Megfelelő jogalap nélkül kezelhet személyes adatokat a német koronavírus-app

Ahogy arról már korábban is írtunk, a világjárvány sorra döntögeti a társadalmi működés tabuit, s ezek között is mérföldkőnek számít az okostelefonok által segített kontaktuskutatás. A technológia lényege – legalábbis Nyugaton –, hogy az önbevallás alapján működő alkalmazás bizonyos személyes adatokat kezel és továbbít – elvileg anonimizált formában – a járványügyi védekezés optimalizálása céljából. 

IT-oldalról nagyjából rendben van

Németországban az úgy nevezett „Corona Warning App” lett a kijelölt kontaktkutató applikáció, amely a gyakorlati megvalósítás szintjén, noha összességében kielégítően működik, mindezt jogalap nélkül teszi. A német Telekom-csoport és az SAP által közösen fejlesztett applikáció forráskódja nyilvánosan hozzáférhető, s ez lehetővé teszi azt, hogy az IT-szakértők valós időben illessék kritikával vagy teszteljék az alkalmazás működését. Ezek közül néhány alább olvasható.

Általános aggály az applikációval kapcsolatban, hogy a fejlesztés jelenlegi fázisában az alkalmazás még nem tárgya az automatikus teszteléseknek, így kisebb eséllyel szűrhetők ki a potenciális biztonsági rések. Pedig

A Kuketz It-Security által megszólaltatott Alvar Freude állításai már komolyabb aggályokat is felvetnek. Freude szerint ugyanis az adatbázishoz egy képzettebb hacker viszonylag könnyen hozzáférhet, onnan adatokat törölhet, a meglévő adatokat módosíthatja stb. Noha Freude hozzáteszi, hogy habár az adatok feletti önrendelkezést az alkalmazás informatikailag is lehetővé teszi,

a hacker mozgástere így is túl nagy.

Centralizált, vagy decentralizált?

Az applikációk esetében az adatvédelem egyik elvi biztosítékát a decentralizált adatkezelés jelenti (a francia és a brit megoldás egyébként centralizált adatkezelést alkalmaz). Annak, hogy egy bizonyos alkalmazás a centralizált vagy decentralizált modellt követi, a bizalom szempontjából van jelentősége: magyarán, hogy

kiben bízunk meg: egy központi adatkezelőben, vagy a techcégekben?

A két modell esetében a kiindulópont ugyanaz: ha két mobiltelefon bizonyos időre elég közel kerül egymáshoz, bluetooth-on keresztül megosztják egymással egymás anonimizált azonosítóját, az pedig a felhasználó feladata, hogy amint tudomást szerez a megfertőződésről, frissítse az állapotát mondjuk „fertőzöttre”.

A decentralizált koncepció esetében az történik, hogy a zsebünkben lapuló telefon az anonimizált azonosítót elküldi egy központi adatbázisba, válaszra várva. A központi adatbázis visszajelzését követően pedig megtörténik a kontakt- és kockázatelemzés, ezt követően pedig a telefon jelez.

A centralizált koncepció annyiban más, hogy a telefon nemcsak a saját anonimizált azonosítóját küldi el a központi adatbázisba, hanem más telefonokét is, és a központ futtatja le azokat a folyamatokat, amelyeket a decentralizált modell esetében a készülék.

Az egyik különbség tehát az, hogy a decentralizált modell esetében a telefon csak kommunikál a központtal annak érdekében, hogy lefuttathassa az ellenőrzést. A centralizált modell esetében ezzel szemben mindent a központ végez, magyarán a központ van minden lényeges információ birtokában. 

A szenzitív adatok sorsa a techcégek kegyei szerint alakul

A másik lényegi különbség abból adódik, hogy a két legnagyobb techcég, a Google és az Apple a decentralizált modellel azonosul. Ez pedig – a már említett bizalmi faktor mellett – az adatbiztonság szempontjából vet fel kérdéseket,

a két cég ugyanis szükségszerűen birtokában van minden olyan információnak, amelyek a járványügyi védekezés optimalizációjának szempontjából szükségesek

– ideértve szenzitív adatokat is. Arról pedig, hogy az egyes techcégek milyen különféle hekkertámadásoknak vannak kitéve, arról nagyjából 1-2 havonta hallani (s ekkor is bizonyára csak a súlyosabbakról értesülünk).

A Tagesschau részletes cikkben taglalja a Corona Warning Appal kapcsolatos tudnivalókat. Eszerint a német szövetségi kormány nem győzi hangsúlyozni, hogy az applikáció teljes összhangban működik az európai adatvédelmi rendelettel (GDPR), és a jelenleg hatályban lévő jogszabályokkal.

Ez pedig egybevág azzal az érveléssel, amelyet a – nem jogász – szakértők is elfogadnak. Magyarán, hiába léptünk járatlan utakra azáltal, hogy az adatvédelem tabuit döntögetjük, hiába van meg a reális lehetősége annak, hogy a techcégek jogellenesen kezeljék az adatainkat,

a rendszerint felhozott ellenérv a speciális jogalkotás ellen, hogy a techcégeknek egész egyszerűen „nem áll érdekében” jogellenesen adatot kezelni.

Nem túl megnyugtató.

Az elvi probléma a jogalap körül körvonalazódik

A GDPR-ral való összhangot jelenleg az érintett hozzájárulása jelenti, de több német szakértő szerint ez nem elég. Sőt, egy áprilisi kutatás épp a decentralizált modell hiányosságaira mutat rá, kihangsúlyozva azt, hogy ezek az applikációk a társadalom egészére hatással vannak;

a modell működésével járó kockázatok és a kontaktkutató alkalmazások társadalomra kifejtett hatásai pedig nem állnak arányban egymással.

A kutatás további eredménye, hogy az érintett hozzájárulása eleve nem jöhet szóba valós jogalapként, két okból sem. 

Az egyik ok tisztán jogi természetű, a másik inkább szociológiai. Egyfelől, a GDPR szerint sem lehet az érintett hozzájárulására hivatkozni akkor, ha az adatkezelő és az érintett között aránytalan az aszimmetria (például az állampolgár és a hatóság relációjában). Tekintettel arra, hogy az adatfeldolgozás a kontaktkutató alkalmazások esetében állami célt (járványügy) szolgál, az aszimmetra fennáll, ennek megfelelően az érintett hozzájárulása sem lehet érvényes jogalap.

Másfelől pedig

az applikációtól várt eredmények miatt is legfeljebb vágyvezérelt gondolat az érintett hozzájárulására hivatkozni

– vélik a szakértők. Az alkalmazástól ugyanis sokan azt várják, hogy ha beválnak, bátran fel lehet oldani mindenfajta járványügyi korlátozást, hiszen „elmúlt a veszély”. Éppen ezért megnőhet a társadalmi nyomás arra vonatkozóan, hogy mindenki használja az alkalmazást (nem beszélve arról, hogy esetlegesen hátrányos helyzetbe kerülnének azok, akiknek egyáltalán nincs okostelefonjuk).

Több érv szól tehát amellett, hogy a koronavírus-appok kérdését speciális jogszabály rendezze, mivel a GDPR túlságosan általános ernyőt von olyan életviszonyok fölé, amelyekkel az uniós adatvédelmi rendelet készítői még nem számolhattak.

Dobozi Gergely írása.

***

A cikk a Pallas Athéné Domeus Educationis Alapítvány támogatásával valósult meg.