GDPR: Az adatkezelés jogalapja

Mi is az a GDPR?

Korábbi cikkeinkben már érintettük, de a téma okán érdemes még egyszer összefoglalni, hogy mit értünk GDPR alatt. A GDPR (Általános Adatvédelmi Rendelet) Európai Parlament és Tanács (EU) 2016/679 számú rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről. A személyes adat lehet bármely olyan, a természetes személyre vonatkozó információ, amely által a személy azonosítottá vagy azonosíthatóvá válik. A természetes személy azonosíthatóvá válik szokásos módon például név vagy igazolványszám által, de ide tartozhatnak a személy testi, vagy akár kulturális azonosságára vonatkozó tényezők is. A GDPR hatálya kiterjed minden olyan vállalkozásra vagy szervezetre, amely személyes adatokat kezel, gyűjt, használ stb., így már azoknak a vállalatoknak is alkalmazni kell a rendelet szabályait, amelyek akárcsak csak egyetlen munkavállalóval vagy ügyféllel is rendelkeznek. Mindehhez adatvédelmi szabályzattal kell rendelkezniük.

Adatvédelmi szabályzat

Az adatvédelmi szabályzat tartalmazza a különböző jogalapokat, amely alapján az adatkezelés megtörténhet. A szabályzat rögzíti az érintetteknek nyújtott tájékoztatás tartalmát, felsorolja az egyes adatfajtákat, kitérve arra, hogy mely adatot milyen jogalappal és meddig kezelhet a vállalat, valamint kifejti az érintettek jogait és jogérvényesítési lehetőségeit is.

Ahhoz, hogy bármilyen szervezet, vállalkozás adatainkat kezelhesse, megfelelő jogalapra van szüksége. Az adatkezelés jogalapjáról az előbbiekben részletesen bemutatott GDPR 6. cikk (1) bekezdés a) pontja rendelkezik.
A hozzájárulást azt jelenti, hogy az érintett a felhatalmazásban meghatározottak szerint hozzájárul adatainak kezeléséhez, hozzájárulása azonban bármikor visszavonható. Hozzájárulása akkor elfogadható, ha az megfelel:

• az önkéntesség
• a határozottság (egyértelműség)
• a tájékozottság

követelményének. Fontos, hogy a hozzájárulásból egyértelmű legyen, hogy beleegyezik az adatkezelésbe. Az adatkezelés bizonyos célokhoz van kötve, ezért azt is meg kell adni, hogy mely adatkezelési célra vonatkozóan adta meg az érintett az adatait.

Nézzük, hogyan is történik a hozzájárulás megadása jogszerűen! A vállalkozások és szervezetek egyszerűen hozzájárulást kérnek az adatkezeléshez az érintettől, ami történhet egy írásban, de virtuálisan is. Ez alatt értjük a hozzájáruló nyilatkozat aláírását, weboldal esetében pedig egy, az adatkezeléshez való hozzájárulást szimbolizáló négyzet bejelölését. Ezen kívül bármilyen egyéb nyilatkozat vagy cselekedet, amely egyértelműen jelzi az adatkezeléshez adott hozzájárulást, elfogadható. Ha kétség merül fel az adatkezelés jogalapját illetően, az adatkezelőnek kell bizonyítania, hogy az adatkezelési művelethez az érintett valóban hozzájárulását adta.

Természetesen az adatkezeléshez való hozzájárulásunkat bármikor vissza is vonhatjuk minden következmény nélkül; a vállalatoknak és szervezeteknek ezt egyszerű módon elérhetővé is kell tenniük. (Hasonlóan írásban, de elektronikusan akár egy linkre kattintva visszavonható a hozzájárulás.) Azt azonban jó, ha tudjuk hogy a felvett adatokat az adatkezelő a hozzájárulás visszavonását követően is kezelheti, kivéve abban az esetben, ha a törvény arról másként rendelkezik.

Infotv. módosítása: elhunyt személyek adatkezelése

Az elhunyt személyek személyes adatainak kezelése nem a GDPR hatáskörébe tartozik, a rendelet ezt ugyanis tagállami hatáskörbe utalja. Magyarországon a kérdéskörrel az Infotv. foglalkozik: Az információs önrendelkezési jogról és az információszabadságról szóló törvény, amelynek módosítása 2018. júliusától hatályos. Az Infotv. 9. alcíme szabályozza a személyes adatokkal összefüggő jogok érvényesítését az érintett halálát követően.

Jogérvényesítés meghatalmazott által

Az elhunyt rendelkezése, nyilatkozata hiányában közeli hozzátartozója érvényesítheti az érintettet megillető jogokat, a jogérvényesítésre szintén a haláseset után 5 éven belül kerülhet sor, azonban figyelembe kell venni, hogy ebben az esetben már szűkebb körben lehetséges a jogérvényesítés:

Az Infotv. alapján érvényesíthető jogok:

• helyesbítéshez való jog

A GDPR alapján (a rendelet hatálya alá tartozó adatkezelési műveletek esetén) érvényesíthető jogok:

• helyesbítéshez való jog
• tiltakozáshoz való jog

Az adatkezelés korlátozásához való jog, a törléshez és a helyesbítéshez való jog tehát nem érvényesíthető meghatalmazott hiányában. Az adatkezelés korlátozásához való jog, valamint a törléshez való jog érvényesítése csak abban az esetben lehetséges, ha az adatkezelés már az érintett életében is jogellenes volt vagy az adatkezelés célja az érintett halálával megszűnt.

Hogy kit tekintünk közeli hozzátartozónak, arról a Polgári Törvénykönyv 8:1.§ (1) bekezdés 1. pontja rendelkezik: közeli hozzátartozó a házastárs, az egyeneságbeli rokon, az örökbefogadott, a mostoha- és a nevelt gyermek, az örökbefogadó-, a mostoha- és a nevelőszülő és a testvér.

A közeli hozzátartozók közül a jogosultságát elsőként gyakorló személy jogosult az elhunyt fél jogainak érvényesítésére. Ha jogérvényesítés válik szükségessé, igazolni kell az érintett halálát, valamint a közeli hozzátartozói minőséget a megfelelő dokumentumokkal. A közeli hozzátartozónak joga van az adatkezelő intézkedéseiről is tájékoztatást kérni, aki a tájékoztatást csak akkor tagadhatja meg, ha az érintett arról még életében tiltó nyilatkozatot tett.