Publication: Magyar Közlöny
Issue: MK-1999-18 (Year: 1999, Number: 18)
Era: 1990-2004
Section: szolgálatokról, 1997. évi XLVII. törvény az egészségügyi és a hozzájuk
Paragraph Index: 814

szolgálatokról, 1997. évi XLVII. törvény az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről. 1999/18/II. szám ügyi adatok kezelésével kapcsolatosan hat ajánlást számolhatunk össze.11 Most az a sajátos helyzet állt elő, hogy a Magyar Köztársaságot nemzetközi jogi kötelezettség terheli az egyezmény alkalmazására, ám a hazai jogalanyokat kötelező, magyar jogszabálykénti kihirdetés a kézirat lezárásáig még nem történt meg. Az Országgyűlés várhatóan ez év tavaszán dönt az egyezmény kihirdetéséről. „A Magyar Köztársaság Kormánya kijelenti, hogy az Egyezmény 3. Cikke 2. c) pontja alapján az Egyezményben foglaltakat alkalmazza a személyes adatok nem gépi eszközökkel feldolgozott állományaira is.”12 Figyelemre méltó az Országgyűlés határozatának az a rendelkezése, mely „felhívja a Kormányt, ...hogy az Egyezmény mielőbbi törvénybe iktatása érdekében, ...haladéktalanul terjessze az Országgyűlés elé az Egyezmény kihirdetéséről szóló törvényjavaslatot”.13 Az egyezmény alkalmazása a határátlépő személyes adatáramlás esetén okozhat nehézséget, mivel egyéb tekintetben az, aki a magyar adatvédelmi törvényt betartja, nagy valószínűséggel az Európa Tanács egyezményének rendelkezéseivel sem kerülhet szembe. 14 A magyar törvény szerint az adathordozótól függetlenül személyes adat az országból külföldi adatkezelő részére csak akkor továbbítható, ha az érintett ahhoz hozzájárult, vagy törvény lehetővé teszi, feltéve, hogy a külföldön történő adatkezelés feltételei minden egyes adatra teljesülnek. A magyar törvény eme elzárkózó, izolációs vonása csak addig lehet indokolt, amíg az ország külső környezete számára idegen a személyes adatok védelme, egyébként indokolatlan gátja a nemzetközi integrációnak, a személyek, a tudás és a tőke áramlásának. Noha kivételt is enged, az egyezmény fő szabálya szerint „A Felek a magánélet védelmének kizárólagos céljából nem korlátozhatják, vagy nem köthetik külön engedélyhez a személyes adatok határátlépő áramlását, ha egy másik Fél területére irányul.”16 Ettől az „azonos védelem” külországbeli hiánya esetén törvénnyel el lehet térni. Az Európai Unió adatvédelmi irányelve és a magyar jog Az egyénnek a személyes adatok feldolgozásával kapcsolatos védelméről és ezeknek az adatoknak a szabad áramlásáról szóló, Brüsszelben, 1995. október 24-én elfogadott irányelvet az Adatvédelmi Biztos Irodája még 1995-ben lefordíttatta,17 és az összes jelentős jogalkalmazó szerv, jogi oktatási intézmény és könyvtár részére (bíróságok, ügyészségek, a központi közigazgatási szervek, továbbá nagy könyvtárak és egyetemek) térítésmentesen megküldte. Van okunk feltételezni, hogy legalábbis az Unió tagországain, vagy annak hivatalos nyelveit államnyelvként beszélő országokon kívül Magyarország lehetett az első, ahol — ha nem is hivatalos, de széles körben terjesztett hiteles fordításban — megismerhetővé vált az Irányelv szövege. Az egyezményt jobb híján nevezzük magyarul „irányelv”-nek, hiszen az a „directive” szótárilag megfelelő, tartalmilag azonban pontatlan magyarítása. Az irányelv az EU tagországok számára kötelező jog, 1995-ös elfogadását követő három éven belül alkalmazását a belső jogban biztosítani kell.18 Az adatvédelmi törvény és az irányelv kapcsolatát az előttünk álló, és integrációs terveink miatt nélkülözhetetlen, jogfejlesztési követelmények lényegét szem előtt tartva vetem fel.19 Adatkezelő, adatfeldolgozó A magyar jogi szabályozás egyik legfőbb hiányossága az, hogy nem tesz különbséget adatkezelő és adatfeldolgozó között. 20 A jelenleg hatályos magyar jogban mindenki, aki személyes adatot kezel: adatkezelő; és adatkezelés a személyes adatokkal végzett minden elképzelhető művelet. 21 A direktíva által alkalmazott megkülönböztetés értelme az, hogy a jogélet kiköveteli annak biztosítását, hogy az önálló felelősséggel eljáró adatkezelő közreműködőt vegyen igénybe, akinek tevékenységéért a megbízója jogi (természetesen főként polgári jogi) felelősséget visel. Közigazgatási szervek, gazdasági társaságok, tudományos intézetek — például bérszámfejtésüket, létszámadataikat, egyéb adatbázisaikat — a hatékonyság követelményeit figyelembe véve külső cégekkel óhajtják elvégeztetni, az információs iparnak fontos ágazatát jelentik azok a cégek, melyek ezeket az igényeket elégítik ki. A magyar jogban az adatalanyok beleegyezése — különleges adatok kezelésénél: írásos beleegyezése — hiányában a személyes adatok külső feldolgozása jogellenes. Ezt a tilalmat a csatlakozással — garanciális korlátokkal, de — meg kell szüntetnünk. 11 Az automatizált egészségügyi adatbankokról R (81) 1, Az emberen folytatott egészségügyi kutatásokról R (90) 3, A magzatok genetikai vizsgálatáról R (90) 13, A bűnügyi célú DNS-vizsgálatokról R (92) 1, Az egészségügyi célú genetikai vizsgálatokról R (92) 3, Az egészségügyi adatok védelméről R (97) 5. 12 Részlet a megerősítésről szóló nyilatkozatból. 13 Határozatok tára, 1997/15. szám. 14 A probléma elemzését Dr. Bán Tamás—Dr. Könyves Tóth Pál tanulmányában olvashatjuk: Személyes adatok külföldre irányuló továbbíthatóságáról, Magyar Jog, 1997. december, 712—716. old. A tanulmány közli a mintaszerződés adatvédelmi klauzuláit, melyet az Európa Tanács, az Európai Unió és a Nemzetközi Kereskedelmi Kamara dolgozott ki. 15 Avtv. 9. § 16 ET, 108./1981, 12. cikk 2. pont. 17 Az Európai Parlament és a Tanács 95/46/EC irányelve, Adatvédelmi Biztos Irodája, Országgyűlési Biztosok Hivatala, Budapest, 1995. 18 Ez a határnap 1998. október 24-én következik be. 19 Az uniós követelmények hazai jogot érintő szempontjait elemzi: Dr. Balogh Zsolt György: Az adatvédelmi törvény fejlesztésének kérdései (Adatvédelmi szabályok Magyarországon és az Európai Unióban), Jogtudományi Közlöny, 1997/6. 269—277. old. 20 Az egyezmény szóhasználatában [Art. 2 d), e)] az adatkezelő: data controller, az adatfeldolgozó: data processor; az adatfeldolgozó kifejezés helyett magyarul esetleg alkalmazható lehet a megbízott adatkezelő, a technikai adatkezelő, esetleg a másodlagos adatkezelő kifejezés is. 21 Avtv. 2. § 7., 4. pont. 1999/18/II. szám Az adatfeldolgozót a direktíva alapján jogi kötelezettség terheli arra nézve, hogy az adatokat csakis az adatkezelő utasításainak megfelelően, az adatbiztonság követelményei szerint dolgozhatja fel. Ettől csak törvény felhatalmazása alapján térhet el.22 A polgári jogi felelősség ezzel világossá válik: az adatkezelő felel saját utasításaiért, valamint azért is, hogy megfelelő gondossággal válassza ki az adatfeldolgozót, az adatfeldolgozó polgári jogi felelőssége is megállapítható, különösen ha eltér az adatkezelő utasításaitól. Ám az adatfeldolgozó büntetőjogi felelősségének megállapíthatósága23 — a büntetőjogi felelősség személyes jellege folytán — további dogmatikai nehézségeket vet fel. A határokat átlépő adatokról, újból Az Európa Tanács 108/1981-es egyezménye ismertetésénél megállapítottam, hogy az a külföldre (a tagországokba) irányuló adattovábbítás esetén nem követeli meg az adatalany eseti hozzájárulását, ellenben megkívánhatja az azonos védelem meglétét. Maga a direktíva viszont megteremti az EU-ban az egységes jogot és védelmet, ezzel fel is szabadítja az EU-n belüli személyesadat-forgalmat, immár nem a külföldre irányuló személyesadat-áramlást, hanem a nem uniós harmadik országokba továbbított adatok forgalmát korlátozza. Nem bízza a tagországokra, hogy azok szabadon döntsenek a harmadik országba való adattovábbításról, hanem azt csak akkor minősíti jogszerűnek, ha a harmadik ország megfelelő szintű védelmet biztosít. A megfelelő védelem és a 108-as egyezmény szerinti azonos védelem értelmezésére nem térek ki. Hányadik ország leszünk? Amint arra már utaltam, az irányelv 1. cikke értelmében az EU tagállamai egymás között nem tilthatják meg a személyes adatok szabad áramlását. A 25. cikk szerint a személyes adatok átvitelére harmadik országba csak akkor kerülhet sor, ha a kérdéses harmadik ország megfelelő garanciát nyújt a személyes adatok védelmére. A megfelelő védelem meglétét az általános és szektorális szabályokat figyelembe véve az egész jogrendszert és az adott adattovábbítási műveletet értékelve lehet meghatározni. A tagállamok a megfelelő védelem meglétét vizsgálandó többszintű szervezetrendszert működtetnek (munkacsoport, bizottság, testület),24 ezek vizsgálódásai várhatóan nem fogják könnyű helyzetbe hozni a harmadik országokat. Noha feltehető, hogy az EU-tagság eléréséig Magyarország a jelenlegi jogvédelem bázisán valószínűleg számíthat a „jól nevelt harmadik ország” státuszára, ez még mindig elég kényelmetlen helyzetet fog eredményezni, remélhető ezért, hogy a csatlakozással mihamarabb megszabadulunk a harmadik ország címkéjétől. 25 Az eddigiekből annyit mindenesetre megállapíthatunk, hogy a csatlakozási tárgyalásokon a hazai adatvédelmi jog rendszere és a jogvédelem gyakorlata várhatóan nem rontja, hanem inkább javíthatja Magyarország csatlakozási esélyeit. Nem látom akadályát annak sem, hogy egy huszárvágással Magyarország elébe menjen a csatlakozási követelményeknek. Az adatvédelmi törvény felülvizsgálata — mint azt feljebb bemutattam — mindenképpen szükséges, nincs akadálya annak, hogy ezt az alkalmat megragadva a törvénymódosítással adatvédelmi jogunkat előre harmonizáljuk az Európai Unióval (néhány rendelkezés a csatlakozás későbbi időpontjában lépne hatályba). Ez annál is inkább kivihető, mert a direktívának számos, a mi törvényünknél kidolgozottabb követelményét az Adatvédelmi Biztos Irodájának jogértelmezése már eddig is integrálta az adatvédelem „élő jogába”. Ezt a következő példával illusztrálhatjuk: A magyar törvény (miközben külön szól a törvény által elrendelt és a különleges adatok kezeléséről), szűkszavúan annyit mond, hogy személyes adat akkor kezelhető, ha „ahhoz az érintett hozzájárul”.26 Ezzel szemben a Direktíva szerint „az adatalany hozzájárulása az adatalany kívánságának önkéntes, határozott és tájékozott kinyilvánítása, mellyel beleegyezését fejezi ki az őt érintő személyes adatok feldolgozásába”.27 A magyar törvényi rendelkezés ma is kifejezetten ezzel az utóbbi értelmezéssel hatályosul, az „élő adatvédelmi jog” — az Adatvédelmi Biztos Irodájának „esetjoga” következtében is — megfelel az Irányelvnek, ennek az értelmező szabálynak a törvényi rögzítése a hazai joggyakorlaton — ideértve a bírói gyakorlatot is — nem változtatna. Az önszabályozás Adatvédelmi önszabályozáson a szakmák, szövetségek, korporációk, kamarák, egyesületek, valamint az üzleti élet szektorainak az állami jogot tekintetbe vevő, de független szabályrendszereit értjük. A magyar adatvédelmi jog talán legfőbb szerkezeti gyengesége az önszabályozás fejletlensége, márpedig ez a hétköznapi jogélet és jogérvényesülés terén egyike az adatvédelem legfontosabb területének. Hollandiát szokták példaként említeni, ahol az adatvédelmi törvény az adatkezelők önszabályozó aktivitását az adatvédelem törvényi szabályozásának részé- 22 95/46 EC, 16. cikk. 23 Különösen vö.: Btk. 177/A. §, 177/B. § 24 Lásd: Direktíva, 25., 26. cikkek. 25 Alain Brun: Data Protection in the European Union and in Hungary, Budapest, 28 January 1998: Az Európai Unió két olyan tagországa, melyet korábban egyébként nem soroltak az adatvédelem élvonalába, Olaszország és Görögország parlamentjei, nem várva meg az egyezmény hatálybalépését, olyan törvényeket fogadtak el, melyek a direktíva érvényesülését lehetővé teszik. (Az olasz adatvédelmi tanács főtitkárának személyes közlése szerint az olasz törvény mintegy 70%-ban tartalmazza a direktíva rendelkezéseit.) Az Egyesült Királyságban, Svédországban, Hollandiában és Luxemburgban a direktívának megfelelő törvényjavaslatot már beterjesztették a parlamentnek. A többi tagországban a tárcakörözés stádiumában tartanak. 26 Avtv. 3. § (1) bek. a) pont. 27 95/46 EC 2. cikk h) pont. 1999/18/II. szám vé teszi,28 sőt, az enyhe törvényi előírásokat éppen a szektorális önszabályozó mechanizmusok szigora egyenlíti ki. Az önszabályozás élőbbé, szervesebbé teszi az adatvédelem fejlődését. A direktíva az önszabályozást az adatvédelem nemzeti és európai rendszerének hangsúlyos részeként tárgyalja. „A tagállamok és a Bizottság bátorítja az olyan etikai szabályzatok készítését, amelyek — figyelemmel a különféle szektorok sajátos jellegére — elősegítik a jelen irányelv értelmében hozott belső rendelkezések megfelelő alkalmazását.”29 Nemcsak bátorításról szól az irányelv, hanem arról is, hogy a szakmai egyesületek, adatkezelők mutassák be szabályzataikat az adatvédelmi hatóságnak, ellenőrizendő, hogy azok megfelelnek-e az állami adatvédelmi jognak és ezzel természetesen az irányelvnek. Az önszabályozás az a terület, ahol a magyar adatvédelmi jog kétségkívül elmarad az Európai Unió átlagától.30 A sajtó privilégiumai Kevés figyelem jutott eddig nálunk a sajtó (illetve a média) és az adatvédelem jogi kapcsolatának. Néhány adatvédelmi törvény a sajtót kedvezőbb helyzetbe hozza, mint a többi adatkezelőt, esetleg korlátozza az adatvédelmi törvény érvényesülését. Az Egyesült Államokban sokan a sajtószabadságot abszolút jognak tekintik. A magyar jogban a sajtó lényegében ugyanolyan adatkezelő, mint a többi. Természetesen az adatvédelem nevében jogszerűen nem akadályozhatja meg senki az információszabadság és a sajtószabadság érvényesülését. Ez már csak azért sem következhet be, mert — mint arról már szó esett — e két jog garanciái nálunk egyetlen törvénybe lettek foglalva, és ez a törvény — például a közhatalmat gyakorlók esetében — maga is korlátozza a jogosultságot az adatvédelemre. A magyar Avtv.-ben egyetlen olyan szabályt találunk, mely kifejezett sajtóprivilégiumként értelmezhető: Eszerint nem kell bejelenteni az adatvédelmi nyilvántartásba azt az adatkezelést, mely „a sajtótörvény hatálya alá tartozó társaságok és szervek olyan adatait tartalmazza, amelyek kizárólag saját tájékoztatási tevékenységüket szolgálják”.31 Az irányelv lehetővé teszi, hogy mentességeket határozzanak meg a tagállamok az újságírói, művészeti, irodalmi kifejezés céljából, a magánélet és a véleménynyilvánítás szabadsága egyensúlyának megteremtése érdekében. Adatvédelmi biztosként 1996-ban egy „úriemberek közötti megállapodás” formájában megállapodtam az országos rendőrfőkapitánnyal, a MÚ- OSZ bűnügyi újságírókat tömörítő csoportjával abban, hogy a rendőrség milyen információkat ad, az újságírók pedig milyen híreket közölnek a bűncselekményekről és a balesetekről. A megállapodás arra irányult, hogy az ártatlanság vélelme, valamint a gyanúsítottak és a sértettek személyiségi jogai ne sérüljenek, de az újságok közlési szabadsága is megmaradjon. A vádirat benyújtásáig általában a nevek nem, de a monogramok megjelölhetők. A vádlott az első nyilvános tárgyalást követően — de az ártatlanság vélelmét tisztelve — már megnevezhető. Az adatvédelem közigazgatási-szervezeti továbbfejlesztése Az uniós csatlakozás — de a nemzetközi rendőri együttműködés, ezen belül az adatkezelés olyan európai szabályai, mint amilyen az Európa Tanács ajánlása a személyes adatok felhasználásának szabályozásáról a rendőri ágazatban, 32 vagy a Schengeni Egyezmény — indokolja, hogy a rendőri, bűnüldözési célból jogszerűen működtetett nemzetközi információs rendszer ellenőrzésére a magyar közigazgatáson belül független nemzeti adatvédelmi ellenőrző szervezet működjön. Egy ilyen rendszer működtetésére elméletileg háromféle szervezeti megoldás jöhet szóba. Elláthatja ezt a feladatot a parlament által választott általános hatáskörű adatvédelmi biztos, egy központi közigazgatási adatkezeléseket ellenőrző kormányszerv, melynek hatásköre minden ágazatra kiterjed, vagy a közigazgatás szektorai, ágazatai szerint létrejövő több hatósági intézmény. Az első megoldás biztosíthatja a függetlenség teljesebb garanciáját, viszont egy ombudsman-intézményt közigazgatási-operatív jogkörrel felruházni nem látszik célszerűnek. A puha ombudsmani hatáskört ki kellene egészíteni kemény hatósági jogkörökkel, ami egy parlamenti ellenőrző szerv esetében a hatalmi ágak rendszerét, egyensúlyát érintő kérdés, és államszervezeti, alkotmányossági aggályokat ébreszt, akár a parlamenti kormányzás rémképét is felidézheti. A második megoldás igényli a legnagyobb bürokráciát, több döntési szintet feltételez, költséges, elmossa a szektorális különbségeket, feltehetően kevésbé hatékony, méltán keltene ellenszenvet a választópolgárokban is. Az 1997-ben benyújtott parlamenti beszámolómban a magyar közigazgatás fejlesztése érdekében a jogalkotók és jogalkalmazók figyelmébe ajánlottam a „kanadai modell”-nek nevezett megoldást,33 melyet ott az információs jogok egyszerű, sallangmentes, olcsó és hatékony megoldásának neveztem. Ennek lényege az, hogy minden központi közigazgatási szerv kinevezi a maga információs jogok ágazati felelősét, aki köré kis létszámú hivatalt lehet szervezni. Az információs jogok szektorális irányítói egymással koordinációs kapcsolatban vannak. Megítélésem szerint ez lehet a 28 Charles D. Raab: Sectoral data protection in Europe, 15. p., Conference on Personal Data Protection in Europe and Hungary, Budapest, 29 January 1998, Székely Iván: A szektorális adatvédelem Magyarországon, uo. 29 95/46/EC 27. § 30 A pozitív példákat a direkt marketing cégek együttműködése, néhány kamara, a MUOSZ belső szabályai között találjuk meg. Az adatvédelmi biztos hivatala kész konzultációs szakmai segítséget nyújtani az etikai szabályzatok készítőinek. 31 Avtv. 30. § g) pont. 32 R (87) 15. sz. ajánlás. 33 Az adatvédelmi biztos beszámolója 1995—96, ABI Budapest, 1997,

Source: https://magyarkozlony.hu/hivatalos-lapok/66c4f249a6eb3ab597afbc4767dead739aff7499/dokumentumok/4644402bd738c4e1234c59ef130d85816aca6980/letoltes