Pillanatkép a digitális piacok szabályozásáról (1. részlet)
A Wolters Kluwer Hungary gondozásában megjelent kötetben foglalt értekezés az uniós digitális szabályozás gerincét alkotó DMA (Digital Markets Act) szabályozási összefüggéseiből kiindulva azon kérdések vizsgálatára irányul, amelyekről a kutatás során beazonosítható volt, hogy a magyar piacon működő digitális vállalkozások a szabályozási átalakuláshoz történő adaptációt elsődlegesen meghatározzák. A kötet szerzője Dr. Firniksz Judit.
Részleteket közlünk dr. Firniksz Judit: Pillanatkép a digitális piacok szabályozásáról (A DMA a vállalati compliance tükrében) című, a Wolters Kluwer Hungary gondozásában megjelent művéből.
Kutatási kérdés
Az értekezést előkészítő szakmai párbeszédek során egyértelművé vált, hogy a digitális vállalkozások belső megfelelési mechanizmusaik szűrőjén keresztül tekintenek a jogszabályi környezetben végbemenő változásokra, mind a digitális szabályozás tengelyét alkotó DMA-re, mind pedig a tágan értelmezett uniós digitális jogalkotásra. Ugyanakkor az is kiviláglott, hogy a vállalati megfelelés (ritkábban megfelelőség), illetve az ennek szinonimájaként, általánosan használt compliance fogalmát ugyan széles körben használja a magyar gazdasági-jogi közbeszéd, azonban nincsen egységesen elfogadott tartalom mögötte. Az egyik válaszadó azt az intuitív választ adta, hogy a megfelelés tulajdonképpen nem más, mint az eligazodás művészete. Ez az állítás szellemesen megfogalmazott keretet kínál a jelen fejezetben vizsgált kutatási kérdéshez: mi a compliance jelentése és jelentősége a digitális vállalkozások, így különösen a náluk folyó innovációs projektek szempontjából? Más irányból megfogalmazva: mit takar a digitális megfelelés (digital compliance) újonnan kialakuló jelensége?
A vállalati megfelelés (corporate compliance) megjelenése a magyar gyakorlatban
A compliance a legszélesebb értelemben véve olyan vállalati magatartásforma, amely
- a) a különböző külső normáknak, valamint
- b) a belső, a vállalat által saját maga által – a stakeholderek, így tulajdonosai, munkavállalói, szerződéses partnerei számára – felállított, részben szintén külső normákon, részben pedig a vállalati kultúrát meghatározó erkölcsi-etikai alapokon nyugvó normáknak
történő megfelelést biztosítja.
A vállalati compliance működése akkor hatékony, ha képes biztosítani, hogy a vállalati célokhoz és értékrendhez igazodóan a megfelelési körben kijelölt normák a szervezeti működésben internalizálódjanak:
- a) kifejezik az adott vállalati közösség értékrendjét;
- b) általánosan elfogadottak és érvényesek, így a szabályok betartása és érvényesülése túlnyomórészt az önkéntes szabálykövetés eredménye;
- c) elvárt magatartási mintaként szolgálnak;
- d) lehetővé teszik a szervezeten belüli magatartások előzetes becslését, ezáltal kiszámíthatóvá válik az egyének közötti együttműködés;
- e) értékelést fejeznek ki, a szabályok be nem tartása esetén a szervezet részéről hátrányos következmény alkalmazására lehet számítani (Kocziszky & Kardkovács, 2020).
A compliance gyökerei
A compliance, a vállalati működéssel szembeni elvárásrendszer fogalma az angolszász jogban alakult ki, ezért figyelhető meg az, hogy a hétköznapi szóhasználatban ma is leginkább compliance-ként fordul elő. A jelenség viszonylag új keletű a magyar gazdasági és jogi köztudatban, Ambrus és Farkas (Ambrus & Farkas, 2020) ezért mintegy „import” (jog)területnek, kialakulóban lévő szakmának tekinti, amely még idegen testként van jelen a magyar jogban, nincs mögötte önálló dogmatikai háttér.
A compliance a hazai gyakorlatban először az amerikai vállalkozások magyarországi leányvállalatainál jelent meg két extraterritoriális hatályú jogszabály alkalmazása kapcsán. A külföldi korrupciós gyakorlatok megelőzését szolgáló FCPA 1977 óta, a befektetővédelmi célú SOX 2002 óta világszerte formálta az amerikai vállalatok és leányvállalataik működését.[1] Az FCPA-nek történő megfelelés érdekében kialakított programok a későbbi compliance rendszerek kialakulása számára példaként szolgáltak (Tarun & Tomczak, 2018), ennek hátterében az is ott áll, hogy a jó vállalati gyakorlatok támogatására a jogérvényesítő hatóságok az FCPA értelmezésére vonatkozó részletes iránymutatást bocsátottak ki (DOJ & SEC, 2020).
Az egyesült államokbeli vállalati compliance kialakuló fejlődése szempontjából jelentős két jogszabály szerepét itt annyiban hangsúlyozzuk, hogy az azokban jelentkező elvárások és megfelelési gyakorlatok közvetlenül és közvetve is több évtizede hatást gyakorolnak az uniós piaci szereplők mindennapjaira. Ez a hatás egyrészt a vállalati szintű kapcsolatendszert érinti olyan esetekben, ha az érintett vállalkozás maga is az FCPA és/vagy a SOX kötelezettségeinek címzettje, vagy üzleti partnereik valamelyike tartozik ezek hatálya alá. Ilyen esetben ugyanis az üzleti partnerek az FCPA és a SOX megfelelési folyamatai miatt áttételesen akkor is érintetté válnak, ha esetleg saját maguk nem is tartoznak az említett jogszabályok közvetlen címzetti körébe. Másrészt lecsapódik a vállalati elvárások rendszerébe az is, hogy az európai jogalkotásban mind uniós,[2] mind nemzeti[3] szinten is érezhetően megjelennek a vállalati compliance-t érintő amerikai gyökerű szabályozási témák.
A compliance gyökereinek feltárása során természetesen meg kell említeni az USA antitröszt gyakorlatában a vizsgált magatartás jogi értékelése és a szankciók kiszabása során figyelembe vett megfelelési programokat. A DOJ Büntetőjogi Főosztálya által kibocsátott értékelési szempontrendszer kiemeli, hogy nincsen minden vállalatra általánosan alkalmazható ellenőrző lista, az ügyészek 3 alapvető kérdésből indulnak ki, és ehhez rendelik a megvalósítással szembeni elvárásokat (DOJ, 2023):
- a) jól van-e megtervezve a vállalat megfelelőségi programja?
- b) ténylegesen és jóhiszeműen alkalmazzák a programot?
- c) a gyakorlatban valóban működik-e a vállalat megfelelőségi programja?
A GVH joggyakorlatában is explicit módon megjelent az a szemlélet, amely az önkéntes jogkövetés megnyilvánulási formájának tekinti a jogsértések megelőzését, feltárását és kezelését szolgáló megfelelési programokat. 2017-től vannak jelen nevesítetten a compliance programok a bírságcsökkentés szempontjából értékelendő tényezők között, a compliance elvárások tekintetében érdekes adalék, hogy a GVH milyen eltérő szempontrendszert alkalmaz a hatáskörébe tartozó ügytípusok esetén.
A GVH nagyobb súlyt tulajdonít az előzetes megfelelési programoknak, azaz az olyan megfelelési erőfeszítéseknek, amelyek már a versenyfelügyeleti eljárás megindítását megelőzően is működtek. A Fogyasztóvédelmi Bírságközlemény alapján az eljárás megindításakor már működő compliance program esetén a bírság korlátlanul enyhíthető, ha az eljárás alá vont vállalkozás igazolni tudja, hogy a később jogsértőnek ítélt kereskedelmi gyakorlat kialakítása és/vagy közzététele előtt jogi szakvéleményt kért, és a teljes tényállást figyelembe vevő, megalapozott szakvéleményben foglalt állásfoglalásnak megfelelően alakította ki a kereskedelmi gyakorlatát.[4]
Az Antitröszt Bírságközlemény is hangsúlyozza, hogy a megfelelőségi programok léte önmagában nem minősül bírságcsökkentő tényezőnek. Az eljárás alá vont vállalkozásoknak többlettényállási elemeket kell bizonyítaniuk:
- a) a megfelelő compliance erőfeszítések alátámasztásra igazolni kell a megfelelőségi program lényegi elemeit, mivel annak meg kell felelnie a nemzetközileg elfogadott minimumkövetelményeknek;[5]
- b) a compliance mechanizmusok által jelzett jogsértés észlelését követően fel kell hagyni a jogsértő magatartással,
- c) objektív és hiteles bizonyítékkal kell alátámasztani, hogy a jogsértés abbahagyására a compliance program eredményeként került sor, és
- d) bizonyítani kell, hogy a jogsértésben magas rangú vállalati vezetők nem vettek részt (Kara & Pista, 2016; Kocsis, 2019).[6]
Az elszámoltathatóság és a „by design” elvárások megjelenése
A napi operatív gyakorlatban a magyar piaci szereplők legszélesebb köre számára a GDPR elszámoltathatósági elvárása[7] tette ágazattól és mérettől függetlenül megkerülhetetlenné a compliance alapú gondolkodást. Egy szakmai fórumon elhangzott szellemes megjegyzés ezt úgy fordította le a vállalati működés nyelvére, hogy nem elég jogszerűnek lenni, de bármelyik percben erre a bizonyítékot is elő kell tudni venni.
Az elszámoltathatósági logika azóta a digitális vállalatokra számos egyéb területen is jelentős adminisztratív feladatokat ró, a DSA-ről közismert, hogy a belső ellenőrzési és megfelelőségi kötelezettség típusú elvárások túlsúlya jellemzi. Kevésbé közismert, holott gyakorlatilag valamennyi digitális vállalkozást érint, és rendkívül jelentős volumenű belső monitoring és compliance kötelezettséget ír elő a hatálya alá tartozó digitális szolgáltatások és termékek vonatkozásában az Akadálymentességi irányelv.[8] Alaposabb tartalmi vizsgálatnak alávetve, a 2.3.2. pontban felvázolt szabályozási térképen szereplő valamennyi jogszabály tartalmaz több-kevesebb elszámoltathatósági típusú compliance elvárást. A jogszabályokban megjelenő compliance elvárások növekvő aránya kapcsán a szerző egyetért azzal az egyik szakértői egyeztetésen felmerült állásponttal, miszerint ez a jogalkotási gyakorlat végső soron a közigazgatási eljárások jellegére is sajátos hatást gyakorolhat. Az érintett magatartások vonatkozásában mintegy kiszervezve a közigazgatási hatóságok bizonyítási feladatainak egy jelentős részét a vállalkozásokhoz, és ezzel akár hosszú távon a közigazgatási eljárások általános inkvizitórius jellegének megváltozását is magával vonhatja.
A GDPR az elszámoltathatóságon túlmenően még egy újdonságot hozott be a compliance szakértők napi aktív szókincsébe: az ún. by design elvárást. A beépített és alapértelmezett adatvédelem[9] azt a követelményt támasztotta a vállalkozásokkal szemben, hogy bármilyen személyes adatot érintő projektet vagy feladatot valósítanak meg, az adatvédelmi szempontok már a gondolkodás nulladik fázisában legyenek jelen. A digitális vállalkozások számára ez egyben azt is jelenti, hogy a technológiai tervezés kiinduló pillanatában gondolni kell arra, hogy melyek azok a megfelelési elvárások, amelyeknek a technológiába történő beépítéséről (bizonyíthatóan) gondoskodni kell.
[1] Az FCPA alkalmazása az USA határain kívül elkövetett korrupciós jellegű tevékenységekre is kiterjed, ha kibocsátóról (issuer), belföldi illetőségű szervezetről/vállalatról vagy személyről (domestic concerns), vagy olyan egyéb kategóriába eső szervezetről vagy személyről van szó, amely/aki közvetlenül vagy közvetve vesztegetési célú kifizetéseket segít elő. Az FCPA-t eredetileg az amerikai piacon versengő vállalatok közti egyenlő versenyfeltételek megteremtése eszközének tervezték, célja a piac hatékony működésének helyreállítására irányult. Mára megváltozott ez a kiinduló helyzet, a jogszabályt egyre gyakrabban alkalmazzák külföldi vállalatok ellen. A Stanford Law School statisztikája szerint az értekezés leadásának időpontjában a vizsgálat alá vont vállalkozások 40%-a külföldi illetőségű [forrás: https://fcpa.stanford.edu/statistics-keys.html (letöltés ideje: 2022. december 18.)], illetve a külföldi entitásokra történő jogalkalmazás rendszerét és logikáját a Magyar és a Deutsche Telekom esetén keresztül kiválóan bemutatja: Hancz, 2013. A SOX megalkotásához vezető végső kiváltó oknak a pénzügyi beszámolók manipulálása nyomán kirobbant Enron-botrány tekinthető. A SOX az amerikai tőzsdék valamelyikén jegyzett vállalatok és azok külföldi leányvállalatai számára befektetővédelmi céllal ír elő a beszámolók megbízhatóságát és pontosságát garantálni hivatott szabályokat és kontrollokat.
[2] Példaként említhető a közelmúltban az uniós jog megsértését bejelentő személyek védelméről szóló, 2019. október 23-i (EU) 2019/1937 parlamenti és tanácsi irányelv (HL L 305., 2019.11.26., 17-56. o.) nyomán a magyar jogba átültetett visszaélés-bejelentési (whistleblowing) szabályrendszer.
[3] Az FCPA szabályozási logikája tetten érhető például a 2011-ben az Egyesült Királyságban hatályba lépett Bribery Actben.
[4] Azon vállalkozások, amelyeknek még nincs megfelelőségi programjuk, a bírság csökkentését érhetik el, ha megfelelési program bevezetését vállalják. Ilyen esetekben a maximálisan elérhető bírságcsökkentés mértéke annak függvényében változik, hogy a compliance programot tevőleges jóvátétellel vagy jogsértés beismerésével együtt vállalja-e bevezetni az eljárás alá vont vállalkozás. Ilyen többletvállalások esetén maximum 20%-os bírságcsökkentés érhető el, ennek hiányában a mérséklés plafonja 5% (Fogyasztóvédelmi Bírságközlemény, 74-90. pont).
[5] Az Antitröszt Bírságközlemény 73. pontjában felsorolt szempontrendszer mögött felfedezhető a DOJ compliance elvárásainak alaplogikája.
[6] Amennyiben a fenti feltételek teljesülnek, a GVH 7%-os bírságcsökkentést alkalmazhat. A bírságmérséklés elérheti a 10%-ot, ha a már működő megfelelőségi program alapján a vállalkozás bizonyítékokat szolgáltat az eljárás során. Az utólagos megfelelési programok az eljárás eredményességéhez már nem tudnak érdemben hozzájárulni, csak a jövőre vonatkozóan segíthetik elő a jogkövető magatartást, ezért legfeljebb 5%-os bírságcsökkentés érhető el, de csak akkor, ha a vállalásra engedékenységi politika keretében beadott kérelemmel, egyezségi eljárásban való részvétellel együtt és/vagy tevőleges jóvátétel tanúsításával párhuzamosan kerül sor (Antitröszt Bírságközlemény 70-74. pont).
[7] A GDPR 5. cikk (2) bekezdése alapján az adatkezelő felelős az 5. cikk (1) bekezdésében foglalt adatkezelési elveknek történő megfelelésért, és mindenkor képesnek kell lennie arra, hogy a megfelelést igazolja.
[8] A magyar piac vonatkozásában ez az átültető jogszabály a termékekre és a szolgáltatásokra vonatkozó akadálymentességi követelményeknek való megfelelés általános szabályairól szóló 2022. évi XVII. törvény 6-7. §-aiban jelenik majd meg (hatálybalépés: 2025. június 28.).
[9] GDPR 25. cikk.
