Miért van szükség az adatvédelemben érintettek előzetes tájékoztatására?
A szükségesség érzete leginkább attól függ, éppen melyik oldalon állunk - ha adatkezelők vagyunk, akkor ez egy felesleges nyűg, amit a jogszabály a nyakunkba akaszt, ha viszont mi vagyunk egy adott adatkezelés érintettje máris más a helyzet. Amennyiben a mi bőrünkre megy a dolog, akkor bizony szeretjük tudni, hogy ki és hogyan garázdálkodik az adatainkkal és azt is joggal elvárhatjuk, ha megadjuk az e-mail címünket egy könyvesbolt hírlevelére jelentkezéskor, akkor nem fogja az e-mail fiókunkat elárasztani a levélszemét, amelynek nagy része olyan dolgokra akar minket csábítani, ami alap esetben még álmunkban sem jutna eszünkbe. Ugyanez vonatkozik a telefonszámunkra, hiszen akár számcserére is kényszerülhetünk egy balul elsült adatkezelés miatt, különösen ha kétes szolgáltatással foglalkozó szerencsevadászok akarnak bekeríteni minket a nap huszonnégy órájában a hét minden napján.
A tájékoztatási kötelezettség (illetve a jog a tájékoztatásra) nem a GDPR-szülte idegesítő találmány, az már az Info törvényünkben (2011. évi CXII. tv.) is benne volt ? és ha máshol nem, hát honlapok adatkezelési tájékoztatója formájában itt-ott találkozhattunk is ilyennel. Az adatvédelmi Hatóság is neuralgikus pontnak tartja az előzetes tájékoztatást és vizsgálataik során szeretik kikutatni, van-e nekünk, mint személyes adatok kezelőjének Adatvédelmi tájékoztatónk, és ha van, az jó-e bármire is? Azaz azt a célt szolgálja-e, amire a jogszabály szánta, vagy ugyan van, de nem tartalmazza azt a minimális információmennyiséget sem, amelyet kötelesek lennénk megosztani az adatkezelésünkben érintettekkel.
Miért is van szükség a tájékoztatásra? Azért, mert az érintett (azaz az a személy, aki az adatkezelésünk elszenvedője, vagy az lesz akár önként, akár muszájból), az előzetes és megfelelő tájékoztatás alapján képes felismerni azt, hogy az adott adatkezelés milyen hatással van az információs önrendelkezési jogára és a magánszférájára. Ha nem tájékoztatjuk őt megfelelően, bizony a Hatóság ránk sütheti a billogot azért, mert olyan "információs erőfölényt" alakítottunk ki, amely következtében az érintett jogai, érdekei sérülhetnek. Nekünk meg a pénztárcánk, ha a Hatóság emiatt jó nagy büntetést szab ki ránk. Ráadásul az egyik legkellemesebb szankcionálási mód - ki sem kell lépnie a hivatalnoknak az irodájából (sőt, még otthonról sem kell elmennie a Hatóság épületéig), csak honlapról honlapra kattintgatva végig kell ellenőriznie, mely honlaptulajdonosok adatkezelési tájékoztatója szenved erőteljes kihívásokkal. És ha fülön csípnek, egyáltalán nem biztos, hogy a "másé még rosszabb+ magyarázkodást érdemi védekezésnek fogadják el.
A tájékoztatás szükségessége azonban nemcsak a honlapokkal kapcsolatos adatkezelés során kerül elő, hanem az élet számos más területén is, például ha kamera- vagy beléptető rendszert üzemeltetünk vagy éppen szerződéses partnereink adatait kezeljük.
Amennyiben munkáltatók vagyunk, úgy a munkavállalóinkat is tájékoztatnunk kell a személyes adataik kezelésével kapcsolatban - például akkor, amikor erkölcsi bizonyítványt kérünk tőlük, a munkavégzéshez szükséges adataikat kezeljük és akkor is, ha szeretnénk a hivatalos e-mail fiók vagy mobiltelefon használatukat ellenőrizni, netalán az általuk használt céges autó GPS-adataira vagyunk kíváncsiak.
Adatkezelési tájékoztatót nem egyszerű készíteni, legalábbis ha minden jogszabályi kritériumnak meg kívánunk felelni.
a tájékoztatás egyszerű, szakzsargon használata nélküli legyen - ez nemcsak a jogi szövegre, hanem a szakmai tájékoztatásra is vonatkozik. A cél maga az ügyfélbarátság, azaz az adatvédelem kapcsán is mindig vegyük figyelembe, kivel állunk szemben.
az átlagfelhasználó számára is érthető legyen - még ha találunk is jogász ismerőst vagy mi búvárkodunk a paragrafusok között, akkor sem ismételhetjük meg a jogszabályt szolgai módon. Szép és hasznos dolog lehet a szó szerinti idézés, de nem ebben az esetben és az sem elfogadható, ha a lehető legdagályosabban megfogalmazott információtengerbe fojtjuk az érintetteket.
igazodjon az érintettek köréhez - törekedjünk hasonulni az érintettek nyelvhasználatához és ne csak a kulturális különbségeket vegyük figyelembe, hanem a generációsakat is (használt szókincs, stb.).
közvetlenül az egyénhez legyen eljuttatva, azaz nem dughatjuk el - a "faliújságon van a tájékoztatásunk kifüggesztve csak egy plakát véletlenül fölé került" ebben az esetben nem elfogadható magyarázkodás. Az általunk működtetett elektronikus kamerarendszerrel kapcsolatos tájékoztatónkat például illik oda kitennünk, ahol az érintettek még a megfigyelt területre belépés előtt megismerkedhetnek az adatkezelésünkkel kapcsolatos legalapvetőbb információkkal.
jól olvasható legyen - ez a követelmény vonatkozik a betűméretre (ne olyan betűnagysággal operáljunk, amelyre már látást sem élesítenek és a papírtakarékosság sem lehet indok), legyen olvasható a betűtípus is (szép lehet a folyóírás nyomtatva egy esküvői meghívón, de egy falragaszon vagy egy honlapon nem az igazi) és a strukturáltság sem árt (bekezdések, vastagítások a befogadhatóság érdekében, a faltól falig ömlesztett nyomtatást jobb, ha elfelejtjük),
minden részletre terjedjen ki (azaz ne hagyjuk ki a felét annak, amit bele kell írni), valamint
mindenképpen ismertesse a mi saját egyedi adatkezelésünket.
Ha idáig eljutottunk a követelmények átrágásában máris látható, hogy nincs egyszerű dolgunk.
A formai követelményeken túl a GDPR az alábbi tartalmi követelményeket támasztja a tájékoztatással kapcsolatban:
1. Amennyiben az érintettre vonatkozó személyes adatokat az érintettől gyűjtjük, a személyes adatok megszerzésének időpontjában az érintett rendelkezésére kell bocsátanunk a következő információk mindegyikét:
az adatkezelő adatai és elérhetősége (nevünk, e-mail és postai elérhetőségünk, telefonszámunk, holnap címünk),
a személyes adatok tervezett kezelésének célja (a lehető legkorrektebben meghatározva), valamint az adatkezelés jogalapja (lásd GDPR 6. cikk (1) bekezdés hat esetének valamelyike),
amennyiben az adatkezelés a mi vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges (kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek), abban az esetben a mi vagy harmadik fél jogos érdekei,
adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen,
adatkezelésre és adatfeldolgozásra jogosult személy,
adott esetben annak ténye, hogy harmadik országba vagy nemzetközi szervezet részére kívánjuk továbbítani a személyes adatokat,
az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat:
a személyes adatok tárolásának időtartamát, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjait,
az érintett azon jogát, hogy kérelmezheti tőlünk a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását és tiltakozhat az ilyen személyes adatok kezelése ellen,
az érintett adathordozhatósági jogát,
jogszabály által meghatározott esetekben a hozzájárulás bármely időpontban való visszavonásához való jogot, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét,
a felügyeleti hatósághoz címzett panasz benyújtásának jogát,
azt, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása,
az automatizált döntéshozatal tényét, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információkat, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír (GDPR 13. cikk (1)-(2) bekezdés).
Amennyiben a személyes adatokon a megszerzésük céljától eltérő célból további adatkezelést kívánunk végezni, a további adatkezelést megelőzően tájékoztatnunk kell az érintettet erről az eltérő célról és a jelen pontban említett minden releváns kiegészítő információról. Nem kell az érintettet tájékoztatnunk, ha és amilyen mértékben az érintett már rendelkezik az információkkal (GDPR 13. cikk (3)-(4) bekezdés).
2. Amennyiben a személyes adatokat nem az érintettől szerezzük meg, abban az esetben az érintett rendelkezésére kell bocsátanunk a következő információkat:
a mi, mint adatkezelő neve és elérhetőségei,
az adatvédelmi tisztviselő elérhetősége (ha van ilyenünk),
a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja,
az érintett személyes adatok kategóriái,
a személyes adatok címzettjei, illetve a címzettek kategóriái (ha van ilyen),
az adatok továbbításának tényét, címzettjeit,
az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat:
a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai,
abban az esetben, ha az adatkezelés a mi vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges (kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek), a mi vagy harmadik fél jogos érdekei,
az érintett azon jogát, hogy kérelmezheti tőlünk a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen,
az érintett adathordozhatósághoz való jogát,
jogszabály által meghatározott esetekben a hozzájárulás bármely időpontban való visszavonásához való jogot, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét,
felügyeleti hatósághoz címzett panasz benyújtásának jogát,
a személyes adatok forrását és adott esetben azt, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e, és
az automatizált döntéshozatal tényét (ideértve a profilalkotást is), valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információkat, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír (GDPR 14. cikk (1)-(2) bekezdés).
A tájékoztatást az alábbiak szerint kell megadnunk:
a személyes adatok kezelésének konkrét körülményeit tekintetbe véve a személyes adatok megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül,
ha a személyes adatokat az érintettel való kapcsolattartás céljára használjuk, legalább az érintettel való első kapcsolatfelvételünk alkalmával, vagy
ha várhatóan más címzettel is közöljük az adatokat, legkésőbb a személyes adatok első alkalommal való közlésekor (GDPR 14. cikk (3) bekezdés).
Amennyiben a személyes adatokon a megszerzésük céljától eltérő célból további adatkezelést kívánunk végezni, a további adatkezelést megelőzően tájékoztatnunk kell az érintettet erről az eltérő célról és a jelen pontban említett minden releváns kiegészítő információról. (GDPR 14. cikk (4) bekezdés).
Nem kell az érintettet tájékoztatnunk, ha
az érintett már rendelkezik az információkkal,
a szóban forgó információk rendelkezésre bocsátása lehetetlennek bizonyul vagy aránytalanul nagy erőfeszítést igényelne,
az adat megszerzését vagy közlését kifejezetten előírja olyan jogszabály, amely az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik, vagy
a személyes adatoknak valamely jogszabályban előírt szakmai titoktartási kötelezettség alapján (ideértve a jogszabályon alapuló titoktartási kötelezettséget is), bizalmasnak kell maradnia (GDPR 14. cikk (5) bekezdés).
Amennyiben az adatgyűjtés céljától eltérő célból történő adatkezelés nem az érintett hozzájárulásán vagy valamely vonatkozó jogszabályon alapul, annak megállapításához, hogy az eltérő célú adatkezelés összeegyeztethető-e azzal a céllal, amelyből a személyes adatokat eredetileg gyűjtötték, az alábbiakat kell irányadónak tekintetünk:
a személyes adatok gyűjtésének céljai és a tervezett további adatkezelés céljai közötti esetleges kapcsolatokat,
a személyes adatok gyűjtésének körülményeit, különös tekintettel az érintettek és a Kamara közötti kapcsolatokra,
a személyes adatok jellegét, különösen pedig azt, hogy a személyes adatok különleges kategóriáinak kezeléséről van-e szó
azt, hogy az érintettekre nézve milyen esetleges következményekkel járna az adatok tervezett további kezelése,
megfelelő garanciák meglétét, ami jelenthet titkosítást vagy álnevesítést is.
Ezek után csodálkozunk, hogy egy egyszerű honlap előzetes tájékoztatója akár 9-10 oldal is lehet? De a munkavállalók internethasználatának ellenőrzésével kapcsolatos tájékoztatót sem ússzuk meg egy oldallal, hiszen a nyolcas betűnagyság extra szűk betűtípussal meg a lap élére írás hatóságilag kilőve. És csak reménykedhetünk, hogy a Hatóság szerint is majdnem tökéletes a művünk (amennyiben vizsgálja, mit sikerült összehoznunk).
Felmerül a kérdés, hogy hol legyen lehelyezve az adatkezelési tájékoztatónk? Ha van honlapunk, akkor el kell helyeznünk azon (de nem eldugva valahová egy sarokba, hanem fejlécből/láblécből közvetlenül elérhető módon), ha nincs netes megjelenésünk, akkor a székhelyünkön, üzletünkben stb. kell ilyet kinyomtatva tartanunk annak érdekében, hogy bármikor, bárkinek oda tudjuk adni tanulmányozás céljából.
A különböző témájú rövidebb tájékoztatóinkban is utalhatunk a hosszabbra és részletesebbre, de ez nem azt jeleni, hogy az adatkezelési tájékoztatóra hivatkozással teljes mértékben megúszhatjuk a konkrét adatkezeléssel kapcsolatos előzetes tájékoztatást.
dr. Albert Ágota adatbiztonsági és adatvédelmi szakjogász, adatvédelmi tisztviselő
areudirty
annaxmalina
baratheonpilled
izzy806
andulkaphoto
tangentwithtanner