Tisztázatlan jogi kérdések a felhőszolgáltatásoknál

Magyarországon is felvet jogi kihívásokat a cloud computing terjedése. Egy ügyvédi iroda elemzése szerint különösen az adatvédelem számít érzékeny területnek.

A személyes adatok védelme az egyik legérzékenyebb terület a cloud computing kapcsán ma Magyarországon − állítja friss elemzésében a Horváth és Társai DLA Piper Ügyvédi Iroda. A magyarországi adatvédelmi szabályozás ugyanis kifejezetten szigorúnak számít − uniós összehasonlításban is. "Egyszerű példa: ha egy vállalat az alkalmazottak személyes adatait az internetfelhőben szeretné tárolni, és történetesen a cloud szolgáltató külföldön van − márpedig erre nagy az esély −, ehhez a magyar jogszabályok értelmében az adatalanyok hozzájárulása szükséges. Beláthatjuk, mekkora adminisztrációs gondot okozhat ez egy sok ezer főt foglalkoztató cégnél" − hívja fel a figyelmet Kozma Zoltán, a DLA Piper jogi szakértője.

A problémák persze az alapoknál kezdődnek. Nem mindig egyértelmű például, hogy ha a felhőszolgáltató és a felhasználó vállalat nem azonos országban tevékenykedik, illetve ha az adatkezelésben több tagállam érintett, melyik ország adatvédelmi szabályozása az irányadó. Kérdés lehet az is, hogy jogi szempontból minek minősül a szolgáltató, adatkezelőnek vagy adatfeldolgozónak. Előbbire ugyanis jóval szigorúbb jogszabályi előírások vonatkoznak, hiszen az adatokkal aktívan foglalkozik, így meghatározza az adatkezelés célját, míg utóbbi adott esetben csak tárolja őket.

Érzékeny kérdés a DLA Piper elemzése szerint maga a cloud szerződés is. Tekintettel arra, hogy a felhőszolgáltatók szinte kivétel nélkül szabványosított szerződéseket, általános szerződési feltételeket használnak, amelyek kevés teret engednek az "egyezkedésre", a szolgáltatást igénybe vevők részéről ezért nagyobb hangsúlyt kell helyezni a kockázatelemzésre a szerződés megkötése előtt. Rendkívül fontos ezért az odafigyelés, hiszen egy-egy, a felhasználó vállalat számára kedvezőtlenül megfogalmazott passzus baj esetén alaposan visszaüthet. "Alapvető kérdés például, hogy ki felel az adatvesztésért, helyreállításért, és milyen kártérítésre számíthat az ügyfél ilyen esetben" − hívja fel a figyelmet Kozma Zoltán. "Fontos tisztázni azt is, hogy a szerződéses jogviszony milyen feltételekkel szüntethető meg, illetve hogy ebben az esetben mi történik a felhasználó szolgáltató részére rendelkezésre bocsátott adataival" − teszi hozzá a DLA Piper szakértője.

"Magyarországon felemás a helyzet; maguk a szabályok ugyan − mondhatni átgondolatlanul − szigorúak az európai uniós szabályozáshoz képest, ám az adatvédelmi biztosnak nincsen erős szankcionálási jogköre ezek betartatására. Ez pedig a gyakorlatban sokszor a jogszabály céljával ellentétes hatást váltott ki a vállalkozásoknál, sok cég − néha kényszerűségből is − a jogszabály megkerülését választotta adatkezelése során. Ebben egyébként változást hozhat a nemrégiben elfogadott, de még hatályba nem lépett, az információs önrendelkezési jogról és az információszabadságról szóló törvény, amely az újonnan létrejövő Nemzeti Adatvédelmi és Információszabadság Hatóságnak erős szankcionálási jogosítványokat biztosít akár milliós bírságolási tételekkel" − hangsúlyozza Kozma Zoltán.