"Felvetődik a kérdés, miért éppen a számítástechnika alkalmazásának országos elterjesztéséért felelős szakemberek körében merült fel először egy ilyen törvény szükségességének az igénye."
"Egyre nagyobb veszélyt jelentett a tárolt adatok alanyaira nézve, hiszen akkoriban nem volt olyan jogszabály, amely az állami szervek által gyűjtött és tárolt személyes adatok gyűjtését és feldolgozását az adatalany emberi jogainak biztosítása érdekében megfelelően korlátozta volna."
"Aggályos továbbá az érintettnek a személyes adatai kezeléséhez adott hozzájárulása visszavonása, amely rendkívüli jelentőségű lehet, ha a hozzájárulás érzékeny adatok kezelésére vonatkozik."
A személyes adatok védelméről és a közérdekű adatok nyilvánosságáról 1992. évi LXIII. törvényt (Avtv.) kihirdetése óta - a lex semper reformanda jegyében -számos alkalommal, összesen tizennégyszer módosították. A törvény alkotmányos alapjogokat szabályoz, s a jogalkotónak gondoskodnia kellett arról is, hogy rendelkezéseit összhangba hozza az EU Alapjogi Kartájával, az EU adatvédelmi irányelvével, az Európa Tanács adatvédelmi egyezményével és egyéb olyan nemzetközi egyezményekkel, amelyekhez csatlakoztunk.
Az Avtv.-t strictu sensu csak két törvény módosította. A többi módosításra elvileg azért került sor, mert a külön törvények személyes adatok védelmére vagy a közérdekű adatok nyilvánosságára vonatkozó rendelkezéseinek az Avtv.-vel való konformitása ezt megkívánta. Mindazonáltal a lex specialis - jogalkotási szempontból kifogásolhatóan - olyan módosításokat is beiktatott az Avtv.-be, amelyeket a külön törvény korszerűsítése nem indokolt. A módosítások következtében az Avtv. szövegének terjedelme a közlönyállapothoz viszonyítva mára több mint kétszeresére bővült (szavakban mérve 2941-ről 6061-re). E cikk korlátozott terjedelme nem ad lehetőséget arra, hogy valamennyi módosítást elemezzük. A következőkben ezért csupán az Avtv. előéletét és azokat a módosításait tekintjük át, amelyek jelentős változást eredményeztek a szövegben.
Az Avtv. előzményei a diktatúra utolsó évtizedére nyúlnak vissza. A Központi Statisztikai Hivatal (KSH) Számítástechnika-alkalmazási Főosztályán ugyanis már az 1980-as évtized első felében - a Minisztertanács elnökének jóváhagyásával - megkezdődött az a munka, amely végül két új alkotmányos alapjogunk és az Avtv. létrejöttéhez vezetett.[1] Felvetődik a kérdés, miért éppen a számítástechnika alkalmazásának országos elterjesztéséért felelős szakemberek körében merült fel először egy ilyen törvény szükségességének az igénye. Nyilvánvalóan azért, mert a számítógépek használata, teljesítményük, adattárolási kapacitásuk exponenciális növekedése[2] és programozhatóságuk révén egyre nagyobb veszélyt jelentett a tárolt adatok alanyaira nézve, hiszen akkoriban nem volt olyan jogszabály, amely az állami szervek által gyűjtött és tárolt személyes adatok gyűjtését és feldolgozását az adatalany emberi jogainak biztosítása érdekében megfelelően korlátozta volna. A legkritikusabb ilyen jogszabály akkoriban az állami népességnyilvántartásról szóló 1986. évi 10. törvényerejű rendelet volt, amely tartalmazott ugyan a személyhez fűződő jogok védelmét szolgáló rendelkezéseket, ám nem kellő garanciákkal és nem eléggé átfogóan. Arról, hogy ez a felfogás a legteljesebb mértékben megalapozott volt, tanúskodik az Alkotmánybíróság 1991-ben hozott határozata, amely ezt a törvényerejű rendeletet - jóllehet az 1989. évi és az azt követő alkotmánymódosításokban foglaltakra tekintettel - alkotmányellenesnek nyilvánította és megsemmisítette.[3] Kérdés továbbá az is, miért akarták a tervezet készítői a személyes adatok védelmét és a közérdekű adatok nyilvánosságát ugyanabban a törvényben szabályozni és felügyeletét egyetlen közjogi személy hatáskörébe utalni, holott ilyesmire akkoriban az előttünk járó demokratikus államokban még nem volt példa. Feltehetően azért, mert a két alapvető jog egymással szoros összefüggésben áll, mint az érem két oldala. Ha egyetlen törvényben rendelkeznek róluk, nehezebb egymással szemben kijátszani őket.
A Minisztertanács 3022/1989. határozata a személyes adatok kezeléséről és a közérdekű adatok nyilvánosságáról[4] 1989. január 26-án jóváhagyta a törvényjavaslat elveiről készített előterjesztést és annak az elveket részletező mellékletét, egyúttal elrendelve, hogy a törvénytervezetet a KSH elnöke és az igazságügy-miniszter 1990. december 31-ig terjessze a Minisztertanács elé. A határozat preambuluma úgy rendelkezik, hogy a törvényjavaslat legyen összhangban az Alkotmány 54. (1) bekezdésében foglaltakkal - "(a) Magyar Népköztársaság tiszteletben tartja az emberi jogokat" -, valamint a Polgári és Politikai Jogok Nemzetközi Egyezségokmányának rendelkezéseivel,[5] továbbá "határozza meg az információs önrendelkezés szabályait és az információs szabadság kereteit, a szocialista demokrácia kiteljesedése érekében rendelkezzék a közérdekű adatok nyilvánosságáról".
- 53/54 -
Az elvek között megjelennek a mindmáig érvényesek (adatkezelés csak törvényi rendelkezés vagy az érintett hozzájárulása alapján végezhető, célhoz kötöttség, az összekapcsolás tilalma, a közérdekű adatok nyilvánossága, bírói jogérvényesítés) és tükröződnek az Avtv.-ben. Nincs még szó viszont a független ellenőrző szervről.
Mindezek alapján 1990 elején elkészült a törvénytervezet,[6] sőt áprilisban tárcakörözésre is került. A tárcakörözés során beérkezett vélemények figyelembevételével módosított törvénytervezetben már megjelenik a független ellenőrző szerv, az adatvédelmi biztos intézménye, amely - elnevezésétől függetlenül - ellenőrzi az információszabadság érvényesülését is. Időközben - a szabad országgyűlési választásokat követően - megalakult az új kormány, s a törvénytervezet elkészítése, immár a KSH nélkül, az Igazságügyi Minisztériumban folyt tovább. A fent említett minisztertanácsi határozatban megjelölt határidő ugyan nem teljesült, a tervezet lényegét tekintve azonban nem sokat változott, s a szokásos egyeztetési procedúrát követően a kormány a törvényjavaslatot - 4544. számon - 1992 tavaszán sürgős tárgyalást kérve benyújtotta az Országgyűlésnek. A sürgősséget indokolta, hogy a statisztikáról, valamint a polgárok személyi adatainak és lakcímének nyilvántartásáról már korábban benyújtott törvényjavaslatok - minthogy mindkettő személyes adatok kezeléséről is rendelkezik - elfogadásának feltétele volt az Avtv. elfogadása, továbbá a népességnyilvántartás adatállományának megőrzését szolgáló átmeneti törvény időben korlátozott hatálya.
A törvényjavaslatról az Országgyűlés kilenc ülésnapon folytatott általános és részletes vitát, amelynek során a képviselők, a frakciók és a bizottságok hallatlan aktivitást tanúsítottak, amit az is igazol, hogy több mint 140 módosító indítványt nyújtottak be. Ezek túlnyomó többségét a határozathozatal során elutasították. Az elfogadott módosítások közül néhány inkább csak a szöveget pontosította, néhány viszont érdemi változtatással járult hozzá a javaslat tökéletesítéséhez. Ilyen volt az adatok minőségét meghatározó új szakasz, valamint a közérdekű adatokat kezelő - állami vagy helyi önkormányzati feladatot ellátó - szervek és személyek kötelezése arra, hogy rendszeresen közzé- vagy más módon hozzáférhetővé tegyék a tevékenységükkel kapcsolatos legfontosabb (így különösen a hatáskörükre, illetékességükre, szervezeti felépítésükre, a birtokukban lévő adatfajtákra és a működésükről szóló jogszabályokra vonatkozó) adatokat, kivéve, ha az adott törvény alapján az arra jogosult szerv állam- vagy szolgálati titokká nyilvánította, továbbá ha a közérdekű adatok nyilvánosságához való jogot - az adatfajták meghatározásával - törvény honvédelmi, nemzetbiztonsági, bűnüldözési vagy bűnmegelőzési, központi pénzügyi vagy devizapolitikai érdekből, külügyi kapcsolatokra, nemzetközi szervezetekkel való kapcsolatokra, bírósági eljárásra tekintettel korlátozza. A javaslat szövege új fejezettel ("Különleges rendelkezések") egészült ki, amely a tudományos kutatás céljára felvett vagy tárolt személyes - mindenekelőtt anonimizált - adatok felhasználásának feltételeit rögzíti.
A polgárok személyi adatainak kezelésével összefüggő egyes törvények módosításáról szóló 1999. évi LXXII. törvény a közigazgatásnak, valamint a bűnmegelőzési és a bűnüldözési módszereknek a fejlett információtechnológiák igénybevételén alapuló korszerűsítését célozta. Indokolásában ugyan hivatkozik a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvre, ám csupán annyiban, amennyiben az "egyértelmű definíciót tartalmaz az adatkezelő és az adatfeldolgozó fogalmának elhatárolására, valamint külön rendelkezéseket fogalmaz meg az adatfeldolgozó felelősségének meghatározására".
Az adatkezelés fogalma nem változott, de az azt értelmező rendelkezés kiegészült az adatfeldolgozás meghatározásával, amely "az adatkezelési műveletek, technikai feladatok elvégzése, függetlenül a műveletek végrehajtásához alkalmazott módszertől és eszköztől, valamint az alkalmazás helyétől".
Az adatkezelő korábbi értelmezése meglehetősen szűkszavúan rögzítette, hogy az a szerv vagy személy, amely/aki az adatkezelést végzi vagy mással végezteti. Szükség volt egyrészt a szerv vagy személy, továbbá a "mással végezteti" fordulatban megjelenő más szabatos körülhatárolására. Így a módosítás szerint: "adatkezelő az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely a személyes adatok kezelésének célját meghatározza, az adatkezelésre vonatkozó döntéseket meghozza és végrehajtja, illetőleg a végrehajtás-
- 54/55 -
sal adatfeldolgozót bízhat meg. Kötelező adatkezelés esetén az adatkezelés célját és feltételeit, valamint az adatkezelőt az adatkezelést elrendelő törvény vagy önkormányzati rendelet határozza meg." Mindezek alapján azt is rögzíteni kellett, hogy "adatfeldolgozó: az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely az adatkezelő megbízásából személyes adatok feldolgozását végzi". Az adatkezelő és az adatfeldolgozó ilyetén elkülönítése azért is ésszerű, mert az adatfeldolgozás többnyire olyan információtechnikai eszközöket és képzettséget igényel, amellyel az adatkezelő nem rendelkezik. Egy újonnan beillesztett szakaszban jelent meg az adatkezelőnek az adatkezelési műveletekre vonatkozó utasítások jogszerűségéért való felelőssége, továbbá az adatfeldolgozónak az adatkezelő által meghatározott keretek közötti korlátozott felelőssége.
Sok változást eredményezett a kifejezetten és csupán az Avtv.-t módosító 2003. évi XLVIII. törvény a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény módosításáról. Indokolása szerint azt a célt szolgálta, hogy megteremtse az összhangot az 95/46/EK irányelv és az Avtv. között, amelyre küszöbönálló EU-tagságunkból adódó jogharmonizációs kötelezettségünk teljesítése érdekében került sor. Az Avtv. kihirdetése (1992. november) jóval, mintegy három évvel megelőzte a 95/46/EK irányelv közzétételét (1995. október), következésképpen az Avtv. még nem vehette figyelembe az irányelv rendelkezéseit, jóllehet azzal ellentétes rendelkezéseket nem tartalmazott. Ezt tanúsítja egyébként az Európai Unió Bizottságának az a 2000-ben kelt úgynevezett megfelelőségi döntése,[7] amely deklarálja, hogy amennyiben az irányelv 25. cikke szerint a unióból személyes adatokat továbbítanak Magyarországra, azok ott megfelelő (adekvát) védelemben részesülnek.
A megfelelőségi döntés azonban korántsem jelentette azt, hogy teljes az összhang az irányelv és az Avtv. között. Ezt a teljes jogharmonizációt a 2003. évi XLVIII. törvény volt hivatva elvégezni.
A 95/46/EK irányelv részletezi az automatizált egyedi döntés feltételeit, ám az egyetlen paragrafusból álló módosítás korántsem az irányelvvel teljes összhangban került be az Avtv.-be. A beiktatott rendelkezés szerint a "(k)izárólag számítástechnikai eszközzel végrehajtott automatizált adatfeldolgozással az érintett személyes jellemzőinek értékelésére csak akkor kerülhet sor, ha ahhoz kifejezetten hozzájárult, vagy azt törvény lehetővé teszi. Az érintettnek álláspontja kifejtésére lehetőséget kell biztosítani." Az 95/46/EK irányelv szövege pedig: "(a) tagállamok minden személynek biztosítják a jogot arra, hogy ne terjedhessen ki rájuk olyan döntés hatálya, amely rájuk nézve jogi hatással járna, vagy őket jelentős mértékben érintené, és amely kizárólag automatizált feldolgozáson alapul, és amelynek célja a rá vonatkozó egyes olyan személyes szempontok kiértékelése, mint például a munkahelyi teljesítmény, a hitelképesség, a megbízhatóság, az életvitel stb." Az Avtv. hallgat arról, milyen következményekkel jár az érintett álláspontjának kifejtése és mit jelent személyes jellemzőinek értékelése. Az irányelv példálódzó felsorolása megkönnyíteni hivatott az érintett álláspontjának kifejtését. Napjainkban sokasodik az automatizált egyedi döntés gyakorlata például a munkaadó által (munkahelyi teljesítmény, megbízhatóság, életvitel) vagy a hitelképesség vizsgálata során, amikor az érintettnek akár különleges adatokat is meg kell adnia (különösen, ha hangelemzést vagy poligráfos hazugságvizsgálatot is alkalmaznak). Az érintett legtöbbször nincs tisztában a jogaival, továbbá - körülményeinél fogva - kiszolgáltatott helyzetben van a munkáltatóval vagy a hitelnyújtóval szemben.
Az Avtv. eredetileg mindössze kilenc értelmező rendelkezést, fogalommeghatározást tartalmazott. Számuk - bár időközben pontosító módosításukra sor került - nem változott mindaddig, amíg 2004. január 1-jén hatályba nem lépett az Avtv.-t módosító, azt már címében is megjelölő 2003. évi XLVIII. törvény, amely az értelmező rendelkezéseket tartalmazó 2. § szövegét teljes egészében cserélte, s a korábbi kilenc helyett húsz értelmező rendelkezést rögzített. Számuk azóta csak eggyel növekedett.
Az eredeti kilenc értelmező rendelkezés többsége a személyes adatokhoz kötődött, így meghatározta a személyes adat, ezen belül a különleges adat fogalmát, valamint az azokkal végezhető műveleteket, és definiálta az e műveleteket végző adatkezelőt. Néhányuk szövegezését vagy lényegüket tekintve a módosítás nem érintette, csupán számozásuk változott.
A személyes adat értelmezése kiegészült. Az eredeti szöveg szerint a személyes adat meghatározott személlyel kapcsolatba hozható adat, melynek "meghatározott" fordulatát a zárójeles "azonosított vagy azonosítható" beillesztés pontosítja és teszi félreérthetetlenné, különösen a definíciót kiegészítő utolsó mondata fényében, mely szerint "(a) személy különösen akkor tekinthető azonosíthatónak, ha őt - közvetlenül vagy közvetve - név, azonosító jel, illetőleg egy vagy több, fizikai, fiziológiai, mentális, gazdasági, kulturális vagy szociális azonosságára jellemző tényező alapján azonosítani lehet".
- 55/56 -
A különleges - a faji eredetre, a nemzeti, nemzetiségi és etnikai hovatartozásra, a politikai véleményre vagy pártállásra, a vallásos vagy más meggyőződésre vonatkozó - adatok közé be kellett illeszteni a 95/46/EK irányelvben megjelenő szakszervezeti tagságra (hazai jogi szóhasználatban: érdekképviseleti tagságra) vonatkozó adatokat is.
Bár a korábbi szöveg szerint személyes adat akkor kezelhető, ha ahhoz az érintett hozzájárult vagy azt törvény vagy önkormányzati rendelet rendeli el, a hozzájárulás tényleges körülményeit a törvény nem rögzítette. Az irányelvben foglaltaknak megfelelően a hozzájárulás körülírása bekerült az értelmező rendelkezések közé: "az érintett kívánságának önkéntes és határozott kinyilvánítása, amely megfelelő tájékoztatáson alapul, és amellyel félreérthetetlen beleegyezését adja a rá vonatkozó személyes adatok - teljes körű vagy egyes műveletekre kiterjedő - kezeléséhez". Ez a kiegészítés rendkívüli és növekvő jelentőségű különösen napjainkban, amikor az interneten úgymond ingyenes (értsd: anyagi ellenszolgáltatáshoz nem kötött) szolgáltatásokat veszünk igénybe (például e-mail tömeges méretekben), amelynek feltétele a szolgáltató általános szolgáltatási feltételeiben megjelölt személyes adataink megadása.
Egyértelműsíteni kellett továbbá a közbeszédben és a jogi szaknyelvben meghonosodott egyes fogalmakat, amelyek definíciója az 95/46/EK irányelv értelmező rendelkezései között megjelenik vagy értelmezése annak tartalmából kikövetkeztethető. Ezek rendre: a tiltakozás, az adatzárolás, az adatmegsemmisítés, a személyesadat-nyilvántartó rendszer, az adatállomány, a harmadik személy, a harmadik ország.
Az adattörlés értelmezése - vagyis az adatok felismerhetetlenné tétele oly módon, hogy a helyreállításuk többé nem lehetséges - ugyan megmaradt, de az adatmegsemmisítés (az adatok vagy az azokat tartalmazó adathordozó teljes fizikai megsemmisítése) fogalmának beillesztése még szigorúbb garanciája az adatok további kezelése ellehetetlenítésének. A zárolás az adatok kezelésének a tiltakozási jog érvényesítésével kapcsolatos ideiglenes felfüggesztése.
A számítástechnikai eszközök helyi hálózatba és e hálózatok világhálóra kapcsolása újabb kockázatot jelent a nyilvántartó rendszerekben és az adatállományokban tárolt személyes adatok összekapcsolására nézve. Minthogy ezek kezelésének és összekapcsolásának feltételeiről az Avtv. újonnan beiktatott rendelkezései intézkednek, szükséges volt értelmezésük is, jóllehet a nyilvántartó rendszer értelmezése - "személyes adatok bármely strukturált, funkcionálisan vagy földrajzilag centralizált, decentralizált vagy szétszórt állománya, amely meghatározott ismérvek alapján hozzáférhető" - csupán arra szolgál, hogy mint ilyen, megjelenjék az adatállomány értelmezésében, amely nem más, mint "az egy nyilvántartó rendszerben kezelt adatok összessége".
Az adattovábbítás értelmezése -"ha az adatot meghatározott harmadik személy számára hozzáférhetővé teszik" - mind a mai napig nem változott, ám az Avtv. nem tartalmazta a harmadik személy fogalmát, így elengedhetetlen volt annak definiálása is. Az ugyanis bármely "olyan természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, amely vagy aki nem azonos az érintettel, az adatkezelővel vagy az adatfeldolgozóval".
Mivel EU-taggá válásunkkal egy időben vált hatályossá az a rendelkezés, amely szerint az Európai Unió tagállamaiba irányuló adattovábbítást úgy kell tekinteni, mintha a Magyar Köztársaság területén belüli adattovábbításra kerülne sor, definiálni kellett a harmadik ország mint nem EU-tagország fogalmát, mert az ezekbe irányuló adattovábbítás csak akkor válik jogszerűvé, ha ott a személyes adatok a 95/46/EK irányelvben meghatározott megfelelő (adekvát) védelemben részesülnek.
A 2003. évi XLVIII. törvény hatálybalépésével ezek a jogok - tájékoztatás, helyesbítés, törlés - lényegükben nem változtak, kivéve e jogok korlátozását. A törvényi korlátozást, amelyre a korábbi szöveg szerint "az állam külső és belső biztonsága [...] érdekében, továbbá állami vagy önkormányzati gazdasági vagy pénzügyi érdekből, továbbá az érintett vagy mások jogainak védelme érdekében" kerülhetett sor, EU-taggá válásunkkal egy időben ki kellett terjeszteni azokra a törvényi korlátozásokra is, amelyek "az Európai Unió jelentős gazdasági vagy pénzügyi érdekéből, valamint a foglalkozások gyakorlásával összefüggő fegyelmi és etikai vétségek, a munkajogi és munkavédelmi kötelezettségszegések megelőzése és feltárása céljából - beleértve minden esetben az ellenőrzést és a felügyeletet is" váltak szükségessé.
- 56/57 -
A 2003. évi XLVIII. törvény új alcím alatt és rendelkezésben szabályozza az érintett tiltakozási jogának gyakorlását, amelyet csak az adatkezelést elrendelő törvény korlátozhat vagy tehet lehetővé. Ez a jog akkor gyakorolható, ha az adatok kezelése egyrészt kizárólag az adatkezelő vagy az adatátvevő jogának vagy jogos érdekének érvényesítéséhez szükséges, másrészt közvetlen üzletszerzés, közvélemény-kutatás vagy tudományos kutatás céljára történik.[8] A tiltakozás címzettje az adatkezelő, aki köteles a tiltakozásra a legrövidebb időn belül írásban reagálni, s ha a tiltakozás megalapozott, az adatkezelést megszüntetni vagy zárolni, ellenkező esetben döntése ellen az érintett bírósághoz fordulhat. Ugyancsak bírósághoz fordulhat az az adatátvevő, aki a tiltakozási jog érvényesítése következtében az ő törvényes jogai érvényesítéséhez szükséges adatokat az érintett tiltakozása következményeként az adatkezelőtől nem kapta meg.
Itt ejtünk szót arról, hogy jogvitára ad alkalmat az Avtv. mindmáig nem módosított 6. (1) bekezdése, amely szerint "az érintettel az adat felvétele előtt közölni kell, hogy az adatszolgáltatás önkéntes vagy kötelező". A rendelkezés ugyanis nem jelöli meg, kire vonatkozik a közlési kötelezettség, így azt az Avtv. egyéb rendelkezései tükrében értelmezni kell. Minthogy azonban az értelmező rendelkezések (2. §) szerint az adatkezelési műveletek (9. pont) példálózó felsorolásában az adatok felvétele is szerepel, amely műveletet mint az adatkezelésre vonatkozó döntést az adatkezelő hozza meg, a közlési kötelezettség az adatkezelőre (vagy képviselőjére) vonatkozik. A 95/46/EK irányelv kifejezetten rendelkezik arról, hogy az érintett tájékoztatása az adatkezelő (vagy képviselője) feladata (10. cikk). Az irányelv azonban - főszabály szerint - nem önvégrehajtó (self-executing) jogi norma, az azzal való megfelelésről, vagyis az elvek érvényesüléséről, a belső jognak kell gondoskodnia, ahogyan erről szinte minden irányelv kifejezetten rendelkezik is. A közlési kötelezettség alanyára vonatkozó értelmezésünk lehet, hogy helytálló, lehet, hogy nem, arról - jogvita esetén - csak bíróság dönthet.[9]
Aggályos továbbá az érintettnek a személyes adatai kezeléséhez adott hozzájárulása visszavonása, amely rendkívüli jelentőségű lehet, ha a hozzájárulás érzékeny adatok kezelésére vonatkozik. Az Avtv. expressis verbis, ugyanezzel a fordulattal élve nem rendelkezik arról, hogy az érintett a hozzájárulását visszavonhatja. Ismét értelmeznünk kell az Avtv.-nek "Az érintettek jogai és érvényesítésük" alcím alatt megjelenő, kezdettől fogva változatlan rendelkezéseit. A 11. § (1) bekezdés b) pontja szerint az érintett kérheti személyes adatainak törlését, amelyeket törölni kell, ha az érintett - a 11. § (1) bekezdés b) pontjában foglaltak szerint - kéri [lásd a 14. § (2) bekezdés b) pont]. Értelmezésem szerint ha az adatai törlését kéri, az a korábban adott hozzájárulása visszavonásával egyenértékű.[10] A hozzájárulás visszavonásáról egyébként az irányelv sem rendelkezik. Mindazonáltal ésszerűnek tűnik, hogy az önkéntes beleegyezést vagy hozzájárulást (e két szó egyébként szinonima) bármikor vissza lehessen vonni, hiszen az adatok kezelése csak ekkor minősülhet tisztességesnek [7. § (1) bekezdés a) pont], jóllehet e fordulatnak az értelmezését sem az Avtv., sem az irányelv nem rögzíti. Ennek a hiányát igyekszik pótolni például az adatvédelmi biztosok (ideértve az EU adatvédelmi biztosát) ajánlása, valamint számos szakmai, rendszerint nem kormányzati szervezet, amely időnként ugyancsak ajánlásokat (munkaanyagokat, állásfoglalásokat, emlékeztetőket stb.) tesz közzé a személyes adatok kezelésére vonatkozóan (például az Adatvédelmi Biztosok Nemzetközi Konferenciája, az ón. berlini csoport).
Az Avtv.-t, és, hangsúlyozzuk, kizárólag az Avtv.-t, 2005-ben ismét jelentősen módosította a2005. évi XIX. törvény a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény módosításáról. Indokolása szerint erre a 12/2004. (IV. 7.) AB határozat kötelezte. Az AB (hivatalból eljárva) mulasztásban megnyilvánuló alkotmányellenességet állapított meg, mert a törvényhozó nem biztosította azokat a jogállami garanciákat, amelyek az Avtv. 19. § (5) bekezdésében szabályozott közérdekű adatok megismerését lehetővé teszik. A határozat ugyanakkor elutasította az Avtv. imént említett bekezdése alkotmányellenességének megállapítására és megsemmisítésére irányuló indítványt.
A határozat indokolásának a mulasztásban megnyilvánuló alkotmányellenességet részletező IV. részében - korábbi határozataira hivatkozva - az Alkotmánybíróság rámutat arra, hogy "a közérdekű adatok megismeréséhez való alkotmányos jog, mint
- 57/58 -
a kommunikációs alapjogok egyik nevesített joga [...] nem korlátozhatatlan alapjog ugyan, de a szabad véleménynyilvánításhoz való jog gyakorlásának egyik feltételeként és annak részeként kitüntetett alkotmányos védelemben részesül", mert "a nyílt, áttetsző és ellenőrizhető közhatalmi tevékenység, általában az állami szervek és a végrehajtó hatalom nyilvánosság előtti működése a demokratizmus egyik alapköve, a jogállami államberendezkedés garanciája", továbbá mert a "nyilvánosság próbája nélkül az állam polgáraitól elidegenedett gépezetté, működése kiszámíthatatlanná, előreláthatatlanná, kifejezetten veszélyessé válik, mert az állam működésének átláthatatlansága fokozott veszélyt jelent az alkotmányos szabadságjogokra".
Az Avtv. 19. § (5) bekezdése értelmében "(h)a törvény másként nem rendelkezik, a belső használatra készült, valamint a döntés-előkészítéssel összefüggő adat a kezelését követő húsz éven belül nem nyilvános. Kérelemre az adatok megismerését a szerv vezetője e határidőn belül is engedélyezheti." Maga a rendelkezés tehát nem alkotmányellenes ugyan, ám a közérdekű adatok megismeréséhez való jog "közvetlenül és lényegesen sérül a minden törvényi garanciát nélkülöző, teljesen szabad belátáson alapuló titkosítási felhatalmazással".
A 2005. évi XIX. törvény az alkotmánybírósági határozat indokolásában foglaltaknak messzemenően igyekezett eleget tenni, és számos rendelkezést iktatott be vagy módosított, amelyek garantálják a közérdekű adatok megismeréséhez fűződő alkotmányos alapjog érvényesülését vagy érvényesítése korlátozásának alkotmányos feltételeit, amelyek elengedhetetlenek a kommunikációs alapjogok (szabad véleménynyilvánítás, sajtószabadság stb.) gyakorlásához.[11]
A módosításokat azonban nem csupán a határozatban foglaltak indukálták. A jogalkotó figyelembe vette az internet elterjedésével a közérdekű adatok elektronikus igénylésére megnyíló lehetőséget, pontosította a közérdekű és a közérdekből nyilvános adat fogalmát, s ez utóbbival kapcsolatban az adatvédelmi biztos hatáskörét.
Az 2005. évi XIX. törvény - miután a közérdekű adat és a közérdekből nyilvános adat értelmezését már azt megelőzően is többször módosították - iktatta be az Avtv.-be azoknak a mindmáig változatlan értelmezését. Eszerint "közérdekű adat: az állami vagy helyi önkormányzati feladatot, valamint jogszabályban meghatározott egyéb közfeladatot ellátó szerv vagy személy kezelésében lévő, valamint a tevékenységére vonatkozó, a személyes adat fogalma alá nem eső, bármilyen módon vagy formában rögzített információ vagy ismeret, függetlenül kezelésének módjától, önálló vagy gyűjteményes jellegétől; továbbá közérdekből nyilvános adat: a közérdekű adat fogalma alá nem tartozó minden olyan adat, amelynek nyilvánosságra hozatalát vagy hozzáférhetővé tételét törvény közérdekből elrendeli". Hangsúlyossá vált az eredeti értelmezésből hiányzó közfeladatot ellátó szerv és a személyes adat fogalma alá nem eső adat pontosítása és kezelésének elhatárolása annak módjától és jellegétől. A közérdekből nyilvános adat fogalmát az 2003. évi XLVIII. törvény iktatta be, az 2005. évi XIX. törvény csupán egy tautologikus fordulatot törölt belőle.
Bár a személyes adatok kezelését végző adatkezelő és adatkezelés fogalma korábban többször módosult, az 2005. évi XIX. törvény az értelmezésüket, azáltal, hogy törölte a "személyes adat" fordulatból a "személyes" jelzőt, kiterjesztette az adatok teljes körére, következésképpen mindkét fogalom felöleli a személyes és a nem személyes adatokat is.
Az Alkotmány módosításáról szóló 1989. évi XXXI. törvény 1989. október 23-i kihirdetése óta tartalmazza az alkotmány az állampolgári jogok országgyűlési biztosára, köztük a külön biztosra (s ilyen az adatvédelmi biztos is) vonatkozó rendelkezéseket. E módosítás értelmi szerzői és az Avtv. tervezetének készítői minden bizonnyal ismerték a nyugat-európai országok hasonló törvényeit s az azokban megjelenő ombudsman intézményét. A megnevezés és az intézmény a skandináv országokban jelent meg (Dániában már a XIII. században), az első parlamenti ombudsmant az 1809. évi svéd alkotmány intézményesítette, függetlenítve őt a végrehajtó hatalomtól, feladatául rendelve a polgárok jogainak védelmét. Azóta, főleg a múlt század második felében, a világ számos országában megjelent mint csak a törvénynek alárendelt, az államhatalmi szervektől független ellenőrző-felügyelő szerv, amelynek kötelezési jogosultsága nincs, egyetlen eszköze a nyilvánosság. Különösen jelentős a szerepe manapság, amikor személyes adataink kezeléséről egyre több törvény és alacsonyabb rendű jogszabály rendelkezik, s az adatokat információtechnikai eszközökkel gyűjtik, tárolják és dolgozzák fel. Egy átlagpolgár, legyen bár felsőfokú végzettségű, aligha igazodik el a jogban és a technikában egyaránt. Igen, a technikában is, hiszen az adatokat az esetek túlnyomó többségében automati-
- 58/59 -
záltan, elektronikus információtechnikai eszközökkel kezelik. Éppen ezen segít az adatvédelmi biztos, akinek a végzettségére, képzettségére, szakmai gyakorlatára nézve törvényben előírt szigorú feltételeknek kell megfelelnie, és ezen felül feladatai ellátásához hivatala munkatársai szakértelmét is igénybe veszi.
Figyelemre méltó és felettébb érdekes, hogy az adatvédelmi biztost az Avtv. értelmében az Országgyűlés választja, annak eljárásáról és munkája egyéb feltételeiről azonban az Avtv. eredeti szövege hallgat, ám utal arra, hogy a biztosra az Avtv.-ben foglalt eltérésekkel az állampolgári jogok országgyűlési biztosáról szóló 1993. évi LIX. törvény (Obtv.) rendelkezéseit kell alkalmazni. E tekintetben az Avtv. filius ante patrem volt, hiszen az Obtv.-t az Avtv. kihirdetését követően fogadta el az Országgyűlés, jóllehet az adatvédelmi biztos megválasztását, feladatait stb. szabályozó rendelkezések hatálybalépését az Obtv. hatálybalépésével egy időben határozta meg. Az imént említett fordulat ugyancsak megjelenik az Obtv.-ben, amely szabályozza az országgyűlési biztos és a külön biztosok megválasztását, jogállását, eljárását és intézkedéseit, éves beszámolóját és hivatalát. A két törvény nyilvánvaló kölcsönhatásban áll egymással, hiszen az Obtv. előkészítése előrehaladott állapotban volt már akkor, amikor az Avtv.-t elfogadták. E kölcsönhatás egyik kétségtelen bizonyítéka a két törvénynek az a rendelkezése, amely a biztosokkal szemben támasztott követelményeket rögzíti, egy kivételével megegyezően. Ez az egyetlen kivétel a végzettség: az Obtv jogász végzettséget ír elő, az Avtv. pedig csupán egyetemit. Az Avtv. tervezetének készítője bizonyára - és helyesen - úgy vélte, hogy az adatvédelem őrévé választhatók azok is, akik - egyéb feltételeknek eleget téve - "az adatvédelmet érintő eljárások [...] tudományos elméletében jelentős tapasztalatokkal rendelkeznek és köztiszteletnek örvendenek" (Avtv. 23. §). Ezt a vélekedést igazolja, hogy a Német Szövetségi Köztársaság szövetségi adatvédelmi biztosának sem szükséges jogásznak lennie[12] (s a jelenleg hivatalban lévő biztos sem jogász), s ilyen követelményt a vonatkozó törvények többek között a csehországi hivatal elnökével,[13] az ausztriai[14] vagy a franciaországi bizottság[15] egyes tagjaival szemben sem támasztanak. Mindazonáltal a napjainkig megválasztott mindhárom adatvédelmi biztos jogász végzettségű.
Az adatvédelmi biztos mint külön biztos függetlenségéről az Obtv. rendelkezik: eljárása során független, intézkedését kizárólag az alkotmány és a törvények alapján hozza meg. A függetlenség minden közhatalmi szervtől azért is elengedhetetlen, mert a biztos azok felett is felügyeletet gyakorol.
Az adatvédelmi biztos az Avtv. eredeti rendelkezései szerint klasszikus ombudspersonként működhetett, vagyis ellenőrizte az adatkezeléseket, amelyeket - néhány kivételtől eltekintve - be kellett jelenteni az adatvédelmi nyilvántartásba; kivizsgálta a hozzá érkezett bejelentéseket, felszólíthatta az adatkezelőt a jogellenes adatkezelés megszüntetésére, ám ha az a jogosulatlan adatkezelést nem szüntette meg, csak annyit tehetett, hogy nyilvánosságra hozta a jogellenes adatkezelés tényét, a kezelő személyét és a kezelt adatok körét. A 95/46/EK irányelv ezzel szemben erősebb hatáskörrel ruházza fel a felügyelő hatóságot, amelyeket a 2003. évi XLVIII. törvény épített be az Avtv.-be.
A nyilvánosság tájékoztatásával az adatvédelmi biztos továbbra is élhet, de "ha az adatkezelő vagy adatfeldolgozó a jogellenes adatkezelést (adatfeldolgozást) nem szünteti meg, az adatvédelmi biztos elrendelheti a jogosulatlanul kezelt adatok zárolását, törlését vagy megsemmisítését, illetve megtilthatja a jogosulatlan adatkezelést vagy adatfeldolgozást, továbbá felfüggesztheti az adatok külföldre továbbítását", jóllehet az ellen az intézkedés címzettje bírósághoz fordulhat, de a kifogásolt adatokat a jogerős döntésig zárolni kell.
Az irányelvvel összhangban bővült az adatvédelmi biztos hatásköre az adatvédelmi nyilvántartásba vételt megelőző ellenőrzéssel, amely egyes nagy adatkezelőknél új (országos hatósági, munkaügyi és bűnügyi, pénzügyi szervezetek, közüzemi és távközlési szolgáltatók ügyfeleire vonatkozó) adatállományok feldolgozására vagy új adatfeldolgozási technológia alkalmazására terjedhet ki.
Adatvédelmi felelőst először a polgárok személyi adatainak és lakcímének nyilvántartásáról szóló 1992. évi LXVI. törvény definiálta, mint aki az adott hivatalnál az adatkezelés törvényességét ellenőrzi. A 95/46/EK irányelv szerint a nagy adatkezelőknél belső adatvédelmi felelős jelölhető ki. E lehetőséggel élve új paragrafus beiktatásával a módosítás előírta - mint a személyes adatok védelmének további garanciáját - e felelős kinevezését, valamint (bár az irányelv ilyet nem tartalmaz) a belső adatvédelmi és adatbiztonsági szabályzat elkészítését. A közvetlenül az adatkezelő szerv vezetője alá rendelt belső adatvédelmi felelős elsőrendű feladata az Avtv. és egyéb
- 59/60 -
jogszabályok adatkezelésre vonatkozó rendelkezéseinek érvényesítése.
A 2003. évi XLVIII. törvény következtében az adatvédelmi biztosnak immár ügydöntő hatásköre lett. A biztos az adatkezelőt először ugyan felszólítja a jogsértő adatkezelés vagy adatfeldolgozás megszüntetésére, ám ha az ennek záros határidőn belül nem tesz eleget, a biztos határozatban rendelheti el "a jogosulatlanul kezelt adatok zárolását, törlését vagy megsemmisítését, megtilthatja a jogosulatlan adatkezelést vagy adatfeldolgozást, továbbá felfüggesztheti az adatok külföldre továbbítását". A biztos határozata ellen közigazgatási úton jogorvoslatnak nincs helye, annak felülvizsgálatát az adatkezelő csak jogszabálysértésre hivatkozva kérheti a bíróságtól. A módosítás azonban nem rendelkezett e hatáskör eljárási szabályairól. Ezért a 2005. évi XIX. törvény új paragrafust iktatott be, amely szerint az adatvédelmi biztos eljárására és intézkedéseire az Obtv. rendelkezéseit az Avtv.-ben meghatározott eltérésekkel kell alkalmazni, egyúttal megjelölve az Obtv.-nek azokat a szakaszait, amelyeket viszont nem kell alkalmazni.
Az Avtv. eredeti szövege - mint fentebb szót ejtettünk róla - a "Különleges rendelkezések" című fejezetben már szabályozza a tudományos kutatás céljára felvett vagy tárolt személyes adat kezelésének szigorú célhoz kötöttségét, anonimizálásának követelményét, s mihelyt azt a kutatási cél megengedi, nyilvánosságra hozatalának az érintett beleegyezését igénylő feltételét. Nem tartalmazta viszont a statisztikai célt szolgáló személyes adatok felhasználására vonatkozó szabályokat, ami azért is érdekes, mert az új statisztikai törvény 1993-as parlamenti elfogadását meg kellett előznie az Avtv. kihirdetésének.
A "Különleges rendelkezések" fejezetbe csak a 2005. évi XIX. törvény iktatta be a személyes adatok statisztikai célra való felhasználásának feltételeit rögzítő paragrafust. A statisztika ugyanis az a szakterület, amely a legtöbb, felvétele során személyhez kötött, s kötöttségét olykor a felvételt követően is megőrző, a népszámlálások során az ország valamennyi polgárát érintő adatot kezeli, s bár a statisztikai törvény tartalmaz adatvédelmi rendelkezéseket, indokolt annak a lehető legszigorúbb garanciáit az Avtv.-ben rögzíteni, annál is inkább, mert a jogalkotót erre az 95/46/EK irányelv is kötelezi. Garanciául szolgál a szigorú célhoz kötöttség, amely szerint "az egyedi statisztikai adatok - beleértve a személyes adatokat is - a statisztikai céltól eltérő célra semmilyen módon vagy jogcímen nem adhatók és vehetők át". Rendkívüli jelentőségre tesz szert a statisztikai adatok kezelésének ez a korlátozása, amikor napirendre került az úgynevezett regiszter alapú népszámlálás igénye, amelynek során az adatokat nem az érintettől, hanem az amúgy is rendelkezésre álló nyilvántartásokból gyűjtik.
Az Avtv. módosításai hozzájárultak a két alkotmányos alapjogunk érvényesülését szolgáló szabályok tökéletesedéséhez. A személyes adatok védelmének érvényesüléséről az EU-tagállamok alapjogi szakértői hálózatának[16] tagjai rendszeresen beszámolnak, s beszámolójukat közzéteszik. Az Alkotmánybíróság számos (több tucat) határozata foglalkozik a személyes adatok védelmével és a közérdekű adatok nyilvánosságával, nem is beszélve a bírósági határozatok egyre növekvő számáról. Hasonló a helyzet külföldön is. Nem igazolódik be tehát Scott McNealy, a Sun Microsystems elnök-vezérigazgatója 1999-ben tett kijelentése, mely szerint az adatvédelem halott, sőt, ennek az ellenkezőjét tapasztaljuk. ■
JEGYZETEK
[1] Bővebben lásd Könyves Tóth Pál: Adatvédelem és információszabadság, Világosság, 1990/8-9, 621-629.
[2] Moore törvénye (az első közlés időpontja: 1965): az integrált áramkörökbe foglalt tranzisztorok száma másfél évenként megkétszereződik, miközben méretük és áruk csökken, s hasonló ütemben maga után vonja a digitális elektronikai eszközök, így a számítógépek teljesítményének és tárkapacitásának a növekedését. Az elmúlt évtizedekben ez beigazolódott, s még néhány évig, amíg a nanotechnológia el nem éri fizikai határát, érvényes marad.
[3] "Az Alkotmánybíróság megállapítja, hogy személyes adatok meghatározott cél nélküli, tetszőleges jövőbeni felhasználásra való gyűjtése és feldolgozása alkotmányellenes. Az Alkotmánybíróság megállapítja, hogy a korlátozás nélkül használható, általános és egységes személyazonosító jel (személyi szám) alkotmányellenes. Az Alkotmánybíróság megállapítja, hogy az állami népességnyilvántartásról szóló 1986. évi 10. törvényerejű rendelet, valamint a Minisztertanácsnak e törvényerejű rendelet végrehajtására kiadott 25/1986. (VII. 8.) MT rendelete és a 102/1990. (VII. 3.) MT rendelete alkotmányellenes, ezért a törvényerejű rendeletet és végrehajtási rendeleteit megsemmisíti" [15/1991. (IV. 13.) AB határozat].
- 60/61 -
[4] Titkos minősítését 2005. június 16-án oldották fel.
[5] Adatvédelmi szempontból lényeges a 17. cikk: "1. Senkit sem lehet alávetni a magánéletével, családjával, lakásával vagy levelezésével kapcsolatban önkényes vagy törvénytelen beavatkozásnak, sem pedig a becsülete és jó hírneve elleni jogtalan támadásnak."
[6] A törvénytervezet szövege tanúskodik arról, hogy készítői figyelembe vették az Európa Tanács ETS 108. számú adatvédelmi egyezményében (1981) és az OECD-nek a magánélet védelméről és a személyes adatok határokon átívelő áramlásáról szóló irányelveiben (1980), valamint néhány nyugat-európai ország adatvédelmi törvényében foglaltakat.
[7] Adequacy Decision: 2000/519/EC: Commission Decision of 26 July 2000 pursuant to Directive 95/46/EC of the European Parliament and of the Council on the adequate protection of personal data provided in Hungary.
[8] Lásd 1995. évi CXIX. törvény a kutatás és a közvetlen üzletszerzés célját szolgáló név- és lakcímadatok kezeléséről 9. § "(2) Ha az érintett a név- és lakcímadatainak a kezelését az [...] adott tájékoztatás alkalmával vagy a kutatás későbbi időpontjában megtiltja, azokat kérelmére meg kell semmisíteni, és erről az érintettet írásban tájékoztatni kell."
[9] Lásd a Fővárosi Ítélőtábla 2.Pf.20.747/2009.3. számú ítélete.
[10] A bíróság azonban vita esetén másképp dönthet. Lásd Csongrád Megyei Bíróság 2.Pf.22.789/2008/3. számú ítélet.
[11] Lásd például Halmai Gábor: A kommunikációs jogokról, Médiakutató, 1991. ősz.
[12] Lásd NSZK szövetségi adatvédelmi törvénye 22. §
[13] Karel Neuwirt 2007 óta az Európa Tanács adatvédelmi egyezménye Konzultatív Bizottságának az elnöki tisztét is betölti.
[14] Az Osztrák Szövetségi Köztársaság adatvédelmi törvénye 38. §
[15] Franciaország: törvény az informatikáról, az adatállományokról és a szabadságokról 8. cikk.
[16] Network of fundamental rights experts: az Európai Bizottság 2000-ben hívta életre. A beszámolók letölthetők: http://cridho.cpdr.ucl.ac.be/en/eu_experts_network.
Visszaugrás
