A Nemzeti Adatvédelmi és Információszabadság hatóság a tegnapi napon hiánypótló jellegű állásfoglalást tett közzé a külföldi adattovábbítás követelményeiről. A hatóság arra adott választ, hogy a 2012. január 1-i jogszabályi változások fényében mennyiben tartják fenn a 2007. március 5. napján közzétett, munkavállalói személyes adatok harmadik országba történő továbbításának szabályairól szóló korábbi adatvédelmi biztosi tájékoztatóban foglaltakat.

Az állásfoglalás megállapításai – melyek a 29. cikk szerinti adatvédelmi munkacsoport véleményeire erősen támaszkodnak – az alábbiakban foglalhatóak össze:

– az érintett külföldi adattovábbításhoz való kifejezett hozzájárulása az önkéntesség és kifejezettség mellett azt is feltételezi, hogy az érintettet tájékoztatni kell azokról a kockázatokról, miszerint adatait olyan országba továbbítják, amely nem biztosít megfelelő védelmet. Az érintett csak ezen információ birtokában adhatja beleegyezését a tények teljes ismeretében;

– munkavállalók esetében a munkáltatóval való hierarchikus kapcsolat okán az önkéntesség kétséges, így a hozzájárulás csak korlátozott körben érvényesülhet, és kizárólag akkor, ha az önkéntesség egyértelműen biztosítható. A hatóság mindazonáltal elvárja, hogy a munkavállalók személyes adatait csak megfelelő szintű védelmet nyújtó harmadik országokba továbbítsák;

– amennyiben az adatexportőr az Infotv. 8. § (1) bekezdés b) pontjára támaszkodik, úgy az adatkezelés megkezdésével vagy az adattovábbítással egyidejűleg ekkor is tájékoztatnia kell az érintetteket a harmadik országba történő adattovábbítás tényéről;

– harmadik országban letelepedett adatfeldolgozó számára történő adatátadás önmagában az Infotv. 8. § (1) bekezdés b) pontja szerint jogszerű, az adatátadás külön jogalapot nem igényel;

– a magyar hatóság a BCR-ok alkalmazását nem ismeri el, bár ezzel kapcsolatosan többször is jogszabály-módosítást kezdeményeztek;

– az adatvédelmi nyilvántartásba való bejelentkezéssel kapcsolatosan a hatóság eltér a 2007-es adatvédelmi biztosi tájékoztatótól, mivel kimondja, hogy önmagában a külföldre történő adattovábbítás, külföldi adatfeldolgozó / al-adatfeldolgozó megbízása (nekik való adatátadás) sem bejelentés-köteles, (feltéve, hogy az adatkezelés egyébként az Infotv. 65. § (3) bekezdésében felsorolt valamely pont hatálya alá tartozik).

– adatfeldolgozással kapcsolatosan az Infotv. 10. § (4) bekezdését a hatóság úgy értelmezi, hogy egy anyavállalat (vagy egy társvállalat) főszabályként nem tekinthető a feldolgozandó személyes adatokat felhasználó üzleti tevékenységben érdekeltnek, ezért megbízható adatfeldolgozóként.

Az állásfoglalás jól összefoglalja az adattovábbításra irányadó hatályos magyar szabályokat. Annak közzétett szövege elérhető a http://naih.hu/files/2223-2-2013-v.pdf cím alatt.