Publication: Magyar Közlöny
Issue: MK-2007-67 (Year: 2007, Number: 67)
Era: 2004-2010
Section: Ezt követõen a 2006. február 16-án kihirdetett, az Európai Unióról szóló Szerzõdés K.3. cikkén alapuló, az Európai Rendõrségi Hivatal létrehozásáról szóló, 1995. július 26-án kelt Egyezmény (Europol Egyezmény) és Jegyzõkönyveinek kihirdetésérõl, valamint a Rendõrségrõl szóló 1994. évi XXXIV. törvény módosításáról szóló 2006. évi XIV. törvény hatályon kívül helyezte a NEBEK adatvédelmi felelõsére vonatkozó rendelkezéseket, s az adatvédelmi biztost jelölte meg az Europol Egyezmény 23. cikke szerinti önálló nemzeti adatvédelmi felügyelõ hatóságként, valamint a
Paragraph Index: 219

(4) van-e esélye annak, hogy a problémára a Munkacsoport konkrét megoldásokat tud találni. Az elõbbiek figyelembevételével a 2006/2007-es munkaprogram fõbb pontjaiként a Munkacsoport a következõket jelölte meg: az adatvédelmi irányelv, új technológiák, nemzetközi adattovábbítás EU-n kívüli országokba, külsõ kommunikáció. A Munkacsoport feladatainak egyik jelentõs területe az EU adatvédelmi irányelvéhez kapcsolódik. Tanácsot ad az Európai Bizottságnak vagy az Európai Parlamentnek az irányelv módosításával kapcsolatban és biztosítja, hogy az irányelvet a személyes adatok védelmének szempontjából kedvezõen és Európa-szerte egységesen értelmezzék. Ezen törekvések jegyében, például a rádiófrekvenciás azonosító chipekhez kapcsolódóan, a Munkacsoport meg fogja vizsgálni a személyes adatok definícióját, azt követõen pedig az adatmegõrzés, valamint az egészségügyi adatok feldolgozásának kérdését tárgyalja. Az értelmezés mellett az irányelv végrehajtása is hangsúlyos szerepet kap a Munkacsoport programjában. A Munkacsoport szervezésében az Ügykezelési Munkafórum rendszeresen találkozik, és tevékenységével, gyakorlati esetek megoldásával elõsegíti a különbözõ európai adatvédelmi jogszabályok harmonizációját. A Munkacsoportnak az irányelv végrehajtásáért felelõs alcsoportja pedig egy átfogó vizsgálatba kezdett még 2005-ben: a tagállamok magán egészségbiztosító társaságainak adatkezelési gyakorlatát tekintette át. A vizsgálat eredményének értékelése a közeljövõben várható. A Munkacsoport tevékenységének egy másik hangsúlyos területét az új technológiák jelentik (például rádiófrekvenciás azonosítás, e-kormányzat, biometrikus azonosítás, az e-egészségügy betegekre vonatkozó információi). A Munkacsoport fontosnak tartja, hogy az új technológiák adatvédelmi vonatkozásait a lehetõ leghamarabb feltárja és elemezze, még mielõtt a nagyobb jelentõségû alkalmazásokra sor kerülne. Ennek a gyakorlatnak az a célja, hogy az új technológiákat úgy vezessék be a gyakorlatba, hogy az megfeleljen az EU adatvédelmi irányelvének. Harmadik fontos területként az Európai Unión kívüli országokba történõ adattovábbítás említhetõ. A Munkacsoport számos munkadokumentumot készített azzal a céllal, hogy segítséget nyújtson a multinacionális cégek adattovábbítással kapcsolatos problémáinak megoldásához. A nemzetközi cégcsoportok tagjai közötti adattovábbítást rendezõ Kötelezõ Érvényû Vállalati Szabályok jelentik az egyik megoldást arra, ahogy a cégek bizonyíthatják adatkezelési gyakorlatuk megfelelõségét adatvédelmi szempontból. A Munkacsoport azonban egyéb olyan megoldások alkalmazásához is nyújt iránymutatást, mint például a Bizottság által jóváhagyott Általános Szerzõdési Feltételek. Az elmúlt években a Munkacsoport tevékenységét erõsen befolyásolták az európai és más kormányok azon intézkedései, amelyeket a nemzetközi terrorizmus elleni harc jegyében hoztak, mivel ezek az intézkedések általában konfliktusban állnak a személyes adatok védelméhez fûzõdõ joggal. Ezt a konfliktust a mai napig sem sikerült feloldani, ezért az EU harmadik pillérével kapcsolatos adatvédelem egyre fontosabb szerepet játszik a tagállamok adatvédelmi hatóságainak munkájában. Különösen az Európai Unió és az Egyesült Államok közötti, a PNR adatoknak (utasnyilvántartási adatállomány) a légi szállítók általi feldolgozásáról és az Egyesült Államok Belbiztonsági Minisztériuma Vámügyi és Határvédelmi Irodájának történõ továbbításáról szóló megállapodás (PNR megállapodás) jelentett az elmúlt években nagy kihívást a Munkacsoport számára. A Munkacsoport több véleményében is kifejezte kétségeit a megállapodás által lehetõvé váló adatfeldolgozásban a személyes adatok védelmét illetõen. 2006-ban több fejlemény is történt a PNR adatok továbbításával kapcsolatban. Többek között az Európai Parlament kérelmére az Európai Közösség Bírósága 2006. május 30-án megsemmisítette az Egyesült Államok Vámügyi és Határvédelmi Irodájának rendelkezésére bocsátott, a légiutasok utasnyilvántartási adatállományában tárolt személyes adatok megfelelõ védelmérõl szóló bizottsági határozatot és a PNR megállapodást. A bíróság indoklásában kifejtette: igaz ugyan, hogy a PNR adatok gyûjtését a légitársaságok a közösségi jog hatálya alá tartozó tevékenységük keretében végzik (jegyeladás), így ez az adatfeldolgozás az EU adatvédelmi irányelvének hatálya alá tartozik. Azonban a megfelelõségi határozat és a PNR megállapodás arra az adatfeldolgozásra vonatkozik, melynek keretében a légitársaságok továbbítják a PNR adatokat az USA-ba. Ez az adattovábbítás a közbiztonsággal és a büntetõjog területén végzett állami tevékenységekkel kapcsolatos adatfeldolgozásnak minõsül, így nem tartozik az adatvédelmi irányelv hatálya alá. Ezért az Európai Közösségnek hiányzott a hatásköre a megfelelõségi határozat meghozatalára és a PNR megállapodás megkötésére. 2007/67/II. szám Az elsõ és a harmadik pillérre vonatkozó adatvédelem mesterséges szétválasztása joghézagot eredményez az uniós állampolgárok magánéletének védelmében. Ezért fontos lenne a belsõ piacra vonatkozó, valamint a rendõrségi és bûnüldözési együttmûködésre vonatkozó adatvédelmi szabályozás következetessége. A harmadik pillérre vonatkozó adatvédelmi szabályozás alapját is a 95/46/EK adatvédelmi irányelvnek kellene képeznie. A Munkacsoport azonban bármilyen, az Uniót érintõ adatvédelmi kérdéssel foglalkozhat és állásfoglalást bocsáthat ki. A Munkacsoport 2006-ban is több véleményt és munkadokumentumot tett közzé, melyek rövid összefoglalását az alábbiakban ismertetem. – Vélemény az uniós adatvédelmi szabályoknak a számvitel, belsõ számviteli ellenõrzés, könyvvizsgálati kérdések, korrupció, banki és pénzügyi bûnözés elleni küzdelem terén létrehozott belsõ visszaélés-jelentési rendszerekre történõ alkalmazásáról (WP 117): A belsõ visszaélés-jelentési rendszereket (whistleblowing schemes) a vállalatok azzal a céllal hozzák létre, hogy az alkalmazottak a vállalaton belül egy speciális csatornán keresztül jelenthessék a csalást és kötelességszegéseket a számvitel, belsõ számviteli ellenõrzés, könyvvizsgálati kérdések és jelentéstétel terén. A rendszerek meghirdetett célja a nemzetközi pénzügyi piacok pénzügyi biztonságának garantálása, valamint a korrupció, a banki és pénzügyi bûnözés, valamint a bennfentes kereskedelem elleni küzdelem. A belsõ visszaélés-jelentési rendszerek kialakítását az Amerikai Egyesült Államok Kongresszusa tette kötelezõvé 2002-ben a Sarbanes-Oxley törvénnyel (SOX) a vállalati pénzügyi botrányok gyakorisága miatt. Több amerikai vállalat tevékenysége folytán a SOX mellett az uniós adatvédelmi szabályok hatálya alá is tartozik. Ezért a Munkacsoport véleményével iránymutatást nyújt számukra ahhoz, hogy miként mûködtethetõk a belsõ visszaélés-jelentési rendszerek az adatvédelmi irányelvvel összhangban. A Munkacsoport megjegyzi, hogy a jelenlegi rendelkezések különleges védelmet biztosítanak a visszaélést jelentõ alkalmazottak számára, de nem tesznek külön említést a megvádolt személy védelmérõl, annak ellenére, hogy az adatvédelmi irányelv és a nemzeti jog adatvédelmi szabályai által biztosított jogokhoz a megvádolt személynek is joga van. Komoly a veszélye annak, hogy a megvádolt személyt már azelõtt megbélyegzik, mielõtt tudomást szerezne az ellene felhozott vádról, vagy az állítások indokoltságát megállapították volna. Az adatvédelmi szabályok megfelelõ alkalmazása hozzájárul az említett veszélyek csökkentéséhez. Az adatvédelmi szabályok visszaélés-jelentési rendszerekre történõ alkalmazásakor a Munkacsoport elõször a rendszerek törvényességének kérdését vizsgálja. Mivel a SOX az USA törvénye, rendelkezései nem tekinthetõk törvényes alapnak az adatkezeléshez. Az adatkezelés törvényességét a vállalatok következõ jogszerû érdekei biztosítják: a csalás és kötelességszegések megelõzése a számvitel, belsõ számviteli ellenõrzés, könyvvizsgálati kérdések és jelentéstétel terén, valamint a nemzetközi pézügyi piacok pénzügyi biztonságának garantálása, a korrupció, a banki és pénzügyi bûnözés, valamint a bennfentes kereskedelem elleni küzdelem. Mindazonáltal a Munkacsoport hangsúlyozza, hogy egyensúlyt kell teremteni a vállalatok jogszerû érdeke és az adatfeldolgozással érintettek alapvetõ jogai között. Figyelembe kell venni a jelenthetõ feltételezett bûncselekmények súlyosságát, valamint a következményeket az érintettekre nézve. Biztosítani kell azt is, hogy az érintettek lényeges jogos érdekbõl bármikor tiltakozhassanak a rájuk vonatkozó adatok kezelése ellen. Az adatminõség és az arányosság elveinek alkalmazásakor a Munkacsoport tárgyalta a nevesített és névtelen jelentések kérdését, a gyûjtött és feldolgozott adatok arányosságának és pontosságának problémáját és az adatmegõrzési idõszakokat. A Munkacsoport úgy gondolja, hogy a jelentések névtelensége számos okból nem jó megoldás a visszaélést jelentõ személy vagy a szervezet számára, például a névtelenség nem akadályozza meg, hogy mások kitalálják, ki emelt panaszt, vagy kialakulhat a rosszindulatú névtelen jelentések gyakorlata. Továbbá a névtelenség ellen szól az az alapelv is, hogy személyes adatok csak tisztességesen gyûjthetõk. Csak kivételes esetben fogadható el a névtelenség. A rendszereket úgy kell kialakítani, hogy ne ösztönözzék a névtelen jelentéseket, ezért az elsõ kapcsolatfelvételkor tájékoztatni kell a jelentést tevõ személyt, hogy személyazonosságát a folyamat valamennyi szakaszában bizalmasan kezelik, azt nem fedik fel harmadik félnek, a megvádolt személynek, sem pedig feletteseinek. Azonban fel kell hívni a figyelmet arra, hogy a személyazonosság felfedésére sor kerülhet a vizsgálat eredményeként megindított további vizsgálatokban vagy késõbbi bírósági eljárásokban. Az adatok arányosságával és pontosságával kapcsolatban a Munkacsoport kiemelte, hogy csak olyan adatok dolgozhatók fel a rendszerben, amelyek a vádak igazolásához feltétlenül és objektív módon szükségesek. A rendszer szempontjából közömbös adatok közlése esetén azokat csak abban az esetben lehet továbbítani a vállalat megfelelõ tisztviselõjéhez, ha az érintett személy alapvetõ érdekei vagy az alkalmazottak erkölcsi integritása forog kockán, vagy ha a bûnüldözési vagy államháztartási szervek számára jogi kötelezettség alapján kell továbbítani az információt. Az adatmegõrzéssel kapcsolatban a Munkacsoport megjegyzi, hogy a személyes adatokat a vizsgálat befejezését követõ két hónapon belül törölni kell. Ha eljárás indul a megvádolt személy vagy a hamis vagy becsületsértõ kijelentést tevõ, visszaélést jelentõ személlyel szemben, akkor az adatokat az eljárása lezárásáig vagy a fellebbezésre rendelkezésre 2007/67/II. szám álló idõszak végéig kell megõrizni. Haladéktalanul törölni kell azonban a megalapozatlannak talált jelentéshez kapcsolódó személyes adatokat. A bejelentett személyek jogaival kapcsolatban a Munkacsoport kiemelte, hogy a rendszerért felelõs személy köteles a megvádolt személyt az õt érintõ adatok rögzítését követõen a lehetõ leggyorsabban tájékoztatni, különösen az alábbiakról: mivel vádolták meg, ki felelõs a rendszerért, kik kaphatják meg a jelentést, hogyan gyakorolhatja hozzáférési és helyesbítési jogát. Azonban az értesítés elhalasztható, amíg fennáll annak a kockázata, hogy a megvádolt személy megsemmisítené vagy módosítaná a bizonyítékokat. Továbbá biztosítani kell az érintettek hozzáférési, helyesbítési és törlési jogát, azzal a korlátozással, hogy a megvádolt személy nem tudhatja meg a jelentést tevõ személyazonosságát, csak akkor, ha az rosszhiszemû, hamis kijelentést tett. A visszaélés-jelentési rendszerek irányítása tekintetében a Munkacsoport úgy véli, hogy a rendszer belsõ kezelését kell elõnyben részesíteni, de a vállaltok igénybe vehetnek külsõ szolgáltatót is. Belsõ kezelés esetén különálló szervezetet kell létrehozni a vállalaton belül a jelentések kezelésére és a vizsgálatok vezetésére. A kijelölt szervezetnek korlátozott számú, speciálisan képzett és erre kijelölt személyzetbõl kell állnia, akiket különleges titoktartási kötelezettségek szerzõdésben köteleznek. Külsõ szolgáltató igénybevétele esetén is a vállalat marad a felelõs az adatfeldolgozásért. A külsõ szolgáltatóra is szigorú titoktartási kötelezettségnek kell vonatkoznia, és kötelezettségeik teljesítését a vállalatnak ellenõriznie kell. Továbbá a Munkacsoport szerint a vállalatcsoportoknak néhány kivételtõl eltekintve helyi szinten, az Unión belül kell kezelniük a jelentéseket. Ha az adattovábbítás harmadik országba történik, és az nem biztosít adatvédelmi szempontból megfelelõ szintû védelmet, az adatokat csak akkor lehet továbbítani, ha a címzett tagja a Safe Harbor rendszernek, vagy vele adattovábbítási szerzõdést kötöttek, vagy ha kötelezõ érvényû vállalati szabályok vannak érvényben a címzettnél. A Munkacsoport végül hangsúlyozta a világos és teljes körû tájékoztatási kötelezettséget a rendszerrel kapcsolatban. Kiemelte az adatfeldolgozás biztonságának jelentõségét, valamint a nemzeti adatvédelmi hatóságok elõzetes ellen- õrzésének vagy az általuk elõírt bejelentési kötelezettségnek való megfelelés kötelezettségét is. – Vélemény az e-mailek átvilágítására vonatkozó szolgáltatásokról (WP 118): Az internetszolgáltatók és e-mail szolgáltatók többsége szûrõket használ a spamek és a vírusok kiküszöbölésére, valamint ellenõrzi az üzeneteket, például az elõre meghatározott tartalom észlelése, keresés és helyesírás-ellenõrzés, sürgõs üzenetek megjelölése, a bejövõ e-mailek mobiltelefonos szöveges üzenetté alakítása érdekében. A Munkacsoport úgy véli, hogy a szûrõk használata nem mindig felel meg a hatályos adatvédelmi jogszabályoknak. A Munkacsoport úgy találta, hogy az e-mailek vírusok kiszûrése céljából történõ ellenõrzése nem jogsértõ. Az ellenõrzés azért jogszerû, mert az EU elektronikus hírközlési adatvédelmi irányelve (a továbbiakban ePrivacy irányelv) elõírja, hogy az e-mail szolgáltatónak megfelelõ mûszaki és szervezeti intézkedéseket kell tennie szolgáltatásai biztonságának érdekében. Továbbá a szûrõrendszerek létrehozásával az e-mail szolgáltatók biztosítják az ügyfelekkel kötött szolgáltatói szerzõdés teljesítését. Azonban az e-mail szolgáltatóknak be kell tartaniuk a következõket: (1) az e-mailek és csatolt mellékletek tartalmát titokban kell tartani, és csak a címzettek elõtt szabad feltárni, (2) amennyiben vírust találnak, a telepített szoftvernek biztosítania kell a titkosságot, (3) vírusellenõrzéskor az e-mailek tartalmát nem ellenõrizhetik más célból, (4) az átvilágításról tájékoztatást kell nyújtani. A spamek akadályozhatják az internetes forgalmat, és súlyosan károsíthatják az e-mail szolgáltatások általános megbízhatóságát és hatékonyságát. Ezért a spamek szûrése szükséges az érintettel kötött szerzõdés teljesítéséhez. Ugyanakkor aggodalomra ad okot, hogy a szûrés néha összekeveri a spameket a tényleges e-mailekkel, melyeket meg szeretne kapni a fogadó. A tévesen spamnek ítélt e-mailek kiszûrése sérti a szólásszabadságot, és a magáncélú közlésekbe történõ beavatkozásnak minõsül. Ezért a Munkacsoport szorgalmazza, hogy az e-mailek fogadói rendelkezhessenek a nekik címzett üzenetekkel, például ellenõrizhessék, hogy mely e-maileket minõsítették spamnek. Továbbá a vélemény hangsúlyozza, hogy az e-mail szolgáltatóknak világosan és egyértelmûen tájékoztatniuk kell az elõfizetõket a spamekkel kapcsolatos politikájukról, és biztosítaniuk kell a megszûrt e-mailek titkosságát, valamint azt, hogy a kiszûrt e-mailek ne legyenek más célra felhasználhatók. A Munkacsoport véleménye szerint az e-mailek átvilágítása elõre meghatározott tartalom észlelése érdekében még az illegálisnak ítélt anyag esetén sem tekinthetõ olyan intézkedésnek, amely szükséges az e-mail szolgáltatások biztonságához. Az e-mail tartalma nem fenyegeti az e-mail szolgáltatót károsodással és a kommunikáció leállásával, így az ellenõrzést nem legitimálja a szolgáltatás biztonságának megõrzésére irányuló törekvés. A Munkacsoport aggályosnak találja, hogy a szûréssel az e-mail szolgáltatók cenzúrázzák a magánjellegû e-mail közléseket, ami a szólás- és véleményszabadság, illetve a tájékozódáshoz való jog alapvetõ kérdéseit veti fel. Az e-mail szolgáltatók tehát az érintett felhasználók hozzájárulása nélkül nem szûrhetik, tárolhatják és nem tarthatják vissza a közléseket és az azokra vonatkozó forgalmi adatokat az elõre meghatározott tartalom észlelése céljából. A Munkacsoport szerint megfelelõ az e-mail szolgáltatók gyakorlata, ha a vírusok és a spamek szûrésérõl a szolgáltatás szerzõdéses feltételeinek részeként tájékoztatják az elõfizetõket. 2007/67/II. szám Az e-mailekhez kapcsolódó egyéb szolgáltatások tekintetében a Munkacsoport az e-mailek megnyitását nyomonkövetõ „Elolvasták” szolgáltatást vizsgálta meg. A Munkacsoport erõsen ellenzi ezt az adatkezelést, mert a címzettek viselkedésével kapcsolatos személyes adatokat az érintett címzett egyértelmû hozzájárulása nélkül rögzítik és továbbítják. Annak megállapításához, hogy az e-mail címzettje elolvasta-e az e-mailt, ha igen, mikor, és továbbította-e harmadik félnek, a címzett hozzájárulására van szükség. – Vélemény a nyilvánosan elérhetõ elektronikus hírközlési szolgáltatások nyújtása, illetve a nyilvános hírközlõ hálózatok szolgáltatása keretében elõállított vagy feldolgozott adatok megõrzésérõl (WP 119): Véleményében a Munkacsoport fenntartásait fejezte ki a 2006/24/EK irányelvvel kapcsolatban. Megállapította, hogy a hírközlési adatok súlyos bûncselekmények elleni harc céljából történõ megõrzésének messzemenõ következményei lesznek minden európai polgár magánéletére vonatkozóan. A Munkacsoport az irányelv hírközlési adatok megõrzésére vonatkozó rendelkezéseit példa nélkül álló, történelmi léptékû döntésnek nevezi. Ezért elengedhetetlennek tartja olyan intézkedések alkalmazását, amelyek korlátozzák az irányelv magánéletre való hatását. Annak érdekében, hogy a tagállamok az adatmegõrzési irányelvet egységes módon ültessék át nemzeti jogaikba, és az átültetés megfeleljen az adatvédelmi követelményeknek, a Munkacsoport számos biztosíték bevezetését javasolta véleményében. Elsõként arra hívta fel a figyelmet, hogy az adatokat kizárólag meghatározott célból szabad megõrizni, és minden további feldolgozást ki kell zárni. A „súlyos bûncselekmény” kifejezést ezért pontosabban kell meghatározni. Továbbá fontos, hogy az adatok kizárólag egyedileg meghatározott bûnüldözõ szervek számára legyenek hozzáférhetõek. A kijelölt szervek jegyzékét a nyilvánosság számára, az adatlekérések nyilvántartását pedig a felügyelõ hatóságok részére hozzáférhetõvé kell tenni. Az adatmegõrzés nem vezethet nagymértékû adatbányászathoz a bûnüldözõ hatóságok által nem gyanúsított személyek utazási és kommunikációs szokásaira vonatkozóan. Az adatokhoz való hozzáférést az igazságügyi hatóságnak eseti alapon kell engedélyeznie, és az engedélyben pontosan részletezni kell az esethez szükséges, engedélyezett adatokat. Fontos a közrend célját szolgáló adattárolási rendszerek elkülönítése az üzleti célú rendszerektõl. Végül meg kell határozni a mûszaki és szervezeti biztonságra vonatkozó minimális követelményeket. A Munkacsoport felszólítja a tagállamokat, hogy hangolják össze az adatmegõrzési irányelv nemzeti jogba történõ átültetését annak érdekében, hogy azt az Európai Unióban egységesen alkalmazzák, és biztosítsák az adatvédelmi követelmények betartását. – Vélemény az utasokra vonatkozó adatok légi és tengeri utasszállítók általi, a fertõzõ betegségek ellenõrzése céljából történõ gyûjtésérõl szóló új amerikai jogszabálytervezetrõl (WP 121): Az amerikai javaslattervezet személyes adatok gyûjtésére kötelezne minden olyan nemzetközi légi és tengeri utasszállító társaságot, amelyik az USA-ba szállít utasokat. Az adatkezelés célja azon utasok fellelhetõségének biztosítása lenne, akik gyaníthatóan fertõzõ betegségnek voltak kitéve, így biztosítva a fertõzõ betegség terjedésének megelõzését. Az utasszállító társaságoknak a következõ adatokat kellene összegyûjteniük, megõrizniük 60 napig és kérelem esetén eljuttatniuk az USA Betegségmegelõzési és Járványvédelmi Központja (CDC) igazgatójának: teljes név; betegség, vagy baleset esetén értesítendõ személyek elérhetõsége; e-mail cím; állandó lakcím; útlevél vagy utazási okmány száma, a kibocsátó ország vagy szervezet neve; utastársak vagy csoportos utazás esetén a csoport neve; a repülési útra vagy az útba ejtett kikötõkre vonatkozó információk; a visszarepülésre vonatkozó adatok (az indulás idõpontja, a repülõgép száma és a járat száma), vagy a visszatérés során útba ejtett kikötõkre vonatkozó adatok; valamint telefonszám. A CDC igazgatója további, elõre meg nem határozott adatokat kérhetne a fertõzõ betegségek bejutásának vagy terjedésének megakadályozása céljából. A Munkacsoport véleménye szerint az amerikai törvénytervezet jelenlegi formájában ellentétes az EU adatvédelmi irányelvének rendelkezéseivel és a WHO Nemzetközi Egészségügyi Szabályzatával. Az összes javasolt adat feldolgozása nem szükséges a tervezet céljainak eléréséhez. A javaslat nem számol azokkal a személyes adatokkal, amelyekhez az amerikai hatóságok jelenleg is hozzáférhetnek (például PNR adatok), és azt sem veszi figyelembe, hogy léteznek az utasinformációk begyûjtésének más, nemzetközileg elismert formái is, mint például az utasok közegészségügyi célból szükséges fellelhetõségét biztosító kártyák (public health passenger locator cards). További probléma, hogy az adatgyûjtés anélkül történne, hogy egy konkrét közegészségügyi veszély fennállna, vagy annak bekövetkezése fenyegetne. Az EU adatvédelmi irányelvében felsorolt jogalapok nem alkalmazhatók erre az adatgyûjtésre, mivel az nem szükséges olyan jogi kötelezettség teljesítéséhez, melyet egy közösségi vagy tagállami jogszabály ír elõ az adatkezelõ (utasszállító) számára, nem szükségszerû az érintett személy létfontosságú érdekei védelme céljából (olyan esetekre is vonatkozik az adatgyûjtés, amikor nem áll fenn jelentõs közegészségügyi veszély), és nem szükséges az EU egyik tagállamának közérdekbõl végrehajtott feladatához sem (egyedül az USA érdeke). Az adatok feldolgozására jogalap lehet, ha az az adatkezelõ jogos érdekébõl történt. Viszont szükséges, hogy a jogos érdeknél ne legyenek magasabb rendûek az érintett személy érdekei az alapvetõ jogok és szabadságok tekintetében. Az érintett szemé- 2007/67/II. szám lyeknek azonban meg kell adni a lehetõséget, hogy bármikor tiltakozhassanak a rájuk vonatkozó adatok feldolgozása ellen. Az amerikai javaslat szerint a személyes adatokat a betegség lappangási idejére és fertõzõképességére tekintet nélkül egységesen 60 napig kellene megõrizni. Mivel a javaslat nem nevezi meg a fertõzõ betegségeket, ezért nem lehet megállapítani, hogy a megõrzésre elõírt idõtartam megfelelõ-e, ha a betegség jellegzetességeit figyelembe vesszük. További probléma, hogy a CDC elõre meg nem határozott személyes adatokat kérhet. Ez ellentétes a Nemzetközi Egészségügyi Szabályzat azon rendelkezésével, mely meghatározza az adatoknak azt a körét, amelyeket az illetékes egészségügyi szervek gyûjthetnek. Végül a Munkacsoport hangsúlyozta, hogy nemcsak az adatgyûjtésnek, hanem az adatok Európai Unióból az USA-ba történõ továbbításának is hiányzik a jogalapja, mivel az USA-ra nem vonatkozik az a megállapítás, hogy megfelelõ szinten biztosítja a személyes adatok védelmét. Továbbá az adatok szóban forgó körére nem vonatkozik az a két megállapodás, melyek alapján jelenleg adatokat lehet továbbítani az EU-ból az USA-ba (a Safe Harbour és a PNR megállapodások). Az adattovábbítás így csak az érintett személy beleegyezésével történhet, amirõl viszont az amerikai javaslat nem rendelkezik. – Vélemények az Európai Bíróság ítéletérõl az utasnyilvántartások Egyesült Államokba történõ átadásával kapcsolatban és egy mielõbbi új megállapodás szükségességérõl (WP 122, WP 124): 2006-ban a Munkacsoport két véleményben is foglalkozott az utasokkal kapcsolatos adatok (PNR adatok) továbbításának kérdésével. Mindkét vélemény a PNR adatok továbbításáról szóló megállapodás megsemmisítésével keletkezett joghézag problémáját elemezte. Az Európai Bíróság 2006. május 30-i ítéletében kötelezte a közösségi intézményeket, hogy legkésõbb 2006. szeptember 30-ig mondják fel az Egyesült Államokkal kötött, PNR adatok továbbításáról szóló megállapodást. A Munkacsoport az ítélettel kapcsolatos véleményében felhívja a figyelmet arra, hogy a joghézag elkerülése végett és az utasok jogainak védelme érdekében alapvetõ fontosságú egy új EU-szintû megállapodás idõben történõ megkötése az USA-val. A Munkacsoport szerint a leendõ megállapodásnak meg kell õriznie az USA által már eddig vállalt adatvédelmi szintet, integrálnia kell a Munkacsoport kritikai észrevételeit (például az adatok számának csökkentésérõl), biztosítania kell, hogy a légitársaságok maguk válogathassák a továbbítandó adatokat, és ne az amerikai hatóságok tegyék ezt, korlátoznia kell a továbbított PNR adatok további felhasználását. A megállapodás csak 2007 novemberéig lehet érvényben. A Munkacsoport következõ PNR adatokkal kapcsolatos véleményében kifejezte rendkívüli aggodalmát amiatt, hogy az USA és az EU még mindig nem kötött új megállapodást, annak ellenére, hogy 2006. október 1-jén lejár a PNR adatok továbbítására vonatkozó megállapodás. Felhívta a Tanácsot, a Bizottságot és az EU tagállamait annak garantálására, hogy az utasok magánéletét a megállapodás hiányában is megfelelõen tartsák tiszteletben. A Munkacsoport szerint abban az esetben, ha nem jönne létre megállapodás, a tagállamok hatóságainak meg kell elõzniük, hogy a PNR nyilvántartásokban található személyes adatokat az USA hatóságai felé továbbítsák vagy a Munkacsoport által megfelelõnek ítélt 19 adattételen felül egyéb adatokat továbbítsanak. Az EU és az Amerikai Egyesült Államok 2006. október 6-án ideiglenes megállapodást kötött a PNR adatok továbbításával kapcsolatosan. Ennek köszönhetõen folytatódhat a PNR adatok továbbítása az USA-ba az USA korábbi kötelezettségvállalásainak betartása mellett. – Vélemény a tartással kapcsolatos ügyekben a joghatóságról, az alkalmazandó jogról, a határozatok elismerésérõl és végrehajtásáról, valamint az e területen folytatott együttmûködésrõl szóló tanácsi rendeletre irányuló javaslatról (WP 123): Az Európai Bizottság e véleményben tárgyalt javaslatának az a célja, hogy az Európai Unión belül felszámolja a tartási követelések behajtásának akadályait. A javaslat lehetõvé tenné, hogy a tagállamok központi hatóságai összegyûjtsék a tartásra jogosult és kötelezett helyzetével kapcsolatos, számos adatkezelõ által különbözõ célokra feldolgozott információkat (például a munkáltatók, adó- vagy társadalombiztosítási hatóságok által), valamint ezen információk tagállamok közötti cseréjét. A központi hatóságok által összegyûjtött személyes adatokat egybegyûjtenék, és közölnék a tartási követeléssel foglalkozó bírósággal, majd a bíróság a tartási kötelezettségekrõl hozott határozatok végrehajtásának biztosítása céljából feldolgozza az adatokat. A Munkacsoport elégedetten jegyezte meg, hogy a javaslat számos olyan elemet tartalmaz, amelyek célja annak biztosítása, hogy az adatfeldolgozási mûveletek az adatvédelmi irányelvben foglalt elveknek és szabályoknak megfeleljenek. Így például a javaslat szerint az, hogy milyen adat közölhetõ, attól függ, hogy a tartási kötelezettségre vonatkozó eljárás mely szakaszában jár. A kötelezett tartózkodási helyének megállapításához szükséges személyes adatok némelyikét az eljárás elején kérhetik és továbbíthatják bármely tartásdíjat követelõ személy kérésére. Azonban a kötelezett tartásdíjfizetõ képességének felméréséhez szükséges adatokat (például bankszámlák, fizetések) csak akkor lehet kiadni, ha a tartásdíj-fizetési kötelezettséget a bíróság megállapította. További adatvédelmi garancia a rendszerbe beépített bírói 2007/67/II. szám szûrõ: a bíróság dönt a tartási kérelem megalapozottságáról és arról, hogy a központi hatóságtól igényelt adatok valóban szükségesek-e. A kötelezettek személyes adatainak védelmét szolgálja az is, hogy tilos egy egységes nyilvántartás kialakítása az eredetileg különálló nyilvántartásokban szereplõ különféle kategóriájú információkból. További garanciák, hogy az információkat csak a megkeresett hatóság továbbíthatja a megkeresõ hatóság számára, és a megkeresõ hatóság ezután csak a tartási követeléssel foglalkozó bíróság vagy hatóság számára továbbíthatja az információkat. Az információt nem lehet továbbítani a jogosult vagy harmadik fél számára, és amint a megkeresett vagy a megkeresõ hatóság közölte az információkat, azokat kötelesek törölni. A javaslat azt is elõírja, hogy az információkat csak a tartási követeléssel foglalkozó bíróság tárolhatja és csak addig, amíg az szükséges a tartási követelés behajtásának megkönnyítéséhez, de legfeljebb egy évig. A Munkacsoport azonban a pozitívumok kiemelése mellett számos olyan javaslatot is tett, amelyek azért szükségesek, hogy az adatvédelmi irányelv rendelkezései teljes mértékben megvalósuljanak. Így például az adatok biztonságát megfelelõ technikai és szervezési intézkedésekkel kellene garantálni. A Munkacsoport arra is felhívta a figyelmet, hogy a javaslat túl széleskörûen határozta meg az információkhoz való hozzáférés célját. A hozzáférés célját korlátozni kellene a kötelezett tartózkodási helyének meghatározására és vagyonának megállapítására. A kötelezett munkáltatójának vagy bankszámlájának beazonosítása csak akkor releváns, ha a fizetés vagy a bankszámlán elhelyezett összeg a kötelezett vagyonának nagyon jelentõs elemét képezi. A Munkacsoport azt is rendkívül fontosnak tartja, hogy a bíróságokon belül meghatározzák azt az illetékes testületet, amely elrendeli a magánéletet érintõ intézkedéseket. Az adatok tárolásával kapcsolatban is számos észrevételt tett a Munkacsoport. A megkeresõ központi hatóság köteles a bíróságnak történõ megküldés után azonnal megsemmisíteni az adatokat. A bíróságok csak addig dolgozhatják föl az adatokat, amíg az szükséges az adott tartási követelés behajtásának megkönnyítéséhez. Végül, a kötelezettet azonnal értesíteni kell adatai közlésérõl, és tájékoztatni a feldolgozás céljáról. – Munkadokumentum az eSegélyhívó-kezdeményezés adatvédelmi és a magánélet tiszteletben tartását érintõ vonatkozásairól (WP 125): A munkadokumentum egy páneurópai, jármûbe építhetõ segélyhívó („eSegélyhívó”) szolgálat tervezett bevezetésének adatvédelmi és magánéleti vonatkozásait elemzi. A Munkacsoport elismerte, hogy az eSegélyhívó szolgálat bevezetése számos társadalmi-gazdasági elõnnyel járna, ugyanakkor kiemelte, hogy a kezdeményezés adatvédelmi és magánéleti hatásait is hangsúlyozni és kezelni kell. Az eSegélyhívó mûködése A jármûbe épített eSegélyhívó egy olyan segélyhívó, amelyet vagy manuálisan a jármûben tartózkodók, vagy automatikusan a jármûbe épített érzékelõk hoznak mûködésbe baleset esetén. A segélyhívást a 112-es hívószámú, megfelelõ közbiztonsági válaszponthoz (KBVP) továbbítja a rendszer. A segélyhívás a 112-es számra történõ telefonhívás hanganyagából és a minimális mennyiségû adatból (MMA) tevõdik össze. A mobiltelefon-hálózat üzemeltetõje azonosítja a hívó vonalat, és megállapítja a hívás lehetõ legpontosabb helyét. Ezután továbbítja a 112-es híváshoz tartozó hangot, a hívásazonosítót, a hívó lehetõ legpontosabban meghatározott helyzetét és a híváshoz tartozó minimális mennyiségû adatot a megfelelõ KBVP-hez. Fontos megjegyezni, hogy a jelenlegi javaslat szerint kívülálló harmadik személy a jármûben elhelyezett rendszert nem fogja folyamatosan követni, mivel a rendszer nem lesz állandó jelleggel a mobilkommunikációs hálózathoz kapcsolva, csak akkor, ha baleset esetén aktiválódik vagy manuálisan aktiválják a jármû utasai. A minimális mennyiségû adat a következõkbõl áll: (1) a baleset idõpontja, (2) a baleset pontos helye és az odavezetõ útvonal, (3) jármû azonosítás, (4) a segélyhívás minõsítése, amely megadja a baleset súlyossági fokát, (5) egy lehetséges szolgáltatóra vonatkozó információ. Kötelezõ vagy önkéntes eSegélyhívó Ha az eSegélyhívó önkéntes jelleggel kerül bevezetésre, ugyan minden jármû rendelkezni fog az eSegélyhívó rendszerrel, de a jármû utasai döntenek arról, hogy aktiválják-e azt. Ezért biztosítani kell, hogy a rendszer bármiféle technikai vagy anyagi nehézség nélkül aktiválható és kikapcsolható legyen. Az EU adatvédelmi irányelve szerint az adatkezelés jogszerûségéhez szükséges az adatalany egyértelmû és önkéntes beleegyezése személyes adatainak kezeléséhez. A Munkacsoport hangsúlyozta, hogy a beleegyezés nem önkéntes, ha az adatalanynak el kell fogadnia olyan szerzõdési feltételeket, amelyek nem képezhetik megállapodás tárgyát (ahogyan az a jármû-adásvételi szerzõdéseknél szokásos). Továbbá a Munkacsoport jogellenesnek tartja azt, ha a biztosító társaságok vagy autóbérléssel foglalkozó cégek nyomást gyakorolnak annak érdekében, hogy az eSegélyhívó rendszert folyamatosan aktiválva tartsák ügyfeleik. Az is jogellenes, ha a munkavállalókat közvetve vagy közvetlenül kényszerítik az eSegélyhívó rendszer használatára a céges autókban. A Munkacsoport felhívta a figyelmet arra is, hogy ugyan az adatfeldolgozás sok esetben az érintettek létfontosságú érdekében történik, az is elõfordulhat, hogy az eSegélyhívó automatikusan aktiválódik egy baleset után, annak ellenére, hogy arra szükség volna. 2007/67/II. szám Ha az eSegélyhívó rendszer alkalmazása kötelezõ lesz, azt minden jármûbe beszerelik, és aktiválása kötelezõ lesz. Ezt az esetet azonban egy uniós rendeletnek kell majd szabályoznia, melyben az arányosság elvét kiemelten kell kezelni. Olyan biztosítékokat kell kialakítani, amelyek megakadályozzák, hogy a rendszer által megfigyelhessék az embereket. A Munkacsoport az önkéntes bevezetést tartja megfelelõbbnek. Kötelezõ alkalmazás esetén megfelelõ adatvédelmi biztosítékokat kell bevezetni. Kétszintû szolgáltatás A kezdeményezés lehetõvé tenné, hogy a minimális mennyiségû adaton felül további adatokat is továbbítson a rendszer, mint például biztosítótársaságok, ügyvédek, autóklubok által tárolt adatokat. Különbözõ szolgáltatók a balesettel vagy az utasokkal kapcsolatos adatokat kaphatnának annak érdekében, hogy például autóklub-szolgáltatást vagy nyelvi segítséget nyújtsanak, ha a jármûtulajdonos és a szolgáltató erre nézve szerzõdést kötött. A Munkacsoport nem ellenzi az eSegélyhívó szolgáltatás második szintjét, de felhívta a figyelmet arra, hogy ez a megoldás adatvédelmi szempontból összetettebb, ezért alapos értékelést igényel. Különösen az adatbiztonságra vonatkozó rendelkezéseket kell szigorúan betartani, tekintettel arra, hogy különleges adatokat is feldolgoznak ebben a rendszerben. A külsõ szolgáltatóknak különösen a következõkre kell figyelniük: (1) a jármûtulajdonos/használó és a szolgáltató közötti szerzõdésben egyértelmûen le kell fektetni az adatkezelés célját és az adatok pontos körét; továbbá azt is rögzíteni kell, hogy a külsõ szolgáltató az adatkezelõ, ezáltal mind az adatvédelmi irányelv, mind pedig a nemzeti jogszabályok rendelkezéseit be kell tartania, (2) csak a szükséges és releváns adatokat lehet továbbítani, tehát biztosítani kell, hogy a külsõ szolgáltató csak azokat az adatokat kapja meg, amelyek a szerzõdés céljának megvalósításához szükségesek, (3) ha a továbbítandó adatok különleges adatokat is tartalmaznak, a jármûtulajdonos beleegyezése is szükséges az adattovábbításhoz. Egyéb kérdések Adatvédelmi szempontból problémát jelenthetnek azok az adatbázisok, melyeket a rendszerrel való visszaélések megelõzésére hoznának létre azáltal, hogy az eSegélyhívó SIM-kártyájához kötnének jármûtulajdonost. A Munkacsoport egyik fõ problémája a harmadik személyek esetleges hozzáférése az adatbázishoz, ezért hangsúlyozta, hogy az adatok másodlagos felhasználása (például a közlekedéssel kapcsolatos végrehajtási eljárásokban) az adatvédelmi irányelvvel ellentétes lenne. Az arányosság elvének érvényesülésével kapcsolatban a Munkacsoport két megjegyzést tett. Véleményük szerint a jármûazonosító számot nem kellene a minimális mennyiségû adatok közé felvenni, mivel az nem szükséges a célok megvalósításához. Továbbá az eSegélyhívó rendszer egészének szükségessége megkérdõjelezhetõ, mivel számos tagállamban már jól mûködõ segélyhívó rendszerek léteznek. Az adatok megõrzésének megfelelõ idõtartamát meg kell határozni az eSegélyhívó szolgáltatás minden egyes láncszemére tekintettel, és a nemzeti hatóságoknak ezt ellenõrizniük kell. – Az elektronikus hírközlési adatvédelmi irányelvvel kapcsolatos vélemény (WP 126): Az Európai Bizottság 2006-ban felülvizsgálta az elektronikus hírközlõ hálózatokra és az elektronikus hírközlési szolgáltatásokra vonatkozó európai uniós szabályokat. A 29-es Munkacsoport ebben a véleményben a felülvizsgálat eredményérõl készült bizottsági jelentéshez tesz észrevételeket, különösen az elektronikus hírközlési adatvédelmi irányelv (a továbbiakban ePrivacy irányelv) tekintetében. A Munkacsoport általános javaslatként fogalmazza meg a biztonsági intézkedések fejlesztését, és felhívja a figyelmet arra, hogy a biztonsági infrastruktúra fejlesztésekor komoly hangsúlyt kell helyezni a felhasználók védelmére és az elektronikus kommunikáció iránti bizalom kialakítására. A vélemény szerint olyan on-line alkalmazásokkal kapcsolatos kérdésekkel is foglalkozni kellene, mint például az üzemeltetõk felelõssége és jogi helyzete, és az adatkezelõkkel kapcsolatos kérdések tisztázása. A Munkacsoport hangsúlyozta: nem támogatja azt, hogy a biztonsági intézkedések fejlesztése olyan eszközökkel valósuljon meg, melyek nagyobb fokú megfigyelést vagy több internetes oldal tartalmának zárolását eredményeznék. A Munkacsoport véleménye szerint az ePrivacy irányelv hatályának nemcsak a nyilvános hírközlõ hálózatokra, hanem a magánhálózatokra is ki kellene terjednie, mivel azok egyre nagyobb szerepet töltenek be mindennapi életünkben, így egyre nagyobb kockázatot hordoznak, különösen annak következtében, hogy egyre specifikusabbak (például a munkavállalók viselkedésének ellenõrzése a forgalmi adatok segítségével). A Bizottság megvizsgálta az ePrivacy irányelv végrehajtási mechanizmusait, valamint a végrehajtásért felelõs hatóságok részére biztosított hatásköröket, és azok kiigazítását javasolta. Az ePrivacy irányelv végrehajtásával kapcsolatban a Munkacsoport megjegyezte, hogy néhány tagállamban az adatvédelmi hatóságok korlátozott vizsgálati jogkörrel rendelkeznek, melynek alapján nem férhetnek hozzá olyan adatokhoz, melyek szükségesek lennének az irányelv meg- 2007/67/II. szám sértésének bizonyításához. Számos tagállamban a végrehajtáshoz jelenleg biztosított hatáskörök nem teszik lehetõvé a gyors beavatkozást. Egy további probléma a végrehajtás szempontjából, hogy sok spammer a tagállamokon kívül mûködik. A Munkacsoport szerint ezeket a problémákat kezelni kellene. A Bizottság az ePrivacy irányelv biztonsági rendelkezéseinek kiegészítését és szigorítását javasolja. A Munkacsoport ezzel egyetért, azonban javasolja, hogy a biztonság általános fogalmán belül olyan specifikus problémákat is célozzon meg a Bizottság, mint például a hitelesség megállapítására irányuló eljárások és a személyazonossággal való visszaélés. A Munkacsoport azonban hangsúlyozza, hogy a hitelesség megállapítására szolgáló eljárások tárgyalásakor nem szabad figyelmen kívül hagyni, hogy a nyilvánosan elérhetõ elektronikus hírközlési szolgáltatásokat a személyazonosság felfedése nélkül is tudniuk kell az embereknek használni. A bizottsági munkadokumentum szerint a jelenlegi szabályozás túl nagy mozgásteret biztosít a szolgáltatóknak saját biztonsági intézkedéseik értékelése terén. A Bizottság a szolgáltatókat terhelõ új kötelezettségek meghatározását javasolja a biztonsági intézkedések terén. A Munkacsoport úgy véli, hogy a biztonsági intézkedéseket és az irányelv biztonsággal kapcsolatos fogalmait nem az adatvédelmi hatóságoknak kellene meghatározni és tisztázni, hanem szektorspecifikus biztonsági szakértõknek. Továbbá el kell kerülni a túlzott mértékû szabályalkotást is. A Munkacsoport egyetért a Bizottság azon javaslatával, hogy a rendszer biztonságának sérelmérõl a hálózatüzemeltetõknek és internetszolgáltatóknak értesíteni kell a sérelmet szenvedõ ügyfeleket, a biztonság súlyos sérelme esetén pedig minden ügyfelet. Azonban felhívja a figyelmet, hogy a közelmúltban történt biztonsági rendszerek feltörései nem az internetszolgáltatókat érintették, ezért meg kellene fontolni, hogy a bankokat, adatbrókereket és egyéb on-line szolgáltatókat is terhelje értesítési kötelezettség. – Vélemény a fuvarozóknak az utasokkal kapcsolatos adatok közlésére vonatkozó kötelezettségérõl szóló tanácsi irányelvrõl (WP 127):

Source: https://magyarkozlony.hu/hivatalos-lapok/9e5c05577bb687f2de35a44752486927140957ca/dokumentumok/c40d4842ccc8f70c437bbd73c84a4535b81048a5/letoltes