Személyes adattal visszaélés

Ez a cikk több mint egy éve került publikálásra. A cikkben szereplő információk a megjelenéskor pontosak voltak, de mára elavultak lehetnek.

A Wolters Kluwer gondozásában megjelenő Nagykommentár a Büntető Törvénykönyvhöz című kiadvány a büntető anyagi jog egészét átfogó nagykommentár, mely teljeskörűen és mélyrehatóan elemzi a hatályos törvényszöveget, külön is törekedve a tényállási elemek értelmének kifejtésére, az elhatárolási, halmazati kérdések lehetséges megoldására. A nagykommentárban megtalálható a vonatkozó büntetőbírósági joggyakorlat és a Kúria korábbi és új jogegységi döntéseinek elemzése, a büntető jogszabályok alkalmazásához és értelmezéséhez szükséges alkotmánybírósági döntések bemutatása, valamint a releváns, elsősorban európai jogi és nemzetközi emberi jogi ítélkezés eredményeinek feltárása. Az alábbiakban a személyes adattal való visszaélésről szóló 219. § és a közérdekű adattal való visszaélésről szóló 220. § magyarázatát olvashatják. A részlet szerzője: dr. Szomora Zsolt.

Részlet a Nagykommentár a Büntető Törvénykönyvhöz című műből.

Btk. 219. §-ához:

1. Jogi tárgy

A bűncselekmény jogi tárgya az Alaptörvény VI. cikk (2) bekezdésében deklarált személyes adatok védelméhez való jog. A törvényi tényállás keretdiszpozíció, háttérjogszabálya a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) szóló, az Európai Parlament és a Tanács 2016. április 27-i (EU) 2016/679 rendelete (a továbbiakban: GDPR), valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.). A GDPR uniós rendeleti jogforrás, ezért közvetlen hatálya és elsőbbsége van a belső jogban is. Főszabály szerint minden személyes adat kezelésére kiterjed, akár automatikus, akár ember által kezelt nyilvántartási rendszerben történik. A büntetőjogi felelősség szempontjából relevanciája elsősorban az utóbbinak lehet. Az Infotv. a GDPR-hoz képest csak szubszidiárius jellegű, és a GDPR tárgyi hatályához képest kizárólag kiegészítő rendelkezéseket tartalmaz az uniós jog hatályán kívül eső szabályozási területeken: például bűnüldözési, honvédelmi, nemzetbiztonsági célú adatkezelés [Infotv. 2. § (3) bekezdés], azzal, hogy az Infotv. alapján történő adatkezelésre is számos esetben előírja a GDPR egyes rendelkezéseinek alkalmazását [Infotv. 2. § (4) bekezdés].

2. Tényállási elemek és stádiumok

A bűncselekménynek sem passzív alanya, sem elkövetési tárgya nincs. Az e körben érintett személyes adat eszmei kategória (annak tárgyiasult, rögzített formájában is). A személyes adat fogalmát a GDPR 4. cikk 1. pontja és az Infotv. 3. § 2. pontja határozza meg. A bűncselekmény sértettje e személyes adat által érintett természetes személy (az érintettség fogalmához lásd GDPR 4. cikk 1. pont és Infotv. 3. § 1. pont). Személyösszesség és jogi személyek adatai a tényállás szempontjából nem relevánsak. A bűncselekmény három tényállási alakzatból épül fel.

A Btk. 219. § (1) bekezdés a) pont szerinti fordulat elkövetési magatartása a jogosulatlan vagy céltól eltérő adatkezelés, amely aktív magatartást jelent. Az adatkezelés fogalmát a GDPR 4. cikk 2. pontja és az Infotv. 3. § 10. pontja határozza meg. Az adatkezelés jogalapját a GDPR 6. cikk (1) bekezdése és az Infotv. 5. § (1) bekezdés határozza meg, e jogalapok hiányában történő adatkezelés jogtalannak minősül, és ezáltal tényállásszerű. Az adatkezelés mindenkor célhoz kötött (a célhoz kötöttség elvéhez és szabályaihoz lásd GDPR 6. cikk és Infotv. 4. §), így az egyébként megfelelő jogalappal történő adatkezelés is tényállásszerű lesz, ha az a céljától eltérően történik.

A Btk. 219. § (1) bekezdés b) pont szerinti mulasztásos fordulat az adatok biztonságát szolgáló intézkedés elmulasztásával valósul meg (különböző technikai és szervezési intézkedések, eljárások kialakítása – részletesen lásd GDPR 32. cikk és Infotv. 25/I. §). Az alternatív elkövetési magatartások további két alternatív tényállási elem megvalósulása esetén vezetnek büntetendőséghez. A magatartásoknak vagy jelentős érdeksérelmet kell okozniuk, vagy – érdeksérelem hiányában – haszonszerzési célból kell azokat kifejteni. A jelentős érdeksérelemhez mint eredményhez lásd a kényszerítéshez írtakat (Btk. 195. §; ilyen lehet például a munkahelyi vagy társadalmi kapcsolatok, a családi élet elnehezülése, vagy például önkormányzati választások során a képviselőjelölt bűnügyi személyes adatainak nyilvánosságra hozatalával történő lejáratása – BH2015. 119.). A haszonszerzési célzat lehet például az anyagi előnyért történő adattovábbítás, amely még nem feltételezi a jelentős érdeksérelem bekövetkezését.

A bűncselekmény stádiumainak vizsgálata e két fordulat elemzését teszi szükségessé. A bűncselekmény materiális alakzata kísérleti szakban marad mindaddig, amíg a jelentős érdeksérelem nem következik be. Ez azonban csak akkor igaz, ha a tettest nem vezérli egyúttal haszonszerzési cél is, mert akkor már a jelentős érdeksérelem bekövetkezése nélkül is befejezett a bűncselekmény.

A bűncselekmény csak szándékosan követhető el. Az Btk. 219. § (1) bekezdés a) pont szerinti alakzat esetében a tettes tudatának mind a személyes adatoknak minősülő életbeli tényekre (de nem azok minősítésére), mind pedig a jogosulatlanságra ki kell terjednie. A büntetendőséghez elegendő az eshetőleges szándék, a haszonszerzési céllal megvalósuló fordulat e részében egyenes szándékot feltételez, de például a jogosulatlansággal kapcsolatban ilyen esetben is elegendő a belenyugvás.

A bűncselekmény harmadik alakzata a Btk. 219. § (2) bekezdésben meghatározott tájékoztatási kötelezettség megszegésével valósul meg. Az érintett kérelmére a tájékoztatást legfeljebb huszonöt napon belül írásban vagy elektronikus úton meg kell adni (a tájékoztatási kötelezettséghez lásd a GDPR 13–14. cikkét és az Infotv. 15–16. §¬át), az elkövetési magatartást megvalósító mulasztás ezen idő elteltével áll be. Ez az alakzat is eredmény-bűncselekmény, befejezettségéhez a kötelezettségszegéssel okozati összefüggésben bekövetkező jelentős érdeksérelem szükséges.

3. Tettesség

A bűncselekmény Btk. 219. § (1) bekezdés a) pont szerinti, első alakzata közönséges bűncselekmény, tettese bárki lehet (1/2012. Büntető jogegységi határozat; az EBH2003. 926. eseti döntés elavult), ez a korábbi jogértelmezés irányadó marad a GDPR hatálybalépését követően is. A további alakzatok tettese csak a jogszerű adatkezelő lehet, hiszen aki a személyes adatot nem jogszerűen kezeli, a Btk. 219. § (1) bekezdés a) pontja szerint lesz büntetendő (tévesen minősíti az egész tényállást közönséges bűncselekménynek Belovics Ervin – Molnár Gábor – Sinku Pál: Büntetőjog II. A 2012. évi C. törvény alapján. HVG–ORAC, Budapest, 2012, 236. o.).

4. Minősített esetek

A bűncselekmény – valamennyi fordulathoz kapcsolódó – minősített esete valósul meg, ha azt különleges személyes adatra vagy bűnügyi személyes adatra követik el [ezek definíciójához lásd GDPR 9. cikk (1) bekezdés, 10. cikk és Infotv. 3. § 3. és 4. pont; a kezelési jogalaphoz lásd GDPR 9. cikk (2) bekezdés, 10. cikk és 5. § (2)–(4) bekezdés]. A tettesi kvalifikáció körében még súlyosabban büntetendő minősítő körülmény, ha a bűncselekményt hivatalos személyként [Btk. 459. § (1) bekezdés 11. pont] vagy közmegbízatás felhasználásával követik el. A hivatalos személyként elkövetett személyes adattal visszaélés speciális tényállás a hivatali visszaéléshez képest (3/2007. Büntető jogegységi határozat és BH2008. 322.; a BH2005. 338. eseti döntés elavult). Ha azonban a hivatalos személy a személyes adattal nem jogtalan haszonszerzés végett (vagy nem jelentős érdeksérelmet eredményezve) él vissza, hanem ettől eltérő előnyszerzési vagy hátrányokozási célzat vezérli, úgy a személyes adattal visszaélés – ezen tényállási elemek hiányában – nem valósulhat meg, viszont a hivatali visszaélés (Btk. 305. §) szerinti bűncselekmény igen (BH2013. 146., BH2015. 296.).

5. Rendbeliség

A bűncselekmény rendbelisége az érintettek száma szerint alakul, kivéve a Btk. 219. § (2) bekezdés szerinti alakzatot, amely több sértett esetén is törvényi egységet alkot.

Kapcsolódó joggyakorlat

1/2012. Büntető jogegységi határozat a Btk. 177/A. § (1) a) pontjának első fordulatába ütköző személyes adattal visszaélés vétségének az elkövetője nemcsak az adatvédelmi jogszabályok szerinti adatkezelő, hanem bárki lehet

3/2007. Büntető jogegységi határozat A hivatalos személyként elkövetett személyes adattal visszaélés speciális bűncselekmény a hivatali visszaéléshez képest.

Kapcsolódó jogi szabályozás

Magyarország Alaptörvénye (2011. április 25.) VI. cikk

2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról 2. §, 3. §, 5. §, 25/I. §

Kapcsolódó európai uniós jogi szabályozás

Az Európai Parlament és a Tanács 2016. április 27-i (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) 1., 4., 6., 9–10., 13–14. cikk, 32. cikk

A cikk a Wolters Kluwer termékeire/szolgáltatásaira vonatkozó reklámot tartalmaz.

---