Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (általános adatvédelmi rendelet, GDPR) a személyes adatok kezelésére vonatkozóan alapelveket határoz meg, az alapelvek teljesüléséhez pedig részletes követelményrendszert állapít meg.
A második alapelv a „célhoz kötöttség” elve, mely kimondja, hogy a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azok nem kezelhetők ezekkel a célokkal össze nem egyeztethető módon.
A célok meghatározása során a jogszerűség esetében meghatározott eseteknek megfelelően kell az alátámasztást igazolni. Az adatkezelés célját az adatfelvétel előtt pontosan meg kell határozni, ettől eltérni nem lehet (vagy eltérés esetén az új feltételeknek megfelelően kell tájékoztatást nyújtani). Ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan meg kell adni, illetve mennyiben az adatkezelési célokat jogszabály vagy egyéb feltétel alapozza meg, akkor a célokat külön-külön igazolni kell az adatkezelőnek. Ez utóbbi leírása egy funkcionálisan többszörösen összetett intézményben nehézkes lehet.
Az elv kimondja, hogy személyes adatok csak abban az esetben kezelhetők, ha az adatkezelés célját egyéb eszközzel észszerű módon nem lehetséges elérni, vagyis a cél elérésére ténylegesen szükség van az adatok kezelésére. Az adatkezelőnek haladéktalanul törölni az érintett személyes adatait, ha az adatkezelés célja megszűnt, vagy az adatok további kezelése már nem szükséges az adatkezelés céljának megvalósulásához (ennek ágazatban való gyakorlati megvalósulása kérdéses). Az adatkezelés során csak a cél megvalósulásához szükséges mennyiségben és mértékben kezelhetők az adatok.
A személyes adatoknak a gyűjtésük eredeti céljától eltérő egyéb célból történő kezelése csak akkor megengedett, ha az adatkezelés összeegyeztethető az adatkezelés eredeti céljaival, amelyekre a személyes adatokat eredetileg gyűjtötték. Ebben az esetben nincs szükség attól a jogalaptól eltérő, külön jogalapra, mint amely lehetővé tette a személyes adatok gyűjtését. Ez az elv megvalósul, ha ugyanannak az ellátott személynek a segítésben kitűzött célját próbáljuk elérni, s ehhez más-más formában, de folyamatosan használjuk a személyes adatait.
Annak megállapításához, hogy a további adatkezelés célja összeegyeztethető-e a személyes adatok gyűjtésének eredeti céljával, az adatkezelő figyelembe veszi többek között minden, az említett eredeti célok és a tervezett további adatkezelési célok között fennálló összefüggést, az adatgyűjtés körülményeit, ideértve különösen az érintettnek a további adatfelhasználásra vonatkozó, az adatkezelővel fennálló kapcsolatán alapuló észszerű elvárásait is, továbbá a személyes adatok jellegét, a tervezett további adatkezelés következményeit az érintettekre nézve, valamint a megfelelő garanciák meglétét mind az eredeti, mind a tervezett további személyesadat-kezelési műveletek során.
Nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés, ezért az ilyen jellegű adatkezelést jogszerű adatkezelési műveleteknek kell tekinteni, nem igényel külön hozzájárulást sem.
GYAKORLATI KÉRDÉSEK, PROBLÉMÁK
Alapvetően kérdéses, hogy a jelenlegi jogszabályok által előírt adatkezelés esetében teljesül-e a célhoz kötöttség elve. Például a szociális szolgáltatások körében megvalósuló tanácsadás, információ-nyújtás esetében a tevékenység célja az, hogy adott személy valamilyen információhoz jusson – és ehhez egyáltalán nincs szükség arra, hogy a szolgáltató az ő személyes adatait kezelje. Különösen igaz ez akkor, ha a személy azonosítása nincs összefüggésben a szolgáltatói finanszírozással (pl. a családsegítés esetén, ahol a települési lakosságszám a finanszírozás alapja) vagy bármilyen más működési érdekkel. Az igénybevevő személyéhez kötött finanszírozás, illetve az erre épülő központosított adatkezelés is felvet dilemmákat adatvédelmi szempontból.
A szociális munka tevékenységei során nagyon nehéz a célhoz kötöttség elvét objektívan alkalmazni. A kliensmunka során nem csak a közvetlen igénybe vevőről, hanem a környezetében élő, vele kapcsolatban álló természetes személyekről is személyes, olykor akár különleges adatokat kaphatunk, enélkül sokszor a segítő munka nem is lehet eredményes. Ugyanakkor ezen személyeket nem tudjuk tájékoztatni az adatkezelésről és egyértelmű jogszerű felhatalmazást sem tudunk felmutatni.
Az ágazatban az adatkezelés céljának azonosítása is kérdéses lehet, mert egyidejűleg az adatok kezelése több célt is szolgálhat. Az elsődleges cél nyilván az adott személy szociális problémájának megoldása lenne, de a gyakorlatban a szolgáltató működésére vonatkozó szabályok az erősebbek, ez ismét egy adatvédelmi dilemmát vet fel.
Kapcsolódó anyagok
- GDPR alapelvek 1. – Jogszerűség, tisztességesség, átláthatóság
- GDPR alapelvek 2. – Célhoz kötöttség
- GDPR alapelvek 3. – Adattakarékosság
- GDPR alapelvek 4. – Pontosság
- GDPR alapelvek 5. – Korlátozott tárolhatóság
- GDPR alapelvek 6. – Integritás és bizalmas jelleg
- GDPR alapelvek 7. – Elszámoltathatóság
- Adatvédelmi tisztviselő
- 2016/679 európai parlamenti és tanácsi rendelet
- 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról (Infotv.)
