Az Európai Bizottság 2020-ban hirdette meg az Európai Adatstratégiát, amely átfogó tervet vázol fel az EU globális adatgazdaságban betöltött szerepének megerősítésére. A tanulmány az Európai Adatstratégiából kiindulva vizsgálja az Európai Unió adatökoszisztéma felé irányuló jogalkotási erőfeszítéseit, érintve a nyílt adat irányelvet és az adatkormányzási rendeletet, valamint részletesen elemezve az adatrendeletet. Az adatrendelet célja az Európai Unió adatgazdaságának fellendítése az ipari adatok felszabadításával és hozzáférhetőségük optimalizálásával. Az adatmegosztási keretrendszer azonban ellentétben állhat az európai adatvédelem számos követelményével. A központi probléma többek között a személyes adat fogalmának értelmezési bizonytalansága, amely abszolút és relatív megközelítés mentén oszlik meg, valamint az adatkezelői szerepek változó és nehezen definiálható felállása. A tanulmány előrevetíti, hogy nyílt adathozzáférést ösztönző jogszabályok célkitűzései ütközhetnek a GDPR magánszférapárti, adatminimalizációs szemléletmódja által, ami jelentős jogbizonytalanságot okozhat az adatmegosztásban érdekelt vagy résztvevő felek számára.
Tárgyszavak: Európai Adatstratégia, adatmegosztás, adatvédelem, adatbirtokos, személyes adat
In 2020, the European Commission announced the European Data Strategy, which outlines a comprehensive plan to strengthen the EU's role in the global data economy. Based on the European Data Strategy this study examines the European Union's legislative efforts towards a data ecosystem, touching on the Open Data Directive and the Data Governance Regulation and providing a detailed analysis of the Data Regulation. The aim of the Data Regulation is to boost the European Union's data economy by disclosing industrial data and optimizing their accessibility. However, the data sharing framework may conflict with a number
- 91/92 -
of European data protection requirements. The central problem is, among other things, the uncertainty surrounding the interpretation of the concept of personal data, due to differences between absolute and relative approaches, as well as the changing and difficult-to-define roles of data controllers. The study predicts that the objectives of legislation promoting open data access may conflict with the GDPR's pro-privacy data minimization approach, which could cause significant legal uncertainty for parties interested in or involved in data sharing.
Keywords: European Data Strategy, data sharing, data protection, data owner, personal data
Az adatvezérelt innovációban rejlő lehetőségek kiaknázásának módjáról folyó európai gondolkodásban az adatok kezelése kulcsszerepet játszik. A növekvő adatmennyiséget a köz- és magánszektorban is a hatékonyabb döntéshozatal egyik kiemelt tényezőjének tekintik. Ezért nemcsak az adatok gyűjtése, hanem megosztása és újrafelhasználása is azt ígéri, hogy jelentősen hozzájárul az értékteremtéshez mind az egyének és vállalkozások, mind általános jelleggel a társadalom számára. A valóság azonban úgy tűnik, hogy nem felel meg ennek az állításnak, az adatokat a kívántnál sokkal ritkábban osztják meg az adatokat generáló és/vagy használó szervezetek.[1]
A valóságban az adatok gyűjtése, megosztása és újrafelhasználása nagyon sok érdekkel ütközhet, amelyek az európai uniós és/vagy nemzeti jogrendszerek alatt védettek, ami azt eredményezi, hogy a jogsértés vagy más hátrány elszenvedésének kockázata sok érintett szemében meghaladja az adatokban rejlő, várható értéket. Az eredmény a mindennapi adat-újrafelhasználási és -megosztási gyakorlatokban elmarad.[2]
Ezt felismerve az Európai Unió is aktív ezen a téren, az utóbbi években jelentős erőfeszítéseket tett az adatokban rejlő potenciál kiaknázása érdekében. Az ebből kialakuló, új adatjogi keretrendszer szakítani látszik az Európai Unió eddigi, az adatok, főleg a személyes adatok védelmére irányuló, alapvetően adatminimalizációs törekvésű szemlélettel, amelynek központi eleme az általános adatvédelmi
- 92/93 -
rendelet. Jelen tanulmányban ezt a keret- és viszonyrendszert járom körbe az alábbi felépítés szerint.
A tanulmány első nagyobb gondolati egységében röviden ismertetem az Európai Unió Adatstratégiáját és az abból eredő főbb jogalkotási aktusokat. Ezen jogalkotási aktusok közül kiemelkedik az Európai Unió adatrendelete, ami a többi jogalkotási aktussal szemben horizontális szemlélettel törekszik az adatokhoz való hozzáférést és az adatmegosztás ökoszisztémáját kialakítani. Ebből a felismerésből adódóan a tanulmány második főbb szerkezeti egysége részleteiben tárgyalja az adatrendelet főbb, adathozzáféréssel és megosztással kapcsolatos rendelkezéseit. Végül, de nem utolsó sorban az adatrendelet kapcsolatát és potenciális ütközéseit mutatom be az általános adatvédelmi rendelettel, amely tágabb perspektívában világít rá a két szemlélet közötti potenciális feszültségekre, valamint az együtt-alkalmazás problémáira. A tanulmányt a keret- és kapcsolatrendszer összegzésével zárom.
Az Európai Bizottság 2020. február 19-én bemutatott Európai Adatstratégiája átfogó tervet vázolt fel az Európai Unió globális adatgazdaságban betöltött szerepének megerősítésére. Az Európai Adatstratégia célja egy egységes európai adattér létrehozása, amely javítja az adatok hozzáférhetőségét és ösztönzi az innovációt, miközben biztosítja az uniós értékek és szabályok betartását. A kezdeményezés központi elemei egy erős adatkormányzási keretrendszer létrehozására irányulnak, elősegítve az adatmegosztást és a bizalom erősítését az adatalapú technológiák iránt.[3] A továbbiakban röviden ismertetem az Európai Adatstratégia főbb elemeit, a jogi szabályozási célkitűzésekre és intézkedésekre fókuszálva.
Az Európai Adatstratégia középpontjában egy új jogszabályi keretrendszer létrehozásának javaslata áll. Ez a keret elősegíti az adatmegosztást az ágazatok és a tagállamok között, világos szabályok és mechanizmusok biztosításával. Célja a jogi bizonytalanságok csökkentése az adatok felhasználásával kapcsolatban, az összes érintett fél jogainak és kötelezettségeinek lefektetésén keresztül. Az Európai Bizottság által előirányozott jogszabályi keretrendszer főbb sarokkövei a következők voltak 2020-ban:
a) Bizalom erősítése az adatmegosztásban: Közös európai szabályok felállítása az adatokhoz való hozzáférés és azok felhasználása terén, a vállalkozások,
- 93/94 -
magánszemélyek és hatóságok közötti bizalom növelése érdekében. Ez magábanfoglalja az adathozzáférés- és megosztás, valamint az ehhez kapcsolódó adatközvetítők szabályozását, biztosítva átlátható és semleges működésüket, ezáltal elősegítve a biztonságos adatcserét.
b) Önkéntes adatmegosztás elősegítése: Az Európai Bizottság arra ösztönzi a vállalkozásokat, hogy önkéntesen tegyék elérhetővé adataikat. Ennek érdekében olyan mechanizmusokat és ösztönzőket vezet be, amelyek előmozdítják az adatmegosztási kultúra kialakulását, ugyanakkor tiszteletben tartják a védett adatok körét, így például az üzleti titkot és a szellemi tulajdonjogokat.
c) Adat-hozzáférés erősítése a közérdek védelmében: A jogi keretrendszer felállítja azokat a feltételeket, amelyek mellett a magánszekktor által birtokolt adatok kivételes körülmények között, például közegészségügyi vészhelyzetekben állami szervek által felhasználhatók, biztosítva az adatok közjó érdekében történő hasznosítását.[4]
Az Európai Adatstratégia intézkedéseket javasolt a közszféra által birtokolt adatokhoz való hatékonyabb hozzáférés érdekében is:
a) A közszféra információiról szóló irányelv[5] felülvizsgálata: A jogszabályok módosítása annak érdekében, hogy a közszféra szerveinek nagy értékű adatkészletei nyíltan, géppel olvasható formátumban elérhetők legyenek, elősegítve az átláthatóságot és a közadatok innovatív újrafelhasználását.
b) Az üzleti és állami szekktor közötti adatmegosztás ösztönzése: Keretrendszerek létrehozása, amelyek lehetővé teszik a vállalkozások számára adataik megosztását a közszféra szerveivel olyan közérdekű célok érdekében, mint például a várostervezés, a közlekedési rendszerek fejlesztése vagy a környezeti kihívások kezelése.
Az Európai Adatstratégia emellett közös európai adatterek létrehozását ösztönzi olyan stratégiai ágazatokban, mint az egészségügy, mezőgazdaság, energia, pénzügy és a gyártóipar. Ezek az adatterek biztonságos környezetet biztosítanak az adatok megosztásához és az azokhoz történő hozzáféréshez, világos és méltányos feltételek mellett. Az ehhez kapcsolódó szabályozási intézkedések a következőket irányozták elő:
a) Standardizáció és interoperabilitás: Technikai szabványok és protokollok kidolgozása, amelyek biztosítják a különböző forrásokból származó adatok összekapcsolhatóságát, elősegítve az interoperabilitást az ágazatok és országok között.
b) Adatminőség és biztonság garantálása: Útmutatók és előírások bevezetése az adatok pontosságának, megbízhatóságának és biztonságának garantálásá-
- 94/95 -
ra, összhangban a meglévő adatvédelmi keretrendszerrel, különös tekintettel az általános adatvédelmi rendeletre.[6]
c) Irányítási struktúrák kialakítása: Az egyes adatterekhez irányítási mechanizmusok meghatározása az érdekelt felek koordinálására, a hozzáférési jogok kezelésére és az adatok uniós jogszabályokkal és etikai normákkal összhangban történő felhasználás felügyeletére.[7]
A technológiai szuverenitás fontosságának felismerésével az Európai Adatstratégia az európai digitális infrastruktúra megerősítését is célul tűzte ki. A szabályozási kezdeményezések e tekintetben két főbb részre oszthatók.
Egyrészről az Európai Bizottság célkitűzésként fogalmazta meg a fejlett számítástechnikai és felhőszolgáltatások fejlesztését. Az európai felhőinfrastruktúra és -szolgáltatások támogatása a külföldi szolgáltatóktól való függőség csökkentése érdekében fontos, miközben biztosítja az adatok közösségi előírásoknak megfelelő tárolását és feldolgozását. Másrészről a kutatás és innováció előmozdítása, a támogatások és együttműködések ösztönzése kulcsfontosságú az adatokkal kapcsolatos területeken, elősegítve a legfajsúlyosabb technológiák, mint a mesterséges intelligencia, a kvantumszámítástechnika és a blokklánc fejlesztését, a globális piacon elérhető versenyelőny érdekében.[8]
Összefoglalóan az Európai Adatstratégia előremutató tervet vázolt fel 2020-ban az adatok potenciáljának kihasználására társadalmi és gazdasági javak elérése céljából. Az adatkormányzás átfogó szabályozási keretének javaslatával az Európai Bizottság olyan környezetet kívánt teremteni, ahol az adatok biztonságosan hozzáférhetők és megoszthatók, ösztönözve az innovációt és a növekedést. A szabályozási lépések létfontosságúak az Európai Bizottság elképzelésében egy egységes adattér kialakításához, amely elősegíti az adatok szabad áramlását, támogatja a kutatást és javítja a közszolgáltatásokat, erősítve Európa pozícióját a globális adatgazdaság vezető szereplőjeként.
Az Európai Adatstratégia megvalósításának útján az Európai Unió három főbb jogalkotási aktusban helyezte el az európai adatmegosztás és -kormányzás, valamint a közös európai adatterek jogi keretrendszerét. Ezen három uniós jogalkotási
- 95/96 -
aktus a nyílt adat irányelv[9], az adatkormányzási rendelet[10] és az adatrendelet.[11] Míg az első kettőről rövidebben, az adatrendeletről viszont részleteiben írok a következő pontokban. Az Európai Adatstratégiával összefüggésben elfogadott rendeletek angol elnevezése az "Act", vagyis »törvény« (Data Governance Act és Data Act) szavakon keresztül indikálja a jogszabályoknak tulajdonított rendszerbeli súlyt és jelenőséget.[12]
A három jogszabály közül a nyílt adat irányelv az egyetlen, amely rendelkezik előzményekkel. Korábban megfogant az ötlet az európai gondolkodásban, hogy a közszféra nagy mennyiségben állít elő olyan adatot és információt, amelyből a tudásipar komolyan profitálhat. Ez azonban nehezen férhető hozzá kifejezetten olyan formában és abból a célból, hogy azt az adatot kezelő közszférabeli szerveken túl bárki más feldolgozza és adatalapú, vagy az adatok értékével növelt szolgáltatásokat kínáljon ennek révén. A közszféra információiról szóló irányelv célkitűzése az volt, hogy ezeket az információkat versenysemlegesen, teljeskörűen, a lehető legkönnyebben hasznosítható formában rendelkezésére kell bocsátani. Ettől számos előnyt vártak, többek között a gazdasági húzóágazatnak számító tudásipar fejlődését, új munkahelyek létrejöttét, az állam átláthatóságának növelését és a gazdasági élet biztonságának növelését (pl. a gazdasági és céginformációs adatok hozzáférhetőségével).
A közszféra információiról szóló irányelv azonban kudarcot fulladt az implementáció szakaszában. Amellett, hogy átültetése a nemzeti jogokba nem volt prioritás, számos probléma felmerült a végrehajtás körében. Az egyik gond a túlzott költségek felszámításával merült fel. Emellett gyakran nem voltak elérhetők egységes árlisták, felhasználási keretek, illetve ezek folyamatosan módosultak. Sokszor azért nem adták ki a közszférabeli szervezetek az adatokat, mert saját, piaci alapú termékeikhez és szolgáltatásaikhoz használták fel őket, amelyek tekintetében el akarták kerülni a lehetséges versenytársakat. A helyzetet súlyosbíthatta, ha az adott szervezeten önfinanszírozási nyomás is volt, azaz kellettek a saját bevételek is.[13]
- 96/97 -
A technikai és gazdasági problémákon túl sok esetben pusztán ott kezdődött a deficit, hogy nehéz volt akár egyedüli érdeklődőknek is a nyílt adatokat megtalálni, vagy a rendelkezésre álló adatokat felhasználni.[14] A közalkalmazottak ellenérdekelt státusza, a kormányzati változások okozta bizonytalansággal együtt, az adatok előállításának és reprodukálásának átláthatósága, valamint az adatok változatos formái és struktúrái okozta nehézségek mind hozzásegítettek az első próbálkozás kudarcához.[15] Ezen kudarcból származó tanulságokat felismerve építette fel az Európai Bizottság az Európai Adatstratégiát,[16] megoldásokat keresve a közszféra információiról szóló irányelv által felszínre bukott problémákra.
A nyílt adat irányelv a közszektorbeli szervezetek és közvállalatok közérdekű vagy közérdekből nyilvános információnak[17] minősülő dokumentumait szabályozza, ideértve a közvállalatokat és a kutatási adatok bizonyos kategóriáit is,[18] nem érintve a személyes adatok védelmét, amelyet továbbra is az általános adatvédelmi rendelet rendez.[19] A nyílt adat irányelv főbb rendelkezései az alábbiakban összegezhetők:
a) Az adatok hozzáférhetősége és formátuma: A közszektorbeli szerveknek biztosítaniuk kell, hogy dokumentumaik alapértelmezetten újrafelhasználhatók legyenek.[20] Az adatoknak lehetőleg nyílt, géppel olvasható, hozzáférhető, kereshető és újrafelhasználható formátumban kell rendelkezésre állni, valamint olyan metaadatokkal ellátva, amelyek megfelelnek a formális nyílt szabványoknak.[21]
b) Díjazás: Általános elvként a közszelktorbeli információk újrafelhasználása ingyenes vagy kizárólag a marginális költségekre korlátozódó díj ellenében történik a nyílt adat irányelv szabályozásában. Kivételes esetekben a közszektorbeli szervezetek és a közvállalatok költségtérítést kérhetnek, ha ez indokolt a dokumentumok előállításának és terjesztésének körében felmerülő
- 97/98 -
kiadások miatt.[22] A díjszabási rendszereket átláthatóan és megkülönböztetésmentesen előzetesen meg kell határozniuk, közzétéve az alkalmazott általános díjakat és feltételeket.[23]
c) Kizárólagos megállapodások: A nyílt adat irányelv alapján kizárólagos jogok garantálása az információk újrafelhasználására általános jelleggel nem megengedhető, azzal a kivétellel, ha a kizárólagos jog engedélyezése közérdekből szükséges szolgáltatás nyújtásához elengedhetetlen. Az ilyen megállapodásokat átlátható módon kell megkötni, és időtartamuk nem haladhatja meg a közérdekből szükséges szolgáltatás nyújtásához szükséges időt.[24]
d) Nagy értékű adatkészletek: A nyílt adat irányelv bevezeti a "nagy értékű adatkészletek" fogalmát, amelyek magukba foglalják mindazon adatkészleteket, amelyek jelentős gazdasági és társadalmi előnyökkel járnak, és ösztönzik az innovatív szolgáltatások fejlesztését.[25] Ide tartoznak többek között a meteorológiai, statisztikai, mobilitási és környezeti adatok.[26] Ezeket az adatkészleteket a közszférabeli kötelezett szervezeteknek még kevesebb megkötéssel, ingyenesen, géppel olvasható formátumban és alkalmazás programozási interfészeken (API-kon) keresztül kell nyilvánosan hozzáférhetővé tenni.[27]
A tagállamoknak 2021. július 17-ig kellett átültetniük az irányelvet,[28] amelynek Magyarország a nemzeti adatvagyon hasznosításának rendszeréről és az egyes szolgáltatásokról szóló 2023. évi CI. törvény elfogadásával, valamint a https://kozadatportal.hu/ weboldalon található adatok publikálásával tett eleget.[29] Mivel a jelen tanulmány fókuszában az uniós szabályozási keretrendszer ismertetése és vizsgálata áll, a keretek szétfeszítését elkerülvén jelen írásban nem vizsgálom a magyar nemzeti átültetés rendelkezéseit.
Az adatkormányzási rendelet átfogóan az Európai Unión belüli közszférabeli szervezetek működési körében felmerülő és birtokában lévő, egyes védett kategóriájú (például üzleti titok, szellemi tulajdon, statisztikai védett adatok)
- 98/99 -
adatokra vonatkozik,[30] kiegészítve a nyílt adat irányelvet, amely leginkább a közérdekű, vagy közérdekből nyilvános információk hozzáférhetőségét és továbbfelhasználását szabályozza.[31] Az adatkormányzási rendelet fő törekvése, hogy a közszféra adatait a nyílt adat irányelven túlmenően is hozzáférhetőbbé tegye, és hogy a vállalkozások között elsősorban díjazás ellenében (szemben a nyílt adat irányelv főszabályként ingyenes adathozzáférési szabályaival) elősegítse az adatmegosztást.[32] Emellett az adatkormányzási rendelet szabályozási keretet állít fel az adatközvetítő szolgáltatók és az adataltruista szervezetek számára.[33] A tárgyköröket vizsgálva megállapítható, hogy az adatkormányzási rendelet által szabályozott kérdések között nincs szerves kapcsolat, például a közszférabeli adatokhoz való hozzáférésre és az adatközvetítőkre vonatkozó szabályok együttalkalmazására legfeljebb esetleges jelleggel kerülhet sor. A tárgyköröket leginkább az adatok szabad elérése és megosztása, mint jogalkotói célkittűzés fogja össze. A jelen 4. fejezetben az adatkormányzási rendelet ezen tárgykört érintő főbb szabályozási sarokpontjait ismertetem.
Az adatok újrafelhasználása a potenciális újrafelhasználó kérelme alapján indulhat, amely engedélyezéséről vagy elutasításáról a közszférabeli szervezet legfeljebb 2 hónapon belül köteles döntést hozni.[34]
Ha a közszférabeli szervezet nem tud hozzáférést biztosítani az adatok védett jellege folytán bizonyos adatok újrafelhasználásához, segítenie kell a potenciális adatfelhasználót abban, hogy megszerezze az egyén hozzájárulását személyes adatai újrafelhasználásához, vagy az adatbirtokos engedélyét, akinek jogai vagy érdekei érintettek lehetnek az újrafelhasználás által.[35]
A közszférabeli szervezetek az újrafelhasználás engedélyezéséért akkora összegű díjat számolhatnak fel, amelyek nem haladják meg az engedélyezés és a hozzáférhetővé tétel körében szükségszerűen felmerült költségeket. Ezenkívül a közszférabeli szervezeteknek ösztönözniük kell az újrafelhasználást tudományos kutatás és egyéb nem kereskedelmi célokra, kis- és középvállalkozások és induló vállalkozások esetében a díjak csökkentésével vagy akár teljes elengedésével.[36]
- 99/100 -
Annak érdekében, hogy a lehető legtöbb közszférabeli szervezetek birtokában lévő adat álljon rendelkezésre újrafelhasználásra, az adatkormányzási rendelet korlátozza a kizárólagos adatújrafelhasználási megállapodásokra való támaszkodást a közérdek sajátos eseteire.[37]
A tagállamok kötelesek műszakilag biztosítani az adatok újrafelhasználása során a magánélet és a titoktartás teljes körű tiszteletben tartását. Ez magában foglalhat különböző eszközöket, az olyan technikai megoldásoktól kezdve, mint például az anonimizálás, az álnevesítés vagy az adatok biztonságos feldolgozási környezetben (például adattermekben) történő elérése, amelyeket a közszféra felügyel, egészen az olyan szerződéses eszközökig, mint például a közszférabeli szervezet és az újrafelhasználó között megkötött titoktartási megállapodások.[38]
Az adatközvetítők semleges harmadik félként működnek, tevékenységük során semleges félként összekapcsolják az egyéneket és vállalkozásokat az adatfelhasználókkal.[39] Bár díjat számíthatnak fel az adatok megosztásának megkönnyítéséért a felek között, nem használhatják fel közvetlenül az általuk közvetített adatokat pénzügyi haszonszerzés céljából (például azzal, hogy eladják piaci alapon, vagy saját termékük/szolgáltatásaik fejlesztésére használják fel azokat).
Az adatközvetítők szigorú követelményeknek kötelesek megfelelni annak érdekében, hogy biztosítsák ezt a semlegességet és elkerüljék az összeférhetetlenséget. Gyakorlatban ez azt jelenti, hogy szerkezeti különválasztás szükséges az adatközvetítési szolgáltatás és bármely más nyújtott szolgáltatás között. Továbbá, a közvetítői szolgáltatások nyújtásának kereskedelmi feltételei (beleértve az árazást is) nem függhetnek attól, hogy egy potenciális adatbirtokos vagy adathasználó egyéb, az adatközvetítő által kínált szolgáltatásokat igénybe vesz-e. Bármely megszerzett adat és metaadat csak az adatközvetítési szolgáltatás javítására használható fel az adatközvetítő által.[40] Mindezen feltételek teljesítésének ellenőrizhetősége érdekében az adatközvetítő szolgáltatás hatósági bejelentést követően nyújtható.[41]
Adataltruizmus alatt az adatkormányzási rendelet olyan önkéntes adatmegosztást ért, amely az érintetteknek a rájuk vonatkozó személyes adatok kezeléséhez
- 100/101 -
való hozzájárulásán, vagy az adatbirtokosoknak a nem személyes adataik felhasználására vonatkozó engedélyén alapul anélkül, hogy ezért a nyújtó szervezetek olyan díjat számítanának fel, amely meghaladja az adataiknak adott esetben a nemzeti jogban előírt közérdekű célokra való rendelkezésre bocsátása esetén felmerült költségeik ellentételezését.[42] Azon entitások, amelyek adataltruizmus alapján tesznek elérhetővé releváns adatokat, regisztrálhatnak "az Unióban elismert adataltruizmus szervezetként". Ennek feltétele többek között, hogy az adataltruista szervezetek nonprofit jelleggel működjenek, valamint megfeleljenek az adatkormányzási rendeletben lefektetett átláthatósági követelményeknek.[43]
Az adatrendelet célja, hogy az ipari adatok felszabadításával, hozzáférhetőségük és felhasználásuk optimalizálásával fellendítse az Európai Unió adatgazdaságát,[44] az adatokból eredő gazdasági értékek igazságos elosztásával az adatgazdaság szereplői között.[45] Az adatrendelet elsődleges célként lehetővé teszi a felhasználók számára, hogy értéket teremtsenek a tárgyak internetére épülő termékek használata során általuk generált adatokból.
Az Európai Unió nem személyes adatok szabad áramlásáról szóló rendelete[46] eddig is biztosította, hogy a nem személyes adatokat az Európai Unión belül bárhol lehet tárolni, feldolgozni és továbbítani. Az adatrendelet ezen jog tényleges gyakorlását hivatott megkönnyíteni a vállalkozások és a polgárok számára.[47]
Az adatrendelet a dolgok internete (Internet of Things, IoT) körében összekapcsolt termékek és kapcsolódó szolgáltatások Európai Unióban lévő felhasználóinak biztosít jogot az ilyen termékek használata során általuk közösen létrehozott adatokhoz való hozzáférésre, azok felhasználására és továbbítására.[48] Az adatrendelet szerint az adatok a felhasználói tevékenységek és események
- 101/102 -
digitalizálását jelentik, és ennek megfelelően a felhasználó számára hozzáférhetőnek kell lenniük.[49]
A szabályozás azon a felismerésen nyugszik, hogy egyes összekapcsolt termékek és kapcsolódó szolgáltatások használata közben legalább két szereplőnek köszönhetők a termék használatával generált adatok: egyrészről a termék gyártójának és/vagy a kapcsolódó szolgáltatás nyújtójának, másrészről az azt használó személynek, mint felhasználónak. Ugyanakkor a keletkező adatok legtöbbször a gyártónál és a szolgáltatónál maradnak, míg a felhasználók általában nincsenek tisztában az általuk generált adatokkal, vagy ha tisztában is vannak, nem áll rendelkezésükre lehetőség az adatok megszerzése érdekében.[50] Az adatmegosztási keretrendszer bemutatását megelőzően fontos az adatrendelet hatályát és alapvető fogalmait tisztázni.
Az "összekapcsolt termék" az adatrendelet meghatározása alapján "olyan tárgy, amely a felhasználására vagy a környezetére vonatkozó adatokat szerez meg, generál vagy gyűjt, és amely elektronikus hírközlési szolgáltatáson, fizikai kapcsolaton, vagy eszközön való hozzáférésen keresztül képes termékadatokat közölni, és amelynek elsődleges funkciója nem az adatoknak a felhasználótól eltérő bármely más fél nevében történő tárolása, kezelése vagy továbbítása".[51] Ez a meghatározás nem kizárólag az olyan fogyasztási cikkekre terjed ki, mint az összekapcsolt autók, intelligens otthoni termékek vagy orvosi és fitneszeszközök, hanem magában foglalhatja a hajókat, repülőgépeket, ipari vagy mezőgazdasági gépeket is.
Azon termékek, amelyek elsősorban az adatok tárolására, feldolgozására vagy továbbítására szolgálnak (például szerverek és routerek), kívül esnek a kötelező adatmegosztási kötelezettségek körén az adatrendelet II. fejezetének értelmében, hacsak nem a felhasználó tulajdonában, bérletében vagy lízingelésében állnak. Hasonlóképpen, az a tény, hogy egy kapcsolt termék (például vagon, repülőgép vagy jármű) bizonyos infrastruktúrát (például vasutakat, repülőtereket vagy autópályákat) használ a működéshez, nem jogosítja fel a kapcsolt termék felhasználóját arra, hogy hozzáférjen az infrastruktúra részét képező szenzorok által generált adatokhoz. Hozzáférést csak akkor kapna a felhasználó, ha tulajdonjoggal vagy egyéb szerződéses joggal bírna az infrastruktúrába beépített
- 102/103 -
szenzorok felett. Emellett a prototípusok is nem esnek az adatrendelet hatálya alá, mivel gyártási szakaszuk még nem fejeződött be.[52]
Az adatrendelet meghatározása szerint a "kapcsolódó szolgáltatás" olyan, az elektronikus hírközlési szolgáltatásoktól eltérő digitális szolgáltatás, a szoftvert is beleértve, amely a vásárláskor, bérléskor vagy lízingeléskor össze van kapcsolva a termékkel oly módon, hogy a hiánya lehetetlenné tenné az összekapcsolt termék egy vagy több funkciójának ellátását, vagy amelyet a gyártó vagy egy harmadik fél utólag kapcsol össze a termékkel, hogy kiegészítse, frissítse vagy módosítsa az összekapcsolt termék funkcióit.[53] A "kapcsolódó szolgáltatás" tehát magában foglalja mindazon adatcserét a kapcsolódó termék és a szolgáltató között, ami a kapcsolódó termék működését befolyásolja.
A kapcsolódó szolgáltatások körébe tartoznak azok az alkalmazások, amelyek parancsokat tudnak továbbítani az összekapcsolt termék részére annak érdekében, hogy a termék egy adott módon viselkedjen. Ilyen lehet például egy applikáció a világítás fényerejének beállítására vagy a hűtőszekrény hőmérsékletének szabályozására, vagy egy okos mosógép mellé letöltött alkalmazás, amely lehetővé teszi, hogy a mosási ciklus környezeti hatását mérje a gépben lévő különböző érzékelők adatai alapján, és ennek megfelelően állítsa be a ciklust.[54] Ezzel szemben nem tekinthetők kapcsolódó szolgáltatásnak azok a szolgáltatások, amelyek nem befolyásolják az összekapcsolt termék működését, és amelyek nem járnak azzal, hogy a szolgáltató adatokat vagy parancsokat továbbít a összekapcsolt terméknek. Ilyen kizárt szolgáltatások lehetnek például a kiegészítő tanácsadási, elemzési vagy pénzügyi szolgáltatások, illetve az összekapcsolt termék rendszeres javítása és karbantartása.[55]
Ezen túl fontos kiemelni, hogy az adatrendelet szerinti adatmegosztási kötelezettségek a "virtuális asszisztensek" által generált vagy gyűjtött adatokra is vonatkoznak, amennyiben azok az összekapcsolt termékkel vagy kapcsolódó szolgáltatással való interakciókat érintik.[56] A virtuális asszisztensek közé tartoznak például az Amazon Alexa, az Apple Siri, a Google Assistant vagy a Microsoft Copilot szolgáltatások, illetve bármely más "szoftver, amely képes többek között hangalapú, írott, gesztusokon vagy mozdulatokon alapuló utasításokat, feladatokat vagy kérdéseket feldolgozni, és amelyek ezen utasítások, feladatok vagy
- 103/104 -
kérdések alapján hozzáférést biztosít más szolgáltatásokhoz vagy összekapcsolt termékek funkcióit irányítja".[57]
Az adatrendelet értelmében maga az "adat" aktusok, tények vagy információk bármely digitális megjelenítése, valamint az ilyen aktusok, tények vagy információk bármely összeállítása, többek között hang-, kép- vagy audiovizuális felvétel formájában is[58] értéke. Az adat az információ potenciális hordozója, formátumra utalás nélkül, így bármilyen adatkezelési helyzetre adaptálható, bár a kiemelt adatkategóriákból (pl. audiovizuális felvétel) a digitális adatok feltehető túlsúlyára lehet következtetni.[59]
Ez lényegében azt jelenti, hogy minden olyan adat, amely egy összekapcsolt termék vagy kapcsolódó szolgáltatás használata során keletkezik, és amelyet úgy terveztek, hogy visszakereshető legyen, adatmegosztási kötelezettség alá tartozhat. Miután az adatrendelet összes kötelezettsége hatályba lép, ezt a kötelezettséget a gyártó/szolgáltató nem kerülheti ki azzal, hogy az adatokat szándékosan hozzáférhetetlenné vagy lekérdezhetetlenné teszi, mivel az adatrendelet azt a kötelezettséget is tartalmazza, hogy az ilyen adatokat a kialakításuk révén a felhasználók számára hozzáférhetővé kell tenni.
Ennek eredményeképpen a megosztással érintett adatok közé tartoznak:
a) személyes és nem személyes adatok;
b) mind a szándékosan rögzített adatok, mind a felhasználó tevékenységeiből közvetve származó adatok, például az összekapcsolt termék környezetére vagy interakcióira vonatkozó adatok;
c) az összekapcsolt termék használatára vonatkozó adatok, amelyeket a felhasználói felület vagy egy kapcsolódó szolgáltatás generál, és amelyek nem korlátozódhatnak arra az információra, hogy a használatra sor került, hanem tartalmaznak minden olyan adatot, amelyet az összekapcsolt termék a használat eredményeként generál, például az érzékelők által automatikusan generált adatokat és a beágyazott alkalmazások által rögzített adatokat, beleértve a hardver állapotát és hibás működését jelző alkalmazásokat; és
d) a termék vagy szolgáltatás felhasználó általi használaton kívüli, például készenléti üzemmódban vagy kikapcsolt állapotban keletkező adatok.[60]
Azonban csak a nyers és az előfeldolgozott adatok tartoznak az adatrendelet hatálya alá. A nyers adatok, más néven forrásadatok vagy elsődleges adatok alatt az adatrendelet olyan adatokra utal, amelyeket automatikusan, bármely további
- 104/105 -
adatkezelés nélkül, generált adatpontoknak minősülnek.[61] Az előfeldolgozott adatok olyan nyers adatok, amelyeket előzetesen feldolgoztak, hogy további feldolgozásra és elemzésre alkalmassá tegyék őket, például az adatok tisztításával vagy átalakításával. Az adatokat gyűjthette egyetlen érzékelő vagy érzékelők összekapcsolt csoportja, például hőmérséklet, nyomás, áramlási sebesség, hang, pH-érték, folyadékszint, pozíció, gyorsulás vagy sebesség mérésére használt eszközök esetében. Amit szintén tartalmaznak, az a többi adat értelmezéséhez és felhasználásához szükséges releváns metaadatok, beleértve az alapvető kontextust és az időbélyeget.[62]
Ezzel szemben az ilyen adatokból levezetett vagy származtatott információ, amely az adatokból értékek vagy meglátások hozzáadásának eredménye, nem esik az adatrendelet szerinti adatmegosztási kötelezettségek hatálya alá. Az ilyen adatok közé tartozhatnak különösen a "szenzorfúzió" révén nyert információk, amelyeket az összekapcsolt termékben összegyűjtött, több érzékelőből származó adatokból következtetnek vagy származtatnak, saját tulajdonú, összetett algoritmusok segítségével.[63] Jó példa erre egy autonóm jármű, amely több érzékelőt és matematikai modellt használ a környezet 3D képének létrehozásához, hogy önállóan képes legyen a jármű vezetésére, amely esetben az érzékelők nyers adatai az adatmegosztási kötelezettség hatálya alá tartoznának, a 3D kép azonban nem.
Az adatmegosztási kötelezettség alól szintén kivételt képeznek az olyan tartalmak, mint a szöveg, hang vagy videó, valamint a tartalomhoz kapcsolódó és az összekapcsolt termék által generált adatok, amennyiben a felhasználó ilyen tartalmat rögzít, továbbít vagy megjelenít. Erre jó példa, hogy amikor a felhasználó filmet néz az okostévén, maga a film nem tartozik az adatrendelet hatálya alá, de például a képernyő fényerejére vonatkozó adatok igen.[64]
Végül, szintén nem tartoznak az adatrendelet hatálya alá az összekapcsolt terméken található, nem a felhasználók nevében tárolt vagy feldolgozott adatok.[65]
Az adatrendelet egy háromszintű adatmegosztási rendszert vezet be. Ennek első szintje az alapértelmezett, "by design" hozzáférés, amelyet a felhasználó kérelmére teljesítendő hozzáférés követ abban az esetben, ha a terméket és/vagy szolgáltatást nem lehet úgy megtervezni, hogy az alapértelmezett módon biztosítson hozzáférést az adatokhoz. A harmadik szintet az adatbirtokos arra vonatkozó
- 105/106 -
kötelezettsége jelenti, hogy a felhasználó kérelmére harmadik fél rendelkezésére bocsássa az összekapcsol termék vagy a kapcsolódó szolgáltatás használata révén generált adatokat.[66] Az adathozzáférés és adatmegosztás a felek (adatbirtokos és felhasználó és/vagy harmadik személy) között kötelezően létrehozandó szerződéses viszonyon alapul.[67]
Az adathozzáférési jog személyi hatálya alapján felhasználóként jogosult a természetes személyeken kívül - az általános adatvédelmi rendeletben és a fogyasztóvédelmi irányelvekben szereplő hozzáférési és hordozhatósági jogokkal ellentétben[68] - bármely jogi személy is, amely egy összekapcsolt termék tulajdonosa, használója (bérlet vagy lízing alapján), vagy kapcsolódó szolgáltatást vesz igénybe.[69]
Emellett az adatrendelet szerint a felhasználó minősége a termékkel kapcsolatban három alternatív jogcímen (tulajdonos, bérlő vagy lízingbe vevő) múlik. Ez azt sugallja, hogy az állítólagos jogosultak feladata lesz a jogcímük bizonyítása. A jogcím megkövetelésével az adatrendelet úgy tűnik, hogy kizárja azokat a feleket, akik nem rendelkeznek a felsorolt jogosultságok valamelyikével, vagy azt nem tudják bizonyítani. Ez alapján nincs hozzáférési joguk a saját maguk által generált adatokhoz azoknak a magánszemélyeknek, akik más intelligens eszközét használják, például abban az esetben, ha egy önvezető autót az autó tulajdonosának alkalmazottja/családtagja használ. Ezenkívül gyakorlatilag kérdéses, hogyan valósítható meg, ha egy vagy több tulajdonos és egy vagy több bérlő/bérbeadó egyidejűleg kíván élni adathozzáférési jogával,[70] azon túl, hogy az adatrendelet előírja az adatbirtokosok számára, hogy az ilyen helyzetekre is készüljenek fel. Ilyen eset állhat fenn akkor például egy autókölcsönzési szolgáltatás esetében, ahol az autókölcsönző vállalkozás a jármű gyártójával szemben kölcsönző személlyel együtt felhasználónak fog minősülni a jármű használati adatai tekintetében.[71]
A 2026. szeptember 12. után az Európai Unió belső piacán forgalomba hozott összekapcsolt termékeket és kapcsolódó szolgáltatásokat az adatmegosztás szempontjait szem előtt tartva kell megtervezni, gyártani és/vagy nyújtani,[72]
- 106/107 -
olyan módon, hogy a termékadatok, a kapcsolódószolgáltatás-adatok és a vonatkozó metaadatok alapértelmezés szerint könnyen, biztonságosan és ingyenesen hozzáférhetők legyenek a felhasználók számára. Ezen adatokat továbbá
a) átfogó, strukturált, általánosan használt és géppel olvasható formátumban kell rendelkezésre bocsátani; és
b) amennyiben releváns és technikailag megvalósítható, közvetlenül kell hozzáférhetővé tenni a felhasználó számára (adathozzáférési kérelem nélkül).[73]
Az adatrendelet ez utóbbi kötelezettséget nem fejti ki részletesebben, csak azt írja elő, hogy az összekapcsolt termékeket úgy kell kialakítani, hogy az adatok közvetlenül hozzáférhetők legyenek az eszközön lévő adattárolóról vagy egy távoli szerverről. Az összekapcsolt eszközön lévő adattárolóhoz való hozzáférés nyújtható akár kábelalapú vagy vezeték nélküli helyi hálózatokon keresztül, amelyek elektronikus hírközlési szolgáltatáshoz vagy hálózathoz kapcsolódnak. Távoli szerveren tárolt adatok esetében ez a szerver lehet a gyártó saját helyi szerverkapacitása, harmadik fél vagy akár felhőszolgáltató szervere is.[74]
Ha a felhasználók nem tudnak közvetlenül hozzáférni az összekapcsolt termékből vagy kapcsolódó szolgáltatásból származó adataikhoz, akkor a felhasználó kérésére a lehető leghamarabb hozzáférhetővé kell tenni a "könnyen hozzáférhető adatokat", valamint az ezen adatok értelmezéséhez és felhasználásához szükséges metaadatokat.[75] A könnyen hozzáférhető adatok olyan termékadatok és kapcsolódószolgáltatás-adatok, amelyeket az adatbirtokos jogszerűen, "az egyszerű műveletet meghaladó aránytalan erőfeszítés nélkül" szerzett meg.
Fontos továbbá kiemelni, hogy amennyiben az összekapcsolt termék vagy kapcsolódó szolgáltatás későbbi frissítése vagy módosítása - akár a gyártó, akár más fél által - további hozzáférhető adatokhoz vezet, vagy az eredetileg hozzáférhető adatok korlátozásához, az ilyen változásokról a frissítéssel vagy módosítással összefüggésben tájékoztatni kell a felhasználót.[76]
Az adatok hozzáférhetővé tételére vonatkozó kötelezettség 2025. szeptember 12-től alkalmazandó, szemben az egy évvel később alkalmazandó "beépített adatmegosztási" kötelezettséggel.[77]
Az adatokhoz való hozzáférést a felhasználó kérésére automatikusan, a gyártó vagy az adatbirtokos általi vizsgálat vagy engedélyezés nélkül kell biztosítani.
- 107/108 -
Amennyiben technikailag nem lehetséges, hogy az adathozzáférési kérelmet elektronikus úton, például egy felhasználói fiókon vagy az összekapcsolt termékhez vagy kapcsolódó szolgáltatáshoz mellékelt mobilalkalmazáson keresztül nyújtsák be, az adatbirtokosnak tájékoztatnia kell a felhasználókat a hozzáférés konkrét módjáról.[78]
Az adatbirtokosok megkövetelhetik a felhasználó azonosítását, például egy felhasználói fiókba való bejelentkezéssel, annak ellenőrzése érdekében, hogy a felhasználó jogosult-e az adatokhoz való hozzáférésre.[79] Azokban az esetekben, amikor egy összekapcsolt terméket vagy kapcsolódó szolgáltatást több magánszemély vagy szervezet is használ, az adatbirtokosnak az egyes felhasználók hozzáférését a saját maguk által generált adatokra kell korlátozni, amelynek lehetőségét az adatbirtokosok kötelesek felajánlani. A fiókmegoldásoknak lehetővé kell tenniük, hogy a felhasználók törölhessék fiókjaikat és adataikat.[80]
Az adathozzáférési kérések kezelése céljából nyújtott felhasználói felületek kialakításakor a következőket szükséges figyelembe venni:
a) az adatok hozzáférhetőségének biztosításához használt felhasználói felület nem nehezítheti meg indokolatlanul a felhasználók választási lehetőségeinek vagy jogainak gyakorlását. Az adatbirtokosok különösen nem kínálhatnak hátrányos választási lehetőségeket, illetve nem áshatják alá vagy akadályozhatják a felhasználók döntéshozatali képességét vagy választási lehetőségeit a felhasználói felület felépítése, kialakítása, funkciója vagy működési módja révén, ideértve a sötét mintázatok alkalmazását.[81]
b) a felhasználói felület nem kérhet a felhasználóktól szükségtelen információkat. Az adatbirtokosok kérhetik az adatokhoz való hozzáférést kérő személytől, hogy adja meg a szükséges információkat annak megerősítéséhez, hogy felhasználónak minősül. Az adatbirtokosok azonban nem őrizhetnek meg semmilyen információt a felhasználóknak a kért adatokhoz való hozzáféréséről azon túlmenően, ami a hozzáférési kérelem megfelelő végrehajtásához, valamint az adatinfrastruktúra biztonságához és karbantartásához szükséges.[82]
A felhasználó vagy a felhasználó nevében eljáró fél kérésére az adatbirtokosnak a könnyen hozzáférhető adatokat és a vonatkozó metaadatokat harmadik
- 108/109 -
fél számára is hozzáférhetővé kell tenniük a fentiekben a felhasználók által benyújtott adathozzáférési kérelmek tekintetében leírt formátumban és módon. Ilyen harmadik felek lehetnek például javítóműhelyek, ahová a felhasználók a garancián kívüli összekapcsolt készüléküket javításra viszik, vagy olyan alkalmazások szolgáltatói, amelyek a kapcsolódó szolgáltatáson kínáltakon túlmenő funkciókat kínálnak.
A felhasználóktól érkező adathozzáférési kérelmekhez hasonlóan az adatbirtokosok felkérhetnek egy harmadik felet, hogy a szigorúan szükséges információk keretein belül továbbra is adja meg a szükséges információkat annak megerősítésére, hogy az illető egy felhatalmazott harmadik fél. Míg a felhasználó számára az adatokhoz való hozzáférésnek ingyenesnek kell lennie, az adatbirtokosok ellenszolgáltatást számíthatnak fel, ha az adatokat harmadik felek számára teszik hozzáférhetővé B2B kapcsolatokban.[83]
Az adatrendelet és az általános adatvédelmi rendelet számos ponton kapcsolódik, amelyről a következőkben adok összegző képet. Az adatrendelet általános jelleggel leszögezi, hogy kiegészíti és nem sérti az általános adatvédelmi rendeletet, és sem alkalmazható vagy értelmezhető oly módon, hogy az szűkítse vagy korlátozza a személyes adatok védelmét.[84] Az adatrendelet alkalmazásával ugyanakkor felmerül számos olyan átfogó koncepcionális, vagy egyes adatkezelési jogintézményekhez kapcsolódó kérdés, amely ezt az általános kijelentést némiképp árnyalja. Ide tartozik többek között az adatok személyesadat-jellegének megállapítása, az adathozzáférésben részt vevők azonosítása, a személyes adatokhoz adott hozzáférés megfelelő adatkezelési jogalapjának lehatárolása, valamint az adathordozhatóság fogalmi elhelyezése a két rendelet kölcsönhatásában. A jelen 6. fejezetben ezen kérdéseket járom körbe.
Egy összekapcsolt termék, például egy okosóra, egy önvezető jármű vagy akár egy összekapcsolt hűtőgép, egyéb adatok mellett azonosított vagy azonosítható természetes személyről, tehát az általános adatvédelmi rendelet értelmében vett érintettről is generálhat adatokat. Ilyenkor a termékadatok esetében felmerül
- 109/110 -
a kérdés, hogy azok is személyes adatoknak tekinthetők, valamint a kombinált adatkészletek különböző mennyiségben tartalmazhatnak személyes adatokat. Ha egyéb adatok és személyes adatok elválaszthatatlanul összekapcsolódnak, az adatokra az általános adatvédelmi rendelet rendelkezései és általános elvei, például az adatminimalizálás vonatkozik, még akkor is, ha az adathalmaz csak kis mennyiségű személyes adatot tartalmaz. Az adatok olyan módon történő összesítése, amely lehetővé teszi az egyéni azonosítást, a nem személyes adatokat személyes adatokká alakíthatja át. Ezek, még ha egy adott időpontban nem is személyes adatok, a jövőben azok lehetnek.[85] Ezáltal oda sodródhatunk, hogy minden adat személyes adattá válik.[86]
Az adatrendelet egyaránt szabályozza a személyes és nem személyes adatokat is, azonban személyes adatok esetében több megkötést, korlátot is felállít az adathozzáférés és -megosztás elé. Az adatbirtokosok számára eseteként nehéz lehet eldönteni, hogy személyes adatokkal foglalkoznak-e, vagy sem. Téves klasszifikáció esetén, ha az adatokat nem személyes adatoknak tekintik (holott személyes adatok voltak), fennáll az általános adatvédelmi rendelet megsértésének kockázata. Másik oldalról ugyanakkor az adatbirtokosok nem játszhatnak biztonsági játékot, és nem kezelhetnek minden termék- és kapcsolódószolgáltatás-adatot személyes adatnak, ha nem biztosak benne. Ellenkező esetben az adatrendelet adathozzáférési szabályait is megsérthetik. Tehát, bár az adatrendelet nem mondja ki kifejezetten, hogy az adatbirtokosoknak kötelességük bizonyítani, hogy az adat személyes adat-e vagy sem, a két jogszabály együttes értelmezéséből kifolyólag az adatbirtokosok feladata lesz a klasszifikáció (helyes) elvégzése.[87]
Ezen klasszifikáció azonban a jelen szabályozási keretrendszer és joggyakorlat fényében korántsem egyértelmű, amelynek kiindulópontja a személyes adat fogalmának különböző értelmezési megközelítéseiből ered. A továbbiakban (egy kis kitérőt téve) bemutatom ezen értelmezési irányokat, rávilágítva a bizonytalanságokra, amelyek az egész adatrendelet alkalmazására kihatással lehetnek.
A személyes adat fogalmának értelmezése megoszlik az abszolút és a relatív megközelítési irányok tekintetében. A személyes adatok abszolút megközelítése értelmében egy információ személyesadat-jellege nem az adatkezelő személyétől függ, az adatoknak az érintettre vonatkozása objektív, így akkor is adatkezelésről van szó, ha az adatkezelő maga nem, de bármely más személy képes azonosítani az érintettet. Ezen belül egyes nézőpontok különbséget tesznek aszerint,
- 110/111 -
hogy egy másik adatkezelőnél vagy máshol tárolt vagy fellelhető információ felhasználásával azonosítható-e egy természetes személy, vagy sem.[88] Ezzel szemben a relatív megközelítés értelmében az a fontos, hogy a címzett, az adatkezelő személyében szubjektíven képes-e arra, hogy összekapcsolja az adott adatot az érintettel, vagyis hogy az érintettre vonatkozónak minősül-e az adat az ő tudása, ismeretei, észszerű erőfeszítései alapján. Ebből kifolyólag például míg kérdéses adatok így egy bizonyos személy számára személyes adatoknak minősülhetnek, míg más személyek számára nem.[89]
A joggyakorlatban több ügyben vizsgálták, hogy az adatkezelő vagy harmadik személy képes-e akár közvetlen, vagy közvetett módon azonosítani az érintetteket. A joggyakorlat megoszlik az abszolút és a relatív értelmezés között, valamint folyamatosan formálódik. Összességében egy enyhe orientáció figyelhető meg a relatív értelmezés irányában, azonban ez korántsem tűnik egy lezárt értelmezési kérdésnek. A lentiekben röviden összegzem a két értelmezési irányban hozott legfontosabb döntések vagy iránymutatások lényegét.
Az Európai Unió Bírósága először a 2016-os Breyer-ügyben értelmezte központi jelleggel a személyes adat fogalmát, az IP-címek személyesadat-jellegével kapcsolatban. A döntés kimondta: az a tény, hogy az internetes honlap felhasználója azonosításához szükséges további adatokkal nem az elektronikus médiaszolgáltató, hanem e felhasználó internet-hozzáférést nyújtó szolgáltatója jogszerűen rendelkezik, nem zárja ki, hogy a dinamikus IP-címek személyes adatoknak minősüljenek.[90] Az Európai Unió Bírósága ugyanakkor rámutatott, hogy az újraazonosítás elsősorban akkor lehetséges, ha ahhoz nem szükséges aránytalan idő, költség- vagy munkaráfordítás, amely megkötések a relatív értelmezés irányába mutatnak.[91]
Az Európai Unió Bírósága egy későbbi döntésében azt is kimondta, hogy valamely természetes személy azonosíthatóságának meghatározásakor "minden olyan módszert" figyelembe kell venni, "amelyről észszerűen feltételezhető", hogy az adatkezelő "vagy más személy" a természetes személy "közvetlen vagy közvetett" azonosítására felhasználhatja. Tehát ahhoz, hogy valamely adatot "személyes adatnak" minősítsenek, nem követelmény, hogy az érintett személy
- 111/112 -
azonosítását lehetővé tévő minden adat egy személy kezében legyen".[92] Ebből kifolyólag az érintett "közvetett azonosításának" velejárója, hogy az érintett személy azonosítása céljából kiegészítő információkat kell kombinálni más adatokkal, amelyek potenciálisan az adatkezelőétől eltérő személytől vagy forrásból származnak.[93] Ezt erősíti meg az Európai Unió Bíróságának IAB Europe-ügyben hozott határozata is.[94]
A fenti megállapításokon tovább haladva az Európai Unió Bírósága a VIN-szám ügyben úgy döntött, hogy a járműazonosító szám (VIN-szám) önmagában nem személyes adat, de személyes adattá válik olyan személy tekintetében, aki észszerűen rendelkezik olyan eszközökkel, amelyek lehetővé teszik az adat konkrét személyhez rendelését. Ezért a VIN-szám az említett tanúsítványban említett természetes személy személyes adatának minősül, feltéve, hogy "az a személy, aki hozzáférhet a VIN-számhoz, rendelkezhet olyan eszközökkel, amelyek lehetővé teszik számára, hogy felhasználja azt a jármű tulajdonosának azonosítására, akire a VIN-szám vonatkozik, vagy annak a személynek az azonosítására, aki a járművet a tulajdonostól eltérő jogalapon használhatja".[95] Az Európai Unió Bírósága azt is kimondta, hogy a VIN-szám mint olyan nem minősül személyes adatnak a járműgyártók számára, ha a jármű, amelyhez a VIN-számot hozzárendelték, nem természetes személy tulajdonát képezi. Ugyanakkor nem zárja ki, hogy a VIN-szám még ezekben az esetekben is személyes adatnak minősüljön, amennyiben ezt az adatot más adatokkal kombinálják. Az Európai Unió Bírósága esetről esetre döntésre utalja azt, hogy a VIN-számról "értesülő" címzettek észszerűen rendelkezhetnek-e olyan eszközökkel, amelyek lehetővé teszik számukra, hogy a VIN-számot azonosított vagy azonosítható természetes személyhez kapcsolják, azaz, hogy a VIN-szám személyes adatnak minősül-e.[96]
Magyar viszonylatban a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) elődjeként szolgáló adatvédelmi biztos, valamint a NAIH és a Kúria is kezdetben az abszolút értelmezést tűnt támogatni. Az adatvédelmi biztos leszögezte, hogy egy bizonyos adat személyesadat-jellege nem függ attól, hogy az adott adathoz kizárólag egy módon lehet hozzáférni.[97] A NAIH egy 2012-es állásfoglalásában leszögezi, hogy "amíg az adatok vonatkozásában az adatkezelő számára fennáll annak a lehetősége, hogy az adatokat azonosított vagy azonosítható természetes személlyel kapcsolatba hozza, akkor az adatok személyes adatoknak minősülnek, függetlenül attól a körülménytől, hogy valamilyen "kódolási" eljárás következtében az adatok az adatfeldolgozó számára
- 112/113 -
nem köthetőek meghatározott természetes személyhez."[98] A Kúria egy 2022-es döntésében a közvetett azonosítás módjaként értékelte azt az esetet is, ha az érintett beazonosítható akár az anonimizált adat közhiteles nyilvántartásban tárolt információkkal (a perbeli esetben ingatlannyilvántartási adatokkal) történő összevetésével is.[99]
Az Európai Törvényszék egy friss ügyben kiemelte, hogy a címzett számára anonimnak kell tekinteni az álnevesített személyes adatokat akkor, ha a címzett további információk felhasználása nélkül nem tudja újra azonosítani az érintetteket, és ilyen információhoz jogszerűen nem is férhet hozzá. Ezt az adatkezelőnek az eset egyedi körülményeire tekintettel meg kell vizsgálnia.[100] A döntést felülvizsgáló főtanácsnoki indítvány azonban leszögezi, hogy anonimnak csak akkor tekinthető az adat, ha az álnevesítést követően az azonosítás kockázata nemlétező vagy jelentéktelen.[101] Ezzel összhangban az Európai Adatvédelmi Testület is úgy foglalt állást, hogy a pszeudonimizáció következtében főszabály szerint az adat nem veszti el személyesadat-jellegét.[102]
Hasonló döntést hozott a Kúria 2019-ben, amely tényállás szerint álnevesített egészségügyi adatok esetén a titkosításikulccsal nem rendelkező szervezeteknél lévő kódolt adatok nem minősülnek személyes adatnak, azokra nem vonatkozik az adatvédelmi szabályozás.[103] Az álnevesítést a 29. cikk szerinti adatvédelmi munkacsoport (WP29) iránymutatása is elfogadja, amennyiben az ugyanazon kódolt adatkészletet feldolgozó bármely más adatkezelő személyes adatot dolgozna fel, amennyiben a külön rendszerben, amelyben ezek az egyéb adatkezelők működnek, az újbóli azonosítás kifejezetten kizárt, és e tekintetben megfelelő technikai intézkedésre került sor.[104] A vissza nem fejthető kódolást a NAIH is elfogadta egy döntésében az anonimizáció egy formájának és kimondta, hogy a technológia rendelkezésre állása önmagában nem elegendő az érintettek azonosítására.[105]
- 113/114 -
A fentiekből az az egyetlen biztos megállapítás tehető, hogy egy adat személyesadat-jellege mindig esetről esetre történő mérlegeléstől függ. Felmerül azonban, hogy az adatrendelet által előirányozott adathozzáférési kötelezettségek és irányok mennyiben összeegyeztethetők ezzel a mérlegelési kötelezettséggel. Az adatbirtokosok kötelesek meggyőződni arról, hogy az érintettnek nem minősülő felhasználók vagy harmadik felek nem képesek észszerű eszközökkel azonosítani az érintettet a továbbított adatok más adatokkal való összekombinálásával? Amennyiben igen, ez mennyiben lehetséges az adatok tömeges megosztása esetén? Álláspontom szerint ez a dilemma alkalmas az adatokhoz való hozzáférést és azok megosztását hátráltatni és az adatbirtokosokat a kevésbé proaktív hozzáállás felé sodorni.
A dilemma egy lehetséges feloldása lehet, ha az adatbirtokos a lehető legkevesebb személyes adatot gyűjti, tárolja és/vagy osztja meg az érintettről, amelynek érdekében már az összekapcsolt termékeket és a kapcsolódó szolgáltatásokat úgy tervezi, hogy az érintettek számára lehetőséget biztosítsanak arra, hogy az eszközöket névtelenül vagy a lehető legkevésbé magánéletbe beavatkozó módon használják, függetlenül attól, hogy milyen jogcímen rendelkeznek az eszközzel. Az adatbirtokosoknak a lehető legnagyobb mértékben korlátozniuk kell az eszközről kikerülő adatok mennyiségét is.[106]
Emellett segítheti az adatbirtokosokat a személyes adatok anonimizálása vagy álnevesítése,[107] amelyet a személyes adatok védelmét javító technológiák (angolul privacy enhancing technologies, PET) alkalmazásával lehet elérni. Az anonimizálás vagy álnevesítés például akkor lehet releváns, ha az adatbirtokosnak olyan felhasználói megkeresésre kell válaszolnia, ahol a megkereső felhasználó nem az érintett, vagy ha több érintett van, akik mindannyian ugyanazon összekapcsolt termék (pl. bérelt autó) felhasználói lehetnek. Ilyen helyzetekben a PET-ek alkalmazása segíthet az általános adatvédelmi rendeletnek való megfelelés biztosításában.[108] Az álnevesítésen és anonimizáción túl az adatbirtokos köteles a termék- és kapcsolódószolgáltatás-adatokat - az általános adatvédelmi rendelet korlátozott tárolhatóság alapelvével összhangban - észszerűen meghatározott megőrzési idők leteltével törölni.[109]
- 114/115 -
Az adatmegosztásban részt vevő szereplők azonosítása és szerepeik elhatárolása különleges kihívásokat jelent, amikor az általános adatvédelmi rendeletet és az adatrendeletet egyszerre kell alkalmazni. Az általános adatvédelmi rendelet az "adatkezelő" és az "adatfeldolgozó" fogalmakat, míg az adatrendelet az "adatbirtokos" és a "felhasználó" kifejezéseket használja. Személyes adatok kezelésekor az adatbirtokos gyakran adatkezelőként is eljár. Ugyanakkor a szerepek részben átfedhetnek. Például egy vállalkozás, amely természetes személyeknek ad bérbe gépkocsikat, a gyártóval szemben felhasználónak, a járművezetővel szemben pedig akár adatbirtokosnak is minősülhet. Ezzel szemben egy természetes személy esetében, aki egyszerre felhasználó és érintett, amikor a vállalkozás személyes adatokat - például az autó helymeghatározási adatait - kezel, a vállalkozás mind adatkezelőnek, mind adatbirtokosnak tekinthető. Fontos megérteni, hogy attól, hogy valaki az adatrendelet szerint egy adott szerepkörben van, az általános adatvédelmi rendelet alapján nem feltétlenül ugyanabban a minőségben jár el. Például a "felhasználó" nem minden esetben azonos az "érintett" fogalmával, és az "adatbirtokos" sem mindig jelent "adatkezelőt".
Lehetséges, hogy ebben a felállásban adatfeldolgozók is részt vesznek, ugyanakkor az általános adatvédelmi rendelet alatt meghatározott adatfeldolgozók nem tekintendők úgy, hogy adatbirtokosként járnának el. Ugyanakkor az adatkezelő kifejezetten megbízhatja az adatfeldolgozókat azzal, hogy adatokat bocsátsanak a felhasználók rendelkezésre.[110]
Az adatmegosztásban betöltött szerepek tehát nem előre meghatározottak, hanem azokat az általános adatvédelmi rendelettel összhangban eseti alapon kell értékelni.[111] A szerepek közötti átfedések vagy ellentétek közötti tisztánlátás többek között kardinális kérdés lehet felhasználói adathozzáférési kérelmek teljesítése esetén, amikor a felhasználó egyben érintettnek is minősül. Nem tisztázott, hogy amennyiben az érintettnek minősülő felhasználó az adatbirtokoshoz fordul hozzáférési kérelemmel, viszont nem jelöli meg a hozzáférési jogának jogalapját (amelyre nem is kötelezhető), értelmezhető-e a kérés mind az adatrendelet, mind az általános adatvédelmi rendelet szerinti hozzáférési kérésnek, valamint ha igen, milyen kötelezettségei vannak az adatbirtokosnak akkor, ha nem minősül az általános adatvédelmi rendelet alapján adatkezelőnek: az adatbirtokos köteles-e például döntést hozni abban a kérdésben, hogy a kérelem az általános adatvédelmi rendelet szerinti kérelemnek is minősül, vagy köteles-e automatikusan bevonni az adatkezelőt a kérelem rendezésének körébe.
- 115/116 -
Az adatrendelet elvi éllel leszögezi, hogy a személyes adatok adatrendelet szerinti kezelésének az általános adatvédelmi rendelet szerinti érvényes jogalappal kell rendelkeznie, valamint azt, hogy önmagában az adatrendelet nem képez jogalapot arra, hogy az adatbirtokos személyes adatokat gyűjtsön vagy generáljon.[112]
Az adatbirtokosoknak, felhasználóknak és harmadik feleknek ezért a személyes adatok felhasználását az általános adatvédelmi rendelet meglévő jogi kerete alapján érvényes jogalapra alapozva kell végezniük. Elképzelhetőek olyan forgatókönyvek, amikor az összekapcsolt termék felhasználói csak a saját személyes adataikhoz kérnek hozzáférést, és felhatalmaznak egy harmadik felet ezen adatok felhasználására; ebben az esetben a hozzájárulás jogalapként alkalmazható lehet, ha az általános adatvédelmi rendelet 6. cikk (1) (a) pontjában foglalt követelmények teljesülnek.
A termék felhasználója azonban nem mindig lesz azonos az érintett személlyel. Ehelyett az üzleti felhasználók és a harmadik felek olyan adatokban lesznek érdekeltek, amelyek vagy önmagukban azonosíthatják a személyeket, vagy amelyek más adatokkal összekapcsolhatók, és aztán felhasználhatók az ügyfelek, alkalmazottak vagy más személyek azonosítására - mint például, ha az autókölcsönző szolgáltatás járműadatokat kér a gyártótól, vagy a légitársaság repülési adatokat kér a repülőgép gyártóitól. Ezekben az esetekben az adathozzáférés csak akkor lesz teljesíthető, ha az általános adatvédelmi rendelet 6. cikkében foglalt jogalapok valamelyike fennáll. Ez azt jelenti, hogy az összes érintettől be kell szerezni a hozzájárulását az adatkezeléshez, az adatkezelés az érintettel fennálló szerződés teljesítéséhez szükséges, vagy a 6. cikk (1) bekezdésében szereplő egyéb jogszerű adatkezelési jogalapra az adatkezelő jogszerűen támaszkodhat. Az Európai Adatvédelmi Testület és az európai adatvédelmi biztos emlékeztet arra, hogy amennyiben az elektronikus hírközlési adatvédelmi irányelv 5. cikkének (3) bekezdése értelmében hozzájárulás szükséges az összekapcsolt termékre mint végberendezésre, az általános adatvédelmi rendelet 6. cikke szerinti hozzájárulás lenne a legvalószínűbb megfelelő jogalap a személyes adatoknak az előfizető vagy felhasználó végberendezésében már tárolt információk tárolását vagy az azokhoz való hozzáférést követően történő feldolgozásához.[113] Ugyanakkor, amennyiben a felhasználó nem az érintett, az adatrendelet önmagában nem teremthet jogalapot a személyes adatokhoz való hozzáférés biztosítására vagy személyes adatok harmadik fél rendelkezésére bocsátására, úgy ezen cselekmények az általános adatvédelmi rendelet 6. cikk
- 116/117 -
(1) (c) pontja szerinti jogi kötelezettség teljesítéséhez szükséges adatkezelés körébe sem tartozhatnak.
Amennyiben az érintettek nem adnak hozzájárulást és más jogalap alapján sem kezelhetők jogszerűen az adatok, az adatbirtokosok könnyen olyan helyzetekbe kerülhetnek, amikor a 4. cikk szerinti adathozzáférési kérelmet nem tudják teljesíteni az általános adatvédelmi rendelet követelményeinek esetleges megsértése nélkül.
Ebből a dilemmából is pragmatikus kiutat jelenthetne az adatkészletek anonimizálására vonatkozó követelmények tisztázása, valamint az adatbirtokosok, termékfelhasználók és harmadik felek kötelezése arra, hogy minden rendelkezésre álló és gazdaságilag észszerű eszközt felhasználjanak az adatkészletek anonimizálására, mielőtt azokat megosztanák, különösen, ha az érintettek hozzájárulása nem szerezhető be. Az ilyen anonimizálási törekvéseket nem csak az olyan adatkészletek esetében kell ösztönözni, amelyek azonnal lehetővé teszik az egyének azonosítását, hanem azok esetében is, amelyek csak a termék felhasználójának vagy harmadik félnek a birtokában lévő egyéb adatokkal való kombinálás után teszik lehetővé az azonosítást. Az adatok anonimizálása megköveteli, hogy sem az adatbirtokos, pl. a jármű gyártója, sem a 4. cikk (1) bekezdése szerinti termékfelhasználó, pl. az autókölcsönző, ne tudja azonosítani az egyes érintetteket. Ez esetben azt is tisztázni kell, hogy kinek kell viselnie az anonimizálás költségeit. Ha a felek együttműködnek és megállapodásokat kötnek, akkor tárgyalhatnak a költségek megosztásáról. Ha nem jutnak megállapodásra, és az adatkérést a hatóságok vagy bíróságok érvényesítik, az adatbirtokos a kompenzáció részeként figyelembe veheti az anonimizálás költségeit.[114]
Az adatrendelet és az általános adatvédelmi rendelet közötti összefüggés nemcsak a felhasználók és más érintettek adatainak védelmére korlátozódik, hanem az adatrendelet 6. cikke kimondja, hogy az átvett adatokat átvevő harmadik fél a személyes adatokat csak a felhasználóval egyeztetett célokra és feltételek mellett kezelheti, és köteles törölni az adatokat, ha azokra már nincs szükség a megállapodás szerinti célból, anélkül, hogy akadályozná az adatokhoz való hozzáférés jogának hatékony alkalmazását.[115] Ez a keretrendszer az általános adatvédelmi rendelet logikáját követve építi be a jogszerű adatkezelés és korlátozott tárolhatóság alapelveit az adatrendelet szövedékébe.[116]
- 117/118 -
Az adatrendelet alapvetően öt szempontból egészíti ki az általános adatvédelmi rendelet által az érintettek részére garantált adathordozhatósági jogot:
a) Megnyitja az adathordozhatóságot jogi személyek előtt,
b) Míg az általános adatvédelmi rendelet csak a hozzájáruláson vagy szerződésen alapuló adatkezelések körében teszi lehetővé az adathordozhatóságot, az adatrendelet a nem személyes adatok és a bármilyen jogalapon feldolgozott személyes adatok tekintetében is,
c) Bevezeti az alapértelmezés szerinti, azonnali hozzáférhetőséget;[117]
d) Az adatrendelet kiterjeszti a hatályát az aktívan szolgáltatott és a passzívan megfigyelt adatokra is.
Az adatrendelet azonban zavart kelt azáltal, hogy az adathordozhatóságot más megvilágításban mutatja be. Először is, az adathordozhatóságot a szöveg nem említi. Ehelyett a felhasználók hozzáférési joga és a felhasználók harmadik felekkel való adatmegosztáshoz való joga szerepel, az adathordozhatóság kifejezés pedig a preambulumbekezdésekben marad. Ezzel szemben az általános adatvédelmi rendelet szerinti hozzáférési jog inkább az adatrendelet alapján átláthatósági követelményekkel rokon, az adatrendelet szabályai ezt egészítik ki.[118] A két érintetti jogot, valamint az adatrendelet szerinti felhasználói jogokat világosan meg kell különböztetni egymástól.[119]
Egyes nézőpontok szerint az adatrendelet adathordozhatóságáról szóló rendelkezéseiből arra lehet következtetni, hogy az adatbirtokos nem feltétlenül lesz köteles az adatok másolatát harmadik félnek átadni. Ehelyett az adatrendelet egyik lehetséges értelmezése az, hogy ezek az adatok a gyártó vagy a felhőszolgáltató szerverén keresztül, az adatokhoz való helyszíni hozzáférés révén hozzáférhetők. Az adatok helyben történő hozzáférésének előírása azonban drámaian megváltoztatná az adatrendeletben szereplő adathordozhatósághoz való jogot, mivel az egyszerű "adathozzáférési joggá" degradálná azt, és az adatok az adatbirtokosok ellenőrzése alatt maradnának, akik egyoldalúan dönthetnek arról, hogy az adatok csak helyben történő hozzáférés vagy az adathordozhatóság révén érhetők el. Más nézőpont szerint - amellyel én is egyetértek - azonban az in-situ hozzáférésre vonatkozó érv az adatrendelet (35) preambulumbekezdés és annak az adatrendeletnek az általános adatvédelmi rendelet 20. cikkében
- 118/119 -
biztosított joggal való kiegészítő jellegére való kifejezett utalása fényében még törékenyebbé válik. Így, bár célszerű lenne a megfogalmazást egyértelműbben megválasztani, a törvény holisztikus értelmezése arra enged következtetni, hogy az adathordozhatóság nem korlátozódik az in situ hozzáférésre.[120]
Az általános adatvédelmi rendelet 12. cikkének (5) bekezdése kimondja, hogy az érintettek kéréseinek teljesítése érdekében tett intézkedéseket, beleértve az adathordozhatósághoz való jogot, ingyenesen kell elvégezni. Nem egyértelmű, hogy ez a rendelkezés értelmezhető-e úgy, mint ami kizárja az adatok rendelkezésre bocsátásáért járó ellentételezést. Mivel az általános adatvédelmi rendelet adathordozhatósághoz való joga lehetővé teszi a személyes adatok adatkezelők közötti közvetlen adattovábbítást is, amennyiben az technikailag megvalósítható, nem egyértelmű, hogy az általános adatvédelmi rendelet értelmezhető-e úgy, hogy az ilyen közvetlen adattovábbítások esetében kizárja az eredeti adatkezelőnek az adatrendelet 9. cikke szerinti kompenzációt. Az általános adatvédelmi rendelet 12. cikkének (5) bekezdése nem ír elő semmilyen díjat az érintettek számára (kivéve, ha a kérelmek "nyilvánvalóan megalapozatlanok vagy túlzóak"), de nem zárja ki kifejezetten annak lehetőségét, hogy az eredeti adatkezelők az adatok hordozhatóságáért díjat számítsanak fel a fogadó adatkezelőknek. Az adatrendelet (35) preambulumbekezdése tovább növeli a bizonytalanságot azzal, hogy kimondja, hogy az érintettet semmilyen módon nem lehet megakadályozni abban, hogy az általános adatvédelmi rendeletben foglalt jogait - beleértve az adathordozhatósághoz való jogot is - az említett rendelettel összhangban jogorvoslatért folyamodva gyakorolja, ha az adatbirtokos és a harmadik fél nem tud megegyezni az adatokhoz való hozzáférés feltételeiről. Érdemes lenne tehát tisztázni, hogy az általános adatvédelmi rendelet adathordozhatóságra vonatkozó - látszólag - ingyenes kérelmek hogyan kapcsolódnak az adatrendeletben szereplő, kompenzációt előíró adathozzáféréshez.[121]
Bár az általános adatvédelmi rendelet és az adatrendelet között egyértelmű átfedések vannak, továbbra is kétséges, hogy ezek mennyire hatékonyan működnek majd az adathordozhatósághoz való jog gyakorlati megvalósítása során. Szükséges lehet annak meghatározása, hogy az érintett vagy felhasználó melyik rendelet alapján kéri az adathordozhatósághoz való jogot, különösen, ha a kérelem alapja olyan személyes adat, amelyet hozzájárulás vagy szerződés alapján kezeltek, mivel az adathordozhatósághoz való jog az általános adatvédelmi rendelet és az adatrendelet alapján is érvényesíthető. Ez azonban csak akkor válik láthatóvá, ha a két rendeletet egy adott esetben egyszerre alkalmazzák. Emellett itt is felmerülnek a személyes adat fogalmának értelmezéséből, valamint
- 119/120 -
a különböző adatkezelési szerepekből eredő bizonytalanságok, amelyeket fentebb részletesebben is kifejtettem.
Az adatok hordozhatóságához való többszintű jog kialakításával az egyének több ágazatot átfogó környezetben potenciálisan nagyobb ellenőrzést kaphatnak személyes és nem személyes adataik felett. Mivel azonban a három rendelet eltérő hatályú és eltérő koncepciókkal rendelkezik, továbbra is kétséges, hogy az egyének hogyan lesznek képesek az adathordozhatósághoz való jogot hatékonyan, számukra és a piac számára előnyös módon és a lehető legkönnyebben gyakorolni. Ezért alapvető fontosságú, hogy az adathordozhatósághoz való többrétegű jog értelmezése ne okozzon zavart és ne akadályozza az egyének jogait, ahelyett, hogy több lehetőséget biztosítana számukra. Bár az adatrendeletben szerepel az általános adatvédelmi rendelet elsőbbségét deklaráló záradék, a különböző jogszabályok közötti átfedés bizonytalanságokat okozhat. Az ütközések nagy valószínűséggel eseti alapon, a két rendelet együttes értelmezésével lesznek feloldhatók.[122]
A jelen tanulmányban ismertettem az Európai Unió jogalkotási erőfeszítéseit az adatok nyílt hozzáférésén alapuló adatökiszisztéma irányában. Az Európai Adatstratégia felvázolását követően összegző képet adtam a három legfőbb releváns jogalkotási aktus, a nyílt adat irányelv, az adatkormányzási rendelet és az adatrendelet legfőbb rendelkezéseiről. Mivel az adatrendelet a három jogszabály közül egyedül fedi e az adatmegosztásokat horizontális jelleggel, e rendelet kifejtésére nagyobb terjedelemben került sor. A jogszabályi keretrendszer áttekintését követően vizsgáltam az adatrendelet viszonyát az általános adatvédelmi rendelethez.
A viszonyrendszer vizsgálatának központi dilemmája a személyes adat fogalmának értelmezési bizonytalansága, amely két fő irányzat mentén oszlik meg a joggyakorlatban: az abszolút megközelítés szerint egy adat objektíven személyes jellegű, függetlenül az adatkezelő személyétől és képességeitől, míg a relatív értelmezés az adatkezelő észszerű lehetőségeit veszi alapul az azonosíthatóság megítélésében.
Az összekapcsolt termékek világában ez a bizonytalanság különösen problematikus, mivel az okosórák, önvezető járművek és egyéb IoT eszközök által generált adatok gyakran keverednek személyes és nem-személyes elemekkel, így az adatbirtokosok számára nehézséget jelenthet annak eldöntése, hogy
- 120/121 -
a hozzáférés megadása körében egyidejűleg meg kell-e felelniük az általános adatvédelmi rendelet komplex követelményeinek. A helyzetet tovább bonyolítja, hogy a két rendelet eltérő terminológiát használ, míg az adatrendelet az "adatbirtokos" és "felhasználó" fogalmakat alkalmazza, az általános adatvédelmi rendelet az "adatkezelő" és "adatfeldolgozó" kategóriákat, amely szerepek gyakran átfedéseket mutatnak vagy kontextusfüggően változnak.
A jogalapok tekintetében különösen problematikus, hogy az adatrendelet önmagában nem teremt jogalapot személyes adatok kezelésére, ugyanakkor adathozzáférési kötelezettségeket ír elő, ami dilemmát okoz akkor, ha az érintettek nem járulnak hozzá az adatkezeléshez, de a hozzáférési kötelezettség mégis fennáll. Az adathordozhatóság területén szintén jelentős átfedések és tisztázatlan kérdések merülnek fel, különösen a kompenzáció és az ingyenesség viszonyát, valamint azt illetően, hogy a felhasználó melyik rendelet alapján gyakorolhatja jogait.
Elemzésem konklúziójaként megállapítható, hogy a nyílt adathozzáférést és megosztást ösztönző közösségi jogszabályok célkitűzései és rendelkezései ellentétben állhatnak az általános adatvédelmi rendelet alapvetően magánszférapárti, adatminimalizációs szemléletmódjával. Következtetéseim szerint ezek a jogértelmezési és alkalmazási nehézségek jelentős jogbizonytalanságot okoznak az adatbirtokosok számára, akik egyszerre kockáztatják mindkét jogszabály megsértését, ami végső soron hátráltathatja az adatmegosztást és a digitális gazdaság fejlődését. A probléma megoldása érdekében számba vettem az adatminimalizálás elvének következetes alkalmazását, a privacy enhancing technologies használatát és az anonimizálási technikák fejlesztését, ugyanakkor hangsúlyoztam, hogy alapvetően jogszabályi szintű tisztázásra lenne szükség a két rendelet közötti átfedések és ellentmondások feloldása érdekében. Végső soron rámutatok arra, hogy bár a jogalkotói szándék szerint az adatrendelet és a GDPR kiegészítik egymást, a gyakorlati alkalmazás során olyan jelentős szakadék tátong a normatív elvárások és a megvalósíthatóság között, amely egységes joggyakorlat kialakítása és további jogszabályi pontosítások nélkül nehezen áthidalható. ■
JEGYZETEK
[1] Maximilian Grafenstein, Reconciling Conflicting Interests in Data through Data Governance. An Analytical Framework (and a Brief Discussion of the Data Governance Act Draft, the Data Act Draft, the AI Regulation Draft, as well as the GDPR). HIIG Discussion Paper Series, 2022. 8. o.
[2] Grafenstein, 1. lj. alatt hivatkozott mű, 8-9. o.
[3] Európai Adatstratégia, elérhető itt: https://eur-lex.europa.eu/legal-content/HU/TXT/?uri=CELEX:52020DC0066 (letöltve 2025. március 22. napján) 1. pont.
[4] Európai Adatstratégia 3. lj. alatt hivatkozva, 5. pont.
[5] Az Európai Parlament és a Tanács 2003/98/EK irányelve (2003. november 17.) a közszféra információinak további felhasználásáról (HL L 345., 2003. 12. 31., 90. o.)
[6] Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (HL L 119, 2016.5.4. 1. o.)
[7] Európai Adatstratégia, 3. lj. alatt hivatkozva 6. pont.
[8] Európai Adatstratégia, 3. lj. alatt hivatkozva 2. pont.
[9] Az Európai Parlament és a Tanács (EU) 2019/1024 irányelve (2019. június 20.) a nyílt hozzáférésű adatokról és a közszféra információinak további felhasználásáról (HL L 172., 2019.6.26. 56. o.)
[10] Az Európai Parlament és a Tanács (EU) 2022/868 rendelete (2022. május 30.) az európai adatkormányzásról és az (EU) 2018/1724 rendelet módosításáról (HL L 152., 2022.6.3, 1. o.)
[11] Az Európai Parlament és a Tanács (EU) 2023/2854 rendelete (2023. december 13.) a méltányos adathozzáférésre és -felhasználásra vonatkozó harmonizált szabályokról, valamint az (EU) 2017/2394 rendelet és az (EU) 2020/1828 irányelv módosításáról (HL L, 2023/2854, 2023.12.22, 1. o.)
[13] Ződi Zsolt, A nemzeti adatvagyon és az elfelejtett irányelv. Gazdaság és Jog, 2011. 21. o.
[14] Anneke Zuiderwijk és Marijn Janssen, Barriers and Development Directions for the Publication and Usage of Open Data: A Socio-Technical View. In: Mila Gascó-Hernández (szerk.), Open Government. Opportunities and Challenges for Public Governance. New York, 2014, 119-123. o.
[15] Kaiser Tamás, "Nyílt kormányzat, nyílt adatok: a szabad hozzáféréstől a hatékony újrafelhasználásig," In: Dargay Eszter és Juhász Lilla (szerk.), Antikorrupció és integritás, Budapest, 2015. 82-83. o.
[16] Szőke Gergely László, Recent and Future Developments of PSI Re-use In Europe. In: Essays of Faculty of Law University of Pécs Yearbook of 2017-2018. Pécs, 2018. 115. o.
[17] Megjegyzem, hogy a nyílt adat irányelv az 1. cikkben részletesen szabályozza, hogy milyen típusú dokumentumokra terjed ki a hatálya, amelyre összefoglalóan használom a magyar terminológiában ismert átfogó fogalmakat.
[18] Nyílt adat irányelv 1. cikk (1) bekezdés.
[19] Nyílt adat irányelv 1. cikk (4) bekezdés és (52) preambulumbekezdés.
[20] Nyílt adat irányelv 5. cikk (1) bekezdés.
[21] Nyílt adat irányelv 5. cikk (2) bekezdés.
[22] Nyílt adat irányelv 6. cikk (1)-(3) bekezdés.
[23] Nyílt adat irányelv 7. cikk (1)-(3) bekezdés.
[24] Nyílt adat irányelv 12. cikk (1)-(3) bekezdés.
[25] Nyílt adat irányelv 13. cikk.
[26] Nyílt adat irányelv I. melléklet.
[27] Nyílt adat irányelv 14. cikk (1) és (2) bekezdés.
[28] Nyílt adat irányelv 17. cikk (1) bekezdés.
[29] A nemzeti adatvagyon hasznosításának rendszeréről és az egyes szolgáltatásokról szóló 2023. évi CI. törvény.
[30] Adatkormányzási rendelet 3. cikk.
[31] Európai Bizottság: Az adatmegosztási jogszabály ismertetése, elérhető itt: https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained (Letöltve 2025. március 22. napján)
[32] Paul De Hert és Brussels Privacy Hub, Post-GDPR Lawmaking in the Digital Data Society: Mimesis Without Integration. Topological Understandings of Twisted Boundary Setting in EU Data Protection Law, elérhető itt: https://ssrn.com/abstract=4601974 (letöltve 2025. március 23. napon) 12. o.
[33] Adatkormányzási rendelet 1. cikk (1) bekezdés.
[34] Adatkormányzási rendelet 9. cikk.
[35] Adatkormányzási rendelet 7. cikk.
[36] Adatkormányzási rendelet 6. cikk.
[37] Adatkormányzási rendelet 4. cikk.
[38] Adatkormányzási rendelet 5. cikk.
[39] Adatkormányzási rendelet 10. cikk.
[40] Adatkormányzási rendelet 12. cikk.
[41] Adatkormányzási rendelet 11. cikk.
[42] Adatkormányzási rendelet 2. cikk 16. pont.
[43] Adatkormányzási rendelet 17. és 20. cikk.
[44] Európai Bizottság sajtóközlemény: Adatmegosztási jogszabály: a Bizottság üdvözli a méltányos és innovatív adatgazdaság megteremtésére irányuló szabályokról szóló politikai megállapodást, elérhető itt: https://ec.europa.eu/commission/presscorner/detail/en/ip_23_3491 (Letöltve 2025. március 22. napján)
[45] Európai Bizottság: Inception impact assessment of the Data Act, elérhető itt: https://openfuture.eu/wp-content/uploads/2022/03/Inception-impact-assessment.pdf (Letöltve 2025. március 22. napján) 1. o.
[46] Az Európai Parlament és a Tanács (EU) 2018/1807 rendelete (2018. november 14.) a nem személyes adatok Európai Unióban való szabad áramlásának keretéről (HL L 303., 2018.11.28, 59. o.)
[47] Adatrendelet hatáselemzés, elérhető itt: https://digital-strategy.ec.europa.eu/en/library/impact-assessment-report-and-support-studies-accompanying-proposal-data-act (utolsó letöltés: 2025. 03. 22.), idézi: Tóth András, A digitális átalakulás szabályozása az Európai Unióban. Budapest, 2024. 108. o.
[48] Adatrendelet 1. cikk (3) bekezdés.
[49] Adatrendelet (15) preambulumbekezdés.
[50] Adatrendelet (6) bekezdés.
[51] Adatrendelet 2. cikk (5) bekezdés és (14) preambulumbekezdés.
[52] Európai Bizottság Könyvtár: A Bizottság közzéteszi az adatmegosztási jogszabályra vonatkozó gyakran ismételt kérdéseket, elérhető itt: https://digital-strategy.ec.europa.eu/en/library/commission-publish-es-frequently-asked-questions-about-data-act (Letöltve 2025. március 22. napján) 9. o.
[53] Adatrendelet 2. cikk (6) bekezdés.
[54] Európai Bizottság: Az adatmegosztási jogszabály ismertetése, elérhető itt: https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained (letöltve 2025. március 22. napon) 2. o.
[55] Adatrendelet (17) preambulumbekezdés.
[56] Adatrendelet 1. cikk (4) bekezdés.
[57] Adatrendelet 2. cikk (31) bekezdés.
[58] Adatrendelet 2. cikk (1) bekezdés.
[59] Kollár Gergő, Az adathasznosítás adatfogalmának meghatározási lehetőségei. Közigazgatási és Infokommunikációs Jogi PhD Tanulmányok, 2024, 16. o.
[60] Adatrendelet (15) preambulumbekezdés.
[61] Adatrendelet (15) preambulumbekezdés.
[62] Európai Bizottság: Az adatmegosztási jogszabály ismertetése, 54. lj. alatt hivatkozva, 3. o.
[63] Adatrendelet (15) preambulumbekezdés.
[64] Európai Bizottság: Az adatmegosztási jogszabály ismertetése, elérhető itt: https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained 54. lj. alatt hivatkozva, 3. o.
[65] Adatrendelet (16) preambulumbekezdés.
[66] Tóth András, A digitális átalakulás szabályozása az Európai Unióban. Budapest, 2024. 110-112. o.
[67] Szilágyi, 12. lj. alatt hivatkozott mű, 580. o.
[68] Simon Geiregat, The Data Act: Start of a New Era for Data Ownership? elérhető itt: https://ssrn.com/abstract=4214704 (Letöltve 2025. március 22. napján) 17. o.
[69] Adatrendelet 2. cikk (13) bekezdés.
[70] Geiregat, 68. lj. alatt hivatkozott mű, 18. o.
[71] Európai Bizottság Könyvtár, 52. lj. alatt hivatkozva, 12. o.
[72] Adatrendelet 3. cikk (1) bekezdés és 50. cikk.
[73] Adatrendelet 3. cikk (1) bekezdés.
[74] Adatrendelet (22) preambulumbekezdés.
[75] Adatrendelet 4. cikk (1) bekezdés.
[76] Adatrendelet (20) preambulumbekezdés.
[77] Adatrendelet 50. cikk.
[78] Adatrendelet (21) preambulumbekezdés.
[79] Adatrendelet (29) preambulumbekezdés.
[80] Adatrendelet (21) preambulumbekezdés.
[81] Adatrendelet 4. cikk (4) bekezdés és (38) preambulumbekezdés.
[82] Adatrendelet 4. cikk (5) bekezdés.
[83] Adatrendelet 5. cikk (1) bekezdés és (46) preambulumbekezdés.
[84] Adatrendelet (7) preambulumbekezdés
[85] Fondia, Data Act and GDPR interplay, elérhető itt: https://fondia.com/en/en/insights/articles/data-act-and-gdpr-interplay (Letöltve 2025. március 23. napján)
[86] Nadezhda Purtova, The law of everything. Broad concept of personal data and future of EU data protection law. Law, Innovation and Technology, 2018, 80. o.
[87] Freshfields, When GDPR and Data Act clash: what Businesses need to know, elérhető itt: https://technologyquotient.freshfields.com/post/102j51u/when-gdpr-and-data-act-clash-what-businesses-need-to-know (letöltve 2025. március 23. napon)
[89] Schultz Márton, Az anonimizálás és az újraazonosítás aktuális kérdései, különös tekintettel a bírósági határozatok felismerhetetlenné tételére. In Medias Res. 2024. 97-98. o.
[90] Az Európai Bíróság C-582/14. sz. határozata [44] bekezdés.
[91] Az Európai Bíróság C-582/14. sz. határozata [46] bekezdés.
[92] Az Európai Bíróság C-479/22. P. sz. határozata [48] bekezdés.
[93] Az Európai Bíróság C-479/22. P. sz. határozata [51] bekezdés.
[94] Az Európai Bíróság C-604/22. sz. határozata [51] bekezdés.
[95] Az Európai Bíróság C-319/22. sz. határozata [44]-[48] bekezdés.
[96] Az Európai Bíróság C-319/22. sz. határozata [49] bekezdés.
[97] Az Adatvédelmi biztos ABI 2004, 41. sz. döntése.
[98] A Nemzeti Adatvédelmi és Információszabadság Hatóság NAIH-2512/2012/V. sz. állásfoglalása.
[99] Kúria 103.K.703.004/2022/16. [20] és [22] bekezdések.
[100] Az Európai Törvényszék T-557/20. sz. határozata.
[101] Főtanácsnoki indítvány az Európai Bíróság előtti C-413/23 P. sz. ügyben [57] bekezdés.
[102] EDPB Guidelines 1/2025. on pseudonymisation. Elérhető itt: https://www.edpb.europa.eu/system/files/2025-01/edpb_guidelines_202501_pseudonymisation_en.pdf (Letöltve 2025. március 28. napján)
[103] Kúria Pfv.20954/2018/6. [18] bekezdés.
[104] WP29 4/2007. sz. vélemény a személyes adat fogalmáról, elérhető itt: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2007/wp136_hu.pdf (letöltve 2025. március 24. napon) 22. o.
[105] A Nemzeti Adatvédelmi és Információszabadság Hatóság NAIH/2020/1839/10. sz. határozata.
[106] EDPB-EDPS Joint Opinion 2/2022 on the Proposal of the European Parliament and of the Council on harmonised rules on fair access to and use of data (Data Act), elérhető itt: https://www.edpb.europa.eu/system/files/2022-05/edpb-edps_joint_opinion_22022_on_data_act_proposal_en.pdf (letöltve 2025. március 30. napon) 2. o.
[107] Ehelyütt fontosnak tartom megjegyezni, hogy az álnevesítés bizonytalan joggyakorlati megítélése miatt a teljes anonomizáció a legbiztonságosabb technológia az adatok személyesadat-jellegétől való megfosztása érdekében.
[108] Európai Bizottság Könyvtár, 52. lj. alatt hivatkozva, 11. o.
[109] Adatrendelet (24) preambulumbekezdés.
[110] Adatrendelet (22) preambulumbekezdés.
[111] Fondia, 85. lj. alatt hivatkozott mű.
[112] Adatrendelet (7) preambulumbekezdés.
[113] EDPB-EDPS Joint Opinion 2/2022 on the Proposal of the European Parliament and of the Council on harmonised rules on fair access to and use of data (Data Act), 106. lj. alatt hivatkozott mű, 44. pont.
[114] Axel Metzger and Heike Schweitzer, Shaping Markets: A Critical Evaluation of the Draft Data Act. elérhető itt: https://ssrn.com/abstract=4222376 (letöltve 2025. március 23. napon) 28-29. o.
[115] Adatrendelet (23) preambulumbekezdés.
[116] Bárbara da Rosa Lazarotto, The Right to Data Portability: A Holistic Analysis of GDPR, DMA and the Data Act. European Journal of Law and Technology. 2024. elérhető itt: https://ejlt.org/index.php/ejlt/article/view/988/1087 (Letöltve 2025. március 28. napján)
[117] Tommaso Crepax, Mitisha Gaur, Barbara da Rosa Lazarotto, Measuring data access and re-use in the European Legal Framework for Data, from the General Data Protection Regulation (GDPR) law to the Proposed Data Act: the case of vehicle data, elérhető itt: https://open-research-europe.ec.europa.eu/articles/3-192 (Letöltve 2025. március 23. napján) 22. o.
[118] Adatrendelet (24) preambulumbekezdés.
[119] Mahsouli Farid, A Data Act to reconcile stakeholders' tensions arising from Data portability? Critical analysis of the Commission's proposal from a consumer's point of view. Tilburg, 2024. 22. o.
[120] Bárbara da Rosa Lazarotto, 116. lj. alatt hivatkozott mű.
[121] Inge Graef and Martin Husovec: Seven Things to Improve in the Data Act. Elérhető itt: https://ssrn.com/abstract=4051793 (Letöltve 2025. március 23. napján)
[122] Bárbara da Rosa Lazarotto, 116. lj. alatt hivatkozott mű.
Lábjegyzetek:
[1] A szerző doktoranda, ELTE ÁJK.
Visszaugrás
