A belga Adatvédelmi Hatóság ("GBA") 2026 májusában hivatalosan bejelentette, hogy a jövőben aktívan élni kíván a büntetőeljárás kezdeményezésének lehetőségével az adatvédelmi szabályok súlyos megsértése esetén. A bejelentés szerint a GBA már be is nyújtott egy közvetlen keresetet egy belga büntető bírósághoz, és fontolgatja a büntetőjogi egyeztetés igénybevételét az ügyészségen keresztül.
A lépés hátterében a GBA döntéseinek felülvizsgálatára jogosult brüsszeli bíróság (Marktenhof) gyakorlata áll, amely a GBA megítélése szerint szisztematikusan jelképes összegekre csökkenti a kiszabott adatvédelmi bírságokat, ezzel aláásva a hatóság jogérvényesítő képességét.
1. A bejelentés háttere és jogalapja
A GDPR 84. cikk (1) bekezdése kifejezetten felhatalmazza a tagállamokat arra, hogy a 83. cikk szerinti közigazgatási bírságokon túlmenően egyéb szankciókat – ideértve a büntetőjogi szankciókat – állapítsanak meg a rendelet megsértése esetén. A (149) preambulumbekezdés pontosítja, hogy a tagállamok büntetőjogi szankciókat határozhatnak meg, amelyek akár a jogsértésből származó haszon elkobzását is lehetővé tehetik, feltéve hogy nem sértik a ne bis in idem elvét (kétszeres értékelés tilalma).
A GDPR 84. cikk (1) bekezdése szerint, "a tagállamok megállapítják az e rendelet megsértése esetén alkalmazandó további szankciókra vonatkozó szabályokat, különösen azon jogsértések tekintetében, amelyek nem tartoznak a 83. cikkben meghatározott, közigazgatási bírságokkal sújtható jogsértések közé, és meghoznak minden szükséges intézkedést ezek végrehajtására. E szankcióknak hatékonynak, arányosnak és visszatartó erejűnek kell lenniük."
Ehhez kapcsolódóan a GDPR preambuluma (149) pedig rögzíti, hogy "a tagállamok megállapíthatják az e rendelet megsértése – így ideértve az e rendelet alapján és általa szabott korlátokon belül elfogadott nemzeti szabályok megsértése – esetén alkalmazandó büntetőjogi szankciókra vonatkozó szabályokat. E büntetőjogi szankciók lehetővé tehetik például az e rendelet megsértése révén szerzett vagyoni előny elvonását. Az ilyen tagállami szabályok megsértésére vonatkozó büntetőjogi szankciók, illetve közigazgatási szankciók kiszabása azonban nem eredményezheti a Bíróság értelmezése szerinti ne bis in idem elv* megsértését." (kiemelés tőlem)
(*A ne bis in idem elv, "a kétszeres értékelés tilalma ugyanazon tények többszöri – joghatással járó – figyelembevételének tilalmát jelenti a társadalom büntetőjogi alrendszerében, illetve bizonyos esetekben az egész jogrendszerben, vagy akár az adott tényekre vonatkozó transznacionális kontextusban is." [Lásd Karsai Krisztina szócikkét az Internetes Jogtudományi Enciklopédiában.]) A ne bis in idem elv horizontális kontextusaként szoktak arra hivatkozni, amikor a büntetőjogi felelősségtől különböző jogi felelősségi forma (így pl. a közigazgatási jog) párhuzamos megállapíthatósága merül fel nemzeti és nemzetközi (uniós) vagy vegyes keretekben. A magyar Alkotmánybíróság gyakorlata alapján, Ambrus István - Karsai Krisztina által idézett, a 8/2017. (IV. 18.) AB határozat kapcsán született cikkében - ezt úgy értékeli, hogy
a büntetőjogi szankcionálás vagy legalábbis annak lehetősége kizárja a közigazgatási jogi alapokon álló bírság kiszabását. Az alkotmányosság mércéjének tehát a ne bis in idem elvének kiterjesztő értelmezése felel meg, amely keretében elvileg a büntetőjogi szankció primátusa lehet megállapítható a közigazgatási szankcióval szemben. Ennek természetesen az is feltétele, hogy az adott jogterület szankciója, azonos cselekményekkel kapcsolatban, büntetőjogi jellegűnek minősüljön, mely utóbbi a bírságok kapcsán elméletileg vitatható lehet ugyan, az EJEB és az EUB kritériumai alapján azonban feltehetően megállhatják a helyüket. [AMBRUS István: „Az Alkotmánybíróság határozata az állatkínzás bűncselekménye és az állatvédelmi bírsággal sújtandó cselekmény összefüggéseiről” Jogesetek Magyarázata 2017/4., kiemelés tőlem]
A belga jogalkotó a GDPR 84. cikkében kapott felhatalmazással élve a 2018. július 30-i adatvédelmi törvény (Loi du 30 juillet 2018 / Wet van 30 juli 2018) 222–230. cikkeiben büntetőjogi tényállásokat határozott meg.
A belga adatvédelmi törvény 229. cikke kifejezetten rendelkezik az adatvédelmi felügyeleti hatóság és a Legfőbb Ügyészség közötti megállapodás lehetőségéről, amely szabályozza az olyan ügyek kezelését, ahol egyaránt lehetséges közigazgatási bírság és büntetőjogi szankció is. Amennyiben nincs megállapodás, az ügyésznek két hónap áll rendelkezésére, hogy tájékoztassa a felügyeleti hatóságot a nyomozás vagy büntetőeljárás megindításáról; e tájékoztatás kizárja az adatvédelmi hatóság korrekciós jogkörének gyakorlását. Ha az ügyész két hónapon belül nem jelez, a tényállás kizárólag közigazgatási szankcióval büntethető. Ez biztosítja, hogy ugyanazon tényállás miatt ne induljon párhuzamosan közigazgatási és büntetőeljárás.
A GBA 2026–2028-as stratégiai terve kifejezetten a proaktívabb jogérvényesítés irányába történő elmozdulást deklarálja. A hatóság célja, hogy eljárása kevésbé legyen panaszfüggő, és több saját kezdeményezésű vizsgálatot indítson, különösen a valódi társadalmi hatással bíró ügyekben. Ez a stratégiai irány képezi a büntetőeljárás kezdeményezésére vonatkozó bejelentés tágabb kontextusát. (A stratégiai terv angol nyelvű összefoglalóját lásd például itt.)
2. Az intézkedés lényege
Koen Gorissen, a GBA elnöke azt jelentette be, hogy a hatóság a jövőben konkrét ügyeket fog büntetőbíróságok elé terjeszteni. A GBA két konkrét eszközt nevezett meg:
- Közvetlen kereset büntető bíróságnál: A GBA mint sértett fél vagy panaszos közvetlenül idézheti az adatkezelőt a büntető bíróság elé.
- Büntetőjogi egyeztetés az ügyészségen keresztül: Ez lehetővé teszi a jogsértés gyorsabb rendezését pénzösszeg megfizetése révén, bírósági tárgyalás nélkül.
A belga adatvédelmi törvény alapján büntetőeljárás tárgyát képezheti többek között: jogalap nélküli adatkezelés; az adatkezelés alapelveinek szándékos vagy súlyosan gondatlan megsértése; a tiltakozási jog figyelmen kívül hagyása direkt marketing esetén; jogellenes nemzetközi adattovábbítás; valamint az adatbiztonsági és titoktartási kötelezettségek megsértése (lásd a belga adatvédelmi törvény 222. cikkét). Mind az adatkezelők, mind az adatfeldolgozók, mind az utasításuk alapján eljáró személyek felelősségre vonhatók és pénzbírsággal sújthatók lehetnek.
3. Várható hatások az adatkezelők számára
A büntetőeljárás kezdeményezésének gyakorlati alkalmazása minőségileg új kockázati szintet jelenthet az adatkezelők, illetve adatfeldolgozók számára Belgiumban. A büntetőjogi felelősség személyes büntetőjogi következményeket vonhat maga után a felelős természetes személyekre nézve is. A 2018-as törvénymódosítás óta a jogi személy és a természetes személy büntetőjogi felelőssége egyidejűleg is fennállhat (párhuzamos felelősség).
A stratégiai terv alapján a hatóság kiemelt figyelmet fordít a nagyméretű adatkezelésre (kórházak, biztosítók, AdTech, adatbrókerek) és a gyermekek adatainak védelmére. Az e területeken működő vállalatok számíthatnak fokozott ellenőrzésre és adott esetben büntetőeljárás kezdeményezésére is.
4. Rövid kitekintés: más EU-tagállamok gyakorlata
Ahogy a fentiekben láttuk, a GDPR 84. cikke alapján valamennyi tagállam jogosult büntetőjogi szankciókat megállapítani. A (149) és (152) preambulumbekezdés szerint a tagállamoknak hatékony, arányos és visszatartó erejű szankciórendszert kell működtetniük, amelynek jellege – büntetőjogi vagy közigazgatási – a tagállami jogra tartozik.
A lehetőség a büntetőjogi szankciók bevezetésére tehát fennáll, és ennek elvi, törvényi lehetőségét több tagállamban meg is teremtették, amelyek közül talán a francia szabályozás emelhető ki, amelyben súlyos büntetőjogi szankciókat határoznak meg adatvédelmi jogsértésekre. (Franciaországban láthatunk gyakorlati példákat is arra, hogy a büntetőjogi eszközöket is bevetnek súlyosabb esetekben, így pl. Pavel Durovot, a Telegram alapítóját vették őrizetbe 2024-ben, idén pedig az X-el, illetve Elon Muskkal szemben indítottak eljárást, az Europol bevonásával, többek között deepfake tartalmak, gyermekekkel szembeni szexuális tartalmú anyagok és egyéb illegális tartalmak miatt. Igaz ezek nem annyira a "klasszikus" adatkezeléssel kapcsolatos ügyek, sokkal inkább az online platformokon, az interneten megjelenő illegális tevékenységekkel kapcsolatos határozottabb fellépést mutatnak.)
A belga adatvédelmi hatóság bejelentésének jelentőségét az adja, hogy egy adatvédelmi felügyeleti hatóság kifejezetten és nyilvánosan deklarálja: a jövőben aktívan kíván élni a büntetőeljárás kezdeményezésével, mint az adatvédelmi jogérvényesítés eszközével, ráadásul kifejezetten utal arra is, hogy a szemléletváltásra amiatt van szükség, mert a hatóság jogérvényesítési hatékonyságát az illetékes bíróság döntései, a jelképesre mérsékelt bírságok szisztematikusan csökkentik.
