A jövőben minden személyazonosításra alkalmas adatunk egyetlen plasztikkártyára integrálható, amellyel számos szolgáltatás is elérhető lesz. A többfunkciós chipkártya bevezetése és használata – például a biometrikus azonosítás – azonban számos adatvédelmi kérdést is felvet. Ezek megválaszolására kértük Péterfalvi Attilát, a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) elnökét.
– Milyen törvényi előírások és technológiai megoldások garantálják a kártyákon tárolt személyes adatok védelmét?
– Érdemes részletesen is szemügyre venni a teljes kártyarendszerre vonatkozó törvényeket és előírásokat. A Nemzeti Egységes Kártyarendszer (NEK) működésének műszaki, technológiai, biztonsági előírásait az egységes elektronikuskártya-kibocsátási keretrendszerről szóló törvény végrehajtásáról intézkedő BM-rendelet tartalmazza: a működtető állami szerv – a Közigazgatási és Elektronikus Közszolgáltatások Központi Hivatala – határozza meg a működési rend részleteit. A működtető, a megszemélyesítő, a kártyakibocsátó és a kártyaelfogadó elektronikus kapcsolaton keresztül, a működési rendben meghatározott titkosítási protokollok alkalmazásával cserélhetnek adatokat. Az adatok cseréjében a működési rendben meghatározottak szerinti egyedi azonosítóval ellátott, a működtető által azonosított és nyilvántartásba vett hardver- és szoftvereszközök vehetnek részt.
– Az adatok leolvasására jogosított kártyaelfogadókra milyen adatvédelmi és titoktartási kötelezettségek vonatkoznak?
– A NEK-kártyákon tárolt adatok jogszerű kezelésének természetesen csupán az első feltétele, hogy a kártyaelfogadók csak azokhoz a kártyaadatokhoz férhessenek hozzá, amelyek kezelésére jogosultak. A rendszer szereplőinek – így különösen a kártyakibocsátóknak és a kártyaelfogadóknak – tisztában kell lenniük azzal, hogy a kártyabirtokosok személyes adatainak kezelése jogi felelősséggel – büntetőjogi és kártérítési felelősséggel – jár. Az adatkezelőknek be kell tartaniuk az információs önrendelkezési jogról szóló 2011. évi CXII. törvény – népszerű nevén Infotörvény –, a NEK-törvény, valamint esetlegesen az egyes NEK-kártyákra vonatkozó szektorális törvényi előírásokat. Világosan kell látniuk, hogy mivel Magyarországon a személyes adatok védelme információs önrendelkezési jog, ezért a törvényben kötelezően elrendelt adatkezelésen kívül csak az érintett személy hozzájárulása alapján kezelhetik a rá vonatkozó adatokat. Az Infotörvény 3. paragrafus 7. pontja szerint a hozzájárulás az érintett akaratának önkéntes és határozott kinyilvánítása, ami megfelelő tájékoztatáson alapul, és amivel félreérthetetlen beleegyezését adja a rá vonatkozó személyes adat – teljes körű vagy egyes műveletekre kiterjedő – kezeléséhez.
– Az érvényesség lekérdezésekor a működtető tudomást szerez arról, hogy a kártyabirtokos mikor és hol, mely kártyaelfogadónál használta a kártyát?
– Igen, ha például a kártyát tömegközlekedéshez, munkahelyi beléptetőrendszerben, esetleg elektronikus konditerembérletként is használja, akkor az egyes események alapján következtetni lehet például az illető korára, nemére, illetőségére, munkájára, érdeklődési körére és még sok másra. Az adatokat összekapcsolva és elemezve felépíthető lenne az érintett személyiségprofilja. Könnyű belátni, hogy milyen adatvédelmi veszélyekkel jár, ha ezek az információk egy kézben, egy központi állami nyilvántartónál gyűlnek össze. Ezért adatvédelmi szempontból fontosnak ítélem, hogy a NEK-törvény megtiltja a működtető számára, hogy a kártyaelfogadók által kezdeményezett, a kártya érvényességére vonatkozó lekérdezéseket naplózza. A törvény egyébként is csak feltételesen engedi meg a központi nyilvántartásból történő adatszolgáltatást, ugyanis az adatigénylésre jogosult állami szervek – bíróság, nyomozó hatóság, ügyészség, nemzetbiztonsági szolgálat – csak az érintett személyazonosító adatainak, illetve az elektronikus kártya azonosítójának megadásával kérhetnek adatszolgáltatást. Ez kizárja a tömeges, szűrő-kutató jellegű adathozzáféréseket a központi NEK-nyilvántartásból.
– Az elsődleges kártya esetén egyértelmű, hogy ki olvashatja az adatokat. De vajon másodlagos kártyák használatakor hogyan oldható meg, hogy minden kártyaelfogadó csakis azokat az adatokat olvashassa ki, amelyekre jogosult?
– Ez egyszerre jogi és technológiai kérdés. Jogi oldalról erre a kérdésre is a NEK-törvény adja meg a választ azzal, hogy előírja: másodlagos kártya hozzárendelése esetén biztosítani kell annak technológiai lehetőségét, hogy a kártyafelhasználó a másodlagos kártya használatát és a kártyahasználattal kapcsolatos adatok megismerhetőségét másodlagos kártyánként külön-külön korlátozza. Álláspontom szerint a NEK jogi szabályozása összességében a személyes adatok védelmének követelményeivel összhangban álló jogi és technológiai keretrendszert hozott létre. Végleges ítéletet még nem lehet mondani, hiszen egyelőre csak a NEK-rendszer létrehozásának első nagyobb lépései történtek meg, de a rendelkezésre álló információk alapján erősen bízom abban, hogy a NEK adatvédelmi szempontból ki fogja állni az idő próbáját. Ám ha a jövőben az adatvédelmi ellenőrzés során jogszerűtlen adatkezelést tapasztalok, a személyes adatok védelme érdekében élni fogok az Infotörvényben biztosított szankcionálási lehetőségekkel.
Egy kártya, több funkció – elsődleges és másodlagos kártyák
Az európai uniós támogatással kiépült Nemzeti Egységes Kártyarendszer (NEK) kialakításának célja, hogy az egyes elektronikuskártya-kibocsátók és -elfogadók (állam, önkormányzatok, közlekedési vállalatok, egyéb szolgáltatók és gazdasági szereplők) szabványosított technológia alkalmazásával, magas fokú biztonságot nyújtó gyártási és működési rendszerben, központilag kezelt és hitelesített (közhiteles) megszemélyesítő adatok felhasználásával létrehozott elektronikus kártyák alapján nyújtsák szolgáltatásaikat. Az új rendszer az elsőként kiadott (úgynevezett elsődleges) kártyához később több funkció vagy szolgáltatás hozzárendelését teszi lehetővé, így a korábban különböző chipkártyákkal igénybe vehető alkalmazások is ugyanarra a kártyára integrálhatók. Ezekkel a „másodlagos” kártyákkal folyamatosan bővíthető a szolgáltatások köre (diákigazolvány, munkahelyi beléptetés stb.) anélkül, hogy új kártyát kellene igényelni. A magyar NEK fokozott kormányzati szerepvállalással jött létre. Az állam feladatkörébe általában a jogi szabályozás és a hatósági ellenőrzés tartozik – a magyar állam azonban a szervezésben, valamint a kártyarendszer megvalósításában és üzemeltetésében is oroszlánrészt vállalt. A Nemzeti Adatvédelmi és Információszabadság Hatóság számos, a személyes adatok védelméhez való jog érvényesülését célzó észrevétellel és javaslattal élt, amelyeket a NEK előkészítéséért felelős minisztérium szakértői beépítettek a vonatkozó jogszabályok tervezetébe.
(Cikkünk nyomtatásban 2016 februárjában jelent meg a Biztonságpiac Évkönyvben. A -szerk- megj.)
