Cikk letöltése PDF-be

Absztrakt

Az elmúlt évtizedben mind a korrupció elleni fellépés, mind az adatvédelem jelentős fejlődésen ment keresztül. Új jogszabályok születtek, amelyek alapvető hatással voltak a szervezetek életére. Ugyanakkor e két jogterület fejlődése olyan új és aktuális elhatárolási kérdéseket is felvet, amelyeket indokolt gyakorlati szempontból is megvizsgálni a jogszabályoknak megfelelő szervezeti válaszok megtalálása érdekében. A tanulmány a szervezetek antikorrupciós irányítási rendszeréhez kapcsolódó adatvédelmi kérdéseket vizsgálja, különösen a munkatársak átvilágítása, az erkölcsi bizonyítványok kezelése, a bejelentések, valamint az etikai eljárások kapcsán és kínál a gyakorlatban is alkalmazható megoldásokat az általános adatvédelmi rendelet és a NAIH gyakorlata alapján.

1. Bevezetés

Tanulmányom témájának az antikorrupciós irányítási rendszerek adatvédelmi összefüggéseinek vizsgálatát választottam. Ennek oka, hogy immár közel másfél évtizede foglalkozom a korrupció megelőzésével és integritásmenedzsmenttel, és munkám során sok olyan gyakorlati problémával szembesültem, amely érinti a személyes adatok védelmét. Reményeim szerint a tanulmányomban felvetett adatkezelési kihívások, valamint az ezekre javasolt gyakorlati megoldások elősegíthetik mind az adatvédelem, mint a szervezeti antikorrupciós irányítási rendszerek szabályszerű, valamint hatékony és eredményes működését.

Az integritásirányítási rendszerek alapja a kockázatkezelés, amely értelmezhető szervezeti, illetve egyéni szinten is. A korrupciós kockázatok a legtöbb esetben egyéni szinten jelentkeznek,[1] így a szervezetek arra törekednek, hogy a náluk, vagy velük együtt dolgozó munkatársak vonatkozásában minél több releváns információ birtokában legyenek. Minél több információ áll rendelkezésre valakiről, annál nagyobb eséllyel lehet meghatározni a vele kapcsolatos személyes kockázat mértékét. Sőt: minél érzékenyebbek ezek az információk (például függőségekre, korábbi büntetőeljárásokra, vagyon helyzetre, baráti kapcsolatokra vonatkozóan), annál inkább sérülhetnek, sérülnek az érintett személy (és vele kapcsolatban más személyek) személyiségi jogai.

A személyes adatok kezelése során kiemelt jelentősége van az átláthatóság és pontosság alapelvének, valamint az adattakarékosság elvének, hiszen ezek jogalaptól és az adatkezelő típusától független követelményként jelentkeznek.

A személyes adatok egyik sajátossága, hogy gyorsan változnak és veszítik el aktualitásukat. Ami egy személyre vonatkozóan helytálló megállapítás volt tíz évvel ezelőtt, az nem biztos, hogy jelenleg is az. Sőt: a személyes adatok változó dinamikával, de folyamatosan avulnak. Ugyanakkor egy-egy személlyel kapcsolatban gyorsan keletkeznek olyan személyes adatok (például egy baleset vagy egy orvosi vizsgálat eredményeképpen), amelyek alapvetően befolyásolhatják a személyben rejlő kockázatokat.

A szervezetek működésében kiemelt jelentősége van a közhiteles személyes adatoknak. Vagyis azon adatok körének, amelyről az adatkezelő joggal feltételezheti, hogy hitelesek, megbízhatóak és amelyek megadását a jog erejénél fogva megkövetelheti az érintettől. Bár ezek megismerése, tárolása is felvet adatvédelmi kérdéseket, ezek forrása megbízható és az adatok integritása sem sérült. Az antikorrupciós irányítási rendszerek működése szempontjából az elsődleges kérdés, hogy milyen személyes adatok megismerése szükséges, hogy a munkáltató megbízható bizonyossággal azt tudja állítani, hogy munkavállalója korrupciós kockázati szempontból nem hordoz kiemelkedő kockázatot, illetve ezt milyen személyes adatok birtokában mondhatja ki, továbbá e személyes adatokhoz milyen forrásból és milyen jogalappal juthat hozzá.

E kérdések vizsgálata és megnyugtató tisztázása szervezeti oldalról már csak azért is kiemelkedő jelentőségű, mivel a személyes adattal való visszaélés bűncselekmény,[2] és a személyes adatok nem megfelelő kezelése – a büntetőjogi fenyegetettségen túl – jelentős adatvédelmi bírsággal és reputációs kockázattal is járhat. Ez már csak azért is elkerülendő, mivel míg a személyi kockázat nem megfelelő felmérése potenciális jövőbeli veszélyeket hordoz magában, addig az adatvédelmi kérdések nem megfelelő kezelése közvetlen és valós veszélyt generálhat, amely alááshatja a szervezet jogszerű működésébe és antikorrupciós irányítási rendszerébe vetett bizalmat is.

Az elmúlt évtizedben mind a korrupció elleni fellépés, mind az adatvédelem jelentős fejlődésen ment keresztül.[3] Új jogszabályok születtek, amelyek alapvető hatással voltak a szervezetek életére a magánszektorban és a közszférában egyaránt. Ugyanakkor e két jogterület fejlődése olyan új és aktuális elhatárolási kérdéseket is felvet, amelyeket indokolt gyakorlati szempontból is megvizsgálni a jogszabályoknak megfelelő szervezeti válaszok megtalálása érdekében.

2. Fogalmak és módszertan

Jelen tanulmány célja adatvédelmi szempontból is megfelelő megoldások kidolgozása a szervezetek antikorrupciós irányítási rendszereinek támogatása érdekében. E cél megvalósítása akkor lehet sikeres, ha a tanulmány fogalmi és jogi szempontból is jól alátámasztott módszertant követ, amely képes tudományos igényességgel megválaszolni a hipotézisben foglalt állítást.

2.1. A kutatás során felmerülő kérdések

Az antikorrupciós irányítási rendszerek kockázatkezelésre és hatékonyságra törekvő szemlélete, illetve az adatvédelem személyiségi jogok védelmére és tiszteletben tartására irányuló megközelítése ellentmondásban van egymással. Míg az első rendszer az adatok széles körének (ideértve a különleges személyes adatok körét is) összegyűjtésében érdekelt,[4] addig a második az adatkezelésben a védelem mellett a szükségesség és arányosság követelményeit állítja a középpontba.

Vajon menyire egyeztethető össze ez a kétfajta szemlélet egymással egy szervezeten belül? Vajon az EU általános adatvédelmi rendeletével is megtámogatott adatvédelmi követelmények mellett van-e lehetőség személyes adatok kezelésére a szervezeti korrupciós kockázatok csökkentése érdekében? Vagy a korrupció, mint a szervezet létére jelentős veszélyt jelentő kockázat részben vagy teljesen felülírhat-e adatvédelmi aggályokat? Létezhetnek-e olyan megoldások, amelyek kellően figyelembe veszik a szervezet antikorrupciós követelményeit, valamint az adatvédelmi kötelezettségeket?[5]

2.2. Kutatási hipotézis

A tanulmányomban bemutatott kutatás kiindulópontja és hipotézise az az állítás, hogy a szervezeti antikorrupciós irányítási rendszerek csak az adatvédelmi követelményeknek való teljes megfeleléssel képesek eléri céljaikat.

Hipotézisem alátámasztása vagy megcáfolása érdekében a következőkben meghatározom azokat a fogalmakat, amelyeket használok, felvázolnom azokat a módszertani kereteket, amelyek segítségével bizonyítani kívánom hipotézisemet.

2.3. Fogalmi keretek

A hipotézis vizsgálata során mindenekelőtt egyértelműsítenem kell, hogy mit értek az egyes tanulmányban használt fogalmak alatt. Mindenekelőtt azt kell meghatároznom, hogy milyen rendszert takar a kutatásom középpontjában álló antikorrupciós irányítás rendszer?

E fogalom megértéséhez az irányítási rendszer fogalmát kell megérteni, illetve meghatározni. Az irányítási rendszer az MSZ ISO 9000:2015 szabvány megfogalmazásában „egy szervezet egymással kapcsolatban vagy kölcsönhatásban álló elemeinek összessége, politikák és célok, valamint a célok elérésére szolgáló folyamatok létrehozásához”[6] A tömör meghatározásból több lényeges következtetés is adódik. Egyrészt az irányítási rendszer szervezetek működtetéséhez kapcsolódik, értelemszerűen azok működését kívánja jobbá és hatékonyabbá tenni. Az irányítási rendszerhez kapcsolódnak politikák, melyek a szervezet működésére vonatkozó elvek összességeként határozhatóak meg.[7] Az irányítási rendszer nem önmagáért való, hanem egyrészt célokat fogalmaz meg a szervezet számára, másrészt működési kereteket a célok elérésére érdekében. Ebből az következik, hogy az irányítási rendszer dinamikus rendszer, vagyis a célok megfogalmazása és elérése érdekében szükségszerűen változik és alkalmazkodik. Fontos kitétel, hogy a rendszer elemei egymással kapcsolatban vagy kölcsönhatásban állnak, közöttük – a politika és a célok révén – kohéziós erő áll fenn.

Az irányítási rendszer meghatározásából következik, hogy az antikorrupciós irányítási rendszer a korrupció elleni szervezeti politika és célok létrehozására és elérése érdekében jött létre. Tanulmányomban az antikorrupció és a korrupcióellenes fogalmakat – bár van köztük némi fogalmi különbség – az egyszerűség érdekében szinonimaként használom.

A korrupció fogalmának meghatározása során korrupció alatt a rábízott hatalommal való visszaélést értek magánelőny érdekében.[8] E széles körben használt korrupció fogalom előnye, hogy nemcsak a korrupció büntetőjogilag releváns részére, a vesztegetésre összpontosít, hanem a korrupció fogalmi körébe vonja az úgynevezett szociológiai korrupciós jelenségeket is. Ezek magukban foglalják a büntető törvénykönyv szerinti tényállásokat, valamint azokat a magatartásokat is, amelyek esetében a valamilyen jogtalan előny érdekében kötelezettségszegés történik.

Ezt a közszféra fogalmi keretei között úgy ragadhatjuk meg, hogy sérülnek vagy sérülhetnek a közszféra szervezeteire vonatkozó szabályok, elvek és értékek, vagyis a szervezet integritása. Integritás alatt az államigazgatási szerv szabályszerű, a hivatali szervezet vezetője és az irányító szerv által meghatározott célkitűzéseknek, értékeknek és elveknek megfelelő működését értjük.[9]

Adatvédelem alatt a személyes adatok védelmét értem, elhatárolva azokat a nyilvánosság számára hozzáférhető közérdekű adatoktól és közérdekből nyilvános adatoktól. Személyes adat érintettel összefüggésbe hozható bármely információ.[10] A személyes adatok védelme tehát azokat a magatartásokat foglalja magában, amelyek révén biztosíthatóak a személyes adatok kezelésére vonatkozó alapelvek és rendelkezések betartása a hatályos jogszabályok alapján.

2.4. A kutatás módszertana

Kutatásom során elsősorban a kvalitatív kutatás módszerei alkalmazhatók, így leginkább a témám szempontjából releváns dokumentumok elemzésére támaszkodom. Idetartoznak a szabályozási kereteket biztosító jogszabályok [elsősorban az Európai Parlament és a Tanács 2016. április 27-i (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet) – GDPR], valamint az államigazgatási szervek integritásirányítási rendszeréről és az érdekérvényesítők fogadásának rendjéről szóló 50/2013. (II. 25.) Korm. rendelet. Tekintettel, hogy az antikorrupciós irányítási rendszerekre vonatkozó hazai jogi szabályozás igen töredékes, háttérnormaként támaszkodom az MSZ ISO 37001:2025 Antikorrupciós irányítási rendszerek. Követelmények útmutatóval szabványra is. A dokumentumelemzés eszköztárába beletartozik a témára vonatkozó tudományos publikációk elemzése is, jóllehet – mivel viszonylag új és speciális területről van szó – ezek száma sajnos csekély. A dokumentumok elemzése során szeretnék nagy figyelmet szentelni a Nemzeti Adatvédelmi és Információszabadság Hatóság által kibocsátott, témám szempontjából releváns ajánlások és állásfoglalások elemzésére, amelyek gyakorlati szempontból nyújthatnak segítséget a megfelelő eljárások kialakításához.

Kutatásom során a dokumentumelemzésen túl saját szakmai tapasztalataimra is hagyatkozom, amelynek segítségével azokat a gyakorlati problémákat igyekszem feltárni és azonosítani, amelyek tanulmányom szempontjából relevánsak.

E gyakorlati esettanulmányokra építem tanulmányom érdemi részét, amelynek elemzése hozzájárul a hipotézisben megfogalmazott állítás alátámasztásához vagy cáfolatához.

2.5. Lehatárolás

Mivel tanulmányom témája elég széles körű, szükséges a tartalmi keretek lehatárolása, hogy dolgozatom fókuszát mindvégig tartani tudjam. Ennek érdekében nem törekszem az antikorrupciós irányítási rendszerek eszközeinek és folyamatainak részletes bemutatására, hanem csak azokra az elemekre koncentrálok, amelyek a tanulmány szempontjából relevánsak. Terjedelmi okokból ugyancsak el kell tekintenem az általános adatvédelmi rendelet és a hazai adatvédelmi szabályozás részletes bemutatásától.[11]

3. Háttér és a szabályozási keretek bemutatása

Kutatásomhoz kapcsolódóan elengedhetetlenül szükséges a jogi, szabályozási háttér ismertetése, hiszen ez szabja meg az antikorrupciós irányítási rendszerek működésének kereteit, illetve az adatvédelemre vonatkozó jogszabályi követelményeket. Ennek megfelelően e fejezet az antikorrupciós irányítási rendszerek bemutatására, hazai és nemzetközi szabályozására, valamint az adatvédelmi szabályozásra összpontosít.

3.1. Antikorrupciós irányítási rendszerek

Az antikorrupciós irányítási rendszerek elsődleges célja a korrupciós bűncselekmények visszaszorítása. A korrupció elleni fellépés az ezredforduló utáni első évtizedig elsősorban a természetes személyekre koncentrálódott. Az integritás szemlélet térnyerésével kerültek előtérbe a szervezetek, illetve a szervezetek feladatai és lehetőségei a korrupció elleni fellépés területén. A kutatók és a gyakorlati szakemberek számára egyértelművé vált, hogy a korrupció elleni fellépésben a szervezetek akkor képesek eredményeket elérni, ha a büntetőjogi megközelítésről a szervezeti kockázat alapú megközelítésre térnek át, és alkalmazzák a szervezeti minőségirányítási rendszerek jó gyakorlatait.

Ehhez komoly ösztönző erőt adott, hogy az ezredforduló utáni évtizedben hatékonyabbá vált az Amerikai Egyesült Államok külföldi korrupciós gyakorlatok elleni törvényének (Foreign Corrupt Practices Act – FCPA) alkalmazása.[12] Az ehhez kapcsolódó súlyos pénzbírságok és szankciók arra ösztönözték a globális vállalatokat, hogy hatékony és eredményes lépéseket tegyenek a korrupciós gyakorlatok visszaszorítása érdekében és fejlesszék vállalatirányítási rendszereiket.[13] A gazdasági társaságok által alkalmazott megfelelési (compliance) rendszerek egyre hatékonyabbak lettek és jó gyakorlataik nemzetközi szinten is beépültek a vállalatok működésének mindennapjaiba. E megoldások inspirálóan hatottak a közigazgatási szervek korrupció elleni irányítási rendszereinek fejlesztésére.

3.2. Az antikorrupciós irányítási rendszerek hazai és nemzetközi szabályozása

Magyarországon az antikorrupciós irányítási rendszerekre vonatkozó szabályozás igen töredékes. A közszférán belül az államigazgatási szervekre vonatkozó követelményeket az államigazgatási szervek integritásirányítási rendszeréről és az érdekérvényesítők fogadásának rendjéről szóló 50/2013. (II. 25.) Korm. rendelet (a továbbiakban: Intr.) szabályozza, a rendelet szervi hatálya a rendvédelmi szervekre és a nemzetbiztonsági szolgálatokra nem terjed ki (Intr. 1. §).

Az Intr. – összhangban a költségvetési szervek belső kontrollrendszeréről és belső ellenőrzéséről szóló 370/2011. (XII. 31.) Korm. rendelettel – előírja a hatálya alá tartozó államigazgatási szervek számára az integritási és korrupciós kockázat felmérését, valamint ez alapján intézkedési terv elkészítését. Bár az integritás-irányítási rendszer működtetése a hivatali szervezet vezetőjének átruházhatatlan feladata, ebben a kötelezően kijelölendő integritás-tanácsadó nyújt számára segítséget. Az integritásirányítási rendszer és az adatvédelem közötti szoros kapcsolatot jól mutatja, hogy az integritás-tanácsadó a szabályozás szerint [Intr. 6. § (5) bekezdés a) pont] adatvédelmi tanácsadói feladatokat is elláthat.

Bár az Intr. meghatározza az államigazgatási szervek integritás-irányítási rendszerének kereteit, a keretek kitöltését szolgáló eszközök meghatározása vonatkozásában nagyrészt adós marad. Nem írja elő például az államigazgatási szervekkel kapcsolatba kerülő szervezetek kockázatelemzését, a közbeszerzési szerződésekhez kapcsolódó korrupcióellenes záradékok alkalmazását, a munkatársak rendszeres oktatását vagy a leendő munkatársak átvilágítását.

A közszféra vonatkozásában az Intr. tekinthető a leginkább kidolgozott szabályozásnak, más ágazati – honvédelmi, köztulajdonban álló gazdasági társaságokra vonatkozó – szabályok elsősorban a belső kontrollrendszer elemeire építenek.[14]

A hazai magánszektor jogi személyeire vonatkozóan az antikorrupciós irányítási rendszerre vonatkozó szabályozás szinte teljesen hiányzik. Ez alól kivételt jelent a hitelintézetekre és pénzpiaci vállalkozásokra vonatkozó törvény, amely e szervezetekre vonatkozóan jogszabályi megfelelésért felelős szervezeti egység létrehozását írja elő számukra.[15]

A hazai magánszektor gazdasági társaságai ezért – hazai szabályozás hiányában – antikorrupciós irányítási rendszereik kialakítása során elsősorban anyavállalatuk (amerikai, német vagy francia) jogszabályait, illetve a nemzetközi jó gyakorlatként működő ISO 37001 antikorrupciós irányítási rendszerek[16] szabványt veszik alapul.[17] A Magyarországon is egyre szélesebb körben alkalmazott szabvány – már csak terjedelme okán is – részletes követelményeket határoz meg a kialakítandó antikorrupciós irányítási rendszerekre vonatkozóan és számos területen érinti az emberi erőforrások, valamint a személyes adatok kezelésének témáját.[18] A szabvány ugyanakkor nem nyújt, nem nyújthat részletes útmutatást az adatvédelmi kérdések vonatkozásában,[19] így ezek gyakorlati alkalmazására vonatkozó eljárásokat az antikorrupciós irányítási rendszert működtető szervezeteknek maguknak kell kidolgozniuk.

3.3. Adatvédelmi szabályozás

A személyes adatok védelmének kérdése az informatikai rendszerek fejlődésével került egyre inkább előtérbe. Az informatikai rendszerek nemcsak a korábbinál nagyobb mennyiségű és minőségű személyes adat kezelésére voltak képesek, de megnőtt a veszélye a személyes adatokat tartalmazó adatbázisok összekapcsolásának, valamint a személyes adatokkal való visszaélésnek is.

Magyarország már nem sokkal a rendszerváltást követően törvényt alkotott a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról.[20] Az előremutató szabályozást 2012. január 1-től új törvény[21] váltotta fel, amely jobban megfelelt a hazai és nemzetközi követelményeknek. A személyes adatok védelmét 2018. május 25-től új, közvetlenül hatályos jogszabály, az általános adatvédelmi rendelet (General Data Protection Regulation – GDPR)[22] biztosítja a módosult hazai szabályozás mellett. A rendkívül szerteágazó uniós szabályozás részletes bemutatására terjedelmi okokból nem vállalkozhatok, ugyanakkor tanulmányom témája szempontjából indokolt kiemelni, hogy az adatvédelmi szabályok betartása fölött nemzeti hatóságként a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) őrködik. A szabályozás 38. § (2) bekezdése szerint „a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése”. A szabályozás szerint a hatóság – többek között – bejelentés alapján vizsgálatot folytat, hivatalból adatvédelmi hatósági eljárást folytathat le, megtilthatja a személyes adatok jogellenes kezelését vagy feldolgozását [61. § (1) bekezdés. c) pont], valamint adatvédelmi hatósági eljárásban százezertől tízmillió forintig terjedő bírságot szabhat ki [61. § (1) bekezdés f) pont, illetve (3) bekezdés].

4. Antikorrupciós irányítási rendszerek adatvédelmi kérdései

Az antikorrupciós irányítási rendszerek adatvédelmi kérdéseinek vizsgálata során mindenekelőtt azt célszerű megvizsgálni, hogy a jogi személyek a GDPR alapján egyáltalán kezelhetik-e munkavállalóik személyes adatát. A válasz egyértelműen igen, méghozzá több jogalapra visszavezethetően. A foglalkoztatás jogalapja a munkáltató és a munkavállaló között létrejött szerződés, és ebből fakadó kötelezettségeinek teljesítése érdekében (például a munkabér kifizetése, átutalása) a munkáltatónak kezelnie kell a munkavállaló személyes adatait, amely a GDPR 6. cikk (1) bekezdés b) pontja szerinti adatkezelést alapozza meg. A közszférában a jogviszony nem munkaszerződéssel, hanem kinevezéssel jön létre, így a jogviszonyt alapja ebben az esetben már a GDPR 6. cikk (1) bekezdés e) pontja alapozza meg, azaz az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges. Ezen tevékenységeken túl a munkáltatónak jogi kötelezettségei is vannak a munkavállaló vonatkozásában: a munkavégzés kezdetét be kell jelentenie az illetékes közigazgatási szervnek, továbbá utána adót és járulékot is kell fizetnie. Ebből következően ezen személyes adatok kezelését a GDPR 6. cikk (1) bekezdés c) pontjában foglalt jogi kötelezettség teljesítése teszi szükségessé.

E GDPR-rendelkezéseket támasztja alá a munka törvénykönyvéről szóló 2012. évi I. törvény 10. § (1) bekezdése is. Ez alapján „A munkáltató a munkavállalótól olyan nyilatkozat megtételét vagy személyes adat közlését követelheti, amely a munkaviszony létesítése, teljesítése, megszűnése (megszüntetése) vagy e törvényből származó igény érvényesítése szempontjából lényeges.” A munkáltató jogának gyakorlása vagy kötelességének teljesítése érdekében nyilatkozat megtételét vagy adat közlését követelheti, és ez alapján okirat bemutatása is követelhető.[23]

Általánosságban mindenképpen rögzíteni kell, hogy az átláthatóság alapelvének érvényre juttatása érdekében biztosítani kell, hogy az érintettek a GDPR és a munka törvénykönyve szerinti tájékoztatást egyaránt megkapják. Ennek hiányában az érintettek nem tudják érvényesíteni jogaikat, illetve nem tudnak élni a számukra biztosított jogorvoslattal. A jogérvényesítés szempontjából különösen az adatvédelmi tájékoztató megléte a kritikus. Az adatvédelmi tájékoztatóban mindenekelőtt azt szükséges rögzíteni, hogy mi a munkáltató által kezelt személyes adatok forrása, és ez alapján milyen információkat kell a rendelkezésére bocsátani (a GDPR 13. cikke szerint, ha azokat az érintettől gyűjtik, illetve a GDPR 14. cikke szerint, ha az adatokat nem az érintettől szerezték meg). Ezek a követelmények egyaránt vonatkoznak az alábbiakban tárgyalandó gyakorlati kérdésekre, így az átvilágításra, az erkölcsi bizonyítvány kezelésére, a bejelentések, valamint az etikai eljárás adatvédelmi kéréseire. Ezekben az esetekben tipikus lehet, hogy az érintett meg kívánja ismerni a rá vonatkozó bejelentésben foglaltakat, a munkáltató róla készített kockázatértékelését, a teljesítményértékelését, vagy akár helyesbítést kérne, tiltakozna valamely adatának kezelésével szemben (nyílt interneten talált adatok).

Az érintettek megfelelő tájékoztatása ugyanakkor nem csak adatvédelmi szempontból kiemelt jelentőségű. Ahogy arra Hohmann is felhívja a figyelmet,[24] az integritásirányítási rendszer működtetése szempontjából kulcsfontosságú az integritás-tanácsadók szerepe, különösen az érintettekkel való nyílt és transzparens kommunikáció területén. A tájékoztatásnak így nemcsak a GDPR által megkövetelt körülményekre kell kiterjednie, de annak is világosnak kell lennie minden érintett számára, hogy az adott integritásmenedzsment eszköz milyen célt szolgál.

4.1. Átvilágítás

A személyes adatok kezelésének munkáltatói jogalapján túl témám szempontjából a leendő munkatársak kockázati szempontú átvilágítása vet fel jelentős adatvédelmi kérdéseket. Ennek célja, hogy a munkáltató meg tudja határozni, hogy a munkavállaló felvételével milyen potenciális kockázatokra kell számítania, illetve ezek között van-e olyan, amely eleve ellehetetlenítené a vele való együttműködést.

Az átvilágítás indoka, hogy a gyakorlati tapasztalatok alapján a munkáltatóra vonatkozóan a legnagyobb kockázatot a személyi kockázatok jelentik,[25] így ebből következően a személyhez fűződő kockázatok azonosítása, illetve – amennyiben lehetséges, csökkentése – a munkáltatók egyik legnagyobb körültekintést igénylő feladata.

A személyi kockázatok igen szerteágazók lehetnek. Beszélhetünk az életvitelből eredő kockázatokról (például drog- vagy alkoholfüggőségről), amelyek következményei mind a munkáltató megítélésére, mind a munkavállaló munkavégzésének minőségére kihatással lehetnek. Bár a munkavégzést nem biztos, hogy befolyásolják, de a munkáltató megítélésére hatással lehet a munkavállaló szélsőséges világnézete, politikai véleménye is (például oltástagadó attitűdje vagy rasszista nézetei). Ez újabb kategóriát képezhetnek a leendő munkavállaló szociális készségeihez (pontosabban azok hiányához) kapcsolódó kockázatok (például összeférhetetlen, kötekedő természete, vagy a vezetők esetében vezetői alkalmatlansága).

Azt is hangsúlyoznunk kell, hogy az azonosítható kockázatok mértéke jelentősen változhat munkáltatónként, illetve munkahelyenként. Míg egyes kockázatok súlyosabb megítélés alá esnek (például a kötekedő természet egy ügyfélszolgálati munkakör esetében), addig más munkakör esetében ugyanez a jellemvonás (például a kötekedő természet egy egyedül végzett irattári munka során) enyhébb súllyal esik latba.

A kiválasztás során tehát mindenekelőtt ismerni kell a betöltendő munkakört, a munkakör ellátásához szükséges kompetenciákat (szakmai tudást, gyakorlati készségeket és elvárt hozzáállást),[26] és ez alapján kell kiválasztani a jelentkezők közül a legmegfelelőbbet, feltárva a hozzá kapcsolódó potenciális kockázatokat.[27]

Az információgyűjtés általános módja a munkáltatók esetében az önéletrajz, illetve motivációs levél, referenciaszemélyek, ajánlás(ok) bekérése. Míg előbbi általános gyakorlatnak tekintendő, utóbbiak jellemzően opcionálisan merülnek fel. Az adatkezelés alapja ezen esetekben a GDPR 6. cikk (1) bekezdés b) pontja, mivel az olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges.

Míg a magánszektorban a munkatársak átvilágítására vonatkozóan a fő szabály szerint nincsen jogszabályi kötelezettség, a közszféra szervezeteinél ez másként van. A közszolgálati tisztviselőkről szóló 2011. évi CXCIX. törvény 39. § (3) bekezdése úgy rendelkezik, hogy a jogszabály alapján nemzetbiztonsági ellenőrzés alá eső kormányzati szolgálati jogviszony nem létesíthető azzal, aki nemzetbiztonsági ellenőrzéséhez nem járul hozzá, illetve akinek nemzetbiztonsági ellenőrzése során nemzetbiztonsági kockázatot állapítottak meg, kivéve, ha a külön törvény szerint arra feljogosított személy, szerv vagy testület a kormányzati szolgálati jogviszony létesítését jóváhagyta. Ebből következik, hogy a jogszabály alapján a közszférában bizonyos személyek foglalkoztatása előzetes nemzetbiztonsági ellenőrzéshez kötött, így az ezt végző nemzetbiztonsági szervek a törvény erejénél fogva jogosultak, sőt kötelesek elvégezni a nemzetbiztonsági átvilágítást és ennek során személyes adatokat, valamint – szükség szerint – különleges személyes adatokat is gyűjteni, illetve kezelni. Ennek alapja a GDPR 6. cikk (1) bekezdés e) pontja, amiből az következik, hogy az érintett adatainak védelméhez fűződő jogai korlátozottak, így például nem ismerheti meg a róla gyűjtött adatokat és nem is tiltakozhat azok kezelése és felhasználása ellen. Ezen adatok védelme abból a szempontból biztosított, hogy a leendő munkáltató a nemzetbiztonsági ellenőrzés befejeződésével annak eredményéről csak annyi tájékoztatást kap, hogy a vizsgálat feltárt, illetve nem tárt fel nemzetbiztonsági kockázatot. Az esetleges kockázat megismerésére adatvédelmi okokból a leendő munkáltatónak nincsen lehetősége.

Az átvilágítás kérdése a magánszektorban értelemszerűen jóval szűkebb. Az esetleges kockázatokra a leendő munkáltató az önéletrajz adataiból, a referenciákból és ajánlásokból, illetve az ezek alapján a leendő munkavállalótól kapott szóbeli információk alapján következtethet. Komoly gyakorlati kérdésként merülhet fel, hogy a munkáltató jogosult-e a leendő munkavállaló internetes közösségi oldalainak vizsgálatára, annak áttekintésére. A NAIH 2016-ban a munkáltatói háttérvizsgálatokkal kapcsolatban hozott állásfoglalásában[28] megállapította, hogy „a munkáltató csak az adott munkakör betöltésével összefüggésben – a jogviszony létesítése, fenntartása, megszűnése vonatkozásában – kérhet a munkavállalótól személyes adatokat, és csak azon adatokat, amelyek az adott munkakör betöltéséhez elengedhetetlenül szükségesek. Azon adatok közlését, melyek kifejezetten nem kapcsolódnak az adott munkakörhöz, vagy ahhoz nem elengedhetetlenül szükségesek, a munkáltató nem kérheti, ellenkező esetben cél nélküli, azaz jogellenes adatkezelés valósulna meg.”

Az állásfoglalás ugyanakkor azt is megállapítja, hogy „önmagában a munkáltatónak az a tevékenysége, hogy a világháló, illetve a munkavállaló közösségi oldalának nyilvános, mindenki számára elérhető adatait, információit megtekinti, nem minősül jogellenes gyakorlatnak, azért sem, mert ennek általános megtiltása nem lenne életszerű”. Vagyis a munkáltató a leendő munkavállalók átvilágítása kapcsán csak a munkakörhöz kapcsolódó olyan adatok megismerésére jogosult, amelyek az adott munkakör betöltéséhez elengedhetetlenül szükségesek, ezen túl nem terjeszkedhet, mivel azzal jogellenes adatkezelést valósítana meg. Önmagában az nem jogellenes, hogy a munkáltató az interneten és a közösségi oldalakon található nyilvános, bárki által hozzáférhető adatait megtekintse, ugyanakkor – bár erre az állásfoglalás nem térhetett ki – a megtekintés a GDPR hatálybalépése óta adatkezelésnek minősül.[29]

Az interneten és a közösségi oldalakon megtalálható információk veszélye ugyanakkor – ahogyan erre a NAIH állásfoglalása is felhívja a figyelmet –, hogy azok helyességét, naprakészségét senki sem ellenőrzi, azok megbízhatósága sok esetben igen kérdéses. Ebből következően a nem megbízható adatokon alapuló döntések helyessége is gyenge lábakon áll, megkérdőjelezhető. A munkáltató tehát akkor jár el helyesen, ha nemcsak az érintett számára biztosítja az adatok megismerését, de lehetőséget nyújt az így megismert adatok helyesbítésére, kontextusba helyezésére. Ez a gyakorlatban úgy valósítható meg a legkézenfekvőbb módon, ha a munkáltató a kiválasztás során rákérdez a munkavégzés alapján a munkakör betöltése során releváns adatokra és lehetőséget biztosít a leendő munkavállaló számára azok helyesbítésére, kiegészítésére.

4.2. Erkölcsi bizonyítvány kezelése

A hivatkozott NAIH-állásfoglalás kitér egy speciális esetre is, amikor a munkáltatók leendő munkavállalójuktól a feddhetetlen előéletük igazolását kérik hatósági erkölcsi bizonyítvány bemutatásával. Ennek során megítélésem szerint ugyancsak a munkakörből és a munkakör keretében ellátandó feladatokból indokolt kiindulni. Ha ugyanis az adott munkakör kapcsán nem merülnek fel fokozott társadalmi elvárások (például pedagógus, pénztáros, boltvezetői feladatok ellátása során) a munkakör betöltőjével szemben, akkor indokolatlan az erkölcsi bizonyítvány meglétét megkövetelni. A széles körű erkölcsi feddhetetlenség ugyanis a társadalmi normákat kisebb-nagyobb mértékben megsértő személyek társadalmi integrációját nehezíti meg és tartja őket távol a legális munkaerőpiactól.[30]

A hatósági erkölcsi bizonyítvánnyal kapcsolatban felmerült kérdések jelentőségét mutatja, hogy a NAIH 2019-ben állásfoglalást bocsátott ki a hatósági erkölcsi bizonyítványokkal kapcsolatban.[31] Adatvédelmi szempontból kiemelendő, hogy a hatósági erkölcsi bizonyítvány kezelésével kapcsolatos adatvédelmi kérdések csak akkor merülnek fel, ha a munkakör betöltéséhez a jogalkotó – jellemzően a közhatalom gyakorlásával kapcsolatos esetekben – nem írja elő erkölcsi bizonyítvány meglétét. Ha ugyanis a jogszabály erről rendelkezik, akkor a munkáltatónak nemcsak joga, hanem kötelessége is ezen adatok kezelése, az adatkezelés jogalapját pedig a GDPR 6. cikk (1) bekezdés c) pontja adja.

Adatvédelmi kérdések csak abban az esetben merülnek fel, ha a betölteni kívánt munkakörhöz ilyen követelmények nem kapcsolódnak. Ebben az esetben az erkölcsi bizonyítványt a munkáltató a GDPR 6. cikk (1) bekezdés f) pontja, vagyis a munkáltató jogos érdeke alapján kezelheti. A jogos érdeken alapuló adatkezelés ugyanakkor kötelezettségeket is ró a munkáltatóra: érdekmérlegelési tesztet kell elvégeznie, „melynek során azonosítani kell az adatkezelő, azaz a munkáltató jogos érdekét, valamint a súlyozás ellenpontját képező adatalanyi, munkavállalói érdeket, az érintett alapjogot, végül a súlyozás elvégzése alapján meg kell állapítani, hogy kezelhető-e a személyes adat. Amennyiben a teszt eredményeként megállapítható, hogy a munkáltatói jogszerű érdek magasabb rendű, mint az érintettek személyes adatok védelméhez fűződő joga, úgy kezelhetők a fenti, bűncselekményre vonatkozó személyes adatok, és a munkáltatók ezen adatok igazolására kérhetik erkölcsi bizonyítvány bemutatását.”[32]

A fentiek alapján látható, hogy az erkölcsi bizonyítvány bekérésének szigorú feltételeket szab a jogalkotó és az csak valóban nyomós, a leendő munkavállaló adatvédelmi érdekeit felülíró indokokkal lehetséges. Az erkölcsi bizonyítvány bemutatása ugyanakkor nem azonos a hatósági erkölcsi bizonyítvány, illetve az abban található személyes, adott esetben bűnügyi személyes adatok kezelésével. A NAIH hivatkozott állásfoglalása alapján az erkölcsi bizonyítvány, vagy az arról készült másolat megőrzése nem egyeztethető össze a célhoz kötöttség követelményével, így annak nincsen helye. A munkáltató oldaláról ugyanakkor erre nincs is feltétlenül szükség: a leendő munkatársak átvilágítása szempontjából a releváns információ, hogy a jogviszony létesítéséhez a leendő munkavállaló bemutatta-e hatósági erkölcsi bizonyítványát, illetve az abban foglalt adatok alapján a megkövetelt feddhetetlenség fennáll-e?[33] E két körülmény bejegyzése elegendő a jogszabályi feltételek fennállásának megállapításához. Ezen túl az erkölcsi bizonyítványok tárolása az abban szereplő adatok elavulttá válása miatt nem is célszerű, továbbá az erkölcsi bizonyítványról készült másolat nem tekinthető közhiteles adatforrásnak, így bizonyító erővel nem bír.[34]

A munkavállaló személyében rejlő pillanatnyi kockázatok vonatkozásában a vonatkozó szabályok és jó gyakorlatok ismertetésén túl joggal merülhet fel a kérdés, hogyan biztosítható a változások nyomon követése, azaz, hogy a munkáltatónak ne csak a munkába lépés időpontjában, hanem folyamatosan rendelkezésére álljanak azok az adatok és információk, amelyek a munkakör betöltése szempontjából relevánsak. E kérdésre a munka törvénykönyve adja meg a választ.[35] A törvény 6. § (4) bekezdése szerint „Az e törvény hatálya alá tartozók kötelesek egymást minden olyan tényről, adatról, körülményről vagy ezek változásáról tájékoztatni, amely a munkaviszony létesítése, valamint az e törvényben meghatározott jogok gyakorlása és a kötelezettségek teljesítése szempontjából lényeges.” Vagyis a munkavállaló a saját munkaköre betöltéséhez kapcsolódó, lényeges tényről, adatról, körülményről és ezek változásáról köteles a munkáltatóját tájékoztatni. Ha ezt elmulasztja, akkor azzal megalapozza a vele szemben alkalmazható munkajogi szankciók érvényre juttatását.

A NAIH bemutatott álláspontjából következően a munkáltató ugyanakkor rendszeres időközönként, egységesen kérheti a munkavállalóktól ismételten az erkölcsi bemutatását például olyan munkakörben, ahol feladata, hogy csak olyan személyt alkalmazzon, aki megfelel a magasabb szintű elvárásoknak (például biztosítási szektor, bankszektor). Az ennek alapjául szolgáló kockázatelemzés rendszeresen megvalósítható lehet egyes munkakörökben a GDPR 6. cikk (1) bekezdés f) pontja, valamint a munka törvénykönyvének rendelkezései alapján a munkavállaló munkaviszonnyal összefüggő magatartásának ellenőrzése céljából. Ennek feltétele, hogy a munkavállalóról erről előzetesen tájékoztatást kapjon. E folyamatba indokolt időben bevonni az adatvédelmi tisztviselőt is, hogy a személyes adatok védelme a folyamat során teljeskörűen biztosítható legyen.

4.3. Bejelentések adatvédelmi kérdései

A bejelentésekre vonatkozó hazai szabályozás igen szerteágazó.
A szabályozás fő kereteit a panaszokról, a közérdekű bejelentésekről, valamint a visszaélések bejelentésével összefüggő szabályokról szóló 2023. évi XXV. törvény határozza meg, amely az állami szervek és a helyi önkormányzati szervek számára előírja a panaszok és köz-
érdekű bejelentések fogadásának és kezelésének kötelezettségét, bizonyos esetekben pedig belső és külső visszaélés-bejelentési rendszer létrehozásának és működtetésének kötelezettségét. Az egyéb foglalkoztatók számára a jogszabály akkor írja elő a belső visszaélés-bejelentési rendszer működtetését, ha legalább 50 főt foglalkoztatásra irányuló jogviszony keretében foglalkoztat.[36]

Bármi is legyen a szabályozás, a munkavállalók, szerződéses partnerek és fogyasztók előszeretettel fordulnak a jogi személyekhez, hogy panaszukat, problémájukat orvosolják függetlenül attól, hogy az adott jogi személy rendelkezik-e bejelentőrendszerrel és van-e belső szabályzata a bejelentések fogadására. E tényből kiindulva indokolt megvizsgálni, hogyan kell kezelni az ilyen formában a szervezet birtokába jutott személyes adatokat, adott esetben a különleges adat kategóriájába tartozó személyes adatokat.

Adatvédelmi szempontból egyszerű a helyzet, ha foglalkoztató a 2023. évi XXV. törvény (a továbbiakban: Panasztv.) hatálya alá tartozik, hiszen ebben az esetben a személyes adatok kezelésének alapja az adatkezelőre vonatkozó jogi kötelezettség teljesítése a GDPR 6. cikk (1) bekezdés c) pontja alapján. De ugyanúgy jogalap lehet a közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtása a GDPR 6. cikk (1) bekezdés e) pontja. Ezenkívül nehéz lenne érvelni a GDPR 6. cikk (1) bekezdés a) pontja szerinti jogalap ellen, ha az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez. A személyes adatok megadására ugyanakkor senkit nem lehet kötelezni. Ha az érintett úgy dönt, hogy nem kívánja megadni személyes adatait, akkor így is elküldheti bejelentését.[37]

Bár a törvény számos rendelkezést tartalmaz a panaszos, a közérdekű bejelentő és a visszaélést bejelentő személyes adatainak védelme érdekében,[38] a bejelentővédelmi rendelkezések csakis a jóhiszemű, illetve jogszerű visszaélés-bejelentőket illetik meg. Ha a bejelentők a jogszabályi követelményeket nem, vagy nem teljesen tartják be,[39] akkor bejelentésükkel nemcsak elesnek a bejelentők védelmét szolgáló kedvezményektől, de szankciókra is számíthatnak. Ha például egy munkavállaló egy munkatársa közösségi oldalán található információk alapján arról tesz bejelentést, hogy munkatársa a munkáltató által gyártott termékeket feketén értékesíti, akkor ez nem tekinthető a Panasztv. szerint jogszerű bejelentésnek, mivel ezt az információt nem a munkavégzéssel kapcsolatos tevékenységével szerezte, így később nem hivatkozhat arra, hogy vele szemben a munkáltató erre tekintettel hátrányos jogkövetkezményeket alkalmazott. A munkáltató e helyzetet meglátásom szerint úgy tudja jól kezelni, ha belső szabályzatában a jogszabályi követelményeken túl is biztosítja a bejelentések megtételének lehetőségét és minél szélesebb körben biztosítja a személyes adatok és a bejelentők védelmét.

4.4. Etikai eljárás adatvédelmi kérdései

Az előző pontban bemutatott bejelentések gyakran képezik a munkáltató által indított etikai eljárások alapját. Etikai eljárásra akkor van lehetőség, ha a munkáltató előzetesen meghatározta a munkavállalók számára irányadó magatartási szabályokat és ezek megsértésének a gyanúja merült fel. A munka törvénykönyvéről szóló 2012. évi I. törvény 9. § (2) bekezdése alapján „a munkavállaló személyiségi joga akkor korlátozható, ha a korlátozás a munkaviszony rendeltetésével közvetlenül összefüggő okból feltétlenül szükséges és a cél elérésével arányos. A személyiségi jog korlátozásának módjáról, feltételeiről és várható tartamáról, továbbá szükségességét és arányosságát alátámasztó körülményekről a munkavállalót előzetesen írásban tájékoztatni kell.” Ennek alapját a hivatkozott törvény 8. § (2) bekezdése adja, amely szerint „A munkavállaló munkaidején kívül sem tanúsíthat olyan magatartást, amely – különösen a munkavállaló munkakörének jellege, a munkáltató szervezetében elfoglalt helye alapján – közvetlenül és ténylegesen alkalmas munkáltatója jó hírnevének, jogos gazdasági érdekének vagy a munkaviszony céljának veszélyeztetésére.”

Ha tehát a munkavállaló munkahelyen vagy azon kívül olyan magatartást tanúsít, amely a jogszabályi feltételeknek megfelel, akkor a munkáltató jogosult vele szemben eljárni és vele szemben szankciót alkalmazni. Ez az eljárás alapulhat az előző pontban tárgyalt bejelentésen, de a munkáltató saját hatáskörben is dönthet az eset kivizsgálásáról. Az eljárás során kulcsfontosságú kérdés, hogy az eljárás során a munkáltató milyen személyes adatot is tartalmazó bizonyítékot használhat fel jogszerűen. Az eljárás során előfordulhat ugyanis, hogy valamelyik érintett olyan személyes adatot csatol az eljárás anyagához, amely nem jogszerű módon került hozzá, vagy amelyik sérti harmadik fél jogos érdekeit.

A fő szabály szerint a munkáltatónak az etikai eljárás során is be kell tartania a GDPR rendelkezéseit. Ez alapján nem kezelhet olyan személyes adatot, amelynek kezeléséhez nincsen meg a megfelelő jogalapja. A GDPR 6. cikk (1) bekezdése szerinti jogalapokat vizsgálva az etikai eljárás alapjául elsősorban a c) pont, vagyis a jogi kötelezettség teljesítése szolgálhat. Abban az esetben, ha az eljárás során a munkáltató birtokába került személyes adat felhasználása aggályos lehet, indokolt a f) pont szerinti jogos érdek vizsgálata. E pont szerint ez a körülmény akkor áll fenn, ha „az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.”

A jogszabály szerint az eljárást lefolytató adatkezelőnek – a korábban bemutatottak szerint – érdekmérlegelési tesztet kell lefolytatnia. Ha ez alapján az adatkezelés feltételei nem állnak fenn, vagy az adatkezeléssel szemben az érintett érdekei vagy alapvető jogai és szabadságai védelme elsőbbséget élvez, akkor az adatok kezelésének nincsen jogalapja és azokat haladéktalanul törölni kell. Ez az eljárás biztosítja, hogy a munkáltató egy magatartási szabály megsértése tárgyában lefolytatott eljárás keretében ne kövessen el maga is súlyos jogsértést.[40]

Az általános adatvédelmi rendelet 9. cikk (1) bekezdése szerint „A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.” Ez alól igen szűk körben ad felmentést a munkáltatók számára a 9. cikk (2) bekezdés b) pontja: „Az (1) bekezdés nem alkalmazandó abban az esetben, ha: az adatkezelés az adatkezelőnek vagy az érintettnek a foglalkoztatást, valamint a szociális biztonságot és szociális védelmet szabályozó jogi előírásokból fakadó kötelezettségei teljesítése és konkrét jogai gyakorlása érdekében szükséges, ha az érintett alapvető jogait és érdekeit védő megfelelő garanciákról is rendelkező uniós vagy tagállami jog, illetve a tagállami jog szerinti kollektív szerződés ezt lehetővé teszi.”

Vagyis az etikai eljárás keretében is kezelhetőek különleges személyes adatok, de rendkívül szűk körben és elsősorban a munkáltató és az érintettek konkrét jogai gyakorlása vagy jogszabályi kötelezettségek teljesítése érdekében szükséges mértékig. Ilyen körülmény lehet például az esélyegyenlőséget, a diszkrimináció tilalmát, az egyenlő bérezést vagy a kisebbségi csoportok hátrányos megkülönböztetését tiltó követelmények érvényesülésének biztosítása. Ezek a jogszabályi (vagy az érintett jogainak érvényesítését szolgáló) követelmények ugyanis csak abban az esetben érvényesülhetnek, ha az adatkezelésre sor kerül, illetve azonosítható, hogy a különleges személyes adatok kezelése mely konkrét jog érvényesítése érdekében szükséges.

Az elszámoltathatóság alapelvének biztosítása érdekében a szervezeti eljárásrendeket – ideértve a felvételi folyamatot, az erkölcsi bizonyítványok és a bejelentések kezelését, valamint az etikai eljárás lefolytatását – célszerű dokumentálni. Ennek nemcsak az az oka, hogy a szabályozottság révén átláthatóbbá válik a folyamat, hanem az is, hogy az megfeleljen az adatvédelmi elveknek, továbbá a rögzített eljárásrend alapján biztosítható legyen a folyamathoz kapcsolódó ellenőrzés és e révén az elszámoltathatóság is.[41] Ez hozzásegítheti a szervezet vezetését a folyamatok tudatos tervezéséhez és ahhoz, hogy az adott kihívásokra nem ad hoc, hanem jól átgondolt megoldások szülessenek.

5. Összefoglalás

Tanulmányom elején azt a hipotézist fogalmaztam meg, hogy a szervezeti antikorrupciós irányítási rendszerek csak az adatvédelmi követelményeknek való teljes megfeleléssel képesek eléri céljaikat. Tanulmányom során e hipotézist sikerült jogszabályi rendelkezésekkel, adatvédelmi állásfoglalásokkal és gyakorlati példákkal is alátámasztani. Ez alapján azt mondhatjuk, hogy a személyes adatok védelmére vonatkozó követelmények figyelmen kívül hagyása azonnali és súlyos jogsértést valósít meg, aláássa az antikorrupciós irányítási rendszerek hitelességét és a beléjük fektetett bizalmat, továbbá közvetlen és jelentős reputációs veszteséget okoz a szervezetek számára az adatvédelmi hatóság által indítható eljárás, a kiszabható bírság, valamint a szervezeti hírnév sérülése miatt.

A fentiek alapján a javaslatként megfogalmazható, hogy a szervezetek antikorrupciós irányítási rendszereik kialakítása során fordítsanak különös figyelmet a személyes adatok védelmére, az adatvédelmi megfelelés biztosítására, továbbá a megfelelő belső szabályozás kidolgozására és folyamatos naprakészen tartására. Bár az Intr. 6. § (5) bekezdés a) pontja lehetővé teszi, hogy az integritás-tanácsadó adatvédelmi tisztviselői feladatokat is ellásson, e szervezeti megoldás alkalmazása helyett célszerűbbnek látszik a két feladatkör elhatárolása annak érdekében, hogy mind a korrupció elleni intézkedések, mind az adatvédelmi követelmények nem egymás kárára, hanem egymást erősítve érvényesülhessenek.

Bízom benne, hogy tanulmányommal hozzájárulhattam e fontos követelmény érvényre juttatásához, és a gyakorlat számára jogilag és megalapozott megoldási javaslatokat tudtam kidolgozni az antikorrupciós irányítási rendszer adatvédelmi követelményeinek megerősítése érdekében.

 

* A szerző integritás-tanácsadó és adatvédelmi szakjogász, a Nemzeti Közszolgálati Egyetem egyetemi docense.

[1] Báger Gusztáv: Korrupció: Büntetés, integritás, kompetencia. Akadémiai Kiadó, 2012. 144.

[2] A Büntető Törvénykönyvről szóló 2012. évi C. törvény 219. § Személyes adattal visszaélés.

[3] Szabó Endre Győző – Révész Balázs – Mercz Mónika – Baka Péter – Koltay András: Adatvédelem és információszabadság. In: Koltay András (szerk.): Magyar és európai médiajog: Negyedik, átdolgozott kiadás. Wolters Kluwer, 2025. 205–224.

[4] A készletező adatkezelés tilalma a 15/1991. (IV. 13.) AB határozat óta elvárt alapelv a magyar jogban.

[5] E kérdésnek további érdekes dimenziót kölcsönöz a személyes adatok nemzetközi továbbítása és ennek feltételei, különös tekintettel, hogy erre gyakran egy vállalatcsoport keretében kerül sor. Ennek gyakorlati szempontjairól lásd: Kis Kelemen Bence – Hohmann Balázs: A Schrems ítélet hatásai az európai uniós és magyar adattovábbítási gyakorlatokra. Infokommunikáció és Jog, 13 : 66–67. 64–70.

[6] MSZ ISO 9000:2015 Minőségirányítási rendszerek. Alapok és szótár.

[7] Itt fontos felhívni a figyelmet, hogy a politikát nem a politics (pártpolitika) értelemben használom, hanem a policy (gyakorlati működési elvek) értelemben, amelyek meghatározzák az adott konkrét szituációban követendő irányt. Lásd: Cambridge Dictionnary Politics, political, politician or policy? https://dictionary.cambridge.org/grammar/british-grammar/politics-political-politician-or-policy [2026.02.02.].

[8] Transparency International. Adatok a korrupcióról – Korrupció Érzékelési Index. https://transparency.hu/adatok-a-korrupciorol/korrupcio-erzekelesi-index/ [2026.02.02.].

[9] Az államigazgatási szervek integritásirányítási rendszeréről és az érdekérvényesítők fogadásának rendjéről szóló 50/2013. (II. 25.) Korm. rendelet 2. § a) pont.

[10] Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény 3. § 1. pont.

[11] Ennek GDPR szabályainak megismerésére a kis- és középvállalkozások számára a NAIH közreműködésével készült kézikönyvet (Jasmontaitė-
Zaniewicz, Lina – Calvi, Alessandra – Nagy Renáta – Barnard-Wills, David (szerk.): A GDPR egyszerűen kis- és középvállalkozások számára. Star II. Konzorcium https://naih.hu/files/A-GDPR-egyszeruen-kis-es-kozepvallalkozasok-szamara.pdf [2026.02.02.]; az infokommunikációs jog széles spektrumát felölelő kiadványt [Czékmann Zsolt (szerk.): Infokommunikáció és Jog. Budapest: Ludovika Egyetemi Kiadó, 2019.], a GDPR gyakorlati alkalmazására vonatkozóan pedig a Jóri András közreműködésével készült szakkönyveket (Jóri András – Soós Andrea Klára: Adatvédelmi jog: Magyar és európai szabályozás. HVG-ORAC, 2016.; illetve Jóri András – Soós Andrea Klára – Bártfai Zsolt – Hári Anita: A GDPR magyarázata. HVG-ORAC, 2018.) ajánlom.

[12] Klotz Péter: A nemzetközi vesztegetés hatékony megelőzése. HEPA Magyar Exportfejlesztési Ügynökség, 2025. 3–4.

[13] Kőhegyi Dávid: A jog exportja amerikai módra – miért érdekes az FCPA? Credit Management Magazin https://creditmanagementszovetseg.hu/images/Magazinok/Credit_Management_Magazin_2018_1.pdf [2026.02.03.].

[14] Ezzel kapcsolatban lásd a 44/2020. (VIII. 14.) HM utasítást a honvédelmi szervezetek belső kontrollrendszerének kialakításáról, működtetéséről és fejlesztéséről, illetve a 339/2019. (XII. 23.) Korm. rendeletet a köztulajdonban álló gazdasági társaságok belső kontrollrendszeréről

[15] 2013. évi CCXXXVII. törvény a hitelintézetekről és a pénzügyi vállalkozásokról 153/A. §.

[16] Nicaise, Guillaume: Getting the most out of the ISO 37001 standard How development aid agencies can benchmark and add value in anti-corruption activities. U4 Issue 2021:9. U4 Anti-corruption Research Centre. https://www.u4.no/publications/getting-the-most-out-of-the-iso-37001-standard.pdf [2026.02.04.] p. 4.

[17] Különösen, mivel a szabvány követelményeinek alkalmazásával biztosítható, hogy rendszereik megfeleljenek az amerikai FCPA és a brit UK Bribery Act 2010 rendelkezéseinek is.

[18] Lásd például a szabvány foglalkoztatási folyamatra vonatkozó 7.2.2. pontját, vagy a szabvány mellékletének a szervezet rendelkezésére álló információkra vonatkozó A8.4.1 pontját, illetve a szervezeti auditok eszközeire vonatkozó A8.4.4. pontját.

[19] Az információbiztonságra, illetve az adatvédelemre vonatkozóan az ISO/IEC 27001:2022 Információbiztonsági irányítási rendszer szabvány és az ISO/IEC 27701:2025 Adatvédelmi irányítási rendszer szabvány határoznak meg követelményeket. .

[20] 1992. évi LXIII. törvény a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról

[21] 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról.

[22] Az Európai Parlament és a Tanács 2016. április 27-i (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről.

[23] A munka törvénykönyvéről szóló 2012. évi I. törvény 10. § (2)–(3) bekezdés

[24] Hohmann, Balázs: Integrity Advisors and the Development of Administrative Communication Culture.

European Journal of Multidisciplinary Studies 4 : 1 29–36.

[25] Klotz Péter: Integritás az emberi erőforrás gazdálkodásban. Nemzeti Közszolgálati Egyetem, 2014. 5.

[26] Balogh Gábor – Karoliny Mártonné (szerk): Az emberi erőforrások menedzselése: Koncepciók, technikák nemzetközi kitekintésben. Akadémiai Kiadó, 2023.

[27] Ásványi Zsófia: Adatvédelem a foglalkoztatásban: Mit mutat az esetjog? Vezetéstudomány, 51:12 2020. p. 25.

[28] NAIH Adatvédelmi állásfoglalás: Hatósági erkölcsi bizonyítvány munkáltató általi kezelése. Nemzeti Adatvédelmi és Információszabadság Hatóság, 2019. https://naih.hu/adatvedelmi-allasfoglalasok/file/116-hatosagi-erkolcsi-bizonyitvany-munkaltato-altali-kezelese [2026.02.05.].

[29] A GDPR az adatkezelés fogalmánál ugyanis felsorolja a betekintést is. Az Európai Adatvédelmi Testület (EDPB) azonban nem adott ki frissebb iránymutatást, a NAIH pedig a GDPR hatálybalépése óta nem adhat ki ilyet.

[30] Az adatvédelemből is ismert „felejtés joga” megítélésem szerint a társadalom fontos eszköze, hogy egy idő után lehetővé váljék a társadalmi együttélés szabályait megsértő személyek integrációja. Másrészt el kell kerülni az erkölcsi bizonyítvány szerepének túlhangsúlyozását. Bár közokiratnak minősül és az abban foglaltakat mindenki köteles 90 napig érvényesnek elfogadni, a kiállítását követően kialakulhatnak olyan helyzetek (például büntetőeljárás elindítása, jogerős ítélet vagy eltiltás foganatosítása), amelyek ellentmondanak a közokiratban foglalt tényeknek.

[31] NAIH Adatvédelmi állásfoglalás: Hatósági erkölcsi bizonyítvány munkáltató általi kezelése. Nemzeti Adatvédelmi és Információszabadság Hatóság, 2019. https://naih.hu/adatvedelmi-allasfoglalasok/file/116-hatosagi-erkolcsi-bizonyitvany-munkaltato-altali-kezelese [2026.02.05.].

[32] Nemzeti Adatvédelmi és Információszabadság Hatóság i. m. 4.

[33] A NAIH hasonló témában 2024-ben született állásfoglalása alapján lehetőség van a kiállított hatósági erkölcsi bizonyítvány számának feljegyzésére is. Lásd: NAIH Adatvédelmi állásfoglalás: Hatósági erkölcsi bizonyítványok megőrzésének korlátai a biztosítási tevékenységről szóló 2014. évi LXXXVIII. törvény (a továbbiakban: Bit.) hatálya alá tartozó esetekben. Nemzeti Adatvédelmi és Információszabadság Hatóság, 2024. https://naih.hu/adatvedelmi-allasfoglalasok/file/910-hatosagi-erkolcsi-bizonyitvanyok-megorzesenek-korlatai-a-biztositasi-tevekenysegrol-szolo-2014-evi-lxxxviii-torveny-a-tovabbiakban-bit-hatalya-ala-tartozo-esetekben [2026.02.05.].

[34] Nemzeti Adatvédelmi és Információszabadság Hatóság i. m. 5.

[35] Mivel a munka törvénykönyve a közszolgálat számára is – az esetlegesen nem szabályozott kérdések vonatkozásában – háttérjogszabályként szolgál, így e törvény rendelkezései a közszolgálatra vonatkozóan is irányadóak.

[36] A panaszokról, a közérdekű bejelentésekről, valamint a visszaélések bejelentésével összefüggő szabályokról szóló 2023. évi XXV. törvény 18. § (1) bekezdés.

[37] Bár ebben az esetben azt kockáztatja, hogy azt érdemi vizsgálat nélkül elutasíthatják.

[38] Például a Panasztv. 6. § (2) bekezdése alapján a panaszos és a közérdekű bejelentő személyes adatai hozzájárulása nélkül nem hozhatóak nyilvánosságra; a 7. § (2) bekezdése alapján az elektronikus rendszerben személyes adat kizárólag a közérdekű bejelentés kivizsgálása, valamint a közérdekű bejelentővel való kapcsolattartás céljából kezelhető vagy a 9. § (1) bekezdése szerint a közérdekű bejelentő az elektronikus rendszer útján az alapvető jogok biztosánál tett közérdekű bejelentése során kérheti, hogy személyes adatai kizárólag az alapvető jogok biztosa és hivatala számára legyenek hozzáférhetőek.

[39] Lásd különösen a Panasztv. 6. § (4) bekezdését vagy a 45. §-t.

[40] Itt érdemes megjegyezni, hogy az eljárás célja a bűncselekményhez viszonyítva jóval csekélyebb súlyú eset feltárása, így az érdekmérlegelés során igen jelentős érveket kell tudnia a munkáltatónak felmutatni a személyes adatok felhasználhatósága érdekében.

[14] Boros Anita: Adatvédelmi megfelelés: privacy by design és a hatásvizsgálat mint az elszámoltathatóság eszközei. Themis. 2020. 7–28.