Implementation Project

A

Amint azt az értekezés elején említettük, a kutatás során arra a kérdésre kerestük a választ, hogy a személyes adatok védelmének szintje jogi eszközökkel meghatározható-e, illetve a védelem egyes szintjei definiálhatók-e. Amennyiben erre a kérdésre igenlő válasz adható, úgy mik azok a kritériumok, amelyek alapján az egyes szintek között minőségi különbség tehető? Mi az egyes szintek közötti összehasonlítás alapja? Mindezek fényében milyen lehetőségek adódnak a védelem szintjének alakítására, milyen jogi eszközökkel javítható a védelem minősége? A kutatás a Rendelet kiválasztott szabályainak megértésére, tartalmuk pontos megállapítására és helyes alkalmazásukra irányult.

A

Az értekezésben számos döntésen keresztül vizsgáltuk az Európai Emberi Jogi Bíróság esetjogát. Témánk szempontjából ez azért releváns, mert az EU Alapjogi Chartája szerint a Chartában biztosított jogok tartalmát és terjedelmét azonosnak kell tekinteni azokéval, amelyek az Egyezményben szerepelnek. Ilyen értelemben a strasbourgi esetjog minimum védelemként értelmezhető.

A

Az értekezés tudományos eredménye a felvetett kérdésekre válaszolva egy olyan szempontrendszer, a védelmi lépcső elméletének megalapozása, amely a védelem szintjének elemzése során jogi értelemben is megragadható szempontokat nyújt.

A védelmi lépcsőn álláspontunk szerint nem szükséges sok fokozat azonosítása. A lépcső elméletében egy felfelé végtelenbe mutató, lineáris lépcsőt képzelünk el, amely a védelem javulásának és alkalmazkodásának kifogyhatatlan lehetőségét jeleníti meg a jövőben. Egzakt módon sem a lefelé, sem a felfelé vezető fokok nem határozhatók meg nagy számban, három szint meghatározása azonban elengedhetetlen. Az első az a fokozat, amelyen a védelem szintje jelenleg megragadható. A második az, amelyikről a jelenlegi szintre felfelé, vagy éppen lefelé lépett a védelem. A harmadik szint pedig a kívánatos, előrelépésnek tekinthető védelem szintje. Szükséges, hogy a két fok között a különbséget egyértelműen meg tudjuk határozni.

189

A

Az értekezésben részletesen áttekintettük azokat a komponenseket, amelyekből a védelem rendszere áll. Ezt követően azonosítottuk azokat a minőségi különbségeket, amelyek az egyes fokok között húzódnak. Miben áll a minőségi különbség két fokozat között?

E tekintetben, amint azt fentebb elemeztük, számos tényező jöhet szóba. A minőségi javulás indikátora lehet, ha az érintett jogai bővülnek, vagy a jogok változatlan katalógusa mellett is javul a jogérvényesítés lehetősége. Amikor az érintett számára elérhető információk köre bővül, vagy a szabályozás e tekintetben világosabb követelményeket határoz meg, szintén minőségi javulást eredményez.

Az előrelépés jellemzője, hogy az adatkezelőket az adatkezelés kapcsán terhelő kötelezettségek az alkalmazott technológia és az üzleti modellek fényében fejlődnek. Az adatvédelmi hatóságok mozgástere, feladat- és hatásköre szintén minőségi jellemzője a védelem szintjének. A hatóságok feladatainak, hatásköreinek bővülését önmagában is minőségi változásnak tekintjük annak megjegyzése mellett, hogy a hatóságok hatékony működése jeleníti meg a kedvező eredményt a védelmi lépcső tükrében.

A minőségi előrelépés megmutatkozhat a jog hatékonyságában is. Az adatvédelmi jog hatékonyságának jogi fokmérője, hogy a magánszféra védelme erősödik, fejlődik. Amennyiben ez megvalósul, úgy a védelmi lépcsőn előrelépés történik.

A minőségi fejlődés fontos fokmérője, hogy az adott változás képes-e hozzájárulni az adatvédelmi kultúra kialakulásához, illetve fejlődéséhez.

A

Az adatvédelmi tisztviselő – Le Métayer szemléletes elemzését alapul véve – az egyén, a jogi szakma, az informatikai szakma és a piaci szereplők mindegyikéhez közel áll szerepéből adódóan. Tevékenysége során a magánszférát érintő kockázatokat figyelembe veszi, a kockázatok alapján határozza meg munkájának prioritásait.

190

Az adatvédelmi tisztviselői intézmény meghonosítása jelentős előrelépést jelent a védelem terén. A statikus védelmi komponensek között határoztuk meg, amelynek esetében leginkább a létrehozatal előtti és az azt követő szintet különböztetjük meg. Ez nem zárja ki annak lehetőségét, hogy a már létező szabályozást és működést továbbfejlesszük, és a védelmi lépcső fényében meghatározzuk az előrelépés lehetőségeit. Az értekezésben ezt is elemeztük, és konkrét javaslatokat fogalmaztunk meg.

Álláspontunk szerint az adatvédelmi tisztviselői pozíciót tovább kell erősíteni, professzionalizálni szükséges, és egy sokkal kötöttebb rendben kell helyüket elfoglalni az adatkezelő szervezeten belül. Bár a jogalkotás álláspontunk szerint ebbe az irányba mutat, határozottabb lépésekre van szükség, és a rendeleti szabályokat egy ilyen jellegű módosításnak kell követnie minél hamarabb.

Az Európai Adatvédelmi Testülethez telepítendő kvázi végrehajtási rendeleti szabályozás révén bővíthető a kinevezési kötelezettség alá eső adatkezelők köre. A védelem erősítése akkor várható, ha annak személyi, intézményi, eljárási feltételei adottak.

Ami a személyi feltételeket illeti, a tisztviselő végzettségét előzetesen nem tartjuk vizsgálandónak, azonban egy uniós akkreditációjú vizsga előírása fontos garanciaként szolgálhatna. A vizsgán túl valamilyen kamarai tagságot is előírhatónak tartunk. A személyes rendelkezésre állás az előírt vizsga és a kamarai tagság révén erősíthető. Ezt szükségesnek tartjuk annak érdekében, hogy a tisztviselői munkáért vállalt felelősség ne váljon szétporlaszthatóvá.

Követendőnek tartjuk az Európai Unióban működő adatvédelmi tisztviselők munkajogi védelmére vonatkozó rezsimet, nevezetesen, hogy a tisztviselő csupán akkor bocsátható el állásából idő előtt, amennyiben azt az adatvédelmi felügyeleti hatóság is jóváhagyja. Ennek minden adatvédelmi tisztviselőre való kiterjesztése elősegítené a független működést. Ez a pótlólagos védelem kiegészíthető a határozott idejű kinevezéssel, amely elejét veheti egy rosszul működő munkahelyi közeg határozatlan idejű fenntartásának. Javaslatunk szerint, amennyiben a tisztviselőt foglalkoztató adatkezelő szervezet új adatkezelést kíván bevezetni, és ezt a tisztviselő ellenzi, úgy azt be kell jelenteni az adatvédelmi hatóságnak. Olyan mélységű ellenőrzést jelentene ez, amelyre az adatvédelmi hatóságok a jelenlegi modell szerint képtelenek lennének.

191

Szükséges az új tisztviselői szerep a leírt védelmi deficit ellensúlyozására. Az adatkezelők oldalán fennálló transzparencia hiányt fel kell számolni, és ennek hathatós eszköze lenne a konfliktus-bejelentési kötelezettség. A bejelentés önmagában nem járna hatósági ellenőrzési kötelezettséggel a hatóság oldalán, azonban abban a helyzetben lenne a hatóság, hogy maga mérlegelje, van-e teendője a bejelentett konfliktussal összefüggésben.

Ez az új rezsim jelentős változást eredményezne az adatkezelő és a tisztviselő együttműködésében. A tisztviselő a védelmi deficit ellensúlyozására hivatott, ennek megfelelően pozíciója erőteljes reformra szorul a közeli jövőben. Ennek lehetséges modelljét vázoltuk fel az értekezésben.

A

A Rendelet a hatóságok számára egyenrangú feladatokat határoz meg, ezek között viszont kiemelt szerep jut az érintetti panaszok kezelésének. A Rendelet nevesíti is azt, hogy az érintett jogosult a felügyeleti hatósághoz panasszal fordulni. A felügyeleti hatóságok által e körben ellátott feladatok mennyisége tehát nagymértékben függ a beérkező panaszok számától. A panasztételhez való jog erős jogosultsága az érintettnek.

Egyik oldalon a panasztételhez való jog erős jogosultság, másik oldalon pedig annak jele, hogy a Rendelet nem megfelelően érvényesül. E két jelenség kéz a kézben jár egymással. Értekezésünkben azt állítottuk, hogy a jogalkotói cél a minél kevesebb jogsértés, ebből következően pedig a panaszok száma ideális esetben alacsony. Felmerül a kérdés: milyen módon lehetne elérni azt az állapotot, hogy a panaszok száma csökkenjen, és ez együtt járjon az adatvédelmi jog hatékonyságának javulásával?

A hatékony feladatellátás kapcsán javasoltuk a panaszokat megelőző stratégiát. Ha a hatóság nem a panaszokat követő, hanem a panaszokat megelőző stratégiát követ, sokkal nagyobb hangsúly jut az utóbbi feladatoknak.

A koncentrált adatkezeléssel és sok konfliktushelyzetet magában hordozó jogviszonyokra összpontosítva a hatóságoknak javasolt lenne olyan programokat indítani, amelynek célja az adatkezelő kezébe megfelelést könnyítő eszközöket adni. Az adatkezelők, illetve adatkezelők szövetségei, érdekképviseleti szervei ilyen módon a hatósággal partnerségben alakíthatnák adatkezeléseiket, szabályzataikat, belső eljárásrendjüket. A

192

magánszférát érintő megfontolásokon túlmutató érvek is felhozhatók e modell mellett, hiszen társadalmi szinten sokkal gazdaságosabb egy ilyen rendszer fenntartása. A jelenleginél hatékonyabb modell lenne ez, amely a védelmi lépcsőn is mérhető előnyökkel járna.

Az adatalanyok oldalán ez a modell azt ígéri, hogy az adatkezelők nagyobb eséllyel fognak nem csak jogkövető, hanem jogi kérdésekben tájékozott módon eljárni. Professzionálisabb adatkezelői eljárás és az érintetti jogok érvényesítése nem választható el egymástól. Az adatkezelő oldalán a jogbiztonság erősödik, és a modell a hatóságok számára azért jelentene könnyebbséget, mert jól kalkulálhatóan – egy bizonyos átmeneti időszak után – csökkenne a panaszok száma. Egyszerűen azért, mert a tipikus konfliktusos helyzetekben az adatkezelők megnyugtató válaszokat tudnának adni mind a munkavállalóiknak, mind a többi érintettnek.

Az új modell kedvező hatása a költségek csökkenésében is mérhető, továbbá a magánszféra körében megvalósuló jogsértések számának csökkenésében is megragadható. A jog hatékonyságának körében tett kitérőnk alapján ez az érdemi értéke és többlete az új modellnek.

A

A felügyeleti hatóságok hatáskörének rendeleti szintű rögzítése jelentős mértékű egységesítést hozott magával. A tagállami jogalkotó helyett az uniós jogalkotó határozta meg a pontos és tételes hatásköri katalógust.

A védelmi lépcső alapul vételével arra jutottunk, hogy önmagában az, hogy az adatvédelmi hatóságok hatásköre szélesedik, olyan mozgástér-többletet hoz, amelyet a védelem szempontjából minőségi előrelépésként értékelünk. Az irányelvi szabályozással összevetve a minőségi előrelépés abban ragadható meg, hogy a Rendelet az új hatáskörök révén gyakorlatilag minden olyan életviszonyba beavatkozási lehetőséget biztosít a hatóságok számára, amely a magánszféra védelmét érintheti.

A védelmi lépcső elmélet fényében minőségi javulásként tartjuk számon, hogy a hatóságok bővülő hatásköre révén javul a jogérvényesítés lehetősége. Szintén minőségi előrelépést jelent a hatáskörök tekintetében az, hogy a hatósági mozgástér bővülése világosabb szabályozási környezetet eredményez, ennek révén az adatkezelők oldalán is

193

egyértelmű, hogy milyen esetekben kerülhet sor hatósági beavatkozásra. A Rendelet új hatásköri szabályai a védelmi lépcsőn minőségi előrelépésként értékelendők, az irányelvvel való összehasonlítás, valamint a védelmi lépcső által elvárt minőségi jellemzőkkel való összevetés is ezt mutatja. A védelmi lépcső két fokát ilyen módon meg tudtuk határozni, az első a Rendeletet megelőző időszakot jellemezte, míg a második szintet maga a Rendelet jeleníti meg.

Milyen módon lehetne a védelmi lépcső következő szintjét meghatározni? Álláspontunk szerint a hatáskörök rendszeres felülvizsgálata és karbantartása szükségszerűen fogja a jelenlegi védelmi szintet legalábbis fenntartani, vagy újabb szintváltást nem eredményező módon megőrizni.

A meglévő különbségek a tagállami közigazgatási eljárási szabályok között több kérdést is felvet. A Rendelet hiányosságának tartjuk, hogy az anyagi jogi szabályok mellett nagyon kevés a harmonizált eljárásjogi követelmény. A Rendelet hatékony érvényesítését rábízza a tagállami jogalkotóra akkor, amikor minimális eljárási szabályokat sem épít bele a kikényszerítés szabályrendszerébe.

A védelmi lépcsőn az jelent majd előrelépést, ha a hatáskörgyakorlás is a tagállamok által meghatározott közös szabályrendszer szerint fog megvalósulni. A Rendeletet közigazgatási kódexszel, vagy legalább minimális eljárási garanciarendszerrel kell kiegészíteni. E nélkül nem számíthatunk arra, hogy a harmonizált hatásköri lista harmonizált gyakorlathoz vezet a tagállamokban. E nélkül pedig egy olyan hatékonysági deficittel kell számolnunk, amely a védelmi lépcső elért fokát rendkívül törékennyé teszi, folyamatos visszacsúszás fenyegeti. Azzal is számolni kell, hogy az uniós jogalkotás a tagállami jogalkotásnál lényegesen lomhább, ezért a védelmi lépcsőn érvényesülő, felfelé mutató „gravitáció” sem képes ezt a hiányosságot olyan időn belül ellensúlyozni, hogy az ne járhatna valós védelmi veszteséggel.

Ennek kapcsán fogalmaztuk meg azt a javaslatot, hogy az egyablakos ügyintézésnél szorosabb, közös mechanizmusban döntsenek a hatóságok a határon átnyúló ügyekben. Egy elképzelt európai uniós adatvédelmi hatóság eljárhatna minden olyan ügyben, amelyben határon átnyúló adatkezelésekről van szó. A döntéshozatalt a Testület mellett működő jogi szolgálat készíthetné elő, természetesen mindazon tagállami hatóságok számára követhető és transzparens módon, amely véleményét már ebben a fázisban is hangoztatni szeretné. A döntéshozatal pedig a Testület előtt, a vitarendezésre egyébként

194

irányadó szabályok szerint folyhatna. Ez a javaslat az eljárási szabályok hiányosságait is pótolhatná bizonyos mértékben.

A

Amint fentebb részletesen elemeztük, az uniós jogalkotó az egyes tagállamokban biztosított védelmi szintet eltérőnek látta, és ezt arra vezette vissza, hogy a Rendelet által hatályon kívül helyezett 95/46/EK adatvédelmi irányelv tagállami átültetése és gyakorlata országonként eltérő volt. Annak érdekében, hogy a személyek magas szintű védelme szavatolható legyen, többek között a bírságolás terén is egységesítette a szabályozást és a tagállami hatóságok hatáskörét. A Rendelet ezen újítását a védelmi lépcső fényében előrelépésként értékeljük, mert a kötelezettségek az alkalmazott technológia és az üzleti modellek fényében fejlődnek. A hatóságok a bírság révén értékelni tudják az új üzleti megoldásokat, azok hatását a magánszférára. A pénzügyi szankció a védelmi lépcső több minőségi indikátora tekintetében is kedvező eredményt mutat. A jogérvényesítés esélye javul, a pénzügyi kockázat egyértelmű ösztönző a jognak való megfelelés terén. A Rendelet által is bevezetett magas összegű bírság tekinthető hatékonyságot növelő ösztönzőnek.

A védelmi lépcső alapján de lege ferenda javaslatokat is megfogalmaztunk, így előrelépést jelentene álláspontunk szerint, ha nem csupán egy elméleti plafonig, hanem a kár mértékéig terjedhetne a kiszabható bírság. Nem fogadható el ugyanis, hogy az adatok jogellenes kezelése révén az adatkezelő gazdagodhasson. Ennek lehetőségét a jelenlegi szabályozás nem zárja ki. Emellett pedig a kár enyhítése terén tett intézkedéseket is megfelelő súllyal kell figyelembe venni.

Szintén javasoltuk, hogy ne csupán a ténylegesen érintett személyeket vegyék számba a bírság megállapítása során, hanem mindazokat, akikre a jogellenes cselekmény irányult. Ehhez részben kapcsolódik az a javaslat, hogy a hatósággal szembeni transzparencia szabályait fordítsuk meg. Ne az számítson enyhítő körülménynek, ha a hatóságot egy jogsértőnek tűnő gyakorlatról tájékoztatja, hanem az számítson súlyosító körülménynek, ha ezt elmulasztja megtenni. Ebben az adatvédelmi tisztviselőnek is van szerepe, ahogyan erről szintén értekeztünk.

195

A védelmi lépcső fényében javasoltuk, hogy a bírsággal sújtható személyi kört bővítse a jogalkotó, így az adatvédelmi tisztviselő új szerepében a transzparenciához kötődő kötelezettségeinek elmulasztása esetén bírsággal is büntethető legyen. A közhatalmi szervek bírságolása terén pedig azt javasoltuk, hogy a szerv vezetője is szankcionálható legyen olyan esetekben, amikor a szervezetet ért kárért való helytállása elvárható. A cél ebben az esetben is a személyes felelősség erősítése, annak ellensúlyozásaként, hogy a felelősség sok esetben elmosódik a jogsértések kapcsán.

A bírságolás terén a forum shopping jelenségének elkerülése érdekében azt is nélkülözhetetlennek tartjuk, hogy a tagállami hatóságok hasonló ügyekben hasonló bírságokat állapítsanak meg. E feltétel nélkül nem valósul meg a védelmi szintek egyenlősége a tagállamok között, és a védelem eróziója indul meg, amely szükségszerűen vezet a Rendelet által megalkotott rendszer széttöredezéséhez.

Az adatvédelmi bírság terén is kirajzolódik tehát az általunk azonosítani javasolt három szint, nevezetesen az irányelvi szabályozást jellemző széttöredezettség és alacsonyabb szintű védelem, a Rendelet által megállapított védelem, amely egységes és szigorú szabályai révén magasabb védelmet kínál, végül pedig az általunk javasolt módosítások figyelembe vételével a következő, magasabb védelmi szint. Az értekezés következtetése az, hogy hiába áll kézzelfogható közelségben hozzánk a magasabb védelmi szint, amikor a forum shopping révén a széttöredezettség és az alacsonyabb védelmi szint felé a visszacsúszás lehetősége is elképzelhető.

A

Az adatvédelmi felügyeleti hatóságokra gyakran úgy tekintenek, mint a személyes adatok védelméhez fűződő jog legfontosabb védelmezőire. De Hert és szerzőtársai azon az állásponton vannak, hogy "a mindennapokban a magánszféra körében érvényesülő

adatvédelem" terén a "hatékony védelem legnagyobb terhe" a hatóságok vállán van.498

Ezzel az állítással nem tudunk egyetérteni. Még ha el is fogadjuk, hogy a személyes adatok védelme terén a felügyeleti hatóságok fontos szerepet játszanak, ahogyan arról fentebb részletesen értekeztünk, véleményünk szerint nem szabad túlbecsülni a hatóságok mindennapi adatkezelői döntésekben játszott szerepét, egyszerűen annál a ténynél fogva,

498_{DE HERT Paul, KLOZA, Dariusz és MAKOWSKI, Paweł (szerk.): Enforcing Privacy: Lessons from current}

196

hogy azokat nem a hatóságok hozzák meg. Itt is megmutatkozik a Rendelet fontos újításának, az elszámoltathatóság elvének szerepe, amely arra kötelezi az adatkezelőt, hogy a jogszabályoknak való megfelelés mellett képes is legyen a megfelelés bemutatására.

A Rendelet szabályozási koncepciója egyértelműen abba az irányba mutat, hogy kiemeli az adatkezelői felelősséget. Ezt csupán erősíti, támogatja a hatósági hatáskörök bővítése és egységesítése. Mindazonáltal a hatékony hatósági működés fontos ösztönző a jogszabályoknak való megfelelés terén. Az adatvédelmi kultúra fejlesztésében is sokat tehet a hatóság, amely aztán a napi döntések és gyakorlatok terén is megmutatkozik. Mindezek azonban nem járnak azzal, hogy a védelem „legnagyobb terhét” a hatóságok viselnék. Amint bemutattuk ugyanis, más a funkciójuk. Valamennyi szereplőnek, így különösen az adatkezelőknek is kötelessége a Rendelet alkalmazása és hatékony érvényesítése, amelynek eredménye a védelmi szint erősödése. Ez a jogalkotói cél csak akkor érvényesül, ha az adatvédelmi intézményrendszer hatékonyan működik.

Fentebb bemutattuk, hogy mindebben milyen része van az adatvédelmi felügyeleti hatóságoknak. Hasznos lesz elemzésünket több adat, nagyobb gyakorlati tapasztalat birtokában is elvégezni a következő években. Amennyiben az adatvédelmi felügyeleti hatóságok számára, például az adatvédelmi tisztviselői intézmény leírt továbbfejlesztése révén nagyobb mozgástér adódik a beavatkozásra, úgy a hatósági szerep értelemszerűen jelentősen átalakulhat, és a még meg nem valósult jogsértések megelőzésében is gyakorolhatná hatáskörét. Ennek hiányában egyelőre az előzetes beavatkozás lehetősége nagyon csekély, amely megerősíti azt az állítást, hogy a napi döntések „terheiben” a legnagyobb arányt továbbra is az adatkezelők fogják viselni.

A

–

Előremutató gyakorlat lenne, ha az adatkezelések terén egy új modell valósulhatna meg. Az új modell középpontjában az önként vállalt transzparencia, a „látencia tagadása” állna, amelynek lényegét abban ragadhatjuk meg, hogy a kötelezően elvárt szintnél jóval magasabb mércét állítana magának az adatkezelő, és már az adatkezelést megelőző döntését is átláthatóvá tenné, lehetővé téve minden érdeklődőnek és érintettnek, hogy ahhoz hozzászólhasson.

197

Ez a követelmény egybecseng Cavoukian privacy by design elveivel is. Cavoukian amellett szállt síkra, hogy az adatkezelési műveleteknek a felhasználók számára is átláthatóknak kell lenniük.499 _{Amennyiben a személyes adatok védelme terén előrelépést}

szeretnénk elérni, úgy a transzparencia tekintetében mindenképpen javítani kell a jelenlegi gyakorlatot.500 Az új technológiák, így a mesterséges intelligencia alkalmazása különös körültekintést vár el az adatkezelőktől, ennek részeként felelős döntéseket kell hozniuk, amelynek egyik aspektusa a transzparencia.501

Á

A védelmi szint következő fokának elérésében valamilyen módon mindig szerepe és felelőssége van az állami adatkezelőknek, illetve általában az államoknak. Olyan hatalom és gazdasági mozgástér koncentrálódik ugyanis náluk, ami egyetlen másik szereplővel sem hasonlítható össze. Az állami adatkezelők az adatkezeléseket megelőző döntéseik