Magyarázat

a GDPR-ról

Szerkesztette

Péterfalvi Attila

Révész Balázs

Buzás Péter

Wolters Kluwer Hungary • Budapest, 2021

Kiadja a

Wolters Kluwer Hungary Kft.

Budapest, 2021

1117 Budapest, Budafoki út 187–189.

Telefon: +36 (1) 464-5656

Fax: +36 (1) 464-5657

e-mail: info-hu@wolterskluwer.com

www.wolterskluwer.com/hu-hu

Felelős vezető: Kézdi Katalin, a Wolters Kluwer Hungary Kft. ügyvezetője

Kiadásért felelős: Kézdi Katalin

A kiadványok szerkesztéséért felelős: dr. Gábor Zsolt

Felelős szerkesztő: dr. Antal Ildikó

Műszaki szerkesztés: Wolters Kluwer Hungary Kft.

Grafikai tervezés: Wolters Kluwer Hungary Kft.

ISBN 978 963 594 004 2

Termékkód: NOV1026

Kiadványaink megvásárolhatóak a shop.wolterskluwer.hu webáruházban.

Minden jog fenntartva, beleértve a sokszorosítás és a mű bővített, illetve rövidített változatának kiadási jogát is.

A Kiadó írásbeli hozzájárulása nélkül sem a teljes mű, sem annak bármely része semmiféle formában (fotokópia, mikrofilm vagy más hordozó) nem sok szorosítható.

Szerzők:

dr. Árvay Viktor

8.1. fejezet, 8.2. fejezet, 8.3. fejezet

dr. Bendik Tamás

1. fejezet, 2. fejezet

dr. Bojnár Katinka

10. fejezet, 11. fejezet

dr. Buzás Péter

7. fejezet, 8.5. fejezet, 12. fejezet, 13. fejezet

dr. Eszteri Dániel

3. fejezet, 8.4. fejezet, 15. fejezet

dr. Majsa Ágnes

8.6. fejezet, 9. fejezet

dr. Osztopáni Krisztián

6. fejezet

dr. Péterfalvi Attila

Előszó

dr. Révész Balázs

4. fejezet, 5. fejezet

dr. Sziklay Júlia

14. fejezet

A szerzők a 2018. szeptember 1-jei lezárású „Magyarázat a GDPR-ról” című eredeti művet az azóta bekövetkezett változások alapján átdolgozták.

Az eredeti mű szerzői:

dr. Árvay Viktor

dr. Bendik Tamás

dr. Bojnár Katinka

dr. Buzás Péter

dr. Eszteri Dániel

dr. Hackspacher Andrea

dr. Majsa Ágnes

dr. Osztopáni Krisztián

dr. Péterfalvi Attila

dr. Révész Balázs

dr. Sziklay Júlia

Szerkesztette:

dr. Péterfalvi Attila

dr. Révész Balázs

dr. Buzás Péter

Kézirat lezárva:

2021. május 31.

Második, átdolgozott kiadás

© Árvay Viktor, Bendik Tamás, Bojnár Katinka, Buzás Péter, Eszteri Dániel, Hackspacher Andrea, Majsa Ágnes, Osztopáni Krisztián, Péterfalvi Attila, Révész Balázs, Sziklay Júlia, Budapest, 2018

© Árvay Viktor, Bendik Tamás, Bojnár Katinka, Buzás Péter, Eszteri Dániel, Majsa Ágnes, Osztopáni Krisztián, Péterfalvi Attila, Révész Balázs, Sziklay Júlia, Budapest, 2021

© Wolters Kluwer Hungary Kft., Budapest, 2018, 2021

Rövidítések jegyzéke

Adatvédelmi munkacsoport – a 95/46/EK irányelv 29. cikkével létrehozott Adatvédelmi Munkacsoport

adatvédelmi irányelv – az Európai Parlament és Tanács 1995. október 24-i 95/46/EK irányelve

AEPD – La Agencia Española de Protección de Datos

Áfa tv. – az általános forgalmi adóról szóló 2007. évi CXXVII. törvény

Ákr. – az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény

Avtv. – a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény

BCR – Binding Corporate Rules

Bit. – a biztosítási tevékenységről szóló 2014. évi LXXXVIII. törvény

Bnytv. – a bűnügyi nyilvántartási rendszerről, az Európai Unió tagállamainak bíróságai által magyar állampolgárokkal szemben hozott ítéletek nyilvántartásáról, valamint a bűnügyi és rendészeti biometrikus adatok nyilvántartásáról szóló 2009. évi XLVII. törvény

bűnügyi irányelv – az Európai Parlament és Tanács 2016. április 27-i 2016/680/EU irányelve

Charta – Európai Unió Alapjogi Chartája

CNIL – Commission Nationale de l’Informatique et des Libertés

COPPA – Children’s Online Privacy Protection Act of 1998

DAPIX – a Tanács információcserével foglalkozó és adatvédelmi munkacsoportja

DPIA – Data Protection Impact Assessment

EDPB/Testület – Európai Adatvédelmi Testület (European Data Protection Board)

EDPS – Európai Adatvédelmi Biztos

Eht. – az elektronikus hírközlésről szóló 2003. évi C. törvény

EJEB – Emberi Jogok Európai Bírósága

EJEE – az Emberi jogok európai egyezménye

EKSz – Európai Közösséget létrehozó Szerződés

ENISA – Európai Uniós Hálózat- és Információbiztonsági Ügynökség (European Union Agency For Network and Information Security)

ET – Európa Tanács

ET adatvédelmi egyezmény – az 1998. évi VI. törvénnyel kihirdetett, a személyes adatok gépi feldolgozása során az egyének védelméről szóló egyezmény

ET adatvédelmi egyezmény kiegészítő jegyzőkönyve – a 2005. évi LIII. törvénnyel kihirdetett, a felügyelő hatóságokról és a személyes adatok országhatárokat átlépő áramlásáról szóló kiegészítő jegyzőkönyve

EU – Európai Unió

EUB/Bíróság – Európai Unió Bírósága

EUSz – az Európai Unióról szóló szerződés

EUMSz – Szerződés az Európai Unió Működéséről

Europol – Bűnüldözési Együttműködés Európai Uniós Ügynökség

Europol rendelet – a 2009/371/IB, a 2009/934/IB, a 2009/935/IB, a 2009/936/IB és a 2009/968/IB tanácsi határozat felváltásáról és hatályon kívül helyezéséről szóló, 2016. május 11-i európai parlamenti és tanácsi 2016/794/EU rendelet

EUSz – Szerződés az Európari Unióról

Eüak. – az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló 1997. évi XLVII. törvény

Eütv. – az egészségügyről szóló 1997. évi CLIV. törvény

FRA – European Union Agency for Fundamental Rights

GDPR – a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27-i 2016/679/EU európai parlamenti és tanácsi rendelet

Grt. – a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló 2008. évi XLVIII. törvény

Gtv. – a humángenetikai adatok védelméről, a humángenetikai vizsgálatok és kutatások, valamint a biobankok működésének szabályairól szóló 2008. évi XXI. törvény

Hpt. – a pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény

ICO – Information Commissioner’s Office

Infotv. – az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény

Kftv. – a közterület-felügyeletről szóló 1999. évi LXIII. törvény

Kktv. – a kutatás és a közvetlen üzletszerzés célját szolgáló név- és lakcímadatok kezeléséről szóló 1995. évi CXIX. törvény

KHR – Központi Hitelinformációs Rendszer

Ltv. – a köziratokról, a közlevéltárakról és a magánlevéltári anyag védelméről szóló 1995. évi LXVI. törvény

Mt. – a munka törvénykönyvéről szóló 2012. évi I. törvény

Módtv. – az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvénynek az Európai Unió adatvédelmi reformjával összefüggő módosításáról, valamint más kapcsolódó törvények módosításáról szóló 2018. évi XXXVIII. törvény

NAH tv. – a nemzeti akkreditálásról szóló 2015. évi CXXIV. törvény

NAIH – Nemzeti Adatvédelmi és Információszabadság Hatóság

NAV tv. – a Nemzeti Adó- és Vámhivatalról szóló 2010. évi CXII. törvény

NMHH – Nemzeti Média- és Hírközlési Hatóság

OECD – Gazdasági Együttműködési és Fejlesztési Szervezet

PIA – Privacy Impact Assessment

Pmt. – a pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi LIII. törvény

Ptk. – a Polgári Törvénykönyvről szóló 2013. évi V. törvény

Rtv. – a Rendőrségről szóló 1994. évi XXXIV. törvény

Szabstv. – a szabálysértésekről, a szabálysértési eljárásról és a szabálysértési nyilvántartási rendszerről szóló 2012. évi II. törvény

Szaz. tv. – a személyazonosító jel helyébe lépő azonosítási módokról és az azonosító kódok használatáról szóló 1996. évi XX. törvény

Számv. tv. – a számvitelről szóló 2000. évi C. törvény

Szvtv. – a személy- és vagyonvédelmi, valamint a magánnyomozói tevékenység szabályairól szóló 2005. évi CXXXIII. törvény

Vüsz. – a bírósági végrehajtási ügyvitelről és pénzkezelésről szóló 1/2002. (I. 17.) IM rendelet

Bevezetés

Kedves Olvasó!

Ön az Európai Unió általános adatvédelmi rendelete magyarázatának aktuális tudásanyaggal kibővített, átdolgozott kiadását tartja kezében. Jelen kötet célja, hogy világos nyelvezettel és közérthetően, mégis a szakértő szemével mutassa be az Európai Unió adatvédelmi keretrendszerének alapját képező rendelet egyes előírásait, jogintézményeit. Mindezt úgy, hogy a leírtakat az adatvédelem iránt elkötelezett szakértők, az adatkezelők és adatfeldolgozók, a jogalkalmazók, illetve a terület iránt érdeklődő laikusok a gyakorlatban is hasznosítani tudják.

A kötet létrejöttében és hatályosításában az adatvédelem terén kiemelkedő tudással rendelkező szakemberek, a Nemzeti Adatvédelmi és Információszabadság Hatóság jelenlegi és volt munkatársai vettek részt, ennek köszönhetően az anyagba a rendelet alkalmazandóvá válása óta eltelt három év során felgyülemlett gyakorlati ismeretei mentén az újdonságok, a legfontosabb jó gyakorlatok, illetve a jogalkalmazási tendenciák is belekerültek.

A kötetben kifejtettek további megértését segítik a rövidítések jegyzéke, valamint a magyarázat végén található további információk. Ezek közül is kiemelnénk az egységes európai joggyakorlat formálásában kiemelt szerepet játszó különféle szakanyagokat, különös tekintettel az ún. 29. cikk szerinti Adatvédelmi Munkacsoport által elfogadott dokumentumokra, valamint az Európai Adatvédelmi Testület a hatályos szabályozás szempontjából jelentős iránymutatásaira. Emellett a kötetet kiegészítettük azokkal a – hazai és nemzetközi – bírósági döntésekkel, hatósági állásfoglalásokkal és határozatokkal is, melyek a jogalkalmazást segíteni, orientálni hivatottak. A hatályosított és kibővített kézirat továbbá tartalmazza az annak lezárásáig, azaz 2021. május 31-éig elfogadott és hatályba lépett, a rendelethez és az ún. Bűnügyi Irányelvhez kapcsolódó legfontosabb jogszabályokra történő hivatkozásokat is.

A személyes adatok védelme digitalizálódó világunkban egyre nagyobb szerephez jut. A vonatkozó szabályok betartását árgus szemekkel figyelik nemcsak az illetékes hatóságok, de a közvélemény, illetve az érintettek maguk is. Ennek fényében reméljük, hogy a kötetben bemutatott szabályok és azok értelmezése révén az Olvasó könnyebben eligazodik majd az adatvédelmi előírások tengerén, azokat pedig megfelelően, a GDPR rendelkezéseit, illetve az érintettek jogait és érdekeit szem előtt tartva alkalmazza majd.

Kellemes olvasást kívánunk!

Révész Balázs – Buzás Péter

Előszó

A II. világháború után új felfogás alakult ki a Nyugat-Európai államok emberi jogi rendszerében. E szerint a polgárok mint egyének rendelkeznek az alapvető emberi jogokkal, ami nem kötődik ahhoz, hogy az érintett személy mely ország állampolgára. A jogban változatos formában található meg a magánszféra védelme, azonban ezeknek eredője, hogy kizárólag az egyes személyek rendelkeznek a rájuk vonatkozó információk feletti döntés jogával. A Római Szerződés (1950. november) számos emberi jogot garantál, azonban még hiányzik a személyes adatok védelmének deklarálása.

Az 1980-ban elfogadott OECD-irányelvek már kifejezetten az adatvédelemre koncentrálnak, így ez az első olyan dokumentum, mely a konkrétság és teljesség igényével közelít. Ennek megfelelően olyan elveket tartalmaz, melyek nemzetközi és nemzeti körben egyaránt alkalmazhatók, így ezek alapján egységes, vagy legalább hasonló elmélet és gyakorlat alakulhatott ki, mely már magában foglalta a máig érvényes legfontosabb alapelveket: a korlátozott adatgyűjtés, az adatminőség, a célhoz kötöttség és az elszámoltathatóság követelményét. Már az OECD irányelvek adatvédelmi rendelkezései betartásának is az a célja, hogy összehozza az eltérő filozófiai megközelítésből adódó szabályozásokat, ezzel pedig „közös nevező” lehet az Európai Unió és az Egyesült Államok között. A következő évben az Európa Tanács egyezményt fogadott el a személyes adatok gépi feldolgozása tárgyában, mely szigorú szabályokhoz köti a számítástechnikai eszközök és informatikai programok alkalmazását (ET adatvédelmi egyezmény). Ezen egyezményen túl, a magyar jogalkotás fejlődésére – már az első adatvédelmi törvény (a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény) elfogadása után – a legnagyobb hatással kétségkívül az Európai Parlament és Tanács 1995. október 24-i 95/46/EK irányelve volt, amely a személyes adatok feldolgozása során az egyének védelméről és az ebbe a körbe sorolt adatok szabad áramlásáról rendelkezett. Ezek a szabályok áttörést jelentettek az adatvédelem szabályozásában annak ellenére, hogy az irányelv nem közvetlenül érvényesül, ugyanakkor a nemzeti jogalkotásnak törekednie kell a minél teljesebb harmonizációra. A különböző országok – így hazánk is – azonban csak eltérő mélységben és terjedelemben építették be saját törvényi rendelkezéseikbe az irányelvet.

Az 1990-es évek közepétől kezdődően az Európai Közösség szervezetében és működési mechanizmusában alapvető változások zajlottak le. A tagállamok száma mára fokozatosan 28-ra bővült, mely a kétségtelen pozitív hatások mellett az eltérő jogrend, a különböző gazdasági és politikai fejlettségi szint miatt számos bizonytalanság forrásává is vált egyben.

Annak ellenére, hogy az Európai Közösség 2000. július 26-án hozott Bizottsági határozata Magyarországot olyan országnak minősítette, amely megfelelő szinten biztosította a Közösségből hazánkba továbbított személyes adatok védelmét, az uniós csatlakozásunk előtt – a nagyobb fokú jogharmonizáció megvalósítása okán – az adatvédelem szabályait illetően több módosítást is el kellett fogadni. Ekkor kapott kvázi hatósági jogkört az Adatvédelmi Biztos. Csatlakozásunkkal teljes jogú tagjai lettünk a 95/46/EK irányelv 29. cikkelyével létrehozott Adatvédelmi Munkacsoportnak. Ezek a pozitív körülmények olyan helyzetet teremtettek, melyek megalapozták a szorosabb együttműködést az európai adatvédelmi hatóságok között.

Magyarország Alaptörvénye és az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény az azt megelőző szabályozáshoz képest már erősebb jogharmonizációt tükröz. Ez kiszámíthatóbb környezetet biztosított az adatvédelem szabályainak érvényesülésében, erősítette az adatbiztonság követelményeinek való megfelelést.

Az Európai Bizottság 2012. január 25-én tette közzé az adatvédelmi reformcsomag keretében rendelettervezetét, mely számos új társadalmi és technikai fejlődésre reagáló megoldást foglalt magában. Az Európai Unió általános adatvédelmi rendelete (GDPR) 2016. május 28-án lépett hatályba kétéves felkészülési időszakot biztosítva.

A rendelet alkalmazása és hatása az adatalanyhoz kötődik, így az adatkezelés során akkor is alkalmazni kell a szabályait, ha az nem az Unió területén történik, de az Unió területén lévő polgár adataira irányul. A rendelet nemzeti jogba ültetés nélküli kötelező alkalmazása, az egyablakos ügyintézés (one stop shop) és az Európai Adatvédelmi Testület létrehozása és hatásköre új fejezetet nyitott az európai adatvédelmi szabályozásban. A GDPR hatálya alá tartozó adatkezeléseknél és adatfeldolgozásoknál így ki kell alakulnia egységes európai uniós jogalkalmazásnak is. Természetesen a szektorális adatkezelési szabályok a jövőben is lehetőséget biztosítanak bizonyos eltérő nemzeti szabályozásra. A rendelet meghagyja az adatvédelmi hatóságok határozatai feletti jogorvoslatot nemzeti bírósági jogkörben. Az adatvédelmi panaszok ugyanakkor megjelenhetnek közvetlenül személyiségi jogi keresetek formájában is, polgári jogi tényállásokban. Megítélésem szerint a GDPR rendelkezéseit ekkor is alkalmazni kell.

Arra a kérdésre, hogy mennyiben váltotta be az egységes európai kötelezően alkalmazandó szabályozás a hozzá fűzött reményeket, meg tudja-e védeni az európai polgárok magánszféráját, e kötet első kiadásának előszavában azt a teoretikus választ adtam, hogy ennek beigazolódása az idő függvénye. Mára tapasztalataink tükrében bizton állíthatom, hogy a tagállamok adatvédelmének teljes harmonizálása, az adatvédelem uniós rendeleti szinten történő bevezetése helyes döntés volt: az uniós polgárok magánszféráját erős bástya védi.

Az egységes jogalkalmazás érdekében az elmúlt három esztendő fejleményeit is figyelembe véve átdolgozott, tartalmában kibővített magyarázat segítséget kíván nyújtani az adatkezelők és adatfeldolgozók, az adatvédelmi tisztviselők, az érintettek, valamint az eljáró jogalkalmazó szervek számára.

Dr. Péterfalvi Attila

A NAIH elnöke, c. egyetemi tanár

1. A GDPR szabályozási környezete

1.1. Az adatvédelmi reform előzményei

Az uniós adatvédelmi jog szabályozási előzményeinek egyrészt az 1970-es években megkezdődött tagállami adatvédelmi jogi kodifikáció (az első átfogó adatvédelmi szabályozást Hessen tartományban fogadták el 1970-ben, ezt követte 1973-ban Svédországban, 1976-ban szövetségi szinten a Német Szövetségi Köztársaságban, 1977-ben Franciaországban, majd 1984-ben az Egyesült Királyságban megalkotott szabályozás), majd az ezzel részben párhuzamosan folyó, az 1980-as években az alapjogok védelmére fokozott hangsúlyt helyező nemzetközi szervezetek keretei között elfogadott nemzetközi jogi aktusok tekinthetőek, az ezekben rögzített alapelvek és szabályozási irányok képezték a közösségi (uniós) jogharmonizáció alapjait [lásd egyrészt a Gazdasági Együttműködési és Fejlesztési Szervezet (OECD) 1980-ban elfogadott iránymutatásait (Guidelines on the Protection of Privacy and Transborder Flows of Personal Data), valamint az egyének védelméről a személyes adatok gépi feldolgozása során, Strasbourgban, 1981. január 28. napján kelt egyezményt (a továbbiakban: ET adatvédelmi egyezmény). Az OECD irányelvek 2013-ban – első alkalommal – módosításra kerültek.].

A közösségi jogalkotás elsődleges motivációja – az európai integráció alapvetően gazdasági jellegű célkitűzéseiből fakadóan – nem elsősorban az alapjogok védelmének erősítése, hanem a belső piac működését korlátozó akadályok lebontása volt {vö. az Európai Parlament és Tanács 1995. október 24-i 95/46/EK irányelve (a továbbiakban: adatvédelmi irányelv) megalkotásának jogalapjául szolgáló rendelkezéssel [az Amszterdami Szerződés 2. cikk 54. pontjával megállapított, az Európai Közösséget létrehozó szerződés (a továbbiakban: EKSz) 100a. cikk], valamint az adatvédelmi irányelv (9) preambulumbekezdésével}. Ebből fakadt a közösségi jogalkotó azon célkitűzése is, hogy a személyes adatok tagállamok közötti szabad – azaz a nemzeti jogrendszerekben meghatározott különböző jellegű és tartalmú adatvédelmi követelmények által nem akadályozott – áramlását előmozdítsa. Ezen szabályozási szükséglet vezetett az adatvédelmi csomag elfogadását megelőzően a személyes adatok védelmére vonatkozó európai uniós rezsim központi és a jogterület történetileg is első jelentős uniós jogi aktusa, az adatvédelmi irányelv megalkotásához.

A jelzett gazdasági célkitűzés mellett ugyanakkor az uniós jogalkotó azon szándékára is lehet következtetni, hogy az adatvédelmi irányelv – a jogharmonizációs célkitűzése mellett is – elismerte és támogatta azon nemzeti jogalkotási intézkedéseket, amelyek az érintettek magánszférájának magasabb védelmi szintet biztosítottak az abban rögzítettekhez képest. Az adatvédelmi irányelv (10) preambulumbekezdése ugyanis rögzíti, hogy a nemzeti jogszabályok „közelítése nem vezethet az általuk nyújtott védelem szintjének csökkenéséhez, sőt, magas védelmi szintet kell biztosítson a Közösségen belül”.

Az Európai Unió Bírósága (a továbbiakban: EUB vagy Bíróság) azonban ennek ellenére arra a következtetésekre jutott a Lindqvist (2003. november 6-i Lindqvist-ítélet, C–101/01, ECLI:EU:C:2003:596, 99.) és az ASNEF és FECEMD egyesített ügyekben (2011. november 24-i ASNEF és FECEMD egyesített ügyekben hozott ítélet, C–468/10 és C–469/10, ECLI:EU:C:2011:777, 32.) hozott ítéletekben, hogy az adatvédelmi irányelv alapvetően – így különösen az adatkezelés jogalapjai tekintetében – teljes jogegységesítést valósított meg, nem biztosítva teret a tagállami jogalkotónak az attól való eltérésre. Mindez azonban nem akadályozta meg a tagállamokat abban, hogy az adatvédelmi irányelv rendelkezéseit a saját jogrendszerükbe adott esetben tagállamonként lényeges tekintetben különböző tartalommal és eltérő védelmi szintet biztosítva ültessék át, mely eltérések és azok jogi és gazdasági hatásai később az adatvédelmi reform egyik fő motivációjaként jelentek meg.

Az adatvédelmi irányelv jelentős vívmányaként értékelhető továbbá a tagállamok kötelezettsége az irányelv előírásainak független felügyeleti hatóság általi ellenőrzésének biztosítására, amely jogintézmény később mintaként szolgált az Európa Tanács adatvédelmi rezsimje továbbfejlesztéséhez is, így erősítve az Európai Unió és az Európa Tanács keretei között létrehozott adatvédelmi rezsimek kölcsönös egymásra hatását és konvergenciáját [az 1998. évi VI. törvénnyel kihirdetett, a személyes adatok gépi feldolgozása során az egyének védelméről szóló egyezmény és annak a 2005. évi LIII. törvénnyel kihirdetett, a felügyelő hatóságokról és a személyes adatok országhatárokat átlépő áramlásáról szóló kiegészítő jegyzőkönyve (a továbbiakban: az ET adatvédelmi egyezmény kiegészítő jegyzőkönyve)].

Az adatvédelmi irányelv címzettjei a tagállamok voltak, ebből fakadóan az Unió működését szolgáló, adminisztratív feladatokat ellátó – így személyes adatokat kezelő – intézmények és szervezetek tevékenysége annak személyi-szervi hatályán kívül esett. Emellett az uniós intézmények adatkezelési műveletei intézményesített felügyeletének feltételei sem voltak biztosítottak az adatvédelmi irányelv keretein belül.

A szabályozási hiátust ugyan az Amszterdami Szerződés részben kezelte [az EKSz konszolidált szövegének 286. cikk (1) bekezdése alapján „1999. január 1-jétől a személyes adatok kezelése tekintetében a természetes személyek védelmére és az ilyen adatok szabad áramlására vonatkozó közösségi jogi aktusokat alkalmazni kell az e szerződés által vagy az e szerződés alapján felállított intézményekre és szervekre”], az adatkezelők és adatfeldolgozók kötelezettségeinek egyértelmű rögzítéséhez és az érintettek jogai védelmének hatékony érvényesítéséhez azonban további – másodlagos uniós jogi aktusban foglalt – előírások megalkotása is nélkülözhetetlennek bizonyult [az ezen jogalkotásra vonatkozó kötelezettséget maga az EKSz 286. cikk (2) bekezdése is rögzítette].

A személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló, 2000. december 18-i, 45/2001/EK európai tanácsi és parlamenti rendelet elfogadására ezen előzményeket követően került sor. E rendelet legfőbb vívmánya, hogy létrehozta az uniós intézmények és szervek adatkezelési műveleteit felügyelő Európai Adatvédelmi Biztos intézményét, amely szerv napjainkban is az uniós adatvédelmi jogalkotást és jogalkalmazást alapjaiban meghatározó tevékenységet lát el. Az adatvédelmi reformot megelőzően e rendeletet egészítette ki – a lényegi tartalmát a címében jelző – az európai adatvédelmi biztos feladatainak ellátására vonatkozó szabályokról és általános feltételekről szóló, 2002. július 1-jei 1247/2002/EK európai parlamenti, tanácsi és bizottsági határozat is.

A Maastrichti Szerződéssel létrehozott pillérstruktúra az európai integráció további elmélyítésével immár olyan területekre is kiterjesztette az Európai Unió feladat- és hatásköreit, amelyek tekintetében az adatvédelmi irányelv nem volt alkalmazandó. A tagállamok a harmadik pillért képező bel- és igazságügyi együttműködés (büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés) keretein belül folytatott információcseréje személyes adatok továbbításának hiányában nem volt megvalósítható, ezen adatcsere tekintetében azonban érdemi akadályt jelentett a tagállami jogrendszerek személyes adatok kezelésére vonatkozó – az uniós jog által nem szabályozott – eltérő feltételrendszere.

Ezen érdemi akadály lebontását célozta az uniós adatvédelmi jogharmonizáció következő, a pillérstruktúra kialakítását csak másfél évtizeddel követő állomása, amely a harmadik pillérbe tartozó tevékenységek vonatkozásában is meghatározta a személyes adatok kezelésére vonatkozó alapvető előírásokat: a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről szóló, 2008. november 27-i 2008/977/IB tanácsi kerethatározat.

A 2008/977/IB kerethatározat vonatkozásában kiemelendő annak hatálya és e hatály meghatározásának következményei. A kerethatározat ugyanis kizárólag azon személyes adatok kezelésére volt alkalmazandó, amelyek a tagállamok más tagállamokkal, illetve uniós intézményekkel folytatott információcseréjének tárgyát képezték, azon adatok kezelésére tehát nem terjedt ki a hatálya, amelyeket a tagállamok bűnüldöző szervei ezen információcserétől függetlenül a kerethatározat tárgyi hatálya alá tartozó tevékenységük során gyűjtöttek és kezeltek [2008/977/IB kerethatározat 1. cikk (2) bekezdés, továbbá a (7) és a (9) preambulumbekezdés].

Az adatvédelmi irányelvvel ellentétben mindemellett a kerethatározat normatív szinten is egyértelműen rögzítette annak minimumharmonizációs jellegét, azaz azt, hogy a tagállamok alkothattak és alkalmazhattak az uniós adatvédelmi előírásokhoz képest magasabb védelmi szintet biztosító rendelkezéseket is [2008/977/IB kerethatározat 1. cikk (5) bekezdés, továbbá a (10) preambulumbekezdés].

Az előzőekben említett jogi aktusok az európai uniós adatvédelmi rezsimnek csupán a gerincét, a – jelzettek szerinti tárgyi hatályra korlátozódó – horizontális előírások forrását képezték.

A személyes adatok kezelésének egyes alapjogviszonyokhoz kapcsolódó járulékos jellege ugyanis, csakúgy, mint a tagállami jogrendszerekben, az Európai Unió jogában is szükségessé tette egyrészt különös adatvédelmi előírások beillesztését a személyesadat-kezelést is megvalósító tevékenységeket szabályozó uniós jogi normákba [lásd például a Bűnüldözési Együttműködés Európai Uniós Ügynökségéről (Europol), valamint a 2009/371/IB, a 2009/934/IB, a 2009/935/IB, a 2009/936/IB és a 2009/968/IB tanácsi határozat felváltásáról és hatályon kívül helyezéséről szóló, 2016. május 11-i európai parlamenti és tanácsi 2016/794/EU rendelet (a továbbiakban: Europol rendelet) VI. fejezet], másrészt olyan önálló ágazati aktusok – mint az adatvédelmi irányelvhez képest lex specialis aktusok – megalkotását is, amelyek kifejezetten a szabályozott szektor tevékenységével összefüggő adatkezelési, adatvédelmi rezsim megalkotását célozták.

Ez utóbbiak közül az uniós adatvédelmi jogfejlődésben betöltött szerepét tekintve kiemelkedő jelentőségű a személyes adatoknak az elektronikus hírközlési ágazatban történő feldolgozásáról és magánjellegének védelméről szóló, 2002. július 12-i 2002/58/EK európai parlamenti és tanácsi irányelv (a továbbiakban: ePrivacy irányelv). Ezen irányelv a „nyilvánosan elérhető hírközlési szolgáltatások nyilvános hírközlő hálózaton történő nyújtásával összefüggő személyes adatok kezelésének” sajátosságait szem előtt tartva tartalmaz ágazatspecifikus adatvédelmi előírásokat, köztük a szolgáltatások – így a személyes adatok – biztonságával kapcsolatos követelményeket, amely előírások az általános adatvédelmi rendelet, vagyis a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27-i 2016/679/EU európai parlamenti és tanácsi rendelet (a továbbiakban: GDPR) szabályozásának előképéül is szolgáltak.

Ágazati normaként részben ezen tárgykörhöz, részben a harmadik pillérhez (bűnüldözési tevékenységhez) kapcsolódott a nyilvánosan elérhető elektronikus hírközlési szolgáltatások nyújtása, illetve a nyilvános hírközlő hálózatok szolgáltatása keretében előállított vagy feldolgozott adatok megőrzéséről és a 2002/58/EK irányelv módosításáról szóló 2006. március 15-i 2006/24/EK európai parlamenti és tanácsi irányelv (adatmegőrzési irányelv) is. Ezen irányelv alapján a nyilvánosan elérhető elektronikus hírközlési szolgáltatások nyújtói vagy a nyilvános hírközlő hálózatok szolgáltatói kötelesek voltak megőrizni a forgalomra vonatkozó adatokat, a helymeghatározó adatokat, valamint az előfizető vagy a nyilvántartott felhasználó azonosításához szükséges kapcsolódó adatokat, annak érdekében, hogy azok a későbbiekben a bűnüldöző szervek által tevékenységük során felhasználhatóak legyenek. Az irányelv rendelkezései azonban nem feleltek meg az Európai Unió Bírósága által a személyes adatok védelméhez fűződő jog jogalkotási intézkedés útján történő korlátozásával szemben támasztott követelményeknek, így azt a Bíróság 2014. április 8-i ítéletében érvénytelenné nyilvánította (lásd az EUB 2014. április 8-i Digital Rights Ireland és Seitlinger és társai ítélete, C–293/12 és C–594/12, ECLI:EU:C:2014:238, 6–7.).

Végül, az adatvédelmi reformot megelőző szabályozási rendszer fontos részét képezték a felhatalmazáson alapuló és végrehajtási – az Európai Bizottság által kibocsátott – jogi aktusok, így különösen a harmadik országokban biztosított megfelelő védelmi szint megállapítására szolgáló határozatok, amelyek felett az Európai Unió Bírósága által gyakorolt kontroll ugyancsak meghatározó volt az adatvédelmi reform későbbi tartalma vonatkozásában [lásd az EUB 2015. október 6-i Schrems-ítéletét, C–362/14, ECLI:EU:C:2015:650 (a továbbiakban: Schrems-ítélet), amely az Egyesült Államok Kereskedelmi Minisztériuma által kiadott „biztonságos kikötő” adatvédelmi elvek által biztosított védelem megfelelőségéről és az ezzel kapcsolatos gyakran felvetődő kérdésekről szóló, 2000. július 26-i 2000/520/EK bizottsági határozat érvénytelenségét állapította meg].

1.2. Az adatvédelmi reform

1.2.1. A Lisszaboni Szerződés hatásai az uniós adatvédelmi szabályozásra

Az előzőekben ismertetett, 2018 májusáig alkalmazandó európai uniós adatvédelmi rezsim reformjának kiindulópontjaként a Lisszaboni Szerződés hatálybalépése és az alapítószerződések ennek rendelkezései alapján történő módosulása tekinthető. Ezen módosulások több szempontból is jelentősen érintették a személyes adatok védelmére vonatkozó uniós szabályozást.

Mindenekelőtt kiemelendő, hogy noha az Európai Unió Alapjogi Chartája (a továbbiakban: Charta) formálisan nem vált az alapítószerződések részévé, de a Lisszaboni Szerződéssel elfogadott módosítások azt az alapítószerződésekkel megegyező jogi kötőerővel ruházták fel [az Európai Unióról szóló szerződés (a továbbiakban: EUSz) 6. cikk (1) bekezdés]. Ennek jelentősége az, hogy a Charta 8. cikke önálló alapjogként biztosítja a személyes adatok védelméhez fűződő jogot, és meghatározza az ahhoz kapcsolódó alapvető elveket és követelményeket.

Másrészt, a Lisszaboni Szerződés az alapítószerződésekben is rögzítette a személyes adatok védelméhez fűződő jogot, és rendes jogalkotási eljárás keretei között felhatalmazást adott a Tanácsnak és az Európai Parlamentnek másodlagos jogi aktus megalkotására. A felhatalmazás biztosította az adatvédelmi csomaggal elfogadott jogi aktusok jogalapját [az Európai Unió működéséről szóló szerződés (a továbbiakban: EUMSz) 16. cikk].

Harmadrészt, a Lisszaboni Szerződés megszüntette az uniós politikák pillérekbe tagolásán alapuló rendszert, ezzel a korábban a második és harmadik pillérekbe tartozó uniós politikák – így a 2008/977/IB kerethatározat által szabályozott tárgykör is – szabályozására szolgáló korábbi jogforrások megalkotásának lehetősége is megszűnt, helyettük az egykori első pillér jogforrásai váltak a szabályozás eszközeivé (rendelet, irányelv, határozat).

A Lisszaboni Szerződés és a Charta alapítószerződési rangra emelése az uniós adatvédelmi jog tekintetében tehát mindeddig példátlan esélyt és lehetőséget teremtett a tagállami adatvédelmi rezsimek összehangolására, a jogegységesítésre. Ezen egységes rezsim kialakításának lehetőségeit azonban árnyalja, hogy egyrészt maga az EUMSz 16. cikk (3) bekezdése és az EUSz 39. cikke rögzíti azt, hogy a közös kül- és biztonságpolitika (korábbi második pillér) területén sajátos szabályok megalkotása szükséges, kizárólag a Tanácsot felhatalmazva – határozati jogforrásban – a jogalkotásra, másrészt a Lisszaboni Szerződést elfogadó kormányközi konferencia zárónyilatkozatához csatolt, a büntetőügyekben folytatott igazságügyi, valamint a rendőrségi együttműködés területén a személyes adatok védelméről szóló 21. számú nyilatkozatban a tagállamok rögzítették, hogy ezen, az egykori harmadik pillérbe tartozó tárgykörben – e területek sajátos természetéből adódóan – a személyes adatok védelmére és a személyes adatok szabad áramlására vonatkozóan különös szabályok válhatnak szükségessé.

1.2.2. Az adatvédelmi csomag előkészítése és előterjesztése

Az uniós adatvédelmi rezsim érdemi felülvizsgálatának jogi feltételeit az előzőekben bemutatott módon a Lisszaboni Szerződés megteremtette, így e felülvizsgálat szükségességének politikai szintű megfogalmazására is hamarosan sor került. Ennek egyik jelentősebb mérföldkövének tekinthető a Stockholmi Program, amelyben az Európai Tanács felkérte a Bizottságot az uniós adatvédelmi szabályozás értékelésére, és ezen értékelés eredményének függvényében „jogalkotási és nem jogalkotási” kezdeményezések benyújtására. Az Európai Tanács egyúttal célkitűzésként rögzítette azt is, hogy „[g]lobális szinten az Uniónak vezető szerepet kell vállalnia a személyes adatok védelmére vonatkozó nemzetközi normáknak a vonatkozó uniós adatvédelmi eszközök és a személyes adatok gépi feldolgozása során az egyének védelméről szóló, 1981. évi Európa tanácsi egyezmény alapján történő kidolgozásában és előmozdításában, valamint a vonatkozó két- és többoldalú nemzetközi eszközök elfogadásában”, amely célkitűzés az Európa Tanács adatvédelmi előírásainak – az alábbiakban részletezett – korszerűsítése iránti tárgyalások során és azok eredménye tekintetében is meghatározóvá vált.

Az uniós adatvédelmi acquis felülvizsgálata irányának és tartalmának tisztázása érdekében a jogalkotási javaslat előkészítéséért felelős Európai Bizottság ezt követően általános és egyes szakterületekre, szakmai szervezetekre összpontosító konzultációkat és konferenciákat szervezett, a jogalkotási eljárásban érintett uniós intézményekkel is egyeztetést folytatott, továbbá hatásvizsgálatot készített a szabályozási alternatívák vizsgálatára {a hatásvizsgálat összefoglalását lásd a Bizottság javaslata a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló európai parlamenti és tanácsi rendeletről [COM(2012) 11 final] (a továbbiakban: GDPR javaslat) 2–5.}.

Mindezen előzményeket követően az Európai Bizottság 2012. január 25-én terjesztette elő jogalkotási javaslatcsomagját, az ún. „adatvédelmi csomagot”. Az adatvédelmi csomag részét képezte egy, a szabályozással elérendő célkitűzéseket ismertető szakpolitikai közlemény {a Bizottság közleménye a Tanácsnak, az Európai Parlamentnek és az Európai Gazdasági és Szociális Bizottságnak: A magánélet védelme az összekapcsolódó világban 21. századi európai adatvédelmi keret [COM(2012) 9 final]}, továbbá két, eltérő jogforrásban megalkotandó jogi aktusra, egyrészt a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló európai parlamenti és tanácsi rendeletre (általános adatvédelmi rendelet) irányuló, másrészt a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, büntetőeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló európai parlamenti és tanácsi irányelvre irányuló javaslat {GDPR javaslat; és a Bizottság javaslata a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, büntetőeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló irányelvről [COM(2012) 10 final] (a továbbiakban: bűnügyi irányelv javaslat)}.

1.2.3. Az adatvédelmi csomag tárgyalásának menete

Az EUMSz 16. cikk (2) bekezdése alapján mindkét jogalkotási javaslatot a Lisszaboni Szerződést követően általánossá vált, rendes jogalkotási eljárásban kellett tárgyalni és elfogadni. Ennek megfelelően a Bizottság a javaslatokat a társjogalkotók, az Európai Parlament és a Tanács részére is megküldte, a tárgyalások ezen intézményekben párhuzamosan folytak. A jogalkotási javaslatokkal kapcsolatban véleményt bocsátott ki az Európai Adatvédelmi Biztos (Opinion of the European Data Protection Supervisor on the data protection reform package), a Régiók Bizottsága, az Európai Gazdasági és Szociális Bizottság, valamint az Európai Alapjogi Ügynökség (Opinion of the European Union Agency for Fundamental Rights on the proposed data protection reform package) is.

A tanácsi tárgyalások szakértői szinten a Tanács „információcserével foglalkozó és adatvédelmi munkacsoportjában” (DAPIX), a dán elnökség vezetésével kezdődtek meg. A javaslatok kiemelt jelentőségét jelzi, hogy a tárgyalási eredményekkel kapcsolatos beszámolók, valamint a szakmai szintet meghaladó, koncepcionális-elvi iránymutatások szükségessége miatt a javaslatok a jogalkotási eljárás folyamata során rendszeresen a Tanács illetékes politikai-döntéshozatali fórumának, a Bel- és Igazságügyi Tanács napirendi pontjait képezték. Az Európai Parlamentben az adatvédelmi csomag elemeinek részletes vizsgálatára az Állampolgári Jogi, Bel- és Igazságügyi Bizottságban került sor, a Parlament első olvasatos álláspontját 2014. március 12-i plenáris ülésén fogadta el. Az Európai Parlament döntését követően a Tanácsra háruló politikai nyomás a tárgyalások befejezésére fokozódott, ennek ellenére a tagállamok kormányai a rendeletre irányuló javaslat vonatkozásában csak a 2015. június 5–6-i, az irányelvre irányuló javaslat vonatkozásában pedig a 2015. október 8–9-i Bel- és Igazságügyi Tanács keretei között jutottak megegyezésre és fogadták el az ún. általános megközelítést (lásd GDPR javaslat; bűnügyi irányelv javaslat).

Ezen megegyezés birtokában megkezdődhettek a társjogalkotók közötti, a Bizottság részvételével zajló egyeztetések a jogalkotási javaslatokhoz kapcsolódóan előterjesztett módosítások – a jogalkotási aktusok végleges tartalmának – kialakítása érdekében. Az intenzív tárgyalási folyamat nyomán 2015. végére létrejött a politikai megegyezés a társjogalkotók között. A jogi aktusok jogász-nyelvészi felülvizsgálatát és korrekcióját követően a Tanács az első olvasatos álláspontját formálisan 2016. április 8-án írásbeli eljárásban fogadta el, ezzel lehetővé téve, hogy az Európai Parlament 2016. április 14-i plenáris ülésén, a jogalkotási folyamatot lezárva, döntsön az adatvédelmi csomag elemeit képező jogi aktusok elfogadásáról.

1.3. Az új adatvédelmi acquis

A több mint négy évig tartó jogalkotási eljárás eredményeképp az Európai Unió adatvédelmi reformjának részeként megalkotott jogi aktusok az Európai Parlament elnöke és a Tanács elnöke általi, 2016. április 27-én történő aláírásukat és az Európai Unió Hivatalos Lapjában 2016. május 4-én történő kihirdetésüket követően az alábbiak szerint váltak az uniós acquis részévé:

– a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27-i 2016/679/EU európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet);

– a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB kerethatározat hatályon kívül helyezéséről szóló, 2016. április 27-i 2016/680/EU európai parlamenti és tanácsi irányelv (a továbbiakban: bűnügyi irányelv).

A GDPR 2016. május 24-én lépett hatályba, de a tagállami jogrendszerekben csak kétéves felkészülési időt követően, 2018. május 25-étől vált alkalmazandóvá. A bűnügyi irányelv 2016. május 5-én lépett hatályba, a tagállami jogalkotónak pedig ugyancsak két év állt rendelkezésére, hogy az irányelv rendelkezéseit a tagállami jogba átültesse [GDPR 99. cikk (1)–(2) bekezdés; bűnügyi irányelv 63. cikk (1) bekezdés és 64. cikk].

Az adatvédelmi csomag elfogadását követően továbbra is kiemelt gyakorlati jelentősége van a GDPR-t kiegészítő, így az abban foglalt felhatalmazásokon alapuló és végrehajtási aktusoknak, többek között az adatkezelő és az adatfeldolgozó közötti általános szerződési feltételeket, a harmadik országok és nemzetközi szervezetek részére történő adattovábbítások jogszerűsége feltételeit megállapító, illetve a magatartási kódexeket, a tanúsítást érintő, az Európai Bizottság által megalkotott előírásoknak [például GDPR 28. cikk (7) bekezdés, 40. cikk (9) bekezdés, 43. cikk (8)–(9) bekezdés, 45. cikk (3) és (5) bekezdés, 46. cikk (2) bekezdés c)–d) pont, 92. cikk, illetve bűnügyi irányelv 36. cikk (3) és (5) bekezdés, 50. cikk (8) bekezdés].

Az adatvédelmi csomag keretei között elfogadott jogi aktusok hatálybalépését követően az Európai Bizottság ezen felhatalmazások kitöltésére irányuló jogalkotási tevékenységét tárgykörönként eltérő intenzitással kezdte meg. Míg a harmadik országokba történő adattovábbítás jogszerűsége feltételeit megállapító, ún. megfelelőségi határozatok vonatkozásában e tevékenysége már 2019-ben jogalkotási eredménnyel zárult [lásd az (EU) 2016/679 európai parlamenti és tanácsi rendelet értelmében a személyes adatoknak Japán által a személyes információk védelméről szóló törvény alapján biztosított megfelelő szintű védelméről szóló, 2019. január 23-i bizottsági (EU) 2019/419 végrehajtási határozat], és további ilyen típusú határozatok előkészítése is folyamatban van (Koreai Köztársaság, Egyesült Királyság), más tárgykörökben a bizottsági jogalkotás még várat magára. Mindemellett megjegyzendő, hogy az adatvédelmi reformot megelőzően elfogadott felhatalmazáson alapuló és végrehajtási jogi aktusok többsége a GDPR alkalmazandóvá válását követően is hatályban maradt [GDPR 45. cikk (9) bekezdés].

1.4. Az Európai Unió adatvédelmi szabályozásának jövője

Noha az uniós adatvédelmi reform első szakasza az adatvédelmi csomag elfogadásával és hatálybalépésével lezárult, az uniós adatvédelmi acquis felülvizsgálata továbbra is az uniós jogalkotó napirendjén szerepel.

Annak érdekében, hogy az uniós acquis az uniós polgárok személyes adatainak védelméhez fűződő jogát egységesen és koherens szabályozás alapján biztosítsa, a Bizottság 2017. január 10-én előterjesztette a 45/2001/EK rendelet felülvizsgálata eredményeként elkészített jogalkotási javaslatát, a személyes adatoknak az uniós intézmények, testületek, hivatalok és ügynökségek által történő kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet, továbbá az 1247/2002/EK határozat hatályon kívül helyezéséről szóló rendelet tervezetét {a Bizottság javaslata az egyéneknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és a 1247/2002/EK határozat hatályon kívül helyezéséről szóló rendeletről [COM(2017) 8 final]}. E jogalkotási folyamat eredményeként született meg az ún. intézményi adatvédelmi rendelet [a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről szóló, 2018. október 23-i (EU) 2018/1725 európai parlamenti és tanácsi rendelet]. A szabályozás a GDPR rendelkezéseivel analóg jogintézmények útján rendezi az uniós intézmények és szervek által folytatott adatkezelések jogi kereteit, továbbra is fenntartva az Európai Adatvédelmi Biztos intézményét. Az új szabályozás nóvuma, hogy az annak hatálya alá tartozó adatkezelési jogviszonyok köre bővül, önálló fejezet tartalmazza azon szabályokat, amelyek az EUMSz Harmadik Rész V. cím 4. (Igazságügyi együttműködés büntetőügyekben) és 5. (Rendőrségi együttműködés) fejezetében szabályozott tevékenységet végző uniós szervek ún. operatív adatainak kezelésére lex generalis jelleggel alkalmazandóak.

Továbbra sem zárult le azonban az elektronikus hírközlés során a magánélet tiszteletben tartásáról és a személyes adatok védelméről, valamint a 2002/58/EK irányelv hatályon kívül helyezéséről szóló európai parlamenti és tanácsi rendelet megalkotására irányuló jogalkotási eljárás, amely javaslatot az Európai Bizottság 2017. január 11-én terjesztette elő {a Bizottság javaslata az elektronikus hírközlés során a magánélet tiszteletben tartásáról és a személyes adatok védelméről, valamint a 2002/58/EK irányelv hatályon kívül helyezéséről szóló rendeletről (elektronikus hírközlési adatvédelmi rendelet) [COM(2017) 10 final]}. A javaslat célja az elektronikus hírközlési szektor adatkezelési tevékenységének a GDPR-hoz igazodó, de ahhoz képest lex specialis normaként történő újraszabályozása. Csakúgy, mint a GDPR vonatkozásában, a bizottsági jogalkotási javaslat a jogterületre vonatkozó korábbi szabályozás irányelvi jogforrása helyett a tervezett szabályozást immár közvetlenül hatályosuló és alkalmazandó formában, a tagállami jogalkotói mozgástér mérséklésével, rendeleti jogforrásban javasolja kialakítani.

A javaslat tárgyalása jelenleg is folyamatban van. Tekintettel arra, hogy a társjogalkotók – az Európai Parlament és a Tanács – a szabályozás tartalmával kapcsolatban eddig kifejtett álláspontja jelentős mértékben eltér egymástól, a jogalkotási folyamat további elhúzódására lehet megalapozottan számítani, ebből fakadóan sem az új szabályozás elemeinek végleges tartalma, sem az új jogi aktus hatálybalépésének és alkalmazandóvá válásának időpontja nem határozható meg.

Várhatóan a közeljövőben az uniós acquis részévé válik az ET adatvédelmi egyezménye is. Az egyezmény „korszerűsítésére” irányuló tárgyalások ugyanis az uniós adatvédelmi reformmal lényegében egyidejűleg zajlottak, aminek eredményeképp az Európa Tanács tagállamai megállapodtak az egyezményt módosító kiegészítő jegyzőkönyv szövegében, azt az Európa Tanács Miniszteri Bizottsága 2018. május 18-án elfogadta, és az 2018. június 25-től aláírható, erre Magyarország vonatkozásában 2019. január 9-én került sor (az ET adatvédelmi egyezmény CETS No. 223. kiegészítő jegyzőkönyve).

A kiegészítő jegyzőkönyv célja, hogy az abban foglalt módosítások hatálybalépésével az ET adatvédelmi egyezmény biztosítson egy korszerű, a 21. századi technológiai kihívások kezelésére is alkalmas, általános, minden adatkezelési műveletre kiterjedő tárgyi hatályú – ún. omnibus, tehát az uniós jog hatályán kívüli jogterületekre, így például a nemzetbiztonsági adatkezelésekre is alkalmazandó – nemzetközi jogi kötőerővel rendelkező megállapodást.

Noha már a hatályos ET adatvédelmi egyezmény kötelező hatályát is több, Európán kívüli állam is elismerte (például Tunézia, Szenegál, Uruguay), a kiegészítő jegyzőkönyv nemzetközi jogi hatálybalépése megnyitja annak a lehetőségét is, hogy a „korszerűsített” egyezményhez nemzetközi szervezetek is csatlakozzanak, mely csatlakozási szándékát az Európai Unió Tanácsa már a kiegészítő jegyzőkönyv tárgyalásához az Európai Bizottság részére adott mandátum elfogadásával is egyértelművé tette.

Figyelemmel arra, hogy az adatvédelmi csomag és a kiegészítő jegyzőkönyv szövegének kialakítására párhuzamosan került sor, továbbá arra, hogy a kiegészítő jegyzőkönyvvel kapcsolatos tárgyalásokon az Európai Unió tagállamai mellett az Európai Bizottság is részt vett, az adatvédelmi csomag és a kiegészítő jegyzőkönyv egymással összhangban álló követelményrendszert tartalmaz, így a módosított egyezményhez történő uniós csatlakozás az uniós adatvédelmi reform keretei között elfogadott jogi aktusok tartalmát nem érinti, azok módosítását vagy kiegészítését várhatóan nem fogja szükségessé tenni.

Az Európai Unió adatvédelmi reformjának keretei között mindeddig megtett jogalkotási lépések alapján nyilvánvalóvá vált, hogy az uniós adatvédelmi acquis szerkezete érdemben nem változik a korábbiakhoz képest. Továbbra is külön jogi aktus fogja tartalmazni a tagállamokban folytatott adatkezelési jogviszonyok általános követelményrendszerét, a tagállami bűnüldöző szervek adatkezelésére vonatkozó előírásokat, valamint az uniós intézmények és szervek által alkalmazandó adatvédelmi normarendszert, annak ellenére is, hogy ezen normák az EUMSz azonos jogalapján alapulnak, így ugyanazon jogi aktusban történő szabályozásuk jogi feltételei is fennálltak.

Noha az uniós adatvédelmi reform a korábbi szabályozáshoz képest ambiciózusabb a jogegységesítés vonatkozásában, a GDPR-ban a tagállami jogalkotó részére biztosított mozgástér, a bűnügyi irányelv minimumharmonizációs jellege továbbra is a tagállamonként eltérő követelményrendszer lehetőségét hordozza magában.

E tekintetben különösen hangsúlyos az Európai Adatvédelmi Testület jogalkalmazó-jogértelmező tevékenysége, amellyel szemben immár jogi követelmény is a GDPR-ban biztosított együttműködési és egységességi mechanizmus útján az Unió valamennyi tagállamában egységes jogalkalmazás kialakítása.

Az egységes jogalkalmazás másik letéteményese természetesen továbbra is az Európai Unió Bírósága marad. Szerepe kiemelkedő a tagállami jogi aktusok és a GDPR összhangjának megteremtésében, különösen azért, mert a GDPR számos tekintetben potenciálisan eltérő jogkövetkezmények alkalmazására vezető jogértelmezésre módot kínáló megfogalmazással él.

2. A tagállami jog és a GDPR viszonya – az Infotv. szerepe a megváltozott szabályozási környezetben

2.1. Az adatvédelmi szabályozás jogforrási keretei

A GDPR megalkotásából fakadó alapvető változás nem a jogi aktus tartalmának, hanem az uniós jogalkotó által a szabályozás eszközéül választott jogforrás jogi természetének a következménye. A rendeleti jogforrás az abban szabályozott jogviszonyok tekintetében közvetlenül hatályosul és alkalmazandó a tagállami jogrendszerekben (EUMSz 288. cikk), így az – tipikus esetben – teljes egészében egységes jogi szabályozást eredményez a hatálya alá tartozó minden címzett vonatkozásában.

Az, hogy az uniós jogalkotó a rendeleti jogforrás mellett döntött, elsősorban azon meggyőződéséből fakadt, hogy a tagállami adatvédelmi előírások egymástól való lényeges eltérésének egyik legfontosabb kiváltó oka a jogforrás jellegében volt keresendő [GDPR (9) preambulumbekezdés].

Az adatkezelési jogviszonyok egyes alapjogviszonyokhoz képest járulékos, ugyanakkor a jog- és életviszonyok túlnyomó többségét érintő jellege olyan eltérő jogfejlődési pályákat eredményezett az egyes tagállami jogrendszerekben, hogy a jogalkotási javaslatban tükröződő bizottsági szándék – a személyes adatok védelmére vonatkozó uniós jogi előírások lehető legteljesebb egységesítése – az alábbiakban részletesen kifejtett okokból a megalkotott rendeletben nem realizálódott maradéktalanul.

A bűnügyi irányelv jogforrása tekintetében a korábbi, a 2008/977/IB kerethatározat szabályozásához képest az adatvédelmi reform nem eredményezett érdemi változást. Jellegét tekintve ugyanis a kerethatározati és az irányelvi jogforrás között – az abban foglalt előírások hatályosulása vonatkozásában – eltérés nincs. A korábbi jogi keretek irányelvi formában történő szabályozásának indoka pusztán az, hogy a Lisszaboni Szerződés hatálybalépését, így a pillérstruktúra felszámolását követően kerethatározati jogforrás megalkotására az elsődleges uniós jog már nem ad lehetőséget.

Fenntartotta emellett az uniós jogalkotó a jogterület szabályozásának minimumharmonizációs jellegét is, amely biztosítja a tagállami jogalkotó számára azon lehetőséget, hogy az irányelvben meghatározottakhoz képest magasabb alapjogvédelmi szintet és szigorúbb adatkezelési feltételeket állapíthasson meg [bűnügyi irányelv 1. cikk (3) bekezdés].

A 2008/977/IB kerethatározathoz képest azonban lényegi változást jelent az, hogy a bűnügyi irányelv alkalmazandó nem csupán a tagállami adatcsere tárgyát képező személyes adatok kezelésére, hanem minden, a tagállamok „illetékes hatóságai” által közbiztonsági, bűnmegelőzési, bűnfelderítési, bűnüldözési, büntetőeljárási és büntetés-végrehajtási célból végzett adatkezelési tevékenységre, függetlenül a kezelt adatok forrásától [bűnügyi irányelv 1. cikk (1) bekezdés és 2. cikk (1) bekezdés].

2.2. Szuverenitás-transzfer és a tagállami jogalkotás

2.2.1. Az uniós jog hatályán kívül eső jogviszonyok

Az Európai Unió alapjait és működését meghatározó jogi aktusok – az alapítószerződések – nemzetközi jogi szempontból nemzetközi szerződéseknek minősülnek [vö. az 1987. évi 12. törvényerejű rendelettel kihirdetett, a szerződések jogáról szóló, Bécsben 1969. évi május hó 23. napján kelt szerződés 2. cikk 1. bekezdés a) pontjában, továbbá a nemzetközi szerződésekkel kapcsolatos eljárásról szóló 2005. évi L. törvény 2. § a) pontjában foglalt fogalommeghatározással]. Ezen nemzetközi szerződések megkötésével az Unió tagállamai abban állapodtak meg, hogy egyes, a joghatóságuk alá tartozó kérdésekben őket megillető hatásköreiket a szerződéses felekkel – a többi tagállammal – közösen, az alapítószerződésekben meghatározott mechanizmusok, intézmények útján gyakorolják [ezen ún. szuverenitás-transzfer vagy hatáskör-átruházás tekintetében a felhatalmazást Magyarország tekintetében az Alaptörvény, annak E) cikke adja meg]. Következésképpen azon tárgykörök, amelyek tekintetében az uniós tagállamok szuverenitásuk gyakorlását nem ruházták át az uniós intézményekre, nemzeti jogalkotási és jogalkalmazási hatáskörben maradtak.

A személyes adatok védelme vonatkozásában is korlátozott az Európai Unió jogalkotási hatásköre. Azon tárgykörökben, amelyek nem tartoznak az uniós jog hatálya alá, sem a Charta, sem az alapítószerződések, sem az azok alapján megalkotott másodlagos uniós jogi aktusok nem alkalmazandóak. Noha az az elsődleges uniós jogból is következik, ezen korlátozott hatályt maguk az adatvédelmi csomagban elfogadott uniós jogi aktusok is rögzítik [GDPR 2. cikk (2) bekezdés a) pont, bűnügyi irányelv 2. cikk (3) bekezdés a) pont].

A tagállami jogalkotónak tehát uniós jogi szempontból lehetősége – és tipikusan a személyes adatok védelméhez fűződő jog alapvető jogi jellegéből fakadóan alkotmányos kötelezettsége – az, hogy azon tárgykörök, tevékenységek adatkezelési jogviszonyait szabályozza, amelyek az uniós jog hatályán kívül esnek.

Ezen területek meghatározása azonban túlmutat egy egyszerű jogalkalmazói-jogértelmezési lépésen. Sem maguk az uniós alapítószerződések, sem a másodlagos uniós jogi aktusok nem tartalmaznak olyan taxatív felsorolást, amely az uniós jog hatálya alá tartozó vagy éppen annak hatálya alá nem tartozó tárgyköröket pontosan és kimerítő módon azonosítaná. A GDPR és a bűnügyi irányelv preambulumbekezdései is csupán a nemzetbiztonsággal kapcsolatos tevékenységet mint egy példát említik ezen tárgykörök vonatkozásában [GDPR (16) preambulumbekezdés; bűnügyi irányelv (14) preambulumbekezdés].

A tagállami jogalkotónak így ugyan van lehetősége szabályokat alkotni az uniós jog hatályán kívüli jogterületek adatkezelési tevékenységei vonatkozásában, ha azonban e hatáskörét kiterjesztően értelmezi és ezen értelmezése nem egyezik az Európai Unió Bíróságának jogértelmezésével, abban az esetben e szabályozása az uniós joggal nem lesz összeegyeztethető. Kétségtelen, hogy e helyzet jogbizonytalanságot okoz, ezzel kapcsolatban a tagállamok és a Bizottság közötti jogvitákra megalapozottan lehet számítani, különösen azon határterületeken, amelyek az uniós jog hatálya alá tartozó adatvédelmi jogviszonyoknak az uniós jogon kívüli célokból (például nemzetbiztonság, honvédelem) történő szabályozására irányulnak.

2.2.2. Az uniós jogalkotó önkorlátozása

A belső piac és az alapjogok tekintetében az Európai Unió és a tagállamok a Lisszaboni Szerződés hatálybalépése óta ún. megosztott hatáskörökkel rendelkeznek [EUMSz 4. cikk (2) bekezdés a) és j) pont]. Ez azt jelenti, hogy az Európai Unió mellett e területeken a tagállamok is rendelkeznek jogalkotási hatáskörrel (szemben az EUMSz 3. cikkében szabályozott, ún. kizárólagos hatáskörökkel), azonban csak abban az esetben, ha az Unió hatáskörét nem gyakorolta, vagy kifejezetten eltekint annak gyakorlásától.

Csakúgy, mint az adatvédelmi irányelv, mind a GDPR, mind a bűnügyi irányelv saját tárgyi hatályát korlátozza a „személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni” [adatvédelmi irányelv 3. cikk (2) bekezdés, GDPR 2. cikk (1) bekezdés, bűnügyi irányelv 2. cikk (2) bekezdés].

Tekintettel arra, hogy sem a Charta, sem a másodlagos jogalkotási aktusok jogalapjául is szolgáló EUMSz 16. cikke ilyen korlátozást nem tartalmaz, megalapozottan kérdőjelezhető meg, hogy az adtavédelmi csomagban elfogadott aktusok e tekintetben az elsődleges uniós joggal maradéktalanul összhangban vannak-e azzal, hogy az érintettek alapjogainak védelmét e tárgyi hatályon kívül eső területen nem biztosítják.

Kérdésként merül fel az is, hogy azon, az uniós jogalkotás során kitűzött és az adatvédelmi csomag egyik értékeként hangsúlyozott és a GDPR (15) preambulumbekezdésében is kifejezetten rögzített célnak, hogy az ún. technológiasemleges szabályozást foglaljon magába, vajon mennyiben felel meg egy kifejezetten olyan rendelkezés, amely az alkalmazandó rendelkezések tekintetében különbséget tesz az adatkezeléshez használt eszközök alapján (vö. például az Európai Bizottságnak az adatvédelmi csomag elfogadását követően kiadott sajtóközleményében írottakkal).

Noha nyilvánvaló, hogy a jelzett önkorlátozásból fakadóan a másodlagos uniós jog által nem szabályozott adatkezelési műveletek jelentősége csekély, ezen műveletek közé ugyanis kizárólag a manuális eszközökkel végzett olyan műveletek (például kézzel írt feljegyzések, levelek) tartoznak, amelyek eredményeképp a személyes adat nem válik egy nyilvántartási rendszer részévé, és azt nem is kívánják ilyen rendszer részévé tenni, nem vitatható azonban megalapozottan az a feltevés, hogy még egy ilyen típusú adatkezelési művelet is okozhat olyan jogsérelmet az érintett számára – akár az adatkezelő által szándékoltan, akár gondatlan eljárásából fakadóan –, amellyel kapcsolatban az uniós jog semmilyen védelmet, korrekciós vagy az érintettet megillető jogosultságot és jogorvoslati lehetőséget nem biztosít. (Ilyen jogsérelmet okozhat például egy óvodai szülői értekezlet keretei között a szülőktől gyűjtött, a gyermekek egészségügyi állapotára, általuk szedett gyógyszerekre, étel- vagy egyéb allergiájára vonatkozó – különleges – adatoknak az óvoda hirdetőtábláján történő kifüggesztése, közzététele.)

Itt jegyzendő meg továbbá, hogy bár az uniós adatvédelmi szabályozás előképének tekinthető ET adatvédelmi egyezmény maga is kizárólag „a személyes adatok automatizált állományaira és a személyes adatok gépi feldolgozására” korlátozza saját tárgyi hatályát, a szerződő feleknek kifejezetten lehetővé teszi, hogy egyoldalú nemzetközi jogi aktussal – az Európa Tanács főtitkáránál letétbe helyezhető nyilatkozattal – kötelezettséget vállaljanak arra, hogy az egyezményt alkalmazzák „a személyes adatok nem gépi eszközökkel feldolgozott állományaira is” [ET adatvédelmi egyezmény 3. cikk (2) bekezdés c) pont]. E lehetőséget pedig az uniós jog sem zárja ki.

2.3. A GDPR által biztosított jogalkotói mozgástér

Az általános adatvédelmi rendelkezéseket magába foglaló jogforrás rendeleti jellege az ahhoz kapcsolódó tagállami szabályozási technika tekintetében alapvetően eltér a korábbi irányelvi jogforrás által megkövetelt szabályozási technikától. Az irányelvi rendelkezések címzettje a tagállam, nem annak joghatósága alatt álló jogalanyok. Ebből fakadóan az irányelvek előírásait a tagállam tartalmilag is a belső jog részévé köteles tenni. A közvetlenül hatályosuló és alkalmazandó rendeleti szabályok ezzel szemben tipikus esetben minden tagállamban azonos, egységes tartalommal érvényesülnek, azok a belső jogban nem ismételhetőek meg. A tagállam kötelezettsége, hogy a rendeleti szabályok akadálymentes alkalmazhatóságát biztosítsa, egyrészt a rendeleti szabályokkal tartalmilag ellentétes belső jogi szabályok deregulációjával, másrészt a rendeleti szabályok érvényesüléséhez nélkülözhetetlen kiegészítő jogalkotási és egyéb intézkedések (például a tagállami adatvédelmi felügyelő hatóságok létrehozása, vezetőinek kinevezése, működési feltételeinek biztosítása stb.) útján.

A jogalkotási javaslatok tárgyalásának megkezdését követően azonban hamarosan nyilvánvalóvá vált, hogy a „teljes”, a köz- és magánszférára is kiterjedő jogegységesítésre nem fog sor kerülni [lásd Feljegyzés a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló európai parlamenti és tanácsi rendeletről (16140/14)]. Önmagában már abban a tekintetben sem kapott egységes támogatást az Európai Bizottság a Tanács keretei között tárgyalásokat folyató tagállamoktól, hogy az uniós jog rendeleti jogforrásban tartalmazza az általános (a köz- és magánszféra adatkezelési jogviszonyaira egyaránt kiterjedő) adatvédelmi előírásokat a korábbi irányelvi jogforrás helyett, ezért az erről való döntést a Tanács a tárgyalások későbbi szakaszára halasztotta.

Noha e kérdés a tárgyalások folyamatában a tagállamok többségi álláspontja alapján a rendeleti jogforrás javára eldőlt, a kompromisszum érdekében az is világossá vált, hogy az eredeti bizottsági jogalkotási javaslat számos ponton kiegészítésre kell, hogy kerüljön olyan rendelkezésekkel – rugalmassági klauzulákkal (a vonatkozó angol terminus az „opening clause” vagy „flexibility clause”, amelynek magyar megfelelőjeként e fogalom használata tűnik célszerűnek) –, amelyek mind az uniós, mind a tagállami jogalkotónak lehetőséget biztosítanak arra, hogy az általános uniós előírásoktól egyes esetekben eltérő, más esetekben azokat kiegészítő adatvédelmi szabályokat tartsanak fenn vagy alkossanak meg [vö. például GDPR (8) preambulumbekezdés, 6. cikk (2) és (3) bekezdés, 8. cikk (1) bekezdés, 9. cikk (4) bekezdés, 23. cikk, IX. fejezet].

Ez a több tucat, a GDPR-ba beillesztett rugalmassági klauzula a rendelet érdemi anyagi jogi előírásainak számottevő részét [a lényegesebb rugalmassági klauzulák felsorolását lásd Paul Voigt – Axel von dem Bussche (2017): The EU General Data Protection Regulation (GDPR): A Practical Guide. Springer International Publishing, Hamburg, 220–222.] nem pusztán a közszféra által végzett adatkezelésekre korlátozódóan érinti (uo., 219.), azok hatályát és alkalmazását befolyásolja, alapjaiban kérdőjelezve meg az uniós szabályozás – és a jogalkalmazás – egységes érvényesüléséhez fűzött elvárások teljesülését.

2.4. Az Infotv. szerepe a megváltozott szabályozási környezetben

2.4.1. A magyar adatvédelmi szabályozás általános jellemzői

A magyar jogalkotót az Alaptörvény, valamint vállalt nemzetközi jogi kötelezettségei arra kötelezik, hogy a személyes adatok védelméhez fűződő jog mint alapjog érvényesülését minden, a joghatósága alá tartozott jogviszonyban biztosítsa [Alaptörvény I. cikk (3) bekezdés, VI. cikk (3) bekezdés, Q) cikk (2) bekezdés; az 1993. évi XXXI. törvénnyel kihirdetett, az emberi jogok és az alapvető szabadságok védelméről szóló, Rómában, 1950. november 4-én kelt Egyezmény 1. és 8. cikk; ET adatvédelmi egyezmény és annak kiegészítő jegyzőkönyve].

Következésképp, a magyar jogrendszerben a személyes adatok védelméhez fűződő jog alapjogi jellegéből fakadóan ezen alapjog érvényesülésének biztosítékaira, a személyes adatok kezelésére vonatkozó feltételrendszerre, az adatkezelőt terhelő kötelezettségek és az érintetteket megillető jogosítványok körére, továbbá az alapjog érvényesülésének ellenőrzésére létrehozott intézmény feladat- és hatáskörére vonatkozó szabályokat törvényi szintű jogszabályok állapítják meg.

E törvényi szabályozás rendszerét Magyarországnak az Európai Unióhoz való csatlakozását megelőzően, valamint azt követően mindaddig, amíg az uniós adatvédelmi acquis jogforrásai – az adatvédelmi irányelv és a 2008/977/IB kerethatározat – nem közvetlenül alkalmazandó jogforrási jellegükre tekintettel a tagállami jogalkotót kötelezték és jogosították a belső jogi adatvédelmi normarendszer kialakítására, hagyományosan egy központi, horizontálisan alkalmazandó, azaz minden adatkezelési jogviszony szabályozására kiterjedő – omnibus – normatív aktus, továbbá egyes különös adatkezelési jogviszonyok tekintetében alkalmazandó ágazati törvényi szabályok alkották [a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény (a továbbiakban: Avtv.), az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) és például az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló 1997. évi XLVII. törvény (a továbbiakban: Eüak.)].

Az Európai Unió adatvédelmi reformjának keretei között elfogadott jogi aktusoknak a reformot megelőzőhöz képest eltérő jogforrási jellegéből fakadóan a magyar jogalkotó ezt a belső normarendszert nem tarthatta fenn. Míg az Avtv. és az Infotv. mind az adatvédelmi irányelv, mind a 2008/977/IB kerethatározat által támasztott jogharmonizációs kötelezettségnek az Avtv., illetve az Infotv. normarendszerén belül tett eleget, a GDPR közvetlenül hatályosuló normatív előírásaira tekintettel a magyar szabályozási környezet felülvizsgálata vált szükségessé.

Ezen felülvizsgálat során a jogalkotónak a magyar szabályozási környezetet – az előzőekben jelzett alkotmányossági és nemzetközi jogi keretek figyelembevételével – oly módon kellett kialakítania, hogy az az alábbi követelményeket teljesítse:

1. a GDPR által kimerítően szabályozott tárgykörök deregulációja a rendelet hatálya alá tartozó jogviszonyokban;

2. a GDPR közvetlen alkalmazhatóságához feltétlenül szükséges rendelkezések szabályozása;

3. a bűnügyi irányelv rendelkezéseinek a magyar jogba történő átültetése, jogintézményeinek a belső jogban történő teljes körű szabályozása;

4. az uniós jog hatályán kívüli, a magyar joghatóság alá tartozó adatkezelési jogviszonyok feltételrendszerének biztosítása;

5. az uniós jog által lehetővé tett, a GDPR-t és a bűnügyi irányelvet kiegészítő, az alkotmányossági és a nemzetközi jogi követelményekből fakadó rendelkezések szabályozása;

6. az adatkezelési jogviszonyokat szabályozó különös – ágazati – normatív előírásoknak a GDPR és a bűnügyi irányelv rendelkezéseivel való összhangjának a biztosítása.

Az Országgyűlés az 1–5. pontban meghatározott szabályozási szükségletre az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvénynek az Európai Unió adatvédelmi reformjával összefüggő módosításáról, valamint más kapcsolódó törvények módosításáról szóló 2018. évi XXXVIII. törvény (a továbbiakban: Módtv.) megalkotásával reagált. A Módtv. 2018. július 26-án – a GDPR alkalmazandóvá válását több mint két hónappal követően – lépett hatályba, rendelkezéseinek túlnyomó többsége az Infotv. előírásait – az alábbiakban részletezettek szerint – módosította.

A különös adatkezelési jogviszonyok felülvizsgálatára és az azokat szabályozó normatív aktusok átfogó – 86 ágazati törvényre kiterjedő – módosítására azonban csupán csaknem egy évvel később, az Európai Unió adatvédelmi reformjának végrehajtása érdekében szükséges törvénymódosításokról szóló 2019. évi XXXIV. törvény megalkotásával került sor.

2.4.2. A GDPR végrehajtása

A GDPR szabályainak – közvetlen hatályosuló és alkalmazandó jellegük folytán – a belső jogban történő megismétlésére, a rendelet által kimerítően szabályozott tárgykörökre vonatkozó előírások belső jogi szabályozására a tagállami jogalkotónak nincs lehetősége. Erre figyelemmel az Infotv. omnibus jellege fenntarthatatlanná vált.

A Módtv. ezért oly módon módosította az Infotv. hatályát megállapító rendelkezéseit, hogy azok a GDPR hatálya alá tartozó adatkezelési jogviszonyok vonatkozásában nem az Infotv. normatartalmának teljességét, csupán egyes, taxatív módon meghatározott előírásait rendelik a GDPR szabályai mellett, azok kiegészítéseként alkalmazni [Infotv. 2. § (2) bekezdés, 77/A. §].

Ezen előírásokkal kapcsolatban az alábbiak rögzítése szükséges.

Figyelemmel arra, hogy az Infotv. a személyes adatok védelméhez fűződő alapjog mellett az Alaptörvény VI. cikk (3) bekezdésében szabályozott másik alapjog, a közérdekű adatok megismeréséhez és terjesztéséhez fűződő jog (információszabadság) érvényesülését biztosító törvényi rendelkezéseket is megállapítja, e rendelkezések alkalmazását a GDPR előírásaiból fakadóan is (GDPR 85. és 86. cikk), az annak hatálya alá tartozó jogviszonyok tekintetében is biztosítani kellett (Infotv. 3. § egyes rendelkezései, Infotv. III. és IV. fejezet, 1. melléklet).

Ugyancsak a GDPR végrehajtásához mellőzhetetlennek tekinthetőek az Infotv. azon rendelkezései, amelyek az adatvédelmi felügyeleti hatóságok létrehozására, azok függetlensége garanciáinak biztosítására, feladat- és hatásköre ellátásának (elsősorban eljárásjogi) kereteire vonatkozó előírásokat, továbbá az érintettet megillető bírósági jogorvoslathoz fűződő jog érvényesítésének biztosítékait tartalmazzák (GDPR VI–VIII. fejezet; illetve Infotv. 23. §, V. fejezet és a VI. fejezet egyes rendelkezései).

Jogalkotási kötelezettség terheli továbbá a magyar jogalkotót azzal kapcsolatban is, hogy a bíróságok által „igazságügyi feladataik ellátása során végzett adatkezelési műveletek felügyeletére” vonatkozó mechanizmust létrehozza, tekintettel arra, hogy ezen felügyelet tekintetében a GDPR (és a bűnügyi irányelv) kizárja az adatvédelmi felügyeleti hatóságok kompetenciáját, ugyanakkor e tevékenységekre a GDPR anyagi jogi szabályai alkalmazandóak [GDPR (20) preambulumbekezdés, 55. cikk (3) bekezdés; bűnügyi irányelv (80) preambulumbekezdés, 45. cikk (3) bekezdés]. A Módtv. azt a megoldást választotta ezen szabályozási kötelezettség kezelésére, hogy egy önálló, az érintett adatkezelési műveletekhez kapcsolódó jogintézményt – az ún. adatvédelmi kifogást – hozott létre, és az annak elintézésére vonatkozó eljárásjogi rendelkezéseket az Infotv. külön fejezetében szabályozta (Infotv. VI/A. fejezet).

Az előzőekben bemutatott, a rendelet végrehajtását célzó jogalkotási lépések mellett a Módtv. több ponton élt azon mozgástérrel, amelyet a GDPR maga biztosít a tagállami jogalkotó számára. E mozgástér keretei között mindenekelőtt – az alapvető jogok jogalkotói intézkedéssel történő korlátozására vonatkozó alkotmányossági követelményekkel összhangban – a jogalkotónak címezve meghatározta a magyar adatvédelmi jogi dogmatika szerinti, jogszabályban elrendelt, ún. kötelező adatkezelések tekintetében az adatkezelési jogviszonyokat szabályozó normatív előírások minimumkövetelményeit [GDPR 6. cikk (1) bekezdés c) és e) pont, (2) és (3) bekezdés; Infotv. 5. § (3) és (5) bekezdés].

Itt emelendő ki továbbá az is, hogy a Módtv. fenntartotta az Infotv. korábbi szabályozási megközelítését, így az a bűnügyi személyes adatok kezelésére vonatkozóan főszabály szerint továbbra is a különleges adatok kezelésének feltételeire vonatkozó szabályokat rendeli alkalmazni [Infotv. 5. § (7) bekezdés]. Ennek indoka, hogy noha az általános adatvédelmi rendelet a „büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre vonatkozó személyes adatokat” (GDPR 10. cikk) nem a „személyes adatok különleges kategóriáiba” (GDPR 9. cikk) tartozó személyes adatként szabályozza, azok kezelése tekintetében „megfelelő garanciákat nyújtó” tagállami jogi előírások megalkotását írja elő feltételként. Ezen garanciák jellegét és tartalmát azonban a GDPR maga nem határozza meg, így azt az Infotv. – összhangban az ET adatvédelmi egyezmény 6. cikkében meghatározottakkal – lényegét tekintve az adatvédelmi reformot megelőző szabályozással megegyező tartalommal rendezi.

2.4.3. A bűnügyi irányelv átültetése

Az előzőekben bemutatottak szerint az Európai Unió adatvédelmi reformját megelőzően az Infotv. – az uniós jogtól eltérően – kódex jelleggel szabályozta a Magyarország joghatósága alá tartozó adatkezelési műveletekre vonatkozó általános előírásokat, rendelkezései így nemcsak az adatvédelmi irányelvnek, hanem a 2008/977/IB kerethatározatnak való megfelelést is szolgálták.

Noha a bűnügyi irányelv struktúrája, fogalommeghatározásainak, jogintézményeinek többsége a GDPR-ral tartalmilag, sőt, szövegszerűen is megegyezik, a GDPR-ral ellentétben a bűnügyi irányelv a belső jogban – az uniós bírói gyakorlatban megállapított különös feltételek fennállását kivéve – nem hatályosul, és nem alkalmazandó közvetlenül a belső jogban. Ennek következtében a magyar jogalkotót a bűnügyi irányelv tekintetében terhelő jogharmonizációs kötelezettség arra kötelezi, hogy ezen jogintézmények és fogalommeghatározások teljes körét a belső jog részévé tegye, azokat az Alaptörvény I. cikk (3) bekezdéséből fakadóan törvényi szinten szabályozza.

A tagállami jogalkotó ugyanakkor jelentős mozgástérrel rendelkezik a bűnügyi irányelv átültetése tekintetében. Ezen mozgástér egyrészt lehetővé teszi, hogy az irányelvi rendelkezéseket akár egy központi normában szabályozza a hatálya alá tartozó minden adatkezelési jogviszonyra alkalmazandóan, akár az ágazati szabályozásban külön-külön is rendezze, másrészt az irányelv minimumharmonizációs jellege azt is lehetővé teszi, hogy az irányelv rendelkezéseiben „megállapítottnál magasabb védelmi szintet biztosító garanciákról” rendelkezzen [bűnügyi irányelv 1. cikk (3) bekezdés].

Tekintettel arra, hogy a jogharmonizációs kötelezettség jellege a 2008/977/IB kerethatározathoz képest a bűnügyi irányelv elfogadásával sem változott, a Módtv. fenntartotta a korábbi szabályozási megközelítést, és a bűnügyi irányelv rendelkezéseit az Infotv.-be illesztette, a bűnügyi irányelv hatálya alá tartozó adatkezelési műveletek – az Infotv. fogalomrendszerében bűnüldözési célú adatkezelések (Infotv. 3. § 10a. pont) – vonatkozásában továbbra is az Infotv. előírásainak alkalmazását rendelte el [Infotv. 2. § (3) bekezdés]. Az irányelv minimumharmonizációs jellege által biztosított mozgástérrel élve pedig az adatvédelmi reformot megelőző, az irányelvhez képest egyes jogintézmények tekintetében szigorúbb feltételrendszert megállapító, „magasabb védelmi szintet biztosító garanciákat” is fenntartotta [lásd például a bűnügyi személyes adatok kezelése vonatkozásában az Infotv. 5. § (7) bekezdését].

Az Infotv. tehát a bűnügyi irányelv jogintézményeinek teljes körét szabályozza, az irányelv hatálya alá tartozó adatkezelési jogviszonyok tekintetében – a korábbi szabályozási koncepcióval egyező módon – lex generalisként alkalmazandó, mely normák mellett természetesen e jogterületen a különös adatkezelési jogviszonyokat szabályozó törvényi rendelkezések szabályozása is érvényesül. Ezen általános szabályozási igénnyel fellépve az Infotv. arra törekszik, hogy az adatkezelési jogviszonyok tekintetében az – ágazati szabályozás eltérést megállapító rendelkezésének hiányában – alkalmazandó rendelkezések lehető legteljesebb körét megállapítsa. E törekvésből fakadóan és a korábbi jogalkotási-jogalkalmazási tapasztalatokon alapulva az Infotv. még a korábbi szabályozáshoz képest is teljesebb mértékben biztosít háttérszabályokat, így például meghatározza az adatkezelés szükségessége időszakos felülvizsgálatának rendszerességét [bűnügyi irányelv 5. cikk; Infotv. 5. § (5) bekezdés], az érintettet megillető jogok korlátozhatóságának részletes feltételeit és az azokat megalapozó indokokat [bűnügyi irányelv 13. cikk (3) bekezdés, 15. cikk (1) bekezdés, 16. cikk (6) bekezdés; Infotv. 16. § (3) bekezdés, 21. § (3) bekezdés].

2.4.4. Az uniós jog által nem rendezett jogviszonyok szabályozása

Az előzőekben bemutatottak szerint az uniós adatvédelmi előírások egyrészt az alapítószerződésekkel nem érintett – így a tagállamok kizárólagos joghatósága alatt maradó – szabályozási tárgykörök révén, másrészt az adatvédelmi reform keretei között elfogadott jogi aktusok önkorlátozásából következően egyes személyesadat-kezeléssel járó jogviszonyok vonatkozásában nem alkalmazhatóak. Ezen tárgykörök vonatkozásában a magyar jogalkotó szabályozási hatásköre és az Alaptörvényből fakadó szabályozási kötelezettsége fennmaradt.

A Módtv. egyrészt abból a megfontolásból, hogy az Infotv. kódexjellegét a megváltozott szabályozási környezetben is megőrizze, valamint a Magyarország külső és belső biztonságához kapcsolódó adatkezelési jogviszonyok azonos jellemzőire (például törvényi szinten részletesen szabályozott, közhatalmi szervek által folytatott, alapvető jogok korlátozásával járó tevékenységek) tekintettel a nemzetbiztonsági célú adatkezelések (Infotv. 3. § 10b. pont), valamint a honvédelmi célú adatkezelések (Infotv. 3. § 10b. pont) mint az uniós jog hatályán kívül eső tevékenységek [GDPR 2. cikk (2) bekezdés a) pont; bűnügyi irányelv 2. cikk (3) bekezdés a) pont] körébe tartozó jogviszonyokra is – főszabály szerint – a bűnüldözési célú adatkezelésekre vonatkozó szabályösszességet, azaz az Infotv. előírásainak teljességét rendelte el alkalmazni [Infotv. 2. § (3) bekezdés].

Ezen szabályozási megoldásból fakadóan az Infotv. minden olyan előírásnál kifejezetten jelöli a rendelkezés – az általánostól eltérő – tárgyi hatályát, amelyek tekintetében ezen egységes megközelítés nem valósul meg azért, mert az adott előírás kizárólag valamely adatkezelési jogviszonytípus tekintetében fennálló szabályozási szükséglet kielégítését szolgálja [például Infotv. 7. §, 10. § (2) bekezdés, illetve 25/E. § (4) bekezdés, 25/J. § (9) bekezdés stb.].

Az előzőekben jelzettek szerint az uniós jogalkotó az uniós adatvédelmi reformot követően is fenntartotta azt a megközelítést, amely azon nem automatizált eszközzel végzett adatkezelési műveletek tekintetében, amelyek tárgya olyan személyes adat, amely nem képezi valamely nyilvántartási rendszer részét és amelyet nem kívánnak nyilvántartási rendszer részévé tenni, kizárja az uniós jogi aktusok alkalmazását [GDPR 2. cikk (1) bekezdés; bűnügyi irányelv 2. cikk (2) bekezdés].

Magyarország azonban az ET adatvédelmi egyezmény kötelező hatályának elismerésekor élt az egyezmény által biztosított lehetőséggel, és egyoldalú nemzetközi jogi aktusnak minősülő nyilatkozatban vállalt kötelezettséget arra, hogy a személyes adatok nem gépi eszközökkel feldolgozott állományaira is alkalmazza az ET adatvédelmi egyezmény rendelkezéseit (az egyének védelméről a személyes adatok gépi feldolgozása során, Strasbourgban, 1981. január 28. napján kelt Egyezmény kihirdetéséről szóló 1998. évi VI. törvény 3. §). Ezen kötelezettségvállalással összhangban a magyar jogalkotó mind az Avtv., mind – a Módtv. hatálybalépésének időpontjáig – az Infotv. tárgyi hatályát generálisan és horizontálisan az automatizált eszközzel, valamint a manuális módon végzett adatkezelési műveletekre is kiterjedően állapította meg [lásd az Avtv. 2011. december 31-én hatályos szövegének 1/A. § (2) bekezdése, az Infotv. 2018. július 25-én hatályos szövegének 2. § (2) bekezdése].

Az uniós adatvédelmi acquis jogforrási jellegének – és az Infotv. hatályának ebből fakadó – változása azonban ezen adatkezelési műveletek tekintetében változtatást tett szükségessé. A Módtv. arra figyelemmel, hogy az uniós jog által szabályozott és szabályozni mellőzött adatkezelési jogviszonyok közötti különbségtétel alapja pusztán az adatkezelési műveletek végzésének módja, módszere – amely szempontnak az érintett alapjog vonatkozásában fennálló érintettsége megalapozottan vonható kétségbe –, utóbbi jogviszonyok tekintetében is alkalmazandóvá tette az automatizált eszközzel végzett adatkezelési műveletekre vonatkozó uniós jogi és belső jogi normarendszereket.

Ezen koncepciónak megfelelően tehát az Infotv. fenntartja a korábbi szabályozási megközelítést, és – az automatizált és a manuális adatkezelési műveletek megkülönböztetése nélkül – a bűnüldözési célú, a nemzetbiztonsági célú és a honvédelmi célú adatkezelési műveletek teljes körére rendeli alkalmazni az Infotv. előírásait [Infotv. 2. § (3) bekezdés]. Minden további adatkezelési művelet vonatkozásában – amelyek az adatkezelés módján kívüli jellegzetességeik alapján a GDPR hatálya alá tartoznának, de amelyekre a rendelet hatálya a 2. cikk (1) bekezdés alapján nem terjed ki – pedig az Infotv. ex lege a GDPR anyagi jogi előírásait rendeli el alkalmazni [Infotv. 2. § (4) bekezdés]. Ezen szabályozási megoldás a magyar joghatóság alá tartozó jogalkalmazók részére az uniós és nemzetközi jogi adottságok által lehetővé tett keretek között egységes adatvédelmi előírások érvényesülését teszi lehetővé az adatkezelési műveletek vonatkozásában, függetlenül attól, hogy az adatkezelési műveleteket az adatkezelők és az adatfeldolgozók milyen eszközzel, módszerrel végzik.

Végül, az uniós jogalkotó által nem szabályozott jogviszonyok vonatkozásában szabályozási nóvumként emelendőek ki a Módtv. azon rendelkezései, amelyek a személyes adatoknak az érintett halálát követő sorsának rendezésére biztosítanak jogi eszközöket az érintett és az érintett közeli hozzátartozói részére. Tekintettel arra, hogy az érintett halálával jogalanyisága is megszűnik, értelemszerűen a halál időpontjától adatkezelési jogviszonyok alanya sem lehet. Így maga az általános rendelet hatálya sem terjed ki az elhunytak személyes adatai sorsának szabályozására, de kifejezetten jelzi ezzel kapcsolatban a tagállami jogalkotó szabályozási mozgásterét [GDPR (27) preambulumbekezdés]. E szabályozási mozgásterét a magyar jogalkotó, a magyar jogalkalmazói gyakorlat által jelzett szabályozási szükségletre [a Nemzeti Adatvédelmi és Információszabadság Hatóság ajánlása az online adatok halál utáni sorsáról (a továbbiakban: NAIH 2015c)] is figyelemmel kihasználta, sajátos, a magyar jogban mindeddig nem létező jogintézményeket megalkotva (Infotv. 25. §).

3. A GDPR tárgya és hatálya

3.1. A GDPR tárgya

A természetes személyek személyes adataik kezelésével összefüggő védelme az Európai Unióban alapvető jog. A Charta 8. cikk (1) bekezdése és az EUMSz 16. cikk (1) bekezdése rögzíti, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez.

A természetes személyeket a személyes adataik védelmével kapcsolatos elvek és szabályok állampolgárságtól és lakóhelyétől függetlenül megilletik az Európai Unióban. A GDPR preambuluma is kiemeli azt, hogy ez a kiterjedt védelem hozzájárul a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség, valamint a gazdasági unió megteremtéséhez, a gazdasági és társadalmi fejlődéshez, a belső piacon belüli gazdaságok erősödéséhez és konvergenciájához, valamint a természetes személyek jólétéhez [GDPR (2) preambulumbekezdés].

A GDPR kodifikációjára elsősorban azért volt szükség, mivel a gyors technológiai fejlődés és a globalizáció hatására a személyes adatok gyűjtése és megosztása jelentős mértékben megnőtt az elmúlt időszakban. Ez a jelenség leginkább az internet lakossági elterjedésének köszönhető. A technológia manapság a személyes adatok felhasználását minden eddiginél nagyobb mértékben lehetővé teszi mind a verseny-, mind a közszféra adatkezelői számára a tevékenységeik folytatásához. Emellett az emberek egyre nagyobb mértékben hoznak nyilvánosságra és tesznek elérhetővé személyes adatokat, ami gyökeresen átalakította a gazdasági és a társadalmi életet. Ezek az egymásra is ható jelenségek egyre inkább szükségessé teszik és elősegítik a személyes adatok Unión belüli szabad áramlását és a személyes adatok harmadik országok és nemzetközi szervezetek részére történő továbbítását. A személyes adatok kezelése azonban csak akkor lehet jogszerű, ha egyúttal biztosított azok magas szintű védelme is [GDPR (6) preambulumbekezdés].

A fentiekben említett társadalmi körülmények tették szükségessé egy olyan szilárd és az eddiginél következetesebb uniós adatvédelmi keret kidolgozását, amelyet egyben erős kikényszeríthetőség is támogat. A GDPR egyik fő célkitűzése, hogy biztosítsa a természetes személyek számára a saját személyes adataik feletti rendelkezés jogát [GDPR (7) preambulumbekezdés].

A fenti problémák kezelése érdekében kodifikált új rendelet a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére és a személyes adatok szabad áramlására vonatkozó szabályokat állapít meg. A GDPR a természetes személyek alapvető jogait és szabadságait és ezeken belül különösen a személyes adatok védelméhez való jogukat védi (GDPR 1–2. cikk).

Az új rendelet megalkotásának egyik fő célkitűzése az volt, hogy a természetes személyek adatainak kezelésével kapcsolatban fennálló jogokat minden tagállamban azonos szintű védelemben részesítse. Ennek érdekében a GDPR kimondja, hogy a személyes adatok kezeléséhez kapcsolódó alapvető jogok és szabadságok védelmére vonatkozó szabályok következetes és egységes alkalmazását az Unió egész területén biztosítani kell.

A GDPR valamennyi tagállam gazdasági szereplői részére – beleértve a mikro-, kis- és középvállalkozásokat is –, továbbá a közszféra adatkezelői számára is egységes szabályokat ír elő a természetes személyek egységes, uniós szintű védelmének biztosítása érdekében, valamint a személyes adatok belső piacon való szabad áramlását akadályozó eltérések megelőzése céljából. Előírásai a természetes személyek részére minden tagállamban azonos szintű, azonos módon érvényesíthető jogokat biztosítanak, és az adatkezelők részére kötelezettségeket keletkeztetnek. Ezenfelül az adatkezelők és adatfeldolgozók számára azonos felelősséget, a személyes adatok kezelésének következetes nyomon követését, valamennyi tagállamban azonos szankciók alkalmazását, és a különböző tagállamok felügyeleti hatóságai közötti hatékony együttműködését is rögzíti a rendelet [GDPR 3. cikk és (13) preambulumbekezdés].

A GDPR azt is megemlíti a preambulumbekezdései között, hogy a személyes adatok védelméhez való jog nem abszolút jog, azt az arányosság elvével összhangban, a társadalomban betöltött szerepének függvényében kell figyelembe venni, egyensúlyban más alapvető jogokkal. A személyes adatok védelméhez való jog tehát a szükségesség és arányosság követelményét szem előtt tartva, más alapvető jog érvényesülésének elősegítése érdekében korlátozható. Az új rendelet maga is kimondja, hogy annak megszövegezése során az uniós jogalkotó minden más alapvető jog érvényesülésére tekintettel volt, és szem előtt tartotta a Chartában elismert és az Unió alapító szerződéseiben rögzített szabadságokat és elveket. Ezen figyelembe vett alapvető jogok különösen a következők: a magán- és a családi élet védelméhez, az otthon és a kapcsolattartás tiszteletben tartásához, a gondolat-, a lelkiismeret- és a vallásszabadsághoz, a véleménynyilvánítás szabadságához és a tájékozódás szabadságához, a vállalkozás szabadságához, a hatékony jogorvoslathoz és a tisztességes eljáráshoz, és a kulturális, vallási és nyelvi sokféleséghez való jogok [GDPR (4) preambulumbekezdés].

A tagállamok számára a GDPR azt is lehetővé teszi, hogy az abban foglalt szabályok alkalmazását pontosító nemzeti rendelkezéseket tartsanak fenn vagy vezessenek be. Erre elsősorban akkor van lehetőség, ha a személyes adatok kezelésére jogi kötelezettség teljesítéséhez, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtásához van szükség. Ez azért szükséges, mivel a korábban a személyes adatok védelmét harmonizáló adatvédelmi irányelvet végrehajtó általános és horizontális adatvédelmi jogszabályokhoz kapcsolódóan a tagállamok számos ágazatspecifikus jogszabályt hoztak azokon a területeken, ahol konkrétabb rendelkezésekre volt szükség. A GDPR ezért a tagállamok számára mozgásteret biztosít ahhoz, hogy pontosítsák a benne meghatározott szabályokat, ideértve a személyes adatok különleges kategóriáira („különleges adatok”) vonatkozókat is. Ennyiben tehát a GDPR nem zárja ki olyan tagállami jog elfogadását, amely meghatározza a különleges adatkezelési helyzetek körülményeit, ezen belül pontosabban megállapítja, hogy milyen feltételek mellett jogszerű a személyes adatok kezelése. A tagállamok tehát hozhatnak különböző ágazatspecifikus adatkezelési jogszabályokat, azonban ezek a jogszabályok sem lehetnek ellentétesek a GDPR alapelveivel és általános előírásaival [GDPR (10) preambulumbekezdés].

3.2. A GDPR személyi hatálya

3.2.1. A természetes személyek személyes adatai

A GDPR hatályával kapcsolatban a szövegből az következik, hogy a természetes személyeket a személyes adataik kezelésével kapcsolatban nyújtott védelem állampolgárságuktól és lakóhelyüktől függetlenül illeti meg. A GDPR a fentieken túl azt is kimondja, hogy az azonosított vagy azonosítható természetes személyre vonatkozó személyes adatok képezik a védelem tárgyát. Az azonosított vagy azonosítható természetes személyeknek, ahhoz, hogy megillesse őket a GDPR által nyújtott védelem, elég, ha az Európai Unió területén tartózkodnak, innen veszik igénybe az adatkezelő által nyújtott szolgáltatásokat, vagy az adatkezelés az Unió területén belül tanúsított viselkedésük megfigyeléséhez kapcsolódik. A védelemhez tehát nem szükséges az, hogy az érintett a fentieken túl az Európai Unió valamely tagállamának állampolgára is legyen [GDPR 3. cikk (1)–(2) bekezdés].

A GDPR megfogalmazása alapján a személyes adatok védelméhez fűződő jog szükségszerűen az élő természetes személyeket illeti meg. Ennek alapja, hogy az ember jogképessége a halállal megszűnik, mivel a személyiségi jogok alanya csak jogképes személy lehet. A személyiségi jogok természetéből következik, hogy azokkal csak létező (élő) személy rendelkezik, vagyis az embert személyisége kapcsán megillető jogok a halála pillanatáig tartanak. Halálával az ember megszűnik a személyiségi jogok – így többek között a személyes adatok védelméhez fűződő alapjog – alanya lenni. A személyhez fűződő jogok esetében jogutódlásra nincs lehetőség [Vékás Lajos – Gárdos Péter (szerk.) (2014): Kommentár a Polgári Törvénykönyvhöz. Wolters Kluwer, Budapest].

3.2.2. Az elhunyt természetes személyek személyes adatai

Az ember halála után tovább él a személy egyéniségének és társadalmi tevékenységének hatása. Erre figyelemmel az elhunyt személy emléke és az elhunyttal kapcsolatos személyes adatok kezelése kihatással lehet a hozzátartozók magánszférájára. A GDPR ezzel kapcsolatban csupán annyit tartalmaz, hogy a rendelkezéseit nem kell alkalmazni az elhunyt személyekkel kapcsolatos személyes adatokra. A tagállamok számára azonban lehetővé teszi, hogy az elhunyt személyek személyes adatainak kezelését szabályozzák, így ezeknek a szabályoknak a megalkotását a rendelet a tagállami jogi szabályozás hatálya alá utalja. Ez a felhívás azonban csak lehetőség a tagállamok számára, amivel nem kötelező feltétlenül élniük [GDPR (27) preambulumbekezdés].

Magyarországon a jogalkotó – élve a GDPR által megfogalmazott fenti lehetőséggel – az elhunyt személyek személyes adatainak kezelésével kapcsolatban az Infotv.-ben szabályozta a kérdést. A szabályozás előzménye, hogy a Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: NAIH) 2015. november 11-én ajánlást bocsátott ki az online adatok halál utáni sorsáról. Az ajánlásban a NAIH egyrészt ismertette a személyes adatok kezeléséhez kapcsolódó jogosultságoknak az adatalany halálát követő jogi sorsára vonatkozó hatályos jogi rendelkezéseket, másrészt felhívta az igazságügyi minisztert, hogy vizsgálja meg a lehetőségét egy olyan jogalap és eljárásrend kidolgozásának, amely az ajánlásban megfogalmazott, a személyes adatokhoz kapcsolódó egyes jogosultságokkal ruházná fel az elhunyt hozzátartozóit és örököseit az Infotv.-ben meghatározott alapelvek és előírások minél teljesebb érvényesülésének megteremtése érdekében (NAIH 2015c).

A NAIH ajánlásában ismertetett gyakorlati tapasztalatok alapján az Infotv. a magyar jogban mindeddig nem szabályozott jogintézményt megteremtve törekszik eleget tenni a jogalkalmazó által jelzett jogalkotási szükségletnek, bővítve ezzel az Alaptörvény VI. cikk (2) bekezdésében biztosított, az információs önrendelkezési jog érvényesülésének garanciáit, az ezen alapjoghoz kapcsolódó jogosultságokat. Az Infotv. ennek érdekében egyrészt az érintett számára lehetőséget biztosít arra, hogy az általa még életében megtett jognyilatkozattal rendelkezhessen személyes adatainak a halálát követő sorsáról, akként, hogy az adatkezelőnél tett jognyilatkozatával – több ilyen nyilatkozat esetén a későbbi időpontban tett, a korábbit felülíró nyilatkozatával – meghatalmazza a személyes adataival kapcsolatban őt életében megillető egyes jogosultságok érvényesítésére jogosult személyt. Az érintett ilyen nyilatkozatát közokiratba vagy teljes bizonyító erejű magánokiratba kell foglalni. Az így átruházható jogosultságok kiterjednek az adatokhoz való hozzáférésre (azok megismerésére), azok helyesbítésének, törlésének, zárolásának kezdeményezésére, továbbá az adatkezelés elleni tiltakozásra (Infotv. 25. § és ahhoz fűzött indokolás).

Az Infotv. emellett, ilyen jognyilatkozat hiányában, ex lege feljogosítja az érintett közeli hozzátartozóit arra, hogy az érintetti jogok közül a helyesbítést, valamint – ha az adatkezelés már az érintett életében is jogellenes volt, vagy az adatkezelés célja az érintett halálával megszűnt – a törlést és a zárolást kezdeményezzék, továbbá az adatkezelés elleni tiltakozáshoz fűződő jogokat érvényesíthessék. Mind az ex lege érvényesíthető jogosultságok, mind az azokat potenciálisan gyakorló személyek köre tehát szűkebb az érintett még életében megtett jognyilatkozata alapján érvényesíthető jogok és azok lehetséges jogosultjainak körénél. Az információs önrendelkezési jog tartalma és a személyiséghez szorosan kapcsolódó jellege miatt az Infotv. csak az elhunyt érintett közeli hozzátartozói számára és kizárólag a jogellenes adatkezelés megszüntetésének vagy korrekciójának lehetőségét teremti meg az érintett jognyilatkozata hiányában. Az érintett ezen jogainak érvényesítésére az a közeli hozzátartozó jogosult, aki ezen jogosultságát elsőként gyakorolja. Ez a törvényi rendelkezés az érintett információs önrendelkezési jogát, magánszféráját halálát követően is tiszteletben tartva – az érintett erre irányuló kifejezett akaratkijelentése hiányában – így nem biztosít lehetőséget arra a közeli hozzátartozóknak sem, hogy az elhunyt érintett egyes adatkezelők által kezelt adataihoz hozzáférhessenek, azokat (például az elhunyt érintett elektronikus levelezésének tartalmát) megismerhessék (Infotv. 25. § és ahhoz fűzött indokolás).

Ez ugyanakkor nem gátolja azon adatmegismerési jogosultságok érvényesülését, amelyek nem az Infotv.-ből, hanem más jogi előírásokból fakadnak (például a hagyaték sorsának jogi rendezése, szerződéses jogviszonyokban való jogutódlás stb.). A rendelkezés azt sem teszi továbbá lehetővé a közeli hozzátartozók számára, hogy olyan személyes adatok törlését kezdeményezzék, amelyek kezelése az érintett életében jogszerű volt (például az érintett kifejezett hozzájárulásán alapult), kivéve, ha az érintett halálával az adatkezelés eredeti célja is megszűnt.

A közeli hozzátartozók ugyanakkor az érintett adatai sorsának nyomon követhetősége érdekében a törvény alapján – azon egyetlen eset kivételével, ha ezt az érintett életében tett nyilatkozatával előzetesen kizárta – jogot kapnak arra, hogy a meghatalmazott vagy más közeli hozzátartozó fellépése nyomán az adatkezelő által megtett intézkedésekről kérelmükre tájékoztatásban részesüljenek. Az intézkedésről való tájékoztatásra való jogosultság azonban kifejezetten csak az adatkezelői cselekmény tartalmára vonatkozik, nem terjed ki arra, hogy a közeli hozzátartozók olyan, az érintettre vonatkozó adatokat megismerjenek, amelyhez hozzáférésre egyébként nem jogosultak (Infotv. 25. § és ahhoz fűzött indokolás).

Az Infotv. mind az érintett akaratnyilatkozatán, mind a törvényi rendelkezésen alapuló jogosultságok érvényesíthetőségét objektív időbeli korláthoz – az érintett halálát követő öt év – köti. Ezzel megfelelő egyensúlyt teremt az érintett személyes adatainak az érintett elhunytát követő sorsának rendezéséhez fűződő, valamint az adatkezelők adminisztratív terheinek észszerű mértékéhez fűződő érdekek között (Infotv. 25. § és ahhoz fűzött indokolás).

Az Infotv. mindezek mellett kifejezetten rögzíti azt is, hogy az egyes érintetti jogokat érvényesítő személyek jogosultságai – a „nemo plus iuris...” alapelvvel összhangban – az Infotv. alapján az érintettet ezen jogok érvényesítése során megillető jogosultságok tartalmához, azok gyakorlásának feltételeihez, korlátaihoz igazodnak (Infotv. 25. § és ahhoz fűzött indokolás).

3.2.3. A jogi személyek adatai

A GDPR hatályára vonatkozó rendelkezések szerint a rendelet előírásai nem terjednek ki az olyan adatkezelésekre, amelyek jogi személyek adataira, illetve olyan vállalkozások adataira vonatkoznak, amelyeket jogi személyként hoztak létre, beleértve a jogi személy nevét és formáját, valamint a jogi személy elérhetőségére vonatkozó adatokat. Ez a rendelkezés azt az alapelvet fogalmazza meg, hogy a személyes adatok védelme kizárólag a természetes személyek adataival kapcsolatban értelmezhető, a jogi személyek különböző adatait (például cégnév, székhely) nem illeti meg az ilyen típusú védelem. A jogi személy által kezelt személyes adatok tekintetében viszont természetesen alkalmazni kell a GDPR előírásait [GDPR (14) preambulumbekezdés].

3.3. A GDPR tárgyi hatálya

3.3.1. A tárgyi hatályról általánosságban

A GDPR kimondja, hogy a rendelkezéseit alkalmazni kell a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni [GDPR 2. cikk (1) bekezdés].

A vonatkozó szakirodalom szerint a fenti rendelkezésnek az a célja, hogy ne tartozzon az uniós rendelet tárgyi hatálya alá a nem gépesített, manuális módon kezelt adatállományok kezelése abban az esetben, ha az nem strukturált módon történik. A manuálisan kezelt adatok közül tehát csak a strukturált, vagyis rendezett, áttekinthető állományok tartoznak a GDPR hatálya alá. Ennek oka, hogy az ilyen típusú adatkezelések esetén fokozottan fennáll a magánszféra sérelmének veszélye. Erre az automatizált adatkezelés szintjét el nem érő, de ahhoz hasonló rendezési, válogatási, hozzáférési lehetőségek miatt van szükség. Mindezek mellett érdemes arra is felhívni a figyelmet, hogy az Európai Bíróság viszont a Lindqvist-ítéletben kimondta, hogy a tárgyi hatálynak a szélesebb, a tagállam által a nemzeti jogban történő meghatározása nem sérti az uniós jogot. A tagállamnak tehát lehetősége van arra, hogy a nemzeti jogában az adatvédelmi szabályok tárgyi hatályát kiterjessze a manuálisan és nem strukturált módon kezelt állományokra is [Jóri András – Soós Andrea Klára (2016): Adatvédelmi jog – Magyar és európai szabályozás. HVG–ORAC, Budapest, 91–92.].

A tárgyi hatálynak a szélesebb, a tagállam által a nemzeti jogban történő meghatározása – az Európai Bíróság által a Lindqvist-ítéletben kifejtett értelmezésre is tekintettel – nem sérti az uniós jogot. A magyar adatvédelmi jogban éppen erre való tekintettel olyan előírásokat találunk, amelyek lehetőséget teremtenek a tárgyi hatály kiterjesztő értelmezésére. A magyar adatvédelmi jog különös szabályait tartalmazó Infotv. hatálya a teljesen manuálisan végzett adatkezelésekre is kiterjed. Ezt a magyar jogalkotó azzal biztosítja, hogy az Infotv. Magyarországon a GDPR meghatározott előírásainak (GDPR 4. cikk, II–VI., és VIII–IX. fejezetek) alkalmazását rendeli el az olyan adatkezelésekre, amelyek egyébként nem tartoznának alapból az uniós adatvédelmi jog hatálya alá. Magyarországon tehát a GDPR bizonyos előírásait a manuálisan végzett és nem nyilvántartási rendszer részét képező (például tisztán papír alapú) adatkezelésekre is alkalmazni kell. Ez a gyakorlatban annyit jelent, hogy amennyiben egy adatkezelésre a területi hatályra vonatkozó rendelkezések alapján kiterjed az Infotv. hatálya, úgy az adatkezelőnek meg kell felelnie ezen adatkezelései tekintetében is a GDPR bizonyos előírásainak, függetlenül attól, hogy azt automatikusan, vagy manuális (akár nem strukturált) módon végzi. Magyarország területén tehát nem mentesülhet az adatkezelő az adatvédelmi jogi előírásoknak való megfelelés alól, pusztán arra hivatkozva, hogy adatkezelését tisztán papír alapon végzi [Infotv. 2. § (4) bekezdés].

3.3.2. A tárgyi hatály alóli kivételek: a magáncélú adatkezelések

A GDPR egyik legfontosabb kivételszabálya, hogy az előírásait nem kell alkalmazni a személyes adatoknak a természetes személy által kizárólag személyes vagy otthoni tevékenység keretében végzett kezelésére, amely semmilyen szakmai vagy üzleti tevékenységgel nem hozható összefüggésbe (ún. magáncélú adatkezelések). Személyes vagy otthoni tevékenységnek minősül például a levelezés (akár elektronikus, akár papír alapon történik), a címtárolás, valamint az említett személyes és otthoni tevékenységek keretében végzett, közösségi hálózatokon történő kapcsolattartás és más online tevékenységek is.

Nem alkalmazható ez a kivétel abban az esetben, ha az adatot meghatározhatatlan számú személy ismeri meg, vagy az nyilvánosságra kerül. Ilyen eset lehet, ha például a magánszemély egy nyilvánosan elérhető internetes fórumon nyilvánosságra hozza egy másik érintett nevét vagy fényképét abból a célból, hogy a közösség segítsen neki beazonosítani a pontos kilétét és elérhetőségeit. Ebben az esetben az adatkezelés nem felel meg a személyes, otthoni tevékenység keretében történő adatkezelés kritériumának, hanem az kilép a nyilvánosság elé, így arra a GDPR előírásait már alkalmazni kell.

A személyes (magán) célú adatkezelés fogalmáról az Európai Unió Bírósága is állást foglalt a Ryneš-ítéletben (C–212/13., ECLI:EU:C:2014:2428). A Bíróság az ügyben általános jelleggel azt állapította meg, hogy a magánszemély adatkezelésére vonatkozó kivételeket szűken kell értelmezni. A személyes célú adatkezelés csak és kizárólag akkor eshet kívül az adatvédelmi szabályozás körén, ha az kizárólag magáncélt szolgál. Abban az esetben már nem tekinthető viszont magáncélúnak az adatkezelés, ha a cél túlmegy a magánjellegű felhasználáson. Ebbe a körbe értette bele a Bíróság azt az esetet is, ha például a magánszemély az illetékes hatóságnak adja át az általa – eredetileg magáncélból – gyűjtött adatokat, információkat. Az ügy kapcsán ez a magánszemély által üzemeltetett térfigyelő kamera által rögzített felvételeknek a rendőrség részére történő átadását jelentette. A személyes adatok hatóságoknak történő átadására, mint adatkezelésre tehát már alkalmazni kell az adatvédelmi jogszabályokat a Bíróság szerint [Jóri András – Soós Andrea Klára (2016): Adatvédelmi jog – Magyar és európai szabályozás. HVG–ORAC, Budapest, 94–95.].

A vonatkozó szakirodalomban hozott példa szerint nem esik továbbá a kizárólag személyes vagy otthoni tevékenység keretében folytatott adatkezelés hatálya alá, ha a magánszemély otthoni számítógépén munkájával kapcsolatos adatokat kezel (például otthonról dolgozik). Egy másik példa az Adatvédelmi Biztos 2001. évi beszámolójára hivatkozik, amely szerint a személyes célba az sem férhet bele, ha például az üzlettulajdonos közszemlére teszi annak a személynek a nevét, akinek a kezdeményezésére az üzlet nyitvatartását a hatóságok korlátozták [Jóri András – Soós Andrea Klára (2016): Adatvédelmi jog – Magyar és európai szabályozás. HVG–ORAC, Budapest, 92–93.].

A Nemzeti Adatvédelmi és Információszabadság Hatóság NAIH/2020/8723/3. számú határozatában megállapította, hogy nem minősül magáncélú adatkezelésnek, ha egy politikusként is tevékenykedő magánszemély, magántelefonszámáról politikai gyűlésre invitáló SMS üzeneteket küld egy előzőleg megrendelt SMS küldő szolgáltatáson keresztül valamennyi a telefonkönyvében, illetve e-mail-es címtárában szereplő ismerőse telefonszámaira, több százas nagyságrendben. A határozat szerint ezen tevékenység a magánszemély politikai tevékenységével hozható összefüggésbe és ezért az üzenetek küldésére nem kizárólag személyes vagy otthoni tevékenysége körében került sor.

A GDPR kifejezetten előírja továbbá, hogy alkalmazni kell a szabályait azokra az adatkezelőkre és adatfeldolgozókra, akik a személyes adatok személyes vagy otthoni tevékenység keretében végzett kezeléséhez az eszközöket biztosítják. Arra a magánszemélyre, aki otthoni tevékenysége keretein belül kezel személyes adatokat – például a mobiltelefonján tárolja ismerősei, barátai telefonos, e-mail-es, vagy egyéb elérhetőségeit, és ezeken keresztül a kapcsolatot tartja velük –, a GDPR szabályait nem kell alkalmazni. Viszont a magánszemély által használt telefonra különböző applikációkat fejlesztő, vagy a telefont gyártó adatkezelőknek, adatfeldolgozóknak, akik adott esetben a telefont használó magánszemély és ismerősei adatait kezelik különböző szolgáltatások biztosításával, már meg kell felelniük a rendelet előírásainak. Azok a cégek tehát, amelyek a közösségi hálózatokat, applikációkat működtetik, értelemszerűen nem hivatkozhatnak a magáncélú adatkezeléssel kapcsolatos kivételre [GDPR (18) preambulumbekezdés].

3.3.3. A tárgyi hatály alóli kivételek: bűnüldözési célú adatkezelések

A GDPR előírásai nem alkalmazandóak a személyes adatoknak az illetékes hatóságok által bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett adatkezeléseire, valamint a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése céljából végzett adatkezeléseire sem. A közhatalmi szervek ezen célokból végzett személyes adatkezelését a külön erre vonatkozóan elfogadott bűnügyi adatvédelmi irányelv szabályozza. Az irányelv szabályait a tagállami jogalkotónak a nemzeti jogba kell átültetnie, azok főszabály szerint közvetlenül nem alkalmazandóak és nem hatályosak. Magyarországon a jogalkotó a bűnügyi adatvédelmi irányelv szabályait az Infotv.-be ültette át.

A tagállamok az irányelv szerinti illetékes hatóságokat megbízhatják olyan egyéb feladatokkal is, amelyek nem feltétlenül a bűncselekmények megelőzéséhez, nyomozásához, felderítéséhez, a vádeljárás lefolytatásához vagy büntetőjogi szankciók végrehajtásához, illetve nem a közbiztonságot fenyegető veszélyekkel szembeni védelemhez és e veszélyek megelőzéséhez kapcsolódnak. Ebben az esetben a személyes adatoknak az említett egyéb célokból történő, az uniós jog hatálya alá tartozó kezelésére már a GDPR előírásait kell alkalmazni [GDPR (19) preambulumbekezdés].

Magyarországon erre tipikus példákat a Nemzeti Adó- és Vámhivatal (NAV) által lefolytatott különböző eljárásokban találunk. A NAV ugyanis bizonyos bűncselekmények esetén a büntetőeljárási törvény előírásai szerint nyomozóhatósági hatáskörrel rendelkezik, azonban ezenkívül általános adó- és vámigazgatási feladatokat is ellát. A NAV által nyomozóhatósági hatáskörben ellátott feladatokra a személyes adatok kezelése szempontjából ezért a bűnügyi adatvédelmi irányelv átültetése kapcsán harmonizált nemzeti jogszabályokat kell alkalmazni, míg minden egyéb (nem bűnüldözési célú) adatkezelésére viszont a GDPR alkalmazandó. A NAV-on kívül a rendőrség is rendelkezik olyan hatáskörökkel, amelyeket nem bűnüldözési célból végez, ilyenre példa lehet az egyes személy- és vagyonvédelmi szervezetek feletti felügyeleti jogkör.

A bűnügyi adatvédelmi irányelvről és annak előírásairól részletesen lásd jelen kiadvány külön erről szóló későbbi fejezetét (lásd → 15.).

3.3.4. A tárgyi hatály alóli kivételek: nemzetbiztonsági és a közös kül- és biztonságpolitikával kapcsolatos adatkezelések

A GDPR nem vonatkozik az alapvető jogok és szabadságok olyan tevékenységekkel kapcsolatos védelmére, illetve a személyes adatok olyan tevékenységekkel kapcsolatos szabad áramlására, amelyek az uniós jog hatályán kívül esnek. Ilyen tevékenységre preambulumában a GDPR is hoz példát a nemzetbiztonsággal kapcsolatos tevékenységek formájában. A rendelet e helyütt kimondja továbbá azt is, hogy nem tartozik a hatálya alá a tagállamok által olyan tevékenységek keretében végzett személyes adatok kezelése sem, amelyeket a tagállamok az Unió közös kül- és biztonságpolitikájával összefüggésben végeznek. Az uniós rendelet előírásait tehát ezen két terület adatkezeléseire nem kell alkalmazni [GDPR (16) preambulumbekezdés].

3.4. Bírósági adatkezelések

A GDPR a bíróságok és más igazságügyi hatóságok adatkezeléseivel kapcsolatban általánosságban annyit mond ki, hogy az előírásait ezen adatkezelők tevékenységeire is alkalmazni kell. Kivételszabályként fogalmazza viszont meg, hogy az uniós, illetve a tagállami jog a személyes adatok kezelésével összefüggésben ezen adatkezelők által végzett műveleteket és eljárásokat pontosabban meghatározhatja.

A rendelet tartalmaz továbbá a bírósági adatkezelésekkel kapcsolatban egy elég konkrét megszorítást az adatvédelmi felügyeleti hatóságok ellenőrzési jogkörével kapcsolatban. Eszerint az adatvédelmi felügyeleti hatóságok ellenőrzési hatásköre nem terjedhet ki a személyes adatok olyan kezelésére, amelyet a bíróságok igazságszolgáltatási feladatkörükben eljárva végeznek. A rendelet szerint erre azért van szükség, hogy az igazságszolgáltatási feladataik ellátása során biztosítva legyen a bírói kar függetlensége. A bírósági adatkezelések felügyeletével kapcsolatban viszont előírja a rendelet, hogy a tagállamok igazságügyi rendszerén belül egyfajta szakosított szervek létrehozását kell lehetővé tenni. Ennek a szakosított szervnek a feladata, hogy biztosítsa a GDPR-ban foglalt szabályoknak való megfelelést, növelje a bírói kar tudatosságát a rendelet szerinti kötelezettségeik tekintetében, és kezelje az említett adatkezelési tevékenységgel kapcsolatos panaszokat [GDPR (20) preambulumbekezdés].

A fentiek alapján tehát a bíróságok által végzett adatkezelési tevékenységekre ugyanúgy alkalmazni kell a rendelet előírásait, mint bármely más adatkezelő esetén, azonban a tagállami adatvédelmi hatóságok a bíróságok igazságszolgáltatási tevékenysége tekintetében nem rendelkeznek felügyeleti jogkörrel. A bíróságok nem igazságszolgáltatási tevékenységével kapcsolatban viszont a felügyeleti hatóságok ugyanúgy eljárhatnak, mint bármelyik más adatkezelővel szemben. Az adott tagállam adatvédelmi hatósága így nem vizsgálhatja azt például, hogy egy polgári peres vagy büntetőeljárásban valamely bizonyíték (például tanúvallomás) és az azzal összefüggésben kezelt személyes adatok kezelése jogszerű-e, szükséges-e az eljárás lefolytatása céljából, mivel e kérdés megítélése a bíróság igazságszolgáltatási tevékenységével függ össze. Az érintettek ilyen jellegű, adatvédelmi jogi kérdéseket is felvető panaszaikkal a tagállam bírósági szervezetrendszerén belül működő szakosított szervhez (Magyarországon az Országos Bírósági Hivatalhoz) fordulhatnak. Az adatvédelmi hatóság azonban például minden további nélkül vizsgálhatja azt a kérdést, hogy a bíróság belső levelezőrendszere vagy más információmegosztó felületei és ezen keresztül végzett adatkezelése megfelel-e általánosságban a GDPR előírásainak.

3.5. A GDPR területi hatálya

3.5.1. Az EU-ban tevékenységi hellyel rendelkező adatkezelők és adatfeldolgozók

3.5.1.1. A tevékenységi hely fogalma

A területi hatályra vonatkozó előírások szerint „a GDPR előírásait kell alkalmazni a személyes adatoknak az Unióban tevékenységi hellyel rendelkező adatkezelők vagy adatfeldolgozók tevékenységeivel összefüggésben végzett kezelésére, függetlenül attól, hogy az adatkezelés az Unió területén történik vagy sem” [GDPR 3. cikk (1) bekezdés].

Az Unió területén tevékenységi hellyel rendelkező adatkezelő vagy adatfeldolgozó a tevékenységi helyére vonatkozó bármely adatkezelést a GDPR-ral összhangban kell, hogy végezze. Ebből a szempontból nincs annak jelentősége, hogy maga az adatkezelés az Unió területén történik-e. Amíg tehát az adatkezelés az uniós tevékenységi helyen végzett magatartásokra, műveletekre vonatkozik, úgy annak meg kell felelnie a GDPR előírásainak.

A GDPR 4. cikk 16. pontja ugyan meghatározza a tevékenységi központ fogalmát, azonban a területi hatályra vonatkozó értelemben a tevékenységi hely fogalmával adós marad. A GDPR preambulumában találkozhatunk a tevékenységi helyre vonatkozó előírásokkal, amely alapján „a tevékenységi hely valamely tevékenység tényleges és valós, tartós jelleget biztosító keretek közötti gyakorlását feltételezi. E keretek jogi formája – legyen szó akár fióktelepről vagy jogi személyiséggel rendelkező leányvállalatról – e tekintetben nem meghatározó tényező” [GDPR (22) preambulumbekezdés]. Ez a megfogalmazás nagyrészt megegyezik a korábbi adatvédelmi irányelv (19) preambulumbekezdésének előírásaival a letelepedés fogalmára vonatkozóan.

Az Unióban tevékenységi hellyel rendelkező adatkezelők vagy adatfeldolgozók tevékenységeivel összefüggésben végzett adatkezelése az általános adatvédelmi rendelet hatálya alá tartozik, függetlenül annak az érintettnek a helyétől és állampolgárságától, akinek a személyes adatait kezelik. Az adatkezelő vagy adatfeldolgozó nem hivatkozhat tehát arra, hogy kizárólag harmadik országbeli állampolgárok adatait kezeli, kizárólag őket célozza áruk vagy szolgáltatások nyújtásával és az ő viselkedésüket figyeli meg, ha egyébként az Unió területen rendelkezik tevékenységi hellyel és az adatkezelést itt végzi [GDPR (14) preambulumbekezdés].

A fentiekre az alábbi példát hozza az Európai Adatvédelmi Testület vonatkozó iránymutatása: Egy francia vállalat közös gépkocsihasználati alkalmazást fejlesztett kizárólag marokkói, algériai és tunéziai ügyfelek részére. A szolgáltatás kizárólag ebben a három országban vehető igénybe, de minden személyesadat-kezelési tevékenységet a franciaországi adatkezelő végez. A személyes adatokat nem uniós országokban gyűjtik, ez esetben a személyes adatok kezelését viszont az adatkezelő Unión belüli tevékenységi helyén folytatott tevékenységekkel összefüggésben végzik. Tehát az adatkezelés ugyan Unión kívüli érintettek személyes adataihoz kapcsolódik, a 3. cikk (1) bekezdése szerint mégis az általános adatvédelmi rendelet rendelkezései vonatkoznak a francia vállalat által végzett adatkezelésre [3/2018. számú iránymutatás a rendelet területi hatályáról, 10.].

3.5.1.2. Az adatkezelő vagy adatfeldolgozó tevékenységével összefüggő adatkezelés

A GDPR 3. cikk (1) bekezdése azt is kimondja, hogy az adatkezelést nem feltétlenül kell az Uniós tevékenységi helyen (annak a területén) végezni, hanem elég, ha az adatkezelést az adatkezelők vagy adatfeldolgozók „tevékenységeivel összefüggésben” végzik. A „tevékenységeivel összefüggésben” kritériumot az adatkezelő által végzett konkrét adatkezelési tevékenységek elemzése kapcsán lehet vizsgálni. A területi hatály további értelmezésével kapcsolatban ezért a továbbiakban áttekintjük a vonatkozó uniós munkacsoporti és testületi ajánlások idevágó rendelkezéseit.

A 95/46/EK irányelv 29. cikkével létrehozott 29-es Adatvédelmi Munkacsoport (a továbbiakban: Adatvédelmi Munkacsoport) szerint az adatkezelő fogalmának meghatározása kiemelkedő szerephez jut annak eldöntésében, hogy az adott adatkezelésre vagy az adatokon végzett egyes műveletekre melyik állam nemzeti joga lesz alkalmazandó. Az „adatkezelő” és az „adatfeldolgozó” fogalmáról szóló 1/2010. számú véleményében (WP 169) az Adatvédelmi Munkacsoport kifejti: „Az adatkezelő minőség elsősorban annak a ténybeli körülménynek a következménye, hogy egy jogalany úgy döntött, hogy a saját céljaira személyes adatokat dolgoz fel. Az alkalmazandó jogra vonatkozó főszabály az, hogy minden állam a nemzeti rendelkezéseit alkalmazza, amennyiben az adatkezelést az állam területén az adatkezelő egy szervezete tevékenységeinek keretében végzik” (WP 169).

Az Adatvédelmi Munkacsoport által elfogadott, az alkalmazandó jogról szóló 8/2010. számú vélemény (WP 179) szerint az alkalmazandó jog meghatározása szempontjából a „tevékenységeinek keretében” fogalma a döntő, nem pedig az, ahol a személyes adatokat tárolják. E kifejezés fogalma nem azt jelenti, hogy az alkalmazandó jog annak az államnak joga, ahol az adatkezelő letelepedett, hanem ahol az adatkezelő egy szervezete az adatfeldolgozáshoz kapcsolódó, azzal összefüggő tevékenységekben vesz részt (lásd a NAIH/2016/3274/8/H. számú határozathoz fűzött indokolás 15. oldalát).

A fentiek alapján tehát, ha az adatkezelő (vagy valamely szervezete) az adatkezeléséhez kapcsolódó, azzal összefüggő tevékenységekben az Unióban tartózkodó érintettek személyes adatait kezeli vagy dolgozza fel, úgy meg kell felelnie a GDPR előírásainak. Nincs jelentősége annak a tényezőnek sem, hogy az adatkezelő ezt a tevékenységet milyen jogi formában gyakorolja. Így például a GDPR előírásainak ugyanúgy meg kell felelnie egy az Unió területén tartózkodó érintettektől adatokat gyűjtő, „utazó ügynöki” tevékenységet végző egyéni vállalkozónak, mint annak a cégnek, aki kizárólag a bejegyzett székhelyén végez adatkezelést.

Az, hogy az adatkezelésért felelős, Unión kívüli jogalanynak nincs fióktelepe vagy leányvállalata valamely uniós tagállamban, nem zárja ki, hogy ott az uniós adatvédelmi jog értelmében tevékenységi hellyel rendelkezzen.

Erre hozza az alábbi példát az Európai Adatvédelmi Testület vonatkozó iránymutatása: Egy kínai székhelyű vállalat e-kereskedelmi honlapot üzemeltet. A vállalat adatkezelési tevékenységeit kizárólag Kínában végzik. A kínai vállalat európai irodát hozott létre Berlinben, hogy az uniós piacokra irányuló kereskedelmi kutatási és marketingkampányokat irányítson és hajtson végre. Ebben az esetben tekinthető úgy, hogy a Berlinben lévő európai irodában folytatott tevékenységek elválaszthatatlanul kapcsolódnak a kínai e-kereskedelmi honlap által végzett adatkezeléshez, amennyiben az uniós piacokra irányuló kereskedelmi kutatási és marketingkampányok mindenekelőtt azt a célt szolgálják, hogy nyereségessé tegyék az e-kereskedelmi honlap által kínált szolgáltatást. A kínai vállalat által az Unión belüli értékesítéssel összefüggésben végzett adatkezelés valóban elválaszthatatlanul kapcsolódik a Berlinben lévő európai irodában az uniós piacokra irányuló kereskedelmi kutatási és marketingkampányok kapcsán folyatott tevékenységekhez. Következésképpen úgy tekinthető, hogy a kínai vállalat az Unión belüli értékesítéssel kapcsolatos személyes adatok kezelését az európai irodában, mint Unión belüli tevékenységi helyen folytatott tevékenységekkel összefüggésben végzi. A kínai vállalat ezen adatkezelési tevékenysége ezért a 3. cikk (1) bekezdése szerint az általános adatvédelmi rendelet rendelkezéseinek hatálya alá tartozik. Az iránymutatás ezt egyfajta EU-n belüli „üzleti jelenlétnek” nevezi, ami önmagában megalapozza azt, hogy tevékenységi hellyel rendelkező adatkezelőnek minősüljön a GDPR alapján [3/2018. számú iránymutatás a rendelet területi hatályáról, 9–10.].

3.5.2. Az EU-ban tevékenységi hellyel nem rendelkező adatkezelők és adatfeldolgozók

3.5.2.1. A megcélzás fogalmának értelmezése

A GDPR az Unióban tevékenységi hellyel nem rendelkező adatkezelőkre is kiterjeszti a hatályát bizonyos esetekben. A vonatkozó szöveg alapján a „GDPR előírásait kell alkalmazni az Unióban tartózkodó érintettek személyes adatainak az Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó által végzett kezelésére, abban az esetben, ha az adatkezelési tevékenységek áruknak vagy szolgáltatásoknak az Unióban tartózkodó érintettek számára történő nyújtásához kapcsolódnak” [GDPR 3. cikk (2) bekezdés a) pont].

A fenti előírások biztosítják, hogy az Unióban tartózkodó természetes személyeket ne lehessen megfosztani a GDPR által biztosított jogoktól, akkor sem, ha esetleg az adatkezelő vagy az adatfeldolgozó nem rendelkezik tevékenységi hellyel az Unióban. Ha tehát az adatkezelési tevékenységek termékeknek vagy szolgáltatásoknak az érintettek részére történő nyújtásához kapcsolódnak, az Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó az Unióban tartózkodó érintettek személyes adatait csak a GDPR előírásainak betartásával kezelheti. Ez a követelmény független attól, hogy a szolgáltatáshoz társul-e bármilyen kifizetés, vagy esetleg azt ingyenesen is igénybe lehet venni.

Az EDPB vonatkozó véleménye a GDPR ezen előírását az ún. „megcélzás” kritériumának nevezi. A megcélzás kritériumának alkalmazhatósága nagyrészt arra összpontosít, hogy az „adatkezelési tevékenységek” mihez „kapcsolódnak”, amit eseti alapon kell vizsgálni. A megcélzás kritériumának alkalmazására vonatkozó feltételek értékelése során az EDPB ezért kettős megközelítést javasol: előbb azt kell megállapítani, hogy az adatkezelés az Unióban tartózkodó érintettek személyes adataihoz kapcsolódik-e, majd azt, hogy az adatkezelés áruk vagy szolgáltatások nyújtásához, vagy az érintettek Unión belüli viselkedésének megfigyeléséhez kapcsolódik-e [3/2018. számú iránymutatás a rendelet területi hatályáról, 15–16.].

A GDPR ad némi támpontot annak megállapítása érdekében, hogy az adatkezelő vagy adatfeldolgozó kínál-e termékeket és szolgáltatásokat az Unió területén lévő érintetteknek, tehát őket célozza-e meg az adatkezelése. Ezek szerint először meg kell bizonyosodni arról, hogy nyilvánvaló-e, hogy az adatkezelő vagy adatfeldolgozó az Unió egy vagy több tagállamában az érintettek számára szolgáltatásokat tervez nyújtani. A rendelet szerint nem tekintendő e szándék nyilvánvaló jelének az a puszta tény, hogy az adatkezelő, adatfeldolgozó vagy valamely közvetítő honlapja, e-mail címe vagy más elérhetősége hozzáférhető az Unió területén. Ha viszont például az adatkezelő olyan nyelvet vagy pénznemet használ, amely egy vagy több Európai Uniós tagállamban is általánosan használatos, és így lehetőséget biztosít termékeknek és szolgáltatásoknak az ezen a nyelven történő megrendelésére, vagy az Unióban tartózkodó fogyasztókra vagy felhasználókra tesz utalást, az egyértelműen jelezheti, hogy az adatkezelő az Unió területén tartózkodó érintetteknek termékeket vagy szolgáltatásokat szándékozik kínálni [GDPR (23) preambulumbekezdés].

A megcélzás értelmezése (a letelepedés fogalmával összefüggésben) az Uniós adatvédelmi jogban már a GDPR hatálybalépése előtt előkerült az EUB esetjogában. Az EUB 2015. október 1. napján kelt C–230/14. számú ítéletében (ECLI:EU:C:2015:639, a továbbiakban: Weltimmo-ítélet) a letelepedés fogalmát a 2014. május 13-i Google Spain és Google ítélethez képest (C–131/12, ECLI:EU:C:2014:317, a továbbiakban: Google Spain ítélet) is kiterjesztőbben értelmezte. Az EUB a Weltimmo-ítéletben úgy határozott, hogy a korábbi adatvédelmi irányelv 4. cikk (1) bekezdésének a) pontját úgy kell értelmezni, hogy „az lehetővé teszi az attól eltérő tagállam személyes adatok védelmére vonatkozó szabályozásának alkalmazását, mint ahol ezen adatok kezelője be van jegyezve, amennyiben ezen adatkezelő tartós jelleggel olyan, akár csekély mértékű valós és tényleges tevékenységet folytat e tagállam területén, amelynek keretében az adatkezelésre sor kerül.”

Az EUB szerint általánosságban az eljáró felügyeleti hatóság a joghatóság kérdésében figyelembe veheti azt, hogy az adatkezelő azon tevékenysége, amelynek keretében a szóban forgó adatkezelést végzi, az ezen tagállam állampolgárainak címzett, e tagállam nyelvén megfogalmazott szolgáltatást kínáló weboldal üzemeltetésében áll, és e tevékenység következtében főként vagy teljes mértékben az említett tagállamra irányul. A konkrét ügyben az EUB ítélete kimondta, hogy a felperes (az EUB előtti ügyben a Weltimmo S. R. O.) tényleges gazdasági tevékenységet nem folytatott abban a tagállamban (az EUB előtti ügyben ez Szlovákia volt), ahol bejegyzett székhellyel rendelkezett. Követelései behajtása tekintetében viszont bankszámlát nyitott és postafiókcímmel is rendelkezett Magyarországon, ahonnan a postát rendszeresen felvették és elektronikus úton továbbították számára, továbbá ügyvezetője magyar állampolgár, magyarországi érvényes lakcímmel, szolgáltatását kínáló honlapja pedig magyar nyelven, magyarországi ingatlanok tekintetében kínált ingatlanközvetítői szolgáltatást (lásd a NAIH/2016/3274/8/H. számú határozathoz fűzött indokolás 9. oldalát). Az EUB fenti ítélete alapján a magyar adatvédelmi hatóság eljárási joghatóságát megalapozza, ha a vizsgált adatkezelő tartós jelleggel olyan, (akár csekély mértékű) valós és tényleges tevékenységet folytat Magyarország területére irányítva, amelynek keretében személyes adatok kezelésére sor kerül.

Az EUB ebben az ítéletében tehát megállapította, hogy az Európai Unió más tagállamában bejegyzett székhellyel rendelkező adatkezelőnek Magyarország területére irányuló (internetes) szolgáltatásával kapcsolatos adatkezelések tekintetében a magyar felügyeleti hatóság joghatósággal rendelkezik a vizsgálat lefolytatására. Igaz, ebben az ügyben két Uniós tagállam joghatóságának kérdését vizsgálta az EUB, a döntés következményei azonban a GDPR megcélzás kritériumának szabályozásában is visszaköszönnek.

Az EUB fenti ügyben a területi hatály értelmezésével kapcsolatos álláspontja ezért a GDPR területi hatályának értelmezésére is irányadó. Ezek alapján valamely tevékenység tényleges és valós, tartós jelleget biztosító keretek közötti gyakorlása megvalósulhat az Európai Unió területén, ha a szolgáltatás nagyon szoros, elválaszthatatlan mértékben kapcsolódik az uniós érintettek személyes adatainak kezeléséhez. Az adatkezelők így nem mentesülhetnek a GDPR előírásainak való megfelelés alól, ha a székhelyüket, telephelyüket egy harmadik országban jegyeztetik be, azonban adatkezelési tevékenységük kifejezetten az Európai Unió területére (is) irányul, és az Unió területén tartózkodó adatalanyokat érint.

3.5.2.2. Az Unió területén belül tanúsított viselkedés megfigyelése

A GDPR továbbá azt is előírja, hogy előírásai akkor is alkalmazandók, ha az Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó tevékenységei az érintettek viselkedésének megfigyeléséhez kapcsolódnak, feltéve, hogy az Unió területén belül tanúsított viselkedésükről van szó [GDPR 3. cikk (2) bekezdés b) pont].

A fentiek eldöntése érdekében az érintetti magatartás megfigyelésével kapcsolatban a GDPR két feltételt is kilátásba helyez. Először azt kell megvizsgálni, hogy a természetes személyeket nyomon követik-e az interneten, majd ezt követően azt kell eldönteni, hogy a természetes személy profiljának megalkotását is magában foglaló adatkezelési technikákat alkalmaznak-e. Az ilyen típusú adatkezelésnek abból a célból kell történnie, hogy a profilalkotás eredményeképpen a természetes személyre vonatkozó döntéseket hozzon az adatkezelő, valamint, hogy elemezze, vagy előre jelezze az érintett személy személyes preferenciáit, magatartását vagy beállítottságát [GDPR (24) preambulumbekezdés].

A más jellegű hálózatokon vagy technológiákkal – például viselhető és egyéb intelligens eszközökkel – folytatott, személyes adatok kezelésével járó nyomon követést is figyelembe kell venni annak megállapításához, hogy egy adott adatkezelési tevékenység viselkedés megfigyelésének minősül-e [3/2018. számú iránymutatás a rendelet területi hatályáról, 22.].

Az EDPB vonatkozó iránymutatása a következő példát hozza: Egy, az Amerikai Egyesült Államokban letelepedett kiskereskedelmi tanácsadó cég franciaországi bevásárlóközpontnak nyújt tanácsadást a kiskereskedelmi tér elrendezéséről a vásárlók bevásárlóközponton belüli mozgásának wifi-nyomkövetéssel történő elemzése alapján. A vásárlók bevásárlóközponton belüli mozgásának wifi-nyomkövetéssel történő elemzése az egyének által tanúsított viselkedés megfigyelésének minősül. Ebben az esetben az érintettek az Unión belül tanúsítanak viselkedést, mivel a bevásárlóközpont Franciaországban van. A tanácsadó cég, mint adatkezelő ezért a 3. cikk (2) bekezdés b) pontja szerint az említett adatok kezelése tekintetében az általános adatvédelmi rendelet hatálya alá tartozik [3/2018. számú iránymutatás a rendelet területi hatályáról, 23.].

3.5.2.3. Az adatkezelési tevékenységek szándékosságának követelménye

Fontos kivételszabály, hogy a szolgáltatások nyújtásához kapcsolódó adatkezelési tevékenységekkel összefüggésben a rendelkezés olyan tevékenységekre irányul, amelyek szándékosan, nem pedig akaratlanul vagy véletlenül céloznak meg az Unióban tartózkodó egyéneket. Erre a következő példát hozza a vonatkozó iránymutatás: Egy ausztrál vállalat mobil hír- és videótartalom-szolgáltatást kínál a felhasználók preferenciái és érdeklődési köre alapján. A felhasználók napi vagy heti rendszerességgel értesülhetnek az újdonságokról. A szolgáltatást kizárólag Ausztráliában tartózkodó felhasználóknak kínálják, akiknek az előfizetéskor ausztrál telefonszámot kell megadniuk. A szolgáltatás egyik ausztrál előfizetője Németországba utazik üdülni, és továbbra is használja a szolgáltatást. Az ausztrál előfizető ugyan az Európai Unióban való tartózkodása alatt veszi igénybe a szolgáltatást, a szolgáltatás azonban nem az Unión belüli egyéneket „célozza meg”, hanem kizárólag az Ausztrálián belülieket, így az ausztrál vállalat által végzett ezen adatkezelés nem tartozik a GDPR hatálya alá.

Egy másik példa szerint egy tajvani bank ügyfelei között vannak tajvani lakóhellyel rendelkező, de német állampolgárságú személyek. A bank kizárólag Tajvanon működik, tevékenységei nem irányulnak az uniós piacra. A német ügyfelek személyes adatainak a bank általi kezelése nem tartozik a GDPR hatálya alá [3/2018. számú iránymutatás a rendelet területi hatályáról, 17.].

3.5.2.4. Az Unióban tevékenységi hellyel nem rendelkező adatfeldolgozó

Az Unióban tevékenységi hellyel nem rendelkező adatfeldolgozó esetében annak megállapításához, hogy az általa végzett adatkezelés a 3. cikk (2) bekezdése alapján a GDPR hatálya alá tartozhat-e, meg kell vizsgálni, hogy az adatfeldolgozó adatkezelési tevékenységei „kapcsolódnak”-e az adatkezelő megcélzási tevékenységeihez. Abban az esetben, ha az adatkezelő adatkezelési tevékenységei áruk vagy szolgáltatások nyújtásához, vagy egyének Unión belül tanúsított viselkedésének megfigyeléséhez kapcsolódnak („megcélzás”), akkor az adott adatkezelési tevékenység adatkezelő nevében történő végrehajtására utasított adatfeldolgozó a 3. cikk (2) bekezdésénél fogva a GDPR hatálya alá tartozik az adott adatkezelés tekintetében. Az adatfeldolgozó által folytatott adatkezelési tevékenységek és az adatkezelő által végzett megcélzási tevékenység közötti kapcsolatra kell összpontosítani [3/2018. számú iránymutatás a rendelet területi hatályáról, 23–24.].

Az EDPB a következő példát hozza az adatfeldolgozó tevékenységével kapcsolatban: Egy brazil vállalat élelemiszer-összetevőket és helyi recepteket értékesít az interneten, kínálatát pedig az Unióban tartózkodó személyek számára is hozzáférhetővé teszi azzal, hogy reklámozza ezeket a termékeit, és Franciaországba, Spanyolországba és Portugáliába kínál szállítást. Ezzel összefüggésben a vállalat utasítást ad egy szintén Brazíliában letelepedett adatfeldolgozónak, hogy dolgozzon ki különleges ajánlatokat a franciaországi, spanyolországi és portugáliai vásárlóknak az előző rendeléseik alapján, és végezze el az ehhez kapcsolódó adatkezelést. Az adatkezelő utasítására az adatfeldolgozó által végzett adatkezelési tevékenységek az áruknak az Unióban tartózkodó érintettek számára történő kínálásához kapcsolódnak. Ezenkívül az adatfeldolgozó ezeknek az egyedi ajánlatoknak a kidolgozása révén közvetlenül megfigyeli az Unióban tartózkodó érintetteket. Az adatfeldolgozó által végzett adatkezelés ezért a 3. cikk (2) bekezdése szerint a GDPR hatálya alá tartozik [3/2018. számú iránymutatás a rendelet területi hatályáról, 24.].

3.5.2.5. Uniós képviselő kinevezésének kötelezettsége

További fontos követelmény az EU-ban tevékenységi hellyel nem rendelkező adatkezelőkkel és adatfeldolgozókkal kapcsolatban, hogy kötelesek képviselőt kinevezni az Unióban. A kijelölésnek természetesen az is feltétele, hogy az adatkezelő adatkezelési tevékenységei áruknak vagy szolgáltatásoknak az Unióban tartózkodó érintettek számára történő nyújtásához kapcsolódjanak, vagy az Unió területén tartózkodó érintettek magatartását figyeljék meg. Csak akkor kell tehát az adatkezelőnek képviselőt kijelölnie az EU-ban, ha egyébként a GDPR területi hatályra vonatkozó rendelkezései a 3. cikk (2) bekezdése alapján alkalmazandók rá. Ilyenre lehet példa, ha az adatkezelő székhelye és valamennyi egyéb telephelye harmadik országban (például Szerbia) került bejegyzésre, az általa üzemeltetett webáruházat azonban nemcsak szerb, hanem magyar nyelven is elérhetővé teszi, és lehetőséget biztosít arra, hogy a megrendelt termékek kiszállítását magyarországi címre is kérhetik a felhasználók. A területi hatályra vonatkozó előírások alapján az adatkezelő által nyújtott szolgáltatás így az EU területére is irányul (tehát a megcélzási kritérium teljesül), ezért annak meg kell felelnie a GDPR előírásainak is, így uniós képviselőt is ki kell neveznie.

Az adatkezelőnek vagy az adatfeldolgozónak írásbeli megbízás útján kell kijelölnie a képviselőt arra, hogy nevében a GDPR értelmében fennálló kötelezettségei tekintetében eljárjon. A képviselő kijelölése nem érinti az adatkezelőre, illetve adatfeldolgozóra háruló hatásköröket és felelősséget. A képviselőnek a feladatait az adatkezelőtől vagy az adatfeldolgozótól kapott megbízással összhangban kell ellátnia. A GDPR szerint a megbízás az illetékes felügyeleti hatóságokkal való együttműködés szabályait konkretizáló előírásokat is tartalmazhat. Az ilyen előírások azért is lehetnek hasznosak, mivel a meglétük esetén adott helyzetben egyértelmű lesz, hogy a képviselőt milyen jogok illethetik meg a megbízási jogviszony keretein belül a felügyeleti hatósággal való együttműködés és kommunikáció tekintetében [GDPR (80) preambulumbekezdés].

Az említett írásbeli megbízás tehát az Unióban letelepedett képviselő és az Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó között fennálló kapcsolatokat és kötelezettségeket szabályozza, érintetlenül hagyva az adatkezelő vagy adatfeldolgozó felelősségét. Az Unióban letelepedett képviselő az Unióban tevékenységi hellyel, illetve lakóhellyel rendelkező olyan természetes vagy jogi személy lehet, aki, vagy amely alkalmas az Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó képviseletére a GDPR szerinti kötelezettségeik tekintetében.

A gyakorlatban az uniós képviselő egyénnel vagy szervezettel kötött szolgáltatási szerződés alapján láthatja el feladatkörét, ezért a legkülönfélébb üzleti és nem üzleti célú jogalanyok, egyebek mellett például ügyvédi irodák, tanácsadó cégek és magánvállalkozások tölthetik be ezt a szerepkört, feltéve, hogy rendelkeznek tevékenységi hellyel az Unióban. Egy képviselő több, Unión kívüli adatkezelő és adatfeldolgozó nevében is eljárhat. Amikor a képviselő szerepkörét gazdasági társaság vagy más jellegű szervezet tölti be, ajánlott egyetlen személyt kijelölni fő kapcsolattartóként és az egyes képviselt adatkezelők vagy adatfeldolgozók „felelőseként” [3/2018. számú iránymutatás a rendelet területi hatályáról, 27.].

Az Uniós képviselő feladatai fő szabály szerint nem egyeztethetőek össze az adatvédelmi tisztviselő feladataival. A képviselő valójában az adatkezelő vagy adatfeldolgozó által adott megbízás hatálya alá tartozik, és az ő nevében, tehát a közvetlen utasítása szerint jár el. Az adatvédelmi tisztviselő ehhez képest feladatait független módon látja el [3/2018. számú iránymutatás a rendelet területi hatályáról, 28.].

Az uniós képviselő az általa képviselt adatkezelő vagy adatfeldolgozó nevében jár el az adatkezelő vagy adatfeldolgozó általános adatvédelmi rendelet szerinti kötelezettségei vonatkozásában. Ez főként az érintettek jogainak gyakorlásához kapcsolódó kötelezettségeket jelenti, ezzel összefüggésben pedig a 13. és a 14. cikk szerint közölni kell a képviselő nevét és elérhetőségeit az érintettekkel. Maga a képviselő ugyan nem tartozik felelősséggel az érintettek jogainak biztosításáért, de meg kell könnyítenie az érintettek és az általa képviselt adatkezelő vagy adatfeldolgozó közötti kommunikációt, hogy hatékonyabbá tegye az érintettek jogainak gyakorlását [3/2018. számú iránymutatás a rendelet területi hatályáról, 31.].

Példa Uniós képviselő kijelölésére: Egy, az Unióban sem üzleti jelenléttel, sem tevékenységi hellyel nem rendelkező, a 3. cikk (2) bekezdése szerint az általános adatvédelmi rendelet hatálya alá tartozó indiai gyógyszeripari vállalat belgiumi, luxemburgi és hollandiai vizsgálóhelyek (kórházak) által elvégzendő klinikai vizsgálatokra ad megbízást. A klinikai vizsgálatokban részt vevő betegek többsége Belgiumban tartózkodik. Az indiai gyógyszeripari vállalat, mint adatkezelő uniós képviselőt jelöl ki, amely azon három tagállam egyikében rendelkezik tevékenységi hellyel, ahol a betegek, mint érintettek részt vesznek a klinikai vizsgálatban (Belgium, Luxemburg vagy Hollandia). Mivel a betegek többsége Belgiumban rendelkezik lakóhellyel, ezért ajánlott, hogy a képviselő tevékenységi helye is Belgiumban legyen. Amennyiben ez a helyzet, a belgiumi képviselőnek könnyen elérhetőnek kell lennie a hollandiai és luxemburgi érintettek és felügyeleti hatóságok számára [3/2018. számú iránymutatás a rendelet területi hatályáról, 30.].

3.5.3. A GDPR nemzetközi jog alapján történő alkalmazása az Európai Unió területén kívül

Végül a területi hatállyal kapcsolatban meg kell említeni a GDPR azon előírását a 3. cikk (3) bekezdésében, hogyha a nemzetközi közjog értelmében valamely uniós tagállam jogát kell alkalmazni egy területen, úgy a GDPR előírásait kell alkalmazni az Unióban tevékenységi hellyel nem rendelkező adatkezelőkre is. Így például a GDPR előírásait kell alkalmazni az Európai Unió tagállamai diplomáciai vagy konzuli képviseleteinél megvalósuló adatkezelésekre is, függetlenül attól, hogy a külképviselet mely harmadik országban található [GDPR (25) preambulumbekezdés].

A fentiek alapján a GDPR alkalmazandó az uniós tagállamok Unión kívüli nagykövetségei és konzulátusai által végzett személyes adatok kezelésére. Egy tagállami diplomáciai vagy konzuli képviseletre, mint adatkezelőre vagy adatfeldolgozóra tehát a GDPR összes vonatkozó rendelkezése kiterjed, így többek között az érintett jogait, az adatkezelő és az adatfeldolgozó általános kötelezettségeit, valamint a személyes adatoknak harmadik országokba vagy nemzetközi szervezetek részére történő továbbítását szabályozó rendelkezések is.

Ezen esetkörre vonatkozó példa, ha a jamaicai Kingstonban működő holland konzulátus online pályázati eljárást indít helyi alkalmazottak felvétele céljából, hogy támogassa az adminisztratív feladatainak ellátását. A jamaicai Kingstonban működő holland konzulátus az Unióban nem rendelkezik tevékenységi hellyel, viszont az egyik uniós tagállam konzuli képviselete, ahol a nemzetközi közjog értelmében tagállami jog alkalmazandó, ami a 3. cikk (3) bekezdése szerint szükségessé teszi a GDPR alkalmazását az általa végzett adatkezelésre.

Másik példa, ha egy nemzetközi vizeken közlekedő német üdülőhajó a fedélzeten tartózkodó vendégek adatait kezeli azzal a céllal, hogy utazás közben személyre szabott szórakozási lehetőségeket ajánljon. A hajó ugyan az Unión kívül, nemzetközi vizeken tartózkodik, viszont Németországban lajstromba vett üdülőhajó, tehát a 3. cikk (3) bekezdése szerint a nemzetközi közjog értelmében a GDPR alkalmazandó az általa végzett adatkezelésre [3/2018. számú iránymutatás a rendelet területi hatályáról, 25–26.].

4. Alapfogalmak

Fontos kiindulópont, hogy az alapfogalmak elsődlegesen a magánszféra-védelem kontextusában értelmezendők. Az esetek értékelése során nem lehet elvonatkoztatni attól, hogy a védelem középpontjában a természetes személy áll és a személyes adatok kezelésével kapcsolatos szabályok a polgárok információs önrendelkezési jogának hatékony gyakorlását szolgálják.

A védett magánszféra, a magánélet tág fogalom, amelynek körébe számos jogosultság beletartozik. Ilyen például a személyes és társadalmi kapcsolatok kiépítésének joga, a személyes fejlődéshez való jog, a magánlakás-, a levelezés- és egyéb kommunikáció védelme, az egyén intimszférájának kialakításához való jog és a sort még hosszan lehetne folytatni [Majtényi László (2008): Az információs jogok. In Halmai Gábor – Tóth Gábor Attila (szerk.): Emberi jogok. Osiris Kiadó, Budapest, 2008, 579–580.].

Témánk szempontjából lényeges, hogy ide tartozik a polgárok személyes adatok védelméhez fűződő joga is, ami a digitális forradalom következtében jelentősen átalakult és egyre inkább az adataink feletti ellenőrzés fenntartásához fűződő jogosultságra korlátozódik.

A GDPR az adatvédelemmel kapcsolatos alapfogalmak megszövegezése terén kevés újdonságot hozott, inkább finomított a definíciókon és némileg egyszerűsítette némelyiket. Összegző meghatározásra törekedett például a személyes adat és az adatfeldolgozó körülírásában. Emellett pedig egységes meghatározást kaptak például a biometrikus és a genetikai adatok definíciói.

4.1. Személyes adat

Az adatvédelem alfája és ómegája, a szakterület központi fogalma maga a személyes adat, amely sokféle lehet. A természetes személy nevétől az életviteli szokásait tükröző információkon és az általa használt számítógép IP-címén át a felhasználó ujjlenyomatáig hosszú, és a technológia fejlődésével egyre bővülő a személyes adatok sora.

Az Európai Adatvédelmi Biztos (EDPS) rendszeresen közzéteszi a TechDispatch jelentéseket, amelyek célja a technológia feltörekvő fejleményeinek magyarázata. Ezek a technológiai eredmények kihatnak arra is, hogy személyes adatok körébe milyen új adatok kerülhetnek bele (forrás: https://edps.europa.eu/data-protection/our-work/our-work-by-type/techdispatch_en).

A személyes adatok skálája tehát rendkívül széles: a természetes személyazonosító adatok (név és lakcím, születési hely és idő, anyja neve) mellett minden olyan információ, jellemző is személyes adatnak minősül, amely az érintettel kapcsolatba hozható, mint például a hitelbírálat során a jövedelmi helyzet, egészségügyi vizsgálatok adatai, a választási kampányban a szimpatizánsi adatbázisba felveendő telefonszám, e-mail cím mellett annak ténye is, hogy egy adott pártot a választópolgár nem támogat. Ha az adatok köre pontosan nem definiálható, akkor a jogi elemzéshez szükséges olyan kritériumot meghatározni, amely az adat személyes minőségét illetően eligazítást nyújt. Általánosságban minden olyan információt személyes adatnak tekintünk, amely kötődik az egyénhez, és helyzetét valamilyen módon befolyásolja vagy befolyásolhatja. Az információ tehát, mivel kihat az egyén helyzetére, személyes adat marad.

A személyes adatok körének pontos behatárolása elengedhetetlen az adatkezelés jogszerűségének vizsgálatához. Egyrészt a vonatkozó adatvédelmi követelmények meghatározása, érvényesülésének ellenőrzése kizárólag a kezelt személyes adatok körének felmérése, behatárolása révén lehetséges. Ehhez nyújthat segítséget a data mapping, az adatok, adatbázisok számbavétele egy szervezetnél. Másrészt a személyes adatok kezelésének ténye az adatkezeléssel kapcsolatos – adatkezelői és adatfeldolgozói – felelősség szempontjából is alapvető fontosságú.

A GDPR értelmében személyes adatnak minősül az azonosított vagy azonosítható természetes személyre vonatkozó bármely információ (GDPR 4. cikk 1. pont). Noha a fogalom meglehetősen rövid és lényegre törő, ez nem jelenti azt, hogy szűk körre kellene vonatkoztatni, sőt, az Adatvédelmi Munkacsoport kívánalma a tág értelmezési tartomány felé mutat, amely azonban nem lehet határtalan (WP 136).

4.1.1. A személyes adat fogalmi elemei

A személyes adat definíciójának értékelése során a következő fogalmi elemeket kell megvizsgálni:

– az adat („bármely információ”) formai és tartalmi kritériumai;

– az azonosított vagy azonosítható természetes személy („érintett”);

– az adat és az érintett közötti kapcsolat („vonatkozó”).

4.1.1.1. Az adat

A személyes adat fogalmának meghatározásában szereplő „bármely információ” kifejezés az adatok széles körét foglalja magában. Általánosságban minden olyan információt személyes adatnak tekintünk, amely kötődik az egyénhez, és helyzetét valamilyen módon befolyásolja vagy befolyásolhatja. Az információ tehát, mivel kihat az egyén helyzetére, személyes adatnak minősül. A személyes adatok relációjában két főbb általános csoport különböztethető meg: az érintettre vonatkozó adatok, valamint az adatokból az érintett kontextusában levont következtetések köre.

Az adatalanyra vonatkozó adatok körébe tartozik különösen az érintett neve, azonosító jele, egy vagy több fizikai, fiziológiai, mentális, gazdasági, kulturális vagy szociális azonosságára jellemző ismeret, illetőleg a képmása, hangja és az adatalany azonosítására alkalmas fizikai jellemzők. Alapvető, a közigazgatás aspektusából elkülöníthető, azonosítás célját szolgáló adatkör az érintett neve, anyja neve, születési helye és ideje, amely adatokat gyűjtőnéven természetes személyazonosító adatoknak nevezünk. A személyes adatok köre folyamatosan bővül, változik; függ a technológia fejlődésétől, de a társadalmi berendezkedéstől és annak fejlettségétől is. Személyes adatnak minősülnek az érintettek által használt készülékek, alkalmazások, eszközök és protokollok által rendelkezésre bocsátott online azonosítók (például IP-címek és cookie-azonosítók), valamint az egyéb azonosítók széles köre is (például fesztiválok egyediesített karszalagjai, rádiófrekvenciás azonosító címkék) [GDPR (30) preambulumbekezdés].

Amennyiben az IP-címet a felhasználóhoz köthetően kezelik – így például, ha más adatokkal együttesen a felhasználó az IP-címen keresztül azonosított vagy azonosíthatóvá válik –, akkor az IP-cím is személyes adatnak minősül (NAIH/377/2014).

Másrészt az adatból következő, az érintettre vonatkozó konzekvenciák, értékelések is személyes adatok. Az ilyen, jellemzően logikai művelettel előállított ismereteket azért vonja a szabályozás a védelem körébe, mert számos adatkezelésnek éppen az a célja, hogy a rögzített információkból az érintettel összefüggő olyan következtetéseket vonjon le, amelyek az adatalannyal kapcsolatos döntések alapját képezik. Példaként említhető egy munkahelyi alkalmassági vizsgálat elvégzése, vagy az automatizált döntéshozó rendszerek által az adatok összességéből levont jóváhagyó vagy elutasító döntés a hitelbírálat során.

A személyes adatok körébe beletartoznak az egyén magán- és családi életét érintő, az ún. „privacy” világába tartozó adatok, de a munkahelyi, gazdasági vagy társasági tevékenységét érintő tények vagy értékítéletek is. Egy házassági kötelék felbomlására (válásra) utaló adat ugyanúgy személyes adatnak tekinthető, mint az érintett (munkavállaló) fegyelmi felelősségére vagy teljesítményértékelésére vonatkozó információ. A Charta 8. cikkében a személyes adatok védelméhez fűződő jogot autonóm jogként rögzíti, amely elkülönül és eltér a 7. cikkben említett magánélethez való jogtól, ugyanakkor a védelem fókuszában az adatvédelmi irányelv óta töretlenül a magánélet védelme áll. Az elhatárolás a magánszféra és a nyilvánosság körébe tartozó információk esetében olykor nem egyértelmű, az egyéni vállalkozók esetében néha összeér: mivel az egyéni vállalkozás székhelye egybeesik az egyéni vállalkozó magánlakcímével, a személyes adatok védelme ezen információ tekintetében is megilleti. Más esetekben egy kft. tulajdonlásához kapcsolódó adat nyilvánossága a forgalmi élet biztonságát szolgálja, és a jogi személyhez kapcsolódóan nem vagy csak érintőlegesen képezi védelem tárgyát, a magánszemély vonatkozásában közérdekből nyilvános személyes adatnak minősül.

Az információ természete szempontjából lehet szubjektív vagy objektív, az adat igazságtartalma a fogalomnak nem szükséges kritériuma (WP 136). A személyesadat-jelleg szempontjából tehát nem az információ valóságtartalma a döntő. Személyes adatnak minősül a megkérdőjelezhetetlen tartalmú tényadat, így például a laboreredmény a vérkép vonatkozásában, de egy igazságtartalmát illetően vitatható tartalmú értékítélet is, amely sértheti az érintett személyiségi jogát és sérelemdíj alapját képezheti.

Az információ megjelenésének formája is tetszőleges, lehet numerikus, alfabetikus, grafikus, képi vagy akusztikus. Ily módon tekintjük személyes adatok kezelésének egy munkahelyen a kockás füzetbe vezetett belépési nyilvántartást és a számítógépes adatbázis személyesadat-tartalmát egyaránt. A klasszikusan személyes adatnak minősülő információkon túl igazi, atipikusnak tekinthető személyes adat egy, a gyermek pszichikai sajátosságaira utaló gyerekrajz, illetve a szerzőjét jellemző, ábrázolás alapján a szerző beazonosításra alkalmas graffiti.

A személyes adatok sajátos kategóriáját képezik a biometrikus adatok; ilyennek minősül egy természetes személy testi, fiziológiai vagy viselkedési jellemzőire vonatkozó minden olyan, sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, ilyen például az arckép vagy a daktiloszkópiai adat (GDPR 4. cikk 14. pont).

4.1.1.2. Az adatalany

A személyes adatok védelméhez fűződő jog alanyát érintettnek vagy adatalanynak nevezzük. Érintett bármely olyan meghatározott természetes személy lehet, aki személyes adata alapján azonosított vagy – közvetlenül vagy közvetve – azonosítható. Az adatalany vonatkozásában mindenekelőtt a természetes személy státusz, illetve az azonosíthatóság dilemmája érdemel figyelmet.

Az érintett státusza a speciális jogviszony tükrében kettős lehet, szerepét befolyásolhatja az egyéb jogviszonyból adódó helyzete. A munkaviszonyban munkavállaló, a direktmarketing-üzenetet fogadó pedig vásárló, ügyfél, avagy fogyasztó is egyben. Érintett egy párt támogatója, aki szimpatizánsi listára iratkozott fel, és a névjegyzékbe felvett választópolgár is. Az adatvédelmi értékelés fókuszában érintett a banki ügyfél, aki hitelt vesz fel, a Központi Hitelinformációs Rendszer (a továbbiakban: KHR) nyilvántartásban szereplő adós, az egészségügyi intézményben ellátott beteg, a közterületi kamera látószögébe került járókelő, de a bírósági eljárás alperese, felperese egyaránt.

A személyes adatok védelméhez fűződő jog a személyhez fűződő jogok közé tartozik, ebből következik, hogy személyes adatról főszabály szerint kizárólag élő ember vonatkozásában beszélhetünk. A rendelet hatálya nem terjed ki az olyan személyes adatkezelésre, amely jogi személyekre, illetve amely különösen olyan vállalkozásokra vonatkozik, amelyeket jogi személyként hoztak létre [GDPR (14) preambulumbekezdés]. A méhmagzatokat és – főszabály szerint – az elhunytakat sem illeti meg a személyes adatok védelméhez fűződő jog. Ez nemcsak magából a szabályozásból, hanem e jog személyhez fűződő jellegéből is fakad [a Polgári Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.) 2:43. §