Cikk letöltése PDF-be

Absztrakt

Az összeférhetetlenség jogintézményének célja generálisan annak elkerülése, hogy egy személy két különböző pozíciója vagy élethelyzeti állapota ellehetetlenítse az objektív és felelősségteljes feladatellátását. Az általános adatvédelmi rendeletnek az adatvédelmi tisztviselővel szemben támasztott összeférhetetlenségi szabályai több jogértelmezési kérdést is felvetnek a DPO speciális szerepének okán. Ennek vizsgálata a közelmúltban megjelent hatósági és bírósági döntések fényében azért is aktuális, mert a mesterséges intelligencia rendelet nyomán létrejött AI Officeri státusz tekintetében elemzésre érdemes a szerepkörök kapcsolata, lehetséges konfliktus pontjainak azonosítása.

1. Az összeférhetetlenség fogalma és megjelenéstartalma

1.1. Az összeférhetetlenségről

Az összeférhetetlenség általános jogtudományi definícióját már csak azért is nehéz meghatározni, mivel különböző jogterületek a fogalom különböző aspektusait emelik ki, vagy éppen ellenkezőleg, adott szabályozási környezetben megengedőbb megközelítések juthatnak érvényre.

Az Európai Bizottság 2021/C 121/01.számú közleményében be-
idézi a 2018. évi költségvetési rendelet 61. cikkét, amely értelmében összeférhetetlenség akkor áll fenn, ha a költségvetés végrehajtásában érintett „pénzügyi szereplő vagy egyéb személy feladatainak pártatlan és tárgyilagos ellátása családi vagy érzelmi okok, politikai szimpátiából fakadó vagy nemzeti kötődéssel kapcsolatos okok, továbbá gazdasági érdek vagy bármely más közvetlen vagy közvetett személyes érdek miatt sérül.”

A Bizottság a vonatkozó iránymutatásában hangsúlyozza, hogy összeférhetetlenség akkor is fennállhat, ha az érintettnek tényleges előnye nem realizálódik az adott helyzetből, ugyanis az is elegendő, ha a körülmények már önmagukban alkalmasak a feladatok tárgyilagos és pártatlan ellátásának veszélyeztetésére. Ugyanakkor a körülményeknek azonosítható és egyedi kapcsolatban kell állniuk a személy magatartásával.[1]

Jelen körben tehát a Bizottság a költségvetéssel összefüggő kötelezettségek tekintetében határozza meg az összeférhetetlenség elemeit és aspektusait. Azonban más felelősségi körben eltérő megközelítés válik alkalmazandóvá.

Érdemes megvizsgálni a közszolgálati jogviszony keretei között a nevezett jogintézményt. A közszolgálati tisztviselőknek – pozíciójukra tekintettel – bizonyos korlátozásokat kell magukra nézve elfogadniuk. Így például bizonyos tisztségek vállalása az esetükben kizárható, ahogy létezhetnek olyan, meghatározott tevékenységek is, amelyek folytatásától tartózkodniuk kell. Mindezen korlátozásoknak célja, hogy a közszolgálatban az integritás, a pártatlanság, valamint a jó közigazgatásba vetett társadalmi közbizalom fenntartása biztosítható legyen.[2]

Közszolgálati tisztviselők tekintetében az összeférhetetlenség egyes fajtái is meghatározhatók, úgy, mint:

  • hatalmi ágak megosztásának elvéből következő,
  • politikai okokból fakadó,
  • gazdasági okokból fennálló,
  • az adott közszolgálati pálya presztízséből eredő,
  • hozzátartozók között fellépő

összeférhetetlenség.[3]

A közszolgálati tisztviselőkről szóló 2011. évi CXCIX. törvény 86. § (1) bekezdése értelmében a kormánytisztviselő köteles haladéktalanul írásban bejelenteni, ha vele szemben törvényben meghatározott összeférhetetlenségi ok merül fel, illetve ha kormányzati szolgálati jogviszonyának fennállása alatt összeférhetetlen helyzetbe kerül. A munkáltatói jogkör gyakorlója köteles haladéktalanul írásban felszólítani a kormánytisztviselőt az összeférhetetlenség megszüntetésére. Amennyiben a kormánytisztviselő az összeférhetetlenséget a felszólítás kézbesítésétől számított harminc napon belül nem szünteti meg, kormányzati szolgálati jogviszonya megszűnik.

Az összeférhetetlenség jogintézményét azonban nem lehet csak személyügyi megközelítésből értékelni, ugyanis szoros összefüggésben áll a közigazgatás szervezetrendszerének integritásával is.
A közigazgatási szervek átláthatósága előfeltételként szolgál az alkotmányos követelményeknek való megfelelés tekintetében, amely transzparencia egyik garanciális eleme a szervezeti felépítés tiszta, világos struktúrája, ami a korlátozó személyi együttállások létrejöttének megakadályozását képes szavatolni.[4]

A közszolgálati jogviszony esetében tehát a feladatellátás parttalanságának elvárása nemcsak a szakmai standartok garantálását, hanem a társadalmi közbizalom fenntartását is szolgálja. Más relációban ugyanakkor a társadalmi bizalom és presztízs nem jelenik meg, így a magánjogviszonyok tekintetében ettől némileg eltérő logikát alkalmaz a jogalkotó.

A Polgári Törvénykönyvről szóló 2013. évi V. törvény (továbbiakban: Ptk.) 3:115. § (1) bekezdése az összeférhetetlenségi szabályokat a társasági jog összefüggésében tárgyalja. A hivatkozott bekezdés alapján nem lehet vezető tisztségviselő olyan személy a gazdasági társaságban, amely fő tevékenységként ugyanolyan gazdasági tevékenységet folytat, mint az a társaság, ahol ő vezető tisztségviselői pozíciót tölt be.[5]

A Polgári Törvénykönyvtől eltérően, a munka törvénykönyvéről szóló 2012. évi I. törvény (továbbiakban: Mt.) 211. § (1) bekezdése szigorúbb rendelkezéseket tartalmaz a vezetők összeférhetetlenségével kapcsolatosan. A jogszabály alapján a vezető további munkavégzésre irányuló jogviszonyt nem létesíthet, ugyanakkor a felek ettől eltérő megállapodást is köthetnek. Jelen esetben munkavégzésre irányuló jogviszony magában foglal minden olyan tevékenységet, aminek értelmében az egyik fél a másik fél számára valamilyen munkát végez.[6]

Két megállapítás következik az idézett polgári jogi és munkajogi rendelkezésekből. Az első, hogy mind az Mt., mind pedig a Ptk. azt az esetkört vonja szabályozás alá, amelyben a vezető a munkáltatóhoz (gazdasági társasághoz) hasonló vagy azzal azonos, másik munkáltatóban (gazdasági társaságban) szerezne részesedést vagy vállalna tisztséget. Mindebből fakadóan a nem vezető pozícióban lévő személyek tekintetében a jogszabályok nem írnak elő generálisan alkalmazandó összeférhetetlenségi szabályokat.

Második következtetés pedig arra kell, hogy irányuljon, miszerint a munkáltatótól (gazdasági társaságtól) különböző, elkülönülő jogi személyt jelöl a fentebb beidézett „más” kifejezés,[7] vagyis a jogalkotó csak a különálló jogi személyek között értelmezi az összeférhetetlenséget, az adott szervezeten belül felmerülő összeférhetetlenségi kérdések szabályozására nem került sor, de facto az az egyes szervezetek belső regulációs hatókörében maradt.[8]

A Ptk. rendelkezései között megtalálható egy további korlátozás is, miszerint a felügyelőbizottságnak – a munkavállalói részvétel kivételével – nem lehet tagja a társaság munkavállalója.[9] A korlátozás célja a felügyelőbizottság ellenőrzési funkciójának gyakorlásához szükséges függetlenség biztosítása.[10]

Az összeférhetetlenséget tehát elsősorban funkcionális megközelítésből érdemes megvizsgálni: adott szabályozási környezetben milyen célt szolgál az adott személyekkel szembeni korlátozás. Általánosságban azonban rögzíthető, hogy az összeférhetetlenség a meghatározott feladat megfelelő, adott helyzetben, elvárható módon való végrehajtását kívánja garantálni, hogy bizonyos megkötések révén korlátozza vagy kizárja azokat az aspektusokat, amelyek potenciálisan érdek-összeütközésekhez, érdekkonfliktusokhoz vezethetnek.

A fogalom kulcseleme tehát az érdekek elszigetelése, elkerülendő mindazon helyzetet, amikor a feladatellátás megfelelősége veszélybe kerülhet olyan tényezők beékelődésével, amelyek nem az adott tevékenység végzéséhez, hanem a tevékenységet végző személyéhez kötődnek.

1.2. Az adatvédelmi tisztviselőre irányadó összeférhetetlenségi szabályok

Az adatvédelmi tisztviselővel szemben megfogalmazott összeférhetetlenségi szabályok a korábbiakban bemutatottokhoz képest is komplexebbnek tekinthetők, ugyanis jelen esetben a DPO egyedi státusza is meg kell, hogy jelenjen az értelmezés horizontján.

A kérdés összetettségének oka egyrészről magának a tisztviselőnek az adatvédelmi mechanizmusrendszerben betöltött megkülönböztetett helyzetére, másrészről pedig az összeférhetetlenség fogalmával szoros összefüggésben álló, ahhoz kapcsolódó előfeltételekre vezethetők vissza.

A GDPR kockázatkezelési rendszerében az érintetti jogok és szabadságok biztosításának egyik sarokköve az adatvédelmi tisztviselő jogintézménye, ami csak akkor képes betölteni ezt a szerepét, ha a függetlensége és szakmai önállósága biztosított.

Ezt a célt hivatott szolgálni a GDPR 38. cikk (3) bekezdése, amely értelmében az adatkezelő és az adatfeldolgozó biztosítja, hogy az adatvédelmi tisztviselő a feladatai ellátásával kapcsolatban utasításokat senkitől ne fogadjon el. Az adatkezelő vagy az adatfeldolgozó az adatvédelmi tisztviselőt feladatai ellátásával összefüggésben nem bocsáthatja el és szankcióval nem sújthatja. Az adatvédelmi tisztviselő közvetlenül az adatkezelő vagy az adatfeldolgozó legfelső vezetésének tartozik felelősséggel.

Hivatkozott rendelkezéseket egészíti ki a rendelet (97) preambulumbekezdése is, amely deklarálja, hogy az adatvédelmi tisztviselők – függetlenül attól, hogy az adatkezelő alkalmazásában állnak-e – módjában kell, hogy álljon kötelezettségeik és feladataik független ellátása.

Az adatvédelmi tisztviselői pozíció egyik központi attribútuma a függetlenség. Ennek értelmében a tisztviselőket nem lehet utasítani, hogy miképpen kezeljenek egy ügyet, milyen módon járjanak el egy érintetti megkeresés során vagy éppen, hogy konzultálhatnak-e adott kérdés kapcsán a felügyeleti hatósággal.[11]

A függetlenség és az önálló szakmai vélemény kialakításának és képviseletének joga lehetővé teszi az adatvédelmi feladatok pártatlan ellátását, amelyet csak a jogalkotó által meghatározott keretek és célok érdekében való tevékenység jelöl ki.

A pártatlanság a függetlenségből következik, ami az adatkezelőtől való egyfajta „eltávolodást” jelent, vagyis egy olyan pozíciót feltételez, amelyből a tisztviselő kvázi kívülről képes rátekinteni az adott szervezetre és annak működésére, hogy az adatkezelőnek az adatvédelmi jogszabályoknak való mind teljesebb megfelelését a lehető leghatékonyabban elő tudja segíteni.

Az adatkezelői szervezettől való hierarchikus elkülönülés következik az adatvédelmi tisztviselőnek a GDPR 39. cikkében taglalt feladataiból is, melyek közül elégséges csupán a tanácsadói és ellenőrzési funkcióira hivatkozni[12] annak demonstrálásához, hogy már csak a primer kötelezettségek teljesítésének is előfeltétele a szervezeti struktúrán túli, autonóm jogállás biztosítása.

Ezen a ponton szükséges visszaidézni a GDPR 38. cikk (3) bekezdésének utolsó mondatát, miszerint az adatvédelmi tisztviselő közvetlenül az adatkezelő vagy az adatfeldolgozó legfelső vezetésének tartozik felelősséggel.

A rendelkezésből következik, hogy az adatvédelmi tisztviselő közvetlenül az adatkezelő vagy adatfeldolgozó tényleges irányítását ellátó személy, vagy szervezet felé visel felelősséget, vagyis közvetlen és élő kapcsolatot kell fenntartania az adott szervezet legfelsőbb menedzsmentjével. A GDPR tehát egyenes kapcsolatot teremt a DPO és az adott szervezet vezetése között, organizációs szempontból ez annyit tesz, hogy a tisztviselő feladatinak ellátását egyedül a legfelsőbb vezetés ellenőrizheti, a tisztviselő ide tartozik számadással. Következésképp az adott szervezet struktúrájától függetlenül, lényegében amellett kell a tisztviselőnek a feladatait ellátnia.

A függetlenség feltétele és következménye, hogy a tisztviselő összeférhetetlenségét az őt kijelölő szervezetnek kell tudnia garantálni. Itt kell hivatkozni a GDPR 38. cikk (6) bekezdésére, mely alapján az adatvédelmi tisztviselő más feladatokat is elláthat. Az adatkezelő vagy az adatfeldolgozó biztosítja, hogy e feladatokból ne fakadjon összeférhetetlenség.

A jogalkotó feladatközpontú megközelítést alkalmazva lehetővé tette, hogy az adatvédelmi tisztviselők a szervezeten belül más fel-
adatot is ellássanak, az adatkezelőnek vagy az adatfeldolgozónak kötelezettsége a lehetséges összeférhetetlenséget elkerülni.[13]

Az összeférhetetlenség biztosítása szorosan kapcsolódik a független működéshez fűződő követelményekhez. Bár az adatvédelmi tisztviselőnek lehetnek más feladatai, csak olyan, egyéb feladatokkal bízható meg, amelyek nem okoznak összeférhetetlenséget. Ez különösen azt jelenti, hogy az adatvédelmi tisztviselő nem tölthet be olyan pozíciót a szervezeten belül, amelynek keretében ő határozza meg a személyes adatok kezelésének céljait és eszközeit. Az egyes szervezetek sajátos szervezeti felépítése miatt ezt eseti alapon kell megállapítani.

Ugyanakkor annak ellenére, hogy a GDPR 38. cikk (6) bekezdése lehetővé teszi az adatvédelmi tisztviselői pozíció részmunkaidőben történő betöltését, ez inkább tekintendő kivételi lehetőségnek, mintsem követendő fő szabálynak.

Az EU DPO Network álláspontja szerint egy részmunkaidőben foglalkoztatott DPO folyamatos konfliktussal néz szembe az időmenedzsment és erőforrás-allokáció tekintetében az adatvédelmi tisztviselői és a „másik” pozíció között. Különösen jelentős ez a kettőség jelentette kockázat a nagyobb szervezetek esetében, illetve azon kisebb entitásoknál, ahol az adatvédelmi kultúra még csak kialakítás alatt áll.[14]

A WP 29 a vonatkozó iránymutatásában megnevez bizonyos esetköröket, ahol az adatvédelmi tisztviselői pozíció összeférhetetlenséget eredményezhet, ilyenek lehetnek többek között a felső vezetői pozíciók, vagy akár más, a szervezeti struktúrában alacsonyabb szinten lévő munkakörök is.[15]

A szervezeten belüli, vagyis tipikusan munkaviszonyban foglalkoztatott adatvédelmi tisztviselő mellett a külsős, vagyis megbízási jogviszonyban álló DPO esetében is felmerülhet az összeférhetetlenség kérdése. Példaként említhető, ha a külsős DPO jogi szolgáltatást is nyújt az adott szervezet részére, vagy másik, de azonos szektorban azonos tevékenységi körben működő adatkezelő/adatfeldolgozó részére is biztosítja az adatvédelmi tisztviselői szolgáltatást. Ugyancsak összeférhetetlenséget eredményezhet, ha a külsős DPO bírósági eljárásban képviseli adatvédelmi kérdésben a szervezetet.[16]

Adatkezelő vagy adatfeldolgozó szakértőjeként való hatósági részvétel megtiltását ugyanakkor szűken kell értelmezni, hiszen az adatvédelmi tisztviselő kapcsolattartási pontként szolgál a felügyeleti hatóságok felé. Mind a rendelet normaszövege, mind pedig a WP 29 fokozott hangsúlyt helyez a DPO függetlenségének kérdésére.
E tekintetben mérvadó, hogy az Adatvédelmi Testület arra a következtetésre jutott, hogy a külső adatvédelmi tisztviselő szerepe „nem tűnik összeegyeztethetőnek az uniós képviselői funkcióval”.[17]

2. Összeférhetetlenség az esetjogban

Az adatvédelmi tisztviselők összeférhetetlenségének kérdésével ez ideig sem a hazai, sem pedig a nemzetközi jogirodalom nem foglalkozott mélyrehatóan, annak ellenére sem, hogy mind az Európai Unió Bíróságának, mind pedig az egyes felügyeleti hatóságoknak több vonatkozó döntésében visszaköszönt a jogintézmény pontos mivoltának megítélése. Az alábbi fejezetben a közelmúlt legfontosabb bírósági ítéleteit és felügyeleti hatósági döntéseit fogom röviden bemutatni.

2.1. A Norvég Adatvédelmi Hatóság Telenor-döntése

A Norvég Adatvédelmi Hatóság (NDPA) 2025 márciusában 21/03823-45. számú döntésében 4 000 000 NOK (351 477,64 EUR) összegű pénzbírságot szabott ki a Telenor ASA (Telenor) telekommunikációs vállalattal szemben, amiért a vállalat nem tett eleget a GDPR 37–39. cikkében foglalt, az adatvédelmi tisztviselőre irányadó követelményeknek, és nem hajtotta végre a 24. cikkben előírt, megfelelő szervezeti intézkedéseket.[18]

A NDPA a bejelentés nyomán indított vizsgálata során több hiányosságot is feltárt, többek között, hogy az adatvédelmi tisztviselő osztott munkakörben működött az adatkezelőnél, vagyis a DPO jogtanácsosként is foglalkoztatásra került. A vizsgálat során az adatkezelő hiába állította, hogy a mindennapi munkavégzés tekintetében elsődlegesen az adatvédelemmel kapcsolatos feladatellátás dominált, ezt semmilyen módon nem tudta igazolni. Az NDPA megállapította, hogy 2021-ben „jelentős elmaradás” volt az adatvédelemmel kapcsolatos feladatok tekintetében. Az is megállapításra került, hogy az (akkori) adatvédelmi tisztviselő 2021-ben aggályokat fogalmazott meg a rendelkezésre álló erőforrásokkal kapcsolatban, azonban adatkezelő nem biztosította a teljes munkaidőben történő feladatellátás lehetőségét.[19]

Az NDPA döntésében összefüggésbe hozza a GDPR 38. cikk (3) és (6) bekezdéseit. Előbbi esetében a jogalkotó úgy rendelkezett, hogy az adatkezelő és az adatfeldolgozó biztosítja, hogy az adatvédelmi tisztviselő a feladatai ellátásával kapcsolatban utasításokat senkitől ne fogadjon el. Az adatkezelő vagy az adatfeldolgozó az adatvédelmi tisztviselőt feladatai ellátásával összefüggésben nem bocsáthatja el és szankcióval nem sújthatja. Az adatvédelmi tisztviselő közvetlenül az adatkezelő vagy az adatfeldolgozó legfelső vezetésének tartozik felelősséggel.

Az NPDA kifejti, hogy a DPO függetlensége nemcsak abban áll, hogy utasításokat nem fogadhat el, hanem abban is, hogy az adatvédelmi tisztviselő szervezeten belüli helyzetének, pozíciójának indikálnia kell a függetlenséget, elkerülve a kényszerű kompromisszumok meghozatalát a szervezeten belüli felsőbb vezetés nyomására.[20]

Döntésében a Norvég Adatvédelmi Hatóság kitér továbbá a GDPR 38. cikk (6) bekezdésében foglaltakra is, amely szerint az adatvédelmi tisztviselő más feladatokat is elláthat. Az adatkezelő vagy az adatfeldolgozó biztosítja, hogy e feladatokból ne fakadjon összeférhetetlenség. Az általános adatvédelmi rendelet rendelkezéseivel összefüggésben az NPDA kifejti, hogy a párhuzamos feladatellátás komoly kockázatot jelenthet, ugyanis ez magával hozza a DPO pozíció „részmunkaidő” jellegét, vagyis azt, hogy folyamatos konfliktus áll fenn a feladatokra fordított idő és erőforrásosok tekintetében az adatvédelmi tisztviselői és a másik pozíció összevetésében, amely helyzet magában hordozza az összeférhetetlenség veszélyét.[21]

A hatóság az eljárás alkalmával kitért arra is, hogy az adatkezelőnél a DPO nem rendelkezett önálló költségkerettel, hanem minden felmerülő költséget egyedi jelleggel kellett a menedzsmenttel jóváhagyatnia. Az NPDA megítélése szerint az a tény, hogy a DPO principálisa egyszersmind a források tekintetében is revizori jogokat gyakorolt, negatívan hatott a pozíció függetlenségére.

Külön érdemes kiemelni annak tényét, hogy az adatkezelőnél, illetve adatkezelő vállalatcsoportjában valamennyi DPO egyszer-
smind részvényes is volt. A függetlenség követelményének potenciális sérelmét veti fel, ha olyan üzleti folyamatok megítélésére kerül sor, amelyek kritikusan érinthetik akár a részvények árfolyamát is. Ezzel az adatvédelmi tisztviselő anyagai érdekei és szakmai álláspontja könnyen feloldhatatlan ellentétbe kerülhet.[22]

2.2. A Belga Adatvédelmi Hatóság 141/2021. számú határozata

A Belga Adatvédelmi Hatóság (továbbiakban: APD/GBA) 141/2021. számú határozatában 75 000 euró bírságot szabott ki egy belga bankra, mint adatkezelőre a GDPR 38. cikk (6) bekezdése alapján, amiért nem garantálta az adatvédelmi tisztviselő összeférhetetlenségét, illetve megsértette a GDPR 15. cikke szerinti hozzáférési jog megfelelő teljesítését.[23]

Az APD vizsgálata során megállapításra került, hogy a bank adatvédelmi tisztviselője több pozíciót is betöltött, így ő vezette a bank működési kockázatkezelési területét, az információs kockázatkezelési osztályt és az úgynevezett különleges vizsgálati egységet is.[24]

Az eljárás során a bank hivatkozott a GDPR 38. cikk (6) bekezdésében foglaltakra, miszerint az adatvédelmi tisztviselő más feladatokat is elláthat. Érvelésükben rámutattak, hogy a hivatkozott szervezeti egységek vezetése nem járt az adatkezelés céljának és eszközeink meghatározásával, így összeférhetetlenség nem állt fenn a különböző szerepkörök között.[25]

A GBA nem fogadta el adatkezelő érvelését. Határozatában a hatóság rámutatott, hogy az összeférhetetlenség fennálltát esetről esetre kell vizsgálni, ugyanis csak az adott körülmények széles körű figyelembevételével lehet megállapítani annak meglétét vagy éppen hiányát. Jelen vizsgálatában az APD kifogásolta az adatkezelő szervezeti struktúráját, ugyanis az önmagában, de facto eredményezte, hogy a DPO felelősséggel tartozott három különböző szervezeti egységért, amely tény nem összeegyeztethető az adatvédelmi tisztviselő pozíciójával.[26]

2.3. Leistritz AG kontra LH

Kiemelten jelentős bírósági ítélet született a Leistritz AG kontra LH ügyben, amelyben az Európai Unió Bírósága lefektette a legfontosabb szempontokat az adatvédelmi tisztviselő összeférhetetlenségének kérdéskörében.

A Leistritz egy németországi magánjogi társaság, amely a német jogszabályok alapján adatvédelmi tisztviselő kijelölésére volt köteles. LH 2018. január közepétől „jogi csoportvezetőként” dolgozott a nevezett társaságnál, illetve 2018. február 1-jei hatállyal a társaság adatvédelmi tisztviselőjének jelölték ki. A Leistritz mint munkáltató 2018 nyarán rendes felmondással megszüntette LH munkaviszonyát olyan szerkezetátalakítási intézkedésre hivatkozva, amelynek keretében kiszervezték a belső jogi tanácsadási tevékenységet és az adatvédelmi feladatokat. LH bírósági úton megtámadta a felmondást annak érvénytelenségére hivatkozással.[27]

Jelen esetre ugyanis a német jog alapján az 1990. december 20-i Bundesdatenschutzgesetz (szövetségi adatvédelmi törvény, BGBl) 2018. május 25. és 2019. november 25. között hatályos változatának (továbbiakban: BDSG) „Jogállás” című 6. §-a (4) bekezdésében foglaltakat kellett alkalmazni, amely a következőképpen rendelkezik: „Az adatvédelmi tisztviselő kizárólag a Bürgerliches Gesetzbuch [(polgári törvénykönyv), a 2002. január 2-án kihirdetett, 626. §-ának megfelelő alkalmazásával bocsátható el, amelynek értelmében az adatvédelmi tisztviselő munkaviszonyának felmondása jogellenes, kivéve, ha olyan körülmények állnak fenn, amelyek felhatalmazzák a közigazgatási szervet, hogy alapos okból, felmondási idő nélkül mondjon fel. Az adatvédelmi tisztviselői tevékenység befejezését követően a munkaviszony felmondása egy évig jogellenes, kivéve, ha a közigazgatási szerv jogosult alapos okból, felmondási idő nélkül felmondani.”[28]

A bíróság helyt adott LH keresetének, ugyanis jogértelmezésük szerint LH-nak, mint adatvédelmi tisztviselőnek kizárólag rendkívüli felmondással, alapos okból lehetett volna csak felmondani. Márpedig a Leistritz által ismertetett szerkezetátalakítási intézkedés nem tekinthető ilyen oknak.[29]

Azonban a Bundesarbeitsgericht (Szövetségi Munkaügyi Bíróság, Németország) megjegyzi, hogy a BDSG 6. § (4) bekezdésének második mondatával összefüggésben értelmezett 38. § (2) bekezdésének alkalmazhatósága attól függ, hogy az uniós jog – és különösen a GDPR 38. cikke (3) bekezdésének második mondata – alapján megengedhető-e az olyan tagállami szabályozás, amely az adatvédelmi tisztviselő elbocsátását az uniós jognál szigorúbb követelményekhez köti. Ezen jogkérdésre tekintettel a Szövetségi Munkaügyi Bíróság úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából fordul az Európai Unió Bíróságához (továbbiakban: EUB vagy Bíróság).[30]

2.3.1. Az ítélet tartalma

A Bundesarbeitsgericht által előzetes döntéshozatali eljárásban feltett kérdés lényegét tekintve úgy foglalható össze, miszerint a GDPR 38. cikk (3)[31] bekezdésének második mondatát úgy kell-e értelmezni, hogy azzal ellentétes az a nemzeti szabályozás, amely előírja, hogy az adatkezelő vagy adatfeldolgozó a személyi állományába tartozó adatvédelmi tisztviselőnek kizárólag alapos okból mondhat fel, akkor is, ha a felmondás nem kapcsolódik e tisztviselő feladatainak ellátásához.[32]

A Bíróság ítéletében rámutatott, hogy a szavak általánosan elfogadott jelentése alapján azt a GDPR rendelkezését, miszerint az adatkezelő vagy az adatfeldolgozó az adatvédelmi tisztviselőt feladatai ellátásával összefüggésben nem bocsáthatja el és szankcióval nem sújthatja, úgy kell értelmezni, hogy e tisztviselőt minden olyan döntéssel szemben védelemben kell részesíteni, amellyel elbocsátanák, hátrányos helyzetbe hoznák, vagy amely valamilyen szankciót jelentene. Így természetszerűleg szankcióként értelmezhető az is, ha a feladatellátás, pontosabban annak teljesítése vezet a munkajogviszony munkáltató általi megszüntetéséhez.[33]

Az EUB kiemelte továbbá, hogy a GDPR 38. cikk (3) bekezdésének második mondatát a rendelet (97) preambulumbekezdésével összhangban érdemes értelmezni, amely kimondja, hogy az adatvédelmi tisztviselőknek módjában kell, hogy álljon kötelezettségeik és fel-
adataik független ellátása. A függetlenség ez esetben annak biztosítását jelenti, hogy általa a DPO GDPR célkitűzésének megfelelő feladatellátás garantálható legyen. Így többek között az is, amely szerint, „biztosítsa a természetes személyek magas szintű védelmét az Unión belül, és e célból a személyes adatok kezelése tekintetében biztosítsa a természetes személyek alapvető jogainak és szabadságainak védelmére vonatkozó szabályok következetes és egységes alkalmazását az Unió egész területén”.[34]

A Bíróság érvelése alapján a GDPR 38. cikk (3) bekezdésének második mondatát úgy kell értelmezni, hogy az elsődlegesen az adatvédelmi tisztviselő funkcionális függetlenségének megőrzését szolgálja, ennélfogva a GDPR rendelkezései tényleges érvényesülésének a biztosítására irányul. Következésképp a rendelkezésnek nem célja, és nem is lehet célja, hogy az adatkezelő vagy az adatfeldolgozó személyi állományát, belső munkaviszonyait behatóan szabályozza.[35]

A Bíróság az ítéletében hivatkozott a főtanácsnoki indítványra, amely – megegyezően az EUB álláspontjával – rámutatott, miszerint az adatvédelmi tisztviselő fokozott munkajogi védelme nem veszélyeztetheti a GDPR célkitűzéseinek megvalósítását. Márpedig az az eset állna fenn akkor, ha a fokozott védelem megakadályozná, hogy az adatkezelő vagy adatfeldolgozó elbocsáthassa az olyan adatvédelmi tisztviselőt, aki már nem rendelkezik a feladatai ellátásához megkövetelt szakmai rátermettséggel, vagy aki azokat nem a GDPR rendelkezéseinek megfelelően látja el.[36]

A Bíróság ítéletében megállapította, hogy „a GDPR 38. cikk (3) bekezdésének második mondatát úgy kell értelmezni, hogy azzal nem ellentétes az a nemzeti szabályozás, amely előírja, hogy az adatkezelő vagy adatfeldolgozó a személyi állományába tartozó adatvédelmi tisztviselőnek kizárólag alapos okból mondhat fel, akkor is, ha a felmondás nem kapcsolódik e tisztviselő feladatainak ellátásához, feltéve, hogy e szabályozás nem veszélyezteti a GDPR célkitűzéseinek megvalósítását.”[37]

2.4. X-FAB Dresden GmbH & Co KG kontra FC

Az Európai Unió Bírósága a 62021CJ0453. számú ítéletében előzetes döntéshozatali kérelem alapján vizsgálta a GDPR 38. cikk (3) bekezdés második mondatának, valamint a rendelet 38. cikk (6) bekezdésének értelmezési keretét, illetve előbbi érvényességének kérdését.[38]

Az alapügyben FC az X-FAB Dresden GmbH & Co KG (a továbbiakban: X-FAB) alkalmazásában állt, továbbá betöltötte a vállalati üzemi tanács elnöki tisztségét, illetve a vállalatcsoport – amelynek munkáltató a tagja – által létrehozott a központi üzemi tanács alelnöki tisztségét is ellátta. FC 2015. június 1-jei hatállyal adatvédelmi tisztviselővé lett kinevezne a vállalatcsoport valamennyi tagja által. Az összes említett vállalat adatvédelmi tisztviselőjeként való párhuzamos kijelölésének célja az volt, hogy ezáltal lehessen biztosítani az egységes adatvédelmi megfelelést.[39]

A türingiai adatvédelmi és információszabadság-ügyi biztosának (Németország) kérésére az említett vállalatok 2017-ben visszavonták FC adatvédelmi tisztviselői kinevezését. FC a bírósághoz benyújtott keresetében kérte annak megállítását, hogy továbbra is ő X-FAB adatvédelmi tisztviselője. Ezzel szemben X-FAB mint munkáltató azt állította, hogy fennáll az összeférhetetlenség veszélye, amennyiben FC egyidejűleg tölti be az adatvédelmi tisztviselő és az üzemi tanács elnöki tisztségét. Ennek értelmében tehát fennáll az elbocsátás feltételeként megkövetelt alapos ok.[40]

A Bíróságnak jelen ügyben tehát arra kellett válasszal szolgálnia, hogy a GDPR 38. cikk (3) bekezdésének második mondatát úgy kell-e értelmezni, hogy azzal ellentétes az a nemzeti szabályozás, amely előírja, hogy az adatkezelő vagy adatfeldolgozó a személyi állományába tartozó adatvédelmi tisztviselőt kizárólag alapos okból bocsáthatja el, még akkor is, ha az elbocsátás nem kapcsolódik e tisztviselő feladatainak ellátásához.[41]

Az Európai Unió Bírósága jelen ügyben megerősítette a korábban bemutatott Leistritz-ítéletben foglaltakat, miszerint a GDPR 38. cikk (3) bekezdésében foglalt „[el]bocsáthatja”, „szankcióval […] sújthatja” és a „feladatai ellátásával összefüggésben” kifejezéseket úgy kell értelmezni, mint az adatkezelővel vagy az adatfeldolgozóval szemben előírt tilalmakat, mely az adatvédelmi tisztviselőt minden olyan döntéssel szemben védelemben részesíti, amely őt hátrányos helyzetbe hozhatja a feladatellátásával összefüggésben.[42]

A Bíróság ítéletében kitér arra is, hogy az adatvédelmi tisztviselő funkcionális függetlenségének biztosítására irányuló célkitűzés, amint az a GDPR 38. cikk (3) bekezdésének második mondatából következik, szintén kitűnik e 38. cikk (3) bekezdésének első és harmadik mondatából, amely előírja, hogy az adatvédelmi tisztviselő a feladatai ellátásával kapcsolatban utasításokat senkitől nem fogadhat el, és közvetlenül az adatkezelő vagy az adatfeldolgozó legfelső vezetésének tartozik felelősséggel, valamint a GDPR 38. cikk (5) bekezdéséből, amely előírja, hogy e tisztviselőt feladatai teljesítésével kapcsolatban titoktartási kötelezettség vagy az adatok bizalmas kezelésére vonatkozó kötelezettség köti.[43]

A Bíróság elvi éllel mondja ki, hogy az egyes tagállamok a fenntartott hatáskörük gyakorlása során szabadon határozhatnak meg nagyobb védelmet eredményező rendelkezéseket az adatvédelmi tisztviselő elbocsátásával kapcsolatosan, amennyiben ez a védelmi szint összeegyeztethető az uniós joggal, és különösen a GDPR rendelkezéseivel, többek között a 38. cikk (3) bekezdésének második mondatával. Ezzel szoros összefüggésben megállapítható, hogy a GDPR 38. cikk (3) bekezdés második mondatával nem ellentétes az a nemzeti szabályozás, amely kimondja, hogy az adatkezelő vagy adatfeldolgozó személyi állományába tartozó adatvédelmi tisztviselő jogviszonyát kizárólag alapos okból lehet megszüntetni. Még úgy is, ha a megszüntetés nem kapcsolódik a tisztviselő feladatainak ellátásához abban az esetben, ha a nevezett szabályozás nem veszélyezteti a GDPR célkitűzéseit.[44]

2.4.1. Bíróság ítélete az összeférhetetlenség tárgyában

Az előzetes döntéshozatali eljárásban a német bíróság kérdése külön kiterjedt arra, hogy a GDPR 38. cikkének (6) bekezdése értelmében vett „összeférhetetlenség” fennállása milyen feltételek mellett állapítható meg. A GDPR 38. cikk (6) bekezdése úgy fogalmaz, hogy az adatvédelmi tisztviselő más feladatokat is elláthat. Az adatkezelő vagy az adatfeldolgozó biztosítja, hogy e feladatokból ne fakadjon összeférhetetlenség.

A normaszövegből egyértelműen következik, hogy a jogalkotó nem tekintette elvi alapon összeférhetetlennek, ha az adatvédelmi tisztviselő más feladatokat is ellát adatkezelő vagy adatfeldolgozó szervezetén belül. Kritériumként annyi került meghatározásra, hogy a „más feladat” ellátása nem eredményezhet összeférhetetlenséget. Ebből következik, hogy az adatvédelmi tisztviselő nem bízható meg olyan tevékenység végzésével, amely akadályozná tisztviselői feladatellátását.[45]

A Bíróság jelen körben is hangsúlyozta, hogy a GDPR rendelkezéseinek hatékony érvényre juttatását szolgálja a DPO függetlensége, ebből eredően mindig az eredeti jogalkotói célból levezetve kell értelmezni annak tartalmát és kereteit.

Különösen fontos, ahogy a Bíróság rámutatott ítéletében a GDPR 38. cikkének (6) bekezdése és a 39. cikk (1) bekezdésének b) pontja közötti összefüggésekre, amely szakasz értelmében az adatvédelmi tisztviselő ellenőrzi a rendeletnek, valamint az egyéb uniós vagy tagállami adatvédelmi rendelkezéseknek, továbbá az adatkezelő vagy az adatfeldolgozó személyes adatok védelmével kapcsolatos belső szabályainak való megfelelést, ideértve a feladatkörök kijelölését, az adatkezelési műveletekben részt vevő személyzet tudatosságnövelését és képzését, valamint a kapcsolódó auditokat is.

Következésképp a DPO nem végezhet olyan feladatot, amely eredményeképp az adatkezelővel vagy annak adatfeldolgozójával együtt meghatározhatná a személyes adatok kezelésének céljait és eszközeit.[46] A Bíróság szerint tehát a GDPR 38. cikkének (6) bekezdését úgy kell értelmezni, hogy összeférhetetlenség akkor állhat fenn, ha az adatvédelmi tisztviselő egyéb feladatai okán adatkezelővel vagy annak adatfeldolgozójával együtt meghatározhatja a személyes adatok kezelésének céljait és eszközeit. Ennek vizsgálatát a nemzeti bíróságoknak esetről esetre szükséges megállapítaniuk az összes releváns körülmény alapján, különös tekintettel az adatkezelő vagy annak adatfeldolgozója szervezeti felépítésére.[47]

3. AI Officer és az adatvédelmi tisztviselő szerepkör-kollíziója

3.1. Kontrollpontok: AI Officer és DPO

Annak ellenére, hogy a GDPR-hoz hasonlóan az AIA is kockázatalapú megközelítést juttat érvényre, mégsem tekinthető egységesnek a kettő, alkalmazást nyert jogalkotási logika. Különbségként említhető például a transzparencia hatályának és követelményének megjelenése, vagy éppen az az emberi beavatkozáshoz, felügyelethez való jog kérdésköre is.[48]

Az emberi beavatkozás vagy humán kontroll követelménye az általános adatvédelmi rendeletben egyedül a 22. cikk szerinti automatizált döntéshozatal – ideértve a profilalkotást is – vonatkozásában jelenik meg. Ezzel szemben az AIA 14. cikke emberi felügyeletet követel meg valamennyi nagy kockázatú MI-rendszer esetén. A két megközelítés mind tartalmában, mind előfeltételeiben és jogkövetkezményeiben markáns eltéréseket mutat.[49]

Azzal együtt, hogy az AIA deklaráltan és széles körben várja el a nagy kockázatú MI-rendszerek tekintetében a humán kontrollt, mégsem nevez meg olyan dedikált pozíciót, mint amilyen az általános adatvédelmi rendeletben az adatvédelmi tisztviselő. Hiába részletezi tehát az AIA 14. cikke az emberi felügyelet célját és kereteit, nem rendel mindezekhez olyan kontrollpontot, mint amit látunk például a GDPR 39. cikk (1) bekezdés b) pontjában.

A 29. cikk szerinti munkacsoport (továbbiakban: Munkacsoport) WP 243 rev.01 számú, az adatvédelmi tisztviselőkkel kapcsolatban kiadott iránymutatása az elszámoltathatóság alapköveként hivatkozott az adatvédelmi tisztviselőre, akinek kulcsszerepe van az adatkezelő adatvédelmi jogi megfelelésében.[50] Az elszámoltathatóság alapú megközelítés ugyanakkor nem feltétlenül igazodik a megváltozott technológiai körülményekhez.

A GDPR megalkotásakor a jogalkotó az átláthatóság helyett az elszámoltathatóságot helyezte a rendelet logikai középpontjába. Az elszámoltathatóság ugyanakkor sok esetben – kiváltképp az algoritmikus döntéshozatal tekintetében – nem képes hatékonyan eredményezni a megfelelés kikényszeríthetőségét, így egyre inkább szükséges a transzparenciát is principális alapelvként számontartani.[51]

Érdemes felidézni ezen a ponton az úgy nevezett „algoritmikus elszámoltathatóság” fogalmát, amely azon a feltevésen nyugszik, miszerint a gépek működésének megértése lehetővé teszi a megfelelő felügyelet biztosítását. Az algoritmikus átláthatóság célja tehát, hogy a számítási folyamatok pontosak és elfogultságmentesek legyenek. Ugyanakkor az egyre komplexebb algoritmusok megértése, és ezáltal a prezentálhatósága mind komolyabb kihívást intéz azok alkalmazóihoz, fejlesztőihez. Meghatározó és súlyos következményekkel járó döntések – mint amilyenek a hitelezésre, foglalkoztatásra vagy éppen állami juttatások kiosztására vonatkoznak – esetében nagy számban fordulnak elő olyan átláthatatlan, megmagyarázhatatlan algoritmuseredmények, amelyeket a döntésért jogi felelősséggel tartozó szerv ismerethiányból fakadóan nem képes megmagyarázni.[52]

3.2. Az AI Officeri pozícióról

A mesterséges intelligencia, mint technológia mind szélesebb körű elterjedésével az automatizált döntések száma is drasztikusan megemelkedett, így az azokban megjelenő logikák, ok-okozati összefüggések „nyomon követhetőségének” igénye olyan kihívássá vált, amely az információs önrendelkezési jog védelmének, az egyének és társadalmak biztonságának előfeltételeként értelmezendő.[53]

Ha tehát az elszámoltathatóság elvének érvényesülése mind komolyabb technológiai kihívásokkal néz szembe, úgy felvetődik a kérdés, milyen gyakorlati elvárásokat érdemes megfogalmazni az adatvédelmi tisztviselőkkel szemben? Ha az „algoritmikus elszámoltathatóságot” még az MI-rendszereket fejlesztők sem képesek garantálni, úgy mennyiben elvárható egy adatvédelmi tisztviselőtől ugyanez?

Az AIA 14. cikk (1) bekezdése értelmében a nagy kockázatú MI-rendszereket úgy kell megtervezni és fejleszteni – többek között megfelelő ember-gép interfész eszközökkel –, hogy azokat a használatuk időtartama alatt természetes személyek hatékonyan felügyelhessék. Hatékony felügyelet aligha képzelhető el az adott MI-rendszer átfogó ismerete nélkül, aminek törvényszerűen kell kiterjednie az egyes döntések okaira, azok átláthatóságára. A jogalkotó tehát emberi kontrollt kívánt telepíteni a nagy kockázatú MI-rendszerek fejlesztésének, alkalmazásának folyamatába azzal, hogy csupán annak eredményét („hatékony felügyelet”), nem pedig módját („AI Officer”) akarta meghatározni.

A „hatékony felügyelet” ugyanakkor formállogikailag jár együtt a számonkérés és az elszámoltathatóság fogalmával, lévén egyfajta „eredménykötelemként” is lehet értelmezni a minőségi meghatározást. Márpedig, ha a jogalkotó hatékonyságot vár el, úgy annak ellen-
őrizhetőnek, jogalkalmazói oldalon pedig számonkérhetőnek kell lennie. A számonkérés pedig – ha maradunk a hatékonyság fogalmánál – eredményesebb lehet egy dedikált vezetővel, mint sem egy feladat- és hatáskör tekintetében heterogén kollektívával szemben.

Mindebből következően a hatékony felügyelet mint kötelezettség inkább feltételezi az AI Officer kinevezésének szükségszerűségét, mint negligálná azt.

Ha tehát elfogadjuk azt, hogy az AIA emberi felügyeletre vonatkozó elvárásnak való megfelelés mintegy indikálja a nagy kockázatú MI-rendszereket fejlesztő vagy alkalmazó szervezeteknél az AI Officer kinevezését, úgy azt is le kell szögeznünk, hogy az AI Officer feladatkörének origója az elszámoltathatóság és a transzparencia köré szerveződik.

AIA 14. cikk (4) bekezdésének a) pontja alapján az emberi felügyeletnek képesnek kell lennie megfelelően megérteni a nagy kockázatú MI-rendszer releváns képességeit és korlátait. Ugyanezen bekezdés b) pontja alapján az emberi felügyeletnek képessé kell válnia tudatában maradni a nagy kockázatú MI-rendszerek által előállított kimenetre való automatikus vagy túlzott mértékű támaszkodás tendenciájának („automatizálási torzítás”), különösen azon nagy kockázatú MI-rendszerek esetében, amelyeket információ vagy ajánlások nyújtására használnak a természetes személyek által hozandó döntésekhez.

Összevetve mindezt a „hatékony felügyeleti” elvárással az emberi kontrollnak külső és belső transzparenciára támaszkodva kell az elszámoltathatóságot garantálnia.

Vizsgálandó szempontként érdemes felvetni annak kérdését is, hogy az AI Officer kinevezése mennyiben kapcsolódik össze a nagy kockázatú MI-rendszerekkel? Minden esetben, ahol alkalmazást kell nyernie az AIA rendelkezéseink, szükséges lehet kijelölni AI Officert, vagy csupán a nagy kockázatú MI-rendszerek megjelenése hívja életre a tisztség szükségességét?

Mint ahogy az megállapításra került, az AI Officer feladatköre elválaszthatatlan a transzparencia elvének érvényre juttatásától.
A mesterséges intelligenciáról szóló rendelet átláthatósági követelményeinek hatálya azonban csak a magas kockázatú mesterségesintelligencia-rendszerekre terjed ki, amelyek megfelelnek a rendelet 6. cikk (1) bekezdésében és a folyamatosan frissített III. mellékletben foglaltaknak.[54]

Következésképp az átláthatóság nem generális követelmény valamennyi MI-rendszer tekintetében, így véleményem szerint az AI Officer kijelölésére is csak akkor kell, hogy sor kerüljön, amikor nagy kockázata MI-rendszer kerül bevezetésre vagy fejlesztésre.

3.3. Konklúzió, avagy lehet-e a DPO egyben AI Officer is?

Joggal tehető fel a kérdés, hogy az adatvédelmi tisztviselőre irányadó, fentebb bemutatott összeférhetetlenségi szabályok lehetővé teszik-e az AI Officeri pozíció betöltését a DPO-k számára?

Mint arra egyértelműen rámutatott a Norvég Adatvédelmi Hatóság az idézett döntésében, már pusztán az adatvédelmi tisztviselő „részmunkaidő” jellegű feladatellátása is magában hordozza az esetleges érdekkonfliktus lehetőségét.

Ezen túlmenően lényegi kérdés, hogy az AI Officer meghatározhatja-e a személyes adatok kezelésének módját és eszközeit, vagyis rendelkezik-e (illetve rendelkeznie kell-e) olyan döntési kompetenciával, ami összeférhetetlen volna a DPO ellenőrzési kötelezettségével.

Ezen a ponton kell utalni az AIA 14. cikk (4) bekezdésének e) pontjára, mely értelmében az emberi felügyeletnek képessé kell válnia beavatkozni a nagy kockázatú MI-rendszer működésébe, vagy megszakítani a rendszert egy „stop” gomb vagy olyan, hasonló eljárás révén, amely lehetővé teszi a rendszer biztonságos állapotban történő leállását.

Következésképp az AIA által e cikkben megkövetelt humán kontroll birtokában kell lennie olyan jogosultságoknak és technikai képességeknek, amelyek eredményeképp a nagy kockázatú MI-rendszer leállítása is lehetségessé válik. Ez tehát olyan jogkör, amelyhez mérlegelési és cselekvési autonómiát rendelt a jogalkotó, így tehát amennyiben az érintett rendszer kezel személyes adatokat, úgy azon adatkezelés célját az adott humán kontroll (munkahipotézisként: AI Officer) felügyeli és eszközei tekintetében beavatkozással azt befolyásolni is képes.

Elégséges csak utalni az AIA 14. cikk (4) bekezdés d) pontjára, amely úgy rendelkezik, hogy az emberi felügyeletnek képessé kell válnia bármely konkrét helyzetben dönteni arról, hogy nem használják a nagy kockázatú MI-rendszert, vagy más módon figyelmen kívül hagyják, felülírják vagy visszafordítják a nagy kockázatú MI-rendszer kimenetét.

Mindezek alapján megvalósul az, hogy az AI Officer az adatkezelés tekintetében a „miért” és „hogyan” eldöntésére válik jogosulttá, befolyást gyakorol a személyes adatok kezelésére, részt vesz a kezelés céljainak és módjának meghatározásában.[55] Az AI Officer döntési jogkörrel és cselekvés meghatározásának módja tekintetében választási opciókkal lett felruházva, ezzel pedig – ismételten hangsúlyozva –, amennyiben megvalósul személyes adatok kezelése a nagy kockázatú MI-rendszerekkel összefüggésben, úgy az adatkezelői pozíció megállapítást kell, hogy nyerjen, így eredményezve összeférhetetlenséget az adatvédelmi tisztviselői feladatellátással.

Ahogy az megjelent a Leistritz-ítéletben is, a DPO függetlensége csak a GDPR céljainak megvalósítása felől nyerhet értelmet. Az adatvédelmi tisztviselőnek az elszámoltathatóság alapköveként tehát ellenőriznie kell az AI Officer tevékenységét, amit a pozícióhoz rendelt függetlenség lehetővé tesz, míg az összevont feladatellátás de jure lehetetlenítené el azt.

Az összeférhetetlenség jogintézménye egy komplex, és jogterületenként eltérő logikát követő szabályozás, amely azonban minden esetben az érdekek kiegyensúlyozásának előmozdítására törekszik. Az AI Officer és a DPO pozíciók egyszemélyi ellátásának tekintetében, még ha expressis verbis tilalomról nincs is szó, már csak a két szerepkör közötti érdekegyensúlytalanság okán sem képzelhető el a pártatlan feladatellátás. Ugyanis az AI Officer egy operatív, cselekvési jogosultsággal bíró, az adott szervezeti hierarchiába illeszkedő pozícióként határozható meg, ezzel szemben az adatvédelmi tisztviselő optimálisan az adott szervezeti struktúrától függetlenül, annak csak a legfelsőbb vezetéséhez kapcsolódó entitásként értelmezendő.

* A szerző a Gránit Bank Nyrt. adatvédelmi tisztviselője, adatbiztonsági és adatvédelmi szakjogász, a Pécsi Tudományegyetem Állam- és Jogtudományi Doktori Iskola doktorandusza.

[1] A Bizottság közleménye (2021/C 121/01): Iránymutatás az összeférhetetlenségek költségvetési rendelet szerinti elkerüléséről és kezeléséről

[2] György István – Hazafi Zoltán (szerk.): Közszolgálati jog, Nemzeti Közszolgálati Egyetem, 2015. 93.

[3] György–Hazafi i m. 93.

[4] Hohmann Balázs: Az átláthatóság értelmezése és követelményrendszere a közigazgatási hatósági eljárások tükrében, Novissima Kiadó, 2022, 133–134.

[5] Nagykommentár a munka törvénykönyvéről szóló 2012. évi I. törvényhez Bankó Zoltán – Berke Gyula – Kiss György – Szőke Gergely László: Nagykommentár a munka törvénykönyvéről szóló 2012. évi I. törvényhez, Wolters Kluwer Hungary Kft., 2019,

[6] Bankó–Berke–Kiss–Szőke i. m.

[7] Antalóczy Adrienn: A vezetők feletti munkáltatóijogkör-gyakorlás, Munkajog, 2023/2. 46

[8] Antalóczy i. m. 46

[9] A Polgári Törvénykönyvről szóló 2013. évi V. törvény (Ptk.) 3:121. § (4) bekezdés.

[10] Antalóczy i. m. 46

[11] Jóri András (szerk.): A GDPR magyarázata, Budapest, HVG-ORAC Lap- és Könyvkiadó Kft., 2018, 314

[12] GDPR 39. cikk (1) bekezdés a) és b) pont.

[13] A 29. cikk szerinti munkacsoport WP 243 rev.01. számú Iránymutatás az adatvédelmi tisztviselőkkel kapcsolatban.

[14] Christopher Kuner – Lee A. Bygrave – Christopher Docksey: The EU General Data Protection Regulation: A Commentary, Oxford University Press, 2020, 705.

[15] WP 243 rev.01.

[16] Kuner–Bygrave–Docksey i. m. p. 705.

[17] Kuner–Bygrave–Docksey i. m. p. 706.

[18] Norwegian Data Protection Authority 21/03823-45. számú döntése.

[19] NDPA 21/03823-45.

[20] NDPA 21/03823-45.

[21] NDPA 21/03823-45.

[22] NDPA 21/03823-45.

[23] Belgian Data Protection Authority 141-2021. számú döntése.

[24] APD: 141-2021.

[25] APD: 141-2021.

[26] APD: 141-2021.

[27] Európai Unió Bíróságának 62020CJ0534. számú ítéletének 12. pontja.

[28] EUB 62020CJ0534. számú ítéletének 8. pontja.

[29] EUB 62020CJ0534. számú ítéletének 13. pontja.

[30] EUB 62020CJ0534. számú ítéletének 16. pontja.

[31] GDPR 38. cikke (3) bekezdés: Az adatkezelő és az adatfeldolgozó biztosítja, hogy az adatvédelmi tisztviselő a feladatai ellátásával kapcsolatban utasításokat senkitől ne fogadjon el. Az adatkezelő vagy az adatfeldolgozó az adatvédelmi tisztviselőt feladatai ellátásával összefüggésben nem bocsáthatja el és szankcióval nem sújthatja. Az adatvédelmi tisztviselő közvetlenül az adatkezelő vagy az adatfeldolgozó legfelső vezetésének tartozik felelősséggel.

[32] EUB 62020CJ0534. számú ítéletének 16. pontja.

[33] EUB 62020CJ0534. számú ítéletének 21–22. pontja.

[34] EUB 62020CJ0534. számú ítéletének 26. pontja.

[35] EUB 62020CJ0534. számú ítéletének 28. pontja.

[36] EUB 62020CJ0534. számú ítéletének 35. pontja.

[37] EUB 62020CJ0534. számú ítéletének 36. pontja.

[38] Európai Unió Bíróságának 62021CJ0453. számú ítélete.

[39] EUB 62021CJ0453. számú ítéletének 10–12. pontja.

[40] EUB 62021CJ0453. számú ítéletének 13–15. pontja.

[41] EUB 62021CJ0453. számú ítéletének 18. pontja..

[42] EUB 62021CJ0453. számú ítéletének 18. pontja.

[43] EUB 62021CJ0453. számú ítéletének 31. pontja.

[44] EUB 62021CJ0453. számú ítéletének 36. pontja.

[45] EUB 62021CJ0453. számú ítéletének 41. pontja.

[46] EUB 62021CJ0453. számú ítéletének 44. pontja.

[47] EUB 62021CJ0453. számú ítéletének 46. pontja.

[48] Martin Ebers: Truly risk-based regulation of artificial intelligence how to implement the EU’s AI Act, European Journal of Risk Regulation, 2024, 1–20, https://doi.org/10.1017/err.2024.78

[49] Ebers i. m. 1–20.

[50] WP 243 rev.01.

[51] Paul de Hert – Guillermo Lazcoz: When GDPR-
principles blind each other: accountability, not transparency, at the heart of algorithmic governance, European Data Protection Law Review, 2022. 31 https://doi.org/10.21552/edpl/2022/1/7

[52] Gyandeep Chaudhary: Unveiling the Black Box: Bringing Algorithmic Transparency to AI, Masaryk University Journal of Law and Technology, 2024, 93–122 https://doi.org/10.5817/MUJLT2024-1-4

[53] Chaudhary i. m. 93–122.

[54] Balázs Hohmann – Adrián Fábián – Gergely László Szőke: The Shades of the Concept of Transparency on the Horizon of European Technology Law and Platform Regulation, Juridical Tribune – Review of Comparative and International Law, 2025, 44–62., https://doi.org/10.62768/TBJ/2025/15/1/03

[55] Az Európai Adatvédelmi Testület 07/2020. számú iránymutatás az adatkezelő és az adatfeldolgozó GDPR szerinti fogalmáról, 35. pont.