Podcast on Informatikai jog és kiberbiztonság

Přepis

Klára: Képzeljetek el egy egyetemistát, mondjuk Vikit. Az egész félévben becsületesen jegyzetelt, szépen kidolgozta őket, és feltöltötte egy nyilvános felhőtárhelyre, hogy megoszthassa a barátaival az államvizsga előtt. Szuper ötlet, nem igaz? De mi van akkor, ha ezekben a jegyzetekben szerzői joggal védett tankönyvrészletek bukkannak fel? Ki viseli ezért a felelősséget? Viki? Vagy talán az a hatalmas cég, ami a felhőt üzemelteti?

Klára: Ez pontosan az a kérdés, ami fejtörést okozhat. A StudyFi Podcastot hallgatjátok, és ma Tomáš szakértővel az információs és kommunikációs technológiák jogát vizsgáljuk meg. Szóval, Tomáš, hogy is van ez? Kinek van baja, ha Viki megoszt valamit, amit nem kellett volna?

Tomáš: Remek kérdés, Klára! És a válasz... bonyolult. A jog három alapvető szerepet különböztet meg, amibe egy internetszolgáltató kerülhet. Képzeld el, mint az információk három különböző szállítási módját.

Klára: Szállítási módok? Rendben, ez érthetően hangzik. Kíváncsi vagyok.

Tomáš: Az első az úgynevezett „mere conduit”, vagyis puszta adatátvitel. Ez az internetszolgáltatód. A szerepe olyan, mint egy postásé. Érdekli a postást, hogy egy süteményreceptet küldesz-e a levélben, vagy a világuralom terveit?

Klára: Egyáltalán nem. Csak kézbesíti a borítékot A pontból B pontba. Még fel sem bonthatja.

Tomáš: Pontosan! A szolgáltató nem felelős a tartalomért, ha maga nem kezdeményezte az átvitelt, nem ő választotta ki a címzettet, és ami a legfontosabb – semmilyen módon nem változtatta meg a küldött tartalom tartalmát. Az állam ugyan elrendelheti egy konkrét cím, például egy illegális online kaszinó blokkolását, de nem parancsolhatja meg, hogy átkutassa az összes felhasználói adatát.

Klára: Értem. Szóval a postás kint van a képből. Mi a második szerep?

Tomáš: A második a „caching”, vagyis gyorsítótárazás. Ezt teszik például a CDN szolgáltatások, amelyek felgyorsítják a weboldalak betöltését azáltal, hogy másolataikat különböző szervereken tárolják szerte a világon. Ez olyan, mint egy könyvtár, amely tíz példányt szerez be a legkeresettebb könyvből, hogy az embereknek ne kelljen várniuk rá.

Klára: Szóval ha el akarok olvasni egy cikket New Yorkból, nem kell az adatoknak átrepülniük az egész óceánt, mert egy másolat már közelebb van valahol, mondjuk Frankfurtban?

Tomáš: Pontosan így van! És egy ilyen szolgáltatás nyújtója nem felelős a tartalomért, ha nem módosítja azt, és ami a legfontosabb, ha azonnal törli az adatokat, amint azok törlődnek az eredeti szerverről. Ha a szerző kivonja a könyvet a forgalomból, a könyvtárnak is le kell állítania a példányainak kölcsönzését.

Klára: Ez logikus. És most jutunk el Viki felhőjéhez, igaz? Az lesz valószínűleg a harmadik típus.

Tomáš: Telitalálat. A harmadik és legérdekesebb a „hosting”. Ezek mindazok a szolgáltatások, ahová a felhasználók maguk töltenek fel tartalmat. Facebook, YouTube, vitafórumok, és igen, a felhőtárhelyek is. Itt a szolgáltató olyan, mint egy nyilvános hirdetőtábla tulajdonosa.

Klára: És ő nem felel a hirdetőtáblán lévő üzenetekért... amíg nem tud a problémáról?

Tomáš: Bingo! Ezt hívják „notice-and-takedown” elvnek. Amíg a szolgáltató nem tudja, hogy jogellenes tartalom van a platformján, addig rendben van. De amint valaki felhívja rá a figyelmét – legyen az a károsult szerző, vagy bárki más –, azonnal cselekednie kell. És azt azonnal.

Klára: Azonnal mit jelent? Percek alatt?

Tomáš: Pontosan ez a csapda. Az „azonnal” különbözőképpen értelmezhető. Németországban például a bíróság elfogadta, hogy ha a felelős személy szabadságon van, az nem számít. Nálunk még nem volt ilyen eset. De általánosságban azt jelenti, hogy nem hagyhatod figyelmen kívül a bejelentést egy hétig.

Klára: Szóval Vikié az elsődleges felelősség, de ha valaki jelenti, és a felhőszolgáltatás nem tesz semmit, akkor már ő is benne van a slamasztikában. Jól értem?

Tomáš: Abszolút jól. És van még egy kivétel – ha a felhőtárhely maga keltené azt a benyomást, hogy az a tartalom az övé, például aktívan népszerűsítené, akkor a felelősség sokkal közvetlenebb lenne.

Klára: Rendben, tehát működik az „értesítés és eltávolítás” elv. De nem kellene egy Facebooknak vagy YouTube-nak aktívan ellenőriznie, hogy mit töltenek fel oda az emberek? Hogy megelőzzék a problémákat?

Tomáš: Ez egy remek észrevétel, és elvezet minket egy másik nagy témához: az aktív monitoringhoz. És itt a törvény, konkrétan az európai DSA rendelet, elég egyértelmű. A szolgáltatókra általában nem róják ki azt a kötelezettséget, hogy proaktívan monitorozzák az összes tartalmat.

Klára: Miért nem? Hiszen ez rengeteg problémát megoldana az illegális tartalmakkal, nem?

Tomáš: Talán, de milyen áron? Képzeld el, hogy a postának minden leveledet el kellene olvasnia. Ez hatalmas beavatkozás lenne a magánéletbe és a szólásszabadságba. Ráadásul technikailag és pénzügyileg is tarthatatlan lenne. Ezért tilos az általános, megelőző felügyelet minden felhasználó felett.

Klára: Szóval nincs nagy szűrő, ami mindent rosszat elkapna azonnal feltöltéskor?

Tomáš: Pontosan. De vigyázat, ez nem jelenti azt, hogy nincsenek kötelezettségeik. Először is, bevezethetnek, és gyakran be is vezetnek önként szűrőket. Másodszor pedig, egy bíróság vagy más hatóság elrendelheti számukra a célzott felügyeletet. Például egy konkrét felhasználó megfigyelését, aki ismételten hamisítványokat árul.

Klára: Aha, tehát nem általános felügyelet, de célzott igen. Ez nagy különbség.

Tomáš: Hatalmas. Híres a L'Oréal kontra eBay ügy. Az eBay-nek intézkedéseket kellett bevezetnie, hogy platformján ne lehessen L'Oréal kozmetikumok hamisítványait árulni. Nem minden ellenőrzéséről volt szó, hanem megelőző mechanizmusok bevezetéséről egy konkrét, ismétlődő probléma ellen.

Klára: Szóval ez egyfajta kiegyensúlyozott felelősség. Nem vagy rendőr, de nem is dughatod homokba a fejed, ha valami rossz történik a kertedben.

Tomáš: Tökéletesen megfogalmaztad. A szolgáltatónak kötelessége cselekedni, ha figyelmeztetik, és megelőző kötelessége van, hogy ésszerű eszközökkel megelőzze a problémákat. De nem kell mindentudó Nagy Testvérnek lennie.

Klára: Lépjünk tovább. Gyakran hallunk a kiberbiztonságról és a Nemzeti Kiber- és Információbiztonsági Hivatalról, vagyis a NÚKIB-ról. Ki mindenkinek kell valójában hallgatnia erre a hivatalra?

Tomáš: Ez egy kulcsfontosságú kérdés. A kiberbiztonsági törvény meghatározza az úgynevezett „kötelezett alanyokat”. És nincs belőlük kevés. Nem csak állami intézményekről van szó. Képzeld el mindazt, amitől a társadalmunk függ.

Klára: Szóval... erőművek, kórházak, bankok, közlekedés?

Tomáš: Pontosan. Ez az úgynevezett kritikus információs infrastruktúra és az alapvető szolgáltatások nyújtói. Ezek kiesése hatalmas hatással lenne a gazdaságra és az emberek mindennapi életére. Ide tartoznak továbbá például az internetszolgáltatók és a jelentős állami rendszerek is.

Klára: És mi van a digitális szolgáltatásokkal? Például a keresőmotorok vagy a felhőszolgáltatások, amikről beszéltünk?

Tomáš: Igen, azok is. A törvény gondol a digitális szolgáltatások nyújtóira is, mint például az online piacterekre, a felhőkre és a keresőmotorokra. Ezen kategóriák mindegyikének kissé eltérő kötelezettségei vannak, az incidensek jelentésétől a konkrét biztonsági intézkedések bevezetéséig.

Klára: És hallottam, hogy változás készül. Valami NIS2 irányelv. Mit jelent ez számunkra?

Tomáš: Ez nagy dolog. Az új törvény, amely a NIS2 irányelvet implementálja, drámaian kibővíti a kötelezett alanyok számát. Sokkal több céget fog érinteni különböző ágazatokból, mint például az energetika, a közlekedés, sőt még a közösségi hálózatok is.

Klára: Szóval több cégnek kell majd jelentenie a NÚKIB-nak és biztonsági intézkedéseket bevezetnie?

Tomáš: Pontosan így van. Az új szabályozás szerint a cégeket magasabb és alacsonyabb kötelezettségi kategóriákba sorolják. És ami érdekes, a cégek felső vezetése köteles lesz aktívan képezni magát a kiberbiztonság területén. Már nem lehet majd azzal mentegetőzni, hogy „az informatikusok jobban értenek hozzá”.

Klára: Ez jó lépésnek hangzik. A kiberbiztonság mindenkit érint.

Tomáš: Határozottan. És a be nem tartásért járó büntetések sokkal magasabbak lesznek. A cél egyszerűen az, hogy növeljük az állam általános ellenálló képességét a kiberfenyegetésekkel szemben.

Klára: Ha már a fenyegetésekről beszélünk, milyen eszközökkel rendelkezik valójában a NÚKIB, hogy kezelje őket? Mit tehet, ha valami balul sül el?

Tomáš: A NÚKIB-nak több adu is van a tarsolyában. Feloszthatjuk őket megelőző és reaktív eszközökre. Az első, a megelőzés, a biztonsági intézkedések. Ezek lényegében szabványok és belső normák, amelyeket a kötelezett alanyoknak be kell vezetniük. Például a munkavállalók képzése vagy a hálózat biztonsága.

Klára: És mi van, ha megjelenik egy új fenyegetés, amiről még nem tudni?

Tomáš: Erre az esetre létezik a „figyelmeztetés”. A NÚKIB közzéteszi a honlapján, és értesíti a kötelezett alanyokat. Önmagában ez semmire sem kötelez. De... ha figyelmen kívül hagyod a figyelmeztetést, és aztán olyan kár keletkezik, amire a figyelmeztetés felhívta a figyelmet, akkor teljes mértékben te vagy érte felelős. Megsértetted a megelőző kötelezettséget.

Klára: Ez okos. Olyan, mint egy meteorológiai riasztás vihar előtt. Nem kell elpakolnod a kerti bútorokat, de ha aztán elviszi a vihar, nem csodálkozhatsz.

Tomáš: Tökéletes hasonlat! Nos, és aztán ott vannak a reaktív eszközök, amikor már zajlik az incidens. Ott van a „reaktív intézkedés” és a „védelmi intézkedés”.

Klára: Mi a különbség köztük?

Tomáš: A reaktív intézkedés egy azonnali válasz egy konkrét incidensre, egy konkrét címzett számára. Ez olyan, mint amikor a tűzoltók kiérkeznek egy tűzhöz, és elrendelik, hogy evakuáld a házat. Azonnal engedelmeskedned kell. És jelezned kell nekik, hogy megtetted.

Klára: És a védelmi?

Tomáš: A védelmi intézkedést az incidens értékelése alapján adják ki, és a jövőre nézve célozza, hogy valami hasonló ne ismétlődjön meg. Ez inkább olyan, mint amikor egy árvíz után gátat építenek. Ez egy tanulság a válságból.

Klára: Végezetül nézzük meg a legsötétebb oldalt – a bűncselekményeket. Ha valaki számítógép segítségével követ el bűncselekményt, hogyan minősítik ezt valójában? Minden egy kalap alá esik?

Tomáš: Egyáltalán nem. A büntető törvénykönyv szépen megkülönbözteti. Három kategóriába egyszerűsíthetjük. Az első azok a cselekmények, amelyek teljesen számítógépfüggőek, az úgynevezett „cyber-dependent”.

Klára: Ez mi lenne? Például egy bank feltörése?

Tomáš: Pontosan. Vagy egy vírus létrehozása és terjesztése. Számítógépes hálózat nélkül ilyen bűncselekmény egyáltalán nem létezhetne. A második kategória azok a cselekmények, amelyeket a számítógép csak „lehetővé tesz” – „cyber-enabled”.

Klára: Mint például... csalás e-mailen keresztül, adathalászat?

Tomáš: Igen. A csalás mint olyan mindig is létezett, de a számítógép új dimenziót ad neki, lehetővé teszi, hogy nagyban és anonim módon kövessék el. És a harmadik kategória azok a cselekmények, ahol a számítógép csak eszköz, „cyber-supported”. Például amikor terroristák titkosított kommunikáción keresztül terveznek támadást.

Klára: Értem. Szóval attól függ, milyen szerepet játszik a számítógép az egész cselekményben.

Tomáš: Pontosan így van. És a nemzetközi egyezmények, például a számítógépes bűnözésről szóló egyezmény, még tovább osztják aszerint, hogy mire irányul a támadás. Hogy az adatok bizalmasságára és integritására, mint például a lehallgatás vagy a fájlok törlése, vagy tartalommal kapcsolatos bűncselekményekről van szó, mint például a gyermekpornográfia.

Klára: Valóban sok minden van. Az ember észre sem veszi, milyen komplex jogi keret áll az egész digitális világ mögött.

Tomáš: És ma csak könnyedén siklottunk a felszínen. De azt hiszem, az alapvető tájékozódáshoz ez elég. A legfontosabb, hogy emlékezzünk: az internet nem jogi vákuum. A szabályok itt is érvényesek.

Klára: Pontosan. És ha már a szabályokról beszélünk, azonnal eszembe jut a büntetőjog. Ez a szabályok legkeményebb formája. Mi számít pontosan bűncselekménynek az online világban? Nem elég csak annyit mondani, hogy „hacking”.

Tomáš: Az biztos, hogy nem. A jogászok imádják a pontos definíciókat. Minden bűncselekménynek van valami, amit „tényállásnak” nevezünk. Képzeld el, mint egy tortareceptet. Meg kell lennie az összes megfelelő hozzávalónak, hogy az az adott torta legyen.

Klára: Recept a bűncselekményhez? Ez érdekesen hangzik. Mik tehát ezek a hozzávalók?

Tomáš: Négy van. A szubjektum, vagyis az elkövető. Az objektum, vagyis az, ami védett – például a magánélet vagy a vagyon. Aztán az objektív oldal, ami maga a cselekmény és annak következménye. És végül a szubjektív oldal, vagyis a szándék. E négy nélkül egyszerűen nem bűncselekmény.

Klára: Aha, szóval nem elég, hogy valami megtörténik. Bizonyítani kell, hogy az elkövető meg akarta tenni. Ez logikus.

Tomáš: Pontosan így van. És hogy konkrétak legyünk, nézzünk meg néhány példát. Klasszikus az illetéktelen hozzáférés számítógépes rendszerhez. Ez a hacking. Olyan, mintha valaki betörne a digitális otthonodba.

Klára: Jó hasonlat. Mi tovább?

Tomáš: Tébély például a továbbított üzenetek titkának megsértése – ez az, amikor elolvasod valaki más e-mailjeit vagy üzeneteit Messengeren. Vagy még rosszabb, a fizetési eszköz jogosulatlan megszerzése, amikor valakitől kicsalsz kártyaadatokat.

Klára: Várjunk, tehát ha csak kíváncsiságból elolvasom a barátom üzeneteit a feloldott telefonján, elméletileg bűncselekményt követek el?

Tomáš: Elméletileg igen! Természetesen olyan helyzetekről beszélünk, ahol valamilyen kár vagy sérelem keletkezik. De a törvény ebben egyértelmű. Senkinek sincs joga elolvasni a magánüzeneteidet a tudtod nélkül.

Klára: Ezt jó tudni. És hogyan vizsgálja a rendőrség az ilyen dolgokat? Hogyan gyűjtenek bizonyítékokat? Nem rohanhatnak be csak úgy a házamba, és foglalhatják le a laptopomat, ugye?

Tomáš: Azt biztosan nem tehetik, nem akciófilmben vagyunk. Ez egy folyamat. Ahogy egy klasszikus házkutatáshoz, úgy ehhez a „digitális” házkutatáshoz is bírói engedélyre van szükségük. Pontosan meg kell indokolniuk, miért akarják átkutatni éppen a te számítógépedet vagy telefonodat.

Klára: És mi van, ha gyorsan törlöm a bizonyítékokat? Hiszen ez csak néhány kattintás kérdése.

Tomáš: Ez gyakori tévedés. Itt jön képbe valami, amit „data retention”-nek, vagyis adatmegőrzésnek hívunk. Az internetszolgáltatóknak törvény szerint hat hónapig meg kell őrizniük az üzemi adatokat. Tehát még ha törlöd is az e-mailt a postaládádból, az elküldéséről szóló nyom, beleértve azt is, honnan és hová ment, egyszerűen ott marad.

Klára: Hűha. Ez kicsit ijesztő, de a nyomozás szempontjából valószínűleg van értelme. Tehát összefoglalva: a digitális nyomok valósak, szinte törölhetetlenek, és a rendőrségnek világosan meghatározott eljárásai vannak azok biztosítására.

Tomáš: Pontosan így van. Nincs Vadnyugat. És éppen ezekről a digitális nyomokról, és arról, hogyan működnek bizonyítékként a bíróságon, többet is mesélhetünk legközelebb.

Klára: Sziasztok, és üdv újra a StudyFi Podcastban! Tomáš, múltkor említetted, hogy a digitális nyomok nem a Vadnyugat. Szóval vágjunk is bele. Hogyan válik egy ilyen láthatatlan nyomból meggyőző bizonyíték a bíróságon?

Tomáš: Szia Klára. Szívesen kifejtem. És most talán meglepem a hallgatókat... A digitális bizonyítékokra ugyanis nincs külön törvény.

Klára: Várjunk, mi van? Szóval a rendőrség olyan szabályokat használ, amelyek akkor keletkeztek, amikor a legnagyobb technológia a távíró volt?

Tomáš: Nos, nem egészen. A büntetőjog standard eszközeit használják. De van egy nagy csapda – a bíró gyakran nem érti a forráskódot vagy a metaadatokat. Olyan, mintha egy kémiai képletet adnál neki, ahelyett, hogy világosan leírnád, mit csinál az anyag.

Klára: Értem, tehát szükség van egy „fordítóra”. De hogyan jut hozzá a rendőrség egyáltalán ezekhez az adatokhoz? Nem vehetik el csak úgy a laptopomat.

Tomáš: De elvehetik. És ez az első és leggyakoribb mód: az eszköz biztosítása. Legyen az számítógép, telefon, vagy csak egy pendrive. Ha az ügy szempontjából fontos, át kell adnod.

Klára: És mi van, ha megtagadom?

Tomáš: Akkor elvehetik tőled. Jellemzően ez történik például házkutatás során. Mindig jelen kell lennie egy független személynek, és részletes jegyzőkönyvet kell felvenni róla. Nincsenek titkos akciók.

Klára: Rendben, a hardver lefoglalása logikus. De mi van azokkal az adatokkal, amik fizikailag nincsenek nálam? Például e-mailek vagy fájlok a felhőben?

Tomáš: Kiváló kérdés. Itt kettéválik a dolog. Ha az információk szabadon hozzáférhetőek, például egy nyilvános Facebook-profilon, a rendőrség egyszerűen biztosíthatja őket. Természetesen erről is jegyzőkönyvet kell felvenniük.

Klára: És ha a profil privát, vagy az e-mailek jelszóval védettek?

Tomáš: Akkor ez teljesen más helyzet. A törvény az ilyen adatokra levéltitokként vagy zárt naplóként tekint. A beleegyezésed nélkül, azaz például a jelszó nélkül, amit önként adsz nekik, nem férhetnek hozzájuk.

Klára: Szóval jelszó nélkül pechjük van?

Tomáš: Nem egészen. Kérhetnek engedélyt a bírótól. És itt van egy érdekesség. Ha sürgős a dolog, engedély nélkül is hozzáférhetnek az adatokhoz, de utólag kérniük kell azt. Ha 48 órán belül nem kapják meg, az összes megszerzett adatot meg kell semmisíteniük.

Klára: Hűha. És mi a harmadik út? Mi van, ha közvetlenül a Google-től vagy a Seznamtól van szükségük adatokra?

Tomáš: Pontosan így van, ez az adatok megszerzése a szolgáltatótól. A büntetőeljárásban eljáró szervek egyszerűen bekérik őket. A szolgáltatóknak törvény szerint kötelességük eleget tenni, és például fiókadatokat vagy üzemi adatokat, úgynevezett logokat szolgáltatni.

Klára: És mi van, ha az elkövető sejti, hogy a nyomában vannak, és elkezd mindent törölni?

Tomáš: Erre is gondol a törvény. Létezik valami, amit „freezing”-nek, vagyis befagyasztásnak hívnak. A rendőrség elrendelheti a szolgáltatónak, hogy őrizze meg a konkrét adatokat változatlan formában, mielőtt hivatalos engedéllyel eljönnének értük.

Klára: Takže je to takové 'moment, nic nemaž, už pro to jdeme!'

Tomáš: Pontosan így működik. Ez egy erős eszköz, hogy a bizonyítékok ne tűnjenek el, mielőtt a nyomozók hozzáférnének.

Klára: Tehát összefoglalva: a rendőrség lefoglalhatja az eszközöket, bekérheti az adatokat a szolgáltatóktól, vagy bírói engedéllyel hozzáférhet privát fiókokhoz is. Sőt, távolról is „befagyaszthatják” az adatokat.

Tomáš: Pontosan. Az adatok megszerzése azonban csak az első lépés. Legközelebb megnézzük, hogyan ellenőrzik, hogy a bizonyítékokkal senki sem manipulált, és hogy azok valóban áthatolhatatlanok a bíróságon.

Klára: Ez lenyűgöző, ahogy a digitális bizonyítékokat biztosítják. De ha már ennyi adat gyűjtéséről beszélünk, azonnal eszembe jut... mi van a magánéletemmel? Mi van, ha azok az adatok az enyémek? Hol van a határ a bűncselekmények kivizsgálása és a személyes adataim védelme között?

Tomáš: Remek kérdés, Klára. És pontosan ezt kezeli az Általános Adatvédelmi Rendelet, amit mindannyian GDPR néven ismerünk. Ez egyfajta pajzs, ami meg kell, hogy védjen minket.

Klára: GDPR, a cégek és marketingesek réme. Mindenhol felugró ablakok ugranak fel a beleegyezéssel. De mit is jelent ez valójában számomra, mint átlagembernek?

Tomáš: Azt jelenti, hogy te irányítod az adataidat. Vagy legalábbis kellene. És ehhez először is tudni kell, mik is azok a „személyes adatok”.

Klára: Rendben, akkor kezdjük az elejétől. Mi minden számít személyes adatnak? Csak a név és a cím?

Tomáš: Dehogy, sokkal szélesebb körű. A GDPR szerint a személyes adat bármilyen információ egy azonosított vagy azonosítható személyről. Tehát a név mellett ide tartozik az Instagramon lévő fotód, az e-mail címed, a számítógéped IP-címe, vagy például a mobilod helymeghatározási adatai.

Klára: Várjunk, még az IP-cím is? Tehát lényegében bármi, ami összekapcsolható velem, mint konkrét személlyel?

Tomáš: Pontosan így van. Képzeld el, mint egy puzzle-t. Egyetlen darab, mondjuk csak a „Klára” keresztnév, nem azonosít téged. De ha hozzáadsz további darabokat – város, iskola, fotó – hirtelen teljessé válik a kép, és tudjuk, kiről van szó. Még az egyes darabok is védettek.

Klára: Szóval még a macskás szelfim is védett személyes adat?

Tomáš: Ha felismerhető vagy rajta, akkor igen. Ez egy biometrikus adat. De ne aggódj, a GDPR nem vonatkozik a tisztán személyes felhasználásra. Tehát a telefonodban lévő fotók biztonságban vannak, amíg nem kezded el őket tömegesen megosztani valamilyen kereskedelmi céllal.

Klára: Rendben, értem. Sok minden személyes adat. De ki és miért használhatja őket? Nem tölthet le minden cég csak úgy fotókat rólam, és kezdheti el elemezni őket, ugye?

Tomáš: Egyáltalán nem. Ahhoz, hogy valaki feldolgozhassa az adataidat, jogalapra van szüksége. Egyfajta kulcsra a zárhoz. És ezekből a kulcsokból a GDPR szerint pontosan hat van.

Klára: Hat kulcs... Ez olyan, mint egy szabadulószoba. Mik ezek?

Tomáš: A legismertebb a te hozzájárulásod. Ez az a bosszantó kattintós ablak. Aztán ott van a szerződés teljesítése – például ha rendelsz valamit egy webshopból, fel kell dolgozniuk a címedet, hogy kiszállíthassák neked.

Klára: Ez logikus. És tovább?

Tomáš: Aztán ott van a jogi kötelezettség teljesítése – az iskolának nyilvántartást kell vezetnie a diákokról. Továbbá az érintett létfontosságú érdekeinek védelme, például ha eszméletlenül vagy a kórházban. Vagy a közérdek és az adatkezelő jogos érdeke. De mindig egyértelműen meg kell határozni a célt. Nem gyűjthetnek adatokat csak úgy „hátha jó lesz valamire” alapon.

Klára: És ki felel mindezért? Ki az az „adatkezelő”, akiről szó van?

Tomáš: Kiváló kérdés. Két fő szerepkör van: az adatkezelő és az adatfeldolgozó. Az adatkezelő az, aki meghatározza, miért és hogyan dolgozzák fel az adatokat. Ő a művelet fő agya, és teljes felelősséggel tartozik.

Klára: Szóval például egy közösségi hálózat, ahol van profilom, az az adatkezelő?

Tomáš: Pontosan. És aztán ott van az adatfeldolgozó. Ez valaki, akit az adatkezelő felbérel, hogy feldolgozza neki az adatokat. Például egy külső cég, amely a közösségi hálózat számára elemzi az adatokat vagy kezeli a szervereket. Az adatfeldolgozó azonban csak az adatkezelő utasításait hajtja végre. Nem tehet az adatokkal, amit akar.

Klára: Aha, szóval ha valami rosszul sül el, az adatkezelőhöz kell fordulnom? Tehát ahhoz a közösségi hálózathoz, nem ahhoz a céghez, amiről nem is tudom, hogy létezik?

Tomáš: Pontosan így van. Az adatkezelő a kapcsolattartó pontod, és ő felelős azért, hogy az adataid biztonságban legyenek, még akkor is, ha valaki más dolgozza fel őket neki.

Klára: Tak jo. Moje data někdo spravuje. Co s tím ale můžu dělat já? Jaká jsou moje konkrétní práva?

Tomáš: Elég sok jogod van, és nagyon erősek. Először is, jogod van a hozzáféréshez. Bármikor írhatsz az adatkezelőnek, és megkérdezheted: „Hé, milyen adataim vannak nálatok?”. És őnekik válaszolniuk kell.

Klára: Jako bych si v knihovně vyžádala výpis všeho, co jsem si kdy půjčila.

Tomáš: Pontosan így van. És ha hibát találnál abban a listában, jogod van a helyesbítéshez. Mondhatod: „Ez rossz, javítsátok ki”.

Klára: És mi van azzal a híres „elfeledtetéshez való joggal”? Egyszerűen megmondhatom nekik, hogy teljesen töröljenek?

Tomáš: Igen, ez a törléshez való jog. Ha az adataidra már nincs szükség az eredeti célra, vagy visszavontad a hozzájárulásodat, kérheted azok törlését. De vannak kivételek. Például ha az adatokra jogi igények érvényesítéséhez van szükségük, vagy ha a törvény előírja, akkor nem törölhetnek téged.

Klára: Szóval a telefonszámlámat nem törlik, még ha nagyon kérem is, ugye?

Tomáš: Pontosan. A számviteli törvények erősebbek. És aztán van még egy fontos jog, a tiltakozáshoz való jog. Ez főleg a marketing ellen hasznos. Ha valaki reklámokat küld neked, mondhatod, hogy „Stop!”, és abba kell hagyniuk.

Klára: Rendben, ez remekül hangzik. Vannak olyan adatok, amelyek még jobban védettek, mint a többi?

Tomáš: Feltétlenül. A GDPR „különleges kategóriájú személyes adatoknak” nevezi őket. Ezek az egészségedre, politikai nézeteidre, vallási meggyőződésedre, etnikai származásodra vagy szexuális irányultságodra vonatkozó információk. Itt a védelem sokkal szigorúbb.

Klára: Miért pont ezek?

Tomáš: Mert a velük való visszaélés valóban súlyos problémákat okozhat neked, például diszkriminációt. Ezért az alapvető feldolgozásuk tilos. Csak nagyon specifikus feltételek mellett engedélyezett, például a kifejezett hozzájárulásod vagy a közegészség védelme érdekében.

Klára: Szóval a fitnesz alkalmazásomnak, ami figyeli a pulzusomat, külön hozzájárulást kellene kérnie tőlem?

Tomáš: Kellene. Az egészségedre vonatkozó adatokat dolgoz fel. És még egy dolog – jogod van ahhoz, hogy ne legyél olyan döntés tárgya, amelyet tisztán automatikusan, azaz mesterséges intelligencia hozna, ha annak jogi vagy hasonlóan jelentős következményei lennének rád nézve.

Klára: Jako třeba když mi automaticky zamítnou žádost o půjčku bez toho, aby se na to podíval člověk?

Tomáš: Pontosan ilyen eset. Itt is vannak kivételek, de általánosságban elmondható, hogy fontos dolgokról nem dönthet csak egy algoritmus.

Klára: Hűha, ez sok információ volt. Zárjuk le azzal, hogy összefoglaljuk. Tehát, a személyes adat szinte minden, ami engem érint. A felhasználásához egyértelmű oknak kell lennie, a hat „kulcs” egyikének. És nekem erős jogaim vannak, mint például a jog, hogy tudjam, ki milyen adatokkal rendelkezik rólam, jogom van kijavítani, és sok esetben jogom van töröltetni is.

Tomáš: Abszolút pontosan összefoglaltad. Kulcsfontosságú emlékezni, hogy ezek az adatok a tieid. A GDPR eszközöket ad nekünk, hogy megvédjük ezt a tulajdonjogot. Ne félj használni őket. Kérdezz, kérj törlést és tiltakozz. Ez a te jogod.

Klára: És ez szerintem nagyszerű üzenet a végére, nemcsak a mai résznek, hanem az egész digitális nyomokról szóló minisorozatunknak is. Attól kezdve, hogyan keletkeznek, azon át, hogyan használhatók fel bizonyítékként, egészen addig, hogyan védhetjük meg őket. Tomáš, nagyon köszönöm, hogy mindezt ilyen érthetően elmagyaráztad nekünk.

Tomáš: Én köszönöm a meghívást, Klára. Öröm volt.

Klára: És köszönjük nektek is, kedves hallgatóink, hogy velünk voltatok. Reméljük, sok hasznos információt vittetek magatokkal. A StudyFi Podcast következő részében vár titeket Klára. Sziasztok!

Tomáš: Viszontlátásra.