(Könyvismertetés) Zámbó Alexandra Erzsébet: Időtálló adatvédelmi kalauz: Szőke Gergely László - Az európai adatvédelmi jog megújítása, Tendenciák és lehetőségek az önszabályozás területén (IJ, 2018/1. (70.), 41-42. o.)

Az utóbbi egy-két évben már érezhető volt az adatvédelmi jog iránti érdeklődés növekedése a jogászok körében, tavaly már a nagyobb adatkezelő szervezetek is fokozódó izgalommal kezdték ízlelgetni a GDPR[1] kifejezést, végül az utóbbi egy-két hónapban kis túlzással lépten-nyomon belebotlottunk ebbe a négy betűbe.[2] Amikor a könyvelők, már heti rendszerességgel kapnak felhívást egy újabb GDPR továbbképzési lehetőségről; a kedvenc optikusunk újra aláíratja velünk a hozzájáruló nyilatkozatot a hírlevél szolgáltatásra és a joghallgatók is értően bólogatnak az "általános adatvédelmi rendelet" kifejezés hallatán, akkor kijelenthetjük, hogy az egész társadalmunkat átható, eddig nem tapasztalt figyelem fordul a személyes adataink védelmét biztosító jogi aktusok felé.

Az uniós rendelet célja, hogy adataink még nagyobb biztonságot élvezhessenek. Mégis képzeletünkben 2018. május 25-éhez nem a polgárok tömegeinek megkönnyebbült sóhaja társul. Ellenben a nagy és kis adatkezelők számára egyaránt fenyegető közelségbe került néhány változás, amely kapcsán mind többen bizonytalanodnak el, hogy a jövőben képesek lesznek-e megfelelni az adatvédelmi elvárásoknak. Különösen a potenciálisan kiszabható kirívóan magas összegű bírságoknak[3] köszönhető az adatvédelemben jártas szakemberek iránti igény hirtelen fellendülése. Adatkezelők és adatfeldolgozók, jogászok és rendszergazdák, jelenlegi adatvédelmi felelősök és jövőbeni adatvédelmi tisztviselők érzik szükségét a személyes adatok védelmére vonatkozó tudásuk elmélyítésének. A gyorstalpaló továbbképzések, a kivonatos e-book-ok és internetes cikkek mellett, a szakma iránt elhivatottságot érzőknek és a téma iránt komolyabban érdeklődőknek ajánlom figyelmébe a következő könyvet.

Szőke Gergely László szemléletformáló monográfiája, eredetileg doktori disszertációként készült el, de a kutatási eredményeket a HVG-ORAC Lap- és Könyvkiadó Kft. uniós támogatással 2015-ben könyv formában is megjelentette az "Infokommunikáció és Jog Könyvek" sorozat[4] részeként. A kézirat lezárásának dátuma ugyan még a GDPR végleges szövegének elfogadását megelőző időpontra tehető, ez azonban korántsem jelenti azt, hogy a könyv nélkülözné az új adatvédelmi uniós rendeletre történő hivatkozásokat, hiszen tartalmazza azokat a kutatási eredményeket, amelyek az akkor elérhető Rendelettervezet alapján feltárhatók voltak, és amelyek nagyon sok ponton ma is relevánsak. A négy plusz egy[5] érdemi fejezet mellett hatodik fejezetként impozáns irodalomjegyzéket találhatunk, amely a felhasznált jogszabályokon túl, a témában született hazai és nemzetközi szakirodalom akkurátus jegyzékét tartalmazza, így összesen 187 oldal terjedelemben követhetjük figyelemmel az európai adatvédelmi jog megújításának folyamatát, továbbá ismerkedhetünk meg az adatvédelmi önszabályozási eszközök fontosságával, és az adatvédelmi audit és tanúsítás központi elemeivel.

Az első fejezet több szempontból is alapvetésnek tekinthető. Megismerkedhetünk a kutatás hátterével, módszertanával, és téziseivel, valamint a szerzővel, aki egyrészt elméleti szakember a Pécsi Tudományegyetem Állam- és Jogtudományi Karának oktatójaként, másrészt a PTE belső adatvédelmi felelőseként gyakorlati tapasztalatait is kamatoztatni szándékozott művében. Az elméleti megalapozottság és a gyakorlatorientált megközelítés kettőssége több helyütt megjelenik a könyvben, amely érdemessé teszi a konkrét megoldásokat kereső olvasóközönség figyelmére szintúgy, mint az akadémiai szféra elhivatott oktatói, kutatói és deákjai számára. A fogalmi tisztázás során számos alapfogalom (adatvédelem, privacy, adatkezelés, adatfeldolgozás, adatbiztonság, információbiztonság) kerül a megfelelő helyre, amely fogalmak helyes használata nélkül az adatvédelem témakörében felelős megállapításokat nem tehetünk. Már itt a bevezetőben ismerteti a szerző az Európai Unió adatvédelmi reformjának főbb állomásait, továbbá kitér a könyv második felében hangsúlyos szerephez jutó önszabályozás fontosságára, előnyeire és hátrányaira.

Az adatvédelmi jog európai fejlődésének részletes ismertetését tartalmazza a második fejezet. Ez az elsősorban történeti, leíró jellegű rész is szükségessé teszi az önálló érvelést, miután a bevezetőből világossá válik, hogy az adatvédelemmel foglalkozó jelentős szerzők[6] még ennek a viszonylag rövid múltra visszatekintő jogterületnek is eltérő korszakait határozták meg. Szőke Gergely László végül három jelentősebb periódust különböztet meg, amelyek bemutatása során kitér az adott kor technológiai és társadalmi hátterének bemutatására is. Ennek fontosságát az adja, hogy a szerző álláspontja szerint a technológia fejlődéséből eredő veszélyekre adott jogi válaszlépésként értelmezhetők a különböző paradigmákat követő adatvédelmi rendszerek. Az első korszak kezdetét az 1970-es évekre datálva, megismerkedhetünk a nagy automatizált adatfeldolgozást lehetővé tevő rendszerekkel, és a legelső európai adatvédelmi jogi dokumentumokkal. Az első generációs szabályozás főbb jellemzőit a szerző öt pontban summázza, de jelen ismertetőben talán fogalmazhatunk leegyszerűsítően úgy, hogy ez az időszak az "adatkezelő-központú" jogi szabályozás korszaka volt. A második nagy korszak a szerző értelmezésében a '80-as és '90-es évek időszakát fedi le. A korszak bemutatása ismét az infokommunikációs technológia fejlődésének releváns állomásai ismertetésével kezdődik, kitérve az információs társadalom teóriáira is. Az adatvédelem új irányait meghatározó bírósági döntés[7] elemzését követően, ebben a fejezetben ismerhetjük meg a GDPR közvetlen előzményét, az Európai Parlament és a Tanács 95/46/EK irányelvét, és az első magyar adatvédelmi törvényt is. Az információs önrendelkezési jog kidolgozása meghatározza egyben ennek az időszaknak a központi elemét is, vagyis az "érintett" kap kiemelt szerepet a korszak adatvédelmi dokumentumaiban. A második generációs szabályozás részletes jellemzését adja a könyv vonatkozó fejezete, amely egy rövid angolszász (USA) kitekintést követően a szerző következtetéseivel zárul.

Az előzőhöz szorosan kapcsolódik a harmadik fejezet, amely a paradigmaváltásnak tekintett harmadik generációs szabályrendszert helyezi tágabb kontextusba, és részletesen elemzi a kutatás időpontjában elérhető Rendelettervezet szövegét. Ter-

- 41/42 -

mészetüknél fogva a második és harmadik fejezetek bővelkednek leginkább hivatkozásokban, és tekinthetőek a leginkább elméleti megközelítésűnek, ugyanakkor az itt megszerezhető ismeretek (különös tekintettel a technológiai-társadalmi változások korhű bemutatására) olyan alapokat biztosítanak, amelyek rámutatnak az adatvédelmi szabályozások mögött meghúzódó célokra, segítik elsajátítani az adatvédelmi előírások logikáját, és így az érvényes szabályozások értelmezését is megkönnyíthetik. Meglepően aktuális ma is a harmadik fejezet technológiai háttér bemutatására vállalkozó alcíme, úgy tűnik az IKT szektor az elmúlt négy évben is még mindig az itt felsorolt vívmányok mentén tematizált, talán csak a számos adatvédelmi kérdést felvető blockchain technológia hiányzik a felsorolásból. A technológia társadalomra gyakorolt hatásának bemutatására a szerző számos korábbi európai kutatás statisztikai eredményeit hívja segítségül, amely megközelítés ugyan tudományosan megalapozott és informatív, de ugyanakkor kevésbé olvasmányos fejezetet eredményez. Az új, avagy harmadik generációs adatvédelmi szabályrendszer elvi megalapozása, vagyis a korábbi adatvédelmi előírások kritikája és a változások erővonalainak megrajzolása még nem kívánja annak igazolását, hogy a könyv ezen része továbbra is időszerű. A 3.4. fejezet esetében azonban már fel kell hívnom a figyelmet arra, hogy ez a rész a 2014-ben rendelkezésre álló Rendelettervezet szövegváltozatán alapul és azt értékeli. A szerző kritikai észrevételeinek sajátos színt ad, hogy egyes általa is felvetett problémák a későbbi GDPR szövegváltozatban korrigálásra kerültek, ugyanakkor néhány fenntartás ma is érvényes pl. az adatvédelmi adminisztratív kötelezettségek elburjánzásától való félelem a mikro-, kis- és középvállalkozások esetében. (Utóbbi esetben - a rendelkezésre álló szűk mozgástérben - a nemzeti adatvédelmi jogszabályok értő pontosítása nyújthat kielégítő korrekciós megoldást.) Az általános adatvédelmi rendelet népszerűsítését szolgáló uniós tájékoztató dokumentumok a változások fókuszába a következő gondolatot állítják: "A szigorúbb adatvédelmi szabályok révén az állampolgárok fokozottabb felügyeletet gyakorolhatnak a személyes adataik felett, a vállalkozások pedig egységes versenyfeltételekben részesülnek."[8] Az adatvédelmi szabályozás változásainak tárgyalását a szerző ugyanakkor más megközelítésből tárgyalja, a következő három lényeges témakör részletes elemzésével: 1. Adatkezelők szerepének újragondolása 2. Az adatvédelmi felügyelet szerepének megerősítése 3. A technológia, illetve az adatbiztonság szerepének felértékelődése.