Napjainkban az információs társadalom térnyerése és a rohamos technológiai fejlődés miatt fokozottan merül fel a személyes adatok védelmének kérdése. 2016-ban szemtanúi lehettünk az Európai Uniós adatvédelmi szabályozás reformjának, melynek keretében az adatvédelmi irányelvet felváltotta az EU általános adatvédelmi rendelete, azaz a GDPR. Egy évvel ezelőtt, hosszas jogalkotási folyamatot követően 2018. május 25-én alkalmazandóvá vált az EU általános adatvédelmi rendelete, azaz a GDPR, mely egy jelentős lépés az adatvédelem történetében. Emeljük poharunkat a GDPR-ra!
Miért volt szükség a GDPR-ra?
Az EU-s adatvédelem kérdése már a GDPR előtt is rendezett volt, hiszen a 95/46 EK irányelv a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról (a továbbiakban: Irányelv) rendelkezett EU-s szinten az adatvédelemről. Ez felvetheti a kérdést, hogyha rendezett volt az adatvédelem kérdése, akkor miért volt szükség új szabályozásra?
A válasz egyszerű: számos olyan változás következett be 1995 óta, melyek felvetették a létező szabályok felülvizsgálatának szükségességét. 1995-ben, az irányelv elfogadásának idején az internet még gyerekcipőben járt: míg ’95-ben világszerte 16 millió felhasználóval büszkélkedhetett, ez a szám 2016 szeptemberére 3675 millióra emelkedett. [1] Európában a betárcsázós interneten („Gyere le az internetről, telefonálnom kell!”) is rég túlléptünk: manapság már mindenki a zsebében hordja a világhálót, az okostelefonok elterjedésének köszönhetően. 1995-ben egy karóra pusztán az idő múlását jelezte, manapság azonban már egyes okosórák képesek lépésszámlálásra, alvásfigyelésre, pulzusmérésre, illetve vérnyomásmérésre. Ám nem csak önmagában a technológia okozott változásokat, hanem a társadalmi szokások is változtak: régen csak az tudta, hogy mit vacsoráztunk, aki ott volt velünk az étteremben – ma már anélkül nem lehet beleenni az ételbe, hogy ne fotóznánk le és tennénk ki a közösségi médiába. 1995-ben Mark Zuckerberg 11 évesen, még csupán a barátai számára készített számítógépes játékokat, míg 2019 áprilisában az általa létrehozott Facebook 2,3 millárd felhasználóval bírt.
Jogi szempontból megközelítve a kérdést mindez azt jelenti, hogy míg az Irányelv megalkotásának idején megszámolható mennyiségű adatkezelőről és adatkezelésről volt szó, addig ez a helyzet ma már nem áll fenn. A személyes adatok gyűjtése is sokkal kifinomultabbá és kevésbé kimutathatóvá vált. Mindez fokozottan veti fel a személyes adatok védelmének a kérdését.
Továbbá az is problémaként merült fel, hogy az Irányelv nem érte el a kívánt harmonizációs hatást, és így a tagállamok szabályozásai sok esetben különböztek. [2] Szükségessé vált tehát az adatvédelmi reform [3] annak érdekében, hogy az EU a 21. században is megfelelőképp tudja biztosítani a személyes adatok védelmét.
A GDPR „megszületése”
Bár 2018. május 25-től alkalmazandó, a GDPR története egészen 2009-ig visszanyúlik, amikoris felmerült az Irányelv módosításának szükségessége. [4] Ezt követően a Bizottság 2010-ben kiadott egy közleményt „A személyes adatok Európai Unión belüli védelmének átfogó megközelítése” címmel, melyben felhívta a figyelmet a technológiai fejlődés és a globalizáció által okozott kihívásokra, valamint az adatvédelmi szabályozás korszerűsítésének fontosságára. A következő kiemelkedő lépés 2012. január 25-én történt, amikor a Bizottság hivatalosan is benyújtotta a GDPR tervezetét. Ezt követően egy hosszas jogalkotási folyamatnak lehettünk szemtanúi, mely több mint 4 éven keresztül zajlott, ám 2016-ban egy jelentős adatvédelmi eseménnyel zárult.
Ugyanis végül 2016. május 25-én, 88 oldallal, 173 preambulum bekezdéssel és 99 cikkel hatályba lépett a GDPR, majd egy két éves felkészülési periódust követően egy évvel ezelőtt, 2018. május 25-én pedig „megszületett”, azaz alkalmazandóvá vált.
Május 25. nemcsak az adatvédelmi jogászoknak volt nagy nap: a GDPR hatalmas visszhangot váltott ki a sajtóban és az interneten is. Számtalan cikk és bejegyzés született GDPR témakörében, az egekbe szökkent a „GDPR-nindzsák” (adatvédelmi szakértők) iránti érdeklődés, és nem telt el úgy nap, hogy valamilyen fórumon ne hallottunk volna a több millió eurós bírságok veszélyéről. Ez a négy betű az internet népét is megihlette: GDPR daltól kezdve, GDPR mémeken át egészen az „I love GDPR” lejátszási listáig minden megtalálható a világhálón – mellyel az EU-s jogszabályok többsége nem büszkélkedhet.
A GDPR hatása a magyar jogra
Az EU-s jogalkotó a korábbi irányelvi szabályozás helyett a rendeleti forma mellett döntött, egységesítve az uniós adatvédelmi jogot. [5] Bár a rendeletek közvetlenül alkalmazandóak – azaz anélkül, hogy a tagállamok azt valamiképp átültetnék a saját jogrendszerükbe – mégis szükségessé vált bizonyos magyar jogszabályoknak a módosítása. Ennek oka, hogy bizonyos esetekben a GDPR maga ad felhatalmazást a tagállamoknak arra, hogy részletesebben rendezzenek egy-egy kérdést, mely számos törvény módosítását tette szükségessé.
A GDPR-al kapcsolatos törvénymódosításokat a 2019. évi XXXIV. törvény az Európai Unió adatvédelmi reformjának végrehajtása érdekében szükséges törvénymódosításokról tartalmazza, melyet 2019. április 11-én ki is hirdettek a Magyar Közlönyben. Az úgynevezett GDPR salátatörvény több, mint 80 jogszabályt módosított, köztük a munka világában előforduló adatkezeléseket – melyről már a Gordius-on is született cikk –, a munkaügyi ellenőrzések során felmerülő adatkezeléseket, vagy éppen az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló törvény rendelkezéseit.
Az egyes ágazati törvényeken túlmenően szükséges volt magát a magyar adatvédelmi törvényt, az Infotv-t is módosítani. A 2018. évi XIII. törvény az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény jogharmonizációs célú módosításáról kijelölte a Nemzeti Adatvédelmi és Információszabadság Hatóságot (NAIH), mint a GDPR végrehajtásáért felelős hatóságot.
Részletesebb szabályokat tartalmaz a 2018. évi XXXVIII. törvény az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvénynek az Európai Unió adatvédelmi reformjával összefüggő módosításáról, valamint más kapcsolódó törvények módosításáról, mely tartalmazza a GDPR kiegészítő szabályait, átülteti a bűnügyi adatkezelésekről szóló irányelvet, módosít bizonyos fogalmakat, szabályozza az érintett halálát követő adatkezeléseket, megfogalmazza a pontos adatkezelési szabályokat. [6]
Habár a GDPR elfogadása jelentős előrelépést hozott az adatvédelem terén, korántsem dőlhetünk hátra. Ugyanis a technológia állandóan fejlődik, ami azzal jár, hogy a jövőben is számos új adatvédelmi kihívással kell majd szembenéznünk.
Lukács Adrienn
Ha tetszett a cikkünk, kövess minket Facebookon is!
Hivatkozások:
[1] Internet Growth Statistics (no date) Internet World Stats. Elérhető: http://www.internetworldstats.com/emarketing.htm (Letöltés ideje: 2016 december 16)
[2] De Hert, P. and Papakonstantinou, V. (2012) ‘The proposed data protection Regulation replacing Directive 95/46/EC: A sound system for the protection of individuals’, Computer Law and Security Review, 28(2), p. 131.
[3] A reform két dokumentumból állt, amelynek egyike a GDPR. Az adatvédelmi reform másik dokumentuma a 2016/680 irányelv a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről OJ L 119, 4.5.2016, p. 89–131.
[4] De Hert, P. and Papakonstantinou, V. (2012) ‘The proposed data protection Regulation replacing Directive 95/46/EC: A sound system for the protection of individuals’, Computer Law and Security Review, 28(2), 131. p.
[5] Az irányelv és a GDPR közötti legfőbb különbségekről lásd bővebben: Lukács, A. (2017) ‘Adatvédelmi irányelv és rendelet, avagy hogyan változott a közösségi oldalakra vonatkozó szabályozás az Európai Unió adatvédelmi reformjával?’, in Homoki-Nagy, M. and Hajdú, J. (szerk.) Ünnepi kötet dr. Zakar András c. egyetemi tanár 70. születésnapjára. Szeged: Szegedi Tudományegyetem Állam- és Jogtudományi Kar, pp. 125–139.
[6] Az Infotv változásairól ld. Bővebben a Bird&Bird blogján, valamint az adatvdelmirendelet.hu-n írtakat.
