Publication: Magyar Közlöny
Issue: MK-1999-18 (Year: 1999, Number: 18)
Era: 1990-2004
Section: 1997. évi LXXII. törvény által beiktatott új szabály szerint a
Paragraph Index: 878

3. Az adatvédelmi biztos munkájának segítése A nyilvántartás az adatvédelmi biztos napi gyakorlati munkájának egyik legfontosabb segédeszköze. A nyilvántartásra támaszkodva könnyebb és hatékonyabb egyes ellenőrzések előkészítése, átfogó témavizsgálatok végzése. A nyilvántartás hatálya Az Adatvédelmi Nyilvántartásba való bejelentkezés minden személyesadat-kezelő számára kötelező. Az igazsághoz tartozik, hogy jelenlegi feltöltöttsége mellett a nyilvántartás még nem képes betölteni feladatait. A megtörtént bejelentkezések száma alapján joggal feltételezhető, hogy az adatkezelők nagy hányada — az ismételt felhívások ellenére is — mindeddig adós maradt törvényes kötelezettsége teljesítésével. 1999/18/II. szám Az adatvédelmi biztos a nyilvántartásba vételt nem tagadhatja meg, de ha törvénysértő adatkezelést észlel, már a bejelentkezéssel egy időben megteheti a szükséges intézkedéseket. A bejelentés elmaradása esetén az adatkezelőnek büntetőjogi jogkövetkezményekkel is számolnia kell, mulasztásával ugyanis megvalósítja a Btk. 177/A. §-ának c) pontjába ütköző jogosulatlan adatkezelés vétségét, mely a törvény szerint egy évig terjedő szabadságvesztéssel, közérdekű munkával vagy pénzbüntetéssel büntetendő. Az adatvédelmi biztos eddig még nem kezdeményezte e büntetőjogi eszközök alkalmazását. A nyilvántartás tárgya Az Adatvédelmi Nyilvántartás kialakításánál az egyik kulcsprobléma a nyilvántartás alapegységének meghatározása. Ez lehet az adatkezelő éppúgy mint az adatkezelés. Adatkezelő az a szerv vagy személy, aki/amely az adatkezelés céljának megvalósulásáért és működésének törvényességéért a felelősséget viseli. Az első bejelentkezéskor a törvény előírása szerint az adatkezelő nyilvántartási számot kap, melyet a továbbiakban minden adattovábbításnál, nyilvánosságra hozatalnál és az érintett részére történő adatkiadásnál fel kell tüntetnie. A nyilvántartás tárgya lehet a személyes adatokat tartalmazó adatkezelés is. Egy adatkezelést nem az adatkezelővel, hanem sokkal inkább azzal a céllal jellemezhetünk, melynek érdekében az adott adatkezelés létrejött. Csak akkor beszélhetünk legális adatkezelésről, ha létezik ilyen cél. Az adatvédelmi nyilvántartásba ezeket az adatkezeléseket kell bejegyezni. Gyakran előfordul, és egyáltalán nem tekinthető atipikus esetnek az, hogy egy adatkezelő több, a törvény hatálya alá tartozó, egymástól független, különböző célokra irányuló adatkezelést működtet. Erre tekintettel az adatkezeléseket kellett a nyilvántartás alapegységévé tenni. A nyilvántartás tartalma Az adatvédelmi tövény 28. §-a szerint be kell jelenteni az adatkezelés célját, az adatok fajtáját és kezelésük jogalapját, az érintettek körét, az adatok forrását, a továbbított adatok fajtáját, címzettjét és a továbbítás jogalapját, az egyes adatfajták törlési határidejét, az adatkezelő nevét és címét, valamint a tényleges adatkezelés (adatfeldolgozás) helyét. Kivételek és ezek értelmezése Az adatvédelmi törvény 30. §-a intézkedik a bejelentkezési kötelezettség alóli mentesség eseteiről. A privilegizált adatkezelések körét azonban meglehetősen elnagyoltan állapítja meg, az itt alkalmazott fogalmak gyakran nem egyértelműek. Különösen komoly jogértelmezési nehézséget jelent az „ügyfélkapcsolat” kifejezés [Avtv. 30. § a) pont]. Ebbe a fogalomba igen sokféle viszonyrendszer beleérthető; ezen az alapon a közigazgatási szervek, hatóságok, társadalombiztosítási szervek éppúgy kivonhatják magukat a bejelentkezési kötelezettség alól, mint a közüzemi szolgáltatást végző társaságok, az ügyvédek és magánorvosok, nemkülönben a csomagküldő szolgálatok és egyéb direkt-marketing cégek (feltéve, ha a közvetlen üzletszerzésről szóló törvény a bejelentkezési kötelezettséget nem tartalmazza). A kivételek ilyen széles körének megengedése nyilván nem lehetett a jogalkotó szándéka, hiszen ez teljesen funkciótlanná tenné az adatvédelmi nyilvántartást. Alapelvként leszögezhetjük, hogy a törvényi kivételek között említett esetekben is be kell jelenteni az adatkezelést az adatvédelmi nyilvántartásba, ha — az adatkezelő nem közvetlenül az érintettől vette fel az adatokat (ez a szabály alkalmazandó akkor is, ha a közvetett adatgyűjtést csak az érintettek egy része esetén alkalmazták), — az adatokat az érintett részletes tájékoztatása nélkül más személy vagy szerv részére hozzáférhetővé teszi, — nyilvánosságra hozza, — egyébként az eredetitől eltérő célra használja fel. Ha a fenti körülmények bármelyike utólag áll elő, akkor az adatkezelést e változás bekövetkezésekor kell bejelenteni az adatvédelmi nyilvántartásba. Az Adatvédelmi Nyilvántartási Rendszer informatikai megvalósítása A legfontosabb teendő a rendszer azonosító elvének a meghatározása volt, hiszen a fő azonosító összetevőinek meghatározása a szó szoros értelmében a „kulcs” kérdés. Az Adatvédelmi Nyilvántartási Rendszer (AVNYR) azonosítási elve Az adatkezelő nyilvántartási szám (ANYS) Az adatvédelmi törvény kimondja: „Az adatkezelő az első nyilvántartásba vételkor nyilvántartási számot kap.” A területi elhelyezkedési osztályozó rendszer szempontjai alapján a megyék és Budapest hárombetűs kódja után következik az öt pozíciós számkód. A számkódot a nyilvántartásba bejelentkezés sorrendjében kapják az adatkezelők. Az adatkezelő nyilvántartási számát az Adatvédelmi Biztos Irodájának adatvédelmi nyilvántartási főosztályától kapja. Adatkezelési azonosító Az adatkezelési azonosító az adatkezelőnél működtetett adatbázist és az ezen végrehajtott adatkezelési műveleteket határozza meg. Az adatkezelési azonosító négy számjegyből áll. Adatkezelési nyilvántartási azonosító Az adatkezelési folyamatot egyértelműen meghatározó unikális azonosítót az „Adatkezelő nyilvántartási szám” és az „Adatkezelési azonosító” együttesen alkotja. <Adatkezelési nyilvántartási azonosító>: = <Adatkezelő nyilvántartási szám> + <Adatkezelési azonosító> 1999/18/II. szám Az adatvédelmi nyilvántartási rendszer számítástechnikai megoldása A rendszer hardverfelépítése Az Országgyűlési Biztosok Hivatala az adatátviteli feladatok megoldása érdekében Ethernet kategóriájú hálózattal rendelkezik. Az Adatvédelmi Nyilvántartási Rendszer központi szolgáltató gépe egy AlphaServer 1000 A típusú számítógép, amely az Etherneten keresztül szolgálja ki a munkaállomásokat. A munkaállomások közül egyet a Hivatal ügyfélfogadó termében helyezünk el, ahol szakavatott segítséggel kérdezhetik le a szükséges adatokat az érdeklődő állampolgárok. A központi szerver munkájának végzését egy PC-kompatibilis lokális szerver segíti. Az adatvédelmi nyilvántartási rendszer szoftvereszközei A nyilvántartás az AlphaServer VMS operációs rendszerben működik. A hálózat operációs rendszere a Pathwork. Az adatok feldolgozását és az adatvisszakeresési funkciókat a szöveges adatok feldolgozására kifejlesztett, relációs elvű BASISPlus adatbázis-kezelő rendszer biztosítja. Az adatbeviteli alrendszert a nyilvántartási főosztály dolgozza ki. Eddigi tapasztalatok, értelmezési problémák 29-én jelent meg az adatvédelmi biztos közleménye, amelyben felhívta az adatkezelőket az Adatvédelmi Nyilvántartásba történő bejelentkezésre. A közlemény mellett megjelent az az adatlap is, amelyet a bejelentkezést megkönnyítendő dolgoztunk ki. Az adatlapot, a hozzá tartozó kitöltési útmutatót, illetve az adatvédelmi törvény vonatkozó rendelkezéseinek összefoglalóját tartalmazó tájékozató térítésmentesen átvehető volt az Országgyűlési Biztosok Hivatala panaszirodáján. A szöveget teljes terjedelmében közöljük a Függelékben. A megfelelő tájékozódást az írásos anyagok mellett személyre szóló tanácsadással is igyekszünk megkönnyíteni. Kijelölt munkatársaink telefonon állnak a felvilágosítást kérők rendelkezésére; azon nagy adatkezelők képviselőivel pedig, amelyek adatkezelése számos sajátos problémát vet fel, személyes konzultációt folytatnak. Bár a közlemény megjelenése óta csak igen kevés idő telt el, máris tipizálhatók azok a problémák, amelyekkel a bejelentkezési kötelezettség teljesítésekor az adatkezelők egyes csoportjai szembesülnek. Az első magával az adatkezelés fogalmával kapcsolatos. Az Avtv. definíciója szerint (2. § 4. pont) adatkezelés az alkalmazott eljárástól függetlenül a személyes adatok feldolgozása, hasznosítása (ideértve a továbbítást és a nyilvánosságra hozatalt). Adatkezelésnek számít az adatok megváltoztatása és további felhasználásuk megakadályozása is. A törvényi definíció alapján tehát pontosan meghatározható azon tevékenységek — igen széles — köre, amelyek az adatkezelés fogalma alá vonhatók, így egyértelmű, hogy ki minősül adatkezelőnek. Kevés támpontot ad azonban a törvény ahhoz, hogy az adatkezelő mely tevékenysége minősül egy adatkezelésnek. Igen fontos, hogy körülhatárolhassuk az egyes adatkezeléseket, hiszen az adatvédelmi nyilvántartásban az adatkezelő nyilvántartási száma mellett egy, az adatkezeléshez hozzárendelt alszám is szerepel majd, ami hozzásegíthet ahhoz, hogy az érdeklődő polgár pontosan nyomon követhesse adatainak sorsát. Az adatkezelések elhatárolhatóságának kérdését a konzultációk során több, bejelentkezésre kötelezett adatkezelő is felvetette. Külön megemlítendő a Belügyminisztérium Informatikai és Adatvédelmi Főosztályának állásfoglalást kérő beadványa, amely igen pontosan és magas szakmai színvonalon fogalmazza meg azokat a kérdéseket, amelyekre a bejelentkezésre kötelezett adatkezelők a törvény szövegéből nem olvashatják ki a választ. Az ügyfélszolgálatunk által szerzett tapasztalatok azt mutatják, hogy az egyes adatkezelések azonosításánál is nagyobb problémát jelent az adatkezelők számára, hogy eldöntsék, mentesek-e egyes adatkezeléseik nyilvántartásba történő bejelentés alól, vagy sem. Vannak bizonyos visszatérő, „klasszikus” félreértértelmezések (például az egyedi hatósági ügyek kapcsán az érintettek sokszor az ügyek számára, és nem a jellegére gondolnak — általános szabályként ugyanis az egyedi, tömeges adatkezelések nem bejelentéskötelesek). A következőkben összefoglaljuk azokat a mentességi köröket, amelyek értelmezése körül a legtöbb bizonytalanság adódik, és ismertetjük az adatvédelmi biztos álláspontját. Az adatvédelmi törvény 30. § a) pontja az adatkezelővel munkaviszonyban, tagsági, tanulói viszonyban és ügyfélkapcsolatban álló személyek adatait tartalmazó adatkezeléseket mentesíti a bejelentés alól. A rendelkezést nem lehet kiterjesztően értelmezni. Kizárólag azokat az adatkezeléseket nem kell bejelenteni, amelyeket a munkáltatók számára a jogszabályok kötelezően előírnak. Ezek az adatkezelések (például a társadalombiztosítással, a személyi jövedelemadózással kapcsolatban az illetékes szervek felé történő adattovábbítások) célja a munkavállalók számára is ismert, ezért nem szükséges a bejelentés. Kiemelendő, hogy a munkáltatók által végzett, jogszabályban előírt adatkezeléssel kapcsolatos nyilvántartásokat (például közszolgálati nyilvántartás, a munkáltató keretein belül folytatott bérszámfejtés kapcsán létrejött adatbázis) sem kell bejelenteni az Adatvédelmi Nyilvántartásba. Az Avtv. miniszteri indokolása szerint a bejelentés mentességének ezekben az esetekben — azon túl, hogy az adatkezelés az érintett által ismert célból történik, és az adatokat közvetlenül tőle kapják — az ad alapot, hogy a személyes adatok kezelése az érintettel fennálló jogviszonyhoz kötődik. Abban az esetben, ha az adatokat nem a munkavállaló adja meg, illetve az adatkezelés célja eltér a jogszabályokban minden munkáltató számára előírt adatkezelési céloktól, nem állnak fenn a mentesség feltételei. Mint a törvény indokolásában olvasható: „e kivételekben meghatározott adatkezeléseket is be kell jelenteni, ha céljuk vagy tartalmuk több vagy más — például a továbbítást, a nyilvánosságra hozást vagy egyéb hasznosítást illetően”. Létezhetnek tehát olyan, munkavállalói adatokat tartalmazó adatkezelések, amelyek bejelentendők a nyilvántartásba.

Source: https://magyarkozlony.hu/hivatalos-lapok/921b41142547d73306e92a3ce19e5e2814e9181c/dokumentumok/381dfdfdc00c0c63df14a5d66f5f783ef0600ffa/letoltes