Az adatkezelési hozzájárulás klasszikus hibái

Szerző(k): Dr. Farkas Márton | 2023.08.31 | Adatvédelem

Az adatvédelmi kérdésekben kevésbé otthonosak számára első nekifutásra igazi jolly joker megoldásnak tűnhet az érintett hozzájárulásán alapuló jogalap alkalmazása, azt feltételezve, hogy amihez a jogosult hozzájárult, az eleve nem lehet jogsértő. Hiszen a kártérítési jogban is ismeretes, hogy a károsult beleegyezésével okozott károkozás nem minősül jogellenesnek, ezért ilyen esetben a károkozó mentesül a felelősség alól.

Az adatvédelmi kérdésekben több tapasztalattal rendelkezők ugyanakkor a hozzájárulás jogalapjának ötletét hallva gyakran inkább felszisszennek, ugyanis az adatkezelés jogszerűségéhez messze nem elegendő az érintettre és annak hozzájárulására visszamutatnunk: ha nem teljesítjük a GDPR által megkövetelt szigorú feltételrendszert, akkor az érintett tényleges hozzájárulása és egyetértése sem mentesíti az adatkezelőt a jogellenes adatkezelés felelőssége alól.

Kezdjük a vizsgálódást a GDPR 4. cikkének 11. pontjával, amely szerint a hozzájárulás „az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez.”

A megfelelő tájékoztatás követelményéről az előző cikkemben már esett szó, ezúttal a hangsúlyt egy másik problémás feltételre, a hozzájárulás önkéntességére helyezzük át. A hozzájárulás önkéntessége, szabadsága körében az Európai Adatvédelmi Testület 5/2020. számú Iránymutatása rögzíti, hogy „amennyiben az érintettnek nincs valódi választási lehetősége, hozzájárulásra kényszerítve érzi magát, vagy negatív következményei lesznek, ha nem adja hozzájárulását, akkor a hozzájárulás nem érvényes.”

Klasszikus hiba és az önkéntesség követelményébe (is) ütközik, ha a meghatározott adatkezelési cél eléréshez szükségtelen személyes adatok megadását kérjük az érintettől, még akkor is, ha ahhoz hozzájárulását adja. Egy e-mailes hírlevélre történő feliratkozáskor például teljesen szükségtelen az érintett telefonszámának és postai címének begyűjtése is, amely egyrészt egyszerre sérti az adattakarékosság és a célhoz kötött adatkezelés alapelvét, másrészt sérti az önkéntes hozzájárulás követelményét is, hiszen az érintettet a szükségesnél szélesebb körben kényszeríti adatközlésre és hozzájárulásra.

Ugyancsak az önkéntesség sérelmét okozza, ha egy szolgáltatás nyújtása körében egyéb (jellemzően marketing-) célból az ügyfél hozzájárulását kérjük anélkül, hogy az ügyfélnek valós opció lenne a szolgáltatás igénybevétele a további adatkezeléshez való hozzájárulás nélkül. Személyes tapasztalatom szerint a hazai bankok adatkezelési gyakorlatának visszatérő hibája, hogy egy egyszerű személyes ügyintézés során a rendes ügymenet körébe tartozó millió dokumentum aláírása közben adatkezelési hozzájárulások felvétele is megtörténik, mintha az az adott banki szolgáltatás teljesítéséhez kapcsolódna.

Harmadik tipikus hibaként nevesíti az Iránymutatás a részletesség követelményének elmulasztását: ilyen esetben több adatkezelési cél alkalmazása mellett csupán egy hozzájárulást szerez be az adatkezelő. Gyakorta tapasztalok ilyen problémát fotószolgáltatást nyújtók körében, amikor a felvétel készítéséhez történő hozzájárulás automatikusan a fotók marketingcélú felhasználásához történő hozzájárulást is feltételezi. Egyszerű a GDPR ökölszabálya ebben a körben: ahány adatkezelési cél, annyi külön hozzájárulás szükséges a jogszerű adatkezeléshez.

A hozzájárulás jogalapja tehát működhet az adatkezelés jolly jokereként, ez azonban korántsem jelenti azt, hogy a hozzájárulás beszerzésével minden egyéb adatvédelmi feltétel teljesítését megspórolhatjuk, sőt: az önkéntesség fentiekben bemutatott követelménye transzparens előkészítést igényel, amelynek végén akár másik jogalap alkalmazásának szükségességére is juthatunk. Mondanunk sem kell, lényegesen szerencsésebb ez a helyzet, mintha egy hatósági ellenőrzés végén jutunk ugyanerre a következtetésre.

A blogcikk tájékoztató jelleggel készült, nem minősül egyedi ügyre alkalmazható hivatalos jogi véleménynek vagy jogi állásfoglalásnak. Az Ecovis Hungary Legal a jelen blogcikk egyedi ügyben történő felhasználásáért a jogi felelősségét kizárja.