10 milliós GDPR bírság!
A Nemzeti Adatvédelmi és Információszabadság Hatóság Budapest Főváros Kormányhivatalának XI. kerületi Hivatalát 10 millió forintos adatvédelmi bírság megfizetésére kötelezte. A Hivatal a Covid 19 gyorsteszthez kapcsolódóan, 1153 érintett személy, rendkívül részletes és pontos egészségügyi adatát és elérhetőségét is tartalmazó adatbázist, egy Excel-fájlban, körzetenkénti leválogatás nélkül, egyszerű e-mailben továbbította a címzett körzeti orvosoknak. A Hivatal semmilyen bizalmasságot garantáló hozzáférésvédelmet vagy titkosítást nem alkalmazott az adattovábbítás során, egyszerűen csak felhívta a címzetteket, hogy kezeljék bizalmasan az adatokat. Az intézkedések hiánya egyébként később azt is lehetővé tette, hogy a nagyszámú egészségügyi adatot olyanok is megismerjék, akik egyáltalán nem tartoznak a címzetti körbe. Egy magánszemély közérdekű
60 milliós GDPR bírság!
60 000 000 Ft-os adatvédelmi bírsággal sújtotta a Nemzeti Adatvédelmi és Információszabadság Hatóság a UPC Magyarország Kft-t (jogutódja a Vodafone Zrt.). A Hatóság a Kft. elmúlt évben tanúsított adatkezelési gyakorlatát vizsgálta. A UPC mind a 24 üzletében a személyes ügyfélszolgálaton történt valamennyi ügycsoport tekintetében, valamennyi ügyfele esetében hangrögzítést alkalmazott. Csak azoknál az ügyfeleknél mellőzte azt, akik a rögzítés ellen tiltakoztak. Ez egy év alatt 609 619 személyt érintett. A UPC azzal érvelt, hogy szükségesnek látta rögzíteni leendő ügyfeleinek érdeklődését, panaszbejelentéseit, hogy a későbbiekben a szerződéskötéshez vagy a hibajavításhoz ezek az adatok rendelkezésre álljanak. Néhány pontban összefoglaljuk milyen kifogásai voltak a Hatóságnak a UPC
A pontosság elve a gyakorlatban
A NAIH végzésében figyelmeztetésben részesített egy adatkezelőt, aki megsértette az érintett GDPR 16. cikke szerinti helyesbítési jogát, valamint az 5. cikk szerinti pontosság elvét. Az érintett azért fordult a Hatósághoz, mert egy internetes előfizetői felületről - annak ellenére, hogy módosította email címét - továbbra is érkeztek hírlevelek a korábbi email címére. A weboldal azzal védekezett, hogy mivel az érintett nem erősítette meg az új email címét, ezért az a rendszerükben nem módosult, ezért nem sikerült annak megváltoztatása. Viszont, amint az érintett panasszal élt e tekintetben, az adatkezelő munkatársa manuálisan módosította az email címet. Azonban adminisztratív hiba folytán, elmulasztotta az ún. kampány menedzsment
A hozzáférési jog helyes gyakorlása
A NAIH határozatának nyomán láthatjuk mennyire fontos a GDPR rendelkezéseinek gyakorlatba való átültetése, megfelelő alkalmazása. A konkrét esetben, mely a határozat alapjául szolgált, nem megfelelően biztosították a Kérelmező hozzáférési jog gyakorlására irányuló kérelmét. Bár a Kérelmezett a GDPR 12. cikk (3) bekezdésében előírt intézkedési kötelezettségének határidőben eleget tett, de válaszlevelének tartalmát tekintve nem adott a Kérelmezőnek pontos, személyre szabott tájékoztatást személyes adatai kezeléséről. Eszerint csak a honlapján közzétett tájékoztatókra és üzletszabályzatokra utalással válaszolt, amely ebben az esetben nem elegendő, hiszen a hivatkozott dokumentumok is csak általános jellegű tájékoztatásokat tartalmaztak. Tehát az adatkezelők tájékoztatási kötelezettsége nem egy adminisztrációs kötelezettség, amely így nem lehet
20 millió forintos adatvédelmi bírság!
A Nemzeti Adatvédelmi és Információszabadság Hatóság 20 millió forintos adatvédelmi bírság megfizetésére kötelezte a ROBINSON-TOURS Idegenforgalmi és Szolgáltató Kft.-t, valamint a vállalkozás informatikai, rendszergazdai, tárhely szolgáltatói feladatait ellátó adatfeldolgozóját is 500 ezer forint GDPR bírsággal sújtotta. A Robinson Tours, mint adatkezelő, nem tett eleget az általános adatvédelmi rendelet 25. cikk (1)-(2) bekezdéseiben foglalt adatvédelem elvének. Weboldala kialakítása során a súlyos tervezési, kialakítási hiányosságok következtében, az általa kínált utazási szolgáltatásokkal összefüggésben kezelt személyes adatokat tároló rendszerét és honlapját, úgy használta és üzemeltette, hogy ahhoz bárki hozzáférhetett az interneten keresztül. Ezzel utasai, valamint azok hozzátartozóinak adatait sérülésnek tette ki, így magas kockázatú adatvédelmi
Állásfoglalás a webkamerákkal kapcsolatban
A Nemzeti Adatvédelmi és Információszabadság Hatósághoz érkezett megkeresés a közterületet figyelő webkamerákkal kapcsolatban. A Hatóság állásfoglalása szerint a közterületet figyelő webkamerák élőképeinek nyilvánosságra hozatala abban az esetben nem tekinthető adatkezelésnek, ha azon keresztül meghatározott természetes személy – közvetlenül vagy közvetve – nem azonosítható. Amennyiben az adatkezelő az azonosított vagy azonosítható természetes személyekről készült felvételek képét is nyilvánosságra hozza, akkor a tevékenységére az általános adatvédelmi rendelet rendelkezéseit is alkalmazni kell. A közterületet megfigyelő webkamerákkal kapcsolatban általános követelmény, hogy az adatkezelőknek megfelelő intézkedéseket kell hozniuk annak érdekében, hogy a webkamera élőképein ne szerepeljenek személyes adatok. A legfontosabbak az alábbiak: A természetes személy ne legyen
Kötelező a végrehajtóknak DPO-t kinevezni
A NAIH állásfoglalást tett közzé abban a két kérdésben, hogy a végrehajtó közhatalmi szervnek minősül-e, a végrehajtói feladataik ellátása keretében végzett adatkezeléseik vonatkozásában a GDPR 6. cikk (1) bekezdése alapján mely jogalapot alkalmazhatják, illetve, hogy kötelező-e adatvédelmi tisztviselőt kijelölniük. A Hatóság álláspontja szerint a bírósági végrehajtási eljárás lefolytatása az állami szuverenitás belső lényegéhez tartozó, közhatalom gyakorlásával együtt járó és az igazságszolgáltatás rendjéhez kapcsolódó állami funkció, tehát az önálló bírósági végrehajtó a végrehajtási cselekmények foganatosítása és a végrehajtási kényszer alkalmazása során közhatalmat gyakorol. Az önálló bírósági végrehajtó a közhatalmi jogosítvány gyakorlásának keretében végzett feladatai ellátása során folytatott adatkezeléseire a GDPR 6. cikk (1)
Hibás tájékoztatás miatt figyelmeztetett a NAIH
A Nemzeti Adatvédelmi és Információszabadság Hatóság egy közérdekű bejelentés alapján hivatalból indított adatvédelmi hatósági eljárást egy sms küldő honlappal szemben. A honlap célja, hogy egy kötelező regisztrációt követően meghatározott számú sms-t lehet a honlapon keresztül küldeni, illetve krediket gyűjteni. Az sms küldő honlap adatkezelése ügyében a Hatóság korábban már két alkalommal is vizsgálatot folytatott. A honlap üzemeltetője a korábbi eljárás eredményeképpen módosította az adatkezelési tájékoztatót, de a gyakorlatán érdemben nem változtatott, ezt támasztja alá, hogy újabb panasz érkezett. Jelen esetben a Hatóság megállapította, hogy a honlappal kapcsolatos adatkezelés továbbra is sérti az általános adatvédelmi rendelet 12. cikk (1) és (2) bekezdését,
A spanyol hatóság 75 000 EUR-os GDPR bírságot szabott ki
A spanyol adatvédelmi hatóság (AEPD) 75 000 eurós bírságot szabott ki a VODAFONE ESPAÑA-ra a jogsértő adatkezelés miatt. Az ügyben az érintett élt a törlési (elfeledtetéshez való) jogával még 2015-ben, ennek ellenére az adatkezelő folyamatosan küldött neki reklám SMS-eket. Az adatkezelő kijelentette, hogy az érintett telefonszámát - mivel az könnyen megjegyezhető volt - alkalmazottai „dummy számként” használták. Az AEPD úgy vélte, hogy a VODAFONE ESPAÑA megsértette a GDPR 5 és 6. cikkét, ugyanis jogalap nélkül kezelte tovább a személyes adatokat. Feleljen meg a GDPR-nek! Kérje árajánlatunkat a DPO tisztség betöltésére, céges GDPR adatvédelmi auditra, az adatkezelési tájékoztató, a GDPR adatvédelmi szabályzat elkészítésére a
Érvénytelenítették a Privacy Shield Egyezményt
Az Európai Unió Bírósága érvénytelenítette az EU–USA adatvédelmi pajzs által biztosított védelem megfelelőségéről szóló 2016/1250 határozatot. A Facebook közösségi portált érintő ítéletében a luxembourgi székhelyű uniós bíróság kimondta, hogy a nemzeti törvényhozóknak szigorúbb intézkedéseket kell tenniük a felhasználói adatok továbbítása terén a magánélet védelme érdekében. A bírák aggodalmukat fejezték ki amiatt, hogy az úgynevezett adatvédelmi pajzs rendelkezései alapján továbbított adatok "nem korlátozódnak a feltétlenül szükséges információkra" az uniós állampolgárok adatainak amerikai feldolgozásakor. Mint emlékeztettek, az általános adatvédelmi rendelet GDPR szerint az érzékeny adatok csak akkor továbbíthatók valamely unión kívüli országba, ha az adott ország ezen adatok számára megfelelő védelmi szintet biztosít. Az adatok