Iratkozzon fel hírlevelünkre!

Dr. Rátkai Ildikó: hogyan érvényesítheti a munkavállaló az adatvédelmi jogait?

A GDPR biztosítja, hogy az érintettek élhessenek az adatkezeléssel kapcsolatban bizonyos jogokkal. Az érintetti jogok alkalmazhatósága nagyban függ attól, hogy egy adott személyes adatot milyen jogalapon kezel a munkáltató. A joggyakorlás érvényre jutását az adatkezelőnek (munkáltatónak) biztosítania kell, illetve – az elszámoltathatóság elvével összhangban – bizonyítania is kell, hogy e jogok gyakorlását lehetővé tette.
Egyrészt, az érintettet tájékoztatni kell arról, hogy adatait ki, hogyan, meddig kezeli. Ez akkor is irányadó, ha az adatokat az adatkezelő nem az érintettől szerzi be, például, ha a kölcsönvevő munkáltató megkapja a kölcsönbeadótól a kölcsönzött munkavállalóra vonatkozó személyes adatokat. A tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva kell nyújtani. Az információkat írásban vagy más módon – adott esetben
elektronikus úton – kell megadni.
Az érintett jogosult arra, hogy az adatkeze-lőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a meghatározott információkhoz hozzáférést kapjon. Lényeges eleme e hozzáférési jognak, hogy az érintett arra is jogosult, hogy a róla kezelt személyes adatokról másolatot kapjon. Ezt fő szabályként ingyenesen köteles az adatkezelő teljesíteni. A másolat igénylésére vonatkozó jog azonban nem érintheti hátrányosan mások jogait és szabadságait. A gyakorlatban több esetben előfordult, hogy az érintett az ő nevét tartalmazó munkahelyi e-mailek másolatának kiadását kérte a munkáltatótól. Ez nyilvánvaló adminisztrációs többletet jelent, azonban figyelni kell arra, hogy a másolatkiadás nem sértheti más alapvető jogát (pl. levéltitok védelméhez való jog).
Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat. (Tegyük ehhez hozzá, hogy az Mt. értelmében az adatokban bekövetkező változást a munkavállaló köteles is bejelenteni a munkáltatónak.)
Lényeges, hogy a GDPR szerint az érintettet megilleti a törléshez való jog („az elfeledtetéshez való jog”): az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, például abban az esetben, ha az érintett visszavonja az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja vagy ha a személyes adatokat jogellenesen kezelték. A törléshez való jog nem gyakorolható, amennyiben az adatkezelés szükséges, például jogi kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából vagy jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez. Ennek megfelelően a munkavállaló nem kérheti például a jelenléti adatainak törlését, hiszen az a bérszámfejtés alapjául szolgál és mint ilyen, igazolja a munkabér-elszámolás helyességét.
Az adatkezelés korlátozásához való jog körében az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, például, ha az adatkezelőnek már nincs szüksége a személyes adatokra, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez.
Egy új érintetti jog az adathordozhatósághoz való jog: az érintett jogosult arra, hogy a rá vonatkozó, általa egy adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban (például XML formátum) megkapja, ezeket az adatokat egy másik adatkezelőnek továbbítsa, amennyiben az adatkezelés hozzájáruláson vagy szerződésen alapul és az adatkezelés automatizált módon történik.
Végül, a tiltakozáshoz való jog körében az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak jogos érdeken alapuló kezelése ellen, ideértve a profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak. A munkaviszonyban ez a jog különösen problémás lehet, hiszen a munkáltató számos adatot kezel a jogos munkáltatói érdeken alapulóan (pl. munkáltatói ellenőrzés esetei).
Látható, hogy az érintetti jogok nem minden adatkezelési jog esetében gyakorolhatóak korlátlanul: például a munkavállaló nem kérhet adattörlést olyan esetben, ha az adatkezelés jogi kötelezettség teljesítésén alapszik (adó, tb jogszabályok, Mt.) vagy nem kérheti az adatok korlátozását szerződés teljesítésén alapuló adatkezelés esetén; az adathordozáshoz való jog pedig nem lehetséges abban az esetben, ha az adatkezelés jogszabályon alapul vagy bár szerződésen, de nem automatizált módon történik. Tehát, ha érintetti megkeresést kapunk, minden esetben vizsgáljuk meg, hogy milyen jogalapon és milyen módon kezeljük az adott személyes adatot (e célra mindenképpen hasznos egy folyamatosan fenntartott, aktualizált adatleltár alkalmazása).