Что изменилось

Ügyszám: NAIH/2019/2472/ Tárgy: kérelemnek helyt adó határozat

VÉGZÉSSEL megszünteti.

118. § (1) bekezdése szerint bírósági vezető az ítélőtábla, a törvényszék, a közigazgatási és munkaügyi bíróság, valamint a járásbíróság elnöke.

A Kérelmezetti nyilatkozat szerint a listán szereplő adatok legyűjtésére vonatkozó kérést törvényszéki elnöki minőségében dr. Gerber Tamás adta ki, annak megállapítására, hogy a törvényszéken az Egyesületnek hány tagja van, és a vezetők közül kik a tagjai. A vizsgált esetben külön adatkezelési művelet volt az egyesületi tagságra vonatkozó adat meghatározott szempont szerinti leválogatása, amely a jogszabályi előírás teljesítése – tagdíj levonása – érdekében történő adatkezeléstől eltérő adatkezelési célt valósított meg, így erre vonatkozóan külön jogalap szükségeltetett volna az alábbiak okán. A GDPR a 6. cikk (4) bekezdésében lehetővé teszi, hogy a személyes adatokat az adatkezelés eredeti céljától eltérő egyéb célból kezelje az adatkezelő, feltéve, hogy az adatkezelése összeegyeztethető az adatkezelés eredeti céljával, amelyre a személyes adatokat eredetileg gyűjtötték. Ebben az esetben az adatkezelőnek több szempontot is figyelembe kell vennie, amelyek között a GDPR 6. cikk (4) bekezdésében példálózó felsorolásban kiemeli azokat a körülményeket, amelyek mérlegelését a legfontosabbnak tartja. Tehát a személyes adatoknak a gyűjtésük eredeti céljától eltérő egyéb célból történő kezelése csak akkor megengedett, ha az adatkezelés összeegyeztethető az adatkezelés eredeti céljaival. Ellenkező esetben szükség van attól a jogalaptól eltérő, külön jogalapra, mint amely lehetővé tette a személyes adatok gyűjtését. Jelen ügyben megállapítható, hogy a Kérelmezett az eredeti adatkezelési céltól – tagdíj levonása eltérő egyéb célból kezelte/kérdezte le az érdekképviseleti tagságra vonatkozó adatot. Ezen cél tekintetében alkalmaznia kellett volna a GDPR 6. cikk (4) bekezdésében foglaltakat, és meg kellett volna állapítani, hogy az adatkezelés eredeti és ettől eltérő céljai összeegyeztethetőek-e. A vizsgált esetben a Kérelmezettnek figyelembe kellett volna vennie azt, hogy az érintettek és az adatkezelő közötti kapcsolat a munkaviszonyban alá-fölérendeltségi (GDPR 6. cikk (4) b) pont), valamint azt, hogy a lekérdezés személyes adatok különleges kategóriáját érinti (GDPR 6. cikk (4) bekezdés c) pont), illetve mérlegelnie kellett volna, hogy az adatkezelés milyen következményekkel jár az érintettre (GDPR 6. cikk (4) bekezdés d) pont), ebben a körben figyelembe véve a fent kifejtettet, miszerint a munkavállalótól nem kérhető a szakszervezeti célú egyesületi tagságra vonatkozó adatnak a közlése. Amennyiben ezen szempontok alapján a Kérelmezett arra a következtetésre jutott volna, hogy összeegyeztethető az új céllal az adatkezelése, abban az esetben az új adatkezelési célról és ehhez kapcsolódóan minden releváns információról a Kérelmezőket és az egyéb érintetteket a GDPR 13. cikk (3) bekezdése alapján tájékoztatnia kellett volna. Nem összeegyeztethető adatkezelési cél esetén pedig az új célú adatkezelés nyilvánvalóan nem végezhető, mivel megfelelő, érvényes jogalap nem áll fenn. A felsorolt körülmények mérlegelésével az adatkezelő – ahogyan a Hatóság is – arra a következtetésre jutott volna, hogy az egyesületi tagságra vonatkozó adat abból a célból, amire felhasználni szándékozott, nem lett volna lekérdezhető. Mivel az adatgyűjtés céljától eltérő célból történő adatkezelés nem az érintett hozzájárulásán vagy valamely uniós vagy tagállami jogon alapult (GDPR 6. cikk (4) bek.), illetve a Kérelmezett a megkívánt mérlegelést nem végezte el, a lekérdezés során kapott adatok kezelésének nem volt a GDPR 6. cikk (1) bekezdésnek megfelelő jogalapja. Noha a jogos érdeken alapuló adatkezelés (GDPR 6. cikk (1) f) pont) nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre, jelen esetben nem a közhatalmi feladat ellátása során végzett adatkezelés a vizsgálat tárgya. A Kérelmezett által előadottak szerint a leválogatás célja az volt, hogy „a vezetők, akik ebben nem voltak biztosak, meg tudjanak győződni arról, hogy MABIE tagként tartják-e őket nyilván”. Az érintett részéről annak az információnak a megszerzése, hogy ő maga tagja-e az érdekképviseleti egyesületnek, nyilvánvalóan nem az a módja, hogy az adatot az ő tudta nélkül a munkáltatói jogkört gyakorló felettes lekérdezi azt az egyébként más célból kezelt állományból, más tagok adataival együtt. Ezt az információt minden érintett maga meg tudja tudakolni közvetlenül az Egyesületnél, illetve a bérszámfejtésről kapott iratból maga meg tud győződni a tényről. A Hatóság álláspontja szerint tehát a fent kifejtett eredeti céllal nem összeegyeztethető, ha a munkáltatói jogkör gyakorlója a bérszámfejtéshez használt adatbázisból más célú felhasználás érdekében érdek-képviseleti tagságra vonatkozó lekérdezésre vonatkozó utasítást ad, és a lekérdezett adatokat listába szedve kezeli. Az adóazonosító jel a kérelmezetti nyilatkozat szerint „véletlenül” került feltüntetésre az érdekképviseletre vonatkozó adatok mellett. Ennek az adatnak a listán való kezelésének tehát nyilvánvalóan nem volt igazolható célja, így a feltüntetés és továbbítás jogellenessége egyéb vizsgálat nélkül is kimondható. A Hatóság mindezek alapján megállapítja, hogy a Kérelmezett által végrehajtott azon adatkezelés, amely során dr. Gerber Tamás az érdek-képviseleti tagságra és az adóazonosító jelre vonatkozó adatot kérdezett le a tagdíjnak a munkabérből történő levonása érdekében kezelt adatok közül, sem igazolható céllal, sem megfelelő jogalappal nem rendelkezett. Ezzel a Kérelmezett megsértette a GDPR 5. cikk (1) bekezdés b) pontját és a 6. cikk (1) bekezdését.