Nem személyes adatok szabad áramlása az Unióban

Szerző(k): Dr. Zalavári György LL.M. , Dr. Sándor Géza | 2019.07.04 | Minden egyéb, ami érdekelheti

Több korábbi cikkünkben hivatkoztunk már az Európai Unió digitális egységes piac stratégiájára, és ismertettük az annak keretében elfogadásra került jogi aktusokat. E stratégia részét képezi a 2019. június 18. napjától alkalmazandó, a nem személyes adatok Európai Unióban való szabad áramlásának keretéről szóló európai parlamenti és tanácsi rendelet (a továbbiakban: Rendelet); ekként az általános adatvédelmi rendelet (GDPR) által megállapított szabályok hatókörén kívül eső nem személyes adatok is európai szintű szabályozás alá kerülnek.

A Rendelet – szemben a GDPR által a vállalkozásokra rótt kötelezettségekkel – elsősorban a tagállamokkal szemben fogalmaz meg elvárásokat. A Rendelet alapvető előírása, hogy a tagállamok – bizonyos kivételekkel – nem korlátozhatják és nem tilthatják meg a nem személyes adatok Unión belüli szabad áramlását („adatlokalizációs követelmények tilalma”). A tagállamoknak 2021. május 30. napjáig kell minden olyan meglévő adatlokalizációs követelményt hatályon kívül helyezniük, amely nem felel meg a Rendelet előírásainak.

A Rendelet megalkotása mögött az a jogpolitikai megfontolás áll, hogy az adat a digitális technológiák és üzleti folyamatok lényegévé vált az utóbbi időkben, így az adatok áramlása kulcsszerepet játszik az adatközpontú növekedés és az innováció megvalósításában. A Rendeletet a legszélesebb értelemben vett adatkezelésre kell alkalmazni, amely valamennyi típusú informatikai rendszer használatát magában foglalja függetlenül attól, hogy azok a felhasználó helyiségében vagy területén találhatók-e.

Nem személyes adat fogalma alatt érteni kell minden olyan elektronikus adatot, amely a GDPR fogalommeghatározása értelmében nem minősül személyes adatnak, így tehát a Rendelet azokra az adatokra vonatkozik, amelyek nem azonosított vagy azonosítható természetes személyre vonatkozó információk. A személyes és nem személyes adatokat is magában foglaló adatkészletek esetében a Rendelet és a GDPR egyaránt alkalmazandó azzal, hogy amennyiben a két fajta adattípust nem lehet egymástól elválasztani, a GDPR elsőbbségét kell érvényre juttatni.

Nem tartoznak az adatlokalizációs követelmények alkalmazásának tilalma alá a közbiztonsági okokból indokolt és az arányosság elvével összhangban álló tagállami intézkedések. Ugyancsak kívül esik a Rendelet hatályán, amennyiben az adatkezelést valamilyen uniós jog hatályán kívül eső tevékenység részeként végzik, így például nemzetbiztonsági okból.

A tagállamok adatlokalizációs előírásain túl szintén hátráltatja az adatgazdaság létrejöttét az ún. „vevőfogvatartás” jelenség, amikor a szolgáltatás igénybevevője nem vagy csak körülményesen tud egy másik szolgáltatásra áttérni különböző adathordozási nehézségek miatt. Erre tekintettel az Európai Unió Bizottsága „ösztönzi és elősegíti az önszabályozáson alapuló uniós szintű magatartási kódexek kidolgozását annak érdekében, hogy hozzájáruljon egy olyan versenyképes adatgazdaság megteremtéséhez, amely az átláthatóság és az interoperabilitás elvén alapul”. Erre tekintettel a Bizottság ösztönzi a szolgáltatókat, hogy 2019. november 29-ig készítsék el e magatartási kódexeket és 2020. május 29. napjától ténylegesen is alkalmazzák őket.

A Rendelet előírásainak megfelelően a Bizottság 2019. május 29-én iránymutatást tett közzé a Rendelet és a GDPR kölcsönhatásáról, különösen a személyes és nem személyes adatokat egyaránt tartalmazó adatkészletek tekintetében.

A blogcikk tájékoztató jelleggel készült, nem minősül egyedi ügyre alkalmazható hivatalos jogi véleménynek vagy jogi állásfoglalásnak. Az Ecovis Hungary Legal a jelen blogcikk egyedi ügyben történő felhasználásáért a jogi felelősségét kizárja.