A bizalom biztosítása és a személyes adatok védelme iránti igény minden bizonnyal nem korlátozódik az EU-ra. A természetes személyek világszerte egyre inkább értékelik a magánélet és az adataik biztonságának értékét. Ahogyan egy nemrégiben készített nemzetközi felmérés rávilágít, ezt fontos tényezőnek tartják, amely befolyásolja a vásárlással kapcsolatos döntéseiket és az online viselkedésüket. Egyre több vállalat reagál erre az adatvédelmi igényre többek közt azzal, hogy kiterjeszti a GDPR-ban előírt jogok és garanciák egy részét a nem uniós ügyfeleire is. Számos vállalkozás ezenkívül versenyelőnyt jelentő, megkülönböztető elemként és a nemzetközi piacon ütőkártyaként alkalmazza a természetes adatok tiszteletben tartásának előmozdítását azáltal, hogy innovatív termékeket és szolgáltatásokat kínál új adatvédelmi vagy adatbiztonsági megoldásokkal. Ezenkívül a magán- és állami ágazati szereplők nagymértékű adatgyűjtés és -kezelés iránti megnövekedett képessége fontos és összetett kérdéseket vet fel, amelyek egyre inkább a nyilvános vita középpontjába emelik a magánélet védelmét a világ különböző pontjain.

Az adatstratégia valódi egységes adatpiac, azaz az „egységes európai adattér”, valamint tíz ágazati közös európai adattér létrehozására szólít fel, amelyek fontosak az zöld és digitális kettős átállás szempontjából. Mindezen prioritások tekintetében kulcsfontosságú a biztonságos adatmegosztásra és az adatok fokozott rendelkezésre állására vonatkozó egyértelmű és működőképes szabályozás. Az adatstratégia bejelentette a Bizottság azon szándékát is, hogy a jövőbeli jogalkotásban feltárja, hogyan lehet lehetővé tenni a nyilvános adatbázisokban tárolt adatok tudományos kutatási célokra történő felhasználását a GDPR-nak megfelelő módon. Az adattereket európai felhőszövetségnek kell támogatnia, amely a GDPR-nak megfelelő adatkezelési és felhő-infrastruktúrával kapcsolatos szolgáltatásokat nyújt. A GDPR biztosítja a személyes adatok magas szintű védelmét, valamint a természetes személyek központi szerepét valamennyi adattérben, továbbá megadja a különböző megközelítések megvalósításához szükséges rugalmasságot.

A GDPR, amely 2018. május 25. óta alkalmazandó, az adatvédelemhez való alapvető jogot biztosító uniós keretrendszer középpontja, ahogyan az az Európai Unió Alapjogi Chartájában (8. cikk) és a Szerződésekben szerepel (az Európai Unió működéséről szóló szerződés, „EUMSZ” 16. cikke). A GDPR megerősítette az adatvédelmi garanciákat, erősebb jogokat és megnövekedett átláthatóságot nyújt a természetes személyeknek, valamint biztosítja, hogy mindazok, akik a hatályán belül személyes adatokat kezelnek, elszámoltathatók és felelősek legyenek. A független adatvédelmi hatóságokat erősebb és összehangoltabb végrehajtási jogkörökkel ruházza fel, és új irányítási rendszert hoz létre. Ezenkívül egyenlő versenyfeltételeket teremt az uniós piacon működő valamennyi vállalat számára, függetlenül attól, hol jöttek létre, továbbá biztosítja az adatok szabad áramlását az EU-n belül, ezáltal is megerősítve a belső piacot.

Annak ellenére, hogy az értékelés és felülvizsgálat a GDPR 97. cikkének (2) bekezdésében kiemelt két kérdésre, nevezetesen a nemzetközi adattovábbításokra, valamint az együttműködési és egységességi mechanizmusokra összpontosít, szélesebb megközelítést alkalmaz, hogy azokkal a problémákkal is foglalkozzon, amelyeknek az elmúlt két évben számos szereplő hangot adott.

2Főbb megállapítások

A GDPR végrehajtása és az együttműködési és egységességi mechanizmusok működése

A GDPR innovatív irányítási rendszert hozott létre, amely a tagállamok független adatvédelmi hatóságain és a köztük határokon átnyúló ügyekben és az Európai Adatvédelmi Testületen (a „Testület”) belül folytatott együttműködésen alapul. Az általános vélemény szerint az adatvédelmi hatóságok kiegyensúlyozottan használták megerősített korrekciós hatáskörüket, beleértve a figyelmeztetéseket és elmarasztalásokat, a bírságokat, valamint az ideiglenes vagy végleges adatkezelési korlátozásokat. A Bizottság megjegyzi, hogy a hatóságok néhány ezer eurótól több millió euróig terjedő közigazgatási bírságokat alkalmaztak a szabálysértés súlyosságától függően. Az egyéb szankcióknak, mint az adatkezelés tilalmának legalább ugyanakkora, ha nem nagyobb elrettentő hatása lehet, mint a bírságoknak. A GDPR végső célja a kultúra és az összes érintett szereplő viselkedésének a természetes személyek számára kedvező átalakítása. Az adatvédelmi hatóságok korrekciós hatáskörének alkalmazásával kapcsolatos részletesebb információk megtalálhatók a kísérő bizottsági szolgálati munkadokumentumban.

Bár még korai teljes körűen értékelni az új együttműködési és egységességi mechanizmusok működését, az adatvédelmi hatóságok az egységességi mechanizmuson és a kölcsönös segítségnyújtás nagymértékű alkalmazásán keresztül kialakították az együttműködésüket. Az egységességi mechanizmust, amely a belső piac kulcsfontosságú eszköze, számos, határokon átnyúló ügyben alkalmazzák. Jelenleg függőben vannak határokon átívelő dimenzióval rendelkező fontos döntések, amelyekre az egységességi mechanizmus alkalmazandó lesz. Ezek a döntések, amelyek gyakran multinacionális, nagy technológiai vállalatokra vonatkoznak, számos tagállamban jelentős hatással lesznek a természetes személyek jogaira.

Mindazonáltal az adatvédelmi hatóságok közötti, valóban közös európai adatvédelmi kultúra kialakításának folyamat továbbra sem fejeződött be. Az adatvédelmi hatóságok még nem használták ki teljes mértékben a GDPR által nyújtott eszközöket, például a közös műveleteket, amelyek közös vizsgálatokhoz vezethetnek. Néha a közös megközelítés megtalálása egyet jelentett a legkisebb közös nevező felé való elmozdulással, és ennek eredményeként a nagyobb harmonizáció előmozdítására irányuló lehetőségek nem lettek kiaknázva.

További előrehaladásra van szükség annak érdekében, hogy a határokon átnyúló ügyek kezelése hatékonyabb és EU-szerte összehangoltabb legyen, többek közt eljárási szempontból, például az olyan kérdésekkel kapcsolatban, mint a panaszkezelési eljárások, a panaszok elfogadhatóságára vonatkozó kritériumok, az eljárások időtartama a nemzeti közigazgatási eljárásjogban meghatározott különböző határidők vagy azok hiánya miatt, az a pont az eljárás során, amikor a meghallgatáshoz való jogot megadják, vagy a panaszt benyújtók tájékoztatása és bevonása az eljárás során. A Testület által ezzel kapcsolatban elindított gondolkodási folyamat üdvözlendő, és a Bizottság is részt vesz ezeken a megbeszéléseken.

A Testület tevékenységei és iránymutatása kulcsfontosságúak a Testület és az érdekelt felek közötti tapasztalatcserék folyamatos továbbfejlesztése szempontjából. 2019 végéig a Testület 67 dokumentumot fogadott el, beleértve 10 új iránymutatást és 43 véleményt. Az érdekelt felek általánosságban üdvözlik a Testület iránymutatásait, és továbbiakat kérnek a GDPR kulcsfogalmaival kapcsolatban, azonban rámutatnak a nemzeti iránymutatások és a Testület iránymutatásai közötti ellentmondásokra is. Hangsúlyozzák a gyakorlatibb jellegű tanácsadás iránti igényt, különösen a konkrétabb példák tekintetében, valamint az adatvédelmi hatóságok azon igényét, hogy rendelkezzenek a feladataik hatékony ellátásához szükséges emberi, műszaki és pénzügyi erőforrásokkal.

A Bizottság rendszeresen hangsúlyozta a tagállamok azon kötelességét, miszerint elegendő emberi, pénzügyi és műszaki erőforrást kell biztosítaniuk a nemzeti adatvédelmi hatóságok számára. A legtöbb hatóságnál 2016 és 2019 között nőtt a személyzet száma és a költségvetés, az ír, a holland, az izlandi, a luxemburgi és a finn hatóságok részesültek a legnagyobb személyzeti bővülésben. Mivel a legnagyobb technológiai multinacionális cégek Írországban és Luxemburgban rendelkeznek tevékenységi központtal, ezen országok adatvédelmi hatóságai számos, határokon átnyúló ügyben vezető hatóságként járnak el, és nagyobb erőforrásokat igényelhetnek a lakosságuk alapján elvárhatóhoz képest. Mindazonáltal a helyzet továbbra is egyenlőtlen a tagállamok között, és összességében egyáltalán nem kielégítő. Az adatvédelmi hatóságok elengedhetetlen szerepet játszanak abban, hogy a GDPR végrehajtása biztosított legyen nemzeti szinten, és hogy a Testületen belüli együttműködési és egységességi mechanizmusok hatékonyan működjenek, beleértve különösen a határokon átívelő ügyekben alkalmazott egységességi mechanizmust. A tagállamoknak ezért biztosítaniuk kell számukra a GDPR-ban előírt megfelelő erőforrásokat.

Összehangolt szabályok, azonban továbbra is bizonyos fokú széttagoltság és eltérő megközelítések

A Bizottság nyomon követi a GDPR nemzeti jogalkotásban történő végrehajtását. E jelentés idején Szlovénia kivételével valamennyi tagállam új jogszabályt fogadott el, vagy módosította nemzeti adatvédelmi törvényét. Szlovénia felszólítást kapott arra, hogy tájékoztatást nyújtson a Bizottságnak a folyamat véglegesítéséről.

A GDPR előírja, hogy EU-szerte összehangolt módon kell megközelíteni az adatvédelmi szabályokat. Mindazonáltal arra kötelezi a tagállamokat, hogy egyes területeken jogszabályokat alkossanak, és biztosítja számukra azt a lehetőséget, hogy más területeken tovább pontosítsák a GDPR-t. Ennek eredményeként továbbra is fennáll bizonyos fokú széttagoltság, ami nevezetesen a fakultatív előírásokból fakad. Például a tagállamok között az információs társadalommal összefüggő szolgáltatásokkal kapcsolatban a gyermekek beleegyezési korhatára tekintetében fennálló különbség elbizonytalanítják a gyermekeket és szüleiket adatvédelmi jogaik egységes piacon történő alkalmazását illetően. Ez a széttagoltság kihívásokat is teremt a határokon átívelő üzletvitel és innováció terén, különös tekintettel az új technológiai fejleményekre és kiberbiztonsági megoldásokra. A belső piac hatékony működése és a vállalatokra nehezedő, szükségtelen terhek elkerülése érdekében továbbá elengedhetetlen, hogy a nemzeti jogszabályok ne haladják meg a GDPR által meghatározott kereteket, vagy ne vezessenek be további követelményeket ott, ahol nincsenek keretek.

A nemzeti jogalkotás számára külön kihívás a személyes adatok védelméhez való jog és a véleménynyilvánítás és a tájékozódás szabadságának egyeztetése, valamint az e jogok közötti megfelelő egyensúly kialakítása. Egyes nemzeti jogszabályok a véleménynyilvánítás szabadsága elsőbbségének elvét határozzák meg, míg mások a személyes adatok védelmének elsőbbségét, és az adatvédelmi szabályok alól csak bizonyos helyzetekben mentenek fel, például amikor közszereplőről van szó. Végezetül más tagállamok a jogalkotó általi egyensúlyteremtést és/vagy eseti alapú értékelést írnak elő a GDPR egyes rendelkezéseitől való eltérés tekintetében.

A Bizottság folytatni fogja a nemzeti jogalkotás értékelését. Az egyeztetést jogszabálynak kell előírnia, be kell tartania az alapvető jogokat, és arányosnak és szükségesnek kell lennie. Az adatvédelmi szabályok (valamint azok értelmezése és alkalmazása) nem hathatnak ki a véleménynyilvánítás és tájékozódás szabadságának gyakorlására, például azzal, hogy elrettentő hatást hoznak létre vagy nyomást gyakorolnak az újságírókra, hogy megosszák forrásaikat. Az e két jog közötti egyensúly nemzeti jogszabályok általi megteremtésének keretét a Bíróság és az Emberi Jogok Európai Bíróságának ítélkezési gyakorlatának kell adnia.

A tagállami jogalkotások a feltételek és a garanciák szintje terén, beleértve az egészségügyi és kutatási célokat, különböző megközelítéseket alkalmaznak, amikor végrehajtják a személyes adatok különleges kategóriáinak kezelésére vonatkozó általános tilalomtól való eltérést. E probléma kezelése érdekében a Bizottság első lépésként feltérképezi a tagállamok különböző megközelítéseit, következő lépésként pedig támogatni fogja a magatartási kódex(ek) létrehozását, amelyek hozzájárulnának az e tekintetben alkalmazandó egységesebb megközelítéshez, és megkönnyítenék a személyes adatok határokon átívelő kezelését. Ezenkívül a Testületnek a személyes adatok tudományos kutatás terén való felhasználásáról szóló jövőbeli iránymutatásai is hozzá fognak járulni az összehangolt megközelítéshez. A Bizottság információkat fog nyújtani a Testületnek, különösen az egészségügyi kutatásokkal kapcsolatban, többek közt konkrét kérdések és a kutatói közösségtől kapott egyes forgatókönyvek elemzésének formájában.





A természetes személyek felhatalmazása arra, hogy rendelkezzenek saját adataik felett

Egy alapjogi felmérés szerint a 16 éves kor feletti uniós lakosság 69 %-a hallott a GDPR-ról, és az uniós lakosság 71 %-a tud a nemzeti adatvédelmi hatóságáról.

A természetes személyek egyre inkább tisztában vannak jogaikkal: a személyes adataikhoz való hozzáférés jogával, a helyesbítéshez, a törléshez, a személyes adatok hordozhatóságához való joggal, az adatkezelés elleni tiltakozáshoz való joggal, valamint a nagyobb átláthatósággal. A GDPR megerősítette az eljárási jogokat, és magában foglalja az adatvédelmi hatóságnál való panasztétel jogát, többek közt képviseleti kereset útján, valamint a bírósági jogorvoslathoz való jogot. A természetes személyek egyre inkább használják ezeket a jogokat, azonban meg kell könnyíteni azok gyakorlását és teljes körű érvényesítését. A Testület által vezetett gondolkodás egyértelműsíteni fogja és meg fogja könnyíteni a természetes személyek jogainak gyakorlását, míg a képviseleti eljárásokról szóló irányelv elfogadását követően várhatóan lehetővé teszi a természetes személyek számára, hogy kollektív keresetet nyújtsanak be bármely tagállamban, és csökkenteni fogja a határokon átívelő keresetek költségeit.

Az adathordozhatósághoz való jogban egyértelmű potenciál rejlik, azonban továbbra sincs teljes mértékben kiaknázva annak érdekében, hogy az adatgazdaság középpontjába a természetes személyek kerüljenek azáltal, hogy lehetővé válik számukra a különböző szolgáltatók közötti váltás, a különböző szolgáltatások egyesítése, az innovatív szolgáltatások igénybevétele, valamint a leginkább adatvédelem-barát szolgáltatások választása. Ez közvetve elő fogja segíteni a versenyt és támogatni fogja az innovációt. E potenciál kiaknázása a Bizottság egyik prioritása, különösen mivel az „Internet of Things” eszközök megnövekedett használatával a fogyasztók egyre több adatot generálnak, és ezáltal a tisztességtelen gyakorlatok és „bezártsági hatások” veszélyével kell szembenézniük. A hordozhatóság jelentős előnyökkel járhat az egészséggel és a jóléttel, a csökkentett ökológiai lábnyommal, valamint az állami és magánszolgáltatásokhoz való hozzáféréssel, a megnövekedett gyártási termelékenységgel és a jobb termékminőséggel és -biztonsággal kapcsolatban.