Dr. Jóri András:

AZ ADATVÉDELEMRŐL RENDSZERGAZDÁKNAK

1.  Az adatvédelem fogalma, története

1.1. Az adatvédelem fogalma

Rendszergazdák, informatikusok a legtöbbször mást értenek adatvédelem alatt, mint amiről ez a cikk szól: gyakran az adatbiztonságot, az adatok technikai védelmét tekintik “adatvédelemnek”. Az adatvédelem (data protection, Datenschutz) azonban a jogászok számára mást jelent. Az adatvédelmi jog azon jogszabályok összessége, amelyek meghatározott személyekkel összefüggésben hozható adatok (személyes adatok) kezelésének rendjére adnak előírásokat.

1.2. Adatvédelem és adatbiztonság

A rendszergazdák egyik fő feladata, hogy megakadályozzák a rendszerükön található adatokhoz való illetéktelen hozzáférést, ezen adatok jogosulatlan megváltoztatását, vagyis minél többet tegyenek a rendszerbiztonságért. Az adatbiztonság érdekében tett lépések sok esetben elősegítik a személyes adatok védelmét is (hiszen ezek következményeképp normális esetben illetéktelen személy nem olvashatja a felhasználók magánlevelezését, nem szerezhet információkat tevékenységéről). Máskor a rendszerbiztonság érdekében tett lépések adatvédelmi rendelkezéseket sérthetnek (pl. naplózás során a felhasználó személyes adatai jogszerűtlenül kerülnek rögzítésre). Fontos, hogy a rendszergazda  ismerje a személyes adatok védelmére vonatkozó jogszabályi előírásokat, s a redszerüzemeltetés során betartsa azokat: ezzel súlyos jogi következményektől kímélheti meg magát. 

1.3. Adatvédelmi jog a világban

A személyes adatok védelméről törvényt először Németországban, az akkori NSZK Hessen tartományában fogadtak el 1977-ben, s ezt a törvényt számos másik követte Nyugat-Európában. A német Alkotmánybíróság egy 1983-as döntésében kimondta: "az Alaptörvény ... biztosítja az egyén illetékességét arra, hogy személyes adatainak felfedéséről és felhasználásáról alapvetően maga rendelkezzék", ezzel megalkotva a később a magyar alkotmánybírákra majd törvényhozókra is ható információs önrendelkezési jog-koncepciót (lásd alább). 

A nemzetközi szervezetek adatvédelemmel kapcsolatos tevékenysége is igen jelentos: az Európa Tanács 1981-ben fogadott el az adatvédelemmel kapcsolatos egyezményt (az Európa Tanácsnak Magyarország is tagja, és az Egyezmény kihirdetésére  az 1998. évi VI. törvénnyel sor is került). Az Európai Unió Parlamentje és Tanácsa 1995-ben fogadta el az adatvédelemről szóló EU-irányelvet: az ebben lefektetett - igen szigorú - követelményeket minden EU-tagállamnak 1998. októberéig kellett jogrendszerébe átültetnie.

Az Amerikai Egyesült Államokban nincs az európai értelemben vett adatvédelmi törvény. Az USA-ban jelenleg is folyik a vita arról, vajon megteremthetők-e a magánszféra védelmének feltételei az egyes, adatkezeléseket tömegesen végző szervezetek (direkt marketing cégek, stb.) önszabályozásával, vagy az amerikai hagyományokhoz kevésbé illeszkedő állami beavatkozásra, törvény alkotására van szükség. A kérdés az EU és az Egyesült Államok közötti kapcsolatokat is érinti: az adatvédelemről szóló EU-irányelv szerint ugyanis a tagállamokból csak az “adekvát” védelmet biztosító országba lehet személyes adatot továbbítani. Az “adekvát” védelem megteremtésének amerikai módjáról tárgyalások folynak az EU és az Egyesült Államok képviselői között. 

1.4. Adatvédelmi jog Magyarországon

Az Alkotmány 59. § (1) bekezdése szerint "a Magyar Köztársaságban mindenkit megillet a jóhírnévhez, a magánlakás sérthetetlenségéhez valamint a magántitok és a személyes adatok védelméhez való jog". Ezt az alkotmányos rendelkezést értelmezte az Alkotmánybíróság 15/1991 (IV. 13.) sz. határozata, amely alkotmányellenesnek nyilvánította a korlátozás nélkül használható, általános és egységes személyazonosító jelet, vagyis a személyi számot.  Az Alkotmánybíróság a személyes adatokhoz fűződő alkotmányos jogot nem negatív szabadságjogként, hanem - a német példa nyomán - aktív jogként, mint információs önrendelkezési jogot értelmezte: "az Alkotmány 59. §-ában biztosított személyes adatok védelméhez való jognak ... az a tartalma, hogy mindenki maga rendelkezik személyes adatainak feltárásáról és felhasználásáról". 

Az alkotmánybírósági határozat után egy évvel megszületett a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. tv., amely rögzíti az információs önrendelkezési jog gyakorlásának kereteit. Az adatvédelmi törvény mellett születtek törvények egyes szektorok adatkezeléséről (pl. az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről szóló 1997. évi XLVII. tv.), és számos egyéb jogszabály is tartalmaz a személyes adatok védelmére vonatkozó szabályokat (pl. a rendőrségről szóló 1994. évi XXXIV. tv., a hitelintézetekről és pénzügyi vállalkozásokról szóló 1996. évi CXII. tv., stb.). A magyar adatvédelmi jog jelenlegi állapotában szinte teljes mértékben eleget tesz az EU adatvédelmi irányelvében foglaltaknak.

1.5. Válságban az adatvédelmi jog?

Az első adatvédelmi törvények elfogadásának célja elsősorban a legnagyobb adatkezelő, az állam információs túlhatalmának megelőzése volt. A magyarországi adatvédelem ősforrásának tekinthető határozatában az Alkotmánybíróság így fogalmazott:

“a személyi szám elterjedt használata esetén a magánszféra megszűnik, mert a legtávolabb esô különböző célú nyilvántartásokból összehozott adatokból előállítható az ún. személyiségprofil, az érintett tetszőlegesen széles tevékenységi körére kiterjedő és intimszférájába is behatoló művi kép, amely ugyanakkor az adatok kontextusból kiragadott volta miatt nagy valószínűséggel torz is. ... A nagy mennyiségű összekapcsolt adat, amelyről az érintett legtöbbször nem is tud, kiszolgáltatja az érintettet, egyenlôtlen kommunikációs helyzeteket hoz létre. Megalázó az olyan helyzet, és lehetetlenné teszi a szabad döntést, amelyben az egyik fél nem tudhatja, hogy partnere milyen információkkal rendelkezik róla.” 

Az Alkotmánybíróság azonban érzékelte, hogy a személyiségprofil felépítése a már rendelkezésre álló technológiák alkalmazásával egységes azonosító nélkül is lehetséges: 

“A személyi szám a személyes adatok megbízható összekapcsolásának - az adatfeldolgozás mai módjait tekintve - technikai szempontból legelőnyösebb eszköze. Személyes adatokat természetesen össze lehet kapcsolni névvel, és szükség szerint kiegészítő azonosítók segítségével, mint pl. az anya neve, vagy lakcím. A mai számítógép kapacitások mellett ezek terjedelme sem jelent különösebb problémát. A "természetes" adatok azonban változhatnak (pl. a név férjhezmenéssel vagy névváltoztatással), s előfordulhat, hogy a megkülönböztetéshez további adatok szükségesek; továbbá változó adatok esetén (mint a lakcím) az adatok követése és karbantartása szükséges. Az ezzel járó nehézségek és kiadások jelentős tételként jönnek számba az adatfeldolgozás költség/haszon elemzésénél, s [...] természetes fékjét képezik az indokolatlan adatgyűjtésnek, amire a kéznél lévô személyi szám késztet."

A testület állásfoglalását a nagy adatbázisokra vonatkozóan fejtette ki, annak megfogalmazásakor még még nem számolhatott azzal, hogy egy évtizeden belül a helyzet gyökeresen megváltozik. Adott számítási teljesítmény ma az 1991-es ár töredékéért elérhető, és ennek következtében az Alkotmánybíróság döntésében említett, a totális adatgyűjtés előtt álló természetes fék már nem áll fenn. Egyre több személyes adat kerül a nemzetközi számítógépes hálózatok közegébe, s ezeket az adatokat igen széles személyi kör érheti el, kapcsolhatja össze.

A hagyományos kommunikációs csatornákon továbbított üzenetek széles körű lehallgatása és feldolgozása nem volt automatizált és csak igen nagy ráfordítással volt megoldható, az ilyen csatornákról történő totális adatgyűjtést minden államban akadályozták a magas költségek, demokratikus államokban pedig az is, hogy széleskörű adatgyűjtés aligha képzelhető el nyom nélkül. A számítógépes hálózatokon azonban igen nehéz ellenőrizni az adatgyűjtés törvényességét (pl. azt, hogy az adatokat meghatározott célból kezelik, csak a szükséges mértékben kezelik, stb.), s annak költségei is jóval alacsonyabbak. Ráadásul az adatok összekapcsolásának és a személyiségprofil felállításának immár csak egyik célja az, hogy az állam hatékonyabban ellenőrizhesse saját vagy más államok polgárait. A napjainkban felvett személyiségprofilok többségének a célja nem a politikai ellenőrzés, hanem a hatékony marketing. A reklámot az teszi hatékonnyá, ha a megfelelő közönséget célozzák meg vele: az internet használata közben hagyott nyomok alapján már most jobban mérhetők a felhasználók szokásai, preferenciái, mint más médiumok esetén.

Az új körülményekhez illeszteni kell az adatvédelmi jogot is. A meglévő, általános adatvédelmi törvények mellett megfelelő szektorális, a hálózat közegében alkalmazható szabályok elfogadására van szükség (ilyenre van már példa Európában: az Internettel ill. általában az interaktív médiával kapcsolatos szabályokat tartalmazó 1997-es német törvény adatvédelmi rendelkezései példmutatóak lehetnek), másrészt - mivel az illegális adatgyűjtés a korábbinál lényegesen egyszerűbben megvalósítható - megfelelő eszközöket kell adni a felhasználók kezébe ahhoz, hogy maguk is tehessenek magánszférájuk védelme érdekében, vagyis lehetoséget kell teremteni az erős  rejtjelzés minél szélesebb körű használatára. 

2. Az magyar adatvédelmi törvény rendelkezései

A személyes adatok védelmérol és a közérdeku adatok nyilvánosságáról szóló 1992. évi LXIII. tv. rögzíti a személyes adatok kezelésének alapvető szabályait, s emellett szól a közérdekű adatok (állami, vagy önkormányzati szervek kezelésében lévő, személyes adatnak nem minősülő adatok) megismerésének jogáról, az ún. információszabadságról is. Az alábbiakban kizárólag a törvény legfontosabb adatvédelemmel kapcsolatos rendelkezéseit ismertetjük.

2.1. Alapfogalmak

Az adatvédelmi törvény lényegében azt szabályozza, milyen feltételek mellett szabad személyes adatokat kezelni.  Személyes adat a törvény szerint a meghatározott természetes személlyel kapcsolatba hozható adat, az adatból levonható, az érintettre vonatkozó következtetés. A személyes adat mindaddig megőrzi ezt a minőségét, amíg kapcsolata az érintettel helyreállítható.

Ez azt jelenti, hogy a magyar törvény szerint nem lényeges, hogy az adatalany és az adat helyreállítását az adatkezelő vagy más személy képes elvégezni: ha a kapcsolat helyreállítható, az adat személyes adatnak minősül. A valamely szolgáltatást nyújtó szerveren naplófájlban rögzített, a szolgáltatást igénybe vevő felhasználó számára a szolgáltatója által dinamikusan kiosztott IP-cím pl. akkor is személyes adat, ha kizárólag a felhasználó Internet-szolgáltatója képes a személy és az adott időpontban használt IP-cím között kapcsolatot teremteni, a szerver üzemeltetője nem. Az adat mindaddig megőrzi személyes adat jellegét, ameddig az Internet-szolgáltató képes az adott felhasználó által adott időpontban használt IP-cím meghatározására; az ezt lehetővé tévő naplófájl törlése után az adat nem személyes adat többé.

A törvény a személyes adatok körén belül megkülönbözteti az ún. különleges adatokat:  ilyenek a faji eredetre, a nemzeti, nemzetiségi és etnikai hovatartozásra, a politikai véleményre vagy pártállásra, a vallásos vagy más meggyőződésre, ill. az egészségi állapotra, a kóros szenvedélyre, a szexuális életre, valamint a büntetett előéletre vonatkozó személyes adatok. A megkülönböztetésnek az a jelentősége, hogy különleges adatok kezelésével szemben a törvény szigorúbb követelményeket támaszt.
 
Adatkezelésnek minősül az alkalmazott eljárástól függetlenül a személyes adatok gyűjtése, felvétele és tárolása, feldolgozása, hasznosítása (ideértve a továbbítást és a nyilvánosságra hozatalt) és törlése. Adatkezelésnek számít az adatok megváltoztatása és további felhasználásuk megakadályozása is. 

A törvényhozó szándéka a törvény miniszteri indokolásból kiolvashatóan az volt, hogy az elképzehető összes, az adatokon végezhető műveletet az adatkezelés fogalma alá vonjon, ám a szándékot nem sikerült tökéletesen kivitelezni. A törvény értelmében - az EU adatvédelmi irányelvével ellentétben - nem minősül adatkezelésnek egy nyilvántartás adattartalmába történő puszta betekintés. 

A törvény külön definíciót is ad az adatkezelés körébe tartozó két cselekményre. Meghatározása szerint adattovábbítás, ha az adatot meghatározott harmadik személy részére hozzáférhetővé teszik, és nyilvánosságra hozatal, ha az adatot bárki számára hozzáférhetővé teszik.

A törvény szerint adatkezelő az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely a személyes adatok kezelésének célját meghatározza, az adatkezelésre vonatkozó döntéseket meghozza és végrehajtja, illetőleg a végrehajtással adatfeldolgozót bízhat meg. 

Adatfeldolgozásnak minősül az adatkezelési műveletek, technikai feladatok elvégzése, függetlenül a műveletek végrehajtásához alkalmazott módszertől és eszköztôl, valamint az alkalmazás helyétől. Az adatfeldolgozó az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely az adatkezelő megbízásából személyes adatok feldolgozását végzi. Az adatfeldolgozó tevékenységének ellátása során más adatfeldolgozót nem vehet igénybe.

2.2. Az adatkezelés jogalapja
Az adatvédelmi törvény szerint személyes adatot kezelni jogszerűen csak akkor lehet, ha ahhoz az érintett hozzájárul, vagy azt törvény vagy - törvény felhatalmazása alapján, az abban meghatározott körben - helyi önkormányzat rendelete elrendeli. Különleges adatok esetében a szabály még szigorúbb: ilyen adatok csak az érintett írásos hozzájárulása esetén, a különleges adatok meghatározott köre esetében nemzetközi egyezmény alapján, ill. az Alkotmányban biztosított alapvető jog érvényesítése, továbbá a nemzetbiztonság, a bűnmegelőzés vagy a bűnüldözés érdekét szolgáló törvényi felhatalmazás esetén lehet. 
 Az adatvédelmi biztos egy állásfoglalása szerint nem minősül írásbeli hozzájárulásnak az elektronikus aláírással ellátott és elektronikus formában elküldött hozzájáruló nyilatkozat. 
Mivel esetleges jogvita esetében az adatkezelő köteles arra, hogy bizonyítsa az adatkezelés jogszerűségét, célszerű az érintett hozzájárulása alapján végzett adatkezelések esetén akkor is azok írásbeli hozzájárulását beszerezni, ha ezt a törvény nem írja elő. A törvény szerint az érintett hozzájárulását megadottnak kell tekinteni az érintett közszereplése során általa közölt vagy a nyilvánosságra hozatal céljából általa átadott adatok tekintetében, valamint az érintett kérelmére indult eljárásban a szükséges adatainak kezeléséhez való hozzájárulását vélelmezni kell. A vélelemre az érintett figyelmét fel kell hívni.
A "kérelem" és az "eljárás" fogalmak használatából arra a következtetésre juthatunk, hogy ezt a törvényhelyet csak államigazgatási eljárás esetében kell alkalmazni. A törvény miniszteri indokolása azonban arra utal, hogy e rendelkezés célja, hogy elkerülhető legyen a mindennapi ügyletek esetében a szükséges adatok kelezéséhez való hozzájárulás kérése. 
A törvény külön is szól az adatok.nyilvánosságra hozataláról ill. külföldre való továbbításáról. Ami az előbbit illeti, személyes adatok nyilvánosságra hozatalát törvény is csak közérdekből, az adatok körének kifejezett megjelölésével rendelheti el. Egyéb esetben a nyilvánosságra hozatalhoz az érintett hozzájárulása, különleges adat esetében írásbeli hozzájárulása szükséges. Kétség esetén azt kell vélelmezni, hogy az érintett hozzájárulását nem adta meg.
Érdekes feltételt rögzít a törvény a külföldi adattovábbítással kapcsolatban: személyes adat az az országból - az adathordozótól vagy az adatátvitel módjától függetlenül - külföldi adatkezelő részére csak akkor továbbítható, ha az érintett ahhoz hozzájárult, vagy azt törvény lehetővé teszi, feltéve, ha az adatkezelés feltételei a külföldi adatkezelőnél minden egyes adatra nézve teljesülnek.
2.3. A jogszerű adatkezelés egyéb feltételei, az adatalany jogai

Az adatvédelmi törvény szerint minden adatkezeléssel szemben alapvető követelmény a célhozkötöttség: személyes adatot kezelni csak meghatározott célból, jog gyakorlása és kötelezettség teljesítése érdekében lehet, s csak olyan adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas, csak a cél megvalósulásához szükséges mértékben és ideig. A törvény külön is előírja, hogy a személyes adatot törölni kell, ha az adatkezelés célja megszűnt. Ehhez kapcsolódik az a szabály, amely szerint az adatok tárolási módjának olyannak kell lennie, hogy az érintettet csak a tárolás céljához szükséges ideig lehessen azonosítani

Az adatkezelés csak akkor jogszerű, ha az adatok felvétele tisztességes és törvényes módon történt. A felvett adatoknak pontosnak, teljesnek és ha szükséges, időszerűnek kell lenniük. 

Fentebb szóltunk már az adatvédelem és adatbiztonság fogalmának megkülönböztetéséről. A törvény az adatbiztonságról is szól: az adatkezelő, illetve tevékenységi körében az adatkezelő köteles gondoskodni az adatok biztonságáról, köteles továbbá megtenni azokat a technikai és szervezési intézkedéseket és kialakítani azokat az eljárási szabályokat, amelyek e törvény, valamint az egyéb adat- és titokvédelmi szabályok érvényre juttatásához szükségesek. Az adatokat - kiemelten az államtitokká és szolgálati titokká minősített személyes adatot - védeni kell különösen a jogosulatlan hozzáférés, megváltoztatás, nyilvánosságra hozás vagy törlés, illetőleg sérülés vagy megsemmisülés ellen. 

A törvény e rendelkezése egyébként meglehetősen talányos. Mivel az adatokhoz való hozzáférés nem adatkezelés, jogosulatlan adatkezelést nem lehet megállapítani olyan esetben, amelyben valaki illetéktelenül fér hozzá az adathoz, azonban az adatkezelés körébe vont egyéb cselekményt nem valósít meg. 

Az adatkezelő ezen feltételek biztosításán túl általános esetben köteles bejelenteni az általa végzett adatkezelés célját, a kezelt adatok fajtáját és kezelésének jogalapját, az érintettek körét, az adatok forrását valamint adattovábbítás esetén a továbbított adatok fajtáját, címzettjét és a továbbítás jogalapját, valamint az egyes adatfajták törlési határidejét az adatvédelmi biztos által vezetett adatvédelmi nyilvántartásba. A törvény számos kivételt állapít meg a bejelentési kötelezettség alól. 

A fenti kötelezettségek teljesítésén túl az adatkezelőnek biztosítania kell azt is, hogy az adatalany élhessen az adatvédelmi törvény által biztosított jogaival. Az érintett tájékoztatást kérhet adatai kezeléséről az adatkezelőtől az általa kezelt, valamint az általa megbízott adatfeldolgozó által feldolgozott adatairól, az adatkezelés céljáról, jogalapjáról, időtartamáról, az adatfeldolgozó nevéről és címéről és az adatfeldolgozással kapcsolatos tevékenységéről, továbbá arról, hogy kik és milyen célból kapják ill. kapták meg az adatokat. Ez utóbbi kötelezettség teljesíthetősége érdekében adattovábbításra vonatkozó nyilvántartás vezetése szükséges. Az adatkezelő a kérelem benyújtásától számított legrövidebb időn, legfeljebb azonban 30 napon belül köteles írásban, közérthető formában megadni a tájékoztatást, s azt csak törvény által előírt esetben tagadhatja meg. Az elutasított kérelmekről az adatkezelőnek évente tájékoztatnia kell az adatvédelmi biztost. Az érintett másik, a törvény által biztosított joga, hogy személyes adatainak helyesbítését, ill. a jogszabályban elrendelt adatkezelések kivételével törlését kérheti. 

2.4. A jogosulatlan adatkezelés következményei

A személyes adatok védelmérol szóló rendelkezések megsértése igen komoly jogi következményekkel járhat. A Büntető Törvénykönyv 177/A §-a szerint jogosulatlan adatkezelés vétségét követi el és egy évig terjedő szabadságvesztéssel, közérdekű munkával vagy pénzbüntetéssel büntethető az az adatkezelő vagy adatfeldolgozó, aki jogosulatlanul vagy a céltól eltérően személyes adatot kezel, személyes adatot jogellenesen továbbít vagy nyilvánosságra hoz, személyes adatok kezelésére vonatkozó bejelentési kötelezettségét nem teljesíti, személyes adatot az arra jogosult elől eltitkol, ill. kezelt személyes adatot meghamisít, vagy közérdekű adatot eltitkol vagy meghamisít.  A szabálysértésekről szóló 1968. évi I. tv. 88/B bekezdése szerint adatvédelmi szabálysértést követ el az, aki a technikai adatvédelem követelményeinek nem tesz eleget ill. az érintettet a személyes adatok védelméhez vagy a közérdekű adatok nyilvánosságához való jogában akadályozza. 
.
Az adatkezelő mindezen túl kártérítési felelősséggel is tartozik a jogellenes adatkezelés következményeiért: “az adatkezelő az érintett adatainak jogellenes kezelésével vagy a technikai adatvédelem követelményeinek megszegésével másnak okozott kárt köteles megtéríteni”. Ez a felelősségi szabály a Ptk. által szabályozott veszélyes üzemi felelősséghez hasonlít. Nem kell megtéríteni a kárt annyiban, amennyiben az a károsult szándékos vagy súlyosan gondatlan magatartásából származik.

Az adatvédelmi törvényben meghatározott jogok megsértése esetében az érintett bírósághoz fordulhat. A perben az adatkezelő köteles bizonyítani, hogy az adatkezelés a jogszabályban foglaltaknak megfelel. 

Amennyiben valakit véleménye szerint személyes adatainak kezelésével kapcsolatos sérelem ért, panasszal fordulhat az adatvédelmi biztoshoz is. A biztos eljárása során felvilágosítást kérhet az adatkezelőtől, megismerheti az adatkezelést, majd - amennyiben álláspontja szerint az adatkezelés jogellenes - annak megszüntetésére szólítja fel az adatkezelőt. A biztos ajánlásainak, állásfoglalásainak kötelező ereje nincs, ám ha az adatkezelő a biztos felszólítására sem szünteti meg az adatkezelést, az  tájékoztatja a nyilvánosságot az adatkezelés tényéről, a kezelő személyéről és a kezelt adatok köréről. 

3. Adatvédelem és rendszerüzemeltetés 

Bár szektorális adatvédelmi törvény nem szól a számítógépes rendszerek üzemeltetése során végzett adatkezelésekről, az adatvédelmi biztos gyakorlatában többször is felmerültek ilyen esetek. Az alábbiakban azt foglaljuk össze, milyen jogszabályok szólnak a rendszerüzemeltetés során végzett adatkezelésekről, és ismertetjük az adatvédelmi biztos néhány, a témához kapcsolódó állásfoglalását.

3.1.  Irányadó jogszabályok

A magyar jogrendszerben sem általában a számítógépes rendszerek, sem a számítógépes hálózatok felhasználóinak adatait érintő adatkezeléseket nem szabályozza külön törvény, a rendszergazdának tehát mindenekelőtt az adatvédelmi törvény rendelkezéseit kell figyelem előtt tartania. 

A közelmúltban  került a rendőrségről szóló 1994. évi XXXIV. törvénybe  az a rendelkezés, amelynek értelmében a rendőrség meghatározott esetekben hozzájuthat az e-mailek tartalmához. A törvény szerint a rendőrség "az Interneten vagy más számítástechnikai úton történő levelezés (e-mail) során keletkezett adatokat és információkat is megismerheti és felhasználhatja”, ha súlyos (pl. gyermekkorú ellen irányuló, kábítószerrel kapcsolatos, fegyveres elkövetéssel megvalósuló, stb.) bűncselekményről van szó, s erre bírói engedélye van. Hangsúlyozni kell, hogy ebben az esetben a rendőrség titkos információgyűjtést végez; nyílt információgyűjtés esetében az adatkérésre számos más lehetőség is rendelkezésére áll a rendőrségi törvény és a büntetőeljárási törvény alapján.

A polgári célú kriptográfia használata Magyarországon nem szabályozott. létezik ugyan jogszabály a rejtjeltevékenységről (43/1994. (III.29.) Korm. sz. rendelet), ám annak hatálya csak az államtitoknak és szolgálati titoknak minősülő, rejtjelzési kötelezettség alá eső adatokra vonatkozik, így minden további nélkül szabad titkosítóeszközöket, pl. a népszerű PGP-t használni.

A fentiek mellett a számos egyéb jogszabály határozhat meg az adott rendszer üzemeltetése során követendő adatvédelmi szabályokat, ilyen pl. egészségügyi adatkezelés esetén az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló 1997. évi XLVII. tv., banktitkok kezelése esetén a hitelintézetekről és a pénzügyi vállalkozásokról szóló 1996. évi CXII. tv., stb. Amennyiben valamely adatkezelés jogszerűségét tekintve kétségeink támadnak, mindenképpen érdemes jogi szakértő segítségét igénybe venni.
	
3.2. Esetek az adatvédelmi biztos gyakorlatából

Az adatvédelmi biztos gyakorlatában több olyan eset is előfordult, amely kapcsán a biztos számítógépes rendszerek üzemeltetése során végzett adatkezelés, ill. ilyen rendszerek üzemeltetőitől való adatkérés kapcsán foglalt állást. 

1996-ban a rendőrség bombamerénylet ügyében folytatott nyomozást (ketchupos bomba-ügy). Ennek a nyomozásnak a keretében intézett ügyészi ellenjegyzéssel ellátott adatkérést a merénylet körzetében működő internet-szolgáltatókhoz, hogy azok adják ki előfizetőik nevét és címét. (A rendőrség álláspontja szerint ugyanis az elkövető az internetről is beszerezhette a bombakészítéshez szükséges leírást.) Az eset jelentősége, hogy annak kapcsán az adatvédelmi biztos állásfoglalást kért a Közlekedési, Hírközlési és Vízügyi Minisztériumtól: távközlési szolgáltatónak minősül-e az internet-szolgáltató. A minisztérium ebben az esetben úgy foglalt állást, hogy az internethez hozzáférést szolgáltató cégek távközlési szolgáltatónak minősülnek. A távközlési szolgáltatók a rendőrségi törvényben meghatározott feltételek mellett kötelesek az adatszolgáltatásra, így az adott esetben az adatkérés jogszerű volt.

1998-ban ismét egy rendőrségi adatkérés kapcsán foglalkozott a biztos az internet-szolgáltatókkal, mint adakezelőkkel, s egy minden rendszergazda számára ismert témakörrel: a naplózással. A rendőrség egy hálózati lap által web-felületen üzemeltetett fórum egy hozzászólójának adatait kérte a lap szerkesztőségétől, rongálás felderítése iránti nyomozás keretében. A kérdéses fórumon az üzenetek előzetes regisztráció (név, lakcím, e-mail cím megadása) nélkül is megjelentek. Mint a biztos megállapította, a szerveren, amelyen a szolgáltatás elérhető, a hozzászólás forrására utaló egyes adatok (IP-cím, bizonyos esetekben a felhasználó neve is) azoknak a felhasználó általi megadása nélkül is rögzülhetnek. Ha az ilyen adat a felhasználó természetes személlyel kapcsolatba hozható, akkor a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. tv. (Avtv.) 2. § 1. pontja szerint személyes adatnak minősül.  Az IP-címnek ill. esetleges más adatoknak a szolgáltatást nyújtó szerveren történő rögzítése tehát az Avtv. meghatározása (2. § 1.pont) szerint adatkezelés (adatfelvétel, adattárolás).

Az adatkezelő a kérdéses esetben azonban nem lehetett a hálózati lapot kiadó kft. ill. a lap szerkesztősége, hiszen az adatkezelésre e szervezeteket törvény nem hatalmazta fel, az adatalany hozzájárulásán pedig - mivel olyan fórumról van szó, amelyben a résztvevők adataikat nem adják meg - szintén nem alapulhatott az adatkezelés. Az adott esetben tehát nem a szerveren tartalmat közzétévő cég, hanem a szervert üzemeltető cég volt az adatkezelő. A biztos ezen állásfoglalása szerint “míg tartalomszolgáltató az adatalany hozzájárulása híján nem kezelheti annak adatait, addig az Internet-szolgáltató a szolgáltatás teljesítéséhez szükséges mértékben igen. Aggályos azonban, hogy ez utóbbi adatkezelés törvényi alapját a távközlésről szóló 1992. évi LXXII tv. teremti meg, ám e törvény adatkezelésről és adatvédelemről szóló rendelkezései nem alkalmazhatók megfelelően az Interneten nyújtott szolgáltatásokkal kapcsolatos adatvédelmi kérdésekre”. Az állásfoglalás lényegi tartalma az volt, hogy a hálózati lap - mivel nem kezelheti jogszerűen az adatokat - nem is továbbíthatja azokat a rendőrség részére. A szerkesztőség eleget is tett a felszólításnak, és megsemmisítette a kérdéses adatokat.

Ebben az esetben a rendőrség valószínűleg sikerrel kérhette volna az adatokat a szerver üzemeltetőjétől. Az 1996-os ügy és az akkori KHVM-állásfoglalás nyomán az adatvédelmi biztos ezen 1998-as állásfoglalása a szerverüzemeltetőket távközlési szolgáltatónak tekinti. Ennek azért van jelentősége, mert a távközlési szolgáltatókat a távközlésről szóló törvény a szolgáltatás ellátásához szükséges mértékben felhatalmazza személyes adatok kezelésére. Azonban ez az álláspont akár vitatható is, a távközlési törvény szabályozása igen nehezen alkalmazható e területen, s így bizonytalan a naplózás során végzett személyes adatkezelés jogi megítélése is.

A harmadik ismertetett eset nemzetközi elemet is tartalmaz, s arra mutat példát, hogy a jogszabályok, köztük az adatvédelmi törvény rendelkezéseit az interneten végzett bármely tevékenység során is meg kell tartani: a hálózat nem jogmentes tér. Az adatvédelmi biztoshoz forduló panaszos egy terméket bemutató CD-t rendelt  egy amerikai cég weblapján. A demo-CD-t a panaszos nem kapta meg, ám az amerikai cég őt úgy tájékoztatta, hogy adatait továbbította termékeik magyarországi viszonteladójának (X Bt.) Az adatvédelmi biztos megkereste az X Bt-t, amely válaszlevelében arról adott tájékoztatást, hogy "időről időre érkeznek cégükhöz olyan természetes személyek adatai, amelyek külföldi partnercégük általuk forgalmazott termékei iránti érdeklődésről tanúskodnak". Ezen adatokat a cég elkülönítetten kezeli, és kizárólag saját marketing és üzletpolitikai céljára használja fel, biztosítva azt is, hogy az adatok nyilvánosságra ne kerüljenek ill. azokhoz illetéktelenek ne férjenek hozzá.
 
Mindez azonban az amerikai cég weblapján az érdeklődőknek nem volt módja arra, hogy az e cég részéről a magyar X Bt. részére történő adattovábbításhoz és az adatoknak az X Bt. által történő kezeléséhez hozzájáruljanak, az X Bt. általi adatkezelés - az érintettek hozzájárulása hiányában - törvényellenes volt. A biztos felszólította céget az adatok törlésére, s a jövőre nézve javasolta, hogy az amerikai cég honlapján kezdeményezzék olyan tájékoztató szöveg elhelyezését, amely biztosítja, hogy csak azok a magyarországi érdeklődők adják meg adataikat, akik az X Bt részére történő adattovábbításhoz és az adatok általa történő kezeléséhez hozzájárultak.

4. Összefoglalásul

Mint bemutattuk, az adatvédelmi szabályok megsértése igen komoly jogi következményekkel járhat. A jogosulatlan adatkezelés törvényi tényállása nem csak szerepel a Btk-ban, hanem alkalmazzák is: nagy nyilvántartások kezelői ellen több büntetőeljárás is folyt már, akár egyes adatok cél nélküli lehívása miatt is (bár a szerző álláspontja szerint ebben az esetben bűncselekmény nem valósul meg, lásd fentebb). A felhasználó magánszférája s önmagunk védelmének érdekében tartsuk szem előtt a következőket:

•	A felhasználó adatait csak beleegyezésével, vagy olyan esetben szabad kiadni, ha az adatkérőnek törvény (ill. törvényi felhatalmazáson alapuló önkormányzati rendelet) erre felhatalmazást ad. Egyéb esetben SOHA ne adjuk ki a fehasználó adatát, még akkor se, ha a felhasználó vétett a netikett ellen, esetleg betörési kísérlet miatt kéri az adatot valamely más rendszer üzemeltetője. A számítógépes bűnözés elleni harcot bízzuk az erre hivatott szervekre.
•	Tájékoztassuk rendszerünk felhasználóit a rendszer igénybevétele során kezelt személyes adatok köréről, azok felhasználásáról a törvény előírásai szerint. Célszerű a rendszer használatát olyan szabályzat elfogadásához kötni, amely tartalmazza a szükséges adatkezeléshez való hozzájárulást.
•	Tájékoztassuk felhasználóinkat arról, milyen veszélyekkel járhat magánszférájukra nézve egy nyílt számítógépes rendszer használata, s teremsük meg a lehetőségét annak, hogy maguk is tehessenek személyes adataik védelme érdekében. Ezek a módszerek mind a redszerbiztonság, mind a felhasználók személyes adatainak védelme szempontjából hasznosak. Installáljuk az elektronikus levelezést, a távoli elérést biztonságosan lehetővé tévő programokat (PGP, SSH, stb.), s hívjuk fel a felhasználók figyelmét ezek használatának lehetőségére. Ismertessük azokat a lehetőségeket, amelyekkel a felhasználó módosíthatja azon szolgáltatások beállításait, amelyek használatával tevékenységéről illetéktelenek is tudomást szerezhetnek (finger, stb).
•	
Ha konkrét esettel kapcsolatban adatvédelemet illető kérdése van, forduljon az Adatvédelmi Biztos Irodájához (telefon: 269-3537, fax: 269-3541). E cikkel kapcsolatos kritikai észrevételeit a jori@mail.datanet.hu címen várja a szerző.