Nagyon fontos a kormánynak a Digitális Állampolgárság Program (DÁP) minél zökkenőmentesebb megvalósítása. Ennek kockázataival egy februári cikkünkben foglalkoztunk, amelynek megjelenése után olyan történt, amivel még nem volt dolgunk: a Rogán Antal vezette Miniszterelnöki Kabinetiroda helyreigazítást kért, majd szinte ugyanakkor Péterfalvi Attila, a NAIH elnöke utólagosan megváltoztatta nekünk adott nyilatkozatát – pont azt, amellyel kapcsolatban Rogán minisztériumának kifogása volt. Nyom nélküli egyeztetések, mindenre rábólintó adatvédelmi biztos, a valódi kockázatokkal nem foglalkozó minisztérium kíséri a DÁP létrejöttét, miközben a rendszerváltás óta nem nyúltak bele ilyen drasztikusan és korábban alkotmányellenesnek minősülő módon abba, hogyan kezelhetik az állampolgárok szinte minden adatát.
Akár már 2026-ban elindulhat a Digitális Állampolgárság Program (DÁP), amellyel minden, állammal és közszolgáltatóval kapcsolatos ügyünket a mobilunkon lehet majd intézni. A teljes program Rogán Antal felügyelete alatt zajlik. Februári cikkünkben azt jártuk körbe, ki profitálhat a sokmilliárdos fejlesztésből, valamint azt mutattuk be, milyen visszaélésekre adhat lehetőséget egy ilyen program.
Az látszik, hogy a kormánynak kiemelten fontos a DÁP minél hamarabbi megvalósítása: módosították miatta az Alaptörvényt, tavaly év végén Rogán Antal egy olyan háttérbeszélgetést is tartott róla, amelyre a kormánytól független sajtó képviselői is kaptak meghívót (a Szabad Európa nem volt közöttük). Nyáron a belügytől a Rogán vezette Miniszterelnöki Kabinetirodához került a személyiadat- és lakcímnyilvántartás és az útlevélkiadás.
Ha megvalósul a DÁP, az egy minden eddiginél hatékonyabb kampányeszközt ad Rogán kezébe, adatvédelmi szempontból pedig különösen aggályos lehet. A programban benne rejlik a teljes megfigyelés lehetősége és az, hogy akár egy banki ügyintézésnél is hátrányba kerülhetünk. Adatainkat majdnem lehetetlen lesz töröltetni, ráadásul hiába hangsúlyozzák, hogy a használata önkéntes lesz, a törvény szövegéből ennek épp az ellenkezője következik. Minderről itt írtunk részletesen.
Péterfalvi Attila hirtelen másképp kezdett emlékezni
Cikkünk megjelenésének másnapján helyreigazítási kérelmet kaptunk a Miniszterelnöki Kabinetiroda (MK) jogi képviselőjétől. Ebben azt kifogásolták, hogy közöltük: az adatvédelmi hatóság előzetesen nem véleményezte a DÁP-törvényt, és ha ez így történt, az jogsértő, mert az ilyen jellegű egyeztetés kötelező az európai adatvédelmi szabályozás, a GDPR értelmében. Az MK szerint igenis voltak egyeztetések, minden vonatkozó törvényt betartottak.
Állításainkat azonban nem alaptalanul tettük: cikkünk közlése előtt megkerestük Péterfalvi Attilát, a Nemzeti Adatvédelmi és Információszabadság Hivatal (NAIH) elnökét is, akinek kérdéseinkre adott válaszát teljes terjedelmében és szó szerint közöltük: „A hatóság nem készített állásfoglalást – nem volt alkalma állásfoglalást készíteni – a törvény tervezetéről annak elfogadása előtt.”
A meglepetés akkor jött, amikor pontosan 53 perccel a kabinetiroda e-mailje után újabb levelet kaptunk. Péterfalvi Attila írt, és közölte: kiegészíti két héttel korábbi tájékoztatását, „tekintettel arra, hogy abból akár téves következtetés is levonható”.
A NAIH elnöke két hét elteltével már úgy emlékezett, hogy valóban nem készült állásfoglalás, ugyanakkor „az előterjesztő az Országgyűléshez történő benyújtás előtt a tervezetet írásban megküldte a hatóságnak. A törvénytervezetről írásbeli vélemény nem készült, tekintettel arra, hogy az előterjesztővel többkörös szóbeli egyeztetés történt, melynek végén nem maradt fenn nyitott kérdés, a benyújtott tervezettel szemben a NAIH nem emelt kifogást.”
(A kabinetiroda és Péterfalvi új válaszaival frissítettük eredeti cikkünket, ám az MK így is helyreigazítási pert indított a Szabad Európa ellen. A pert első fokon megnyertük.)
Ez a válasz nemcsak azért érdekes, mert Péterfalvi emlékezete épp akkor lett pontosabb, amikor Rogán minisztériuma kifogásolta az általa elmondottakat, hanem azért is, mert a törvénytervezet indoklásokkal együtt egy kilencvenoldalas dokumentum, ami alapvetően változtatja meg azt, hogy az állam és a kormány hogyan fér hozzá és milyen mélységig kezelheti az állampolgárok szinte minden adatát – erről nem készített véleményezést, állásfoglalást a Péterfalvi vezette hatóság. Ezért kikértük a NAIH-tól az összes olyan dokumentumot, amely az általa hivatkozott egyeztetéseken készült. Erre válaszul a NAIH közölte: két, szóbeli egyeztetésre került sor (2023. november 7-én és 2023. november 21-én). Az első egyeztetés előtti napon e-mailben megkapták a törvény tervezetét. „A szóbeli egyeztetésekre tekintettel írásos jogszabály-véleményezés nem történt. A hatóság a tervezettel szemben kifogást nem emelt” – zárult a NAIH válasza.
Két képet is csatoltak, ám ezek nem bizonyítanak sokat. Kaptunk egy e-mailről készült screenshotot, amelyet állítólag tényleg november 6. reggelén küldtek el, és amelyhez elvileg csatolták a törvénytervezetet (a feladót kitakarta a NAIH). Küldtek egy egyoldalas pdf-et is, amelyből szintén nem derül ki, hogy mikor készült, és mihez, elvileg az előterjesztés címoldala.
Ha tehát minden úgy volt, ahogy a NAIH állítja, akkor is legfeljebb annyi történt, hogy két alkalommal szóban beszélgettek a rendszerváltás utáni egyik legfontosabb, korábban alkotmányellenesnek minősülő adatvédelmi szabályozásról, aminek során Péterfalviék mindent rendben találtak. Minderről nem készült semmilyen dokumentáció, csak szóban mondták, hogy nincs vele probléma. De még erre sincs egyértelmű bizonyíték.
„A GDPR értelmében ha az adatvédelmi hatóság nem talál kockázatot, akkor valóban nem kell írásban visszajeleznie – mondta a Szabad Európának Remport Ádám, a TASZ magánszféraprogramjának szakértője. – Szerintem viszont egyáltalán nem életszerű, hogy egy ilyen jelentős törvényi változtatás esetén, ahol ekkora volumenű adatkezelés történik, a NAIH ne azonosítson semmilyen kockázatot. A DÁP kiterjedhet minden állampolgárra, a teljes közigazgatásra, érinthet magánszolgáltatókat is, gyakorlatilag az egész országot digitalizálják: hogy mindebben az adatvédelmi hatóság ne lásson semmilyen kockázatot, és elegendő legyen két szóbeli egyeztetés, aminek semmiféle írásos nyoma nem marad, az egyáltalán nem életszerű. A NAIH ráadásul az ombudsmani feladatokat is ellátja. Ha más miatt nem, akkor legalább az alapjogok védelme érdekében fel kellett volna merülnie az egységes azonosító jelentette kockázatoknak.
Hiszen épp ezt, az egységes azonosító használatát minősítette korábban alkotmányellenesnek az Alkotmánybíróság. A NAIH-nak az lenne a feladata, hogy akár az Alaptörvény-módosítás ellenére is fellépjen az alapvető jogok védelme érdekében, Péterfalviéknak nagyon is lett volna tehát tennivalójuk a DÁP-pal kapcsolatban, amit, úgy tűnik, elmulasztottak”
– fogalmazott a jogász.
A hatásvizsgálat
A GDPR értelmében az ilyen, magas kockázattal járó adatkezelés megkezdése előtt nemcsak az egyeztetés kötelező az adatvédelmi hatósággal, de az adatkezelőnek – esetünkben a kabinetirodának – egy hatásvizsgálatot is le kell folytatnia. Ennek részletes dokumentumnak kell lennie, amelyben azt vizsgálják, hogy a törvényi változások milyen kockázatokat jelentenek az állampolgárok adataira; épp azt kell tehát vizsgálni, aminek mi is megpróbáltunk utánajárni. Mivel a kabinetiroda azt állította, hogy minden törvényt betartottak, ezért kikértük tőlük a hatásvizsgálatot is.
Adatigénylés Rogánéktól
Kivárva a törvényben adott maximális időt, a kabinetiroda harminc nap elteltével tájékoztatott, hogy nem adják ki a hatásvizsgálatot, csak személyesen nézhetjük meg a minisztériumban, ahová nem vihetünk semmilyen elektronikai eszközt: azaz csak kézzel jegyzetelhetjük ki a hosszú jogi szöveget. A közérdekű adatokra vonatkozó infótörvényben azonban ilyen lehetőség nincs: ha elektronikusan kérünk egy dokumentumot, azt elektronikusan kell megküldeni. Mivel Rogán minisztériuma nem küldte el a hatásvizsgálatot, bírósághoz kellett fordulnunk: első e-mailünk után majdnem öt hónap telt el, mire megkaptuk azt a hatásvizsgálatot, amely elvileg már 2023 októberében elkészült. Úgy küldték el a 25 oldalas dokumentumot, hogy csak egyenként lehetett letölteni a lapokat – képfájlként. Így nem lehet ellenőrizni, valójában mikor készült a dokumentum (keresni is csak szövegfelismerő segítségével lehet benne), és nem derül ki, hogy a kabinetirodán belül ki vagy kik készítették.
Azt a hatásvizsgálat is kiemeli, hogy a DÁP-törvény kockázatait nem lehet pontosan értékelni, mert a legfontosabb részletszabályokat majd kormányrendeletekkel rendezik. „Meglehetősen nehéz úgy hatásvizsgálatot csinálni valamiről, hogy még nem tudni, mire fog vonatkozni. A legtöbb részletszabályt, a konkrét adatkezeléseket majd rendeletben szabályozzák, ahogyan azt is, mi az az életesemény, ami a digitális állampolgárság egyik központi fogalma” – mondta Remport Ádám a Szabad Európának.
(Ahogy februárban írtuk, a rendeleti szabályozás azért is problémás, mert az Alaptörvény szerint csak törvényben lehet korlátozni az állampolgárok alapvető jogait – amilyen a személyes adatok védelme is. Ráadásul míg egy törvény vitája a nyilvánosságban zajlik, addig egy kormányrendeletet bármiféle külső kontroll nélkül meg lehet hozni, csak akkor értesül róla a nyilvánosság, amikor megjelenik.)
Remport szerint a részletszabályok ismerete nélkül a hatásvizsgálatnak arra kellett volna koncentrálnia, „miért van szükség az egységes azonosító bevezetésére, miközben annak léte korábban alkotmányellenesnek minősült. Erről viszont egyáltalán nem esik szó, csak arra hivatkozik, hogy ez egyszerűsíti majd a felhasználók dolgát, de hogy milyen aggályai vannak egy ilyen egységes azonosítónak, azt egyáltalán nem taglalja a dokumentum.”
Ahhoz ugyanis, hogy használni lehessen a DÁP-ot, hogy egy helyről el tudjuk érni a különböző hivatalokban és cégeknél folyó (azaz különböző adatbázisokban lévő adatokra épülő) ügyeinket, kell egy digitális azonosító. Ennek létrehozásához még az Alaptörvényt is módosították. 1991-ben ugyanis a Sólyom László vezette Alkotmánybíróság kimondta, hogy nem lehet senkinek egyetlen olyan azonosítószáma (ez akkor a személyi szám volt), amellyel az összes állami adatbázisban szerepel. Egy ilyen azonosító ugyanis könnyen összekapcsolhatóvá teszi a különböző adatbázisokat, ami alapján bárkiről személyiségprofilt lehet összeállítani. Pedig akkoriban még papíralapon voltak az adatbázisok, még nehézkes lett volna összekötni a különböző helyeken tárolt információkat – ma viszont, a digitális világban, mindez sokkal egyszerűbbé vált. Épp ez jelenti a legnagyobb kockázatot.
„Van-e módja bárkinek arra, hogy az egységes azonosító alapján minden adatot lekérjen valakiről, vagy mindenhez hozzáférjen, akár a kormányzati adatközpontban? Vagy megvan-e a lehetősége arra bármilyen szervnek, hogy az azonosító birtokában hozzáférjen több adatbázishoz, és létrehozzon egy személyiségprofilt? Lehetséges-e mindez a felhasználó tudta nélkül? Akár döntéseket hozni ez alapján, miközben az sem biztos, hogy pontos következtetéseket vonnak le a profil megalkotása után. Ezeknek a kockázataival a hatásvizsgálat egyáltalán nem foglalkozik. Pedig a DÁP létrejöttével nagyon nagy információs hatalom központosul az adatkezelői oldalon, azaz az államnál” – fogalmazott a TASZ szakértője.
A másik legfontosabb kérdéssel sem foglalkozik érdemben a hatásvizsgálat, mégpedig azzal, hogy a profilt csak aktiválni és inaktiválni lehet; a tárolt adatokat még ötven évig megtartják az inaktiválás után – hívta fel rá a figyelmet Remport, aki szerint egyáltalán nem indokolja meg a DÁP-törvény sem, miért kell ilyen hosszú ideig megtartani az adatokat. A hatásvizsgálat szerint erre „az elektronikus azonosítás hitelességének visszavezethetősége, továbbá a polgárok jogai és jogos érdekeinek védelme érdekében” van szükség.
A hatásvizsgálat olyan kockázatokat azonosít, mint a szerverek fizikai biztonsága; ha valaki kívülről, jogosulatlanul hozzáfér az adatokhoz; jogosulatlanul változtatja meg azokat; vagy törlődnek. Ezek a kockázatok minden esetben súlyosak, de kezelhetők a dokumentum szerint. A DÁP-törvény hatásvizsgálatát teljes terjedelmében innen lehet letölteni.
