Source: http://abi.atlatszo.hu/index.php?menu=beszamolok/2006/IIInemz/rend&nyomtat=1
Timestamp: 2020-06-03 00:29:58
Document Index: 908049

Matched Legal Cases: ['§ 2', 'bíróság ', 'Bíróság ', 'Bíróság ', 'bíróság ', 'bíróság ', 'bíróság ', 'bíróság ', 'bíróság ', 'Bíróság ', 'Bíróság ', 'Bíróság ', 'bíróság ', 'Bíróság ']

Archivum > Beszámolók > 2006 > III. NEMZETKÖZI ÜGYEK > Rendőrségi munkacsoport
III. NEMZETKÖZI ÜGYEK
Konzultációk, panaszügyek
2006-ban jelentősen megemelkedett a nemzetközi ügyeink száma, az összes iktatott akta mintegy 10 %-át teszik ki. A külföldről érkező telefonos megkereséseket nem iktatjuk, csak a levélben, e-mailben érkező beadványokat.
Munkamegbeszélésen fogadtunk külföldi adatvédelmi biztosokat és munkatársaikat, így a román, a szlovén, a szlovák irodák képviselőit. A személyes megbeszéléseken túl írásban több tucatnyi – más tagállamok adatvédelmi hatóságaitól érkezett – megkeresésre válaszoltunk, így például a munkahelyen, pénzintézetben működtetett kamerákkal vagy a munkavállalók munkáltató általi földrajzi helymeghatározásával kapcsolatban (936/I/2006, 1350/I/2006).
Nőtt a tengeren túlról küldött beadványok, kérdések száma, továbbra is első helyen szerepel a külföldre történő adattovábbítás lehetősége adatkezelés vagy adatfeldolgozás céljából, valamint a nyilvántartásunkba történő bejelentkezés (300/I/2006, 804/I/206, 872/I/2006, 2115/I/2006). Új jelenség, hogy egyre többen érdeklődnek az Általános Szerződési Feltételek (Standard Contractual Clauses) magyar szabályozásáról, irodánk ezzel kapcsolatos gyakorlatáról (1897/I/2006, 1909/I/2006, 2114/I/2006). E kérdésről – jelentőségére tekintettel – a panaszügyek ismertetését követően külön alfejezetben szólunk.
Az elhíresült „PNR”-ügy, a légi utasok adatainak kiküldése az USA-ba több uniós szervtől és nemzeti hatóságtól érkező megkeresésben szerepelt, erről bővebben a 29. cikk szerinti Munkacsoport anyagait ismertető alfejezetben írunk (1009/I/2006), csakúgy, mint a szintén nagy vitákat kavaró SWIFT-ügyről (1008/I/2006).
Az Európai Adatvédelmi Biztosok Tavaszi Konferenciájára Guernsey-ből Budapestre érkező egyik kolléga, az ottani helyettes adatvédelmi biztos beadvánnyal fordult hivatalunkhoz. Panasza szerint a Ferihegyi repülőtéren az útlevélkezelő hosszasan – egy speciális lámpa alatt, majd egy másik utas útlevelével összehasonlítva – megvizsgálta az útlevelét, majd azt az útlevélkezelő fülke ablakának nyomva megkért egy másik, brit útlevéllel rendelkező utast, hasonlítsa össze a két úti okmányt, s ezzel illetéktelen számára hozzáférhetővé tette a személyes adatait. Amikor kifogásolta az útlevélkezelő eljárását, azt a választ kapta, hogy a fénykép hátterével kapcsolatos problémát kellett tisztázni. A beadványozó véleménye szerint az eljárás nem volt jogszerű, ezért kérte az ügy kivizsgálását.
A Határőrség országos parancsnoka által lefolytatott belső vizsgálatról szóló tájékoztatás nem volt elég egyértelmű, ezért helyszíni adatvédelmi ellenőrzést folytattunk a Ferihegyi repülőtéren.
Az ellenőrzés eredményeként megállapítottuk, hogy az útlevélkezelők a kétéves kiképzést követően rendszeres továbbképzésben részesülnek, ahol – egyebek mellett – elsajátítják azokat az ismereteket, amelyek a hamis útlevelek kiszűréséhez szükségesek. Olyan határőr, aki az úti okmányok kezelésével kapcsolatos képzésben nem részesült, nem láthat el útlevélkezelői feladatokat. Minden szolgálatváltásba beosztanak egy olyan határőrt is, akit az alapképzésen túlmenően speciálisan, az okmányhamisítás jeleinek felismerésére és vizsgálatára képeztek ki, továbbá az ügyeleti helyiségben rendelkezésre áll egy okmányvizsgáló berendezés is. Amennyiben egy útlevél eredetiségével kapcsolatban kétség merül fel, az útlevélkezelő a további ellenőrzést átadja az erre szakosodott kollégájának, ő pedig folytatja a többi utas beléptetését.
Az általunk vizsgált esetben nem követték ezt az eljárási rendet, ezért felhívtuk a Határőrség országos parancsnokának figyelmét, hogy a hasonló esetek elkerülése érdekében a továbbiakban is a fentiekben ismertetett eljárási rendnek megfelelően végezzék a problémásnak tűnő úti okmányok ellenőrzését.
Az útlevélkezelő fülkéjének három oldalát olyan fóliával látták el, amely a kívülről betekintést megakadályozza, csak a negyedik, az utas felőli oldal átlátható mindkét irányba. A fülkén, jól látható helyen feltüntették, hogy panasz, probléma esetén kihez lehet fordulni a helyszínen.
A beadványozó ezzel a lehetőséggel nem élt a repülőtéren.
Az útlevélkezelő fülkéjében található számítógéppel a feladatok ellátásához szükséges adatbázisok elérhetők. Ezek egyike a Dokunet elnevezésű nyilvántartás, amely az egyes országok úti okmányainak mintáit és azok biztonsági jellemzőit tartalmazza. A nyilvántartás célja, hogy segítse az útlevélkezelők munkáját az úti okmányok eredetiségének vizsgálata során.
A panaszos úti okmányát egy brit koronafüggőségi terület (sziget, amely nem része sem az Egyesült Királyságnak, sem a gyarmatoknak; teljesen független, azonban a nemzetközi kapcsolatok és a védelem az Egyesült Királyság kormányának hatáskörébe tartoznak) állította ki. Az okmány általában a brit útlevél jellemzőivel rendelkezik, vannak azonban apró eltérések. Mivel a Dokunet nem tartalmazta e sziget úti okmányának mintáját és annak biztonsági jellemzőit, az útlevélkezelő azt hihette, hamisított brit útlevelet tart a kezében. Vizsgálatomat követően felkértem a Határőrség országos parancsnokát, hogy a jövőbeni problémák megelőzése érdekében intézkedjen az említett útlevélminta beszerzését illetően. A parancsnok értesítése szerint ez az intézkedés megtörtént.
A Határőrség jelenleg kétféle ellenőrzést végez a beléptetés során:
A kedvezményezett országok (kb. az EGT-tagállamok) állampolgárai és családtagjaik minimum-ellenőrzésben részesülnek, amely az útlevélben szereplő fénykép szerinti személyazonosítást és az úti okmány érvényességének ellenőrzését foglalja magába.
A harmadik országokból érkezőket alapellenőrzésben részesítik, amely a minimum-ellenőrzésen kívül a belépő személy adatainak a határregisztrációs rendszerben történő rögzítését, továbbá a különböző nyilvántartásokban (például körözési nyilvántartás) való, illetve a beutazás és tartózkodás feltételei (érvényes vízum, anyagi fedezet stb.) meglétének ellenőrzését foglalja magába.
A jogszabályok lehetőséget biztosítanak arra, hogy a kedvezményezett országokból érkezőket szúrópróbaszerűen alapellenőrzésben részesítsék.
A panaszos minimum-ellenőrzésben részesült.
Kértem annak megállapítását is, hogy az útlevelet kiállító sziget milyen „státusszal” rendelkezik a magyarországi beléptetés során, tekintettel arra, hogy nem tagja az Európai Uniónak, általában nem érvényesek a személyek, a szolgáltatások és a tőke szabad mozgására vonatkozó, illetve a bel- és igazságügyi együttműködés keretében megfogalmazott előírások, de a vámegyüttműködésben és néhány más területen a Nagy-Britannia által kötött megállapodásokban foglaltaknak megfelelően részt vesz. A Határőrség országos parancsnoka ezzel kapcsolatban arról tájékoztatott, hogy a hatályos jogszabályok alapján a sziget kedvezményezett országnak minősül, ezért a beléptetés során jogszerűen végeztek minimum-ellenőrzést.
A Határőrség hatáskörébe tartozik a személyi felelősség megállapítása, amelyet lehetővé tesz az öt évig őrzött szolgálatszervezési nyilvántartás, amely órára pontosan tartalmazza, hogy adott helyen és időben melyik munkatárs milyen feladatot látott el.
A Határőrség kiemelt figyelmet fordít a személyes adatok védelmével kapcsolatos előírások betartására és betartatására. Adatvédelmi oktatásban valamennyi munkatárs részesült, az új munkatársak képzése munkába állásukkor, illetve folyamatosan történik. Havonta egyszer oktatási napot tartanak, ahol az aktuális tudnivalók elsajátítására, az esetleges problémák megoldásainak ismertetésére kerül sor. Az oktatási napon a parancsnok is kap egy órát, amely az időszerű kérdések tisztázására szolgál.
Megkeresésünket követően e parancsnoki órán az esetet feldolgozták, illetve beépítették az adatvédelmi oktatás tananyagába. (731/I/2006.)
Az általános szerződési feltételek használata olyan harmadik országokba történő adattovábbítás esetén, ahol nem biztosított a személyes adatok megfelelő szintű védelme
2006-ban megszaporodtak az arra vonatkozó megkeresések, hogy a Bizottság által jóváhagyott általános szerződési feltételek (Standard Contractual Clauses) használata esetén be kell-e jelenteni az Adatvédelmi Biztos Irodájába az olyan harmadik országokba történő adattovábbítást, amelyekben nem biztosított a személyes adatok megfelelő szintű védelme. Továbbá felmerült az a kérdés is, hogy a bejelentés mellett irodánknál letétbe kell-e helyezni vagy be kell-e mutatni azt a szerződést, amely az általános szerződési feltételeket tartalmazza.
Az Európai Bizottság egy 2006-ban kelt munkadokumentumában (SEC(2006)95, elérhető: http://ec.europa.eu/justice_home/fsj/privacy/modelcontracts/index_en.htm) kritik ával illeti azokat a tagállamokat, ahol nincs nyoma annak, ha az adatkezelők a Bizottság által jóváhagyott általános szerződési feltételeket használják a tagállamokon kívülre történő adattovábbításhoz. Ez a kritika Magyarországra is vonatkozik, ugyanis ha egy cég Magyarországról olyan országba küldi munkavállalóinak vagy ügyfeleinek adatait, ahol nem megfelelő a személyes adatok védelme, és a megfelelőséget a Bizottság által jóváhagyott általános szerződési feltételek alapján biztosítja, irodánk ugyan értesül az adattovábbításról, az általános szerződési feltételek alkalmazásáról azonban nem, mivel nem kötelezzük az adatkezelőket, hogy bejelentsék az általános szerződési feltételek alkalmazását.
Az Európai Bizottság munkadokumentuma a Bizottság azon két határozatának (2001/497/EC és 2002/16/EC) tagállami szinten történő végrehajtását értékeli, amelyek a harmadik országokba irányuló adattovábbítások alapjául szolgáló általános szerződési feltételekről szólnak. A Bizottság megállapítja, hogy a „ tagállamok nagyon kevés információval rendelkeznek mind az EU-n kívülre történő adattovábbítás alapjául szolgáló általános szerződési feltételek használatáról, mind pedig a külföldre irányuló adattovábbításokról általában, amely úgy tűnik, hogy a megfelelő ellenőrzés hiányának a következménye…A tíz új tagállam közül egyik sem értesítette még a Bizottságot szerződési feltételek vagy más megfelelő biztosítékok alkalmazásáról ”. A Bizottság hangsúlyozza, hogy „a tagállamok csak akkor tudják teljesíteni a 95/46/EK irányelvben előírt azon kötelezettségüket, hogy értesíteniük kell a Bizottságot és a többi tagállamot azokról az esetekről, amikor a külföldre történő adattovábbítást az adatkezelő által nyújtott megfelelő biztosítékok alapján hagyják jóvá, ha a tagállamok valamilyen módon ellenőrzik a külföldre irányuló adattovábbításokat ”. A Bizottság kiemeli, hogy „annak érdekében, hogy a jövőben eredményesebb értékelést végezhessen különösen az általános szerződési feltételek megfelelő működésének tárgyában, hasznos lenne, ha a tagállamok javítanának a külföldre irányuló adattovábbításokat ellenőrző rendszerükön és nyilvántartanák az olyan országokba irányuló adattovábbításokat, ahol nem biztosított a személyes adatok megfelelő védelme, valamint ezen adattovábbítások jogalapját, az általános szerződési feltételeket is beleértve. Értékes információt szolgáltatnának a nemzeti adatvédelmi hatóságok, ha éves beszámolójukba belefoglalnák ezeket az adatokat, amit a Bizottság fel tudna használni a jövőben értékeléseihez…Annak kapcsán, hogy a tagállamok nem rendelkeznek információval az általános szerződési feltételekről, felvetődik a kérdés, hogy megfelelően teljesítik-e azon kötelezettségüket, hogy ellenőrizzék a személyes adatoknak a nem megfelelő védelmet biztosító országokba történő továbbítását. Felmerül az a kérdés is, hogy vajon rendszeresen és kontroll nélkül történik-e ezekbe az országokba az adattovábbítás ”. Meg kell azonban jegyezni, hogy ha egy tagállam a Bizottság által jóváhagyott általános szerződési feltételek alapján járul hozzá egy harmadik országba történő adattovábbításhoz, akkor erről nem kell a Bizottságot értesítenie.
Annak ellenére, hogy a két tárgyalt bizottsági határozat nem kötelezte a tagállamokat, azoknak kb. a fele kötelezővé tette az általános szerződési feltételeket tartalmazó szerződések bemutatását, nyilvántartását. Felmerül a kérdés, hogy a Bizottság kritikája és felvetései alapján szükség van-e Magyarországon az általános szerződési feltételek nyilvántartására (bemutatására vagy letétbe helyezésére), ha az szolgál a harmadik országban megfelelő adatkezelés biztosításának igazolására. A nyilvántartás mellett szól az az érv, hogy várhatóan növekedni fog az általános szerződési feltételek használata az Avtv. 2004-es módosításának köszönhetően, hiszen a módosításig csak az érintett hozzájárulásával lehetett harmadik országba személyes adatot továbbítani. A várható növekedés másik oka az Európai Bizottság egy 2004 végén hozott határozata, amely egy új, a Nemzetközi Kereskedelmi Kamara által összeállított és a vállalatok szempontjait, észrevételeit jobban figyelembe vevő általános szerződési feltétel csomagot tartalmaz (2004/915/EC). A Kötelező Erejű Vállalati Szabályokkal (BCR) kapcsolatban kialakult gyakorlat a másik érv, amely a nyilvántartás mellett szól. A BCR-ek jóváhagyása irodánk feladata (erre már sor is került 2006-ban), tehát ha az adatkezelővel munkavállalói vagy ügyféli kapcsolatban lévő személyek adatait úgy továbbítják nem megfelelő védelmet biztosító harmadik országba, hogy BCR-t használnak a megfelelőség biztosítására, akkor irodánk erről értesül. Felmerül a kérdés, hogy nem lenne-e hasznos egységes gyakorlatot kialakítani a nem megfelelő védelmet biztosító harmadik országokba történő adattovábbításokkal kapcsolatban, a megfelelőség igazolásának nyomon követése terén. A Bizottság kritikája alapján indokolt lenne az ellenőrzést erre a területre is kiterjeszteni.
A fentiek alapján 2007 márciusában közleményt adunk ki arról, hogy az általános szerződési feltételek használatát jelentsék be az Adatvédelmi Biztos Irodájához.
A 2004/512/EK (2004. június 8.) tanácsi határozat létrehozta a vízumadatok tagállamok közötti cseréjét kezelő Vízuminformációs Rendszert (a továbbiakban: VIS), amely a kijelölt hatóságok számára lehetővé teszi a vízumadatok rögzítését és frissítését, valamint az adatok elektronikus úton való megtekintését. A VIS egy központi információs rendszerből, a nemzeti rendszerekből, továbbá az ezek közötti kapcsolatot biztosító kommunikációs infrastruktúrából áll. A központi rendszer és a kommunikációs struktúra a Bizottság, a nemzeti rendszerek fejlesztése a tagállamok hatáskörébe tartozik.
A VIS jogi keretéről szóló COM(2004) 835 számú rendelet tervezete meghatározza a VIS célját, adattartalmát, a hozzáférő hatóságok körét és VIS-szel kapcsolatos feladatait, az adatkezelés, az adatfeldolgozás, az adatvédelem fő szabályait, illetve a felelősségi köröket. E rendelet tervezetéhez kapcsolódóan 2005-ben elkészült az a tanácsi határozattervezet, amely a tagállamok belső biztonságért felelős hatóságai és az Europol számára a terrorista cselekmények és más, súlyos bűncselekmények megelőzésének, felderítésének és nyomozásának céljából lehetővé teszi a VIS-hez való konzultációs hozzáférést, meghatározza annak jogalapját, valamint tartalmi és formai feltételeit.
Az adatvédelmi biztos ez utóbbi tervezetet a Tanács mellett működő Rendőrségi Együttműködési Munkacsoportban (Police Cooperation Working Party – PCWP) képviselendő magyar álláspont egyeztetésének koordinációja során, viszonylag későn, az egyeztetés többedik köre után kapta meg. A tervezetre tett tartalmi és formai észrevételeink többségét az akkori magyar tárgyalási álláspontba beillesztették, azonban a személyes adatok védelme szempontjából maradtak még nyitott kérdések. Itt jegyezzük meg: ez a határozattervezet tipikus példa arra, hogyan tervezik a bűnüldözési célt az adatvédelmi alapelvek háttérbe szorításával érvényesíteni, hogyan marad pusztába kiáltott szó az információs önrendelkezési jog tiszteletben tartása.
E tervezet átgondolt kidolgozása azért bír még kiemelt fontossággal, mert precedensként fog szolgálni a további, nem bűnüldözési célú nyilvántartásokhoz (például Eurodac) bűnüldözési célból történő hozzáférés feltételeinek és eljárási rendjének megteremtéséhez.
Az egyik nyitott kérdés, hogy a belső biztonságért felelős hatóságok egy nemzeti központi vagy több kijelölt hatóságon keresztül férhessenek hozzá a VIS-hez. A Bizottság, az Európai Parlament és az európai adatvédelmi biztos az előbbi megoldást támogatja, a Tanács (PCWP) az utóbbi mellett érvel azzal, hogy a hozzáférés szakmai indokoltságát az adott hatóság tudja megítélni, a központi lekérdező hatóság folyamatba illesztése megnehezíti (lassítja) a rendvédelmi szervek napi munkáját, továbbá a nemzeti jog szerint kijelölt hatóságok hozzáférésre felhatalmazott szervezeti egységeiről összeállított lista vezetésével, naprakészen tartásával biztosítható a lekérdezési lehetőség korlátozott igénybevétele. Észrevételeink között kifejtettük: a személyes adatok védelme szempontjából a lehető legkevesebb hozzáférési pont kialakítása támogatható. A legutóbbi tájékoztatás szerint valamennyi tagállam (a Tanács) a kijelölt hatóságok közvetlen és több ponton keresztül megvalósuló hozzáférését részesíti előnyben, az Európai Parlament viszont – helyesen – ragaszkodik azokhoz a szigorú biztosítékokhoz, amelyek a VIS-hez történő, bűnüldözési célú hozzáférést kivételként kezelik.
Vitatott a határozattervezet azon pontja is, amely a lekérdezési kulcsokról szól. A jelenlegi megfogalmazás szerint a felsorolt adattípusok (név, állampolgárság, úti okmány típusa és száma, úticél és a tartózkodás időtartama, utazás célja, érkezés és indulás időpontja, első belépés szerinti határ, lakóhely, ujjlenyomat, vízum típusa és vízumbélyeg száma) bármelyikére lehet keresni, és találat esetén a felsorolt adattípusok mindegyike megtekinthető. Véleményünk szerint e megfogalmazást pontosítani kellene, ugyanis annak megengedése, hogy például csak az állampolgárság vagy csak a határátkelőhely megadásával történhet lekérdezés, egyrészt „kezelhetetlen” mennyiségű adat megjelenítésével (átvételével), másrészt az adott ügy szempontjából érdektelen adatok tömegének megtekintésével járhat, s a meghatározott céltól eltérő adatfelhasználás kockázatát hordozza magában. Hozzáteszem: a határozattervezet következő bekezdése lehetővé teszi, hogy találat esetén részletesebb adatkörhöz is hozzájusson a lekérdező, tehát feleslegesnek tűnik e széles körű keresési kulcs megengedése. Mivel a határozattervezet jelenlegi szövege alapján eleve csak meghatározott, konkrét esetben és akkor lehet konzultációs célból a VIS-hez hozzáférni, ha az átvett adat jelentős mértékben hozzájárul az ügy feldolgozásához, feltételezhető, hogy egy adatnál több áll a belső biztonságért felelős hatóság rendelkezésére, így a feladatellátást nem akadályozza, ha két vagy több adatmező kötelező kitöltésével hajtják végre a lekérdezést. E módszer biztosítja az adott ügy szempontjából érdektelen adatok megtekintésének elkerülését, és a célhoz kötöttség elvének történő megfelelést. Az Európai Parlament és az európai adatvédelmi biztos szintén kifogásolta a keresési feltételek „laza” megfogalmazását, a Tanács azonban – a bűnüldözési feladatok ellátásához szükséges rugalmasság okán – ragaszkodik a jelenlegi szövegezéshez. Fenti észrevételünk a magyar tárgyalási álláspont koordinációja során is ellenkezést váltott ki.
Ugyan a Tanács és az Európai Parlament a határozattervezet szövege kapcsán több pontban ellentétes nézetet vall, a Tanács úgy számol, hogy 2007 első felében elfogadják a normát. Az erre való felkészülés jegyében a hazai koordinációban részt vevő hatóságok decemberben egyeztető értekezletet tartottak arról, hogy Magyarországon mely hatóságok, szervek számára biztosítsuk a VIS-hez történő hozzáférést a határozat hatálybalépése után. Az értekezleten az érdekelt hat szervezet képviselői (Rendőrség, Vám- és Pénzügyőrség, Határőrség, Legfőbb Ügyészség, Nemzetbiztonsági Hivatal, Információs Hivatal) úgy nyilatkoztak, hogy miután a leendő lista bármikor módosítható lesz, első körben hat (a Rendőrségnél kettő, a többi szervnél – a LÜ kivételével – egy-egy) hozzáférési pontra vonatkozó igényt nyújtson be Magyarország, s ha ezt valamilyen okból csökkenteni kell, akkor a Vám- és Pénzügyőrség, illetve a Határőrség a Rendőrség szervezetében lévő Nemzetközi Bűnügyi Együttműködési Központon keresztül kér majd adatot. Az adatvédelmi alapelvek érvényesítéséről, továbbá a hatóságokra vonatkozó jelenlegi hazai szabályozásról szóló figyelmeztetés ellenére egyedül a Legfőbb Ügyészség képviselője nyilatkozott úgy, hogy a feladatai ellátásához szükséges adatokat jelenleg is megfelelő hatékonysággal tudja beszerezni, ezért e lehetőséget nem fogják igénybe venni.
Az értekezlet után kértük a hozzáférő hatóságok körének újragondolását, mivel több problémát látunk a majdani hazai adaptálás vonatkozásában. Az egyik probléma az, hogy a nemzetbiztonsági szolgálatokról szóló 1995. évi CXXV. törvény rendelkezései alapján az Információs Hivatal feladatai között nincs olyan jellegű bűncselekmény-felsorolás, mint a Nemzetbiztonsági Hivatal esetében. E kérdésben az Igazságügyi és Rendészeti Minisztérium a Miniszterelnöki Hivatal Nemzetbiztonsági Iroda állásfoglalását fogja kérni.
Problémát okoz az is, hogy értelmezésünk szerint a nemzetbiztonsági szolgálatok valamilyen adatbázishoz történő közvetlen hozzáférése nem következik egyértelműen a jogszabály szövegéből, továbbá a nemzetbiztonsági szolgálatok adatkérése, adatbetekintése, adatszolgáltatása, valamint mindezek tartalma államtitkot képez. Ez utóbbi miatt nehezen lesz megvalósítható a határozattervezet azon előírása, amely szerint a VIS-hez történő konzultációs célú hozzáférés során rögzíteni (naplózni) kell a lekérdezés célját, a hozzáférés időpontját, a lekérdezett adatokat és azok típusát, a hozzáférő hatóság nevét, továbbá a hazai jogszabályoknak megfelelően a hozzáférő személy nevét és azonosító adatait. E két problémával kapcsolatos értelmezésünket az Igazságügyi és Rendészeti Minisztérium elfogadta.
Meghallgatásra talált az az észrevételünk is, amely a majdani adatvédelmi ellenőrzések végrehajthatóságára vonatkozott. A nemzetbiztonsági szolgálatokról, valamint az állampolgári jogok biztosáról szóló törvény előírásai alapján ugyanis az adatvédelmi biztos nem tekinthet bele – egyebek mellett – a számítástechnikai eszközök számával, elhelyezésével, működésével, illetve az alkalmazott szoftverekkel kapcsolatos dokumentumokba. Egy nyílt, a közösségi vízumpolitika eszközeként létrehozott adatbázis hozzáférési pontjának kialakítása szükségszerűen magába foglalja a számítástechnikai eszközök számának meghatározásával, valamint azok elhelyezésével, működésével és az alkalmazott szoftverekkel kapcsolatos dokumentumok készítését. A határozattervezet jelenlegi szövege által előírt adatvédelmi ellenőrzés nem valósítható meg kellő alapossággal e jogszabályi tilalom fennállása miatt. Megoldásként vagy a tilalom „lazítása” (például a VIS-hez történő hozzáférés kivételként való megfogalmazása) szolgálhat, vagy az, ha a nemzetbiztonsági szolgálat eláll attól a szándékától, hogy a VIS-ben tárolt adatokhoz közvetlenül férjen hozzá.
Miután mind uniós, mind hazai szinten vannak ellentétek a határozattervezet rendelkezéseit illetően, bízunk abban, hogy 2007-ben megszületik a mindenki számára megnyugtató megoldás.
Az iroda Magyarország schengeni térséghez történő csatlakozásával összefüggő tevékenysége
Belgium, Franciaország, Hollandia, Luxemburg és Németország 1985. június 14-én a hollandiai Schengenben aláírták a közös határaikon történő ellenőrzések fokozatos megszüntetéséről szóló megállapodást, 1990. június 19-én a végrehajtásról szóló megállapodást. Később a megállapodáshoz csatlakozott Ausztria, Dánia, Finnország, Görögország, Olaszország, Portugália, Spanyolország, Svédország, valamint Izland és Norvégia is.
Az egyezmény IV. címének rendelkezései értelmében létrehozták a Schengeni Információs Rendszert (SIS), mely az Európai Unió keretébe beillesztett schengeni vívmányokban (acquis) foglalt rendelkezések alkalmazásának alapvető eszköze. Az Európai Unióról szóló szerződéshez és az Európai Közösséget létrehozó szerződéshez csatolt jegyzőkönyv rendelkezik a schengeni vívmányoknak az Európai Unió keretébe történő beillesztéséről. A jegyzőkönyv 8. cikke alapján: „Az új tagállamoknak az Európai Unióba történő felvételére vonatkozó tárgyalások során a schengeni vívmányokat és az intézmények által az ezek hatálya alá tartozó területen hozott további intézkedéseket olyan vívmányoknak kell tekinteni, amelyeket a tagjelölt országoknak teljes egészében el kell fogadniuk”. A csatlakozási szerződés 3. cikkének (2) bekezdésében került rögzítésre az az értékelési folyamat, amelynek végén a Tanács által hozott határozat alapján hazánk a schengeni térség teljes jogú tagjává válhat.
A SIS-t nem úgy tervezték, hogy fogadni tudja az Európai Unió megnövekedett számú tagállama, valamint a rendszerhez csatlakozni kívánó egyéb országok belépéséből származó megnövekedett igényeket, és a rendszerrel szemben megfogalmazott új követelményeket (terrorizmus elleni harc, határon átnyúló bűnözés stb.).
A fenti igények megjelenése, az információtechnológia legutóbbi fejlesztései nyújtotta előnyök kihasználása és az új funkciók bevezetésének lehetővé tétele érdekében 2001-ben döntést hoztak a Schengeni Információs Rendszer második generációjának (SIS II) kifejlesztéséről. Ez a munka azonban vontatottan haladt, melynek oka részben a közbeszerzési eljárások elhúzódása, részben a fejlesztési célkitűzések változása, új funkciók időközbeni beiktatása volt. Új funkciókat jelentett többek között a terrorizmus elleni harccal és a gépjárművekkel összefüggő eljárások SIS II-be történő illesztése.
A megváltozott körülményekre tekintettel a Tanács úgy határozott, hogy a rendszer fejlesztésének befejezését 2006. december 31-ről 2007. december 31-re halasztja.
A SIS II rendszernek biztosítania kell
(a) a határellenőrzésért,
(b) az országon belüli egyéb rendőrségi és vámellenőrzések
végrehajtásáért és összehangolásáért,
(c) a vízumok és tartózkodási engedélyek kiadásáért, valamint
a külföldiekkel kapcsolatos igazgatási ügyekért,
felelős hatóságok számára, hogy automatizált lekérdezési eljárás révén hozzáférjenek a személyekre, járművekre és tárgyakra vonatkozó figyelmeztető jelzésekhez.
A SIS két külön részből áll: az egyiket a központi rendszer (C.SIS) alkotja, a másikat a nemzeti rendszerek (N.SIS) összessége (országonként egy rendszer). A SIS azon elv alapján működik, hogy a nemzeti rendszerek egymás között nem tudják közvetlenül kicserélni a számítógépes adatokat, csak a központi rendszeren keresztül. Találat esetén a kiegészítő adatokat viszont két- és többoldalú alapon egymás között kell kicserélni.
Magyarország is tagja a SIS II rendszert alkalmazni kívánó országoknak, így a rendszerre vonatkozó előírásokat, eljárásokat alkalmaznia kell.
Magyarország teljes jogú schengeni tagságának előkészítéseként ez év márciusában az Európai Unió tagállamainak szakértőiből álló értékelő bizottság látogatott el az adatvédelmi biztos hivatalába. A jelenleg hatályos schengeni joganyag és a kidolgozás alatt álló SIS II létrehozására, működtetésére és használatára vonatkozó javaslatok egyaránt rendelkeznek arról, hogy a részes felek a Schengeni Információs Rendszer nemzeti része (N. SIS) adatállományának független felügyeletéért felelős ellenőrző hatóságot jelölnek ki. Magyarországon a Schengeni Információs Rendszer adatvédelmi ellenőrzéséért az adatvédelmi biztos lesz a felelős.
Az értékelő bizottság látogatását megelőzően egy kérdőívet kellett kitölteni, mely a szakértők felkészülését segítette. A szakértők látogatásuk során azt vizsgálták, hogy megvan-e az a szükséges jogszabályi felhatalmazás, amely alapján az adatvédelmi biztos ellenőrizheti az N.SIS adatállományát. Vizsgálták továbbá, hogy az adatvédelmi biztos rendelkezik-e a vizsgálatok elvégzéséhez szükséges megfelelő személyi és pénzügyi erőforrással, továbbá, hogy megvan-e az a kellő szakmai és gyakorlati tapasztalat, amely a schengeni ellenőrzések elvégzéséhez nélkülözhetetlen.
A szakértők jelentésükben megállapították, hogy Magyarország adatvédelmi szempontból megfelel a schengeni térséghez történő csatlakozáshoz szükséges kritériumoknak, ugyanakkor a jelentésben néhány ajánlást is megfogalmaztak.
A látogatás során az értékelő bizottságot nem sikerült meggyőzni afelől, hogy az adatvédelmi biztos hatásköre ki fog terjedni a schengeni rendszerre is. Annak ellenére, hogy többször felhívtuk a szakértők figyelmét arra, hogy az Avtv. hatálya a Magyar Köztársaság területén folytatott minden olyan adatkezelésre és adatfeldolgozásra kiterjed, amely természetes személy adataira vonatkozik, nem sikerült a szakértők kétségeit eloszlatni. Jelentésükben annak a reményüknek adnak hangot, hogy „az adatvédelmi biztos hatásköre – összehasonlítva a jelenlegi jogosultságaival – a SIS és a SIRENE vonatkozásában nem fog csökkeni”.
Javasolták, hogy a rendőrségnél létrehozott SIRENE irodánál az adatvédelmi biztos legkésőbb a schengeni rendszer bevezetése előtt végezzen helyszíni ellenőrzést. A szakértők szorgalmazták, hogy az adatvédelmi biztos kapjon tájékoztatást a Külügyminisztériumnál a vízumkérdésre vonatkozó munkáról. Továbbá üdvözölték az adatvédelmi biztos azon ígéretét, miszerint a schengeni felkészülés keretében a biztos felkeresi és ellenőrzi azokat a magyar konzulátusokat, amelyek a legtöbb vízumot adják ki. A szakértők példaértékűnek találták ezt a kezdeményezést. Az érintettek tájékoztatása érdekében emellett ismeretterjesztő kampány megszervezését javasolták. Mindezeknek az új feladatoknak az elvégzésére megfelelő költségvetési forrás biztosítását kérik az Európai Unió szakértői.
Októberben a Tanács illetékes munkacsoportjának megküldött úgynevezett nyomon követési jelentésben (follow-up report) adtunk számot arról, hogy a jelentésben megfogalmazott ajánlások közül mit sikerült időközben megvalósítani. Munkatársaim rendszeres munkakapcsolatban állnak a SIRENE iroda munkatársaival, szakmai tanácsokkal segítik az adatvédelmi vonatkozású kérdések megválaszolását.
Beszámoltunk a magyar konzulátusok adatvédelmi ellenőrzéséről is. Májusban a kijevi, szeptemberben az ungvári és beregszászi, októberben a belgrádi és szabadkai konzulátuson ellenőriztem a vízumkiadás során az adatvédelem gyakorlatát.
Hivatalunk a SIS II rendszer jelenlegi kialakítási fázisában a személyes adatok kezelésével összefüggő feladatok hazai megvalósítási módjának előkészítését folyamatosan figyelemmel kíséri, az alkalmazók részéről a feladatok megoldása során felmerült kérdések megválaszolásában szakértői segítséget nyújt. Teszi ezt annak keretében, hogy az adatvédelmi biztos és az országos rendőrfőkapitány személyes találkozóján a rendőrség részéről erre vonatkozóan határozott igény merült fel.
Ez az iroda számára azért jelent új feladatot, mert a SIS II hazai bevezetésével összefüggésben 2003-ban a Belügyminisztérium keretén belül elkezdett előkészítő munkálatok kezdeti fázisában az adatvédelmi biztos jogosítványa nem terjedt ki a tevékenység felügyeletére.
A SIS II jogi és technikai feltételeinek hazai megteremtésében tevékenykedő munkacsoport tagjai vettek részt a hazai és a külföldön tartott egyeztető tárgyalásokon. A munkák során az idő előrehaladtával egyre inkább kiütköztek az egyes területeken tapasztalható rendezetlen viszonyokból adódó problémák.
Az egyes tagországok a SIS II központi rendszerében elhelyezik az úgynevezett „figyelmeztető jelzés”-t, ez a SIS II-be bevitt adatok halmaza, amely a hatáskörrel rendelkező hatóságok számára lehetővé teszi, hogy egy meghozandó egyedi intézkedésre tekintettel egy személyt vagy tárgyat azonosítsanak. Azonosítás estén a nemzeti hatóság által bevitt „kiegészítő adat” által tartalmazott információt veszik figyelembe, mely adat arra szolgál, hogy a figyelmeztető jelzést milyen okból helyezte el az adott ország hatósága a központi rendszerbe. Ezek az adatok minden ország rendelkezésére állnak, és a tagországok csak a központi rendszeren keresztül érhetik el azokat.
Amelyik ország hatóságainál a „figyelmeztető jelzés” alapján a rendszer találatot jelez, ott a hatóságnak kötelessége a jelzés alapján intézkedni. A szükséges intézkedést a „kiegészítő információ” tartalmazza, melyet a „figyelmeztető jelzés”-t a rendszerbe bevivő ország tárol, és közvetlen úton cserél ki annak a tagállamnak a hatóságával, ahol a találat volt.
A fentiek alapján látható, hogy a rendszer információáramlása két úton megy végbe, egyrészt a központi rendszeren keresztül, így a szükséges információk a tagállamok hatóságai számára közvetlenül elérhetők, másrészt adott ország hatóságai között közvetlenül, ahol erre szükség van.
Ez a megoldás az adott tagállamon belül szervezet meglétét írja elő, egyrészt az adatok pontosságáért, azok elhelyezésének jogosságáért és naprakészségéért felelős szervezetet, másrészt a technikai hátteret biztosító számítógépes szolgálatot. Az előbbi szervezetet az adott ország SIRENE Irodája képezi, mely Magyarországon az ORFK NEBEK keretében működik. Ez az egység a EU által elfogadott SIRENE kézikönyv előírása alapján az egyedüli kapcsolattartó pont az adott tagállamban.
A technikai hátteret biztosító számítógépes szolgáltatást Magyarországon egy korábbi döntés értelmében a Központi Hivatal nyújtja, mely hivatal korábban a Belügyminisztériumhoz tartozott.
Az iroda munkatársai folyamatosan figyelemmel kísérik a schengeni csatlakozás feltételeinek teljesülését, és rendszeresen konzultálnak az ORFK munkatársaival az adatkezelésre vonatkozó rendeletek érvényesülése érdekében. A rendszer működésének kezdete után ellenőrizni fogják az előírások betartását a napi gyakorlat során.
Az iroda készen áll arra, hogy Magyarország schengeni térséghez történő csatlakozásától kezdődően ellenőrizze a SIS nemzeti részét. Reményeink szerint a belső határokon az ellenőrzés megszüntetésére vonatkozó politikai döntés nem várat magára sokáig, és talán a portugál javaslatot (SISone4all) elfogadva már 2007 végén ellenőrzés nélkül léphetjük át a határt.
A magyar konzulátusok vízumkiadásának adatvédelmi ellenőrzése
A személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény és az állampolgári jogok országgyűlési biztosáról szóló 1993. évi LIX. törvény felhatalmazása alapján, továbbá Magyarország teljes jogú schengeni csatlakozására tekintettel az adatvédelmi biztos munkatársaival 2006-ban három alkalommal folytatott helyszíni ellenőrzést határainkon kívül:
Május 29-30 között a Magyar Köztársaság kijevi konzulátusán, Szeptember 19-20 között Ungváron és Beregszászon,
Október 24-25-én Belgrádban és Szabadkán.
A vizsgálatok a vízumkiadás adatvédelmi vonatkozásait érintették, a klasszikus konzuli ügyeket nem.
Az adatvédelmi biztos most ellenőrizte először magyar konzulátusok vízumkiadását.
A kijevi ellenőrzés
2005-ben Ukrajnában a magyar konzulátusokon 210625 vízumot adtak ki, ebből Kijevben 54562-öt. A vízumkiadás ilyen jelentős forgalma miatt döntött úgy az adatvédelmi biztos, hogy először az ukrajnai magyar konzulátusokon végez ellenőrzést. Az ungvári konzulátus májusi költözése miatt az ottani ellenőrzést őszre halasztottuk.
A vízumügyintézés és a klasszikus konzuli ügyek intézése a Konzuli Információs Rendszeren (KIR) keresztül történik. A vízumügyintézés során az egyes adminisztratív fázisok (vízumkérelmek átvétele, adatbevitel, döntéshozatal, vízumbélyeg nyomtatás) jól elkülönülnek egymástól. A konzulátuson ez az elkülönülés fizikailag is jól megoldott.
A konzulátuson dolgozók a KIR azon részéhez férnek hozzá, melyre munkájuk ellátásához jogosultságuk kiterjed. A rendszer minden módosítást naplóz.
A vízumkérelmek leadásakor a kérelmezők leadják útlevelüket, az útlevél adatlapjának fénymásolatát, a kitöltött vízumkérelmet és egyéb szükséges dokumentumot (meghívólevél, szálláshely visszaigazolás stb.). A vízumkérelmek átvételét követően az útlevél adatait útlevél leolvasó segítségével felviszik a rendszerbe. Ha a beolvasás nem tökéletes, akkor manuálisan rögzítik az adatokat. A vízumkérelem elbírálásához szükséges további, az útlevélben nem szereplő adatokat szintén manuálisan rögzítik, például a balesetbiztosítás időtartama. Az adatbevitelt követően a vízumkérelem a konzulhoz kerül. A kérelem elbírálásának megkezdésekor a konzulok egy, a képernyőn megjelenő ablakban tájékoztatást kapnak arról, hogy a vízumkérelmező adatai szerepelnek-e a tiltónévjegyzékben és az elveszett úti okmányok adatbázisában. A tiltónévjegyzékhez és az elveszett úti okmányok adatbázishoz hozzáférési jogosultsága kizárólag a konzuloknak van. A tiltónévjegyzékben és az elveszett úti okmányok adatbázisában keresni nem lehet, egy-egy ügyhöz kapcsolódóan jelez találatot a rendszer, vagy jelzi, hogy az adott személy nem szerepel az adatbázisban.
A KIR a vízumkérelmezők adatait a Külügyminisztériumon (KÜM) keresztül a Bevándorlási és Állampolgársági Hivatalba (BÁH) továbbítja. A klasszikus konzuli ügyek adatai a Külügyminisztériumnál maradnak. A jogszabályban meghatározott esetekben a vízumkérelem ügyében nem a konzulátuson születik döntés, hanem a rendszerben továbbított adatok alapján a BÁH dönt a kérelem ügyében.
A külföldiek beutazásáról és tartózkodásáról szóló 2001. évi XXXIX. törvény (Idtv.) 79. § (2) bekezdése értelmében a vízumkérelmek és a kiadott vízumok alapján a külföldi adatait a központi adatkezelő szerv (BÁH) a vízum érvényességi idejének lejártát követő öt évig, az illetékes idegenrendészeti hatóság (konzulátus) a vízum érvényességi idejének lejártát követő egy évig kezeli. Ezt a rendelkezést a papíralapú iratok esetén betartják, mivel a konzulátuson a vízumkérelmeket és a vízumkérelem elbírálásához szükséges további iratokat évente selejtezik. A KIR-ben azonban az adatok törlése nem megoldott, a rendszer minden adatot megőriz, mivel nincs (automatikus) törlési funkciója.
A KÜM tájékoztatása alapján a közeljövőben kezdeményezni fogják az Idtv.-nek az adatmegőrzés határidejére vonatkozó rendelkezéseinek módosítását. Jelenleg ez ellen a módosítás ellen nincs kifogásom, hiszen a Vízuminformációs Rendszerre vonatkozó uniós jogszabálytervezetek is a vízumkérelmek ötéves megőrzését írják elő. Ugyanakkor fenntartom a jogot arra nézve, hogy a jogszabály módosítása során erre a kérdésre még visszatérjek, figyelembe véve az Európai Unió akkor hatályos vonatkozó normáit és a többi tagállam szabályozását.
A papír alapú iratok tekintetében az irattározás rendje áttekinthető, a pincében elhelyezett, zárt irattárban őrzik az iratokat. A vízumkérelmeket egy évig őrzik, kivéve azokat a vízumokat, amelyeknél a vízum érvényességi ideje hosszabb, mint egy év. Az elutasított kérelmeket öt évig őrzik. Mivel az Idtv. nem rendelkezik az elutasított vízumkérelmek esetén a kérelemben szereplő adatok kezelésének időtartamáról, e tekintetben a jogszabály módosítása szükséges.
A vízumkérelmezők tájékoztatása megfelelő. Az interneten kétnyelvű honlapon található információ a Magyarországra történő utazáshoz szükséges feltételekről. Természetesen a szükséges információt a konzulátuson is meg lehet kapni.
A helyi konzuli együttműködés keretében az Európai Unió néhány tagállama megküldte azon kérelmezők listáját, akiknek a vízumkérelmét elutasították. A kapott tájékoztatás alapján a kérelmezőkkel kapcsolatos személyes adatok átadása más állomáshelyeken ugyanakkor jelenleg is folytatott gyakorlat, így szükségesnek tartom megteremteni az ilyen módon szerzett adatok kezelésének jogalapját.
A vizsgálat megállapította, hogy a Magyar Köztársaság kijevi konzulátusán a vízumkiadás során az adatkezelés, adatvédelem megfelel a jogszabályi előírásoknak.
A már több alkalommal továbbfejlesztett KIR, amelynek adattartalma megfelel a jogszabályban előírtaknak, megfelelő számítástechnikai hátteret biztosít. Jelenleg azonban nem biztosított az adatoknak a rendszerből történő törlése. Az erre irányuló szoftverfejlesztést, amely figyelembe veszi az Idtv. vonatkozó, esetleges módosítását , minél hamarabb el kell végezni.
Az úti okmányok adatoldalának fénymásolása szükségtelen, hiszen az úti okmány a vízum kiadásáig ott marad a konzulátuson, azaz ellenőrizni lehet, hogy a vízumkérelemben szereplő adatok azonosak-e az útlevél adataival. A vízumkérelem elbírálásához az útlevél adatait vagy útlevél-leolvasó segítségével, vagy manuálisan rögzítik a KIR-ben, tehát az útlevélben megtalálható adatok a számítástechnikai rendszerbe is bekerülnek. Emellett szükségtelen az úti okmány fénymásolása és a fénymásolat őrzése. Ilyen irányú kötelezettséget az Idtv. sem ír elő.
Megismerve a konzulátuson folyó munkát, amelynek a szakmai munka mellett nagyon sok adatvédelmi vonatkozása van, javasoltuk, hogy a konzulátusokon nevezzenek ki adatvédelmi felelőst. Az adatvédelmi felelős lenne megbízva az adatkezeléssel összefüggő kérdések meghozataláért, az érintettek jogainak biztosításáért és az adatvédelmi jogszabályi rendelkezések és belső utasítások maradéktalan betartásáért. Figyelembe véve ugyanakkor azt a tényt, hogy nem minden konzulátuson azonos a munkateher, megoldási javaslatként merülhet fel adatvédelmi tárgyú továbbképzések megszervezése a konzuli munkatársak részére a Külügyminisztérium keretén belül.
Az ungvári főkonzulátus és a beregszászi ügyfélszolgálati iroda ellenőrzése
A vizsgálat megállapította, hogy a Magyar Köztársaság ungvári főkonzulátusán és a főkonzulátus beregszászi ügyfélszolgálati irodáján a vízumkiadás során az adatkezelés, adatvédelem a következő ajánlások figyelembevételével megfelel a jogszabályi előírásoknak.
Szükségtelennek és adatvédelmi szempontból kifogásolhatónak találtuk, hogy a konzuli adminisztrátorok képernyőjén megjelenő ablak a kérelmező adatainak tiltónévjegyzéken történő esetleges előfordulására enged következtetni. A tiltónévjegyzék megismerése kizárólag a konzuli tevékenységhez kapcsolódhat.
Beregszászon az útlevelek kiadása úgy történik, hogy a konzulátus udvarán állók közül név szerint szólítják az útlevél tulajdonosát. Javasoltuk, hogy a szólítás ne név szerint, hanem sorszám alapján történjen. A kérelmezők a kérelem benyújtásakor két példányban kapnak sorszámot. Ezek közül az egyik a kérelmezőnél marad, a másikat a benyújtott dokumentumokhoz tűzik. A sorszám kiadás ilyen módszere mellett nem látjuk akadályát a sorszám alapján történő szólításnak.
A vizsgálat során a konzulok részéről két adatvédelmet érintő kérdés fogalmazódott meg. Az egyik a meghívó fél adatainak kezelésére vonatkozik. A Magyar Köztársaság Kormánya és Ukrajna Miniszteri Kabinetje között az állampolgárok utazásának feltételeiről szóló, Kijevben 2003. október 9-én elfogadott megállapodás [199/2003. (XII.10.) Korm. rendelet] értelmében és az annak alapján kialakult gyakorlat során az ukrán állampolgároknak meghívólevelet csak a tartózkodási, D típusú vízumkérelemhez kell bemutatni, a C típusú vízumhoz nem. Ezek után esetenként felmerül a kérdés, hogy a Vízumkérelem a Magyar Köztársaságba történő beutazáshoz elnevezésű nyomtatvány 34. pontjában szereplő meghívó személy személyes adatai a valóságnak megfelelnek-e, és hogy a meghívóként megjelölt személy valójában biztosít-e szállást a beutazónak, gondoskodik-e eltartásáról. A Külügyminisztérium tájékoztatása alapján a rovat kitöltése mindenképpen szükséges, ezért a vízumkiadásakor a szúrópróbaszerű ellenőrzést javaslom, így bizonyosodva meg afelől, hogy a vízumkérelemben szereplő természetes személy adatai valósak, és valóban ő a meghívó fél.
Bár adatvédelmi kérdést csak közvetve érint, kértem a Külügyminisztériumot, vizsgálja meg, hogy a megállapodás kormányrendeletben történt kihirdetése megfelel-e a magyar jogalkotási előírásoknak.
Egy másik kérdés az akkreditált utazási irodák által szervezett utazáson Magyarországra látogatók Ukrajnába történő visszatérésére vonatkozik, abból a célból, hogy a konzulátus ki tudja szűrni azokat az irodákat, melyekkel az utazók egy része nem tér vissza hazájába.
A Határőrségtől történő tájékoztatás kérése helyett célszerűbb lenne az akkreditációs feltételek között szerepeltetni egy olyan feltételt, hogy az utazási irodának a csoport visszatérését követően a vízumot kiadó konzulátusra el kell juttatnia egy statisztikát arról, hogy hányan utaztak el a csoporttal, és ebből hány utas tért vissza Ukrajnába/maradt Magyarországon. A Határőrség bűnüldözési, bűnmegelőzési, rendészeti, honvédelmi és államigazgatási célból folytat adatkezelést. A fent említett adatkérés célja pedig az utazási iroda működésének vizsgálata lenne.
Ahogy azt már a kijevi konzulátus ellenőrzéséről szóló megállapításaimban is tettem, ebben az esetben is hangsúlyozni szeretném az Idtv. módosításának és ezzel párhuzamosan a KIR fejlesztésének szükségességét. A KIR-ben az adatok törlése nem megoldott. A korábbiakban a KüM arra tett ígéretet, hogy a SIS II bevezetésekor orvosolják a KIR hiányosságait. A SIS II bevezetésének már több ízben történő elhalasztása azonban felveti azt a kérdést, hogy a SIS II bevezetéséig elodázhatóak-e ezek a fejlesztések.
A Magyar Köztársaság belgrádi nagykövetsége konzuli osztályának és szabadkai főkonzulátusának adatvédelmi ellenőrzése
A 2005-ös adatok szerint Szerbiában adják ki a magyar vízumok 30 %-át, 12 %-ot Belgrádban, 18%-ot Szabadkán.
A vízumügyintézés és a klasszikus konzuli ügyek intézése a Konzuli Információs Rendszeren keresztül történik. A vízumügyintézés során az egyes adminisztratív fázisok – a kárpátaljai tapasztalatainkkal megegyezően – jól elkülönülnek egymástól. Az adatbiztonságot szolgálja, hogy az érdemi ügyintézést (kérelem elbírálása, vízumbélyeg nyomtatása) konzulok, illetve vízumadminisztrátori beosztásban dolgozó magyar kiküldöttek végzik, míg a helyi alkalmazottak csupán az adminisztrációban (kérelmek átvétele) vesznek részt. A belgrádi konzulátuson az adatok rögzítését is vízumadminisztrátori beosztásban dolgozó magyar kiküldöttek végzik.
A konzulátuson dolgozók itt is csak a KIR azon részéhez férnek hozzá, melyre munkájuk ellátása érdekében jogosultságuk kiterjed.
A rendszer minden módosítást naplóz.
Szerbiában akkreditált utazási irodák mellett, az úgynevezett Concordia Minoritatis Hungaricae (CMH) hat helyi kirendeltsége is gyűjti a vízumkérelmeket az erre vonatkozó megállapodásnak megfelelően.
A vízumkérelmek átvételét követően az útlevél adatait manuálisan rögzítik a KIR-ben, mivel a Szerbiában kiállított útlevelek gépi leolvasásra nem alkalmasak. A vízumkérelem elbírálásához szükséges további, az útlevélben nem szereplő adatokat szintén rögzítik, például a balesetbiztosítás időtartamát. Az adatok bevitelét követően a konzuli adminisztrátorok képernyőjén – attól függően, hogy a kérelmező szerepel a tiltó névjegyzékben vagy nem – egy ablak jelenik meg a következő információval: „A kérelmező nagy valószínűséggel szerepel a kiutasítási listán vagy az elveszett útiokmányok listáján.” vagy „A kérelmező adatai nem szerepelnek sem a tiltó névjegyzékben, sem az elveszett útiokmányok adatbázisában.”
Az adatbevitelt követően a vízumkérelem a konzulhoz kerül.
A kérelem elbírálásának megkezdésekor a konzulok egy, a képernyőn megjelenő ablakban tájékoztatást kapnak arról, hogy a vízumkérelmező adatai szerepelnek-e a tiltó névjegyzékben és az elveszett úti okmányok adatbázisában.
A vízum kiadásakor a vízumbélyeggel ellátott útlevél visszakerül az útlevél tulajdonosához, a vízumkérelem adatlapját irattárban őrzik. Elutasított vízumkérelem esetén az útlevélben látható a kérelem átvételét jelző pecsét, amely jelzi, hogy a kérelmet elutasították. Elutasított D vízumoknál a kérelmező írásban egy formanyomtatványon kap tájékoztatást kérelme elutasításának okáról.
A KIR a vízumkérelmezők adatait a Külügyminisztériumon keresztül a Bevándorlási és Állampolgársági Hivatalba továbbítja. A jogszabályban meghatározott esetekben a vízumkérelem ügyében nem a konzulátuson születik döntés, hanem a rendszerben továbbított adatok alapján a BÁH vagy a Külügyminisztérium dönt a kérelemről.
A papír alapú iratok tekintetében az irattározás rendje mind a konzulátuson, mind a főkonzulátuson áttekinthető, zárt irattárban őrzik az iratokat.
Az irattárba csak konzul léphet be, vagy az ügyintézők konzul kíséretében. A vízumkérelmeket a vízum érvényességének lejártát követően egy évig őrzik, kivéve azokat a vízumokat, amelyeknél a vízum érvényességi ideje hosszabb, mint egy év. Az elutasított kérelmeket öt évig őrzik.
A vízumkérelmezők tájékoztatása céljából a konzulátuson és a főkonzulátuson két nyelven olvasható információ a Magyarországra történő utazáshoz szükséges feltételekről.
A vizsgálatról szóló jelentésünk összegzése megállapította, hogy a Magyar Köztársaság belgrádi nagykövetségének konzuli osztályán és szabadkai főkonzulátusán a vízumkiadás során az adatkezelés, adatvédelem a következő ajánlások figyelembevételével megfelel a jogszabályi előírásoknak.
A zárt rendszerű biztonsági kamerákról az ügyfeleket már az épületbe/udvarra való belépéskor jól látható módon tájékoztatni kell.
A szabadkai főkonzulátus honlapja csak magyar nyelven érhető el. Az ügyfelek tájékoztatását egy többnyelvű (magyar és szerb) honlap szolgálná megfelelően. Elfogadható megoldást jelenthetne, ha a honlapról link mutatna a belgrádi nagykövetség szerb nyelvű oldalára, ahol a szükséges információk szerb nyelven megtalálhatóak.
A szabadkai főkonzulátuson többször előfordult, hogy a vízumigénylő adatai annak ellenére szerepeltek a tiltó névjegyzékben, hogy már nem állt beutazási és tartózkodási tilalom alatt. Az ügy tisztázásának érdekében levélben kerestem meg a Bevándorlási és Állampolgársági Hivatalt, a tiltó névjegyzék adatkezelőjét.
Megkeresésemre a BÁH főigazgatója arról tájékoztatott, hogy a BÁH beutazási és tartózkodási tilalom adatbázis változásait naponta, illetve a teljes adatbázist hetente elektronikus úton továbbítja a Külügyminisztérium illetékes szervéhez, amely gondoskodik a külképviseleteken lévő adatbázis frissítéséről. Vélhetően az adatbázis frissítés részben vagy egészben történő meghiúsulása okozhatja a problémát. A BÁH és a KüM informatikai szakemberei egy új, jelenleg tesztelés alatt álló informatikai megoldást dolgoztak ki, mellyel elkerülhetők az ilyen problémák.
A szabadkai főkonzulátuson bemutatták annak a felmérésnek az eredményét, melyet az ügyfelek körében végeztek a főkonzulátus munkájának értékeléséről. Az ilyen felmérés eredménye közérdekű adatnak minősül, és az Avtv. 19. §, valamint az elektronikus információszabadságról szóló 2005. évi XC. törvény az ilyen adat közzétételét írja elő. Meggyőződésem, hogy a felmérés eredményének közzététele az ügyfelekkel való hatékony együttműködést is elősegíti.
Váminformációs rendszer
A vámügyi együttműködés fejlesztése során az információcsere elősegítése érdekében a tagállamok és a Bizottság által egyformán hozzáférhető automatizált Váminformációs Rendszer (CIS) kialakításáról döntöttek, amelynek első és harmadik pilléres jogi alapját az 515/97/EK rendelet és az 1995. június 26-i Egyezmény teremtette meg. Ez utóbbit Magyarországon a 2005. évi XCIX. törvény hirdette ki. A Bizottság által kifejlesztett CIS célja a vámügyekkel, a mezőgazdasággal és a kábítószerek prekurzor anyagaival kapcsolatos szabálytalanságok és csalások feltárásának elősegítése.
A CIS egyik legfőbb jellemzője, hogy a tagállam által kijelölt illetékes nemzeti hatóság (a 2005. évi XCIX törvény 3. §-a alapján a Vám- és Pénzügyőrség) közvetlen adatbeviteli lehetőséggel rendelkezik.
A nemzeti adatbázisban szereplő adatok központi rendszerbe történő rögzítését csak „jóváhagyó” („authorizer”) jogosultsággal rendelkező végezheti, aki a rögzítés során vizsgálja az adatok jogszerűségét és az adatvédelmi szabályok érvényesülését. A bevitt adatokat bármelyik regisztrált felhasználó lekérdezheti. A felhasználói jogosultság megadása a „jóváhagyó” által aláírt formanyomtatvány alapján az OLAF-nál történik. A felhasználói jogosultság beállításáról és egyéb kapcsolódó információkról a „jóváhagyó”-t értesítik; a felhasználónak az első belépés során kötelező a jelszót megváltoztatni.
A lekérdezések 1%-át automatikusan rögzítik annak ellenőrzése céljából, hogy a lekérdezés jogszerű volt-e, illetve az arra felhatalmazott felhasználó hajtotta-e végre azt. Ezt a nyilvántartást hat hónap múlva törlik.
Az információk tárolása az OLAF3-nál található központi adatbázisban történik. A tárolt adatokat évente felülvizsgálják. Azon adatokat, amelyek a CIS céljainak eléréséhez már nem szükségesek, áthelyezik az úgynevezett korlátozott területre („grey zone”). Ez a terület kizárólag adatvédelmi ellenőrzés céljából hozzáférhető; az adatokat innen egy év múlva törlik.
A tagállami hatóságok közvetlenül, az AFIS4 levelező rendszerén keresztül is cserélhetnek információt.
Az OLAF által kidolgozott és a tagállamok által alkalmazandó Műveleti Eljárások Kézikönyve tartalmazza a CIS céljait, jogi hátterét, a képzésre vonatkozó előírásokat, az adatbiztonsági alapelveket és minimum-követelményeket, továbbá a személyes adatok védelmére vonatkozó szabályokat.
A CIS adatvédelmi felügyelete többrétű:
– az első pillérbe tartozó ügyek esetében a tagállami adatbázist a nemzeti adatvédelmi ellenőrző hatóság, az OLAF-nál lévő központi adatbázist az európai adatvédelmi felügyelő és az OLAF adatvédelmi felelőse ellenőrizheti; közös és egységes megoldást kívánó problémák megtárgyalására a 505/97/EK rendelet 43. cikk (5) bekezdésében hivatkozott ad-hoc bizottság keretében van lehetőség;
– a harmadik pillérbe tartozó ügyek esetében a tagállami adatbázist a nemzeti adatvédelmi ellenőrző hatóság, európai szinten pedig a közös adatvédelmi ellenőrző hatóság (Customs Joint Supervisory Authority – Customs JSA) felügyeli. Az adatvédelmi biztos 2006 nyara óta tagja a közös adatvédelmi ellenőrző hatóságnak.
A CIS-ben 375 harmadik pillér hatálya alá tartozó „élő” ügy volt (a rögzített ügyek száma 470) 2006. április 30-ig.
A CIS harmadik pillér hatálya alá tartozó részében 1.311 felhasználót regisztráltak, s 4.915 lekérdezést hajtottak végre 2006. április 30-ig.
Magyar adatok: 1. pillér 3. pillér
Aktív ügyek száma: 8 0
Élő ügyek száma: 11 0
Regisztrált felhasználók: 328 305
Lekérdezések száma: 86 5
2006. júniusban a Customs JSA úgy döntött, hogy valamennyi tagállamban egységes adatvédelmi ellenőrzést kell tartani a CIS vonatkozásában. Az e célból, a Tanács Adatvédelmi Titkárság által összeállított kérdőív az OLAF-nál tett látogatás megállapításain alapul, s főleg adatbiztonsági kérdéseket (eljárási rend és kötelezettségek, képzés, felhasználói jogosultság törlése, fizikai és környezeti biztonság, jelszóhasználat, a rendszerhasználat felügyelete és ellenőrzése, stb.) tartalmaz.
A Customs JSA a konkrét kérdések megválaszolásán kívül az alábbiak vizsgálatát is javasolta:
– az OLAF által kiadott különböző technikai és szervezési intézkedéseket tartalmazó dokumentumok adaptálása megtörtént-e, hatékonyan alkalmazhatók-e, beleértve az esetleges problémák feltárását is;
– az OLAF meglátása szerint sok az olyan regisztrált felhasználó, aki sosem használta a rendszert.
Az említett kérdőív megválaszolása érdekében felkerestük a Vám- és Pénzügyőrség Országos Parancsnokságát, ahol ízelítőt kaptunk a CIS felépítéséről és működéséről.
A látogatás alapján megállapítottuk, hogy Magyarországon a CIS adta lehetőségek kihasználása nem teljes mértékű. A munkatársak meglátása szerint a tagországok nem töltik fel a rendszert naprakész adatokkal, mondván, úgysem sokan használják. Akik nem veszik igénybe a szolgáltatást, arra hivatkoznak, hogy a rendszer tartalma nem naprakész, s például sürgős esetben a faxon történő adatcsere gyorsabb, mint a CIS használata. Ennek ellenére a Vám- és Pénzügyőrség a munkatársak folyamatos oktatásával és tájékoztatással igyekszik a lehetőség jobb kiaknázását megteremteni.
Az adatbázis első pilléres részét azok a magyar szervek, amelyeknek a jogszabályi háttér lehetővé tenné a hozzáférést, nem veszik igénybe, inkább a Vám- és Pénzügyőrségtől kérnek adatszolgáltatást.
A Vám- és Pénzügyőrség véleménye szerint a CIS használatának hatékonyságát „rontja”, hogy az egyes modulokhoz külön jelszóval lehet hozzáférni, ami egy-egy munkatárs esetében azt jelenti, hogy az általa igénybe vett adatbázisok miatt 8-10-15 jelszót is meg kell jegyeznie.
Adatvédelmi ellenőrzési problémát jelent, hogy a CIS használatával kapcsolatos valamennyi (első és harmadik pilléres) naplóadatot az OLAF kezeli és tárolja, így a jogszabályok alapján a nemzeti rendszer igénybevétele jogszerűségének vizsgálatára felhatalmazott adatvédelmi biztosnak az OLAF-tól kell kérnie az ellenőrzés alapját képező naplóadatokat. Ezen az sem segítene, ha az adatvédelmi biztos a CIS-hez közvetlenül hozzáférne, mivel a legmagasabb jogosultsági szint sem terjed ki a naplóadatokba történő betekintésre.
Az adatbiztonsági előírások az OLAF előírásainak figyelembevételével készültek, helyenként azonban a szigorúbb magyar szabályokat alkalmazzák.
Europol, NEBEK
2006-ban új feladatként jelentkezett, hogy a nemzetközi bűnügyi információcsere, ezen belül az Európai Rendőrségi Hivatallal (Europol) folytatott együttműködés adatvédelmi felügyelete az adatvédelmi biztoshoz került. Az uniós csatlakozási tárgyalások során, a bel- és igazságügyi fejezet keretében jelent meg feltételként az úgynevezett „egyablakos elv” jogi és szervezeti keretének megteremtése.
Az „egyablakos elv” azt jelenti, hogy meghatározott feladatokat egy kijelölt központi hatóság lát el a tagállamban, amely a hazai koordináció mellett az uniós szervezettel való kapcsolattartásért is felelős, azaz közvetítő szerepet tölt be a hazai szervezetek és az uniós szervezet között.
E működési elvet tartalmazza az Európai Rendőrségi Hivatal létrehozásáról szóló, 1995. július 26-án aláírt Egyezmény (Europol Egyezmény) is, amely szerint a hágai székhelyű Europol két vagy több tagállamot érintő súlyos, nevesített bűncselekmények (terrorizmus, kábítószer- vagy embercsempészet, pénzmosás stb.) esetén – egyebek mellett – elemzési segítséget nyújt a tagoknak. Az elemzéshez szükséges adatokat és információkat a tagállamokban kijelölt nemzeti egységek gyűjtik össze a hazai nyomozó hatóságoktól, és továbbítják a kihelyezett összekötőknek. Az összekötők feladata az információk Europolnak történő átadása, illetve az Europol-elemzéshez (szakmai) segítség nyújtása. Az összekötők feladata az is, hogy az Europoltól vagy más tagországtól érkező adatkérést a nemzeti egységnek megküldjék.
Az „egyablakos elv”-nek való megfelelés céljából az Európai Unió bűnüldözési információs rendszere és a Nemzetközi Bűnügyi Rendőrség Szervezete keretében megvalósuló együttműködésről és információcseréről szóló 1999. évi LIV. törvény hozta létre az Országos Rendőr-főkapitányság szervezetében a Nemzetközi Bűnügyi Együttműködési Központot (NEBEK). A törvény hatálya kiterjed az Europollal, az Interpollal, a Schengeni Információs Rendszerben (SIS), az Európai Csalásellenes Hivatallal (OLAF), valamint a két- és többoldalú nemzetközi szerződések keretében vagy az európai közösségi jogi normák alapján megvalósuló bűnügyi együttműködésre és információcserére, továbbá meghatározza a NEBEK feladatait és az adat- és információcsere hazai szereplőkre vonatkozó szabályait. A NEBEK a törvényben meghatározott teljes hatáskörű működését csak 2002. januárban kezdte meg.
A törvény eredetileg tartalmazta a NEBEK adatkezelése és adattovábbítása tekintetében a független adatvédelmi ellenőrzés „intézményrendszerét” is, amelyet a Belügyminisztériumban 2002. áprilisi hatállyal létrehozott önálló osztály testesített meg. Később, 2001. december 25-i hatállyal, a Magyar Köztársaság és az Európai Rendőrségi Hivatal között Budapesten, 2001. október 4-én aláírt Együttműködési Megállapodás kihirdetéséről szóló 2001. évi LXXXIX. törvény csak az Europollal folytatott adatcserére korlátozta az adatvédelmi ellenőrzést úgy, hogy az előbb említett önálló osztályt még létre sem hozták.
Ezt követően a 2006. február 16-án kihirdetett, az Európai Unióról szóló Szerződés K.3. cikkén alapuló, az Európai Rendőrségi Hivatal létrehozásáról szóló, 1995. július 26-án kelt Egyezmény (Europol Egyezmény) és Jegyzőkönyveinek kihirdetéséről, valamint a Rendőrségről szóló 1994. évi XXXIV. törvény módosításáról szóló 2006. évi XIV. törvény hatályon kívül helyezte a NEBEK adatvédelmi felelősére vonatkozó rendelkezéseket, s az adatvédelmi biztost jelölte meg az Europol Egyezmény 23. cikke szerinti önálló nemzeti adatvédelmi felügyelő hatóságként, valamint a 24. cikk szerinti Közös Adatvédelmi Ellenőrző Hatóság (Europol Joint Supervisory Body – Europol JSB) tagjaként.
2006 májusára valósultak meg az új feladat személyi és technikai feltételei, s az országos rendőrfőkapitánnyal folytatott megbeszélés után megkezdődtek az adatvédelmi ellenőrzések. 2006 második felében a NEBEK-nél tartott három ellenőrzés során 14 ügyet, a hágai
összekötő irodában tartott vizsgálat alatt 12 ügyet tanulmányoztunk.
A NEBEK igazgatója az adatvédelmi biztos véleményét kérte arról, hogy az elektronikus iktatórendszerük eleget tesz-e az adattovábbítási nyilvántartás követelményeinek. Arról is tájékoztatott, hogy – a schengeni csatlakozás előkészítése keretében – új elektronikus ügyfeldolgozó rendszer fejlesztésén dolgoznak, amelynél az adattovábbítási nyilvántartással kapcsolatban – válaszomtól függően – alkalmaznák a jelenlegi rendszer megoldásait. A vélemény elkészítéséhez munkatársaink az első ellenőrzés során elvégezték a mostani iktatóprogram adattovábbítási nyilvántartási szempontú vizsgálatát.
A NEBEK 2004. május 1-jétől vezette be az elektronikus iktatórendszert, amelynek célja a „papírmentes iroda” („paperless office”) megteremtése volt. Az iktatórendszer a hagyományos adatokon (iktatószám, tárgy, küldő szerv, dátum stb.) kívül tartalmazza a rendszer bevezetését követően keletkezett iratok elektronikus változatait is.
A NEBEK működésének 2002. januári indulásáig visszamenőleg csak az ügyek főbb paramétereit (iktatószám, tárgy, küldő, ügyintéző, stb.) rögzítették, az iratok beszkennelését utólag nem végezték el, ezért előfordul, hogy például egy 2004 áprilisában érkezett adatkérést nem, míg az arra adott májusi válasz elektronikus iratát tartalmazza a rendszer.
A NEBEK vezetői és munkatársai eltérő jogosultsági szinttel rendelkeznek: előbbiek – beosztástól függően – szélesebb adattartalomhoz férnek hozzá (például betekinthetnek az irányításuk alatt álló ügyintézőnél lévő ügybe), ügyintéző-kijelölési, kiadmányozási stb. joguk van, míg a munkatársak hozzáférése csak a saját ügyeikre és néhány kereső funkció használatára terjed ki. Az iratok beszkennelése az iktatást végző szervezeti egység feladata. Tekintettel arra, hogy technikailag nem megoldható a csak olvasási jogosultság beállítása, az adatvédelmi ellenőrzést végző munkatársaim „ügyintézői” jogosultságot kaptak az elektronikus iktatórendszerhez feladataik ellátása céljából. A rendszer a hozzáféréseket és műveleteket naplózza.
A többféle lekérdezési menüpont tesztelése alapján megállapítottuk, hogy a jelenlegi elektronikus iktatórendszer kisebb-nagyobb nehézségek árán, csak átmeneti jelleggel használható adattovábbítási nyilvántartásként. Tájékoztattuk az igazgatót arról is, hogy az adattovábbítási nyilvántartás vezetésétől általában eltekinteni nem lehet, s adott esetben az is probléma, ha egy rendszer túl bonyolultan képes betölteni ezt a funkciót. Felhívtuk a figyelmét, hogy az adattovábbítási nyilvántartás funkcióját és tartalmát tekintve nem azonos az iratnyilvántartással, s kértük, hogy az adattovábbítási nyilvántartás vonatkozásában erre legyenek figyelemmel az új ügyfeldolgozó rendszer kialakítása során.
Az adatvédelmi ellenőrzések során a fentiekben már említett, öszszesen 26 átvizsgált ügy alapján több hibát azonosítottunk, amelyek többsége nagyobb odafigyeléssel, pontosabb adminisztrálással elkerülhető lett volna.
Az egyik hiba, hogy az elektronikus iktatórendszerben nem tételesen, hanem csoportosítva szerepelnek azok az adatbázisok, amelyekből a törvény alapján a NEBEK közvetlen adatátvételre jogosult, s csak a lekérdezés tényét jelölik az adatbázis-csoport neve melletti rovatban5. Emiatt (a vizsgáltak közül 6 ügyben) nem volt egyértelműen megállapítható, hogy ki, melyik adatbázisból, milyen adatokat kérdezett le; ráadásul gyakran csak akkor rögzítik (például az összekötőnek küldött átiratban) a keresés eredményét, ha valamelyik nyilvántartásban találat volt.
Mivel „[…]a büntetőeljárás során vagy azt megelőzően a bűncselekménnyel vagy a büntetőeljárással összefüggésben, a büntetőeljárás lefolytatására, illetőleg a bűncselekmények felderítésére jogosult szerveknél, továbbá a büntetés-végrehajtás szervezeténél keletkezett, az érintettel kapcsolatba hozható, valamint a büntetett előéletre vonatkozó személyes adat” különleges adatnak minősül (Avtv. 2. § 2-3. pont), ezért különösen fontos, hogy pontosan nyomon követhető legyen: ki, milyen célból, melyik adatbázisból, milyen adatot vett át, tekintett meg vagy továbbított.
Jelentős probléma (a vizsgáltak közül 3 ügyben fordult elő), hogy az adatokat CD-n vagy mágneslemezen továbbítják úgy, hogy azokról másodpéldány a NEBEK-nél nem áll rendelkezésre, ezért megállapíthatatlan, hogy milyen személyes adatok átadására került sor. Ez a „megoldás” oda vezet, hogy amennyiben egy állampolgár a személyes adatai kezeléséről érdeklődik, valótlan vagy pontatlan lesz a tájékoztatás, s ezzel sérül alkotmányos jogának gyakorlása. Ilyen esetekben nem állapítható meg az sem, hogy a személyes adatok kezelése megfelel-e az Avtv. 7. §-ában előírtaknak: felvételük és kezelésük tisztességes és törvényes volt-e, a személyes adatok pontosak, teljesek és időszerűek voltak-e stb.
Egy olyan esetet is találtunk, amikor a személyes adatok továbbításának célja nem volt megállapítható, ezért kértük a személyes adatok törlését. Ebben az ügyben az adatkérő nyomozó hatóság leírta, hogy kikkel kapcsolatban, milyen célból és milyen adatokra lenne szüksége, egyúttal tájékoztatást kért az adatkérés teljesítésének feltételeiről. A válaszból kiderült, hogy nem a megfelelő helyen érdeklődött, emiatt a személyes adatok továbbítása céltalanul történt.
Figyelembe véve az Avtv. 5. § (1) és (2) bekezdésében6 írtakat, amennyiben az adatkérő tájékoztatást kér a szükséges információk beszerzésének feltételeiről, a személyes adatok feltüntetése szükségtelen a megkeresésben. Ha azonban az adatkérő tudja, hogy milyen adatokra van szüksége, akkor azzal is tisztában kell(ene) lennie, hogy kitől és milyen feltételek mellett szerezheti be azokat.
Több esetben előfordult az, hogy egy adatkérés néhány nap eltéréssel megérkezett az Interpoltól és az Europoltól is. Mivel ugyanazon eseménnyel vagy személlyel kapcsolatos adatkérésről volt szó, a NEBEK illetékes szervezeti egysége egy iktatószámon vette nyilvántartásba az ügyet. Ennek logikája – bizonyos szempontból – érthető, ugyanakkor adatkezelési szempontból nem felel meg a vonatkozó jogszabályi előírásoknak. A két nemzetközi szervezet hatásköre, illetékessége és tevékenysége, valamint jogi háttere eltérő, ezért ugyanazon személyes adat kezelésének (továbbításának) konkrét célja is eltérő. Az Interpol hatásköre kiterjed valamennyi olyan bűncselekményre, amely nem politikai, hadi (katonai), vallási vagy faji indíttatású, ezzel szemben az Europol az Europol Egyezmény mellékletében felsorolt bűncselekmények 7 felderítéséhez és nyomozásához nyújt elemzési vagy technikai segítséget. További – a jövő évre tervezett – vizsgálatot igényel az a tény, hogy az Interpol egy 186 tagú „világszervezet”, s a tagok között találunk olyan harmadik országot is, amelyben a személyes adatok megfelelő szintű védelmének vizsgálatára szükség lehet.
Az Europolhoz kihelyezett összekötőnél tartott vizsgálatot a Központi Adatfeldolgozó, Nyilvántartó és Választási Hivataltól bekért, véletlenszerűen kiválasztott időszakok alatt végzett lekérdezések naplóadatai alapján végeztük el. Az ellenőrzés során tájékozódtunk az összekötő munkavégzésének körülményeiről is.
Az összekötő irodájába telepített számítástechnikai eszközök lehetővé teszik az Europol adatbázisaihoz való hozzáférést, az Europol szakértőivel és a többi tagország összekötő tisztjeivel folytatott, hálózaton belüli információcserét, valamint a NEBEK-kel való kapcsolattartást. Az adatbiztonsági követelmények miatt ezekre a számítógépekre külső adatbeviteli egység nem csatlakoztatható, és az internet elérésére sincs lehetőség.
A szoftverek karbantartását, fejlesztését az Europol szakemberei végzik, illetve ők állítják be vagy módosítják az adatbázisokhoz való hozzáférési jogosultságokat. Az Europol által el nem fogadott vagy jóvá nem hagyott program nem telepíthető ezekre a számítógépekre.
Amennyiben az összekötő a küldő ország valamelyik adatbázisát kívánja elérni, csak külön számítógéppel tudja megtenni. A magyar összekötő tiszt is ilyen, az Europol hálózatától független, vonali titkosító berendezéssel ellátott kommunikációs csatornán keresztül kérdez le a hazai adatbázisokból. E módszer miatt a megjelenő adatok nem kerülhetnek közvetlenül az Europol nyilvántartásaiba, szükség esetén az összekötő manuálisan rögzíti azokat. A számítógép és a vonali titkosító Magyarország tulajdonát képezi.
Az összekötő által az Europol számítógépes rendszerei közül az információcserére szolgáló InfoEx, az Index Rendszer és az Információs Rendszer (IS) érhetők el8:
A: Az InfoEx egy olyan levelezőrendszer, amely egyúttal naprakész adatbázisként is szolgál. Az előzmények vagy kapcsolódó elektronikus iratok kereshetők címzett, tárgy (bűncselekmény-kategóriák) és dátum szerint; lekérdezhetők például a meg nem válaszolt üzenetek (ottjártunkkor 172 ilyen volt).
B: Az Index Rendszer az elemzési munkafájlokban (AWF) található adatok tárgymutatóját foglalja magában, amely nem naprakész, mert az előírások szerint az Europol szakértőinek 6 hónap áll rendelkezésre, hogy egy adott információról eldöntsék, felveszik-e az adatbázisba, vagy sem. (Egyik aktuális kérdés, hogy ez alatt a hat hónap alatt ki a felelős az információért: az Europol, amely még „gondolkodik” vagy a küldő ország, amelynek már kikerült az adat a „kezéből”? A megoldást tartalmazó jegyzőkönyv-tervezetet még tárgyalják.)
Az Index Rendszerben személyre, kommunikációs formára (telefonszám, e-mail cím stb.), közlekedési eszközre, helyszínre, szervezetre lehet keresni.
C: Az Információs Rendszer (IS) „referencia adatbázis”-ként működik, amelybe többnyire a közelmúltban befejezett ügyek adatai kerülnek. Mivel a rendszer üzembe állítására tavaly került sor, az adatfeltöltés folyamatosan zajlik; ottjártunkkor 62697 rekordot és 9890 személyre vonatkozó rekordot tartalmazott. Az adatok rendszerből történő törlésének határidejét az Europol figyeli, s három hónappal a lejáratot megelőzően értesíti a tagországot. A tagországok egy részénél az összekötő, más részénél a nemzeti egység munkatársa törli – az esetleges további tárolásra vonatkozó egyeztetés után – a lejárt határidejű adatokat.
A december elején tartott ellenőrzés idején az InfoEx-ben 1850 beérkező és 1482 kimenő üzenet (összesen 3332) volt, amelybe a konkrét személyes adatok cseréjéről szóló iratokon kívül beleértendők a különböző tájékoztatók, elemzői jelentések stb. is. (Az összekötő tájékoztatása szerint 2005-ben összesen 3250 információcsere történt kb. 985 ügyben; 135 megkeresés érkezett célzottan Magyarországnak, amelyből 71 a kétoldalú, 64 pedig a többoldalú – ezen belül az Europollal folytatott – együttműködés keretébe tartozott.)
A hágai ellenőrzés során megállapítottuk, hogy az összekötői munka gyakorlata többé-kevésbé a hatályos előírásoknak megfelelően alakult ki, azonban hiányosságként állapítottuk meg, hogy a hazai adatbázisokból történő lekérdezések adminisztrációja pontatlan, s a vizsgált 12 ügyből – a NEBEK-nél folytatott későbbi egyeztetés alapján – 4-et az összekötő saját hatáskörben intézett el. Tekintettel arra, hogy az Europol Egyezmény értelmében az Europol és a tagállami illetékes hatóságok közötti egyetlen összekötő szerv a NEBEK, ezekről az ügyekről legalább utólag értesíteni kellett volna.
További észrevételünk, hogy a Magyarországról érkező adatkérések, illetve a külföldi megkeresésekre adott válaszok gyakran nem elég részletesek/pontosak, sokszor hiányoznak a kezelési kódok9 és egyéb megjegyzések (például az információ besorolásának úgynevezett 4x4-es rendszere10 szerinti jelölés)11.
Itt jegyezzük meg, hogy az úgynevezett rutinszerű lekérdezés jelei láthatók némelyik ügyiratban: például egy cseh megkeresésben bankkártya-csalás miatti nyomozáshoz kérték a megadott adatok ellenőrzését a modus operandi nyilvántartásban, ennek ellenére 9 adatbázisban hajtották végre a keresést. Az okokra vonatkozó információkat nem találtunk az iratokban, s az ellenőrzött munkatárs sem adott kielégítő magyarázatot.
Ellenőrzési tapasztalataink alapján a jogszabályi háttér felülvizsgálata és a napi gyakorlathoz történő igazítása, a NEBEK Adatvédelmi és Biztonsági Kézikönyvének elkészítése12, annak elérése, hogy a rendőrségi adatokat tartalmazó adatbázisok adatkezelője a rendőrség legyen, az Europol tevékenységének a hazai nyomozó szervekkel történő jobb megismertetése, a nemzetközi információcsere elveinek következetesebb érvényesítése hozzájárulna ahhoz, hogy a meglévő szervezési és szakmai hiányosságok ne adatvédelmi problémaként jelenjenek meg.
Az EURODAC vizsgálat
Az Európai Közösség tagállamainak egyikében benyújtott menedékjog iránti kérelem megvizsgálására illetékes állam meghatározása érdekében 1990. június 15-én Dublinban aláírták az erről szóló egyezményt (a továbbiakban: a dublini egyezmény). Az egyezmény előírásai értelmében meg kell állapítani a menedékjogot kérelmező személyek és a Közösség külső határainak jogellenes átlépése miatt letartóztatott személyek azonosságát, valamint lehetővé kell tenni annak ellenőrzését, hogy az adott tagállam területén illegálisan tartózkodó külföldiek kértek-e menedékjogot valamely másik tagállamban.
A személyek pontos azonosításának céljára a Európai Közösség tagállamai az ujjnyomatok összehasonlítását választották. Az erre szolgáló rendszer EURODAC néven került kialakításra. Az EURODAC létrehozása a Tanács 2725/2000/EK rendelete alapján történt. Az itt meghatározott EURODAC rendszer egy központi egységből áll, amely az ujjlenyomatadatok számítógépes központi adatbázisaként működik, és a tagállamok, valamint a központi adatbázis közötti elektronikus adatátvitelt szolgálja.
Az EURODAC rendszer tehát egyrészt a menedékjogot kérelmező személyek azonosítására, másrészt a menedékjog elbírálásában eljáró ország meghatározására szolgál. A rendszer alkalmazása ennek megfelelően bonyolult jogi és eljárási feladatokat lát el. A rendszer 2003. december 15-én kezdte meg hivatalosan a működését.
A személyek azonosítását végző rendszer két részből áll. Egyrészt a központi egységből, másrészt a hozzá távközlési vonalakon keresztül kapcsolódó, a tagállamok területén működő nemzeti rendszerekből. Az európai adatvédelmi biztos 2006 folyamán elrendelte az EURODAC rendszerre vonatkozó adatvédelmi előírások betartásának ellenőrzését. Az ellenőrzések végrehajtása során az EURODAC központi egységénél az Európai Adatvédelmi Biztos Hivatalának munkatársai végezték az ellenőrzést, míg a tagállamoknál a nemzeti adatvédelmi hatóság, Magyarországon az Adatvédelmi Biztos Irodájának munkatársai hajtották végre az ellenőrzést.
A rendszer működésének egységes és összehasonlítható ellenőrzése érdekében a tagállamok hatóságai az európai adatvédelmi biztos által a tagországoknak átadott kérdőív alapján végezték az ellenőrzést. Magyarországon a kérdőívet a vizsgálat elvégzésének kezdetekor átadtuk az ujjnyomatok kezelését végző Bűnügyi Szakértői és Kutatóintézet, valamit a menedékkérők ügyeinek intézését is végző IRM Bevándorlási és Állampolgársági Hivatal vizsgálatban illetékes munkatársainak. Ezt követően az Adatvédelmi Biztos Irodájának munkatársai konzultációt folytattak a kérdőív kérdései alapján a szóban forgó szervezetek munkatársaival, és ennek alapján összeállították a rendszer adatvédelmi eljárására vonatkozó kérdőív egyes kérdéseire a választ.
Az EURODAC EU adatvédelmi biztosa által elrendelt vizsgálatának kérdései és az azokra adott válaszok a következők voltak:
1. Hogyan biztosítják, hogy csak harmadik ország állampolgárairól gyűjtsenek adatot és az EU állampolgárairól nem?
Ha EU állampolgár jelentkezik bevándorlóként, a magyar hatóságok sohasem továbbítják az ujjnyomatukat az EURODAC-ba.
2. Milyen intézkedést tesz a tagállam, hogy javítsa az ujjnyomatok minőségét?
A Daktiloszkópiai Osztály két munkatársa figyelemmel kíséri az összes beérkezet ujjnyomat minőségét, és rendszeres helyszíni segítségnyújtással, tanácsadással és gyakorlati oktatással segíti az ujjnyomatok minőségének javítását.
3. Milyen szabályokat és eljárásokat alakított ki a Nemzeti Elérési Pont, ha a kérelemért folyamodó személy kiskorú? Ezek a szabályok megfelelnek-e az Egyesült Nemzetek Szervezete Gyermekjogi Egyezményének?
Minden menedékkérővel ismertetik a kérelem benyújtásának kritériumait, így a 14 éven aluliakra vonatkozó ujjnyomatvételt tiltót is. Az erről szóló anyagot több nyelven elkészíttette a hatóság, és a menekültkérők megkapják azt. Ezenkívül az ismertetésnél tolmács van jelen, aki szükség esetén elmagyarázza a leírtakat. Az eljárás során, ha a kiskorú kísérővel érkezik (szülő vagy rokon) akkor ez a személy, ha kísérő nélkül érkezik, akkor a kinevezett ügygondnok van jelen az adatok felvételénél. Ha a kiskorúnak nincs semmilyen okmánya, akkor a kísérő által bemondott születési időt veszik alapul az ujjnyomat vételénél.
4. Alkalmaz-e a tagállam olyan eljárást, amelynek során az állampolgárságot megszerző kérelmezők listáját állítják össze?
Igen. Az Állampolgársági Főosztály értesítése alapján az elismert menekültek adatait zárolják, az állampolgárságot szerzettekét törlik.
5. Milyen adminisztratív intézkedéseket alkalmaznak a három kategória kezelésére?
Nem történik intézkedés, ha más tagállamban kap tartózkodási engedélyt a kérelmező, vagy más tagállamon keresztül hagyja el az országot, vagy más tagállamban kap állampolgárságot.
6. Hasznos volna tudni, hogy milyen szabályok – eltekintve az EURODAC szabályzat 11. cikkében szereplő három esettől – határozzák meg, hogy a külföldi állampolgárok adatait mikor továbbítják a központi egységbe?
Az a hatóság határozza meg, hogy 3. kategóriába13 tartozik-e az illető menekült, amelyik az ujjnyomatot leveszi. Ebben az esetben a központi egységhez csak ellenőrzésre továbbítják az adatokat.
7. Van-e tudomása az adatvédelmi hatóságnak arról, hogy valaki azzal a kéréssel keresse meg a hatóságot, hogy személyes adatai szerepelnek-e az EURODAC rendszerben? Ha az egyéni megkeresések száma nem egyezik a különleges keresések aktuális számával, hogy magyarázza az ellentmondást?
Nem volt ilyen kérés. A kérelmezőket tájékoztatja a magyar hatóság, hogy hol kérhetnek különleges keresést14.
8. A jogszerűtlen adatfelhasználásnak milyen szankciói vannak az EURODAC szabályzat 25. cikke alapján?
A jogosulatlan adattovábbítást a magyar büntető törvénykönyv szankcionálja.
9. Milyen intézkedést tesznek, hogy a többszörös adatbevitelről tájékoztassák az érintettet?
Tájékoztatjuk, hogy adatai tekintetében több találatot jelzett a rendszer.
10. Az EURODAC szabályzat 18. cikkében foglaltak nem rónak-e aránytalan terhet a hatóságra?
Az eddigi gyakorlat alapján ez nem jelentett aránytalan megterhelést.
11. Van-e a nemzeti hatóságnak biztonsági auditja?
12. Van-e naprakész listája a hatóságnak azokról a személyekről, akik hozzáférnek az EURODAC-hoz?
13. Milyen szabályai vannak a Dublinettel történő adatcserének?
A Dublinethez három főnek van hozzáférési jogosultsága. Az adatcsere titkosított pdf formátumban történik. Az alkalmazott adatcsere szabályai megfelelnek a 1560/2003/EK rendeletben leírtaknak.
14. A személyes adatok cseréje alkalmával milyen adatvédelmi intézkedést biztosítanak?
Jelszó, jelszócsere, a hozzáférés és a végzett műveletek naplózása, titkosító eljárás alkalmazása.
A fenti kérdések és a rájuk adott válaszok áttekintik az Eurodac előírásokat és azok gyakorlati alkalmazásának összhangjára hivatkozva az egyes intézkedések EU-s jogalapjait.
A Prümi Szerződéshez való csatlakozás előkészületei során tett észrevételek
Belgium, Németország, Spanyolország, Franciaország, Luxemburg, Hollandia és Ausztria 2005. május 27-én írták alá a határon átnyúló együttműködés fokozásáról szóló szerződést különösen a terrorizmus, a határon átnyúló bűnözés és az illegális migráció leküzdése érdekében (Prümi Szerződés, a továbbiakban PSZ, illetve Szerződés). Ezt a szerződést a sajtó és közvélemény Schengen III. néven is említette, noha sem jogilag, sem intézményileg nem kötődik a korábbi schengeni egyezményekhez, de filozófiájában és intézményeiben azonban kétségtelenül épít a schengeni vívmányok egyes elemeire.
A PSZ létrehozásának ötletét Otto Schily, korábbi német szövetségi belügyminiszter vetette fel 2003-ban, és kezdetben Németország, Ausztria és a Benelux államok vettek részt az egyezmény szövegének kidolgozásában. A PSZ-ben lefektetett elvek összhangban álltak a közben kibővült Unió bel- és igazságügyi együttműködése ötéves fejlesztési célkitűzésének keretében elfogadott Hágai Program előírásaival, ezért mintegy pilot projektben való részvételként Franciaország és Spanyolország is csatlakozott a Szerződéshez.
A Hágai Program egyik alapvető újdonsága az, hogy alapvető célként határozza meg a „hozzáférhetőség elvét”. Ennek keretében célul tűzték ki, hogy 2008. január 1-től a bűnüldözési információk határokon átnyúló cseréje érdekében a hozzáférhetőség elvét kell alkalmazni az Unió egész területén. Amennyiben egy bűnüldözési tisztviselőnek az egyik tagállamban feladatainak végrehajtásához információra van szüksége, megkaphatja azt egy másik tagállamból, és a másik tagállam azon bűnüldözési ügynöksége, amelynek a szóban forgó információ birtokában van, a kérvényezett célra rendelkezésre fogja azt bocsátani, figyelembe véve az adott államban zajló vizsgálatok követelményeit. Az információcsere alkalmával előírták, hogy milyen feltételeket kell betartani.
A Hágai Program végrehajtása során a hozzáférhetőség elvének betartása terén napjainkig nem sikerült kézzelfogható eredményt elérni. 2005 folyamán olyan döntés született, hogy hat adatfajta (DNS-profilok, ujjlenyomatok, ballisztikai adatok, gépjármű-nyilvántartási információk, telefonszámok és egyéb hírközlési adatok, személyi és lakcímadatok) tekintetében egyenként, fokozatosan kell kidolgozni a megvalósítás módozatait. Az előkészítő munka azonban lassan, vontatottan halad.
A PSZ tagállamai a szerződés céljainak technikai végrehajtása során olyan előrehaladást értek el, hogy kijelentették, részükről nem teszik kívánatossá uniós szinten, hogy más jogi és technikai megoldások épüljenek ki.
Ezzel olyan helyzet állt elő, hogy a Hágai Program elvének megvalósítását egy attól független szerződés keretében teljesítik az abban részt vevő országok. Ebben a tekintetben a PSZ DNS, daktiloszkópiai és gépjárműadatok cseréjére szolgáló rendelkezései kiemelkedő jelentőségűek.
A PSZ-t aláíró államokban a szerződés 2007 folyamán hatályba lép. Négy további uniós tagállam (Portugália, Olaszország, Szlovénia és Finnország) jelezte csatlakozási szándékát a szerződéshez. A Hágai Program megvalósításának késedelme miatt a német kormány úgy döntött, hogy kezdeményezi a PSZ uniós jogi keretbe emelését.
A DNS, a daktiloszkópiai és a gépjármű adatbázisból történő adattovábbítás eltérő mértékben rendelkezik személyes adatokkal. Ezekből az adatbázisokból történő közvetlen lekérdezésnél azzal kalkulálnak, hogy a rendszer fokozatosan lesz technikailag működőképes, 2007 nyarára utolsóként a gépjárműadatok is hozzáférhetőek lesznek.
A PSZ a személyes adatok kezelése miatt több adatvédelmi előírást tartalmaz. Ezek alapján az adatok kezelésének meg kell felelni az európa tanácsi rendelkezéseknek.
A személyes adatok átadása a Szerződés alapján nem kezdődhet meg, amíg a PSZ. 7. fejezete (adatvédelmi rendelkezések) hatályba nem lépett az átadásban érintett szerződő felek területén. A feltételek teljesülését a Miniszteri Bizottság határozatban állapítja meg. Fontos szerepet kap a célhoz kötöttség elvének betartása is. Ez a gépjárműnyilvántartás terén az egyes országokban eltérően jelentkezik. Van, ahol az adatszolgáltatás céljaként szabálysértési kategóriát jelölnek meg, míg máshol bűncselekmények esetén tartják indokoltnak az adatszolgáltatást.
A Prümi Szerződéshez történő magyar csatlakozás lehetőségének vizsgálata során tett észrevételek
2006 folyamán felmerült a PSZ-hez való csatlakozás lehetőségének és szükségességének vizsgálata. A csatlakozás adatvédelmi kérdéseinek tisztázása végett előbb az országos rendőrfőkapitány, később az Igazságügyi és Rendvédelmi Minisztérium kérte fel az adatvédelmi biztost, hogy tegye meg észrevételét a csatlakozással, illetve az előkészítő anyaggal kapcsolatban. A kérésnek megfelelően a biztos a következőkben fejtette ki véleményét:
„A Prümi Szerződés célja, hogy az abban részt vevő országok fokozzák a határon átnyúló együttműködésüket a terrorizmus elleni harc, a határon átnyúló bűnözés és az illegális migráció területén, különös tekintettel a kölcsönös információcserére. Ennek fő területeit a DNS-profil, az ujjnyomat és a gépkocsi-nyilvántartás adatainak kölcsönös cseréjében határozzák meg, hangsúlyozva, hogy az adatok cseréjénél az egyes országok nemzeti joganyagának előírásait kell figyelembe venni, és az adatok cseréjét a nemzeti kapcsolattartó egységen (national contact point) keresztül kell végrehajtani.
Ismereteink szerint mind a DNS, mind az ujjnyomat-nyilvántartás két részből áll, mely egy szakértői és egy személyes adat nyilvántartást tartalmaz. Az azonosítás elvégzéséhez mindkét esetben szakértői közreműködés szükséges, és csak a vizsgálat eredménye alapján lehet megállapítani vagy elvetni az illető személyazonosságát. Ennek megfelelően lehet a személy adatait kezelni. Mivel a biometrikus azonosítás elvégzését többféle eljárással lehet megvalósítani, ezért az egyes államok más és más eljárást alkalmaznak, így az ezekből kialakított szakértői adatbázis adatai is különfélék lesznek az egyes országokban.
A szóban forgó adatbázisokkal kapcsolatban előbb kifejtett gondolat azért fontos, mert a Prümi Szerződés egyik célkitűzése hosszabb távon az, hogy az egyes nemzeti adatbázisok adatait külső, az egyezményt aláíró másik állam hatóságai adott esetben közvetlenül is elérjék. Álláspontom szerint ezek a törekvések nem támogathatók sem adatvédelmi, sem adatbiztonsági, sem szakértői szempontból.
A Prümi Szerződés célkitűzéseivel egyetértek, de annak megvalósítását a nemzeti kapcsolattartó ponton keresztül tartom elképzelhetőnek. Ez az egység alkalmas kell, hogy legyen a szakértői szervezetek gyors elérésére és az általuk adott szakvélemény soron kívüli továbbítására, illetve az azonosítás eredményeként ismertté vált személyes adatok kezelésére. A nemzeti kapcsolattartó pont feladatai között célszerű szerepeltetni – a vonatkozó adatvédelmi, adatbiztonsági szabályok betartása mellett – az egyezményben szereplő gépjármű regisztrációs adatok kezelését is.
A nemzeti kapcsolattartó pont működésének kialakításakor figyelembe kell venni (célszerűnek tartom figyelembe venni) az adatbázisokhoz való hozzáférés jogosultsági kérdéseinek tisztázását, az adatvédelmi és adatbiztonsági előírások figyelembevételével.
A bűnüldözési célú adatbázisok adatkezelője a jelenlegi törvényi szabályozás szerint nem a rendőrség. Amennyiben Magyarország csatlakozni kívánna a Prümi Szerződéshez, a csatlakozás előtt meg kellene vizsgálni a szóban forgó adatbázisok rendőrség által történő adatkezelésének szükségességét és az ehhez szükséges törvényi újraszabályozás lehetőségét, valamint csatlakozás feltételeiből származó kötelezettségeket is. Ez adott esetben körültekintő elemző munka elvégzését jelenti.”
„A Prümi Szerződés (PSZ) és a Hágai Program (HP) egymáshoz való viszonyát elemezve megállapítható, hogy a HP-ban meghatározott hozzáférhetőség elvét az eltelt időszakban nem sikerült a gyakorlatban megvalósítani, melynek egyik fő oka, hogy az elvek megvalósítása során túl sok adatfajtát vettek figyelembe, és az eljárás adatvédelmi követelményeinek teljesítése hosszas egyeztetést tett szükségessé.
A PSZ a fenti problémák gyakorlatias megoldását tette lehetővé az abban részt vevő országok számára. Ebben a fázisban még nem EU-s előírásként, hanem a részt vevő országok saját elhatározásból származó eljárásaként jelenik meg. Komoly erőfeszítés történik a részt vevő országok számának növelése érdekében, majd a végzett munkára és a befektetett anyagi eszközökre is hivatkozva kezdeményezik az eljárás EU-s jogba való emelését.
Mivel a HP-ban meghatározott adatkörre vonatkozóan a hozzáférhetőség elvének alkalmazása a kitűzött határidőre nem látszik teljesíthetőnek, ezért a PSZ célként – ez nem az előterjesztésből, hanem a PSZ angol nyelvű változatából derül ki – a szervezett bűnözés elleni harcot, a határon átnyúló bűnözés kezelését és az illegális migráció visszaszorítását tűzte ki. Ezt azért tartjuk lényegesnek rögzíteni, mert a célhoz kötöttség elvét a PSZ keretei között is be kell tartani, bár a PSZ adatvédelmi kérdései még nem kellően megoldottak.
A célhoz kötöttség elvét a PSZ-ben történő lekérdezések során is be kell tartani, mert adatvédelmi szempontból csak így támogatható a lekérdezés.
A PSZ alkalmazása kapcsán felmerülhet az a kérdés is: amennyiben a PSZ joganyaga eltér az EU-s gyakorlattól, és nem lesz az EU joganyag része, akkor az itteni eljárást adott esetben meg lehet-e támadni a bíróságnál, amely a közösségi jog alapján dönt.
A PSZ-hez való csatlakozás melletti érvek áttekintése mellett talán érdemes lenne összegyűjteni a csatlakozás ellen szóló érveket is, így együtt lehetne látni az előnyt–hátrányt és a megoldandó feladatok körét is.
A PSZ keretében on-line elérni kívánt három adatbázis: a DNS, a daktiloszkópiai és a gépjármű-nyilvántartás. A három adatbázis alapvetően különbözik egymástól. A DNS és a daktiloszkópiai adatbázisok szakértői adatbázisok, ami a mi esetünkben azt jelenti, hogy a lekérdezés során személyes adatok kezelésére nem kerül sor, mert azt külön kezelik, és ennek megfelelően az előterjesztésben szereplő referencia adatbázis nem is tartalmaz személyes adatokat. A gépjármű-nyilvántartásból történő lekérdezésénél viszont személyes adatok kezelésére is sor kerül. Ez okozza a különböző adattárak on-line lekérdezésének eltérő megítélését.
A DNS és a daktiloszkópiai referencia adattárak kezelését szakértők végzik. Csak ők alkalmasak az adatok bevitelére, lekérdezésére, a kapott adatok összehasonlítására, az eredmény minősítésére. A szakértők munkája az on-line lekérdezés során is megkerülhetetlen. Ez az oka annak, hogy a lekérdezés a nemzeti összekötő ponton keresztül történik. Nem feladatunk az ehhez tartozó szakmai tevékenység megítélése, de az előterjesztés nem tér ki arra, hogy az eltérő nyelvi és technikai feltételek milyen feladatok elvégzését követelik meg ahhoz, hogy például Spanyolországból le lehessen kérdezni a magyar adatokat, és mit kell tennie a magyar szakértőnek ahhoz, hogy holland adatbázist le tudjon kérdezni. Az adatbázisok szöveges része általában az adott ország saját nyelvén kérdez. Ehhez lehet, hogy az adott szakértői rendszereket is át kellene alakítani.
A PSZ-hez való csatlakozással összefüggésben az IRM által készített előterjesztés tartalmazza a BSZKI helye és szerepe meghatározásának fontosságát. Javasoljuk, hogy az IRM kezdeményezze a kérdés mielőbbi megoldását, mert az adattárak helyzete az új minisztériumi struktúrában jelenleg nem megoldott, egy sor kérdésről az adattárak adatvédelmi helyzetének tisztázása miatt is intézkedni kell. (rendőrség, BSZKI, AH egymáshoz való viszonya)
A gépjármű-nyilvántartásból történő adatszolgáltatás leírása a szóban forgó anyagban számunkra elnagyolt. A három szóban forgó adatbázis közül adatvédelmileg ez a legérzékenyebb. A „4. Gépjármű-nyilvántartási adatok automatizált keresése” című részben leírtak adatvédelmi szempontból nem megnyugtatóak. A lekérdezés célja csak a PSZ céljaként említett ok (a szervezett bűnözés elleni harc, a határon átnyúló bűnözés kezelése és az illegális migráció visszaszorítása) lehet, ezzel szemben az előterjesztés szabálysértés esetén történő adatszolgáltatást is említ. Ez nem a PSZ célja, ebben az esetben a célhoz kötöttség nem áll meg. A gépjármű adatbázis adatainak on-line lekérdezése adatvédelmi szempontból problémát jelent, mert a lekérdezés jogosságának, célhoz kötöttségének ellenőrzése ebben az esetben nem megnyugtatóan megoldott. Ebben az esetben az adatszolgáltató ország adatvédelmi hatóságának nincs lehetősége a lekérdezés célhoz kötöttségét ellenőrizni. A gépjármű-nyilvántartás személyes adatainak relevanciája külföldön történt szabálysértési ügyekben nem minden esetben áll meg. Hasonlóan a közrend és közbiztonság érdekében történő lekérdezések sem tartoznak a PSZ által meghatározott célok körébe, ezért az ilyen esetekben történő lekérdezés is aggályos.
Az előterjesztésben ismertetett, a gépjármű-nyilvántartásból történő automatikus lekérdezésre vonatkozó lehetőségek és esetek körét adatvédelmi szempontból aggályosnak tartjuk, és a jelenlegi törvényi szabályozással ellentétesnek találjuk. A csatlakozási folyamat során ennek az on-line lekérdezési lehetőségnek a törvényi hátterét tisztázni kell.”
A 29-es Adatvédelmi Munkacsoport tevékenysége
A Munkacsoportban a tagállamok független nemzeti hatóságainak biztosai dolgoznak közösen az európai adatvédelemért. A tagállamok adatvédelmi szervei, az európai adatvédelmi biztos és az Európai Bizottság közös munkájának köszönhetően a Munkacsoport alkalmas fórum az európai adatvédelem kihívásainak megoldására.
A Munkacsoport gondos mérlegelés útján dönt arról, hogy a számos adatvédelmi probléma közül melyeket vegyen fel munkaprogramjába. A kiválasztásban a következő szempontokat vizsgálják: (1) fennáll-e az adott probléma egynél több tagállamban; (2) van-e olyan politikai ok, ami miatt a probléma sürgős; (3) hány embert érint a probléma; (4) van-e esélye annak, hogy a problémára a Munkacsoport konkrét megoldásokat tud találni. Az előbbiek figyelembevételével a 2006/2007-es munkaprogram főbb pontjaiként a Munkacsoport a következőket jelölte meg: az adatvédelmi irányelv, új technológiák, nemzetközi adattovábbítás EU-n kívüli országokba, külső kommunikáció.
A Munkacsoport feladatainak egyik jelentős területe az EU adatvédelmi irányelvéhez kapcsolódik. Tanácsot ad az Európai Bizottságnak vagy az Európai Parlamentnek az irányelv módosításával kapcsolatban és biztosítja, hogy az irányelvet a személyes adatok védelmének szempontjából kedvezően és Európa-szerte egységesen értelmezzék. Ezen törekvések jegyében, például a rádiófrekvenciás azonosító chipekhez kapcsolódóan, a Munkacsoport meg fogja vizsgálni a személyes adatok definícióját, azt követően pedig az adatmegőrzés, valamint az egészségügyi adatok feldolgozásának kérdését tárgyalja. Az értelmezés mellett az irányelv végrehajtása is hangsúlyos szerepet kap a Munkacsoport programjában. A Munkacsoport szervezésében az Ügykezelési Munkafórum rendszeresen találkozik, és tevékenységével, gyakorlati esetek megoldásával elősegíti a különböző európai adatvédelmi jogszabályok harmonizációját. A Munkacsoportnak az irányelv végrehajtásáért felelős alcsoportja pedig egy átfogó vizsgálatba kezdett még 2005-ben: a tagállamok magán egészségbiztosító társaságainak adatkezelési gyakorlatát tekintette át. A vizsgálat eredményének értékelése a közeljövőben várható.
A Munkacsoport tevékenységének egy másik hangsúlyos területét az új technológiák jelentik (például rádiófrekvenciás azonosítás,
e-kormányzat, biometrikus azonosítás, az e-egészségügy betegekre vonatkozó információi). A Munkacsoport fontosnak tartja, hogy az új technológiák adatvédelmi vonatkozásait a lehető leghamarabb feltárja és elemezze, még mielőtt a nagyobb jelentőségű alkalmazásokra sor kerülne. Ennek a gyakorlatnak az a célja, hogy az új technológiákat úgy vezessék be a gyakorlatba, hogy az megfeleljen az EU adatvédelmi irányelvének.
Harmadik fontos területként az Európai Unión kívüli országokba történő adattovábbítás említhető. A Munkacsoport számos munkadokumentumot készített azzal a céllal, hogy segítséget nyújtson a multinacionális cégek adattovábbítással kapcsolatos problémáinak megoldásához. A nemzetközi cégcsoportok tagjai közötti adattovábbítást rendező Kötelező Érvényű Vállalati Szabályok jelentik az egyik megoldást arra, ahogy a cégek bizonyíthatják adatkezelési gyakorlatuk megfelelőségét adatvédelmi szempontból. A Munkacsoport azonban egyéb olyan megoldások alkalmazásához is nyújt iránymutatást, mint például a Bizottság által jóváhagyott Általános Szerződési Feltételek.
Az elmúlt években a Munkacsoport tevékenységét erősen befolyásolták az európai és más kormányok azon intézkedései, amelyeket a nemzetközi terrorizmus elleni harc jegyében hoztak, mivel ezek az intézkedések általában konfliktusban állnak a személyes adatok védelméhez fűződő joggal. Ezt a konfliktust a mai napig sem sikerült feloldani, ezért az EU harmadik pillérével kapcsolatos adatvédelem egyre fontosabb szerepet játszik a tagállamok adatvédelmi hatóságainak munkájában. Különösen az Európai Unió és az Egyesült Államok közötti, a PNR adatoknak (utasnyilvántartási adatállomány) a légi szállítók általi feldolgozásáról és az Egyesült Államok Belbiztonsági Minisztériuma Vámügyi és Határvédelmi Irodájának történő továbbításáról szóló megállapodás (PNR megállapodás) jelentett az elmúlt években nagy kihívást a Munkacsoport számára. A Munkacsoport több véleményében is kifejezte kétségeit a megállapodás által lehetővé váló adatfeldolgozásban a személyes adatok védelmét illetően. 2006-ban több fejlemény is történt a PNR adatok továbbításával kapcsolatban. Többek között az Európai Parlament kérelmére az Európai Közösség Bírósága 2006. május 30-án megsemmisítette az Egyesült Államok Vámügyi és Határvédelmi Irodájának rendelkezésére bocsátott, a légiutasok utasnyilvántartási adatállományában tárolt személyes adatok megfelelő védelméről szóló bizottsági határozatot és a PNR megállapodást. A bíróság indoklásában kifejtette: igaz ugyan, hogy a PNR adatok gyűjtését a légitársaságok a közösségi jog hatálya alá tartozó tevékenységük keretében végzik (jegyeladás), így ez az adatfeldolgozás az EU adatvédelmi irányelvének hatálya alá tartozik. Azonban a megfelelőségi határozat és a PNR megállapodás arra az adatfeldolgozásra vonatkozik, melynek keretében a légitársaságok továbbítják a PNR adatokat az USA-ba. Ez az adattovábbítás a közbiztonsággal és a büntetőjog területén végzett állami tevékenységekkel kapcsolatos adatfeldolgozásnak minősül, így nem tartozik az adatvédelmi irányelv hatálya alá. Ezért az Európai Közösségnek hiányzott a hatásköre a megfelelőségi határozat meghozatalára és a PNR megállapodás megkötésére.
Az első és a harmadik pillérre vonatkozó adatvédelem mesterséges szétválasztása joghézagot eredményez az uniós állampolgárok magánéletének védelmében. Ezért fontos lenne a belső piacra vonatkozó, valamint a rendőrségi és bűnüldözési együttműködésre vonatkozó adatvédelmi szabályozás következetessége. A harmadik pillérre vonatkozó adatvédelmi szabályozás alapját is a 95/46/EK adatvédelmi irányelvnek kellene képeznie. A Munkacsoport azonban bármilyen, az Uniót érintő adatvédelmi kérdéssel foglalkozhat és állásfoglalást bocsáthat ki.
A Munkacsoport 2006-ban is több véleményt és munkadokumentumot tett közzé, melyek rövid összefoglalását az alábbiakban ismertetem.
l Vélemény az uniós adatvédelmi szabályoknak a számvitel, belső számviteli ellenőrzés, könyvvizsgálati kérdések, korrupció, banki és pénzügyi bűnözés elleni küzdelem terén létrehozott belső visszaélés-jelentési rendszerekre történő alkalmazásáról (WP 117):
A belső visszaélés-jelentési rendszereket (whistleblowing
schemes) a vállalatok azzal a céllal hozzák létre, hogy az alkalmazottak a vállalaton belül egy speciális csatornán keresztül jelenthessék a csalást és kötelességszegéseket a számvitel, belső számviteli ellenőrzés, könyvvizsgálati kérdések és jelentéstétel terén. A rendszerek meghirdetett célja a nemzetközi pénzügyi piacok pénzügyi biztonságának garantálása, valamint a korrupció, a banki és pénzügyi bűnözés, valamint a bennfentes kereskedelem elleni küzdelem.
A belső visszaélés-jelentési rendszerek kialakítását az Amerikai Egyesült Államok Kongresszusa tette kötelezővé 2002-ben a Sarbanes-Oxley törvénnyel (SOX) a vállalati pénzügyi botrányok gyakorisága miatt. Több amerikai vállalat tevékenysége folytán a SOX mellett az uniós adatvédelmi szabályok hatálya alá is tartozik. Ezért a Munkacsoport véleményével iránymutatást nyújt számukra ahhoz, hogy miként működtethetők a belső visszaélés-jelentési rendszerek az adatvédelmi irányelvvel összhangban. A Munkacsoport megjegyzi, hogy a jelenlegi rendelkezések különleges védelmet biztosítanak a visszaélést jelentő alkalmazottak számára, de nem tesznek külön említést a megvádolt személy védelméről, annak ellenére, hogy az adatvédelmi irányelv és a nemzeti jog adatvédelmi szabályai által biztosított jogokhoz a megvádolt személynek is joga van. Komoly a veszélye annak, hogy a megvádolt személyt már azelőtt megbélyegzik, mielőtt tudomást szerezne az ellene felhozott vádról, vagy az állítások indokoltságát megállapították volna. Az adatvédelmi szabályok megfelelő alkalmazása hozzájárul az említett veszélyek csökkentéséhez.
Az adatvédelmi szabályok visszaélés-jelentési rendszerekre történő alkalmazásakor a Munkacsoport először a rendszerek törvényességének kérdését vizsgálja. Mivel a SOX az USA törvénye, rendelkezései nem tekinthetők törvényes alapnak az adatkezeléshez. Az adatkezelés törvényességét a vállalatok következő jogszerű érdekei biztosítják: a csalás és kötelességszegések megelőzése a számvitel, belső számviteli ellenőrzés, könyvvizsgálati kérdések és jelentéstétel terén, valamint a nemzetközi pézügyi piacok pénzügyi biztonságának garantálása, a korrupció, a banki és pénzügyi bűnözés, valamint a bennfentes kereskedelem elleni küzdelem. Mindazonáltal a Munkacsoport hangsúlyozza, hogy egyensúlyt kell teremteni a vállalatok jogszerű érdeke és az adatfeldolgozással érintettek alapvető jogai között. Figyelembe kell venni a jelenthető feltételezett bűncselekmények súlyosságát, valamint a következményeket az érintettekre nézve. Biztosítani kell azt is, hogy az érintettek lényeges jogos érdekből bármikor tiltakozhassanak a rájuk vonatkozó adatok kezelése ellen.
Az adatminőség és az arányosság elveinek alkalmazásakor a Munkacsoport tárgyalta a nevesített és névtelen jelentések kérdését, a gyűjtött és feldolgozott adatok arányosságának és pontosságának problémáját és az adatmegőrzési időszakokat. A Munkacsoport úgy gondolja, hogy a jelentések névtelensége számos okból nem jó megoldás a visszaélést jelentő személy vagy a szervezet számára, például a névtelenség nem akadályozza meg, hogy mások kitalálják, ki emelt panaszt, vagy kialakulhat a rosszindulatú névtelen jelentések gyakorlata. Továbbá a névtelenség ellen szól az az alapelv is, hogy személyes adatok csak tisztességesen gyűjthetők. Csak kivételes esetben fogadható el a névtelenség. A rendszereket úgy kell kialakítani, hogy ne ösztönözzék a névtelen jelentéseket, ezért az első kapcsolatfelvételkor tájékoztatni kell a jelentést tevő személyt, hogy személyazonosságát a folyamat valamennyi szakaszában bizalmasan kezelik, azt nem fedik fel harmadik félnek, a megvádolt személynek, sem pedig feletteseinek. Azonban fel kell hívni a figyelmet arra, hogy a személyazonosság felfedésére sor kerülhet a vizsgálat eredményeként megindított további vizsgálatokban vagy későbbi bírósági eljárásokban.
Az adatok arányosságával és pontosságával kapcsolatban a Munkacsoport kiemelte, hogy csak olyan adatok dolgozhatók fel a rendszerben, amelyek a vádak igazolásához feltétlenül és objektív módon szükségesek. A rendszer szempontjából közömbös adatok közlése esetén azokat csak abban az esetben lehet továbbítani a vállalat megfelelő tisztviselőjéhez, ha az érintett személy alapvető érdekei vagy az alkalmazottak erkölcsi integritása forog kockán, vagy ha a bűnüldözési vagy államháztartási szervek számára jogi kötelezettség alapján kell továbbítani az információt.
Az adatmegőrzéssel kapcsolatban a Munkacsoport megjegyzi, hogy a személyes adatokat a vizsgálat befejezését követő két hónapon belül törölni kell. Ha eljárás indul a megvádolt személy vagy a hamis vagy becsületsértő kijelentést tevő, visszaélést jelentő személlyel szemben, akkor az adatokat az eljárása lezárásáig vagy a fellebbezésre rendelkezésre álló időszak végéig kell megőrizni. Haladéktalanul törölni kell azonban a megalapozatlannak talált jelentéshez kapcsolódó személyes adatokat.
A bejelentett személyek jogaival kapcsolatban a Munkacsoport kiemelte, hogy a rendszerért felelős személy köteles a megvádolt személyt az őt érintő adatok rögzítését követően a lehető leggyorsabban tájékoztatni, különösen az alábbiakról: mivel vádolták meg, ki felelős a rendszerért, kik kaphatják meg a jelentést, hogyan gyakorolhatja hozzáférési és helyesbítési jogát. Azonban az értesítés elhalasztható, amíg fennáll annak a kockázata, hogy a megvádolt személy megsemmisítené vagy módosítaná a bizonyítékokat. Továbbá biztosítani kell az érintettek hozzáférési, helyesbítési és törlési jogát, azzal a korlátozással, hogy a megvádolt személy nem tudhatja meg a jelentést tevő személyazonosságát, csak akkor, ha az rosszhiszemű, hamis kijelentést tett.
A visszaélés-jelentési rendszerek irányítása tekintetében a Munkacsoport úgy véli, hogy a rendszer belső kezelését kell előnyben részesíteni, de a vállaltok igénybe vehetnek külső szolgáltatót is. Belső kezelés esetén különálló szervezetet kell létrehozni a vállalaton belül a jelentések kezelésére és a vizsgálatok vezetésére. A kijelölt szervezetnek korlátozott számú, speciálisan képzett és erre kijelölt személyzetből kell állnia, akiket különleges titoktartási kötelezettségek szerződésben köteleznek. Külső szolgáltató igénybevétele esetén is a vállalat marad a felelős az adatfeldolgozásért. A külső szolgáltatóra is szigorú titoktartási kötelezettségnek kell vonatkoznia, és kötelezettségeik teljesítését a vállalatnak ellenőriznie kell. Továbbá a Munkacsoport szerint a vállalatcsoportoknak néhány kivételtől eltekintve helyi szinten, az Unión belül kell kezelniük a jelentéseket. Ha az adattovábbítás harmadik országba történik, és az nem biztosít adatvédelmi szempontból megfelelő szintű védelmet, az adatokat csak akkor lehet továbbítani, ha a címzett tagja a Safe Harbor rendszernek, vagy vele adattovábbítási szerződést kötöttek, vagy ha kötelező érvényű vállalati szabályok vannak érvényben a címzettnél.
A Munkacsoport végül hangsúlyozta a világos és teljes körű tájékoztatási kötelezettséget a rendszerrel kapcsolatban. Kiemelte az adatfeldolgozás biztonságának jelentőségét, valamint a nemzeti adatvédelmi hatóságok előzetes ellenőrzésének vagy az általuk előírt bejelentési kötelezettségnek való megfelelés kötelezettségét is.
l Vélemény az e-mailek átvilágítására vonatkozó szolgáltatásokról (WP 118):
Az internetszolgáltatók és e-mail szolgáltatók többsége szűrőket használ a spamek és a vírusok kiküszöbölésére, valamint ellenőrzi az üzeneteket, például az előre meghatározott tartalom észlelése, keresés és helyesírás-ellenőrzés, sürgős üzenetek megjelölése, a bejövő e-mailek mobiltelefonos szöveges üzenetté alakítása érdekében. A Munkacsoport úgy véli, hogy a szűrők használata nem mindig felel meg a hatályos adatvédelmi jogszabályoknak.
A Munkacsoport úgy találta, hogy az e-mailek vírusok kiszűrése céljából történő ellenőrzése nem jogsértő. Az ellenőrzés azért jogszerű, mert az EU elektronikus hírközlési adatvédelmi irányelve (a továbbiakban ePrivacy irányelv) előírja, hogy az e-mail szolgáltatónak megfelelő műszaki és szervezeti intézkedéseket kell tennie szolgáltatásai biztonságának érdekében. Továbbá a szűrőrendszerek létrehozásával az e-mail szolgáltatók biztosítják az ügyfelekkel kötött szolgáltatói szerződés teljesítését. Azonban az e-mail szolgáltatóknak be kell tartaniuk a következőket: (1) az e-mailek és csatolt mellékletek tartalmát titokban kell tartani, és csak a címzettek előtt szabad feltárni, (2) amennyiben vírust találnak, a telepített szoftvernek biztosítania kell a titkosságot, (3) vírusellenőrzéskor az e-mailek tartalmát nem ellenőrizhetik más célból, (4) az átvilágításról tájékoztatást kell nyújtani.
A spamek akadályozhatják az internetes forgalmat, és súlyosan károsíthatják az e-mail szolgáltatások általános megbízhatóságát és hatékonyságát. Ezért a spamek szűrése szükséges az érintettel kötött szerződés teljesítéséhez. Ugyanakkor aggodalomra ad okot, hogy a szűrés néha összekeveri a spameket a tényleges e-mailekkel, melyeket meg szeretne kapni a fogadó. A tévesen spamnek ítélt e-mailek kiszűrése sérti a szólásszabadságot, és a magáncélú közlésekbe történő beavatkozásnak minősül. Ezért a Munkacsoport szorgalmazza, hogy az e-mailek fogadói rendelkezhessenek a nekik címzett üzenetekkel, például ellenőrizhessék, hogy mely e-maileket minősítették spamnek. Továbbá a vélemény hangsúlyozza, hogy az e-mail szolgáltatóknak világosan és egyértelműen tájékoztatniuk kell az előfizetőket a spamekkel kapcsolatos politikájukról, és biztosítaniuk kell a megszűrt e-mailek titkosságát, valamint azt, hogy a kiszűrt e-mailek ne legyenek más célra felhasználhatók.
A Munkacsoport véleménye szerint az e-mailek átvilágítása előre meghatározott tartalom észlelése érdekében még az illegálisnak ítélt anyag esetén sem tekinthető olyan intézkedésnek, amely szükséges az e-mail szolgáltatások biztonságához. Az e-mail tartalma nem fenyegeti az e-mail szolgáltatót károsodással és a kommunikáció leállásával, így az ellenőrzést nem legitimálja a szolgáltatás biztonságának megőrzésére irányuló törekvés. A Munkacsoport aggályosnak találja, hogy a szűréssel az e-mail szolgáltatók cenzúrázzák a magánjellegű e-mail közléseket, ami a szólás- és véleményszabadság, illetve a tájékozódáshoz való jog alapvető kérdéseit veti fel. Az e-mail szolgáltatók tehát az érintett felhasználók hozzájárulása nélkül nem szűrhetik, tárolhatják és nem tarthatják vissza a közléseket és az azokra vonatkozó forgalmi adatokat az előre meghatározott tartalom észlelése céljából. A Munkacsoport szerint megfelelő az e-mail szolgáltatók gyakorlata, ha a vírusok és a spamek szűréséről a szolgáltatás szerződéses feltételeinek részeként tájékoztatják az előfizetőket.
Az e-mailekhez kapcsolódó egyéb szolgáltatások tekintetében a Munkacsoport az e-mailek megnyitását nyomonkövető „Elolvasták” szolgáltatást vizsgálta meg. A Munkacsoport erősen ellenzi ezt az adatkezelést, mert a címzettek viselkedésével kapcsolatos személyes adatokat az érintett címzett egyértelmű hozzájárulása nélkül rögzítik és továbbítják. Annak megállapításához, hogy az e-mail címzettje elolvasta-e az e-mailt, ha igen, mikor, és továbbította-e harmadik félnek, a címzett hozzájárulására van szükség.
l Vélemény a nyilvánosan elérhető elektronikus hírközlési szolgáltatások nyújtása, illetve a nyilvános hírközlő hálózatok szolgáltatása keretében előállított vagy feldolgozott adatok megőrzéséről (WP 119):
Véleményében a Munkacsoport fenntartásait fejezte ki a 2006/24/EK irányelvvel kapcsolatban. Megállapította, hogy a hírközlési adatok súlyos bűncselekmények elleni harc céljából történő megőrzésének messzemenő következményei lesznek minden európai polgár magánéletére vonatkozóan. A Munkacsoport az irányelv hírközlési adatok megőrzésére vonatkozó rendelkezéseit példa nélkül álló, történelmi léptékű döntésnek nevezi. Ezért elengedhetetlennek tartja olyan intézkedések alkalmazását, amelyek korlátozzák az irányelv magánéletre való hatását.
Annak érdekében, hogy a tagállamok az adatmegőrzési irányelvet egységes módon ültessék át nemzeti jogaikba, és az átültetés megfeleljen az adatvédelmi követelményeknek, a Munkacsoport számos biztosíték bevezetését javasolta véleményében. Elsőként arra hívta fel a figyelmet, hogy az adatokat kizárólag meghatározott célból szabad megőrizni, és minden további feldolgozást ki kell zárni. A „súlyos bűncselekmény” kifejezést ezért pontosabban kell meghatározni. Továbbá fontos, hogy az adatok kizárólag egyedileg meghatározott bűnüldöző szervek számára legyenek hozzáférhetőek. A kijelölt szervek jegyzékét a nyilvánosság számára, az adatlekérések nyilvántartását pedig a felügyelő hatóságok részére hozzáférhetővé kell tenni. Az adatmegőrzés nem vezethet nagymértékű adatbányászathoz a bűnüldöző hatóságok által nem gyanúsított személyek utazási és kommunikációs szokásaira vonatkozóan. Az adatokhoz való hozzáférést az igazságügyi hatóságnak eseti alapon kell engedélyeznie, és az engedélyben pontosan részletezni kell az esethez szükséges, engedélyezett adatokat. Fontos a közrend célját szolgáló adattárolási rendszerek elkülönítése az üzleti célú rendszerektől. Végül meg kell határozni a műszaki és szervezeti biztonságra vonatkozó minimális követelményeket.
A Munkacsoport felszólítja a tagállamokat, hogy hangolják össze az adatmegőrzési irányelv nemzeti jogba történő átültetését annak érdekében, hogy azt az Európai Unióban egységesen alkalmazzák, és biztosítsák az adatvédelmi követelmények betartását.
l Vélemény az utasokra vonatkozó adatok légi és tengeri utasszállítók általi, a fertőző betegségek ellenőrzése céljából történő gyűjtéséről szóló új amerikai jogszabálytervezetről (WP 121):
Az amerikai javaslattervezet személyes adatok gyűjtésére kötelezne minden olyan nemzetközi légi és tengeri utasszállító társaságot, amelyik az USA-ba szállít utasokat. Az adatkezelés célja azon utasok fellelhetőségének biztosítása lenne, akik gyaníthatóan fertőző betegségnek voltak kitéve, így biztosítva a fertőző betegség terjedésének megelőzését. Az utasszállító társaságoknak a következő adatokat kellene összegyűjteniük, megőrizniük 60 napig és kérelem esetén eljuttatniuk az USA Betegségmegelőzési és Járványvédelmi Központja (CDC) igazgatójának: teljes név; betegség, vagy baleset esetén értesítendő személyek elérhetősége; e-mail cím; állandó lakcím; útlevél vagy utazási okmány száma, a kibocsátó ország vagy szervezet neve; utastársak vagy csoportos utazás esetén a csoport neve; a repülési útra vagy az útba ejtett kikötőkre vonatkozó információk; a visszarepülésre vonatkozó adatok (az indulás időpontja, a repülőgép száma és a járat száma), vagy a visszatérés során útba ejtett kikötőkre vonatkozó adatok; valamint telefonszám. A CDC igazgatója további, előre meg nem határozott adatokat kérhetne a fertőző betegségek bejutásának vagy terjedésének megakadályozása céljából. A Munkacsoport véleménye szerint az amerikai törvénytervezet jelenlegi formájában ellentétes az EU adatvédelmi irányelvének rendelkezéseivel és a WHO Nemzetközi Egészségügyi Szabályzatával.
Az összes javasolt adat feldolgozása nem szükséges a tervezet céljainak eléréséhez. A javaslat nem számol azokkal a személyes adatokkal, amelyekhez az amerikai hatóságok jelenleg is hozzáférhetnek (például PNR adatok), és azt sem veszi figyelembe, hogy léteznek az utasinformációk begyűjtésének más, nemzetközileg elismert formái is, mint például az utasok közegészségügyi célból szükséges fellelhetőségét biztosító kártyák (public health passenger locator cards).
További probléma, hogy az adatgyűjtés anélkül történne, hogy egy konkrét közegészségügyi veszély fennállna, vagy annak bekövetkezése fenyegetne. Az EU adatvédelmi irányelvében felsorolt jogalapok nem alkalmazhatók erre az adatgyűjtésre, mivel az nem szükséges olyan jogi kötelezettség teljesítéséhez, melyet egy közösségi vagy tagállami jogszabály ír elő az adatkezelő (utasszállító) számára, nem szükségszerű az érintett személy létfontosságú érdekei védelme céljából (olyan esetekre is vonatkozik az adatgyűjtés, amikor nem áll fenn jelentős közegészségügyi veszély), és nem szükséges az EU egyik tagállamának közérdekből végrehajtott feladatához sem (egyedül az USA érdeke). Az adatok feldolgozására jogalap lehet, ha az az adatkezelő jogos érdekéből történt. Viszont szükséges, hogy a jogos érdeknél ne legyenek magasabb rendűek az érintett személy érdekei az alapvető jogok és szabadságok tekintetében. Az érintett személyeknek azonban meg kell adni a lehetőséget, hogy bármikor tiltakozhassanak a rájuk vonatkozó adatok feldolgozása ellen.
Az amerikai javaslat szerint a személyes adatokat a betegség lappangási idejére és fertőzőképességére tekintet nélkül egységesen 60 napig kellene megőrizni. Mivel a javaslat nem nevezi meg a fertőző betegségeket, ezért nem lehet megállapítani, hogy a megőrzésre előírt időtartam megfelelő-e, ha a betegség jellegzetességeit figyelembe
vesszük. További probléma, hogy a CDC előre meg nem határozott személyes adatokat kérhet. Ez ellentétes a Nemzetközi Egészségügyi Szabályzat azon rendelkezésével, mely meghatározza az adatoknak azt a körét, amelyeket az illetékes egészségügyi szervek gyűjthetnek.
Végül a Munkacsoport hangsúlyozta, hogy nemcsak az adatgyűjtésnek, hanem az adatok Európai Unióból az USA-ba történő továbbításának is hiányzik a jogalapja, mivel az USA-ra nem vonatkozik az a megállapítás, hogy megfelelő szinten biztosítja a személyes adatok védelmét. Továbbá az adatok szóban forgó körére nem vonatkozik az a két megállapodás, melyek alapján jelenleg adatokat lehet továbbítani az EU-ból az USA-ba (a Safe Harbour és a PNR megállapodások). Az adattovábbítás így csak az érintett személy beleegyezésével történhet, amiről viszont az amerikai javaslat nem rendelkezik.
l Vélemények az Európai Bíróság ítéletéről az utasnyilvántartások Egyesült Államokba történő átadásával kapcsolatban és egy mielőbbi új megállapodás szükségességéről (WP 122, WP 124):
2006-ban a Munkacsoport két véleményben is foglalkozott az utasokkal kapcsolatos adatok (PNR adatok) továbbításának kérdésével. Mindkét vélemény a PNR adatok továbbításáról szóló megállapodás megsemmisítésével keletkezett joghézag problémáját elemezte.
Az Európai Bíróság 2006. május 30-i ítéletében kötelezte a közösségi intézményeket, hogy legkésőbb 2006. szeptember 30-ig mondják fel az Egyesült Államokkal kötött, PNR adatok továbbításáról szóló megállapodást. A Munkacsoport az ítélettel kapcsolatos véleményében felhívja a figyelmet arra, hogy a joghézag elkerülése végett és az utasok jogainak védelme érdekében alapvető fontosságú egy új EU-szintű megállapodás időben történő megkötése az USA-val. A Munkacsoport szerint a leendő megállapodásnak meg kell őriznie az USA által már eddig vállalt adatvédelmi szintet, integrálnia kell a Munkacsoport kritikai észrevételeit (például az adatok számának csökkentéséről), biztosítania kell, hogy a légitársaságok maguk válogathassák a továbbítandó adatokat, és ne az amerikai hatóságok tegyék ezt, korlátoznia kell a továbbított PNR adatok további felhasználását. A megállapodás csak 2007 novemberéig lehet érvényben.
A Munkacsoport következő PNR adatokkal kapcsolatos véleményében kifejezte rendkívüli aggodalmát amiatt, hogy az USA és az EU még mindig nem kötött új megállapodást, annak ellenére, hogy 2006. október 1-jén lejár a PNR adatok továbbítására vonatkozó megállapodás. Felhívta a Tanácsot, a Bizottságot és az EU tagállamait annak garantálására, hogy az utasok magánéletét a megállapodás hiányában is megfelelően tartsák tiszteletben. A Munkacsoport szerint abban az esetben, ha nem jönne létre megállapodás, a tagállamok hatóságainak meg kell előzniük, hogy a PNR nyilvántartásokban található személyes adatokat az USA hatóságai felé továbbítsák vagy a Munkacsoport által megfelelőnek ítélt 19 adattételen felül egyéb adatokat továbbítsanak.
Az EU és az Amerikai Egyesült Államok 2006. október 6-án ideiglenes megállapodást kötött a PNR adatok továbbításával kapcsolatosan. Ennek köszönhetően folytatódhat a PNR adatok továbbítása az USA-ba az USA korábbi kötelezettségvállalásainak betartása mellett.
l Vélemény a tartással kapcsolatos ügyekben a joghatóságról, az alkalmazandó jogról, a határozatok elismeréséről és végrehajtásáról, valamint az e területen folytatott együttműködésről szóló tanácsi rendeletre irányuló javaslatról (WP 123):
Az Európai Bizottság e véleményben tárgyalt javaslatának az a célja, hogy az Európai Unión belül felszámolja a tartási követelések behajtásának akadályait. A javaslat lehetővé tenné, hogy a tagállamok központi hatóságai összegyűjtsék a tartásra jogosult és kötelezett helyzetével kapcsolatos, számos adatkezelő által különböző célokra feldolgozott információkat (például a munkáltatók, adó- vagy társadalombiztosítási hatóságok által), valamint ezen információk tagállamok közötti cseréjét. A központi hatóságok által összegyűjtött személyes adatokat egybegyűjtenék, és közölnék a tartási követeléssel foglalkozó bírósággal, majd a bíróság a tartási kötelezettségekről hozott határozatok végrehajtásának biztosítása céljából feldolgozza az adatokat.
A Munkacsoport elégedetten jegyezte meg, hogy a javaslat számos olyan elemet tartalmaz, amelyek célja annak biztosítása, hogy az adatfeldolgozási műveletek az adatvédelmi irányelvben foglalt elveknek és szabályoknak megfeleljenek. Igy például a javaslat szerint az, hogy milyen adat közölhető, attól függ, hogy a tartási kötelezettségre vonatkozó eljárás mely szakaszában jár. A kötelezett tartózkodási helyének megállapításához szükséges személyes adatok némelyikét az eljárás elején kérhetik és továbbíthatják bármely tartásdíjat követelő személy kérésére. Azonban a kötelezett tartásdíjfizető képességének felméréséhez szükséges adatokat (például bankszámlák, fizetések) csak akkor lehet kiadni, ha a tartásdíj-fizetési kötelezettséget a bíróság megállapította. További adatvédelmi garancia a rendszerbe beépített bírói szűrő: a bíróság dönt a tartási kérelem megalapozottságáról és arról, hogy a központi hatóságtól igényelt adatok valóban szükségesek-e. A kötelezettek személyes adatainak védelmét szolgálja az is, hogy tilos egy egységes nyilvántartás kialakítása az eredetileg különálló nyilvántartásokban szereplő különféle kategóriájú információkból. További garanciák, hogy az információkat csak a megkeresett hatóság továbbíthatja a megkereső hatóság számára, és a megkereső hatóság ezután csak a tartási követeléssel foglalkozó bíróság vagy hatóság számára továbbíthatja az információkat. Az információt nem lehet továbbítani a jogosult vagy harmadik fél számára, és amint a megkeresett vagy a megkereső hatóság közölte az információkat, azokat kötelesek törölni. A javaslat azt is előírja, hogy az információkat csak a tartási követeléssel foglalkozó bíróság tárolhatja és csak addig, amíg az szükséges a tartási követelés behajtásának megkönnyítéséhez, de legfeljebb egy évig.
A Munkacsoport azonban a pozitívumok kiemelése mellett számos olyan javaslatot is tett, amelyek azért szükségesek, hogy az adatvédelmi irányelv rendelkezései teljes mértékben megvalósuljanak. Igy például az adatok biztonságát megfelelő technikai és szervezési intézkedésekkel kellene garantálni. A Munkacsoport arra is felhívta a figyelmet, hogy a javaslat túl széleskörűen határozta meg az információkhoz való hozzáférés célját. A hozzáférés célját korlátozni kellene a kötelezett tartózkodási helyének meghatározására és vagyonának megállapítására. A kötelezett munkáltatójának vagy bankszámlájának beazonosítása csak akkor releváns, ha a fizetés vagy a bankszámlán elhelyezett összeg a kötelezett vagyonának nagyon jelentős elemét képezi. A Munkacsoport azt is rendkívül fontosnak tartja, hogy a bíróságokon belül meghatározzák azt az illetékes testületet, amely elrendeli a magánéletet érintő intézkedéseket.
Az adatok tárolásával kapcsolatban is számos észrevételt tett a Munkacsoport. A megkereső központi hatóság köteles a bíróságnak történő megküldés után azonnal megsemmisíteni az adatokat. A bíróságok csak addig dolgozhatják föl az adatokat, amíg az szükséges az adott tartási követelés behajtásának megkönnyítéséhez. Végül, a kötelezettet azonnal értesíteni kell adatai közléséről, és tájékoztatni a feldolgozás céljáról.
l Munkadokumentum az eSegélyhívó-kezdeményezés adatvédelmi és a magánélet tiszteletben tartását érintő vonatkozásairól (WP 125):
A munkadokumentum egy páneurópai, járműbe építhető segélyhívó („eSegélyhívó”) szolgálat tervezett bevezetésének adatvédelmi és magánéleti vonatkozásait elemzi. A Munkacsoport elismerte, hogy az eSegélyhívó szolgálat bevezetése számos társadalmi-gazdasági előnnyel járna, ugyanakkor kiemelte, hogy a kezdeményezés adatvédelmi és magánéleti hatásait is hangsúlyozni és kezelni kell.
Az eSegélyhívó működése
A járműbe épített eSegélyhívó egy olyan segélyhívó, amelyet vagy manuálisan a járműben tartózkodók, vagy automatikusan a járműbe épített érzékelők hoznak működésbe baleset esetén. A segélyhívást a 112-es hívószámú, megfelelő közbiztonsági válaszponthoz (KBVP) továbbítja a rendszer. A segélyhívás a 112-es számra történő telefonhívás hanganyagából és a minimális mennyiségű adatból (MMA) tevődik össze. A mobiltelefon-hálózat üzemeltetője azonosítja a hívó vonalat, és megállapítja a hívás lehető legpontosabb helyét. Ezután továbbítja a 112-es híváshoz tartozó hangot, a hívásazonosítót, a hívó lehető legpontosabban meghatározott helyzetét és a híváshoz tartozó minimális mennyiségű adatot a megfelelő KBVP-hez. Fontos megjegyezni, hogy a jelenlegi javaslat szerint kívülálló harmadik személy a járműben elhelyezett rendszert nem fogja folyamatosan követni, mivel a rendszer nem lesz állandó jelleggel a mobilkommunikációs hálózathoz kapcsolva, csak akkor, ha baleset esetén aktiválódik vagy manuálisan aktiválják a jármű utasai.
A minimális mennyiségű adat a következőkből áll: (1) a baleset időpontja, (2) a baleset pontos helye és az odavezető útvonal, (3) jármű azonosítás, (4) a segélyhívás minősítése, amely megadja a baleset súlyossági fokát, (5) egy lehetséges szolgáltatóra vonatkozó információ.
Kötelező vagy önkéntes eSegélyhívó
Ha az eSegélyhívó önkéntes jelleggel kerül bevezetésre, ugyan minden jármű rendelkezni fog az eSegélyhívó rendszerrel, de a jármű utasai döntenek arról, hogy aktiválják-e azt. Ezért biztosítani kell, hogy a rendszer bármiféle technikai vagy anyagi nehézség nélkül aktiválható és kikapcsolható legyen. Az EU adatvédelmi irányelve szerint az adatkezelés jogszerűségéhez szükséges az adatalany egyértelmű és önkéntes beleegyezése személyes adatainak kezeléséhez.
A Munkacsoport hangsúlyozta, hogy a beleegyezés nem önkéntes, ha az adatalanynak el kell fogadnia olyan szerződési feltételeket, amelyek nem képezhetik megállapodás tárgyát (ahogyan az a jármű-adásvételi szerződéseknél szokásos). Továbbá a Munkacsoport jogellenesnek tartja azt, ha a biztosító társaságok vagy autóbérléssel foglalkozó cégek nyomást gyakorolnak annak érdekében, hogy az eSegélyhívó rendszert folyamatosan aktiválva tartsák ügyfeleik. Az is jogellenes, ha a munkavállalókat közvetve vagy közvetlenül kényszerítik az eSegélyhívó rendszer használatára a céges autókban. A Munkacsoport felhívta a figyelmet arra is, hogy ugyan az adatfeldolgozás sok esetben az érintettek létfontosságú érdekében történik, az is előfordulhat, hogy az eSegélyhívó automatikusan aktiválódik egy baleset után, annak ellenére, hogy arra szükség volna..
Ha az eSegélyhívó rendszer alkalmazása kötelező lesz, azt minden járműbe beszerelik, és aktiválása kötelező lesz. Ezt az esetet azonban egy uniós rendeletnek kell majd szabályoznia, melyben az arányosság elvét kiemelten kell kezelni. Olyan biztosítékokat kell kialakítani, amelyek megakadályozzák, hogy a rendszer által megfigyelhessék az embereket.
A Munkacsoport az önkéntes bevezetést tartja megfelelőbbnek. Kötelező alkalmazás esetén megfelelő adatvédelmi biztosítékokat kell bevezetni.
Kétszintű szolgáltatás
A kezdeményezés lehetővé tenné, hogy a minimális mennyiségű adaton felül további adatokat is továbbítson a rendszer, mint például biztosítótársaságok, ügyvédek, autóklubok által tárolt adatokat. Különböző szolgáltatók a balesettel vagy az utasokkal kapcsolatos adatokat kaphatnának annak érdekében, hogy például autóklub-szolgáltatást vagy nyelvi segítséget nyújtsanak, ha a járműtulajdonos és a szolgáltató erre nézve szerződést kötött. A Munkacsoport nem ellenzi az eSegélyhívó szolgáltatás második szintjét, de felhívta a figyelmet arra, hogy ez a megoldás adatvédelmi szempontból összetettebb, ezért alapos értékelést igényel. Különösen az adatbiztonságra vonatkozó rendelkezéseket kell szigorúan betartani, tekintettel arra, hogy különleges adatokat is feldolgoznak ebben a rendszerben. A külső szolgáltatóknak különösen a következőkre kell figyelniük: (1) a járműtulajdonos/használó és a szolgáltató közötti szerződésben egyértelműen le kell fektetni az adatkezelés célját és az adatok pontos körét; továbbá azt is rögzíteni kell, hogy a külső szolgáltató az adatkezelő, ezáltal mind az adatvédelmi irányelv, mind pedig a nemzeti jogszabályok rendelkezéseit be kell tartania, (2) csak a szükséges és releváns adatokat lehet továbbítani, tehát biztosítani kell, hogy a külső szolgáltató csak azokat az adatokat kapja meg, amelyek a szerződés céljának megvalósításához szükségesek, (3) ha a továbbítandó adatok különleges adatokat is tartalmaznak, a járműtulajdonos beleegyezése is szükséges az adattovábbításhoz.
Adatvédelmi szempontból problémát jelenthetnek azok az adatbázisok, melyeket a rendszerrel való visszaélések megelőzésére hoznának létre azáltal, hogy az eSegélyhívó SIM-kártyájához kötnének járműtulajdonost. A Munkacsoport egyik fő problémája a harmadik személyek esetleges hozzáférése az adatbázishoz, ezért hangsúlyozta, hogy az adatok másodlagos felhasználása (például a közlekedéssel kapcsolatos végrehajtási eljárásokban) az adatvédelmi irányelvvel ellentétes lenne.
Az arányosság elvének érvényesülésével kapcsolatban a Munkacsoport két megjegyzést tett. Véleményük szerint a járműazonosító számot nem kellene a minimális mennyiségű adatok közé felvenni, mivel az nem szükséges a célok megvalósításához. Továbbá az eSegélyhívó rendszer egészének szükségessége megkérdőjelezhető, mivel számos tagállamban már jól működő segélyhívó rendszerek léteznek.
Az adatok megőrzésének megfelelő időtartamát meg kell határozni az eSegélyhívó szolgáltatás minden egyes láncszemére tekintettel, és a nemzeti hatóságoknak ezt ellenőrizniük kell.
l Az elektronikus hírközlési adatvédelmi irányelvvel kapcsolatos vélemény (WP 126):
Az Európai Bizottság 2006-ban felülvizsgálta az elektronikus hírközlő hálózatokra és az elektronikus hírközlési szolgáltatásokra vonatkozó európai uniós szabályokat. A 29-es Munkacsoport ebben a véleményben a felülvizsgálat eredményéről készült bizottsági jelentéshez tesz észrevételeket, különösen az elektronikus hírközlési adatvédelmi irányelv (a továbbiakban ePrivacy irányelv) tekintetében.
A Munkacsoport általános javaslatként fogalmazza meg a biztonsági intézkedések fejlesztését, és felhívja a figyelmet arra, hogy a biztonsági infrastruktúra fejlesztésekor komoly hangsúlyt kell helyezni a felhasználók védelmére és az elektronikus kommunikáció iránti bizalom kialakítására. A vélemény szerint olyan on-line alkalmazásokkal kapcsolatos kérdésekkel is foglalkozni kellene, mint például az üzemeltetők felelőssége és jogi helyzete, és az adatkezelőkkel kapcsolatos kérdések tisztázása. A Munkacsoport hangsúlyozta: nem támogatja azt, hogy a biztonsági intézkedések fejlesztése olyan eszközökkel valósuljon meg, melyek nagyobb fokú megfigyelést vagy több internetes oldal tartalmának zárolását eredményeznék.
A Munkacsoport véleménye szerint az ePrivacy irányelv hatályának nemcsak a nyilvános hírközlő hálózatokra, hanem a magánhálózatokra is ki kellene terjednie, mivel azok egyre nagyobb szerepet töltenek be mindennapi életünkben, így egyre nagyobb kockázatot hordoznak, különösen annak következtében, hogy egyre specifikusabbak (például a munkavállalók viselkedésének ellenőrzése a forgalmi adatok segítségével).
A Bizottság megvizsgálta az ePrivacy irányelv végrehajtási mechanizmusait, valamint a végrehajtásért felelős hatóságok részére biztosított hatásköröket, és azok kiigazítását javasolta. Az ePrivacy irányelv végrehajtásával kapcsolatban a Munkacsoport megjegyezte, hogy néhány tagállamban az adatvédelmi hatóságok korlátozott vizsgálati jogkörrel rendelkeznek, melynek alapján nem férhetnek hozzá olyan adatokhoz, melyek szükségesek lennének az irányelv megsértésének bizonyításához. Számos tagállamban a végrehajtáshoz jelenleg biztosított hatáskörök nem teszik lehetővé a gyors beavatkozást. Egy további probléma a végrehajtás szempontjából, hogy sok spammer a tagállamokon kívül működik. A Munkacsoport szerint ezeket a problémákat kezelni kellene.
A Bizottság az ePrivacy irányelv biztonsági rendelkezéseinek kiegészítését és szigorítását javasolja. A Munkacsoport ezzel egyetért, azonban javasolja, hogy a biztonság általános fogalmán belül olyan specifikus problémákat is célozzon meg a Bizottság, mint például a hitelesség megállapítására irányuló eljárások és a személyazonossággal való visszaélés. A Munkacsoport azonban hangsúlyozza, hogy a hitelesség megállapítására szolgáló eljárások tárgyalásakor nem szabad figyelmen kívül hagyni, hogy a nyilvánosan elérhető elektronikus hírközlési szolgáltatásokat a személyazonosság felfedése nélkül is tudniuk kell az embereknek használni.
A bizottsági munkadokumentum szerint a jelenlegi szabályozás túl nagy mozgásteret biztosít a szolgáltatóknak saját biztonsági intézkedéseik értékelése terén. A Bizottság a szolgáltatókat terhelő új kötelezettségek meghatározását javasolja a biztonsági intézkedések terén. A Munkacsoport úgy véli, hogy a biztonsági intézkedéseket és az irányelv biztonsággal kapcsolatos fogalmait nem az adatvédelmi hatóságoknak kellene meghatározni és tisztázni, hanem szektorspecifikus biztonsági szakértőknek. Továbbá el kell kerülni a túlzott mértékű szabályalkotást is.
A Munkacsoport egyetért a Bizottság azon javaslatával, hogy a rendszer biztonságának sérelméről a hálózatüzemeltetőknek és internetszolgáltatóknak értesíteni kell a sérelmet szenvedő ügyfeleket, a biztonság súlyos sérelme esetén pedig minden ügyfelet. Azonban felhívja a figyelmet, hogy a közelmúltban történt biztonsági rendszerek feltörései nem az internetszolgáltatókat érintették, ezért meg kellene fontolni, hogy a bankokat, adatbrókereket és egyéb on-line szolgáltatókat is terhelje értesítési kötelezettség.
l Vélemény a fuvarozóknak az utasokkal kapcsolatos adatok közlésére vonatkozó kötelezettségéről szóló tanácsi irányelvről (WP 127):
2004. április 29-én a Tanács elfogadta a fuvarozóknak az utasokkal kapcsolatos, az EU külső határait ellenőrző hatóságok által kért adatok közlésére vonatkozó kötelezettségéről szóló irányelvet. Az EU tagállamainak 2006. szeptember 5-ig kellett nemzeti jogukba átültetni az irányelvet. Számos állam azonban elmulasztotta ezt a határidőt, és még mindig tárgyalja az átültetést megvalósító jogszabályt. A Munkacsoport arra törekszik, hogy az irányelv átültetése a lehető legharmonizáltabb és legkövetkezetesebb módon történjen, a 95/46/EK irányelvben foglalt adatvédelmi elvek figyelembevételével. A Munkacsoport már korábban is kifejezte azon véleményét, hogy közép- és hosszútávon egy következetesebb megközelítés kialakítása szükséges az utasinformációk cseréjével kapcsolatban annak érdekében, hogy a légi közlekedés biztonsága, az illegális bevándorlás elleni küzdelem és az emberi jogok tiszteletben tartása globális szinten biztosítva legyen. Ezen okoknál fogva a Munkacsoport ebben a véleményében néhány értelmező és az irányelv végrehajtására vonatkozó iránymutatást fogalmazott meg.
Az iránymutatások első csoportja az adatok célhoz kötöttségének követelményével kapcsolatos. Az adatgyűjtésnek az irányelvben rögzített céljai a határellenőrzés javítása és az illegális bevándorlás elleni küzdelem. A nemzeti jogszabályoknak egyértelműen rendelkezniük kell az adatfeldolgozás céljairól, melyek nem léphetik túl az irányelvben lefektetett célokat. Az irányelvben meghatározott céloktól eltérni csak bűnüldözési céllal lehet, a tagállamok nemzeti jogszabályainak rendelkezései szerint és összhangban az adatvédelmi irányelv rendelkezéseivel. A Munkacsoport fontosnak tartja, hogy a tagállamok az eltérésre vonatkozó rendelkezéseket megszorítóan alkalmazzák, így pontosan határozzák meg, hogy mely esetekben lehet a kérdéses adatokat bűnüldözés céljából felhasználni. A Munkacsoport szerint ilyen célú felhasználás csak súlyos bűncselekmények felderítése érdekében történhet, meghatározott esetekben és meghatározott adatvédelmi biztosítékok fennállása esetén. Elengedhetetlen az adatvédelemhez fűződő jogok biztosítása, amikor nem azok a hatóságok használják fel az adatokat, amelyeknek elsődlegesen szánták őket. A Munkacsoport azt is kiemelte, hogy az irányelv csak azokra a járatokra vonatkozik, amelyek célállomása egy EU tagállam, és nem jogosítja fel a tagállamokat arra, hogy kötelezhessék a légifuvarozókat az EU-n belüli repülésekkel kapcsolatos adatok gyűjtésére és továbbítására.
Az iránymutatások második csoportja a gyűjtendő adatok körére vonatkozik. Az irányelv egyértelműen meghatározza azoknak az adatoknak a körét, melyeket a légifuvarozók továbbíthatnak az illetékes hatóságoknak. A Munkacsoport hangsúlyozza, hogy ezeket az adatokat az irányelvben meghatározott célok megvalósításához szükségesnek és elégségesnek kell tekinteni. Az irányelv ugyanakkor lehetővé teszi a tagállamoknak, hogy nemzeti jogszabályaikban engedélyezzék, hogy a fuvarozók kérelemre a meghatározott adatkörön felüli, további adatcsoportokat továbbítsanak. A Munkacsoport álláspontja szerint további adatok gyűjtése, mint például a visszaútra vonatkozó adatoké, nem szükséges a célok megvalósításához; a biometrikus adatok felhasználása azonban még aggályosabb lenne az adatgyűjtésre és feldolgozásra vonatkozó, egyértelmű előírások hiányában. Azoknak a biometrikus jellemzőknek a körét is feltétlenül meg kell határozni, amelyek az irányelv céljainak megvalósításához szükségesek és a célokkal arányosak. A Munkacsoport azt is kiemelte, hogy a tagállamok megsértenék a 95/46/EK adatvédelmi irányelvet, ha az összes olyan adatot követelnék, amely az utasnyilvántartási adatállományban (PNR) vagy a légifuvarozók indulás-ellenőrzési listáján szerepel, mivel ezek az adatok jelentősen túllépik a jelen iránymutatásokban és egyéb nemzetközi szabványokban szereplő adatok körét. Továbbá azt is hangsúlyozni kell, hogy a PNR adatok nem szükségesek az irányelv egyik célja, a határellenőrzés megvalósításához.
Az iránymutatások harmadik csoportja az adatok megőrzésére vonatkozik. Fő szabály szerint a határellenőrző hatóságok az adatokat 24 órán túl csak jogszabályban előírt feladataik teljesítése érdekében őrizhetik meg. Az irányelv azonban nem szabályozza, hogy a bűnüldöző hatóságok mennyi ideig őrizhetik meg a részükre továbbított adatokat. A Munkacsoport hangsúlyozza, hogy 24 óránál tovább csak különleges esetekben lehet az adatokat megőrizni, mint például amikor nem állapítható meg az utasok személyazonossága, vagy nem rendelkeznek megfelelő úti okmányokkal. A Munkacsoport véleménye szerint a tagállamoknak biztosítaniuk kell, hogy az adatokat ne lehessen hosszabb ideig megőrizni, mint ameddig feltétlenül szükséges a különleges célok tekintetében.
Az iránymutatások utolsó csoportja az érintettek tájékoztatására vonatkozik. A Munkacsoport az adatvédelmi irányelvben és két korábbi véleményben foglaltakat ajánlja a tagállamok figyelmébe. Továbbá felszólítja őket, hogy írják elő nemzeti jogszabályukban az utasok tájékoztatásának kötelezettségét arra az esetre is, ha adataikat továbbítják a bűnüldöző hatóságoknak.
Az Európai Unióban széleskörű támogatást élveznek a nemzetközi adattovábbításra vonatkozó Kötelező Érvényű Vállalati Szabályok (Binding Corporate Rules, a továbbiakban BCR). A BCR-t multinacionális vállalatok alakítják ki és alkalmazzák a cégcsoport különböző országokban (EU-n kívül is) elhelyezkedő tagjai közötti adatcsere szabályozására. A BCR-eket – így az azokban található, személyes adatok védelmére vonatkozó szabályokat is – a nemzeti adatvédelmi hatóságok hagyják jóvá, és kötelező erővel bírnak a cégcsoport minden tagjára nézve. A BCR-ekkel a cégek azt igazolják – Magyarországon az Avtv. 9. § (2) bekezdés c) pont alapján – hogy az adatkezelés vagy adatfeldolgozás során megfelelő szinten biztosítják a személyes adatok védelmét, az érintettek jogait és azok érvényesítését.
A BCR-ek alkalmazása esetén a munkavállalók személyes adatai vélhetően magasabb fokú védelemben részesülnek. A BCR-ekben a vállalatok az EU adatvédelmi irányelvét és az adatcserével érintett országok nemzeti adatvédelmi szabályait saját szervezetükre, a vállalatnál folyó adatcsere-folyamatokra képezik le, ami konkrétabb, az adatfeldolgozást végző munkavállalók számára könnyebben érthető szabályokat eredményez. A nemzeti adatvédelmi hatóságok a BCR-ek jóváhagyásakor vizsgálják, hogy a szabályok ne csak elméletben, hanem gyakorlatban is kötelező erővel rendelkezzenek, például a BCR tartalmazza, hogy a vállalat belső fegyelmi szankciókat alkalmaz, ha munkavállalói azt megszegik; a vállalat oktatást szervezzen a BCR alkalmazásáról az adatfeldolgozást végző munkavállalóinak. A BCR-eknek tartalmazniuk kell, hogy az a munkavállaló, akinek személyes adatait külföldre továbbítják (érintett), panaszt tehet a nemzeti adatvédelmi hatóságnál, és igényét a bíróságon is érvényesítheti, ha személyes adatainak kezelésével kapcsolatban jogsérelem érte. A szabályoknak biztosítaniuk kell, hogy az érintett legalább ugyanolyan jogokkal rendelkezzen a jogsértő adatkezelést végző vállalattal szemben, mint amit az EU adatvédelmi irányelve vagy a nemzeti jog biztosít. Ha a nemzeti jog szigorúbb adatvédelmi szabályokkal rendelkezik, akkor azokat kell alkalmazni. A BCR-nek tartalmaznia kell azt a fontos k ötelezettségvállalást is, hogy a cégcsoport EU-n kívüli tagjainak cselekményeiért vagy a vállalat EU-ban található székhelyű központja vagy a cégcsoport egy európai tagja átvállalja a felelősséget és szükség esetén kártérítést fizet. A BCR betartását belső és külső audittal is ellenőriztetnie kell a vállalatnak. A cégcsoportnak együttesen és tagjainak külön is kötelezettséget kell vállalniuk, hogy az illetékes adatvédelmi hatóságokkal együttműködnek, és ezen hatóságoknak a BCR értelmezésével és alkalmazásával kapcsolatos javaslatait alkalmazzák. Az adatvédelmi hatóságok a BCR jóváhagyását visszavonhatják, ha a cégcsoport nem tanúsít kellő együttműködést. Végezetül fontos kiemelni, hogy a BCR-ek az érintettekről és az adatvédelmi hatóságokról a vállalatokra helyezik át annak a terhét, hogy biztosítsák az adatvédelmi jogszabályoknak való megfelelést.
A multinacionális cégcsoportok számára különösen azért előnyös a BCR, mivel egyetlen szabályzat rendezi a cégcsoport tagjai közötti adatcserét. Igy a vállalatok sok időt és pénzt takarítanak meg a bonyolult és állandó jelleggel módosításra szoruló, az EU-n kívülre történő adattovábbítást szabályzó szerződések mellőzésével. Továbbá nagyobb védelmet tudnak biztosítani munkavállalóik személyes adatainak, mivel a számos nemzeti és uniós jogszabály egy átláthatóbb és könnyebben betartható rendszert alkot a BCR-ekben.
A 29-es Adatvédelmi Munkacsoport már több lépést tett a BCR-ek alkalmazásának megkönnyítése és ösztönzése érdekében. A Munkacsoportnak eddig három munkaanyaga foglalkozott a BCR-ekkel. Az első munkaanyag egy általános elemzést és útmutatást nyújtott, a következő dokumentum pedig a nemzeti adatvédelmi hatóságok együttműködési eljárását vázolta fel a BCR-ek jóváhagyására. A nemzeti adatvédelmi hatóságok együttműködése azért fontos, mert egy vállalatcsoport BCR-jét minden olyan országban jóvá kell hagyni, ahonnan adatot továbbítanak az EU-n kívülre. Ez egy rendkívül hosszú eljáráshoz vezetne, ha a hatóságok munkája nem lenne összehangolva. A legutóbbi munkaanyag pedig egy listát tartalmazott azokról a kérdésekről, amelyeket a vállalatoknak egy BCR-ben feltétlenül tisztázniuk kell. 2006-ban is folytatódott a párbeszéd a multinacionális cégcsoportok, a Munkacsoport és a nemzeti adatvédelmi hatóságok között. Jelenleg a Munkacsoport BCR-alcsoportja egy standard, BCR-jóváhagyásra irányuló kérelem összeállításán dolgozik, melynek végleges formába öntése hamarosan várható. Ezt a kezdeményezést a Nemzetközi Kereskedelmi Kamara (ICC) indította, majd az ICC által összeállított standard jelentkezést a Munkacsoport továbbfejlesztette a tagállamok észrevételeivel kiegészítve. A standard jelentkezési formanyomtatvány több szempontból is előnyös lesz: (1) felhasználóbarát, standard szöveg áll majd a vállalatok rendelkezésére, (2) leegyszerűsíti a nemzeti adatvédelmi hatóságok munkáját, és (3) a BCR-eljárást egyszerűbbé és hatékonyabbá teszi.
A BCR-ek azonban nemcsak elméletben, hanem már a gyakorlatban is léteznek. Számos BCR-t (például a General Electric, a Deutsche Telekom, a Bank Austria Creditanstalt, a Daimler-Chrysler k érelmezők részére) hagytak már jóvá az EU tagállamainak nemzeti adatvédelmi hatóságai, köztük a magyar adatvédelmi biztos is. Magyarországról azonban a munkavállalók személyes adatai harmadik országbeli adatkezelő részére csak akkor továbbíthatók, ha az érintett ahhoz hozzájárult vagy törvény azt lehetővé teszi, és a harmadik országban az átadott adatok kezelése, illetőleg feldolgozása során biztosított a személyes adatok megfelelő szintű védelme. Igy a BCR-ek a munkavállalók adatainak továbbítására csak hozzájárulásuk esetén alkalmazhatók vagy akkor, ha az adattovábbítást törvény lehetővé teszi [Avtv. 9. § (1)(b)]. A munkavállalók hozzájárulásának önkéntessége azonban egzisztenciális kiszolgáltatottságuk miatt megkérdőjelezhető. Azon esetek száma pedig, amikor a BCR-eket az Avtv. 9. § (1)(b) pont alapján lehet alkalmazni, eléggé korlátozott. Ezért célszerű lenne, ha a Munka Törvénykönyve (MT.) lehetőséget adna arra, hogy a munkavállalók személyes adatainak vállalatcsoporton belüli továbbítása lehetséges legyen kötelező belső szabályzatok alapján, akár Unión kívüli államok viszonylatában is, ezzel szélesebb körben lehetővé téve a BCR-ek alkalmazását. Ennek érdekében a közelmúltban kezdeményeztem a szociális és munkaügyi miniszternél, hogy tegye meg a szükséges lépéseket az MT. következő módosításánál.
A Munkacsoport által kezdeményezett tagállami vizsgálatok
2006-ban a 29-es cikkely Adatvédelmi Munkacsoportjának megbízásából sor került egy átfogó vizsgálatra, mely a magán egészségbiztosítók adatkezelését vizsgálta. Magyarországon jelenleg az egészségügyi ellátásokat – az OEP-en keresztül – közvetlenül az állami költségvetésből finanszírozzák, de hozzáteszem, hogy az egészségügyi és finanszírozási rendszer napjainkban zajló átalakulása miatt a jövőben a magánbiztosítók is nagyobb szerephez juthatnak. A vizsgálat során több biztosítótársaságot megkerestünk azzal, hogy töltsék ki az egységes kérdőívet (például milyen tájékoztatást adnak ügyfeleiknek az adatkezelésre vonatkozóan, milyen egészségügyi adatokat kezelnek, mi az adatkezelés jogalapja stb.), majd a válaszokat kiértékeltük. Mivel a nemzetközi vizsgálat eredményeinek feldolgozására még nem került sor, erről valószínűleg a jövő évi Beszámolóban tudunk csak bővebben hírt adni.
Szintén a 29-es Munkacsoport megbízásából a magyar Adatvédelmi Biztos Irodája vállalta az előkészítés szerepét a „Levéltári és tudományos kutatás adatvédelmi összefüggései” témakörben. A német, olasz, litván, szlovák, cseh, román, norvég és francia hozzászólásokat felhasználva elkészült egy 15 oldalas szakértői anyag, mely az általános levéltárak és a diktatúrák összeomlását követően a titkosszolgálati eszközökkel összegyűjtött anyagokat őrző speciális levéltárak helyzetét elemzi, és több konkrét javaslatot is megfogalmaz (például az állampolgársághoz kötött joggyakorlás korlátjának feloldása, válogatott listák tisztességtelen, politikai célból történő nyilvánosságra hozatala elleni szigorúbb fellépés stb.). Az eddigi munkát a Munkacsoport 57. ülésén röviden bemutattuk, és felkérést kaptunk a téma további „gondozására”.
Az Európai Adatvédelmi Biztosok Tavaszi Konferenciája
Az Európai Adatvédelmi Biztosok Tavaszi Konferenciája az Európai Unió tagállamai adatvédelmi felügyelő hatóságainak egyik legfontosabb éves találkozója. Az első ilyen konferenciát 1991-ben Hágában rendezték meg. Az 1993-ban Párizsban szervezett konferenciát követően született döntés arról, hogy minden évben tavasszal rendezzék meg az Európai Adatvédelmi Biztosok Tavaszi Konferenciáját. Minden egyes konferenciát az adatvédelem különböző európai kérdéseinek szentelnek, így különösen az adatvédelmi irányelv rendelkezései érvényesítésének és az országok saját megfigyeléseinek, tapasztalatainak. A tárgyalási témák között szerepelnek a rendőrséggel folytatott együttműködés céljából történő adatkezelések, valamint a bíróságokkal büntetőjogi vagy polgári jogi esetekben történő együttműködés kérdései is.
2006. április 24-25-én a magyar adatvédelmi biztos adott otthont a Tavaszi Konferenciának. A konferenciát a köztársasági elnök úr levélben köszöntötte, amelyben többek között arra is rámutatott, hogy „Az adatvédelem mindig példával szolgál a nagyközönségnek arra, hogy semmiféle – bármilyen jogos – politikai igény sem hagyhatja figyelmen kívül a szabadságjogokban rejlő korlátokat... Napjainkban arra kell figyelmeztetni, hogy a terrorizmus elleni harc sem szolg álhat feltétel nélküli indokul az információs önrendelkezés korlátozására. Ehelyett egy új, gondosan előállított egyensúly kidolgozásáról lehet szó.”
A konferencia nyitóbeszédét Dr. Baka András, az Európai Emberi Jogi Bíróság bírája tartotta, kiemelve az adatvédelemnek emberi jogi bírói gyakorlatban betöltött fontos szerepét. A konferencia programja a továbbiakban a legaktuálisabb adatvédelmi témákat érintette. Az előadók a harmadik pillér adatvédelme, a földrajzi helymeghatározás, a munkáltatói információs ellenőrző rendszer, a történeti és tudományos kutatás során az adatvédelem, az adatvédelmi hatóságok működésének hatékonysága, a nemzeti egészségügyi adatbázisok és a genetikai adatok terén a legújabb fejleményeket, a tagállami szabályozásokat és rendszereket mutatták be.
A konferencia nyilatkozatot fogadott el, amely a harmadik pillérbeli, a bel- és igazságügyi együttműködést érintő intenzív jogszabály- alkotás során felhívja a figyelmet az adatvédelmi elvek megfelelő
szintű figyelembevételére, továbbá magas szintű és harmonizált adatvédelmi standardok kialakítására e területen. Ez a Hágai Program logikus következménye, mely szerint a szabadság, biztonság és igazságosság biztosítása az Európai Unió mint egész feladatának oszthatatlan eleme, valamint olyan területeken, mint a Vízuminformációs Rendszer (VIS), a Schengeni Információs Rendszer II (SIS II) vagy az igazság- és belügy terén az európai adatbázisok közötti kölcsönös átjárhatóság, nemrégiben EU-szinten tett lépések következménye. Csak ilyen standard kialakításával lehet majd elérni az EU bűnüldözési hatóságai között az információcsere létező és jövőbeli formái közötti megfelelő egyensúlyt, és egyrészt az EU-ban élő állampolgárok biztonságának, másrészt a szabadság, biztonság és igazságosság területén a polgári szabadságjogok biztosításakor eleget tenni az arányossági alapelvnek.
Az Adatvédelmi Biztosok 28. Nemzetközi Konferenciája
Évente rendezik az Adatvédelmi Biztosok Nemzetközi Konferenciáját, melynek 2006. november 2-án és 3-án London volt a helyszíne. A konferencia egyetlen központi témaként a „megfigyelt társadalom” hatásaival foglalkozott. Az előadások foglalkoztak többek között a megfigyelés jövőjével, a jogainkra leselkedő veszélyekkel és kockázatokkal, a múltbéli tapasztalatokkal, a jogérvényesítéssel, a magánszféra és a bűnözés kapcsolatával, az állam információfelhasználásával, a fogyasztói és üzleti érdekek szembeállításával. Dr. Baka András, az Európai Emberi Jogi Bíróság bírája az emberi jogok viszonyait a megfigyelt társadalomban vizsgálta meg és adta elő prezentációjában.
A résztvevők által elfogadott záró közleményben a biztosok kiemelték, hogy a mindennapjainkban is jelenlévő megfigyelési tevékenységek jelentős kockázattal járnak az emberek magánszférájának korlátozása terén. A konferencia megállapította, hogy a megfigyelés törvényességének fontos biztosítéka az adatvédelmi szabályozás. Kiemelkedő jelentősége van annak, hogy az emberek bízzanak a megfigyelési tevékenységekben, illetve abban, hogy a magánéletükbe történő bármiféle beavatkozás szükséges célból történik és arányosan. Habár a megfigyelt társadalom kérdése meghaladja az adatvédelem területét, az adatvédelmi hatóságok szerepe nélkülözhetetlen. A biztosok elkötelezettek, és komoly erőfeszítéseket tesznek a jövőben is annak érdekében, hogy a modern információs társadalomban nélkülözhetetlen adatvédelmi biztosítékokat és szabályozó eszközöket a kihívásoknak megfelelve időszerűen fenntartsák.
Az európai adatvédelmi hatóságok nyilatkozatot fogadtak el a londoni konferencia keretén belül, különös figyelemmel a rendvédelmi célból történő, határon átnyúló információáramlásra. Az európai adatvédelmi hatóságok felhívják a tagállamokat, hogy tartsák tiszteletben és erősítsék meg az EU állampolgárainak polgári szabadságjogait úgy, hogy biztosítják a rendvédelmi célokat szolgáló adatkezelésekre vonatkozó adatvédelem magas szintű és harmonizált színvonalát, és megfelelő adatvédelmi rendszert alakítanak ki, mely nemcsak a tagállamok közötti adatcsere esetén alkalmazandó, hanem minden, a rendvédelem céljából kezelt személyes adat esetén is. A védelem magas szintjét kell biztosítani a harmadik országokba és nemzetközi szervezetekhez irányuló adattovábbítások esetében, amelyeknek közös európai standardokon alapuló megfelelőségen kell nyugodniuk.
Rendőrségi munkacsoport
A rendőrségi munkacsoport az európai adatvédelmi biztosok konferenciája által felállított munkacsoport, amely a biztosok konferenciája elé kerülő, különösen a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködésre vonatkozó dokumentumok előkészítő szerve. A rendőrségi munkacsoport jelenlegi elnöke a magyar adatvédelmi biztos. Budapesten megrendezett konferenciájukon az európai adatvédelmi biztosok felkérték a rendőrségi munkacsoportot, hogy néhány aktuális témakört részletesen dolgozzon ki, és megállapításairól a biztosok következő találkozóján adjon tájékoztatást.
A megvizsgálandó témakörök a hozzáférhetőség elve, az ellenőrzés/felügyelet kérdésköre, biometria, az adatok felhasználásának nagyobb átláthatósága és az adatmegőrzés. A munkacsoport megkezdte a munkaanyagok kidolgozását.
A munkacsoport októberi ülésén beszámolót hallgatott meg a büntetőügyekben folytatott, a rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről szóló kerethatározat tervezetnek a Tanácsnál folyó előkészítéséről. A tervezet kidolgozása során az egyik legvitatottabb kérdés a tervezet hatálya. Egyes elképzelések szerint a kerethatározatot csak a határon átnyúló adatcsere esetén kell alkalmazni, más vélemények szerint a kerethatározat hatályának ki kell terjednie azon nemzeti adatkezelésekre is, amelyek a rendvédelem célját szolgálják. A rendőrségi munkacsoport által összeállított dokumentum alapján az európai adatvédelmi hatóságok vezetői 2006. november 2-i nyilatkozatukban felhívják a figyelmet arra, hogy az adatvédelem elveit az szolgálja leginkább, ha a kerethatározat tervezet hatálya a szélesebb körű megoldásra terjed ki. Ez a megoldás a rendőrségi és igazságügyi együttműködés hatékonyságát is elősegíti.
A munkacsoport decemberi ülésén a rendvédelem terén a hozzáférhetőség elvének alkalmazásáról szóló munkaanyag előző ülésen már megkezdett részletes kidolgozását folytatta.
Részvétel Ikerintézményi Fejlesztési Programban
Az Adatvédelmi Biztos Irodája 2006 elején Bulgária Adatvédelmi Bizottsága adminisztratív megerősítésére kiírt Ikerintézményi Fejlesztési Programban (Twinning) vett részt. A projekt célja a bolgár intézmény adminisztratív kapacitásának növelése mellett a személyes adatok védelmére vonatkozó jogszabályok implementálásához, érvényesítéséhez szükséges feltételek nyújtása volt.
Az Európai Unió Bizottságának benyújtott írásbeli pályázatunk részletesen, alapvető periodikus struktúrában határozta meg a fejlesztési tervet. A magyar delegáció által készített előterjesztés a bolgár Adatvédelmi Bizottság minden strukturális részlege számára történő segítségnyújtást célozta. Ez magában foglalta a lehető legjobb és leghasznosabb gyakorlati megoldásokat az adatvédelmi szabályok hatékony és eredményes implementálása céljából úgy, hogy a lehető legtöbbet lehessen kihozni az ámbár különböző, mégis hatékony szervezeti működésre alapozott gyakorlatból és a tapasztalatokból, melyek átadására az Adatvédelmi Biztos Irodája egyébként is nyitott.
A Twinning projektre vonatkozó magyar előterjesztés felépítése a megvalósítandó célokhoz és részfeladatokhoz igazodik, ezért rövid, közép és hosszú távú modulokba rendeztük a programokat. A modulok magukban foglalták az intézmény fejlesztését, kapacitásának növelését, a szakképzést az eredményesebb működés elérése céljából.
A szakmai képzésbe tartozott az Európai Unió elvárásainak, követelményeinek megfelelő, adatvédelemmel kapcsolatos jogszabályi, gyakorlati (panaszügyintézés, hivatalból vagy beadvány alapján indított vizsgálatok), technikai és informatikai ismeretek átadása.
A szóbeli meghallgatásra és prezentációra Szófiában került sor, ahol mind a bolgár Adatvédelmi Bizottságnak, mind az Európai Unió Bizottságának a munkatársai további lényegretörő tájékoztatást kaptak az intézmény fejlesztését célzó, a magas szintű és hatékony működést, illetve az Európai Unió által elfogadott és érvényesített legjobb gyakorlatát szem előtt tartó javaslatunkból.
Az Ikerintézményi Fejlesztési Programban való részvétel kapcsán szerzett tapasztalatok jelentős fontossággal bírnak, a jövőben eredménnyel lehet azokat kamatoztatni.
Nemzeti szakértők az európai uniós intézményekben
Örömmel számolhatok be arról, hogy az Adatvédelmi Biztos Irodája 2006-ban a nemzetközi, európai uniós színtéren, az uniós intézményekben is képviseltette magát, mivel két munkatársamnak is sikerült nemzeti szakértőként (úgynevezett Seconded National Expert) tapasztalatot szerezni. Dr. Szabó Endre, az adatvédelmi főosztály munkatársa 2006 februárjában kezdte meg a nemzeti szakértői kiküldetést Brüsszelben az Európai Adatvédelmi Biztos Hivatalánál. Kiküldetése 2007. július 30-ig tart. A nemzetközi főosztálytól Dr. Halmos György az Európai Unió Igazságügyi Együttműködési Egységénél (Eurojust) Hágában helyettesítette 2006 májusától fél éves időtartamban az Eurojust adatvédelmi tisztviselőjét.
A nemzeti szakértői állásokra jellemzően a tagállamok közigazgatási intézményeiben foglalkoztatott köztisztviselők jelentkezhetnek. A státusz kettős szerepet tölt be: egyrészt hasznos a fogadó és a küldő intézmény közötti tapasztalatcsere, másrészt a későbbi együttműködés szempontjából. A fogadó intézmény szempontjából azért előnyös, mert a szakértő az adott szakterületen kiírt állásnak, feladatnak megfelelő speciális szakterület ismerettel rendelkezik, amely alapvetően az intézményi sajátosságokra tekintet nélkül a fogadó intézményben is alkalmazható. A küldő intézmény szempontjából pedig hasznos, hogy a szakértő a szakterülthez kapcsolódóan gyakorlati tapasztalatot szerez speciálisan az Unió, az uniós intézmény(ek) működésére, az uniós joganyag konkrét alkalmazására vonatkozólag, bővítve ezzel a hazai tudásbázist.
Alább az Eurojust adatvédelmi tisztviselőjének tevékenységét foglaljuk össze.
I. Az Eurojust rövid bemutatása
a) Az Eurojust felállítása
Az Eurojust felállításáról az Európai Tanács 1999 októberében a finnországi Tamperében tartott csúcsértekezletén született döntés. Az Eurojustot a 2003. június 18-i 2003/659/IB tanácsi határozattal módosított, 2002. február 28-i európai tanácsi határozat az „Eurojust létrehozásáról a súlyos bűncselekmények elleni közös fellépés érdekében”, (a továbbiakban Eurojust-határozat) hozta létre. A szervezet 2001. március 1-jétől ideiglenesen Brüsszelben működött, majd 2002 decemberében Hágába költözött. Az Eurojust jogi személy.
b) Az Eurojust küldetése
Az Eurojust az Európai Unió büntetőügyekben folytatott rendőrségi és igazságügyi együttműködési ügynökségei15 közé tartozó új szerv, amelyet a célból hoztak létre, hogy Európa-szerte erősítse az együttműködést a büntető igazságszolgáltatás területére tartozó ügyekben, valamint azért, hogy növelje a tagállamok illetékes hatóságainak hatékonyságát, amennyiben azok a súlyos, határokon átnyúló és szervezett bűnözéssel kapcsolatban nyomozást, vádeljárást folytatnak.
c) Az Eurojust szerepe
Az Eurojust az igazságügyi hatóságok világon elsőként folyamatosan működő hálózata. A szervezet előmozdítja és javítja a nyomozások és a vádemelések összehangolását, ugyanakkor támogatást nyújt a tagállamoknak a nyomozások és vádemelések eredményesebbé tételében is. Ennek érdekében megszervezi az ügyészek és nyomozók részére azokat a megbeszéléseket, amelyek során megtárgyalják az egyes, valamint a stratégia szintű ügyeket és meghatározott bűncselekménytípusokat. Az Eurojust kulcsfontosságú partnere az olyan európai intézményeknek, mint a Parlament, a Tanács és a Bizottság.
d) Az Eurojust szervezeti felépítése, összetétele
Az Eurojust 25 nemzeti tagot számláló Testületből, valamint a Testület munkáját segítő adminisztratív apparátusból áll. A Testületbe az Unió minden egyes tagállama egy tagot delegál. A nemzeti tagok tapasztalt, magas beosztású ügyészek, bírák vagy rendőrtisztek; munkájukat helyettesek és segítők támogatják.
e) Az Eurojust hatásköre
Az Eurojust hatáskörébe tartoznak mindazok a bűncselekmények, amelyekre vonatkozólag az Europol hatásköre az Europol Egyezmény szerint megállapítható, továbbá a számítógépes bűnözés, a csalás, a korrupció és bármely egyéb bűncselekmény, amely az Európai Unió pénzügyi érdekeit hátrányosan befolyásolja, a pénzmosás, a környezeti bűncselekmények, a bűnszervezetben való részvétel, és egyéb bűncselekmények, amelyeket az előbb említett bűncselekményekkel együttesen követnek el.
f) In Concreto16: A „Spanish Guardia Civil” egy speciális szoftvert fejlesztett ki azon számítógépek azonosítására, amelyeket gyermekpornográfia Interneten való terjesztésére használnak fel. A szoftver segítségével a különféle országokban azonosíthatóvá váltak a számítógépek IP címei, a tartalom terjesztői, valamint lakhelyük. Az Eurojust megbeszélést hívott össze az egyidejű akciók koordinálása érdekében. Az akcióterv két lépésből állt: elsőként azonosítani kellett a gyanúsítottak lakóhelyét, ahol a számítógépeket tárolják, második lépésként házkutatást kellett tartani ugyanazon a napon, órában valamennyi országban az azonosított lakóhelyeken. Az ilyen akciók megszervezésének nehézsége, hogy a művelet során számtalan ügyésznek, rendőrnek kell együttműködni. A házkutatásokat 2006 február 21-én hajtották végre, melynek eredményeképpen több tucat számítógépet foglaltak le a bizonyítékok beszerzése érdekében, 17 országban számos személyt tartóztattak le. Az eredményes akció egyértelmű jelzés volt, hogy ezek a fajta bűncselekmények sikerrel nyomozhatók világszerte, amennyiben a különféle országok ügyészi és rendőri hatóságai együttműködnek. A gyermekpornográfiát Interneten terjesztőknek tudomásul kell venniük, hogy többé nincsenek biztonságban”.
II. Az Eurojust információs, adatvédelmi jogi környezete
Fontos kiindulópont, hogy mivel az Eurojust az Európai Unió harmadik pillérében a „Rendőrségi és bűnügyi együttműködés” területén fejti ki tevékenységét, ezért az adatvédelemi jogi környezetét – a harmadik pillér adatvédelmét szabályozó kerethatározat hatálybalépéséig – elsősorban az Eurojustra vonatkozó jogi normák jelentik. Az olyan általánosan ismert alapnormák, mint az „Európai Parlament és a Tanács 1995. október 24-i 95/46/EK Irányelve a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról”, valamint az „Európai Parlament és a Tanács 2000. december 18-i 45/2001/EK Rendelete a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról”, az Eurojust esetében nem alkalmazandók, hiszen ezek hatályukat tekintve az Unió első pillérében folytatott adatvédelemi tevékenységre vonatkoznak.
Függetlenül attól, hogy az Irányelv, mint az első pillér centrális jogszabálya nem alkalmazandó, azonban az általa megfogalmazott adatvédelmi alapelvek, fogalommeghatározások, annak logikája, szelleme az Eurojust adatvédelmi jogszabályi környezetének megalkotásakor iránytűként játszott(ak) szerepet. Az elvek és a fogalommeghatározások például teljes egészükben adaptálásra kerültek.
1.) A jogi normák között elsőként említendő a fentebb már hivatkozott „Tanács 2002. február 28-i Határozata az Eurojust létrehozásáról a súlyos bűncselekmények elleni közös fellépés érdekében”17, mely részletes adatvédelmi szabályokat tartalmaz a 14-27. cikkekben. Lényegében az Eurojust-határozat hatalmazza fel az Eurojustot a személyes adatok kezelésére, rendelkezik az adatvédelmi tisztviselő kinevezésének kötelezettségéről, annak feladatairól, az adatalanyok hozzáférési jogáról, a helyesbítés és törlés jogáról, az adatbiztonságról, a tárolási határidőről, a partnerekkel, harmadik személyekkel történő adatcsere feltételeiről, a jogellenes adatkezelés esetén fennálló felelősségről, az automatizált ügykezelési rendszerről stb. Kiemelném az Eurojust-határozat 15. cikkét, a személyes adatkezelés „megszorításait”, amely konkrétan, taxatív felsorolással nevesíti, hogy az Eurojust, mely személyes adatok kezelésére jogosult az adatalanyokra vonatkozólag, valamint azt, hogy ezen adatokon kívül milyen feltételek teljesülése esetén kezelhet további személyes és különleges adatokat.
2.) Másodsorban említendő az „Eurojust személyes adatok védelmére és feldolgozására vonatkozó eljárási szabályzata”18 (az Eurojust Testületének 2004. október 21-i ülésén egyhangúlag elfogadott és a Tanács által 2005. február 24-én jóváhagyott szövege) (a továbbiakban Eljárási Szabályzat), amely tartalmazza az adatvédelmi fogalommeghatározásokat, az Eurojustra alkalmazandó általános elveket, az ügyhöz kapcsolódó, valamint az ügyhöz nem kapcsolódó adatkezelésre vonatkozó szabályokat.
Az Eljárási Szabályzat tagolása szerint az Eurojust által kezelt személyes adatokat két alapkategóriába sorolhatjuk. Az egyik csoportba tartoznak az Eurojust nemzeti tagjai által kezelt, az ügyekhez, a nyomozások koordinálásához kapcsolódó személyes adatok, azaz konkrétan a nyomozás vádeljárás alatt lévő bűncselekmény elkövetőinek, az áldozatok és a tanúk személyes adatai. Ezeket a személyes adatokat a nemzeti tag részére vagy a küldő tagállam hatósága, vagy másik, az ügyben érintett nemzeti tag továbbítja. A személyes adatok másik csoportját az ügyekhez nem kapcsolódó, az intézmény adminisztratív tevékenysége során az adminisztráció adatkezelői által kezelt személyes adatok képezik.
Az Eljárási Szabályzat 43. cikke szerint „szükség esetén az Eurojust ügyhöz nem kapcsolódó műveletek esetében a személyes adatok feldolgozására vonatkozó további szabályokat dolgoz ki […]”. A Testület „Az Eljárási Szabályzathoz kapcsolódó további szabályokat” 2006-ban alkotta meg, mely részletes szabályokat tartalmaz az adatvédelmi tisztviselő feladataira, az adatkezelők és adatfeldolgozók kötelezettségeire, jogaira, valamint az adatalanyok hozzáférési jogának gyakorlására, valamint a feltételezett jogellenes adatkezelés esetén követendő eljárás szabályaira vonatkozólag.
3.) Természetesen az Eurojust esetében is érvényesül az információszabadság. Az információhoz való szabad hozzáférés jogának gyakorlására vonatkozó eljárási rendelkezéseket a „Hozzáférés az Eurojust dokumentumaihoz”19 című jogszabály tartalmazza.
4.) Az Eurojust adatvédelmi tevékenységének rendszeres felülvizsgálatát a Közös Ellenőrző Szerv, a „Közös Ellenőrző Szervre vonatkozó törvény”20 rendelkezései szerint végzi. A jogszabály rendelkezései közül kiemelendők azok az eljárási szabályok, amelyek az adatalanyok hozzáférési jogához kapcsolódó fellebbezési jog gyakorlására, valamint a Közös Ellenőrző Szerv dokumentumaihoz való hozzáférésre vonatkoznak.
5.) Egyéb uniós jogszabályok
Az alábbi uniós jogszabályok jelentős viszonyítási pontok az Eurojust esetében is.
a) Szerződés az Európai Unióról (Maastrichti Szerződés) 6. cikke:
„Az Unió a szabadság, a demokrácia, az emberi jogok és az alapvető szabadságok tiszteletben tartása és a jogállamiság elvein alapul, amely alapelvek közösek a tagállamokban.
Az Unió a közösségi jog általános elveiként tartja tiszteletben az alapvető jogokat, ahogyan azokat az emberi jogok és alapvető szabadságok védelméről szóló, 1950. november 4-én Rómában aláírt európai egyezmény biztosítja, továbbá ahogyan azok a tagállamok közös alkotmányos hagyományaiból erednek.”
b) Az emberi jogok és alapvető szabadságok védelméről szóló egyezmény 8. cikke a
„Magán- és családi élet tiszteletben tartásához való jogról”.
c) Az Európa Tanács 1981. január 28-i egyezménye a személyes adatok gépi feldolgozása során az egyének védelméről.
d) Az Alapvető Jogok Európai Chartája 7-8. cikkei a „Magán- és családi élet tiszteltben tartásáról, valamint a személyes adatok védelméről”.
6.) A harmadik pilléres adatvédelemre vonatkozó kerethatározat
A büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről szóló tanácsi kerethatározat javaslat – mely többször nem került elfogadásra a jogalkotók által – az a jogszabálytervezet, amely a harmadik pillérben folytatott adatvédelmi szabályokat hivatott lefektetni. A jogszabálytervezet jelenlegi formájában külön megjelöli az Eurojustra vonatkozó eltérő szabályokat.
III. Az adatvédelmi tisztviselő
Tudható általában, hogy az uniós intézmények kötelezettek adatvédelmi tisztviselőt21 kinevezni az általuk kezelt személyes adatok védelme érdekében. Az Unió I. pillérében működő intézmények adatvédelmi tisztviselőire az Európai Parlament és Tanács 2000. december 18-i 45/2001/EK. Rendelete a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról 22 vonatkozik. Ebben a tekintetben kivételt képez az Eurojust adatvédelmi tisztviselője, mivel tevékenységét nem az előbbi jogszabály, hanem az Eurojust-határozat és az Eljárási Szabályzat határozza meg.
Az Eurojust adatvédelmi tisztviselőjére vonatkozó szabályozás centruma az Eurojust-határozat 17. cikke23, mely szerint:
(1) Az Eurojust külön kijelöl egy adatvédelmi tisztviselőt, aki az Eurojust személyzetének tagja. A tisztviselő ebben a tekintetben a testületnek közvetlenül alárendelt. Az ebben a cikkben előírt feladatainak ellátása során utasításokat senkitől nem fogadhat el.
(2) Az adatvédelmi tisztviselő feladatai különösen a következők:
a) függetlenül eljárva gondoskodik a személyes adatok kezelésének jogszerűségéről és a személyes adatok kezelésére vonatkozóan ebben a határozatban előírt rendelkezések betartásáról;
b) biztosítja, hogy az eljárási szabályzatban meghatározandó rendelkezésekkel összhangban, a 22. cikkben előírt biztonsági feltételek szerint – különösen a 19. cikk (3) bekezdésének alkalmazásában – írásban rögzítsék a személyes adatok átadását és átvételét;
c) gondoskodik arról, hogy az érintettek az ebben a határozatban biztosított jogaikról kérelemre tájékoztatást kapjanak.
(3) Feladatainak ellátása során a tisztviselő az Eurojust által kezelt adatokhoz hozzáférhet, és az Eurojust összes helyiségébe beléphet.
(4) Amennyiben azt állapítja meg, hogy az adatkezelés nem felelt meg e határozat rendelkezéseinek, a tisztviselő:
a) tájékoztatja erről a testületet, amely igazolja a tájékoztatás kézhezvételét;
b) amennyiben a testület az adatkezelés szabálytalanságának tárgyában ésszerű határidőn belül nem dönt, a Közös Ellenőrző Szerv elé terjeszti az ügyet.
A fenti rendelkezések, valamint az Eurojust szervezeti ábrájának tanulmányozása alapján is levonható az a következtetés, hogy az adatvédelmi tisztviselő egy szervezetbe integrált, ugyanakkor „függetlenséggel” felruházott „belső” kontroll funkciót ellátó tisztség. Az adatvédelmi tisztviselő tevékenyégének különösen fontos jellemzője a „függetlenség”, pontosabban a független véleményformálási, döntési, cselekvési mód, a kezelt adatokhoz való korlátlan hozzáférés.
Beszámolóinkban immáron rendszeresen említést teszünk az
európai adatvédelmi biztosról. Ez indokolt több szempontból is.
Az európai adatvédelmi biztos (angol elnevezésének rövidítése: EDPS) egyrészt olyan meghatározó szereplője az európai adatvédelemnek, amely szükségessé teszi, hogy a magyar adatvédelmi biztos beszámolójában szerepeljen. Másrészt a magyar adatvédelmi biztos – többi európai uniós kollégájához hasonlóan – közvetlenül is együttműködik az EDPS-szel, a gyakori konzultációkon túl a 29-es Munkacsoportban is. Ezen túl sikeres pályázatunkat követően egyik kollégánk jelenleg nemzeti szakértőként dolgozik az EDPS hivatalában. Az ő tevékenységéről lentebb beszámolunk.
Ahogyan a magyar adatvédelmi törvény, úgy a közösségi intézmények adatkezelésére vonatkozó rendelet is ismeri az előzetes ellenőrzés intézményét. Az EDPS ezen a téren jelentős tapasztalatokat gyűjtött, ezért érdemes kitérni joggyakorlatára. Minden európai uniós szerv és egyéb intézmény köteles adatvédelmi felelőst kinevezni. Az adatvédelmi felelősök kulcsszerepet töltenek be az adatvédelmi szabályok adott szerven belüli végrehajtásában, illetve az adatvédelmi követelmények érvényesítésében. Szerepükből eredően az EDPS számára fontos szereplők, akik gyakran egy kisebb stáb segítségével látják el feladataikat. Az adatvédelmi felelősök belső nyilvántartást vezetnek minden olyan adatkezelésről, amelyet az őket kinevező szerv végez. Ezek közül azokat, amelyek a személyes adatok közösségi intézmények által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló (45/2001/EK) rendelet szerint különös kockázatokat rejtenek, kötelesek előzetes ellenőrzés céljából az EDPS-hez bejelenteni. Ilyen különös kockázatot jelent például az egészségre vonatkozó adatok, bűnügyi adatok kezelése, vagy ha az adatkezelés egyének magatartásának értékeléséhez kapcsolódik.
A bejelentést követően két hónap áll az EDPS rendelkezésére, hogy a bejelentett adatkezelést megvizsgálja, és formális véleményben megfogalmazott állásfoglalást adjon ki. Az előzetes ellenőrzés során kiadott véleményben az EDPS részletesen elemzi az adatkezelés szempontjából lényeges tényeket, elemzi az adatmegőrzés, adatminőség követelményének feltételeit, megvizsgálja az érintett jogainak érvényesülését, azok esetleges korlátozásának jogszerűségét. Véleményének zárásaként öszszefoglalja ajánlásait az adatkezeléssel összefüggésben, amelyeket az adatkezelőnek, illetve adatfeldolgozónak be kell építenie az adatkezelésébe. Ha ezeket az ajánlásokat az adatkezelő megvalósítja, abban az esetben az EDPS jogszerűnek ismeri el a bejelentett adatkezelést.
A kibocsátott vélemények túlnyomó többsége már megkezdett adatkezelési műveleteket vizsgál, ilyen értelemben ezek az ellenőrzések már nem előzetesek. Ez abból ered, hogy az európai adatvédelmi biztost csak 2003-ban választották meg, tényleges működését pedig 2004 elején kezdte meg. Az előzetesen ellenőrzendő adatkezelések pedig ekkor már folyamatban voltak, értelemszerűen „előzetesen” már nem lehetett elvégezni az ellenőrzéseket. Ez azonban nem jár azzal, hogy az EDPS ajánlásait az adatkezelők és adatfeldolgozók ne lennének kötelesek végrehajtani. A kibocsátott vélemények egyébként szinte kivétel nélkül érdemi garanciák beépítését, belső szabályok kiegészítését, esetleg megalkotását írják elő, amellyel az EDPS mintegy „feltételekkel jóváhagyja” az adatkezelést. 2006-ban azonban megszületett az első olyan európai adatvédelmi biztosi vélemény, amely az adatkezelést kiegészítő esetleges járulékos garanciák esetén sem látja jogszerűnek, ezért annak átfogó átalakítását tartja szükségesnek. Ez a vélemény az Európai Bizottság belső informatikai ügyfélszolgálatának gyakorlatát érintette, mely szerint minden telefonbeszélgetést rögzítenek. A válogatás nélküli rögzítés nem fogadható el adatvédelmi szempontból, ezért a rögzítés céljára tekintettel csupán egy szűk körű és rövid határidőre szóló rögzítés fogadható el.
Mint minden jogszabály, úgy adott esetben az Európai Unió jogszabályai is értelmezésre szorulnak. Leginkább akkor, ha a jogszabályokat egy különösen összetett kontextusban kell alkalmazni. Az EDPS azzal a céllal, hogy segítse a közösségi szervek munkáját, felvállalja, hogy egy-egy személyes adatok védelmével érintkező, kiemelt területre vonatkozó jogszabály rendelkezéseit a jogalkalmazás eredményeit is figyelembe véve elemzi. Ezek nem tekinthetők jogi iránymutatásoknak, hanem inkább az adatkezelők munkáját megkönnyítő, az értelmezésben támpontokat nyújtó elemzéseknek. Ilyen háttérdokumentumot adott ki az EDPS a közösségi szervek által kezelt dokumentumokhoz való hozzáférésről. Ezen túl előkészítés alatt áll több, a közeli jövőben kibocsátandó dokumentum is.
Az adatvédelmi vonatkozású uniós jogszabályok tervezetei kötelezően elküldendők az EDPS-hez véleményezésre. A véleményezett jogszabályok száma meghaladta a tízet, ezek közül az alábbiak külön is kiemelendők:
l A Vízuminformációs Rendszerhez (VIS) a tagállamok belső biztonságért felelős hatóságai, valamint az Europol számára a terrorcselekmények és egyéb súlyos bűncselekmények megelőzése, felderítése és kivizsgálása érdekében, konzultációs céllal történő hozzáférésről szóló tanácsi határozati javaslathoz kapcsolódó vélemény;
l A hozzáférhetőség elve alapján történő információcseréről szóló tanácsi kerethatározati javaslathoz kapcsolódó vélemény;
l A bűnügyi nyilvántartásból származó információk tagállamok közötti cseréjének megszervezéséről és azok tartalmáról szóló tanácsi kerethatározati javaslathoz kapcsolódó vélemény;
l A tartással kapcsolatos ügyekben a joghatóságról, az alkalmazandó jogról, a határozatok elismeréséről és végrehajtásáról, valamint az e területen folytatott együttműködésről szóló tanácsi rendeletre irányuló javaslathoz kapcsolódó vélemény;
l A harmadik államok polgárai részére kiadott tartózkodási engedélyek egységes formáját meghatározó tanácsi rendelet módosítására irányuló javaslathoz fűzött vélemény;
l A rendőrségi és igazságügyi együttműködés keretében kezelt adatok védelméről szóló tanácsi kerethatározati javaslathoz kapcsolódó vélemény.
A légi utasok adatainak Egyesült Államokba történő továbbításával kapcsolatos európai kifogások régóta megoldást sürgetnek, előrelépésről azonban annak ellenére nem lehet beszámolni, hogy 2006-ban a meglévő megállapodást az Európai Közösség Bíróságának azt megsemmisítő ítélete után újra kellett tárgyalni. Az EDPS csalódottságának adott hangot a Bíróság légi utasok adatainak Egyesült Államokba történő továbbítása ügyében hozott határozatával kapcsolatban.
A luxemburgi bíróság előtt lefolytatott eljárásba az EDPS a felperes oldalán beavatkozott és szintén az Egyesült Államok és az Európai Unió között létrejött megállapodás hatályon kívül helyezése mellett érvelt. A Bíróság pusztán formális hiányosságokra (nem megfelelő jogalap) hivatkozással helyezte hatályon kívül a szóban forgó megállapodást. Ennek következményeként a légi utasok adatainak védelmét érdemben érintő kérdéseket nem részletezte az ítélet. Ez végeredményben pedig oda vezetett, hogy a megállapodás újratárgyalása során az utasok adatai védelmének szintjét illetően nem sikerült áttörést elérni (az ügy magyar vonatkozásával összefüggésben bővebben az adatvédelmi biztos jogalkotással kapcsolatos tevékenységéről szóló fejezetben olvashatnak).
Aktív szerepet játszott az EDPS az európai bankok nemzetközi elszámolásait intéző belga székhelyű cég, a Swift vitatott adatkezelésének ügyében is. A Swift nyilvántartási rendszere úgy épül fel, hogy az európai központtal párhuzamosan működik egy annak tökéletes tükörképét alkotó adatbázis az Egyesült Államokban is. A 2001. szeptember 11-i terrorista támadások után a terrorizmus elleni harc keretében arra utasították az amerikai hatóságok a Swiftet, hogy az európai nemzetközi tranzakciókat is tartalmazó amerikai adatbázist adják át nekik. Ezt a kérést a Swift kénytelen volt teljesíteni, elmulasztotta azonban ezt a tényt közölni az európai adatvédelmi hatóságokkal. Bár az Európai Központi Bank már évekkel korábban tudomást szerzett az adatátadásról, a tények csupán 2006 tavaszán váltak ismertté a közvélemény számára. Az EDPS támogatta a 29-es Munkacsoport Swifttel kapcsolatos véleményét, amely a saját állásfoglalásával lényegében megegyező megállapításokat tartalmaz. Ennek megfelelően mind az EDPS, mind a 29-es Munkacsoport elvárja a Swifttől és minden érintett szereplőtől, így a bankoktól is, hogy haladéktalanul olyan eljárásokat alakítsanak ki, amelyek segítségével az európai tranzakciókhoz kötődő személyes adatok megfelelő védelemben részesülnek, és az európai adatvédelmi normákat súlyosan sértő adattovábbításra többé ne kerülhessen sor.
Amint arról már tavalyi beszámolónkban is említést tettünk, a magyar adatvédelmi hatóság munkatársa az első nemzeti szakértő, akit az EDPS foglalkoztat. A nemzeti szakértői program célja kettős.
A nemzeti szakértő egyrészt segíti az EDPS munkáját a nemzeti hatóságnál szerzett tapasztalataival, másrészt pedig az EDPS mellett szerzett tapasztalatok a szakértő hazatérése után a magyar adatvédelmi biztos stábjának tudását gazdagítják. A 2007 júliusáig az EDPS mellett dolgozó szakértőnk feladata a felügyeleti tevékenységben való részvétel. Ez magában foglalja panaszügyek intézését, valamint az úgynevezett előzetes ellenőrzéseket, melyekre fentebb kitértünk.
EDPS honlapcíme: www.edps.europa.eu
I. TEVÉKENYSÉGÜNK FŐBB ADATAI
II. A VIZSGÁLATOK
IV. AZ ADATVÉDELMI NYILVÁNTARTÁS; A SZEMÉLYES ADATOK KEZELÉSÉVEL KAPCSOLATOS ELUTASÍTOTT KÉRELMEK ÉS A KÖZÉRDEKŰ ADATOK MEGISMERÉSÉRE IRÁNYULÓ ELUTASÍTOTT KÉRELMEK NYILVÁNTARTÁSA
V. AZ ADATVÉDELMI BIZTOS IRODÁJA
A beszámolóban előforduló törvények jegyzéke