EDPB

Az Európai Adatvédelmi Testület stratégiája és a GDPR enyhítésére irányuló javaslat a vállalkozások adminisztratív terheinek csökkentéséért

Olvasási idő: 4 perc

Az Európai Adatvédelmi Testület az idei évben is közzétette a 2024-re vonatkozó jelentését („Jelentés”), egyúttal kijelölte a 2027-ig tartó stratégiájának alapvető céljait, ezek közül egyik azadatvédelmi szabályoknak való megfelelés elősegítése. Az Európai Bizottság („Bizottság”) pedig idén májusban a vállalkozások adminisztratív terheinek csökkentése érdekében benyújtotta a GDPR egyszerűsítésre irányuló javaslatát („Egyszerűsítési Javaslat”), melyet az EPDB is üdvözölt. Jelen cikkünkben a Jelentésben foglalt főbb megállapításokat és Testület jövőbeni terveit foglaljuk össze, valamint kitérünk az Egyszerűsítési  Javaslatra is.

Az Európai Adatvédelmi Testület szerepe az adatvédelemben

Az Európai Adatvédelmi Testület küldetése és jogi feladata sokrétű:

• biztosítja az uniós adatvédelmi szabályok következetes alkalmazását;
• előmozdítja a hatékony együttműködést az adatvédelmi hatóságok között az Európai Gazdasági Térségben (EGT);
• segíti a GDPR egységes alkalmazását;
• megvizsgálja a rendelet alkalmazását érintő kérdéseket, valamint
• a GDPR egységes alkalmazásának elősegítése érdekében iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki és azok alkalmazását szükség szerint felülvizsgálja.

A Jelentésben foglalt főbb eredmények

Az Európai Adatvédelmi Testület bármely felügyeleti hatóság, az Európai Adatvédelmi Testület elnöke vagy az Európai Bizottság kérelmére megvizsgálhat általános érvényű vagy egynél több tagállamban hatással bíró ügyet, és arról véleményt bocsáthat ki. Az idei évben is folytatja tevékenységét, így új iránymutatást fogadott el az álnevesítéssel kapcsolatban, melyet ebben a cikkünkben ismertettünk. A Testület minden évben koordinált végrehajtási akciót is hirdet, 2024-ben a hozzáférési jogra összpontosított, míg a 2025. évre a törléshez való jog érvényesülésének felülvizsgálatát tűzte ki célul, erről ebben a cikkünkben adtunk hírt.

Az Európai Adatvédelmi Testület ezen kívül folytatta az adatkezelésben érintett személyekkel és szervekkel történő aktív párbeszédjét, mely eredményképpen megindította közérthető tájékoztató anyagok (factsheet-ek) közzétételét. Ilyen tájékoztató anyagban ismertette a Testület a mesterséges intelligencia kiberbiztonságra gyakorolt legjelentősebb pozitív és negatív hatásait. (A factsheet angolul ezen a linken érhető el)

Stratégia a 2024-2027 közötti időszakra

Az Európai Adatvédelmi Testület a 2024–2027 közötti időszakra vonatkozó stratégiájában négy fő pilléren alapuló célkitűzést határozott meg:

• az adatvédelmi szabályok következetes alkalmazásának és a megfelelés előmozdítása;
• az adatvédelmi hatóságok közötti nemzetközi együttműködés megerősítése;
• az adatvédelem biztosítása a kialakulóban lévő digitális és több szabályozási területet (pl.: mesterséges intelligencia) felölelő környezetben, valamint
• a magánélet és az adatok védelmének kérdéséről folytatott globális párbeszéd támogatása.

A Testület továbbá megerősítette, hogy a jövőben is aktív szerepet kíván vállalni a kis- és középvállalkozásokat („Kkv.”) érintő szabályozási környezet alakításában. Emellett kiemelt célként határozta meg, hogy konkrét eszközökkel segítse a Kkv.-kat a jogszabályoknak való megfelelésben, valamint hozzájáruljon az adatvédelmi jogok jelentőségéről szóló társadalmi tudatosság erősítéséhez.

Az Egyszerűsítési Javaslat

A Bizottság rámutatott, hogy az uniós jogszabályok összetettsége akadályozza a piacra lépést és korlátozza a növekedés lehetőségét. A Jelentésben megfogalmazott célok megvalósítása érdekében 2025. májusában közzétette negyedik úgynevezett omnibusz csomagot, melyben a Bizottság több uniós szabály – köztük a GDPR nyilvántartásra vonatkozó – módosítását javasolta.

A GDPR szerint jelenleg a nyilvántartás az adatkezelők és adatfeldolgozók alapvető eszköze, amellyel az adatkezeléseiket azonosítják és dokumentálják. Csupán példálózó jelleggel említjük meg, hogy ennekeleme az adatkezelés célja, az érintettek és címeztettek kategóriája, a megőrzési idő, adott esetben a harmadik országba történő adattovábbítás.

A hatályos szabályozás értelmében kizárólag abban az esetben mentesülhetnek az adatkezelők és adatfeldolgozók a nyilvántartás vezetése alól, ha 250 főnél kevesebb személyt foglalkoztatnak. Ugyanakkor a 250 főnél kisebb vállalatok is kötelesek nyilvántartást vezetni, ha

• az adatkezelés az érintettek jogaira és szabadságaira nézve valószínűsíthetően kockázattal jár;
• az adatkezelés nem alkalmi jellegű;
• ha az adatkezelés kiterjed különleges adatokra vagy egyéb büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó személyes adatoknak a kezelésére.

A felsorolás szubjektív jellege miatt a megfelelősége törekvő, compliance szemléletű vállalatoknak ezért minden esetben nyilvántartás készítését javasoljuk a kockázatok minimalizálása érdekében.

Ezt ismerte fel a Bizottság is, vagyis hogy a 250 főben meghatározott alkalmazotti létszám fennállása esetén is nagyon kevés esetben tudtak a vállalkozások mentesülni a nyilvántartási kötelezettség alól. Ezért – az Egyszerűsítési Javaslat szerint – a jövőben azon vállalkozások, amelyek kevesebb mint 750 munkavállalót foglalkoztatnak és forgalmuk nem haladja meg a 150 millió eurót, vagy teljes eszközállományuk nem haladja meg a 129 millió eurót, nem kötelesek nyilvántartást vezetni. Azon adatkezelési tevékenységek körében, amelyek várhatóan magas kockázattal járnak az érintettek – például a munkavállalók vagy ügyfelek – számára,továbbra is kiterjedne a vállalkozás nyilvántartási kötelezettsége.

A Bizottság becslései szerint ez az intézkedés az EU-ban mintegy 38.000 vállalkozást mentesítene a nyilvántartási kötelezettség alól és évente mintegy 400 millió euróval csökkentené a vállalkozások adminisztratív terheit.

Az Európai Adatvédelmi Testület támogatását fejezte ki a Egyszerűsítési Javaslattal kapcsolatban. Ugyanakkor felhívta az adatkezelők figyelmét arra is, hogy az adatkezelési műveletek nyilvántartása nemcsak a megfelelést segíti elő, hanem egyben hasznos eszközként szolgál más GDPR-követelmények teljesítéséhez is.

A fentiek összegzéseként tehát látható, hogy továbbra is elvárás a cégektől, hogy:

• naprakész információval rendelkezzenek adatkezelései vonatkozásában (akár nyilvántartással, akár anélkül);
• átlátható legyen az adatok kezelése és már a folyamatok kialakításakor vegyék figyelembe az adatkezelési szempontokat;
• tudatosan mérlegeljék, milyen dokumentációs kötelezettséggel rendelkezzenek;
• a kiemelt területeken továbbra is tartsák be a szigorúbb előírásokat.

Fotó: Marco, pexels.com

Az Európai Adatvédelmi Testület („EDPB”) 2025. első negyedévében 1/2025 számon új iránymutatást („Iránymutatás”) fogadott el, amely az Európai Parlament és a Tanács (EU) 2016/679 általános adatvédelmi rendelete, azaz a GDPR szerinti álnevesítés alkalmazásával kapcsolatos elveket és előnyöket mutatja be. Jelen hírlevelünkben az Iránymutatás fontosabb, gyakorlatot is érintő megállapításait foglaljuk össze.

Mi a jelentősége?

Az adatkezelés szabályait sokféle szerepkörben kell alkalmazni, gyakran munkáltatóként, beszállító partnerként vagy vállalkozóként is. Az adatkezelés során a megfelelő jogalap kiválasztása és az alapelvek betartása kiemelkedő jelentőségű, ugyanígy a technikai és szervezési intézkedések megléte a kezelt adatok biztonsága érdekében. A GDPR az álnevesítésre az adatkezelés kockázatait csökkentő eszközként tekint, amely alkalmazása során a személyes adatok olyan módon kerülnek kezelésre, hogy további információ felhasználása nélkül nem állapítható meg, hogy azok mely konkrét természetes személyre vonatkoznak, vagyis a személyazonosság csak többletinformációval állítható helyre.

Feltétel, hogy ezek az információk – vagyis az álnév és a további tulajdonság – külön kerüljenek tárolásra és biztosított legyen, hogy az adatok az arra irányadó feltételek hiányában ne legyenek összekapcsolhatók az érintett természetes személlyel. Az álnevesítés alkalmazása esetén meg kell határozni a konkrét kockázatokat, amelyeket a módszerrel kívánnak redukálni, és úgy kell kialakítani az eljárásrendet, hogy hatékony legyen a megjelölt cél eléréséhez. Ez különösen olyan esetekben jöhet szóba, ahol a kezelt adatok jellegéből adódóan a természetes személy könnyen azonosítható lenne. Lényeges azonban, hogy az álnevesítés nem helyettesíti a többi adatvédelmi intézkedést, hanem kiegészíti azokat.

Adatvédelmi elvek betartásának elősegítése

Az álnevesítés – mint az EU Bizottság által is nevesített jó gyakorlat – megfelelően alkalmazva hozzásegítheti az adatkezelést végző szervezetet a Rendelet által előírt alapelvek teljesítéséhez. A GDPR szerint az adatokat csak meghatározott célból lehet gyűjteni, és e célokkal összeegyeztethető módon lehet kezelni. Az álnevesítéssel csökkenthető annak kockázata, hogy a személyes adatokat további olyan módon dolgozzák fel, amely nem egyeztethető össze azzal a céllal, amelyre eredetileg az adatokat gyűjtötték.

Például, nagyon hasonló azonosítókkal rendelkező személyek (pl. Nagy István nevű munkavállalók) adataihoz nagymértékben eltérő álnevek (pl. munkavállalói azonosítók) hozzárendelése nemcsak a titkosságot fokozhatja, hanem hozzájárul a személyes adatok pontosságára és naprakészen tartására vonatkozó követelmény teljesüléséhez azáltal, hogy csökken annak lehetősége, hogy az adatokat (pl. bérszámfejtés) tévesen rossz személyhez rendelik.

Adatkezelés jogalapjának igazolása

Az adatkezelés jogszerűségének alátámasztásához elengedhetetlen a megfelelő jogalap megjelölése. Mivel az álnevesítéssel csökken az érintetti jogokat és szabadságokat érintő kockázat, az álnevesítés megkönnyítheti a jogos érdek jogalapként való alkalmazását (GDPR 6. cikk (1) bekezdés f) pont). Az álnevesítés ugyanis minimalizálja annak az esélyét, hogy az adatok jogosulatlan személyazonosításhoz vezetnek.

Hasonlóképpen, az álnevesítés segíthet az eredeti céllal való összeegyeztethetőség biztosításában (GDPR 6. cikk (4) bekezdés). Az álnevesítés megfelelő biztosíték lehet a további adatkezeléssel kapcsolatos összeegyeztethető célok mérlegelésekor is, mivel korlátozhatja a tervezett további adatkezelés lehetséges következményeit az érintettekre nézve, a további adatkezelési célok így kisebb kockázatot jelentenek.

Hogyan alkalmazható?

Az adatkezelőként eljáró szervezet köteles biztosítani, hogy az álnevesített adatok ne legyenek összekapcsolhatók egy személlyel, amíg a többletinformáció külön kerül kezelésre. Ennek megvalósításához az adatkezelőnek módosítania kell az adatokat, valamint további kulcsokat, információkat elkülönülten kell tárolnia elérve, hogy csak az arra jogosultak tudják az adatokat összekapcsolni.

A módszer hatékonysága érdekében az álnevesített adatok nem tartalmazhatnak közvetlen azonosítókat (pl. ismert azonosítószámokat, mint adóazonosító jel, személyi igazolványszám), mert ezek a közvetlen azonosítók felhasználhatók az adatoknak az érintettekhez való egyszerű hozzárendelésére. Ehelyett olyan azonosítók, egyedi kódok alkalmazhatók, amelyek csak kiegészítő információk felhasználásával rendelhetők az érintettekhez; ez az álnév. Mindezeket pedig megfelelő technikai és szervezési intézkedésekkel szükséges biztosítani, például:

• titkosítás,
• értelmezési kulcsok alkalmazása és elkülönült tárolása,
• csak az arra jogosult személyek részére való hozzáférés biztosítása.

Álnevesítés során kezelt adat mint személyes adat

Fontos, hogy az álnevesített adatok továbbra is személyes adatnak minősülnek, azaz a GDPR hatálya alá tartoznak, ezért az érintett jogait biztosítani kell. Így például, ha az adott személy meg tudja adni azt az álnevet, ami alatt az adatait tárolják, és bizonyítani tudja, hogy ez az álnév rá vonatkozik, az adatkezelőnek képesnek kell lennie az érintett azonosítására és az érintetti joggyakorlás keretében előterjesztett igényeket az esetleges további feltételek fennállása esetén teljesíteni szükséges.

Az adatok álnevesítése csökkenti az érintettekre vonatkozó kockázatokat, mivel egy esetleges jogosulatlan hozzáférés vagy nyilvánosságra hozatal esetén megfelelő álnevesítéssel a természetes személyre vonatkozó közvetlen azonosító adat nem kerül felfedésre (pl. rossz helyre kerül kiküldésre a cafeteria nyilatkozat, de azon csak az álnév szerepel).

Érdekesség: ha az álnevesítéssel érintett adatok biztonsága megsérül, amely az álnevesítés jogosulatlan visszafordításához vezet, akkor az adatvédelmi incidensnek minősülhet és a konkrét eset körülményeitől függően megfelelő intézkedéseket szükséges megtenni.

Zárszó

Az Iránymutatás hasznos keretet kínál az álnevesítés mint adatkezelési garanciális módszer alkalmazásához. Nem csupán egy technikai eszköz, hanem egy olyan adatvédelmi eljárásrend, amely hozzájárul a GDPR szabályainak betartásához, ugyanakkor segíti az adatkezelést és a kapcsolódó jogok biztosítását. Az álnevesítés bevezetése az alkalmazott adatkezelési stratégia felülvizsgálata alapján célszerű, ugyanakkor technikai és szervezési intézkedéseket, valamint az adatkezelési dokumentáció megfelelő kiegészítését is igényli.

Kép forrása: Markus Winkler, Pexels.com

Az Európai Adatvédelmi Testület („EDPB”) 2020. októberében az Európai Parlament és a Tanács (EU) 2016/679 általános adatvédelmi rendelete, azaz a GDPR szerint összehangolt végrehajtási keretről szóló dokumentumot fogadott el, amely értelmében minden évben egy meghatározott adatvédelmi témát vizsgálnak a tagállami hatóságok az EDPB által meghatározott keretek, módszerek alapján. Ezen összehangolt fellépések célja többek között a jogszabályoknak való megfelelés elősegítése, a tudatosság növelése.

Az idei évben az EDPB a törléshez való érintetti jogok gyakorlásának módját, az adatkezelők általi biztosítását kívánják górcső alá venni. Jelen cikkünkben az ezzel kapcsolatos fontosabb tudnivalókat foglaljuk össze.

A felülvizsgálat jelentősége

AZ EDPB 2025-ben a törléshez való jog érvényesülését kívánja vizsgálni, mivel ez az egyik leggyakrabban gyakorolt érintetti jog a GDPR hatályba lépése óta, azonban ennek biztosításával kapcsolatban nagyszámú panasz érkezik a felügyeleti hatóságokhoz. Ennek érdekében az EDPB idén a tagállami hatóságok segítségével a törlési jog biztosításával kapcsolatos gyakorlatokat kívánja megvizsgálni és felmérni, hogy az adatkezelők hogyan kezelik a hozzájuk beérkező törlési kérelmeket, hogyan alkalmazzák az e jog gyakorlására vonatkozó, GDPR-ban meghatározott feltételeket és kivételeket.

Mi a törléshez való jog?

A GDPR meghatározza azokat az alapvető jogokat, amelyekről az adatkezelő – legyen az munkáltató, beszállító partner vagy vállalkozó –köteles az érintettet előzetesen tájékoztatni és ezeket az adatkezelés során részére biztosítani. Többek között az érintett jogosult a rá vonatkozó személyes adatok törlését kérelmezni, amit az adatkezelő indokolatlan késedelem nélkül köteles megtenni.

A törléshez való jog gyakorlásának ugyanakkor feltételei is vannak, arra a következő esetek valamelyikében kerülhet sor:

• ha a személyes adatokra már nincs szükség abból a célból, amelyből azokat kezelték;
• ha az adatkezelés az érintett hozzájárulásán alapult és azt az érintett visszavonta;
• ha az érintett tiltakozik az adatkezelés ellen, amennyiben az adatkezelés jogalapja az adatkezelő vagy harmadik fél jogos érdekeinek védelme;
• ha az adatok kezelésére jogellenesen került sor; vagy jogi kötelezettség alapján szükséges az adatot törölni.

Érintetti jog biztosítása

Az adatkezelőnek a természetes személyek személyes adatainak kezelése során mindvégig megfelelően biztosítania kell az érintettek adatkezeléshez fűződő jogait. Ehhez az egyik legfontosabb lépés az adatkezelő elérhetőségének garantálása, a kapcsolattartás lehetővé tétele, amelyet célszerű olyan mechanizmusokkal elérni, melyek megkönnyítik az érintett jogainak gyakorlását.

A személyes adatok kezelése kapcsán felmerülő bármely érintetti kérés esetén az adatkezelő köteles a kérés beérkezésétől számított legrövidebb időn belül, de nem később, mint 1 hónapon belül az érintetti jog gyakorlását biztosítani, vagy amennyiben ehhez további információra van szüksége, haladéktalanul felvenni a kapcsolatot az érintettel a kérés ügyintézése céljából, lehetőség szerint az érintett által alkalmazott kommunikációs csatornán. Ha pedig az adatkezelő az érintetti kérelemnek nem tesz eleget, arról is köteles indokolást adnia.

Ahhoz, hogy az adatkezelő az érintett kérelmét el tudja bírálni és annak eleget tudjon tenni, fontos, hogy az adatkezeléshez megfelelő szervezési és technikai intézkedéseket alkalmazzon. A joggyakorlás biztosítása kiemelkedő jelentőségű, ugyanis nem megfelelő adatkezelés esetén az érintett akár az illetékes hatósághoz – Magyarországon a Nemzeti Adatvédelmi és Információszabadság Hatósághoz – vagy akár bírósághoz is fordulhat panaszával.

Adatkezeléssel kapcsolatos teendők

A GDPR 2018-ban történt hatálybalépése óta a szervezetek széleskörű adatkezelési gyakorlatra tettek szert, valamint jelentős jogszabályváltozások történtek az adatkezeléssel érintett területeken.

Ugyanakkor tapasztaljuk, hogy a GDPR megfelelést egy egyszeri projektként kezelő vállalkozások nem vizsgálják felül (néhány) évente a folyamataikat, dokumentumaikat és a háttérjogszabályokat, ezért évek múltán az adatkezelési tájékoztató nem a valóságot tükrözi, amiért felelősségre vonhatóak.

Azt javasoljuk, hogy azok a cégek, akik az alábbi kritériumok közül valamelyikben magukra ismernek, vizsgálják meg adatkezelési dokumentációjukat, és ha kell, hozzák összhangba a tényleges folyamataikkal:

1. Új szoftver bevezetése
2. Üzletág vagy egyes folyamatok átszervezése
3. Új beszállítók választása
4. Megrendelőkkel való együttműködés módosítása
5. Folyamatok kiszervezése – akár harmadik országba, akár az EU területén belül
6. Tanúsítványok bevezetése (ISO, Tisax, stb.)
7. Új jogszabályoknak történő megfelelés (pl. Panasztörvény, GPSR, Pay Transparency Irányelv)
8. Cégcsoportban történő változások (pl. új befektető tulajdonos)
9. Kommunikációs platform módosulása (Pl. intranet, chatbot)
10. Adatbázisok létrehozása vagy egyesítése

Kép forrása: Freepik.com