Uniós adatvédelmi reform: a Tanács megerősítette az Európai Parlamenttel létrejött megállapodást

Az Állandó Képviselők Bizottsága (Coreper) 2015. december 18-án megerősítette az adatvédelmi reformra vonatkozóan az Európai Parlamenttel kialakított kompromisszumos szövegeket. A Tanács, a Parlament és a Bizottság között december 15-én jött létrejött megállapodás összhangban van az Európai Tanács azon kívánságával, hogy az adatvédelmi reformra vonatkozó tárgyalások 2015 végéig lezáruljanak.

Félix BRAZ luxemburgi igazságügy-miniszter, a Tanács elnöke kifejtette: „A megállapodás alapvető fontosságú és fontos következményekkel jár. A reform nemcsak a polgárok jogait szilárdítja meg, hanem a digitális kor igényeihez igazítja a vállalatokra vonatkozó szabályokat is, miközben csökkenti az adminisztratív terhet. Ambiciózus és előretekintő szövegeket fogadtunk el. Az eredményben joggal bízhatunk.”  

Az adatvédelem reformjára irányuló jogalkotási csomagot a Bizottság 2012-ben terjesztette elő azzal a céllal, hogy naprakésszé tegye és korszerűsítse az adatvédelemre vonatkozó szabályokat.  A reform két jogalkotási eszközt jelent: az általános adatvédelmi rendeletet (amely a 95/46/EK irányelvet hivatott felváltani), valamint a bűnüldözés területén alkalmazandó adatvédelmi irányelvet (amely a 2008-as adatvédelmi kerethatározatot hivatott felváltani). 

Az egyéneknek a személyes adataik kezelésével összefüggésben történő védelme olyan alapvető jog, amelyet az Európai Unió Alapjogi Chartája (8. cikk) és az Európai Unió működéséről szóló szerződés (16. cikk) is rögzít.

Általános adatvédelmi rendelet

Az általános adatvédelmi rendelet fokozza az egyén adatainak védelmét a személyes adatok kezelése során, valamint – többek között az adminisztratív teher csökkentésével – kedvezőbb üzleti lehetőségeket teremt a digitális egységes piacon. 

Magasabb szintű adatvédelem

A személyes adatok kezelésére vonatkozó alapelveknek és szabályoknak összhangban kell lenniük az alapvető jogokkal és szabadságokkal, különösen a személyes adatok védelméhez való joggal. A megerősített adatvédelmi jogok lehetővé teszik az érintettek számára (vagyis azok számára, akiknek a személyes adatait kezelik), hogy az alábbiaknak köszönhetően fokozottabb ellenőrzést gyakoroljanak személyes adataik felett: 

• konkrétabb szabályok vonatkoznak az adatok adatkezelők (az adatok kezeléséért felelős szervek) általi kezelésére; az érintettektől például beleegyezést kell kérni
• könnyebb hozzáférés a személyes adatokhoz
• több információ arról, hogy mi történik az adatokkal a megosztás után. Az érintetteket például egyszerű és világos nyelvezetet használva tájékoztatni kell az adatvédelmi szabályzatról – ezt az adatkezelők szabványosított ikonok segítségével is megtehetik
• a személyes adatok törléséhez való jog, valamint a személyes adatok eltávolíttatásához való jog. Ez például lehetővé teszi az érintettek számára, hogy a gyermekkorukban a közösségi hálózatokon közzétett vagy róluk gyűjtött adatok haladéktalan eltávolítását kérjék
• amennyiben egy 16 éven aluli fiatal online szolgáltatást kíván használni, a szolgáltatónak meg kell kísérelnie annak megállapítását, hogy a felhasználó kapott-e ehhez szülői beleegyezést. A tagállamok e szabály alkalmazásakor alacsonyabb életkort is megállapíthatnak, ám nem határozhatnak meg 13 év alatti korhatárt
• az adatok hordozhatóságához való jog, amely megkönnyíti az adatoknak a szolgáltatók – például közösségi hálózatok – közötti továbbítását. Ez nem csak az adatvédelem szintjét emeli, hanem fokozza a szolgáltatók közötti versenyt is
• a közérdekhez vagy az adatkezelő jogos érdekeihez kapcsolódóan végzett adatkezelés kifogásolásához való jog. Ez a jogosultság többek között a „profilalkotás” céljából felhasznált személyes adatokra vonatkozik
• egységes biztosítékok az archiválás érdekében történő adatkezelés olyan eseteiben, amikor az a közérdeket, valamint tudományos és történeti kutatások, illetve statisztikai munka céljait szolgálja.

A jogorvoslat földrajzi közelségének biztosítása érdekében az érintettek az adatvédelmi hatóság döntésének felülvizsgálatát nemzeti bíróságaikon is kérelmezhetik, függetlenül attól, hogy az adatkezelőnek melyik tagállamban van a székhelye. 

Kedvezőbb üzleti lehetőségek a digitális egységes piacon

A rendelet egységes szabályokat ír elő, amelyek az EU egész területén érvényesek, és az Unió területén szolgáltatásokat kínáló összes – európai és nem európai – vállalatra vonatkoznak. Az egységes szabályok nyomán megszűnnek a tagállamok közötti adatcserének a nemzeti adatvédelmi szabályok különbségeiből adódó akadályai. A rendelet egyben előírja a tagállamok közötti együttműködés fokozását is, biztosítva az adatvédelmi szabályok egységes alkalmazását az EU egész területén. Ez tisztességes verseny kialakulásához vezet és arra ösztönözi a vállalatokat – különösen a kis- és középvállalkozásokat – hogy a lehető legjobban használják ki a digitális egységes piac kínálta lehetőségeket. 

A költségek csökkentése és a jogbiztonság megteremtése érdekében az olyan jelentős tagállamközi esetekben, amelyekben több nemzeti felügyeleti hatóság is érintett, egyetlen felügyeleti határozatot hoznak. Ez az egyablakos mechanizmus lehetővé teszi, hogy az olyan vállalatoknak, amelyek több tagállamban is működnek, csupán a székhelyük szerinti tagállam adatvédelmi hatóságával kelljen együttműködniük. Ez a mechanizmus azt is lehetővé teszi, hogy vitás esetekben a meghozott határozat az egész Unió területén érvényes legyen. 

Az adminisztratív költségek csökkentése érdekében a rendeletalkotók kockázatalapú megközelítést alkalmaztak: az adatkezelők az adott esetben fennálló kockázatok arányában hozhatnak intézkedéseket. A különböző gazdasági tevékenységek különböző adatvédelmi kockázattal járhatnak. A rendeletalkotók nem kívántak minden esetben alkalmazandó megoldást találni: a kötelezettségek úgy szigorodnak, ahogy a személyes adatokkal végzett tevékenységekhez fűződő kockázat nő. 

Több és jobb eszköz az adatvédelmi szabályok betartatásához

A rendelet számos olyan előírást tartalmaz, amely fokozza az adatkezelők felelősségét és elszámoltathatóságát, így biztosítva az új adatvédelmi szabályoknak való teljes körű megfelelést. Az adatkezelőknek számos biztonsági intézkedést kell végrehajtaniuk, többek között bizonyos esetekben értesíteniük kell az érintetteket személyes adataik biztonságának sérüléséről. Annak érdekében, hogy a rendelet megfeleljen a jövő kihívásainak, a beépített és az alapértelmezett adatvédelem alapelveit is tartalmazza. A magas kockázattal járó adatkezelési műveleteket végző vállalatoknak és hatóságoknak adatvédelmi felelőst kell kinevezniük a szabályoknak való megfelelés biztosítása érdekében. 

Az érintettek, valamint – bizonyos feltételek mellett – az adatvédelmi szervezetek panaszt nyújthatnak be egy felügyeleti hatósághoz vagy bírósági jogorvoslatért folyamodhatnak olyan esetekben, amikor az adatvédelmi szabályokat nem tartják be. Az adatkezelőkre kiróható büntetés akár a 20 millió EUR-t vagy globális éves forgalmuk 4%-át is elérheti. 

Garanciák a személyes adatok EU-n kívülre való továbbítására vonatkozóan

A rendelet szabályozza a személyes adatok harmadik országok és nemzetközi szervezetek számára történő továbbítását is. Az adattovábbítás abban az esetben történhet meg, ha az minden feltételnek és megkívánt biztosítéknak megfelel, azaz különösen akkor, ha a Bizottság megállapította, hogy a fogadó fél megfelelő védelmet biztosít. Az új megfelelőségi határozatokat legalább 4 évente felül kell vizsgálni. A már meglévő megfelelőségi határozatok és engedélyek mindaddig érvényben maradnak, amíg azokat nem módosítják, nem váltják fel, vagy nem vonják vissza.   

A bűnüldözés területén alkalmazandó adatvédelmi irányelv

Az irányelv célja az, hogy biztosítsa a személyes adatok védelmét a bűncselekmények megelőzése, kivizsgálása, felderítése, büntetőeljárás alá vonása, valamint büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából végzett adatkezeléssel összefüggésben. 

Alapvető fontosságú egyrészt a személyes adatok konzisztens és magas szintű védelme, másrészt ezen adatok egyes tagállamok bűnüldözési hatóságai közötti cseréjének megkönnyítése is. 

A hatály kiterjesztése

A bűncselekmények megelőzése, kivizsgálása, felderítése és büntetőeljárás alá vonása mellett az új irányelv a közbiztonságot fenyegető cselekmények elleni védelemre és azok megelőzésére is kiterjed. 

Az új irányelvet alkalmazni kell majd a személyes adatok határokon átnyúló kezelésére, valamint a személyes adatoknak a rendőri és az igazságügyi hatóságok általi, pusztán nemzeti szinten történő kezelésére egyaránt. A kerethatározat, amelyet az irányelv felvált, csupán a tagállamok közötti adatcserére terjedt ki. 

Az érintettek jogai

A szabályok egyensúlyt biztosítanak a magánélethez való jog, illetve aközött a szükségszerűség között, hogy a rendőrségnek a nyomozás kezdeti szakaszában titokban kell tartania az adatkezelés tényét. A szöveg ugyanakkor felsorolja azokat az információkat, amelyeket az érintettnek minden esetben meg kell kapnia annak érdekében, hogy megvédhesse jogait, ha úgy gondolja, hogy adatait szabálytalan módon kezelték. 

A szabályok kiterjednek majd a személyes adatok harmadik országok és nemzetközi szervezetek részére történő továbbítására is. 

Megfelelés

Az új irányelv adatvédelmi felelős kinevezését írja elő annak érdekében, hogy az illetékes hatóságok biztosíthassák az adatvédelmi szabályoknak való megfelelést. 

A megfelelés biztosításának másik eszköze a hatásvizsgálat. Abban az esetben, ha az adatkezelési tevékenység valószínűleg magas kockázattal jár az egyének jogaira és szabadságaira nézve, a hatóságoknak vizsgálatot kell folytatniuk az adatkezelési tevékenység lehetséges hatásait illetően, különösen akkor, ha az adatkezelés új technológia felhasználásával történik.   

Nyomon követés és kártérítés

Az irányelv szövege igazodik a rendelet szövegéhez annak érdekében, hogy nagy vonalakban mindkét jogszabályban azonos alapelvek érvényesüljenek. Ezen felül a felügyeleti hatóságra vonatkozó szabályok is nagymértékben hasonlóak, mert az általános adatvédelmi rendelettel létrehozott felügyeleti hatóság foglalkozik az irányelv hatálya alá tartozó kérdésekkel is. Az új irányelv ezenkívül kártérítéshez való jogot is biztosítana az érintetteknek arra az esetre, ha a szabályok be nem tartásával folytatott adatkezelés következtében kárt szenvedtek.                        

A KÖVETKEZŐ LÉPÉSEK

Az Európai Parlament Állampolgári Jogi, Bel- és Igazságügyi Bizottsága december 17-én rendkívüli ülés keretében jóváhagyta a háromoldalú egyeztetés keretében elfogadott szöveget. Ez lehetővé tette a Coreper számára, hogy a mai ülésén jóváhagyja mind a rendelet, mind az irányelv végső kompromisszumos szövegét. A jogász-nyelvészi véglegesítést követően a szövegeket jóváhagyás céljából továbbítják a Tanácsnak, majd a Parlamentnek. A rendelet és az irányelv valószínűleg 2018 tavaszán lép majd hatályba.