Az általános adatvédelmi rendeletet (GDPR) (az Európai Unió 2016/679 rendelete) 2016. április 27-én fogadták el. A rendelet 2018. május 25-én lépett hatályba.

A rendeletet az Európai Parlament, az Európai Unió Tanácsa és az Európai Bizottság hagyja jóvá. Az Európai Unió (EU) egész területén védi az emberek személyes adatait. A rendelet az EU-ból történő adatexportot is érinti.

A GDPR célja, hogy az állampolgároknak ellenőrzést biztosítson személyes adataik felett. Egyszerűsíti a más országokkal való gazdasági kapcsolatokra vonatkozó szabályozást azáltal, hogy egységesíti az uniós eljárásokat. A GDPR az 1995-ös adatvédelmi irányelv helyébe lép. A rendelet kötelező erejű: a tagállami jogszabályok nem módosíthatják annak alapelveit, bár bizonyos részletszabályokat nemzeti szinten kiegészíthetnek.

Azok a személyek és vállalatok, akik nem tartják be a GDPR-t, akár 20 000 000 eurós bírságra is számíthatnak, vagy a vállalat előző évi globális árbevételének 4%-ára, attól függően, hogy melyik szám a magasabb. Vannak enyhébb fokozatok is (pl. 10 000 000 euró vagy 2% a kisebb súlyú jogsértések esetén), és a hatóság további intézkedéseket is alkalmazhat (figyelmeztetés, helyesbítés, működés ideiglenes korlátozása stb.).

Kire és milyen feltételek között vonatkozik a GDPR?

A GDPR alkalmazása nemcsak az EU-s cégekre korlátozódik. Alapvetően akkor alkalmazandó, ha

  • a személyes adatok feldolgozását egy EU-ban működő adatkezelő/adatafeldolgozó végzi, vagy
  • egy EU-ban tartózkodó természetes személy adatait kezelik, még akkor is, ha a kezelő az EU-n kívül van, vagy
  • ha egy vállalat termékeket vagy szolgáltatásokat kínál EU-s lakosoknak, illetve EU-s lakosok magatartását nyomon követi.

Az érintettek (adatalanyok) fő jogai

A GDPR számos jogot biztosít az érintetteknek. A legfontosabbak:

  • Tájékoztatáshoz való jog – az érintetteket világosan tájékoztatni kell arról, ki kezeli az adatokat, milyen célból és milyen jogalapon.
  • Hozzáférés joga – kérheted, hogy megkaphasd, milyen adatokat tartanak rólad és hogyan használják azokat.
  • Helyesbítés joga – hibás vagy hiányos adatok javítását kérheted.
  • Törléshez („elfeledtetéshez”) való jog – bizonyos körülmények között kérheted a személyes adatok törlését.
  • Feldolgozás korlátozásának joga – kérheted a feldolgozás felfüggesztését adott esetekben.
  • Adathordozhatósághoz való jog – kérheted az adataid strukturált, géppel olvasható formátumban történő kiadását, illetve továbbítását más adatkezelőnek.
  • Tiltakozás joga – tiltakozhatsz az adatkezelés ellen, különösen közvetlen üzleti célú profilalkotás esetén.
  • Automatizált döntéshozatal és profilalkotás elleni védelem – jogod van arra, hogy ne hozzanak rólad kizárólag automatizált döntést olyan esetben, amely jogi következményekkel jár vagy jelentősen érint téged.

Általában az adatkezelőnek egy hónapon belül kell válaszolnia az érintetti kérelmekre; szükség esetén további két hónappal meghosszabbítható a határidő, különösen összetett ügyeknél.

Jogalapok a személyes adatok kezelésére

A GDPR előírja, hogy minden adatkezelésnek legyen jogalapja. A leggyakoribb jogalapok:

  • hozzájárulás (az érintett kifejezett és egyértelmű beleegyezése adott célra),
  • szerződés teljesítése (ha az adatkezelés a szerződés teljesítéséhez szükséges),
  • jogi kötelezettség (törvényi előírások teljesítése),
  • életet mentő érdek (szükséghelyzet),
  • közérdekű feladat vagy hivatalos hatósági feladat ellátása,
  • megalapozott érdek (az adatkezelő vagy harmadik fél jogos érdeke, amely felülírja az érintett érdekeit, jogaait és szabadságát).

Adatkezelők és adatfeldolgozók kötelezettségei

  • Adatvédelmi elvek betartása: törvényesség, tisztességesség, átláthatóság, célhoz kötöttség, adattakarékosság, pontosság, tárolás korlátozása, integritás és biztonság.
  • Nyilvántartás: a nagyobb szervezeteknek részletes nyilvántartást kell vezetniük a feldolgozási műveletekről.
  • Adatvédelmi hatásvizsgálat (DPIA): kötelező, ha a feldolgozás nagy kockázatot jelent az érintettek jogaira és szabadságára nézve.
  • Adatvédelem tervezéskor és alapértelmezésben: „privacy by design” és „privacy by default” elvek alkalmazása.
  • Adatvédelmi tisztviselő (DPO): bizonyos szervezeteknél kötelező kinevezni (pl. közfeladatot ellátó szervek, nagy volumenű vagy különleges kategóriájú adatok rendszeres és nagyszabású feldolgozása esetén).
  • Adatszivárgás jelentése: adatvédelmi incidens esetén a hatóságot 72 órán belül értesíteni kell, és ha az incidens magas kockázatot jelent az érintettek számára, az érintetteket is tájékoztatni kell.

Nemzetközi adattovábbítás

Az EU-ból harmadik országba történő adattovábbítás korlátozott: csak akkor megengedett, ha biztosított az adatok megfelelő védelme. Ennek fő eszközei:

  • az Európai Bizottság által jóváhagyott megfelelőségi döntés (adequacy decision),
  • standard szerződéses záradékok (SCC-k),
  • kötő vállalati szabályok (BCR) nagyvállalati csoportok számára,
  • adott esetben szigorú kivételek és jogi alapok (pl. az érintett kifejezett hozzájárulása).

Bírságok és egyéb szankciók

A hatóságok többféle szankciót alkalmazhatnak: figyelmeztetés, helyesbítés, bírság, működés felfüggesztése vagy korlátozása, illetve a jogsértő műveletek leállítása. A pénzbírság két fokozatban szabható ki:

  • Magasabb tétel: akár 20 000 000 euró vagy a vállalkozás globális éves forgalmának 4%-a (attól függően, hogy melyik a magasabb) olyan súlyos jogsértésekért, mint az alapelvek megsértése, az érintetti jogok megsértése, illetéktelen adattovábbítás stb.
  • Alacsonyabb tétel: akár 10 000 000 euró vagy a vállalkozás globális éves forgalmának 2%-a kisebb súlyú jogsértésekért (pl. nyilvántartási kötelezettség elmulasztása, DPO kinevezésének hiánya stb.).

Gyakorlati tanácsok magánszemélyeknek és vállalkozásoknak

  • Magánszemélyek: ismerd jogaidat, kérj tájékoztatást, és ha szükséges, élj panaszeljárással a helyi adatvédelmi hatóságnál (Magyarországon a Nemzeti Adatvédelmi és Információszabadság Hatóság – NAIH). Tárold biztonságosan jelszavaidat, figyelj, mit osztasz meg online, és rendszeresen ellenőrizd fiókjaidat.
  • Vállalkozások: dokumentáljátok az adatkezelési folyamatokat, határozzátok meg a jogalapokat, készítsetek adatvédelmi tájékoztatókat, biztosítsatok technikai és szervezeti intézkedéseket az adatok védelmére, és gondoskodjatok a munkatársak képzéséről. Készítsetek incidenskezelési tervet és mérlegeljétek DPO kinevezését.

Hova lehet fordulni panasszal?

Ha úgy érzed, hogy megsértették adatvédelmi jogaidat, panaszt nyújthatsz be a helyi adatvédelmi hatóságnál. Magyarországon a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) az érintett szakhatóság, de az érintett emellett bírósághoz is fordulhat kártérítésért vagy jogorvoslatért.

A GDPR célja, hogy átláthatóbbá és biztonságosabbá tegye a személyes adatok kezelését, egyensúlyt teremtve az egyének jogai és a gazdasági tevékenység között. Mind magánszemélyeknek, mind szervezeteknek érdemes komolyan venni a rendelet előírásait.