Az adatvédelmi biztos 2008. évi beszámolója*
Az új adatvédelmi biztos (dr. Jóri András) beszámolójának bevezetésében jelzi, hogy a 2008. év az átmenet éve volt, mivel az előző adatvédelmi biztos (dr. Péterfalvi Attila) mandá- tuma a 2007. év végén lejárt, ezért megválasztá- sáig, 2008. szeptember 18-ig az állampolgári jo- gok országgyűlési biztosa (Szabó Máté) járt el az adatvédelmi biztos jogkörében. A 2008. évi be- számoló tehát döntően a helyettesítés ideje alatt végzett munkáról szól, struktúrájában és tartal- mában az előző évtized beszámolóit követi.
Ugyanakkor az új adatvédelmi biztos szól azok- ról a főbb célokról, melyek figyelembevételével kívánja végezni munkáját a jövőben.
Az előzetes ellenőrzés intézményének erő- sítése, az adatkezelések jogi értékelése mellett az első ilyen célnak – azok technológiájának vizsgálatára is alkalmas kompetencia kiépíté- sének kell lennie. Ezen cél eléréséhez megfele- lő informatikai szakértői bázis kiépítésére van szükség az Adatvédelmi Biztos Irodáján belül.
A második cél a kezdeményező jogvéde- lem előtérbe helyezése. Megfelelő adatvédelmi biztosi működés esetén az új technológiák ve- szélyei már azelőtt érzékelhetők, mielőtt az el- ső panaszbeadványok megérkeznek az adott ügyben. Kívánatos, hogy a biztos a panasz- ügyek mellett más információforrásokat fel- használva azonosítsa azokat a területeket, ame- lyeken az állampolgárok információs jogai leginkább sérülhetnek, és ezeken a területeken kiérlelt álláspontot alakítson ki, hogy valamely rendszer kialakításakor, már egy szabályozási koncepció első felbukkanásakor képes legyen a kompetens véleménynyilvánításra. A hiva-
talból elrendelt tematikus, egy témát hosszú időtartamon át követő, átfogó vizsgálatok sze- repének nőnie kell, a panaszügyek vizsgálatá- nak pedig ezekhez kell kapcsolódnia.
A harmadik célkitűzés az, hogy szűnjön meg az Adatvédelmi Biztos Irodáján belül a személyes adatok védelmével és a közérdekű adatok nyilvánosságával kapcsolatos ügyek el- különített kezelése, és az adatvédelmi biztosi gyakorlat együttesen és egymásra tekintettel kezelje a két jogot.
A korábbi évekhez hasonlóan a beszámoló elején az adatvédelmi biztos részletesen elemzi tevékenységének adatait. Az Adatvédelmi Biz- tos Irodájában 2008-ban összesen 2115 ügy vizsgálata indult meg, vagyis ennyi olyan be- érkező iratot, levelet, beadványt kapott, me- lyeket országgyűlési biztosi vizsgálatot, intéz- kedést igénylő ügyként vettek nyilvántartásba.
A 2007-ben beérkezett, minden korábbi évet messze felülmúló 2724 ügyszámhoz képest az ügyek száma közel 23 százalékkal esett vissza.
De az azt megelőző 2006-os esztendő 2211 ügyétől nagyságrendileg már nem tér el. Ez azt jelenti, hogy a több éve tartó, ingadozó mérté- kű ügyszámemelkedés ebben az évben nem folytatódott.
Ha az adatvédelmi biztos hatáskörébe tar- tozó két információs alapjogot érintő bead- ványok számát, illetve arányát vesszük górcső alá, akkor megállapítható, hogy az információ- szabadságot és a közérdekből nyilvános adato- kat is érintő 202 ügy aránya az 1397 adatvé- delmi ügyhöz viszonyítva közel 14 százalék.
Vagyis az elmúlt évek adataihoz viszonyítva
* Az adatvédelmi biztos beszámolója 2008 [2009]. Adatvédelmi Biztos Irodája. Budapest. A beszámoló tel- jes anyaga megtalálható az adatvédelmi biztos honlapján (www.obh.hu).
folyamatosan (2008-ban két százalékkal) nő a vizsgálatokon belül a közérdekű, vagy a köz- érdekből nyilvános adatokat is érintő ügyeink aránya, így megállapítható, hogy az adatvé- delmi biztoshoz fordulók körében egyre aktí- vabb érdeklődés tapasztalható az információ- szabadság iránt.
Az adatvédelmi biztos a hagyományoknak megfelelően külön elemzi a nagy állami (ön- kormányzati) adatkezelőkkel kapcsolatos be- adványokat, melyben már évek óta nincs a KSH-hoz köthető beadvány. Az önkormány- zatokkal kapcsolatban szólt egy beadványról, melyet azért érdemes ismertetni, mert érzékel- teti milyen nehéz kérdéseket vet fel az etnikai alapú adatkezelések témája és egyáltalán a szociális jellegű adatgyűjtések helyzete.
Egy Pest megyei település polgármester- ének az alpolgármester részére átadott írásbeli utasításáról van szó.
„A polgármesteri utasítás 2. pontja az in- dítványozó kötelezettségévé tette, hogy mű- ködjön közre a cigány polgárok rendőrségi ügyeiben, ugyanakkor jelenleg nincs hatályban olyan törvény, amely lehetővé tenné, hogy a polgármester, vagy az alpolgármester különle- ges személyes adatokat kezeljen e feladatának ellátásával összefüggésben. Bár az érintett írásban hozzájárulhat különleges személyes adatainak kezeléséhez, azonban ebben az est- ben is szigorú törvényi feltételeknek kell érvé- nyesülniük. A büntető-, illetve a szabálysértési eljárásra vonatkozó törvények sem teszik lehe- tővé, hogy az eljáró hatóságok „közreműködő- ként” vonják be az eljárásba a települési pol- gármestert, illetve az alpolgármestert. Az uta- sítás 3. pontja alapján az alpolgármester fel- adata lett volna, hogy a szociális ügyekkel kapcsolatban környezettanulmányt végezzen.
Az indítványozó figyelmét a biztos felhívta, hogy sem a polgármesternek, sem az alpol- gármesternek nincs joga környezettanulmány
elkészítésére és ezzel összefüggésben szemé- lyes adatok kezelésére. Az utasítás 4. pontja alapján az alpolgármester információt gyűjt és ad át a kisebbségekről a szociális bizottság ülésein. Ezt ugyancsak nem teheti meg az al- polgármester, mivel a faji eredetre, nemzeti és etnikai kisebbséghez tartozásra vonatkozó adat is különleges személyes adat, így sem a pol- gármester, sem az alpolgármester nem jogosult az etnikai, nemzeti kisebbségi hovatartozásra utaló, arra vonatkozó különleges személyes adatok kezelésére. Az utasítás 5. pontja alapján az alpolgármester kötelessége segíteni a csa- ládsegítő munkáját és „a dolgozni akaró polgá- rok” elhelyezkedéséről kimutatást kellett volna vezetnie. E tevékenység ellátása során a meg- bízott nem jogosult személyes adatok kezelé- sére, megismerésére, továbbá nem jogosult személyes adatokat tartalmazó kimutatás veze- tésére sem. (149/K/2008)” (Beszámoló [2009]
49–50. old.)
Az adatvédelmi biztos egyre aggódóbban figyelte azokat a munkáltatói módszereket, melyek a munkavállalók ellenőrzésére vonat- koznak.
„Az adatvédelmi biztos állást foglalt annak a vállalakozásnak a tevékenységével kapcsola- tosan is, amely azzal reklámozta magát, hogy vállalja, hogy a szerződő fél vállalkozásába beépülve jelentéseket tesz annak működéséről, a munkavállalók magatartásáról. A beépült személy anonimitása teljes, az ajánlatot tevő garantálja, hogy a megfigyelés idejére a mun- katársa barátja, bizalmasa lesz a megfigyelt személyeknek, akik a megfigyelésről nem tud- nak.
Az ombudsman a beépülésre, és belső je- lentésre tett ajánlatot jogsértőnek minősítette, mely sérti a személyes adatok védelméhez va- ló jogot. (1189/K/2008)” (Beszámoló [2009]
59. old.)
Az adatvédelmi biztos a bekamerázással kapcsolatos egyre terjedő ellenőrző módszere- ket is aggályosnak tartotta.
„Állásfoglalásában az adatvédelmi biztos leszögezte, hogy még hallgatólagosan sem tá- mogat egy olyan koncepciót, melynek célja, hogy az óvodákat, illetve bölcsődéket akár csak megfigyelési funkcióval is működő ka- merákkal lássák el. Ennek kimondásakor azt a jogpolitikai megfontolást vette figyelembe, mely szerint a kamerás megfigyelés elterjedése a magánszféra elfogadhatatlan és indokolatlan zsugorodásával járna. A képfelvevő berende- zések elhelyezése a gyermekek viselkedését, személyiség-fejlődésé károsan befolyásolhatja, továbbá azt is eredményezheti, hogy később, a kamerák látóköréből kikerülve azt tegyen, amit akar, hiszen ott „senki” nem látja. Aggályos- nak tartotta a biztos azt is, hogy például beteg- ség esetén a kamerák által közvetített képen keresztül arra egyértelműen jogosulatlan sze- mélyek is indokolatlan mértékben betekintést nyerhetnek a gyerekek egészségügyi állapotá- ba. Ilyen helyzetekben fokozottan indokolt, hogy az érintettek személyes adatai kezelésé- vel összefüggésben különleges érzékenységgel járjanak el, ennek megfelelően az internetes felületre történő képtovábbítás – még ha az csak szűk körben válik is elérhetővé – a gyer- mekek személyiségi jogainak jelentős sérel- mével járhat.
Problémát jelenthet az is, hogy a bölcső- dében vagy óvodában a szülő egy-egy meg- nyilvánulása adott esetben a közvetített képen keresztül téves következtetés levonására adhat okot, másfelől a gyermek és szülő közötti kap- csolat olyan bensőséges viszony, mely nem tartozik senki másra, vagyis a „megfigyelés”
megengedhetetlen beavatkozást jelentene a család magánszférájába.
A pedagógusok esetében a kamerás megfi- gyelés lehetőséget ad a gyermekfelügyeleti in-
tézmények vezetői számára a rendszeres ellen- őrzésre. Ez egyrészt szintén sérti az érintett dolgozók személyiségi jogait, másrészt az ál- landó „megfigyeltség-érzés” hátráltatja a gon- dozók természetes viselkedését, a gyermekkel való gondtalan és felhőtlen kapcsolat kialakí- tását.
Végezetül az Avtv. 5. §-ában foglalt cél- hoz kötöttség elvére figyelemmel az adatvé- delmi biztos úgy foglalt állást, hogy az elérni kívánt célok megvalósításához a kamerás meg- figyelés szükségtelen és aránytalan beavatko- zást jelentene a képfelvevő berendezésekkel felszerelt intézményekben elhelyezett gyerme- kek, szüleik, illetve az ott dolgozó személyek magánéletébe. (1637/K/2008)” (Beszámoló [2009] 67–68. old.)
Az intézményvezetők általában a vagyon- védelmet és bűnmegelőzést jelölték meg a ka- merák felszerelésének céljaként. Az adatvé- delmi törvényben meghatározott célhoz kötött- ség elve alapján a megjelölt adatkezelési célok elérése érdekében a megfigyelőrendszer az in- tézmény egész területén való kiépítése szük- ségtelen, ez aránytalan beavatkozást jelentene az érintettek magánszférájába.
„Egy panaszbeadvány kapcsán azt vizsgál- ta a biztos, hogy egy fogorvosi rendelő bizo- nyos részeinek kamerás megfigyelése jogsze- rűnek tekinthető-e. A vizsgált esetben a rende- lő számos helyisége, így a főbejárat, a folyosó, az ügyfélfogadó, a recepciós asztal, a szájsebé- szeti műtő, valamint a munkavállalók pihenő- helyisége állt kamerás megfigyelés alatt. A biztos állásfoglalásában kiemelte, hogy a ka- merák telepítésénél, illetőleg azok működteté- sénél differenciáltan kell eljárni. Vagyonbiz- tonsági célból indokolható lehet a főbejárat, illetőleg a folyosó megfigyelése, de a felvéte- lek tárolási ideje nem lehet hosszabb három napnál. A recepciós asztal megfigyelése azért
tekintendő jogellenesnek, mert ezáltal a mun- kavállaló tevékenységét folyamatosan kamera követné, amely a biztos következetes gyakor- lata szerint nem engedhető meg. Az ügyfélfo- gadó és a munkavállalók pihenőhelyisége szin- tén az emberi méltóság védelme érdekében nem vonható állandó kamerás megfigyelés alá.
A szájsebészeti műtőben történő képrögzítés szintén elfogadhatatlan, amely nem csupán törvényi tilalomba ütközik, de az emberi mél- tóság durva megsértésének tekintendő. Mind- ezek alapján a biztos a kamerarendszer átalakí- tására, illetve számos kamera eltávolítására szólította fel a fogorvosi rendelőt üzemeltető gazdasági társaság ügyvezetőjét.
(1223/P/2008)” (Beszámoló [2009] 128–129.
old.)
Az adatvédelmi biztos jelzi, hogy több, a távközlési hálózatokon keresztül küldött kéret- len reklámokat kifogásoló panasz érkezett.
Ezek a nem kívánt üzenetek általában politikai pártoktól, vallási szervezetektől, de leginkább közvélemény-kutató vagy közvetlen üzletszer- zéssel foglalkozó cégektől érkeztek.
„Ennek az ügytípusnak az egyik jellemző példája, amikor a politikai pártok a választáso- kat, népszavazásokat megelőző kampányidő- szakban az automatikus hívórendszerek igény- bevételével bonyolított hívásaikkal számos esetben megsértették az állampolgárok magán- szférához való jogát. A panaszok kivizsgálása érdekében már a korábbi adatvédelmi biztos is vizsgálatokat folytatott le, és tájékoztatást kért a pártok illetékeseitől. Ennek eredményképpen a következő választ kapta. Az automatikus hí- vórendszerek segítségével megvalósított kap- csolatfelvétel módszerét alapvetően kétféle- képpen alkalmazzák a pártok. Az egyik meg- oldás során korábbi, nyilvános adattárakban szereplő telefonszámok közül válogat a gép, míg a másik eljárásban a számítógép nyilvános
adattárak felhasználása nélkül, tisztán vélet- lenszerűen képez telefonszámokat a rendelke- zésre álló számtartomány alapján. Az utóbbi módszer, amennyiben a rendszer a tájékoztatás közben, vagy azt követően személyhez kap- csolható adatokat, információkat nem rögzít, személyes adatkezeléssel nem jár. Emellett azonban a véletlenszerű számgenerálás útján megvalósuló kapcsolatfelvétel magában rejti annak kockázatát, hogy titkos telefonszámokat is tárcsáz a központ. A pártok közlése szerint a telefonos megkeresések kapcsán névhez társít- va nem tároltak „nyomógombos” válaszadás- ból nyert információkat. Ennek ellenére az adatvédelmi biztos indítványozta a pártoknak, hogy a kampányok során biztosítsák azt, hogy az állampolgárok információs önrendelkezési jogukat teljesebben érvényesíthessék, a ma- gánszférájukat pedig tartsák tiszteletben.
(159/P/2008)” (Beszámoló [2009] 72. old.)
A hírközléssel, illetve a banki szolgáltatás- sal kapcsolatos az a beadvány is, melyet az adatvédelmi biztos fontosnak tartott ismertetni.
„Érdekes jelenségre hívta fel az adatvé- delmi biztos figyelmét egy panaszos, aki egy bank ATM készülékeken igénybe vehető tele- fonszámla-befizetést kifogásolta. Álláspontja szerint a szolgáltatás igénybevétele során a 9 jegyű telefonszám megadásával bárkinek a te- lefonszámla-egyenlege megismerhető. A kér- déses szolgáltatás igénybevétele során az elő- fizetői hívószám megadása önmagában ele- gendő ahhoz, hogy a bankjegykiadó automata segítségével az adott előfizetői hívószámhoz tartozó számlaegyenleghez bárki hozzáférjen.
Márpedig a számlafizetéssel kapcsolatos adat (rendezett, vagy nem rendezett egyenleg, és annak összege is) személyes adat, amelyet az elektronikus hírközlési szolgáltató csak a tör- vényben előírt módon továbbíthat kívülálló, harmadik személyeknek. A fenti módszer al-
kalmazása közvetlen veszélyt jelent az előfize- tők személyes adataira nézve, mert bárki, bár- mikor egy bankkártya segítségével megismer- heti bármelyik előfizetői hívószámhoz tartozó egyenleget. Különös veszélyt hordoz magában az, hogy mindez az előfizető tudta és bele- egyezése nélkül megtörténhet.
Az adatvédelmi biztos álláspontja szerint a fentiek sértik az előfizetők személyes adatok védelméhez való jogát, mert a szolgáltatás nem biztosítja az adatok illetéktelen személyek részére való hozzáférés elleni védelmét. Az adatkezelő egyik érve úgy szólt, hogy állás- pontja szerint „…a befizetőnek nem áll mód- jában a befizetéssel érintett előfizetői hívó- számot a fizetési rendszerben összekapcsolni a Szolgáltató rendszereiben előfizetőként nyil- vánított személlyel.” Ezzel kapcsolatban az adatvédelmi biztos kimondta, hogy az illeték- telen hozzáférést nem ebben a tekintetben tart- ja problematikusnak, holott a véletlenszerű kí- sérletezés is hordozhatja magában az előfizető magánéletébe való beavatkozást. Viszont egy személyre vonatkozó több személyes adat megismerése az adatok összekapcsolhatóságát és a természetes személy azonosíthatóságának esélyeit növeli, ez pedig önmagában a magán- élet és a személyes adatok védelmét követeli meg. Az előfizetői hívószámok, a számlázással összefüggő adatok, valamint a ki nem egyenlí- tett számlatartozás összege is személyes ada- toknak minősülnek, amelyek csak a törvényes lehetőségeken belül kezelhetők. Az érintettet még egy ismerőssel, vagy családtaggal szem- ben is megilleti a személyes adatok védelmé- hez való jog, ezért a számlatartozásra vonatko- zó személyes adat csak a beleegyezésével to- vábbítható harmadik fél részére. A fizetési módszer alkalmazásához kétségkívül elenged- hetetlen a számlatartozás összegének ismerete.
Azonban az adatbiztonság követelményének megfelelve és az illetéktelen hozzáférések el- leni védekezés érdekében a tranzakcióba egy
azonosítási eljárás beépítését javasolta az adatvédelmi biztos. A bankautomaták techni- kai sajátosságára tekintettel ez történhet példá- ul egy numerikus azonosító (előfizetői hívó- számhoz tartozó ügyfélszám, vagy a számla száma) alkalmazásával, amellyel az illetékte- len hozzáférés elkerülhető. (560/P/2008)” (Be- számoló [2009] 78–79. old.)
A KSH-ban folyó munka szempontjából mindig érdekesek az adatvédelmi biztosnak a tudományos, illetve közvélemény-kutatással kapcsolatos állásfoglalásai.
„Egy városi polgármester a település for- galmi rendjére vonatkozó közvélemény- kutatáshoz szükséges kérdőívet küldött a helyi lakosoknak. A panaszos kifogásolta, hogy mi- vel a kérdőívet alá kell írni, a hátoldalán pedig szerepelt az érintett neve, lakcíme, elképzelhe- tő, hogy az adatfeldolgozás során a választ a válaszadó személyével is összekötik.
Az adatvédelmi biztos jogkörében eljáró országgyűlési biztos úgy foglalt állást, hogy amennyiben a személyes adatok gyűjtését, ke- zelését az önkormányzat jogszerűen végzi, nincs akadálya annak, hogy valamely közvé- lemény-kutatást személyes adatok megadásá- val végezze. Ennek azonban feltétele az érin- tetteknek az adatgyűjtést megelőző megfelelő tájékoztatása, illetve az, hogy az adott cél el- éréséhez a személyes adatok védelmének kor- látozása szükséges és arányos legyen. A pol- gármesteri levélben szerepel, hogy az adatokat milyen célból gyűjtik („az adatkezelés kizáró- lag annak ellenőrzését szolgálja, hogy a kérdő- íven véleményét az arra jogosult […] lakos nyilvánította ki”), ellentmondás volt azonban a személyes adatok kezelésének időtartamára vonatkozóan. Egyrészt garantálták, hogy a visszaküldött íveket úgy dolgozzák fel, hogy
„ne lehessen a válaszokat személyhez kötni”, másrészt viszont a személyes adatokat csak a
közvélemény-kutatás kiértékelését követően semmisítették volna meg. Nem volt egyértel- mű tehát, hogy mi lesz a kérdőívek feldolgozá- sa során az összegyűjtött adatok sorsa, ahhoz ki férhet hozzá, illetve, hogy az adatokat pon- tosan mennyi ideig tárolják. Az adatkezelés a megfelelő tájékoztatás hiányában nem jogsze- rű, továbbá azért sem, mert a forgalmi rend megváltoztatásával kapcsolatos lakossági köz- vélemény-kutatásához szükségtelen és arány- talan alapjogi korlátozást jelent fent nevezett személyes adatok kezelése. (577/P/2008)”
(Beszámoló [2009] 104–105. old.)
Az adatvédelmi biztos nemzetközi ügyei- ről szólva összefoglalta azokat a híreket, me- lyek nagytömegű személyes adatok eltulajdo- nításáról szóltak. Ezeket az ügyeket azért tar- totta fontosnak közölni, hogy érzékelni lehes- sen azt a veszélyt, amely ezekben az esetekben a polgárokat fenyegeti.
2007 decembere és 2008 márciusa között hajtották végre az Egyesült Államok egyik legnagyobb adatlopási bűncselekményét úgy, hogy az adattolvajok fizetéskor, a bankkal tör- ténő adatcsere közben törtek be szupermarket láncok számítógépes rendszerébe, megszerez- ve ezzel 4,2 millió darab bankkártya adatait.
A Bank of New York Mellon ügyfeleinek körülbelül 4,5 millió személy adatait tartalma- zó dekódolatlan háttértárlemezét vesztette el szállítás közben a külső tárolást végző cég 2008 februárban.
Németországban a „liechtensteini” bank- számlák német tulajdonosainak okozott igen nagy kellemetlenséget az az egykori bankal- kalmazott, aki jó pénzért eladta a német adóha- tóságnak a pénzes adócsalók – köztük a német posta vezérigazgatójának – számlaadatait.
A Deutsche Telekom vezetősége 2008 májusában nyilvánosan beismerte, hogy egy külső céget bízott meg azzal, hogy a felső
cégvezetők és újságírók telefonhívásainak százezreit kövessék nyomon a kiszivárgott sajtóhírek forrásainak azonosítása céljából, míg az októberi leleplezés szerint a Deutsche Telekom mobiltelefon-leányvállalatától, a T- Mobiltól 17 millió ügyfél adatával „házaltak”
az adattolvajok.
Különösen értékesek és a „piacon” jól el- adhatók voltak a híres emberek – befolyásos politikusok, üzletemberek, színészek – tele- fonszámai és e-mail címei, ahogy az Egyesült Államokban egy bűnöző adóhivatali alkalma- zott is kifejezetten hollywoodi sztárok és hí- res sportolók pénzügyi adataira „szakoso- dott”.
2008 augusztusában 84 ezer brit börtön- lakó bűnügyi személyes adata veszett el nyomtalanul egy kocsmában elveszített adat- hordozón, a csúcsot azonban a december hoz- ta, mikor a Wirtschaftswoche című német he- tilap beszámolt arról, hogy mintegy 21 millió német polgár bankszámlájának adatai szerez- hetők meg a feketepiacon körülbelül 12 mil- lió euróért. A szakértők azt gyanítják, hogy a kisebb hívási központok révén szivároghattak ki az adatok (Németországban mintegy 5000 hívási központ, callcenter működik). A hívási központok távközlési, energetikai, kábeltele- víziós és egyéb cégektől kapnak megbízáso- kat, ezzel együtt jutnak hozzá a központok a megcélzott fogyasztók adataihoz is. A cégek alvállalkozókat is bevonnak munkájukba, ez- zel pedig megszűnik az adatok feletti szigorú ellenőrzés.
Az adatvédelmi biztos beszámolója immár hagyományos, a jogszabályok véleményezésé- vel kapcsolatos tevékenységek, az adatvédelmi nyilvántartó bemutatásával zárul.
Dr. Lakatos Miklós,
a Statisztikai Szemle főszerkesztője E-mail: miklos.lakatos@ksh.hu
