A webáruházakban megvárásolt árut el kell juttatni a vásárlóhoz, ami rendszerint futárcégeken keresztül történik.
A GDPR alapos áttanulmányozását követően azonban felmerül több kérdés is. A futárcég adatvédelmi szempontból adatkezelőnek vagy adatfeldolgozónak minősül? A futár felé történő adattovábbítások során milyen kötelezettségei vannak a webáruháznak? Kell-e a meglévő szerződéseket adatvédelmi szempontból módosítani?
Kép forrása: www.dpd.com
Az első kérdés a futárcég és a webáruház kapcsolatában a futárcég státuszának meghatározása. Ehhez elsősorban azzal kell tisztában lenni, hogy a futárcég tulajdonképpen milyen tevékenységet végez. Ezt a webáruház nem feltétlenül tudja önállóan megállapítani, ugyanis a webáruház lehet hogy csupán azt látja, hogy a futárcég elkéri a szállításhoz szükséges adatokat és az árut a vásárló számára kézbesíti. Ezen túl azonban a futárcég és a vásárló viszonylatában a futárcég olyan műveleteket is végezhet, amelyet a webáruház már nem \"lát\". Például kapcsolatot tart a vásárlóval, hírlevelet küld, vagy elégedettséget mér.
Nézzük meg, hogy a GDPR hogyan határozza meg az adatfeldolgozó és adatkezelő fogalmát.
A rendelet szerint adatfeldolgozó az, aki az adatkezelő nevében, az adatkezelő utasítására személyes adatot kezel. Adatkezelő pedig az, aki a személyes adatok kezelésének célját és eszközeit önállóan, vagy másokkal együtt meghatározza. A GDPR adatkezelőnek minősíti továbbá azt is, akinek ilyen minőségét tagállami jog határozza meg.
A futár adatfeldolgozó?
Abban az esetben ha a futár a webáruháztól kapott adatokon más műveletet nem végez, hanem tevékenysége kizárólag arra irányul, hogy a kapott címadatra az árut kikézbesítse, akkor a futárcég adatfeldolgozónak minősül. Fontos ugyanakkor kiemelni, hogy ez a minősítés is csak abban az esetben igaz, ha nincs olyan tagállami jogi rendelkezés, amely a futárt adatkezelőnek minősíti.
A feldolgozói minősítést tehát egyfelelől megcáfolhatja a futár által végzett adatkezelési műveletek jellege, másfelől az a tagállami jogi rendlekezés, ami a futárt adatkezelőnek minősíti.
Abban az esetben tehát, ha a futárcég a kézbesítést követően a vásárló e-mail címére elégedettségi, vagy vásárlási szokásokkal kapcsolatos kérdőívet küld, vagy a vásárlóval kapcsolatot tart, egyeztet, onnantól kezdve megkérdejelezhető, hogy e tevékenységek tekintetében a webáruház, mint adatkezelő utasítására kezel-e személyes adatot. Nehéz elképezni, hogy a futárcég a webáruház utasítására végezze a futárcég saját szolgáltatásával kapcsolatos elégedettség mérést és küldjön a vásárlónak a vásárlási szokásokról szóló kérdőívet, majd gyűjtse, tárolja és elemezze az ezek során megadott személyes adatokat. Szintén adatkezelői státuszt erősít, ha a futárcég az áru kikézbesítéséhez feltételnül szükséges személyes adatokon túl további adatokat is bekér, gyűjt és tárol. A vásárló teljes neve, lakcíme és telefonszáma még megindokolható ahhoz, hogy ezek a szerződés teljesítése érdekében szükségesek. Esetleg még ilyennek tekintehtő az email cím is, de a bankszámlaszám, a felhasználónév, a jelszó semmi esetre sem.
A NAIH által 2017. januárjában kiadott, ún. webáruház útmutatóban (tájékoztató a webáruházakra vonatkozó adatvédelmi követelményekről) is szerepelnek futárcégek. A NAIH ezeket adatafeldolgozónak minősíti: adatfeldolgozó lehet a futárszolgálat, amely az adatkezelőtől megkapja az áru kézbesítéséhez szükséges személyes adatokat (érintett neve, címe, telefonszáma). Álláspontunk szerint a NAIH megállapítása kizárólag abban az esetben helytálló, ha a futár, a webáruház, mint adatkezelő utasítására csupán árut kézbesít a szükséges személyes adatok alapján, a szükségesnél több adatot nem kér be és nincs olyan tagállami jog, ami ezt a futárt adatkezelőnek minősíti.
Fontos tehát azoknak az adatoknak a köre is, amit a webáruház továbbít a futárcégek felé. Alapesetben a vásárló neve és postai címe elegendő lenne, esetleg a telefonszáma, ha nem tartózkodik a megadott helyen. Ennek ellenére a futárcégek általában a vásárló email címét is megkapják. Itt felvetődhet a kérdés, hogy tulajdonképpen miért nem elég a név és a postai cím, esetleg telefonszám, miért van szükség még az e-mail címre is. Itt nyomban felbukkan a GDPR egyik alapelve, mely szerint az adatkezelésnek a szükségesre kell korlátozódnia (adattakarékosság).
Abban az esetben tehát ha a futár tevékenysége olyan adatkezelési műveleteket is magában foglal, ahol maga a futárcég határozza meg az adatkezelés célját és eszközeit (pl. elégedettség-, vásárlási szokások mérése, kapcsolattartás az ügyféllel, esetleg hírlevél feliratkozás), akkor a futár adatkezelőnek minősül.
Nem lehet eltekintetni attól, hogy a partnerek (webáruház-futárcég) ne egyeztessenek az ügyfél-adatbázist és az általuk végzett adatkezelési műveleteket illetően. Egy ügyfél adatbázis gazdasági értéket is képvisel, másfelől az adatkezelési műveletek tekintetében az adatkezelőt és adatfeldolgozót eltérő felelősségi szabályok kötik. Célszerű ezért a webáruház és a futárcég között egyeztetni, és meghatározni, hogy ki milyen műveletet végez.
A futár adatkezelő
Ahogy fenti is említettük, azok a futárcégek akik a kézbesítésen túl a megkapott ügyfél adatokat további adatkezelési célra is használják, adatkezelőnek minősülnek. Ezt a pozíciót a webáruház adatkezelési tájékoztatójában célszerű úgy leképezni, hogy a webáruház feltünteti, hogy mely futárcégek részére továbbítja a vásárlók személyes adatait (feltüntetve az adatok körét is). A futárcégek ebben az esetben önálló adatkezlők és címzettek, akik részére adattovábbítás történik. A vásárló az adatvédelmi tájékoztató elfogadásával járul hozzá a megadott személyes adatainak a futárcég részére történő továbbításához. Az adatkezelés jogalapja a webáruház-futárcég viszonylatban a webáruház oldaláról, szerződés teljesítése.
Felelősségi szabályok
Fontos továbbá kitérni a felelősségi kérdésekre is. A GDPR eltérő felelősségi szabályokat rendel az adatfeldolgozókhoz, illetve az adatkezelőkhöz. Az adatfeldolgozó felelőssége korlátozott: csak abban az esetben tartozik felelősséggel az adatkezelés során okozott károkért, ha nem tartotta be a GDPR-ban meghatározott, kifejezetten az adatfeldolgozókat terhelő kötelezettségeket, vagy ha az adatkezelő jogszerű utasításait figyelmen kívül hagyta, vagy azokkal ellentétesen jár el.
Mi történik akkor, ha egy futárcéget adatfeldolgozónak minősítünk, de valójában adatkezelési tevékenységet végez? A GDPR 28. (10) így rendelkezik: A 82., 83. és 84. cikk sérelme nélkül, ha egy adatfeldolgozó e rendeletet sértve maga határozza meg az adatkezelés céljait és eszközeit, akkor őt az adott adatkezelés tekintetében adatkezelőnek kell tekinteni. Mindez azt jelenti, hogy egy jogsértés esetén a feldolgozóvá minősített futárcég ha az általa végzett tevékenység tekintetében mégis adatkezelőnek fog minősülni, akkor önállóan vagy a webáruházzal egyetemlegesen lesz felelős a jogsértésért.
Amennyiben egy futárcéget tévesen adatfeldolgozónak minősítünk, a webáruházra itndokolatlanul telepítünk egy olyan kötelezettséget, amely a GDPR szerint az adatfeldolgozó igénybevétele miatt a webáruházat terhelné. Ez azt jelenti, hogy egy adatkezelő-adatfeldolgozó viszonylatban a webáruháznak kell megbizonyosodnia arról, hogy a futárcég GDPR kompatibils: az adatkezelő kizárólag olyan adatfeldolgozókat vehet igénybe, akik megfelelő garanciát nyújtanak az adatkezelés GDPR követelményeinek való megfeleléséért.
Postatörvény
A GDPR szerint, ha az adatkezelés céljait és eszközeit tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat a tagállami jog is meghatározhatja (4. cikk 7.). Ilyen tagállami jognak minősül a postatörvény.
A postatörvény szerint a futárcégek ún. egyetemes postai szolgáltatást nem helyettesítő postai szolgáltatók. E tevékenységükön belül futárposta-szolgáltatást, expressz postai szolgálatatást, valamint egyéb olyan szolgáltatást nyújtanak ami az egyetemes postai szolgáltatást nem helyettesíti. (Tulajodnképpen ez azt jelenti, hogy tevékenységük nem váltja ki a Magyar Postát). Mivel a futárcégek is postai szolgáltatók, ezért a Postatörvény értelmében a szolgáltatásuk teljesítése során tudomásukra jutott adatokat a Postatörvény felhatalmazása alapján közérdeken alapuló célból adatkezelőként eljárva használhatják fel és továbbíthatják. Az adatkezelés célja szerződés teljesítése, a teljesítés elszámolása, igazolása és utólagos ellenőrzése. Fontos ugyanakkor kiemelni, hogy közérdekből történő adatkezlés címén a futárcég nem gyűjtheti az érintett összes adatát. A közérdekű célból történő adatkezelés kizárólag a szerződés teljesítése érdekében szükséges adatokra korlátozódhat.
Láthatjuk, hogy magyarországi viszonylatban van olyan tagállami jog, ami a futárcégeket adatkezelőnek minősíti. (Igaz ugyanakkor, hogy ez a jogszabály még jóval a GDPR előtt született, és nem került azzal harmonizálásra.) A futárcégek a szerződés teljesítése érdekében kezelhetik a tudomásukra jutott szükséges adatokat. Amennyiben ezen túl további adatokat kérnek be az érintettettől az csak akkor lesz jogszerű, ha ahhoz az érintett előzetesen önként hozzáájárulását adja.
dr. Égertz Andrea
ügyvéd
