Az adatkezelés jogalapjai II. rész - A szerződéses jogalap

A szerződéses jogalap valójában két esetet foglal magában, vagyis az adatkezelők két esetben is alkalmazhatják ezt a jogalapot.

• Az első esetkör, ha az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az adatalany (érintett) az egyik fél [az érintettel kötött szerződés teljesítése].
• A második esetkör, ha az adatkezelés a szerződés megkötését megelőzően bizonyos lépéseknek az adatalany (érintett) kérésére történő megtételéhez szükséges [szerződéskötést megelőző lépések megtétele].

Mivel a szerződéskötést megelőző lépések megtétele logikailag és időben is megelőzi a szerződés teljesítését, ezért az előbbivel kezdem a sort.

A szerződéskötést megelőző lépések megtétele

Természetesen nem törvényszerű, hogy a szerződéskötést megelőző lépések megtétele után szerződéskötésre kerül sor, ha az érintett végül úgy dönt, hogy nem veszi igénybe az adatkezelő szolgáltatásait, akkor az adatkezelés itt véget is ér és a továbbiakban nem beszélhetünk szerződés teljesítése jogalapról – jelen cikkben viszont egy ideáltipikus folyamaton megyek végig.

Fontos figyelemmel lenni arra, hogy a szerződéskötést megelőző lépések megtétele esetkör csak abban az esetben alkalmazható, ha az érintett keresi meg az adatkezelőt, az érintett veszi fel közvetlenül a kapcsolatot az adatkezelővel, mégpedig abból a célból, hogy az adatkezelő végezzen el valamely a szerződéskötéshez szükséges lépést. A kapcsolatfelvétel bármilyen csatornán történhet.

Például az érintett árajánlatot kér az adatkezelőtől e-mailben. Attól függően, hogy az érintett mire szeretne árajánlatot kérni, szükség lehet előzetes felmérésére (pl. építési-szerelési, kivitelezési szerződés, javítás vagy valamilyen karbantartás), adatok felvételére és elemzésére (előzetes hitelbírálat, biztosítási alkusz szerződés stb.).

A jogalap akkor is alkalmazható, ha végül a felek között nem jön létre szerződés, viszont ügyelni kell arra, hogy csak olyan személyes adatot szabad elkérni az ajánlatkérőtől (érintettől), amire valóban szükség van az előzetes lépések, az árajánlat/felmérés/előzetes kalkuláció elkészítéséhez.

Itt is be kell tartani a célhoz kötöttség, szükségesség, arányosság, adattakarékosság követelményeit. Nem lehet ezt az esetkört kiterjesztően alkalmazni és számtalan olyan személyes adatot begyűjteni, amire valójában nincs is szükség. Netán azokat marketing célokra felhasználni.

Ez az esetkör tehát mindaddig alkalmazható, amíg az érintett a szerződéskötés lehetőségével összefüggésben terjeszti elő kérését és az adatkezelés az érintett által kért lépések megtételéhez szükséges.

Nem alkalmazható viszont abban az esetben, ha maga az adatkezelő keresi meg közvetlenül az érintettet szerződéskötést megelőző lépések érdekében. Ebben az esetben két jogalap jöhet szóba, az érintett hozzájárulása vagy az adatkezelő (harmadik fél) jogos érdeke.

[Az érintett hozzájárulása kapcsán ide kattintva olvashatsz bővebben, a jogos érdek jogalapról pedig a későbbiek során lesz majd egy átfogó cikk. Korábban már érintettem a témát az érdekmérlegelés kapcsán, ezt a cikket ide kattintva éred el.]

Az érintettel kötött szerződés teljesítése

Az, hogy milyen adatkezelésekre lehet alkalmazni a szerződés teljesítése jogalapot, mindig az adott szerződés tartalmától függ. Objektíven és megszorítóan kell alkalmazni ezt az esetet, számtalan alkalommal kiderült hatósági vizsgálatok során, hogy az adatkezelők szeretnek erre az esetre hivatkozással olyan személyes adatokat is begyűjteni és kezelni, melyek a konkrét szerződés teljesítéséhez valójában nem kellenek.

Az, hogy az adatkezelő az ÁSZF-ben előírja bizonyos személyes adatok megadását a szerződéskötéshez és teljesítéshez, még nem jelenti azt, hogy szabályosan járna el, ezért én óvva intek mindenkit attól, hogy az általános szerződési feltételeibe ilyen rendelkezéseket vegyen fel. Egyáltalán, az ÁSZF-ben nem javaslom adatkezelésre vonatkozó rendelkezések felvételét.

Vizsgálandó körülmény az is, hogy az érintett mire számít a konkrét szerződés vonatkozásában. Például ha az érintett interneten vásárol egy laptopot házhoz szállítást kérve, akkor ésszerűen arra számít, hogy azért kezelik a nevét, e-mail címét és lakcímét, hogy teljesítsék részére az adásvételi szerződést, ennek keretében e-mailben értesítsék a kiszállítás várható időpontjáról, majd kiszállítsák neki a laptopot.

Ha mindezek után elkezd e-mailben, sms-ben vagy postai úton akciós újságot, üzenetet kapni laptopokról, akkor egyértelmű, hogy erre már nem számíthatott, és ez nem is fér bele a szerződés teljesítése jogalapba, hiszen ez már gazdasági reklámnak minősül, amihez a vásárló előzetes és kifejezett hozzájárulását kellett volna kérni.

De például, ha a vásárló személyes átvételt kér, akkor a szállítási címet nem lehet szerződéses jogalapon kezelni, sőt egyáltalán nem lehet kezelni, a szállítási címre nincs szükség, mivel a vásárló személyesen fogja átvenni a laptopot az üzletben.

Összefoglalva tehát, ha az adatkezelés szerződés teljesítése jogalapon történik, akkor az adatkezelő köteles bizonyítani, hogy a személyes adatok nélkül lehetetlen lenne számára a szerződés végrehajtása. Vagyis az adatkezelés és a konkrét szerződés között közvetlen kapcsolatnak kell lennie.

Az esetkör alkalmazásához nem szükséges, hogy az érintett maga kösse meg a szerződést, a GDPR azt írja elő, hogy az érintett legyen az egyik fél. Természetesen az esetek többségében a szerződő fél ez a személy, de vannak olyan szerződések is, ahol nem szerződő személyre nézve valamilyen kedvezményt tartalmaz a szerződés (pl. életbiztosítás, takarékbetét stb.).

Ha jogszabály szerződéskötési kötelezettséget ír elő az adatkezelő számára (pl. egyetemes közüzemi szolgáltatásoknál), akkor szintén alkalmazható ez az esetkör.

Nem alkalmazható viszont munkaszerződéseknél, a munkáltatót terhelő NAV adatszolgáltatási kötelezettségekre, hiszen azokat jogszabály írja elő. Itt a megfelelő jogalap a jogi kötelezettség.

Az esetkör alkalmazásának feltétele, hogy a szerződés érvényes és hatályos legyen. Amennyiben a szerződés megszűnt, akkor ez az esetkör már nem alkalmazható, mivel megszűnt az adatkezelési cél, vagyis a szerződés teljesítése. Megszűnt szerződést nem lehet teljesíteni.

Ha az érintett eláll a szerződéstől, akkor a termék visszaküldése és a vételár visszafizetése azonban történhet ezen a jogalapon.

Felmerülhet kérdésként, hogy mi van a tartozások behajtása érdekében küldött fizetési emlékeztető/felhívás/felszólítás jogalapjával. Ez attól függ, hogy a szerződés fennáll-e a felek között vagy sem.

Amennyiben a szerződés még fennáll a felek között, akkor szerződés teljesítése jogalapon küldhető fizetési emlékeztető/felszólítás az érintettnek.

Amennyiben a fizetés elmulasztása miatt egyébként a szerződés már megszűnt (pl. az adatkezelő felmondta), akkor a szerződés teljesítése jogalap már nem megfelelő a követelésbehajtáshoz. Az adatkezelő jogos érdeke alapozhatja meg a követelésbehajtás érdekében történő adatkezelést.

Összegzés

Összegezve tehát a fentieket, átgondoltan és körültekintően kell eljárni a szerződéses jogalap esetköreinek alkalmazása során.

Már az adatkezelés tervezési szakaszában, a vállalkozásindítás során át kell gondolni, hogy milyen tartalmú szerződéseket fog az adatkezelő megkötni, milyen feltételekkel és azokhoz milyen személyes adatokra van szükség. 

Ami elsőre szükségesnek tűnhet, nem biztos hogy később valóban igazolást nyer.

Ha az adatkezelő alternatív választási lehetőségeket kínál a vásárlóknak (pl. az átvétel, szállítás, fizetés módja tekintetében), akkor minden egyes felkínált alternatív választási lehetőségre külön-külön meg kell határozni a szerződés teljesítéséhez szükséges személyes adatokat.