Mostantól súlyos bírság jöhet, ha nincs rendben az adatvédelem

Péterfalvi Attila, a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) elnöke a Deloitte által rendezett online konferencián elmondta, hogy nincs több türelem, ha adatvédelmi incidensről érkezik bejelentés. A 2018. május 25-én élesedett jogszabály miatt minden vállalatnak érdemes kiemelten figyelnie arra, hogy teljesítse a jogalkotók elvárásait.

Az európai gyakorlatban hosszabb távon arra lehet számítani, hogy a kiszabott bírságok szintje közelíteni fog egymáshoz

– mondta Péterfalvi Attila, a NAIH elnöke. Hozzátette, ennek összehangolása időigényes lesz, főleg, hogy minden tagországnak saját bírságolási gyakorlata van, azonban nem tartható fenn az a gyakorlat, hogy egy bizonyos jogsértésért ne ugyanaz a mértékű bírság kerüljön kiszabásra az Európai Unión belül mindenhol. Először olyan mérvadó ügyeknél várható egységes bírságolási gyakorlat, ahol az egyablakos ügyintézés keretében szankcionálnak. Ezeknél a kiszabott bírság összege is szavazással dől majd el.

„A GDPR szabályozás egyik kritikus technológiai pontja, hogy az adatkezelők megfelelő technikai kontrollokat vezessenek be, a jogosultságkezelés, tevékenységnaplózás és adatszivárgás területén. Ezenkívül az eddigi tapasztalatok alapján nem került a piaci szereplők fókuszába a cookie-k kezelése, amelyek a végfelhasználó készülékére települnek, lehetővé téve ezáltal az adatgyűjtést és adattovábbítást a felhasználói szokásokról” – mondta Szöllősi Zoltán, a Deloitte kockázati tanácsadási üzletágának technológiai szakértője.

A GDPR bevezetése óta számos hazai jogszabályváltozás, harmonizációs törvénymódosítás történt, amelyekre nagy szükség volt. Ilyen például a Munka Törvénykönyvének módosítása, amelybe több olyan terület is bekerült, ami megkönnyíti a munkáltatók adatvédelemmel kapcsolatos megfelelését. Ilyen például a biometrikus adatkezelés szabályozása, a bűnügyi személyes adatok kezelése, az erkölcsi bizonyítvány kérése és kezelése, illetve a munkáltatói ellenőrzés információtechnológiai eszközök alkalmazásával. „Az e-mail fiókok adatellenőrzése problémás szokott lenni, mivel nagy hiányosság, hogy ez nem jogszerűen történik abban az esetben, ha nem valósul meg előzetes és kifejezett tájékoztatás a munkavállaló felé, ahogy ezt a törvénymódosítás is egyértelműen rögzíti” – mondta dr. Majoros Gábor, a Deloitte Legal ügyvédi iroda adatvédelemi és technológiai szolgáltatásokért felelős ügyvédje.

A privacy by design vagy privacy by default kérdéskörét is körbejárták a szakértők. Elhangzott, hogy fontos különbség van az adatok anonimizálása és törlése között.

Egy törlési kérelemnél mindenképpen meg kell vizsgálni, hogy ténylegesen megvan-e a lehetőség az adatok törlésére.

„Az egész adatkezelést eleve úgy kell felépíteni, hogy a törlésre lehetőség legyen. Az adatvédelmi hatóság nem fogja elfogadni azt, hogy egy törlés nem valósítható meg, hiszen az adatkezelés megtervezésekor a rendszert ennek megfelelően kell megtervezni. A közeljövőben várhatók olyan adatvédelmi hatósági határozatok, ahol a hatóság bírságolni fog, mert a szükséges törlést nem hajtották végre” – mondta Péterfalvi Attila.

Annak ellenére, hogy Európa gazdasági dominanciája csökkent, a GDPR szabályozás nem csupán egy „európai játszóteret” hozott létre, hanem globális hatással bír. Az Egyesült Államokban, Dél-Amerikában és Ázsiában egyre fokozottabb szabályozási tendenciák indultak el, melyek az adatkezelési szabályok harmonizálását célozzák, hogy azok illeszkedjenek az európai szabályozáshoz és az európai piacra is megfelelő válaszokat tudjanak adni.