Arany-Tóth Mariann

Személyes adatok kezelése a munkaviszonyban

Wolters Kluwer • Budapest, 2016

Kiadja a

Wolters Kluwer Kft.

Budapest, 2016

1117 Budapest, Prielle Kornélia u. 21–35.

Telefon: (40) 464-565, +36 (1) 464-5656

Fax: +36 (1) 464-5657

E-mail: info-hu@wolterskluwer.com

Internet: www.wolterskluwer.hu

Felelős vezető: Tóth Gábor, a Wolters Kluwer Kft. ügyvezetője

Kiadásért felelős: Gócza Éva

A kiadványok szerkesztéséért felelős: dr. Szabó Marianna

Felelős szerkesztő: dr. Antal Ildikó

Műszaki szerkesztés: Wolters Kluwer Kft.

Grafikai tervezés: Wolters Kluwer Kft.

ISBN 978 963 295 540 7

Termékkód: YEB1594

Kiadványaink megtekinthetőek és megvásárolhatóak szakkönyvesboltunkban a Kiadó címén, továbbá a www.shop.wk.hu portálon.

Minden jog fenntartva, beleértve a sokszorosítás és a mű bővített, illetve rövidített változatának kiadási jogát is.

A Kiadó írásbeli hozzájárulása nélkül sem a teljes mű, sem annak bármely része semmiféle formában (fotokópia, mikrofilm vagy más hordozó) nem sokszorosítható.

MUNKAJOGI KISKÖNYVTÁR 9.

Szerző:

dr. Arany-Tóth Mariann

Kézirat lezárva:

2015. december 31.

© dr. Arany-Tóth Mariann, Budapest, 2016

© Wolters Kluwer Kft., Budapest, 2016

Bevezető

A munkahelyi adatvédelem tartalma folyamatosan fejlődik. A technikai és technológiai alkalmazások munkaviszonyban történő megjelenésével a munkavállalók személyes adatainak kezelése különböző módokon lehetővé vált. Az adatkezelések kiegyensúlyozott biztosítása érdekében a munkahelyi adatvédelmi jog ösztönzi a munkaviszony alanyait az információs önrendelkezési jog gyakorlásával és a magánszféra védelmével összefüggő garanciák tiszteletben tartására, az adatkezelésekhez kapcsolódóan a munkafeltételek minőségének fejlesztésére, a jogalkalmazás és a jogérvényesítés kiszámíthatóságának elősegítésével.

A jelen összefoglaló mű célja, hogy bemutassa a munkajogviszony teljesítése során megvalósuló adatkezelés főbb szabályait a munkavállalók személyes adatainak kezelése tárgyában és a gyakorlatban előforduló adatkezelések egy-egy eseteit. Az elemzés a munka törvénykönyvéről szóló 2012. évi I. törvény rendelkezéseit veszi alapul, a speciális ágazati jogszabályokat, valamint az egyes jogállási törvények rendelkezéseit nem ismerteti.

A munkahelyi adatvédelem szabályait az első részben általánosan foglaljuk össze, amelyet követően az adatkezelések gyakorlati esetköreit mutatjuk be példákkal. Az adatkezelések gyakorlati esetköreinél utalunk továbbá a korábbi szabályozásra és az ahhoz kapcsolódó adatvédelmi biztosi gyakorlatra és bírói joggyakorlatra, a tájékozódás és a hatályos szabályozáshoz képest a változások felismerésének megkönnyítése céljából.

A munkahelyi adatvédelem tárgyában irányadó jogszabályok időközbeni változására is tekintettel, a hatályos adatvédelmi szabályozás a munkaviszonyban történő adatkezelésről szerteágazó és összetett. Az általános adatvédelmi jogi szabályozás értelmezéséhez, illetve adott esetben a szabályozás hiányosságának áthidalásához, ezért fontos támpontul szolgálnak az Alkotmánybíróság gyakorlatában kimunkált információs önrendelkezéshez való jog ismérvei és az emberi méltóság védelme tárgyában megfogalmazott elvek, valamint az adatvédelmi irányelv rendelkezései, az aktuális adatvédelmi hatósági gyakorlatban kibocsátott ajánlások, illetve határozatok. A szabályozás átfogó bemutatása érdekében mindezek figyelembevételével idézzük a releváns jogforrásokat.

Budapest, 2015. december

A Szerző

1. Az adatvédelem célja a munkaviszonyban

Az adatok kezelésével és feldolgozásával kapcsolatosan a személyiségi jogok védelme több mint három évtizede került szabályozásra a magyar jogban. Kezdetben a nagyszervezeti állami adatnyilvántartó rendszerek és a számítógépek megjelenésének következtében vált szükségessé az adatkezelésre és adatfeldolgozásra vonatkozó szabályok megalkotása. A dinamikus technikai fejlődés révén azóta a számítógépek használata és a személyes adatok elektronikus kezelése általánosan elterjedt. A társadalmi viszonyok változásával az elektronikus kommunikáció a mindennapi élet részévé vált. Ennek hatása a munkajogviszonyban is alapvető változásokhoz vezetett.

Átformálódott a munkavégzés és a munkajogviszonyból eredő jogok gyakorlásának és kötelezettségek teljesítésének módja. A munkavégzés folyamata átalakult a technikai vívmányok alkalmazásával és emellett új munkavégzési formák jelentek meg. A számítástechnikai eszközök révén kibővült a munka megszervezésének és ellátásának módja. A munkáltató és a munkavállaló között megvalósuló adatkezeléssel lehetővé vált például a jognyilatkozatok elektronikus úton közlése, elektronikus dokumentumok használata, elektronikus nyilvántartás vezetése, technikai eszközök széles körű alkalmazása a munka megszervezésében és a munkafolyamatok optimalizálásában. A munkakörök jelentős részében a technikai eszközök alkalmazása a munkavégzéshez nélkülözhetetlen.

Ezen túlmenően a munkáltató és az „állam” között a foglalkoztatáshoz kapcsolódó egyes jogok és kötelezettségek teljesítése is egyes esetekben adatkezelési műveletek elvégzését teszi szükségessé. A munkavállalók személyes adatainak kezelését a külön törvényekben foglalt kötelezettségek teljesítése érdekében speciális ágazati törvények szabályozzák. Így például az adóhatóság, egészségbiztosítási szerv felé történő bejelentési kötelezettség, illetve adattovábbítás.

A munkáltatónál foglalkoztatott munkavállalók adatai továbbá a vállalkozás működtetése során a gazdasági és stratégiai döntések fontos részét képezik. Az adatok pontos, valós és naprakész nyilvántartásához a munkáltatónak jogos érdeke fűződik. Azok alapján lehetséges hiteles statisztikai kimutatás készítése, értékelések, továbbá elemzések összeállítása, amelyek a vállalkozás működését biztosítják. Erre tekintettel felértékelődött a munkavállalók személyes adatainak kezelése, valamint az adatok biztonságának garantálása, az adatokkal kapcsolatos visszaélések megelőzése.

Ezen változások teret nyitottak az adatvédelmi szabályozásnak. Lendületet adtak az adatkezelés feltételeinek meghatározásához a munkaviszonyban. A munkahelyi adatvédelem célja mindezekre tekintettel az, hogy biztosítsa a munkaviszonyban a személyes adatok kezelésének átláthatóságát, nyomon követhetőségét, az adatok kezelésének elvei érvényesülését, az adatkezeléssel összefüggő igények érvényesítését, az adatkezeléshez kapcsolódó jogos érdekek és a munkavállalók személyiségi jogainak védelmét.

A munkahelyi adatvédelem ennek megfelelően elősegíti a munkajogi jogok gyakorlását és kötelezettségek teljesítését. Ösztönöz a jogkövető magatartásra és ezáltal csökkenti a jogsértések bekövetkezését, a megelőzést szolgálja.

2. A munkahelyi adatvédelem szabályozása

A munkahelyi adatvédelmi szabályozás azon normák összessége, amelyek meghatározzák, hogy a személyes adatok milyen terjedelemben és milyen feltételekkel kezelhetőek a munkaviszonyban történő foglalkoztatás során a munkaviszony létesítésekor, fennállásakor és megszüntetésekor. A munkavállalók személyes adatai védelmét több jogforrás szabályozza. Ezek közül a következőkben példálózóan bemutatjuk azokat, amelyeket a személyes adatok kezelésekor a munkaviszonyban figyelembe kell venni.

2.1. Az Alaptörvény irányadó rendelkezései

Magyarország Alaptörvénye (2011. április 25.) (a továbbiakban: Alaptörvény) rögzíti az adatvédelem alkotmányos kereteit. A személyes adatok kezelésével összefüggésben a munkavállalók személyiségi jogainak védelmét szolgálják különösen:

– az Alaptörvény I. cikk (1) bekezdése az ember alapvető jogai tiszteletben tartásáról,

– II. cikke az emberi méltóság védelméről,

– IV. cikk (1) bekezdése a szabadsághoz és a személyi biztonsághoz való jogról,

– VI. cikk (1) bekezdése a magán- és családi élet, otthon, kapcsolattartás és jó hírnév tiszteletben tartásáról,

– VI. cikk (2) bekezdése a személyes adatok védelméhez való jogról,

– VII. cikk (1) bekezdése a gondolat, a lelkiismeret és a vallás szabadságához való jogról,

– IX. cikk (1) bekezdése a véleménynyilvánítás szabadságáról,

– a XV. cikk (2) bekezdése a megkülönböztetés tilalmáról.

A munkaviszonyban a jogok gyakorlása és kötelezettségek teljesítése szempontjából irányadó továbbá az Alaptörvény

– M. cikk (1) bekezdése a vállalkozás szabadságáról,

– az V. cikke a tulajdon védelméről,

– a XIII. cikke a tulajdonhoz való jogról,

– a XII. cikk (1) bekezdése a munka és a foglalkozás szabad megválasztásához, valamint a vállalkozáshoz való jogról,

– a XVII. cikk (1) bekezdése a munkavállalók és munkaadók együttműködéséről, illetve a (2) bekezdése szerinti tárgyaláshoz és kollektív szerződéskötéshez való jogról, továbbá (3) bekezdése a munkavállalók egészségét, biztonságát és méltóságát tiszteletben tartó munkafeltételekhez való jogról.

Az alapvető jogok korlátozása tárgyában az Alaptörvény I. cikk (3) bekezdése irányadó, amely szerint „Az alapvető jogokra és kötelezettségekre vonatkozó szabályokat törvény állapítja meg. Alapvető jog más alapvető jog érvényesülése vagy valamely alkotmányos érték védelme érdekében, a feltétlenül szükséges mértékben, az elérni kívánt céllal arányosan, az alapvető jog lényeges tartalmának tiszteletben tartásával korlátozható.”

Ezen túlmenően figyelembe kell venni az Alaptörvény 28. cikkét, amely szerint „A bíróságok a jogalkalmazás során a jogszabályok szövegét elsősorban azok céljával és az Alaptörvénnyel összhangban értelmezik. Az Alaptörvény és a jogszabályok értelmezésekor azt kell feltételezni, hogy a józan észnek és a közjónak megfelelő, erkölcsös és gazdaságos célt szolgálnak.”

2.2. Az információs önrendelkezési jogról és az információszabadságról szóló törvény

Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) foglalja össze a személyes adatok védelmére és a közérdekű adatok megismerésére vonatkozó rendelkezéseket. A törvény megalkotásának célja, hogy az Alaptörvény VI. cikke alapján, az ott biztosított alapjogok érvényesítése érdekében meghatározza az információs jogok tartalmát és biztosítsa e jogok hatékony érvényesülését. Az Infotv. 2012. január 1-jén lépett hatályba, ezzel felváltotta a korábban hatályos, a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvényt (a továbbiakban: Avtv.).

A személyes adatok védelme tárgyában mindkét törvény szabályozta, illetve szabályozza az adatvédelmi fogalmakat, az adatkezelés jogszerűségének általános feltételeit, a személyes adatok kezelésének garanciális szabályait és az érintett adatkezeléshez kapcsolódó jogait, és e jogok érvényesítésére rendelkezésre álló jogorvoslati lehetőségeket. Az Infotv. és az Avtv. is az adatvédelem általános szabályait tartalmazza, illetve tartalmazta. Mindkét törvény rendelkezéseit az adott eset konkrét körülményeitől függően alkalmazni kell, illetve alkalmazni kellett a munkaviszonyban megvalósuló adatkezelésre is.

Változás a régi és a hatályos szabályozás között ugyanakkor, hogy az Avtv. az adatvédelmi biztos jogintézményét szabályozta, míg az Infotv. létrehozta a Nemzeti Adatvédelmi és Információszabadság Hatóságot (a továbbiakban: NAIH). Az adatvédelmi biztos tevékenységével az Avtv. hatálybalépését követő mintegy másfél évtizedben meghonosodott a munkahelyi adatvédelem kultúrája Magyarországon. A feladatkörében kibocsátott ajánlásokkal elősegítette a személyes adatok kezelésére vonatkozó törvényi rendelkezések egységes alkalmazását. A munkáltatók által végzett adatkezelések főbb területei és elvei ezáltal fokozatosan kimunkálásra kerültek. A munkahelyi adatvédelem gyakorlata folyamatosan fejlődik. A NAIH által kibocsátott ajánlások e tárgyban iránymutatást jelentenek a jogalkalmazói gyakorlat fejlesztéséhez. A munkáltatók általi adatkezelésekkel kapcsolatosan általános jelleggel vagy meghatározott adatkezelő részére kibocsátott ajánlások, illetve a NAIH határozatai a munkahelyi adatkezelések gyakorlatához hasznos támpontul szolgálnak.

Az Infotv. hatálya a Magyarország területén folytatott minden olyan adatkezelésre és adatfeldolgozásra kiterjed, amely természetes személy adataira vonatkozik [Infotv. 2. § (1) bekezdés]. A törvényt a teljesen vagy részben automatizált eszközzel, valamint a manuális módon végzett adatkezelésre és adatfeldolgozásra egyaránt alkalmazni kell [Infotv. 2. § (2) bekezdés].

2.3. A 95/46/EK adatvédelmi irányelv

A munkahelyi adatvédelem szabályozása tárgyában figyelembe kell venni az Európai Parlament és a Tanács 1995. október 24-i 95/46/EK irányelvét a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról (a továbbiakban: adatvédelmi irányelv) is, amelynek átültetését az Infotv. szolgálja.

Az adatvédelmi irányelv célja, hogy a tagállamok az irányelvnek megfelelően védjék a természetes személyek alapvető jogait és szabadságait, különösen a magánélet tiszteletben tartásához való jogukat a személyes adatok feldolgozása (helyesen: kezelése) tekintetében. A tagállamok nem korlátozhatják és nem tilthatják a személyes adatok tagállamok közötti szabad áramlását az (1) bekezdés értelmében biztosított védelemmel kapcsolatos indokok miatt [adatvédelmi irányelv 1. cikk (1)–(2) bekezdés]. Az adatvédelmi irányelv magyar fordításában szereplő „személyes adatok feldolgozása (»feldolgozás«)” az Infotv. szerinti „adatkezelés” fogalmának feleltethető meg, ezért az irányelv és az Infotv. fogalomhasználatának követhetősége érdekében értelemszerűen az irányelv szerinti „feldolgozás” helyett adott esetben az Infotv. szerinti „kezelése” fogalom értendő.

Az irányelvek átültetésére vonatkozó kötelezettségből következik, hogy a tagállam köteles az irányelv teljes körű érvényesülését – ideértve a céljának megvalósulását is – biztosítani. Az irányelv rendelkezései ennek megfelelően támpontul szolgálnak az Infotv. értelmezéséhez.

Az adatvédelmi irányelv rendelkezéseinek értelmezését segítik elő a munkaviszonyban megvalósuló adatkezelés során az adatvédelmi irányelv 29. cikke szerinti Adatvédelmi Munkacsoport állásfoglalásai és véleményei. Így például 8/2001. vélemény a személyes adatok kezeléséről a foglalkoztatás során (Opinion on the processing of personal data in the employment context, 5062/01/EN/Final, WP 48), illetve a dokumentum a munkahelyi elektronikus kommunikáció megfigyeléséről (Document on the surveillance of electronic communications in the workplace, 5401/01/EN/Final, WP 55).

2.4. A Polgári Törvénykönyv

A Polgári Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.) általánosan biztosítja a személyiségi jogok védelmét. A Ptk. 2:42. § (1)–(2) bekezdései rögzítik: „Mindenkinek joga van ahhoz, hogy törvény és mások jogainak korlátai között személyiségét szabadon érvényesíthesse, és hogy abban őt senki ne gátolja. Az emberi méltóságot és az abból fakadó személyiségi jogokat mindenki köteles tiszteletben tartani. A személyiségi jogok e törvény védelme alatt állnak.”

A nevesített személyiségi jogok között a Ptk. megjelöli a személyes adatok védelméhez való jogot. A személyiségi jogok sérelmét jelenti különösen

a) az élet, a testi épség és az egészség megsértése;

b) a személyes szabadság, a magánélet, a magánlakás megsértése;

c) a személy hátrányos megkülönböztetése;

d) a becsület és a jóhírnév megsértése;

e) a magántitokhoz és a személyes adatok védelméhez való jog megsértése;

f) a névviseléshez való jog megsértése;

g) a képmáshoz és a hangfelvételhez való jog megsértése (Ptk. 2:43. §).

A becsülethez és jóhírnévhez való jog, a magántitokhoz való jog, a képmáshoz és a hangfelvételhez való jog megsértésének eseteit a Ptk. 2:45. §, 2:46. §, 2:48. §-ai részletezik.

A jogellenességet kizáró okok között szabályozza továbbá az érintett hozzájárulását. Nem sért személyiségi jogot az a magatartás, amelyhez az érintett hozzájárult [Ptk. 2:42. § (3) bekezdés]. Szabályozza a személyiségi jogok megsértésének szankcióit, amelyek a munkaviszonyban is irányadóak a személyes adatok védelméhez való jog megsértése esetén.

2.5. A munka törvénykönyve

A munkahelyi adatvédelem tárgyában irányadó főbb szabályokat a munka törvénykönyvéről szóló 2012. évi I. törvény (a továbbiakban: Mt.) az általános rendelkezések között a személyiségi jogok védelme alcím alatt tartalmazza.

Az Mt. alkalmazni rendeli a Ptk. rendelkezéseit a személyiségi jogok védelméről. Az Mt. 9. § (1) bekezdése szerint „A munkavállaló és a munkáltató személyiségi jogainak védelmére, ha e törvény eltérően nem rendelkezik, a Polgári Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.) 2:42–54. §-át kell alkalmazni azzal, hogy a Ptk. 2:52. § (2) és (3) bekezdése, valamint 2:53. §-a alkalmazásakor e törvény kártérítési felelősségre vonatkozó szabályai az irányadók.”

Ennek megfelelően a munkavállaló személyisége szabad érvényesítéséhez való jogot, az emberi méltóságát és az abból fakadó személyiségi jogokat, köztük a munkavállaló személyes adatainak védelméhez való jogát a munkaviszonyban tiszteletben kell tartani.

Az Mt. speciálisan szabályozza a munkavállaló személyiségi joga korlátozásának feltételeit, amely irányadó a munkavállaló személyes adatainak védelméhez való joga korlátozására is. Az Mt. 9. § (2) bekezdése szerint „A munkavállaló személyiségi joga akkor korlátozható, ha a korlátozás a munkaviszony rendeltetésével közvetlenül összefüggő okból feltétlenül szükséges és a cél elérésével arányos. A személyiségi jog korlátozásának módjáról, feltételeiről és várható tartamáról a munkavállalót előzetesen tájékoztatni kell.”

Szabályozza továbbá a joglemondást a munkaviszonyban: „A munkavállaló a személyiségi jogáról általános jelleggel előre nem mondhat le. A munkavállaló személyiségi jogáról rendelkező jognyilatkozatot érvényesen csak írásban tehet.” [Mt. 9. § (3) bekezdés].

Speciálisan rögzíti egy-egy adatkezelési művelet szabályait. Az Mt. 10. § (1) bekezdés szabályozza a munkavállalótól kérhető nyilatkozat, illetve adatközlés, valamint alkalmassági vizsgálat végzésének feltételeit. Eszerint „A munkavállalótól csak olyan nyilatkozat megtétele vagy adat közlése kérhető, amely személyiségi jogát nem sérti, és a munkaviszony létesítése, teljesítése vagy megszűnése szempontjából lényeges. A munkavállalóval szemben csak olyan alkalmassági vizsgálat alkalmazható, amelyet munkaviszonyra vonatkozó szabály ír elő, vagy amely munkaviszonyra vonatkozó szabályban meghatározott jog gyakorlása, kötelezettség teljesítése érdekében szükséges.”

Az Mt. 10. § (2) bekezdése előírja a munkáltató tájékoztatási kötelezettségét, a (3) bekezdés szabályozza az adattovábbítás feltételeit. Az adatok statisztikai célú felhasználását az Mt. 10. § (4) bekezdése rögzíti. Az Mt. 11. §-a szabályozza a munkáltató ellenőrzési jogának gyakorlását, amelyet részletesen a 7. pontban mutatunk be.

A munkavállaló személyiségi jogainak védelme tárgyában mindezek alapján alkalmazni kell a Ptk. irányadó szabályait és az Mt. speciális szabályait, a törvények egymásra tekintettel való értelmezésével. Az Mt. és az Infotv. viszonyában továbbá az Mt., illetve törvény eltérő rendelkezésének hiányában az Infotv. rendelkezései irányadóak a munkavállaló személyes adatai kezelésekor a munkaviszonyban.

2.6. Ágazati jogszabályok

Az ágazati jogszabályok a munkáltató számára adatkezelést, bejelentési, adattovábbítási, közzétételi kötelezettséget írhatnak elő. Így például az adózás rendjéről 2003. évi XCII. törvény 16. § (4) bekezdése alapján a munkáltató köteles az állami adóhatóságnak bejelenteni az általa foglalkoztatott biztosított családi és utónevét, adóazonosító jelét, születési idejét, biztosítási jogviszonyának kezdetét, kódját, megszűnését, a biztosítás szünetelésének időtartamát, a heti munkaidejét, a FEOR-számát.

A köztulajdonban álló gazdasági társaságok takarékosabb működéséről szóló 2009. évi CXXII. törvény 2. § (1) bekezdése szerint például a köztulajdonban álló gazdasági társaság közzéteszi a vezető tisztségviselők, a felügyelőbizottsági tagok, az Mt. 208. §-a szerint vezető állású munkavállalók, valamint az önállóan cégjegyzésre vagy a bankszámla feletti rendelkezésre jogosult munkavállalók törvényben meghatározott adatait.

Ágazati jogszabályok speciálisan szabályozhatják továbbá az adatkezelés feltételeit (például egészségi állapotra vonatkozó adatok kezelése), illetve egyes ágazatokban a munkavállalók foglalkoztatására tekintettel speciális rendelkezéseket írhatnak elő.

2.7. A munkahelyi adatvédelem szabályozása

A munkahelyi adatvédelem az irányadó általános és speciális jogszabályokkal összhangban szabályozható munkaszerződésben, munkáltatói szabályzatban, magatartási kódexben, kollektív szerződésben és üzemi megállapodásban.

A munkáltató és a munkavállaló megállapodhatnak munkaszerződésben az adatok kezeléséről. Különösen akkor, ha az adott munkaviszony teljesítésének sajátosságai, az abból származó jogok és kötelezettségek szempontjából célszerűnek tűnik az adatvédelmi rendelkezések részletezése, illetve azzal összefüggésben speciális körülmény szabályozása a munkaszerződésben.

A munkáltató egyoldalúan is rendelkezhet az adatkezelés szabályairól a munkahelyen. Ennek tipikus formája a szabályzat. Az adott munkáltatónál irányadó adatkezelési gyakorlat szabályozására és az ahhoz kapcsolódó magatartási szabályok összefoglalására megalkotott munkáltatói szabályzat – jellegét tekintve – nyilatkozatnak minősülhet, amelyre az Mt. 20–26. §-ában foglalt rendelkezéseket kell alkalmazni [Mt. 15. § (5) bekezdés]. A munkáltatói szabályzatot közöltnek kell tekinteni, ha azt a helyben szokásos és általában ismert módon közzéteszik [Mt. 17. § (2) bekezdés]. A jognyilatkozatra vonatkozó szabályokat kell alkalmazni a szabályzatra akkor, ha az jognyilatkozatnak minősül [Mt. 17. § (1) bekezdés]. Ezen túlmenően nevesíti az Infotv. az ún. adatvédelmi és adatbiztonsági szabályzatot (Infotv. 24. §). Ezt az Infotv.-ben meghatározott adatkezelőknek a törvényben meghatározott esetekben kell elkészíteniük.

Az ún. magatartási kódex megalkotása a vállalatcsoportok esetében gyakori. Ebben összefoglalhatóak a vállalatcsoport tagjai közötti adattovábbítás szabályai, irányvonalak és elvek a személyes adatok kezeléséről. A kollektív szerződés és üzemi megállapodás szerepéről lásd a 11. pontot.

2.8. A munkáltató, mint adatkezelő

A munkavállaló személyes adatainak kezelésekor a munkaviszonyban a munkáltató adatkezelőnek minősül, ha az adatok kezelésére az Infotv. hatálya alatt kerül sor, illetve arról külön törvény rendelkezik. A munkáltató adatkezelőnek minősülhet kifejezett jogszabályi rendelkezés alapján, illetve az Mt. alapján a munkaviszonyban irányadó jogok gyakorlásából, illetve kötelezettségek teljesítéséből adódóan.

Az Infotv. 3. § 9. pontja szerint adatkezelő: az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely önállóan vagy másokkal együtt az adat kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja. Az Infotv. e rendelkezése az adatvédelmi irányelv 2. cikk d) pontját ülteti át.

Az adatvédelmi irányelv 29. cikke szerinti Adatvédelmi Munkacsoport 1/2010. számú véleménye foglalja össze az adatkezelő és az adatfeldolgozó főbb ismérveit (Opinion 1/2010 on the concepts of „controller” and „processor”, 00264/10/EN, WP 169). Ennek megfelelően az adott eset konkrét körülményei alapján szükséges vizsgálni, hogy az adatkezelő ismérvei teljesülnek-e, azaz például az adatkezelés célját önállóan vagy másokkal együtt határozza-e meg az adatkezelő. Ez utóbbi előfordulhat például az Mt. 195. §-a szerint több munkáltatóval létesített munkaviszonyban. A foglalkoztatás sajátosságából adódóan megtörténhet az is, hogy két adatkezelő végez adatkezelést az adott munkavállaló vonatkozásában, mint például munkaerő-kölcsönzés esetén a kölcsönbeadó és a kölcsönvevő. Az Mt. 53. §-a szerint más munkáltatónál történő foglalkoztatás esetén például a fogadó munkáltató is adatkezelőnek minősülhet tekintettel arra, hogy gyakorolhatja azokat a munkáltatói jogokat, amelyek a munkavállaló adott munkavégzéséhez szükségesek, kivéve az át nem ruházható munkáltatói jogokat és kötelezettségeket.

Az adatkezelő jogosult az adatkezelés céljának meghatározására és az adatkezelésről való döntésre. A felhasznált eszközök alapvető elemeiről dönthet, a technikai és szervezési kérdéseket azonban delegálhatja az adatfeldolgozónak. Az adatkezelés jogszerűségéért a felelősség az adatkezelőt terheli, ezért az adatkezelői jogi pozíciójára tekintettel alkalmazandóak például a kártérítési felelősség szabályai az adott jogi személy tekintetében. Az adatkezelői jogi pozíciónak van elsősorban jelentősége a munkaviszonyban is, amely a munkáltató jogi pozíciójához kapcsolódik. Egyebekben a munkáltató meghatározhatja az adatkezelésre jogosultak körét például az adatkezelési szabályzatban. Az előzetes tájékoztatás követelménye alapján az érintettet az adatkezelésre jogosult személyéről tájékoztatni kell [Infotv. 20. § (2) bekezdés].

Az adatkezelés céljával és az adatkezelésre vonatkozó döntéssel összefüggésben vizsgálni szükséges az adatkezelési műveletet. Az Infotv. alkalmazásában adatkezelés: az alkalmazott eljárástól függetlenül az adaton végzett bármely művelet vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adat további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNS-minta, íriszkép) rögzítése (Infotv. 3. § 10. pont). Az Infotv. ezen rendelkezése az adatvédelmi irányelv 2. cikk b) pontját ülteti át.

Az adatkezelés fogalmához kapcsolódóan figyelembe kell venni a személyes adat és az érintett fogalmait is. Személyes adat: az érintettel kapcsolatba hozható adat – különösen az érintett neve, azonosító jele, valamint egy vagy több fizikai, fiziológiai, mentális, gazdasági, kulturális vagy szociális azonosságára jellemző ismeret –, valamint az adatból levonható, az érintettre vonatkozó következtetés (Infotv. 3. § 2. pont). Ez a rendelkezés az adatvédelmi irányelv 2. cikk a) pontját ülteti át. Az Infotv. alkalmazásában személyes adat bármely meghatározott (azonosított vagy azonosítható) munkavállalóval kapcsolatba hozható adat, az adatból levonható, a munkavállalóra vonatkozó következtetés. Személyes adatnak minősül például a munkavállaló által kitöltött kérdőív, a munkavállaló ujjlenyomata, fényképe, video- vagy hangfelvétel a munkavállalóról, a munkavállaló e-mail címe stb. A személyes adat lehet a munkavállalóra vonatkozó tény, vélemény az eset körülményeitől függően.

Érintett: bármely meghatározott, személyes adat alapján azonosított vagy – közvetlenül vagy közvetve – azonosítható természetes személy (Infotv. 3. § 1. pont). Annak eldöntéséhez, hogy a munkavállaló azonosítható-e, minden lehetséges eszközt számításba kell venni, amellyel a munkáltató vagy harmadik személy a munkavállalót észszerűen azonosítani tudja. Így például a technikai eszközök által regisztrált adatok is személyes adatnak minősülhetnek, ha azok a munkavállalóval kapcsolatba hozhatók, és azokból közvetlenül vagy közvetve következtetni lehet a munkavállalóra.

2.9. Adatfeldolgozó igénybevétele a munkáltató által

A munkáltató a munkaviszonyban történő adatkezeléshez kapcsolódó technikai feladatok végrehajtásával adatfeldolgozót bízhat meg. Az adatfeldolgozó az adatkezelőtől elkülönült természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, amely az adatkezelő megbízásából végzi az adatok feldolgozását. Az Mt. 10. (3) bekezdése szerint a munkaviszonyból származó kötelezettségek teljesítése céljából a munkáltató a munkavállaló személyes adatait – az adatszolgáltatás céljának megjelölésével, törvényben meghatározottak szerint – adatfeldolgozó számára átadhatja. Erről a munkavállalót előzetesen tájékoztatni kell.

Adatfeldolgozó: az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely szerződés alapján – beleértve a jogszabály rendelkezése alapján kötött szerződést is – adatok feldolgozását végzi (Infotv. 3. § 18. pont). Adatfeldolgozás: az adatkezelési műveletekhez kapcsolódó technikai feladatok elvégzése, függetlenül a műveletek végrehajtásához alkalmazott módszertől és eszköztől, valamint az alkalmazás helyétől, feltéve, hogy a technikai feladatot az adaton végzik (Infotv. 3. § 17. pont).

Az adatfeldolgozónak a személyes adatok feldolgozásával kapcsolatos jogait és kötelezettségeit e törvény, valamint az adatkezelésre vonatkozó külön törvények keretei között az adatkezelő határozza meg. Az általa adott utasítások jogszerűségéért az adatkezelő felel [Infotv. 10. § (1) bekezdés]. Az adatfeldolgozó az adatkezelő rendelkezése szerint vehet igénybe további adatfeldolgozót [Infotv. 10. § (2) bekezdés]. Az adatfeldolgozó az adatkezelést érintő érdemi döntést nem hozhat, a tudomására jutott személyes adatokat kizárólag az adatkezelő rendelkezései szerint dolgozhatja fel, saját céljára adatfeldolgozást nem végezhet, továbbá a személyes adatokat az adatkezelő rendelkezései szerint köteles tárolni és megőrizni [Infotv. 10. § (3) bekezdés]. Az adatfeldolgozásra vonatkozó szerződést írásba kell foglalni. Az adatfeldolgozással nem bízható meg olyan szervezet, amely a feldolgozandó személyes adatokat felhasználó üzleti tevékenységben érdekelt [Infotv. 10. § (4) bekezdés].

3. Az adatkezelés elvei

Az adatvédelmi alapelvek a személyes adatok kezelésének jogszerűségére vonatkozó elvek. Általánosságban ezen elvek ún. minőségi és eljárási kontrollt tesznek lehetővé a személyes adatok kezelése, különösen felvétele és használata felett a munkaviszonyban.1 Az előbbit a bizalmasság, az arányosság és a szükségesség elvei biztosítják. Az utóbbit azok az elvek teszik lehetővé, amelyek a bejelentésre, a hozzáférésre, a hitelesítésre, a hozzájárulásra, a tájékoztatásra és a konzultációra vonatkoznak.

Az adatvédelmi alapelvek alapján lehet meghatározni, hogy az adatkezelés jogszerűen történik-e, illetve, hogy adott esetben megengedett-e az adat kezelése. Erre tekintettel az adatvédelmi szabályozás hangsúlyos részét képezik az adatvédelmi alapelvek.

A Nemzetközi Munkaügyi Szervezet „gyakorlati útmutatója” (Protection of workers’ personal data, code of practice, Geneva, 1997) például az alábbi elveket tartalmazza: tisztességes és törvényes adatkezelés elve, célhozkötöttség elve, a munkavállalóra vonatkozó döntés nem alapulhat kizárólag a személyes adatai automatizált kezelésén, a technikai vagy szervezeti intézkedésekkel összefüggésben gyűjtött személyes adatokat az automatizált információs rendszerek biztonságának és megfelelő működésének biztosítása céljából, nem lehet a munkavállalók viselkedésének ellenőrzésére felhasználni, az elektronikus megfigyelés során gyűjtött személyes adatok nem képezhetik kizárólagos alapját a munkavállaló teljesítményének értékeléséhez, a diszkriminatív adatkezelés tilalma, időszerűség elve, a munkavállalók részvételének elve, a bizalmasság elve, a személyiségi jogok védelme, továbbá, hogy a munkavállaló nem mondhat le a személyiségi jogairól.

Az adatvédelmi irányelv 6. cikke szerint az adatok minőségére vonatkozó elvek a következők.

A tagállamok rendelkeznek arról, hogy a személyes adatok:

a) feldolgozását [helyesen: kezelését] tisztességesen és törvényesen kell végezni;

b) gyűjtése csak meghatározott, egyértelmű és törvényes célból történhet, és további feldolgozása [helyesen: kezelése] nem végezhető e célokkal összeférhetetlen módon;

c) gyűjtésük és/vagy további feldolgozásuk [helyesen: kezelésük] célja szempontjából megfelelőek, relevánsak és nem túlzott mértékűek;

d) pontosak, és ha szükséges, időszerűek kell, legyenek; minden észszerű intézkedést meg kell tenni annak érdekében, hogy a hibás vagy hiányos adatok, tekintettel gyűjtésük vagy további feldolgozásuk [helyesen: kezelésük] céljaira, törlésre vagy helyesbítésre kerüljenek;

e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak az adatok gyűjtése vagy további feldolgozása [helyesen: kezelése] céljainak eléréséhez szükséges ideig teszi lehetővé.

Az adatkezelő feladata gondoskodni arról, hogy a fenti rendelkezések teljesüljenek. Az Infotv. 4. §-a szerint az adatkezelés elvei: célhozkötöttség, tisztességesség, törvényesség, az adatok minősége (pontosság, teljesség, naprakészség, az érintett azonosíthatósága).

„Lapozz bele!” módban ezek az oldalak nem érhetőek el.

Kérjük, vásárolja meg a teljes elektronikus könyvet weboldalunkon.

This page is not available in preview mode.

Should you wish to access the complete text, please purchase the full version of this e-book at our webpage.