Publication: Magyar Közlöny
Issue: MK-2007-67 (Year: 2007, Number: 67)
Era: 2004-2010
Section: Ezt követõen a 2006. február 16-án kihirdetett, az Európai Unióról szóló Szerzõdés K.3. cikkén alapuló, az Európai Rendõrségi Hivatal létrehozásáról szóló, 1995. július 26-án kelt Egyezmény (Europol Egyezmény) és Jegyzõkönyveinek kihirdetésérõl, valamint a Rendõrségrõl szóló 1994. évi XXXIV. törvény módosításáról szóló 2006. évi XIV. törvény hatályon kívül helyezte a NEBEK adatvédelmi felelõsére vonatkozó rendelkezéseket, s az adatvédelmi biztost jelölte meg az Europol Egyezmény 23. cikke szerinti önálló nemzeti adatvédelmi felügyelõ hatóságként, valamint a
Paragraph Index: 220

2004. április 29-én a Tanács elfogadta a fuvarozóknak az utasokkal kapcsolatos, az EU külsõ határait ellenõrzõ hatóságok által kért adatok közlésére vonatkozó kötelezettségérõl szóló irányelvet. Az EU tagállamainak 2006. szeptember 5-ig kellett nemzeti jogukba átültetni az irányelvet. Számos állam azonban elmulasztotta ezt a határidõt, és még mindig tárgyalja az átültetést megvalósító jogszabályt. A Munkacsoport arra törekszik, hogy az irányelv átültetése a lehetõ legharmonizáltabb és legkövetkezetesebb módon történjen, a 95/46/EK irányelvben foglalt adatvédelmi elvek figyelembevételével. A Munkacsoport már korábban is kifejezte azon véleményét, hogy közép- és hosszútávon egy következetesebb megközelítés kialakítása szükséges az utasinformációk cseréjével kapcsolatban annak érdekében, hogy a légi közlekedés biztonsága, az illegális bevándorlás elleni küzdelem és az emberi jogok tiszteletben tartása globális szinten biztosítva legyen. Ezen okoknál fogva a Munkacsoport ebben a véleményében néhány értelmezõ és az irányelv végrehajtására vonatkozó iránymutatást fogalmazott meg. Az iránymutatások elsõ csoportja az adatok célhoz kötöttségének követelményével kapcsolatos. Az adatgyûjtésnek az irányelvben rögzített céljai a határellenõrzés javítása és az illegális bevándorlás elleni küzdelem. A nemzeti jogszabályoknak egyértelmûen rendelkezniük kell az adatfeldolgozás céljairól, melyek nem léphetik túl az irányelvben lefektetett célokat. Az irányelvben meghatározott céloktól eltérni csak bûnüldözési céllal lehet, a tagállamok nemzeti jogszabályainak rendelkezései szerint és összhangban az adatvédelmi irányelv rendelkezéseivel. A Munkacsoport fontosnak tartja, hogy a tagállamok az eltérésre vonatkozó rendelkezéseket megszorítóan alkalmazzák, így pontosan határozzák meg, hogy mely esetekben lehet a kérdéses adatokat bûnüldözés céljából felhasználni. A Munkacsoport szerint ilyen célú felhasználás csak súlyos bûncselekmények felderítése érdekében történhet, meghatározott esetekben és meghatározott adatvédelmi biztosítékok fennállása esetén. Elengedhetetlen az adatvédelemhez fûzõdõ jogok biztosítása, amikor nem azok a hatóságok használják fel az adatokat, amelyeknek elsõdlegesen szánták õket. A Munkacsoport azt is kiemelte, hogy az irányelv csak azokra a járatokra vonatkozik, amelyek célállomása egy EU tagállam, és nem jogosítja fel a tagállamokat arra, hogy kötelezhessék a légifuvarozókat az EU-n belüli repülésekkel kapcsolatos adatok gyûjtésére és továbbítására. Az iránymutatások második csoportja a gyûjtendõ adatok körére vonatkozik. Az irányelv egyértelmûen meghatározza azoknak az adatoknak a körét, melyeket a légifuvarozók továbbíthatnak az illetékes hatóságoknak. A Munkacsoport hangsúlyozza, hogy ezeket az adatokat az irányelvben meghatározott célok megvalósításához szükségesnek és elégségesnek kell tekinteni. Az irányelv ugyanakkor lehetõvé teszi a tagállamoknak, hogy nemzeti jogszabályaikban engedélyezzék, hogy a fuvarozók kérelemre a meghatározott adatkörön felüli, további adatcsoportokat továbbítsanak. A Munkacsoport álláspontja szerint további adatok gyûjtése, mint például a visszaútra vonatkozó adatoké, nem szükséges a célok megvalósításához; a biometrikus adatok felhasználása azonban még aggályosabb lenne az adatgyûjtésre és feldolgozásra vonatkozó, egyértelmû elõírások hiányában. Azoknak a biometrikus jellemzõknek a körét is feltétlenül meg kell határozni, amelyek az irányelv céljainak megvalósításához szükségesek és a célokkal arányosak. A Munkacsoport azt is kiemelte, hogy a tagállamok megsértenék a 95/46/EK adatvédelmi irányelvet, ha az összes olyan adatot követelnék, amely az utasnyilvántartási adatállományban (PNR) vagy a légifuvarozók indulás-ellenõrzési listáján szerepel, 2007/67/II. szám mivel ezek az adatok jelentõsen túllépik a jelen iránymutatásokban és egyéb nemzetközi szabványokban szereplõ adatok körét. Továbbá azt is hangsúlyozni kell, hogy a PNR adatok nem szükségesek az irányelv egyik célja, a határellenõrzés megvalósításához. Az iránymutatások harmadik csoportja az adatok megõrzésére vonatkozik. Fõ szabály szerint a határellenõrzõ hatóságok az adatokat 24 órán túl csak jogszabályban elõírt feladataik teljesítése érdekében õrizhetik meg. Az irányelv azonban nem szabályozza, hogy a bûnüldözõ hatóságok mennyi ideig õrizhetik meg a részükre továbbított adatokat. A Munkacsoport hangsúlyozza, hogy 24 óránál tovább csak különleges esetekben lehet az adatokat megõrizni, mint például amikor nem állapítható meg az utasok személyazonossága, vagy nem rendelkeznek megfelelõ úti okmányokkal. A Munkacsoport véleménye szerint a tagállamoknak biztosítaniuk kell, hogy az adatokat ne lehessen hosszabb ideig megõrizni, mint ameddig feltétlenül szükséges a különleges célok tekintetében. Az iránymutatások utolsó csoportja az érintettek tájékoztatására vonatkozik. A Munkacsoport az adatvédelmi irányelvben és két korábbi véleményben foglaltakat ajánlja a tagállamok figyelmébe. Továbbá felszólítja õket, hogy írják elõ nemzeti jogszabályukban az utasok tájékoztatásának kötelezettségét arra az esetre is, ha adataikat továbbítják a bûnüldözõ hatóságoknak. Kötelezõ Erejû Vállalati Szabályok Az Európai Unióban széleskörû támogatást élveznek a nemzetközi adattovábbításra vonatkozó Kötelezõ Érvényû Vállalati Szabályok (Binding Corporate Rules, a továbbiakban BCR). A BCR-t multinacionális vállalatok alakítják ki és alkalmazzák a cégcsoport különbözõ országokban (EU-n kívül is) elhelyezkedõ tagjai közötti adatcsere szabályozására. A BCR-eket – így az azokban található, személyes adatok védelmére vonatkozó szabályokat is – a nemzeti adatvédelmi hatóságok hagyják jóvá, és kötelezõ erõvel bírnak a cégcsoport minden tagjára nézve. A BCR-ekkel a cégek azt igazolják – Magyarországon az Avtv. 9. § (2) bekezdés c) pont alapján – hogy az adatkezelés vagy adatfeldolgozás során megfelelõ szinten biztosítják a személyes adatok védelmét, az érintettek jogait és azok érvényesítését. A BCR-ek alkalmazása esetén a munkavállalók személyes adatai vélhetõen magasabb fokú védelemben részesülnek. A BCR-ekben a vállalatok az EU adatvédelmi irányelvét és az adatcserével érintett országok nemzeti adatvédelmi szabályait saját szervezetükre, a vállalatnál folyó adatcsere-folyamatokra képezik le, ami konkrétabb, az adatfeldolgozást végzõ munkavállalók számára könnyebben érthetõ szabályokat eredményez. A nemzeti adatvédelmi hatóságok a BCR-ek jóváhagyásakor vizsgálják, hogy a szabályok ne csak elméletben, hanem gyakorlatban is kötelezõ erõvel rendelkezzenek, például a BCR tartalmazza, hogy a vállalat belsõ fegyelmi szankciókat alkalmaz, ha munkavállalói azt megszegik; a vállalat oktatást szervezzen a BCR alkalmazásáról az adatfeldolgozást végzõ munkavállalóinak. A BCR-eknek tartalmazniuk kell, hogy az a munkavállaló, akinek személyes adatait külföldre továbbítják (érintett), panaszt tehet a nemzeti adatvédelmi hatóságnál, és igényét a bíróságon is érvényesítheti, ha személyes adatainak kezelésével kapcsolatban jogsérelem érte. A szabályoknak biztosítaniuk kell, hogy az érintett legalább ugyanolyan jogokkal rendelkezzen a jogsértõ adatkezelést végzõ vállalattal szemben, mint amit az EU adatvédelmi irányelve vagy a nemzeti jog biztosít. Ha a nemzeti jog szigorúbb adatvédelmi szabályokkal rendelkezik, akkor azokat kell alkalmazni. A BCR-nek tartalmaznia kell azt a fontos kötelezettségvállalást is, hogy a cégcsoport EU-n kívüli tagjainak cselekményeiért vagy a vállalat EU-ban található székhelyû központja vagy a cégcsoport egy európai tagja átvállalja a felelõsséget és szükség esetén kártérítést fizet. A BCR betartását belsõ és külsõ audittal is ellenõriztetnie kell a vállalatnak. A cégcsoportnak együttesen és tagjainak külön is kötelezettséget kell vállalniuk, hogy az illetékes adatvédelmi hatóságokkal együttmûködnek, és ezen hatóságoknak a BCR értelmezésével és alkalmazásával kapcsolatos javaslatait alkalmazzák. Az adatvédelmi hatóságok a BCR jóváhagyását visszavonhatják, ha a cégcsoport nem tanúsít kellõ együttmûködést. Végezetül fontos kiemelni, hogy a BCR-ek az érintettekrõl és az adatvédelmi hatóságokról a vállalatokra helyezik át annak a terhét, hogy biztosítsák az adatvédelmi jogszabályoknak való megfelelést. A multinacionális cégcsoportok számára különösen azért elõnyös a BCR, mivel egyetlen szabályzat rendezi a cégcsoport tagjai közötti adatcserét. Így a vállalatok sok idõt és pénzt takarítanak meg a bonyolult és állandó jelleggel módosításra szoruló, az EU-n kívülre történõ adattovábbítást szabályzó szerzõdések mellõzésével. Továbbá nagyobb védelmet tudnak biztosítani munkavállalóik személyes adatainak, mivel a számos nemzeti és uniós jogszabály egy átláthatóbb és könnyebben betartható rendszert alkot a BCR-ekben. A 29-es Adatvédelmi Munkacsoport már több lépést tett a BCR-ek alkalmazásának megkönnyítése és ösztönzése érdekében. A Munkacsoportnak eddig három munkaanyaga foglalkozott a BCR-ekkel. Az elsõ munkaanyag egy általános elemzést és útmutatást nyújtott, a következõ dokumentum pedig a nemzeti adatvédelmi hatóságok együttmûködési eljárását vázolta fel a BCR-ek jóváhagyására. A nemzeti adatvédelmi hatóságok együttmûködése azért fontos, mert egy vállalatcsoport BCR-jét minden olyan országban jóvá kell hagyni, ahonnan adatot továbbítanak az EU-n kívülre. Ez egy rendkívül hosszú eljáráshoz vezetne, ha a hatóságok munkája nem lenne összehangolva. A legutóbbi munkaanyag pedig egy listát tartalmazott azokról a kérdésekrõl, amelyeket a vállalatoknak egy BCR-ben feltétlenül tisztázniuk kell. 2006-ban is folytatódott a párbeszéd a multinacionális cégcsoportok, a Munkacsoport és a nemzeti adatvédelmi hatósá- 2007/67/II. szám gok között. Jelenleg a Munkacsoport BCR-alcsoportja egy standard, BCR-jóváhagyásra irányuló kérelem összeállításán dolgozik, melynek végleges formába öntése hamarosan várható. Ezt a kezdeményezést a Nemzetközi Kereskedelmi Kamara (ICC) indította, majd az ICC által összeállított standard jelentkezést a Munkacsoport továbbfejlesztette a tagállamok észrevételeivel kiegészítve. A standard jelentkezési formanyomtatvány több szempontból is elõnyös lesz: (1) felhasználóbarát, standard szöveg áll majd a vállalatok rendelkezésére, (2) leegyszerûsíti a nemzeti adatvédelmi hatóságok munkáját, és (3) a BCR-eljárást egyszerûbbé és hatékonyabbá teszi. A BCR-ek azonban nemcsak elméletben, hanem már a gyakorlatban is léteznek. Számos BCR-t (például a General Electric, a Deutsche Telekom, a Bank Austria Creditanstalt, a Daimler-Chrysler kérelmezõk részére) hagytak már jóvá az EU tagállamainak nemzeti adatvédelmi hatóságai, köztük a magyar adatvédelmi biztos is. Magyarországról azonban a munkavállalók személyes adatai harmadik országbeli adatkezelõ részére csak akkor továbbíthatók, ha az érintett ahhoz hozzájárult vagy törvény azt lehetõvé teszi, és a harmadik országban az átadott adatok kezelése, illetõleg feldolgozása során biztosított a személyes adatok megfelelõ szintû védelme. Így a BCR-ek a munkavállalók adatainak továbbítására csak hozzájárulásuk esetén alkalmazhatók vagy akkor, ha az adattovábbítást törvény lehetõvé teszi [Avtv. 9. §

Source: https://magyarkozlony.hu/hivatalos-lapok/9e5c05577bb687f2de35a44752486927140957ca/dokumentumok/c40d4842ccc8f70c437bbd73c84a4535b81048a5/letoltes