https://doi.org/10.32575/ppb.2025.2.3
A "közérdekből nyilvános személyes adatok" a magyar jogrendben egyedi jellemzőkkel bírnak. Egyszerre tárgyai az információszabadságnak és az információs önrendelkezési jognak. A tanulmány kísérletet tesz e Janus-arcú adatkategória genezisének és evolúciójának bemutatására, a közérdekből nyilvános személyes adatok kezelésére irányadó jogforrások kölcsönhatásainak és azok releváns rendelkezéseinek azonosítására, valamint ezen adatok kezelése során létrejövő jogviszonyok alanyainak és tartalmának elemzésére.
Kulcsszavak: adatvédelem, alapjogok, GDPR, információszabadság, közérdekű adatot tartalmazó iratokhoz való hozzáférés, közérdekből nyilvános személyes adatok
'Personal data accessible on public interest grounds' bear peculiar characteristics in the Hungarian legal order. They are subject to both freedom of information and the right to informational self-determination. This study endeavours to describe the genesis and evolution of this Janus-faced category of data to identify the interaction and the relevant provisions of the legal sources governing
- 49/50 -
the processing of personal data accessible on public interest grounds, and to analyse the subjects and content of the legal relationships that arise in the course of the processing of these data.
Keywords: access to official documents, data protection, freedom of information, fundamental rights, GDPR, personal data accessible on public interest grounds
Magyarország Alaptörvénye - a korábbi Alkotmány szövegétől[2] eltérően - ugyanazon rendelkezésében rögzíti a személyes adatok védelméhez, avagy - az Alkotmánybíróság következetes gyakorlata szerinti megnevezéssel - információs önrendelkezési joghoz,[3] valamint a közérdekű adatok megismeréséhez és terjesztéséhez - a jogirodalom,[4] valamint az Alkotmánybíróság gyakorlata szerint "összefoglaló néven" információszabadsághoz[5] - fűződő alapvető jogokat.[6]
E tudatos[7] alkotmányozói döntés a magyar jogfejlődés és jogi hagyományok azon sajátos jellemzőjének alkotmányos szintű elismerése volt, amely e két, a jogirodalomban együttesen információs jogokként[8] is hivatkozott alapjogot és az azokhoz kapcsolódó jogintézményeket az átfogó törvényi szintű szabályozásuk kezdete[9] óta azonos jogforrásban, azonos szerv[10] felügyeleti feladat- és hatáskörébe utalva kezelte.
Az információs önrendelkezési jog és az információszabadság metszéspontjában áll a közérdekből nyilvános személyes adatok kategóriája, amely adatok vonatkozásában mind a személyes adatok védelmére, mind az információszabadságra vonatkozó rendelkezések alkalmazandók, e kettősségből fakadó különös tartalommal.
Ezen adatkategória tekintetében tehát koncentráltan jelenik meg - véleményünk szerint - az egyik legösszetettebb, ugyanakkor legszebb jogalkotói és jogalkalmazói feladat: alapjogok, jelen esetben az információs jogok mint alapjogok együttes és egymásra tekintettel
- 50/51 -
való érvényesülésének biztosítása, amely együtt jár egyiknek a másik "rovására" történő szükséges és arányos korlátozásával is.
Jelen tanulmány célja, hogy e Janus-arcú adatokat az információs jogok rendszerében elhelyezze, jellemzőit mindkét alapvető jog perspektívájából megvizsgálja, feltárja és bemutassa, azzal a szándékkal is, hogy a jogalkalmazók számára - így elsősorban a közfeladatot ellátó szervek számára, amelyek mindkét alapjog biztosításának kötelezetti oldalán megjelennek - segédletet nyújtson a közérdekből nyilvános személyes adatok jogszerű kezeléséhez, a hozzájuk kapcsolódó jogi kötelezettségek teljesítéséhez.
Különösen indokoltnak tűnik e kérdések vizsgálata a személyes adatok kezelése tekintetében alkalmazandó jogi környezet utóbbi években bekövetkezett - az alábbiakban bővebben is ismertetett - alapvető változásainak fényében, amely változások a korábbi törvényi szabályozást részben felváltó, a magyar jogban közvetlenül hatályosuló és alkalmazandó uniós jogi aktusban rögzített jogi rendelkezések figyelembevételét teszik szükségessé a közérdekből nyilvános személyes adatok megismeréséhez és terjesztéséhez fűződő jog biztosítása és annak gyakorlása során is.
E gyakorlati megfontolások miatt az alábbi elemzés tudatosan nem a jogi szakirodalom eredményeinek összegyűjtésére és azok kritikai elemzésére törekszik - amellett, hogy az Európai Unió adatvédelmi reformját követő jogi helyzet vonatkozásában e tekintetben átfogó elemzés tudomásunk szerint nem született -, hanem egy, a szerzők által képviselt szakmai álláspontot ismertet, azt jogi érvekkel törekszik alátámasztani, azzal a nem titkolt céllal is, hogy a jogalkalmazók eredményes és jogszerű tevékenységét, ezzel egyszersmind az információs jogok jogosultjai alapvető jogainak érvényesülését elősegítse.
A közérdekből nyilvános személyes adat kategóriájának értelmezési tartományát egyértelműen meghatározó rendelkezést a hatályos magyar jogszabályokban hiába keresünk. Sem az Alaptörvény, sem a korábbi Alkotmány nem említi ezen adatkategóriát, sőt, még a közérdekből nyilvános adatok kategóriáját sem. Hasonlóképp az információs jogok vonatkozásában releváns nemzetközi[11] és európai uniós jogi[12] instrumentumok sem nyújtanak egyértelmű eligazítást a fogalom tartalma tekintetében.
Noha az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) 3. §-a számos értelmező rendelkezést - köztük a későbbiekben tárgyalt közérdekből nyilvános adat definícióját - rögzíti, a közérdekből nyilvános személyes adat terminus az Infotv.-nek csupán egy szerkezeti egységének két rendelkezésében[13] jelenik meg.
- 51/52 -
Az Infotv. hivatkozott rendelkezéseit az Országgyűlés - két országgyűlési képviselő által benyújtott törvényjavaslat nyomán - állapította meg.[14] A törvényjavaslat benyújtói - többek között - úgy indokolták e rendelkezések szükségességét, hogy
"[a] közérdekből nyilvános személyes adatok tekintetében fontos kiemelni, hogy megismerésükre ugyan a közérdekű adatok megismerésére vonatkozó szabályokat kell alkalmazni, de ezen adatok személyes adat jellege a nyilvánosság ellenére megmarad, így az adatvédelem legfontosabb garanciáját, a célhoz kötött adatkezelés elvének követelményét változatlanul be kell tartani".[15]
Bár az előzőekben kifejtettek szerint a közérdekből nyilvános személyes adatok fogalommeghatározását normatív rendelkezés nem rögzíti, a közérdekből nyilvános adat és a személyes adat terminusok tartalmát igen, így e fogalmak rövid áttekintése is indokolt az alábbiakban.
Ahogyan az előzőekben már jeleztük, a korábbi Alkotmány fogalomkészlete nem ismerte a közérdekből nyilvános (személyes) adatok kategóriáját, az Alkotmánybíróság gyakorlata így kezdetben az információs jogok egymásra tekintettel való értelmezése során azon személyes adatokat, amelyek nyilvánosságához nyomós közérdek fűződött, a közérdekű adatok kategóriájába sorolta. Így például a 60/1994. (XII. 24.) AB határozat elvi éllel rögzítette, hogy
"a jogállamban közhatalmat gyakorló vagy a politikai közéletben részt vevő személyek - köztük azok, akik a politikai közvéleményt feladatszerűen alakítják - arra vonatkozó adatai, hogy korábban a jogállamisággal ellentétes tevékenységet folytattak, vagy olyan szerv tagjai voltak, amely korábban a jogállamisággal ellentétes tevékenységet folytatott, az Alkotmány 61. § szerinti közérdekű adatok".[16]
A közérdekből nyilvános adat kategóriáját a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény (Avtv.) 2004. május 1-jén hatályba lépett, 2. § 5. pontjába illesztett[17] új értelmező rendelkezése teremtette meg, az alábbi szöveggel:
"5. közérdekből nyilvános adat: minden olyan, természetes személy, jogi személy vagy jogi személyiséggel nem rendelkező szervezet kezelésében lévő vagy rá vonatkozó, a közérdekű adat fogalma alá nem tartozó adat, amelynek nyilvánosságra hozatalát vagy hozzáférhetővé tételét törvény közérdekből elrendeli;"
- 52/53 -
A rendelkezést megalapozó jogalkotási szükségletet a törvényjavaslatot benyújtó igazságügy-miniszter az alábbiak szerint indokolta:
"A közérdekű adatok nyilvánosságához kapcsolódva egy új fogalmat illeszt be a törvény az adatvédelem és az információszabadság rendszerébe, a "közérdekből nyilvános adat" fogalmát. [...]. A közérdekből nyilvános adat fogalmának bevezetésével egyértelműen el lehet határolni a közszféra főszabályként és természeténél fogva nyilvános adatait és a magánszféra kivételesen, valamely az adatok bizalmas kezelésénél fontosabb közérdekből nyilvánossá tett adatainak kezelését, megszüntetve ezzel egy, a megfelelő jogérvényesítést akadályozó gyakorlati problémát."[18]
Jóllehet, az új adatkategória fogalommeghatározását az említett módosítással állapította meg az Országgyűlés, az Avtv. 3. § (3) bekezdése[19] - a törvény elfogadásának időpontjától - már korábban is tartalmazta a definíció mögött álló szabályozási megfontolás egyes elemeit. Emellett az értelmező rendelkezés megalkotására irányuló törvényjavaslat miniszteri indokolása is utalt arra, hogy annak közvetlen jogalkotási előzményeként az úgynevezett üvegzseb-szabályok[20] megalkotása tekinthető, amely szabályok - törvényi definíció nélkül - már expressis verbis a közérdekből nyilvános adatok kategóriájába tartozó egyes adatokra vonatkozó előírások voltak.[21]
A közérdekből nyilvános adat törvényi definícióját azonban - a hatálybalépésétől számított alig egy év elteltével - 2005-ben már módosította is a jogalkotó, a fent idézettek helyébe a következő szöveg lépett:[22]
"5. közérdekből nyilvános adat: a közérdekű adat fogalma alá nem tartozó minden olyan adat, amelynek nyilvánosságra hozatalát vagy hozzáférhetővé tételét törvény közérdekből elrendeli;"
A módosítást a törvényjavaslatot benyújtó miniszter azzal indokolta, hogy az
"[v]ilágossá teszi, hogy közérdekből nyilvános adat csak olyan adat lehet, amely nem minősül közérdekű adatnak: vagy azért nem, mert nem állami vagy helyi önkormányzati feladatot, valamint jogszabályban meghatározott egyéb közfeladatot ellátó szerv vagy személy kezelésében van, vagy pedig azért nem, mert személyes adatnak minősül. Közérdekből nyilvánossá adatot továbbra is törvényi rendelkezés tehet."[23]
- 53/54 -
A közérdekből nyilvános adat így már - lényegét tekintve - tartósan e tartalommal képezi a magyar jogrend részét, az Avtv.-t az Alaptörvény hatálybalépésére tekintettel 2012. január 1-jétől felváltó Infotv. ugyanis csupán a fogalommeghatározás szerint közérdekből elrendelhető adatkezelési műveletek körét pontosította - egészítette ki a "megismerhetőségét" fordulattal, illeszkedve az Alaptörvény VI. cikk (3) bekezdésének a közérdekű adatok tekintetében alkalmazott megfogalmazásához.[24]
A fogalommeghatározás elemei közül a "közérdekű adat fogalma alá nem tartozó minden [...] adat", valamint a "megismerhetőségét [...] törvény közérdekből elrendeli" fordulatok következményeihez indokoltnak látszik további magyarázatot is fűzni.
A "közérdekű adat fogalma alá nem tartozó minden [...] adat" fordulat egyrészt kizárja a közérdekű adatok teljes halmazát a fogalom alkalmazási köréből. Ezen elhatárolás feltétlenül logikus abból következően, hogy a közérdekű adatok értelmezési tartományát az Infotv. 3. § 5. pontja[25] maga határozza meg, ahhoz további, ezen adatok megismerhetőségét elrendelő törvényi szabály alkotása így szükségtelen. Itt szükséges megjegyeznünk azt is, hogy az Infotv. mellett maga az Alaptörvény is közérdekű adatnak minősít egyes adatokat,[26] így ezek tekintetében álláspontunk szerint abban az esetben is ennek megfelelően kell a jogalkalmazás során eljárni, ha az Infotv. rendelkezései alapján esetleg más következtetésre lehetne jutni az adatok jellegét illetően.[27]
Másrészt ugyanakkor a definícióból következően a közérdekből nyilvános adatok kategóriája gyűjtőfogalom, adatköre nyitott, abba a közérdekű adatokon kívül potenciálisan bármely, már létező vagy a jövőben létrehozandó kategóriába tartozó adat - a törvényhozó erre irányuló döntése alapján - bevonható.
A "megismerhetőségét [...] törvény közérdekből elrendeli" fordulat vonatkozásában egyrészt rögzíthető, hogy az Infotv. törvényi szintű jogforrást követel meg[28] az adat közérdekből nyilvános jellegéhez, másrészt e törvényi előírást valamely közérdekre rendeli alapozni. Természetesen ez utóbbi követelmény mellett, abban az esetben, ha a közérdekből nyilvános adattá minősítő törvényi rendelkezés valamely alapjog - így különösen a személyes adatok
- 54/55 -
védelméhez való jog - korlátozását is eredményezi, a jogalkotónak az Alaptörvény I. cikk (3) bekezdésében foglalt követelményeket is figyelembe kell vennie.
Az Alkotmánybíróság a fentiekben már hivatkozott AB határozata ezzel kapcsolatban hangsúlyozta, hogy a
"személyi szám határozat kifejezetten el akarta kerülni, hogy az adatvédelmet csupán a közérdekre hivatkozva át lehessen törni [...]. Ez az alkotmányos követelmény érvényes arra a törvényre is, amely [...] elrendeli személyes adat nyilvánosságra hozását. Ügydöntő tehát annak az alapjognak vagy alkotmányos elvnek, illetve intézménynek azonosítása, amely a személyes adat nyilvánosságra hozását szükségessé teszi, továbbá annak vizsgálata, hogy az információszabadság és az adatvédelem alapjogai kölcsönös korlátozása mindegyikük céljához viszonyítva arányos legyen."[29]
Ahogyan az előzőekben bemutattuk, a törvényalkotó döntésének eredményeként bármely kategóriába tartozó adat válhat közérdekből nyilvános adattá, így természetesen személyes adat is.
A személyes adat fogalma evolúciójának jogtörténeti bemutatásától ehelyütt eltekintünk, annyit azonban szükségesnek tartunk rögzíteni, hogy az Európai Unió adatvédelmi reformjának eredményeként alapvetően átalakult a személyes adatok védelmére vonatkozó jogforrási rendszer és abban a magyar jogszabályok szerepe.[30]
E megváltozott jogi környezetben azon adatkezelési jogviszonyok vonatkozásában, amelyek az általános adatvédelmi rendelet (GDPR)[31] hatálya alá tartoznak, alapvetően az abban foglalt, a tagállami jogokban közvetlenül hatályosuló és alkalmazandó előírások érvényesülnek. Ezen rendelkezéseket azonban - a GDPR által lehetővé vagy kötelezővé tett körben - kiegészíthetik a tagállami jogszabályok rendelkezései. Az Infotv. 2. § (2) bekezdése taxatív módon határozza meg az Infotv. azon rendelkezéseit, amelyek a GDPR hatálya alá tartozó adatkezelési jogviszonyokban is alkalmazandók.
Noha sem elméletileg, sem a gyakorlatban nincs akadálya annak, hogy a jogalkotó olyan személyes adatokat nyilvánítson közérdekből nyilvános adatoknak, amelyek a GDPR hatályán kívüli jogviszonyokban keletkeztek, tekintettel arra, hogy az azokhoz való nyilvános hozzáféréssel - későbbiekben tárgyaltak szerint - új adatkezelési jogviszonyok jönnek létre, amelyek már tipikusan a GDPR hatálya alá fognak tartozni, az előzőekben ismertetett okokból a közérdekből nyilvános személyes adatok tartalmának vizsgálatakor a személyes adat fogalmát a GDPR-ban rögzítettek szerint[32] indokolt alkalmazni.
- 55/56 -
Mindezek alapján tehát megállapítható, hogy a közérdekből nyilvános személyes adatok olyan személyes adatok, azaz olyan azonosított vagy azonosítható természetes személyre vonatkozó információk, amelyek "nyilvánosságra hozatalát, megismerhetőségét vagy hozzáférhetővé tételét" a törvényalkotó kifejezett törvényi rendelkezéssel előírta.
A közérdekből nyilvános személyes adat fogalmának tisztázását követően szükséges részletesebben megvizsgálni azt, hogy az előzőekben ismertetettek szerint, ebbe a kategóriába tartozó adatok azon egyedi jellegzetességéből fakadóan, hogy mind az információs önrendelkezési jog, mind az információszabadság mint alapjogok érvényesüléséhez alapvetően kapcsolódnak, milyen jogi következmények fakadnak, továbbá, hogy milyen különös normatív előírások alkalmazandók ezen adatok kezelése során.
Az előzőekben már részben érintettük, hogy a közérdekből nyilvános személyes adatok kezelésével összefüggő adatvédelmi jogviszonyok - egyetlen, inkább elméleti jellegű és jelentőségű, az alábbiakban ismertetett kivétellel - a GDPR tárgyi hatálya alá tartoznak, figyelemmel annak 2. cikk (1) bekezdésében és 3. cikk (1) bekezdésében foglaltakra. Ennek alapja, hogy a közérdekből nyilvános személyes adatok kezelésére irányuló jogviszonyok
a) "kötelezetti" oldalán tipikusan olyan jogalanyok[33] állnak, amelyek
b) az Unióban (Magyarországon) tevékenységi hellyel rendelkeznek, és
c) tevékenységeikkel[34] összefüggésben
d) automatizált módon vagy valamely nyilvántartási rendszerben[35]
e) személyes adatok adatkezelését[36] végzik.
Itt szükséges megemlíteni azt is, hogy még azon adatkezelési jogviszonyok esetén is, amelyek keretei között a közérdekből nyilvános személyes adatok keletkeznek, és amelyek a GDPR tárgyi hatályán kívül esnek,[37] és így vagy más uniós jogi aktus (például a bűnüldözési célú adatke-
- 56/57 -
zelések[38]) vagy az uniós jog hatályán kívüli tárgykörök esetén tagállami jogi rendelkezések (például nemzetbiztonsági célú adatkezelések) alkalmazandók rájuk, a közérdekből nyilvános személyes adatokkal összefüggő, az információszabadság érvényesülése érdekében végzett adatkezelési műveletekre (például adatigénylésre történő adattovábbítás) már a GDPR adatvédelmi előírásait kell alkalmazni[39] (természetesen az Infotv. információszabadságra vonatkozó előírásainak alkalmazandósága mellett).[40]
Az előzőekben említett kivétel azon adatkezelési jogviszonyokat érinti, amelyek nem tartoznak a GDPR hatálya alá, és amelyek tekintetében a magyar jogalkotó különös tagállami szabályozás[41] kialakítását nem tartotta indokoltnak.[42] E kivételnek azonban a közérdekből nyilvános személyes adatok kezelése vonatkozásában gyakorlati jelentősége azért nincs, mert, noha az uniós jogból fakadóan a GDPR szabályai e területeken nem alkalmazandók, a magyar jogalkotó azonban azokra is - az úgynevezett "háztartási adatkezeléseket" kivéve - a GDPR anyagi jogi szabályait rendeli alkalmazni.[43]
A GDPR 2. cikk (2) bekezdés c) pontja a tárgyi hatály alóli kivételként határozza meg az úgynevezett "háztartási kivételt" (household exemption), amely alapján a GDPR nem alkalmazandó a személyes adatok kezelésére akkor, ha e tevékenységet "természetes személyek kizárólag személyes vagy otthoni tevékenységük keretében végzik". E kivétellel analóg szabályozást tartalmaz az Infotv.[44] is, amely kivételekből fakadó, a közérdekből nyilvános személyes adatok kezelésével összefüggő következményekről az alábbiakban még lesz szó.
Végül, a GDPR tárgyi hatálya alá tartozó adatkezelési jogviszonyokat érintően két rendelkezés kiemelése szükséges.
Egyrészt, az Infotv. az előzőekben már említett 2. § (2) bekezdésében foglalt előírásoké, amelyek alapján a GDPR hatálya alá tartozó adatkezelési jogviszonyokban alkalmazandók - többek között - az Infotv. III.[45] és IV.[46] fejezetében foglalt, azaz "a közérdekből nyilvános adatok megismeréséhez és terjesztéséhez való jog érvényesülését szolgáló alapvető szabályok"[47] is.
Másrészt, a GDPR 86. cikkében (A személyes adatok kezelése és a hivatalos dokumentumokhoz való nyilvános hozzáférés) foglaltaknak a közérdekből nyilvános személyes adatok kezelése tekintetében azért van kiemelt jelentőségük, mert expressis verbis megteremtik a tagállami
- 57/58 -
jogalkotó szabályozási és a tagállami jogalkalmazó jogalkalmazási mozgásterét arra, hogy noha a GDPR rendeleti jogforrásából fakadóan közvetlenül alkalmazandó a tagállami jogban, e rendelkezéseket a tagállami jogalkotó kiegészítse, sőt, adott esetben azok "alkalmazását kiigazító rendelkezéseket"[48] fogadjon el, annak érdekében, hogy "a hivatalos dokumentumokhoz való nyilvános hozzáférést összeegyeztesse a személyes adatok e rendelet szerinti védelméhez való joggal". Ez az úgynevezett rugalmassági klauzula tehát utat nyit a magyar jogalkotónak arra, hogy a magyar alkotmányos hagyományokkal, egyszersmind az uniós adatvédelmi elvárásokkal is összhangban szabályozza a közérdekből nyilvános személyes adatok kezelésével kapcsolatos előírásokat.
A közérdekből nyilvános személyes adatok kezelésére irányuló jogviszonyok alanyainak meghatározásakor is abból szükséges kiindulni, hogy ezen adatok mind az információszabadság, mind az információs önrendelkezési jog tárgyát képezik.
Az információs önrendelkezési jog jogosultja az "érintett" (adatalany). Az érintett terminus definícióját a GDPR 4. cikke - az Infotv.-vel ellentétben - önállóan nem tartalmazza, de a személyes adat fogalmának részeként azt az "azonosított vagy azonosítható természetes személyként" határozza meg, az "azonosítható" jelleg tartalmát az értelmező rendelkezésben kibontva, ahhoz támpontokat adva.
Az Infotv. a hatálya alá tartozó jogviszonyokban a terminológiai egységesség érdekében a GDPR-ral azonos tartalommal határozza meg az érintett[49] fogalmát, ezért e tekintetben sincs érdemi jogi relevanciája annak, hogy a személyes adatok a GDPR hatályán kívüli jogviszonyokban keletkeztek (e jogviszonyokban gyűjtötték, rögzítették őket), az ilyen tevékenységek során keletkezett adatok megismerhetőségével, az ezzel összefüggésben végzett műveletekkel kapcsolatban pedig már az előzőekben jeleztük, hogy a GDPR anyagi jogi szabályai lesznek alkalmazandók.
Személyes adatok kezelésére irányuló jogviszonyokban a jog védelmét szolgáló kötelezettségek alanya - az elszámoltathatóság alapelvéből[50] következően - elsősorban az adatkezelő.
Az adatkezelő a GDPR szerint az a személy vagy szerv, aki vagy amely "a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza".[51] Ha a célokat és eszközöket az adatkezelő másokkal együtt határozza meg, akkor közös adatkezelői jogviszony[52] keletkezik.
- 58/59 -
Noha a GDPR szabályai alapján e közös adatkezelők közötti jogviszony tartalmának érdemi hatása lehet az őket terhelő kötelezettségek biztosítására és az érintettet megillető jogosultságok gyakorlására, a közérdekből nyilvános személyes adatoknak az információszabadság gyakorlásával összefüggésben létrejött jogviszonyaira - az alábbiakban részletesebben ismertetett okok miatt - nincs lényeges joghatása.
Az adatvédelmi jogban tehát nem feltétele az adatkezelői minőségnek az, hogy az adatkezelő konkrét adatkezelési műveletet végezzen a személyes adatokon, így az sem, hogy birtokában legyen annak (tárolja azt). E jellemzőnek ugyanakkor az információszabadság érvényesülése vonatkozásában nagy jelentősége van, ezért erre a következőkben még kitérünk.
Az adatvédelmi jogviszonyok további fontos alanya az adatfeldolgozó, a GDPR fogalommeghatározása szerint "az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel".[53] Az adatfeldolgozói minőség nélkülözhetetlen eleme tehát az, hogy személyes adatokon adatkezelési műveleteket végezzen, ez a művelet lehet aktív (például hozzáférhetővé tétel) vagy passzív (például tárolás) is.[54]
Adatvédelmi szempontból jelentős kérdés az adatkezelő és az adatfeldolgozó közötti jogviszony jellege és tartalma,[55] de a közérdekből nyilvános személyes adatok információszabadsággal kapcsolatos jogviszonyaiban annak nincs relevanciája, ott ugyanis - ahogyan azt az alábbiakban majd részletesebben is kifejtjük - egymás tevékenységétől függetlenül mind az adatkezelőt, mind az adatfeldolgozót terhelhetik az adatok megismerhetőségének biztosításával kapcsolatos kötelezettségek. E megállapítást irányadónak tartjuk az adatfeldolgozó és az általa igénybe vett, úgynevezett további vagy al-adatfeldolgozók közötti jogi kapcsolat[56] tekintetében is.
Végül, a közérdekből nyilvános személyes adatok kezelése vonatkozásában, a GDPR fogalomrendszerében releváns jogalany a címzett[57] és a harmadik fél[58] is. Míg utóbbi halmaz értelmezési tartományának fontos eleme, hogy a harmadik fél "nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak", addig a címzett tekintetében ez indifferens, mindenki e személyi körbe tartozik, "akivel vagy amellyel a személyes adatot közlik".
A közérdekből nyilvános személyes adatokat az információszabadság perspektívájából vizsgálva, az e körben létrejövő jogviszonyok alanyai tekintetében az alábbi megállapításokat tehetjük.
- 59/60 -
Kiindulási pontként, az Infotv. 26. § (1) bekezdésének és 28. § (1) bekezdésének szövegpontos idézésétől itt nem tudunk eltekinteni, mert e rendelkezések minden lényegesebb elemének van következménye a közérdekből nyilvános személyes adatok kezelésére. Az Infotv. tehát az alábbiak szerint szabályoz:
"26. § (1) Az állami vagy helyi önkormányzati feladatot, valamint jogszabályban meghatározott egyéb közfeladatot ellátó szervnek vagy személynek (a továbbiakban együtt: közfeladatot ellátó szerv) lehetővé kell tennie, hogy a kezelésében lévő közérdekű adatot és közérdekből nyilvános adatot - az e törvényben meghatározott kivételekkel - erre irányuló igény alapján bárki megismerhesse."
"28. § (1) A közérdekű adat megismerése iránt szóban, írásban vagy elektronikus úton bárki igényt nyújthat be. A közérdekből nyilvános adatok megismerésére a közérdekű adatok megismerésére vonatkozó rendelkezéseket kell alkalmazni."
Az információszabadság érvényesülésével összefüggésben létrejött jogviszony "kötelezetti" oldalán tehát elsősorban a közfeladatot ellátó szerv áll. Azt, hogy e halmazba pontosan mely entitások, mely feltételek fennállása esetén sorolhatók, ehelyütt nem tartjuk indokoltnak részletezni, ezt a jogalkalmazási gyakorlat, illetve az Alkotmánybíróság gyakorlata az elmúlt évtizedekben kialakította, kiterjesztően értelmezve e személyek és szervezetek körét.[59]
Megjegyzendő, hogy az információszabadság érvényesülését szolgáló szabályozási rendszerben vannak olyan alanyok is, amelyek ugyan nem minősülnek közfeladatot ellátó szerveknek, de a közérdekű, közérdekből nyilvános személyes adatok tekintetében e szervekével azonos[60] vagy ahhoz hasonló,[61] az általuk kezelt adatok megismerhetőségének biztosításával kapcsolatos tájékoztatási kötelezettségek terhelik őket.[62] Tekintettel arra, hogy jelen tanulmány tárgya szempontjából e megkülönböztetést nem tartjuk relevánsnak, a továbbiakban a közfeladatot ellátó szervekre vonatkozó megállapításainkat mutatis mutandis ezen entitásokra is irányadónak tartjuk.[63]
Az Infotv. 26. § (1) bekezdéséből fakadóan a közfeladatot ellátó szervek a "kezelésükben" lévő közérdekből nyilvános személyes adatok megismerhetőségének biztosítására kötelezettek.
E rendelkezés nem tesz különbséget az adatkezelői és az adatfeldolgozói minőség között, tehát, ha a közfeladatot ellátó szerv adatfeldolgozói minőségben van jelen az adatvédelmi jogviszonyban, de a közérdekből nyilvános személyes adat a kezelésében van, akkor terhelhetik az információszabadsággal kapcsolatos egyes kötelezettségek, függetlenül attól, hogy az adatkezelés célját és eszközeit nem ő határozta meg. Ez a következtetés a GDPR azon szabályával is
- 60/61 -
összhangban van, amely alapján az adatfeldolgozó "az adatokat kizárólag az adatkezelő utasításának megfelelően kezelheti, kivéve, ha az ettől való eltérésre őt [...] tagállami jog kötelezi."[64]
Az adatkezelő ezzel szemben - álláspontunk szerint - nem hivatkozhat eredményesen az adat megismerhetőségével kapcsolatos kötelezettségeinek mulasztása esetén arra, hogy az adat kezeléséhez adatfeldolgozót vesz igénybe és ebből fakadóan nincs a tényleges birtokában (kezelésében) az adat, hiszen az általa igénybe vett adatfeldolgozó az adatkezelő helyett és nevében[65] jár el, vele szemben az adatkezelő minden esetben utasítási joggal[66] rendelkezik, így az adat megismerhetőségének biztosítására - akár az adatfeldolgozó útján - ekkor is köteles.
Hasonlóképp, az információszabadsággal kapcsolatos kötelezettségek teljesítése tekintetében az is indifferens, ha a közérdekből nyilvános személyes adatok vonatkozásában a GDPR alapján a közfeladatot ellátó szervek között közös adatkezelői megállapodás született több adatkezelő között. Függetlenül tehát attól, hogy e megállapodásban a felek megállapodtak az adatvédelmi előírásokból fakadó kötelezettségeik teljesítésének megosztásáról, az információszabadság érvényesülésével kapcsolatos kötelezettségeikre ez semmilyen joghatással nincs, azok teljesítéséért önállóan felelnek.
Az információszabadság érvényesülését a közérdekből nyilvános személyes adatok megismerhetőségének "erre irányuló igény alapján" történő lehetővé tétele mellett a közfeladatot ellátó szervek az adatok proaktív (elektronikus) közzététele útján is kötelesek biztosítani.[67]
A közzétételi kötelezettségnek az Infotv.-ben nevesített különös szerepkörei vannak, az adatfelelős, azaz "az a közfeladatot ellátó szerv, amely az elektronikus úton kötelezően közzéteendő közérdekű adatot előállította, illetve amelynek a működése során ez az adat keletkezett",[68] valamint az adatközlő, azaz "az a közfeladatot ellátó szerv, amely - ha az adatfelelős nem maga teszi közzé az adatot - az adatfelelős által hozzá eljuttatott adatot honlapon közzéteszi".[69]
A közérdekből nyilvános személyes adatok vonatkozásában e szerepkörből fakadó specialitás az adatkezelési művelet jellegében érhető tetten. Az Infotv. III. fejezete által szabályozott, az adatok megismerésére irányuló adatigénylések és azok teljesítése esetén ugyanis meghatározott jogalanyok - a közfeladatot ellátó szerv és az adatigénylő - között jön létre jogviszony, amelynek keretében adattovábbítási műveletre kerül(het) sor.
Ettől eltérően az adatfelelős, ha a közzétételi kötelezettséget maga teljesíti, valamint az adatközlő az Infotv. szerinti nyilvánosságra hozatalra, azaz "az adat bárki számára történő hozzáférhetővé tétel[ér]e" kötelezettek, amely adatkezelési művelet egyoldalú jogi aktusként a jogosulti oldalon meghatározatlan számú és azonosíthatatlan személyi kört feltételez.
Mindemellett, tekintettel arra, hogy mind az adatfelelős, mind az adatközlő fogalmi eleme a közfeladatot ellátó szervi minőség, a közérdekből nyilvános személyes adatoknak az információszabadság érvényesülése érdekében történő kezelése vonatkozásában nincs különös
- 61/62 -
jelentősége annak, hogy az adatfelelős és az adatközlő között milyen jogi kapcsolat van (önálló adatkezelői, adatkezelői-adatfeldolgozói vagy közös adatkezelői).
A közérdekből nyilvános személyes adatok kezelésének az információszabadsággal összefüggő jogviszonyok jogosulti oldalának vizsgálatakor az alapvető jog két részjogosítványát, az adatok megismeréséhez és terjesztéséhez fűződő jogosítványokat indokolt górcső alá venni.
Az adatok megismeréséhez fűződő jog jogosultja az Alaptörvény VI. cikk (3) bekezdése alapján mindenki, az Infotv. 26. § (1) bekezdése, valamint 28. § (1) és 33. § (1) bekezdései alapján bárki, azaz bármely jogalany lehet.
A közérdekből nyilvános személyes adatok megismerése esetén az adatok megismerője - ha az természetes személy - a GDPR szerinti harmadik fél címzett jogállásába kerül, hiszen olyan jogalannyá válik, aki vagy amely "nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval" és "akivel vagy amellyel a személyes adatot közlik".
Természetes személy címzett esetén az adatok megismerésével az adatok címzettje nem válik adatkezelővé, mert az információszabadságból fakadó részjogosítványával élve a GDPR (és az Infotv.) - az előzőekben már említett - háztartási kivételre[70] vonatkozó előírásának alkalmazási körébe esik, így az adatvédelmi jogi normákból fakadó kötelezettségek sem terhelik.
Ha azonban a közérdekből nyilvános személyes adat megismerője nem természetes személy, azzal az adatvédelmi fogalomrendszerben nem harmadik fél címzetti, hanem adatkezelő címzetti státusba kerül, az általa végzett adatkezelési művelet - a megismerés módjától függően gyűjtés, lekérdezés, betekintés[71] - ugyanis már megalapozza az adatkezelőt terhelő kötelezettségek alkalmazhatóságát, tekintettel arra, hogy nem természetes személy esetén a háztartási kivétel szabálya sem alkalmazható.
Az információszabadság másik részjogosultságának gyakorlása, jelen esetben a közérdekből nyilvános személyes adatok terjesztése esetén azonban a természetes személy adatvédelmi jogi helyzete a terjesztés adatkezelési műveletének terjedelméhez igazodik. Ha tehát a természetes személy a terjesztés során kilép a háztartási mentesség alkalmazási köréből,[72] azzal adatkezelővé válik, és ekként alakulnak jogai és kötelezettségei.
Természetes személynek nem minősülő entitás pedig a közérdekből nyilvános személyes adatok terjesztése során a GDPR szabályai alapján adatkezelői, ha pedig a terjesztést egy adatkezelő megbízásából végzi, adatfeldolgozói minőséget élvez, így e minőségéből fakadó, a GDPR-ban meghatározott kötelezettségek és jogok alanya lesz.
A közérdekből nyilvános személyes adatok kezelésére irányuló jogviszonyok alanyaival kapcsolatos kérdések tisztázását követően e jogviszonyok tartalma, azaz e jogviszonyokba
- 62/63 -
kerülő jogalanyok e jogviszonyokból eredő jogainak és kötelezettségeinek vizsgálata és azonosítása szükséges.
E vizsgálat során az alábbiakban - célszerűségi szempontok és terjedelmi korlátok miatt - a jogviszony tartalmának azon elemeire fókuszálunk, amelyek a közérdekből nyilvános személyes adatok Janus-arcú jellemzőiből következnek. Ezek tehát azok a jogok és kötelezettségek, amelyek e jellemzők perspektívájából tekintve általános, azaz a közérdekű adatokra vagy a közérdekből nyilvános nem személyes adatokra, illetve a nem közérdekből nyilvános személyes adatokra vonatkozó szabályokhoz képest eltérnek vagy - az érintett alapvető jogok egymásra tekintettel való érvényesülése során eltérő jogalkalmazási gyakorlatot tesznek szükségessé. Hangsúlyozzuk, hogy e különleges előírásokon kívüli, általános szabályok alkalmazása a közérdekből nyilvános személyes adatok kezelése esetén sem mellőzhető.
A személyes adatok jogszerű kezelésének egyik legfontosabb feltétele, hogy az adatkezelésnek a műveletek megkezdésének időpontjától kezdődően megfelelő jogalapja legyen. E jogalapok taxatív listáját a GDPR 6. cikke tartalmazza, a GDPR további rendelkezései pedig különös jogkövetkezményeket, jogokat és kötelezettségeket is meghatároznak egyes jogalapokhoz kapcsolódóan.
A közérdekből nyilvános személyes adatok specifikuma, hogy azok "nyilvánosságra hozatalát, megismerhetőségét vagy hozzáférhetővé tételét" a jogalkotó rendeli el. E jogalkotói aktus az adatvédelmi jogi rezsim perspektívájából szemlélve az érintett információs önrendelkezési jogát korlátozza, az adat bárki általi megismerése így úgynevezett kötelező adatkezelésnek[73] tekinthető.
Az Infotv. 5. § (3) bekezdése - a GDPR 6. cikk (3) bekezdésében foglalt rugalmassági klauzulával élve - a kötelező adatkezelések esetén további szabályozási kötelezettséget ír elő, e rendelkezés szerint "a kezelendő adatok fajtáit, az adatkezelés célját és feltételeit, az adatok megismerhetőségét, az adatkezelő személyét, valamint az adatkezelés időtartamát vagy szükségessége időszakos felülvizsgálatát" az "adatkezelést elrendelő" jogszabályban kell rendezni.
A közérdekből nyilvános személyes adatok esetén ezen előírás is sajátosan érvényesül. Egyrészt, noha maga az Infotv. is olyan törvény, amely bizonyos személyes adatokat közérdekből nyilvános adatnak minősít,[74] a szabályozás logikájából fakadóan erre jellemzően külön, ágazati törvényi szabályok útján kerül sor. Másrészt, ezen ágazati szabályok az Infotv. 5. § (3) bekezdésében meghatározott szabályozási elemeket vagy azok egy részét egyes esetekben egyáltalán nem tartalmazzák, hiszen ezeket az Infotv. a közérdekből nyilvános adatok tekintetében generálisan és főszabályként alkalmazandóan rendezi.[75]
A közérdekből nyilvános adatok széles szabályozási spektrumából következően ugyanakkor azok megismerésére és kezelésére számos különös szabály lehet alkalmazandó, amelyek
- 63/64 -
részletes ismertetésére ehelyütt nincs mód, arra azonban indokolt felhívni a figyelmet, hogy maga az Infotv. utalja ágazati szabályozás körébe "a közhitelű nyilvántartásból történő adatszolgáltatás" rezsimjeinek kialakítását.[76]
Abban az esetben pedig, ha az Infotv. 5. § (3) bekezdésében foglalt szabályozási elemek valamelyikét sem az Infotv. általános szabálya, sem a személyes adatot közérdekből nyilvánossá minősítő vagy más ágazati törvény nem rendezi, "az adatkezelő az általános adatvédelmi szabályok - így különösen az alapelvek és a jogalap szükségességi mércéje - szerint köteles adatkezelési tevékenységét végezni, és annak jogszerűségét az elszámoltathatóság elvének megfelelően igazolni".[77]
A közérdekből nyilvános személyes adatok kezelésének megfelelő jogalapja tipikusan
a) a GDPR 6. cikk (1) bekezdés e) pontja (közérdekű, közhatalmi feladat ellátása),
b) a GDPR 6. cikk (1) bekezdés c) pontja (jogi kötelezettség), vagy
c) a GDPR 6. cikk (1) bekezdés f) pontja (jogos érdek),
attól függően, hogy az adatkezelő milyen pozíciót tölt be az információs jogok mátrixában.
Ad a): Abban a tekintetben egyértelműnek tűnik a helyzet, hogy a közérdekből nyilvános személyes adatot kezelő azon közfeladatot ellátó szerv, amely az információszabadság érvényesülése érdekében az adatot az adatigénylőnek (címzettnek) továbbítja vagy az elektronikus közzétételi kötelezettségét teljesítve közzéteszi, ezen adatkezelési műveleteit a GDPR 6. cikk (1) bekezdés e) pontjában meghatározott jogalapon végzi.[78]
Ad b): Ezzel szemben azon kötelezettek, amelyek nem minősülnek közfeladatot ellátó szervnek, de a közvélemény tájékoztatására - adott esetben közérdekből nyilvános személyes adatok továbbításával vagy közzétételével - kötelesek, adatkezelésük megfelelő jogalapjaként tipikusan a GDPR 6. cikk (1) bekezdés c) pontjára hivatkozhatnak.
Ad c): Végül, azok, akik az előző csoportokba nem tartoznak és a közérdekből nyilvános személyes adatokat adatkezelőként gyűjtik vagy terjesztik, tipikusan a saját vagy mások (harmadik felek) jogos érdekeire [GDPR 6. cikk (1) bekezdés f) pont] hivatkozhatnak eredményesen a közérdekből nyilvános személyes adatok kezelése során.
A fentiekben általunk használt "tipikusan" fordulatnak azért van jelentősége, mert az irányadó jogalkalmazási gyakorlat szerint a megfelelő jogalap megválasztása az összes körülmény értékelése alapján esetről esetre szükséges. Így például a sajtó tevékenysége vonatkozásában a Kúria elvi éllel rögzítette, hogy "a GDPR 6. cikk (1) bekezdés e) pontjában foglalt jogalap kapcsán [...] akkor lehet jogszerűnek tekinteni az adatkezelést, ha az adatkezelés közérdekű vagy az az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges. Az e feltételnek való megfelelést azonban nem lehet általánosságban a sajtó tevékenységére értelmezni, [...] hanem azt mindig konkrétan, az egyes adatkezelés
- 64/65 -
vonatkozásában, az adatkezelés célja figyelembevétele mellett szükséges vizsgálni. A Kúria hivatkozott ítélete hozzátette továbbá, hogy "[a]bból kell kiindulni, mi az adatkezelés konkrét célja, ehhez kell megtalálni a jogalapot, és vizsgálni annak közérdekűségét."[79]
Az adatkezelés megfelelő jogalapjának kiválasztása mellett a személyes adatok különleges kategóriái,[80] valamint a bűnügyi személyes adatok[81] esetén az adatkezelés jogszerűségének további alapvető feltételei vannak.
Bár a különleges személyes adatok kategóriába tartozó adatok jogalkotói döntés nyomán közérdekből nyilvánossá minősítésére - az adatok szenzitív jellegére tekintettel - csak kivételesen kerülhet sor, a GDPR e tagállami (és uniós) jogalkotói döntésre kifejezetten lehetőséget ad,[82] amely lehetőségek közül a legtágabb mozgásteret a "jelentős közérdek"[83] fennállása biztosítja.
Közérdekből nyilvános különleges személyes adatoknak minősülnek például a nemzetiségi választásokon passzív választójogi jogosultsággal rendelkező jelöltek nemzetiségi-etnikai származására utaló személyes adatai. A joggyakorlat alapján azonban nem minősülhet közérdekből nyilvános adatnak például a bírók egészségügyi alkalmasságra vonatkozó különleges személyes adata.[84]
Noha a bűnügyi személyes adatok kategóriáját a GDPR nem minősíti[85] a személyes adatok különleges kategóriájába tartozónak, ezen adatokkal kapcsolatban - élve a GDPR által biztosított[86] tagállami jogalkotási mozgástérrel - az Infotv. főszabályként a különleges adatok kezelésének feltételeire vonatkozó szabályok alkalmazását rendeli el.[87]
Az előzőekben ismertetett rendelkezésekből fakadóan így például a magyar jogalkotó jelentős közérdekként "a gyermekek védelmének biztosítása, a gyermekek sérelmére vagy kihasználásával elkövetett nemi élet szabadsága vagy nemi erkölcs elleni bűncselekmények megelőzése céljából" konkrétan nem meghatározott jogosultak számára megismerhetővé tett - azaz közérdekből nyilvános személyes adattá minősített - bűnügyi személyes adatoknak minősülő, a bűnügyi nyilvántartási rendszerben kezelt adatokat.[88]
- 65/66 -
A fentiekben ismertetettek szerint a közérdekből nyilvános személyes adatok kezelésére irányuló jogviszonyoknak mind a jogosulti, mind a kötelezetti oldalán több alanya lehet. Erre tekintettel szükséges megvizsgálni e jogviszonyok tartalmának egyedi jellemzőit is.
Az adatok megismerhetőségének adatigénylés nyomán történő biztosítására vagy azok proaktív közzétételére kötelezett közfeladatot ellátó szerv adatkezelő az adatokat egyes esetekben az érintettől gyűjti, másokban nem az érintettől szerzi meg.
Előbbi esetről van szó például a közfeladatot ellátó szerv feladat- és hatáskörében eljáró foglalkoztatottjai közérdekből nyilvános személyes adatainak megismerhetővé tétele[89] esetén és abban az esetben is, ha a közfeladatot ellátó szerv természetes személlyel kerül valamely, az üvegzseb-szabályok[90] vagy az általános közzétételi lista hatálya alá tartozó gazdasági jellegű jogviszonyba.[91]
Ilyen esetben az adatkezelőt a GDPR 13. cikkében meghatározott tartalmú előzetes tájékoztatási kötelezettség terheli. E kötelezettség teljesítése során a személyes adatok címzettjeit[92] természetesen a tájékoztatás időpontjában - bármely ezen adatok megismerésére irányuló adatigénylés benyújtását megelőzően - az adatkezelő nem tudja konkrétan megjelölni, így a címzettek kategóriái tekintetében kell arra az érintettek figyelmét felhívnia, hogy az érintettek mely adatai minősülnek közérdekből nyilvános személyes adatnak, és ezek közül mely adatokat köteles megismerhetővé tenni adatigénylők és melyeket - elektronikus közzététel útján - meghatároz(hat)atlan személyi kör számára.
Tekintettel arra, hogy ebben az esetben - a fentiekben jelzettek szerint - az adatkezelés jogalapja a GDPR 6. cikk (1) bekezdés e) pontja, az érintettet a GDPR 21. cikkében foglaltak szerint megilleti a tiltakozáshoz való jog (lásd az alábbiakban), amely jog tekintetében a GDPR különös tájékoztatási kötelezettséget[93] is telepít az adatkezelőre, így az előzetes tájékoztatási kötelezettség teljesítésének ezen elemekre is ki kell terjednie.
Az adatokat megismerő adatigénylő, közzétett adatokat gyűjtő, valamint azokat terjesztő adatkezelő ezzel szemben tipikusan nem az érintettől gyűjti a személyes adatokat, így nem a GDPR 13., hanem 14. cikkében foglaltak szerint kell eljárnia. E cikkben előírt előzetes tájékoztatási kötelezettség ugyanakkor nem alkalmazandó, ha "az adat megszerzését vagy közlését kifejezetten előírja az adatkezelőre alkalmazandó uniós vagy tagállami jog, amely az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik".[94]
- 66/67 -
Bár az vitatható lehet, hogy a közérdekből nyilvános személyes adatok kezelésére vonatkozóan a magyar jogalkotó az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket[95] biztosítja-e, a közérdekből nyilvános személyes adatok szabályozási logikájából következik, hogy az adatok megismerhetőségét és közlését a jogalkotó írja elő,[96] így - álláspontunk szerint - az adatkezelő megalapozottan hivatkozhat e mentességi szabály alkalmazhatóságára.
Az érintettet az előzetes, azaz az adatkezelés megkezdéséhez kapcsolódó, az adatkezelő által proaktív módon nyújtott tájékoztatáshoz fűződő jog mellett azonban - ahhoz hasonló tartalommal - megilleti az adatkezelés folyamatában, az érintett kérelmére biztosítandó úgynevezett hozzáféréshez való jog[97] is.
Közérdekből nyilvános személyes adatok kezelése esetén az adatkezelő kötelezettségei tekintetében - az előzetes tájékoztatáshoz való joggal szemben - lényegében[98] egységesen alkalmazandó a szabályozás, függetlenül attól, hogy az adatkezelő a közfeladatot ellátó szerv vagy az adatigénylő, illetve az adatot a közzétett nyilvános forrásból megismerő és gyűjtő személy vagy szerv.
A hozzáféréshez való jog gyakorlása esetén azonban a közfeladatot ellátó szervnek mint adatkezelőnek - ha az adatokat adatigénylő részére továbbította -, az adatok címzettjeire vonatkozó tájékoztatási kötelezettségét már nem elegendő absztrakt módon, csupán a címzettek kategóriáinak megjelölésével teljesítenie. Ebben az esetben - annak érdekében, hogy az érintett az őt megillető jogosultságait a címzett adatkezelővel szemben is érvényesíteni tudja - a címzettnek az adatkezelőnél rendelkezésre álló[99] adatait[100] is továbbítania kell az érintett részére.[101]
- 67/68 -
Az adatvédelmi szabályozás által biztosított érintetti jogok között kiemelt jelentősége van az érintett törléshez való jogának, ezzel ugyanis a jogalkotó tulajdonképpen az információs önrendelkezési jog lényegi elemét biztosítja az érintett számára: ha az adatkezelő az érintett akarata ellenére kezeli személyes adatait, az érintett az adatok törlését, az adatkezelés megszüntetését követelheti.
A közérdekből nyilvános személyes adatok kezelése esetén azonban ezen általános, az érintettet főszabályként megillető törlési jogosultsággal szemben a GDPR expressis verbis megjeleníti és az érintett jogával szemben előnyben részesíti az információszabadság érvényesülését mint közérdeket, rögzíti ugyanis, hogy az érintett törlési joga nem alkalmazandó, ha az adatkezelés "a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog[102] gyakorlása céljából" szükséges.[103]
Ahogyan azonban az előzőekben jeleztük, az érintettet megillető jogosultságok közül vannak olyanok, amelyek kizárólag az adatkezelés egyes jogalapjaihoz kapcsolódóan alkalmazhatók. Ilyen jogosultság a tiltakozáshoz való jog[104] is, amelyre az érintettet általános jelleggel megillető törléshez való joghoz képest, az érintett a "saját helyzetével kapcsolatos okból"[105] akkor hivatkozhat, ha az adatkezelés jogalapja a 6. cikk (1) bekezdés e) pontja (közérdekű, közhatalmi feladat ellátása) vagy a 6. cikk (1) bekezdés f) pontja (jogos érdek).
A GDPR tehát a tiltakozáshoz való jogon keresztül biztosítja az érintettnek a lehetőséget arra, hogy közérdekből nyilvános személyes adatainak közfeladatot ellátó szerv által történő kezelése, valamint az adatot megismerő, illetve terjesztő adatkezelő adatkezelése vonatkozásában egy egyedi mérlegelési tesztre kényszerítse az adatkezelőt, amely mérlegelés arra az eredményre is vezethet, hogy a személyes adatokat az adatkezelő "nem kezelheti tovább".[106]
Ez ugyanakkor a törléshez való joggal szemben álláspontunk szerint nem feltétlenül jár az adatok törlésének kötelezettségével, a GDPR ugyanis nem zárja ki, hogy a tiltakozás adott esetben egy bizonyos adatkezelési műveletre, műveletek egy csoportjára irányuljon, így közérdekből nyilvános adatok esetén arra, hogy bizonyos adatokat az adatkezelő ne továbbítson adatigénylők részére vagy ne hozzon nyilvánosságra.
Az érintett ilyen tartalmú tiltakozáshoz való jogának gyakorlása álláspontunk szerint azon esetekben tipikusan nem lehet eredményes, amely esetekben a jogalkotó, valamely személyes
- 68/69 -
adatfajtát egyértelműen meghatározva[107] - jogalkalmazói mérlegelési mozgásteret nem biztosítva - közérdekből nyilvános személyes adatnak minősített. Ezen esetekben ugyanis a két információs jog érvényesülése érdekében szükséges mérlegelést a jogalkotó már az adatkezelő helyett, számára jogi kötelezettséget teremtve elvégezte, és e mérlegelés eredményeképp az információszabadsághoz való jogot részesítette előnyben.
Azon esetekben azonban, amelyek során az adatkezelő jogalkalmazói mérlegelése szükséges abban a tekintetben, hogy az általa kezelt személyes adat megismerhetőségét közérdekből nyilvános személyes adatként biztosítania kell-e, a tiltakozáshoz való jog már - adott esetben - eredményre vezethet. Így például az Infotv. 26. § (2) bekezdésében meghatározott, "a közfeladatot ellátó szerv feladat- és hatáskörében eljáró személy közfeladat ellátásával összefüggő egyéb személyes adata" fordulat esetén az eseti jogalkalmazói jogértelmező mérlegelés elengedhetetlen abban a tekintetben, hogy mely konkrét adatok tartoznak e körbe, e mérlegelés során pedig - a GDPR idézett rendelkezéseinek érvényesülése érdekében - nem hagyhatja figyelmen kívül az érintett tiltakozását, illetve az annak alapjául az érintett által hivatkozott indokokat.
E mérlegelési kötelezettséggel összefüggésben az információs önrendelkezési jog és az információszabadság kollízióját - végső soron - a mindkét alapjog tekintetében rendelkezésre álló jogorvoslati rendszer tudja feloldani. Ahogyan azt az Alkotmánybíróság egy közérdekből nyilvános személyes adatok kérdését érintő alkotmányjogi panasszal összefüggésben elvi éllel rögzítette, a testület nem "foglalhatott állást arról, hogy az indítványozó által kiadni kért konkrét adat [...] közérdekű, közérdekből nyilvános adatnak minősül-e. Az igényelt adatokat illetően ennek megítélése ugyanis bírósági hatáskör".[108]
Végül, a közérdekből nyilvános személyes adatok kezelésére vonatkozó különös szabályok kapcsán e személyes adatok harmadik ország vagy nemzetközi szervezet részére történő továbbításának lehetőségét is érdemes megvizsgálnunk.
Az információszabadság érvényesülése megköveteli, hogy a közfeladatot ellátó szerv bárki, akár magyar állampolgársággal nem rendelkező, a magyar nyelvet nem ismerő, nem Magyarországon tartózkodó személy vagy Magyarországon nem letelepedett szervezet részére is biztosítsa a közérdekű és közérdekből nyilvános személyes adatok megismerhetőségét és terjeszthetőségét.
A közérdekű és közérdekből nyilvános adatok megismerhetőségének részjogosítványát ezért az Infotv. annak rögzítésével is elősegíti, hogy "közérdekű adat megismerése iránti igény teljesítése nem tagadható meg azért, mert a nem magyar anyanyelvű igénylő az igényét anyanyelvén vagy az általa értett más nyelven fogalmazza meg".[109]
- 69/70 -
A személyes adatok harmadik ország[110] vagy nemzetközi szervezet[111] részére történő továbbítását ugyanakkor a GDPR szigorú feltételek teljesüléséhez[112] köti, "annak biztosítása érdekében, hogy a természetes személyek számára e rendeletben garantált védelem szintje ne sérüljön".[113] E garanciák biztosításának jogi eszközeit a GDPR részletesen meghatározza.[114]
E jogi garanciák hiányában is azonban - bizonyos privilegizált esetekben - a GDPR jogszerűvé teszi az adattovábbítást harmadik ország vagy nemzetközi szervezet részére. Ilyen privilegizált esetkörnek minősül, ha "a továbbított adatok olyan nyilvántartásból származnak, amely az uniós vagy a tagállami jog értelmében a nyilvánosság tájékoztatását szolgálja, és amely vagy általában a nyilvánosság, vagy az ezzel kapcsolatos jogos érdekét igazoló bármely személy számára betekintés céljából hozzáférhető, de csak ha az uniós vagy tagállami jog által a betekintésre megállapított feltételek az adott különleges esetben teljesülnek".[115]
E rendelkezés pedig a közérdekből nyilvános személyes adatok szabad terjesztésének, így az információszabadság érvényesülésének nyit utat, e tekintetben az adatvédelmi garanciák érvényesülésének háttérbe szorításával.
A közérdekből nyilvános személyes adatok kategóriája az Alaptörvény VI. cikk (3) bekezdésében biztosított, a személyes adatok védelméhez, valamint a közérdekű adatok megismeréséhez és terjesztéséhez fűződő alapvető jogok tárgyának közös halmaza.
Az információszabadság perspektívájából jelentős körülményként értékelendő az, hogy ezen adatok "nyilvánosságra hozatalát, megismerhetőségét vagy hozzáférhetővé tételét" a jogalkotó az információs önrendelkezési jogi korlátozásával rendelte el. A jogalkotó döntése azonban határozott álláspontunk szerint kizárólag ezen adatok megismerhetőségének kötelező biztosítására szorítkozik, nem vezet, nem vezethet arra az eredményre, hogy a közérdekből nyilvános személyes adat személyesadat-jellege megszűnik, a személyes adatok védelméhez fűződő alapvető jog kiüresedik, annak garanciái elenyésznek.[116]
Noha a magyar jogalkotó a közérdekből nyilvános személyes adatok kezelése vonatkozásában expressis verbis csupán ezen adatok célhoz kötött terjesztésének követelményét rögzíti, a személyes adatok védelmére vonatkozó, a magyar jogban közvetlenül hatályosuló és alkalmazandó uniós jogi aktusban - az általános adatvédelmi rendeletben - biztosított, a személyes adatok kezelésére vonatkozó szabályok alkalmazását semmilyen hatályos rendelkezés nem zárja ki.
- 70/71 -
A GDPR és az Infotv. szabályozási mátrixában ugyanakkor számos olyan különös rendelkezés azonosítható, amelyek alkalmazásával mindkét érintett alapjog érvényesülése biztosítható, egymásra tekintettel történő korlátozásuk a szükségesség és arányosság elvének alkotmányos keretein belül tartható.
Jelen tanulmányban annak bemutatására törekedtünk, hogy de lege lata a hatályos szabályozásban mely különös rendelkezések biztosítják ezen alkotmányos egyensúly megteremtését és fenntartását. Nem állítjuk ugyanakkor, hogy de lege ferenda e szabályok finomhangolása, további jogalkotási lépések szükségességének vizsgálata és végrehajtása ne lenne indokolt, úgy látjuk azonban, hogy a magyar jogalkotó minden eszközzel, a megfelelő szabályozási mozgástérrel rendelkezik ahhoz, hogy Janus mindkét orcáját mosolyra fakassza.
Adatközlő Kisokos - ki tartozik az Infotv. hatálya alá? (2022). Online: https://infoszab.hu/sites/default/files/2022-12/Adatk%C3%B6zl%C5%91_Kisokos.pdf
A Nemzeti Adatvédelmi és Információszabadság Hatóság beszámolója a 2018. évi tevékenységéről (2019). Online: https://naih.hu/eves-beszamolok?download=24:naih-beszamolo-a-2018-evi-tevekenysegrol
A "közérdekű adatok kiadásával kapcsolatos perek" bírósági gyakorlata tárgykörére felállított joggyakorlat-elemző csoport 2017.EI.II.J.GY.P.3 sz. összefoglaló véleménye (2018). Online: https://kuria-birosag.hu/sites/default/files/joggyak/osszefoglalo_velemeny_adatvedelem.pdf
Bendik Tamás (2021): A tagállami jog és a GDPR viszonya - az Infotv. szerepe a megváltozott szabályozási környezetben. In Buzás Péter - Péterfalvi Attila - Révész Balázs (szerk.): Magyarázat a GDPR-ról. Budapest: Wolters Kluwer, 38-46.
Jóri András (2009): A magánszférajogok. In Jakab András (szerk.): Az Alkotmány kommentárja II. Budapest: Századvég, 2167-2193.
Koltay András (2009): Az Alkotmány 61. §-a: A véleménynyilvánítás és a sajtó szabadsága, a közérdekű adatok nyilvánossága. In Jakab András (szerk.): Az Alkotmány kommentárja II. Budapest: Századvég, 2219-2303.
Majtényi László (2008): Az információs jogok. In Halmai Gábor - Tóth Gábor Attila (szerk.): Emberi jogok. Budapest: Osiris, 577-635.
Sólyom László (1988): Egy új szabadságjog, az információszabadság. Valóság, 31(9), 14-34.
Van de Sloot, Bart (2023): Home Is Where the Heart Is: The Household Exemption in the 21[st] Century. JIPITEC - Journal of Intellectual Property, Information Technology and E-Commerce Law, 14(1). Online: https://www.jipitec.eu/jipitec/article/view/364
Magyarország Alaptörvénye (2011. április 25.)
1949. évi XX. törvény a Magyar Köztársaság Alkotmánya
1959. évi IV. törvény a Magyar Köztársaság Polgári Törvénykönyvéről
- 71/72 -
1989. évi XXXI. törvény az Alkotmány módosításáról
1992. évi LXIII. törvény a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról
2003. évi XXIV. törvény a közpénzek felhasználásával, a köztulajdon használatának nyilvánosságával, átláthatóbbá tételével és ellenőrzésének bővítésével összefüggő egyes törvények módosításáról
2003. évi XLVIII. törvény a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény módosításáról
2005. évi XIX. törvény a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény módosításáról
2009. évi XLVII. törvény a bűnügyi nyilvántartási rendszerről, az Európai Unió tagállamainak bíróságai által magyar állampolgárokkal szemben hozott ítéletek nyilvántartásáról, valamint a bűnügyi és rendészeti biometrikus adatok nyilvántartásáról
2009. évi CXXXI. törvény az Európa Tanács közérdekű adatot tartalmazó iratokhoz való hozzáférésről szóló Egyezményének kihirdetéséről (Troms0i Egyezmény)
2010. évi CIV. törvény a sajtószabadságról és a médiatartalmak alapvető szabályairól
2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról
2013. évi XCI. törvény az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény módosításáról
2021. évi LXXIX. törvény a pedofil bűnelkövetőkkel szembeni szigorúbb fellépésről, valamint a gyermekek védelme érdekében egyes törvények módosításáról
15/1991. (IV. 13.) AB határozat
60/1994. (XII. 24.) AB határozat
21/2013. (VII. 19.) AB határozat
3026/2015. (II. 9.) AB határozat
3254/2018. (VII. 17.) AB határozat
13/2019. (IV. 8.) AB határozat
A Kúria Kfv.III.37.978/2021/10. sz. ítélete (2022). In Kúriai Döntések Bírósági Határozatok, 2022 (07) 189. Online: https://kuria-birosag.hu/hu/kuriai-dontesek/189-gdpr-6-cikk-1-bekezdes-e-pontjaban-foglalt-jogalap-szerint-akkor-lehet
A személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény módosításáról szóló T/3735. sz. törvényjavaslat (2. §-hoz fűzött indokolás) (2003). Online: https://www.parlament.hu/irom37/3735/3735.htm
A személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény módosításáról szóló T/14709. sz. törvényjavaslat (1. §-hoz fűzött indokolás) (2005). Online: https://www.parlament.hu/irom37/14709/14709.pdf
A Magyarország Alaptörvényéről szóló T/2627. sz. törvényjavaslat (2011). Online: https://www.parlament.hu/irom39/02627/02627.pdf
Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény módosításáról szóló T/10904 sz. törvényjavaslat (2. §-hoz fűzött indokolás) (2013). Online: https://www.parlament.hu/irom39/10904/10904.pdf
Az Európai Parlament és a Tanács 1049/2001/EK rendelete (2001. május 30.) az Európai Parlament, a Tanács és a Bizottság dokumentumaihoz való nyilvános hozzáférésről
- 72/73 -
Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről
Az Európai Parlament és a Tanács (EU) 2016/680 irányelve (2016. április 27.) a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről
Dr. Bendik Tamás LL.M. 1984-ben született Budapesten. Tanulmányait az ELTE Állam- és Jogtudományi Karán és ösztöndíjasként a Helsinki Egyetem Jogi Karán végezte. Posztgraduális képzését az ELTE ÁJK Jogi Továbbképző Intézetben folytatta, előbb kodifikátor szakjogász, később adatbiztonsági és adatvédelmi szakjogász végzettséget (LL.M.) szerzett. Szakmai pályafutását az Igazságügyi Minisztériumban kezdte meg, ahol több mint 11 évig foglalkozott alapjogokkal, kiemelten a személyes adatok védelmével és információszabadsággal. 2012-től 2018-ig Magyarországot képviselte az Európai Unió Tanácsának adatvédelmi munkacsoportjában, valamint az Európai Bizottság adatvédelmi szakértői csoportjában. Ebben az időszakban tevékenységének fókusza az Európai Unió adatvédelmi reformja volt, ennek keretében részt vett az uniós szabályozás előkészítésében és tárgyalásában, valamint azok implementációjával kapcsolatos jogszabály-módosítások szakmai előkészítésében. 2018-tól 2023-ig a Nemzeti Adatvédelmi és Információszabadság Hatóság stratégiai elnöki főtanácsadója, 2023 júliusa óta általános elnökhelyettese. A GDPR-kommentár egyik társszerzője, az ELTE ÁJK Jogi Továbbképző Intézet adatbiztonsági és adatvédelmi szakjogász képzésének, valamint a Nemzeti Közszolgálati Egyetem európai uniós adatvédelmi szaktanácsadó szakirányú továbbképzési szakának oktatója.
Dr. habil. Péterfalvi Attila András az Államigazgatási Főiskolán tudományos munkaként a személyiségi jogok és az adatvédelem összefüggéseit vizsgálta. Az 1980-as évek végén a KSH felkérésére részt vett az első adatvédelmi törvény elkészítésében, véleményezésében. Az adatvédelmi biztos irodájának munkájában külső szakértőként 1996 óta vett részt. 2001. december 11-én az Országgyűlés hat évre megválasztotta adatvédelmi biztosnak. 2008-tól 2011-ig az Országgyűlési Biztos Hivatalának hivatalvezetője. 2012-ben a köztársasági elnök a Nemzeti Adatvédelmi és Információszabadság Hatóság elnökévé nevezte ki. Nevéhez fűződik 2020-ban a Nemzeti Közszolgálati Egyetemen az európai uniós adatvédelmi szaktanácsadó szakirányú továbbképzési szak bevezetése. 2022-től újabb 9 évre a Nemzeti Adatvédelmi és Információszabadság Hatóság elnöke. 2022 óta a Troms0i Egyezmény által életre hívott Szakértői Testület tagja. Egyetemi docensként több hazai egyetemen oktat, három tiszteletbeli egyetemi tanári címmel rendelkezik. 2022 decemberében kapta meg a "habilitált doktor" címet állam- és jogtudomány tudományágban. Számos magyar és idegen nyelvű publikációja jelent meg. ■
JEGYZETEK
[1] A TKP 2021-NKTA-51 számú projekt a Kulturális és Innovációs Minisztérium Nemzeti Kutatási, Fejlesztési és Innovációs Alapból nyújtott támogatásával, a TKP 2021-NKTA pályázati program finanszírozásában valósult meg.
[2] Az Alkotmány módosításáról szóló 1989. évi XXXI. törvény állapította meg az Alkotmány 59. §-ának a személyes adatok védelméhez való jogot, 61. §-ának pedig a "közérdekű adatok megismeréséhez, illetőleg terjesztéséhez" fűződő jogot rögzítő rendelkezéseit, amely alapvető jogokat biztosító rendelkezések az Alaptörvény hatálybalépéséig érdemi tartalmukat tekintve változatlan szöveggel képezték az Alkotmány részét.
[3] Lásd pl. 15/1991. (IV. 13.) AB határozat.
[4] Lásd pl. Sólyom 1988.
[5] Lásd 13/2019. (IV. 8.) AB határozat, Indokolás [27].
[6] Lásd Magyarország Alaptörvénye VI. cikk (3) bekezdés.
[7] Lásd a Magyarország Alaptörvényéről szóló, az Országgyűléshez mint alkotmányozó hatalomhoz 2011. március 14-én benyújtott törvényjavaslat VI. cikkéhez fűzött indokolás szövegét: A Magyarország Alaptörvényéről szóló T/2627. sz. törvényjavaslat 2011.
[8] Lásd pl. Majtényi 2008.
[9] A hivatkozott alapjogok átfogó törvényi szabályozására első ízben a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvénnyel (Avtv.) került sor, bár a személyes adatok védelméhez való jog előképe már a jogállami Alkotmányt megelőzően a Polgári Törvénykönyvben, a személyiségi jogi szabályozás keretei között is megjelent.
[10] Elsőként az adatvédelmi biztos (lásd Avtv. IV. fejezet), majd a Nemzeti Adatvédelmi és Információszabadság Hatóság (2011. évi CXII. törvény, V. fejezet).
[11] A 2009. évi CXXXI. törvénnyel kihirdetett, az Európa Tanács közérdekű adatot tartalmazó iratokhoz való hozzáférésről szóló Egyezménye (Troms0i Egyezmény).
[12] Az Európai Parlament és a Tanács 1049/2001/EK (2001. május 30.) rendelete.
[13] Infotv. 26. § (2) bekezdés.
[14] 2013. évi XCI. törvény.
[15] Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény módosításáról szóló T/10904. sz. törvényjavaslat (2. §-hoz fűzött indokolás) 2013.
[16] 60/1994. (XII. 24.) AB határozat, 1. pont.
[17] A rendelkezést a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény módosításáról szóló 2003. évi XLVIII. törvény állapította meg.
[18] A személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény módosításáról szóló T/3735. sz. törvényjavaslat (2. §-hoz fűzött indokolás) 2003.
[19] Avtv. 3. § (3) bekezdés: "Törvény közérdekből - az adatok körének kifejezett megjelölésével - elrendelheti a személyes adat nyilvánosságra hozatalát."
[20] 2003. évi XXIV. törvény.
[21] Lásd pl. 1959. évi IV. törvény 81. §.
[22] Lásd 2005. évi XIX. törvény 1. §.
[23] A személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény módosításáról szóló T/14709. sz. törvényjavaslat (1. §-hoz fűzött indokolás) 2005.
[24] Infotv. 3. § 6. pont: közérdekből nyilvános adat: a közérdekű adat fogalma alá nem tartozó minden olyan adat, amelynek nyilvánosságra hozatalát, megismerhetőségét vagy hozzáférhetővé tételét törvény közérdekből elrendeli.
[25] Infotv. 3. § 5. pont: közérdekű adat: az állami vagy helyi önkormányzati feladatot, valamint jogszabályban meghatározott egyéb közfeladatot ellátó szerv vagy személy kezelésében lévő és tevékenységére vonatkozó vagy közfeladatának ellátásával összefüggésben keletkezett, a személyes adat fogalma alá nem eső, bármilyen módon vagy formában rögzített információ vagy ismeret, függetlenül kezelésének módjától, önálló vagy gyűjteményes jellegétől, így különösen a hatáskörre, illetékességre, szervezeti felépítésre, szakmai tevékenységre, annak eredményességére is kiterjedő értékelésére, a birtokolt adatfajtákra és a működést szabályozó jogszabályokra, valamint a gazdálkodásra, a megkötött szerződésekre vonatkozó adat.
[26] Magyarország Alaptörvényének 39. cikk (2) bekezdése alapján a "közpénzekre és a nemzeti vagyonra vonatkozó adatok közérdekű adatok".
[27] Így például az Infotv. 27. § (3) bekezdése maga minősít expressis verbis közérdekből nyilvános adatnak olyan adatokat is, amelyek az Alaptörvény 39. cikk (2) bekezdése alapján a közérdekű adatok körébe soroltak.
[28] Ezen előírás természetesen nem érinti a különleges jogrend idején alkalmazandó eltérő szabályok - így akár rendeleti szabályozás - érvényesülését, vö. Magyarország Alaptörvénye 53. cikk.
[29] 60/1994. (XII. 24.) AB határozat.
[30] Bővebben lásd Bendik 2021.
[31] Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.).
[32] GDPR 4. cikk 1. pont: [E rendelet alkalmazásában:] 1. "személyes adat": azonosított vagy azonosítható természetes személyre ("érintett") vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.
[33] Részletesebben lásd alább a jogviszony alanyaival kapcsolatos kérdéseket.
[34] Részletesebben lásd alább az adatkezelés jogalapjával kapcsolatos kérdéseket.
[35] GDPR 4. cikk 6. pont: "»nyilvántartási rendszer«: a személyes adatok bármely módon - centralizált, decentralizált vagy funkcionális vagy földrajzi szempontok szerint - tagolt állománya, amely meghatározott ismérvek alapján hozzáférhető."
[36] Részletesebben lásd alább a jogviszony tartalmával kapcsolatos kérdéseket.
[37] Lásd a GDPR 2. cikk (2) bekezdés a), b), d) pontjait.
[38] Az Európai Parlament és a Tanács (EU) 2016/680 irányelve (2016. április 27.) (bűnügyi adatvédelmi irányelv).
[39] Vö. bűnügyi adatvédelmi irányelv 9. cikk (2) bekezdés, valamint Infotv. 2 § (1), (3) és (6) bekezdés.
[40] Lásd pl. a 2009. évi XLVII. törvényt, amely nyilvántartásban kezelt adatok jellemzően büntetőeljárás során - azaz a bűnügyi adatvédelmi irányelv hatálya alá tartozóan - keletkeztek, de az e nyilvántartásban kezelt egyes közérdekből nyilvános személyes adattá minősített adatok [lásd 75/B. §] megismerésére és megismerhetőségének biztosításával összefüggő célból történő kezelésére már a GDPR és az azt kiegészítő tagállami jog rendelkezései alkalmazandók.
[41] Ilyen különös szabályozásnak tekinthető a honvédelmi célú és a nemzetbiztonsági célú adatkezelési tevékenység, amelyek tekintetében a magyar jogalkotó - főszabályként - a bűnüldözési célú adatkezelési tevékenységre vonatkozó szabályokat rendeli alkalmazni, vö. Infotv. 2. § (3) bekezdés.
[42] E jogviszonyokkal kapcsolatban lásd Bendik 2021: 39-40.
[43] Lásd Infotv. 2. § (4) bekezdés.
[44] Lásd Infotv. 2. § (6) bekezdés.
[45] Infotv. III. fejezet: A közérdekű adatok megismerése.
[46] Infotv. IV. fejezet: A közérdekű adatok közzététele.
[47] Vö. Infotv. Preambulum.
[48] Vö. GDPR 6. cikk (3) bekezdés.
[49] Infotv. 3. § 1. és 1a. pont.
[50] GDPR 5. cikk (2) bekezdés.
[51] GDPR 4. cikk 7. pont.
[52] Lásd GDPR 26. cikk
[53] GDPR 4. cikk 8. pont.
[54] Vö. GDPR 4. cikk 2. pont.
[55] Lásd GDPR 28-29. cikkek.
[56] Lásd GDPR 28. cikk (4) bekezdés.
[57] Lásd GDPR 4. cikk 9. pont.
[58] Lásd GDPR 4. cikk 10. pont.
[59] E szervek körének egy átfogó és logikus rendszerezése található "Az információszabadság hazai gyakorlatának feltérképezése és hatékonyságának növelése" című kiemelt projekt keretében készült eredménytermékek egyikében: Lásd Adatközlő Kisokos - ki tartozik az Infotv. hatálya alá? 2022: 12-35.
[60] Infotv. 26. § (3) bekezdés.
[61] Infotv. 27. § (3a) bekezdés.
[62] Részletesebben lásd Adatközlő Kisokos - ki tartozik az Infotv. hatálya alá? 2022: 37-46.
[63] Vö. 21/2013. (VII. 19.) AB határozat, Indokolás [35], valamint 3026/2015. (II. 9.) AB határozat, Indokolás [19].
[64] GDPR 29. cikk.
[65] GDPR 4. cikk 8. pont.
[66] GDPR 28. cikk.
[67] Infotv. IV. fejezet.
[68] Infotv. 3. § 19. pont.
[69] Infotv. 3. § 20. pont.
[70] GDPR 2. cikk (1) bekezdés c) pont, Infotv. 2. § (6) bekezdés.
[71] Vö. GDPR 4. cikk 2. pont.
[72] Ezen alkalmazási kör keretei kapcsán lásd GDPR (18) preambulumbekezdés, valamint a jogintézmény kritikáját lásd Van de Sloot 2023.
[73] Infotv. 5. § (3) bekezdés.
[74] Lásd pl. Infotv. 26. § (2) bekezdés, 27. § (3) bekezdés, 70/B. §.
[75] Infotv. 28. § (1) bekezdés, III-IV. fejezet.
[76] Infotv. 27. § (8) bekezdés.
[77] A Nemzeti Adatvédelmi és Információszabadság Hatóság beszámolója a 2018. évi tevékenységéről 2019: 36-37.
[78] A Nemzeti Adatvédelmi és Információszabadság Hatóság beszámolója a 2018. évi tevékenységéről 2019: 36.
[79] A Kúria Kfv.III.37.978/2021/10. sz. ítélete.
[80] GDPR 9. cikk, Infotv. 3. § 3. pont.
[81] GDPR 10. cikk, Infotv. 3. § 4. pont.
[82] Lásd GDPR 9. cikk (2) bekezdés b), g), i), j) pont.
[83] GDPR 9. cikk (2) bekezdés g) pont.
[84] Vö. A "közérdekű adatok kiadásával kapcsolatos perek" bírósági gyakorlata tárgykörére felállított joggyakorlatelemző csoport 2017.EI.II.J.GY.P.3 sz. összefoglaló véleménye 2018: [87] 20.
[85] Vö. GDPR 9. cikk (1) bekezdés.
[86] Lásd GDPR 10. cikk.
[87] Lásd Infotv. 5. § (7) bekezdés.
[88] Lásd a bűnügyi nyilvántartási rendszerről, az Európai Unió tagállamainak bíróságai által magyar állampolgárokkal szemben hozott ítéletek nyilvántartásáról, valamint a bűnügyi és rendészeti biometrikus adatok nyilvántartásáról szóló 2009. évi XLVII. törvénynek a pedofil bűnelkövetőkkel szembeni szigorúbb fellépésről, valamint a gyermekek védelme érdekében egyes törvények módosításáról szóló 2021. évi LXXIX. törvénnyel megállapított A gyermekeket sértő nemi élet szabadsága vagy nemi erkölcs elleni bűncselekményt elkövető személyekre vonatkozó adatok megismerhetővé tétele alcímét.
[89] Infotv. 26. § (2) bekezdés.
[90] Infotv. 27. § (3) bekezdés.
[91] Infotv. 1. melléklet III. Gazdálkodási adatok, 4. sor.
[92] GDPR 13. cikk (1) bekezdés e) pont.
[93] GDPR 21. cikk (4) bekezdés.
[94] GDPR 14. cikk (5) bekezdés c) pont.
[95] Ilyen intézkedésnek minősülhetnek álláspontunk szerint a sajtó-helyreigazításra, a becsületsértésre, rágalmazásra vonatkozó jogszabályi rendelkezések, valamint az Infotv. 26. § (2) bekezdésében a közérdekből nyilvános adatok terjesztésére vonatkozó előírások is.
[96] A GDPR magyar nyelvű szövege némileg félrevezetheti a jogalkalmazót, a hivatkozott kivételszabály nem az adatok kötelező megismerésének előírására irányul, csupán arra, hogy az adatok megismerhetőségét és közlését a jogalkotó szabályozza, vö. a rendelkezés szövegének angol nyelvű verziójával: "obtaining or disclosure is expressly laid down by Union or Member State law [...]".
[97] GDPR 15. cikk.
[98] E tekintetben egyetlen különös szabály van: ha az adatot nem az érintettől gyűjtötték, az adatok forrására vonatkozó információkról is kell tájékoztatni az érintettet. E tájékoztatáshoz fűződő jogot azonban a jogalkotó korlátozhatja, hatását tekintve ilyen, az adatok forrásával kapcsolatos hozzáférési jog korlátozásának tekinthető médiatartalom-szolgáltatót, valamint a vele munkaviszonyban vagy munkavégzésre irányuló egyéb jogviszonyban álló személyeket megillető forrásvédelemre vonatkozó szabályok összessége is [vö. GDPR 15. cikk (1) bekezdés g) pont, GDPR 23. cikk, 2010. évi CIV. törvény 6. §].
[99] Noha ezen adattovábbítás tekintetében az Infotv. 28. § (2) bekezdésében meghatározott adatkezelési cél és e cél vonatkozásában a jogalkotó által meghatározott adatkezelési időtartam jogalkalmazási nehézségekhez vezethet, a rendelkezés "[h]a törvény másként nem rendelkezik" fordulata, valamint annak az uniós jog - a GDPR-elsőbbségére való tekintettel történő értelmezése álláspontunk szerint ezt a nehézséget feloldhatja.
[100] Vö. GDPR 15. cikk (1) bekezdés c) pont, Infotv. 29. § (1b) bekezdés.
[101] Ezen adattovábbítás ugyanakkor - ha az adatigénylő természetes személy volt - egy új adatkezelési jogviszonyt is létrehoz, így személyes adatainak továbbításával kapcsolatban az adatigénylővel mint érintettel szemben is terheli az adatkezelőt a tájékoztatási kötelezettség, ha az érintett (adatigénylő) a hozzáférési jogát gyakorolja.
[102] A tájékozódáshoz való jog tartalma alatt az információszabadság tágabb értelmezését tekintjük irányadónak, összhangban az előzőekben jelzett, a közfeladatot ellátó szervnek nem minősülő entitások tájékoztatási kötelezettségeivel kapcsolatban kifejtettekkel. Lásd Koltay 2009: 2276.
[103] GDPR 17. cikk (3) bekezdés a) pont.
[104] GDPR 21. cikk.
[105] GDPR 21. cikk (1) bekezdés.
[106] A GDPR szerint erre az eredményre vezethet az érintett tiltakozása, ha az adatkezelő nem tudja bizonyítani azt, hogy "az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak" [GDPR 21. cikk (1) bekezdés].
[107] Ilyen adatnak tekinthető pl. az Infotv. 26. § (2) bekezdésében a "közfeladatot ellátó szerv feladat- és hatáskörében eljáró személy neve, feladatköre, munkaköre, vezetői megbízása".
[108] 3254/2018. (VII. 17.) AB határozat, Indokolás [31].
[109] Infotv. 30. § (4) bekezdés.
[110] Lásd Infotv. 3. § 23. és 24. pont.
[111] Lásd GDPR 4. cikk 26. pont.
[112] Lásd GDPR V. fejezet.
[113] GDPR 44. cikk.
[114] Lásd GDPR 45-48. cikkek.
[115] GDPR 49. cikk (1) bekezdés g) pont.
[116] Ebben a tekintetben Jóri András álláspontját osztjuk, aki vitatja Bártfai Zsolt ezzel ellentétes következtetéseinek helytállóságát. Lásd Jóri 2009: 2189, 93. lj.
Lábjegyzetek:
[1] A szerző LL.M. általános elnökhelyettes, Nemzeti Adatvédelmi és Információszabadság Hatóság, bendik.tamas@naih.hu
[2] A szerző elnök, Nemzeti Adatvédelmi és Információszabadság Hatóság, peterfalvi.attila@naih.hu
Visszaugrás
