Publication: Magyar Közlöny
Issue: MK-2005-87 (Year: 2005, Number: 87)
Era: 2004-2010
Section: 1995. évi XCVI. törvény kiszervezésre vonatkozó rendelkezései összeegyeztethetõk-e a személyes adatok védelmének
Paragraph Index: 620

1995. évi XCVI. törvény kiszervezésre vonatkozó rendelkezései összeegyeztethetõk-e a személyes adatok védelmének szabályaival. Az Országgyûlés által elfogadott módosítások értelmében a hitelintézeti, biztosítási stb. szervek az adatkezelést, az adatfeldolgozást és az adattovábbítást szervezhetik ki, azaz végeztethetik mással. Ez nem egyeztethetõ össze az Avtv. adatkezelést és adatfeldolgozást értelmezõ rendelkezéseivel, tekintettel arra, hogy az adatfeldolgozás az Avtv. értelmében eleve olyan tevékenység, amelyet az adatkezelõ mással végeztet, ezért az adatfeldolgozás kiszervezése az Avtv. szabályai alapján nem értelmezhetõ. Felhívta továbbá a biztos a figyelmet arra is, hogy ha a tervezet az adatfeldolgozás kiszervezésével arra kíván lehetõséget biztosítani, hogy az adatfeldolgozó más adatfeldolgozót vehessen igénybe, ez ellentétes az Avtv. 4/A. §-ának (2) bekezdésével, mely ezt kifejezetten tiltja. Az adatfeldolgozó az adatkezelési mûveletek, technikai feladatok végzéséhez nem vehet igénybe alvállalkozót. Ha az adatkezelés kiszervezése miatt nem ugyanaz a szerv minõsül adatkezelõnek, amellyel az adatalany szerzõdéses kapcsolatba lépett, továbbá nincs elõírva az érintett tájékoztatása a kiszervezés folytán adatkezelõnek minõsülõ szervrõl, akkor sérül az adatalany joga arra, hogy adatai kezelésének, feldolgozásának útját nyomon kísérje. Alapvetõen már az is kétséges, hogy az adatkezelés olyan tevékenység-e, amely jellegénél fogva alkalmas lenne a kiszervezésre, hiszen a hitelintézet, biztosítóintézet stb. által ellátott adatkezelés általában olyan szoros összefüggésben van a nevezett szervek alaptevékenységével, hogy az adatkezelés kiszervezése magának a hitelintézeti, biztosítóintézeti tevékenységnek a kiszervezése nélkül szinte elképzelhetetlen. Ha pedig csak egyes adatkezelési mûveletek, tevékenységek kiszervezésére kerül sor, akkor ez nem az adatkezelés kiszervezésének, hanem az Avtv. 2. § 4. b) pontjában meghatározott adatfeldolgozásnak minõsül. (1660/J/2004) 2005/87/II. szám Igaz, hogy az alábbi ügytípusban csak egyetlen beadvány érkezett az év folyamán, mivel azonban hitelintézeteknél eddig még nem fordult elõ hasonló, „beajánlásos” eset, mindenképpen szükséges megemlíteni, hogy egy panaszos azért fordult a biztoshoz, mivel egy bank munkatársai – termékek, szolgáltatások ajánlása céljából – keresték fel munkahelyén. Kérdésére – mely arra irányult, hogy nevét és munkahelyi telefonszámát milyen forrásból szerezték – elõször azt a választ kapta, hogy a bank valamelyik ügyfele egy erre rendszeresített ûrlapon adta meg adatait. A bank késõbb azt is közölte a panaszossal, hogy adatait „munkahelyének internetes honlapjáról is vehették”. Amennyiben az adatokat a bank ügyfele szolgáltatta, úgy az ajánló adatkezelõnek minõsül, aki személyes adatok továbbítását végzi harmadik személy (bank) részére. Az ajánló az érintett személyes adatát az Avtv. alapján csak abban az esetben továbbíthatja, ha ahhoz az érintett hozzájárult. A panaszos levelében utalt arra, hogy a hitelintézet által rendszeresített ûrlapon az ajánló nyilatkozik arra nézve, hogy az ajánlott személyt tájékoztatta, és elõzetes hozzájárulását kérte személyes adatai továbbításához. Egy ilyen tartalmú nyilatkozat megfelelõ jogalapot teremthet az adattovábbítás címzettjének. A bizonyítási teher azonban az adatkezelõt terheli, és minden olyan esetben, amikor kétség merül fel a hozzájárulást illetõen, az Avtv. 3. § (4) bekezdése szerint azt kell vélelmezni, hogy az érintett hozzájárulását nem adta meg. A második lehetõség, mely szerint a hitelintézet az érintett személyes adatait (név, munkahely, munkahelyi telefonszám) munkahelyének internetes honlapja segítségével szerezte meg, adatvédelmi szempontból szintén aggályos. A bárki által megismerhetõ adatok nyilvánosságra kerülésének ténye – adott esetben az interneten való megjelenítés – önmagában nem jár azzal, hogy az adatkezelõ mentesül a célhoz kötött adatkezelés követelménye alól. A nyilvánosságra hozott személyes adatokat is csak meghatározott célból, jog gyakorlása és kötelezettség teljesítése érdekében lehet felhasználni, és az adatkezelésnek minden szakaszában meg kell felelnie e célnak. Így a munkáltató honlapján nyilvánosságra hozott személyes adatok – a biztos álláspontja szerint – nem használhatók fel közvetlen üzletszerzési célra. (294/A/2004) Az adatvédelmi biztos és a PSZÁF sikeres együttmûködését példázza a következõ eset. Állampolgári beadvány nyomán vizsgálta a biztos egy bank által rendszeresített, a pénzmosás megelõzésérõl és megakadályozásáról szóló 2003. évi XV. törvény (a továbbiakban: Pmt.) rendelkezéseinek végrehajtását célzó formanyomtatvány adattartalmát. A vizsgálat során megállapítást nyert, hogy az adatszolgáltatásra felhívó levél és az adatlap adattartalma nem felel meg az Avtv. rendelkezéseinek. A bank az adatszolgáltatásra felhívó levelében – a fenti törvényre hivatkozva – tájékoztatta ügyfeleit, hogy a bank nyilvántartásaiban ügyfeleit a törvénynek megfelelõ adattartalommal kell azonosítania. A levélhez mellékelt formanyomtatványon („Szerzõdés bankszámla megnyitására és lakossági banki szolgáltatások nyújtására”) azonban olyan személyes adatok is megtalálhatók voltak (például adóazonosító jel, munkahely, foglalkozás, munkaviszony kezdete, családi állapot, eltartottak száma, telefonszámok, iskolai végzettség), amelyek nem szerepeltek sem a fenti tájékoztatóban, sem pedig a Pmt. 5. §-ában. Ezen adatok vonatkozásában a bank levele nem adott semmilyen tájékoztatást az adatkezelés céljáról, és ezen adatkör kitöltése tekintetében az önkéntességre sem hívta fel ügyfelei figyelmét. A bank csak a kérdõív teljes kitöltését fogadta el az adatszolgáltatás teljesítéseként, mely megkérdõjelezte annak tényleges önkéntességét. A fentiekre tekintettel a biztos felszólította a bankot, hogy a már kitöltött és bankhoz eljuttatott adatlapok kifogásolt rovataiban szereplõ ügyféladatokat mind a nyomtatványon, mind pedig elektronikus adatbázisukból töröljék, és a jövõben rendszeresítsenek új adatlapokat, amelyeken kizárólag a törvény által meghatározott adatok közlését kérik. Mivel a bank nem tett eleget a biztos felszólításának, ezért a biztos a PSZÁF elnökéhez fordult és kérte, hogy felügyeleti jogkörében eljárva tegye meg a szükséges intézkedéseket. A PSZÁF a megkeresés alapján a banknál célvizsgálatot folytatott le, melynek végeztével megállapította, hogy a bank valóban jogellenesen végezte a leírt „adatgyûjtést”. (1536/A/2003) Biztosítók Az elmúlt évi beszámoló nem tartalmazott külön fejezetet a biztosítók adatkezelésével kapcsolatban, ez a 2004. évrõl szóló beszámolóban azonban elkerülhetetlenné vált. Mind a tavalyi, mind az idei évben többen kifogásolták az útlemondási biztosításokkal kapcsolatos ügyintézés menetét. A nyári idõszakban azért fordultak az adatvédelmi biztoshoz, mert sérelmesnek találták a biztosítótársaságok azon eljárását, mely szerint a teljesítés feltételéül olyan adatok, dokumentumok szolgáltatását szabják, amelyek nem szükségesek ahhoz, hogy a biztosítási esemény bekövetkezését bizonyítani lehessen. A két vizsgált biztosító megkövetelte például a kezelõkarton (ambuláns lap), illetve a hagyatékátadó végzés csatolását. Az ambuláns lapon a biztosítási esemény bizonyításához szükségtelen személyes adatok is szerepelnek (például gyógyszerérzékenység, vérzékenység, transzfúzió, korábbi mûtétek, abortusz, a beteg HIV-pozitív-e). A hagyatékátadó végzésben feltüntetett adatok többsége (például az örökös, valamint örököstársai által örökölt dolgok megnevezése, értéke) szintén nem elengedhetetlen a biztosítási esemény bizonyításához. A biztosítók említett gyakorlata sértette a célhoz kötött adatkezelés követelményét, ezért az adatvédelmi biztos arra szólította fel a biztosítókat, hogy hívják fel ügyfeleik figyelmét arra, hogy a becsato- 2005/87/II. szám landó dokumentumokon a biztosítási esemény bizonyításához nem szükséges adatokat olvashatatlanná tehetik, és ez nem befolyásolhatja a kárigény elbírálását. Szintén a célhoz kötött adatkezelés elvét sértette a szolgáltatási igénybejelentõ azon fordulata, melyben az ügyfél úgy nyilatkozik, hogy „egyúttal felmentem a személyes és egészségügyi adataimat kezelõ intézményeket, illetve személyeket a titoktartási kötelezettség alól”. Az egészségügyi adatok szélesebb körû feltárását lehetõvé tevõ nyilatkozat az eredeti célon túlmutató adatkezelésre adott felhatalmazást, ezért a nyilatkozat ezen részét a nyomtatványról indokoltnak tartotta törölni az adatvédelmi biztos. (1194/A/2003, 1102/A/2004) A biztosítók esetében is visszatérõ probléma az okmányok fénymásolásának gyakorlata. Egy állampolgár azért juttatott el beadványt a biztoshoz, mert az egyik biztosítónál azt tapasztalta, hogy nemcsak személyazonosító igazolványát, hanem forgalmi engedélyét, új típusú jogosítványát, gépjármû törzskönyvét hozzájárulása nélkül lefénymásolták, és az ügyintézéshez kapcsolódó dokumentumokhoz csatolták. Az adatvédelmi biztos az ügy kapcsán úgy foglalt állást, hogy az ügymenet oldalán megjelenõ célszerûségi szempontok nem korlátozhatják az érintettek információs önrendelkezési jogát, ennek megfelelõen az okmánymásolások gyakorlata nem lehet automatikus, független az ügyfelek szándékától és hozzájárulásától. Az ügyben született állásfoglalás a mellékletekben olvasható. (8/A/2004) Az okmányok fénymásolása nemcsak a célhoz kötött adatkezelés elvét sérti, hanem a képmás kezelése miatt az adatkör tekintetében is jogellenessé teszi az adatkezelést: a képmás is személyes adat, mely törvényi felhatalmazás hiányában csak az érintett beleegyezésével kezelhetõ. Az okmányok hitelességének ellenõrzése sem teszi szükségessé a másolatok készítését: a BM Központi Hivatala ugyanis a személyazonosító igazolvány száma alapján, a felhasználás céljának és jogalapjának igazolása esetén az igazolvány érvényességének, elvesztésének, ellopásának, megsemmisülésének, találásának, megkerülésének tényérõl adatot szolgáltat.

Source: https://magyarkozlony.hu/hivatalos-lapok/a1baeb2c3ae420d7f93ac846fca04ff8aec8b581/dokumentumok/792965bea6f523a4bbd4d42bf2a102bca75ef3a6/letoltes