Fel kell tüntetni a könyvelőt az adatvédelmi szabályzatban?
Kérdés érkezett a NAIH-hoz azzal kapcsolatban, hogy a GDPR alapján mikor elégséges az adatkezelőknek a GDPR 13.-15. cikkeiben előírt kötelezettségek teljesítése során csupán a címzettek kategóriát (és nem a konkrét címzetteket) közölni az érintettekkel. Összefoglaltuk a lényeget: "Általánosságban elmondható, hogy amennyiben egy adott tevékenyéget végző címzettből csupán néhány van, akiknek a személye konkrétan meghatározható, abban az esetben szükséges a címzettek megnevezése és nem elegendő a címzettek kategóriáiról való tájékoztatás. Ha tehát – az kérdést feltevő által említett példánál maradva – az adatkezelő részére a könyvelést egy cég végzi, és részére továbbítanak személyes adatokat, úgy szükséges a könyvelő cég megnevezése." "Akkor lehet elegendő a
10 milliós GDPR bírság!
A Nemzeti Adatvédelmi és Információszabadság Hatóság Budapest Főváros Kormányhivatalának XI. kerületi Hivatalát 10 millió forintos adatvédelmi bírság megfizetésére kötelezte. A Hivatal a Covid 19 gyorsteszthez kapcsolódóan, 1153 érintett személy, rendkívül részletes és pontos egészségügyi adatát és elérhetőségét is tartalmazó adatbázist, egy Excel-fájlban, körzetenkénti leválogatás nélkül, egyszerű e-mailben továbbította a címzett körzeti orvosoknak. A Hivatal semmilyen bizalmasságot garantáló hozzáférésvédelmet vagy titkosítást nem alkalmazott az adattovábbítás során, egyszerűen csak felhívta a címzetteket, hogy kezeljék bizalmasan az adatokat. Az intézkedések hiánya egyébként később azt is lehetővé tette, hogy a nagyszámú egészségügyi adatot olyanok is megismerjék, akik egyáltalán nem tartoznak a címzetti körbe. Egy magánszemély közérdekű
A hozzáférési jog helyes gyakorlása
A NAIH határozatának nyomán láthatjuk mennyire fontos a GDPR rendelkezéseinek gyakorlatba való átültetése, megfelelő alkalmazása. A konkrét esetben, mely a határozat alapjául szolgált, nem megfelelően biztosították a Kérelmező hozzáférési jog gyakorlására irányuló kérelmét. Bár a Kérelmezett a GDPR 12. cikk (3) bekezdésében előírt intézkedési kötelezettségének határidőben eleget tett, de válaszlevelének tartalmát tekintve nem adott a Kérelmezőnek pontos, személyre szabott tájékoztatást személyes adatai kezeléséről. Eszerint csak a honlapján közzétett tájékoztatókra és üzletszabályzatokra utalással válaszolt, amely ebben az esetben nem elegendő, hiszen a hivatkozott dokumentumok is csak általános jellegű tájékoztatásokat tartalmaztak. Tehát az adatkezelők tájékoztatási kötelezettsége nem egy adminisztrációs kötelezettség, amely így nem lehet
Állásfoglalás a webkamerákkal kapcsolatban
A Nemzeti Adatvédelmi és Információszabadság Hatósághoz érkezett megkeresés a közterületet figyelő webkamerákkal kapcsolatban. A Hatóság állásfoglalása szerint a közterületet figyelő webkamerák élőképeinek nyilvánosságra hozatala abban az esetben nem tekinthető adatkezelésnek, ha azon keresztül meghatározott természetes személy – közvetlenül vagy közvetve – nem azonosítható. Amennyiben az adatkezelő az azonosított vagy azonosítható természetes személyekről készült felvételek képét is nyilvánosságra hozza, akkor a tevékenységére az általános adatvédelmi rendelet rendelkezéseit is alkalmazni kell. A közterületet megfigyelő webkamerákkal kapcsolatban általános követelmény, hogy az adatkezelőknek megfelelő intézkedéseket kell hozniuk annak érdekében, hogy a webkamera élőképein ne szerepeljenek személyes adatok. A legfontosabbak az alábbiak: A természetes személy ne legyen
Érvénytelenítették a Privacy Shield Egyezményt
Az Európai Unió Bírósága érvénytelenítette az EU–USA adatvédelmi pajzs által biztosított védelem megfelelőségéről szóló 2016/1250 határozatot. A Facebook közösségi portált érintő ítéletében a luxembourgi székhelyű uniós bíróság kimondta, hogy a nemzeti törvényhozóknak szigorúbb intézkedéseket kell tenniük a felhasználói adatok továbbítása terén a magánélet védelme érdekében. A bírák aggodalmukat fejezték ki amiatt, hogy az úgynevezett adatvédelmi pajzs rendelkezései alapján továbbított adatok "nem korlátozódnak a feltétlenül szükséges információkra" az uniós állampolgárok adatainak amerikai feldolgozásakor. Mint emlékeztettek, az általános adatvédelmi rendelet GDPR szerint az érzékeny adatok csak akkor továbbíthatók valamely unión kívüli országba, ha az adott ország ezen adatok számára megfelelő védelmi szintet biztosít. Az adatok
Új tájékoztatást kell adniuk az iskoláknak a távoktatás miatt
A NAIH egy távoktatással kapcsolatos kérdés alapján állásfoglalást adott ki az iskolák ezzel kapcsolatos adatkezeléséről. Összefoglaljuk a lényeget. Az alábbi kérdésben kérte egy érdeklődő a hatóság állásfoglalását: Mennyiben felel meg az adatvédelmi jogszabályok előírásainak, ha a koronavírusra tekintettel bevezetett digitális oktatás során a gyakorlati órákon (így például a testnevelés óra) kiadott feladatok teljesítésének ellenőrzése céljából a tanár a feladat teljesítését igazoló videófelvétel elkészítését és a részére – e-mail, vagy Messenger útján – történő elküldését kéri a 14-16 év közötti diákoktól anélkül, hogy ehhez a Ptk. 2:48. §-a alapján előzetesen kérné a diákok, vagy a szülői felügyeletet gyakorló személy hozzájárulását, illetve bármilyen tájékoztatást
NAIH: A koronavírussal kapcsolatos adatkezelésekről
Bizonyos esetekben elfogadható, ha a munkáltató kérdőívet töltet ki azokkal a munkavállalókkal, akik bejelentést tesznek a koronavírus-fertőzés gyanújáról - közölte a NAIH elnöke. Péterfalvi Attila a NAIH honlapján közzétett, koronavírus-járvánnyal kapcsolatos adatkezelésekről szóló tájékoztatójában azt írta, hogy a kérdőívek kitöltése akkor elfogadható, ha a munkáltató előzetes kockázatértékelés alapján úgy véli, a módszer alkalmazása szükséges és arányos mértékben korlátozza a munkavállalók magánszférájához fűződő jogát. A munkáltatók - a kizárólag az infotv. hatálya alá tartozó, például a bűnüldözési, honvédelmi, nemzetbiztonsági célú adatkezelést folytató szerveket kivéve - az GDPR előírásait kötelesek alkalmazni - tudatta. Ismertette, hogy a munkáltató rögzítheti a bejelentés időpontját, az érintett személyazonosságának a
30 000 eurós GDPR bírság!
A spanyol adatvédelmi hatóság 30 000 eurós bírságot szabott ki a Vueling társaságra a weboldalán alkalmazott sütik miatt. A Vueling egy cookie popup-ban tájékoztatta az érintetteket a cookie-k alkalmazásáról, egy linket helyezett el a "Cookie Szabályzathoz", valamint volt egy olyan opció, hogy "Elfogadom, és tovább folytatom a böngészést". A sütik kezelésével kapcsolatban a vállalat azt jelezte, hogy: "a Felhasználó beállíthatja a böngészőt úgy, hogy alapértelmezés szerint elfogadja vagy elutasítsa az összes sütit, vagy hogy képernyőn megjelenő értesítést kapjon az egyes sütik fogadásáról, és ekkor dönthet annak végrehajtásáról vagy használhatja a "nem kövesse nyomon" követő cookie-blokkoló eszközöket is." A spanyol hatóság szerint azonban elvárt, hogy
Közös adatkezelés a „Like” miatt
A Facebook „Tetszik” gombjával ellátott honlap üzemeltetője a honlap látogatójára vonatkozó személyes adatok gyűjtése és a Facebook részére történő továbbítása tekintetében a Facebookkal közös adatkezelőnek minősülhet - mondta ki az Európai Bíróság. A német Fashion ID online divatruha-értékesítő vállalkozás elhelyezte honlapján a Facebook „Tetszik” gombot. Ez azzal a következménnyel jár, hogy ha egy látogató megtekinti a Fashion ID honlapját, akkor a személyes adatait továbbítják a Facebook Ireland részére. Ez a továbbítás az említett látogató tudomása nélkül megy végbe, függetlenül attól, hogy tagja-e a Facebook közösségi hálózatnak, vagy hogy rákattintott-e a „Tetszik” gombra. Egy német közhasznú fogyasztói érdekvédelmi egyesület azt kifogásolta, hogy a
1.500.000 Ft-os adatvédelmi bírság!
1.5 millió Ft-os GDPR bírságot szabott ki az adatvédelmi hatóság a munkavállalók egész napos megfigyelése, több GDPR alapelv megsértése, és a megfelelő tájékoztatás hiánya miatt. Az alábbiakban összefoglaljuk a határozat lényegét: A szóban forgó ügyben Kérelmező kérelemmel fordult a NAIH-hoz, mely szerint korábbi munkahelyén, a Kötelezettó, az általa üzemeltetett elektronikus megfigyelőrendszer egyik kamerájával megfigyelte munkavégzését […] napján. A kérelem szerint ezen kamera által rögzített felvételek alapján a Kérelmező […] képeket keresett a hivatali diszpécseri számítógépen, azokat kinyomtatta, […] feliratokkal látta el, majd a férfi öltözőben függesztette ki. A munkáltatói jogkör gyakorlója a Kérelmezőt hivatalának ellátására méltatlannak ítélte a felvételek alapján, ezért