A Nemzetgazdasági Minisztérium konzultációs célból 2011. július 22. napjával tette közzé az új Munka Törvénykönyve tervezetét. A javaslat munkavállalói személyes adatok kezelésére vonatkozó rendelkezései (9-11. §§) elnagyoltak és sajnálatos módon nem adnak választ a korábbi Mt. gyakorlata által felvetett problémákra. A munkáltatónak ugyanis olyan lényeges kérdésekben – mint a munkaviszony létesítésével kapcsolatos adatkezelés, elektronikus illetve kamerás megfigyelés, telefon és e-mail használat ellenőrzése, személyes adatok továbbítása külföldre – jelenleg is ellentmondó adatvédelmi biztosi állásfoglalásokra és ajánlásokra szükséges támaszkodnia, amennyiben a jogszabálynak megfelelően kíván eljárni.
A fenti helyzeten – a javasolt szabályozás alapján – sajnálatos módon az új Munka Törvénykönyve javaslat sem változtatna. Mivel az adatvédelmi hatóság 2012. január 1. napjától bírságolási jogkörrel is rendelkezik és egyértelmű szabályozási igény létezik, éppen ezért a jogbiztonság megteremtése érdekében indokolt a hazai és az európai jogfejlődés eredményeinek, így különösen az adatvédelmi biztos és a 29. számú adatvédelmi munkacsoport munkavégzéssel összefüggő joggyakorlatának és állásfoglalásainak kodifikálása az új Munka Törvénykönyve rendelkezéseibe. Ezzel kapcsolatosan szövegszerű javaslatokat tettünk, melyek lényegesen támaszkodnak a Német Szövetségi Köztársaságban két éve folyamatban levő munkavállalói személyes adatokkal kapcsolatos törvényhozási konzultáció eredményeire, illetve a Szövetségi Kormány ezzel kapcsolatosan közzétett javaslatára.
Indokolt továbbá a munkavállalói személyes adatok külföldre történő továbbításának keretében annak előírása, hogy a megfelelő szintű védelem alkalmazása (vö. információs önrendelkezési jogról és az információszabadságról szóló törvény 8. § (2) bekezdése) minden esetben kötelező legyen. Másrészről problémaként jelentkezik, hogy a Kötelező Erejű Vállalati szabályokat (http://ec.europa.eu/justice/policies/privacy/binding_rules/index_en.htm) az új információs önrendelkezési jogról és az információszabadságról szóló törvény rendelkezései nem fogadják el a megfelelő szintű védelem biztosítékaként, ami számos multinacionális vállalat esetében komoly problémát jelent és nem felel meg az európai jogfejlődésnek sem. Éppen ezért indokolt annak megtermése, hogy a Munka Törvénykönyve biztosítson megfelelő jogalapot ezen adattovábbításokra a Nemzeti Adatvédelmi és Információszabadság Hatóság megfelelő bevonásával, melyre a 95/46/EK számú irányelv 26. cikk (2) bekezdése biztosít jogalapot.
Szövegszerű javaslatunk a következő:
Munkavállalói személyes adatok kezelése
Adatkezelés a munkaviszony létesítése során
(1) A munkáltató a munkaviszony létesítésére szolgáló eljárás során kizárólag olyan személyes adat szolgáltatását kérheti a munkavállalótól, ami lényeges és amelynek kezelése a munkavállaló munkaköri megfelelőségének alátámasztásához szükséges. Az adatszolgáltatás a munkavállaló személyhez fűződő jogait nem sértheti. A munkavállalótól személyes adat felvétele kizárólag olyan körben megengedett, ami a célhoz szükséges és azzal arányos.
(2) Különleges személyes adat szolgáltatása csak abban az esetben igényelhető a munkavállalótól, amennyiben az a munkaviszony létesítésére szolgáló eljárás során az egyenlő bánásmód követelményének érvényesítéséhez szükséges. Ez a szakasz nem érinti a munkavállaló egészséggel kapcsolatos alkalmasságára vonatkozó személyes adata külön jogszabály szerinti kezelését, amennyiben ezen adat szolgáltatása a munkaköri megfelelőség alátámasztásához szükséges.
(3) A munkaviszony létesítésére szolgáló eljárás során a munkavállaló személyes adata forrása közvetlenül a munkavállaló. A munkaviszony létesítésére szolgáló eljárás keretében a munkavállaló közreműködése nélkül a nyilvánosság számára általánosan hozzáférhető információk (így Internet, sajtó) is felhasználhatók. Információs társadalommal kapcsolatos szolgáltatásként nyújtott szociális hálón hozzáférhető információ a munkaviszony létesítése keretében nem használhatóak fel, illetve ilyen adatok nem rögzíthető, ide nem értve a kizárólag szakmai célú szociális hálók útján rögzített ilyen adatokat. Harmadik személytől a munkáltató csak a munkavállaló hozzájárulásával kérheti munkavállalóra vonatkozó személyes adat szolgáltatását. A munkavállaló ilyen irányú kérésére a munkaviszony létesítése keretében róla felvett adatokról 15 napon belül tájékoztatást kell adni. A tájékoztatás nyújtása ingyenes. A jelen szakasz rendelkezéseitől a felek nem térhetnek el.
(4) Amennyiben a munkaviszony létesítésre vonatkozó elutasító döntés meghozatalát és a munkavállaló erről való tájékoztatását követően a felvételi eljárás során rögzített személyes adatok 3 munkanapon belül törlendők, kivéve, ha a munkavállaló a további tároláshoz kifejezett hozzájárulását adta.
Adatkezelés a munkaviszonnyal összefüggésben
(1) A munkaviszony keretében személyes adat akkor kezelhető, ha az adatkezelés a munkaviszony fenntartásához, megszüntetéséhez vagy azzal kapcsolatos jog gyakorlásához vagy kötelezettség teljesítéséhez szükséges. A munkaviszony létesítésére vonatkozó adatkezelési szabályok irányadók abban az esetben, amennyiben a munkakör megváltozása vagy a fennálló munkaviszony egyéb elemeinek megváltozása miatt válik szükségessé a munkavállaló személyes adatainak felvétele. A munkavállaló személyes adatainak felhasználása profilozásra tilos.
(2) A munkáltató a munkavállaló személyes adatát kizárólag a munkavállaló tájékoztatása mellett rögzítheti. A munkáltató a munkavállaló személyes adatát a munkavállaló tájékoztatása nélkül csak abban az esetben rögzítheti, amennyiben
a) megalapozottan feltehető, hogy a munkavállaló munkaviszonyával összefüggésben bűncselekményt vagy olyan súlyos kötelezettségszegést követ el, ami a munkaviszony azonnali hatállyal való megszüntetését megalapozza és személyes adat rögzítése szükséges ahhoz, hogy a bűncselekményt vagy más súlyos kötelezettségszegést felderítsék vagy további más ilyen cselekményekkel kapcsolatban álló bűncselekményeket vagy súlyos kötelezettségszegéseket megakadályozzanak;
b) az adatkezelés ehhez szükséges, arányos, időtartamában a 24 órát nem haladja meg;
c) az adatkezelés elkerülhetetlen, mivel a tényállás más módon való felderítése másképp ellehetetlenülne vagy jelentősen elnehezülne;
d) harmadik személy személyes adatát csak az elkerülhetetlenül szükséges mértékben érinti;
e) a felvett személyes adatot jelen szakaszban meghatározottól eltérő célra nem használják fel; és
f) az adatrögzítés megtörténtéről és annak terjedelméről a munkavállalót haladéktalanul írásban tájékoztatják, amennyiben az adatfelvétel célját a tájékoztatás nem veszélyezteti.
Az a) pontban jelzett körülmények fennállásáról a munkáltató az adatfelvételt megelőzően jegyzőkönyvet köteles felvenni, melyet két tanú hitelesít. Az adatkezelést haladéktalanul meg kell szüntetni és a felvett adatokat törölni kell, amennyiben az adatkezelés célja nem elérhető vagy a további tárolás a munkavállaló érdekeivel ellentétes. A törlés indoka jegyzőkönyvben rögzítendő. A munkáltató nem kezelheti a munkavállaló olyan személyes adatát, ami a munkaviszony tárgyára nem tartozik. Ilyen adat felvétele esetén azt haladéktalanul törölni szükséges.
(3) A munkáltató elektronikus megfigyelőrendszer működése útján kép-, hang-, valamint kép- és hangfelvételt, továbbá elektronikus beléptető rendszert kizárólag a személy- és vagyonvédelmi, valamint a magánnyomozói tevékenység szabályairól szóló 2005. évi CXXXIII. törvény 30-32 §§-ban rögzített feltételekkel összhangban alkalmazhat, feltéve, hogy az adatkezeléshez fűződő érdek a munkavállalók személyes adatainak védelméhez való jog korlátozásával arányban áll. Tilos felvételt készíteni az ott tartózkodó munkavállalók részére öltözés, alvás illetve szabadidő eltöltése céljából rendelkezésre bocsátott helyiségekben.
(4) A munkavállaló tartózkodási helyének rögzítésére alkalmas technológiát a munkáltató csak abban az esetben alkalmazhat, amennyiben az a munkavégzési célból szükséges a munkavállalók biztonságának védelméhez vagy munkájuk irányításához, feltéve, hogy adatkezeléshez fűződő munkáltatói érdek a munkavállaló személyes adata védelméhez való jog korlátozásával arányban áll. A munkáltató előzetes figyelemfelhívó tájékoztatást köteles nyújtani a munkavállaló tartózkodási helyének rögzítésére alkalmas technológia alkalmazásáról és a rögzített adatok köréről. A rögzített adatok a jelen bekezdésben rögzített céltól eltérő módon nem használhatóak fel. Az adatokat az adatkezelés céljának megszűnésével haladéktalanul törölni kell.
(5) A munkáltató a munkavállaló biometrikus azonosítóját a munkavállaló írásbeli hozzájárulása alapján és kizárólag azonosítási célzatból kezelheti, feltéve, hogy adatkezeléshez fűződő munkáltatói érdek a munkavállaló személyes adatainak védelméhez való jog korlátozásával arányban áll. A jelen bekezdés alkalmazásában biometrikus azonosító az olyan személyes adat, amely az érintett magatartási jellegzetességeire, élettani, fiziológiai ismertetőjegyeire vonatkoznak és amelynek alapján az érintett egyértelműen és közvetlenül azonosítható. Biometrikus azonosító különösen az ujjlenyomat, a tenyérlenyomat, a DNS profil, illetve az írisz-kép.” A biometrikus azonosítót az adatkezelési cél megszűnésével haladéktalanul törölni kell.
(6) Amennyiben a munkáltató által a munkavállaló rendelkezésre telekommunikációs eszközök használata kizárólag munkavégzési célból engedélyezett, úgy a munkáltató az eszköz használatával kapcsolatos forgalmi adatokat kezelheti, amennyiben az a telekommunikációs rendszer technikai működésének ellenőrzése céljából vagy számlázási illetve elszámolási célból szükséges, feltéve, hogy a munkavállalót erről előzetesen értesítették. A munkavállaló részére kizárólag munkavégzési célból rendelkezésre telekommunikációs eszközök útján bonyolított kommunikáció tartalmát a munkáltató a munkavállaló hozzájárulásával, csak esetileg és csak abban az esetben ellenőrizheti, amennyiben ezt a munkáltató jogos érdeke szükségessé teszi és az ellenőrzés lehetőségéről a munkavállaló érintett kommunikációs partnerét előzetesen tájékoztatták, melyhez a partner hozzájárult. Amennyiben a munkavégzési célból történő telekommunikációs eszközhasználat a munkavégzés túlnyomó részét képezi, úgy a munkáltató a munkavállaló hozzájárulása nélkül csak esetileg és csak abban az esetben ellenőrizheti, amennyiben ezt a munkáltató jogos érdeke szükségessé teszi és az ellenőrzés lehetőségéről a munkavállaló kommunikációs partnerét előzetesen tájékoztatták, melyhez az érintett partner hozzájárult.
(7) Amannyiban a munkáltató a jelen szakaszban szabályozott adatkezelést végez, úgy a munkavállalók személyes adatainak kezeléséről adatvédelmi és adatbiztonsági szabályzatot köteles meghatározni, továbbá 10 főfoglalkozású munkavállalót foglalkoztató munkáltató belső adatvédelmi felelőst köteles kinevezni. A szabályzat elfogadására nézve a munkáltatónál működő üzemi tanács konzultációs joggal rendelkezik.
(8) A munkavállalói személyes adatok kezelésének jelen törvénynek illetve adatvédelmi és adatbiztonsági követelménynek való megfelelőségét vita esetén a munkáltató tartozik bizonyítani.
Tájékoztatási kötelezettség
Amennyiben a munkáltató észleli, hogy az általa kezelt vagy az általa megbízott adatfeldolgozó által kezelt munkavállalói személyes adat alaposan feltehetően jogosulatlan személy tudomására jutott vagy jogsértő módon került továbbításra, erről az érintettet a munkáltató haladéktalanul tájékoztatni köteles. A tájékoztatás csak abban az esetben mellőzhető, amennyiben annak elmaradása – tekintettel az érintett adatok körére, természetére és az érintettek számára – a munkavállalók jogos érdekét nem sérti vagy veszélyezteti.
Külföldre történő adattovábbítás
A munkáltató munkavállalói személyes adatot EGT-n kívüli országba csak az adatvédelmi törvényben meghatározott feltételekkel továbbíthat, amennyiben az adatkezelés vagy adatfeldolgozás során megfelelő szinten biztosított a továbbított személyes adatok védelme. A munkáltató és a munkáltató tagvállalata közötti adattovábbítás abban az esetben is lehetséges, amennyiben a munkáltató a Nemzeti Adatvédelmi és Információszabadság Hatóság részére az adatkezelés vagy adatfeldolgozás szabályainak ismertetésével igazolja, hogy az adatkezelés vagy adatfeldolgozás során megfelelő szinten biztosítja a személyes adatok védelmét, az érintettek jogait és azok érvényesítését. Az adatkezelés vagy adatfeldolgozás szabályainak ismertetésére az adatvédelmi nyilvántartásba való bejelentkezés információs önrendelkezési jogról és az információszabadságról szóló törvényben rögzített szabályait kell alkalmazni azzal, hogy arra a vonatkozó törvény 68. § (3) bekezdése irányadó.
