Fel kell tüntetni a könyvelőt az adatvédelmi szabályzatban?
Kérdés érkezett a NAIH-hoz azzal kapcsolatban, hogy a GDPR alapján mikor elégséges az adatkezelőknek a GDPR 13.-15. cikkeiben előírt kötelezettségek teljesítése során csupán a címzettek kategóriát (és nem a konkrét címzetteket) közölni az érintettekkel. Összefoglaltuk a lényeget: "Általánosságban elmondható, hogy amennyiben egy adott tevékenyéget végző címzettből csupán néhány van, akiknek a személye konkrétan meghatározható, abban az esetben szükséges a címzettek megnevezése és nem elegendő a címzettek kategóriáiról való tájékoztatás. Ha tehát – az kérdést feltevő által említett példánál maradva – az adatkezelő részére a könyvelést egy cég végzi, és részére továbbítanak személyes adatokat, úgy szükséges a könyvelő cég megnevezése." "Akkor lehet elegendő a
Három éves a GDPR – összefoglaló
Már több mint három év telt el a GDPR magyarországi hatályba lépése óta, ezért is fontos figyelemmel kísérnünk, hogy előírásainak gyakorlatban való alkalmazása hol is tart. Általánosságban elmondható, hogy a hatályba lépés idején a legtöbb adatkezelő leginkább az adminisztrációs felületein igyekezett megfelelni a GDPR rendelkezéseinek. Az adatkezelők jelentős része szabályzatokat, tájékoztatókat fogalmazott meg, illetve jogi szakemberek segítségét kérték, hogy megfeleljenek az előírásoknak. E feladat azóta is nagy jelentősséggel bír, hisz az adatvédelmi hatóság rengeteg hiányosságot talál, eljárásai során, a nem kellő körültekintéssel írott szabályzatok esetében. A NAIH Magyarországon 2018. közepe óta 266 millió forintnyi bírságot szabott ki, melyet már a bíróság is
A hozzáférési jog teljesítése
Számos kérdés érkezett hozzánk az elmúlt hetek azzal kapcsolatban, hogy a hozzáférési jog keretében az adatkezelőnek milyen, és milyen mértékű információt kell szolgáltatnia az érintettnek - az erre irányuló kérés esetén. A GDPR 15. cikke alapján az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a rendeletben felsorolt információkhoz hozzáférést kapjon. A hozzáférési jog három részből áll: Az érintett jogosult tájékoztatást kapni arról, hogy a személyes adatait az adatkezelő kezeli-e, pontosan milyen adatait kezeli és informálni kell őt az adatkezelés
Hibás tájékoztatás miatt figyelmeztetett a NAIH
A Nemzeti Adatvédelmi és Információszabadság Hatóság egy közérdekű bejelentés alapján hivatalból indított adatvédelmi hatósági eljárást egy sms küldő honlappal szemben. A honlap célja, hogy egy kötelező regisztrációt követően meghatározott számú sms-t lehet a honlapon keresztül küldeni, illetve krediket gyűjteni. Az sms küldő honlap adatkezelése ügyében a Hatóság korábban már két alkalommal is vizsgálatot folytatott. A honlap üzemeltetője a korábbi eljárás eredményeképpen módosította az adatkezelési tájékoztatót, de a gyakorlatán érdemben nem változtatott, ezt támasztja alá, hogy újabb panasz érkezett. Jelen esetben a Hatóság megállapította, hogy a honlappal kapcsolatos adatkezelés továbbra is sérti az általános adatvédelmi rendelet 12. cikk (1) és (2) bekezdését,
A spanyol hatóság 75 000 EUR-os GDPR bírságot szabott ki
A spanyol adatvédelmi hatóság (AEPD) 75 000 eurós bírságot szabott ki a VODAFONE ESPAÑA-ra a jogsértő adatkezelés miatt. Az ügyben az érintett élt a törlési (elfeledtetéshez való) jogával még 2015-ben, ennek ellenére az adatkezelő folyamatosan küldött neki reklám SMS-eket. Az adatkezelő kijelentette, hogy az érintett telefonszámát - mivel az könnyen megjegyezhető volt - alkalmazottai „dummy számként” használták. Az AEPD úgy vélte, hogy a VODAFONE ESPAÑA megsértette a GDPR 5 és 6. cikkét, ugyanis jogalap nélkül kezelte tovább a személyes adatokat. Feleljen meg a GDPR-nek! Kérje árajánlatunkat a DPO tisztség betöltésére, céges GDPR adatvédelmi auditra, az adatkezelési tájékoztató, a GDPR adatvédelmi szabályzat elkészítésére a
200.000 Ft-os GDPR bírság!
A Nemzeti Adatvédelmi és Információszabadság Hatóság határozatával 200 000 Ft összegű bírság megfizetésére kötelezett egy szervezetet, mely jogszerűtlenül tagadta meg, hogy volt munkavállalója hozzáférjen archivált magáncélú leveleihez. A Kérelmező adatvédelmi hatósági eljárás megindítását kezdeményezte, mivel volt munkáltatójától hiába kérte, jogviszonya megszűnését követően, hogy hozzáférhessen munkahelyi email fiókjának archívumához. Ezt a szervezet megtagadta adatvédelmi okokra hivatkozva. A volt munkavállaló közalkalmazotti jogviszonya jogellenes megszüntetésének jogkövetkezményei iránt indult munkaügyi perében szerette volna felhasználni bizonyítékként a levelezések tartalmát. A Hatóság a tényállás tisztázása során megállapította, hogy a szervezet nem szabályozta a „céges” email fiók használatát. Így annak magáncélú használata nem volt tiltott a munkavállaló számára. Ebben az
Mikor kell tájékoztatást adni az adatvédelmi incidensről?
GDPR pontosan meghatározza, hogy egy adatkezelőnek mely esetekben kell tájékoztatni az érintetteket az adatvédelmi incidensről. Az általános adatvédelmi rendelet 34. cikke alapján ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelőnek indokolatlan késedelem nélkül tájékoztatnia kell az érintettet az adatvédelmi incidensről. Az érintett részére adott tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét, és közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségeit; ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket; ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket. Az érintettet azonban
10 000 eurós GDPR bírság!
A németországi adatvédelemért és az információszabadságért felelős szövetségi biztos (BfDI) 10 000 euró bírságot szabott ki a Rapidata GmbH-ra. Több eljárásra volt szükség a Rapidata GmbH távközlési szolgáltatóval szemben, mivel a társaság az ismételt kérések ellenére sem teljesítette a GDPR 37. cikk szerinti követelményét, azaz, hogy a társaság adatvédelmi tisztviselőt nevezzen ki. A 10 000 euró bírság összegét figyelembe vették, hogy a vállalkozás KKV-nak minősül. A GDPR 37. cikke alapján az adatkezelő és az adatfeldolgozó adatvédelmi tisztviselőt jelöl ki minden olyan esetben, amikor: a) az adatkezelést közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek végzik, kivéve az igazságszolgáltatási feladatkörükben eljáró bíróságokat; b) az adatkezelő vagy
500.000 Ft-os GDPR bírság
A Nemzeti Adatvédelmi és Információszabadság Hatóság határozatában 500 000 Ft összegű adatvédelmi bírság megfizetésére kötelezett egy egészségügyi intézményt. A bírság kiszabására azért került sor, mert az Intézmény megsértette az általános adatvédelmi rendelet több pontját is. Az Intézmény korábbi orvos-igazgatója kérelmet nyújtott be a Hatósághoz azzal, tudomására jutott, hogy a jelenlegi igazgató, a kórházi elektronikus levelezése (tudomása szerint törölt, valójában) inaktivált fiókjai visszaállítását rendelte el. A jelenlegi igazgató ezt azzal indokolta, hogy kerestek egy jogi dokumentumot. A Kérelmező kifogásolta, hogy ennek során a fiókokban bármelyik dokumentumához hozzáférhettek, bármely személyes adatát megismerhették, hiszen magánlevelezésekre is használta azokat. A Hatóság a tényállás tisztázása után megállapította, a
30 000 eurós GDPR bírság!
A spanyol adatvédelmi hatóság 30 000 eurós bírságot szabott ki a Vueling társaságra a weboldalán alkalmazott sütik miatt. A Vueling egy cookie popup-ban tájékoztatta az érintetteket a cookie-k alkalmazásáról, egy linket helyezett el a "Cookie Szabályzathoz", valamint volt egy olyan opció, hogy "Elfogadom, és tovább folytatom a böngészést". A sütik kezelésével kapcsolatban a vállalat azt jelezte, hogy: "a Felhasználó beállíthatja a böngészőt úgy, hogy alapértelmezés szerint elfogadja vagy elutasítsa az összes sütit, vagy hogy képernyőn megjelenő értesítést kapjon az egyes sütik fogadásáról, és ekkor dönthet annak végrehajtásáról vagy használhatja a "nem kövesse nyomon" követő cookie-blokkoló eszközöket is." A spanyol hatóság szerint azonban elvárt, hogy