Az adatkezelői felelősség alakításában fontos szerepet játszó adatfeldolgozói szerződés kapcsán kezdtem el gondolkodni azon a meglehetősen leegyszerűsítő megközelítésen, hogy 1. ha van szerződés, 2. előfordulhat szerződésszegés, 3. szerződésszegéssel okozott károkozás kapcsán pedig meg lehet vizsgálni, hogy alkalmazandó-e a non cumul, végül pedig akár igen, akár nem a válasz, annak nyilvánvalóan fontos – és eltérő – következményei lehetnek többek között a kártérítés mértékére, módjára, az elévülési szabályokra stb. Ebből az egyszerű gondolatból jutottam aztán a tanulmány során odáig, hogy azonosítani kell a szerződő feleket, a lehetséges károkozót és károsultat (akik nem feltétlenül a szerződésben részt vevő felek), a károkozással kapcsolatban pedig a külső és a belső jogviszonyt, amelyek mögött eltérő helytállási szabályok léteznek.
A non cumul szabály alkalmazhatóságának fontos alapfeltétele, hogy legyen egy azonosítható
kontraktuális és deliktuális felelősségi alap a káresemény kapcsán, amely megteremti a
versengés elvi lehetőségét a jogalapválasztással kapcsolatban. Fontos pontosan tisztázni, hogy
az adatfeldolgozói szerződés kik között milyen céllal jön létre, minden esetben van-e kihatása
a károsult érintettre, sőt szerződő fél-e egyáltalán az érintett? Vannak-e olyan típusú
adatkezelési tevékenységek, ahol fogalmilag kizárt, hogy az adatkezelő és az adatfeldolgozó,
illetve az érintett között szerződés jöjjön létre? Így szűkítettem le végül a tanulmányban
fejtegetetteket olyan adatkezelési tevékenységre, ahol adatkezelő és adatfeldolgozó között
szerződéskötés történik, és így azonosítottam az adatkezelő-adatfeldolgozó-érintett
(kötelezettek-károsult) kapcsolatában a vonatkozó jogszabályok alapján a külső és a belső
jogviszonyt, melyek közül az utóbbiban van jelentősége és ott értelmezhető és tárgyalható
érdemben a non cumul lehetséges alkalmazása egyes károkozások kapcsán.
Az adatkezelő és az adatfeldolgozó között kötendő szerződés alapvető követelményeit Az
Európai Parlament és a Tanács 2016. április 27-i (EU) 2016/679 rendelete a természetes
személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok
szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános
adatvédelmi rendelet) (a továbbiakban: GDPR) 28. cikke tartalmazza, „az” adatfeldolgozói
szerződés tipizálásához azonban további polgári jogi szabályok szükségesek.
Mik lehetnek a legjellemzőbb típusok? Az adatfeldolgozói szerződés lehet vállalkozási típusú
eredménykötelem, ha az adatfeldolgozó háttérinfrastruktúrát, rendelkezésre állást, biztonsági
mentést vállal például felhőszolgáltatóként vagy lehet megbízási típusú gondossági kötelem,
ha például a könyvelőiroda előre beütemezhető, visszatérő, ismétlődő határidőkhöz tapadó
adatokat dolgoz fel, beszámolókat, jelentéseket készít és tölt fel a megfelelő felületekre,
számviteli jogszabályokat alkalmaz és értelmez.
A GDPR 28., 32. és 33. cikke olyan kötelezettségeket tartalmaz, amely inkább az
eredménykötelem irányába dönti el a tipizálási kérdést (utasítások elfogadása, technikai
intézkedések, rendelkezésre állás, adatvédelmi incidensek bekövetkezésekor megfelelő
protokoll követése stb.). Ha van adatfeldolgozói szerződés, akkor felmerül a kérdés, hogy
szerződésszegéssel okozott kár esetén a kontraktuális generálklauzula (a Polgári
Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.). 6:142. §) alkalmazandó-e
a hozzá szorosan tapadó non cumul szabállyal, vagy van-e valamilyen speciális külön szabály
vagy speciális külön jogszabály, amely meghatározza az alkalmazandó rezsimet és
részletszabályait.
Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII.
törvény (a továbbiakban: Infotv.) jelenleg hatályos 24. §-ának hiányában az adatkezelő és
adatfeldolgozó viszonya feltehetően a kontraktuális közreműködőért való felelősség szerint
alakulna, de a jelenleg hatályos szabályozás a Ptk-hoz képest egy külön jogszabályban
szabályozott különös deliktuális tényállás keretében egy kvázi veszélyes üzemi felelősséget
teremt meg a kimentés feltételeit tekintve.
Az Infotv. 24. § (3) bekezdésének kimentési szabálya („Az adatkezelő mentesül az okozott
kárért való felelősség és a sérelemdíj megfizetésének kötelezettsége alól, ha bizonyítja, hogy a
kárt vagy a személyiségi jog megsértésével okozott jogsérelmet az adatkezelés körén kívül eső
elháríthatatlan ok idézte elő.”) gyakorlatilag azonos a veszélyes üzemi felelősség
kimentésével (Ptk. 6:535. § (1) Aki fokozott veszéllyel járó tevékenységet folytat, köteles az
ebből eredő kárt megtéríteni. Mentesül a felelősség alól, ha bizonyítja, hogy a kárt olyan
elháríthatatlan ok idézte elő, amely a fokozott veszéllyel járó tevékenység körén kívül esik.),
ezért a Ptk. 6:535. §-ához kialakult bírói gyakorlat itt is alkalmazhatónak tűnik. Ennek
értelmében az adatkezelő és az adatfeldolgozó kivételes esetben mentesülhet, mert a
tevékenységi kör fogalma rendkívül tág, a mentesülés csak olyan külső, rendkívüli
eseménynél képzelhető el, amely az adatkezelési – adatfeldolgozási tevékenységtől független
és kellő gondosság mellett sem volt elhárítható. Az Infotv. nem pusztán objektivizált
felelősséget szabályoz tehát, hanem a veszélyes üzemi felelősséghez hasonlóan a bizonyítási
terhet is az adatkezelőre (adatfeldolgozóra) telepíti, ami a kvázi veszélyes üzemi felelősség
talán legfontosabb jellemzője. A tevékenységi kör természetesen nem csak rendkívüli
esemény, hanem szervezési kérdés is: mennyire volt felkészült adott szervezet vagy személy
például egy hackertámadás előtt? Megfelelő színvonalú műszaki-informatikai rendszere volt-
e, az átesett-e rendszeres ellenőrzésen, karbantartások, a személyzet részesült-e rendszeres
továbbképzésekben, voltak-e szimulált és aztán alaposan kielemzett próbatámadások?
Az Infotv. nem azért közelít a veszélyes üzemi felelősséghez, mert az adatkezelést
(adatfeldolgozást) fokozott veszéllyel járó tevékenységnek tekinti, hanem azért, mert azonos
felelősségpolitikai megoldást alkalmaz: a tevékenység felett döntési és ellenőrzési pozícióban
lévő személyre telepíti a kockázatot, és számára csak rendkívül szűk körben enged
mentesülést. Az Infotv. objektív felelősségének igazolása így ugyanarra a kockázattelepítési
logikára épül, mint a veszélyes üzemi felelősség, csak a veszélyforrás helyét az információs és
döntési fölény veszi át, erről egy másik, a közeljövőben publikálandó tanulmányomban írok
részletesebben.
Ebben a tanulmányban az adatkezelő és az adatfeldolgozó viszonyát veszem alaposabban
górcső alá.
II. Közös károkozásból az egyetemleges helytállás felé
Nézzük a hatályos Infotv. 24. §-át! Az adatkezelővel és az adatfeldolgozóval kapcsolatban
támasztott legfőbb elvárás az általam most pongyolán „minden adatvédelmi szabály”
betartásának nevezett követelmény, ellenkező esetben, ha ezeket megsérti és ezzel kárt okoz
akkor kártérítést, ha személyiségi jogi jogsérelmet okoz akkor sérelemdíjat fizethet.
Adatkezelő és adatfeldolgozó viszonyában azonban az Infotv. 24. § (5) bekezdése nem
egyszerűen a közös károkozás egy újrafogalmazása, hanem egy speciális, a károsult érintett
védelmét szolgáló helytállás, amely az érintett érdekében előre rendezi a külső felelősséget,
amelynek természetesen alapfeltétele a belső (adatkezelő-adatfeldolgozó) viszony rendezése.
Kell-e előzetesen tisztázni az adatkezelő és az adatfeldolgozó felróhatóságának mértékét
ahhoz, hogy a károsult érintett az egyetemleges helytállásra hivatkozhasson? Az Infotv. 24. §
(5) szerint „az érintettel szemben egyetemlegesen felelnek”, ez tehát a külső viszonyt rendező
szabály. Azt jelenti, hogy a károsult érintett bármelyikőjüktől követelheti a teljes kártérítést
vagy a sérelemdíjat és nem kell bizonyítania, hogy pontosan melyik szereplő milyen arányban
okozta a jogsérelmet, nem kell bizonyítania a belső felelősségi arányokat. Ezért helytállási
szabály és nem a klasszikus közös károkozás szabálya.
Az Infotv. 24. § (5) tehát az érintett érdekében egyetemleges helytállást ír elő, amely
független attól, hogy a kötelezettek egymás közötti viszonyában a felelősség milyen arányban
oszlik meg.
A GDPR 82. cikk (4) bekezdése ugyanezt a logikát követi: ha több adatkezelő vagy
adatfeldolgozó érintett ugyanabban az adatkezelésben, és felelősek a kárért, mindegyikük a
teljes kárért felel annak biztosítása érdekében, hogy az érintett tényleges kártérítéshez jusson,
az Infotv. 24. § (5) bekezdése tehát lényegében a GDPR 82. cikk (4) bekezdésének
implementációja.
Az Infotv. közlönyállapot szerinti, hatálybalépéskori változata (Infotv. 23. § (1) Az adatkezelő
az érintett adatainak jogellenes kezelésével vagy az adatbiztonság követelményeinek
megszegésével másnak okozott kárt köteles megtéríteni. Az érintettel szemben az adatkezelő
felel az adatfeldolgozó által okozott kárért is. Az adatkezelő mentesül a felelősség alól, ha
bizonyítja, hogy a kárt az adatkezelés körén kívül eső elháríthatatlan ok idézte elő. (2) Nem
kell megtéríteni a kárt annyiban, amennyiben az a károsult szándékos vagy súlyosan
gondatlan magatartásából származott.) nem tartalmazott egyetemleges felelősségi szabályt,
hanem a klasszikus közreműködőért való felelősségről szólt, a rendszere és a logikája tehát
akkor a Ptk. logikáját követte: az adatfeldolgozó az adatkezelő megbízásából jár el, az érintett
az adatkezelővel áll jogviszonyban, ha az adatfeldolgozó hibázik, azért az adatkezelő felel. Az
adatfeldolgozó ellen az érintettnek nem lehetett önálló közvetlen követelése, ezt változtatta
meg a GDPR 82. cikke, amely szerint az adatfeldolgozó már nem pusztán az adatkezelő
teljesítési segédje, hanem önálló kötelezetté válhat a megfelelő feltételek teljesülése esetén.
Ez a szabály jelenleg a hatályos Infotv. 24. § (5) bekezdése, a jogalkotó itt tehát tudatosan
lecserélte a régi konstrukciót, de ez nem pusztán szövegpontosítás vagy implementáció,
hanem a felelősségi rendszer átalakítása.
Ha a Ptk. logikáját követnénk, akkor aszerint először azt kellene megállapítani, hogy fennáll-e
közös károkozás, kik a károkozók, és ebből következik aztán az egyetemlegesség. A GDPR
viszont kógens jelleggel kimondja, hogy ha több felelős adatkezelő vagy adatfeldolgozó
ugyanazon adatkezelésben részt vesz, akkor az érintett irányában teljes helytállási
kötelezettség áll fenn. Itt tehát úgy tűnik, hogy nem az arányok megállapítása, hanem az
érintett teljes reparációja az elsődleges jogalkotói cél. A GDPR úgy fogalmaz, hogy „és
felelősek az adatkezelés által okozott károkért”, ami azt jelenti, hogy előbb megállapítandó,
hogy ki a felelős – tehát nem automatikusan minden folyamatban részt vett adatkezelő és
adatfeldolgozó felel, csak az, aki megszegte az adatvédelmi szabályokat és ezzel kárt okozott.
Vagyis az adatvédelmi szabályok megsértése megállapítása után az Infotv. 24. § (5) bekezdése
már nem a felelősségi arányokat rendezi, hanem az érintett javára egyetemleges helytállási
kötelezettséget ír elő, így alakul ki a kétlépcsős vizsgálat: ki(k) a felelős(ök) és a felelősök
aztán hogyan tartoznak helytállni az érintettel szemben.
A GDPR 82. cikk szerint nem a közös károkozás a feltétel, hanem az, hogy több adatkezelő
vagy adatfeldolgozó ugyanazon adatkezelési folyamatban vett részt, és az adatvédelmi
szabályok megsértésével kárt okoztak, melyért felelősek. Először tehát azt kell megállapítani,
hogy az egyes adatkezelők, illetve adatfeldolgozók felelőssége fennáll-e az Infotv. 24. § (1),
(2) és (3) bekezdése, illetve a GDPR 82. cikke alapján.
Ezt követően alkalmazható az Infotv. 24. § (5) bekezdésében foglalt egyetemleges helytállási
szabály.
A közös károkozás logikája ugyanakkor a belső viszonyban kerül elő: ha az egyik kötelezett a
teljes kártérítési összeget vagy a sérelemdíjat megfizette az érintettnek, felmerül, hogy ki és
milyen módon sértette meg az adatvédelmi szabályokat, pontosan milyen kötelezettséget
szegtek meg, milyen mértékben járultak hozzá a kárhoz, volt-e szerződésszegés az adatkezelő
és adatfeldolgozó között, volt-e felróhatóság. Ha Ptk. alapján vizsgálnánk, akkor ha az
adatkezelő megbízza az adatfeldolgozót, akkor az adatfeldolgozó az adatkezelő
közreműködője lesz, a károsulttal szemben pedig az adatkezelő felel a közreműködőért. A
GDPR azonban áttöri ezt a modellt, mert az adatfeldolgozót közvetlenül felelőssé teszi az
érintettel szemben. A GDPR és az Infotv. az adatfeldolgozót nem pusztán az adatkezelő
közreműködőjeként kezeli, hanem önálló, közvetlen külső felelősséggel rendelkező
szereplőként vonja be a felelősségi rendszerbe. A közreműködőért való felelősség logikája
ezért csak a belső viszonyok értelmezésében marad teljeskörűen alkalmazható.
Az Infotv. 24. § (5) bekezdésében szabályozott egyetemleges felelősség elsődlegesen nem a
Ptk. közös károkozási szabályának egyszerű megismétlése, hanem az érintett védelmét
szolgáló speciális egyetemleges helytállási rendelkezés. Az érintettnek nem kell előzetesen
bizonyítania az adatkezelő és az adatfeldolgozó közötti felróhatósági vagy közrehatási
arányokat, elegendő annak igazolása, hogy a személyes adatok kezelésére vonatkozó
előírások megsértése és a kár vagy jogsérelem között okozati kapcsolat áll fenn, és alperes
felelős. A kötelezettek egymás közötti viszonyában azonban már vizsgálni kell, hogy a
jogsértéshez melyikük milyen mértékben járult hozzá, és ennek megfelelően milyen
megtérítési igény illeti meg a teljesítő felet.
A GDPR és Infotv. rendszere bizonyos értelemben erősebb érintettvédelmet biztosít, mint a
klasszikus polgári jogi közös károkozás, mert az egyetemleges helytállást nem a közös
károkozás teljes bizonyításához, hanem a közös adatkezelési folyamatban való felelősségi
érintettséghez kapcsolja. Az Infotv. 24. § (5) bekezdésében szereplő egyetemleges felelősség
valójában funkcionálisan egyetemleges helytállási szabály, ahol a külső (érintett–kötelezettek)
és a belső (adatkezelő–adatfeldolgozó) viszony dogmatikailag elválik.
III. Adatvédelmi jogszabályok megsértésével okozott kár érvényesítése
A speciális jogterületet tekintve két hasonlóan bonyolult jogterület szabályai kapcsán
felmerült bennem, hogy egy vagy két lépcsőben dönt-e a bíróság az adatvédelmi jogszabályok
megsértésével okozott kár esetén a kártérítésről (személyiségi jogi jogsérelem esetén a
sérelemdíjról) mint például a közigazgatási jogkörben okozott kárnál, illetve előfeltétel-e a
Nemzeti Adatvédelmi és Információszabadság Hatóság eljárása, döntése, vagy figyelembe
vehető-e szakmailag úgy, mint például a versenyjogi kártérítési ügyekben (főként ha a
perstratégia nem a stand alone hanem a follow on koncepción alapul) a GVH eljárása és
döntése?
A rövid válasz az, hogy nem két külön bíróság, hanem főszabály szerint ugyanaz a polgári
bíróság dönthet mind az adatvédelmi jogsértésről, mind a kártérítésről vagy sérelemdíjról,
ehhez példaként két, a Jogkódex online döntvénytárában talált ítéletet hozok példának.
(Fővárosi Ítélőtábla Pf.20477/2023/4. „A panaszokat és közérdekű bejelentéseket kezelő
szervtől általánosan elvárható magatartás az, hogy amennyiben olyan adatot észlel a
beadványban, melyről nem tudja megítélni, hogy az alkalmas-e a panaszos azonosítására, a
panaszost az adat jellege körében nyilatkozatra hívja fel és ennek ismeretében az adatot
felismerhetetlenné teszi, vagy csupán a felvetett problémát tartalmazó összefoglalót küld a
bepanaszolt számára. Amennyiben ezt elmulasztja, és a beadványt úgy továbbítja a
bepanaszolt részére, hogy az alapján a panaszos személye azonosíthatóvá válik, mulasztása
nem menthető ki és a sérelemdíj megfizetéséért fennáll a felelőssége.”
Esetleírás: a felperes panasszal fordult az alpereshez, melyben sérelmezte, hogy a bejelentése
másolatát a személyes adataival együtt továbbította a bepanaszolt szervezetnek. Az alperes az
adatvédelmi incidens kockázatértékelésének eredményeként megállapította, hogy az incidens
valószínűsíthetően nem jár kockázattal a felperes jogaira és szabadságaira nézve, mivel az
lényegében nincs kihatással a felperesre, vagy csupán kisebb kellemetlenséget okoz számára,
ezért azonnali intézkedés nem szükséges. A Nemzeti Adatvédelmi és Információszabadság
Hatóság határozatával megállapította, hogy az alperes megsértette az általános adatvédelmi
rendelet (GDPR) 33. cikk (1) bekezdését, amikor az incidens kockázatainak nem megfelelő
értékeléséből fakadóan nem tett eleget a hatóság felé fennálló incidens-bejelentési
kötelezettségének. Megállapította továbbá a hatóság, hogy az alperes megsértette az általános
adatvédelmi rendelet 34. cikk (1) bekezdését, amikor az incidens kockázatainak nem megfelelő
értékeléséből fakadóan nem tájékoztatta a felperest az adatvédelmi incidensről. A hatóság
utasította az alperest, hogy adjon világos és közérthető tájékoztatást a felperesnek az incidens
körülményeiről. Ezen felül a hatóság az alperest 1.000.000 forint adatvédelmi bírság
megfizetésére kötelezte.
A bíróság megállapította, hogy az alperes megsértette a felperes személyes adatok
védelméhez, továbbá a magántitokhoz fűződő személyiségi jogát és 275.000.- Ft sérelemdíjat
ítélt meg részére, mivel általánosan elvárható magatartás a panaszokat, illetve közérdekű
bejelentéseket kezelő szervtől, adatkezelőtől, hogy amennyiben esetlegesen olyan adatokat
észlel a beadványban, amelyek vonatkozásában nem tudja megítélni, hogy azok alapján a
panaszos azonosítható-e, azt nem küldi meg minden további intézkedés nélkül a
bepanaszoltnak. A sérelemdíj mértékét – többek között – a felróhatóság mértéke is
befolyásolja, ezt a bíróság csekélynek minősítette, ugyanis az alperes azon adatokat, amelyek
alapján a felperes egyértelműen azonosítható volt felismerhetetlenné tette, a mulasztás olyan
adat vonatkozásában terhelte, amelynek személyes adatként való detektálásának elmaradása
nem tekinthető súlyos hanyagságnak, továbbá önmagában azon körülmény, hogy a felperes
felismerhetővé vált a beadványa alapján, habár köztudomásúan okoz hátrányt, az nem olyan
mértékű, amely indokolttá tenné a felperes által eredetileg követelt 5.500.000 forint sérelemdíj
megállapítását.
Kúria Pfv.20003/2024/13. „A GDPR 82. cikkét nem lehet úgy értelmezni, hogy a GDPR
rendelkezésének bármely megsértése önmagában alapot ad a kártérítés érvényesítésére, ez az
értelmezés nem vezethető le a „kár”, „elszenvedett kár” fogalmából. Az adatvédelmi szabályok
megszegése önmagában nem elégséges a GDPR 82. cikkében foglalt nem vagyoni kártérítés
jogkövetkezmények alkalmazásához.”
Esetleírás: a felperes azt tapasztalta, hogy közösségi oldal profiljával megosztott cikkekhez,
bejegyzésekhez nem tud hozzászólni, az ott megosztott cikkekhez, bejegyzésekhez nem fér
hozzá, korábban írt hozzászólásai nem érhetők el, azok a tevékenységnaplójából is eltűntek. A
felperes a keresetben a szabad véleménynyilvánításhoz és a személyes adatok védelméhez
fűződő személyiségi joga megsértésének megállapítását kérte, melyet álláspontja szerint az
alperes a szabad véleménynyilvánításhoz fűződő jogát azzal sértette meg, hogy közösségi
oldalához a hozzáférését ellehetetlenítette. Az alperes azzal védekezett, hogy a kifogásolt
intézkedéseket a közösségi oldal adminisztrátora döntött, neki nem volt döntő befolyása az
adatkezelés eszközeinek és céljának meghatározására, tárhelyszolgáltatóként nem feladata a
tárhelyen megosztott tartalom monitorozása.
A bíróság szerint a GDPR egyes cikkeinek megsértése ellenére a kereset azért volt alaptalan,
mert az adatkezelési szabályok megsértése az adott esetben a felperes személyiségi jogait nem
sértette. Az Infotv. 23. § (5) bekezdése és a Ptk. 2:52. §-a szerinti sérelemdíj nem különböző
jogintézmények, sérelemdíj csak a személyiségi jog megsértése esetén alkalmazható. Az
alperes a személyes adat jogosulatlan megszerzése, illetéktelen személlyel való közlése vagy
nyilvánosságra hozatala magatartásokat nem tanúsította, sérelemdíjat viszont csak ezek
alapoznának meg.)
Az idézett ítélőtáblai döntés az egylépcsős eljárási modellt illusztrálja, a benne szereplő
felróhatósági mérlegelés a sérelemdíj Ptk. 2:52. §-a szerinti összegének, illetve módjának
meghatározásához kapcsolódik, és nem érinti a később a IV. fejezetben tárgyalt kimentési
szabály objektív jellegét – a felelősség fennállása és a jogkövetkezmény mértéke e körben
dogmatikailag elkülönül. A közigazgatási jogkörben okozott kárnál a károsult főszabály
szerint csak akkor perelhet kártérítésért, ha a közigazgatási döntés jogellenessége
megállapítást nyert (rendes jogorvoslat során vagy közigazgatási perben) kivéve, ha ilyen
jogorvoslati lehetőség kizárt. Ott két lépcsőben válik el a közigazgatási jogvita és a kártérítési
per, és a kártérítési perre akkor kerülhet sor, ha a rendes jogorvoslat vagy a közigazgatási per
nem volt alkalmas a reparációra, ily módon okafogyottá téve a kártérítési pert. Az Infotv. 24.
§ szerinti rezsim nem ismeri ezt a típusú kétlépcsős folyamatot, a polgári bíróság vizsgálja
egy eljárásban, hogy történt-e adatvédelmi jogszabály megsértése, azzal okozati
összefüggésben történt-e károkozás vagy személyiségi jogsérelem.
Ha a Nemzeti Adatvédelmi és Információszabadság Hatóság lefolytatott egy adatvédelmi
hatósági eljárást, melyben bírságot szabott ki, elrendelte az adatkezelés megszüntetését vagy
másról döntött, a határozatában írottak figyelembe vehetőek – de nem előfeltétele a kártérítési
pernek, hiszen az érintett a GDPR 79. és 82. cikke szerint közvetlenül is fordulhat bírósághoz.
Az Infotv. 24. § szerinti felelősségi rendszer nem épül a közigazgatási jogkörben okozott
kárfelelősséghez hasonló kétlépcsős modellre. A személyes adatok kezelésére vonatkozó
szabályok megsértését és az abból eredő kártérítési vagy sérelemdíjigényt a polgári bíróság
ugyanazon eljárásban bírálja el. Az adatvédelmi jogsértés megállapítása nem előfeltétele a
kártérítési pernek, hanem annak egyik érdemi kérdése. Az Infotv. 24. § nem egy közigazgatási
szankcióra épülő járulékos polgári jogi felelősséget hoz létre, hanem önálló polgári jogi
felelősségi tényállást. A GDPR vagy az Infotv. megsértése itt nem egy másik eljárásban
megállapítandó előkérdés, hanem a polgári jogi felelősség egyik tényállási eleme, amelyet
maga a polgári bíróság vizsgál. Ez dogmatikailag lényeges különbség a közigazgatási
jogkörben okozott károk rendszeréhez képest.
IV. Az adatkezelői felelősség és a non cumul
Az Infotv. vonatkozó kárfelelősségi szakaszának (Infotv. 24. § (1) Ha az adatkezelő, illetve az
általa megbízott vagy rendelkezése alapján eljáró adatfeldolgozó a személyes adatok
kezelésére vonatkozó, jogszabályban vagy az Európai Unió kötelező jogi aktusában
meghatározott előírásokat megsérti és ezzel másnak kárt okoz, köteles azt megtéríteni.)
hiányában tekinthetnénk az adatkezelő és adatfeldolgozó közötti szerződés utóbbi által
megszegését akár úgy, mintha a közreműködő károkozásáról beszélnénk, nem véletlenül
tartalmazza azt az Infotv. hogy az adatfeldolgozó közvetlenül is felelős (mert a Ptk-ból
egyébként ez nem következne automatikusan). Vagyis a speciális szabály hiányában
kontraktuális kárfelelősségről beszélnénk, a non cumul szabály miatt pedig a károsult érintett
nem választhatná a deliktuális igényérvényesítési lehetőséget. De mindig az érintett a károsult
az adatkezelő károkozása kapcsán? Nem!
Az Infotv. vonatkozó szakaszának második bekezdése (Infotv. 24. § (2) (2) Ha az adatkezelő,
illetve az általa megbízott vagy rendelkezése alapján eljáró adatfeldolgozó a személyes
adatok kezelésére vonatkozó, jogszabályban vagy az Európai Unió kötelező jogi aktusában
meghatározott előírásokat megsérti és ezzel más személyiségi jogát megsérti, az, akinek
személyiségi joga sérelmet szenvedett, az adatkezelőtől, illetve az általa megbízott vagy
rendelkezése alapján eljáró adatfeldolgozótól sérelemdíjat követelhet.) ugyanakkor nem
kártérítésről, hanem sérelemdíjról beszél, azaz itt a non cumul fel sem merülhetne, mint
alkalmazható szabály a szakaszban szabályozott tényállás orvoslására a speciális jogszabály
hiányában.
Az Infotv. 24. §-a azonban nem pusztán egy speciális tényállás, több annál, ez egy speciális
felelősségi rendszer, ezért a non cumul más okból sem alkalmazható, előfeltétele ugyanis,
hogy ugyanarra a magatartásra egyszerre alkalmazható legyen a kontraktuális és deliktuális
felelősség.
A non cumul előfeltétele egy szerződéses jogviszony a károsult és a károkozó között, az
adatkezelési viszonyok jelentős részében azonban az érintett és az adatkezelő között nincs
szerződés (például közhatalmi tevékenység során végzett adatkezelések), ezeknél tehát eleve
nincs kontraktuális felelősség, amellyel a deliktuális felelősség konkurálhatna. A felvetésem
szerinti non cumul dilemma tehát eleve csak azokban az adatkezelési jogviszonyokban
merülhetne fel, ahol az adatkezelés szerződéses jogviszony keretében történik (például
pénzintézetek, biztosítók, bankok és ügyfeleik között).
A későbbi, V. fejezetben világítok arra, hogy ez a feltevés is csak átmeneti kiindulópont és
tovább kell cizellálnom: az Infotv. 24. §-ának önálló deliktuális jellege miatt a non cumul
kérdése végül akkor sem merül fel érdemben, ha az érintett és az adatkezelő között szerződés
áll fenn, mert az érintett kárigényének jogalapját nem ez a szerződés, hanem közvetlenül az
Infotv. 24. § és a GDPR 82. cikke adja. Az adatfeldolgozói szerződés úgymond a jogalap
praktikus részletkérdéseit dolgozza fel, ezzel segítve az adatkezelő és adatfeldolgozó
mindennapi munkáját.
A GDPR 82. cikke határozza meg, hogy ki felel, ki perelhető, milyen a mentesülés, mikor
felel az adatfeldolgozó, milyen az egyetemleges felelősség, hogyan történik a regressz
igényérvényesítés, vagyis ha egy szerződéses alapú adatkezelés egyszerre valósítaná meg a
szerződésszegést és a GDPR megsértését, akkor a 82. cikkből eredő igényt sem lehetne a non
cumulra hivatkozva kizárni. A szerződés és a 82. cikk között tehát nem lehet versengő állapot.
A GDPR 82. cikke önálló felelősségi szabályokat tartalmaz, de nem kodifikál teljes kártérítési
jogot: számos kérdést (például az okozati összefüggés bizonyos aspektusait, az elévülést, az
eljárási szabályokat) nyilvánvalóan továbbra is a tagállami jog rendezi. Ez a hiány azonban
eljárási jogi, illetve a jogintézményt kitöltő jellegű, és nem érinti azt az anyagi jogi minősítést,
hogy a regresszigény jogalapja magában a GDPR 82. cikk (5) bekezdésében, mint önálló
uniós normában gyökerezik – a tagállami jog itt nem konkuráló jogalapot kínál, hanem az
uniós jogintézmény érvényesítéséhez szükséges eljárási keretet biztosítja.
Azaz a felvetett kérdésemre adható válasz a speciális uniós felelősségi rezsim és a tagállami
magánjogi dogmatika találkozási pontján helyezkedik el, de ez a találkozási pont az anyagi
jogalap egységét nem bontja meg.
A GDPR 82. cikkének három konjunktív feltétele (EUB, C-300/21, Österreichische Post AG)
– amely segít az Infotv. 24. § értelmezésében is – a GDPR megsértése, vagyoni vagy nem
vagyoni kár bekövetkezése, okozati kapcsolat a jogsértés és a kár között. A GDPR megsértése
önmagában nem alapozza meg a kártérítési igényt.
A bizonyítást illetően (C-340/21 (Natsionalna agentsia za prihodite): önmagában az, hogy
hackertámadás történt, nem bizonyítja, hogy az adatkezelő megfelelő technikai és szervezési
intézkedéseket tett, az adatkezelőnek kell bizonyítania, hogy a GDPR 24. és 32. cikke szerinti
intézkedései megfelelőek voltak, ez támasztja alá a kimentés körében a kvázi veszélyes üzemi
felelősség létezését.
A GDPR 82. cikke kompenzációs, nem büntető jellegű (C-182/22 és C-189/22 (Scalable
Capital), a teljes kár megtérítésére szolgál, a nem vagyoni kár nem tekinthető eleve kevésbé
jelentősnek, mint más károk, csekély összegű kártérítés is megítélhető, ha az teljes reparációt
jelent (vagyis nem ismeri a hazai jogban ismert és alkalmazott bagatell ügyek fogalmát).
Az Infotv. 24. §-át jelentősen árnyalja a GDPR 82. cikkének (3) bekezdése, mely szerint „Az
adatkezelő, illetve az adatfeldolgozó mentesül az e cikk (2) bekezdése szerinti felelősség alól,
ha bizonyítja, hogy a kárt előidéző eseményért őt semmilyen módon nem terheli felelősség.”
A szakirodalom sajnos nem segített abban, hogy az első látásra egymásnak ellentmondó két
kimentési klauzula viszonya milyen: azonos jelentéstartalmúak? Vagy esetleg a GDPR
kifejezéshasználata olyan tág, hogy még a cikkben felvázolt kvázi veszélyes üzemi felelősségi
kimentési szabályánál is szigorúbban húzza meg a károkozó adatkezelő számára a
kimenekülési útvonalat? Eltérés esetén, mint közvetlenül alkalmazandó uniós norma biztos,
hogy a GDPR szakasza élvez elsőbbséget a bíróságon, ugyanakkor érdekes kérdés, de sajnos
nem találtam rá választ az Infotv. módosítása kapcsán az indokolásban, hogy miért választotta
a nemzeti jogalkotó 2018-ban ezt a több mint száz éves hagyományra visszatekintő megoldást
a kimentés kapcsán. Ez alapján tehát önmagában a tanulmány ezen pontján érvényes válasz
nem adható arra, hogy az „adatkezelés körén kívül eső elháríthatatlan ok” ugyanazzal a
mércével mér-e, mint a „semmilyen módon nem terheli felelősség” szakasz.
Az EUB ugyan értelmezte már a GDPR 82. cikkének (3) bekezdését például a bolgár
adóhatóságot ért kibertámadás kapcsán (C-340/21. (Natsionalna agentsia za prihodite), ahol a
mentesüléshez vezető utat azt jelentheti a bíróság szerint, ha a kárt előidéző esemény
semmilyen módon nem tulajdonítható az adatkezelőnek, ez viszont nem a magyar működési
kör fogalmából indul ki, ezért a két klauzula teljes tartalmi azonossága jelenleg nem
állapítható meg. Az az elvárás viszont, hogy az adatkezelő mentesülhet, ha nem sértette meg a
GDPR 5., 24. és 32. cikkei szerinti adatbiztonsági kötelezettségeket, nagyon hajaz a veszélyes
üzemi tevékenység működési körének értelmezéséhez.
Az is lehet, hogy a kérdésfeltevésem rossz: nem az a kérdés, hogy miért szerepel a kvázi
veszélyes üzemi felelősség a kimentés körében az adatkezelőnél az Infotv-ben és az hogy
viszonyul a GDPR-hoz, hanem lehet hogy az a kérdés (és egyben a válasz is), hogy a szabály
meghagyása konkretizálja-e a meglehetősen általános GDPR szabályt a bírósági gyakorlat
számára, az Infotv. tehát nem konkurencia, hanem értelmezési segédlet a GDPR-hoz.
Kutatásaim kiterjedtek más tagállami összeütközésre vagy legalábbis bizonytalan értelmezési
tartományt keresésére, de amennyire fel tudtam térképezni például a német és az osztrák
jogalkotási gyakorlatot, ott egyszerűen beillesztették a deliktuális felelősségi rezsimbe és nem
tapasztottak hozzá egy több mint száz éves jogintézményt. Ennek fényében még érdekesebb –
és bosszantóbb – hogy a jogalkotó 2018-as Infotv-módosítási akaratának háttere nem világos
az elérhető indokolásból (2018. évi XXXVIII. törvény az információs önrendelkezési jogról és
az információszabadságról szóló 2011. évi CXII. törvénynek az Európai Unió adatvédelmi
reformjával összefüggő módosításáról, valamint más kapcsolódó törvények módosításáról
Részletes indokolás a 7-9. §-hoz: A Javaslat az Irányelv szerkezetéhez igazodóan (az Irányelv
III. fejezetével összhangban) az Infotv.-t egy új fejezettel kiegészítve szabályozza újra az
érintettet a személyes adatai kezelése kapcsán megillető (rész)jogosítványok körével és azok
érvényesítésével összefüggő előírásokat, ideértve ezen jogérvényesítéshez kapcsolódóan az
adatkezelőt terhelő kötelezettségeket. Ezen előírások az Irányelv rendelkezései alapján, de
lényegüket tekintve az Infotv.-ben az uniós adatvédelmi reformot már megelőzően is rögzített
körben részletesen meghatározzák az érintettet megillető jogok tartalmát, gyakorlásának
módját és eszközeit, valamint esetleges korlátozásának feltételeit és kereteit.).
Ekkor tekintettem még korábbra, és megnéztem, hogy az Infotv. 2011. 07. 26-i
közlönyállapota szerint az eredeti szakasz hogy szólt: 23. § (1) Az adatkezelő az érintett
adatainak jogellenes kezelésével vagy az adatbiztonság követelményeinek megszegésével
másnak okozott kárt köteles megtéríteni. Az érintettel szemben az adatkezelő felel az
adatfeldolgozó által okozott kárért is. Az adatkezelő mentesül a felelősség alól, ha bizonyítja,
hogy a kárt az adatkezelés körén kívül eső elháríthatatlan ok idézte elő.
A GDPR hatályba lépésekor a jogalkotónak két lehetősége volt: változatlanul hagyja a
szabályt vagy átveszi a GDPR szóhasználatát. Előbbi megoldást alkalmazta – csak nem adott
rá választ a módosító jogszabály indokolásában. Sem nyelvtani, sem dogmatikai, sem
történeti értelmezés nem visz közelebb ahhoz, hogy miért ez a ma hatályos szabály, és hogy
oldható fel az ellentmondás a GDPR szövegével – ha van egyáltalán ellentmondás.
Itt még egy értelmezési tartomány kínálkozik: megnézni, hogy az Infotv. hatálybalépésekor
mit mondott az indokolás erről az előző bekezdésbeli szakaszról (Az információs
önrendelkezési jogról és az információszabadságról szóló T/3586. számú törvényjavaslat
indokolása A 23. §-hoz: Az adatkezelésből eredő károkért az adatkezelő objektív felelősséggel
tartozik, amit az indokol, hogy az érintettel szemben az adatkezelő van döntési pozícióban az
adatkezelés megvalósítása kapcsán, amelyre az érintettnek csak korlátozottan van ráhatása. A
törvény nem tesz különbséget az objektív alapon megtérítendő vagyoni és a szubjektív alapú
nem vagyoni károk között. Ugyanaz az erőviszonybeli különbség, amely az objektív
felelősséget indokolja, megalapozza azt is, hogy kimentő okként csak vis maior vagy az
érintett szándékos vagy súlyosan gondatlan magatartása szolgáljon.)
Az indokolás nem azt mondja, hogy az adatkezelés veszélyes, hanem hogy az érintettel
szemben az adatkezelő van döntési pozícióban. A veszélyes üzemnél az objektív felelősség
indoka a veszélyforrás feletti uralom, ami jelen témám szempontjából az információs hatalom.
Míg a veszélyes üzemi felelősség objektivizálását a veszélyforrás feletti uralom indokolja,
addig az Infotv. – eredeti – indokolása szerint az adatkezelő objektív felelősségének alapja az
adatkezelő és az érintett közötti információs és döntési aszimmetria. A két felelősségi alakzat
indoka tehát eltérő, de közös jellemzőjük, hogy a jogalkotó a fokozott ellenőrzési és
befolyásolási lehetőséggel rendelkező félre telepíti a kockázatot.
A jogszabály működési körön kívüli elháríthatatlan ok fogalmát az indokolás így magyarázza:
„kimentő okként csak vis maior vagy az érintett szándékos vagy súlyosan gondatlan
magatartása szolgáljon”. A működési kör ugyanakkor jóval tágabb mint a vis maior,
legtipikusabb példája a harmadik személy magatartása a működési körben, de az indokolás ezt
egyszerűsíti le a vis maior esetekre. A 2011-ben még létező nemvagyoni kártérítés
jogintézménye ismeretében az „objektív alapon megtérítendő vagyoni és a szubjektív alapú
nem vagyoni károk” még helyes megállapítás volt, de 2014 óta a sérelemdíj
jogintézményének bevezetésével már nyilvánvalóan nem alkalmazható.
V. Non cumul de kik között és milyen jogviszonyban?
A non cumul kiindulópontja, hogy akkor alkalmazható, ha ugyanazon magatartás egyszerre
alapoz meg kontraktuális és deliktuális kártérítési igényt. A non cumul tehát nem általános
elv, hanem versengő felelősségi alapok közötti választási szabály. Az adatkezelő és
adatfeldolgozó között van szerződés. Az adatfeldolgozói szerződés alapvető szabályait maga a
GDPR 28. cikke írja elő. Ha e két mondat alapján keresnénk a választ, akkor a Ptk. alapján
valóban felmerülhetne, hogy ha az adatfeldolgozó megszegte a szerződést és ebből kár
keletkezett, megáll-e a kontraktuális felelősség. Az Infotv. 24. §-a ugyanakkor nem az
adatkezelő és az adatfeldolgozó egymás közötti jogviszonyát rendezi (!), hanem az érintett és
a személyes adatokat kezelő szereplők közötti külső felelősséget, nem a szerződés
megszegése a tényálláselem, hanem az adatvédelmi jogszabály megsértése.
Az Infotv. 24. § az érintett irányában önálló deliktuális felelősségi tényállást állapít meg. A
felelősség nem a GDPR 28. cikke szerinti adatfeldolgozói szerződés megszegésére, hanem a
személyes adatok kezelésére vonatkozó jogszabályi kötelezettségek megsértésére épül, ezért a
felelősség alapja nem kontraktuális. Ha az adatkezelő megfizette az érintett teljes kárát, akkor
az adatfeldolgozóval szembeni megtérítési igényét már a GDPR, az adatfeldolgozói
szerződés, és a Ptk. alapján érvényesítheti, ott már alkalmazható a kontraktuális kárfelelősségi
szabály.
Az Infotv. 24. § a károsult érintett irányában olyan speciális deliktuális felelősségi rezsimet
hoz létre, amelynek alkalmazását nem befolyásolja az adatkezelő és az adatfeldolgozó között
fennálló szerződéses jogviszony. A szerződés jelentősége a kötelezettek egymás közötti
regresszviszonyában jelenik meg, míg az érintett kártérítési igénye önálló törvényi felelősségi
tényálláson alapul.
A non cumul szabály alkalmazhatóságának előfeltétele nem pusztán a szerződéses jogviszony
fennállása, hanem az is, hogy a jogalkotó ugyanarra a károkozásra ne hozzon létre önálló,
speciális deliktuális felelősségi rezsimet. Ha a jogalkotó ilyen rezsimet alkot – mint például a
versenyjogi kártérítés vagy az Infotv. 24. § esetében –, akkor a speciális felelősségi szabály az
érintett és a károkozók közötti külső jogviszonyban kiszorítja a Ptk. általános
kontraktuális–deliktuális versengését.
Az érintett kártérítési igényének jogalapját nem az adatkezelő és adatfeldolgozó közötti
szerződés, hanem közvetlenül az Infotv. 24. § és a GDPR 82. cikke adja. Az érintett és az
adatfeldolgozó között rendszerint nincs is szerződés, de az adatkezelővel sincs feltétlenül.
Ezért az érintett oldalán nincs két versengő felelősségi alap, hanem egy speciális, törvényi
deliktuális rezsim.
Adatkezelő és adatfeldolgozó GDPR 28. cikk szerinti szerződéses viszonyában, ha az
adatfeldolgozó megsérti például az utasításteljesítési kötelezettségét, az adatbiztonsági
kötelezettségét, a titoktartást vagy más fontos követelményt és emiatt az adatkezelőnek kára
keletkezik (például a sérelmet szenvedett érintettnek sérelemdíjat kell fizetnie), akkor
felmerülhet kontraktuális igény a szerződésszegés miatt, de felmerülhet-e deliktuális igény?
Szóba jöhet-e a deliktuális másért való felelősség ebben a jogviszonyban? Az Infotv. 2011-es
közlönyállapota szerinti eredeti 23. §-ánál igen (Infotv. 23. § (1) Az adatkezelő az érintett
adatainak jogellenes kezelésével vagy az adatbiztonság követelményeinek megszegésével
másnak okozott kárt köteles megtéríteni. Az érintettel szemben az adatkezelő felel az
adatfeldolgozó által okozott kárért is. Az adatkezelő mentesül a felelősség alól, ha bizonyítja,
hogy a kárt az adatkezelés körén kívül eső elháríthatatlan ok idézte elő. (2) Nem kell
megtéríteni a kárt annyiban, amennyiben az a károsult szándékos vagy súlyosan gondatlan
magatartásából származott.), de a hatályos szabályozás szerint nem, hiszen az adatkezelőt
nem azért marasztalják kártérítés fizetésére, mert az adatfeldolgozóért felelős, hanem azért,
mert ő maga felelős az érintettel szemben. Az egyetemleges helytállás nem közreműködői
felelősség, ezért a regresszigény sem a deliktuális másért való felelősségből ered.
Az Infotv. 24. § speciális deliktuális rezsim, objektivizált kimentés, egyetemleges helytállás,
ezért valóban sok tekintetben kvázi veszélyes üzemi jellegű, de az érintett javára és nem az
adatkezelő javára, az adatkezelő és az adatfeldolgozó egymás között már nem az Infotv. 24. §
alapján rendezik a viszonyukat, hanem a szerződés, a GDPR 82. cikk (5) cikke és a Ptk.
alapján. Azaz itt sem versenghet szerződésszegés és kvázi veszélyes üzemi felelősség. Az
adatkezelő a kártérítési követelés teljesítése után az adatfeldolgozó felé regresszigénnyel nem
az Infotv. 24. § hanem a GDPR 82. cikk (5) bekezdése alapján fordul.
VI. Összegzés
Összességében tehát nem az a kérdés, hogy a szerződéskötés és aztán a szerződésszegéssel
okozott kártérítéssel összefüggésben alkalmazandó-e a non cumul, hanem az a kérdés, hogy
az adatkezelő regresszigénye a GDPR 82. cikk (5) bekezdése alapján önálló uniós jogi
megtérítési igénynek tekintendő-e, vagy annak tartalmát már a Ptk. szerződésszegési
szabályai határozzák meg? Ha a regresszigény önálló uniós jogintézmény, akkor eleve nincs is
helye a non cumul vizsgálatának.
Ehhez a kérdéshez nem találtam releváns uniós bírósági joggyakorlatot: a korábban idézett
ítéletek mindegyike a GDPR 82. cikke alapján az érintett által az adatkezelővel vagy
adatfeldolgozóval szemben érvényesített igény elemzéséről szólnak, nem a kötelezettek
egymás közötti, 82. cikk (5) bekezdés szerinti megtérítési viszonyról. A regresszigény önálló
uniós jogi jellegére vonatkozó véleményemet így sajnos releváns uniós joggyakorlattal nem
tudom alátámasztani. Érdekes kérdés, és remélem hamarosan sor kerül rá valamely ügyben,
hogy egy előzetes döntéshozatali eljárásban a kérdéssel kapcsolatban mire jutna az uniós
bíróság.
Az Infotv. 24. § tehát egy speciális deliktuális felelősségi rezsim az érintett és a felelősök
közötti külső jogviszonyban, a belső viszonyra azonban a GDPR 82. cikk (5) bekezdése
önálló regresszszabályt tartalmaz. Az Infotv. 24. § így nem egyszerűen a Ptk. deliktuális
felelősségi szabályainak ismétlése vagy kiegészítése, hanem önálló, saját dogmatikai
szerkezettel rendelkező speciális felelősségi rezsim. E sajátosság indokolja, hogy alkalmazása
során a Ptk. általános szabályai – így különösen a non cumul elve – csak annyiban juthatnak
szerephez, amennyiben azt az Infotv. és a GDPR szabályrendszere nem rendezi kimerítően.
A non cumul alkalmazásához ugyanazon két fél között kell fennállnia egy olyan helyzetnek,
hogy ugyanaz a károkozás szerződésszegésként és deliktumként is értékelhető legyen.
Próbáltam erre életszagú példákat kitalálni.
A kontraktuális felelősség körében az adatfeldolgozó megszegheti például az adatfeldolgozói
szerződést azzal, hogy nem a szerződés szerinti titkosítást alkalmazza, nem készít biztonsági
mentést, jogosulatlan alvállalkozót vesz igénybe, eltér az utasítástól. Az Infotv. 24. § azonban
az érintettet védi nem az adatkezelőt, az adatkezelő tehát nem az Infotv. alapján lesz károsult,
így ez a deliktuális oldalon nem alkalmas, mint versengő jogalap, ahogyan a GDPR 82. cikk
(5) bekezdése is alkalmatlan e funkcióra, hiszen az egy regresszszabály.
Alkalmas vajon a Ptk. deliktuális generálklauzulája? Ha az adatfeldolgozó súlyosan megsérti
a GDPR-t és emiatt az adatkezelőt 100 millió forintra bírságolják a nemzeti adatvédelmi
hatóság részéről és még 150 millió sérelemdíjra is marasztalja a nemzeti bírói fórum, akkor az
adatkezelő káraként értelmezhetjük a bírságot és a sérelemdíjat, esetleg a jóhírnéven esett
csorba vagy más miatt is perelhet.
Az adatfeldolgozó ebben az esetben nemcsak szerződést szegett, hanem egyben jogellenesen
kárt is okozott, és itt jöhet szóba a non cumul, hiszen van két versengő jogalap első látásra.
Viszont nem teljesül az, hogy ugyanaz a magatartás egyszerre szerződésszegés és kártérítési
felelősséget is megalapoz, mivel az adatkezelő kára nem közvetlenül az adatkezelő
magatartásából származik, hanem a GDPR megszegése által okozott kár miatt az érintett
részéről indított perben történt marasztalás miatt. A GDPR önálló regresszigényének tehát
nincs deliktuális párja.
A saját vagyoni kár és a megtérítési igény elhatárolásához annak felderítése tűnik járható
útnak, hogy az adatkezelőnél keletkező kár függ-e attól, hogy teljesítenie kellett az érintett
felé fennálló helytállási kötelezettségét, vagy ettől függetlenül is bekövetkezne. Ha a kár a
károkozó magatartásból önmagában, a helytállási kötelezettség teljesítésétől függetlenül
következik be – tehát akkor is létezne, ha az érintett egyáltalán nem élne igénnyel – akkor
beszélhetünk saját, közvetlen vagyoni kárról, ahol felmerülhet a kontraktuális és a deliktuális
rezsim versengése. Ha azonban a kár kizárólag az adatkezelő Infotv. 24. §-án vagy a GDPR
- cikkén alapuló egyetemleges helytállásból eredően fizetési kötelezettsége, akkor a kár itt
egy reflexhatás és a GDPR 82. cikk (5) bekezdésén és a szerződésen alapul. Ez a levezetés
olyan eseményeknél lehet fontos, ahol egyszerre történik üzemkiesés és keletkezik a károsult
érintettnek kárigénye, például kibertámadás és adatvédelmi incidens. Itt olyan teszt kell, ahol
az egyes kártételeket külön-külön kell elemezni, mert ugyanaz a káresemény egyidejűleg
okozhat „saját” kárt és másoknak megtérítendő igényt is, de eltérő jogalapon.
Létezhet mégis deliktuális pár? Ha az adatfeldolgozó tévedésből letörli az adatkezelő teljes
ügyfél-adatbázisát, majd az adatkezelőnek leáll a működése és milliárdos bevételkiesése lesz,
az nem az érintett kára hanem az adatkezelő saját vagyoni kára, itt tehát megáll a
szerződésszegés és a deliktuális generálklauzula mint versengő jogalapok egymás mellett.
A non cumulnál mindig azt kell vizsgálni, hogy a károsult választhat-e a jogalapok között, de
az adatkezelő a GDPR 82. cikk (5) bekezdése szerinti igényérvényesítésnél nem ugyanazt a
kárt érvényesíti, amit a saját vagyonában az adatfeldolgozó közvetlenül okozott, hanem egy
törvény által rátelepített helytállási kötelezettségből eredő megtérítési igényt.
Nem csak dogmatikai érdekesség vagy kiváló fejtörő, hogy életszagú példák kitalálásával
kínozza magát az ember az, hogy a kontraktuális vagy deliktuális minősítés között kell-e
választani: a két jogalap között két ponton is tényleges, számszerűsíthető különbség áll fenn.
Egyrészt a Ptk. 6:143. §-a szerinti előreláthatósági korlát csak a szerződésszegésért járó
kártérítést szűkíti az előre látható következményekre – a deliktuális felelősségnél ilyen korlát
nincs, a teljes reparáció elve korlátozás nélkül érvényesül.
Másrészt az adatfeldolgozói szerződésekben tipikus felelősségkorlátozó kikötés (amely a
GDPR 28. cikke alapján kötött szerződésekben gyakori, jellemzően az éves díj többszörösére
maximálva a felelősséget) is csak a szerződésszegési igényt korlátozza. Ha az adatkezelő a
saját vagyonában elszenvedett kárára szabadon választhatna a két jogalap között, a deliktuális
út választásával mindkét korlátot megkerülhetné – ez pedig éppen azt a szerződéses
kockázatelosztást írná felül, amelyet a felek a szerződésben tudatosan rögzítettek.
A non cumul szabály funkciója éppen ez: megakadályozni, hogy a szerződéses keretek között
vállalt kockázatmegosztást a deliktuális jogalapra hivatkozva ki lehessen üresíteni. Ezért nem
mellékes annak eldöntése, hogy az általam „saját kárnak” hívott típusoknál (adatbázis
megsemmisítése, infrastruktúra károsítása) valóban megnyílhat-e a választás lehetősége, vagy
a non cumul szabálya – ha alkalmazandó – a szerződéses korlátozásokat is érvényre juttatja a
károkozó javára.
Összességében tehát ha az adatfeldolgozó az adatkezelő saját vagyonában közvetlenül okoz
kárt (például megsemmisíti az adatbázist, megrongálja az informatikai infrastruktúrát, üzleti
titkot szivárogtat ki), akkor elképzelhető a Ptk. szerződésszegési és deliktuális felelősségének
versengése, így a non cumul kérdése is felmerülhet.
Ha azonban az adatkezelő a GDPR vagy az Infotv. alapján az érintett felé fennálló
egyetemleges helytállása miatt fizet, majd ezt kívánja az adatfeldolgozón regresszálni, akkor a
megtérítési igény jogalapját elsődlegesen a GDPR 82. cikk (5) bekezdése és a felek közötti
szerződés határozza meg. Ebben a körben úgy gondolom, hogy a Ptk. szerinti klasszikus non
cumul-helyzet egyáltalán létre sem jön.
Ha egy mondattal kellene összegeznem az eddigieket, mondhatnám egyszerűen azt, hogy az
Infotv. 24. §-a és a GDPR 82. cikke lex specialisként lerontja a Ptk. általános deliktuális
generálklauzuláját, minek ehhez a non cumul?
Itt azonban a GDPR 28. cikke szerinti adatfeldolgozói szerződés és a károsult érintett
deliktuális igénye eleve nem ugyanazon felek közötti jogviszonyt rendez, így nincsenek
konkuráló normák ezáltal nincs meg a lex specialis alkalmazási feltétele sem. A károsult
érintett és az adatkezelő/adatfeldolgozó közötti külső jogviszonyban nem az a kérdés, hogy a
speciális vagy az általános szabály élvez-e elsőbbséget, hanem az, hogy egyáltalán felmerül-e
ez a kérdés. A non cumul elemzése mutatott rá arra, hogy már a jogalapok versengése sem
létezik, így a lex generalis – specialis problémakör már fel sem merül.
Összességében arra jutottam, hogy a non cumul szabály alkalmazhatósága az adatkezelői
felelősség rendszerében jóval szűkebb körben merül fel, mint első pillantásra gondoltam.
Az érintett és az adatkezelő, illetve adatfeldolgozó viszonyában a non cumul kérdése
egyáltalán nem releváns: az Infotv. 24. §-a és a GDPR 82. cikke önálló, speciális deliktuális
felelősségi rezsimet hoz létre, amely az érintett kárigényének jogalapját közvetlenül a
jogszabályból meríti, függetlenül attól, hogy az érintett és a károkozó között fennáll-e
szerződés. Mivel a jogalkotó itt tudatosan alkotott külön tényállást, a Ptk. általános
kontraktuális–deliktuális versengése, és az ehhez kapcsolódó választási kényszer nem létezik.
Az adatkezelő és az adatfeldolgozó egymás közötti, belső viszonyában már releváns lehet a
szerződés – itt azonban a versengés csak akkor mutatható ki, ha az adatfeldolgozó
magatartása nem az érintett felé való helytállásból eredő megtérítési igényt (ez a GDPR 82.
cikk (5) bekezdése szerinti önálló regresszigény), hanem az adatkezelő saját vagyonában
bekövetkezett közvetlen („saját”) kárt idéz elő (például adatbázis megsemmisítése,
infrastruktúra károsítása, üzleti titok kiszivárgása). Csak ez utóbbi esetkörben áll fenn valódi
non cumul-helyzet, mert csak itt válik ugyanaz a magatartás egyszerre szerződésszegéssé és a
Ptk. deliktuális generálklauzulája szerinti jogellenes károkozássá.
A kiinduló kérdésre – hogy a szerződésszegéssel okozott kár esetén alkalmazandó-e a non
cumul az adatkezelő és az adatfeldolgozó viszonyában – a válasz tehát főszabály szerint nem:
az érintett felé fennálló felelősség jogalapja nem a szerződés, hanem az önálló törvényi
(Infotv., GDPR) tényállás, a non cumul kérdése legfeljebb a felek egymás közötti, az érintett
kárán túli, saját vagyoni károk megtérítése körében merülhet fel.
Írta: Dr. Kajó Cecília