A GDPR értelmében megtudhatom-e az adatkezelőtől, hogy ki, mikor és miért tekintett be a személyes adataimba?

Egy finn bank alkalmazottja és egyben ügyfele tudomást szerzett arról, hogy egy két hónapos időszakban a bank más alkalmazottjai betekintettek az ügyféladataiba. Az alkalmazott, aki azóta már nem áll a bankkal munkaviszonyban, kérte a banktól, hogy az ügyféladataiba betekintő alkalmazottak személyazonosságát, a betekintés időpontját és célját ismertesse. A bank visszautasította a kérelmet arra hivatkozva, hogy a betekintést végző alkalmazottak neve, ezen alkalmazottak személyes adatainak minősülnek. Azonban ismertette, hogy milyen okból és milyen betekintéseket végeztek. A kérdésben később eljáró finn felügyeleti hatóság, a bank érvelésének megfelelően elutasította a kérelmet. Így az egykori alkalmazott keresetet nyújtott be a finn bíróságon, mely az alapeljárást felfüggesztette és előzetes döntéshozatal iránti kérelmet nyújtott be az Európai Unió Bíróságának.

A kérdést előterjesztő bíróság arra vár választ, hogy az érintett személyes adataiba való betekintés során keletkező információk, olyan információknak minősülnek-e, amelyeket az érintett, az általános adatvédelmi rendelet értelmében jogosult megkapni az adatkezelőtől. Pontosabban, hogy a betekintés időpontjára és céljára, valamint a betekintést végző természetes személyek személyazonosságára vonatkozó információk is ilyen információnak minősülnek-e.

Az Európai Bíróság érvelése szerint az alapeljárás felperese által kért információk az általános adatvédelmi rendelet értelmében olyan információknak minősülnek, melyek lehetővé teszik az adatkezelési tevékenység, rendelettel való megfelelésének igazolását.

Az adatkezelő naplófájljaiban szereplő információk másolatának közlése szükségesnek bizonyulhat ahhoz, hogy az adatvédelmi rendelet által előírt információkhoz hozzáférjen az érintett, és a rendeletben foglalt jogait gyakorolni tudja, illetve ellenőrizhesse a személyes adatai kezelésének jogszerűségét.

Az alapeljárás felperesének adataiba betekintő banki alkalmazottakról a Bíróság megállapítja, hogy azok nem minősülnek címzettnek a rendelet értelmében, mivel az adatkezelő irányítása alatt és utasításainak megfelelően kezelnek személyes adatokat. Mindemellett a naplófájlokban szereplő, az érintett személyes adataiba való betekintést végző személyek információi, amellett, hogy személyes adatnak minősülhetnek, lehetővé teszik az érintett számára, hogy ellenőrizhesse, hogy az adatkezelési műveleteket ténylegesen az adatkezelő irányítása alatt és utasításainak megfelelően végeztek el.

Az általános adatvédelmi rendeletet úgy kell értelmezni, hogy az érintett személyes adataiba való betekintés időpontjára és céljaira vonatkozó információk olyan információknak minősülnek, amelyeket az érintett jogosult megkapni az adatkezelőtől. A rendelet azonban nem biztosít ilyen jogot az adatkezelő irányítása alatt betekintést végző alkalmazottainak személyazonosságára vonatkozó információk tekintetében, kivéve ha ezen információk elengedhetetlenek ahhoz, hogy az érintett ezen információk birtokában tudja csak ténylegesen gyakorolni a rendelet által biztosított jogait.

Forrás: Az Európai Bíróság ítélete a C-579-21. sz. Pankki S ügyben, ECLI:EU:C:2023:501