Megfelelő jogalap nélkül kezelhet személyes adatokat a német koronavírus-app

Ahogy arról már korábban is írtunk, a világjárvány sorra döntögeti a társadalmi működés tabuit, s ezek között is mérföldkőnek számít az okostelefonok által segített kontaktuskutatás. A technológia lényege – legalábbis Nyugaton –, hogy az önbevallás alapján működő alkalmazás bizonyos személyes adatokat kezel és továbbít – elvileg anonimizált formában – a járványügyi védekezés optimalizálása céljából. 

IT-oldalról nagyjából rendben van

Németországban az úgy nevezett „Corona Warning App” lett a kijelölt kontaktkutató applikáció, amely a gyakorlati megvalósítás szintjén, noha összességében kielégítően működik, mindezt jogalap nélkül teszi. A német Telekom-csoport és az SAP által közösen fejlesztett applikáció forráskódja nyilvánosan hozzáférhető, s ez lehetővé teszi azt, hogy az IT-szakértők valós időben illessék kritikával vagy teszteljék az alkalmazás működését. Ezek közül néhány alább olvasható.

Általános aggály az applikációval kapcsolatban, hogy a fejlesztés jelenlegi fázisában az alkalmazás még nem tárgya az automatikus teszteléseknek, így kisebb eséllyel szűrhetők ki a potenciális biztonsági rések. Pedig

A Kuketz It-Security által megszólaltatott Alvar Freude állításai már komolyabb aggályokat is felvetnek. Freude szerint ugyanis az adatbázishoz egy képzettebb hacker viszonylag könnyen hozzáférhet, onnan adatokat törölhet, a meglévő adatokat módosíthatja stb. Noha Freude hozzáteszi, hogy habár az adatok feletti önrendelkezést az alkalmazás informatikailag is lehetővé teszi,

Centralizált, vagy decentralizált?

Az applikációk esetében az adatvédelem egyik elvi biztosítékát a decentralizált adatkezelés jelenti (a francia és a brit megoldás egyébként centralizált adatkezelést alkalmaz). Annak, hogy egy bizonyos alkalmazás a centralizált vagy decentralizált modellt követi, a bizalom szempontjából van jelentősége: magyarán, hogy

A két modell esetében a kiindulópont ugyanaz: ha két mobiltelefon bizonyos időre elég közel kerül egymáshoz, bluetooth-on keresztül megosztják egymással egymás anonimizált azonosítóját, az pedig a felhasználó feladata, hogy amint tudomást szerez a megfertőződésről, frissítse az állapotát mondjuk „fertőzöttre”.

A decentralizált koncepció esetében az történik, hogy a zsebünkben lapuló telefon az anonimizált azonosítót elküldi egy központi adatbázisba, válaszra várva. A központi adatbázis visszajelzését követően pedig megtörténik a kontakt- és kockázatelemzés, ezt követően pedig a telefon jelez.

A centralizált koncepció annyiban más, hogy a telefon nemcsak a saját anonimizált azonosítóját küldi el a központi adatbázisba, hanem más telefonokét is, és a központ futtatja le azokat a folyamatokat, amelyeket a decentralizált modell esetében a készülék.

Az egyik különbség tehát az, hogy a decentralizált modell esetében a telefon csak kommunikál a központtal annak érdekében, hogy lefuttathassa az ellenőrzést. A centralizált modell esetében ezzel szemben mindent a központ végez, magyarán a központ van minden lényeges információ birtokában. 

A szenzitív adatok sorsa a techcégek kegyei szerint alakul

A másik lényegi különbség abból adódik, hogy a két legnagyobb techcég, a Google és az Apple a decentralizált modellel azonosul. Ez pedig – a már említett bizalmi faktor mellett – az adatbiztonság szempontjából vet fel kérdéseket,

– ideértve szenzitív adatokat is. Arról pedig, hogy az egyes techcégek milyen különféle hekkertámadásoknak vannak kitéve, arról nagyjából 1-2 havonta hallani (s ekkor is bizonyára csak a súlyosabbakról értesülünk).

A Tagesschau részletes cikkben taglalja a Corona Warning Appal kapcsolatos tudnivalókat. Eszerint a német szövetségi kormány nem győzi hangsúlyozni, hogy az applikáció teljes összhangban működik az európai adatvédelmi rendelettel (GDPR), és a jelenleg hatályban lévő jogszabályokkal.

Ez pedig egybevág azzal az érveléssel, amelyet a – nem jogász – szakértők is elfogadnak. Magyarán, hiába léptünk járatlan utakra azáltal, hogy az adatvédelem tabuit döntögetjük, hiába van meg a reális lehetősége annak, hogy a techcégek jogellenesen kezeljék az adatainkat,

Nem túl megnyugtató.

Az elvi probléma a jogalap körül körvonalazódik

A GDPR-ral való összhangot jelenleg az érintett hozzájárulása jelenti, de több német szakértő szerint ez nem elég. Sőt, egy áprilisi kutatás épp a decentralizált modell hiányosságaira mutat rá, kihangsúlyozva azt, hogy ezek az applikációk a társadalom egészére hatással vannak;

A kutatás további eredménye, hogy az érintett hozzájárulása eleve nem jöhet szóba valós jogalapként, két okból sem. 

Az egyik ok tisztán jogi természetű, a másik inkább szociológiai. Egyfelől, a GDPR szerint sem lehet az érintett hozzájárulására hivatkozni akkor, ha az adatkezelő és az érintett között aránytalan az aszimmetria (például az állampolgár és a hatóság relációjában). Tekintettel arra, hogy az adatfeldolgozás a kontaktkutató alkalmazások esetében állami célt (járványügy) szolgál, az aszimmetra fennáll, ennek megfelelően az érintett hozzájárulása sem lehet érvényes jogalap.

Másfelől pedig

– vélik a szakértők. Az alkalmazástól ugyanis sokan azt várják, hogy ha beválnak, bátran fel lehet oldani mindenfajta járványügyi korlátozást, hiszen „elmúlt a veszély”. Éppen ezért megnőhet a társadalmi nyomás arra vonatkozóan, hogy mindenki használja az alkalmazást (nem beszélve arról, hogy esetlegesen hátrányos helyzetbe kerülnének azok, akiknek egyáltalán nincs okostelefonjuk).

Több érv szól tehát amellett, hogy a koronavírus-appok kérdését speciális jogszabály rendezze, mivel a GDPR túlságosan általános ernyőt von olyan életviszonyok fölé, amelyekkel az uniós adatvédelmi rendelet készítői még nem számolhattak.

Dobozi Gergely írása.