Bár a GDPR hatályba lépése óta több mint három év telt el, mégis gyakran felmerül munkáltatói oldalon a kérdés, hogy az erkölcsi bizonyítvány bemutatása kérhető-e a munkavállalóktól, és ha igen, akkor milyen feltételekkel. Általánosságban elmondható, hogy a bűnügyi személyes adatokat a munkáltató nagyon szűk körben ismerheti meg és kezelheti, szigorú feltételek fennállása esetén. Ennek oka elsődlegesen az, hogy a bűnügyi adatok nem pusztán személyes adatnak, hanem különleges személyes adatnak minősülnek, így kezelésének feltételei az általánosnál szigorúbbak. Az ado.hu cikke.

A GDPR hatályba lépését követően a munka törvénykönyvéről szóló 2012. évi I. törvény (a továbbiakban: Mt.) kiegészült a munkaviszonnyal összefüggő adatkezelést szabályozó résszel. Az Mt. 5/A. alpontja a munkavállalókat érintő adatkezelési kérdéseket rendezi, különös tekintettel a bűnügyi személyes adatokra, ami tipikusan a büntetlen előélettel kapcsolatos, erkölcsi bizonyítvány bemutatásával járó adatkezelést érinti. Az Mt. 11. § (3) bekezdése szerint a munkáltató a munkavállaló bűnügyi személyes adatát annak vizsgálata céljából kezelheti, hogy törvény vagy a munkáltató a betölteni kívánt vagy a betöltött munkakörben nem korlátozza vagy nem zárja-e ki a foglalkoztatást. A foglalkoztatást kizáró és korlátozó feltételeket tehát törvény és a munkáltató is meghatározhat. Így például az Mt. 44/A. §-a előírja, hogy 18 éven aluliak gondozását ellátó munkáltató nem foglalkoztathat olyan személyt, aki meghatározott bűncselekményt követett el.

A foglalkoztatást korlátozó vagy kizáró feltételt a munkáltató akkor határozhat meg, ha az adott munkakörben az érintett személy foglalkoztatása (i) a munkáltató jelentős vagyoni érdeke, (ii) törvény által védett titok, vagy (iii) lőfegyver, lőszer, robbanóanyag, a mérgező vagy veszélyes vegyi vagy biológiai anyagok, vagy a nukleáris anyagok őrzéséhez fűződő érdek sérelmének veszélyével járna [Mt. 11. § (4) bekezdés]. A munkáltatónak a bűnügyi személyes adat kezelését megalapozó korlátozó vagy kizáró feltételt, és a bűnügyi személyes adat kezelésének feltételeit előzetesen írásban meg kell határoznia [Mt. 11. § (5) bekezdés].

Az Mt. által meghatározott feltételek nyomán felmerülő adatkezelés esetében a munkáltató törvényből fakadó kötelezettsége az, hogy megismerje a munkavállalójának bűnügyi adatait. A NAIH álláspontja szerint ez a fajta adatkezelés egyértelműen a GDPR 6. cikk (1) bekezdés c) pontján, vagyis a jogi kötelezettség teljesítésén alapul.

A munkáltató által meghatározott eset árnyaltabb, hiszen itt maga a munkáltató dönt arról, hogy az általa meghatározott munkakörökben szükségesnek tartja-e a dolgozók bűnügyi személyes adatainak kezelését. Ez a fajta adatkezelés jellegéből fakadóan a munkáltató jogos érdekén, vagyis a GDPR 6. cikk (1) bekezdés f) pontján alapulhat. A jogos érdek fennállására a munkáltatónak érdekmérlegelési tesztet kell elvégeznie. A tesztben a saját érdekeit kell szembe állítania a munkavállaló jogaival és mérlegelnie kell, hogy melyik jelentősebb az adatkezelés vonatkozásában. Amennyiben a munkáltató a tesztelés eredményeként azt állapítja meg, hogy saját érdeke előrébb való a munkavállaló személyes adatainak védelméhez fűződő jogainál, akkor kezelheti a bűnügyi személyes adatokat, de az erkölcsi bizonyítványról ebben az esetben sem készíthet másolatot.

Ránézésre a munkáltató jelentős vagyoni érdeke alá számos munkakör és feltétel besorolható, azonban a kiterjesztő értelmezése a szabály kiüresítéséhez vezetne. Ezen túlmenően a jelentős vagyoni érdeket az érdekmérlegelési tesztben „bizonyítani” is kell, tehát nem tekinthető puszta formalitásnak. Ha ellenőrzés során a hatóság azt állapítja meg, hogy a jelentős vagyoni érték nem állt fenn, vagy a megjelölt munkakörök vonatkozásában nem volt indokolt a bűnügyi adat kezelése, akkor adatvédelmi bírságot szabhat ki.

A különleges adatok kezelése kapcsán a GDPR a fentieken túlmenően azt is megköveteli, hogy a megfelelő jogalap mellett a kiegészítő feltétel is fennálljon. A bűnügyi adatok kezelése kapcsán a 9. cikk (2) bekezdés b) pontját is figyelembe kell venni, miszerint az adatkezelésre elsősorban akkor kerülhet sor, az adatkezelés az adatkezelőnek jogi előírásokból fakadó kötelezettségei teljesítése és konkrét jogai gyakorlása érdekében szükséges és azt egyébként az uniós vagy tagállami jog, vagy kollektív szerződés lehetővé teszi.

Forrás: ado.hu