A hozzáférési jog helyes gyakorlása
A NAIH határozatának nyomán láthatjuk mennyire fontos a GDPR rendelkezéseinek gyakorlatba való átültetése, megfelelő alkalmazása. A konkrét esetben, mely a határozat alapjául szolgált, nem megfelelően biztosították a Kérelmező hozzáférési jog gyakorlására irányuló kérelmét. Bár a Kérelmezett a GDPR 12. cikk (3) bekezdésében előírt intézkedési kötelezettségének határidőben eleget tett, de válaszlevelének tartalmát tekintve nem adott a Kérelmezőnek pontos, személyre szabott tájékoztatást személyes adatai kezeléséről. Eszerint csak a honlapján közzétett tájékoztatókra és üzletszabályzatokra utalással válaszolt, amely ebben az esetben nem elegendő, hiszen a hivatkozott dokumentumok is csak általános jellegű tájékoztatásokat tartalmaztak. Tehát az adatkezelők tájékoztatási kötelezettsége nem egy adminisztrációs kötelezettség, amely így nem lehet
20 millió forintos adatvédelmi bírság!
A Nemzeti Adatvédelmi és Információszabadság Hatóság 20 millió forintos adatvédelmi bírság megfizetésére kötelezte a ROBINSON-TOURS Idegenforgalmi és Szolgáltató Kft.-t, valamint a vállalkozás informatikai, rendszergazdai, tárhely szolgáltatói feladatait ellátó adatfeldolgozóját is 500 ezer forint GDPR bírsággal sújtotta. A Robinson Tours, mint adatkezelő, nem tett eleget az általános adatvédelmi rendelet 25. cikk (1)-(2) bekezdéseiben foglalt adatvédelem elvének. Weboldala kialakítása során a súlyos tervezési, kialakítási hiányosságok következtében, az általa kínált utazási szolgáltatásokkal összefüggésben kezelt személyes adatokat tároló rendszerét és honlapját, úgy használta és üzemeltette, hogy ahhoz bárki hozzáférhetett az interneten keresztül. Ezzel utasai, valamint azok hozzátartozóinak adatait sérülésnek tette ki, így magas kockázatú adatvédelmi
Állásfoglalás a webkamerákkal kapcsolatban
A Nemzeti Adatvédelmi és Információszabadság Hatósághoz érkezett megkeresés a közterületet figyelő webkamerákkal kapcsolatban. A Hatóság állásfoglalása szerint a közterületet figyelő webkamerák élőképeinek nyilvánosságra hozatala abban az esetben nem tekinthető adatkezelésnek, ha azon keresztül meghatározott természetes személy – közvetlenül vagy közvetve – nem azonosítható. Amennyiben az adatkezelő az azonosított vagy azonosítható természetes személyekről készült felvételek képét is nyilvánosságra hozza, akkor a tevékenységére az általános adatvédelmi rendelet rendelkezéseit is alkalmazni kell. A közterületet megfigyelő webkamerákkal kapcsolatban általános követelmény, hogy az adatkezelőknek megfelelő intézkedéseket kell hozniuk annak érdekében, hogy a webkamera élőképein ne szerepeljenek személyes adatok. A legfontosabbak az alábbiak: A természetes személy ne legyen
Kötelező a végrehajtóknak DPO-t kinevezni
A NAIH állásfoglalást tett közzé abban a két kérdésben, hogy a végrehajtó közhatalmi szervnek minősül-e, a végrehajtói feladataik ellátása keretében végzett adatkezeléseik vonatkozásában a GDPR 6. cikk (1) bekezdése alapján mely jogalapot alkalmazhatják, illetve, hogy kötelező-e adatvédelmi tisztviselőt kijelölniük. A Hatóság álláspontja szerint a bírósági végrehajtási eljárás lefolytatása az állami szuverenitás belső lényegéhez tartozó, közhatalom gyakorlásával együtt járó és az igazságszolgáltatás rendjéhez kapcsolódó állami funkció, tehát az önálló bírósági végrehajtó a végrehajtási cselekmények foganatosítása és a végrehajtási kényszer alkalmazása során közhatalmat gyakorol. Az önálló bírósági végrehajtó a közhatalmi jogosítvány gyakorlásának keretében végzett feladatai ellátása során folytatott adatkezeléseire a GDPR 6. cikk (1)
Kamera az ebédlőben – Félmilliós bírság!
A NAIH vizsgálatot folytatott az elektronikus megfigyelőrendszerrel összefüggő adatkezelés tekintetében. A vizsgálat eredményeként határozatában 500 ezer forint adatvédelmi bírság megfizetésére kötelezte az adott vállalkozást. A vállalkozás székhelyén található gyárépületének munkavállalók által használt ebédlőjében szerelte fel a kamerákat, amely közösségi étkezésre, illetve a munkaközi szünet eltöltésére kijelölt helyiség. Általános alapelv, hogy semmiképp sem lehet kamerát elhelyezni olyan helyiségekben, ahol a kamera üzemelése sértené az emberi méltóságot, ebből következően a tisztességes adatkezelés elvét. Ez alól kivétel ha védendő vagyontárgy van az adott helyiségben, azonban ebben az esetben a munkáltatónak különös figyelemmel kell lennie arra, hogy a kamera látószöge – figyelembe véve annak szükségességét és
Hibás tájékoztatás miatt figyelmeztetett a NAIH
A Nemzeti Adatvédelmi és Információszabadság Hatóság egy közérdekű bejelentés alapján hivatalból indított adatvédelmi hatósági eljárást egy sms küldő honlappal szemben. A honlap célja, hogy egy kötelező regisztrációt követően meghatározott számú sms-t lehet a honlapon keresztül küldeni, illetve krediket gyűjteni. Az sms küldő honlap adatkezelése ügyében a Hatóság korábban már két alkalommal is vizsgálatot folytatott. A honlap üzemeltetője a korábbi eljárás eredményeképpen módosította az adatkezelési tájékoztatót, de a gyakorlatán érdemben nem változtatott, ezt támasztja alá, hogy újabb panasz érkezett. Jelen esetben a Hatóság megállapította, hogy a honlappal kapcsolatos adatkezelés továbbra is sérti az általános adatvédelmi rendelet 12. cikk (1) és (2) bekezdését,
A spanyol hatóság 75 000 EUR-os GDPR bírságot szabott ki
A spanyol adatvédelmi hatóság (AEPD) 75 000 eurós bírságot szabott ki a VODAFONE ESPAÑA-ra a jogsértő adatkezelés miatt. Az ügyben az érintett élt a törlési (elfeledtetéshez való) jogával még 2015-ben, ennek ellenére az adatkezelő folyamatosan küldött neki reklám SMS-eket. Az adatkezelő kijelentette, hogy az érintett telefonszámát - mivel az könnyen megjegyezhető volt - alkalmazottai „dummy számként” használták. Az AEPD úgy vélte, hogy a VODAFONE ESPAÑA megsértette a GDPR 5 és 6. cikkét, ugyanis jogalap nélkül kezelte tovább a személyes adatokat. Feleljen meg a GDPR-nek! Kérje árajánlatunkat a DPO tisztség betöltésére, céges GDPR adatvédelmi auditra, az adatkezelési tájékoztató, a GDPR adatvédelmi szabályzat elkészítésére a
Érvénytelenítették a Privacy Shield Egyezményt
Az Európai Unió Bírósága érvénytelenítette az EU–USA adatvédelmi pajzs által biztosított védelem megfelelőségéről szóló 2016/1250 határozatot. A Facebook közösségi portált érintő ítéletében a luxembourgi székhelyű uniós bíróság kimondta, hogy a nemzeti törvényhozóknak szigorúbb intézkedéseket kell tenniük a felhasználói adatok továbbítása terén a magánélet védelme érdekében. A bírák aggodalmukat fejezték ki amiatt, hogy az úgynevezett adatvédelmi pajzs rendelkezései alapján továbbított adatok "nem korlátozódnak a feltétlenül szükséges információkra" az uniós állampolgárok adatainak amerikai feldolgozásakor. Mint emlékeztettek, az általános adatvédelmi rendelet GDPR szerint az érzékeny adatok csak akkor továbbíthatók valamely unión kívüli országba, ha az adott ország ezen adatok számára megfelelő védelmi szintet biztosít. Az adatok
200.000 Ft-os GDPR bírság!
A Nemzeti Adatvédelmi és Információszabadság Hatóság határozatával 200 000 Ft összegű bírság megfizetésére kötelezett egy szervezetet, mely jogszerűtlenül tagadta meg, hogy volt munkavállalója hozzáférjen archivált magáncélú leveleihez. A Kérelmező adatvédelmi hatósági eljárás megindítását kezdeményezte, mivel volt munkáltatójától hiába kérte, jogviszonya megszűnését követően, hogy hozzáférhessen munkahelyi email fiókjának archívumához. Ezt a szervezet megtagadta adatvédelmi okokra hivatkozva. A volt munkavállaló közalkalmazotti jogviszonya jogellenes megszüntetésének jogkövetkezményei iránt indult munkaügyi perében szerette volna felhasználni bizonyítékként a levelezések tartalmát. A Hatóság a tényállás tisztázása során megállapította, hogy a szervezet nem szabályozta a „céges” email fiók használatát. Így annak magáncélú használata nem volt tiltott a munkavállaló számára. Ebben az
Százmillió forintos bírságot kapott a Digi Kft.
A Nemzeti Adatvédelmi és Információszabadság Hatóság 100 millió Ft-os GDPR bírságot rótt ki a Digi Távközlési és Szolgáltató Kft-re a GDPR alapelveinek és adatbiztonsági előírásainak megsértése miatt. A NAIH határozatában megállapította, hogy az Ügyfél megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdésének b) („célhoz kötöttség”) és e) („korlátozott tárolhatóság”) pontjait, amikor az adatvédelmi incidenssel érintett, eredetileg hibaelhárítási célból létrehozott tesztadatbázist a szükséges tesztek lefuttatása és a hiba kijavítása után nem törölte, így az abban tárolt nagy számú ügyféladat a következő […] időszakban cél nélkül és azonosításra alkalmas módon került tárolásra a használt rendszerekben. Ezen intézkedés hiánya közvetlenül lehetővé tette az adatvédelmi
