— Szerződő partnerek kapcsolattartóinak adatkezelésére vonatkozóan —
VIP-REX Kft. (továbbiakban: Adatkezelő) által kezelt személyes adatok jogos érdekre való hivatkozási alapjára vonatkozóan az Európai Parlament és Tanács 2016/679 rendelete (továbbiakban: GDPR Rendelet) alapján
Az érdekmérlegelési teszt tárgya: Az Adatkezelő szerződéses partnerei által kijelölt kapcsolattartó természetes személyek személyes adatai (név, beosztás, céges telefonszám, céges e-mail cím) kezelésének vizsgálata.
Az érdekmérlegelési teszt elvégzésének oka: Az Adatkezelő és szerződéses üzleti partnerei a közös tevékenységeik során a szerződéseik gyors és hatékony teljesítése érdekében kapcsolattartókat jelölnek ki. Az Adatkezelő és szerződő partnerei jogos gazdasági érdeke, hogy mindkét szervezetben legyen kijelölt személy, akinek a feladata a szerződés teljesítésének az előremozdítása, illetve a teljesítés során felmerülő kérdések, problémák, nehézségek mielőbbi megoldása a másik szerződő fél kapcsolattartójával együttműködve.
A NAIH „NAIH/2018/2570/2/V” ügyszámú állásfoglalása alapján: Amennyiben a személyes adat a nem természetes személy szerződő partnerünk munkavállalójáé, akkor a személyes adatokat a szerződéses partnerünk továbbítja felénk a kapcsolattartáshoz szükséges mértékben. Ilyenkor a munkáltató (szerződéses partnerünk) a GDPR 6. cikk (1) (b) pontja és a Munka Törvénykönyvéről szóló 2012. évi I. törvény (a továbbiakban: „Mt.”) 10. § (1) bekezdése alapján szerzi meg és kezeli a személyes adatokat, míg a Társaságok a GDPR 6. cikk (1) (f) pontja szerint a saját és a szerződéses partner jogos érdekében veszik át és kezelik a személyes adatokat a célhoz szükséges mértékben és ideig. A Hatóság állásfoglalása szerint: „A GDPR 6. cikk (1) (f) pontjára történő hivatkozás esetén fontos annak dokumentálása, hogy a harmadik személy jogos érdekének érvényesítése előnyt élvez az adott esetben a munkavállaló személyes adataihoz fűződő rendelkezési jogához képest, mivel a munkavállaló munkakörének ellátásához szükséges és arányos korlátozás.”
Az adatkezelés célja: Az adatkezelés célja a szerződés teljesítése során felmerülő kérdések tisztázása, az információáramlás és a szoros együttműködés biztosítása, valamint a felmerülő problémák mielőbbi megoldásának a biztosítása. Az Adatkezelő a másik szerződő fél kapcsolattartójának adatait kizárólag a jelen érdekmérlegelési tesztben írtak szerinti célból kezeli.
Az adatkezelés jogalapja: A GDPR Rendelet 6. cikk (1) bekezdés f) pontja szerint személyes adat akkor kezelhető, ha „az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.” A GDPR Rendelet 6. cikk (1) bekezdés f) pontja szerinti jogalap alkalmazásakor az adatkezelő köteles érdekmérlegelési tesztet elvégezni annak megállapítására, hogy az általa alkalmazni kívánt adatkezelési művelet esetén az érintett érdekei és alapvető jogai nem élveznek-e nagyobb védelmet az adatkezelő jogos érdekével szemben, valamint, hogy az adatkezelési tevékenység folytán az érintettek jogai nem sérülnek-e.
A személyes adatkezeléssel érintettek: Az Adatkezelő szerződő partnerének természetes személy kapcsolattartói, mint a szerződő partner munkavállalói.
Jelen érdekmérlegelési teszt a partner Társaságok kapcsolattartói személyes adatainak kezelésére terjed ki. Ennek során az Adatkezelő:
– azonosítja a személyes adatok kezeléséhez fűződő jogos érdekét;
– megállapítja az érintettek érdekeit, érintett alapjogait;
– súlyozza az alapvető jogokat és érdekeket,
így elvégezve egy szükségességi-arányossági tesztet.
Az Adatkezelő jogos érdeke: Az Adatkezelő jogos érdeke abban áll, hogy a szerződések teljesítése során a kapcsolattartás végett kezelje a másik szerződő fél kapcsolattartójának a személyes adatait.
Az érintett védendő érdekei: Tekintettel arra, hogy az érintett információs önrendelkezési joga nem egy abszolút, korlátozhatatlan alapjog, így az bizonyos, szükséges és arányos esetekben korlátozható. Az Adatkezelő vitathatatlanul méltányolható érdeke az érintett bizonyos személyes adatainak megőrzése, és bizonyítás esetén történő felhasználása. Tekintettel arra, hogy az adatok csak akkor kerülnek felhasználásra, amennyiben a fenti célok megvalósítása érdekében szükséges, valamint az Adatkezelő gondoskodik az adatok biztonságos megőrzéséről, és azokhoz csak bizonyos korlátozott személyi kör férhet hozzá, így az adatkezeléssel elérni kívánt cél arányos az érintett információs önrendelkezési jogának esetleges korlátozásával. Az arányosságot támasztja alá az a tény is, hogy a munkavállalók tulajdonának védelme az Alaptörvényben megfogalmazott alapjog; az adatok korlátozott tárolási ideje, valamint a jogosultságok szigorú szabályozása miatt az érintettek jogai és szabadságai nem sérülnek; a telepített rendszer az érintettek érdekeit is szolgálja. Az Alaptörvény alapján mindenkinek joga van személyes adatai védelméhez. Kimondja továbbá az Alaptörvény, hogy az emberi méltóság sérthetetlen. Az érintett, mint természetes személy információs önrendelkezési joga szerint saját adatainak sorsa felett ő maga rendelkezik. Alapvető érdeke a Polgári Törvénykönyv, az Infotv., az Alaptörvény, a GDPR Rendelet, illetve a Büntető Törvénykönyv személyes adatok védelméről szóló, illetve ezáltal a magánszférát védelmező rendelkezéseinek érvényesülése. A GDPR Rendelet számos garanciális elemet tartalmaz a személyes adatok kezelésének jogszerűsége érdekében, melyeket az Adatkezelő az Adatvédelmi és adatkezelési szabályzatában foglaltak szerint tiszteletben tart. Személyes adat csak meghatározott célból, jog gyakorlása vagy kötelezettség teljesítése érdekében kezelhető. Az adatkezelésnek minden szakaszában meg kell felelnie a célnak, az adatok felvételének. és kezelésének tisztességesnek és törvényesnek kell lennie. Személyes adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető. Az érintettnek tehát védelmet érintő érdeke fűződik ahhoz, hogy információs önrendelkezési jogát gyakorolhassa; személyes adatai kezeléséről rendelkezhessen és magánszféráját az adatkezelők tiszteletben tartsák.
Az Adatkezelő azzal, hogy a szerződéses partnere által a részére kapcsolattartás céljából átadott személyes adatokat kezeli, az érintett jogait és szabadságait egyáltalán nem sérti, vagy befolyásolja hátrányosan, mivel a szerződő partner kizárólag olyan személyes adatokat adott át a részére, melyek átadására megfelelő jogalappal rendelkezik, és azt a személyes adatok kezelésére vonatkozó jogszabályok tiszteletben tartásával teszi. Az Adatkezelő azon kívül, hogy a szerződésben előírja a szerződő félnek, hogy csak olyan személyes adatokat adhat át a részére, melyek átadására felhatalmazással rendelkezik, egyebet nem tud tenni annak biztosítására, hogy az irányába történő adattovábbítás jogszerűségét biztosítsa.
Az Adatkezelő mindezek alapján úgy ítéli meg, hogy az érintettek érdekei nem sérülnek a fentiek szerinti adatkezeléssel.
Érintettek érdekeinek a védelme: Az Adatkezelő kizárólag a szerződő partner munkavállalói „céges” személyes adatait kéri üzleti partnereitől kapcsolattartás céljából. Átadásra tehát kizárólag a szerződő partner által biztosított céges e-mail cím, mobil-, vagy vezetékes telefonszám kerülhet. A szerződő partner kapcsolattartójának privát telefonszáma, valamint a személyes privát e-mail címe semmilyen körülmények között nem kerülhet átadásra kapcsolattartás céljából.
Amennyiben a szerződéses partner kapcsolattartójának megszűnt a munkaviszonya, és ezt a partner jelzi az Adatkezelő felé, az Adatkezelő az adatokat törli.
Amennyiben bármely kapcsolattartó személyes adata megváltozik, az Adatkezelő az erről történő tudomásszerzést követően haladéktalanul helyesbíti azokat, és tájékoztatja azokat is, akik az adatkezelésben részt vesznek.
Érdekek összevetése, biztosítékok, garanciák: A fentiek értelmében az Adatkezelőnek jogos gazdasági érdekei indokolják, hogy a szerződései teljesítésének előmozdítása érdekében a másik szerződő fél kijelölt kapcsolattartójának az adatait kezelje.
Az Adatkezelő, mint gazdasági szereplő szem előtt tartja, hogy kizárólag a cél eléréséhez szükséges adatokat kezelje, így figyelemmel van arra, hogy az adatkezelés az érintett emberi méltóságát ne sértse, illetve a magánéletét ne befolyásolja.
Annak érdekében, hogy a korlátozás arányban álljon az adatkezelő érdekeivel, az adatkezelő az alábbi biztosítékokat, garanciákat alkalmazza:
– Az Adatkezelő a személyes adatok kezelése sorén a vonatkozó jogszabályok és a mindenkor hatályos Adatkezelési és adatvédelmi szabályzata szerint jár el.
– Az Adatkezelő a szerződő fél kapcsolattartási adatai kezelésének megkezdésekor tájékoztatja a GDPR Rendelet 14. cikke szerint az érintettet az adatkezelés jellemzőiről.
– Az Adatkezelő kizárólag céges e-mail címet és céges telefonszámot kér a szerződő partnereitől.
– Az érintettek tájékoztatása, valamint a személyes adatokról szóló tájékoztatóban foglaltak szerinti kezelése.
– Az érintett bármikor kérhet tájékoztatást személyes adatai kezeléséről, valamint kérheti személyes adatainak helyesbítését, illetve – a kötelező adatkezelések kivételével – törlését, visszavonását, az adatkezelés korlátozását, valamint élhet adathordozási-, és tiltakozási jogával az adat felvételénél jelzett módon.
Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a kezelése ellen, ideértve a GDPR rendelkezésen alapuló profilalkotást is. Ebben az esetben az Adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az Adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az Érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak (GDPR 21.cikk). Adatkezelő a tiltakozást a kérelem benyújtásától számított legrövidebb időn belül, de legfeljebb 1 hónapon belül megvizsgálja, annak megalapozottsága kérdésében döntést hoz és a döntésről az Érintettet tájékoztatja. Amennyiben Adatkezelő az Érintett tiltakozásának megalapozottságát megállapítja, az adatkezelést, beleértve az adatfelvételt és továbbítást is- megszünteti, az adatokat zárolja. Amennyiben az Érintett az Adatkezelő döntésével nem ért egyet, bírósághoz fordulhat.
Az érdekmérlegelési teszt eredménye: Az érdekmérlegelési teszt alapján megállapításra került, hogy az Adatkezelő jogos érdekének érvényesítése az érintett érdekeinek korlátozásával megfelelő biztosítékok bevezetése és betartása mellett arányban áll, azaz megalapozottnak tekinthető a GDPR Rendelet 6. cikk (1) bekezdés f) pontja szerinti jogalap használata.
Összegzés: Az Adatkezelőnek érdeke a személyes adatok fentiek szerinti kezelése, az ilyen formában történő kapcsolattartás:
– a gazdasági kapcsolatok fenntartásának és a szerződések teljesítésének a velejárója,
– a cél elérése más eszközzel nem biztosítható hatékonyan,
– a cél eléréséhez feltétlenül szükséges mértékűnél nem nagyobb az érintettek jogainak sérelme,
– az érintettek jogai és szabadságai a tehető legkisebb mértékben sérülnek az adatkezelés kapcsán, különös tekintettel arra, hogy bár nem hozzájáruláson alapul az adatkezelés, azonban az érintettek az adatkezelés megkezdése előtt minden hátrányos következmény nélkül tiltakozhatnak az adatkezeléssel szemben,
– az érintettek jogai és szabadságai a lehető legkisebb mértékben sérülnek az adatkezelés kapcsán, mivel privát, személyes kapcsolattartói adataik nem kerülnek átadásra, csupán az Adatkezelő által biztosított céges e-mail cím és céges telefonszám,
– a másik szerződő fél kapcsolattartója személyes adatainak kezelése során az Adatkezelő minden esetben elvárja, hogy a személyes adatok átadására a másik fél jogszerű felhatalmazással rendelkezzen.
Kelt.: Kisújszállás, 2024. február hónap 09. napján
VIP-REX Kft. (képviseli: Farkas Kálmán Károly, ügyvezető), Adatkezelő