Szabó Máté Dániel és Hidvégi Fanny kommentárja az Európai Unió Bíróságának két adatvédelmi ítéletét elemzi. Az egyik döntés azt állapította meg, hogy az adatvédelmet felügyelő intézmény átszervezése az Európai Unió adatvédelmi irányelvének megsértésével történt, a másikból pedig az következik, hogy az adatmegőrzési irányelvet átültető törvény sérti a magánélethez és a személyes adatok védelméhez való jogot. Mindkét ítélet magyarországi jogalkotást igényelne.
Az Európai Unió Bírósága két adatvédelemmel összefüggő ítéletét hirdetette ki 2014. április 8-án. Közvetve vagy közvetlenül mindkettő érintette a magyar jogrendszert. Az egyik ítélet kifejezetten azt állapította meg, hogy a magyar közjogi rendszer átszabása részeként az adatvédelmi felügyelő hatóság átszervezése az Európai Unió adatvédelmi irányelvének megsértésével történt, a másikból pedig közvetve az következett, hogy egy magyar jogszabály - az adatmegőrzési irányelvet átültető törvény - a magánélethez és a személyes adatok védelméhez való jogot sérti, hiszen az adatmegőrzési irányelv maga is sértette azt. Mindkét ítélet magyar jogalkotási válaszokat igényelne. Az egyik ügyben már tudjuk, hogy erre nincs kilátás, a másikban még nem szállt el teljesen a jogszerűség helyreállításának az esélye.
Ismeretes, hogy a 2011. évi alkotmányozás elsöpörte a független intézmények egy részét, így 2012. január 1-jén az Országgyűlés eltávolította a hivatalából a megbízatási idejét körülbelül félig kitöltő adatvédelmi biztost, Jóri Andrást. Az Európai Unióban a tagállamok alkotmányos berendezkedésének az átalakítása, ennek keretében intézmények függetlenségének a megsértése általában nem vezethet az Európai Unió jogi eljárásaihoz. A bírák nyugdíjkorhatárának a leszállítása ügyében sem a bírák függetlenségének a megsértése miatt marasztalta el a luxemburgi bíróság a magyar államot, hanem azért, mert a korai nyugdíjazást nem megengedhető életkori alapú hátrányos megkülönböztetésnek minősítette. És hasonlóan, a Legfelsőbb Bíróság hivatalából elmozdított elnöke sem azért nyert pert az Európai Emberi Jogi Bíróság előtt, mert bírósági vezető státuszával szükségképpen együtt járó függetlenségét megsértették, hanem mert a bírósági szervezet átalakításával kapcsolatos véleménynyilvánítása miatt hátrány érte, elvesztette az állását. A Magyarországgal szemben a közjogi átalakítások miatt indított jogi eljárások rendre egyéni jogsértéseket voltak hivatottak orvosolni.
Ez alól lehetett volna üdítő kivétel az adatvédelmi biztos idő előtti eltávolításának ügye. A jogsértés, amit a bíróság megállapított, nem egyéni, hanem rendszerszerű: a magyar állam az adatvédelmi ombudsman intézménye megszüntetésének módjával nem a hivatalt betöltő személy jogát, hanem azt az Európai Unió jogrendszere alapján minden tagállamot terhelő kötelezettséget sértette meg, hogy az európai adatvédelmi szabályokat átültető tagállami rendelkezések alkalmazását a rájuk bízott feladatok gyakorlása során teljes függetlenségben eljáró tagállami hatóság felügyelete alá helyezze. Bár az ügy -erről később még lesz szó - nem az új adatvédelmi hatósági intézményrendszer függetlenségének hiányáról szólt, hanem arról, hogy az átszervezés módja, valamint az, hogy ez a hivatalban lévő adatvédelmi biztos megbízatási ideje alatt történt, a függetlenség sérelmét okozta. A magyar államot terhelő, megsértett kötelezettség pedig nem a hivatalban lévő ombudsmant jogosítja, hanem a magyar polgároknak van joguk ahhoz, hogy független intézmény foglalkozzon személyes adataik védelmével.
Az ügy tehát magában hordozta annak lehetőségét, hogy a magyar államot egy bíróság államszervezeti-alkotmányossági követelményekkel szembesítse. A Bizottság 2012-es keresete alapján úgy tűnt, hogy ez mégis elmarad,[1] ám a 2014-ben megszületett ítélet szerint a bíróság visszakanyarította az ügyet az alkotmányos szintre.
Az ítélet mint tényállást rögzíti, hogy Jóri Andrást az Országgyűlés 2008. szeptember 29-én választotta meg adatvédelmi biztossá az 1992. évi LXIII. törvény alapján, és ugyanezen a napon iktatták be tisztségébe. Megbízatása hat évre szólt, így annak 2014 szeptemberében kellett volna lejárnia. Az Alaptörvény Átmeneti rendelkezéseinek 16. cikke alapján azonban megbízatása 2011. december 31-én megszűnt. A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) 2012. január 1-jén kezdte
- 69/70 -
meg tevékenységét, és a miniszterelnök javaslatára a köztársasági elnök Péterfalvi Attilát nevezte ki a NAIH elnökévé, kilenc évre.
A Bizottság először 2012. január 17-én Magyarország részére elküldött levelében, majd a magyar válasz után március 7-én kifejtette, hogy álláspontja szerint a magyar állam megsértette az EU adatvédelmi irányelve (a 95/46 irányelv) 28. cikkének (1) és (2) bekezdését azzal, hogy idő előtt megszüntette a biztos megbízatását. Eredetileg azt is kifogásolta, hogy az új törvény túl tág lehetőséget teremtett a NAIH elnöke megbízatásának megszüntetésére. Magyarország arra hivatkozott, hogy a biztos megbízatásának idő előtti megszüntetése az adatvédelmi felügyelő hatóság magyar modellje átalakításának következménye volt, Jóri András nem kívánta, hogy a NAIH elnökévé kinevezzék, ráadásul Péterfalvi Attila, a jelenlegi elnök megbízatásának idő előtti megszüntetése ellentétes lenne a függetlenségét biztosító jogszabályokkal. Ugyanakkor Magyarország jelezte, hogy módosítja a NAIH elnöke megbízatásának megszüntetésével kapcsolatos rendelkezéseket. Ez meg is történt, ezért ezzel kapcsolatban a jogsértést a Bizottság később megszűntnek tekintette.[2] Mivel Magyarország fenntartotta a biztos megbízatásának idő előtti megszüntetésével kapcsolatos álláspontját, a Bizottság a Bíróság eljárását kezdeményezte. Magyarország kérésére az ügyben a nagytanács hozott határozatot.[3] A Bíróság lehetővé tette az európai adatvédelmi biztos számára, hogy a Bizottság kérelmeinek támogatása végett beavatkozzon.
A Bíróság ítéletének érdemi érvelése abból indul ki, hogy az adatvédelmi irányelv 28. cikkének (1) bekezdése alapján a tagállamok kötelesek létrehozni egy vagy több felügyelő hatóságot, amelyek a rájuk ruházott feladatok gyakorlása során teljes függetlenségben járnak el. Ez a követelmény az elsődleges uniós jogból, nevezetesen az Európai Unió Alapjogi Chartája 8. cikkének (3) bekezdéséből és az Európai Unió Működéséről szóló Szerződés 16. cikkének (2) bekezdéséből is következik. A független felügyelő hatóságok tagállamokban való létrehozatala lényeges eleme az egyének személyes adatok kezelése tekintetében való védelmének.[4] A kereset megalapozottságának megítélése érdekében azt kellett megvizsgálni, hogy ez a követelmény magában foglalja-e a megbízatás eredetileg megállapított időtartama leteltéig való tiszteletben tartásának kötelezettségét.
A kérdést a Bíróság a következőképpen válaszolta meg: a személyes adatok védelmét felügyelő hatóságoknak olyan függetlenséggel kell rendelkezniük, amely lehetővé teszi számukra, hogy feladataik ellátása során külső befolyástól mentesen járjanak el. E függetlenség kizár többek között bármilyen összefonódást vagy bármely más formában jelentkező, akár közvetlen, akár közvetett külső befolyást, amely hatással lehetne határozataikra, és így akadályozhatná a magánélet védelméhez való alapvető jog és a személyes adatok szabad áramlása közötti helyes egyensúly létrehozásában álló feladatuk teljesítését. E funkcionális függetlenség tehát szükséges feltétele annak, hogy e hatóságok megfeleljenek a 95/46 irányelv 28. cikke (1) bekezdésének, azonban önmagában nem elegendő ahhoz, hogy a felügyelő hatóságok védve legyenek bármilyen külső befolyástól. A Bíróság szerint önmagában az a kockázat, hogy az adatkezelést ellenőrző hatóságok döntéseire az őket felügyelő állami hatóságok politikai befolyást gyakorolhatnak, már elegendő akadályát jelenti annak, hogy az előbbiek független módon láthassák el feladatkörüket. Márpedig, ha a tagállamok számára megengedett lenne, hogy a felügyelő hatóság megbízatását az eredetileg megállapított megbízatási idő lejárta előtt megszüntessék, akkor e hatóság fölött megbízatásának gyakorlása közben végig ott lebegne a megbízatás idő előtti megszüntetésének fenyegetése, ami e hatóság politikai hatalomnak való megfeleléséhez vezetne, és ez pedig ellentétes az említett függetlenségi követelménnyel. Mindez akkor is igaz, ha a megbízatás idő előtti megszüntetésére újraszervezés vagy modellváltás eredményeként kerül sor, mivel ezeket is a függetlenség követelménye tiszteletben tartása mellett szabad csak megszervezni. Ilyen helyzetben nem tekinthető úgy, hogy a felügyelő hatóság a részrehajlás legcsekélyebb gyanújától mentesen működhet. A 95/46 irányelv szerinti függetlenségi követelményt ennélfogva szükségképpen úgy kell értelmezni, hogy az magában foglalja azt a kötelezettséget is, hogy a felügyelő hatóságok megbízatásának időtartamát annak leteltéig tiszteletben kell tartani, és a megbízatást csak az alkalmazandó jogszabályokban foglalt szabályok és garanciák tiszteletben tartása mellett lehet idő előtt megszüntetni.
- 70/71 -
Magyarország az ítélet szerint úgy szüntette meg az adatvédelmi biztos megbízatását, hogy nem tartotta tiszteletben a függetlenség törvényi garanciáit. E tekintetben irreleváns, hogy erre az idő előtti megszüntetésre intézményi modellváltás keretében került sor, ez nem teheti a megszüntetést összeegyeztethetővé a felügyelő hatóságok függetlenségével. A tagállamok szabadon határozhatják meg és módosíthatják azt az intézményi modellt, amelyet a felügyelő hatóságaik tekintetében legalkalmasabbnak vélnek. Ennek során azonban figyelemmel kell lenniük arra, hogy nem sérthetik a felügyelő hatóság függetlenségét, amely magában foglalja az e hatóság megbízatása időtartamának tiszteletben tartására vonatkozó kötelezettséget. Es bár az adatvédelmi biztos és a NAIH szervezeti szempontból eltér egymástól, feladatkörük lényegében azonos. Önmagában az intézményi modell megváltoztatása ezért sem igazolhatja objektív módon a biztos megbízatásának az olyan megszüntetését, amely nem tartja tiszteletben a megbízatása időtartamát.
Mindezen megfontolásokra tekintettel a Bíróság megállapította, hogy Magyarország, mivel idő előtt megszüntette a személyes adatok védelmét felügyelő hatóság megbízatását, nem teljesítette a 95/46. irányelvből eredő kötelezettségeit. Magyarország az eljárás során javasolta, hogy a Bíróság korlátozza ítéletének időbeli hatályát, és rendelkezzen úgy, hogy a megállapított kötelezettségszegés nem érinti a NAIH elnökének megbízatását. E kérelmét azonban a Bíróság elutasította.
Az ítélet végrehajtása nehéz helyzet elé állította a magyar államot. Mivel nem tudta visszaforgatni az idő kerekét, az ítélet után már nem tudta meg nem történtté tenni a függetlenség megsértését. A jogsértés irreverzibilisnek bizonyult: az adatvédelmi biztosi hivatal már megszűnt, a helyette működő Nemzeti Adatvédelmi és Információszabadság Hatóság már több mint két éve működött, a volt adatvédelmi biztos más megélhetés után nézett. A függetlenség megsértését ilyen praktikus okokból nem lehetett meg nem történtté tenni, legfeljebb kompenzálni. A magyar kormány által választott megoldás ezt részben szimbolikus, részben anyagi eszközökkel igyekezett megtenni - Jóri Andrással szemben. A vitát rendezni kívánó, a kormány és a volt adatvédelmi biztos közötti megállapodás szerint[5] a kormány nyilvánosan bocsánatot kért Jóritól,[6] és kifizetett neki adómentesen 69 millió forintot, a megbízatási idejének ki nem töltött idejére eső illetménye megváltásaként.
Az ítélet tehát hiába kanyarodott el szerencsésen az egyéni jogsérelem felől a rendszerszintű (a független intézmény jogállását érintő alkotmányos) probléma felé, végrehajtásakor nem történt más, mintha egy egyéni jogsérelmet állapított volna meg az ítélet: az állásától megfosztott személyt kompenzálta az állam anyagilag és szimbolikusan egyaránt.
A magyar közjog történetében ez egyébként nem példa nélküli. A Pénzügyi Szervezetek Állami Felügyelete elnöke megbízatásának idő előtti megszüntetésével kapcsolatos ügyben az Alkotmánybíróság 2004-ben azzal érvelt, hogy az eltávolított elnök sérelme közszolgálati jogvitában orvosolható volt.[7] A különbség azonban a két ügy között jelentős: a PSZÁF-fel ellentétben az adatvédelmi biztos alkotmányos intézményként alapvető jogok védelmére rendelt, független tisztségviselő volt. Megbízatási ideje lejárta előtti eltávolítása tisztségéből elsősorban nem a tisztség betöltőjének, hanem az általa védett alapjogok alanyainak a jogsérelme, hiszen ezen jogok intézményi garanciáját távolították el ezzel az aktussal. Az adatvédelmi biztos függetlenségének jogellenes megsértése a személyes adatok védelméhez való jog intézményi garanciájának jogellenes megsértése volt, ennek kárvallottja tehát valamennyi magyarországi adatalany.
A volt biztos igényének kielégítése egyébként csak akkor jár azzal az eredménnyel, hogy értelmetlenné válik az ítélet rendszerszerű jogsértést megállapító volta, ha ez egyúttal a tényleges, a magyar polgárokat ért jogsérelem orvosolatlanul maradását eredményezi, ha ezzel a Bizottság szemében az ítéletből fakadó kötelezettségét Magyarország teljesítette. Ha így van,[8] az felfogható egy korrupciós ügyként is: a magyarországi adatalanyokat ért jogsérelem - illetve az azzal kapcsolatos európai uniós kötelezettség megsértése - azért nem kerül orvoslásra, mert a jogsértő nem a sérelmet szenvedett adatalanyoktól, hanem valaki mástól - attól, aki szintén áldozata a jogsértésnek, de nem alanya annak a jognak, amit megsértettek - jelentős összegért megváltja a jogérvényesítéstől való elállást. A korrupciós jelző ebből a perspektívából csak első látásra tűnik erősnek: az állampolgárokat ért jogsérelem miatti felelősség alóli
- 71/72 -
mentesülés olyan jogtalan előny, amiért a jogérvényesítésben kulcsszerepet betöltő személynek kifizetett 69 millió forint fejében ér el a magyar állam.
Az ítélet az adatvédelmi biztos intézménye megszüntetésének módjával, nem pedig a helyette létrehozott Nemzeti Adatvédelmi és Információszabadság Hatóság függetlenségével foglalkozott. Ez utóbbinak kérdése azonban - álláspontunk szerint - nem választható el az előbbitől, hiszen kiinduló tézisünk szerint az adatvédelmi biztos megbízatásának megszüntetésére egy olyan intézményi változtatás adott okot, amely átalakításnak a közvetlen eredménye volt a NAIH létrehozatala. Az adatvédelmi biztos függetlenségét a hivatalosan megfogalmazott indokolás szerint azért "kellett" megsérteni, hogy létrehozhassák helyette a NAIH-ot.
Az intézményi átalakítás deklarált célja az Európai Unió jogának való megfelelés, a valódi hatóságként működő adatvédelmi hatóság létrehozása volt. Meggyőződésünk szerint azonban létezett emellett egy hivatalosan nem hangoztatott célja is a jogalkotásnak: a működő független adatvédelmi biztosi intézmény megszüntetése, helyette egy korlátozottabb függetlenséggel rendelkező intézmény létrehozása, és közben a megbízatását töltő adatvédelmi biztos elmozdítása hivatalából, ahogy ez más intézmények vezetőivel, így az Országos Választási Bizottsággal és a Legfelsőbb Bíróság elnökével is megtörtént.
Nem kétséges, hogy az adatvédelmi biztos intézménye nehezen volt összeegyeztethető az Európai Unió által megkívánt független adatvédelmi ellenőrző hatóság koncepciójával, és már az ombudsmani intézmény is számos ellentmondással volt terhelt. Az adatvédelmi biztos jogállása és a korábbi törvény szerinti eljárásai és intézkedései nem igazán feleltek meg egymásnak. Ebből következően az adatvédelmi biztos profiljának tisztítása, mint szabályozási cél valóban indokolt volt. Azonban az EU jogának való megfelelést mint szabályozási célt csak az információs jogok mint alapjogok biztosítékainak a megtartása vagy erősítése mellett lett volna szabad megoldani, visszalépés ezen a területen - ahol a technika fejlődése miatt a jogvédelem állandó hátrálásra kényszerül - nem lett volna szabad megengedni.[9]
Az új adatvédelmi szabályozás pedig azt a ki nem mondott célt, hogy a független adatvédelmi biztos intézményének megszüntetésével egy kevésbé független hatóságot hozzanak létre, megsértve mellesleg a hivatalban lévő biztos függetlenségét is, a szabályozás példásan teljesítette. Abból pedig, hogy az Európai Unió Bírósága csak az utóbbit állapította meg, nem következik, hogy az előbbieket ne lehetne igazolni. Az ítélet valóban nem mondott semmit az elsőként említett ki nem mondott cél megvalósulásáról, vagyis a jelenleg létező NAIH függetlenségéről. Es az is igaz, hogy önmagában szemlélve a NAIH jogállását megállapító szabályokat, nem is nagyon találhatunk kivetnivalót: a hatóság - papíron - rendelkezik mindazokkal az attribútumokkal, amelyek egy független szervtől elvártak: nem utasítható, nem visszahívható, szigorú összeférhetetlenségi szabályok érvényesülnek, költségvetésben viszonylag nagyfokú függetlensége van stb.
Ugyanakkor dinamikájában szemlélve a változást már tehetünk kritikus megállapításokat: a nagyfokú függetlenséggel rendelkező adatvédelmi biztos intézménye helyett létrejött egy független, ám az adatvédelmi biztoshoz mérten korlátozottabb függetlenségű intézmény, ez pedig a leginkább a biztosi tisztségre, illetve a NAIH elnöki pozíciójára való kiválasztási eljárásában mutatkozik meg. Míg az adatvédelmi biztost a köztársasági elnök javaslatára a képviselők kétharmada választotta, a NAIH elnökét a miniszterelnök javaslatára a köztársasági elnök nevezi ki. Ez pedig fontos lehet a függetlenség szempontjából; ugyan mind a korábbi, mind a jelenlegi megoldás szerint volt beleszólása a politikának, és azon belül a kormányzatnak a kiválasztás folyamatába, de míg az adatvédelmi biztos esetében a kormánytöbbség legfeljebb blokkolni tudta a neki nem tetsző jelölt megváltozását, addig a jelenlegi rendszerben abból lesz a hatóság elnöke, akit a miniszterelnök az erre alkalmasak közül kiválaszt.
A függetlenség kérdéskörén belül nem is az államszervezeti értelemben vett, hanem az úgynevezett relatív, tehát az ellenőrzött szervezetektől való függetlenség lehet kérdéses. Ebben a körben az vizsgálandó, hogy milyen hatással van a NAIH működésére, ha mind az adatvédelem, mind pedig az információszabadság tekintetében igen jelentős részben a végrehajtó hatalom tevékenységét ellenőrző szervezet vezetőjének személye a végrehajtó hatalom fejé-
- 72/73 -
től függ, így csak az lehet, akit a miniszterelnök erre a tisztségre kijelöl.
A NAIH első elnökének, Péterfalvi Attilának a kinevezésekor a napi sajtóban megjelent egyes vélemények szerint az új elnök a kormányzattal szemben megértő, a magán-adatkezelőkkel szemben viszont szigorú hatóságot fog vezetni. Tekintsük ezt a továbbiakban hipotézisnek, és vizsgáljuk meg, hogy a NAIH a működése első két évében mennyire volt határozott az állami adatkezelőkkel, azon belül is a kormányzattal szemben, összehasonlítva ezt azzal, hogy a magán-adatkezelőkkel szemben mennyire erélyesen lépett fel.
Ennek a hipotézisnek az igazolása vagy cáfolata módszertanilag komoly nehézségeket okoz, hiszen az erre vonatkozó legfontosabb megállapításokat azon ügyek alapján lehetne megtenni, amely ügyek a széles értelemben vett kormányzat (kormányzati szervek, kormánypártok) vélhetően jogellenes adatkezelését érintették, vagy kormányzati érdekeket szolgáló adatkezelésekről szólnak, de amelyekkel nem volt hajlandó foglalkozni a NAIH. Azonban azoknak az ügyeknek a meghatározása, amelyekben el kellett volna járnia a NAIH-nak, csak szubjektív alapon történhetne, így az elvárt és a tényleges fellépés összehasonlításából nem lehetne objektív következtetéseket levonni.[10]
A hipotézis igazolására vagy cáfolatára ennél alkalmasabb eszköznek tűnik a NAIH adatvédelmi hatósági eljárásában hozott határozatainak és végzéseinek az áttekintése, mégpedig több okból. Egyrészt ez az eljárás egyaránt folytatható magán és állami adatkezelőkkel szemben, így a kétféle adatkezelőt érintő hatósági szigor egymással összehasonlítható. Másrészt azért, mert a NAIH nagyfokú diszkréciót gyakorol a tekintetben, hogy mikor indít ilyen eljárást. Nem "hozott anyagból dolgozik", ezek az eljárások nem állampolgári bejelentések alapján, hanem hivatalból indulnak, általában a NAIH belátásától függ, hogy indít-e ilyen vizsgálatot; a törvény szerint bizonyos esetekben ugyan kötelező ilyen eljárást indítani, de a kötelezettség fennállásának feltételei nem egy esetben széles mérlegelést engednek; és nincsenek az eljárásban a sérelmet szenvedett polgárnak ügyféli jogai, az adatvédelmi hatósági eljárásban csak az adatkezelő és a NAIH szerepel. Harmadrészt az összehasonlítást segíti az is, hogy a jogsértés megállapítása esetén jellemzően az ilyen eljárások számszerűsíthető eredménnyel zárulnak, hiszen a NAIH a jogsértés súlyának megfelelően bírságot is kiszabhat. A kiszabott bírságok összege pedig összehasonlíthatóvá teszi az egyes jogsértések NAIH által vélt súlyosságát. Az is érdekes lehet, hogy mikor dönt úgy a hatóság, hogy bár történt jogsértés, nem tartja szükségesnek a bírság kiszabását.
A NAIH honlapján jelenleg elérhető az összes hatósági eljárást lezáró döntés, határozat és végzés. Egyikük-másikuk anonimizált, ám az adatkezelő állami vagy nem állami jellege kiderül belőlük.
A NAIH eddigi működése alatt, tehát 2012-ben, 2013-ban és 2014 első hét hónapjában[11] lezárt adatvédelmi hatósági eljárásoknak háromnegyedét folytatta le magán-adatkezelővel szemben, az eljárásoknak pedig az egynegyede érintett állami adatkezelőt.[12] A jogsértést megállapító határozatok között már három és félszer annyi határozat állapítja meg magán-adatkezelő jogsértését, mint államiét.[13] Ha a határozatokban kiszabott bírságok összegének átlagos mértékét vizsgáljuk, még nagyobb eltérést találunk: az átlagos bírságok összege a magán-adatkezelők esetében több mint négyszer annyi, mint az állami adatkezelőkre kiszabottak.[14] E harmincegy hónap alatt kiszabott összes bírság 5,17%-át szabta ki a NAIH az állami adatkezelőkre, 94,83%-a jutott a magán-adatkezelőkre.
Hipotézisünk szempontjából ezek az aránytalanságok még akkor is beszédesek, ha tekintettel vagyunk arra, hogy abszolút értékben több nem állami adatkezelő jogsértését sérelmezhetik a polgárok, mint államiét és hogy a hatóság azt is figyelembe vehette, hogy az állami szervekre kiszabott bírságokat közpénzből kell megfizetni, amelyet így az állami adatkezelők közcélú feladatellátásától kell elvonni.
Mindez még csak az állami és a nem-állami adatkezelőket érintő aránytalanságokról szól, de önmagában nem mond semmit arról, hogy a NAIH kíméletesebb-e az igazgatásilag a kormányhoz, vagy politikailag a kormánypártokhoz köthető adatkezelőkkel, és szigorúbb-e azokkal, amelyek esetleg a kormány ellenzékéhez köthetők.
A nem önkormányzati állami adatkezelőket a két év hét hónap alatt összesen négy hatósági eljárás érintette, ezek közül egyben állapított meg a hatóság jogsértést, de bírsággal egyetlen ilyen adatkezelőt sem sújtott.
A másodikként említett, politikai alapú összehasonlítást az önkormányzatokat érintő hatósági eljárások vizsgálatával végezhetjük el. Valamennyi vizs-
- 73/74 -
gált önkormányzat, illetve önkormányzati intézmény esetében megállapított jogsértést a NAIH. Köztudomású, hogy a 2010. évi önkormányzati választáson a kormánypártok jelentős számban szerezték meg helyi önkormányzatok képviselőtestületeiben a többséget, illetve adtak településnek polgármestert. Ennek ellenére a 2012-ben, 2013-ban és 2014 első hét hónapjában adatvédelmi hatósági eljárással érintett, összesen tizenegy helyi önkormányzatból csak négy állt ebben az időszakban FIDESZ-KDNP vezetés alatt, és az egyiket a jogsértés megállapítása mellett nem is kötelezte a NAIH bírság megfizetésére. Ezen a kormánypárti polgármester vezetése alatt álló önkormányzaton kívül egyetlen olyan volt még, amelyet nem bírságolt meg, s az nem Fideszes vezetés alatt állt. Beszédes, hogy a NAIH két olyan fővárosi kerületet is megbírságolt, amelyek ebben az időszakban köztudottan a legerősebb ellenzéki kerületek voltak (XIII. és XX. kerület).
2014-ben volt a legóvatosabb a NAIH az állammal szemben: a tizenegy hatósági határozat között egyetlenegy olyat találunk, amely nem magán-adatkezelőt érintett, hanem egy (egyébként kormánypárti vezetés alatt álló) önkormányzati fenntartásban lévő zeneiskola adatkezelésével foglalkozott. Meggyőződésünk szerint ezek a számok és arányok igazolják hipotézisünket, miszerint az államigazgatási szervvé tett adatvédelmi felügyelő hatóság, amely elnökének személyére a miniszterelnök tesz javaslatot, az állammal szemben nagyobb megértést tanúsít, amiből viszont az következik, hogy az általa vizsgált szervezetekhez képesti relatív függetlenség követelményének bajosan tesz eleget.
Az Európai Unió Bíróságának az adatmegőrzési irányelv érvénytelenségét kimondó ítéletét óriási várakozás övezte a magánszféra védelmével és határaival foglalkozó szakmai közegben, mely várakozásnak a döntés - tartalmát tekintve legalábbis - nagyjából megfelelt. Az ítélet megállapította, hogy az adatmegőrzési kötelezettséget előíró irányelv[15] a magánélet tiszteletben tartásához és a személyes adatok védelméhez fűződő alapvető jogokat oly módon korlátozta, hogy azzal megsértette az arányosság kritériumát, mivel a korlátozás túlterjedt a kitűzött cél eléréséhez feltétlenül szükséges mértéken. A luxemburgi Bíróság az Európai Unió Alapjogi Chartája (Charta) 52. cikk (1) bekezdésében foglalt alapjogi tesztet alkalmazta, figyelemmel az Emberi Jogok Európai Bíróságának gyakorlatára is. Annak ellenére, hogy az ítélet végső következtetésével - azaz az irányelv érvénytelenségével - egyetértünk, véleményünk szerint a Bíróság túl nagyvonalúan kezelte azt a kérdést, hogy az adatmegőrzés irányelvben rögzített módja alkalmas-e az irányelv által kitűzött cél, tehát a bűnüldözés és a terrorizmus elleni harc megvalósítására. Továbbá az ítélet a problémáknak csak az egyikét szüntette meg: az Európai Unió tagállamainak legnagyobb részében továbbra is fennáll a kötelezettség, hogy a telefon-, mobil- és internetszolgáltatók tárolják a felhasználók forgalmi adatait. Azokban az országokban pedig, ahol ez már nem létezik, ott ez a tagállami alkotmánybíróságok[16] vagy egyéb belső szereplők[17] tevékenységének[18] következménye. Magyarországon a kérdés egyelőre rendezetlen, de a megoldás több lehetősége is nyitva áll előttünk.[19]
A Charta 52. cikk (1) bekezdése alapján a Chartában (1) elismert jogok és szabadságok gyakorlása csak (2) a törvény által, és (3) e jogok lényeges tartalmának tiszteletben tartásával korlátozható. Az (4) arányosság elvére figyelemmel, korlátozásukra (i) csak akkor és annyiban kerülhet sor, ha és amennyiben az (ii) elengedhetetlen és (iii) ténylegesen az (iv) Unió által elismert általános érdekű célkitűzéseket vagy mások jogainak és szabadságainak védelmét szolgálja. Itt természetesen nem az Európai Unió Bírósága vagy más bíróságok által alkalmazott arányossági tesztek bemutatásával foglalkozunk, ennek megfelelően az ítélet által a Charta idézett rendelkezése alapján megvizsgált követelmények közül részletesen nem térünk ki minden szempontra.
A magánélet tiszteletben tartásához való jogot a Charta 7. cikke, míg a személyes adatok védelméhez fűződő jogot a Charta 8. cikke ismeri el, így az (1) feltétel természetesen teljesül. Az irányelv által érintett jogra kiterjed a Charta védelme. Ellentétben a megfigyelésekre vonatkozó amerikai jogszabályokkal, az ítélet megjegyzi, hogy a magánélet tiszteletben tartásához való jogba történő beavatkozás fennállásának vizsgálatakor nem az a lényeges, hogy a beavatkozás az érintetteknek milyen kellemetlenséget, sérelmet okozott vagy, hogy a tárolt adatok különleges jellemzőkkel bírnak-e. Ezért a beavatkozást nem is erre alapítja a Bíróság, hanem két másik érvre. Egyrészt a magánélet tiszteletben tartásához való jogba történő beavatkozást valósít meg önmagában az, hogy az arra jogosult nemzeti hatóságok az adatokhoz hozzáférnek. Másrészt a beavatkozás súlyosságát támasztja alá az a körülmény, hogy a tárolt adatok kiterjednek arra, hogy az érintett személy mikor, kivel,
- 74/75 -
hol, milyen gyakorisággal kommunikál és ez, a kommunikáció tartalmának megismerése és rögzítése nélkül is pontos, az érintettek magánéletére vonatkozó következtetések levonását teszi lehetővé.[20]
Az ítélet meg sem említi a Charta azon követelményét, hogy a Chartában foglalt jogok gyakorlása csak a törvény által korlátozható. Nem vizsgálja, hogy az adatmegőrzési szabályok a formális követelmény teljesítésén túl törvényességi szempontból megfelelő garanciákat tartalmaznak-e. Pontosabban ezen garanciák hiányát az arányossági kritériumon belül említi. Ezzel szemben a főtanácsnoki indítvány a Charta 52. cikkének (1) bekezdéséből eredő követelményeit két fejezetben tárgyalja ("A törvényi minőségről"[21] és a "Charta 52. cikke (1) bekezdése értelmében vett arányosságról")[22] és az ítélet által az arányossági követelmény megszegéseként elemzett érvek egy részét az első, azaz a törvényi minőség kritériuma részben fejti ki. Erre példa a tárolt adatokhoz való hozzáférés nem megfelelő körülhatároltsága.[23]
Az ítélet az alapjogokba történő, megállapított súlyos beavatkozás és a lényeges tartalom érintettsége tekintetében nagy jelentőséget tulajdonít annak, hogy az irányelv nem teszi lehetővé a kommunikáció tartalmának megismerését. Továbbá ebből a szempontból megfelelő garanciának tekinti az irányelv adatvédelemre és adatbiztonságra vonatkozó szabályait a 95/46 és a 2002/58 irányelvekre figyelemmel. A szolgáltatók általi adatmegőrzés tagállami szabályozásának harmonizálásán túl az irányelv célja a bűnüldözés és a terrorizmus elleni harc.[24] Ezeket ténylegesen közérdekű célként ismeri el az Európai Unió, így ezek elérése érdekében a magánszférába és a személyes adatok védelmébe történő beavatkozás igazolt lehet.
Az arányossági teszten belül tárgyalja a Bíróság, hogy (1) a beavatkozás alkalmas-e az irányelv által kitűzött cél elérésére,[25] (2) a beavatkozás szükségességét vagy elengedhetetlenségét[26] és azt, hogy (3) a beavatkozás a feltétlenül szükséges mértékre korlátozódik-e.[27]
Az ítélet indokolása kifejezetten sommás a tekintetben, hogy az adatmegőrzés alkalmas-e az irányelv által kitűzött cél, tehát a bűnüldözés és a terrorizmus elleni harchoz való hozzájárulás elérésére. A beavatkozás alapjául szolgáló közérdekű cél elemzésekor megemlíti, hogy a 2002. december 19-én a Bel- és Igazságügyi Tanács (Home Affairs Council) megállapította, hogy az elektronikus hírközlési lehetőségek jelentősen növekedtek és így a hírközlési eszközök használatával kapcsolatos adatok nagy jelentőséggel bírnak. Azaz értékes eszközt jelentenek a bűnüldözés elleni harcban.[28] Az ítélet 49. pontja ismételten megállapítja az elektronikus hírközlési eszközök jelentőségének kétségkívül vitathatatlan növekedését. Az irányelv előírásából adódóan rendelkezésre álló nagy mennyiségű adat az illetékes nemzeti hatóságok számára plusz lehetőséget jelent a bűnügyek felderítésében, ezért a nyomozás során hasznos eszköznek bizonyul. Ebből következik az ítélet szerint, hogy a forgalmi adatok megőrzése alkalmasnak tekinthető az irányelv által kitűzött cél elérésére. A Bíróság hozzáteszi, hogy léteznek különféle elektronikus hírközlési módok, eszközök, amikre nem vonatkozik az irányelv hatálya, illetve amelyek névtelen, beazonosíthatatlan kommunikációt tesznek lehetővé. A Bíróság elismeri, hogy ez valóban korlátozza az adatmegőrzési intézkedésnek bűnüldözési cél elérésére való alkalmasságát, de nem teszi arra alkalmatlanná.[29] Azaz vannak esetek, amelyekben az adatmegőrzési intézkedések alkalmatlanok a bűncselekmény felderítésére és így az irányelv kitűzött céljának elérésére, de ez nem teszi az egész adatmegőrzési kötelezettséget alkalmatlanná.
Az ítélet ezen a ponton utal a főtanácsnoki indítványra, amelynek megállapításaira egyébként ritkán támaszkodik ilyen kifejezett módon. Az indítvány a kérdésben így fogalmaz: "Az a körülmény, hogy a 2006/24 irányelv alkalmazása kikerülhető bizonyos módok használatával, vitathatatlanul jelentősen relativizálhatja a forgalmi és helymeghatározó adatok gyűjtésére vonatkozó rendszer tényleges hatékonyságát, különösen a szervezett bűnözés és a terrorizmus vonatkozásában. Ez azonban nem jelenti azt, hogy az adatgyűjtés- és megőrzés önmagában teljesen alkalmatlan lenne a kitűzött célok elérésére. A Bíróság azt a következtetést nem vonhatja le ez alapján, hogy a mindennapos elektronikus kommunikációhoz kapcsolódó adatok gyűjtése és megőrzése nyilvánvalóan teljesen haszontalan."[30]
Ugyanakkor a Bíróság ítélete az indítvány következő pontját már nem említi, ami éppen arra a követelményre hívja fel a figyelmet, amely szerint a Bizottságnak a tagállamok statisztikái alapján az irányelv alkalmazását az abban foglalt intézkedések hatékonyságára is kiterjedő módon meg kell vizsgál-
- 75/76 -
nia, és ha szükséges, módosításokat kell javasolnia, különösen a megőrizendő adatkategóriák listájára és a megőrzési időszakokra vonatkozóan.[31] A főtanácsnoki indítvány szerint ez az alapjogokba történő beavatkozás elengedhetetlenségének igazolására szolgál. Álláspontunk szerint viszont e statisztikák annak a kérdésnek a megítélésében is kulcsfontosságú szerepet töltenek be, hogy az adatmegőrzés alkalmas-e az alapjog-korlátozás céljának elérésére.
A bűnüldözés során felhasználható, a megőrzési kötelezettség miatt rendelkezésre álló adatok hatékonyságának részletes vizsgálata nélkül a Bíróság megállapításai nincsenek bizonyítékokkal alátámasztva. A Bíróság minden alátámasztás nélkül állapítja meg, hogy az irányelv szerint megőrzendő adatok a súlyos bűncselekmények felderítését teszik lehetővé, hasznosak a bűnügyi nyomozás számára.[32] Épp ellenkezőleg, addig nem lenne szabad mindezt megállapítani, amíg nincs rá bizonyíték a tagállamok által benyújtott statisztikákban. Természetesen az alkalmasság megállapítása nem azt kívánná, hogy minden egyes ügyben pont ezek a tárolt adatok vezessenek sikerhez és minden nyomozás az elkövető személyének felderítésével záruljon. Ugyanakkor az irányelv alapján tárolt adatok általánosságban minden felhasználót érintenek és mindenkinek minden egyes, az irányelv által felsorolt adatfajtáját tárolják, azokhoz az illetékes hatóságok különösebb indoklás nélkül hozzáférhetnek és a személyes adatok kezeléséről való tájékoztatási jog és valódi jogorvoslat sem érvényesül. Mindezeket álláspontunk szerint a Bíróság értékelhette volna a korlátozás alkalmassága körében is, mivel egy ilyen széleskörű alapjog-korlátozás esetén előkérdésnek kellene lennie, hogy a kitűzött cél szempontjából egyáltalán van-e értelme. Ha kiderül, hogy nincs, akkor felesleges további mérlegelést lefolytatni abból a szempontból, hogy az alapjogba való beavatkozás a feltétlen szükséges mértékre korlátozódik-e. Ennek a cikknek nem tárgya, de érdemes megfontolni azt a szempontot, hogy egy hatékonysági elemzés növelheti vagy csökkentheti az intézkedés szakmai illetve társadalmi elfogadottságát is.[33]
Az irányelv 10. cikke előírja, hogy a tagállamok a Bizottságnak elküldjék az éves statisztikát azon esetekről, amelyekben az alkalmazandó nemzeti joggal összhangban az illetékes hatóságok számára információkat nyújtottak, az adat megőrzésének időpontja és azon időpont között eltelt idő tekintetében, amikor az illetékes hatóság az adatok továbbítását kérte, valamint azon esetekről, melyekben az adatok iránti kérelmeket nem tudták teljesíteni. A statisztika tehát nem tartalmaz olyan adatot, ami megmutatja az adatmegőrzés, azaz a magánszféra tiszteletben tartásához és a személyes adatok védelméhez való alapjogok korlátozásának hatékonyságát a kitűzött cél szempontjából. Ebből következik, hogy a Bizottságnak nem áll rendelkezésére olyan adat, ami azt az arányt mutatná, hogy mennyi adat tárolása, hány személyt érintve, hány esetben vezetett a bűnügy megoldásához, hány esetben pedig nem. Továbbá az sem megismerhető, hogy a lekérdezések és az alapjogba való beavatkozással érintettek számához (aminek már abszolútértékét sem kell közölni) képest hány olyan lekérdezés és érintett személy van, akinek adatai csak azért kerülnek a hatóságok birtokába, mert el akarják fedni, hogy valójában ki után nyomoznak, tehát semmilyen kapcsolatban nincsenek - még közvetetten sem - semmilyen bűncselekménnyel. Nem is beszélve arról, hogy a lekérdezésben érintettek nem is feltétlenül gyanúsítottak, hanem például tanúk.
A Bizottság irányelvnek és általában az adatmegőrzésnek szentelt honlapja[34] tükrözi az ítéletet abból a szempontból, hogy bizonyíték nélkül fogad el valósnak állításokat. A weboldal többek között azt állítja, hogy a megőrzött adatok értékes nyomként és bizonyítékként szolgáltak, amik ahhoz vezettek, hogy bűnelkövetőket elítéltek és ártatlanokat felmentettek, amik az adatmegőrzési kötelezettség nélkül lehet, hogy sosem történtek volna meg. A belügyi Főigazgatóság közzétette az irányelv által előírt statisztikákat 2008-tól 2012-ig, valamint egy jelentést, ami az adatmegőrzés szükségességére vonatkozó bizonyítékokat foglalja össze, az Európai Unió különböző tagállamaiban megtörtént esetleírásokat is beleértve.[35] A közzétett statisztikák azonban - az irányelv előírásainak megfelelően - csak a tagállamonkénti lekérdezések számát, az adatfajtánkénti lekérdezések számát és a lekérdezés időpontját mutatják meg. A jelentés célja az volt, hogy a tárolt adatoknak a nyomozás való számára való hasznosságát alátámassza. Kétséges azonban, hogy a jelentés e célnak megfelelt-e, legalább három szempont miatt.
Először is, a Főigazgatóság elismeri, hogy a kvantitatív adatok korlátosak, mivel a bűnügyi statisztikák - beleértve a bűnelkövetések és a megoldott esetek számát - többféle társadalmi és gazdasági ténye-
- 76/77 -
ző eredményei és a bűnözéssel szembeni sikerek nem tulajdoníthatók egy kifejezett intézkedésnek, így például a forgalmi és helymeghatározó adatok tárolásának sem. A nyomozó szervek különféle módszereket alkalmaznak a felderítési ráta meghatározására és a Bizottság szerint az ilyen statisztikák alapján nem lehet megfelelően mérni az illetékes hatóságok hatékonyságát. Továbbá azt is megjegyzi, hogy az irányelv nem lépett elég régen hatályba ahhoz, hogy valódi statisztikai trendek kimutathatók legyenek. Másodszor, a kvalitatív adatok szempontjából a Főigazgatóság is elismeri, hogy a tagállamoknak nem kell bizonyítékot szolgáltatniuk arról, hogy a tárolt adatok hasznosak a súlyos bűncselekmények felderítésekor. Harmadszor pedig, a jelentés csupán eseteket mutat be.[36] Kétségtelen, hogy az óriási mennyiségű forgalmi és helymeghatározó adat tárolása hasznos lehet a nyomozásokkor. Ugyanakkor eddig semmi nem támasztotta alá - sem ez a jelentés, sem más kutatás -, hogy ezért megéri az alapjog-korlátozás árát megfizetni, nem is beszélve az intézkedés egyéb költségeiről.
Az európai uniós és a tagállami jogalkotók, valamint bírósági fórumok igencsak nagyvonalúak abban a tekintetben, hogy az alapjogokba történő beavatkozás súlyosságának fényében az adatmegőrzési intézkedés alkalmas-e az irányelv által kitűzött cél elérésre. Véleményünk szerint a kérdés értelmezhető arányossági problémaként, ahogy az ítélet is teszi, de álláspontunk szerint túl alacsonyan húzza meg a Bíróság annak szintjét, amit az alkalmasságtól megkövetel, pedig az adatmegőrzési kötelezettség már ezen a teszten elbukik.[37]
A beavatkozás szükségességét illetően az ítélet a súlyos bűncselekmények, és különösen a szervezett bűnözés és a terrorizmus elleni küzdelem jelentőségét hangsúlyozza a közbiztonság garantálása körében, aminek hatékonysága nagymértékben függhet a modern nyomozási technikák használatától. A Bíróság hozzáteszi, hogy az érintett alapjogok garanciái ettől függetlenül vizsgálandók, tehát önmagában a közbiztonság elsőrendűsége nem elég hivatkozási alap.
A Bíróság ezen a ponton végzi el az irányelv által előírt adatmegőrzési kötelezettség és a magánszféra, illetve a személyes adatok védelmébe történő beavatkozás részletes vizsgálatát. A Bíróság az alábbi indokok alapján állapította meg, hogy az adatmegőrzési intézkedés túlterjeszkedik az érintett alapjogokba történő beavatkozás feltétlenül szükséges mértékén: (i) az adatmegőrzés bármilyen megkülönböztetés, korlátozás és kivétel nélkül mindenkire és minden adatfajtára vonatkozik, függetlenül attól, hogy ezek kapcsolatba hozhatók-e súlyos bűncselekménnyel;[38](ii) az illetékes hatóságok adatokhoz való hozzáférése és a súlyos bűncselekmény fogalma nem kellően körülhatárolt;[39] (iii) az adatmegőrzési kötelezettség időtartama nem differenciált;[40] (iv) a garanciák hiánya miatt nagy a visszaélések kockázata;[41] és (v) az irányelv nem írja elő, hogy az adatmegőrzés az Európai Unió területén belül történjen.[42]
Annak ellenére, hogy az ítélet megszületését a jogvédő közösség régóta várta, a döntésnek mind a tagállami, mind az európai uniós következményei képlékenyek.
Az ítélet nem rendelkezett a döntés időbeli hatályáról, de az ügyben a Bíróság által kiadott sajtóközlemény[43] világosan kimondja, hogy mivel a Bíróság nem korlátozta a döntés időbeli hatályát, ebből az következik, hogy az érvénytelenség az irányelv hatályba lépésére visszamenőleg fennáll. Ez az értelmezés eltér a Főtanácsnoki Indítvány által körvonalazott lehetőségtől, mely azt a lehetőséget javasolja, hogy tekintsék az irányelvet érvényesnek mindaddig, amíg nem fogadnak el új, olyan európai uniós szabályt, mely orvosolja azokat a hibákat, amik az irányelv érvénytelenségét okozták, és ennek belátható időn belül meg kell történnie.[44]
Világosan látszik, hogy a döntésnek nincs közvetlen hatása a tagállami adatmegőrzési törvényekre. A Bizottság ezzel kapcsolatos álláspontja[45] szerint a tagállami jogszabályok csak abban a tekintetben szorulnak módosításra, amennyiben ellentétesek az ítélet utáni európai uniós joggal. Továbbá, az irányelv érvénytelensége nem törli el a tagállamok jogosultságát, hogy adatmegőrzési kötelezettséget előíró szabályokat fogadjanak el az Elektronikus Hírközlési Adatvédelmi Irányelv (2002/58/EK) alapján.[46]
A döntés első és legközvetlenebb következménye az volt, hogy az adatmegőrzési kötelezettség megszegése miatt folyamatban lévő kötelezettségszegési eljárások, amelyek közül a legismertebb a német példa,[47] értelmüket vesztették és valóban meg is szüntette a Bizottság ezeket.[48] Ebből a szempontból döntő jellegű az a megállapítás, hogy az irányelv érvénytelensége már a hatálybalépés pillanatában fennállt.
Az elkövetkező hónapok előre láthatóan felfokozott időszakot jelentenek majd az európai adatvédelem ügyének életében tekintettel az adatvédelmi reformra, az új Adatvédelmi Biztos kiválasztására és persze az új adatmegőrzési jogalkotási igényre is. Ezen
- 77/78 -
a ponton érdemes megemlíteni az EU és az Egyesült Államok közti, többek között adatvédelmi vonatkozású egyeztetéseket, valamint azt a tényt, hogy az Egyesült Államokban a Snowden-botrány kitörése után[49] pont olyan reformok irányába[50] mozdultak el, amelyeket az Európai Unió Bírósága ebben az ítéletben nem tartott megfelelőnek az alapvető jogok szempontjából.[51] Ebben a helyzetben az Európai Unió jogalkotásáé lesz a kulcsszerep, de amíg ennek eredményei megszületnek, nagyobb jelentősége van a nemzeti kormányok, szabályozó hatóságok, alkotmánybíróságok és különösképpen a mobil- és internetszolgáltatók hozzáállásának ahhoz, ahogy az adatmegőrzési kérdést rendezni kívánják.
A továbbiakban a felsorolt aktorok tagállami megoldásokban betöltött szerepét vázoljuk, különös tekintettel a magyar helyzetre.
Az irányelv érvénytelenségének nincs közvetlen hatása az adatmegőrzési szabályokat előíró tagállami jogszabályokra. Az európai uniós szabályok szempontjából ez magyarázható lehet,[52] de kétséges helyzetet teremt a tagállami jogalkotás számára. Az EU tagállamaiban megannyi adatmegőrzési szabályt előíró jogszabályt fogadtak el. Ezek nyújthatnak nagyobb védelmet az irányelvben előírtaknál, de kisebbet nem. Ez azt jelenti, hogy nem jelenthetnek nagyobb beavatkozást az érintett alapjogokba az irányelvben foglaltaknál. Ugyanakkor ebben ez az esetben az irányelv által biztosított minimum garanciákról állapította meg a Bíróság, hogy azok elégtelenek. Ebből csak az következhet, hogy azok a tagállami jogszabályok, melyek az irányelvben foglalt garanciáknál nem biztosítanak magasabb szintű védelmet az érintett alapjogoknak, nem felelnek meg a Bíróság által lefektetett követelményeknek. Mindaddig, amíg az EU nem fogad el olyan új szabályokat az adatmegőrzési kötelezettségről, amelyek megfelelnek a Bíróság által előírt hatékonyabb biztosítékokat nyújtó követelményeknek, addig a tagállamokat semmi nem kötelezi arra, hogy tiszteletben tartsák a Bíróság megállapításait, azaz a magánszféra tiszteletben tartásához és a személyes adatok védelméhez való alapjogokat. Egységes európai szabályozás hiányában tehát a magánszféra védelmének szintje Európában jelenleg az egyes tagállamok kezében van. Elsősorban tehát a tagállami jogalkotók feladata a helyzet megoldása.
A Bizottság korábban ismertetett álláspontja csak annyi iránymutatással szolgál a tagállamok számára, hogy jogszabályaikat csak akkor kell módosítaniuk, ha ellentétesek az ítélet utáni európai uniós joggal. Továbbá, az irányelv érvénytelensége nem törli el a tagállamok jogosultságát, hogy adatmegőrzési kötelezettséget előíró szabályokat fogadjanak el az Elektronikus Hírközlési Adatvédelmi Irányelv (2002/58/EK) alapján.
Magyarországon az elektronikus hírközlésről szóló 2003. évi C. törvény (Eht.) 159/A. §-a szabályozza az adatmegőrzési kötelezettség részleteit. Anélkül, hogy az intézmény magyarországi történetét kifejtenénk, annyit érdemes megjegyezni, hogy az irányelv által meghatározott opcionális adatmegőrzési periódusból (6 hónaptól 2 év) az Eht. jelenleg a minimális, 6 hónapos adatmegőrzést írja elő. Az irányelvhez képest a magyar szabályozás előnyére írható, hogy a súlyos bűncselekmény fogalma az irányelvhez képest valamivel pontosabban körülhatárolt.
Az ítélet kihirdetése után - talán a 2014-es választási év miatt - nem látott napvilágot komolyabb jogalkotási szándék a téma legutóbb megjelölt felelőse, a Nemzeti Fejlesztési Minisztérium részéről.
Európa-szerte a telekommunikációs szektor szabályozó hatóságai, valamint az információs jogokért felelős hatóságok vannak abban a pozícióban, hogy katalizálják a jogalkotási folyamatot, és közben biztosítsák, hogy az új rendelkezések megfeleljenek a Bíróság által előírt követelményeknek. Mindazonáltal ezek a szereplők a politikai akarattól is függenek vagy függhetnek.
Tudomásunk szerint Magyarországon a Nemzeti Média- és Hírközlési Hatóság nem foglalkozik az adatmegőrzési kérdés jogalkotási konzekvenciáival. Megerősítették, hogy nem fognak szövegjavaslattal előállni.[53] A NAIH sem reagált proaktívan az ítéletre. Egy erről szóló szakmai beszélgetésen visszautasították a részvételt, de közzétették az adatmegőrzéssel kapcsolatos álláspontjukat.[54] Ezt követően a NAIH Seszták Miklós nemzeti fejlesztési miniszternek is írt egy levelet,[55] amelyben részletesen kifejti a Bíróság ítéletének egyes elemeit, valamint a magyar jogszabályokkal való összefüggéseket. Ezt az állásfoglalást eddig nem követte jogalkotási lépés.
Ezzel szemben például Svédországban egészen más történt. A svéd példa megmutatja, milyen eltérő hatósági magatartás következhet a Bíróság ítéletéből. Az ítélet közzététele után négy svéd telekom-
- 78/79 -
munikációs cég[56] úgy döntött, hogy felhagynak az adatmegőrzési tevékenységgel és törlik az aktuálisan tárolt adatokat. Mindez a szolgáltatók kezdeményezésére történt, de kikérték a svéd hírközlési hatóság (PTS) véleményét. A PTS szóvivőjének nyilatkozata szerint megvizsgálták a Bíróság ítéletét, és annak ellenére, hogy a svéd jogszabályokban nem történt változás, nehézkesnek tartották a kikényszerítését és úgy döntöttek, hogy nem lépnek fel az adatmegőrzéssel felhagyó szolgáltatókkal szemben.[57] Ez a helyzet néhány hónapig állt fenn, mígnem a PST tökéletesen felülbírálta korábbi álláspontját és 2014. augusztus közepén újra el nem kezdte érvényre juttatni az adatmegőrzési kötelezettséget.[58] A PTS állítása szerint mindezt a kormány felszólítására tették. A svéd internetszolgáltatók különböző stratégiákat dolgoztak ki az új szituációra. A Tele2 a PTS felszólításának eleget téve újra elkezdte megőrizni a forgalmi és helymeghatározó adatokat. Velük ellentétben a helyi Bahnhof panaszt tett a Bizottságnál arra hivatkozva, hogy Svédország megsérti az európai uniós jogot azzal, hogy nem veszi figyelembe a Bíróság megállapításait. A Bizottság egyelőre nem járt el a kérdésben, de a panaszra adott válaszuk iránymutatásul szolgálhat a többi tagállam számára is a jövőben.
Az eddig említett aktorok (EU-s intézmények, tagállami jogalkotók, szabályozó hatóságok) esetében a tevékenységüket leginkább meghatározó tényező a politikai környezet és akarat volt. Új adatmegőrzési szabályok elfogadására vagy a jelenlegi törvények módosítására irányuló politikai akarat hiányában a legjelentősebb befolyással rendelkező szervek a tagállamok (alkotmány)bíróságai lehetnek.
A Bizottság maga is fontosnak látta kiemelni a tagállami alkotmánybíróságok álláspontját az adatmegőrzési kötelezettségről általában, illetve az irányelv érvénytelenségéről. Egészen tömören összefoglalva megállapítható, hogy bizonyos országokban[59] már kimondta az alkotmánybíróság, hogy az adatmegőrzési szabályok alkotmányellenesek.[60]
Magyarországon a telefonos és internetes forgalmi és helymeghatározó adatokat a szolgáltatóknak fél évig kell megőrizniük. Ez nem vonatkozik a kommunikáció tartalmára, "csak" az időtartamára, a hívó felekre, földrajzi helyzetre, a személyek közötti kommunikáció gyakoriságára, és ehhez hasonló adatokra. Ezekből az adatokból azonban pontos következtetéseket lehet levonni az érintettek magánéletéről, mindennapi szokásairól, utazásairól, társadalmi környezetéről a kommunikáció tartalmának megismerése nélkül is. A leginkább problémás pontok ugyanúgy az érintett személyek és adatok mindenkire és mindenre kiterjedő köre, az adatokhoz való hatósági hozzáférés kontrollálatlansága (beleértve a minimális indokolási kötelezettséget és a valódi jogorvoslat hiányát).
Az alkotmánybíráskodás ma hatályos szabályai szerint a mindezt lehetővé tevő szabályozás csak körülményesen juttatható a testület elé. Az alapvető jogok biztosa azon szándékának hiányában, hogy Alkotmánybíróság elé vigye az ügyet, bonyolult utat kell bejárnia egy aktív állampolgárnak vagy civil szervezetnek. A helyzet abszurditását kiválóan érzékelteti, ezért bemutatjuk az egyes lépéseket:
1. Az internet vagy telefonszolgáltatókat levélben kéri, hogy törölje a tárolt forgalmi és helymeghatározó adatokat.
2. A szolgáltató a hatályos magyar törvényre hivatkozva elutasítja kérelmet.
3. Az érintett adattörlési pert indít a szolgáltató ellen a bíróságon.
4. Az érintett a perben kezdeményezi, hogy a bíróság a per felfüggesztése mellett forduljon az Alkotmánybírósághoz: ennek az előnye, hogy ezt rögtön az elsőfokú eljárásban megteheti és az Alkotmánybíróságnak szigorú határidőn belül döntést kell hoznia.
5. Ha a bíróság erre nem hajlandó, akkor a magyar törvény miatt biztosan elveszíti a kérelmező a pert és nem törlik az adatokat.
6. Fellebbezni kell, a másodfokú eljárásban is pervesztes lesz az érintett.
7. Csak mindezt követően fordulhat végre az Alkotmánybírósághoz.[61]
Mindebből látszik, hogy az adatmegőrzési kötelezettség sorsa rövid távon Magyarországon az ügyekben eljáró bíróknak a kezében van. Diszkrecionális jogkörükbe tartozik annak elbírálása, hogy konkrét normakontrollt kezdeményeznek-e. A kezdeményezés elutasításáról nem kell külön végzést hozniuk, sem indokolniuk döntésüket. Amennyiben az ügyekben eljáró bíróságok mindegyike úgy dönt, hogy nem fordul az Alkotmánybírósághoz, akkor a vázolt eljárások 2-3 évig elhúzódhatnak. Az Alkotmánybíróságot pedig az alkotmányjogi panaszeljárásban nem köti eljárási határidő. Ennek figyelembevételével a legvalószínűbb szcenárió az, hogy ez alatt új uniós szabályozás születik majd.
A szolgáltatók adatmegőrzésben játszott szerepe és ennek megítélése közel sem egyértelmű. Jól tükrözi a helyzet komplexitását a bemutatott svéd példa, de érdemes a magyar viszonyokra is egy pillantást vetni. Kiindulási pontként rögzíthető, hogy bár a telekommunikációs szektorban működő cégek világszerte
- 79/80 -
nem az adatvédelem élharcosai,[62] de a szóban forgó adatmegőrzési probléma megoldásának mégsem ezek tevékenysége jelenti a valódi akadályt. A magyar közjogi rendszer átalakítása eredményezte azt a helyzetet, hogy az Eht. alkotmányossági vizsgálatára csak (legalább egy) szolgáltatón keresztül vezet az út. A szolgáltatóknak óriási anyagi terhet jelent az adatok megőrzése, és a nyomozóhatóságokkal való együttműködés is külön erőforrásokat igényel. A globális trendek közt megfigyelhető, hogy egyes cégek az átláthatóságot és a hatékonyabb adatvédelmet tűzték ki zászlajukra,[63] ami megfelelő üzletpolitika és kommunikációs stratégia lehet tudatosabb ügyfeleik számára. Ugyanakkor ezeknek a cégeknek sem érdeke a nemzeti kormányokkal való viszony ellehetetlenítése.[64] ■
JEGYZETEK
[1] Szabó Máté Dániel: Idegeneket hív magyarok ellen segítségül, Fundamentum, 2012/3, 81-83.
[2] Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény módosításáról szóló 2012. évi XXV. törvény indokolása többek között kifejezetten az Európai Bizottság aggályaival indokolja a törvény módosítását.
[3] C-288/12. számú ügy.
[4] A Bíróság nem először alkalmazta e rendelkezést kötelezettségszegési ügyben. Lásd még Bizottság kontra Németország ítélet, C-518/07, és Bizottság kontra Ausztria ítélet, C-614/10. Az előbbi kiváló magyar nyelvű elemzésére lásd: HüttI Tivadar: Az Európai Bíróság ítélete az adatvédelmi hatóságok függetlenségéről, Jogesetek Magyarázata, 2011/3, 55-62.
[5] A megállapodásról Jóri András nyilatkozatából értesült a nyilvánosság: Lencsés Károly: Bocsánatkérés és 69 millió - erről szólt a megállapodás, Népszabadság, 2014. július 9.
[6] 2014. július 8., kedd 21:30 - Az Igazságügyi Minisztérium közleménye. "Az Európai Unió Bírósága a C-288/12. Bizottság kontra Magyarország ügyben hozott ítéletében megállapította, hogy Magyarország nem teljesítette a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvből eredő kötelezettségeit azzal, hogy dr. Jóri András adatvédelmi biztosi megbízatását idő előtt megszüntette. Az ebből eredő sérelemért az igazságügyi miniszter dr. Jóri András elnézését kéri és sajnálatát fejezi ki. Az igazságügyi miniszter meggyőződése, hogy a magyar adatvédelem magas színvonalának előmozdítása közös cél, amelynek eléréséhez hozzájáruló további szakmai munkásságához dr. Jóri András részére sok sikert kíván."
[7] 7/2004. (III. 24.) AB határozat.
[8] Amikor ez a cikk íródik, 2014. október 21-én nem utal semmi arra, hogy másképp lenne.
[9] Arról, hogy az adatvédelmi biztos intézményének megszüntetése milyen rendszerszerű hiányosságokat eredményezett az alapjogvédelemben, lásd: Szabó Máté Dániel: Az adatvédelmi ombudsman hiánya, Szuverén, 2012. február 23. Elérhető: http://www.szuveren.hu/vendeglap/szabo-mate-daniel/az-adatvedelmi-ombudsman-hianya
[10] Kétségtelen ugyanakkor, hogy többször éppen olyan esetekben maradt el a hatóság fellépése, amelyekben az eljárás elsősorban a kormányzatnak lett volna kellemetlen. Köztudomású, hogy akkor sem indított vizsgálatot, amikor a Kubatov-listák létéről a listakészítést dokumentáló videofilm jelent meg az internetes sajtóban, vagy amikor a kormány 2012. évi ún. gazdasági konzultáció során a törvény szerint számára kapcsolatfelvétel céljából biztosított adatkezelési jogalapot az eredetitől eltérő célra használta (lásd erről: Búcsú az adatvédelemtől, avagy szögeljük le postaládánkat? Az Eötvös Károly Intézet közleménye, 2012. július 5., Elérhető: http://www.ekint.org/ekint/ekint.news.page?nodeid=537). A NAIH a közelmúltban a saját személyes adataik kezelése felől tájékoztatást kérő polgárokat hagyta cserben, amikor azok arra gyanakodtak, hogy az ajánlóíven megadott adataikkal a jelölőszervezetek egymás között kereskedtek, ellopva a választópolgárok identitását (erről lásd: http://index.hu/belfold/2014/03/14/naih_nem_tudhatjuk_meg_hogy_melyik_partok_eltek_vissza_a_nevunkkel). A bíróság - nem jogerősen - azóta a NAIH érvelését egy perben, amelyet egy adatalany indított egy országos egyéni választókerületi iroda ellen, és amiben utóbbi a NAIH érvelését használta, nem tartotta elfogadhatónak. (Fővárosi Törvényszék 31.P.21.479/2014.)
[11] A felmérés idején a NAIH honlapján a legfrissebb adatvédelmi hatósági határozat kelte 2014. július 31. Ezt követően a hatóság honlapjára nem került fel elemezhető határozat. Az adatok ennek megfelelően a teljes 2012-es és 2013-as évre, valamint 2014 első hét hónapjára vonatkoznak.
[12] Nem állami adatkezelővel szemben 45, állami adatkezelővel szemben 16 hatósági eljárást fejezett be a NAIH a vizsgált időszakban. Az itt ismertetett adatok forrása a www.naih.hu oldalon közzétett hatósági eljárásokban hozott határozatok és végzések elemzése. Az elemzésben állami adatkezelőnek tekintettünk minden olyan szervet, amely működésében a közhatalom valamilyen módon megjelenik, vagyis minden állami és önkormányzati szervet, valamint az állami és önkormányzati közintézményeket is. Államinak tekintettük a kizárólagos állami tulajdonban lévő vállalatot is (Magyar Posta Zrt.).
- 80/81 -
[13] Nem állami adatkezelővel szemben 42 esetben, állami adatkezelővel szemben 12 esetben hozott a NAIH ilyen határozatot.
[14] A határozatokban kiszabott bírságok összegének átlagos mértéke a magán-adatkezelők esetében 1 183 553 Ft, míg az állami adatkezelőkre kiszabottaké 272 222 Ft.
[15] Az Európai Parlament és a Tanács 2006/24/EK irányelve a nyilvánosan elérhető elektronikus hírközlési szolgáltatások nyújtása, illetve a nyilvános hírközlő hálózatok szolgáltatása keretében előállított vagy feldolgozott adatok megőrzéséről és a 2002/58/EK irányelv módosításáról.
[16] Magyar nyelven lásd például a német és a román alkotmánybírósági döntések ismertetőit: Hüttl Tivadar - Jovánovics Eszter - Szabó Máté Dániel - Vissy Beatrix: Alkotmánybíróságok az adatmegőrzésről. Adalékok az Alkotmánybíróság számára az adatmegőrzési irányelvet átültető magyar szabályok alkotmányosságáról szóló eljárásához, Infokommunikáció és Jog, 2010/2, 69-73.
[17] Liam Tung: Four of Sweden's telcos stop storing customer data after EU retention directive overthrown, ZDNet, 2014. április 11. Elérhető: http://www.zdnet.com/four-of-swedens-telcos-stop-storing-customer-data-after-eu-retention-directive-overthrown-7000028341.
[18] Lásd Szlovénia Alkotmánybíróságának U-I-65/13-19 számú, 2014. július 3-án kelt határozatát.
[19] Az egyik lehetséges út a Társaság a Szabadságjogokért által vázol út: A TASZ bepereli a Telenort és a Vodafone-t az adatmegőrzés megszüntetéséért. 2014. október 7. Elérhető: tasz.hu.
[20] Az ítélet 26-28. és 32-37. bekezdése.
[21] Cruz Villalón főtanácsnok indítványa, Case C-293/12, 2013. december 12., 108-132. bekezdések.
[22] Uo. 133-152. bekezdések.
[23] Uo. 121. bekezdés és az ítélet 60. bekezdése.
[24] Részletesebben ld. az ítélet 41-44. bekezdéseit.
[25] Az ítélet 49-50. bekezdései.
[26] Az ítélet 51-55. bekezdései.
[27] Az ítélet 56-69. bekezdései.
[28] Az ítélet 43. bekezdése.
[29] Az ítélet 50. bekezdése.
[30] A főtanácsnoki indítvány 137. bekezdése.
[31] Uo. 138. bekezdés.
[32] Az Ítélet 49. pontja.
[33] Álláspontunk szerint hasonló érvelés érvényes a térfigyelő kamerák alkalmazása kapcsán.
[34] Elérhető: http://ec.europa.eu/dgs/home-affairs/what-we-do/policies/police-cooperation/data-retention/index_en.htm
[35] Evidence for necessity of data retention in the EU. Elérhető: http://ec.europa.eu/dgs/home-affairs/pdf/policies/police_cooperation/evidence_en.pdf
[36] "The evidence in this document includes responses to this request, as well as other examples provided before and since the publication of the evaluation report. Below are case studies provided by Member States in order to illustrate the importance of historical data; some of these cases predate transposition of the DRD in the Member State in question. Some cases may be understood as 'negative' examples - that is, examples of where investigations have stalled because of the absence of a data retention requirement. Some examples are more elaborated than others."
[37] Álláspontunk szerint ugyanez lenne igaz a térfigyelő kamerák alkalmazásának alapjogi vizsgálatakor.
[38] Az ítélet 57-59. bekezdései.
[39] Uo. 60-62. bekezdés.
[40] Uo. 63-64. bekezdés.
[41] Uo. 65-67. bekezdés.
[42] Uo. 68. bekezdés.
[43] Elérhető: http://curia.europa.eu/jcms/upload/docs/application/pdf/2014-04/cp140054en.pdf
[44] "It is appropriate, in those circumstances, to suspend the effects of the finding that Directive 2006/24 is invalid pending adoption by the European Union legislature of the measures necessary to remedy the invalidity found to exist, but such measures must be adopted within a reasonable period"; vagy: "E feltételek mellett a 2006/24 irányelv érvénytelenségének megállapításából eredő joghatásokat fel kell függeszteni addig, amíg az uniós jogalkotó megteszi a szükséges intézkedéseket a megállapított jogsértés megszüntetése érdekében, amelynek ésszerű határidőn belül be kell következnie. [Paragraph 158]"
[45] European Commission: Frequently asked questions: the Data Retention Directive (MEMO/14/269), elérhető: http://europa.eu/rapid/press-release_MEMO-14-269_en.htm
[46] "National legislation needs to be amended only with regard to aspects that become contrary to EU law after a judgment by the European Court of Justice. Furthermore, a finding of invalidity of the Directive does not cancel the ability for Member States under the e-Privacy Directive (2002/58/EC) to oblige retention of data."
[47] A 2011/2091. sz. kötelezettségszegési eljárás.
- 81/82 -
[51] Elspeth Guild - Sergio Carrera: The Political and Judicial Life of Metadata: Digital Rights Ireland and the Trail of the Data Retention Directive, CEPS Papers in Liberty and Security in Europe, No. 65/May, 2014.
[52] Judith Rauhofer - Dr Daithí Mac Síthigh: "The Data Retention Directive Never Existed", University of Edinburgh, School of Law, Research Paper Series No 2014/34, Europa Working Paper No 2014/04.
[53] A szerzők szervezésében 2014 júniusában megtartott egyeztetésen elhangzottak szerint.
[54] Elérhető: http://www.naih.hu/files/NAIH-1410-2-2014-J-140606.pdf.
[55] Elérhető: http://www.naih.hu/files/NAIH-1410-4-2014-J-140624.pdf
[56] Telia, Tele2, Three és a Bahnhof.
[57] Elérhető: http://www.zdnet.com/four-of-swedens-telcos-stop-storing-customer-data-after-eu-retention-directive-overthrown-7000028341/
[58] Elérhető: http://www.pcworld.idg.com.au/article/554971/swedish-isp-urges-european-commission-end-illegal-data-retention/
[59] Például Szlovéniában, Németországban és Csehországban.
[60] A Bizottság a korábban hivatkozott "Gyakran Ismételt Kérdések" című dokumentumában kiemeli: "The German Constitutional Court did not consider data retention unconstitutional as such, but found the law transposing the Directive to be unconstitutional since it did not sufficiently limit the circumstances in which law enforcement authorities could access the data, and did not contain sufficient measures to protect retained data against breaches of confidentiality (data security)". Továbbá: "The Czech Constitutional Court annulled the law transposing the Directive on the basis that, as a measure which interfered with fundamental rights, it was insufficiently precise and clear in its formulation".
[61] Egy ilyen eljárás végig vitelére 2014 nyarán a Társaság a Szabadságjogokért vállalkozott, a szerzők mindketten e szervezet munkatársai. A perstratégia elérhető: http://tasz.hu/adatvedelem/tasz-bepereli-telenort-es-vodafone-t-az-adatmegorzes-megszunteteseert
[62] Electronic Frontier Foundation: Who has Your Back? Protecting your Data from Government Requests. Elérhető: https://www.eff.org/who-has-your-back-2014
[63] Rendszeressé vált például az átláthatósági jelentések közzététele - külföldön, ezekben a jelentésekben a távközlési cégek nyilvánosságra hozzák, hogy hány esetben kértek tőlük ügyfelekre vonatkozó adatokat kormányzati szervek, és ebből hány kérést teljesítettek.
[64] Ezt alátámasztja, hogy a Társaság a Szabadságjogokért nem talált olyan partnerre a mobil- és internetszolgáltatók között, aki vállalta volna, hogy bár a jogi helyzet miatt mindenképp alperesi pozícióban, de a civil szervezettel közösen indítványozta volna, hogy a bíróság maga kezdeményezze az adatmegőrzési kötelezettséget előíró törvényi szabályok alkotmányosságának vizsgálatát.
Lábjegyzetek:
[1] A szerzők jogászok, TASZ.
Visszaugrás
