Az adatkezelés jogalapjai IV. rész - Jogi kötelezettség
Folytatva az adatkezelési jogalapokat, ebben a részben a jogi kötelezettség jogalapot szeretném kicsit részletesebben bemutatni. Elsőként nézzük meg, hogy mit értünk adatkezelési szempontból jogi kötelezettség alatt.
A jogi kötelezettség fogalma a GDPR alkalmazásában
Jogi kötelezettség alatt azt a magyar és az uniós jogot kell érteni, amely valamilyen kötelezettséget ír elő az adatkezelő számára. Jogi kötelezettség jogalapra lehet hivatkozni akkor is, ha az adatkezelő valamely uniós tagállam jogát is köteles alkalmazni.
Viszont a nemzetközi szerződésben, vagy unión kívüli harmadik ország jogában foglaltak esetén nem lehet jogi kötelezettség jogalapot alkalmazni a GDPR rendszerében.
Magyar jog alatt elsősorban a törvényeket kell érteni, de ide tartoznak a kormány, a kormány tagjai (miniszterek), önkormányzatok és egyéb rendeletalkotási joggal rendelkező szervezeti vezetők (pl. MNB elnöke, NMHH elnöke, MEKH elnöke stb.) rendeletei is, ezeket az adatkezelőnek alkalmaznia kell.
A NAIH gyakorlata során vizsgálta a törvénynél alacsonyabb szinten álló rendeletek esetköreit és arra a megállapításra jutott, hogy ezen jogszabályok esetén is elfogadható a jogi kötelezettség jogalapra hivatkozás, hiszen a jogalanyok kötelesek a hatályban lévő magyar rendeleteket alkalmazni, egészen addig, amíg a jogalkotó azt vissza nem vonja (hatályon kívül helyezi) vagy az Alkotmánybíróság eltérően nem rendelkezik.
Az adatkezelőre nézve szintén jogi kötelezettségnek tekinthető, ha bíróság, hatóság kötelezte őt valamely személyes adatokat tartalmazó dokumentum benyújtására, továbbítására.
Ezzel szemben nem keletkeztetnek közvetlen jogi kötelezettséget az ajánlások, iránymutatások, körlevelek, utasítások, ahogyan a Kúria által kiadott jogegységi határozatok sem (a jogegységi határozatok a bíróságokra nézve kötelezően), vagyis ezekre nem lehet hivatkozni közvetlen jogi kötelezettség forrásaként.
A magyar jog sajátosságai
A magyar jogot két csoportra lehet osztani.
Az egyik csoportba tartoznak azok a magyar jogi rendelkezések, amelyek meghatározzák az adatkezelés minden elemét, a kezelendő személyes adatok fajtáit, az adatkezelés kötelező időtartamát, az adatkezelés körülményeit. Ilyenek például a közszolgálati jogviszony létesítésével kapcsolatos adatkezelések, adójogi jogviszonnyal kapcsolatos rendelkezések.
A másik csoportba azok a jogi rendelkezések tartoznak, melyek előírnak valamilyen kötelezettséget az adatkezelő számára, de nem határozzák meg a kötelezettség teljesítéséhez esetlegesen szükséges személyes adatok kezelésének részleteit, körülményeit. Ilyen magyar jogi rendelkezés például a számviteli bizonylat megőrzési kötelezettség vagy a munkáltató által vezetendő munkaidő-nyilvántartással kapcsolatos adatkezelés.
Amennyiben a magyar jog csak jogi kötelezettséget ír elő, de az annak teljesítéséhez szükséges adatkezelés körülményei hiányoznak, akkor az adatkezelő felelőssége, hogy megvizsgálja pontosan milyen személyes adatok kezelése szükséges a jogi kötelezettség teljesítéséhez, egyáltalán szükség van-e személyes adatok kezelésére.
Ha az adatkezelő arra a megállapításra jut, hogy személyes adatok kezelése nélkül is tudja teljesíteni a magyar jog által részére előírt kötelezettséget, akkor nincs helye adatkezelésnek, így jogi kötelezettség jogalapra hivatkozásnak sem.
A jogi kötelezettség és a nevesített jogos érdek elhatárolása
Vannak olyan magyar jogi rendelkezések is, amelyek csak felhatalmazást adnak bizonyos jogalanyoknak valamilyen tevékenység végzésére. Értelemszerűen ezek nem minősülnek jogi kötelezettségnek.
Nevesített jogos érdekeknek nevezik, amikor az arra felhatalmazott maga döntheti el, hogy gyakorolja a jog által lehetővé tett tevékenységet vagy sem. Ilyen például a munkáltató ellenőrzési joga (amit nem kötelező gyakorolni), a társasházak kamera létesítési és üzemeltetési lehetősége, vagy a hitelintézetek esetében a banktitok kiadása harmadik személynek a követelés eladása vagy érvényesítése érdekében.
Ezek egyike sem minősül jogi kötelezettségnek, szabad döntés tárgya, hogy a jogalany él a magyar jog által adott lehetőséggel vagy sem. Mivel ennek eldöntéséhez a jogalany mérlegeli a saját érdekeit és csak akkor fog élni a magyar jog által adta lehetőséggel, ha az a saját céljait szolgálja, érdekeit előmozdítja, ezért ezekben az esetekben a jogos érdek lesz a megfelelő adatkezelési jogalap.
A jogi kötelezettséget megalapozó jogszabály feltüntetése
Fontos, hogy amennyiben az adatkezelő jogi kötelezettség jogalapra hivatkozik, akkor meg kell jelölni a konkrét magyar vagy uniós jogot (száma, neve, paragrafus, bekezdés, pont pontossággal) is, ezt nem szabad kihagyni az adatkezelési tájékoztatóból.
Nem szabad azt sem elfelejteni, ha változik a jogi kötelezettséget előíró jog tartalma, akkor felül kell vizsgálni az adatkezelési tájékoztatót és az adatkezelési gyakorlatot is.
Az is előfordulhat, hogy a jogi kötelezettség megszűnik, mert a magyar vagy uniós jogot hatályon kívül helyezték, akkor azt törölni kell az adatkezelési tájékoztatóból.
De új jogi kötelezettség is jöhet a meglévők mellé, amikor szintén felül kell vizsgálni az adatkezelési tájékoztatót és az adatkezelési gyakorlatot is.
Írta: dr. Angelmayer-Szép Bernadett