A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) több határozatában is bírságot szabott ki egy adatkezelőre gondatlansága miatt, mivel a pontos (hibátlan) személyes adatok kezelése vonatkozásában nem úgy járt el, ahogyan az elvárható. Cikkünkben összefoglaljuk a vizsgálat tanulságait.
A személyes adatok kezelése vonatkozásában a 2016/679. számú Általános Adatvédelmi Rendelet (GDPR) tartalmazza a kötelező előírásokat. Sajnos azonban a rendelet értelmezése sokszor nem könnyű. Tagállami precedens kis számban áll rendelkezésre, luxemburgi bírósági döntés pedig kevés született. Ezekből kifolyólag nagy jelentősége van annak, hogy az Európai Adatvédelmi Testület (EDPB) – mely a GDPR által létrehozott, a rendelet előírásait elemző szerv – milyen útmutatásokat bocsájt ki. 2020. május 4-én jelent meg az 5/2020. számú iránymutatás az adatkezelési hozzájárulás feltételeiről, melyet az alábbiakban ismertetünk.
Elhagyott adatokkal teli pendrive – ez csak egyike a közelmúltban tapasztalt, gondatlanságból eredő adatvédelmi incidenseknek. A 2016/679. számú Általános Adatvédelmi Rendelet (GDPR) szigorú szabályokat állít fel az adatvédelmi incidensek kezelésére, illetve bejelentésére. Ezen szabályrendszer ellenére valamennyi tagállamban, így Magyarországon is rengeteg adatvédelmi incidens történik. A legjellemzőbbeket a tanulságokkal az alábbiakban foglaljuk össze.
Tisztelt szakértő! Cégünk internetes képzést tart mind munkatársaink, mind mások számára. Az előadó lesz felvéve (videó, hang) és ez valószínűleg kikerül az internetre is, bár ezt nem dötnöttük még el. A jelentkezők egy mások számára jól ismert platformon jelentkezhetnek be, akikkel nekünk mint cégnek nincs szerződésünk. Ebben az esetben ők adatkezelők vagy adatfeldolgozók? Esetleg közös adatkezelők? Változik ez, ha van konkrét szerződés is a felek között? Milyen egyéb kötelezettségünk van (pl. hozzájárulás beszerzése az előadótól, vagy arra lehet más alap, illetve adatvédelmi tájékoztató megírása)? Változik-e bármi is, ha a képzést először a saját munkatársaknak tartjuk meg (itt a szolgáltatóval van szerződés) és utána külön alkalommal a többi jelentkezőnek (itt nincs szerződés)? Köszönettel!
Akár több millió forintos bírságra is számíthatnak azok a videós megfigyelőrendszereket alkalmazó cégek és intézmények, amelyek nem ügyelnek a személyes adatok megfelelő kezelésére. Az idei évtől új uniós iránymutatás segíti a magyar jogalkalmazókat a vonatkozó jogszabályok értelmezésében és alkalmazásában – hívja fel a figyelmet a Hegymegi-Barakonyi és Társa Baker & McKenzie Ügyvédi Iroda.
A gyakorlatban jelentős nehézséget okozhat az adatkezelői, illetve adatfeldolgozói státusz elhatárolása, mely kérdésről több alkalommal is írtunk. Újabb iránymutatás jelent azonban meg a European Data Protection Supervisor hivatalától, mely segíthet bennünket abban, hogy az elhatárolást egyértelműbben tudjuk megtenni. Az alábbiakban ennek részleteit ismertetjük.
Tavaly tavasszal vált alkalmazhatóvá az Európai Unió általános adatvédelmi rendelete (GDPR), illetve az annak értelmezésében segítséget nyújtó Európai Adatvédelmi Testület (EDPB) is megkezdte a munkáját. Ezt követően a tagállamok is átültették a jogrendszerükbe a GDPR előírásait, és a joggyakorlatuk részévé tették azt. Nézzük, mi változott az elmúlt másfél évben!
Tisztelt Szakértő! A https://adozona.hu/gdpr_adatvedelem/Adatkezeles_vagy_adatfeldolgozas_Peldakkal_96Y7AM címen megjelent összefoglaló írás kapcsán szeretnék kérdezni: Ha egy vállalatnál a munkavédelmi megbízott munkakört – figyelembe véve a jogszabályi előírásokat is – nem munkaköri leírás alapján látnák el, hanem megbízási szerződéssel egy külső fél, akkor ez a tevékenység adatfeldolgozásnak minősülne? (Nyilván ez esetben adatfeldolgozási szerződés kötése szükséges.) Vagy mivel a munkavédelmi megbízott munkatársak személyes adatait is kezeli, módosítja a munkavédelmi szabályzatot, így ez már inkább közös adatkezelői tevékenység? Válaszát előre is köszönöm! Üdv: Tamás
Az európai általános adatvédelmi rendelet (GDPR) szerint az egyes adatkezelőknek osztályozniuk kell magukat aszerint, hogy a saját nevükben, vagy mások utasításai alapján kezelik a személyes adatokat. Előbbiek adatkezelők, utóbbiak pedig adatfeldolgozók. Nézzük, hogyan kell a két kategóriát megkülönböztetni, és miben térnek el az azokba tartozók a kötelezettségei.
A társasház közös képviselője és a intézőbizottság elnöke adatkezelőnek vagy adatfeldolgozónak minősül-e a közös képviselet ellátása során? A társasház adatkezelési szabályzatában milyen minőségben szerepelhet?
Tisztelt Dr. Kéri Ádám! A 29. munkacsoport 00264/10/HU WP 169 1/2010. számú véleményének 5. példájához hasonlóan ingatlan tulajdonosa megbízza a biztonsági vállalkozást, hogy az általa egyébként ingatlan-bérbeadással üzemeltetett ingatlant és a rajta lévő épületek egészét vagyonvédelmi céllal őrizze, azonban a megbízó vállalkozás semmilyen iránymutatást nem ad a módok/eszközök megválasztása vonatkozásában, hanem lehetővé teszi a biztonsági vállalat számára, hogy a cél eléréséhez a legmegfelelőbb technikai és szervezeti módokat válassza. E tényállás mellett a biztonsági vállalat saját döntése alapján elhelyezett térfigyelő kamerákat az ingatlan különböző területein, melyek segítségével készített felvételek során a személyes adatok kezelésének minden körülményét a biztonsági vállalat határozza meg (tárolás időtartama, helye, címzettek, akik hozzáférhetnek) és a megbízó vállalkozásnak nem biztosít hozzáférést az adatokhoz. A vázolt körülmények mellett: – a biztonsági vállalat kezelheti-e önálló adatkezelésként a kamerafelvétellel kapcsolatos adatkezelést? – adatkezelőnek minősülhet-e a megbízó vállalkozás a kamerafelvétellel kapcsolatos adatkezelés tekintetében (esetleg közös adatkezelőnek)? Köszönettel.
Tisztelt Dr. Kéri Ádám! Ismét köszönöm kimerítő válaszát, a https://adozona.hu/kerdesek/2019_3_6_Munkaltatoi_tajekoztatasi_kotelez_mve kérdés témájának szellemében kérem segítségét a banki szolgáltató és a tárhelyszolgáltató adatkezelő/adatfeldolgozó megítélésében, szükséges-e írásos szerződés-kiegészítés, valamint, hogy az adattovábbításokat milyen módon, rendszerességgel kell nyilvántartani (például munkabérutalásnál az elsőt vagy minden havi utalással létrejövő személyes adattovábbítást nyilván kell tartani; levelező tárhelyszolgáltatónál pedig a gyakorlatban hogyan kell értelmezni az adattovábbítás nyilvántartását)? Köszönettel.
A kft.-nél dolgozó adminisztrátor, aki a dolgozók személyes adataihoz is hozzájuthat, adatkezelő vagy adatfelhasználó? Ha adatfelhasználó, akkor külön írásbeli szerződésben kell vele megállapodni?
Két éve lépett hatályba az általános adatvédelmi rendelet (GDPR), így hosszú felkészülési időt biztosított. Ennek ellenére a vállalkozások többsége az utolsó pillanatban kezdett hozzá a felkészüléshez, melynek következménye egyértelműen az, hogy május 25-én nem fognak megfelelni a szabályozásnak. A megfeleléshez azonban hozzá kell kezdeni, nem odázhatják el a vállalkozások. Összefoglaljuk a főbb lépéseket az alábbiakban foglaljuk össze.
Szakmai kérdésekre professzionális válaszok képzett szakértőinktől
Bér
Nyugdíj
Osztalék
Ingatlan illeték