Az elmúlt időszakban több, a munkavállalókat érintő adatkezelésekkel kapcsolatos, hosszú ideje nyitott kérdésre kaptunk válaszokat. Ezek érintették a munkaügyi iratok megőrzésére vonatkozó előírásokat, a hatósági erkölcsi bizonyítvány munkáltató általi kezelésének és a munkavállalók biometrikus adatainak kezelésének kérdéseit. 

1. Munkaügyi iratokra vonatkozó megőrzési időt érintő változások 

Az adatkezelések kapcsán az adatkezelők részéről lényeges kötelezettség az adott adatkezelési célhoz rendelten a megfelelő adatkezelési időtartam meghatározása. Egyes esetekben a vonatkozó jogszabályok az adatkezelők segítségére lehetnek ebben, máskor azonban kevés kapaszkodót kapnak ahhoz, hogy a megfelelő megőrzési időt egyértelműen meg tudják határozni. Az egyik adatkezelés, amely a gyakorlatban fejtörést okozhatott, a nyugdíjjogosultságot érintő adatokat tartalmazó munkaügyi iratok megőrzése volt. A gyakorlat hosszú ideje szinte egységes volt abban, hogy ezen iratok nem vagy csak a munkaviszony megszűnését követő hosszú idő elteltével törölhetők, illetve semmisíthetők meg, miután az érintett munkavállaló esetében a nyugdíjazással kapcsolatban már nem merülhet fel kérdés (azaz praktikusan azt követően, hogy a munkavállaló elérte a rá vonatkozó nyugdíjkorhatárt). Ugyanakkor - különösen egy ilyen hosszú megőrzési idő esetében - jelentős gyakorlati bizonytalanságot mutatott a kifejezett jogszabályi rendelkezések hiánya (ez látszik a NAIH elnökének egy 2018-as leveléből is, amely felhívta a figyelmet a jogbizonytalanságra).   

Egy - viszonylag kevés figyelmet kapott - tavaly év végi törvénymódosítás azonban végre rendezte a fenti kérdést. A társadalombiztosítási nyugellátásról szóló 1997. évi LXXXI. törvény (Tny.) - 2018. december 23-tól hatályos - módosítása (új 99/A. §) ugyanis előírta, hogy a foglalkoztató a biztosított, illetve volt biztosított biztosítási jogviszonyával összefüggő, a szolgálati időről vagy a nyugellátás megállapítása során figyelembevételre kerülő keresetről, jövedelemről adatot tartalmazó munkaügyi iratokat a biztosítottra, volt biztosítottra irányadó öregségi nyugdíjkorhatár betöltését követő öt évig köteles megőrizni.

Egyértelművé vált tehát, hogy az érintett munkavállalóra irányadó öregségi nyugdíjkorhatártól számított 5 évig meg kell őrizni ezeket az iratokat. 

(Amennyiben a nyilvántartásra kötelezett jogutód nélküli megszűnik, akkor a fenti munkaügyi iratok őrzésének helyét be kell jelenteni a székhely vagy telephely szerint illetékes nyugdíjbiztosítási igazgatási szervnek.)

Kit terhel a megőrzési kötelezettség?

Azt, hogy ez a megőrzési idő pontosan mely foglalkoztatókra vonatkozik a társadalombiztosítás ellátásaira és a magánnyugdíjra jogosultakról, valamint e szolgáltatások fedezetéről szóló  1997. évi LXXX. törvény (Tbj.) alapján állapítható meg (lásd 44.§ (1) bekezdés). Eszerint, megőrzésre kötelezett: 

• a foglalkoztató (amelynek fogalmát a Tbj. 4. §-a határozza meg),
• az egyéni vállalkozó,
• az őstermelő, valamint
• az 56/A. § szerinti munkavállaló, foglalkoztatott (magyar jogszabályok szerint bejegyzésre nem kötelezett külföldi foglalkoztató javára biztosítási kötelezettséggel járó jogviszony keretében munkát végző foglalkoztatott).

Minden munkaügyi iratra vonatkozik ez a megőrzési kötelezettség? 

Nem, kizárólag a biztosítási jogviszonyával összefüggő, a szolgálati időről vagy a nyugellátás megállapítása során figyelembevételre kerülő keresetről, jövedelemről adatot tartalmazó munkaügyi iratokat kell ez alapján megőrizni. 

Vonatkozik ez a megőrzési idő a módosítás hatályba lépését megelőzően létrejött jogviszonyokban keletkezett munkaügyi iratokra is?

A törvény természetesen csak a jövőre nézve állapíthat meg kötelezettséget, így abban az esetben, ha a korábban alkalmazott megőrzési idő miatt egy munkáltató nem tud megfelelni az új kötelezettségnek (azaz a vonatkozó munkaügyi iratok 2018. december 23-a, azaz a módosítás hatályba lépése előtt már törlésre, megsemmisítésre kerültek), úgy az új kötelezettség megsértése nem állapítható meg. Azon, a törvényi előírás hatálya alá tartozó iratokat, amelyek - bár 2018. december 23-a előtt megszűnt jogviszonyra vonatkoznak - még rendelkezésre állnak, az adatkezelőknek az új előírás alapján kell kezelniük és megőrizniük. 

Mi lesz az adatkezelés jogalapja ebben az esetben?

Az adatkezelést törvény, kötelező jelleggel írja elő ("köteles megőrizni"), így erre vonatkozóan a GDPR 6. cikk (1) bekezdés c) pontja lesz alkalmazható ("az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges").   

2. NAIH állásfoglalás a hatósági erkölcsi bizonyítvány munkáltató általi kezeléséről

Január végén tette közzé a NAIH állásfoglalását az erkölcsi bizonyítványok kezelésével kapcsolatban. Az erkölcsi bizonyítványokkal, illetve tágabban, a munkavállalók háttérellenőrzésével kapcsolatos adatkezelési kérdések is régóta foglalkoztatják a munkáltatókat. (A háttérellenőrzésre vonatkozóan még 2016-ban, a GDPR alkalmazandóvá válását megelőzően tett közzé a NAIH állásfoglalást, illetve a munkavállalók feddhetetlen előéletének ellenőrzésével - röviden - foglalkozott a NAIH 2016 őszén készült, a munkahelyi adatkezelések alapvető követelményeiről szóló tájékoztatója is.)    

A Hatóság álláspontja szerint munkaviszonyban a munkáltatók egyrészt a GDPR 6. cikk (1) bekezdés c) pontja és az adatkezelés részleteit szabályozó törvényi felhatalmazás alapján kezelhetik (ilyenre példa a munka törvénykönyve 44/A. §-a, közszolgálati tisztviselőkről szóló törvény, a közalkalmazottak jogállásáról szóló törvény) a munkavállalók bűncselekményre, illetve a kapcsolódó biztonsági intézkedésre, a büntetlen előélet megállapítására vonatkozó személyes adatait. 

Másrészt, amennyiben adott munkáltató, illetve munkakör vonatkozásában nincs törvényi előírás az adatkezelésre vonatkozóan, úgy a munkáltatók a munkavállalók bűncselekményre, illetve a kapcsolódó biztonsági intézkedésre, a büntetlen előélet megállapítására vonatkozó személyes adatait a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek alapján és a 9. cikk (2) bekezdés b) pontja szerinti feltétel teljesülése esetén kezelhetik. A GDPR 9. cikk (2) bekezdésének b) pontja szerinti követelmény azt rögzíti, hogy a különleges adatok kezelése nem tilos, ha az adatkezelés az adatkezelőnek vagy az érintettnek a foglalkoztatást, valamint a szociális biztonságot és szociális védelmet szabályozó jogi előírásokból fakadó kötelezettségei teljesítése és konkrét jogai gyakorlása érdekében szükséges, ha az érintett alapvető jogait és érdekeit védő megfelelő garanciákról is rendelkező uniós vagy tagállami jog, illetve a tagállami jog szerinti kollektív szerződés ezt lehetővé teszi. 

A NAIH álláspontja szerint a megfelelő garanciákat a hatósági erkölcsi bizonyítvány kiadására vonatkozó szabályokat is meghatározó törvény, a bűnügyi nyilvántartási rendszerről, az Európai Unió tagállamainak bíróságai által magyar állampolgárokkal szemben hozott ítéletek nyilvántartásáról, valamint a bűnügyi és rendészeti biometrikus adatok nyilvántartásáról szóló 2009. évi XLVII. törvény (Bnyt.) biztosítja. 

Jogos érdeken alapuló adatkezelés kapcsán szükséges elvégezni az ún. érdekmérlegelési tesztet. Ennek lefolytatását követően, a teszt eredményétől függően folytatható az adatkezelés, biztosítva az érintettek számára a tiltakozás jogát is. 

Ugyanakkor, ha az erkölcsi bizonyítvány ellenőrzésére megfelelő jogalappal rendelkezik is a munkáltató, ez kizárólag az erkölcsi bizonyítvány bemutatásának előírására terjed ki,  másolat készítésére már nem. Az okirat lemásolása, tárolása a büntetlen előélet igazolásához nem szükséges, így nem felel meg a célhoz kötöttség elvének sem.      

3. Munkavállalók biometrikus adatainak kezelése 

Szintén fontos támpontokat adhat az adatkezelőknek a munkavállalókat érintő biometrikus adatkezelésekre vonatkozó NAIH állásfoglalás.  

A GDPR fogalommeghatározása értelmében, biometrikus adat: egy természetes személy testi, fiziológiai vagy viselkedési jellemzőire vonatkozó minden olyan sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, ilyen például az arckép vagy a daktiloszkópiai adat. A biometrikus adat különleges adatnak minősül, így a Rendelet 9. cikkének rendelkezései is alkalmazandóak. 

Az adatkezelés jogalapja kapcsán a Hatóság megállapítja, hogy - hasonlóan a munkaviszonyhoz kapcsolódó más adatkezelésekhez - a hozzájárulás, mint jogalap csak egészen kivételes esetekben jöhet szóba. A szerződés teljesítése sem szolgálhat a biometrikus adatok kapcsán adatkezelési jogalapul. Ennek megfelelően - törvényi kötelezettség hiányában - elsősorban az adatkezelő vagy harmadik fél jogos érdeke jöhet szóba, mint az adatkezelés jogalapja (GDPR 6. cikk (1) bekezdés f) pont).  

A 6. cikk szerinti általános jogalapon felül, a GDPR 9. cikk (2) bekezdése szerinti valamely feltételének is fenn kell állnia. 

Figyelemmel arra, hogy a biometrikus adatok kezelése különleges adatok kezelését jelenti, így fokozott figyelmet kell fordítani az adatkezelés alapelveinek a megvalósulására és az adatkezelés egyéb feltételeire is (pl. adatbiztonság). Ezen túlmenően az ilyen jellegű adatkezelés gyakran együtt jár a hatásvizsgálat elvégzésének kötelezettségével, figyelemmel a NAIH által kiadott hatásvizsgálati "fekete listára" is (lásd a lista 1-2. pontjait).