Végvári Zsuzsanna[1]: A GDPR és az Infotv. alkalmazásának elhatárolása a jogalkalmazói, így különösen az igazságügyi szakértői adatkezelés során (Fontes, 2020/4., 34-40. o.)

Bevezetés

Az elmúlt években nagy érdeklődés övezte az adatvédelmi szabályok alakulását. Az Európai Parlament és a Tanács (EU) 2016/679 (2016. április 27.) számú, a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló rendelete (a továbbiakban: általános adatvédelmi rendelet, GDPR) 2018. május 25. napi hatálybalépése óta a jogalkalmazók számára esetlegesen problémát jelenthet a GDPR és az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXXII. törvény (a továbbiakban: Infotv.) rendelkezései közötti eligazodás. A sok esetben párhuzamosnak tűnő, de mégsem egységes szabályozás megléte, illetve annak eldöntése, hogy a két jogforrás közül melyiket kell alkalmazni egy adott adatkezelési folyamatra, leginkább azoknak a szakembereknek fontos, akik tevékenységüket például a tágabb értelemben vett büntetőjogi területen és polgári vagy közigazgatási területeken is végzik. Különösen igaz ez az igazságügyi szakértőkre, akiknek az igazságügyi szakértőkről szóló 2016. évi XXIX. törvény (a továbbiakban: Szaktv.) 3. § (1) bekezdésében meghatározott feladata, hogy a hatóság kirendelése vagy megbízás alapján, a tudomány és a műszaki fejlődés eredményeinek felhasználásával készített szakvéleménnyel, a függetlenség és pártatlanság követelményének megtartásával döntsék el a szakkérdést, és segítsék a tényállás megállapítását, függetlenül attól, hogy ezen tevékenységüket a polgári perrendtartásról szóló 2016. évi CXXX. törvény, a közigazgatási perrendtartásról szóló 2017. évi I. törvény, a büntetőeljárásról szóló 2017. évi XC. törvény, a szabálysértésekről, a szabálysértési eljárásról és a szabálysértési nyilvántartási rendszerről szóló 2012. évi II. törvény vagy az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény szerinti eljárásban látják-e el.

A tanulmány célja, hogy a jogalkalmazók - kiemelten a különböző eljárásokban a bizonyítás egyik kulcsszereplőjeként közreműködő, a tényállás elbírálását megfelelő szakértelemmel segítő, jellemzően jogi végzettséggel nem rendelkező igazságügyi szakértők - munkájának segítése érdekében bemutassa a GDPR és az Infotv. viszonyát, azok hatályait és az adatkezelések jogalapjait, illetve, hogy rávilágítson arra, hogy mitől függ és miért fontos, hogy az igazságügyi szakértő eljárása során az adatkezelési tevékenységét az Infotv. vagy a GDPR szabályai szerint végzi.

Az EU adatvédelmi reformja és a főbb jogforrások

A globalizáció hatásaira, az információs technológia fejlődésére és az elektronikus adatkezelés és -feldolgozás során fellépő új adatvédelmi kihívásokra válaszul az Európai Bizottság 2012-ben egy adatvédelmi reformot tartalmazó javaslatcsomagot terjesztett elő, melynek eredményeképpen az Európai Parlament és a Tanács hosszas tárgyalásokat követően, 2016. április 27-én fogadta el az új uniós adatvédelmi csomagot. Ennek két eleme az adatvédelem általános keretét meghatározó rendelet (azaz a GDPR), valamint a bűnüldözési célból kezelt személyes adatok védelmére vonatkozó irányelv [azaz az Európai Parlament és a Tanács (EU) 2016/680 (2016. április 27.) számú, a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló irányelve (a továbbiakban: bűnügyi irányelv, 2016/680/EU irányelv)].

Fontos kiemelni, hogy a két jogforrás az alább részletezett jelentős különbségek ellenére azonos alapokon, és szinte szó szerint megegyező módon határozza meg az adatkezelésekre vonatkozó főbb fogalmakat, azaz például a személyes adat, az adatkezelés, az adatkezelő, az adatfeldolgozó és az adatvédelmi incidens fogalmát, valamint az adatkezelésre vonatkozó főbb elveket, de találhatunk hasonlóságot az adatkezelés jogalapjára vonatkozó szabályok között is.

Az uniós adatvédelmi csomag fenti két eleme közötti eltérések tekintetében a legfontosabb különbség azok hatályában, azaz az általuk szabályozott tárgykörök közti eltérésben jeleníthető meg. Az általános adatvédelmi rendelet - mint

- 34/35 -

ahogyan arra a rövidített megjelölése is utal - általánosságban részesíti védelemben az élő természetes személyekkel kapcsolatos személyes adatokat. Erre figyelemmel a rendelet nem védi az elhunyt személyek és a jogi személyek adatait, és szintén általános jellegéből adódóan a szabályai nem terjednek ki egyes, a GDPR 2. cikk (2)-(4) bekezdésében szabályozott eljárásokra[1]. A hivatkozott rendelkezések alapján az általános adatvédelmi rendelet az élő természetes személyek adatainak kezelése esetén sem alkalmazandó például akkor, ha ezeknek az adatoknak a kezelése bűnüldözési, nemzetbiztonsági vagy honvédelmi célból történik, vagy ha a személyes adatokat a természetes személyek kizárólag személyes vagy otthoni tevékenységük keretében kezelik. [A GDPR (18) preambulumbekezdése értelmében ilyen személyes vagy otthoni tevékenységnek minősül például a levelezés, az ismerősök elérhetőségeinek tárolása, valamint az ezek keretében végzett, közösségi hálózatokon történő kapcsolattartás, online tevékenység.]

A GDPR 2. cikk (2) bekezdés c) pontja alapján tehát az általános adatvédelmi rendelet szabályait nem lehet alkalmazni például az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelésére. Ezen adatkezelések tekintetében a szabályokat így - felismerve, hogy a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén a személyes adatok védelmére és a személyes adatok szabad áramlására vonatkozóan továbbra is különös szabályok szükségesek -a bűnügyi irányelv tartalmazza.

Az általános adatvédelmi rendelet és a bűnügyi irányelv szabályozási tárgyköre közti különbség lényege tehát, hogy míg a GDPR általánosságban határozza meg a természetes személyek adatkezelésére vonatkozó szabályokat, addig a 2016/680/EU irányelv az adatkezelés egyik különleges, bűnüldözési célú megközelítéséből indul ki, és az ilyen célú adatkezelések szabályozására vonatkozó rendelkezéseket tartalmazza.

Az adatvédelmi csomag két eleme közti másik fő különbség az uniós jogi aktusok természetében rejlik. Míg ugyanis a GDPR rendeletként 2018. május 25-től az Európai Unió egész területén közvetlenül alkalmazandó, addig a bűnügyi irányelvet a tagállamoknak 2018. május 6-ig külön át kellett ültetniük nemzeti jogszabályaikba. A rendelet közvetlen alkalmazandósága azt jelenti, hogy abból a tagállamokra, azok szerveire, illetve a magánfelekre vonatkozó jogok és kötelezettségek közvetlenül, a nemzeti törvényekhez hasonló módon származnak. Erre figyelemmel így ahhoz, hogy a rendeletben foglalt szabály a nemzeti jog részévé váljon, nincs szükség tagállami kihirdető, átültető vagy végrehajtó jogszabályra. Az általános adatvédelmi rendelet a személyes adatok kezelésére vonatkozó uniós jog egységes szabályozását segíti elő, hiszen a hatálybalépésétől kezdve minden tagállamban egyformán kötelező alkalmazni a szabályait, még akkor is, ha a nemzeti jogszabályok ellentétesek a rendeletben foglaltakkal.

Ezzel szemben az irányelv csak az abban meghatározott célokat tekintve kötelező a címzett tagállamok számára, a célkitűzések megvalósításának formáját és eszközeit a tagállamok maguk választhatják meg. A nemzeti jogalkotóknak így az irányelvekkel kapcsolatban, az ott meghatározott határidőn belül úgynevezett átültető jogszabályt kell elfogadniuk, amellyel a nemzeti jogszabályokat az irányelvekben megállapított célkitűzésekhez igazítják. Az egyes polgárokat alapvetően csak akkortól illetik meg a jogok, illetve terhelik a kötelezettségek, miután az átültető jogszabályt elfogadták. A tagállamok a nemzeti jogba való átültetés tekintetében bizonyos mérlegelési jogkörrel rendelkeznek, amely lehetővé teszi a nemzeti sajátosságok figyelembevételét. A bűnügyi irányelv (7) és (10) preambulumbekezdése rögzíti, hogy a büntetőügyekben folytatott hatékony igazságügyi együttműködés és rendőrségi együttműködés biztosítása, valamint a személyes adatok Unió egészére kiterjedő hatékony védelme érdekében alapvető fontosságú, hogy az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása érdekében végzett személyesadat-kezeléssel összefüggésben a természetes személyek jogai és szabadságai minden tagállamban azonos szintű védelemben részesüljenek. Ezt szem előtt tartva a bűnügyi irányelv célokat határoz meg az érintettek jogainak és az adatkezelők kötelezettségeinek megerősítésével kapcsolatban, illetve biztosítja a tagállamokban a személyes adatok védelmére vonatkozó szabályok betartásának ellenőrzéséhez és biztosításához szükséges egyenértékű hatásköröket. A bűnüldözési célú adatkezelések körében a leírtakra is figyelemmel, a terület sajátos természetéből adódóan ezen szabályok kereteinek meghatározására az irányelv a legalkalmasabb jogforrás, hiszen a bűnügyi irányelv - a GDPR-ral szemben -nem a teljes jogegységesítésre, hanem a tagállami jogok harmonizációjára törekszik.[2]

Látható tehát, hogy a GDPR szabályai külön átültetés nélkül, közvetlenül alkalmazandók a hatálya alá tartozó adatkezelések

- 35/36 -

vonatkozásában, az irányelv bűnüldözési célú adatkezelésére irányadó szabályainak érvényesüléséhez viszont mindehhez a nemzeti jogszabályba való átültetésre van szükség.

Annak a magyarázata, hogy az adatvédelmi csomagban elfogadott rendelkezések miért két külön jogforrásban kerültek szabályozásra - azaz hogy a személyes adatok általános kezelésére vonatkozó szabályokat miért rendelet, a bűnüldözési célú adatkezelésekre vonatkozó szabályokat pedig miért irányelv tartalmazza -, az Európai Unió és a tagállamok közötti hatáskörmegosztásban is keresendő. Az Unió ugyanis a bűncselekmények megelőzése körében nem a tagállami szabályok egységesítésére, hanem azoknak csupán a közelítésére törekszik és törekedhet annak érdekében, hogy a szabadságon, a biztonságon és a jog érvényesülésén alapuló térségben biztosítsa a biztonság magas szintjének garantálását. Az ilyenfajta közelítés pedig leginkább irányelvek megalkotásával és elfogadásával érhető el, hiszen a korábban leírtak alapján ez az a jogforrás, amely az általa meghatározott célkitűzések megvalósításának formáját és eszközeit a tagállamokra bízza.

Az általános adatvédelmi rendelet és a bűnügyi irányelv hatása a magyar adatvédelmi jogi szabályozásra

Az általános adatvédelmi rendelet és a bűnügyi irányelv közötti, előbbiekben felvázolt fő különbségek ismerete elengedhetetlen a Magyarországon alkalmazandó jog megismerésében és helyes megválasztásában.

Kiemelendő, hogy az Európai Unió adatvédelmi reformját megelőzően az Infotv. kódex jelleggel szabályozta a magyarországi joghatóság alá tartozó adatkezelési műveletekre vonatkozó általános szabályokat, így rendelkezéseit alapvetően az általános és a különleges, azaz például a bűnüldözési célú adatkezelések esetén is alkalmazni kellett. A GDPR és a bűnügyi irányelv hatálybalépésével összefüggésben azonban szükségessé vált az Infotv. szabályainak módosítása. Ennek legfontosabb indoka az volt, hogy 2018. május 25-e óta az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésekre a tagállamokban elsődlegesen a GDPR szabályai az irányadóak akkor is, ha azokkal esetlegesen a nemzeti jogszabályok ellentétesek. Emellett a módosítást a 2016/680/EU irányelv szerinti szabályok átültetése is szükségessé tette.

A jogalkotó annak érdekében, hogy e kettős kötelezettségének eleget tegyen, megalkotta az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvénynek az Európai Unió adatvédelmi reformjával összefüggő módosításáról, valamint más kapcsolódó törvények módosításáról szóló 2018. évi XXXVIII. törvényt (a továbbiakban: Módtv.). A Módtv. - figyelemmel arra is, hogy a GDPR szabályainak megismétlése a rendelet közvetlen alkalmazhatósága miatt nem lehetséges - az Infotv.-ből hatályon kívül helyezte az általánosságban a személyes adatok kezelésére vonatkozó szabályokat, megalkotta a hazai, a GDPR által biztosított tagállami mozgástérbe tartozó kiegészítő és esetlegesen GDPR-tól eltérő rendelkezéseket, valamint elvégezte a bűnügyi irányelv szabályainak magyar jogba való átültetését.[3]

Erre tekintettel a személyes adatok védelme körében a hatályos Infotv. szerepe tulajdonképpen többrétű:

- egyrészt meghatározza a GDPR szabályozási körén kívül eső fontosabb adatvédelmi rendelkezéseket (pl. az elhunyt személyek személyes adataival kapcsolatos főbb szabályokat[4]);

- másrészt biztosítja az általános adatvédelmi rendelet közvetlen alkalmazandóságához feltétlenül szükséges, általa megkövetelt szabályokat (pl. az általános adatvédelmi rendelet alkalmazásának ellenőrzését ellátó felügyeleti hatóság, a Nemzeti Adatvédelmi és Információszabadság Hatóság szervezetére vonatkozó és függetlenségét garantáló szabályokat[5]);

- harmadrészt a GDPR felhatalmazása alapján kiegészítő, illetve a GDPR-tól eltérő rendelkezéseket tartalmaz a személyes adatok védelmével kapcsolatban [pl. meghatározza, hogy az általános adatvédelmi rendelet 6. cikk (1) bekezdés c) és e) pontjában meghatározott adatkezelés, azaz kötelező adatkezelés esetén a kezelendő adatok fajtáit, az adatkezelés célját és feltételeit, az adatok megismerhetőségét, az adatkezelő személyét, valamint az adatkezelés időtartamát vagy szükségessége időszakos felülvizsgálatát az adatkezelést elrendelő törvény, illetve önkormányzati rendelet határozza meg[6]];

- negyedrészt pedig az Infotv. - a bűnügyi irányelv átültetéséből fakadó feladatok teljesítése érdekében - tartalmazza a személyes adatok bűnüldözési, nemzetbiztonsági és honvédelmi célú kezelésére vonatkozó szabályokat is.[7]

Az Infotv. a fenti rendszer egyértelművé tétele, és az egyes adatkezelési tevékenységekre alkalmazandó jogforrások, jogszabályok meghatározása érdekében bonyolult, de egyértelmű szabályrendszerrel[8] határozza meg saját hatályát az alábbiak szerint.

Az Infotv. 2. § (2) bekezdése rögzíti, hogy a személyes adatoknak az általános adatvédelmi rendelet hatálya alá tartozó - tehát általában vett - kezelésére a GDPR szabályait kell alkalmazni. A korábbiakban kifejtettek szerint az Infotv. 2. § (2) bekezdése tételesen felsorolja azokat az Infotv.-ben szabályozott rendelkezéseket is, amelyekre ezen adatkezelések során is figyelemmel kell lenni, mert azok a GDPR felhatalmazása alapján kiegészítő, illetve a GDPR-tól eltérő rendelkezéseket tartalmaznak.

Az Infotv. 3. §-a egyértelműen kimondja, hogy a személyes adatok bűnüldözési, nemzetbiztonsági és honvédelmi célú teljes körű kezelésére az Infotv. szabályait kell alkalmazni.

Ezen két szabály, illetve az adatvédelmi rendelet és a bűnügyi irányelv jogforrási jellege közötti, korábban már részletesen bemutatott különbség az oka annak, hogy a személyes adatok bűnüldözési célú adatkezelése során az Infotv., míg a személyes adatok általános adatvédelmi rendelet hatálya alá

- 36/37 -

tartozó adatkezelése esetén a GDPR vonatkozó rendelkezéseire kell hivatkozni az adatkezelés során. Irányadó ez még abban az esetben is, ha a két jogforrás az éppen alkalmazandó körben a hivatkozni kívánt fogalmakat, adatkezelési célokat, vagy adott esetben még a jogalapokat is hasonlóan, vagy éppen teljesen azonos módon határozza meg. A GDPR hatálya alá tartozó adatkezelések esetében tehát helytelen például az Infotv. 4. § (1) bekezdésében meghatározott célhoz kötöttség elvének vagy az 5. § (1) bekezdésben szabályozott, létfontosságú érdekek védelme miatti jogalapnak a felhívása. Ezekben az esetekben ugyanis a GDPR 5. cikk (1) bekezdés b) pontja szerinti elv, és a 6. cikk (1) bekezdés d) pontja szerinti jogalap az iránydó.

Az adatvédelmi szabályok lehető legegységesebb érvényesülése érdekében az Infotv. 2. § (4) bekezdése minden olyan egyéb személyes adatra vonatkozó adatkezelésre, amely nem tartozik a GDPR hatálya alá és nem minősül bűnüldözési, nemzetbiztonsági és honvédelmi célú adatkezelésnek, a GDPR szabályait rendeli alkalmazni, az Infotv. 2. § (4) bekezdésében tételesen meghatározott kiegészítő szabályokkal. Ezen adatkezelések tekintetében a GDPR szabályainak alkalmazását erősíti az is, hogy az Infotv. 2. § (7) bekezdése értelmében az Infotv. rendelkezéseit sem kell alkalmazni a természetes személynek kizárólag saját személyes célját szolgáló adatkezeléseire. Megjegyzendő, hogy ebben az utolsó esetben sem marad azonban teljesen szabályozatlan az adatkezelés, hiszen ilyenkor főszabály szerint irányadóak lehetnek a Polgári Törvénykönyvről szóló 2013. évi V. törvény 2:42. §-ában és 2:43. § e) vagy f) pontjában szabályozott általános személyiségi jogi védelmére vonatkozó szabályok.

A bűnüldözési célú adatkezelés és a bűnügyi adat fogalma és alapvető szabályai[9]

Látható tehát, hogy ahhoz, hogy meghatározzuk, hogy az adott adatkezelés tekintetében a GDPR vagy a bűnügyi irányelv általános szabályait kell-e alkalmazni, definiálnunk kell a bűnüldözési adatkezelés fogalmát. Az Infotv. 3. § 10a. pontja alapján "bűnüldözési célú adatkezelés: a jogszabályban meghatározott feladat- és hatáskörében a közrendet vagy a közbiztonságot fenyegető veszélyek megelőzésére vagy elhárítására, a bűnmegelőzésre, a bűnfelderítésre, a büntetőeljárás lefolytatására vagy ezen eljárásban való közreműködésre, a szabálysértések megelőzésére és felderítésére, valamint a szabálysértési eljárás lefolytatására vagy ezen eljárásban való közreműködésre, továbbá a büntetőeljárásban vagy szabálysértési eljárásban megállapított jogkövetkezmények végrehajtására irányuló tevékenységet folytató szerv vagy személy ezen tevékenység keretei között és céljából - ideértve az ezen tevékenységhez kapcsolódó személyes adatok levéltári, tudományos, statisztikai vagy történelmi célból történő kezelését is - (a továbbiakban együtt: bűnüldözési cél) végzett adatkezelése". A fogalomból az következik, hogy a büntető- és szabálysértési ügyekben eljáró igazságügyi szakértő az eljárást érintő adatkezelés szempontjából bűnüldözési adatkezelést folytató szervnek minősül, hiszen ezekben az eljárásokban meghatározott feltételek mellett egyfajta közreműködőként vesz részt, melynek során a büntető-, illetve szabálysértési eljárásokhoz igazodva bűnüldözési célú adatkezelést végez.

Azt tehát, hogy a jogalkalmazó, és így adott esetben az igazságügyi szakértő az eljárása során az adatkezelési tevékenységét az Infotv. vagy a GDPR szabályai szerinti végzi, nem a személyes adat jellege, hanem alapvetően az adott eljárás tárgya határozza meg.

A bűnüldözési célú adatkezelés fogalmától ugyanis el kell határolni a bűnügyi személyes adat fogalmát, amelyet az Infotv. 3. § 4. pontja határoz meg. E szerint "bűnügyi személyes adat: a büntetőeljárás során vagy azt megelőzően a bűncselekménnyel vagy a büntetőeljárással összefüggésben, a büntetőeljárás lefolytatására, illetve a bűncselekmények felderítésére jogosult szerveknél, továbbá a büntetés-végrehajtás szervezeténél keletkezett, az érintettel kapcsolatba hozható, valamint a büntetett előéletre vonatkozó személyes adat". Ezzel kapcsolatban kiemelést érdemel, hogy a fogalom mind a GDPR hatálya alá tartozó adatkezelések, mind a bűnüldözési célú adatkezelések esetében irányadó. Az Infotv. 2. § (2) bekezdése ugyanis - a GDPR A büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre vonatkozó személyes adatok kezelése című 10. cikkének felhatalmazása alapján[10] - a definíciót a személyes adatoknak az általános adatvédelmi rendelet hatálya alá tartozó kezelése során is alkalmazandónak tekinti. A korábbi rendelkezésektől eltérően a hatályos szabályozás szerint a bűnügyi személyes adatok fogalmilag már nem tartoznak a különleges adatok körébe[11], kezelésükre azonban a GDPR már hivatkozott 10. cikke szerinti felhatalmazása alapján a közhatalmi szerv felügyelete alatt történő adatkezelés mellett csak akkor van lehetőség, ha azt az érintett jogai és szabadságai tekintetében megfelelő garanciákat nyújtó uniós vagy tagállami jog lehetővé teszi. Ennek megfelelően, az adatok szenzitív voltát tulajdonképpen továbbra is megtartva rendelkezik úgy az Infotv. 5. § (7) bekezdése, hogy "[b]űnügyi személyes adatok kezelése esetén - ha törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusa ettől eltérően nem rendelkezik - a különleges adatok kezelésének feltételeire vonatkozó szabályokat kell alkalmazni".

A bűnüldözési célú adatkezelés és a bűnügyi adat fogalmaiból az következik, hogy a bűnüldözési célú adatkezelésre felhatalmazott szerveknek vagy személyeknek kizárólag az ezen tevékenységeik keretei között és céljából végzett adatkezelése

- 37/38 -

tartozik az Infotv. hatálya alá. Ha például az igazságügyi szakértő nem bűnüldözési célból kezel személyes adatokat, akkor adatkezelésére a GDPR szabályait kell alkalmazni. Ez a helyzet fordul elő akkor is, ha az igazságügyi pszichológus szakértő egy családjogi perben az érintett személy büntetett előéletre vonatkozó adatát (a perhez kapcsolódóan, de az abban való közreműködésnek megfelelően nem bűnüldözési céllal) kezeli.

Az adatkezelés jogalapjának meghatározása

Az adatkezelési tevékenységek természetének és ezzel összhangban az alkalmazandó jogforrásnak a meghatározása elengedhetetlenül fontos már az adatkezelés megkezdése előtt, hiszen ez determinálja, hogy a továbbiakban mely jogszabály rendelkezéseire kell majd figyelemmel lenni az eljárás során. Minden jog érvényesítéséhez helytálló jogcím szükséges, így az adatkezelés jogalapjának megjelölése esetén kiemelt szerepet kell, hogy kapjon a megfelelő és pontos hivatkozás kiválasztása. A nem megfelelő jogalap alkalmazása ugyanis akadályozhatja is az adatkezelő tevékenyégét, vagy befolyásolhatja, hogy az érintett az általa esetlegesen sérelmezett adatkezeléssel szemben milyen jogokat gyakorolhat. [A GDPR 21. cikke szerint az adatok kezelése ellen az érintett bizonyos esetekben tiltakozhat, azonban nem teheti ezt meg például a GDPR 6. cikk (1) bekezdés c) pontjában meghatározott, jogi kötelezettség teljesítésén alapuló jogalap szerinti adatkezelés esetén.[12]] A jogalapokkal kapcsolatban arra is szükséges rámutatni, hogy egy adatkezelésnek csak egy jogalapja lehet. Nem fogadható el, ha ugyanahhoz az adatkezeléshez különböző jogalapokat rendel az adatkezelő, hiszen a több jogalap egyidejű alkalmazása sérti az átláthatóság és a tisztesség elvét. Az igazságügyi szakértő polgári perben történő kirendelése esetén például az adatkezelés jogalapja főszabály szerint a GDPR 6. cikk (1) bekezdés c) pontja, azaz az, hogy az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges, míg büntetőeljárásban történő kirendelés esetén a jogalapot az Infotv. 5. § (1) bekezdésének hasonló tartalmú a) pontja teremti meg, amely kimondja, hogy "[s]zemélyes adat akkor kezelhető, ha azt törvény (...) közérdeken alapuló célból elrendeli". Ebben az esetben szükségtelen és félrevezető is lehet, ha az eljáró igazságügyi szakértő az adatkezelésére más jogalapot is megjelöl. Emellett érdemes azt is leszögezni, hogy a jogalap meghatározása szempontjából nincs szerepe annak, hogy egy személyes adat több különböző adatkezeléshez is szükséges lehet. Az adatkezelőnek ugyanis nem valamely konkrét személyes adat kezelésére kell jogalapot találnia, hanem az általa végzett, egymástól elhatárolható tevékenységekre kell kiválasztani a megfelelő jog-alapot.[13]

A leírtak alapján tehát az adatkezelőnek gondosan kell mérlegelnie, hogy melyik jogalapot alkalmazza, vagy hívja fel a konkrét adatkezelésre.

Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelések esetében a GDPR 6. és 9. cikke, a bűnüldözési célú adatkezelések esetében pedig az Infotv. 5. § (1) és (2) bekezdése határozza meg az adatkezelés jogalapjait. A nem különleges kategóriájú személyes adatok vonatkozásában a hivatkozott jogszabályhelyek az alábbiak szerint rendelkeznek:

- A GDPR 6. cikk (1) bekezdése:

"A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;

b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;

c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;

d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;

e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;

f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes

- 38/39 -

adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek."

- Az Infotv. 5. § (1) bekezdése:

"Személyes adat akkor kezelhető, ha

a) azt törvény vagy - törvény felhatalmazása alapján, az abban meghatározott körben, különleges adatnak vagy bűnügyi személyes adatnak nem minősülő adat esetén - helyi önkormányzat rendelete közérdeken alapuló célból elrendeli,

b) az a) pontban meghatározottak hiányában az az adatkezelő törvényben meghatározott feladatainak ellátásához feltétlenül szükséges és az érintett a személyes adatok kezeléséhez kifejezetten hozzájárult,

c) az a) pontban meghatározottak hiányában az az érintett vagy más személy létfontosságú érdekeinek védelméhez, valamint a személyek életét, testi épségét vagy javait fenyegető közvetlen veszély elhárításához vagy megelőzéséhez szükséges és azzal arányos, vagy

d) az a) pontban meghatározottak hiányában a személyes adatot az érintett kifejezetten nyilvánosságra hozta és az az adatkezelés céljának megvalósulásához szükséges és azzal arányos."

Látható, hogy a két jogszabályban meghatározott jogalapok tekintetében a leglényegesebb különbség az adatkezeléshez történő önkéntes hozzájárulásnak a kérdésében van. A bűnüldözési célú, Infotv.-en alapuló adatkezelés esetén ugyanis az érintett önkéntes hozzájárulása önmagában sosem képezheti jogalapját a személyes adatok kezelésének. Ennek fő oka, hogy a bűncselekmények megelőzése, nyomozása, felderítése és a vádeljárás lefolytatása feladatának ellátását a jog intézményesen ruházza át az illetékes hatóságokra, akik elrendelhetik vagy megkövetelhetik a természetes személyektől kérésük teljesítését. Ha az érintett jogi kötelezettséget teljesít, értelemszerűen nincs valós és szabad választási lehetősége, ezért az érintett reakciója a bűnüldözési adatkezelések során jellemzően nem tekinthető akarata szabad kinyilvánításának. Az érintetti hozzájárulásnak így csak kivételesen, például akkor van jelentősége a bűnüldözési célú adatkezelés során, ha arra például bűnügyi nyomozások keretében végzett DNS-vizsgálat lefolytatásához vagy büntetőjogi szankciók végrehajtásakor az érintett feltalálásának elektronikus azonosító igénybevételével történő figyelemmel kíséréséhez van szükség.[14]

A hozzájárulás fogalmát a GDPR 4. § 11. pontja határozza meg, mely szerint "az érintett hozzájárulása: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez". Ez azt jelenti, hogy az érintettnek egyenlő hatalmi viszonyok között, az összes szóba jöhető adatkezelési céllal kapcsolatban valódi választási lehetőséggel és rendelkezési joggal kell rendelkezniük a hozzájárulás megadása során. A megfelelő tájékoztatás megléte is alapfeltétele a hozzájáruláson alapuló adatkezelés jogszerűségének, azaz ahhoz, hogy a hozzájárulás érvényes legyen, az érintettnek legalább az adatkezelő kilétéről, az adatkezelési célokról, az érintett adatok köréről és a hozzájárulás visszavonásának lehetőségéről tudnia kell a hozzájárulás megadása előtt. Szintén kiemelt jelentősége van annak, hogy az adatok kezeléséhez történő hozzájárulás kifejezett legyen, ami azt jelenti, hogy azt mindig aktív cselekedettel vagy nyilatkozattal kell megadni, azaz nyilvánvalónak kell lennie, hogy az érintett hozzájárult az adott adatkezeléshez.[15] A hozzájárulással kapcsolatban fontos még kiemelni, hogy az érintett jogosult arra, hogy hozzájárulását bármikor visszavonja, ezt ugyanolyan egyszerű módon kell lehetővé tenni, mint a hozzájárulás megadását. A hozzájárulás visszavonhatósága - mely a hozzájáruláson alapuló, a visszavonás előtti adatkezelés jogszerűségét nem érinti - rávilágít arra a korábban már bemutatott szabályra, hogy olyan esetekben, amikor más jogalap is rendelkezésre áll, akkor azt célszerű és kell is használni, hiszen ellenkező esetben a hozzájárulás visszavonása ellehetetlenítheti a további adatkezelést.

Az adatkezelésre vonatkozó főbb szabályok és a szakértői tevékenység

Bár a tanulmány célja alapvetően a GDPR és az Infotv. szabályainak elhatárolása, ennek mentén indokolt bemutatni néhány, kifejezetten a szakértői adatkezelést érintő szabályt például az adatkezelés jogalapjával vagy az adatkezelői minőséggel kapcsolatban. Szükséges emellett utalni a Szaktv. leglényegesebb, szakértői adatkezelésre vonatkozó szabályaira is.

Fontos kiemelni, hogy a GDPR és az Infotv. fentiek alapján meghatározott rendelkezései értelemszerűen az igazságügyi szakértők adatkezelése esetén is alkalmazandók. Minden jogalkalmazói tevékenység során elengedhetetlen annak meghatározása, hogy az adatkezelés milyen jogalap alapján történik. Figyelemmel arra, hogy a szakértők a tevékenységüket főként kirendelés alapján látják el, a tanulmány a kirendelés teljesítése esetén alkalmazandó jogalapokat veszi sorra a nem különleges kategóriájú személyes adatok vonatkozásában.

Az általános adatvédelmi rendelet hatálya alá tartozó esetekben a kirendelés alapján eljáró igazságügyi szakértő adatkezelése főszabály szerint a GDPR 6. cikk (1) bekezdés c) pontján alapul. Ebben a kötelező adatkezelésként is meghatározható esetben az adatkezelést az teszi jogszerűvé, hogy az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez, azaz a kirendelés jogszabályban meghatározott kötelező teljesítéséhez és a Szaktv.-ben meghatározott feladatának ellátásához szükséges. Bűnüldözési célú adatkezelés során a kirendelt szakértő adatkezelésének alapja az Infotv. 5. § (1) bekezdésének szintén a kötelező adatkezelés körébe tartozó a) pontja szerinti jogalap, vagyis az, hogy az adatkezelést törvény vagy

- 39/40 -

- törvény felhatalmazása alapján, az abban meghatározott körben, különleges adatnak vagy bűnügyi személyes adatnak nem minősülő adat esetén - helyi önkormányzat rendelete közérdeken alapuló célból elrendeli.

Az igazságügyi szakértők adatkezelésére vonatkozó szabályok ismertetése során elengedhetetlen annak tisztázása, hogy a szakértő adatkezelőnek vagy adatfeldolgozónak minősül-e. A két fogalmat a GDPR, a bűnügyi irányelv és az Infotv. azonos rendező elvek szerint különíti el, és határozza meg.[16] Ezek szerint adatkezelőnek az a személy vagy bármely egyéb szervezet minősül, aki vagy amely a személyes adatok kezelésének célját és eszközeit meghatározza. Az adatkezelői minőség szempontjából nincs jelentősége annak, hogy a célok és eszközök meghatározása önállóan vagy másokkal együtt történik, a lényeg az, hogy a személy vagy szerv a folyamatban részt vesz. Ezzel szemben az adatfeldolgozó az a személy vagy szerv, aki vagy amely az az adatkezelő nevében a személyes adatokat kezeli.

A két fogalom összehasonlításakor látható, hogy az adatkezelő az a személy vagy szervezet, aki a személyes adatkezelés céljait és módjait meghatározza, míg az adatfeldolgozó főszabály szerint olyan, az adatkezelőtől elkülönült jogalanyisággal rendelkező természetes vagy jogi személy, aki vagy amely az adatkezelővel kötött szerződés alapján, az adatkezelő nevében és általában utasítására végez adatkezelést. Az igazságügyi szakértő a tevékenysége ellátása során a leírtaknak megfelelően adatkezelőnek minősül a feladatai ellátása körében, hiszen a vonatkozó jogszabályok alapján nagyfokú önállósággal rendelkezik az általa végzett területen mind a kezelt adatok körének megállapítása, mind az adatkezelési eszközök megállapítása tekintetében. Ugyanakkor, ha például alkalmazottat, leírót, titkárnőt alkalmaz a szakvélemény papírra vetéséhez vagy a szakvélemény postázásához, vagy informatikai támogatás keretében a rendszerüzemeltetéshez külső szolgáltatót vesz igénybe, akkor ezek a személyek az igazságügyi szakértő által kezelt adatok tekintetében adatfeldolgozónak minősülnek, és a szakértő által kezelt személyes adatokat csak az általuk végzett tevékenység ellátásához szükséges mértékben, a szakértő nevében kezelhetik.[17]

Az igazságügyi szakértők adatkezelése során természetesen a GDPR és az Infotv. szabálya mellett kiemelt figyelmet kell fordítani a Szaktv. valamint a különleges szabályokat meghatározó egyes ágazati jogszabályok adatkezelést meghatározó rendelkezéseire is.

Erre tekintettel az igazságügyi szakértő adatkezeléseire a Szaktv. 40-42. §-ában meghatározott szabályokat is alkalmazni kell. Ezek közül talán a legfontosabb, hogy a szakértő a tevékenysége során rendelkezésére bocsátott vagy tudomására jutott személyes adatokat a kirendelés vagy megbízás teljesítése, valamint tevékenységének szakmai, módszertani, fegyelmi és a jogszabályoknak való megfelelősége ellenőrizhetősége céljából jogosult kezelni, illetve, hogy a szakértőt a tevékenysége során tudomására jutott tényekre és adatokra nézve titoktartási kötelezettség terheli.[18]

A Szaktv. az általános, minden szakértői adatkezelés során alkalmazandó szabályok mellett külön rendelkezik a magánszakértői véleménnyel összefüggő adatkezelésekkel kapcsolatban is. A Szaktv. 53. § (1) bekezdés ugyanis az ezeknél az adatkezeléseknél is irányadó titoktartási kötelezettségre vonatkozó szabály rögzítése előtt kifejezetten kimondja, hogy a szakértő a magánszakértői vélemény elkészítése során rendelkezésére bocsátott vagy tudomására jutott személyes adatokat az érintett hozzájárulása szerinti jogalap alkalmazása esetén csak akkor jogosult kezelni, ha a hozzájárulás előzetes és írásbeli formában rögzített.

Összegzés

A tanulmány célja a GDPR, a bűnügyi irányelv és az Infotv. viszonyának bemutatása annak érdekében, hogy segítséget nyújtson az adatkezelést végző jogalkalmazók számára a sokszor párhuzamosnak tűnő, de mégsem egységes szabályok közötti eligazodásban. A jogszerű adatkezeléshez ugyanis elengedhetetlen a megfelelő szabályozási háttér megtalálása, és a megfelelő jogszabályhelyekre történő hivatkozás.

A két jogforrás alkalmazhatóságának fő elhatárolása, hogy a személyes adatok bűnüldözési célú adatkezelése során az Infotv., míg a személyes adatok általános adatvédelmi rendelet hatálya alá tartozó adatkezelése esetén a GDPR vonatkozó rendelkezéseire kell hivatkozni az adatkezelés során. A bűnüldözési célú adatkezelés esetében azonban fontos ismételten kiemelni, hogy az adatkezelés ezen jellegét nem a személyes adat jellege, hanem alapvetően az adott eljárás tárgya határozza meg.

A GDPR és az Infotv. szabályozási körének eltérése mellett azonban érdemes hangsúlyozni, hogy az Infotv. előírásai és alapelvei lényegüket tekintve alapvetően megegyeznek a GDPR-ban foglalt szabályokkal. Ez a gyakorlatban azt jelenti, hogy az adatkezelés annak ellenére, hogy eltérő jogszabályi rendelkezéseken alapul, tartalmilag sokszor azonos szabályok szerint zajlik. A két szabályozási rendszer között a kiemelendően fontos különbség az adatkezelés jogalapjának, ezen belül is az adatkezeléshez történő önkéntes hozzájárulásnak a kérdésében van. A bűnüldözési célú, főként az Infotv.-en alapuló adatkezelés esetén ugyanis az érintett önkéntes hozzájárulása önmagában sosem képezheti jogalapját a személyes adatok kezelésének. ■

JEGYZETEK

[1] A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) 2. cikk "(1) E rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

(2) E rendelet nem alkalmazandó a személyes adatok kezelésére, ha azt:

a) az uniós jog hatályán kívül eső tevékenységek során végzik;

b) a tagállamok az EUSZ V. címe 2. fejezetének hatálya alá tartozó tevékenységek során végzik;

c) természetes személyek kizárólag személyes vagy otthoni tevékenységük keretében végzik;

d) az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzik, ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését.

(3) A személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelésére a 45/2001/EK rendeletet kell alkalmazni. A 45/2001/EK rendeletet, valamint a személyes adatok ilyen kezelésére vonatkozó egyéb uniós jogi aktusokat a 98. cikkel összhangban hozzá kell igazítani az e rendeletben foglalt elvekhez és szabályokhoz.

(4) E rendelet nem érinti a 2000/31/EK irányelv alkalmazását, különösen az irányelv 12-15. cikkében foglalt, a közvetítő szolgáltatók felelősségére vonatkozó szabályokat."

[2] Eszteri Dániel: 15. fejezet: A bűnügyi irányelv. In: Péterfalvi Attila - Révész Balázs - Buzás Péter (szerk.): Magyarázat a GDPR-ról. Wolters Kluwer Hungary Kft., Budapest, 2018, 385. o.

[3] Bendik Tamás: 2. fejezet: A tagállami jog és a GDPR viszonya - az Infotv. szerepe a megváltozott szabályozási környezetben. In: Péterfalvi Attila - Révész Balázs - Buzás Péter (szerk.): Magyarázat a GDPR-ról. Wolters Kluwer Hungary Kft., Budapest, 2018, 42-43. o.

[4] Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXXII. törvény (a továbbiakban: Infotv.) 25. §

[5] Infotv. V. fejezet.

[6] Általános adatvédelmi rendelet 6. cikk (1) bekezdés c) és e) pont, (2) és (3) bekezdés, Infotv. 5. § (3) és (5) bekezdés.

[7] Infotv. 2. § (3) bekezdés.

[8] Infotv. 2. §

[9] Szombati Zoltán - Végvári Zsuzsanna: Személyes adatok kezeléséről igazságügyi szakértőknek. In: Szakály Zsuzsa (szerk.): Szakkérdésekről szakértőknek - Igazságügyi szakértőkre vonatkozó jogi kérdések tudományos és gyakorlati megközelítésből. Magyar Közlöny Lap- és Könyvkiadó Kft., Budapest, 2020, 264. o.

[10] Általános adatvédelmi rendelet 10. cikk: "A büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre, illetve a kapcsolódó biztonsági intézkedésekre vonatkozó személyes adatoknak a 6. cikk (1) bekezdése alapján történő kezelésére kizárólag abban az esetben kerülhet sor, ha az közhatalmi szerv adatkezelésében történik, vagy ha az adatkezelést az érintett jogai és szabadságai tekintetében megfelelő garanciákat nyújtó uniós vagy tagállami jog lehetővé teszi. A büntetőjogi felelősség megállapítására vonatkozó határozatok teljes körű nyilvántartása csak közhatalmi szerv által végzett adatkezelés keretében történhet"

[11] Általános adatvédelmi rendelet 9. cikk (1) bekezdés, Infotv. 3. § 3. pont.

[12] A jogalapok és az érintetti jogok kapcsolatát jól szemlélteti az ír adatvédelmi hatóság 2019 decemberében kiadott, A személyes adatok kezelésének jogalapjai című iránymutatása, amely a jogalapok részletes ismertetése mellett az alábbi táblázatos formában foglalja össze, hogy az érintetti jogok mely jogalapok szerinti adatkezelés esetén alkalmazhatók, illetve értelmezhetők. [In https://www.dataprotection.ie/sites/default/files/uploads/2019-12/Guidance%20on%20Legal%20Bases_Dec19_1.pdf [2020. 12. 08.].]

[13] Osztopáni Krisztián: 6. fejezet: Jogalapok. In: Péterfalvi Attila - Révész Balázs - Buzás Péter (szerk.): Magyarázat a GDPR-ról. Wolters Kluwer Hungary Kft., Budapest, 2018, 111-112. o.

[14] A személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló (EU) 2016/680 számú európai parlamenti és tanácsi irányelv (a továbbiakban: bűnügyi irányelv) (35) preambulumbekezdés.

[15] Az Európai Adatvédelmi Testület 5/2020. számú iránymutatása az (EU) 2016/679 rendelet szerinti hozzájárulásról. In: https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf [2020. 12. 08.] 7-18. o.

[16] Általános adatvédelmi rendelet 4. cikk 7. és 8. pont, bűnügyi irányelv 3. cikk 8. és 9. pont, Infotv. 3. § 10. és 18. pont.

[17] Szombati Zoltán - Végvári Zsuzsanna: Személyes adatok kezeléséről igazságügyi szakértőknek. In: Szakály Zsuzsa (szerk.): Szakkérdésekről szakértőknek - Igazságügyi szakértőkre vonatkozó jogi kérdések tudományos és gyakorlati megközelítésből. Magyar Közlöny Lap- és Könyvkiadó Kft., Budapest, 2020, 267-268. o.

[18] Az igazságügyi szakértőkről szóló 2016. évi XXIX. törvény 40. § (1) és (2) bekezdés.