Publication: Magyar Közlöny
Issue: MK-2006-162 (Year: 2006, Number: 162)
Era: 2004-2010
Section: megvalósuló együttmûködésrõl és információcserérõl szóló 1999. évi LIV. törvény 2005. június 1-jétõl hatályos módosítása alapján ettõl az évtõl az adatvédelmi biztos képviseli Magyarországot az Europol közös adatvédelmi felügyelõ
Paragraph Index: 691

2006. évi kétnapos tavaszi konferenciájához, melyet nagy örömünkre mi rendezhetünk. Ennek szervezését, a szakmai felkészülést már ez évben megkezdtük. Az adatvédelmi biztosok éves világtalálkozóját ezúttal a svájci Montreux-ben tartották, ahol a konferencia résztvevõi két határozatot fogadtak el, egyiket a biometrikus azonosítók használhatóságáról az útlevélben, személyazonosító igazolványban és egy másikat a politikai kommunikációról. Elfogadtak a biztosok egy nyilatkozatot is az adatvédelem és a magánélet – mint a sokféleséget tiszteletben tartó egyetemes jog – védelmének fontosságáról a globalizált világban. E dokumentumok a következõ címen érhetõek el: http://www.privacyconference2005.org/ A Közép-Kelet-Európai Adatvédelmi Biztosok Konferenciája 2005-ben a Pozsonyhoz közeli Szomolányban volt. A konferencia résztvevõi nyilatkozatot fogadtak el, melynek célja a biztosok közötti együttmûködés erõsítése, az ifjúságot érintõ adatvédelmi kérdések fontosságának hangsúlyozása, továbbá a polgárok személyes adatainak kezelését érintõ tájékoztatás fokozása. A nyilatkozat teljes szövege a honlapunkon olvasható. A 29-es Adatvédelmi Munkacsoport 2005. évi állásfoglalásai A 29-es Adatvédelmi Munkacsoport (az Unió Bizottsága mellett mûködõ független tanácsadó szerv, melyet a tagállamok adatvédelmi biztosai alkotnak) 2005. évi fontosabb állásfoglalásai: – Vélemény a szellemi javakra vonatkozó jogokkal kapcsolatos adatvédelmi kérdésekrõl (WP 104): Az internet fejlõdése folytán erõsödõ információcsere egyre szélesebb körben veti fel a szerzõi jog védelme alatt álló dokumentumok használata ellenõrzésének kérdését. A szerzõi jog védelme alatt álló dokumentumok illegális cseréjének megakadályozását célzó intézkedések során személyes adatokat is kezelnek. Ilyen intézkedés többek között, hogy a szerzõi jog védelme alatt álló dokumentumokhoz való hozzáférést – azok cseréje, vagy letöltése esetén – egyre gyakrabban a felhasználó azonosításának elõzetes ellenõrzésétõl teszik függõvé, illetve hogy a dokumentum használatát etikettek (tags) vagy „digitális vízjelek” segítségével továbbkövetik. A felhasználók azonosításakor a használat ellenõrzése mellett, azon túl, hogy a letöltött anyagból nyerhetõ információk alapján gyakran úgynevezett felhasználói profilokat alakítanak ki és azokat reklámcélokra használják fel, a felhasználóra vonatkozó rendkívül érzékeny adatokat is gyûjtenek. A jogszerû használat ellenõrzése mellett a lehetséges jogsértés kiderítése céljából a szerzõi jogok jogosultjai vizsgálódásaik során rögzítik a felhasználók IP címét, melyet késõbb az internetszolgáltatók felhasználói adataival kapcsolnak össze. Arra is van példa, hogy az érintett felhasználó írásban történõ figyelmeztetése érdekében a felhasználó közvetlen azonosítását vagy a feltehetõen jogsértõ dokumentum eltávolítására történõ felszólítás mellett az érintett személy internetes hozzáférésének blokkolását kérik a jogosultak a szolgáltatóktól. Emellett a vélt jogsértésekért felelõs felhasz- 2006/162/II. szám nálók felelõsségre vonásának érdekében a jogosultak nyilvános adatbankokból (például „Whois”) nyert adatokat – név, telefonszám, e-mail cím és egyéb személyes adatok – használnak fel. A szellemi tulajdonhoz fûzõdõ jogok érvényesítésérõl szóló uniós irányelv szerint a természetes személyek személyes adatainak feldolgozása esetén az adatvédelmi irányelv által megfogalmazott adatvédelmi alapelveknek kell érvényesülniük, azokat a jogosultaknak figyelembe kell venniük. Ezzel kapcsolatban a Munkacsoport korábban kiadott ajánlásában megállapította, hogy az interneten végzett, személyes adatokat érintõ feldolgozás esetén is be kell tartani az offline adatfeldolgozás alapelveit, valamint lehetõséget kell biztosítani a felhasználók számára, hogy az internethez identitásuk kiadása nélkül férhessenek hozzá, amennyiben a személyes adatok nem valamely szolgáltatás nyújtásához szükségesek. Ebbõl következõen nagyobb figyelmet kellene fordítani a felhasználók anonimitását biztosító, privacy-barát védelmi technológiák fejlesztésére. Az etikettek (tags) használata lehetõvé teszi bizonyos adatok meghatározott személyekkel történõ összekapcsolását, amely a felhasználói profil kialakításához nyújt további segítséget. Ebbõl kifolyólag a Munkacsoport komolyan megkérdõjelezi a felhasználók követését szolgáló jelzõk használatát, melyek arra irányulnak, hogy egy feltételezhetõ szerzõi jogsértés esetén egy meghatározott személy kiszûrhetõ legyen. A letölthetõ dokumentumok etikettekkel történõ ellátását nem lenne szabad magánszemélyek identitásával összekapcsolni, hacsak az összekapcsolás nem egy szolgáltatás nyújtásához szükséges, vagy a magánszemély arról értesült és ahhoz hozzájárult. Az adatvédelmi irányelv értelmében személyes adatok felhasználása csak abban az esetben megengedett, amennyiben az érintett az adatfeldolgozásért felelõs személy kilétérõl, az adatfeldolgozás céljáról, az érintett adatok körérõl, valamint tájékozódási és kijavítás iránti jogairól tájékoztatást kap. A felhasználó önkéntes hozzájárulásával felhasznált személyes adatok csak a megadott célra használhatóak fel, így például hitelkártya-tranzakciók esetén a felhasználó nevének és címének – direkt marketing érdekében – történõ rögzítése sem megengedett. Kizárólag az érintett elõzetes hozzájárulása esetén lehetséges ilyen jellegû profilok kialakítása és személyes adatok feldolgozása. A szerzõi jogok jogosultjainak vizsgálódásai elsõsorban az online hozzáférhetõ tényekre irányulnak. Ennek keretében a jogsértés idõpontja, a védett anyag fajtája, valamint az indirekt identifikációs tulajdonságok hozzáférhetõek. Ezek ismeretében nagy a kísértés, hogy ezeket más, akár az internetes szolgáltatótól, akár nyilvános adatbankokból nyert adatokkal összekapcsolják. A Munkacsoport erre tekintettel felhívja a figyelmet, hogy az adatbankok tartalma csak olyan célokra használható fel, ami az eredeti célkitûzéssel összeegyeztethetõ. Így tehát – az egyértelmû törvényes feltételek teljesülése esetén alkalmazható kivételektõl eltekintve – nem lehet az internetszolgáltatók adatbázisait harmadik személyek részére továbbítani. A Munkacsoport arra emlékeztet, hogy az internetes szolgáltatók felügyeletre vagy együttmûködésre nem kötelesek. Továbbá, ha különös esetekben a forgalmi adatok rögzítésére kerül sor, akkor fenn kell állnia egy igazolható szükségességnek, valamint az adatok megõrzése a lehetõ legrövidebb ideig történhet. Bûncselekményekre, büntetõjogi elítélésekre vagy biztonsági intézkedésekre vonatkozó adatok feldolgozása csak szigorú, a tagállamok által megállapított feltételek teljesülése esetén lehetséges. Ezzel kapcsolatban a Munkacsoport megállapította, hogy a szellemi tulajdonhoz fûzõdõ jogok érvényesítésérõl szóló irányelv megnevezi azokat a feltételeket, melyek teljesülése esetén a bûnüldözési hatóságok személyes adatokat kérhetnek be, megismerve ezzel az immateriális javakhoz fûzõdõ jogokat sértõ áru vagy szolgáltatás eredetét és kereskedelmét. Fentiek kapcsán a Munkacsoport arra emlékeztet, hogy a szerzõi jogok jogosultjainak – nyomozásaik során – egyértelmû jogi keretek között kell mozogniuk, különösképpen annak tekintetében, hogy mely információk rögzíthetõek, és milyen igényérvényesítési lehetõségek állnak rendelkezésükre. – Vélemény a rádiófrekvenciás technológiáról (WP 105): A 29-es Munkacsoport 2005-ben munkadokumentumot fogadott el a rádiófrekvenciával történõ azonosítás technológiájára (Radio Frequency Identification, RFID technology) (a továbbiakban: RFID) vonatkozólag, tekintettel arra, hogy ennek alkalmazása a közelmúltban számos területen egyre népszerûbbé, intenzívebbé vált. Az RFID alapvetõen két komponensbõl áll. Az egyik komponens egy – információt tároló – chip (tag), melyhez egy antenna kapcsolódik, a másik komponens, pedig egy jelolvasó (reader), amely a chip által kibocsátott analóg jelet – szintén egy antennán keresztül – veszi és alakítja át digitális jellé, mely információ számítógép segítségével feldolgozható. A két komponens rádióösszeköttetésen keresztül kommunikál egymással. Az RFID természetes velejárója annak elõnyein és gazdasági hasznosságán túl számos hátrány, amelyek sérthetik az emberi méltóságot és a személyes adatok védelméhez fûzõdõ jogot. Adatvédelmi szempontból azért szükséges figyelmet fordítani az RFID-re, mert a chip tárolhat személyes adatokat is, vagy kapcsolódhat ezekhez, így lehetõvé válik ezen adatok titkos gyûjtése. Jellemzõ területei a technológia felhasználásának: a szállítás, a légi közlekedés, az egészségügy, a biztonsági szolgáltatások és a kiskereskedelem. Példaként említhetõ az Egyesült Államokban már engedélyezett és nagy vihart kavaró VeriChip, mely az egészségügyi adatokat a páciens bõre alá ültetve tartalmazza. A kereskedelemben például a törzsvásárlói kártyákba beépített chipek segítségével a forgalmazók megismerhetik, hogy ki, hol, mikor, mit, milyen mennyiségben vásárolt, ezzel felmérhetõk a sze- 2006/162/II. szám mély vásárlási szokásai, de akár a helyváltoztatására vonatkozó adatokra is következtetni lehet. Fontos azonban azt is megemlíteni, hogy az RFID nem minden alkalmazása során kerül sor személyes adatok gyûjtésére, például egy operáció során – a személyes adatok kezelése nélkül – elkerülhetõ, hogy a különbözõ sebészeti eszközöket a beteg testében felejtsék, amennyiben azokat rádiófrekvenciás chippel látták el. A 29-es Munkacsoport az RFID elemzése kapcsán két célt fogalmazott meg. Egyrészt útmutatást kíván nyújtani az RFID alkalmazói számára, másrészt a technológia gyártói, fejlesztõi, valamint a szabványosítást végzõk részére, hogy az RFID-t a személyes adatok feldolgozása vonatkozásában az egyének védelmérõl és az ilyen adatok szabad áramlásáról szóló az Európai Parlament és a Tanács 1995. október 24-i 95/46/EK irányelvében meghatározottaknak megfelelõen tervezzék, fejlesszék és alkalmazzák. A különbözõ alkalmazások során az irányelvben megfogalmazott alapelveknek, de különösen az adatkezelés célhozkötöttségének és az adatok minõsége elvének kell érvényesülniük. Kiemelt szerepet és jelentõséget kap az adatalany tájékoztatáshoz fûzõdõ joga, hiszen a tájékoztatási kötelezettség „megszokott” tartalmán túl – azaz hogy ki, milyen adatot, milyen célból, meddig kezel – az érintettet tájékoztatni kell – például egy termékre elhelyezett chip esetén – a chip tényérõl, létezésérõl, a chipben tárolt információról, annak közlésének és vételének – az egyén bármilyen cselekvõ közrehatása nélküli – lehetõségérõl, a chip mûködtetésének az érintett által bármikor történõ megszüntethetõségérõl (úgynevezett kill command), a chip eltávolításának lehetõségérõl és módjáról. A 29-es Munkacsoport az elemzést követõen társadalmi vitára bocsátotta a munkadokumentumot, mely lehetõséget adott a fogyasztói és kereskedelmi szervezeteknek, az egyetemeknek, a gyártóknak, az info-kommunikációs szektor képviselõinek a különbözõ álláspontok ütköztetésére, javaslataik kifejtésére. – Vélemény a közös állásfoglalások kiadására vonatkozó együttmûködési eljárás meghatározása a vállalkozásokon belül kötelezõen alkalmazandó belsõ adatvédelmi garanciák megfelelõsége érdekében (WP 107): Amennyiben egy vállalkozás kötelezõ érvényû belsõ szabályainak tervezetét több adatvédelmi hatóság részére kívánja engedélyezés céljából elõterjeszteni, az erre vonatkozó kérelem elõterjesztésével egyidejûleg javaslatot kell tennie – az alább meghatározott kritériumok figyelembevételével – arra vonatkozólag, hogy melyik hatóság legyen az együttmûködési eljárásban illetékes. A kérelmezõ vállalkozás az illetékességre irányuló javaslatát különösen az alábbi kritériumokra alapozhatja: = a vállalkozás központjának székhelye Európában (minden esetben elsõbbséget élvezõ kritérium); = a vállalkozás adatvédelemmel megbízott részlegének székhelye; = a vállalkozás azon részlegének székhelye, amely a kérelemmel kapcsolatos ügyintézésre, valamint a vállalkozáson belül kötelezõ érvényû szabályok érvényre juttatására leginkább alkalmas; = az a helység, ahol az adatfeldolgozás céljáról és módjáról a legtöbb döntés születik, és = azok az EU tagállamok, amelyekbõl a legtöbb, az EGT területén kívülre irányuló adattovábbítás történi fog. A kérelemben szereplõ információk továbbításának megkönnyebbítése érdekében a kérelmet megalapozó valamennyi információt az illetékes hatóság rendelkezésére kell bocsátani. Így különösen az Európai Unióban/az EGT területén történõ adatfeldolgozás módját és általános szerkezetét, a több részlegbõl álló vállalkozásnak az EU területén található székhelyét, a foglalkoztatottak vagy érintettek számát, az adatfeldolgozás eszközeit és céljait, azokat a helységeket, ahonnan az adattovábbítás harmadik országok irányába megvalósul és azon harmadik országokat, amelyek irányába az adatok továbbításra kerülnek. A kérelmezõ vállalkozás által illetékes hatóságnak választott hatóság az összes érintett adatvédelmi hatóság részére eljuttatja a rendelkezésére bocsátott információkat azzal, hogy illetékességének megállapításával egyetért-e vagy sem. Amennyiben a hatóság a kérelmezõ javaslatával egyetért, az érintett adatvédelmi hatóságokat az információk megküldésével egyidejûleg felszólítja, hogy esetleges kifogásaikat tegyék meg. Amennyiben a kérelmet befogadó hatóság arra az álláspontra jut, hogy az adott ügyben illetékessége nem állapítható meg, az általa illetékesnek ítélt hatóság tekintetében ajánlást ad ki. Ebben az esetben az érintett adatvédelmi hatóságok egy hónapon belül döntenek az illetékes hatóság tekintetében. Az illetékes hatóság párbeszédet kezdeményez a kérelmezõ vállalkozással, melynek eredményeképpen egy „konszolidált tervezet” kerül kialakításra, amely – állásfoglalás végett – az összes érintett adatvédelmi hatóság részére továbbításra kerül. Az illetékes hatóság továbbítja a „konszolidált tervezethez” fûzött állásfoglalásokat a kérelmezõ részére, amellyel ismételt párbeszédet folytathat. Amennyiben az illetékes hatóság úgy ítéli meg, hogy a kérelmezõ az állásfoglalásokban foglaltakat megfelelõen teljesíteni tudja, felszólítja, hogy a „végleges tervezet szövegét” az érintett hatóságok részére továbbítsa. Ezt követõen az illetékes hatóság az érintett adatvédelmi hatóságokat annak tanúsítására szólítja fel, hogy a javasolt garanciák megfelelõségérõl meggyõzõdtek. Ez a tanúsítvány mind az érintett hatóságok, mind a vállalkozás részérõl megállapodásnak tekintendõ, melynek alapján a szükséges állami engedély vagy hozzájárulás megadható. Adott esetben elõfordulhat, hogy az egyes országokban további követelményeket, például a közzététel vagy az igazgatási elõírások tekintetében kell teljesíteni. 2006/162/II. szám – Vélemény a vállalkozásokon belül kötelezõ érvényû adatvédelmi szabályok jóváhagyására irányuló kérelemrõl (WP 108): Azok a vállalkozások, amelyek kötelezõ érvényû adatvédelmi szabályok adatvédelmi hatóságok általi jóváhagyását kezdeményezik, az erre irányuló kérelmeiket jelen dokumentum figyelembevételével kötelesek elkészíteni, illetve az illetékes adatvédelmi hatóságnál elõterjeszteni azzal, hogy azok az egyes nemzeti jogi elõírásoknak megfelelõen kiegészítésre szorulhatnak. Jelen dokumentum arra tett kísérletet, hogy a WP 74 (2003) munkadokumentum által meghatározott valamennyi követelményt összefoglalja, különös tekintettel azokra a pontokra, amelyeket a megfelelõség értékelésénél az adatvédelmi hatóság vizsgál. Ezen túlmenõen segítséget kíván nyújtani az érintett vállalkozások számára a belsõ adatvédelmi szabályok jóváhagyására irányuló kérelmek elõterjesztése, valamint a WP 74 sz. vélemény által támasztott kritériumoknak való megfelelõség igazolhatósága vonatkozásában.

Source: https://magyarkozlony.hu/hivatalos-lapok/ec916f1212be47f986b8ff66321f612f3f84249c/dokumentumok/354736539135994c9a11e9446269ab21e90b54b0/letoltes