Adatvédelem

Az Európai Adatvédelmi Testület tájékoztatója a koronavírus járvány alatti adatkezelésről

Adatvédelem, Cégcsoportok, Hírek, Középvállalatok, Start-up vállalkozások / 2020.03.24. / adat feldolgozás, Adatvédelem, coronavirus, data processing, data protection, EDPB, epidemic, HDPA, járvány, koronavírus, NAIH

Az Európai Adatvédelmi Testület (European Data Protection Board, „EDPB”) tájékoztatót tett közzé honlapján a koronavírus járvány alatti adatkezelésről. A tájékoztató részleteit az alábbiakban foglaltuk össze:
1. Az egészségügyi adatok, mint különleges adatok, munkáltató általi kezelésének feltételeit a nemzeti jognak kell meghatároznia a GDPR szerint. Ebben a körben a GDPR megköveteli, hogy a jogalkotó meghatározza a konkrét intézkedéseket és az érintettek jogait védő megfelelő garanciákat.

2. Ahogy a NAIH álláspontja is hangsúlyozta, az egészségügyi vizsgálatoknál, mint amilyen a lázmérés is, ez a garancia az egészségügyi szakember jelenléte, ezért továbbra sincs lehetőség szakember jelenléte nélkül lázmérés bevezetésére a munkahelyen.

3. Az EDPB álláspontja szerint a munkáltatónak közölnie kell a munkavállalókkal, ha a munkahelyen koronavírus fertőzött személyt azonosítottak (hogy megtegyék a szükséges védelmi intézkedéseket), anélkül, hogy felfednék ezen személy kilétét. Az érintett munkavállalókat előzetesen kell értesíteni, a méltóságuk megóvása mellett. A fertőzésről való információkat elsősorban az ilyen adatok kezelésére jogosult hatóságoknak, illetve kezelő orvosoknak kell az ő kérésükre átadni.

Mivel a GDPR széles körben enged eltérést a nemzeti jognak, a járvánnyal kapcsolatos adatkezelésről részletesebb magyar szabályozásra számíthatunk a közeljövőben.

A jelen cikk tartalma nem ad teljes körű tájékoztatást, és nem minősül jogi tanácsadásnak. Amennyiben cikkeinkkel kapcsolatban konkrét jogi kérdése merülne fel, kérjük, forduljon hozzánk kérdéseivel, észrevételeivel, és készséggel állunk rendelkezésére.

Az Európai Adatvédelmi Testület tájékoztatója a koronavírus járvány alatti adatkezelésről Read More »

A KORONAVÍRUS JÁRVÁNNYAL KAPCSOLATOS ADATKEZELÉSRŐL

Adatvédelem, Cégcsoportok, Hírek, Középvállalatok, Start-up vállalkozások / 2020.03.11. / adat feldolgozás, Adatvédelem, coronavirus, data processing, data protection, epidemic, HDPA, járvány, koronavírus, NAIH

A Nemzeti Adatvédelmi és Információszabadság („NAIH”, „Hatóság”) tájékoztatót tett közzé a honlapján a koronavírus járvánnyal kapcsolatos adatkezelésről, kitérve bizonyos általános, adatvédelmen túli jogi kötelezettségekre is. A tájékoztató legfontosabb információit az alábbiakban foglaltuk össze:
1. A munkáltatóknak nem csak elemi érdeke, hanem egyben jogi kötelezettsége is az egészséges és biztonságos munkahely megteremtése.

2. Az adatkezelés megkezdése előtt a munkáltatótól elvárható járványügyi cselekvési terv készítése (megelőző lépések, alternatív munkavégzési lehetőségek („home office”) megteremtése, fertőzés megjelenése esetén alkalmazandó eljárás, szervezeten belüli felelősök kijelölése, bejelentőrendszer kialakítása).

3. Szintén a cselekvési terv keretében, mint megelőző intézkedés, javasolt a munkavállalók részletes tájékoztatása a koronavírussal kapcsolatos legfontosabb tudnivalókról (higiéniai szabályokról, tünetekről, illetve, hogy kihez fordulhat a munkavállaló a szervezeten belül). A tájékoztató megfogalmazásában a munkáltatók segítségéül szolgálhat a Nemzeti Népegészségügyi Központ által (annak honlapján) közzétett „Eljárásrend a 2020. évben azonosított új koronavírussal kapcsolatban” dokumentum.

4. Az Mt. alapján a munkavállalók kötelesek tájékoztatni a munkáltatót, ha fertőzésveszély kockázatukról van tudomásuk, beleértve a saját megbetegedésük fennállásának veszélyét is. Erre tekintettel a bejelentőrendszert úgy kell kialakítani, hogy a munkavállalók személyes adatainak kezelése bizalmasan történjen.

5. Bejelentés, illetve fertőzés gyanúja esetén a NAIH elfogadhatónak tartja kérdőívek kitöltetését is. Az adattakarékosságra különös figyelmet kell fordítani. A kérdőívben megadott adatokon túl a munkáltató nem jogosult a fertőzésgyanús munkavállaló adatait kezelni a járvánnyal kapcsolatban. A Hatóság külön felhívja a figyelmet, hogy az adatkezelés során egészségügyi kórtörténetre vonatkozó adatokat, egészségügyi dokumentációt nem kérhet és nem kezelhet a munkáltató!

6. Hangsúlyozandó, hogy a munkáltató nem kezdhet kontaktus-kutatásba, ezt bízzák az illetékes nyomozóhatóságra!

7. Szintén fontos megjegyezni, hogy a munkáltató nem jogosult egészségügyi vizsgálatok végzésére (pl. lázmérő alkalmazása), azonban egészségügyi szakemberek bevonásával (elsősorban az üzemorvos) kezdeményezhető a munkavállalók szakszerű kivizsgálása.

8. A fenti adatkezelések a munkáltató jogos érdekén alapulnak, amennyiben munkavállalók kivizsgálása is szükségessé válik, az adatok kivételesen munkahelyi egészségügyi cél érdekében kezelhetők.

9. Javasolt, hogy a munkáltatók adatkezeléssel nem járó intézkedéseket részesítsék előnyben (alapvető higiénia betartása, fertőtlenítőszerek biztosítása, megfelelő takarítás). Felhívjuk a figyelmet, hogy a szabályozás nem teszi lehetővé, hogy a munkáltató vitaminokat, gyógyszereket, immunerősítőket, stb. biztosítson a munkavállalók számára, ezért erre jogszerűen nem kerülhet sor megelőző intézkedésként.

Célunk, hogy a jelen weboldalon megjelent cikkekben felvetett kérdésekről rövid, összefoglaló jellegű tájékoztatás nyújtsunk. A jelen weboldal és az azon olvasható cikkek tartalma nem ad teljes körű tájékoztatást, és nem minősül jogi tanácsadásnak. Amennyiben cikkeinkkel kapcsolatban konkrét jogi kérdése merülne fel, kérjük, forduljon hozzánk kérdéseivel, észrevételeivel, és készséggel állunk rendelkezésére.

A KORONAVÍRUS JÁRVÁNNYAL KAPCSOLATOS ADATKEZELÉSRŐL Read More »

GDPR a Brexit után – Adattovábbítás EU-n kívülre

Cégcsoportok, Hírek, Középvállalatok, Start-up vállalkozások / 2020.02.12. / adattovábbítás, Adatvédelem, Brexit, data protection, EU, forwarding of data, GDPR, UK

Több évnyi tárgyalást követően az Egyesült Királyság („UK”) hivatalosan is kilépett az Európai Unióból, ez által az UK „harmadik országgá” vált. Szeretnénk megragadni ezt az alkalmat, hogy bemutassuk az UK-ra vonatkozó speciális szabályokat és az EU-n kívülre történő adattovábbítások általános szabályokat.
Adattovábbítás az Egyesült Királyságba

Ahogy a Brexitről szóló legutóbbi cikkünkben megjegyeztük, bizonyos változások csak idővel lépnek életbe. Az EU és az UK közötti kilépési megállapodás alapján a kilépést egy átmeneti időszak követi 2020. december 31-ig. Ebben az átmeneti időszakban a GDPR továbbra is hatályos marad az UK-ban, így az UK az idei év végéig nem számít harmadik országnak.

Mi történik az átmeneti időszakot követően?

Fontos megjegyezni, hogy bármely adat, amelynek kezelését az átmeneti időszak végét megelőzően kezdték el, a továbbiakban is a GDPR szabályai alapján kell kezelni. Így az átmeneti időszak alatt UK-ba továbbított adatok részére a GDPR-ral azonos szintű védelmet kell garantálni.

Az átmeneti időszakot követően az UK-nak és az EU-nak kell tisztáznia az adatvédelem részletszabályait. Természetesen a legtöbb adatkezelőnek az lenne a legkézenfekvőbb, ha az UK továbbra is a GDPR-t alkalmazná.

Azonban egy megállapodás nélküli, „no-deal” Brexit esetén, illetve ha a megállapodás az adatvédelemről nem rendelkezik, az UK-ra is az EU-n kívülre történő adattovábbítás szabályait kellene alkalmazni.

Az EU-n kívülre történő adattovábbítás

Az egyik legjobban kihangsúlyozott általános szabálya a GDPR-nak az, hogy az EU területén kívülre történő adattovábbítás nem megengedett, csak kevés kivétel esetén. Ezen kivételeknek három kategóriáját különböztethetjük meg, a megfelelőségi határozatokat a 45. cikk alapján, a megfelelő garanciákat a 46. cikk alapján és különös helyzetekben biztosított eltéréseket a 49. cikk szerint.

Megfelelőségi határozatok

A Brexit szempontjából a második legjobb megoldás az EU Bizottság által meghozott megfelelőségi határozat lenne. Az adat speciális szabály vagy jóváhagyás nélkül továbbítható azon harmadik országokba, amelyekben az adatvédelem szintje megfelelőnek ítéltetik. A döntés ugyan a Bizottság mérlegelésére tartozik, ezt egy meglehetősen valószínű végkimenetel, mivel az UK nemzeti joga is magas adatvédelmi követelményeket támaszt.

Megfelelő garanciák

Ha az UK-t nem találnák megfelelőnek, a következő lehetőség, hogy az adatkezelők, illetve adatfeldolgozók nyújtsanak megfelelő garanciákat. Ezen garanciákat a Bizottság, illetve a felügyeleti hatóság kell jóváhagyja/ elfogadja. A legrelevánsabb garanciák az alábbiak:

• vállalatcsoport kötelező erejű vállalati szabályai (a felügyeleti hatóság hagyja jóvá);
• általános adatvédelmi kikötések (a Bizottság fogadja el);
• általános adatvédelmi kikötések (a felügyeleti hatóság elfogadja, a Bizottság jóváhagyja);
• jóváhagyott magatartási kódex a harmadik országbeli adatkezelő vagy adatfeldolgozó arra vonatkozó, kötelező erejű és kikényszeríthető kötelezettségvállalásával együtt, hogy alkalmazza a megfelelő – ideértve az érintettek jogaira vonatkozó – garanciákat; vagy;
• jóváhagyott tanúsítási mechanizmus a harmadik országbeli adatkezelő vagy adatfeldolgozó arra vonatkozó, kötelező erejű és kikényszeríthető kötelezettségvállalásával együtt, hogy alkalmazza a megfelelő garanciákat, ideértve az érintettek jogait illetően is.

A fent említett lehetőségek vagy az adatkezelő részéről igényelnek nagy erőfeszítéseket (pl. kötelező erejű vállalati szabályok vagy magatartási kódexek előkészítése) vagy a felügyeleti hatóság proaktivitását igénylik (általános adatvédelmi kikötések elfogadása). A GDPR hatályba lépése óta általános adatvédelmi kikötések még nem kerültek elfogadásra. Ennek következtében a legtöbb adatkezelő számára a megfelelő garanciák biztosítása túl magas belépési küszöböt jelenthet.

Különös helyzetekben biztosított eltérések

Az utolsó lehetőség az különös helyzetekben biztosított eltérések, amelyeket kizárólag kivételes esetekben lehet alkalmazni és nem szolgálhatnak rendszeres adattovábbítás jogalapjaként. Ezen esetek közül a legrelevánsabbak az alábbiak:

• az érintett kifejezett hozzájárulását adta, miután tájékoztatták a harmadik országba történő adattovábbítás veszélyeiről;
• az adattovábbítás olyan szerződés teljesítéséhez szükséges, amelyben egyik fél az érintett, másik fél az adatkezelő, vagy amelyet az érintett érdekében kötöttek;
• az adattovábbítás jogi igények előterjesztése, érvényesítése és védelme miatt szükséges;
• z adattovábbítás az érintett vagy valamely más személy létfontosságú érdekeinek védelme miatt szükséges, és az érintett fizikailag vagy jogilag képtelen a hozzájárulás megadására.

Mindenesetre, amennyiben az adatkezelő ezen eltéréseket alkalmazza az EU-n kívüli adattovábbítás jogalapjaként, az adattovábbításra csak akkor kerülhet sor, ha az nem ismétlődő jellegű és csak korlátozott számú érintettre vonatkozik, továbbá az adatkezelő köteles bizonyítani a kényszerítő erejű jogi érdekét és tájékoztatni mind a felügyeleti hatóságot, mind az érintetteket. Ez tekinthető a legkevésbé kedvező lehetőségnek az adatkezelők részére a tájékoztatási kötelezettségek miatt.

GDPR a Brexit után – Adattovábbítás EU-n kívülre Read More »

A NAIH közleményt adott ki a munkavállalói e-mail fiókok ellenőrzéséről

Adatvédelem, Cégcsoportok, Hírek, Középvállalatok, Munkajog, Start-up vállalkozások / 2020.01.08. / Adatvédelem, controll, data protection, e-mail, ellenőrzés, HDPA, NAIH

A tavalyi év végén a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) közleményt adott ki, amelyben a NAIH elkötelezi magát, hogy minden lehetséges lépéssel és minden rendelkezésére álló eszközzel – beleértve a megfelelő jogkövetkezmények alkalmazását a további jogsértések megelőzése érdekében – megállítsa a munkavállalói („céges”) e-mailek jogtalan kezelésének széles körben elterjedt gyakorlatát.
Hogyan jön képbe a személyes adat?

Ha egy e-mail cím munkavégzés céljára lett biztosítva, akkor is előfordulhat, hogy a munkavállaló magáncélra használja, illetve harmadik felek személyes jellegű e-maileket küldhetnek a címre, ez által a kérdés az adatvédelemre tartozik. Habár lehet bizonyos célszerű lépéseket tenni a munkahelyi e-mail címek magáncélú használatának megelőzése érdekében (pl. a munkahelyi eszközök magáncélú hasznosításának megtiltása), a két cél teljes elválasztása nem tűnik lehetségesnek, hiszen a harmadik felektől érkező magán e-mailek általában a munkáltató és a munkavállaló ellenőrzési körén kívül esik. Azt is fontos megjegyezni, hogy amennyiben a munkavállaló a munkahelyi e-mail címét magánérdekeire használja az esetleges kifejezett tilalom ellenére, az ilyen tevékenység is a munkáltató adatkezeléseként kerül értékelésre, tehát a személyes adatok kezelése elkerülhetetlen.

Mi várható el a munkáltatóktól?

A munkáltatónak mindenek előtt meg kell határoznia az adatkezelés jogalapját. A NAIH kiemelte a tárolást, archiválást és a keresést/ indexelést, mint a munkavállalói e-maileken leggyakrabban alkalmazott műveleteket. Természetesen a munkáltatóknak komoly érdeke fűződik a munkavállalói e-mailek ellenőrzéséhez, mivel az szükséges a munkafolyamatok irányításához és fenntartásához, tehát a jogalapot egy részletes érdekmérlegelési teszttel kell alátámasztani az adatkezelést megelőzően. Amint meghatározásra került a jogalap, javasolt belső szabályzatot készíteni az ellenőrzési folyamatról.

A munkáltatónak megfelelően értesítenie kell a munkavállalókat a munkahelyi e-mailek ellenőrzéséről, az adatkezelésről, és arról, hogy a munkahelyen az e-mail címek magáncélú használata megengedett, vagy tilos.

Az ellenőrzés előtt vagy alatt a munkáltató köteles minden észszerű lépést megtenni a munkával kapcsolatos és a személyes e-mailek elkülönítése érdekében. Az elszámoltathatóság elvével összhangban a munkáltatónak jegyzőkönyvet kell vezetnie az ellenőrzés során tett lépésekről.

Figyelembe véve a tényt, hogy szinte minden munkáltató biztosít a munkavállalóinak munkavégzés céljára szolgáló e-mail címet, ez a közlemény fontos minden munkáltatónak, akik szeretnének a GDPR követelményeinek megfelelni, és a munkavállalóknak, akik a magánéletük védelmében érdekeltek.

A NAIH közleményt adott ki a munkavállalói e-mail fiókok ellenőrzéséről Read More »

A GDPR salátatörvény felülírja a megszokott HR folyamatokat

Adatvédelem, Cégcsoportok, Hírek, Középvállalatok, Munkajog, Start-up vállalkozások / 2019.04.24. / Adatvédelem, data protection, employment law, GDPR, HR, labour law, munkajog

Alig néhány hónap telt el azóta, hogy a munkáltatók a GDPR miatt újraszabályozták a folyamataikat, máris itt van a GDPR salátatörvény, amely többek között a Munka Törvénykönyvét is módosítja.

A módosítás azonnali és jelentős munkát ró a HR-re, ugyanakkor sok a nyitott – munkajogászok, valamint HR és adatvédelmi szakemberek értelmezésére váró – kérdés, főként, hogy a munkáltatók HR gyakorlata hogyan feleltethető meg az új és nem teljesen egyértelmű rendelkezéseknek. A gond az, hogy bár a magyar törvényhozók jelentős késedelemben voltak a GDPR implementációjával, a HR folyamatok felülvizsgálatára és a mögöttes dokumentumok ki-, illetve átdolgozására április 26-ig csak néhány napot hagytak, annak ellenére, hogy minden munkáltató számára kötelezően alkalmazandóak az új követelmények az első naptól. Erősen reméljük, hogy – amint az már előfordult számos esetben-, a saláta törvény pontosítása hamarosan megtörténik.

Amint már korábbi hírlevelünkben jeleztük, a GDPR salátatörvény 2019. április 26-ai hatálybalépésével összesen 86 törvényt módosít a GDPR rendeletnek való megfelelés érdekében. Ezek között szerepel a Munka Törvénykönyve is. Az említett módosítás és számos fontos HR folyamat újragondolását és alapvető szabályzatok, a munkaszerződések felülvizsgálatát követeli meg, mint a toborzás-kiválasztás, a munkaviszony létesítése/beléptetés, az adatok kezelése a munkahelyi beléptető rendszerek működtetése, valamint a munkáltatói eszközök használata, csak néhány jellemző területet említve. A felkészülésre a jogalkotó mindössze néhány napot hagyott, így minden cégnek ilyen rövid időn belül kellene megfelelnie az új törvényi előírásoknak.

Az új rendelkezések ugyan a korábban közzétett törvényjavaslathoz képest részletesebbek, de még így is sok nyitott kérdést hagy a gyakorlati jogalkalmazók számára, úgymint a munkavállalók személyiségi jogainak (pld. levelező rendszer, eszköz, internet használat ellenőrzése vagy kamerás megfigyelés stb.,) korlátozására vonatkozó a szükségességi-arányossági teszt fogalma és szempontjai, hiszen a GDPR érdekmérlegelési tesztet és adatvédelmi hatásvizsgálatot kíván meg.

A munkáltatók új munkavállaló beléptetésére alkalmazott folyamatait alapjaiban írja át az a szabály, miszerint a munkavállaló munkaviszony létesítése/teljesítése szempontjából lényeges iratainak csak a bemutatása kérhető, az iratokat lemásolni és így dokumentálni nem lehet, még a munkavállaló hozzájárulásával sem, ami a személyazonosság ellenőrzését nem teszi lehetővé, bár a hamis adatszolgáltatás a munkaviszony érvénytelenséghez vezethet, de dokumentáció hiányában munkáltató nem léphet fel.

A bűnügyi adatok kezelése tekintetében a munkáltatói érdekek szempontjából ugyancsak szigorúbbá válik a szabályozás, és a jövőben főszabályként, a pályázóktól/munkavállalóktól nem lehet erkölcsi bizonyítvány kérni. A módosítás kivételként és nagyon szigorúan határozza meg azokat a szempontokat, amelyre hivatkozással erkölcsi bizonyítvány kérhető, de ezek pontos kimunkálása is a munkáltatókra vár, miközben kétségtelenül komoly üzleti kockázatot hordoz, ha a munkáltató nem tudja, vagy vele nem közlik, hogy valamely munkakör esetleg büntetett előéletű személy által kerül betöltésre.
Végezetül, a módosítás érinti továbbá a biometrikus adatokat használó beléptető rendszereket (pl. ujjlenyomat, írisz- és retina azonosító, arcfelismerő rendszer), valamint a munkahelyi eszközök használata tekintetében is új alapelvre helyezkedik, amely a vonatkozó szabályzatok mielőbbi felülvizsgálatát teszi szükségessé.

A GDPR salátatörvény felülírja a megszokott HR folyamatokat Read More »

Kihirdették a GDPR-ral kapcsolatos törvénymódosításokat

Középvállalatok, Adatvédelem, Cégcsoportok, Munkajog, Start-up vállalkozások / 2019.04.11. / Adatvédelem, data protection, employment law, GDPR, labour law, monitoring of the workplace, munkahelyi adatkezelés, munkahelyi ellenőrzés, munkajog, workplace data management

A mai napon kihirdették az április 1-jén az Országgyűlés által elfogadott GDPR-ral kapcsolatos törvénymódosításokat.

A törvénymódosítás az Európai Uniós adatvédelmi rendeletnek megfelelően módosít több mint 80 törvényt, beleértve a Munka Törvénykönyvét is.

A törvénymódosítások nagy része április végén, míg a nemzeti akkreditálással és a találmányok szabadalmi oltalmával kapcsolatos módosítások majd csak május közepén lépnek hatályba.

Kihirdették a GDPR-ral kapcsolatos törvénymódosításokat Read More »

A GDPR-hoz kapcsolódó törvényjavaslatok újdonságai

Adatvédelem, Cégcsoportok, Hírek, Középvállalatok, Start-up vállalkozások / 2019.03.20. / Adatvédelem, amendement, data protection, GDPR, módosítás, munkajog

A GDPR hatályba lépésével és alkalmazásával szükségessé vált, hogy az egyes hazai ágazati törvényeket érintő módosító rendelkezések is megalkotásra kerüljenek, amelyek javaslatát az Országgyűlés várhatóan a héten fogadja el. A módosítás többek között érinti a munka törvénykönyve rendelkezéseit is.

A munkahelyi adatkezeléssel kapcsolatos rendelkezések a személyiségi jogok védelmét követően egy új alcím, az Adatkezelés alatt kerülnek meghatározásra. Eszerint a munkáltatón kívül az üzemi tanács és a szakszervezet is követelheti nyilatkozat megtételét vagy adat közlését a munkavállalóktól az Mt.-ben meghatározott jogaik gyakorlása vagy kötelességeik teljesítése céljából. Ez alapján követelhetik továbbá okirat bemutatását, így azok tárolására, fénymásolására a fenti okokból nem lehet szükség, elegendő azok bemutatása és a szükséges adatok feljegyzése.

A tervezet alapján a biometrikus azonosítók kezelése is további szabályozás alá került, miszerint a munkavállaló biometrikus adata az érintett azonosítása céljából abban az esetben kezelhető, ha ez valamely dologhoz vagy adathoz történő olyan jogosulatlan hozzáférés megakadályozásához szükséges, amely vagy a munkavállaló vagy mások élete, testi épsége vagy egészsége, vagy törvényben védett jelentős érdek súlyos vagy tömeges, visszafordíthatatlan sérelmének a veszélyével járna.

A munkahelyi ellenőrzés körében sokak számára meglepő szabályként került rögzítésre a tervezetben, hogy a munkavállaló kizárólag a munkaviszony teljesítése érdekében használhatja a munkáltató által biztosított számítástechnikai eszközt. Ettől a felek közös megállapodással eltérhetnek, azonban főszabály szerint ezeket az eszközöket a munkavállaló magáncélokra már egyáltalán nem használhatja. Bár a javaslat úgy rendelkezik, hogy a munkáltató ellenőrzése során csak a munkaviszonnyal összefüggő adatokba tekinthet be, a fenti jogosultság szempontjából annak minősíti a magáncélú használati korlátozás betartásának ellenőrzéséhez szükséges adatot is.

A fent ismertetett tervezet rendelkezései elfogadásra még nem kerültek, így annak későbbi elfogadásáról vagy esetleges módosításairól későbbi cikkünkben adunk tájékoztatást.

A GDPR-hoz kapcsolódó törvényjavaslatok újdonságai Read More »

Egymilliós bírságot szabott ki a NAIH

Adatvédelem, Cégcsoportok, Hírek, Középvállalatok, Start-up vállalkozások / 2019.02.15. / Adatvédelem, bírság, camera recording, data protection, fine, GDPR, HDPA, kamerafelvétel, NAIH

A NAIH egymillió forintos, általa jelképes összegűnek ítélt bírságot szabott ki egy 15 millió forintos árbevételű cégnek, amiért nem zárolta és nem adta ki a kamerafelvételek másolatát az érintett erre irányuló kérése ellenére.

Az érintett perben, jogi eljárásban kívánta bizonyítékként felhasználni a felvételeket, ezt közölte is a kérelmében. A társaság azzal indokolta a döntését, hogy nem korlátozza a kamerafelvételek kezelését és nem adja ki a felvételek másolatát, mert az érintett nem jelölte meg, hogy a kamerafelvétel törlése milyen módon sértené a jogos érdekét, illetve milyen igényérvényesítéshez kapcsolódóan kéri a kamerafelvételek vonatkozásában az adatkezelés korlátozását, pedig ezt A személy-és vagyonvédelmi, valamint a magánnyomozói tevékenység szabályairól szóló 2005. évi CXXXIII. törvény („Szvmt”) előírja.

A NAIH álláspontja szerint a társaság megsértette az érintett adatkezelés korlátozásához való jogát. A GDPR 18. cikk (1) bekezdés c) pontja szerint elegendő, ha az érintett arra hivatkozik, hogy az adatkezelés korlátozása jogi igénye előterjesztéséhez, érvényesítéséhez szükséges. E tekintetben az Szvmt. módosítása várható.

A NAIH álláspontja szerint tehát a társaságnak mérlegelés nélkül teljesíteni kellett volna az érintett kérelmét, mivel az érintett által megjelölt indok elegendő a kérelem teljesítéséhez.

A bírság kiszabásakor súlyosító körülményként értékelte a hatóság a jogsértés jellegét, mivel az a kérelmező jogainak sérelmével járt, továbbá azt, hogy a kérelem megtagadása eredményeképpen a társaság törölte a felvételeket, így azok nem helyreállíthatóak. Enyhítő körülmény volt a bírság kiszabásánál, hogy a társaság elsőként követte el ezt a jogsértést, továbbá azt is, hogy az Szvmt. hivatkozott rendelkezése még hatályban van, ami megtéveszthette a társaságot.

Egymilliós bírságot szabott ki a NAIH Read More »

GDPR – 50 millió eurós adatvédelmi bírságot szabtak ki a Google-ra

Adatvédelem, Cégcsoportok, Hírek, Középvállalatok, Start-up vállalkozások / 2019.02.11. / Adatvédelem, bírság, CNIL, data protection, fine, GDPR, google, HDPA, NAIH

2019. január 21-én a francia adatvédelmi hatóság („CNIL”) 50 millió eurós bírsággal sújtotta a Google-t, az általános adatvédelmi rendelet („GDPR”) szabályainak megsértése miatt. Bár az ügy csupán a felhasználói adatokkal kapcsolatos, a magas összegű bírság figyelmeztetésként szolgálhat minden cégnek, hogy a személyes adatkezelési gyakorlatukat – ide értve a HR folyamatokat is – teljes mértékben megfeleltessék a GDPR-nak.

A hatóság a vizsgálatot két panaszra alapozta, amelyek rögtön a 2018. május 25-i GDPR alkalmazásba lépést követően érkeztek meg.

A CNIL megvizsgálta a kifogásolt adatkezelési műveleteket, és kétfajta jogsértést állapított meg.

• Az átláthatóság és tájékoztatás követelményének megsértése:

A CNIL véleménye szerint a felhasználóknak nyújtott tájékoztatás nem érhető el könnyen az érintettek számára. Olyan lényeges információk, mint például az adatkezelési célok, az adattárolási időszakok vagy a személyre szabott hirdetésekhez használt személyes adatok kategóriái csak több dokumentumból szedhetőek össze. A francia adatvédelmi hatóság azt is megállapította, hogy néhány információ és tájékoztatás nem minden esetben egyértelmű vagy teljes körű, és a Google által alkalmazott adatkezelések nem teljesen érthetőek a felhasználók számára.

• A reklámok személyre szabásához szükséges jogalappal kapcsolatos jogsértés:

A Google a felhasználók beleegyezését tekintette az adatfeldolgozás jogalapjának a reklámok személyre szabásakor, de a hatóság szerint a felhasználók valójában nem hozhattak erről tájékozott döntést. A reklámok személyre szabásával kapcsolatos információk ugyanis szétszórva találhatók meg a különböző dokumentumokban és így nem teszik lehetővé, hogy a felhasználó megismerje a tartalmukat. A felhasználók hozzájárulása továbbá nem tekinthető kifejezettnek és egyértelműnek, mivel a Google fiók létrehozása során nem lehet adatkezelési célonként külön-külön hozzájárulni az adatkezeléshez, csak egyszerre. Ezt csak a regisztrációt követően lehet módosítani, így csak annak elfogadását követően lehet visszautasítani a reklámok személyre szabásához való hozzájárulást.

A fentieket mérlegelve szabta ki a hatóság az 50 millió eurós bírságot, először alkalmazva a GDPR által lehetővé tett bírság magasabb mértékét. A bírság kiszabásánál a GDPR alapelveinek súlyos megsértését vette figyelembe a hatóság, amely alapján a legmagasabb kiszabható összeg 20 millió euró lehet vagy a társaság éves világpiaci forgalmának 4 %-a. A CNIL az összeg meghatározásakor figyelembe vette, hogy a jogsértés nem csak egyszeri vagy időben korlátozott, hanem folyamatos, az adatkezelés az érintettek igen széles körére terjed ki, valamint a cég üzleti modellje részben a hirdetések személyre szabásán alapul, így fokozottabb figyelmet kellett volna szentelnie az adatvédelmi rendeletnek való megfelelésre.

A bírság a munkáltatók számára olyan módon szolgálhat tanulságul, hogy a munkavállalók és állásra jelentkezők számára nyújtandó adatkezelési tájékoztatásnak a valóságban is egyértelműnek, teljes körűnek és könnyen hozzáférhetőnek kell lenni.

GDPR – 50 millió eurós adatvédelmi bírságot szabtak ki a Google-ra Read More »

Alakuló joggyakorlat a GDPR alapján

Adatvédelem, Cégcsoportok, Hírek, Középvállalatok, Start-up vállalkozások / 2018.12.03. / Adatvédelem, data protection, GDPR, guideline, HDPA, iránymutatás, NAIH, opinions, vélemény

Az Általános Adatvédelmi Rendelet (GDPR) május 25-ei alkalmazandóvá válását követően már hat hónap eltelt. A GDPR számos olyan rendelkezést tartalmaz, amelyek tágabb teret engednek az értelmezésnek és a gyakorlati alkalmazásnak. Az Európai Adatvédelmi Testület és a nemzeti adatvédelmi hatóságok – így Magyarországon a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) – által kiadott általános iránymutatások és vélemények mellett az egyedi esetekben hozott döntések szolgálhatnak iránymutatásul ahhoz, hogy a GDPR rendelkezéseit miként kell értelmezni.

Természetesen időbe telik, amíg a GDPR alapján megszületnek az első döntések és ítéletek, azonban egyre több olyan döntésre és ítéletre számíthatunk, amelyek az adatvédelmi gyakorlatot alakítják.

Tapasztalataink szerint a NAIH aktív, sok eljárást indított a piaci szereplők adatkezelési gyakorlatának ellenőrzésére, az adatvédelmi jogszabályoknak való megfelelőség vizsgálatára.

Irodánk munkatársai folyamatosan figyelemmel kísérik a gyakorlat alakulását és az esetleges változásokról tájékoztatást nyújtanak.

Alakuló joggyakorlat a GDPR alapján Read More »

Az Európai Adatvédelmi Testület tájékoztatója a koronavírus járvány alatti adatkezelésről

A KORONAVÍRUS JÁRVÁNNYAL KAPCSOLATOS ADATKEZELÉSRŐL

A NAIH közleményt adott ki a munkavállalói e-mail fiókok ellenőrzéséről

Elérhetőségek

Szakterületek

Aktualitások