Szabó Endre Győző

A védelmi lépcső elmélete

Szabó Endre Győző

A védelmi lépcső elmélete

A GDPR védelmi szintjének elemzése

Budapest, 2022

Szakmai lektor:

Váradi Szilvia

A kézirat lezárásának időp

ontja:

2020. július 23.

Kiadja a Nemzeti Közszolgálati Egyetem

és Ludovika Egyetemi Kiadó

A kiadásért felel: Deli Gergely rektor

Székhely: 1083 Budapest, Ludovika tér 2.

Kapcsolat: kiadványok@uni-nke.hu

Felelős szerkesztő: Benkő Krisztina

Olvasószerkesztő: Tomka Eszter

Korrektor: György László

Tördelőszerkesztő: Fehér Angéla

Nyomdai kivitelezés: Gelbert ECO Print Kft.

Felelős vezető: Gellér Róbert

ISBN 978-963-531-777-6 (nyomtatott)

ISBN 978-963-531-778-3 (ePDF) | ISBN 978-963-531-779-0 (ePub)

© A szerző, 2022

© Ludovika Egyetemi Kiadó, 2022

Minden jog védve.

Az Unió az emberi méltóság tiszteletben tartása, a szabadság, a demokrácia, az egyenlőség, a jogállamiság, valamint az emberi jogok – ideértve a kisebbségekhez tartozó személyek jogait – tiszteletben tartásának értékein alapul.

Az Európai Unióról szóló szerződés 2. cikkének első mondata

Tartalom

Előszó

A szerző előszava

Bevezetés

A védelem szükségességéről

A védelmi szint kérdéseinek vizsgálata

Módszertani, értelmezési és rendszertani kérdések

A kutatás módszere

A nyelvtani értelmezés

A normacél szerinti (teleologikus) értelmezés

Az Európa-konform jogértelmezés

Rendszertani kérdések

A védendő jog és a védelem szintjének kérdései a személyes adatok vonatkozásában

A magánszféra fogalmának születése: a magánszféra és a technológia összefüggései

A magánszférához fűződő jog

A Rendeletben védett jog tartalma és terjedelme az emberi jogok európai egyezményének fényében

A védelem szintjének kérdései az Európai Unió Alapjogi chartájában

A magánélet fogalmának meghatározása az Emberi Jogok Európai Bíróságának esetjogában

Egyezmények által biztosított jogi keret

A magánélet fogalma

Személyes adatok kezelése – beavatkozás a magánélethez fűződő jogba

Az állam pozitív és negatív kötelezettségeiről

A személyes adatok védelméhez fűződő jog – a horizontális jogvédelem kérdései

A védendő jog mibenléte a Rendelet alapján

A Rendelet értelmezési kerete

A Rendelet elemzésének kiindulópontjai

A Rendelet áttekintő elemzése

A védelem komponensei és a védelem szintjének kérdései a Rendelet szabályozásában – a védelmi lépcső elmélete

A kontextus

Az adatvédelmi jog generációi

A védelem komponensei és fokozatai

A védelmi lépcső fokozatainak azonosítása

Az előrelépés lehetőségei a védelmi lépcsőn

Az állam kiemelt felelőssége

A normakövetés és az adatvédelmi kultúra összefüggései

Az adatvédelmi jog hatékonysága

Az adatvédelmi hatóságok hatékony működése

A védelem komponensei – a védelmi lépcső révén mérhető indikátorok általános elemzése

A Rendelet hatálya

Tárgyi hatály

Területi hatály

Személyi hatály

Definíciók

Átláthatóság

Az érintettek jogai

A központi adatvédelmi nyilvántartások megszűnése, belső nyilvántartások vezetése

Adatvédelmi hatásvizsgálat

Az adatvédelmi tisztviselő

A harmadik országba irányuló adattovábbítások szabályainak egységesítése

Független adatvédelmi felügyeleti hatóságok

Adatvédelmi felügyeleti hatóságok együttműködése határon átnyúló adatkezelés esetén

Az adatvédelmi incidensek bejelentésének kötelezettsége

Adatvédelmi bírság

Az adatvédelmi szabályozás technológiai fejlődést és változó üzleti modelleket követő rendszeres felülvizsgálata

Összegzés

A Rendelet egyes jogintézményeinek részletes elemzése – az adatvédelmi tisztviselő

Az adatvédelmi tisztviselői intézmény

Kockázatok és elszámoltathatóság

Az adatvédelmi tisztviselők szerepe

Előrelépés a védelmi lépcsőn és az adatvédelmi tisztviselői intézmény léte

Az adatvédelmi tisztviselő kinevezésének kötelezettsége

Értelmezési kérdések

Fő tevékenység

Nagymértékű adatkezelés

Rendszeres és szisztematikus megfigyelés

Az adatkezelőnek vagy az adatfeldolgozónak kell kineveznie az adatvédelmi tisztviselőt?

A kinevezési kötelezettség köre a védelmi lépcső fényében

Az adatvédelmi tisztviselő feladatai és jogállása

A foglalkoztatás szabályai

A tisztviselő adatainak nyilvánossága, elérhetőség

Teljes vagy részmunkaidős foglalkoztatás

Az adatkezelő feladatai a tisztviselő munkájának támogatása terén

Összeférhetetlenség

Az adatvédelmi tisztviselő feladatai – tanácsadás, ellenőrzés, kapcsolattartás

A tisztviselő feladatai az adatvédelmi hatásvizsgálat kapcsán

Összegzés

Az adatvédelmi tisztviselő feladatai és jogállása a védelmi lépcső elméletének fényében

A Rendelet egyes jogintézményeinek részletes elemzése – az adatvédelmi felügyeleti hatóságok

A felügyeleti hatóságok szerepe

Az adatvédelmi hatóságok létrehozásának szükségességéről

Az adatvédelmi felügyeleti hatóságok létrehozatala a védelmi lépcső elméletének fényében

A hatóságok feladatai – a védelem erősítésének és egységesítésének eszközei

Általános feladatok

A köz és az érintettek irányába mutató feladatok

A hatóságok belső feladatai

A jogalkotási és közigazgatási tervezetek véleményezése

Együttműködés más felügyeleti hatóságokkal és az Európai Adatvédelmi Testület munkájában való részvétel

Az adatkezelőkkel és adatfeldolgozókkal összefüggő feladatok

A külföldre irányuló adattovábbítással összefüggő feladatok

További, tagállami szinten meghatározott feladatok

Ingyenesség

A felügyeleti hatóságok feladatai a védelmi lépcső és a jog hatékonyságának fényében

Egységes feladatkör

A feladatok bővülésének mennyiségi és minőségi kérdései

A hatóságok új szemléletű feladatellátása

A panaszokat megelőző stratégia

A felügyeleti hatóságok hatásköre

Vizsgálati hatáskörök

Korrekciós hatáskörök

Az adatvédelmi hatóságok eljárásaival szemben támasztott uniós jogi követelmények

A tagállami adatvédelmi felügyeleti hatóságok hatásköre a védelmi lépcső fényében

Az adatvédelmi bírság

Magas védelmi szint biztosítása a tagállamokban – az adatvédelmi bírság intézménye a védelmi lépcső fényében

A bírság kiszabásának mérlegelése

A bírság kiszabásának szempontjai és a védelmi lépcső alkalmazása

A jogsértés jellege, súlyossága, időtartama

A kár mértéke

A kár enyhítése érdekében tett intézkedések

Az érintettek száma

A jogsértés szándékos vagy gondatlan jellege

A felelősség mértéke

Korábbi releváns jogsértések

Korábbi hatósági intézkedések ugyanabban a tárgyban

A tudomásszerzés módja

A jogsértéssel érintett adatkategóriák

A magatartási kódex és a tanúsítás szerepe a bírságkiszabás során

Egyéb körülmények

A bírsággal szemben támasztott általános elvárások

A bírság mértéke

Enyhébb megítélésű jogsértések

Súlyosabb jogsértések

A felügyeleti hatóság utasításának figyelmen kívül hagyása

A bírság legalacsonyabb és legmagasabb összege

Az előrelépés lehetősége a védelmi lépcsőn a bírság összege terén

Kivel szemben szabható ki bírság?

A bírsággal sújtható személyi kör meghatározása – az előrelépés lehetősége a védelmi lépcsőn

Közhatalmi szervek bírságolása

Az előrelépés lehetősége a védelmi lépcsőn

Egységes bírságolási gyakorlat az unió tagállamaiban a védelmi lépcső fényében

Együttműködési eljárások és vitarendezés, hatóságok függetlensége

A jelenlegi szabályozás jellemzői – az együttműködés főbb szabályai – egyablakos ügyintézés és vitarendezés

A felügyeleti hatóságok függetlenségéről

A függetlenség kritériumai

A közös hatáskörgyakorlás intézményi reformja – az előrelépés lehetősége

Végkövetkeztetések

A védett jog tartalma

A védelmi lépcső elmélete

A védelem komponensei és minőségi mutatói

Az adatvédelmi tisztviselő szerepének megújításáról a védelmi lépcső fényében

Az adatvédelmi felügyeleti hatóság feladatellátásának új modellje a védelmi lépcső alkalmazásával

A felügyeleti hatóságok hatáskörének elemzése a védelmi lépcső alapján

Az adatvédelmi bírság elemzése a védelmi lépcső elmélete alapján

Az adatvédelmi hatóságok szerepéről

A látencia tagadása – nagyobb adatkezelői transzparencia

Állami példamutatás

A Rendelet kétéves alkalmazásának értékelése

Zárszó

Felhasznált irodalom

Szakirodalom

Intézményi dokumentumok

Egyéb forrás

A 29. cikk szerinti adatvédelmi munkacsoport munkássága – időrendi sorrendben

Az Európai Bizottság dokumentumai – időrendi sorrendben

Internetes források

Hivatkozott magyar bírósági ítéletek

Hivatkozott egyéb ítéletek

A Nemzeti Adatvédelmi és Információszabadság Hatóság ügyei

Az Emberi Jogok Európai Bíróságának hivatkozott ítéletei

Az Európai Unió Bíróságának hivatkozott ítéletei

Hivatkozott jogszabályok, egyezmények

Előszó

A védelmi lépcső elmélete című kötet megjelenése örömmel tölt el, jó látni, hogy egy sokéves vállalás, a doktori értekezés megírása, majd önálló kötetben publikálása valósággá válik. Az elemző munka, amelyet a szerző az értekezésében elvégzett, sok szálon kötődik a munkámhoz és érdeklődésemhez. A személyes adatok védelméhez fűződő jog egyike a nehezen megfogható, körülhatárolható alapjogoknak. Ennek egyik oka valószínűleg abban keresendő, hogy a viszonylag fiatal, harmadik generációs jognak sok másikkal összevetve kevesebb az elméleti megalapozottsága. Az alkotmányjogi összefüggésen túl uniós jogi érdeklődésem miatt is jó szívvel veszem kezembe a kötetet, amely a szinte már misztikusnak ható általános adatvédelmi rendelet, a GDPR pragmatikus elemzését adja.

Kötődésem a kötethez, a témához, az elvégzett munkához személyes is. Nem csupán arra az élményemre gondolok, amikor a nyilvános védés alkalmával ünnepélyes keretek között egyhangúan javasoltuk az értekezés elfogadását és a fokozat megadását. A dolgozat mögötti személyes munka ismerős a számomra. Ismerős a jogász, az értelmiségi vívódása, hogy az a munka, amelyet végzünk, vajon elég hatékony-e? Jól gazdálkodunk-e az időnkkel, tehetségünkkel, erőforrásainkkal? Eleget teszünk-e a jogászi hivatással együtt járó feladatunknak, ahol a hétköznapi tapasztalatból szabályozás iránti igény, majd jogszabály lesz, és a hivatalos közlönyben megjelenő fekete-fehér szövegből a jogkeresők számára helyes döntéseket várnak el? Ez a törekvés végigkísér bennünket a jogászi pályán. Az értekezésben körüljárt kérdések, a különböző védelmi szintek összehasonlítására tett javaslat, a védelmi lépcső gondolata mind ebből a jogászi alapállásból indulnak ki.

Amikor 2014. szeptember 22-én az Országgyűlés illetékes bizottsága alkotmánybíró-jelöltként meghallgatott, a jogállammal összefüggésben úgy fogalmaztam, hogy „a legapróbb egyéni jogsértés se maradjon megfelelő alkotmányjogi következmény nélkül, és ez megerősíti a polgárok hitét a jog nemzetet szervező és nemzetet megtartó erejében”. A szerző, Szabó Endre Győző is osztja ezt a célkitűzést. Meggyőződésem, hogy a kötet olyan tudományos eredmény, amelyet nem csak napi teendőink során vehetünk le a polcról tájékozódás céljából. Azt az üzenetet is hordozza: feladatom volt, és ezt el is végeztem. Jó érzéssel írhatjuk le ezt.

A szerzőt ismerve biztos vagyok abban, hogy továbbhalad a megkezdett úton, és további írásaival fogja értelmezni, elemezni és közelebb hozni az adatvédelem elméleti és gyakorlati kérdéseit az olvasóhoz.

Dr. Sulyok Tamás

az Alkotmánybíróság elnöke

A szerző előszava

Az olvasó a 2020 szeptemberében megvédett doktori értekezésemet tartja a kezében. A kéziratot 2020 júliusában lezártam. Az eredeti változathoz képest minimális korrekciókat végeztem a szövegen ott, ahol ez a kézirat minőségének javítása érdekében szükséges volt.

A PhD-kutatásom mögött az a kérdés állt, vajon hogyan lehet kikerülni az alacsony hatásfokú jogérvényesítés és jogérvényesülés csapdájából. Ahhoz, hogy ezekről a kérdésekről és kételyekről előremutató párbeszédet folytathassunk, megalapozó munkák szükségesek. A GDPR védelmi szintjének elemzése és a különböző védelmi szintek közötti lehetséges különbségek feltárására irányuló munkám ebben a szellemben született.

Az adatvédelemhez való jog az emberi méltóságnak a magánszférát érintő aspektusához tartozik. E jog érvényesülését az alapelvektől a technikai részletekig menő jogszabályok szolgálják. Ha a személyes adatok védelméről értekezünk, magától értetődik, hogy magas szintű védelemről szólunk, vagy legalábbis azt tekintjük célnak. Amikor itt, az előszóban alacsony szintű védelemről beszélek, akkor nem csupán a védelem hétköznapi értelemben vett jelentését hiányolom. Meg kell nyitnunk egy ennél tágabb perspektívát, ez pedig az adatvédelmi kultúrát jelenti.

Számomra az adatvédelmi kultúrát leginkább azok a hétköznapi magatartások jellemzik, amikor az emberi méltóság érvényesül, amikor az érintettek azt élhetik meg, hogy az adatvédelmi szabályok tiszteletben tartása révén ők maguk is figyelmet, tiszteletet kapnak, tehát a védelem érvényesül. Minden olyan magatartás, amely ebbe az irányba mutat, ennek feltételeit teremti meg, az adatvédelmi kultúrát szolgálja.

Én magam lassan két évtizede a hatósági gyakorlat területén dolgozom. Természetesnek tűnt egy idő után, hogy a tudomány irányába forduljak. Azok közé tartozom, akik a gyakorlati munka mellett kivehetik a részüket az oktatásból, tankönyvek fejlesztéséből, publikációk írásából, vizsgáztatásból.

A gyakorlat és a tudomány területén természetes szövetség jön létre, egyszersmind hiányokkal is szembesülünk. Ismét hiányokról írok – de mi hiányzik a mai magyar tudományos életből az adatvédelem területén? Hiányként említhetjük az adatvédelmi tanszékeket az egyetemeken, hiányolhatjuk a téma nagy professzorait, akik talán már élnek, de még nem futották be azt a pályát, amelyre olyan nagy szükség lenne. Hiányolom a szakmai folyóiratot, ahogyan az adatvédelmi szakkönyvtárat is. A tudomány sok mindent hozzátehetne tehát az adatvédelmi kultúra erősítéséhez.

Akkor, amikor szűkös szabadidőmben a tudományos munkához teszek hozzá egy kicsit, mindig azt érzem: egy kis hiányt pótoltam, egy kis adósságot törlesztettem az adott munkával. Így vagyok a doktori értekezésemmel, és annak publikációjával is.

Bízom abban, hogy az írásom hasznosnak bizonyul mindazoknak, akik azzal a céllal veszik kézbe, hogy az adatvédelemmel szorosabb barátságot kössenek. Amikor újra végigolvastam a kéziratot, az a remény fogalmazódott meg bennem, hogy ez az új kötet tankönyvként is megállhatja a helyét. Az idő majd eldönti. Akárhogy lesz is, jó érzéssel zártam le ezt a kötetet, és ezzel együtt egy szakaszt is a szakmai pályámon.

Kívánom minden olvasónak, hogy a sorok között mindig ismerje fel az egyéni sorsot, amit a jog véd, és a közjót vagy közérdeket, amit a jog megfogalmazni próbál. Végső soron ezért dolgozunk, ezért van értelme a mindennapi munkánknak, és így lehetünk majd talán elégedettek, amikor évtizedek múltán visszatekintve azt mondhatjuk: mi is hozzátettünk valamit az adatvédelmi kultúra építéséhez.

Szabó Endre Győző

Bevezetés

A természetes személyekhez kötődő információk védelme, vagyis az adatvédelem az utóbbi évtizedekben az emberi méltóság védelmének egyik aspektusaként jelent meg a jogi gondolkodásban.

A személyes adatok védelmének anyajoga az emberi méltóság.

Az európai kontinentális jogfejlődésben ez a kijelentés teljesen természetes. Figyelemre méltó ugyanakkor, hogy az Amerikai Egyesült Államokban is megjelenik a privacy és az emberi méltóság összekapcsolása. Dean Prosser 1960-as években sokat idézett munkáját felidézve Bloustein vitatkozik azzal, hogy a privacyt érintő jogsértéseket csupán négy, „hagyományos” vétkességi felelősségi formulával lehet leírni (az érintett személyt elvonultságában zavarják, magánszférájába beavatkoznak; az érintettre vonatkozó kellemetlen tények nyilvánosságra hozatala; az érintett nyilvánosság előtt rossz megvilágításba helyezése; az érintett nevével, hasonlóságával való visszaélés – ma úgy mondanánk, személyiséglopás). Bloustein szerint a privacy jogával szembeni jogsértések minden esetben a személyiség ellen irányulnak, támadás az emberi méltóság (human dignity) ellen. [1]

Az egyén méltóságának védelme teszi szükségessé és indokolttá az adatok oltalmát a jogellenes hozzáféréssel és felhasználással szemben. Majtényi László hangsúlyozza, hogy a személyes adat védelme az egyén védelmét szolgálja, aki része szűkebb és tágabb közösségének, bonyolult és összetett viszonyok alanya. [2]

Jóri András szerint „az adatvédelmi jog célja a magánszféra védelme”. [3] A magánszféra, valamint a személyes adatok védelme az Alaptörvényben rögzített, [4] ilyen módon a legmagasabb szintű hazai jogforrási hivatkozást nyújtja, amelyet kiegészítenek a nemzetközi dokumentumok. A magyar adatvédelmi törvény, az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) a magánszféra védelmét határozza meg értelmezési keretként, olyan célként, amelyre tekintettel az adatvédelemmel összefüggő jogi kérdések interpretálandók.

Ha az Európai Unió adatvédelmi szabályozására tekintünk, az értelmezési keret középpontjában ott is az alapvető jogok védelme áll. Az 1995-ös adatvédelmi irányelv [5] még nem hivatkozhatott az Európai Unió Alapjogi chartájára, [6] mindazonáltal a jogalkotás mögött ott húzódott a tagállamok alapjogi hagyománya [7] és gyakorlata, valamint az Európai Unió Bíróságának gyakorlata is.

A megjelölt értelmezési tartományok nyújtanak keretet ahhoz, hogy a jogszabályok alkalmazása során a jogalkalmazó megfelelő eredményre jusson, így az egyes jogkérdések megválaszolhatók legyenek. Az egyén számára a jogszabályokban biztosított jogokhoz a kikényszerítés eljárásai és intézményei társulnak.

Az adatkezelő szervezetén belül az adatvédelmi tisztviselőhöz, azon kívül az adatvédelmi hatósághoz, a tagállami rendszerben utolsó jogorvoslati lehetőségként pedig a bírósághoz lehet fordulni. Az egyéni jogok kikényszerítésének európai szintű fórumai az Emberi Jogok Európai Bírósága, valamint az Európai Unió Bírósága. A tagállami szinten meg nem oldott jogviták e fórumok előtt folytathatók, illetve kezdeményezhető az EU jogának értelmezésére irányuló eljárás. Ezek a jogviták az elmúlt évek tapasztalatai szerint hatékony módon járultak hozzá egyes kérdések megválaszolásához.

Az Európai Unió 2016 tavaszán új adatvédelmi tárgyú jogalkotási aktusokat fogadott el:

Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (a továbbiakban Rendelet).

Sem a Rendelet, sem a bűnügyi irányelv nem hivatkozik a magánéletre mint a jogi aktus értelmezési keretére, csupán az Alapjogi chartában rögzített jogokra. A jogalkotó ezen a ponton nem adott jogalkotást orientáló értelmezési keretet. A preambulumbekezdésekben értelemszerűen a magánélet védelmének számos aspektusa felmerül, mindazonáltal a korábbi jogi aktussal összevetve ez a különbség szembeötlő.

Az Európai Parlament és a Tanács (EU) 2016/680 irányelve (2016. április 27.) a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről (bűnügyi irányelv).

Az úgynevezett e-Privacy irányelvet (2002/58/EK) a jövőben felváltó e-Privacy rendelet is az adatvédelmi szabályozási csomag részét képezi, de lényegesen később alkotják csak meg. Az e-Privacy rendelet jelenleg is csak a tervezet szintjén áll, és már ezt a tervezetet is többször módosították. Az Európai Unió intézményeinek adatvédelmi szabályait, illetve ennek felügyeletét szabályozó 45/2001/EK számú rendelet felülvizsgálata 2018-ban lezárult, helyébe az Európai Parlament és a Tanács (EU) 2018/1725 rendelete (2018. október 23.) lépett a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről.

Elemzésem az elsőként említett uniós jogalkotási aktusra, az általános adatvédelmi rendeletre (angolul: General Data Protection Regulation, GDPR) koncentrál. A jogi aktus 2018. május 25-től alkalmazandó az Európai Gazdasági Térség tagállamaiban.

Az alábbiakban a Rendeletet és a Rendelet nyújtotta védelem szintjét elemzem.

A védelem szükségességéről

A személyes adatok kezelése egyre nagyobb mértékben befolyásolja az egyének életét. Ez számos jogviszonyban nyilvánvalóvá vált az elmúlt évtizedekben, ahogyan a való élet jelenségei egyre inkább digitálisan is megjeleníthetővé válnak, és az interneten keresztül befolyásolhatók valós körülmények, amelyekre hatásunk korábban csak az offline világban lehetett. Mindemellett az is megfigyelhető, hogy az internetes közeg már nem csupán a való élet leképeződése, kiegészítése, hanem egyre nagyobb szerepet játszanak az online közegben végbemenő események az emberek életében. A való és az online lét közötti kettősségről ír Csepeli György tanulmányában. [8] Az online világ történései már önmagukban is fontos társadalmi események. Mindezeknek a fényében szükséges értékelnie a jogi gondolkodásnak, hogy milyen eszközei vannak a védelem megteremtésére és erősítésére azon adatok tekintetében, amelyek mindezeket a lehetőségeket megteremtik, és amelyek kezelése életeket, élethelyzeteket, emberi kapcsolatokat képes befolyásolni. Az Európai Unió válasza ebben a tekintetben egyértelmű: „ami jogellenes offline, annak online is jogellenesnek kell lennie”. [9]

A kockázatokkal és a rosszhiszemű magatartásokkal folyamatosan számolni kell, a védelem végső soron ezekkel szemben fogalmazódik meg.

A Rendelet alkalmazásával egy olyan szabályozás lép világszerte reflektorfénybe, amely a személyes adatok magas szintű védelmét tűzi ki célul. A magas védelmi szint megteremtésében a Rendelet nem egyedül a szabályozásra támaszkodik, hanem több ponton a jogalkalmazóra bízza a jogi megfelelés helyes módjának megtalálását. A korábbi szabályozáshoz képest eltolódik a felelősség az adatvédelmi hatóságoktól az adatkezelők irányába. [10] A szabályozásnak természetesen velejárója marad a kikényszerítés eszközrendszere, de ez is összetettebbé válik a korábbiakhoz képest. Egységes gazdasági térben kívánja az uniós jogalkotó a védelmi szintet fenntartani, illetve megteremteni; a megerősített hatóságokat uniószerte azonos és nagyon erős vizsgálati, korrekciós hatáskörökkel ruházta fel; a Rendeletben meghatározott adatkezelőket arra kötelezi, hogy adatvédelmi tisztviselőt alkalmazzanak a megfelelés érdekében.

Az elmúlt évek bővelkedtek olyan eseményekben, amelyek az adatokkal végezhető jogsértésekről, manipulációkról alkotott elképzeléseinket többször is átalakították. [11] A közösségi oldalak piacáról kiderült, hogy már messze nemcsak közösségi oldalak, hanem jóval többet jelentenek annál. Az életviszonyokat befolyásolni képes gépezetté nőtték ki magukat. Erről írnak részletesen Brendan van Alsenoy és szerzőtársai. [12] A nyitott társadalmú demokráciák azzal szembesülnek, hogy választóik magatartása a róluk kialakított profilok alapján befolyásolhatóvá válik, a választási csalások új dimenzióját nyitva meg. [13] Mindeközben a felhasználók a különböző nemzetbiztonsági szolgálatok hozzáféréseivel kapcsolatos hírek, így az Edward Snowden nevéhez fűződő kiszivárogtatások [14] miatt feladják a magánszféra illúzióját. Az illúziók felszámolásához vezet a globális adatkezelések jelensége is. Az internet teljesen fellazította a korábbi fizikai határokat, a felhasználók körében a védtelenség érzete megerősödött.

A big data jelensége a hétköznapi szókincsünk részévé válik, jelezve, hogy mindenkit érint a korábban elképzelhetetlen mennyiségű adatok gyűjtése, elemzése. Újdonságát részben az adja, hogy a korábbi, kisebb mintavételű adatfelhasználásokhoz képest eddig elképzelhetetlen eredményekre lehet jutni. [15] Bár a big data kapcsán nehéz egységes definíciót találni, Ződi Zsolt szemléletesen fogalmazza meg: a jelenség lényege, hogy a külvilág és az emberek egyre több adatát rögzítik, és ezekre az adathalmazokra egyre többféle elemző, profilírozó, következtető és jósló algoritmus épül. [16] A big data nem csupán a piaci szereplők számára érhető el, és kínál előnyöket, hanem, ahogyan Szőke Gergely hangsúlyozza, a közhatalmi szervek is számos területen aknázhatják ki az új lehetőségeket. Így például a közlekedési és szállítási adatok elemzése, az egészségügyi szolgáltatások fejlesztése, az adócsalás és a korrupció elleni küzdelem, a bűnmegelőzés és a büntetőeljárások, vagy akár a munkanélküliség elleni küzdelem, az oktatás és a környezeti adatok elemzése terén is igénybe vehetők a big data elemzések eredményei. [17] Orla Lynskey az adatok koncentrációját és a kapcsolódó hatalmi helyzetet elemezve mutat rá az „adathatalom” jelenségére, amelynek privacyszempontból is különös figyelmet kell szentelni. [18]

Lynskey írásában arra is rámutat, hogy az adatok koncentrációjával járó piaci átrendeződés versenyjogi eszközökkel is kezelhető részben, de a Facebook és a WhatsApp fúziója során az Európai Bizottság nem érvényesítette megfelelően a fogyasztók érdekeit. A hatékony érdekérvényesítéshez három lehetséges utat javasol: erősebb adatvédelmi kikényszerítést, vagy az adatok közjószágként, illetve a technológiai óriások közszolgáltatóként való kezelését, végül pedig a mesterséges adatkoncentráció (Lynskey szóhasználatával: adatkapitalizmus) korlátozását.

Tal Zarsky a Rendelet és a big data között kibékíthetetlen ellentétet lát, ugyanis az adatvédelmi alapelvek a big data alapvető célkitűzéseivel összeegyeztethetetlenek. [19] Négy példát is említ erre: a célhozkötöttség elvét, az adatminimalizálást, a különleges adatok kezelésére vonatkozó korlátozásokat és az automatikus egyedi döntéseket.

A mesterséges intelligencia térnyerése egy másik jelenség, amelyet ezekben az években próbálunk megismerni és megérteni. Nem csupán a technológiát, hanem annak alkalmazását és az emberek életére gyakorolt hatását is kutatjuk, Hajdú József például a munkaerőpiaci hatásait. [20]

Hajdú nemzetközi kitekintés keretében elemzi a munkaerőpiaci hatásokat, rámutatva arra, hogy egyes szektorokban kisebb, míg másokban nagyobb eséllyel váltják fel robotok az embereket. Bár itt a munkaerőpiaci hatásokról van szó, a mesterséges intelligencia mindig szorosan kapcsolódik személyes adatok felhasználásához, így a munkahelyi környezetben szintén érzékenynek számít ez a kérdéskör.

Kollár Csaba arra mutat rá, hogy a mesterséges intelligencia jellegzetesen interdiszciplináris terület, amelynek számos alfaja ismert. A témában kiváló alapvetésnek is tekinthető írásban Kollár a biztonságtudomány, a számítástudomány, a kommunikáció- és nyelvtudomány, a pszichológia, a szociológia, a filozófia, a matematika és informatika, a műszaki tudományok, az idegtudomány, valamint a biológia és az orvostudomány által is támogatott jelenségként, technológiaként írja le a mesterséges intelligenciát. A mesterséges intelligencia legfontosabb alfajai között a gépi tanulást, a természetes nyelv feldolgozását, a szakértői rendszereket, a látást, a beszédet, a tervezést és a robotikát említi. [21]

Még akkor is, ha egyre többet meg tudunk érteni az új technológiából, az alkalmazói nem mindig tesznek sokat a transzparencia érdekében.

Az innováció és az adatvédelem közötti konfliktust divatos említeni. E kettő kibékítésére tesz kísérletet például Sophie Stalla-Bourdillon és Alison Knight, akik nem vitatják a magánszférát érintő kihívásokat, de az emberi beavatkozás és a felügyelet szükségességét hangsúlyozzák. [22] Nicholas Diakopoulos szintén az átláthatóság mellett érvel, és az egyébként a magánszféra védelmére is használható algoritmusok kapcsán a rajtuk keresztül használt hatalom tisztázását szorgalmazza. [23] Eszteri Dániel a mesterséges intelligencia és a GDPR elemzése kapcsán kiemeli az emberi beavatkozás szükségességét, a tisztességes adatkezelés követelményeit. [24] Az adatvédelem eddig ismert fogalom- és szabályrendszerének kereteit minden bizonnyal feszegetni fogja a mesterséges intelligencia számos alkalmazása. Eszteri Raymond Kurzweilt idézi, aki szerint a technológiai fejlődés eléri a szingularitás jövőbeli korszakát, amelyben „a technológiai változás üteme olyan gyors lesz, a hatása pedig oly mély, hogy az emberi élet visszafordíthatatlanul átalakul”. [25] Ennek hatásai a magánszféra- és az adatvédelemben is folyamatos kutatások tárgyát kell hogy képezzék.

A személyi és szervezeti informatikai igényeket egyre nagyobb mértékben felhőszolgáltatások révén szolgálják ki. Ez a tendencia – amely mellett adatbiztonsági, adatvédelmi megfontolások is felsorakoztathatók – szükségszerűen váltja ki a jogi szabályozás nélkülözhetetlenségéről szóló gondolkodást. [26] Az informatikai megoldások a folyamatosan bővülő igényekhez dinamikusan alkalmazkodnak, amelyek újabb és újabb kérdéseket vetnek fel a technológia és az adatvédelem határán. [27]

A végleges formáját 2020-ban elnyerő kínai társadalmi pontrendszer minden bizonnyal nem csupán egyetlen ország belügye marad. [28] Félő, hogy ennek hatása meg fog jelenni Európában is.

Az említett példák jól illusztrálják a technológia jelentette kihívásokat. A sort hosszan lehetne folytatni, itt leginkább csak a látványos, az irodalomban részletesen feldolgozott technológiákra tértünk ki.

Hogyan hat mindez a magánszférára? A magánszféra állapotát illetően eltérhetnek az álláspontok, mindazonáltal a szabályozással szembeni elvárások nagyon magasak, különös tekintettel a gyorsan változó technológiai környezetre. Az adatok védelmét illetően gyakran nem annak szintje, hanem egyáltalán a létezése kérdés. Van-e még védelem – elsősorban az online közegben – a magánszférát illetően?

A következő években dől el, hogy miként állja majd ki a Rendelet az idő próbáját, mennyiben minősül helyes jogalkotói válasznak a gyakorlati kihívások tükrében. Nem csupán Európában, hanem szerte a világon nagy figyelem övezi az új szabályozás gyakorlati alkalmazását, sikere vagy sikertelensége hatással lesz más kontinensek szabályozására, illetve értelemszerűen az Európai Unió által biztosított védelem minőségére is. Ennek azért is van jelentősége, mert, ahogy az Európai Bizottság közleménye is rámutat: a „világ több országa is sok esetben az EU erős adatvédelmi rendszeréhez igazította saját jogszabályait”. [29]

Azt látjuk tehát, hogy a személyes adatok felhasználásának és védelmének szabályozása a 21. század elején meglehetősen nagy jelentőséggel bír, és a személyes adatkezelések bővülésével folyamatosan növekedik majd a jelentősége a jövőben is.

A Rendelet az elmúlt években az egyik legnagyobb figyelemmel kísért változást eredményezte az Európai Unió jogában. Az új adatvédelmi rendelet alkalmazásának messzemenő jogi és gyakorlati következményei vannak, elemzésem ennek a védelemnek a definiálására és a lehetséges védelmi szintek összehasonlítására irányul.

A védelmi szint kérdéseinek vizsgálata

Elemzésemben arra a kérdésre keresem a választ, hogy a személyes adatok védelmének szintje jogi eszközökkel meghatározható-e, illetve a védelem egyes szintjei definiálhatók-e. Amennyiben igen, úgy melyek azok a kritériumok, amelyek alapján az egyes szintek között minőségi különbség tehető? Mi az egyes szintek közötti összehasonlítás alapja? Mindezek fényében milyen lehetőségek adódnak a védelem szintjének alakítására, milyen jogi eszközökkel javítható a védelem minősége?

Az elemző munka a Rendelet kiválasztott szabályainak megértésére, tartalmuk pontos megállapítására és helyes alkalmazásukra irányul. A cél egy olyan szempontrendszer, a védelmi lépcső elméletének megalapozása, amely a védelem szintjének elemzése során jogi értelemben is megragadható szempontokat nyújt. A kiindulópontot minden esetben a hatályos szabályozás, a jelenlegi szint azonosítása jelenti, amelyet összevetek a megelőző szinttel, és kísérletet teszek az új szint meghatározására. Ez a munkamódszer a gyakorlat számára is hasznos lehet.

Az adatvédelmi ügyek nap mint nap nagy számban merülnek fel a gyakorlat során. Ezek egy része, egy sajátos szűrőn, leginkább érintetti panaszok útján eljut az adatvédelmi hatóságokhoz, majd ezek egy szegmense, ismét egy válogatás eredményeként, az európai uniós fórumokhoz. Legyen szó bármilyen ügyről, ugyanazt a jogi mércét alkalmazzuk, korábban a 95/46/EK irányelvet, 2018 májusától pedig a Rendeletet. Bár végső soron mindig ugyanaz a kiindulópont, nevezetesen az egyének magánszférájának, illetve személyes adatainak védelme, hasznos tudományos igénnyel kidolgozni és áttekintést nyújtó elemzést készíteni arról, hogy miből áll össze az a védelem, amit mindig adatvédelemként említünk. Úgy tűnik, mintha magától értetődő lenne a jelentése, mégsem rajzolódik ki következetesen annak rendszerszerű alapja.

A tömegével előforduló és a nehéz ügyekben egyaránt hasznosítható elemzést kívánok bemutatni. Az elvégzett elemzés nem csupán tudományos megfontolásokat kíván szolgálni, hanem célja az egyes ügyek megértését és értelmezését is elősegíteni, ilyen értelemben a gyakorlatra tekintettel készült. Gyakorlati beállítottságú szerzőként közelítem meg a témát, de a napi hatósági munka során is fel kell ismerni, hogy az elméleti kérdések elmélyült vitatása mindig hozzájárul a gyakorlati munka hatékonyságához. A munka hatékonysága – ideértve a hatósági munka hatékonyságát is – jelentős kérdés a hatóságok által betöltött demokratikus szerep érvényesülésében és értékelésében. Erre a hatóságokról szóló fejezetben bővebben is ki fogok térni.

Módszertani, értelmezési és rendszertani kérdések

A kutatás során a klasszikus kutatási módszerekre támaszkodtam. Szembesültem olyan rendszertani kérdésekkel is, amelyek az elemzés összefüggéseinek összetett voltára, egyszersmind az adatvédelem mint viszonylag fiatal jogterület helykeresésére is utalnak.

A kutatás módszere

A kritikai, forráselemző módszert követtem a vonatkozó szakirodalom feldolgozása terén. A védelmi lépcső elméletének kidolgozása és megalapozása során alkalmaztam az összehasonlító és a történeti módszert is.

A kívánatos védelmi szint meghatározása során értelemszerűen a jogfejlesztésre irányuló javaslatokat fogalmazok meg, ennek kapcsán pedig a de lege ferenda megközelítést alkalmazom. A jelenlegi védelmi szint meghatározása során pedig a deskriptív, illetve ehhez szorosan kapcsolódva a kritikai-elemző módszert használom.

A nyelvtani értelmezés

A nyelvtani módszer a normaszöveg pontos tartalmának feltárására irányul. Az Európai Unió jogalkotásának sajátosságaira tekintettel bizonyos esetekben a jogalkotás eredeti, angol verziójának vizsgálata is szükséges. A Rendelet, az Európai Unió valamennyi jogalkotási aktusához hasonlóan, az EU mind a 24 hivatalos nyelvén nyilvánosságra kerül. [30] Értelemszerűen a magyar nyelvi verziót veszem alapul, mint az Európai Unió egyik hivatalos nyelvén, a Hivatalos Közlönyben publikált szöveget.

Az adatvédelmi jog terminológiája nemzetközi téren kidolgozott és mára több évtizedes joggyakorlat után megszilárdult. A normaszöveg köznyelvi alapú értelmezésének alapja a Rendelet számos fogalommeghatározása, amely a köznyelvitől eltérő jelentés szaknyelvi tisztázását segíti elő.

A normacél szerinti (teleologikus) értelmezés

Az Európai Unió jogalkotási rendje szerint a normaszöveget megelőzi a jogalkotói megfontolásokat, célokat összegző preambulumbekezdések sora. A Rendelet 173 ilyet tartalmaz. Az értekezésben a preambulumbekezdéseket a jogalkotói cél tekintetében részletesen elemzem.

A preambulumbekezdéseken túl az adatvédelmi alapelvek absztrakt módon fogalmazzák meg a jogalkotó célját. Az alapelveket az elemzés során figyelembe kell venni a jogalkotói szándék tekintetében.

Az Európa-konform jogértelmezés

Triviálisnak tűnhet, hogy az Európai Unió Rendeletét Európa-konform jogértelmezési módszerrel kell vizsgálni, azonban a joggyakorlat rámutat ennek szükségességére. Az egyes jogkérdéseknek az Európai Unió Bíróságának döntéseiben megjelenő értelmezései a Rendeletbe már részben beépültek, részben pedig magának a Rendeletnek az értelmezését segítik elő. Az Európai Unió Bíróságának immáron számos ítélete született előzetes döntéshozatali eljárás során, és fontos jogértelmezési kérdésekben nyújt eligazítást nem csupán a kérdéseket előterjesztő bíróságoknak, hanem a hatóságoknak és a többi jogalkalmazónak egyaránt. Tekintettel a nem mindig koherens tagállami jogalkalmazásra, az Európa-konform módszer fontos a Rendelet helyes értelmezésének feltárásában. A teljes harmonizáció jogalkotói célkitűzése áthatja a Rendelet szabályait, ennek a norma értelmezésére és alkalmazására is kihatással kell lennie.

A Bodil Lindqvist-ügyben hozott ítéletében az Európai Unió Bírósága már az adatvédelmi irányelv értelmezését illetően is a teljes harmonizációt tartotta szem előtt. A 2003. november 6-án kelt ítélet 96. pontja szerint: „Az említett nemzeti jogszabályok harmonizációja tehát nem korlátozódik minimális mértékű harmonizációra, hanem annak lényegében teljes harmonizációt kell eredményeznie. E szemlélet alapján a 95/46 irányelv célja a személyes adatok szabad áramlásának biztosítása, garantálva az ezen adatokkal érintett személy jogai és érdekei védelmének magas szintjét.” [31]

Rendszertani kérdések

A Rendelet egyik sajátosságát kutatási szempontból az adja, hogy a jogágak tekintetében nem világos az elhelyezkedése. Közjogi jellege egyértelmű akkor például, amikor az adatvédelmi felügyeleti hatóság feladat- és hatáskörét határozza meg, mindazonáltal az adatkezelő és az adatalany viszonylatában egymásnak mellérendelt felek jogait és kötelezettségeit is rendezi, sok esetben diszpozitív módon. A jogvédelem vertikális és horizontális dimenzióját is biztosítani hivatott a Rendelet. Ennek megfelelően mind a közjogi, mind a magánjogi jogágba beletartozik. A normák általános kógenciája mellett a magánjogi jellege is meghatározó.

A személyes adatok védelméhez fűződő jog elsősorban az állami szereplőkkel szemben fogalmazódott meg (közjogi jelleg), majd az adatkezelések tömegessé válásával ez a jelleg megszűnt (magánjogi jelleg). Nemcsak az adott időpontban hatályos jogi szabályozás tekintetében, hanem a jogfejlődés történetiségében is megragadhatók a rendszertani kérdések.

Rendszertani elhelyezkedésének bizonytalanságai a Rendelet szabályainak megértését, a norma tartalmának pontos megállapítását nem hátráltatják ugyan, mégis vezethetnek olyan jogértelmezési kérdésekhez, amelyekben e kettősség szem előtt tartása hozzásegíthet a helyes megoldás megtalálásához.

A védendő jog és a védelem szintjének kérdései a személyes adatok vonatkozásában

A bevezetőben utaltam a magánszférához fűződő jogra, amelyet értelmezési keretként használunk a személyes adatok védelméhez fűződő jogi kérdések megválaszolása során.

A magánszféra, a magánélet és az angolszász irodalomban használatos privacy jelentéstartalma rokon, de nem azonos. Nem célom e három fogalom összehasonlítása, mindenesetre a fogalmakat a személyes adatok védelme szempontjából hasonlóan fontosnak tekintem, egymás szinonimáiként kezelem és említem. Hijmans is utal téziseiben a magánélet és az adatvédelem, illetve privacy különbözőségeire. Az EEJE 8. cikkében rögzített magánélet magában foglal olyan, az adatvédelmen túlmutató aspektusokat is, mint az otthon és a levéltitok, a családi élet védelme. [32]

A fogalmi kérdéseket nem kívánom a szükségesnél részletesebben tárgyalni. Külön kötet tárgyát képezhetné, ha a témát részletesen ki szeretnénk dolgozni. Ennek megfelelően csak egy áttekintést adok a védendő jogról annak érdekében, hogy a későbbi fejezetek alapjául és hátteréül szolgáljon.

A magánszféra fogalmának születése: a magánszféra
és a technológia összefüggései

Ha történetileg a magánszféra igényének, majd jogának megjelenése elé tekintünk, akkor a technológiai fejlődés által ösztönzött jogfejlődést kell felidéznünk. Székely Iván már a telefonok megjelenését egy olyan „omlásnak” tekinti a magánszféra védelmében, amely a 19. század második felében megváltoztatta a magánszféra határait, és a „telefonkészülék egyik fő eleme, a mikrofon önálló karriert kezdett, és ezzel kialakult a vezetékes »poloskák« első generációja”. [33] A 19. század végén a gyors exponálású fényképezőgépek megjelenésével [34] addig nem tapasztalt gyorsasággal és módon vált megjeleníthetővé az ember képmása. (A Kodak 1888-ban dobta piacra azt a fényképezőgépét, amellyel gyakorlatilag amatőrök is képesek voltak jó minőségű képeket készíteni.) Lehetőség nyílt arra, hogy bárkit bárhol lefényképezzenek, majd azt az újságokban közzétegyék. Erre a jelenségre válaszul fogalmazódott meg Louis D. Warren és Samuel D. Brandeis írásában a modern kori ember vágya, hogy egyedül, illetve békén hagyják. [35] A magánszféra-védelem jogtörténeti előzménye ez a vágy, amely aztán az egyedülléthez (másoktól való zavartalansághoz) való jogként (the right to be let alone), vagy megint másként, a privacy jogaként fogalmazódott meg.

A privacy fogalmának történeti fejlődését vizsgálva rossz példaként szokás felhozni Jeremy Bentham tervét a börtönben fogva tartottak megfigyelésére. [36] A büntetőjoggal magas szinten foglalkozó Bentham kiindulópontja gyakorlatilag az volt, hogy miként lehet a börtönt hatékonyan berendezni, és a lehető legnagyobb fegyelmet, biztonságot megteremteni. (Nem csupán börtön, hanem más célú épületekre is alkalmazhatónak tartotta a panoptikon gondolatát, így többek között dologházakra, kórházakra, tébolydákra, de még szegényházakra vagy akár iskolákra is.) Olyan börtön tervét alkotta meg, amelyben a fogvatartottak egy központi toronyból, a kör alakú épület közepén elhelyezkedő pozícióból bármikor megfigyelhetők. Fizikailag természetesen képtelenség, hogy az őr valamennyi fogvatartottat egyszerre megfigyelje, a fogvatartottban mégis azt az érzést kelti a megfigyelés lehetősége, hogy valóban megfigyelik, és ezért magatartását ennek megfelelően alakítja. A görög szóból eredő, a „mindent látó” megoldás révén ez a társadalmilag is jelentős elképzelés a panoptikon nevet viseli. A privacygondolkodásban ez a koncepció széles körben hivatkozott, hiszen nem csupán egy épületre, hanem egy szélesebb közösségre is alkalmazható a panoptikon jelensége és az emberi kapcsolatokra, emberi magatartásra való hatása. [37]

Bentham börtöntervének van egy olyan aspektusa is, amely kevesebb figyelmet kap. Ez pedig magának a börtönőrnek a megfigyelésére irányul. Elgondolásának része volt ugyanis, hogy a megfigyeléssel megbízott börtönőrt is meg kell figyelni, mégpedig nem csupán a felettesei révén, hanem bárki által, a köz által. Függetlenül attól, hogy a 18. század végén alkotó szocialista gondolkodó Benthamet ezen a ponton egyfajta naivitással is lehet vádolni, a privacy kapcsán egy fontos hivatkozási pontként jelenik meg a demokratikus kontroll szerepe. A panoptikon gondolata az elszámoltathatóság követelményével társulva már jóval közelebb áll a modern kori privacygondolkodáshoz. Nem abban az értelemben természetesen, hogy a panoptikonelgondolás legitim lenne, hanem olyan megvilágításban, hogy az információk kezelőinek hatalmi pozícióját erős felügyelettel, és ahol lehet, közösségi ellenőrzést lehetővé tevő transzparenciával kell kiegészíteni.

A 20. század második felében a jogi gondolkodást a számítógépek megjelenése és széles körű felhasználásával kapcsolatos aggályok határozták meg. Alan J. Westin már az 1960-as évek fejleményeit elemezve arra jut, hogy a technológia fejlődése látványos ugyan, de „halljuk a riasztó hangját is a privacy jövőjét illetően a számítógépes adatbankok korában”, a személyes találkozásokat felváltó időszak „elembertelenedése”, és a demokratikus felhatalmazás nélküli „technológiai elitek lehetséges megjelenése” miatt. A fél évszázaddal ezelőtti, Westintől származó gondolatok akár prófétainak is tekinthetők, mindazonáltal rámutatnak arra, hogy a technológia és a privacy metszéspontjában évtizedek óta hasonló problémák merülnek fel. [38]

A magánszférát érintő negatív elképzelések között kortársainktól származó idézetek is felhozhatók. Legyen elég itt csupán két megnyilvánulásra utalni. A Google vezérigazgatója, Eric Schmidt egy CNBC-interjúban arra a kérdésre, hogy a felhasználók szabadon megoszthatnak-e információkat a Google-lal, mint egy bizalmas baráttal, a válasza az volt, hogy „ha nem szeretnél valamit megosztani mással, akkor először is talán nem kellene megtenned”. [39] Felmerül a kérdés, hogy a világ legnagyobb keresőmotorjának vezetőitől a privacy iránt nagyobb fogékonyságot várnának-e el a felhasználók.

A másik idézet Mark Zuckerbergtől, a Facebook alapítójától származik, akinek azt a kijelentést tulajdonítják, hogy a privacy már nem társadalmi norma. Függetlenül attól, hogy az idézet nem szó szerinti, a 2010-es nyilatkozat óta a szavak és a tettek közötti összhangot illető valamennyi kétségünk eloszlatására elegendő érvet kaptunk. [40] Egy Európai Unió szintű 2019-es közvélemény-kutatás szerint a megkérdezetteknek csak egyötöde osztja teljes mértékben ezt a megközelítést. [41] Érdekességképpen: a 2010-ben készített kutatás egy kissé eltérő attitűdről tanúskodik, akkor még a válaszadók 33%-a nyilatkozott úgy, hogy személyes adatok megosztása „nem nagy dolog”. [42]

A magánszférához fűződő igény és a technológia viszonya mindvégig meghatározó a személyes adatok kezeléséről és védelméről folytatott gondolkodás során. Ez így van már a 19. század második fele óta, és magától értetődőnek tűnik, hogy velejárója marad a modern kori emberiségnek. „Minél inkább támaszkodik az ember a modern technológiákra, egyre kiszolgáltatottabbá, sérülékenyebbé válik emberi méltósága, magánszférája.” [43] A 20. század végén megfogalmazódott információs önrendelkezési jog jól tapintott rá az egyén kiszolgáltatottsága miatti jogvédelmi űrre. E jog az adat alanyának kívánta visszaadni azt, amit veszély fenyegetett, nevezetesen azt a döntést, hogy mi történjék személyes adataival. Több évtizedes távlatban és a technológia által kínált új lehetőségek közepette csalókának tűnik a kép, hogy az érintett lesz az, aki képes minden élethelyzetben megítélni a magánszféráját érintő hatásokat, majd az optimális döntést meghozni személyes adatai felhasználását illetően. Úgy tűnik, a technológia sokkal több lehetőséget nyújt az adatok rejtett felhasználására nézve, semmint hogy a jogalkotó a magánszférát érintő minden eshetőségre megoldást találhatna – az adatalanyról nem is beszélve. A 21. század elején a védelmi deficit nyilvánvaló. A fentebb leírt jelenségek, mint a big data vagy a mesterséges intelligencia alkalmazásának térnyerése ezt a deficitet tovább szélesíti.

Miben áll a védelmi deficit? Az adatkezelést érintő döntések átláthatatlanok, a döntések előkészítésére a hatóságoknak általában nincs rálátásuk. Az adatok az alkalmazott technológia sajátosságainak megfelelően láthatatlanok az emberi szem számára, az adatokon végzett műveletek szintén láthatatlan módon végrehajthatók, és az érintettek, a hatóságok, de még az adatvédelmi tisztviselő előtt is rejtve maradhatnak. Még akkor is, ha a döntések híre vagy a jogellenes adatkezelés jelei megmutatkoznak, a bizonyítás nem feltétlenül könnyű, a legtöbb esetben speciális szakértelmet igényel. Ez a szakértelem az adatvédelmi felügyeleti hatóságoknál sem mindig áll házon belül rendelkezésre. Ebben a tekintetben Charles Raab és Székely Iván közös tanulmányára később még kitérek, itt csak arra szorítkozom, hogy a tanulmány egyik fontos megállapítása szerint az adatvédelmi hatóságoknál a rendelkezésre álló informatikai és kommunikációs technológiai szakértelem nem kielégítő, vagy legalábbis továbbfejlesztésre szorul. [44] És még abban az esetben is, ha egy bonyolult tényállás napvilágra kerül, az érintett nem feltétlenül tudja érdekeit érvényesíteni, jogait kikényszeríteni adott esetben egy tengerentúli adatkezelővel szemben.

Nem véletlen, hogy ezek a körülmények tükröződnek a közvélemény-kutatásokban is. Az Eurobarometer 2015-ös kutatása szerint az online üzleti szereplők, így a keresőmotorok, közösségi oldalak, e-mail-szolgáltatók esetében csupán a megkérdezettek 3%-a nyilatkozott úgy, hogy teljes mértékben megbízik bennük. [45]

A Rendelet extraterritoriális hatálya a védelmi deficitet ebben a tekintetben csökkentheti, továbbá hozzájárulhat az érintetti jogérvényesítés előmozdításához. [46]

A védelmi deficit másik dimenziója egy folyamatos késztetésként írható le, amely mind az állami, mind az üzleti adatkezelőket érinti. Nevezetesen arról van szó, hogy ami lehetséges technikailag, azt a megfigyelés, vagy éppen üzleti érdekek céljából, vagy egyszerűen kísérletek, kutatások céljából meg is teszik. Szabó Máté Dániel az információs hatalom eszközeinek elemzése során a megfigyelés, elrejtőzés és az információs monopólium jelenségét különbözteti meg. Elemzésében az egyén helyzete, az ő kiszolgáltatottsága áll a középpontban. Szabó szerint az „információs értelemben aszimmetrikus viszony hatalmi jellegét az adja, hogy kiszolgáltatottságot hoz létre, mégpedig úgy, hogy az egyént korlátozza cselekvési és döntési szabadságában”. [47]

Joshua A. T. Fairfield és Christoph Engel a magánszféra közösségi dimenzióját hangsúlyozzák. Véleményük szerint az egyénre vonatkozó adat egyre kevésbé tekinthető csupán egy személy adatának. Egy adott személy vigyázatlansága saját adataival mások magánszféráját is érinti. Szerintük az „egyéni rendelkezés az adatok fölött egy rossz koncepció”, mert képtelenség megbecsülni, hogy milyen eredményekre vezet, ha adatok millióit összekapcsolják és elemzik. A big data korában az információs önrendelkezés tehát illuzórikussá válik. [48] Giovanni Buttarelli korábbi európai adatvédelmi biztos gyakorlatilag ezzel egyező következtetésre jut az online manipuláció vizsgálata körében. [49]

Az adatkezelést érintő újabb és újabb ismereteink megerősítik azt a benyomásunkat, hogy a jog kiszorul az adatkezelések rejtelmes világából, és döntések sora úgy születik meg, mintha a jogállami garanciák következmények nélkül kiiktathatók lennének. Ahogyan Warren és Brandeis az élet minőségére utalt a privacy kapcsán, úgy Westin is azzal érvel, hogy az intenzív intellektuális és érzelmi élet, a civilizációval együtt járó szenzációk hajszolása megmutatta, hogy az emberi fájdalom, öröm – és profit csak egy része rejlik a fizikai dolgokban. [50] El kell ismernünk, hogy a privacy illúziójának elvesztése súlyos megállapítás, amely az élet minőségében, a szabadságának élvezhetőségében is deficithez vezet. A technológia megjelenése a hétköznapokban megerősítette a privacy sérülékenységének érzetét, W. H. Ferry egyenesen úgy fogalmaz, hogy „a privacy ma már halott, a technológia ölte meg”. [51] Mindez a gyanakvás mérhető „eredményekben” is megmutatkozik, a közvélemény-kutatások megerősítik ezt. Az Eurobarometer felmérése szerint az Európai Unióban tízből legalább hat ember aggódik amiatt, hogy nincs ellenőrzési lehetősége a személyes adatai felett, ötből pedig csupán egy válaszadó érzi úgy, hogy az adatok online gyűjtése során teljes körű tájékoztatást kap az adatkezelés körülményeiről.