A BIZOTTSÁG (EU) 2021/1772 VÉGREHAJTÁSI RENDELETE

(2021. június 28.)

az (EU) 2016/679 európai parlamenti és tanácsi rendelet szerint a személyes adatok Egyesült Királyság által biztosított megfelelő szintű védelméről

(az értesítés a C(2021) 4800. számú dokumentummal történt)

(EGT-vonatkozású szöveg)

AZ EURÓPAI BIZOTTSÁG,

tekintettel az Európai Unió működéséről szóló szerződésre,

tekintettel a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az említett adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27-i (EU) 2016/679 európai parlamenti és tanácsi rendeletre (általános adatvédelmi rendelet) (1) és különösen annak 45. cikke (3) bekezdésére,

mivel:

1. BEVEZETÉS

(1) Az (EU) 2016/679 rendelet meghatározza a személyes adatoknak az uniós adatkezelők vagy adatfeldolgozók által a harmadik országokba és a nemzetközi szervezeteknek történő továbbítására vonatkozó szabályokat, amennyiben az említett adattovábbítás az alkalmazási körébe tartozik. A nemzetközi adattovábbítás szabályait az említett rendelet V. fejezete, pontosabban a 44–50. cikk határozza meg. Noha a személyes adatok Európai Unión kívüli országokba és az onnan az Unióba történő áramlása elengedhetetlen a nemzetközi együttműködés és a határokon átnyúló kereskedelem bővüléséhez, a személyes adatoknak az Európai Unióban biztosított védelmi szintjét nem szabad a harmadik országokba történő továbbítással veszélyeztetni (2).

(2) Az (EU) 2016/679 rendelet 45. cikkének (3) bekezdése értelmében a Bizottság végrehajtási jogi aktusok útján határozhat arról, hogy a harmadik ország, a harmadik ország valamely területe, illetve egy vagy több meghatározott ágazata, illetve valamely nemzetközi szervezet biztosítja a megfelelő védelmi szintet. E feltétel szerint a személyes adatok harmadik országba történő továbbítására további engedély megszerzésének szükségessége nélkül kerülhet sor, az említett rendelet 45. szakaszának (1) bekezdésében és (103) preambulumbekezdésében előírtak szerint.

(3) Ahogy az (EU) 2016/679 rendelet 45. cikkének (2) bekezdése meghatározza, a megfelelőségi határozat elfogadásának a harmadik ország jogrendjére vonatkozó átfogó elemzésen kell alapulnia, lefedve mind az adatátvevőre vonatkozó szabályokat, mind a személyes adatokhoz való, közigazgatási szervek általi hozzáférést illető korlátozásokat és biztosítékokat. Az értékelés során meg kell határozni, hogy az érintett harmadik ország olyan szintű védelmet biztosít-e, amely „lényegében egyenértékű” az Európai Unión belül biztosított védelem szintjével (az (EU) 2016/679 rendelet (104) preambulumbekezdése). A „lényegi egyenértékűség” értékelése az európai uniós jogszabályok, nevezetesen az (EU) 2016/679 rendelet, valamint az Európai Unió Bíróságának ítélkezési gyakorlata alapján történik (3). Európai Adatvédelmi Testület megfelelőségi referenciája ebben a tekintetben is jelentős (4).

(4) Az Európai Unió Bíróságának pontosítása szerint ez nem feltétlenül jelent azonos szintű védelmet. (5) Különösen a harmadik ország által igénybe vett eszközök különbözhetnek az Európai Unióban alkalmazott eszközöktől, amennyiben – a gyakorlatban – ténylegesen megfelelő szintű védelmet biztosítanak (6). A megfelelőségre vonatkozó előírás ezért nem követeli meg az uniós szabályok pontról pontra történő leképezését. A vizsgálat ehelyett arra irányul, hogy az adatvédelemhez való jog tartalmát, hatékony végrehajtását, felügyeletét és érvényesítését tekintve az érintett harmadik ország rendszere összességében véve biztosítja-e az elvárt fokú védelmet (7).

(5) A Bizottság gondosan elemezte az Egyesült Királyság jogszabályait és gyakorlatát. A (8)–(270) preambulumbekezdésben kidolgozott megállapítások alapján a Bizottság arra a következtetésre jut, hogy az Egyesült Királyság megfelelő szintű védelmet biztosít az (EU) 2016/679 rendelet hatálya alá tartozó, az Európai Unióból az Egyesült Királyságba továbbított személyes adatok védelme tekintetében.

(6) Ez a következtetés nem vonatkozik a határt átlépő személyforgalom Egyesült Királyság általi ellenőrzése céljaira továbbított személyes adatokra, vagy amelyek egyébként a határt átlépő személyforgalom hatékony ellenőrzése fenntartása céljából az érintettek jogai alóli, az Egyesült Királyság adatvédelmi törvényének 2. melléklete 1. pontjának (4) bekezdése szerinti egyes kivételek (a továbbiakban: „bevándorlási kivétel”) hatálya alá tartoznak. Az Egyesült Királyság joga szerint a bevándorlási kivétel érvényességét és értelmezését az angliai és walesi Court of Appeal 2021. május 26-i határozata nem rendezi. Miközben elismeri, hogy az érintettek jogai elvben a határt átlépő személyforgalom ellenőrzésének – mint „fontos közérdek” – céljából korlátozhatók, a Court of Appeal megállapította, hogy a bevándorlási kivétel a jelenlegi formájában összeegyeztethetetlen az Egyesült Királyság jogával, mivel a jogalkotási intézkedésből hiányoznak az Egyesült Királyság általános adatvédelmi rendelete 23. cikkének (2) bekezdésében felsorolt biztosítékokat meghatározó különös rendelkezések (8). Ilyen feltételek mellett ki kell zárni e határozat hatálya alól azon személyes adatoknak az Unióból az Egyesült Királyságba történő továbbítását, amelyekre a bevándorlási kivétel alkalmazható (9). Az Egyesült Királyság jogszabályaival való összeegyeztethetetlenség orvoslását követően újból értékelni kell a bevándorlási kivételt, valamint azt, hogy szükséges-e e határozat hatályának korlátozását fenntartani.

(7) Ez a határozat nem érinti az (EU) 2016/679 rendeletnek az Egyesült Királyságban letelepedett szervezetekre történő közvetlen alkalmazását, ha teljesülnek az említett rendelet 3. cikkében meghatározott, a rendelet területi hatályára vonatkozó feltételek.

2. A SZEMÉLYES ADATOK KEZELÉSÉRE VONATKOZÓ SZABÁLYOK

2.1. Alkotmányos keret

(8) Az Egyesült Királyság parlamenti demokrácia, amelynek alkotmányos államfője az uralkodó. Minden más kormányzati intézmény felett álló szuverén parlamenttel, a parlamentből választott és a parlament által elszámoltatható végrehajtó hatalommal, valamint független igazságszolgáltatással rendelkezik. A végrehajtó hatalom felhatalmazását abból a képességéből nyeri, hogy képes elnyerni a megválasztott alsóház bizalmát, és elszámoltatható a parlament mindkét háza felé, amelyek feladata a kormány ellenőrzése, valamint a törvények megvitatása és elfogadása.

(9) Az Egyesült Királyság parlamentje átruházta mindazon skóciai, walesi és észak-írországi belső ügyekben történő törvényhozás terén a felelősséget rendre a skót parlamentre, a walesi parlamentre (Senedd Cymru) és az észak-írországi parlamentre, amelyeket az Egyesült Királyság parlamentje nem tartott fenn magának. Noha az adatvédelem fenntartott tárgykör, azaz ugyanazon jogszabályok érvényesek az ország egész területén, az e határozat szempontjából releváns egyéb szakpolitikai területek átruházott tárgykörök. Például Skócia és Észak-Írország büntető igazságszolgáltatási rendszereit – beleértve a rendészetet – a skót parlamentre és az észak-írországi parlamentre ruházták át. Az Egyesült Királyság nem rendelkezik rögzített alkotmányos okmány értelmében vett kodifikált alkotmánnyal. Az idő múlásával kialakultak az alkotmányos elvek, amelyek különösen az ítélkezési gyakorlatból és a szokásjogból származnak. A bíróságok elismerik bizonyos törvények, például a Magna Carta, az 1689-es Bill of Rights és az 1998-as emberi jogi törvény alkotmányos értékét. Az egyének alapvető jogait az alkotmány részeként fejlesztették ki a „common law”, e törvények és nemzetközi szerződések, különösen az Egyesült Királyság által 1951-ben ratifikált emberi jogok európai egyezménye révén. Az Egyesült Királyság 1987-ben ratifikálta az Európa Tanács az egyéneknek a személyes adatok gépi feldolgozása során való védelméről szóló egyezményét (108. egyezmény) (10).

(10) Az 1998. évi emberi jogi törvény beépíti az emberi jogok európai egyezményében foglalt jogokat az Egyesült Királyság jogába. Az emberi jogi törvény minden egyén számára biztosítja az emberi jogok európai egyezményének 2–12. és 14. cikkében, valamint az első jegyzőkönyve 1., 2. és 3. cikkében és a tizenharmadik jegyzőkönyv 1. cikkében – az EJEE 16, 17. és 18. cikkével együttesen – biztosított alapvető jogokat és szabadságokat. Ez magában foglalja a magán- és a családi élet tiszteletben tartásához való jogot (és e jog részeként az adatvédelemhez való jogot) és a tisztességes eljáráshoz való jogot (11). Az Egyezmény 8. cikke értelmében e jog gyakorlásába hatóság csak a törvényben meghatározott, olyan esetekben avatkozhat be, amikor az egy demokratikus társadalomban a nemzetbiztonság, a közbiztonság vagy az ország gazdasági jóléte érdekében, zavargás vagy bűncselekmény megelőzése, a közegészség vagy az erkölcsök védelme, avagy mások jogainak és szabadságainak védelme érdekében szükséges.

(11) Az 1998. évi emberi jogi törvénynek megfelelően a hatóságok minden intézkedésének összeegyeztethetőnek kell lennie az egyezmény szerinti jogokkal (12). Ezenkívül az elsődleges és az alárendelt jogszabályokat az egyezmény szerinti jogokkal összeegyeztethető módon kell értelmezni és érvényre juttatni (13).

2.2. Az Egyesült Királyság adatvédelmi kerete

(12) Az Egyesült Királyság 2020. január 31-én kilépett az Európai Unióból. A Nagy-Britannia és Észak-Írország Egyesült Királyságának az Európai Unióból és az Európai Atomenergia-közösségből történő kilépéséről szóló megállapodás (14) alapján az uniós jogszabályok a 2020. december 31-ig tartó átmeneti időszakban alkalmazandók voltak az Egyesült Királyságban. A kilépés előtt és az átmeneti időszak alatt a személyes adatok Egyesült Királyságban történő védelmére vonatkozó jogszabályi keretet a vonatkozó uniós jogszabályok (különösen az (EU) 2016/679 rendelet és az (EU) 2016/680 európai parlamenti és tanácsi irányelv (15)) és a nemzeti jogszabályok, különösen a Data Protection Act 2018 elnevezésű törvény (2018. évi adatvédelmi törvény) (16) alkották, amely előírta a nemzeti szabályokat, amennyiben az (EU) 2016/679 rendelet lehetővé tette, meghatározva és korlátozva az (EU) 2016/679 rendelet szabályainak alkalmazását és átültette az (EU) 2016/680 irányelvet.

(13) Az Európai Unióból való kilépés előkészítése érdekében az Egyesült Királyság kormánya elfogadta az European Union (Withdrawal) Act 2018 (17) elnevezésű (kilépési) törvényt (kilépési törvény), amely beépítette a közvetlenül alkalmazandó uniós jogszabályokat az Egyesült Királyság jogába (18). Ezek az úgynevezett „megtartott uniós jogszabályok” teljes egészében magukban foglalják az (EU) 2016/679 rendeletet (annak preambulumbekezdéseivel együtt) (19). Az említett törvénnyel összhangban a módosítás nélkül megtartott uniós jogszabályokat az Egyesült Királyság bíróságainak az Európai Unió Bírósága (Bíróság) vonatkozó ítélkezési gyakorlatának és az uniós jog általános elveinek megfelelően kell értelmezniük, mivel azok közvetlenül az átmeneti időszak vége előtt hatályban voltak (a továbbiakban: „megtartott uniós ítélkezési gyakorlat”, illetve „az uniós jog megtartott általános elvei”) (20).

(14) A 2018. évi kilépési törvény értelmében az Egyesült Királyság miniszterei hatáskörrel rendelkeznek arra, hogy jogszabályi eszközök útján másodlagos jogszabályokat vezessenek be, hogy a megtartott uniós jogszabályokban elvégezzék az Egyesült Királyság Unióból való kilépéséből következő módosításokat. A hatáskör gyakorlását a Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 elnevezésű jogszabály (a kilépéssel kapcsolatos adatvédelmi szabályozás) (21) elfogadása jelentette. A kilépéssel kapcsolatos adatvédelmi szabályozás úgy módosítja az Egyesült Királyság jogába beépített (EU) 2016/679 rendeletet a 2018. évi kilépési törvény, a 2018. évi adatvédelmi törvény és más adatvédelmi jogszabályok révén, hogy az illeszkedjen a hazai környezetbe (22).

(15) Ennek következtében az Egyesült Királyságban az átmeneti időszak vége után a személyes adatok védelmére vonatkozó jogi keret a következőkből áll: — az Egyesült Királyság általános adatvédelmi rendelete, az Egyesült Királyság jogszabályaiba a 2018. évi kilépési törvénye alapján beépített, és a kilépéssel kapcsolatos adatvédelmi szabályozással módosított (23) formában, és — a kilépéssel kapcsolatos adatvédelmi szabályozással módosított 2018. évi adatvédelmi törvény (24).

(16) Ahogy az Egyesült Királyság általános adatvédelmi rendeletének alapját az uniós jogszabályok képezik, az Egyesült Királyság adatvédelmi szabályai sok szempontból szorosan tükrözik az Európai Unióban alkalmazandó, megfelelő szabályokat.

(17) A miniszter számára a 2018. évi kilépési törvény által biztosított hatáskörök mellett a 2018. évi adatvédelmi törvény számos rendelkezése felhatalmazást ad a miniszternek arra, hogy másodlagos jogszabályokat fogadjon el a törvény egyes rendelkezéseinek módosítására, illetve kiegészítő és további rendelkezések előírására (25). A miniszter eddig a 2018. évi adatvédelmi törvény 137. szakasza szerinti hatáskört csak a Data Protection (Charges and Information) (Amendment) Regulations elnevezésű (az adatvédelem (díjak és információk) (módosítás) 2019. évi) szabályozás elfogadására vette igénybe, amely meghatározza azokat a körülményeket, amelyek mellett az adatkezelőknek éves díjat kell fizetniük az Egyesült Királyság független adatvédelmi hatóságának, az információügyi biztosnak.

(18) Végül további útmutatás található az Egyesült Királyság adatvédelmi jogszabályairól az információügyi biztos által elfogadott gyakorlati kódexekben és egyéb útmutatókban. Bár formálisan nem jogilag kötelező érvényű, az útmutatónak értelmezési súlya van, és bemutatja, hogy az adatvédelmi jogszabályokat miként alkalmazza és a biztos hogyan juttatja érvényre a gyakorlatban. Különösen a 2018. évi adatvédelmi törvény 121–125. szakasza írja elő a biztos számára az adatmegosztásra, a direkt marketingre, az életkornak megfelelő tervezésre, az adatvédelem és az újságírás kérdéskörére vonatkozó gyakorlati kódex elkészítését.

(19) Az Egyesült Királyság e határozat alapján továbbított adatokra alkalmazandó jogi kerete felépítésében és fő alkotóelemeiben tehát nagyon hasonló az Európai Unióban alkalmazotthoz. Ennek része az a tény, hogy az említett keretrendszer nem csak a nemzeti jogban meghatározott, az uniós jog által kialakított kötelezettségekre támaszkodik, hanem a nemzetközi jogban rögzített kötelezettségekre is, különösen az EJEE és a 108. egyezmény Egyesült Királyság általi betartása, valamint az Emberi Jogok Európai Bírósága joghatóságának való alávetése révén. Ezek a jogilag kötelező érvényű nemzetközi okmányokból eredő, nevezetesen a személyes adatok védelme tekintetében fennálló kötelezettségek ezért az e határozatban értékelt jogi keret kiemelt jelentőségű elemét képezik.

2.3. Tárgyi és területi hatály

(20) Az (EU) 2016/679 rendelethez hasonlóan az Egyesült Királyság általános adatvédelmi rendelete vonatkozik a személyes adatok részben vagy egészben automatizált módon történő kezelésére, vagy egyéb adatkezelésre, ha a személyes adatok egy nyilvántartási rendszer részét képezik (26). Az Egyesült Királyság általános adatvédelmi rendeletében a „személyes adatok”, az „érintett” és a „feldolgozás” fogalommeghatározása megegyezik az (EU) 2016/679 rendeletben adott meghatározással (27). Ezenkívül az Egyesült Királyság általános adatvédelmi rendelete az egyes egyesült királyságbeli hatóságok birtokában levő (28) személyes adatok kézi strukturálatlan kezelésre is vonatkozik (29), bár az Egyesült Királyság általános adatvédelmi rendelete szerinti, az említett személyes adatok vonatkozásában nem releváns alapelvek és jogok alkalmazását a 2018. évi adatvédelmi törvény 24. és 25. szakasza beszüntette. Az (EU) 2016/679 rendeletben előírtakhoz hasonlóan az Egyesült Királyság általános adatvédelmi rendelete nem vonatkozik a személyes adatok természetes személy által kizárólag személyes vagy otthoni tevékenység keretében végzett kezelésére (30).

(21) Az Egyesült Királyság általános adatvédelmi rendelete kiterjeszti hatályát azon tevékenység során történt adatkezelésre is, amely közvetlenül az átmeneti időszak vége előtt az uniós jog hatályán kívül esett (pl. nemzetbiztonság) (31), vagy az Európai Unióról szóló szerződés 5. címének 2. fejezete (közös kül- és biztonságpolitikai tevékenységek) hatálya alá tartozott (32). Az Európai Unió rendszeréhez hasonlóan az Egyesült Királyság általános adatvédelmi rendelete nem vonatkozik a személyes adatok illetékes hatóságok általi, bűncselekmények megelőzése, kivizsgálása, felderítése vagy büntetőeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából történő kezelésére, ideértve a közbiztonságot fenyegető veszélyek elleni védelmet és azok megelőzését (ún. „bűnüldözési célok”) – az említett adatkezelést ehelyett a 2018. évi adatvédelmi törvény 3. része szabályozza, ahogyan ez az európai uniós jogban az (EU) 2016/680 irányelv szerint történik, vagy a személyes adatok hírszerző ügynökségek (a biztonsági szolgálat, a titkosszolgálat és a kormányzati kommunikációs központ) általi kezelésére, amelyet a 2018. évi adatvédelmi törvény 4. része szabályoz (33).

(22) Az Egyesült Királyság általános adatvédelmi rendeleténekterületi hatályát a 3. szakasz (34) ismerteti és az alá tartozik az Egyesült Királyságban az adatkezelő vagy az adatfeldolgozó telephelyének tevékenységeivel összefüggő személyes adatok kezelése (függetlenül attól, hogy hol történik), az Egyesült Királyságban tartózkodó érintettek személyes adatainak kezelése, amennyiben az adatkezelési tevékenységek az érintetteknek áruk vagy szolgáltatások felkínálásával vagy viselkedésük figyelemmel kísérésével kapcsolatosak (35). Ez az (EU) 2016/679 rendelet 3. cikkének megközelítését tükrözi.

2.4. A személyes adat, valamint az adatkezelő és az adatfeldolgozó fogalmának meghatározása

(23) Az Egyesült Királyság általános adatvédelmi rendelete a személyes adatok, az adatkezelés, az adatkezelő, az adatfeldolgozó, valamint az álnevesítés (EU) 2016/679 rendeletben adott fogalommeghatározását lényeges módosítások nélkül megtartotta (36). Ezenkívül az Egyesült Királyság általános adatvédelmi rendelete 9. szakaszának (1) bekezdése ugyanúgy határozza meg a különleges adatok kategóriáit, mint az (EU) 2016/679 rendelet („faji vagy etnikai származás, politikai vélemények, vallási vagy filozófiai meggyőződések felfedése, vagy szakszervezeti tagság, valamint genetikai adatok, biometrikus adatok kezelése természetes személy egyedi azonosítása céljából, egészségügyi adatok, illetve természetes személy szexuális életére vagy szexuális irányultságára vonatkozó adatok”). A 2018. évi adatvédelmi törvény 205. szakasza adja a „biometrikus adatok” (37), „az egészségügyi adatok” (38) és „a genetikai adatok” (39) fogalmának meghatározását.

2.5. Biztosítékok, jogok és kötelezettségek

2.5.1. Az adatkezelés jogszerűsége és tisztességessége

(24) A személyes adatokat jogszerűen és tisztességesen kell kezelni.

(25) A jogszerűség, a tisztesség és az átláthatóság elveit, valamint a jogszerű adatkezelési okokat az Egyesült Királyság törvényei garantálják az Egyesült Királyság általános adatvédelmi rendeletének 5. cikke (1) bekezdésének a) pontján és 6. szakaszának (1) bekezdésén keresztül, amelyek megegyeznek a (EU) 2016/679 rendelet vonatkozó rendelkezéseivel (40). A 2018. évi adatvédelmi törvény 8. szakasza kiegészíti a 6. cikk (1) bekezdésének e) pontját azzal, hogy a személyes adatok Egyesült Királyság általános adatvédelmi rendelete 6. cikke (1) bekezdésének e) pontja alapján történő kezelése (a közérdekből végzett feladatok ellátásához, vagy az adatkezelő hatósági hatáskörének gyakorlása során szükséges adatkezelés) magában foglalja az igazságszolgáltatás igazgatásához, a Parlament bármelyik házának feladatainak ellátásához, valamely személy törvény vagy a jogállamiság által ráruházott funkciójának gyakorlásához, az állam, valamely miniszter vagy egy kormányzati szerv funkciójának gyakorlásához, vagy a demokratikus elkötelezettséget támogató vagy elősegítő tevékenységhez.

(26) A hozzájárulás (a jogszerű feldolgozás egyik alapja) tekintetében az Egyesült Királyság általános adatvédelmi rendelete változatlanul megtartja az (EU) 2016/679 rendelet 7. cikkében előírt feltételeket, vagyis az adatkezelőnek képesnek kell lennie annak bizonyítására, hogy az érintett hozzájárulását adta, az írásbeli hozzájárulás iránti kérelmet világos és érthető nyelven kell bemutatni, az érintettnek bármikor jogában áll visszavonni a hozzájárulását, és annak értékelésekor, hogy a hozzájárulás szabadon megadott-e, figyelembe kell venni, hogy a szerződés teljesítésének feltétele olyan személyes adatok kezeléséhez való hozzájárulás, amelyek nem szükségesek az adott szerződés teljesítéséhez. Ezenkívül az Egyesült Királyság általános adatvédelmi rendeletének 8. cikke értelmében az információs társadalommal összefüggő szolgáltatások nyújtásával összefüggésben gyermek hozzájárulása csak akkor jogszerű, ha a gyermek legalább 13 éves. Ez az (EU) 2016/679 rendelet 8. cikkében megállapított életkori tartományon belül esik.

2.5.2. A különleges személyes adatok kategóriáinak kezelése

(27) „Különleges adatok kategóriáinak” kezelése esetén külön biztosítékokat kell rendszeresíteni.

(28) Az Egyesült Királyság általános adatvédelmi rendelete és a 2018. évi adatvédelmi törvény különös szabályokat tartalmaz a különleges személyes adatok kategóriáinak kezelésére vonatkozóan, amelyeket az Egyesült Királyság általános adatvédelmi rendelete 9. szakaszának (1) bekezdése határoz meg ugyanúgy, mint az (EU) 2016/679 rendelet (lásd a (23) above preambulumbekezdést). Az Egyesült Királyság általános adatvédelmi rendeletének 9. cikke szerint a különleges adatok kategóriáinak feldolgozása elvileg tilos, kivéve, ha erre külön kivétel vonatkozik.

(29) Ezek a kivételek (az Egyesült Királyság általános adatvédelmi rendelete 9. szakaszának (2) és (3) bekezdésében felsoroltak) nem változtatnak érdemben az (EU) 2016/679 rendelet 9. cikkének (2) és (3) bekezdésében leírtakon. Amennyiben az érintett nem adott kifejezett hozzájárulást a személyes adatok kezeléséhez, a különleges személyes adatok kategóriáinak feldolgozása csak meghatározott és korlátozott körülmények között engedélyezett. A legtöbb esetben a különleges adatok kezelésének a vonatkozó rendelkezésben meghatározott célra szükségesnek kell lennie (lásd a 9. szakasz (2) bekezdésének b), c), f), g), h), i) pontját és (j)).

(30) Ezenkívül, ha az Egyesült Királyság általános adatvédelmi rendelete 9. szakaszának (2) bekezdése szerinti kivétel törvényi engedélyhez kötött vagy a közérdeken alapul, a 2018. évi adatvédelmi törvény 10. szakasza, valamint a 2018. évi adatvédelmi törvény 1. melléklete pontosítja azokat a feltételeket, amelyeknek teljesülniük kell a kivételek igénybevételéhez. Például különleges adatok „közegészség” védelme céljából történő feldolgozása esetén (az Egyesült Királyság általános adatvédelmi rendelete 9. szakasza (2) bekezdésének i) pontja) az 1. melléklet 1. része (3) bekezdésének b) pontja előírja a szükségességi teszt mellett, hogy az említett adatkezelést „egészségügyi szakember vagy annak felelősségére más végzi” vagy „egy másik személy, aki törvény vagy a jogállamiság alapján titoktartási kötelezettséggel tartozik”, ideértve a „common law” szerint kialakult titoktartási kötelezettségét .

(31) Amennyiben különleges adatokat jelentős közérdekből kezelnek (az Egyesült Királyság általános adatvédelmi rendelete 9. szakasza (2) bekezdésének g) pontja), a 2018. évi adatvédelmi törvény 1. mellékletének 2. része tételesen felsorolja azokat a célokat, amelyek jelentős közérdekűnek tekinthetők, és e célok mindegyikére külön további feltételeket határoz meg. Például a faji és etnikai sokféleség szervezetek felsőbb szintjein való előmozdítását jelentős közérdekként ismerik el. A különleges adatok e konkrét célú kezelésére részletes követelmények vonatkoznak, beleértve azt is, hogy az adatkezelés a vezető tisztség betöltésére alkalmas személyek azonosításának részeként történik, a faji és etnikai sokszínűség előmozdításához szükséges, és valószínűleg nem okoz jelentős kárt vagy sérelmet az érintett számára.

(32) A 2018. évi adatvédelmi törvény 11. szakaszának (1) bekezdése meghatározza a személyes adatok az Egyesült Királyság általános adatvédelmi rendeletének a titoktartási kötelezettségre vonatkozó 9. szakaszának (3) bekezdésében leírt körülmények közötti kezelésének feltételeit. Ez magában foglalja azokat a körülményeket, amelyekben az adatkezelést egészségügyi szakember vagy szociális területen dolgozó szakember vagy annak felelőssége alatt más hajtja végre, vagy más olyan személy, aki e körülmények között titoktartási kötelezettséggel tartozik törvény vagy jogállamiság alapján.

(33) Ezenkívül az Egyesült Királyság általános adatvédelmi rendelete 9. szakaszának (2) bekezdésében felsorolt számos kivétel igénybevételéhez megfelelő és konkrét biztosítékok szükségesek. Az adatkezelés jellegétől, valamint az érintettek jogait és szabadságait érintő kockázat mértékétől függően a 2018. évi adatvédelmi törvény 1. mellékletében előírt adatkezelési feltételek különböző biztosítékokat állapítanak meg. Az 1. melléklet viszont az egyes feldolgozási helyzetek feltételeit határozza meg.

(34) Bizonyos esetekben a 2018. évi adatvédelmi törvény szabályozza és korlátozza azon különleges adatok típusát, amelyeket egy adott jogalap alapján lehet kezelni. Például az 1. melléklet 8. pontja engedélyezi a különleges adatok kezelését az esélyegyenlőség vagy az egyenlő bánásmód előmozdítása céljából. Ez az adatkezelési feltétel csak akkor használható, ha az adatok faji vagy etnikai származást, vallási vagy filozófiai meggyőződéseket, szexuális irányultságot tárnak fel, vagy ha egészségügyi adatokról van szó.

(35) Bizonyos esetekben a 2018. évi adatvédelmi törvény korlátozza azon adatkezelő típusát, amely igénybe veheti ezt az adatkezelési feltételt. Például az 1. melléklet 23. pontja különleges adatok kezeléséről rendelkezik a megválasztott képviselők lakosságnak adott válaszaival kapcsolatban. Ez az adatkezelési feltétel csak akkor alkalmazható, ha az adatkezelő megválasztott képviselő, vagy az ő felügyelete alatt jár el.

(36) Néhány más esetben a 2018. évi adatvédelmi törvény korlátokat határoz meg az alkalmazandó feldolgozási feltétel szempontjából az érintettek kategóriáira vonatkozóan. Például az 1. melléklet 21. pontja szabályozza a foglalkozási nyugdíjrendszerek bizalmas adatainak kezelését. Ez a feltétel csak akkor alkalmazható, ha a szóban forgó érintett a nyugdíjrendszer tagjának testvére, szülője, nagyszülője vagy dédszülője.

(37) Ezen túlmenően az Egyesült Királyság általános adatvédelmi rendelete 9. szakaszának (2) bekezdésében szereplő kivételek – amelyeket a 2018. évi adatvédelmi törvény 10. szakasza, a 2018. évi adatvédelmi törvény 1. mellékletével együtt tovább részletez – igénybevételekor az adatkezelőnek a legtöbb esetben „megfelelő adatvédelmi szabályzatot” kell készítenie. Fel kell vázolnia az adatkezelő Egyesült Királyság általános adatvédelmi rendeletének 5. szakaszában foglalt elvek betartásának biztosítására szolgáló eljárásait. Meg kell határoznia a megőrzésre és a törlésre vonatkozó irányelveket is, feltüntetve a valószínű tárolási időt. Az adatkezelőknek szükség szerint felül kell vizsgálniuk és frissíteniük kell ezt a dokumentumot. Az adatkezelőnek az adatkezelés befejezését követően hat hónapig meg kell őriznie az adatvédelmi szabályzatot, és kérésre az információügyi biztos rendelkezésére kell bocsátania (41).

(38) A 2018. évi adatvédelmi törvény 1. mellékletének 41. pontja szerint az adatvédelmi szabályzatot mindig az adatkezelés bővített nyilvántartásának kell kísérnie. Ennek a nyilvántartásnak nyomon kell követnie az adatvédelmi szabályzatban foglalt kötelezettségvállalásokat, vagyis azt, hogy a szabályzatnak megfelelően törlik-e vagy megőrzik-e az adatokat. Ha az adatvédelmi szabályzatot nem tartották be, akkor a naplóban fel kell tüntetni ennek okait. A nyilvántartásnak azt is le kell írnia, hogy az adatkezelés miként teljesíti az Egyesült Királyság általános adatvédelmi rendeletének 6. szakaszát (az adatkezelés jogszerűsége), valamint a 2018. évi adatvédelmi törvény 1. mellékletében szereplő konkrét feltételt.

(39) Végül, hasonlóan az (EU) 2016/679 rendelethez, az Egyesült Királyság általános adatvédelmi rendelete is általános biztosítékokat ír elő a különleges adatok kategóriáin végzett egyes adatkezelési műveletekhez. Az Egyesült Királyság általános adatvédelmi rendeletének 35. szakasza előírja az adatvédelemre vonatkozó hatásvizsgálatot, ha különleges adatok kategóriáinak nagybani kezelését végzik. Az Egyesült Királyság általános adatvédelmi rendeletének 37. szakasza értelmében az adatkezelőnek vagy az adatfeldolgozónak ki kell jelölnie egy adatvédelmi tisztviselőt, ha fő tevékenysége a különleges adatok kategóriáinak nagybani kezelése.

(40) A büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre vonatkozó személyes adatok tekintetében az Egyesült Királyság általános adatvédelmi rendeletének 10. szakasza megegyezik az (EU) 2016/679 rendelet 10. cikkével. Ez a büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre vonatkozó személyes adatok kezelését csak a hatóság ellenőrzése alatt, vagy akkor teszi lehetővé, ha az adatkezelést az érintettek jogainak és szabadságainak megfelelő biztosítékokat biztosító nemzeti jogszabályok engedélyezik.

(41) Ha büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre vonatkozó adatok feldolgozása nem hatósági felügyelet alatt történik, a 2018. évi adatvédelmi törvény 10. szakaszának (5) bekezdése előírja, hogy az említett feldolgozás csak a 2018. évi adatvédelmi törvény 1. mellékletének 1., 2. és 3. részében meghatározott célokra/helyzetekben történhet, és arra vonatkoznak az egyes célokra/helyzetekre meghatározott külön követelmények. Például a büntetőjogi felelősség megállapítására vonatkozó határozatok adatait nonprofit szervezetek kezelhetik, ha az adatkezelést a) jogszerű tevékenysége során megfelelő biztosítékokkal végzi egy alapítvány, egyesület vagy más politikai, filozófiai, vallási vagy szakszervezeti célú nonprofit szerv, és b) azzal a feltétellel, hogy i. az adatkezelés kizárólag a testület tagjaira vagy korábbi tagjaira vagy olyan személyekre vonatkozik, akik rendszeres kapcsolatban állnak vele a céljaival kapcsolatban, és ii. a személyes adatokat az érintettek hozzájárulása nélkül nem adják ki a szervezeten kívül.

(42) Emellett a 2018. évi adatvédelmi törvény 1. mellékletének 3. része további olyan körülményeket határoz meg, amelyek fennállása esetén a büntetőjogi felelősség megállapítására vonatkozó határozatokkal kapcsolatos adatok felhasználhatók, és ezek megfelelnek a különleges adatok kezelésére az (EU) 2016/679 rendelet 9. cikkének (2) bekezdésében szereplő jogalapoknak és az Egyesült Királyság általános adatvédelmi rendeletének (pl. az érintett hozzájárulása, magánszemély létfontosságú érdekei, ha az érintett jogilag vagy fizikailag nem képes hozzájárulást adni, ha az érintett már nyilvánvalóan nyilvánosságra hozta az adatokat, ha az adatkezelés jogi igény megalapozásához, érvényesítéséhez vagy védelméhez szükséges stb.).

2.5.3. Célhoz kötöttség, pontosság, adattakarékosság, tárolás korlátozása és adatbiztonság

(43) A személyes adatok kezelésének konkrét célra kell történnie, és később csak olyan mértékben használhatók fel, amely az adatkezelés céljával nem összeegyeztethetetlen.

(44) Ezt az elvet az (EU) 2016/679 rendelet 5. cikke (1) bekezdésének b) pontja tartalmazza, és az Egyesült Királyság általános adatvédelmi rendelete 5. szakasza (1) bekezdésének b) pontja változtatás nélkül megtartotta. Az (EU) 2016/679 rendelet 6. cikkének (4) bekezdése szerinti összeegyeztethető további feldolgozás feltételeit szintén fenntartották, az Egyesült Királyság általános adatvédelmi rendelete 6. szakasza (4) bekezdésének a)–e) pontjában nem történt lényeges módosítás.

(45) Emellett a személyes adatoknak pontosnak kell lenniük, és szükség esetén naprakésszé kell azokat tenni. Továbbá megfelelőnek, relevánsnak és nem eltúlzottnak kell lenniük az adatkezelés céljaihoz képest, és elvben csak addig tárolhatók, ameddig az a személyes adatok kezelésének céljaihoz szükséges.

(46) Az adattakarékosságra, a pontosságra és a tárolás korlátozására vonatkozó alapelveket az (EU) 2016/679 rendelet 5. cikke (1) bekezdésének c)–e) pontja tartalmazza, és az Egyesült Királyság általános adatvédelmi rendeletében az 5. szakasza (1) bekezdésének c)–e) pontja azokat módosítások nélkül megtartja.

(47) A személyes adatokat olyan módon kell kezelni, amely biztosítja a biztonságukat, többek között a jogosulatlan vagy jogellenes kezelés elleni védelmüket is, illetve az adatok véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmüket. A gazdasági szereplőknek ebből a célból megfelelő technikai vagy szervezeti intézkedéseket kell hozniuk, hogy megvédjék a személyes adatokat a lehetséges veszélyektől. Ezeket az intézkedéseket a csúcstechnológia és a kapcsolódó költségek figyelembevételével kell értékelni.

(48) Az adatbiztonságot az Egyesült Királyság jogszabályai az integritás és titkosság elvén keresztül rögzítik az Egyesült Királyság általános adatvédelmi rendelete 5. szakasza (1) bekezdésének f) pontjában és annak az adatkezelés biztonságáról szóló 32. szakaszában. Ezek a rendelkezések megegyeznek az (EU) 2016/679 rendelet vonatkozó rendelkezéseivel. Sőt az (EU) 2016/679 rendelet 33. és 34. cikkében meghatározott feltételekkel egyezően az Egyesült Királyság általános adatvédelmi rendelete előírja a személyes adatok megsértésének a felügyeleti hatóság számára történő bejelentését(az Egyesült Királyság általános adatvédelmi rendeletének 33. szakasza), és a személyes adatok megsértésének az érintettel való közlését (az Egyesült Királyság általános adatvédelmi rendeletének 34. szakasza).

2.5.4. Átláthatóság

(49) Az érintetteket tájékoztatni kell személyes adataik kezelésének főbb jellemzőiről.

(50) Ezt az Egyesült Királyság általános adatvédelmi rendeletének 13. és 14. szakasza biztosítja, amelyek az átláthatóság általános elvén túl szabályokat írnak elő az érintettnek nyújtandó tájékoztatásról (42). Az Egyesült Királyság általános adatvédelmi rendelete nem vezet be lényeges módosításokat ezekben a szabályokban az (EU) 2016/679 rendelet megfelelő cikkeihez képest. Ugyanakkor, az (EU) 2016/679 rendelethez hasonlóan, e cikkek átláthatósági követelményeire a 2018. évi adatvédelmi törvényben meghatározott számos kivétel vonatkozik (lásd az (55)–(72) preambulumbekezdést).

2.5.5. Az egyének jogai

(51) Az érintetteknek rendelkezniük kell bizonyos jogokkal, amelyek érvényesíthetők az adatkezelővel vagy az adatfeldolgozóval szemben, különös tekintettel az adatokhoz való hozzáférés jogára, az adatkezelés elleni tiltakozásra, valamint az adatok helyesbíttetéséhez és töröltetéséhaz való jogra. Ugyanakkor az említett jogok korlátozás alá eshetnek, amennyiben ezek a korlátozások szükségesek és arányosak a közbiztonság vagy más fontos, általános közérdekű célok megóvása érdekében.

2.5.5.1. Alanyi jogok

(52) Az Egyesült Királyság általános adatvédelmi rendelete ugyanazokat az érvényesíthető jogokat biztosítja az egyének számára, mint az (EU) 2016/679 rendelet. Az egyének jogait biztosító rendelkezéseket az Egyesült Királyság általános adatvédelmi rendeletében lényeges változások nélkül megtartották.

(53) A jogok magukban foglalják az érintett hozzáférési jogát (az Egyesült Királyság általános adatvédelmi rendeletének 15. szakasza), a helyesbítéshez való jogot (az Egyesült Királyság általános adatvédelmi rendeletének 16. szakasza), a törléshez való jogot (az Egyesült Királyság általános adatvédelmi rendeletének 17. szakasza), a korlátozáshoz való jogot az adatkezelés (az Egyesült Királyság általános adatvédelmi rendeletének 18. szakasza), a személyes adatok helyesbítésével vagy törlésével vagy az adatkezelés korlátozásával kapcsolatos értesítési kötelezettség (az Egyesült Királyság általános adatvédelmi rendeletének 19. szakasza), az adatok hordozhatóságához való jog (az Egyesült Királyság általános adatvédelmi rendeletének 20. szakasza) és a tiltakozási jog (az Egyesült Királyság általános adatvédelmi rendeletének 21. szakasza) (43). Ez utóbbi magában foglalja az érintett tiltakozási jogát is a személyes adatoknak az (EU) 2016/679 rendelet 21. cikkének (2) és (3) bekezdésében előírtak szerinti direkt marketing célú feldolgozása ellen. Ezenkívül a 2018. évi adatvédelmi törvény 122. szakasza szerint az információügyi biztosnak a direkt marketing végzésével kapcsolatban az adatvédelmi jogszabályok (és a Privacy and Electronic Communications (EC Directive) Regulations 2003 elnevezésű [a magánélet védelméről és az elektronikus hírközlésről (EK irányelv) szóló 2003. évi] szabályozás) követelményeinek megfelelő gyakorlati kódexet és a direkt marketing helyes gyakorlatának előmozdítására vonatkozó egyéb, a biztos által megfelelőnek tartott útmutatót kell készítenie. Az információügyi biztos hivatala jelenleg végzi a direkt marketing kódex kidolgozását (44).

(54) Az érintett GDPR 22. cikkében előírtak szerinti azon joga, hogy ne hozzanak róla kizárólag automatizált feldolgozáson alapuló olyan döntést, amely joghatásokat vált ki rá nézve, vagy hasonlóan jelentősen érinti őt, az Egyesült Királyság általános adatvédelmi rendeletében is lényeges változások nélkül megmaradt. Ugyanakkor egy új (3A) bekezdéssel egészült ki arra hivatkozásként, hogy a 2018. évi adatvédelmi törvény 14. szakasza biztosítékokat határoz meg az érintettek jogai, szabadságai és jogos érdekei vonatkozásában, amikor az adatkezelés az Egyesült Királyság általános adatvédelmi rendelete 22. szakasza (2) bekezdésének b) pontja alapján történik. Ez csak akkor érvényes, ha egy ilyen döntés alapja az Egyesült Királyság jogszabályai szerinti engedély vagy követelmény, és nem alkalmazható, ha a döntés szerződés alapján szükséges, vagy azt az érintett kifejezett hozzájárulásával hozzák meg. Amennyiben a 2018. évi adatvédelmi törvény 14. szakasza alkalmazandó, az adatkezelőnek a lehető leghamarabb írásban értesítenie kell az érintettet arról, hogy kizárólag automatizált feldolgozáson alapuló döntés született. Az érintettnek joga van kérni az adatkezelőt – az értesítés kézhezvételétől számított egy hónapon belül –, hogy vizsgálja felül a döntést vagy hozzon olyan új döntést, amely nem kizárólag automatizált feldolgozáson alapul. A miniszter felhatalmazást kap arra, hogy további biztosítékokat fogadjon el az automatizált döntéshozatal tekintetében. Ezt a hatáskört még nem gyakorolták.

2.5.5.2. Az egyének jogainak korlátozása és egyéb rendelkezések

(55) A 2018. évi adatvédelmi törvény számos korlátozást állapít meg az egyének jogai vonatkozásában, az Egyesült Királyság általános adatvédelmi rendeletének 23. szakasza keretébe illeszkedően. Ebben a keretben nem vezetnek be korlátozásokat a direkt marketing elleni, az Egyesült Királyság általános adatvédelmi rendelete 21. szakaszának (2) és (3) bekezdésében előírt tiltakozás joga, vagy az Egyesült Királyság általános adatvédelmi rendeletének 22. szakaszában előírt, az automatizált döntéshozatal elutasításának joga tekintetében.

(56) A korlátozásokat a 2018. évi adatvédelmi törvény 2–4. melléklete részletezi. Az Egyesült Királyság hatóságai kifejtették, hogy két alapelv vezérli őket: a specialitás elve (az aprólékosan részletes megközelítés, az átfogó korlátozások több, speciálisabb rendelkezésre bontása) és a feltételesség elve (minden rendelkezést biztosítékok egészítenek ki korlátozások vagy a visszaélések megelőzésének feltételei formájában) (45).

(57) Az Egyesült Királyság általános adatvédelmi rendelete 23. szakaszának (1) bekezdésében leírt korlátozások célja annak biztosítása, hogy csak meghatározott körülmények között alkalmazzák azokat, amennyiben ez egy demokratikus társadalomban szükséges és ha arányosak az elérni kívánt jogszerű céllal. Továbbá a korlátozások értelmezéséről kialakult ítélkezési gyakorlatnak megfelelően az adatvédelmi rendszer alóli kivétel bármely konkrét esetben csak akkor alkalmazható, ha ez szükséges és arányos (46). A szükségességi tesztnek szigorúnak kell lennie, és megköveteli, hogy az érintett jogaiba való bármilyen beavatkozás álljon arányban a közérdeket fenyegető veszély súlyosságával. A gyakorlatnak tehát része egy klasszikus arányossági elemzés (47).”

(58) Ezeknek a korlátozásoknak a céljai megfelelnek az (EU) 2016/679 rendelet 23. cikkében felsoroltaknak, a nemzetbiztonsági és védelmi korlátozások kivételével, amelyeket ehelyett a 2018. évi adatvédelmi törvény 26. szakasza szabályoz, de azokra ugyanazok a szükségességi és arányossági követelmények vonatkoznak (lásd a (63)–(66) preambulumbekezdést).

(59) Néhány korlátozás, például a bűncselekmények megelőzésével vagy felderítésével, az elkövetők elfogásával vagy üldözésével, valamint az adó vagy vám megállapításával vagy beszedésével kapcsolatos korlátozások (48) engedélyezik az egyének valamennyi jogának és az átláthatósági kötelezettségeknek a korlátozását (a 21. szakasz (2) bekezdésében és a 22. cikkben foglalt jogok kivételével). Az egyéb korlátozások hatálya az átláthatósági kötelezettségekre és a hozzáférési jogokra korlátozódik, például az ügyvédi titoktartással kapcsolatos korlátozásokra (49), az önvádhoz vezető információszolgáltatás követelménye alóli való mentesség jogához (50) és a vállalati pénzügyekre, nevezetesen a bennfentes kereskedelem megakadályozására (51). Néhány korlátozás engedélyezi az adatkezelő azon kötelezettségének korlátozását, hogy az adatvédelmi jogsértést az érintettel közölje, valamint a célhoz kötöttség, az adatkezelés jogszerűségének, tisztességességének és átláthatóságának elve korlátozását (52).

(60) A korlátozások egy része automatikusan „teljes egészében” vonatkozik a személyes adatok bizonyos típusú kezelésére (például az átláthatósági kötelezettségeknek és az egyének jogainak alkalmazása kizárt, ha a személyes adatokat valamely személy bírósági tisztségre való alkalmasságának értékelése céljából kezelik, vagy a személyes adatokat bíróság, törvényszék vagy magánszemély kezeli, bírósági minőségében eljárva).

(61) Az esetek többségében azonban a 2018. évi adatvédelmi törvény 2. mellékletének vonatkozó pontja kimondja, hogy a korlátozás csak akkor (és annyiban) alkalmazandó, amikor a rendelkezések alkalmazása „valószínűleg sértené” a korlátozás jogszerű célját: például az Egyesült Királyság általános adatvédelmi rendeletének felsorolt rendelkezései nem vonatkoznak a bűncselekmények megelőzése vagy felderítése, az elkövetők elfogása vagy büntetőeljárás alá vonása, illetőleg adó vagy illeték megállapítása vagy beszedése céljából kezelt személyes adatokra „olyan mértékben, amennyire e rendelkezések alkalmazása valószínűleg sértené” e kérdéskörök bármelyikét (53).

(62) A „valószínűleg sértené” mércét az Egyesült Királyság bíróságai következetesen „az azonosított közérdek sérelmének nagyon jelentős és súlyos esélyeként” (54) értelmezik. A sérelemteszt alá tartozó korlátozásra ezért csak akkor és olyan mértékben lehet hivatkozni, ha igen jelentős és súlyos esélye van annak, hogy egy bizonyos jog megadása sértené a szóban forgó közérdeket. Az adatkezelő feladata annak eseti alapon történő értékelése, hogy ezek a feltételek teljesülnek-e (55).

(63) A 2018. évi adatvédelmi törvény 2. mellékletében foglalt korlátozások mellett a 2018. évi adatvédelmi törvény 26. szakasza kivételt biztosít, amely az Egyesült Királyság általános adatvédelmi rendelete és a 2018. évi adatvédelmi törvény egyes rendelkezéseire alkalmazható, ha ez a kivétel a nemzetbiztonság védelméhez vagy védelmi célokból szükséges. Ez a kivétel vonatkozik az adatvédelmi elvekre (a jogszerűség elvének kivételével), az átláthatósági kötelezettségekre, az érintett jogaira, az adatvédelmi jogsértés bejelentésének kötelezettségére, a nemzetközi adattovábbításra vonatkozó szabályokra, az információügyi biztos egyes feladataira és hatásköreire, valamint a jogorvoslatokra, a felelősségre és a büntetésekre vonatkozó szabályokra, kivéve az Egyesült Királyság általános adatvédelmi rendeletének 83. szakaszában szereplő, a közigazgatási bírság kiszabásának általános feltételeiről szóló rendelkezést és az Egyesült Királyság általános adatvédelmi rendeletének 84. szakaszában szereplő, a büntetésekre vonatkozó rendelkezést. Ezenkívül a 2018. évi adatvédelmi törvény 28. szakasza módosítja a 9. szakasz (1) bekezdésének alkalmazását annak érdekében, hogy lehetővé tegye az Egyesült Királyság általános adatvédelmi rendelete 9. szakaszának (1) bekezdésében szereplő különleges adatok kategóriáinak kezelését, amennyiben az adatkezelést a nemzetbiztonság védelméből vagy védelmi célokra végzik, az érintettek jogainak és szabadságainak megfelelő biztosítékai mellett (56)

(64) A kivétel csak annyiban alkalmazható, amennyiben a nemzetbiztonság vagy a védelem védelméhez szükséges. Mivel ez vonatkozik a 2018. évi adatvédelmi törvény által előírt egyéb kivételekre is, az adatkezelőnek azt eseti alapon kell megfontolnia és igénybe vennie. Ezenkívül a kivétel minden alkalmazásának meg kell felelnie az emberi jogi normáknak (amelyeket az 1998. évi emberi jogi törvény támaszt alá), amelyek szerint egy demokratikus társadalomban a magánélethez való jog bármilyen zavarásának szükségszerűnek és arányosnak kell lennie (57).

(65) A biztos megerősítette a kivétel értelmezését a nemzetbiztonsági és védelmi kivétel alkalmazására vonatkozó részletes útmutató kiadásával, pontosítva, hogy az adatkezelőnek azt eseti alapon kell megfontolnia és igénybe vennie (58). Az útmutató hangsúlyozza különösen, hogy „[ez] nem általános mentesség”, és annak igénybevételéhez „nem elegendő az, hogy az adatokat nemzetbiztonsági célokból kezelik”. Ezzel szemben az erre hivatkozó adatkezelőnek „be kell mutatnia, hogy a nemzetbiztonságra gyakorolt kedvezőtlen hatás valóban fennáll”, és az adatkezelőtől szükség szerint elvárható, hogy „bizonyítékot szolgáltasson a biztosnak arról, hogy miért vette igénybe a kivételt”. Az útmutató tartalmaz egy ellenőrzőlistát és egy sor példát annak pontosítására, hogy milyen feltételek mellett lehet e kivételre hivatkozni.

(66) Az a tény, hogy az adatokat nemzetbiztonsági vagy védelmi célokból kezelik, önmagában nem elegendő a kivétel alkalmazásához. Az adatkezelőnek figyelembe kell vennie annak a nemzetbiztonságra jelentkező tényleges következményeit, ha be kell tartania az adott adatvédelmi rendelkezést. A kivétel csak azokra az egyedi rendelkezésekre alkalmazható, amelyekről megállapították, hogy kockázatot jelentenek, és azt a lehető legszűkebben kell alkalmazni (59).

(67) Ezt a felfogást az Information Tribunal (Információügyi Törvényszék) is megerősítette. (60) A Baker kontra Secretary of State ügyben („Baker kontra miniszter ügy”) megállapította, hogy jogszerűtlen volt a nemzetbiztonsági kivétel általános kivételként történő alkalmazása a hírszerző ügynökséghez érkezett hozzáférési kérelmek esetében. Ehelyett a kivételt eseti alapon kellett alkalmazni, az egyes kérelmek érdemének figyelembevételével és az egyének magánélet tiszteletben tartásához fűződő jogára figyelemmel (61).

2.5.6. Újságírói, művészeti, tudományos és irodalmi, valamint archiválási és kutatási célból kezelt személyes adatokra vonatkozó korlátozások

(68) Az Egyesült Királyság általános adatvédelmi rendelete 85. szakaszának (2) bekezdése lehetővé teszi, hogy az újságírói, művészeti, tudományos és irodalmi célból kezelt személyes adatokat kivegyenek az Egyesült Királyság általános adatvédelmi rendeletének számos rendelkezése alól. A 2018. évi adatvédelmi törvény 2. mellékletének 5. része meghatározza az e célból történő adatkezelésre vonatkozó kivételeket. Kivételeket ír elő az adatvédelmi elvek (kivéve az integritás és a titoktartás elvét), az adatkezelés jogalapjai (ideértve a különleges adatok kategóriáit és a büntetőjogi felelősség megállapítására vonatkozó határozatokat stb.), a hozzájárulás feltételei, az átláthatósági kötelezettségek, az érintettek jogai, a személyes adatok megsértésének bejelentési kötelezettsége, az információügyi biztossal a magas kockázatú feldolgozás előtt való konzultáció követelménye, valamint a nemzetközi továbbításra vonatkozó szabályok (62) alól. Ebben a tekintetben az Egyesült Királyság általános adatvédelmi rendelete érdemben nem tér el az (EU) 2016/679 rendelettől, amely 85. cikkében lehetőséget biztosít az újságírási vagy akadémiai, művészeti vagy irodalmi célú feldolgozás tekintetében az (EU) 2016/679 rendelet számos követelménye alóli kivételre. A 2018. évi adatvédelmi törvény rendelkezései – nevezetesen a 2. melléklet 5. része – összeegyeztethetőek az Egyesült Királyság általános adatvédelmi rendeletével.

(69) Az Egyesült Királyság általános adatvédelmi rendeletének 85. szakasza alapján végrehajtandó legfontosabb kiegyensúlyozás ahhoz kapcsolódik, hogy a (68) preambulumbekezdésben említett adatvédelmi szabályok alóli kivétel „szükséges-e a személyes adatok védelméhez való jognak és a véleménynyilvánítás és az információ szabadságának egyeztetéséhez” (63). A 2018. évi adatvédelmi törvény 2. melléklete 26. szakaszának (2) és (3) bekezdése szerint az Egyesült Királyság az „észszerű meggyőződés” tesztjét alkalmazza ennek az egyensúlynak a megteremtése érdekében. A kivétel indokolásához az adatkezelőnek észszerűen meg kell győződnie arról, hogy i. a közzététel közérdeket szolgál; és ii. a vonatkozó GDPR-rendelkezés alkalmazása összeegyeztethetetlen lenne az újságírói, tudományos, művészeti vagy irodalmi célokkal. Amint azt az ítélkezési gyakorlat megerősítette (64), az „észszerű meggyőződés” tesztjének szubjektív és objektív összetevője is van: nem elegendő az adatkezelőnek bizonyítani, hogy ő maga úgy vélte, hogy a megfelelés összeegyeztethetetlen. A meggyőződésének észszerűnek kell lennie, vagyis egy észszerűen eljáró személy által a vonatkozó tények ismeretében hihetőnek kell lennie. Az adatkezelőnek ezért kellő gondossággal kell eljárnia meggyőződésének kialakításakor annak érdekében, hogy bizonyítani tudja az észszerűséget. Az Egyesült Királyság hatóságainak magyarázata szerint az „észszerű meggyőződés” tesztet minden egyes kivételre el kell elvégezni (65). Ha a feltételek teljesülnek, az Egyesült Királyság jogszabályai szerint a kivétel szükségesnek és arányosnak tekinthető.

(70) A 2018. évi adatvédelmi törvény 124. szakasza szerint a biztosnak el kell készítenie az adatvédelemről és az újságírásról szóló gyakorlati kódexet. A kódex jelenleg készül. Az 1998. évi adatvédelmi törvény szerinti útmutatót adtak ki erről a kérdésről, amely hangsúlyozza, hogy az e kivételre való hivatkozáshoz nem elegendő annak puszta kijelentése, hogy a megfelelés kényelmetlenséget jelentene az újságírói tevékenység szempontjából, hanem egyértelmű érvnek kell léteznie arra vonatkozóan, hogy a szóban forgó rendelkezés akadályozza a felelősségteljes újságírást (66). A közérdekű teszt alkalmazásáról és a közérdek és az egyén magánélet iránti érdeke közötti egyensúly megteremtéséről az Egyesült Királyság telekommunikációs szabályozója, az OFCOM és a BBC a szerkesztési útmutatóiban is adott ki útmutatást (67). Az iránymutatások elsősorban a közérdek szempontjából figyelembe vehető információkra mutatnak be példákat, és elmagyarázzák, hogy bizonyíthatónak kell annak lennie, hogy az eset egyedi körülményei között a közérdek jelentősebb a magánélethez fűződő jogoknál.

(71) A GDPR 89. cikkében előírtakhoz hasonlóan a közérdekű, tudományos vagy történeti kutatási vagy statisztikai célra archiválási célból kezelt személyes adatok is mentesíthetők az Egyesült Királyság általános adatvédelmi rendeletének számos felsorolt rendelkezése alól (68). A kutatás és a statisztika tekintetében az Egyesült Királyság általános adatvédelmi rendeletének rendelkezései alól kivételek az alábbiakkal kapcsolatban lehetségesek: az adatkezelés megerősítése, az adatokhoz való hozzáférés és a harmadik országba történő adattovábbítások biztosítékai; helyesbítéshez való jog; az adatkezelés korlátozása és az adatkezelés elleni tiltakozás. Ami a közérdekű archiválást illeti, a személyes adatok helyesbítését vagy törlését, illetve az adatkezelés korlátozását érintő bejelentési kötelezettséget, valamint az adatok hordozhatóságához való jogot érintő kivétel is lehetséges.

(72) A 2018. évi adatvédelmi törvény 2. melléklete 27. szakaszának (1) bekezdése és 28. szakaszának (1) bekezdése szerint az Egyesült Királyság általános adatvédelmi rendelete felsorolt rendelkezései alóli kivételek akkor lehetségesek, ha a rendelkezések alkalmazása „megakadályozná vagy súlyosan hátrányosan érintené a (szóban forgó) célok elérését” (69).

(73) Tekintettel azok egyéni jogok hatékony gyakorlása szempontjából fennálló jelentőségére, a fent említett kivételek értelmezésével és gyakorlati alkalmazásával kapcsolatos bármely lényeges fejlemény (a határt átlépő személyforgalom hatékony ellenőrzése (6) preambulumbekezdésben kifejtett fenntartásával kapcsolatos fejlemények mellett), ideértve az ítélkezési gyakorlat, valamint a biztos útmutatásainak és végrehajtási intézkedéseinek további fejlődését, e határozat folyamatos nyomon követése során megfelelően figyelembe veszik (70).

2.5.7. Az újbóli adattovábbítás korlátozása

(74) Az Európai Unióból az egyesült királyságbeli adatkezelőknek vagy adatfeldolgozóknak továbbított személyes adatok védelmi szintjét nem veszélyeztetheti az említett adatok Egyesült Királyságon kívüli harmadik országokban található adatátvevők részére történő újbóli továbbítása. Az említett „újbóli adattovábbítás”, amely az egyesült királyságbeli adatkezelők vagy adatfeldolgozók szemszögéből Egyesült Királyságból történő nemzetközi adattovábbításnak számít, csak abban az esetben engedélyezett, ha az Egyesült Királyságon kívüli újabb adatátvevőre olyan szabályok vonatkoznak, amelyek biztosítják az Egyesült Királyság jogrendje szerint biztosított védelem szintjéhez hasonló szintű védelmet. Emiatt az Egyesült Királyság általános adatvédelmi rendelete és a 2018. évi adatvédelmi törvény személyes adatok nemzetközi továbbítására vonatkozó szabályainak alkalmazása fontos tényező a védelem folyamatosságának biztosításában az e határozat alapján az Európai Unióból az Egyesült Királyságba továbbított személyes adatok esetében a védelem folyamatosságának biztosításában.

(75) Az Egyesült Királyságból származó személyes adatok nemzetközi továbbításának rendszerét az Egyesült Királyság általános adatvédelmi rendeletének 44–49. szakasza határozza meg, kiegészítve a 2018. évi adatvédelmi törvénnyel, és lényegében az (EU) 2016/679 rendelet V. fejezetében meghatározott szabályokat tükrözi (71). A személyes adatok harmadik országba vagy nemzetközi szervezetbe történő továbbítására csak megfelelőségi rendelet alapján kerülhet sor (az (EU) 2016/679 rendelet szerinti megfelelőségi határozat egyesült királyságbeli megfelelője), vagy megfelelőségi rendelet hiányában akkor, ha az adatkezelő vagy az adatfeldolgozó megfelelő biztosítékokat nyújtott az Egyesült Királyság általános adatvédelmi rendeletének 46. szakaszával összhangban. Megfelelőségi rendeletek vagy megfelelő biztosítékok hiányában az adattovábbítás csak az Egyesült Királyság általános adatvédelmi rendelete 49. szakaszában meghatározott eltérések alapján történhet.

(76) A miniszter által elfogadott megfelelőségi rendeletek előírhatják, hogy egy harmadik ország (vagy egy harmadik ország területén belüli terület vagy ágazat), egy nemzetközi szervezet vagy (72) az említett ország, terület, szektor, vagy szervezet leírása biztosítja a személyes adatok megfelelő szintű védelmét. A védelmi szint megfelelőségének értékelésekor a miniszternek ugyanazokat az elemeket kell figyelembe vennie, amelyeket a Bizottságnak az (EU) 2016/679 rendelet 45. cikke (2) bekezdésének a)–c) pontja alapján értékelnie kell, az (EU) 2016/679 rendelet (104) preambulumbekezdésével és a megtartott uniós ítélkezési gyakorlattal együtt értelmezve. Ez azt jelenti, hogy egy harmadik ország megfelelő szintű védelmének értékelésekor a vonatkozó mérce az, hogy a szóban forgó harmadik ország biztosítja-e az Egyesült Királyságban garantált védelemmel „lényegében megegyező” védelmi szintet.

(77) Ami az eljárást illeti, a megfelelőségi rendeletekre a 2018. évi adatvédelmi törvény 182. szakaszában előírt „általános” eljárási követelmények vonatkoznak. Ebben az eljárásban a miniszternek konzultálnia kell az információügyi biztossal, amikor javaslatot tesz az Egyesült Királyság megfelelőségi rendeleteinek elfogadására (73). Miután a miniszter elfogadta ezeket a rendeleteket, azokat a Parlament elé terjesztik, és a „negatív állásfoglalási” eljárás érvényesül, amelynek során a Parlament mindkét háza megvizsgálhatja a rendeletet, és 40 napos határidőn belül elfogadhat a rendelet megsemmisítésére vonatkozó indítványt (74).

(78) A 2018. évi adatvédelmi törvény 17B. szakaszának (1) bekezdése szerint a megfelelőségi rendeletet legfeljebb négyéves időközönként felül kell vizsgálni, a miniszternek pedig folyamatosan figyelemmel kell kísérnie a harmadik országokban és nemzetközi szervezetekben azokat a fejleményeket, amelyek befolyásolhatják a megfelelőségi rendeletek megalkotására, illetve az említett rendeletek módosítására vagy visszavonására vonatkozó döntéseket. Ha a miniszter tudomására jut, hogy egy konkrét ország vagy szervezet már nem biztosítja a személyes adatok megfelelő szintű védelmét, a szükséges mértékben módosítania vagy hatályon kívül kell helyeznie a szabályokat, és konzultációt kell folytatnia a harmadik országgal vagy nemzetközi szervezettel a megfelelő védelem hiányának orvoslása érdekében. Ezek az eljárási szempontok tükrözik az (EU) 2016/679 rendelet megfelelő követelményeit is.

(79) Megfelelőségi rendeletek hiányában nemzetközi adattovábbításra akkor kerülhet sor, amennyiben az adatkezelő vagy az adatfeldolgozó megfelelő biztosítékokat nyújtott az Egyesült Királyság általános adatvédelmi rendelete 46. szakaszával összhangban. A biztosítékok hasonlóak a 2016/679/EU rendelet 46. cikkében említettekhez. Ide tartoznak a hatóságok vagy szervek között jogilag kötelező érvényű és végrehajtható eszközök, kötelező érvényű vállalati szabályok (75), egységes adatvédelmi feltételek, jóváhagyott magatartási kódexek, jóváhagyott tanúsítási mechanizmusok és az információügyi biztos engedélyével az adatkezelők (vagy adatfeldolgozók) közötti szerződései feltételek vagy a hatóságok közötti igazgatási megállapodások. A szabályokat azonban eljárási szempontból úgy módosították, hogy az Egyesült Királyság keretén belül működjenek, különösen a 2018. évi adatvédelmi törvény szerint a miniszter (17C. szakasz) vagy az információügyi biztos (119A. szakasz) fogadhat el általános adatvédelmi záradékokat.

(80) Megfelelőségi rendelet vagy megfelelő biztosítékok hiányában az adattovábbításra csak az Egyesült Királyság általános adatvédelmi rendeletének 49. szakaszában (76) meghatározott eltérések alapján történhet. Az Egyesült Királyság általános adatvédelmi rendelete nem vezet be lényeges változásokat az eltérések terén az (EU) 2016/679 rendelet megfelelő szabályaihoz képest. Az Egyesült Királyság általános adatvédelmi rendeletében – az (EU) 2016/679 rendelethez hasonlóan – bizonyos eltérésekre csak akkor lehet támaszkodni, ha az adattovábbítás alkalmi jellegű (77). Ezenkívül a biztos a nemzetközi adattovábbításokra vonatkozó útmutatójában pontosítja, hogy: „Ezeket csak valódi »kivételként« használja az általános szabály alól, amely szerint csak akkor hajtható végre korlátozott adattovábbítás, ha arra megfelelőségi határozat vonatkozik vagy vannak megfelelő biztosítékok” (78). A fontos közérdekből (49. cikk (1) bekezdés d) pont) szükséges adattovábbítások tekintetében a miniszter rendeleteket hozhat annak meghatározása érdekében, hogy a személyes adatok harmadik országba vagy nemzetközi szervezetnek történő továbbítása fontos közérdekből szükséges/nem szükséges. Ezenkívül a miniszter rendeletekkel korlátozhatja a személyes adatok valamely kategóriájának harmadik országba vagy nemzetközi szervezetnek történő továbbítását, amennyiben az adattovábbítás a megfelelőségi rendeletek alapján nem történhet meg, és a miniszter fontos közérdekű ok miatt szükségesnek tartja a korlátozást. Ilyen rendeletet eddig nem fogadtak el.

(81) Ez a nemzetközi adattovábbítási keretrendszer az átmeneti időszak végén vált alkalmazhatóvá (79). Ugyanakkor a 2018. évi adatvédelmi törvény 21. mellékletének (a kilépéssel kapcsolatos adatvédelmi szabályozás által bevezetett) (4) pontja előírja, hogy az átmeneti időszak végétől kezdve a személyes adatok bizonyos továbbítását úgy kezelik, mintha azok megfelelőségi rendeleteken alapulnának. Ezek az adattovábbítások magukban foglalják az EGT-államokba, Gibraltár területére, az EU-Szerződés által vagy annak alapján létrehozott uniós intézménynek, szervnek, hivatalnak vagy ügynökségnek történő adattovábbításokat, valamint az olyan harmadik országokba történő adattovábbításokat, amelyekre uniós megfelelőségi határozat vonatkozott az átmeneti időszak végén. Következésképpen az ezekbe az országokba irányuló adattovábbítások ugyanúgy folytatódhatnak, mint az Egyesült Királyság EU-ból való kilépése előtt. Az átmeneti időszak lejárta után a miniszternek négy éven belül, azaz 2024. december végéig felül kell vizsgálnia ezeket a megfelelőségi megállapításokat. Az Egyesült Királyság hatóságainak magyarázata szerint, bár a miniszternek 2024 december végéig el kell végeznie egy ilyen felülvizsgálatot, az átmeneti rendelkezések nem tartalmaznak „megszüntetési” rendelkezést, és a vonatkozó átmeneti rendelkezések hatálya nem szűnik meg automatikusan, ha a felülvizsgálat 2024. december végéig nem fejeződik be.

(82) Végül az Egyesült Királyság nemzetközi adattovábbítási rendszerének jövőbeli – új megfelelőségi rendeletek elfogadásával, nemzetközi megállapodások megkötésével vagy más adattovábbítási mechanizmusok kifejlesztésével történő – alakulását illetően a Bizottság szorosan figyelemmel kíséri a helyzetet, felméri, hogy a különböző adattovábbítási mechanizmusokat olyan módon használják-e, amely biztosítja a védelem folytonosságát, és szükség esetén megteszi a megfelelő intézkedéseket az említett folytonosság lehetséges káros hatásainak kezelésére (lásd a (278) – (287)preambulumbekezdést). Mivel az EU és az Egyesült Királyság szabályai hasonlóak a nemzetközi adattovábbításokkal kapcsolatban, várhatóan a problémás eltéréseket is el lehet kerülni együttműködéssel, információcserével és tapasztalatcserével, többek között a biztos és az Európai Adatvédelmi Testület között.

2.5.8. Elszámoltathatóság

(83) Az elszámoltathatóság elve értelmében az adatkezelőknek megfelelő technikai és szervezeti intézkedéseket kell hozniuk, hogy hatékonyan feleljenek meg adatvédelmi kötelezettségeiknek, és bizonyítani tudják ezt a megfelelést, különösen az illetékes felügyeleti hatóság felé.

(84) Az (EU) 2016/679 rendeletben előírt elszámoltathatóság elvét az Egyesült Királyság általános adatvédelmi rendelete 5. szakaszának (2) bekezdése lényeges változás nélkül megtartotta, és ugyanez vonatkozik az adatkezelő felelősségéről szóló 24. cikkre, a beépített adatvédelemről szóló 25. cikkre, valamint az adatkezelési tevékenységek nyilvántartásáról szóló 30. cikkre. Az adatvédelmi hatásvizsgálatokról és a felügyeleti hatósággal folytatott előzetes konzultációról szóló 35. és 36. cikket szintén megtartották. Az (EU) 2016/679 rendeletnek az adatvédelmi tisztviselők kijelöléséről és feladatairól szóló 37–39. cikkét az Egyesült Királyság általános adatvédelmi rendeletében lényeges változások nélkül megtartották. Továbbá megtartották az (EU) 2016/679 rendelet magatartási kódexekről és tanúsításról szóló 40. és 42. cikkének rendelkezéseit az Egyesült Királyság általános adatvédelmi rendeletében (80).

2.6. Felügyelet és végrehajtás

2.6.1. Független felügyelet

(85) Az adatvédelem megfelelő szintjének gyakorlati biztosítása érdekében létre kell hozni egy független felügyeleti hatóságot, amely hatáskörrel rendelkezik az adatvédelmi szabályoknak való megfelelés nyomon követésére és a nyomon követés érvényesítésére. Ennek a hatóságnak teljes egészében függetlenül és pártatlanul kell eljárnia feladatai ellátása és hatásköre gyakorlása során.

(86) Az Egyesült Királyság általános adatvédelmi rendeletének és a 2018. évi adatvédelmi törvénynek való megfelelés felügyeletét és kikényszerítését az Egyesült Királyságban az információügyi biztos végzi. Az információügyi biztos „Corporation Sole”: egyetlen személyben megtestesülő önálló jogi személy. Az információügyi biztos munkáját egy hivatal támogatja. Az Információs Biztos Hivatalának 2020. március 31-én 768 állandó munkavállalója volt (81). Az információügyi biztos támogató minisztériuma a Digitális, Kulturális, Média- és Sportminisztérium (82).

(87) A biztos függetlenségét kifejezetten rögzíti az Egyesült Királyság általános adatvédelmi rendeletének 52. szakasza, amely nem tér el érdemben a GDPR rendelet 52. cikkének (1)–(3) bekezdésétől. A biztosnak teljesen függetlenül kell eljárnia feladatainak ellátása és hatásköreinek az Egyesült Királyság általános adatvédelmi rendeletével összhangban történő gyakorlása során, mentesnek kell maradnia bármiféle közvetlen vagy közvetett külső befolyástól e feladatok és hatáskörök tekintetében, és senkitől nem kérhet és nem fogadhat el utasításokat. A biztosnak tartózkodnia kell minden olyan feladattól is, amely összeegyeztethetetlen a feladataival, és hivatali idejében nem folytathat összeegyeztethetetlen foglalkozást, legyen az fizetett vagy önkéntes munka.

(88) Az információügyi biztos kinevezésének és visszahívásának feltételeit a 2018. évi adatvédelmi törvény 12. melléklete tartalmazza. Az információügyi biztost a királynő nevezi ki a kormány ajánlása alapján, tisztességes és nyílt verseny alapján. A jelöltnek rendelkeznie kell a megfelelő képesítéssel, készségekkel és kompetenciákkal. A Governance Code on Public Appointments (állami kinevezések irányítása kódexe) elnevezésű dokumentummal összhangban (83) a kinevezhető jelöltek listáját egy tanácsadó értékelő testület állítja össze. Mielőtt a Digitális, Kulturális, Média- és Sportminisztérium minisztere véglegesíti döntését, az illetékes parlamenti válogató bizottságnak kinevezés előtti ellenőrzést kell lefolytatnia. A bizottság álláspontját nyilvánosságra hozzák (84).

(89) Az információügyi biztos hivatali ideje legfeljebb hét év. Egy személyt nem lehet több alkalommal információügyi biztosnak kinevezni. Őfelsége a Parlament mindkét házának beszédét követően felmentheti hivatalából (85). Az információügyi biztos felmentésére vonatkozó kérelem nem terjeszthető be a Parlament egyik házához sem, ha egy miniszter nem terjesztett elő jelentést, amelyben kijelenti, hogy meg van győződve arról, hogy az információügyi biztos súlyos kötelességszegésben vétkes és/vagy a biztos már nem felel meg a biztos feladatainak ellátásához szükséges feltételeknek (86).

(90) Az információügyi biztos finanszírozása három forrásból származik: i. az adatkezelők által fizetett adatvédelmi díjak, amelyeket a miniszter rendeletei határoznak meg (87) (a Data Protection (Charges and Information) Regulations 2018 elnevezésű (2018. évi adatvédelmi (díjak és információk) szabályozás), és a Hivatal éves költségvetésének 85–90 %-át teszi ki (88); ii. a kormány által az információügyi biztos részére kifizetett támogatás. A támogatást elsősorban az információügyi biztos adatvédelemhez nem kapcsolódó feladatai tekintetében felmerülő működési költségeinek finanszírozására fordítják (89); és iii. a szolgáltatásokért felszámított díjak (90). Jelenleg ilyen díjakat nem számítanak fel.

(91) Az információügyi biztos az Egyesült Királyság általános adatvédelmi rendelete körébe tartozó személyes adatok kezelésével kapcsolatos általános feladatait az Egyesült Királyság általános adatvédelmi rendeletének 57. szakasza határozza meg, szorosan tükrözve az (EU) 2016/679 rendelet megfelelő szabályait. Feladatai közé tartozik az Egyesült Királyság általános adatvédelmi rendeletének nyomon követése és végrehajtása, a közvélemény tudatosságának elősegítése, az érintettek által benyújtott panaszok kezelése, vizsgálatok lefolytatása stb. Ezenkívül a 2018. évi adatvédelmi törvény 115. szakasza meghatározza a biztos egyéb általános feladatait, amelyek magukban foglalják a Parlament, a kormány és más intézmények és szervek számára a tanácsadás kötelezettségét az egyének jogainak és szabadságainak a személyes adatok kezelése tekintetében történő védelmével kapcsolatos törvényi és közigazgatási intézkedésekről, valamint arra vonatkozó hatáskör, hogy a biztos saját kezdeményezésére vagy kérésre véleményt adjon a Parlamentnek, a kormánynak vagy más intézményeknek és szerveknek, valamint a lakosságnak a személyes adatok védelmével kapcsolatos bármely kérdésben. Az igazságszolgáltatás függetlenségének fenntartása érdekében az információügyi biztos nem jogosult feladatait a személyes adatok bírói minőségben eljáró egyén, vagy bírósági minőségében eljáró bíróság vagy törvényszék általi kezelésével kapcsolatban ellátni. Az igazságszolgáltatás felügyeletét szakosított testületek biztosítják (lásd a (99)–(103) preambulumbekezdést.

2.6.2. Jogérvényesítés, ezen belül a jogsértés megszüntetésére irányuló eljárások

(92) Az információügyi biztos hatáskörét az Egyesült Királyság általános adatvédelmi rendeletének 58. szakasza rögzíti, amely nem vezet be lényeges változásokat az (EU) 2016/679 rendelet megfelelő cikkéhez képest. A 2018. évi adatvédelmi törvény kiegészítő szabályokat határoz meg e hatáskörök gyakorlásának módjáról. A biztos hatáskörrel rendelkezik különösen az alábbiakra: a) az adatkezelő és az adatfeldolgozó (és bizonyos körülmények között bármely más személy) számára a szükséges információk megadásának elrendelése tájékoztatás kérésével („adatkérési felhívás”) (91); b) vizsgálat és ellenőrzés végzése vizsgálati felhívás útján, amelyben elrendelheti az adatkezelő vagy az adatfeldolgozó számára, hogy engedélyezze a biztos számára a belépést meghatározott helyiségekbe, dokumentumok vagy berendezések megtekintését vagy vizsgálatát, a személyes adatokat az adatkezelő nevében feldolgozó emberek kihallgatását („vizsgálati felhívás”) (92); c) egyébként hozzáférés az adatkezelők és az adatfeldolgozók dokumentumaihoz, valamint belépés helyiségeikbe a 2018. évi adatvédelmi törvény 154. szakaszának („belépési és ellenőrzési jogkör”) megfelelően; d) korrekciós hatáskör gyakorlása, többek között jogérvényesítési felhívás útján figyelmeztetések és megrovások, vagy utasítás adása révén, amelyben megköveteli az adatkezelőktől/adatfeldolgozóktól az Egyesült Királyság általános adatvédelmi rendeletének 58. szakasza (2) bekezdésének c), g) és j) pontjában írt bármely intézkedés megtételét vagy azoktól tartózkodást („jogérvényesítési felhívás”) (93); e) bírságértesítő formájában közigazgatási bírságot szab ki („bírságértesítő”) (94). Ez utóbbit akkor is ki lehet adni, ha egy hatóság nem tartotta be az Egyesült Királyság általános adatvédelmi rendeletében foglalt rendelkezéseket (95).

(93) A biztos szabályozási cselekvési politikája meghatározza azokat a körülményeket, amelyek mellett a biztos adatkérési, vizsgálati, jogérvényesítési felhívást és bírságértesítőt fog kiadni (96). Az adatkezelő vagy az adatfeldolgozó mulasztására adott jogérvényesítési felhívás csak olyan követelményeket támaszthat, amelyeket a biztos a mulasztás orvoslása érdekében megfelelőnek tart. Végrehajtási felhívásokat és bírságértesítőket az adatkezelőnek vagy az adatfeldolgozónak az Egyesült Királyság általános adatvédelmi rendelete II. fejezetének (az adatkezelés elvei), a 12–22. szakaszának (az érintett jogai), a 25–39. szakaszának (az adatkezelők és az adatkezelők kötelezettségei) és az Egyesült Királyság általános adatvédelmi rendeletének 44–49. szakasza (nemzetközi adattovábbítások) megsértésével kapcsolatban lehet kiadni. Jogérvényesítési felhívás akkor is kiadható, ha az adatkezelő nem teljesítette a 2018. évi adatvédelmi törvény 137. szakasza alapján elfogadott rendeletben előírt díjfizetési követelményt. Ezenkívül a 41. cikk szerinti ellenőrző szerv vagy egy tanúsító szolgáltató akkor kaphat jogérvényesítési felhívást, ha nem teljesíti az Egyesült Királyság általános adatvédelmi rendeletéből eredő kötelezettségeit. Bírságértesítő olyan személynek adható, aki nem tett eleget adatkérési, vizsgálati vagy jogérvényesítési felhívásnak.

(94) A bírságértesítő előírja a személynek, hogy az értesítésben meghatározott összeget fizesse meg az információügyi biztosnak. Annak eldöntésekor, hogy küldjön-e valakinek bírságértesítőt, és a büntetés összegének meghatározásakor az információügyi biztosnak figyelembe kell vennie az Egyesült Királyság általános adatvédelmi rendelete 83. szakaszának (1) és (2) bekezdésében felsorolt kérdéseket, amelyek megegyeznek az (EU) 2016/679 rendelet megfelelő szabályaival (97). A 83. szakasz (4) és (5) bekezdése szerint az e rendelkezésekben említett kötelezettségek elmulasztása esetén az adminisztratív bírságok maximális összege 8 700 000 GBP, illetve 17 500 000 GBP. Vállalkozás esetében az információügyi biztos a világszintű éves árbevétel százalékában is kiszabhatja a bírságokat, ha az magasabb. Az (EU) 2016/679 rendelet megfelelő rendelkezéseihez hasonlóan ezeket az összegeket a 83. cikk (4) bekezdésében 2 %-ban, illetve (5) bekezdésében 4 %-ban határozták meg. Az adatkérési, vizsgálati vagy jogérvényesítési felhívás be nem tartásával kapcsolatban a bírságértesítővel kiszabható büntetés maximális összege 17 500 000 GBP, vagy vállalkozás esetében a világszintű éves árbevétel 4 %-a.

(95) Az Egyesült Királyság általános adatvédelmi rendelete és a 2018. évi adatvédelmi törvény együttesen megerősítette az információügyi biztos egyéb hatásköreit is. Például a biztos most kötelező ellenőrzéseket hajthat végre valamennyi adatkezelő és adatfeldolgozó vonatkozásában vizsgálati felhívások használata révén, míg a korábbi jogszabályok, az 1998. évi adatvédelmi törvény értelmében a biztosnak csak a központi kormányzat és az egészségügyi szervezetek vonatkozásában volt ilyen hatásköre, másoknak bele kellett egyezniük az ellenőrzésbe.

(96) Az (EU) 2016/679 rendelet bevezetése óta a biztos évente mintegy 40 000, az érintettektől érkező panaszt intéz (98) és ezenfelül körülbelül 2 000 hivatalból indított vizsgálatot (99) folytat le. A panaszok többsége az adatokhoz való hozzáférés jogával és az adatok közlésével kapcsolatos. Vizsgálatait követően a biztos végrehajtási intézkedéseket hoz ágazatok széles körében. Pontosabban, az információügyi biztos legújabb éves jelentése (2019–2020) szerint (100) a biztos 54 jelentést, 8 értékelő közleményt, 7 végrehajtási közleményt, 4 figyelmeztetést adott ki, 8 büntető feljelentést tett és 15 bírságot szabott ki a beszámolási időszak alatt (101).

(97) Ennek része az (EU) 2016/679 rendelet és a 2018. évi adatvédelmi törvény alapján kiszabott számos jelentős pénzbüntetés. Az információügyi biztos különösen 2020 októberében 20 millió GBP összegre bírságolt egy brit légitársaságot, egy több mint 400 000 ügyfelet érintő személyesadat-sértés miatt. 2020 októberének végén egy nemzetközi szállodaláncot 18,4 millió GBP összegre büntettek, mivel nem tartotta biztonságban ügyfelek millióinak személyes adatait, 2020 novemberében pedig egy jegyeket online értékesítő brit rendezvényszervező szolgáltatót 1,25 millió GBP összegre büntetett meg az ügyfelek fizetési adatai védelmének elmaradása miatt. (102)

(98) Az információügyi biztosnak a (92) preambulumbekezdésben leírt végrehajtási hatáskörein túl az adatvédelmi jogszabályok bizonyos megsértései bűncselekménynek minősülnek, ezért büntetőjogi szankciókkal sújthatók (a 2018. évi adatvédelmi törvény 196. szakasza). Ez vonatkozik például a személyes adatok adatkezelő hozzájárulása nélkül szándékos vagy gondatlan gyűjtésére vagy közlésére, a személyes adatok más személlyel közlésére az adatkezelő hozzájárulása nélkül (103), az anonimizált személyes adatok újbóli azonosítása a személyes adatok anonimizálásáért felelős adatkezelő hozzájárulása nélkül (104), a biztos személyes adatok nemzetközi kötelezettségekkel összhangban történő ellenőrzésével kapcsolatos hatásköre gyakorlásának szándékos akadályozása (105), hamis állítások megtétele egy adatkérési felhívásra, vagy információk megsemmisítése az adatkérési és vizsgálati felhívások kapcsán (106).

2.6.3. Az igazságszolgáltatás felügyelete

(99) A személyes adatok bíróságok és igazságszolgáltatás általi kezelésének felügyelete kettős. Ha egy igazságügyi tisztségviselő vagy bíróság nem bírói minőségben jár el, a felügyeletet az információügyi biztos látja el. Amennyiben az adatkezelő bírói minőségben jár el, a biztos nem gyakorolhatja felügyeleti funkcióit (107) és a felügyeletet speciális szervek végzik. Ez az (EU) 2016/679 rendeletben alkalmazott megközelítést (55. cikk (3) bekezdés) tükrözi.

(100) A második esetkörben az angliai és walesi bíróságok, valamint az angliai és walesi első és felsőbb bíróságok esetében az említett felügyeletet konkrétan a bírói adatvédelmi testület biztosítja (108). Ezenkívül a Lord Chief Justice és a Senior President of Tribunals adatkezelési tájékoztatót adott ki (109) amely meghatározza, hogy az angliai és walesi bíróságok miként kezelik a személyes adatokat bírósági funkciók ellátása céljából. Hasonló nyilatkozatot adott ki az északír (110) és a skót bírói kar is (111).

(101) Sőt, Észak-Írországban az északír Lord Chief Justice kinevezett egy legfelsőbb bírósági bírót adatvédelmi felügyelő bírónak (Data Supervisory Judge – DSJ) (112). Ugyancsak útmutatót adtak ki az északír bírói karnak arról, hogy mit kell tenniük adatok elvesztése vagy potenciális elvesztése esetén, valamint az ebből adódó kérdések kezelésének folyamatáról (113).

(102) Skóciában a Lord President nevezett ki egy adatvédelmi felügyelő bírót az adatvédelmi alapon tett esetleges panaszok kivizsgálására. Ezt a bírósági panaszokra vonatkozó szabályok rögzítik, amelyek az Anglia és Wales vonatkozásában megállapított szabályokat tükrözik (114).

(103) Végül a Legfelsőbb Bíróságon az egyik legfelsőbb bírósági bírót nevezik ki az adatvédelem felügyeletére.

2.6.4. Jogorvoslat

(104) A megfelelő védelem biztosítása és különösen a személyhez fűződő jogok érvényesítésének biztosítása érdekében az érintettet hatékony közigazgatási és bírósági jogorvoslatban kell részesíteni, beleértve a kártérítést.

(105) Először is, az érintettnek joga van panaszt benyújtani az információügyi biztoshoz, ha úgy ítéli meg, hogy a rá vonatkozó személyes adatokkal kapcsolatban megszegték az Egyesült Királyság általános adatvédelmi rendeletét (115). Az Egyesült Királyság általános adatvédelmi rendelete lényeges módosítások nélkül fenntartja az e jogra vonatkozó, az (EU) 2016/679 rendelet 77. cikkében szereplő szabályokat. Ugyanez vonatkozik az 57. cikk (1) bekezdésének f) pontjára és (2) bekezdésére, amelyek meghatározzák a biztos panaszok kezelésével kapcsolatos feladatait. A (92)–(98) above preambulumbekezdésben leírtak szerint az információügyi biztos hatáskörrel rendelkezik annak értékelésére, hogy az adatkezelő és az adatfeldolgozó megfelel-e az Egyesült Királyság általános adatvédelmi rendeletének és a 2018. évi adatvédelmi törvénynek, megkövetelheti tőlük, hogy tegyék meg a szükséges lépéseket, vagy tartózkodjanak azoktól meg nem felelés esetén és bírságot szab ki.

(106) Másodszor, az Egyesült Királyság általános adatvédelmi rendelete és a 2018. évi adatvédelmi törvény jogot biztosít az információügyi biztos elleni jogorvoslatra. Az Egyesült Királyság általános adatvédelmi rendelete 78. szakaszának (1) bekezdése értelmében az egyénnek joga van hatékony bírósági jogorvoslathoz a biztos rá vonatkozó, jogilag kötelező érvényű határozatával szemben. A bírósági felülvizsgálat keretében a bíró megvizsgálja a keresetben megtámadott döntést, és megvizsgálja, hogy az információügyi biztos jogszerűen járt-e el. Ezenkívül az Egyesült Királyság általános adatvédelmi rendelete 78. szakaszának (2) bekezdése szerint, ha a biztos nem kezeli megfelelően az érintett panaszát, (116) a panaszos bírósági jogorvoslatot vehet igénybe. A First Tier Tribunal előtt kérheti a biztos arra kötelezését, hogy tegye meg a megfelelő lépéseket a panasz elintézésére, vagy tájékoztassa a panaszost a panasz állásáról (117). Ezenkívül bárki, aki a biztostól a fenti bármelyik felhívást (adatkérési, vizsgálati, jogérvényesítési felhívás vagy bírságértesítő) megkapja, fellebbezést nyújthat be a First Tier Tribunalhoz (118). Ha ez a bíróság úgy ítéli meg, hogy a biztos döntése nincs összhangban a jogszabályokkal, vagy az információügyi biztosnak másként kellett volna gyakorolnia mérlegelési jogkörét, akkor engedélyeznie kell a fellebbezést, vagy olyan másik felhívást vagy határozatot kell elfogadnia, amelyet az információügyi biztos elfogadhatott volna.

(107) Harmadszor: az egyének az adatkezelőkkel és az adatfeldolgozókkal szemben közvetlenül a bírósághoz fordulva is bírósági jogorvoslatot nyerhetnek az Egyesült Királyság általános adatvédelmi rendelete 79. szakasza és a 2018. évi adatvédelmi törvény 167. szakasza alapján. Ha az érintett kérelmére a bíróság meggyőződik arról, hogy megsértették az érintett adatvédelmi jogszabályok szerinti jogait, a bíróság kötelezheti az adatkezelésben érintett adatkezelőt, vagy az adatkezelő nevében eljáró adatfeldolgozót a kötelezésben maghatározott intézkedések megtételére, vagy az abban meghatározott lépésektől való tartózkodásra.

(108) Ezenkívül az Egyesült Királyság általános adatvédelmi rendeletének 82. szakasza és a 2018. évi adatvédelmi törvény 168. szakasza alapján minden olyan személynek, aki az Egyesült Királyság általános adatvédelmi rendeletének megsértése miatt anyagi vagy nem vagyoni kárt szenvedjen, joga van arra, hogy az adatkezelőtől vagy az adatfeldolgozótól az elszenvedett kárért kártérítést kapjon. Az Egyesült Királyság általános adatvédelmi rendelete 82. szakaszának (1)–(5) bekezdésében szereplő, a kártérítésre és a felelősségre vonatkozó szabályok megegyeznek az (EU) 2016/679 rendelet megfelelő szabályaival. A 2018. évi adatvédelmi törvény 168. szakasza szerint a nem vagyoni károk magukban foglalják a sérelemdíjat is. Az Egyesült Királyság általános adatvédelmi rendeletének 80. szakasza alapján az érintettnek joga van egy érdekképviseleti testületet vagy szervezetet is meghatalmazni a panasz biztoshoz történő benyújtására (az Egyesült Királyság általános adatvédelmi rendeletének 77. szakasza alapján) és az Egyesült Királyság általános adatvédelmi rendelete 78. szakaszában (a biztos elleni hatékony bírósági jogorvoslat), 79. szakaszában (az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslat joga) és 82. szakaszában (a kártérítéshez és helytállási kötelezettséghez való jog) említett jogok képviseletében történő gyakorlására.

(109) Negyedszer, és a fentebb ismertetett jogorvoslati lehetőségek mellett, amennyiben bárki úgy ítéli meg, hogy a hatóságok megsértették jogait, beleértve a magánélethez és az adatvédelemhez fűződő jogokat, az 1998. évi emberi jogi törvény alapján jogorvoslatot kaphat az Egyesült Királyság bíróságai előtt (119). Az a személy, aki azt állítja, hogy egy hatóság olyan módon járt el (vagy olyan eljárást javasol), amely összeegyeztethetetlen az egyezmény szerinti joggal, következésképpen az 1998. évi emberi jogi törvény 6. szakaszának (1) bekezdése alapján jogellenes, eljárást indíthat a hatóság ellen a megfelelő bíróság vagy törvényszék előtt, vagy bármely bírósági eljárásban hivatkozhat az érintett jogokra, amennyiben a jogellenes cselekmény áldozata (vagy az lenne).

(110) Ha a bíróság valamely hatóság valamely cselekményét jogellenesnek találja, hatáskörein belül olyan kártérítést vagy jogorvoslatot adhat, illetve határozatot hozhat, amelyet igazságosnak és megfelelőnek tart (120). A bíróság összeegyeztethetetlennek nyilváníthatja az elsődleges jogszabályok valamely rendelkezését az Egyezmény által biztosított jogokkal is.

(111) Végül, a nemzeti jogorvoslatok kimerülése után az egyén az Emberi Jogok Európai Bíróságánál kérhet jogorvoslatot az emberi jogok európai egyezménye által biztosított jogok megsértése miatt.

3. AZ EURÓPAI UNIÓBÓL TOVÁBBÍTOTT SZEMÉLYES ADATOKHOZ VALÓ HOZZÁFÉRÉS ÉS AZ ILYEN ADATOK FELHASZNÁLÁSA AZ EGYESÜLT KIRÁLYSÁG HATÓSÁGAI ÁLTAL

(112) A Bizottság emellett értékelte az Egyesült Királyság jogi kereteit az Egyesült Királyság hatóságai által közérdekből – különösen büntetőjogi és nemzetbiztonsági célokból – az Egyesült Királyság gazdasági szereplői számára az Egyesült Királyságban továbbított személyes adatok gyűjtésére és későbbi felhasználására (a továbbiakban: mint „kormányzati hozzáférés”) vonatkozóan. Annak értékelése során, hogy azok a feltételek, amelyek mellett az e határozat alapján az Egyesült Királyságba továbbított adatokhoz való kormányzati hozzáférés megfelel-e az (EU) 2016/679 rendelet 45. cikkének (1) bekezdése szerinti „lényegi egyenértékűségi” teszten, az Európai Unió Bíróságának az Alapjogi Chartára figyelemmel adott értelmezése szerint a Bizottság különösen a következő kritériumokat vette figyelembe.

(113) Először is, a személyes adatok védelméhez való jog gyakorlása csak a törvény által korlátozható, és a beavatkozást lehetővé tevő jogalapnak magának kell meghatároznia az érintett jog gyakorlásával kapcsolatos korlátozás terjedelmét (121).

(114) Másodszor, az arányosság követelményének való megfelelés érdekében, amely szerint egy demokratikus társadalomban a személyes adatok védelme alóli eltéréseknek és e védelem korlátozásainak a feltétlenül szükséges mérték határain belül kell maradniuk az Unió által elismert elismertekkel egyenértékű általános érdekű célok teljesítéséhez, az érintett harmadik ország beavatkozást lehetővé tevő jogszabályainak egyértelmű és pontos szabályokat kell meghatározniuk a szóban forgó intézkedések alkalmazási körét és alkalmazását illetően, és elő kell írniuk minimumbiztosítékokat annak érdekében, hogy azok a személyek, akiknek az adatait továbbították, elegendő garanciákkal rendelkezzenek, amelyek lehetővé teszik a személyes adataiknak a visszaélések veszélyeivel szembeni hatékony védelmét (122). A jogszabályoknak meg kell jelölniük különösen, hogy milyen körülmények között és milyen feltételek mellett lehet az ilyen adatok kezelését előíró intézkedést megtenni (123), valamint az említett követelmények teljesítését független felügyeletnek kell alávetni (124).

(115) Harmadszor, ennek a jogszabálynak a nemzeti jog szerint jogilag kötelezőnek kell lennie, és ezeknek a jogi követelményeknek nemcsak a hatóságokra nézve kell kötelezőnek lenniük, hanem a szóban forgó harmadik ország hatóságaival szemben bíróság előtt is végrehajthatónak (125). Az érintetteknek különösen rendelkezniük kell azzal a lehetőséggel, hogy független és pártatlan bíróság előtt éljenek jogorvoslati lehetőségekkel abból a célból, hogy a rájuk vonatkozó személyes adatokhoz hozzáférést kapjanak, vagy az ilyen adatokat helyesbíttetni vagy töröltetni tudják (126).

3.1. Általános jogi keret

(116) A kormányzati hozzáférést a hatóság hatáskörének gyakorlásaként az Egyesült Királyságban a törvények teljes tiszteletben tartásával kell végezni. Az Egyesült Királyság ratifikálta az emberi jogok európai egyezményét (lásd a (9) preambulumbekezdést) és az Egyesült Királyság összes hatóságának az egyezménynek megfelelően kell eljárnia (127). Az egyezmény 8. cikke előírja, hogy a magánéletbe való bármiféle beavatkozásnak összhangban kell állnia a jogszabályokkal, a 8. cikk (2) bekezdésében meghatározott célok valamelyikének érdekében, és e célra figyelemmel arányosnak kell lennie. A 8. cikk azt is előírja, hogy a beavatkozásnak „előreláthatónak” kell lennie, vagyis egyértelmű, hozzáférhető jogalapjának kell lennie, és hogy a törvénynek megfelelő biztosítékokat kell tartalmaznia a visszaélések megelőzésére.

(117) Emellett az Emberi Jogok Európai Bírósága ítélkezési gyakorlatában meghatározta, hogy a magánélethez és az adatvédelemhez való jogba való bármiféle beavatkozásra hatékony, független és pártatlan felügyeleti rendszernek kell vonatkoznia, amelyet bírónak, bíróságnak vagy más független testületnek (128) (pl. közigazgatási hatóságnak vagy parlamenti szervnek) kell biztosítania.

(118) Ezenkívül az egyének számára hatékony jogorvoslatot kell biztosítani, és az Emberi Jogok Európai Bírósága pontosította, hogy a jogorvoslatot egy olyan független és pártatlan testületnek kell nyújtania, amely elfogadta saját eljárási szabályzatát, tagjai hivatalban lévő vagy volt magas rangú bírák vagy tapasztalt ügyvédek, és a kérelem benyújtásához bizonyítási teher teljesítése nem írható elő. A magánszemélyek panaszainak vizsgálata során a független és pártatlan testület részére hozzáférést kell biztosítani minden lényeges információhoz, ideértve a zárt anyagokat is. Végül hatáskörrel kell rendelkeznie a meg nem felelés orvoslására (129).

(119) Az Egyesült Királyság 2018-ban ratifikálta Európa Tanács az egyéneknek a személyes adatok gépi feldolgozása során való védelméről szóló egyezményét (108. egyezmény), és az egyéneknek a személyes adatok gépi feldolgozása során való védelméről szóló egyezményt módosító jegyzőkönyvet (az úgynevezett 108+ egyezményt) (130). A 108. egyezmény 9. cikke előírja, hogy az Egyezmény általános adatvédelmi elveitől (5. cikk Az adatok minősége), különleges adatokra vonatkozó szabályoktól (6. cikk Különleges adatok) és az érintettek jogaitól (8. cikk Az adatalanyt védő további garanciák) rendelkezéseitől való eltérés csak akkor megengedett, ha erről az adott Fél törvénye rendelkezik, és a szükséges intézkedések egy demokratikus társadalomban az állam biztonsága, a közbiztonság, az állam pénzügyi érdekének a védelme vagy a bűncselekmények megelőzése érdekében, vagy az adatalany vagy mások jogainak vagy szabadságjogainak védelme érdekében szükségesek (131).

(120) Ezért az Egyesült Királyságra számos, a nemzetközi jogban rögzített kötelezettség vonatkozik az Európa Tanácsban fennálló tagsága, az Emberi Jogok Európai Egyezményéhez való csatlakozása és az Emberi Jogok Európai Bírósága joghatóságának való alávetése révén, amelyek az uniós jog által garantált és a tagállamokra alkalmazandó elvekhez, biztosítékokhoz és egyéni jogokhoz hasonlóan foglalják keretbe a kormányzati hozzáférési rendszerét. Amint azt a (19) preambulumbekezdés hangsúlyozta, az említett eszközök folyamatos betartása ezért különösen fontos eleme az e határozat alapjául szolgáló értékelésnek.

(121) Ezenkívül a konkrét adatvédelmi biztosítékokat és jogokat a 2018. évi adatvédelmi törvény garantálja, amikor az adatokat hatóságok, többek között a bűnüldöző szervek és a nemzetbiztonsági szervek is kezelik.

(122) A személyes adatok bűnüldözéssel összefüggésben történő kezelésének rendjét különösen a 2018. évi adatvédelmi törvény 3. része határozza meg, amelyet az (EU) 2016/680 irányelv átültetésére fogadtak el. A 2018. évi adatvédelmi törvény 3. része a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából végzett kezelésére vonatkozik (132).

(123) Az „illetékes hatóság” az adatvédelmi törvény 30. szakaszának fogalommeghatározása szerint a 2018. évi adatvédelmi törvény 7. mellékletében felsorolt személy, valamint bármely más személy, amennyiben bármely bűnüldözési célból jogszabályi feladatai vannak (133). Amint az alábbiakban kifejtésre került (lásd a (139) preambulumbekezdést), bizonyos illetékes hatóságok (például a Nemzeti Bűnügyi Ügynökség) bizonyos feltételek mellett igénybe vehetik a nyomozati hatáskörökről szóló 2016. évi törvény (a nyomozati hatáskörökről szóló 2016. évi törvény) által biztosított hatásköröket. Ebben az esetben a 2018. évi adatvédelmi törvény 3. részében előírt biztosítékok mellett érvényesülnek a nyomozati hatáskörökről szóló 2016. évi törvényben előírt biztosítékok is. A hírszerző ügynökségek (Secret Intelligence Service – titkosszolgálat, Security Service – biztonsági szolgálat és a Government Communications Headquarters – kormányzati kommunikációs központ) nem a 2018. évi adatvédelmi törvény 3. részének hatálya alá tartozó „illetékes hatóságok” (134), és ezért az ott előírt szabályok egyetlen tevékenységükre sem vonatkoznak. A 2018. évi adatvédelmi törvényben egy külön (a 4.) részt szenteltek személyes adatok hírszerző ügynökségek általi kezelésének (részletesebben lásd a (125) preambulumbekezdést).

(124) Az (EU) 2016/680 irányelvhez hasonlóan a 2018. évi adatvédelmi törvény 3. része meghatározza a jogszerűség és a tisztességesség (135), a célhoz kötöttség (136), az adattakarékossága (137), a pontosság (138), a tárolási korlátozás (139) és a biztonság (140) elvét. A jogszabály külön átláthatósági kötelezettségeket ír elő (141) és hozzáférési (142), helyesbítési és törlési (143) jogot biztosít az egyének számára, valamint azt a jogot, hogy ne hozzanak róluk automatizált döntéseket (144). Az illetékes hatóságok kötelesek továbbá megvalósítani a tervezett és beépített adatvédelmet, nyilvántartást vezetni az adatkezelési tevékenységekről, egyes adatkezelési műveletek esetében pedig adatvédelmi hatásvizsgálatokat kell végezniük, és előzetesen konzultálniuk kell az információügyi biztossal (145). A 2018. évi adatvédelmi törvény 56. szakasza szerint a megfelelést bizonyítaniuk kell. Ezenkívül megfelelő intézkedéseket kell bevezetniük az adatkezelés biztonságának biztosítása érdekében (146) és külön kötelezettségek vonatkoznak rájuk a személyes adatok megsértése esetén, ideértve az említett jogsértések az információügyi biztosnak való bejelentését és az érintettek tájékoztatását (147). Ahogyan az (EU) 2016/680 irányelvben szerepel, az adatkezelőre is előírás az adatvédelmi tisztviselő kijelölése (kivéve, ha az adatkezelő bíróság vagy más bírói minőségben eljáró igazságügyi hatóság) (148), aki segíti az adatkezelőt kötelezettségei teljesítésében, valamint a megfelelés figyelemmel kísérésében (149). Ezenkívül a jogszabályok külön követelményeket írnak elő a személyes adatok bűnüldözési célú, harmadik országoknak vagy nemzetközi szervezeteknek történő nemzetközi továbbítására a védelem folyamatosságának biztosítása érdekében (150). E határozattal egy időben a Bizottság az (EU) 2016/680 irányelv 36. cikkének (3) bekezdése alapján megfelelőségi határozatot fogad el, amelyben megállapította, hogy az Egyesült Királyság bűnüldöző hatóságai általi adatkezelésre alkalmazandó adatvédelmi rendszer biztosítja az (EU) 2016/680 irányelv által garantálttal lényegében azonos szintű védelmet.

(125) A 2018. évi adatvédelmi törvény 4. része a hírszerző ügynökség által vagy nevében végzett minden adatkezelésre vonatkozik, meghatározza különösen a fő adatvédelmi elveket (jogszerűség, tisztességesség és átláthatóság (151); célhoz kötöttség (152); adattakarékosság (153); pontosság (154); tárolás korlátozása (155) és biztonság (156)), feltételeket szab a különleges adatok kategóriáinak kezelésére (157), rendelkezik az érintettek jogairól (158), megköveteli a beépített adatvédelmet (159) és szabályozza a személyes adatok nemzetközi továbbítását (160). A biztos nemrégiben adott ki részletes útmutatást a hírszerző ügynökségek által a 2018. évi adatvédelmi törvény 4. része alapján történő adatkezelésről (161).

(126) Ugyanakkor a 2018. évi adatvédelmi törvény 110. szakasza kivételt ír elő a 2018. évi adatvédelmi törvény 4. részének meghatározott rendelkezései alól (162), amennyiben az említett kivételre a nemzetbiztonság megőrzése érdekében van szükség. Ezt a kivételt eseti elemzés alapján lehet igénybe venni (163). Amint azt az Egyesült Királyság hatóságai kifejtették és az ítélkezési gyakorlat megerősítette, „a) az adatkezelőnek mérlegelnie kell a nemzetbiztonságra vagy a védelemre gyakorolt tényleges következményeket, ha be kellene tartaniuk az adott adatvédelmi rendelkezést, és ha észszerűen eleget tudnak tenni a szokásos szabálynak a nemzetbiztonság vagy a védelem befolyásolása nélkül” (164). Az, hogy a kivételt megfelelően alkalmazzák-e, a biztos felügyelete alá tartozik (165).

(127) Ezenkívül a fent meghatározott rendelkezések alkalmazásának a „nemzetbiztonság” védelme érdekében történő korlátozásának lehetősége kapcsán az adatkezelő kérhet a 2018. évi adatvédelmi törvény 111. szakasza szerint a miniszter vagy a legfőbb ügyész (vagy a skóciai főügyész) által aláírt tanúsítványt, amely tanúsítja, hogy az említett jogok korlátozása szükséges és arányos intézkedés a nemzetbiztonság védelme érdekében (166).

(128) Az Egyesült Királyság kormánya útmutatót adott ki az adatkezelők számára a 2018. évi adatvédelmi törvény szerint a nemzeti biztonsági tanúsítványok kérelmezése mérlegelésében történő segítségnyújtás céljából, amely kiemeli, hogy az érintettek jogai korlátozásának a nemzetbiztonság védelme érdekében arányosnak és szükségesnek kell lennie (167). Valamennyi nemzeti biztonsági tanúsítványt közzé kell tenni a biztos honlapján (168).

(129) A tanúsítvány meghatározott időtartamra, legfeljebb öt évre szólhat, ezért azt a végrehajtó hatalom rendszeresen felülvizsgálja (169). A tanúsítványban meg kell jelölni a kivétel hatálya alá tartozó személyes adatokat vagy személyesadat-kategóriákat, valamint a 2018. évi adatvédelmi törvény azon rendelkezéseit, amelyekre a kivétel vonatkozik (170).

(130) Fontos megjegyezni, hogy a nemzetbiztonsági tanúsítványok nem jelentenek további alapot az adatvédelmi jogok nemzetbiztonsági okokból történő korlátozásához. Másként megfogalmazva: az adatkezelő vagy az adatfeldolgozó csak akkor veheti igénybe a tanúsítványt, ha megállapítást nyert, hogy szükség van a nemzetbiztonsági kivételre, amelyet – a fentebb kifejtettek szerint – esetenkénti alapon kell alkalmazni (171). Még ha nemzetbiztonsági tanúsítvány is vonatkozik a szóban forgó kérdésre, a biztos megvizsgálhatja, hogy a nemzetbiztonsági kivételre hivatkozás egy adott esetben indokolt volt-e (172).

(131) Bármely személy, akit a tanúsítvány kiállítása közvetlenül érint, fellebbezést nyújthat be az Upper Tribunalhoz (Felsőbb Törvényszék) (173) a tanúsítvány ellen (174) vagy ha a tanúsítvány általános leírás alapján azonosítja az adatokat, megtámadhatja a tanúsítvány konkrét adatokra való alkalmazását (175). A törvényszék felülvizsgálja a tanúsítvány kiadásáról szóló határozatot, és dönt, hogy volt-e észszerű indok a tanúsítvány kiadására (176). Számos kérdést mérlegelhet, beleértve a szükségességet, az arányosságot és a jogszerűséget, figyelemmel az érintettek jogaira gyakorolt hatásra, és a nemzetbiztonság védelme szükségességének kiegyensúlyozására. Ennek eredményeként a bíróság megállapíthatja, hogy a tanúsítvány nem vonatkozik a fellebbezés tárgyát képező konkrét személyes adatokra (177).

(132) A lehetséges korlátozások egy másik csoportja a 2018. évi adatvédelmi törvény 11. melléklete alapján a 2018. évi adatvédelmi törvény 4. részének egyes rendelkezéseire (178) egyéb fontos általános közérdekű vagy védett érdekek – például parlamenti kiváltságok, jogi szakmai kiváltságok (ügyvédi titoktartás), bírósági eljárások lefolytatása vagy a fegyveres erők harci hatékonysága – védelmére alkalmazott korlátozásokat (179) érinti. Ezeknek a rendelkezéseknek az alkalmazása alóli kivétel bizonyos adatkategóriákra vonatkozik („csoportalapú”), vagy pedig a kivétel annyiban érvényesül, amennyiben e rendelkezések alkalmazása valószínűleg sérti a védett érdekeket („sérelem alapú”) (180). A sérelmen alapuló kivételekre csak akkor lehet hivatkozni, amennyiben a felsorolt adatvédelmi rendelkezések alkalmazása valószínűleg sérti a szóban forgó konkrét érdekeket. A kivétel alkalmaz