Webáruház eladásához kapcsolódó adattovábbítás jogalapja (NAIH állásfoglalás)

Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 3. § 10. pontja alapján adatkezelésnek minősül az adatok továbbítása is. Az Infotv. 3. § 11. pontja értelmében adattovábbítás „az adat meghatározott harmadik személy számára történő hozzáférhetővé tétele.” Az Infotv. 3. § 22. pontja alapján harmadik személy „olyan természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely nem azonos az érintettel, az adatkezelővel vagy az adatfeldolgozóval.”

A fenti jogszabályi rendelkezések alapján tehát adattovábbításnak, így adatkezelésnek minősül az, ha az eladó adatkezelő a személyes adatokat tartalmazó adatbázist – a jogügylethez kapcsolódóan – átadja a vevőnek mint új adatkezelőnek.

Az eladó adatkezelőnek az adattovábbítás jogszerűségéhez mindenekelőtt megfelelő jogalappal kell rendelkeznie.

A jogalap kérdése

Az adatkezelés lehetséges jogalapjait alapvetően az Infotv. 5-6. §-a tartalmazza. Az Infotv. 6. § (5) bekezdés b) pontjának alkalmazhatósága esetén, ha a személyes adat felvételére az érintett hozzájárulásával került sor, az adatkezelő a felvett adatokat törvény eltérő rendelkezésének hiányában az adatkezelő vagy harmadik személy jogos érdekének érvényesítése céljából további külön hozzájárulás nélkül is kezelheti, ha ezen érdek érvényesítése a személyes adatok védelméhez fűződő jog korlátozásával arányban áll.

Emellett az adatkezelők a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelv (a továbbiakban: Adatvédelmi Irányelv) 7. cikk f) pontját is alkalmazhatják jogalapként. Az Adatvédelmi Irányelv 7. cikk f) pontja értelmében személyes adat kezelhető abban az esetben is, ha az adatkezelés az adatkezelő, vagy az adatokat megkapó harmadik fél, vagy felek jogszerű érdekének érvényesítéséhez szükséges, kivéve, ha ezeknél az érdekeknél magasabb rendűek az érintettek személyes adatok kezelése vonatkozásában a magánélet tiszteletben tartásához való joguk. Az Európai Bíróság a C-468/10. és C-469/10. sz. egyesített ügyekben hozott ítéletében kimondta, hogy az Adatvédelmi Irányelv 7. cikk f) pontjának közvetlen hatálya van, így a tagállami bíróság előtt adatkezelők e jogalapra hivatkozhatnak.

A Hatóság a NAIH/2015/515/3/H. számú határozatában egy hasonló tényállású ügyben az adattovábbítás jogalapjaként elfogadta az Adatvédelmi Irányelv 7. cikk f) pontját.

Érdekmérlegelési teszt elvégzésének szükségessége

Függetlenül attól, hogy az eladó adatkezelő az Infotv. vagy az Adatvédelmi Irányelv rendelkezését választja, el kell végeznie az érdekmérlegelés tesztjét.

Az érdekmérlegelési teszt egy három lépcsős folyamat, melynek során azonosítani kell az adatkezelő jogos érdekét, valamint a súlyozás ellenpontját képező adatalanyi érdeket, érintett alapjogot, végül a súlyozás elvégzése alapján meg kell állapítani, hogy kezelhető-e a személyes adat.

A teszt elvégzése során az eladó adatkezelőnek számos szempontra figyelemmel kell lenni, amelyek közül a NAIH az alábbiakat emeli ki:

Az eladó adatkezelőnek a teszt eredményéről – miért tartja úgy, hogy az adatkezeléshez fűződő érdeke arányosan korlátozza az érintett érdekeit és jogait – közérthető és világos módon megfogalmazott tájékoztatást kell nyújtania az érintettek számára. A tájékoztatásnak emellett természetesen ki kell térnie a jogügylet és az ahhoz kapcsolódó adattovábbítás lényeges körülményeire (így például mikor és kinek továbbítja az adatokat).

Az eladó adatkezelőnek hatékony és feltétlen tiltakozási lehetőséget kell az érintett számára biztosítania, amelynek során az érintettek az érdekmérlegelési teszt eredményének bemutatását követően lehetőséget kapnak arra, hogy még az adatbázis, és így az érintettek az adataik átadása előtt kérhessék a személyes adataik törlését, vagyis tiltakozni tudjanak személyes adataik kezelése ellen. Enélkül nem valósul meg a jogalkotó által elvárt egyensúly a konkuráló érdekek között.

A vevő adatkezelő kizárólag az eladó adatkezelési tájékoztatójában foglaltak szerint folytathatja az adatkezelést. Az adatkezelés bármilyen természetű módosítását már olyan új adatkezelésnek kell tekintetni, amely miatt a vevő adatkezelőnek új hozzájárulást kell beszereznie. Ez alól kivételt jelent az adatfeldolgozó megválasztása (így például a vevő adatkezelő új adatfeldolgozóként egy másik tárhelyszolgáltatót bízhat meg), minthogy a vevő adatkezelő az adatfeldolgozóért felelősséggel tartozik, és az adatkezelés lényeges körülményei ettől alapvetően nem változnak meg.

Jogszabályi előíráson alapuló adatkezelés

Emellett figyelemmel kell lenni arra is, hogy webáruház esetében bizonyos adatkezelések törvényi rendelkezésen alapulnak (ilyennek tekinthető például a bizonylatmegőrzési kötelezettség, amely a számvitelről szóló 2000. évi C. törvény rendelkezik). Ezen adatkezelések esetében habár az érintett adja meg a személyes adatokat az adatkezelőnek, ennek ellenére nem tekinthetőek hozzájáruláson alapuló adatkezelésnek, így a jogügylet során ezen adatkezelések esetében nem alkalmazható az Infotv. 6. § (5) bekezdés b) pontjában foglalt jogalap.

Az eladó adatkezelőnek és a vevő adatkezelőnek tisztáznia kell azt, hogy a jogügyletet megelőzően fennálló, törvényen alapuló adatkezelések esetében kit terhel a jogszabályban meghatározott időtartamig történő adatmegőrzés (így például az átruházás előtt keletkezett bizonylatok esetében kit terhel a 8 éves bizonylatmegőrzési kötelezettség). Amennyiben a megállapodás értelmében az eladó adatkezelőt terheli a kötelezettség, akkor ebben az esetben az e célú adatkezelés tekintetében az eladó továbbra is adatkezelő marad. Azonban ha a jogügyletet követően vevőt terheli a törvényi rendelkezésen alapuló adatmegőrzési kötelezettség, akkor ebben az esetben az adattovábbítás jogalapja az Infotv. 5. § (1) bekezdés b) pontja szerinti törvényi felhatalmazás (illetve az adatkezelést elrendelő jogszabály).

A törvényi felhatalmazáson alapuló adatkezelésekben bekövetkező változásokról az eladó adatkezelőnek ugyancsak tájékoztatást kell nyújtania az érintettek számára.