A Google-nak törölnie kell az adatot, ha kérjük

Ez a cikk több mint egy éve került publikálásra. A cikkben szereplő információk a megjelenéskor pontosak voltak, de mára elavultak lehetnek.

Az Európai Bíróság precedensnek számító ítéletet hozott a tavalyi évben a Google keresőjében tárolt adatok törlésére vonatkozóan.

Panasz a Google ellen

 Az ügyben egy spanyol férfi, Mario Costeja fordult panasszal a spanyol hatóságokhoz, mivel a Google keresőjében olyan személyes adatait vélte felfedezni, amelyek elavult adósságából és árverési ügyéből fedtek fel néhány momentumot, a La Vanguardia elnevezésű katalán napilap újságcikkeire hivatkozóan. Mivel a férfi az adósságát már megfizette, úgy gondolta: jobb, ha a felejtés homályába vész az ügy, és kérte a Google-tól adatai törlését, valamint az erről szóló újságcikk megsemmisítését is. Annak ellenére azonban, hogy a spanyol médiahatóság beleegyezett az eltávolításba, a Google spanyol leányvállalata nem engedélyezte a törlést, így Costeja bírósághoz fordult. Végül előzetes döntéshozatali eljárásban az Európai Bíróság elé került az ügy, ahol ítélet született arról, hogy a Google kötelessége a személyes adat törlése, azonban az újságcikk eltávolítására irányuló kérelmet a bíróság elutasította.

Az ítélet következményeként rövid időn belül több mint tízezer törlési kérelem érkezett a Google-hoz. Az űrlapot az interneten keresztül lehet kitölteni, és szükség van a személyazonosság igazolására alkalmas okirat másolatára is. A Google a kérelem benyújtását követően mérlegeli az egyén magánélethez való jogát és a nyilvánosságnak a megismeréshez fűződő jogát, illetve az információ terjesztéséhez való jogot. Továbbá megvizsgálja, hogy szerepelnek-e elavult információk a kérelmezőről az eredmények között, és hogy fűződik-e közérdek az információkhoz. Ez utóbbi lehet például, ha a személyes adatok pénzügyi visszaéléssel, szakmai mulasztással, büntetőítélettel kapcsolatosak, vagy kormányzati tisztségviselők publikus megnyilvánulásairól van szó.

Személyes adatokkal dolgozik a Google

Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Info tv.) 3. §-a szerint személyes adat az érintettel kapcsolatba hozható adat, különösen a név, azonosító jel és egy vagy több fiziológiai, mentális, gazdasági, kulturális, szociális azonosságra jellemző ismeret, de idetartozik az érintettre vonatkozó – adatból levonható – következtetés is. Ez utóbbi azért lényeges, mert legtöbbször az adatkezelés célja épp az, hogy következtetést vonjon le a kapott információkból, amelyek pedig a döntések alapját képezik. Eszerint érintett személy nemcsak az lehet, aki például a neve alapján beazonosítást nyert, hanem a közvetlenül és a közvetetten azonosítható személy is. Előbbire példa, ha az adatkezelő ügyfél kód alapján azonosít egy személyt, utóbbi pedig például akkor lehetséges, ha az információkból megállapítható a személy kiléte.

A hazai gyakorlatban az terjedt el, hogy csak az minősül személyes adatnak, amiből az érintett személy azonosított (pl. a név által). Azonban, ha egy adatkezelő hozzájut bizonyos adatokhoz, információkhoz, akkor ezek kombinációjával is képes azonosítani az érintettet. Tehát hiába nincs az első pillanatban beazonosítva, mégis azonosítható lehet, ha az információt más adatokkal összevetve másoktól megkülönböztethetővé válik az érintett.

Az Európai Bíróság ítélete kimondta: az interneten közzétett információkat a keresőmotorok rendszerezik és csoportosítják abból a célból, hogy az azokhoz való hozzáférést felhasználóik számára megkönnyítsék, ez pedig azt eredményezheti, hogy „ha a felhasználók a keresést egy természetes személy neve alapján végezték, akkor a találati lista alapján egy rendszerezett összefoglalóhoz jutnak az e személlyel kapcsolatos, interneten megtalálható információkról, amely lehetővé teszi, hogy létrehozzák az érintett többé‑kevésbé részletes profilját”. Ez pedig már több kérdést is felvet a magánélet és a személyes adatok védelme terén, ugyanis a profilalkotás célja, hogy az érintettre vonatkozó döntések meghozatalára, a személyes preferenciáira vagy a viselkedésére, attitűdjére vonatkozóan elemzést lehessen végezni, ami egy bizonyos szintű előrejelzést valósít meg.

A Google adatkezelést végez

Az Info tv. 3. § 10. pontja szerint adatkezelés az alkalmazott eljárástól függetlenül az adatokon végzett bármely művelet vagy a műveletek összessége, így különösen: a gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, az adatok további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj-, vagy tenyérlenyomat, DNS-minta, íriszkép) rögzítése.

Polgári Jog: havonta megjelenő online folyóirat
Az új folyóirat célja, hogy tudományos igénnyel, de a gyakorlat számára is hasznosítható módon, a gyakorlatban felmerülő problémákra fókuszálva mutassa be a Polgári Törvénykönyvet. Főszerkesztő: dr. Vékás Lajos További részletek, megjelenés >>

Mivel az ítélet kimondta, hogy a Google és egyéb keresőmotorok állandóan kutatják az adatokat az interneten, egyfajta gyűjtést végeznek, majd ezt követően az adatokat visszakeresik, tárolják szervereiken, és hozzáférhetővé teszik azokat a felhasználóik számára, így mindenképpen az Info tv. hatálya alá tartozó adatkezelést valósítanak meg. Azonban nem mindegy, hogy ki minősül adatkezelőnek. Ezt az Info tv. 3. § 9. pontját megvizsgálva lehet eldönteni, vagyis az tartozik ebbe a csoportba, aki meghatározza az adatkezelés célját, meghozza és végrehajtja (vagy a megbízott adatfeldolgozóval végrehajtatja) az erre vonatkozó döntéseket. Ha megállapítást nyert az adatkezelő személye, akkor lehet azt is eldönteni, hogy melyik állam joga lesz alkalmazandó az adott ügyben. A 95/46. Irányelv (amely az ítélet alapját adta) 4. cikk (1) bekezdése szerint ugyanis az alkalmazandó jogra vonatkozó főszabály az, hogy minden tagállam a nemzeti rendelkezéseit alkalmazza, amennyiben az adatkezelést a tagállam területén az adatkezelő egy szervezete tevékenységének keretében végzi. Hogy kit kell ebben az ügyben adatkezelőnek tekintetni, az ítélet pontosan kimondja: „a keresőmotor működtetője az, aki meghatározza e tevékenység célját és módját… ezen adatkezelés szempontjából adatkezelőnek kell tekinteni.” Az adatkezelő személyének megállapítását követően az alkalmazandó jog is meghatározható ebben az ügyben. Fontos tudni: ebből a szempontból nem az a döntő, hogy hol tárolják az adatokat, és még csak nem is az, hogy hol telepedett le az adatkezelő, hanem az, hogy hol végzik a tevékenységet, tehát a „tevékenységének keretében” fogalom a meghatározó. Alapvető jelentőségű, hogy a szervezetek részvétele milyen mértékű a személyes adatokkal végzett tevékenységekben. Ugyanis, ha saját tevékenysége keretében dolgoz fel személyes adatokat egy szervezet, akkor annak a tagállamnak a joga lesz alkalmazandó, ahol ez a szervezet megtalálható. Azonban, ha egy másik szervezet tevékenységei keretében végzi ezt a tevékenységet, akkor annak az államnak a jogát kell alapul venni, ahol a másik szervezet található.

A Costeja-ügyben hozott ítélet ezzel kapcsolatos lényeges szabályt hangsúlyoz, amikor kimondja: ha a keresőmotor működtetője az egyik tagállamban olyan irodát nyit, vagy leányvállalatot hoz létre, amely (az adott állam lakosai felé irányuló) keresőmotor által kínált reklámhelyek értékesítését és reklámozását végzi, akkor az adatkezelő ennek a szervezetének keretében végzi a tevékenységét. Hazai példára lefordítva ez azt jelenti, hogy mivel Magyarországon a Google Inc. rendelkezik leányvállalattal, Google Kft. néven, ez a hazai vállalkozás az anyavállalat szolgáltatásaihoz (pl. Google Search) kapcsolódó tevékenységet végez, amely a magyar lakosok felé irányul, tehát a Google Search során megvalósuló adatkezelést úgy kell tekinteni, mintha azt a Google Kft. tevékenységének keretében végezték volna. Eszerint vonatkozik rá az Info tv., valamint a Google Kft és a Google Inc. a Google Search szolgáltatás keretében végzett tevékenység során adatkezelőnek minősül.

A fentiek alapján tehát az ítélet egyik leglényegesebb eredménye, hogy kimondta: a Google EU-ban lévő leányvállalatai perelhetőek az EU-s jog alapján az Európai Bíróság előtt. Ez azt jelenti: ha a keresőmotor üzemeltetője nem az Európai Unióhoz tartozik, azonban van legalább egy leányvállalata az EU-n belül, akkor már felelőssé tehető a harmadik fél által közzétett weboldalakon megjelenő személyes adatok kezeléséért. Az adatkezelést pedig megvalósítja az is, ha az interneten már közzétett adatokat gyűjti és rendszerezi a keresőmotor üzemeltetője.

Mit kell törölni?

Az Info tv. 14. §-a alapján az érintett kérelmezheti személyes adatainak törlését vagy zárolását. Arra a kérdésre is pontos választ ad a törvény, hogy mikor, milyen feltételekkel és mik törölhetőek vagy zárolhatóak.

Eszerint törölni kell a személyes adatot, ha kezelése jogellenes, az érintett kéri, az adat hiányos vagy téves – és ez az állapot jogszerűen nem orvosolható –, feltéve, hogy a törlést törvény nem zárja ki, az adatkezelés célja megszűnt, vagy az adatok tárolásának törvényben meghatározott határideje lejárt, azt a bíróság vagy a Hatóság elrendelte.

II. Wolters Kluwer Jogi Konferencia
2016. május 11-12. között kerül megrendezés a II. Wolters Kluwer Jogi Konferencia, melynek fő témái között az új Ptk. gyakorlata, valamint az új polgári perrendtartás szerepel. Előjelentkezési akciónk keretében 2015. december 31-ig 149 990 Ft (+ áfa) helyett 128 990 Ft-ért (+ áfa) jelenkezhet. Részletes program és jelentkezés >>

Amennyiben a rendelkező információk alapján feltételezhető, hogy a törlés sértené az érintett jogos érdekeit, az adatkezelőnek nem törölnie, hanem zárolnia kell az adatot, de az érintettnek is van lehetősége a törlés helyett zárolást kérni.

Az Info tv. arra is lehetőséget ad, hogy tiltakozzunk a személyes adataink kezelése ellen, ha a személyes adatok kezelése vagy továbbítása kizárólag az adatkezelőre vonatkozó jogi kötelezettség teljesítése miatt szükséges, vagy csupán azért kell, hogy az adatkezelő vagy egy harmadik személy a jogos érdekét érvényesítse, illetve, ha a személyes adat felhasználása vagy továbbítása közvetlen üzletszerzés, közvélemény-kutatás vagy tudományos kutatás céljára történik, valamint törvényben meghatározott egyéb esetben.

Milyen alapelveknek kell érvényesülniük?

Az ítélet szerint a Google-nak a következő alapelvek érvényesülését kell biztosítania adatkezelése során: tisztességesség és törvényesség, célhoz kötöttség, adatminimalizálás, adatminőség.

Az Info tv. 4. §-a tartalmaz szabályokat a fenti alapelvek tartalmára vonatkozóan. Eszerint a tisztességes adatkezelés azt jelenti, hogy tiszteletben kell tartani a magánéletet és az emberi méltóságot, valamint érvényesülnie kell az önrendelkezési jognak is. Emiatt tiltott a titkos adatgyűjtés végzése, és az érintett megtévesztése sem szolgálhat eszközként az adatkezeléshez.

A törvényesség az Info tv. szabályainak betartását célozza és az adatkezelés egészére vonatkozik.

Az Info tv. rendelkezése szerint személyes adat kizárólag meghatározott célból, jog gyakorlása és kötelezettség teljesítése érdekében kezelhető. Ennek legfontosabb üzenete az, hogy adatot csak úgy kezelhetünk, ha az végig megfelel az adatkezelés céljának, tehát konkrét cél nélkül az adatok felvétele és kezelése nem lehetséges. A célt világosan és egyértelműen meg kell határozni, hogy megállapítható legyen a jogszerűség, valamint az, hogy milyen adatkezelési művelet kapcsolódik hozzá.

Az adatminimalizálás követelménye egy szűkebb adatkört feltételez, aminek úgy lehet megfelelni, hogy az adatkezelő csak olyan és annyi adatot kezel, ami valóban szükséges a cél eléréséhez és alkalmas is annak megvalósítására. Tehát nem lehet cél nélkül adatokat tárolni és kezelni. Az adatminimalizálás elvéhez tartozik az is, hogy a személyes adat csak annyi ideig és olyan mértékben kezelhető, amely a cél megvalósulásához szükséges.

A fentieken kívül fontos az adatok pontossága, teljessége és naprakészsége is, ami az adatminőség alapelvének teljesülését segíti elő. Az Európai Bíróság a Google-ítéletben külön kitért arra, hogy amennyiben az adatok az adatkezelés céljára tekintettel nem megfelelőek, irrelevánsak vagy túlzott mértékűek, nem időszerűek, vagy a szükségesnél hosszabb ideig tárolták azokat, ez megalapozza a jogellenes adatkezelést az adatminőség alapelvének megsértése következtében.

Ha nem töröl a Google

Ha a Nemzeti Adatvédelmi és Információszabadság Hatóság megállapítja, hogy a Google megsértette az érintett személyes adatok védelméhez fűződő jogát, mivel nem törölte a kért adatokat a találati listából, akkor a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) első lépésként felszólítja az adatkezelőt a jogsérelem orvoslására, illetve annak közvetlen veszélye megszüntetésére. Erre 30 napja van a Google-nak, aminek megtörténtéről tájékoztatnia is kell a Hatóságot. Ha a Google a felszólítás ellenére sem törli a szükséges személyes adatokat, akkor a NAIH nyilvános jelentést készíthet, adatvédelmi vagy titokfelügyeleti hatósági eljárást indíthat, illetve bírósági eljárást kezdeményezhet.

---