A nap kérdése: a visszaélés-bejelentési rendszerben a panaszok kivizsgálására kijelölt személy adatkezelőnek vagy adatfeldolgozónak minősül?

Megosztás Tetszik

A visszaélés-bejelentési rendszer felállításához a cégnek (választása szerint) egy pártatlan személyt kell kijelölnie a beérkező panaszok kivizsgálására. A kijelölt személy adatkezelőnek vagy adatfeldolgozónak minősül? – kérdezte olvasónk, dr. Kéri Ádám ügyvéd, compliance szakértő válaszolt rá.

SZAKÉRTŐNK VÁLASZA

Ez egy nagyon jó kérdés, melyet az Európai Adatvédelmi Testület 7/2020. iránymutatása tükrében érdemes vizsgálni.

Adatkezelőnek az minősül, aki az adatkezelés célját és eszközeit meghatározza (GDPR 4. cikk). Számos körülmény irányadó annak megítélése során, hogy egy szervezetet/személyt milyen státuszúnak kell tekinteni. Amennyiben pl. ágazati törvény hatálya alatt áll, mely önállóan telepít rá jogokat és kötelezettségeket, adatkezelőnek kell tekinteni. Idetartozik az orvos, ügyvéd, könyvvizsgáló.

A kiszervezett tevékenység nyújtója lehet bejelentővédelmi ügyvéd vagy más szolgáltató. Tekintettel arra, hogy a kivizsgálást végző személy vagy szervezet önállóan és függetlenül végzi a tevékenységét, illetve a bejelentővédelmi ügyvéd személyes adatot még az ügyfelével is csak korlátozottan oszthat meg (ráadásul a kötelezettségei a bejelentő és nem az ügyfele felé állnak fenn), így adatkezelői státusz állapítható meg annak ellenére, hogy az eljárásrendet maga a foglalkoztató határozza meg (a törvény alapján).

Megjegyzem, hogy a WP29 munkacsoport, amely az Európai Adatvédelmi Testület jogelődje egy korábban úgy foglalt állást, hogy azon személyek vagy szervek, amelyek a szervezethez hozzátartoznak, annak részét képezik (pl. alapítvány kuratóriuma vagy megbízási jogviszonyban álló ügyvezető) nem képeznek önálló státuszt (sem kezelő, sem adatfeldolgozó). A későbbi joggyakorlat azonban eléggé zavaros, mivel arra is volt példa, hogy német bíróság az ügyvezetőt önálló adatkezelőnek minősítette.

Én adatkezelőnek minősítem jelenlegi tudásom alapján.