Erre ügyeljen adatkezelési tájékoztató készítésekor!

Megosztás Tetszik

A személyes adatok kezelését szabályozó általános adatvédelmi rendelet (GDPR) pontosan meghatározza, hogy a személyes adatok gyűjtését megelőzően milyen tájékoztatást szükséges adni az érintetteknek. Amennyiben ez a tájékoztatás nem megfelelő, az adatkezelés jogalapja is veszélybe kerülhet. Ebben az esetben pedig akár adatvédelmi bírsággal is számolnunk kell. Az alábbiakban egy NAIH döntés tükrében mutatjuk be a követelményeket.

Ezen körülményekről kell tájékoztatást adni a GDPR alapján

A GDPR és az arra épülő joggyakorlat pontosan meghatározzák, hogy adatkezelés esetén az adatkezelőnek miről kell tájékoztatást adnia. Elsőként az adatkezelési tájékoztatásnak az adatgyűjtést meg kell előznie. Erre épül az a feltétel is, hogy az adatkezelési tájékoztatásnak teljesnek kell lennie, azaz minden lényeges körülményre ki kell térnie. A legfontosabb követelmény úgy foglalható össze, hogy az adat teljes életútját be kell mutatni annak gyűjtésétől a megsemmisítésig.

Nézzük ennek keretében mik a legfontosabb elemek! Be kell mutatni a kezelt személyes adatok körét, azaz mindazon adatokat, amelyeket az adatkezelés érint. Pontosan meg kell határozni az adatkezelés célját és jogalapját. Utóbbi lehet az érintett hozzájárulása, szerződés teljesítése, jogos érdek vagy létfontosságú érdek, jogi kötelezettség teljesítése, közhatalmi jogosítvány gyakorlása vagy közérdek. Amennyiben az érintett személy hozzájárulását kérjük az adatkezeléshez arra is ügyelnünk kell, hogy az érintett tényleges választási lehetőséggel rendelkezzen, és nem állhat fenn a felek között egyenlőtlen erőviszony (pl. munkavállaló, munkáltató). Fontos, hogy amennyiben ún. különleges adatot is kezelünk (pl. egészségügyi adat, politikai vélemény stb.), abban az esetben a jogalapon túlmenően biztosítani kell a 9. cikkben foglalt feltételek teljesülését is (pl. kifejezett hozzájárulás beszerzése).

Tájékoztatást kell továbbá adni az adatkezelés időtartamáról, valamint az ún. címzettek köréről. Utóbbi azt jelenti, hogy be kell tudni mutatni, hogy a személyes adat kiknek, miért továbbíják, illetve meg kell határozni a címzettek státuszát (adatkezelő, adatfeldolgozó, közös adatkezelő). Egyéb részletekről is tájékoztatást kell nyújtani, úgymint a személyes adat forrása (amennyiben nem az érintettől származik), az adatbiztonsági intézkedések, illetve olyan, egyedi adatkezelési folyamatok, mint az automatizált döntéshozatal vagy a profilalkotás, amennyiben ezeket alkalmazzák.

Olvassa tovább cikkünket, hogy konkrét példán keresztül megtudja, hol lehet hibázni aláírásgyűjtésnél, mi erről a NAIH véleménye, illetve miként döntött az ügyről a Fővárosi Törvényszék!