Más természetes személy létfontosságú érdekei, mint jogalap

A GDPR a jogalapok között nevesít egy eddig ritkán emlegetett jogalapot is, miszerint az adatkezelés jogszerű akkor is, amikor az az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges. Más természetes személy létfontosságú érdekeire hivatkozással személyes adatkezelésre elvben csak akkor kerülhet sor, ha a szóban forgó adatkezelés egyéb jogalapon nem végezhető. A személyes adatkezelés néhány típusa szolgálhat egyszerre fontos közérdeket és az érintett létfontosságú érdekeit is, például olyan esetben, amikor az adatkezelésre humanitárius okokból, ideértve, ha arra a járványok és terjedéseik nyomon követéséhez, vagy humanitárius vészhelyzetben, különösen természeti vagy ember által okozott katasztrófák esetében van szükség. (Emellett lényeges, hogy az adatkezelés akkor is lehet jogszerű, ha közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges, ez azonban a munkáltatók csak szűk körénél teljesül.)

A Tájékoztató azonban továbbra sem ad explicit választ az olyan jellegű kérdésekre, mint például

• a munkáltató kiadhatja-e a beléptetésre vonatkozó adatokat, és ha igen, kinek, annak kiderítése érdekében, hogy kikkel érintkezhetett a fertőzött személy, vagy kik tartózkodtak adott napon egy irodaházban, intézményben,
• a munkáltató mely szervek felé, milyen körülmények között továbbíthatja egészségügyi kérdőívek eredményét,
• a munkáltató vagy egy irodaház tulajdonosa, üzemeltetője közvetlenül jelezheti-e a bérlőknek, azok alkalmazottainak, hogy adott személy (vagy pl. az adott emeleten dolgozó személy) fertőzött, és érintkezhettek vagy csak jelezheti mindezt az eljáró hatóságoknak,
• a törléshez való jog kiterjed-e az egészségügyi adatokra, illetve az feltétlen jogot jelent-e,
• hogyan kell kezelni, ha a vizsgálatot kérő „véletlenül” a COVID-19-hez nem kötődő egészségügyi adatokat is megismer.

Figyelemmel e rendkívüli jogalap részleteinek kiforratlanságára, fokozott körültekintés szükséges az arra való hivatkozással történő adatkezelés esetében.

A Kormány rendeletei

A Kormány 2020. március 18-i rendeletével úgy döntött, a Munka Törvénykönyve tekintetében bizonyos eltéréseket enged. Ilyen például, hogy a veszélyhelyzet megszűnését követő harminc napig
• a munkáltató a munkavállaló számára az otthoni munkavégzést és a távmunkavégzést egyoldalúan elrendelheti, illetve
• a munkáltató a munkavállaló egészségi állapotának ellenőrzése érdekében a szükséges és indokolt intézkedéseket megteheti.

Természetesen kérdéses, hogy adatvédelmi, adatbiztonsági, titokvédelmi szempontból mennyire vannak felkészülve a magyar cégek ezekre a munkavégzési formákra, de vélhetően a jelenlegi szélsőséges helyzet átlendíti őket ebbéli aggályaikon. Emellett lényeges szem előtt tartani: még az idézett kormányrendeleti rendelkezés is hangsúlyozza a szükségesség és indokoltság (a.k.a. arányosság) szempontjait, tehát nem egy „jolly jokert” teremtett az egészségügyi szűrővizsgálatok végzéséhez.

Az adatkezelési tájékoztató kiegészítése vagy új tájékoztató kiadása?

Ha csak nem nagyon felkészült egy adatkezelő (pl. munkáltató), jó eséllyel nem terjed ki adatkezelési tájékoztatója a jelen helyzet adatkezeléseire. Emiatt mindenképp javasoljuk, hogy a meglévő tájékoztatókat ellenőrizzék és adott esetben azok kerüljenek kiegészítésre, vagy a csak a COVID-19 készített adatkezelési tájékoztatót osszanak meg munkatársaikkal. A közérthetőség és kellő részletesség szem előtt tartásával az adatkezelés célját, jogalapját, a megőrzési időtartamot, a hozzáférésre jogosultak körét meg kell határozni, valamint jogos érdek jogalap esetén (a NAIH gyakorlata szerint igen lényeges) érdekmérlegelési teszteket el kell készíteni. Az érintetteknek (adatgazdáknak) továbbra is érvényesülnek a GDPR szerinti jogai, így panaszjoguk és jogorvoslati joguk is, az adatvédelmi hatóság és bíróság felé, ezekről is tájékoztatni kell őket.

Cikkünk több oldalas! Lapozzon!
1. oldal - Gyűjthet-e a munkáltató egészségügyi adatot? - Adatvédelmi szabályok a koronavírusra tekintettel
2. oldal - Más természetes személy létfontosságú érdekei, mint jogalap