Az általános adatvédelmi rendelet várható hatása az információs önrendelkezés hazai felfogására
II. Az adatvédelem uniós alapjogi megközelítése a GDPR hatálybalépése előtt
A személyes adatok védelme és tágabb értelemben az adatvédelem az Európai Unió-ban a német, és az ennek hatására kialakult magyar tagállami megközelítéstől – legalábbis dogmatikai alapjait tekintve – teljesen eltérő alapról indult.
2.1. Az Emberi Jogok Európai Egyezménye („EJEE”)
Az 1950-ben elfogadott Emberi Jogok Európai Egyezményének 8. cikke fogal-mazza meg a magánélet tiszteletben tartásához való jogot, vagyis a magán- és családi élet, a lakás és a levelezés tiszteletben tartásához való jogot. A 8. cikk megtilt a magán-élet tiszteletben tartásához való jogba való bármilyen beavatkozást, kivéve, ha az „tör-vényben meghatározott” vagy „egy demokratikus társadalomban szükséges” annak érde kében, hogy néhány, egyedileg felsorolt lényeges közérdeket kielégítsen. A „magán-életbe való beavatkozás” eseteiben a beavatkozás szükségessége vizsgálatának elő-feltételeként meg kell nevezni a beavatkozás jogalapját, valamint a jogszerű cél részletes leírását. Ez a megközelítés megmagyarázza, hogy az Egyezmény nem tartalmazza a lehetséges jogalapok listáját, hanem inkább a jogalap meglétének szükséges-ségére, valamint azokra a feltételekre összpontosít, amelyeket az említett jogalapnak teljesí tenie kell.8
2.2. A 108. egyezmény9
Az Európa Tanács 1981-ben aláírásra megnyitott 108. egyezménye különálló fogalom ként vezeti be a személyes adatok védelmét. Akkoriban az e mögött meghúzódó ötlet nem az volt, hogy a személyes adatok feldolgozására mindig a „magánéletbe való beavatkozásként” kell tekinteni, hanem az, hogy az emberek alapvető jogainak és szabadságainak, így különösen a magánélet tiszteletben tartásához való jogának védel-me érdekében a személyes adatok feldolgozásának, bizonyos feltételeknek mindig védel-meg kell felelnie. Az 5. cikk ezért megállapítja az adatvédelmi törvény alapelveit, köztük azt a követelményt, miszerint „a személyes adatokra vonatkozó követelmények a gépi feldolgozás során: a) az adatokat csak tisztességesen és törvényesen szabad meg-szerezni és feldolgozni”. Az egyezmény azonban nem tartalmazza az adatkezelés részle-tes jogalapjait.
8 A WP 29 06/2014. számú véleménye az adatkezelő 95/46/EK irányelv 7. cikke szerinti jogszerű érdekeinek fogalmáról, 6.
9 108. egyezmény az egyének védelméről a személyes adatok gépi feldolgozása során.
2.3. OECD-irányelvek
A 108. egyezménnyel párhuzamosan kidolgozott és 1980-ban elfogadott OECD-irány-elvek hasonló módon értelmezték a „törvényességet”, bár a fogalmat másképp fogalmazták meg. Az irányelveket 2013-ban frissítették10 a törvényesség elvének jelentős változtatása nélkül. Az OECD-irányelvek 7. cikke különösen azt írja elő, hogy „korlátozni kell a szemé-lyes adatok gyűjtését, valamint bármilyen ilyen jellegű adatot törvényes és tisztességes esz-közökkel kell beszerezni, és, megfelelő esetben, az alany tudtával és beleegyezésével”.
Itt a hozzájárulás jogalapját kifejezetten lehetőségként említik, amelyet „megfelelő eset-ben” lehet alkalmazni. Ez a szóban forgó érdekek és jogok elismerését, illetve az adatfeldol-gozás beavatkozása mértékének meghatározását is maga után vonja. Ebben az értelemben az OECD megközelítése hasonlóságokat mutat a 95/46/EK irányelv – sokkal kidolgozot-tabb – kritériumaival.11
Látható tehát, hogy az EJEE, a 108. egyezmény és az OECD irányelvek egyaránt sok-kal inkább protektív, és nem önrendelkezési jogként közelítették meg a személyes adatok védelmét, így a magyar 15/1991. (IV. 13.) AB határozatnak a német és svájci jogforrásokon felüli, közösségi szintű háttere nem volt.
2.4. Az Európai Parlament és a Tanács 95/46/EK irányelve, és az Európai Unió Alapjogi Chartája
Az európai uniós részletes adatvédelmi szabályozás alapját jelentő, az Európai Parla-ment és a Tanács 95/46/EK irányelve12 („Irányelv”) az érintettek önrendelkezési jogára az EJEE, a 108. egyezmény és az OECD-irányelvek által lefektetett jogvédelmi szintnek (azaz a tisztességes és törvényes adatkezelés-követelményének) megfelelően még áttétele-sen sem utal.
Megállapítja viszont az Irányelv (3) preambulumbekezdése, hogy egy olyan belső piac kialakítása és működése, amelyben a Római Szerződésnek megfelelően biztosított az áruk, a személyek, a szolgáltatások és a tőke szabad mozgása, nemcsak azt kívánja meg, hogy a személyes adatok szabadon áramolhassanak egyik tagállamból a másikba, hanem azt is, hogy az egyének alapvető jogai biztosítva legyenek.
Az uniós szabályozásban tehát az adatvédelmi szabályozás alapja az volt, hogy az egyének alapvető jogai – így a személyes adatok védelme – azonos fontosságúak a sze-mélyes adatok Unión belüli szabad áramlásának biztosításával, és ezeknek együttesen egy magasabb rendű célt, a közösség belső piacának optimális működését kell szolgálniuk.
Álláspontunk szerint az uniós jogalkotás ezen megközelítése értelemszerűen rendkívül megnehezíti, ha egyáltalán lehetővé teszi a személyes adatok védelmének önrendelkezésként történő felfogását. Hiszen az önrendelkezés alapján az állam csak kivételesen írhatja elő,
10 OECD Irányelvek a magánélet védelméről és a személyes adatok határokon átívelő áramlásáról, 2013. július 11.
11 WP 29 06/2014. számú vélemény, 7.
12 Az Európai Parlament és a Tanács 95/46/EK irányelve (1995. október 24.) a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról.
hogy mi történjen az egyének személyes adataival, az érintettek szabadon gyakorolható dön tési jogosítványa pedig felboríthatja a fent definiált jogok egyensúlyát. Tehát amennyiben a szemé-lyes adatok védelmét önrendelkezésként fogjuk fel, az egyensúly csak akkor teremt hető meg, ha a kivételek köre szinte meghaladja az egyént az önrendelkezési jog révén fő szabály szerint megillető mozgásteret, így pedig végeredményben az önrendelkezés kiüresedhet, jelképessé válhat. Sokkal „kényelmesebb” tehát a jogok egyensúlya szempontjából a protektív jogvédelmi felfogás, mivel ezáltal a közhatalom egy koherens logikai rendszerben, kizárólag maga dönti el a védelem optimális szintjét, és nem kell osztoznia ebben az érintettekkel.
Az Irányelvet követően elfogadott Európai Alapjogi Charta szintén nem önrendelke-zésként definiálta a személyes adatok védelmét. A Charta 8. cikkelye ugyanakkor a magyar Avtv.-vel lényegében megegyező módon határozta meg a személyes adatok kezelésének alapjait, így a Charta alapján személyes adatot kezelni szintén az érintett hozzájárulása, vagy jogszabályban rögzített egyéb törvényes okból lehetett csak.
Ezzel szemben az Irányelv 7. cikke a gazdasági hatékonyság megteremtése érdeké-ben már eredetileg is több adatkezelési jogalapot állapított meg 1995-érdeké-ben, melyek közül több ilyen formában még 2011-ben, az Infotv.-ben sem került hazánk részéről adaptálásra (kifeje zetten ilyenek a közérdek és a jogos érdek, mint adatkezelési jogalapok irányelvi szabályozásai13).
Ennek megfelelően az Irányelv 7. cikke alapján a tagállamok rendelkeznek arról, hogy a személyes adatok csak abban az esetben dolgozhatók fel, ha:
a) az érintett ahhoz egyértelmű hozzájárulását adta; vagy
b) az adatfeldolgozás olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépé-sek megtételéhez szükséges; vagy
c) az adatfeldolgozás az adatkezelőre vonatkozó jogi kötelezettségnek teljesítéséhez szükséges; vagy
d) feldolgozásuk az érintett létfontosságú érdekei védelméhez szükséges; vagy e) az adatfeldolgozás közérdekből elvégzendő feladat végrehajtásához vagy az adatke-zelőre, illetve az adatokról tudomást szerző harmadik félre ruházott hivatali hatáskör gya-korlásához szükséges; vagy
f) az adatfeldolgozás az adatkezelő, vagy az adatokat megkapó harmadik fél, vagy felek jogszerű érdekének érvényesítéséhez szükséges, kivéve, ha ezeknél az érdekeknél ma-gasabb rendűek az érintettnek az 1. cikk (1) bekezdése értelmében védelmet élvező érdekei az alapvető jogok és szabadságok tekintetében.
Mivel az Irányelv 7. cikke is az érintett hozzájárulását (azaz az információs önrendel-kezés legfontosabb gyakorlati megnyilvánulási formáját) nevesíti elsőként az adatkezelés jogalapjai között, így az uniós jogalkalmazókban is felmerült, hogy az irányelv e körben fontossági sorrendben határozta meg a jogalapokat. Amennyiben pedig ez a feltételezés helytálló lenne, úgy az álláspontunk szerint az információs önrendelkezés közvetett meg-jelenését igazolhatná az uniós joganyagban.
13 Pontosabban megfogalmazva: a jogos érdek, mint adatkezelési jogalap ugyan bekerült az Infotv-be, azonban e jogintézmény hazai szabályozása nem állt maradéktalanul összhangban az Irányelvvel. Ezen kérdéskör részletesebb kifejtése azonban témánk szempontjából nem releváns.
Az Irányelv értelmezésére létrehozott, 29. cikk szerinti Adatvédelmi Munkacsoport („WP29”) azonban egyértelműen az ezzel ellentétes jogértelmezést tartotta elfogadhatónak.
A WP 29 06/2014. véleményében e körben az alábbiakat fejtette ki:
„A 7. cikk a hozzájárulással kezdődik, majd a jogszerűség egyéb jogalapjainak fel-sorolásával folytatódik, ideértve a szerződéseket és a jogi kötelezettségeket, majd fokozatosan a hat rendelkezésre álló jogalap között utolsóként felsorolt jogszerű érdek vizsgálatára tér át.
Néha úgy értelmezték, hogy a 7. cikkben felsorolt jogalapok sorrendje a jogalapok fontossági sorrendjét is jelzi. Ahogy azonban azt a munkacsoport véleményében már hang súlyozta a hozzá járulás fogalmával kapcsolatban, az irányelv szövege nem tesz jogilag különbsé-get a hat jogalap között, és nem kelti azt a látszatot, hogy ezek között hierarchia van.”14
A WP29 lényegében ezt az értelmezést tartotta elfogadhatónak a 15/2011. véleményé-ben15 is. Ezen vélemény szerint „A 7. cikkben szereplő jogalapok említési sorrendje lénye-ges, de ez nem jelenti azt, hogy mindig a hozzájárulás a legmegfelelőbb jogalap a személyes adatok feldolgozásának jogszerűvé tételéhez. A 7. cikk a hozzájárulással kezd, majd a többi jogalappal folytatja a felsorolást, beleértve a szerződéseket, jogi kötelezettségeket, mi-közben fokozatosan halad az érdekek egyensúlya felé. Meg kell jegyezni, hogy a hozzájáru-lást követő öt jogalap esetében előírják a szükségesség vizsgálatát, amely szigorúan korlá-tozza az alkalmazhatóságuk körét. Ez nem jelenti azt, hogy a hozzájárulási kötelezettség nagyobb mozgásteret enged, mint a 7. cikkben szereplő többi jogalap.”