1.

A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) 2020. szeptember 16-án kelt állásfoglalásában azt vizsgálta, hogy milyen feltételek mellett üzemeltethet egy gazdasági társaság a tulajdonában lévő gépjárművek kabinjainak elején útfigyelő, felvételt készítő fedélzeti kamerákat. Az állásfoglalás alapjául szolgáló megkeresés szerint a társaság a fedélzeti kamerák felvételeit „nem kívánja megőrizni, más részére továbbítani, kizárólag egyes kivizsgálandó eseteknél a kivizsgálás tárgyával érintett időszakra vonatkozó felvételt tartaná meg és csak további oktatás, belső fejlesztés céljából használná fel”. Ennek mentén a hatóság a gyakorlat számára fontos alapvetéseket fogalmazott meg.

A NAIH álláspontja

A NAIH mindenekelőtt kiemelte, hogy egy természetes személy képmása, az érintettről készített kép- és hangfelvétel az általános adatvédelmi rendelet (GDPR) szerint személyes adatnak, ezen információk rögzítése, tárolása és felhasználása pedig adatkezelésnek minősül. E tevékenység során tehát az adatkezelőnek figyelemmel kell lennie a GDPR-ban foglalt rendelkezésekre, különös tekintettel az 5. cikkben foglalt adatkezelési érvényre juttatására. Ez alól – főszabály szerint – csak abban az esetben mentesülne a megkeresés szerinti társaság, amennyiben a fedélzeti kamerákat nem „üzleti tevékenysége” keretében, hanem magáncélból üzemeltetné.

A NAIH állásfoglalásában többször is hivatkozik az Európai Adatvédelmi Testület (EDPB) a személyes adatok videoeszközökkel történő kezeléséről szóló 3/2019-es iránymutatására. Az említett dokumentumban az EDPB hangsúlyozta, hogy kamerás megfigyelések keretében végzett adatkezelések jogalapjául szolgáló jogos érdek (GDPR 6. cikk (1) bekezdés f) pont) alkalmazásakor az adatkezelők kötelesek eseti vizsgálat tárgyává tenni azt, hogy az adatkezelés mennyiben érinti az érintettek jogait és szabadságait. Ha az adatkezeléshez fűződő jogos érdek az érintett érdekeivel, jogaival és szabadságaival szemben elsőbbséget élvez, az adatkezelés megkezdhető.

A NAIH ugyanakkor rámutatott arra is, hogy az érdekmérlegelés eredményét egyéb tényezők is befolyásolhatják. Így hivatkozott az EDPB iránymutatásában szereplő azon kitételre is, miszerint a „[m]enetrögzítő kamera telepítése esetén (például baleset bekövetkezésekor történő bizonyítékgyűjtés céljából) fontos gondoskodni arról, hogy ez a kamera ne rögzítse folyamatosan a forgalmat, valamint az út mellett tartózkodó személyeket”. Az adatkezelő érdeke ugyanis, hogy az esetleges balesetet rögzítő kamerafelvétellel rendelkezzen, nem alkalmas az érintett személyek jogaiba és szabadságaiba történő ilyen jelentős mértékű beavatkozás igazolására. Ebből következően pedig nem alkalmazhatók a gazdasági társaság tulajdonában lévő gépjárművekben útfigyelő, felvételt készítő fedélzeti kamerák

A NAIH álláspontjának értékelése

A hatósági álláspont alapvetően nem tér el a korábbi magyar gyakorlattól, illetve az EDPB által az említett iránymutatásban kifejtett főbb megállapításoktól. Ugyanakkor mind a NAIH, mind pedig az EDPB által kifejtettek felvetnek esetleges további kérdéseket. Mindenekelőtt az vizsgálható, hogy miként biztosítható, hogy a balesetek rögzítése céljából üzemeltetett fedélzeti kamera ne rögzítse folyamatosan az úton és a közelben történő eseményeket. Amennyiben a NAIH / EDPB álláspont azt, hogy az ilyen kamerákat csak esetenként, manuálisan lehet be- és kikapcsolni, akkor az önmagában is egy balesetveszélyes gyakorlatot eredményezne, hiszen a vezető figyelmét, ha rövid időre is, de a felvételek rögzítésének és az adatkezelés abbahagyásának mozzanatai kötnék le. Ezzel szemben, ugyanakkor csak az általános tilalom áll, vagyis, hogy magánszemélyeken kívül egyáltalán nem lehet fedélzeti kamerát működtetni gépjárművekben.

Másrészt érdemes összevetni a NAIH érvelését az ír adatvédelmi hatóság (Data Protection Commission – DPC) vonatkozó ajánlásával, amely elismeri, hogy a felvételek rögzítése szükséges lehet egy rendőrségi eljárás lefolytatása céljából, így a vonatkozó személyes adatok kezelésére is lehetősége van az adatkezelőknek. Ebben az esetben a következő feltételek érvényesülését kell figyelembe venni:

• átláthatóság és előzetes tájékoztatás;
• az adatok kezelése csak célhoz kötötten (balesetek körülményeinek bizonyítása) történhet;
• a személyes adatokat csak a célhoz szükséges mértékben és ideig lehet tárolni;
• a személyes adatokat rendszeresen törölni kell;
• adatbiztonságot garantálni kell;
• az érintett hozzáférési jogát biztosítani kell;
• a felvételeket csak kivételes esetekben lehet nyilvánosságra hozni;
• a felvételekhez való hozzáférést (pl. bírósági eljárásban) csak megfelelő jogszabályi keretek között lehet biztosítani.

A fenti álláspontok mindegyike (tilalom v. korlátozott használat) mellett lehet pro és kontra érveket felhozni. Kérdés inkább az lenne, hogy a gyakorlat miként fog ezután alakulni, melyik irányzat terjed el és az milyen hatással lesz az érintettek személyes adatok védelméhez fűződő jogára.

Forrás: www.dpoportal.hu

2.

Az adatkezelők és adatfeldolgozók szintjén az adatvédelmi tisztviselő (DPO) az általános adatvédelmi rendeletnek (GDPR) történő megfelelés, illetve az elszámoltathatóság érvényesülésének egyik sarokköve. Véleményével, szakmai állásfoglalásaival, illetve a GDPR-ban meghatározott egyéb feladatainak ellátása révén hatékonyan támogatja az említett személyeket az adatkezelések törvényes feltételeinek megteremtése és a jogszerű adatkezelés folytatása érdekében. A megfelelő szakmai és egyéb kvalitásokkal rendelkező tisztviselő kiválasztása és kijelölése ezért kiemelten fontos feladat, amelyhez segítséget nyújthat az ír Adatvédelmi Bizottság (DPC) 2020 júliusában közzétett iránymutatása.

A korábban hatályos magyar jogszabályokkal ellentétben a GDPR már nem végzettségre, hanem a megfelelő képességek és kompetenciák meglétére helyezi a hangsúlyt az ideális DPO vonatkozásában. Tisztviselő ezért csak a kellő szakmai ismeretek, szakértelem és feladatai ellátására való képesség birtokában lehet valaki. A rendelet ugyanakkor nem határozza meg azt, hogy az említett feltételek pontosan mit takartnak. Az adatkezelők és adatfeldolgozók így a saját szervezetük és tevékenységeik, valamint az általuk folytatott adatkezelések alapján tudják meghatározni, hogy az általuk a jövőben foglalkoztatandó DPO-tól milyen követelményeket várnak el.

A megfelelő tudást, tapasztalatot és képességeket alapvetően az adatkezelési műveletek, az adatkezelés komplexitása és nagysága, a személyes adatok kategóriái, illetve a kezelt személyes adatok védelmének és biztonságának megfelelően kell meghatározni. Példaként említhető, hogy a különleges adatokat nagy számban történő kezelése esetén a DPO-nak magasan kvalifikáltnak kell lennie, míg a kevés személyes adatot felhasználó adatkezelőnek nem kell feltétlenül olyan szigorú feltételeket támasztania a tisztviselővel szemben. A DPC ebben a vonatkozásban a következő általános szempontokat határozta meg:

• az európai és a nemzeti adatvédelmi jog és gyakorlat ismerete, ideértve a GDPR megfelelő szintű ismeretét is;
• a végzett adatkezelések átfogó ismerete;
• az alkalmazott információs technológiák és adatbiztonsági intézkedések ismerete;
• az adott ágazat és az adatkezelő / adatfeldolgozó szervezetének ismerete;
• az adatvédelmi kultúra adott szervezetben történő előmozdításának képessége.

A szakértelemnek, a szakmai rátermettségnek és a feladatok ellátására való alkalmasságnak egyszerre kell teljesülnie az ideális DPO esetében. Az adatkezelőnek / adatfeldolgozónak ezért célszerű a követelményeket, szempontokat, a kiválasztási folyamat menetét, valamint az adott tisztviselő esetében vizsgált szempontokat megfelelő módon dokumentálni. Ezt – az elszámoltathatóság elvére tekintettel – az adatvédelmi hatóság vagy a bíróság is vizsgálhatja.

További érdekessége a DPC iránymutatásainak, hogy abban részletesen foglalkozik a bizottság a megfelelő szakmai előképzettséget / továbbképzést biztosító oktatás kérdéskörével. Az adatkezelők / adatfeldolgozók több képzési lehetőséget is számba vehetnek, legyenek azok néhány napos vagy hosszabb ideig tartó, online vagy személyes jelenlétet igénylő, tanúsítványt, diplomát adó vagy azt nélkülöző, nemzetközileg vagy nemzeti szinten elismert tréningek. A DPC ebből a szempontból az alábbi követelmények megfontolását ajánlja:

• a képzés tartalma, kivitelezése és a számonkérés;
• a tanúsítást adó képzés igénybevétele kötelező-e;
• a tanúsítást adó szervezet;
• a képzés és tanúsítás nemzetközileg elismert-e.

A megfelelő képzés is nagyban hozzájárul ahhoz, hogy a DPO el tudja látni a GDPR-ban foglalt feladatait. Az ideális tisztviselő ugyanis végső soron versenyelőnyt jelent az adatkezelők és az adatfeldolgozók számára.

Forrás: https://dataprotection.ie, https://edpb.europa.eu, https://naih.hu www.dpoportal.hu

3.

Az Európai Parlament 2020 májusában közzétette jelentését az elektronikus kereskedelem belső piaci szabályozásáról. A dokumentum célja, hogy átfogó képet adjon az ún. Elektronikus kereskedelmi irányelv rendelkezéseinek jelenlegi környezetéről, bemutassa az említett irányelvet kiegészítő jogszabályokat, valamint ismertesse azokat a technológia-alapú változásokat, amelyek az elektronikus kereskedelmi szektorban az elmúlt 20 év során végbementek. Mindezek alapján igyekszik a jelentés feltárni azokat a területeket, amelyeket megfelelő jogalkotási megoldások bevezetésével hatékonnyá lehet tenni a jövőben.

A 2000 folyamán elfogadott Elektronikus kereskedelmi irányelv kétség kívül az EU által megalkotott egyik leghatékonyabb és legsikeresebb jogszabály. Megfelelő, ugyanakkor rugalmas kereteket biztosított a digitális piac szereplői számára, akik így kellőképpen igazodni tudtak az előírásokhoz. Az elmúlt 20 év során végbement technológiai fejlődés eredményei azonban újra szabták e terület gazdasági és társadalmikörnyezetét. Az új piaci körülmények új jogi szabályozást igényelnek, amelyre az Európai Bizottság (Bizottság) is javaslatot tett a Digitális Szolgáltatásokra vonatkozó csomagjában.

Az Elektronikus kereskedelmi irányelv rendelkezéseit kiegészítő instrumentumok mind olyan területeket szabályoznak, amelyek az elektronikus kereskedelmi szolgáltatások szempontjából lényegesek. Az Európai digitális egységes piacon ezek a jogszabályok a következők:

• az általános adatvédelmi rendelet (GDPR), amely a személyes adatok kezelésének és szabad mozgásának szabályait határozza meg;
• a geo-blocking rendelet, amely az információk áramlását korlátozó földrajzi blokkolók használatának szabályait állapítja meg;
• az audiovizuális médiaszolgáltatásokról szóló irányelv, amely a fogyasztók védelmét szolgálja a káros tartalmakkal szemben;
• a szerzői jogi irányelv, amely a szellemi alkotásokkal kapcsolatos jogok érvényesítését teszi lehetővé a digitális és határokon átnyúló környezetben;
• a digitális tartalom szolgáltatásról szóló irányelv, amely a digitális tartalmakhoz és szolgáltatásokhoz történő hozzáférést biztosítja;
• a tisztességes és átlátható online platformokról szóló rendelet, amely az online közvetítő szolgáltatások üzemeltetői tevékenységét szabályozza.

Az Elektronikus kereskedelmi irányelv megszületése óta eltelt két évtizedben jelentős változások következtek be a szektorban alkalmazott technológiák terén. A fejlődés soha nem látott módon alakította át nemcsak a piac szervezetét, szerkezetét és működését, hanem a társadalom szükségleteit és elvárásait is. A piac szerveződése szempontából az egyik legjelentősebb újítás a technológia-alapú „platform gazdaság” (platform economy). E jelenség alapjaiban változtatta meg digitális piacon korábban egyeduralkodó kétoldalú megállapodásokat, behozva egy harmadik felet, a platform szolgáltatóját. Ennek köszönhető, hogy utóbbiak képessé váltak ellenőrizni a piacra lépést, illetve meghatározni az egyes piaci trendeket. Egy másik jelenség, a mesterséges intelligencia térhódítása is jelentős hatást gyakorol a piaci szereplőkre, mivel alapjaiban befolyásolja a szerződéses kapcsolatok létesítését és végrehajtását.

A gyors technológiai fejlődés hasonlóan jelentős társadalmi következményekkel is járt. Egyrészt az információs társadalommal összefüggő szolgáltatások száma szignifikánsan megnőtt, másrészt e szolgáltatások tartalma is hatalmas változáson ment keresztül. A modern társadalomban érvényesülni kívánó személy számára a világhálóhoz és az információs társadalommal összefüggő szolgáltatásokhoz való hozzáférés alapszükségletté vált. A szociális kapcsolatok dehumanizálása bizonyos helyzetekben előnyös lehet, ahogy azt a COVID-19 járvány kapcsán megtapasztalhattuk, ugyanakkor negatív következményekkel is járhat: az emberi tényező teljes kizárása a kapcsolattartásból az egyén érdekeinek teljes figyelmen kívül hagyásával, így adott esetben érdek- és / vagy jogsérelemmel is járhat.

Végezetül kiemelendő, hogy mind ez uniós polgárok, mind maga az EU elismerte a fenntartható piac fontosságát. Mint minden jövőbeli intézkedésnek, az elektronikus kereskedelmi szolgáltatások szabályozásának is fenntarthatósági kritériumokat kell beépítenie, különös tekintettel az Európai digitális egységes piacra.

Annak ellenére, hogy az Elektronikus kereskedelmi irányelv alkalmazása sikereket könyvelhet el, a jogszabályban meghatározott célok nem teljesültek maradéktalanul, vagy pedig azokat újra kell definiálni. Támogatandó ezért a Bizottság azon törekvése, hogy egy új és egységes Digitális Szolgáltatásokra vonatkozó csomag kerüljön kialakításra. Ennek fényében vizsgálandó, hogy az Elektronikus kereskedelmi irányelv mely rendelkezései képezhetik egy jövőbeli szabályozás alapját, és melyek azok, amelyeket át kell alakítani ahhoz, hogy megfeleljenek az új kihívásoknak.

A Jelentés a fentiekkel kapcsolatban az alábbiakat emelte ki:

• minden jövőbeli szabályozásnak a lehető legnagyobb mértékben rugalmasnak kell lennie ahhoz, hogy megfelelő módon le tudja követni a technológiai újításokat, a fejlődés sebességét és irányait egyaránt;
• figyelembe kell venni az egyének érdekeit, jogait és szabadságait is, a Digitális Szolgáltatásokra vonatkozó csomag nem támaszkodhat kizárólagosan a kereskedelmi érdekek kiszolgálására, üzleti megfontolásokra, mivel az információs társadalommal összefüggő szolgáltatások már ma is alapvetően befolyásolják az mindennapi életünket;
• érdemben kell foglalkoznia a jogalkotónak a globális szereplők szabályalkotási képességeik révén az adott piacra a gyakorolt hatására is, az EU-nak ugyanis továbbra is képesnek kell lennie a piaci sztenderdek megalkotására, különös tekintettel a minőségi és biztonsági előírásokra;
• a platformok moderálási elveinek uniós szabályozását oly módon kell megalkotni, hogy az a későbbiekben útmutatóként szolgáljon a globális digitális térben is, az emberi jogok és szabadságok, valamint a politikai, gazdasági és társadalmi érdekek közötti egyensúly megtalálása kiemelt fontosságú feladat;
• hatékony és gyors végrehajtási mechanizmusokat kell kialakítani, amelyeket uniós szinten, egységesen koordinálnak, valamint automatikus védelmi eljárásokat kell kidolgozni az egyének biztonsága érdekében;
• meg kell győzni a szereplőket arról, hogy üzleti stratégiáik kialakítása során figyelembe vegyék és érvényesítsék a fenntarthatósági követelményeket.

Forrás: https://www.europarl.europa.eu  www.dpoportal.hu

4.

Az ír Data Protection Commission (DPC) 2020. szeptember 5-én közzétette iránymutatásait arra vonatkozóan, hogy mi a teendő abban az esetben, ha egy személy vagy szervezet véletlenszerűen jut személyes adatok birtokába. Az iránymutatás csomag részletesen foglalkozik a természetes személyek, a szervezetek, illetve az érintett adatkezelők teendővel is. E dokumentumok így rendkívül hasznos információkat tartalmaznak az említett incidensek előfordulása esetén folytatandó eljárásokról és intézkedésekről.

Kiindulási alap

A DPC hangsúlyozza, hogy a modern infokommunikációs technológiák elterjedése számos veszélyt jelenthet a magánéletünkre. A személyes adatok kezelése, különösen továbbítása rengeteg kockázatot rejt magában, amelyek közül egy nagyon gyakori az, amikor az adatkezelő véletlenül egy harmadik fél számára továbbítja, teszi hozzáférhetővé a személyes adatokat. Az ilyen adatvédelmi incidensek teszik ki a gyakorlatban előforduló nemvárt események nagy részét.

Az említett incidensek során a személyes adatok egy olyan személy számára válnak megismerhetővé, aki vagy amely azokat nem kívánta kezelni, illetve nem is fűződik jogi érdeke az említett információk felhasználásához. Az adatalany oldalán egyértelműen beáll az érdeksérelem, ennek megfelelően a személyes adatokhoz hozzáférő személy köteles tiszteletben tartani az érintett jogait és szabadságait, illetve mindent megtenni annak érdekében, hogy az említett sérelem következményei minimálisak legyenek.

A magánszemélyek által követendő eljárás

A fentiek alapján a DPC számos ajánlást megfogalmazott az olyan természetes személyek részére, akik véletlenül kerülnek személyes adatok birtokába. Ezek közül a legfontosabbak:

• az adatkezelő azonosítsa és tájékoztatása az incidensről (nem érdemes várni arra, hogy az adatkezelő vegye fel a kapcsolatot a címzettel);
• az e-mail mellékletek megnyitása kerülendő;
• együttműködés az adatkezelővel a kockázatok és következmények enyhítése, csökkentése érdekében;
• kapcsolatfelvétel az adatvédelmi hatósággal, amennyiben nem lehetséges az adatkezelő azonosítása;
• tilos az érintettel történő kapcsolatfelvétel;
• tilos megosztani a személyes adatok harmadik felekkel vagy közzétenni azokat.

Fontos kiemelni, hogy a DPC álláspontja szerint az a személy, aki véletlenül kerül személyes adatok birtokába, nem minősül adatkezelőnek, mivel esetében nem teljesülnek az általános adatvédelmi rendelet (GDPR) 4. cikk 7. pontja szerinti követelmények. Amennyiben azonban az adott személy maga hoz döntéseket a személyes adatok vonatkozásában (pl. azokat tovább kezeli az érintettel történő kapcsolatfelvétel céljából, jogellenesen megőrzi az adatokat vagy nyilvánosságra hozza őket), akkor már adatkezelőnek fog minősülni, ennek megfelelően pedig számolnia kell az esetleges hátrányos jogkövetkezményekkel is az adatalanyok és az adatkezelő részéről is. Vagyis, a DPC megfogalmazásában, nem célszerű az amúgy is rossz helyzetet még rosszabbá tenni.

A szervezetek által követendő eljárás

Szemben a magánszemélyekkel, a DPC a szervezetek – legyenek azok a köz-, a magán- vagy a civilszektor szereplői – esetében már azt az elvárást fogalmazta meg, hogy azoknak számítania kell és megfelelő módon fel kell készülnie a személyes adatokhoz történő véletlen hozzáférésre. Az ilyen szervezetek ugyanis a GDPR 4. cikk 7 pontja szerinti adatkezelőnek minősülnek attól függetlenül, hogy szándékosan vagy véletlenül jutottak a személyes adatok birtokába. A személyes adatoka ezért csak a rendeletben foglaltaknak megfelelően kezelhetik, különös tekintettel az adatkezelés jogalapjaira.

A szervezetek vonatkozásában a DPC a következő eljárásrendet ajánlotta:

• a levél küldőjének megfelelő tájékoztatása a téves címzésről;
• a levél és mellékleteinek végleges törlése (anélkül, hogy azokat a szervezet megnyitná);
• postai küldemény esetén a feladó azonosításának megkísérlése a postai azonosítók segítségével (tilos a küldemény elolvasása);
• szükség esetén a küldemény biztonságos megőrzésének biztosítása.
• kapcsolatfelvétel az adatvédelmi hatósággal, amennyiben nem lehetséges az adatkezelő azonosítása.

Az adatkezelők által követendő eljárás

A legtöbb esetben az adatkezelő és a téves címzett között megfelelő együttműködés alakul ki az incidens következményeinek kezelése érdekében, a címzett ilyenkor jellemzően – az adatkezelő kérésének megfelelően – törli a személyes adatokat vagy visszajuttatja azokat a küldő félnek. A jogszerű adatkezelés feltételeinek helyreállítása elsődlegesen az adatkezelő felelőssége. Előfordulnak azonban olyan esetek is, amikor a címzett szándékosan nem kíván együttműködni az adatkezelővel, a személyes adatokkal vissza kíván élni, vagy azokat oly módon kívánja felhasználni. Az incidens bejelentése mellet ilyenkor mindent meg kell tenni a további jogsértések elkerülése érdekében.

A DPC az alábbiakat javasolja az személyes adatokat küldő adatkezelők részére:

• a címzettek tájékoztatása arról, hogy a személyes adatok megőrzése általuk jogellenes adatkezelést és az érintettek jogainak sérelmét eredményezi;
• jogi képviselő tanácsának kikérése, különös tekintettel a rendelkezésre álló ideiglenes intézkedésekről és más, hasonló eszközökről;
• szükség esetén a nyomozóhatóságok tájékoztatása.

Forrás: https://www.dataprotection.ie, https://www.dataguidance.com  www.dpoportal.hu

2020. május 5-én hatályba lépett a veszélyhelyzet idején az egyes adatvédelmi és adatigénylési rendelkezésektől való eltérésről szóló 179/2020. (V. 4.) Korm. rendelet(Rendelet), amely jelentősen módosítja az érintetteket az adatkezelés vonatkozásában megillető jogok gyakorlásának, a jogorvoslati lehetőségek igénybevételének, valamint a közérdekű és közérdekből nyilvános adatok megismerésének szabályait. A most következő két blogposztban az egyes információs jogok vonatkozásában bemutatjuk a Rendelet előírásait, valamint azok lehetséges hatásait az érintettekre és a gyakorlatra nézve. Elsőként következzenek az adatvédelmi vonatkozású rendelkezések értelmezésének és alkalmazásának kérdései.

A Rendelet hatálya

Általánosságban elmondható, hogy a Rendelet rendkívül széles körben teszi kötelezővé a benne foglalt rendelkezések alkalmazását. Egyrészt a jogszabály felölel minden „a koronavírusos megbetegedések megelőzése, megismerése, felderítése, valamint továbbterjedésének megakadályozása érdekében” végzett adatkezelést, ideértve az állami szervek összehangolt feladatellátásának megszervezését is [Rendelet 1. § (1) bekezdés]. A Rendelet tárgyi hatálya alá tartozik tehát minden olyan, a személyes adatokon végzett művelet, amelynek célja a jelenlegi járvány terjedésének korlátozása, következményeinek kezelése, hatásainak enyhítése.

Az említett adatkezelések elsődlegesen az állami szervek és hatóságok feladatköréhez kapcsolódnak, erre utal az „állami szervek feladatellátásának összehangolása” kitétel is. Ugyanakkor a vészhelyzetben kiemelt szerepet kapnak az önkormányzatok, illetve – korlátozottabb körben – a vállalkozások és a munkáltatók is. Utóbbi személyek is aktívan közreműködnek a járvány megelőzésében, kezelésében, például a megfelelő szűrővizsgálatok és más hasonló intézkedések meghozatalával. Vagyis, erre vonatkozó szűkítő rendelkezés hiányában úgy is értelmezhető, illetve alkalmazható, hogy az kiterjed minden – köz- és magánszektorbeli – adatkezelő minden olyan tevékenységére, amelynek célja a járvánnyal kapcsolatos teendők ellátása.

A Rendeletben foglaltakat a folyamatban lévő, illetve a hatályba lépést követően benyújtott érintetti jogok gyakorlása iránti, illetve jogorvoslati kérelmek esetében kell alkalmazni a veszélyhelyzet kihirdetéséről szóló 40/2020. (III. 11.) Korm. rendelettel kihirdetett veszélyhelyzet megszűnéséig. E jövőbeli időpont az Országgyűlés döntésétől függ, azaz az előírások előre meg nem határozott ideig hatályban maradnak.

Az érintetti jogok gyakorlásának és a jogorvoslati lehetőségek igénybevételének korlátozása

A Rendelet előírásai mindenekelőtt az általános adatvédelmi rendelet (GDPR) 15-22. cikkeiben, illetve az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) – az ún. bűnügyi irányelv átültetését megvalósító – 14. §-ában foglalt érintetti jogok gyakorlását érintik.

A jogszabály hatálya alá tartozó adatkezelések vonatkozásában ugyanis az említett jogosultságok – hozzáférés, helyesbítés, törlés (elfeledtetés), adathordozhatóság, tiltakozás, automatizált egyedi döntések tilalma – gyakorlása iránt kérelmekkel kapcsolatos intézkedéseket az adatkezelők kötelesek a veszélyhelyzet megszűnéséig felfüggeszteni. Az említett intézkedések megtételére – a kérelmek teljesítésére vagy a teljesítés megtagadására – vonatkozó határidők tehát megszakadnak és veszélyhelyzet megszűnésének napját követő napon újrakezdődnek. „Az adatalanyokat „erről a veszélyhelyzet megszűnését követően haladéktalanul, de legkésőbb a kérelem beérkezésétől számított kilencven napon belül tájékoztatni kell” [Rendelet 1. § (2) bekezdés].

A fentieken túl a Rendelet a GDPR 13-14. cikkei tekintetében is tartalmaz rendelkezést. A jogszabály ugyanis kimondja, hogy megfelelő tájékoztatásnak minősül a járvány megelőzésével, kezelésével kapcsolatos adatkezelések vonatkozásában az, ha az érintettek rendelkezésére áll egy elektronikus formában közzétett „az adatkezelés céljait, jogalapját és terjedelmét közérthető formában rögzítő általános tájékoztató” [Rendelet 1. § (3) bekezdés].

A Rendelet nemcsak az érintetti jogok, hanem a GDPR 77-79. cikkeiben, valamint az Infotv. 22-23. és 52. §-aiban foglalt – hatósági és bírósági – jogorvoslati lehetőségek vonatkozásában is jelentős rendelkezést tartalmaz. Eszerint az adatvédelmi hatósághoz benyújtott panasz, illetve a hatóság, az adatkezelő vagy adatfeldolgozó elleni kereset alapján induló eljárás „határidejének kezdő napja a veszélyhelyzet megszűnésének napját követő nap” lesz, amennyiben az adott jogorvoslati lehetőséget a járvány megelőzésével, kezelésével kapcsolatos adatkezelések vonatkozásában vették igénybe [Rendelet 1. § (4) bekezdés]. Lényegében ez azt jelenti, hogy az érintettek ugyan panaszt és bejelentést tehetnek a felügyeleti hatóságnál, illetve keresetet nyújthatnak be a személyes adatok védelméhez való joguk sérelme miatt, a kezdeményezett – vizsgálati vagy adatvédelmi hatósági – eljárás, valamint a bírósági per nem kezdődik meg mindaddig, amíg a veszélyhelyzet el nem múlt.

A Rendelet előírásainak hatásai

A koronavírus járvány miatti veszélyhelyzet mindenkitől komoly erőfeszítéseket igényel. A járvány megfékezése, szociális és gazdasági hatásainak mérséklése, valamint az egészségügyi ellátórendszerre nehezedő nyomás speciális, a „normális” hétköznapoktól eltérő intézkedések meghozatalát, illetve szabályok alkalmazását teszik szükségessé. Ez vonatkozik – adott esetben – a személyes adatok védelmére is. Ahogy azt az Európai Adatvédelmi Testület megfogalmazta: „Az adatvédelmi szabályok (például a GDPR) nem akadályozhatják a koronavírus világjárvány elleni küzdelemben hozott intézkedéseket. […] még ezekben az extrém időkben is az adatkezelőnek és az adatfeldolgozónak biztosítania kell az érintettek személyes adatainak védelmét. Ezért számos szempontot figyelembe kell venni a személyes adatok jogszerű kezelésének garantálása érdekében, és minden esetben emlékeztetni kell arra, hogy az ebben az összefüggésben hozott intézkedéseknek tiszteletben kell tartaniuk az általános elveket, azokkal nem lehetnek ellentétesek”.

A Rendelet beleértett, de nem kimondott célja a jelenlegi helyzetben közreműködő szervezetek és személyek GDPR-ból vagy az Infotv.-ből eredő adminisztratív és jogi kötelezettségeinek csökkentése, ezért az új előírások mögött alapvetően érthető és méltányolható jogalkotói szándék sejlik fel. Ugyanakkor a fent ismertetett előírások összhangja – az uniós és alkotmányos követelményekkel – több ponton is kétséges lehet. A megfelelő jogértelmezés és a joggyakorlás kereteinek kialakítása így a jogalkalmazókra, elsősorban a Nemzeti Adatvédelmi és Információszabadság Hatóságra (NAIH) hárul majd.

Az első nagyobb kérdéskör a Rendelet személyi hatályát érinti. Ahogy arra korábban utaltunk, az előírások címzettjei / kötelezettjei állami, önkormányzati és egyéb, személyek és szervezetek, ha tevékenységük olyan adatkezelést is felölel, amelynek célja a „a koronavírusos megbetegedések megelőzése, megismerése, felderítése, valamint továbbterjedésének megakadályozása”. Azonban semmi nem utal arra, hogy az adatalanyok a járványhelyzetben eljáró adatkezelők vonatkozásában olyan nagy számban éltek volna a GDPR vagy az Infotv. szerinti jogaikkal, amelynek teljesítése már a járványhelyzet kezelésének sikerességét veszélyeztetné. E közérdek az állami vagy önkormányzati hatóságok esetén még talán meg is állná helyét. A munkáltatók és más vállalkozások esetében ugyanakkor még ilyen érdekek sem azonosíthatók. Nem egyértelmű például, hogy ha egy munkáltató az Európai Adatvédelmi Testület és a NAIH iránymutatásai alapján végez a járvánnyal kapcsolatban adatkezelést, az érintettek tájékoztatáshoz vagy hozzáféréshez való jogának gyakorlása milyen módon veszélyezteti a megfelelő és biztonságos munkakörnyezet biztosítása érdekében tett intézkedések hatékonyságát. Mi a helyzet egy bolt tulajdonosával vagy egy étterem üzemeltetőjével? A Rendelet hatálya alá tartozó adatkezelők köre így adott esetben túl széles, amely nem feltétlenül biztosítja megfelelő módon az érintettek személyes adatok védelméhez fűződő jogának érvényesülését.

A második kérdéskör a Rendelettel érintett jogokat és azok gyakorlását érinti. Elöljáróban kiemelendő, hogy az említett jogok érvényesülését a jogalkotók már a vészhelyzetet megelőzően is korlátozhatták, amennyiben az (1) törvényes (jogszabályban meghatározott) és (2) egy demokratikus társadalomban szükséges és arányos intézkedés volt (3) bizonyos jogszerű érdekek védelme céljából, illetve ha (4) a jogalkotói intézkedés „tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát” [GDPR 23. cikk (1) bekezdés]. A Rendeletben foglaltak az (1) és a (3) feltételnek mindenképpen megfelelnek, hiszen a kormányrendelet jogszabálynak minősül, a vizsgált előírások célja pedig lehet – többek között – a közbiztonság fenntartása, az Unió és a tagállamok fontos, általános közérdekű célkitűzéseinek érvényesítése, illetve érintettek vagy mások jogainak és szabadságainak védelme is.

Ugyanakkor a szükségesség és arányosság kérdésessé válik, amennyiben figyelembe vesszük, hogy az előírások minden, a GDPR-ban és az Infotv.-ben foglalt jogot érintenek. A jogszabály értelmében, ha az adatkezelés célja a járvány kezelése, az érintett a GDPR-ban és az Infotv.-ben foglalt jogainak gyakorlása iránt ugyan benyújthat kérelmet az adatkezelőhöz, utóbbi azonban a kérelmet csak a „vészhelyzet megszűnését követően köteles megvizsgálni és – annak megfelelően – teljesíteni vagy a teljesítést megtagadni. Az adatalanyok részére szóló tájékoztatást pedig csak minimális tartalmi követelményekkel kell megtölteni. Ezzel tehát az érintetti jogok érvényesülése, ha ideiglenesen is, de előre meg nem határozott ideig teljes mértékben korlátozódik.

Egyrészt az érintetti jogok szerepe nem más, mint az adatkezelő tevékenysége, az adatkezelés kontrolljának, illetve – bizonyos esetekben – korrekciójának lehetővé tétele. Az ellenőrzést teszi lehetővé például az előzetes tájékoztatás és a hozzáféréshez való jog gyakorlása, míg a helyesbítés és a törlés pedig egyfajta jogorvoslatként is funkcionál. A személyes adatok megismeréséhez (hozzáférés) és kijavításához (helyesbítés) fűződő jog jelentőségét mi sem bizonyítja jobban annál, hogy azokat az EU Alapjogi Chartájának 6. cikk (2) bekezdése expressis verbis ki is emeli. A jogalkotó a Rendeletben foglalt előírást az intézkedések felfüggesztéséről ugyanakkor korlátozás nélkül minden érintetti jogra kiterjeszti, azaz az adatalanyok az ellenőrzés és korrekció minimális lehetőségével sem rendelkeznek.

Másrészt maga az érintetti joggyakorlással kapcsolatos intézkedések felfüggesztése is kérdéseket vet fel. A Rendelet szerint a benne foglaltakat a már folyamatban lévő kérelmek teljesítésére is alkalmazni kell addig az időpontig, amikor az Országgyűlés megszünteti a vészhelyzetet. A vészhelyzet hatálya a jelenlegi helyzeteink szerint egyelőre nem előrelátható konkrét időpont. A Rendelet tehát az információs önrendelkezési jog alapvető elemeit alkotó jogosultságok érvényesülését egyelőre időbeli korlát nélkül függeszti fel, így fennállhat a veszélye az érintetti joggyakorlás kiüresedésének, ami már önmagában is sértheti a személyes adatok védelméhez fűződő jog lényeges tartalmát.

A fentiekre tekintettel mindenképpen szükséges lenne, hogy a jogalkotó pontosítsa, egészítse ki, bizonyos esetekben pedig szűkítse a Rendelet előírásainak hatályát. A hozzáféréshez és a helyesbítéshez való jog érvényesülését nem feltétlenül szükséges teljes mértékben kizárni, e két jog lényegének érintetlenül hagyása mellett a jogalkotó minden további nélkül előírhatna például hosszabb válaszadási határidőt (pl. 45 nap, amit meghosszabbítható további 45 nappal, ahogy az a közérdekű és közérdekből nyilvános adatok megismerése esetén meghatározásra került). E megoldás alkalmazható lehetne a többi jogosultság vonatkozásában is. Ezáltal garantálható lehetne az, hogy a jogszabály megfeleljen a (2) és (4) követelménynek is.

Kiemelnénk továbbá a tájékoztatáshoz való jogra vonatkozó rendelkezést is. Az előzetes tájékoztatás mint adatkezelőkre vonatkozó proaktív kötelezettség teljesítése adminisztratív szempontból valóban megterhelő lehet a járvánnyal szembeni védekezés idején. Azonban a Rendelet 1. § (3) bekezdésében használt „elektronikus úton közzétett módon az érintett rendelkezésére áll” kifejezés alkalmazása a gyakorlatban okozhat némi bizonytalanságot. A NAIH iránymutatása szerint a tájékoztatás elérhetősége azt jelenti, hogy „a személyes adatok felvételekor az érintettek számára rendelkezésre kell állnia, lehetőséget kell biztosítani annak megismerésére”. Az ún. 29. cikk szerinti Adatvédelmi Munkacsoport ezt pontosította azzal, hogy „az érintettnek nem kell keresnie a tájékoztatást; azonnal láthatónak kell lennie számára, hogy a tájékoztatást hol és miként érheti el”. Erre sor kerülhet például a tájékoztatás közvetlen biztosításával, az érintettek tájékoztatáshoz irányításával, a tájékoztatáshoz vezető út egyértelmű jelölésével vagy egy természetes nyelvű kérdésre adott válaszként is. Ennek megfelelően javasolnánk az Infotv. 30. § (2) bekezdésében foglalt rendelkezés alkalmazását a Rendelet 1. § (3) bekezdésével összefüggésben. Vagyis az említett előírást úgy kell értelmezni, hogy akkor áll az elektronikus formában közzétett tájékoztató az érintett rendelkezésére, amennyiben az adatkezelő legalább a vonatkozó információkat tartalmazó nyilvános forrást, vagyis a pontos URL-t megjelöli.

Végezetül több aggályt is felvet az érintettek számára biztosított jogorvoslati lehetőségek korlátozása. Azáltal ugyanis, hogy a panasz vagy kereset nyomán induló eljárás – a hozzáréshez és a helyesbítéshez való jog gyakorlásával egyetemben – szünetel a Rendeletben meghatározott ideig, az adatalanyok elveszítik az adatkezelés kontrollja feletti és korrekciójával kapcsolatos utolsó lehetőségüket is. A Rendelet hatálya alatt így kizárólag a NAIH – Infotv. 51/A. § (1) bekezdése és 60. § (1) bekezdése szerinti – ex officio eljárásai maradnak jogorvoslati lehetőségként. Az érintett által kezdeményezhető jogorvoslatok kiesésével ugyanakkor egy, az adatvédelem szempontjából is alapvető jogállami követelmény „szűnik meg” ideiglenesen. A vizsgálati és az adatvédelmi hatósági eljárás felfüggesztése ráadásul a NAIH Alaptörvényben, illetve más nemzetközi és szupranacionális instrumentumokban meghatározott feladatellátását érinti. Még ha ideiglenes is, de a személyes adatok védelméhez fűződő jog tiszteletben tartását, érvényesülését nem úgy ellenőrzi független hatóság, mint korábban. A jogorvoslati lehetőségek ilyetén befagyasztása ugyanakkor szintén sértheti a személyes adatok védelméhez fűződő jog lényeges tartalmát.

A fentiekre tekintettel a jogalkotónak érdemes lenne átgondolnia, hogy míg a személyes megjelenést is szükségessé tevő, kontradiktórius bírósági eljárásokat ténylegesen felfüggeszti a veszélyhelyzet megszűnéséig, addig legalább az érintett által kezdeményezett vizsgálati eljárások folytatását lehetővé teszi a NAIH számára. Utóbbiak ugyanis rendszerint dokumentumokon és az adatkezelőkkel, adatfeldolgozókkal, illetve az érintettekkel folytatott írásbeli kommunikáción alapulnak. Személyes közreműködésre vagy helyszíni ellenőrzésre csak a legritkább esetben kerül sor ilyenkor. Ezáltal viszont legalább egy minimális szintű külső ellenőrzés biztosított lenne az adatkezelések vonatkozásában.

A fenti javaslatok megfontolása, az esetleges módosítások átvezetése nagyban segítené az állam és az állampolgárok közötti információs egyensúly kialakítását. Ez különösen akkor fontos, amikor a hatóságok elektronikus eszközökkel is lehetővé kívánják tenni a járvánnyal kapcsolatos intézkedések betartását. Vajon mennyiben venné igénybe egy hatósági karantén alá vont személy az élet- és vagyonbiztonságot veszélyeztető tömeges megbetegedést okozó humánjárvány vonatkozásában elrendelt hatósági házi karantén elektronikus ellenőrzéséről szóló 181/2020. (V. 4.) Korm. rendelet szerinti elektronikus szoftvert akkor, ha az előírások megszegése súlyos következményekkel (pénzbírság vagy kiutasítás) járhatnak, de a szoftver esetleges hibái és pontatlanságai miatt nem élhet az érintetti jogaival vagy nem vehet igénybe jogorvoslati lehetőséget? A megfelelő garanciák nagyban hozzájárulnak az állam és a hatóságok járvány kezelésével kapcsolatos intézkedéseibe vetett bizalom fenntartásához. Az adatvédelmi követelmények megfelelő, mégis korlátozott érvényesülése és a járvány megelőzése, kezelése érdekében végzett adatkezelésekkel kapcsolatos adminisztrációs és egyéb követelmények közötti egyensúly így közvetve az említett intézkedések sikerét is biztosítja.

Forrás: www.magyarkozlony.hu

„A munkaerő-kölcsönzés a legelterjedtebb atipikus foglalkoztatási forma, számosságában a legnagyobb volumenű” állapítja meg a Munkaerő-kölcsönzők Országos Szövetsége.[1] A munkaerő-kölcsönzés a munka törvénykönyvéről szóló 2012. évi I. törvény (a továbbiakban: Mt.) 214. § (1) bekezdés a) pontjában meghatározott tevékenység, amelynek keretében a kölcsönbeadó a vele kölcsönzés céljából munkaviszonyban álló munkavállalót ellenérték fejében munkavégzésre a kölcsönvevőnek ideiglenesen átengedi (kölcsönzés). A munkaerő kölcsönzése Magyarországon a Munka Törvénykönyve 2001. július 1-jei módosításával vált lehetővé. A munkaerő-kölcsönzők működését az Mt.-n kívül többek között a munkaerő-kölcsönzési és a magán-munkaközvetítői tevékenység nyilvántartásba vételéről és folytatásának feltételeiről szóló 118/2001. (VI. 30.) Korm.rendelet szabályozza, valamint az ezt módosító Korm. rendeletek. A vonatkozó jogi szabályozás szigorú feltételekhez köti a tevékenység gyakorlását. A munkaerő-kölcsönzés egy speciális atipikus foglalkoztatási forma, a foglalkoztatás három fél megállapodásával valósul meg: a munkavállaló, a kölcsönvevő, valamint a kölcsönző szervezet által. 2018 májusában egy átfogó tanulmány született a haza munkaerő-kölcsönzésről, mint munkaviszonyról.

A Nemzeti Foglalkoztatási Szolgálat 2018-as évre vonatkozóan közzétett adatai szerint a működő kölcsönző cégből telephely és székhely szerint összesen 913 volt Magyarországon, a munkaerő-kölcsönző cégektől kölcsönvett munkavállalók száma pedig 150 746 fő volt. 2018-ban összesen 6,5 ezer db belföldi foglalkoztatóval szerződtek a munkaerőkölcsönzők, közülük a legtöbben a feldolgozóipari cégek köréből kerültek ki, arányuk 55,7%-át jelentette az összes szerződöttnek (3,6 ezer db cég). Egy munkaerő-kölcsönzőre országosan 7,1 db kölcsönzött munkaerőt foglalkoztató cég jutott.

„A munkaerő-kölcsönzésnek a rugalmassága lehetővé teszi, hogy a legjobb munkatársakat rövid vagy középtávon a kölcsönvevő átvegye saját állományba. A munkaerő-kölcsönzést korábban elsődlegesen a multinacionális cégek vették igénybe, de mára már a KKV szektorban is egyre népszerűbb, egyre gyakrabban megjelenik ez a foglalkoztatási forma.”[2]

A munkaerő kölcsönzők adatvédelmi megítélése (önálló vagy közös adatkezelői státusz) szempontjából az általános adatvédelmi rendelet (GDPR) mellett az Mt. rendelkezéseit is figyelembe kell venni. Az Mt. XVI. fejezete tárgyalja a munkaerő-kölcsönzés különös szabályait, amely rendelkezések közül adatvédelmi szemszögből azon előírások relevánsak, amelyek meghatározzák az egyes felek közötti jogviszonyt, különös tekintettel a munkáltatói joggyakorlás kereteire.

Elmondható, hogy egyre több olyan esettel találkozni, amelyben egyazon adatkezelés szempontjából különböző szereplők töltenek be adatkezelői szerepet. Egyetlen adatkezelés művelet vagy a műveletek csoportja vonatkozásában több, akár számos fél is együttműködhet, közösen határozhatja meg az adatkezelés céljait és eszközeit. Amennyiben ez az eset áll fenn, úgy a GDPR alapján közös adatkezelőkről, az általuk folytatott tevékenység tekintetében pedig közös adatkezelésről beszélhetünk.

A GDPR 26. cikk (1) bekezdésében foglalt „közösen” kifejezést tágan kell értelmezni, amely azt jelenti, hogy adatkezelők „közösen”, nem pedig külön-külön, egyenként határozzák meg az adatkezelés céljait és az eszközök azon alapvető elemeit, amelyek az adatkezelő döntési hatáskörébe tartoznak. Az egyes felek közreműködése azonban különböző formákat ölthet. Nem szükséges, hogy mindenki egyenlő arányban vegyen részt a döntéshozatalban. A közös adatkezelés megítélése szempontjából annak van jelentősége, hogy az adatkezelés mely közös cél(ok) elérése érdekében szükséges. Ha az adatkezelők nem közös cél érdekében tevékenykednek, akkor kizárható a közös adatkezelői minőség.

Az Mt. alapján a kölcsönbeadó és a kölcsönvevő megosztva gyakorolja a kölcsönzött munkavállaló feletti munkáltatói jogokat a munkaerő-kölcsönzés ideje alatt. A feleknek a kölcsönzés lényeges feltételeit, valamint a munkáltatói jogkör gyakorlásának megosztását írásbeli megállapodásban kell rögzíteni. A munkaerő-kölcsönzés keretében:

• a kölcsönvevő átvállalhatja a munkabéren kívüli juttatások közvetlen juttatását a munkavállalók részére;
• kölcsönös tájékoztatási és együttműködési kötelezettség áll fenn;
• a munkaviszony megszüntetésének jogát kizárólag a kölcsönbeadó gyakorolhatja;
• főszabály szerint a kölcsönbeadó viseli a munkavállaló utazási költségeit és a munkavégzéshez szükséges alkalmassági vizsgálat díját stb.;
• a munkavállalóval kötött munkaszerződés kifejezetten kölcsönzés céljából jön létre, meghatározva a munkavégzés jellegét és az alapbért;
• a kölcsönbeadót írásbeli tájékoztatási kötelezettég a kikölcsönzéssel kapcsolatban (a kölcsönvevő azonosító adatai, a kikölcsönzés kezdete, a munkavégzés helye, a kölcsönvevőnél irányadó munkarend, a kölcsönvevő részéről a munkáltatói jogkört gyakorlója, a munkába járás, a szállás és az étkezés feltételei);
• a kikölcsönzés tartama alatt a munkavédelemmel, a munkáltatót az Mt. 51. §-a alapján terhelő kötelezettségek teljesítésével, valamint a munkaidővel és pihenőidővel, ezek nyilvántartásával kapcsolatos jogokat és terhelő kötelezettségeket a kölcsönvevő gyakorolja és teljesíti;
• a munkavállalónak a kikölcsönzés során okozott kárért vagy személyiségi jogai megsértéséért a kölcsönvevő és a kölcsönbeadó egyetemlegesen felel.

A kölcsönbeadó és kölcsönvevő – Mt. keretszabályai alapján megkötött írásbeli megállapodás alapján – a munkáltatói jogkörgyakorlás egyes részjogosítványai tekintetében fennálló döntési jogosítványai megfelelnek a foglalkoztatáshoz szükséges, ahhoz kapcsolódó egyes adatkezelési célok és eszközök meghatározásának. A felek közös célja ugyanis az érintett (kölcsönzött munkavállaló) foglalkoztatása, amely cél elérése a másik (közös) adatkezelő nélkül nem lehetséges. E tényezőt nem befolyásolja az, hogy az egyes személyes adatokhoz adott időpillanatban csak egyik adatkezelő – a kölcsönbeadó vagy a kölcsönvevő – férhet hozzá, a személyes adatok fizikai birtoklása nem feltétele a közös adatkezelői minőségnek. A közös adatkezelői minőséget az sem befolyásolja, hogy bizonyos adatkezelésekhez (munkaidő nyilvántartása, adóhatóság részére teljesítendő bejelentés, kapcsolattartás) különböző jogalapok kapcsolódnak, tekintettel arra, hogy valamennyi adatkezelés a foglalkoztatáshoz kötődik, ahhoz szükséges.

A fentiek alól csak az olyan, a foglalkoztatáshoz nem kapcsolódó, egyéb adatkezelések jelentenek kivételt, amelyek tekintetében a kölcsönbeadó vagy a kölcsönvevő önálló adatkezelőnek minősül. Ilyen lehet például, ha a munkavállaló a kölcsönvevőnél részt kíván venni egy céges sport- rendezvényen és ehhez előzetes regisztrációra van szükség, ebben a tekintetben az adatkezelés nem a foglalkoztatáshoz kapcsolódik, a kölcsönvevő önálló adatkezelőként jár el.

Nemzetközi kitekintés keretében elmondható, hogy más tagállamok gyakorlata, szakirodalma is a közös adatkezelői minőséget állapítja meg[3].

Noha a hazai munkaerő-kölcsönzők többsége az önálló adatkezelői státuszt tekinti magukra nézve irányadónak, álláspontunk szerint a kölcsönvevő a kölcsönzött munkavállaló foglalkoztatásához fűződő adatkezelései tekintetében közös adatkezelővé válik a kölcsönadóval. A foglalkoztatáshoz nem kapcsolódó egyéb adatkezelés tekintetében pedig önálló adatkezelői minőségben jár el, ha a GDPR 26. cikke szerinti feltételek egyebekben nem állnak fent. Következésképpen a kölcsönvevő, illetve a kölcsönbeadó szervezet köteles a GDPR 26. cikke szerinti megállapodást létrehozni. A közös adatkezelőknek ugyanakkor nem kell külön megegyezniük olyan kérdésekben, amelyek tekintetében az adatkezelőkre vonatkozó felelősség megoszlását a rájuk alkalmazandó uniós vagy tagállami jog határozza meg.[4]

[1] http://mmosz.hu/mi-is-az-a-munkaero-kolcsonzes
[2] https://www.penzcentrum.hu/karrier/igy-trukkoznek-a-hazai-vallalatok-sok-magyarnak-ezert-kevesebb-a-fizetese.1089797.html
[3] https://www.lda.bayern.de/media/dsk_kpnr_16_gemeinsam_verantwortliche.pdf;
https://www.datenschutz-notizen.de/joint-control-bei-der-arbeitnehmerueberlassung-eine-datenschutzkonforme-loesung-4721053/;
https://www.computerwoche.de/a/so-sieht-arbeitnehmerueberlassung-dsgvo-konform-aus,3546174.
[4] GDPR 26. cikk (1) bek.

Az Európai Unió soros elnökségét betöltő Horvátország 2020. február 21-én közzétette az az elektronikus hírközlésben a magánélet tiszteletben tartásáról és a személyes adatok védelméről szóló rendelet (ePrivacy rendelet) legújabb tervezetét. Az Európai Bizottság által eredetileg 2017-ben beterjesztett rendelet eredetileg az általános adatvédelmi rendelettel (GDPR) és az ún. Bűnügyi irányelvvel alkotott volna egy nagy, adatvédelmi csomagot, amelynek elemei 2018-ban léptek volna hatályba. Erre azonban nem került sor, mivel a jogalkotási folyamat elakadt, mivel nagy volt a megosztottság a tagállamok között a benne foglalt rendelkezések tekintetében. A horvát elnökségre várt tehát a munka, hogy a hányattatott sorsú tervezet elfogadását előmozdítsa. Az azonban már most is látszik, hogy a kompromisszumos megoldási javaslatokat tartalmazó legújabb javaslat egyelőre újabb kérdéseket vetett csak fel és újabb vitákat generált a tagállamokban és a szakemberek között. Emiatt pedig egyelőre nem várható végleges döntés e tekintetben.

Mit is szabályozna az ePrivacy rendelet?

Az ePrivacy rendelet célja az elektronikus úton továbbított mindenfajta adat és információ bizalmasságának és biztonságának garantálása. A jogszabály tárgyi hatálya alá tartozna ezért minden, a továbbított közlések tartalmára vonatkozó információ, illetve a közlések továbbításához, terjesztéséhez vagy lehetővé tételéhez szükséges adatok is, mint például a helymeghatározó adatok vagy a metaadatok. A tervezet eredeti célja a GDPR előírásainak kiegészítése, azoknak az elektronikus hírközlés területére történő átültetése lett volna. Azaz minden olyan esetben, amelyre az ePrivacy rendelet nem tartalmazott specifikus előírást, a GDPR rendelkezéseit kellett volna alkalmazni.

Az ePrivacy rendelet a fentiek mentén harmonizálta volna az Egységes Digitális Piac szabályait, nagyobb védelmet biztosított volna a közlések tartalmának, illetve az elektronikus hírközlési metaadatoknak, egyszerűsítette volna a sütikre vonatkozó szabályokat, védte volna z állampolgárokat a nemkívánt elektronikus üzenetek ellen, illetve szigorúbb fellépést és szankciókat irányzott volna elő a jogsértések esetére. Ezáltal nemcsak az uniós szereplőkre gyakorolna jelentős hatást, hanem rákényszerítené az olyan globális szereplőket is a jogkövető magatartásra, mint a WhatsApp vagy a Facebook Messenger.

A szabályozás számos pontja, előremutató volta ellenére is megosztónak bizonyult. Ezek közé tartozik a bűnüldözési érdekek figyelembe vétele (pl. gyermekpornográfia visszaszorítása stb.), a szabályozás hatása az új technológiákra, a végfelhasználók eszközeinek védelme, a személyes adatok tárolása vagy az Európai Adatvédelmi Testület (EDPB) szerepe. A tagállami és szakmai viták, kritikák az említett kérdések mentén folytak és folynak ma is, emiatt viszont érdemi előrelépés az elmúlt három év során nem történt a tervezet elfogadása vonatkozásában.

Mi az új javaslat lényege?

Az ePrivacy rendelet legújabb tervezetének lényege, hogy – a korábbi javaslattal ellentétben – lehetővé tenné az elektronikus hírközlési szolgáltatások nyújtása során a metaadatok kezelését, illetve információk gyűjtését a végfelhasználók eszközeiről, amennyiben az az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges. Ez a rendelkezések a GDPR vonatkozó előírásaival és az ott biztosított garanciák mellett helyettesíthetné az érintettek hozzájárulását. Ez alól csak az olyan esetek jelentenének kivételt, amikor az adatalany gyermek, amennyiben profilozás történik, vagy ha az adatkezelés különleges adatokat érintene.

A javaslat azonban ismét heves kritikákat váltott ki. Ennek oka egyrészt az, hogy teljesen szembe megy az EDPB álláspontjával, miszerint nem szabad az elektronikus hírközlés terén lehetővé tenni a személyes adatok kezelését olyan tág, kevésbé konkrét jogalapok alapján, mint a jogos érdek. Mások azt emelték ki, hogy a javaslat önellentmondó, illetve ellentétes a GDPR-ral is, mivel a metaadatok védelmének szintjét jelentősen csökkenti. Voltak, akik emiatt egyenesen a reform helyett a „megfigyelés eszközének” bélyegezték az ePrivacy rendelet tervezetét.

Mi várható a közeljövőben a javaslattal kapcsolatban?

Az ePrivacy rendelet horvát elnökség által benyújtott tervezetét az uniós a Telekommunikációs és Információs Társadalommal kapcsolatos Munkacsoport 2020. márciusi ülésén fogja tárgyalni. Amennyiben sikeresen újraindul a jogalkotási folyamat, annak során még le kell vezényelni – az Európai Tanács, az Európai Parlament és az Európai Bizottság közötti – ún. háromoldalú tárgyalásokat, illetve szavaznia kell róla a két jogalkotónak, a Tanácsnak és a parlamentnek is. Ezt követően még egy kétéves átmeneti időszak következne, amelynek végén az ePrivacy rendelet hatályba léphetne. Mivel azonban a jelenlegi javaslat is heves jogi és szakmai vitákat váltott ki, elég valószínűtlen, hogy ez egyhamar bekövetkezne.

Forrás: https://www.lexology.com, https://iapp.org

A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) 2019. március 4-én kelt határozatában egy követeléskezelő cég adatkezelésével kapcsolatban állapította meg a jogszerűség követelményének, a célhoz kötöttség és az adattakarékosság elvének, illetve a törléshez való jog sérelmét, amely miatt 1.000.000 forint bírságot szabott ki. A döntés tekintetében egyrészt kiemelendő, hogy a NAIH először értelmezett egy jogos érdek alapján történő adatkezelést az általános adatvédelmi rendelet (GDPR) alapján. Másrészt érdemes hangsúlyozni, hogy a hatóság az „enyhének tűnő” bírságösszeget mindössze egyetlen személyes adat jogellenes kezelése miatt szabta ki. Az eddigi bírságolási gyakorlatot is figyelembe véve megállapítható tehát, hogy az adatkezelőknek ideje komolyan venni az érintetti jogok gyakorlására irányuló kérelmeket, azoknak a GDPR-ban foglaltak szerint eleget tenni.