A GDPR magyarázata by ORAC Kiadó

A GDPR magyarázata Szerkesztette: Jóri András Szerzők: Jóri András Soós Andrea Klára Bártfai Zsolt Hári Anita

Lap- és Könyvkiadó Kft.

A kötet szerzői: Jóri András: Előszó, Bevezetés, I–IX. fejezetek Soós Andrea Klára: X–XII. fejezetek, XIV. fejezet 1. pontja Bártfai Zsolt: XIII. fejezet, XIV. fejezet 2. pontja Hári Anita: a kötethez kapcsolódó gdpr.hvgorac.hu oldalon található nyilvántartás- és tájékoztatóminták

A kiadó számára minden jog fenntartva. Jelen könyvet, illetve annak részleteit tilos reprodukálni, adatrendszerben tárolni, bármely formában vagy eszközzel – elektronikus, fényképészeti úton vagy módon – a kiadó engedélye nélkül közölni.

ISBN 978 963 258 429 4 Budapest, 2018 A HVG-ORAC Lap- és Könyvkiadó Kft. kiadása Felelős kiadó: dr. Frank Ádám, a kft. ügyvezetője Internet: www.hvgorac.hu • E-mail: info@hvgorac.hu Felelős szerkesztő: dr. Gábor Zsolt Tipográfia és műszaki szerkesztés: Harkai Éva Szedés: HVG-ORAC Lap- és Könyvkiadó Kft.

TartaloM A leggyakrabban használt rövidítések, utalások . . . . . . . . . . . . . . . . . . . . . . . . . . . 11 Előszó . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13 Hogyan használjuk ezt a könyvet? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15 Bevezetés – az adatvédelem helyzete napjainkban Magánszféra és magánszféra-védelem . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17 Az adatvédelem fogalma . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22 Az adatvédelmi szabályozás generációi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27 Az első generációs adatvédelmi törvények . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30 A népszámlálás-ítélet és az adatvédelmi törvények második generációja . . . . . 31 Globalizáció: adatvédelmi tárgyú nemzetközi dokumentumok . . . . . . . . . . . . . 34 Válság? A második generációs adatvédelmi szabályozás kritikája . . . . . . . . . . . 41 A harmadik generációs adatvédelmi szabályozás . . . . . . . . . . . . . . . . . . . . . . . . . 44 Legújabb fejlemények: jogvédelem az európai joggyakorlatban, az adatvédelem technicizálódása . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47 A magyarországi fejlemények, az alkotmányos környezet átalakulása . . . . . . . 48 Az általános adatvédelmi rendelet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51 I. a személyes adat 1. Az érintett: élő természetes személy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54 1.1. Az érintett mint élő személy, elhunyt személyek adataival kapcsolatos speciális rendelkezések . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54 1.2. Az érintett mint természetes személy (nem szervezet) . . . . . . . . . . . . . . . . . 58 1.3. Az egyéni vállalkozó . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60 2. Az érintett „azonosított vagy azonosítható” személy . . . . . . . . . . . . . . . . . . . . . . 61 2.1. Az érintett elkülönült személy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61 2.2. Azonosított vagy azonosítható személy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62 2.3. A kódolt adatok . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66 2.4. „Kapcsolatba hozható” – jogalkalmazói jogértelmezések . . . . . . . . . . . . . . 69 3. „Bármely információ”. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 74 4. A személyes adatok „különleges kategóriái” . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79 II. az adatkezelés 1. Jogalkalmazói gyakorlat . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 88 III. aDATKEZELŐ, KÖZÖS ADATKEZELŐK, ADATVÉDELMI VÁLLALATCSOPORT 1. Ki lehet adatkezelő? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91 2. A cél és eszközök meghatározása . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92 3. A szervezet nevében eljáró természetes személy problémája . . . . . . . . . . . . . . . . 93 4. Adatkezelő és közérdekű adatok . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 95 5. Közös adatkezelés . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 95 6. Adatvédelmi vállalkozáscsoport . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99

Tartalom

IV. a RENDELET hatálya 1. Tárgyi hatály . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101 1.1. A tárgyi hatályra vonatkozó fő szabályok . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101 1.2. A tárgyi hatály alóli kivételek . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103 1.3. A Rendelet és az E-privacy irányelv . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108 2. Területi hatály . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109 2.1. Főszabály: a tevékenységi hely . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 110 2.2. Extraterritoriális hatály . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 114 2.3. A tagállami adatvédelmi jog alkalmazása . . . . . . . . . . . . . . . . . . . . . . . . . . . . 116 3. A módosított Infotv. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117 3.1. A nyitóklauzulák . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117 3.2. Nem automatizált módon, nem nyilvántartási rendszer részeként kezelt személyes adatok . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 118 3.3. A z elhunyt érintett személyes adataival kapcsolatos jogérvényesítés . . . . . . . 119 V. az adatkezelés jogalapja 1. Egy vagy több jogalap . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 124 2. A hozzájárulás . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 125 2.1. Önkéntesség . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 127 2.1.1. Hatalmi helyzet, közhatalmi szervek, munkáltatók . . . . . . . . . . . . . . . 128 2.1.2. Feltételes hozzájárulás . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 131 2.1.3. A részletesség követelménye . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 133 2.1.4. A hozzájárulás megtagadása vagy visszavonása esetén jelentkező „kár” hiánya . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 133 2.2. „Konkrét” . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 134 2.3. „Megfelelő tájékoztatáson alapuló” . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 135 2.4. „Egyértelmű kinyilvánítása” . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 138 2.5. A hozzájárulás időtartama . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 140 2.6. A hozzájárulás bizonyítása . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 140 2.7. A hozzájárulás visszavonása . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 141 2.8. Gyermekek által adott hozzájárulás a Rendelet 8. cikke szerint. . . . . . . . . . 142 3. A szerződés teljesítése mint jogalap . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 145 4. A jogi kötelezettség teljesítése mint jogalap . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 149 5. Létfontosságú érdek mint jogalap . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 154 6. Az adatkezelőre ruházott közérdekű vagy közhatalmi jogosítvány mint jogalap . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 156 7. Az adatkezelő vagy harmadik fél jogos érdekeinek érvényesítése mint jogalap („érdekmérlegeléses” jogalap) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 160 7.1. Előzmények . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 160 7.2. A z EU-bíróság gyakorlata és korábbi Irányelv közvetlen hatálya, a NAIH jogos érdekkel kapcsolatos korai gyakorlata . . . . . . . . . . . . . . . . . . 162 7.3. Mi az adatkezelő vagy harmadik fél jogos érdeke? . . . . . . . . . . . . . . . . . . . . . 168 7.4. A közhatalmi szervek által jogos érdek alapján végzett adatkezelés tilalma 172 7.5. Az érintett jogai és érdekei . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 173 7.5.1. Az érdekmérlegelési teszt . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 174 7.5.2. A 29. cikk szerinti munkacsoport az érdekmérlegelési tesztről . . . . . . 176 7.5.3. A NAIH az érdekmérlegelési tesztről . . . . . . . . . . . . . . . . . . . . . . . . . . . . 180 7.5.4. A tiltakozási joggal kapcsolatos kockázat . . . . . . . . . . . . . . . . . . . . . . . . 180

Tartalom

8. Sajátos követelmények különleges adatok kezelése során . . . . . . . . . . . . . . . . . . 181 8.1. A rendelet 9. cikk (1) bekezdésének és 6. cikk (1) bekezdésének viszonya . . . . 182 8.2. A 9. cikk (2) bekezdésében felsorolt kivételekről . . . . . . . . . . . . . . . . . . . . . . 184 9. Sajátos követelmények a bűnügyi és szabálysértési/polgári ügyekkel kapcsolatos nyilvántartások esetében . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 188 9.1. A „teljes körű” nyilvántartások . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 189 9.2. A teljes körű nyilvántartásokon kívüli adatok . . . . . . . . . . . . . . . . . . . . . . . . 190 VI. az adatvédelem alapelvei 1. Jogszerűség, tisztességes eljárás és átláthatóság . . . . . . . . . . . . . . . . . . . . . . . . . . . 192 2. Célhoz kötöttség . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 194 2.1. A célhoz kötöttséghez kapcsolódó jogalkalmazói gyakorlat . . . . . . . . . . . . 198 2.2. Összeegyeztethető cél és a Rendelet 6. cikk (4) bekezdése . . . . . . . . . . . . . . 206 3. Adattakarékosság . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 207 3.1. Jogalkalmazói gyakorlat . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 210 4. Pontosság . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215 5. Az integritás és bizalmi jelleg elve . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 216 VII. adatfeldolgozó – adatfeldolgozás 1. Előzmények – az adatfeldolgozás megszorító értelmezése . . . . . . . . . . . . . . . . . . 221 2. Az Infotv. és az adatfeldolgozás NAIH szerinti értelmezése . . . . . . . . . . . . . . . . 225 3. Az adatkezelő és adatfeldolgozó elhatárolása a Rendelet alkalmazásától . . . . . 227 4. Az adatfeldolgozó kiválasztása . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 229 5. Adatfeldolgozási szerződés . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 230 6. További adatfeldolgozó (al-adatfeldolgozó) igénybevétele . . . . . . . . . . . . . . . . . . 234 7. Az adatkezelő vagy az adatfeldolgozó irányítása alatt végzett adatkezelés . . . . 236 VIII. a HARMADIK ORSZÁGBA irányuló adattovábbítás 1. Előzmények . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 238 2. Mi a harmadik országba irányuló adattovábbítás? . . . . . . . . . . . . . . . . . . . . . . . . 240 3. A megfelelőségi határozatok . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 242 4. Adattovábbítás megfelelő garanciák mellett a felügyeleti hatóság engedélye nélkül . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 246 4.1. Közhatalmi vagy egyéb, közfeladatot ellátó szervek közötti, jogilag kötelező erejű, kikényszeríthető jogi eszközök . . . . . . . . . . . . . . . . . . . . . . . 246 4.2. Kötelező erejű vállalati szabályok . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 247 4.3. Általános adatvédelmi kikötések (általános szerződési feltételek). . . . . . . . 251 4.4. Tanúsítási mechanizmusok és magatartási kódexek valamint a harmadik országbeli adatkezelő vagy adatfeldolgozó kötelezettségvállalása . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 252 5. Adattovábbítás megfelelő garanciák mellett a felügyeleti hatóság engedélyével . . . 252 6. A különös helyzetekben biztosított eltérések . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 253 7. A harmadik országba történő továbbítással kapcsolatos érdekmérlegelés. . . . . 259 8. Az Unió által nem engedélyezett továbbítás és közlés . . . . . . . . . . . . . . . . . . . . . . 260 9. Az EGT-államokba történő adattovábbítás . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 261

Tartalom

IX. az érintett jogainak biztosítása, NYILVÁNTARTÁSOK VEZETÉSE 1. Az érintetti jogok . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263 1.1. Általános szabályok, az átláthatóságról szóló rendelkezés . . . . . . . . . . . . . . 263 1.1.1. A tájékoztatás módja (tömör, átlátható, érthető és könnyen hozzáférhető, világos és közérthető tájékoztatás) . . . . . . . . . . . . . . . . . 265 1.1.2. A tájékoztatás formája (írásban, elektronikus úton és szóban) . . . . . . 267 1.2. A tájékoztatás és hozzáférés joga . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 269 1.2.1. A tájékoztatás tartalma . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 270 1.2.2. A tájékoztatás időpontja . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 273 1.2.3. A módosításokkal kapcsolatos tájékoztatás kötelezettsége és időpontja . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 274 1.2.4. A tájékoztatás módja . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 274 1.2.5. Kivételek a tájékoztatási kötelezettség alól . . . . . . . . . . . . . . . . . . . . . . . 275 1.2.6. A hozzáférés joga . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 279 1.3. A helyesbítés . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 281 1.4. A törléshez való jog („az elfeledtetéshez való jog”) . . . . . . . . . . . . . . . . . . . . . 283 1.5. Az adatkezelés korlátozásához való jog . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 287 1.6. Az adathordozhatósághoz való jog . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 289 1.7. A tiltakozáshoz való jog . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 294 1.8. A utomatizált döntéshozatal egyedi ügyekben, beleértve a profilalkotást . . . . 297 1.8.1. A tilalom tartalma . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 299 2. Kivételi körök . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 302 3. Az automatizált döntéshozatallal kapcsolatos érintetti jogok . . . . . . . . . . . . . . . 302 4. A különleges adatok és az automatizált döntéshozatal . . . . . . . . . . . . . . . . . . . . . 303 5. Az automatizált döntéshozatalról való tájékozatás . . . . . . . . . . . . . . . . . . . . . . . . 303 6. Korlátozások az érintetti jogokkal kapcsolatban . . . . . . . . . . . . . . . . . . . . . . . . . . 304 7. A 30. cikk szerinti nyilvántartások . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 306 X. Az ADATVÉDELMI TISZTVISELŐ 1. Előzmények . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 310 2. A Rendelet általános szabályai . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 311 3. Az adatvédelmi tisztviselő kijelölésének kötelező esetei . . . . . . . . . . . . . . . . . . . . 312 3.1. Közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek . . . . . . . . . . . . 312 3.1.1. Közfeladatot ellátó szervek . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 312 3.1.2. Közhatalmi jogosítványt ellátó szerv . . . . . . . . . . . . . . . . . . . . . . . . . . . . 313 3.2. Szisztematikus megfigyelés. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 314 3.3. Különleges adatok nagy számban történő kezelése . . . . . . . . . . . . . . . . . . . . 316 4. Az adatvédelmi tisztviselői feladatok ellátására megfelelő személy . . . . . . . . . . 317 5. A kiválasztott tisztviselő nevének és elérhetőségének nyilvánosságra hozatala 318 6. Az adatvédelmi tisztviselő státusza . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 318 7. Az adatvédelmi tisztviselő helyzete és szerepe a szervezeti rendszerben . . . . . 320 8. Az adatvédelmi tisztviselő felelőssége . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 323 9. A tisztviselő összeférhetetlensége . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 324 XI. Az adatvédelmi incidensek és kezelésük 1. Előzmények . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 326

Tartalom

2. Az adatvédelmi incidens jogi fogalma . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 327 2.1. Előzetes megjegyzések . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 328 2.2. A „biztonság sérülése” . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 329 3. Az incidensek fajtái . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 332 3.1. Megsemmisítés (megsemmisülés) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 332 3.2. A személyes adatok elvesztése . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 332 3.3. Megváltoztatás . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 333 3.4. Jogosulatlan közlés . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 333 3.5. Jogosulatlan hozzáférés . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 333 4. Az adatvédelmi incidens következménye . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 333 5. Az incidensek nyilvántartása . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 334 6. Bejelentés a hatósághoz és a bejelentések fajtái . . . . . . . . . . . . . . . . . . . . . . . . . . . . 335 6.1. Általános szabályok . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 335 6.2. Szakaszos bejelentés . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 336 6.3. Összevont bejelentések . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 337 6.4. Több tagállamot érintő incidensek . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 337 6.5. Unión kívüli tevékenységi helyen bekövetkező incidensek . . . . . . . . . . . . . 337 6.6. A bejelentés időpontja: „tudomásra jutás” . . . . . . . . . . . . . . . . . . . . . . . . . . . . 338 6.7. Együttműködés az adatfeldolgozóval . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 340 6.8. Együttműködés a közös adatkezelők között . . . . . . . . . . . . . . . . . . . . . . . . . . 341 7. A bejelentés tartalma . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 341 8. „Bagatell”, azaz nem bejelentésköteles incidensek . . . . . . . . . . . . . . . . . . . . . . . . . 342 9. Az érintettek tájékoztatása . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 343 9.1. A közlendő információk köre . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 345 XII. AZ ADATVÉDELMI HATÁSVIZSGÁLAT 1. A hatásvizsgálat fogalma és kötelező tartalma . . . . . . . . . . . . . . . . . . . . . . . . . . . . 347 2. A hatásvizsgálat megkülönböztetése az érdekmérlegelési teszttől . . . . . . . . . . . 350 3. A hatásvizsgálat elmaradásának szankciója . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 350 4. A hatásvizsgálat szükségessége . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 352 5. A hatásvizsgálat fogalmi elemei . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 353 6. A hatásvizsgálatot elvégző személy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 359 7. A hatásvizsgálat módszertana . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 360 8. A hatásvizsgálat nyilvánosságra hozatala, megosztása az érintettel és a hatósággal . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 361 9. Előzetes konzultáció a hatósággal . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 362 XIII. a NEMZETI ADATVÉDELMI éS INFORMÁCIÓSZABADSÁG HATÓSÁG ÉS A NAIH eljárása 1. A Nemzeti Adatvédelmi és Információszabadság Hatóság . . . . . . . . . . . . . . . . . 364 1.1. A magyar adatvédelmi felügyeleti szerv történetének rövid áttekintése . . 364 1.2. Az európai uniós jogharmonizációs kötelezettség . . . . . . . . . . . . . . . . . . . . . 366 1.3. Az adatvédelmi felügyeleti hatóság jogállása . . . . . . . . . . . . . . . . . . . . . . . . . . 367 1.3.1. Az adatvédelmi felügyeleti hatóság jogállásáról általában . . . . . . . . . 367 1.3.2. Az adatvédelmi felügyeleti hatóságokkal szembeni követelmények . . 369 1.3.3. Az adatvédelmi felügyeleti hatóság tagjával szembeni követelmények . . . 373 1.3.4. A magyar adatvédelmi felügyeleti hatóságra, illetve annak elnökére vonatkozó egyéb szabályok . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 381 1.3.5. A Hatóság elnökhelyettesére vonatkozó eltérő szabályok . . . . . . . . . . . 382

Tartalom

2. Az adatvédelmi felügyeleti hatóságok feladata és hatásköre . . . . . . . . . . . . . . . . 383 3. A Hatóság eljárásairól általában a Rendelet rendelkezéseinek tükrében . . . . . 391 4. A z adatvédelmi felügyeleti hatóság eljárásainak rendszere és típusai . . . . . . . 395 5. A z adatvédelmi felügyeleti hatóságok joghatósága . . . . . . . . . . . . . . . . . . . . . . . 399 6. A Hatóság eljárásainak megindítása . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 403 7. A Hatóság vizsgálata . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 406 8. Az adatvédelmi hatósági eljárás . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 410 9. A titokfelügyeleti hatósági eljárás . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 423 10. A Hatóság által információszabadság ügyekben indítható per . . . . . . . . . . . . . 425 11. Az adatkezelési engedélyezési eljárás . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 426 12. Nemzetközi együttműködés . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 428 13. A tagállami adatvédelmi felügyeleti hatóságok együttműködésének és az egységeségi mechanizmus alkalmazásának egyéb kérdései eljárásjogi szempontból . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 431 14. Tanúsítás . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 433 15. Büntető-, szabálysértési és fegyelmi eljárás kezdeményezése . . . . . . . . . . . . . . . 433 16. A Hatóság eljárásaira vonatkozó egyéb szabályok, adatkezelés és titoktartás . . . 434 XIV. a bíróságok eljárása, A BÍRÓSÁGI ADATKEZELÉSI MŰVELETEK ELLENŐRZÉSE 1. Bírósági eljárások . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 437 1.1. A panaszos eljárása közigazgatási úton . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 437 1.2. Az érintett által indítható per: sérelemdíj és személyiségi jogi per . . . . . . . 438 1.3. Közigazgatási út . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 439 1.4. Panasztételi jog és jogorvoslat . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 439 1.5. Az adatkezelő jogorvoslati lehetősége: a közigazgatási bírói út . . . . . . . . . . 440 1.5.1. A határozat megtámadása bírói úton . . . . . . . . . . . . . . . . . . . . . . . . . . . 440 1.5.2. A bíróság intézkedései . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 441 1.5.3. Azonnali jogvédelem . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 444 1.5.4. A bíróság érdemi döntése. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 445 1.5.5. A hatóság határozat bírósági megváltoztatása . . . . . . . . . . . . . . . . . . . 446 1.5.6. Hivatalbóli semmisség esetkörei . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 446 1.5.7. Fellebbezés ítélet ellen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 447 1.5.8. Döntés a fellebbezés alapján . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 448 2. A bírósági adatkezelési műveletek ellenőrzése . . . . . . . . . . . . . . . . . . . . . . . . . . . . 450 2.1. A szabályozás indoka . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 450 2.2. Az Infotv. által választott megoldás . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 450

MELLÉKLETEK

Az Európai Parlament és a Tanács (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet) – a helyesbítésekkel egységes szerkezetben . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 453 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 553

A LEGGYAKRABBAN HASZNÁLT RÖVIDÍTÉSEK, UTALÁSOK Avtv.

a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény

Ákr.

Az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény

Eütv.

Az egészségügyről 1997. évi CLIV. törvény

Eüatv.

Az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló 1997. évi XLVII. törvény

Infotv.

Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény

Irányelv Az Európai Parlament és a Tanács 1995. október 24-i 95/46/EK Irányelve a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról Kp.

A közigazgatási perrendtartásról szóló 2017. évi I. törvény

NAIH Nemzeti Adatvédelmi és Információszabadság hatóság Rendelet Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet) Az adatvédelmi biztos beszámolóit az ABI rövidítéssel és megjelenés éve szerint idézzük; a beszámoló mindig a megjelenést megelőző tevékenység összefoglalását adja, pl.: ABI 2005. Az adatvédelmi biztos beszámolója 2004. Budapest, Adatvédelmi Biztos Irodája. A NAIH által kiadott állásfoglalásokat ügyszám, ügyiratszám vagy URL szerint idézzük.

Előszó Ez év májusától alkalmazandó az Európai Unió általános adatvédelmi rendelete (ahogy a magyar szakmai szóhasználatban is immár meghonosodott, a GDPR – a könyvben a továbbiakban: Rendelet), amely új világot teremt az európai adatvédelmi jogban. Célunk e könyvvel az, hogy felkészítsük az érdeklődő közönséget a Rendelet alkalmazására. E mű ambíciója az, hogy jogdogmatikai igényességgel mutasson iránymutatást mindazoknak, akik személyes adatok kezelésével bármilyen módon és szerepkörben (adatkezelőként, adatfeldolgozóként vagy adatalanyként) kapcsolatba kerülnek. A könyv előzménye a magyar adatvédelmi jog első, átfogó kommentárja, amely 2005-ben jelent meg, még az Avtv. magyarázatát adva. 2016-ban publikáltuk az „Adatvédelmi jog – magyar és európai szabályozás” c. kötetünket, amely párhuzamosan értelmezte az Infotv. és a Rendelet rendelkezéseit. E könyv újdonsága volt, hogy felépítése nem követte szorosan az Infotv. (illetőleg a Rendelet) szövegét, hanem azon fő jogi kérdések köré szerveztük, amelyekkel a magyar jogalkalmazó szembesülhet. Ezt a szerkezetet fenntartottuk a jelen kötetben is, azonban önálló fejezetet szenteltünk néhány olyan kérdésnek, amelyek a rendelet alkalmazása során hangsúlyosabban jelennek meg, mint korábban. A könyv megjelenését eredetileg 2018 májusára terveztük. Szembesülnünk kellett azonban azzal, hogy a határidőre nem született meg az a törvény, amely a Rendelet által lehetővé tett körben a tagállami jogalkotó által meghatározott eltéréseket, kiegészítéseket tartalmazza. E törvényt az Országgyűlés csak június második felében fogadta el1: tárgyalása alapvető fontosságú, mivel a magyar jogalkotó számos, a gyakorlatban fontos szabályt határozott meg (elhunytak adataival kapcsolatos jogérvényesítés, a bűnügyi adatok különleges adatok körébe vonása, a tárgyi hatály kiterjesztése stb.). Azonban ez nem minden: szükség van a korábbi Infotv. rendszeréhez illeszkedő szektorális törvények felülvizsgálatára is. E folyamat első lépése lesz az a GDPR-salátatörvény elfogadása, amelynek jelen sorok írásakor még csak a tervezete ismert, és várhatóan lényeges szabályokat módosít a Munka Törvénykönyvében, az egészségügyi adatkezelés terén, a biztosítási tevékenységről szóló törvényben és számos más jogszabályban. A könyv az Európai Unió Adatvédelmi Rendeletének magyarázata; a teljesség igényével dolgozza fel annak rendelkezéseit és a vonatkozó jogalkalmazási gyakorlatot. Mint ismeretes, a korábban a magyar adatvédelmi szabályozás keretét adó Infotv. immár kisebb jelentőséggel bír: a Rendelet szabályozási körében, az ott meghatározottak szerint részletszabályozást és eltéréseket tartalmaz, illetőleg a bűnügyi adatkezelési Irányelv átültetését végzi el. E könyv tárgya a GDPR, így az Infotv.-nek csak a Rendelet alkalmazása szempontjából releváns rendelkezéseit tárgyaljuk, 1 2018. évi XIII. törvény az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény jogharmonizációs célú módosításáról.

Előszó

mindig az adott fejezet keretei között. Lényeges esetekben ismertetjük a GDPR-salátatörvény-tervezet rendelkezéseit is. Bár a Rendelet alkalmazása során várható majd az egyes tagállamok közötti jogértelmezési konzisztencia lassú kialakulása, nézetünk szerint indokolt, hogy egyes esetekben még kitérjünk a Rendelet alkalmazását megelőző magyar adatvédelmi gyakorlatra is. (A 29. cikk szerinti munkacsoport értelmezései kapcsán ez magától értetődő, hiszen azok a Rendelethez a magyar szabályozásnál közelebb álló Irányelv rendelkezéseit értelmezték, illetve a jogértelmező tevékenységet a munkacsoport utódjaként az Európai Adatvédelmi Testület folytatja.) A kötethez kapcsolódó gdpr.hvgorac.hu weboldalon többek között olvashatóak a 29. cikk szerinti munkacsoport és utódja, az Európai Adatvédelmi Testület releváns iránymutatásai, és egyes, a jogalkalmazást segítő mintákat is közlünk. Mint ahogy a korábbi könyv előszavát zártuk, az adatvédelem érdekes téma: aki ezzel foglalkozik, találkozhat az alkotmányjog elméleti kérdéseivel csakúgy, mint a közigazgatási jog részletes szabályaival, elmerülhet a polgári jogi személyiségvédelem rendszerében, tanulmányoznia kell a legújabb információs technológiák sajátosságait is. Ehhez a komplex rendszerhez adódik most az EU-jog számos kérdése is. Reméljük, kötetünk eligazítást ad az adatvédelmi jog legtöbb kérdésében, és gondolkodásra késztet ott, ahol e kérdések még nyitottak. Budapest, 2018. november 6. Dr. Jóri András

Hogyan használjuk ezt a könyvet? Első lépések: 1. Győződjünk meg arról, hogy adataink élő természetes személyre vonatkoznak, illetve olvassuk el az elhunytak adatainak kezelésére vonatkozó szabályokat. 2. Döntsük el, meghatározott személyekről van-e szó. 3. Győződjünk meg arról, hogy az érintett személy azonosított vagy azonosítható, azaz az adat ilyen személlyel „kapcsolatba hozható”. A további pontok (adat fogalma, különleges adat fogalma) további tudnivalókat tartalmaznak az adatvédelmi jog fogalomrendszeréről. Mindehhez segítséget nyújt az I. fejezet. Ezt követően a II. fejezet alapján határozzuk meg, hogy adatkezelést végzünk-e; ha igen, lépjünk tovább a következő fejezetre. Ez az egyik legegyszerűbb lépés: ha személyes adatok vannak a birtokunkban, illetve bármilyen műveletet hajtunk végre azokon, akkor szinte biztosan adatkezelést végzünk. Miután az első két fejezet nyomán eljutottunk idáig, eldöntendő, hogy szervezetünk adatkezelőnek minősül-e, vagyis mi viseljük-e az adatkezelésért a jogi felelősséget (III. fejezet). Mielőtt azonban rátérnénk arra, mi is e kötelezettségek tartalma, érdemes ellenőrizni, kiterjed-e adatkezelésünkre a Rendelet hatálya. Ebben segít a IV. fejezet. Kivételi körbe eshetünk, ha magánszemélyként, magáncélra kezelünk adatot. Lehetséges az is, hogy a Rendelet területi hatálya nem terjed ki adatkezelésünkre. E kérdések igen bő teret adnak az értelmezésnek, s e mű szerzői számos ponton nem is osztják az adatvédelmi hatóság álláspontját; végső soron e kivételek értelmezése a bíróságok feladata. Ha a törvény tárgyi és területi hatálya megállapítható, lépjünk tovább a következő fejezetre. Az V. fejezet az egyik legfontosabb kérdésről, a jogalap meghatározásáról szól. Érvényes adatkezelési jogalap fennállásának hiányában nem lehet szó jogszerű adatkezelésről. A jogalap megítélése nem egyszerű: 2018 májusától a Rendelet szabályozása és a korábbi magyar jogalaprendszer eltérése miatt az adatvédelmi jog ebben a körben igen nagy mértékben változott, a korábbi jogalapokat sokszor át kell sorolni a Rendelet rendszerébe. Miután megvizsgáltuk, rendelkezésre áll-e a megfelelő jogalap, a következő fel adat, hogy megbizonyosodjuk arról: adatkezelésünk során érvényesülnek az adatvédelmi jog alapelvei. Ehhez a VI. fejezet nyújt segítséget. A legfontosabbak: jogszerűség, a tisztességes eljárás és a Rendelet által a korábbiaknál részletesebben szabályozott átláthatóság; a célhoz kötöttség tehát az, hogy az adatkezelésnek meghatározott (jogszerű) célt kell szolgálnia; az adattakarékosság, a pontosság, az integritás és bizalmi jelleg elve. Az alapelvekből nagyon is gyakorlati követelmények adódnak, amelyeket szintén itt tárgyalunk (pl. az ún. „összeegyeztethető” célból végzett adatkezelések kérdései).

Hogyan használjuk ezt a könyvet?

A VII. fejezetben azt tárgyaljuk, hogyan vehetünk igénybe az adatkezelés során külső személyt (adatvédelmi terminológiával adatfeldolgozót). Az adatkezelés folyamatában az adatfeldolgozók igénybevételén túl a másik figyelemre érdemes kérdés a harmadik országba irányuló adattovábbítás. Mivel a jogalkotó el akarja kerülni, hogy az EU adatvédelmi jogát az adatkezelők egyszerűen úgy kerüljék meg, hogy adatbázisaikat harmadik országokba viszik, az ilyen államokba történő adattovábbítást a Rendelet részletesen szabályozza. Az erre vonatkozó rendelkezésekről szól a VIII. fejezet. A IX. fejezetben tárgyaljuk az érintettek jogait, amelyek biztosítása az adatkezelők egyik legfontosabb kötelezettsége. Itt tárgyaljuk, miben áll a tájékoztatás, helyesbítés, törlés joga, illetőleg olyan új, a Rendelet által bevezetett jogot is, mint az adathordozhatóság. E fejezet szól a 30. cikk alapján vezetendő nyilvántartásokról is. A X. fejezetet az adatvédelmi tisztviselő intézményének szenteltük. A tisztviselő kinevezése bizonyos esetekben kötelező, máskor éppen kockázatokkal jár az adatkezelő számára; kinevezés esetén ügyelni kell az összeférhetetlenségi szabályok követésére is. A XI. fejezet az újabban az adatvédelmi hatóságok fókuszába került, és a Rendelet által részletesen szabályozott adatvédelmi incidensek kezeléséről szól. Mi minősül adatvédelmi incidensnek, mely kötelezettsége van az adatkezelőnek (és adott esetben az adatfeldolgozónak) az incidensekkel kapcsolatban? A XII. fejezet az adatvédelmi hatásvizsgálatot tárgyalja; ezzel kapcsolatban az európai és magyar gyakorlat még csak most alakul: a tagállami testületek vonatkozó jegyzékeiről csak nemrég foglalt állást az Európai Adatvédelmi Testület. E fejezetben a megfelelést segítő, jelenleg ismert támpontokat ismertetjük. A XIII. fejezet képet ad a NAIH-ról és eljárásáról adatvédelmi ügyekben. Az adatvédelmi bírságok száma és összege egyre növekszik; a Rendelet értelmében 2018-tól pedig a bírságösszegek jelentős emelkedése várható. A korábbi fejezetek áttanulmányozása után az olvasó érzékelheti azt is, hogy az adatvédelmi jog alkalmazásának számos területén még sok a bizonytalanság, nagy tere nyílik a jogértelmezésnek. Bemutattuk azt is, hogy több esetben a NAIH értelmezése is aggályos, nem feltétlenül védhető az eljáró bíróság előtt. Adatkezelőként tehát javasoljuk, hogy már a hatósági eljárás során forduljunk ügyvédhez. Végezetül a XIV. fejezet a bíróságok adatvédelmi ügyekben követett eljárását tárgyalja, illetőleg a bírósági adatkezelés ellenőrzésének mechanizmusával foglalkozik. Fontos rögzíteni, hogy az adatvédelmi jog komplex jogterület, számos értelmezési kérdéssel. A szerzők nem mindenkor értenek egyet az adatvédelmi hatóság értelmezésével; eltérhet a hatóság és a bíróságok jogértelmezése is. A jogszabályoknak való megfelelés módja, az esetleges hatósági vagy bírósági eljárás során képviselt jogi álláspont mindenkor az adott tényállástól, az adatkezelés részleteitől függ. Ezért e könyv tartalma semmilyen körülmények között nem minősülhet jogi tanácsadásnak; az olvasónak azt javasoljuk, hogy a felmerülő adatvédelmi ügyekben mindenkor forduljon jogi tanácsadóhoz, adatvédelmi szakemberhez. Különösen igaz ez a kötethez kapcsolódó gdpr.hvgorac.hu oldalon közölt minták használatára: ezek kiindulópontként szolgálhatnak ahhoz, hogy szervezetünk adatkezelését szakember segítségével a Rendelethez igazítsuk, de ilyen támogatás nélkül önmagában a megfelelést nem biztosíthatják.

Bevezetés – az adatvédelem helyzete napjainkban Magánszféra és magánszféra-védelem Az adatvédelem a magánszféra-védelem sajátos jogi szabályozásban megnyilvánuló módja. Az adatvédelmi jog rendelkezési jogot biztosít az érintettnek minden, személyével összefüggésbe hozható adat felett. Ezzel azt szolgálja, hogy a magánszféra megőrzésének lehetősége fennmaradjon abban a világban, ahol az adatok tömeges felvételének, tárolásának, egyeztetésének lehetősége széles körben rendelkezésre áll. Ebben a helyzetben korábban a jogi szabályozás szempontjából irrelevánsnak (a magántitok körébe nem tartozónak) tekintett tények, adatok jelentősége megnő: míg ezeknek az adatoknak a nyilvánosságra kerülése, mások általi megismerése a fejlett adatfeldolgozási technológiák hiányában nem hordozott veszélyt, ma feldolgozásuk, egyeztetésük, társításuk, a felhasználásukkal új adatok előállítása nyomán a magánszféra sérülhet. Az adatvédelmi jog kodifikálása mögött az a megfontolás húzódik, hogy a titokvédelem már nem elegendő: az új közegben a védelemnek minden adatra ki kell terjednie: „az adatvédelmet […] el kell szakítani a »személyesség« intimitásként való értelmezésétől”2. A védelem tárgya tehát új – a személyes adat –, ám tulajdonképpeni célja ugyanaz, mint korábban a titokvédelemé vagy a magánszféra, az intimitás védelmét szolgáló bármely, jogon kívüli eszközé. Az adatvédelem mint sajátos jogvédelem tárgyalása előtt ezért meg kell fogalmazni azt, mi is ez a védendő cél, érdek: mit véd – az adatok kezelésére vonatkozó szabályok meghatározásán keresztül – az adatvédelmi jog? Az adatvédelmi jog célja a magánszféra védelme. A személyes adatok védelme az új körülmények között is megvalósíthatja a magánszféra védelmét. Ezek az állítások nézetünk szerint igazak, ám keveset mondanak arról, hogy mi is magánszféra, és miért kell védeni. A privacy (a továbbiakban – bár tudatában vagyok a magyar szó szűkebb jelentéstartományának – magánszféra) fogalmának számos meghatározási kísérlete létezik. Schoeman szerint a magánszféra fogalma megközelíthető úgy, mint – olyan igény (claim), jogcím (entitlement) vagy jog (right), amely arra irányul, hogy az egyén meghatározza: mely vele kapcsolatos információk jussanak mások tudomására; – az egyén személyes információi, személyisége intim vonatkozásai feletti ellen őrzés (control), illetve annak meghatározására való képesség, hogy az egyénhez ki fér hozzá (who has sensory access to him);3 Sólyom László: Adatvédelem és személyiségi jog, Világosság, 1988. január, 55. o. Vö. Sólyom László: A személyiségi jogok elmélete, Közgazdasági és Jogi Könyvkiadó, 1983, 315. o.: „A magánszféra különböző felfogásainak közös vonása, hogy azt a [fizikai és lelki] területet értik alatta, amelyet az egyén kontrollál, amely tehát mentes a külső beavatkozástól.” 2

Bevezetés – az adatvédelem helyzete napjainkban

– állapot, amelyben az egyénhez – a hozzá kapcsolódó információkhoz, életének intim tényeihez, gondolataihoz és testéhez – való hozzáférés korlátozott.4 Westin szerint a magánszféra kialakulásának előzményei már az állatvilágban megfigyelhetők. „Szinte minden állat igényt tart az egyedüllétre [individual seclusion] és a kiscsoport intimitására [small-group intimacy]. Ezt rendszerint úgy írják le, mint a territorialitás tendenciáját, amelyben egy szervezet, organizmus igényt formál a föld, víz vagy levegő valamely területére, és megvédi azt saját fajtársainak behatolásától.”5 Ehhez kapcsolódóan már az állatvilágban jelen vannak a magánszféra fizikai területét kijelölő mechanizmusok; a két – kapcsolatban nem lévő – egyed meghatározott távolságot tart („személyes távolság”, personal distance), míg a fajon belül elkülönülő csoportok között is mérhető a „szociális távolság” (social distance). Ha az egyed rendelkezésére álló terület a kritikus alá csökken, nő az agresszió szintje, és „az átfedő személyes távolságok által lerombolt társas kapcsolatok erősítik a kóros jelenségek minden formáját, ugyanazon betegségeket okozva, mint amelyeket a túlzsúfoltság [overcrowding] okoz az embernél: magas vérnyomást, keringési elégtelenségeket, szívbetegséget”6. A magánszféra emberi társadalmakban való megjelenését tekintve Westin antropológiai kutatásokra hivatkozva megállapítja, hogy „a magánszférára vonatkozó kortárs normáink »modern«, »haladó« értékek, amelyek nagyrészt hiányoznak a múlt és jelen primitív társadalmaiból”7. Westin a magánszféra több olyan vonatkozását különíti el, amelyek minden vizsgált társadalomban élő emberre érvényesülnek. Ezek egyrészt a magánszférával kapcsolatos normák az egyén, a család/háztartás és a nagyobb közösség szintjén; az általa bemutatott eredmények szerint a primitív társadalmakban mindhárom szinten találhatók a magánszférára vonatkozó normák, ám ezek igen nagy változatosságot mutatnak. Külön elemnek tekinti Westin azt, „ahogyan az emberi lények érzékelik egyedüllétüket” – az elkülönüléstől való félelem vezet ahhoz, hogy azt gondolják: soha nincsenek egyedül, a szellemek, a természetfölötti erők ott vannak velük. További, általánosan jellemző elem a „kíváncsiság és a megfigyelés” – vagyis az egyén és a társadalom általi beavatkozás a magánszférába. Az önmagáért való kíváncsiság Westin szerint már az állatoknál is megjelenik, a kíváncsiság kielégítésének sajátos formája, a pletyka pedig azért létezik, mert „az emberek tudni akarják, hogy mások – különösen a nagyok és hatalmasok – mit tesznek, ez részben arra szolgál, hogy felmérhessék saját teljesítményüket, vágyaikat, valamint arra, hogy közvetett tapasztalatot nyújtson”. A magánszférát fenyegető kíváncsiság mellett minden társadalmat jellemez a megfigyelés is – „bármely rendszernek, amely normákat teremt – miként minden emberi társadalom –, meg kell teremtenie a normák kikényszerítéséhez szükséges mechanizmusokat. Mi4 Schoeman, Ferdinand D. (1984a): Privacy: Philosophical Dimensions of the Literature. In: Schoeman, Ferdinand D. (ed.) Philosophical Dimensions of Privacy: An Anthology. Cambridge University Press, Cambridge, 1984, 2. skk. 5 Westin, Alan: The Origins of Modern Claims to Privacy, In: Schoeman, Ferdinand D. (ed.) Philoso phical Dimensions of Privacy: An Anthology. Cambridge University Press, Cambridge, 1984, 56. o. 6 I. m. 58. o. A szerző a betegségek felsorolásakor H. L. Ratcliffe-re és R. L. Snyderre hivatkozik. 7 I. m. 1984, 59. o.

Bevezetés – az adatvédelem helyzete napjainkban

vel le kell leplezni azokat, akik megsértik a szabályokat és a tabukat, minden társadalomnak megvan a viselkedést figyelő, a normaszegést vizsgáló és a »bűnt« megállapító gépezete.”8 Innen vezet az út addig, amíg „a primitív társadalmak modernné alakulása növeli mind az egyén, mind a családi egységek magánszférájának fizikai és pszichológiai lehetőségeit”. A szerző kiemeli a városi élet anonimitásának, a munkahely és a lakóhely tekintetében érvényesülő mobilitásnak, valamint az egyén feletti vallási hatalom gyengülésének a folyamatban játszott szerepét; ám ezzel együtt azt a tendenciát is, amely a bürokrácia megjelenésével, az elidegenedettség által kiváltott kapcsolathiánnyal együtt az orwelli antiutópiát igazoló totális megfigyeléshez vezethet. Minden társadalomban élnek tehát a magánszférával kapcsolatos normák, legyenek azok jogiak vagy jogon kívüliek: a westini széles értelemben idetartoznak a testet elfedő ruhadarabok viselésére vonatkozó szabályok ugyanúgy, mint a családi közösség határait kijelölő normák. Westin utal arra is, hogy a nagycsaláddal szembeállított „atomi” családban az egyén privacyje nagyobb9 – a kisközösségi autonómia kialakulása pedig híd az egyén magánszférájának elismerése felé.10 A magánautonómia garanciája kezdetben a tulajdon:11 „A kapitalizmus kibontakozásával párhuzamosan a tulajdonjog egyre határozottabban az autonóm cselekvés garanciájaként funkcionál”12. A becsület védelme már a római XII táblás törvény injúriájának kiterjesztésével megjelent a klasszikus római jogban13, és a középkort átívelő történetét követően máig biztosítja a névjogot és a képmás védelmét a svájci jogban14, az Egyesült Államokban pedig a XX. században magába olvasztotta a privacy-védelem.15

8 Westin, Alan: The Origins of Modern Claims to Privacy, In: Schoeman, Ferdinand D. (ed.) Philosophical Dimensions of Privacy: An Anthology. Cambridge University Press, Cambridge, 1984, 68. skk. 9 I. m.. 63. o. 10 „A családon belüli tiszta emberi viszonyok már Hobbesnál is »szabályozatlanok«, és az ő rendszeréhez képest a harmadik utat mutatják a »természetes« harc vagy az alattvalói engedelmesség között. A családi autonómia a személyiségi jogok modern fejlődésében is alapvető szerepet játszik” – Sólyom László: A személyiségi jogok elmélete, Közgazdasági és Jogi Könyvkiadó, 1983, 81. (és 77. jegyzet). Majtényi ellentétes következtetésre jut, szerinte a magánszféra kezdeti jelentése a Brandeisnek tulajdonított „the right to be left alone”, ám annak „mai megközelítése egyre inkább túlmutat az individualitáson”. Majtényi László: Információs Jogok, In: Halmai Gábor – Tóth Gábor Attila (szerk): Emberi Jogok, Osiris, 2003, 580. o. 11 A tulajdon és autonómia összefüggésére Hobbes, Locke és Rousseau társadalomelméletében lásd Sólyom László: A személyiségi jogok elmélete, Közgazdasági és Jogi Könyvkiadó, 1983, 80. skk. 12 Sólyom László: A személyiségi jogok elmélete, Közgazdasági és Jogi Könyvkiadó, 1983, 123. o. 13 I. m. 133. skk.; de „a római injúriákra […] nem vetíthetjük vissza a modern személyiségi jogok alapját képező »autonómiát«, az egyszeri és megismételhetetlen individualitást, sem az ezek tartalmát még nyíltabban kifejező, a társadalommal szembeállított »magánszférát«”. Sólyom László: Uo. 164. o. 14 Sólyom László: A személyiségi jogok elmélete, Közgazdasági és Jogi Könyvkiadó, 1983, 129. o. 15 Pontosabban: Uo. 218. skk.

Bevezetés – az adatvédelem helyzete napjainkban

A kialakuló általános személyiségi jogi védelem16 elemeként fogalmazódik meg idővel az európai jogokban a „titokszféra” védelme,17 míg az Egyesült Államokban a right to privacy előbb a korábbi, tulajdonjogi magyarázatot felváltva válik például a képmással kapcsolatos védelmet megalapozó joggá, majd később a személyiségi jogi védelem keretévé, az európai „általános személyiségi jog” megfelelőjévé.18 Warren és Brandeis 1890-ben megjelent híres tanulmányukban19 a „magánszférához való jog” (right to privacy) common law-beli elismerésének indokoltságát a korban megjelenő új találmányok hatásával és az addig ismeretlen „üzleti módszerek” elterjedésével kötik össze: az előbbire példa a fotográfia technológiájának kortárs fejlődése, az utóbbira pedig a sajtó – elsősorban a bulvársajtó – növekvő befolyása. „A pillanatok alatt elkészülő [instant] fotográfiák, a sajtóvállalkozások veszélyeztetik magán- és családi életünk szent birodalmát, és számos mechanikus szerkezet létezik, amelyek elterjedésével igaz lehet a mondás, amely szerint »amit az otthonod mélyén suttogsz, a háztetőkről fogják világgá kürtölni«.”20 Az újságok Warren és Brandeis szerint „ördögi módon” avatkoznak be a magánszférába, „a pletyka már nemcsak a henyék és rosszindulatúak szórakozása, hanem üzletté [trade] vált, amelyet arcátlan módon és szorgalmasan űznek”21. A pletyka „kínálata megteremti a keresletet”, eredménye a „társadalom nívójának csökkenése, erkölcsinek hanyatlása”. A másik változás, hogy a fényképezés technológiája a korban jelentősen megváltozott, lehetővé téve azt, hogy az érintett akarata ellenére örökítsék meg képmását – korábban ehhez hosszabb ideig kellett egy helyben ülnie. Ez a tény Warren és Brandeis jogi okfejtésében is hangsúlyos: korábban ugyanis a fotografálás céljából tudatosan helyet foglaló alany esetén „a szerződések joga vagy a titoktartásra vonatkozó jog a megfontoltan eljáró egyén számára elegendő biztosítékot nyújthat képmásának nem megengedhető forgalmazása ellen”. Az új helyzetben azonban a védelem biztosabb jogi megalapozására van szükség. A common law bíróságok gyakorlatának áttekintése után Warren és Brandeis megállapítja, hogy a keresett jogok „nem szerződésből vagy meghatározott bizalmi viszonyból [trust] erednek, hanem olyan jogok, amelyek a világ ellenében állnak fenn” (vagyis dologi szerkezetű jogokról van szó), ám „az e jogok védelme során alkalmazott elv nem a magántulajdon elve, hacsak ez utóbbi szót nem egy kiterjesztő, szokatlan értelemben használjuk”. Warren és Brandeis szerint a megfelelő megoldás a bírák által korábban is elismert jog, a „magánszféra védelméhez való jog” (right to privacy) új értelmezése. KorábKialakulásáról lásd Sólyom László: A személyiségi jogok elmélete, Közgazdasági és Jogi Könyvkiadó, 1983, 223. skk. 17 Balás P. Elemér: Személyiségi jog, In: Szladits Károly (szerk.): Magyar magánjog, Grill Károly Kiadóvállalata, 1941, 652. skk. 18 Sólyom László: A személyiségi jogok elmélete, Közgazdasági és Jogi Könyvkiadó, 1983, 29–44., 203. skk. 19 Warren, Samuel D. – Brandeis Louis D.: The right to privacy [The implicit made explicit], In: Schoeman, Ferdinand D. (ed.) Philosophical Dimensions of Privacy: An Anthology. Cambridge University Press, Cambridge, 1984. 75–103. o. 20 I. m. 76. o. 21 I. m. 76. o. 16

Bevezetés – az adatvédelem helyzete napjainkban

ban ezt a jogot a common law-ban naplók, levelek és hasonló, „az irodalom vagy a művészet [writing or arts] médiumán keresztül kifejezett gondolatok, érzések és érzelmek” közzétételének megítélésekor használták a bírák 22, ám a szerzők szerint ez csak a jog egyik összetevője, „a jognak nem kell új alapelvet megalkotnia, amikor kiterjeszti ezt a védelmet az egyén megjelenésére, szavaira, cselekményeire és személyes viszonyaira, otthonában vagy azon kívül”23. Warren és Brandeis tehát a nyilvánosság szerkezetének változásával24 és a korban megjelent technológiák hatásával indokolta a „right to privacy” elismerésének szükségességét. A személyiségvédelem a tulajdonjogi helyett új alapot nyert; a privacy nemcsak a magánszféra, hanem a tágabb értelemben vett autonómia védelmét jelenti, és nem csak a tulajdonosi autonómia védelmét. A privacy története során annak jelentése egyre bővült, már az egyén általános cselekvési szabadságáig terjed25, miközben Sólyom szerint „riasztó általánosság”, „dagályosság” és „filozófiai elnagyoltság” jellemzi.26 Azonban megjelenése fontos állomása a személyiségi jog fejlődésének: annak a fejlődésnek, amelynek „legfontosabb vonása a védelem függetlenedése a tulajdonosi pozíciótól”27. A technikai fejlődés kihívásaira válaszolva elismerést nyer a név-, képmás- és hangfelvétel-védelem,28 törvénybe foglalják – elsőként Svájcban – az általános személyiségi jogot29. Az általános személyiségi jog körében jelenik meg – részint és ennek keretében nyer elismerést – az egyén „titokszférájának” védelme is. Balás P. Elemér megfogalmazása szerint: „A titokszféra lényege az, hogy bizonyos tények tekintetében a személyiségnek annyira túlnyomó a jelentősége, hogy ezek a tények, illetve megtestesüléseik nem is számítanak a külső világ tárgyai közé jogi szempontból, hanem a személyiség függvényének tekintendők. A titokszféra kialakulása a személyiség életfolyamatának megnyilvánulása az akarat közvetítésével. A külvilághoz tartozó tények egy része is olyan, hogy a személyiség szempontjából nem lehet a külvilághoz számítani mint a személyiség életfolyamatának részét, eszközét.”30 A védelem azonban ekkor még csak a titokszférára terjedt ki.

22 Warren, Samuel D. – Brandeis Louis D.: The right to privacy [The implicit made explicit], In: Schoeman, Ferdinand D. (ed.) Philosophical Dimensions of Privacy: An Anthology. Cambridge University Press, Cambridge, 1984, 79. skk. 23 I. m. 86. o. 24 A nyilvánosság e változásáról lásd még Sólyom László: A személyiségi jogok elmélete, Közgazdasági és Jogi Könyvkiadó, 1983, 196. o. Vajon az internet nyilvánossága nem jelent-e hasonlóan új fejleményt? 25 Sólyom László: A személyiségi jogok elmélete, Közgazdasági és Jogi Könyvkiadó, 1983, 218. o. 26 I. m. 215. o. Sólyom szerint „erről az ürességről árulkodik egyébként […] a privacy primitív természettudományos »megalapozásának« gyakorisága, amelyben kb. a tulajdon visszavezetése az éhségre ismétlődik meg”. Önkritikusan utalhatunk itt Westin tanulmányának fenti ismertetésére is. 27 I. m. 17. o. 28 I. m. 276. o. 29 I. m. 296. skk. 30 Balás P. Elemér: Személyiségi jog, In: Szladits Károly (szerk.): Magyar magánjog, Grill Károly Kiadóvállalata, 1941, 652. o.

Bevezetés – az adatvédelem helyzete napjainkban

Az általános személyiségi jog átmeneti hanyatlása után a második világháborút követően újból a jogi gondolkodás középpontjába kerül31, és a titokszféra személyiségi jogi védelme mellett – a számítástechnika fejlődésére, a tömeges adattárolás és -egyeztetés lehetőségének megjelenésére való reakcióként – megjelenik az egyén titokszférán kívüli tényekkel (adatokkal) kapcsolatos, ám még közvetett jogi védelme az első generációs adatvédelmi törvényekkel: megszületik az adatvédelem. A következő lépés, hogy a német Alkotmánybíróság – az alaptörvény általános személyiségi jogot deklaráló szakaszából levezetve – megfogalmazza az információs önrendelkezési jogot. Az új jog az érintett számára immár rendelkezési jogot biztosít minden olyan adat felett, amely vele kapcsolatba hozható (tekintet nélkül arra, hogy ez az adat a titokszféra része-e vagy sem).

Az adatvédelem fogalma Az adatvédelem (Datenschutz, data protection) fogalma az 1970-es évektől vált szé leskörűen használttá, egy olyan, újfajta védelem megjelölésére, amely a korábbi, a személyek által a személyiségi jogi védelem körében élvezett jogokhoz képest nem csak meghatározott típusú adatok (képmás, hangfelvétel) tekintetében, általában nem az „érzékeny” adatokra korlátozva vagy az adatokkal való visszaélés következményeihez igazodva illeti meg az adatvédelmi jogszabályok szerint (általában) a természetes személyeket. Bár kommentárunk a személyes adat fogalma alapján jól körülírható adatvédelmi jogi szabályok gyakorlati alkalmazását kívánja elősegíteni, elöljáróban mégis hasznos az adatvédelem fogalmának meghatározására tett kísérlet, amelynek során rögzíthető a fogalomnak e mű keretein belül tulajdonított jelentése, valamint a kategória viszonya egyes, gyakran szinonimaként használt fogalmakhoz.32 Az adatvédelem fogalmát gyakran tárgyalják a magánszféra védelmének részeként, vagy éppen ellenkezőleg, azzal szembeállítva, mint amely sajátosan európai (jogi) megoldása egy olyan problémának, amelyre az amerikai alkotmányjogban a „magánélethez való jog” megjelenését indukálta. Álláspontunk szerint a magánszféra védelmének számos – jogi és jogon kívüli – eszköze, módja különböztethető meg, és maga a fogalom e jelenségek jóval szélesebb tartományára vonatkoztatható, mint az adatvédelem – az adatvédelem csak a magánszféra védelmének keretein belül mint a magánszféra-védelem adott társadalmi és technikai körülmények között létrejött jogi eszköze értelmezhető. Nem tekinthetünk el attól sem, hogy a privacy foSólyom László: A személyiségi jogok elmélete, Közgazdasági és Jogi Könyvkiadó, 1983,, 309. skk. A meghatározásra annak ellenére kísérletet teszünk, hogy Mayer-Schönberger szerint „Európában az 1970-es évektől az »adatvédelem« szó bevetté vált az egyén azon joga leírására, hogy rendelkezik saját adatai felett. […] Ám az »adatvédelem« szóhoz társított jelentések ismételten és lényegesen változtak, és a fogalom meghatározásának pontosítására tett kísérletek eredménytelennek, tautológiához vezetőnek bizonyultak” (Viktor Mayer-Schönberger: Generational Development of Data Protec tion in Europe, In: Philip E. Agre – Marc Rotenberg: Technology and Privacy: The New Landscape, The MIT Press, Cambridge, Massachusetts, 1997, 219. o.). 31

Bevezetés – az adatvédelem helyzete napjainkban

galma az amerikai jogi gondolkodásban mára jóval szélesebb értelemben használatos – mint arra fent utaltunk, a múlt század végétől olyan fejlődésen ment át, hogy mára az általános személyiségi jog megfelelőjeként értékelhető. Ez a védelem létezett az adatvédelem megjelenését megelőzően is: jogon kívüli, természetes korlátok, vagy a jogon kívüli társadalmi normarendszer szolgálta a magánszféra védelmét. Ezek az eszközök az adatvédelem megjelenésével továbbra is alkalmazhatók, illetőleg érvényesülnek. Az adatvédelem mint sajátos jogi védelem megjelenéséhez a magánszféra védelmét biztosító egyes természetes korlátok gyengülése, eltűnése vezetett. Az utóbbi évek fejleménye azonban, hogy a magánszféra védelmének párhuzamos módjai újra nagyobb jelentőséget kapnak – ezt a jelenséget úgyis leírhatjuk, mint az adatvédelem válságát. Ez a válság egyrészt az adatvédelem mint jogi védelem megújítására irányuló törekvéseket ösztönöz, másrészt azzal a következménnyel jár, hogy az adatvédelmi jogi szabályozás bővül, abban egyre nagyobb terjedelemben jelennek meg a magánszféra védelmét szolgáló egyéb (főképpen technológiai) intézkedések, eszközök (lásd erről alább az adatbiztonság fogalmánál). Az adatvédelem jellemzője tehát, hogy a magánszféra védelmén belül értelmezhető az alábbiak szerint: a) az adatvédelem minden esetben a személy magánszférájának jogi védelmét jelenti33, amely b) az 1970-es évektől az elektronikai forradalom által egyre általánosabbá váló automatizált adatfeldolgozás veszélyeire válaszul jelent meg Európában, és c) az általa nyújtott jogi védelem tartalma a fogalom megjelenése óta többször is jelentősen változott, illetőleg jelenleg is folyamatos változásban van. Az információs önrendelkezési jog az egyén „azon joga, hogy alapvetően maga döntsön személyes adatainak kiszolgáltatásáról és felhasználásáról”34. Az irodalomban igen gyakori az az álláspont, amely az adatvédelmet azonosítja az információs önrendelkezési jogot biztosító szabályokkal.35 Ez a vélemény álláspontunk szerint nem helytálló – mint alább az adatvédelem történetének tárgyalásakor kifejtjük, az információs önrendelkezési jog koncepciója csak jóval az adatvédelem (tehát a személyek sajátos, személyes adataik kezelésének szabályozásán keresztül érvényesülő jogi védelme) megjelenését követő fejlemény, amelynek megjelenése elsősorban a német alkotmánybíróság 1983-as népszámlálás-ítéletéhez köthető. 33 „Az adatvédelem a személy, az ember, más szóval: az adatalany védelmét, nem pedig magának az adatnak a védelmét jelenti” (Majtényi László: Adatvédelem, információszabadság, sajtó, Alkotmányés Jogpolitikai Intézet, Budapest, 1997, 6.; Majtényi László: Információs Jogok, In: Halmai Gábor – Tóth Gábor Attila [szerk.]: Emberi Jogok, Osiris, 2003, , 579. o.). „Nem az adatnak van szüksége védelemre, hanem annak az egyénnek, akire az adat vonatkozik” (Viktor Mayer-Schönberger: Generational Development of Data Protection in Europe, In: Philip E. Agre – Marc Rotenberg: Technology and Privacy: The New Landscape, The MIT Press, Cambridge, Massachusetts, 1997, 219. o.). Mayer-Schönberger szerint az adatvédelem fogalmával kapcsolatos ezen ellentmondásra már az első német adatvédelmi biztos, Spiros Simitis felhívta a figyelmet a szövetségi adatvédelmi törvény 1979-ben megjelent kommentárjában. 34 15/1991. (IV. 13.) AB határozat. 35 Lásd például Dietz Gusztávné dr. – Pap Márta: Adatvédelem, adatbiztonság, Novorg, 1995, 14. o.

Bevezetés – az adatvédelem helyzete napjainkban

Az adatvédelem nem azonosítható az információs önrendelkezési joggal, hiszen a korai adatvédelmi törvények nem biztosítottak az egyénnek rendelkezési jogot személyes adatai felett. Az információs önrendelkezési jog megjelenése ugyan az adatvédelem történetében jelentős fejlődési állomás, ám az sem állítható, hogy az adatvédelem fejlődése ne haladhatná meg az információs önrendelkezési jog doktrínájában lefektetett alapelveket. Az irodalomban jelen van az a nézet, amely szerint az információs önrendelkezési jogon alapuló adatvédelem válságba került, s az adatvédelmi szabályozás legújabb generációja valójában már csak névlegesen alapszik az információs önrendelkezési jogon.36 Az adatvédelem tehát felölel minden olyan szabályozást, amely az egyén személyes adatainak kezelését szabályozva célozza annak védelmét, függetlenül attól, hogy ez a szabályozás biztosítja-e az egyén információs önrendelkezési jogát vagy sem. Míg az adatvédelem a magánszféra-védelem egyik eszköze, s mint ilyen, szükségszerűen a személyre irányul, az adatbiztonság tárgya maga az adat. Az adatbiztonság az adat integritásának és bizalmasságának védelmét jelenti, függetlenül az adat információtartalmától és jogi minősülésétől.37 Az adatbiztonság megteremtését szolgálhatják technikai, szervezési intézkedések, amelyeket jogi és jogon kívüli normák egyaránt előírhatnak. Adatbiztonsággal kapcsolatos rendelkezéseket számos jogi norma tartalmaz, így jogi formát nyernek például a minősített adatokkal (állami és szolgálati titkokkal) kapcsolatos adatbiztonsági rendelkezések. Az adatvédelem és adatbiztonság között bonyolult kapcsolatrendszer áll fenn. Ennek két legfontosabb eleme a következő: a) Az adatvédelmi szabályozás fejlődésének különböző szakaszaiban, eltérő mértékben, de általában tartalmaz adatvédelmet szolgáló adatbiztonsági szabályokat is (amelyek tehát arra adnak előírásokat, hogy a személyes adatok kezelése során a norma címzettje mely technikai, szervezési vagy egyéb intézkedéseket köteles megtenni). Az adatbiztonság tehát a személyes adatok tekintetében az adatvédelmi szabályozás tárgya. b) Új fejlemény, hogy a magánszféra védelmének eszközei között növekszik az adatbiztonságot szolgáló technológiák szerepe. A számítástechnika fejlődésével a fejlett adatfeldolgozási technológiák olcsón, szinte mindenki számára elérhetővé váltak, a nemzetközi számítógépes hálózatok kialakulása pedig megnyitotta az utat az adatkezelés globalizációja előtt is. Ebben a helyzetben az 1970-es években kialakult adatvédelmi szabályozás mindenképpen reformra szorul, a jövőben szerepe a magánszféra védelmében csökkenhet. A magánszféra védelmét a nyílt hálózati környezetben elsősorban technológiai eszközök szolgálhatják hatékonyan (például az 36 Lásd például Viktor Mayer-Schönberger: Generational Development of Data Protection in Europe, In: Philip E. Agre – Marc Rotenberg: Technology and Privacy: The New Landscape, The MIT Press, Cambridge, Massachusetts, 1997. 37 Székely Iván szerint „…az adatvédelem az adatalanyok védelme, az adatbiztonság maguké az adatoké”. (Székely Iván: Az adatvédelem és az információszabadság filozófiai, jogi, szociológiai és informatikai aspektusai (kandidátusi értekezés), kézirat, Budapest, 1994. A két fogalom a magyar adatvédelmi biztosi gyakorlatban is hasonló értelemben szerepel: ABI 1999, 350. o.

Bevezetés – az adatvédelem helyzete napjainkban

ún. „erős” titkosítás). Ezen eszközök nem jogi védelmet nyújtanak, ám sok esetben – éppen a magánszféra védelmében történő alkalmazásuk tömegessé válása, illetőleg ennek következményei miatt – maguk is a jogi szabályozás tárgyaivá válhatnak. (Az „erős” titkosítás használata például akadályozhatja a nemzetbiztonsági vagy bűnüldözési célból végzett legitim adatgyűjtést, amelynek nyomán a jogalkotó beavatkozása válhat szükségessé annak érdekében, hogy helyreálljon az egyensúly a nemzetbiztonság megőrzéséhez, illetőleg a bűnüldözéshez fűződő érdek és a magánszféra védelme között.) Ez a szabályozás azonban már nem tekinthető adatvédelmi jogi szabályozásnak, bár a magánszféra szempontjából releváns, hiszen akadályozhatja vagy megkönnyítheti a magánszféra védelmét szolgáló technológiák alkalmazását. Az adatbiztonságot szolgáló technológiák mellett vannak olyanok, amelyek kifejezetten a magánszféra védelmére szolgálnak: ezek a magánszféravédő technológiák (privacy enhancing technologies, PET-ek). A magánszféravédő technológiák lehetnek adatbiztonságot szolgáló technológiák is, ám ezen megoldások célja nem az adattartalom védelme általában, hanem a magánszféra védelme technológiai és szervezési megoldásokkal. A privacy enhancing technologies fogalmát e könyvben magánszféravédő technológiának fordítjuk, és Burkert definícióját követjük, amely szerint a fogalom „az egyén identitását, személyazonosságát védő technikai és szervezeti megoldásokat”38 jelenti. A magánszféra technológiai védelmének jogi kereteit azonban gyakran olyan eszközök, módszerek jogi szabályozása is befolyásolja, amelyek nem tekinthetők kizárólag magánszféravédő technológiának (ilyen például az „erős titkosítás”, amely bármely adattartalom titkosítására felhasználható). Az információszabadság (Freedom of Information, FOI) jelentése az, hogy az ún. közérdekű adatok, vagyis – az egyes nemzeti szabályozásokban eltérő módon körülhatárolt – állami vagy közfeladatot ellátó szervek birtokban lévő adatok – meghatározott kivételek mellett – bárki számára hozzáférhető, nyilvános adatnak minősülnek. Az adatvédelem és az információszabadság, a magánszemélyek adatainak jogi szabályozására és az állami adatok nyilvánosságának megteremtésére irányuló törekvések között történetileg is van összefüggés. Az első generációs adatvédelmi törvények – mint alább bemutatjuk – nem közvetlenül a személyes adatok kezelésének szabályozására irányultak, hanem a technológia állam általi alkalmazásának szabályozására. Az igazgatás rendelkezésére álló adattömeg és az azt hatékonyan feldolgozni képes rendszerek nem csupán az egyén magánszféráját fenyegették, hanem magát a hatalommegosztást is: új, „információs hatalommegosztás” megteremtésére volt tehát szükség.39 Egyes első generációs törvények hozzáférhetővé tették az igazgatás által felhalmozott adattömeget a törvényhozás (és a helyi képviselő-testületek) 38 Herbert Burkert: Privacy Enhancing Technologies: Typology, Critique, Vision, In: Philip E. Agre – Marc Rotenberg: Technology and Privacy: The New Landscape, The MIT Press, Cambridge, Massachusetts, 1997, 125. o. 39 A német eredetű kifejezést Sólyom László vezette be a hazai irodalomba: Sólyom László: Egy új szabadságjog: az információszabadság, Valóság, 1988. szeptember.