Palotás Gergely

Völcsey Balázs

Magyarázat

a polgári eljárásjog

adat- és titokvédelmi

kérdéseiről

Szerkesztette

Völcsey Balázs

Wolters Kluwer Hungary • Budapest, 2024

Kiadja a

Wolters Kluwer Hungary Kft.

Budapest, 2024

1117 Budapest, Budafoki út 187–189.

Telefon: +36 (1) 464-5656

Fax: +36 (1) 464-5657

E-mail: info-hu@wolterskluwer.com

wolterskluwer.com/hu-hu

Felelős vezető: Kézdi Katalin, a Wolters Kluwer Hungary Kft. ügyvezetője

Kiadásért felelős: dr. Krizsán Brigitta

A kiadványok szerkesztéséért felelős: dr. Váci Tímea, dr. Krizsán Brigitta

Felelős szerkesztő: dr. Szilvási Miklós

Műszaki szerkesztés: Wolters Kluwer Hungary Kft.

Grafikai tervezés: Wolters Kluwer Hungary Kft.

ISBN 978-963-594-375-3

Termékkód: NEB1054

Kiadványaink megvásárolhatóak a shop.wolterskluwer.hu webáruházban.

Minden jog fenntartva, beleértve a sokszorosítás és a mű bővített, illetve rövidített változatának kiadási jogát is.

A Kiadó írásbeli hozzájárulása nélkül sem a teljes mű, sem annak bármely része semmiféle formában (fotokópia, mikrofilm vagy más hordozó) nem sokszorosítható.

Szerzők:

dr. Palotás Gergely

dr. Völcsey Balázs

Szerkesztette:

dr. Völcsey Balázs

Kézirat lezárva:

2024. január 31.

© dr. Palotás Gergely, dr. Völcsey Balázs, Budapest, 2024

© Wolters Kluwer Hungary Kft., Budapest, 2024

Rövidítések jegyzéke

Alapjogi Charta

Az Európai Unió Alapjogi Chartája (2016/C 202/02)

Alaptörvény

Magyarország Alaptörvénye (2011. április 25.)

Alkotmány

1949. évi XX. törvény A MAGYAR KÖZTÁRSASÁG ALKOTMÁNYA

Art.

2017. évi CL. törvény az adózás rendjéről

Avtv.

1992. évi LXIII. törvény a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról

Ákr.

2016. évi CL. törvény az általános közigazgatási rendtartásról

Be.

2017. évi XC. törvény a büntetőeljárásról

Becs.

12/2018. (VI. 12.) IM rendelet az egyes büntetőeljárási cselekményekre és a büntetőeljárásban részt vevő személyekre vonatkozó szabályokról

Beisz.

17/2014. (XII. 23.) OBH utasítás a bíróságok egységes iratkezelési szabályzatáról

BETFR

Bírósági Elektronikus Tájékoztatási és Figyelmeztetési Rendszer

BDSG

Német szövetségi adatvédelmi törvény [Bundesdatenschutzgesetz vom 30. Juni 2017 (BGBl. I S. 2097)]

BIIR

Bírósági Integrált Informatikai Rendszer

Bit.

2014. évi LXXXVIII. törvény a biztosítási tevékenységről

Bjt.

2011. évi CLXII. törvény a bírák jogállásáról és javadalmazásáról

Brüsszel Ia. rendelet

Az Európai Parlament és a Tanács 2012. december 12-i 1215/2012/EU rendelete a polgári és kereskedelmi ügyekben a joghatóságról, valamint a határozatok elismeréséről és végrehajtásáról

Bpnp.

2017. évi CXVIII. törvény a bírósági polgári nemperes eljárásokban alkalmazandó szabályokról, valamint egyes bírósági nemperes eljárásokról

Bszi.

2011. évi CLXI. törvény a bíróságok szervezetéről és igazgatásáról

Bszt.

2007. évi CXXXVIII. törvény a befektetési vállalkozásokról és az árutőzsdei szolgáltatókról, valamint az általuk végezhető tevékenységek szabályairól

Büsz.

14/2002. (VIII. 1.) IM rendelet a bírósági ügyvitel szabályairól

DÁP tv.

2023. évi CIII. törvény a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól

DSA rendelet

Az Európai Parlament és a Tanács 2022. október 19-ei (EU) 2022/2065 rendelete a digitális szolgáltatások egységes piacáról és a 2000/31/EK irányelv módosításáról (digitális szolgáltatásokról szóló rendelet)

EDPB

European Data Protection Board – Európai Adatvédelmi Testület

EGT

Európai Gazdasági Térség

EGT-Megállapodás

Megállapodás az Európai Térségről (1992. május 2.)

eIDAS rendelet

Az Európai Parlament és a Tanács 2014. július 23-i 910/2014/EU rendelete a belső piacon történő elektronikus tranzakciókhoz kapcsolódó elektronikus azonosításról és bizalmi szolgáltatásokról, valamint az 1999/93/EK irányelv hatályon kívül helyezéséről

Ekertv.

2001. évi CVIII. törvény az elektronikus kereskedelmi szolgáltatások, valamint az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről

EKSZ

Az Európai Közösséget létrehozó szerződés

EUB

Európai Unió Bírósága

EUMSZ

Az Európai Unió működéséről szóló szerződés

EUSZ

Az Európai Unióról szóló szerződés

Eüak.

1997. évi XLVII. törvény az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről

E-ügyintézési tv.

2015. évi CCXXII. törvény az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól

E-ügyintézési tv. vhr.

451/2016. (XII. 19.) Korm. rendelet az elektronikus ügyintézés részletszabályairól

Eütv.

1997. évi CLIV. törvény az egészségügyről

Fmhtv.

2009. évi L. törvény a fizetési meghagyásos eljárásról

GDPR

Az Európai Parlament és a Tanács 2016. április 27-i (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet)

Gyvt.

1997. évi XXXI. törvény a gyermekek védelméről és a gyámügyi igazgatásról

Hetv.

2010. évi XXXVIII. törvény a hagyatéki eljárásról

Hpt.

2013. évi CCXXXVII. törvény a hitelintézetekről és a pénzügyi vállalkozásokról

Iasz.

1997. évi LXVIII. törvény az igazságügyi alkalmazottak szolgálati jogviszonyáról

Ibtv.

2013. évi L. törvény az állami és önkormányzati szervek elektronikus információbiztonságáról

Igsz.

6/2015. (XI. 30.) OBH utasítás a bíróságok igazgatásáról rendelkező szabályzatról

Info tv.

2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról

Info tv. Javaslat

T/3586. számú törvényjavaslat az információs önrendelkezési jogról és az információszabadságról

Info tv. Módtv.

2018. évi XXXVIII. törvény az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvénynek az Európai Unió adatvédelmi reformjával összefüggő módosításáról, valamint más kapcsolódó törvények módosításáról

1997-es Inytv.

1997. évi CXLI. törvény az ingatlan-nyilvántartásról

Inytv.

2021. évi C. törvény az ingatlan-nyilvántartásról

1997-es Inytv. vhr.

109/1999. (XII. 29.) FVM rendelet az ingatlan-nyilvántartásról szóló 1997. évi CXLI. törvény végrehajtásáról

Inytv. vhr.

179/2023. (V. 15.) Korm. rendelet az ingatlan-nyilvántartásról szóló 2021. évi C. törvény végrehajtásáról

ÍTR

Ítélkezést Támogató Rendszer

Jat.

2010. évi CXXX. törvény a jogalkotásról

Jszr.

61/2009. (XII. 14.) IRM rendelet a jogszabályszerkesztésről

Ket.

2004. évi CXL. törvény a közigazgatási hatósági eljárás és szolgáltatás általános szabályairól

Kjnp.

2008. évi XLV. törvény az egyes közjegyzői nemperes eljárásokról

Kjtv.

1991. évi XLI. törvény a közjegyzőkről

KKSZB

Központi Kormányzati Szolgáltatás BUSZ

Kmtv.

2017. évi CXXVIII. törvény a költségmentesség és a költségfeljegyzési jog polgári és közigazgatási bírósági eljárásban történő alkalmazásáról

Kp.

2017. évi I. törvény a közigazgatási perrendtartásról

LED irányelv

Az Európai Parlament és a Tanács 2016. április 27-i (EU) 2016/680 irányelve a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről

LIR

Lajstrom Irodai Rendszer

Ltv.

1995. évi LXVI. törvény a köziratokról, a közlevéltárakról és a magánlevéltári anyag védelméről

Mavtv.

2009. évi CLV. törvény a minősített adat védelméről

Mttv.

2010. évi CLXXXV. törvény a médiaszolgáltatásokról és a tömegkommunikációról

NAIH

Nemzeti Adatvédelmi és Információszabadság Hatóság

Nytv.

1992. évi LXVI. törvény a polgárok személyi adatainak és lakcímének nyilvántartásáról

OBH

Országos Bírósági Hivatal

OBT

Országos Bírói Tanács

Pmt.

2017. évi LIII. törvény a pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról

1952-es Pp.

1952. évi III. törvény a polgári perrendtartásról

Pp.

2016. évi CXXX. törvény a polgári perrendtartásról

Pp. Javaslat

T/11900. számú törvényjavaslat a polgári perrendtartásról

1959-es Ptk.

1959. évi IV. törvény a Polgári Törvénykönyvről

Ptk.

2013. évi V. törvény a Polgári Törvénykönyvről

Rtv.

1994. évi XXXIV. törvény a Rendőrségről

Smtv.

2010. évi CIV. törvény a sajtószabadságról és a médiatartalmak alapvető szabályairól

Szaktv.

2016. évi XXIX. törvény az igazságügyi szakértőkről

Szoctv.

1993. évi III. törvény a szociális igazgatásról és szociális ellátásokról

ÜIR

Ügyfél Irathozzáférési Rendszer

Üttv.

2017. évi LXXVIII. törvény az ügyvédi tevékenységről

Üsztv.

2011. évi CLXIV. törvény a legfőbb ügyész, az ügyészek és más ügyészségi alkalmazottak jogállásáról és az ügyészi életpályáról

Ütv.

2011. évi CLXIII. törvény az ügyészségről

Ügyviteli könyv

Völcsey Balázs (szerk.): A bírósági ügyvitel gyakorlati kérdései. Wolters Kluwer, Budapest, 2022.

Vht.

1994. évi LIII. törvény a bírósági végrehajtásról

WP29

29. cikk szerinti munkacsoport

Előszó

2018. május 25. napjától Magyarországon is alkalmazandó a GDPR. Ez az uniós jogi aktus meghatározó mértékben befolyásolja a polgári ügyekben eljáró bíróságok mindennapi ítélkezését. Ez a hatás nemcsak az általános adatvédelmi rendelet egyes rendelkezéseinek közvetlen hatályával és közvetlen alkalmazandóságával függ össze, hanem azzal is, hogy a GDPR alapján a polgári eljárásokban a bíróságoknak egészen más szemléletmódot kell követniük az adatvédelem és az adatkezelés kérdéseiben.

A jelen kötet ennek megfelelően a GDPR polgári eljárások szempontjából releváns normáit elemzi, minden esetben elsődlegesen az ítélkezés során felmerülő kérdéseket szem előtt tartva. Így részletesen elemzésre kerülnek az érvényesülő adatvédelmi szabályrendszerek (2. fejezet).

A 3. fejezet átfogóan vizsgálja a GDPR főbb szabályait (hatály, alapvető fogalmak, adatkezelési alapelvek, jogalapok). Ennek során hiánypótló jelleggel nemcsak a bíróságok, hanem az eljárás egyéb résztvevői általi adatkezelés is áttekintésre kerül.

A szerzők külön fejezetben mutatják be a bírósági polgári eljárásokhoz kapcsolódó, egyéb adatvédelmi kérdéseket, így jelentőségénél fogva kiemelten: az anonimizálás és a tárgyalás nyilvánosságának az összefüggéseit az adatvédelmi kérdésekkel.

Az adatvédelem egyik legfontosabb területe az érintetti joggyakorlás, amely kérdéskört a szerzők a 5. fejezetben elemeznek részletesen. Az érintetti jogok elemzése szükségszerűen megköveteli az érintetti jogok korlátozásának vizsgálatát (6. fejezet).

Az adatvédelmi szabályok megsértését, valamint a rendelkezésre álló jogorvoslati lehetőségeket mind a GDPR, mind a magyar jogszabályi környezetben a 7–8. fejezetekben vizsgálják a szerzők.

A mindennapi ítélkezés során az eljáró bírák folyamatosan szembesülnek adatvédelmi és titokvédelmi kérdésekkel. Ezeket a gyakorlatban felmerülő problémákat azonosítja és válaszolja meg a 9. fejezet.

Végezetül önálló szerkezeti egységben kerül bemutatásra a kifejezetten az adatvédelmi területen bevezetett jogorvoslat: az adatvédelmi kifogás jogintézménye.

A szerzők bár a magyar ítélkezést befolyásoló jogi környezetet elemzik, munkájuk során érdemben tekintettel voltak az Európai Unió Bíróságának ítélkezési gyakorlatára és a főbb európai uniós tagállami jogalkotási megoldásokra.

1. Bevezetés

Az adatvédelmi szabályozás és a bíróságok viszonyára sokan szkeptikusan tekintenek, és az eljárásjogi szabályok elsőbbségéből indulnak ki. Éppen ezért elsőként ezen álláspont helyességét kell vizsgálat alá vonni. A peres eljárás megindításakor keletkező, majd a kereset közlésével kiteljesedő közjogi jogviszony a perindítás eszközéül szolgáló irat bíróságra érkezésével jön létre, melyben a bíróság a közhatalom megtestesítőjeként vesz részt, szerepe az Alaptörvény 25. cikk (1) bekezdéséből ered. E közjogi jogviszonyban a bíróságok igazságszolgáltatási tevékenysége a Pp. hatálya alá eső magánjogi jogviták elbírálása során felmerülő eljárási cselekményekben nyilvánul meg. Már maga az első kapcsolatfelvétel eszközéül szolgáló irat az esetek rendkívül szűk körű kivételével személyes adatok sorát tartalmazza. Annak beérkezésével pedig elvégzésre kerül az első adatkezelési művelet a bíróság által, amikor a személyes adatok tárolása akár papíralapon vagy elektronikus úton megtörténik a beadvány fogadásakor. A személyes adatokkal kapcsolatos további intézkedések pedig ugyanígy adatkezelési műveleteket jelentenek. Ez az Alkotmánybíróság döntéseiben már 2011-ben megjelent, amikor kimondta, hogy: „[…] a bíróságok működésével összefüggésben, ha feladatkörükben konkrét természetes személlyel kapcsolatba hozható, konkrét jogokról döntenek, minden esetben felmerül, hogy az iratokban és a határozatokban személyes adatok kezeléséről van szó” [879/E/2004. AB határozat 2.2.2. pont]. „Az adatok egy része a bíróságon kívül keletkezik, más részük pedig az ügyben érintett természetes személyek nyilatkozatait tartalmazza” [873/B/2008. AB határozat 2. pont].

A személyes adat és azok kezelése mint fogalmak az adatvédelemre vonatkozó szabályokban kerülnek definiálásra. A fogalommeghatározások széles körben vonják e fogalmi körökbe az egyes információkat és a kezelésükre vonatkozó műveleteket. Szabályozásuk még csak nem is egységes, mert az egyes adatkezelések tárgyához és céljához, valamint az adatkezelő személyéhez képest a szabályrendszert megalkotó jogalkotó felhatalmazása eltérő eszközökben nyilvánult meg. Az azonban általánosságban elmondható, hogy az adatkezelések alapjául szolgáló jogviszonyokhoz e szabályozások járulékos jelleggel kapcsolódnak. Hazánkban a rendszerváltást követően az Alkotmány módosítása, majd ezt követően az Avtv. megalkotása jelentette azt a lépést, amellyel külön törvényben nyert szabályozást e jogterület. Az Avtv. szabályai pedig még nem is tartalmaztak a bíróságok igazságszolgáltatási tevékenységére vonatkozó kivételszabályokat. A szabályozás ugyanakkor nem volt teljes körű, csak keretet adott az egyes ágazati szabályozások kialakításának.

A bíróságokra vonatkozó intézményi kivétel viszont a jelenlegi szabályozásban sem található meg, így a bíróság adatkezelési tevékenységétől függően alkalmazandó norma személyi hatálya a bíróságokra is kiterjed. Ráadásul a GDPR (20), illetve a LED irányelv (80) preambulumbekezdései kifejezetten kimondják, hogy rendelkezéseiket a bíróságok adatkezelési tevékenységeire is alkalmazni kell. Egyben utalnak a részükre engedélyezett szűk körű eltérési lehetőségekre is. Az tehát nem lehet kérdéses, hogy a személyes adatok bíróságokon való kezelése alá van-e vetve az adatkezelési szabályoknak. Sokkal inkább kérdés, hogy az adatvédelmi szabályozás alapelvi jellegéből következően a bíróságok adatkezelése mikor feleltethető meg az adatvédelmi szabályozóknak, különösen abban az esetben, ha konkrét eljárásjogi norma nem nyújt iránymutatást az adott kérdésben. Nem képezheti ugyanis vita tárgyát, hogy egy polgári peres eljárásban a bizonyítás során az adattakarékosság egészen másként értelmezendő, mint egy üzemi terület kamerás megfigyelése esetében.

Bár a bíróságoknak adatkezeléseik során különleges jogállásra valóban nincsen szükségük, a személyes adatok kezelésére vonatkozó előírásokat be kell tartaniuk. Ugyanakkor a sajátos feladatkörből eredően a jogalkotónak eltéréseket kell biztosítania bizonyos esetekben az általános szabályoktól a bírói függetlenség és a bírósági eljárások védelme érdekében. Ennek kapcsán kell visszautalni az Alkotmánybíróság 873/B/2008. AB határozata 2. pontjában a személyes adatok bírósági határozatokban való kezeléséről kimondottakra: „A bírósági eljárás a jogérvényesítés eszköze. A legtöbb esetben a bírósági út igénybevétele nem választási lehetőség; a jogalany tipikusan vagy rajta kívül álló okok miatt válik féllé az eljárásban (pl. büntetőeljárás vádlottja, polgári ügy alperese), vagy pedig a bírói út az egyetlen legitim módja jogainak, érdekeinek érvényesítésére. A bírósági eljárásban való részvételt tehát nem lehet a személyes adatok védelméhez való jogról történő »önkéntes lemondásnak« tekinteni.” E megállapítás jól szemlélteti a bírósági adatkezelések szükségszerűségét, ami indokolttá teheti eltéréseket tartalmazó szabályok megalkotását.

Azt megelőzően azonban, hogy az adatvédelmi szabályozás esetleges hiányosságait venné górcső alá e mű, a mai adatvédelmi szabályok kialakulása lépcsőinek rövid bemutatását, azok bírósági adatkezelésekre vonatkoztatását, és a személyes adatok védelme esetében használatos fogalmak bővebb kifejtését követően az alapvető adatvédelmi szabályoknak a polgári eljárásokban betöltött szerepét magyarázza meg. Azonban az adatkezelésekkel kapcsolatos szabályok ismertetése nem lenne teljes, ha az adott esetben minősített adati vagy titok minőséggel is bíró adatok kezelésére nem terjedne ki. Ezért a mű címéből következően a másik nagy szerkezeti egység a titokvédelem területét dolgozza fel.

2. Az adatvédelmi szabályrendszerek

Az adatvédelmi szabályok kialakulásának részletes bemutatása nem célja jelen kötetnek, de mindenképpen szükséges kitérni az uniós és a nemzeti szabályok közelmúltbéli alakulására. A bekövetkezett változások ugyanis egymással kölcsönhatásban zajlottak le. Az Avtv. szabályai hazánk uniós csatlakozását megelőző harmonizációja a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló 95/46/EK európai parlamenti és tanácsi irányelv korábban le nem fedett szabályaival, majd annak az Info tv. általi felváltása, végül pedig a GDPR rendeleti szintű szabályként való megalkotása mind olyan szabályozásokat jelentettek, amelyek a bíróságok adatkezelését is érintették. Az irányelvi szabályokat felváltó rendeleti szintű jogforrás és mellette a tagállami jogalkotó nyitó klauzulák által megteremtett mozgástere ennek bemutatásán keresztül válik megérthetővé.

2.1. Az uniós adatvédelmi szabályozás alakulása

Az Európai Unió a Lisszaboni Szerződés előtt nem rendelkezett átfogó jogalkotási hatáskörrel az adatvédelem területén. A korábbi adatvédelmi szabályozás, a 95/46/EK európai parlamenti és tanácsi irányelv megalkotásakor még a belső piac kialakításából és működéséből eredő gazdasági és társadalmi integráció volt a szabályozás mozgatórugója [95/46/EK európai parlamenti és tanácsi irányelv (5) preambulumbekezdés]. A belső piac létrehozásához szükségesként lett megjelölve, hogy a személyes adatok áramlása előtti akadályok elhárítása érdekében az egyének jogai és szabadságai védelmének szintje az ilyen adatok feldolgozása (helyesen: kezelése) terén azonos kell legyen minden tagállamban [95/46/EK európai parlamenti és tanácsi irányelv (8) preambulumbekezdés]. A preambulumbekezdésekben megjelölt szerződési rendelkezések még az Amszterdami Szerződéssel történt átszámozás előtti hivatkozásokat tartalmazzák, így a belső piac létrehozásáról szóló 7a. cikk később a 14. cikként került jelölésre. A 95/46/EK európai parlamenti és tanácsi irányelv 1995. október 24-én történt elfogadásától három év állt az akkori tagállamok rendelkezésére az irányelv szabályainak való megfelelésre. Hazánk későbbi uniós csatlakozására figyelemmel a 2003. évi XLVIII. törvény került elfogadásra a jogharmonizációs kötelezettség teljesítése érdekében, mellyel az akkor hatályos Avtv. módosítása történt meg.

A 95/46/EK európai parlamenti és tanácsi irányelv hatálya alól kizárt területek kizárólag a közösségi jog hatályán kívül eső tevékenységek, és a természetes személy által kizárólag személyes célra vagy háztartási tevékenysége keretében végzett adatkezelések voltak. Előbbi körbe tartoztak a büntetőjog területén az állami tevékenységekkel kapcsolatos adatkezelési műveletek is. A büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés kereteit az (EUSZ) VI. címe határozta meg. A rendőrségi együttműködés terén megvalósítandó közös fellépés magában foglalta a releváns információk összegyűjtését, tárolását, feldolgozását, elemzését és cseréjét, amelynek során a személyes adatok védelmére vonatkozó rendelkezéseket is figyelembe kellett venni [EUSZ 30. cikk (1) bekezdés b) pont]. Az együttműködés előmozdítása végett a Tanács – egyebek mellett – kerethatározati formában szabályozást fogadhatott el a tagállamok törvényi, rendeleti és közigazgatási rendelkezéseinek közelítése céljából, amely az elérendő célokat illetően kötelező a tagállamokra [EUSZ 34. cikk (2) bekezdés b) pont]. Ilyen formában került megalkotásra a Tanács 2008/977/IB kerethatározata a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében kezelt személyes adatok védelméről.

A Lisszaboni Szerződés változást hozott az Európai Unió jogi felépítésében, és ez a változás magában foglalta a személyes adatok védelméhez való jog kimondását az adatvédelmi szabályokra vonatkozó jogalkotás kereteinek rögzítésével (EUMSZ 16. cikk). Eszerint a személyes adatok védelmére és szabad áramlására vonatkozó szabályokat rendes jogalkotási eljárás keretében az Európai Parlament és a Tanács állapítja meg. Rögzítette továbbá, hogy e szabályok tiszteletben tartását független hatóságok ellenőrzik. E szabályok azonban nem érintették a közös kül- és biztonságpolitika területét, melynek esetében e cikkre utalva, de attól eltérve a Tanács hatáskörébe utalta a jogalkotást (EUSZ 39. cikk).

A korábban, a nizzai csúcstalálkozón elfogadott Alapjogi Charta már alapjogként rendelte védeni a személyes adatok védelméhez való jogot, de státusza rendezetlen volt. Ezen is változtatott a Lisszaboni Szerződés azzal, hogy kimondta: az Alapjogi Charta ugyanolyan jogi kötőerővel bír, mint a Szerződések [EUSZ 6. cikk (1) bekezdés].

A Lisszaboni Szerződés hatálybalépését követően az adatvédelmi szabályozás tekintetében sürgetett változások 2016-ra jártak eredménnyel, a korábbi irányelvi szabályozást ekkor váltotta fel a GDPR közvetlenül alkalmazandó rendeleti szabályozása. Ezzel egyidejűleg a bűnüldözési adatkezelések területén a korábbi tanácsi kerethatározatot a LED irányelv irányelvi szabályozása váltotta. A GDPR 2016 májusi hatálybalépését követően az alkalmazandóvá válásra 2 év időtartamot biztosítottak, a LED irányelv esetében pedig a tagállamok általi átültetésre. Természetesen a rendeleti szabályozás jellegéből eredően is szükségessé vált a területet érintő dereguláció. Emellett a GDPR jogforrási forma ellenére is jelentős mozgásteret biztosít a tagállamok számára az ún. nyitó klauzulák révén.

Ezzel párhuzamosan az uniós intézményekre még az EKSZ rendelte alkalmazni a személyes adatok védelmére vonatkozó közösségi jogi aktusokat 1999. január 1-jétől (EKSZ 286. cikk). Az adatkezelésükre vonatkozó részletes szabályokat az Európai Parlament és a Tanács 45/2001/EK rendelete állapította meg, míg az ellenőrzés körében az Európai Parlament, a Tanács és a Bizottság 1247/2002/EK határozata rendelkezett az európai adatvédelmi biztos feladatainak ellátására vonatkozó szabályokról. E szabályok 2018. december 10-ével vesztették hatályukat, és az Európai Parlament és a Tanács (EU) 2018/1725 rendelete váltotta fel a korábbi szabályozást.

Mindezek mellett az Info tv. jelenleg is hatályos szabálya, hogy a közszféra információinak további felhasználására vonatkozóan e törvénytől eltérő szabályok állapíthatóak meg. E szabályok azonban nem a GDPR eltérést engedő felhatalmazásán alapulva kerültek a törvénybe, hanem még a 2003/98/EK európai parlamenti és tanácsi irányelvben foglaltak átültethetőségének biztosítására tekintettel, az Info tv. megalkotásakor. Magát a 2003/98/EK európai parlamenti és tanácsi irányelvet azóta felváltotta az Európai Parlament és a Tanács (EU) 2019/1024 irányelve, és a GDPR is rendelkezik a hivatalos dokumentumokhoz való nyilvános hozzáférésről (GDPR 86. cikk). Az átültetésre vonatkozó határidő 2021. július 17-ig tartott, de az információszabadságra vonatkozó legfontosabb szabályokat tartalmazó Info tv. a mai napig az ezen időpontban hatályát vesztett korábbi irányelvre utal a megfelelés körében [Info tv. 77. § c) és e) pont]. Az irányelvi szabályozásnak való megfelelést a nemzeti adatvagyonról szóló 2021. évi XCI. törvény szolgálta. Azonban az Európai Parlament és a Tanács (EU) 2022/868 rendelete (Data Governance Act – adatkormányzási rendelet) 2023. szeptember 24-ei alkalmazandóvá válására figyelemmel az annak végrehajtásához szükséges rendelkezésekhez megalkotásra került a 2023. évi CI. törvény, ami a jövőben az irányelvi szabályok átültetésének szerepét is átveszi a 2024. április 1-jével hatályát vesztő 2021. évi XCI. törvénytől.

A Bizottság 2017 januárjában nyújtotta be az elektronikus hírközlési adatvédelmi rendelet javaslatát,1 amely a személyes adatnak minősülő elektronikus hírközlési adatok vonatkozásában pontosítja és kiegészíti a GDPR szabályait. Jenleg ezen a területen irányelvi szabályozás van hatályban: az Európai Parlament és a Tanács 2002. július 12-i 2002/58/EK irányelve az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról és a magánélet védelméről; erről és a GDPR közötti kölcsönhatásról az EDPB véleményt fogadott el. (Az EDPB 5/2019. számú véleménye az elektronikus hírközlési adatvédelmi irányelv és az általános adatvédelmi rendelet közötti kölcsönhatásról, különösen az adatvédelmi hatóságok illetékessége, feladatai és hatásköre tekintetében.)

Ezek mellett ki kell emelni a kifejezetten nem személyes adatnak minősülő adatok Európai Unióban való szabad áramlásának keretét rendező, az Európai Parlament és a Tanács (EU) 2018/1807 rendeletét. E rendelet hivatalos értelmezését a Bizottság közleményben2 tette közzé. A szabályozás célja az adatlokalizáció jelentette akadályra vonatkozó követelmények és együttműködési mechanizmus meghatározása a tagállamok illetékes hatóságai számára való hozzáférés biztosításának céljából, valamint az adathordozással kapcsolatos szabályok előírása volt. 2023 decemberében pedig elfogadásra került az adathozzáférésre és -felhasználásra vonatkozó adatrendelet, amely azonban csak 2025. szeptember 12-étől lesz alkalmazandó.

2.2. A nemzeti adatvédelmi szabályok

A személyes adatok védelméhez való jog védelme hazánkban több szinten valósul meg. Egyrészről alapjogi jogvédelemben részesül, amely 1989. október 23-ával jelent meg az Alkotmányban alapvető jogként (Alkotmány 59. §), majd az Alaptörvény is a magánszféra védelmét rendező VI. cikkében szabályozta. Egyúttal kimondta, hogy a személyes adatok védelméhez és a közérdekű adatok megismeréséhez való jog érvényesülését sarkalatos törvénnyel létrehozott, független hatóság ellenőrzi. E hatóság jelenti a GDPR 51. cikk (1) bekezdésében írt tagállami felügyeleti hatóságot, amely hazánkban a NAIH. Az adatvédelmi szabályok jogági jellegét is mutatja, hogy az Info tv.-ben szabályozott ellenőrzési mechanizmusok közül az adatvédelmi hatósági eljárás közigazgatási hatósági eljárás. A vizsgálati eljárás azonban nem tartozik ebbe a körbe.

Az adatvédelmi szabályozás tehát közjogi védelemben részesíti a személyes adatokat. A magánjog területén pedig a Ptk. személyiségi jogi szabályai között részesül személyiségvédelemben a nevesített személyiségi jogként való szabályozásával. Sem az 1959-es Ptk., sem a Ptk. szabályozása nem tartalmaz ugyanakkor a védelemben részesítésen túl az adatkezelésre vonatkozó előírásokat. Magukat a személyes adatok kezelésére vonatkozó előírásokat tartalmazó rendelkezéseket tehát az adatkezeléstől függően alkalmazandó közjogi szabályok rögzítik.

A 95/46/EK európai parlamenti és tanácsi irányelvvel érintett módosítás elfogadásakor az adatvédelmi szabályokat az Avtv. tartalmazta, a jogharmonizáció ennek módosításával valósult meg. Ezt megelőzően az Avtv. jogalapi katalógusa tulajdonképpen kettős volt: az érintetti hozzájárulás mellett a jogszabály általi elrendelést ismerte még a törvény. Ekként e duális rendszert kellett összhangba hozni a 95/46/EK európai parlamenti és tanácsi irányelv hat pontból álló jogalapi katalógusával, ami eleve nyolc különböző jogalapot tartalmazott. Az irányelv b) és e) pontja ilyen szempontból kettős szabály volt. Az átültetést a jogalkotó úgy oldotta meg, hogy az eredeti jogalapi listát érintetlenül hagyta, és két alcímmel odébb, az adatkezelés célhoz kötöttsége körében rögzítette a 95/46/EK európai parlamenti és tanácsi irányelv 7. cikkének további szabályait [Avtv. 5. § (4) bekezdés]. Mindezt tette akként, hogy az adatkezelésnek az érintett hozzájárulásán vagy jogszabályi rendelkezésen kellett alapulnia, és a további jogalapok ezekhez kapcsolódó célként jelentek meg. A javaslati indokolás alapján az irányelvvel való összhang megteremtése érdekében szabályozza a törvény a magánjogi szerződésekkel kapcsolatos adatkezeléseket, valamint meghatározza azokat a főbb érdekeket, amelyek érvényesítése alkotmányosan megalapozza a személyes adatok kezelését. Tehát a jogalkotói cél jogalapi szabályok megteremtésére irányult, végül egy sajátos hibrid megoldásig jutva az adatkezelés lehetséges céljait rögzítette, tovább korlátozva az adatkezelések jogszerű kereteit.

Ez a folyamat az adatvédelemre vonatkozó normák sajátos alakulásának szemléltetésére került feltárásra. A bíróságok adatkezeléseit nem a jogalapi lista további elemei, hanem sokkal inkább egy másik szabály érintette. Az Avtv. szintén ekkor elfogadott rendelkezése ugyanis előírta a kötelező adatkezelésekre, hogy az adatkezelés célját és feltételeit, a kezelendő adatok körét és megismerhetőségét, az adatkezelés időtartamát, valamint az adatkezelő személyét az adatkezelést elrendelő törvény vagy önkormányzati rendelet határozza meg [Avtv. 3. § (3) bekezdés]. Ezeket a szabályokat kellett volna 2004. január 1. napjától megtalálni valamennyi kötelező, tehát törvény vagy helyi önkormányzat által elrendelt adatkezelés esetében. A hiányosság számtalan ágazati jogszabály mellett az 1952-es Pp.-t is érintette, azonban önmagában ennek következtében nem lehetett a bírósági adatkezelések jogszerűsége kapcsán állást foglalni. Az adatkezeléssel járó eljárások vagy a bíróságok igazgatása esetében a feladatok ugyanis az eljárásjogi, illetve a szervezeti és jogállási törvényekben rendezést nyertek. Az Avtv. idézett rendelkezésének címzettje pedig nem az adatkezelő, hanem a jogalkotó volt. A jogalkotói mulasztás pedig nem vezetett a bíróságok adatkezeléseinek jogszerűtlenségéhez, ilyen esetben viszont a jogszerűség biztosítása többletkötelezettségeket támaszt az adatkezelő számára. Az Info tv. Módtv. erre vonatkozóan eligazítást is adott az adatkezelők számára [Info tv. 5. § (5) bekezdés], de az Info tv. módosításának hatályba lépésekor már az új eljárásjogi törvények voltak hatályban. Így a hiányosság a Szabs. tv. esetében a szabálysértési eljárásokat illetően jelentkezik hangsúlyosan.

Az Avtv.-t felváltó Info tv. szabályai az Info tv. Módtv.-nyel történt módosításig az adatkezelésekre tulajdonképpen egységes szabályozást tartalmaztak. A jogalapok esetében az új törvény is megmaradt a duális rendszernél azzal, hogy az Avtv.-ben megjelent hibrid dualista rendszernek a továbbfejlesztett változatát tartalmazta. Az adatkezelés lehetséges céljaiként degradált jogalapok közül a jogi kötelezettség teljesítését és a jogos érdeket egyfajta kiegészítő jogalapként szabályozta arra az esetre, ha az érintett hozzájárulásának beszerzése lehetetlen, vagy aránytalan költséggel járna [Info tv. az Info tv. Módtv.-nyel történt módosítását megelőzően hatályos 6. § (1) bekezdése]. Az Info tv. az adatkezelés saját vagy más személy létfontosságú érdekeinek védelméhez szükséges voltát szintén korlátozott körben tartotta felhívhatónak jogalapként arra az esetre, ha az érintett cselekvőképtelensége folytán vagy más elháríthatatlan okból nem képes hozzájárulását megadni, és ezt is csak a hozzájárulás akadályainak fennállásához kötött időtartamra nézve [Info tv. az Info tv. Módtv.-nyel történt módosítását megelőzően hatályos 6. § (2) bekezdés]. A hozzájárulásos jogalapon megkezdett adatkezelésre pedig ugyanezen két jogalapot behozta a további külön hozzájárulás nélküli, valamint az érintett hozzájárulásának visszavonását követő adatkezelésre [Info tv. az Info tv. Módtv.-nyel történt módosítását megelőzően hatályos 6. § (5) bekezdés]. E két jogalapot tehát másodlagos jogalapként az Info tv. korábbi szabályai is tartalmazták. Látható volt ugyanakkor, hogy a jogalkotó továbbra is a megszokott kettőst látja az adatkezelések jogszerűségének megtestesítőjeként, mivel javaslati indokolásában is utalt rá: a személyes adatok kezelését főszabály szerint továbbra is két jogalapon teszi lehetővé (Info tv. Javaslat, 84. o.). Emellett kifejezetten a bírósági és hatósági eljárásokat illetően az érintett kezdeményezésére indult eljárásban az eljárás lefolytatásához szükséges személyes adatok tekintetében az érintett kiterjesztett hozzájárulását vélelmezte, továbbá hasonló szabályt tartalmazott az érintett közszereplésére is [Info tv. az Info tv. Módtv.-nyel történt módosítását megelőzően hatályos 6. § (6)–(7) bekezdés].

Az Info tv. korábbi szabályozása mögötti logikát érdemesebb közelebbről megvizsgálni, hiszen több mint hat éven keresztül e szabályozás mentén volt megítélendő az adatkezelések jogszerűsége. A kiindulópont a 95/46/EK európai parlamenti és tanácsi irányelv jogforrási jellege, valamint azon szabálya, mely szerint a tagállamok a II. fejezet rendelkezéseinek korlátai között részletesen meghatározzák, hogy a személyes adatok feldolgozása milyen feltételek mellett jogszerű (95/46/EK európai parlamenti és tanácsi irányelv 5. cikk). Az EUB meg is jegyezte, hogy: „[a]z irányelv rendelkezéseit bizonyos rugalmasság jellemzi, számos esetben lehetővé téve a tagállamok számára a részletek meghatározását vagy a több lehetőség közül történő választást. Ily módon különbséget kell tenni egyrészt az irányelv 7. cikkében felsorolt elvek valamelyikének hatályát módosító további követelményeket előíró nemzeti intézkedések, másrészt az ezen elvek valamelyike tekintetében pontosítást előíró nemzeti intézkedések között. Az első típusba tartozó nemzeti intézkedés tiltva van. A tagállamok kizárólag a második típusba tartozó nemzeti intézkedések keretében rendelkeznek mérlegelési mozgástérrel az irányelv 5. cikke értelmében.” (C–468/10. és C–469/10. sz. egyesített ügyek ASNEF és FECEMD kontra Administracion del Estado ítélet 35. pont.) Ahogy a 2.3.2. pontban a nyitó klauzulák kapcsán a GDPR-t részben az irányelvekhez közelítő álláspont jelenik meg, úgy a 95/46/EK európai parlamenti és tanácsi irányelv esetében az EUB álláspontjából a jogforrási jelleg pont fordított, a rendelethez közelítő értelmezésére következtethetünk.

A jogalkotó mindenesetre nem az EUB értelmezését vette alapul a szabályozás megalkotásakor, bár a fent idézett határozat a javaslat megalkotáskor még nem létezett, de már az Avtv. módosítását megelőző döntésekből kiolvasható volt a 95/46/EK európai parlamenti és tanácsi irányelvvel kapcsolatban elfoglalt álláspont. A jogalapi szabályokhoz kapcsolódóan a jogalkotói szándék az Info tv. javaslati indokolásából állapítható meg. A két hagyományosnak mondható alapelv bevezetését követően az indokolás fel kívánta sorolni a 95/46/EK európai parlamenti és tanácsi irányelv jogalapi katalógusát, és azokhoz rövidebb megjegyzések lettek fűzve. Majd a korlátozott jogalapi lista indokát is megkapjuk, amiből látható az EUB általi értelmezéssel szembe menő, de az eltérést helyesnek elfogadó álláspont a harmonizációs kötelezettség teljesítése kapcsán. Eszerint: „A törvény az Avtv. rendszerétől eltérően a magyar adatvédelmi rendszerben eddig elfogadott két jogalap mellett, azokat kiegészítve bevezeti a 95/46 irányelv 7. cikk c) és f) pontja szerinti új jogalapot is, amely szűk körben, és átfogó garanciális szabályok mellett lehetővé teszi, hogy bizonyos esetekben, speciális érdekekből az érintett hozzájárulása hiányában, és a jogalkotó közhatalmi aktusa nélkül is sor kerülhessen az adatkezelésre. Ily módon a magyar jogalkotó eleget tesz harmonizációs kötelezettségének a tekintetben is, hogy a többi tagállamban egyébként jogalapként szolgáló rendelkezés hazai hiánya miatt az adatok áramlása nem ütközik akadályokba a magyar szabályozás alapján. Ki kell emelni, hogy a magyar szabályozásban újdonságként megjelenő jogalapban rögzített mérlegelési lehetőség nem érvényesül a két hagyományos jogalapon végzett adatkezelésre, és nincs lehetőség az adatkezelésre az új jogalapon akkor, ha azt törvény már előírja, vagy ha arra az érintett hozzájárulása alapján került sor.” (Info tv. Javaslat 85. o.). Ennek rögzítése egy nem feltétlenül tudatos tényfeltáró beismerésként azonosítható az uniós joggal ellentétes nemzeti jogi szabályozás elfogadásáról.

Ezzel szemben az Avtv. már uniós csatlakozásunkhoz kötődő módosítását megelőzően kimondta az EUB a 95/46/EK európai parlamenti és tanácsi irányelv 7. cikk c), illetve e) pontja közvetlen hatályát [C–465/00., C–38/01. és C–139/01. sz. egyesített ügyek: Rechnungshof (C–465/00. sz. ügy) kontra Österreichischer Rundfunk és társai és Christa Neukomm (C–138/01. sz. ügy) és Joseph Lauermann (C–139/01. sz. ügy) kontra Österreichischer Rundfunk ítélet, rendelkező rész 2. pont]. Az Avtv. létszakának utolsó napjaiban született döntésben pedig a 95/46/EK európai parlamenti és tanácsi irányelv jogos érdeket szabályozó 7. cikk f) pontjának közvetlen hatálya is megerősítésre került [C–468/10. és C–469/10. sz. egyesített ügyek ASNEF és FECEMD kontra Administracion del Estado ítélet rendelkező rész 2. pont]. Az EUB abból a korábban kimondott tételéből indult ki, hogy nemzeti jogszabályok harmonizációja nem korlátozódik minimális mértékű harmonizációra, hanem annak lényegében teljes harmonizációt kell eredményeznie (C–101/01. Bodil Lindqvist elleni büntetőeljárás, ítélet 96. bekezdés). Ennek alapján kifejtette, hogy: „Következésképpen, abból a célkitűzésből, amelynek lényege az azonos védelmi szint biztosítása valamennyi tagállamban, az következik, hogy az irányelv 7. cikke kimerítő és korlátozó jellegű felsorolását írja elő azon eseteknek, amelyekben a személyes adatok kezelése jogszerűnek minősíthető. Ezt az értelmezést az irányelv 7. cikkében alkalmazott »csak abban az esetben« kifejezés és a »vagy« kötőszó is megerősíti, amelyek az e cikkben szereplő felsorolás kimerítő és korlátozó jellegét egyértelművé teszik. Ebből következik, hogy a tagállamok nem alkothatnak a személyes adatok kezelésének megengedhetőségére vonatkozó, az irányelv 7. cikkében szereplőkhöz képest új elveket, és olyan további követelményeket sem írhatnak elő, amelyek módosítanák az e cikkben előírt hat elv akár egyikének a hatályát.” (C–468/10. és C–469/10. sz. egyesített ügyek ASNEF és FECEMD kontra Administracion del Estado ítélet, 30–32. bekezdés.)

Ez a jogalapi korlátozás pedig kimondottan a magánszférába tartozó adatkezelők számára jelentett olyan korlátot, amely a hazai szabályozásnak teljes körben való megfelelés szándékával felvértezett adatkezelőknek a mindennapi működésüket alapjaiban kérdőjelezte meg. Természetesen a közszféra adatkezelői sem csak kötelező adatkezelésük körében végeztek adatkezeléseket, így szűkebb körben a feladatköreiken túlmutató adatkezelések esetében hasonló problémák merültek fel. Az Info tv.-nek a jogalapokon túli egyes szabályait is kritika alá lehetne venni, de az elsődleges cél az adatkezelések jogszerűségének a rendelet előtti szabályok hatálya alatti biztosítása nehézségének szemléltetése volt.

Az Info tv. egységes szabályozása alóli kivételként jelentkezett az egészségi állapotra vonatkozó különleges személyes adatok és az azokhoz kapcsolódó személyes adatok kezelésének feltételeit és céljait szabályozó Eüak., és az akkor még meg nem különböztetett genetikai adatokra nézve szabályozást tartalmazó 2008. évi XXI. törvény, valamint az egyes ágazati eltéréseket elszórtan tartalmazó jogszabályi rendelkezések. Az Eüak. elfogadására még az Avtv. hatályban léte idején került sor. A javaslati indokolása úgy fogalmaz, hogy e törvény az egészségügyi ellátóhálózattal kapcsolatba került vagy kerülő személyek személyiségi jogait védi az adatokhoz való illetéktelen hozzáféréssel szemben. A törvény hatálya ugyanakkor ennél szélesebb hatókörben érvényesül a mai napig, ugyanis az egyéb adatkezelő szerv fogalmát szélesen értelmezve határozta meg [Eüak. 2. § a) pont]. A GDPR alkalmazandóvá válása az egészségügyi adatok kezelése esetében nem korlátozta a tagállami jogalkotó hatáskörét, mivel ezen adatok kezelésére nézve nyitó klauzula biztosítja további feltételek hatályban tartását [GDPR 9. cikk (4) bekezdés]. A 2019. évi XXXIV. törvény 2019 áprilisában jelentősebb módosításokat eszközölt az Eüak. szabályain, a polgári perek szempontjából releváns rendelkezéseinek részletes bemutatására a későbbiekben, a 9.4.1. pontban kerül sor.

A korábbi szabályozás egységessége az annak való megfelelés ellenőrzésének egységességére is kiterjedt, ugyanis a felügyeleti hatóság (NAIH) jogkörére nézve nem tartalmazott eltérést a bíróságokra. Jelenleg a tagállami felügyeleti hatóságok hatásköre nem terjed ki a bíróságok által igazságügyi feladataik ellátása során végzett adatkezelési műveletek felügyeletére [GDPR 55. cikk (3) bekezdés], ilyen hatásköri kizáró rendelkezést az Info tv. is tartalmaz [Info tv. 38. § (2b) bekezdés]. E szabály alkalmazhatósága kapcsán részletesen kell foglalkozni a bíróságok igazságszolgáltatási feladatainak beazonosításával, mert az lesz a döntő a hatósággal felmerülő esetleges hatásköri összeütközés rendezésére.

Az Info tv. hatályát szabályozó korábbi rendelkezés szerint a „törvény hatálya a Magyarország területén folytatott minden olyan adatkezelésre és adatfeldolgozásra kiterjed, amely természetes személy adataira […] vonatkozik”, azt „a teljesen vagy részben automatizált eszközzel, valamint a manuális módon végzett adatkezelésre és adatfeldolgozásra egyaránt alkalmazni kell” [Info tv. az Info tv. Módtv.-nyel történt módosítását megelőzően hatályos 2. § (1) és (2) bekezdése]. Az ekkori dualista jogalapi szabályokból következően az eljárásjogi törvényekben meg kellett volna találni az adatkezelését elrendelő szabályt az Info tv. 5. § (3) bekezdésében írtaknak megfeleltethető részleteséggel. Ilyen rendelkezés azonban az 1952-es Pp. szabályai között nem volt fellelhető. A Pp. megalkotásakor ugyanakkor már elhelyezésre került a törvényben ilyen adatkezelési klauzula [Pp. 162. § (6) bekezdés]. Más kérdés, hogy az nem a Pp. elfogadásakor már hatályos GDPR, hanem az Info tv. 5. § (1) bekezdésére figyelemmel került meghatározásra. Erről a javaslati indokolásból is meggyőződhetünk (Pp. Javaslat, 321. o.), amelyben kifejezetten rögzítésre került, hogy a polgári peres eljárás vonatkozásában az Info tv. e rendelkezése szerinti közérdeken alapuló cél magából az Alaptörvény XXVIII. cikk (1) bekezdéséből vezethető le. Emellett a Pp.-ben nem találunk jogharmonizációs záradékot [Jszr. 88. § (1) bekezdés], miként a javaslati indokolás sem adott tájékoztatást a javasolt szabályozás és az európai uniós jogból eredő kötelezettségek összhangjáról [Jat. 18. § (2) bekezdés], végül a jogharmonizációs adatbázis3 sem rögzít erről adatokat [302/2010. (XII. 23.) Korm. rendelet 7. § (1) bekezdés].

Ha megvizsgáljuk a korabeli Info tv.-beli követelményt és a GDPR jogalappal kapcsolatos nyitó klauzulájának tagállami normára vonatkozó előírásait [GDPR 6. cikk (3) bekezdés], akkor az látható, hogy az adatkezelés elrendelésére és az adatkezelés céljának meghatározására az uniós jog tartalmazza az arányosság követelményét is az elérni kívánt jogszerű célhoz társítottan. Az Info tv. 5. § (3) bekezdésének való megfeleltethetőség nyilván mindkét esetre nézve kötelező szempontrendszert jelentett a hat feltétel felsorolásával. Maga az adatkezelési klauzula később részletesen tárgyalásra kerül, azonban a nemzeti adatvédelmi szabályok között mint a polgári perek szempontjából alapvető jelentőségű normát már elöljáróban meg kellett jelölni.

Az Info tv. Módtv. javaslati indokolása is rögzíti, hogy Magyarország Kormánya a GDPR tárgyalása során azon az állásponton volt, hogy az új személyes adatokra vonatkozó európai uniós adatvédelmi szabályozás ne rendeleti, hanem irányelvi jogforrásban kerüljön megalkotásra (T/623. számú törvényjavaslat az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvénynek az Európai Unió adatvédelmi reformjával összefüggő módosításáról, valamint más kapcsolódó törvények módosításáról 4647. o.). Az ismert eredmény végül rendeleti jogforrás szintjén öltött testet, mint ilyen, szabályai közvetlenül alkalmazandóak a tagállamokban. Az irányelvi szabályozás buktatóit talán jól szemléltetik a LED irányelv átültetését követően megmaradt kérdőjelek. Az Info tv. és a GDPR alapelvi rendelkezéseinek összevetése során ugyanis látható, hogy a LED irányelv és a GDPR elszámoltathatóságra vonatkozó szabályai az angol nyelvi változatban megegyeznek. Ennek ellenére az Info tv.-ben, alapelvi jellegét elveszítve, csupán a polgári perekben a bizonyítási érdeket szabályozó eljárásjogi szabályként jelenik meg az elszámoltathatóság. E szabály ráadásul a GDPR hatálya alatti adatkezelésekre is alkalmazandó, ami úgyszintén szemlélteti, hogy nem alapelvi rendelkezésről, hanem eljárásjogi szabályozásról van szó. További hiányosság, hogy a LED irányelvben a személyes adatok gyűjtésének céljától eltérő célból végzett adatkezelés megengedettségének szabályai alapelvi szinten szabályozottak. Ez azonban az Info tv.-ben a harmonizációt követően sem jelent meg. Ehhez képest az aláírásgyűjtés céljából történő személyes felkeresés szabálya [Info tv. 4. § (5) bekezdés] viszont, ami 2013-ban került be az Info tv.-be, továbbra is alapelvi szinten szerepel annak ellenére, hogy eleve értelmezhetetlen az Info tv. hatálya alatti adatkezelésekre.

Az említett, jelentős módosításokat tartalmazó Info tv. Módtv. végül 2018 júliusában lépett hatályba. Ebből következően két hónapon keresztül egymás mellett létezett két szabályrendszer akként, hogy egymáshoz való viszonyukat csak jogforrási jellegük rendezte, ugyanis hatályukat tekintve részben azonos adatkezelési műveletekre terjedtek ki. Ennek esetleges ellentmondásai a bíróságok igazságszolgáltatási tevékenységét illetően a polgári, munkaügyi és közigazgatási területeket érintették jelentősebben, az azokból eredő jogértelmezési kérdéseket a GDPR uniós rendeleti minőségéből eredően annak elsőbbsége mentén lehetett feloldani.

Az Info tv. hatályát e módosítást követően meghatározó szabályok a személyes adatok a GDPR tárgyi hatálya alá tartozó kezelésére nézve konkrétan rögzítik, hogy mely rendelkezéseit kell alkalmazni [Info tv. 2. § (2) bekezdés]. Az Info tv. e szabályai tartalmazzák az érintetti igényérvényesítés eljárási szabályait; olyan fogalommeghatározásokat, amelyek a GDPR-ban nem szerepelnek; az információszabadság érvényesülését biztosító szabályokat, köztük a szervezeten belüli ellenőrzés szabályait, egyes kötelező adatkezelésekre vonatkozó szabályokat, valamint az adatvédelmi hatóság szervezeti szabályozását. Az Info tv. továbbá kiterjeszti a GDPR szabályainak funkcionális hatályát a nem rendszerezett, papíralapú adatkezelésekre nézve [Info tv. 2. § (4) bekezdés]. Az Info tv. személyes adatok védelmére vonatkozó szabályainak összessége pedig kizárólag a személyes adatok bűnüldözési, nemzetbiztonsági és honvédelmi célú kezelésére alkalmazandó [Info tv. 2. § (3) bekezdés]. Előbbi cél érdekében végzett adatkezelések esetében e szabályok az Info tv. 3. § 10a. pontja szerinti bűnüldözési adatkezelést folytató szervek, köztük a bíróságok általi adatkezelések esetén érvényesülnek, de nem vonatkoznak a büntetőeljárásban részt vevő személyek tevékenységére. A javaslati indokolás is kifejezetten kifejezésre juttatja, hogy: „[…] a Rendelet hatálya alá tartozó adatkezelések esetén az Info tv.-nek csak és kizárólag azon előírásai alkalmazandók, amelyeket az Info tv. a törvény szerint megállapított hatálya kifejezetten a Rendeletet kiegészítő normaként alkalmazni rendel. Az Info tv. minden további rendelkezését a Rendelet hatálya alá tartozó jogviszonyokban nem kell és – a vonatkozó uniós jog jellegére és tartalmára figyelemmel – nem lehet alkalmazni.”

Az alkalmazandó jogszabályokat érintően fontos még felhívni a figyelmet az Európai Bizottság honlapján elérhető, a GDPR alapján tett tagállami bejelentésekre.4 A hazai minisztériumi tájékoztatás felsorolja azokat az adatvédelemre alkalmazandó tagállami szabályokat, amelyek esetében a GDPR kifejezett felhívást tartalmaz a tagállamok felé a tájékoztatás megtörténtére [GDPR 51. cikk (4) bekezdés, 84. cikk (2) bekezdés, 85. cikk (3) bekezdés, 88. és 90. cikk].

2.3. A tagállami szabályozás mozgástere

A GDPR-ból eredő jogalkotási kötelezettségek és a nyitó klauzulák által esetleges eltérésekre adott felhatalmazások alapján történt jogalkotást a polgári eljárások szempontjából külön is meg kell vizsgálni. Egyes eljárásjogi rendelkezések ugyanis fokozott kockázatot jelentenek a személyes adatok védelméhez való jogra nézve. Ezekre a kockázatokra ugyanakkor a jogalkotó a GDPR megalkotását megelőzően is figyelemmel volt, ugyanis az iratbetekintés perbeli szerepekhez korlátozott voltától a tárgyalások nyilvánosságán át a bírósági határozatok közzétételéig valamennyi szabály esetében adatvédelmi szempontok is szerepet játszottak a szabályozás megalkotása során. Az adatvédelmi kérdések rendezésekor természetesen a személyes adatok védelméhez való jog korlátozásának kérdése is megjelenik. Nem abszolút jogról van szó esetében, azt az arányosság elvével összhangban, a társadalomban betöltött szerepének függvényében kell figyelembe venni, egyensúlyban más alapvető jogokkal. Maga a GDPR is kimondja, hogy szabályainak kialakításakor – egyebek mellett – tiszteletben tartották a hatékony jogorvoslathoz és a tisztességes eljáráshoz való jogot [GDPR (4) preambulumbekezdés].

A bíróságok sajátos státusza, amely a bírói függetlenség garantálásának adott esetben alapjogot korlátozó jelentőségéből ered, más adatkezelőkétől eltérő szabályok megalkotását teszi szükségessé. A korlátozás lehetőségét azonban megszorítóan kell értelmezni. Amennyiben a jogalkotó a korlátozás mellett dönt, azt is figyelembe kell vennie, hogy a bírósági adatkezeléseket maga a GDPR is felosztja, és kiemeli közülük az igazságszolgáltatási tevékenység ellátásához kapcsolódó adatkezeléseket [GDPR (20) preambulumbekezdés, 9. cikk (2) bekezdés f) pont, 37. cikk (1) bekezdés a) pont, 55. cikk (3) bekezdés]. Az ezen kívüli igazgatási adatkezeléseket is differenciált szemlélettel kell megközelíteni, hiszen a bírósági épület fenntartásával kapcsolatos adatok nem helyezhetőek egy szintre a bírósági dolgozók fegyelmi ügyeivel. Kifejezetten a bírósági eljárások kapcsán elég csak az érintetti jogokra gondolni, azok korlátlan érvényesíthetősége az eljárási szabályok kereteivel nem egyeztethető össze. Az adatvédelmi jogszabályoknak pedig nem célja az, hogy akadályozzák vagy akár megbénítsák az igazságszolgáltatás működését. Ugyanakkor visszatekintve a jogalapi szabályozás korábbi évtizedes megoldatlanságára, nehezen feltételezhető, hogy az adatvédelem területén már elfogadott törvényi rendelkezéseket újabbak követnék. A szabályalkotási mozgástérre ennek ellenére fel kell hívni a figyelmet, mert az e pontokban felsorolt normák címzettje a tagállami jogalkotó. A jogalkotás hibái vagy hiányosságai pedig sok esetben még nem fogják az adatkezelést meggátolni, de az alapelveknek való megfelelését mindenképpen megnehezíthetik.

2.3.1. Az Info tv. 5. § (3) bekezdése

Az Info tv. 5. § (3) bekezdésében rögzített szabály az Info tv. 5. § (1) bekezdés a) pontjában, a (2) bekezdés b) pontjában, valamint a GDPR 6. cikk (1) bekezdés c) és e) pontjában meghatározott adatkezelésekre tartalmaz előírást, és ezen adatkezeléseket minősíti kötelező adatkezeléseknek. Ezek a GDPR hatálya alatti adatkezelések esetében a jogi kötelezettség teljesítéséhez, valamint a közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges adatkezeléseket jelentik.

Ennek megfelelő szabály már korábban is létezett a hazai adatvédelmi szabályozásban, így a már említettek szerint az Avtv. az EU-csatlakozást megelőző jogharmonizációs célú módosításával [2003. évi XLVIII. törvény 3. § (1) bekezdés] jelent meg az Avtv.-ben, azonban a 2004. január 1. napjától hatályos szabálynak azóta is kevés kötelező adatkezelést előíró norma felel meg. E szabály a bíróságok adatkezelését is alapvetően érintő előírás. Önmagában e szabály alapján is a bíróságok adatkezelését érintően a törvényi szabályozás szükségessége – legalábbis az itt rögzített körben – nem is vonható kétségbe, legfeljebb a jogalkotói mulasztás fennálltát lehetett volna konstatálni.

Ugyanakkor mindenképpen vizsgálatot igényel ezen előírás hatóköre a jogalkotói célt alapul véve. Az Avtv. módosítása esetében a javaslati indokolás nem tért ki rá, de az Info tv. javaslati indokolása a következőképpen fogalmazott: „A kötelező adatkezeléssel kapcsolatban garanciális jelentősége van annak, hogy az adatkezelést elrendelő jogalkotó – az adatkezelés elveinek figyelembe vétele mellett – mérlegelje az adatkezelés részleteit; e tekintetben a törvény – az Avtv.-hez hasonlóan – továbbra is előírja az adatkezelést elrendelő jogszabály kötelező tartalmi elemeit.” (Info tv. Javaslat, 85. o.). Az itt említett garanciális jellegből és az adatkezelés alapelveiből kiindulva e hat kötelező tartalmi elemet (a kezelendő adatok fajtái, az adatkezelés célja, feltételei, az adatok megismerhetősége, az adatkezelő személye, valamint az adatkezelés időtartama vagy szükségessége időszakos felülvizsgálata) általános jelleggel kell rögzítenie, de nem szükséges az adatkezelés részletszabályait az adatkezelést elrendelő törvénynek tartalmaznia. A részletszabályok esetében akár rendeleti jogalkotásra vagy normatív utasítás elfogadására vonatkozó felhatalmazás is adható.

Az Alkotmánybíróság ugyanakkor egy határozatában [29/2009. (III. 20.) AB határozat] kihangsúlyozta, hogy törvényi szinten kell összekapcsolni az elérni kívánt célt és az ennek megvalósulásához szükséges adatokat, mert törvényi szinten kell érvényre juttatni az alapjog-korlátozás szükségességét és arányosságát. Nem elégíti ki ezt az alkotmányos követelményt, ha a törvény egymástól függetlenül, általánosságban ugyan kijelöli a megvalósítani kívánt célokat és az ezekhez szükséges adatokat, de hogy konkrétan hol, mikor, milyen célból használják fel az adatalany személyes adatait, csak a rendeleti szabályozás eredményeként állapítható meg. Ezáltal ugyanis a törvény által nyújtott átfogó adatkezelési felhatalmazás (lehetőség) keretein belül az alapjog tényleges korlátozása a rendeletben valósul meg, s így a konkrét személyes adatok vonatkozásában az alapjogi korlátozás szükségessége és arányossága elkerülhetetlenül csak a rendeleti szabályok vizsgálata révén dönthető el.

A rendeleti és normatív utasításbeli szabályok a GDPR hatálya alatti adatkezelések esetében is alkalmasak a jogalapok kiigazítására és az érintetti jogok korlátozására, mivel a GDPR – a LED irányelv (33) preambulumbekezdéséhez hasonlóan – kimondta, hogy: „Amikor ez a rendelet jogalapra vagy jogalkotási intézkedésre hivatkozik, ez nem szükségszerűen jelent – az érintett tagállam alkotmányos rendjéből fakadó követelmények sérelme nélkül – valamely parlament által elfogadott jogszabályt. Mindazonáltal az ilyen jogalapnak vagy jogalkotási intézkedésnek világosnak és pontosnak kell lennie, alkalmazásának pedig előreláthatónak kell lennie a hatálya alá tartozó személyek számára.” [GDPR (41) preambulumbekezdés]. A GDPR – a többi nyelvi változat összevetésével megállapíthatóan – tudatosan használja egyes esetekben a jogalkotási intézkedés fogalmát, míg más esetekben kifejezetten jogszabályra utal. Nyilvánvalóan jogalkotási intézkedésnek minősül a jogszabály. A jogszabályok az Alaptörvény T) cikk (2) bekezdésében kerültek felsorolásra, melyből következően az eljárásjogi törvények mellett a miniszteri rendeleti formában megalkotott Büsz. és a Becs. is jogszabálynak minősül. Viszont szintén jogalkotási intézkedésnek minősülnek a Jat. 23. § (4) bekezdés d) pontja, illetve a Bszi. 76. § (1) bekezdés b) pontja szerinti normatív utasítások is.

Az adatvédelem területét érintő szabályozások viszont az érintett oldaláról nézve sok esetben jogkorlátozást jelentenek, így az EUB iránymutatása szerint az Alapjogi Charta 52. cikk (1) bekezdésében foglaltak alapján különösen azt kell megvizsgálni azok megalkotásakor, hogy a magánélet tiszteletben tartásához és a személyes adatok védelméhez való alapvető jogokba történő beavatkozás súlyára tekintettel e beavatkozás az elérni kívánt célkitűzések megvalósítása szempontjából indokolt-e, és különösen, arányos-e [C–740/22. Endemol Shine Finland Oy ítélet, 53. bekezdés; C–439/19. Latvijas Republikas Saeima (Points de pénalité) ítélet, 105–106. bekezdés]. E korlátozásra pedig az Alapjogi Charta kizárólag törvény általi korlátozást ír elő [Alapjogi Charta 52. cikk (1) bekezdés]. Ebből pedig különösen az következik, hogy a beavatkozást lehetővé tevő jogalapnak magának kell meghatároznia az érintett jog gyakorlását érintő korlátozás terjedelmét [C–175/20. Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) ítélet, 54. bekezdés; C–311/18. Facebook Ireland Ltd kontra Maximillian Schrems ítélet, 175. bekezdés; C–623/17. Privacy International ítélet, 65. bekezdés].

Ennek kapcsán pedig utalni kell arra is, hogy az Alaptörvényben a személyes adatok védelméhez való jog alapvető jogként való védelmezése ugyancsak követelményeket állít a jogalkotással szemben. Garanciális szabályként rögzíti az alapvető jogok korlátozhatóságának általános kereteit [Alaptörvény I. cikk (3) bekezdés]. Amellett, hogy szintén a törvényi szint a megkövetelt, más alapvető jog érvényesülése vagy valamely alkotmányos érték védelme érdekében kerülhet rá sor, de akkor is csak a feltétlenül szükséges mértékben, az elérni kívánt céllal arányosan, és az alapvető jog lényeges tartalmának tiszteletben tartásával. A GDPR az idézett (41) preambulumbekezdésben kifejezetten utal a tagállami alkotmányos rendre mint a tagállami jogalkotás előtt álló korlátra. Az Alkotmánybíróság gyakorlatából kiemelhetőek olyan döntések, amelyek az alapjog korlátozással kapcsolatban születtek. Kifejezetten a személyes adatok védelméhez való jog kapcsán került kimondásra, hogy: „Az adatbázisok létezése, az adatok kezelése, az adatokkal való rendelkezés minden esetben alapjogi korlátozást jelent” [144/2008. (XI. 26.) AB határozat]. A korlátozás jogszerűségének vizsgálata körében pedig arra utalt, hogy: „A személyes adatok védelméhez való jog korlátozásakor is irányadó alapjogi-teszt alkalmazásakor az Alkotmánybíróság az alapjogkorlátozás szükségessége körében értékeli a célhoz kötöttség követelményének érvényesülését: azt, hogy a személyes adat feldolgozásának van-e pontosan meghatározott és jogszerű célja.” [74/2009. (VII. 10.) AB határozat III. 1. pont]. Az alapjog-korlátozás jogforrási szintje körében pedig azt fejtette ki az Alkotmánybíróság, hogy: „Az alapjogok korlátozására az Alkotmány 8. § (2) bekezdéséből következően csak törvényben kerülhet sor. Az Alkotmánybíróság azonban már több ízben kifejtette, hogy az alapjogokkal való nem minden összefüggés kívánja meg a törvényi szintű szabályozást. Az Alkotmányban biztosított jogok érvényesülésével csak távoli kapcsolatban álló, azokat közvetetten érintő, technikai természetű rendelkezésekre alacsonyabb jogszabályi szinten is sor kerülhet. A közvetlen és jelentős korlátozás azonban csak törvényben írható elő (pl. 64/1991. (XII. 17.) AB határozat; 29/1994. (V. 20.) AB határozat). […] Alapvető jogokra vonatkozó korlátozás pedig csak törvényben írható elő, így az alacsonyabb jogforrási szinten való szabályozásuk alkotmányellenes.” [144/2008. (XI. 26.) AB határozat].

Összegezve: az Info tv. 5. § (3) bekezdése szerinti normatartalmak tehát az alapjog korlátozását jelentő jogszabályi rendelkezések halmazába illeszkednek. Azonban a törvényi szintű szabályozás mellett alacsonyabb szintű jogforrásban vagy normatív utasításban is sor kerülhet a szabályozásra az Alapjogi Charta 52. cikk (1) bekezdése, az Alaptörvény I. cikk (3) bekezdése és az Info tv. 5. § (3) bekezdése szerinti kötelezettség által nem érintett területeken. Éppen ezért, amikor egy szabályozás az adatvédelem területét érinti, annak esetében rendelkezésenként meg kell határozni az adott esetben különböző szabályozási szinteket, és annak alapján felosztani az egyes tárgyköröket. Az e kötelezettségnek való meg nem felelésből előálló hiányosságok esetén pedig arra kell figyelemmel lenni, hogy az Info tv. 5. § (3) bekezdésének címzettje a jogalkotó, tehát egy kötelező adatkezelés a rá vonatkozó szabályozás szabályozási szintjének elvétése miatt önmagában még nem lesz jogsértő. Az viszont felmerülhet, hogy az adatkezelőnek a jogszerűség biztosításához többletkövetelményeknek kell megfelelnie [Info tv. 5. § (5) bekezdés].

A jogalkotó szempontjából ki kell még térni az adatvédelmi hatásvizsgálat elvégzésének szükségességére. Az Info tv. a GDPR hatálya alá tartozó adatkezelésekre is alkalmazandó 25/G. § (6) bekezdése ugyanis kimondja, hogy kötelező adatkezelés esetén – ideértve különösen a 2. § (3) bekezdésében meghatározott célokból folytatott kötelező adatkezeléseket – az (5) bekezdésben meghatározott tartalmú adatvédelmi hatásvizsgálatot az adatkezelést előíró jogszabály előkészítője folytatja le. Tehát a hatásvizsgálat elvégzésének kötelezettsége a jogalkotót terheli a jogszabály-előkészítés során.

A GDPR is rögzíti, hogy a közérdekű adatkezelések kapcsán, ha az adatkezelés jogalapját uniós vagy az adatkezelőre alkalmazandó tagállami jog írja elő, és e jog a szóban forgó konkrét adatkezelési műveletet vagy műveleteket is szabályozza, valamint e jogalap elfogadása során egy általános hatásvizsgálat részeként már végeztek adatvédelmi hatásvizsgálatot, akkor nem kell hatásvizsgálatot elvégezni, kivéve, ha a tagállamok az adatkezelési tevékenységet megelőzően ilyen hatásvizsgálat elvégzését szükségesnek tartják [GDPR 35. cikk (10) bekezdés]. Tehát az uniós jogalkotó is abból indult ki, hogy ha a jogalkalmazási felhatalmazást tartalmazó norma vagy akár a tényleges adatkezelési műveleteket rögzítő szabály megalkotásakor már végeztek egy általános hatásvizsgálatot, akkor nem kell külön hatásvizsgálatot végezni.

Az Info tv. fent idézett szabálya alapján a bírósági adatkezelések legnagyobb részénél nem merül fel az adatvédelmi hatásvizsgálat elvégzésének szükségessége. Ez önmagában még nem jelenti azt, hogy nem merülhet fel olyan eset, amikor adatvédelmi hatásvizsgálat elvégzése szükséges, de az csak szűk adatkört érinthet.

2.3.2. A nyitó klauzulák szerepe

Már a 95/46/EK európai parlamenti és tanácsi irányelv célja is az volt, hogy a személyes adatok áramlása előtti akadályok elhárítása érdekében az egyének jogai és szabadságai védelmének szintjét azonossá tegye az ilyen adatok kezelése terén minden tagállamban [95/46/EK európai parlamenti és tanácsi irányelv (8) preambulumbekezdés]. Az EUB pedig a már idézett döntésében kimondta ennek kapcsán, hogy a: „[n]emzeti jogszabályok harmonizációja tehát nem korlátozódik minimális mértékű harmonizációra, hanem annak lényegében teljes harmonizációt kell eredményeznie” [C–101/01. Bodil Lindqvist elleni büntetőeljárás – ítélet, 96. bekezdés]. Ehhez képest a rendeleti formában megalkotott adatvédelmi szabályozás esetében sem feltételezhetünk más célt. A szabályozási forma rendeletre való változása azonban könnyen leplezi, hogy a GDPR részben inkább egy rendelet álcájába bújtatott irányelv (Jürgen Kühling – Mario Martini: Die Datenschutz-Grundverordnung und das nationale Recht, Verlagshaus Monsenstein und Vannerdat. OHG, Münster, 2016, 1. o.). A már említett nyitó klauzulákkal ugyanis a rendelet számos területen mozgásteret adott a tagállamok számára.

Maguk a nyitó klauzulák nagy számban vannak jelen a rendeletben, azokat több módon lehet tipizálni, de vizsgálat tárgyát kizárólag a polgári eljárásokhoz valamilyen módon kapcsolódóak képezik. E pontban ugyanakkor általánosságban jelennek meg a hazai jogalkotással szemben a rendelet által támasztott kötelezettségek, az egyes nyitó klauzulák az azt tartalmazó rendeleti szabálynál kerülnek említésre. A felosztásuk egyik leglényegesebb szempontja a tagállami jogalkotó számára választható mozgásteret biztosító (fakultatív), illetve a kifejezett kötelezettségként (kötelező) jelentkező jogalkotás között van. Előbbi körbe esik a GDPR 6. cikk (2) bekezdése, ami a kötelező adatkezelésre vonatkozó szabályok alkalmazásának kiigazítása érdekében biztosít lehetőséget tagállami szabályozásra. Utóbbi kategóriába tartozik az újságírási célból végzett kezelésére vonatkozó tagállami kivételek vagy eltérések meghatározása [GDPR 85. cikk (2) bekezdés], amelyről a 4.5. pontban lesz szó.

A nyitó klauzulák megjelenési formája különbözik, így a GDPR számos helyen egyszerűen csak hivatkozik az „uniós vagy a tagállami jogra” és az abban foglalt rendelkezésekre. Azonban ezek a tagállami jogra való hivatkozások jelenthetnek, de nem feltétlenül kell hogy nyitó klauzulát jelentsenek. Ez egyrészt lehet felhatalmazás az önálló tagállami cselekvésre (valódi nyitó klauzula), de ugyanígy lehet hivatkozás a rendeletben másutt meghatározott tagállami cselekvési jogkörre, amely nem közvetlenül magából e rendelkezésből ered, hanem egy másik nyitó klauzulából (hamis nyitó klauzula). Ilyenek például a GDPR 6. cikk (1) bekezdés c) vagy e) pontjában meghatározott jogalapok. (Jürgen Kühling – Mario Martini: Die Datenschutz-Grundverordnung und das nationale Recht, Verlagshaus Monsenstein und Vannerdat. OHG, Münster, 2016, 11. o.) Ezek esetében minél több, személyes adatok kezelésével járó jogi kötelezettséget, közérdekű vagy közhatalmi jogosítvány gyakorlásának keretében végzett feladatot kell szabályoznia a tagállami jogoknak, hogy az adatkezelések jelentős körének jogszerűsége ezáltal legyen biztosított. Ez ugyanis a rendeletben szabályozott differenciált jogszerűségi feltételek aláásásához vezetne. A jogalkotónak az olyan jogi kötelezettségek esetében, amelyek teljesítése adatkezelést tesz szükségessé, a GDPR 6. cikk (2)–(3) bekezdéseiben található valódi nyitó klauzulának minősülő rendelkezései alapján és az ott írtaknak megfelelő körben kell jogot alkotnia az adatkezelés jogszerűségének és tisztességességének biztosítására.

Az már az előzőekben kifejtésre került, hogy az adatvédelem területén alkotott jogszabályok sok esetben nem feleltethetőek meg az Info tv. 5. § (3) bekezdése által támasztott követelményeknek. Ezen túl sok esetben olyan törvényi szabályozás van hatályban, amely még az Info tv. 5. § (1) bekezdés b) pontja, valamint e szakasz (2) bekezdésének b) és c) pontja alapján lett elfogadva az adatkezelés törvény általi elrendelése alapjaként. Itt azért fontos kitérni erre, mert e rendelkezések jelentik a GDPR alkalmazandóvá válását követően a GDPR 6. cikk (1) bekezdés c) és e) pontjára alapított adatkezelések esetében a GDPR 6. cikk (3) bekezdésében megkövetelt tagállami jog által megállapított jogalapot. Az pedig kérdéses, hogy a korábbi szabályozások, amelyek a hazai jog által támasztott – amúgy szigorú – követelményeknek nem feleltek meg, megfelelnek-e az uniós jog által előírt feltételeknek.

Összevetve e két rendelkezést az Info tv. előző pontban ismertetett szabályozásával, a rendeleti nyitó klauzula alapján kötelező jelleggel az adatkezelés célját kell meghatározni, lehetőségként azonban számos egyéb tárgykörben fakultatív szabályozási jogkörrel rendelkezik a tagállami jogalkotó, így:

– az adatkezelés jogszerűségére irányadó általános feltételeket,

– az adatkezelés tárgyát képező adatok típusát,

– az érintetteket,

– azokat a jogalanyokat, amelyekkel a személyes adatok közölhetők, illetve az ilyen adatközlés céljait,

– az adatkezelés céljára vonatkozó korlátozásokat,

– az adattárolás időtartamát,

– az adatkezelési műveleteket, valamint

– egyéb adatkezelési eljárásokat is meghatározhatja.

A felsoroltakat bővíti a GDPR az adatkezelő fogalmának meghatározásakor (GDPR 4. cikk 7. pont) az adatkezelő vagy az adatkezelő kijelölésére vonatkozó különös szempontok meghatározására vonatkozó felhatalmazással. Ez arra az esetre nézve adott, ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg. Ebből következően pedig az adatkezelés célját és eszközeit is meghatározhatja a tagállami jogalkotó. A tagállami mozgástér tehát szélesnek mondható e három jogalap esetében, azonban követelményként jelenik meg a megalkotandó szabályokkal szemben, hogy a tagállami jognak közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal. A jogalkotónak tehát egy arányossági vizsgálatot is le kell folytatnia a jogalkotás folyamatában, amely az Alapjogi Charta 52. cikk (1) bekezdéséből is következik. Az adatvédelemhez való alapvető joggal kapcsolatban az arányosság elvét a GDPR 5. cikk (1) bekezdésének c) pontja (az adattakarékosság elve) és 6. cikk (3) bekezdése tartalmazza (C–115/22. NADA és társai főtanácsnoki indítvány, 147. pont).

Szintén jelentős mozgásteret nyit meg a tagállamok számára a GDPR 23. cikke, de e cikk rendelkezéseinek alkalmazása jelentős indokolási akadályokba ütközik, tehát csak az ott meghatározott keretek között szolgálhat az alapelvek és az érintetti jogok korlátozására. A pontokba szedett védendő érdekek között megjelenik a bírói függetlenség és a bírósági eljárások védelme, valamint a polgári jogi követelések érvényesítése is. E korlátozások mércéje, hogy szükséges és arányos intézkedés legyen egy demokratikus társadalomban. Ezek megítéléséhez segítségül felsorol olyan szempontokat, mint a közbiztonság védelme, továbbá valamely egyéb uniós vagy tagállami közérdek jelentős céljai, amelyek közül a polgári eljárások szempontjából az általános közérdeket szolgáló nyilvántartások vezetését és a szociális védelmet kell kiemelni [GDPR (73) preambulumbekezdés]. Az EUB is kimondta, hogy minden, ezen az alapon hozott jogalkotási intézkedésnek tiszteletben kell tartania többek között a GDPR 23. cikk (2) bekezdésében előírt részletes követelményeket. Így a GDPR 23. cikk (1) és (2) bekezdése nem értelmezhető úgy, mint amely arra irányuló hatáskört ruház a tagállamokra, hogy megsértsék a magánélet tiszteletben tartását, megsértve ezzel az Alapjogi Charta 7. cikkét, valamint az abban előírt egyéb garanciákat (C–511/18., C–512/18. és C–520/18. sz. egyesített ügyek La Quadrature du Net és társai kontra Premier ministre és társai ítélet, 209. és 210. bekezdés). Az EDPB is rámutatott a GDPR 23. cikke szerinti korlátozásokról kiadott iránymutatásában, hogy a személyes adatok védelme még kivételes helyzetekben sem korlátozható teljes egészében. Utalt továbbá rá, hogy amikor a tagállami jog lehetővé teszi a korlátozásokat, figyelembe kell venni, hogy az elszámoltathatóság elve továbbra is alkalmazandó (az EDPB 10/2020. számú véleménye a 23. cikk szerinti korlátozásokról, 6. o.).

A nyitó klauzulák értelmezésével kapcsolatban lényeges, hogy azok a GDPR előtti tagállami rendelkezésekre is vonatkoztathatóak, vagy csak a már kifejezetten a GDPR-ra figyelemmel megalkotott tagállami szabályozásra. Ez azért is vetődik fel kérdésként, mert tisztán nyelvtani értelmezéssel következtethetnénk arra, hogy a nyitó klauzulák eltérő megfogalmazása arra utal, hogy a korábbi tagállami szabályok fenntartását kifejezetten lehetővé kell tenni a nyitó klauzuláknak. Ez következik ugyanis a megfogalmazásbeli eltérésekből, így van olyan rendelkezés, amely kifejezetten tartalmazza a tagállami szabályok fenntarthatóságát az új szabályozás bevezetése mellett [pl.: GDPR 6. cikk (2) bekezdés]. Másutt pedig egyszerűen utal a rendeleti szabályozás korlátozható voltára [pl.: GDPR 23. cikk (1) bekezdés]. Éppen az utóbbi szabállyal kapcsolatban mondta ki az EUB, hogy e szabály nem zárja ki a hatálya alól a rendelet hatálybalépését megelőzően elfogadott nemzeti jogalkotási intézkedéseket, amennyiben azok megfelelnek a rendeletben előírt feltételeknek (C–307/22. FT kontra DW ítélet, 56. bekezdés). Ezt azért is fontos kiemelni, mert nemcsak a 95/46/EK európai parlamenti és tanácsi irányelv sok esetben megegyező tartalmú szabályai alapján kerültek adatvédelmi tárgyú rendelkezések megalkotásra, hanem adott esetben már az irányelv harmonizálására vonatkozó kötelezettséget megelőzően is rendelkeztek ilyen szereppel szabályok, akkor is, ha nem adatvédelmi céllal kerültek megalkotásra. Elég csak az 1952-es Pp. egyes, a peres ügy irataira vonatkozó rendelkezéseire gondolni.

A nyitó klauzulák által biztosított mozgástér tehát nagymértékben eltérő. Van, hogy rendeleti szabályok egyes részleteiben meghatározott különös rendelkezések elfogadását teszik lehetővé, míg más rendelkezések nagyobb szabadságot adnak. A most ismertetett GDPR 23. cikke pedig kettős feltételrendszert alkalmaz, egyrészről meghatározott területekre vonatkozóan teszi lehetővé látszólag viszonylag széles körben eltérések bevezetését, azonban másrészről szigorú igazolási feltételekhez köti azokat.

Abból kiindulva azonban, hogy a nyitó klauzulák célja az Európai Unió és a tagállamok közötti hatáskörmegosztás megőrzése, bizonyos területeken a fakultatív jelleg ellenére a tagállamok részéről kötelezettségként jelentkezik a jogalkotás. A GDPR tárgyi hatályának szabályából adódóan a GDPR hatálya alól kizárt adatkezelésekhez kapcsolódnak olyan, a GDPR hatálya alatti adatkezelések, amelyre legkézenfekvőbb példaként a LED irányelv hatálya nem terjed ki, a GDPR mégsem tartalmaz külön korlátozó rendelkezést. Így a büntetőeljárás sikerét a feljelentő adattovábbításban megnyilvánuló adatkezelési műveletéhez kapcsolódó rendeleti szabályok sem kellene hogy befolyásolják, de a polgári eljárásokhoz szintén kapcsolódnak olyan érdekek, amelyek az érintett jogainak korlátozását kell hogy eredményezzék. Ezt fel is ismerte az uniós jogalkotó, és ennek okán helyezte el az említett két korlátozásra is lehetőséget adó kivételt a GDPR 23. cikk (1) bekezdésében. Az adatévelem és az eljárásjogi szabályok közötti feszültségfeloldás szükségessége ebből következően nem kérdésként, hanem kötelezettségéként jelentkezik.

Éppen ezért is kell a már meglévő eljárásjogi és ügyviteli szabályok egy részére korlátozó szabályként tekinteni, amennyiben azok megfeleltethetőek a GDPR-ban előírt feltételeknek. A NAIH egy határozatában foglaltak szerint is a GDPR-t az abban foglaltak szerint megengedett nemzeti szabályozási lehetőséggel összhangban lévő nemzeti szabályozással együtt kell értelmezni. Ugyanúgy, ahogy valamennyi hazai jogszabályi rendelkezést, jelen esetben a Pp. és az ügyben felmerült ügyviteli szabályokat tartalmazó IM rendelet vonatkozó rendelkezéseit is a GDPR-ral összhangban, annak szabályait nem lerontva szükséges értelmezni (NAIH/2019/3620/4. számú határozat 4. o.). Azt is kiemelte ugyanakkor a NAIH egy másik döntésében, hogy egy OBH utasítás nem tekinthető ilyen korlátozást előíró jogalkotási intézkedésnek, mivel az a Jat. 23. § (4) bekezdés d) pontja szerint egy közjogi szervezetszabályozó eszköz, amelyben az OBH elnöke a vezetése, az irányítása vagy a felügyelete alá tartozó szervek szervezetét és működését, valamint tevékenységét szabályozhatja, annak kötőereje kizárólag a szervezeten belül van, és jogszabállyal ellentétes nem lehet, ami azt is jelenti, hogy nem alkalmas arra, hogy a személyes adatok védelméhez való jogot mint alapjogot bármilyen formában korlátozza. Az adott szabályozás ezen túlmenően pedig a GDPR 23. cikk (2) bekezdésében foglalt további követelményeknek sem felelt meg [NAIH–2441–8/2021. számú határozat 8. o. (31) bekezdés].

A nyitó klauzulák címzettjei a tagállami jogalkotók, így a szükséges szabályozás létének hiánya is rajtuk kérhető számon. A már említettek szerint ez az adatkezelők szempontjából az elszámoltathatóság terén jelentkezhet kötelezettségeik elnehezülésében. A jogalkotónak e kötelezettsége teljesítése során az uniós szabályok alapján alkotott hazai szabályozással szembeni formai követelményekre is figyelemmel kell lennie, amelyeket – a jogforrási jelleg szempontjából már ismertetetteken túl – a Jat. és a Jszr. rendelkezései tartalmaznak. Alapvető, hogy a jogalkotó kötelezettsége a jogszabály uniós jogból eredő kötelezettségeknek való megfelelőségének biztosítása [Jat. 2. § (4) bekezdés c) pont]. A javasolt szabályozás és az európai uniós jogból eredő kötelezettségek összhangjáról a javaslati indokolásban tájékoztatást is kell adnia [Jat. 18. § (2) bekezdés]. Emellett a jogszabály tervezetében, ha az uniós jogi aktusnak való megfelelést valósít meg, a megfelelést – bizonyos kivételekkel – az uniós jogi aktusokra való hivatkozást tartalmazó jogharmonizációs záradékban kell megállapítani (Jszr. 88–95. §). További kötelezettségként jelentkezik az igazságügyért felelős miniszter számára a jogharmonizációs javaslatokban szereplő és a jogharmonizációhoz kapcsolódó egyéb adatok jogharmonizációs adatbázisban való rögzítése és nyilvántartása, melynek alapján a minisztérium honlapján5 tájékoztatást is közzé kell tennie az egyes uniós jogi aktusok átültetéséhez vagy végrehajtásához szükséges jogalkotási feladatokról és az uniós jogi aktus átültetését vagy végrehajtását szolgáló már elfogadott jogszabályokról [302/2010. (XII. 23.) Korm. rendelet 7. § (1)–(2) bekezdés]. Mindezek maradéktalan teljesítésével mindenki számára követhetővé válik – kifejezetten a GDPR-ra vonatkoztatva – a nyitó klauzulák alapján utóbb alkotott hazai szabályok rendszere.

Azt is meg kell jegyezni ugyanakkor, hogy bár az új eljárásjogi törvények elfogadására a GDPR és LED irányelv hatálybalépését követően került sor, kizárólag a Be. tartalmaz utalást az Európai Unió jogának való megfelelés körében a LED irányelvre (Be. 878. § 32. pont). Azonban a Be.-ben elhelyezett jogharmonizációs záradék ellenére a törvényjavaslat indokolásából is elmaradt a Jat. 18. § (2) bekezdésében megkövetelt, a javasolt szabályozás és az európai uniós jogból eredő kötelezettségek összhangjáról való tájékoztatás.

3. A GDPR szabályai

A GDPR szabályainak bemutatásakor e mű nem törekszik teljességre, hanem a bíróságok igazságszolgáltatási tevékenységének szempontjából jelentős szabályokra koncentrál. Ebből a szempontból tehát nem lehet egy kommentár jellegű szakirodalomként tekinteni rá, ugyanakkor a polgári eljárásokban felmerülő adatvédelmi kérdések lehető legszélesebb körére próbál választ adni. Ennek megfelelően a jelen fejezet a GDPR szerkezetét követi sorrendjében, és az egyes GDPR-beli szabályokhoz kapcsolódóan jeleníti meg azoknak a Pp. szabályai alapján folyó eljárásokban való alkalmazását.

Fontos, hogy a GDPR szabályainak megismerésekor a rendelet helyesbítésekkel egységes szerkezetbe foglalt változatát6 forgassa az olvasó, mivel a magyar nyelvi változat esetében a kézirat leadásának pillanatáig három alkalommal került sor a fordítás felülvizsgálatára. A hivatalos szövegváltozatok pedig közvetlenül elérhetők az egyszerűbben kezelhető egységes szerkezetű változatból a dokumentumban elhelyezett linkeken keresztül. Ilyen korrekcióra került sor például a GDPR 9. és 10. cikke esetében is, tehát a helyesbítések nem marginális körre szorítkoztak.

A GDPR szabályainak értelmezésekor felhívásra kerülnek a GDPR releváns preambulumbekezdései. Az uniós intézmények gyakorta hivatkoznak értelmező eszközként a preambulumbekezdésekre. Valamely jogi aktus preambuluma tehát hasznos értelmezési eszköz, szerepe ugyanakkor az értelmezésen túlmutat, ugyanis „[a] preambulumbekezdések a jogi aktus rendelkező részében foglalt előírásoknak, azaz a cikkeknek az indokolását tartalmazzák.”.7 Továbbá az EUB állandó ítélkezési gyakorlata szerint valamely uniós jogi rendelkezés értelmezéséhez nemcsak annak kifejezéseit, hanem szövegkörnyezetét, és annak a szabályozásnak a célkitűzéseit is figyelembe kell venni, amelynek az részét képezi.8

Az egyes fogalmak értelmezésekor továbbá az EUB válogatott releváns döntései és az uniós adatvédelem terén az egyének védelmére hivatott szervek iránymutatásai is idézésre kerülnek. 2018. május 25-ig e szerepet a 95/46/EK európai parlamenti és tanácsi irányelv 29. cikke alapján létrehozott munkacsoport töltötte be (WP29), majd ebben az EDPB váltotta. A NAIH továbbá azt is megjegyezte egy határozatában, hogy az adatvédelmi normákról általánosságban elmondható, hogy ritkán értelmezhetőek önmagukban: a szabályozás, bár önálló rezsimet alkot, a gyakorlatban szorosan kapcsolódik valamely más jogterülethez, és azzal együtt, arra tekintettel értelmezendő (NAIH–740–8/2022. számú határozat, 16. o.). Ezzel kapcsolatban ugyanakkor figyelemmel kell lenni arra, hogy egy uniós jogi fogalomnak nem a tagállami szabályozás adja meg az értelmét.

3.1. A GDPR hatálya

A már említettek szerint az adatvédelmi szabályozás közjogi védelemben részesíti a személyes adatokat. A magánjog területén a Ptk. személyiségi jogi szabályai között részesül személyiségvédelemben a nevesített személyiségi jogként való szabályozásával. A Ptk. szabályozása részletes előírásokat nem tartalmaz a személyes adatok kezelésére, és ezt a magánélet védelméről szóló 2018. évi LIII. törvény is csak annyiban egészíti ki, hogy az interneten kizárólag magáncélból közölt személyes adatok felhasználhatóságára tartamaz szabályt [2018. évi LIII. törvény 8. § (3) bekezdés]. Az adatkezelésekre vonatkozó részletes előírásokat a hatályuk alá tartozó jogviszonyokra az adatkezeléstől függően alkalmazandó közjogi szabályok rögzítik. Önmagában azonban ezen előírásoknak a megsértése még nem vezet személyiségsérelemhez, ahhoz a jogsértéstől függően egyéb tényállási elemnek is társulnia kell. Ennek vizsgálata a Kúria gyakorlatában is több alkalommal felmerült (Kúria Pfv.IV.20.927/2020/7., Kúria Pfv.IV.21.084/2020/4., Kúria Pfv.IV.21.251/2021/8., Kúria Pfv.IV.20.730/2022/7.).

A GDPR kifejezetten kimondja, hogy a természetes személyek alapvető jogait és szabadságait, és különösen a személyes adatok védelméhez való jogukat védi [GDPR 1. cikk (2) bekezdés]. E szabálynak a GDPR hatálya szempontjából is jelentősége van, ugyanis csak élő természetes személy esetében lehet szó személyes adatokról.

A hatály kérdésében továbbá az adatkezelés célja és az adatkezelő személye is jelentőséggel bír, ezért a GDPR hatályának tisztázása mellett az Info tv. szabályainak alkalmazhatóságára is ki kell térni. A két adatvédelmi szabályrendszer egymás melletti létezése önmagában is jelentőssé teszi a hatály értelmezésének kérdését. Ezt igazolják a keresetlevelek vizsgálatának tapasztalatai vagy az interneten elérhető téves tartalmú adatkezelési tájékoztatók sokasága, ahol a GDPR hatálya alá tartozó adatkezelések esetében is az Info tv. szabályai kerülnek felhívásra a keresetlevelek jogi érvelésében vagy a tájékoztatók egyes elemeinél.

A hatály kapcsán az értelmezési problémákat az idézte elő, hogy a LED irányelv átültetett szabályainak a tagállamok jogrendszerében meg kell jelennie. Az Info tv. Módtv. megalkotásakor pedig azt a szabályozási megoldást választotta a jogalkotó, hogy nem egy új törvényben, hanem a korábbi általános szabályozást módosítva helyezte el a harmonizációt szolgáló szabályokat. Annak szabályai azonban három jól körülhatárolt célból végzett adatkezeléshez kapcsolódnak, így a bűnüldözési, a honvédelmi és a nemzetbiztonsági célú adatkezelésekhez. A rendeleti jogforrási jellegből adódó dereguláció mellett a GDPR hatályosulását segítő szabályok alkotására is szükség volt, amelyek szintén az Info tv. szabályai között lelhetőek fel. Így a törvényben olyan szabályok is vannak, amelyeket mind a GDPR, mind az Info tv. hatálya alatti adatkezelésekre alkalmazni kell.

Az Info tv. Módtv. javaslati indokolása ezt a módszert a korábbi rendszernek az uniós jog által biztosított keretek közötti fenntartásával támasztotta alá azáltal, hogy az akkor hatályos magyar jogrendszer az általánosan, horizontálisan alkalmazandó adatvédelmi rendelkezéseket hagyományosan egy normában tartalmazta, az ágazati törvények pedig ezen általános szabályokhoz kapcsolódtak.

Ahhoz tehát, hogy egy adott adatkezelési műveletre alkalmazandó norma meghatározható legyen, részletes vizsgálat alá kell vennünk a hatályra vonatkozó szabályokat már csak azért is, mert adott esetben egy bűnüldözési célú adatkezelést folytató szervnek is vannak a GDPR hatálya alatti adatkezelési műveletei. Különösen igaz ez a polgári perekben valamilyen szerepet betöltő, amúgy bűnüldözési célú adatkezelést folytató szervekre, így egy alperesi pozícióban lévő vagy egy bizonyítás során való iratbeszerzéssel érintett bűnüldözési szervre.

3.1.1. A GDPR tárgyi hatálya

A GDPR tárgyi hatályát rendező 2. cikk (1) bekezdése és az az alóli kivételeket rendező későbbi szabályai adják meg a választ arra a kérdésre, hogy a bírósági adatkezelésekre kell-e alkalmazni a GDPR szabályait. A tárgyi hatály az adatkezelés technikai szempontjainak alapulvételével kerül leírásra, amikor azon személyes adatok kezelésére írja elő a GDPR az alkalmazását, amelyek részben vagy egészben automatizált módon történnek, valamint azoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

Elsőként azt kell rögzíteni a személyes adat és az érintett fogalmából kiindulva, hogy személyes adata csak élő természetes személynek lehet, így az elhunyt természetes személyek és a jogi személyek nem alanyai az adatkezeléseknek [GDPR (14) preambulumbekezdés]. A jogi személyekre vonatkozó információk nem részesülnek a természetes személyekéhez hasonló uniós jogi védelemben (C–620/19. Land Nordrhein-Westfalen kontra D.-H. T. ítélet, 46. bekezdés). Jogi személyek esetében a személyes adatok védelemben részesítése az EUB gyakorlatában annyiban merült fel, amennyiben a jogi személy hivatalos neve alapján azonosítható volt egy vagy több természetes személy [C–92/09. és C–93/09. sz. egyesített ügyek: Volker und Markus Schecke GbR (C–92/09) és Hartmut Eifert (C–93/09) kontra Land Hessen ítélet, 53. bekezdés; C–419/14. WebMindLicenses Kft. kontra Nemzeti Adó- és Vámhivatal Kiemelt Adó- és Vám Főigazgatóság ítélet, 79. bekezdés; C–670/16. Tsegezab Mengesteab kontra Bundesrepublik Deutschland ítélet, 25. bekezdés]. Természetesen a jogi személyekre vonatkozó információk között sok más esetben is megtalálhatóak természetes személyek személyes adatai, így az ilyen esetekben e természetes személyek mint érintettek személyes adatainak kezelésére kerül sor. Tehát pusztán az információ jogi személyhez kapcsolódó volta még nem zárja ki azt, hogy a GDPR szerinti adatkezelésre kerül sor. Az elhunyt személyekre vonatkozó szabályozás pedig tagállami hatáskörben maradt [GDPR (27) preambulumbekezdés]. E szabályozás hazánkban az Info tv. 25. §-ában található, amely önálló alcím alatt rendezi a személyes adatokkal összefüggő jogok érvényesítését az érintett halálát követően.

A GDPR tárgyi hatálya alá tehát egyrészről a digitálisan történő adatkezelések tartoznak, amelyek esetében nem szükséges az adatkezelés valamennyi mozzanatának elektronikus keretek között történnie. Elegendő, ha azoknak csupán egy része tartozik e körbe. Ennél is tovább megy azonban a GDPR, amikor a hatálya alá vonja azokat a nem digitális adatkezeléseket, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. A nyilvántartási rendszer fogalma konkrétan meghatározásra is került az értelmező rendelkezések között. Az a személyes adatok bármely módon – centralizált, decentralizált vagy funkcionális vagy földrajzi szempontok szerint – tagolt állományát jelenti, amely meghatározott ismérvek alapján hozzáférhető (GDPR 4. cikk 6. pont). Tehát a személyes adatoknak a rendszerezettség valamilyen foka melletti papíralapú gyűjtése is a hatálya alá tartozik. A szabályozás ily módon történt megfogalmazása a technológiasemlegességre vezethető vissza [GDPR (15) preambulumbekezdés].