Tapasztalataim szerint a gyakorlatban a kölcsönvevő és a kölcsönbeadó sokszor hibásan vagy átgondolatlanul kötnek az adatkezeléssel kapcsolatos megállapodást. Ennek kapcsán tartom szükségesnek a kölcsönvevő és a kölcsönbeadó adatkezeléssel kapcsolatos státusza elhatárolásának tisztázását.
A feladat tehát annak meghatározása, hogy a kölcsönzött munkavállalók, mint érintettek személyes adatainak kezelése a kölcsönvevő és a kölcsönbeadó relációjában önálló adatkezelői adattovábbításnak, közös adatkezelésnek vagy adatfeldolgozásnak minősül-e.
A terjedelmi korlátokra tekintettel a GDPR és az Info tv. ismertetését ehelyütt mellőzöm, feltételezve, hogy az olvasó a hatályos adatkezelési szabályokkal kapcsolatosan megfelelő alaptudással rendelkezik.
A munkaerő-kölcsönzés sajátosságai adatkezelési szempontból
A felvetés értelmezéséhez először meg kell vizsgálni a munkaerő-kölcsönzés adatkezelési szempontból releváns eltéréseit az általános szabályok szerinti munkaviszonyban történő adatkezeléstől.
A munkaerőkölcsönzés során a kölcsönvevő és a kölcsönbeadó a jogszabályban és a kettejük közötti szerződésben foglaltaknak megfelelően megosztva gyakorolják a kölcsönzött munkavállaló foglalkoztatásával összefüggő jogokat és kötelezettségeket. A munkaerőkölcsönzés Munka Törvénykönyve (Mt.) szerinti fogalommeghatározásai és taxatív szabályai alapján például a munkaviszony létesítésével és megszüntetésével, valamint a bér kifizetésével kapcsolatos jogokat és kötelezettségeket a kölcsönbeadó, míg a munkaidő beosztásához és a munka irányításához kapcsolódó jogokat és kötelezettségeket biztosan a kölcsönvevő gyakorolja. Ebből következően mindkét fél biztosan kezel a munkavállalóhoz kapcsolódó személyes adatokat. Mindkettőjüknek szüksége van arra, hogy megismerjék a munkavállaló nevét, a szakképzettségét, a lakhelyét, munkavégzésre való alkalmasságáról készült orvosi vizsgálat eredményét, nyilvántartsák a munkában töltött idejét, a vele kapcsolatban esetlegesen alkalmazott hátrányos jogkövetkezményre okot adó tényeket, és rengeteg egyéb személyes adatot. Van olyan kötelezettség is, amelyet mind a kölcsönvevőnek, mind a kölcsönbeadónak teljesítenie kell, amihez azonos tartalmú személyes adatokat kell kezelniük; ilyen például a munkavállaló jogviszonyának hatósághoz történő bejelentése.
A fentiek alapján a munkavállaló azon személyes adatait, amelyeket mind a kölcsönbeadó, mind a kölcsönvevő kezel a munkaviszony alatt, a következő csoportokba sorolhatjuk:
- az adatokat a munkavállaló adta meg a kölcsönbeadónak, aki azokat továbbítja a kölcsönvevő részére (pl. a munkavállaló NAV bejelentéséről szóló igazolásban szereplő személyes adatok)
- az adatok a kölcsönbeadónál keletkeztek, aki azokat továbbítja a kölcsönvevő részére (pl. a munkaszerződés megkötéséhez kapcsolódó adatok)
- az adatokat a munkavállaló adta meg a kölcsönvevőnek, aki azokat továbbítja a kölcsönbeadó részére (pl. távollétek igazolásai)
- az adatok a kölcsönvevőnél keletkeztek, aki azokat továbbítja a kölcsönbeadó részére (pl. a munkaidő-nyilvántartás adatai)
- az adatokat mind a kölcsönbeadónak, mind a munkáltatónak a munkavállaló adta meg (pl. közvetlen elérhetősége, telefonszám, e-mail cím)
A gyakorlatban jellemző, hogy a felek egyike – jellemzően a kölcsönvevő – az adatkezelés tekintetében adatfeldolgozásra vagy közös adatkezelésre irányuló megállapodás megkötését kezdeményezi. Tegyük fel hát a kérdéseket.
Adatfeldolgozás-e a kölcsönbeadó és a kölcsönvevő párhuzamos adatkezelése?
A GDPR szerint adatfeldolgozó: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel
Az Info tv. szerint adatfeldolgozó: az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között és feltételekkel – az adatkezelő megbízásából vagy rendelkezése alapján személyes adatokat kezel
A GDPR a más „nevében”, míg az info tv. a más „megbízásából vagy rendelkezése alapján” megfogalmazást használja. Bár a két fogalomhasználat több szempontból nem feltétlenül azonos, azonban abból, hogy valaki azáltal válik adatfeldolgozóvá, hogy az adatokat nem a saját nevében, hanem más személy megbízásából vagy rendelkezése alapján kezeli, arra következtethetünk, hogy az adatfeldolgozó adatkezelési tevékenységének egyetlen értelmezhető jogalapja az, hogy az adatkezelővel kötött szerződésben foglalt kötelezettségeinek eleget tegyen, amely szerződés vagy kifejezetten adatfeldolgozásra jött létre, vagy pedig olyan tevékenységre, ahol az adatkezelés a szolgáltatásnak olyan elválaszthatatlan eleme, amely lehetővé teszi, hogy adatfeldolgozó képes az adatokat kizárólag az adatkezelő rendelkezései alapján kezelni, és azok kezelésére egyéb jogalapja vagy kötelezettsége nincs.
Ezen a ponton visszatekintve az előző fejezetben írtakra, nézzük meg, hogy milyen jogalappal kezeli a kölcsönbeadó és a kölcsönvevő a munkavállaló azonos személyes adatait. Példaképpen vegyük a munkavállaló munkaidőnyilvántartásában szereplő személyes adatait. A kölcsönbeadó csak úgy tudja a munkavállalóval fennálló jogviszonyából fakadó szerződéses kötelezettségét, konkrétan a bérfizetést teljesíteni, ha kezeli ezen adatokat. A kölcsönvevőnek kell teljesítenie a beosztott és teljesített munkaidő és pihenőidő nyilvántartására vonatkozó kötelezettségeket. Emellett persze az egymás közötti szerződés teljesítése érdekében is szükség van ezen adatok kezelésére. Azonban ez utóbbival együtt is jól látható a példából, hogy az adatok köre ugyan azonos, de a jogalap egyik adatot kezelő fél esetében sem (kizárólag) az, hogy a másik fél megbízásából vagy rendelkezése alapján kezeljék az adatokat.
A példában szereplő indoklást végig lehet vezetni szinte minden adattípusra: név, lakóhely, végzettség, keresőképtelen időszakok, betegségek, fogyatékosságok, fegyelmi vétségek, stb.
Még a hatóságok felé történő bejelentés érekében kezelt adatok jogalapja sem azonos, mert bár mindkettejük részéről a cél a jogszabályi kötelezettség teljesítése, a kötelezettséget nem ugyanaz a jogszabályhely írja elő, és annak teljesítése teljesen elkülönült kötelezettsége a két adatkezelőnek.
A fentiek alapján egyértelműen megállapítható, hogy egyik adatot kezelő fél sem adatfeldolgozója a másiknak.
A kölcsönbeadó és a kölcsönvevő közös adattkezelőnek minősülnek-e a mindkettőjük által kezelt munkavállalói személyes adatok vonatkozásában?
A GDPR szerint közös adatkezelő: ha az adatkezelés céljait és eszközeit két vagy több adatkezelő közösen határozza meg, azok közös adatkezelőknek minősülnek.
Az Info tv. szerinti közös adatkezelő: az az adatkezelő, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között – az adatkezelés céljait és eszközeit egy vagy több másik adatkezelővel közösen határozza meg, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket egy vagy több másik adatkezelővel közösen hozza meg és hajtja végre vagy hajtatja végre az adatfeldolgozóval.
Itt már azonosan került megfogalmazásra a fogalom lényegi eleme: az adatkezelés céljának és eszközeinek közös meghatározása.
Az előző pontban már láttuk, hogy az adatkezelés jogalapja ugyanazon személyes adatok tekintetében eltér. A jogszabály teljesítése érdekében kezelt adatok, a szerződés teljesítése érdekében kezelt adatok, valamint az adatkezelő vagy harmadik fél jogos érdeke alapján kezelt adatok esetén a jogalap azonos az adatkezelés céljával, tehát az adatkezelés céljai is eltérnek. Azt az adatot, amelyet a kölcsönvevő a kölcsönbeadóval fennálló szerződése teljesítése érdekében/céljából kezeli, például hogy milyen cafeteria juttatásokra jogosult a munkavállaló, azt a kölcsönbeadó a jogszabályban előírt kötelezettsége és/vagy a munkavállalóval fennálló szerződésének teljesítése érdekében/céljából kezeli.
Továbbá: a cél és az eszköz között mindkét jogszabályi meghatározás additív és nem alternatív kapcsolatot rögzít. Azaz, ha a cél azonos is lenne, még akkor is szükség van arra, hogy a munkáltatói jogokat gyakorló felek közösen határozzák meg az adatkezelés eszközeit is. A munkaerőkölcsönzés gyakorlatában elképzelhetetlen, hogy például a kölcsönvevő beleszólhasson annak meghatározásába, hogy kölcsönbeadó milyen eszközöket használjon a bérszámfejtésre, vagy a kölcsönbeadó formáljon jogot annak eldöntésében való részvételre, hogy kölcsönvevő milyen eszközök igénybevételével tartsa nyilván a munkaidőt.
A válasz tehát nem, a kölcsönbeadó és a kölcsönvevő nem közös adatkezelők.
Jogszerű-e minden, a munkáltató által kezelt személyes adat továbbítása a munkáltatásban résztvevő felek között?
A fentiek alapján tehát az adatokat kezelő felek egyike sem adatfeldolgozója a másiknak, valamint nem minősülnek közös adatkezelőknek sem. Ebből adódóan mindkét fél önálló célból és jogalappal, az adatkezelési elveknek és szabályoknak megfelelő eszközökkel és módon kezelheti csak a kölcsönzött munkavállalók személyes adatait. Ugyanakkor vannak olyan munkavállalói személyes adatok is, amelyeket csak ez egyik munkáltatói szerepkörben szükséges kezelni. Itt emlékeztetek a GDPR adatkezelési elveket meghatározó rendelkezései közül kettőre
„A személyes adatok […]
- gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon („célhoz kötöttség elve”);
- az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság elve”);”
Ezek alapján annak a félnek az adatkezelése jogszabályba fog ütközni, amelyik olyan személyes adatokat kezel, amelyek kezelése a célhoz kötöttség és/vagy az adattakarékosság elvébe ütközik. Ilyen lehet például, ha a kölcsönvevő a kölcsönbeadótól a kölcsönzött munkavállaló bérelszámolási lapjait kéri, hisz nincs olyan cél, ami alapján a kölcsönvevőnek megfelelő jogalapja lenne olyan adatok kezelésére, mint amilyenek egy bérelszámolási lapból kiolvashatók: a munkavállaló kötött-e házasságot az elmúlt két évben, mennyi gyermeke van, van-e fogyatékkal élő gyermeke, béréből a hatóság vagy a bíróság letiltásról határozott, stb. Természetesen a munkavállalók bruttó béradatai, amelyek a felek közötti elszámoláshoz szükségesek, átadhatók a kölcsönvevőnek. Ugyanígy „nem tartozik” a kölcsönbeadóra, hogy a munkavállalónak milyen fegyelmi vétségei voltak a kölcsönvevőnél, hogy ittasan jelent meg a munkahelyén (mindaddig, míg erre tekintettel a kölcsönvevő meg nem kívánja szüntetni a munkavállaló munkaviszonyát, és a felmondás indoklásához ezen adatokra kölcsönvevőnek szüksége lesz), vagy hogy a kölcsönvevő által előírt képzést a munkavállaló milyen eredménnyel teljesítette.
Kezelheti-e a kölcsönvevő a jelentkezők személyes adatait?
Célszerű röviden kitérni arra is, hogy a gyakorlatban sok esetben már a munkajogviszony létesítése előtt történik adattovábbítás a kölcsönbeadó részéről a kölcsönvevő részére, rendszerint annak érdekében, hogy a kölcsönvevő meggyőződhessen a jelölt alkalmasságáról.
Ebben az esetben a jelölt személyes adatainak kezelése mind a kölcsönbeadó, mind a kölcsönvevő részéről kizárólag a jelölt hozzájárulása alapján kezelhető, de ebben az esetben – tekintettel arra, hogy a jelölt nem maga adja meg személyes adatait a kölcsönvevőnek – a munkavállaó hozzájárulását a kölcsönbeadó kötelessége beszerezni, és a hozzájárulást olyan tájékoztatás alapján kell megadnia a jelöltnek, amely teljes körűen tartalmazza a kölcsönvevő részére történő adattovábbításról szóló információkat is.
Ugyanakkor a kölcsönbeadó által kezelt, illetve a kölcsönvevő részére továbbított információk körének meghatározása során is tekintettel kell lenni a célhozkötöttség és az adattakarékosság elvére, azaz még a kölcsönvevő kifejezett kérésére vagy a kölcsönvevő és a kölcsönbeadó közötti szerződésben vállalt kötelezettség teljesítésére történő hivatkozással sem kezelhető olyan személyes adat, ami nem köthető konkrét célhoz, például a jelölt alkalmasságának megítéléséhez.
Összegzés
A gyakorlatban fennakadást okozhat a kölcsönvevő és a kölcsönbeadó kapcsolatában az, ha az egyik fél e körbe tartozó személyes adatok továbbítását kéri (követeli) a másik féltől, ezért fontos a fentieknek a felek közötti megfelelő tisztázása, akár akként, hogy a felek az adatkezeléssel kapcsolatos jogaikat és kötelezettségeiket megállapodásban rögzítik, azonban e megállapodások nem adatfeldolgozói szerződések, illetve nem irányulhatnak közös adatkezelésre.
Dr. Simon Balázs
Jogi és kommunikációs igazgató
Humánia HRS Group Zrt.