Észrevételek a Digitális Omnibusz reformjainak adatvédelmi aggályairól

1. Bevezetés – mi jelentheti a problémát a Digitális Omnibusz kapcsán?

2026. október 21-én az Európai Unió Tanácsa (továbbiakban: Tanács) elfogadta az ún. Digitális Omnibusz csomagot érintő tárgyalási álláspontját, amely számos uniós jogi norma, így a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 rendelet (továbbiakban: GDPR) módosítását is célul tűzi ki. Mindez történik a digitális szabályozási keretek egyszerűsítésére és a versenyképesség fokozására való hivatkozással.¹

Az uniós jogalkotási eljárásnak megfelelően a Digitális Omnibusz jelenleg javaslatként szerepel, tehát jogi kötőereje egyelőre nincs. Mindezek ellenére azonban az elmúlt időben számos kritikus észrevétel érte a javaslatot. Ezek közül adatvédelmi szempontból talán a legjelentősebb, hogy a Digitális Omnibusz 88bis. cikke lehetővé tenné, hogy személyes adatokat használjanak fel mesterséges intelligencia-rendszerek és modellek (továbbiakban: MI-rendszer és MI-modell) fejlesztésére és üzemeltetésére – jogos érdek jogalapon.

Egyes vélekedések szerint ez a nagy technológiai AI-vállalatoknak a nyereségérdekeit helyezné az uniós polgárok magánszférához és személyes adatok védelméhez való joga elé. Max Schrems adatvédelmi aktivista ezt a jelenséget „digitális kisajátításként” határozza meg.

Jelen cikkünkben tehát az említett probléma fényében a GDPR ilyen jellegű módosításával járó aggályokat kívánjuk bemutatni. ²

 

2. A jogos érdek mint jogalap kérdése– különböző megvilágításban

Elsősorban azt érdemes bemutatni, hogy hogyan is értelmezhető a GDPR módosításának azon része, amely lehetővé tenné az adatkezelők számára, hogy ha érdekei miatt szükséges, MI-rendszer és MI-modell fejlesztéséhez és üzemeltetéséhez fűződő személyes adatok kezelését jogos érdek jogalapon végezze. 

A 2025. november 19-i Európai Bizottsági javaslat indokolása a következő: „A megbízható mesterséges intelligencia kulcsfontosságú a gazdasági növekedés biztosításához és a társadalmilag előnyös eredményekkel járó innováció támogatásához. Az MI-rendszerek és az alapul szolgáló modellek, például a nagy nyelvi modellek és a generatív videómodellek fejlesztése és használata az MI életciklusának különböző szakaszaiban – például a tanítási, a tesztelési és a validálási szakaszban – használt adatokra, többek között személyes adatokra támaszkodik, és egyes esetekben megtartható az MI-rendszerben vagy az MI-modellben.” ³ Ebből az látszik, hogy az Unió a gazdasági fejlődést helyezi előtérbe az egyszerűsítés célját szem előtt tartva. Kérdés, hogy ez a fajta egyszerűsítés milyen hatást gyakorol a jogos érdek jogalapnak az intézményére.

Rögzítjük, hogy az Európai Adatvédelmi Testület (továbbiakban: EDPB) a személyes adatoknak mesterségesintelligencia-modellekkel összefüggésben történő kezelésével kapcsolatos bizonyos adatvédelmi szempontokról szóló 28/2024. sz. véleményében már korábban – a Digitális Omnibusz csomag érdemi koncepciója előtt – foglalkozott a kérdéssel. Az EDPB arra az álláspontra jut, hogy bizonyos esetekben (pl.: i. egy társalgási ügynök szolgáltatásának fejlesztése a felhasználók segítésére; ii. egy mesterségesintelligencia-rendszer fejlesztése a csalárd tartalmak vagy viselkedés felismerésére; és iii. a fenyegetések felismerésének javítása egy információs rendszerben) a jogos érdek alapján kezelhető MI-rendszerrel vagy MI-modellel összefüggésben személyes adat.⁴

Mindez tehát azt is jelenti, hogy a Digitális Omnibusz csomag nem egy addig sosem alkalmazott jelenség miatt módosítaná a GDPR-t, hanem az átláthatóság és egyszerűsítés érdekében jogszabályba foglalná azt. Mindezt annak ellenére, hogy az EDPB és az EDPS (Európai Adatvédelmi Biztos) 2/2026. sz. közös véleményében előadta, hogy épp ezért szükségtelen lenne a módosítás.⁵ Azt is fontosnak tartjuk rögzíteni, hogy a jogos érdek jogalap alkalmazása révén elvárt ún. érdekmérlegelési tesztet továbbra is el kell végeznie az adatkezelőknek a korábbi eseti alapú gyakorlatnak megfelelően.

Meglátásaink szerint tehát a módosításból nem következik, hogy „automatikusan” jogszerűvé válna a személyes adatok mesterséges intelligencia összefüggésében történő kezelése. Mindezt alátámasztja a Tanács által 2026. október 21-én elfogadott javaslat (33a) pontja, amelyben rögzítésre kerül, „hogy egy MI-rendszer vagy MI-modell fejlesztése és működtetése önmagában nem minősül jogos érdeknek, és a GDPR 6. cikk (1) bekezdés f) pontjának alkalmazhatóságát az MI-vel összefüggő adatkezelések esetében eseti alapon, az adott adatkezelés mögött meghúzódó cél figyelembevételével kell megítélni.”⁶

 

3. Mi lenne tehát a jogos érdek intézményének sorsa?

Az adatvédelmi aggályok körében felhívjuk a figyelmet arra a szakirodalmi álláspontra, amely szerint a bemutatott szabály gyengítené, kiüresítené a jogos érdekre való hivatkozást.⁷ Az ezt alátámasztó érvrendszer a következőket tartalmazza:

• Az adatkezelők és a bíróságok értelmezése ahhoz a következtetéshez vezethet, hogy az uniós jogalkotó látszólag kedvezőbb elbánásban részesíti az MI-rendszerrel és MI-modellel kapcsolatos adatkezelést.
• Ez azért gyengíti az eseti alapú elemzést, mert a jogszabályba foglalt rendelkezésre hivatkozás már eleve ebből a kedvező kiindulópontból közelítheti meg, hogy fennáll-e jogos érdek.
• Bárkinek, akinek az érdekei ütköznek egy AI-rendszert fejlesztő vagy működtető adatkezelő érdekeivel, immár egy jogalkotói jóváhagyással támogatott kiindulóponttal kellene vitatkoznia, nem pedig csupán az adatkezelő sajátos értelmezési keretével.
• Ebből következően a bizonyítási teher is eltolódna azt illetően, hogy az adatkezelő érdekei elsőbbséget élveznek-e a saját érdekeivel szemben (ti. ez az érdekmérlegelési teszt során vizsgált egyik legjelentősebb szempont, ami eldönti, hogy valóban fennáll-e jogos érdek).

A módosítással tehát valóban elképzelhető lenne, hogy az eleve „rugalmasan értelmezhető” jogos érdek intézménye az egyszerűsítés hátulütőjeként értelmezési visszásságokat, jogintézményi gyengülést eredményezne.

 

4. Alapjogi ütközés: valóban az AI-vállalatok nyereségérdeke megelőzi a személyes adatok védelméhez való jogot?

Max Schrems által kifogásolt további kockázat a módosításban megjelenő alapjogi ütközés kérdése: „az elfogadott szöveg értelmében a mesterséges intelligenciával foglalkozó vállalatok profitja jellemzően felülmúlná az európaiak magánélethez való alapvető jogát.”⁸ Az AI-vállalatok nyereségérdekével elsősorban az Európai Unió Alapjogi Chartája által is elismert vállalkozás szabadsága áll a legszorosabb kapcsolatban, mivel a profithoz való jog ennek részét képezi. Ezzel szemben áll az Alapjogi Charta által szintén elismert személyes adatok védelméhez való jog.

A „Chartában elismert jogok és szabadságok gyakorlása csak a törvény által, és e jogok lényeges tartalmának tiszteletben tartásával korlátozható. Az arányosság elvére figyelemmel, korlátozásukra csak akkor és annyiban kerülhet sor, ha és amennyiben az elengedhetetlen és ténylegesen az Unió által elismert általános érdekű célkitűzéseket vagy mások jogainak és szabadságainak védelmét szolgálja.”⁹

Maga a GDPR is rögzíti, hogy „a személyes adatok védelméhez való jog nem abszolút jog, azt az arányosság elvével összhangban, a társadalomban betöltött szerepének függvényében kell figyelembe venni, egyensúlyban más alapvető jogokkal.” ^10, E ponton tehát abból kell kiindulni, hogy a személyes adatok védelméhez való jog korlátozása nem idegen, ún. szükségességi-arányossági teszt elvégzésével elképzelhető lenne, hogy ezen alapjog korlátozásra kerüljön.

A valódi, kritikákat kiváltó kérdés az, hogy az AI-vállalatok profitja elegendő szükséges és arányos alapként szolgál-e arra, hogy a személyes adatok az említett módon felhasználásra kerüljenek. 

Az uniós jogalkotó természetesen törekedhet az európai MI-ipar fejlődésének és versenyképességének előmozdítására, és e célkitűzés a személyes adatok védelméhez való joggal is összeegyeztethető lehet. Az Európai Unió Bírósága a Digital Rights Ireland és a Landeshauptstadt Wiesbaden ügyekben is hangsúlyozta, hogy a személyes adatok védelméhez való jog korlátozása csak a feltétlenül szükséges mértékben igazolható, és a jogalkotónak a cél elérésére alkalmas, de az alapjogokat kevésbé korlátozó megoldásokat is figyelembe kell vennie.

Mindezek alapján meggyőződésünk, hogy arra a kérdésre, miszerint a nyereségérdek felülírhatja-e a személyes adatok védelméhez való jogot, nemleges választ kell adnunk.

 

5. Összegzés – mire számíthatnak az érintettek és az adatkezelők a módosítással?

Összefoglalva tehát a GDPR-t módosítani kívánó Digitális Omnibusz csomag álláspontunk szerint és aggályaink ellenére nem hordozza magán a Max Schrems által felvillantott kategorikus állításokat. Egy jogalkotási javaslatról van szó, amely kötelező erővel nem bír, és további szakmai-társadalmi diskurzus szükséges megfelelőségét illetően. A továbbiakban szükség van az Európai Parlament jogalkotási közreműködésére, ahol remélhetőleg egyéb szempontok és aggályok finomításra, illetve javításra

Ami egyelőre megállapítható, hogy az érintettek GDPR-ban foglalt jogait kifejezetten a módosítás nem szünteti meg. Sőt, a javaslat a tiltakozáshoz való jogot egyfajta biztosíték természetű joggá emelné, erősítve azt. Az adatkezelőknek pedig várhatóan a leírtaknak megfelelően a korábbi gyakorlatban előforduló jogalapválasztással és érdekmérlegeléssel kapcsolatos kötelezettségeknek továbbra is eleget kell, hogy tegyenek.

Saly Attila
Dr. Miklós-Kugli Péter – adatvédelmi jogász

11. 06.

Hivatkozások:

⁽¹⁾ https://www.consilium.europa.eu/en/press/press-releases/2026/10/21/digital-rulebook-council-agrees-position-to-simplify-data-protection-privacy-and-cyber-reporting-rules/ 2026. 11. 04.
⁽²⁾ https://noyb.eu/en/ai-eu-member-states-approve-digital-expropriation-europeans-ai-companies 2026. 11. 04.
⁽³⁾ Digitális Omnibusz csomag (30) preambulumbekezdése
⁽⁴⁾ EDPB 28/2024. sz. vélemény a személyes adatoknak mesterségesintelligencia-modellekkel összefüggésben történő kezelésével kapcsolatos bizonyos adatvédelmi szempontokról 69. pont
⁽⁵⁾ EDPB-EDPS Joint opinion 2/2026 On the Proposal for a Regulation as regards the simplification of the digital legislative framework (Digital Omnibus) 39. pont
⁽⁶⁾ A Tanács 2026. október 21-én jóváhagyott 14756/26 számú tárgyalási mandátuma. (33a) pont https://data.consilium.europa.eu/doc/document/ST-14756-2026-INIT/en/pdf 2026. 11. 05.
⁽⁷⁾ Pablo Trigo Kramcsák – Lorenzo Dalla Corte: A Tempting Shortcut: How the Digital Omnibus Would Re-engineer the Legitimate Interest Test for AI. https://europeanlawblog.eu/a-tempting-shortcut-how-the-digital-omnibus-would-re/ 2026. 11. 06.
⁽⁸⁾ https://noyb.eu/en/ai-eu-member-states-approve-digital-expropriation-europeans-ai-companies 2026. 11. 06.
⁽⁹⁾ Az Európai Unió Alapjogi Chartája 52. cikk
⁽¹⁰⁾ GDPR (4) preambulumbekezdése