A GDPR, vagyis az általános adatvédelmi rendelet az Európai Unió átfogó adatvédelmi jogszabálya, amely 2018. május 25-én lépett hatályba. A rendelet az 1995-ös adatvédelmi irányelvet váltotta fel, és több mint két évtized után az uniós adatvédelmi jog egyik legjelentősebb változását jelentette.
A GDPR célja, hogy az egyének ellenőrzést gyakorolhassanak személyes adataik felett, egyszerűsítse a nemzetközi vállalkozások szabályozási környezetét, harmonizálja a tagállami adatvédelmi jogszabályokat, valamint megerősítse és egységesítse az Európai Unión belüli természetes személyek védelmét.
A GDPR globálisan alkalmazandó minden olyan szervezetre, amely uniós lakosok személyes adatait kezeli, függetlenül attól, hogy a szervezet hol található. Ez a területen kívüli hatály a GDPR egyik legfontosabb jellemzője.
A GDPR alapvető adatai
| Mutató | Részlet |
|---|---|
| Hatálybalépés | 2018. május 25. |
| Alkalmazási kör | Minden szervezet, amely uniós lakosok személyes adatait kezeli |
| Legmagasabb bírság | 20 millió EUR vagy a globális éves árbevétel 4%-a |
| Alacsonyabb bírságolási szint | 10 millió EUR vagy a globális éves árbevétel 2%-a |
| Összesített bírságok 2018 óta | Több mint 4,8 milliárd EUR |
| Érintetti jogok | 8 egyéni jog |
| Adatvédelmi incidens bejelentési határideje | 72 óra a felügyeleti hatóság felé |
A GDPR angol megnevezése és jogi háttere
A GDPR teljes angol megnevezése: General Data Protection Regulation. A hivatalos jogszabály címe: Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation).
A rendelet az Európai Unió valamennyi tagállamában 2018. május 25-től alkalmazandó az adatvédelmi szabályok összehangolása érdekében. A rendelet hivatalos szövege az Európai Unió valamennyi hivatalos nyelvén hozzáférhető.
A GDPR 99 cikket és 173 preambulumbekezdést tartalmaz. A jogszabály tizenegy fejezetben szabályozza az általános rendelkezéseket, az alapelveket, az érintetti jogokat, az adatkezelők és adatfeldolgozók kötelezettségeit, a harmadik országokba történő adattovábbítást, a felügyeleti hatóságokat, az együttműködési mechanizmusokat, a jogorvoslatokat, a felelősséget és a szankciókat.
Kire vonatkozik a GDPR?
Az Európai Unióban letelepedett szervezetek
A GDPR minden olyan, az Európai Unióban letelepedett szervezetre vonatkozik, amely személyes adatokat kezel, függetlenül attól, hogy az adatkezelés az Európai Unióban történik-e.
Az Európai Unión kívül működő szervezetek
Az Európai Unión kívül letelepedett szervezetekre akkor is vonatkozik a GDPR, ha uniós érintettek személyes adatait kezelik, és:
- árukat vagy szolgáltatásokat kínálnak uniós érintetteknek, függetlenül attól, hogy az áru vagy szolgáltatás ingyenes vagy ellenérték fejében vehető igénybe;
- az Európai Unión belül tanúsított magatartást figyelemmel kísérik.
A GDPR 3. cikke szerinti területen kívüli hatály azt jelenti, hogy a szervezet uniós jelenléte önmagában nem feltétel. A döntő szempont az, hogy a szervezet uniós lakosok személyes adatait kezeli-e az áruk vagy szolgáltatások nyújtásával, illetve a magatartás megfigyelésével összefüggésben.
Mire nem terjed ki a GDPR?
- tisztán személyes vagy háztartási tevékenységekre;
- bűnüldözési és nemzetbiztonsági célú adatkezelésekre, amelyekre külön szabályozási keretek vonatkoznak;
- olyan szervezetekre, amelyeknek nincs uniós jelenlétük és nincsenek uniós ügyfeleik.
A GDPR legfontosabb angol szakkifejezései
| Magyar kifejezés | Angol kifejezés | Jelentés |
|---|---|---|
| Személyes adat | Personal data | Azonosított vagy azonosítható természetes személyhez kapcsolódó bármely információ |
| Érintett | Data subject | Azonosított vagy azonosítható természetes személy, akinek az adatait kezelik |
| Adatkezelés | Processing | Személyes adatokon végzett bármely művelet |
| Adatkezelő | Controller vagy data controller | Az adatkezelés céljait és eszközeit meghatározó szervezet |
| Adatfeldolgozó | Processor vagy data processor | Az adatkezelő nevében személyes adatokat kezelő szervezet |
| Különleges adatkategóriák | Special categories of personal data | Érzékeny adatok, például egészségügyi, biometrikus vagy vallási adatok |
| Adatvédelmi tisztviselő | Data Protection Officer vagy DPO | Az adatvédelmi feladatokkal megbízott személy |
| Adatvédelmi incidens | Personal data breach | A személyes adatok biztonságát érintő jogsértés |
| Adathordozhatósághoz való jog | Right to data portability | A személyes adatok géppel olvasható formátumban történő átvételének és továbbításának joga |
| Adattörléshez való jog | Right to erasure vagy right to be forgotten | A személyes adatok törlésének joga |
| Adatvédelmi hatásvizsgálat | Data Protection Impact Assessment vagy DPIA | Az adatkezelés adatvédelmi kockázatainak előzetes vizsgálata |
| Adatkezelési tevékenységek nyilvántartása | Records of Processing Activities vagy RoPA | A szervezet adatkezelési műveleteinek dokumentált nyilvántartása |
A GDPR felépítése
1. fejezet - Általános rendelkezések
Az első fejezet vezeti be az adatvédelemmel és a magánszférával kapcsolatos alapfogalmakat, továbbá meghatározza a GDPR hatályát, az alkalmazási kört és a rendelet által lefedett adatok típusait.
- 1. cikk - Tárgy és célkitűzések
- 2. cikk - Tárgyi hatály
- 3. cikk - Területi hatály
- 4. cikk - Fogalommeghatározások
2. fejezet - Alapelvek
A második fejezet a személyes adatok kezelésének alapelveit, a gyermekek adataira és a különleges adatkategóriákra vonatkozó szabályokat, valamint a büntetőítéletekkel és bűncselekményekkel kapcsolatos adatok kezelését rendezi.
- 5. cikk - A személyes adatok kezelésére vonatkozó alapelvek
- 6. cikk - Az adatkezelés jogszerűsége
- 7. cikk - A hozzájárulás feltételei
- 8. cikk - A gyermek hozzájárulásának feltételei az információs társadalommal összefüggő szolgáltatások esetén
- 9. cikk - A személyes adatok különleges kategóriáinak kezelése
- 10. cikk - A büntetőítéletekre és bűncselekményekre vonatkozó személyes adatok kezelése
- 11. cikk - Azonosítást nem igénylő adatkezelés
3. fejezet - Az érintett jogai
A GDPR az érintettek számára konkrét jogokat biztosít a személyes adataik kezelésével kapcsolatban.
- 12. cikk - Átlátható tájékoztatás, kommunikáció és az érintett jogainak gyakorlására vonatkozó szabályok
- 13. cikk - A rendelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik
- 14. cikk - A rendelkezésre bocsátandó információk, ha a személyes adatokat nem az érintettől szerezték meg
- 15. cikk - Az érintett hozzáférési joga
- 16. cikk - A helyesbítéshez való jog
- 17. cikk - A törléshez való jog, vagyis az „elfeledtetéshez való jog”
- 18. cikk - Az adatkezelés korlátozásához való jog
- 19. cikk - A helyesbítésről, törlésről vagy az adatkezelés korlátozásáról szóló értesítési kötelezettség
- 20. cikk - Az adathordozhatósághoz való jog
- 21. cikk - A tiltakozáshoz való jog
- 22. cikk - Automatizált döntéshozatal, beleértve a profilalkotást
- 23. cikk - Korlátozások
4. fejezet - Adatkezelő és adatfeldolgozó
A negyedik fejezet az adatkezelő és az adatfeldolgozó kötelezettségeit, valamint az adatvédelmi tisztviselő szerepét, helyzetét és feladatait határozza meg.
- 24. cikk - Az adatkezelő felelőssége
- 25. cikk - Beépített és alapértelmezett adatvédelem
- 26. cikk - Közös adatkezelők
- 27. cikk - Az Unióban nem letelepedett adatkezelők vagy adatfeldolgozók képviselői
- 28. cikk - Az adatfeldolgozó
- 29. cikk - Az adatkezelő vagy adatfeldolgozó irányítása alatt végzett adatkezelés
- 30. cikk - Az adatkezelési tevékenységek nyilvántartása
- 31. cikk - Együttműködés a felügyeleti hatósággal
- 32. cikk - Az adatkezelés biztonsága
- 33. cikk - A személyes adatok megsértésének bejelentése a felügyeleti hatóságnak
- 34. cikk - A személyes adatok megsértésének közlése az érintettel
- 35. cikk - Adatvédelmi hatásvizsgálat
- 36. cikk - Előzetes konzultáció
- 37. cikk - Az adatvédelmi tisztviselő kijelölése
- 38. cikk - Az adatvédelmi tisztviselő jogállása
- 39. cikk - Az adatvédelmi tisztviselő feladatai
- 40. cikk - Magatartási kódexek
- 41. cikk - A jóváhagyott magatartási kódexek ellenőrzése
- 42. cikk - Tanúsítás
- 43. cikk - Tanúsító szervezetek
5. fejezet - Személyes adatok továbbítása harmadik országokba vagy nemzetközi szervezetek részére
Az ötödik fejezet az Európai Unión vagy az Európai Gazdasági Térségen kívülre történő adattovábbításkor alkalmazandó kötelezettségeket és megfelelő garanciákat tartalmazza.
- 44. cikk - Az adattovábbítás általános elve
- 45. cikk - Megfelelőségi határozaton alapuló adattovábbítás
- 46. cikk - Megfelelő garanciákhoz kötött adattovábbítás
- 47. cikk - Kötelező erejű vállalati szabályok
- 48. cikk - Az uniós jog által nem engedélyezett továbbítás és közlés
- 49. cikk - Eltérések különleges helyzetekben
- 50. cikk - Nemzetközi együttműködés a személyes adatok védelme érdekében
6-11. fejezet
A hatodik fejezet a független felügyeleti hatóságok szerepét, feladatait és hatásköreit határozza meg. A hetedik fejezet a felügyeleti hatóságok közötti együttműködést és az Európai Adatvédelmi Testület szerepét rendezi.
A nyolcadik fejezet a felügyeleti hatóságokkal, adatkezelőkkel és adatfeldolgozókkal szembeni jogorvoslatokat, a kártérítési felelősséget és a közigazgatási bírságokat szabályozza.
A kilencedik fejezet egyes speciális adatkezelési helyzetekre, így a véleménynyilvánítás és a tájékoztatás szabadságára, a foglalkoztatással összefüggő adatkezelésre, a kutatásra, az archiválásra és a titoktartásra vonatkozó rendelkezéseket tartalmaz.
A tizedik fejezet a felhatalmazáson alapuló és végrehajtási jogi aktusokat, a tizenegyedik fejezet pedig a korábbi uniós jogszabályok hatályon kívül helyezését, a kapcsolódó irányelvekkel fennálló viszonyt és a GDPR alkalmazásának kezdőnapját rendezi.
A GDPR hét alapelve
A GDPR 5. cikke a személyes adatok kezelésének hét alapelvét határozza meg.
1. Jogszerűség, tisztességes eljárás és átláthatóság
A személyes adatokat jogszerűen, tisztességesen és az érintett számára átlátható módon kell kezelni.
2. Célhoz kötöttség
Az adatokat meghatározott, egyértelmű és jogszerű célból kell gyűjteni, és nem kezelhetők ezekkel a célokkal össze nem egyeztethető módon.
3. Adattakarékosság
A személyes adatoknak megfelelőnek, relevánsnak és a szükséges mértékre korlátozottnak kell lenniük.
4. Pontosság
A személyes adatoknak pontosnak és naprakésznek kell lenniük.
5. Korlátozott tárolhatóság
A személyes adatokat nem szabad hosszabb ideig megőrizni, mint ameddig az adatkezelés céljai szükségessé teszik.
6. Integritás és bizalmas jelleg
A személyes adatokat megfelelő biztonsági intézkedésekkel kell kezelni, hogy biztosított legyen az adatok védelme.
7. Elszámoltathatóság
Az adatkezelőnek nemcsak meg kell felelnie az alapelveknek, hanem képesnek is kell lennie a megfelelés bizonyítására.
A személyes adatok kezelésének hat jogalapja
A személyes adatok kezelése előtt a szervezetnek legalább egy, a GDPR 6. cikkében meghatározott jogalapot kell azonosítania és dokumentálnia.
| Jogalap | Mikor alkalmazható? | Gyakori példa |
|---|---|---|
| Hozzájárulás - Consent | Az érintett egyértelmű, konkrét és tájékozott hozzájárulást adott | Marketing-e-mailek, cookie-k, hírlevél-feliratkozás |
| Szerződés - Contract | Az adatkezelés szerződés teljesítéséhez szükséges | Megvásárolt termék kézbesítése, bérszámfejtés, szolgáltatás nyújtása |
| Jogi kötelezettség - Legal obligation | Az adatkezelést jogszabály írja elő | Adóbevallás, munkajogi megfelelés, pénzmosás elleni szabályok |
| Létfontosságú érdek - Vital interests | Az adatkezelés valaki életének védelméhez szükséges | Orvosi vészhelyzet, katasztrófaelhárítás |
| Közérdekű feladat - Public task | Az adatkezelés közhatalmi jogosítvány vagy közérdekű feladat teljesítéséhez szükséges | Kormányzati feladatok, közegészségügy, archiválás |
| Jogos érdek - Legitimate interests | Az adatkezelés az adatkezelő jogos érdekéhez szükséges, amelyet össze kell vetni az érintett jogaival | Csalásmegelőzés, hálózatbiztonság, meglévő ügyfeleknek küldött közvetlen marketing |
Sok szervezet automatikusan a hozzájárulást választja jogalapként, azonban a hozzájárulás bármikor visszavonható, ezért ez a legkevésbé stabil jogalapok közé tartozik. A szervezeteknek mind a hat jogalapot értékelniük kell, és minden adatkezelési tevékenységhez a legmegfelelőbb jogalapot kell kiválasztaniuk.
Az érintettek nyolc joga
1. A tájékoztatáshoz való jog
Az érintettnek joga van tudni, hogyan használják fel a személyes adatait.
2. A hozzáféréshez való jog
Az érintett másolatot kérhet a róla kezelt személyes adatokról.
3. A helyesbítéshez való jog
Az érintett kérheti a pontatlan személyes adatok kijavítását.
4. A törléshez való jog
Az érintett kérheti személyes adatainak törlését, amelyet gyakran „elfeledtetéshez való jogként” is neveznek.
5. Az adatkezelés korlátozásához való jog
Az érintett kérheti a személyes adatok felhasználásának korlátozását.
6. Az adathordozhatósághoz való jog
Az érintett jogosult arra, hogy a rá vonatkozó személyes adatokat tagolt, széles körben használt és géppel olvasható formátumban megkapja.
7. A tiltakozáshoz való jog
Az érintett tiltakozhat az adatkezelés ellen, ideértve a közvetlen üzletszerzési célú adatkezelést is.
8. Az automatizált döntéshozatallal kapcsolatos jogok
Az érintettnek joga van ahhoz, hogy ne terjedjen ki rá kizárólag automatizált adatkezelésen alapuló döntés, amely rá nézve joghatással jár vagy hasonlóképpen jelentős mértékben érinti.
Az adathordozhatósághoz való jog angol terminológiája
Az „adathordozhatósághoz való jog” angol megfelelője: right to data portability. Ez a GDPR 20. cikkében szabályozott érintetti jog.
A jog célja, hogy a személyes adatok akadály nélkül áthelyezhetők legyenek a különböző szolgáltatók között. Az adathordozhatósághoz való jog azonban csak akkor gyakorolható, ha a kért személyes adatokat automatizált eszközökkel kezelik, és az adatkezelés az érintett hozzájárulásán vagy olyan szerződés teljesítésén alapul, amelyben az érintett szerződő fél.
Ha egy szolgáltató természetes személy adatait papíralapon kezeli, ez nem keletkeztet számára további kötelezettséget digitális nyilvántartás készítésére. A rendelet szerint a személyes adatokat tagolt, széles körben használt és géppel olvasható formátumban kell az érintett rendelkezésére bocsátani.
A személyes adatokat nem lehet értelmezhetetlen „programnyelven” átadni. Jó gyakorlat olyan személyes felületek létrehozása, amelyekhez az érintett, illetve az érintett hozzájárulása alapján más adatkezelő is hozzáférhet.
Az érintett által átadott adatokra korlátozódik a jogosultság, ezért az ezekből létrehozott profil már nem tartozik a rendeletben szabályozott hordozható adatok körébe. A kért adatoknak az érintettre kell vonatkozniuk, így például híváslista csak akkor adható át, ha az érintett személyes célra használja, az uniós adatvédelmi munkacsoport ajánlása szerint.
| Magyar kifejezés | Angol megfelelő |
|---|---|
| Adathordozhatósághoz való jog | Right to data portability |
| Érintett | Data subject |
| Adatkezelő | Data controller |
| Adatfeldolgozás | Data processing |
| Adatkezelés automatizált eszközökkel | Processing by automated means |
| Géppel olvasható formátum | Machine-readable format |
| Széles körben használt formátum | Widely used format |
| Adatátvitel | Data transfer |
| Címzett adatkezelő | Entitled controller |
Az adatkezelő és az adatfeldolgozó közötti különbség
Az adatkezelő, vagyis data controller, határozza meg a személyes adatok kezelésének céljait és eszközeit. Az adatfeldolgozó, vagyis data processor, az adatkezelő nevében kezeli a személyes adatokat.
Az adatkezelő például eldönti, hogy miért és hogyan kezelik az adatokat, míg az adatfeldolgozó ilyen feladatot az adatkezelő megbízásából végezhet, például felhőszolgáltatóként ügyféladatokat tárolhat.
Mindkét szereplőnek vannak GDPR szerinti kötelezettségei, azonban az elszámoltathatóság elsődlegesen az adatkezelőt terheli.
A szervezetek legfontosabb GDPR-kötelezettségei
Dokumentáció
- Az adatkezelési tevékenységek nyilvántartása, vagyis Records of Processing Activities (RoPA)
- Adatvédelmi tájékoztatók és szabályzatok
- Adatfeldolgozási megállapodások, vagyis Data Processing Agreements (DPAs)
- Adatvédelmi hatásvizsgálatok, vagyis Data Protection Impact Assessments (DPIAs)
Biztonság
- Megfelelő technikai és szervezési intézkedések alkalmazása
- Beépített és alapértelmezett adatvédelem
- A biztonsági intézkedések rendszeres tesztelése
- Titkosítás, álnevesítés, hozzáférés-szabályozás és munkavállalói képzés
Adatvédelmi incidensek
- A felügyeleti hatóság értesítése 72 órán belül
- Az érintettek tájékoztatása, ha az incidens magas kockázattal jár
- Minden adatvédelmi incidens dokumentálása
Gyakorlati lépések a GDPR-megfeleléshez
1. Adattérkép és adatleltár készítése
Azonosítani kell minden kezelt személyes adatot: milyen adatokról van szó, kinek az adatai, miért kezelik őket, hol tárolják, ki fér hozzájuk, és meddig őrzik meg őket. Ez képezi az adatkezelési tevékenységek nyilvántartásának alapját.
2. A jogalap értékelése
Minden adatkezelési tevékenységhez dokumentálni kell a jogalapot. Ha a szervezet hozzájárulásra támaszkodik, biztosítania kell, hogy a hozzájárulás önkéntes, konkrét, tájékozott és egyértelmű legyen.
3. Az érintetti kérelmek kezelése
Működő folyamatokat kell kialakítani az érintetti jogok gyakorlására irányuló kérelmek, vagyis Data Subject Access Requests (DSARs) kezelésére.
Az ilyen kérelmeket a szükséges határidőn belül, általában egy hónapon belül kell megválaszolni. Összetett kérelmek esetén a határidő további két hónappal meghosszabbítható.
4. Adatvédelmi tájékoztatók és átláthatóság
Az adatvédelmi tájékoztatóknak tartalmazniuk kell a 13. és 14. cikkben meghatározott információkat, így az adatkezelő személyazonosságát, az adatkezelés céljait, a jogalapot, a megőrzési időket, az érintetti jogokat és az adattovábbításokra vonatkozó adatokat.
5. Biztonsági intézkedések
Megfelelő technikai és szervezési intézkedéseket kell bevezetni. Ide tartozhat a titkosítás, az álnevesítés, a hozzáférés-szabályozás, a rendszeres tesztelés és a munkavállalók képzése.
6. Harmadik felek kezelése
Felül kell vizsgálni az adatfeldolgozókkal fennálló kapcsolatokat. Minden adatfeldolgozóval olyan, a GDPR 28. cikkének követelményeit teljesítő adatfeldolgozási megállapodást kell kötni, amely rendezi az adatfeldolgozás feltételeit.
7. Adatvédelmi incidensre való felkészülés
Incidensészlelési, kivizsgálási és bejelentési eljárást kell kialakítani. A felügyeleti hatóság felé irányadó 72 órás bejelentési határidő attól az időponttól kezdődik, amikor a szervezet tudomást szerez az incidensről.
8. Független értékelés
Független értékelő szervezet bevonható a GDPR-megfelelési helyzet vizsgálatára. A független GDPR-értékelés a szervezet saját nyilatkozatán túlmenő, formális biztosítékot jelenthet, amelyet az ügyfelek, partnerek és felügyeleti hatóságok egyre gyakrabban várnak el.
Adatvédelmi tisztviselő - Data Protection Officer
A Data Protection Officer (DPO) kijelölése kötelező, ha az adatkezelő közfeladatot ellátó szerv vagy más közhatalmi szerv, ha az adatkezelő vagy adatfeldolgozó alaptevékenysége az érintettek rendszeres és szisztematikus, nagymértékű megfigyelését foglalja magában, vagy ha az alaptevékenység különleges adatkategóriák nagy léptékű kezelését foglalja magában.
Sok szervezet önkéntesen is kijelöl adatvédelmi tisztviselőt bevált gyakorlatként.
Adattovábbítás harmadik országokba
A GDPR ötödik fejezete határozza meg a személyes adatok harmadik országokba vagy nemzetközi szervezetek részére történő továbbításának feltételeit.
Megfelelőségi határozat - adequacy decision
A GDPR 45. cikke alapján személyes adatok harmadik országba vagy nemzetközi szervezet részére akkor továbbíthatók, ha az Európai Bizottság megfelelőségi határozatban megállapította, hogy a harmadik ország, annak valamely területe vagy ágazata, illetve a szóban forgó nemzetközi szervezet az uniós adatvédelmi szintnek megfelelő védelmi szintet biztosít.
A Bizottság rendszeresen figyelemmel kíséri a védelmi szint megfelelőségét azokban az országokban, amelyek vonatkozásában korábban megfelelőségi határozatot hozott. Ha a megfelelő védelmi szint már nem biztosított, a Bizottság a határozatot hatályon kívül helyezheti, módosíthatja vagy felfüggesztheti.
Megfelelőségi határozattal rendelkezik többek között Andorra, Argentína, Kanada kereskedelmi szervezetei, a Feröer-szigetek, Guernsey, Izrael, a Man-sziget, Japán, Jersey, Új-Zéland, a Koreai Köztársaság, Svájc, az Egyesült Királyság, Uruguay, valamint az Amerikai Egyesült Államok az EU-USA Adatvédelmi Keretrendszer hatálya alá tartozó körben.
EU-USA Adatvédelmi Keretrendszer
Az Európai Bizottság 2023. július 10-én megfelelőségi határozatot fogadott el az új EU-USA adatvédelmi keretre vonatkozóan. A határozat szerint az Európai Unióból biztonságosan továbbíthatók személyes adatok az új keretben részt vevő amerikai vállalatokhoz.
A csatlakozás alapfeltétele, hogy az amerikai vállalatok adatkezelőként kötelezettséget vállaljanak a GDPR-nak megfelelő adatvédelmi intézkedések bevezetésére.
Az Egyesült Államok hatóságai az EU-USA Adatvédelmi Keretrendszer alapján, megfelelő biztosítékok mellett férhetnek hozzá uniós polgárok személyes adataihoz bűnüldözési és nemzetbiztonsági célból, és mindenképpen figyelembe kell venniük a szükségesség és arányosság követelményét.
Megfelelő garanciák - appropriate safeguards
A GDPR 45. cikke szerinti megfelelőségi határozat hiányában az adatkezelő vagy az adatfeldolgozó csak akkor továbbíthat személyes adatokat harmadik országba vagy nemzetközi szervezet részére, ha megfelelő garanciákat nyújtott, valamint ha az érintettek számára érvényesíthető adatvédelmi jogok és hatékony jogorvoslati lehetőségek állnak rendelkezésre.
Megfelelő garanciának minősülhetnek például a közhatalmi vagy közfeladatot ellátó szervek közötti, jogilag kötelező erejű és kikényszeríthető eszközök, a kötelező erejű vállalati szabályok, valamint valamely felügyeleti hatóság által elfogadott és az Európai Bizottság által jóváhagyott általános adatvédelmi kikötések.
Kötelező erejű vállalati szabályok - Binding Corporate Rules
A Binding Corporate Rules (BCR) olyan belső adatvédelmi szabályzat, amely a vállalkozáscsoporton belüli, harmadik országokba irányuló személyesadat-továbbításokra alkalmazandó.
A vállalatcsoportnak bizonyítania kell, hogy a BCR az egész csoporton belül megfelelő védelmet biztosít a személyes adatok számára, továbbá kötelező erejű és kikényszeríthető a csoport minden tagjára és a munkavállalókra nézve, függetlenül attól, hogy az adott adatkezelő vagy adatfeldolgozó az Európai Unióban vagy harmadik országban található.
A BCR jóváhagyása iránti kérelmet benyújtó vállalatcsoportnak ki kell jelölnie egy vezető felügyeleti hatóságot, amely koordinálja a BCR szövegének uniós szintű elfogadását. Az Európai Adatvédelmi Testület véleményt bocsát ki a vezető hatósághoz benyújtott tervezetről.
Különleges helyzetekben alkalmazható eltérések
A Bizottság által kibocsátott megfelelőségi határozat és a GDPR 46. cikke szerinti megfelelő garanciák hiányában is sor kerülhet személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítására, ha fennáll a GDPR 49. cikkében meghatározott valamely különleges helyzet.
- az érintett kifejezett hozzájárulása, ha előzetesen tájékoztatták az adattovábbításból eredő lehetséges kockázatokról;
- az adattovábbítás szükségessége az érintett és az adatkezelő közötti szerződés teljesítéséhez;
- az adattovábbítás szükségessége az érintett kérésére hozott, szerződést megelőző intézkedések végrehajtásához;
- az adattovábbítás szükségessége az adatkezelő és más természetes vagy jogi személy közötti, az érintett érdekét szolgáló szerződés megkötéséhez vagy teljesítéséhez;
- az adattovábbítás szükségessége fontos közérdekből;
- az adattovábbítás szükségessége jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez;
- az adattovábbítás szükségessége az érintett vagy más személy létfontosságú érdekeinek védelméhez, ha az érintett fizikailag vagy jogilag képtelen hozzájárulást adni;
- az adatok olyan, a nyilvánosság tájékoztatását szolgáló nyilvántartásból származnak, amely a nyilvánosság vagy jogos érdeket igazoló személy számára betekintés céljából hozzáférhető.
Adatvédelmi incidens és a 72 órás határidő
A szervezetnek a személyes adatok megsértését a felügyeleti hatóságnak a tudomásszerzéstől számított 72 órán belül be kell jelentenie, ha az incidens kockázatot jelent a természetes személyek jogaira és szabadságaira nézve.
Ha az incidens magas kockázattal jár, az érintetteket indokolatlan késedelem nélkül tájékoztatni kell. Minden adatvédelmi incidenst dokumentálni kell, függetlenül attól, hogy sor került-e hatósági bejelentésre.
GDPR-bírságok és szankciók
| Szint | Legmagasabb bírság | Jellemző alkalmazási kör |
|---|---|---|
| Alacsonyabb szint | 10 millió EUR vagy a globális árbevétel 2%-a | Technikai és szervezési kötelezettségek |
| Magasabb szint | 20 millió EUR vagy a globális éves árbevétel 4%-a | Adatkezelési alapelvek, érintetti jogok, adattovábbítások |
A felső bírságolási szint 20 millió EUR vagy a globális éves árbevétel 4%-a lehet, attól függően, hogy melyik összeg magasabb.
Az összesített GDPR-bírságok összege 2018 óta meghaladja a 4,8 milliárd EUR-t. A Meta 2023-ban 1,2 milliárd EUR bírságot kapott jogellenes adattovábbítások miatt, az Amazon pedig 2021-ben 746 millió EUR bírságot kapott.
Van-e hivatalos GDPR-tanúsítás?
A GDPR önmagában nem hoz létre olyan egységes, kötelező tanúsítási rendszert, mint amilyen egyes ISO-szabványok esetében létezik. A 42. cikk azonban rendelkezik jóváhagyott tanúsítási mechanizmusokról.
A független GDPR-megfelelési értékelés formális igazolást nyújthat az elszámoltathatóságról, és kiegészítheti a szervezet saját megfelelési nyilatkozatát.
A GDPR-ral kapcsolatos angol jogi nyelv sajátosságai
A személyes névmások használata
A magyar nyelvben a személyes névmás egyes szám harmadik személyben történő használatára egyetlen általános lehetőség áll rendelkezésre, az angol nyelvben azonban a személy vagy a dolog jellegétől függően több alak használható.
Amikor a magyar szöveg az adatkezeléssel érintett személyre, vagyis a data subject-re személyes névmással utal, az angol nyelvű jogi szövegben a he or she forma is használható, mivel a GDPR szerinti érintett mindig természetes személy.
Az adatkezelőre, vagyis a data controller-re az angol szövegben az it névmással lehet utalni, mivel az adatkezelő nem feltétlenül természetes személy.
A „data” szó nyelvtani használata
A magyar „adat” szó többes számú alakja az „adatok”. Az angol data szó hagyományosan már önmagában többes számú főnévként használható, ezért a GDPR angol nyelvű szövegeiben a többes számú egyeztetés gyakori.
A „shall” segédige
Az adatkezelőkre vonatkozó kötelezettségeket az angol jogi szövegekben gyakran a shall segédigével fejezik ki. A shall ebben a környezetben kötelező jogi előírást jelez.
A jogi terminológia forrásai
A GDPR szakkifejezéseinek pontos angol megfelelőihez elsődleges forrásként az Európai Unió hivatalos, többnyelvű jogszabályi adatbázisa használható. A magyar és angol szöveg párhuzamos megjelenítése lehetővé teszi, hogy a kifejezések a jogszabály hivatalos terminológiájával összhangban legyenek.
A megfelelő terminológia kiválasztásához használható továbbá az Európai Unió terminológiai adatbázisa, az IATE (Interactive Terminology for Europe), valamint az Európai Unió intézményeinek fordításait tartalmazó adatbázisok.
A témához kapcsolódó angol jogi terminológia esetében különösen fontos, hogy a fordító ne pusztán szótári megfelelőt válasszon, hanem ellenőrizze az adott kifejezés hivatalos uniós jogi használatát is.
