Kezdőlap
Adatvédelmi változások 2018-tól
Dr. Iszály Mihály biztonsági vezető (ANY Biztonsági Nyomda Nyrt.)
előadása az MBVE XVIII. Konferenciáján
Napjaink slágertémája az adatvédelem – az új hívó szó pedig a GDPR. A GDPR-al kapcsolatos, valóban érdemi információkat átadó rendezvények általában két napban tárgyalják a témakört, ami még így is kevés a valódi elemzésre. Fél órában tehát esélytelen mély szakmai tartalmat átadni. Magasröptű jogi elemzésre van lehetőség, felszínesen karcolni a témát, de az mind az előadó, mind a hallgatóság számára rettenetesen unalmas és fárasztó lenne. Ezért úgy döntöttem, inkább bemutatom, hogy látom én magam az adatvédelem fejlődését, mit hoz, és miért szerintem a GDPR, és hogyan javasolt rá a felkészülés – vezette fel a témát a szakember.
A történelemben visszatekintve jól látható, hogy listák – és adatgyűjtés – a természetes személyekről mindig is voltak, a rómaiaktól kezdve az egyházi anyakönyvezésen át a polgári anyakönyvig, és a választói névjegyzékekig. Ezeknek az adatoknak a felhasználására aztán különböző célokból – jó vagy rossz, nézőpont kérdése – sor került, jellemzően az állam által. A II. világháborút követően kezdetben a privacy került előtérbe, az egyén, mint magányos harcos vívta küzdelmét az állammal.
A modern kori adatvédelem kezdetének a „Nagy Hesseni Terv”-et tekintem, amikor a német tartományi adminisztráció az informatikai rendszerek lehetőségeinek felhasználásával, és azok összekapcsolásával, valamint mesterséges állami azonosítók alkalmazásával kívánta megkönnyíteni a közigazgatási és egyéb állami feladatok ellátását. A terv kiszivárgott, a lakosság ellenállásán a tervezett formában megbukott, viszont elindított egy folyamatot, amelynek eredményeként először Hessen tartományban, majd Németországban, később egész Európában megszülettek az első adatvédelmi törvények. Később a szabályrendszert magasabb szintre emelték, rendszerezték, és az európai adatvédelmi irányelvek formálták egységes normarendszerré.
A különbség Nyugat és Kelet között az adatvédelem területén is megmutatkozott. Nagyjából abban az időben, amikor a német szövetségi állam törvényben tiltotta meg az egységes mesterséges azonosító használatát, az állami nyilvántartások korlátlan összekapcsolását és a felügyelet nélküli profilalkotást, a Magyar Népköztársaság bevezette a személyi számot, éppen a fenti célok elérése érdekében. Érdekes, hogy a magyar nyilvántartások elektronizálása ugyanakkor elérte a német szintet, hiszen a magyar titkosszolgálatok a COCOM-lista kijátszásával a németektől szerezték meg az első modern, nagygépes informatikai rendszereket. A magyar állam számára ez volt az aranykor.
A rendszerváltás az adatvédelem területén is nagy változást hozott. Az újonnan alakult Alkotmánybíróság keményen bekezdett (személyiszám-határozat), a jogalkotó elfogadta az első nyilvántartási törvényt (Nytv.) és az első magyar adatvédelmi törvényt (Infotv.), sőt, lett adatvédelmi biztosunk is. 1996-ban a Szaztv. létrehozta a mesterséges állami azonosítókat, és lefektette a felhasználásuk szabályrendszerét. Az aranykor az állam számára véget ért. A közigazgatási, rendvédelmi szervek és a titkosszolgálatok tanácstalanul álltak: akkor most mi lesz? Szerencséjükre megtalálták a megoldást: az adatokhoz történő hozzáférést biztosító felhatalmazásokat törvényben kell megteremteni. Ez volt a nagy adatvédelmi jogalkotás kora, 1999-től 2004-ig.
Problémák az adatvédelmi szabályrendszer miatt persze magasabb, összeurópai szinten is voltak. Egymást érték a botrányok, földrészek csaptak öszsze (SWIFT botrány, PNR, Megfelelőségi Lista, Safe Harbour, FATKA). Robbant a technológiai forradalom, új érdekszférák és ellentétek jelentek meg. Míg kezdetben az egyén és az állam állt egymással szemben, ma már az Európai Unió és a nemzetközi multinacionális vállalatok, elsősorban a tech-szektor szembenállásáról beszélhetünk. Tekintettel arra, hogy az irányelv, mint jogszabályi forma széles mozgásteret a tagállamoknak a nemzeti jogalkotás során, az Európai Unió részéről az egységes és egyenszilárd fellépés érdekében szükséges volt a közvetlenül hatályos jogi normát alkalmazni az adatvédelem területén, és lekövetni a változásokat. Megszületett a General Data Protection Regulation (GDPR), teljes nevén az Európai Parlament és Tanács (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/k rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet). A GDPR a kihirdetését (2016. április 27.) követő 20. napon lépett hatályba, és rendelkezéseit 2018. május 25-től kell kötelezően alkalmazni.
A GDPR az Európai Unió minden tagállamában közvetlenül alkalmazandó, ezért külön nemzeti jogalkotás nem szükséges a magyar jogrendbe történő átültetéshez. Ez egyben azt is jelenti, hogy a természetes személyek, az adatkezelők és az adatfeldolgozók közvetlenül is hivatkozhatnak a GDPR rendelkezéseire. Fontos ugyanakkor megjegyezni, hogy az uniós jogszabály a tagállamok számára lehetővé teszi, hogy a belső jogrendjükben konkrétabb rendelkezéseket tartsanak fenn, vagy vezessenek be annak érdekében, hogy kiigazítsák a rendeletben foglalt szabályok alkalmazását. Ez a gyakorlatban azt jelenti, hogy a GDPR hatására számos magyar jogszabály módosítása várható az elkövetkező időszakban. Ugyanakkor ezeket a jogszabályokat az alaprendelettel összhangban, azzal együtt kell olvasni és alkalmazni (lyukaszászló-szindróma).
A GDPR a korábbi Adatvédelmi Irányelvet mintegy 25 pontban módosítja, illetve hoz be új rendelkezéseket, amelyek lekövetik a technológiai-társadalmi környezet változásait, és megpróbálja értelmezni és értékelni az ember, a természetes személy helyzetét a jelenlegi világunkban. Az uniós jogi norma alkalmazása ugyanakkor akkor lesz sikeres, ha a 29. számú Adatvédelmi Munkacsoportot felváltó, független EU szervként létrejövő Európai Adatvédelmi Testület (European Data Protection Board) kiadja az egységes gyakorlati alkalmazást elősegítő iránymutatásait. Ez a rendelkezésre álló információk szerint 2017. november közepére lesz teljeskörűen hozzáférhető.
A GDPR szabályainak való megfelelésre történő sikeres felkészülés során érdemes figyelembe venni az alábbiakat. A GDPR egy jogszabály, melynek gyakorlati alkalmazását a Testület iránymutatásai segítik. Emellett tekintetbe kell venni a nemzeti, kiegészítő jogalkotás során hozott rendelkezéseket is. Fontos továbbá tekintettel lenni arra a felkészülés során, hogy a GDPR a természetes személyek adatainak kezeléséről szól, a társasági adatvagyon védelmét nem szabályozza. A felkészülés tehát alapvetően jogkérdés. Az adatkezelőknek és adatfeldolgozóknak elsősorban jogi szempontból kell átvilágítaniuk szervezeteiket, feltárni az esetleges hiányosságokat, és megoldási javaslattal élni azok megszüntetésére. Számítani kell arra is, hogy a mindennapi működés jelenlegi folyamatain módosítani kell a megfelelőség érdekében, ideértve az alkalmazott informatikai megoldásokat is. A felkészülés remek alkalmat kínál más, korábban már feltárt problémák megoldására, elhalasztott fejlesztések megvalósítására, az üzleti titkok védelmének erősítésére, a dokumentummenedzsment folyamatok megújítására. Az informatika azonban másodlagos szerepet kell hogy betöltsön a felkészülés során, a domináns a jog.