A COVID-19, avagy a koronavírus-világjárvány 2020 első negyedévében a világ szinte valamennyi országának működését felforgatta, megváltoztatta. A járvány rohamos terjedésének egyik legfőbb oka az emberek közötti személyes kontaktusok, ami alatt nemcsak a fizikai érintkezést, hanem az azonos tárgyak egymástól függetlenül történő megérintését is érteni kell. Erre tekintettel valamennyi ország mindenekelőtt olyan járványügyi intézkedéseket vezetett be, amelyek a személyes érintkezést a lehető legkisebbre szorították. Az első intézkedések között szerepelt az olyan intézmények bezárása, amelyek területén mindennapos, hogy jelentős számú személy találkozik és érintkezik. Ilyennek minősülnek többek között az oktatási feladatokat ellátó intézmények, amelyeket e döntéssel rendkívül nagy kihívás elé állítottak. Rövid időn belül kellett ugyanis megoldást találni az oktatás folytatásának módjára. A technológia mai fejlettségi szintjének köszönhetően már alapvető "emberi képesség" az online térben történő kapcsolattartás, amely ebben a nehéz időben még nagyobb szerephez jutott. Ez az oktatási intézmények "nyelvén" a digitális oktatást jelentette, és e sorok megírása idején még mindig jelenti.
Az oktatási intézmények a "normál" működési rendjük[1] során számos személyes adatot kezelnek rendkívül komplex és szerteágazó módon. Az adatkezelésük rendszere, annak szabályozása alapvetően és jellemzően e működési rendben végzett folyamatokra van kialakítva. Az oktatás digitális formában való megvalósítása a megszokott adatkezelési folyamatokat megváltoztatta és új irányba terelte. Az oktatás valamennyi szintjét azonos módon érintette a kihívás, amelyek közül adatkezelési szempontból, úgy gondolom, a felsőoktatási intézmények vannak a könnyebb helyzetben. Ennek oka, hogy a felsőoktatási intézményekben jellemzően a 18. életévüket betöltött személyekre, hallgatókra vonatkozóan végeznek adatkezelést, míg az oktatási szféra alacsonyabb szintjén lévő intézmények zömmel 18 évesnél fiatalabbakat oktatnak, így az ő adataik képezik az adatkezelés tárgyát. Ez a tény önmagában megnehezíti az adatkezelési folyamatokat, hiszen a 18. életévüket be nem töltött személyek adatvédelmi szempontból a különösen védett kategóriába tartoznak.
A jelen tanulmány keretében megkísérlem feltérképezni a digitális oktatás során az oktatási szférát érintő adatvédelmi kihívásokat, de - tekintettel személyes érintettségemre is - különös hangsúlyt a felsőoktatás kap.
Nem vitás, hogy az oktatási feladatokat ellátó intézmények működésük során adatkezelői minőségben szerepelnek. A működésükre, feladatuk ellátására vonatkozó speciális szabályokat az adott szférára vonatkozó törvények, így például a köznevelésről szóló 2011. évi CXC. törvény (a továbbiakban: köznevelési törvény), a nemzeti felsőoktatásról szóló 2011. évi CCIV. törvény (a továbbiakban: Nftv.), valamint alacsonyabb szintű jogszabályok állapítják meg.[2] E jogszabályok számos helyen tartalmaznak adatkezelésre vonatkozó kötelezettséget. Emellett önmagában véve az oktatási tevékenység ellátása sem képzelhető el személyes adatok kezelése nélkül, hiszen például egy előadáson és tanórán való hallgatói, tanulói jelenlét ellenőrzése, a hallgatók és tanulók számonkérése során keletkező írásbeli dolgozatok tárolása, de - különösen a felsőoktatásban - a szóbeli és írásbeli vizsgákon a személyazonosság ellenőrzése szintén adatkezelésnek minősül, viszont ezekre vonatkozó konkrét rendelkezést nem tartalmaznak az említett jogszabályok. Ezek olyan adatkezelésnek minősülnek, amelyeket alapesetben nem automatizált módon, manuálisan végeznek, s emellett egy nyilvántartási rendszer részét képezik, hiszen egy adott tantárgyból - szűkebb viszonylatban egy adott napon - vizsgát tett hallgatók eredményeit tükrözi úgy, hogy azok a tárolásuk ideje alatt visszakereshetők.
A fentiekre tekintettel az Európai Unió általános adatvédelmi rendeletének[3] (a továbbiakban az angol elnevezésének[4] megfelelően: GDPR) hatálya az oktatási intézmények minden adatkezelésére kiterjed. Emellett az információs önrendelkezési jogról és információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Info tv.) vonatkozó rendelkezéseit - az abban meghatározott körben[5] - is alkalmazni kell. Az oktatási feladatokkal szükségszerűen együtt járó adatkezeléseknél - azok speciális volta miatt - sok esetben nagyon nehéz értelmezni a GDPR egyes rendelkezéseit, így számos vitás kérdés merül fel. A koronavírus miatt kihirdetett veszélyhelyzetre tekintettel az oktatási feladatok ellátása átkerült a digitális térbe, amivel az adatvédelem mély tengerében találhatták magukat az intézmények.
Az oktatási intézmények által folytatott adatkezelések vizsgálatakor egyaránt vagyunk könnyű és nehéz helyzetben. Az oktatási tevékenység során végzett adatkezelés a GDPR kötelező alkalmazásáig, azaz 2018. május 25. napjáig az Info tv. szerinti meghatározás alapján törvényen alapuló adatkezelésnek minősült. A GDPR alkalmazását követően már csak részben egyértelmű a kérdés. A GDPR 6. cikk (1) bekezdése meghatározza az adatkezelés jogszerűségének kútfőit, a jogalapokat. E körben a 6. cikk (1) bekezdés c) pontja tartalmazza az ún. "jogi kötelezettség teljesítéséhez szükséges adatkezelés" jogalapját, míg az e) pont alapján az adatkezelés jogszerű, ha "az közérdekű feladat végrehajtásához szükséges".
A GDPR 6. cikk (3) bekezdése alapján mindkét jogalapnál fontos feltétel, hogy azt a nemzeti vagy uniós jognak kell megállapítania. E két jogalap tekintetében a GDPR lehetőséget biztosít a nemzeti jogalkotónak arra, hogy a GDPR rendelkezéseit kiegészítő szabályokat határozzon meg, s ezzel párhuzamosan ez az Info tv. 5. § (3) bekezdésébe is beépítésre került, hangsúlyozva, hogy a kiegészítő rendelkezéseket törvénynek vagy önkormányzati rendeletnek kell meghatároznia. A jogalkotó e bekezdésben a GDPR-ban szereplő mindkét jogalapra vonatkozóan azonosan határozza meg a szabályokat, sőt a két jogalapot ún. kötelező adatkezelésként aposztrofálja. Ez, úgy gondolom, a két jogalap szükségtelen összemosódását eredményezi, tekintve, hogy például a közérdekű feladat ellátása körében vannak olyan adatkezelések, amelyek nem kötelezők, hanem lehetőségen, jogon alapulnak. Ebben az esetben, úgy vélem, a célhoz kötöttség elve alapján a szükségesség mércéje döntheti el, hogy az adatkezelésnek mi lesz a jogalapja.
Kétségtelen, hogy az oktatási feladat ellátása közérdekű feladatnak minősül. Ezért az oktatási feladatokat végző intézmények adatkezelésének egyik jogalapjaként a GDPR 6. cikk (1) bekezdés e) pontja szolgálhat, amely igaz lehet minden olyan adatkezelésre, amely a közérdekű feladat ellátása érdekében szükséges. Azonban
- 33/34 -
az oktatási intézményekre vonatkozó jogszabályok, így a köznevelési törvény[6] és az Nftv.[7] részletesen felsorolja azokat az - előbbi esetében a tanulókra, míg utóbbinál a hallgatókra mint érintettekre vonatkozó - adatköröket, amelyeket az intézményeknek kezelniük kell. Felmerül a kérdés, hogy vajon ezen adatok adatkezelése a GDPR 6. cikk (1) bekezdés c) vagy e) pontján alapul-e. A törvények megfogalmazása ugyanis - megjegyzem, összhangban az Info tv. 5. § (3) bekezdésével - valóban jogi kötelezettséget fogalmaz meg az ott feltüntetett személyes adatok kezelése tekintetében. Az adatok egyúttal a közérdekű feladat ellátását is szolgálják, hiszen ezek nélkül az oktatási tevékenység nehezen volna megvalósítható. Felmerül a kérdés, hogy mindezek alapján melyik jogalapot kell megjelölni az adatkezelésről való tájékoztatás során. Álláspontom szerint a közérdekű feladat ellátásának jogalapja ez esetben a tágabb adatkezelési jogalap lesz, s ebbe minden olyan adatkezelés is beletartozik, amelyet egyébként a törvényből fakadó kötelezettség alapján végeznek.
A Jogkódex-előfizetéséhez tartozó felhasználónévvel és jelszóval is be tud jelentkezni.
Az ORAC Kiadó előfizetéses folyóiratainak „valós idejű” (a nyomtatott lapszámok megjelenésével egyidejű) eléréséhez kérjen ajánlatot a Szakcikk Adatbázis Plusz-ra!
Visszaugrás
