A közigazgatási eljárások időszerűségét az ügyfelek és az állam is az egyik legfontosabb és leginkább kézzel fogható (mérhető) minőségi jellemzőnek tekintik,[437] ezért már-már közhelyszerűnek tűnnek az eljárások gyorsítására vonatkozó javaslatok és ígéretek. Az eljárások bruttó ügytartamának érdemi csökkentésére irányuló javaslatok gyakran széleskörű elektronizációra és az interoperabilitás kiterjesztésére vonatkoznak. Mégis azt tapasztaljuk, hogy olyan több évtizede jól működő eljárásjogi intézmények, mint a (nemzetközi) jogsegély, a jogalkotó törekvése ellenére sem haladnak a technológiai fejlődéssel. Bár a Ket. költséghatékonyságra irányuló rendelkezéseiből eddig is egyértelműen következett volna, mégis elő kellett írni, hogy a megkereséseket főszabályként elektronikusan kell előterjeszteni és teljesíteni, mert a gyakorlatban az interoperabilitási szabályok sem érvényesültek maradéktalanul. A tapasztalatok azt mutatják, hogy ha nincs az adott ügyben alkalmazható két-, vagy többoldalú nemzetközi szerződés, vagy az Európai Unió kötelezően alkalmazandó aktusa, a nemzetközi jogsegély jogintézménye a gyakorlatban olyannyira nem működik, hogy a jogsegély iránti kérelem általában el sem jut a címzetthez. Nem vitatható, hogy az említett körülmények nemcsak alkalmasak arra, hogy az eljárás elhúzódását okozzák, hanem minden esetben arra is vezetnek, hogy a hatóságok a szükséges adatokat akkor is az ügyféltől kérik, ha azzal más állami szerv rendelkezik. Jelenleg egy átlagos közigazgatási eljárásban uniós szervtől, vagy más tagállami hatóságtól pedig még nehézkesebb az információk beszerzése. Különös jelentősége van a tagállamok és az Európai Unió szervei hatékony együttműködésének és információcseréjének az egységes belső piacon az áruk, a személyek, a szolgáltatások és a tőke szabad mozgását szabályozó egyes uniós jogi aktusok alkalmazása során.
- 196/197 -
Nyilvánvaló, hogy erre a közigazgatási hatósági jogalkalmazás egészét sújtó jelenségre illő lenne olyan megoldást kimunkálni, amely képes lenne biztosítani, hogy az információkhoz az egyes hatóságok megfelelően hozzájuthassanak. Ez jelentősen javítaná az eljárások időszerűségét, és segítené a megfelelő ügyintézéshez való jog érvényesülését. A VI. Könyv ennek alapvető szabályait kívánja lefektetni. Kérdés viszont, hogy mindezt közigazgatási eljárásjogi szabályok között kell-e rendezni, továbbá, hogy e szabályok mennyiben tekinthetőek általánosnak vagy gyakran alkalmazhatónak.
A VI. Könyvben olyan kérdéseket szabályoznak, melyek az uniós intézmények, szervek, hivatalok és ügynökségek, valamint a tagállami hatóságok közötti viszonyrendszer figyelembe vétele nélkül nem oldhatók meg. Mivel a tagállamok nagyon gyakran részt vesznek az uniós jogszabályok és szakpolitikák végrehajtásában, a VI. Könyv modellszabályait is úgy dolgozták ki, hogy azok a tagállami végrehajtásra is irányadóak legyenek.[439]
A VI. Könyv a közigazgatás szervek közötti információkezelési tevékenységek egyes formáival foglalkozik, amely lehet a közigazgatási szervek közötti információcsere, vagy a hatóságok számára az egyes adatbázisokhoz biztosított közvetlen hozzáférés.
Az információmenedzsment minden közigazgatási eljárás egyik legmeghatározóbb jellemzője. Az információk megosztása az uniós jog belső piacon belüli decentralizált, mégis hatékony végrehajtásának kulcsfontosságú eleme. Az információkhoz kapcsolódó tevékenységek gyakran olyan összetett döntéshozatali eljárások alapjait adják, amelyeket a II-V Könyvek részben már tárgyaltak. Különösen igaz ez a III. Könyvre, amely széles körűen szabályozza az információgyűjtést, a vizsgálatokat, a meghallgatásokat, a harmadik felek részvételét és a más hatóságokkal folytatott konzultációt.
Ezen túlmenően a kölcsönös segítségnyújtás - ahogyan azt az V. Könyv szabályozza -az uniós közigazgatási jog központi eleme, meghatározó részben tájékoztatásra vonatkozó kölcsönös segítségnyújtás. Ez azt jelenti, hogy a VI. Könyv egyrészt csak a konkrét tájékoztatási tevékenységeket szabályozza, másrészt kiegészíti a többi könyvben meghatározott horizontális szempontokat, amelyek a tájékoztatásra vonatkozó szabályok alkalmazása során problémát okozhatnak. Ezen információk kezelésére vonatkozó különböző rendelkezések elengedhetetlen előfeltételei a megfelelő ügyintézéshez való jog érvényesüléséhez.
- 197/198 -
A megfelelő ügyintézéshez való jog magában foglalja a pártatlan és tisztességes döntéshozatalt is, amelynek előfeltétele, hogy az eljáró hatóság akkor is figyelembe vegye az ügyben releváns tényeket, ha azok az Európai Unión belül más hatóságok nyilvántartásából származnak, vagy az általuk lefolytatott eljárások során kerültek feltárásra.
Jelenleg több uniós jogforrás is megállapít közigazgatási együttműködés keretében információcserére vonatkozó szabályokat, ezek közös jellemzője, hogy az Európai Unió szervei és a tagállamok (illetékes, illetve kijelölt hatóságaik) együttműködésén alapulnak.[440] E szabályok részletesen meghatározzák az információcsere gyakorlati végrehajtásának módjait, így pl. a közvetlen - akár adatbázisokhoz való hozzáférés útján megvalósuló - információcserét, a bejelentési eljárásokat, a riasztási mechanizmusokat, vagy a kölcsönös segítségnyújtást. Ezekhez hasonlóan a ReNEUAL a VI-2 cikk (3) bekezdésében meghatározott adatbázisokhoz - előzetes kérés nélküli - hozzáférést biztosít az Európai Unió és a tagállamok szervei számára. A VI. Könyv hatálya - átfogó megközelítésének köszönhetően - nem szorítkozik az Európai Unió szerveinek információkezelési tevékenységére, hanem a tagállami hatóságokra is kiterjed, vagyis az összetett információkezelési tevékenység bármely formájára vonatkozik. A VI. Könyv bevezetője szerint ezeket a kérdéseket a tagállami közigazgatási eljárásjogi jogok jellemzően csak elhanyagolható mértékben szabályozzák, ezért a nemzeti szabályozással szemben átfogó megközelítést kínál. Alkotói szerint a ReNEUAL VI. Könyve jelen állás szerint kizárólag a közigazgatási szervek közötti információkezelési tevékenységekre szorítkozik, amelyek a II-V. Könyvben szabályozott közigazgatási tevékenységek alapját jelentik, hiszen így a döntéshozatal során visszakövethetőek az azt megalapozó információk. Ez pedig egy fontos hézagkitöltő funkció, amely biztosítja a döntéshozatal során különböző hatóságoktól származó információk felhasználásának bírósági felülvizsgálatát, és elősegíti a Charta 47. cikkében biztosított hatékony jogorvoslathoz való jog érvényesülését.
Figyelemmel arra, hogy a szabályozás kizárólag a közigazgatási szervek közötti információkezelési tevékenységekre fókuszál, vitatható, hogy a VI. Könyv rendelkezései valóban közigazgatási eljárásjogi szabályok volnának.
Sajnálatos továbbá, hogy a VI. Könyv még csak nem is említi az Európai Bizottság egységes digitális belső piac kialakítása érdekében tett erőfeszítéseit. Elengedhetetlen lett volna legalább az ISA-Programra,[441] az Európai Interoperabilitási Stratégiára[442] és az Európai Interoperabilitási Keretrendszerre[443] történő utalás, ugyanis ezek célkitűzései - bár vitathatatlanul nem eljárásjogi megközelítésből - jelentős részben egybeesnek a ReNEUAL VI. Könyvével. Az ISA létrehozásában ugyanis éppen az a felismerés vezette az Európai Bizottságot, hogy a közigazgatási eljárások közismerten hosszadalmasak, időigényesek és költségesek. A közigazgatási szervek közötti elektronikus együttműködés viszont alkalmas lehet arra,
- 198/199 -
hogy ezek az eljárások gyorsabbak, egyszerűbbek és valamennyi érintett fél számára olcsóbbak legyenek, különösen akkor, amikor azok (belső) határokon, illetve ágazatokon átnyúló ügyekre vonatkoznak.[444] Mindezekre tekintettel annál is inkább elengedhetetlen volna, hogy a ReNEUAL az ISA-hoz, EIS-hez és EIF-hez való viszonyulását meghatározza, mert célkitűzéseik azonosak, azonban megoldásaik az eltérő megközelítés és fogalomhasználat miatt nem feltétlenül esnek egybe.
A VI. Könyv egyesíti a strukturális (eljárások, szervezet, közigazgatási szervek közötti kötelezettségek) és az adatvédelmi szabályokat. Ezt azzal indokolja a könyv bevezetője, hogy annak az általános tájékoztatási szabályokba integrálása az adatvédelem hatékonyságát biztosítja, ugyanakkor e rendelkezéseket úgy kellene alkalmazni, hogy azok általános célkitűzéseivel (pl. hatékonyság növelése) összefüggésben ne jelentsen indokolatlan terhet. Ezért - készítői szerint - a VI. Könyv kísérletet tesz arra, hogy megtalálja a megfelelő egyensúlyt, azonban ezt nem az adatvédelmi szabályok megismétlésével éri el, hanem azokat megfelelően hozzáigazítja a közigazgatási szervek közötti információcserével és az adatbázisokhoz való hozzáféréssel kapcsolatban felmerülő problémákhoz és szükségletekhez. Így például lefektették az átlátható (és visszakövethető) információkezelés elvét,[446] amely amellett, hogy elősegíti az információs önrendelkezési jog érvényesülését, egyúttal az információgyűjtés tekintetében a közigazgatási szervek átláthatóságát és együttműködését is erősíti.
Míg az információs önrendelkezés elveinek megfelelően az adatok frissítésére, kijavítására vagy törlésére vonatkozó szabályokat is megállapít a VI. Könyv,[447] addig a rendelkezések jelentős része nem korlátozódik a szorosan vett adatvédelmi kérdésekre, hanem a közigazgatási szervek közötti kapcsolatban az egyes hatóságok - illetve e tevékenységgel összefüggésben az érintett - jogait és kötelezettségeit szabályozza.[448] Emellett előírja a belső adatvédelmi felelősök létrehozását is.[449] Figyelemmel arra, hogy az Európai Unió adatvédelmi szabályo-
- 199/200 -
zásának felülvizsgálata jelenleg folyamatban van, annak eredményéhez képest elengedhetetlen lesz a ReNEUAL Modell Szabályok új előírásokhoz igazítása is.
A személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló rendelet (az ún. általános adatvédelmi rendelet) tervezetét a ReNEUAL publikálását követően, 2015. június 11-én, 9565/15. sz. tanácsi dokumentumban tette közzé az Európai Unió Tanácsa.[450] Az európai adatvédelmi biztos a 3/2015 sz. Az EU adatvédelmi reformmal kapcsolatos lehetőségeiről szóló véleményében amellett, hogy a személyes adatok szigorúbb és hatékonyabb védelme mellett száll síkra, alapvetően más elvi alapokból indul ki.[451] Kifejti, hogy "[n]emcsak az egyes érintettek jogait kívánjuk erősíteni, és az adatkezelők elszámoltathatóságát fokozni, hanem az innovációt is támogatni szeretnénk olyan jogi keretben, amely a technológia tekintetében semleges, a technológia lehetséges társadalmi előnyeihez viszont pozitívan viszonyul."[452] Rámutat továbbá arra is, hogy "[a] z általános adatvédelmi rendelet annak az etikai megközelítésnek a műszaki rajza kell, hogy legyen, mely befogadja a technológiai változások és az innováció társadalmi hasznát, ugyanakkor megóvja az egyéneket a veszélyektől, és feljogosítja őket a kibertérben róluk fellelhető információk feletti rendelkezésre."[453]
A VI. Könyv jelenleg sem az információszabadsággal, sem pedig a hatóságok kezelésében lévő adatok közzétételével kapcsolatos szabályokat nem tartalmaz. Így például nem érinti a környezeti információkhoz való hozzáférés,[454] vagy egyes, a nyilvánosság számára is hozzáférhető térinformatikai adatok - egyébként sem általános, hanem különös - szabályait.[455] Nem tartalmaz olyan rendelkezéseket sem, amelyek az egyes hatóságok közleményeit, különösen pedig azok által kiadott figyelmeztetéseket érintenék.
A VI. Könyv bevezetője szerint az összetett információkezelési tevékenységek jogi keretbe foglalása elengedhetetlen az összetett közigazgatási eljárások információs folyamatának irányításához, és ahhoz, hogy az eljárások részt vevői számára a feladataikat és kötelezettségeiket előre láthatóvá tegye. Az ilyen szabályoknak biztosítaniuk kell az összetett információkezelési tevékenységek átláthatóságát, vagyis, hogy amikor valaki - bármilyen
- 200/201 -
eljárásjogi pozícióban - szembe találja magát ilyen összetett közigazgatási eljárásokkal, azonosítani tudja az egyes részt vevőket, azok kötelezettségeit, és ennek megfelelően meg tudja állapítani felelősségi körüket. E keretnek biztosítania kell továbbá, hogy az összetett információkezelési tevékenységek különböző szakaszai összhangban legyenek az uniós közigazgatási eljárásokban érdekelt, illetve harmadik személyek eljárási jogaival. Az összetett eljárások komplexitása emeli a közigazgatási eljárások színvonalát, azonban ez az összetettség nem mehet az eljárási jogok tiszteletben tartásának rovására. Végül - és talán esetünkben ez a legjelentősebb célkitűzés - az összetett információkezelési tevékenységek jogi keretének olyan megoldásokat kell biztosítania, melyek feloldják az összetett eljárásokkal járó megosztottságból származó ellentmondásokat. Olyan megoldást kell kínálnia a többszintű és egységesített összetett információkezelési tevékenységeknek, amely biztosítja a közigazgatási aktusok hatékonyságát, valamint az eljárásban érintettek jogérvényesítésének és jogvédelmének lehetőségét. A több hatóságot érintő szempontokra figyelemmel elengedhetetlen, hogy a horizontális és vertikális jogszabályi kollízió lehetőségét lecsökkentsék.
Ezekre figyelemmel a VI. Könyv az összetett információkezelési tevékenységekre vonatkozó eljárási szabályokat a megfelelő szervezeti struktúrával egészíti ki. Ezek együtt hivatottak gondoskodni a kielégítő adatminőségről, és szabályozzák a jogszerű információgyűjtés, az információcsere és az információ felhasználásának feltételeit az összetett információs eljárások során.
Úgy vélem, sokkal élesebben fogalmazza meg a tárgyalt szabályok szükségességét a Modell Szabályok koncepciójának összefoglalója, amely szerint az összetett eljárások és a megosztott igazgatás a fő okai annak, hogy az EU miért szorul rá arra, hogy egy egységes közigazgatási eljárási szabályozás garantálja, hogy a címzettek és a harmadik felek jogai és érdekei nem zuhannak az uniós jog alkalmazása során egyfajta "fekete lyukba", vagyis nem kerülnek olyan helyzetbe, amely az uniós szintű és a tagállami szintű felülvizsgálati és felelősségi rendszerek között állnak, ennek pedig egyik nélkülözhetetlen eszköze a közigazgatási szervek közötti információkezelési tevékenységekre vonatkozó szabályozás.[457]
A VI. Könyvben felsorolt indokok az absztrakció igen magas fokán megfogalmazott tételmondatokkal törekednek alátámasztani a szabályozás szükségességét. Nem derül ki azonban, hogy ezen indokok alapján miért ezt az utat, és nem a meglévő hasonló szabályok és rendszerek (pl. a belső piaci információs rendszer) felülvizsgálatában és alkalmazásuk kiterjesztésében, vagy más alternatívák (pl. a korábban említett interoperabilitási megoldások) bevezetésében látják a készítők az azonosított célok elérésének útját.
- 201/202 -
Az információkezelési tevékenységre[459] (information management;[460] gestion de információn[461]) vonatkozó szabályozási normák hamleti kérdése két feltételnek való megfelelés körül forog: egyfelől a szabályozás betartása ne okozzon szükségtelenül nagy terhet a szabályozással érintettek számára, másfelől szükséges figyelembe venni, hogy e normák alkalmazása során figyelembeveendő a jogszerűség (Rule of Law, implicite: Rechtsstaat) követelménye. (Ezek közül a szöveg forrásszerűen csupán a Rule of Law-ra utal, bár a két rezsim közötti szükségszerű eltéréseken - a kontinentális és a common law jogi kultúrákból adódó különbségeken - túl az alkotók nyilvánvalóan leginkább egyetlen problémaszelvényre, a jogszerűségre kívánnak utalni). Ezen felül, nézetünk szerint, háttérként felmerülhet még mindazon viták sora, amelyet a jogszerűség versus hatékonyság témakörében Európában lefolytattak. A témakörben maga a mintakódex is rögzíti azt a tényt, hogy meglehetősen rugalmas az a jogi környezet, amelyet a VI. Könyv szabályozni kíván. Erre a tervezet alkotóinak az a szükségszerű (de nem túl fantáziadús) válasza, hogy a kérdést szabályozó jogi rezsimnek egyszerre kell minden részletre kiterjedőnek (átfogónak), egyidejűleg különbségtételre képesnek és rugalmasnak lennie, úgy azonban, hogy mindemellett igyekeznek csupán néhány minimumszabályt megfogalmazni. A VI. Könyvbe foglalt megfelelő szabályozási normák regulációja azonban (a célokkal szöges ellentétben) áttekinthetetlenül bonyolultra, meglehetősen esetlegesre és kuszára sikeredett, vélhetően a szabályozás alkotóinak akaratával ellentétesen (lásd a VI. IV. (18)-(23) bekezdéseket). Itt a sorrend szerinti első esetként olvashatunk csak sajátos esetekben alkalmazandó információkezelési szabályozási normákról. Második eset a valamennyi információkezelési szabályozási norma esetében alkalmazandó szabály (normaalkotásilag és formállogikailag ez az elem tartozik a szabályozási felsorolás élére, még akkor is, ha csak kis számú eset tartozik ide, hiszen az általánost követheti mindenkor a különös). Külön kategória a VI-2. cikk általi értelemben vett információs rendszer (szoftver, informatikai rendszer, közigazgatási szervek közötti információcserét kiépítő, vagy adatbázist létrehozó szervezeti infrastruktúra) vonatkozásában alkalmazandó szabályok köre. A negyedik esetkör a csak az adatbázisokra alkalmazandó szabályokat tartalmazza. Az ötödik szabályozási kör információszolgáltatási kötelezettséget megtestesítő szabályokra utal, a hatodik fajta normatömeg pedig alternatív szabályozást (legislative option) foglal magában. E szabályok akkor alkalmazhatóak, ha a jogalkotó eze-
- 202/203 -
ket szektorspecifikus jogalkotás keretében alkalmazandó joggá teszi. Az első esetkör (a sajátos esetek) hatelemű felsorolás, ebből két elem olyan, amely nem a normatív szabályozásból van kiemelve, így külön kell említenünk: ez a más hatóságok (leg)teljes(ebb) körű (simple) tájékoztatásának kötelezettsége; valamint az egyszerű szerkezetű tájékoztatási mechanizmus esete. Itt négy ReNEUAL szabályra történik utalás. Ez a második esetben kilenc, a harmadik esetben szintén kilenc, a negyedik esetben tíz, az ötödik esetben csupán két, a hatodik esetben hét mintakódexben írt különböző szabály.
A modelltörvény VI. Könyve a közigazgatás, illetve végső soron az állam működésének egyik alapfeltételét, a megfelelő információk rendelkezésre állásának kérdéskörét érinti. Az állam számos téren végez adatgyűjtési tevékenységet, melynek alapvető célja az, hogy a saját belső viszonyairól minél több információval rendelkezzen. E körben gyűjt és rendszerez egyrészt statikus (pl. természettudományos), másrészt dinamikus (a társadalomra, gazdaságra vonatkozó) adatokat.[463] Ugyanez a tevékenység természetesen megjelenik az Európai Unió egyes intézményeinél, testületeinél, hivatalainál és ügynökségeinél is. Még akkor is, ha ezek az intézmények közvetlenül nem vesznek részt a döntéshozatalban, az általuk gyűjtött, rendszerezett és terjesztett adatok központi szerepet töltenek be a döntéshozatalban. Ennek ellenére az EU információs rendszerein keresztül történő adatcsere és adatfelhasználás jogi keretei nagyrészt hiányoznak, ezt kívánja a VI. Könyv pótolni, illetve nem áll meg ennél, mert a hatályát kiterjeszti a tagállami hatóságok határon átnyúló együttműködéseire is.[464]
Számos olyan terület van ugyanis, amelynek működése során mind az Uniós, mind pedig a tagállami intézmények rákényszerülnek arra, hogy a szükséges információkat egymástól szerezzék meg, ez nem újkeletű dolog, e célt szolgálták a jogsegély intézményének szabályai, illetve nemzetközi szinten is számtalan bi- és multilaterális egyezmény, továbbá a különböző EU jogi aktusok rendeznek ehhez kapcsolódó kérdéseket. A modelltörvény VI. Könyve azonban radikálisan új megoldási javaslatot készített elő ezen a téren azáltal, hogy gyakorlatilag automatikus adathozzáférést biztosít egyes esetekben. Az elképzelés illeszkedik a globálissá váló közigazgatási jog mintáiba. Míg a klasszikus nemzeti jogok döntésorientáltak és erős bírósági kontroll alatt állnak, a közigazgatási jog nemzetközi szintje inkább
- 203/204 -
információkon alapuló, és sokkal inkább jellemzik az informális jellegű kapcsolatok, illetve néhány esetben előfordul a bírói kontroll hiánya is.[465]
A VI. Könyv a tagállamok egymás közötti, az uniós intézmények egymás közötti, illetve a tagállamok és az uniós intézmények közötti - információs rendszerek útján történő - adattovábbítás lehetőségét biztosítja, vagyis alapvetően egy transznacionális, határokon átnyúló információszolgáltatási tevékenységet kíván szabályozni, amely nem kizárólag az érintett szervek által hozzáférhető adatbázisok létrehozatalában és működtetésében nyilvánul meg, hanem minden olyan szoftvert vagy informatikai rendszert, infrastruktúrát magában foglal, ami az információcserét szolgálja. Ezt annyiban érdemes hangsúlyozni, hogy magában hordozza az új, diszruptív technológiák megjelenésére való reagálás lehetőségét is. Kvázi jogsegélynek is tekinthető, jelentős dimenzionális különbséggel, ugyanis eleve egy előzetes kérés nélküli tájékoztatási kötelezettséget foglal magában az egyik oldalról, amire a jogalapot az uniós jog teremti meg, a másik oldalról pedig olyan adatbázisokat feltételez, amihez automatikus hozzáférése van akár az uniós intézményeknek, akár az illetékes tagállami hatóságoknak, így jelentősen leegyszerűsíti az együttműködés feltételeit és módját.
Noha az adatvédelmi kérdések nagyrészt harmonizáltak az EU-n belül, még így is számtalan kockázatot rejt magában egy ilyen egyszerűsítés, nemcsak a személyes adatok kezelésének jogalapját tekintve, hanem például a gazdasági szereplők érdekeinek védelme szempontjából is. A modelltörvény megalkotása során a kodifikátorok figyelemmel voltak a tagállami szabályozásokra mind az adatvédelmet, mind pedig az információkezelést tekintve, azonban ez utóbbi esetben arra a következtetésre jutottak, hogy csak kevés államban található kiterjedt, alapelvi szintű szabályozás, ezért egyik modell sem ültethető át teljes egészében, így egyedi szabályozást dolgoztak ki.[466] Alapvető jelentőségű ezért a megfelelő felhatalmazás megléte és terjedelme, illetve a hatékony kontroll biztosítása. A VI. Könyv ennek megfelelően rendezi az intézmény létrehozatalának jogalapját, a legfontosabb alapelveket, a működés, továbbá a kontroll, a vitarendezés és a jogorvoslat szabályait is.
Garanciális elemként az intézmény működésének előfeltétele a megfelelő jogalap uniós szinten való megalkotása, e felhatalmazás biztosítja tehát a fent említett adattovábbítás lehetőségét. A jogalap meghatározása bármilyen uniós normatív aktusban (basic act) megtörténhet, a könyv kizárólag a jogi kötőerőt emeli ki lényegi elemként, így nincs figyelemmel egyrészt az egyes normatív aktusok megalkotásának szabályaira, vagyis arra, hogy mely intézmények milyen eljárásban hozzák azt meg, másrészt elviekben nem rendelkezik a tagállamok mozgásteréről sem, ami nagy eltéréseket mutathat, elég csak a rendeleti, illetve
- 204/205 -
irányelv útján történő szabályozás különbségeire gondolnunk e körben. A jogalapot keletkeztető aktusnak minimális követelményként meg kell határoznia:
- az érintett információkezelési tevékenység végzésére vonatkozó jogkört vagy kötelezettséget,
- a célt, amelyre az érintett információkezelési tevékenység irányul,
- az illetékes hatóságokat és feladataikat, vagy az ilyen hatóság kijelölésére vonatkozó hatáskört,
- az irányító hatóságot,
- a felügyelő hatóságot,
- az információcseréhez és a tájékoztatáshoz való jogra, illetve az adatok adatbázisban való tárolásához való jogra vonatkozó korlátozásokat,
- az alkalmazandó jogot,
- az információcsere mechanizmusával kapcsolatos konkrét követelményeket, beleértve az információs rendszerek struktúráját és biztonsági követelményeit, és
- a VI. Könyv más cikkeiben meghatározott további szempontokat.
Speciális szabályok vonatkoznak a strukturált tájékoztatási mechanizmust (structured information machanism) létrehozó aktusra, ez foglalja ugyanis magában az érintett hatóságok egymással való kapcsolattartását, kommunikációját jelentő munkafolyamatokat (workflow), így ennek az aktusnak meg kell határoznia a megállapított munkafolyamatok alkalmazását, a formanyomtatványok, szótárak, nyomon követő mechanizmusok és a hálózat tagjai által az adott információk cseréjére és a belső együttműködésre igénybe vett egyéb szabvány instrumentumok használatát is. Mindemellett a strukturált tájékoztatási mechanizmusokat átfogó adatvédelmi keretnek kell szabályoznia.
Ugyanakkor ezzel párhuzamosan a modelltörvény lehetőséget biztosít arra is, hogy külön felhatalmazás nélkül történjen információkezelési tevékenység, ha az az unió hatáskörébe tartozik és olyan pilot projekt végrehajtására szolgál, amely valamely cselekvés megvalósíthatóságának tesztelésére és hasznosságára irányul. Az így megvalósuló információkezelési tevékenység azonban legfeljebb két egymást követő éven át végezhető.
Magának a rendszernek a működéséért az érintett hatóságok felelnek, illetve az együttműködés hatékonysága is az ő felelősségük. Az információkezelést a tagállam által kijelölt hatóság vagy hatóságok végzik, a feljogosított hatóságokról (illetve az illetékes uniós szervekről) a Bizottság a tagállamok tájékoztatása alapján listát vezet, amit minden érintett hatóságnak elküld. Előírható emellett, hogy minden érintett tagállam és az Unió is köteles kapcsolattartó pontot kijelölni.
A szabályozás, illetve a tevékenység feletti kontroll többszintű. Ide tartoznak egyrészt a Bizottság feladatai, azzal a kiegészítéssel, hogy a modelltörvény annyi mozgásteret enged, hogy a Bizottság helyett gyakorolhat kontrollt más, a jogalapot keletkeztető jogi aktust elfogadó szerv is. A szabályozás, illetve a tevékenység feletti kontroll gyakorlásának keretében egyrészt átfogóan értékelni kell az információkezelési tevékenységet, ezt továbbítani kell az Európai Parlamentnek és a Tanácsnak. Az értékelések gyakoriságát a jogalapot keletkeztető aktusban kell meghatározni. Az értékelés a technikai és információbiztonsági kérdéseken
- 205/206 -
túl érinti a két- és többoldalú információcsere működését, illetve a felügyelő hatóság megállapításait is. A kontroll másik területe a személyes adatok védelmének köre, ezen adatok adatbázisokban való feldolgozása tekintetében a nemzeti felügyelő hatóságok és az európai adatvédelmi biztos közös jelentést készítenek, amit rendszeres időközönként elküldenek az Európai Parlamentnek, a Tanácsnak, a Bizottságnak és az érintett irányító hatóságnak vagy ügynökségnek. Ha a jogalkotó az Európai Adatvédelmi Testületet bízta meg a külső felügyelettel, a jelentést a testület készíti el. A rendszer működése emellett rendszeres adatvédelmi ellenőrzés alatt áll.
Kontrollfunkciót tölt még be emellett az irányító, illetve a felügyelő hatóság is. Irányító hatóságot akkor hoznak létre vagy jelölnek ki, ha az információkezelési tevékenységet informatikai rendszer támogatja. Az irányító hatóság az EU IT-ügynöksége is lehet. Az irányító hatóság feladata az adott informatikai rendszer operatív irányítása, e körben nemcsak azért felel, hogy folyamatosan elérhető legyen a rendszer, hanem gondoskodnia kell annak biztonságáról is. A felügyelő hatóság létrehozatalára pedig akkor kerülhet sor, ha az információkezelési tevékenységet információs rendszer támogatja. Információs rendszer alatt valamilyen szoftvert vagy informatikai rendszert, illetve szervezeti infrastruktúrát kell érteni, amely a közigazgatási szervek közötti információcserét támogatja vagy adatbázist hoz létre.
Az adatkezelésre vonatkozó alapelvek közül az átlátható információkezelés elvét, illetve az adatminőség elvét nevesíti a modelltörvény. Rögzíti, hogy az információkezelési tevékenység végzése az átlátható és visszakövethető adatfeldolgozás elvének megfelelően történik. Az informatikai rendszeren keresztül végzett adatkezelési tevékenység során feldolgozott adatokat meg kell jelölni. A jogalapot keletkeztető aktusnak vagy a végrehajtási szabályoknak kell rendeznie, hogy e megjelölés milyen információkat kell, hogy tartalmazzon, de minimumkövetelményeket itt is támaszt a modelltörvény. Eszerint fel kell tüntetni az adatokat gyűjtő, illetve szolgáltató hatóságot, az adatgyűjtés forrását, azt, hogy van-e az adatok cseréjére vagy későbbi felhasználására vonatkozó korlátozás, az adatcserét, az adatbázisban tárolt adatokhoz való hozzáférést, az adatok későbbi felhasználását, minden információkezelési tevékenység jogalapját, továbbá azt, ha vitatják az adatok helyességét, illetve az adatok nem ellenőrzöttek (erre akkor kerülhet sor, ha az információcsere jellege vagy sürgősségi, vagy vészhelyzeti okból előzetesen nem volt lehetőség). Végül minimálisan meg kell jelennie különböző adatok kapcsolódása esetén a kapcsolat megnevezésének, illetve a hatóságnak, amely kérte az összekapcsolást, és a jogalapnak. Az adatminőség tekintetében a modelltörvény az adatokat szolgáltató hatóság felelősségét mondja ki annak biztosításáért, hogy az adatok pontosak, naprakészek és jogszerűen nyilvántartottak legyenek.
Az eddigiekből is láttuk, hogy az adatkezelés kétség kívül az uniós és tagállami jogfejlődés egyik kurrensebb területe. Az infokommunikációs technológiák (ICT) fejlődésével az elektronikusan keletkező adatok megsokszorozódtak. Az adatvédelem, különösen a személyes adatok védelméhez való jog az információs társadalom legérzékenyebb kérdései közé tartozik. Ugyanis ugyanahhoz az adathoz más elvárást fűz a hírközlés, a nemzetbiztonság,
- 206/207 -
a bűnügyi együttműködés, az alkotmányjog, vagy éppen az igazgatási management. Nehéz az érdekek között rendet vágni. Ezzel a problémával viszont nemcsak a tagállamok, hanem az Európai Unió is küzd.
A Javaslat szövege ezen a ponton nemcsak önmagában, hanem nagyobb kontextusban is értelmezendő. Az első kérdés az, hogy van-e helye egy ilyen szabályozásnak az Európai Unió eljárási törvényében? Egyáltalán uniós szabályozási tárgykörről van-e szó? Ha más területet is érint az adatkezelés, akkor esetleg érdemesebb lenne más, szintén adatkezelést érintő szabályokkal együtt egy közös adatvédelmi és adatkezelési standard meghatározása? Milyen mélységű lehet egy közösségi szabályozás ebben a tárgyban?
A Javaslat tárgyi hatálya az adatkezelés elektronikus vetületeire és ezen belül is a hatóságok közötti adatmozgás, illetve a közérdekű adatokhoz való hozzáférés, továbbá a nyilvántartások egyes kérdéseire fókuszál. A szöveg összhangban van az Európai Unió Alapjogi Chartájával, amely a 8. cikkben szabályozza a személyes adatok védelmét.[467] Ez az alapjog szoros kapcsolatban van a magán- és a családi élet tiszteletben tartását megfogalmazó 7. cikkel. Az Alapjogi Charta szerint a személyes adatokat érintő adatkezelés csak tisztességesen és jóhiszeműen, célhoz kötötten, valamint hozzájárulás vagy törvényes ok alapján valósulhat meg.
A Javaslat kifejezetten adminisztratív eszközök oldaláról közelíti az adatvédelem tárgykörét. Célja az, hogy jól strukturált, könnyen kezelhető, gyorsan mozgatható, biztonságos és kellő garanciákkal körülbástyázott adatokkal dolgozhassanak az Unió és a tagállamok szervei. A szöveg az alapjogi Charta 8. cikk 2. bekezdés utolsó fordulatának is meg kíván felelni azáltal, hogy az adattömegeket átláthatóvá és hozzáférhetővé teszi. Ezeknek a céloknak a szöveg alapvetően megfelel. Azt is elmondhatjuk, hogy ez a tervezet - ellentétben sok más jogalkotási szövegtervezettel - kifejezetten alapos, alátámasztott és következetesen hivatkozott munka.
A fenti kérdésekből kitűnő koherenciazavart - mert tulajdonképpen erről beszélhetünk az adatvédelmi szabályozás tekintetében - tehát nem a szövegben, hanem az uniós döntéshozatal további elemeiben kell keressük.
Adatkezelésen belüli különleges adattömeg a hírközlő hálózatok szolgáltatása keretében előállított vagy feldolgozott adatok köre, amellyel kapcsolatban fontos szabályozást tartalmaz (tartalmazott) a 2006/24/EK irányelv. Ezenkívül külön szabályozás készül az e-bizonyítékok (e-evidence) tárgykörében, amely kifejezetten a nemzetközi hátterű bűnszervezetek felderítéséhez tud segítséget nyújtani. Hasonlóan adatkezelési kérdéseket is fog érinteni az "európai ügyész" (EPPO) létrehozandó intézménye, amely immáron közel három éve - nem adatkezelési, hanem egyéb okból - nem tud holtpontjáról elmozdulni. A hírközlési és a büntető együttműködésen túl az Európa 2020 stratégia, és azon belül kifejezetten a Digital Agenda, külön hangsúlyozza a korunknak megfelelő, újabb
- 207/208 -
és újabb technológiai megoldásokat követő (pl. cloud-computing) adatkezelés és -védelem szabályozását. Mindezeken kívül pedig még más uniós szabályozás is vonatkozik e tárgykörre, mint azt alább is látni fogjuk.
Az Európai Unió tehát több megközelítés felől és különböző szervei útján látott neki az európai adatrobbanás megfelelő jogi kezelésének az elmúlt években. Jelenlegi ismereteink alapján némi homokszemeket vélhetünk felfedezni a fogaskerekek között, ha megfigyeljük, hogy az adatkezelés tekintetében eltérő véleményen van a Bizottság, a Tanács és a luxemburgi bíróság. Ezenkívül a 28 tagállam pont ugyanennyi féle adatvédelmi szabályozást alkalmaz. Az pedig már csak hab a tortán (vagy hogy az előbbi képnél maradjunk: szegecs a fogaskerék tengelyén) hogy harmadik országokkal (pl. USA, amely az egyik legnagyobb IT adatbirtokos) való együttműködés is jelentős problémákkal küzd.
Azért, hogy a fenti probléma mélyebb gyökereit közelebbről is megláthassuk, vizsgáljuk meg az említett irányelv és az azt megsemmisítő bírósági döntés problematikáját. A 2004-es madridi és 2005-ös londoni terrortámadásokat követően az Európai Parlament és a Tanács 2006-ban elfogadta a nyilvánosan elérhető elektronikus hírközlési szolgáltatások nyújtása, illetve a nyilvános hírközlő hálózatok szolgáltatása keretében előállított vagy feldolgozott adatok megőrzéséről szóló 2006/24/EK irányelvet, amely egyben a 2002/58/ EK irányelv módosítása is volt. Az irányelv legfontosabb eleme a megőrizendő adatkategóriák pontos megjelölése, illetve az adatok megőrzésének határideje volt. Az irányelvet legkésőbb 2009. március 15-éig kellett minden tagállamnak átültetnie belső jogába. A bizottság 2010-ben megkezdte az irányelv felülvizsgálatát, amely azonban jelentős eredményeket nem hozott. Mára (a Eurojust, az EU legfontosabb igazságügyi ügynöksége által 2015-ben elvégzett felmérés szerint, WK 94/2015 INIT) mindösszesen 13 tagállamnak (köztük hazánknak) maradt fent nemzeti adatvédelmi szabályozása, azonban az adatvédelmi irányelv alkalmazása is a tagállamok kevesebb mint felében látható. Azon tagállamok között, amelyek alkalmazzák az irányelvet, az irányelv adatmegőrzési (hat hónaptól két évig terjedő) határidejét (6. cikk) is teljesen vegyesen, gyakorlatilag együttműködésre alkalmatlan módon harmonizálták.
Ehhez a helyzethez jött hozzá az Európai Bíróság C-293/12 és C-594/12 számú egyesített ügyekben hozott ítélete. A döntés egy ír és egy német adatkezelés kapcsán felmerült bírósági eljárás során került a luxemburgi bírósághoz. A bíróság megállapította, hogy a hírközlési szolgáltatókra vonatkozó adatmegőrzési kötelezettség közösségi szinten jobban szabályozható, ezért az irányelv az adekvát szabályozási szint, valamint a szabályozás célját is megfelelő módon kívánja elérni. Az adatrögzítés tekintetében megállapította, hogy az a magánélet tiszteletben tartásához való alapjogba történő beavatkozásnak minősül, azonban közérdekű célt szolgál, és így a beavatkozás arányos, az eszköz pedig alkalmas az irányelv céljának megvalósítására. Mégis, az adatok megőrzésével kapcsolatban jelentős hibának találta a Bíróság, hogy az irányelv nem követeli meg, hogy kapcsolat álljon fenn a megőrizendő adatok és a közbiztonság elleni fenyegetés között (59). Emellett a Bíróság megfelelő garanciákat hiányolt és olyan objektív szempontokat, amelyek az adatok célszerű felhasználásához szükségesek (60-66). Mindezek alapján a bíróság az irányelvet érvénytelennek mondta ki.
- 208/209 -
A bíróság ítéletéből következik, hogy önmagában az adatok megőrzése már az alapjogi Charta hetedik cikkében biztosított jogokba való beavatkozást valósítja meg. Ez a digitális adatokon kívül nyilván a közigazgatási szervek által rögzített adatokra is hasonlóképpen vonatkozik. Szükséges tehát a megőrzendő adatok körének pontos körülhatárolása, a felhasználás konkrét célja és időtartama, valamint a megismerhetőség és a független felügyelet biztosítása. Mindez azonban akkor éri el a célját, ha nem ütközik más adatvédelmi előírásokkal.
A Bíróság ítéletének kritikája önmagában is megér egy elemzést, hiszen közvetett hatásai is egyre nagyobb hullámokat fognak kelteni az adatvédelmi jogalkotásban - nem minden kritikai él nélkül. Azonban itt mindezektől tekintsünk el, csak az ítélet tényét vegyük figyelembe, és egyik eshetőségként fogadjuk el, hogy az adatkezelés, és különösen az adatok megőrzésére és továbbítására vonatkozó szabályozás közösségi szinten valósítható meg a leghatékonyabban. Ebben az esetben szükség van egy átfogó uniós keretszabályozásra, amely a hírközléstől a bűnügyi együttműködésen át a közigazgatási szervek adatkezeléséig terjedő legfontosabb közös szabályokat tartalmazza. Ha viszont nem fogadjuk a bíróság döntését, amely csak egy irányelv megsemmisítését mondta ki és annak a tárgyi hatályáról nyilatkozott, akkor a tagállami szabályozások kerülnek előtérbe.
Bármelyik fenti változatot is követi az EU döntéshozatal, a Modell Szabályok hatodik könyve átstrukturálásra fog szorulni. Az általános szabályok helyett ugyanis csak a speciális, a közigazgatási nyilvántartásokra és adatkezelésre, a közigazgatási szervek közötti speciális adatkommunikációra vonatkozó szabályokat kellene rögzíteni. Ezek a kérdések viszont a tervezet jelen szövegével kapcsolatban erős bizonytalanságot ébresztenek.
E témakör az előzőhöz hasonlóan a normacsoportosítások mentén halad. A közigazgatáson belüli információcserét (inter-administrative information exchange), összegyűjtve a közigazgatási szervek (hatóságok) kötelezettségeit [VI-4; VI-5; VI-19(4); VI-22; VI-24(2); VI-31(2), (3); VI-40(2), (3)], valamint a szervezeti struktúrákat (VI-6-tól VI-8-ig; VI-14; VI-16; VI-18; VI-30-tól VI-39-ig) tárgyalja. A mintakódex alkotói elkövetik azt a jogalkotástani és formállogikai alapelvekbe, valamint a joglogika alapelveibe ütköző hibát, hogy az adott topikát nem a cím mentén, hanem azzal ellentétesen fejtik ki. (Azaz először kellene a jogokat, majd a kötelezettségeket, aztán a szervezeti struktúrákat kifejteni, bár maga a cím az angol(os) jogi gondolkodásnak megfelel, de a kifejtési sorrend nem csereszabatos, és az ilyen hibával történő találkozás eléggé kedvezőtlen képet fest a mintakódex e része alkotóinak jogi alapműveltségét illetően). A világos felelősségmegosztás követelménye, valamint az átlátható információkezelés követelménye körében a szabályozás helyesen utal a jogbiztonság követelményére, valamint az ellenőrzés és a számonkérhetőség/felelősségre vonhatóság princípiumára a felügyeletet gyakorló hatóság tevékenységi körén belül (VI-31, VI-32). A szabályozás számos eleme érinti személyiségi jogokat (VI-15, VI-19 (3),
- 209/210 -
(5), VI-26, VI-27, VI-32 (3), VI-33, VI-37 (2), VI-38 (1), VI-40 (1). A szabályozás egy más része (amely főleg az adatbázisokra, adattartalmakra vonatkozik), nem testesít meg ilyesfajta jogokat (VI-13, VI-14, VI-16, VI-19 (1), (2), (4), VI-21, VI-24, VI-29. A tájékoztatási kötelezettség alapján történő információcserének jelen szabályozás alapján két fajtája lehetséges: rendes (rendszeres, azaz időről-időre visszatérő, vagyis azonos periódusonként történő), vagy pedig rendkívüli (váratlan esemény vagy alapvető jogot szabályozó jogi norma körében felmerülő esetkör). A váratlan eseményt a szabályozás nem definiálja, de ilyen lehet a vis maior (természeti katasztrófa, polgárháború vagy forradalom). Személyes adatok csak korlátozott esetekben és módon továbbíthatóak (csak szükség esetén és csak az indokolt mértékű - legszükségesebb - személyes adattartalom továbbítható, azaz túllépésnek helye nincs). Az információcsere módjainak alapvető jogát szabályozó jogi norma és tagállami végrehajtási szabály is meghatározhatja. A szabályozás öt értesítési típust ismer, ezek tartalmát a szabályozás ehelyütt nem fejti ki részletesen: sürgősségi értesítések, szabvány riasztási értesítések, egyszerű tájékoztató értesítések, intézkedést igénylő tájékoztató értesítések és már meglévő, értesítésre válaszoló, nyomon követési értesítések. Az információcsere formáját a mintakódex alapvetően az elektronikus úton történő formában jelöli meg. Különleges és kellően indokolt (azaz utilis) esetekben ettől el lehet térni. Ezt a "más formát" a szabályozás nem nevesíti, de történhet elvileg bármely eszköz (hivatalos postai levélküldemény, távbeszélő/telefon, távmásoló/telefax stb.) útján is.
Az adatbázisok létrehozatala, vezetése, adatok bevitele célhoz kötötten, jogszabályban meghatározott módon lehetséges.[469] Az adatok tárolási idejére a VI-26 és VI-27. cikkek adnak támpontot (amíg az adatgyűjtés céljának elérése szükséges, de legfeljebb három év, ennél hosszabb időtartam csupán folyamatosan felülvizsgált körülmények között és rendkívül indokolt esetben engedhető meg).
A szabályozás bekezdései rendre az alábbi kérdéseket szabályozzák a tárgyat illetően: az ellenőrzést foganatosító hatóság; az ellenőrzés határideje; valamint az ellenőrzés tartalmisága. Az ellenőrzést foganatosító hatóság tüzetesen meghatározva nincsen. Csupán annyit rögzít a szabályozás, hogy különálló ellenőrző hatóság előzetes ellenőrzést (azaz folyamatba épített, vagy ex ante vagy a priori ellenőrzést) végez.[470] A különálló ellenőrző hatóság lehet a VI-30. cikk szerinti felügyelő hatóság is. A jogszabály határidőt állapít meg az ellenőrzés végzésére. Amennyiben ez nem történik meg, az ellenőrző hatóság ennek a kötelezettségének a lehető legrövidebb időn belül köteles eleget tenni. Ezt az adatok ellenőrzésére nyitva álló, lehető legrövidebb határidőt a szabályozás nem nevesíti pontosan. Magyarországon a Ket.
- 210/211 -
2005-ös hatályba lépése előtt ez a legrövidebb határidő (melyet a jogszabályok az "azonnal" vagy "nyomban" szóval fejeztek ki) közigazgatási szakmai szokás alapján három munkanap volt. Amennyiben az adatok közlése (közzététele) előtti előzetes ellenőrzés nem lehetséges (sürgősségi vagy vészhelyzeti időbeli korlátozás esetén), úgy e tényt az adatszolgáltató hatóság jelezni tartozik ("nem ellenőrzött" jelzés felismerhetővé tételével). Az ellenőrzésre vonatkozó szabályokat jogszabály határozza meg. Ennek hiányában az ellenőrző hatóság vizsgálata az információk teljességére, formai pontosságára, helyességére (nyilvánvaló helytelenségének hiányára), és az adattartalom olvasható voltára terjedhet ki.
A közigazgatási (hatósági) eljárások tekintetében kardinális jellegű kérdésnek tekinthető az információkezelésre vonatkozó jogi rezsim, amely tény alapvetően három tényezőre vezethető vissza. Ebben a körben első helyen szükséges kiemelni - általános értelemben - a technikai fejlődést, illetve annak a hatósági működésre gyakorolt hatását: nem szorul igazolásra, miszerint az informatikai robbanás nem hagyja (nem is hagyhatja) érintetlenül a közigazgatást, az új technológiák alkalmazása egyszerre lehet alkalmas az eljárások gyorsítására és az érintettek újfajta participációjának kialakítására. Tekintettel azonban a különböző informatikai rendszerek által kezelt adatok volumenéből és jellegéből fakadó veszélyre, indokoltnak tűnik néhány garanciális jellegű előírás rögzítése az információkezeléssel összefüggésben.
A vonatkozó joganyag elhelyezése a Modell Szabályok között abból a szempontból is helyeselhető, mivel az információk kezelése szoros összefüggést mutat az érintettek eljárásban való részvételével és - a legáltalánosabb értelemben - a tájékoztatáshoz való joggal. Az információkezelésnek ezen túlmenően egyes alapjogi aspektusai is kiemelhetők, amely tény szintén részletes, garanciákat biztosító szabályozásért kiált. Megfelelően érzékelteti ezt az Európai Unió Alapjogi Chartájának 8. cikke, amelynek értelmében "[m]indenkinek joga van a rá vonatkozó személyes adatok védelméhez", továbbá "[a]z ilyen adatokat csak tisztességesen és jóhiszeműen, meghatározott célokra, az érintett személy hozzájárulása alapján vagy valamilyen más, a törvényben rögzített jogos okból lehet kezelni. Mindenkinek joga van ahhoz, hogy a róla gyűjtött adatokat megismerje, és joga van azokat kijavíttatni."[472]
Megjegyzendő továbbá az is, hogy az ún. adatvédelemre vonatkozó szabályozás kialakításakor a jogalkotónak két - eltérő természetű - érdek között kell megteremtenie az egyensúlyt, nevezetesen az információs önrendelkezés és az információszabadság között. Erre vezethető vissza az a tény, hogy a különböző tagállamok nemzeti jogrendszereiben is elválik egymástól a személyes adatok védelmét, illetve a közérdekű adatok nyilvánosságát biztosító jogi rezsim.[473] A Modell Szabályokat kidolgozó munkacsoport alapvetően három témakört érintett, így a vonatkozó joganyag is ennek megfelelően tagolható: az információkezelés
- 211/212 -
technikai és szervezeti oldala, az adatkezeléssel kapcsolatban született közigazgatási aktusok elleni fellépés, valamint az adatvédelem és az információszabadság összehangolása különíthető el ebben a tekintetben.[474]
A Modell Szabályok között az információkezelésre vonatkozó rendelkezések élén generális előírás található, amelynek értelmében "[a]z adatokat szolgáltató hatóság az alkalmazandó adatvédelmi jogszabálynak megfelelően tájékoztatja az érintett személyt a rá vonatkozó adatok tárolásáról és feldolgozásáról." a citált rendelkezés tehát egyértelműen a hatóság kötelezettségeként rögzíti a tájékoztatás nyújtását, míg "az alkalmazandó adatvédelmi jogszabályoknak megfelelően" fordulat az adatkezelésre vonatkozó adatvédelmi jogszabály szerinti tájékoztatásra vonatkozik. Látható tehát, hogy a Modell Szabályok nem anyagi adatvédelmi minimumot határoznak meg, hanem az adatkezelő hatóság számára írnak elő kötelezettséget, az érvényben lévő anyagi jogi rendelkezéseknek megfelelően. A hatósági gyakorlat orientálása és az érdemi tájékoztatás nyújtásának biztosítása érdekében került be a normaszövegbe az, hogy a tájékoztatásnak ki kell terjednie legalább:
- az adott személyre vonatkozó, feldolgozás alatt álló adatok kategóriáira,
- az adatokat szolgáltató illetékes hatóságra,
- az adatok címzettjeire és
- az adatfeldolgozás céljára, beleértve az adatfeldolgozásnak a nemzeti jog vonatkozó rendelkezései szerinti jogalapját is.
Alapvető érdek fűződik ahhoz is, hogy az érintett ne csupán a személyes adatait érintő adatkezelés tényéről szerezzen tudomást, hanem az adatfeldolgozás folyamatával kapcsolatban is érdemi információk jussanak birtokába. Ezt felismerve rögzíti a normaszöveg azt, hogy "[a]z érintett kérelemre jogosult személy bármikor igazolást beszerezni az adatokat szolgáltató hatóságtól vagy - a VI-30. és VI-33. cikkben meghatározott feltételekkel - a felügyelő hatóságtól arra vonatkozóan, hogy rá vonatkozó adat feldolgozása folyamatban van-e."
Az idézett rendelkezéssel kapcsolatban három megjegyzés kívánkozik ide. Egyrészt kiemelendő az, hogy ebben a tekintetben a kérelemhez kötöttség érvényesül, az adatfeldolgozás folyamatát érintő igazolás az érintett kérelmére adható ki, a hivatalbóliság elve tehát nem érvényesül. Másrészt megállapítható, hogy jelen esetben egy nevesített hatósági szolgáltatás biztosításáról rendelkeznek a mintaszabályok, amelynek lényege az adatfeldolgozás folyamatát tükröző igazolás kérelemre történő kiadása. Harmadrészt érdemes megvizsgálni
- 212/213 -
azt is, hogy mely hatóságtól kérheti az érintett az igazolás kibocsátását. A hivatkozott rendelkezések értelmében az adatokat szolgáltató hatóságtól, illetve - külön meghatározott feltételek teljesülése esetén - a felügyelő hatóságtól kérhető az igazolás. A normaszöveg VI-30. és VI-33. cikkei szerint erre abban az esetben kerülhet sor, ha az információkezelési tevékenységet információs rendszer támogatásával végzik, ebben az esetben tehát a felügyelő hatóság tájékoztatja az érintettet az információs rendszerbe bevitt adatokról.
Garanciális jelentősége van a normaszöveg VI-15. cikke (3) bekezdésében foglalt, a tájékoztatás kötelező tartalmi elemeit érintő rendelkezésnek, amely szerint "[a]z adatokat szolgáltató illetékes hatóság tájékoztatja az érintett személyt a rá vonatkozó személyes adatokhoz való hozzáférési jogáról, beleértve azt a jogát is, hogy a nem helytálló adatok helyesbítését, illetve a jogellenesen feldolgozott adatok lehető legrövidebb időn belüli törlését kérje, valamint azt a jogát, hogy az e jogok gyakorlására irányuló eljárásokról tájékoztatást kapjon". Ennek megfelelően rögzíthető, hogy az érintett tájékoztatáshoz való joga (ti. a hatóság tájékoztatási kötelezettsége) az alábbi részjogosítványokat foglalja magában (tehát a hatóság ezekre köteles tájékoztatásában kitérni):
- a személyes adatokhoz való hozzáférés jogára vonatkozó tájékoztatás,
- a nem helytálló, illetve a jogellenesen feldolgozott adatok helyesbítésének, törlésének kezdeményezése,
- a fenti jogok gyakorlására irányuló eljárásokról szóló tájékoztatás.
E jogosítványok érdemi gyakorlásának eljárási garanciája jut kifejeződésre a VI-15. cikk (5) bekezdésében foglalt rendelkezésből, amely akként rendelkezik, hogy "[a] felügyelő hatóság biztosítja, hogy az érintett személyek hatékonyan gyakorolják az alkalmazandó adatvédelmi jogszabály szerinti hozzáférési jogukat"
Rögzítendő az is, hogy az érintett kérelmére kibocsátandó igazolás kiállítását korlátok között teszi a normaszöveg lehetővé, ennek megfelelően itt egy korlátozott jogosítványról beszélhetünk. A normaszöveg VI-15. cikk (5) bekezdése úgy rendelkezik, hogy "[i]nformáció [...] kizárólag az alábbi célokból tartható vissza:
- bűncselekmények megelőzése, nyomozása, felderítése és büntetőeljárás lefolytatása;
- nemzetbiztonság, közbiztonság vagy a tagállamok védelme;
- valamely tagállam vagy az Unió fontos gazdasági vagy pénzügyi érdekének védelme -a pénzügyi, költségvetési és adózási kérdéseket is beleértve;
- mások jogainak és szabadságainak védelme."
E jelzett korlátozással összefüggésben garanciális jelentősége van az érintettre vonatkozó tájékoztatási kötelezettségnek, amellyel kapcsolatban a Modell Szabályok rögzítik: a hatóság köteles tájékoztatni az érintett személyt az információk visszatartásának jogalapjáról és az illetékes adatvédelmi biztoshoz fordulás jogáról.[475]
- 213/214 -
A hatóság működése alatt történő adatkezeléssel összefüggésben a hatósági jogviszony két alanyi körének eltérő tartalmú jogosítványai mentén körvonalazható a szabályozás: egyrészről - a fentebb írtak alapján - kardinális jelentőségű az érintettek tájékoztatáshoz való joga, illetve (a későbbiekben tárgyalásra kerülő) rendelkezési jog. Másrészről azonban tisztázandó kérdés az érintett hatóságok hozzáférési joga, közelebbről annak jogalkotó által történő eldöntése, hogy milyen adatokhoz és milyen terjedelemben férhetnek hozzá az illetékes hatóságok.
Ezt felismerve elvi jelentőségű a normaszöveg ama rendelkezése, amelynek értelmében "[a] tájékoztatási kötelezettség alapján szolgáltatott vagy adatbázisban tárolt információkhoz való hozzáférés azon hatóságokra korlátozódik, amelyek számára a hozzáférés feladataik ellátásához elengedhetetlen, és csak olyan mértékű lehet, amit az információk megosztásának céljával összhangban lévő feladataik ellátása megkövetel". Az idézett rendelkezés lényegében két, az adatkezelésre vonatkozó tagállami szabályozásokban egységesen megjelenő alapelvet deklarál: az arányosság és a célhoz kötöttség követelményét. Az arányosság elve úgy jut kifejezésre a normaszövegben, hogy "[az adatkezelés] csak olyan mértékű lehet, amit az információk megosztásának céljával összhangban lévő feladataik ellátása megkövetel", míg az adatkezelés célhoz kötöttsége lényegében azt jelenti, hogy az információkhoz való hozzáférés azon hatóságokra korlátozódik, amelyek számára a hozzáférés feladataik ellátásához elengedhetetlen.
Az említettekhez kapcsolódik, hogy garanciális jelentőségű a norma VI-16. cikk (2) bekezdésében foglalt rendelkezés, amelynek értelmében "[a]z alap-jogiaktusban, valamint az adott tájékoztatási kötelezettségre vagy adatbázisra vonatkozó végrehajtási rendelkezésekben világos és átfogó szabályokat kell megállapítani azon hatóságok vonatkozásában, amelyek a szóban forgó információkhoz hozzáféréssel és felhasználási joggal rendelkeznek, meg kell továbbá határozni a feltételeket, amelyekkel a hozzáférés és a felhasználás engedélyezhető". Az idézett rendelkezéssel kapcsolatban két megjegyzést teszünk. Egyrészt látható, hogy az adatkezelésre vonatkozó, a Modell Szabályok között elhelyezett rendelkezések feltételeznek egy ún. "alap-jogiaktust", amely - a végrehajtási rendelkezésekkel együtt - elvégzi az adatkezelésre vonatkozó szabályozás konkretizálását, mégpedig "világos" és "átfogó" jelleggel.
Másrészt - ehhez kapcsolódóan - rögzítendő az is, hogy a vizsgált szerkezeti egységben elhelyezett szabályok általános jellegűnek tekinthetők, mivel azok alkalmazására csak akkor kerülhet sor, ha előzetesen rendelkezésre áll a normaszöveg által is hivatkozott adatkezelésre vonatkozó alapjogszabály.[476] E normának kell világosan és átfogóan meghatároznia az adatkezelés tartalmát, célhoz kötöttségét, formáját, az illetékes hatóságok kötelezettségeit, valamint az alkalmazandó jogot.
- 214/215 -
Az érintettekre vonatkozó adatkezelési tevékenység szervezeti és eljárási garanciáinak fontosságát hangsúlyozza a normaszöveg ama rendelkezése, amelynek értelmében a vonatkozó alap-jogiaktusban és a vonatkozó végrehajtási rendelkezésekben világos és átfogó hozzáférés-kezelési szabályokat kell meghatározni minden olyan információs rendszerre vonatkozóan, amelyen keresztül közigazgatási szervek tájékoztatási kötelezettség alapján adatokat cserélnek vagy amely adatbázist hoz létre.
A tervezet az adatokat, információkat érintő módosítás/törlés kérdésköréhez két aspektusból közelít: egyrészt - a döntési kompetencia tekintetében - rögzíti azokat a hatóságokat, amelyek meghatározott esetkörökben kötelesek az adatbázisban található információk módosítására és törlésére. Másrészt - az officialitás elvének megfelelően - a hatóságok oldalán kötelezettséget telepít a normaszöveg a módosítás/törlés tekintetében.
Kiemelhető, hogy a normaszöveg három (típusú) hatóság hatáskörébe utalja az adatbázisban található információk módosítását vagy törlését. Ennek megfelelően a jelzett aktusok megtételére jogosult:
- az illetékes hatóság, amely tájékoztatási kötelezettség alapján az adatokat szolgáltatta vagy adatbázisba bevitte;
- a felügyelő hatóság; valamint
- az adatbázisban található információk módosításának vagy törlésének joga a VI-6. cikk szerinti listában szereplő testületek valamelyikére is ruházható, amennyiben az alapjogiaktus azt kifejezetten megengedi.
Az előző rendelkezések teljes körű értelmezésének elősegítése érdekében jelezzük, hogy a norma VI-6. cikk (1) bekezdése értelmében "[m]inden információkezelési tevékenység esetében minden érintett tagállam létrehoz vagy kijelöl egy hatóságot vagy hatóságokat, amely(ek) feladata a tevékenység elvégzése. Minden tagállam a kijelölését követően a lehető legrövidebb időn belül közli a Bizottsággal vagy - ha létrehozták - az irányító hatósággal ezen illetékes hatóságok listáját, valamint a lista esetleges módosítását. Ha egy tagállam több illetékes hatóságot jelöl ki, egyértelműen meg kell határoznia a listán a feladatok felosztását."
A tervezet rendelkezéseinek áttekintése alapján megállapítható, hogy az adatbázisokban kezelt információk frissítésének, helyesbítésének és törlésének kötelezettsége tekintetében négy esetkört lehet elhatárolni, amelyek között találhatók hivatalból és kérelemre elvégzendő
- 215/216 -
hatósági aktusok egyaránt. A hatóság által hivatalból történő frissítésre, módosításra vagy törlésre az alábbi tényállások mellett kerül sor:
- egyrészt az adatokat szolgáltató illetékes hatóság köteles az információkat vagy adatokat ellenőrizni, és szükség esetén azonnal helyesbíteni vagy törölni, amennyiben az illetékes hatóság megítélése szerint a más hatóságoknak továbbított információk vagy az adatbázisba bevitt adatok nem helytállóak, vagy azok feldolgozása a vonatkozó nemzeti vagy uniós joggal ellentétesen történt;
- másrészt előírhatja az alap-jogiaktus az adatokat szolgáltató illetékes hatóság számára az információk rendszeres, meghatározott időközönként történő frissítésének kötelezettségét;
- harmadrészt, amennyiben valamely részt vevő hatóság, amely nem az adatokat szolgáltató hatóság, bizonyítékkal rendelkezik arra nézve, hogy az adatok helytelenek, vagy azok feldolgozása a vonatkozó nemzeti vagy uniós jogszabályt sértő módon történt, e hatóság köteles azonnal tájékoztatni erről az adatokat szolgáltató hatóságot. Ezt követően az adatokat szolgáltató hatóság ellenőrzi az adatokat, és szükség esetén azonnal helyesbíti vagy törli őket.
Ezektől az esetköröktől elkülönítetten indokolt kezelni a témához kapcsolódó kérelemre folytatandó eljárást, amelynek keretében "[b]ármely érintett személy kérheti, hogy az adatokat szolgáló hatóság a szóban forgó személyre vonatkozó nem helytálló adatokat haladéktalanul helyesbítse, valamint a jogellenesen rögzített vagy tovább már nem tárolható adatokat zárolja". Megjegyzendő végezetül a normaszöveg VI-19. cikk (5) bekezdésében foglalt garanciális jellegű rendelkezés is, amely szerint az érintett személy kérésére az adatokat szolgáltató hatóság köteles az adatokat a szóban forgó vitára utaló jelzéssel megjelölni, amennyiben az érintett személy vagy más részt vevő hatóság vitatja az adatok helyességét, de az adatok helyessége nem állapítható meg. Ha a jelzést kitették, az kizárólag az érintett személy vagy a másik részt vevő hatóság engedélyével távolítható el, azonban e korlátozás sérelme nélkül a jelzés az illetékes bíróság vagy független adatvédelmi hatóság határozatának megfelelően eltávolítható.[477]
Az adat- és információ-felhasználás körében a VI-20-VI-29. cikkek a hatósági oldal kötelezettségeit rendezik, mindenekelőtt a hatóságok egymás közti kommunikációjában és adatigényléseiben. Ebben a viszonylatban szükséges ismét említést tenni a Modell Szabályok aszimmetrikus szervi hatályáról, mely értelmében a VI. rész rendelkezései a tagállami hatóságok gyakorlatában is alkalmazandóak. A szabályozás tárgykörébe e cikkek keretein belül így a különféle típusú adatigénylések, a személyes adatok tárolásának és törlésének, valamint az ezzel kapcsolatos adatvédelmi és biztonsági minimumszabályok tartoznak. Az adatok és információk felhasználása (a hatóságok közt) történhet a hatóságok közti adatszolgáltatással, illetve a hatóság által közvetlenül hozzáférhető adatbázisok útján. A hatóságok közti
- 216/217 -
adatszolgáltatás alapvetően adatátadást jelent (amely tájékoztatási kötelezettség alapján történik), valamint az adatbázisba bevitt információk automatikus elérését (amely nem feltétlenül jelenti az adatbázisok interoperabilitását, sokkal inkább a párhuzamos hozzáférés biztosítását a hatóságok részére). Ebből az okból fontos fogalmi szinten elválasztani egymástól az adatszolgáltató, az adatigénylő és az részt vevő (információkezelési tevékenységben részt vevő bármely hatóság, amely lehet illetékes hatóság, kapcsolattartó pont, irányító hatóság, ellenőrző hatóság vagy általános felügyelő hatóság) hatóságot.
Fontos kiemelni továbbá, hogy a szabályrendszer a hatóságok egymás közti, valamint az adott hatóságon belüli adatkezelésre vonatkozik, nem pedig a nyilvántartások piaci értékesítésének lehetőségeire, a közszféra információinak további felhasználására. Ez utóbbi a modellszabályozás tárgyi hatályán kívül eső terület, melynek szabályozási kereteit az Európai Parlament és a Tanács irányelvei kellő részletességgel szabályozzák.[478]
E cikkek szabályozási alapelveiként az információteljesség és -helyesség, a személyes adatok védelme, az adatok rendeltetészszerű felhasználása, az adattartalmak korlátozott idejű megőrzése és az informatikai rendszerek biztonsága jelölhetőek meg. Ezek szellemében - főszabályként - az adattartalom kizárólag meghatározott célból, csak a feltétlenül szükséges ideig hozzáférhető, felhasználható és tárolható az egyes informatikai rendszerekben, miközben a modellszabályozás kivételeket állapít meg a tagállami adattárolás (nyilvántartások) tekintetében. A szabályozás további jellemzői közül kiemelhető még a hatóságok közti együttműködés elve, az információk hivatalbóli aktualizációjának elve és az objektív jogvédelem elve (amely alapján bizonyos esetekben a hatóság a rendelkezésére bocsátott információk alapján hivatalból foganatosíthat intézkedéseket).
A részletszabályozás tekintetében (VI-20) a hatóságok közti alapvető elvárás a kölcsönös információcsere és tájékoztatási kötelezettség, mely értelmében a "hatóságok tevékenységük végzése során kötelesek a tájékoztatási kötelezettség alapján más illetékes hatóságoktól kapott vagy adatbázisba bevitt információkat figyelembe venni." az adatfelhasználásra jellemző ebben az esetben, hogy az megvalósulhat a hatóságok közti csere vagy adatbázishoz való hozzáférés útján. Alapvető korlátja az, hogy az adatigénylő hatóság csupán tevékenységét érintőleg jogosult az információkérésre, másfelől viszont döntéshozatali tevékenysége kapcsán a hatáskörgyakorlását érintő információkat viszont köteles - hivatalból - teljes egészében felkutatni és figyelembe venni. E kötelezettség így párhuzamosan járul hozzá az adattartalom időszerűsítéséhez és az objektív jogvédelemi jelleghez.
A normaszöveg (VI-21) következő alapkötelezettségként az információs rendszereken keresztül rendelkezésre bocsátott információk független értékelését írja elő, amely a hivatalbóli intézkedések foganatosításának lehetőségét nevesíti. Teszi ezt olyan formában, hogy a "hatóság köteles az információs rendszereken keresztül rendelkezésre bocsátott információkat külön értékelni, mérlegelve, hogy a szóban forgó információk alapján nincs-e
- 217/218 -
szükség közigazgatási intézkedésre." az illetékes hatóságnak mérlegelési lehetősége fennáll ugyanúgy az adattartalom, mint a konkrét intézkedés foganatosítása kapcsán is.
Az információs rendszerek és adatbázisok adattartalmának helyessége vélelmezett, helyes adattartalma, annak a valóságot megfelelően tükröző képet kell adnia. Ez az elvárás nem csak az adatszolgáltató és adatigénylő hatóságra ró kötelezettségeket (lásd "ha az eljáró illetékes hatóság kétségbe vonja az információk érvényességét, azonnal konzultál az adatszolgáltató hatósággal"), hanem magára az informatikai rendszerre is. Ennek lehetővé kell tennie az adott tényhez rendelhető releváns tartalmak egyszerű hozzáférhetőségét, kereshetőségét és elérhetőségét (szélesebb összefüggésben ez kiterjedhet akár az adatbázisban történő keresési algoritmusokra, keresőmotorokra, amelyek szintén bizonyos feltételek mellet szelektálják a keresett információt). Egyszerűbben tehát az informatikai rendszernek is alkalmasnak kell lennie az azt használó hatóság részéről, hogy az adott tényről a valóságnak megfelelő, objektív képet tudjon alkotni, csupán a rendszer igénybevételével. Ez a szakszerűségi elvárás nem csupán az informatikai rendszer, hanem az adatigénylő hatóság irányában is megjelenik, e hatóságok ugyanis az információs rendszer releváns jellemzőit (például keresőfunkcióit, adattartalmát) teljes körűen felhasználni hivatottak, annak érdekében, hogy az információkról "világos és teljes képet kapjanak."
A hivatalbóli intézkedés kötelezettségének (VI-22) esetében az illetékes hatóságoknak, magán az eljárási kötelezettségen túl, tájékoztatási kötelezettségük is van. Ennek értelmében az intézkedést foganatosító szerv az intézkedésről a további érintett hatóságokat tájékoztatja
A VI-21 és VI-22 cikkek alól a hatóságok bizonyos kivételes esetekben mentesíthetőek, ugyanakkor a modellszabályozás nem nevesíti ezeket az esetköröket - azokat más jogszabályra bízza. Egyidejűleg azonban nevesíti, hogy a "mentesítésnek korlátozott számú indokolt helyzetre kell korlátozódnia."
Az adat és információhasználat vonatkozásában általános elvként jelenik meg annak célhoz kötöttsége (VI-24), amely keretét képezi a rendeltetészszerű adatfelhasználásnak. Ennek szellemében "a hatóságok kizárólag az adott információk cseréjére vonatkozó uniós jogszabályokban meghatározott célokra cserélhetnek és dolgozhatnak fel adatokat." Ilyen formán az adatigénylést mindig konkrétan megjelölt jogszabályi célhoz kell kötni, öncélú (rendeltetés nélküli) adathalmozás a hatóságok részéről tilos. Ez kétszeres korlátozást jelent, ugyanis így az adatszolgáltatásnak és adatigénylésnek a hatóságok tevékenységén túl összefüggésben kell lennie valamilyen uniós jogszabályban meghatározott céllal. Uniós jogszabályban meghatározott cél hiányában adatfelhasználás csak abban az esetben megengedett, ha azt az adatszolgáltató hatóságra vonatkozó irányadó jog kifejezetten megengedi, és a szolgáltató hatóság ezt előzetes döntésével engedélyezi. További egyidejű feltétel ilyen esetben, hogy az adatkérő (átvevő vagy visszakereső) hatóságra vonatkozó törvényekre figyelemmel is megengedett az ilyen fajta adatigénylés.
Az adatvédelemmel és információbiztonsággal összefüggésben a Modell Szabályok a szükséges keretrendszer kialakítását célozzák meg, a legtöbb összefüggésben deklarációjellegű
- 218/219 -
a konkrét rendelkezések tartalma. Ennek oka, hogy az adatvédelemnek a hatósági oldal (beleértve a különféle biztonsági eljárásokat és az alkalmazottakkal szemben megfogalmazható adatvédelmi elvárásokat) a belső kockázati tényezők csupán egyik összetevőjét jelenti, amely mellett hasonló súllyal jelennek meg az informatikai rendszerekre vonatkozó műszaki biztonsági kockázatok. Továbbá, tekintettel a V. és VI. részekre vonatkozó aszimmetrikus szervi hatályra, a Modell Szabályok egyidejűleg próbálnak meg az uniós és tagállami hatóságok vonatkozásában szabályrendszert alkotni, amely így a legtöbb helyen szubszidiárius jellegűvé válik.
A hatóságok tevékenységük során a szolgáltatott vagy lekért információkat megfelelően biztosítják jogosulatlan hozzáférés vagy adatigényléssel szemben. Adatvédelmi elvárások megfogalmazódnak a normaszöveg VI-15. cikkében is, a Modell Szabályok VI-25-VI-29. cikkei az adatvédelem módszertani követelményeinek alapjait, illetve a technológiai rendszerekkel szemben támasztott minimumkövetelményeket szabályozzák.
Ennek szellemében az adatok és információk három fő csoportba tagolhatóak, jellegük és az ebből adódó felhasználhatóság szerint. Így megkülönböztethetőek 1) gyűjthető, 2) cserélhető és 3) tárolható adat- és információkategóriák. "Az információk szolgáltatása előtt az illetékes hatóság biztosítja, hogy az információk az említett adat-, illetve információkategóriákba tartoznak." Ezen a besoroláson túl, amely az adatok osztályozásáról szól, a szabályozás különbséget tesz az egyes adathozzáférési eljárások közt aszerint, hogy tájékoztatási kötelezettség alapján történő hozzáférésről (VI-26) vagy a tájékoztatási kötelezettségen kívül adathozzáférésről (VI-27) van-e szó.
Ennek megfelelően "tájékoztatási kötelezettség alapján" történő információcsere (VI-26) eredményeként szerzett információ tárolása lehet 1) konkrét célhoz kötött vagy 2) meghatározott eseményhez kötött. Mindkét esetben időkorlátos az adatfelhasználási jogosultság. Amennyiben a felhasználás indoka egy adott cél elérése, akkor az adatokat "kizárólag annyi ideig lehet tárolni, ameddig ez az adatgyűjtés céljainak eléréséhez szükséges." Így ebben az esetben a cél elérése (vagy éppen nem teljesülése) határozza meg az adatfelhasználás záró időpontját. Abban az esetkörben, amikor a "tájékoztatási kötelezettséget meghatározott esemény váltja ki", akkor az adatok a "közigazgatási feladatok teljesítéséig, de legfeljebb az érintett eljárás hivatalos lezárását követő hat hónapig hozzáférhetőek." Mindkét esetre érvényes, hogy a felhasználási idő eltelte után az adatokat zárolják.
Az adatzárolás elsődleges hatása, hogy az illetékes hatóság a zárolt adatokat csak tárolni jogosult, felhasználásuk tilos. Figyelemmel kell lenni arra, hogy ez esetben az adatszolgáltatást kérő hatóságról (azaz az adatigénylőről) van szó, nem az adatszolgáltató hatóságról. A zárolt adatok így egy ideig még passzívan léteznek az adatigénylőnél, felhasználásuk főszabály szerint kizárt, csupán kivételes esetben megengedett. Ilyen kivételt jelent 1) az információcsere tényének bizonyítása (ebben az esetben feltétel az érintett kifejezett hozzájárulása), valamint 2) ha a zárolt adatok bírósági vagy más közhatalmi jellegű eljáráshoz szükségesek (ekkor a közérdekre való hivatkozás az adathasználat indoka). Az adatzárolás további
- 219/220 -
hatása, hogy azok továbbá nem hozzáférhetők és kereshetők az adatbázist használó hatóság által, "a zárolt adatokat eredményező keresések negatív eredményt adnak ki a kereső hatóság számára."
Az adatzárolás maximális időtartama a zárolást követő három év, ez idő eltelte után a zárolt adatokat automatikusan törölni kell. Kivételes esetben az adatzárolás időtartama meghosszabbítható, komplex mérlegelés alapján meghozott egyedi döntéssel, az adott ügyre vonatkozó különleges körülményekre való hivatkozással. Az adatzárolás meghosszabbításának indokait - az azt elrendelő döntéssel együtt - rendszeresen felülvizsgálja a hatóság.
Összefoglalva a tájékoztatási kötelezettség alapján történőt információcsere esetében az adatfelhasználás után az adatokat három éves időtartamra zárolják, ennek elteltével pedig törlik. A VI-26 cikk rendelkezései nem érintik a tagállam azon jogát, "hogy az általa kiadott konkrét értesítéssel vagy a saját területén végrehajtott intézkedéssel kapcsolatban nemzeti adatfájlokat tartson fenn." Ebben az esetben az adattárolás időtartamára a tagállami szabályozás rendelkezései az irányadóak.
A tájékoztatási kötelezettségen kívüli adatszolgáltatás elsődlegesen az olyan adathozzáférésre vonatkozik, amely hozzáférhető adatbázis révén valósul meg. Ebben az esetben a hozzáférés főszabályait az adott adatbázisra vonatkozó alapjogszabály rendezi. Így a szabályozás eltérő, elsődlegesen nem a hatóságok számára állapít meg kötelezettségeket, hanem az alapjogszabállyal szembeni garanciális követelményrendszer minimumát tartalmazza.
Az adatbázisok adattartalma viszonyában annak maximális adatmegőrzési ideje bír kiemelt relevanciával - ahol az adatbázisra vonatkozó alapjogszabály rendelkezéseinek betartása mellett - az adatszolgáltató hatóság a tárolt adatokat "rendszeresen felülvizsgálja annak érdekében, hogy felmérje, még mindig szükségesek-e arra a célra, amire jogszerűen tárolják őket." a maximális adatmegőrzési időt ebben az esetben a vonatkozó alapjogszabály határozza meg, ám az adatmegőrzésnek egyidejűleg meg kell felelnie a jogszerűség és célhoz kötöttség követelményének. Ez utóbbi hiányában az adatszolgáltató az adatot zárolja, később törli. Az adattörlés idő előtt is megtörténhet, ebben az esetben az érintettet, valamint az érintett hatóságokat tájékoztatni kell.
Összefoglalva: ebben az esetkörben a modellszabályozás továbbutal a vonatkozó alap-jogszabályozásra, ugyanakkor az adattárolás szabályainak ebben az esetben is meg kell felelniük a célhoz kötöttség és jogszerűség elvárásainak.
Az adatvédelmi és információbiztonsági szabályok következő rétegét a titoktartási kötelezettség jelenti. Ennek megfelelően a VI-28. cikk rendelkezései titoktartási kötelezettséget állapítanak meg a közigazgatási szervek egészével, a hatóság vezető tisztségviselőivel és alkalmazottaival, valamint mindazon személyekkel szemben (külső szakértők, testületek),
- 220/221 -
akik az információkezelési tevékenység során adatokhoz fértek hozzá, "és amelyekre szakmai titoktartási kötelezettség vagy egyéb, ezzel egyenértékű titoktartási szabályok vonatkoznak." Ez a tiltás a munkaviszony vagy megbízási viszony megszűnését követően is hatályban marad. A titoktartási kötelezettség alanyi köre nagyszámú, tekintettel arra, hogy nem csupán a közigazgatási szervre terjed ki, hanem annak egyes külső kapcsolataira is.
A VI-29. cikk pedig az informatikai rendszerekkel kapcsolatban állapít meg minimumkövetelményeket. Így minden olyan informatikai rendszer esetére, "amelyen keresztül közigazgatási szervek tájékoztatási kötelezettség alapján adatokat cserélnek vagy amely adatbázist hoz létre, világos és átfogó előírásokat kell meghatározni a kockázatoknak megfelelő biztonsági intézkedésekre." a normaszöveg tehát a vonatkozó alapjogszabályokra (és végrehajtási rendelkezésekre) utal tovább, amelyek kapcsán csupán nagy általánosságban fogalmaz meg elvárásokat: világos, átfogó, kockázatoknak megfelelő szabályozás.
A VI. Könyv a hatóságok közötti információkezelési tevékenységek konkrét kategóriáival foglalkozik, amely tevékenységek egyrészt a hatóságok közötti információcsere bizonyos formáit (az V. Könyvben rögzített tagállamok közötti általános kölcsönös segítségnyújtási kötelezettségen túl a strukturált módon történő kommunikációt és kapcsolattartást segítik), másrészt a hatóságok számára közvetlenül elérhető adatbázisokat, az adatkezeléssel, adatvédelemmel kapcsolatos feladatokat foglalják magukba.
Az információkezelés kétséget kizáróan minden közigazgatási eljárás alapjellemzője, az uniós jog decentralizált, mégis hatékony végrehajtásának kulcseleme.
E könyv rendelkezéseit - a Modell Szabályok többi könyvében foglaltakhoz képest is, kifejezetten - általános szabályokként kell értelmeznünk. A részletes ismertetés komoly kihívás elé állítja a szerzőket, ugyanakkor mértékletességet kíván, hiszen - ahogy a könyv maga is kifejezésre juttatja - a szabályozandó információkezelési tevékenység megkezdése előtt alap-jogiaktust kell elfogadni,[480] ugyanis a tevékenység végzésére vonatkozó kötelezettség alap-jogiaktus nélkül nem állhat fenn.[481] Láthatjuk, e könyv rendelkezéseinek alkalmazása csak akkor lehetséges, ha egy, az adatkezelésre (különösen az adatátadás általános szabályaira) vonatkozó, előzetesen megalkotott megfelelő információs alapjogszabály (rendelet, irányelv, határozat vagy bármely más olyan jogi aktus, amely kötelező joghatással bír) rendelkezésre áll és megfelelően tisztázza az információkezelési tevékenység tartalmát (jogokat,
- 221/222 -
kötelezettségeket), célját, az adatkezelésben részt vevő, valamint irányító és felügyelő hatóságok körét, azok kötelezettségeit, a központi adatvédelmi hatóság feladatait, az alkalmazandó jogot, az adatkezelés körét, az adatvédelmi szempontokat, biztonsági követelményeket.[482] "A könyv szabályai ugyan feltételezik, hogy a szükséges alapjogszabály alap-jogiaktusa elkészül, és összhangban lesz a könyvben írtakkal, ugyanakkor ennek részletei pillanatnyilag még a többi könyvhöz képest is csak fokozottan de lege lata értékelhetők, ehhez képest pedig igencsak terjedelmesek."[483]
Információval kapcsolatos tevékenységekkel a Modell Szabályok szinte valamennyi könyve foglalkozik valamilyen formában,[484] ennek megfelelően azt mondhatjuk, hogy a VI. Könyv elsősorban csak egy konkrét információs tevékenységi kört szabályoz; másodsorban pedig kiegészíti a többi könyvet azzal, hogy bizonyos olyan horizontális szempontokat szabályoz, amelyek különböző, jól körülhatárolható információs jogi problémákat idéznek elő. Ezek az információkezeléssel kapcsolatos előírások a jó közigazgatáshoz való jog gyakorlásának alapvető előfeltételei.
A Modell Szabályok a VI. Könyv keretében csak a hatóságok közötti információkezelési tevékenységekre összpontosít,[485] amely magában foglalja a döntéshozatalba történő információbevitel visszakövetésével kapcsolatos rendelkezéseket is. Ez a jellemző, kiemelten fontos hiánypótló elem az, amely lehetővé teszi a döntéshozatali eljárások bírósági felülvizsgálatát, és ezzel hozzájárul majd az Unión belüli hatékony bírósági felülvizsgálat megvalósításához az Alapjogi Charta VI. cím, 47. cikkében[486] ismételten meghatározott elvvel összhangban.
Az uniós közigazgatási eljárás összetett közigazgatási eljárás, ezért fokozottan ügyelni kell az összetett információkezelési műveletek átláthatóságára a jogbiztonság megteremtése érdekében. A keretrendszernek biztosítania kell, hogy az összetett információkezelési tevékenység egyes fázisai összhangban legyenek azokkal az eljárási jogokkal, amelyek megilletik az uniós közigazgatási folyamatokban részt vevő érintett személyeket és harmadik feleket. Az összetett eljárások komplexitása javítja a közös érdekű közigazgatás minőségét, ugyanakkor ez az összetettség nem mehet az eljárási jogoknak való megfelelés rovására. Az összetett információkezelési tevékenységnek a több joghatóságon átívelő szempontokra, valamint az ezekből fakadó jogi ellentmondásokra kell irányulnia, továbbá felül kell kerekednie a felügyeleti kompetenciák hagyományosnak
- 222/223 -
tekinthető horizontális és vertikális megosztottságán is. A felügyeleti[487] és bírósági eljárásoknak biztosítaniuk kell a közigazgatási fellépés hatékonyságát, de emellett azt is szavatolniuk kell, hogy az érintett személyek a jogaik érvényesítésére alkalmas helyzetben legyenek.
A VI. Könyv által biztosított jogi infrastruktúra fontos eleme azon szabályok összessége, amelyek - az előző gondolatmenetet folytatva - szubjektív jogokat biztosítanak az egyének számára annak érdekében, hogy hatékonyan védhessék érdekeiket. Ide tartozik az adatvédelemhez és üzleti titoktartáshoz fűződő jog, a tisztességes bírói eljáráshoz való jog, a védelemhez való jog, az információhoz történő hozzáférés joga, valamint a hatékony jogorvoslathoz való jog. A felügyeleti tevékenység szempontjából két jogosultságot említünk: a felügyeleti hatóság általi meghallgatáshoz való jog [VI-32 (3). cikk], valamint az érintett személy kérelme alapján az adatok megváltoztatására, illetve azok törlésére vonatkozó hatáskör. [VI-33.cikk]
Annak alapján, hogy a VI. Könyv szabályozza a hatóságok közötti információcserét, illetve a különböző hatóságok által használt adatbázisokat, értelemszerűen a könyv számos szabálya tartalmaz hatósági kötelezettségeket,[488] vagy határoz meg szervezeti felépítést.[489] Az ilyen jellegű kötelezések előmozdítják a felelősségek egyértelmű elosztásának és az átlátható információkezelésnek a célkitűzését, ezáltal a jogbiztonság megvalósulását. Kötelezettségszegés esetén az annak megállapítása iránti kereset EUB-hez történő benyújtásakor a jogbiztonság, illetve a felügyelet és elszámoltathatóság valós lehetőségeinek a javát szolgálná a felügyeleti hatóság (VI-31.cikk és VI-32. cikk) vagy a Bizottság irányításán keresztül. E tekintetben a VI. Könyv egy decentralizált szerkezetben járul hozzá az uniós jog végrehajtásának jogi infrastruktúrájához, amely szerkezethez az információkezelési tevékenységek és az új általános felügyeleti hatáskörök elengedhetetlenül fontosak.
Az összetett információkezelési műveletek fent felvetett problematikája (több joghatóság közreműködése, ebből fakadó jogi ellentmondások, nagyszámú részt vevő hatóság, érintett személyek széles köre) kapcsán elmondható, hogy az egyéb fejezetekben meghatározott egyes szereplőket terhelő jogi kötelezettségek, valamint a felelősségi körök egyértelmű felosztása mindenképpen javítják a hatóságok közötti információcsere eredményességét, hatékonyságát, jogszerűségét. Ugyanakkor az összetett információkezelés bonyolult körülményei között további eszközöknek is rendelkezésre kell állniuk ahhoz, hogy ösztönözzék és támogassák a kötelező szabályoknak és célkitűzéseknek való megfelelést, azaz hatékony elszámoltathatósági mechanizmusokat kell bevezetni.[490]
- 223/224 -
Az elszámoltathatósági mechanizmusok szabályozását a VI. Könyv 4. és 5. fejezetei tartalmazzák. A 4. fejezet a felügyelet és a jogviták megoldásának hatékony és koordinált mechanizmusait határozza meg, és egyúttal átfogó keretbe foglalja a hatóságok közötti elszámoltathatóságot. Amint azt korábban jeleztük, e keretrendszernek két főbb célját lehet meghatározni: az egyik a hatékony összetett információkezelés, a másik pedig a személyhez fűződő jogok védelme. Az 5. fejezet a jogorvoslati lehetőségekről és felelősségről szól (lásd az 5. fejezet).
A 4. fejezetben kerülnek meghatározásra azon keretszabályok, melyek az EU különböző joghatóságai részéről részt vevő hatóságok információs rendszerei által támogatott információkezelési tevékenységek felügyeletét rendezik. Az ilyen összetett információkezelés segít biztosítani, hogy a decentralizált, ám mégis integráltan működő hatóság összefüggésében minden vonatkozó tényállás összegyűjthető és megosztható legyen a nemzeti vagy uniós szerv döntéshozatalát megelőzően. E körben előfordulhat, hogy a hatósági fellépés a döntéshozó szerv illetékességén kívül is joghatást gyakorol.
A VI. Könyv elegyíti az információs jog strukturális kérdéseit (eljárások, szervezet, hatóságok közötti kötelezettségek) és adatvédelmi szempontjait. Emögött az az érvelés áll, hogy a hatékonyság érdekében az adatvédelmet be kell olvasztani az általános információs jogi rendelkezések körébe, de szigorúan az információs jog általános célkitűzéseinek összefüggésében oly módon, hogy hozzáigazítsa azokat a hatóságok közötti információcsere és adatbázisok által támasztott igényekhez és az ezek kapcsán felmerülő problémákhoz.
Az adatvédelmi jog és az összetett információkezelésre vonatkozó általános jogszabályok összefüggenek egymással, ezért integrált szabályozói megközelítés alkalmazását teszik szükségessé. Ez szintén elmondható az összetett információ cseréjének felügyeletéről is. A közigazgatási struktúrák kialakításának szempontjaihoz kiindulási pontot adhat a Charta 8. cikkének (3) bekezdése,[491] amely kötelezettséget állapít meg a független adatvédelmi hatóság létrehozására nézve. Sérülhet a hatóság függetlensége akkor, ha az adatvédelmi biztosok a szűkebb értelemben vett adatvédelmi feladatok mellett más feladatokat - például a hatóságok közötti hatékony információcserét lehetővé tevő felügyeleti funkciók ellátása - is végeznek.
E függetlenségi követelmény teszi szükségessé a felügyeleti keretrendszer kettős szerkezetének kialakítását: a szerkezet első eleme az információs rendszerek hatékony adatvédelmi felügyeletét szolgáló koordinált keretrendszer, amelynek az egyes részei a különböző adatvédelmi biztosok illetékességéhez tartoznak (lásd a 2. pontot). Második elemként az általános felügyelet céljának leírását az 1. pont tartalmazza [VI-30 (2). cikk]. Célja számos célkitűzés megvalósítása: elsősorban az, hogy az egyéneknek legyen lehetősége arra, hogy jogaik védelme érdekében egyetlen közvetítőhöz forduljanak. Ez különösen fontos az adatvédelmi jog által nem védett jogok tekintetében, például az üzleti titoktartásra vonatkozó jogok esetében. Az egyének hatékonyabb védelemben részesülhetnének, és amennyiben
- 224/225 -
nem elégedettek a hatóság döntéseivel, úgy élvezhetnék az európai bíróságokhoz fordulás lehetőségét. Emellett az egységes felügyeleti rendszer létrehozásával lehetővé válna, hogy az a részt vevő hatóságok döntései elleni közigazgatási fellebbviteli testületként is működjön. Másodsorban pedig az általános felügyelet a hatóságok közötti információcseréhez kapcsolódó, számos objektív kötelezettségnek való megfelelés érvényesítésének hatékony eszköze is. Ebben a tekintetben az általános felügyelet a részt vevő hatóságok közötti konfliktusok esetében választott bíróságként működhet, továbbá a hatóságok közötti kötelező érvényű döntések segítségével megoldhatja ezeket a konfliktusokat. [VI-32. (1). cikk]
Amennyiben a hatóságok az információkezelési tevékenységet[492] információs rendszer[493] támogatásával végzik, szükséges azok felügyeletét egy vonatkozó alap-jogiaktusban[494] kijelölni, megnevezni vagy felügyelő hatóságot létrehozni, és meg kell határozni annak szervezeti
- 225/226 -
felépítését. Felügyelő hatóság létrehozása esetén e hatóság rendszeres jelentéseket nyújt be a Bizottsághoz a felügyeleti tevékenysége nyomán születő megállapításokról, amely jelentéseket csatolni kell az információkezelési tevékenység átfogó értékeléséhez [VI-4 (2). cikk].[495] A felügyeletek jogosultak lesznek a III. Könyv szerinti kötelező érvényű döntések (határozatok) meghozatalára.
A felügyelő hatóság feladatait az eljárási Modell Szabály hat pontban határozza meg. [VI-30 (2). (a)-(f) cikk] a felügyeletek funkciói a következők biztosítását foglalják magukba:
- A részt vevő hatóságok az információs tevékenységek során[496] a jogi normákban (mintaszabályok,[497] alap-jogiaktusok, vonatkozó uniós jogszabályok) foglaltakat betartsák.
- A részt vevő hatóságok között a munkájuk kapcsán felmerülő konfliktusokat kezelik. A konfliktusok megoldása közvetítői eljárás (VI-31. cikk) vagy a közigazgatási szervek közötti kötelező erejű határozatok (VI-32. cikk) útján történik.
- Jogorvoslati hatósági funkciót töltenek be minden olyan esetben, amikor az uniós jog közigazgatási jogorvoslati eljárást ír elő.
- Ellenőrző hatóságként járnak el minden olyan esetben, amikor a vonatkozó uniós jog az adatok vagy információk ellenőrzését írja elő.[498]
- A hatóságok az érintett adatvédelmi jogszabályokat betartsák, figyelemmel arra, hogy a független adatvédelmi felügyelő hatóságok e fejezet 2. pontjában foglalt hatáskörét ne sértsék. A hatékony, eredményes és hatásköri összeütközéstől mentes felügyeleti tevékenység ellátása érdekében a két típusú felügyeleti hatóság (általános és adatvédelmi) szorosan együttműködve végzi tevékenységét.[499] A felügyeleti hatóság kötelezettségei közé fog tartozni tehát, hogy az európai adatvédelmi biztossal és a nemzeti adatvédelmi
- 226/227 -
hatóságokkal együttműködve védje az egyéni adatvédelemhez és az információhoz való hozzáféréshez fűződő jogokat. - Meghallgatják az adatbázisban tárolt dokumentumokhoz való hozzáférés megtagadásával kapcsolatos panaszokat (összefüggésben [VI-32 (3). cikkben] foglaltakkal), és engedélyezik a hozzáférést az alkalmazandó uniós jogszabályok szerint.[500]
A fenti feladatfelsorolás nem taxatív, az információs rendszerekről szóló alap-jogiaktusban egyéb konkrét feladatokat is meg lehet állapítani.
E folyamat az európai élelmiszerbiztonsági hálózat egy hasonló jellemzőjén alapszik, amelynek esetében a Bizottság felelős a részt vevő hatóságok közötti jogviták rendezése érdekében történő közvetítésért.[501] A rendelet 60. cikke rendelkezik a közvetítési eljárásról, az alábbiak szerint: (1) a közösség egyéb rendelkezései alkalmazásának sérelme nélkül a tagállam a Bizottság elé terjeszti az ügyet, amennyiben úgy véli, hogy egy másik tagállam élelmiszerbiztonsági intézkedése nem összeegyeztethető ezzel a rendelettel, vagy vélhetően zavarja majd a belső piac működését; a Bizottság haladéktalanul tájékoztatja erről a többi érintett tagállamot. (2) a két érintett tagállam és a Bizottság mindent megtesz annak érdekében, hogy megoldják a problémát. Amennyiben a felek nem jutnak megállapodásra, a Bizottság kikérheti a Hatóság véleményét a vitatott tudományos kérdésről. E kérelem feltételeit és a szakvélemény elkészítésére vonatkozó határidőt a két érintett tagállammal folytatott konzultációt követően a Bizottság és a Hatóság közösen állapítja meg.[502]
Fentiek analógiájára szabályoz a ReNEUAL-modell, a következők szerint: amennyiben az információkezelési tevékenységben részt vevő hatóság megítélése szerint egy másik részt vevő hatóság intézkedése nem összeegyeztethető az alap-jogiaktussal, vagy vélhetően zavarja majd a tevékenység célkitűzéseit, a részt vevő hatóság felterjeszti a kérdést a felügyelő hatósághoz. Közvetítőként, kvázi választott bíróságként a felügyelő hatóság jár el [VI-31 (1). cikk]. A probléma mielőbbi hatékony megoldása érdekében valamennyi érintett szerv (részt vevő hatóságok és a felügyelő hatóság) együttműködésre köteles, mindent megtesznek annak érdekében, hogy a kifogásolt helyzetet feloldják [VI-31 (2). cikk]. A közvetítés
- 227/228 -
eredményében érdekelt részt vevő hatóságok beszámolási kötelezettséggel tartoznak a felügyelő hatóság felé a végrehajtott nyomon követési intézkedésekről [VI-31 (3). cikk.].[503],[504],[505]
Az alap-jogiaktus alapján a felügyelet illetékességébe utalt felügyeleti feladatok [Vl-30 (2)(c). cikk] és ellenőrzési feladatok (VI- 30 (2)(d). cikk] szükségessé teszik, hogy az adott hatóság képes legyen kötelezni az információs rendszerben részt vevő többi hatóságot a saját értelmezéséhez való igazodásra. [VI-32 (1). cikk]. A felügyelet felhatalmazást kap az információkezelési tevékenységek jogszerűségének felülvizsgálatára abból a szempontból, hogy azok megfelelnek-e az alap-jogiaktusnak, valamennyi uniós jogforrásnak, ideértve az uniós jog alapelveit is. A felügyelet hatáskörébe tartozik, hogy az uniós jogszabályoknak való megfelelés biztosítása érdekében utasításokat adjon a részt vevő hatóságoknak (közigazgatási szervek közötti kötelező erejű határozatok) a vonatkozó rendelkezések betartására, mielőtt azonban ezzel az eszközzel él, köteles megkísérelni a konfliktus rendezését a VI-31. cikk szerinti közvetítési eljárás útján. Ez a kontrolltevékenység a VI-32 (2). és (3). cikk alapján végezhető az alábbiak szerint:
- a felügyelet saját kezdeményezésére,
- valamely részt vevő hatóság által előterjesztett kérelem alapján,
- érintett személy által az információkezeléssel kapcsolatban benyújtott panasz alapján.[506]
Az eljárás lefolytatására a III. Könyv szerinti eljárási részletszabályok értelemszerűen alkalmazandók.
Az alapvető jogok hatékony védelme érdekében a felügyelet jogosult arra, hogy saját hatáskörben az információs rendszerben található adatokhoz hozzáférést engedélyezzen, megváltoztasson vagy törölje azokat. Ez az egyének által igénybe vehető központosított, egyablakos
- 228/229 -
jogorvoslat létrehozását lehetővé tevő egyik legfontosabb rendelkezés, az uniós jog decentralizált szervezetben történő egyéni védelméhez szükséges egyik legfontosabb elem.
A VI-30. és VI-33. cikkben meghatározott feltételekkel az érintett személy kérelemre jogosult bármikor igazolást beszerezni a felügyelő hatóságtól a tekintetben, hogy a rá vonatkozó adat feldolgozása folyamatban van-e.[507] E körben tehát nem csupán az adatokhoz való hozzáférés engedélyezése, hanem az adatfeldolgozás állapotáról igazolás kötelező kiadása is a felügyelő hatóság kompetenciájába tartozhat (a feltételek fennállása esetén).
Az ilyen személyes adatok feldolgozása esetén a hatóság az alkalmazandó adatvédelmi jogszabálynak megfelelően tájékoztatást nyújt és folyamatosan biztosítja, hogy az érintett személyek hatékonyan gyakorolják az alkalmazandó adatvédelmi jogszabály szerinti hozzáférési jogukat [VI-33 (1). cikk].[508]
Az érintett személy azon kérelme alapján, melyben az adatokat szolgáltató hatóságtól a rá vonatkozó, nem helytálló adatok haladéktalan helyesbítését,[509] valamint a jogellenesen rögzített vagy tovább már nem tárolható adatok zárolását kéri; illetve adatvédelmi hatóság vagy bíróság határozatát követően a felügyelő hatóságot fel kell jogosítani az információs rendszerbe bevitt nem helytálló vagy jogellenes adatok törlésére vagy módosítására. [VI-33 (2). cikk]
A meglévő adatokról történő tájékoztatás kérésének, valamint a nem helytálló vagy jogszerűtlenül megszerzett vagy tárolt adatok javítására vagy törlésére irányuló kérelem beadásának lehetővé tétele szükséges annak elkerülése érdekében, hogy - az információs rendszer technikai kialakításától függően - az érintett személynek egyidejűleg több javításra irányuló kérelmet is be kelljen nyújtania több illetékességi területen annak érdekében, hogy jogainak sérelmét hatékonyan orvosolni tudja, illetve, hogy elkerülhető legyen annak kockázata, hogy az egyén nem a megfelelő részt vevő hatósághoz fordul. A jogorvoslati jogokkal felruházott egységes felügyelet nemcsak azt teszi lehetővé, hogy az egyének hatékony jogorvoslattal éljenek a törvénysértések ellen, hanem valamely felügyelet negatív döntése esetén arra is lehetőséget teremt, hogy az egyén a fellépés megtételét elutasító döntés esetén megsemmisítés iránti kérelemmel, vagy a fellépés elmaradása esetén mulasztás megállapítása iránti keresettel uniós bíróságokhoz forduljon. A jogorvoslathoz való jog biztosítása tehát széles körben adott.
Ahogy már említésre került, amennyiben az információkezelési tevékenységek valamelyikét információs rendszer segítségével valósítják meg, abban az esetben felügyelő hatóság létrehozása is szükséges. Az információs rendszer speciális szoftver, IT-rendszer, szervezeti infrastruktúra lehet, amely támogatja a közigazgatáson belüli információcserét vagy adatbázisok alapítását. A felügyelő hatóság feladata a részt vevő hatóságok közötti információkezelési tevékenység felügyelete, a hatóságok közötti konfliktusok megoldása, feloldása közvetítői
- 229/230 -
eljárás[510] vagy kötelező erejű határozatok útján,[511] illetve a tárgybani ügyekkel kapcsolatos jogorvoslatokat elbíráló hatóság szerepének betöltése. A felügyeleti feladatai körében a felügyelő hatóság kiterjedt ellenőrzési jogosítványokkal is rendelkezik. Fontos kiemelni, hogy a felügyelő hatóság az európai adatvédelmi biztossal és a nemzeti adatvédelmi hatóságokkal szoros együttműködésben véd az egyéni adatvédelemhez és az információhoz való hozzáféréshez fűződő jogokat. A felügyelő hatóság e jogok védelmében, illetve feladatai hatékony ellátása érdekében jogosult arra, hogy az adatbázisban található adatokhoz hozzáférést adjon, az adatokat törölje vagy megváltoztassa.
E külső adatvédelmi felügyelet mellett adatbázisonként egy adatvédelmi tisztviselő kinevezéséről is rendelkezni kell (belső adatvédelmi felügyelet). Az információkezeléssel kapcsolatos jogok olyannyira garanciális jelentőségűek, hogy a külső felügyelet mellett a "modellszabályozás" a belső adatvédelmi felügyeletet is előírja, kötelezővé teszi. A külső és a belső felügyelet egységében teszi ki tehát azt a jogvédelmi rendszert, mely biztosítja a tárgybani - információkezeléssel kapcsolatos - jogok és kötelezettségek komplex garanciális keretét, védelmét.
Az adatvédelmi tisztviselők az adatvédelmi hatóságokkal való központi kapcsolattartási feladatokat látják el.
Megemlítendő, hogy az adatvédelmi tisztviselő kinevezésére vonatkozó kötelezettség már "a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról" szóló EK rendelet szerint is vonatkozik az adatokkal, információkezeléssel foglalkozó uniós intézményekre, testületekre, hivatalokra és ügynökségekre.[512] E meglévő kötelezettségrendszeren kívül a ReNEUAL vonatkozó szabálya arra is kötelezi a tagállami hatóságokat, hogy az uniós adatbázisokkal folytatott tevékenységek vonatkozásában is nevezzenek ki adatvédelmi tisztviselőt.
A "modellszabályozás" az adatvédelmi tisztviselő által végzett belső felügyeletre az adatvédelmi tisztviselők kinevezésére és feladataira általános jogszabályként a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló EK rendelet szabályait rendeli megfelelően alkalmazni,[513] feltéve, hogy az adatbázis létrehozásáról szóló tagállami jogszabály nem tartalmaz egyedi szabályokat. Tekintve, hogy a hivatkozott EK rendelet lényegében az uniós intézményekre, szervekre, hivatalokra, és ügynökségekre vonatkozik, a tagállami hatóságokra nem közvetlenül, csak elveiben, illetve közvetetten, értelemszerűen alkalmazandó. A tagállami hatóságok adatvédelmi tisztviselői együttműködnek a tagállami
- 230/231 -
adatvédelmi hatósággal, illetve adott esetben az Európai Adatvédelmi Testülettel, és szerepelniük kell a tagállami adatvédelmi hatóság nyilvántartásában.
Amennyiben az adatbázisok külső adatvédelmi felügyeletét a kormányzati döntések, valamint a vonatkozó uniós vagy tagállami jogszabályok nem bízzák az Európai Adatvédelmi Testületre, az adatbázisok külső adatvédelmi felügyeletét az európai adatvédelmi biztos és a nemzeti felügyeleti hatóságok kooperatív együttműködés keretében látják el.
Fontos kiemelni, hogy a közelmúltban elfogadott legtöbb uniós jogszabályban a külső felügyeletet kooperatív modell szerinti struktúrában (lásd részletesebben a következő pontban) szervezték, határozták meg.[514]
A kooperatív felügyeleti struktúrában a felügyeleti kompetenciák, feladat- és hatáskörök az európai adatvédelmi biztos és a nemzeti (tagállami) felügyeleti hatóságok között kerülnek megosztásra.
Az európai adatvédelmi biztos intézményét a korábbiakban már említett 45/2001/EK rendelet hozta létre.
Az európai adatvédelmi biztos működésének célja az adatfeldolgozás tárgybani rendeleti szabályozásnak való megfelelőségének, érvényesülésének biztosítása és ellenőrzése. Ebben különleges szerepet kap az európai adatvédelmi biztos kérelemre induló eljárási kötelezettségének, lehetőségének megteremtése, vagyis, hogy az információkezeléssel, adatvédelemmel összefüggésben egyéni panasz is benyújtható az európai adatvédelmi biztoshoz. E panaszok tárgyában történő eljárás, e panaszok kivizsgálása jelenti az egyik legfontosabb pillérét az európai adatvédelmi biztos jogvédelmi szerepének.
Az európai adatvédelmi biztos jogalkalmazói gyakorlata alapján számos egyéni jog, alapvető garanciális kérdés azonosítható e témakörben, azonban ezek megfelelő adminisztratív
- 231/232 -
biztosítékok, eszközök nélkül kerültek kialakításra, elfogadásra a vonatkozó jogi rezsimben. Különösen érdekes ebben a kontextusban a Bizottság 2010. novemberi közleménye,[516] amely szerint a Bizottság kifejezett szándéka erősíteni, egyértelműsíteni a hozzáférési, a helyreigazítási, a törlési és zárolási jog tényleges gyakorlásának, gyakorolhatóságának formáit, többek között azáltal, hogy a kérelmek megválaszolására határidőt állapítanának meg.[517]
Az európai adatvédelmi biztos konkrét hatáskörébe az uniós intézmények, szervek, hivatalok és ügynökségek által végzett személyes adatfeldolgozási tevékenység tartozik. E hatásköre keretében biztosítja a természetes személyek személyes adataik védelméhez való jogát. Határozottan és erős eszközrendszerrel érvényesíti, hogy az Európai Unió szervei a személyes adatokat csak tisztességesen, jóhiszeműen, meghatározott célokra, valamint az érintett személy hozzájárulása alapján vagy valamilyen más, törvényekben kifejezetten és garanciálisan rögzített okból kezeljék. Biztosítja továbbá annak maradéktalan megvalósulását, hogy az érintett a róla gyűjtött adatokat megismerhesse és azok kijavítását kérhesse.[518] Emellett az európai adatvédelmi biztos felelősségi körébe tartozik az adatfeldolgozás rendszeres időközönkénti - legalább négyévenkénti - ellenőrzése is. Ezen ellenőrzési hatáskört számos uniós jogforrás, az adott szakigazgatási terület sajátosságaihoz igazítva, külön is rendezi.[519]
Az európai adatvédelmi biztos hatáskörének gyakorlásához biztosított eszközrendszerből kiemelendő:
- a panaszok kivizsgálásának, akár szóbeli "meghallgatásának" joga,
- a természetes személyek adatainak védelmére vonatkozó közösségi jogi aktusok alkalmazásának folyamatos figyelemmel kísérése, ellenőrzése,
- a személyes adatok közösségi intézmények általi feldolgozásának konkrét ellenőrzése,
- tanácsadás, együttműködés a személyes adatok feldolgozásával kapcsolatos valamennyi kérdésben,
- az egyének jogvédelmével foglalkozó munkacsoport tevékenységében való részvétel.[520]
Az európai adatvédelmi biztos az ellenőrzése eredményeként hatáskörrel rendelkezik - többek között - bármely adat helyesbítésének, zárolásának, törlésének vagy megsemmisítésének, az adatfeldolgozás átmeneti vagy végleges tilalmának elrendelésére, eljárás kezdeményezésére
- 232/233 -
az érintett közösségi intézménynél, az Európai Parlamentnél, Tanácsnál vagy a Bizottságnál, meghatározott feltételek esetén pedig az Európai Közösségek Bírósága előtt.[521]
A tagállami hatóságok általi adatfeldolgozással összefüggő felügyeleti feladatokat a már többször említésre került nemzeti felügyeleti hatóságok látják el, nyomon követik a személyes adatok tagállami kormányzati, közigazgatási szervek általi feldolgozásának törvényességét.
Feladataik hatékony ellátása érdekében vizsgálati jogkörrel rendelkeznek (hozzáférés joga, adatok gyűjtésének joga), és tényleges beavatkozási jogosultságaik is vannak (véleményezés joga, adatok zárolásának, törlésének, megsemmisítésének elrendelése), illetve részvételi joggal rendelkeznek a tárgybani rendelkezések megsértése tekintetében folytatott bírósági eljárásokban.[522] E hatáskörök a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében történő személyesadat-feldolgozás körében is megilletik a nemzeti felügyeleti hatóságokat.[523]
A nemzeti felügyeleti hatóságok legfontosabb feladata az érintettek segítése egyéni jogaik gyakorlásában, védelmében. Ezen belül kiemelt szerepük, hogy az érintett számára segítsenek azonosítani a konkrét adatkör feldolgozásáért felelős hatóságot (tekintettel arra, hogy az érintettektől általában nem elvárható, hogy képesek legyenek meghatározni az érintett adat feldolgozását végző, ezen adatfeldolgozásért felelős hatóságot). A hatékony segítségnyújtás érdekében mind az érintett lakóhelye szerinti tagállam nemzeti felügyeleti hatósága, mind az adatokat továbbító tagállam nemzeti felügyeleti hatósága is illetékes az érintetteknek való tanácsadásban, a konkrét adat helyesbítésére vagy törlésére vonatkozó jogosultság érvényesítésében (az illetékes hatóságok pedig kötelesek szorosan együttműködni e segítségnyújtás, jogérvényesítés érdekében). Annyi korlát érvényesül, hogy az érintett csak a lakóhelye szerinti tagállam nemzeti felügyeleti hatóságához nyújthatja be kérelmét, és e hatóság továbbítja a kérelmet az adatot továbbító tagállam nemzeti felügyeleti hatósága felé.
A nemzeti felügyeleti hatóság a tagállami hatóságoknál, az európai adatvédelmi biztoshoz hasonlóan, legalább négyévente ellenőrzik az adatfeldolgozási tevékenységet, műveleteket. A nemzeti felügyeleti hatóság e tevékenysége tehát kiegészíti, "egységesíti" az európai adatvédelmi biztos ellenőrzési feladatait.
- 233/234 -
Az európai adatvédelmi biztos és a nemzeti felügyeleti hatóságok kooperatív felügyelet keretében együttműködnek egymással a személyes adatok adatbázisokban való feldolgozásának védelme tekintetében, ahogyan ezt a fentiekben az egyes szervek konkrét feladatainak elemzésénél is bemutattuk.
Az európai adatvédelmi biztos és a nemzeti felügyeleti hatóságok együttműködési kötelezettsége az EUMSZ szerinti lojális együttműködésre vonatkozó általános elvi kötelezettség konkrét megjelenése, meghatározása.[524]
A lojális együttműködés elve három fontos elemet foglal magában: egyrészt a tagállamok intézkedési kötelezettségét, másrészt az Európai Unió célkitűzéseinek megvalósítását hátráltató intézkedésektől való tartózkodást, harmadrészt pedig a "segítési" kötelezettséget. A lojális együttműködés elve alapján a tagállamok egyfelől nemzeti sajátosságaikkal gazdagítják, másfelől határozottan segítik az Európai Unió feladatainak, céljainak megvalósulását.[525]
A Javaslat e lojális együttműködés információkezeléssel kapcsolatos részleteit, sajátos követelményeit is rendezi. Egyrészt egyéni jogokat, garanciális jogvédelmet biztosít az adatfeldolgozással érintett személyek számára, úgymint az illetékes hatóságokhoz való fordulás (eljárásindító kérelem) jogát és a kérelem továbbításához való jogot, másrészt a nemzeti felügyeleti hatóságok és az európai adatvédelmi biztos számára konkrét (eljárási és anyagi jogi) kötelezettségeket, határidőket ír elő. Ezek a kötelezettségek a kölcsönös segítségnyújtásról szóló V. Könyv szerinti általános szabályok és az azokból következő kölcsönös segítségnyújtási kötelezettségek mellett is fennállnak.
A "külső felügyelet" sajátos intézménye az Európai Adatvédelmi Testület, mely az "Általános Adatvédelmi Rendelet" javaslatában jelenik meg, mint az adatfeldolgozás egységes, integrált külső adatvédelmi felügyeleti intézménye.[526]
Annak alapja, hogy a tárgybani adatfeldolgozás meghatározott részének teljes külső felügyeletét egyetlen szervezethez rendelik egyrészt az, hogy bizonyos közös adatbázisokban történő adatfeldolgozás a közigazgatási eljárásoknak egy különösen összetett és sajátos formáját jelenti. Másrészt, ezáltal a jogellenes adatkezelés jogkövetkezményei egységessé válhatnának, illetve uniós szinten rögzülhetnének, ezáltal pedig erősödhetne és egységesülhetne az információkezeléssel, adatfeldolgozással kapcsolatos egyéni jogvédelem garanciarendszere (ugyanis ezáltal az egyén minden tagállamban azonos védelemre és kártérítésre számíthatna).
- 234/235 -
Az Európai Adatvédelmi Testület minden tagállam egy felügyeleti hatóságának vezetőjéből és az európai adatvédelmi biztosból állna a javaslat szerint. Az Európai Adatvédelmi Testület váltaná fel a 95/46/EK irányelv 29. cikkével[527] létrehozott munkacsoportot is (persze számos különbséggel, melyek közül kiemelendő, hogy míg a munkacsoportnak a Bizottság egy képviselője is tagja, addig az Európai Adatvédelmi Testületnek a Bizottság garanciális okokból nem lehet tagja).
Az Európai Adatvédelmi Testület független szervezetként jönne létre, járna el, feladatköre ellátása során semmilyen formában és módon sem lenne utasítható. Amennyiben adott jogi szabályozás az információs rendszerek külső felügyeletét az Európai Adatvédelmi Testülethez rendelné, abban az esetben a testület feladata megegyezne az európai adatvédelmi biztos és a nemzeti felügyeleti hatóságok adatfeldolgozáshoz kapcsolódó feladataival, jogköreivel (csak a kooperatív modell helyett egységes integrált felügyeleti rendszer keretében). E feladat ellátása érdekében, a testület minden évben, minden egyes adatbázis tekintetében az európai adatvédelmi biztosra és a nemzeti felügyeleti hatóságokra nézve is kötelező érvényű felügyeleti tervet készítene.
Az integrált felügyeleti tevékenységén kívül a testület állandó jelleggel, fő feladataként adatvédelmi tanácsokkal látná el a Bizottságot, ajánlásokat, iránymutatásokat dolgozna ki a nemzeti felügyeleti hatóságok számára, továbbá előmozdítaná a hatóságok közötti együttműködést, a tudás- és dokumentációáramlást, valamint az adatfeldolgozással, adatvédelemmel kapcsolatos jogalkalmazás egységesítését, összhangját.
A ReNEUAL uniós Modell Szabályok VI. Könyve foglalkozik a jogorvoslat és a felelősség kérdésével, bár néhány alapelven kívül pontos szabályokat nem tartalmaz. A könyv az Adminisztrációs információs menedzsment (Administrative Information Management) címet kapta, amely magyar fordításban talán a közigazgatási információs rendszer terminusnak felelhet meg. Azonban le kell szögeznünk, hogy a VI. Könyv a klasszikus értelemben vett közigazgatásnál szélesebb spektrumban fektet le követendő alapelveket a tagállamok számára.
A VI. Könyv 5. fejezete fejti ki a jogorvoslat és felelősség általános elveit két alfejezetben; a 40. pontban a kompenzációhoz való jog, a 41. pontban a jogosulatlan adatkezelés szankciói ismerhetőek meg.
Mindkettő esetében - tartalmuk alapján - elmondható, hogy a közigazgatáson jóval túlmutatóan írnak elő elveket. Azonban mindegyik részt érdemes a magyar közigazgatási jog, pontosabban közigazgatási eljárás alapelveivel és ide vonatkozó rendelkezéseivel összevetni, sőt, mindezekkel összefüggésben, az információs és infokommunikációs jog területéről az adatvédelem egyes elemeivel is érdemes összehasonlítani.
- 235/236 -
Az uniós Modell Szabályok a Kompenzációhoz való jog az összetett információs menedzsment tevékenységére tekintettel című fejezetben fejtik ki a kérdéskört illető szabályokat.[529]
A címben a használt terminusokat érdemes röviden górcső alá vennünk. Egyrészt kompenzációról beszél, ami lényegét tekintve kártérítést jelent, bár ennél tágabb fogalom. A kompenzáció az in integrum restitutio-t - eredeti állapot visszaállítását jelenti, vagy ha ez nem lehetséges, akkor a teljes mértékű - az okozott sérelemmel egyenértékű - kártérítést.
A Javaslat szövege szerint minden személy jogosult a kártérítésre, akit a hatóság jogellenes eljárása, adatfeldolgozása, információs menedzsment tevékenysége, vagy inkompatibilis jogi aktusa miatt ér kár.[530] Az uniós modell egyezést mutat a magyar szabályozással, amely nevesíti a közigazgatási/államigazgatási jogkörben okozott kárt, és elkövetése esetén kártérítési kötelezettséget ír elő. Oly módon, hogy "[a] közigazgatási hatóság a nem jogszabályszerű eljárással okozott kárt a polgári jog szabályai szerint megtéríti",[531] sőt "[a] közigazgatási hatóság nem jogszabályszerű eljárása következtében személyiségi jogában megsértett jogalany számára sérelemdíjat fizet".[532] A Javaslat és a magyar szabályozás összevetésénél említésre méltó az, hogy míg előbbi egy joganyagon belül említi a közigazgatási eljárás során megvalósítható jogellenes magatartások szinte teljes egészét, addig a magyar megoldás eltér ettől, hiszen a közigazgatási eljárásjogi törvény a Polgári Törvénykönyvre utal az általa újdonságként behozott jogintézmény, a sérelemdíj említésekor.[533]
A Javaslat ide vonatkozó rendelkezéseiből következik az, hogy a magyar sérelemdíj jogi megoldása egyezik az uniós elvekkel, elgondolásokkal. Ennek legékesebb bizonyítéka az, hogy a Javaslat a hatóság a személyt érintő adatok feldolgozása során elkövetett jogsértése esetére is kártérítési kötelezettséget ír elő. Már pedig a személy adatainak jogellenes feldolgozása a magyar polgári jog szabályai szerint is személyiségi jogsértés, amely a közigazgatási hatóság által történő sérelemdíj fizetési kötelezettséget eredményez.[534] A két szabályozási rendszer abban is egyezik, hogy alapvetően a kárt okozó hatóság számára eredeztet kártalanítási, kártérítési kötelezettséget, és az aktus és a kár közötti ok-okozati összefüggés teszi mindkettőt a kompenzáció jogalapjává. Azonban a kettő között különbséget is felfedezhetünk. Míg a magyar közigazgatási eljárásjog és Polgári Törvénykönyv a sérelemdíjat kifejezetten a természetes személy, az ember számára biztosítja személyiségi jogsértés esetén, a Javaslat szövege a jogi személyt ért jogosulatlan adatkezelést, adatfeldolgozást is kártérítési kötelezettséget eredeztető tényezőként taglalja, tehát nem csak az ember számára teszi lehetővé adatkezelés által ért jogsértés esetén kártérítés követelését.
- 236/237 -
A Javaslat a felelősség mértékénél igen érdekes megállapítást tesz, mikor kimondja, hogy a keresettel támadott hatóságnak, amely a kárt okozó konkrét igazgatási tevékenységben közvetlenül nem vett részt, csak akkor áll fenn kártérítési kötelezettsége, ha alapvető jogokat sértett a tevékenysége, egyébként a jogosult köteles a kártérítést visszafizetni. A hivatkozott megállapítás célja kétségkívül az, hogy míg a jogsértést közvetlenül okozó hatóság minden esetben köteles legyen a kártalanításra, a kárt közvetve okozót csak alapvető jogsértés esetén terhelje e kötelesség. A felelősségi rendszer ilyen jellegű meghatározása kétségkívül helytálló, azonban a megfelelő működéshez szükséges az alapvető jog fogalmának pontos meghatározása, azaz, hogy mit értünk ez alatt. A Javaslat ezzel egyelőre adós marad, csupán körülírja az alapvető jog kategóriáját. Itt szükségesnek látom, hogy röviden utaljak az európai alkotmány létének dilemmájára, amelynek megoldása az iménti felvetés egzakt válaszát szolgáltathatná. Egyik nézőpont szerint az Európai Unió alkotmányát a létrehozó, alapító szerződések jelentik, mások szerint szükséges lenne egységes uniós alkotmány elfogadására, azonban erre még nem került sor. Amennyiben a két megoldás közül intézményi szinten kimondásra kerül egyik elfogadása, máris tisztában lehetünk azzal, hogy mit is jelent az alapvető jog kategóriája, amely kiindulási pontunk alapja a közigazgatási felelősség esetében is.
Az imént fölvetett gondolat aktualitását bizonyítja a ReNEUAL azon megállapítása is, amely szerint az alapjogi kötelességeket teljesítő hatóság csak akkor kötelezhető kártérítés fizetésére, ha elmulasztotta az elvárható aktusok teljesítését, amelyekkel megakadályozhatta, vagy mérsékelhette volna a károsodást. Mindezek mellett a kár kiszámítását és kompenzálását illető szabályok kidolgozását már a tagállamokra bízza. Magyarország, mint az Európai Unió tagja, így teljesen helytállóan szabályozza a közigazgatási eljárási jogban és a Polgári Törvénykönyvben a fentebb már részletezett személyiségi jogsértést, sérelemdíjat és államigazgatási jogkörben okozott kár fogalmát. A magyar rendszer összhangban van a ReNEUAL szabályaival, nincs tehát további jogharmonizációra szükség.
A Modell Szabályok kártérítésre, pontosabban kompenzációra vonatkozó ajánlása kapcsán érdemes felvetnünk annak a kérdését, hogy vajon mi indokolta azt, hogy külön új szabályokat alkossanak, alapelveket fogalmazzanak meg a kérdést illetően? az eddigi uniós normák nem határozták meg megfelelően az alapvető elveket? Nem voltak eléggé részletesek, vagy éppen ellenkezőleg, nem voltak elég általánosak? a kérdésre nem adhatunk egyértelmű választ. A ReNEUAL szövegének szerzői feltehetően azzal a szándékkal fogtak neki a kifejtett fejezet megírásának, hogy általános elveket határozzanak meg a tagállamok számára. Olyan keretszabályokat, amelyek az uniós jogrendszer egységét kifejezik és erősítik, ugyanakkor mellette elegendő mozgásteret adnak a tagállamoknak a nemzeti - helyi sajátosságokhoz igazodó - szabályrendszer megalkotásához a szubszidiaritás elvét is figyelembe véve, azaz teljesítve legyen az a követelmény, hogy a felmerülő kérdéseket és problémákat a keletkezésükhöz legközelebbi helyen és szinten oldhassák meg.
Tekintettel a fejezet szövegének terjedelmére, egy mondatban - lakonikusan - szinte csak egy kötelezettséget ír elő, így túlzás rendszert említeni. A kérdéskört illetően az Európai
- 237/238 -
Unió a Modell Szabályok szerint lényegében tág mozgásteret enged a tagállamoknak, nem kíván fejlesztéseket eszközölni a jogrendszerükben az adatkezelés szankcionálása vonatkozásában. A tagállamok jogrendszerében eddig is jelenlévő elvet emeli kötelezettség szintjére, amely szerint biztosítani kell, hogy minden hatóság esetében a jogosulatlan adatkezeléstől hatékonyan elrettentő, és azt megelőző, megfelelő mértékben visszatartó szankcionálási rendszer működjön.[535] A negatív szankció általános célját határozza meg, emellett a megelőzés szerepét teszi elsődlegessé a büntetéssel, megtorlással szemben. Ugyanakkor említésre méltó az is, hogy adatfeldolgozás és információkezelés, menedzselés esetében írja elő mindezek védelme céljából a megfelelő szintű szankcionálást a jogsértések megelőzése céljából. Lényegében a teljes adatvédelmet lefedi a Javaslat a kifejtett fejezetben, a teljes adatvédelmi területre követelményt fogalmaz meg. Az alapelv leírásával pedig a védendő kört is meghatározza. A természetes és jogi személyek, valamint jogi személyiséggel nem rendelkező társaságok adatait és megfelelő adatkezeléshez való jogát védendő értéknek tekinti. Nemcsak a természetes személy személyes adatait emeli ki a védelem tárgyai közül, hanem lényegében minden adatkezelési folyamatra kiterjeszti a védelmet azáltal, hogy a teljes adatkezelési folyamatot védelem alá veszi. Bár teljes egészében a tagállamokra bízza a védelem rendszerének kidolgozását, és nem operál olyan részletes, pontos fogalmakkal, mint például a magyar megoldás, azonban egységes uniós elvek alapján megteremti a lehetőségét olyan részletszabályok, nemzeti szabályok kidolgozására, melyek a tagállamok számára is megfelelőek.
Az Európai Unió tagállamai részére pedig adott a lehetőség, hogy közös, európai elveken nyugvó adatvédelmi rendszert hozzanak létre, illetve működtessenek tovább, növelve a jogbiztonságot, amely kétségkívül az Unió egyik prioritást élvező célja.
Napjainkban az adatkezelés, információmenedzsment szempontjából két fontos jelenséget nem hagyhatunk figyelmen kívül. Az első az adatrobbanás. Hatalmas adattömeg (big data) jelent meg, melynek kezelése komoly feladat elé állítja nemcsak az állami szerveket, hanem a gazdasági szférát is. Az adatok mennyisége miatt eleve komoly technológiai kihívást jelent azok kezelése, tárolása, feldolgozása, az adatbázisok fenntartása, másrészt rendkívül nehéz ezen adatok strukturálása is: a feladatellátás szempontjából értékes adatok kiválasztása, illetve azok aktualitásának fenntartása, tekintettel a nagyon gyors változásukra. Ugyanakkor hatalmas lehetőségek is rejlenek a rengeteg adat, információ felhasználásában. A másik fontos jelenség ezzel párhuzamosan az adatvédelem, információszabadság területeinek tagállami, illetve európai rendszerét érő újabb és újabb kihívások: nemcsak a globális vállalatok adatkezelése értendő
- 238/239 -
ide, hanem a tagállamok és az Európai Unió (mint egész) versenyképessége, vagy akár az idegenrendészeti feladatok, a terrorizmus elleni közös küzdelem előmozdításának céljai is.
A Javaslat ebben a komplikált rendszerben próbált egy átfogó (keret)rendszert létrehozni a tagállami közigazgatási szervek egymás közötti, az uniós intézmények egymás közötti, illetve a tagállami szervek és az uniós intézmények közötti információkezelési tevékenységére, illetve mindennek kontrolljára. Mindezt úgy, hogy az érintett adatoknak, és így azok kezelésének is számos eltérő, szektorális elvárásnak kell megfelelniük. Alapvetően abból az elgondolásból indultak ki a javaslat összeállítói, hogy az érintett szerveknek, intézményeknek érdekük a döntéshozatalukhoz szükséges információkhoz való hozzáférés, amely megalapozza e téren a kölcsönös segítségnyújtást. A probléma az, hogy nem feltétlenül áll fenn a kettő között az okozati összefüggés, ez pedig kihathat arra, hogy van-e bármilyen jövője a VI. Könyvben foglalt elképzeléseknek. Mert ugyan igaz, hogy szükség van ezekre az információkra, egyáltalán nem biztos azonban, hogy a tagállamok, illetve a gazdasági élet egyes szereplői részéről, tekintettel a gazdasági érdekeikre, az adatok közléséhez is ugyanekkora érdek fűződik majd, sőt. A VI. Könyv egyik nagy kérdése tehát, hogy az információhoz való hozzájutás érdeke és a sokrétű, több oldalról is megerősített garanciarendszer együttesen elégséges lehet-e ezen ellenérzések lebontására.
A VI. Könyvben szabályozott információkezelési együttműködés egyik kérdése az alkalmazott technológiák interoperabilitása. Az információk továbbítása és fogadása, az adatbázisokhoz való hozzáférés feltételezheti az alkalmazott rendszerek együttműködési képességét (és nemcsak az alkalmazott szoftverekre érdemes ilyenkor gondolni, hanem pl. az adott adatbázis nyelvére is), ez azonban továbbra is nagy hiányosság, ahogyan arra az Európai Digitális Menetrend is rámutat.[537] Amennyiben nem oldható meg, vagy nem kívánják megoldani az adatbázisok interoperabilitását, másik megoldási lehetőség a párhuzamos hozzáférés biztosítása az arra feljogosítottak számára. Emellett az együttműködés hatékonysága, a technikai feltételek adottságán túl, összességében a részes hatóságokon múlik, ami szintén magában hordozza a rendszer gyakorlati működésképtelenségét (más kérdés, hogy ezt a problémát nyilvánvalóan nem jogi aktusokkal kell kezelni).
A VI. Könyv sokszor nagyon absztrakt, általános jellegű rendelkezéseket tartalmaz, a konkrét feladatokat külön (szektorspecifikus) EU jogi aktusokra, tagállami szabályokra bízva. Még így is kellően bonyolult rendszert dolgoztak ki a könyv kodifikátorai. Fontos eredménye lenne, hogy a II-V. Könyvben szabályozott közigazgatási tevékenységek során a döntéshozatal alapjául szolgáló információk végig visszakövethetőek lennének, átlátható lenne az információ útja. A Könyv integráltan kísérli meg rendezni az információs önrendelkezési jog és az információszabadság követelményeit, mely során az egyik alapvető jelentőségű kérdés, hogy pontosan mely adatokhoz és milyen terjedelemben biztosítják a hozzáférést, azt azonban a VI. Könyv nem rendezi, és hasonlóképpen nem rendezi az ún. alap-jogiaktus sem, ami az információkezelés VI. Könyv szerinti módjának jogalapját keletkezteti. Ez nem is lenne elvárható az érintett adatok sokrétűsége miatt, ugyanakkor a tagállami szabályozások itt
- 239/240 -
is komoly eltéréseket mutathatnak, ami szintén felboríthatja a kölcsönös segítségnyújtáson alapuló rendszer egyensúlyát.
Az alap-jogiaktust illetően kiemelendő, hogy ennek hiányában értelemszerűen alkalmazhatatlan az egész VI. Könyvön alapuló rendszer, így ennek megalkotása alapvető jelentőségű. A VI. Könyv meg is fogalmaz követelményeket a tartalmát illetően, ugyanakkor a jogi kötőerőn túl nem nevesíti, milyen uniós jogi aktusként kellene elfogadni, csak egy példálózó felsorolást tartalmaz, sőt, a rendelkezéshez fűzött kommentár szerint az alap-jogiaktusnak jogalkotási aktusnak sem kell feltétlenül lennie.[538] Ez utóbbi ugyanakkor nehezen elképzelhető megoldás lenne, különös tekintettel arra, hogy alapvető jogokat érint a felhatalmazás megadása. Azt is érdemes figyelembe venni, hogy a tagállamok mozgástere is eltérő annak függvényében, hogy pontosan milyen jogalkotási aktus adja meg e felhatalmazást.
Mind az adatvédelem, mind az adatbiztonság szabályai alapvetően keretszabályok, alapelvek szintjén jelennek meg, a szükséges részletszabályok pedig az uniós jogban, illetve a tagállami jogokban találhatók meg. Az adatokhoz való hozzáférés során végig jelen van a célhoz kötöttség követelménye, illetve a hozzáférés, tárolás, kezelés időbeli korlátozottsága, továbbá annak a biztosítása, hogy akivel kapcsolatban adatokat kezelnek, nyomon tudja követni a rá vonatkozó adatok útját és élhessen jogosultságaival, mindemellett pedig egy többszintű kontrollrendszert vezetne be a VI. Könyv. Az alap-jogiaktus, illetve a VI. Könyv több rendelkezése alapján minimális szinten szabályozni kell az információkezelési tevékenységgel kapcsolatos jogokat, kötelezettségeket, azok célját, az abban részt vevő, irányító, felügyelő hatóságok, adatvédelmi hatóságok, belső adatvédelmi felelősök részvételét. A cél az átlátható adatkezelés, illetve az azzal kapcsolatos egyértelmű felelősség meghatározása. A belső adatvédelmi felelősökön, illetve a tagállami adatvédelmi biztosok, hatóságok ellenőrző tevékenységén túl szükséges felügyelő hatóságot is létrehozni. Így vita esetén az érintett hatóságok között közvetítési eljárásra is van lehetőség, melyet a felügyelő hatóság folytat le, de kötelezheti is az érintetteket. Kontrollt az európai adatvédelmi biztos gyakorol (a nemzeti adatvédelmi felügyeletekkel kooperatív együttműködésben), az új adatvédelmi rendelet hatálybalépésével pedig az Európai Adatvédelmi Testület. Lehetőség van az Európai Bírósághoz fordulni, illetve az adatkezeléssel okozott kár megtérítésére is lehet találni rendelkezéseket. A rendszer igyekszik hézagmentes lenni, vagyis a címzettek és a harmadik felek elvileg nem kerülhetnek olyan helyzetbe, hogy ne legyen olyan szerv, amelyik eljár jogaik, érdekeik védelme érdekében. Ugyanakkor ez a többszintű kontrollrendszer, amely az adott hatóságon belüli, nemzeti, illetve uniós szintű szervekből áll, felveti azt az aggodalmat, hogy mennyire lenne a valóságban gördülékeny, gyors, hatékony ezen szereplők együttműködése.
Összességében elmondható, hogy a VI. Könyv célja egy hatékony, garanciákkal körülbástyázott, tagállamok és Uniós szervek közötti információkezeléssel kapcsolatos rendszer alapjainak kidolgozása volt, amely ugyanakkor sok elemében függ a tagállami érdekektől, a hatóságok, illetve kontrollszervek együttműködési akaratától és működési professzionizmusától. Tekintettel arra, hogy a ReNEUAL-lal kapcsolatban két éve nem tapasztalható előrelépés, kérdéses, hogy e rendszerből bármi is megvalósul-e, ugyanakkor nem szabad azt sem elfelejteni, hogy
- 240/241 -
előbb-utóbb e rendszer irányába fog elmozdulni az Európai Unió, a hatékony működés érdekében ugyanis tovább kell fejleszteni a jelenlegi akadozó adattovábbítási szisztémákat. ■
JEGYZETEK
[436] A Bevezetés Hajas Barnabás írása.
[437] Hasonló megfontolásból hozta létre az Európai Bizottság az Interoperabilitási Megoldások az Európai Közigazgatások Számára (Interoperability Solutions for European Public Administrations - ISA) elnevezésű programot.
[438] A fejezet Hajas Barnabás írása.
[439] A ReNEUAL Modell Szabályok koncepciójának összefoglalója itt olvasható: Gerencsér Balázs - Berkes Lilla - Varga Zs. András szerk.: a hazai és Uniós közigazgatási eljárásjog aktuális kérdései, Pázmány Press, Budapest, 2015, 524.
[440] Pl. belső piaci információs rendszer.
[441] Interoperability Solutions for European Public Administrations, www.ec.europa.eu/isa/documents/isa_iop_communication_en.pdf. (2016. július 5.)
[442] European Interoperability Strategy (EIS), www.ec.europa.eu/isa/documents/isa_annex_i_eis_en.pdf. (2016. július 5. 10:00)
[443] European Interoperability Freamework (EIF), www.ec.europa.eu/isa/documents/isa_annex_ii_eif_en.pdf. (2016. július 5. 10:00)
[444] www.ec.europa.eu/isa/about-isa/index_en.htm. (2016. július 5.)
[445] A fejezet Hajas Barnabás írása.
[446] VI-9.
[447] VI-19.
[448] Pl. a VI-19 (4) előírja, hogy ha az adatokat szolgáltató hatóságon kívül más hatóság bizonyítékkal rendelkezik arról, hogy az adatok helytelenek vagy azok feldolgozása jogszabálysértő módon történt, e hatóság köteles azonnal tájékoztatni erről az adatokat szolgáltató hatóságot. Vagy a VI-19 (5) bekezdése szerint az érintett személy vagy más részt vevő hatóság vitatja az adatok helyességét, de az adatok helyessége nem állapítható meg, az érintett személy kérésére az adatokat szolgáltató hatóság köteles az adatokat a szóban forgó vitára utaló jelzéssel megjelölni.
[449] E szabály az Európai Unió szervei tekintetében deklaratív, azonban - legalábbis jelenleg - egyes tagállami hatóságok tekintetében mindenképp előremutató (a jogvédelmi szint emelkedésével járó) rendelkezés lenne. A belső adatvédelmi felelős intézménye egyébként nem új, az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény 24. § (1) bekezdésének a) pontja szerint az országos hatósági, munkaügyi vagy bűnügyi adatállományt kezelő, illetve feldolgozó adatkezelőnél és adatfeldolgozónál közvetlenül a szerv vezetőjének felügyelete alá tartozó belső adatvédelmi felelőst kell kinevezni vagy megbízni.
[450] www.data.consilium.europa.eu/doc/document/ST-9565-2015-INIT/hu/pdf. (2016. július 5.)
[451] www.secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_GDPR_with_addendum_HU.pdf. (2016. július 5.)
[452] 3/2015 sz. vélemény - az európai adatvédelmi biztos ajánlásai az EU adatvédelmi reformmal kapcsolatos lehetőségeiről 12.
[453] 3/2015 sz. vélemény - az európai adatvédelmi biztos ajánlásai az EU adatvédelmi reformmal kapcsolatos lehetőségeiről 13.
[454] Az Európai Parlament és a Tanács a környezeti információkhoz való nyilvános hozzáférésről és a 90/313/EGK irányelv hatályon kívül helyezéséről szóló 2003/4/EK Irányelve.
[455] Az Európai Parlament és a Tanács az Európai Közösségen belüli térinformációs infrastruktúra (INSPIRE) kialakításáról szóló 2007/2/EK Irányelve.
[456] A fejezet Hajas Barnabás írása.
[457] A ReNEUAL Modell Szabályok koncepciójának összefoglalója Gerencsér - Berkes - Varga Zs. szerk.: A hazai és Uniós közigazgatási eljárásjog aktuális kérdései..., i. m., 540.
[458] A fejezet Koi Gyula írása.
[459] Az information management kapcsán lásd: Jens-Peter Schneider: Basic Structures of Information Management in the European Administrative Union, European Public Law, 2014/1, 89-105. Diana Urania Galetta, Herwig C.H. Hofmann, Jens-Peter Schneider: Information Exchange in the European Administrative Union: An Introduction, European Public Law, 2014/1. 65-69. Lásd különösen az Information Management as a Safety Net for the European Integration című részt, 68-69. Nikolaus Marsch: Networks of Supervisory Bodies for Information Management in the European Administrative Union, European Public Law 2014/1, 127-144.
[460] ReNEUAL (EN version), 240.
[461] ReNEUAL (ES version), 303.
[462] A fejezet Gerencsér Balázs Szabolcs és Berkes Lilla írása.
[463] Gerencsér Balázs Szabolcs, Berkes Lilla: Rendszert a rendszerekben! - avagy gondolatok a nyilvántartások rendszertanáról, Új Magyar Közigazgatás, 2014. december 23-31, 23-24.
[464] Herwig C. H. Hofmann, Jens-Peter Schneider, Jacques Ziller: Administrative Procedures and the Implementation of EU Law and Policies. Contribution by the Research Network on EU Administrative Law (ReNEUAL) project on administrative procedure to the EU Commission's Assises de la Justice' conference in Brussels, to the topic of EU ADMINISTRATIVE LAW, 21-22. 11. 2013. www.goo.gl/HuzxTe (2015. 12. 13.) 15-16.
[465] Eberhard Schmidt-Assmann: Principles of an International Order of Information = Values in Global Administrative Law, Gordon Anthony, Jean-Bernard Auby, John Morison, Tom Zwart (eds), Hart Publishing Oxford and Portland, Oregon, 2011, 117-124, 118.
[466] Hofmann, Schneider, Ziller: i. m., 10.
[467] Az uniós másodlagos joghoz és a luxemburgi bíróság döntéseihez való szoros kapcsolatot külön is hangsúlyozta a szöveg egyik kidolgozója és szerkesztője a PPKE-JÁK-on tartott előadásában. Ez utóbbi összefüggés különösen jelentős lesz a továbbiakban. Ziller: The ReNEUAL Model Rules on EU Administrative Procedure..., i. m., 249.
[468] A fejezet Koi Gyula írása.
[469] VI-2 (3) "Adatbázis": információs rendszer által támogatott és hatóság által irányított strukturált adatállomány, amely legalább egy másik uniós vagy tagállami szintű illetékes hatóságnak előzetes kérés nélküli hozzáférést biztosít tárolt adatokhoz. Az adatbázisokra vonatkozó talán legközérthetőbb szakirodalom: Alain Strowel, Estelle Derclaye: Droit d'auteur et numérique: logiciels, bases de données, multimédia, Bruxelles, Bruylant, 2001.
[470] Az ellenőrzésfajtára részletesen lásd: OECD: Hogyan korszerűsítsük a közigazgatást? a követendő út. (Szerkesztő-lektor: Lőrincz Lajos. Az alapszöveget ford.: Kincses László, Koi Gyula. Az eredeti kötetről szóló szaktudósi véleményeket ford.: Linder Viktória. A fordítói megjegyzéseket írta, a mutatókat készítette és technikai szerkesztő volt Koi Gyula). Budapest, MTA JTI 2009, 13, 21, 98-99, 101, 103-104, 110, 112-113, 180, 204-205.
[471] A fejezet 1-2. alfejezete Bencsik András írása, a 3-4. alfejezete Hulkó Gábor írása.
[472] Charta 8. cikk (1)-(2) bek.
[473] Vö. Fábián Adrián: Közigazgatás-elmélet, Dialóg Campus Kiadó, Budapest-Pécs, 2011, 162-164.
[474] Vö. Toward Restatements and Best Practice Guildelines on EU Administrative Procedural Law. European Parliament Directorate General For Internal Policies, 2010, 12-13.
www.europarl.europa.eu/RegData/etudes/note/join/2010/425652/IPOL-JURI_NT%282010%29425652_EN.pdf (2015. 10. 12.).
[475] Megjegyzendő, hogy a 45/2001/EK rendelet vonatkozó 20. cikk (3)-(5) bekezdései értelemszerűen alkalmazandók a kifogás benyújtása, illetve az Európai Adatvédelmi Biztoshoz fordulás tekintetében. Ezzel összefüggésben bővebben lásd Boros: Úton egy európai közigazgatási (eljárási) jog felé..., i.m., 41. www.jog.tk.mta.hu/uploads/files/mtalwp/2014_58_Boros.pdf (2015.10.12.)
[476] Erről bővebben lásd Varga Zs.: Gyorsértékelés..., i. m., 547.
[477] Megjegyezzük, hogy ez a rendelkezés a felügyelő hatóság vonatkozó hatáskörét nem érinti.
[478] Az Európai Parlament és a Tanács 2013/37/EU irányelve (2013. június 26.) a közszféra információinak további felhasználásáról szóló 2003/98/EK irányelv módosításáról. www.eur-lex.europa.eu/legal-content/HU/ALL/?uri=CELEX:32013L0037. (2015. 10. 17.)
[479] Az alfejezet 2.1.-2.4. pontja Fehér Júlia, a 2.5.-2.10. pontja Lapsánszky András írása.
[480] VI-3 (4). cikk e kitétel alól kivételt enged azon esetek vonatkozásában, amikor az információkezelési cselekvés uniós hatáskörbe tartozik, és valamely tevékenység megvalósíthatóságának, hasznosságának tesztelésére irányuló kísérleti projekt végrehajtásának keretében végzik. E tevékenység alap-jogiaktus nélkül legfeljebb két egymást követő évben végezhető.
[481] VI. -3 (1). cikk.
[482] VI.-3 (3). cikk.
[483] Varga Zs.: Gyorsértékelés..., i. m., 547.
[484] Az információval kapcsolatos tevékenységek lényeges elemei azoknak az összetett döntéshozatali folyamatoknak, amelyekkel részben már a II-IV. Könyvek is foglalkoztak. Ez különösen igaz a III. Könyvre, amely átfogó szabályokat fogalmaz meg az információgyűjtésre, vizsgálatokra, meghallgatásokra, harmadik felek részvételére, valamint más hatóságokkal történő konzultációra vonatkozóan. Ezen felül az V. Könyv szerinti kölcsönös segítségnyújtás az uniós közigazgatási jog egyik kulcseleme, és nagyrészt a kölcsönös információs segítségnyújtást takarja.
[485] Nem terjed ki a hatálya a dokumentumokhoz való hozzáférésre vagy a hatóságok által tárolt adatok proaktív megjelenítésére vonatkozó szabályokra, ahogy a hatóságok nyilvános közleményeire vonatkozó sztenderdekre sem [VI-1 (2)-(3). cikk].
[486] Alapjogi Charta (Charter of Fundamental Rights - CFR) VI. cím 47. cikk: a hatékony jogorvoslathoz és a tisztességes eljáráshoz való jog.
[487] Megállapítható, hogy a tagállami közigazgatásra jellemző, alapvetően átlátható szervezeti szabályok mellett érvényesülő hierarchia az uniós szervek között kevésbé érvényesül, hiszen mindegyik a ráruházott hatáskör keretein belül jár el. Az irányítás, felügyelet, ellenőrzés fogalmak - és itt különösen a felügyelet releváns - óhatatlanul a tagállaminál enyhébb kontextusban jelennek meg az uniós szervek viszonyrendszerében. Boros: Úton egy európai közigazgatási (eljárási) jog felé..., i. m., 7.
[488] VI-4. cikk; VI-5. cikk; VI-19 (4). cikk; VI-22. cikk; VI-24 (2). cikk; Vl-31 (2)-(3). cikk; VI-40 (2)-(3). cikk.
[489] VI-6-VI-8. cikk; VI-14. cikk; VI-16. cikk; VI-18. cikk; VI-30-VI-39. cikk.
[490] "Konzekvensebben el kell határolni a tagállamok és az Unió közötti végrehajtási funkciókat: a felügyelet és az ellenőrzés funkcióját a közösség gyakorolja, míg az alkalmazás és a végrehajtás nemzeti közigazgatási feladat." Alberto J. Gil Ibanez: a közösségi jog ellenőrzése és végrehajtása (Osiris Kiadó 2000) 63. Idézi: Boros Anita: Úton egy európai közigazgatási (eljárási) jog felé. MTA Law Working Papers 2014/58. 17.
[491] "8. cikk (1) Mindenkinek joga van a rá vonatkozó személyes adatok védelméhez. (2) az ilyen adatokat csak tisztességesen és jóhiszeműen, meghatározott célokra, az érintett személy hozzájárulása alapján vagy valamilyen más, a törvényben rögzített jogos okból lehet kezelni. Mindenkinek joga van ahhoz, hogy a róla gyűjtött adatokat megismerje, és joga van azokat kijavíttatni. (3) E szabályok tiszteletben tartását független hatóságnak kell ellenőriznie."
[492] A Bevezető részben foglaltak és a VI. Könyv hatálya szerint az információkezelési tevékenység alatt egyrészt a hatóságok közötti információcsere bizonyos formáit, így az információgyűjtést, vizsgálatokat, meghallgatásokat, más hatóságokkal történő konzultációt (strukturált tájékoztatási mechanizmus szerint, előzetes kérelmezés nélküli tájékoztatási kötelezettség alapján), másrészt az adatbázisok létrehozását és használatát értjük. [VI-1 (1). cikk] Egy döntés meghozatalához a hatóságnak gondosan és részrehajlás nélkül kell kivizsgálnia az ügyet, amelyhez minden releváns információt össze kell gyűjtenie. Az információgyűjtés történhet a hatóság ügyfélnek megküldött - a kérés jogszabályi alapját és célját megjelölő - kérelme alapján, vagy kötelező erejű döntés alapján. Az ügyfél vagy képviselője egyik esetben sem szolgálhat helytelen vagy félrevezető információval. Az információgyűjtésen túl a nemzeti hatóságok az EU jog által biztosított felhatalmazás alapján, az EU jog által meghatározott módon folytathatnak le vizsgálatokat, vagyis léphetnek be helyiségekbe, kereshetnek, szerezhetnek meg dokumentumokat, vehetnek mintát, cserélhetnek információt. A hatóságoknak biztosítaniuk kell, hogy a vizsgálóik az EU jognak, különösen az Európai Unió Alapjogi Chartájának megfelelően járjanak el, és tartsák be az EU és nemzeti rendelkezéseket a személyes adatok védelme érdekében. A vizsgálatokban - a tagállamokkal történő megállapodás alapján vagy szektor-specifikus EU jog által biztosítottan - részt vehetnek EU hivatalnokok is, akik ebben az esetben ugyanazon helyiségekhez, dokumentumokhoz férhetnek hozzá, mint a nemzeti hivatalnokok. A fentieken túlmenően minden ügyfélnek biztosítani kell a nemzeti hatóság általi meghallgatás jogát, az őt hátrányosan érintő döntés meghozatala előtt. Amennyiben az EU jog megkívánja vagy megengedi a tagállamokkal történő konzultációt, az EU hatóságai késedelem nélkül kötelesek a tagállamot értesíteni egy ilyen konzultáció megindításáról. Ebben az esetben elérhetővé kell tenni minden információt a tagállam részére, ami ahhoz szükséges, hogy megfelelő információval tudjanak szolgálni az EU hatóságok részére, illetve megfelelő időt kell számukra biztosítani a válasz megtételéhez.
Az adatbázis egy információs rendszer által támogatott és hatóság által irányított strukturált adatállomány, amely legalább egy másik, uniós vagy tagállami szintű illetékes hatóságnak előzetes kérés nélküli hozzáférést biztosít tárolt adatokhoz.
[493] Az információs rendszer lehet egy meghatározott szoftver vagy informatikai infrastruktúra (informatikai rendszer), illetve szervezeti infrastruktúra, amely a közigazgatási szervek közötti információcserét támogatja vagy adatbázist hoz létre [VI-2 (4). cikk].
[494] Alap-jogiaktus alatt értünk minden rendeletet, irányelvet, határozatot vagy bármely más olyan jogi aktust, amely kötelező joghatással bír. Az alap-jogiaktus tehát az a felhatalmazást tartalmazó aktus, melyben meg kell határozni a felhatalmazás célját, tartalmát, alkalmazási körét és időtartamát. Általános jelleggel kijelenthető, hogy hazánkban az alap-jogiaktus a törvényt jelenti, természetesen nem az Alaptörvényt, hanem a törvényt, mint legmagasabb szintű jogforrást.
[495] A Bizottság vagy az érintett alap-jogiaktust elfogadó más testület elkészíti minden egyes információkezelési tevékenység átfogó értékelését; az értékelést továbbítják az Európai Parlamentnek és a Tanácsnak. Az értékelések gyakoriságát az alap-jogiaktusban kell meghatározni [VI-4 (1). cikk].
[496] Javaslat a TANÁCS HATÁROZATA a Kereskedelmi Világszervezetet létrehozó egyezmény módosításáról szóló jegyzőkönyvnek az Európai Unió nevében történő megkötéséről (52015PC0050). A 11. pontja a jogosulatlan felhasználás vagy közzététel köréről szól, melynek értelmében: "a kicserélt információkra vonatkozó felhasználási vagy közzétételi feltételek megszegése esetén a kérelmező tag, amelyik az információt kapta, haladéktalanul tájékoztatja az információnyújtásra felkért tagot, amely az információt átadta, az ilyen jogosulatlan felhasználás vagy közzététel részleteiről, és megteszi a szükséges intézkedéseket a jogsértés orvoslása érdekében [...]."
[497] Az uniós közigazgatási joggal foglalkozó kutatási hálózat (ReNEUAL) 2014. szeptember 1-jén tette közzé az uniós közigazgatási eljárásokra vonatkozó mintaszabályokat. A mintaszabályok a ReNEUAL weboldalán érhetők el: www.reneual.eu.www.ombudsman.europa.eu/hu/resources/administrativelaw.faces (2015. 10. 17.).
[498] Az ellenőrzési feladatokról a VI-14. (1) bekezdés a következőképpen rendelkezik: az alap-jogiaktus rögzítheti, "hogy a tájékoztatási kötelezettség keretében az illetékes hatóságok között cserélt adatokat és információkat, illetve az adatbázisba bevitt adatokat egy különálló ellenőrző hatóságnak előzetesen ellenőriznie kell. Ez az ellenőrző hatóság a VI-30. cikk szerinti felügyelő hatóság is lehet."
[499] Az adatvédelmi felügyelet e szigorú hatósági különállása hazánkban 2011 decemberében megszűnt. Az önálló adatvédelmi biztos intézményét az Alaptörvény (Záró és vegyes rendelkezések, 17. pont) és az információs önrendelkezési jogról és információszabadságról szóló 2011. évi CXII. törvény (75. §) 2012. január 1-jei hatállyal megszüntette, feladatait a Nemzeti Adatvédelmi és Információszabadság Hatóság látja el. E lépés a bírálók szerint - összhangban a Modell Szabályok szigorú különtartási követelményével - a személyes adatok védelmében és a közérdekű adatok nyilvánosságában egyértelmű gyengülést jelent, ugyanakkor az új szerv az ombudsmannál erősebb hatósági jogosítványokat kapott (2011. évi CXII. törvény 61. §).
[500] Összefüggésben a VI-15 (4). cikkben foglaltakkal, miszerint a felügyelő hatóság biztosítja, hogy az érintett személyek hatékonyan gyakorolják az alkalmazandó adatvédelmi jogszabály szerinti hozzáférési jogukat.
[501] A közvetítési eljárás a polgári és kereskedelmi ügyekben bevett alternatív vitarendezési mód, melynek részletes szabályait az Európai Parlament és a Tanács 2008/52/EK irányelve rendezi.
[502] Az Európai Parlament és a Tanács 178/2002/EK rendelete az élelmiszerjog általános elveiről és követelményeiről, az Európai Élelmiszerbiztonsági Hatóság létrehozásáról és az élelmiszerbiztonságra vonatkozó eljárások megállapításáról.
[503] A Rendelet (28) pontjában foglaltak szerint "az élelmiszer- és takarmányiparban fel kell állítani egy átfogó nyomon követési rendszert, amelynek segítségével el lehet végezni a különböző termékek célzott és pontos kivonását a piacról, illetve tájékoztatni lehet a fogyasztókat vagy az ellenőrzéssel megbízott személyeket; e rendszer segítségével élelmiszerbiztonsági problémák esetén elkerülhető a piac működésének felesleges, nagyobb mértékű megzavarása.", amelynek értelmében a nyomon követési intézkedések mindazon tevékenységek, amelyek a közvetítési eljárás eredményeként, a kifogásolt helyzet megoldása érdekében végrehajtott intézkedéseket jelentik.
[504] Lásd a Bizottság jelentése az Európai Parlamentnek és a Tanácsnak a 2012. évi mentesítés nyomon követéséről (összefoglaló) 52014DC0607.
[505] A közigazgatási hatósági eljárás és szolgáltatás általános szabályairól szóló 2004. évi CXL. törvény (a továbbiakban: Ket.) 41. §-a rendezi a hatósági közvetítés hazai szabályait, amely azonban merőben más intézményt takar, mint a Modell Szabály megoldása. Hatósági közvetítő kizárólag természetes személy lehet, akit a hatóság jelöl ki feladatainak ellátására.
[506] Az érintett személy panaszait a VI-33. cikk szerinti hatáskörök kivételével hallgatja meg és vizsgálja ki a felügyelő hatóság.
[507] VI-15 (2). cikk.
[508] VI-15 (4). cikk.
[509] VI-19 (3). cikk.
[510] Szabályozza a VI-31. cikk.
[511] Szabályozza a VI-32. cikk.
[512] Az Európai Parlament és a Tanács 45/2001/EK rendelete (2000. december 18.) a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról.
[513] Az Európai Parlament és a Tanács 45/2001/EK rendelete (2000. december 18.) a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról: 24. cikk.
[514] Az Európai Parlament és a Tanács 1024/2012/EU rendelete (2012. október 25.) a belső piaci információs rendszer keretében történő igazgatási együttműködésről és a 2008/49/EK bizottsági határozat hatályon kívül helyezéséről (az IMI-rendelet) (24) Preambulum bekezdés, 21. cikk.
www.eur-lex.europa.eu/legal-content/HU/TXT/PDF/?uri=CELEX:02012R1024-20140117&from=HU (2015.07.29.).
Az Európai Parlament és a Tanács 603/2013/EU rendelete (2013. június 26.) a harmadik országbeli állampolgár vagy hontalan személy által a tagállamok egyikében benyújtott nemzetközi védelem iránti kérelem megvizsgálásáért felelős tagállam meghatározására vonatkozó feltételek és eljárási szabályok megállapításáról szóló 604/2013/EU rendelet hatékony alkalmazása érdekében az ujjlenyomatok összehasonlítását szolgáló Eurodac létrehozásáról, továbbá a tagállamok bűnüldöző hatóságai és az Europol által az Eurodac-adatokkal való, bűnüldözési célú összehasonlítások kérelmezéséről, valamint a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség nagyméretű IT-rendszereinek üzemeltetési igazgatását végző ügynökség létrehozásáról szóló 1077/2011/EU rendelet módosításáról (átdolgozás): (45) Preambulum bekezdés, 30-32. cikk.
www.eur-lex.europa.eu/legal-content/HU/TXT/PDF/?uri=CELEX:32013R0603&from=HU (2015. 07. 29.).
[515] www.secure.edps.europa.eu/EDPSWEB/edps/EDPS (2015. 07. 29.).
[516] www.eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52010DC0609 (2015. 09. 16.).
[517] Working document: State of play and future prospects for EU administrative law; Working Group on EU Administrative Law, 19 October 2011., Part 3.
[518] Az Európai Unió Alapjogi Chartája, 8. cikk.
[519] Az Európai Parlament és a Tanács 1987/2006/EK rendelete (2006. december 20.) a Schengeni Információs Rendszer második generációjának (SIS II) létrehozásáról, működtetéséről és használatáról, 45. cikk. www.eur-lex.europa.eu/legal-content/HU/TXT/PDF/?uri=CELEX:32006R1987&from=EN (2015. 07. 29.).
[520] Az Európai Parlament és a Tanács 45/2001/EK rendelete (2000. december 18.) a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról 46. cikk.
www.eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:32001R0045:hu:HTML (2015. 07. 29.).
[521] Az Európai Parlament és a Tanács 45/2001/EK rendelete (2000. december 18.) a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról: 47. cikk.
www.eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:32001R0045:hu:HTML (2015. 07. 29.).
www.eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:31995L0046:hu:HTML (2015. 07. 29.).
[523] A Tanács 2008/977/IB kerethatározata (2008. november 27.) a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről.
[524] Az Európai Unió működéséről szóló szerződés 4. cikk. www.eur-lex.europa.eu/legal-content/HU/TXT/PDF/?uri=CELEX:12012E/TXT&from=HU. (2015. 07. 30.)
[525] Boros: Úton egy európai közigazgatási (eljárási) jog felé..., i. m. www.jog.tk.mta.hu/uploads/files/mtalwp/2014_58_Boros.pdf. (2015. 09. 09.).
[526] Az Európai Parlament és a Tanács rendeletjavaslata a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról (Általános Adatvédelmi Rendelet javaslata).
[527] Az Európai Parlament és a Tanács 95/46/EK irányelve (1995. október 24.) a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról, 29. cikk. www.eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:31995L0046:hu:HTML (2015. 07. 30.).
[528] A fejezet Polgár Miklós írása.
[529] Reneual VI-40.
[530] Reneual VI-40.
[531] A közigazgatási hatósági eljárás és szolgáltatás általános szabályairól szóló 2004. évi CXL. tv. 4. § (2) bekezdés.
[532] A közigazgatási hatósági eljárás és szolgáltatás általános szabályairól szóló 2004. évi CXL. tv. 4. § (3) bekezdés.
[533] 2014. március 15-én lépett hatályba a Polgári Törvénykönyvről szóló 2013. évi V. tv., amely a személyiségi jogsértések esetére nóvumként létrehozta a sérelemdíj intézményét a 2:52. §-ban.
[534] A Polgári Törvénykönyvről szóló 2013. évi V. tv. 2:43. § e) pontja szerint a személyes adatok védelméhez való jog megsértése is személyiségi jogok sérelmét jelenti.
[535] Modell Szabályok VI-441.
[536] A fejezet Berkes Lilla írása.
[537] www.eur-lex.europa.eu/legal-content/HU/TXT/?uri=URISERV%3Asi0016 (2016. 07. 18.)
[538] www.reneual.eu/images/Home/ReNEUAL-Model_Rules-Compilation_BooksI_VI_2014-09-03.pdf 271. (2016. július 18.)
Visszaugrás
