Az adatkezelés jogalapjai III. rész - A szerződéses jogalap és más jogalapok kapcsolata

Ebben a részben még maradok a szerződéses jogalapnál és megvizsgálom a további jogalapokkal fennálló viszonyait.

Ahogyan azt az előző részben már kifejtettem, a szerződéses jogalap két esetkört foglal magában, a szerződéskötést megelőző lépések megtételét az adatalany (érintett) kérésére és az érintettel megkötött szerződés teljesítését, ezeket együttesen szoktuk szerződéses jogalapnak nevezni.

A hozzájárulás és a szerződéses jogalap kapcsolata

A szerződéses jogalap főszabály szerint az érintett hozzájárulásától függetlenül alkalmazható, vagyis a szerződéses jogalapon végzett adatkezeléshez nem kell az érintett hozzájárulását beszerezni. Fontos azonban, hogy a szerződéses jogalapot nem lehet olyan személyes adatokra is  kiterjeszteni, mely személyes adatokra valójában nincs szükség az érintettel megkötött szerződés teljesítéséhez vagy előzetes lépések megtételéhez.

Ezért nem fogadható el az adatkezelőktől olyan gyakorlat, miszerint hozzájárulást kérnek az érintettektől személyes adataik szerződés teljesítése (szerződéskötést megelőzős lépések megtétetel) érdekében történő kezeléséhez. Ez a gyakorlat online és offline értékesítés esetén is  jogszabálysértő (sérül az átláthatóság követelménye) és egyben megtévesztő, mivel az érintettek számára nem egyértelmű, hogy akkor pontosan milyen jogalapon történik a szerződéses adataik kezelése, hozzájárulás vagy szerződéses jogalapon. 

Mint ahogyan a korábbi cikkekben már jeleztem, az adatkezelőnek egy jogalapot lehet és kell megjelölnie a konkrét adatkezelési cél tekintetében.

Speciális szabályok vonatkoznak a különleges  adatok kezelésére. Ezek olyan a személyes adatok körén belül található személyes adatok, melyek kezelése alap esetben tilos, az adatkezeléshez a megfelelő jogalap fennállása mellett  a GDPR-ban felsorolt többlet feltételek valamelyikének fennállására is szükség van.

Ilyen többlet feltétel például az érintett kifejezett hozzájárulása vagy jogi igények előterjesztése, érvényesítése körülmény fennállása.

Különleges adatok a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok.

Amennyiben a szerződés teljesítéséhez különleges adat kezelése szükséges, akkor a szerződéses jogalap mellett a többlet feltételek közül legalább egynek teljesülnie kell ahhoz, hogy a különleges adatok kezelése jogszerű legyen. Például be kell szerezni az érintett kifejezett hozzájárulását, erre sor kerülhet a szerződésen keresztül vagy külön dokumentumban.

A különleges adatokra vonatkozó kifejezett hozzájárulás nem keverendő össze a hozzájárulással, mint adatkezelési jogalappal.

A jogi kötelezettség és a szerződéses jogalap kapcsolata

Nagyon fontos követelmény, hogy ha valamely adatkezelést magyar vagy uniós jog ír elő az adatkezelő számára, de egyébként az adatkezelő és az érintett között szerződéses jogviszony is fennáll, az adatkezelés jogalapja akkor is jogi kötelezettség lesz.

Amennyiben a jogi kötelezettség megállapítható, akkor az megelőzi a szerződéses jogalapot. Nem jelentenek azonban jogi kötelezettséget a szakmai ajánlások, állásfoglalások, körlevelek, jogegységi határozatok stb.

Munkaviszony létesítése esetén például adójogi és egyéb jogszabályok írnak elő bejelentési és adatszolgáltatási kötelezettséget a munkáltató mint adatkezelő számára, ezeket a személyes adatokat a munkáltató jogi kötelezettség teljesítése jogalapon kezeli és nem a munkaszerződés teljesítése érdekében szerződéses jogalapon.

De ugyanez a helyzet például hitelintézettel történő szerződéskötéskor is, a pénzmosási jogszabályok kötelezően előírnak bizonyos ügyfél és ügylet azonosítási kötelezettséget a hitelintézet számára, melyek elvégzése személyes adatok kezelésével járnak. Itt szintén jogi kötelezettségek teljesítéséről beszélhetünk. Az egyéb belső banki szabályzatok szerinti kockázatfelmérés és kezelés azonban már nem esik ebbe a körbe.

Közérdekű feladat ellátása, közhatalom gyakorlása és a szerződéses jogalap

Ez a jogalap a NAIH gyakorlata szerint magába olvasztja a szerződéses jogalapot, hiszen a közfeladatot ellátó szervek, hivatalok (pl. iskolás, óvodák, közintézmények, minisztériumok stb.) valamennyi tevékenységüket a jogszabályokban meghatározott közfeladataik ellátása érdekében fejtik ki , ezért a szerződéses jogviszonyaik teljesítéséhez szükséges adatkezelésekre nem lehet a szerződéses jogalapot alkalmazni.

Jogos érdek és a szerződéses jogalap kapcsolata

A jogos érdek jogalap alapvetéseit egy korábbi cikkben már taglaltam, itt csak összemérem a két jogalapot. Jogos érdek jogalap alkalmazására sor kerülhet szerződéses jogalap helyett vagy szerződéses jogalap mellett.

Előbbi esetre példa, ha nem az érintett keresi meg az adatkezelőt szerződéskötést megelőző lépések megtétele (ajánlatkérés, előzetes felmérés, kalkuláció stb.) érdekében, hanem pont fordítva, az adatkezelő keresi meg az érintettet szerződéskötést megelőző lépések megtétele érdekében. Személyesen felkeresi érintettet a lakásán, hogy felmérje anyagi helyzetét egy esetleges életbiztosítási szerződés megkötése érdekében. Ebben az esetben a szerződéses jogalap szerződéskötést megelőző lépések megtétele esetkör nem alkalmazható, hiszen nem az érintett kereste meg az adatkezelőt. (Amennyiben az életbiztosítás szerződés megkötésre kerül, akkor már a szerződés teljesítése esetkört kell alkalmazni.)

Az utóbbira példa, ha az adatkezelő több célból kezeli az érintett valamely személyes adatát. Például a munkáltató belső szabályzata szerint, weboldalán közzéteszi valamennyi munkatársa nevét és fényképét. Az új belépők tekintetében a munkába állás napján kerül sor a közzétételre, erről az érintettek szerződéskötést megelőzően tájékoztatást kapnak. Ebben a példában az érintett munkavállaló nevét a munkáltató egyrészt szerződéskötés és szerződés teljesítése céljából kezeli (az adójogi szabályok szerinti előírásokat jogi kötelezettség teljesítése jogalapon végzi), másrészt a vállalkozás népszerűsítése, ismertsége, átláthatósága érdekében a saját fennálló jogos érdeke jogalapon is kezeli a személyes adatokat (feltéve, hogy a szükséges érdekmérlegelési teszt eredményeként a vállalkozás érdekei élveznek elsőbbséget a munkatársak jogaival és érdekeivel szemben).

Összegzés

Összegzésként elmondható, hogy az adatkezelési jogalapok szövevényes hálózatot képeznek, és mindig a konkrét esetre, helyzetre kell őket vonatkoztatni, értelmezni és alkalmazni. Egy tényállási elem vagy körülmény megváltozása is eredményezhet jogalap változást.

Írta: dr. Angelmayer-Szép Bernadett