A 29. cikk szerinti adatvédelmi munkacsoport 2011. május 16-án állásfoglalást fogadott el az intelligens mobil eszközökhöz kapcsolódó geolokalizációs szolgáltatásokról. Ilyen szolgáltatások különösen a helyzet-meghatározáshoz kötődő útinformációs és navigációs rendszerek, kiterjesztett valóság, geotagging, emberek nyomon követése és a helyalapú reklámozás. A vélemény ezen szolgáltatásokat meghaladóan a helymeghatározó szolgáltatások nyújtásának három fő infrastruktúrájával, így a szatellit alapú GPS, az antenna alapú GSM és a routeren alapuló WiFi technikákkal is foglalkozik. Mivel a felsorolt technológiák személyes adatok védelmével kapcsolatos kérdéseket vetnek föl, ezért a munkacsoport akként döntött, hogy tisztázza azon jogi követelményeket, melyek az európai adatvédelmi irányelv hatálya alatt ezen rendszerekre és technológiákra irányadóak.

Az intelligens mobil eszközök adatvédelemmel kapcsolatos kockázata abban jelentkezik, hogy ezek egy adott személyhez szorosan kapcsolódnak, jellemzően testközelben találhatóak, mivel a felhasználó igen ritkán válik meg a készülékétől. Ennek megfelelően a helymeghatározási szolgáltatás alkalmas arra, hogy személyiségprofilt alkossanak az adatalanyról, mint az eszköz tulajdonosáról. Ez a személy mozgása, szokásos tartózkodási helye mellett adott esetben különleges személyes adatok feltárásához is vezethet, mint például a kórházi látogatás, vallási helyeken, politikai demonstráción való jelenlét, etc. Az intelligens mobil eszköz alkalmas a személy tudatán kívüli megfigyelésére és követésére, ideértve azon eseteket is, mikor valaki véletlenül vagy nem kellően informálva hagyja bekapcsolva a helymeghatározási szolgáltatást. Mindez különböző hátrányos következményekkel járhat a számára, így különösen akkor, ha olyan célból használhatják fel ezeket az adatokat, amelyekkel a felvétel pillanatában az adatalany nem számolhatott.

Az adatvédelmi munkacsoport egyértelművé tette, hogy az adatvédelmi irányelv alkalmazandó és irányadó a helymeghatározási szolgáltatásokra, míg az e-Privacy irányelv az elektronikus hírközlési szolgáltatók által kezelt cellaazonosító (bázisállomás) adatok kezelésére vonatkozik.

A munkacsoport megerősítette, hogy azon társaságok, melyek helymeghatározó szolgáltatásokat és alkalmazásokat cellaadatok, GPS illetőleg WiFi adatok kombinációjával nyújtanak, információs társadalommal kapcsolatos szolgáltatásnak minősülnek, ami fogalmilag nem rendelhető az elektronikus hírközlési szolgáltatás fogalma alá. Ez abból következik, hogy a hírközlési szolgáltató pusztán közvetít, tevékenysége „mere conduit”, nem végez mélyreható csomag-ellenõrzést (deep packet inspection), míg az információs társadalommal kapcsolatos szolgáltatás a GSM hálózattól függetlenül, alkalmazás szinten továbbítja a helymeghatározó adatokat.

A fentiekből következően az adatvédelmi irányelv rendelkezései irányadóak a helymeghatározó szolgáltatásokkal kapcsolatos adatkezelésekre.

Állásfoglalásában a munkacsoport a személyes adat fogalmáról szóló 4/2007-es állásfoglalásának fényében elemzi a helymeghatározó szolgáltatásokkal összefüggésben a személyes adat kritériumainak teljesülését. A munkacsoport véleménye szerint az intelligens mobil eszközök esetében megvalósul a természetes személyhez kötöttség, ugyanis számos olyan szituáció keletkezik, mikor is közvetlen vagy közvetett módon azonosíthatóvá válik az adatalany annak használata során. Minden intelligens mobil eszköz egyedi MAC azonosítóval rendelkezik, illetőleg egyéb egyedi azonosítók is hozzáköthetőek ezekhez, melyek a helymeghatározó szolgáltatás keretében feldolgozásra kerülhetnek. A WiFi hozzáférési pontok esetében is megvan az azonosíthatóság, mivel annak MAC címe a hozzáférési pont helyével a hozzáférési pont tulajdonosához kötődik.

Az adatvédelmi kötelezettségek címzettjei, az adatkezelők lehetnek: a helymeghatározó infrastruktúra tulajdonosa, a helymeghatározó szolgáltatás nyújtója, továbbá az intelligens mobil készülék operációs rendszerének fejlesztője. Megjegyezendő, hogy az adatkezelő elláthat ezek közül több funkciót is egyidejűleg.

Az adatkezelés jogalapja vonatkozásában a munkacsoport kiemeli, hogy tekintettel a helymeghatározó adat érzékeny adat voltára, ilyen adatot csak az adatalany előzetes tájékozott hozzájárulása esetén szabad kezelni. (Elektronikus hírközlési szolgáltatók érték-növelt szolgáltatások nyújtása érdekében az e-Privacy irányelv hatálya alatt szintén csak előzetes hozzájárulás mellett kezelhetnek.) A hozzájárulás kritériuma az önkéntesség, a határozottság és a tájékozottság.

A hozzájárulás beszerzésének kötelezettsége azt jelenti, hogy az alapbeállítás (default setting) a helymeghatározó szolgáltatás kikapcsolt volta, ekként pedig a hozzájárulás nem szerezhető be pusztán ÁSZF-ek kötelező elfogadásával, vagy éppen opt-out technikával.

A munkavállalók hozzájárulásának önkéntessége általában kétséges, melynek vonatkozásában a 8/2001. számú állásfoglalására utalt a munkacsoport. Ebből következően a munkáltatónak a hozzájárulás beszerzése helyett azt szükséges vizsgálnia, hogy valóban szükséges-e a munkavállalók helymeghatározó adatainak kezelése és az adatkezelő jogos érdeke ebből a szempontból miként viszonyul a munkavállaló alapjogaihoz (Irányelv 7. cikk (f) pontja alapján), mely vonatkozásban a szükségesség-arányosság követelményét szükséges figyelembe venni.

Gyermekek esetében a hozzájárulást a törvényes képviselőnek / szülőnek kell megadnia. A felügyelet azonban nem vezethet a gyermek autonómiájának csorbításához sem így a munkacsoport utalt a szülő és a gyermek együttdöntésének szükségességére. (lásd 3/2009. számú állásfoglalást)

A hozzájárulás alapvető kritériuma annak tájékozott volta, illetőleg annak feltárása,. hogy pontosan milyen célból veszik fel a személyes adatokat. Az adatkezelés céljának megváltozása esetében újólag be szükséges szerezni ehhez az adatalany hozzájárulását, az opt-out lehetősége ezt a követelményt ugyanis nem teljesíti.

Annak érdekében, hogy a titkos, illetve nem tudatos követés lehetősége kizárásra kerüljön, a munkacsoport azt javasolja, hogy a mobil készülék folyamatosan figyelmeztessen / jelezzen arról, mikor a helymeghatározó szolgáltatás állapota bekapcsolt. A munkacsoport azt javasolja továbbá, hogy bizonyos periódusonként ismételt hozzájárulást szerezzen be a szolgáltatás nyújtója, így különösen abban az esetben, ha a felhasználó az elmúlt 12 hónapban nem használta a szolgáltatást. Végül rögzítendő, hogy a hozzájárulás önkéntes visszavonási lehetőségének szintén adottnak kell lennie, mely vonatkozásban a munkacsoport bevált gyakorlatok (best practice) kialakítását ajánlja a szolgáltatók részére.

A munkacsoport az adatalanyok megfelelő tájékozottságát az adatkezelő személyéről, a kezelt adatok köréről, az adatkezelés időtartamáról illetőleg az adatalany jogairól kulcsfontosságúnak tekinti, mivel a hozzájárulás érvényessége a szolgáltatásról nyújtott tájékoztatás minőségétől függ. A tájékoztatásnak tisztának, technikai ismeretekkel nem rendelkező személyek részére is érthetőnek, állandóan és könnyen hozzáférhetőnek kell lennie, ami átlagfogyasztók számára címzett.

Az adatalanyok jogait szintén biztosítani szükséges, ennek megfelelően az őt érintő adatokhoz az adatalany nem numerikus, hanem általa is értelmezhető formában legyen jogosult egyedileg is hozzáférni. Az adatalany jogosult a helymeghatározó adattal kapcsolatos esetleges profiljához hozzáférni, illetve ezen adatokat helyesbíteni illetve törölni.

Az adattárolási időtartam vonatkozásában a munkacsoport kiemelte, hogy ezen adatokat a körülmények által lehetővé tett legrövidebb időn belül anonimizálni, illetőleg törölni szükséges. Ezzel összefüggésben az egyedi azonosítók kezelését működési célzatból a munkacsoport főszabály szerint legfeljebb 24 órás időtartamra látja indokoltnak.

A vélemény hozzáférhető a következő link alatt:

http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2011/wp185_en.pdf