Az állam mindent tud rólunk, figyeljünk oda!

Nem gondoskodik az önkormányzatok zöme a birtokába jutott, ám fölöslegessé vált és törlésre ítélt digitális adatokról.

Mit teszünk, ha számítógépünkön egy adat feleslegessé válik? Kijelöljük és megnyomjuk a „delete” gombot, esetleg még kattintunk egyet az egerünkkel, hogy végrehajtsuk a „Lomtár ürítése” parancsot. Magánszemélyeknél ez teljesen természetes, a probléma csak az, hogy számos önkormányzat is így tesz. Ez derült ki a Magyar Adatvédelmi és Adatbiztonsági Egyesület (Mavabe) minap publikált felméréséből, amely során negyvenhárom tízezer fő alatti, Pest megyei település önkormányzatát keresték meg, tizenhat szervezet ki is töltötte a kérdőívüket.

Az egyesület elnöke, dr. Pataki Gábor lapunknak is hangsúlyozza, hogy felmérésük nem tekinthető ezért reprezentatívnak, de a Mavabe közleményében jelzi: tapasztalatok szerint sok magyarországi önkormányzatnál nagyon hasonló a helyzet, pedig jóval komolyabb kötelezettségeket ró rájuk a 2013. évi L. törvény, illetve az adatvédelmi jogszabályok egyes előírásai.

Magyarán sok önkormányzat nem kezeli kellő körültekintéssel a birtokába jutott személyes adatokat. „Az alapállás az, hogy az önkormányzat természetesen kezelhet személyes adatokat, de csak meghatározott ideig. A kérdés egyrészt az, hogy egészen pontosan meddig, másrészt pedig az, hogy mit tesz ezekkel az adatokkal, mikor köteles azokat törölni. Mi utóbbit vizsgáltuk.” Pataki az MNO-nak elmondta: sajnos azt látták, hogy a vizsgált településeken bizony előfordult, hogy mindössze egy törlést, esetleg egy formázást végeztek, „ami nem elégséges, ugyanis némi informatikusi munkálkodás után gyakorlatilag a nem megfelelően törölt múltbéli adat előbányászható, visszahozható és bizony használható”.

Két példát is kapunk, hogy teljesen ártalmatlannak tűnő személyes adatainkkal hogyan lehet visszaélni. Egy önkormányzat például nyilvánossá teheti azoknak a nevét, akik 90 napig nem rendezték helyi adótartozásaikat. Viszont a település vezetése köteles ezt az adatot megsemmisíteni abban a pillanatban, amikor az érintett kifizette az önkormányzat felé a számlát. Ám ha csak egy hagyományos törlés történt a városházán, akkor simán illetéktelen kezekbe kerülhet és kínossá fazonírozható egy akár sok évvel korábbi tartozás is.

Aztán ott vannak az egészségügyi adatok: egy szürke hivatalnok vagy egy magánszemély számára teljesen érdektelen, hogy ki kap például segélyt vagy adókedvezményt valamilyen betegsége miatt, de egy gyógyszergyár marketingosztályának egy ilyen lista valóságos aranybánya lehet. „Fontos, hogy megértsük: bármilyen adatunk kerülhet illetéktelen kezekbe így, ugyanis az állam különböző adatbázisaiban lényegében mindent tud rólunk.”

Megkérdeztük, hogy vajon mi lehet az oka, hogy ha ennyire kényes és fontos kérdésről van szó, akkor miért nem járnak el az önkormányzatok nagyobb körültekintéssel. Pataki valamelyest megvédve őket; azt mondta: „rengeteg kötelezettségük van, ráadásul sok helyen olyanok az anyagi körülmények, hogy az adatvédelem sokadrangú probléma csak”. Nem tud sztereotipizálni abban a tekintetben sem, hogy mondjuk a kistelepüléseken odafigyelnének erre, nagyvárosokban pedig káosz uralkodna a törölt/tárolt bájtok között. „Ha csak egy ember, legyen az akár a jegyző vagy egy előadó, szól, hogy vigyázzunk, és tartsuk be az információbiztonsági törvényt, akkor az már jónak számít, és ezzel elindulhat egy folyamat.” Egyesületükről is azt vallja, hogy az ő céljuk a figyelem felhívása és a tudatosság kialakítása; mint leszögezte, ők segítenek és javaslatokat tesznek, nem büntetnek, mint a Nemzeti Adatvédelmi és Információszabadság Hatóság.

Megkérdeztük hát a hatóságot, milyen büntetéseket tudnak kiszabni az ilyen jogsértések esetén. Péterfalvi Attila válaszában azt írta: szankcióként elrendelhetik a valóságnak nem megfelelő személyes adat helyesbítését, a jogellenesen kezelt személyes adatok zárolását, törlését vagy megsemmisítését, megtilthatják a személyes adatok jogellenes kezelését vagy feldolgozását, a személyes adatok külföldre történő továbbítását vagy átadását, elrendelhetik továbbá az érintett tájékoztatását, ha azt az adatkezelő jogellenesen tagadta meg, valamint tízmillió forintig terjedő bírságot szabhatnak ki. A hatóság egyébként adatvédelmi jogi szakértőkkel és informatikusokkal jár a jogsértések után. Ilyen panaszok egyébként Péterfalvi közlése szerint ez idáig csak csekély számban érkeztek, de felhívta rá a figyelmet, hogy a személyes adatok nem megfelelő tárolása és törlése a legtöbb eljárásban komoly adatvédelmi aggályként azonosítható.