Személyes e-mail és telefonszám kezelése munkáltató által a GDPR alatt
Folytatva eddigi gyakorlatukat, a Lengyel Adatvédelmi Hivatal (UODO) ismét új közleményt adott ki a munkahelyekkel kapcsolatos adatok kezeléséről. Mint korábban már beszámoltunk róla, a Hatóság egymás után adja ki a munkahelyekkel kapcsolatos adatkezelési útmutatóit, ezzel is elősegítve, hogy a lengyel cégek gyakorlataikban megfeleljenek a GDPR előírásainak. Legújabb közleményükben most azt taglalták, kérheti-e, illetve kezelheti-e a munkáltató munkavállalóinak személyes elérhetőségi adatait, mint például a személyes e-mail cím és a telefonszám.
A rövid válasz: nem, csak kivételes esetekben. Jobban megvizsgálva a helyzetet: a lengyel munkajogi jogszabályok megkövetelik, hogy a munkavállaló közölje teljes nevét, születési idejét, lakcímét, tanulmányait és előzetes munkájára vonatkozó információkat a munkáltatóval. Azonban a törvényben sehol nem szerepel, hogy a munkáltatónak jogszabályi joga lenne a munkavállaló személyes telefonszámát és személyes e-mail címét kezelnie. A Hatóság magyarázata szerint már csak azért sem, mert a lengyel törvények sehol nem írják elő, hogy természetes személynek szükséges rendelkeznie ezekkel; a mobiltelefon és e-mail cím használata önkéntes alapú minden állampolgár számára.
A lengyel jogszabályok szerint a toborzáskor megadott kapcsolattartási adatok más célra nem használhatók később, amennyiben a felek munkaszerződést kötnek. Ebből kifolyólag amennyiben a munkáltató a toborzás során megszerzett, jelölthöz kapcsolódó, általa megadott személyes e-mail címet és telefonszámot a toborzáson túl más célra is fel akarja használni, ahhoz szükséges megfelelő jogalapot szereznie, mely véleményük szerint elsődlegesen hozzájárulás lehet.
Különösen érdekes ez az állásfoglalás annak tükrében, hogy általános hatósági álláspont, melyet a 29-es Munkacsoport is magáévá tett iránymutatásaiban, hogy a munkaviszonyban kivételes esetben alkalmazható csak a hozzájárulás jogalapként, tekintettel a felek közötti alá-fölérendeltségi viszonyra.
A Hatóság felhívja a figyelmet a GDPR 5. és 7. cikkeire, pontosabban arra, hogy a hozzájárulásnak önkéntesnek kell lennie, melyet átlátható és érhető tájékoztatásnak kell megelőznie. Itt azt is megjegyzik, hogy a munkáltatónak csak abban az esetben szabad munkaidőn kívül kapcsolatot kezdeményeznie munkavállalóival, ha erre valamilyen speciális körülmény feljogosítja.
Mindezek mellett a munkavállalónak természetesen bármikor joga van hozzájárulásának visszavonásához, melyet követően a munkáltatónak, mint adatkezelőnek meg kell szüntetnie az adatok ilyen célú kezelését. Figyelmeztetnek azonban, hogy a munkajogi törvény alapján a munkavállalót nem érheti semmilyen hátrány abból kifolyólag, hogy ezen adatok kezeléséhez nem adta hozzájárulását, vagy később azt visszavonja.
Az UODO kivételként említett példája egy olyan eset, amikor a munkáltatónak törvényi kötelessége kapcsolattartó személyt kineveznie és az ő elérhetőségi adatait bizonyos hatóságokkal közölni (például pénzügyi tranzakciók esetében: GDPR 6. cikk (1) bekezdés c) pont alapján). Ilyen esetekben a munkáltató nem köteles az érintett hozzájárulását megszerezni, annak személyes kapcsolatfelvételi adatait továbbíthatja, amennyiben a munkavállaló azt közölte vele.
Bár az utolsó megállapítás helyi jogi hátterét nem ismerjük részletesen, érdekes, hogy ebben az esetben a Hatóság fel sem veti azt, hogy ilyen esetben a munkáltatónak kötelezettsége lenne céges telefont biztosítani az érintett munkavállalónak.
