt a tájékoztatási kötelezettség teljesítése alól.
e. Megfelelő jogalap kérdése
A cég az adatkezelés jogalapját a GDPR 6. cikke (1) bekezdésének f) pontjára tette, a jogos érdekre. Amennyiben a cég átláthatóan jár el és csak azon jelöltek adatait kezelik, akik előzetesen ahhoz hozzájárultak, úgy a hozzájárulás, mint jogalap is szóba jöhet az adatkezelés tekintetében.
Viszont, amennyiben a jelöltek nem tudnak az adatkezelésről, arra nem is jelentkeztek, úgy a cég jelenlegi adatkezelési tájékoztatójában hivatkozott jogos érdek sem biztos, hogy megáll. Bár a cég szerint az érintettek érdeke, hogy értesüljenek a képességeiknek és tapasztalatuknak megfelelő álláslehetőségekről, viszont amennyiben az érintettnek nem áll szándékában álláshirdetésekről értesülnie, úgy valójában az érintettnek már egyáltalán nem áll érdekében az adatkezelés.
f. Kinek a jogos érdeke?
Az érintett magánéletéhez fűződő joga, valamint az önrendelkezési jog erősebb annál, hogy a hozzájárulása nélkül kezeljenek olyan személyes adatokat róla, amely túlmutathat a munkaviszony létesítéséhez és fenntartásához szükséges személyes adatok körén. Álláspontunk szerint abban az esetben, ha az érintettnek nem áll szándékában a munkahelyváltás, valamennyi, a szoftveren keresztül kezelt személyes adata erősen sérti a magánélethez fűződő jogát. Az is kiemelendő, hogy a jogos érdekre alapozott adatkezelésnél sosem lehet az érintett jogos érdeke a jogalap, hanem az mindig az adatkezelőé vagy harmadik személyé, így az érintett jogos érdekére nem lehet hivatkozni.
g. Érdekek összevetése – az érdekmérlegelési teszt
Természetesen előfordulhat olyan eset, hogy az érintett érdeke nem áll ellentétben az adatkezelő jogos érdekével, de ebben az esetben sem lehet az érintett érdekére alapozni az adatkezelést. Továbbá amennyiben az adatkezelő az adatkezelést a jogos érdekre alapozza, úgy köteles érdekmérlegelési tesztet is készíteni, amelyben ütközteti a jogos érdeket, valamint az érintett magánélethez fűződő és az önrendelkezési jogát, és annak eredménye alapján dönti el, hogy az adatkezelés jogszerű és megalapozott. A cég a tájékoztatójában nem hivatkozott arra, hogy elvégezte volna az érdekmérlegelési tesztet az adatkezelés vonatkozásában és a ilyen dokumentumot nem is hozott nyilvánosságra a honlapjukon keresztül.
h. Tiltakozáshoz való jog
A jogos érdek jogalap alkalmazása esetén érdemes beszélnünk az érintettet megillető jogok közül a tiltakozáshoz való jogról. Ebben az esetben különösen értékes, hiszen a cég jelenlegi tájékoztatása alapján nem egyértelmű, hogy az érintettek tisztában vannak-e azzal, hogy kik és milyen célból kezelik az adataikat, illetve ők maguk egyáltalán szeretnék-e, ha a személyes adataikat kezelné a szoftver, illetve a recruiterek.
V. A szoftverrel kapcsolatos legnagyobb adatvédelmi aggály: profilalkotás, automatizált döntéshozatal
A szoftver működése alapján felmerül az automatizált döntéshozatal, valamint a profilalkotás kérdése is. A cég tájékoztatásából ugyan nem derül ki egyértelműen, hogy a szoftver alkalmaz-e automatizált döntéshozatalt az adatkezelés során, ugyanakkor a mesterséges intelligencia használata önmagában felveti ennek lehetőségét. Hasonló a helyzet a profilalkotással is, ugyanis maga az adatkezelési cél az, hogy a lehetséges jelöltek különböző tulajdonságait, személyes adatait arra használja, hogy a munkáltatók, illetve recruiterek szinte katalógusszerűen válogathassanak a lehetséges jelöltek közül miközben lehet, hogy maga az érintett nincs is tisztában azzal, hogy befutó pozícióban lehet egy olyan versenyben, amiben el sem indult.
Az adatkezelési tájékoztató egyáltalán nem rendelkezik sem arról, hogy automatikus döntéshozatalt alkalmazna az adatkezelő, sem a profilalkotás kérdéséről. Amennyiben automatizált döntéshozatalt alkalmaz vagy profilalkotást végez az adatkezelő, arról is tájékoztatnia kell az érintetteket, hogy az adatkezelés milyen várható következményekkel jár az érintettekre, valamint az alkalmazott logikára vonatkozóan is érthető információt kell szolgáltatnia az érintett számára. Szintén biztosítani szükséges az érintett számára, hogy az olyan automatizált adatkezelésen alapuló döntés hatálya, amelynek része lehet a profilalkotás is, ne terjedjen ki rá, amely rá nézve joghatással járna vagy az érintettet hasonlóképpen jelentős mértékben érintené.
VI. Magas kockázatú adatkezelés = hatásvizsgálat?
Az adatkezelés a személyes adatok nagy számára, valamint az érintettek kiszolgáltatott helyzetére, illetve az alkalmazott technológiára tekintettel – nem ismerve az adatkezelés valamennyi elemét – kifejezetten magas kockázatú adatkezelésnek minősülhet. Ez alapján az adatkezelőnek előzetesen hatásvizsgálatot is kellett volna végeznie, amelyben sorra veszi az adatkezeléssel járó kockázatokat, az azokra adott választ, valamint az adatkezelés érintettekre gyakorolt hatását és mindezek alapján tudja eldönteni, hogy az adatkezelés az egyes beépített garanciák mellett jogszerűen végezhető vagy továbbra is kockázattal jár az érintettek jogaira és szabadságaira nézve. Amennyiben ez utóbbi helyzet állna elő, az adatkezelőnek mindenképpen konzultálnia kell az adatvédelmi hatósággal. A szoftver adatkezelési tájékoztatójából nem derül ki, hogy ilyen hatásvizsgálat elkészítésére sor került volna, a tájékoztató hiányos tartalma miatt feltételezzük, hogy nem készült előzetesen hatásvizsgálat, az ugyanis több, általunk is jelzett kockázatot feltárt volna az adatkezeléssel kapcsolatban.
VII. Összefoglalás
Napjainkban számos olyan applikáció jelenik meg, amely bár a munkafolyamatok megkönnyítését, gyorsítását, egyszerűsítését célozza, valójában a GDPR szabályait figyelmen kívül hagyva próbál profitot termelni, viszont ezek a törekvések ellenkeznek az adatvédelem szabályaival. Jelen esetben a munkaerő kereséssel kapcsolatos szoftverek is csak akkor tudnak megfelelően működni, ha az egyes adatkezelésekről megfelelően előzetesen tájékoztatják az érintetteket, megtalálják az adatkezeléshez a megfelelő jogalapot, amelyet a GDPR biztosít, és ha az adatokat a jogszerű célnak megfelelően kezelik.
Mindezek mellett nem lehet eleget hangsúlyozni, hogy nem csak jogszerűen kell eljárni, annak is kell látszani, azaz az adatkezelőknek nem érdemes „megspórolniuk” a látszólag felesleges adminisztrációt. Egy magas kockázatúnak tűnő adatkezelés esetén, különösen, ha a mesterséges intelligencia is szerepet játszik, a hatásvizsgálat, valamint az érdekmérlegelési teszt elvégzése magát az adatkezelőt is segíti abban, hogy felismerje az adatkezelés gyenge pontjait. Ennek köszönhetően még az „éles rendszer” előtt tudja orvosolni a problémás adatkezelést, elkerülve ezzel, hogy a sajtóhírek miatt váljon híressé, egy gigantikus méretű adatvédelmi bírság miatt.
Budapest, 2023. október 31.