Az Alaptörvény VI. cikk (3) bekezdése alapján mindenkinek joga van „a közérdekű adatok megismeréséhez és terjesztéséhez”, a (4) bekezdés szerint pedig „a közérdekű adatok megismeréséhez való jog érvényesülését sarkalatos törvénnyel létrehozott, független hatóság ellenőrzi”.

De mi is az a „közérdekű adat”?

Két feltétel együttes jelenléte esetén közérdekű egy adat:

1. állami vagy önkormányzati feladat illetve közfeladatot ellátó szerv közfeladatainak ellátása során keletkezett; és
2. nem személyes adat

Elvben a közérdekű adatok attól közérdekűek, hogy bárki hozzájuk férhet: az adatkezelő által kötelezően vagy a saját honlapján, vagy más honlapon közzéteendő közérdekű adatok esetében úgy, hogy azokat a megfelelő helyen megtaláljuk és ott elolvassuk, a nem kötelezően közzéteendő közérdekű adatok tekintetében pedig úgy, hogy állampolgárként egyedi közérdekűadat-igénylést nyújtunk be.

A gyakorlatban azonban a nem kötelezően közzéteendő adatok esetén a kérelem gyakran kap negatív választ: a kért adatot nem adja ki az adatkezelő. Annak eldöntése, hogy ez mikor jogszerű, esetenkénti tartalmi vizsgálatot igényel, amit a jogalkotó az adatkezelőtől el is vár.

Jogszerű lehet az adat kiadásának megtagadása például akkor, ha ezzel üzleti titok kerülne ki, feltéve, hogy nem közpénzekkel, állami vagyonnal való gazdálkodásról van szó, mivel ez utóbbi esetben a közérdek megelőzi az üzleti titokhoz fűződő érdeket.

Ugyancsak jogszerű és gyakran hivatkozott megtagadási ok az, hogy az adat döntés megalapozását szolgálja. Ez a megtagadási ok sem ad azonban korlátlan lehetőséget az adat kiadásának elutasítására: korlátja, hogy a megtagadás, az adat elzárása nem vezethet a döntési folyamat átláthatatlanná válásához.

A A közérdekű adatok megismerésének lehetőségei és korlátai bejegyzés először EcoCreative-én jelent meg.

A minap az egyik nagy forgalmú magánrendelő mint adatkezelő az én kifejezett érintetti kérésemre sem küldte el titkosítatlan emailben a leletemet, amely titkosítva viszont nem volt megnyitható, mert a kapott kód nem működött – a magyarázat az volt, hogy számukra „a titkosítás a GDPR miatt kötelező” és attól még kérésemre sem térhetnek el.

Az orvosi lelet mint egészségügyi, és ekként a szenzitív adatok kategóriájába tartozó adat továbbítása tekintetében a GDPR a Preambulum (83) bekezdésében azt írja elő, hogy az adatkezelő a „biztonság fenntartása és az e rendeletet sértő adatkezelés megelőzése érdekében” értékeli … [a] kockázatokat, és … [a] kockázatok csökkentését szolgáló intézkedéseket, például titkosítást alkalmaz.”

A GDPR 24. cikke az adatkezelő feladatairól, 32. cikke pedig az adatkezelés biztonságáról rendelkezik – ennek keretében azt rendeli el, hogy a kockázatok számon vételével az adatkezelő az adatbiztonság garantálására „megfelelő technikai és szervezési intézkedéseket hajt[son] végre… ideértve, többek között, adott esetben” az „adatok álnevesítését és titkosítását”.

A titkosítás tehát eleve nem is kötelező, pusztán egy a lehetséges utak közül. Számos más út lehetséges, amelyeket a GDPR nem sorol fel és nem ír elő; ezt nem is tudná megtenni, hiszen minden konkrét eset egyedi megoldást igényel.

Ha valamely esetben pedig titkosított email-küldéssel kíván az adatkezelő eleget tenni a GDPR előírásainak, akkor sem szűnik meg az érintett lehetősége arra, hogy ettől eltérő megoldást kérjen és kapjon, mivel az érintett a saját adatainak az „ura”. Ez fejeződik ki a GDPR 9. cikk (2) bekezdésének a) pontja, valamint 15. cikke együttes olvasatával, miszerint az érzékeny adatok érintetti hozzájárulás esetén kezelhetők, és az érintettnek hozzáférési joga van a saját adataihoz.

Ha tehát az érintett bármilyen módon kéri a saját személyes adatainak megküldését, az adatkezelő ennek a kérésnek köteles eleget tenni. Akár titkosítatlanul is.

A Az egészségügyi adatok titkosítása és az érintett hozzáférési joga bejegyzés először EcoCreative-én jelent meg.

Amikor szervezetek szerződnek egymással, szükséges megadniuk egymás számára azon kapcsolattartóik adatait, akik a szerződés teljesítésében a szervezet részéről személyesen fognak részt venni: általában egy név, a hozzá tartozó telefonszám és egy emailcím az átadott adat. Természetesen ezen adatok is általában személyes adatok (kivétel lehet például a nevet nem tartalmazó emailcím, így az iroda@cégnév.com jellegű mélcímek), ezért átadásuk, rögzítésük, tárolásuk, használatuk és későbbi törlésük is adatkezelésnek minősül, arra tehát a GDPR rendelkezéseit és a hazai adatvédelmi jogszabályokat megfelelően alkalmazni kell.

De mi is a teendőnk?

Először is tudnunk kell, hogy a saját dolgozónk és a másik szervezet által megadott kapcsolattartó adatainak kezelése eltérő jogalapon történik, így a teendő is eltér.

A saját dolgozó tekintetében a szervezet a GDPR 6. cikk (1) (b) pontja és a Munka törvénykönyvéről szóló 2012. évi I. törvény (a továbbiakban: „Mt.”) 10. § (1) bekezdése alapján jár el, tehát a jogalap a szerződéskötés – az egyértelműség miatt rögzítem, hogy szerződés alatt nem a másik szervezettel kötött szerződést kell érteni, hanem a szervezet és a munkavállaló közötti munkaszerződést –, vagyis a munkaszerződésben kell (az egyéb adatkezelésekre vonatkozó tájékoztatással együtt) azt rögzíteni, hogy a szerződő partner cégek számára hogyan, milyen feltételek mellett kerülhet átadásra az illető munkavállaló személyes adata.

Ezzel szemben a szerződő partnere dolgozója tekintetében a GDPR 6. cikk (1) (f) pontja szerinti jogos érdek alapján kezel a szervezet személyes adatot, így erre a kérdéskörre nézve érdekmérlegelési tesztet kell készíteni – természetesen nem egyesével minden megkötendő szerződésre, hanem általános jelleggel a harmadik személyekkel (szervezetekkel) kötött szerződések esetére.

A fenti előzményszabályok betartásán túl a konkrét szerződés szövegével is van teendőnk: abban helyet kell kapnia a kapcsolattartók személyes adatainak kezelésére vonatkozó, a fentiek meglétére visszautaló klauzulának.

A Kapcsolattartók adatai a szervezetek közötti szerződésekben bejegyzés először EcoCreative-én jelent meg.

Az adatvédelmi megfeleltetés minden szervezet életében meglehetős felfordulással, anyagi költségekkel és időráfordítással jár, amit természetesen próbál minimalizálni, így azután gyakran érkezik kérés „GDPR-csomag” elkészítésére.

A szükséges teendők meghatározása egy-egy szervezetnél mindenképpen előzetes helyzetfelmérést, ún. gap-analízist kíván, amihez egyebek mellett rengeteg interjú szolgál alapul. Ezt követi az adatvédelmi megfeleltetés, amelynek két, egyformán fontos és szükséges szintje van.

Egyrészt meg kell alkotni a szervezeten belüli adatvédelmi szabályzatokat és módosítani kell minden egyéb dokumentumot (pl. munkaszerződések, ügyfelekkel és beszállítókkal kötött szerződések) is oly módon, hogy azok összhangban legyenek mind a GDPR és az Infotv. rendelkezéseivel, mind pedig a más nemzeti jogszabályok által az adatvédelemre vonatkozóan megfogalmazott speciális szabályokkal.

Másrészt minden egyes, az adatkezelésben részt vevő munkavállaló napi gyakorlatát hozzá kell igazítani a már helyesen leírtakhoz, tehát le kell oktatni azt, amit leírtunk, és nyomon is kell követni, hogy a szükséges változtatások szerint folyik-e a továbbiakban a munkavégzés. Mindezt továbbá nem elegendő egyszer elvégezni, hanem rendszeresen ismételni kell.

Minden szervezet egyedi – eltérő a tevékenységi kör, a méret, a kapcsolati háló, a marketingszemlélet, az épületi adottságok, és minden más; ezért „dobozos”, tehát olyan megoldások nincsenek, ahol a szervezet intenzív bevonása elhagyható lenne. A gap-analízis interjúk során, az iratok egyedivé tételében és az időszakos oktatásban egyaránt szükség van az adatvédelmi szakértő mellett a cég megfelelő munkatársainak aktív részvételére is. Enélkül üres, a szervezetet egyáltalán nem védő irathalmaz lesz a végeredmény.

Amikor tehát a GDPR-megfeleltetést tervezi a szervezet, szükséges az anyagi költség mellett a humán igénybevétellel is számolni.

A Bedobozolt GDPR bejegyzés először EcoCreative-én jelent meg.

A COVID-dal kapcsolatos járványügyi veszélyhelyzet kormányhatározatban történt legutolsó meghosszabbítása 2022. január 1-jéig teszi hatályossá a veszélyhelyzetben alkalmazandó normákat. Kérhet-e vajon védettségi igazolványt minden munkáltató általános érvénnyel bármely dolgozójától arra tekintettel, hogy a veszélyhelyzet még tart?

Némi jogszabályi háttér…

A védettségi igazolvány adatvédelmi szempontból különleges (egészségügyi) személyes adatnak minősül, és mint ilyenre, speciális feltételek vonatkoznak rá. Különleges adat akkor kezelhető, ha az adatkezelés megfelel mind a GDPR 6. cikk (1) bekezdésében található jogalapok, mind pedig a GDPR 9. cikk (2) bekezdésében foglalt további feltételek valamelyikének. A megfelelés hiányában az egészségügyi adatok kezelése jogellenes.

A munkavédelemről szóló 1993. évi XCIII. törvény 54.§ (7) bek. alapján a munkáltató biztosítja az egészséget nem veszélyeztető és biztonságos munkavégzés követelményeit, és köteles teljes felelősséggel megtenni minden szükséges intézkedést a munkavállalók biztonsága és egészségvédelme érdekében, figyelembe véve a változó körülményeket is. E körben a munkavállalót együttműködési kötelezettség terheli.

Az Mt. 9.§ (2) bek. és 10. § (1) bek. alapján a munkaviszony rendeltetésével közvetlenül összefüggő okból feltétlenül szükséges és a cél elérésével arányos mértékben és módon a munkavállalók személyiségi jogai korlátozhatóak, továbbá a munkavállalótól követelhet a munkáltató olyan nyilatkozatot vagy személyes adatot, amely a munkaviszony szempontjából lényeges.

…és a konklúzió:

A fentiek alapján a munkáltatóknak kockázatértékelés keretében először is meg kell vizsgálniuk, hogy mely munkakörök és munkavállalók esetén lehet akár a védett vagy nem védett munkavállalókra, akár pedig harmadik személyekre egészséget veszélyeztető az, ha védettség nélkül folyik a munkavégzés, és az ezekben a munkakörökben dolgozó munkavállalók védettségi igazolványa adatait vagy az applikáción elérhető adatokat kezelheti akkor, ha annak alapján valóban, a gyakorlatban is vezet be védelmi intézkedéseket.

A munkavállalókat érthetően és teljes körűen tájékoztatnia kell mind a kockázatértékelésről, mind pedig arról, hogy az adatkezelés milyen keretek között fog megvalósulni.

FIGYELEM! A folyamatosan otthonról dolgozó munkatársak esetén a védettségi igazolvány adatainak kezelése jó eséllyel nem lesz jogszerű, míg pl. egy recepciós vagy bolti eladó esetén jó eséllyel jogszerű lesz, legalábbis, ami a jogalapok meglétét illeti.

A A védettségi igazolvány munkáltató általi kezelésének lehetőségeiről bejegyzés először EcoCreative-én jelent meg.

Egyre több esetben fordulnak hozzám mind munkáltatók, mind munkavállalók a fenti kérdésben. Kérhet-e a munkáltató erkölcsi bizonyítványt, így ebben a cikkben összefoglalom a vonatkozó szabályokat.

Az erkölcsi bizonyítvány által tartalmazott információ jogi szempontból bűncselekményekre vonatkozó, avagy bűnügyi személyes adat, és mint ilyen, a GDPR 10. cikke alapján főszabályként közhatalmi szerv által kezelhető. Más szervezet, így munkáltató által csakis akkor és abban a terjedelemben, ha és amilyen mértékben arra uniós vagy tagállami jog felhatalmazást nyújt.

Lássuk tehát a magyar szabályozást!

A bűnügyi személyes adat az Infotv. 5.§ (7) bek. rendelkezése alapján különleges adatnak minősül. Ez, a hatóság (NAIH) álláspontjával is összhangban, azt jelenti, hogy a munkáltató kizárólag két esetben jogosult a munkavállalót az erkölcsi bizonyítvány bemutatására kötelezni:

1.A munkáltató számára jogszabály írja elő az erkölcsi bizonyítvány ellenőrzését (GDPR. 6. cikk (1) bek. c) pont szövege szerint: „az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges”), mely esetben az adatkezelés kereteit maga a vonatkozó jogszabály rögzíti.

INFÓ: Az erkölcsi bizonyítvány igényléséhez szükséges adatlap kitöltési útmutatójának utolsó oldalain szerepel számos vonatkozó magyar jogszabályi előírás:

https://www.nyilvantarto.hu/letoltes/erkolcsi_kerolap_kiitoltesi_utmut.pdf

2.A munkáltató jogos érdeke (GDPR 6. cikk (1) bek. f) pont) teszi szükségessé és az általa elvégzett érdekmérlegelési teszt teszi lehetségessé az erkölcsi bizonyítvány ellenőrzését.

FIGYELEM! Az érdekmérlegelési teszt szigorú szabályok alapján készül, így ahhoz szakértő igénybevétele javasolt.

FONTOS! Az erkölcsi bizonyítvány munkáltató által akkor sem másolható vagy tárolható, ha megtekintése jogszerű – sorszámát rögzítjük. Azonban magát a bizonyítványt megtekintés után az érintettnek visszaadjuk.

A Kérhet-e a munkáltató erkölcsi bizonyítványt? bejegyzés először EcoCreative-én jelent meg.

A gyakorlatban sok esetben nehézséget okoz annak meghatározása, hogy az egy-egy ügylet kapcsán adatot kezelő több szervezet közül ki minősüljön adatkezelőnek, ki adatfeldolgozónak, vagy beszélhetünk-e esetleg közös adatkezelőkről.

Jelenleg erre nézve az Európai Adatvédelmi Testület által egészen frissen, 2021. július 7-én elfogadott, az adatkezelő és adatfeldolgozó GDPR szerinti fogalmáról szóló 07/2020. számú iránymutatása nyújt eligazítást: tisztázza az alapvető szerepek definícióját, tartalmát, valamint gyakorlati példákkal megsegítve meghatározza az egyes szereplőkre háruló kötelezettségeket. (Egyelőre csak angol nyelven elérhető a szöveg, de hamarosan lesz magyar nyelvű változat is.)

Az ügyfelek gyakran nincsenek tisztában azzal, hogy miért is van jelentősége mindennek, mire jó egyáltalán a megkülönböztetés. Az adatot kezelő egyes szervezetek kategorizálása a jogi státusz, a kötelezettségek, valamint a felelősség oldaláról is fontos.

A teljesség igénye nélkül néhány fő eltérés:

• az adatkezelő önálló, az adatfeldolgozó az adatkezelőtől sok szempontból „függ”;
• az adatfeldolgozó bevonása az adatkezelésbe növeli az adatkezelő felelősségét, ami két egyenrangú adatkezelő (közös adatkezelők) esetén egymáshoz képest nem valósul meg;
• az adatfeldolgozó szerződése más tartalmú, mint az adatkezelőé (az adatkezelőnek nem is feltétlenül van szerződése sem), és a szerződés nem megfelelő tartalma vagy hiánya esetén a felek felelősségre vonhatóak;
• adatkezelő és adatfeldolgozó kapcsolata, kötelezettségei az érintettek, szerződő felek, adatvédelmi hatóság stb. irányában különböző(ek).

A Adatkezelő, adatfeldolgozó, közös adatkezelők bejegyzés először EcoCreative-én jelent meg.

Bár elvben 2016 óta ismerhetők és 2018 óta kötelezően alkalmazandók a GDPR szabályai, mégis újra és újra kérdések merülnek fel azzal kapcsolatban, hogy mi is minősül megfelelő hozzájárulásnak. Lássuk az alapvető feltételeket!

1. A hozzájárulást meg kell előznie a részletes tájékoztatásnak, tehát nem megfelelő az, hogy a tájékoztatást utólag közöljük, vagy olyan platformon, amihez az érdekeltek nem is férnek hozzá.

2. A hozzájárulás csak a tájékoztatásban részletezett tartalmú adatkezelésre vonatkozik, a tájékoztatásnak tehát egyértelműen és teljes körűen kell lefednie azt, amire később az adatkezelés ténylegesen ki fog terjedni.

3. A hozzájárulás nem terjedhet ki „mindenre” – a hozzájárulás az általános jellegű adatkezeléshez érvénytelen, és a hozzájárulás kiterjesztő értelmezése sem lehetséges; az csakis arra vonatkozik, amihez a tájékoztatás alapján hozzájárult az érintett.

4. A szenzitív adatok tekintetében a hozzájárulásnak írásbelinek kell lennie, semmilyen más forma nem megfelelő.

5. „Egyszerű” adatok esetén elvben elegendő a szóbeli vagy ráutaló magatartással történő hozzájárulás, azonban az elszámoltathatóság alapelve miatt minden lehetséges esetben az írásbeli forma ajánlott.

6. FIGYELEM: Ha a tájékoztatásban szereplő adatkezelés jogellenes lenne, úgy a hozzájárulás sem teszi azt jogszerűvé!

7. FIGYELEM: Nem minden adatkezeléshez kell hozzájárulás, azonban a tájékoztatás az ilyen esetekben is kötelező!

A Néhány gondolat a hozzájárulásról a GDPR tükrében bejegyzés először EcoCreative-én jelent meg.