Dr. Rátkai Ildikó: Új adatvédelmi szabályok a munkaviszonnyal összefüggésben (MJO, 2019/2., 69-75. o.)

Közel egy év telt azóta, hogy az általános adatvédelmi rendelet[1] (a továbbiakban: általános adatvédelmi rendelet vagy GDPR) kötelezően alkalmazandó az Európai Unió tagállamaiban, így hazánkban is.[2] Általános jellegénél fogva a GDPR a munkáltatói adatkezelés tekintetében is alkalmazandó. Ugyanakkor az általános adatvédelmi rendelet lehetőséget biztosít a tagállamok részére a "finomhangolásra": a 88. cikk értelmében a tagállamok jogszabályban vagy kollektív szerződésekben pontosabban meghatározott szabályokat állapíthatnak meg annak érdekében, hogy biztosítsák a jogok és szabadságok védelmét a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelése tekintetében, különösen a munkaerő-felvétel, a munkaszerződés teljesítése céljából, ideértve a jogszabályban vagy kollektív szerződésben meghatározott kötelezettségek teljesítését, a munka irányítását, tervezését és szervezését, a munkahelyi egyenlőséget és sokféleséget, a munkahelyi egészségvédelmet és biztonságot, a munkáltató vagy a fogyasztó tulajdonának védelmét is, továbbá a foglalkoztatáshoz kapcsolódó jogok és juttatások egyéni vagy kollektív gyakorlása és élvezete céljából, valamint a munkaviszony megszüntetése céljából.

1. A törvénymódosítás lépései

2. Az Mt. módosítása

2.1. A munkavállaló személyiségi jogainak korlátozása

2.2. A munkavállaló adatainak kezelése

2.3. A különleges adatok kezelése (biometrikus adatok, bűnügyi személyes adatok)

2.4. A munkavállaló ellenőrzése

3. Egyéb, a foglalkoztatást érintő módosítások

3.1. A kamerás megfigyelés új szabályai

3.2. Elektronikus beléptető rendszerek használata

1. A törvénymódosítás lépései

2018 októberében került nyilvánosságra - többek között - a munka törvénykönyvéről szóló 2012. évi I. törvény (a továbbiakban: Mt.) adatvédelmi célú módosítására vonatkozó első előterjesztés, a közkeletű elnevezéssel "GDPR-salátaként" illetett, számos ágazati jogszabályt érintő előterjesztés részeként (Előterjesztés az Európai Unió adatvédelmi reformjának végrehajtása érdekében szükséges törvénymódosításokról).[3] Figyelemmel arra, hogy az előterjesztés szövegezése a kodifikációs folyamat során változott, ezen első szövegváltozatról röviden szükséges csak szót ejtenünk, súlyt helyezve azon pontokra, amelyek a 2019. április 1-jén megszavazott törvénymódosításba - ekképpen a 2019. április 26. napján hatályba lépett, az Európai Unió adatvédelmi reformjának végrehajtása érdekében szükséges törvénymódosításokról szóló 2019. évi XXXIV. törvénynek (a továbbiakban: Módtv.) az Mt.-t érintő (módosító) rendelkezéseibe - már nem kerültek be.

Az első előterjesztés szerint az Mt. módosítása alapvetően három területet érintett volna (hasonlóan egyébként az utóbb elfogadott módosításhoz). Egyrészt generális jelleggel meghatározta a munkahelyi adatkezelés célját (az adatkezelési jogalapok[4] érintése nélkül); az adatkezelés ekképpen meghatározott célja körében pedig lehetővé tette volna, hogy mind a munkáltató, mind az üzemi tanács, illetve a szakszervezet adatkezelése során okirat bemutatását követelhesse és ennek másolatát kezelhesse.

Másrészt a különleges adatok meghatározott típusai tekintetében tartalmazott rendelkezéseket, miszerint a munkáltató a munkavállaló egyedi azonosítását célzó biometrikus adatát kezelheti, ha ez az egészség, a különleges adat, a munkáltató jelentős vagyoni érdekének védelme, a törvény által védett titok megőrzése, az adat- és információbiztonsági szabályok megtartása, veszélyes anyag őrzése és a munkavállaló kétséget kizáró azonosítása érdekében szükséges. A munkáltató az egyedi azonosítást szolgáló biometrikus adatkezelés

- 69/70 -

során keletkezett adatot munkaidő-nyilvántartás céljából is kezelhette volna az első előterjesztés értelmében (feltéve, hogy az adat a munkaidő-nyilvántartás céljára alkalmas). Az első előterjesztés az erkölcsi bizonyítvány kéréséhez, illetve kezeléséhez fűződő aggályokat is igyekezett eloszlatni, miszerint bűnügyi személyes adat akkor kezelhető, ha ez az egészség, a különleges adat, a munkáltató jelentős vagyoni érdekének védelme, a törvény által védett titok megőrzése, az adat- és információbiztonsági szabályok megtartása, veszélyes anyag őrzése miatt szükséges.

Végül kitért a munkáltatói ellenőrzés vonatkozásaira is: a munkavállaló a munkaviszonnyal összefüggő magatartása körében ellenőrizhető, ennek keretében a munkáltató technikai eszközt is alkalmazhat, erről a munkavállalót előzetesen írásban köteles tájékoztatni. Az első előterjesztés szerint a munkavállaló a munkáltató által a munkavégzéshez biztosított információtechnológiai vagy számítástechnikai eszközt - eltérő megállapodás hiányában - kizárólag a munkaviszony teljesítése érdekében használhatja; a munkáltató ellenőrzése során a munkaviszony teljesítéséhez használt számítástechnikai eszközön tárolt, a munkaviszonnyal összefüggő adatokba tekinthet be; az ellenőrzési jogosultság szempontjából munkaviszonnyal összefüggő adatnak minősül a használat (munkaviszonyhoz kapcsolódó vagy magáncélú) korlátozása betartásának ellenőrzéséhez szükséges adat is.

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: NAIH) az első előterjesztés tekintetében kritikákat fogalmazott meg az Igazságügyi Minisztérium közigazgatási államtitkárához intézett levelében.[5] A NAIH álláspontja szerint az első előterjesztés koncepcióját tekintve nem állt összhangban a GDPR rendelkezéseivel, ugyanis a 88. cikk a tagállami jogalkotónak a munkaviszonnyal kapcsolatos adatkezelések feltételeinek "pontosabb" meghatározására ad lehetőséget, ekképpen a munkahelyi adatkezelés szabályai az általános adatvédelmi rendelettel nem lehetnek ellentétesek, azokat nem ronthatják le. A NAIH aggályosnak tartotta, hogy a különleges és bűnügyi személyes adatok kezelésére vonatkozó rendelkezések a munkáltatót mint adatkezelőt az általános adatvédelmi rendelet alapján terhelő elszámoltathatóság alapelvi követelményéből fakadó felelőssége és az általános adatvédelmi rendeletben ehhez kapcsolódóan előírt kötelezettségek (adatvédelmi hatásvizsgálat, jogos érdek mérlegelése stb.) alól részben mentesítené és számára törvényi felhatalmazást adna meghatározott adatkezelési műveletek elvégzésére. Általános jelleggel arra is rámutatott a NAIH, hogy a tagállam nem alkothat olyan jogszabályt, amely előírja, hogy az adatkezelő és az érintett közötti szerződéses jogviszony[6] vagy az adatkezelő jogos érdeke[7] tekintetében mely személyes adatok kezelése szükséges és lehetséges, hiszen - az elszámoltathatóság elvével[8] összhangban - az adatkezelő joga, kötelezettsége és felelőssége az adatkezelés céljához szükséges, annak elérésére alkalmas adatkör és érintetti kör meghatározása.

Ilyen előzmények után került sor az előterjesztés szövegszerű módosítására, amely 2019. február 7-én benyújtásra került az Országgyűlés részére.[9] A törvényjavaslatnak az Mt.-t érintő módosítását módosító indítvány elfogadása nélkül szavazta meg az Országgyűlés.