HU Az Európai Unió Hivatalos Lapja C 158/46

A Tanács indokolása: a Tanács (EU) 5/2016 álláspontja első olvasatban a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló európai parlamenti és a tanácsi irányelv elfogadása céljából

(2016/C 158/02)

I. BEVEZETÉS

A Bizottság 2012. január 25-én javaslatot tett egy átfogó adatvédelmi csomagra, amely a következőkből áll:

— általános adatvédelmi rendeletjavaslat, amely a (korábbi első pillérbe tartozó) 1995. évi adatvédelmi irányelv helyébe lépne (a továbbiakban: rendelettervezet);

— a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról szóló fenti irányelv (1), amely a (korábbi harmadik pillérbe tartozó) 2008. évi adatvédelmi kerethatározatot váltaná fel (a továbbiakban: irányelvtervezet).

Az Európai Parlament 2014 márciusában fogadta el az irányelvtervezetre vonatkozó véleményét (2).

A Tanács2015. október 9-én általános megközelítést (3) fogadott el, tárgyalási megbízást adva az elnökségnek az Európai Parlamenttel tartandó háromoldalú egyeztetésekre.

Az Európai Parlament és a Tanács az Állampolgári Jogi, Bel- és Igazságügyi Bizottság, illetve az Állandó Képviselők Bizottsága szintjén 2015. december 17-én, illetve 18-án megerősítette a háromoldalú egyeztetések nyomán kialakított kompromisszumos szövegről született megállapodást.

A Tanács a február 12-i ülésén politikai megállapodásra (4) jutott az irányelvtervezetről. A Tanács 2016. április 8-án elfogadta az első olvasatban kialakított álláspontját, amely teljes mértékben összhangban áll az irányelvnek a Tanács és az Európai Parlament közötti nem hivatalos tárgyalások során jóváhagyott kompromisszumos szövegével.

A Régiók Bizottsága véleményt nyilvánított a rendelettel kapcsolatban (HL C 391., 2012.12.18., 127. o.).

Az európai adatvédelmi biztossal való konzultáció megtörtént; a biztos először 2012-ben (HL C 192., 2012.6.30., 7. o.), másodjára pedig 2015-ben (HL C 301., 2015.9.12., 18. o.) nyilvánított véleményt.

Az Alapjogi Ügynökség 2012. október 1-jén nyilvánított véleményt.

II. A JAVASLAT CÉLJA

Az irányelvtervezet célja biztosítani a büntetőügyekben folytatott hatékony igazságügyi együttműködést és rendőrségi együttműködést, valamint elősegíteni a tagállamok illetékes hatóságai között a személyes adatok cseréjét, garantálva a természetes személyek személyes adatainak következetes és magas szintű védelmét. A 2008/977/IB tanácsi kerethatározathoz képest – melynek az irányelvtervezet a helyébe lép majd – az irányelvtervezet a személyes adatok belföldi kezelésére is ki fog terjedni.

Az Európai Unió működéséről szóló szerződés 16. cikke a személyes adatok védelmére vonatkozó szabályok elfogadására vonatkozóan új jogalapot vezet be, mely a személyes adatoknak a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén végzett kezelésére is érvényes.

III. A TANÁCS ELSŐ OLVASATBAN KIALAKÍTOTT ÁLLÁSPONTJÁNAK ELEMZÉSE

A. Általános megjegyzések

Az irányelvtervezet egy adatvédelmi csomag része. A másik javaslat a fent említett általános adatvédelmi rendeletre irányuló javaslat.

A Bizottság irányelvjavaslata alapján az Európai Parlament és a Tanács nem hivatalos tárgyalásokat folytatott annak érdekében, hogy megállapodást lehessen kötni a Tanács első olvasatbeli álláspontjának szakaszában. Az irányelvtervezettel kapcsolatos, első olvasatban kialakított tanácsi álláspont szövege teljes mértékben tükrözi az irányelvről a két társjogalkotó között az Európai Bizottság közreműködésével létrejött kompromisszumot. Ennek alapján a Tanács első olvasatban kialakított álláspontjára való hivatkozások a háromoldalú egyeztető tárgyalásokon kialakított kompromisszumra való hivatkozásként értendők.

A természetes személyeknek a személyes adataik kezelésével kapcsolatban nyújtott védelem alapvető jog. Az Európai Unió Alapjogi Chartája 8. cikkének (1) bekezdése és az Európai Unió működéséről szóló szerződés 16. cikkének (1) bekezdése leszögezi, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez. Ennek alapján a Tanács első olvasatbeli álláspontja megállapítja a természetes személyeknek a személyes adataik kezelése vonatkozásában való védelméhez kapcsolódó elveket és szabályokat. Ezen elveknek és szabályoknak állampolgárságtól és lakóhelytől függetlenül tiszteletben kell tartaniuk a természetes személyek alapvető jogait és szabadságait, különösen a személyes adatok védelméhez való jogot.

A Tanács első olvasatban kialakított álláspontja fenntartja a kerethatározat (5) és a bizottsági javaslat célkitűzéseit, így például a kerethatározatban szereplő, a harmonizáció minimumszintjére vonatkozó elvet. Az irányelvtervezet szövege egyértelműbb és konkrétabb rendelkezéseket tartalmaz a kerethatározatban foglalt rendelkezések legtöbbjéhez képest, például továbbfejlesztették és kiterjesztették a harmadik országokba vagy nemzetközi szervezetek részére történő adattovábbításra vonatkozó rendelkezéseket.

A Tanács a rendelettervezettel kapcsolatban 2015 júniusában, az irányelvtervezettel kapcsolatban pedig 2015 októberében alakított ki általános megközelítést.

A személyes adatok védelmére vonatkozóan az Európai Unió működéséről szóló szerződésben foglalt új jogalap minden szakpolitikai területre érvényes, nem érintve a közös kül- és biztonságpolitikára meghatározott különös szabályokat. Azonban a Lisszaboni Szerződéshez csatolt 21. nyilatkozat elismeri, hogy a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén különös szabályok válhatnak szükségessé. Mindezek miatt, és figyelembe véve, hogy az irányelvtervezet az adatvédelmi csomag része, a Tanács arra törekedett, hogy az irányelvtervezetben több rendelkezés kapcsán is a rendelettervezethez igazítsa az irányelvtervezet szövegét. Ez különösen igaz a fogalommeghatározásokra, az elvekre, az adatkezelőről és az adatfeldolgozóról szóló fejezetre, a megfelelőségi határozatokra, valamint a független felügyeleti hatóságokról szóló fejezetre. Ezért a szöveg ezen részeiről e feljegyzésben kevésebb szót ejtünk.

B. A legfontosabb szakpolitikai kérdések

1. Hatály (tárgyi és személyi)

A Tanács első olvasatban elfogadott álláspontja az 1. cikk (1) bekezdésében meghatározza az irányelvtervezet tárgyi hatályát. Ebbe beletartozik a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – így többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és az e veszélyek megelőzése – céljából végzett kezelése. Ennek értelmében az irányelvtervezet a 2008/977/IB kerethatározattal ellentétben a személyes adatok belföldi kezelésére is kiterjed.

Az adatvédelmi csomag másik része, a rendelettervezet kizárja a hatálya alól az irányelv tárgyát, így a kettő egymást kölcsönösen kizárja. A rendelettervezet az általános szabályokat tartalmazza, az irányelvtervezet pedig külön a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területére alkalmazandó.

A rendőrség és más bűnüldöző hatóságok munkájába beletartozik az is, hogy kényszerintézkedések alkalmazásával gyakorolják hatáskörüket, gondoljunk csak a rendőrség tüntetések, nagyobb sportesemények és zavargások során folytatott tevékenységeire. A Tanács az első olvasatban elfogadott álláspontjában arra törekszik, hogy e hatóságok, elsősorban a rendőrség az adatkezelést egyetlen jogszabály szerint, nevezetesen az irányelvtervezetet átültető tagállami jogszabály szerint végezhesse. Ha azonban a rendőrség a személyes adatok kezelését az irányelvtervezet hatályán kívül eső célból végzi, akkor az alábbi 7. pontban foglaltaknak megfelelően a rendelettervezet alkalmazandó. E cél érdekében a Tanács első olvasatban elfogadott álláspontja egyértelművé tette az irányelvtervezet hatályát azzal, hogy kiegészítette „a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése” szövegrésszel.

Ami a személyi hatályt illeti, a Tanács első olvasatban elfogadott álláspontja a hatályt kiterjesztette a bűncselekmények megelőzésében, nyomozásában, felderítésében, üldözésében, illetve büntetőjogi szankciók végrehajtásában illetékes közhatalmi szerveken túl azokra a szervekre és szervezetekre is, amelyek a nemzeti jog alapján a fenti célokból hatósági feladatokat láthatnak el és közhatalmi jogosítványokat gyakorolhatnak. Mindazonáltal az irányelvtervezet alkalmazásában illetékes hatóságnak minősülő hatóságokon kívüli harmadik országbeli címzettek részére kizárólag közhatalmi szervek jogosultak személyes adatokat továbbítani.

2. A személyes adatokra vonatkozó alapelvek

a) átláthatóság

A rendelettervezetről első olvasatban elfogadott tanácsi állásponttól eltérően az irányelvtervezetről első olvasatban elfogadott tanácsi álláspontban az átláthatóság fogalma nem szerepel a személyes adatok kezelésére vonatkozó alapelvek között, mivel a bűnüldözés terén az átláthatóság veszélyeztethetné a folyamatban lévő nyomozásokat. Azonban az alapelvekkel kapcsolatos preambulumbekezdésbe bekerült az átláthatóság, leszögezve ugyanakkor, hogy lehetőség lesz olyan tevékenységeket folytatni, mint például a fedett nyomozás vagy a videokamerás megfigyelés.

b) az adatkezelés biztonsága

A Tanács első olvasatban elfogadott álláspontja azt a kiegészítést tartalmazza, hogy a személyes adatok kezelését oly módon kell végezni, hogy biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve. A Tanács első olvasatban elfogadott álláspontja továbbá azt is kimondja, hogy e célból megfelelő technikai és szervezeti intézkedéseket kell alkalmazni. Ez a rendelettervezet szövegével összhangban van.

3. További adatkezelés

a) összeegyeztethetőség

A további adatkezelés kérdése, illetve az, hogy azt azonos vagy más adatkezelő végezheti-e, továbbá a célok összeegyeztethetősége nehézségek forrása volt a rendelettervezetről szóló megbeszéléseken. Az irányelvtervezetről első olvasatban elfogadott tanácsi álláspont szerint az 1. cikk (1) bekezdésében meghatározott célokból végzett minden adatkezelés megengedettnek tekinthető, ha az adatkezelő az uniós vagy nemzeti joggal összhangban jogosult a személyes adatokat az említett célból kezelni, és az adatkezelés az uniós vagy nemzeti joggal összhangban, az említett egyéb cél szempontjából szükséges és arányos.

b) eltérő célú adatkezelés az irányelvtervezet hatályán belül

A Tanács első olvasatban elfogadott álláspontja kimondja, hogy azonos vagy más adatkezelő által az 1. cikk (1) bekezdésében meghatározott, de a személyes adatok gyűjtésének céljától eltérő célból végzett bármilyen adatkezelés csak akkor megengedett, ha az adatkezelő az uniós vagy nemzeti joggal összhangban jogosult a szóban forgó személyes adatokat az említett célból kezelni, és az adatkezelés az uniós vagy nemzeti joggal összhangban, az említett egyéb cél szempontjából szükséges és arányos. Ez lehetővé teszi például azt, hogy az ügyész ugyanazokat a személyes adatokat kezelje egy adott bűncselekményre vonatkozó büntetőeljárás során, mint amelyeket a rendőrség kezelt a bűncselekmény felderítésekor, tekintettel arra, hogy a példában említett mindkét célra kiterjed az 1. cikk (1) bekezdése.

4. A tárolásra és a felülvizsgálatra vonatkozó határidők

A Tanács első olvasatban elfogadott álláspontja kimondja, hogy megfelelő határidőket kell megállapítani a személyes adatok törlésére, illetve – annak ellenőrzése érdekében, hogy a tárolásuk szükséges-e – a tárolt adatok rendszeres felülvizsgálatára vonatkozóan. A kerethatározatban már szerepel egy rendelkezés a határidőkről, és a Tanács első olvasatban elfogadott álláspontja szerint is indokolt a rendelkezés beillesztése.

E rendelkezés megerősíti a 4. cikkben foglalt elvet, mely szerint az adatokat csak addig szabad tárolni, ameddig arra az adatkezelés célja szempontjából szükség van.

5. Az érintettek különböző kategóriái

A Tanács első olvasatban elfogadott álláspontja kimondja, hogy a tagállamoknak elő kell írniuk az adatkezelő számára, hogy „– adott esetben és lehetőség szerint –” világos különbséget tegyen az érintettek különböző kategóriáinak személyes adatai között. Azonban a Tanács első olvasatban elfogadott álláspontja biztosítja, hogy az ártatlanság vélelméhez való jognak az Alapjogi Chartában garantált módon történő alkalmazását ne lehessen akadályozni az érintettek különböző kategóriákba sorolásával, különösen az olyan személyek kategóriájába sorolással, akikkel kapcsolatban alapos okkal feltételezhető, hogy bűncselekményt követtek el vagy készülnek elkövetni.

6. Az adatkezelés jogszerűsége

A Tanács első olvasatban elfogadott álláspontja kimondja, hogy a személyes adatok kezelése csak akkor és kizárólag annyiban jogszerű, amennyiben olyan feladat ellátásához szükséges, amelyet valamely illetékes hatóság a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából végez, és az adatkezelés uniós vagy nemzeti jog alapján történik. A preambulumbekezdésekben kifejezetten szerepel, hogy e tevékenységek körébe beletartozik az érintett létfontosságú érdekeinek védelme is.

A Tanács első olvasatban elfogadott álláspontja felsorolja, hogy a nemzeti adatvédelmi jogszabályoknak milyen elemeket kell tartalmazniuk, például az adatkezelés célkitűzéseit és céljait.

7. Különös adatkezelési feltételek

Főszabály szerint az illetékes hatóságok által az irányelvtervezet 1. cikkének (1) bekezdésében meghatározott célokból gyűjtött személyes adatokat csak az irányelvtervezetben meghatározott valamely célból lehet kezelni. Azonban az illetékes hatóságok által az irányelvtervezetben meghatározott célokból gyűjtött személyes adatok kezelésére a rendelettervezet alapján is sor kerülhet, amennyiben ez az adatkezelés uniós vagy nemzeti jog alapján megengedett, kivéve, ha az adatkezelést az uniós jog hatályán kívül eső tevékenység során végzik. A Tanács első olvasatban elfogadott álláspontja továbbá két olyan esetet is meghatároz, melyekben a rendelettervezet alkalmazandó. Először, amennyiben a nemzeti jog az 1. cikk (1) bekezdésében meghatározott céloktól eltérő célból elvégzendő feladatok ellátását írja elő az illetékes hatóságok számára. Másodszor, a rendelet a közérdekű archiválási célokból vagy tudományos és történelmi kutatási célokból, illetve statisztikai célokból végzett adatkezelésre is alkalmazandó, kivéve, ha az adatkezelést az uniós jog hatályán kívül eső tevékenység során végzik.

8. A személyes adatok különleges kategóriái

Azok a személyes adatok, amelyek természetüknél fogva különösen érzékenyek az alapvető jogok és szabadságok szempontjából, különös védelmet érdemelnek, mivel a kezelésük körülményei az alapvető jogokra és szabadságokra nézve jelentős kockázatot hordozhatnak. A Tanács első olvasatban elfogadott álláspontja lehetővé teszi az ilyen adatok kezelését, de csak ha arra feltétlenül szükség van, és azzal a feltétellel, hogy az érintettek jogaira és szabadságaira vonatkozóan megfelelő garanciák vannak. Mindemellett az ilyen adatkezelés csak akkor megengedett, ha arra az érintett létfontosságú érdekeinek védelme céljából az uniós vagy nemzeti jog feljogosít, illetve ha az adatkezelés olyan adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott.

Mivel az irányelvtervezet és a rendelettervezet ugyanannak a csomagnak a részét képezi, a Tanács az irányelvtervezetről első olvasatban elfogadott álláspontjában a felsorolt kategóriákat illetően átvette a rendelettervezetben meghatározott kategóriákat, többek között a „biometrikus adatokat” és a „szexuális irányultságot” is.

9. Automatizált döntéshozatal egyedi ügyekben, beleértve a profilalkotást

Az irányelvtervezetben foglalt további elv értelmében tiltani kell az olyan, kizárólag automatizált adatkezelésen – többek között profilalkotáson – alapuló döntéshozatalt, amelynek joghatása az érintettre nézve hátrányos vagy őt jelentős mértékben érinti, kivéve, ha ezt uniós vagy nemzeti jog lehetővé teszi, és emellett az érintettek jogaira és szabadságaira vonatkozó megfelelő garanciák is léteznek. Az ilyen garanciák közé kell tartoznia legalább az érintett azon jogának, hogy az adatkezelőtől emberi beavatkozást kérjen. A Tanács első olvasatban elfogadott álláspontjából egyértelműen kiderül, hogy a kizárólag automatizált adatkezelésen alapuló döntés csak akkor alapulhat a 10. cikkben felsorolt különleges adatkategóriákon, ha az érintettek jogait, szabadságait és jogos érdekeit megfelelő garanciák védik. A szöveg továbbá úgy rendelkezik, hogy tiltani kell a 10. cikk szerinti különleges adatkategóriák alapján történő olyan profilalkotást, amely megkülönböztetést eredményez.

10. Az érintettek jogai

a) az érintett tájékoztatása

A Tanács első olvasatbeli álláspontja az érintettek jogairól is rendelkezik. Az érintett csak akkor tudja gyakorolni jogait, ha tájékoztatást kap arról, hogy személyes adatait kezelik. A tájékoztatást tömör, érthető és könnyen hozzáférhető formában kell nyújtani, és könnyen érthetőnek kell lennie, ezért azt világos és közérthető módon kell megfogalmazni. A rendelettervezet szövegétől eltérően az irányelvtervezetről első olvasatban kialakított tanácsi álláspont nem írja elő, hogy a tájékoztatásnak egyben átláthatónak is kell lennie. Az irányelv hatálya alá tartozó területen például alááshatja a nyomozás célját, ha az érintett a nyomozás korai szakaszában tájékoztatást kap a konkrét nyomozási intézkedésről.

b) az érintett rendelkezésére bocsátandó információk

Az első olvasatban elfogadott tanácsi álláspont meghatározza, hogy az érintettnek miről kell minden esetben tájékoztatást kapnia. Ilyen például az adatkezelő személye és elérhetőségei, valamint az adatkezelés célja. Ezen információk az illetékes hatóság honlapján is közzétehetők. A Tanács első olvasatbeli álláspontja emellett azt is meghatározza, hogy meghatározott esetekben milyen további információkat kell megadni. Ide tartozik a jogalap, az adattárolás lehetséges időtartama és a címzettek kategóriái. Bizonyos körülmények esetén, például amennyiben a szóban forgó intézkedés – kellő tekintettel az adott természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedést jelent, ez a további tájékoztatás késleltethető, korlátozható vagy mellőzhető. Ezenfelül a további tájékoztatást illetően a tagállamok számára lehetővé kell tenni, hogy jogszabályban rendelkezhessenek arról, hogy a személyes adatok kezelésének egyes kategóriái mentesülhetnek a tájékoztatási kötelezettség alól.

c) hozzáférési jog

A Tanács első olvasatban elfogadott álláspontja egyaránt meghatározza a személyes adatokhoz való hozzáférés jogát és e hozzáférési jog korlátozását. A tagállamok számára lehetővé kell tenni, hogy a hozzáférési jogot ugyanolyan feltételek mellett korlátozhassák, mint a további tájékoztatás késleltetését, korlátozását vagy mellőzését. A tagállamoknak rendelkezniük kell arról, hogy a hozzáférési jog korlátozása esetén az adatkezelő tájékoztassa az érintettet a korlátozás indokairól, kivéve, ha az érintettnek a korlátozás indokairól való tájékoztatása veszélyeztetné az intézkedés, például a nyomozás célját.

d) a személyes adatok kezelése korlátozásának különleges esetei

A tagállamoknak rendelkezniük kell arról, hogy az érintettnek joga van saját személyes adatait helyesbíttetni, töröltetni vagy azok kezelését korlátozni. Az első olvasatbeli tanácsi álláspont azt is lehetővé teszi, hogy az érintett két meghatározott esetben személyes adatainak törlése helyett korlátozza azok kezelését. Az egyik ilyen eset az, amikor az érintett vitatja az adatok pontosságát, és azok pontossága vagy pontatlansága nem állapítható meg egyértelműen. A másik eset arra a helyzetre vonatkozik, amikor a személyes adatokat bizonyítási célból megőrzik. A kapcsolódó preambulumbekezdés kimondja, hogy az utóbbi például olyan esetben fordulhat elő, amikor alapos okkal feltételezhető, hogy sérülhetnek az érintett jogos érdekei. Ilyen esetben az adatokat csak abból a célból lehet kezelni, amely megakadályozta a törlésüket.

11. Az érintettek jogainak gyakorlása és a felügyeleti hatóság általi ellenőrzés

Arra az esetre, ha az érintetteknek a tájékoztatáshoz, a hozzáféréshez, a helyesbítéshez, a törléshez vagy az adatkezelés korlátozásához való jogát korlátozzák, a tagállamoknak olyan rendelkezéseket kell elfogadniuk, amelyek értelmében az érintettek jogainak gyakorlására az illetékes felügyeleti hatóság közreműködésével is sor kerülhet.

12. Az adatkezelő és az adatfeldolgozó

Az irányelvtervezetet az illetékes hatóságok belföldön, vagy a személyes adatok uniós tagállamok közötti továbbításakor, illetve harmadik országba vagy nemzetközi szervezetek részére történő továbbításakor alkalmazzák majd. Az illetékes hatóság közhatalmi szerv vagy bármely olyan közfeladatot ellátó szerv vagy szervezet, amely a nemzeti jog alapján hatósági feladatokat lát el és közhatalmi jogosítványokat gyakorol. Az irányelvtervezet rendelkezéseit a közhatalmi szervek és bizonyos körülmények esetén magánjogi szervek alkalmazzák. Amennyiben az irányelvtervezet szerinti illetékes hatóságok nem az irányelv szerinti célokból kezelnek személyes adatokat, akkor a rendelettervezetet kell alkalmazniuk. Ezért a Tanács első olvasatbeli álláspontja – amint azt ezen indokolás bevezetése is tartalmazza – az irányelvtervezet rendelkezéseit bizonyos mértékben összehangolja a rendelettervezet rendelkezéseivel.

A rendelettervezettel összhangban a Tanács első olvasatbeli álláspontja előírja, hogy az adatkezelőnek megfelelő technikai és szervezeti intézkedéseket kell tennie annak biztosítása és bizonyítása céljából, hogy az adatok kezelése megfelelően történik. Az első olvasatban elfogadott tanácsi álláspont egyértelműen meghatározza az adatfeldolgozó kötelezettségeit. Ennek értelmében az adatfeldolgozónak:

— kizárólag az adatkezelő utasítása alapján szabad eljárnia;

— biztosítania kell, hogy a személyes adatok kezelésére feljogosítot személyek eleget tegyenek a titoktartási kötelezettségüknek;

— a kötelezettségei teljesítésének bizonyításához szükséges minden információt az adatkezelő rendelkezésére kell bocsátania.

13. Az adatkezelési tevékenységek nyilvántartása

A Tanács első olvasatbeli álláspontja enyhíti az adatfeldolgozóra háruló nyilvántartási terheket, ezért az adatkezelő és az adatfeldolgozó kötelezettségeit két külön bekezdésben ismerteti. Az első olvasatban kialakított tanácsi álláspont értelmében sem az adatkezelőnek, sem az adatfeldolgozónak nem kell nyilvántartást vezetnie minden egyes adatkezelési tevékenységről, hanem csak az adatkezelési tevékenységek kategóriáiról. A Tanács első olvasatbeli álláspontja szerinti szövegben a bekezdés többi része kötelezi az adatkezelőt arra, hogy a nyilvántartás céljából elegendő információt biztosítson. Az adatkezelőnek kötelező például információkat megadnia azon címzettek kategóriáiról, akik számára a személyes adatokat kiadták vagy ki fogják adni, a valamely harmadik országba vagy nemzetközi szervezet részére továbbított személyes adatok kategóriáiról, illetve amennyiben lehetséges, a különböző személyesadat-kategóriák törlésének várható határidejéről. Az adatkezelőnek továbbá a profilalkotásra vonatkozó információkat is meg kell adnia, amit a rendelettervezet nem ír elő. A Tanács első olvasatbeli álláspontja szerint az adatfeldolgozónak például csak az egyes adatkezelők nevében végzett adatkezelési tevékenységek kategóriáiról kell nyilvántartást vezetnie, és lehetőség szerint gondoskodnia kell a technikai és szervezeti biztonsági intézkedések általános leírásáról.

14. Naplózás

A naplók vezetése fontos, mivel lehetővé teszik az automatizált adatkezelési rendszerben végzett egyes adatkezelési műveletek – például a gyűjtés, a betekintés, a közlés és a továbbítás – indokoltságának, dátumának és időpontjának megállapítását. A betekintésre és a közlésre vonatkozó naplóknak emellett a személyes adatokba betekintő vagy azokat közlő személyek személyazonosságának, illetve a címzettek személyazonosságának a megállapítását is lehetővé kell tenniük. A kerethatározattal összhangban a naplók kizárólag az adatkezelés jogszerűségének ellenőrzésére, önellenőrzésre, valamint a személyes adatok integritásának és biztonságának a szavatolására használhatók fel. Az irányelvtervezetben új rendelkezésként szerepel, hogy a naplók felhasználása büntetőeljárások keretében is lehetséges. Az automatizált adatkezelési rendszereket azonban csak rendkívül nehézkes, hosszadalmas és költséges folyamat során lehet összhangba hozni az előírásokkal. A Tanács első olvasatbeli álláspontja ezért az irányelvtervezet hatálybalépését megelőzően létrehozott automatizált adatkezelési rendszerek megfeleltetése érdekében – ha az aránytalanul nagy erőfeszítést igényelne – kivételesen lehetővé teszi az átültetési időszak meghosszabbítását. Mindemellett kivételes esetben akkor is meghosszabbítható az automatizált adatkezelési rendszerek előírásoknak való megfeleltetésére szabott határidő, ha különben az irányelvtervezet hatálybalépését megelőzően létrehozott valamely konkrét automatizált adatkezelési rendszer működésében komoly nehézségek lépnének fel.

15. Hatásvizsgálat

Míg az eredeti bizottsági javaslat nem rendelkezett adatvédelmi hatásvizsgálatról, a rendelettervezet szövege külön cikket szentel a hatásvizsgálatnak, csakúgy, mint az irányelvtervezet hatálya alá tartozó területre vonatkozóan a Tanács első olvasatban kialakított álláspontja. Az első olvasatbeli tanácsi álláspont kötelezi az adatkezelőt hatásvizsgálat végzésére. Az adatkezelőnek akkor kell az adatkezelést megelőzően hatásvizsgálatot végeznie, ha az adatkezelés a természetes személyek jogaira és szabadságaira nézve feltehetőleg magas kockázattal jár.

Az irányelvtervezet a rendelettervezet szövegében foglaltakhoz hasonlóan határozza meg azokat a helyzeteket, amelyekben kötelező a hatásvizsgálat. Ezzel szemben a rendelettervezetnél kevésbé részletesen ismerteti azokat a szempontokat, amelyekre a hatásvizsgálatnak ki kell terjednie. A hatásvizsgálatnak ki kell terjednie legalább a tervezett adatkezelési művelet általános leírására, az érintettek jogait és szabadságait érintő kockázatok vizsgálatára, valamint a személyes adatok védelmét és az ezen irányelvben foglalt rendelkezéseknek való megfelelés igazolására szolgáló garanciák, biztonsági intézkedések és mechanizmusok értékelésére.

16. Adatvédelmi tisztviselő

A Tanács első olvasatban kialakított álláspontja szerint a tagállamoknak elő kell írniuk, hogy az adatkezelőnek adatvédelmi tisztviselőt kell kijelölnie. A tagállamok számára ugyanakkor lehetővé kell tenni, hogy az igazságszolgáltatási feladatkörükben eljáró bíróságokat és egyéb igazságügyi hatóságokat mentesítsék e kötelezettség alól. Adatvédelmi tisztviselő kijelölésére azért van szükség, hogy javítani lehessen az irányelvtervezetnek való megfelelést.

17. Adattovábbítás

Ha harmadik országokkal és nemzetközi szervezetekkel adatokat kívánunk cserélni, ahhoz szabályozni kell az adatok továbbítását. A személyes adatok továbbítására vonatkozó általános elveket illetően a Tanács első olvasatbeli álláspontja kiegészíti a Bizottság által javasolt feltételeket annak előírásával, hogy az átvevő hatóságnak az 1. cikk (1) bekezdésében meghatározott célok tekintetében illetékesnek kell lennie, és hogy a személyes adatoknak egy másik tagállamból való továbbítása vagy rendelkezésre bocsátása esetén a szóban forgó tagállamnak erre előzetesen engedélyt kell adnia. A Tanács első olvasatbeli álláspontja emellett egyértelműen kimondja azt is, hogy az adattovábbításról szóló fejezet valamennyi rendelkezését alkalmazni kell annak biztosítása érdekében, hogy a természetes személyek számára az irányelvtervezetben garantált védelem szintje ne sérüljön.

Az általános elvekről szóló cikk a megfelelőségi határozattal kezdve csökkenő fontossági sorrendben meghatározza, hogy az adatkezelőnek milyen lehetőségei vannak a személyes adatok továbbítására. A megfelelőségi határozat után a megfelelő garanciák megléte esetén végezhető adattovábbítás következik, majd az olyan adattovábbítás, amelyre a kivételes esetekben biztosított eltérések vonatkoznak. A megfelelőségi határozatokról szóló cikk kizárólag az irányelv értelmében hozott megfelelőségi határozatokra utal, a rendelet alapján hozott határozatokra nem. Azok a tényezők, amelyeket az irányelvtervezet szerint a Bizottságnak a védelmi szint megfelelőségének mérlegelése során figyelembe kell vennie, megegyeznek a rendelettervezetben felsoroltakkal.

A Tanács első olvasatbeli álláspontjában a megfelelő garanciák megléte esetén végezhető adattovábbításról és a kivételes esetekben biztosított eltérésekről szóló cikkek kimondják, hogy az ilyen adattovábbításokat dokumentálni kell, a dokumentációt pedig a felügyeleti hatóság rendelkezésére kell bocsátani, valamint meghatározzák a dokumentációban kötelezően feltüntetendő információkat.

Az első olvasatbeli tanácsi álláspont újabb alapot is biztosít az adattovábbításhoz, nevezetesen lehetővé teszi, hogy az illetékes hatóság – kizárólag akkor, ha közhatalmi szerv (tehát a a nemzeti jog alapján közhatalmi jogosítványokat gyakorló, de közhatalmi szervnek nem minősülő szervek vagy szervezetek nem tartoznak ide) – személyes adatokat továbbítson harmadik országbeli címzettek részére. Ez a lehetőség mentességet jelent az alól az általános elv alól, amely szerint a személyes adatok csak akkor továbbíthatók, ha a harmadik országbeli adatkezelő vagy a nemzetközi szervezet az irányelvtervezet 1. cikkének (1) bekezdésében meghatározott célok tekintetében illetékes hatóság. Az első olvasatbeli tanácsi álláspont tehát – mivel a nemzetközi megállapodások nem minden esetben adnak lehetőséget a kellően gyors válaszadásra – lehetővé teszi, hogy a fent említett illetékes hatóságok egyedi és kivételes esetekben, és ha az az irányelvben foglalt egyéb rendelkezéseknek is megfelel, valamint számos tételesen felsorolt feltétel is teljesül, közvetlenül továbbítsanak személyes adatokat harmadik országbeli címzettek részére. E feltételek többek között a következőket foglalják magukban: az adattovábbítás feltétlenül szükséges valamely olyan feladat ellátásához, amelyet az adatokat továbbító illetékes hatóság uniós vagy nemzeti jog alapján végez az 1. cikk (1) bekezdésében meghatározott célokból; az adatokat továbbító illetékes hatóság úgy véli, hogy az 1. cikk (1) bekezdésében említett célok tekintetében illetékes harmadik országbeli hatóság számára történő továbbítás nem hatékony vagy nem célszerű, különösen azért, mert arra nem kerülhet kellő időben sor; továbbá, hogy az adatokat továbbító hatóság tájékoztatja a címzettet arról, hogy a személyes adatok mely konkrét célból vagy célokból kezelhetők. A garanciák mellett, illetve a meghatározott helyzetekben biztosított eltérések alapján végzett adattovábbításhoz hasonlóan az adattovábbítást ebben az esetben is dokumentálni kell. Az effajta adattovábbítás különösen hasznos lehet, ha fennáll a veszély, hogy valamely személy bűncselekmény áldozatává válik és a személyes adatok továbbítása az említett személy életének megmentése érdekében, illetve valamely bűncselekmény – például terrorcselekmény – azonnali elkövetésének megelőzése érdekében sürgősen szükséges.

18. Felügyeleti hatóságok

Az irányelvtervezet előírásainak való megfelelés biztosítása érdekében az irányelvtervezet és a rendelettervezet végrehajtását felügyeleti hatóságok ellenőrzik. Az irányelvtervezet felügyeleti hatóságokra vonatkozó rendelkezései nagyrészt a rendelettervezet szövegéből származnak. A tagállamok előírhatják, hogy a rendelettervezet keretében létrehozott felügyeleti hatóságok az irányelvtervezet szerinti felügyeleti feladatokat is ellássák. Az irányelvtervezet ugyanakkor az általa meghatározott felügyeleti hatóságok hatásköréből kizárja a bíróságok által igazságügyi feladataik ellátása során végzett adatkezelési műveletek felügyeletét. A tagállamok számára lehetővé kell tenni, hogy az irányelvtervezet szerinti felügyeleti hatóságok hatásköréből kizárhassák az egyéb független igazságügyi hatóságok által igazságszolgáltatási feladataik körében végzett adatkezelési műveletek felügyeletét. Ez ugyanakkor nem jelenti azt, hogy az ilyen szervek által végzett adatkezelés mentesül a felügyelet alól. A kapcsolódó preambulumbekezdés ezért pontosítja, hogy a bíróságok és egyéb független igazságügyi hatóságok által végzett adatkezelési műveleteket az Európai Unió Alapjogi Chartájával összhangban független felügyeletnek kell alávetni.

19. A felügyeleti hatóságok hatáskörei

A Tanács első olvasatban elfogadott álláspontja értelmében a felügyeleti hatóságokat a tagállamokban ugyanazokkal a feladatokkal és tényleges hatáskörökkel kell felruházni annak érdekében, hogy elvégezhessék feladataikat, azaz az Unió egészében hatékonyan, megbízhatóan és következetesen nyomon követhessék ezen irányelv végrehajtását és az ezen irányelvnek való megfelelést.

A Tanács első olvasatban elfogadott álláspontja három kategóriába sorolja a felügyeleti hatóságok jogszabályban előírandó hatásköreit: tényleges vizsgálati hatáskör, korrekciós és tanácsadási hatáskör, valamint hatáskör arra, hogy az ezen irányelv alapján elfogadott rendelkezések megsértése esetén az igazságügyi hatóságokhoz forduljanak.

20. Kapcsolat korábban megkötött nemzetközi megállapodásokkal

A Tanács első olvasatbeli álláspontja – a rendelettervezetről első olvasatban kialakított tanácsi állásponttal összhangban – úgy rendelkezik, hogy a tagállamok által az irányelvtervezet hatálybalépése előtt kötött olyan nemzetközi megállapodások, amelyek megfelelnek az uniós jognak, és amelyeket az irányelvtervezet hatálybalépése előtt alkalmaznak, módosításukig, felváltásukig vagy visszavonásukig változatlanul hatályban maradnak. Amint azt a Tanács a rendelettervezettel kapcsolatban kimondta, a hatályos megállapodások fenntartása jogbiztonságot jelent az adatkezelők számára.

IV. KONKLÚZIÓ

A Tanács első olvasatban elfogadott álláspontja tükrözi a Tanács és az Európai Parlament közötti tárgyalások során – a Bizottság közreműködésével – kialakított kompromisszum tartalmát. Az első olvasatban kialakított tanácsi álláspont módosítások nélküli jóváhagyásával az Európai Parlament – a Tanáccsal közösen – olyan magas szintű adatvédelmi előírásokat vezet be mind nemzeti szinten, mind határokon átnyúló összefüggésben, amelyek lehetővé teszik a bűnüldöző hatóságok közötti szorosabb együttműködést.

(1) 5833/12.

(2) 7428/14.

(3) 12555/15.

(4) 5463/16.

(5) A Tanács 2008. november 27-i 2008/977/IB kerethatározata a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről (HL L 350., 2008.12.30., 60. o.).