Új adatvédelmi törvény: akár tízmilliós bírság érheti a nem regisztrált adatkezelőket

Jövő januártól hatályba lép az új adatvédelmi törvény, amely alapján akár tízmillió forintra is büntethetik azt az adatkezelőt, aki elmulasztja a bejelentkezést az adatkezelési nyilvántartásba. A törvény szigorítja a közérdekű állami adatok megismerésének szabályait, a személyes adatok védelmét viszont a jelenlegi törvényhez képest számos ponton gyengíteni fogja.

Miután a jelenlegi öt ombudsman helyét januártól egy fogja átvenni, így az adatvédelmi biztos hivatala is megszűnik. A helyét átvevő Nemzeti Adatvédelmi és Információs Hatóság elnökét a köztársasági elnök fogja kinevezni, kilenc évre. Az új hatóság a jelenlegi ombudsmanhoz képest kemény szankciós jogosítványokat is kap: százezertől tízmillió forintig terjedő bírságot szabhat ki a jogosulatlan adatkezelőkkel szemben.

A bírságolásra kitűnő lehetőséget biztosít a hétfőn elfogadott törvény azon passzusa, miszerint a személyes adatok kezelése előtt az adatkezelő köteles az adatkezelés nyilvántartásba vételét kérelmezni a hatóságnál. Az adatkezelés pedig a nyilvántartásba vételt megelőzően nem kezdhető meg.

Miután az e-mail cím is személyes adat, így praktikusan ez azt jelentheti, hogy például valamennyi hírlevélküldő szolgáltatónak be kell jelentkeznie januárig a hatóságnál, ha nem akarja kitenni magát a hatóság szankcióinak. A regisztrációs kérelemnek tartalmaznia kell majd az adatkezelés célját, jogalapját, az érintettek körét, az érintettekre vonatkozó adatok jellegét, forrását, továbbított adatok esetén az adattovábbítás jogalapját, címzettjét, az adatok típusát, az adatkezelő nevét és címét, a tényleges adatkezelés helyét, hogy csak a legfontosabbakat említsem. 

Megnyugtató, hogy a hatóság a hiánytalanul kitöltött kérelem esetén az adatkezelőt nyolc napon belül nyilvántartásba fogja venni, illetve ha ezt mégsem teszi meg határidőben, akkor nyolc nap után az adatkezelés megkezdhető - már ha vállaljuk annak kockázatát, hogy két hónappal később esetleg mégis előkerül egy elutasító határozat a bürokrácia mocsarából. Mindenesetre érdemes lesz a kérelmet tartalmazó levélküldeményt ajánlottan feladni (bár nincs kizárva, hogy elektronikusan is be lehet nyújtani a kérelmet, de azért ne legyünk túl optimisták). Egyelőre annyi biztos még, hogy a nyilvántartásba vételi eljárásért díjat kell majd fizetni - ennek mértékét a KIM fogja rendeletben megállapítani.

Érdekes értelmezési kérdéseket fog felvetni a törvénynek az a - magánszférát és információs önrendelkezési jogot erőteljesen szűkítő - rendelkezése is, hogy az érintett hozzájárulásával kezelt adatokat az adatkezelő "a rá vonatkozó jogi kötelezettség teljesítése céljából", valamint "az adatkezelő vagy harmadik személy jogos érdekének érvényesítése céljából" további külön hozzájárulás nélkül, vagy akár az érintett hozzájárulásának visszavonását követően is kezelheti - ha ez az adatvédelmi jog korlátozásával arányban áll.

A jelenlegi törvényhez képest az új törvény súlyos joghézagot tartalmaz a közérdekű adatok megismerésére vonatkozó szabályok között is. Jelenleg közérdekű adatnak minősül a közfeladatot ellátó szerv "tevékenységére vonatkozó, illetve kezelésében lévő" valamennyi adat. Az új adatvédelmi törvény a definíciót leszűkíti az ezen szervek tevékenységére vonatkozó adatokra. Ugyanakkor a közérdekű adatigénylés kapcsán a törvény úgy fogalmaz, hogy a közfeladatot ellátó szervnek csak a kezelésében lévő közérdekű adat megismerését kell biztosítania. Ez gyakorlatilag a következőt jelenti: A állami szerv a tevékenységére vonatkozó adatait továbbadja kezelésre B állami szervnek, B pedig pontosan így tesz az ő tevékenységére vonatkozó adatokkal. Ha ezek után egy újságíró odajön B állami szervhez, akkor az széttárhatja a kezeit, és azt mondhatja, hogy ami nálam van, az nem az enyém, tehát nem vagyok köteles odaadni, ami rám vonatkozik, az pedig ugyan közérdekű adat, de az meg nem nálam van, úgyhogy azt sem tudom megmutatni. De nyilvánvalóan ez csak egy rosszindulatú feltételezés, én pedig egy szőrszálhasogató jogász vagyok. Remélem, tényleg így van.

Share |

Zártkörűen működő cégnyilvántartás

Nem vagyok nyitott az új dolgokra, tudom, nekem már a koffeinmentes kávénál is ledobja az agyam a gépszíjat. Nehezen értem meg, ha valamit egy bizonyos cél érdekében hoznak létre, majd a gyakorlati átültetésekor úgy agyonszabályozzák, hogy végül maga a kezdeti célkitűzés válik értelmetlenné.

A cégnyilvántartást azért hozták létre, hogy bárki ember fia meggyőződhessen például arról, hogy vajon a Svindli Bt. mögött, amelyik direkt marketing levelekkel bombáz, ugyanaz a Gipsz Jakab áll-e, aki korábban néhány céget már sikeresen csődbe vitt, vagy aki után éppen piramisjáték-csalás miatt nyomoz a rendőrség. A cégnyilvántartás segítségével nap mint nap ellenőrzik a fővállalkozók az alvállalkozókat, az alvállalkozók a beszállítókat, a beszállítók a nagykereskedőket, a nagykereskedők a kiskereskedőket, a kiskereskedők a leendő üzleti partnert, az ügyvédi irodák pedig mindenkit.

A cégnyilvántartás használatához természetesen kell tudni legalább a keresett cég nevét, vagy cégjegyzékszámát, e nélkül nincs is értelme hozzákezdeni a keresésnek. Vagyis, ha én csak annyit tudok, hogy Gipsz Jakab kiszállt a Svindli Bt-ből, és alapított egy új céget, akkor a cégnyilvánosság elve már nem érvényesül, nyilván a személyes adatok kíméletlen védelme érdekében. Hozzáteszem, nálunk szerencsésebb történelmi fejlődésű országokban, mint például Csehországban, nemcsak a cégnyilvántartásban, de a telekkönyvben is lehet név szerint, elektronikusan keresni, tehát Gipsz Jakabról még az is kiderül, hány telkét terheli már jelzálog. Vannak olyan volt kommunista országok, amelyek már megértették a demokrácia lényegét: az átláthatóságot és a nyilvánosságot.

Magyarország az OECD versenyképességi ranglistáján hagyományosan hátul kullog, az utóbbi időben azonban egy területen volt legalább mezőnyben: ez a cégalapítás, cégeljárás és cégnyilvántartás egyszerűsége, gyorsasága és átláthatósága. Nosza, akkor rendszabályozzuk meg – döntött így a Parlament nemrég, és a személyes adatok védelmére hivatkozva már le is radírozták a céginformációs szolgálat által kiadott cégkivonatokról a cégek tagjainak, vezető tisztségviselőinek, könyvvizsgálóinak, felügyelőbizottsági tagjainak lakcímeit. Arra hivatkozva egyébként, hogy egy szintén most meghozott törvény alapján nyilvános adat lesz az állami cégek vezető tisztségviselőinek fizetése, és nem szerencsés, ha a nagyérdemű egyszerre látja, hogy a derék közszolga mennyit keres, illetve hol lakik.

Természetesen jogunk van tudni, hogy az állami vállalatok vezetőinek munkáját adóforintjainkból pontosan mennyivel honorálják. Sokkal fontosabb közérdek fűződik azonban ahhoz, hogy a cégek vezetői beazonosíthatóak legyenek. A cenzúrázott cégkivonatban jelenleg a természetes személy neve, illetve anyja neve látható (ha már adatvédelem, akkor inkább ez utóbbi aggályos, hiszen beleegyezése nélkül milyen alapon használják fel személyes adatát a cégkivonatban, ha a céghez csak annyi köze van, hogy ő az ügyvezető anyukája?). Ez a két adat önmagában mindenesetre édeskevés, hiszen bizonyára jó pár Kovács István létezik, akinek édesanyját Kiss Zsuzsannának hívják. Az oknyomozó újságírók e két adat birtokában nem írhatják le százszázalékos bizonyossággal, hogy a Svindli Bt. és a Korrupt Kft. tulajdonosi szerkezete össze van fonódva. Márpedig az oknyomozó újságírók körültekintőek, mert nem akarnak rágalmazás miatti kártérítési pereket.

De egyik hivatalos eljárás elindításához sem elégséges ez a két adat. Ha például a Svindli Bt. tartozik nekem, és én felszólító levelet küldök a cég székhelyére (ez az adat szerencsére még nyilvános), ahonnan jó darabig nem jön válasz, akkor jogom lenne közvetlenül a bt. beltagjához fordulni, mert ő mögöttesen felel a cég tartozásaiért, ráadásul a teljes vagyonával. A lakcím ismerete nélkül mindez nehezen megy.

Azt mondja a törvény, hogy egyéb személyek törvényben biztosított jogaik gyakorlásához vagy törvényes érdekeik védelmében a cégjegyzékbe bejegyzett lakóhelyet kizárólag a céginformáció iránt benyújtott kérelem alapján ismerhetik meg. Remek. Naponta csak ügyvédi irodáktól, behajtóktól több ezer ilyen kérelem fog a cégbíróságokra érkezni, ezt most borítékolom. A cégbíróságnak a törvény szerint elektronikusan öt éven át rögzítenie kell azt, hogy ki, mikor és milyen jogcímen kért ki lakcímadatot tőlük, ráadásul mindezt oly módon, hogy az adat célhoz kötött felhasználása ellenőrizhető legyen. Az adat törvényes jogcímtől eltérő felhasználásának jogkövetkezményeit az információt kérő viseli. Ez a fenyegetés elsősorban az újságíróknak szól, hogy az általuk kért lakcímadatot ne közöljék az újságban, ezt azonban eddig sem tették, hiszen nem az érdekes, hogy Gipsz Jakab hol lakik, hanem az, hogy hány cége ellen indult már felszámolás. Másrészt viszont felvetődik a kérdés, hogyan bizonyítható a jogcímtől eltérő felhasználás, illetve a felhasználó személye. Ha betörnek a vezérigazgató villájába, akkor a rendőrség kihallgatja majd az összes személyt, aki a lakcímet a cégbíróságon lekérdezte? Érdekes kérdés, de ez már legyen a rendőrség dolga.

Az adatvédelmi jog világosan különbséget tesz az egyes adatkategóriák között. Vannak közérdekű adatok és vannak személyes adatok. Továbbá vannak olyan személyes adatok is, amelyek közérdekből nyilvánosak. A Jogifórum tavaly két ismert adatvédelmi jogi szakértővel készített interjút. Dr. Jóri András – aki időközben adatvédelmi biztos lett – a cégadatokkal kapcsolatban leszögezte:

"a cégnyilvántartás arra szolgál, hogy a hitelezők érdekeinek védelme, a forgalom biztonsága érdekében megismerhetők legyenek a cégek adatai, közöttük a cégben tagként, cégjegyzésre jogosultként, vezető tisztségviselőként vagy felügyelőbizottsági tagként szereplő természetes személyek adatai is. Az érintett személyek ebben az esetben természetesen nem hivatkozhatnak a személyes adatok védelméhez fűződő alkotmányos jogukra, hogy a betekintést megakadályozzák."

Dr. Szabó Máté Dániel még ennél is továbbment:

"a cégadatok, és azokkal együtt a cégekben tevékenykedő természetes személyek egyes személyes adatai nyilvánosságát elsősorban a forgalom biztonsága indokolja, az, hogy aki szerződik, tudja, kivel köt üzletet, ne lehessen olyan könnyen becsapni egymást a piacon. A jogi szabályozással előírt nyilvánosság ezt úgy éri el, hogy a gazdaságnak ezt a részét átláthatóvá teszi: akit érdekel, hogy ki áll egy vállalkozás mögött, vagy milyen összefonódások vannak a piaci versenytársai között, az a kötelezően nyilvános adatok felhasználásával ellenőrizheti ezeket. A tág értelemben vett információsza­badságból pedig az a követelmény is levezethető, hogy a közhatalom átláthatósága mellett a gazdasági hatalom is legyen bizonyos mértékben átlátható."

A fentiek tükrében én az adatvédelmi biztos helyében a mostani törvénymódosítás kapcsán gondolkodnék egy alkotmánybírósági beadványon. De lehet, hogy valamelyik újságíró vagy ügyvéd már meg is előzte.

Share |

Habemus ombudsman: megválasztották az adatvédelmi biztost

Ötödjére sikerült a Parlamentnek adatvédelmi biztost választania. Önmagában az a tény, hogy mintegy tíz hónapig nem volt képes a törvényhozás választani a tisztségre valakit, jól mutatja, hogy mennyire érdekli a T. Házat az adatvédelem. De nem kesergek, mert Jóri András személyében olyan ember lesz az ombudsmani hivatal élén, akinek egyik szakterülete az informatikai jog, rendszerinformatikusi végzettsége pedig garanciát jelent arra, hogy az adatvédelmi jogi gyakorlat gyorsan reagálhasson az új technológiák kihívásaira.
A tanulmányaiban kifejtett nézetei alapján az mondható el, hogy gyakorlati ember, s az utóbbi időben az adatvédelmi jogra jellemző dogmatizmus helyett a praktikus változtatások híve. Csak egy példa: ma a joggyakorlat egységes abban, hogy minden személyes adat, amely egy meghatározott emberrel kapcsolatba hozható, függetlenül attól, hogy az illető, akinek a birtokában van, objektíve képes-e a kapcsolat megállapítására. Például az autók rendszámából csak a belügyi nyilvántartás alapján lehet a tulajdonost megállapítani, erre tehát akármely földi halandó nem képes. Vagy ott van az IP cím, ami szintén személyes adat, de konkrét személlyel csak az internetszolgáltató tudja összefüggésbe hozni. Nos, Jóri egy tanulmányában azt fejtegeti, hogy célszerű lenne az ilyen esetekre megalkotni a közvetett személyes adat fogalmát, mert nem várható el, hogy például rám, mint egyszerű tartalomszolgáltatóra, aki az oldal látogatóinak IP címéhez ugyanúgy hozzáférek, de a mögöttük rejtőző személyt csak külső segítséggel tudnám felfedni, ugyanolyan szigorú előírások vonatkozzanak, mint arra, aki ezt a kapcsolatot közvetlenül elő tudja állítani.
Eddig megjelent publikációi tehát bizakodásra adnak okot, s remélhetőleg állásfoglalásaival segíteni fogja a tisztánlátást néhány ellentmondásos kérdésben.

Share |

A rendőr, a tüntető és a fotóriporter: személyiségi jogok tüntetéseken

Már régóta terveztem egy bejegyzést a rendőrök képmáshoz való jogával kapcsolatban, a mai tüntetések pedig ismét aktuálissá tették a kérdést: kinek milyen személyiségi jogai lehetnek egy tüntetésen? Kérheti-e egy rendőr, hogy ne fotózzák? És egy tüntető? Kinek higgyen a fotóriporter? (Tételezzük fel, hogy nem verik meg.)

Közszereplő-e vagy?

Kezdjük a tüntetőkkel. Aszongya a Ptk., hogy nyilvános közszereplés kivételével képmás nyilvánosságra hozatalához az érintett hozzájárulása szükséges. Nyilvános közszereplés-e egy tüntetés? Hát persze. Hiszen valamilyen közéleti, társadalmi célja van, az emberek ki akarnak vele fejezni, el akarnak érni valamit (hogy mit, az most nem érdekes), de ez különbözteti meg a tüntető tömeget a metróra várakozó tömegtől (bár a hasonlat sántít, hiszen azok is el akarnak érni valamit…). A fő kérdés nem is az, hogy a tüntetés közszereplés-e, hanem hogy mi a helyzet az ilyen rendezvények passzív résztvevőivel. Ugyanis nyilvánvaló, hogy egy szónok, legyen akár hivatásos, akár spontán, éppen egy aktív közéleti tevékenységet végez, mondhatni közszereplő, tehát fotózható.
De mi a helyzet azzal, aki csak elmegy, hogy puszta jelenlétével, jobb esetben kiabálásával, rosszabb esetben különféle tárgyak dobálásával véleményt nyilvánítani? Ők azok a passzív résztvevők, akikről több jogász azt gondolja, hogy nem közszereplők. Szerintem viszont aki akár melegfelvonulásra, akár szélsőjobbos tüntetésre, akár chartázni megy, az önként tárja a nyilvánosság elé a saját hovatartozását, ráadásul számolnia kell azzal, hogy az esemény a médiát nem hagyja hidegen. Logikátlan lenne tehát, ha tiltakozhatnának a fotózás ellen. (Mellesleg aki akar, az úgyis csuklyát húz a fejére.)


Biztos úr, mosolyt kérek!

A rendőr feladata ellátása közben van jelen egy tüntetésen, nem "résztvevője" annak. Az adatvédelmi biztos ennek alapján mondta azt, hogy mivel a rendőr nem közszereplő, ezért nem is fotózható. Igen ám, de pont az adatvédelmi törvény rendelkezéseit nem vette figyelembe, hiszen az alapján más lehet a következtetés.
Van ugyanis egy olyan szabály, hogy a közfeladatot ellátó személy feladatkörével összefüggő személyes adata közérdekből nyilvános. Hmmm. Közfeladatot végez a rendőr? Nem mindig, de általában igen. Például amikor igazoltat. Vagy tömegoszlat. Vagy gumibotozik. Miért? Mert olyat csinálhat, amire másnak ilyenkor nincs joga: a rá bízott közhatalomnál fogva kényszert alkalmaz. Ilyenkor ő nem elsősorban Kovács Elemér, hanem az állam kinyújtott keze. Az állam pedig nem lehet láthatatlan, legalábbis demokráciában biztosan nem. Ez az értelme ennek az adatvédelmi szabálynak.
Kétségtelen, hogy a rendőrnek az intézkedés során rengeteg szabályt kell betartania. De ezért is vetik őket alá különféle pszichológiai vizsgálatoknak. Fel kell arra készülniük, hogy a tevékenységük a nyilvánosság előtt fog zajlani. Nem várható el persze, hogy a tömegoszlatás közben vegyék le a bukósisakjukat, ezért kell azonosítót viselniük. De ha éppen nincs rajtuk bukósisak, akkor a közhatalom gyakorlása közben nem tiltakozhatnak a fotózásuk ellen. A hangsúly a közhatalom gyakorlásán van, mert amikor éppen újságot olvasnak vagy sétálgatnak, akkor már megint magánemberek, de ha helyszínelnek, igazoltatnak, akkor semmiképpen nem azok.

Fotózhat-e rendőr tüntetőt?

Na igen, ez is kemény dió. Hiszen ha a fotóriporter fotózhatja őt, akkor a rendőr miért ne? A rendőrnek igen széleskörű jogai vannak a bűncselekmények felderítése érdekében, s ezek többnyire háttérbe szorítják az adatvédelem elveit. (Hogy csak a legkézenfekvőbb példát említsem: a BKV ellenőr nem jogosult elkérni a személyi igazolványt, a rendőr viszont igen.)
Van egy olyan szabály, ami kimondja, hogy a Rendőrség a rendőri intézkedéssel összefüggésben az intézkedéssel érintett személyről, a környezetről, illetőleg a rendőri intézkedés szempontjából lényeges körülményről, tárgyról felvételt készíthet. Elvileg tehát azt is megteheti, hogy egy egész közvetítőkocsit kivezényel a helyszínre, és az egész tüntetést levideózza. Ennek bűnmegelőzési célja van, így könnyebb visszakeresni, hogy kik voltak a rendbontók. De mivel előre nem lehet megmondani, lesz-e rendbontás, előfordulhat, hogy ok nélkül rögzítik az eseményt. Ezért van az, hogy ha a tüntetéssel kapcsolatban nem indul eljárás, akkor 6 hónap után meg kell semmisíteniük a szalagot.
Persze az ő joga sem korlátlan. Az adatvédelmi biztos nemrég felhívta a figyelmet arra, hogy az ilyen jellegű felvételek készítésénél is figyelemmel kell lenni az emberi méltóságra. Az ugyanis joggal való visszaélés, ha a rendőr az igazoltatás alkalmával „tetőtől talpig” lekamerázza az érintettet, és utasítja, hogy végig nézzen a kamerába.

A tanulság röviden: mindenki kamerázhat mindenkit, de csak ésszel.

Share |

Családi fotóból reklámposzter

Nemrégiben bukkantam rá az alábbi videóra, ami egy régebbi TV Ügyvédjéből van. Az eset a következő: apuka felrakja az internetre a családi fotókat a kislányáról, majd döbbenten veszi észre, hogy az egyik fotót egy cég fényképes újsághirdetésben használta fel. A cég ügyvédje a panaszukra úgy reagált, hogy sem jogellenesség nem történt, sem kára nem származott belőle a kislánynak.

A sikeres kártérítési keresethez ugyanis négy feltétel szükséges: jogellenes magatartás, kár, okozati összefüggés és felróhatóság.
Az első feltétel ebben az esetben rögtön háromszorosan is teljesül. Egyrészt említik a riportban a személyiségi jogokat, valamint az ügyvéd ismerteti a Ptk. ide vonatkozó részét, miszerint képmás nyilvánosságra hozatalához az érintett személy hozzájárulása szükséges. Másrészt az adatvédelmi biztos is elmondja, hogy személyes adat csak akkor kezelhető, ha az érintett előzetesen hozzájárult (az arckép ugyanis személyes adatnak minősül). Harmadszor viszont, és ez csak a videó végén vetődik fel egy félmondatra, szerzői jogokat is sért az, aki más fényképét jogosulatlanul felhasználja.
A videóban arról beszélnek sokat, hogy az apának kell bizonyítania a kárt, és hogy ez mennyire nehézkes. Valóban, a személyiségi jogok megsértésekor kártérítési pert indítani csak annak érdemes, akinek jó ügyvédje van, vagy akit mondjuk kézzelfogható kár ért, mert pl. kirúgták a munkahelyéről, vagy el kellett a szégyentől hagynia a lakókörnyezetét stb. A lelki sokkot, a pszichés terheket, az emberi méltóságon esett csorbát ugyanis sokkal nehezebb bizonyítani, márpedig ha nincs kár, akkor nincs kártérítés.
Az adatvédelemre hivatkozva ugyanerre a következtetésre kell jutnunk: igaz, hogy a jogellenességet itt az apának nem kellene bizonyítania, mert a cégnek kellene azt, hogy jogszerűen jutott a fotóhoz, vagyis a kislány személyes adatához; azonban, ha kárigénye van, akkor megint csak neki kell bizonyítania a kárt. De legalább egyszerűbben elérheti a fotó további felhasználásának megakadályozását.
Ha viszont arra hivatkozik, hogy azok a fotók szerzői művek (és ez a szerzői jogi törvény 1999-es módosítása óta szinte minden fényképre igaz), akkor a kár bizonyítása is egyszerűbb. Hiszen a szerző a műve felhasználása után díjazásra jogosult. Ha az apuka hozzájárult volna a fotó felhasználásához, akkor azt bizonyára ellenérték fejében tette volna, azonban így egy egész jól meghatározható kár érte: az a pénz, amit általában a reklámpiacon egy ilyen méretű és minőségű reklámfotóért kérni szoktak, s amitől ilyenformán elesett.
Ha pedig egyik jogcím sem bizonyul szerencsés útnak, még mindig hivatkozhat a Ptk. jogalap nélküli gazdagodásának szabályaira, az ugyanis tiltja, hogy bárki jogellenesen vagyoni előnyre tegyen szert más rovására.
Persze tudom, ez a magyarázat kissé tankönyvszagúnak bizonyul. Bevallom őszintén, gyakorlat híján nem tudom, melyik út a járhatóbb. Célszerű lehet azonban ilyenkor az adatvédelmi biztos állásfoglalását kérni, az ő eljárása ugyanis díjmentes és aránylag gyors, és bár - egy bírósági ítélettel szemben - nem kényszeríthető ki, mégis van egy hivatalos papír a kezünkben. Az ombudsman működésének eddigi tapasztalatai alapján elmondható az, hogy állásfoglalásainak nagy presztízse van, a jogalanyok általában eleget tesznek a döntésének.

Share |