„A pillanat elszáll, a megörökítéséhez szükséges hozzájárulást viszont őrizni kell”

Mit kell tudnunk az álló- és mozgóképek és a GDPR kapcsolatáról?

Először is azt, hogy a fénykép és a videofelvétel bizony személyes adat, amennyiben az természetes személyt ábrázol. (Megjegyzés: a továbbiakban az álló- és mozgókép mint képmás illetve felvétel egy kalap alá kerül az egyszerűség kedvéért, ahol a megítélésükben eltérés van, ott ez külön szóba kerül).

A GDPR szerint személyes adatnak számít az azonosított vagy azonosítható természetes személyre (érintettre) vonatkozó bármely információ. A meghatározás alapján kézenfekvő a következő kérdés, és ki az azonosítható természetes személy? Az, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.
A képmás (álló- vagy mozgókép) ezek után mindenképpen személyes adat, hiszen tökéletesen azonosíthatóak vagyunk a képmásunk alapján. Ha ez nem így lenne, mi célt szolgálnának a körözési fotók? Sőt, még a kamerafelvételen látható a magatartásunk is személyes adatnak számít. Itt ugyan lehetnek kétségeink, hogy hátulról sötétben egy mozgó paca mennyiben tekinthető személyes adatnak, de van az a személy, aki még a mozgó elmosódott folt alapján is beazonosítható! Gondoljunk csak arra az esetre, amikor a falusi kisbolt mozgóképen megörökített betörője pontosan ugyanúgy sántít, mint a Fő utca kettőben lakó fickó, de a gyermekünk tanárát is felismerjük az osztályvideón még akkor is, ha csak hátulról látjuk.

Ha ezek után még valaki mer kételkedni, az Infotv. adatkezelés-fogalom meghatározása végképp meggyőzi, miszerint az adatkezelés az alkalmazott eljárástól függetlenül az adaton végzett bármely művelet vagy a műveletek összessége, így különösen

• gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, • lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, • törlése és megsemmisítése, valamint az adat további felhasználásának megakadályozása, • fénykép-, hang- vagy képfelvétel készítése, valamint • a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNS-minta, íriszkép) rögzítése.

Ha tehát fénykép, akkor GDPR, akár akarjuk, akár nem, azonban ez esetben nem hibáztatjuk a külhoni bürokratákat, mert már 2018. május 25. előtt is igen szigorú szabályok vonatkoztak hazánkban az álló- és mozgókép készítésére valamint felhasználásra. A jelenleg hatályos Polgári Törvénykönyvünk is kimondja, hogy képmás vagy hangfelvétel elkészítéséhez és felhasználásához az érintett személy hozzájárulása szükséges. Kivétel az a helyzet, amikor tömegfelvételről és nyilvános közéleti szereplésről készült felvételről van szó. A technika előhaladásával lehet azon vitatkozni, hogy mikortól tömegfelvétel a tömegfelvétel és az egyre nagyobb pixelszámot felhasználva mi van akkor, ha a tömegfelvételből személy azonosítására alkalmas egyéni felvétel varázsolható, ezért ha kétségünk van abban a tekintetben, hogy jogszerűen járunk-e el a felvétel közzétételénél, határozzuk meg mi a felbontást. A tömegkép maradjon tömegkép és ne rakjunk fel a honlapunkra olyan mértékben nagyítható felvételeket, ahol az előadáson az ötödik sor második székén ülő illető fogsoráról látszik, hogy dohányzik-e az illető vagy sem. Ha pedig mégis ilyen képekkel szeretnénk elárasztani a netet, akkor szerezzük be az érintettek hozzájárulását.

A korábbi bírói gyakorlat szerint "a képmás nyilvánosságra hozatalának tilalma nem vonatkozik a nyilvános eseményekről, rendezvényekről, táj- és utcarészletekről készült felvételekre, amikor tehát az ábrázolás módja nem egyéni, amikor a felvétel összhatásában örökít meg a nyilvánosság előtt lezajlott eseményeket (1985)."

A Hatóság is hasonló állásponton van, eszerint ha olyan felvételt készítünk például egy nyílt rendezvényen, amelyeken sok jelenlévő látható, és a felvételen az ábrázolás módja nem egyedi, úgy ez a nyilvános rendezvényen készült felvétel tömegfelvételnek minősül, azaz a rendező szervezet honlapján közzétételhez nem feltétlen szükséges az érintettek hozzájárulását beszerezni. A Hatóság tanácsa, hogy minden egyes felvétel esetében külön-külön meg kell vizsgálnunk, hogy az tömegfelvételnek minősül-e, mert ha nem, mindenképpen szükséges a közzétételhez az érintettek hozzájárulása.

Ami feltétlen kell a fényképek és videofelvételek jogszerű kezeléséhez, a hozzájárulás

A GDPR alapján a hatból az egyik adatkezelési jogalapunk a hozzájárulás és felvételek készítése esetén erre bizony nagy szükségünk is van. A felvételek esetén ráadásul rögtön minimum két hozzájárulást is kell kérnünk, az egyiket a felvétel készítéséhez, a másikat pedig a nyilvánosságra hozatalhoz, ezen kívül mindig figyelmeztetnünk is kell az érintettet a hozzájárulás visszavonásának lehetőségére.

Arra azonban vigyázzunk, hogy a hozzájárulás nem lehet bármilyen, tartalmát illetően szigorú jogszabályi követelményei vannak. A hozzájárulásnak

• megfelelő tájékoztatáson kell alapulnia, • önkéntesen és egyértelmű megerősítő cselekedettel kifejezett nyilatkozatnak kell lennie, • bizonyíthatónak is kell lennie.

Fontos tehát, hogy

• előre eláruljuk, mire szeretnénk a felvételt használni, milyen jogai vannak az érintettnek az adatkezelésünkkel kapcsolatban és a hozzájárulás visszavonásának lehetőségéről is tájékoztatnunk kell őt. Ráadásul rögtön két külön nyilatkozattal kell indítanunk (készítés és felhasználás) és a felhasználás esetében is jobb, ha a "valamire csak jó lesz?" felhasználási célnál egy kicsit konkrétabbat jelölünk meg, például a szervezetünk újságjában, honlapján, illetve az évkönyvében szeretnénk majd megjelentetni a képeket egy esemény illusztrálásaként. Ez utóbbi főleg akkor ajánlott, ha nem akarunk jogosulatlan adatkezelésbe keveredni, meg perek elé nézni. • amennyiben az adatkezelésünk egyszerre több célt is szolgál, a hozzájárulást az összes adatkezelési célra be kell szerezni, tehát amennyiben a fénykép elkészítése mellett például hírlevél küldésére használjuk fel a természetes személy adatait, vagy a fényképet a honlapon és más kiadványban is meg kívánjuk jelentetni, esetleg külföldre (pl. egy konferenciára, nemzetközi kiadványba továbbítjuk), úgy a tájékoztatásnak és a hozzájárulásnak ezekre is ki kell terjednie. • az önkéntesség, mint követelmény elsőre furán néz ki (általában senkinek sem szoktunk fenyegetéssel rávenni, hagy fotózzuk már le), de gondoljunk bele, ha az érintettel egy aláírás elé négy különféle témájú hozzájárulás-nyilatkozatot is begyömöszölünk, akkor vajon melyikre szól az aláírás? Elviekben mind a négyre, de mi van akkor, ha az érintett szíve szerint csak hármat írna alá, a negyediket pedig egyfajta "árukapcsolásnak" értékeli és muszájból írja alá? Abban az esetben is kétséges az önkéntesség, ha egy rendezvényen csak úgy vehet részt valaki, ha fotó készül róla. Mert az elvárni, hogy az érintett egyfolytában úgy helyezkedjen, hogy egyetlen kamera látószögébe se kerüljön be, elég botor dolog lenne tőlünk. A hozzájárulás önkéntessége különösen fontos akkor, amikor munkavállalónk fotóját, videofelvételét szeretnénk például a honlapunkra kitenni. • a hozzájárulásnak nem kell írásban megtörténnie, de vajon mennyivel könnyebb helyzetben vagyunk (illetve leszünk), ha vita esetén az érintett elé tudunk tenni egy bizonyító erejű papírt? Természetesen nem minden helyzetben életszerű az, hogy papír hátán papírt gyártsunk, ezért vannak olyan generális megoldások, mint például a kamerával megfigyelt területek esetében, ahol a látogatók számára egyrészt jelezni kell a megfigyelés tényét, másrészt tájékoztatást is ki kell függeszteni arról, hogy milyen jogai vannak az érintetteknek, hol lehet panaszkodni, hol tárolják a felvételeket, stb. A látogató pedig az előzetes tájékoztatás alapján eldönti, hogy belép-e a megfigyelt területre vagy sem. • a hozzájárulás visszavonható, azonban az érintettnek is tudatában kell lennie annak, hogy vannak olyan helyzetek, amikor már igen nehéz visszagyömöszölni a szellemet a palackba. Ha hozzájárult a felvétel elkészítéséhez és nyilvánosságra hozásához, ám később rájött, nem is olyan jó ötlet volt ez, akkor nekünk mindent meg kell tennünk a kívánságának teljesítése érdekében: a felvételt meg kell semmisítenünk, illetve le kell vennünk a honlapunkról attól függően, mire is irányult az eredeti engedély. Azonban ha valaki fél év elteltével jön rá, hogy furán áll a nyakkendője a szervezetünk marketingkiadványában leközölt fotón és emiatt utólag nagyon-nagyon rosszul érzi magát és sérelmesnek tartja a helyzetet, nem igazán elvárható, hogy mind a háromezer példányt visszahívjuk és megsemmisítsük. Arról pedig ne is beszéljünk, a hozzájárulást minden egyes külön adatkezelésre vissza lehet vonni külön-külön és együttesen is, tehát lehet fejfájást okozni a másiknak azzal, hogy csak a nyilvánosságra hozásra vonatkozó hozzájárulást vonjuk vissza, a készítésre vonatkozót nem, és fordítva. Vagy reklámkiadványba mehet a kép, honlapra viszont nem. • különösen vigyázni kell a 16 év alattiakról képmás készítésével és nyilvánosságra hozatalával kapcsolatban, ez esetben ugyanis a szülői felügyeleti jogot gyakorló személy engedélye szükséges ahhoz, hogy a hozzájárulás érvényes legyen. A Hatóság azt is megköveteli, hogy a 14-16 év közötti gyermekek esetén mind a szülő, mint a gyermek hozzájárulása meglegyen. Szerencsére az nincs előírva, hogy ki kell kutatnunk, tényleg gyakorolja-e az adott szülő a felügyeleti jogot, szóbeli tájékoztatást vagy írásbeli nyilatkozatot is elfogadhatunk e tárgyban. Végezetül vegyünk néhány gyakori képmás-esetet: Munkavállalóinkról készítünk fotókat és azt rakjuk ki a honlapunkra, szórólapunkra, stb.

Egyetlen alkalmazottunknak sem kötelessége önként pózolni és arcát adni, azaz az ő esetükben is mindig kell kérnünk a hozzájárulást a felvétel elkészítéséhez és nyilvánosságra hozásához. Ha nincs ilyen hozzájárulásunk (és utólag sem tudjuk azt beszerezni), akkor ezeket a képeket, videofelvételeket bizony le kell szednünk mind a hivatalos honlapunkról, mind a szervezetünk Facebook oldaláról és bármilyen más nyilvános helyről is. Arról pedig ne is beszéljünk, mi történik akkor, ha egyrészt elfelejtettünk hozzájárulást kérni a dolgozónktól, másrészt pedig olyan felvételt engedünk szabadjára a neten, amely mélyen belegázol a privát szférájába, netalán sértő helyzetbe hozza őt például azzal, hogy rendezetlen ruhában, kócosan, piszkosan, netalán a kamerabeállítás miatt túlságosan vastag lábbal, eltorzult arccal, vagy akár a valóságosnál sokkal méretesebb hátsóval tesszük közzé. Ha pedig még a porig alázott munkavállalónk kérése sem vagyunk hajlandóak eltávolítani a netről a felvételt, ne csodálkozzunk, ha pert akaszt a nyakunkba és sérelmi díjat követel azt sem bánva, ha emiatt elveszti az állását. Ráadásul még arra nagyon kell ügyelnünk kell, ha a munkavállalónk nem járul hozzá ahhoz, hogy róla álló- vagy mozgókép készüljön és/vagy nyilvánosságra kerüljön, nem érheti semmilyen joghátrány.

Ügyfelekről, partnereinkről készült felvételek honlapokon, reklámkiadványokban

Amennyiben például egy állatorvos esetében a gazdi nincs rajta a képen csak a nagy, szőrös négylábú kedvence, az állatorvos nem kezel személyes adatot. Ha a gazdi is ott van, és látszik a képen, akkor bizony kérnünk kell a hozzájárulását a felvétel készítéséhez és nyilvánosságra hozatalához. Ugyanez vonatkozik arra az esetre is, amikor belső építészként a megbízásunk végeredményt akarjuk bemutatni úgy, hogy a minket megbízó házigazda kalauzolja végig a nézőt a lakásán, irodáján. Rendezvényeken készült felvételek

Rendezvényeken készült felvételek

A Hatóság álláspontja szerint a rendezvényen résztvevőket előzetesen, megfelelő formában, igazolhatóan tájékoztatni szükséges a felvételkészítésről és annak jogalapjáról (leginkább a meghívóban). Amennyiben a rendezvényre nem lehet belépni úgy, hogy a kép/videó készítése kizárható lenne, akkor önkéntes hozzájárulásról, mint adatkezelési jogalapról nem beszélhetünk, ebben az esetben a mi, vagy harmadik személy jogos érdeke lehet a jogalap az adatkezelésünkhöz.

Ha pedig a jogos érdek lesz a jogalapunk, akkor érdekmérlegelési tesztet kell végeznünk, illetve tájékoztatnunk kell a jogos érdekről a megjelenteket. Az érdekmérlegelési tesztnek ki kell térni olyan tényezőkre, amelyek az adatkezelés jogszerűségét támasztják alá (pl. az adatkezelés céljának megfelelő feltételek, tárolási idő meghatározása, stb.)

A Hatóság szerint nem életszerű, hogy nyilvános rendezvényeken történő felvételkészítések esetén a rendezvények megkezdése előtt minden részletre kiterjedő tájékoztatás nyújtsunk, inkább azt javasolja, hogy a rendezvény megkezdése előtt egy szóbeli, vagy a rendezvényt hirdető felületen egy írásbeli rövid tájékoztatás nyújtsunk

• az adatkezelőről (ki vagyunk), • az adatkezelés céljáról (milyen célból és milyen felületen tesszük közzé vagy használhatjuk fel a felvételeket), • kiknek adhatjuk át a felvételeket, • az adatkezelés időtartamáról, • a felvételek elérhetőségének helyéről, továbbá arról, hogy • milyen módon kérheti azt az érintett személy, hogy a felvételt ne hozzuk nyilvánosságra, illetve • miként van lehetőség a felvétel törlésére, továbbá • a részletes és minden releváns tényt tartalmazó adatkezelési tájékoztatónkat hol ismerhetik meg az érintettek (például a honlapunkon).

Amennyiben nem tájékoztatható az érintett a kapcsolat hiánya miatt, akkor a személyes adatát tartalmazó felvételt vagy törölni vagy anonimizálni kell (azaz a felvételt személyazonosításra alkalmatlanná kell tenni, mint például a Google street view felvételeken).

Kamera az autóban

És végül, de nem utolsó sorban, jöjjön a kérdések kérdése: vajon jogszerű az autóban a szélvédő mögé szerelt, utat figyelő kamera, vagy a sisakra szerelt gopro kamera?

A Hatóság álláspontja szerint a magánszemélyek saját gépjárműveikbe szerelt kamerákkal összefüggő adatkezelés során a személyes célú adatkezelés követelménye, hogy

• a kamerát magánszemély üzemeltesse, • a saját személyes célok nem indokolhatják a kimagaslóan jó minőségű, folytonos mozgást rögzítő felvételek készítését. Ezt a követelményt a technikai eszköz kiválasztásával és a megfelelő számítógépes rendszer beállításával lehet teljesíteni (alacsonyabb felbontású kamera, másodpercenként néhány képkocka rögzítése). Művészeti élet szabadsága alapján készített képfelvétel (pl. time-lapse videó összeállítása) esetén nem kifogásolható a jó minőségű felvételek rögzítése, a Hatóság szerint ebben az esetben sokkal rövidebb az adatgyűjtés időtartama és korlátozottabb az adatgyűjtés terjedelme, azonban az ilyen videó készítése sem járhat együtt személyes adatok nyilvánosságra hozatalával (azaz ne legyen a felvételen természetes személy felismerhető, stb.) • a rögzített képfelvételek megőrzésének időtartama nem korlátlan, azokat alapvetően 5 napig lehet megőrizni és a Hatóság szerint ez az irányadó a gépjárművekbe szerelt kamerák esetében is, • a természetes személynek a rögzített felvételek tárolása során biztosítania kell, hogy ahhoz illetéktelen harmadik személy ne férhessen hozzá (ha nyilvánosságra kerül a személyes adatot tartalmazó felvétel a mi trehányságunk miatt, bizony felelősek vagyunk érte), • amennyiben a felvételt nyilvánosságra hozzuk, arra már a GDPR szabályai vonatkoznak, mivel ekkor már nem beszélhetünk személyes adatkezelésről. Ebben az esetben elvárják tőlünk, hogy a felvételen szereplő személyes adatokat (képmás, rendszám, stb.) felismerhetetlenné tegyük abban az esetben, ha nincs az érintettől előzetes hozzájárulásunk a felvétel nyilvánosságra hozásához.

És vajon az ilyen, elviekben személyes célból készült felvételeket felhasználhatjuk-e bizonyítékként?

A személyes adatok védelméhez fűződő jog megsértésével készült felvételek szabálysértési vagy büntető eljárásban felhasználása a Hatóság szerint elsődlegesen nem adatvédelmi kérdés és az eljáró hatóságnak kell eldöntenie, elfogadja-e bizonyítékként az adott felvételt. A Legfelsőbb Bíróság egy 2000-ben született döntésében kimondta, hogy a felvételek „bírósági vagy szabálysértési eljárásban bizonyítékként való előterjesztése felhasználásnak minősül, és a felhasználás tényének megállapítása szempontjából közömbös az, hogy a felvétel készítése a személyiségi jogok megsértésével történt. A bíróság vagy más hatóság előtt folyó eljárásban az igazság érvényesülésének biztosítása közérdek, és a bizonyítás ezt a célt szolgálja. Ezért nem lehet a felvétel felhasználását visszaélésnek tekintetni.” (EBH2000. 296)

dr. Albert Ágota adatvédelmi tisztviselő

A cikk eredeti változata a Magyar Állatorvosi Kamara Adatvédelmi Kisokosában jelent meg.

ALBERT ÁGOTA KATALIN: Jogászok és informatikusok kommunikációs problémáinak eliminációs eszközei a mesterséges intelligencia alkalmazása során

 A mesterséges intelligencia napjainkban tapasztalható robbanásszerű fejlődése új kihívások elé állítja nemcsak az informatikusokat, hanem a jogászokat is. Felmerül a kérdés: hogyan biztosíthatjuk, hogy a mesterséges intelligencia használata etikus és megbízható legyen, társadalmunk érdekeit szolgálva? Mi a garanciája annak, hogy például egy nagy nyelvi modell projekt résztvevői egy irányba mozogva, az irányadó jogi-etikai kereteken belül valósítsák meg elképzeléseiket? A tanulmány azt elemzi, milyen eszközökkel lehet a konstruktív párbeszéd hiányából adódó problémákat orvosolni, különös tekintettel azon platformokra, amelyek már most rendelkezésre állnak. A cél annak bemutatása, hogy a meglévő eszközök, így például a megvalósíthatósági tanulmányok, a különféle hatásvizsgálatok, az érdekmérlegelési tesztek, a szabályzatok és az oktatás hogyan, mi módon lehetnek alkalmasak arra, hogy a jogászok és az informatikusok közötti kommunikációs szakadék áthidalható legyen.

KULCSSZAVAK: MESTERSÉGES INTELLIGENCIA, JOGÁSZ-INFORMATIKUS PÁRBESZÉD, SZTEREOTÍPIÁK, HATÁSVIZSGÁLAT, ADATVÉDELEM, ADATBIZTONSÁG, LLM

Methods for eliminating communication problems for lawyers and IT professionals in the application of artificial intelligence

The explosive development of artificial intelligence today poses new challenges not only for computer scientists but also for lawyers. The question arises: how can we ensure that the use of artificial intelligence is ethical and safe for the benefit of our society? What is the guarantee that, for example, the participants in a large language model project will implement their ideas within the guiding legal and ethical framework, moving in the same direction? The study analyses the methods that can be applied to overcome the lack of constructive dialogue, with a particular focus on the platforms that are already available. The aim is to show how existing means, such as feasibility studies, impact assessments, legitimate interests tests and codes of conduct and education, can be used to bridge the communication gap between legal practitioners and IT experts.

KEYWORDS: ARTIFICIAL INTELLIGENCE, LAWYER-INFORMATICS DIALOGUE, STEREOTYPES, IMPACT ASSESSMENT, PRIVACY, DATA SECURITY, LLM

A teljes tanulmány elérhető itt: Rendvédelem

DOI: https://doi.org/10.53793/RV.2024.2.4

Az Európai Parlament 2024. március 13-i jogalkotási állásfoglalása a mesterséges intelligenciára vonatkozó harmonizált szabályok (a mesterséges intelligenciáról szóló jogszabály) megállapításáról és egyes uniós jogalkotási aktusok módosításáról szóló európai parlamenti és tanácsi rendeletre irányuló javaslatról (COM(2021)0206 ? C9-0146/2021 ? 2021/0106(COD))

A rendelet szövege magyarul pdf és word formátumban elérhető itt.

A tanulmány célja annak bemutatása, milyen fejleményeket hozott a köznevelési és felsőoktatási szektorban az Európai Gazdasági Térség tagállamai területén az általános adatvédelmi rendelet (GDPR) alkalmazása, különös tekintettel a bírságolási gyakorlatra.

DOI: 10.31915/NWS.2023.3

http://ocs.mtak.hu/index.php/nws/2023/paper/view/131/144

"Megtisztelő, hogy az emberek hősnek tartanak... de nem fogadom el ezt a jelzőt, mivel mások sokkal jobban megérdemlik azt. Azt tettem, ami helyes volt ... nem bántam meg és újra megtenném. Mint látják, mi csak hétköznapi emberek voltunk, akik rendkívüli helyzetbe kerülve helyesen cselekedtünk, ahogy mindenkinek tennie kellene."

(Dr. Jeffrey Wigand, volt magas rangú dohányipari vezető, aki felfedte az igazságot az ipar közegészségügyi és biztonsági előírásainak semmibe vételéről)

 

Túlélőkalauz visszaélés-bejelentőknek

 

Egy visszaélést bejelenteni, azaz használni a "spion vonalat" sohasem egyszerű döntés. Nem számíthatunk arra, hogy környezetünk örömujjongásba tör ki látva bátorságunkat, és ráadásul bármennyire is elszántak vagyunk, nem biztos, hogy azt a gyümölcsöt hozza meg az akarásunk, amelyre számítunk. Az is kiszámíthatatlan, hogy a bejelentett személy főnökei hogyan fognak reagálni? örülnek, hogy végre fény derül egy visszaélés vagy éppen fordítva, eddig is szemet hunytak felette és ezután sem kívánnak semmit sem csinálni. A történelem már számtalanszor bebizonyította, a bejelentő a bejelentésével élete egyik legnagyobb és legkockázatosabb vállalkozásának első lépését tette meg, a végállomás helye és az elérés időpontja is homályba vész.

Ha elszánjunk magunkat egy visszaélés bejelentésére, mire érdemes odafigyelnünk a túlélésünk érdekében?

1.      Mielőtt bejelentést kívánunk tenni, nézzünk utána, hogy amit be szeretnénk jelenteni, annak a cselekménynek a bejelentőjére vonatkozik-e a jogszabály által biztosított védelem. Azt, hogy mire vonatkozik a védelem, a vonatkozó jogszabály (Panasztv.) 17. §-ában találjuk meg:

 17.?§ E Fejezet [II. fejezet] rendelkezéseit az 1. melléklet szerinti európai uniós jogi aktus végrehajtására vagy az annak való megfelelés érdekében kiadott jogszabály vagy az Európai Unió általános hatályú, közvetlenül alkalmazandó, 1. melléklet szerinti kötelező jogi aktusa hatálya alá tartozó esetekben csak akkor kell alkalmazni, ha az 1. melléklet szerinti európai uniós jogi aktus végrehajtására vagy az annak való megfelelés érdekében kiadott jogszabály vagy az Európai Unió általános hatályú, közvetlenül alkalmazandó, 1. melléklet szerinti kötelező jogi aktusa egyes visszaélések, jogsértések bejelentésére, az ezeket bejelentők védelmére vonatkozóan eltérő szabályokat nem állapít meg.

E Fejezet rendelkezéseit, ha az 1. melléklet szerinti európai uniós jogi aktus végrehajtására vagy az annak való megfelelés érdekében kiadott jogszabály vagy az Európai Unió általános hatályú, közvetlenül alkalmazandó, 1. melléklet szerinti kötelező jogi aktusa egyes visszaélések, jogsértések bejelentésére, az ezeket bejelentők védelmére vonatkozóan eltérő szabályokat nem állapít meg.

 Ha nem értjük a 17.§ szövegét, kérjük szakember segítségét. Ez nagyon fontos, mert adott esetben elképzelhető, hogy nem illet meg minket a visszaélés-bejelentés által garantált védelem.

Nagyon fontos kiegészítés (lásd Panasztv. 28.§), hogy amennyiben a foglalkoztató a munkavállalóira a munka törvénykönyvéről szóló 2012. évi I. törvény 9. § (2) bekezdésében meghatározott feltételekkel a közérdeket vagy nyomós magánérdeket védő magatartási szabályokat állapít meg, ezek megsértését is bejelenthetjük a belső visszaélés-bejelentési rendszerben. Ezeket a magatartási szabályokat a munkáltató elnevezheti etikai kódexnek vagy éppen vállalati kézikönyvnek, de az előírásokat tartalmazhatják olyan belső szabályzatok is, mint például az információbiztonságra, vagy a munkára képes állapot ellenőrzésére vonatkozó szabályzat.

 

2.    Mielőtt bejelentést kívánunk tenni gondoljuk át, mi a valódi célunk. Ha az, hogy ez majd híressé tesz minket, inkább bele se vágjunk. Mérjük fel a szakmai életünket és a privát szféránkat, valamint a családunkat érő lehetséges kockázatokat és úgy határozzuk meg, mit és hogyan akarunk elérni.

 "Ha úgy gondolod, hogy amit teszel az helyes, akkor meg kell tenned, bár tisztában kell lenned a várható következményekkel. Ha hajlandó vagy elfogadni ezeket a következményeket, akkor hajrá. Egyáltalán nem bánom, hogy felvetettem ezt a kérdést, és biztosan felvetném újra. Szerintem ezeket a dolgokat sem lehet félszívvel felvetni. Ha már riadót fújsz, akkor azt a lehető leghangosabban és legnyilvánvalóbban tedd." (Dr. Aubrey Blumsohn, a Procter & Gamble csontritkulás elleni gyógyszerével kapcsolatos kutatási tanulmányokba való beavatkozást leleplező tudós)

  

3.    Készüljünk fel:

• építsük fel stratégiánkat, gondolkodjunk előre.
• olvassuk át újra a munkaszerződésünket és a munkaköri leírásunkat, milyen kötelezettségeink vannak a munkáltatónk felé. Ezen kívül jó, ha tisztában vagyunk az összes olyan belső szabályzattal, amely releváns lehet a bejelentésünkkel kapcsolatban. Ilyen lehet például a munkáltatónk visszaélés-bejelentéssel, illetve az információbiztonsággal kapcsolatos szabályzata. Ez utóbbi különösen a munkavállalók ellenőrzésének lehetőségei miatt érdekes számunkra ? készüljünk fel rá, hogy munkavállalóként hogyan figyelhetnek meg bennünket.
• tartsunk őszinte önvizsgálatot, nekünk milyen csontvázunk van a szekrényünkben és milyen kihatással lehet az ránk, ha ez kidől. Nem lepődhetünk meg, ha a bejelentésünk megtétele után ezt valaki előássa és felhasználja ellenünk.
• gyűjtsünk bizonyítékokat állításaink megalapozására annak érdekében, hogy a későbbiekben ne tűnjünk olyan személynek, aki csak alaptalanul vádaskodik. Ezeket a bizonyítékokat helyezzük biztonságba, de eredeti iratot még véletlenül se "lopjunk el". Kellő körültekintéssel járjunk el, ha üzleti és egyéb titkok felfedését is szükségesnek tartjuk, e tárgyban kérjük ki szakember véleményét, nehogy a végén mi kerüljünk a vádlottak padjára.
• legyünk barátságos és kedvelhető személyiségek, ne szerezzünk be felesleges ellenségeket, lesz bőven gondunk-bajunk nélkülük is. Különösen hasznos segítséget kaphatunk a támogató munkakörökben dolgozóktól és azoktól, akik minden folyósói pletykát ismernek és a szervezetünk számos részlegében megfordulnak.
• óvatosan teszteljük a munkahelyi környezetünket, vajon hogyan reagálnának a bejelentésünkre. A visszaélések eleve megmérgezhetik egy adott szervezet életét, a visszaélések eltusolása pedig csak tovább ront a helyzeten. Azonban azt is tudomásul kell vennünk, hogy munkatársainknak is van bőven félnivalójuk, nem akarják ?feleslegesen? kockáztatni a megélhetésüket és otthon sem akarnak bajba keveredni.
• keressünk szövetségeseket. Nem feltétlen kell magányos hősként megélnünk az elkövetkező történéseket, hiszen másoknak is szúrhatja a szemét az, ami szembe megy az erkölcsi érzékünkkel.
• beszéljük meg szándékunkat mindazokkal, akiket érinthet a visszaéléssel kapcsolatos bejelentésünk. Ha csak módunk van rá, vonjuk be a döntésünkbe a családtagjainkat is, hiszen a bejelentésünk őket is kellemetlen helyzetbe hozhatja, ahogy a bejelentést követő esetleges megtorlásnak is áldozatai lehetnek. Nem véletlen, hogy a visszaélés bejelentők védelmére vonatkozó jogszabály nemcsak a bejelentőt, hanem a hozzátartozóit is védeni rendeli.
• keressünk olyan szakembert (szakszervezeti képviselőt, ügyvédet, adatvédelmi tisztviselőt stb.) aki adott esetben tanácsokkal tud szolgálni, mit és hogyan tegyünk. Legyünk tisztában a jogainkkal és ügyeljünk arra, hogy mindvégig jogszerűek maradjanak a tetteink és még véletlenül se rontsuk a tárgyalási pozíciónkat feleslegesen.

 "Újságíróként megtanultam, hogy Amerikában minden munkahelyen van legalább egy elégedetlen ember és legalább kétszer ennyi, akinek van lelkiismerete. Bármennyire is próbálkoznak, egyszerűen nem tudják elfordítani a fejüket akkor amikor látják, hogy igazságtalanság történik." (Michael Moore)

 

 4.    Jól fontoljuk meg, hogy vállaljuk-e a nevünket vagy névtelenek kívánunk maradni. Mindkét megoldásnak vannak előnyei és hátrányai is:

• ha névtelenek maradunk, kevésbé kell tartanunk az esetleges megtorlástól, azonban bármikor kiderülhet, valójában kik vagyunk.
• névtelen bejelentőként továbbra is belülről szemlélhetjük az eseményeket, így szükség esetén további bizonyítékokat gyűjthetünk.
• ha névtelen bejelentőként kezdeményeztük az eljárást, még bármikor dönthetünk úgy, hogy előbújunk.
• előfordulhat azonban, hogy szinte lehetetlen névtelennek maradnunk, mert csak nagyon kevés személy rendelkezhet azzal az információval, amire alapozzuk a bejelentésünket, miközben számíthatunk arra, hogy a bejelentett személy mindent megmozgat majd annak érdekében hogy megtudja, ki ?árulta el?.
• ha nevünket adjuk a bejelentéshez, ez jelentősen befolyásolhatja további szakmai és magánéletünket is.

Döntésünkhöz tartsuk magunkat és erre kérjük meg a szövetségeseinket is. Különösen a sajtó képviselői esetén legyünk óvatosak, anonim visszaélés bejelentés esetén még véletlenül se fedjék fel a kilétünket csak azért, mert az több kattintást eredményezhet.

 "Azt hiszem, joggal mondhatjuk, hogy a titoktartás ígérete azon a bizalmon alapul, hogy amit mondanak nekünk, az igaz ... Ha hazudsz, elveszíted a jogot a titoktartásra. A források visszaélést bejelentők - ők olyan emberek, akik elmondják az igazat annak érdekében, hogy változtassanak valamin." (Daniel Schorr újságíró, vezető hírelemző)

 

5.    Körültekintően válasszuk meg, hogyan kívánjuk bejelenteni a visszaélést, szóban, írásban, elektronikusan vagy hagyományos levélben:

• ha nem adjuk a nevünket a bejelentéshez, abban az esetben keressük olyan kommunikációs csatornát, amely nem buktat le egyből minket és mindvégig ügyeljünk arra, hogy az álcánkat megtartsuk.
• használjunk olyan eljárásokat, amelyek segítenek megőrizni anonimitásunkat, például TOR böngésző, VPN, csak erre a célra használt e-mail fiók stb.
• a bejelentéshez csatolt dokumentumokból is távolítsuk el mindazokat az adatokat, amelyek ránk utalhatnak.
• a bejelentés során határozottan kérjük a névtelenségünket, illetve személyes adataink titkos kezelését.
• amennyiben a bejelentővonalat (például telefonos forródrótot, e-mail címet) harmadik személy (szervezet) üzemelteti, a bejelentésünket fogadónak külön hívjuk fel a figyelmét a személyes adataink kezelésének módjára.
• még véletlenül se használjunk olyan kommunikációs csatornát, amely a bejelentendő személy szervezetének tulajdonában van (levelező rendszer, telefonvonal stb.)
• tiszteljük mások idejét, ne legyünk szószártyárak és lehetőleg mindig koncentráljunk a lényegre még akkor is, ha nagyon fel vagyunk háborodva.
• tisztában kell lennünk azzal, hogy a névtelenül tett bejelentést a szervezet nem köteles kivizsgálni, illetve ha további információra lenne szüksége a tisztázáshoz, azt nem tudja tőlünk megszerezni.

 "A visszaélés bejelentőket kirúgják és kivégzik, vagy összeomlanak. El kell döntened, mit akarsz tenni. Karriert akarsz, vagy szószóló akarsz lenni? Ahol én szószóló voltam, azt nem a saját hátsó udvaromban tettem. Ha harcolni akarok, nem a hátsó udvarban teszem. Másként fogalmazva, többet tudok elérni, ha nem a hátsó udvarban teszem. A tanítványaimat a dolgok helyes intézésének módjára tudom megtanítani." (Robert Greene)

 

6.    Ha elszántuk magunkat az első lépésre, ne habozzunk és ne rettenjünk meg, hanem kötelezzük el magunkat a döntésünk mellett és menjünk végig azon az úton, amelyen elindultunk. Elhallgattatásunk sokkal nagyobb kár okozhat a társadalomnak mint az, hogy kiállunk az elveink mellett, a megtorlással fenyegetők pedig nem fogják leállítani magukat csak azért mert úgy látják, sikeresen elhallgattattak minket. Sőt, minden egyes személy elrettentésével tovább nő a hatalmuk mind nekik, mind az általunk bejelentett személynek. Ha csak egy módunk van, ne adjuk fel a harcunkat mindaddig, amíg az igazságra teljesen fény nem derül.

 

7.    Tartsuk be a fokozatosság elvét, azaz lehetőleg a jogszabály által meghatározott bejelentési sorrendet kövessük a stratégiánk megvalósítása során. Amennyiben lehetséges, akkor először belső, ha pedig nem jutunk eredményre, akkor külső bejelentési csatornát használjunk és ha egyik sem válik be, akkor forduljunk a sajtó nyilvánosságához vagy a szociális médiához. Vannak azonban olyan esetek is, amikor megalapozottan feltételezhetjük, hogy az első két módszer eleve kudarcra van ítélve, mivel az általunk bejelenteni kívánt ügyben az elkövető együttműködik az illetékes hatóságok illetékes személyeivel ? a döntésünket azonban minden esetben meg kell tudnunk indokolni annak érdekében, hogy megillessen minket a bejelentő személynek járó védelem.

 "A valóság az, hogy minden szervezet gyűlöli, ha a belső működését nyilvánosságra hozzák, annál is inkább, ha ez kollektív ellenszenvet vált ki és munkahelyeket kockáztat. A szekerek körbe gyűlnek, hogy megvédjék a sebesült feljebbvalót." (Fuad Alakbarov: Exodus)

 

8.    A bejelentés általában nem egy egyszeri, egyirányú cselekedet, hanem folyamatos párbeszédet igénylő folyamat:

• legyünk elérhetőek, például rendszeres időközönként nézzük meg az e-mail fiókunkat, kaptunk-e bármilyen visszajelzést vagy megkeresést a bejelentésünkkel kapcsolatban.
• ha további bizonyítékot kérnek tőlünk, járjunk el óvatosan azok beszerzése során. Ha úgy érezzük, a további kérés valójában a lebuktatásunkat vagy a "csőbe húzásunkat" szolgálja, nem biztos, hogy tévedünk.
• vezessünk naplót, kivel mikor miről beszéltünk, kinek milyen dokumentumokat adtunk át.

 

9.    Munkavállalóként a bejelentésünk vizsgálata alatt mindvégig tegyük a dolgunkat és még véletlenül se adjunk alapot az elbocsátásunkra. Jelentősen rontja a pozíciónkat, ha a munkáltatónk slendrián, megbízhatatlan, lógós alkalmazottként tud minket beállítani úgy, hogy ezt még alá is támasztjuk viselkedésünkkel. Készüljünk fel arra, hogy

• a főnökünk a kákán is csomót fog keresni, ugráltathat, felesleges munkát végeztethet velünk és minden tettünkbe beleköt annak érdekében, hogy bizonyítsa alkalmatlanságunkat,
• "jobb" esetben csak lefagyhat a karrierünk, rosszabb esetben ténylegesen is elszigetelhetnek minket a kollégáinktól. Átszervezésre hivatkozva könnyen a "világ végén" találhatjuk magunkat, legyen az a pincében egy dohos iroda vagy egy eldugott vidéki telephely.
• rossz hírünket kelthetik biztatva a többieket arra, hogy kezeljenek minket pestisesként, illetve szakmánkban is "fekete listára" kerülhetünk.

 "A bejelentőkkel kapcsolatos hatalmas szakirodalom azt mutatja, hogy a bejelentők távolról sem furcsa szélsőségesek, hanem valójában teljesen átlagos emberek: férfiak és nők, fiatalok és idősek, pályakezdők és felsővezetők, akik nem különbek vagy nem megszállottabbak, mint a legtöbb keményen dolgozó ember." (Margaret Heffernan)

 

10.  Ne keseredjünk el és ne adjuk fel végleg a harcunkat csak azért mert látjuk, hogyan mismásolja el a szervezet a bejelentést követő vizsgálatot, hogyan mosdatják az elkövetőt és hogyan mos kéz kezet. A visszaélések történelmében volt már rá példa, hogy a bejelentés komolyan vételével és következetes kivizsgálásával, illetve az elkövető megbüntetésével komoly anyagi veszteséget előzött meg volna az adott szervezet, azonban nem tettek semmit sem. A jogszerűtlen cselekedetek hópihéje lavinává erősödhet és komoly csapást mérhet mind a szervezetre, mind azok vezetőire.

" Amikor jelentettem a Medicaid csalást, kirúgtak. 49 millió dollárral később úgy gondolom, hogy megbánták." (Dave Foster)

 

11.   Mindvégig támaszkodjunk a szövetségeseinkre, legyenek azok családtagjaink, munkatársaink, elszánt ügyvédek, oknyomozó újságírók vagy éppen a hatóság lelkiismeretes és jogkövető képviselői. Keressünk olyan civil szervezeteket, amelyek erkölcsi és szakmai támogatást tudnak nyújtani harcunkhoz. A szélmalomharcot vívó magányos keresztes lovagok bukásra vannak ítélve, mi sem fogjuk tudni egyszemélyben megváltani a világot.

 

Hazánkban a visszaélés bejelentésre, illetve a bejelentők védelmére a panaszokról, a közérdekű bejelentésekről, valamint a visszaélések bejelentésével összefüggő szabályokról szóló 2023. évi XXV. törvény vonatkozik.

 

 

 

A doxxing megítélése

2020-ban az Egyesült Államok Nemzetbiztonsági Minisztériuma "erőszakos anarchistákat" vádolt meg azzal, hogy Portlandben a rendőrök által George Floyd meggyilkolását követő tüntetéseket követően "doxxingolták" a rendfenntartó erők tisztjeit. A hivatalos szervek közölték, hogy a rendőrök privát szféráját érintő veszély csökkentése érdekében a jelvényeiken a neveket jelvényszámokkal helyettesítették.

Az olyan technológiai vállalatok, mint a Facebook és a Twitter rendelkeznek a doxxing elleni irányelvekkel, és gyakran törlik a bizonyos személyes információkat felfedő tartalmakat. Miután a hongkongi rendőrök gyermekei állítólag a demokráciapárti tüntetők doxxing-támadásainak áldozatai lettek, a Facebook olyan politikát vezetett be, amely eltávolítja a gyermekeket azonosító és a biztonságukat veszélyeztető tartalmakat. 2019-ben egy hongkongi bíróság megtiltotta a rendőrök személyes adatainak közzétételét is, bár sok tüntető kritizálta ezt, mivel ez még inkább védi a tüntetőkkel összecsapó rendőröket.

Az Egyesült Államokban nem egységes a gyakorlat, néhány államában olyan anti-doxxing törvények vannak érvényben, amelyek lehetővé teszik az áldozatok számára, hogy a doxxingolót felelősségre vonják az információik nyilvánosságra hozatala miatt, míg más államok megerősítették a már hatályban lévő "kiberzaklatás" törvényeket, hogy megakadályozzák ezeket a cselekményeket. Egyes törvények lehetővé teszik az áldozatok számára, hogy bepereljék a doxxolót, mások bűncselekménnyé teszik a doxxolást, egyes törvények pedig bizonyos csoportokat, például az egészségügyi dolgozókat védik a doxxolástól.

 

A doxxing büntetőjogi megítélése hazánkban

A magyar Büntető Törvénykönyv 219. §-a szerint aki a személyes adatok védelméről vagy kezeléséről szóló törvényi vagy az Európai Unió kötelező jogi aktusában meghatározott rendelkezések megszegésével haszonszerzési célból vagy jelentős érdeksérelmet okozva

a) jogosulatlanul vagy a céltól eltérően személyes adatot kezel, vagy

b) az adatok biztonságát szolgáló intézkedést elmulasztja,

vétség miatt egy évig terjedő szabadságvesztéssel büntetendő.

A büntetés két évig terjedő szabadságvesztés, ha a személyes adattal visszaélést különleges adatra vagy bűnügyi személyes adatra követik el, illetve a büntetés bűntett miatt három évig terjedő szabadságvesztés, ha személyes adattal visszaélést hivatalos személyként vagy közmegbízatás felhasználásával követik el.

A Nagykommentár a Büntető Törvénykönyvhöz alapján[1] a bűncselekmény jogi tárgya az Alaptörvény VI. cikk (2) bekezdésében deklarált személyes adatok védelméhez való jog, a törvényi tényállás pedig keretdiszpozíció, amelynek háttérjogszabálya az általános adatvédelmi rendelet[2] (továbbiakban: GDPR), valamint az Infotv.[3], illetve egyéb, adatkezelések tárgyában rendelkező ágazati jogszabályok. A GDPR mint uniós rendelet közvetlen hatályú és elsőbbsége van a tagállami jogban is, az Infotv. és az egyéb ágazati jogszabályok a GDPR-hoz képest szubszidiárius jellegűek[4], és a GDPR tárgyi hatályához képest kizárólag kiegészítő rendelkezéseket tartalmaznak. Ezen kívül az Infotv. implementálta a bűnügyi adatvédelmi irányelvet[5] (bűnüldözési adatkezelések), illetve hatálya kiterjed még az uniós jog hatálya alá nem tartozó adatkezelésekre, azaz a honvédelmi és a nemzetbiztonsági célú adatkezelésekre[6].

Ezen törvényi tényállás esetében a személyes adat fogalmát a GDPR[7] és az Infotv.[8] határozza meg, a bűncselekmény sértettje pedig e személyes adat által érintett természetes személy[9]. A bűncselekmény három tényállási alakzatból épül fel, ebből a doxxing esetében elsősorban az (1) bekezdés a) fordulata releváns. Ebben az esetben az elkövetési magatartás jogosulatlan vagy céltól eltérő adatkezelés, amely aktív magatartást jelent. Az adatkezelés fogalmát a GDPR[10] és az Infotv.[11] határozza meg, ahogy az adatkezelés jogalapját[12] is. Megfelelő jogalap hiányában az adatkezelés jogszerűtlennek minősül, és ezáltal tényállásszerű. Az adatkezelésnek célhoz kötöttnek kell lennie, mely szorosan kötődik a célhoz kötöttség alapelvéhez[13], így az ezen alapelvet megsértő adatkezelés is tényállásszerű lesz.

A törvényi tényállás megvalósításához az elkövetési magatartásnak vagy jelentős érdeksérelmet kell okoznia, vagy ? érdeksérelem hiányában ? haszonszerzési célból kell azt kifejteni. A jelentős érdeksérelemhez lehet például a munkahelyi vagy társadalmi kapcsolatok, a családi élet elnehezülése, vagy például önkormányzati választások során a képviselőjelölt bűnügyi személyes adatainak nyilvánosságra hozatalával történő lejáratása[14]. A haszonszerzési célzat lehet például az anyagi előnyért történő adattovábbítás, amely még nem feltételezi a jelentős érdeksérelem bekövetkezését. A doxxing esetében általában a jelentős érdeksérelem okozása a cél, bár a haszonszerzés is elképzelhető.

A bűncselekmény materiális alakzata kísérleti szakban marad mindaddig, amíg a jelentős érdeksérelem nem következik be, kivéve ha a tettest haszonszerzési cél vezérli, mert abban az esetben a cselekmény jelentős érdeksérelem bekövetkezése nélkül is befejezetté válik.

A bűncselekmény csak szándékosan követhető el, a tettes tudatának mind a személyes adatoknak minősülő életbeli tényekre (de nem azok minősítésére), mind pedig a jogosulatlanságra ki kell terjednie. A büntetendőséghez elegendő az eshetőleges szándék, a haszonszerzési céllal megvalósuló fordulat azonban egyenes szándékot feltételez, de például a jogosulatlansággal kapcsolatban ilyen esetben is elegendő a belenyugvás.

A bűncselekmény olyan doxxing esetében, amely kimeríti ezt a tényállást, bárki lehet[15]. A bűncselekmény rendbelisége az érintettek száma szerint alakul

A bűncselekmény minősített esete akkor valósul meg, ha azt különleges személyes adatra vagy bűnügyi személyes adatra követik el[16], illetve súlyosabban büntetendő az, aki a bűncselekményt hivatalos személyként[17] vagy közmegbízatás felhasználásával követi el.

A hivatalos személyként elkövetett személyes adattal visszaélés speciális tényállás a hivatali visszaéléshez képest[18]. Ha azonban a hivatalos személy a személyes adattal nem jogtalan haszonszerzés végett (vagy nem jelentős érdeksérelmet eredményezve) él vissza, hanem ettől eltérő előnyszerzési vagy hátrányokozási célzat vezérli, úgy a személyes adattal visszaélés ? ezen tényállási elemek hiányában ? nem valósulhat meg, viszont a hivatali visszaélés[19] szerinti bűncselekmény igen[20].

Bár ? mint a Btk. törvényi tényállása alapján is látható ? nem minden doxxing bűncselekmény, azonban ettől függetlenül a cselekmény más jogszabályok, például az adatvédelmi jogszabályok alapján jogszerűtlen lehet. Azért, mert valakit, aki doxxingot követ el, nem valósít meg a cselekedetével büntetőjogi tényállást, a közösségi médiaplatformok és weboldalak még blokkolhatják, illetve az érintettek eljárást kezdeményezhetnek, különös tekintettel a GDPR alapelveire (pl. a jogszerűség és tisztességesség, valamint a célhoz kötöttség elve).

Az elkövetők jó, ha azzal is tisztában vannak, amint az adatkezelésük túlterjed a háztartási adatkezelésen[21], abban az esetben a cselekményük a GDPR alapján jogszerűtlen lehet, és ezért jelentős mértékű közigazgatási bírsággal sújthatóak[22], illetve ? adott esetben ? a sértettekkel szemben is helyt kell állniuk az adatvédelmi szabályok megsértése miatt[23].

 

dr. Albert Ágota LL.M adatbiztonsági és adatvédelmi szakjogász

 

[1] Nagykommentár a Büntető Törvénykönyvhöz alapján. Wolters Kluwer. https://jogaszvilag.hu/szakma/szemelyes-adattal-visszaeles/

[2] a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, az Európai Parlament és a Tanács 2016. április 27-i (EU) 2016/679 rendelete

[3] az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény

[4] [Infotv. 2. § (2) bekezdés]

[5] a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló, 2016. április 27-i (EU) 2016/680 európai parlamenti és tanácsi irányelv

[6] Infotv. 2. § (3) bekezdés

[7] 4. cikk 1. pont

[8] 3. § 2. pont

[9] az érintett fogalmához lásd GDPR 4. cikk 1. pont és Infotv. 3. § 1. pont

[10] 4. cikk 2. pont

[11] 3. § 10. pont

[12] a GDPR 6. cikk (1) bekezdés és az Infotv. 5. § (1) bekezdés

[13] GDPR 5. cikk (1) bekezdés b) pont és Infotv. 4. §

[14] BH2015. 119.

[15] 1/2012. Büntető jogegységi határozat

[16] ezek definíciójához lásd GDPR 9. cikk (1) bekezdés, 10. cikk és Infotv. 3. § 3. és 4. pont; a kezelési jogalaphoz lásd GDPR 9. cikk (2) bekezdés, 10. cikk és 5. § (2)?(4) bekezdés

[17] Btk. 459. § (1) bekezdés 11. pont

[18] 3/2007. Büntető jogegységi határozat és BH2008. 322.; a BH2005. 338. eseti döntés elavult

[19] Btk. 305. §

[20] BH2013. 146., BH2015. 296.)

[21] GDPR 2. cikk (2) bekezdés c) pont

[22] GDPR 83. cikk

[23] GDPR 82. cikk

A doxxing jelentése napjainkban

A doxxing jelentése ? ahogy a kifejezés elterjedt ? módosult is. A legemlékezetesebb "doxxing" botrányok közül néhányat olyan online szubkultúrák és fandomok hoztak létre, amelyek különös kötelességüknek érezték, hogy megvédjék saját elzárt terüket. Amikor 2012-ben a Gawker riportere, Adrian Chen leleplezte a Violentacrez álnevű Reddit-trollt, a reakciók hevesek voltak. Bár Violentacrez ? akiről kiderült, hogy civilben egy Michael Brutsch nevű texasi számítógépes programozó ? undorító viselkedéséről volt ismert (például a Reddit voyeurista és invazív Creepshots fórumának felügyelete, ezt később be is tiltották), a Chen cikkére adott reakciók megrengették az internet világát, a Reddit-felhasználók pedig magának a Reddit elleni támadásnak ítélték az ügyet és "doxxingot" kiáltottak. A vita tárgya a későbbiekben az volt, hogy egy álneves, jelentős követővel rendelkező személy leleplezése szükségtelen és veszélyes beavatkozás-e az adott személy magánéletébe.

 Híres emberek doxxingja

Az, hogy mi számít doxxingnak, jelenleg is komoly viták tárgyát képezi, így például egy álnéven híres személy leleplezését gyakran tekintik a doxxing egyik formájának. Például a VOX 2016-ban "doxxingnak" nevezte egy regényírónak, Elena Ferrante személyazonosságának kiderítését. A szerzőt leleplező újságíró azzal érvelt, hogy az írónő azon erőfeszítése, hogy a privát szférája megmaradjon, valamint azzal, hogy elismerte, hogy alkalmanként hazudott, "lemondott arról a jogáról, hogy eltűnjön a könyvei mögött, és hagyja, hogy azok éljenek és növekedjenek, miközben szerzőjük ismeretlen marad. Sőt, úgy tűnt, hogy ő és a kiadója táplálta a közvélemény érdeklődését valódi személyazonossága iránt". (1)

Az újságíró azzal is érvelt, hogy a szerző kilétének ismerete további betekintést engedne a regényeibe. A VOX véleménye szerint "[Úgy tűnik,] nem sokat nyertünk azzal, hogy lebontottuk Elena Ferrante privát szféráját - és minden bizonnyal elveszítettük az egyik olyan elemet, amelyet Ferrante alapvetőnek tartott a munkája szempontjából".(2)

 Vajon hol a határ a doxxing és a jogszerű adatközlés között?

A Elon Musk is doxxingot kiáltott, amikor 2022 decemberében kitweetelte, hogy a fiát egy sofőr zaklatta Los Angelesben azt állítva, hogy a magángépének internetes követése alapján sikerült ez neki. Musk kitiltotta a @elonjetet a Twitterről arra hivatkozva, hogy a fiók megsértette a platform anti-doxxing szabályait. Azt írta: "Minden olyan fiókot, amely bárkinek valós idejű helymeghatározó adatait doxolja felfüggesztünk, mivel ez a fizikai biztonság megsértése. Ez magában foglalja a valós idejű helyinformációkat tartalmazó oldalakra mutató linkek közzétételét is". (3)

Sokan vitatták, hogy Musk repülési információi nyilvánosan elérhető információk voltak-e, Musk azonban kijelentette, hogy a repülőgépe nem követhető nem nyilvános adatok felhasználása nélkül. Musk ezt követően számos újságírót felfüggesztett a Twitteren azzal vádolva őket, hogy "pontos, valós idejű tartózkodási helyét, lényegében merényletkoordinátáit" posztolták a Twitter szolgáltatási feltételeinek (nyilvánvaló) megsértésével (doxxinggal). Ezeket a letiltásokat azonban élesen bírálták, mert a kommentelők úgy vélték, hogy olyan újságírókat vett célba, akik a múltban kritikusan nyilatkoztak róla, néhány újságíró pedig azzal érvelt, hogy soha nem osztották meg a Musk gépét nyomon követő weboldalra mutató linket, és "nyilvánosan elérhető, jogszerűen megszerzett adatokból" szerzett információkat osztottak meg. Az újságírók fiókjaikat végül visszaállították.

 Mit tehetünk, ha doxxingoltak minket?

Szakemberek a következőket ajánlják (4):

• doxxing áldozatává válni igen megterhelő, ezért kérjünk támogatást olyan személytől, akiben megbízunk.
• Készítsünk képernyőképeket, beleértve a minket sértő információkat közzétevő oldalak dátumát és URL-címét annak érdekében, hogy bizonyítékokat gyűjtsünk, még akkor is, ha a tartalom olyan, amit megbánt vagy mélységesen felháborít minket. 
• jelentsük a doxxingot a személyes adatainkat közzétevő platform(ok)nak és kérjük, hogy haladéktalanul távolítsák el az általunk kifogásolt tartalmat.
• jelentsük az esetet a bűnüldöző szerveknek, illetve az adatvédelmi hatóságnak.
• ha a pénzügyi adatainkat teszi közzé valaki, tiltassuk le a bank- és hitelkártyainkat és a lehető leggyorsabban tegyünk meg mindent annak érdekében, hogy a pénzünkhöz rajtunk kívül senki se férjen hozzá.
• tartsuk szemmel a pénzügyi tranzakcióinkat (például bankból érkező sms stb.), és azonnal intézkedjünk, ha elfelejtettünk valamit zároltatni-letiltatni.
• változtassuk meg az összes bejelentkezési adatunkat (jelszavainkat), és ahol csak erre lehetőség van aktiváljuk a kétfaktoros hitelesítést.
• állítsunk be extra erős jelszavakat, és használjunk jelszókezelőt.
• a rosszindulatú programok ellen használjunk olyan eszközt, amely alkalmas az olyan, az adatvédelmet és adatbiztonságot sértő rosszindulatú programok, mint a kémprogramok, a stalkerware és a keyloggerek keresésére, amelyek segítségével egy rosszindulatú szereplő ellophatja személyes adatainkat.
• jelentsünk minden zaklatást a hatóságoknak, illetve szükség esetén fontoljuk meg a telefonszámunk/címünk megváltoztatását.

 Hogyan védekezhetünk a doxxing ellen?

Nem feltétlen kell megvárnunk, hogy áldozatok legyünk, egyszerűbb úgy alakítani az online életünket, hogy minél kevesebb esélyünk legyen erre. Például (5):

• legyünk óvatosak az online megosztott információkkal kapcsolatban. Kétszer is gondoljuk meg, mielőtt telefonszámunkat, címünket vagy más személyes adatunkat közzétesszük a közösségi médiában vagy más webhelyeken. Sajnos azonban lehet olyan szakmánk, hogy ez a hatályos jogszabályok miatt nem lehetséges.
• a közösségi médiában (fiókunkban, profilunkban) használjunk megfelelő adatvédelmi beállításokat, és amennyiben erre van mód, tegyük priváttá a profilunkat, azaz csak azok láthassák személyes adatainkat (például felvételeinket, posztjainkat), akiknek ezt megengedjük. Ezen kívül lehetőleg ne adjuk ki meggondolatlanul lakcímünket, munkahelyünket, gépjárművünk rendszámát, kutyánk nevét és más hasonló személyes adatunkat.
• használjunk virtuális magánhálózatot (VPN) akkor, amikor az interneten böngészünk. A VPN titkosítja az internetkapcsolatunkat, így mások számára nehezebbé válik az online tevékenységünk nyomon követése, és potenciálisan személyes információkat is nehezebben találhatnak rólunk.
• használjunk erős, egyedi jelszavakat minden online fiókunkhoz, ez segíthet megelőzni a személyes adataihoz való illetéktelen hozzáférést.
• fontoljuk meg, hogy amennyiben arra van módunk, a valódi nevünk helyett álnevet vagy kreált felhasználónevet használjunk a posztolásainkhoz. Ez szintén megnehezíti, hogy információt találjanak online rólunk.
• és ami a legfontosabb, legyünk mi, és családunk is tisztában a doxxing kockázatával.

 

dr. Albert Ágota LL.M adatbiztonsági és adatvédelmi szakjogász

 

Forrás:

Kaitlyn Tiffany. Doxxing Means Whatever You Want It To. The Atlantic. https://web.archive.org/web/20230108113344/https://www.theatlantic.com/technology/archive/2022/04/doxxing-meaning-libs-of-tiktok/629643/

Mi az a doxxing?

A "doxxing" vagy "doxing" az az, amikor valaki a privát adatainkat rosszindulatú szándékkal, büntetésként vagy bosszúból nyilvánosságra hozza. A közzétett információ lehet a nevünk, lakcímünk, munkahelyünk adatai, otthoni vagy mobil telefonszámunk, tanulmányaink, pénzügyi adataink, felvételeink, bűnügyi adataink, illetve párkapcsolatunkra vonatkozó információk is.

Bár valakinek a személyes adatainak nyilvánosságra hozatala már az internet előtt is létezett, mint rosszindulatú cselekmény, a Merriam-Webster szótár a kifejezés első ismert használatát 2009-re teszi. A kifejezés eredetileg a "docs", azaz a "dokumentumok" rövidítése volt, és a "dropping documents" ("dokumentumok elejtése") kifejezésből fejlődött ki, amely ugyanazt jelentette, mint amit ma "doxxing"-ként értelmezünk.

Az első széles körben ismert példák a doxxingra:

• a 1990-es évek végén a felhasználók a korai Usenet fórumokon a feltételezett neonácik listáit terjesztették. Egy seattle-i bíróság bűnösnek találta egy Usenet hírcsoport üzemeltetőjét privát információk megosztásában.
• szintén az 1990-es évek végén a Nuremberg Files weboldal abortuszt végző személyek lakcímeit tartalmazta és olyan nyelvezettel operált, amely arra utalt, hogy a látogatóknak be kellene cserkészniük és meg kellene ölniük ezeket a személyeket.

A 2010-es években különösen a Gamergate zaklatási kampány kapott nagy nyilvánosságot (a játékosok szisztematikusan zaklatták és fenyegették a játékközösségükben élő feminista nőket, akik közül néhányan újságírók voltak), és tette szélesebb körben elterjedté a "doxxing" kifejezést. A botrányban résztvevők arról váltak ismertté, hogy érzékeny információkat tettek közzé személyes gyűlöletük célpontjairól, néha azzal a szándékkal, hogy valódi fizikai sérülést okozzanak.

Az Anonymous hacker csoport 2011-ben hétezer rendvédelmi tisztviselőt "doxolt", megtorlásul a hacktivista csoport ellen indított nyomozásért, egyben a doxxing kifejezést végleg közismertté téve. Az évek során a hackerkollektíva többek között a KKK-t, a Q-Anon támogatóit és másokat is doxxinggal sújtott.

Mára egyértelművé vált, a digitális korban a doxxing könnyebbé vált, mint valaha is volt. Néhány kattintással bárki kereshet és meg is találhat személyes információkat rólunk az interneten, különösen ha valamilyen okból közérdekből nyilvános az adatunk, például vállalkozók vagyunk vagy ügyvédek, orvosok vagy akár olyan más foglalkozást űzünk, amely foglalkozás esetén törvény kötelezővé teszi bizonyos személyes adataink közzétételét (például állatorvosi asszisztensként dolgozunk stb.). Azonban nemcsak a közérdekből nyilvános adatok lehetnek forrásai a doxxingnak, hiszen sok személyes információ megtalálható rólunk a közösségi média platformokon, fórumokon és más olyan weboldalakon, ahol mi magunk is személyes adatokat osztunk meg magukról.

 

Az átlagemberek doxxingja

A Gamergate előtt a legtöbb embernek nem sok oka volt arra, hogy a hétköznapi adatokat, például életrajzi tényeket fegyverként kezelje. A telefonkönyvben benne volt a lakcímünk, de kit érdekelt? Természetesen volt, aki telefonszám cserére kényszerült azért, mert valaki egy nyilvános illemhely falára kiírta a telefonszámát, de ez még nem jelentette egyben azt is, hogy az információ nagyon nagy nyilvánosság elé került.

Napjainkban, az internet korában azonban amint zaklatás áldozatává válunk, és a lakcímünk felkerül például a Twitterre, "új", számunkra alapjaiban megváltozott világra ébredhetünk. Még ha az otthoni címünk online elérhetővé tétele elsőre ártalmatlannak is tűnhet, ha azt rosszindulatú szereplőkkel osztották meg, az a mi, illetve családunk zaklatásához, fenyegető levelek és graffitik áradatához és még sok máshoz vezethet. Ez egyes esetekben "swattingot" is eredményezhet, azaz olyan cselekedetet, amikor az emberek "tréfás" hívásokat intéznek a bűnüldöző szervekhez, és az otthonunkba csalogatják őket azt állítva, hogy súlyos bűncselekményt követtünk el, vagy követünk el. Az eredmény pedig akár az is lehet, hogy a rendőrök berontanak a házunkba nem tudva, hogy a hívás csak átverés volt.

A doxxing alaposan forgathatja fel az életünket. Az áldozatok néha elrejtőznek, a doxxingot át- és túlélők pedig zaklatással, fizikai erőszakkal fenyegetéssel, szégyenkezéssel, félelemmel, szorongással és depresszióval szembesülhetnek. Sőt, akár még súlyosabb következményei is lehetnek egy-egy ilyen cselekedetnek, például 2017-ben a 28 éves Andrew Finchet véletlenül akkor ölték meg a rendőrök, akik egy swatting miatt behatoltak az otthonába. Ebben az esetben egy gamer adta meg a rendőrségnek egy másik gamer címét, hogy megtréfálja azt, azonban ez a gamer már elköltözött, és ott Finch lakott.

De nemcsak a lakcímünket, hanem bármilyen más személyes adatunkat is lehet doxxingolni, olyanokat, amelyeket mindeddig mások biztonságosan tároltak, vagy azt mindenki érdektelennek tartotta. Lehetünk bosszúpornó áldozatai is (ez a mesterséges intelligencia használatának elterjedésével és a deep fake egyre élethűbbé válásával egyre veszélyesebb lehet ránk nézve), vagy régebbi és kevésbé megfontolt gondolatainkat áshatják ki és mutathatják be ellenünk bizonyítékként. De feltörhetik a közösségi médiás fiókjainkat, a nevünkben összeveszhetnek a barátainkkal, megfenyegethetik a családunkat és a modern kapcsolattartási formákat pokollá változtathatják a számunkra.

 

Hogyan tudhatjuk meg, hogy doxxing áldozata lettünk?

Általában mástól, például minket ismerő személyektől, barátainktól hallhatjuk először, hogy bizonyos érzékeny információink nyilvánosságra kerültek. Azonban az is megtörténhet, hogy nem kívánt telefonhívásokat vagy SMS-eket kapunk olyan idegenektől, akik látták a számunkat az interneten. Számunkra ismeretlenek leveleket is küldhetnek az e-mail fiókunkba, de akár az otthonunkba is. Szélsőséges és ritka esetekben fizikai fenyegetésekkel is szembesülhetünk, pénzügyi adataink napvilágra kerülése esetén pedig pénzügyi bűncselekmények és személyazonosság-lopás célpontjává is válhatunk.  

Ha meg szeretnénk tudni, hogy doxxingolták-e minket, keressünk rá a nevünkre egy keresőmotorban, például a Google-ban, valamint a népszerű közösségi médiaplatformokon, például a Facebookon, az Instagramon és a Twitteren is megnézhetjük, milyen információk jelennek meg rólunk. Amennyiben személyes adatainak széles gyűjteményét találjuk úgy, hogy azokat nem mi hoztuk nyilvánosságra az adott platformon, abban az esetben erősen gyanúzhatunk, hogy doxxing-támadás áldozatává váltunk.

dr. Albert Ágota LL.M adatbiztonsági és adatvédelmi szakjogász

Jelen válogatás eredetileg az Adatvédelmi Szakmai Egyesület oldalán jelent meg.

Tudta-e Ön, hogy a norvég adatvédelmi hatóság mintegy 123.656,- eurós bírságot szabott ki a Norvég Olimpiai és Paralimpiai Bizottságra és a Sportági Szövetségre (NIF) egy adatvédelmi incidens miatt, amelynek során 3,2 millió ember (ebből csaknem félmillió 3-17 éves gyermek) személyes adatai kerültek nyilvánosságra az interneten?

Az adatvédelmi incidens a NIF a korábbi megoldás az Azure-ra váltása után történt és egy olyan szolgáltatás teszteléséhez kapcsolódott, amely a tagok adminisztrációját volt hivatott javítani. A valós adatokon tesztelés előtt nem végeztek megfelelő kockázatértékelést, és azt sem vizsgálták, hogy lehetséges-e anonimizált adatokat, illetve kevesebb adatot használni. A személyes adatok 87 napig voltak kint a neten és nem tudni, hogy valaki ténylegesen kihasználta-e az adatszivárgást.

Az adatvédelmi hatóság megállapította, hogy 

• a tesztelésre megfelelő kockázatértékelés nélkül került sor;
• a NIF nem rendelkezett a személyes adatok megfelelő védelmét szolgáló rutinokkal és biztonsági intézkedésekkel;
• az adatkezelés célja (?új megoldások tesztelése a tagok adminisztrációja számára?) kevésbé beavatkozó módon ? például szintetikus adatok feldolgozásával, illetve lényegesen kevesebb személyes adat feldolgozásával ? is megvalósítható lett volna,
• a NIF-nek korlátoznia kellett volna az érintettek azon kategóriáit is, amelyeken a tesztelést végezték;
• a NIF nem rendelkezett sem megfelelő adatkezelési céllal, sem jogalappal.

Tudta-e Ön, hogy a litván adatvédelmi hatóság mintegy 20 ezer eurós bírságot szabott ki egy sportklubra, mert a klubot látogatók és a munkavállalói jogait megsértve kezelte azok biometrikus adatait?A litván adatvédelmi hatósághoz érkezett panasz szerint a sportklub szolgáltatásainak igénybevételéhez ujjlenyomat-szkennelésre van szükség.

A hatóság megállapította, hogy a sportklub

• olyan hozzájárulásra hivatkozva kezelte a szolgáltatásait igénybe vevő személyek biometrikus adatait, amely nem felelt meg a hozzájárulás követelményeinek, mivel az érintettek hozzájárulása nem volt önkéntes,
• a munkavállalók esetében a hozzájárulásra szintén nem hivatkozhatott (a munkavállaló és a munkáltató kapcsolatában fennálló egyensúlyhiány miatt a hozzájárulás nem tekinthető önkéntesnek);
• nem határozta meg a munkavállalói adatok kezelésének célját és jogalapját, valamint nem bizonyította az adatkezelés szükségességét és arányosságát sem;
• az adatkezelésről nem tájékoztatta megfelelően az érintetteket;
• nem végezte el a biometrikus adatok kezelésével kapcsolatos hatásvizsgálatot, valamint
• nem vezetett nyilvántartást az adatkezelési tevékenységeiről.

Tudta-e Ön, hogy a dán adatvédelmi hatóság megrovásban részesítette a Sports Conection ApS cipőforgalmazót, aki a webshopjával kapcsolatban nem hozott megfelelő biztonsági intézkedéseket az ügyfelek fizetési adataihoz való jogosulatlan hozzáférés megakadályozására?

2021. szeptember 28-án a Sports Connection ApS értesítette a dán adatvédelmi hatóságot a webshopjához való jogosulatlan hozzáférésről. Az adatkezelő hackertámadás áldozatává vált, amelynek során illetéktelen személyek az adatkezelő webshopjába kódot beillesztve jutottak hozzá a vásárlók fizetési adataihoz. Az adatkezelő közölte, hogy a weboldalt az adatvédelmi incidens felfedezése után azonnal leállították és az érintett ügyfeleket még aznap értesítették.

A dán adatvédelmi hatóság megállapította, hogy a Sports Connection ApS

• nem frissítette e-kereskedelmi programját a legfrissebb verzióra a hackertámadást megelőzően, és ez a mulasztás adatvédelmi incidenshez vezetett;
• nem tudta bizonyítani, hogy az e-kereskedelmi programot rendszeresen frissítette a megfelelő biztonsági szint elérése érdekében;
• nem hajtott végre olyan technikai és szervezési intézkedéseket, amelyek az adatkezeléssel járó kockázatoknak megfelelő biztonsági szintet biztosítottak volna.

Tudta-e Ön, hogy a belga adatvédelmi hatóság megrovásban részesített egy fitneszklubot, mert egy fizetési vita keretében megosztotta a klub egyik tagjának személyes adatait egy másik taggal?

Egy fitneszklub tagját (a továbbiakban: ?Panaszos?) ugyanannak a fitneszklubnak egy másik tagja (?harmadik fél?) kereste meg és tájékoztatta, tévedés miatt a Panaszos tagdíját fizette ki, valamint e fizetési vita kapcsán a fitneszklub megosztotta vele a Panaszos személyes adatait (név, mobilszám, e-mail címe, születési dátuma, látogatásai időpontok).

A belga adatvédelmi hatóság megállapította, hogy:

• a fitneszklub a Panaszos személyes adatait az adatkezelésre vonatkozó elvek megsértésével osztotta meg harmadik féllel;
• a fizetési probléma megoldása érdekében a Panaszos adatainak megosztása nem volt összeegyeztethető és szükséges a klub és a Panaszos közötti szerződés teljesítésének céljával;
• nem volt szükséges, hogy a klub felfedje a Panaszos személyazonosságát és egyéb adatait a harmadik fél előtt, aki véletlenül a panaszos tagdíját fizette ki;
• a Panaszos nem számíthatott arra, hogy személyes adatait, beleértve a fitneszklubokban tett legutóbbi látogatásaira vonatkozó információkat is, egy fizetési probléma megoldása érdekében megosztják egy harmadik féllel;
• a klub nem tudta megfelelően egyensúlyba hozni a Panaszos alapvető jogait a harmadik fél vagy a klub érdekeivel, ezért nem hivatkozhatott jogos érdekre érvényes jogalapként.

.

Miért fontosak az alapelvek?

Az alapelvek segítenek abban, hogy jobban megértsük, miről is szól ez az egész adatvédelmi szabályrendszer, illetve ha bizonyos előírások értelmezésével gondunk van, akkor az alapelvek azok, amelyekhez kályhaként visszatérhetünk. Azt sem árt tudnunk, hogy már magáért az alapelvek megsértéséért is lehet büntetést kapni.

Melyek ezek az alapelvek?

1.  Jogszerűség, tisztességes eljárás és átláthatóság elve ? azaz a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végeznünk. Ez azt jelenti, hogy

• egyrészt a személyes adatokat mindig úgy kell kezelnünk, hogy megfeleljünk a vonatkozó jogszabály előírásának ? például, ha a társasházi törvény előírja, az ingatlan tulajdonosoknak milyen adatai kezelhetők, akkor ezen jogszabály rendelkezései alapján csakis ezeket az adatok kezelheti a közös képviselő. Ha olyan adatot akar kezelni, amelyre nem ad felhatalmazást a társasházi törvény, akkor vagy másik jogszabályi helyet kell találni, olyat, amelyben szerepel az adott adat kötelező kezelése, vagy másik jogalapra, például hozzájárulásra vagy jogos érdekre kell hivatkoznia.
• másrészt a kezelés közben tisztességesen kell eljárnunk ? azaz például az ingatlan tulajdonosok és bérlők adatait nem adjuk ki biztosítás, utazás vagy bármi más tukmálásával foglalkozó ügynöknek még akkor sem, ha úgy gondoljuk, nagyon nagy szükségük van a tulajdonosoknak biztosításra, utazásra vagy bármi másra.

A tisztességes és átlátható adatkezelés megkívánja, hogy az adatokat úgy kezeljük, hogy azok nyomon következőek legyenek és az adatkezelésünkben érintett személy nem jut arra a sorsra, hogy Trinidad-Tobagóba bejegyzett online kaszinóból kap naponta több visszautasíthatatlannak tűnő ajánlatot a mi slendriánságunk miatt. A nyomon követhetőség követelményét attól a pillanattól kell tudnunk teljesítenünk, ahogy az adott adat bekerült az adatkezelésünkbe (például az ingatlantulajdonos közölte a közös képviselővel, mi az e-mail címe) és mindaddig fennáll ez a kötelezettségünk, ameddig le nem selejtezzük (meg nem semmisítjük) ezt az adatot és nemcsak eltüntettük a rendszerünkből, de erről van bizonyítékunk is (például jegyzőkönyv).

Mit jelent a jogszerűség? A GDPR alapján a jogszerűséghez a következők valamelyike szükséges:

• az érintett hozzájárulása,
• a szerződés szükségessége,
• jogszabályi kötelezettség,
• az érintett vagy más személy létfontosságú érdekei védelmének szükségessége,
• közérdekből elvégzendő feladat végrehajtásának szükségessége,
• az adatkezelő vagy valamely harmadik fél jogos érdekének szükségessége, amennyiben az érintett érdekei és jogai nem élveznek elsőbbséget.

Az egyik leggyakoribb büntetési ok a hatóságok gyakorlatában az érintett hozzájárulásának hiánya olyan adatkezelések esetében, melyek során megkövetelt lenne az, különösen igaz ez a mobil applikációkra és az azok által gyűjtött adatokra.

Mit jelent a tisztesség? Azt, hogy az adatkezelésünkben érintetteket tájékoztatnunk kell az adatkezeléssel kapcsolatos kockázatokról annak biztosítása érdekében, hogy az adatkezelésünknek ne legyenek előre nem látható negatív hatásai rájuk vonatkozóan (például ne diszkrimináljunk, a hozzájárulás ténylegesen önkéntes legyen stb.). Az adatvédelmi hatóságunk ezt a követelményt az alábbiak szerint fogalmazta meg: ?Az adatkezelés tisztességes volta az adatkezelést meghatározó elv, az érintett magánszférájának, emberi méltóságának tiszteletben tartását jelentő követelmény. A tisztességes adatkezelés elve értelmében az érintett nem válhat kiszolgáltatottá az adatkezelővel vagy más személlyel szemben.? (NAIH-1743/2021)

Mit jelent az átláthatóság? Azt, hogy

• az adatkezelést megelőzően tájékoztatnunk kell az adatkezelésünkben érintetteteket többek között az adatkezelés céljáról, az adatkezelő kilétéről és címéről.
• az adatkezelés során be kell tartanunk a vonatkozó jogszabályokat és tájékoztatnunk is kell az érintetteket arról, mi, hogyan és miért történik.
• az adatkezelési műveletekre vonatkozó tájékoztatásunkat világosan és közérthetően kell megfogalmaznunk annak érdekében, hogy az érintettek könnyen megérthessék a szabályokat, kockázatokat, biztosítékokat és az érintetti jogaikat.
• az érintetteknek az adatkezelés helyén hozzá kell tudni férniük az adataikhoz.

A hatóságok előszeretettel bogarásszák át az adatkezelési tájékoztatókat, vajon hogyan, mi módon kezelik az adatkezelők az adatokat és meglehetősen sűrűn jutnak arra a következtetésre, hogy vagy nincs is adatkezelési tájékoztató, vagy ha van, annak tartalma messze nem elégíti ki a követelményeket.

• Célhoz kötöttség elve: a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet és nem kezelhetők ezekkel a célokkal össze nem egyeztethető módon.

Az adatokat mindig csak meghatározott célból gyűjthetjük ? például, ha egy iskola tanulmányi versenyre jelentkezés céljából kezeli a diákok adatait, akkor a tanulmányi versenyen induláshoz kezeli, ha osztálykiránduláson szállás foglalása céljából, akkor abból, de mindig meg kell tudnunk mondanunk, mi a konkrét adatkezelési célink. És nemcsak meg kell tudnunk mondanunk, hogy mi a célunk, az érintettel közölt cél nem csereberélhető tetszés szerint ? a versenyre jelentkezéshez gyűjtött adatokat nem használhatja fel az iskola szállásfoglalási célra és fordítva.

Az, hogy egy cégtől vásároltunk például egy fejhallgatót még nem jogosítja fel ezt a céget, hogy megsorozzon minket hírlevél- és direkt marketing üzenet áradattal és arra sem hívhatja fel a figyelmünket, milyen számunkra egész biztosan szuper érdekes koncert lesz lakóhelyünktől járóföldnyi távolságra.

• Adattakarékosság elve: a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek és a szükségesre kell korlátozódniuk.

Az alapelv lényege, hogy mindig csak annyi adatot gyűjtsünk, amennyire feltétlen szükségünk van. Amennyiben például jogszabály mondja meg, milyen adatokat kell elkérnünk, akkor szigorúan ragaszkodnunk kell ezekhez az adatokhoz és ha például nem kéri a lakcímkártya számát akkor mi sem kérhetjük el. A hozzájárulásos adatkezelésnél nehezebb dolgunk van, az ilyen esetekben nekünk kell eldöntenünk, melyek a feltétlen szükséges adatok ahhoz, amit akarunk. Ha például hírlevél szolgáltatást üzemeltetünk, akkor mindenképpen meg kell győződnünk arról, hogy a jelentkező elérte azt a korhatárt, ami felett már nem kell szülői beleegyezés ahhoz, hogy jogszerű legyen az adatainak a kezelése, így a születési évszám elkérése indokolható lehet. Azt azonban már nehezen tudnánk elfogadtatni a hatósággal egy vizsgálat során, hogy egy hírlevélre feliratkozáshoz miért is van szükségünk az érintett anyja vagy a házikedvence nevére. Néha nehéz önmérsékletet gyakorolnunk az általunk begyűjteni kívánt adatmennyiség tekintetében, azonban a GDPR (vagy még inkább a hatóság) rákényszerít minket az igényeik korlátok közé szorítására.

• Pontosság elve: a személyes adatoknak pontosnak és szükség esetén naprakésznek kell lenniük és minden észszerű intézkedést meg kell tennünk annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatok haladéktalanul törölve vagy helyesbítve legyenek.

Ha adatokat gyűjtünk, akkor azok legyenek pontosak, különben nem biztos, hogy a célnak megfelelően használni is tudjuk azokat. Ha szól a szerződéses partnerünk, megváltozott a számlázási (szállítási) címe, akkor nekünk is módosítani kell az adatainkat, különben nem tudunk szerződésszerűen számlázni (teljesíteni), ha pedig eleve elírt adat került bele a szerződésbe, amint tudomást szerzünk róla, szintén javítanunk kell.

Jó, ha tisztában vagyunk azzal, még a hibás, helytelen személyes adat is személyes adatnak számít a GDPR alapján ? még akkor is, ha az elírás azt eredményezi, hogy a megrendelt hűtő rossz címre fog megérkezni. Ennél azonban sokkal kellemetlenebb az, amikor valaki reggeli közben a saját boncolási jelentését olvassa az EESZT-ben, megint csak nem túl pontosan kezelt adatok miatt.

• Korlátozott tárolhatóság elve: a személyes adatok tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig tegye lehetővé.

Az adatok egy tetemes része nem örökgaranciás, éppen ezért kell időről időre selejteznünk (adatot megsemmisítenünk).

Nem azért kell kidobnunk a 12 évvel ezelőtt megszűnt irodatakarítási szerződést, mert nem férünk a szekrényben, hanem azért, mert az adatkezelés célja réges-régen megszűnt: elévült már minden követelés, a peresítés lehetősége sem áll már fent, sőt már a szerződés alapján készült teljesítésigazolásokat meg számlákat sem vizsgálhatja az adóhivatal.

• Integritás és bizalmas jelleg elve: a személyes adatok kezelését oly módon kell végeznünk, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve.

A GDPR nemcsak a jogszerű adatkezelést követeli meg, hanem az adatok biztonságát is ? azaz nemcsak arra kell ügyelnünk, hogy jogszerű célra hivatkozva, időben szavatos és helyes adatokat tartsunk tisztességesen és átláthatóan nyilván, hanem arra is, hogy ezek az adatok mindaddig biztonságban legyenek, ameddig nálunk vannak. Ha pedig kiderül, hogy erre képtelenek voltunk, akkor bizony előfordulhat, hogy önfeljelentés keretében az adatainkat ért adatvédelmi incidenst be kell jelentenünk a Hatóságnak.

A védelem módját és mértékét mindig nekünk kell meghatároznunk a szervezetünk sajátosságait figyelembe véve ? egy kétfős irodától nem várható el, hogy Fort Knox szintű védelmet biztosítson, ám az adatkezelőnek kutya kötelessége, hogy minimum nehezen megfejthető jelszóval védje az adatbázisát, ne hagyja szanaszét a laptopját, gyakran végezzen biztonsági mentést és az iratokat se vigye ki a huzat egyetlen nyílászárón sem.

• Elszámoltathatóság elve: az adatkezelőként felelősek vagyunk az 1-7 pontoknak való megfelelésért, továbbá képesnek kell lennünk e megfelelés igazolására is.

Mit tehetünk annak érdekében, hogy megfeleljünk az elszámoltathatóság elvének? Például

• nyilvántartásokat vezetünk. Ezek között lehet kötelező (például az adatvédelmi incidensek nyilvántartása) és van önként, saját belátásunk alapján felállított is (például az adattovábbítások nyilvántartása).
• még akkor is nevezhetünk ki adatvédelmi tisztviselőt, ha az nem kötelező, és nemcsak kinevezzük, de kikérjük és meg is fogadjuk a tanácsait.
• adatvédelmi hatásvizsgálatokat végzünk és kockázatkezelési eljárásokat dolgozunk ki olyan adatkezelések tekintetében, amelyek valószínűleg magas kockázatot jelentenek a természetes személyek jogaira és szabadságaira nézve
• biztosítjuk a beépített és alapértelmezett adatvédelmet
• adatvédelmi oktatásokat szervezünk
• belső szabályzatok hozunk létre, vezetünk be és tartunk/tartatunk be valamint a nevünkben adatokat kezelőktől (adatfeldolgozóktól és azok al-adatfeldolgozóitól) is megköveteljük a GDPR alapelveinek megfelelést.
• megfelelő szerződéskötési és adattovábbítási gyakorlatot alakítunk ki az adatmegosztások során
• adatvédelmi incidensek esetére megfelelő incidenskezelési gyakorlatot rendszeresítünk.

dr. Albert Ágota adatbiztonsági és adatvédelmi szakjogász, DPO

https://www.aszake.hu/miert-fontosak-a-gdpr-alapelvei/

Jelen poszt másodközlés, az eredeti itt jelent meg: https://www.aszake.hu/milyen-a-megbizhato-mesterseges-intelligencia-2-resz/

Kétrészes posztunk témája a megbízható mesterséges intelligencia követelményei, az Európai Unió mesterséges intelligenciával kapcsolatos álláspontja (1. rész), illetve a mesterséges intelligenciával kapcsolatos olyan problémák, mint például a torzítások típusai, a diszkrimináció és a tesztelés elmulasztása (2. rész).

A gépi tanulás alapú mesterséges intelligencia problémái (torzítások, diszkrimináció, teszteléssel kapcsolatos hiányosságok)

Napjainkban a mesterséges intelligenciát alkalmazó rendszerek már számos területen elterjedtek, köztük olyanokban is, amelyek rendkívül érzékenyek és amelyek fontos, akár életeket is megváltoztató döntések meghozatalára is használhatók. Éppen ezért nagyon fontos az, hogy az MI-rendszerek megbízhatóak, a segítségükkel hozott döntések pedig jogszerűek, tisztességesek, és átláthatóak legyenek,

valamint biztosított legyen, hogy ne adjanak alkalmat diszkriminációra, illetve igazságtalanságra. Ennek érdekében tisztában kell lennünk azzal, hogy milyen hibákkal szembesülhetünk, illetve mindent el kell követnünk annak érdekében, hogy elkerüljük ezeket a hibákat.

?Az elmúlt években az algoritmikus döntéshozatal az amerikai gazdaság néhány legfontosabb területén elfogult, diszkriminatív és más módon problémás eredményeket hozott. (?) Ezeket a károkat gyakran a történelmileg hátrányos helyzetű népességcsoportok, különösen a fekete amerikaiak és más színes bőrű közösségek érzik a legélesebben. És bár a (?) leírt károk közül sok nem teljesen újszerű, a mesterséges intelligencia és az algoritmusok különösen veszélyesek, mert egyszerre képesek elfedni és felerősíteni a problémákat ? miközben azt a hamis benyomást keltik, hogy ezek a problémák nem léteznek vagy nem is létezhetnek.?[1]

A gépi tanulás esetében a hibákat két lehetséges forrásra szokták visszavezetni, egyrészt az adatokban rejlő torzításokra, másrészt az algoritmusból eredő hibákra.

Hogyan jelennek meg ezek a hibák a gyakorlatban?

Ha például az adott rendszer képzésére használt adatok torzítást tartalmaznak, az ezen adatokkal kiképzett algoritmusok megtanulják (átveszik) ezeket a torzulásokat és az eredményeik ezeket tükrözni fogják. Például amenyiben az adatok diszkriminatívak voltak, az algoritmus döntései is azok lesznek. Azonban az algoritmusok nemcsak tükrözik ezeket a torzításokat, hanem akár fel is erősíthetik és állandósíthatják is ezeket. Az is előfordulhat, hogy bár az adatok nem torzultak, maguk az algoritmusok ? bizonyos tervezési-fejlesztési döntések miatt ? torzított viselkedést mutathatnak. Az elfogult, diszkriminatív algoritmusok által előállított eredmények (döntések) bekerülhetnek a valós rendszerekbe, és befolyásolhatják a felhasználók döntéseit, ez pedig még elfogultabb adatokat eredményezhet a jövőbeli algoritmusok oktatásához.

Milyen típusai lehetnek a torzításoknak?^[2]

1. Hibás bemeneti adatok befolyása az algoritmusra

A képzési adatokban rejlő torzítások torz algoritmikus eredményeket eredményezhetnek. Egy gépi tanuló algoritmus értéke összefügg a kifejlesztéséhez felhasznált adatok minőségével, és a hibás bemenetek alapvetően problémás eredményeket eredményezhetnek (?garbage in, garbage out?).

A gépi tanulási algoritmus fejlesztéséhez használt adatok torzak lehetnek például azért, mert az egyes adatpontok problémás emberi torzításokat tükröznek, vagy mert az általános adathalmaz nem megfelelően reprezentatív. A torz képzési adatok gyakran az előítéletek vagy egyenlőtlenségek történelmi és tartós mintáit tükrözik, és amennyiben ez történik, akkor ezek a hibás bemeneti adatok olyan elfogult algoritmusokat hozhatnak létre, amelyek tovább súlyosbítják az igazságtalanságot.

1.1. A mérési vagy adatszolgáltatási torzítás abból ered, ahogyan bizonyos jellemzőket kiválasztunk, felhasználunk és mérünk ? például különböző csoportokat különböző mértékben vagy módszerrel mérünk, ez torzíthatja a mérési adatokat.

1.2. Kihagyott változóból eredő torzítás akkor fordul elő, amikor egy vagy több fontos változó kimarad a modellből.

1.3. Reprezentációs torzítás abból adódik, ahogy az adatgyűjtés során mintát veszünk a sokaságból; a nem reprezentatív mintákból hiányzik a sokaság sokszínűsége, hiányzó alcsoportok és egyéb anomáliák.

1.4. Aggregációs torzítás akkor történik, amikor a teljes sokaság megfigyeléséből téves következtetéseket vonunk le az egyénekre vonatkozóan. Ilyen fordulhat elő akkor, amikor a modell figyelmen kívül hagyja az egyéni különbségeket, és ezért valószínűleg nem lesz megfelelő a népesség valamennyi etnikai és nemi csoportja számára.

(a) A Simpson-paradoxon az aggregációs torzítás egy típusa, amely heterogén adatok elemzése során merül fel. A paradoxon akkor merül fel, amikor az aggregált adatokban megfigyelt összefüggés eltűnik vagy megfordul, amikor ugyanazokat az adatokat a mögöttes alcsoportokra bontjuk.

(b) A módosítható területi egység probléma egy olyan statisztikai torzítás a térbeli elemzésben, amely akkor merül fel, amikor az adatokat a térbeli aggregáció különböző szintjein modellezzük. Ez a torzítás azt eredményezi, hogy az adatok különböző térbeli léptékeken történő aggregálásakor különböző tendenciák rajzolódnak ki.

1.5. A mintavételi torzítás a reprezentációs torzításhoz hasonló, és az alcsoportok nem véletlenszerű mintavételezése miatt keletkezik. A mintavételi torzítás következményeként előfordulhat, hogy az egy sokaság alapján becsült trendek nem általánosíthatók egy új sokaságból gyűjtött adatokra.

1.6. Longitudinális adatok torzítása. Az időbeli adatokat elemző kutatóknak longitudinális elemzést kell alkalmazniuk, hogy a kohortokat időben nyomon követhessék, hogy megismerjék viselkedésüket. Ehelyett az időbeli adatokat gyakran keresztmetszeti elemzéssel modellezik, amely különböző kohortokat egyesít egyetlen időpontban. A heterogén kohortok torzíthatják a keresztmetszeti elemzést, ez pedig a longitudinális elemzéstől eltérő következtetésekhez vezethet.

1.7. Kapcsolódási torzítás akkor keletkezik, amikor a felhasználói kapcsolatokból, tevékenységekből vagy interakciókból nyert hálózati attribútumok eltérnek egymástól, és félrevezetőek a felhasználók valódi viselkedésével kapcsolatban.

Összességében megállapítható, hogy a mesterséges intelligencia rendszerekben ? különösen a mélytanulási rendszerek esetében ? gyakran előfordul a torzítás

• a változatos és jó minőségű képzési és tesztelési adatok hiánya miatt, például ha olyan adathalmazokat használnak, amelyek nem eléggé reprezentatívak a veszélyeztetett csoportok szempontjából, vagy ha maguk a feladatmeghatározás vagy a követelményrendszerek elfogultak,
• a fejlesztőcsapatok esetleges sokszínűségének hiánya miatt, megismételve a belső elfogultságokat,
• a korlátozott mennyiségű képzési és tesztelési adatok miatt, vagy
• ha egy elfogult MI-fejlesztő veszélyeztette az algoritmust.

Az Európai Parlament AIDA-jelentése[3] hangsúlyozza, hogy a társadalmunkban jelen lévő strukturális előítéleteket nem szabad megismételnünk vagy akár növelnünk az alacsony minőségű adatkészletek révén; mivel az algoritmusok megtanulják, hogy olyan diszkriminatívak legyenek, mint az adatok, amelyekkel dolgoznak, és az alacsony minőségű képzési adatok vagy a társadalomban megfigyelhető előítéletek és megkülönböztetés következtében olyan döntéseket javasolhatnak, amelyek eredendően diszkriminatívak, ami súlyosbítja a társadalmon belüli megkülönböztetést.

Nem mindig lehetséges a mesterséges intelligencia-algoritmusokat teljes mértékben ?torzításmentessé? tenni, mivel a hibamentes adatok ideális célját nagyon nehéz vagy szinte lehetetlen elérni, illetve még egy tesztelt mesterséges intelligencia-rendszer is elkerülhetetlenül találkozik olyan valós helyzetekkel, amelyek torzított eredményeket produkálhatnak, ha olyan környezetben alkalmazzák, amely eltér a képzési és tesztelési adatok összetételétől. [4]

2. Az algoritmus befolyása a felhasználóra

Az algoritmusok bármilyen torzítása torzíthatja a felhasználói viselkedést.

2.1. Algoritmikus torzításról akkor beszélünk, ha a torzítás nincs jelen a bemeneti adatokban, azt pusztán az algoritmus adja hozzá. Az algoritmikus tervezési döntések, például bizonyos optimalizálási függvények használata, regularizációk, a regressziós modelleknek az adatok egészére vagy alcsoportok figyelembevételével kapcsolatos döntések, valamint a statisztikailag torzított becslések mind hozzájárulhatnak az algoritmikus döntések torzításához, ami torzíthatja az algoritmusok eredményét.

Ebben az esetben a hiba az adatok olyan algoritmusokba történő betáplálásával kapcsolatos, amelyek pontatlan vagy félrevezető következtetéseket generálnak (?data in, garbage out?). Az ilyen hiba gyakran előfordul például az érzelemfelismerésre kifejlesztett rendszerek esetében.

2.2. Felhasználói interakciós torzítás a torzítás egy olyan típusa, amely nemcsak a weben figyelhető meg, hanem két forrásból ? a felhasználói felületről és magán a felhasználón keresztül is ? kiváltható azáltal, hogy a felhasználó saját maga által választott elfogult viselkedését és interakcióját erőlteti. A torzítás ezen típusát más típusok és altípusok, például a prezentációs és rangsorolási elfogultságok is befolyásolhatják.

(a) Prezentációs torzítás az információ prezentálásának módjából adódik. A weben például a felhasználók csak arra a tartalomra kattinthatnak, amit látnak, minden másra nem, miközben előfordulhat, hogy a felhasználó nem látja az összes információt a weben.

(b) Rangsorolási torzítás abból adódik, hogy lehet olyan elképzelés, miszerint a legjobb helyre rangsorolt eredmények a legrelevánsabbak és legfontosabbak. Ez a torzítás a keresőmotorokat és a közösségi alkalmazásokat érinti.

2.3. Népszerűségi torzítás. A népszerűbb elemek általában jobban szem előtt vannak. A népszerűségi mérőszámok azonban ki vannak téve a manipulációnak például hamis véleményeknek vagy közösségi botoknak köszönhetően. Ez a típusú torzítás a keresőmotorokban, illetve az ajánlórendszerekben figyelhető meg, amelyek a népszerűbb elemeket jobban bemutatják a közönségnek ? ez a bemutatás azonban nem feltétlenül a jó minőséget tükrözi, hanem más torzító tényezők miatt is előfordulhat.

2.4. Az emergens torzítás a használat és a valódi felhasználókkal való interakció eredményeként jön létre. Ez a torzítás a lakosság, a kulturális értékek vagy a társadalmi ismeretek változásának eredményeként keletkezik, általában a tervezés befejezését követően.

2.5. Az értékelési torzítás a modellértékelés során történhet és ide tartozik a nem megfelelő és aránytalan referenciaértékek használatát az alkalmazások értékeléséhez.

2.6. Automatizálási torzítás. A mesterséges intelligencia képességei biztonsági kockázatokat is jelenthetnek, mivel olyannyira megbízhatunk a mesterséges intelligenciában, hogy jobban bízunk benne, mint saját ítélőképességünkben. Előfordulhat, hogy a mesterséges intelligencia autonómiájának szintjét az eredetileg tervezett támogató szerepkörön túlra emeljük, és ezáltal elszalasztjuk a lehetőséget, hogy tapasztalatot szerezzünk és fejlesszük a mesterséges intelligencia rendszerekkel kapcsolatos készségeinket és ismereteinket. Az ilyen automatizálási torzítások leküzdése érdekében a magas kockázatú mesterséges intelligencia rendszerekben a tervezés általi biztonságra és a megfelelő képzésen alapuló, értelmes emberi felügyeletre, valamint a megfelelő biztonsági és adatvédelmi biztosítékokra van szükségünk.[5]

3. A felhasználó befolyása az algoritmusra

Az ML-modellek képzéséhez használt számos adatot a felhasználók generálnak, és a felhasználókban rejlő esetleges torzítások tükröződhetnek az általuk generált adatokban. Továbbá, ha a felhasználói viselkedést algoritmus befolyásolja/modulálja, az algoritmusban jelen lévő bármilyen torzítás torzítást vihet be az adatgenerálási folyamatba.

3.1. A historikus torzítás a világban már meglévő torzítás, illetve társadalmi-technikai problémák, amelyek még tökéletes mintavétel és funkcióválasztás esetén is beszivároghatnak az adatgenerálási folyamatból.

3.2. A populációs (a sokaság) torzítás akkor merül fel, amikor a platform felhasználói populációjában a statisztikai adatok, a demográfiai adatok, a képviselők és a felhasználói jellemzők eltérnek az eredeti célpopulációtól. A populációs torzítás nem reprezentatív adatokat hoz létre. Az ilyen típusú torzításra példa lehet a különböző közösségi platformok eltérő felhasználói demográfiai jellemzői, például az, hogy a nők nagyobb valószínűséggel használják a Pinterestet, a Facebookot, az Instagramot, míg a férfiak aktívabbak az olyan online fórumokon, mint a Reddit vagy a Twitter.

3.3. Az önválasztási torzítás a szelekciós vagy mintavételi torzítás egyik altípusa, amelyben a kutatás alanyai önmagukat választják ki. Az ilyen típusú torzításra példa lehet egy politikai jelölt iránti lelkesedést mérő közvélemény-kutatás, ahol a leglelkesebb támogatók nagyobb valószínűséggel töltik ki a felmérést.

3.4. A társadalmi (szociális) torzítás akkor következik be, amikor mások cselekedetei befolyásolják az ítéletünket. Az ilyen típusú elfogultságra példa lehet az, amikor egy elemet alacsony pontszámmal akarunk értékelni vagy véleményezni, de más magas értékelések hatására megváltoztatjuk a pontozásunkat azt gondolván, hogy talán túl szigorúak vagyunk.

3.5. A viselkedési torzítás a különböző platformokon, kontextusokban vagy különböző adathalmazokban eltérő felhasználói viselkedésből ered; például a platformok közötti emoji-reprezentációk közötti különbségek hogyan eredményezhetnek eltérő reakciókat és viselkedést az emberek részéről, és néha még kommunikációs hibákhoz is vezethetnek.

3.6. Az időbeli torzítás a populációk és viselkedések időbeli különbségeiből adódik. Erre példa a Twitteren figyelhető meg, ahol az emberek egy adott témáról beszélgetve egy bizonyos ponton elkezdenek egy hashtaget használni, hogy megragadják a figyelmet, majd a hashtag használata nélkül folytatják a vitát az eseményről.

3.7. A tartalom előállítási torzítás a felhasználók által generált tartalmak strukturális, lexikai, szemantikai és szintaktikai különbségeiből adódik. Az ilyen típusú torzításra példa az, amikor a különböző nemű és korú csoportok nyelvhasználatának különbségei kerülnek megvitatásra.

Mikor beszélünk diszkriminációról az MI-rendszerek esetében?

A torzításokhoz hasonlóan a diszkrimináció is okozhat méltánytalanságot. Ebben az esetben a megkülönböztetés az emberi előítéleteknek és az érzékeny tulajdonságokon alapuló sztereotipizálásnak köszönhető, ami történhet szándékosan vagy akaratlanul, míg a torzítások az adatgyűjtésnek, a mintavételnek és a mérésnek köszönhetőek.

1. A megmagyarázható diszkrimináció olyan diszkrimináció, amely során a különböző csoportok közötti bánásmódbeli és eredménybeli különbségek igazolhatóak és magyarázhatóak bizonyos tulajdonságok révén. Ekkor előfordulhat, hogy azok a módszerek, amelyek nem veszik figyelembe a megkülönböztetés megmagyarázható részét, nemkívánatos eredményekhez vezethetnek, így bekövetkezhet a fordított megkülönböztetést, amely ugyanolyan káros és nemkívánatos.

2. A megmagyarázhatatlan diszkrimináció esetében egy csoporttal szembeni megkülönböztetés indokolatlan, és ezért jogellenesnek tekinthető. Az ilyen esetekre vannak olyan előfeldolgozási technikák, amelyek úgy változtatják meg a képzési adatokat, hogy azok ne tartalmazzanak megmagyarázhatatlan diszkriminációt.

A megmagyarázhatatlan megkülönböztetés származhat közvetlen, illetve közvetett megkülönböztetésből.

(a) Közvetlen diszkrimináció akkor történik, amikor az egyének védett tulajdonságai kifejezetten nem kedvező eredményeket eredményeznek velük szemben. Ezek jellemzően olyan, a törvény által meghatározott tulajdonságok, amelyek alapján jogellenes a megkülönböztetés.

(b) A közvetett megkülönböztetés során az egyénekkel látszólag semlegesnek tűnő és nem védett tulajdonságok alapján bánnak; a védett csoportok vagy egyének azonban a védett tulajdonságaikból eredő implicit hatások következtében mégis igazságtalan bánásmódban részesülnek (pl. egy személy lakóhelyi irányítószámát felhasználhatják olyan döntéshozatali folyamatokban, mint a hitelkérelmek).

Amikor az algoritmikus rendszerek helyettesítő (proxy) diszkriminációt alkalmaznak, egy vagy több, látszólag semleges változót használnak egy jogilag védett tulajdonság helyettesítésére/jelzésére, ami gyakran a védett osztályok egyenlőtlen bánásmódját vagy egyenlőtlen hatását eredményezi bizonyos gazdasági, társadalmi és állampolgári lehetőségek tekintetében. Ezek az algoritmusok látszólag semleges jellemzőket azonosítanak, hogy olyan csoportokat hozzanak létre, amelyek szorosan tükröznek egy védett osztályt, és ezeket a ?helyetteseket?/?jelzőket? (proxykat) használják fel a befogadásra vagy kizárásra.

Mi lehet a diszkrimináció forrása?

1. A rendszerszintű diszkrimináció olyan politikákra, szokásokra vagy viselkedésre utal, amelyek egy szervezet kultúrájának vagy struktúrájának részét képezik, és amelyek állandósíthatják a lakosság bizonyos alcsoportjainak diszkriminációját.

2. A statisztikai diszkrimináció olyan jelenség, amikor a döntéshozók csoportstatisztikák átlagát használják az adott csoporthoz tartozó egyén megítélésére. Ez általában akkor fordul elő, amikor a döntéshozók (pl. a munkáltatók vagy a bűnüldöző szervek) az egyén nyilvánvaló, felismerhető jellemzőit használják fel akár rejtett, akár nehezebben meghatározható jellemzők helyettesítésére, amelyek valójában relevánsak lehetnek az eredmény szempontjából.

A mesterséges intelligencia rendszerekben az előítéletek csökkentésének egyik leghatékonyabb módja annak biztosítása, hogy ? az uniós jog által lehetséges mértékben ? a lehető legtöbb nem személyes adat álljon rendelkezésre a képzés és a gépi tanulás céljaira.[6]

Milyen problémák fakadhatnak a tesztelés elmulasztásából?

Még ha egy algoritmust gondosan és jó szándékkal terveztek is, akkor is hozhat torz vagy káros, nem várt eredményeket. Az algoritmusokat gyakran alkalmazzák anélkül, hogy olyan megfelelő tesztelésre kerülne sor, amely feltárhatná ezeket a nemkívánatos eredményeket, mielőtt azok a való világban kárt okoznának az embereknek. Az Európai Unió Alapjogi Ügynöksége példálózó jelleggel ad javaslatot a teszteléssel kapcsolatban:

?(?) tesztelhetnék a megkülönböztetést. Ez alapulhat a mindennapi életben az elfogultság tesztelésére használt bevált módszertanokhoz hasonló módszereken, például az álláspályázatokkal összefüggésben használt módszeren, amikor a pályázó nevét kicserélik azért, hogy (közvetetten) jelezzék az etnikai származását. Az MI-alkalmazásokkal kapcsolatban ezek a tesztek magukban foglalhatnák csak a védett tulajdonságok tekintetében különböző hamis profilok online eszközökön való lehetséges létrehozását. Így az eredményt értékelhetik a lehetséges megkülönböztetés szempontjából. A kutatást a védett csoportokkal kapcsolatos adatkészletek közötti különbségek felderítését célzó magas szintű statisztikai elemzések is elősegíthetnék, amelyek alapul szolgálhatnak a lehetséges megkülönböztetés felderítésére.?[7]

Nem sokat ér azonban olyan tesztelés, amely során tesztadatként a tanuló adatokat használják például azért, mert kevés adat áll rendelkezésre.

Az Európai Unió Alapjogi Ügynöksége kihangsúlyozza még a hatásvizsgálat fontosságát is, különös tekintettel a Chartában rögzített alapjogokra. Slaughter (USA) az átláthatóság szerepét emeli ki az algoritmusokkal kapcsolatban:

?Majdnem minden problémás példában nem világos, hogy pontosan milyen inputok és döntések vezettek az elfogult vagy más módon káros eredményhez. A szabadalmaztatott algoritmikus modellek gyakran titokzatosságba burkolóznak és korlátozott emberi közreműködéssel működnek, és a ?fekete doboz? átláthatatlansága miatti frusztráció a fogyasztókban erőtlenséget és bizalmatlanságot kelthet. Ugyanakkor a döntéseket hozó semleges technológia patinája azt az érzést kelti, hogy a rossz algoritmusok alkalmazói vagy fejlesztői nem lehetnek felelősek az eredményekért. A fekete doboz homályosságának kombinációja a bonyolult és látszólag semleges technológia széles körű alkalmazásával hamis biztonságérzetet nyújt az algoritmikus döntéshozatal objektivitásában.

Az átláthatóság növelése lerántja a leplet ezekről az átláthatatlan folyamatokról. A szabályozási rendszerünk régi alapköve, az átláthatóság megköveteli, hogy az algoritmikus rendszerek fejlesztői és alkalmazói biztosítsák, hogy az automatizált döntések a lehető legjobban megmagyarázhatóak és védhetőek legyenek. A napfény segítségével az érdekvédők, a tudósok és más harmadik felek szélesebb körben tesztelhetik a diszkriminatív és káros eredményeket.?[8]

A mesterséges intelligenciával kapcsolatos bizonyos torzítások korrigálhatók, ennek érdekében az ilyen rendszerek esetében technikai eszközöket kell alkalmazni, és különböző ellenőrzési rétegeket kell létrehozni, beleértve az általuk használt és előállított szoftvereket, algoritmusokat és adatokat is, hogy ez a kockázat a lehető legkisebbre csökkenjen. Ezen túlmenőleg a mesterséges intelligenciát fel lehet használni az előítéletek és a megkülönböztetés csökkentésére, valamint az egyenlő jogok és a pozitív társadalmi változások előmozdítására.

dr. Albert Ágota adatvédelmi és adatbiztonsági szakjogász, DPO

[1] Rebecca Kelly Slaughter with Janice Kopec and Mohamad Batal: Algorithms and Economic Justice: A Taxonomy of Harms and a Path Forward for the Federal Trade Commission, August 2021, ISP Digital Future Whitepaper & YJoLT Special Publication

[2] Mehrabi et al. A Survey on Bias and Fairness in Machine Learning alapján. arXiv:1908.09635v3 [cs.LG] 25 Jan 2022

[3] European Parliament Special Committee on Artificial Intelligence in a Digital Age: REPORT on artificial intelligence in a digital age (2020/2266(INI))

[4] European Parliament Special Committee on Artificial Intelligence in a Digital Age: REPORT on artificial intelligence in a digital age (2020/2266(INI))

[5] European Parliament Special Committee on Artificial Intelligence in a Digital Age: REPORT on artificial intelligence in a digital age (2020/2266(INI))

[6] European Parliament Special Committee on Artificial Intelligence in a Digital Age: REPORT on artificial intelligence in a digital age (2020/2266(INI))

[7] Hogyan alakítsuk jól a jövőt? Mesterséges intelligencia és alapvető jogok ? Összefoglaló. Az Európai Unió Alapjogi Ügynöksége (FRA), 2021

[8] Rebecca Kelly Slaughter with Janice Kopec and Mohamad Batal: Algorithms and Economic Justice: A Taxonomy of Harms and a Path Forward for the Federal Trade Commission, August 2021, ISP DIGITAL FUTURE WHITEPAPER & YJoLT SPECIAL PUBLICATION

Jelen poszt másodközlés, ez eredeti itt jelent meg: https://www.aszake.hu/strongmilyen-a-megbizhato-mesterseges-intelligencia-1-resz-strong/

Kétrészes posztunk témája a megbízható mesterséges intelligencia követelményei, az Európai Unió mesterséges intelligenciával kapcsolatos álláspontja (1. rész), illetve a mesterséges intelligenciával kapcsolatos olyan problémák, mint például a torzítások típusai, a diszkrimináció és a tesztelés elmulasztása (2. rész).

Melyek a megbízható mesterséges intelligencia követelményei?

Amennyiben az Európa Bizottság mesterséges intelligenciával foglalkozó magas szintű szakértői csoportjának etikai iránymutatását vesszük irányadónak, akkor a megbízható mesterséges intelligencia (MI) jogszerű, etikus, valamint műszaki és társadalmi szempontból is stabil annak érdekében, hogy lehetőleg ne okozzon kárt.[i]

Mikor jogszerű egy mesterséges intelligencia?

Akkor, ha az MI kifejlesztésének, elterjesztésének és felhasználásának részét képező folyamatokra és tevékenységekre vonatkozó valamennyi előírást betartjuk. Ezen előírások szempontjából a releváns jogforrások között van

• az elsődleges uniós jog (az Európai Unió Szerződései és Alapjogi Chartája),
• a másodlagos uniós jog (például a GDPR, a hátrányos megkülönböztetést tiltó irányelvek, a gépekről szóló irányelv, a termékfelelősségi irányelvek, a nem személyes adatok szabad áramlásáról szóló rendelet, a fogyasztói jogra, valamint a munkahelyi biztonságra és egészségre vonatkozó irányelvek), 
• az ENSZ emberi jogi egyezményei 
• az Európa Tanács egyezményei (például az emberi jogok európai egyezménye), valamint
• az uniós tagállamok joga.

A jogalkotás jelenleg is folyamatban van, számos új jogszabály elfogadása várható a közeljövőben, például a mesterséges intelligencia alkalmazására vonatkozó EU rendelet.

Mikor etikus egy mesterséges intelligencia?

A szakértői csoport szerint az alapvető jogoknak, a demokrácia és a jogállamiság keretében történő tiszteletben tartása az, ami megfelelő alapot biztosíthat az olyan elvont etikai elvek és értékek meghatározásához, amely a mesterséges intelligenciával összefüggésben alkalmazhatók. Melyek ezek?

• Az emberi méltóság tiszteletben tartása.

Minden emberi lény rendelkezik olyan ?belső értékkel?, amelyet mások soha nem csökkenthetnek, sérthetnek vagy nyomhatnak el, így az új technológiák sem. Az Mi-rendszerekben minden embert a neki az erkölcs alanyaként járó tisztelettel, és nem átszitálandó, kiválogatandó, pontozandó, terelendő, kondicionálandó vagy manipulálandó tárgyként kell kezelnünk ? azaz az MI-rendszereket oly módon kell kifejlesztenünk, amely az emberek testi és szellemi épségét, személyi és kulturális identitástudatát és alapvető szükségleteinek kielégítését tiszteletben tartja, azt szolgálja és óvja.

• Az egyén szabadsága.

Hagynunk kell, hogy az emberi lények maguk hozzák meg az életüket érintő döntéseiket. Az egyén szabadsága a mesterséges intelligenciával összefüggésben a közvetlen (közvetett) jogellenes kényszer, a szellemi autonómia és egészség fenyegetésének, az indokolatlan felügyeletnek, megtévesztésnek és tisztességtelen manipulációnak a visszaszorítását igényli, illetve lehetővé kell tennünk, hogy az egyének még szélesebb körű ellenőrzést gyakorolhassanak a saját életük felett, beleértve (más jogok között) a vállalkozás szabadságának, a művészet és a tudomány szabadságának, a véleménynyilvánítás szabadságának, a magánélethez való jognak, valamint a gyülekezés és egyesülés jogának védelmét.

• A demokrácia, az igazságosság és a jogállamiság tiszteletben tartása.

Az MI-rendszereknek a demokratikus folyamatok fenntartását és elősegítését, valamint az egyének értékei és életükkel kapcsolatos választásai sokféleségének tiszteletben tartását kell szolgálnia és nem áshatjuk alá a demokratikus folyamatokat, az emberi döntéshozatali vagy demokratikus szavazási rendszereket.

• Egyenlőség, megkülönböztetésmentesség és szolidaritás.

Biztosítanunk kell az emberi lények erkölcsi értékének és méltóságának egyenlő védelmét. Az MI-rendszer műveletei nem hozhatnak méltánytalanul elfogult eredményt, ehhez pedig szükséges, hogy az esetlegesen kiszolgáltatott rétegek, például munkavállalók, nők, fogyatékossággal élő személyek, etnikai kisebbségek, gyermekek, fogyasztók, illetve más, kirekesztés kockázatának kitett személyeket megfelelő tiszteletben részesítsük.

• A polgárok jogai.

Ilyen jog például a szavazáshoz való jog, a megfelelő ügyintézéshez való jog vagy a nyilvános dokumentumokhoz történő hozzáféréshez való jog, valamint petíció hatóságokhoz való benyújtásának joga. Ezen jogokat óvnunk kell az MI-rendszerek alkalmazása esetén is.

A szakértői csoport véleménye alapján négy fő etikai elv betartására kell mindig törekednünk:

• Azemberi autonómia tiszteletben tartásának elve.
• az MI-rendszerekkel nem rendelhetjük alá, nem kényszeríthetjük, téveszthetjük meg, manipulálhatjuk, kondicionálhatjuk vagy terelhetjük indokolatlanul az embereket.
• az MI-rendszereket úgy kell kialakítanunk, hogy azok az emberek kognitív, szociális és kulturális készségeit fokozzák, kiegészítsék és megerősítsék.
• az emberek és MI-rendszerek közötti feladatmegosztás elve az emberközpontú kialakítás, azaz az emberi döntésnek jelentős szerepet kell hagynunk és biztosítanunk kell, hogy az ember felügyelhesse és ellenőrizhesse az MI-rendszerek munkafolyamatait.
• A kár megelőzésének elve.

Az MI-rendszerek soha nem okozhatnak kárt, illetve nem lehetnek hátrányos hatással az emberi lényekre. Az MI-rendszereknek és e rendszerek működési környezetének biztonságosnak kell lennie és meg kell akadályoznunk a rosszindulatú használat lehetőségét.

Különös figyelmet kell fordítanunk azokra a helyzetekre, amelyekben az MI-rendszerek hátrányos hatásokat idézhetnek elő vagy e hatásokat súlyosbíthatják, például

• a munkaviszonyban,
• fogyasztói jogviszonyban vagy
• a kormány és állampolgárok közötti jogviszonyban a fennálló hatalmi vagy információs aszimmetria miatt.

A kár megelőzése nemcsak az emberek, hanem a természetes környezet és valamennyi élőlény figyelembevételét is magában foglalja.

• A méltányosság elve.

Az MI-rendszerek kifejlesztésének, elterjesztésének és használatának méltányosnak kell lennie:

• mind az előnyök, mind pedig a költségek egyenlő és igazságos elosztásának, valamint annak biztosítása, hogy az egyének és csoportok ne legyen kitéve méltánytalan torzításnak, hátrányos megkülönböztetésnek és megbélyegzésnek.
• esélyegyenlőség támogatása az oktatáshoz, termékekhez, szolgáltatásokhoz és technológiához való hozzáférés terén.
• soha nem eredményezheti a (végső) felhasználók megtévesztését vagy választási szabadságának sérelmét.
• tiszteletben kell tartanunk az eszközök és célok arányosságának elvét, és alaposan meg kell vizsgálnunk, hogyan teremthető egyensúly a versengő érdekek és célkitűzések között
• az MI-rendszerek és az e rendszereket üzemeltető emberek által hozott döntések megtámadhatóak legyenek, és a személyek ezen döntésekkel szembeni hatékony jogorvoslat érvényesítésére legyenek képesek. Ennek érdekében a döntésért felelős jogalanyoknak azonosíthatónak, és a döntéshozatali folyamatoknak megmagyarázhatóknak kell lenniük.
• A megmagyarázhatóság elve.

A folyamatoknak átláthatónak kell lenniük:

• az MI-rendszerek képességeit és célját nyíltan közölnünk kell, és a döntéseket lehetőség szerint el kell magyaráznunk a közvetlenül és közvetve érintetteknek, mivel tájékoztatás hiányában a döntés szabályszerűen nem vitatható.
• a ?feketedoboz? algoritmusok esetében nem lehet mindig megmagyarázni, hogy az adott modell miért hozott egy adott eredményt vagy döntést, és ehhez a kiindulási tényezők mely kombinációja járult hozzá. Ezekben az esetekben a megmagyarázhatósággal kapcsolatos más intézkedésekre, például a rendszer képességeinek nyomon követhetőségére, ellenőrizhetőségére és az azokkal kapcsolatos átlátható tájékoztatásra lehet szükségünk.
• a megmagyarázhatóság szükséges mértéke nagyban függ attól, hogy téves vagy egyébként pontatlan eredmény esetén a következmények mennyire súlyosak az érintettekre nézve.

Ezek az elvek akár ütközhetnek is egymással, az ilyen esetekben bizonyítékokon alapuló megfontolt döntésre van szükségünk ahhoz, hogy egyik vagy másik elvet ? jogszerűen ? háttérbe szoríthassuk.

• Stabil mesterséges intelligencia.

Még ha az etikusság biztosított is, az egyéneknek és a társadalomnak abban is bíznia kell, hogy az MI-rendszerek nem okoznak nem kívánt kárt, azaz a nemkívánatos hátrányos hatások megelőzése érdekében óvintézkedéseket kell előírni.

Milyen követelményeknek kell megfelelnünk az MI alkalmazása során?

A szakértői csoport szerint az MI alkalmazása során ? többek között, de nem kizárólag ? az alábbi követelményeknek kell megfelelnünk:

• az emberi cselekvőképesség támogatása és emberi felügyelet
• műszaki stabilitás és biztonság (a támadással szembeni ellenálló képesség és a védelem, a készenléti terv és általános biztonság, a pontosság, megbízhatóság és reprodukálhatóság)
• adatvédelem és adatkezelés (a magánélet tiszteletben tartása, az adatok minősége és sértetlensége, valamint az adatokhoz való hozzáférés)
• átláthatóság (nyomon követhetőség, a megmagyarázhatóság és a tájékoztatás)
• sokféleség, megkülönböztetésmentesség és méltányosság (a méltánytalan torzítás elkerülése, a hozzáférhetőség és az egyetemes tervezés, az érdekeltek részvétele)
• társadalmi és környezeti jólét (a fenntarthatóság és a környezetbarát jelleg, a társadalmi hatás, a társadalom és a demokrácia)
• elszámoltathatóság (az ellenőrizhetőség, a hátrányos hatás minimalizálása és jelentése, a kompromisszumok és a jogorvoslat).

Az Európa Unió mesterséges intelligencia használatával kapcsolatos rendelettervezete^[ii]

A rendelettervezet alapvetően kockázatalapú megközelítést alkalmaz és célja a belső piac működésének javítása azáltal, hogy egységes jogi keretet állapít meg különösen a mesterséges intelligencia uniós értékekkel összhangban történő fejlesztésére, forgalmazására és használatára vonatkozóan.

A rendelet tervezete az alábbi területekre vonatkozik (?tárgyi hatály?, 1. cikk):

1. az MI-rendszerek Unión belüli forgalomba hozatalára, üzembe helyezésére és használatára vonatkozó harmonizált szabályok
2. egyes mesterségesintelligencia-gyakorlatokra vonatkozó tilalmak
3. a nagy kockázatú MI-rendszerekre vonatkozó különös követelmények és az ilyen rendszerek üzemeltetőire vonatkozó kötelezettségek
4. harmonizált átláthatósági szabályok a természetes személyekkel való interakcióra szánt MI-rendszerek, az érzelemfelismerő rendszerek és a biometrikus kategorizálási rendszerek, valamint a kép-, audio- vagy videotartalom előállítására, vagy manipulálására használt MI-rendszerek tekintetében;
5. a piaci nyomon követésre és a piacfelügyeletre vonatkozó szabályok.

A rendelettervezet és az alapvető jogok védelme

A sajátos jellemzőkkel (például átláthatatlanság, összetettség, adatoktól való függés, autonóm magatartás) rendelkező mesterséges intelligencia használata hátrányosan érinthet számos, az Európai Unió Alapjogi Chartájában (a továbbiakban: Charta) rögzített alapvető jogot. A javaslat biztosítani kívánja ezen alapvető jogok magas szintű védelmét, és egyértelműen meghatározott kockázatalapú megközelítéssel kezelni kívánja a kockázatok különböző forrásait.

A javaslat az alábbi jogok védelmét, illetve támogatását emeli ki:

• az emberi méltósághoz való jog (1. cikk),
• a magánélet tiszteletben tartása és a személyes adatok védelme (7. és 8. cikk),
• a megkülönböztetésmentesség (21. cikk), valamint a nők és férfiak közötti egyenlőség (23. cikk).
• véleménynyilvánítás szabadságához (11. cikk) és a gyülekezés szabadságához (12. cikk) való jog biztosítása,
• a hatékony jogorvoslathoz és a tisztességes eljáráshoz való jog, a védelemhez való jog és az ártatlanság vélelme védelmének biztosítása (47. és 48. cikk), valamint a megfelelő ügyintézés általános elve.
• a munkavállalók tisztességes és igazságos munkafeltételekhez való jog (31. cikk),
• a magas szintű fogyasztóvédelem (28. cikk),
• a gyermekek jogai (24. cikk) és
• a fogyatékossággal élő személyek integrációja (26. cikk)
• a magas szintű környezetvédelemhez és a környezet minőségének javításához való jog (37. cikk).

A várakozások szerint az előzetes tesztelésre, kockázatkezelésre és az emberi felügyeletre vonatkozó kötelezettségek is elő fogják segíteni egyéb alapvető jogok tiszteletben tartását azáltal, hogy minimálisra csökkentik a mesterséges intelligencián alapuló téves vagy elfogult döntések kockázatát olyan kritikus területeken, mint az oktatás és képzés, foglalkoztatás, fontos szolgáltatások, bűnüldözés és igazságszolgáltatás. Abban az esetben, ha továbbra is sor kerül az alapvető jogok megsértésére, az MI-rendszerek átláthatóságának és nyomon követhetőségének biztosítása, valamint a szigorú utólagos ellenőrzés lehetővé teszi a hatékony jogorvoslatot az érintett személyek számára.

A javaslat bizonyos korlátozásokat vezet be a vállalkozás szabadságára (16. cikk), valamint a művészet és a tudomány szabadságára (13. cikk) azért, hogy a nagy kockázatú MI-technológiák kifejlesztése és használata során érvényesüljenek a közérdeken alapuló kényszerítő indokok, például az egészség, a biztonság, a fogyasztóvédelem és az egyéb alapvető jogok védelme (?felelős innováció?). Ezek a korlátozások arányosak, és a súlyos biztonsági kockázatok és az alapvető jogok valószínű megsértésének megelőzéséhez és enyhítéséhez szükséges minimumra korlátozódnak.

A fokozott átláthatósági kötelezettségek a szellemi tulajdon védelméhez való jogot (17. cikk (2) bekezdés) sem érintik aránytalanul, mivel csak az egyének hatékony jogorvoslathoz való jogának gyakorlásához szükséges minimális információkra, valamint a felügyeleti és végrehajtó hatóságok számára szükséges átláthatóságra korlátozódnak. Az információk közzététele az e területre vonatkozó jogszabályoknak ? többek között a nem nyilvános know-how és üzleti információk (üzleti titkok) jogosulatlan megszerzésével, felhasználásával és felfedésével szembeni védelemről szóló (EU) 2016/943 irányelvnek ? megfelelően történik. Ha a lényeges kötelezettségeknek való megfelelés vizsgálata céljából hozzáférést kell biztosítani a hatóságok és a bejelentett szervezetek számára a bizalmas információkhoz vagy a forráskódhoz, abban az esetben kötelező titoktartási kötelezettség vonatkozik rájuk.

dr. Albert Ágota adatvédelmi és adatbiztonsági szakjogász, DPO

[i] Etikai iránymutatás a megbízható mesterséges intelligenciára vonatkozóan ? Mesterséges intelligenciával foglalkozó magas szintű szakértői csoport, 2019.

[ii] https://eur-lex.europa.eu/legal-content/HU/TXT/HTML/?uri=CELEX:52021PC0206&from=HU

Jelen poszt másodközlés, az eredeti itt jelent meg: https://www.aszake.hu/beszeljunk-a-kutyuinkrol/

Beszéljünk a kütyüinkről! Avagy mit tartogat számunkra az okos eszközeink labirintusa?

Vajon tudjuk, hány okos eszközzel rendelkezünk? Valószínűleg fogalmunk sincs, ráadásul a karácsonyi időszak az, amikor a számuk csak tovább növekedhet. És ezeknek a kütyüknek nemcsak előnyeik vannak, hanem hátrányuk is.

El tudjuk képzelni az életünket nélkülük?

Az okos kütyüjeink között vannak olyanok, amelyek nélkül már a létezésünket sem tudjuk elképzelni. Ottvan például okos telefonunk, amelynek

• ébresztőjére ébredünk,
• stopperjével mérjük a lágytojáshoz az időt,
• reggelink közben tanulmányozzuk rajta az időjárást, vagy a dugóhelyzetet és az útvonaltervező már a konyhában megmondja, előreláthatóan mennyit fogunk késni,
• megnézzük az éjszakai kamerafelvételeinket, ólálkodott-e valaki ott, ahol nem kellett volna ólálkodnia,
• böngészhetjük a szomszéd Facebook profilját is, hol nyaralt és kivel, vagy van-e már új autója,
• megrendelhetjük és kiszállíttathatjuk a vasárnapi ebéd hozzávalóit,
• kettős azonosításként használhatjuk bankolásnál és az e-mail fiókunknál,
• és igen, néha még telefonálunk is, végül is ez lenne a mobilunk alapvető funkciója.

Mire használjuk az okos eszközeinket?

Kik lógnak az otthoni wi-fi hálózatunkon? Jellemzően mi, és nemcsak a mobiljainkkal, rajtunk kívül a családtagjaink is meg azok, akiknek még odaadtuk a jelszavunkat. Plusz azok az okos eszközeink, amelyek egy önálló ökoszisztémát alkotva nemcsak egymáshoz, hanem az internetre is kapcsolódnak, és ha nem vigyázunk, bizony fecsegnek is rólunk. Nem is keveset.

Az okos eszközeink önálló életet élnek és nemcsak minket szolgálnak, hanem számos új leskelődő-hallgatózó ki tudja kit hoznak a nyakunkba. Ők a nagyvállalatok, akik ebben az összekapcsolt világban hangyaszorgalommal gyűjtik a személyes adatainkat, és nemcsak gyűjtik, hanem felhasználják és ha úgy tartja kedvük, el is adják azokat. És rajtuk kívül ott vannak még azok is, akiket pláne nem akarunk beengedni a privát szféránkba, ám eszközeinket meghekkelik, tartalmukat pedig ellenünk fordítják.

Vajon mennyit fecseghetnek rólunk az eszközeink?

• a legárulkodóbb valószínűleg a mobilunk, dobogós helyért folytat ádáz küzdelmet még az okos óránk, a laptopunk, a tabletünk és az asztali számítógépünk,
• mindeközben az okos tévénknek is megvan a maga véleménye a vizuális ízlésünkről,
• a hangasszisztensünk pedig szinte már családtagunk, ?aki? annyi borzasztó kérdést hallott tőlünk.

Természetesen nemcsak nekünk vannak okos kütyüjeink, hanem a gyermekeinknek is, kezdve a gyerekszoba plafonjára szerelt gyerekmegfigyelőtől a legkülönfélébb okosjátékokig, de a kutyánknak is kijár az intelligens nyakörv, a macskánk meg bárhogy is vélekedik az okos alomtálcájáról, nem fogja nekünk elmondani,

• és ne felejtsük el az okos akváriumot sem, amit azért is érdemes megemlíteni, mert kaszinót már hekkeltek meg akváriumának hőmérőjén keresztül,
• az autónkban lévő számtalan kütyünk is rácuppanhat a hálózatunkra, 
• az okos ágyunk gondosan számolja minden mozdulatunk, de nemcsak a miénket, hanem a velünk együtt forgolódó személyét is,
• a konyhánk és a fürdőszobánk sem marad le az okosodásban,
• az intelligens porszívónk pedig feltérképezte már az egész házat és tudja nemcsak a saját, de a szobabiciklink geolokációs adatait is. Mostohatestvére a kertünkbe száműzött robot fűnyírónk, aztán ha eltűnik, keresgélhetjük a kameránk felvételein, vajon a kerti tavunk tüntette-e el, vagy csak kimerülten piheg valahol egy bokor alatt.

Milyen problémákat okozhatnak az okos eszközeink?

A legnagyobb problémánk abból lehet, hogy ezek az eszközök egy összekapcsolt rendszert alkotnak, melyben nemcsak kapcsolatot teremtenek egymással, hanem adatokat adnak-vesznek. És miközben azt megfontoljuk, kit engedünk be a nappalinkba ? a havert igen, a postást nem ?, addig a hangasszisztenssel és a különféle eszközeinkbe beépített kamerákkal nemcsak egy személyt ültetünk a kanapénkra a nap 24 órájára a hét minden napjára, hanem egész vállalatokat az összes szatellit vállalatukkal együtt. És akkor még nem beszéltünk azokról, akik simán csak meghekkelhetnek minket.

A kütyüjeinknek megvan a maguk önálló, multivállalatok által vezérelt élete, bár valljuk be őszintén, nem igazán szoktunk azon aggódni, hogy a vízforralónk és a rizsfőzőnk kibeszéli a háta mögött a hűtőnket, hogy már megint miatta fagyos a hangulat a konyhában.

Ahogy egyelőre valószínűleg még az sem fordult elő velünk, hogy a mosogatógépünk közölte volna, most éppen nem ér rá mert egy túlterheléses támadásban vesz részt, a termosztátunk pedig összejátszva a porszívónkkal lenyúlta volna a bitcoinunkat és váltságdíjat követelnének azért, hogy kiengedjék az önvezető autónkból.

Nem feltétlen kell, hogy ilyen és ehhez hasonló kérdéseken töprengjünk álmatlan éjszakáinkon, azonban az, hogy az okos kenyérpirítónknak nincs megfelelő tűzfala, abból még bajunk is lehet. Ahogy abból is, ha az intelligens toalettünk vagy az ágyunk olyanoknak szállítja az információkat rólunk, akiknek nagyon, de nagyon nem szeretnénk. Mert ezek az okos kütyük ? és a fejlesztőik ? nem igazán ismerik, hogy mi az a privát szféra, vagy ha igen, akkor is meglehetősen lazán értelmezik annak határait.

Kockázatok, amelyekkel együtt kell élnünk ?

Tisztában kell lennünk tehát azzal, hogy az otthoni okos rendszerünk számos kockázatot hordozhat, ezeket pedig kezelnünk kell, ha nem akarunk pórul járni. És akkor is, ha úgy értékeljük, a rendszerünk komplexitásában messze alulmúlja a Liszt Ferenc Nemzetközi Repülőterét. A mi házunk a mi várunk, mára pedig elértük, hogy a virtuális kerítésünk lyukacsosabb lehet, mint az ementáli sajt.

Például: veszünk egy szobatermosztátot, felszereljük, megengedünk mindent neki, amit csak kér, beszélgethet az okos redőnyünkkel, a riasztónkkal, az okos ágyunkkal és az okos toalettünkkel, és a kütyü ezek után nemcsak beszélget, hanem a megszerzett információkat továbbítja is.

De hova? És kinek? Ki tudja, valószínűleg egyikőnk sem olvasta végig betűről betűre a szobatermosztátunk adatkezelési tájékoztatóját, már ha voltunk olyan szerencsések, hogy kaptunk ilyet.

Hogyan csökkenthetjük a kockázatainkat?

Az otthoni összekapcsolt rendszerek nagy többsége, valószínűleg a mienk is ? ellentétben a tudatosan tervezett hálózatokkal ? véletlenszerűen beszerzett, legkülönfélébb tudású és védelmi rendszerű okos kütyük halmaza, melyek biztonsági kockázata már önálló eszközönként is magas. És ezek az eszközök ? kevés kivételtől eltekintve ? mind tárolhatják az adatainkat felhőben, és alkalmasak lehetnek akár távoli elérésre is. Gondoljunk csak a macskák (vagy gazdik?) szórakoztatására gyártott lézeres piros pont vetítőre, amelynek kamerájával 360 fokban pásztázhatjuk a nappalinkat akár a mobilunkról is, sőt még jutalomfalatot is dobhatunk távolról a kedvencünknek, ha már jól kirohangálta magát.

De nemcsak mi irányíthatjuk távolról a kamerát, hanem egy hekker is, aki nem a macskánkra kíváncsi, hanem ránk és a családunkra. Valamint azokra, akik még ott lehetnek a kameránk látószögében. Ha pedig belegondolunk, milyen idióta kérdéseket szoktunk feltenni a hangasszisztensünknek, már komolyan félhetünk attól, hogy mi lesz a véleménye rólunk annak, aki feltöri azt.

Vajon mennyire jogos a félelmünk?

Az Egyesült Államokban például egy hibalehetőség kihasználásával a bejárati ajtók okos zárait távoli eléréssel olyan személyek is nyitni-zárni tudták, akik erre nem voltak jogosultak, ráadásul a felhasználói fiókból még a zár pontos beszerelési helyét is megismerhették.

Vajon bármelyikőnk is szeretne olyan bejárati ajtót, amelyet egy hekker könnyedén, kénye-kedve szerint nyithat és zárhat? Kizárt.

Mit tehetünk?

A megoldás természetesen nem az, hogy mindent kihúzunk a konnektorból és visszatérünk a múlt századba, hanem az, hogy megfelelő óvintézkedéseket tesztünk.

Például:

• lehetőleg ne kapcsoljuk össze egy rendszerbe a különböző gyártóktól származó eszközeinket.
• válasszunk olyan eszközöket, amelyek megfelelő biztonsági tanúsítvánnyal, illetve folyamatos terméktámogatással rendelkeznek, így legalább a kezdő hekkereket kívül tartja a védelmünk.
• az, hogy egy eszközön keresztül a kedvencünket megfigyeljük még nem jelenti azt, hogy ugyanezen eszközön keresztül minket nem figyel meg valaki a távolból ? nekünk kell gondoskodni róla, hogy az ilyen, már alapállásban is megfigyelésre szolgáló eszközök biztonsági beállítása megfelelő legyen.
• gyakran olyan eszközön keresztül támadnak minket, amelyre még véletlenül sem számítunk (lásd a kaszinó akváriumát), és ebben az esetben is igaz, miszerint a leggyengébb láncszem határozza meg az egész rendszer erősségét.
• az összekapcsolódó rendszerek révén onnan is kaphatunk vírust, ahonnan végképp nem várjuk, például szoftverfrissítéssel egy meghekkelt szolgáltatótól. Az ilyen támadások általában nem ellenünk irányulnak, mi csak ?járulékos? veszteség vagyunk a személyes adatainkkal együtt.
• figyeljük a híreket és lehetőleg kerüljük el az adathalász támadásokat ? például amikor kerékbetört magyarsággal értesít minket ? látszólag a posta vagy egy futárszolgálat, hogy csomagunk érkezett. Vagy az adóhivatal, hogy soha nem látott méretű szezonális akció keretében adóvisszatérítést igényelhetünk.

És ami a legfontosabb ? mi is tehetünk bőven azért, hogy áldozatokká váljunk. Mert nem megfelelően titkosítjuk a wifi-hálózatunkat, nem frissítjük az eszközeink szoftvereit, elhagyjuk a jelszavunkat vagy olyan jelszót használunk, amely már a Facebook profilunk alapján is könnyedén kikövetkeztethető.

Ha például több száz képet felteszünk Fifikéről, akkor ne lepődjünk meg, ha a támadónk a kutyánk nevének variációival próbálkozik először.

És mi a lehetséges következmény? Adataink szivárgása, jogosulatlan módosítása vagy akár az adataink teljes elvesztése is. Azt még lehet, hogy nem éljük meg tragédiaként, ha az okos ágyunk elfelejti, hány fokos lábmeleget szeretünk, de azt, ha kifecsegi, mikor voltunk benne azzal, akivel egyébként nem szoktunk, nem biztos hogy ép bőrrel megússzuk. És ebben az esetben már nemcsak a számunkra távoli és ismeretlen hekkertől tarthatunk.

Vannak azonban olyan eszközök is, amelyek meghekkelésével nemcsak az idegeinket cincálhatja a támadó, hanem az életünkkel is játszhat. Ilyen például az, ha valaki az intelligens füst- és szénmonoxid érzékelőnk paramétereit módosítja, netalán a vérnyomásmérőnk által mért értékeket befolyásolja távolról.

Mit tehetünk még?

• használjunk hosszú jelszavakat, és amennyiben lehetséges, akkor két- vagy többfaktoros hitelesítést,
• minden eszköz esetében különböző jelszót használjunk. Legyünk kreatívak és ne ragadjunk le az abc1, abc2, abc3 variációknál,
• tartsuk be a felhasználói útmutatókban foglaltakat és engedélyezzük a javasolt biztonsági funkciókat,
• ne csak engedélyezzük a frissítési értesítéseket, hanem hagyjuk is a rendszeres frissítést,
• legyünk adatvédelmileg tudatosabbak és ismerjük meg, hogy az adatkezelők hogyan és mire használják fel az adatainkat. Sőt, kérdezhetünk is, az adatkezelőknek pedig kutya kötelességük egy hónapon belül válaszolni.
• a már nem használt készüléket kapcsoljuk ki, és húzzuk ki a konnektorból is,
• a routerünkön konfiguráljunk több hálózatot és az okoseszközeinket külön Wi-Fi hálózaton üzemeltessük. Ezen kívül korlátozzuk a routerhez hozzáférő eszközök számát és csak annyi kütyüt engedjünk fel a rendszerünkre, amennyink ténylegesen van és könyörtelenül zárjuk ki az illetéktelen felhasználókat.
• mielőtt eladjuk, kidobjuk vagy visszaadjuk az okos eszközeinket, biztonságosan töröljük azok adattartalmát, illetve legyen kedvencünk a ?gyári visszaállítás? funkció.

(Szerzők: Dr. Albert Ágota LL.M és Horváth Bálint IT szakember)

Jelen poszt másodközlés, az eredeti itt olvasható:https://www.aszake.hu/hogyan-figyelhetnek-meg-minket-kameraval-jogszeruen-es-tisztessegesen/

Csak kevés adatkezelő fordít megfelelő figyelmet arra, hogy az embereket szemmel tartó elektronikus megfigyelőrendszerét (kamerarendszerét) a hatályos jogszabályi környezetnek megfelelően üzemeltesse.

Megfigyeltek már?

Valószínűleg nincs olyan ember hazánkban, akit ne figyeltek volna már meg kamerával ? bevásárlóközpontban, irodaházban, étteremben, munkahelyen, vagy bárhol. Mert mindenhol vannak kamerák, általuk pedig az adatkezelők hangyaszorgalommal gyűjtik rólunk az adatokat ? képmásunkat, cselekedetünket és időnként még a hangunkat is, és az adatok alapján mindenféle, számunkra ismeretlen következtetést vonhatnak le rólunk. Mindezt úgy, hogy a rájuk vonatkozó jogszabályok ismeretében sem mindig állnak a helyzet magaslatán, aminek eredménye akár az is lehet, hogy két lábbal tiporják a megfigyelteknek a jogait és szabadságait. A megfigyeltek pedig mi vagyunk! Sőt, a legtöbbször még annak sincsenek tudatában, hogy jogtalanul és tisztességtelenül járnak el.

Ki a felelős a jogtalan, tisztességtelen megfigyelésekért?

Mindig az adatkezelő. Még akkor is ? ha egy önmagát szakembernek állító valaki/valami megtévesztette ? például azzal, hogy azt állította, az ő oldaláról pár ezer forintért letöltött kameraszabályzat tökéletes lesz, csak írja az elejére be a nevét és már le is van tudva a GDPR (általános adatvédelmi rendelet) által nyakába sózott minden kötelezettség. Sőt, ha még egy adatvédelmi és adatbiztonsági szabályzatot is vásárol hozzá kedvező áron, akkor tuti a megfelelés, hiszen minden óhaja-sóhaja teljesítve lesz nem csak az Uniónak, hanem a magyar felügyeleti hatóságnak, a Nemzeti Adatvédelmi és Információszabadság Hatóságnak (NAIH, továbbiakban ?Hatóság?) is.

Persze aztán később maga a Hatóság fogja az adatkezelőnek elmagyarázni a határozatában, miszerint nem elegendő a netről letölteni valamit, vagy akár több szabályzatszerű dokumentumot összegyúrni. Ezzel ugyanis még nincs kimaxolva a feladat. Sőt a Hatóságtól kap egy csekket is, a rajta szereplő nullák száma pedig a cég éves árbevételéhez igazodik.

Mindez minket, érintetteket maximum némi kárörvendéssel jutalmaz, mert tudjuk, a többi adatkezelő ettől függetlenül még pont ugyanúgy sértheti a jogainkat.

Mit várhatunk el egy adatkezelőtől, ha elektronikus megfigyelőrendszert, azaz kamerát használva figyel meg minket?

Először is azt, hogy ismeri a GDPR-t. Vagy ismer olyan szakembert, aki nemcsak állítja, hogy ismeri, de ténylegesen is ismeri a GDPR-t. Sőt, ezt a szakembert alkalmazza adatvédelmi tisztviselőnek, nem pedig a titkár(nő)t nevezi ki annak, ha már mindenáron muszáj valakit. Az adatkezelők közül kevesen ismerték fel eddig, hogy a GDPR betartása fontos dolog. Egyrészt, mert büntetnek a megszegéséért, másrészt pedig azért, mert a félresikerült adatkezeléssel (kamerázással) alkotmányos alapjogainkat sérthetik meg. És míg az adatkezelő képviselője (döntéshozója) fel van háborodva ? ha a telefonszámát ki tudja honnan megszerezve ? biztosítási, vagy egyéb ügynökök zaklatják, vagy a gyermeke nem túl előnyös iskolai fényképe a közösségi médiában köt ki, az már ritkábban jut eszébe, hogy nemcsak mástól kellene megkövetelnie a GDPR alapelveinek betartását, hanem neki is gondoskodnia kellene ugyanerről.

Például:

• csak akkor működtessen kamerát egy adott területen, ha más megoldással nem tudja elérni a célját. Vannak enyhébb, a privát szféránkba kevésbé behatoló formák is arra, hogy bizonyos viselkedésre ösztönözzenek minket, arra kószáló érintetteket. Például egy zár vagy rács felszerelése már szükségtelenné is teszi a kamerát ? ráadásul a fizikai védelem optimalizálása komoly megtakarítást is eredményezhet az adatkezelő számára.

A Hatóság egy idősotthon esetében az ebédlőben üzemelő kamerák kapcsán nem tutja értelmezni, hogy a kamerák hogyan segíthetik elő a lakók speciális diétájának megtartását. A Hatóság álláspontja szerint erre a célra az ebédlőben felszerelt kamerák ? kifejezetten az ételre történő ráközelítés hiányában ? alkalmatlanok voltak. Ráadásul a diéta betartásának ellenőrzésére más ? az érintettek magánszféráját kevésbé korlátozó ? mód is lett volna, például az, hogy a gondozók ellenőrzik, hogy a megfelelő ételt kapja-e meg a lakó. (NAIH-3748-1/2021.)

• csak olyan cél érdekében használjon kamerát, amely az adatkezelő vagy harmadik fél olyan érdekéből következik, ami felülírja a kamerával megfigyeltek érdekeit, jogait és szabadságait. Ilyen érdek lehet például a vagyonvédelem. Valószínűleg nem fogunk megsértődni, ha egy parkolóházban kamerával figyelik az autónkat. Sőt, lehet, hogy éppen azért választottuk az adott parkolót, mert tudjuk, hogy ott biztonságban van a járművünk. Azonban, ahol nincs ilyen cél, ott nem működtethet kamerát és nem figyelhet meg minket senki. És ami még fontos: a célnak illik hamarabb meglennie, mint a kamerarendszerrel kapcsolatos adatkezelés megkezdésének. Ráadásul minderről tájékoztatni kell minket, érintetteket. Akkor is jogellenes az elektronikus megfigyelőrendszer alkalmazása, ha az adatkezelőnek nincs kifejezett, egyértelműen meghatározott célja, hanem csupán általánosságban figyel meg minket a munkahelyünkön, illetve van ugyan valamiféle meghatározott cél, de a rendszer valódi célja a munkavállalók ellenőrzése.

Spanyolországban egy rendőrőrsön a kamerákat ? az adatkezelő tájékoztatása alapján ? a fogvatartottak és a rendőrőrs ?biztonsága és védelme? érdekében szereltek fel. Egy rendőrfelügyelő a felvételek másolatát azért kérte ki, hogy ellenőrizze, az egyik rendőr betartotta-e az egyenruha viselésére vonatkozó utasítását. A spanyol felügyeleti hatóság (AEPD) megállapította, az adatkezelő fegyelmi ellenőrzést végzett a kamerák segítségével, és erről nem tájékoztatta az érintetteket. Ez jogszerűtlen adatkezelésnek minősül. Szükséges lett volna az állomány (az alkalmazottak) kifejezett, pontos, világos és egyértelmű előzetes tájékoztatása a megfigyelés céljáról, valamint a rendőrségnek meg kellett volna határoznia az adatkezelés jellemzőit és terjedelmét, többek között azt, hogy a felvételek milyen esetekben, mennyi ideig és milyen céllal vizsgálhatók, különösen arra tekintettel, hogy azokat a szolgálati utasítás megszegése miatt fegyelmi intézkedések kiszabására lehet felhasználni. (AEPD ? PS/00027/2019)

• csak olyan helyen működtessen kamerát, ahol az nem hatol be túlságosan a privát szféránkba. Nem véletlen, hogy bizonyos helyiségekben, például öltözőkben, mosdókban tilos kamerát működtetni. Ugyanez vonatkozik azokra a területekre is, melyeket az emberek pihenésre-beszélgetésre használnak ? ezek megfigyelése nehezen, illetve csak nagyon különleges helyzetekben indokolható. Általános szabályként, például a munkahelyünkön a pihenő-étkező helyiség nem figyelhető meg. Azonban, ha a munkavállalók rendszeresen birokra kelnek a kávéautomatával és megrongálják azt, az adatkezelő dönthet úgy, hogy megfigyeli az automatát, de csakis az automatát, a helyiség többi részét nem.

A svéd adatvédelmi hatóság (IMY) 34 555 eurónak megfelelő bírságot szabott ki egy tűzoltóságra, mert a szükségesnél tolakodóbb módon olyan CCTV-kamerákat szerelt fel olyan helyen, ahol a tűzoltók tűzoltóruhába öltöztek át akkor, amikor vészhelyzetre reagáltak. A felvételeket nem rögzítették, de a parancsnoki központban lévő operátor manőverezni tudott a kamerával, és a mikrofont is aktiválhatta, hogy a tűzoltókkal kommunikáljon. Minden egyes alkalommal, amikor a mikrofont aktiválták, felgyulladt egy lámpa. A svéd adatvédelmi hatóság a hozzá érkezett panasz nyomán vizsgálatot indított. A panasz szerint előfordult, hogy az éjszaka riasztott tűzoltók csak hálóingben jelentek meg, illetve az is, hogy a tűzoltók a kamera felügyelete alatt meztelenül vagy alsóneműben öltöztek át. A hatóság megállapította, hogy bár a megfigyelésnek megfelelő jogalapja volt, az túlságosan széles körű volt és a tűzoltókat olyan helyeken figyelték meg, ahol átöltöztek.a parancsnoki központban jelen lévő bármelyik alkalmazott (összesen 29 munkatárs) számára lehetséges volt a kameraképekbe betekintés. az adatkezelő nem adott ki semmilyen iránymutatást a CCTV megfigyelésére vonatkozóan, ez pedig arra késztethette a parancsnoki központ személyzetét, hogy a szükségesnél és a törvényesnél jobban megfigyelje a tűzoltókat. (DI-2018-22697)

• amennyiben jogos érdekre hivatkozva működteti a kamerarendszert, még az adatkezelés megkezdése előtt érdekmérlegelést kell végeznie. Ez egy olyan többlépcsős folyamat, mely során az adatkezelőnek azonosítani kell a saját vagy harmadik fél jogos érdekét, a súlyozás ellenpontját képező érintetti érdeket, az érintett alapjogot, végül a súlyozás elvégzése alapján meg kell állapítania, hogy kezelheti-e személyes adatokat. Amennyiben az érdekmérlegelés eredményeként megállapítható, hogy az adatkezelő jogszerű érdeke megelőzi az érintetteknek a személyes adatok védelméhez fűződő jogát, abban az esetben üzemeltethető a kamerarendszer. Munkaviszony esetében a munkavállalók hozzájárulására nem hivatkozhat az adatkezelő.

?A munkáltatói ellenőrzés akkor tekinthető jogszerűnek, amennyiben az a munkaviszony rendeltetésével közvetlenül összefüggő okból feltétlenül szükséges és a cél elérésével arányos [Mt. 9. § (2) bekezdés]. A munkáltatói ellenőrzés és az annak során alkalmazott eszközök, módszerek nem járhatnak az emberi méltóság megsértésével; illetőleg a munkavállaló a munkaviszonnyal összefüggő magatartása körében ellenőrizhető [Mt. 11/A. § (1) bekezdés]. A munkavállalót előzetesen tájékoztatni kell az adatkezelés lényeges követelményeiről [Mt. 9. § (2) bekezdés és Mt. 11/A. § (1) bekezdés, általános adatvédelmi rendelet 13. cikk]. Az adatkezelés akkor jogszerű, ha a munkáltató az adatkezeléssel kapcsolatban betartja az általános adatvédelmi rendelet alapvető rendelkezéseit: többek között a célhoz kötött és a tisztességes adatkezelés elvét [általános adatvédelmi rendelet 5. cikk (1) bekezdés a) és b) pont]. Az Mt. rendelkezései általános felhatalmazást nyújtanak tehát a munkáltatói adatkezelésre, azonban ezen keretek tartalommal való megtöltése ? az elszámoltathatóság elvével összhangban ? a munkáltatóra hárul. A munkáltatónak az alkalmazott eszközökkel kapcsolatos részletszabályokat belső szabályzatban kell egyértelműen, érthetően, pontosan, részletesen meghatározni. Ennek kidolgozása során a munkáltatónak különös tekintettel kell lennie az arányosság követelményére valamennyi adatkezelési cél tekintetében.? (NAIH-3748-1/2021.)  

• csak addig őrizze meg a felvételeket, ameddig azokat feltétlen muszáj. Ha megfigyelés, akkor nem csak térben, hanem időben sem lehet végtelen a felvételek megőrzése. Azaz bizonyos idő elteltével az adatkezelőnek le kell törölnie a felvételeket. Ugyan, mi célja lehet bárkinek is a féléves kávéautomata felvételekkel? A GDPR előtt hazánkban jogszabály szabályozta, hogy hány napig lehet a videofelvételeket megőrizni, ma már ? ritka kivételtől eltekintve ? az adatkezelő dönti el, hogy ? saját helyzetének ismeretében ? mire van szüksége. Ráadásul a különböző adatkezelési célok eltérő időtartamot igényelhetnek. Például az, hogy valaki megrongálta a kávéautomatát, elég hamar kiderülhet. (Az első személy, aki bár nagyon szeretne, de nem tud kávét inni, az valószínűleg jelenti az eseményt.) Tehát a felvételek megőrzési idejének is ehhez kell igazodnia (3-4 nap). Más esetekben akár egy-másfél hónap is lehet az időtartam, amíg bármikor szükség lehet a felvételek visszanézésére. Például, amikor a biztonságos légiszállítás érdekében addig meg kell őrizni az adott áru raktározásról a felvételeket, ameddig az meg nem érkezik a célállomásra.
• ne ismerjék meg arra jogosulatlan személyek a felvételeket. A közösségi médiába, fájlmegosztó oldalakra meg pláne ne kerüljön ki vicces válogatás keretében. A kamerafelvételek nem szórakoztatási célt szolgálnak, illetve tartalmuk jelentősen sértheti az érintettek privát szféráját. Éppen ezért a kamerarendszer működtetésére vonatkozó szabályzatban az adatkezelőnek rendeznie kell olyan kérdéseket például, hogy ki, mikor, mit és hogyan tehet a felvételekkel. Az is elvárható, hogy a kamerarendszert ne lehessen könnyen meghekkelni, illetve a rendszerhez hozzáférő személyek ne érezzék úgy, hogy a felvételeket akár fel is használhatják, például zsarolásra.

A spanyol adatvédelmi hatóság (AEPD) figyelmeztetésben részesített egy kocsmát, mert jogalap nélkül rögzítette és terjesztette vendégei képét a közösségi médiában. Az érintett azzal a panasszal fordult hatósághoz, hogy a kocsma az engedélye nélkül rögzítette őt és más személyeket egy nyilvános rendezvényen, majd ezt követően a képeket a közösségi médiában terjesztette. Az érintett azt állította, hogy a felvételek terjesztése súlyos kárt okozott neki, mivel látható volt, amint egy olyan személlyel csókolózik, aki nem a párja volt. A kocsma azt állította, hogy a hely bejáratánál egy nagyméretű tájékoztató táblát helyeztek el, amely jelezte, hogy az eseményt rögzítik és feltöltik a közösségi médiába. Az adatvédelmi hatóság szerint a kocsmának szüksége lett volna a panaszos hozzájárulására ahhoz, hogy a képét rögzítse, majd azt a közösségi médiában terjessze. Ahhoz, hogy ez a hozzájárulás érvényes legyen, tájékozottnak, egyértelműnek, konkrétnak és ingyenesnek kellett lennie. az a tény, hogy a kocsma kitette a tájékoztató táblát nem garantálja, hogy a hozzájárulás egyértelmű volt, mivel a kocsma nem tudta bizonyítani, hogy a rendezvény minden egyes résztvevője elolvasta a plakátot és egyetértett annak tartalmával. (PS/00172/2020)

• jogunk van tiltakozni az adatkezelés ellen, például kérhetjük a számunkra sértő felvétel törlését. Az ilyen esetekben az adatkezelőnek egyedi érdekmérlegelés keretében kell eldöntenie, helyt ad-e a kérésünknek. Több lehetősége van, például törölheti az adott felvételt, vagy akár csak kitakarhat minket, esetleg egyiket sem. A döntését viszont meg kell tudni indokolnia, a ?csak? nem elegendő.

Ha már úgyis alkalmas egy kamera hangfelvételre, akkor felveheti a hangunkat is?

Amikor kamerát látunk, azonnal arra gondolunk, hogy képfelvételt készít. Ezt lassan már meg is szoktuk. Az azonban még mindig meglepőnek tűnik, hogy a hangunkat is felveszik. Viselkedni már tudunk a kamerák előtt, de mi van akkor, amikor csak állunk egy üzlet közepén, és telefonon beszélünk valakivel? Vagy a munkatársainkkal a folyosón a főnökünket tárgyaljuk ki, esetleg a társasházi postaládáknál a félrelépő szomszédot? Fel sem tűnik, eszünkbe sem jut, hogy valaki az engedélyünk és tudtunk nélkül rögzíthette a beszélgetést.

A hangfelvétel készítése általában nehezen magyarázható az adatkezelő részéről (miért van rá szüksége, mi a célja?), mivel az sokkal jobban behatol a privát szféránkban, mint a ?sima? képfelvétel. Az esetek 99 százalékában a megfigyelés tökéletesen elegendő a hangunk nélkül is. Nagyon ritka esetben, elvétve előfordulhat, hogy szükség van a kép mellett a hang felvételére is, ekkor azonban az adatkezelőnek erről előre tájékoztatnia kell minket, illetve a hatóság felé is meg kell indokolnia.

?Az Ügyfél nyilatkozatai szerint a hangfelvétel készítésével egyrészt az ügyfelek érdekvédelme, továbbá az volt a célja, hogy megfelelően dokumentálja a szerelési munka során a szerelés helyszínén elhangzottakat, mivel több esetben a jellemzően időskorú ügyfelek utólag azt állították, hogy nem kaptak megfelelő tájékoztatást például a szerelés vagy az anyagok költségéről, a munkavégzés időtartamáról, vagy nem úgy emlékeztek rá, ahogy valójában elhangzott. Annak ellenére, hogy ezek az információk a munkalapon is rögzítésre kerülnek, az ügyfelek egy része megkérdőjelezte a helyszínen megjelenő szerelő tájékoztatásának valódiságát. Az Ügyfél ? álláspontja szerint ? a hangfelvételek alapján megfelelő módon tudja bizonyítani a tájékoztatás megtörténtét, vagy adott esetben felelősségre tudja vonni a munkavállalót, amennyiben az ügyfél panasza valósnak bizonyulna. A Hatóság álláspontja szerint a hangfelvételek alkalmasak lehetnek a hivatkozott célok elérésére, azonban e célokat válthatja ki a szerelő által kitöltött, és a szerelő és az ügyfél által közösen aláírt munkalap, melyből egy példányt az ügyfél rendelkezésére is bocsátanak, igazolva ezzel azt, hogy a szerelés során történteket mindkét fél valósnak ismeri el. Ez alapján hangfelvétel készítése nem szükséges, mivel van más mód a célok elérésére. Mindemellett nem is arányos, hogy a szerelési munkálatok során elhangzottak rögzítésre kerüljenek, figyelemmel a szerelési munka előre meg nem határozható hosszára, és arra, hogy előzetesen nem lehet meghatározni azt sem, hogy milyen tartalmú beszélgetés hangzik el, így adott esetben olyan információk is rögzítésre kerülhetnek, amelyek az adatkezelés céljától teljesen függetlenek. Ezen kívül a hivatkozott adatkezelési céllal kapcsolatban megállapítható, hogy az valójában a munkavállalók ellenőrzését is jelenti.? (NAIH-2801-17/2022.)

Miről kell tájékoztatnia minket az adatkezelőnek?

Videokamerás megfigyelés esetében az adatkezelőnek a legfontosabb információkat a figyelmeztető táblán (?első szint?) kell feltüntetnie, a további kötelező adatok pedig közölhetők más módon (?második szint?).

Az első szint

Az adatkezelőnek az első szintű tájékoztatást úgy kell kihelyeznie, hogy azt könnyen felismerhessük, és a megfigyelés körülményeit még a megfigyelt területre való belépésünk előtt megismerhessük. Azaz fel kell tudnunk mérni, hogy mely területet figyel kamera. Mindezt annak érdekében, hogy egyrészt elkerülhessük a megfigyelést, vagy szükség esetén, ahhoz igazíthassuk a viselkedésünket. A figyelmeztető táblának tartalmaznia kell a legfontosabb információkat, így például az adatkezelés céljaira, az adatkezelő kilétére és az érintett jogainknak meglétére vonatkozó részletes tudnivalókat, valamint az adatkezelés legnagyobb hatásaival kapcsolatos információkat, például az adatkezelő (vagy harmadik fél) jogos érdekeit és (adott esetben) az adatvédelmi tisztviselő elérhetőségeit. Emellett utalni kell a részletesebb, második szintű tájékoztatásra is, valamint annak elérhetőségi helyére és módjára is.

Az Európai Adatvédelmi Testület ajánlása 1. szintű tájékoztatásra

A második szint

Az adatkezelőnek számunkra könnyen hozzáférhető helyen kell rendelkezésre bocsátania a második szintű tájékoztatást is. Például központi helyen (információs pultnál, recepción vagy pénztárnál) kihelyezett teljes körű tájékoztató lap vagy könnyen észrevehető plakát formájában. A tájékoztatásnak rendelkezésünkre kell állnia a megfigyelt területre való belépés nélkül is, különösen akkor, ha az adatkezelő digitálisan bocsátja azt a rendelkezésünkre. Bármilyen formában is nyújtják a tájékoztatást, annak tartalmaznia kell a GDPR 13. cikke értelmében kötelező összes információt, és az adatkezelő nem várhatja el, hogy ezeket az információkat különböző dokumentumokból (például kameraműködtetési szabályzatból, érdekmérlegelési tesztekből) vadásszuk össze.

A GDPR 13. cikke alapján amennyiben az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:            

a) az adatkezelőnek és ? ha van ilyen ? az adatkezelő képviselőjének a kiléte és elérhetőségei;            

b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;            

c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;            

d) jogos érdeken alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei;            

e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;            

f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, illetve ezen továbbítás garanciáit.

Ezen információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja:            

a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól;            

b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról;            

c) hozzájáruláson alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;            

d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról;            

e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása;            

f) automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

Munkavállalók tájékoztatása

Amennyiben munkavállalóként figyelnek meg minket, a tájékoztatásnak meglehetősen részletesnek kell lennie. A Hatóság álláspontja szerint ugyanis, a munkáltatónk az egyes kamerákról szóló külön tájékoztatásokkal tudja igazolni azt, hogy az adott terület megfigyelése összeegyeztethető a célhoz kötött adatkezelés elvével és nem válik ? adott esetben rejtett ? megfigyelésünk eszközévé.

?A munkavállalókat különösen az alábbi lényeges körülményekről kell tájékoztatni: az elektronikus megfigyelőrendszert üzemeltető (jogi vagy természetes) személy meghatározásáról,az adatvédelmi tisztviselő elérhetőségéről, amennyiben az adatkezelő nevezett ki ilyen személytaz egyes kamerák elhelyezéséről és a vonatkozásukban fennálló célról, az általuk megfigyelt területről, tárgyról, illetőleg arról, hogy az adott kamerával közvetlen vagy rögzített megfigyelést végez-e a munkáltató,az adatkezelés jogalapjáról,az adatkezelő jogos érdekének a meghatározásáról,a felvétel tárolásának időtartamáról,az adatok megismerésére jogosult személyek köréről, illetőleg arról, hogy a felvételeket mely személyek, szervek részére, milyen esetben továbbíthatja a munkáltató,a felvételek visszanézésére vonatkozó szabályokról, illetőleg arról, hogy a felvételeket milyen célból használhatja fel a munkáltató,arról, hogy a munkavállalókat milyen jogok illetik meg az elektronikus megfigyelőrendszerrel összefüggésben és milyen módon tudják gyakorolni a jogaikat,arról, hogy az információs önrendelkezési joguk megsértése esetén milyen jogérvényesítési eszközöket vehetnek igénybe. Ezen túlmenően pedig az adatkezelő köteles a kamerarendszer alkalmazásáról figyelemfelhívó jelzést, úgynevezett piktogramot jól látható helyen elhelyezni. A Hatóság álláspontja szerint tehát a munkáltatónak, mint adatkezelőnek az elektronikus megfigyelőrendszer alkalmazására vonatkozó, munkavállalók részére nyújtott tájékoztatójában minden egyes kamera vonatkozásában pontosan meg kell jelölnie, hogy az adott kamerát milyen célból helyezte el az adott területen és milyen területre, berendezésre irányul a kamera látószöge.? (NAIH-3748-1/2021.)

(Szerző: Dr. Albert Ágota ASZAKE Alelnök)

"Globális tekintetben az IoT-eszközök terjedése exponenciális jelleggel nő. A Findstack adatai szerint 2021-ben már 35.82 milliárd IoT-eszköz működik világszerte, 2025-re várhatóan már 38.6 milliárd ilyen eszköz lehet hálózatba kapcsolva, 2030-ra pedig ez a szám eléri majd az 50 milliárdot. Jelen tanulmányban kísérletet tesztünk a kockázatok és ezek hatásainak rendszerezésére, valamint átfogó képet kívánunk nyújtani arról, hogy milyen jogszabályok vonatkoznak ezekre az eszközökre. Írásunkban törekszünk arra is, hogy azonosítsuk az összes csatornát ahhoz, hogy felmérhessük, a honvédelmi ágazatban mekkora kockázatot jelentenek a szervezetszerűen rendszeresített IoT-eszközök, vagy az eddig nem ismert módon beszállított IoT-termékek."

A tanulmány teljes terjedelmében itt található: https://www.knbsz.gov.hu/hu/letoltes/szsz/2022_2_szam.pdf

Felderítő Szemle 2021/1. szám 151-180. o.

 

Dr. Négyesi Imre ezredes - Dr. Albert Ágota - Üveges András József százados

 A FELHŐALKALMAZÁSOK ADATVÉDELMI KÉRDÉSEI A GDPR TÜKRÉBEN

 

Napjaink szinte elválaszthatatlan része a felhőszolgáltatás. A felhőszolgáltatások lehetővé teszik az igény szerinti hálózati hozzáférést megosztott, konfigurálható számítástechnikai erőforrásokhoz, amelyeket gyorsan lehet allokálni és használatukat lezárni minimális menedzsment-ráfordítással vagy szolgáltatói közreműködéssel. Emellett a felhőszolgáltatások túlnyomó többsége már globálisan is hozzáférhető bárhonnan és viszonylag kis anyagi ráfordítással nagyméretű tárhelyeket tudunk bérelni személyes vagy üzleti adataink tárolására. 

A felhőszolgáltatásnak azonban árnyoldala is van, mivel előfordulhat, hogy a szolgáltatást igénybe vevők egyáltalán nem rendelkeznek kontrollal saját adataik felett és még az is elképzelhető, hogy azzal sincsenek tisztában, hogy éppen egy felhőszolgáltatást vesznek igénybe. A személyes és az üzleti adatok felhőben tárolása számos kockázatot hordoz, ezek egy részét pedig a szereplők a GDPR segítségével tudják csökkenteni, ideértve például az érintetti jogok érvényesíthetőségét, az alapelveknek való megfelelőséget valamint a beépített adatvédelem követelményét, amelyek mind erősíthetik a felhasználók bizalmát a felhőszolgáltatásokban.

 

Kulcsszavak: GDPR, adatvédelem, felhőszolgáltatás, információbiztonság.

 A tanulmány elérhető itt.

__________________________________________________________

  

National Security Review 1/2021 pp. 151-180

 

Colonel Imre Négyesi, PhD - Ágota Albert LL.M. - Captain András József Üveges

 

DATA PROTECTION ISSUES OF THE CLOUD SERVICE IN THE LIGHT OF THE GDPR

 

Nowadays, cloud computing and services are becoming more and more part of us. Cloud services provide on-demand network access to shared, configurable computing resources that can be quickly allocated and finished with minimal management effort or provider intervention. In addition, most cloud services are now available globally from anywhere, with relatively small financial sources we can rent large storage space for our personal or business data. Sensitive personal and business data stored in the cloud holds a number of risks. It is also important to emphasize that data stored in the European Union and in the EU Member States on cloud services should also be examined in the light of the GDPR. Inour article, we systematize and identify the risks that cloud service poses to GDPR compliance. What methods are currently used by service providers to protect personal and business data stored in the cloud, as well as the impact of GDPR on cybersecurity of cloud services.

 

Keywords: GDPR, data protection, cloud service, information security.

Felderítő Szemle 2021/1. szám 18-58. o.

  

Dr. Albert Ágota - Dr. Tóth Sándor alezredes - Üveges András József százados - Lévai Zsolt

A KÖZLEKEDÉSI RENDSZER ÉS AZ INFORMÁCIÓS TERRORIZMUS KAPCSOLATRENDSZERE

 

A terrorizmus nemcsak mindennapi biztonságunkat, hanem demokratikus társadalmaink alapértékeit, valamint az európai polgárok jogait és szabadságát is fenyegeti. A terrorizmus elleni küzdelem elsődleges prioritást jelent az Európai Unió és tagállamai valamint nemzetközi partnerei számára. Mára ezt a fenyegetést nemcsak a fizikai térben kell értelmezni, hanem a kibertérben is - mindeközben a kibertérből érkező fenyegetések a fizikai térben is rombolást vagy pusztítást okozhatnak. Az információs terrorizmus során végrehajtott műveletek érinthetik a közlekedési rendszereket, különös tekintettel az intelligens rendszerekre. Ezek a közlekedési rendszerek a működésükhöz szükséges nagy mennyiségű személyes adatot is tárolnak, amelyekre az információs terrorizmus szintén hatással lehet.

 

Kulcsszavak: információs terrorizmus, közforgalmi közlekedés, GDPR, adatvédelem.

 A tanulmány elérhető itt.

__________________________________________________________

  

National Security Review 1/2021 pp. 18-58

 

Ágota Albert LL.M. - Lieutenant-Colonel Sándor Tóth, PhD - Captain András József Üveges - Zsolt Lévai

 RELATIONSHIP OF TRANSPORT SYSTEMS AND INFORMATION TERRORISM

 

The terrorism threatens not only our daily life, but also the fundamental values of our democratic societies and the rights and freedom of European citizens. The fight against terrorism is a top priority for the European Union and its Member States, as well as for its international partners. Today, this must be interpreted not only in physical reality, but also in cyberspace. Threats from cyberspace can already wreak havoc or destruction in our real life. Operations carried out in the course of information terrorism can affect transport systems. These transport systems also store large amounts of personal data necessary for their operation, which can also be affected by information terrorism.

 

Keywords: information terrorism, public transport, GDPR, data protection

 

Albert, Ágota (2019) GDPR és a köznevelési intézmények - a GDPR bevezetésének 13+1 lépése a köznevelési intézményekben. In: Networkshop 2019. HUNGARNET Egyesület, Budapest, pp. 31-37.

Text

Albert.pdf

Download (125kB) | Előzetes bemutató

Hivatalos URL: http://doi.org/10.31915/NWS.2019.4

Tétel típus:Könyv fejezetSzakterület(ek):K Law / jog > K Law (General) / jogtudomány általábanSWORD Depositor:MTMT SWORDFeltöltő:Erika BilicsiElhelyezés dátuma:30 Dec 2019 13:45Utolsó változtatás:30 Dec 2019 13:45URI:http://real.mtak.hu/id/eprint/104952

forrás: http://real.mtak.hu/104952/

"A pillanat elszáll, a megörökítéséhez szükséges hozzájárulást viszont őrizni kell" 

 

Mit kell tudnunk az álló- és mozgóképek és a GDPR kapcsolatáról?

Először is azt, hogy a fénykép és a videofelvétel bizony személyes adat, amennyiben az természetes személyt ábrázol. (Megjegyzés: a továbbiakban az álló- és mozgókép mint képmás illetve felvétel egy kalap alá kerül az egyszerűség kedvéért, ahol a megítélésükben eltérés van, ott ez külön szóba kerül).

A GDPR szerint személyes adatnak számít az azonosított vagy azonosítható természetes személyre (érintettre) vonatkozó bármely információ. A meghatározás alapján kézenfekvő a kérdés, és ki az azonosítható természetes személy? Az, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.

A képmás (álló- vagy mozgókép) ezek után mindenképpen személyes adat, hiszen tökéletesen azonosíthatóak vagyunk a képmásunk alapján. Ha ez nem így lenne, mi célt szolgálnának a körözési fotók? Sőt, még a kamerafelvételen látható magatartásunk is személyes adatnak számít. Itt ugyan lehetnek kétségeink, hogy hátulról sötétben egy mozgó paca mennyiben tekinthető személyes adatnak, de van az a személy, aki még a mozgó elmosódott folt alapján is beazonosítható! Gondoljunk csak arra az esetre, amikor a falusi kisbolt mozgóképen megörökített betörője pontosan ugyanúgy sántít, mint a Fő utca kettőben lakó fickó, de a gyermekünk tanárát is felismerjük az osztályvideón még akkor is, ha csak hátulról látjuk.

Ha ezek után még valaki mer kételkedni, az Infotv. adatkezelés-fogalom meghatározása végképp meggyőzi, miszerint az adatkezelés az alkalmazott eljárástól függetlenül az adaton végzett bármely művelet vagy a műveletek összessége, így különösen

• gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása,
• lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása,
• törlése és megsemmisítése, valamint az adat további felhasználásának megakadályozása,
• fénykép-, hang- vagy képfelvétel készítése, valamint
• a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNS-minta, íriszkép) rögzítése.

Ha tehát fénykép, akkor GDPR, akár akarjuk, akár nem, azonban ez esetben nem hibáztatjuk a külhoni bürokratákat, mert már 2018. május 25. előtt is igen szigorú szabályok vonatkoztak hazánkban az álló- és mozgókép készítésére valamint felhasználásra. A jelenleg hatályos Polgári Törvénykönyvünk is kimondja, hogy képmás vagy hangfelvétel elkészítéséhez és felhasználásához az érintett személy hozzájárulása szükséges. Kivétel az a helyzet, amikor tömegfelvételről és nyilvános közéleti szereplésről készült felvételről van szó. A technika előhaladásával lehet azon vitatkozni, hogy mikortól tömegfelvétel a tömegfelvétel és az egyre nagyobb pixelszámot felhasználva mi van akkor, ha a tömegfelvételből személy azonosítására alkalmas egyéni felvétel varázsolható, ezért ha kétségünk van abban a tekintetben, hogy jogszerűen járunk-e el a felvétel közzétételénél, határozzuk meg mi a felbontást. A tömegkép maradjon tömegkép és ne rakjunk fel a honlapunkra olyan mértékben nagyítható felvételeket, ahol az előadáson az ötödik sor második székén ülő illető fogsoráról látszik, hogy dohányzik-e az illető vagy sem. Ha pedig mégis ilyen képekkel szeretnénk elárasztani a netet, akkor szerezzük be az érintettek hozzájárulását.

Mankóul szolgálhat még a korábbi bírói gyakorlat, miszerint "a képmás nyilvánosságra hozatalának tilalma nem vonatkozik a nyilvános eseményekről, rendezvényekről, táj- és utcarészletekről készült felvételekre, amikor tehát az ábrázolás módja nem egyéni, amikor a felvétel összhatásában örökít meg a nyilvánosság előtt lezajlott eseményeket (1985)."

 A Hatóság is hasonló állásponton van, eszerint ha olyan felvételt készítünk például egy nyílt rendezvényen, amelyeken sok jelenlévő látható, és a felvételen az ábrázolás módja nem egyedi, úgy ez a nyilvános rendezvényen készült felvétel tömegfelvételnek minősül, azaz a rendező szervezet honlapján közzétételhez nem feltétlen szükséges az érintettek hozzájárulását beszerezni. A Hatóság tanácsa, hogy minden egyes felvétel esetében külön-külön meg kell vizsgálnunk, hogy az tömegfelvételnek minősül-e, mert ha nem, mindenképpen szükséges a közzétételhez az érintettek hozzájárulása.

 

Ami feltétlen kell a fényképek és videofelvételek jogszerű kezeléséhez, az a hozzájárulás 

A GDPR alapján a hatból az egyik adatkezelési jogalapunk a hozzájárulás és felvételek készítése esetén erre bizony nagy szükségünk is van. A felvételek esetén ráadásul rögtön minimum két hozzájárulást is kell kérnünk, az egyiket a felvétel készítéséhez, a másikat pedig a nyilvánosságra hozatalhoz, ezen kívül mindig figyelmeztetnünk is kell az érintettet a hozzájárulás visszavonásának lehetőségére.

Arra azonban vigyázzunk, hogy a hozzájárulás nem lehet bármilyen, tartalmát illetően szigorú jogszabályi követelményei vannak. A hozzájárulásnak

• megfelelő tájékoztatáson kell alapulnia,
• önkéntesen és egyértelmű megerősítő cselekedettel kifejezett nyilatkozatnak kell lennie,
• bizonyíthatónak is kell lennie.

Fontos tehát, hogy

• előre eláruljuk, mire szeretnénk a felvételt használni, milyen jogai vannak az érintettnek az adatkezelésünkkel kapcsolatban és a hozzájárulás visszavonásának lehetőségéről is tájékoztatnunk kell őt. Ráadásul rögtön két külön nyilatkozattal kell indítanunk (készítés és felhasználás) és a felhasználás esetében is jobb, ha a "valamire csak jó lesz?" felhasználási célnál egy kicsit konkrétabbat jelölünk meg, például a szervezetünk újságjában, honlapján, illetve az évkönyvében szeretnénk majd megjelentetni a képeket egy esemény illusztrálásaként. Ez utóbbi főleg akkor ajánlott, ha nem akarunk jogosulatlan adatkezelésbe keveredni, meg felesleges, drága perek elé nézni.
• amennyiben az adatkezelésünk egyszerre több célt is szolgál, a hozzájárulást az összes adatkezelési célra be kell szerezni, tehát amennyiben a fénykép elkészítése mellett például hírlevél küldésére használjuk fel a természetes személy adatait, vagy a fényképet a honlapon és más kiadványban is meg kívánjuk jelentetni, esetleg külföldre (pl. egy konferenciára, nemzetközi kiadványba továbbítjuk), úgy a tájékoztatásnak és a hozzájárulásnak ezekre is ki kell terjednie. És minden külön célra külön hozzájárulást kell kérnünk.
• az önkéntesség, mint követelmény elsőre furán néz ki (általában senkinek sem szoktunk fenyegetéssel rávenni, hagy fotózzuk már le), de gondoljunk bele, ha az érintettel egy aláírás elé négy különféle témájú hozzájárulás-nyilatkozatot is begyömöszölünk, akkor vajon melyikre szól az aláírás? Elviekben mind a négyre, de mi van akkor, ha az érintett szíve szerint csak hármat írna alá, a negyediket pedig egyfajta árukapcsolásnak értékeli és muszájból írja alá? Abban az esetben is kétséges az önkéntesség, ha egy rendezvényen csak úgy vehet részt valaki, ha fotó készül róla. Mert az elvárni, hogy az érintett egyfolytában úgy helyezkedjen, hogy egyetlen kamera látószögébe se kerüljön be, elég botor dolog lenne. A hozzájárulás önkéntessége különösen fontos akkor, amikor munkavállalónk fotóját, videofelvételét szeretnénk például a honlapunkra kitenni.
• a hozzájárulásnak nem kell írásban megtörténnie, de vajon mennyivel könnyebb helyzetben vagyunk (illetve leszünk), ha vita esetén az érintett elé tudunk tenni egy bizonyító erejű papírt? Természetesen nem minden helyzetben életszerű az, hogy papír hátán papírt gyártsunk, ezért vannak olyan generális megoldások, mint például a kamerával megfigyelt területek esetében, ahol a látogatók számára egyrészt jelezni kell a megfigyelés tényét, másrészt tájékoztatást is ki kell függeszteni arról, hogy milyen jogai vannak az érintetteknek, hol lehet panaszkodni, hol tárolják a felvételeket, stb. A látogató pedig az előzetes tájékoztatás alapján eldönti, hogy belép-e a megfigyelt területre vagy sem.
• a hozzájárulás visszavonható, azonban az érintettnek is tudatában kell lennie annak, hogy vannak olyan helyzetek, amikor már igen nehéz visszagyömöszölni a szellemet a palackba. Ha hozzájárult a felvétel elkészítéséhez és nyilvánosságra hozásához, ám később rájött, nem is olyan jó ötlet volt ez, akkor nekünk mindent meg kell tennünk a kívánságának teljesítése érdekében: a felvételt meg kell semmisítenünk, illetve le kell vennünk a honlapunkról attól függően, mire is irányult az eredeti engedély és mire a visszavonás. Azonban ha valaki fél év elteltével jön rá, hogy furán áll a nyakkendője a szervezetünk marketingkiadványában leközölt fotón és emiatt utólag nagyon-nagyon rosszul érzi magát és sérelmesnek tartja a helyzetet, nem igazán elvárható, hogy mind a háromezer példányt visszahívjuk és megsemmisítsük. Arról pedig ne is beszéljünk, a hozzájárulást minden egyes külön adatkezelés tekintetében vissza lehet vonni külön-külön és együttesen is, tehát lehet fejfájást okozni a másiknak azzal, hogy csak a nyilvánosságra hozásra vonatkozó hozzájárulást vonjuk vissza, a készítésre vonatkozót nem, és fordítva. Vagy reklámkiadványba mehet a kép, honlapra viszont nem.
• különösen vigyázni kell a 18 év alattiakról képmás készítésével és nyilvánosságra hozatalával kapcsolatban, ez esetben ugyanis a szülői felügyeleti jogot gyakorló személy engedélye szükséges ahhoz, hogy a hozzájárulás érvényes legyen. A Hatóság korábban azt is megkövetelte (még a GDPR előtt, amikor az adatvédelmi korhatár 16 év volt), hogy a 14-16 év közötti gyermekek esetén mind a szülő, mint a gyermek hozzájárulása meglegyen. Szerencsére az nincs előírva, hogy ki kell kutatnunk, tényleg gyakorolja-e az adott szülő a felügyeleti jogot, szóbeli tájékoztatást vagy írásbeli nyilatkozatot is elfogadhatunk e tárgyban és valószínűleg akkor járunk el a legóvatosabban, ha a 14-18 év közötti érintett esetén nemcsak a gyermek, hanem a szülői felügyeleti joggal rendelkező személy hozzájárulását is beszerezzük.

Végezetül vegyünk néhány gyakori képmás-esetet:

 

Munkavállalóinkról készítünk fotókat és azt rakjuk ki a honlapunkra, szórólapunkra, stb.

Egyetlen alkalmazottunknak sem kötelessége önként pózolni és arcát adni (kivéve természetesen ha ez a munkaszerződésében vagy a munkaköri leírásában szerepel), azaz az ő esetükben is mindig kell kérnünk a hozzájárulást a felvétel elkészítéséhez és nyilvánosságra hozásához. Ha nincs ilyen hozzájárulásunk (és utólag sem tudjuk azt beszerezni), akkor ezeket a képeket, videofelvételeket bizony le kell szednünk mind a hivatalos honlapunkról, mind a szervezetünk Facebook oldaláról és bármilyen más nyilvános helyről is. Arról pedig ne is beszéljünk, mi történik akkor, ha egyrészt elfelejtettünk hozzájárulást kérni a dolgozónktól, másrészt pedig olyan felvételt engedünk szabadjára a neten, amely mélyen belegázol a privát szférájába, netalán sértő helyzetbe hozza őt például azzal, hogy rendezetlen ruhában, kócosan, piszkosan, netalán a kamerabeállítás miatt túlságosan vastag lábbal, eltorzult arccal, vagy akár a valóságosnál sokkal méretesebb hátsóval tesszük közzé. Ha pedig még a porig alázott munkavállalónk kérése sem vagyunk hajlandóak eltávolítani a netről a felvételt, ne csodálkozzunk, ha pert akaszt a nyakunkba és sérelmi díjat követel azt sem bánva, ha emiatt elveszti az állását. Arra is nagyon kell ügyelnünk, ha a munkavállalónk nem járul hozzá ahhoz, hogy róla álló- vagy mozgókép készüljön és/vagy nyilvánosságra kerüljön, emiatt nem érheti semmilyen joghátrány.

 

Ügyfelekről, partnereinkről készült felvételek honlapokon, reklámkiadványokban

Amennyiben például egy állatorvos esetében a gazdi nincs rajta a képen csak a nagy, szőrös, tizenkettő egy tucat kinézetű négylábú kedvence, az állatorvos nem kezel személyes adatot. Ha a gazdi is ott van és látszik a képen, netalán olyan kutyája van, amelyről a tulajdonosa beazonosítható (lásd például mém-állatok, díjnyertes vagy celeb-ebek stb.), akkor bizony kérnünk kell a hozzájárulását a felvétel készítéséhez és nyilvánosságra hozatalához. Ugyanez vonatkozik arra az esetre is, amikor belső építészként a megbízásunk végeredményt akarjuk bemutatni úgy, hogy a minket megbízó házigazda kalauzolja végig a nézőt a lakásán, irodáján.

 

Rendezvényeken készült felvételek

A Hatóság álláspontja szerint a rendezvényen résztvevőket előzetesen, megfelelő formában, igazolhatóan tájékoztatni szükséges a felvételkészítésről és annak jogalapjáról (leginkább a meghívóban). Amennyiben a rendezvényre nem lehet belépni úgy, hogy a kép/videó készítése kizárható lenne, akkor önkéntes hozzájárulásról, mint adatkezelési jogalapról nem beszélhetünk, ebben az esetben például a mi, vagy harmadik személy jogos érdeke lehet a jogalap az adatkezelésünkhöz. Ha a jogos érdeket választjuk jogalapnak, akkor érdekmérlegelési tesztet kell végeznünk, illetve tájékoztatnunk kell a jogos érdekről a megjelenteket. Az érdekmérlegelési tesztnek ki kell térni olyan tényezőkre, amelyek az adatkezelés jogszerűségét támasztják alá (pl. az adatkezelés céljának megfelelő feltételek, tárolási idő meghatározása, stb.)

A Hatóság szerint nem életszerű, hogy nyilvános rendezvényeken történő felvételkészítések esetén a rendezvények megkezdése előtt minden részletre kiterjedő tájékoztatás nyújtsunk, inkább azt javasolja, hogy a rendezvény megkezdése előtt egy szóbeli, vagy a rendezvényt hirdető felületen egy írásbeli rövid tájékoztatás nyújtsunk

• az adatkezelőről (ki vagyunk),
• az adatkezelés céljáról (milyen célból és milyen felületen tesszük közzé vagy használhatjuk fel a felvételeket),
• kiknek adhatjuk át a felvételeket,
• az adatkezelés időtartamáról,
• a felvételek elérhetőségének helyéről, továbbá arról, hogy
• milyen módon kérheti azt az érintett személy, hogy a felvételt ne hozzuk nyilvánosságra, illetve
• miként van lehetőség a felvétel törlésére, továbbá
• a részletes és minden releváns tényt tartalmazó adatkezelési tájékoztatónkat hol ismerhetik meg az érintettek (például a honlapunkon).

Amennyiben nem tájékoztatható az érintett a kapcsolat hiánya miatt, akkor a személyes adatát tartalmazó felvételt vagy törölni vagy anonimizálni kell (azaz a felvételt személyazonosításra alkalmatlanná kell tenni, mint például a Google street view felvételeken teszik ezt).

 

dr. Albert Ágota adatbiztonsági és adatvédelmi szakjogász, adatvédelmi tisztviselő

Mikor és hogyan működtethetünk kamerarendszert?

A GDPR salátatörvény hatályba lépése óta (2019. április 26.) jelentősen megváltozott a kamerarendszer működtetési feltételeinek hazai szabályozása (lásd 2005. évi CXXXIII. tv., továbbiakban Szvtv.), a módosítás célja pedig a vagyonvédelmi törvény GDPR rendelkezéseihez igazítása volt.

A jelenleg hatályban lévő szabályzás alapján kamerarendszert a GDPR szabályainak figyelembevételével szerelhetünk fel kép, hang, illetve kép-és hangrögzítést lehetővé tevő elektronikus eszközt székhelyünkön, telephelyünkön, üzletünkben, társasházban, illetve az általunk használt helyiségekben, vagy bármilyen egyéb ingatlanon. Korábban az Szvtv. tételesen felsorolta, hogy milyen esetekben folyamodhatunk ehhez a megoldáshoz (pl. emberi élet, testi épség, személyi szabadság védelme, veszélyes anyagok őrzése stb.), a GDPR óta az alapelveknek megfelelést kell bizonyítanunk (célhoz kötöttség, adattakarékosság stb.), illetve az adatkezelés szükségességét, valamint az adatkezelésünk során az érintettek jogainak és szabadságainak korlátozása tekintetében az arányosságot.

Egy társasház esetében például a szükségesség-arányosság érdekében felhozhatjuk az alábbi indokokat:

• a környék közbiztonsága hagy némi kihívást maga után, rendszeresek a betörések, besurranó tolvajlások és a tulajdonosok, bérlők joggal aggódhatnak saját vagyonuk, de akár testi épségük biztonsága miatt,
• a közös tulajdon vagyonvédelme is fontos (lépcsőházi világítás rendszeres tönkretétele, postaládák felfeszítése stb.) és
• aggódhatunk a testi épség miatt is, hiszen soha nem tudhatjuk, a kapualjban hogyan feszülhetnek egymásnak az indulatok (azaz ki kit üt meg megsértődve azon, hogy a biciklijét csak másodiknak tolhatta be, netalán a kutyák hogyan feszültek egymásnak és marakodtak össze a gazdikat is veszélyeztetve),
• de történhetnek olyan bosszantó ?apróságok? is, amelyek hosszabb távon a lakók idegeit borzolják, de nagyon (lépcsőházi fikusz meglovasítása, lábtörlők eltűnése, grafiti, kutyapiszok a lépcsőfordulóban stb.).

Természetesen a fentieken kívül számos okunk lehet még kamerarendszer üzemeltetésére, azonban mindig ügyelnünk kell arra, hogy a szükségesség-arányosság elvét betartsuk és a használt eszköz (kamerarendszer, azaz az elektronikus megfigyelés) alkalmas legyen az adatkezelési célunk megvalósítására és ne legyen olyan másik eszköz, amely kevésbé beavatkozva az érintettek privát szférájába ugyanazt az eredményt hozná (például a társasház kapujának éjjel-nappal kulcsra zárásának megkövetelése, kaputelefon üzemeltetése stb.)

 

A megfigyelőrendszer üzemeltetése nem könnyű abban az esetben, ha be akarunk tartani minden jogszabályi és hatósági kívánságot. Egyetlen kameránk 

a)     sem figyelhet közterületet (azaz a kameránk nem nézhet ki például a kapunkon és a fél utcát sem fedhetjük le a kameránkkal, bármennyire is szeretnék ezt),

b)     sem figyelhet kizárólag egy munkavállalót és az ő tevékenységét (azaz nem állíthatjuk be úgy, hogy egész nap a recepcióst vegye), de nem figyelheti például társasházban közvetlenül a lakások ajtóit-ablakit sem,

c)     célja sem lehet a munkavállalók munkahelyi viselkedésének a befolyásolása (azt hogy dolgozzon és ne a telefonját nyomkodja munkaidőben, ezt a célt más módon kell elérnünk)

d)    sem szerelhető fel öltözőben, zuhanyzóban, illemhelyiségben, emberek ellátására szolgáló orvosi szobában és az ehhez tartozó váróban, valamint olyan helyiségben sem, amelyben a munkavállalók a munkaközi szünetüket töltik. Csak néhány esetében lehet kivételt tenni, például amikor a kamera látószöge csakis az általunk védeni kívánt vagyontárgyra irányul (mondjuk a már többször megrongált, drága kávéautomatára), vagy ugyan van kamera felszerelve, de csak akkor készíthet az felvételt, amikor jogszerűen senki sem tartózkodhat a helyiségben (például munkaidőn kívül).

Az elektronikus megfigyelőrendszer alkalmazhatóságának abszolút korlátja az emberi méltóság tiszteletben tartása, valamint ami még nagyon fontos, nekünk, földi halandóknak tilos rejtett kamerát használnunk.

 

Az elektronikus eszköz által rögzített felvételen nemcsak az azon szereplő személy képmását és hangját, hanem a magatartását és az abból levonható következtetést is személyes adatnak kell tekintenünk. Azért, mert valaki arca nem látszik a képen még nem biztos, hogy nem felismerhető az illető, hiszen például sántíthat úgy, hogy a ház lakóinak kétharmada egész biztos felismerné és 99%-os magabiztossággal állítaná, a második emelet kettő szám alatt lakó középkorú férfi settenkedett éjszaka az udvarban. Sőt, a rendszám is személyes adatnak minősül, erre feltétlen ügyelnünk kell akkor, ha például a céghez vagy éppen a társasházhoz tartozó parkolót, garázst is figyeljük.

Elektronikus megfigyelőrendszer alkalmazása során az adatkezelés jogalapja (általában) a jogos érdekünk (esetleg harmadik személy jogos érdeke). A megfigyelőrendszerrel kapcsolatos adatkezelés megkezdése előtt minden esetben érdekmérlegelési tesztet kell készítenünk és ennek eredményéről tájékoztatnunk is kell az érintetteket. Sőt, ha kifejezetten kéri az érintett ezt az érdekmérlegelési tesztet, akkor - a hatóság gyakorlatát figyelembe véve - ezt rendelkezésére kell bocsátanunk, nem mondhatjuk az, hogy nincs köze hozzá.

Az előzetes tájékoztatásnak minden érintettre ki kell terjednie, az érintetteket lehetőleg már a megfigyelt területre belépés előtt figyelmeztetnünk kell az adatkezelésre (a kamerarendszer működésére). Nem elég csak egy piktogram kihelyezése, a tájékoztatónak alapvető információkat kell tartalmaznia az adatkezeléssel kapcsolatban (pl. adatkezelő személye, elérhetősége stb.)

A megfigyelt területen minden egyes kameránál jól látható helyen figyelemfelhívó tájékoztatást (jelzést) kell elhelyeznünk. Ezt a tájékoztatást minden egyes, a megfigyelt területen elhelyezett kamerával kapcsolatban meg kell adnunk (azaz annyi kis táblácskát kell kitennünk, ahány helyiséget, egyéb területet, pl. udvart megfigyelünk). Amennyiben álkamerát szerelünk fel, a tájékoztatásnak ki kell terjednie arra a tényre, hogy a kamera nem készít felvételt (hogy ebben az esetben minek rakunk fel álkamerát, már más kérdés).

Munkavállalók esetében ügyelnünk kell arra, hogy a régi és az új munkavállalóinkat is írásban, utólag is igazolható módon kell tájékoztatnunk a megfigyelőrendszerünkről, ennek a tájékoztatónak pedig kötelező tartalma a GDPR 13. cikke alapján:

a)     az adatkezelésünk, azaz a felvétel készítésének jogalapja (GDPR 6. cikk (1) bekezdés valamelyik pontja),

b)     az egyes kamerák elhelyezése és célja, az általuk megfigyelt terület és/vagy tárgy, valamint az, hogy a kamera közvetlenül vagy rögzítetten figyel-e (ezt foglaljuk táblázatba, ebben az esetben minden egyes kameránál minden egyes adatot egész biztosan megadunk és semmit sem hagyunk ki)

c)     az üzemeltető (jogi vagy természetes) személy megnevezése, valamint az adatkezelő és az adatfeldolgozó személye (amennyiben biztonsági cég foglalkozik a felvételek tárolásával és adott esetben feldolgozásával, ez a cég adatfeldolgozónak számít, tehát ennek megfelelő tartalmú szerződést kössünk velük),

d)    a felvételt hol és meddig tároljuk, valamint a felvételek tárolásával kapcsolatban milyen adatbiztonsági intézkedéseket teszünk,

e)     ki mikor és hogyan nézheti meg a felvételeket, hogyan használhatja fel azokat, illetve kinek, mikor, hogyan és milyen célból továbbíthatók a felvételek (ezen a téren különösen óvatosan kell eljárnunk, ez a pont igazi banánhéj az adatkezelésünk szempontjából),

f)      melyek a munkavállalóink jogai és hogyan tudják ezeket gyakorolni, valamint hol és hogyan tiltakozhatnak adatkezelésünk ellen, valamint hol tehetnek panaszt, illetve

g)     a munkavállalóink az információs önrendelkezési joguk megsértése esetén milyen jogérvényesítési eszközöket vehetnek igénybe velünk szemben.

A tájékoztatót külön dokumentum formájában írassuk alá a munkavállalóinkkal és annak egy (aláírt) példányát helyezzük el a személyi anyagukban ezzel igazolva, hogy a megfigyelőrendszerrel kapcsolatban a tájékoztatási kötelezettségünknek eleget tettünk.

Az ügyfeleink, látogatóink tájékoztatása céljából jól látható helyen és módon tájékoztatót kell kihelyeznünk, valamint figyelmeztetnünk kell őket arra, hogy jogos érdekünk alapján készítünk felvételt, ez ellen pedig tiltakozhatnak.

Ennek a tájékoztatónak is meg kell felelnie az előzetes tájékoztatás követelményeinek, azaz nem dőlhetünk hátra a kis táblácskák kihelyezésével, hogy bizony mi mindent megtettünk, amit a jogszabály előír.

 

A kamerarendszer működtetésének feltételeit külön szabályzatban kell szabályoznunk, beleértve olyan részleteket is például, hogy

• a felvételekhez ki férhet hozzá,
• ki mikor milyen jogosítványokkal rendelkezik,
• az érintettek hogyan gyakorolhatják hozzáférési jogukat,
• milyen határidőkkel kell számolnunk,
• a felvételek végletes törléséről ki győződik meg, azt ki felügyeli
• milyen esetben nézhetőek vissza a felvételek és erre kiadhat engedélyt, illetve
• a szükséges formanyomtatványokat is mellékelnünk kell a szabályzathoz (felvétel megtekintésének kérelmezése és engedélyezése, esemény napló, felvétel megsemmisítési jegyzőkönyv, stb.

A rögzített felvételeket régebben alapszabályként három munkanapig tárolhattuk, kivéve akkor, ha jogszabály többet engedélyezett (ekkor harminc, illetve hatvan napig lehetett tárolni). Ezeket a határidőket a salátatörvény kivette az Szvtv-ből, így az adatkezelőre hárul annak meghatározása, meddig kívánja őrizni a felvételeket, különös tekintettel a GDPR alapelveire. A felügyeleti Hatóság felé a tárolási időtartammal kapcsolatos döntésünket megfelelő érvekkel alá kell tudnunk támasztanunk. Amennyiben a Hatóság az érvrendszerünket nem fogadja el, illetve eleve sem bajlódtunk adatkezelésünk megfelelő alátámasztásával (például nem végeztünk érdekmérlegelési tesztet), abban az esetben jogosulatlan adatkezelésért igen komoly büntetésre számíthatunk.

Az elektronikus megfigyelőrendszer működése útján rögzített kép-, hang-, valamint kép- és hangfelvétel megismerésének okát és idejét, valamint a megismerő személyét jegyzőkönyvben kell rögzíteni. Az ezen adatokat igazolható módon tartalmazó elektronikus nyilvántartás is jegyzőkönyvnek minősül.

Amennyiben a felvételen szereplő személy kéri tőlünk a rá vonatkozó felvétel másolatának kiadását, azon azonban másik érintett is látható (azaz más érintett személyes adatait is tartalmazza a felvétel), akkor a másolatot nem adhatjuk ki, illetve csak akkor, ha a felvételen szereplő összes személy korrekt előzetes tájékoztatás után hozzájárult ahhoz. Megoldás lehet még a felismerhetetlenné tétel (kikockázás, elhomályosítás stb.), illetve az, hogy részletesen leírjuk, ki mit csinált a felvételen, de magát a felvételt nem adjuk ki. Megkérhetjük az érintettet, hogy illetékes helyen kezdeményezzen olyan eljárást, amelynek keretében hivatalosan ki tudjuk adni a felvételt, mi pedig az átadásig korlátozzuk azt (pl. kimentjük azt egy külön fájlban és elkülönítve, jelszóval védve tároljuk stb.). Adatkezelésünkben nem érintett is kérheti a felvételt, ebben az esetben alaposan meg kell fontolnunk, kiadjuk-e, és ha igen, akkor hogyan adjuk ki a másolatot. Mikor fordulhat elő ilyen? Például akkor, ha a társasházunk kapualjában lévő postaládába a postás erőteljesen visszadátumozott értesítőt dobott be (ezzel lehetetlenné téve hivatalos irat kézbesítését) és egy, a munkáltatóhoz érkezett panasz alapján a posta szeretné az ügy kivizsgálásához kikérni a felvételt.

A felvétel megnézésére jogosult személyek körét is meg kell határoznunk a szabályzatunkban. A kamerarendszer szabályos működtetésének utólagos bizonyítása érdekében vezessünk eseménynaplót, melybe (például) a következő eseményeket jegyezhetjük be:

• megtekintés,
• korlátozás,
• érintetti hozzáférési jog gyakorlása,
• másolat kérése, készítése és kiadása,
• adattovábbítás,
• törlés, valamint
• egyéb események,

illetve az ezekkel az eseményekkel kapcsolatos

• időpontok,
• személyek (adatkezelő, adatfeldolgozó, érintett, címzettek köre), valamint
• a felvételt is nevezzük meg (pontosan beazonosíthatóan), amellyel kapcsolatban az adott esemény történt.

Amennyiben a felvételt továbbítjuk harmadik személynek (pl. hatóságnak vagy bíróságnak), ezt az adattovábbítási nyilvántartásunkba - a továbbítás garanciáinak megjelölésével -mindenképpen be kell vezetnünk.

Fontos: amennyiben a hazai szabályozás és a GDPR ütközik, a GDPR szabályai az irányadóak!

 

dr. Albert Ágota adatvédelmi és adatbiztonsági szakjogász, adatvédelmi tisztviselő

 

Hogyan váljunk GDPR-kompatibilissá? - Még a leghosszabb út is az első lépéssel kezdődik ...

Annak ellenére, hogy a két évvel ezelőtti tavasz nemcsak a fecskéket meg az aranyat érő májusi esőt hozta meg, hanem a GDPR-t is és még a csapból is az adatvédelem folyt, csak kevesen érzik úgy, nem egy túlburjánzott esőerdőben bolyongnak valahol ott, ahol nagyon nem szeretnének lenni.

Pedig a GDPR valójában nem sok újdonságot tartalmaz, mondogatták a szakértők ? és ez teljesen igaz is lenne, ha a magyarok az elmúlt években rá lettek volna szoktatva arra, bizony az adatvédelem fontos és nemcsak akkor, amikor érintettként mi saját magunk szenvedjük el a felelőtlen adatkezelés hatásait, hanem akkor is, amikor mi kezeljük mások adatait. Vannak akik foggal-körömmel ragaszkodnak ahhoz, ők bizony jól kezelik az adatokat, aztán persze kiderül, etikusan még csak-csak, de jogszerűen egész biztosan nem. A GDPR bevezetése pedig mindenkit, aki adatkezeléssel foglalkozik, rákényszerít a rendrakásra. Mert a GDPR nem egy fiókba zárt szabályzat és nem is egy szerződéses záradék ? a GDPR egy olyan szemlélet, amely az érintettek szempontjából kanyarogtatja végig velünk utunkat az úgy-ahogy GDPR-kompatibilissá válás labirintusában. Mert hiú reményünk ne legyen, a tökéletes megfelelés állapotát soha nem fogjuk elérni, de az elvárható tőlünk, hogy a legnagyobb gondossággal kezeljük a ránk bízott adatokat és tevékenységünkkel a lehető legkevesebb kárt okozzunk másoknak.

Ha rendet akarunk tenni saját házunk táján (iratszekrényeinkben, merevlemezeinken, felhőinkben, meg ahol csak adatokat raktározunk) akkor jobb, ha átgondoljunk, milyen sorrendben is fogjunk a szükséges feladatok végrehajtására. És vigasztaljuk magunkat, minél idősebb egy szervezet, bizony annál több adata van, ráadásul azok egy jó részéről a kutya sem tudja már, honnan került oda. Ha pedig nem akarunk magunknak a szükségesnél kétszer-háromszor több munkát, mint amennyivel mindenképpen meg kell birkóznunk, jobb ha előre megtervezzük a lépéseinket. Íme egy lehetséges forgatókönyv.

1.     lépés: mivel foglalkozunk? Vonatkoznak ránk a GDPR adatvédelmi tisztviselő kötelező kinevezésével kapcsolatos rendelkezései? Ha igen, sürgősen keressünk egy olyan szakembert, aki elvállalja ezt a funkciót és jelentsük be a Hatóságnál. Az adatvédelmi tisztviselő (DPO) ?beüzemelésével? ugyan nem nyugodhatunk meg, hogy immáron minden rendben van, de a következő lépések megtervezésénél és kivitelezésénél már kérhetjük a tanácsát ? azonban jobb ha tudjuk, a felelősség mindig az adatkezelőé, az adatvédelmi tisztviselő ?csak? tanácsot ad, szakértelem-hiányos tisztviselő muszáj-kinevezésével pedig belekormányozzuk magunkat a vak vezet világtalant labirintusba.

Ha nem kötelező adatvédelmi tisztviselő, abban az esetben is megbízhatunk valakit ezen feladatok ellátásával, munkánkat a szakértelme nagyban meg fogja könnyíteni. Külső szakértőt is igénybe vehetünk, őt üzleti és magántitkaink tekintetében jogszabályban foglalt titoktartási kötelezettség terheli és tanácsadása tekintetében felelősségbiztosítást is elvárhatunk tőle.

2.     lépés: hol vannak az adataink? Szedjük össze az adatkezeléseinket (azaz adatvagyonunkat), válogatás nélkül mindet, amink csak van. És higgyük el, több lesz, mint amennyit gondolunk, hiszen ott vannak a munkavállalókkal, ügyfeleinkkel-partnereinkkel kapcsolatos adatkezelések, aztán lehet honlapunk, kamerarendszerünk, hírlevelünk és tevékenységünktől függően egy rakás speciális nyilvántartás vezetésével is bíbelődhetünk nap mint nap. És nemcsak az adatkezeléseinket kell leltárba gyűjtenünk, hanem be kell azonosítanunk jogalap és adatáramlás szempontjából: kezelhetjük őket? kik az érintettek? átadjuk másoknak? meddig tárolhatók, mikor jár le a szavatosságuk?

3.     lépés: mink van? Ha nem akarunk olyan adathalmazban elveszni, amely egy része már egészen biztosan nem jogszerűen van nálunk, például régen le kellett volna selejtezni vagy netalán elfelejtettünk annak idején hozzájárulást kérni az adatkezelésre. Ezt a folyamatot hívjuk az adatvagyonunk tisztításának, a végeredménye pedig az lesz, hogy végre újra elférünk az iratszekrényeinkben és a merevlemezeken (felhőkben, stb.) is felszabadul egy csomó hely. Ehhez meg kell határoznunk a tisztítási kritériumokat (lejárt szavatosság okán mi érett meg a megsemmisítésre), illetve azoknak az adatoknak a kezelését, amelyek kezeléséhez nem találunk jogalapot, meg kell szüntetnünk (szintén jöhet a megsemmisítés vagy a végleges törlés). Lehetnek azonban olyan adataink is, amelyeket annak ellenére nem akarunk kidobni, hogy nincs jogalapunk a kezelésére, ezek esetében utólagosa be kell szereznünk például az érintett hozzájárulását annak érdekében, hogy ne bonyolódjunk jogosulatlan adatkezelésbe.

4.     lépés: mi kell? Ha végeztünk a tisztítással (azaz megszabadultunk mindentől, ami nem kell), elérkezett az idő a releváns adatvagyonunk meghatározására, azaz a GDPR-kompatibilis adatstruktúra meghatározására adatbázisok, nyilvántartások formájában és elkészíthetjük a viszonylag végleges adatvédelmi nyilvántartásunkat is. Meg kell határoznunk a GDPR szabályait figyelembe véve az adatáramlási folyamatainkat is, például mi kerül az adatfeldolgozóinkhoz (könyvelőhöz, vagyonőrhöz, futárszolgálathoz, stb.), valamint meg kell vizsgálnunk a külföldre adattovábbításaink jogszerűségét, illetve garanciáit. A GDPR mind az adatfeldolgozásnak, mind a külföldre továbbításnak nagy figyelmet szentel, így ez számunkra is kötelező, ha nem akarunk később magyarázkodni a Hatóságnak.

5.     lépés: kikkel állunk kapcsolatban? Az érintettek igényeinek, kéréseinek megfelelés módját is meg kell határoznunk és ki kell dolgozunk a részleteket:

a)     a hozzájáruló nyilatkozataink sablonját a GDPR követelményeihez kell igazítanunk (jogalap: hozzájárulás)

b)     adatkezelési tájékoztatókat kell készítenünk online és offline (jogalap: szerződés, jogi kötelezettség, hozzájárulás, stb.)

c)     egyes adatkezeléseink esetében érdekmérlegelési teszteket kell végeznünk, és nemcsak el kell végeznünk ezeket, hanem az eredményét dokumentálnunk is kell (jogalap: jogos érdek)

d)    protokollt kell kidolgoznunk olyan esetekre, mint az érintettek kérdéseire válaszadás, adatvédelmi incidens kezelése, illetve incidens esetén az érintettek tájékoztatása, stb.

6.     lépés: hol lehet baj? Az adatkezelés veszélyes üzem, ezért aztán a kockázatelemzést sem ússzuk meg és nemcsak beazonosítani kell a kockázatainkat, hanem nyilvántartani, figyelemmel kísérni és elemezni is. Be kell szereznünk az általunk használt szoftverek tanúsítványait (?GDPR-megfelelés igazolása?) és az adatfeldolgozóinkkal is módosítanunk kell a szerződéseinket (felelősségek meghatározása, adatvédelmi incidens jelentése azonnal, a szerződés megszűnése esetén az adatok sorsa stb.). A GDPR megköveteli a kockázatcsökkentést, mint prioritást.

7.     lépés: hogyan dolgozzunk? Egy-két összetettebb, GDPR szempontjából kényesebb feladatot meg kell terveznünk, például:

a)     az adatkezelések folyamatát ki kell dolgoznunk (szabályzatok, adatkezelési sémák, folyamatábrák összeállítása, felelősségek meghatározása, munkaköri leírások módosítása, belső utasítások stb.)

b)     át kell tekintetünk mindent, amire a GDPR vonatkozhat (iratkezelési szabályzat, használt nyomtatványaink, szerződés-sablonjaink stb.)

c)     a szerződéseinket is aktualizálnunk kell (adatvédelmi záradékok és kiegészítések stb.)

d)    adatbiztonsági intézkedéseket kell hoznunk (fizikai, logikai, szervezeti)

e)     adatvédelmi incidens protokoll kell készítenünk és tesztelnünk

f)      munkavállalókkal a szükséges tájékoztatókat ismertetnünk kell (pl. kamerarendszer, internethasználat, okos eszközök használata, GPS, titokvédelem stb. témában), a megismeréssel kapcsolatos nyilatkozatokat alá kell íratnunk, a konkrét munkavállalói ellenőrzéseket is meg kell terveznünk, különös tekintettel a munka törvénykönyvének előírásaira.

g)     és azt is meg kell vizsgálnunk, hol tartunk, hova szeretnénk eljutni és a célunk megvalósítható-e a jelenlegi erőforrásaink felhasználásával ? és amennyiben nem, a hiányzó elemekre cselekvési tervet kell készítenünk időtáv, eszközök, célok és konkrét cselekvések meghatározásával.

8.     lépés: Hol kezdjük? Ha túl nagy fába vágtuk a fejszénket, el kell döntenünk, hol oltunk tüzet és melyek azok a területek, amelyek várhatnak a sorukra. Rómát sem egy nap alatt építették, nekünk is idő kell, hogy az összes munkát elvégezzük, amit csak ránk ró az új típusú adatkezelésre átállás.

9.     lépés: tanulni, tanulni, tanulni. Tudomásul kell vennünk, a GDPR nem egy éjszaka alatt elsajátítható tudás, ezért aztán nemcsak nekünk kell tanulunk, hanem a környezetünket is rá kell vennünk erre. Az új ismeretek befogadása mindenki számára kötelező, aki adatokkal foglalkozik, legyen az vezető, munkavállaló vagy bármilyen szintű-rangú adatgazda. A vezetők annyival rosszabb helyzetben vannak, hogy övék az adatkezeléssel kapcsolatos felelősség, amit ugyan szervezeten belül tolhatnak lefele, azonban a külvilág egyedül őket fogja tetemre hívni, senki mást.

10. lépés: az új rendszer bevezetése, azaz az alapelvek gyakorlatba ültetése, a belső szabályzatok, sémák és protokollok napi szinten használata, az érintettekkel kapcsolattartás GDPR-alapokra helyezése.

11. lépés: nyomon követés. A bevezetés még nem garantálja, hogy az első nap után majd a második nap is minden tökéletesen a nagykönyv (szabályzat) szerint fog történni - ha gondos családapaként akarunk eljárni, akkor bizony nyomon kell követnünk a folyamatokat és ellenőriznünk kell napi szinten, tényleg minden a lehető legnagyobb rendben megy-e.

12. lépés: ha valami elsőre nem sikerül. Ha az ellenőrzés során kiderül, bizony vannak hiányosságaink, kénytelenek vagyunk akár az első, akár a hatodik kockára visszatérni és újraértékelni a helyzetünket. 

13. lépés: ne adjuk fel - ha egyedül nem megy, keressünk fel egy szakértőt, aki jártas az adatvédelmi és adatbiztonsági gyakorlatban és kérjük ki tanácsát.

dr. Albert Ágota adatbiztonsági és adatvédelmi szakjogász, adatvédelmi tisztviselő

Miért van szükség az adatvédelemben érintettek előzetes tájékoztatására?

A szükségesség érzete leginkább attól függ, éppen melyik oldalon állunk - ha adatkezelők vagyunk, akkor ez egy felesleges nyűg, amit a jogszabály a nyakunkba akaszt, ha viszont mi vagyunk egy adott adatkezelés érintettje máris más a helyzet. Amennyiben a mi bőrünkre megy a dolog, akkor bizony szeretjük tudni, hogy ki és hogyan garázdálkodik az adatainkkal és azt is joggal elvárhatjuk, ha megadjuk az e-mail címünket egy könyvesbolt hírlevelére jelentkezéskor, akkor nem fogja az e-mail fiókunkat elárasztani a levélszemét, amelynek nagy része olyan dolgokra akar minket csábítani, ami alap esetben még álmunkban sem jutna eszünkbe. Ugyanez vonatkozik a telefonszámunkra, hiszen akár számcserére is kényszerülhetünk egy balul elsült adatkezelés miatt, különösen ha kétes szolgáltatással foglalkozó szerencsevadászok akarnak bekeríteni minket a nap huszonnégy órájában a hét minden napján.

A tájékoztatási kötelezettség (illetve a jog a tájékoztatásra) nem a GDPR-szülte idegesítő találmány, az már az Info törvényünkben (2011. évi CXII. tv.) is benne volt ? és ha máshol nem, hát honlapok adatkezelési tájékoztatója formájában itt-ott találkozhattunk is ilyennel. Az adatvédelmi Hatóság is neuralgikus pontnak tartja az előzetes tájékoztatást és vizsgálataik során szeretik kikutatni, van-e nekünk, mint személyes adatok kezelőjének Adatvédelmi tájékoztatónk, és ha van, az jó-e bármire is? Azaz azt a célt szolgálja-e, amire a jogszabály szánta, vagy ugyan van, de nem tartalmazza azt a minimális információmennyiséget sem, amelyet kötelesek lennénk megosztani az adatkezelésünkben érintettekkel.

Miért is van szükség a tájékoztatásra? Azért, mert az érintett (azaz az a személy, aki az adatkezelésünk elszenvedője, vagy az lesz akár önként, akár muszájból), az előzetes és megfelelő tájékoztatás alapján képes felismerni azt, hogy az adott adatkezelés milyen hatással van az információs önrendelkezési jogára és a magánszférájára. Ha nem tájékoztatjuk őt megfelelően, bizony a Hatóság ránk sütheti a billogot azért, mert olyan "információs erőfölényt" alakítottunk ki, amely következtében az érintett jogai, érdekei sérülhetnek. Nekünk meg a pénztárcánk, ha a Hatóság emiatt jó nagy büntetést szab ki ránk. Ráadásul az egyik legkellemesebb szankcionálási mód - ki sem kell lépnie a hivatalnoknak az irodájából (sőt, még otthonról sem kell elmennie a Hatóság épületéig), csak honlapról honlapra kattintgatva végig kell ellenőriznie, mely honlaptulajdonosok adatkezelési tájékoztatója szenved erőteljes kihívásokkal. És ha fülön csípnek, egyáltalán nem biztos, hogy a "másé még rosszabb+ magyarázkodást érdemi védekezésnek fogadják el.

A tájékoztatás szükségessége azonban nemcsak a honlapokkal kapcsolatos adatkezelés során kerül elő, hanem az élet számos más területén is, például ha kamera- vagy beléptető rendszert üzemeltetünk vagy éppen szerződéses partnereink adatait kezeljük.

Amennyiben munkáltatók vagyunk, úgy a munkavállalóinkat is tájékoztatnunk kell a személyes adataik kezelésével kapcsolatban - például akkor, amikor erkölcsi bizonyítványt kérünk tőlük, a munkavégzéshez szükséges adataikat kezeljük és akkor is, ha szeretnénk a hivatalos e-mail fiók vagy mobiltelefon használatukat ellenőrizni, netalán az általuk használt céges autó GPS-adataira vagyunk kíváncsiak.

Adatkezelési tájékoztatót nem egyszerű készíteni, legalábbis ha minden jogszabályi kritériumnak meg kívánunk felelni.

 

Alaki követelmények:

• a tájékoztatás egyszerű, szakzsargon használata nélküli legyen - ez nemcsak a jogi szövegre, hanem a szakmai tájékoztatásra is vonatkozik. A cél maga az ügyfélbarátság, azaz az adatvédelem kapcsán is mindig vegyük figyelembe, kivel állunk szemben.
• az átlagfelhasználó számára is érthető legyen - még ha találunk is jogász ismerőst vagy mi búvárkodunk a paragrafusok között, akkor sem ismételhetjük meg a jogszabályt szolgai módon. Szép és hasznos dolog lehet a szó szerinti idézés, de nem ebben az esetben és az sem elfogadható, ha a lehető legdagályosabban megfogalmazott információtengerbe fojtjuk az érintetteket.
• igazodjon az érintettek köréhez - törekedjünk hasonulni az érintettek nyelvhasználatához és ne csak a kulturális különbségeket vegyük figyelembe, hanem a generációsakat is (használt szókincs, stb.).
• közvetlenül az egyénhez legyen eljuttatva, azaz nem dughatjuk el - a "faliújságon van a tájékoztatásunk kifüggesztve csak egy plakát véletlenül fölé került" ebben az esetben nem elfogadható magyarázkodás. Az általunk működtetett elektronikus kamerarendszerrel kapcsolatos tájékoztatónkat például illik oda kitennünk, ahol az érintettek még a megfigyelt területre belépés előtt megismerkedhetnek az adatkezelésünkkel kapcsolatos legalapvetőbb információkkal.
• jól olvasható legyen - ez a követelmény vonatkozik a betűméretre (ne olyan betűnagysággal operáljunk, amelyre már látást sem élesítenek és a papírtakarékosság sem lehet indok), legyen olvasható a betűtípus is (szép lehet a folyóírás nyomtatva egy esküvői meghívón, de egy falragaszon vagy egy honlapon nem az igazi) és a strukturáltság sem árt (bekezdések, vastagítások a befogadhatóság érdekében, a faltól falig ömlesztett nyomtatást jobb, ha elfelejtjük),
• minden részletre terjedjen ki (azaz ne hagyjuk ki a felét annak, amit bele kell írni), valamint
• mindenképpen ismertesse a mi saját egyedi adatkezelésünket.

 Ha idáig eljutottunk a követelmények átrágásában máris látható, hogy nincs egyszerű dolgunk.

 A formai követelményeken túl a GDPR az alábbi tartalmi követelményeket támasztja a tájékoztatással kapcsolatban:

 1.     Amennyiben az érintettre vonatkozó személyes adatokat az érintettől gyűjtjük, a személyes adatok megszerzésének időpontjában az érintett rendelkezésére kell bocsátanunk a következő információk mindegyikét:

•  az adatkezelő adatai és elérhetősége (nevünk, e-mail és postai elérhetőségünk, telefonszámunk, holnap címünk),
• a személyes adatok tervezett kezelésének célja (a lehető legkorrektebben meghatározva), valamint az adatkezelés jogalapja (lásd GDPR 6. cikk (1) bekezdés hat esetének valamelyike),
• amennyiben az adatkezelés a mi vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges (kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek), abban az esetben a mi vagy harmadik fél jogos érdekei,
• adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen,
• adatkezelésre és adatfeldolgozásra jogosult személy,
• adott esetben annak ténye, hogy harmadik országba vagy nemzetközi szervezet részére kívánjuk továbbítani a személyes adatokat,
• az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat:
• a személyes adatok tárolásának időtartamát, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjait,
• az érintett azon jogát, hogy kérelmezheti tőlünk a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását és tiltakozhat az ilyen személyes adatok kezelése ellen,
• az érintett adathordozhatósági jogát,
• jogszabály által meghatározott esetekben a hozzájárulás bármely időpontban való visszavonásához való jogot, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét,
• a felügyeleti hatósághoz címzett panasz benyújtásának jogát,
• azt, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása,
• az automatizált döntéshozatal tényét, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információkat, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír (GDPR 13. cikk (1)-(2) bekezdés).

Amennyiben a személyes adatokon a megszerzésük céljától eltérő célból további adatkezelést kívánunk végezni, a további adatkezelést megelőzően tájékoztatnunk kell az érintettet erről az eltérő célról és a jelen pontban említett minden releváns kiegészítő információról. Nem kell az érintettet tájékoztatnunk, ha és amilyen mértékben az érintett már rendelkezik az információkkal (GDPR 13. cikk (3)-(4) bekezdés).

 2.     Amennyiben a személyes adatokat nem az érintettől szerezzük meg, abban az esetben az érintett rendelkezésére kell bocsátanunk a következő információkat:

• a mi, mint adatkezelő neve és elérhetőségei,
• az adatvédelmi tisztviselő elérhetősége (ha van ilyenünk),
• a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja,
• az érintett személyes adatok kategóriái,
• a személyes adatok címzettjei, illetve a címzettek kategóriái (ha van ilyen),
• az adatok továbbításának tényét, címzettjeit,
• az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat:
• a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai,
• abban az esetben, ha az adatkezelés a mi vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges (kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek), a mi vagy harmadik fél jogos érdekei,
• az érintett azon jogát, hogy kérelmezheti tőlünk a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen,
• az érintett adathordozhatósághoz való jogát,
• jogszabály által meghatározott esetekben a hozzájárulás bármely időpontban való visszavonásához való jogot, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét,
• felügyeleti hatósághoz címzett panasz benyújtásának jogát,
• a személyes adatok forrását és adott esetben azt, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e, és
• az automatizált döntéshozatal tényét (ideértve a profilalkotást is), valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információkat, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír (GDPR 14. cikk (1)-(2) bekezdés).

A tájékoztatást az alábbiak szerint kell megadnunk:

• a személyes adatok kezelésének konkrét körülményeit tekintetbe véve a személyes adatok megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül,
• ha a személyes adatokat az érintettel való kapcsolattartás céljára használjuk, legalább az érintettel való első kapcsolatfelvételünk alkalmával, vagy
• ha várhatóan más címzettel is közöljük az adatokat, legkésőbb a személyes adatok első alkalommal való közlésekor (GDPR 14. cikk (3) bekezdés).

 Amennyiben a személyes adatokon a megszerzésük céljától eltérő célból további adatkezelést kívánunk végezni, a további adatkezelést megelőzően tájékoztatnunk kell az érintettet erről az eltérő célról és a jelen pontban említett minden releváns kiegészítő információról. (GDPR 14. cikk (4) bekezdés).

 

Nem kell az érintettet tájékoztatnunk, ha

• az érintett már rendelkezik az információkkal,
• a szóban forgó információk rendelkezésre bocsátása lehetetlennek bizonyul vagy aránytalanul nagy erőfeszítést igényelne,
• az adat megszerzését vagy közlését kifejezetten előírja olyan jogszabály, amely az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik, vagy
• a személyes adatoknak valamely jogszabályban előírt szakmai titoktartási kötelezettség alapján (ideértve a jogszabályon alapuló titoktartási kötelezettséget is), bizalmasnak kell maradnia (GDPR 14. cikk (5) bekezdés).

 Amennyiben az adatgyűjtés céljától eltérő célból történő adatkezelés nem az érintett hozzájárulásán vagy valamely vonatkozó jogszabályon alapul, annak megállapításához, hogy az eltérő célú adatkezelés összeegyeztethető-e azzal a céllal, amelyből a személyes adatokat eredetileg gyűjtötték, az alábbiakat kell irányadónak tekintetünk:

• a személyes adatok gyűjtésének céljai és a tervezett további adatkezelés céljai közötti esetleges kapcsolatokat,
• a személyes adatok gyűjtésének körülményeit, különös tekintettel az érintettek és a Kamara közötti kapcsolatokra,
• a személyes adatok jellegét, különösen pedig azt, hogy a személyes adatok különleges kategóriáinak kezeléséről van-e szó
• azt, hogy az érintettekre nézve milyen esetleges következményekkel járna az adatok tervezett további kezelése,
• megfelelő garanciák meglétét, ami jelenthet titkosítást vagy álnevesítést is.

 Ezek után csodálkozunk, hogy egy egyszerű honlap előzetes tájékoztatója akár 9-10 oldal is lehet? De a munkavállalók internethasználatának ellenőrzésével kapcsolatos tájékoztatót sem ússzuk meg egy oldallal, hiszen a nyolcas betűnagyság extra szűk betűtípussal meg a lap élére írás hatóságilag kilőve. És csak reménykedhetünk, hogy a Hatóság szerint is majdnem tökéletes a művünk (amennyiben vizsgálja, mit sikerült összehoznunk).

Felmerül a kérdés, hogy hol legyen lehelyezve az adatkezelési tájékoztatónk? Ha van honlapunk, akkor el kell helyeznünk azon (de nem eldugva valahová egy sarokba, hanem fejlécből/láblécből közvetlenül elérhető módon), ha nincs netes megjelenésünk, akkor a székhelyünkön, üzletünkben stb. kell ilyet kinyomtatva tartanunk annak érdekében, hogy bármikor, bárkinek oda tudjuk adni tanulmányozás céljából.

A különböző témájú rövidebb tájékoztatóinkban is utalhatunk a hosszabbra és részletesebbre, de ez nem azt jeleni, hogy az adatkezelési tájékoztatóra hivatkozással teljes mértékben megúszhatjuk a konkrét adatkezeléssel kapcsolatos előzetes tájékoztatást.

 

dr. Albert Ágota adatbiztonsági és adatvédelmi szakjogász, adatvédelmi tisztviselő

Mi az a GDPR?

Képzeljünk el egy hatalmas szövetséges birodalmat, ahol rengeteg vár áll és mindegyikben egy-egy várparancsnok, azaz egy-egy adatkezelő uralkodik. Az ő feladata, hogy minden adatot, ami hozzá bekerül, megvédjen és nemcsak a külső támadóktól, hanem a belső támadóktól is. A játékszabályokat az európai adatvédelmi rendelet, azaz a birodalmi GDPR határozza meg, helyi kiegészítések pedig a szövetség tagjaira, azaz a tagállamok jogalkotására van bízva (Magyarország: Infotv.). A játékszabályok betartása felett a helyi felügyeleti hatóság (Magyarország: NAIH) és a bíróság őrködik, ha egy várparancsnok rosszul látja el a feladatát, törvényi szinten meghatározott eljárás lefolytatása után ők szabják ki a büntetést. Vannak még tanácsadók is, az adatvédelmi tisztviselők, ők segítik a várparancsnokokat feladatuk ellátásában.

Miért fontosak az alapelvek?

Az alapelvek segítenek abban, hogy jobban megértsük, miről is szól ez az egész adatvédelmi szabályrendszer, illetve ha bizonyos előírások értelmezésével gondunk van, akkor az alapelvek azok, amihez kályhaként visszatérhetünk. Azt sem árt tudnunk, hogy már magáért az alapelvek megsértéséért is lehet büntetést kapni.

 

Melyek ezek az alapelvek?

a)      jogszerűség, tisztességes eljárás és átláthatóság elve: a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni.

 A személyes adatokat

• egyrészt mindig úgy kell kezelnünk, hogy megfeleljünk a vonatkozó jogszabály előírásának - például ha a társasházi törvény előírja, az ingatlan tulajdonosoknak milyen adatai kezelhetők, akkor ezen jogszabály rendelkezései alapján csakis ezeket az adatok kezelheti a közös képviselő (ha olyan adatot akar kezelni, amelyre nem ad felhatalmazást a társasházi törvény, akkor vagy másik jogszabályi helyet kell találni, olyat, amelyben szerepel, vagy másik jogalapot, például hozzájárulást vagy jogos érdeket),
• másrészt a kezelés közben tisztességesen kell eljárnunk - azaz például az ingatlan tulajdonosok és bérlők adatait nem adjuk ki biztosítás, utazás vagy bármi más tukmálásával foglalkozó ügynöknek még akkor sem, ha úgy gondoljuk, nagyon nagy szükségük van biztosításra, utazásra vagy bármi másra.

A tisztességes és átlátható adatkezelés megkívánja, hogy az adatokat úgy kezeljük, hogy azok nyomon következőek legyenek és az adatkezelésünkben érintett személy nem jut arra a sorsra, hogy Trinidad-Tobagóba bejegyzett online kaszinóból kap naponta több visszautasíthatatlannak tűnő ajánlatot a mi slendriánságunk miatt. A nyomon követhetőség követelményét attól a pillanattól kell tudnunk teljesíteni, ahogy az adott adat bekerült az adatkezelésünkbe (pl. az ingatlantulajdonos közölte a közös képviselővel, mi az e-mail címe) és mindaddig fennáll ez a kötelezettségünk, ameddig le nem selejtezzük (meg nem semmisítjük) ezt az adatot és erről nincs írásos bizonyítékunk.

 

b)     célhoz kötöttség elve: a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet és nem kezelhetők ezekkel a célokkal össze nem egyeztethető módon.

Az adatokat mindig csak meghatározott célból gyűjthetjük - például ha egy iskola tanulmányi versenyre jelentkezés céljából kezeli a diákok adatait, akkor a tanulmányi versenyen induláshoz kezeli, ha osztálykiránduláson szállás foglalása céljából akkor abból, de mindig meg kell tudni mondaniuk, mi a konkrét adatkezelési cél. És nemcsak meg kell tudni mondani, hogy mi a cél, az érintettel közölt cél nem csereberélhető tetszés szerint ? a versenyre jelentkezéshez gyűjtött adatokat nem használhatja fel az iskola szállásfoglalási célra és fordítva.

 

c)     adattakarékosság elve: a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek és a szükségesre kell korlátozódniuk.

Mindig csak annyi adatot gyűjthetünk, amennyire feltétlen szükségünk van. Amennyiben például jogszabály mondja meg, milyen adatokat kell elkérnünk, akkor szigorúan ragaszkodnunk kell ezekhez az adatokhoz és ha például nem kéri a személyi igazolványszámot, akkor mi sem kérhetjük el. A hozzájárulásos adatkezelésnél nehezebb dolgunk van, mert az ilyen esetekben ritkán ad mankót jogszabály ahhoz, hogy milyen adatokban kell gondolkodnunk az adott adatkezelés célja eléréséhez, hanem nekünk kell eldöntenünk, melyek a feltétlen szükséges adatok. Ha például hírlevél szolgáltatást üzemeltetünk, akkor mindenképpen meg kell győződnünk arról, hogy a jelentkező elérte azt a korhatárt, ami felett már nem kell szülői beleegyezés ahhoz, hogy jogszerű legyen az adatainak a kezelése, így a születési évszám elkérése indokolható lehet. Azt azonban már nehezen tudnánk elfogadtatni a hatósággal egy vizsgálat során, hogy egy hírlevélre feliratkozáshoz miért is van szükségünk az érintett anyja nevére.

d)    pontosság elve: a személyes adatoknak pontosnak és szükség esetén naprakésznek kell lenniük és minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatok haladéktalanul törölve vagy helyesbítve legyenek.

Ha adatokat gyűjtünk, akkor azok legyenek pontosak, különben nem biztos, hogy a célnak megfelelően használni is tudjuk azokat. Ha szól a szerződéses partnerünk, hogy megváltozott a számlázási (szállítási) címe, akkor nekünk is módosítani kell az adatainkat, különben nem tudunk szerződésszerűen számlázni (teljesíteni), ha pedig eleve elírt adat került bele a szerződésbe, amint tudomást szerzünk róla, szintén javítanunk kell. Jó ha tisztában vagyunk vele, a hibás, helytelen személyes adat is személyes adat.

e)     korlátozott tárolhatóság elve: a személyes adatok tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig tegye lehetővé.

Az adatok egy tetemes része nem örökgaranciás, éppen ezért kell időről időre selejteznünk (adatot megsemmisítenünk). Nem azért kell kidobnunk a 12 évvel ezelőtt megszűnt irodatakarítási szerződést, mert nem férünk a szekrényben, hanem azért, mert az adatkezelés célja réges-régen megszűnt: nincs már garancia, a peresítés lehetősége is áll már fent, sőt már a szerződés alapján készült számlákat sem vizsgálhatja az adóhivatal.

Az selejtezés során gondoskodjunk arról, hogy csak olyan iratot selejtezzünk le jegyzőkönyvileg, amely nálunk volt (iktatókönyvben szerepelt), azaz utólagosan se bizonyítsunk magunkra jogosulatlan adatkezelést. Arra is mindig vigyázzunk, hogy az adatok nyomon követhetősége érdekében tudjunk arra az esetleges érintetti kérdésre válaszolni, miszerint mikor és hogyan szüntettük meg az érintettel kapcsolatos adatkezelést - például volt munkavállalónk esetében tudjuk teljes magabiztossággal négy évvel a kilépése után azt mondani, hogy már csakis azok az adatokat kezeljünk vele kapcsolatban, amelyek megőrzésére jogszabály kötelez minket, a jelenléti íveit meg a céges internet használatának ellenőrzésével kapcsolatos dokumentumokat pedig már megsemmisítettük.

Persze vezethetünk feketelistát ("velük soha többé az életben nem szerződünk") adatkezelési céllal, ennek az adatkezelésnek a célja azonban már teljesen más, mint az eredeti szerződéses célú volt - ebben az esetben az eredeti szerződést le kell selejteznünk és csak a személyes, az adott személy beazonosítására alkalmas minimális mennyiségű adatot tarthatjuk nyilván jogos érdekünk alapján. Ebben az esetben érdekmérlegelési tesztet kell végeznünk, amely során bebizonyítjuk, a feketelistánkon szereplő hanyag, dolgozni nem tudó személyt nem akarjuk többet látni az irodánkban, mert már a szimpla jelenléte is jelentős kárt okozhat a szervezetünknek (természetesen nyomdafestéket tűrő, szofisztikált megfogalmazást használva).

f)      integritás és bizalmas jelleg elve: a személyes adatok kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve.

A GDPR "összetolta" a jogszerű adatkezelést az adatbiztonsággal, azaz nemcsak arra kell ügyelnünk, hogy megfelelő, jogszerű célra hivatkozva, időben szavatos és helyes adatokat tartsunk nyilván, hanem arra is, hogy ezek az adatok mindaddig biztonságban legyenek, ameddig nálunk vannak - ha pedig kiderül, hogy erre képtelenek voltunk, akkor bizony előfordulhat, hogy önfeljelentés keretében az adatainkat ért adatvédelmi incidenst be kell jelentenünk a Hatóságnak.

A védelem módját és mértékét mindig nekünk kell eldöntenünk a szervezetünk sajátosságait figyelembe véve - egy kétfős irodától nem várható el, hogy Fort Knox szintű védelmet biztosítson, ám az adatkezelőnek kutya kötelessége, hogy minimum nehezen megfejthető jelszóval védje az adatbázisát, ne hagyja szanaszét a laptopját, gyakran végezzen biztonsági mentést és az iratokat se vigye ki a huzat az ajtón.

g)     elszámoltathatóság elve: az adatkezelő felelős az a)-f) pontoknak való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására.

 

Összegezve az alapelveket:

• személyes adatot kizárólag meghatározott célból, jog gyakorlása és kötelezettség teljesítése érdekében kezelhetünk,
• az adatkezelésünknek az adatkezelés minden szakaszában meg kell felelnie az adatkezelés céljának, valamint az adatok felvétele és kezelése során tisztességesnek kell lennünk és a vonatkozó jogszabályok szerint kell eljárnunk,
• csak olyan személyes adatot kezelhetünk, amely az adatkezelésünk céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas, valamint csak a cél megvalósulásához szükséges mértékben és ideig kezelhetjük azokat,
• az adatkezelés során biztosítanunk kell az adatok pontosságát, teljességét és - ha az adatkezelés céljára tekintettel szükséges - naprakészségét, valamint
• arról is gondoskodnunk kell, hogy az érintettet csak az adatkezelés céljához szükséges ideig lehessen azonosítani,
• ha pedig már nem tudunk célt rendelni az adatokhoz, az adatkezelést haladéktalanul meg kell szüntetnünk, az adatokat (iratokat, fájlokat) pedig bizonyítható módon meg kell semmisítenünk.

 

dr. Albert Ágota adatbiztonsági és adatvédelmi szakjogász, adatvédelmi tisztviselő

A GDPR ilyen szabályzatírási kötelezettséget nem ír elő, ám a rendelet 24. cikke a szervezet feladatává teszi azt, hogy - az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével - megfelelő technikai és szervezési intézkedéseket hajtson végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése a rendelettel összhangban történjen. Annak megítélésére azonban, hogy konkrét esetben milyen technikai és szervezési intézkedések lehetnek szükségesek, a Hatóság álláspontja szerint elsősorban a szervezet képes, miután a szükséges információk nála állnak rendelkezésre.

A 24. cikk (2) bekezdése azt is rögzíti, hogy az adatkezelőnek akkor kell belső adatvédelmi szabályokat is alkalmaznia - a fentebb említett személyes adatok védelmének biztosítása céljából megvalósított technikai és szervezési intézkedések részeként - ha ez az adatkezelési tevékenysége tekintetében arányos.

Az arányosság kérdésének eldöntésében a GDPR (78) preambulumbekezdése segít, ez alapján az adatkezelőnek, azaz a szervezetnek kell mérlegelnie azt, hogy a kezelt adatok mennyisége és köre alapján arányosnak mutatkozik-e adatvédelmi szabályzat vagy más szabályrendszer (pl. utasítás, folyamatleírás, álnevesítés, biztonsági szabályzat) elkészítése. Amennyiben a szervezet adatkezelésébe különleges adatok is tartoznak, a Hatóság álláspontja szerint ez feltehetőleg már önmagában megalapozhatja, hogy az adatkezelési tevékenységek tekintetében konkrét szabályrendszert érvényesítsen.

Amennyiben a szervezet vezetőse úgy dönt, hogy készít adatvédelmi szabályzatot, ennek tartalmára vonatkozóan a GDPR nem tartalmaz speciális előírást, de a szabályzat alapján kialakított adatkezelési gyakorlatnak a GDPR-ral összhangban kell lennie és ez teljes mértékben a szervezet (az adatkezelő illetve adatfeldolgozó) felelőssége.

A GDPR 39. cikk 1) bekezdésének b) pontja egyébként az adatvédelmi tisztviselő feladatai között külön felsorolja, hogy ellenőriznie kell a személyes adatok védelmével kapcsolatos belső szabályoknak való megfelelést.

Büntet-e a hatóság, ha kellett volna készíteni adatvédelmi szabályzatot, de ez nem történt meg?

A jogsértő magatartások után kiróható szankciókat a GDPR 83. cikke határozza meg, amely egyrészt felsorolja a konkrét, joghátránnyal érintett magatartásokat, másrészt előírja azt is, hogy az egyes jogsértések milyen összegű bírsággal sújthatók. 

A Hatóság által alkalmazott szankció lehet valamilyen intézkedés (pl. figyelmeztetés vagy utasítás a rendeletnek megfelelő adatkezelés kialakítására) és emellett vagy ehelyett bírságot is kiszabhat. A megfelelő szankció alkalmazása érdekében a rendelet azt is meghatározza, hogy a Hatóságnak a döntése során milyen értékelési szempontokat kell figyelembe vennie - és ezen szempontok között szerepel annak vizsgálata is, hogy a jogsértésben milyen mértékű a szervezet felelőssége, figyelembe véve az általa a GDPR 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket.

A 29-es Adatvédelmi Munkacsoport 253. számú iránymutatása is foglalkozik a felelősség kérdésével, az iránymutatás III. d) pontja alapján a szervezetet terhelő felelősség mértékének értékelésekor a Hatóságnak mérlegelnie kell - egyebek mellett - azt is, hogy a releváns adatvédelmi eljárások vagy szabályzatok ismertek-e és alkalmazásra kerültek-e a szervezet megfelelő vezetési szintjén.

A hatóság álláspontja alapján önmagában a szabályzat megírásának elmaradása tehát nem von maga után szankciót, hiszen külön szabályzatalkotási kötelezettséget nem ír elő a GDPR, azonban valamely jogsértés elbírálásakor a szankció kiszabásához a Hatóság mérlegeli az adatvédelmi szabályok alkalmazásával kapcsolatos információkat.

Forrás: NAIH/2018/1212/2/K, NAIH/2018/1514/2/K és NAIH/2018/1068/2/K konzultációs tájékoztatás, illetve a 29-es Adatvédelmi Munkacsoport 253. számú iránymutatása és a GDPR.

dr. Albert Ágota adatvédelmi tisztviselő

A Nemzeti Adatvédelmi és Információszabadság Hatóság a hatályos jogszabályok alapján az érintettek tájékozódásának elősegítése érdekében adatvédelmi nyilvántartást vezet az adatkezelő személyes adatokra vonatkozó adatkezeléseiről (a 2011. évi CXII. törvény 65-68. §), ebbe a nyilvántartásba kell egy adott szervezetnek bejelentenie például a direkt marketingre is irányuló hírlevél szolgáltatásával kapcsolatos adatkezelést vagy bizonyos esetekben az elektronikus megfigyelőrendszerrel kapcsolatos adatkezelést.

A május 25-én hatályba lépő GDPR 30. cikke az adatkezelők illetve adatfeldolgozók kötelezettségévé teszi, hogy a felelősségükbe tartozóan végzett adatkezelési tevékenységekről nyilvántartást vezessenek - ez praktikusan azt jelenti, hogy a szervezeteknek saját maguknak kell nyilvántartást vezetniük adatkezeléseikről és azokat nem kell bejelenteniük a Hatóságnak; ezt a nyilvántartást csak a Hatóság megkeresésére kell csak a Hatóság rendelkezésére bocsátaniuk.

A GDPR bizonyos esetekben mentességet is tartalmaz, így nem kell adatvédelmi nyilvántartást vezetnie egy szervezetnek abban az esetben, ha 250 főnél kevesebb személyt foglalkoztat kivéve akkor,

• ha az általa végzett adatkezelés az érintettek jogaira és szabadságaira nézve valószínűsíthetően kockázattal jár,
• ha az adatkezelés nem alkalmi jellegű, vagy
• ha az adatkezelés kiterjed a személyes adatok GDPR 9. cikk (1) bekezdésében említett különleges kategóriáinak vagy a 10. cikkben említett, büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó személyes adatoknak a kezelésére.

A fentiek alapján a szervezet vezetőjére hárul annak eldöntése, vajon tud-e csak alkalmilag adatot kezelni, vagy valójában már a legkisebb vállalkozás üzleti adminisztrációja is megköveteli, hogy gazdasági tevékenységének zökkenőmentessége érdekében rendszeresen kezeljen személyes adatokat.

Összességében tehát a GDPR bevezetésével a jelenlegi adatvédelmi nyilvántartásba történő bejelentési kötelezettség 2018. május 25. napjától elviekben megszűnik, ezt követően, a GDPR szabályai alapján indított eljárásokban a Hatóság nem vizsgálja az adatvédelmi nyilvántartásba való bejelentkezési kötelezettség teljesítését. A 2018. május 25-e után indított, de az ezt megelőző időszakra vonatkozó adatkezelések megítélésére irányuló eljárások során - amely eljárásokban a GDPR szabályai nem alkalmazhatóak - a Hatóság esetlegesen vizsgálhatja, hogy az adatkezelő eleget tett-e az adatvédelmi nyilvántartásba bejelentkezési kötelezettségének, azonban ennek elmulasztását a Hatóság önmagában nem szankcionálja.

A jogharmonizáció miatt a közeljövőben még szükség van olyan jogszabályok módosítására, mint a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló 2008.évi XLVIII. törvény, illetve az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény, kérdéses, ezek módosítása hatályba lép-e május 25-én.

Forrás: NAIH/2018/603/, NAIH/2018/1034/2/K, NAIH/2018/1082/2/V és NAIH/2018/1596/2/K konzultációs levelek.

dr. Albert Ágota adatvédelmi tisztviselő