A 29. CIKK ALAPJÁN LÉTREHOZOTT ADATVÉDELMI MUNKACSOPORT 01197/11/HU WP187 15/2011. számú vélemény a hozzájárulás fogalommeghatározásáról Elfogadva 2011. július 13-án Ez a munkacsoport a 95/46/EK irányelv 29. cikke alapján jött létre. A munkacsoport adatvédelemmel, valamint a magánélet védelmével kapcsolatos kérdésekkel foglalkozó független európai tanácsadó szerv. Feladatait a 95/46/EK irányelv 30. cikke és a 2002/58/EK irányelv 15. cikke határozza meg. A titkársági feladatokat ellátja: az Európai Bizottság Jogérvényesülési Főigazgatósága, C. Igazgatóság (Alapvető Jogok és Uniós Polgárság), B-1049 Brüsszel, Belgium, MO59 02/013 sz. Iroda. Honlap: http://ec.europa.eu/justice/data-protection/index_hu.htm
Összefoglalás A vélemény a hozzájárulás fogalmának mélyreható elemzését nyújtja annak jelenlegi, az adatvédelmi irányelvben és az elektronikus hírközlési adatvédelmi irányelvben való alkalmazása alapján. A vélemény számos példán keresztül mutatja be az érvényes és érvénytelen hozzájárulás közötti különbséget a 29. cikk alapján létrehozott munkacsoport tagjainak tapasztalata alapján, miközben olyan kulcsfontosságú kifejezések jelentésére irányítja a figyelmet, mint a kinyilvánítás, önkéntes, kifejezett, egyértelmű, határozott, tájékozott, stb. A vélemény egyes szempontokat tovább pontosít a hozzájárulás fogalmához kapcsolódóan. Például, hogy mikor kell a hozzájárulást megszerezni, miben különbözik a kifogásolási jog a hozzájárulástól, stb. A hozzájárulás a személyes adatok feldolgozásának számos jogalapja közül az egyik. A szerepe ugyan jelentős, de ez nem zárja ki annak lehetőségét, hogy a körülményektől függően, egyéb jogalapok esetleg megfelelőbbek legyenek mind az adatkezelő, mind az érintett szempontjából. Helyes alkalmazása esetén a hozzájárulás olyan eszköz, amely biztosítja az érintett számára, hogy ellenőrzést gyakoroljon a saját adatainak feldolgozása felett. Helytelen alkalmazásakor az érintett által gyakorolt ellenőrzés csak látszólagos és a hozzájárulás az adatfeldolgozáshoz nem biztosít megfelelő jogalapot. E vélemény kiadására részben a Bizottság kérésére került sor az adatvédelmi irányelv folyamatban lévő felülvizsgálatával kapcsolatban. A vélemény ezért a felülvizsgálat során megvitatandó ajánlásokat tartalmaz. Ezen ajánlások között a következők szerepelnek: i. az egyértelmű hozzájárulás jelentésének tisztázása és annak magyarázata, hogy csak a beleegyezést kinyilvánító nyilatkozatokon vagy cselekvéseken alapuló hozzájárulás minősül érvényesnek; ii. a hozzájárulás bizonyítására szolgáló mechanizmusok bevezetésének előírása az adatkezelők számára (az általános elszámoltathatósági kötelezettség részeként); iii. a hozzájárulás alapját képező tájékoztatás minőségére és hozzáférhetőségére vonatkozó kifejezett követelmény felvétele, valamint iv. a kiskorúakra és más jogképességgel nem rendelkező személyekre vonatkozó számos javaslat. 2
AZ EGYÉNEKNEK A SZEMÉLYES ADATOK FELDOLGOZÁSA TEKINTETÉBEN VALÓ VÉDELMÉVEL FOGLALKOZÓ MUNKACSOPORT, amelyet az 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelv hozott létre, tekintettel az említett irányelv 29. cikkére, 30. cikke (1) bekezdésének a) pontjára és (3) bekezdésére, tekintettel a munkacsoport eljárási szabályzatára, ELFOGADTA EZT A VÉLEMÉNYT I. Bevezetés Az adatvédelemben az érintett hozzájárulásának mindig is kulcsfontosságú szerepe volt, nem mindig egyértelmű azonban, hogy mikor van szükség hozzájárulásra, illetve mely feltételek teljesülése szükséges a hozzájárulás érvényességéhez. Ez a helyes gyakorlat vonatkozásában különböző megközelítések és eltérő nézetek kialakulásához vezethet a különböző tagállamokban, amely ronthat az érintettek helyzetén. A személyes adatok feldolgozásának a modern társadalomban való online és offline környezetben egyaránt, gyakran különböző tagállamokat érintő egyre nagyobb mértékű elterjedésével a probléma súlyossága csak tovább mélyült. Ezért a 29. cikk alapján létrehozott munkacsoport úgy határozott, hogy a 2010-2011. évi munkaprogramja keretében alaposan megvizsgálja e témakört. A hozzájárulás kérdése szerepel azon témák között is, amelyekről a Bizottság adatokat kért be a 95/46/EK irányelv felülvizsgálata kapcsán. A személyes adatok Európai Unión belüli védelmének átfogó megközelítéséről szóló bizottsági közlemény 1 kimondja, hogy A Bizottság megvizsgálja, hogy milyen módon tisztázhatók és erősíthetők a beleegyezésre vonatkozó szabályok. A közlemény ezt a következőképpen magyarázza 2 : A jelenlegi szabályok szerint, amennyiben tájékozottságon alapuló beleegyezést írnak elő, az érintett személy kívánságának önkéntes, kifejezett és tájékozott kinyilvánítása szükséges, amellyel beleegyezését adja személyes adatainak feldolgozásához. A tagállamok azonban jelenleg különféleképpen értelmezik az említett feltételeket. Az értelmezések az általánosan megkövetelt írásbeli hozzájárulástól a hallgatólagos beleegyezés elfogadásáig terjednek. Ezen felül az online környezetben az adatvédelmi politikák homályossága miatt gyakran még nagyobb nehézséget okoz az érintetteknek, hogy megismerjék a jogaikat és tájékozott beleegyezést adjanak. Még bonyolultabbá teszi a helyzetet, hogy némely esetben az sem világos, hogy mi számít az adatfeldolgozásba való önkéntes, kifejezett és tájékozott beleegyezésnek. Ilyen például a viselkedésalapú reklámozás, amelynek 1 2 COM (2010) 609 végleges 2010.11.4. Az Európai Bizottság első jelentése az adatvédelmi irányelv (95/46/EK) végrehajtásáról (COM(2003)265 végleges, már említést tett erről a 17. oldalon: Az egyértelmű hozzájárulás fogalma (7. cikk a) pontja) különösen a 8. cikkben szereplő kifejezett hozzájárulás fogalmával összevetve további pontosítást és egységesebb értelmezést igényel. Elengedhetetlen, hogy az adatkezelők tudják, hogy mi minősül érvényes hozzájárulásnak, különösen on-line környezetben. 3
esetében vannak olyanok, akik a felhasználói beleegyezés kinyilvánításának tekintik az internetes böngésző beállításait, mások pedig nem. Tehát tisztázni kell az érintett beleegyezésének feltételeit annak érdekében, hogy mindig garantálhassuk a tájékozott beleegyezést és azt, hogy az érintett az EU Alapjogi Chartája 8. cikkének megfelelően teljes mértékben tisztában legyen azzal, hogy beleegyezést ad, és tudja, hogy mely adatok feldolgozásához járul hozzá. Az alapvető fogalmak tisztázása elősegíti továbbá az uniós joggal összhangban álló gyakorlati megoldások kidolgozására irányuló önszabályozási kezdeményezések kialakítását. A 29. cikk alapján létrehozott munkacsoport a 2010-2011. évi munkaprogramjának, valamint a Bizottság kérésének teljesítése érdekében vélemény kidolgozására vállalt kötelezettséget. A vélemény célja, hogy a meglévő jogi keret egységes értelmezése érdekében kérdéseket tisztázzon. Ezen intézkedés ugyanakkor követi az irányelv más kulcsfontosságú rendelkezéseire vonatkozó korábbi vélemények 3 logikáját. A meglévő keret lehetséges változtatásához időre lesz szükség, ezért megvannak a maga előnyei és kedvező hatásai annak, hogy a hozzájárulás fogalma és fő elemei tisztázásra kerülnek. A meglévő rendelkezések tisztázása segíti a még javításra szoruló területek feltárását is. Ezért a vélemény az elemzésre építve arra törekszik, hogy szakpolitikai ajánlások megfogalmazásával nyújtson segítséget az alkalmazandó adatvédelmi jogi előírások megváltoztatását mérlegelő Bizottságnak és politikai döntéshozóknak. A vélemény alapvetően a következőket tartalmazza: az adatvédelmi jogszabályok előkészítési munkálatainak és e jogszabályokon belül a hozzájárulások szerepének áttekintését követően azon különböző elemek és követelmények vizsgálatára kerül sor, amelyeknek teljesülése szükséges a hozzájárulás érvényességéhez az alkalmazandó jogszabályok szerint, beleértve a 2002/58/EK elektronikus hírközlési adatvédelmi irányelv egyes vonatkozó részeit is. Az elemzésben a tagállamok tapasztalatain alapuló gyakorlati példák kerülnek bemutatásra. Ezzel megerősítést nyernek a vélemény befejező részében szereplő ajánlások, amelyek alapján az irányelv szerint érvényes hozzájárulás kéréséhez és megszerzéséhez szükség van bizonyos elemek bevezetésére. A vélemény a 95/46/EK irányelv felülvizsgálata során figyelembeveendő szakpolitikai ajánlásokat is nyújt a politikai döntéshozók számára. II. II.1. Általános észrevételek és politikai kérdések Rövid történet Bár egyes tagállamokban a hetvenes években elfogadott adatvédelmi jogszabályok/magánélet védelmére vonatkozó jogszabályok a hozzájárulást a személyes adatok feldolgozásának egyik jogalapjának tekintették 4, e szemléletet az Európa Tanács 108. egyezménye 5 azonban nem vette át. Láthatóan semmi nem indokolja, hogy a hozzájárulás ne játsszon nagyobb szerepet az egyezményben 6. 3 4 5 6 Mint pl. a 2010.12.16-án elfogadott 8/2010. számú vélemény az alkalmazandó jogról (WP 179) és a 2010.2.16-án elfogadott 1/2010. számú vélemény az adatkezelő és az adatfeldolgozó fogalmáról (WP 169). Lásd pl. az 1978. január 6-i "relatíve a l'informatique, aux fichiers et aux libertés" című French Loi n 78-17 31. cikkét. Egyezmény az egyének védelméről a személyes adatok gépi feldolgozása során (a továbbiakban: a 108. egyezmény), amely 1985. október 1-jén lépett hatályba. A 108. egyezmény bevezette a törvényes adatfeldolgozás és a törvényes célok fogalmát (5. cikk), de a 95/46/EK irányelvtől eltérően nem adta meg a törvényes adatfeldolgozás kritériumainak felsorolását. Az érintett hozzájárulásának csak a kölcsönös segítségnyújtással kapcsolatban volt szerepe (15. cikk). A hozzájárulásra vonatkozó követelményt azonban később ismételten megemlítik a Miniszteri Bizottság különböző ajánlásaiban. 4
A 95/46/EK irányelv elfogadásával végződő európai jogalkotási folyamatra már a kezdetektől kezdve az volt jellemző, hogy a hozzájárulásra hagyatkoztak az adatfeldolgozási műveleteket jogszerűvé tévő egyik kritériumként. Az 1990. évi bizottsági javaslat 7 12. cikke meghatározta a hozzájárulásnak az adatfeldolgozási műveletek jogszerűségéhez szükséges tulajdonságait, miszerint a hozzájárulásnak kinyilvánítottnak, illetve kifejezettnek kell lennie. Az érzékeny adatokról szóló 17. cikk kifejezett és írásbeli hozzájárulást ír elő. Az 1992. évi módosított bizottsági javaslatba 8 már olyan szöveg került, amely nagyon hasonlít az eredeti 12. cikk helyébe lépő, mai 2. cikk g) pontjában szereplő az érintett hozzájárulására vonatkozó fogalommeghatározásra. Kimondta, hogy a hozzájárulásnak önkéntesnek és kifejezettnek kell lennie. A hozzájárulásra vonatkozóan a kinyilvánított kifejezés helyébe a (az érintett) kívánságának kifejezett kinyilvánítása lépett. Az 1992. évi módosított javaslatot kísérő indokolás 9 kifejtette, hogy hozzájárulás adható szóban és írásban egyaránt. Az érzékeny adatokat illetően továbbra is érvényben maradt az írásbeli hozzájárulásra vonatkozó előírás. Az 1992. évi módosított bizottsági javaslat átalakította az előző javaslat szerkezetét és beillesztésre került az adatfeldolgozás jogalapjával foglalkozó 7. cikk. A 7. cikk a) pontja megállapítja, hogy akkor végezhető adatfeldolgozás, ha az érintett ehhez hozzájárult. Az eredeti felsorolásban, a jelenlegihez hasonlóan, öt további jogalap szerepelt (a hozzájáruláson kívül), amelyek alkalmazásával jogszerűvé tehető az adatfeldolgozás. A Tanács 1995. évi közös álláspontja 10 adta meg a hozzájárulás végleges (jelenleg is érvényben lévő) fogalommeghatározását, amely így hangzik: az érintett kívánságának önkéntes, kifejezett és tájékozott kinyilvánítása, amellyel beleegyezését adja az őt érintő személyes adatok feldolgozásához. A fő változást a Bizottság 1992-es álláspontjához képest a kinyilvánítása kifejezést közvetlenül megelőző kifejezett szó elhagyása jelentette. A 7. cikk a) pontja ugyanakkor kiegészült az egyértelmű szóval, amely így a következőképpen hangzik: Ha az érintett ahhoz egyértelmű hozzájárulását adta. Az érzékeny adatok esetében az előírások kifejezett hozzájárulást követelnek meg az írásbeli hozzájárulás helyett. A Tanács indoklása 11 nem adott egyértelmű magyarázatot e változtatásokra. A 4. oldalon azonban a következő állítás szerepel: számos módosításra került sor, olyan rugalmas intézkedések bevezetése érdekében, amelyek azonos védelmet biztosítanak ugyanakkor nem vezetnek a védelem szintjének csökkenéséhez. A módosítások lehetővé teszik az általános alapelvek hatékony és bürokráciamentes alkalmazását összhangban azzal a sokféle módszerrel amellyel az adatok feldolgozása történik. 7 8 9 10 11 A személyeknek a személyes adatok feldolgozásához kapcsolódó védelméről szóló irányelvre vonatkozó javaslat, COM (90), 314 végleges, SYN 287 és 288, Brüsszel, 1990. szeptember 13. A személyes adatok feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló tanácsi irányelvre irányuló módosított javaslat, COM (92) 422 VÉGLEGES- SYN 287, Brüsszel, 1992. október 15. Lásd a személyes adatok feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló tanácsi irányelvre irányuló módosított javaslat 11. oldalát, COM (92) 422 VÉGLEGES- SYN 287, Brüsszel, 1992. október 15. A Tanács 1995. március 15-én elfogadott közös álláspontja a személyes adatok feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló európai parlamenti és tanácsi irányelvre irányuló javaslatról, (00/287) COD. Lásd a közös álláspont 4. oldalát. 5
Az Európai Unió Alapjogi Chartája kifejezetten elismerte a hozzájárulás szerepét a személyes adatok védelmével foglalkozó részben. A 8. cikk (2) bekezdése megállapítja, hogy a személyes adatok kezelésére az érintett személy hozzájárulása alapján vagy valamilyen más, a törvényben rögzített jogos okból kerülhet sor. A hozzájárulás tehát elismerten a személyes adatok védelméhez való alapvető jog egyik leglényegesebb eleme. A Charta szerint ugyanakkor nem a hozzájárulás képezi a személyes adatok kezelésének egyetlen jogalapját. A Charta kifejezetten elismeri, hogy törvényben rögzíthetők más jogalapok is, mint a 95/46/EK irányelv esetében. Összegezve, a jogalkotás előkészítési munkálatai során beigazolódott, különösen az EUban, hogy a hozzájárulás jelentős szerepet játszott az adatvédelemmel és a magánélet védelmével kapcsolatos elképzelések területén. Arra is fény derült ugyanakkor, hogy a hozzájárulást nem tekintik az adatfeldolgozási műveletek jogszerűségéhez szükséges egyetlen jogalapnak. A 95/46/EK irányelv előkészítési munkálatai során relatív konszenzust alakult ki a hozzájárulás érvényességéhez szükséges feltételeket illetően, nevezetesen, hogy annak önkéntesnek, kifejezettnek és tájékozottnak kell lennie. Bizonytalanság mutatkozik azonban a tekintetben, hogy milyen módon juttatható kifejezésre a hozzájárulás hogy kifejezett, írásbeli, vagy más fajta hozzájárulásra van-e szükség. Ennek további elemzésére az alábbiakban kerül sor. II.2. A fogalom szerepe: a jogszerűség alapja Általános/Külön jogalap: Az irányelvben a hozzájárulás mind a jogszerűség általános jogalapjaként (7. cikk), mind külön jogalapként is alkalmazásra kerül néhány sajtos összefüggésben (8. cikk (2) bekezdésének a) pontja, 26. cikk (1) bekezdésének a) pontja). A 7. cikk a személyes adatok feldolgozásának jogszerűségét biztosító hat különböző jogalap közül első helyen említi a hozzájárulást, míg a 8. cikk értelmében lehetőség nyílik arra, hogy hozzájárulás felhasználásával jogszerűvé tegyék a különleges (érzékeny) adatok feldolgozását amely egyébként tilos lenne. Ez utóbbi esetben a hozzájárulás megszerzésénél a hozzájárulásnak a vonatkozó általános előírásoknál szigorúbb szabályoknak kell megfelelnie, mivel itt kifejezett hozzájárulásra van szükség. Az irányelv lehetővé teszi továbbá más jogszabályok alkalmazását is a (23) preambulumbekezdésben említettek szerint: A tagállamok az egyének védelmének megvalósításáról gondoskodhatnak mind a személyes adatok feldolgozása vonatkozásában az egyének védelméről szóló általános jogszabály révén, mind ágazati jogszabályokon keresztül. A gyakorlatban e rendszer működési módja összetett: a tagállamok saját megközelítési módjukat követték, és néhány esetben ez különbözőséghez vezetett. A hozzájárulás fogalmának átültetését nem minden esetben hajtották végre szó szerint nemzeti szinten. A hozzájárulás általános fogalma a francia adatvédelmi jogszabályokban például nem került meghatározásra, a jelentésére vonatkozóan azonban az adatvédelmi hatóság (CNIL) ítélkezési gyakorlata pontos és tömör magyarázatot adott az adatvédelmi irányelvben szereplő fogalommeghatározás kapcsán. Az Egyesült Királyságban a szokásjog az irányelvben megfogalmazottakra vonatkozóan alakította ki értelmezését. Ezenkívül bizonyos ágazatokban a hozzájárulás fogalmát egyes esetekben 6
pontosan meghatározták, például az e-magánélet, az e-kormányzás, és az e-egészségügy területén. A külön jogszabályokon belül és az általános adatvédelmi jogszabályokon belül kialakult fogalmak tehát kölcsönösen hatnak egymásra. A hozzájárulás kifejezést a jog egyéb területein is alkalmazzák, különösen a szerződési jogban. Ebben az összefüggésben a szerződés érvényessége érdekében az irányelvben foglaltakon kívül egyéb kritériumokat is figyelembe kell venni, mint pl. az életkort, jogtalan befolyásolást, stb. A polgári jog hatálya és az irányelv hatálya között nem ellentmondás, hanem átfedés van. Az irányelv polgári jogi szempontból nem foglalkozik a hozzájárulás érvényességének általános feltételeivel, ugyanakkor nem is zárja ki azokat. Ez azt jelenti például, hogy a szerződés érvényességének az irányelv 7. cikkének b) pontjával összefüggő vizsgálatakor a polgári jogi előírásokat kell figyelembe venni. A hozzájárulás polgári jog szerinti érvényességének általános feltételeinek alkalmazása mellett a 7. cikk a) pontjában előírt hozzájárulást is értelmezni kell, figyelemmel az irányelv 2. cikkének h) pontjára. A többi jogszabállyal való kölcsönhatás nem csak nemzeti szinten, hanem európai szinten is megfigyelhető. Az irányelv elemeinek hasonló értelmezése más esetekben is tetten érhető, amelyet a Bíróságnak a munkajog területén hozott egyik ítélete 12 : is alátámaszt, amelyben szociális jogról való lemondáshoz volt szükség hozzájárulásra. A Bíróság a munkaidő-szervezés egyes szempontjairól szóló 93/104/EK tanácsi irányelvvel összefüggésben értelmezte a hozzájárulás fogalmát. Megállapította, hogy a munkavállaló beleegyezéséhez a munkavállaló (nem pedig a munkavállalót képviselő szakszervezet) hozzájárulására van szükség, valamint a beleegyezésen önkéntes és tájékozott hozzájárulás értendő. A Bíróság azt is kimondta, hogy a munkaidő meghosszabbítását engedélyező kollektív szerződésre való utalást tartalmazó munkaszerződés munkavállaló által történő aláírása nem felel meg annak a követelménynek, miszerint a munkavállalónak a következmények pontos ismeretében, önkéntes és kifejezett hozzájárulást kell adnia. A hozzájárulás speciális összefüggésben való eme értelmezése nagyon hasonlít a 95/46/EK irányelv szövegéhez. A jogszerűségnek nem a hozzájárulás az egyetlen jogalapja Az irányelv egyértelműen a jogszerűség egyik jogalapjaként mutatja be a hozzájárulást. Néhány tagállam azonban elsőbbségi jogalapként, néha már-már az adatok védelmének alapvető jogi státuszához kapcsolódó alkotmányos alapelvként kezeli. Más tagállamok a hat lehetőség egyikének tekintik, olyan működési követelménynek, amely nem fontosabb a többi lehetőségnél. A hozzájárulás és a jogszerűség többi jogalapja pl. szerződésekkel kapcsolatban a közérdekű feladatok ellátása vagy az adatkezelő jogos érdekei, illetve a kifogásolási jog közötti kapcsolat tisztázása segít megvilágítani a hozzájárulás egyedi esetekben betöltött szerepét. A 7. cikkben szereplő jogalapok említési sorrendje lényeges, de ez nem jelenti azt, hogy mindig a hozzájárulás a legmegfelelőbb jogalap a személyes adatok feldolgozásának jogszerűvé tételéhez. A 7. cikk a hozzájárulással kezd, majd a többi jogalappal folytatja a felsorolást, beleértve a szerződéseket, jogi kötelezettségeket, miközben fokozatosan halad az érdekek egyensúlya felé. Meg kell jegyezni, hogy a hozzájárulást követő öt jogalap esetében előírják a szükségesség vizsgálatát, amely szigorúan korlátozza az 12 A Bíróság (Nagytanács) 2004. október 5-i, 397/01 C-403/01. számú Pfeiffer, Roith, Süß, Winter, Nestvogel, Zeller, Döbele egyesített ügyekben hozott ítélete. 7
alkalmazhatóságuk körét. Ez nem jelenti azt, hogy a hozzájárulási kötelezettség nagyobb mozgásteret enged, mint a 7. cikkben szereplő többi jogalap. Ezenfelül a hozzájárulás megszerzése nem mentesíti az adatkezelőt a 6. cikk szerinti tisztességességre, szükségességre és arányosságra, valamint az adatok minőségére vonatkozó kötelezettségei alól. Például az sem tenne jogszerűvé egy adott felhasználási cél szempontjából túlzott mértékű adatgyűjtést, ha a személyes adatok feldolgozása a felhasználó hozzájárulásán alapulna. Hozzájárulás megszerzése ugyancsak nem teszi lehetővé más rendelkezések mint pl. a 8. cikk (5) bekezdése kijátszását. Csak igen korlátozott körülmények között lehet hozzájárulással jogszerűvé tenni egy egyébként tilos adatfeldolgozási tevékenységet, elsősorban egyes érzékeny adatok kezelésével kapcsolatban (8. cikk), vagy személyes adatok további feldolgozásra való felhasználásának engedélyezése esetén függetlenül attól, hogy az összeegyeztethető-e az eredeti céllal, vagy sem. A hozzájárulást elvben nem a többi adatvédelmi elv alóli kivételnek, hanem védelmi garanciának kell tekinteni. Ez elsősorban a jogszerűség egyik alapja, és nem mentesít más alapelvek alkalmazásától. Nem mindig egyértelmű a legmegfelelőbb jogalap kiválasztása, különösen a 7. cikk a) és b) pontja közül. A 7. cikk b) pontjában az adatfeldolgozásra szerződés teljesítéséhez, vagy a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez van szükség, és máshoz nem. Az adatkezelő, aki egy szerződés teljesítésével összefüggésben a 7. cikk b) pontját alkalmazza jogalapként, nem terjesztheti ki azt a szükségesnél nagyobb mértékű adatfeldolgozás igazolására. A szükséges mértéket meghaladó adatfeldolgozás jogszerűvé tételéhez külön hozzájárulásra van szükség, amelyre a 7. cikk a) pontjában foglalt követelmények vonatkoznak. Ez mutatja, hogy milyen szükségesek a részletek szerződések esetében. Ez a gyakorlatban azt jelenti, hogy az adatfeldolgozás valamely részéhez kiegészítő feltételként szükség lehet hozzájárulásra. Vagy szerződés teljesítéséhez szükséges az adatfeldolgozás, vagy (önkéntes) hozzájárulást kell szerezni. Egyes ügyleteknél számos jogalap alkalmazható egyidejűleg. Más szóval mindig minden adatfeldolgozást egy vagy több jogalapnak megfelelően kell végezni. Ez nem zárja ki több jogalap egyidejű alkalmazását, feltéve, hogy azokat a megfelelő összefüggésben alkalmazzák. Az érintettel kötött szerződés alapján szükség lehet adatgyűjtésre, illetve további adatfeldolgozásra 7. cikk b) pontja; más adatfeldolgozás jogi kötelezettség eredményeként válhat szükségessé 7. cikk c) pontja; további információ gyűjtése érdekében szükség lehet külön hozzájárulásra 7. cikk a) pontja; még egyéb adatfeldolgozási módok is lehetnek szintén jogszerűek az érdekek egyensúlya alapján 7. cikk f) pontja. Példa: autóvásárlás Az adatkezelő különböző okokból és különböző jogalapok alapján lehet jogosult személyes adatok feldolgozására: - Az autóvásárláshoz szükséges adatok: 7. cikk b) pontja, - Az autó papírjainak kezeléséhez: 7. cikk c) pontja, - Ügyfélkezelési szolgáltatásokhoz (pl. az autó különböző társvállalatoknál történő szervizeltetéséhez az EU-n belül): 7. cikk f) pontja, - Az adatok harmadik fél számára való továbbításához azok saját marketing tevékenységeihez: 7. cikk a) pontja. 8
II.3. Kapcsolódó fogalmak Ellenőrzés A hozzájárulás fogalma hagyományosan ahhoz az elképzeléshez kapcsolódik, hogy az érintett ellenőrzést gyakoroljon a saját adatainak felhasználása felett. Az alapvető jogok szempontjából a hozzájáruláson keresztül gyakorolt ellenőrzés egy lényeges fogalom. Ugyanebből a szempontból az egyén adatfeldolgozási műveletek elfogadására irányuló döntésére ugyanakkor szigorú követelményeknek kell vonatkozniuk, különös tekintettel arra, hogy ezáltal az egyén esetleg alapvető jogról mondhat le. A hozzájárulás bár szerepet játszik benne, mégsem az érintett által gyakorolt ellenőrzés egyetlen módja. Az irányelv rendelkezik egyéb ellenőrzési eszközökről is, különösen a kifogásolási jogról, ez azonban egy másfajta eszköz, amely az adatfeldolgozás eltérő szakaszában, mégpedig az adatfeldolgozás megkezdését követően és eltérő jogalap alapján alkalmazandó. A hozzájárulás az információs önrendelkezési jog fogalmához kapcsolódik. Az érintett autonómiája a hozzájárulásnak mind az előfeltétele, mind pedig a következménye: biztosítja az érintett számára, hogy befolyást gyakoroljon az adatfeldolgozásra. Ennek az elvnek azonban a következő fejezet vizsgálatai alapján vannak korlátai, és vannak olyan esetek, amikor az érintett nincs abban a helyzetben, hogy valódi döntést hozzon. Előfordul, hogy az adatkezelő a saját felelősségét akarja áthárítani az egyénre az érintett hozzájárulásának felhasználásával. Például személyes adatok interneten való közzétételéhez vagy egy harmadik országbeli kétes szervezetnek való továbbításához adott hozzájárulással kárt szenvedhet, miközben az adatkezelő azzal érvelhet, hogy csak az történt, amihez az érintett a hozzájárulását adta. Ezért fontos emlékeztetni arra, hogy egy teljes mértékben érvényes hozzájárulás nem mentesíti az adatkezelőt a kötelezettségei alól, és nem tesz jogszerűvé az irányelv 6. cikke alapján egyébként tisztességtelennek minősülő adatfeldolgozást. Az ellenőrzés fogalma kapcsolódik ahhoz a tényhez is, hogy az érintett számára lehetővé kell tenni, hogy visszavonja a hozzájárulását. A visszavonás visszamenőlegesen nem érvényes, de az adatkezelőnek elvileg meg kell akadályoznia az egyén adatainak további feldolgozását. Ennek a gyakorlatban való működési menete az alábbiakban kerül vizsgálatra (III. fejezet). Átláthatóság A hozzájárulás második megközelítésből az információra vonatkozik: átláthatóságot biztosít az érintett számára. Az átláthatóság az ellenőrzés gyakorlásának és a hozzájárulás érvényességének egyik feltétele. Az átláthatóság, mint olyan, nem elég a személyes adatok feldolgozásának jogszerűvé tételéhez, de lényeges feltétel a hozzájárulás érvényességének biztosításához. Az érvényességhez a hozzájárulásnak tájékozottságon kell alapulnia. Ebből következően hozzájárulás kérésekor rendelkezésre kell bocsátani valamennyi szükséges információt az adatfeldolgozás azon lényegi szempontjaira vonatkozóan, amelyek jogszerűvé tételéhez a hozzájárulásra szükség van. E tájékoztatásnak általában az irányelv 10. 9
cikkében felsorolt elemekre kell kitérnie, de ez attól is függ, hogy a hozzájárulást mikor és milyen körülmények között kérik. Függetlenül attól, hogy a hozzájárulást megadják-e vagy sem, a tisztességes eljárás is megköveteli az adatfeldolgozás átláthatóságát, amelynek meg van a maga értéke a kezdeti tájékoztatás időpontját követően is. Tennivaló/ütemezés: a hozzájárulás kinyilvánításának módjai A harmadik megközelítés az ellenőrzés gyakorlásának módjára vonatkozik: miként lehet kifejezni hozzájárulást, és mikor kell azt beszerezni annak érdekében, hogy valódi hozzájárulás legyen? E kérdések döntő hatást gyakorolnak a hozzájárulás gyakorlásának és értelmezésének módjára. Bár a hozzájárulás beszerzésének időpontját nem szabja meg az irányelv, a különböző rendelkezések nyelvezete egyértelmű utalást tesz rá, miszerint általános szabályként a hozzájárulást az adatfeldolgozás megkezdése előtt kell megadni 13. A hozzájárulásnak az adatfeldolgozás megkezdése előtt történő beszerzése az adatfeldolgozás jogszerűvé tételének szükséges feltétele. E kérdés további kifejtésére az elektronikus hírközlési adatvédelmi irányelvre vonatkozó alábbi III.B fejezetben kerül sor. Személyes adatok feldolgozását lehetővé tevő engedélynek minősülő hozzájárulást különféleképpen tehet az egyén: A 2. cikk h) pontja kinyilvánítást említ, amelynek egyértelműnek (7. cikk a) pontja) és érzékeny adatokra vonatkozóan kifejezettnek kell lennie (korábbi 8. cikk). Szükséges hangsúlyozni azonban azt a tényt, hogy a hozzájárulás és a 14. cikkben meghatározott kifogásolási jog különböznek egymástól. Míg a 7. cikk a) pontja alapján az adatkezelő nem kezdheti meg az adatfeldolgozást az érintett hozzájárulásának előzetes megszerzése nélkül, a 7. cikk f) pontja szerint bizonyos feltételek és biztosítékok mellett az adatkezelő feldolgozhatja az adatokat, amennyiben az érintett ez ellen nem emel kifogást. A munkacsoport 114. számú munkadokumentumában leírtak szerint: Mivel a beleegyezés pozitív megnyilvánulás, de facto kizár minden olyan rendszert, amelyben az érintett csak a továbbítás után tiltakozhat 14. Fenti okokból, az irányelv 14. cikke szerinti kifogásolási jogot nem szabad összetéveszteni a hozzájárulással. Az utóbbi a személyes adatok feldolgozásához biztosít jogalapot a 7. cikk a) pontja, a 8 cikk (2) bekezdésének a) pontja, a 26.1 cikk szerint, illetve a 2002/58/EK irányelvben foglalt különböző rendelkezések alapján. II.4. A hozzájárulás megfelelő alkalmazása jogalapként Szükséges kihangsúlyozni, hogy nem mindig a hozzájárulás az elsődleges, vagy a legkedvezőbb eszköz a személyes adatok feldolgozásának jogszerűvé tételére. 13 14 Illusztrálásképpen, az irányelv (és a német szövetségi adatvédelmi törvény) német nyelvű szövege az Einwilligung fogalmat használja. A Polgári Törvénykönyv előzetes hozzájárulásként határozza meg e fogalmat. WP114 A 29. cikk alapján létrehozott munkacsoport munkadokumentuma az 1995. október 24-i 95/46/EK irányelv 26. cikke (1) bekezdésének közös értelmezéséről 10
A hozzájárulás által nyújtott jogalap néha olyan gyenge, hogy nem indokolja a személyes adatok feldolgozását és teljesen értéktelennek bizonyul, amikor olyan szituációkra terjesztik ki, vagy szűkítik le, amelyekben eredetileg sosem akarták alkalmazni azt. A hozzájárulás megfelelő összefüggésben történő alkalmazása döntő jelentőségű. Amennyiben alkalmazására nem megfelelő körülmények között kerül sor az érvényes hozzájáruláshoz szükséges elemek esetleges hiánya miatt, ez nagymértékű sérülékenységet eredményezne, és a gyakorlatban meggyengítené az adatkezelő helyzetét. A munkacsoport és az európai adatvédelmi biztos már támogatta e megközelítési módot az új adatvédelmi keretről szóló vitához való hozzászólásaikban. Elsősorban a következő megállapítást tették: Nem mindig egyértelmű, mi számít valódi, kétséget kizáró hozzájárulásnak. Néhány adatkezelő ezt a bizonytalanságot használja ki, amikor olyan módszerekre épít, amelyekkel nem nyerhető valódi, egyértelmű hozzájárulás 15 az irányelv 6. cikkében szereplő feltételek megsértésével. Ugyanígy a 29. cikk alapján létrehozott munkacsoport megjegyezte, hogy az adatgyűjtési gyakorlatok, az üzleti modellek, a kereskedői kapcsolatok és a technológiai alkalmazások komplexitása sok esetben meghaladja az egyén azon képességét és hajlandóságát, hogy akarata kifejezésével az adatok felhasználására vagy megosztására vonatkozó döntéseket hozzon 16. Ezért fontos pontosítani a hozzájárulás korlátait és biztosítani kell, hogy csak a jogszabályoknak megfelelően értelmezett beleegyezést tekintsék egyértelmű hozzájárulásnak. 17 III. A rendelkezések elemzése Ezen elemzés III.A fejezetének középpontjában a 95/46/EK irányelv áll. A III. B fejezetben a 2002/58/EK elektronikus hírközlési adatvédelmi irányelv egyes vonatkozó részei kerülnek elemzésre. Meg kell említeni, hogy a két irányelv nem zárja ki egymást. A hozzájárulás érvényességének 95/46/EK irányelvben megállapított általános feltételei az off-line és az on-line világban egyaránt érvényesek. A 2002/58/EK irányelv néhány egyértelműen meghatározott on-line szolgáltatás számára pontosítja e feltételeket, mindig az adatvédelmi irányelv általános feltételeinek tükrében. III.A A 95/46/EK irányelv Az érintett hozzájárulása kifejezés a 2. cikk h) pontjában szereplő fogalommeghatározását követően a 7., 8. és 26. cikkben kerül alkalmazásra. A hozzájárulás szerepét megemlíti még a (30) és (45) preambulumbekezdés is. E rendelkezések valamennyi vonatkozó részlettel együtt külön kerülnek ismertetésre ebben a fejezetben. 15 16 17 Az európai adatvédelmi biztos 2011. január 14-i véleménye A személyes adatok Európai Unión belüli védelmének átfogó megközelítése című bizottsági közleményről. "A magánélet védelmének jövője: közös hozzájárulás az Európai Bizottság által a személyes adatok védelméhez való alapvető jogok jogi kereteiről kezdeményezett konzultációhoz ", 2009. december 1., WP 168. Az európai adatvédelmi biztos 2011. január 14-i véleménye, op.cit. 11
III.A.1. A 2. cikk h) pontja A 2. cikk h) pontja szerint az érintett hozzájárulása az érintett kívánságának önkéntes, kifejezett és tájékozott kinyilvánítása, amellyel beleegyezését adja az őt érintő személyes adatok feldolgozásához. E fogalommeghatározás különböző kulcsfontosságú elemeket tartalmaz, amelyek az alábbiakban kerülnek ismertetésre. kívánságának kinyilvánítása, amellyel adja Elvileg nincs korlátozva, hogy hozzájárulás milyen formában adható. Az irányelvvel összhangban az érvényességhez azonban a hozzájárulásnak kinyilvánításnak kell lennie. Attól, hogy a kinyilvánítás bármilyen formában történhet, még egyértelműen tisztázni kell, hogy pontosan mi tartozhat a kinyilvánítás fogalma alá. Az irányelv nem határozza meg a kinyilvánítás formáját, (azaz a kívánság kinyilvánítási módját). A rugalmasság érdekében a végleges szövegből kihagyták az írásbeli hozzájárulás kifejezést. Hangsúlyozni kell, hogy az irányelvben bármilyen kinyilvánítás szerepel. Az ilyen kinyilvánítások köre széles értelmezési lehetőségnek enged teret. A kinyilvánítás minimális kifejezésének minősülhet bármely olyan elég egyértelmű jelzés, amely alkalmas az érintett kívánságának az adatkezelő számára érthető módon való kinyilvánítására. A kinyilvánítás és az adja szavak olyan cselekvésekre utalnak, amelyekre valóban szükség van (ellentétben azzal a helyzettel, amikor cselekvés elmulasztásából következtethető ki a hozzájárulás). A hozzájárulásnak tartalmaznia kell az érintett kívánságának kinyilvánítását, amellyel beleegyezését adja: ez lehet az alján kézzel aláírt formanyomtatvány, de beleegyezést kifejező szóbeli nyilatkozatok, vagy a hozzájárulásra megfelelően utaló magatartás is. Az aláírás klasszikus példáján kívül, egy névjegynek üveg gyűjtő urnába való dobása következésképpen szintén eleget tesz a meghatározásnak. Ugyanez vonatkozik arra az esetre is, ha információ szerzés céljából az érintett személy megküldi a nevét és címét egy szervezet számára. Ez esetben e tettét ezen adatok feldolgozására adott engedélyként kell értelmezni, amennyiben azok feldolgozása, illetve a kérdés megválaszolásához ez szükséges. A helymeghatározó adatok értéknövelt szolgáltatás nyújtására történő felhasználásáról szóló véleményében (WP115) a munkacsoport megállapította, hogy hogyan kell lehetővé tenni az egyén számára, hogy hozzájárulhasson egy olyan szolgáltatáshoz, amely egy személy helyének automatikus meghatározását igényli (pl. ha egy bizonyos szám felhívásával a személy tartózkodási helyén lévő időjárási feltételekről lehet tájékoztatást kapni). Az említett esetben elismerték, hogy amennyiben a felhasználók előzetesen teljes körű tájékoztatást kapnak a helymeghatározó adataik kezeléséről, akkor az érintett szám felhívása azt jelentené, hogy az érintett hozzájárul ahhoz, hogy meghatározzák a tartózkodási helyét. Példa: Bluetooth hirdetőtáblák Létezik egy fejlesztés alatt álló reklám eszköz, amely olyan hirdetőtáblából áll, amely Bluetooth kapcsolat létesítését kérő üzeneteket küld annak érdekében, hogy a közelben elhaladó járó-kelők számára ezen keresztül reklámokat továbbítson. Az üzenetek azokat az embereket érik el, akiknek a mobiltelefonján a Bluetooth 12
csatlakozó be van kapcsolva. A Bluetooth funkció bekapcsolása önmagában még nem minősül érvényes hozzájárulásnak (a Bluetooth funkciót ugyanis más okból is bekapcsolhatják). Másrészt, amikor valaki tájékoztatást kap a szolgáltatásról és néhány centiméterre megközelíti a táblát a mobiltelefonjával, ez már általában egy kívánság kinyilvánításának mondható: ez megmutatja, hogy mely embereket érdekel valójában a reklám tartalma. Csak ezen emberek esetében tekinthető a hozzájárulás érvényesnek és csak nekik szabad megkapniuk az üzenetet a telefonjukra. Kérdéses, hogy bármely magatartás hiánya jobban mondva: a passzív magatartás értelmezhető-e kinyilvánításnak igen egyedi körülmények között (azaz teljesen egyértelmű helyzetben). A kinyilvánítás tág fogalom, de értelmileg mintha magába foglalná a cselekvés szükségességét. Ezt az értelmezést támasztják alá a hozzájárulás fogalommeghatározásának egyéb elemei, valamint a 7. cikk a) pontjában meghatározott azon követelmény, miszerint a hozzájárulásnak egyértelműnek kell lennie. Az a követelmény, hogy az érintettnek ki kell fejeznie a hozzájárulását arra utal, hogy egy cselekvés egyszerű elmulasztása nem elég, és hogy bizonyos fajta cselekvés mindenképpen szükséges a hozzájáruláshoz, bár ezek esetenként lehetnek különféle cselekvések. A gyakorlatban az érintett részéről tapasztalt aktív magatartás hiányában az adatkezelőnek nehéz lesz ellenőriznie, hogy a hallgatás elfogadást, vagy hozzájárulást akar-e jelenteni. A következő esetben például az adatkezelő nem rendelkezik a szükséges bizonyossággal ahhoz, hogy feltételezze a hozzájárulás meglétét. Képzeljünk el egy olyan szituációt, hogy amikor az ügyfeleket levélben arról tájékoztatják, hogy adataik továbbítását tervezik, amennyiben ez ellen két héten belül nem emelnek kifogást, az ügyfeleknek csak a 10%-a válaszol. Ebben a példában vitatható, hogy a nem válaszoló 90% valóban beleegyezett az adattovábbításba. Az ilyen esetekben az adatkezelő nem rendelkezik az érintett szándékának egyértelmű kinyilvánításával. Ezenkívül nem lesz bizonyíték a birtokában, és így nem tudja igazolni, hogy megszerezte a hozzájárulást. A gyakorlatban a passzív válasz félreérthetősége megnehezíti az irányelvben meghatározott követelmények teljesítését. önkéntes A hozzájárulás csak akkor érvényes, ha valódi választási lehetőség áll az érintett rendelkezésére, és nem áll fenn a becsapás, a megfélemlítés, a kényszerítés vagy más jelentős negatív következmény veszélye a hozzájárulás megtagadása esetén. Amennyiben a hozzájárulás következményei aláássák az egyén választási szabadságát, a hozzájárulás nem minősül önkéntesnek. Maga az irányelv a 8. cikke (2) bekezdésének a) pontjában előírja, hogy a tagállamok által meghatározandó egyes esetekben a személyes adatok külön kategóriáinak feldolgozására érvényes tilalom nem oldható fel az érintett hozzájárulásával. A fentieket bemutató példaként szolgál az az eset, amikor az érintett az adatkezelő befolyása alatt áll, pl. egy munkaviszonyban. Ebben a példában, bár nem feltétlenül mindig, a kapcsolat jellegéből, illetve a speciális körülményekből adódóan az érintett függő helyzetben lehet az adatkezelőtől, és attól félhet, hogy más elbánásban részesülhet, ha nem járul hozzá az adatfeldolgozáshoz. 13
A munkacsoport számos véleményében megvizsgálta a hozzájárulás korlátait olyan helyzetekben, amikor az nem adható önként. Ez volt a helyzet mindenekelőtt az elektronikus egészségügyi nyilvántartásról szóló véleményében (WP131), a foglalkoztatással összefüggő adatfeldolgozásról szóló véleményében (WP48) és a Nemzetközi Doppingellenes Ügynökség által végzett adatfeldolgozásról szóló (WP162) véleményében. Munkadokumentumában (WP131) a munkacsoport az alábbiakat említi: Az önkéntes hozzájárulás szellemi képességeik teljes birtokában lévő egyének minden társadalmi, gazdasági, pszichológiai vagy egyéb kényszer alkalmazása nélkül hozott önkéntes döntését jelenti. Nem tekinthető önkéntes hozzájárulásnak az, ha valaki egy adott orvosi helyzetben azért adja beleegyezését, mert a kezelés megtagadásával vagy alacsonyabb szintű kezeléssel fenyegetik meg. Amikor az orvosi helyzet szükséges és elkerülhetetlen velejárója, hogy egy egészségügyi szakember EHR-rendszerben személyes adatokat dolgozzon fel, félrevezető lehet, ha az illető a beteg hozzájárulásának megszerzésével próbálja a feldolgozás jogosságát indokolni. A hozzájárulásos megoldásra csak azokban az esetekben kellene hagyatkozni, ahol az érintett egyén valóban szabadon választhat, következésképpen a már megadott hozzájárulást, mindenféle hátrányos következmény nélkül, akár vissza is vonhatja. 18 Abban az esetben, ha a hozzájárulás egyszeri visszavonása esetén az adatfeldolgozást tovább végzik egy másik jogalap alapján, akkor kétségek merülhetnek fel az eredeti hozzájárulás kezdeti jogalapként való alkalmazását illetően. Ha ugyanis az adatfeldolgozásra az elejétől fogva sor kerülhetett volna e másik jogalap felhasználásával, akkor félrevezetőnek vagy eredendően tisztességtelennek minősül az egyén számára olyan helyzetet teremteni, amelyben a hozzájárulását kérik az adatfeldolgozáshoz. A körülmények megváltozása esetén más lenne a helyzet, pl. ha az adatfeldolgozás során merül fel egy új jogalap, mint pl. az érintett adatbázist szabályozó új törvény. Ha az új jogalap érvényes módon alkalmazható, az adatfeldolgozás folytatódhat. A gyakorlatban azonban ilyen körülmények ritkán merülnek fel. Elvben hiányosnak minősülhet az olyan hozzájárulás, amelynek nem engedélyezik az érvényes visszavonását. A munkacsoport a következő állandó álláspontra helyezkedett a munkavállalással összefüggésben adott önkéntes hozzájárulást illetően 19 : ha a munkavállaló hozzájárulását kérik, és a hozzájárulás megtagadása valós vagy lehetséges sérelem merül fel, akkor a hozzájárulás nem érvényes sem a 7. cikk, sem a 8. cikk értelmében, mivel azt nem önkéntesen adták. Nem beszélhetünk hozzájárulásról, ha a munkavállaló számára nem áll fenn a visszautasítás lehetősége. Bonyolult a helyzet, amikor a hozzájárulás egyben a munkavállalás feltétele. A munkavállaló elméletileg megtagadhatja a hozzájárulását, de ez az álláslehetőség elvesztésével járhat. Ilyen körülmények között a hozzájárulás nem önkéntes, következésképpen érvénytelen. Még egyértelműbbé teszi a helyzetet, amikor és gyakran ez történik minden munkáltató azonos vagy hasonló foglalkoztatási feltételeket szab meg. 18 19 A WADA-ról szóló WP162 munkadokumentum ugyanerre a következtetésre jut: A munkacsoport nem tekintheti önkéntesnek a hozzájárulást, mivel szankciók és következmények származnak abból, ha a résztvevők esetlegesen nem hajlandóak alávetni magukat a Szabályzat által előírt kötelezettségeknek (pl. a tartózkodási hellyel kapcsolatos adatok közlésének). A személyes adatok foglalkoztatással összefüggő feldolgozásáról szóló WP48 munkadokumentum. WP114 A 29. cikk alapján létrehozott munkacsoport 1995. október 24-i 95/46/EK irányelv 26. cikke (1) bekezdésének közös értelmezéséről szóló munkadokumentuma szintén ide tartozik. 14
Példa: képek az intraneten Érvényes lehet a munkavállalással összefüggésben adott hozzájárulás, ahogy a következő példa is mutatja: Az egyik vállalat intranetet kialakítása mellett dönt, amelyen bemutatja az alkalmazottak nevét és főbb feladatait. Minden alkalmazottat megkérdeznek, hogy szeretnék-e ha a nevük mellé feltöltenék a képüket is. Megkérik azokat, akik a képük feltöltését akarják, hogy küldjenek magukról képet a megadott címre. Megfelelő tájékoztatást követően hozzájárulásnak tekintendő az egyénnek azon intézkedése, hogy elküldi a képet. Ha a vállalat digitális képpel rendelkezik minden alkalmazottjáról, és a fenti célokra való feltöltéshez mindegyiküktől hozzájárulást kér oly módon, hogy mindannyian egy gombra klikkeléssel jelezhetik hozzájárulásuk megadását, ez szintén érvényes hozzájárulás megadásának minősülne. Mindkét esetben teljes tiszteletben tartják az alkalmazottak arra vonatozó döntését, hogy akarják-e a képük intraneten való megjelenését. A munkavállalás területe külön magyarázatot igényel. Itt a munkaviszony kulturális és társadalmi aspektusai játszanak szerepet, valamint az, ahogyan az adatvédelmi alapelvek és a többi jogszabály kölcsönösen hatnak egymásra. A munkavállalással összefüggésben a személyes adatok különböző célokból kerülhetnek feldolgozásra: o A munkavállaló feladatainak ellátásához szükséges adatok: a 7. cikk b) pontjának alkalmazása a szerződéshez szükséges o Munkavállalói részvényopcióra való jogosultság meghatározásához: ez alapulhat egyrészt hozzájáruláson 7 cikk a) pontja, vagy tekinthető a szerződéses munkaviszony adminisztratív velejárójának 7 cikk b) pontja. o A társadalombiztosítási azonosító jel társadalombiztosítási célokra való adatfeldolgozása: 7 cikk c) pontja jogi kötelezettség, vagy esetleg a 8. cikk b) pontja kötelezettségek a foglalkoztatási jogszabályok területén. o Egyes országokban az etnikai vonatkozású adatok feldolgozása, ez lehet a foglalkoztatási jogszabályokból adódó kötelezettség is 8. cikk b) pontja, míg más országokban ez szigorúan tilos lehet. Annak ellenére, hogy ebben az összefüggésben határozottan vélelmezhető, hogy a hozzájárulás ereje csekély, ez nem zárja ki teljesen az alkalmazását, amennyiben megfelelő garanciák biztosítják, hogy a hozzájárulás valóban önkéntes. Míg az alárendeltségi helyzet gyakran a fő akadálya a hozzájárulás önkéntességének, az érintett döntését más háttérelemek is befolyásolhatják. Ezek lehetnek például pénzügyi, érzelmi, vagy gyakorlati jellegű megfontolások. Az a tény, hogy az adatgyűjtést hatóság végzi, szintén hatást gyakorolhat az érintettre. Nehéz lehet azonban meghúzni a határt egy egyszerű ösztönző és az érintett választási szabadságát valóban befolyásoló tényező között. Az alábbi példák megkísérlik azon erőfeszítések és költségek természetének bemutatását, amelyek befolyásolhatják az egyének döntését. 15
Példa Elektronikus egészségügyi nyilvántartás Sok tagállamban vannak törekvések az egészségügyi adatokat összefoglaló elektronikus beteg nyilvántartás létrehozására. Ez lehetővé teszi az egészségügyi szolgáltatók számára a kulcsfontosságú információkhoz való hozzáférést annak eldöntéséhez, hogy a betegnek szüksége van-e kezelésre. - Az első forgatókönyv szerint az összefoglaló nyilvántartás létrehozása teljesen önkéntes, és a beteg mindenképpen részesül kezelésben függetlenül attól, hogy hozzájárult-e az összefoglaló nyilvántartás létrehozásához. Ebben az esetben az összefoglaló nyilvántartás létrehozásához adott hozzájárulás önkéntesnek minősül, mivel a beteg nem akkor sem szenved hátrányt, ha nem ad hozzájárulást, vagy visszavonja azt. - A második forgatókönyv az elektronikus egészségügyi nyilvántartás választását elősegítő mérsékelt pénzügyi ösztönzőt tartalmaz. Az elektronikus egészségügyi nyilvántartást visszautasító betegek nem szenvednek hátrányt abban az értelemben, hogy az költségek nem változnak az esetükben. Itt szintén önkéntesnek tekinthető az új rendszerre vonatkozó hozzájárulás megadása vagy annak megtagadása. - A harmadik forgatókönyv alapján az elektronikus egészségügyi rendszert megtagadó betegeknek a korábbi díjszabáshoz képest jelenetős plusz költséget kell fizetniük és az adatik feldolgozása is lényeges késedelmet szenved. Ez egyértelmű hátrányt jelent azok számára, akik nem adják hozzájárulásukat, amellyel azt kívánják elérni, hogy a tervezett határidőig valamennyi polgár bekerüljön az elektronikus egészségügyi rendszerbe. A hozzájárulás ezért nem megfelelőképpen önkéntes. Ezért meg kell vizsgálni, hogy rendelkezésre áll-e egyéb jogalap is a személyes adatok feldolgozásához, illetve hogy a 95/46/EK irányelv 8. cikkének (3) bekezdése alkalmazható-e. Példa: testszkennerek Egyes közterületeken kezd kialakulni a testszkennerek használata, különösen a repülőtereken a beszálló területekre való bejutáskor. Tekintettel arra, hogy az átvilágítás pillanatában az utasok adatainak feldolgozását végzik 20, az adatfeldolgozásnak a 7. cikk szerinti jogalapok valamelyikének meg kell felelnie. A testszkenneren való áthaladást néha az utasok által válaszható lehetőségként ajánlják fel, amely azt jelenti, hogy az adatfeldolgozás a hozzájárulásukkal indokolható. A testszkenneren való áthaladás visszautasítása azonban gyanút kelthet, vagy további ellenőrzéseket vonhat maga után, mint pl. a test motozásának vállalását. Minthogy az utasok elsődleges célja, hogy a repülőgépük fedélzetére időben feljussanak, sokan közülük azért járulnak hozzá a testszkenneren való áthaladáshoz, mert így további problémákat vagy esetleges késéseket kerülnek el. Az ilyen hozzájárulás nem megfelelőképpen önkéntes. Mivel az adatfeldolgozásnak (közbiztonsági okokból) szükségesnek kell bizonyulnia, a jogszerűségének alapját nem a 7. cikk a) pontjában kell keresni, hanem egy olyan jogi aktusban 7. cikk c) illetve e) pontja, amelyből következően az utas köteles együttműködni. A testszkennerrel történő átvilágítást tehát jogszabályokra kell alapozni. E jogszabályok előírhatnák a választást az átvilágítás és a manuális utóvizsgálat között, e választási lehetőséget azonban csak további, egymást kiegészítő intézkedések részeként ajánlanák fel az egyén számára. 20 Lásd a 29. cikk alapján létrehozott munkacsoport elnökének a testszkennerekről szóló 2009. február 11-i levelét, amelyet Daniel CALLEJA CRESPO, az Energiaügyi és Közlekedési Főigazgatóság igazgatója számára írt válaszképpen a Bizottsággal a testszkennereknek a légi közlekedés védelmében való alkalmazásának emberi jogokra, magánéletre, emberi méltóságra, egészségre és adatvédelemre gyakorolt hatásáról folytatott konzultációra. Megtalálható a http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/2009-others_en.htm weboldalon. 16
Az adatkezelő szintén dönthet a tekintetben, hogy mely jogalapot választja a személyes adatok feldolgozásához. Különösen így van ez az állami szektorban működő adatkezelők esetében, ahol az adatfeldolgozás általában a 7. cikk c) pontjában említett jogi kötelezettséghez, vagy a 7. cikk e) pontjában említett közérdekből elvégzendő feladat végrehajtásához kapcsolódik. Ennek megfelelően az érintett személy hozzájárulásának alkalmazása nem a megfelelő jogalap az adatfeldolgozás jogszerűvé tételéhez. Ez főként abban az esetben látható, amikor a személyes adatok feldolgozását joghatalmi körrel felruházott hatóság végzi mint pl. a rendőrségi és igazságszolgáltatási tevékenységek területén az illetékességi körükbe tartozó feladatokat ellátó bűnüldöző hatóságok. A rendőri hatóságok nem hagyatkozhatnak az egyén hozzájárulására olyan intézkedéseknél, amelyekre vonatkozóan nincsenek rendelkezések, vagy amelyek törvényileg nem megengedettek. Mindazonáltal, el kell ismerni, hogy még ha egyes tagállamok jogilag kötelezettek is a személyes adatok feldolgozására, az egyén nem mindig köteles együttműködni. Előfordulhatnak olyan esetek, amikor értéknövelt szolgáltatásokat nyújtanak az érintettek számára, amelyről eldönthetik, hogy használni kívánják-e vagy sem. De az esetek többségében az adatfeldolgozás ténylegesen kötelező. Gyakran nem könnyű megállapítani, hogy a hatóságok jogosan alapozzák-e a személyes adatok feldolgozását az egyén hozzájárulására. Az állami szektorban a személyes adatok feldolgozása ezért gyakran vegyes rendszerek közreműködésével történik, amely bizonytalansághoz és visszaéléshez vezethet, amennyiben a hozzájárulást helytelen módon használják fel annak indokolására. Míg kivételes esetekben a hozzájárulás érvényes jogalapnak bizonyulhat a személyes adatok feldolgozásához egyes tagállamokban, addig alapos ellenőrzést kell végezni eseti alapon annak megállapítására, hogy valóban megfelelően önkéntes-e a hozzájárulás. A következő példák azt mutatják be, hogy amennyiben hatóság az adatkezelő, akkor a 7. cikk c) pontja szerinti jogi kötelezettség teljesítése, vagy a 7. cikk e) pontja szerinti közérdekből elvégzendő feladat végrehajtása nyújt jogalapot az adatfeldolgozás jogszerűvé tételéhez a hozzájárulás helyett. Példa: e-kormányzat A tagállamokban olyan új személyazonosító igazolványok kidolgozása van folyamatban, amelyek chipbe ágyazott elektronikus funkciókkal vannak ellátva. A kártya elektronikus szolgáltatásainak aktiválását nem tehetik kötelezővé. Az aktiválás hiánya azonban akadályozhatja a felhasználó bizonyos közigazgatási szolgáltatásokhoz való hozzáférését, amelyek elérése egyébként nagyon bonyolult lenne (egyes szolgáltatások on-line továbbítás, hivatali nyitva tartás lerövidítése). A hozzájárulás nem szolgálhat az adatfeldolgozást igazoló jogalapként. Ebben az esetben az elektronikus szolgáltatások fejlesztésével foglalkozó jogszabályok az összes megfelelő biztosítékkal együtt jelentik a vonatkozó jogalapot. Példa: Az utas-nyilvántartási adatállomány adatai Azt a kérdést már megvitatták, hogy az utasok hozzájárulása érvényesen felhasználhatóe annak érdekében, hogy jogszerűvé tegyék a foglalási adatok ( PNR adatok ) európai légitársaságok által az Egyesült Államok hatóságai számára való továbbítását. 17
A munkacsoport úgy véli, hogy az utasok hozzájárulása nem lehet önkéntes, mivel a légitársaságok a járat indulása előtt kötelesek megküldeni az adatokat, és az utasoknak nincs valódi választási lehetőségük, amennyiben utazni akarnak. 21 A jogalapot itt nem az utas hozzájárulása nyújtja, hanem a 7. cikk c) pontjának megfelelően, az Európai Unió és az Egyesült Államok között az utas-nyilvántartási adatállomány (PNR) adatainak feldolgozásáról és továbbításáról létrejött nemzetközi megállapodásban lefektetett kötelezettségek. Példa: népszámlálás Népszámlálás során arra kérik a lakosságot, hogy válaszoljanak a személyes és szakmai helyzetükre vonatkozóan feltett különféle kérdésekre. E kérdésekre kötelező válaszolni. A népszámlálás ezenkívül tartalmaz egy olyan kérdést is az egyén által használt közlekedési eszközökre vonatkozóan, amelynél egyértelműen jelzik, hogy a válaszadás nem kötelező. Bár a népszámlálás lényegi részénél szó sincs önkéntes hozzájárulásról, ezen utolsó, nem kötelező kérdés esetében mindenki szabadon dönthet, hogy megválaszolja-e. Ez azonban nem szabad, hogy elkendőzze azt a tényt, hogy e kérdőív kibocsátásával az állam fő célja az, hogy válaszokat szerezzen. Általában elmondható, hogy ebben az összefüggésben a hozzájárulás nem minősül érvényes jogalapnak. kifejezett A hozzájárulásnak az érvényességhez kifejezettnek kell lennie. Más szóval elfogadhatatlan az olyan általános hozzájárulás, amely nem tartalmazza az adatfeldolgozás pontos célját. Annak érdekében, hogy a hozzájárulás kifejezett legyen, érthetőnek kell lennie: egyértelműen és pontosan utalnia kell az adatfeldolgozás hatókörére és következményeire. Nem vonatkozhat határozatlan adatfeldolgozási tevékenység sorozatra. Más szóval ez azt jelenti, hogy a hozzájárulás alkalmazási köre korlátozott. Hozzájárulást az adatfeldolgozás egyértelműen meghatározott, különböző szempontjaira vonatkozóan kell adni. Ide tartozik mindenekelőtt, hogy mely adatok kerülnek feldolgozásra és milyen célokból. E megállapodást a felek ésszerű elvárásaira kell alapozni. A kifejezett hozzájárulás kifejezés ezért valójában azzal áll összefüggésben, hogy a hozzájárulásnak tájékozottnak kell lennie. Létezik a hozzájárulás aprólékos kidolgozottságára vonatkozó követelmény az adatfeldolgozás különböző alkotóelemeire vonatkozóan: nem szolgálhatja az adatkezelő által kitűzött valamennyi jogszerű cél fedezését. A hozzájárulásnak a cél szempontjából ésszerű és szükséges adatfeldolgozásra kell vonatkoznia. Elméletben az adatkezelőnek elég egyszer hozzájárulást szereznie a különböző műveletekhez, amennyiben azok az érintett ésszerű elvárásaival egybe esnek. A közelmúltban a Bíróság az elektronikus hírközlési adatvédelmi irányelv 12. cikkének (2) bekezdésével kapcsolatosan előzetes döntést 22 hozott arra vonatkozóan, hogy az 21 22 Lásd a 29. cikk alapján létrehozott munkacsoport 6/2002. sz. véleményét az utasokra vonatkozó és egyéb adatoknak a légitársaságok által az Egyesült Államok részére való átadásáról. A Bíróság 2011. május 5-i ítélete a C-543/09 sz. Deutsche Telekom AG ügyben. Ez a per a német Szövetségi Közigazgatási Bíróság által a telefonkönyvekre és különösen a 2002/22/EK irányelv (egyetemes szolgáltatási irányelv) 18
olyan előfizető esetében, aki már hozzájárult ahhoz, hogy a személyes adatai megjelenjenek egy telefonkönyvben, szükséges-e az előfizető újabb hozzájárulása a személyes adatainak egy másik tudakozószolgálaton keresztül való hozzáférhetővé tétele céljára történő továbbításához. A Bíróság megállapította, hogy amennyiben az előfizetőt megfelelően tájékoztatták a személyes adatainak valamely harmadik vállalkozás számra való továbbításának lehetőségéről, és az előfizető hozzájárult ahhoz, hogy az említett adatok megjelenjenek egy ilyen telefonkönyvben, nem szükséges az előfizető újabb hozzájárulása ugyanezen adatok továbbításához, ha biztosítják, hogy az adat kizárólag arra a célra használható fel, amely célra az adatoknak az első megjelentetés céljából való gyűjtése történt (65. bekezdés). Mindazonáltal külön hozzájárulásra lehet szükség, ha az adatkezelő más célokra kívánja feldolgozni az adatokat. Például a megszerzett hozzájárulás egyszerre vonatkozhat az egyén számára nyújtott új termék megismertetésére és egyedi promóciójával kapcsolatos intézkedésekre, mivel ez az érintett ésszerű elvárásaival egybe eshet. Külön és további hozzájárulást kell kérni azonban annak engedélyezéséhez, hogy az egyén adatait harmadik fél számára továbbíthassák. A cél(ok)tól és az adatok címzettjeitől függően eseti alapon történő vizsgálatot igényel, hogy a hozzájárulás megszerzésénél szükség van-e a hozzájárulás aprólékos kidolgozására. Emlékeztetni kell arra, hogy az adatfeldolgozásnak több különböző jogalapja is lehet: egyes adatok feldolgozására azért kerülhet sor, mert erre az érintettel kötött pl. termékértékesítésre vagy szolgáltatás menedzsmentre kötött szerződés keretében van szükség, és a szerződés teljesítéséhez szükséges szintet meghaladó adatfeldolgozáshoz kifejezett hozzájárulás válhat szükségessé, például az érintett fizetőképességének vizsgálatakor (hitelbírálati minősítési rendszer). A munkacsoport az elektronikus egészségügyi nyilvántartásról szóló munkadokumentumában (WP131) tisztázta a hozzájárulás ezen aspektusát: A konkrét hozzájárulásnak egy tervezett orvosi adatfeldolgozással járó, jól körülhatárolt, konkrét helyzetre kell vonatkoznia. Következésképpen az érintett általános beleegyezése, hogy például orvosi adatait egy EHR-rendszerben összegyűjtsék és orvosi adatait ezt követően a kezelésben érintett egészségügyi szakembereknek továbbítsák, nem meríti ki az irányelv 2. cikkének h) pontjában meghatározott hozzájárulás fogalmát. Ugyanezt az érvelést fogalmazza meg a helymeghatározó adatok értéknövelt szolgáltatás nyújtására történő felhasználásáról szóló vélemény (WP115): (a) meghatározás kifejezetten kizárja azt, hogy a hozzájárulás a kínált elektronikus hírközlési szolgáltatás általános szerződési feltételeinek elfogadásával történjen. A kínált szolgáltatás típusától függően a hozzájárulás vonatkozhat egy meghatározott műveletre vagy folyamatos helymeghatározásra. A fent említett bírósági határozatban, a II. fejezetben a hozzájárulás szerepéről szóló részben még ha szó szerint nem is szerepel a kifejezett kifejezés, az indokolás kitart amellett, hogy a hozzájárulásnak kifejezettnek kell lenni, amely szerint nem elegendő, ha az érdekelt munkavállaló munkaszerződése utal az ilyen túllépést engedélyező kollektív szerződésre. 25. cikke (2) bekezdésének, valamint az elektronikus hírközlési adatvédelmi irányelv (2002/58/EK) 12. cikke (2) bekezdésének értelmezésére vonatkozóan tett utalásokkal kezdődött. Ez egyértelműen kapcsolódik a telefonkönyveknek az egyetemes szolgáltatási irányelvben betöltött különös szerepéhez. 19
Példa: közösségi hálózatok A közösségi hálózatszolgáltatásokhoz való hozzáférés érdekében gyakran kell beleegyezést nyújtani a személyes adatok különféle feldolgozásához. Közösségi hálózatszolgáltatáshoz való regisztrációnál a felhasználó hozzájárulását kérhetik ahhoz, hogy a viselkedésalapú reklámokat küldjenek a számára további pontosítás vagy választási lehetőség nélkül. Figyelemmel arra a jelentőségre, amelyre néhány közösségi hálózat szert tett, a felhasználók egyes csoportjai (pl. a tinédzserek) beleegyeznek, hogy a viselkedésalapú reklámokat küldjenek a számukra, csak hogy elkerüljék annak kockázatát, hogy kirekesztődjenek a társas érintkezés egyik területéről. Olyan helyzetet kell teremteni a felhasználó számára, hogy önkéntes és kifejezett hozzájárulását adhassa ahhoz, hogy a viselkedésalapú reklámokat küldjenek a számára függetlenül a közösségi hálózatszolgáltatáshoz való hozzáférésétől. Előugró ablakban ilyen lehetőség ajánlható a felhasználó számára. A közösségi hálózatszolgáltatás lehetővé teszi a külső alkalmazások használatát is. A gyakorlatban a felhasználót akadályozhatja az alkalmazás használatában, ha nem adja a hozzájárulását ahhoz, hogy az adatait az alkalmazás fejlesztője számára továbbítsák különféle célokra, beleértve a viselkedésalapú reklámok küldését vagy az adatok harmadik fél számára való továbbértékesítését. Figyelembe véve, hogy az alkalmazás anélkül is működőképes, hogy ehhez az alkalmazás fejlesztője számára bármilyen adatokat kelljen továbbítani, a munkacsoport ösztönzi a részletekre való gondos odafigyelést a felhasználó hozzájárulásának megszerzésekor, pl. a felhasználótól külön hozzájárulást kell kérni ahhoz, hogy az adatait e különféle célokra az alkalmazás fejlesztője számára továbbíthassák. Különböző mechanizmusok, mint pl. az előugró ablakok, alkalmazásával biztosítható a felhasználó számára a lehetőség, hogy megválassza, hogy adatainak mely felhasználásához adja beleegyezését (a fejlesztő számára való továbbítás, értéknövelt szolgáltatások, viselkedésalapú hirdetés, harmadik fél számára való továbbítás, stb.) A hozzájárulás specifikussága azt is jelenti, hogy amennyiben időközben megváltozik a cél, ami miatt az adat az adatkezelő által feldolgozásra került, a felhasználót erről tájékoztatni kell, és olyan helyzetet kell teremteni a számára, hogy hozzájárulást tudjon adni az új adatfeldolgozáshoz. A tájékoztatásnak arra különösen ki kell térnie, hogy a javasolt változtatások visszautasítása milyen következményekkel jár. tájékozott A hozzájárulás fogalommeghatározásának utolsó eleme de a hozzájárulással szemben támasztott követelmények közül nem az utolsó, mint ahogy az alábbiakból mindjárt kiderül a kinyilvánítás tájékozott jellege. Az irányelv 10. és 11. cikke előírja az érintettek tájékoztatására irányuló kötelezettséget. A tájékoztatási kötelezettség ezért elkülönül, sok esetben azonban nyilvánvalóan kapcsolódik a hozzájáruláshoz. Míg a tájékoztatás nyújtását nem mindig követi hozzájárulás (felhasználható a 7. cikkben szereplő másik jogalap), a hozzájárulást azonban mindig tájékoztatásnak kell megelőznie. 20