Az energiaválság következtében az önkormányzatokra és hivatalaikra többlet feladat hárul; gondoljunk csak a családi fogyasztói közösségek számára igénybe vehető rezsikedvezményre vagy a lakossági barnakőszén igényfelmérésre.

Ezen feladatok, különösen, hogy szűk határidővel kell teljesíteni azokat, rendkívüli mértékben tehetik terhesebbé a mindennapi munkavégzést, melynek következtében elsőre nem biztos, hogy mindenki a GDPR és az adatkezelés megfelelőségére gondol. Pedig szükséges lenne. A fent említett két feladat teljesítése szükségszerűen együtt jár a személyes adatok kezelésével, mely adatkezelés a GDPR hatálya alá tartozik.

Mire figyeljünk? Tehetjük fel a kérdést, melyre az alábbi gondolatébresztőben keressük a választ.

Első körben azt kell meghatározni, hogy ki minősül adatkezelőnek.

Az adatkezelő fogalmát a GDPR 4. cikk 7. pontja határozza meg.
A fogalom idézése nélkül adatkezelő az, aki az adatkezelés célját és eszközeit önállóan vagy másokkal együtt meghatározza. A "másokkal együtt" fordulat a közös adatkezelőt jelenti, vagyis ilyen esetben nem egy, hanem több adatkezelő van befolyással ugyanazon adatkezelésre.

Az adatkezelői minőséghez nem szükséges az, hogy az adatkezelő ténylegesen ismerje, hozzáférjen a személyes adatokhoz, hanem elegendő az is, ha érdemi döntést hoz az adatkezelést illetően. Ilyen érdemi döntésnek minősül többek között az adatkezelés céljának meghatározása, vagyis hogy miért, milyen tevékenység teszi szükségessé az adatkezelést, a kezelt adatok körének meghatározása, a személyes adatokhoz való hozzáférés és adattovábbításról való döntés.

Kiemelt figyelemmel az adatkezelési alapelvekre!

A cél nélküli adatkezelés tilos, ezt nem lehet elégszer hangsúlyozni. Ha a jogszerű cél adott, mert arról például jogszabály rendelkezik, de a kezelt adatok köre nincs egyértelműen meghatározva, kiemelt figyelemmel kell lenni a GDPR 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elvére. Ez azt jelenti, hogy a gyakorlatban az adatkezelés megkezdése előtt vizsgálni szükséges, hogy az adatkezelés céljához kellenek-e egyáltalán személyes adatok, és amennyiben igen, kizárólag annyi és olyan személyes adat kezelhető, mely szükséges és egyben elégséges a cél eléréséhez.

Adatkezelés kizárólag megfelelő jogalappal!

Ha az említett két önkormányzati/hivatali feladatra gondolunk, felmerülhet a kérdés, hogy jó-e a hozzájárulás jogalapja, hiszen mind a rezsitámogatáshoz igényelt hatósági bizonyítvány, mind a tüzelőanyagról szóló igényfelmérésben részvétel önkéntesen történik, arra a lakosságot, vagyis az érintetteket nem lehet kényszeríteni.

Noha a kérelem/részvétel önkéntes a lakosság részéről, ez nem jelenti azt, hogy az adatkezelésre a GDPR 6. cikk (1) bekezdés a) pontja szerinti hozzájárulás jogalapján kerülne sor.
A GDPR (43) preambulumbekezdése szerint "(...) a hozzájárulás olyan egyedi esetekben nem szolgálhat érvényes jogalapként a személyes adatok kezeléséhez, amelyekben az érintett és az adatkezelő között egyértelműen egyenlőtlen viszony áll fenn, különösen ha az adatkezelő közhatalmi szerv, és az adott helyzet valamennyi körülményét figyelembe véve ezért valószínűtlen, hogy a szóban forgó hozzájárulás megadása önkéntesen történt (...)"

Álláspontunk - összhangban a NAIH állásfoglalásaira és gyakorlatára - a két példaként említett feladat tekintetében az adatkezelésre a GDPR 6. cikk (1) bekezdés e) pontja ("az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges") alapján kerülhet sor, hiszen közfeladat ellátásával összefüggésben történik az adatkezelés.

A GDPReg Kft. csapata azon dolgozik, hogy ügyfeleink adatkezeléssel kapcsolatos munkáját segítsük, a terheket levegyük, a félelmet csökkentsük. Adatkezelési sablonjainkkal, iránymutatásainkkal sokat tehet a GDPR megfelelőség előmozdítása érdekében, legyen ügyfelünk!

Ügyfeleink számára tájékoztató most is e-mailt küldtünk a lényeges teendőkről, aktualitásokról.
Azt javasoljuk, hogy kérjenek segítséget adatvédelmi tisztviselőjüktől.

Az adatkezelési sablonok frissítésével, újak rögzítésével, adatkezelési tájékoztatók generálásával kapcsolatban kereshető tanácsadó munkatársunk is:
Schubert Lajos, schubert.lajos@gdpreg.hu, +36 20 5218950

A cikket készítette: Dr. Farkas Beáta adatvédelmi szakjogász, GDPReg Kft.