Állítsd be, hogy az Economx az elsők között legyen a Google-találatokban!
Az adatvédelmi biztos - hasonlóan a másik két ombudsmanhoz - minden év tavaszán benyújtja az előző évről szóló jelentését a parlamenthez. Ezek részletes beszámolót tartalmaznak arról, hogy az adatvédelem terén mi történt az adott időszakban. A múlt évről szóló jelentés még készül, viszont a 2000. évi beszámoló az 1999. évet a titok évének minősítette.
- Mi volt a múlt évben az a fontos ügy, amely nevet adhat ennek az időszaknak?
- A tavalyi ügyek közül az adósság- és követelésbehajtással foglalkozó társaságok adatkezelési gyakorlatát emelném ki. Például a közműszolgáltatással foglalkozó cégek előszeretettel vesznek igénybe adósságbehajtásra szakosodott cégeket. Előfordul az is, hogy torzulnak a behajtóknak átadott adatok és attól is pénzt követelnek, aki nem tartozik, vagy többet követelnek a valós összegnél. Adatvédelmi szempontból az a kérdés, hogy jogszerűen kerülnek-e át az ügyfelek adatai a szolgáltatótól a behajtóhoz? A hatályos jog szerint a követelés jogosultja annak érvényesítésével megbízhat ügyvédet. Az ügyvédi törvény alapján az ügyvéd jogszerűen juthat hozzá megbízójától az adós személyes adataihoz. Ehhez még az adós hozzájárulása sem szükséges. Hasonlóan jogszerű a követelés engedményezése. Az erre vonatkozó szabályok lehetővé teszik a természetes (magán-) személy adósok adatainak átadását. Az engedményezésről az adóst értesíteni kell, viszont az engedményesre is vonatkoznak az adatvédelmi törvény azon szabályai, amelyek csak a célhoz kötött adatkezelést engedik meg. Alkalmazhatók még a szerződést biztosító mellékkötelezettségek is. Legyen szó akár megbízási szerződésbe foglalt adatkezelésről vagy követelésbehajtásról, mindenképpen ezekre is vonatkozik az adatvédelmi törvény. Vagyis csak az érintett hozzájárulásával lehet átadni az ő személyes adatait.
- Megismerhetnénk egy konkrét példát?
- A Matáv ügyfelei jelezték, hogy számukra ismeretlen követelésbehajtók keresték meg őket, hogy az elmaradt tartozásaikat az ő számlájukra utalják át. A vizsgálat során kiderült, hogy a Matáv adatfeldolgozás címén próbálta - véleménye szerint jogszerűen - külső cégekkel behajtatni a követeléseit. Igaz, hogy az adatvédelmi törvény módosítása lehetővé teszi az adatok megbízás alapján való feldolgozását, de a követelésbehajtás nem lehet adatfeldolgozás. Itt pedig a feldolgozás csak a behajtás álcája volt. Az adósságbehajtó társaságokat ugyanis törvény nem hatalmazza fel más gazdasági társaságok ügyfelei személyes adatainak kezelésére. Visszajutottunk tehát oda, hogy a Matáv adósainak előzetesen hozzá kell járulniuk az adataik átadásához. Ebben a körben egyébként alapvető probléma az, hogy adósságbehajtást, mint olyat, a hazai jog nem ismeri.
- Végül mi volt az ajánlás tartalma?
- A magánügyfelek adatait az adatkezelő követelés- vagy adósságbehajtással foglalkozó más gazdasági társaságok részére csak az érintettek hozzájárulásával továbbíthatja. Ekkor is be kell tartani az adatkezelés célhoz kötöttségének elvét. Az ügyfél hozzájárulása akkor jogszerű, ha önkéntes és határozott. Felszólítottam a Matáv Rt.-vel szerződéses kapcsolatban álló adósságbehajtással foglalkozó cégeket, hogy a megkapott személyes adatokat töröljék és arról valamennyi érintettet és a hivatalomat is tájékoztassák.
- A szolgáltatók kiemelt csoportja a pénzügyi szolgáltatóké. Változott-e valami a múlt évben a bankok adatkezelésében?
- Változatlanul gond az, hogy a bankok a jogszerűen követelhetőnél jóval több személyes adatot kérnek jövendő ügyfeleiktől. Például a tavalyi beszámolómban a Citibankkal - és néhány egyéb hitelintézettel - kapcsolatban megfogalmazott problémák ma is élnek, sőt újabbakkal egészültek ki. Továbbra is általános gyakorlat, hogy a személyi azonosító igazolványon túl a bankok elkérik ügyfeleiktől a tb-kártyájukat, valamint az adóazonosító jelet tartalmazó igazolványukat is, amelyekről az ügyfél beleegyezése nélkül fénymásolatot is készítenek. Más esetben a hiteligénylés feltétele a fénymásolatok benyújtása, illetve van olyan bank, amely harmadik dokumentumnak az adóazonosító helyett elfogadja valamely közműszámlát. Vannak olyan esetek is, amikor a banknak szüksége van az ügyfél adószámára. Például ha a bank olyan kifizetést teljesít, amely alapján a magánszemélynek adófizetési kötelezettsége keletkezik, akkor a banknak erről vagy adatot kell szolgáltatnia az adóhatóság felé, vagy mint kifizetőnek, le is kell vonnia az adót. Fénymásolat azonban ekkor sem készíthető az ügyfél beleegyezése nélkül az igazolványról. Ha a magánszemély az adóazonosító jelét nem közli, akkor pedig - egészen annak közléséig - a bank megtagadja a kifizetést. Érdekes eset volt a múlt évben az, amelyet az Ablak szerkesztőségének indítványára folytattam. A televíziós szerkesztőség a Családinet pc-csomag megvásárlásához szükséges jelentkezési lap adattartalmát kifogásolta. Ebben szerepelt a pályázó gyermekei társadalombiztosítási azonosító (TAJ) számának a kérése is. Megállapítottam: túl azon, hogy a hitelintézet - a célhoz kötött adatkezelés elvéből következően - nem kérheti és nem tarthatja nyilván ez esetben a TAJ-számot, a jelentkezési lapon szereplő ügyféli hozzájárulás sem felelt meg az adatvédelmi törvénynek. (Miután a leendő ügyfeleknek a csomagot egy konzorcium ajánlotta, ez kötött vele szerződést, a személyes adatok kezelésére a bankot jogosította fel.)
- Többször említette az ügyfél beleegyezését, illetve felhatalmazását, mint az adatkezelés feltételét. Innen nézve úgy tűnik, hogy ezeket a nyilatkozatokat inkább szüli a kényszer, mint a szabad akarat.
- Az Európai Unió irányelve határozott belegyezést követel meg az ügyféltől az adatai felhasználására. Ez tudatos belegyezést jelent, tehát semmi esetre sem azt, hogy a kiszolgáltatott helyzetben lévő ügyfél kényszerből adja a beleegyezését. Ezt nehezen értik azok a multinacionális társaságok, amelyek az USA-ból érkeznek Európába. Itt ugyanis más jogi kultúra és értékrend alakult ki, amely sokkal szigorúbb adatvédelmi szabályokat alkalmaz, mint amilyet Amerikában megszoktak. Ott például a társadalombiztosítási azonosító szám az általánosan elfogadott azonosító, így azt próbálják erőltetni Európában is.
- Nálunk is elkezdődtek a bankok közti fúziók. Egyesek természetesnek veszik, hogy egyik napról a másikra egy új bank ügyfelei, míg mások visszakérdeznek: hogyan kerültem én ide? Vizsgáltak ilyen ügyleteket is?
- Természetesen vizsgáltunk banki adásvételeket. Ha egy bank megvásárol egy üzlettársat, mindig probléma az, hogy az eladó továbbadhatja-e ügyfelei adatait a vevőnek, illetve ha igen, akkor hogyan. Úgy tapasztaltam, hogy az idő előrehaladtával lassan kialakulnak a jogszerű adatátadás technikái. Ennek ellenére amikor múlt évben az ING Bank lakossági üzletágát megvásárolta a Citibank, akadtak problémák. Véleményem szerint az ügyfeleknek lehetőséget kell biztosítani arra, hogy a számlájukat megszüntessék, illetve csak akkor váljanak az új bank ügyfeleivé, ha ehhez külön szerződéssel hozzájárulnak. Az eladó tehát nem jogosult ügyfelei adatainak továbbítására és még kevésbé van joga ahhoz, hogy a már megszüntetett számlákról bármilyen adatot vagy információt adjon harmadik személyeknek.
- Milyen egyéb adatkezelési problémákat találtak a bankoknál?
- A piackutató szervezeteknek történő adatátadásban is érintettek voltak a bankok. Nem elég az általános szerződési feltételek közé beírni a bank azon jogát, hogy az ügyfél adatait továbbadhatja a piackutatóknak. A banktitoknak minősülő adatok piackutató szervezetekhez történő továbbításához az ügyfelek teljes bizonyító erejű magánokiratba foglalt hozzájárulása szükséges. A hagyatéki eljárásokban gyakran előfordul, hogy az örökhagyó valamely banknál helyezett el pénzt de ennek helyét az örökösök nem tudják. Elégséges információ hiányában a közjegyző hiába keresi meg a pénzintézeteket, nem jut eredményre. A betétesekről pedig a bankok nem vezetnek központi nyilvántartást. Megkerestem a Pénzügyi Szervezetek Állami Felügyeletének (PSZÁF) elnökét, mivel a betétek befagyása esetére - a névre szóló betétekről - a betétbiztosítási alap számára több adatot is szolgáltatnak a bankok. Kértem, hogy ezeket a nyilvántartott adatokat az alkotmányban biztosított egyéb jogok - ez esetben a tulajdonhoz és az örökléshez való jog - érvényesülése érdekében fel lehessen használni. A PSZÁF elnökének véleménye szerint az említett nyilvántartásból a hitelintézetek - a közjegyzők írásbeli megkeresésére - adatot szolgáltathatnak.
A Földhitel és Jelzálog Bank azért rögzíti az ügyfelei adóazonosító jelét, mert ennek hiányában nem tudná kiállítani az szja-kedvezmény igénybevételéhez szükséges igazolást. A magánszemély azonban nem kötelezhető az adókedvezmény igénybevételére. Előfordulhat olyan eset is, amikor az ügyfél előre tudja, hogy a kedvezményt nem veheti igénybe, mert valamilyen kizáró körülmény vonatkozik rá. Ebben az esetben szabadon dönthet arról, hogy közli vagy nem közli az adóazonosító számát a hitelintézettel.
A bankokhoz kívánkozik végül az a gondolat, hogy ha egy banknak valamilyen ügylethez nagyobb kockázatot kell vállalnia, akkor több adathoz juthat hozzá - természetesen a jog határain belül -, mintha kisebb a kockázata. Olykor a bankok milliós nagyságrendű hitelhez ugyanazokat az adatokat kérik, mint egy olyan debitkártya kiváltásához, amellyel kapcsolatban semmilyen kockázatuk nincs, hiszen ha elfogy az ügyfél betétje, több pénzhez nem juthat hozzá a hitelintézettől.
- A biztosítókat a múlt évben az ügyfelektől megkívánt korlátlan egészségügyi adatokért marasztalta el. Ezzel szemben a biztosítók az életbiztosítási szerződések megkötésénél mint kiemelt kockázatot említik az ügyfelek egészségi állapotát. Ez utóbbi érv is igaznak tűnik. Meddig mehetnek el az adatkérésben a biztosítók?
- A biztosítókkal szemben gyakori az a kifogás, hogy az életbiztosítást kötni kívánó ügyfelektől kérnek olyan felhatalmazást, amely nem jogszerű. Az ügyfeleknek ugyanis írásban és előre fel kell hatalmazniuk jelenlegi és minden későbbi orvosukat, hogy a biztosító kérésére az egészségügyi adataikról kimerítő, korlátlan tájékoztatást adjon. Ez nyilván az orvosi titoktartás alóli felmentést jelenti. Véleményem szerint ez az eljárás különleges adatokhoz való egyoldalú hozzáférést jelent és mint ilyen, jogellenes. Felmerülhet ebben az esetben az is, hogy a biztosító jogszabályba ütköző szerződést köt az ügyfelével és ezért semmis a biztosítási szerződés. Ebben az eljárásban az sem érthető, hogy az ügyfél egészségének későbbi változása miért fontos a biztosítónak. Az egyszer megkötött szerződésen ugyanis ez már nem változtat. Kétségkívül előfordulhatnak olyan esetek, amikor az ügyfél eltitkolja valamilyen betegségét csak azért, hogy előnyösebb feltételekkel köthessen szerződést, vagy hogy egyáltalán vállalja a szerződést a biztosító. Bizonyos életkor felett a legtöbb biztosító tüzetes orvosi vizsgálatnak veti alá azokat, akik életbiztosítási szerződést kívánnak vele kötni. Egy ilyen vizsgálat elég drága és annak a költségét beépítik magába az életbiztosításba. Megeshet, hogy a majdani ügyfél elvégezteti az orvosi vizsgálatot, majd közli a biztosítóval, hogy mégsem köt vele szerződést. Az egészségügyi adatvédelmi törvény szerint a vizsgálat eredményét ki kell adni a megvizsgált személynek. A biztosító viszont - mondván, hogy az illető ingyen jutna hozzá a leletekhez - ezt megtagadja. Úgy vélem, ezt a helyzetet meg lehet oldani, például úgy, hogy elállás esetén az ügyfél köteles megfizetni a vizsgálat árát.
- Az adatvédelem egyik alapvető problémája, hogy tiltja a különböző adatbázisok összekapcsolását. Egyebek mellett ezért van annyi igazolványunk. Találkoztak ilyen problémával is?
- Az N-N Magyarország Biztosító kért véleményt arról, hogy az ING holdinghoz tartozó vállalatok kialakíthatnak-e közös adatbázist. Véleményem szerint - és ezt közöltük is a társasággal - csak az ügyfelek beleegyezésével tehetik ezt meg. Viszont a hozzájárulás megtagadása esetén sem zárkózhatnak el a szerződéskötéstől. Az adatbázisok átadására volt példa egy kötelező tagsággal járó szakmai kamara ügye. Az orvosi kamara úgy gondolta, hogy olcsóbban (ingyen) tudja ellátni tagjait - a tagságot igazoló - intelligens chipkártyákkal akkor, ha az előállításra partnert talál. Talált is partnert és megállapodást kötött a CIB Bankkal. A bank azért vállalta a kártyák legyártatását, mert az általa ajánlott kedvezményekkel az orvostársadalmat maga felé akarta irányítani. A szóban forgó kártya ugyanis bankkártyaként is funkcionál. Arra is volt példa, hogy az igazolványt a bankfiókban lehetett átvenni. A kamarai tagok adatainak átadása egy hitelintézetnek - legalábbis ebben a formájában - nem tekinthető jogszerűnek.
- Megítélése szerint az államtól vagy a polgárokkal nap mint nap kapcsolatba kerülő nagyvállalatoktól kell jobban tartanunk, amikor személyes autonómiánk a tét?
- Az állam elvesztette az alapjogsértés monopóliumát, amely a polgárai adatainak gyűjtésével, felhasználásával kapcsolatos. A szakirodalom ezt úgy jellemzi, hogy a nagy testvér mellett megjelentek a kis testvérek - a különböző gazdasági társaságok - is. Az igazi baj akkor kezdődik, amikor a nagy és a kis testvér „összedolgozik". Például Izlandon polgári elégedetlenség kezdődött egy genetikai vizsgálat miatt. Az ötletet az adta, hogy az izlandi népesség genetikailag zárt közösségnek minősül, mivel ott nem került sor olyan keveredésre, mint például Európában vagy Amerikában. Csakhogy az állami egészségügytől töltötte fel adatbázisát az a magáncég, amely a vizsgálatot végezte volna. Az orvosok kezdeményezte engedetlenségi mozgalom és az adatvédelmi biztosok világkonferenciájának tiltakozása nyomán végül egy önkéntes, korlátozott vizsgálatot lehetett csak elvégezni. A genetikai kutatás egyébként is kényes területe a személyes adatoknak. Ezek nyomán ugyanis egyes csoportok kiszorulhatnak a munkaerőpiacról. Bizonyos sztochasztikus összefüggésekre hivatkozva ugyanis a szakértők azt mondhatják, hogy egyes emberek hajlamosabbak bizonyos betegségekre. Ki alkalmaz szívesen olyan munkavállalót, aki tüdőrákra vagy éppen cukorbetegségre fogékony?
Németh Géza
