A 29. cikk szerinti adatvédelmi munkacsoport újabb jelentős állásfoglalást tett közzé, ezúttal a hozzájárulás fogalmáról (Opinion 15/2011 on the definition of consent), melyet a 2011. július 13-i ülésen fogadtak el.

A hozzájárulás az adatvédelmi, illetve az e-Privacy irányelv egyik központi fogalma, illetve a létező adatkezelési jogalapok egyike. Jelentősége abban mutatkozik meg, hogy annak helyes használata az egyén információs önrendelkezési jogának tényleges gyakorlását teszi lehetővé.

Az irányelv értelmében a “az érintett hozzájárulása” az érintett akaratának önkéntes, határozott és tájékozott kinyilvánítása, amellyel beleegyezését adja az őt érintő személyes adatok kezeléséhez. Több tagállamban eltérően értelmezik e fogalom-meghatározás egyes elemeit – különösen az online környezetben –, éppen ezért a munkacsoport úgy döntött, hogy gyakorlati példák útján tesz kísérletet ezen fogalmi elemek tisztázására.

A munkacsoport történeti elemzése rögzíti, hogy a 108-as számú ET egyezményben a hozzájárulás nem játszott jelentős szerepet, mivel az ET-egyezmény az irányelvvel ellentétben nem rögzített adatkezelési jogalapokat. A 95/46/EK irányelv ezzel szemben már kezdetektől fogva rögzítette a hozzájárulás koncepcióját. Az irányelvben a „kifejezett kinyilvánítás” helyett – kellő rugalmasság érdekében – a „határozott kinyilvánítás” kifejezést vették föl, míg a végső szövegben a különleges személyes adatok vonatkozásában az írásbeli hozzájárulás helyett a „kifejezett hozzájárulás” követelményét rögzítették. A hozzájárulás alapvető szerepét az EU Alapjogi Charta 8. cikk (2) bekezdése is elismerte, mikor azt rögzíti, hogy személyes adatot csak az érintett személy hozzájárulása alapján vagy valamilyen más, a törvényben rögzített jogos okból lehet kezelni. Tehát a hozzájárulás kiemelkedően fontos, azonban nem kizárólagos jogalapja a személyes adatok kezelésének.

Számottevő eltérések léteznek a tagállamok között az irányelv „hozzájárulás”-t érintő átültetésében, mivel egyes esetekben annak fogalmát nem ültették át (Franciaország, Egyesült Királyság), azonban az a joggyakorlatban – támaszkodva az irányelv fogalom-meghatározására – ezen országok esetében is pontosan kimunkált. A hozzájárulást ezt meghaladóan más jogterületen, így a szerződési jogban is alkalmazzák. Mindez azt jelenti, hogy a hozzájárulás érvényességének / érvénytelenségének megítélésében szerződésen alapuló jogalap esetében a szerződési jog akaratnyilatkozatra vonatkozó feltételeit is figyelembe kell venni.

A munkacsoport véleménye jelzi, hogy a hozzájárulás nem az egyetlen és nem is kizárólagos jogalapja az adatkezelésnek, mivel az irányelv öt további jogalapot nevesít. A hozzájárulás tehát
– nem tekinthető minden esetben a legmegfelelőbb jogalapnak, illetve ez sem ad több manőverezési lehetőséget, mint az egyéb adatkezelési jogalapok;
– a hozzájárulás sem kerülheti meg az adatkezelőt terhelő adatminőségi követelményeket, az adatkezelés tisztességét, szükségességét, arányosságát;
– a hozzájárulás csak kivételes körben lehet jogalapja olyan adatkezelésnek, ami egyébként tiltott.

A vélemény elismeri, hogy a megfelelő jogalap megválasztása sokszor nem kézenfekvő, egyidejűleg több jogalap is válaszható az adatkezeléshez (azt semmi nem zárja ki), illetve meg kell vizsgálni, hogy a választott jogalapot meghaladó adatkezelés legitimálható-e hozzájárulás útján. Ebből a szempontból a vélemény a 7. cikk a) pontja és b) pontja közötti különbséget emeli ki (amit egyébként a magyar jog nem ismer). Így a 7. cikk (b) pontján alapuló adatkezelés szigorúan a szerződéshez, illetve annak teljesítéséhez kötődik, míg az ezt meghaladó adatkezelésnek adott esetben a 7. cikk a) pontjában rögzített feltételeknek szükséges eleget tennie.

Rendelkezés

A hozzájárulás fogalma az információs-önrendelkezési jog koncepciójával függ össze, melynek alapján az adatalany maga dönt személyes adatai kezeléséről. Ezzel összefüggésben pedig a hozzájárulást szigorú követelményeknek vetik alá, mivel az adatkezelés adott esetben az adatalany valamely alapjogával állhat szemben. A munkacsoport azonban kiemeli, hogy az információs önrendelkezési jog gyakorlásának nem csupán a hozzájárulás lehet az alapja, ugyanis az irányelv a tiltakozást is ismeri, igaz, ez az adatkezelés másik fázisában keletkezik, mikor is az adatkezelés már folyamatban van és annak jogalapja nem az érintett hozzájárulása.
A munkacsoport megjegyzi, hogy a hozzájárulás ténye nem mentesíti az adatkezelőt azon irányelv szerinti kötelezettségei alól, illetve az nem legitimizálhat olyan adatkezelést, mint ami például tisztességtelen. Szintén a rendelkezés aspektusa az adatkezeléshez adott hozzájárulás visszavonása, ami a munkacsoport álláspontja szerint nem lehet retroaktív.

Transzparencia

A hozzájárulás második dimenziója a transzparencia, ami a megfelelő tájékoztatáshoz kötődik, illetve ami a hatályos hozzájárulás illetve az adatkezelés tisztességességének feltétele. A tájékoztatást abban az időpontban kell nyújtani, amikor a hozzájárulást kérik, illetőleg a tájékoztatásnak szükségszerűen ki kell terjednie az adatkezelés lényeges körülményire. (lásd erről az irányelv 10. cikkében foglaltakat)

A hozzájárulás kifejezése

Ez a pont az (ön)rendelkezés gyakorlásához kötődik és azt veszi számba, hogy miként gyakorolható / miként fejthető ki a hozzájárulás. A munkacsoport álláspontja szerint az irányelv egyes rendelkezéseinek összevetése alapján a hozzájárulás csak előzetesen adható meg. (A német irányelvi verzió például az „Einwilligung” szót használja, ami előzetes beleegyezést jelent.)

A hozzájárulás kifejezésére a 2(h) cikk a „jelzés”/”kinyilvánítás”kifejezést használja, amelynek egyértelműnek (7. cikk (a)) és különleges adatok esetében kifejezettnek kell lennie (8. cikk (a)). A munkacsoport hangsúlyozza, hogy a hozzájárulás alapvetően különbözik a tiltakozástól (lásd 14. cikket). A 7 cikk (a) pontja alapján addig nem kezelhető az adat, míg a hozzájárulás beszerzése meg nem történik, addig a 7 cikk (f) pontja alapján az adatkezelés egészen addig megengedett, míg azzal szemben az adatalany nem él tiltakozással. Mint azt a munkacsoport a WP 114. számú munkadokumentumában is kifejtette: „a hozzájárulás, mint pozitív cselekvés jelentősége kizárja minden olyan rendszer alkalmazását, melynek alapján az adatalany csak azt követően tiltakozhatna az adattovábbítással szemben, miután már arra korábban sor került.”

A hozzájárulás egyes elemeinek analizálása:

A munkacsoport állásfoglalása a hozzájárulás következő elemeit azonosította az irányelvben meghatározott fogalomból:

1. „valamely akaratnyilvánítás”

A munkacsoport szerint
– ennek formája nincs meghatározva, bármely módot ölthet, amiből a hozzájárulásra lehet következtetni, így az tágan értelmezendő;
– valamely cselekvést jelent, tehát a hallgatás nem értelmezhető hozzájárulásként, ami az irányelv 7. cikk (a) pontjának „határozottságra” vonatkozó követelményéből is következik;

2. „önkéntes”

– akkor önkéntes, ha tényleges választási lehetőség létezik;

– amennyiben az adatalany az adatkezelő befolyása alatt áll, illetve függ tőle és tarthat tőle, hogy hozzájárulás hiányában eltérően kezelik, úgy a hozzájárulás nem önkéntes;

– ezzel összefüggésben a munkacsoport már számos alkalommal foglalkozott a hozzájárulás alkalmazásával (így munkaviszony vagy egészségügyi szektorba tartozó adatkezeléseknél) és többször kifejtette, hogy a hozzájárulás alkalmazását olyan esetekre szükséges szűkíteni, mikor az adatalany tényleges döntési lehetőséggel rendelkezik és a hozzájárulás utóbb hátrány nélkül visszavonható; így megtévesztő vagy éppen az adatkezelés tisztességességével kapcsolatos problémát okozhat, mikor ilyen helyzet hiányában támaszkodnak erre az adatkezelési jogalapra;

– visszavonás után az adatkezelés más jogalap útján folytatódhat, azonban ez azt a kérdést veti fel, hogy miért nem támaszkodtak eredetileg is erre a jogalapra. Amennyiben a megfelelő visszavonás lehetősége nem adott, úgy a hozzájárulás kérdése szintén problémás lehet;

– bár a hozzájárulás számos esetben „gyenge” jogalap, nem zárható ki annak alkalmazása, feltéve, hogy használatának megvannak a megfelelő garanciái; a „függőség” létén kívül olyan elemek is figyelembe veendők, mint a hozzájárulás anyagi, érzelmi vagy gyakorlati dimenziói. Így a munkacsoport szerint hozzájárulás hiányában jelentős többletköltség léte, test-szkennerek alkalmazása helyett motozás, illetőleg akár az adatkezelő személye vagy természete is mind arra utalhatnak, hogy nincs tényleges választás. Így közjogi adatkezelők / hatóságok esetében, akik hatósági jogkörrel vannak felruházva, jelezheti a hozzájárulás problémás voltát és más jogalapra, mint a 7. cikk (c) pontjára (jogi kötelezettség teljesítésére) vagy éppen 7. cikk (e) pontra (közhatalom gyakorlása) lenne szüksége alapozni.

3. „határozott”

A munkacsoport szerint a határozottság jelentése, hogy a hozzájárulásnak konkrétan meghatározott adatkezeléshez illetve adatkezelési műveletekhez szükséges rendelődnie, ekként a blanketta hozzájárulások alkalmazása nem elfogadható. Hozzájárulást olyan műveletekhez egyszer szükséges beszerezni, melyek létét az adatalany szükségszerűen elvárhatja az adott adatkezeléssel kapcsolatosan. Az adatkezelés céljának megváltozása azonban ismételt hozzájárulást tehet szükségessé. Továbbá egyes adatkezelési célzatok egyidejűleg külön-külön hozzájárulások beszerzését tehetik szükségessé.

4. „tájékozott”

A tájékozottság a 10-11. cikkekbe foglalt információk nyújtását teszi szükségessé. Mint azt a munkacsoport korábban kifejtette, ez magában foglalja:

– a tények és következmények megismerését és értékelését;

– érthető nyelvezettel, megfelelő mélységű és pontos / helyes információ nyújtását;

– az adatkezelés releváns körülményeiről teljes körben,

– melybe benne vannak a hozzájárulás megadásának következményei is.

Itt a munkacsoport a WP12-es munkadokumentumra is hivatkozik, melynek értelmében az adatalanyt a megfelelő szintű védelem nélkül külföldre történő adattovábbítás kockázatairól is ki kell oktatni.
A fentiek két lényegi követelményt foglalnak magukba, melyek

– a tájékoztatás minőségére (a tájékozottságra), továbbá

– a hozzáférhetőségre vonatkoznak, ugyanis azt közvetlenül az adatalany részére szükséges nyújtani. Nem elegendő tehát, ha a tájékoztatás csak „valahol hozzáférhető”.

További lényeges elem a hozzájárulás periodikus revideálása, tehát az, hogy időszakos megerősítése léte az adatalany részéről.

5. A 7. cikk (a) pontja – „egyértelműség”

Bár nem tartozik a fogalom-meghatározás körébe, azonban együtt olvasandó az irányelv által rögzített hozzájárulás-fogalommeghatározás a 7. cikk (a) pontjával, amely azt a követelményt rögzíti, hogy a hozzájárulásnak „egyértelműnek” kell lennie. Ez azt jelenti, hogy nem hagyhat kétséget a hozzájárulás tényét illetően. Ez valamiféle eljárásrend bevezetését követeli meg az adatkezelők részéről, ami biztosítja ezen követelmény érvényesítését kifejezettség vagy más módszer útján, illetve azt a kérdést veti fel, hogy az adatkezelő ennek létét miként igazolja.

A hozzájárulás egyértelműsége azt is jelenti, hogy hallgatás ténye, cselekvés vagy tiltakozás hiánya nem jelenthet hozzájárulást.

A 8. cikk (2) bekezdés (a) pontja különleges adatok vonatkozásában pedig még szigorúbb követelményt támaszt, mivel az „kifejezett” hozzájárulást ír elő. Ennek azonban nem szükséges írásban megtörténnie, igaz, jellemzője általában az írásbeli forma. Opt-out megoldások ennek nem felelnek meg. A hozzájárulásnak azonban nem érvényességi feltétele a rögzítés lehetősége.

A munkacsoport a fentieket meghaladóan elemzi a korlátozottan cselekvőképes személyek hozzájárulásának feltételeit, azonban itt rögzíti, hogy harmonizáció hiányában itt komoly eltérések vannak egyes tagállamok területén.

Az ePrivacy irányelv

Az ePrivacy irányelv speciális rendelkezéseket rögzít az adatvédelmi irányelvhez kapcsolódóan és annak 2. cikke kifejezetten azt rögzíti, hogy a hozzájárulás fogalmával kapcsolatosan a 95/46/EK irányelv hozzájárulás-meghatározását kell alapul venni. Az ePrivacy irányelv közvetve vagy közvetetten minden esetben azt írja elő, hogy a hozzájárulást az adatkezelés megkezdése előtt szükséges nyújtani. A munkacsoport szerint ugyanez irányadó a ePrivacy irányelv 5. cikk (3) bekezdésére, ami ún. „cookie consent” esetében nem rögzít előzetes hozzájárulásra vonatkozó követelményt, mégis ez következik az irányelv szövegéből. Ez különösen abból is következik, hogy a ePrivacy irányelv korábbi szövege egyértelműen tiltakozási lehetőséget, míg az új szöveg hozzájárulást említ. A munkacsoport szerint a tiltakozás illetőleg a hozzájárulás eltérése abból is következik, hogy az adatalany passzivitása – a tiltakozás hiánya – nem értelmezhető hozzájárulásként. A hozzájárulás visszavonásának lehetősége pedig nem értelmezhető akként, hogy az a korábbi adatkezelést jogellenessé tenné. Abban az esetben azonban, ha az adatok további kezelése más jogalap útján nem lehetséges, a vonatkozó személyes adatokat törölni szükséges.

Az adatvédelmi irányelv felülvizsgálatára nézve a munkacsoport megjegyzi, hogy a jogbiztonságot szolgálná, ha a hozzájárulás fogalmába beleépítenék az „egyértelműség” követelményét, mivel ez a követelmény jelenleg csak az irányelv 7. cikk (a) pontjában szerepel, továbbá a felelősség elvével összefüggésben megerősíteni szükséges azt, hogy az adatkezelőt terheli a bizonyítási teher a hozzájárulás tényét illetően. Ezt meghaladóan kifejezetten rögzíteni szükséges azt, hogy a hozzájárulás minden esetben megelőzi az adatkezelést, az ugyanis előzetes. Végül a munkacsoport kifejezte azon kívánalmát is, hogy korlátozottan cselekvőképes személyek hozzájárulásának feltételeit közösségi szinten egységesítsék.