Jócskán megelőzték a korukat. Még évekre volt a GDPR, amikor, egészen pontosan 2014 őszén már elindították a két posztgraduális adatbiztonsági és adatvédelmi képzésüket. Mi motiválta Önöket?

Intézetünk folyamatosan keresi azon jogterületeket, amelyek a jogi szakma számára meghatározó, új szabályozást tartalmaznak. A kilencvenes évektől a magyar jog világában a személyes adatok védelme különleges helyzetben volt: az Alkotmánybíróság széles körben ismert személyi számmal összefüggő döntésétől a ’92-es, majd a 2011-es törvényen át, az adatvédelmi biztosi rendszer alakulásától a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) létrejöveteléig hosszan lehet sorolni a mérföldköveket. 2013-ban már látszott az európai szabályozás iránya, miközben az információtechnológiai változások hatásai is egyre inkább tudatosultak a társadalomban. Emellett úgy éreztük, az adatbiztonság is fajsúlyosabbá vált, ezért létjogosultsága lett egy olyan képzésnek, amely kiemelten foglalkozik mindkét kérdéskörrel.

Érzékeltük, hogy a jogászoknak sok esetben problémát okoz a téma technológiai, műszaki háttere, míg a nem jogászoknak pedig a jogi szabályozás fogalmi készletével és rendszerével gyűlt meg a bajuk. A szakemberek mindkét körének eligazodását szerettük volna megkönnyíteni. Eredetileg a belső adatvédelmi felelősi tevékenység ellátásának jogszabályi feltételeihez igazítottuk a bemeneti követelményeket, ezen szeretnénk változtatni, hisz a GDPR az adatvédelmi tisztviselők tekintetében szakértelmet és nem valamilyen meghatározott végzettséget vár el.

Dr. Báldy Péter, jogász, médiajogi szakjogász, az ELTE ÁJK Jogi Továbbképző Intézetének igazgatóhelyettese, a Polgári Jogi és a Nemzetközi Magánjogi és Európai Gazdasági Jogi Tanszék megbízott előadója, jogi adatbázis kezelést, médiajogot és adatvédelmet is oktat.

Nagy örömünkre a képzéseket jól fogadták mind a jogász, mind a nem jogász szakemberek, 2014-ben mintegy 30 fővel indultak a képzéseink, melyeknek tavaly már mintegy százan vágtak neki.

Amely tanévnek a végén, 2018. május 25-én vált alkalmazandóvá a GDPR. Az átmenet milyen nehézséget okozott, illetve okoz a képzés során?

A jogászképzéseken nem ritka jelenség, de a hallgatóknak valóban nem volt egyszerű, hogy ezen évfolyam a tanulást még az infotörvénnyel kezdte, de már a GDPR-ral fejezte be, a diplomamunkák már ezen új szabályozási környezetről szólnak. Oktatói oldalról megkönnyítette a helyzetet, hogy a GDPR minden korábbi évfolyam tananyagának részét képezte: vagy mint tervezet, vagy mint elfogadott, hatályos, de még nem alkalmazandó szabályrendszer. Ha úgy tetszik, az elmúlt években tudatosan készültünk és készítettük fel hallgatóinkat is a változásokra, az idén ősszel indult évfolyamot viszont már teljes egészében a GDPR megismerésében lehet támogatni.

Az oktatók között hangsúlyosan szerepelnek a NAIH munkatársai, akik hasznos tudnivalókat osztanak meg arról, hogy ők maguk hogyan gondolkodnak adott kérdésekről, korábban mi volt a Hatóság álláspontja. Kétségtelenül kihívást jelent minden oktatónak, hogy a GDPR-ral kapcsolatos joggyakorlat még messze nem alakult ki. Emiatt is különösen fontos az európai intézmények, szervezetek álláspontja alakulásának, kialakulásának folyamatos figyelemmel kísérése, ami elvárás az oktatóinkkal szemben. Emellett persze koncentrálunk arra, hogy az alapelvek, alapfogalmak világosak, egyértelműek legyenek.

Sok a nyitott kérdés, az információ kevés, a magyar nyelvű szakirodalomban is meghatározó munkák megjelenésére várunk. Pedig jó lenne, ha minél szélesebb körben, minél több területen mielőbb kialakulna az egységes gyakorlat és a Hatóság, az ágazati szabályozók és a jogalkalmazók konszenzusa például a munkahelyi adatkezelésekről, a munkáltató munkavállalóellenőrzési lehetőségeiről, arról, hogy a munkáltató hogyan s miként ismerheti meg az általa a munkavállalónak juttatott eszközökön (GPS-navigátoron, mobiltelefonon, laptopon) lévő személyes adatokat – akár képeket, hangfelvételeket, a klaviatúra vagy más periféria használatára vonatkozó információkat – és azokat milyen feltételek mellett és mire használhatja. Persze szóba hozható az igazolványok másolásának elterjedt gyakorlatától az egészségügyi adatkezeléseken át akár az oktatásban kezelt adatokig sok-sok nyitott kérdés. A vállalkozások marketingtevékenységének szabadsága, a profilozás elterjedtsége mind napi probléma, mindőnket napi szinten érintő adatkezelések.

Sokszor nem egyértelműek a határvonalak, de egy képzésen nem tárhatjuk szét a kezünket, hogy sajnos hiányzik a tagállami, magyar szabályozás. Folyamatosan reflektálni kell a – most is egyeztetés alatt álló – adatvédelemmel összefüggő jogalkotási tervekre, a párhuzamos európai trendekre.

És a hallgatókat mi érdekli? 

Ezt ágazati szinten, a szabályozási terület tekintetében nem lehet megmondani, évfolyamunk hallgatóságának összetétele ugyanis meglehetősen színes. Van köztük tapasztalt ügyvéd, bíró, közigazgatási szakember, bűnüldözési szervnél dolgozó jogász, informatikus, és vannak frissen végzett diplomások is. Szép számmal járnak a képzéseinkre a legnagyobb adatkezelők – bankok, biztosítók, államigazgatási szervek, önkormányzatok, telekommunikációs és informatikai, de akár egészségügy vállalkozások – és az azoknak tanácsot adó vállalkozások tanácsadó munkatársai is. Érdekes feladat önmagában már az is, hogy össze tudják vetni egymással, esettanulmányokkal, hogy cégük, megbízójuk mennyiben felel már meg a GDPR-nak, hol vannak kétségeik, hiányosságaik. Talán egyvalamiben egyezik az érdeklődésük: kihívást látnak az adatvédelemben és majd kivétel nélkül szenvedélyesen keresik a helyes válaszokat és a jó megoldásokat.

Ezek szerint felkészülhetünk arra, hogy az új adatvédelmi uniós előírásoknak való megfelelés még sokáig eltarthat?

Ha azt vesszük, hogy van olyan országos hatáskörű szerv, amely az igazolványok lemásolásához még ma is ragaszkodik, pedig azt már régóta erőst megkérdőjelezik a szabályok, akkor valóban hosszú átmenetre lehet számítani. Ha azt nézzük, hogy a mostani évfolyamban milyen erős elkötelezettséggel és kitartó figyelemmel tanulnak a hallgatók, van okunk a bizakodásra. Ha abból indulunk ki, hogy az európai iránymutatások mennyire hiányosak a gyakorlati szakemberek számára, akkor kétségeink támadhatnak, de a tagállamokban induló ügyek rövid időn belül felszínre hoznak jó- és rossz gyakorlatokat, melyekre lehet majd építeni.

Jelenleg a GDPR-felkészülés, -megfelelés kapcsán az auditok, önvizsgálatok, az adatok feltérképezése, ellenőrzése van a fókuszban, később azonban a mindennapi adatvédelem a felértékelődő adatbiztonsággal kiegészülve kap majd komoly figyelmet. Adatalapú társadalomban élünk, s a GDPR olyan uniós szabályozás, amit nem lehet figyelmen kívül hagyni. Hiába lazít egyes pontokon a korábbi magyar szabályozáson, a bírságolás harmonizációja a magyar jogalkalmazóknak komoly fenyegetés: mást jelent egy 4000 eurós bírság Ausztriában, Németországban, mint nálunk. Mindezek alapján biztosan állítható, hogy az adatvédelmi problémákat alaposan ismerő, jó képzéseken pallérozódott szakemberekre még sokáig nagy számban lesz igény.