Az adatkezelési folyamatok, tájékoztatók és egyéb, a jogszerű adatkezelést biztosító dokumentumok az adatkezelő normál működéséhez kapcsolódóan születnek. A normál működés mellett azonban előfordul, hogy a társaságot (azaz az adatkezelőt), annak üzletrészét, üzletágát értékesítik. Ilyenkor a vevő – egyébként teljesen elfogadható módon – meg akarja ismerni a társaságot, illetve annak eladás alá kerülő szervezeti egységét. A megismerés folyamata, illetve ahhoz kapcsolódóan egyes személyes adatok elérhetővé tétele a harmadik személy vevő (és képviselője) részére számos olyan adatvédelmi kérdést vet fel, amelyre az eladás alá kerülő adatkezelőnek fel kell készülni.
A tranzakcióban részes felek sokszor megelégszenek egy titoktartási megállapodás aláírásával, mellyel a tranzakció előkészítése és lebonyolítása során megszerzett valamennyi információt – így a személyes adatokat is – üzleti titoknak minősítik. Ezt követően viszont a vevő gyakran kap hozzáférést olyan dokumentumokhoz, amelyek személyes adatokat tartalmaznak. Az adatvédelmi szabályok alapján azonban ez a gyakorlat nem megfelelő.
Abból kell kiindulni, hogy a munkavállalók – mint érintettek – személyes adatait az adatkezelő munkáltató a munkaviszonnyal összefüggésben kezelheti. A gyakorlatban ezek az adatkezelési folyamatok főképp a munkaviszonyból eredő jogok és kötelezettségek gyakorlásához kapcsolódnak, a munkáltatónak valamely jogi kötelezettsége áll fenn egyes adatkörök kezelésére, illetve esetenként előfordul, hogy a munkáltatói jogos érdek alapján történik adatkezelés.
Amennyiben viszont a tranzakcióban vevőként részt vevő szervezet – mint külsős harmadik személy – ezeket az adatokat meg kívánja ismerni, úgy maga is adatkezelővé válik. Erre az adatkezelésre azonban a munkáltató által használt adatkezelési tájékoztatót nem lehet kiterjeszteni, hiszen a munkáltatói tájékoztatóban szereplő jogalapok, folyamatok, adatkezelési célok nem feleltethetőek meg a vevő által képviselt céloknak és feltételeknek.
A vevőként eljáró szervezet részére történő adattovábbítás egyik lehetséges jogalapja – legalábbis elvben – a munkavállaló hozzájárulása lehetne. Erre azonban a munkaviszony jellegzetes alá-fölérendelt struktúrájából eredően nincsen lehetőség, hiszen amiatt a munkavállaló által adott hozzájárulás önkéntessége erősen aggályos volna. További érv lehet, hogy a munkavállaló a hozzájárulása megadásakor – azaz egy korai fázisban – tudomást szerezne a tervezett tranzakcióról és ezt a helyzetet a felek, érthető stratégiai okokból, szeretnék elkerülni.
Ennek megfelelően nem marad más, mint a személyes adatokat tartalmazó dokumentumok anonimizálása, továbbá az adatok olyan, aggregált módon történő átadása, amely alapján az egyes érintett munkavállalók egyedileg nem beazonosíthatók.
Ha a felek között létrejön az átruházási megállapodás, úgy a tranzakció típusától függően kerülhet meghatározásra, hogy milyen jellegű személyes adatokat mikor lehet átadni jogszerűen a vevő részére. Várhatóan lesznek olyan adatok, amelyek egyáltalán nem adhatóak át.
A modern üzletrész-, vagy üzletág adásvételi megállapodások szerves részét képezik azok a klauzulák, amelyek pontosan meghatározzák az átadható személyes adatok körét, az irányadó határidőket, továbbá azt, hogy a tranzakció lebonyolítását követően milyen adatok „maradhatnak”, milyen jogalapon és meddig.
dr. Csenterics András, dr. Szűcs László
Ezeket a szabályokat a 2023 március 28-án tartandó DPO képzésünkön részletesen is bemutatjuk. További részletek és regisztráció.
Amennyiben a fentiekkel kapcsolatban bármilyen kérdése merülne fel, kérjük, forduljon szokásos kapcsolattartó partneréhez, illetve dr. Dékány Csilla (e-mail: csilla.dekany@pwc.com) irodai tag, ügyvédhez vagy dr. Csenterics András (e-mail: andras.csenterics@pwc.com) ügyvédhez