A hatályos magyar adatvédelmi előírásokat alapvetően két uniós jogi aktus (a 95/46/EK irányelv, valamint a 2008/977/IB kerethatározat) határozza meg. Az ezeknek való megfelelést elsősorban az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) biztosítja, amelyet számos ágazati törvényi rendelkezés (pl. egyes nyilvántartásokat, konkrét adatkezelési jogviszonyokat szabályozó normák) egészít ki.
Az Európai Bizottság 2012 januárjában terjesztette elő a jelenleg alkalmazandó adatvédelmi előírások reformját célzó javaslatcsomagját, amelynek szükségességét a gyors technológiai fejlődéssel, valamint a globalizáció által előidézett új kihívásokkal indokolta. A Bizottság számításai szerint a javaslata alapján az eltérő tartalmú, a 95/46/EK irányelvre épülő tagállami előírások helyébe lépő, uniós szinten egységesített jogi szabályozásnak köszönhetően csökkenni fognak a tetemes adminisztratív költségek, és ez évente mintegy 2,3 milliárd eurós megtakarítást jelent majd a vállalkozásoknak. A Bizottság indokolása szerint további gazdasági hatása lehet a javaslatcsomagnak, hogy az az interneten keresztül nyújtott szolgáltatásokba vetett fogyasztói bizalom erősítéséhez is hozzájárul, ami ösztönző hatással lesz az európai növekedésre, munkahelyteremtésre és innovációra.
Az uniós jogalkotási folyamat eredményeképp a Tanács és az Európai Parlament mint társjogalkotók 2016-ban az alábbi két jogalkotási aktus elfogadásáról döntöttek:
a) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27-i (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: Rendelet), valamint
b) a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló, 2016. április 27-i (EU) 2016/680 európai parlamenti és tanácsi irányelv (a továbbiakban: Irányelv).
A Rendelet a jelenlegi uniós adatvédelmi keretektől eltérően már nem - a tagállami jogba átültetést igénylő - irányelvi szinten tartalmazza a tagállamok és azok jogalanyai által alkalmazandó előírásokat, hanem a tagállami jogrendszerekben közvetlenül alkalmazandó rendeleti szinten.
- 72/73 -
A Rendelet - egyes különös szabályozást igénylő tárgykörök, így az Irányelv hatálya alá tartozó területek kivételével - mindazon, személyes adatok kezelésével járó tevékenységekre alkalmazandó lesz, amelyek az Unió szabályozási kompetenciájába tartoznak.
A Rendelet hatálya kapcsán kiemelendő, hogy a rendelkezései alkalmazandóak lesznek az Európai Unió területén nem, csupán harmadik országokban letelepedett adatkezelők adatkezeléseire is, ha az adatkezelési tevékenységek
a) áruknak vagy szolgáltatásoknak az Unióban tartózkodó érintettek számára történő nyújtásához kapcsolódnak, függetlenül attól, hogy az érintettnek fizetnie kell-e azokért; vagy
b) az érintettek viselkedésének megfigyeléséhez kapcsolódnak, feltéve hogy az Unió területén belül tanúsított viselkedésükről van szó.
A Rendelet az adatkezelésre vonatkozó alapelveket és az adatalanyok jogainak katalógusát lényegében a jelenlegi szabályok szerint tartalmazza. Az átláthatóság elvének megfelelően a Rendelet az adatkezelőt az adatkezelés részleteire kiterjedő előzetes, közérthetően megfogalmazott tájékoztatás és a jogérvényesítéshez szükséges információk közlésére kötelezi, az adatalany jelenlegi szabályok szerinti jogosítványai (előzetes tájékoztatáshoz, hozzáféréshez, tiltakozáshoz, helyesbítéshez, törléshez való jogok) továbbra is biztosítottak.
Újdonság - az internethasználattal összefüggésben felmerült kihívásokra válaszként - az "elfeledtetéshez való jog", valamint az "adathordozhatósághoz való jog" kifejezett megjelenése. Míg az előbbi jogosultság az Európai Unió Bírósága vonatkozó esetjogának normaszöveggé történő transzformálásaként a személyes adatok végleges, vissza nem állítható és teljes, az internet egészére kiterjedő törlését célozza, addig az utóbbi azt a jogot biztosítja az adatalanynak, hogy saját személyes adatainak rendelkezésre bocsátását elektronikus és strukturált formátumban igényelhesse az adatkezelőtől, annak érdekében, hogy azokat más, az adatalannyal jogviszonyban álló adatkezelő felhasználhassa. Ez a Bizottság álláspontja szerint a szolgáltatást nyújtó vállalkozások (adatkezelők) közötti versenyt is előmozdítja.
A szabályozás újdonsága továbbá az uniós jog elektronikus hírközlésre vonatkozó területein már alkalmazott azon megoldás, hogy az adatkezelőknek a lehető leghamarabb be kell jelenteniük a nemzeti felügyelő hatóságnak a súlyos adatbiztonsági incidensek eseteit, azokat dokumentálni, és azokról a kockázat mértékétől függően az adatalanyt is - szükségtelen késedelem nélkül - értesíteni kell.
Új elem az adatkezelő és az adatfeldolgozó kötelezettségei körében az is, hogy az adatalanyok jogaira nézve - a Rendeletben meghatározottak szerint - különösen kockázatosnak minősülő adatkezelési műveleteket megelőzően adatvédelmi hatásvizsgálatot kell készíteniük.
A Rendelet szabályainak egységes és hatékony érvényesítését célozza a határon átnyúló adatkezelések esetén a tagállami adatvédelmi hatóságok eljárását szabályozó ún. egységességi mechanizmus bevezetése és a tagállami adatvédelmi hatóságok képviselőiből álló Európai Adatvédelmi Testület létrehozása.
Az adatvédelmi előírások érvényesítésének letéteményesei a Rendelet alapján is elsősorban a nemzeti adatvédelmi hatóságok lesznek, amelyek hatáskörére, jogállására, eljárására, valamint függetlenségének garanciáira vonatkozó részletes szabályokat is tartalmazza a Rendelet.
Az Irányelv célja, hogy biztosítsa az adatvédelem magas szintjét a rendőrségi együttműködés és a büntetőügyekben való igazságügyi együttműködés területén, továbbá erősítse a kölcsönös bizalmat és megkönnyítse az adatok szabad áramlását a tagállamok rendőrségi és igazságügyi szervei között.
Az Irányelv hatálya - a jelenlegi, e tárgykörre vonatkozó szabályozástól eltérően - nem korlátozódik a határokon átnyúló adatkezelésre, hanem kiterjed minden, az Irányelvben foglalt célok érdekében az "illetékes hatóságok" (bűnüldöző, bűnfelderítő szervek) által bűnüldözési, büntetés-végrehajtási célból végzett adatkezelési tevékenységre.
Az Irányelv érdemi előírásai és alapelvei egyebekben lényegüket tekintve megegyeznek a Rendeletben foglaltakkal, a tagállami átültetést igénylő irányelvi formára tekintettel azonban nagyobb teret engednek a nemzeti jogi rendelkezések kialakításának.
Mind a Rendelet, mind az Irányelvet átültető hazai jogi előírások alkalmazására 2018 májusától kötelezi hazánkat az uniós jog, a két jogi aktus eltérő jogforrási jellegéből - így a jogharmonizáció eltérő mértékéből - következően azonban a magyar jogalkotó számára a két jogi aktus tekintetében különböző jellegű és terjedelmű szabályozási kötelezettség, illetve lehetőség fakad.
A Rendelet - funkciója szerint - teljes jogegységesítésre törekszik, így a hatálya alá tartozó jogterületeken horizontálisan, azaz minden személyes adat kezelésére irányuló vagy azt is magában foglaló jogviszony tekintetében általánosan alkalmazandó előírások közvetlenül hatályosulnak és válnak alkalmazandóvá a magyar jogban. E tekintetben tehát a magyar jogalkotónak elsősorban deregulációs kötelezettsége keletkezik. Emellett a Rendelet előírásainak érvényesülése - végrehajtása - érdekében azonban a magyar jogalkotót pozitív jogalkotási kötelezettség is
- 73/74 -
terheli. A Rendelet tekintetében ezen kötelezettség elsősorban az anyagi jogi szabályokhoz kapcsolódó megfelelő intézményi és eljárásjogi keretek biztosítását jelenti, így különösen a személyes adatok védelméhez fűződő jog érvényesülésének biztosítására létrehozandó szerv - az adatvédelmi felügyelő hatóság - kijelölését, működése feltételeinek és eljárásrendjének biztosítását.
Figyelemmel arra, hogy a hatályos magyar jogrendszerben a horizontálisan alkalmazandó adatvédelmi előírásokat az Infotv. tartalmazza, az említett deregulációs és jogszabálymódosítási kötelezettség elsősorban az Infotv. rendelkezéseinek módosítását igényli.
Az Infotv.-ben foglalt általános szabályok mellett azonban a tagállami jogrendszerekben - így a magyar jogrendszerben is - számos, a személyes adatok kezelését szabályozó ágazati norma alkalmazandó, amelyek az általános szabályokat kiegészítve, vagy - ha arra lehetőség van - azoktól eltérést előírva érvényesülnek. Tipikusan ilyen normák a személyes adatok védelméhez fűződő alapvető jog korlátozásaként érvényesülő, a hatályos Infotv. 5. § (1) bekezdés b) pontján, valamint 5. § (2) bekezdés b) és c) pontján alapuló adatkezelési jogviszonyokat (ún. kötelező adatkezelést) szabályozó törvényi (és szűk körben önkormányzati rendeleti) rendelkezések. Ezen rendelkezéseket egyes esetekben önálló, kifejezetten ezen adatkezelési jogviszonyokat szabályozó törvény tartalmazza (pl. az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló 1997. évi XLVII. törvény), túlnyomórészt azonban azok a különös ágazati jogviszonyokat részletesen szabályozó rendelkezések részeként az azokat tartalmazó törvények keretein belül kaptak helyet.
Az Infotv. 5. § (3) bekezdése a kötelező adatkezelést előíró törvények vonatkozásában jelenleg is tartalmi követelményeket állapít meg, amely követelményeknek így az ágazati törvények meg kell, hogy feleljenek. A Rendelet alkalmazandóvá válását követően az adatkezelés lehetséges jogalapjait ugyan már nem az Infotv., hanem a Rendelet fogja meghatározni [6. cikk (1) bekezdés], ám a kötelező adatkezelések esetköre - a Rendelet 6. cikk (1) bekezdés c) és e) pontjában meghatározott jogalapokon alapuló adatkezelési jogviszonyok - fennmarad. A Rendelet 6. cikk (2) bekezdése egyértelműen rögzíti, hogy a "[R]endeletben foglalt, adatkezelésre vonatkozó szabályok alkalmazásának kiigazítása érdekében, a tagállamok az (1) bekezdés c) és e) pontjának való megfelelés céljából fenntarthatnak vagy bevezethetnek konkrétabb rendelkezéseket, amelyekben pontosabban meghatározzák az adatkezelésre vonatkozó konkrét követelményeket, és amelyekben további intézkedéseket tesznek az adatkezelés jogszerűségének és tisztességességének biztosítására". A Rendelet 6. cikk (3) bekezdése pedig - az Infotv. 5. § (3) bekezdésével lényegét tekintve megegyező módon - meghatározza, hogy az ágazati szabályoknak mely tartalmi elemeket kell, illetve lehet tartalmazniuk. Összességében tehát megállapítható, hogy a jelenleg hatályos ágazati normák - ha azok kötelező adatkezelést írnak elő és összhangban vannak az Infotv. 5. § (3) bekezdésében foglaltakkal - főszabályként a Rendelet alkalmazandóvá válását követően is azzal e vonatkozásban összhangban állónak minősülhetnek és így hatályukban fenntarthatóak.
Az ágazati szabályok másik, jelentősen szűkebb csoportját képezik azon adatkezelési jogviszonyokat szabályozó rendelkezések, amelyek nem írják elő személyes adatok kötelező kezelését (alapvető jog törvényen alapuló korlátozását), azonban a más jogalapon, így tipikusan az érintett hozzájárulásán, az érintettel létrehozott szerződéses jogviszonyon alapuló adatkezelési jogviszony vonatkozásában különös feltételeket, az adatkezelő által érvényesítendő követelményeket állapítanak meg. A Rendelet ezen adatkezelési jogviszonyok tekintetében is jelentős mozgásteret biztosít a tagállami - és az uniós - jogalkotó részére, így különösen a genetikai, biometrikus és egészségügyi adatok kezelése [Rendelet 9. cikk (4) bekezdése], a bűnügyi személyes adatok (Rendelet 10. cikk) és egyes különös jogviszonyok (pl. foglalkoztatásra irányuló jogviszonyok, levéltári, tudományos, történelmi kutatási, statisztikai célból folytatott adatkezelések, vö. Rendelet IX. fejezet) vonatkozásában.
A Rendelet fenntartja továbbá a tagállami jogalkotó részére azon lehetőséget, hogy az alapvető jog korlátozására irányadó alkotmányos keretek között a Rendelet által az érintettek részére biztosított jogokat korlátozza (Rendelet 23. cikk).
Az Irányelv - a Rendelettel szemben - nem a teljes jogegységesítésre, hanem a tagállami jogok harmonizációjára - az 1. cikk (3) bekezdése alapján minimumharmonizációjára - törekszik. Ebből fakadóan a magyar jogalkotó kötelezettségei és mozgástere is eltér az előzőekben a Rendelet vonatkozásában ismertetettektől. Az Irányelv szabályait a magyar jogalkotónak a magyar jogba át kell ültetnie, azok főszabály szerint közvetlenül nem alkalmazandóak és nem hatályosulnak. Az Irányelv hatálya azonban kizárólag egyes közrendvédelmi-közbiztonsági, bűnmegelőzési, bűnfelderítési, bűnüldözési, büntetőeljárási és büntetés-végrehajtási tevékenységet - ideértve a szabálysértésekkel összefüggő tevékenységet - végző szervezetek [Irányelv 1. cikk (1) bekezdés és 2. cikk (1) bekezdés] adatkezelési jogviszonyaira terjed ki, így az Irányelv előírásait átültető magyar jogi rendelkezések is e körre korlátozódhatnak.
Figyelemmel arra, hogy a hatályos magyar jogrendszer az általánosan, horizontálisan alkalmazandó adatvédelmi rendelkezéseket hagyományosan egy normában - jelenleg az Infotv.-ben - tartalmazza, az ágazati törvények pedig ezen általános szabályokhoz kapcsolódnak, ezen jogalkotói megoldást a jogrendszeri hagyományok és a normatakarékosság követelményéből fakadóan a Rendelet és az Irányelv alkalmazandóvá válását követően is - az uniós jog által biztosított keretek között - indokolt fenntartani.
Ennek megfelelően az Irányelv rendelkezéseivel kapcsolatos jogharmonizációs kötelezettséget elsősorban az Infotv. rendelkezéseinek szükségszerű módosításával célszerű teljesíteni.
- 74/75 -
Emellett a Rendelet végrehajtását, így különösen az adatvédelmi felügyelő hatóság működésének kereteit biztosító rendelkezéseket is az Infotv.-ben indokolt szabályozni.
A Rendelet és az Irányelv alkalmazandóvá válását követően szükségképpen megváltozik az Infotv. személyes adatok védelmével összefüggő rendelkezéseinek tárgyi és szervi hatálya. Tekintettel arra, hogy a Rendelet a hatálya alá tartozó jogterületeken - a tagállami jogalkotó részére kifejezetten fenntartott egyes tárgyköröket kivéve - uniós szinten egységes, közvetlenül hatályosuló és alkalmazandó előírásokat tartalmaz, az Infotv. hatálya ezen jogterületeken végzett adatkezelési jogviszonyokra általánosan nem terjedhet ki, hanem csupán azon terjedelemben, amely a Rendeletben meghatározott anyagi jogi szabályok érvényesülésének feltételeit hivatott biztosítani. Az Irányelv ezzel szemben - hasonlóan a hatályos Infotv. uniós jogi alapját képező 95/46/EK európai parlamenti és tanácsi irányelvhez és a 2008/977/IB tanácsi kerethatározathoz - azt a kötelezettséget rója a tagállami jogalkotóra, hogy az Irányelvben meghatározott anyagi jogi és eljárásjogi jogintézményeket egyaránt a magyar jogban - az Irányelvben meghatározott keretek között - részletesen és teljeskörűen szabályozza. Itt emelendő ki az Irányelv azon, 1. cikk (3) bekezdésében deklarált jellegzetessége is, hogy az csupán minimumharmonizációs kötelezettséget ró a tagállamokra, azaz az esetlegesen magasabb védelmi szintet biztosító tagállami szabályok - az alkotmányossági követelményekre is figyelemmel - fenntarthatók.
A Rendelet és az Irányelv tárgyi és szervi hatálya azonban együttesen sem terjed ki az adatkezelési jogviszonyok teljes körének szabályozására, így egyrészt természetesen azon jogviszonyokra, amelyek egyáltalán nem tartoznak az uniós jog hatálya alá (pl. nemzetbiztonsági célú adatkezelések), másrészt amelyeket noha az alapítószerződések nem zárnak ki az uniós jog hatálya alól, az uniós jogalkotó nem kívánt szabályozni (pl. papír alapú, nyilvántartásba nem rendezett adatkezelések). A magyar jogalkotónak azonban az Alaptörvény VI. cikk (2) bekezdésében biztosított, a személyes adatok védelméhez fűződő alapvető jog érvényesülését minden, Magyarország joghatósága alá tartozó adatkezelési jogviszonyban - ahogyan azt a személyes adatok védelmére vonatkozó általános szabályokat tartalmazó törvényi szabályozás a magyar jogban hagyományosan megtette - biztosítania kell, összhangban az Európa Tanács - az 1998. évi VI. törvénnyel kihirdetett - adatvédelmi egyezményéhez tett magyar nyilatkozattal is.
A 2018 májusától alkalmazandó uniós jogi előírások további, a hatályos magyar jogi előírásokat alapjaiban érintő sajátossága, hogy a Rendelet 55. cikk (3) bekezdése és az Irányelv 45. cikk (2) bekezdése értelmében az adatvédelmi felügyeleti hatóságok hatásköre nem terjed ki a bíróságok által igazságügyi feladataik ellátása során végzett adatkezelési műveletek felügyeletére. E rendelkezés azonban nem érinti a hatálya alá tartozó tárgykörökben az uniós jogi aktusok anyagi jogi szabályainak alkalmazandóságát ezen adatkezelési jogviszonyokban, sőt, mind a Rendelet, mind az Irányelv rendelkezései alapján ezen adatkezelési műveletek ellenőrzésére irányuló felügyeleti mechanizmusról - az egyébként az érintett rendelkezésére álló, perindítási jogosultság mellett - a bíróságok szervezetén belül szükséges gondoskodni.
Az Igazságügyi Minisztérium ezen keretek és alapvetések szem előtt tartásával készítette elő és bocsátotta 2017 augusztusában közigazgatási és társadalmi egyeztetésre az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény jogharmonizációs célú módosításáról szóló kormány-előterjesztést.
A Bizottság jogalkotási javaslata a tárgyalások során jelentős mértékben módosult, ennek eredményeképpen az uniós jogi előírások - a javaslat szerint tervezett -egységes jellegét számos, a tagállami jogalkotó részére biztosított eltérési és kiegészítési lehetőség mérsékli. Ebből fakadóan a szabályozás a hatályoshoz képest a jogalkalmazók mindegyike részéről összetettebb jogértelmezési-jogalkalmazási műveleteket fog igényelni (a közvetlenül alkalmazandó uniós jog mellett a tagállami jogot a továbbiakban sem lehet figyelmen kívül hagyni, ezek együttes alkalmazása lesz szükséges).
Az adatalanyok helyzetére az új uniós szabályozás vélhetően túlnyomóan pozitív hatással fog járni, abból fakadóan, hogy a jogosultságaik bővülnek és azok hatékonyabban lesznek érvényesíthetőek, egyrészt az adatkezelők jogkövetését ösztönző szankciórendszerből, másrészt a több tagállamot érintő adatkezelés esetén alkalmazandó, de az adatalanyok részéről a szokásos tartózkodási helyük szerinti adatvédelmi hatóság előtt is megindítható egyablakos ügyintézésből fakadóan.
Az adatkezelők és adatfeldolgozók tekintetében a szabályozás hatásai ennél összetettebbek, és az adatkezelés jellege szerint érintik adminisztratív és anyagi terheik mértékének alakulását. Az egységesebb előírások, az egyablakos ügyintézési mechanizmus, egyes jelenlegi kötelezettségek (pl. adatvédelmi nyilvántartásba vétel) eltörlése ezen terhek csökkenését eredményezhetik, ugyanakkor az ún. kockázatos adatkezelések (pl. különleges adatok nagy számban történő kezelése) számos olyan kötelezettséget keletkeztetnek (pl. adatvédelmi hatásvizsgálat, adatvédelmi tisztviselő kijelölése), amelyek e terhek növekedésével járhatnak. Emellett azonban a szabályozás számos olyan új lehetőséget is biztosít az adatkezelők részére, amelyek a szabályozásból fakadó költségeiket csökkenthetik, üzleti tevékenységük sikerességét, bevételeik növelését elősegíthetik (tanúsítási mechanizmus, magatartási kódexek, külföldre történő adattovábbítást segítő eszközök). A jogsértés esetén kiszabható bírság jelentős mértéke, valamint az adatkezelő elszámoltathatóságának alapelve ugyanakkor az adatkezelők és adatfeldolgozók fokozottabb jogtudatosságát igénylik, és így az adatvédelmi
- 75/76 -
előírásoknak való megfelelésből fakadó költségeik növekedését eredményezhetik.
A szabályozás érvényesítéséért, érvényesüléséért felelős szervek (adatvédelmi hatóságok, bíróságok) jelentősége és az általuk biztosított jogorvoslati eljárások száma, így az abból szükségszerűen fakadó erőforrás-ráfordítások mértéke vélhetően növekedni fog egyrészt az adatalanyok jogtudatosságának növekedése, másrészt a szabályozás összetettségéből fakadó jogviták számának növekedése, harmadrészt az egyablakos ügyintézési modellből fakadó feladatok ellátásának szükségessége miatt. ■
Lábjegyzetek:
[1] A szerző szakmai tanácsadó, Igazságügyi Minisztérium, Alkotmányjogi Főosztály.
[2] A szerző főosztályvezető-helyettes, Igazságügyi Minisztérium, Alkotmányjogi Főosztály.
Visszaugrás
