"Nekem azonban az a - szigorú bizonyítékokkal egyelőre még alá nem támasztható - véleményem, hogy a Big Data által felvetett problémák (a régiek új köntösben és az újak is) új jogi, illetve értelmezési keretet követelnek: így talán például magának az »adatvédelemnek« az újragondolását, továbbá közelítést az amerikai »privacy« fogalom felé, amely szerint nem a személyes adat a lényeg, hanem a magánszemély autonómiájának, magánélete szabadságának, döntései szuverenitásának, beavatkozástól, manipulálástól való mentességének a kérdése."
Ez az írás a Big Data-jelenség alapjogi aspektusait igyekszik feltárni. A Big Data alatt azt a társadalmi hatásokkal is bíró jelenséget értem, amelynek lényege, hogy a külvilág (a természet) és az emberek (a társadalom) egyre több adata rögzítődik digitális formában, és ezekre az adathalmazokra egyre többféle elemző (adatbányász), profilírozó (osztályozó), következtető és jósló (predikciós) algoritmus épül. Ezeket az algoritmusokat azután az állami szféra, a magáncégek, sőt, az autonóm gépek (a robotok) is széles körben használják szolgáltatások nyújtására és különböző döntések meghozatalára. A dilemma lényege - akárcsak más alapjogi kérdésnél -, hogy az adatok használatával óriási társadalmi hasznok érhetők el, de ez egyben veszélyeket - így alapjogi kockázatokat - is rejt. Így, mint oly sok esetben, a szabályozás kapcsán egy (érdek-)kiegyensúlyozási kérdéssel állunk szemben.
Az írás elsősorban a személyes adatok védelmével kapcsolatos problémákat taglalja. A cikk első része megkísérli definiálni a Big Data-jelenséget, majd két bevett metafora magyarázatán keresztül igyekszik azt mélyebben megérteni. A második rész azt a tézist fejti ki, miszerint a Big Data nyolc területen teremtett új helyzetet. Ezek közül négy probléma már korábban is ismert volt (az adattúltermelés, a szabályok átláthatatlansága, a profilalkotás és a gépi, automatikus döntéshozatal problémái), amelyeket a Big Data csak átalakított vagy elmélyített. Van azonban négy olyan probléma, amely a Big Data-val jelent meg: a könnyű visszanevesíthetőség, a (helytelen és helyes) adatokon alapuló diszkriminatív gyakorlatok, az egyre pontosabb gépi predikció (előrejelzés), valamint az adatokon alapuló finom manipuláció ('nudging') lehetősége. Végül, a harmadik részben elemzem az EU, illetve az új Adatvédelmi Rendelet (GDPR)[1] válaszait a felvetett problémákra, majd néhány következtetést vonok le.
A Big Data-jelenség, azaz a folyamatos és egyre nagyobb volumenű adattermelődés, adatraktározás és adatfelhasználás, valamint ennek a társadalomra gyakorolt hatásai a 2010-es évek eleje óta kerültek az érdeklődés középpontjába. Maga a Big Data kifejezés is ekkortájt született.
A jelenség alapja az, hogy egyre több minden történik a világban úgy, hogy annak digitális nyoma marad. A közösségi hálózatokon és a keresőmotorokban (a "platformokon")[2] mi magunk, "önként és dalolva" adunk meg adatokat - magunkról és a külvilágról. Az egyre több szolgáltatástípust felölelő vagy a hagyományos, offline szolgáltatásokat olykor teljesen felváltó online szolgáltatások (online áruházak, bankok, szerencsejáték-oldalak stb.) nem csak az általunk megadott adatokat, hanem a szolgáltatásokkal kapcsolatos online cselekvéseinket is tárolják és elemzik. Végül, a dolgok internete ('Internet of Things', IoT), azaz az internetre kötött szenzorok, eszközök (a köztéri és az autópálya-kameráktól az online pénztárgépeken keresztül a mobiltelefonokig, amelyek maguk is - például helymeghatározásra alkalmas - szenzorok) nemcsak az online tér, hanem a valóságos külső világ történéseit is rögzítik egyre szélesebb körben: szó szerint ontják az adatokat. Egy triviális példa, hogy még az ún. "buta" mobiltelefonok is folyamatosan megosztják a felhasználó tartózkodási helyét, mivel az eszköz a legközelebbi GSM-toronnyal folyamatosan kommunikál bekapcsolt állapotban. De még olyankor is adatokat generálunk, amikor nem kommunikációs eszközt használunk, hanem egyszerűen csak elhaladunk egy autópálya-kamera előtt, vagy olyan boltban vásárlunk, amelyben online pénztárgép van.
Mindez összességében természetesen egészen elképesztő mennyiségű adatot jelent, amellyel a Big Data-ról szóló írások rendszerint hosszasan riogatják a békés olvasókat. Itt legyen elég annyi, hogy nemcsak az összes generált adat mennyisége felfoghatatlanul nagy, hanem még az egyetlen felhasználó által generált és tárolt mennyiség is egészen ijesztő, valahol 0,32 és 0,77 GB között van, naponta.[3]
Ugyanakkor itt valójában nem önmagában az adat mennyisége az új, hanem az, amit a Big Data segítségével meg lehet tenni. A már régebb óta gyűjtött és tárolt adatok, valamint az újonnan keletkezett
- 18/19 -
adathalmazok segítségével és összekapcsolásával -részben a régebbről ismert matematikai és statisztikai eszközökkel, részben pedig teljesen új algoritmusokkal és módszerekkel - olyan következtetésekre és előrejelzésekre (predikciókra) nyílik lehetőség, amilyenekre eddig soha. Később részletesen ismertetem majd ezeket a lehetőségeket, valamint a kapcsolódó veszélyeket is. Elöljáróban csak annyit, hogy a Big Data segítségével olyan mélyen beleláthatunk az emberek gondolkodásába, hogy az igen komoly adatvédelmi és privacy-problémákat vet fel. Ennek legijesztőbb része az, hogy ez a predikciós potenciál fokozottan alkalmas a finom, alig érzékelhető manipulációra ('nudging').[4]
A Big Data kifejezés alapvetően nem a tudomány területén jött létre, és - ahogy az történni szokott - amint a társadalom-[5], az üzleti[6], a számítás-[7] és a jogtudomány[8] elkezdte használni, azonnal definíciós problémákba ütközött. Már abban sincs megegyezés, hogy mi lenne a Big Data (jelenség) "magasabb nemfogalma". Egyszerűen a korábbinál jóval intenzívebb adattermelődést jelenti? (Így egyfajta számítástechnikai vagy statisztikaimódszertani súlypontú fogalom lenne, amelybe például beletartozik a nagy hadronütköztető vagy a Hubble teleszkóp által generált adathalmaz, valamint az ezzel kapcsolatos problémák.) Vagy csak a társadalmi hatásokat is generáló adattermelődés számít ide? Ha az utóbbi (amire hajlunk), akkor viszont kérdés, hogy melyek azok a társadalmi szférák, amelyeket vizsgálnunk kell a megértéséhez, és milyen módszereket kell alkalmaznunk. Ilyen társadalmi szférák lehetnek például az üzleti szféra, a kormányzatok működése, a tudomány, a társas kapcsolatok, a médiafogyasztás, a bűnmegelőzés, a politika, a közlekedés és a várostervezés.
A fokozódó adattermelődés a jogra is hatással van, de ez a hatás ugyanúgy ellentmondásos, mint minden más társadalmi szférában. Először is a legnagyobb probléma az, hogy a Big Data hatásai más hatásokkal együtt jelentkeznek, és ezek a hatások nehezen szálazhatóak szét. Így például a közösségi hálózatoknak az emberi érintkezésre - és ezen keresztül mondjuk a szólásszabadságra - gyakorolt hatása (lásd többek között visszhangszoba és a kaszkádhatás jelenségét[9]) széles körben ismert és tárgyalt problémakör. Az szintén ismert, hogy a közösségi hálózatok - mintegy melléktermékként - amúgy elképesztő mennyiségű adatot is gyűjtenek, tárolnak és elemeznek. Világos, hogy az adattermelődés egyszerre előfeltétele - hiszen minden strukturálást végző algoritmus a nagy adathalmazokon fut -, valamint következménye - hiszen egyre több ember egyre több adatot ad meg - a közösségi hálózatoknak, ami megnehezíti az elemzést. Ha a jog és a Big Data kapcsolatát elemezzük, az is kérdés továbbá, hogy az adatvédelmen túl jelentkező megfontolások (például a szólásszabadsággal kapcsolatos kérdések) ehhez a problematikához tartoznak-e vagy sem. Több mint árulkodó, hogy Kate Crawford és Jason Schulz cikkükben az alábbi definíciót adják: "a Big Data egy általános, pontatlan kifejezés, amely a nagy adatállományok használatára utal az adattudományban és a prediktív analízisben."[10] Szerintük a kifejezésnek három aspektusa van: egyrészt egyfajta technológiára utal, amely a számítási pontosságot növeli, másrészt olyan módszerekre, amelyekkel ezeket a nagy adatállományokat tisztítani és összehasonlítani lehet, végül arra a hitre ('belief'), amely szerint ezekkel a módszerekkel pontosabb, objektívebb eredményeket lehet elérni. Hogy a helyzet még zavarosabb legyen, mindezek mellett olykor Big Data-"korszakról" is hallunk,[11] amellyel egy cezúrára utalnak az információs társadalom történetében.
Ezekre tekintettel úgy vélem, ehelyütt nem érdemes szövevényes definíciós fejtegetésekbe bocsátkozni. Mivel ebben a cikkben a Big Data alapjogi aspektusaira koncentrálok, egy nagyon gyakorlatias definíciót alkalmazok. A Big Data-tematika részének tekintek minden olyan, az interneten zajló adattermelődéssel kapcsolatos - elsősorban adatvédelmi, illetve privacy-jellegű - problémát, amely nem tartozik valamilyen más ismert (jogi, jogtudományi) tematikába.
Nem tárgyalom, csak érintem tehát azt a régi és ismert problémahalmazt, amely a magánszemélyek adatainak állami kezelésével kapcsolatos. Ennek legújabb leágazása az egyes államok titkosszolgálatainak online megfigyelési gyakorlatával kapcsolatos, olykor a "szabadság kontra biztonság" dilemmájaként ábrázolt problémahalmaz. (Ez a Snowden-ügy után vált igen intenzíven a tudományos diskurzus tárgyává.)[12] Majdnem ugyanilyen régi téma - amelyet szintén nem tárgyalok - a közadatok nyilvánosságával kapcsolatos kérdéskör ('freedom of information'). Ujabb, az ezredforduló óta egyre intenzívebben tárgyalt téma az új technológiák (például a blogterek, és a közösségi hálózatok) szólásszabadságra gyakorolt hatásának vizsgálata, amely olykor médiajogi vagy médiaszabályozási köntösben jelentkezik.[13] Vadonatúj problémahalmaz az online piacterek, "vertikális platformok" (például az Uber vagy az AirBnB)
- 19/20 -
diszkriminatív gyakorlatokat megvalósító, illetve lehetővé tévő logikája[14]. A példák sora még folytatható lenne.
Mindezek tehát nem elsődlegesen Big Data-problémák; a Big Data-jelenséghez így vagy úgy kapcsolódnak ugyan, de a szakirodalom a súlypontjukat jellemzően mégis máshová helyezte. Számomra úgy tűnik, hogy a Big Data problémaköre egyfajta szubszidiárius témakör: elsősorban azok a témák tartoznak ide, amelyeket az előbbiek nem fednek le: leginkább a magáncégek adatgyűjtési, profilírozási, előrejelzési (predikciós) és manipulációs gyakorlata, valamint mindezek jogi problémái. Az igaz ugyan, hogy a Big Data-ra alapozva az állami szféra is képes a profilírozásra, a predikcióra és a manipulációra, de kormányzatok ilyen irányú tevékenységét már régóta korlátok közé szorítják az adatvédelmi szabályok. A kormányzatok személyesadat-kezelésének korlátok közé szorítása az első generációs adatvédelmi törekvések legfontosabb célja volt.
Mielőtt azonban belefognék az alapjogi problémák taglalásába, érdemes pár szót arról is ejteni, hogy az olyan új jelenségeket, mint amilyen a Big Data is, a jog mindig valamiféle korábbi jogi megoldással, illetve a mögötti metaforával ragadja meg. Ezek a metaforák igen erősen befolyásolják azt, hogy milyen (kellemetlen vagy kellemes) konnotációk tapadnak egy kifejezéshez, ezen keresztül pedig azt, hogy az adott jelenséget milyen módon akarjuk majd szabályozni, illetve hogy ehhez milyen - már ismert - jogi megoldásokat választunk. Előbb tehát lássunk a Big Data-val kapcsolatos két fontos metaforát, a "makroszkóp" és az "olaj" metaforáit annak megértéséhez, hogy a jelenlegi szabályozás miért éppen úgy néz ki, ahogy.
Elsőre talán furcsának tűnhet a kitérő a metaforák világába, de szerintem nagyon fontos. Richard és Smart[15] szerint a jog, amikor új problémákkal szembesül, legelső lépésként mindig igyekszik találni egy metaforát, amellyel dolgozhat. "Ha a jog terminusaiban gondolkodunk az új technológiákról, akkor azok a metaforák, amelyek segítségével megértjük őket, különösen fontosak." - mondják.[16] A metaforaképzés, illetve ennek segítségével a jogi megoldások és szabályozás keresése alapvetően három lépcsőben zajlik. Egy új társadalmi és technikai jelenségre előbb valamilyen jogon kívüli metaforát talál a publicisztika, az irodalom vagy éppen a jogászok képzeletgazdagabbik fele. A második lépcsőben, részben a megtalált metafora alapján, valamilyen már létező jogi megoldást igyekszik adaptálni erre az új jelenségre. Végül pedig, amikor kiderül - és általában kiderül -, hogy a régi szabály, illetve a régi jogi megoldás nem illeszkedik pontosan az új helyzetre, akkor elindul a jogi korrekció folyamata, új metaforák és új jogi megoldások keresése. Ennek eredményeképp azután vagy lesz egy új jogintézményünk ('veszélyes üzemi felelősség'), vagy a régi jogi megoldásoknak létrejön egy új különleges alesete, esetleg kivétele ('nem-lineáris műsorszolgáltatás'). A tézisem röviden az, hogy jelenleg a második fázisban vagyunk a Big Data-val kapcsolatban. Találtunk néhány metaforát, és ezek alapján kipróbáltunk egy alapvetően a régi jogi megoldásokat használó szabályozást (ilyen például a GDPR). Ugyanakkor, álláspontom szerint a Big Data-val kapcsolatban jelentős kiigazításokra lesz szükség - hogy milyen irányba, az azonban egyelőre még nem egyértelmű.
A Big Data-val kapcsolatos egyik legkorábbi metafora a "makroszkóp". A makroszkóp szót Piers Anthony használta először, 1969-ben kiadott, azonos című sci-fi regényében[17] egy olyan eszközre, amelynek segítségével a tér-idő bármely részét tanulmányozni lehet. Később, 1979-ben Joel de Rosnay francia szerző társadalomelméleti munkájában találkozunk a kifejezéssel. Nála a makroszkóp "egy új látásmód, az újfajta megértés [...] szimbóluma",[18] egyfajta - társadalomfilozófiával vegyített, természettudományokat is felhasználó - rendszerelmélet: a tudomány új módszere.[19]
A "makroszkóp" kifejezést nagy mennyiségű adatra először Edward O. Wilson harvardi biológus használta, az általa alapított "Encyclopedia of Life"[20] projekt népszerűsítése során.[21] Amikor a Big Data-jelenségről először kezdtek írni, azonnal felmerült ez a metafora.[22] Eszerint a Big Data egy új eszköz, amely, hasonlóan a mikroszkóphoz vagy a teleszkóphoz, "olyan dolgokat tesz láthatóvá számunkra, amelyek soha nem voltak láthatók azelőtt".[23] Az is egyértelmű, hogy a metafora konnotációja a kezdetekkor inkább pozitív volt.
A metaforát később többen felhasználták, legutóbb például Graham és társai,[24] akik a történeti kutatás vonatkozásában használják a makroszkóp kifejezést. Ha a történeti anyagokat digitálisan dolgozzuk fel - mondják -, és a szövegeken belül összefüg-
- 20/21 -
géseket, mintázatokat, ismétlődéseket keresünk, azaz a szövegekhez nem a közvetlen jelentésük felől, hanem egyfajta statisztikai és hálózatkutatási szemlélettel közelítünk, akkor nagy történelmi folyamatok, összefüggések rajzolódhatnak ki előttünk, amelyek számítógép, illetve hatalmas adatmennyiségek nélkül rejtve maradnának.
A makroszkóp metaforájának általában része az is, hogy ezek az összefüggések nem feltétlenül okságiak. Hasonlóan más statisztikai összefüggésekhez -hiszen a Big Data összefüggései statisztikai jellegűek -, csak arról van szó, hogy bizonyos jelenségek együttes előfordulásának - vagy éppen ellenkezőleg, azok hiányának - nagy a valószínűsége. Ezt a jelenséget a statisztika a korreláció fogalmában ragadja meg, már régtől. Ami a Big Data-jelenségben speciális, hogy míg a statisztika a Big Data-korszakig tudatos, előre tervezett és általában csak reprezentatív (azaz a teljes populációnak csak egy részéről végzett) adatfelvételekkel operált, addig a Big Data adatkészletei általában nem adatfelvételi céllal keletkeztek, hanem valamilyen más céllal (esetleg "cél nélkül", egyszerűen naplózva bizonyos digitális aktivitásokat). Ezen felül, ezek az adatok sokszor a teljes populációt mutatják (nem egy reprezentatív mintát), igen gyakran azonnal (valós időben) rendelkezésre állnak, végül az adattermelődés a számítási kapacitások növekedésével, valamint új elemző (matematikai) módszerek és algoritmusok megjelenésével is együtt járt, így a különböző, egymástól olykor igen messze eső adatállományok között is nagyon könnyen vizsgálhatóak az összefüggések.
Azt, hogy "az adat az új olaj", az internetes források szerint Clive Humby matematikus - akinek a nevéhez fűződik például a Tesco Clubcard rendszerének kidolgozása - jelentette ki először. A teljes idézet így hangzik: "Az adat az új olaj. Értékes, de finomítatlanul nem igazán lehet használni. Át kell alakítani üzemanyaggá, műanyaggá, kémiai anyagokká stb., hogy értékes termékeket állíthassunk elő belőle, amivel profitot termelhetünk; ezért az adatot fel kell bontani, és elemezni kell, hogy értéke legyen."[25] Az adat mint olaj metaforáját később rengetegen használták, és ami igazán érdekes, hogy a metafora egy sor új aspektussal is bővült. Például Ginni Rometty, az IBM vezérigazgatója szerint az adat olyan természetes erőforrás, amely körül, akárcsak a szén vagy az olaj körül, egy új ipari forradalom fog kibontakozni.[26] Peter Sondergard, a Gartner piackutató cég alelnöke pedig 2011-ben úgy fogalmazott, hogy ha az adat az olaj, akkor az adatelemzés (matematikai módszerei) az új robbanómotor,[27] amely köré teljes új ipari ágazatok fognak felépülni. Mások arra hívják fel a figyelmet, hogy az olaj és az adat között van egy jelentős különbség: az olaj kitermelése nem generálja még több olaj kitermelését, míg az adat használata (például az önvezető autókban) még több adat használatát eredményezi. Egyszóval, a metafora nem teljesen illeszkedik talán a mára, de ettől a helyzet csak még izgalmasabb (hiszen ha egy erőforrás nem fogy el, akkor sokkal nagyobb hatású lehet, mint egy véges mennyiségben rendelkezésre álló).[28]
Míg a makroszkóp-hasonlat elsősorban a világ felfedezésének újabb módjaként tekint a Big Data-ra -és ez hordozhat negatív konnotációkat is, hiszen a módszer félelmetes lehet, illetve kiszolgáltatottá teheti a megfigyelteket -, addig az olaj-metafora az adatra erőforrásként tekint, ám negatívabbak a felhangjai. Akinek ehhez az új erőforráshoz hozzáférése van, az (gazdasági) hatalommal bír, és az ipari forradalomnak ebben az új korszakában az élre kerülhet, míg a többiek végzetesen lemaradhatnak. A tudás és a hatalom legfőbb hajtóereje az adat lesz; még pontosabban: a jó módszerekkel elemzett, feldolgozott, tárolt és hozzáférhetővé tett adat. Mind az olaj-, mind a makroszkóp-metaforának része, hogy a hozzáférés csak speciális tudás révén, illetve speciális személyek számára lehetséges. A makroszkóp építése a tudósok (matematikusok, adattudósok, statisztikusok) bonyolult feladata, mint ahogyan az olajat is csak tőkeerős társaságok tudják kitermelni.
Mit sugallnak ezek a metaforák? Először is hatalmi helyzetet. Egy meghatározott csoport olyan információkhoz tud hozzáférni, amelyekhez mások nem, és ez kiszolgáltatottá teszi azokat, akik nem férnek hozzá az információkhoz. Másodszor, mindkét metafora magában rejt egy dilemmát is. Mindkét eszköz - a makroszkóp és az olaj is - alapvetően jó dolog, de rossz fejleményeket is okozhat, illetve rossz célra is használható. Mindkét metafora kiválóan jelzi a Big Data-val kapcsolatos dilemmát: egyszerre nyit meg üzleti, társadalmi lehetőségeket, és teremt teljesen újfajta veszélyeket.
Nem túl eredeti az a felismerés, hogy a két szempontot össze kell valahogyan hangolni: a Big Data-jelenséget éppúgy nem lehet egyoldalúan csak ve-
- 21/22 -
szélyként beállítani, mint ahogy nem lehet kritikátlanul sem viszonyulni a jelenlegi helyzethez. Mindazonáltal, mivel ez a cikk elsősorban az alapjogi aspektusokra koncentrál, a kockázatok és a veszélyek exponálása e helyütt értelemszerűen nagyobb teret fog kapni. Ám szeretném azonnal leszögezni -úgy is mint az információs iparban (is) tevékenykedő ember -, hogy pontosan tisztában vagyok azzal, hogy a Big Data mekkora lehetőséget jelent a gazdaságban és a kormányzásban. Tudom, hogy egyesek kifejezetten arról beszélnek, hogy azok az országok - mint például Kína -, ahol rengeteg az adat, és csekélyebb szintűek az adatvédelmi aggályok, behozhatatlan előnybe kerülhetnek az elkövetkező évtizedekben, mert például a mesterséges intelligenciák (AI) algoritmusai ezeket az adatállományokat fogják használni, és akinek több "tanítóadata" van, annak egyszerűen jobb AI-algoritmusai lesznek.[29]
Ebben a fejezetben igyekszem áttekinteni, hogy a szakirodalom milyen problémákat sorol fel a Big Data kapcsán, amelyeknek vannak - vagy lehetnek - alapjogi vonatkozásai. Ezek között vannak olyanok, amely valójában nem Big Data-specifikusak: ezekben az esetekben a Big Data-jelenség csak felerősített már korábban is létező problémákat. Vannak azonban olyanok, amelyek kifejezetten a Big Data megjelenéséhez köthetők. A problémalista kapcsán azonnal megjegyzendő, hogy vannak szerzők, akik ezen felül is említenek problémákat, többet vagy kevesebbet, másképp csoportosítják azokat, illetve egyes problémákat nem tekintenek a Big Data-val összefüggőnek. Ilyen például Jay Stanley,[30] a téma egyik legkorábbi szerzője. A lista tehát tetszőlegesen bővíthető vagy szűkíthető, jóllehet van néhány olyan eleme, amely csaknem minden felsorolásban szerepel.
Parttalan adatgyűjtés. Az, hogy a kormányzatok és a magánszervezetek elkezdtek szinte parttalanul adatot gyűjteni és raktározni, valóban nem Big Data-specifikus jelenség - azelőtt is hajlamosak voltak rá -, másfelől jogi szempontból nem is különösebben izgalmas téma, hiszen hozzájárulás vagy törvényi felhatalmazás hiányában ez a gyakorlat egyértelműen jogellenes. Mégis, a Big Data - az adatok könnyű hozzáférhetősége révén, illetve amiatt, hogy az emberek önként adnak meg magukról egy sor érzékeny adatot, amelyeket olcsó és könnyű tárolni - ezt a régi problémát új dimenzióba helyezte.
A Big Data először is a kormányzatokat csábítja egyre intenzívebben a "rosszra". Nem feltétlenül csak az egyértelműen jogellenes gyakorlatokat feltáró Snowden-ügyre kell gondolunk. Az elmúlt évtizedekben talán már nem is a kormányzatokat tekintettük az adatvédelem szempontjából a legnagyobb veszélyforrásnak. A Big Data ezen a helyzeten változtathat. Először is, vannak olyan kormányzatok, amelyek a privacy és az alapjogok hagyományos fogalmát eleve nem tisztelik különösebben. Ilyen például Szingapúr, ahol már a nyolcvanas évektől kezdve tudatos kormányzati törekvés volt az ICT szektor fejlesztése,[31] és ahol a kormányzat jelenleg is élen jár a Big Data-alapú okosalkalmazások bevezetésében (ilyen például az a szenzorrendszer, amely minden autó pontos helyét látja minden pillanatban, és a zsúfoltság függvényében automatikusan fizettet az autósokkal úthasználati díjat).[32] Kínában pedig egyenesen egy olyan pontrendszer kialakítását vették célba, amely az állampolgárok összes internetes aktivitása alapján számolna egy általános "osztályzatot" ('citizen score'), amelyet azután különféle szolgáltatások igénybevételekor, bankkölcsönök elbírálásakor vagy például munkaerő-felvétel során használnának fel).[33] Ez utóbbi már elvezet a profilalkotás kérdésköréig, amelyet később tárgyalok. Ugyanakkor az adatbőség az egyébként demokratikus, az alapjogokat tiszteletben tartó kormányzatokat is könnyen elcsábíthatja: adatbázisok építésére és összekapcsolására, esetleg "visszaszemélyesítésére" sarkallhatja (ez utóbbiról a későbbiekben esik szó).
Idézhető Drabiak is,[34] aki részben Pike-ra[35] hivatkozva hívja fel a figyelmet arra, hogy milyen jelentős adatvédelmi aggályokat vet fel a génszekvenálásra alkalmas minták szinte parttalan gyűjtése az USA-ban. A közelmúltban derült ki az is, hogy az Egyesült Királyságban az állami egészségügyi szolgáltató (National Health Service, NHS) 1,6 millió páciens adatait adta ki kísérleti célból (nyilván tanítóadatként) a Google "Deep Mind" elnevezésű projektjéhez.[36] Magyarországon pedig, ahogy arra Alexin Zoltán az Elektronikus Egészségügyi Szolgáltatási Tér (EESZT) kapcsán rámutat, a magánszemélyeknek szinte minden
- 22/23 -
egészségügyi adata felkerül a felhőbe, ahol az állami szervek szabadon hozzáférhetnek azokhoz.[37]
A parttalan adatgyűjtés azt is jelenti - és erre több európai uniós anyag is utal -, hogy a célhoz kötöttség, az adattakarékosság és az adatok limitált idejű felhasználásának a kötelezettsége egyre terhesebb az adatkezelők számára. Persze lehet erre úgy reagálni, hogy "nem érdekel, tessék betartani" - ahogy azt később az Európai Unió kapcsán látni fogjuk -, ugyanakkor vélhetően nem ez a megfelelő válasz, hanem új paradigmára lesz szükség.
Az érintettek nem képesek követni a szabályokat. Az adatvédelem az internet megjelenésére természetesen egy sor új szabállyal reagált. Az új GDPR terjedelemben többszöröse a régi adatvédelmi irányelvnek. Az adatvédelmi szabályzatok és az aláírandó nyilatkozatok hossza egyre nő. A több szabály azonban nem feltétlenül eredményez jobb helyzetet. Ma már egy átlagos állampolgár is szolgáltatások, illetve alkalmazások tucatjait veszi igénybe. A szolgáltatások első igénybevételekor, illetve az alkalmazások telepítésekor szinte automatikusan nyomja meg az "elfogadom" gombot. Személyes tapasztalatom, hogy mekkora meghökkenést vált ki az egyetemi hallgatókból, amikor először olvasnak végig egy privacy policy-t.
A problémát persze itt is elintézhetjük azzal, hogy a jogi szabályozás megfelelő; a jognak ezzel a problémával nincsen dolga: az érintetteket oktatni kell, ösztönözni arra, hogy ismerjék meg a jogi szabályokat, és olvassák el a szabályzatokat, mielőtt magukra nézve elfogadnák azokat. Ugyanakkor, akárcsak az előző problémánál, nem hinném, hogy ez lenne az igazi megoldás. Az adatok átadása azonnali előnyökkel jár, míg a kockázatok nem közvetlenek, hanem csak hosszabb távon jelentkeznek. Véleményem szerint az egész jelenség visszavezethető arra, hogy a hozzájárulás-központú adatvédelem meglehetősen nehéz helyzetbe került. Senki nem gondolhatja komolyan, hogy egy olyan esetben, amikor egy alkalmazást le akarok tölteni a telefonomra, és néhány percen belül használni is akarom, gondosan elolvasok egy jellemzően 8-10 oldalas dokumentumot. Az adatok megadásával vagy meg nem adásával kapcsolatban a legtöbb ember számára a döntő faktorrá a "brand" vált. A nagy és megbízható világmárkák esetében a hozzájárulás szinte automatikus, míg a kisebb cégek esetén szinte automatikus az elutasítás. Ez a jelenség ugyanakkor tovább fogja erősíteni ezeknek a nagy cégeknek a monopolhelyzetét (ami persze nem elsősorban adatvédelmi probléma).[38]
Profilalkotás. A profilalkotás kérdésköre ugyancsak több évtizedes probléma. Az, hogy embereket a tulajdonságaik alapján csoportokba lehet sorolni, valójában a társadalomstatisztika megjelenése óta közhely. A nyolcvanas évek vége óta - amikor a nagy vállalatirányítási és vevő-nyilvántartási (CRM - Customer Relationship Management) szoftverek feltűntek a gazdasági szférában - a profilalkotás folyamatosan a marketing, illetve általában a modern üzleti világ középpontjában áll. Még az internet hajnalának idején jelent meg például Peppers és Rogers (1996) nagy hatású műve az "egyediesített marketing"-ről (The One to One Future[39]), és lett egy időre a "one-to-one marketing" hívószó.
A profilalkotás veszélye abban állt már a régi adatvédelem keretei között is, hogy bizonyos helyzetekben megfosztja önmeghatározási képességétől az egyént. Bizonyos tulajdonságai, viselkedése vagy múltbeli jellemzői mentén, egy szabály alapján besorolódik egy kategóriába, majd ennek a besorolásnak az alapján hoznak róla döntéseket. A profilalkotás tehát nem önmagában problematikus, hanem akkor, amikor az eredményei döntésekben testesülnek meg.
A Big Data a profilalkotás kérdését azért változtatta meg, mert az ismert, egyszerű, véges számú paraméterek helyett, amelyekkel egy magánszemélyt be lehetett sorolni egy-egy profilba, ma már a cégek szinte végtelen számú adat, paraméter (például kattintási, letöltési előzmények), azaz valóban "nagy" adatmennyiségek alapján alakítanak ki egyre bonyolultabb, egyre több paramétert figyelembe vevő profilokat. A használt adatok köre és a használt szabályok mennyisége is nagyságrendekkel megnőtt.
Automatikus döntéshozatal. A számítógépek megjelenésével bizonyos egyszerűbb döntések az életünkben teljesen algoritmikus alapúvá váltak. Elég csak például a VEDA rendszerre gondolni, amely a gyorshajtókat emberi kéz érintése nélkül bírságolja, vagy a matematikai szabályokon alapuló hitelbírálatra. Az automatikus döntéshozatal problémaköre jóval a Big Data megjelenése előtt része volt az adatvédelmi diskurzusnak. Az Európai Unió első adatvédelmi irányelve[40] már szabályozta is ezt a problémakört.
Az üzleti gyakorlatok és döntések matematikai és algoritmikus modellekre alapozottsága, valamint a
- 23/24 -
cégek és az emberek kiszolgáltatottsága ezeknek az algoritmikus gyakorlatoknak ma már szinte közhely. Gondoljunk csak a Facebook hírfolyamára, amely mögött algoritmus dönti el, hogy mit látunk és mit nem, vagy a Google találati rangsorolójára. Már ezek az algoritmusok is ránk kiható döntéseket hoznak, de próbáljuk meg elképzelni, hogy mi lesz majd akkor, amikor autonóm járművek (önvezető autók) algoritmusai fognak életről és halálról dönteni egy kiélezett forgalmi helyzetben.
A probléma alapvetően kettős, és ezt az Európai Unió évtizedek óta létező szabályozása is tükrözi. Először is rendkívül nyugtalanító önmagában az, hogy gépek döntenek rólunk - még akkor is, ha tudjuk, hogy ezek nem valódi "döntések", mert a gépek determinisztikus döntési fákon mennek végig. Az is nyugtalanítja az embert, ha nem látja át, hogy pontosan milyen szabályok szerint történik a döntés. A legtöbb döntőautomata egyszerűen túl sok és túl bonyolult szabályt használ. Ezért lett az Európai Unió jogának része az a hármas szabály, amely szerint egyfelől bármikor kivonhatjuk magunkat az ilyen döntések alól, másfelől kérhetünk emberi beavatkozást, harmadrészt pedig magyarázatot kérhetünk a szabály mibenlétéről.[41]
A Big Data az automatizált döntések kapcsán is új helyzetet teremtett. A döntőalgoritmusok korábban talán még egy hétköznapi ember számára is átláthatók lehettek. Azonban a Big Data-alapú döntőalgoritmusok bizonyosan nem ilyenek: sokszor olyan adathalmazokat, összefüggéseket használnak, amelyeket lehetetlen egyszerűen elmagyarázni. Másrészt a mesterséges intelligenciák (AI) -amint azt az utóbbi pár év fejleményei mutatják - Big Data-alapú ak, illetve olykor önmagukat tanító és korrigáló jellegűek lesznek. A probléma ezzel az, hogy az ön-tanító szoftver olyan szabályokat hoz létre, tanul meg a hibákból és a jó döntésekből, amelyek eredetileg nem is voltak az algoritmusának a részei.[42] Már az egyszerű automatikus döntések esetén is nehéz betartani az adatvédelem szabályait, a Big Data- vagy AI-alapú automatikus döntéseknél pedig voltaképpen lehetetlen.
Visszanevesíthetőség. 2006-ban az America Online (AOL) nevű internetszolgáltató nyilvánosságra hozta 650 000 felhasználója háromhavi keresési adatait anonimizált adatbázis formájában, kutatási célokkal. Az adatbázisból igen hamar kiderült, hogy a keresések a lélek tükrei, és igencsak szenzitív információkat közvetíthetnek, például "hogyan öljük meg a feleségünket" vagy a "depresszió és halál orvosi segítséggel" típusú keresések.[43] Ebből, valamint az AOL egy másik, filmajánló adatbázisának[44] tapasztalataiból hamar kiderült, hogy ezek az álnevesített adatbázisok, összekapcsolva más, nyilvános adatbázisokkal, igen könnyen visszanevesíthetők a Big Data-korszakban. Így az első adatbázisból egyértelműen beazonosíthatóvá vált egy furcsa keresőkérdéseket feltevő felhasználó, egy idős hölgy, aki elborzadva nyilatkozta az eset után, hogy: "nem tudtam, hogy valaki kukucskál a vállam felett..."[45] Alexin Zoltán erre az esetre (is) hivatkozva bizonyítja matematikailag, hogy a nem, a születési hely és az irányítószám alapján a magyar lakcímadatbázisban is képezhetők úgynevezett "K-ikrek", amelyek szinte teljes bizonyossággal utalnak egy adott magánszemélyre. Azaz, a Big Data-korszakban szinte bármilyen anonimizált adatbázis visszanevesíthető más adatbázisokkal történő összekapcsolás révén.[46]
Diszkriminatív gyakorlatok. Arról is hallunk, hogy a Big Data könnyen diszkriminatív gyakorlatok kialakulásához vezethet.[47] Mivel egyre több olyan algoritmus van a környezetünkben, amely döntéseket hoz vagy ajánlásokat tesz, még akkor is előfordulhat, hogy diszkriminatív gyakorlatok alakulnak ki, ha a rendszerek létrehozói erre nem törekedtek: például bizonyos környéken lakókkal kapcsolatos kockázatokat a "lelketlen" algoritmusok magasra értékelnek. Az aggodalmak különösen négy területen erősek: a hitelbírálati döntések, a munkaerő-piaci döntések (e kettő az európai adatvédelmi jogot is régebb óta foglalkoztatja), a felsőoktatáshoz való hozzáférés, valamint a rendfenntartás ('law enforcement', 'policing') területén. Ha leszámítjuk a tudatos, a programozók által az algoritmusokba belekódolt diszkriminatív gyakorlatokat és az adatpontossággal kapcsolatos problémákat, még akkor is megmarad az a Big Data-specifikus probléma, hogy a tanuló algoritmusok a korábbi adatokból olyan következtetéseket vonnak le, amelyek bizonyos diszkriminatív gyakorlatokat ön-erősítő spirálba vezethetnek. Sunstein már a Big Data-jelenség előtt felhívta a figyelmet a hírek és a vélemények piaca kapcsán - azaz médiajogi kontextusban - arra, hogy a modern online technológiák (vagy maguk az emberek a technológiai lehetőségek birtokában?) hajlamosak a véleményeiket polarizálni: az emberek szeretnek visszhangkamrákba záródni.[48] Sunstein azt javasolja, hogy ne hagyjuk az embere-
- 24/25 -
ket visszhangkamrákban élni: a médiavállalatok és a közösségi hálózatok kínáljanak fel sokszínű hírvilágot. A Big Data kapcsán azonban -látni fogjuk - nehezebb ilyen egyértelmű javaslatokat megfogalmazni. Az európai adatvédelmi jog mindenesetre elég vitatható megoldásokkal operál.
Predikció. A Target amerikai áruházlánc 2002 környékén felvett egy matematikus-elemzőt, aki hamarosan azt a feladatot kapta, hogy próbálja meg az egyes vevőkről a rendelkezésre álló adatok alapján kitalálni, hogy terhesek-e. A terhesség, illetve a szülés mint életesemény a kereskedők "Szent Grálja", mivel képes az egyébként szinte megváltoztathatatlan, sztereotip vásárlási szokásokat radikálisan átalakítani. Ha egy kereskedelmi lánc ilyenkor - főként a második trimeszter elején - jól célzott marketinggel megtalálja a vevőt, akár évekre is képes lehet elkötelezni maga mellett. Hiszen ha valaki a pelenkát egy bizonyos boltban vásárolja, nagy valószínűséggel minden mást is ott fog megvenni. A Target évek óta gyűjtött minden hozzáférhető adatot a vevőiről, az úgynevezett "Guest ID" felhasználásával. Ezek mellé pedig - az USA-beli adatvédelmi szabályok viszonylagos lazaságát kihasználva - még sok más demográfiai információt is megvásárolt, a lakóhelytől kezdve a gyermekek számán keresztül egészen a politikai meggyőződésig. Ez utóbbi adatokat a Target vásárlói magatartást elemző részlege összekapcsolta a saját gyűjtésű vevőinformációkkal, és előrejelzési módszereket dolgozott ki. Az előrejelzés azért működhet meglepően jól, mert az emberek a tetteik jelentős részét reflektálatlanul, szokásszerűen hajtják végre, és ezek a tudattalan tettek nagyon jól előrejelezhetők különféle paraméterek, mintázatok, attribútumok, illetve a korábbi tettek alapján. A matematikus dolga az, hogy a hatalmas mennyiségű - az adott személyhez köthető, valamint egyéb, aggregált - adatot elemezve megtalálja az összefüggéseket, és azok alapján minél pontosabb predikcióval szolgáljon. A Target esetén pontosan ez történt. A cég statisztikusa tudottan terhes nők korábbi adatait elemezve a vásárlási szokások határozott megváltozásait tárta fel, például azt, hogy a terhes nők elkezdenek illatmentes testápolószereket, vitaminokat, ásványianyag-tartalmú étrend-kiegészítőket és extra nagy kiszerelésben vattapamacsokat vásárolni. Bizonyos termékek együttes vásárlása a terhesség tényét csaknem 100 százalékos biztonsággal mutatta ki. Így történt, hogy egyik vásárlójuknak, egy tizenéves lánynak gratuláló levelet és újszülöttekkel kapcsolatos termékkatalógusokat küldtek. A lány apja felháborodottan tiltakozva kereste fel a céget, mire a lány bevallotta, hogy valóban terhes. Beszédes, hogy az újságíró, aki megpróbálta az esetet feldolgozni, először együttműködést tapasztalt a cég részéről, ám később egyre inkább falakba ütközött: informátora egy idő után elzárkózott a kommunikációtól, a Target pedig a végén már egyáltalán nem volt hajlandó vele szóba állni.[49]
Az eset arra hívja fel a figyelmet, hogy a Big Data-ra igen pontos előrejelző algoritmusok építhetők, amelyek alapján az egyének viselkedése, illetve bizonyos folyamatok jól megjósolhatóvá válnak. Ha ez a predikciós lehetőség mindenki számára hozzáférhetővé válik, az nagyon megnöveli az átláthatóságunkat, a magánéletünk háborítatlanságához való jogunkat pedig mélyen sérti.
Manipulációs potenciál. A helyes predikciót csak egy lépés választja el a manipulációtól. Az emberek láthatatlan módon, nem észérvekkel történő "terelgetése" régóta ismert gyakorlat, voltaképp a marketing és a propaganda egésze azon a megfigyelésen alapszik, hogy az emberek a döntéseikben nemcsak a racionális érvekre, hanem mindenféle más benyomásra, érzelmi ráhatásra és impresszióra is fogékonyak. A Target-eset a Big Data ijesztő felhasználásának állandóan idézett példája, de természetesen más példák is felhozhatóak. A témakörrel foglalkozók szinte mindig megemlítik a Netflix vagy az Amazon ajánló algoritmusait, amelyek a kattintási és vásárlási szokások alapján tesznek ajánlásokat megtekintendő filmekre vagy megvásárolandó árukra.[50] Helbing és társai[51] hívják fel a figyelmet arra, hogy a Big Data-alapú profilok és jóslatok birtokában az emberek egyénenként vagy csoportosan is hihetetlenül könnyen "terelgethetők" lesznek. A szimpla nudging "Big Nudging"-gá válhat. Amíg a terelgetés például csak a környezettudatosabb viselkedés irányába zajlik, addig talán még igazolható is - bár már ez is a paternalizmus egyik formája. De ha a cégek képesek lesznek ilyen jellegű manipulációra, ki akadályozza meg, hogy a szolgáltatásaik vásárlása felé tereljék a vevőket? A kormányon levőket ki akadályozza majd meg abban, hogy a választásokon egy bizonyos párt felé terelgessék a bizonytalan szavazókat? Végső soron ez a manipuláció - az egyének döntéseinek meghatározott irányba történő befolyásolása - akár adatokkal okosított "bölcs királyok" létrejöt-
- 25/26 -
tét is eredményezheti. Az én felfogásomban ez a zsarnokság egy új formáját alapozhatja meg.
A jelenleg hatályos európai jog nem ismeri a Big Data fogalmát, és ez voltaképp rendben van így. A Big Data inkább egy társadalomtudományi-társadalomelméleti fogalom. A hatályos szabályozás "adatot" és "személyes adatot" különböztet meg első körben, és jogi relevanciával csak a személyes adatok gyűjtése, tárolása, manipulálása stb. - összefoglalóan: "kezelése" - bír. Ehhez - a "személyes adatok kezelése" kategóriájához - kapcsolódik két olyan jelenség, amelyet fentebb már említettem: az automatikus döntéshozatal és a profilalkotás kérdései, amelyek ismertek voltak már a Big Data-korszak előtt is, ám a Big Data-jelenség mindkét problémát jóval komolyabb téttel ruházta fel; ha úgy tetszik, marginális kérdésekből középponti, súlyos kérdésekké változtatta.
Az automatizált döntéshozatal kérdését az Európai Unió már régóta ismeri; sőt, ezt a jelenleg (még) hatályos adatvédelmi irányelv (95/46/EK Irányelv)[52] 15. cikke szabályozza is. A magyar jogba az Avtv.[53] 9/A. §-ként került be 2004. január 1-jétől.
Az európai uniós szabályozásnak az a kiindulópontja, hogy a magánszemélyre vonatkozó automatizált egyedi döntéseket (azaz, a személyes jellemzőkön és más adatokon nyugvó, következtető algoritmus általi besorolást) két csoportba sorolja: lényegtelen, nem fontos döntésekre, amelyeket általában megenged, valamint lényeges, fontos döntésekre, amelyeket részletesen szabályoz.
Azok a döntések, amelyek - az Irányelv szóhasználata szerint -"jogi hatással járnak", vagy "jelentős mértékben érintik" az adatalanyt, többféle jogi korlát alá esnek. Ilyen esetekben - az EU jog főszabálya szerint - az érintett kérheti, hogy rá ne terjedjen ki a döntés hatálya. A másik szabály szerint az érintettnek - kérelme alapján - tájékoztatást kell kapnia az alkalmazott logikáról, valamint lehetőséget arra, hogy kifejthesse álláspontját.
A jelenleg hatályos magyar jogba a rendelkezés kissé eltérő logikával lett átültetve: a magyar jog nem engedi meg általában az automatikus döntéshozatalt, hanem csak akkor teszi lehetővé, ha az egy szerződés megkötéséhez szükséges, és az érintett kezdeményezte, vagy olyan törvény teszi lehetővé, amely az "érintett jogos érdekeit biztosító intézkedéseket" is megállapítja (jelentsen az utóbbi bármit is). Ez a konstrukció szükségtelenné teszi a döntés alóli "kijelentkezést" ('opt-out').
Az Általános Adatvédelmi Rendelet (GDPR) nem utal kifejezetten a Big Data-ra, ám a rendelet megalkotásának utolsó pár évét a Big Data-jelenség már igen komolyan befolyásolta.[54]
A GDPR alapvetően megtartotta az automatizált döntéshozatalra vonatkozó szabályt. Ezen kívül azonban bevezetett egy újabb fogalmat, amely már egyértelműen a Big Data-hoz kötődik: a profilalkotást.[55] Bár egyesek vitatják,[56] az adatvédelmi rendelet egyértelműen egyre szűkülő halmazokként mutatja be a következő kategóriákat: személyes adatok kezelése, automatizált adatkezelés, automatizált egyedi döntés, profilalkotáson alapuló automatizált egyedi döntés.[57] Az persze vitatható, hogy a profilalkotás - ha azt nem követi gépi döntés, vagy nem gépi döntés követi, hanem ember által hozott döntés - beletartozik-e ebbe a körbe. En úgy vélem, hogy a profilalkotás mindig döntés is egyben, illetve nincs jelentősége addig, amíg csak címkét kap egy személy egy adatbázisban ez alapján - de mindez valójában nem lényeges a témánk szempontjából.
Úgy vélem ugyanis, hogy az egész Big Data-kérdéskörrel kapcsolatban van két olyan probléma, amely számomra az Európai Unió egész adatvédelmi jogával kapcsolatban kérdéseket vet fel.
Az első egy jogpolitikai jellegű dilemma. Az EU ugyanúgy két malomkő között őrlődik, mint az összes, a kérdést szabályozó ország, hatóság, szervezet, jogalkotó. Egyfelől az Európai Digitális Egységes Piaci Stratégiában egyértelműen a jövő egyik gazdasági hajtóerejeként látjuk a Big Datát. "(Az) ágazat évi 40%-kal növekszik, hétszer olyan gyorsan, mint az informatikai piac."[58] - állítja az egyik policy paper. A mesterséges intelligenciák építéséhez szükség lesz a Big Data-ra. Elképzelhető, hogy a világ más gazdasági hatalmai nagyvonalúbban fognak bánni a tanító adatokkal, és Európa esetleg végzetesen lemaradhat ebben a versenyben.[59] Úgy tűnik, hogy az üzleti adatkezelők éppen a Big Data által nyújtott lehetőségek kihasználása miatt dörömbölnek a kapukon, megkérdőjelezve a hagyományos adatvédelem két fontos alapelvét: főként az adatminimalizálás (adattakarékosság) és a célhoz kötöttség elveit vitatják. Az előbbi elv szerint egy adatkezelő csak azt az adatot kérheti el és kezelheti, amely az adott cél teljesítéséhez szükséges, az utóbbi elv pedig azt jelenti, hogy minden adatkezelés esetén lennie kell célnak. A Big Data
- 26/27 -
előnyeit ezek az elvek lényegében megölik, még akkor is, ha az álnevesítés esetleg - bizonyos eseteken - megoldást nyújthat.
Erre a problémára szerintem az európai jog rossz választ adott. Az Article 29 Data Protection Working Party[60] nevű tanácsadó testület és a GDPR is elég könnyedén elintézte a dolgot: 2014-ben egyértelműen amellett foglaltak állást, hogy a hagyományos adatvédelem e két elve nem sérülhet. Valamikor ekkortájt alakult ki az Európai Uniónak az a narratívája - mintegy kompenzálásként -, hogy a hagyományos, szigorú adatvédelmi elvekhez való ragaszkodás valójában ösztönözni és segíteni fogja a gazdaságot és a gazdálkodókat, mert növeli a fogyasztók bizalmát, illetve a már monopolhelyzetben lévő nagy cégeket - amelyek kénytelenek az adatokat megsemmisíteni vagy pszeudonimizálni - nagyobb versenyre készteti majd.
A második probléma véleményem szerint az, hogy az EU válaszai rosszak, mert rossz paradigmán - a 20. század végének alapvetően második generációs adatvédelmi elvein - nyugszanak. Ennek a szabályozásnak négy fontos elve van: a legfőbb adatkezeléshez szükséges jogalap az érintett előzetes hozzájárulása; az adatokkal való takarékos bánásmód; az adatkezelés konkrét legitim céljának követelménye, valamint az adatok tárolásának korlátozása a szükséges időre. Az adat a makroszkóp, amellyel belénk lehet látni, és a makroszkóppal igen óvatosan kell bánni; sőt, ha már nincs rá feltétlenül szükség, akkor meg kell semmisíteni. Az adat az olaj, amely kiszolgáltatottá tesz a nagy szervezetekkel szemben, akiktől el kell venni ezt az erőforrást. Úgy gondolom, hogy a Big Data-korszakban ezek az elvek mind megkérdőjeleződnek. Az érintett hozzájárulása egy idő után betarthatatlan lesz, illetve szimbolikussá fog válni - ha nem az már most is. Az adattúltermelés miatt a legtöbb érintett azt sem tudja, hogy milyen adatokat oszt meg bizonyos applikációkon keresztül, és a szabály-túltermelés miatt szinte automatikusan ad hozzájárulást mindenféle adatának kezeléséhez. A három másik elv pedig, ha komolyan betartják, lényegében lehetetlenné teszi a Big Data-ban rejlő lehetőségek kiaknázását. Mivel az egész kérdésnek nem ismerjük a valódi hatásait, és a veszélyek nagy része még nem a mindennapjainkat fenyegető rém, hanem csak potenciális probléma, ezekre a problémákra az EU azt a választ adta, hogy a jelenlegi szabályozás kielégítő: valójában nem tartalmi szabályozási, hanem jogérvényesítési, ellenőrzési, betartatási, kikényszerítési problémának tekinti az egészet. Több hatóságra, több ellenőrzésre, szélesebb hatósági jogkörökre, magasabb bírságokra és - esetleg - több képzésre és tájékoztatásra van szükség. Es persze álnevesítésre, amelyre a rendelet mint a Big Data-probléma egyik megoldására tekint.[61] Csakhogy láttuk, hogy az álnevesítés mennyit ér a Big Data-korszakban.
Van itt tehát nyolc probléma, és a maga módján mind a nyolc komoly feladat elé állítja a jogot. A négy első már a Big Data-korszak előtt létezett, és a jelenlegi szabályozásban is helyet kap így vagy úgy. Mivel azonban a Big Data megjelenése mind a négy kérdés karakterét alaposan megváltoztatta, nem biztos, hogy a jogi válaszok alkalmasak a problémák hatékony kezelésére.
A második négy új probléma esetén más a helyzet. Az igaz, hogy mindegyik értelmezhető a jelenlegi jogi szabályozás kontextusában is. A visszanevesítés egyszerűen jogellenes adatkezelés, a diszkriminatív gyakorlatok a diszkriminációellenes jogszabályok hatálya alá tartozhatnak, a predikció bizonyos formái szintén olyan következtetések, amelyek nem személyes és személyes adatok összekapcsolásával valósulnak meg, így jogellenes adatkezelések, végül a "nudging" a tisztességtelen reklámozási vagy kereskedelmi gyakorlatok terrénumára eshet, esetleg valamilyen médiajogi szabályt sérthet. A véleményem ugyanakkor az, hogy alapvető probléma van a szabályozás egész logikájával.
Hogy mi a probléma, az megközelíthető abból a szemszögből is, hogy az adatvédelemnek végleg beléptünk a harmadik korszakába.[62] Az első korszakban a szabályozás középpontjában az állampolgárok védelme állt az állammal (a nagytestvérrel) szemben, és az állampolgárok joga elsősorban az adatok megismerésére, kijavítása kérésének jogára, valamint illetéktelenek számára történő átadásának tilalmára terjedt ki. A második korszakban a súlypont áthelyeződött arra a problémára, hogy a "kistestvérekkel", azaz a nagy információgyűjtő magán- és közszervezetekkel szemben hogyan védjék meg az adatalanyokat. Ez a változás a szabályozásban az érintettek hozzájárulásának középpontba helyezésével, valamint a legszemélyesebb, a magánszféra legkényesebb részét képező adatok kezelésének tiltásában valósult meg. Az adatvédelem harmadik korszaka jelenleg is tart.
- 27/28 -
A jelen korszakot formáló főbb tényezők: a közösségi hálózatok megjelenése, a folyamatos összekapcsoltság, valamint természetesen a mindenféle eszközök révén keletkező hatalmas adatmennyiség, azaz maga a Big Data-jelenség, amely talán az önszabályozással, újabb és újabb, engedélyre szoruló kötelező szabályzatokkal, újabb és egyre hosszabb hozzájáruló nyilatkozatok aláíratásával, talán az önkorlátozással, talán új központi hatóságok felállításával, talán új, omnipotens adatvédelmi felelősök kinevezésével lesz megoldható.
Nekem azonban az a - szigorú bizonyítékokkal egyelőre még alá nem támasztható - véleményem, hogy a Big Data által felvetett problémák (a régiek új köntösben és az újak is) új jogi, illetve értelmezési keretet követelnek: így talán például magának az "adatvédelemnek" az újragondolását, továbbá közelítést az amerikai "privacy" fogalom felé, amely szerint nem a személyes adat a lényeg, hanem a magánszemély autonómiájának, magánélete szabadságának, döntései szuverenitásának, beavatkozástól, manipulálástól való mentességének a kérdése. A "privacy"-központú megközelítés például sokkal jobban képes kezelni a manipuláció és a predikció esetkörét. Az ilyen beavatkozás akkor is megkérdőjelezhető, ha egyébként a mögötte álló adatkezelés jogszerű. Nem az adat a lényeg itt, hanem a magánszemélyek magánélete, szabadsága, egyenlő méltósága. Ezt kell elsősorban tisztelni és védeni, és nem az adatok kezelésével kapcsolatos technikai szabályokat szaporítani. ■
JEGYZETEK
* Az írás "Az internetes forgalomirányító szolgáltatások szabályozási kérdései" című, 116979. számú OTKA kutatás keretében készült. Hálás vagyok Szőke Gergely Lászlónak, aki az első szövegverzióhoz fűzött megjegyzéseivel rengeteget segített.
[1] Az Európai Parlament és a Tanács 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (European Data Protection Regulation, Általános Adatvédelmi Rendelet - GDPR).
[2] "Platformtársadalom" alatt azt a jelenséget értjük, hogy az életünk egyre nagyobb részét szervezik bizonyos internetes oldalak, platformok. A nagy platformok: Google, Facebook, Amazon, Youtube. A fogalom José van Dyck-től, a Universiteit van Amsterdam kutatójától ered; lásd: José van Dyck - Thomas Poell - Martijn de Waal: De Platform savenleving, Amsterdam, Amsterdam University Press, 2016.
[3] Shaun Norris: How much digital data does an average digital user generate per day and per year?, Quora, 2016. november 9., https://www.quora.com/How-much-digital-data-does-an-average-digital-user-generate-per-day-and-per-year#
[4] Dirk Helbing - Bruno S. Frey - Gerd Gigerenzer -Ernst Hafen - Michael Hagner - Yvonne Hofstetter - Jeroen van den Hoven - Roberto V. Zicari - Andrej Zwitter: Will Democracy Survive Big Data and Artificial Intelligence?, Scientific American online kiadás, 2017. február 25., https://www.scientificamerican.com/article/will-democracy-survive-big-data-and-artificial-intelligence/
[5] Victor Mayer-Schönberger - Kenneth Cukier: Big Data: A Revolution That Will Transform How We Live, Work, and Think" London, John Murray, 2013.
[6] Phil Simon: Too Big to Ignore: The Business Case for Big Data, Wiley, New Jersey, 2013.; Barry Devlin: Business unIntelligence: Insight and Innovation beyond Analytics and Big Data, New Jersey, Technics Publications, 2013.
[7] Alistair Croll - Benjamin Yoskovitz: Lean Analytics: Use Data to Build a Better Startup Faster, O'Reilly Media, Sebastopol (CA), 2013; Eric Siegel: Predictive Analytics: The Power to Predict Who Will Click, Buy, Lie, or Die, New Jersey, Wiley, 2014.
[8] Paul Ohm: Broken Promises of Privacy: Responding to the Surprising Failure of Anonimization, UCLA Law Review 2009-2010, 1701-1777.
[9] Cass Sunstein: Republic.com 2.0, Budapest, Complex, 2014.
[10] Kate Crawford - Jason Schulz: Big Data and Due Process: Toward a Framework to Redress Predictive Privacy Harms, Boston College Law Review 2014, 96.
[11] Pl. Paul C. Ziopulos - Chris Eaton - Dirk deRoos - Thomas Deutsch - George Lapis: Understanding Big Data: Analytics for Enterprise Class Hadoop and Streaming Data, New York etc., McGraw Hill, 2012
[12] Pl. Stephen I. Vladeck: Big Data Before and After Snowden, Journal of National Security Law and Policy 2014, 333-339.
[14] Benjamin Edelman - Michael Luca - Dan Svirsky: Racial Discrimination in the Sharing Economy: Evidence from a Field Experiment, Harvard Business School Working Paper, 16-069, 2016. szeptember 4., http://www.hbs.edu/faculty/Publication%20Files/16-069_5c3b2b36-d9f8-4b38-9639-2175aaf9ebc9.pdf
[15] Neil M. Richards - William D. Smart: How should the law think about robots, in Robot Law, Ryan Calo - A. Michael Froomkin - Ian Kerr (eds), Cheltenham and Northampton, Mass., Edward Elgar Publishing, 2016.
[16] Richards-Smart (15. vj.) 4.
[17] Piers Anthony: Macrosope, New York, Avon Books, 1969.
[18] Joël de Rosnay: Macroscope, New York, Harper and Row, 1979.
- 28/29 -
[19] Uo.
[20] Encyclopedia of Life, http://eol.org/
[21] Casey Kazan: "Encyclopedia of Life" - Online 'Macroscope' Launched, The Daily Galaxy, 2008. február 26., http://www.dailygalaxy.com/my_weblog/2008/02/encyclopedia-of.html
[22] Jay Stanley: Eight Problems with "Big Data", ACLU Speech, Privacy, and Technology Project, 2012. április 25., https://www.aclu.org/blog/eight-problems-big-data?redirect=blog/technology-and-liberty/eight-problems-big-data
[23] Uo.
[24] Shawn Graham - Ian Milligan - Scott Weingart: Exploring Big Historical Data; The Historian's Macroscope, London, Imperial College Press, 2016.
[25] Idézi: Michael Haupt: "Data is the New Oil" - A Ludicrous Proposition, Medium Corporation, Medium, 2016. május 2., https://medium.com/twenty-one-hundred/data-is-the-new-oil-a-ludicrous-proposition-1d91bba4f294
[26] Uo.
[27] Uo.
[28] Uo.
[29] (The Economist:) The algorithmic kingdom, The Economist, 2017. július 15-21.
[30] Stanley (22. vj.).
[31] Hanna Nagy K.: Mastering Digital Transformation; Towards a Smarter Society, Economy, City and Nation, Bingley, Emerald Group Publishing, 2016.
[32] Terence Lee: Why Singapore is on the cusp of becoming a big data utopia, TechInAsia, 2014. október 3., https://www.techinasia.com/singapore-big-data-utopia-2020; Singapore Land Transport Authority 2017 - A szingapúri közlekedési hatóság elektronikus útdíjfizetési rendszerét ismertető lapja (2017. augusztus 19.), https://www.lta.gov.sg/content/ltaweb/en/roads-and-motoring/managing-traffic-and-congestion/electronic-road-pricing-erp.html
[33] Helbing et al. (4. vj.); Simon Denyer: China wants to give all of its citizens a score - and their rating could affect every area of their lives, The Independen, 2016. október 12., http://www.independent.co.uk/news/world/asia/china-surveillance-big-data-score-censorship-a7375221.html
[34] Katherine Drabiak: Caveat Emptor: How the Intersection of Big Data and Consumer Genomics Exponentially Increases Informational Privacy Risks, Health Matrix, 2017, 143-187.
[35] Elizabeth R. Pike: Securing Sequences: Ensuring Adequate Protections for Genetic Samples in the Age of Big Data, Cardozo Law Review 2016, 1977-2033.
[36] Joon Ian Wong: DeepMind held 1.6 million people's health records unlawfully, but no one's getting fined for it, Quartz, 2017. július 4., https://qz.com/1020473/deepmind-held-1-6-million-peoples-health-records-unlawfully-but-no-ones-getting-fined-for-it/
[37] Alexin Zoltán: Személyes adatokat tartalmaz-e a Tételes Egészségügyi Adattár, in Az E-Health kihívásai, XXVI. Neumann Kollokvium konferencia kiadványa, Kósa István - Vassányi István (szerk), Pannon Egyetem, 2013, https://www.inf.u-szeged.hu/~alexin/Neumann_Kollokvium_XXVI_Alexin.pdf.pdf.
[38] A jelenséget behatóan elemzi Szőke Gergely László: Az európai adatvédelmi jog megújítása. Tendenciák és lehetőségek az önszabályozás területén, Budapest, HVG-ORAC, 2015, 82-86.
[39] Don Peppers - Martha Rogers: The One to One Future, Currency, New York, 1996.
[40] Az Európai Parlament és a Tanács 95/46/EK irányelve a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról, (Adatvédelmi irányelv) 15. cikk "Automatizált egyedi döntések".
[41] Uo.
[42] Ian Sample: AI watchdog needed to regulate automated decision-making, say experts, The Guardian, 2017. január 27., https://www.theguardian.com/technology/2017/jan/27/ai-artificial-intelligence-watchdog-needed-to-prevent-discriminatory-automated-decisions
[43] Ohm (8. vj.) 1718.
[44] Bruce Schneier: Why 'anonimous' data sometimes isn't?, Wired, 2007. december 12., https://www.wired.com/2007/12/why-anonymous-data-sometimes-isnt/
[45] Ori Heffetz - Katrina Ligett: Privacy and Data-based Research. Journal of Economic Perpectives, 2014, 75-98.
[46] Alexin (37. vj.) 177.
[47] Cecilia Munoz - Megan Smith - DJ Patil: Big Data: A Report on Algorithmic Systems, Opportunity, and Civil Rights, Executive Office of the President (Obama), 2016. május, https://obamawhitehouse.archives.gov/sites/default/files/microsites/ostp/2016_0504_data_discrimination.pdf
[48] Sunstein (9. vj.).
[49] Charles Duhigg: How Companies Learn Your Secrets, The New York Times Magazine, 2012. február 26., http://www.nytimes.com/2012/02/19/magazine/shopping-habits.html?pagewanted=1&_r=1&hp
[50] Anrew Leonard: How Netflix is turning viewers into puppets, Salon.com, 2013. február 1., http://www.salon.com/2013/02/01/how_netflix_is_turning_viewers_into_puppets/
[51] Helbing et al. (4. vj.).
[52] Adatvédelmi irányelv (40. vj.).
[53] 1992. évi LXIII. törvény a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról.
- 29/30 -
[54] Article 29 Data Protection Working Party (A29 WP1): Advice paper on essential elements ofa definition and a provision on profiling within the EU General Data Protection Regulation, 2013. május 13., http://ec.europa.eu/justice/data-protection/article-29/documentation/other-document/files/2013/20130513_advice-paper-on-profiling_en.pdf; Article 29 Data Protection Working Party (A29 WP2): Statement on Statement of the WP29 on the impact of the development of big data on the protection of individuals with regard to the processing of their personal data in the EU, 2014. szeptember 16., http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp221_en.pdf
[55] Kameron Kerry - Francesca Blythe - William Long: How big will big data be under the GDPR? Website of the International Association of Privacy Professionals, 2016. október 14., https://iapp.org/news/a/how-big-will-big-data-be-under-the-gdpr/
[56] Lee (32. vj.).
[57] GDPR (1. vj.) Preambulum (71) és 22. cikk; ezt támasztja alá az Information Comissioner's Office visszajelzése is (Big data, artificial intelligence, machine learning and data protection) https://ico.org.uk/media/for-organisations/documents/2013559/big-data-ai-ml-and-data-protection.pdf
[58] A Bizottság közleménye az Európai Parlamentnek, a Tanácsnak, az Európai Gazdasági és szociális Bizottságnak és a Régiók Bizottságnak: Európai digitális egységes piaci stratégia /* COM/2015/0192 final */, http://eur-lex.europa.eu/legal-content/HU/TXT/?uri=CELEX:52015DC0192
[59] (The Economist) (29. vj.).
[60] Az Article 29 Working Party (A 29 WP) az EU független adatvédelmi tanácsadó testülete, amely a tagállamok adatvédelmi hatóságaiból, az EDPS (European Data Protection Authority, Európai Adatvédelmi Hatóság), és a Bizottság képviselőiből áll. Az itt idézett dokumentum a Big Data kérdéseivel foglalkozik: "Statement on Statement of the WP29 on the impact of the development of big data on the protection of individuals with regard to the processing of their personal data in the EU" (2014. szeptember 16.), http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp-221_en.pdf
[61] GDPR (1. vj.) Preambulum (26)-(29).
[62] Szőke (38. vj.).
Lábjegyzetek:
[1] A szerző jogász, MTA TK JTI.
Visszaugrás
