Adatvédelem kiszervezés során

Outsourcing esetén a munkavállalók személyes adatainak védelme az adatvédelmi jog legkiemelkedőbb területei közé tartozik. Cikkünkben a munkavállalók személyes adatainak kezelésével járó, a "humánszolgáltatásokra" vonatkozó vállalati tevékenységek kiszervezésének szabályait mutatjuk be.

Mit értünk outsourcing alatt?

Az outsourcing fogalmára többféle definíció található a szakirodalomban, szokták tevékenységkihelyezésnek, kiszervezésnek, külső erőforrások igénybevételének és erőforrás-kihelyezésnek is fordítani, így a kifejezés leginkább gyűjtőfogalomként ragadható meg. Az outsourcing szűkebb értelemben egy szervezetben folyó tevékenységnek, ellátott feladatnak, valamint a hozzájuk tartozó eszközöknek és berendezéseknek egy jogilag elkülönült szervezetbe történő kihelyezését jelenti. Tágabb értelmezésében az egyszerű alvállalkozói viszonytól a multinacionális cégek globális tevékenységátruházásáig terjedő tevékenységet soroljuk ide.

Outsourcing során a megbízó vállalat saját vertikálisan integrált tevékenységét egy külső, jogilag és szervezetileg elkülönült szolgáltatóhoz helyezi ki, így a kiszervezés a vállalati értéklánc bizonyos elemét teljes egészében érinti. A szolgáltatásnyújtás hosszú távú szerződés keretében történik. Tevékenységkihelyezés esetén legtöbbször a szolgáltatást nyújtó tulajdonába kerülnek a megbízó eszközei és/vagy munkatársai. A külső szolgáltató teljes körűen felel a szolgáltatás megszervezéséért és a munkafolyamatok irányításáért. A szolgáltatók teljesítményét eredménymutatók alapján értékelik, az elvárt működési eredmény elmaradásából eredő kockázatokat a szolgáltató vállalat viseli.

Egy kiszervezés közben a munkáltató személyében is bekövetkezhet változás, amit a szerződésben szintén rögzíteni kell. Az Mt. szerint jogutódlásnak minősül a munkáltató anyagi, illetve nem anyagi erőforrásainak (pl.: gazdasági egység, üzem, üzlet, telephely, munkahely, illetve ezek része) átadása és átvétele.

Az outsourcing fogalmának szabályozása elsősorban a pénzügyi tevékenységek területén történt meg. A törvényekben a kiszervezés egy megállapodáson nyugvó jogügyletet jelent a kiszervező és egy harmadik fél között, és a szerződés szerint a harmadik személy olyan tevékenységet végez, amelyet normál körülmények között a kiszervező végezne. Bizonyos definíciókban a tevékenység megnevezésére is utalás történik, úgymint pl. adatkezelés vagy adatfeldolgozás végzése. A kiszervezés teljesítésének részletes feltételeit a szerződő felek szabadon határozhatják meg, így a törvény lehetőséget kínál a szolgáltatás egyediesítésére.

Az adatkezelés kiszervezése

Egy tevékenység kiszervezésénél meg kell vizsgálni, hogy a kiszervező és a szolgáltató milyen formában fogja kezelni a kiszervezésben érintettek személyes adatait. Abban az esetben, ha a kiszervezés a személyes adatokra vonatkozó adatkezelésre vonatkozik, az adatkezelők egymástól elkülönülten és együttesen is jelen lehetnek. A szolgáltató adatkezelőnek minősül, ha a munkavállalók személyes adatait közvetlenül veszi fel az érintettektől, és azok kezelésének célját meghatározhatja, illetve azokkal kapcsolatban érdemi döntést hozhat.

Kiszervezésnél az adatok kezelésére többfajta megoldás lehetséges. Egyrészt a szolgáltató önálló adatkezelőként léphet föl, ha az adatkezeléssel kapcsolatos döntések meghozatala világosan szétválik. Ilyenkor bizonyos adatkezelésekkel kapcsolatban a kiszervező munkáltató, míg más adatkezelés esetén a szolgáltató hoz érdemi döntést. Másrészt együttes adatkezelés is történhet a kiszervező és a szolgáltató között, ha a két adatkezelő együtt hozhat döntést a munkavállalók személyes adatainak kezeléséről. Abban az esetben, ha a kiszervező és a szolgáltató közösen használhatnak egy adatbázist úgy, hogy közben megosztva végzik az egyes adatkezelési műveleteket, párhuzamosan minősülnek adatkezelőnek.

Jogszerű lehet a meghatározott személyes adatok kezelésére vonatkozó műveletek kiszervezése ---– pl.: adatok rögzítése, tárolása, összekapcsolása vagy törlése. Abban az esetben viszont, ha a szolgáltató nem rendelkezik önálló döntési joggal az adatkezelési műveletekről, adatfeldolgozónak minősül.

Az adatfeldolgozás kiszervezése

Az adatfeldolgozás átadása az adatkezelési műveletekhez kapcsolódó technikai feladatok elvégzésére irányulhat. Adatkezelőnek minősül az a szolgáltató, amelynek adatfeldolgozó tevékenysége túlterjed a technikai feladatok elvégzésén. Az adatkezelő széles döntési joggal rendelkezik az adatfeldolgozó tevékenységének meghatározásában. Az adatkezelő azonban felelősséggel bír az adatvédelmi szabályok betartásáért, ugyanis az adatkezelő felel az adatkezelési műveletekre vonatkozó utasítások jogszerűségéért.

Az adatfeldolgozó a tevékenységi körén belül, illetve az adatkezelő által meghatározott keretek között a személyes adatok feldolgozásáért, megváltoztatásáért, továbbításáért és nyilvánosságra hozataláért felelős. A törvény úgy rendelkezik, hogy az adatkezelő és az adatfeldolgozó szabadon határozhatják meg együttműködésük feltételeit. Az adatfeldolgozás képezheti kiszervezés tárgyát, ha az adatfeldolgozó jogilag és szervezetileg elkülönül a kiszervező adatkezelőtől, és tevékenységi körén belül felel a szolgáltatás megszervezéséért, valamint megállapítható a munkafolyamatok irányításával összefüggésben az önállósága.

A munkavállalók tájékoztatása

Kiszervezés esetén a munkáltató köteles tájékoztatni a munkavállalókat a szerződő fél, az új adatkezelő vagy adatfeldolgozó személyéről, a szolgáltató által elvégezni kívánt adatkezelési műveletekről, az adatkezeléssel vagy -feldolgozással érintett személyes adatok köréről, az adatkezelés vagy adatfeldolgozás időtartamáról, az adatkezeléssel kapcsolatos jogok gyakorlásáról és a jogorvoslati lehetőségekről.
Sokszor a munkáltató törvényi kötelezettsége a munkaviszony lebonyolításával kapcsolatos adatkezelés, úgymint a munkaidő nyilvántartása, a munkabér kifizetése és elszámolása, a munkaszerződés őrzésének kötelezettsége, igazolások adása. Az adatkezelés kiszervezése nem érintheti ezen kötelezettségek teljesítését, ebből következően jó, ha a tájékoztatás ezekre a kérdésekre is kiterjed.

A személyes adatok kezelése

A munkavállalók személyes adatainak kezelése csak abban az esetben jogszerű, ha ahhoz az érintett is hozzájárulását adta. Az alkalmazott egyes személyes adatai kezelésének vagy feldolgozásának kiszervezése során a munkavállaló hozzájárulása jelenti a legfontosabb jogalapot a további adatkezelésnek vagy adatfeldolgozásnak. Az alkalmazott az adatok "teljes körű vagy egyes műveletekre kiterjedő" kezeléséhez járulhat hozzá. Azonban adatkezelés céljának megváltozása esetén újra be kell szerezni a munkavállaló hozzájárulását.

A törvény fontos rendelkezése, hogy a munkavállalóra vonatkozó adatot a munkáltató harmadik személynek csak a törvényben meghatározott esetben vagy a munkavállaló hozzájárulásával közölhet. Adatkezelő szolgáltató esetén az alkalmazott hozzájárulását akkor kell beszerezni, ha az adatkezelés célja és feltételei megváltoznak a hozzájárulás megadásának időpontjához képest.

Az outsourcing szerződés adatvédelmi rendelkezései

Az adatkezelés kiszervezése nem jelentheti az adatvédelmi garanciák meggyengülését. A kiszervezőnek és a szolgáltatónak garantálnia kell az érintettek személyes adatainak védelméhez való jogát, és köteles az adatkezelés, illetve adatfeldolgozás átláthatóságát biztosítania. A kiszervezésre vonatkozó szerződés adatvédelmi rendelkezései elsősorban az alábbi kérdésekre terjednek ki:
- az adatkezelő és az adatfeldolgozó megjelölése,
- a kiszervezéssel érintett adatkezelés tárgya pl. a munkavállalók személyes adatainak tételes felsorolása helyett a célhoz kötöttség és a szükségesség elvekre való utalással átfogó kategóriák megadása (pl.: munkaidő nyilvántartásához szükséges személyes adatok),
- az adatkezelés célja,
- az adatkezelés jogalapja,
- az adatkezelés feltételei az adatvédelmi alapelvek konkretizálásával a szolgáltatás jellegéhez igazodóan (pl.: adatkezelés időtartama, mértéke, adatok minősége),
- az adatkezelési műveletek részletezése,
- az adatkezelés eredményének ellenőrzése a kiszervező által,
- a szolgáltatás minősége,
- az adatok megismerésére jogosultak,
- a munkavállalók adatkezeléssel kapcsolatos jogai érvényesítésének módja,
- a szolgáltató által végzendő adatkezelés feltételeinek jelentős megváltozása esetére a hozzájárulás megadásának a szabályai,
- a munkavállalók részére történő tájékoztatás megadásának legfontosabb elvei,
- a kártérítési felelősség szabályai,
- a bírósági jogérvényesítés,
- az adatfeldolgozó jogai és kötelezettségei az adatok feldolgozásával kapcsolatban,
- az utasításadás elvei az adatfeldolgozó részére,
- a kiszervező és a szolgáltató között a szolgáltatás ellenőrzésére vonatkozó szabályok,
- kikötés arra vonatkozóan, hogy az adatkezelés és az adatfeldolgozás kiszervezése nem befolyásolhatja a munkavállaló munkajogi jogai gyakorlását, illetve kötelezettségei teljesítését.

Forrás: Lex HR-Munkajog, Jogi szaklap HR és munkajogi szakembereknek, 2011. május, II. évfolyam, 5. szám, p. 27-32.