Állítsd be, hogy az Economx az elsők között legyen a Google-találatokban!
Alapfogalmak Az adatvédelem a magánszféra-védelem sajátos jogi szabályozásban megnyilvánuló módja. Az adatvédelmi jog rendelkezési jogot biztosít az érintettnek minden, személyével összefüggésbe hozható adat (úgynevezett személyes adat) felett. Ezzel azt szolgálja, hogy a magánszféra megőrzésének lehetősége fennmaradjon abban a világban, ahol az adatok tömeges felvételének, tárolásának, egyeztetésének lehetősége széles körben rendelkezésre áll. Ebben a helyzetben korábban a jogi szabályozás szempontjából irrelevánsnak (a magántitok körébe nem tartozónak) tekintett tények, adatok jelentősége megnő: míg ezeknek az adatoknak nyilvánosságra kerülése, mások általi megismerése a fejlett adatfeldolgozási technológiák hiányában nem hordozott veszélyt, ma feldolgozásuk, egyeztetésük, társításuk, a felhasználásukkal új adatok előállítása nyomán a magánszféra sérülhet. Míg az adatvédelem a magánszféra-védelem egyik eszköze, s mint ilyen, szükségszerűen a személyre irányul, az adatbiztonság tárgya maga az adat. Az adatbiztonság az adat integritásának és bizalmasságának védelmét jelenti, függetlenül az adat információtartalmától és jogi minősülésétől. Az adatbiztonság megteremtését szolgálhatják technikai, szervezési intézkedések, amelyeket jogi és jogon kívüli normák egyaránt előírhatnak. Adatbiztonsággal kapcsolatos rendelkezéseket számos jogi norma tartalmaz, így az adatvédelmi törvényben rögzített adatvédelmi szabályok mellett jogi formát nyernek például a minősített adatokkal (állami és szolgálati titkokkal), illetőleg egyes más, törvényben meghatározott titkokkal (pl. a banktitokkal) kapcsolatos adatbiztonsági rendelkezések. Az adatvédelem és adatbiztonság között bonyolult kapcsolatrendszer áll fenn. Ennek két legfontosabb eleme a következő: a) Az adatvédelmi szabályozás fejlődésének különböző szakaszaiban, eltérő mértékben, de általában tartalmaz adatvédelmet szolgáló adatbiztonsági szabályokat is (amelyek tehát arra adnak előírásokat, hogy a személyes adatok kezelése során a norma címzettje mely technikai, szervezési vagy egyéb intézkedéseket köteles megtenni). Az adatbiztonság tehát a személyes adatok tekintetében az adatvédelmi szabályozás tárgya. b) Viszonylag új fejlemény, hogy a magánszféra védelmének eszközei között növekszik az adatbiztonságot szolgáló technológiák szerepe. A számítástechnika fejlődésével a fejlett adatfeldolgozási technológiák olcsón, szinte mindenki számára elérhetővé váltak, a nemzetközi számítógépes hálózatok kialakulása pedig megnyitotta az utat az adatkezelés globalizációja előtt is. Ebben a helyzetben az 1970-es években kialakult adatvédelmi szabályozás mindenképpen reformra szorul, a jövőben a magánszféra védelmében szerepe csökkenhet. A magánszféra védelmét a nyílt hálózati környezetben elsősorban technológiai eszközök szolgálhatják hatékonyan (például az ún. „erős” titkosítás). Ezen eszközök nem jogi védelmet nyújtanak, ám sok esetben – éppen a magánszféra védelmében történő alkalmazásuk tömegessé válása, illetőleg ennek következményei miatt – maguk is a jogi szabályozás tárgyaivá válhatnak. (Az „erős” titkosítás használata például akadályozhatja a nemzetbiztonsági vagy bűnüldözési célból végzett legitim adatgyűjtést, amelynek nyomán a jogalkotó beavatkozása válhat szükségessé annak érdekében, hogy helyreálljon az egyensúly a nemzetbiztonság megőrzéséhez, illetőleg a bűnüldözéshez fűződő érdek és a magánszféra védelme között.) A magyarországi jogszabályi környezet: adatvédelem Ami a szűkebb értelemben vett adatvédelmi jogot illeti, annak központi eleme a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény. Általában elmondható, hogy a törvény rendelkezései – bár nagyrészt összhangban állnak a vonatkozó EU-irányelv szabályozásával – a legszigorúbbak közé tartoznak Európában. A szabályozás 2002-es felmérése során az EU adatvédelmi szakemberei azt írták: „Nem egy szempontból a magyar törvény szigorúbb, mint az EU számos tagállamának szabályozása. Ide tartozik azon rendelkezése, mely szerint személyes adat csak az érintett beleegyezésével vagy konkrét törvényi felhatalmazás alapján kezelhető. Egyes, az EU területén mindennapos adatkezelések – mint például a közvetlen üzletszerzés céljait szolgáló úgynevezett listakereskedelem [list broking] – Magyarországon jogellenesnek minősülnek. Ez kétségtelenül hasznos az állampolgárok magánszféráját tekintve, ugyanakkor fölöslegesen korlátozónak minősül a magyar versenyszféra szempontjából. „A magyar adatvédelmi törvény e sajátossága mindennapos feladat elé állítja azokat a jogászokat, akik nemzetközi cégeknek adnak tanácsot: a nyugati cégközpontokban kialakított, a személyes adatok kezelését meghatározó szabályzatok, policyk, szerződésrendszerek számos esetben nem illeszthetők a magyar jogi környezethez, ami sok esetben problémát jelenthet a hazai leányvállalat működése szempontjából (legyen akár szó a munkavállalók adataival kapcsolatban egy egységes hr-adatbázis működtetéséről, akár direktmarketing-kampányról, akár gyógyszerkísérletek végzéséről). Egy olyan példával élve, amely az adatbiztonság kérdéséhez is átvezet: a magyar adatvédelmi törvény egyedülálló (és feleslegesen szigorú) szabálya például, hogy a más számára informatikai feladatokat ellátó cég (például egy bankhoz kötődő vállalatcsoport informatikai cége) nem engedhet további cégnek (úgynevezett további adatfeldolgozónak) hozzáférést a személyes adatokhoz, tehát nem vonhat be adott esetben speciális szakértelmet követelő feladatok ellátására sem ilyennel rendelkező külső vállalkozót. Az adatvédelmi törvény mellett számos más törvény szabályoz adatvédelmi kérdéseket. Így például a hitelintézetek és pénzügyi vállalkozások, a biztosítók adatkezeléseit, az elektronikus kereskedelem területén végzett adatkezeléseket. E szabályok egymáshoz való viszonya több esetben ellentmondásos: általában elmondható, hogy a jogi kockázatok kiszűréséhez minden esetben célszerű pontos adatvédelmi szabályzatot elfogadni (ezt egyes adatkezelők esetében a törvény kötelezővé is teszi), esetleg külső jogi szakértőt bevonni, és adatvédelmi auditálást végeztetni. A hazai jogszabályi környezet (és annak hiánya): adatbiztonság A fenti értelemben vett adatbiztonsági szabályoknak egyelőre jóval kisebb a tere a magyar szabályozásban, mint az adatvédelmi szabályoknak. Az adatvédelmi törvény például csak annyit rögzít, hogy az adatkezelő és az adatfeldolgozó által megtett technikai és szervezési intézkedéseknek alkalmasnak kell lenniük arra, hogy a törvény és az egyéb adat- és titokvédelmi szabályok érvényre juttatásához szükséges. Ám mi a mérce? Informatikai biztonsági szakemberek számára nyilvánvaló, hogy a védelem szintjét minden esetben a kockázat, a fenyegetés szintje határozza meg (s a szintek meghatározásához, a fenyegetések osztályba sorolásához kitűnő rendszerek, módszertanok, szabványok állnak rendelkezésre). Ezekre azonban jogszabályi szinten viszonylag kevés utalás történik. Ilyen szabályok találhatók például a hitelintézetekről és a pénzügyi vállalkozásokról szóló 1996. évi CXII. törvény 13/B. §-ában, amely példamutató részletességgel határozza meg a pénzügyi intézmény számára az informatikai rendszerének kialakításakor figyelembe veendő követelményeket. Más területeken a szabályozás még részletesebben, ám a jogszabályi hierarchia alacsonyabb szintjén történik (például az elektronikus aláírások alapjául szolgáló tanúsítványokat kibocsátó hitelesítésszolgáltatók miniszteri rendeleti szintű szabályozása). Fejlett – némely esetben túlfejlett – adatvédelmi szabályozás, az informatikai biztonsági követelmények lefektetése irányába tett első lépések: ezek jellemzik tehát a hazai jogi környezetet. Nézetünk szerint a fejlődés kívánatos iránya az adatvédelmi jog reformja mellett az informatikai biztonsági tárgyú szabályozás kiterjesztése lehet – jelentette ki Jóri András.
