Információtechnológiai jog és kiberbiztonság: Átfogó Útmutató Hallgatóknak

Lényeg: Az információtechnológiai (IT) jog és a kiberbiztonság kulcsfontosságú területek, amelyek a digitális világot szabályozzák. Ez az útmutató tisztázza az internetszolgáltatók (ISP) felelősségét, védi a személyes adatokat a GDPR szerint, meghatározza a kiberterületen működő entitások kötelezettségeit, magyarázatot ad az elektronikus bizonyítékok biztosítására, és elemzi a számítógépes bűncselekmények típusait, beleértve a szubjektív és objektív felelősség közötti különbségeket.

Üdvözöljük abban a világban, ahol az információtechnológiai jog és a kiberbiztonság összefonódik a mindennapi élettel! A vizsgákra készülő vagy a digitális jogot mélyen megérteni kívánó hallgatók számára ez az átfogó cikk kulcsfontosságú forrás. Végigvezetjük Önt e dinamikus terület alapvető pillérein, a szolgáltatók felelősségének korlátozásától a személyes adatok védelmén át a kiberbűnözés elleni küzdelemig.

Az információs társadalommal összefüggő szolgáltatások szolgáltatóinak felelőssége: Egyszerű adattovábbítás, gyorsítótárazás és tárhelyszolgáltatás

Az információs társadalommal összefüggő szolgáltatások (ITSZ) szolgáltatói különböző felelősségi rendszerekben működnek, amelyeket szolgáltatásaik típusa határoz meg. Ezek az elvek abból a szükségességből fakadnak, hogy az ITSZ-ek ne legyenek túlterhelve felelősséggel, ugyanakkor az állam érvényesíthesse a törvényeket. A releváns jogszabályok közé tartozik az elektronikus kereskedelemről szóló 2000/31/EK irányelv, a Digitális Szolgáltatásokról szóló rendelet (DSA) és a 480/2004. sz. törvény az információs társadalom egyes szolgáltatásairól.

Egyszerű Adattovábbítási Mód (Mere Conduit)

Ez a mód a csatlakozási szolgáltatókra vonatkozik (pl. ISP-k, nyilvános vagy vállalati Wi-Fi). A szolgáltató nem felelős, ha a következő feltételeknek megfelel:

• nem ő az átvitel kezdeményezője,
• nem ő választja ki az átvitt információ címzettjét,
• nem ő választja ki és nem módosítja az átvitt információ tartalmát (csak továbbítja az adatokat).

Az egyes tagállamok elrendelhetik konkrét kommunikáció megszakítását (pl. engedély nélküli szerencsejáték Csehországban), de nem követelhetik meg a tartalom áttekintését és ezzel a tevékenység ellenőrzését.

Gyorsítótárazás és Tükrözés Módja (Caching, Mirroring)

Ide tartoznak az olyan szolgáltatások, mint a CDN vagy a globálisan elérhető felhők. A szolgáltató nem felelős, ha:

• nem módosította az információt,
• megfelel az információhoz való hozzáférés feltételeinek,
• betartja az információ frissítésére vonatkozó szabályokat,
• nem lépte túl az iparágban általánosan elfogadott és használt technológia engedélyezett használatát a felhasználási adatok gyűjtése céljából,
• azonnal intézkedik az általa tárolt információ eltávolítására, amint tudomást szerez annak fő szerverről való eltávolításáról.

Információtárolási Mód (Hosting)

A tárhelyszolgáltatás a felhasználók által generált adatokkal dolgozó szolgáltatásokra vonatkozik (pl. Facebook, Twitter, vitafórumok, nyilvános felhő). A szolgáltató felelős, ha tudomást szerez a jogellenes cselekedetről, és ennek ellenére nem cselekszik – ez az értesítés-eltávolítás elve. Azonnal cselekednie kell, amint tudomást szerez a problémás állapotról. Kivételek léteznek a felelősség alól, például ha a szolgáltatás címzettje a szolgáltató megbízásából jár el.

Az Információs Társadalommal Összefüggő Szolgáltatások Szolgáltatóinak Aktív Kötelezettségei: Monitoring és Szűrés

A Digitális Szolgáltatásokról szóló rendelet (DSA) 8. cikke egyértelműen kimondja, hogy a közvetítő szolgáltatások szolgáltatóira nem róható általános kötelezettség az információk monitorozására, sem a jogellenes tevékenység aktív felkutatására. A 7. cikk lehetővé teszi a jogellenes tartalom elleni önkéntes beavatkozásokat. Ugyanakkor a 9. cikk lehetőséget ad az illetékes hatóságoknak, hogy konkrét beavatkozásokat rendeljenek el jogellenes tartalom ellen, de ehhez egyértelműen meg kell határozniuk a tartalom típusát és a jogalapot. Az általános felügyelet tilos, de a jogellenes tartalom megelőzése értesítés alapján kötelező.

Személyes Adatok és GDPR: Fogalom, Kezelés és Különleges Kategóriák

Személyes adatok minden olyan információ, amely azonosított vagy azonosítható természetes személyre vonatkozik. Ez lehet név, azonosító szám, helymeghatározási adat vagy hálózati azonosító. A személyes adatok kezelését a 2016/679 rendelet (GDPR) és a 110/2019. sz. törvény a személyes adatok kezeléséről szabályozza.

Személyes Adatok Kezelésének Jogalapjai (GDPR, 6. cikk)

A személyes adatok kezeléséhez legalább az alábbi jogalapok egyikének teljesülnie kell:

• Az érintett hozzájárulása: Az érintett kifejezett hozzájárulását adta.
• Szerződés teljesítése: Az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél.
• Jogi kötelezettség: Az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges.
• Létfontosságú érdekek: Az adatkezelés az érintett vagy más természetes személy létfontosságú érdekeinek védelméhez szükséges.
• Közérdek/közhatalom gyakorlása: Az adatkezelés közérdekű feladat végrehajtásához vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásához szükséges.
• Az adatkezelő jogos érdeke: Az adatkezelés az adatkezelő jogos érdekeinek érvényesítéséhez szükséges (kivéve, ha az érintett érdekei, alapvető jogai és szabadságai elsőbbséget élveznek).

Az adatkezelőnek meg kell határoznia az adatkezelés célját is, amelynek legitimnek kell lennie, és az adatok csak erre a célra használhatók fel. Érvényes az adatminimalizálás elve, ami azt jelenti, hogy az adatoknak megfelelőnek, relevánsnak és a szükségesre korlátozottnak kell lenniük.

Személyes Adatok Különleges Kategóriái

Ezek érzékeny adatok, mint például a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre, genetikai és biometrikus adatokra, egészségi állapotra vagy szexuális életre vonatkozó adatok. Kezelésük általában tilos, kivéve, ha a GDPR 9. cikkében meghatározott kivételek valamelyike alkalmazandó, például:

• az érintett kifejezett hozzájárulása,
• az adatkezelés a munkajog vagy a szociális biztonság területén fennálló kötelezettségek teljesítéséhez szükséges,
• az érintett létfontosságú érdekeinek védelme,
• az adatkezelés az érintett által nyilvánosságra hozott adatokra vonatkozik,
• az adatkezelés jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez szükséges.

Adatkezelő és Adatfeldolgozó: Szerepek és Kötelezettségek

Különböző jogi státusszal rendelkezik az adatkezelő és az adatfeldolgozó, ahogy azt a GDPR IV. fejezete meghatározza.

Az Adatkezelő Jogi Helyzete

Az adatkezelő az a személy, aki meghatározza a személyes adatok kezelésének célját és eszközeit. Meg kell határoznia, milyen adatokat gyűjt, milyen alapon, miért és hogyan. Felelős az adatkezelési elvek betartásáért, az adatok biztonságáért és az adatvédelmi incidensek bejelentéséért.

Az adatkezelő a személyes adatok megszerzésekor köteles az érintettnek (a GDPR 13. cikke szerint) számos információt nyújtani, többek között:

• az adatkezelő (és adott esetben az adatvédelmi tisztviselő) kilétét és elérhetőségeit,
• az adatkezelés céljait és jogalapját,
• a személyes adatok címzettjeinek kategóriáit,
• a személyes adatok tárolásának időtartamát,
• az érintett jogainak létezését (pl. hozzáférés joga, hozzájárulás visszavonása, panasz benyújtása).

Az Adatfeldolgozó Jogi Helyzete

Az adatfeldolgozó az a szervezet, amelyet az adatkezelő bíz meg személyes adatok kezelésével. Az adatfeldolgozó kizárólag az adatkezelő utasításai alapján jár el, és írásbeli szerződést kell kötnie az adatkezelővel, amely meghatározza az adatkezelés tárgyát, időtartamát és célját. Kötelezettségei közé tartozik a titoktartás, az adatok biztonságának biztosítása, valamint azok törlése vagy visszaszolgáltatása az adatkezelőnek a szolgáltatások befejezése után.

Az Érintettek Jogai: Saját Adatok Feletti Ellenőrzés

Az érintett mindig egy ember, és a GDPR (III. fejezet) széles körű jogokat biztosít számára, hogy megőrizze az ellenőrzést saját személyes adatai felett:

• Tájékoztatáshoz való jog: Tájékoztatást kapni a személyes adatok gyűjtéséről (13., 14. cikk).
• Hozzáférési jog: Megerősítést kapni arról, hogy személyes adatait kezelik-e, és hozzáférni azokhoz (15. cikk).
• Helyesbítéshez való jog: A pontatlan személyes adatok helyesbítése és a hiányos adatok kiegészítése (16. cikk).
• Törléshez való jog (az elfeledtetéshez való jog): A személyes adatok törlése (17. cikk), ha már nem szükségesek, az érintett visszavonja hozzájárulását, tiltakozik, vagy az adatokat jogellenesen kezelik. Kivételek léteznek (pl. véleménynyilvánítás szabadságának gyakorlása, jogi kötelezettség teljesítése).
• Adatkezelés korlátozásához való jog: Az adatkezelés korlátozása (18. cikk), pl. ha az érintett vitatja az adatok pontosságát, vagy az adatkezelés jogellenes, de az érintett elutasítja a törlést.
• Adathordozhatósághoz való jog: Az adatok strukturált, széles körben használt és géppel olvasható formátumban való megszerzése és más adatkezelőhöz való továbbítása (20. cikk).
• Tiltakozáshoz való jog: Tiltakozni az adatkezelés, beleértve a profilalkotást is, ellen (21. cikk). Marketing célokra az érintettnek mindig joga van tiltakozni.
• Az automatizált döntéshozatal elleni jog: Nem lehet kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés tárgya (22. cikk), kivéve, ha az a szerződéshez szükséges, jogszabály engedélyezi, vagy kifejezett hozzájáruláson alapul.

A Kiberbiztonsági Törvény Szerinti Kötelezett Entitások

A 181/2014. sz. törvény a kiberbiztonságról (ZOKB), az európai NIS irányelvvel és a készülő NIS2-vel együtt meghatározza azokat az entitásokat, amelyeknek kiberbiztonsági kötelezettségeik vannak. Ezek olyan entitások, amelyek szolgáltatásai kritikusak az állam és a társadalom működéséhez.

A kötelezett entitások fő kategóriái közé tartoznak:

• Kritikus információs infrastruktúra: Olyan rendszerek, amelyektől az információs infrastruktúra függ.
• Jelentős információs rendszerek: Közhatalmi szerv által kezelt rendszerek, amelyek kiesése jelentős problémákat okozna.
• Jelentős hálózatok: Külföldi kapcsolattal rendelkező vagy kritikus infrastruktúrát összekötő hálózatok.
• Alapvető szolgáltatások: Internetfüggő szolgáltatások nyújtása, amelyek kiesése jelentős társadalmi vagy gazdasági hatással járna (pl. energetika, közlekedés, banki szolgáltatások, egészségügy).
• Digitális szolgáltatások: Digitális piacterek, felhőszolgáltatások, keresőmotorok.

Új ZOKB és NIS2

A készülő változások (beleértve a NIS2 irányelv implementációját is) kibővítik a kötelezett entitások körét és szigorítják kötelezettségeiket. Az entitások magasabb és alacsonyabb kötelezettségi rendszerekre oszlanak, bejelentési kötelezettséggel járnak, és magasabb bírságokkal szembesülnek. A felső vezetésnek kötelező lesz aktívan képeznie magát a kiberbiztonság területén.

Biztonsági Intézkedések és Incidensreakciók a Kiberterületen

A Nemzeti Kiber- és Információbiztonsági Hivatal (NÚKIB) számos megelőző és reagáló eszközzel rendelkezik a 181/2014. sz. törvény a kiberbiztonságról értelmében, hogy biztosítsa a kiberfenyegetések elleni védelmet.

• Biztonsági intézkedések: Szabványok és belső normák bevezetése (pl. alkalmazottak képzése, beszállítói kapcsolatok kezelése). A Hivatal szankciót szabhat ki e kötelezettségek be nem tartása esetén.
• Figyelmeztetés: Biztonsági kockázatra hívja fel a figyelmet. Nem alapoz meg közvetlen kötelezettséget, de a figyelmeztetés figyelmen kívül hagyása felelősséget vonhat maga után az okozott kárért a megelőzési kötelezettség megszegése címén.
• Védelmi intézkedés: Biztonsági incidens jövőre vonatkozó értékelése alapján adják ki.
• Reagáló intézkedés: Az incidensre adott azonnali reakció konkrét címzettel, azonnal végre kell hajtani. Az entitásoknak kötelességük bejelenteni annak végrehajtását.
• Helyreállító intézkedés: Közigazgatási jogi eszköz, amelyet az entitás ellenőrzése során feltárt hiányosságok esetén írnak elő (pl. adatok titkosításának elrendelése, szervertermek zárása).

Eljárási Eszközök az Elektronikus Bizonyítékok Biztosítására

Az elektronikus bizonyítékok biztosítása kulcsfontosságú a büntetőeljárásban. Nincs specifikus szabályozás az elektronikus bizonyítékokkal való munkára, a büntetőeljárási törvénykönyv (1961. évi 141. sz. törvény) standard eszközeit alkalmazzák. A bizonyíték bármely információ, amely cáfolja vagy megerősíti a tényállást. A bizonyítás alapelvei az ártatlanság vélelme, a szóbeliség, a nyilvánosság, a közvetlenség, az anyagi igazság, a nyomozási elv és a bizonyítékok szabad mérlegelése.

Az elektronikus bizonyítékok három alapvető módon szerezhetők be:

1. Eszközök vagy adathordozók biztosítása: Kötelezettség a büntetőeljárás szempontjából fontos dolog kiadására. Házkutatás vagy egyéb helyiségek átkutatása szakértő és független személy jelenlétében is igénybe vehető.
2. Közvetlen hozzáférés az adatokhoz: Az interneten szabadon elérhető információk bizonyítékként felhasználhatók. A védett adatokhoz hozzáférési adatokkal (önkéntesen kiadott) vagy bírói engedéllyel lehet hozzáférni.
3. Adatok beszerzése szolgáltatótól (ISP): A távközlési szolgáltatók és az ISP-k kötelesek eleget tenni a büntetőeljárásban eljáró szervek megkeresésének.

Az eljárási eszközök közé tartoznak:

• Általános együttműködés (§8 BÜNT. ELJ.): Az állami szervek, természetes és jogi személyek kötelesek eleget tenni a nem titkosított információkra vonatkozó kérésnek.
• Adatok megőrzése és hozzáférés blokkolása (§7b BÜNT. ELJ.): Az adatok megőrzése változatlan formában, a hozzáférés blokkolása a felhasználó számára (max. 90 nap).
• Távközlési forgalom lehallgatása és rögzítése (§88 BÜNT. ELJ.): A kommunikáció tartalmának biztosítására vonatkozó parancs bizonyos bűncselekmények esetén, bíróság hagyja jóvá.
• Működési és helymeghatározási adatok biztosítása (§88a BÜNT. ELJ.): A kommunikáció metaadatainak biztosítására vonatkozó parancs.
• Adatmegőrzés (§97 EK. T.): A szolgáltató köteles a működési és helymeghatározási adatokat 6 hónapig megőrizni.
• Személyek és tárgyak megfigyelése (§158d BÜNT. ELJ.): Nyomozati eszköz operatív információkhoz, nem elsősorban bírósági bizonyítékokhoz.
• Házkutatás és egyéb helyiségek átkutatása: Indokolt bírói kérelem, a tulajdonos és egy független személy jelenléte, jegyzőkönyv felvétele szükséges.

A Számítógépes Bűncselekmények Típusai és Tényállási Elemei

A számítógépes bűncselekményeket a Büntető Törvénykönyv (2009. évi 40. sz. törvény) és a Kiberbűnözésről szóló Egyezmény (2013. évi 104. sz. közlemény) határozza meg. Több kategóriába sorolhatók (a BTK és az ENSZ szerint is):

• Cyber dependent: Olyan bűncselekmények, amelyek kizárólag számítógép segítségével léteznek (pl. jogosulatlan hozzáférés).
• Cyber enabled: Olyan bűncselekmények, amelyek offline is elkövethetők, de számítógép megkönnyíti őket (pl. zsarolás).
• Cyber supported: A számítógépet más illegális tevékenység eszközeként használják.

A fő tényállási elemek közé tartoznak:

• Továbbított üzenetek titkának megsértése (§182 BTK)
• Jogosulatlan hozzáférés számítógépes rendszerhez és adathordozóhoz (§230 BTK)
• Adatok megrongálása számítógépes rendszerben és adathordozón (§232 BTK)
• Fizetési eszköz jogosulatlan megszerzése, hamisítása és meghamisítása (§234 BTK)

A Bűncselekmény Tényállási Elemei

Minden bűncselekménynek négy alapvető eleme van, amelyeket bizonyítani kell:

1. Elkövető (Subjekt): Az elkövető (életkor, beszámíthatóság, különleges tulajdonságok).
2. Tárgy (Objekt): A jog által védett társadalmi kapcsolat, érdek vagy érték (pl. magánélethez való jog, tulajdonjog).
3. Objektív oldal (Objektivní stránka): A cselekmény (tevés vagy mulasztás), a jogellenes cselekedet, a káros következmény és az okozati összefüggés (a cselekmény és a következmény közötti ok-okozati kapcsolat).
4. Szubjektív oldal (Subjektivní stránka): Az elkövető mentális viszonya a cselekményhez, a vétkesség (szándékosság vagy gondatlanság).

Szubjektív és Objektív Felelősség az IT Jogban

A jogi felelősségnek reparációs, szatisfakciós, represszív és preventív funkciói vannak. Két fő felelősségi típust különböztetünk meg:

Szubjektív Felelősség

Jogi kötelezettség megszegésének bizonyítása esetén keletkezik, amikor az elkövető vétkességét is bizonyítani kell. A bűncselekmény mind a négy tényállási elemét bizonyítani kell: elkövető, tárgy, objektív és szubjektív oldal. Az exkulpáció a felmentés, azaz annak bizonyítása, hogy az alany nem okozta a kárt.

Vétkesség (Szubjektív Oldal)

• Szándékosság:
• Egyenes szándék: Az elkövető tudja, hogy jogellenes cselekedetet követ el, és szándékában áll a következményt okozni (pl. tervezett gyilkosság).
• Eshetőleges szándék: Az elkövető tudja, hogy jogellenes cselekedetet követ el, és bár nem áll szándékában a káros következményt okozni, tudja, hogy az bekövetkezhet, és belenyugszik ebbe.
• Gondatlanság:
• Tudatos gondatlanság: Az elkövető tudja, hogy valami bekövetkezhet, de megfelelő okok nélkül bízik abban, hogy semmi sem fog történni.
• Tudatlan gondatlanság: Az elkövető nem tudja, hogy jogszabályt sért, és jogellenes cselekedetet követ el, holott tudnia kellett volna és tudhatott volna.
• Súlyos gondatlanság: Az elkövető magatartása nyilvánvaló gondatlanságra utal (pl. ismételt, jelentős sebességtúllépés).

Objektív Felelősség

Ez a felelősség a káros következményért vagy állapotért, nem pedig a jogellenes cselekedetért. A vétkességet nem kell bizonyítani. Például egy étteremben elhagyott kabát ellopásáért való felelősség. A liberáció az objektív felelősség alóli mentesülés, például vis maior esetén. Ha a liberáció nem alkalmazható, akkor abszolút objektív felelősségről van szó. A büntetőjogi felelősség esetén az objektív felelősség nem lehetséges; mindig a vétkességet kell bizonyítani.

Gyakran Ismételt Kérdések az IT Jogról és Kiberbiztonságról (GYIK)

Mi a GDPR, és hogyan befolyásolja a személyes adatok védelmét?

A GDPR (General Data Protection Regulation) az Európai Unió rendelete, amely jelentősen megerősíti a természetes személyek személyes adatainak védelmét. Meghatározza, mik a személyes adatok, megállapítja azok kezelésének jogalapjait, és széles körű jogokat biztosít az érintetteknek (pl. törléshez való jog, hozzáférés az adatokhoz). Az adatkezelők és adatfeldolgozók számára szigorú kötelezettségeket vezet be, beleértve az adatok biztonságának biztosítását és az eljárások dokumentálását.

Mi a különbség az adatkezelő és az adatfeldolgozó között?

Az adatkezelő az a szervezet, amely meghatározza a személyes adatok kezelésének célját és eszközeit (pl. egy ügyféladatokat gyűjtő cég). Az adatfeldolgozó az a szervezet, amely az adatkezelő nevében és utasításai szerint kezeli a személyes adatokat (pl. külső könyvelő cég, felhőszolgáltató). Köztük írásbeli szerződést kell kötni, amely meghatározza az adatkezelés terjedelmét és feltételeit.

Miben különbözik a szubjektív és az objektív felelősség a jogban?

A szubjektív felelősség megköveteli az elkövető vétkességének (szándékosság vagy gondatlanság) bizonyítását a káros következményért. Tipikus példa a büntetőjogi felelősség. Az objektív felelősség ezzel szemben a káros következményért keletkezik anélkül, hogy a vétkességet bizonyítani kellene; gyakran egy állapotért vagy eseményért való felelősségre vonatkozik (pl. veszélyes dolog által okozott kárért való felelősség). Csak liberáció (pl. vis maior) esetén lehet mentesülni alóla.

Mik a kritikus információs infrastruktúra és az alapvető szolgáltatások a kiberbiztonság kontextusában?

A kritikus információs infrastruktúra olyan rendszereket foglal magában, amelyek zavartalan működésétől az állam teljes információs infrastruktúrája függ (pl. az elektromos hálózat irányítása). Az alapvető szolgáltatások olyan internetfüggő szolgáltatások, amelyek kiesése jelentős társadalmi vagy gazdasági hatással járhat (pl. banki szolgáltatások, egészségügy). Mindkét típusú entitásnak a kiberbiztonsági törvény szerint specifikus kötelezettségei vannak kiberbiztonságuk biztosítására.

Melyek a számítógépes bűncselekmények fő kategóriái?

A számítógépes bűncselekmények három fő kategóriába sorolhatók: cyber dependent (olyan cselekmények, amelyek csak számítógép használatával lehetségesek, pl. jogosulatlan hozzáférés), cyber enabled (számítógép által megkönnyített cselekmények, amelyek offline is elkövethetők, pl. online csalások) és cyber supported (a számítógépet más illegális tevékenység eszközeként használják, pl. terrorista tevékenységek online szervezése). Továbbá feloszthatók a CIA-triád (bizalmasság, integritás, rendelkezésre állás) elleni támadásokra, a számítógéppel kapcsolatos (spam), a tartalommal kapcsolatos (gyermekpornográfia) és a szerzői jogi bűncselekményekre is.