HU Az Európai Unió Hivatalos Lapja C 463/10

Összefoglaló az európai adatvédelmi biztosnak a Személyes Információszervezési Rendszerekről szóló véleményéről

(A vélemény teljes szövege angol, francia és német nyelven megtalálható az európai adatvédelmi biztos honlapján: www.edps.europa.eu)

(2016/C 463/10)

Ez a vélemény megvizsgálja azon technológiák és rendszerek koncepcióját, amelyek célja, hogy az egyén számára biztosítsák a személyes adataik megosztása feletti felügyeletet (a továbbiakban: személyes információszervezési rendszer, rövidítve PIMS).

Az az elképzelésünk, hogy létrehozzunk egy olyan új valóságot, ahol az egyének szervezik és kezelik online személyiségüket. A célunk az, hogy átalakítsuk a jelenlegi szolgáltatóközpontú rendszert egy emberközpontú rendszerré, ahol az egyének védve vannak a jogellenes adatkezelés és a zaklató nyomonkövetési és profilalkotási technológiák ellen, amelyek célja az adatvédelem elsődleges elveinek megkerülése.

Ennek az új modellnek a kialakítását a modernizált uniós szabályozási keret és azok a lehetőségek teszik lehetővé, amelyeket a különféle felügyeleti és szabályozó hatóságok általi egységes végrehajtás biztosít.

A közelmúltban elfogadott általános adatvédelmi rendelet (a továbbiakban: adatvédelmi rendelet) megerősíti és korszerűsíti a szabályozási keretrendszert, hogy az az óriásméretű adathalmazok korszakában is hatékony maradjon, az egyének online és az egységes digitális piacon tanúsított bizalmának megerősítése révén. Ezek az új szabályok, pl. a nagyobb átláthatóság, a hozzáféréshez és az adatok hordozhatóságához való jogok több lehetőséget adnak a felhasználóknak az adataik feletti ellenőrzéshez, és hozzájárulhatnak a személyes adatok hatékonyabb piacaihoz, amely a fogyasztók és a vállalkozások javát is szolgálná.

Nemrégiben kiadtunk egy véleményt az alapvető jogoknak az óriásméretű adathalmazok korában történő hatékony betartatásáról. Ez rámutat azokra a jelenlegi piaci feltételekre és üzleti gyakorlatokra, amelyek akadályt gördítenek az egyének jogainak személyes adataik, valamint egyéb alapvető jogaik védelmére történő hatékony gyakorlása útjába, és a versenyjogi, fogyasztóvédelmi és adatvédelmi jogi szabályok összehangolt és következetes végrehajtásának fokozására szólít fel. Reméljük, hogy ez a megerősített végrehajtás olyan piaci körülményeket teremt, ahol a magánélet védelmét tiszteletben tartó vállalkozások prosperálni tudnak. Jelen vélemény megközelítésének célja az alapvető jogok megerősítése digitális világunkban, miközben új lehetőségeket is nyit a vállalkozások számára, hogy a kölcsönös bizalomra épülő, személyes adatokon alapuló, innovatív szolgáltatásokat fejlesszenek. A PIMS-ek nem csupán új adatkezelési technikai szerkezetet és szervezetet ígérnek, de egyben bizalmi kereteket is, és ennek eredményeként alternatív üzleti modelleket a személyes adatok gyűjtésére és kezelésére az óriásméretű adathalmazok korában oly módon, hogy nagyobb mértékben tiszteletben tartsák az uniós adatvédelmi jogot.

Ebben a véleményben röviden bemutatjuk, mi az a PIMS, milyen problémák megoldására szolgál, és hogyan. Ezután elemezzük, hogy hogyan tudnak hozzájárulni a személyes adatok jobb védelméhez és milyen kihívásokkal kell szembenézniük. Végül beazonosítjuk a továbblépés útjait, hogy építhessünk az általuk kínált lehetőségekre. Ahhoz, hogy az új adatvédelmi üzleti modellek prosperálni tudjanak, további kedvezményeket kell tennünk azoknak a szolgáltatóknak, akik azokat kínálják. Különösen vizsgálni szükséges, mely szakpolitikai kezdeményezések alkalmasak arra, hogy ösztönözzék az adatkezelőket az ilyen adatkezelés elfogadására. Továbbá a közszolgáltatók azon kezdeményezése, hogy elfogadják a PIMS-eket adatforrásként ahelyett, hogy közvetlenül gyűjtsék az adatokat, megadhatja azt a kritikus tömeget, ami a PIMS-ek elfogadásához szükséges.

A PIMS most formálódó világa, melynek célja, hogy az egyéneknek és a fogyasztóknak visszaadja a személyes adataik feletti rendelkezés jogát, megérdemli a megfontolást, támogatást és a további elemzéseket, hogy hozzájáruljunk az óriásméretű adathalmazok fenntartható és etikus használatához, és hogy hatékonyan hajtsuk végre a közelmúltban elfogadott adatvédelmi rendelet elveit.

I. PIMS: ADATOK MEGOSZTÁSA, ELŐNYÖK MEGOSZTÁSA?

1. A személyes adatok kezelésének jelenlegi feltételei jellemzően nem tisztességesek azon egyének felé, akik adatait kezelik. A jogi feltételek és a műszaki eszközök nehézkessé teszik az egyének számára a jogaik gyakorlását, és lehetővé teszik a kezelők számára felelősségük korlátozását. Az adatkereskedők, a reklámhálózatok, a közösségi hálózatok szolgáltatói és más vállalati szereplők egyre összetettebb dossziékkal rendelkeznek az egyénekről, akik részt vesznek napjaink digitális társadalmában és az egyének elveszítik az uralmat a maguk mögött hagyott digitális lábnyomok felett. Az egyének, miközben gyakran irányításuk vagy akár tudtuk nélkül a célpontjaivá, profilalkotási vagy értékelési alanyává válnak különböző szereplőknek, tehetetlennek érezhetik magukat és szükség van arra, hogy visszaadjuk nekik a személyiségük feletti irányítási jogot. Még azokban az esetekben is, ahol formálisan kapnak valamilyen „tájékoztatást” vagy „beleegyezési jogot” az általános szerződési feltételeket illetően, az egyének gyakran egy olyan rendszerben találják magukat, amelynek célja személyes adataik pénzzé alakításának maximalizálása, mely nem hagy valódi választási vagy irányítási jogot az egyének számára.

2. Az Európai Bizottság közleménye az óriásméretű adathalmazokról (1) egy cselekvési tervet tartalmaz a személyes adatok védelme és a fogyasztóvédelem érdekében. Ez kifejezetten ösztönzi a „személyes adatterek” használatát, mint felhasználóbarát, biztonságos és biztos adattárolási helyekét, amelyeken keresztül egyben biztosítani lehet mások számára a személyes adatokhoz való hozzáférés lehetőségét. Osztjuk azt a véleményt, hogy ösztönözni kell az olyan innovatív digitális eszközöket és üzleti modelleket, amelyek az egyének feljogosításán alapulnak. Ezek lehetővé tehetik az egyének számára, hogy az ilyen adatmegosztások előnyeiből részesüljenek, vagyis részt vegyenek személyes adataik használatában és megosztásában.

3. A „Válasz az óriásméretű adathalmazok jelentette kihívásokra” című véleményünkben (2) amellett érveltünk, hogy ki kell egészítenünk a hatékony beleegyezési jog kötelezettségét egy valós, gyakorlati ellenőrzéssel a személyes adatok felett. Azt mondtuk, hogy „ahelyett, hogy adminisztratív akadályokat hoznánk létre, a hozzáférési jogok nyújtása a fogyasztóknak nyújtott szolgáltatássá válhat”, és hogy a szervezeteknek, akik óriás méretű adathalmazokkal dolgoznak, „fel kell készülniük arra, hogy megosszák a személyes adatok kezelése révén létrehozott vagyont azokkal az egyénekkel, akiknek az adatait kezelik”. Abban az összefüggésben megállapítottuk, hogy a „személyes adattárak segíthetik néhány olyan aggály megválaszolását, amely az egyén személyes adatai feletti rendelkezésének elvesztéséről szól”. A közelmúltban elfogadott általános adatvédelmi rendelet (a továbbiakban: adatvédelmi rendelet) (3) megerősítette a beleegyezés jogi követelményét (4) és hatékony, modern adatvédelmi elveket vezetett be a beépített és az alapértelmezett adatvédelem terén (5), valamint létrehozta az adatok hordozhatóságának új jogát (6). Annak érdekében, hogy az adatvédelem új keretrendszere beváltsa a hozzá fűzött reményeket, gyakorlati eszközökre van szükségünk ahhoz, hogy biztosítsuk az egyének számára a jogaik kényelmes, felhasználóbarát módon történő gyakorlásának lehetőségét.

4. Ez a vélemény megvizsgálja azon új technológiák és rendszerek koncepcióját, amelyek célja, hogy az egyén számára biztosítsák a személyes adataik megosztása feletti felügyeletet. Ezt a koncepciót a továbbiakban „személyes információszervezési rendszernek”, röviden PIMS-nek (7) nevezzük. A PIMS koncepciója új megközelítést nyújt, amely szerint az egyének saját személyes adataik birtokosai. Ez egy paradigmaváltást eredményezhet a személyes adatok szervezése és kezelése terén, amelynek társadalmi és gazdasági kihatásai lehetnek. Ezzel szemben az online szolgáltatások jelenlegi világát szolgáltatók kis számú csoportja uralja a felhasználók személyes adatainak pénzzé váltása útján, miközben nekik „ingyenes” szolgáltatásokat nyújtanak. Ez gyakorta az erőviszonyok egyenlőtlenségével társul, ahol a fogyasztó csak azt döntheti el, hogy kéri-e a szolgáltatást, valamint a szolgáltatók és a felhasználók között információs aszimmetriával, ahol az egyén számára alig vagy egyáltalán nem átlátható, hogy személyes adataikat mire használják fel.

5. A PIMS koncepciója mögötti alapötlet az, hogy a jelenlegi szolgáltatóközpontú rendszert egyénközpontú rendszerré kell változtatni, amely egyének képesek az online személyiségükhöz kapcsolódó adatok kezelésére és irányítására (8). Főszabály szerint az egyéneknek képeseknek kell lenniük eldönteni, hogy megosztják-e személyes adataikat, és ha igen, kivel, milyen célból és mennyi időre, és azokat nyomon tudják követni, továbbá dönthessenek úgy, hogy azokat visszaveszik, amennyiben úgy kívánják. Érdemes megvizsgálni, hogy a PIMS hogyan segíthet megválaszolni néhány, a személyes adatok feletti egyéni rendelkezés elvesztésével kapcsolatos aggályt, amely az óriásméretű adathalmazok egyik legfőbb problémájaként lett megjelölve (9).

6. E megközelítés célja az alapvető jogok megerősítése digitális világunkban, miközben új lehetőségeket is nyit a vállalkozások számára, hogy a kölcsönös bizalomra épülő, személyes adatokon alapuló, innovatív szolgáltatásokat fejlesszenek. A PIMS-ek olyan új adatkezelési technikai szerkezetet és szervezetet ígérnek, amely egyben bizalmi kereteket is épít. Abban bíznak, hogy az óriásméretű adathalmazok korában a személyes adatok gyűjtésére és feldolgozására olyan alternatív üzleti modelleket tesznek lehetővé, amelyek mindezt az európai adatvédelmi jog nagyobb fokú tiszteletben tartásával teszik.

7. Ebben a véleményben röviden bemutatjuk, mi az a PIMS, milyen problémák megoldására alkalmas és hogyan (10). Elemezzük, hogy hogyan tudnak hozzájárulni a személyes adatok jobb védelméhez és milyen kihívásokkal kell szembenézniük. Végül beazonosítjuk a továbblépés útjait, hogy építhessünk az általuk kínált lehetőségekre.

IV. VÉGKÖVETKEZTETÉSEK ÉS TOVÁBBI LÉPÉSEK

4.1. Az adatvédelmi rendelet teljes mértékű alkalmazása felé – lehetőségek

54. Mint arra feljebb felhívtuk a figyelmet, az uniós jogalkotó a közelmúltban elfogadott egy adatvédelmi reformcsomagot, amely megerősíti és korszerűsíti a szabályozási keretrendszert, hogy az az óriásméretű adathalmazok korszakában is hatékony maradjon.

55. Az új adatvédelmi rendelet, amely nagyobb átláthatóságra vonatkozó szabályokat, valamint a hozzáféréshez és az adatok hordozhatóságához való erős jogokat tartalmaz, segíthet, hogy az egyének jobban tudják ellenőrizni adataikat és hozzájárulhat a személyes adatok hatékonyabb piacaihoz, amelyek a fogyasztók és a vállalkozások javát is szolgálnák.

56. Az adatvédelmi rendelet által meghatározott viselkedési szabályzatok és igazolási rendszerek kiemelt eszközök, melyek határozott láthatóságot és szerepet adnak az olyan technológiáknak és termékeknek, melyek – mint pl. a PIMS – az adatvédelmi jog hatékonyabb végrehajtását biztosíthatják gyakorlati szinten.

57. Mindazonáltal a PIMS számára különös kihívást fog jelenteni, hogy betörjön egy olyan piacra, ahol az online szolgáltatások olyan üzleti modellen és technikai szerkezeten alapulnak, ahol az egyének nem tudják felügyelni adataikat, ahogyan azt a 3.9. szakaszban is kifejtettük. Ahhoz, hogy elérjünk egy olyan állapotba, ahol az egyéneknek tényleges lehetőségük van arra, hogy hozzáférést engedjenek PIMS-ben tárolt személyes adataikhoz ahelyett, hogy az adatokat közvetlenül a szolgáltatónak adnák meg, további ösztönzőket kell biztosítani a szolgáltatók részére. A Bizottság felhasználhatja azokat a kezdeményezéseket, amelyeket az adatfolyamokkal és az adattulajdonnal kapcsolatban bejelentett (11), arra, hogy feltárja, mely szakpolitikai kezdeményezések képesek arra motiválni az adatkezelőket, hogy elfogadják az adatszolgáltatás e módját. Továbbá az eKormányzat közszolgáltatóinak az a kezdeményezése, hogy elfogadják a PIMS-eket adatforrásként ahelyett, hogy közvetlenül gyűjtsék az adatokat, megadhatja azt a kritikus tömeget, ami a PIMS-ek elfogadásához szükséges.

58. Ez az elemzés kiegészíthető olyan intézkedésekkel, amelyek célja a műszaki, társadalmi és gazdasági alapok lerakása, beleértve a szabványosítási törekvéseket, a gazdasági kedvezményeket, valamint a kutatás és a pilot projektek ösztönzését.

59. Az Európai Unió és a tagállamok közigazgatása, valamint az általuk társfinanszírozott projektek az elsődleges helyek, ahol ezt a szemléletváltást tesztelni, erősíteni és remélhetőleg megvalósítani lehet.

4.2. A PIMS és az azt szolgáló technológia támogatása a hatékony adatvédelem érdekében

60. A jó szabályozás, habár létfontosságú, önmagában nem elégséges. Mint ahogyan azt „Válasz az óriásméretű adathalmazok jelentette kihívásokra” című véleményünkben (12) kifejtettük, azok a vállalatok és más szervezetek, amelyek rengeteg erőforrást fordítanak arra, hogy minél innovatívabb módon tudják hasznosítani a személyes adatokat, ugyanezt az innovatív gondolkodásmódot kell alkalmazzák az adatvédelmi elvek végrehajtása során.

61. A technológia hozzájárulása a PIMS modellhez alapvető. A PIMS segítheti a beépített adatvédelmi megközelítések és az azokat támogató technológiák tesztelését. A vonatkozó kutatási témák, amelyeknek megfelelő támogatásra és beruházásra van szükségük, az alábbiak: interoperábilis és magánéletet tiszteletben tartó identitáskezelés, engedélyezési eljárások, adat interoperabilitás, adatbiztonság, eszközök a megkötött „szerződések” automatikus végrehajtására az egyének és más felek között. Mindezt elősegíti a kriptográfia és titkosítás, és lendületet ad neki az olcsón rendelkezésre álló számítási kapacitás. A technológia e területein az alap- és alkalmazott kutatások támogatása olyan döntéshozók részéről, mint például a Bizottság, szükséges ebben a kezdeti állapotban ahhoz, hogy ne veszítsük el a kínálkozó lehetőségeket.

62. Annak érdekében, hogy megerősítsük a kutatást és fejlesztést, valamint a piacra jutást a PIMS területén, javasoljuk, hogy a Bizottság a tervezéskor vegye figyelembe a lehetséges szinergiákat a digitális közös piaci stratégia más területeivel (mint amilyen pl. a felhő alapú számítástechnika és a dolgok internete [IoT]). Ily módon a pilot projekteket arra lehetne használni, hogy megtervezzék és teszteljék a felhő alapú szolgáltatások, az IoT és a PIMS közötti interakciókat.

4.3. Hogyan segíti elő ezt a vitát az európai adatvédelmi biztos?

63. Az európai adatvédelmi biztos célja, hogy hozzájáruljon a fenti irányokba végzett magán- és közjellegű erőfeszítések erősítéséhez. Lehetővé tesszük a vitákat is, beleértve az események/munkaértekezletek szervezését, például a legjobb gyakorlat azonosítására, ösztönzésére és elősegítésére, az átláthatóság és felhasználói ellenőrzés növelése érdekében, valamint körüljárjuk a PIMS lehetőségeit. Továbbá meg kívánjuk könnyíteni az IPEN hálózatnak (Internet Privacy Engineering Network) a mérnökök és adatvédelmi szakértők interdiszciplináris találkozóhelyeként végzett munkáját. Ebben az összefüggésben továbbra is biztosítjuk a PIMS fejlesztőinek és előmozdítóinak a találkozási felületet, hogy profitálni tudjanak a más technológiák és az adatvédelem szakértőivel folytatott eszmecseréből.

Kelt Marrakeshben, 2016. október 20-án. Giovanni BUTTARELLI európai adatvédelmi biztos

(1) Úton a prosperáló adatközpontú gazdaság felé című, COM(2014)442 bizottsági közlemény: https://ec.europa.eu/digital-single-market/en/news/communication-data-driven-economy

(2) Az európai adatvédelmi biztos 7/2015 sz. véleménye https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-11-19_Big_Data_EN.pdf Lásd kiemelten a 3. szakaszt.

(3) Az Európai Parlament és a Tanács 2016. április 27-i (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet); (HL L 119., 2016.5.4., 1. o.).

(4) Lásd egyebek mellett az adatvédelmi rendelet 6. cikke (1) bekezdésének a) pontját, 7. és 8. cikkét és (42)-(43) preambulumbekezdését.

(5) Lásd az adatvédelmi rendelet 25. cikkét.

(6) Lásd az adatvédelmi rendelet 20. cikkét.

(7) A kapcsolódó fogalmak a „személyes adattárak”, a „személyes adathelyek”, és a „személyes adatbankok”. Ebben a véleményben a „PIMS” fogalmat használjuk, mivel úgy tűnik, hogy az írja le leginkább a koncepciót egy általános, könnyű és érthető formában. A jelen véleményben a „PIMS” egyszerre jelenthet egyes és többesszámot: személyes információszervezési rendszert, vagy személyes információszervezési rendszereket.

(8) Lásd az adatvédelmi rendelet (7) preambulumbekezdését: „A természetes személyek számára biztosítani kell, hogy saját személyes adataik felett maguk rendelkezzenek.” Lásd továbbá pl. Searls, Doc: The Intention Economy: When Customers Take Charge (Boston: Harvard Business Review Press, 2012).

(9) Lásd pl. Rubinstein, Ira S.: Big Data: The End of Privacy or a New Beginning? International Data Privacy Law, 2013, 3. évfolyam, 2. szám.

(10) Lásd pl. a University of Cambridge által az Európai Bizottság részére készített, a személyes adattárakról szóló jelentést: https://ec.europa.eu/digital-single-market/en/news/study-personal-data-stores-conducted-cambridge-university-judge-business-school

(11) Közlemény: Digitising European Industry – Reaping the full benefits of a Digital Single Market http://europa.eu/rapid/press-release_MEMO-16-1409_en.htm

(12) Az európai adatvédelmi biztos fent hivatkozott 7/2015 sz. véleménye.