Kokoly Zsolt: Személyes adatok-e a szakmai vizsgadolgozatra adott írásbeli válaszok és a vizsgáztató megjegyzései?

2018. május 25-én vált alkalmazandóvá az Európai Unió Általános Adatvédelmi Rendelete (2016. április 27-i (EU)2016/679 európai parlamenti és tanácsi rendelet – „GDPR”). Noha a jogszabály már két éve, 2016 óta hatályos, a közbeszédben való elterjedése valójában csak 2018 elején indult meg. Az elmúlt félévben számos előadás, képzés, szakcikk, tájékoztatás látott napvilágot, amely azt eredményezte, hogy ma nehezen találnánk olyan érintett személyt, aki nem hallott volna a rendeletről és a benne foglaltakról.

A rendelet egy hete hatályos Romániában is és ugyancsak május végén kezdődött meg az egyetemi vizsgaidőszak – ennek az egybeesésnek a kapcsán merült fel, hogy érdekes lenne a GDPR, illetve a személyes adatok védelmének kontextusában megvizsgálni az Európai Unió Bíróságának egy 2017. decemberében hozott ítéletét. Ez az ítélet azt mondja ki, hogy a szakmai vizsgán adott írásbeli válaszok és a vizsgáztatónak az e válaszokra vonatkozó esetleges megjegyzései a vizsgázó személyes adatainak minősülnek, amelyekhez főszabály szerint jogosult hozzáférni. A Bíróság értelmezésében a hozzáférés biztosítása a természetes személyeknek a magánélet tiszteletbentartásához való jogát védelmezi, ez az alapvető jog pedig magában foglalja többek között, hogy az érintett személy megbizonyosodhat arról, hogy a rá vonatkozó személyes adatok helyesek, és azokat jogszerűen kezelik.

A C-434/16. sz. ügyben – Peter Nowak kontra Data Protection Commissioner – hozott ítélet annak ellenére releváns marad, hogy az ítélet még a 95/46/EK irányelv figyelembevételével történt, ugyanis azt már a Főtanácsnoki Indítvány is kiemeli, hogy „bár a 95/46/EK irányelv helyébe hamarosan a még nem alkalmazandó adatvédelmi alaprendelet lép, a személyes adatok fogalmát azonban ez nem érinti. Ennélfogva a jelen előzetes döntéshozatal iránti kérelem az uniós védelmi jogszabályok jövőbeni alkalmazása szempontjából is jelentőséggel bír.” Hasonlóképpen nyilatkozott a Bíróság is, amely ítéletében több ízben kitért az ügy kulcsfogalmainak az új (EU)2016/679 sz. adatvédelmi rendelete (GDPR) szerinti értelmezésére is.

A C-434/16. sz. ügyben a jogvita Peter Nowak, valamint az írországi Data Protection Commissioner (adatvédelmi biztos) között keletkezett, arra vonatkozóan, hogy az utóbbi megtagadta P. Nowaktól a hozzáférést vizsgázóként írt vizsgadolgozatának javított példányához azzal az indokkal, hogy az abban foglalt információk nem minősülnek személyes adatoknak.

A Bíróság elé tárt tényállás a következőket tárta fel: P. Nowak gyakornok könyvvizsgáló-adószakértőként sikerrel letette az első szintű számviteli tárgyak vizsgáit, valamint három, az Institute of Chartered Accountant of Ireland (írországi könyvvizsgáló-adótanácsadói szakmai szervezet) által szervezett második szintű vizsgát. Nem sikerült azonban a vizsgája „stratégiai pénzügyi számvitel és számviteli kezelés” tantárgyból, amely során a vizsgázóknak lehetőségük van saját referencia anyagot használni („open book exam” – nyitott tankönyves vizsga), így 2009 őszén, a sikertelen vizsga után, P. Nowak először panasszal élt e vizsga eredményével szemben. Miután e panaszát elutasították, kérelmet nyújtott be a könyvvizsgáló-adótanácsadói szakmai szervezet birtokában lévő, őt érintő személyes adatokhoz való hozzáférés iránt. 2010-ben a könyvvizsgáló-adótanácsadói szakmai szervezet 17 dokumentumot megküldött P. Nowaknak, vizsgadolgozatának megküldését azonban megtagadta azon az alapon, hogy az nem tartalmaz az adatvédelmi törvény értelmében vett személyes adatokat.

P. Nowak ekkor az adatvédelmi biztoshoz fordult, 2010 júniusában azonban az adatvédelmi biztos e-mailben egyebek mellett arról tájékoztatta, hogy „a vizsgadolgozatok általában nem esnek [az adatvédelmi szabályok] hatálya alá, […] mivel az ilyen dokumentumok általában nem minősülnek személyes adatnak”.

A felek közti jogvita az ír Supreme Court (legfelsőbb bíróság) elé került, mely úgy határozott, hogy az eljárást felfüggeszti és az Európai Unió Bíróságához fordul előzetes döntéshozatal céljából, arra a kérdésre várva választ, hogy személyes adatoknak minősülnek-e valamely vizsgázó által egy szakmai vizsgán adott írásbeli válaszok és a vizsgáztató esetleges vonatkozó megjegyzései.

Mielőtt az ügyben eljáró Juliane Kokott főtanácsnok indítványát, illetve a Bíróság ítéletét bemutatnánk, érdemes megállni és megfontolni, milyen következményekkel járhat a gyakorlatban a vizsgadolgozatok elemeinek személyes adattá nyilvánítása.

A szóban forgó ügyben a központi kérdés a személyes adatok fogalma, az adatok kijavításának joga másodlagos kérdés. Azonban mivel az uniós jogalkotó a személyes adat fogalmának mind az előző irányelvben, mind a jelen rendeletben hangsúlyozottan tág értelmezést kívánt adni, egyesek ad absurduma következőképpen is érvelhetnének: amennyiben a vizsgadolgozatra adott válasz személyes adatnak minősül, és a rendelet értelmében az érintett személy kérheti személyes adatainak módosítását, helyesbítését, akár törlését is, ezeredményezheti-e a vizsgázó „téves” válaszainak utólagos „helyesbítését”?

Érdemes áttekintenünk az ügy tárgyalása kapcsán a főtanácsnoki indítványt, illetve a lengyel, cseh, görög, magyar, osztrák, portugál és lengyel kormányok nevében megfogalmazott észrevételeket is, hiszen ezek gyakorlatilag „problémakatalógust” állítanak össze a vizsgadolgozatok – személyes adatok összefüggésének vitás kérdéseiről.

Zárójelként jegyezzük meg, hogy Magyarország esetében az alapügyhöz hasonló helyzet már korábban is jelentkezett (2002-ben kezdeményezte az adatvédelmi biztos annak egyértelművé tételét a nyelvvizsgaközpontok számára, hogy a vizsgadolgozatokba való betekintési jog magában foglalja a másolatok készítésének jogát is. Az adatvédelmi biztos azzal érvelt, hogy mindaz, amit a vizsgázó a vizsgadolgozaton a vizsgaközponttal közöl, a feltett vizsgakérdésekre adott válaszai, valamint az írásképe is személyes adat, azok kezelője pedig a nyelvvizsgaközpont, következésképpen az adatkezelőre nézve kötelező törvényi rendelkezéseket be kell tartania).

Amint szinte valamennyi eljárásban részt vevő fél joggal állapította meg, egy vizsgadolgozat nemcsak meghatározott feladatok megoldásaira vonatkozó információkat tartalmaz, hanem ezeket összekapcsolja a vizsgázó dolgozatot író személyével. A dolgozat dokumentálja, hogy e személy valamely vizsgán részt vett, illetve, hogy ezen a vizsgán milyen teljesítményt nyújtott.

Nincs jelentősége annak a ténynek, hogy a vizsgáztató személy azonosítani tudja-e vagy sem, a vizsgázót vizsgadolgozatának javítása vagy osztályozása során. Számos írásbeli vizsgánál kifejezetten hangsúlyt fektetnek arra, hogy a vizsgáztató ne tudja meg, ki a vizsgázó, így zárva ki az érdekellentétet vagy a részrehajlást.

P. Nowak, Lengyelország és a Cseh Köztársaság emellett azt az álláspontot képviselték, hogy a kézzel írt válaszok további információkat tartalmaznak a vizsgázóról, nevezetesen annak kézírásáról. Érvelésük szerint a kézzel írt dolgozat ezáltal lényegét tekintve írásmintának tekinthető, amely – legalábbis potenciálisan – egy későbbi időpontban felhasználható annak vizsgálatára, hogy egy másik szöveg szintén a vizsgázó kézírásával készült-e, következésképpen kézírás tehát információt adhat a dolgozatot író személyéről.

A főtanácsnok megítélésében azonban a személyes adatként minősítés szempontjából nem lényeges az, hogy egy ilyen írásminta alkalmas-e a dolgozatot író személy kétséget kizáró azonosítására, ugyanis számos másik személyes adat sem teszi ugyanis önmagában lehetővé személyek kétség nélküli azonosítását. Ennélfogva nem is szükséges eldönteni, hogy a kézírás biometrikus információnak minősül-e.

Ugyancsak közömbös a vizsgadolgozat személyes adatnak minősítése szempontjából az, hogy a dolgozat során egyénileg kell a válaszokat megfogalmazni, vagy feleletválasztásos teszt alapján meghatározott válaszok közül lehet választani, és hasonlóképpen, a saját referenciaanyagok, dokumentumok használatának lehetősége sem releváns tényező.

Az ír adatvédelmi biztos által előadottakkal ellentétben, a főtanácsnok és az eljárás során észrevételeket benyújtó felek egyetértettek abban, hogy a vizsgadolgozatban felmerülő személyes adatok köre nem merül ki a vizsga eredményében, az elért érdemjegyben vagy a vizsga meghatározott szakaszaiban megszerezhető pontértékekben. Ezek az értékek csak összefoglalják azt, ami magában a vizsgadolgozatban dokumentálva van.

Amint azt J. Kokott főtanácsnok összefoglalta: a vizsgázó mindenkori teljesítményének személyhez kötöttsége olyan mértékben nő, ahogyan a vizsgázónak magának kell a válaszokat kidolgoznia. Ugyanis a megoldások egyénileg történő kidolgozása nem merül ki pusztán a megtanult információk felidézésében, hanem azt is megmutatja, hogy a vizsgázó hogyan gondolkodik és dolgozik. Továbbá, egy vizsga – mintegy a reprezentatív felmérés ellentéteként – nem egy adott személytől független információk megszerzését célozza. Sokkal inkább egy adott személy, azaz a vizsgázó teljesítményét kell megállapítania és dokumentálnia. Mindegyik vizsga a vizsgázó személyes és egyedi teljesítményének megállapítását célozza.

Megállapítható az is, hogy a vizsgadolgozatok többnyire valamely nyilvántartási rendszer részét képezik, azaz tekinthető a személyes adatok olyan strukturált állományának, amely meghatározott ismérvek alapján hozzáférhető. Következésképpen nem kell valamely elektronikus adatfeldolgozó készülék részét képeznie, a papír alapú vizsgadolgozatok betűrend vagy más ismérvek alapján rendezett fizikai állománya már megfelel e követelményeknek.

Láthatjuk tehát, hogy az ügyben részvevő felek között konszenzus alakult ki arra vonatkozóan, hogy a vizsgadolgozatok esetében a vizsgázónak a vizsgakérdésekre adott írásbeli válaszai – a vizsgáztatás formájától függetlenül – személyes adatnak tekintendőek. Maga a vizsgakérdés ugyanakkor nem minősíthető személyes adatnak.

Ebben a kontextusban történt meg a személyes adatok helyesbítésére vonatkozó kérdés tárgyalása is: nyilvánvaló ugyanis, hogy az adatokhoz való hozzáférés és helyesbítés jogát egy vizsgadolgozat tekintetében nem lehet azért gyakorolni, hogy a betekintést követően a dolgozat, azaz a vizsgázó által papírra vetett megoldás tartalmának a helyesbítését lehessen követelni. Lengyelország joggal emelte ki, hogy a személyes adatok helyességét és teljességét gyűjtésük vagy további kezelésük céljára való tekintettel kell értékelni. Egy vizsgadolgozat célja pedig éppen az, hogy a vizsgázó tudását és képességeit a vizsga időpontjában, éppen a vizsgateljesítménye és különösen az abban található hibák révén, megállapítsa. A megoldásban található hiba tehát nem jelenti azt, hogy a dolgozatban található személyes adatok helytelenek lennének.

A helyesbítés mindazonáltal kérhető indokolt esetekben, hiszen adódhatnak olyan helyzetek, amikor egy vizsgázó vizsga során adott írásbeli válaszai és a vizsgáztató e válaszokra vonatkozó esetleges megjegyzései hibásnak bizonyultak. Ilyen helyzet állhat elől például azért, mert tévedésből összecserélték a vizsgadolgozatokat, ezáltal egy másik vizsgázó válaszait tulajdonították az érintett vizsgázónak, vagy mert a vizsgázó válaszait tartalmazó lapok egy része elveszett, így az említett válaszok nem teljesek. Előfordulhat olyan eset is, amikor a vizsgáztató esetleges megjegyzései nem dokumentálják megfelelő módon az érintett vizsgázó válaszainak általa adott értékelését.

Míg a vizsgáztatás időpontjában, a vizsgaeredmények ellenőrzése és hatóideje alatt a személyes adatok törlésének kérdése nem jöhet szóba, nem zárható ki, hogy a vizsgázónak egy későbbi időpontban jogos érdeke fűződik a dolgozatban foglalt személyes adatok törléséhez (azaz a dolgozat megsemmisítéséhez). Ilyen érdeket legkésőbb akkor lehetne megállapítani, amikor a dolgozat a határidők leteltével, a vizsgaeredmények ellenőrzésével összefüggésben minden bizonyítóerejét elveszítette.

Láthatjuk tehát, hogy a vizsgázó személyes adatainak indokolt esetben való helyesbítése, törlése nem zárható ki. Ugyanakkor, a vizsgadolgozattal ellentétben, a vizsgáztató megjegyzéseinek vonatkozásában a helytelen adatok kijavítására, törlésére vagy zárolására vonatkozó adatvédelmi jogi igény érvényesítése összességében nehezen képzelhető el. Kizártnak tűnik ugyanis az, hogy a dolgozaton található megjegyzések valójában egy másik dolgozatra vonatkoznak, vagy nem a vizsgáztató véleményét tükrözik, mivel pontosan ezt a véleményt kell dokumentálniuk. Következésképpen akkor sem lehetnek hibásak, és nem lehet szükséges ezek javítása, ha a megjegyzésekben dokumentált értékelés objektívan nem lenne igazolható.

2017 decemberében kihirdetett ítéletében az Európai Unió Bírósága a főtanácsnoki indítványban megfogalmazott jogi érvelést követte és hasonló szellemben foglalt állást. Ennek értelmében kifejtette, hogy a személyes adat fogalmát az uniós jogalkotó tág jelentésben kívánta meghatározni, amely nem korlátozódik az érzékeny vagy magánjellegű információkra, hanem potenciálisan magában foglal minden típusú információt, függetlenül attól, hogy azok objektív vagy például vélemény vagy értékelés formájában szubjektív jellegűek, feltéve hogy az adott személyre „vonatkoznak”. Ez utóbbi feltétel akkor teljesül, ha az információ tartalmánál, céljánál vagy hatásánál fogva egy meghatározott személyhez kapcsolódik. Valamely vizsgázó által egy szakmai vizsgán adott írásbeli válaszok pedig ilyen, személyéhez kapcsolódó információknak minősülnek.

E válaszok tartalma ugyanis tükrözi a vizsgázó adott területen fennálló ismereteinek és tudásának szintjét, valamint adott esetben gondolkodási folyamatát, véleményalkotását és kritikai érzékét is. Továbbá az említett válaszok összegyűjtésének célja a vizsgázó szakmai tudásának és az adott foglalkozás gyakorlására vonatkozó képességének az értékelése. Továbbá ezen információk felhasználása, amely különösen abban nyilvánul meg, hogy a vizsgázó az érintett vizsgát sikerrel vagy sikertelenül teljesíti, hatással lehet e személy jogaira és érdekeire, amennyiben meghatározhatja vagy befolyásolhatja például a kívánt szakmához vagy álláshoz való hozzáférésre vonatkozó esélyeit.

Hasonlóképpen döntött a Bíróság a vizsgáztatónak a vizsgázó válaszaira vonatkozó esetleges megjegyzéseivel kapcsolatban is, megállapítva, hogy ezek, a vizsgázó vizsgán adott válaszaihoz hasonlóan, személyes adatnak minősülnek. Így e megjegyzések tartalma a vizsgáztatónak a vizsgázó vizsga során nyújtott egyéni teljesítményére vonatkozik, közelebbről az érintett területen fennálló ismereteire és tudására vonatkozó véleményét vagy értékelését tükrözi. Azt a megállapítást, hogy a vizsgáztató megjegyzései olyan információknak minősülnek, amelyek tartalmuknál, céljuknál és hatásuknál fogva e vizsgázóhoz kapcsolódnak, nem kérdőjelezi meg a tény, hogy a megjegyzések egyúttal a vizsgáztatóra vonatkozó információnak is tekinthetők.

Ennél a pontnál felmerülhet az a kérdés, hogy mi történhet abban az esetben, hogyha a vizsgázó jogos érdek alapján kéri személyes adatai törlését (a dolgozat megsemmisítését), amely azonban más érintett személy személyes adatait is tartalmazza (a vizsgáztató megjegyzéseit). Erre az esetre vonatkozóan a Bíróság már az új adatvédelmi rendelet azon bekezdésére hivatkozott, amely szerint a személyes adatok másolatának igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait.

Összefoglalásképpen elmondhatjuk, hogy az Európai Bíróság értelmezésében a vizsgázó személynek a vizsgadolgozaton adott írásbeli válaszai, illetve a vizsgáztató személynek a vizsgadolgozatra vonatkozó megjegyzései személyes adatnak minősülnek. Főszabály szerint ez a tény hozzáféréshez és helyesbítéshez való jogot keletkeztet e vizsgázó számára, azonban ezt a jogát csak a jogos érdek figyelembevételével, indokolt esetben gyakorolhatja. A vizsgadolgozatok helytelen válaszai esetében nem lehet a személyes adatok kezelésére vonatkozó rendelet alapján helyesbítést kérni, hiszen a cél az, hogy értékelni lehessen e vizsgázónak a vizsga időpontjában fennálló ismereteinek és tudásának szintjét, és ezt a szintet pedig éppen a válaszaiban előforduló hibák tükrözik. A vizsgadolgozatok esetében egy esetleges adathozzáférésre vonatkozó megkeresés alapjául szolgálhat információs szükséglet, mivel a vizsgázónak legalább arra vonatkozó információt kell tudnia szerezni, hogy a dolgozatát továbbra is őrzik-e.

A személyes adatoknak a vizsgadolgozatokra való kiterjesztése alapvetően a vizsgázó érintett személyek számára jelenthet újabb jogokat, ezzel szemben a vizsgaszervező, adatkezelő intézményre az adatkezelési elvekre vonatkozó megfelelési kötelezettséget rója. További kérdések merülhetnek fel annak kapcsán, hogy ezt a kötelezettséget az adatkezelők hogyan építik be a vizsgaeljárásba, hiszen a vizsgadolgozat értékelésével kapcsolatos információkat elsősorban a vizsgaeljárás, illetve a vizsga eredménye elleni panaszra vonatkozó különleges eljárás keretében kell kérelmezni, nem pedig az adatvédelmi szabályozás alapján. Amennyiben pedig a vizsgaeljárást nem az uniós jog szabályozza, úgy az információhoz való hozzáférés e vizsgaeljárás keretében történő esetleges igénylése kizárólag a nemzeti jog szabályai alá tartozik.

A szerző a Sapientia EMTE egyetemi adjunktusa.