A NAIH útmutatásai a jogos érdek jogalapként való alkalmazásával kapcsolatban

A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) márciusban több olyan döntést is közzétett honlapján, amelyek az Átalános adatvédelmi rendelet (GDPR) 6. cikk (1) bekezdés f) pontjában foglalt jogalap értelmezésével és alkalmazásával kapcsolatban tartalmaznak iránymutatásokat. Az említett rendelkezés értelmében a személyes adatok kezelése jogszerű, amennyiben az „az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges”, feltéve, ha ezen érdekekkel szemben nem élveznek elsőbbséget az érintett érdekei vagy alapvető jogai és szabadságai. E jogalap biztosítja tulajdonképpen a legnagyobb szabadságot az adatkezelők számára ahhoz, hogy személyes adatokat kezeljenek. Ez a szabadság azonban felelősséggel is párosul, így ahhoz, hogy az adatkezelés jogszerűnek minősüljön az adatkezelők kötelesek eleget tenni bizonyos kötelezettségeknek. Utóbbiak tekintetében fogalmazott meg gyakorlati jelentőségű útmutatást a NAIH.

A NAIH 2019. március 1-jén közzétett állásfoglalásában az iskolai osztályképek és tömegfelvételek készítésével és közzétételével kapcsolatban értelmezte a jogos érdeket mint az adatkezelés jogszerűségét biztosító jogalapot. A hatóság ebben a vonatkozásban hangsúlyozta, hogy az egyes adatkezelési műveletek – rögzítés és közzététel – céljai tekintetében külön-külön és pontosan kell azonosítani az iskola érdekeit. Az érdekmérlegelési tesztnek tehát egyértelműen tartalmaznia kell, hogy „melyik adatkezelési művelet elvégzése pontosan miért áll jogos érdekében az iskolának”. Az említett jogalap ugyanakkor csak abban az esetben alkalmazható, ha ezen túlmenően az „érdekmérlegelési teszt konklúziója az, hogy az érintetti jogok korlátozása arányban áll az iskolának az e jogok korlátozásával érvényesülő jogos érdekével”. Kiemelendő továbbá, hogy a jogszerűség további feltétele az adatalanyok tájékoztatása az adatkezelés körülményeiről, különös tekintettel a tiltakozáshoz való jog gyakorlásáról.

A hatóság 2019. március 4-én közzétett határozatában egy követeléskezelő cég adatkezelésével kapcsolatban állapított meg jogsértést, többek között az alkalmazott jogalappal összefüggésben. Az ügy alapját az képezte, hogy az adatkezelő megtagadta az adós telefonszámának törlését nyilvántartásából. Ezt azzal indokolta, hogy az említett információ kezelését „a lejárt tartozás telefonos megkeresés útján történő érvényesítése érdekében és céljából”, jogos érdek alapján kezelheti. A NAIH ebben a vonatkozásban elismerte, hogy az adatkezelő vagy harmadik személyek jogos érdeke elsőbbséget élvez az érintetti jog gyakorlásával szemben, amennyiben a személyes adatok kezelése jogi igények előterjesztése, érvényesítése, illetve védelme érdekében szükséges. Azonban az adatkezelőnek az ún. érdekmérlegelési teszt elvégzésével igazolnia kell, hogy valóban fennállnak ilyen érdekek. A tesztet minden egyes adatkezelési cél vonatkozásában el kell végezni, amelynek során egyértelműen azonosítani kell az érintett érdekeit, illetve ténylegesen vizsgálni kell az adatkezelő érdekeinek elsődlegességét is. Ennek hiányában az érdekmérlegelés nem megfelelő, amely az adatkezelés jogellenességéhez vezet.

Forrás: http://naih.hu