Bosszúból jelentették fel az állatvédőket: a GDPR és az állatvédelem összefüggéséről írt jogászunk

A következőkben Dr. Kajó Cecília jogász ismerteti, hogy milyen szabályok vonatkoznak a civil állatvédő szervezetekre és gyepmesteri telepekre a személyes adatok kezelésével kapcsolatban.

„Érdekes tanácskéréssel fordult hozzánk nemrégiben egy állatvédő szervezet, illetve egy gyepmesteri telep. Az emberi tényezőt mindig számításba véve, feltehetően bosszúból bejelentést tettek ellenük a NAIH-nál (Nemzeti Adatvédelmi és Információszabadság Hatóság) a személyes adatkezelést érintő – vélt vagy valós – hiányosságaik miatt olyanok, akik nem kapták meg a kiszemelt kutyát végül örökbefogadásra. A „mi lett volna, ha” idővonalon érdekes kérdés lenne, hogy akkor is aggályosnak ítélték volna-e a személyes adataik kezelését, ha hozzájutnak az áhított kutyához, de hát ezt ugye már sosem tudjuk meg.

Feljelentés bosszúból?

A bosszúfeljelentés, a házmester-mentalitás persze nem szép dolog, de az tény, hogy állatvédő szervezetek körében (is) elég jelentős elmaradások vannak az adatkezelési folyamatok átláthatóságát és legalitását érintve sok esetben. Jogsegély-szolgálatunk olyan szempontból is egyedülálló, hogy jogászaink közül kettő hatósági jogalkalmazó munkát végez, vagyis napi szinten állatvédelmi hatósági feladatokat is ellátnak és naprakész információkkal rendelkeznek az I. fokú hatósági állatvédelmi eljárások világáról. Másrészt van köztük adatvédelmi tisztviselői képzést végzett jogászunk, és olyan is, aki most fog végezni az adatvédelmi és adatbiztonsági szakjogász-képzésen az egyik jogi karon. De mielőtt megnéznénk, hogy mi volt a konkrét probléma, amivel a szervezetek hozzánk fordultak, egy kis gyors GDPR-gyorstalpaló!

Mi is az a GDPR?

Végtelenül leegyszerűsítve egy kötelező erejű uniós rendelet, amely mindenkire vonatkozik az unió területén, aki személyes adatot kezel. Ez gyakorlatilag bármilyen olyan munkafolyamatot, tevékenységet, magatartást érint, ahol kapcsolatfelvétel történik másokkal, akár külső ügyfelekkel, akár belső munkavállalókkal, vagy tagságon alapuló szervezet esetén tagokkal, önkéntesekkel stb. Személyes adat lehet a nevünk, a lakcímünk, a hajszínünk, az érdeklődési körünk, hogy milyen oldalakat lájkolunk, de az is, hogy milyen a vallásunk, a politikai meggyőződésünk vagy milyen egészségügyi adataink vannak, de a képmásunk fotón vagy videófelvételen is ide tartozik.

A „miért utálják az emberek az adatvédőket” témakör kapcsán hangzik el az az állítás is az egyetemi képzés során, hogy egyes hardcore adatvédők szerint személyes adat például a csecsemő használt pelenkája vagy a fodrásznál levágott hajunk vagy a pedikűrösnél levágott körmünk. Hiszen DNS-információ nyerhető ki belőle, úgyhogy nem volna szabad csak úgy simán kidobni a szemétbe. Állatvédő szervezetre, gyepmesteri telepre leszűkítve a személyes adatok körét, biztos, hogy az örökbefogadó szerződő felek személyes adatait kezelni kell. Elsősorban az örökbefogadás, később pedig a vállalt kapcsolattartás miatt. Illetve attól függően, hogy a civil szervezet és a telep munkavállalókkal, önkéntesekkel, közmunkásokkal vagy más módon vállalja-e a szervezeti működést, úgy az ő személyes adataikat is kezelni fogják (bérszámfejtés, járulékok továbbutalása az államnak, táppénz, szabadság-nyilvántartás stb.).

Ezeket érdemes átgondolni

Három fontos dolgot kell átgondolni már azelőtt, hogy bármihez hozzákezdenénk élesben. Elsőként azt, hogy mi az adatkezelés célja? Milyen adatkört fogunk kezelni, és az adatkezelés alapelvei közül hivatkozva itt most az adattakarékosság elvére, feltétlenül szükséges-e minden adat, amelyet elsőre annak jelöltünk meg? Konkrét példával élve, egy örökbefogadó szerződéshez biztos kell az örökbefogadó neve és lakcíme, a kapcsolattartási formákhoz pedig a telefonszáma és az e-mail címe. Sokan elkérik a személyi igazolvány számot is, amely viszont fölösleges magához a szerződéskötéshez. A későbbi kapcsolattartáshoz sem kell, az esetleges hivatalos eljárásokhoz is szükségtelen (szerződésszegés esetén polgári per vagy büntetőeljárás, stb.)

Amikor az adatkezelés célját tisztáztuk, fontos a jogalapot megjelölni. Például alapulhat az adatbirtokos érintett hozzájárulásán (melyet dokumentálnunk kell, hogy szükség esetén a NAIH részére bemutassuk) vagy alapulhat például szerződéskötéshez kapcsolódóan. Vagyis olyan szerződés kapcsán, ahol az érintett az egyik fél, vagy ilyen szerződés elősegítéséhez szükséges az adatkezelés (ha nem adjuk meg a személyes adataink közül a kapcsolattartásra szolgálóakat, például sosem tudja majd a futár házhoz szállítani a megrendelt árut).

A harmadik fontos dolog, hogy mielőtt belevágnánk az adatkezeléssel járó tevékenységbe, legyenek olyan dokumentumaink, melyek a folyamat során szükségesek. Például adatkezelési tájékoztató, melyet a szerződő partnernek mint érintettnek adhatunk (így például adatkezelési tájékoztató, de rendelkeznünk kell adatvédelmi szabályzattal vagy adatkezelési nyilvántartással is).

Kötelező civil szervezetnek vagy gyepmesteri telepnek adatvédelmi tisztviselőt alkalmaznia?

A GDPR szerint három esetben kötelező adatvédelmi tisztviselőt kijelölni. Az egyik közülük a közfeladatot ellátó szervhez kapcsolódik, a kóbor ebek begyűjtése pedig bizony kötelező önkormányzati közfeladat. Itt tehát – jellemzően az önkormányzat adatvédelmi tisztviselőjének – kell ilyen személynek lennie. A NAIH többször foglalkozott már az alapkérdéssel, miszerint civil szervezeteknek kell-e a GDPR-t alkalmazni. A honlapjukon elérhető konkrét esetben (NAIH/2018/2599/2/K) akkor, ha a szervezet nem végez gazdasági tevékenységet, évente több összejövetelt tart tagjai és mások számára, és az ő személyes adatait kezeli. A GDPR megkülönböztet automatizált (számítógéppel végzett) és nem automatizált (elsősorban: papír alapú) adatkezeléseket, utóbbiak esetében, ha azok valamilyen nyilvántartás részei (telefonkönyv, levelezőlista stb.), akkor a GDPR rájuk is alkalmazandó. Személyes adatkezelés tehát, ha egy rendezvényre egy civil szervezet akár saját tagjai akár bővebb közönség közül azok nála kezelt e-mail címei, telefonszámai alapján meghívásokat küld számukra.

Foglalkozott a NAIH már a tagnyilvántartás kérdésével is korábban (NAIH/2018/2919/2/V). A tagnyilvántartásba felvett személyeket tájékoztatni kell a konkrét adatkezelőről (szervezet-személy-elérhetőségei), az adatkezelés céljáról és jogalapjáról (pl. rendszeres kapcsolattartás, meghívók kézbesítése, önkéntes tevékenységről szóló szerződés teljesítése érdekében stb.), amennyiben az adatokat bármely más címzett részére továbbítják (pl. törvényi kötelezettség miatt), az adattárolás időtartama, a hozzáféréshez-helyesbítéshez-törléshez való jogról történő kioktatást, az adatkezeléshez való hozzájárulás visszavonásának jogát is el kell mondani. Az adatkezelőnek utólag képesnek kell lennie megjelölnie az adatkezelés célját, jogalapját, bizonyítani a tájékoztatás megadását. Célszerű minderről az egyesület alapszabályában rendelkezni és a belépés feltételévé tenni mindezek kifejezett elfogadását. Nem kell külön adatvédelmi szabályzatot készíteni, amennyiben az adatkezelés célját, módját, az adatokhoz való hozzáférés szabályait és az adatvédelmi incidensbejelentés módját az egyesületi alapszabály külön fejezetben, világosan tartalmazza.

A konkrét esetek

És akkor nézzük a konkrét eseteket – kellő mértékben általánosítva mivel ezek még folyamatban lévő ügyek. Lehet szemérmeskedni, de én mindig az őszinte beszéd híve vagyok. A lehető legrosszabb amit tehetünk, ha kézhez véve a NAIH ügyindító megkeresését, elkezdünk vadul hamisítani. A legfontosabb, hogy alaposan olvassuk el a levelet, amit kaptunk. Ebben nézzük meg, hogy vizsgálati eljárástól vagy hatósági eljárásról értesítenek. A vizsgálati eljárásban bírság kiszabására nem kerül sor, hanem kötelezettségeket írnak elő számunkra amelyeket majd ellenőriznek is. A hamisításokkal sokszor egy olyan hazugságspirálba keveredünk, amiből már nincs kiút, személyek, időpontok, minden megkeveredik és újabb és újabb hazugságokra van szükségünk.

A konkrét esetekben most a vizsgálati eljárásokban a kérdésfeltevésnél tartunk: milyen adatkezelési tájékoztatót kap először az érintett örökbe fogadni kívánó személy? Milyen adatvédelmi dokumentumok lelhetőek fel a szervezet, illetve a telep birtokában? Milyen adathalmazt kérnek el a szerződéskötéshez, a szerződéseket hol és hogyan, meddig tárolják, mi az adattárolás majd törlés metódusa?

Végül pedig talán a legérdekesebb, hogy miért van szükség és milyen mértékben érinti a leendő örökbefogadó személyét, családját, ingatlanát az ún. „környezettanulmány”, melyet a kutya optimális családba-helyezésére készítenek el? A kapott válaszokat a NAIH elemzi, és várhatóan egy olyan döntést fog hozni, amelyben bizonyos jogsértéseket megállapít majd. Illetve bizonyos utasításokat, kötelezettségeket ad a szervezeteknek azzal, hogy kötelező a teljesítésükről beszámolni.

A cikk kapcsán fontos, hogy minden állatvédő szervezet, illetve gyepmesteri telep gondolkodjon el, hogy adatvédelmi szempontból mindent rendben találna-e nála a NAIH. A konkrét esetekről a meghozott döntéseket majd egy másik cikkben fogom elemezni.”