A bűnüldözési célú adatmegőrzés kérdése már hosszú ideje borzolja az EU-ban a kedélyeket. A vita időről-időre fellángol, különösen mióta az Európai Unió Bírósága (EUB) 2014. áprilisában érvénytelenítette a 2006/24/EK adatmegőrzési irányelvet (C-293/12. és C-594/12. sz. egyesített ügyek). A magyarországi szabályozással kapcsolatban is lenne tennivaló, miután az Alkotmánybíróság (AB) 15/2022. (VII. 14.) AB határozatával megállapította, hogy az elektronikus hírközlésről szóló 2003. évi C. törvény (Eht.) bűnüldözési célú adatmegőrzésre vonatkozó szabályozása alkotmányos hiányosságokat mutat. Hiába szabott azonban az AB 2022. december 31-ig tartó határidőt az Országgyűlésnek a mulasztásos alkotmánysértés orvoslására, erre a mai napig nem került sor. A Kormány 2026. évi őszi törvényalkotási programja alapján azonban felcsillan a remény, hogy az Eht. módosítására a 15/2022. (VII. 14.) AB határozatnak és az EUB vonatkozó döntéseinek megfelelően sor kerülhet. 

Az alábbiakban röviden áttekintem az AB határozat lényegét, a szükséges jogszabályi változások irányát, az uniós kontextust és a piaci szereplők várható felkészülési feladatait.

1. Mit állapított meg az Alkotmánybíróság?

Az AB a 15/2022. (VII. 14.) határozatában megállapította, hogy az Országgyűlés mulasztásban megnyilvánuló alaptörvény-ellenességet idézett elő azáltal, hogy az Eht. 157. § (2), (3) és (10) bekezdése, valamint a 159/A. §-a szerinti szabályozás nem áll összhangban az Alaptörvény VI. cikk (1) bekezdésében foglalt magánszféra tiszteletben tartásához való joggal, valamint a (3) bekezdésében rögzített személyes adatok védelméhez való joggal. A testület felhívta az Országgyűlést, hogy jogalkotói feladatának 2022. december 31. napjáig tegyen eleget.

Az AB vizsgálatának központi kérdése az volt, hogy az Eht. 159/A. §-a által előírt általános, feltétlen és "készletező" adatmegőrzés sérti-e az alapvető jogokat. A taláros testület elismerte, hogy a bűnüldözési, nemzetbiztonsági és honvédelmi célok mint alkotmányos értékek szükségessé tehetik az alapjogok korlátozását, és az adatmegőrzés önmagában nem alaptörvény-ellenes. Ugyanakkor a szabályozás több ponton nem felel meg az arányosság követelményének.

Az Alkotmánybíróság hangsúlyozta (lásd AB határozat [20] pont, kiemelés tőlem), hogy

az érintett adatok egyrészt több személy személyes adatait érintik, másrészt a maguk összességében többek is az elkülönült, egyedi személyes adatoknál: az érintett kapcsolataira, kommunikációs szokásaira vonatkozó olyan tömegű és minőségű adatösszességről van szó, amelyből kirajzolódhat az érintett kommunikációs profilja, illetve személyiségének egy igen meghatározó, fontos szelete. Továbbá mivel az érintett személyes adatok túlnyomó részben speciálisan az érintett kapcsolattartására vonatkozó személyes adatok, valamint mert a személyes adatok összességéből az érintett teljes kapcsolattartására, kapcsolati hálójára lehet következtetéseket levonni, az érintett adatkör szorosabb kapcsolatban áll a magánszférához való joggal, illetve azzal összefüggésben az emberi méltósággal, mint az egyedi, elkülönült személyes adatok általában.

A kommunikációs profil kapcsán az AB hozzáteszi (lásd AB határozat [28] pont, kiemelés tőlem): 

A kommunikációs profil (a kapcsolattartására vonatkozó adatokra figyelemmel) szoros összefüggésben áll az érintett személyek magánszférájával, illetve emberi méltóságával, és ennek következtében a személyes adatok védelméhez való alapjog (ami a magánélet védelmének része) védelmi körén belül közel kerül az emberi méltóság sérthetetlen magjához. [...]

Az AB - az Európai Bíróség Privacy International ítéletére hivatkozva (lásd alább) - rögzíti, hogy a kommunikációs profil „ugyanolyan különleges információnak minősül, mint a közléseknek maga a tartalma” (lásd AB határozat [28] pont, kiemelés tőlem). Ennek következtében pedig "e kommunikációs profilt fokozott alapjogi védelemben indokolt részesíteni, amely az Eht. által előírt adatkezelés megfelelő, szigorú garanciákkal való biztosításában materializálódik" (lásd AB határozat [28] pont, kiemelés tőlem).

Az AB ugyan elismeri az adatkezelési célok legitim jellegét, ugyanakkor megállapítja, hogy készletező adatkezelésre kerül sor, mivel az "adatgyűjtés [...] egy alkotmányjogilag értékelhető célhoz a törvényszöveg alapján kellőképpen nem kötődő, a felhasználás körét túl tágan meghatározó adatszolgáltatás érdekében történik" (lásd AB határozat [28] pont). Az "ilyen jellegű előzetes, készletező adatkezelés – a kezelt adatok jellegére és mennyiségére is tekintettel – az arányosság terén magasabb alkotmányos követelmények érvényesülését kívánja meg" (lásd AB határozat [32] pont, kiemelés tőlem).

Az AB rámutatott, hogy a generális és preventív adatmegőrzés olyan személyek jogait is tömegesen érinti, akik közvetetten sem hozhatók kapcsolatba bűncselekményekkel, így esetükben a bűnüldözési célok az adatkezeléssel összefüggésben ténylegesen fel sem merülnek (lásd AB határozat [34] pont). Az AB megerősítette a korábbi gyakorlatában lefektetett elvet: a célhoz kötöttség az információs önrendelkezési jog legfontosabb garanciája (lásd 15/1991. (IV. 13.) AB határozat), a meghatározott cél nélküli, "készletre" történő adatgyűjtés és adattárolás alkotmányellenes, ugyanakkor ha az adatkezelésnek alkotmányosan igazolható célja van, akkor önmagában az adatkezelés nem lesz alkotmányellenes, de az arányosságát magasabb alkotmányos mérce szerint kell értékelni. Az adatmegőrzés arányossága körében az AB vizsgálja az előzetes tájékoztatás megvalósulását, az adatbiztonság érvényesülését és az adatok megőrzésének időbeli korlátját is és úgy foglal állást, hogy ezek tekintetében nem merül fel aránytalanság. Az adatszolgáltatás arányosságát vizsgálva ugyanakkor az AB arra jutott (lásd AB határozat [38] pont, kiemelés tőlem), hogy 

aránytalan alapjog-korlátozást eredményez továbbá, hogy az Eht. 159/A. § (1) bekezdése – bár a bűnüldözési, nemzetbiztonsági és honvédelmi célú adatmegőrzésről szóló alcím alatt szerepel – ténylegesen nem határoz meg semmilyen megkülönböztetést, korlátozást, kitételt sem azon eljárások, sem azon súlyos bűncselekmények körét illetően, amelyek kapcsán az adatszolgáltatás indokolt.

Ahhoz, hogy az adatszolgáltatás kapcsán az arányosság teljesüljön (lásd AB határozat [39-40] pontok, kiemelés tőlem), 

annak az alkotmányos minimumnak mindenképpen meg kell jelennie az Eht.-ben, hogy az adatkezelésre csak a jogosított szerveknek a konkrét, legitim célokkal és súlyos bűncselekményekkel összefüggő feladatai kapcsán kerülhet sor. E követelmény részleteit ugyanakkor elegendő szakjogági törvényekben rendezni.

Az Alkotmánybíróság megállapította tehát, hogy a támadott jogszabályi rendelkezés túl tágan határozza meg, hogy az adatkérésre külön törvény szerint jogosultak milyen eljárásban, milyen célra és mennyire kiterjedt adatszolgáltatást kérhetnek. Az adatok átadására vonatkozó felhatalmazás ebből kifolyólag túlzottan általános, absztrakt, hiányoznak belőle azok a konkrétumok, amelyek az adatkezelést annak céljához tudnák kötni és igazítani. [...]

A testület kifogásolta továbbá, hogy a szabályozásból hiányoznak a megfelelő garanciák az adatokhoz való hozzáférés tekintetében: a hozzáférés nem tárgya független intézmény előzetes felülvizsgálatának. A részletszabályok elegendő, ha a szakjogági törvényekben megjelennek, de "a felülvizsgálat követelményének, illetve a bírói vagy a független, a büntetőeljárás folyamatában nem érdekelt közigazgatási szerv szerepének az adatkezelés alapjait adó Eht.-ben is meg kell jelennie" (lásd AB határozat [41] pont).

Az AB a határozatában részleteiben az Eht 159/A. §-ában foglaltakat tárgyalta, de megállapította, hogy a következtetései az Eht. 157. § (2), (3) és (10) bekezdéseire is vonatkoznak. 

Az AB nem semmisítette meg a 159/A. §-t és a 157.§ (2), (3) és (10) bekezdéseit, hanem mulasztást állapított meg, azaz a jogalkotó feladata a garanciális hiányosságok pótlása.

2. Európai uniós kontextus: az EUB ítélkezési gyakorlata

A magyar helyzet nem egyedi: az EUB több ítéletben foglalkozott a tagállami adatmegőrzési szabályok uniós joggal való összhangját érintő kérdésekkel. Az EUB esetjoga a 2002/58/EK irányelv (ePrivacy irányelv) 15. cikkének bekezdésének értelmezésén alapul, amelyet az Alapjogi Charta 7. (a magán- és a családi élet tiszteletben tartása) és 8. (a személyes adatok védelme) cikkei fényében kell olvasni.

A Digital Rights Ireland ügyben (2014, C-293/12. és C-594/12. sz. egyesített ügyek) az EUB érvénytelenítette a 2006/24/EK adatmegőrzési irányelvet, megállapítva, hogy az általános és különbségtétel nélküli adatmegőrzés aránytalanul korlátozza a magánélethez és a személyes adatok védelméhez fűződő alapvető jogokat.

A Tele2 Sverige/Watson ügyben (2016, C-203/15. és C-698/15. sz. egyesített ügyek) a Bíróság kimondta, hogy az uniós joggal ellentétes az olyan nemzeti szabályozás, amely a bűnözés elleni küzdelem céljából minden elektronikus hírközlési eszköz tekintetében valamennyi előfizető és nyilvántartott felhasználó összes forgalmi és helymeghatározó adatának általános és különbségtétel nélküli megőrzését írja elő. A Bíróság megállapította azt is, hogy az uniós joggal ellentétes az olyan nemzeti szabályozás, amely anélkül szabályozza a forgalmi és helymeghatározó adatok védelmét és biztonságát, különösen az illetékes nemzeti hatóságoknak a megőrzött adatokhoz való hozzáférését, hogy a bűnözés elleni küzdelem keretében történő e hozzáférést kizárólag a súlyos bűncselekmények elleni küzdelem céljára korlátozná, és bíróság vagy független közigazgatási szerv előzetes felülvizsgálatához kötné, továbbá megkövetelné, hogy a szóban forgó adatokat az Unió területén őrizzék. A Tele2 Sverige/Watson ügyben hozott ítélet követelményeket is megállapít a vonatkozó nemzeti szabályozásokkal kapcsolatban (lásd az ítélet 109-111. pontjait, kiemelés tőlem):

először is egyértelmű és pontos szabályokat kell tartalmaznia az ilyen adatmegőrzési intézkedés hatálya és alkalmazása vonatkozásában, és minimális követelményeket kell előírnia annak érdekében, hogy azon személyek, akiknek az adatait megőrizték, elegendő olyan biztosítékkal rendelkezzenek, amely lehetővé teszi az adataiknak a visszaélések veszélyeivel szembeni hatékony védelmét. Különösen meg kell jelölnie, hogy az adatok megőrzésére vonatkozó intézkedés milyen körülmények esetén és milyen feltételekkel fogadható el megelőző jelleggel, ezáltal biztosítva, hogy ezen intézkedés a feltétlenül szükséges mértékre korlátozódjék. 

[...] az adatmegőrzésnek ugyanakkor mindig objektív, a megőrzendő adatok és a kitűzött cél között kapcsolatot mutató kritériumoknak kell megfelelniük. Konkrétan, az ilyen feltételeknek a gyakorlatban hatékonyan korlátozniuk kell az intézkedés terjedelmét, és ennélfogva az érintett személyi kört. 

Ami ezen intézkedésnek a potenciálisan érintett személyi kör és helyzetek szempontjából történő korlátozását illeti, a nemzeti szabályozásnak olyan objektív tényezőkön kell alapulnia, amelyek lehetővé teszik, hogy az olyan személyi körre irányuljon, amelynek adatai alkalmasak a súlyos bűncselekményekkel fennálló – legalábbis közvetett – kapcsolat felállítására, a súlyos bűncselekmények elleni küzdelem valamilyen módon történő elősegítésére, vagy a közbiztonságot fenyegető súlyos veszély megelőzésére. E korlátozás biztosítható földrajzi kritérium révén, amennyiben az illetékes nemzeti hatóságok objektív tényezők alapján úgy ítélik meg, hogy valamely földrajzi területen vagy területeken magas kockázat áll fenn ilyen cselekmények előkészületére vagy elkövetésére.

A Privacy International ítéletben (2020, C‑623/17. sz. ügy) alapján szintén ellentétes az uniós joggal az olyan nemzeti szabályozás, amely lehetővé teszi egy állami hatóság számára, hogy az elektronikus hírközlési szolgáltatókat a nemzetbiztonság védelme érdekében a forgalmi és helymeghatározó adatoknak a biztonsági és hírszerző szolgálatok részére történő, általános és különbségtétel nélküli továbbítására kötelezze. Ez az ítélet is megerősíti (lásd az ítélet 78. pontját, kiemelés tőlem), hogy 

[...] az összes megőrzött adathoz való, általános hozzáférés a kitűzött céllal fennálló – akár közvetett – kapcsolat hiányában nem tekinthető olyannak, mint amely a feltétlenül szükséges mértékre korlátozódik, a forgalmi és helymeghatározó adatokhoz való hozzáférést szabályozó nemzeti szabályozásban objektív kritériumok alapján kell meghatározni azokat a körülményeket és feltételeket, amelyek mellett a hatáskörrel rendelkező nemzeti hatóságok számára biztosítani kell a szóban forgó adatokhoz való hozzáférést.

A 2020-ban hozott La Quadrature du Net ítélet (C‑511/18. és C‑512/18. sz. egyesített ügyek) tovább árnyalta a képet. Az EUB fenntartotta az általános adatmegőrzés tilalmát a bűnüldözés vonatkozásában, ugyanakkor több kivételt tett lehetővé. Az általános és különbségtétel nélküli forgalmi és helymeghatározási adatmegőrzés kizárólag valódi és fennálló vagy előrelátható, súlyos nemzetbiztonsági fenyegetettség esetén megengedett, szigorú feltételek mellett. A súlyos bűncselekmények elleni fellépés célját csak célzott (targeted) adatmegőrzés szolgálhatja, amelyet objektív és megkülönböztetésmentes szempontok alapján – személyi kör, földrajzi terület vagy időszak szerint – kell meghatározni. Emellett az IP-címek és a felhasználók polgári személyazonosító adatainak általános megőrzése korlátozott körben lehetséges.

A SpaceNet/Telekom Deutschland ügyben (2022, C-793/19. és C-794/19. sz. egyesített ügyek) az EUB megerősítette ezt az irányvonalat: a német szabályozás – amely ugyan szűkebb adatkörre és rövidebb (10, illetve 4 hetes) megőrzési időre vonatkozott – szintén nem felelt meg az uniós követelményeknek, mivel az általános jellegű megőrzési kötelezettség önmagában súlyos beavatkozást jelent, függetlenül a megőrzés időtartamától. Ebben az ügyben a Bíróság meghatározta azon szempontokat, amelyeknek megfelelő nemzeti jogszabályi intézkedések az általános és különbségtétel nélküli megőrzés, illetve a célzott megőrzés tekintetében nem ellentétesek az uniós joggal. Ezek olyan intézkedések, amelyek 

• lehetővé teszik, hogy a nemzetbiztonság védelme céljából az elektronikus hírközlési szolgáltatások nyújtóit a forgalmi és helymeghatározó adatok általános és különbségtétel nélküli megőrzésére kötelezzék olyan helyzetekben, amikor az érintett tagállamnak olyan súlyos nemzetbiztonsági fenyegetéssel kell szembenéznie, amely valós és közvetlen, illetve előre látható, és az erre kötelező határozat bíróság, illetve kötelező erejű határozatot hozó, független közigazgatási szerv általi, tényleges ellenőrzésnek vethető alá, amely annak vizsgálatára irányul, hogy e helyzetek valamelyike fennáll‑e, valamint hogy tiszteletben tartják‑e az előírandó feltételeket és garanciákat, az említett kötelezés időtartamát pedig a feltétlenül szükséges mértékre kell korlátozni, ez azonban a fenyegetettség tartós fennállása esetén meghosszabbítható;
• a nemzetbiztonság védelme, a súlyos bűncselekmények elleni küzdelem és a közbiztonságot érintő súlyos fenyegetettség megelőzése céljából a forgalmi és helymeghatározó adatok célzott megőrzését írják elő, amelyet objektív és hátrányos megkülönböztetéstől mentes tényezők alapján, az érintett személyek kategóriái szerint vagy földrajzi kritérium segítségével, a feltétlenül szükséges mértékű, de meghosszabbítható időtartamra korlátozva határoznak meg;
• a nemzetbiztonság védelme, a súlyos bűncselekmények elleni küzdelem és a közbiztonságot érintő súlyos fenyegetettség megelőzése céljából a csatlakozási forráshoz hozzárendelt IP‑címek általános és különbségtétel nélküli, a feltétlenül szükséges mértékre korlátozott időtartamú megőrzését írják elő;
• a nemzetbiztonság védelme, a bűnözés elleni küzdelem és a közbiztonság védelme céljából az elektronikus hírközlési eszközök felhasználóinak személyazonosságára vonatkozó adatok általános és különbségtétel nélküli megőrzését írják elő, és
• lehetővé teszik, hogy a súlyos bűncselekmények elleni küzdelem és a fortiori a nemzetbiztonság védelme érdekében az elektronikus hírközlési szolgáltatások nyújtóit a hatáskörrel rendelkező hatóság hatékony bírósági felülvizsgálat alá tartozó határozatával a rendelkezésükre álló forgalmi és helymeghatározó adatok korlátozott ideig történő, gyors megőrzésére kötelezzék,

amennyiben ezek az intézkedések egyértelmű és pontos szabályok révén biztosítják, hogy a szóban forgó adatok megőrzésére az erre vonatkozó anyagi jogi és eljárásjogi feltételek betartása mellett kerül sor, és hogy az érintett személyeket a visszaélések veszélyével szemben tényleges biztosítékok illetik meg. 

A VD/SR ügyben (2022, C‑339/20. és C‑397/20. sz. egyesített ügyekben) ismét Franciaország vonatkozásában állapította meg az EUB, hogy ellentétesek az uniós joggal az olyan jogszabályi intézkedések, amelyek megelőző jelleggel, a piaci visszaélésekkel – köztük a bennfentes kereskedelemmel – kapcsolatos jogsértések elleni küzdelem céljából a forgalmi adatoknak a rögzítés napjától számított egy évig történő általános és különbségtétel nélküli megőrzését írják elő. 

A magyar szabályozás központi eleme az Eht. 159/A. §-a, amelyet a 2006/24/EK irányelvet átültető módosítással 2008-ban iktattak be az Eht-ba. A magyar szabályozás kapcsán már röviddel az átültetés után is megfogalmazásra kerültek kritikák, különösen az adatmegőrzés céljának az Eht-ban történő nem megfelelő rögzítésére tekintettel (lásd Dr. Szabolcsi László: A bűnügyi célú adatmegőrzési kötelezettség közösségi jogi összefüggései, EJ, 2012/3., 1-8. o., 2.1. pont). Az adatmegőrzési és -hozzáférési szabályozás felülvizsgálatának az AB határozata mellett, az EUB esetjogán kell nyugodnia, amely kijelöli a jogalkotás számára a mozgásteret.

3. A szükséges törvénymódosítások iránya

Az Eht. 157. és 159/A. §-ainak módosítása kapcsán a várható változásoknak az AB határozatában feltárt alkotmányos hiányosságok orvoslását kell célozniuk, összhangban az EUB vonatkozó ítélkezési gyakorlatával is. Az AB határozatból levezethető fő reformirányok a következők:

• A hozzáférési garanciák megerősítése: az adatkezelési céloknak (nemzetbiztonság védelme, a súlyos bűncselekmények elleni küzdelem és a közbiztonságot érintő súlyos fenyegetettség megelőzése) megfelelő differenciáltsággal az adatokhoz való hozzáférést objektív kritériumokhoz kell kötni.
• Az adatkérésre jogosult szervek körének pontosítása is indokolt: az Eht. 157. § (2) és (10) bekezdésében foglalt, a gyakorlatban igen széles adatkérő hatósági kör – ideértve közigazgatási szerveket, az MNB-t, a GVH-t és a KSH-t – felülvizsgálatra szorul az arányosság szempontjából. (Lásd erre vonatkozóan Esztervári Adrienn "Az elektronikus hírközlési adatvédelmi irányelv hazai átültetésének sajátosságai és dilemmái" c. tanulmányát, Infokommunikáció és jog, 2024/2. (83.), 5.1 pont).
• Az átláthatóság és az érintetti jogok terén is előrelépés szükséges: az érintetteket – legalább utólagosan – tájékoztatni kell személyes adataik kezeléséről és az azokhoz való hatósági hozzáférésről.

Az AB határozat az adatmegőrzés arányossága kapcsán megengedő álláspontot foglalt el, amelyhez képest az EUB gyakorlat alapján szigorúbb megközelítés is levezethető lehet. A törvényalkotási programból kiolvasható információk - amelyek szerint az AB határozatnak való megfelelés a jogalkotás elsődleges célja - alapján nem látszik egyelőre, hogy az adatmegőrzés tekintetében is nagyobb differenciálásának bevezetésére kerülne sor, amely megkülönböztetést tenne a megőrzés célja (nemzetbiztonság kontra bűnüldözés), az adattípusok érzékenysége és az érintetti kör között – a jelenlegi általános és különbségtétel nélküli megőrzési kötelezettség helyett.

4. Összegzés: Mire kell felkészülniük az érintett szerveknek és szolgáltatóknak?

A 15/2022. (VII.14.) AB határozat alapján várható Eht. módosítással egy hosszú ideje esedékes jogszabálymódosításra kerülhet sor. A magyar jogalkotó feladata kettős: egyrészt meg kell felelnie az AB által megfogalmazott alkotmányos elvárásoknak, másrészt figyelembe kell vennie az EUB egyre részletesebb ítélkezési gyakorlatát a bűnüldözési célú adatmegőrzés terén. A szolgáltatóknak és az adatkérésre jogosult szerveknek is résen kell lenniük, mert amint az Eht. módosítás elfogadásra kerül, meg kell kezdeniük majd az átállást belső eljárásaik, szabályzataik és informatikai rendszereik tekintetében.

Az Eht. módosítás hatálybalépésével az elektronikus hírközlési szolgáltatókra és a hozzáférésre jogosult szervekre egyaránt feladatok hárulnak, ugyanakkor az AB határozatból kiolvasható elvárások alapján a hozzáférésre jogosult szervek oldalán várható nagyobb felkészülési feladat az elfogadásra kerülő módosítás kapcsán. Ha a megőrzési kötelezettség terjedelme tekintetében is sor kerülne érdemi változásokra, nagyobb differenciálásra, akkor az vélhetően a szolgáltatókra is további terheket róna.