EURÓPAI BIZOTTSÁG Brüsszel, 2022.7.25. COM(2022) 364 final A BIZOTTSÁG KÖZLEMÉNYE AZ EURÓPAI PARLAMENTNEK ÉS A TANÁCSNAK Első jelentés a bűnüldözésben érvényesítendő adatvédelemről szóló (EU) 2016/680 irányelv alkalmazásáról és működéséről













A BIZOTTSÁG KÖZLEMÉNYE AZ EURÓPAI PARLAMENTNEK ÉS A TANÁCSNAK Első jelentés a bűnüldözésben érvényesítendő adatvédelemről szóló (EU) 2016/680 irányelv alkalmazásáról és működéséről Tartalomjegyzék 1 A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv mint az Európai Unió biztonságpolitikáján belüli adatvédelem biztosításának fő eszköze 1.1 A következetes európai uniós adatvédelmi keret kulcsfontosságú eleme 1.2 Alapvető hozzájárulás a megbízható biztonságpolitika Európai Unión belüli biztosításához 1.3 Fontos szempontok a jelentés elkészítésével kapcsolatban 2 Kielégítő átültetés, azonban számos lezáratlan kérdés továbbra is fennáll 2.1 Összességében teljes körű átültetés, azonban bizonyos rendelkezésekkel kapcsolatban van néhány probléma 2.2 A megfelelés értékelésének prioritásai 2.2.1 A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv hatálya 2.2.2 Az adatvédelmi felügyeleti hatóságok irányítása és jogkörei 2.2.3 Jogorvoslati lehetőségek 2.2.4 A tárolásra és a felülvizsgálatra vonatkozó határidők 2.2.5 Az adatkezelés jogalapja, beleértve a személyes adatok különleges kategóriáit 2.2.6 Automatizált döntéshozatal 2.2.7 Az érintettek jogai

2.2.8 Kifejezetten a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv egyes fontos rendelkezései 3 A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv alkalmazásának és működésének első tanulságai 3.1 Panaszok és az érintettek jogaira gyakorolt pozitív hatás 3.2 Az adatvédelemmel kapcsolatos nagyobb mértékű tudatosság az illetékes hatóságokon belül 3.3 Az adatbiztonság javulása, azonban eltérő eredmények az adatvédelmi incidensek bejelentése terén 3.4 Az adatvédelmi felügyeleti hatóságok általi felügyelet 3.4.1 Az adatvédelmi felügyeleti hatóságok erőforrásai 3.4.2 A hatáskörök gyakorlása 3.4.3 Az adatvédelmi felügyeleti hatóságok intézkedéseinek bírósági felülvizsgálata 3.4.4 EDPB-iránymutatások 3.4.5 Kölcsönös segítségnyújtás 3.5 A nemzetközi adattovábbítások rugalmas eszköze 3.5.1 Megfelelőségi határozatok 3.5.2 Megfelelő garanciák 3.5.3 Az eltérések alkalmazása 3.5.4 Hatékony, határokon átívelő rendőrségi és igazságügyi együttműködés 4 További teendők



1A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv mint az Európai Unió biztonságpolitikáján belüli adatvédelem biztosításának fő eszköze

Ez a közlemény a bűnüldözésben érvényesítendő adatvédelemről szóló (EU) 2016/680 irányelv (a továbbiakban: a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv) értékeléséről és felülvizsgálatáról szóló, a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 62. cikkének (1) bekezdése szerinti első bizottsági jelentést tartalmazza. A jelentés különösen a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv által előírt, a személyes adatok harmadik országok és nemzetközi szervezetek részére történő továbbítására vonatkozó szabályok alkalmazását és működését vizsgálja, de tágabb megközelítést is alkalmaz. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet a személyes adatok védelméről szóló uniós jog, valamint a személyes adatok bűncselekmények megelőzése, nyomozása, felderítése vagy büntetőeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – ideértve a közbiztonságot fenyegető veszélyek elleni védelmet és azok megelőzését – céljából történő kezelését szabályozó uniós jog (a továbbiakban: bűnüldözés) keretébe helyezi . A jelentés áttekintést nyújt a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv nemzeti jogba való tagállami átültetéséről, bemutatja a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv alkalmazásából és működéséből levont első tanulságokat, valamint felvázolja a további lépéseket. 1.1A következetes európai uniós adatvédelmi keret kulcsfontosságú eleme A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv a személyes adatok védelméhez való alapvető jogot garantáló uniós keret három pillérének egyike. A másik kettő az általános adatvédelmi rendelet (a továbbiakban: GDPR) és az uniós intézmények és szervek adatvédelmi rendelete (a továbbiakban: EUDPR) . Az adatvédelemhez való alapvető jogot az Európai Unió Alapjogi Chartájának (a továbbiakban: Charta) 8. cikke és az Európai Unió működéséről szóló szerződés (a továbbiakban: EUMSZ) 16. cikke rögzíti. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 2016. május 6-án lépett hatályba, és a tagállamoknak 2018. május 6-ig kellett átültetniük azt . A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv az első olyan uniós jogalkotási aktus, amely átfogó megközelítést alkalmaz a személyes adatoknak az illetékes hatóságok (azaz a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 3. cikkének (7) bekezdése szerinti igazságügyi hatóságok, rendőri és egyéb bűnüldöző hatóságok) általi, bűnüldözési célú védelmére vonatkozóan. A 2008/977/IB tanácsi kerethatározathoz képest, amelyet hatályon kívül helyezett és felváltott, a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv jelentős előrelépést jelent az adatvédelmi szabályok EU-szerte történő következetes alkalmazásának biztosításában. Először is, a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv teljes körű szabályokat határoz meg a személyes adatok bűnüldözési célú, határokon átnyúló és belföldi kezelésére egyaránt, míg a tanácsi kerethatározat csak a határokon átnyúló adatkezelésre vonatkozott. Másodszor a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv átfogó és horizontális szabályrendszert ír elő, míg a korábbi megközelítés szerint minden olyan uniós ágazati jogi aktusra, amely a személyes adatoknak a bűnüldözéssel összefüggésben történő kezelését írta elő, saját adatvédelmi szabályai voltak irányadók. A GDPR, az EUDPR és a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv hasonló fogalmakon és elveken alapul, ami az uniós adatvédelmi szabályok következetes értelmezését és alkalmazását eredményezi. Közös fogalommeghatározásokat tartalmaznak, és hasonló kötelezettségeket írnak elő az adatkezelők és -feldolgozók számára. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv azonban kifejezetten a személyes adatok bűnüldözési célú kezelésével kapcsolatos kockázatokkal is foglalkozik. A vonatkozó rendelkezések magukban foglalják a következő kötelezettségeket: i. az érintettek különböző kategóriái közötti különbségtétel, ii. a tényeken alapuló személyes adatok és a személyes értékelésen alapuló adatok közötti különbségtétel, iii. napló vezetése a személyes adatok felhasználásáról, valamint a különleges biztonsági követelményeknek való megfelelés. Tekintettel a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés sajátos jellegére, úgy ítélték meg, hogy ezeken a területeken egyedi szabályokat kell elfogadni a személyes adatok védelmére és a személyes adatok szabad áramlására vonatkozóan. A büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területének érzékenysége, valamint a bűnüldözést szabályozó nemzeti jogi keretek összetettsége ahhoz vezetett, hogy az irányelv tekinthető a legjobb eszköznek az adatvédelem magas szintjének eléréséhez ezen a területen. Az irányelv emellett kellő rugalmasságot biztosít a tagállamok számára az elvek, szabályok és mentességek nemzeti szintű végrehajtása során. A Bizottság 2020. június 24-én tette közzé a GDPR végrehajtásáról szóló első jelentését. A jelentés megállapította, hogy az általános álláspont szerint a GDPR elérte célkitűzéseit, különösen azáltal, hogy erős, érvényesíthető jogokat biztosít a polgárok számára, és új uniós irányítási és végrehajtási rendszert hozott létre. A jelentés felsorolja azokat az intézkedéseket, amelyeket a GDPR valamennyi érdekelt fél általi alkalmazásának további megkönnyítése, valamint az uniós adatvédelmi kultúra előmozdítása és továbbfejlesztése, továbbá az erőteljes jogérvényesítés érdekében kell meghozni. Ez a jelentés az EU által elfogadott azon jogi aktusok felülvizsgálatára épül, amelyek a bűncselekmények megelőzése, nyomozása, felderítése, büntetőeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából az illetékes hatóságok által végzett adatkezelést szabályozzák. E felülvizsgálat célja annak értékelése volt, hogy szükséges-e a szóban forgó jogi aktusoknak a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvvel való összehangolása . A Bizottság e kötelezettségének 2020. június 24-én eleget tett azzal, hogy elfogadta „A korábbi harmadik pillérhez tartozó vívmányok adatvédelmi szabályokkal való összehangolásának további lépései” című közleményt. Tíz olyan jogi aktust azonosított, amelyeket össze kell hangolni a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvvel, és meghatározta e munka ütemtervét. Végül ez a jelentés az EUDPR alkalmazásáról szóló bizottsági jelentéssel párhuzamosan készült el. Ez utóbbi fontos eleme a IX. fejezetben meghatározott, a műveleti vonatkozású személyes adatoknak az uniós szervek, hivatalok vagy ügynökségek által a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés hatálya alá tartozó tevékenységek végzése során történő kezelésére vonatkozó szabályainak felülvizsgálata (a továbbiakban: bel- és igazságügyi ügynökségek). A szóban forgó szabályok nagyrészt a bűnüldözésben érvényesítendő adatvédelemről szóló irányelven alapulnak. Az EUDPR 98. cikke előírja a Bizottság számára, hogy vizsgálja felül a műveleti vonatkozású személyes adatok bel- és igazságügyi ügynökségek általi kezelését szabályozó jogi aktusokat, és lehetővé teszi számára, hogy megfelelő jogalkotási javaslatokat nyújtson be, különösen a IX. fejezet szabályainak az Europolra és az Európai Ügyészségre való alkalmazása céljából, valamint hogy javaslatot tegyen e fejezet szükséges módosításaira. 1.2Alapvető hozzájárulás a megbízható biztonságpolitika Európai Unión belüli biztosításához A Bizottság következetesen hangsúlyozta, hogy a hatékony és valóban biztonságos EU csak a Chartában és a másodlagos uniós jogszabályokban rögzített alapvető jogok teljes körű tiszteletben tartására épülhet. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv jelentősen hozzájárul az EU biztonságpolitikájához azáltal, hogy biztosítja a bűncselekmények áldozatai, tanúi és gyanúsítottjai személyes adatainak megfelelő védelmét. Ezen túlmenően az EU és a schengeni országok illetékes hatóságai által kezelt személyes adatok védelmére vonatkozó szabályok harmonizálásával a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv hozzájárul a bűnüldözési célokból a hatóságok között kicserélt adatokba vetett fokozott bizalomhoz és azok biztonságához, és ezáltal megkönnyíti a határokon átnyúló együttműködést a bűnözés és a terrorizmus elleni küzdelem terén. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv kulcsszerepet játszik az adatvédelmi szabályoknak való megfelelés kultúrájának előmozdításában is az illetékes hatóságok körében. A biztonsági unióra vonatkozó stratégia hangsúlyozza továbbá, hogy az új technológiákat, például a mesterséges intelligenciát a bűnözés elleni küzdelem hatékony eszközeként lehetne használni. E potenciál kihasználása azt is jelenti, hogy biztosítani kell az alapvető jogok tiszteletben tartásának legmagasabb szintű normáit. Az adatvédelmi jogszabályok – köztük a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv – képezik az ágazati jogszabályok alapját. A mesterséges intelligenciáról szóló javasolt jogszabály például tovább bővítené a személyes adatok nyilvános helyeken távoli biometrikus azonosításra való, bűnüldözési célú felhasználását. Végezetül összekapcsolt világunkban a bűnözés (és különösen a számítógépes bűnözés és más, kibertérben elkövetett közönséges bűncselekmény) egyre inkább határokon átnyúló jellegű. Még a belföldi ügyek kivizsgálása során is az illetékes hatóságok egyre inkább határokon átnyúló helyzetekben találják magukat, mivel az adatokat harmadik országban tárolják elektronikusan. Ez növeli a bűnügyi nyomozások terén folytatott nemzetközi együttműködés szükségességét mind a tagállami hatóságok, mind pedig az olyan uniós szervek részéről, mint az Europol és az Eurojust. Ez az együttműködés és különösen az elektronikus bizonyítékok gyűjtése és cseréje gyakran személyes adatok továbbításával jár. A szigorú adatvédelmi garanciák ezért elengedhetetlenek. Ezek a garanciák a bűnüldöző hatóságok közötti bizalomépítést is segítik, gyorsabb és hatékonyabb információcserét biztosítva, valamint erősítve a jogbiztonságot az információk büntetőeljárások során történő felhasználása során. E tekintetben a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv aktualizált eszköztárat biztosít a személyes adatok EU-ból harmadik országba vagy nemzetközi szervezethez (például az Interpolhoz) történő továbbításának megkönnyítésére, miközben biztosítja, hogy a személyes adatok továbbra is magas szintű védelemben részesüljenek. A Bizottság és a tagállamok a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv hatálybalépése óta az irányelv teljes eszköztárát alkalmazták, ami megerősíti, hogy az eszköz kellően széles körű és rugalmas ahhoz, hogy lehetővé tegye a hatékony nemzetközi rendőrségi és igazságügyi együttműködést. 1.3Fontos szempontok a jelentés elkészítésével kapcsolatban A jelentés elkészítése során a Bizottság különféle forrásokból és célzott konzultációs tevékenységek keretében gyűjtött információkat és visszajelzéseket. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 62. cikke alapján a Bizottság figyelembe vette az Európai Parlament, a Tanács, az Európai Adatvédelmi Testület és a nemzeti adatvédelmi felügyeleti hatóságok észrevételeit és álláspontjait. További visszajelzések érkeztek a civil társadalmi szervezeteknek (az Európai Unió Alapjogi Ügynökségén keresztül) címzett kérdőívben, valamint egy nyilvános véleményezési felhívásra adott válaszokban . A Bizottság figyelembe vette továbbá az általános adatvédelmi rendelettel és a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvvel foglalkozó tagállami szakértői csoport észrevételeit, valamint a Tanács német elnökségének észrevételeit. Figyelembe vette továbbá a nemzeti átültető intézkedések elemzését és az ezzel kapcsolatban hozzá beérkezett néhány panaszt. Míg a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv valamennyi tagállamra és schengeni országra vonatkozik (mivel a schengeni vívmányok továbbfejlesztését jelenti ), ez a jelentés csak az uniós tagállamokra terjed ki. E jelentés elkészítését három tényező befolyásolta. Először is a tagállamok kétharmada nem tartotta be a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv nemzeti jogba való átültetésére vonatkozó 2018. májusi határidőt. Mindazonáltal a legtöbb tagállam 2019-ig átültette a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet, miután a Bizottság kötelezettségszegési eljárásokat indított. Ezért meglehetősen kevés tapasztalat áll rendelkezésre annak alkalmazásával kapcsolatban, amit az Európai Adatvédelmi Testület és a Tanács is hangsúlyoz. Másodszor a GDPR-hoz képest nehezebbnek bizonyult a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv alkalmazására vonatkozó statisztikák összeállítása. Egyes adatvédelmi felügyeleti hatóságok nem gyűjtenek külön statisztikákat felügyeleti tevékenységeikről a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv és a GDPR tekintetében. Ez a helyzet például az adatvédelmi incidensekről szóló értesítésekkel és a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv szerinti panaszokkal kapcsolatban, ami néha megnehezíti a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv e rendelkezéseinek pontos áttekintését . Harmadszor, fontos figyelembe venni, hogy az ítélkezési gyakorlat csak most alakul ki a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv alkalmazásával kapcsolatban. Az Európai Unió Bírósága (a továbbiakban: EUB) előtt jelenleg több olyan ügy van folyamatban, amelyek a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv olyan kulcsfontosságú rendelkezéseinek értelmezésével kapcsolatosak, mint például az érintettek hozzáférési joga és a hatékony bírósági jogorvoslathoz való jog. Ezek az ítéletek több egyértelműséget fognak biztosítani, és hozzá fognak járulni a tagállamok közötti összehangoltabb megközelítéshez.

2Kielégítő átültetés, azonban számos lezáratlan kérdés továbbra is fennáll A Bizottság tagállami szakértői csoportot hozott létre, hogy segítse a tagállamokat abban, hogy a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet beépítsék nemzeti jogukba. A csoport megkönnyíti a tagállamok és a Bizottság között az adatvédelmi szabályokról szóló párbeszédet és tapasztalatcserét. Rendszeresen ülésezett a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 2016. évi elfogadása és a 2018. májusi átültetési határidő között, majd 2021-ben újrakezdte munkáját. Az átültetés alább bemutatott áttekintése az eddig azonosított főbb kérdésekre összpontosít. Ez elsősorban azon információk bizottsági elemzésén alapul, amelyeket a tagállamok a Bizottságnak a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv nemzeti jogba való átültetése érdekében hozott nemzeti intézkedéseikről való értesítésekor nyújtottak be. Ezt az elemzést egy külső vállalkozó által készített külső tanulmány is alátámasztotta. A Bizottság több tagállammal is kétoldalú információcserét folytatott. 2.1Összességében teljes körű átültetés, azonban bizonyos rendelkezésekkel kapcsolatban van néhány probléma A Bizottság 2018 júliusában 19 tagállammal szemben indított kötelezettségszegési eljárást, mivel azok nem fogadták el a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet átültető jogszabályokat a 2018. májusi határidőig, és nem értesítették megfelelően a Bizottságot azok átültetéséről. 2019 júliusában egy másik tagállammal szemben egy másik, az átültetés részleges elmaradására irányuló eljárás indult. Ennek eredményeként a legtöbb tagállam ezt követően értesítette a Bizottságot nemzeti átültető jogszabályairól, és a Bizottság 2019-ben (egy tagállam esetében 2020-ban) fokozatosan lezárta az ellenük indított kötelezettségszegési eljárásokat. A Bizottság 2021-ben az EUB elé utalta a Spanyolország elleni kötelezettségszegési eljárást, mivel az még mindig nem ültette át a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet, és nem értesítette a Bizottságot az átültetési intézkedéseiről. A jogsértés súlyosságára és időtartamára tekintettel az EUB első alkalommal szabott ki átalányösszeget és szankciós bírságot Spanyolországgal szemben . A Bizottság 2022 áprilisában kötelezettségszegési eljárást is indított Németország ellen, miután hiányosságokat tárt fel a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv átültetése terén a német szövetségi rendőrség tevékenységeivel kapcsolatban. A Bizottság folytatja a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv tagállamokon belüli átültetésének értékelését, és megteszi a szükséges intézkedéseket az esetleges hiányosságok orvoslására. 2.2A megfelelés értékelésének prioritásai A Bizottság azt is ellenőrzi, hogy a tagállamok nemzeti rendelkezései helyesen ültették-e át a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv követelményeit (a megfelelőség ellenőrzése). A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv átültetésekor a tagállamok vagy módosították korábbi adatvédelmi jogszabályaikat, vagy hatályon kívül helyezték, és új horizontális adatvédelmi jogszabállyal (jogszabályokkal) váltották fel azokat. A nemzeti jogszabályok sok esetben a GDPR azonos vagy egyenértékű rendelkezésére hivatkozva ültetik át a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet (pl. a fogalommeghatározásokra, az adatvédelmi incidensek bejelentésére, az adatvédelmi tisztviselő kinevezésére, valamint a nemzeti adatvédelmi felügyeleti hatóságok szervezetére, jogállására, hatásköreire, feladataira és hatásköreire vonatkozó rendelkezések tekintetében). A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv számos rendelkezését új rendelkezések révén is átültették, például az általános közigazgatási jog, a közigazgatási eljárásjog vagy a büntetőeljárás területén. Egyes tagállamok átültették továbbá a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv számos rendelkezését az ágazati jogszabályokba, amelyek az egyes illetékes hatóságok működését és hatásköreit szabályozzák. Ezért előfordulhat, hogy különböző nemzeti jogi aktusokat kell figyelembe venni annak meghatározásakor, hogy a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet egy adott tagállamban helyesen ültették-e át. Összességében a nemzeti jogszabályok nagyrészt tükrözik a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv elveit és alapvető rendelkezéseit. Ugyanakkor számos kérdés azonosítására sor került, amelyek közül a legfontosabbak a következő szakaszokban találhatók. A Bizottság már több kötelezettségszegési eljárást indított a tagállamokkal szemben . A felülvizsgálati folyamat jelenleg is zajlik, és a Bizottság továbbra is minden rendelkezésre álló eszközt igénybe fog venni, beleértve a kötelezettségszegéseket is, amennyiben egy nemzeti átültető intézkedés nem felel meg a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvnek. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelvvel kapcsolatos ítélkezési gyakorlat még gyerekcipőben jár. Az EUB csak most kezdett ítéleteket hozni a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv értelmezéséről, beleértve a WS kontra Bundesrepublik Deutschland és a B kontra Latvijas Republikas Saeima ügyeket. E jelentés elkészítésének időpontjában számos előzetes döntés van folyamatban az EUB előtt (a következő szakaszokban jelzettek szerint). 2.2.1A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv hatálya A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv és a GDPR alkalmazási köre közötti elhatárolás nehézségét mind az általános adatvédelmi rendelettel és a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvvel foglalkozó tagállami szakértői csoport, mind pedig az Európai Adatvédelmi Testület felvetette aggodalomra okot adó kérdésként. Egyes adatvédelmi felügyeleti hatóságok azt is megjegyezték, hogy az illetékes hatóságok ezt nehéznek találhatják . A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv hatályát két kulcsfontosságú elem határozza meg: az illetékes hatóság (személyi hatály) és a bűncselekmény (tárgyi hatály) fogalma. Ami a személyi hatályt illeti, az adatkezelés akkor tartozik a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv hatálya alá, ha először is az illetékes hatóság végzi, másodszor pedig akkor, ha a személyes adatokat bűnüldözésben érvényesítendő adatvédelem (pl. bűncselekmények megelőzése, nyomozása, felderítése, büntetőeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása, többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és azok megelőzése) céljából kezelik. A Bizottság szerint a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv által meghatározott „illetékes hatóságok” vagy állami szervek, vagy magánszervezetek, amelyek számára a törvény a magánszemélyek közötti viszonyokra alkalmazandó általános szabályokból és/vagy a kényszerítő hatáskör gyakorlásának lehetőségéből eredőkön túl különleges jogköröket biztosít. Ezek a hatóságok a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv értelmében vett illetékes hatóságok, amikor (még ha csak szórványosan és/vagy elszigetelt esetekben is) adatokat kezelnek bűncselekmények megelőzése, nyomozása, felderítése, büntetőeljárás alá vonása vagy büntetőjogi szankciók végrehajtása céljából (beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és azok megelőzését). Ez azt jelenti például, hogy a személyes adatoknak az ilyen szervek általi, nem a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv szerinti céllal történő kezelése (pl. emberi erőforrások vagy más igazgatási célok, például a személyes adatoknak a pénzügyi információs egységek által a pénzmosás elleni vívmányok alapján történő kezelése) nem a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv, hanem a GDPR hatálya alá tartozik. A „bűncselekmény” fogalma központi jelentőségű annak meghatározásakor, hogy az adatkezelés a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv hatálya alá tartozik-e. Az EUB szerint három kritérium releváns a jogsértés büntetőjogi jellegének értékelése során: a jogsértés belső jog szerinti jogi minősítése, a jogsértés jellege és az érintett személlyel szemben kiszabható szankció súlya . A bűncselekmény fogalmának a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv (13) preambulumbekezdésében említettek szerinti, önálló jellege többek között azt vonja maga után, hogy a tagállami jog nem határozhatja meg a jogsértés „bűncselekmény” jellegét kizárólag a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv alkalmazása céljából. A GDPR és a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv alkalmazási köre közötti elhatárolás kérdése felmerül néhány tagállamban a büntetőjogi és közigazgatási jogsértések területei közötti elhatárolás tekintetében. Egyes nemzeti átültető jogszabályok a személyes adatok kezelésének olyan céljait említik, amelyek nem szerepelnek a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 1. cikkében (pl. a közrendet vagy a közbiztonságot fenyegető veszélyek). A kérdés amiatt is felmerül, mert egyes tagállamok úgy vélik, hogy számos közigazgatási szerv (pl. a fent említett pénzügyi információs egységek) a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv hatálya alá tartozó feladatokat lát el. A legtöbb tagállami jogszabály átfogóan lefedi az illetékes hatóságok bűnüldözésben érvényesítendő adatvédelemről szóló irányelv céljából történő adatkezelését. Ezzel szemben egyes tagállamok úgy döntöttek, hogy nemzeti jogszabályaikban kimerítően felsorolják a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv szerinti illetékes hatóságokat. Néhány tagállam eltérést biztosított az illetékes hatóságok bizonyos típusai vagy bizonyos típusú adatok kezelése tekintetében is. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv hatályának kérdése előzetes döntéshozatal iránti kérelem tárgyát képezi az EUB előtt. A tiroli regionális közigazgatási bíróság (Landesverwaltungsgericht Tirol, Ausztria) abban az esetben vetette fel a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv alkalmazási körének kérdését, ha az illetékes hatóság sikertelenül próbált hozzáférni egy lefoglalt telefonon tárolt adatokhoz (a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 2. cikkének értelmezése). Az ügy az ilyen hozzáférés feltételeire is vonatkozik. 2.2.2Az adatvédelmi felügyeleti hatóságok irányítása és jogkörei

Kettő kivételével (Belgium és Svédország) valamennyi tagállam a GDPR végrehajtásáért is felelős felügyeleti hatóságot bízta meg a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv végrehajtásával. Belgium a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv alkalmazásában a rendőrség felügyeletét egy másik felügyeleti hatóságra bízta. Svédországban egyes illetékes hatóságok – köztük a rendőrség – felügyeletét a GDPR tekintetében illetékes felügyeleti hatóság és egy másik felügyeleti hatóság közösen látja el. Továbbá a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv értelmében nem minden adatvédelmi felügyeleti hatóság rendelkezik hatáskörrel a bíróságok felügyeletére, amennyiben azok igazságszolgáltatási minőségükben járnak el. Ami a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv adatvédelmi felügyeleti hatóságok függetlenségére vonatkozó rendelkezéseit illeti, az átültető jogszabályokban valamennyi tagállam előírta, hogy az adatvédelmi felügyeleti hatóságoknak feladataik ellátása során függetlenül kell eljárniuk. Előírják továbbá, hogy adatvédelmi felügyeleti hatóságaik tagjai külső befolyástól mentesek legyenek, és senkitől ne fogadjanak el vagy kérjenek utasításokat. A megfelelőség adatvédelmi felügyeleti hatóságok általi felügyelete alapvető fontosságú, és a Charta 8. cikkének (3) bekezdésében is szerepel. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv előírja a tagállamok számára, hogy hatékony vizsgálati, korrekciós és tanácsadói jogkört biztosítsanak az adatvédelmi felügyeleti hatóságok számára. Ez előfeltétele az adatvédelmi szabályok megfelelő érvényesítésének és ezáltal a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv azon célkitűzésének, hogy magas szintű védelmet biztosítson az alapvető jogok számára, különös tekintettel a személyes adatok védelméhez való jogra, valamint az adatok EU-n belüli szabad áramlásának biztosítására. Az adatvédelmi felügyeleti hatóságoknak az egész EU-ban azonos hatáskörrel kell rendelkezniük ahhoz, hogy a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvben előírt feladataikat el tudják látni. Valamennyi tagállam biztosította hatóságai számára a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvben meghatározott vizsgálati hatásköröket, és a tagállamok többsége más hatáskörökkel is felruházta őket (pl. ellenőrzések lefolytatása, helyiségekbe való belépés, adatok másolatának készítése és tárgyak lefoglalása). Ennek következtében szinte valamennyi adatvédelmi felügyeleti hatóság megállapította, hogy tényleges vizsgálati hatáskörrel rendelkezik. Szinte valamennyi tagállam biztosította a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvben meghatározott korrekciós hatásköröket. Sok tagállam szorosan követte a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv szövegét, míg többen nagyon tág megfogalmazást használtak, amelyet észszerűen úgy lehet értelmezni, hogy az magában foglalja a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvben meghatározott valamennyi hatáskört. Ezenkívül a tagállami jogszabályok többsége felhatalmazza az adatvédelmi felügyeleti hatóságokat arra, hogy közigazgatási bírságot szabjanak ki. Nem minden tagállam ruházta fel adatvédelmi felügyeleti hatóságát azzal a hatáskörrel, hogy a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv átültetése céljából elfogadott nemzeti jogszabályok megsértését az igazságügyi hatóságok tudomására hozza, valamint hogy bírósági eljárást indítson vagy abban más módon részt vegyen. Ez a hatáskör fontos, és kiegészíti az adatvédelmi felügyeleti hatóságok rendelkezésére álló egyéb eszközöket az egyének alapvető jogai és különösen a személyes adataik védelméhez való joguk magas szintű védelmének hatékony biztosítása érdekében. 2.2.3Jogorvoslati lehetőségek Valamennyi tagállam biztosította a jogot arra, hogy panaszt nyújtson be az illetékes felügyeleti hatóságához. A legtöbb nemzeti jogszabály határidőt ír elő az ilyen panasz benyújtására. Fontos, hogy ez a határidő ne akadályozza az érintettek ezzel kapcsolatos jogait. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelvvel összhangban valamennyi tagállam bírósági jogorvoslatot biztosít a felügyeleti hatóság határozatai ellen, a jogrendszerükben rendelkezésre álló egyéb közigazgatási vagy nem bírósági jogorvoslatok sérelme nélkül. Két tagállam kivételével bírósági jogorvoslat áll rendelkezésre, ha a felügyeleti hatóság három hónapon belül nem foglalkozik a panasszal, vagy nem tájékoztatja az érintettet a panasz állásáról vagy eredményéről. A legtöbb tagállam bírósági jogorvoslatot is biztosít az adatkezelővel és az adatfeldolgozóval szemben a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv állítólagos megsértése esetén. Több nemzeti átültető jogszabály azonban nem biztosítja az érintett számára azt a jogot, hogy nonprofit szerveket, szervezeteket és egyesületeket bízzon meg azzal, hogy panaszt nyújtsanak be a felügyeleti hatósághoz vagy bírósági jogorvoslatot kezdeményezzenek a nevében. 2.2.4A tárolásra és a felülvizsgálatra vonatkozó határidők A személyes adatok tárolására és felülvizsgálatára vonatkozó, bűnüldözésben érvényesítendő adatvédelemről szóló irányelv határidőinek átültetésével kapcsolatos tagállami megközelítések igen eltérőek. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet átültető nemzeti adatvédelmi jogszabályok többsége csak a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 5. cikkében foglalt általános követelménynek felel meg. Ez azt jelenti, hogy az ágazati jog feladata, hogy ténylegesen határidőket állapítson meg a személyes adatok törlésére vagy a személyes adatok tárolása szükségességének időszakos felülvizsgálatára. Néhány tagállam úgy ültette át a rendelkezést, hogy az ágazati jogszabályokban rögzíti a határidőket. Egyes tagállamokban azonban a jog a határidők megállapítását az illetékes hatóságra bízza. Egyes esetekben a jog nem határoz meg kritériumokat az időszakos felülvizsgálatra vonatkozóan, és nem írja elő, hogy ezeket a kritériumokat más jogszabályoknak kell meghatározniuk, és/vagy nem rendelkezik arról, hogy a határidők betartását biztosító eljárásokat a nemzeti jogban is meg kell határozni. Meg kell jegyezni, hogy a Bolgár Legfelsőbb Közigazgatási Bíróság nemrégiben felkérte az EUB-t, hogy válaszoljon a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 5. cikkének az adattárolási határidők tekintetében történő értelmezésére vonatkozó előzetes döntéshozatal iránti kérelmére . 2.2.5Az adatkezelés jogalapja, beleértve a személyes adatok különleges kategóriáit A tagállamok többsége – gyakran a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 8. cikkének megfelelő megfogalmazással – úgy rendelkezik, hogy az adatkezelés jogalapját uniós vagy tagállami jogban kell meghatározni. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet átültető egyes nemzeti adatvédelmi jogszabályok azonban nem tükrözik azt a követelményt, hogy a kezelendő személyes adatokat és az adatkezelés céljait jogszabályban kell meghatározni. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet átültető egyéb nemzeti adatvédelmi jogszabályok nem tartalmazzák a 8. cikknek megfelelő valamennyi rendelkezést. A nemzeti jogszabályoknak kell meghatározniuk az adatkezelés alapját, és meg kell felelniük a 8. cikkben foglalt követelményeknek. Ezenkívül a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 8. cikkében foglalt általános követelményeknek a nemzeti jogban való puszta megismétlése nem tekinthető elegendő jogalapnak egy konkrét adatkezelési művelet esetében: a nemzeti jognak meg kell határoznia azt, hogy mely hatóság rendelkezik hatáskörrel a személyes adatok kezelésére, az adatkezelést indokoló közfeladatokat, valamint az adatkezelés célját. Ami a személyes adatok különleges kategóriáinak kezelését illeti, a legtöbb tagállam megköveteli, hogy az az adatkezelés előfeltételeként szigorúan szükséges legyen. A legtöbb tagállam a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 10. cikkében (jogszabály által engedélyezett adatkezelés; az érintett vagy egy másik személy létfontosságú érdekeinek védelme; vagy az érintett által nyilvánvalóan nyilvánosságra hozott adatokra vonatkozó adatkezelés) meghatározott jogalapokat írja elő a különleges adatok kezelése tekintetében. Néhány tagállamban az átültető jogszabályok előírnak néhány további okot az adatkezelésre (pl. ha az ilyen adatok kezelésére személyek életét, testi épségét vagy vagyonát közvetlenül fenyegető veszély elhárítása vagy megelőzése, illetve az érintett vagy más személy egészségének vagy érdekeinek védelme érdekében van szükség). Amennyiben a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet átültető nemzeti adatvédelmi jogszabály nem biztosítja a szükséges garanciákat az érintettek jogaira és szabadságaira nézve (mint néhány tagállamban), akkor ezeket a garanciákat az ágazati jogszabályoknak kell biztosítaniuk. Néhány nemzeti átültető jogszabály hivatkozik a személyes adatok kezelésével kapcsolatos hozzájárulásra, ideértve a személyes adatok különleges kategóriáinak kezelését is. Fontos emlékeztetni arra, hogy bár a tagállamok nem akadályozhatók meg abban, hogy nemzeti jogukban előírják, hogy az érintett hozzájárulhat a személyes adatainak bűnüldözésben érvényesítendő adatvédelem céljából történő kezeléséhez, ez a hozzájárulás csak garanciaként szolgálhat, és nem képezheti az ilyen adatkezelés jogalapját. Az e kérdésről folytatott megbeszélések azt mutatják, hogy hasznos lenne további iránymutatást adni a hozzájárulásnak a személyes adatok bűnüldözési célú kezelésével összefüggésben betöltött szerepéről. 2.2.6Automatizált döntéshozatal

Valamennyi tagállam átültető jogszabálya tartalmaz olyan rendelkezéseket, amelyek tiltják a kizárólag automatizált adatkezelésen alapuló döntéshozatalt, kivéve, ha azt jogszabály írja elő. A legtöbb tagállam átültető jogszabályai előírják, hogy az ilyen döntések nem alapulhatnak a személyes adatok különleges kategóriáin, kivéve, ha biztosítottak a megfelelő garanciák. Megtiltják az olyan profilalkotást is, amely hátrányos megkülönböztetést eredményez. Egyes nemzeti jogszabályok azonban nem hivatkoznak az érintett jogaira és szabadságaira vonatkozó megfelelő garanciákra azokban az esetekben, amikor az automatizált döntéshozatalt jogszabály engedélyezi. Konkrétabban, nem minden tagállam biztosítja az adatkezelő általi emberi beavatkozás kéréséhez való jogot, vagy nem ír elő megfelelő intézkedéseket az érintett jogainak és/vagy szabadságainak és jogos érdekeinek védelme érdekében. 2.2.7Az érintettek jogai Valamennyi tagállam úgy döntött, hogy él a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv által biztosított lehetőséggel az érintettek személyes adataikhoz való hozzáférési jogának korlátozása céljából. A legtöbb tagállam az érintettek egyéb jogainak korlátozását is előírja. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet átültető nemzeti adatvédelmi jogszabályok gyakran csak a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv általános nyelvét követik, anélkül, hogy tovább pontosítanák azokat a körülményeket vagy feltételeket, amelyek között a korlátozásokat alkalmazni kell. Ilyen esetekben ezeket a körülményeket és feltételeket ágazati jogszabályokban kell meghatározni, ellenkező esetben az adatkezelők mérlegelési jogkört kapnak az e korlátozások alkalmazásában. A legtöbb tagállam teljesíti a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv azon követelményét, hogy az érintettek az adatvédelmi felügyeleti hatóságon keresztül gyakorolhassák jogaikat. A legtöbb tagállam élt azzal a lehetőséggel, hogy előírja, hogy az érintettek jogait a nemzeti bűnügyi nyomozások és eljárások keretében a nemzeti joggal összhangban kell gyakorolni. Több tagállam átültető jogszabályai nem tükrözik a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv valamennyi konkrét követelményét az érintettek jogainak gyakorlására vonatkozóan (pl. a válaszok formátuma és kommunikációs eszközei, díjmentesség). Az érintettek adataikhoz való hozzáférési joga (a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 15. cikke az 54. cikkének fényében), a Charta 47. cikke szerinti hatékony bírósági jogorvoslathoz való jog, valamint a foglalkozás megválasztásának a Charta 15. cikke szerinti szabadsága korlátozásának értelmezésével kapcsolatban egy német bíróság által előterjesztett előzetes döntéshozatal folyamatban van. 2.2.8Kifejezetten a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv egyes fontos rendelkezései A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv egyes rendelkezései kifejezetten a bűnüldözés összefüggéseire vonatkoznak, és nincs megfelelőjük a GDPR-ban. Az érintettek kategóriái A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv kötelezi a tagállamokat annak előírására, hogy az adatkezelő adott esetben és a lehetőségekhez mérten tegyenek különbséget az érintettek különböző kategóriáinak adatai között, és példákat adjanak ezekre a kategóriákra (pl. olyan személy, akiről alapos okkal feltételezhető, hogy bűncselekményt követett el vagy szándékozik elkövetni [a továbbiakban: gyanúsított]). Egyes tagállamok jogszabályai (bizonyos mértékben vagy egyáltalán) nem határozzák meg a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvben felsorolt kategóriákat. A „gyanúsítottak” kategóriájának meghatározásakor egyes nemzeti jogszabályok nem írják elő, hogy „alapos okkal feltételezhető legyen, hogy a személyek bűncselekményt követtek el vagy szándékoznak elkövetni”. A folyamatban lévő Ministerstvo na vatreshnite raboti kontra B.C. ügyben az EUB küszöbön álló ítélete tovább fogja pontosítani a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv értelmezését az érintettek kategóriái tekintetében, beleértve azt a követelményt is, hogy az érintett gyanúsítottként való besorolását ahhoz a feltételhez kell kötni, hogy „alapos okkal feltételezhető-e, hogy bűncselekményt követtek el vagy szándékoznak elkövetni” . A személyes adatok csoportjai közötti különbségtétel és a minőségük ellenőrzése A tagállamok előírják, hogy amennyire lehetséges, különbséget kell tenni a tényeken alapuló és a személyes értékelésen alapuló személyes adatok között. Intézkedéseket kell hozniuk annak biztosítása érdekében is, hogy a pontatlan, hiányos vagy már nem naprakész személyes adatokat ne lehessen továbbítani vagy hozzáférhetővé tenni. Helytelen adatok továbbítása esetén a címzetteket haladéktalanul értesíteni kell, és ilyen esetekben a személyes adatokat helyesbíteni vagy törölni kell, illetve kezelésüket korlátozni kell. Bár a legtöbb tagállam átültette ezt a követelményt, több nemzeti átültető jogszabály nem rendelkezik kifejezetten néhány előírt konkrét intézkedésről. Naplózás Összesen 12 tagállam élt azzal a lehetőséggel, hogy 2023 májusáig elhalasztja automatizált adatkezelési rendszerének a naplózási követelményekhez igazítását. A legtöbb tagállam rendelkezik arról, hogy az automatizált adatkezelési rendszerekben végzett adatkezelési műveletekhez naplót kell vezetni. Egyes nemzeti jogszabályok nem írják elő valamennyi művelettípus naplózását. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv meghatározza azokat a minimális információtípusokat, amelyeket a naplóknak tartalmazniuk kell. Egyes nemzeti jogszabályok nem tartalmazzák az összes előírt információtípust (pl. a személyes adatok megtekintésének vagy közlésének okát). 3A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv alkalmazásának és működésének első tanulságai 3.1Panaszok és az érintettek jogaira gyakorolt pozitív hatás A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv biztosítja az egyének alapvető jogainak és szabadságainak, különösen az adatvédelemhez való jognak a védelmét. Átfogó keretet biztosít az érintettek jogai és e jogok gyakorlásának módja számára, beleértve a tájékoztatáshoz, a személyes adataikhoz való hozzáféréshez, azok helyesbítéséhez vagy törléséhez való jogukat, valamint rendelkezik az adatkezelés korlátozásáról. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv növelte az érintettek ismereteit jogaikról és arról, hogy miként gyakorolhatják azokat, amit az illetékes hatóságokhoz intézett megkeresések számának növekedése is tükröz. A gyakorlat azt mutatja, hogy a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv értelmében az érintettek számára biztosított jogok közül az illetékes hatóságok leggyakrabban a hozzáféréshez és törléshez való jogra hivatkoznak . A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv lehetővé teszi bizonyos jogok (hozzáférési jog, helyesbítéshez vagy törléshez való jog), valamint az adatkezelő által az érintett számára a kezelt személyes adatokkal kapcsolatban nyújtandó tájékoztatás korlátozását. Az érintettek kérhetik az adatvédelmi felügyeleti hatóságokat, hogy vizsgálják felül a szóban forgó jog illetékes hatóság általi korlátozását, vagy felkérhetik őket annak ellenőrzésére, hogy a korlátozást a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvvel összhangban hajtották-e végre (közvetett joggyakorlás) . Az adatvédelmi felügyeleti hatóságok közel fele számolt be arról, hogy ilyen kérelmet kapott. A gyakorlat azt mutatja, hogy a beérkezett kérelmek száma jelentősen eltérhet (pl. egy ilyen kérelem érkezett Horvátországban, míg Franciaországban több mint 1 500). Míg az adatvédelmi felügyeleti hatóságok e panaszok ellenőrzését vagy felülvizsgálatát követően megállapították, hogy a kérelmek többsége nem elfogadható, több esetben felszólították az adatkezelőt a személyes adatok helyesbítésére vagy törlésére, illetve a személyes adatok kezelésének korlátozására, ezáltal biztosítva a korlátozások megfelelő alkalmazását. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv előírja, hogy az érintett nevében egy nonprofit szerv, szervezet vagy egyesület benyújthat panaszt. Úgy tűnik azonban, hogy ezt a lehetőséget nem használják ki kellőképpen (csak négy adatvédelmi felügyeleti hatóság számolt be arról, hogy ilyen panaszt kapott egy képviseleti szervtől). Hasonlóképpen, a civil társadalmi szervezetek csak kis számú ilyen panasz benyújtására irányuló kérelemről számoltak be.

Az egyének egyre gyakrabban élnek azzal a jogukkal, hogy panaszt nyújtsanak be az adatvédelmi felügyeleti hatóságokhoz, ideértve azokat az eseteket is, amikor az illetékes hatóságok korlátozzák az érintettek jogainak gyakorlását. Az adatvédelmi felügyeleti hatóságok több mint egyharmada arról számolt be, hogy a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv tagállami átültetését követően nőtt a beérkezett panaszok száma . Az adatvédelmi felügyeleti hatóságokhoz beérkezett leggyakoribb panaszok közül néhány a hozzáférési jog , a helyesbítéshez vagy törléshez való jog korlátozását, valamint a tájékoztatáshoz való jogot és annak korlátozásait érintette. Ezeket a korlátozott tárolhatóság elvével – amely előírja az illetékes hatóságok számára, hogy a személyes adatokat csak a szükséges ideig őrizzék meg –, valamint a tájékoztatáshoz való joggal kapcsolatos panaszok követték. 3.2Az adatvédelemmel kapcsolatos nagyobb mértékű tudatosság az illetékes hatóságokon belül A tagállamok arról számoltak be, hogy a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv bevezetése jelentős hatással volt és továbbra is hatással van arra, hogy az illetékes hatóságok tudatában legyenek az adatvédelem fontosságának. Több adatvédelmi felügyeleti hatóság is hangot adott azon véleményének, hogy a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv legnagyobb hatása az adatvédelmi kérdésekkel és az érintettek jogaival kapcsolatos tudatosság növelése és az azokra való összpontosítás volt . Ezt az adatvédelmi felügyeleti hatóságok és az illetékes hatóságok között az érintettek jogairól és e jogok gyakorlásának módjáról folytatott információcsere is igazolta . Egyes illetékes hatóságok arról számoltak be, hogy ennek következtében több erőforrást különítettek el az adatvédelemre . Ez magában foglalta a beépített és alapértelmezett adatvédelem elvének informatikai rendszereikbe való beépítését, az adatmegőrzési időszakok meghatározását, az adatminimalizálás elvének alkalmazását és az incidensek bejelentését. Ezt követően a jelentések szerint a kezelt adatok általános biztonsága javult . Az adatvédelmi felügyeleti hatóságok képzési és tudatosságnövelő tevékenységei szintén hozzájárulnak a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv megfelelő végrehajtásához, és a felügyeleti hatóságok feladata, hogy felhívják az adatkezelők és -feldolgozók figyelmét a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv szerinti kötelezettségeikre. Számos adatvédelmi felügyeleti hatóság növelte a tudatosságot iránymutatások közzétételével. A különböző adatvédelmi felügyeleti hatóságok többek között a következő témákkal foglalkoztak: segítségnyújtás az igazságszolgáltatásnak, az ügyészségeknek és a rendőri hatóságoknak az elszámoltathatóság elvének való megfelelésben; személyes adatok cseréje a rendőrséggel; adatvédelmi tisztviselő kinevezése; adatvédelmi hatásvizsgálat végzése; adatkezelés bűnügyi területeken, például a szervezett bűnözés és a terrorizmus területén; nyilvántartás vezetése az adatkezelési tevékenységekről és a naplózásról; videokamerás megfigyelés végzése; az érintettek tájékoztatása; értesítés az adatvédelmi incidensekről; az adatkezelők kötelezettségei; valamint az egyének jogainak gyakorlása. Nyolc adatvédelmi felügyeleti hatóság azonban még nem tett közzé iránymutatást és/vagy gyakorlati eszközöket az illetékes hatóságok és az adatfeldolgozók számára kötelezettségeik teljesítéséhez. Ezen túlmenően 12 adatvédelmi felügyeleti hatóság nem nyújtott képzést vagy tudatosságnövelő tevékenységet az illetékes hatóságok vagy adatfeldolgozók számára a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv keretében. Az ilyen tevékenységeket végző adatvédelmi felügyeleti hatóságok közül a leggyakoribb témák a következők voltak: a rendőrség, ügyészség, igazságügyi és büntetés-végrehajtási hatóság általi adatkezelés; a GDPR és a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv alkalmazási területeinek meghatározása; a közösségimédia-hálózatokból származó személyes adatok felhasználása; a rendőrségi aktákban szereplő adatok kezelése; videokamerás megfigyelési technikák és big data technológia; az érintettek jogainak kezelése; valamint a fogvatartottak személyes adatainak kezelése . A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv egy másik újítása, hogy az adatkezelőknek ki kell jelölniük egy adatvédelmi tisztviselőt, akinek feladatai közé tartozik többek között az adatvédelmi követelményekkel kapcsolatos tájékoztatás és tanácsadás, a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvnek való megfelelés nyomon követése, az adatvédelmi hatásvizsgálatokkal kapcsolatos tanácsadás és azok teljesítményének nyomon követése. Ez azt eredményezte, hogy az illetékes hatóságok jobban megismerték adatvédelmi kötelezettségeiket, és pozitív hatást gyakoroltak az illetékes hatóságok adatvédelmi szabályoknak való megfelelésére, amint azt a Tanács is elismerte . Fontos beruházni az adatvédelmi tisztviselők szakértelmének és tudásának fejlesztésébe és maximalizálásába annak érdekében, hogy segítsék az illetékes hatóságokat a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv következetes alkalmazásában. A Bizottság ezért létrehozta és elősegíti az illetékes hatóságok adatvédelmi tisztviselőinek, a bel- és igazságügyi ügynökségek és az Európai Ügyészség hálózatát. A hálózat állandó kezdeményezés, amely a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvnek a tagállamok illetékes hatóságai általi alkalmazására összpontosít. Célja, hogy platformot biztosítson a tagállamok adatvédelmi tisztviselői közötti együttműködéshez és tapasztalatcseréhez. Az Europol adatvédelmi szakértői hálózata (EDEN) és az illetékes hatóságok nemzeti adatvédelmi tisztviselőinek hálózatai fontos kezdeményezések, amelyek segítik az illetékes hatóságokat abban, hogy előmozdítsák a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv alkalmazásával kapcsolatos bevált gyakorlatok és információk cseréjét. 3.3Az adatbiztonság javulása, azonban eltérő eredmények az adatvédelmi incidensek bejelentése terén A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv javította a személyes adatok biztonságát azáltal, hogy előírta az illetékes hatóságok számára, hogy konkrét biztonsági célkitűzések elérése érdekében hozzanak intézkedéseket. Előírja például, hogy az illetékes hatóságoknak adatvédelmi hatásvizsgálatot kell végezniük, ha egy adatkezelési tevékenység valószínűsíthetően magas kockázattal jár az érintettek jogaira és szabadságaira nézve. A hatásvizsgálatok magukban foglalják a kockázatok azonosítását és az azok csökkentésére irányuló intézkedéseket. Ez a követelmény, valamint a beépített és alapértelmezett adatvédelem elvének és az adatvédelmi incidensek bejelentésére vonatkozó követelmények szigorú betartása javította a személyes adatok kezelésének biztonságát . A Tanács ezt szintén elismerte, és megállapította, hogy a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv javította az adatbiztonság szintjét – többek között biztonsági tervek; az informatikai rendszerek és szervezési intézkedések frissítése; adatvédelmi hatásvizsgálatok; valamint az illetékes hatóságok arra való kötelezése révén, hogy bizonyos adatkezelési műveletek esetében naplókat vezessenek. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv meghatározza azokat a körülményeket, amelyek fennállása esetén az adatkezelőknek értesíteniük kell adatvédelmi felügyeleti hatóságukat és az érintettet az adatvédelmi incidensről. E kötelezettség ellenére jelentős eltérések vannak az adatvédelmi felügyeleti hatóságoknak a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv bevezetése óta bejelentett adatvédelmi incidensek számában . Hat adatvédelmi felügyeleti hatóság arról számolt be, hogy nem kapott adatvédelmi incidensről szóló értesítést , több más hatóság pedig arról, hogy nagyon kevés ilyen értesítést kapott. Az olasz hatóság például csak három, a francia hatóság pedig nyolc adatvédelmi incidensről szóló értesítésről számolt be, míg a holland hatóság több mint 500-ról. Az adatvédelmi incidensekről szóló értesítések bejelentett számában mutatkozó különbség (az olyan tényezők figyelembevétele után, mint a népesség száma) arra enged következtetni, hogy a tagállamok illetékes hatóságai eltérő gyakorlatokat alkalmaznak a tekintetben, hogy mi minősül incidensnek, és mikor kell azt jelenteni az adatvédelmi felügyeleti hatóságnak. A Bizottság ezt az általános adatvédelmi rendeletről szóló jelentésében is megjegyezte. Az Európai Adatvédelmi Testület nemrégiben iránymutatásokat tett közzé az általános adatvédelmi rendelet szerinti incidensekről . Ezek az iránymutatások, bár közvetlenül nem alkalmazandók, a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv szerinti adatvédelmi incidensek szempontjából is relevánsak. Ezért hozzá kellene járulniuk a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv szerinti adatvédelmi incidensek kezelésére vonatkozó egységesebb megközelítéshez a tagállamokban. 3.4Az adatvédelmi felügyeleti hatóságok általi felügyelet 3.4.1Az adatvédelmi felügyeleti hatóságok erőforrásai A feladatok hatékony elvégzése és a jogkörök gyakorlása érdekében elengedhetetlen, és ezért a függetlenségük alapvető feltétele, hogy az egyes adatvédelmi hatóságok számára biztosítottak legyenek a szükséges emberi, technikai és pénzügyi erőforrások, helyszínek és infrastruktúra. A Bizottság következetesen hangsúlyozta a tényt, hogy a tagállamok kötelesek elegendő emberi, pénzügyi és technikai erőforrást biztosítani az adatvédelmi felügyeleti hatóságoknak. A Tanács pedig kifejezetten felszólította a tagállamokat arra, hogy biztosítsanak elegendő emberi, technikai és pénzügyi erőforrást az adatvédelmi felügyeleti hatóságok számára. Úgy tűnik azonban, hogy az elmúlt években az adatvédelmi felügyeleti hatóságok személyzetének általános növekedése nem érinti a bűnüldözésben érvényesítendő adatvédelemhez kapcsolódó feladatokat. A bűnüldözésben érvényesítendő adatvédelemben dolgozó személyzet létszáma nem változott vagy csökkent az adatvédelmi felügyeleti hatóságok felében. A növekedés nagyon szerény volt, átlagosan kettőnél kevesebb teljes munkaidős egyenértékben (FTE) kifejezve. Az adatvédelmi felügyeleti hatóságok közel felében (beleértve azokat is, amelyek munkavállalóinak teljes létszáma meghaladja a 100 teljes munkaidős egyenértéket) a teljes személyzet kevesebb mint 1–7 %-a dolgozik a bűnüldözésben érvényesítendő adatvédelemben. Abszolút számokban kifejezve az adatvédelmi felügyeleti hatóságok mintegy fele 1–4 teljes munkaidős egyenértéket, nyolc adatvédelmi felügyeleti hatóság pedig 7–15 teljes munkaidős egyenértéket rendel a bűnüldözésben érvényesítendő adatvédelemmel kapcsolatos feladatokhoz. Egy adatvédelmi felügyeleti hatóságnak azonban 53 teljes munkaidős egyenértéke dolgozik a bűnüldözésben érvényesítendő adatvédelemmel kapcsolatos feladatokon. Hasonlóképpen, az Európai Adatvédelmi Testület titkársága kevesebb mint 1,5 teljes munkaidős egyenértéket fordított a teljes mértékben a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvvel összefüggő kérdésekre. Ez a helyzet nem kielégítő, még akkor sem, ha tíz adatvédelmi felügyeleti hatóság jelezte, hogy elegendő pénzügyi, emberi és technikai erőforrással rendelkezik. Másrészről 16 adatvédelmi felügyeleti hatóság állapította meg, hogy nem rendelkezik elegendő erőforrással. E hatóságok közül néhányan megjegyezték, hogy ez negatívan érintette saját kezdeményezésű vizsgálataikat, panaszkezelésüket, a nagy méretű informatikai rendszerek (SIS, VIS) ellenőrzését és a saját kezdeményezésükre kiadott vélemények kiadását. Az ágazat sajátos jellemzői ugyanis azt jelentik, hogy a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv hatékony érvényesítése megköveteli a gyakran összetett adatkezelési tevékenységek szisztematikus ellenőrzését, és nem elegendő egyéni panaszokra hagyatkozni (amelyek száma sokkal kevesebb, mint a GDPR esetében). Ezenkívül az adatvédelmi felügyeleti hatóságok rámutattak arra, hogy nem áll rendelkezésre informatikai szakértelem a bűnüldözés területén használt informatikai technológiák egyre növekvő összetettségének kezeléséhez.

3.4.2A hatáskörök gyakorlása A korrekciós hatáskörök gyakorlása Összesen 19 adatvédelmi felügyeleti hatóság gyakorolta vizsgálati hatáskörét saját kezdeményezésére vagy panasz alapján. Az adatvédelmi felügyeleti hatóságok csak nagyon kevés esetben számoltak be nehézségekről (pl. amikor az adatkezelő nem bocsátotta rendelkezésre az összes releváns információt, vagy megtagadta az információhoz való hozzáférést). Ugyanez a 19 adatvédelmi felügyeleti hatóság korrekciós jogkörével is élt. Messze a leggyakrabban alkalmazott hatáskör az adatkezelés jogszabályi összhangját biztosító határozatok kibocsátása volt, ideértve a személyes adatok helyesbítésére vagy törlésére, illetve az adatkezelés korlátozására vonatkozó határozatokat is. Az adatvédelmi felügyeleti hatóságok ezt a hatáskört 114 esetben alkalmazták. Az a tény, hogy az adatkezelésre vonatkozó ideiglenes vagy végleges korlátozás (beleértve a tilalmat is) elrendelésére vonatkozó hatáskörrel csak négy esetben éltek, azt mutatja, hogy az adatvédelmi felügyeleti hatóságok óvatosan gyakorolták ezeket a hatásköröket. A tanácsadói hatáskörök gyakorlása A személyes adatok védelméhez való jog magas szintű védelmének biztosítása és az ebből eredő panaszok számának csökkentése érdekében hatékony eszköz a rendszeres előzetes konzultációk folytatása és az adatvédelmi felügyeleti hatóságok véleményének kikérése a jogalkotási és közigazgatási intézkedések tervezetéről. Az adatvédelmi felügyeleti hatóságokkal folytatott előzetes konzultáció különösen fontos az olyan új technológiák használatakor, amelyek jelentős hatást gyakorolhatnak az alapvető jogokra. Az adatvédelmi felügyeleti hatóságok fele számolt be arról, hogy konzultáltak velük az adatvédelmi hatásvizsgálatokról. Az előzetes konzultációk száma tagállamonként eltérő. Egyes hatóságokkal csak egyszer konzultáltak, míg egy másik hatóság 59 előzetes konzultációt kapott. Ezen esetek többségében az adatvédelmi felügyeleti hatóságok írásbeli tanácsot adtak, és egyes esetekben éltek az adatkezeléssel kapcsolatos korrekciós hatáskörükkel – nevezetesen figyelmeztetéseket adtak ki vagy intézkedéseket rendeltek el annak érdekében, hogy az adatkezelés megfeleljen a jogszabályoknak. Egy esetben az adatvédelmi felügyeleti hatóság negatív véleményt adott ki, amely a jelek szerint ugyanolyan hatással járt, mint az adatkezelés tilalma. Ezenkívül úgy tűnik, hogy az adatvédelmi felügyeleti hatóságok az előzetes konzultációs eljáráson kívül is foglalkoznak a tanácsadás iránti kérelmekkel. A leggyakoribb kérdés, amellyel kapcsolatban az illetékes hatóságok megkeresték az adatvédelmi felügyeleti hatóságokat, az adatkezelés konkrét típusaihoz kapcsolódott (különösen az új technológiák, mechanizmusok vagy eljárások alkalmazása, amelyeket szorosan követnek megfelelő biztonsági intézkedések, a személyes adatok különleges kategóriáinak kezelése, az adatkezelés jogalapjának meghatározása, az adattárolás korlátozásának elve és a megfelelő határidők). Ezenkívül 22 adatvédelmi felügyeleti hatóság adott ki véleményt nemzeti parlamentjei és kormányai számára a személyes adatok kezelésével kapcsolatos jogalkotási és közigazgatási intézkedésekről. Többen jelezték, hogy időnként konzultálnak velük. 3.4.3Az adatvédelmi felügyeleti hatóságok intézkedéseinek bírósági felülvizsgálata Az adatvédelmi felügyeleti hatóságok közel fele jelezte, hogy néhány esetben bírósági eljárással szembesültek a határozataik vagy tétlenségük miatt. Az eljárást főként az érintettek, néhány esetben pedig az illetékes hatóságok kezdeményezték. A bíróságok több ügyet elfogadhatatlannak nyilvánítottak, vagy azokat a felperesek visszavonták. A bíróság a legtöbb fennmaradó ügyben helybenhagyta az adatvédelmi felügyeleti hatóság határozatát, de egyes ügyekben azt hatályon kívül helyezte (és más ügyek még folyamatban voltak). Az eddigi kis számú ítélet azt jelenti, hogy még nem lehet egyértelmű tendenciát észlelni. 3.4.4EDPB-iránymutatások A tagállamok közötti következetesség és magas szintű védelem kulcsfontosságú a büntetőügyekben folytatott hatékony igazságügyi együttműködés és a rendőrségi együttműködés biztosításához. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv előírja, hogy az Európai Adatvédelmi Testület (saját kezdeményezésére vagy a Bizottság kérésére) iránymutatásokat, ajánlásokat és bevált gyakorlatokat adjon ki annak biztosítása érdekében, hogy a tagállamok következetesen alkalmazzák a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet. Az Európai Adatvédelmi Testület az V. fejezet (nemzetközi adattovábbítások) szempontjából releváns, a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvre vonatkozó specifikus iránymutatást; az arcfelismerő technológiák használatára vonatkozó iránymutatást; valamint (korábban a 29. cikk alapján létrehozott munkacsoportként) a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv néhány kulcsfontosságú kérdéséről szóló véleményt fogalmazott meg. Az Európai Adatvédelmi Testület általános adatvédelmi rendeletre vonatkozó számos iránymutatása is releváns a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv szempontjából, amennyiben közös fogalmakon vagy technológiákon alapulnak. Az ilyen iránymutatások magukban foglalják az adatkezelő és az adatfeldolgozó fogalmára, az érintetti jogokra, az adatvédelmi incidensekről szóló értesítésre, az adatvédelmi hatásvizsgálatra, a beépített és alapértelmezett adatvédelemre, valamint az egyéni, automatizált döntéshozatalra vonatkozóakat. Az átfogó és gyakorlati iránymutatások kidolgozásához jelentős munkára és erőforrásokra van szükség, de az iránymutatás alapvető fontosságú (ahogy azt a Tanács is megjegyezte). Ezért nagyon pozitív, hogy az Európai Adatvédelmi Testület jelezte, hogy hamarosan további iránymutatást fog nyújtani, többek között az adatvédelmi felügyeleti hatóságok hatékony vizsgálati és korrekciós hatáskörének koncepciójáról, valamint a megfelelő garanciák hatálya alá tartozó nemzetközi adattovábbításokról. Az Európai Adatvédelmi Testület iránymutatásai csökkenthetik az adatvédelmi felügyeleti hatóságok munkaterhelését is (pl. olyan feladatok, mint az adatkezelőknek nyújtott tanácsadás vagy a panaszok kezelése). Például a 29. cikk alapján létrehozott munkacsoportnak a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv egyes kulcsfontosságú kérdéseivel (például a megfelelő határidőkkel, az adatkezelés jogalapjával, a különleges adatkategóriák kezelésének feltételeivel) kapcsolatos véleményében tárgyalt kérdések közül több szintén azon leggyakoribb kérdések közé tartozik, amelyekkel kapcsolatban az illetékes hatóságok tanácsot kértek az adatvédelmi felügyeleti hatóságoktól. 3.4.5Kölcsönös segítségnyújtás A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv következetes alkalmazásának biztosítása érdekében az adatvédelmi felügyeleti hatóságoknak kölcsönösen segítséget kell nyújtaniuk egymásnak. Ez magában foglalja az információkérések, valamint a konzultációk, ellenőrzések és vizsgálatok lefolytatása iránti megkeresések formájában történő segítségnyújtást. A kölcsönös segítségnyújtást azonban eddig nagyon ritkán vették igénybe. Csak hat adatvédelmi felügyeleti hatóság alkalmazta, elsősorban más adatvédelmi felügyeleti hatóságoktól kapott információkérésekre válaszul. Az adatvédelmi felügyeleti hatóságok többsége azt jelezte, hogy csak egy információkérést kaptak. Ezen adatvédelmi felügyeleti hatóságok mindegyike arról számolt be, hogy eleget tett a beérkezett kérésnek. Az önkéntes kölcsönös segítségnyújtás, amelynek nincs jogszabályban előírt határideje vagy szigorú válaszadási kötelezettsége, szintén nem került alkalmazásra. Az Európai Adatvédelmi Testület kijelentette, hogy iránymutatásokat fog közzétenni az általános adatvédelmi rendelet és a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv szerinti kölcsönös segítségnyújtási keretről. 3.5A nemzetközi adattovábbítások rugalmas eszköze

A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv V. fejezete kiterjed a személyes adatok harmadik országokban lévő illetékes hatóságainak és nemzetközi szervezeteknek történő továbbítására. Ez a fejezet lényegében a védelem folytonosságát biztosítja abban az esetben, ha a személyes adatokat bűnüldözési célból valamely tagállamból harmadik országba vagy nemzetközi szervezet részére továbbítják. A fent említettek szerint a védelem ilyen folytonossága fontos feltétele a megbízható partnerek közötti gyors, hatékony és jogilag biztos bűnüldözési együttműködésnek. Különösen a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv vonatkozó szabályai szerint az illetékes hatóságok közötti, a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv értelmében vett nemzetközi adattovábbításnak az irányelv 36–38. cikkében meghatározott különböző átviteli eszközök egyikén kell alapulnia (amennyiben az adatok egy másik tagállamból származnak, a továbbításhoz az adott tagállam előzetes engedélye is szükséges). Ezen eszközök közé tartoznak a megfelelőségi határozatok, a megfelelő garanciákon alapuló adattovábbítások, valamint az eltérések alkalmazása bizonyos helyzetekben. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 39. cikke egyedi és konkrét esetekben és több feltétel mellett lehetővé teszi a közvetlen adattovábbítást olyan címzettek részére, amelyek nem bűnüldöző hatóságok, és amelyek székhelye harmadik országban van. 3.5.1Megfelelőségi határozatok A Bizottság felgyorsította munkáját a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv keretében rendelkezésre álló eszközökben rejlő lehetőségek teljes körű kiaknázása érdekében. Ez magában foglalta a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 36. cikke szerinti bűnüldözési célú adatkezelési tevékenységekre vonatkozó, az Egyesült Királysággal kötött „megfelelőségi határozat” első elfogadását 2021 júniusában . Ez a megfelelőségi határozat lehetővé teszi a személyes adatok biztonságos és szabad áramlását az érintett harmadik ország illetékes hatóságai számára, anélkül, hogy további garanciákra vagy külön engedélyre lenne szükség (kivéve, ha egy másik tagállamnak, ahonnan az adatokat beszerezték, engedélyeznie kell a továbbítást ). Az Egyesült Királyságra vonatkozó, 2021. júniusi megfelelőségi határozat a brexit utáni rendőrségi és igazságügyi együttműködés kulcsfontosságú alapja, amely az EU és az Egyesült Királyság közötti kereskedelmi és együttműködési megállapodás szerint „a Feleknek a személyes adatok magas szintű védelmének biztosítása iránti, régóta fennálló kötelezettségvállalásán” alapul. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 36. cikkének (4) bekezdése értelmében a Bizottság nyomon követi az Egyesült Királyság jogi keretének minden olyan fejleményét, amely érintheti ezt a megfelelőségi határozatot. Ez az Egyesült Királyságra vonatkozó megfelelőségi határozat a hatálybalépésétől számított 4 évig alkalmazandó, és elvben további négy évvel meghosszabbítható, amennyiben a Bizottság nyomon követése megerősíti, hogy az Egyesült Királyság továbbra is megfelelő védelmi szintet tart fenn . Emellett az Európai Adatvédelmi Testület is hozzájárult ezen eszköz kidolgozásához azáltal, hogy a bűnüldözéssel összefüggésben a megfelelőség értékelése során figyelembe veendő elemekre vonatkozó iránymutatás révén egyértelműsítette a jogi standardot, és a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv alapján kiadta a megfelelőségi referenciát . A harmadik országnak különösen az érvényesíthető egyéni jogokat, a hatékony bírósági jogorvoslatot és a független felügyeletet kell biztosítania. A Bizottság aktívan támogatja a megfelelőségre vonatkozó megállapítások lehetőségét más kulcsfontosságú nemzetközi partnerekkel, különösen azokkal az országokkal, amelyekkel szoros és gyors együttműködésre van szükség a bűnözés és a terrorizmus elleni küzdelemben, és amelyekkel már jelentős személyesadat-csere zajlik. Bár eddig nem fogadtak el más megfelelőségi határozatot, ez főként azért van így, mert ezt az eszközt csak nemrégiben vezették be. Ezen túlmenően – a kereskedelmi szereplők általi adatkezeléstől eltérően – a bűnüldözés területén az adatvédelmi szabályok globális konvergenciája csak most kezd fejlődni (például olyan többoldalú megállapodások révén, mint az Európa Tanács korszerűsített 108. sz. egyezménye vagy a Számítástechnikai Bűnözésről szóló Budapesti Egyezmény második kiegészítő jegyzőkönyve). Mindazonáltal a megfelelőségi határozat Egyesült Királysággal való elfogadása során szerzett tapasztalatok hozzá fognak járulni ahhoz, hogy az elkövetkező években hasonló kezdeményezéseket lehessen elindítani. A Bizottság nemzetközi stratégiája részeként más lehetséges jelölteket is mérlegelni fog a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv szerinti jövőbeli megfelelőségi határozatok tekintetében, és ezt a többi érintett uniós intézménnyel és szervvel közvetlen kapcsolatban fogja tenni. E célból és a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv (68) preambulumbekezdésével összhangban a Bizottság szoros figyelmet fog fordítani az értékelt országoknak a személyes adatok védelmével kapcsolatos nemzetközi kötelezettségvállalásaira, beleértve a fent említett többoldalú megállapodásokhoz vagy más, megfelelő adatvédelmi biztosítékokat nyújtó bűnüldözési eszközökhöz való csatlakozást is. 3.5.2Megfelelő garanciák A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv a megfelelőségi határozat átfogó megoldásán kívül más továbbítási eszközöket is tartalmaz. Ezen „eszköztár” rugalmasságát tükrözi a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 37. cikke, amely a személyes adatok védelmére vonatkozó „megfelelő garanciák” alapján szabályozza az adattovábbítást. Ilyen megfelelő garanciákat vagy jogilag kötelező erejű eszköz útján lehet nyújtani, vagy ha az adatkezelő az adattovábbítás összes körülményének értékelése alapján arra a következtetésre jut, hogy megfelelő garanciák állnak fenn (az adattovábbítások esetében az úgynevezett „önértékelés”). A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv alkalmazásának első éveiben a Bizottság különösen a megfelelő garanciákat nyújtó nemzetközi megállapodások formájában dolgozott kötelező erejű jogi eszközökön. Az ilyen megállapodások fontos szerepet játszanak mind a „hagyományos” (azaz az illetékes hatóságok közötti együttműködés), mind a bűnüldözési együttműködés egyéb formái (azaz harmadik felek, például magánvállalkozások közötti együttműködés) összefüggésében. Emellett alapul szolgálhatnak az Europol és az Eurojust által a saját jogi kereteik alapján történő adattovábbításhoz is, amelyek nemzetközi adattovábbításra vonatkozó szabályai nagyon hasonlóak a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv szerinti szabályokhoz. Ami a bűnüldözési együttműködés hagyományos formáit illeti, a Bizottság felülvizsgálja a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv hatálybalépése előtt elfogadott nemzetközi megállapodásokat annak érdekében, hogy biztosítsa az összhangot az EU korszerűsített adatvédelmi rendszerével . Először is, a Bizottság a Bűnüldözési Együttműködés Európai Uniós Ügynökségéről szóló (EU) 2016/794 rendeletben (a továbbiakban: Europol-rendelet) foglaltaknak megfelelően értékeli az Europol harmadik országokkal 2017. május 1-je előtt kötött meglévő együttműködési megállapodásaiban foglalt adatvédelmi rendelkezéseket. Az Európai Unióról szóló szerződéshez és az EUMSZ-hez csatolt (átmeneti rendelkezésekről szóló) 36. jegyzőkönyv 9. cikkével összhangban e megállapodások joghatásai mindaddig fennmaradnak, amíg az említett megállapodásokat hatályon kívül nem helyezik, meg nem semmisítik vagy nem módosítják . A Bizottság tájékoztatja az Európai Parlamentet és a Tanácsot ezen értékelés eredményéről, és adott esetben az EUMSZ 218. cikkével összhangban ajánlást nyújt be a Tanácsnak a vonatkozó megállapodás(ok) módosítására irányuló tárgyalások megkezdésére való felhatalmazásról szóló határozatra vonatkozóan. Ez egy összetett feladat, amely 18 megállapodás értékelését foglalja magában, és amelyet a Covid19-világjárvány okozta zavarok késleltettek. A Bizottság várhatóan 2022 második felében fejezi be értékelését. A bűnüldözési együttműködési mechanizmusoknak a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv szabályaival való összhangja olyan irányadó elv, amelyet a Bizottság a személyes adatoknak az Europol által harmadik országok vagy nemzetközi szervezetek részére történő továbbítására vonatkozó új megállapodásokról szóló tárgyalások során is követ. A jelenlegi Europol-rendelet 2017. évi hatálybalépése óta az EUMSZ 218. cikke képezi a megfelelő garanciákat nyújtó ilyen nemzetközi megállapodások jogalapját. 2018-ban és 2019-ben a Tanács kilenc megbízást fogadott el a Bizottság számára, hogy az Unió nevében tárgyalásokat kezdjen harmadik országokkal. A Bizottság felhatalmazást kapott arra is, hogy tárgyalásokat kezdjen az Interpollal egy olyan együttműködési megállapodásról, amely több uniós szervvel és ügynökséggel folytatott adatcserére is kiterjed. A Tanács mindezen esetekben tárgyalási irányelveket intézett a Bizottsághoz azzal a céllal, hogy biztosítsa a személyes adatok védelméhez, valamint az egyének egyéb alapvető jogainak és szabadságainak védelméhez szükséges garanciák beépítését. Ennek alapján a Bizottság már lezárta az Új-Zélanddal folytatott tárgyalásokat, amelyek eredményeként 2022. június 30-án együttműködési megállapodás aláírására került sor. Ezen túlmenően előrelépés történt az Izraellel folytatott tárgyalások terén. Ami Törökországot illeti, a tárgyalások előrehaladott szakaszban vannak, de csak akkor fejezhetők be, ha Törökország elfogadja a szükséges reformokat adatvédelmi jogszabályaiban. 2021 márciusában hasonló felhatalmazást adtak az Eurojust és 13 harmadik ország közötti adatcserét lehetővé tevő együttműködési megállapodásokra irányuló tárgyalásokra. Másodszor, a Bizottság jelenleg végzi az Amerikai Egyesült Államok és az Európai Unió közötti, a bűncselekmények megelőzésével, kivizsgálásával, felderítésével és büntetőeljárás alá vonásával kapcsolatos személyes adatok védelméről szóló megállapodás (a továbbiakban: keretmegállapodás) első közös felülvizsgálatát. A 2017 februárjában hatályba lépett keretmegállapodás átfogó és harmonizált adatvédelmi szabályokat tartalmaz, amelyek az illetékes hatóságok közötti valamennyi transzatlanti adatcserére vonatkoznak. Kiegészíti a bűnüldöző hatóságok között meglévő, az EU és az USA közötti, valamint az uniós tagállamok és az USA közötti megállapodásokat, magas szintű védelmet ír elő az e területre vonatkozó jövőbeli megállapodások számára, valamint az információcsere megkönnyítése révén megerősíti a bűnüldözési együttműködést. A közös felülvizsgálat célja a keretmegállapodás hatékony végrehajtásának értékelése, különös tekintettel az újbóli adattovábbításra, az egyéni jogokra és a bírósági jogorvoslatra vonatkozó rendelkezésekre. A közös felülvizsgálat ütemtervét befolyásolták a Covid19-világjárványhoz kapcsolódó zavarok, valamint az Európa Tanács számítástechnikai bűnözésről szóló budapesti egyezményének második kiegészítő jegyzőkönyvéről folytatott párhuzamos tárgyalások. A Bizottság úgy véli, hogy ennek befejezésére 2022 második felében kerül sor. Az adatvédelmi jogok és kötelezettségek átfogó katalógusát tartalmazó első kétoldalú nemzetközi megállapodásként az adatvédelmi keretmegállapodás referenciapontként szolgál a fontos bűnüldözési partnerekkel kötendő hasonló keretmegállapodásokhoz. Ennek során a Bizottság figyelembe fogja venni a releváns fejleményeket is, beleértve az Európai Adatvédelmi Testület iránymutatását, az EUB ítélkezési gyakorlatát, valamint az e területre vonatkozó adatvédelmi biztosítékokról szóló nemzetközi tárgyalások eredményét (például a Számítástechnikai Bűnözésről szóló Budapesti Egyezmény második kiegészítő jegyzőkönyvét vagy az Új-Zélanddal kötött Europol-megállapodást). Harmadszor, a Bizottság az Európai Unió és Japán közötti, a kölcsönös bűnügyi jogsegélyről szóló megállapodást a bűnüldözési célú adatkezelést (továbbításokat) szabályozó uniós jogi aktusként azonosította, amelyet a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvvel összhangban módosítani kell a megfelelő adatvédelmi garanciák biztosítása érdekében. Miután a Tanács elfogadta az Európai Unió és Japán közötti, a kölcsönös bűnügyi jogsegélyről szóló megállapodás módosítására irányuló tárgyalások megkezdésére való felhatalmazásról szóló határozatot, a Bizottság folytatja a megbeszéléseket a japán hatóságokkal a tárgyalások mielőbbi megkezdése érdekében. Emellett a mai digitális gazdaságban a bűnügyi nyomozások sajátos kihívásaihoz és szükségleteihez igazított egyéb együttműködési formákra is egyre nagyobb mértékben támaszkodnak. Ezek elsősorban a számítástechnikai bűnözés, valamint a bűncselekményekre vonatkozó bizonyítékok elektronikus formában történő gyűjtése terén folytatott megerősített együttműködésre vonatkoznak. Ez az együttműködés magában foglalja a magánfelekkel az elektronikus bizonyítékokhoz való hozzáférés érdekében folytatott közvetlen együttműködést is. A Bizottság nemzetközi partnerekkel is együttműködött annak biztosítása érdekében, hogy ezek az egyéb (fontos) együttműködési formák megfelelő adatvédelmi garanciák alapján valósulhassanak meg. Először is, a Bizottság képviselte az EU-t az Európa Tanács keretében a Számítástechnikai Bűnözésről szóló Budapesti Egyezmény második kiegészítő jegyzőkönyvéről folytatott tárgyalások során . A jegyzőkönyv, amelyet az Európa Tanács Miniszteri Bizottsága 2021. november 17-én hagyott jóvá, erős garanciákat tartalmaz az alapvető jogok védelmére vonatkozóan, többek között egy olyan cikket , amely részletes rendelkezéseket tartalmaz a jegyzőkönyv alapján továbbított személyes adatok védelmére vonatkozólag. Ezek a rendelkezések az uniós jogban elismert valamennyi alapvető adatvédelmi elvre, jogra és kötelezettségre kiterjednek. Ezeket a garanciákat nyomonkövetési rendelkezés egészíti ki, valamint a jegyzőkönyvben foglalt biztosítékok szisztematikus vagy lényeges megsértése – például a hatékony bírósági jogorvoslat hiánya – esetén az adattovábbítás felfüggesztésének lehetősége. E rendelkezések révén megfelelő garanciákat nyújt a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 37. cikke (1) bekezdésének a) pontjában foglalt követelményekkel összhangban . Ez jelentős eredmény, tekintettel a Budapesti Egyezmény sokszínű tagságára, amelynek jelenleg 66 állama van, amelyek különböző jogi háttérrel és hagyományokkal rendelkeznek. Lehetővé teszi a tagállamok illetékes hatóságai számára, hogy kihasználják a számítástechnikai bűnözés elleni küzdelem terén folytatott hatékony, határokon átnyúló együttműködés előnyeit, miközben biztosítja az EU Alapjogi Chartájában, az uniós szerződésekben és az EU másodlagos jogában tükröződő uniós értékek tiszteletben tartását. Tekintettel a jelenleg a világ országait is magában foglaló Budapesti Egyezmény részes feleinek nagy számára, a jegyzőkönyv a bűnüldözés területén az adatkezelésre vonatkozó magas szintű adatvédelmi normák globális szintű előmozdítását is elő fogja segíteni. A jegyzőkönyvet 2022. május 12-én nyitották meg aláírásra, és a Budapesti Egyezménynek összesen 22 részes fele (köztük 13 uniós tagállam) már aláírta azt. Másrészt a Bizottság tárgyalásokat kezdeményezett az Egyesült Államokkal kötendő, a büntetőügyekben folytatott igazságügyi együttműködés keretében az elektronikus bizonyítékokhoz való, határokon átnyúló hozzáférésről szóló megállapodásról. Ez a megállapodás a nem személyes és a személyes adatok – többek között a forgalmi és tartalmi adatok – formájában megjelenő elektronikus bizonyítékokra is kiterjed. Fontos, hogy a tárgyalások további adatvédelmi garanciákkal egészüljenek ki, amelyek kiegészítenék az adatvédelmi keretmegállapodásban foglaltakat, figyelembe véve különösen az érintett adatkategóriák érzékenységét, valamint az elektronikus bizonyítékok szolgáltatók általi közvetlen továbbítására vonatkozó követelményeket. A tárgyalások előrehaladása nagymértékben függ majd az elektronikus bizonyítékokról szóló uniós csomaggal kapcsolatos, folyamatban lévő jogalkotási folyamat előrehaladásától . Az Európai Adatvédelmi Testület és az európai adatvédelmi biztos munkája támogatta a Bizottság e különböző kezdeményezéseit, amelyek célja olyan nemzetközi eszközök kidolgozása, amelyek megkönnyítik a nemzetközi partnerekkel folytatott bűnüldözési együttműködést, miközben biztosítják a megfelelő adatvédelmi garanciákat is. Ez a munka magában foglalja az Európai Adatvédelmi Testületnek a Budapesti Egyezmény második kiegészítő jegyzőkönyvének tervezetéről szóló nyilatkozatát , valamint az európai adatvédelmi biztos véleményét az EUMSZ 218. cikke szerinti olyan nemzetközi megállapodásokra vonatkozó tárgyalási megbízások tervezetéről, amelyek lehetővé tennék az Europol és az Eurojust számára, hogy személyes adatokat cseréljenek harmadik országokkal vagy nemzetközi szervezetekkel . Az Európai Adatvédelmi Testület emellett nyilatkozatot adott ki, amelyben felkérte a tagállamokat, hogy értékeljék és szükség esetén vizsgálják felül a személyes adatok nemzetközi továbbításával járó nemzetközi megállapodásokat . Ez a nyilatkozat a 2016. május 6. előtt kötött megállapodásokra vonatkozik, többek között a bűnüldözés területén, és felkéri a tagállamokat annak meghatározására, hogy szükség van-e az uniós adatvédelmi jogszabályokkal és ítélkezési gyakorlattal való további összehangolásra.

A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 37. cikke lehetővé teszi az illetékes hatóság arra vonatkozó önértékelésén alapuló nemzetközi adattovábbítást is, hogy egy harmadik ország (vagy nemzetközi szervezet) rendelkezik-e megfelelő adatvédelmi garanciákkal. Ezekben az esetekben a hatóságnak dokumentálnia kell a továbbítást (beleértve annak dátumát és időpontját, az átvevő hatóságra vonatkozó információkat, a továbbítás indokolását és a továbbított személyes adatokat), és a dokumentációt kérésre a felügyeleti hatóság rendelkezésére kell bocsátani (a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 37. cikkének (3) bekezdése). A tagállamok visszajelzései azt mutatják, hogy ezt az eszközt ritkán használták. Annak érdekében, hogy a tagállamok teljes mértékben kihasználhassák a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv továbbítási eszköztárát, fontos, hogy az Európai Adatvédelmi Testület fokozza a különböző adattovábbítási mechanizmusokkal kapcsolatos, folyamatban lévő munkáját. Többek között iránymutatást kell nyújtania a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 37. cikkének (1) bekezdésében foglalt mechanizmusokról, különösen az illetékes hatóságok önértékelésén alapuló adattovábbításokról. A Tanács ennek szükségességét is hangsúlyozta. 3.5.3Az eltérések alkalmazása Végül az úgynevezett „eltérések” fontos alapot jelentenek a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 38. cikkében meghatározott bizonyos feltételek melletti továbbításhoz. Ezek a feltételek egyensúlyt teremtenek az adatvédelmi szempontok és az illetékes hatóságok operatív igényei között. A 38. cikk (1) bekezdése lehetővé teszi különösen a személyes adatok továbbítását, sőt a továbbítások kategóriáit is, amennyiben ez a közbiztonságot fenyegető közvetlen és súlyos veszély megelőzése, illetve egyedi esetekben bűncselekmények megelőzése, nyomozása, felderítése vagy büntetőeljárás alá vonása érdekében szükséges. Az általános adatvédelmi rendelet 49. cikke szerinti eltérésekkel ellentétben jelenleg nincs iránymutatás a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 38. cikke szerinti eltérésekre vonatkozóan. 3.5.4Hatékony, határokon átívelő rendőrségi és igazságügyi együttműködés A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv a bűnüldözés területén az adatvédelem nemzetközi referenciapontjává vált, és katalizátorként szolgál a világ országai számára, hogy fontolóra vegyék korszerű adatvédelmi szabályok bevezetését ezen a területen. Ez nagyon pozitív fejlemény, amely új lehetőségeket teremt az egyének hatékonyabb védelmére az EU-ban, amikor adataikat bűnüldözési célból külföldre továbbítják, ugyanakkor megkönnyíti az adatáramlást, amely segíthet a bűnözés elleni küzdelemben. Még általánosabban fontos biztosítani, hogy amikor az európai piacon aktív vállalatok közvetlen együttműködési kérelmeket kapnak az adatok bűnüldözési célokból történő megosztására, ezt megtehessék az uniós alapjogok teljes körű betartása mellett és anélkül, hogy kollízióval szembesüljenek . Az ilyen adattovábbítások javítása céljából a Bizottság elkötelezett amellett, hogy megfelelő jogi kereteket alakítson ki nemzetközi partnereivel, hogy elkerülje a kollíziót és támogassa az együttműködés tényleges formáit, nevezetesen azáltal, hogy előírja a szükséges adatvédelmi garanciákat, és ezáltal hozzájárul a bűnözés elleni hatékonyabb küzdelemhez. Ennek fényében a Bizottság kétoldalú, regionális és többoldalú keretek között is aktívan előmozdította a bűnüldözési együttműködésre vonatkozó adatvédelmi normák nemzetközi konvergenciáját. Az adatvédelmi jogszabályok reformjával kapcsolatos, számos partnerországgal folytatott párbeszédeik során a bizottsági szolgálatok különböző utakat követtek az illetékes hatóságok általi személyesadat-kezelés szabályainak fejlesztésével kapcsolatban (pl. beadványok a nyilvános konzultációkra válaszul, részvétel parlamenti meghallgatásokon, valamint külön megbeszélések a kormányzati képviselőkkel és szakpolitikai döntéshozókkal). A regionális és többoldalú keretek között a Bizottság például kapacitásépítési projekteket támogat az Európa Tanács Számítástechnikai Bűnözésről szóló Budapesti Egyezményének végrehajtásával összefüggésben . Ezek a projektek magukban foglalják a GLACY+ programot, amelynek célja az államok kiberbűnözési jogszabályok alkalmazására vonatkozó kapacitásának megerősítése, valamint a Budapesti Egyezménnyel és annak kiegészítő jegyzőkönyveivel összhangban a hatékony nemzetközi együttműködésre való képességük fokozása. Ez magában foglalja az e területen történő adatkezelésre vonatkozó adatvédelmi jogszabályok kidolgozását is. A program jelenleg 17 kiemelt és központi országot támogat Afrikában, az ázsiai és csendes-óceáni térségben, Latin-Amerikában és a karibi térségben. A Bizottság az Ameripollal, egy 18 latin-amerikai országot tömörítő rendőrségi együttműködési szervezettel is együttműködött az Ameripol és tagállamai közötti információcserét szolgáló adatvédelmi keret kidolgozása keretében. Erre a szerepvállalásra az EL PAcCTO-n keresztül kerül sor: ez az Ameripolt támogató projekt, amelynek célja a partnerországok rendőri, igazságügyi és ügyészi szervei közötti nemzetközi együttműködés szintjének javítása a szervezett bűnözés elleni küzdelem terén. A Bizottság támogatja továbbá a személyes adatok gépi feldolgozása során az egyének védelméről szóló, 108. sz. Egyezményt (az ún. korszerűsített 108. sz. Egyezmény), amely a bűnüldözési célú adatkezelési tevékenységekre is alkalmazandó. Ez az Egyezmény, amely az Európa Tanácsban tagsággal nem rendelkezők számára is nyitva áll, nemcsak azért fontos, mert ez az egyetlen kötelező erejű többoldalú adatvédelmi megállapodás, hanem azért is, mert az Egyezmény bizottságán keresztül fórumot biztosít a bevált gyakorlatok cseréjéhez és a globális normák meghatározásához . Az adatáramlásra vonatkozó nemzetközi stratégiájának részeként a Bizottság arra ösztönzi a harmadik országokat, hogy csatlakozzanak a korszerűsített 108. egyezményhez. Végezetül a Bizottság nagyobb konvergenciára ösztönöz nemzetközi szinten a bűnüldözés terén folytatott együttműködés adatvédelmi szempontjaival kapcsolatos tapasztalataink partnerekkel való megosztása terén. A Bizottság „Adatvédelmi Akadémiája”, amely a Külpolitikai Eszköz által finanszírozott „Nemzetközi digitális együttműködés – fokozott adatvédelem és adatáramlás” projekt részét képezi, e törekvés kulcsfontosságú eszköze. Az Akadémiát azzal a céllal hozták létre, hogy előmozdítsa az európai és a harmadik országbeli szabályozó hatóságok közötti információcserét, és javítsa a helyszíni együttműködést. Az Akadémia tevékenységei az adatvédelmi felügyelet valamennyi aspektusára kiterjednek, beleértve a bűnüldözés területét is. 4További teendők A személyes adatok védelméhez való alapvető jogot teljes mértékben tiszteletben tartó hatékony uniós biztonságpolitika biztosítása érdekében a Bizottság továbbra is ellenőrizni fogja, hogy a tagállamok helyesen ültették-e át a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet, és figyelemmel fogja kísérni rendelkezéseinek alkalmazását. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv jelentősen hozzájárult az egyének jogainak összehangoltabb és magasabb szintű védelméhez, valamint az illetékes hatóságok egységesebb jogi keretéhez. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet általában kielégítő módon ültették át, de számos problémát azonosítottak. A Bizottság már indított kötelezettségszegési eljárásokat mind az átültetés elmaradása, mind a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvnek való megfelelés hiánya miatt. Folytatni fogja a munkát a teljes körű és helyes átültetés biztosítása érdekében. A bűnüldözésben érvényesítendő adatvédelemről szóló irányelv azt eredményezte, hogy az illetékes nemzeti hatóságok nagyobb tudatosságot és figyelmet fordítottak az adatvédelemre, többek között az adatkezelés biztonsága tekintetében is. Az adatvédelmi felügyeleti hatóságok általi aktív felügyelet kulcsfontosságú annak biztosításához, hogy a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv célkitűzései a gyakorlatban teljesüljenek. Ezért a hatóságok számára biztosítani kell a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv által megkövetelt valamennyi hatáskört, a megfelelő erőforrásokkal együtt. Ebben a szakaszban a bűnüldözésben érvényesítendő adatvédelemben rejlő lehetőségek teljes körű kiaknázására kell összpontosítani. Ebben az összefüggésben és az új szabályokkal kapcsolatos korlátozott tapasztalatokra tekintettel a Bizottság úgy véli, hogy túl korai lenne fontolóra venni a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv felülvizsgálatát. A Bizottság továbbra is aktívan együtt fog működni valamennyi érintett féllel a 2026-ig esedékes következő értékelés távlatában. Eközben folytatni fogja a személyes adatok bűnüldözési célú kezelése szempontjából releváns egyéb uniós jogszabályokkal való összhang biztosítására irányuló munkát.

Jogi keret A Bizottság: -folytatja a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv tagállamok általi átültetésének értékelését, és szükség esetén megteszi a megfelelő intézkedéseket (ideértve a kötelezettségszegési eljárások megindítását is), -kétoldalú információcserét folytat a tagállamokkal, -biztosítja, hogy a jövőbeli jogalkotási javaslatok összhangban legyenek a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvvel. A tagállamok feladata: -biztosítják a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv nemzeti szintű teljes körű és helyes átültetését, többek között a bűnüldözésben érvényesítendő adatvédelemmel kapcsolatos szükséges követelmények meghatározása révén, amennyiben a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvet átültető nemzeti jogszabályok ezt nem teszik meg. Az adatvédelmi felügyeleti hatóságok általi felügyelet A tagállamok feladata: -elegendő erőforrást biztosítanak az adatvédelmi felügyeleti hatóságok számára a bűnüldözésben érvényesítendő adatvédelemre vonatkozó feladataik ellátásához, -biztosítják, hogy az adatvédelmi felügyeleti hatóságok gyakorolhassák a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvben meghatározott valamennyi hatáskört, -rendszeresen konzultálnak adatvédelmi felügyeleti hatóságaikkal a személyes adatok védelmével kapcsolatos, általánosan alkalmazandó jogszabálytervezetekről és közigazgatási intézkedésekről, és megfelelően figyelembe veszik véleményüket (különösen az új technológiák esetében). A Bizottság felkéri az adatvédelmi felügyeleti hatóságokat, hogy: -teljes mértékben használják ki vizsgálati hatáskörüket, többek között saját kezdeményezésű vizsgálatok lefolytatása révén, -gyűjtsenek konkrét statisztikákat a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv szerinti felügyeleti tevékenységeikről, -használják a kölcsönös segítségnyújtási eszközöket, és dolgozzanak ki gyakorlati intézkedéseket a segítségnyújtás iránti megkeresések megkönnyítésére, többek között az Európai Adatvédelmi Testület tervezett iránymutatásain keresztül. A Bizottság felkéri az Európai Adatvédelmi Testületet, hogy: -bővítse ki a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvhez kapcsolódó feladatokkal kapcsolatos szakértői támogatói bázist. Támogató illetékes hatóságok A Bizottság:

-elősegíti a tagállamok és a Bizottság közötti megbeszéléseket és tapasztalatcserét a bűnüldözésben érvényesítendő adatvédelemről szóló irányelvvel foglalkozó tagállami szakértői csoportban, -megkönnyíti az adatvédelmi tisztviselők közötti eszmecserét az adatvédelmi tisztviselők hálózatán keresztül. A Bizottság felkéri a tagállamokat, hogy: -folytassák az arra irányuló erőfeszítéseket, hogy képzést nyújtsanak az illetékes hatóságoknak az adatvédelmi követelményekről, többek között az új technológiákkal kapcsolatban is. A Bizottság felkéri az Európai Adatvédelmi Testületet és az adatvédelmi felügyeleti hatóságokat, hogy: -fokozzák a vonatkozó iránymutatások elfogadására irányuló erőfeszítéseiket (pl. a hozzájárulásnak a személyes adatok bűnüldözési célú kezelésével összefüggésben betöltött szerepéről, valamint az érintettek jogairól és esetleges korlátozásairól), vagy új önálló iránymutatások elfogadásával, vagy az általános adatvédelmi rendelet tekintetében már elfogadott iránymutatások kiegészítésével. Határokon átívelő adattovábbítások A Bizottság szándékában áll, hogy: -aktívan előmozdítsa az esetleges új megfelelőségi határozatokat a kulcsfontosságú nemzetközi partnerekkel, -új együttműködési megállapodásokról tárgyaljon egyrészről az Europol és az Eurojust, másrészről harmadik országok között. Szükség esetén törekedni fog az Europol meglévő együttműködési megállapodásainak újratárgyalására annak biztosítása érdekében, hogy azok megfelelő adatvédelmi garanciákat tartalmazzanak, -tárgyalásokat kezdjen Japánnal a kölcsönös jogsegélyről szóló, az EU és Japán közötti hatályos megállapodás módosítása céljából a megfelelő adatvédelmi garanciák biztosítása érdekében, -a büntetőügyekben folytatott igazságügyi együttműködés céljából az elektronikus bizonyítékokhoz való határokon átnyúló hozzáférésről szóló kétoldalú megállapodásra irányuló tárgyalásokat folytasson és zárjon le az Egyesült Államokkal, többek között az EU–USA-keretmegállapodás által garantált adatvédelmi garanciák kiegészítése révén, a bűnüldöző hatóságok és a szolgáltatók közötti közvetlen együttműködés sajátos kontextusának tükrözése érdekében, -az EU–USA-keretmegállapodás példájára építve megvizsgálja a bűnüldözés területén történő adatkezelésre vonatkozó adatvédelmi keretmegállapodások megkötésének lehetőségét a bűnüldöző szervek fontos partnereivel. A Bizottság felkéri az Európai Adatvédelmi Testületet, hogy: -fogadjon el iránymutatásokat a „megfelelő garanciák” fogalmának és tartalmának (a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 37. cikke), valamint az eltérések alkalmazásának (a bűnüldözésben érvényesítendő adatvédelemről szóló irányelv 38. cikke) további pontosítása érdekében. A konvergencia előmozdítása és a nemzetközi együttműködés kialakítása A Bizottság: -kibővíti a nemzetközi partnerekkel folytatott együttműködését annak érdekében, hogy megerősítse az adatvédelmi szabályok közelítését a bűnüldözés területén, többek között a korszerűsített 108. sz. Egyezményhez való csatlakozás előmozdítása révén, amely az egyetlen kötelező erejű globális adatvédelmi megállapodás, -előmozdítja a kétoldalú, regionális és többoldalú együttműködést, valamint kapacitásépítési projekteket támogat az adatvédelem és a rendőrségi együttműködés területén. Ez magában foglalja a képzést, valamint az ismeretek és a bevált gyakorlatok cseréjét az Adatvédelmi Akadémián keresztül. A Bizottság felkéri a tagállamokat arra, hogy: