A sajtóban 1998 tavaszán nagy port kavart az az ügy, amelyben egy tizenhárom éves dávodi kislány terhesség-megszakítását kívánták megakadályozni személyes adatainak és magántitkának fölhasználásával. Az azóta indult polgári és büntető perekben mára jogerős ítéletek születtek. A személyiségi jogi perben hozott döntésében a Legfelsőbb Bíróság megállapította, hogy az Alfa Magzat-, Csecsemő-, Gyermek- és Családvédelmi Szövetség képviselői jogosulatlanul tettek bejelentést a terhesség-megszakítást végző kórház, valamint az illetékes gyámhatóság felé, megsértve ezzel a kiskorúnak a magánélet sérthetetlenségéhez fűződő személyiségi jogát. A büntetőbíróság másodfokon fölmentette a vádlottakat a különleges személyes adatokkal való visszaélés vétségének vádja alól.
Az adatvédelmi biztos ajánlása és a jogerős bírói határozatok alapján e tanulmányban az esetet kizárólag adatvédelmi szempontból elemezzük, s azt vizsgáljuk, hogy a büntetőjog és a polgári jog eszközei alkalmasak-e a magánélet hatékony védelmére.
Előre kell bocsátanom, hogy az adatvédelmi ítélkezésnek sem a polgári jogban, sem a büntetőjogban nincsenek igazán kitaposott ösvényei. A polgári jog, ezen belül a személyiségi jog lehetővé teszi ugyan az adatvédelmi tárgyú ítélkezést, a bíróság azonban a magánélet védelmét az általam tárgyalt esetben is az általános személyiségi jog egyik aspektusaként kezeli. A büntetőbíróságok gyakorlata igen szegényes és alapvető dogmatikai problémákkal küszködik, annak ellenére, hogy a Büntető törvénykönyv két tényállásban is büntetni rendeli a személyes adatokkal való visszaélést.
A személyiségvédelem hatékony megvalósítása érdekében nem mondhatunk le a jogvédelem egyik formájáról sem. A polgári jog - jellege folytán - elsősorban az okozott kár megtérítésére, a sérelem enyhítésére, míg a büntetőjog represszív szankciók alkalmazásával a jogsértés megtorlására irányul. A gyakorlaton keresztül jelezzük a mindkét területen meglévő hiányosságokat, a legfontosabb módosítási javaslatok megtétele mellett.
A személyes adatok védelméhez fűződő jog mindenkit megillet. Az Alkotmánybíróság az adatvédelemhez való jogot - annak pozitív oldalát is figyelembe véve - információs önrendelkezési jogként határozza meg, s az alkotmány emberi méltóságra vonatkozó rendelkezéseiből, valamint az 59. §-ában nevesített személyes adatok védelméhez fűződő jogból vezeti le.
A 15/1991. (IV. 13.) AB határozat alapján az információs önrendelkezési jog tartalma az, hogy mindenki maga rendelkezik személyes adatainak feltárásáról és felhasználásáról. Az adatvédelemhez való jog pozitív oldala azt jelenti, hogy nemcsak személyes adataink védelméhez van jogunk, de minden ránk vonatkozó információt megismerhetünk, és mi határozhatjuk meg, ki és milyen feltételekkel juthat személyes adataink birtokába. Az információs önrendelkezési jogot mindenki köteles tiszteletben tartani. Az információs önrendelkezési jog legfontosabb garanciája a célhoz kötöttség. Ennek megfelelően csak pontosan meghatározott és jogszerű célra történhet adatfelvétel és adatkezelés. Az érintett beleegyezése nélküli, új célú feldolgozás csak akkor jogszerű, ha meghatározott adatra és feldolgozóra nézve a törvény kifejezetten megengedi. A másik alapvető garancia az adattovábbítás és az adatok nyilvánosságra hozatalának korlátozása. Személyes adatot az érintetten és az eredeti adatfeldolgozón kívül harmadik személy számára hozzáférhetővé tenni csak akkor szabad, ha minden egyes adat vonatkozásában teljesül az adattovábbítást megengedő összes feltétel. Az adattovábbítás címzettje az érintett beleegyezésének birtokában vagy konkrét törvényi felhatalmazás alapján dolgozhatja fel a továbbított adatot. Az adatvédelmi törvény szerint az egészségügyi állapotra vonatkozó adatok különleges adatnak minősülnek, amelyek csak akkor kezelhetők jogszerűen, ha ahhoz az érintett írásban hozzájárul vagy azt törvény elrendeli.[1]
Az adatvédelmi biztos vizsgálatot folytatott a dávodi ügyben és megállapította, hogy az Alfa Szövetség részéről jogellenes adatkezelés történt.[2] A társadalmi
- 76/77 -
szervezet megsértette a kiskorúnak a személyes adatai védelméhez fűződő jogát azzal, hogy az érintett, illetve törvényes képviselőjének tudta és beleegyezése nélkül továbbította személyi és egészségügyi adatait a terhesség-megszakítást végző kórháznak és az illetékes gyámhatóságnak. A jogsértés különösen súlyos azért is, mert az nem csupán az érintettek akaratával szemben, de amint az a jogerős ítélet által megállapított tényállásból kiderül, kifejezett tiltakozásuk ellenére történt.
Az adatvédelmi törvény alapján személyes adat kezelhető akkor is, ha azt törvény elrendeli. Az egészségügyi adatok kezelésére törvényi felhatalmazást az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló 1997. évi XLVII. törvény ad. Az Alfa Szövetség nem egészségügyi ellátást végző intézmény, így adatkezelése csak akkor jogszerű, ha ahhoz az érintett személy hozzájárulását adta. Tekintettel arra, hogy az egészségügyi állapotra vonatkozó adatok érzékeny adatnak minősülnek, az adatkezelés írásbeli hozzájárulást igényel. Mivel a szövetségnek sem írásbeli hozzájárulása nem volt az adatok kezeléséhez, sem törvényi felhatalmazása, így egyértelműen jogellenesen kezelte a kiskorú személyes adatait.
A Legfelsőbb Bíróság jogerős ítélete[3] szerint az Alfa Szövetség a felperesek személyhez fűződő jogait sértette meg, mivel indokolatlanul és szükségtelenül tett bejelentést a kórház és a gyámhatóság felé. A Polgári törvénykönyv 75. § (1) bekezdése alapján a személyhez fűződő jogokat mindenki köteles tiszteletben tartani. A magánéletet mint a személyhez fűződő jogok egyik legfőbb elemét a Polgári törvénykönyv idézett rendelkezése abszolút hatállyal, mindenkivel szemben védelemben részesíti. A magánéletbe való beavatkozás akkor sért személyiségi jogot, ha az önkényes, indokolatlan és szükségtelen. Önkényes a beavatkozás, ha az érintettek akaratával, szándékával kifejezetten ellentétes, illetve ha arról az érintettnek nincs tudomása és a beavatkozást a gondosan mérlegelt körülmények sem indokolják. Az ítélet rámutat arra, hogy az Alfa Szövetség képviselőinek nem volt megalapozott információjuk arról, amire beavatkozásukat alapozták: a kiskorú felperes akaratának pszichikai kényszerrel való megtöréséről. Vele a szervezet képviselői soha nem találkoztak. Az Alfa Szövetség azért sem hivatkozhat beavatkozásának indokoltságára, mert az ügyben közvetlenül érintett, az esettel hivatásszerűen foglalkozó személy, a családsegítő szolgálat munkatársa a beavatkozást nem tartotta szükségesnek. Így a szövetség képviselőinek kételyei a tényekből nem következő feltételezések voltak, amelyek önkényességük miatt megsértették a felperesek magánélethez fűződő jogát. A bíróság megállapította azt is, hogy a szövetség megsértette a kiskorú törvényes képviselőjének azon jogát és kötelességét, amely gyermekének a jogai gyakorlásához szükséges iránymutatása és tanácsadása tekintetében áll fenn.
A polgári ügyben eljáró bíróság ugyanakkor nem találta a magánéletbe való önkényes beavatkozásnak az alperes káplán magatartását. Az indokolás szerint az, hogy a káplán magzat- és gyermekvédelemmel foglalkozó társadalmi szervezethez fordult, az adott körülmények között nem volt megalapozatlan és önkényes, mert a beavatkozás idején a kiskorúnak még kételyei voltak a magzat megtartásával kapcsolatban. Az írott és elektronikus sajtó fellépése által okozott további hátrányokat nem lehetett az alperes terhére figyelembe venni, érveltek a bírák, mert nem volt kimutatható okozati összefüggés magatartása és e hátrányok között.
A magánélet védelmének joga explicit módon nem található meg alkotmányunkban, és a polgári jogi személyiségvédelem is csak az utóbbi időben született ítéletek alapján látszik alkalmasnak arra, hogy a magánszféra sérelmeire jogi védelmet nyújtson. Az Alkotmánybíróság a személyiség védelmét az emberi méltósághoz való jogból származtatja, s az emberi méltósághoz való jogot azonosítja az általános személyiségi joggal és egyes megnevezett részjogosítványaival. A magánszféra védelméhez való jog ezen részjogosítványok között szerepel a jó hírnévhez, a személyiség kibontakozásához és a cselekvési szabadsághoz való jog mellett.[4] A magánélet explicit védelme hiányzik a Polgári törvénykönyvből is, amelyben szintén csak a magánszféra egyes aspektusai szerepelnek: a magántitok, a levéltitok, a magánlakás védelme mint nevesített személyiségi jog.
A magánélet sérthetetlensége láthatóan nem elég domináns jogunkban, pedig a múlt századi emberi jogi dokumentumok mindegyike deklarálja azt. Témánk szempontjából pedig különös jelentősége is van, hiszen a magánszféra védelme szoros kapcsolatban áll a személyes adatok védelméhez való joggal. Az adatvédelmi biztos ajánlásának a polgári ítélettel való összevetése során láthatjuk, hogy míg az ombudsman az adatvédelmi törvény rendelkezéseire támaszkodva nyújt védelmet, a bíróság a Polgári törvénykönyv általános személyiségi jogával érvel.
Az ajánlás és az ügyben született jogerős ítélet ismeretében a következő megállapításokra juthatunk.
Az adatvédelmi biztos ajánlásában nem az alkotmány rendelkezéseire, hanem pozitív jogra, az adatvédelmi törvényre támaszkodik, és legfontosabb érve az információs önrendelkezési jog védelme. A polgá-
- 77/78 -
ri eljárás során született ítélet középpontjában a magánélet sérthetetlensége mint személyiségi jog áll. Az ajánlás és az ítélet közötti másik lényeges eltérés az adatvédelmi szabályozás egyik pozitív vonására mutat rá: a személyes adat törvényi meghatározása lehetőséget ad e fogalom tág értelmezésére és így pusztán az adatvédelmi törvény alapján is megállapítható az érintett kiskorú és édesanyja személyiségi jogainak sérelme. A harmadik eltérés viszont a hatályos adatvédelmi törvény jelentős fogyatékosságára hívja fel a figyelmet. Míg direkt marketing célra bármely gazdálkodó szervezet vásárolhat személyes adatokat a Belügyminisztérium adatnyilvántartásából, addig ezzel a lehetőséggel a karitatív szervezetek nem élhetnek.
A magánélet védelméhez való jog angolszász megfelelője a right to privacy: elsődlegesen az ember személyes szférájának védelmét jelenti, amely magában foglalja a háborítatlan magán- és családi élethez, a fizikai és lelki integritáshoz, a becsület, a jó hírnév és a személyes identitás védelméhez való jogot, s privacy study alatt olyan tanulmányokat is ért az amerikai jogtudomány, amelyek az abortusz és az eutanázia kérdéseivel foglalkoznak. A magyar jog alapján értelmezhető magánszféra és az angolszász privacy között különbséget tehetünk aszerint, hogy megítélésüknél és határaik megvonásánál mennyire számít maga a személyiség és mennyire a személyiségnek a társadalommal való kapcsolata, a társadalom értékítélete. A Polgári törvénykönyv által védett személyhez fűződő jog esetében a társadalmi viselkedési normák és elvárások sokkal inkább befolyásolják a személyiségsérelmek megítélését, mint az angolszász jogrendszerben. Ez utóbbiban a hangsúly ugyanis a sérelem elszenvedőjén van, illetve azon, hogy a jog alanya mit és milyen mértékben tekint személyiségi joga sérelmének. A szubjektum az angolszász privacy esetében sokkal meghatározóbb.
Az adatvédelmi jog a magánélet védelméhez fűződő jogból alakult ki, de a hagyományos, nevesített személyiségi jogok többsége, mint a magánlakás sérthetetlenségéhez, a levéltitokhoz és a magántitokhoz való jog is szoros kapcsolatban áll vele. A magánszféra és a személyes adatok védelméhez fűződő jog fejlődése a második világháborút követően vált intenzívvé, párhuzamosan az emberi jogok felértékelődésével és azoknak a nemzetközi dokumentumokban és a nemzeti alkotmányokban való rögzítésével.
Az Emberi jogok egyetemes nyilatkozatának 12. cikke deklarálja a magánélet védelméhez való jogot: "Senkinek magánéletébe, családi ügyeibe, lakóhelye megválasztásába vagy levelezésébe nem szabad önkényesen beavatkozni [...] Minden személynek joga van az ilyen beavatkozásokkal vagy sértésekkel szemben a törvény védelméhez."[5] Az Emberi jogok európai egyezménye szerint pedig mindenkinek joga van arra, hogy magán- és családi életét, lakását és levelezését tiszteletben tartsák.[6] A nemzetközi emberi jogi dokumentumok közvetlenül nem említik a személyes adatok védelméhez való jogot, annak elismerése csak a múlt század hatvanas éveiben vált egyre sürgetőbbé. A legkorábbi nemzetközi adatvédelmi egyezmények ezért csupán a gépi adatfeldolgozásra és a közigazgatási adatkezelésre terjedtek ki. A védelem legfontosabb része az volt, hogy az egyének államhatalommal szembeni autonómiáját biztosítsák. Ezt az elvet tükrözi az Európa Tanács keretében, 1981-ben született adatvédelmi egyezmény is.[7]
Az adatvédelmi jog fejlődéstörténetében jelentős lépést jelent a 2000 decemberében Nizzában elfogadott alapvető jogok kartája, amely nemcsak a magánélet védelméhez fűződő jogot, hanem a személyes adatok védelméhez való jogot is deklarálja.[8] Ezzel nevesített alapjoggá vált a személyes adatok védelme az Európai Unió jogában, s ez az egyetlen olyan emberi jog, amelynek érvényesülését a karta minden államban kötelezően létrehozandó független hatóságra bízza. A fönti dokumentum és az Európai Unió adatvédelmi irányelve[9] határozza meg ma az Unió tagállamai számára az adatvédelmi jogalkotás minimális követelményeit.
A privacy gyakorlati követelményei mára már szétfeszítik azokat a kereteket, amelyeket az első adatvédelmi dokumentumok meghatároztak. Az adatvédelmi jogalkotás célja a személyiség védelme volt, s ma az adatvédelmi törvények gyakorlati alkalmazása azt mutatja, az adatvédelem nemcsak a gépi adatfeldolgozásra, az állam és az egyén viszonyára terjed ki, hanem általában a személyek magánszférájának védelmét alapozza meg. Az adatvédelmi törvények a személyes adatok védelméhez fűződő jog alapfogalmait és alapvető intézményeit határozzák meg. Azzal, hogy az adott személlyel kapcsolatba hozható minden adat személyes adat és az adatkezelés elvei, garanciái minden személyre vonatkozó információra alkalmazandók, az adatvédelem betölti eredeti funkcióját: a személyiség és a magánszféra védelmét.
Az adatvédelmi törvény szerint a személyes adat definíciójának szűk értelme alapján csak a kiskorú személyes adatainak védelméhez fűződő joga sérült azzal,
- 78/79 -
hogy jogosulatlanul továbbították személyes adatait. Az adatvédelmi törvény meghatározása szerint személyes adat a meghatározott természetes személlyel kapcsolatba hozható adat, valamint az adatból levonható, az érintettre vonatkozó következtetés.[10] A személyes adat definíciója lehetőséget ad arra, hogy a kiskorú terhességére vonatkozó információt mint érzékeny adatot - mivel az a törvényes képviselővel is kapcsolatba hozható - közvetetten az édesanya személyes adatának is tekintsük. Az édesanya magánéletébe való önkényes beavatkozás viszont egyértelműen megállapítható az általános személyiségi jog alapján: a társadalmi szervezet beavatkozása megsértette a gyermeke nevelése körében fennálló azon jogát, hogy szabadon, saját erkölcsi megfontolása alapján nyújtson tanácsot gyermekének.
Az első- és másodfokú ítéletektől eltérően a Legfelsőbb Bíróság szerint az alperes káplán nem avatkozott önkényesen a felperesek magánéletébe. Ha az adatvédelmi törvénynek az adatkezelés jogszerűségére vonatkozó rendelkezéseit vesszük figyelembe, a káplán - ugyanúgy, mint a karitatív szervezet - jogellenesen kezelt személyes adatot, mivel a kiskorú egészségügyi adatának kezelésére sem törvényes, sem a jogosulttól származó írásbeli felhatalmazással nem rendelkezett. Megállapítható, hogy a káplán az adatokat nem a törvényben előírtak szerint kezelte, az adatvédelmi előírásokat ő is megsértette, a bíróság az ő esetében mégsem állapította meg a magánéletbe való önkényes beavatkozást. Ez az ellentmondás az adatvédelmi jogi szabályozás egy igen komoly fogyatékosságára mutat rá, amelyet az adatvédelmi biztos is kiemelt az üggyel kapcsolatos ajánlásában.
A személyes adatok kezelésére vonatkozó törvényi felhatalmazások egy része, mint például az egészségügyi adatok kezelésével kapcsolatos felhatalmazás az adatalany, másik része a jogosult adatkezelő érdekeit szolgálja. Tipikusan ez utóbbi kategóriába tartozik az a törvényi rendelkezés, mely lehetővé teszi, hogy gazdálkodó szervezetek közvetlen üzletszerzés, direkt marketing céljára személyes adatokat vásároljanak a Belügyminisztérium adatnyilvántartó hivatalától.[11] A törvényi felhatalmazás súlyos hiányossága viszont, hogy nem biztosít hasonló lehetőséget arra, hogy karitatív szervezetek hasonló módon tudják fölvenni a kapcsolatot az állampolgárokkal. Ennek következtében az üzletszerzési céllal adatokat vásárlók szélesebb körben jogosultak az állampolgárok adatainak kezelésére, mint a jótékony célú szervezetek.
Ez a hiányosság azért is jelentős, mert bár az Európai Unió irányelve a különleges személyes adatok feldolgozását szigorú feltételekhez köti és főszabály szerint megtiltja a tagállamok számára, az irányelvben felsorolt kivételek között mégis szerepel a nem haszonszerzési céllal működő szervezetek személyes adatok kezelésére való feljogosítása. A felhatalmazásnak természetesen szigorú keretei vannak: az adatok feldolgozása kizárólag a szervezet tagjait érintheti vagy a szervezet céljait tekintve azzal rendszeres kapcsolatban álló személyeket, s az adatot harmadik személynek nem továbbíthatják.[12] Az irányelvben foglalt szabályozás megfontolandó a magyar jogalkotó számára is, tekintve, hogy az adatvédelmi jog is a harmonizálandó joganyag része.
Ehhez hasonló felhatalmazás hiányában a magyar jog alapján a karitatív szervezetekre ugyanazon adatvédelmi rendelkezések vonatkoznak, mint bármely más jogalanyra, s csak akkor láthatják el tevékenységüket az érintett személyes adatai birtokában, ha ahhoz az adatalany beleegyezését adja. Erre a beleegyezésre akkor is szükség van, ha a jótékony szervezet nem közvetlenül az érintettől, hanem harmadik személyen keresztül jut személyes adat birtokába.
A tárgyalt ügy kapcsán is hangsúlyozandó az, hogy a karitatív szervezetek is kötelesek az érintettek kíméletével és azok önrendelkezési jogának tiszteletben tartásával ellátni feladataikat. A személyes adatok felhasználásával történő segítségnyújtás nem lehet ellentétes az érintett akaratával. Ennek az elvnek még akkor is érvényesülnie kell, ha a jog kifejezett felhatalmazást ad az adatok kezeléséhez anélkül, hogy ehhez megkövetelné az érintett hozzájárulását.
Az ügyben indult büntetőeljárásban a bíróság a jogszerűtlen adatkezelés és a különleges személyes adatokkal való visszaélés bűncselekmények elkövetéséért való felelősséget vizsgálta. A Büntető Törvénykönyv 177/A. §-ának és 177/B. §-ának[13] alkalmazása számos dogmatikai problémát vet föl, ami magyarázatul szolgálhat arra, hogy miért hiányzik e rendelkezések következetes esetjoga. A hiányosság egyik oka az adatvédelem fogalomrendszere terén az elmúlt évtized első éveiben tapasztalható bizonytalanság volt, amit tovább súlyosbított az adatkezelő és adatfeldolgozó kategóriájának az elválasztása. Csupán az adatvédelmi törvény 1999-es módosításakor határozta meg a jogalkotó az adatfeldolgozó és az adatfeldolgozás fogalmát. Eszerint adatfeldolgozó az, aki az adatkezelő megbízásából szemé-
- 79/80 -
lyes adatok feldolgozását végzi, az adatfeldolgozás pedig az adatkezelési műveletek, technikai feladatok elvégzését jelenti. A jogalkotó célja a törvénymódosítással az volt, hogy a 95/46/EC irányelvnek[14] megfelelően az adatkezelő mellett olyan alany is megjelenjen a törvényben, aki pusztán az adatkezelő által meghatározott célból, módon és keretek között kezelhet adatot. Az adatfeldolgozó által végzett jogellenes adatkezeléssel okozott kárért is az adatkezelő felel. Az adatkezelő és adatfeldolgozó kategóriáinak elválasztása következtében került be a Büntető Törvénykönyv 177/A. és 177/B. szakaszaiba az a kitétel, hogy jogellenes adatkezelést kizárólag adatkezelő vagy adatfeldolgozó követhet el, amelynek következtében az információs önrendelkezési jog egyik fontos garanciája, a büntetőjogi védelem nem érvényesül a kívánt mértékben.
A Büntető Törvénykönyvbe foglalt jogosulatlan adatkezelés törvényi tényállás vétségi alakzatának és a különleges személyes adatokkal való visszaélés bűntetti alakzatának az alanya speciális: e tényállások alapján csupán adatkezelő vagy adatfeldolgozó vonható felelősségre.
Az általam vizsgált ügyben a bíróság azt állapította meg, hogy az Alfa Szövetség képviselői nem minősülnek adatkezelőnek, következésképpen nem követhették el a jogellenes adatkezelés vétségét és a különleges személyes adatokkal való visszaélés bűntettét. Az indokolás szerint a Büntető Törvénykönyv 177/A. §-ában meghatározott cselekmény elkövetője csak adatkezelő lehet. A bíróság megállapítása szerint az egészségügyi és a hozzá kapcsolódó személyes adatok kezeléséről és védelméről szóló 1997. évi XLVII. törvény "világos rendelkezést tartalmaz arra nézve, ki minősül az egészségügyi adatok tekintetében adatkezelőnek".[15] A bíróság tehát kizárólag az említett törvényben felsoroltakat tekinti az egészségügyi adatok szempontjából adatkezelőknek. Ennek alapján jutott a bíróság arra a hibás következtetésre, melyet a másodfokon eljáró tanács is megalapozottnak talált, hogy a vádlottak nem adatkezelők.[16] A törvényi tényállás speciális alanya a bíróság szerint az adatkezelő, illetve az adatfeldolgozó.
Az adatkezelő és az adatfeldolgozó meghatározása viszont nem az egészségügyi adatok kezeléséről szóló törvényben, hanem az adatvédelmi törvényben található. Ennek értelmében adatkezelő az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely a személyes adatok kezelésének célját meghatározza, az adatkezelésre vonatkozó döntéseket meghozza és végrehajtja, illetve a végrehajtásával adatfeldolgozót bízhat meg.[17] Bárki lehet adatkezelő, hiszen adatkezelő az, aki adatkezelési műveletet végez. Az adatkezelés pedig az alkalmazott eljárástól függetlenül a személyes adatok gyűjtése, tárolása, felvétele, feldolgozása, hasznosítása (ideértve a továbbítást és a nyilvánosságra hozatalt), valamint törlése.[18] Adatkezelésnek minősül a személyes adatok vonatkozásában végezhető minden művelet, az adatokba való betekintés is. A kiskorú egészségügyi adatai szenzitív adatok, az adatok felvétele és továbbítása pedig adatkezelés. Így tehát az, aki személyes adatokat fölvesz és továbbít, az adatot kezel, így e magatartása következtében adatkezelőnek minősül.
Az adatkezelés csak a törvény által adott felhatalmazás vagy az érintett hozzájárulása alapján minősülhet jogszerűnek.[19] Ez az információs önrendelkezési jog megvalósításának elengedhetetlen feltétele. Aki törvényi felhatalmazással vagy az érintett hozzájárulásával, érzékeny adat esetében írásbeli hozzájárulásával nem rendelkezik, az jogosulatlanul kezel személyes adatot. De ettől függetlenül is, önmagában a törvényi definíció alapján adatkezelőnek minősül. Ha nem így lenne, akkor a büntetőjogi rendelkezés indokolatlanul és egyben logikátlanul csak azokat sújtaná a jogellenes adatkezelés szankcióival, akik úgy valósítják meg a törvényi tényállásban meghatározott cselekmények valamelyikét, hogy eredetileg joguk van adatok kezelésére. Ha például az, aki az érintett tudomásával és felhatalmazásával jut érzékeny adatok birtokába, de azt a céltól eltérően használja fel, mivel adatkezelőnek minősül, elkövetheti a jogosulatlan adatkezelés vétségét. Ha viszont úgy jutott ugyanezen adatokhoz, hogy arról az érintett nem tudott és ahhoz hozzájárulását nem adta, akkor, nem lévén adatkezelő, eleve kizárt lenne, hogy ezt a bűncselekményt elkövesse. Az adatkezelőnek mint a bűncselekmény speciális alanyának a meghatározásakor tehát azt kell figyelembe venni, ki minősül adatkezelőnek az adatvédelmi törvény alapján.
Az egészségügyi adatok kezeléséről szóló törvénynek a bíróság által idézett rendelkezései nem az adatkezelők teljes körét, hanem csupán azon adatkezelőket határozzák meg, amelyek a törvény felhatalmazása alapján jogosultak e tevékenység végzésére. Ez a felhatalmazás az adatvédelmi törvény azon rendelkezéséből fakad, amely szerint személyes adat akkor kezelhető, ha ahhoz az érintett hozzájárul, azt a törvény vagy törvényi felhatalmazás alapján helyi önkormányzati rendelet elrendeli. A törvényben megjelölt adatkezelők tehát az érintettek hozzájárulásának hiányában törvényi felhatalmazás alapján kezelik az egészségügyi adatokat. Az a természetes vagy jogi személy, aki vagy amely a listán nem szerepel, de az érintett írásbeli hozzájárulásával bír, szintén jogszerű
- 80/81 -
adatkezelőnek tekintendő. Az viszont, aki adatkezelést végez törvényi felhatalmazás vagy írásbeli hozzájárulás nélkül, jogszerűtlenül kezeli a szenzitív adatot, de attól még adatkezelő.
Megjegyzendő, hogy egy korábban született bírósági ítélet is az adatvédelmi törvény definíciójára támaszkodik akkor, amikor azt vizsgálja, a személyes adatokkal visszaélők adatkezelők-e.[20] A bíróság jogértelmezése alapján egy 2000. évi ítéletben az a rendőr főnyomozó beosztású vádlott, aki rendszeresen fölkereste a rendőrkapitányságon dolgozó adatrögzítőket, arra kérve őket, hogy az általa megadott személyek büntetett előéletére, továbbá lakcímére vonatkozó adatlapokat szerezzék be a részére, adatkezelőnek minősült. A bíróság ebben az ügyben az adatvédelmi törvényre hivatkozva állapította meg, hogy az tekinthető adatkezelőnek, aki a törvényben meghatározott adatkezelési tevékenységet végzi vagy mással végezteti. Ez az adatkezelési tevékenység az adatok felvétele, tárolása, feldolgozása, hasznosítása, továbbítása és nyilvánosságra hozatala. A bíróság ebben az esetben a vádlott terhére mind a jogosulatlan adatkezelés, mind a különleges személyes adatokkal való visszaélés vétségének, illetve bűntettének elkövetését megállapította.
Nincs jogszabályi alapja annak, hogy az adatkezelő kategóriáját azon személyekre korlátozzuk, akik törvényi felhatalmazás alapján végzik e tevékenységet. A jogosulatlan adatkezelés vétségét, valamint a különleges személyes adatokkal való visszaélés bűntettét és vétségét bárki elkövetheti, aki személyes adatot kezel. Amennyiben a jogalkotó eltérő módon rendeli büntetni a törvényi felhatalmazás alapján személyes adatokat kezelőket azoktól, akik e tevékenységet az érintett hozzájárulásával vagy annak hiányában végzik, azt pontosan, az adatvédelmi törvény által meghatározott fogalomrendszernek megfelelően kell kifejezésre juttatnia. A jelenlegi törvényszövegből ugyanis nem következik az adatkezelő fogalmának szűkítése, az adatkezelő és adatfeldolgozó szétválasztásának szükségessége.
Nyilvánvaló, hogy a büntető ítélkezés nehézségeit a törvényi tényállás számos hiányossága, továbbá az okozza, hogy fogalomrendszere nincs összhangban az adatvédelmi törvényben meghatározottakkal. Az adatvédelmi biztos a fönti problémákra tekintettel foglalta össze ajánlásában lényeges módosító javaslatait.[21]
1. A jogalkotó a Büntető Törvénykönyv jogosulatlan adatkezelésre vonatkozó tényállása kapcsán túl tágan húzza meg a büntethetőség határát. A személyes adatok, az adatkezelés, valamint az adatkezelő tág törvényi fogalma következtében igen gyakran követnek el a jogellenes adatkezelés törvényi tényállásának megfelelő cselekményeket, és sok esetben nem indokolt a büntetőjogi fenyegetettség. A büntetőjogi fenyegetés akkor szükséges, ha jogellenes adatkezelés az elkövetés más körülményeivel társul. Ezekben az esetekben a büntetőjogi igény érvényesítése szigorúan megkövetelendő. A szabályozás jelenlegi hiányossága viszont oda vezet, hogy nemcsak a kisebb súlyú, hanem a komoly jogsérelmet okozó jogellenes adatkezelések is szankció nélkül maradnak. Indokolt tehát a büntetőjogi védelmet azokra az esetekre korlátozni, amikor súlyos jogsértés valósul meg, és ezekben az esetekben következetesen érvényre kell juttatni a büntetőjogi jogkövetkezményeket.
Az adatvédelmi biztos szerint a következő esetekben indokolt a büntetőjogi fenyegetés fenntartása: ha a jogellenes adatkezelés jelentős érdeksérelmet okoz, a társadalomra veszélyessége összességében nagy, ha különleges adatok vonatkozásában valósul meg vagy ha azt az adatkezelő vagyoni előny megszerzésére használja. Szigorúbban kell büntetni azokat, akik foglalkozásuknál fogva titoktartásra kötelezettek.
2. Az elkövetés további körülményeinek a meghatározása is komoly nehézségeket okoz. Így például némely szenzitív adat tekintetében megkérdőjelezhető a büntetőjogi védelem indokoltsága. A nemzeti vagy etnikai hovatartozásra vonatkozó adatok csak meghatározott körülmények esetén vonnak maguk után jelentősebb érdeksérelmet, míg az olyan információk, amelyek az anyagi helyzetre, a szegénységre, a munkanélküliségre vonatkoznak, súlyosabb következményekkel társulhatnak. Ez a probléma már átvezet a szenzitív adat definíciója hiányosságainak témaköréhez. Az érzékeny adat meghatározásakor ugyanis figyelemmel kellene lenni annak szituatív voltára, vagyis arra, hogy eltérő körülmények között más és más számíthat különleges adatnak.
3. A személyes adatok továbbítása és nyilvánosságra hozatala - a személyes adatokkal kapcsolatos minden cselekménnyel együtt - az adatkezelés fogalomkörébe tartozik, külön említése emiatt szükségtelen. Minden esetben jogosulatlan az adatkezelés, ha a céltól eltér, ezért felesleges a tényállás részletezése is. Nincs oka ugyanakkor annak, hogy a személyes adatok jogellenes kezelése és a közérdekű adatok jogellenes eltitkolása ugyanazon tényállás részét képezze, a bűncselekmény jogi tárgya ugyanis egészen más. Az első esetben a személyes adatok védelméhez való jog, az utóbbiban az információszabadság. A jogalkotó az előbbiben a magánszférához és az emberi méltósághoz való jog érvényesülését, az utóbbiban a közügyek, az állami szervek működésének átláthatóságát, a demokratikus jogállam közvetlen kontrollját kívánja szolgálni.
4. Az információs önrendelkezési jogot ért sérelmek ritkán kerülnek bíróság elé. A polgári jognak nem az
- 81/82 -
a feladata, hogy az információs önrendelkezési jogot megvalósítsa, de hatékony és az önrendelkezés elvének leginkább megfelelő védelmet nyújt a jogsértés esetére. A reparatív jellegű szankció és a személyiségi jogsértésből keletkező igény személyesen történő érvényesítése közelebb áll az önrendelkezési jog lényegéhez, mint a büntetőjog represszív jogkövetkezményei. Mindemellett azonban a magánélet hatékony védelmét szolgálják a büntetőjogi jogkövetkezmények, ezért fontos, hogy a Büntető Törvénykönyv fogalomrendszere összhangban legyen az adatvédelmi törvénnyel, s következetes bírói joggyakorlat alakuljon ki a büntetőjogi fenyegetést ténylegesen igénylő adatvédelmi jogsértésekkel kapcsolatos ügyekben.
Az adatvédelmi törvény rendelkezései folyamatos értelmezést igényelnek. Ezt a feladatot eddig elsősorban az adatvédelmi biztos látta el. Az általam elemzett példával ellentétben a személyes adatok védelméhez való jog érvényesítésére ritkán kerül sor a bíróság előtt. A gyakorlat arra is rámutat: a jogalkotás és a jogalkalmazás közötti jó kapcsolat a záloga annak, hogy a gyakorlat ne csak jelezze a jogszabályok sokszor súlyos hiányosságait, de el is várhassa azok orvoslását. Csak így valósítható meg a szabályozás következetessége, a jogértelmezés egységessége. ■
JEGYZETEK
[1] A személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény (a továbbiakban: adatvédelmi törvény) 3. § (2) bekezdés.
[2] 231/A/1998 számú ajánlás.
[3] BH 2001. 61. Legf. Bír. Pfv: IV. 21.028/2000.
[4] 8/1990. (IV. 23.) AB határozat.
[5] Emberi jogok egyetemes nyilatkozata, 12. cikk.
[6] Emberi jogok európai egyezménye, 8. cikk.
[7] Convention for the Protection of Individuals with Regard to Automatic Processing of Personal Data, 1981. 01. 28. Az egyezményt az 1998. évi VI. törvény hirdette ki.
[8] 7. cikkely: Mindenkinek joga van ahhoz, hogy tiszteletben tartsák magánéletét és családi életét, otthonát és kapcsolattartását.
1. Mindenkinek joga van a rá vonatkozó adatok védelméhez.
2. Az ilyen adatokat korrekt módon kell feldolgozni meghatározott célokra és az érintett személy hozzájárulása alapján vagy valamilyen más, jogszabályban meghatározott törvényes okból. Mindenkinek joga van ahhoz, hogy hozzáférjen a róla gyűjtött adatokhoz, és joga van azokat kijavítani.
3. Ezeknek a szabályoknak a betartása felett független hatóság őrködik.
Az alapvető jogok kartájának magyar nyelvű fordítása: Fundamentum, 2001/1, 148-154.
[9] Az Európa Parlament és Tanács 95/46/EC irányelve az egyénnek a személyes adatok feldolgozásával kapcsolatos védelméről és ezeknek az adatoknak a szabad áramlásáról.
[10] Adatvédelmi törvény 2. § 1. pont.
[11] A kutatás és a közvetlen üzletszerzés célját szolgáló név- és lakcímadatok kezeléséről szóló 1995. évi CXIX. törvény 4. § (1) bekezdés.
[12] 8. cikk 2. d) pont: A feldolgozást alkalmas biztosítékok mellett jogszerű tevékenysége folyamán politikai, világnézeti, vallási vagy szakszervezeti célú alapítvány, egyesület, vagy bármely más, nem haszonszerzésre törekvő szervezet végzi olyan feltételek között, hogy a feldolgozás kizárólag a szervezet tagjait vagy annak céljaira nézve azzal rendszeres kapcsolatban álló személyeket érint, s az adatokat harmadik személynek az adatalany hozzájárulása nélkül nem továbbítják.
[13] Btk. 177/A. §. Jogosulatlan adatkezelés.
Az az adatkezelő vagy adatfeldolgozó, aki
a) jogosulatlanul vagy a céltól eltérően személyes adatot kezel,
b) személyes adatot jogellenesen továbbít vagy nyilvánosságra hoz,
c) személyes adatok kezelésére vonatkozó bejelentési kötelezettségét nem teljesíti,
d) személyes adatot az arra jogosult elől eltitkol,
e) kezelt személyes adatot meghamisít,
f) közérdekű adatot eltitkol vagy meghamisít,
vétséget követ el, és egy évig terjedő szabadságvesztéssel, közérdekű munkával vagy pénzbüntetéssel büntethető. Btk. 177/B. §. Különleges személyes adatokkal visszaélés.
(1) Aki a személyes adatok védelmére vonatkozó jogszabályban meghatározott adatkezelése során tudomására jutott különleges adatot
a) jogellenesen nyilvánosságra hozza,
b) jogosulatlanul felhasználja vagy illetéktelen személy részére hozzáférhetővé teszi,
bűntettet követ el, és három évig terjedő szabadságvesztéssel büntetendő.
(2) Aki különleges adatot maga vagy más részére jogosulatlanul megszerez, vétséget követ el, és két évig terjedő szabadságvesztéssel, közérdekű munkával vagy pénzbüntetéssel büntetendő.
[14] Lásd a 9. jegyzetet.
[15] Szó szerinti idézet az ítéletből.
[16] Bács-Kiskun Megyei Bíróság, Kecskemét, 1. Bf. 733/2001/5.
[17] Adatvédelmi törvény 2. § 7. a) pont.
[18] Adatvédelmi törvény 2. § 4. a) pont.
[19] Adatvédelmi törvény 3. § (1)-(2) bekezdés.
[20] BH 2000. 384.; Somogy Megyei Bíróság 4. B. 1267/1997.
[21] A Büntető Törvénykönyv személyes adatok kezelésével kapcsolatos rendelkezéseinek módosítását kezdeményező adatvédelmi biztosi ajánlás, Budapest, 2001. április 25. www.obh.hu.
Visszaugrás
