A Nemzeti Adatvédelmi és Információszabadság Hatósághoz (a továbbiakban: Hatóság) több bejelentés érkezett a Tisza Párt adatbázisait érintő adatvédelmi incidensek (egyrészt az az önkéntesek adatbázisát, másrészt a Tisza Világ applikáció adatbázisát érintő incidensek) következtében nyilvánosságra került személyes és különleges adatoknak a médiaszolgáltatók általi felhasználásával összefüggésben.
A Hatóság mindenekelőtt rögzíti, hogy még abban az esetben is, ha egy politikai párt jogellenesen nem hozott megfelelő adatbiztonsági intézkedéseket az elektronikus úton általa tárolt személyes adatok védelmére, és ezen sérülékenységet kihasználva valaki ezen személyes adatokhoz hozzáfér, azokat megszerzi, e cselekmény is jogellenes és a jogsértés körülményeitől függően akár bűncselekménynek is minősülhet.
Egy politikai párt által a politikai tevékenységéhez használt informatikai rendszer sérülékenysége közérdekű ügynek minősülhet, ez azonban önmagában nem teremt jogszerű alapot arra, hogy az adatbiztonsági hiányosságot kihasználó személy tárolja és nyilvánosságra hozza az adatbázisban szereplő érintettek személyes és különleges adatait.
Ha pedig ezen közérdekű ügyről valamely médiaszolgáltató beszámol, és ennek során felhasználja ezen jogsértő személy eljárása nyomán nyilvánosságra került személyes és különleges adatokat, akkor be kell tartania az általános adatvédelmi rendelet előírásait, illetve a sajtószabadság és a személyes adatok védelméhez való jog közötti egyensúlyt meghatározó jogalkalmazói gyakorlatot.
A Hatóság ezzel összefüggésben rögzíti, hogy a személyes adatok tárolása, médiatartalomban való felhasználása esetén a médiaszolgáltató önálló felelősséggel tartozik az adatkezelési tevékenységéért. Ezen adatkezelés során sincs legitimáló szerepe annak, hogy a politikai párt esetlegesen – az irányadó jogi követelményeket megsértve – nem hozott megfelelő adatbiztonsági intézkedéseket, illetve annak sem, hogy a személyes adatokat már korábban – az adatbiztonsági hiányosságot kihasználva – valaki már nyilvánosságra hozta.
A Hatóság álláspontja szerint a médiaszolgáltatóknak az adatkezelésük során mindenekelőtt azt szükséges mérlegelniük, hogy a nyilvánosságra került személyes adatok általuk történő felhasználása, további megosztása mennyiben szükséges a közügyről szóló tudósítás céljának eléréséhez, illetve, hogy az elérni kívánt cél fontossága és az ennek érdekében okozott alapjogsérelem súlya mennyiben állnak arányban egymással.
Ennek körében egyrészt azt szükséges figyelembe venniük, hogy milyen célból és milyen módon kívánják felhasználni a személyes adatokat. Ha például a médiaszolgáltató újságírója a hiteles tájékoztatás biztosítása érdekében, azért használja fel az érintett elérhetőségi adatait, hogy az érintettekkel való kapcsolatfelvétel útján meggyőződjön a nyilvánosságra hozott adatok valódiságáról, vagy az érintettek véleményét kívánja megismerni ezen közéleti jelentőséggel rendelkező ügyről, akkor ezen adatkezelési tevékenység összeegyeztethető lehet az általános adatvédelmi rendelet előírásaival. A Hatóság álláspontja szerint azonban ellentétes lehet az adatvédelmi követelményekkel az, ha egy cikkben a nyilvánosság számára elérhetővé válnak az eleve jogellenes adatkezeléssel érintettek személyes és különleges adatai (akár közvetett módon, tehát az adatbázisra vagy a személyes adatokat nyilvánosságra hozó honlapra mutató hivatkozás közlésével). Ezzel ugyanis a médiaszolgáltatók tovább fokozzák a bekövetkezett jogsértés mértékét és az érintettek magánszférájára gyakorolt negatív hatást.
Másrészt, a médiaszolgáltatóknak azt is figyelembe kell venniük, hogy az érintettek kiszolgáltatott helyzetben vannak, hiszen nem az érintettek hozták nyilvánosságra személyes és különleges adataikat, hanem az adatbiztonsági hiányosságot kihasználó jogsértő személy. Azt is szükséges értékelniük, hogy valamely érintett korábban a nyilvánosság előtt vállalta-e politikai véleményét, illetve ha igen, akkor milyen formában és módon, különös tekintettel az érintett közéleti szerepvállalására, hivatására.
A Hatóság hangsúlyozza, hogy az érintett által nyilvánosságra hozott személyes adatok (pl. politikai vélemény) mellett, egyes további személyes adatok (pl. lakcím, telefonszám) médiaszolgáltatók általi terjesztése már jogellenesnek minősül. A személyes adatok felhasználásával kapcsolatban az adatkezelőknek fokozott figyelmet kell fordítaniuk az érintettek magánéletének, családi életének és otthonának tiszteletben tartásához fűződő jogára is, tartózkodva a személyes adatok zavaró, zaklató módon történő felhasználásától.
A médiaszolgáltató kizárólag abban az esetben és kizárólag abban az időtartamban tárolhatja jogszerűen az adatvédelmi incidens nyomán tudomására jutott személyes adatokat, ha képes annak igazolására, hogy az érintettek adatainak kezelése összeegyeztethető az általános adatvédelmi rendelet követelményeivel.
A Hatóság végezetül rögzíti, hogy a fentiekben kifejtett követelmények vonatkoznak azon, a közéletben aktív személyekre is, akik az adatvédelmi incidens következtében nyilvánosságra került személyes és különleges adatokat a véleménynyilvánításhoz való joguk gyakorlása során felhasználják.
Dr. habil. Péterfalvi Attila
elnök,
c. egyetemi tanár
