Százmillió forintos bírságot kapott a Digi Kft.
A Nemzeti Adatvédelmi és Információszabadság Hatóság 100 millió Ft-os GDPR bírságot rótt ki a Digi Távközlési és Szolgáltató Kft-re a GDPR alapelveinek és adatbiztonsági előírásainak megsértése miatt. A NAIH határozatában megállapította, hogy az Ügyfél megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdésének b) („célhoz kötöttség”) és e) („korlátozott tárolhatóság”) pontjait, amikor az adatvédelmi incidenssel érintett, eredetileg hibaelhárítási célból létrehozott tesztadatbázist a szükséges tesztek lefuttatása és a hiba kijavítása után nem törölte, így az abban tárolt nagy számú ügyféladat a következő […] időszakban cél nélkül és azonosításra alkalmas módon került tárolásra a használt rendszerekben. Ezen intézkedés hiánya közvetlenül lehetővé tette az adatvédelmi
Személyes adatokat fújt szét a szél – jött a bírság!
Félmillió forintos bírságot szabott ki a NAIH az adatbiztonsági intézkedések hiányossága miatt. Az ügyben a NAIH-hoz egy magánszemélytől közérdekű bejelentés érkezett, amelyben a bejelentő leírta, hogy birtokába került egy lista, amely természetes személyek és vállalkozások (kb. 100 db) különböző adatait tartalmazza. A lista az érintettek teljes nevét, adóazonosítóját, TAJ számát, születési adatait, édesanyjuk nevét, továbbá a magyarorszag.hu honlapon keresztül elérhető ügyfélkapus felhasználói neveiket és titkosítatlan jelszavaikat tartalmazza. A beadványt előterjesztő elmondása szerint a lista úgy került a birtokába, hogy azt az ingatlanjának kertjében szedte össze a szél által odafújt egyéb papírszemetekkel együtt. A megtalált listát a beadványozó eredetben továbbította a Hatóság részére. A Hatóság
Mikor kell tájékoztatást adni az adatvédelmi incidensről?
GDPR pontosan meghatározza, hogy egy adatkezelőnek mely esetekben kell tájékoztatni az érintetteket az adatvédelmi incidensről. Az általános adatvédelmi rendelet 34. cikke alapján ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelőnek indokolatlan késedelem nélkül tájékoztatnia kell az érintettet az adatvédelmi incidensről. Az érintett részére adott tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét, és közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségeit; ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket; ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket. Az érintettet azonban
Új tájékoztatást kell adniuk az iskoláknak a távoktatás miatt
A NAIH egy távoktatással kapcsolatos kérdés alapján állásfoglalást adott ki az iskolák ezzel kapcsolatos adatkezeléséről. Összefoglaljuk a lényeget. Az alábbi kérdésben kérte egy érdeklődő a hatóság állásfoglalását: Mennyiben felel meg az adatvédelmi jogszabályok előírásainak, ha a koronavírusra tekintettel bevezetett digitális oktatás során a gyakorlati órákon (így például a testnevelés óra) kiadott feladatok teljesítésének ellenőrzése céljából a tanár a feladat teljesítését igazoló videófelvétel elkészítését és a részére – e-mail, vagy Messenger útján – történő elküldését kéri a 14-16 év közötti diákoktól anélkül, hogy ehhez a Ptk. 2:48. §-a alapján előzetesen kérné a diákok, vagy a szülői felügyeletet gyakorló személy hozzájárulását, illetve bármilyen tájékoztatást
NAIH: A koronavírussal kapcsolatos adatkezelésekről
Bizonyos esetekben elfogadható, ha a munkáltató kérdőívet töltet ki azokkal a munkavállalókkal, akik bejelentést tesznek a koronavírus-fertőzés gyanújáról - közölte a NAIH elnöke. Péterfalvi Attila a NAIH honlapján közzétett, koronavírus-járvánnyal kapcsolatos adatkezelésekről szóló tájékoztatójában azt írta, hogy a kérdőívek kitöltése akkor elfogadható, ha a munkáltató előzetes kockázatértékelés alapján úgy véli, a módszer alkalmazása szükséges és arányos mértékben korlátozza a munkavállalók magánszférájához fűződő jogát. A munkáltatók - a kizárólag az infotv. hatálya alá tartozó, például a bűnüldözési, honvédelmi, nemzetbiztonsági célú adatkezelést folytató szerveket kivéve - az GDPR előírásait kötelesek alkalmazni - tudatta. Ismertette, hogy a munkáltató rögzítheti a bejelentés időpontját, az érintett személyazonosságának a
28 millió eurós GDPR bírság!
Az olasz adatvédelmi hatóság 27 802 946 euró-s adatvédelmi bírsággal sújtotta a TIM SpA-t (Telecom Italia) a marketing tevékenységével kapcsolatos számos jogsértő adatkezelés miatt. A jogsértések összességében több millió embert érintettek. 2017 januárjától 2019 első hónapjáig több száz jelentés érkezett a hatósághoz, különösen a nemkívánatos promóciós hívások fogadásáról, amelyek hozzájárulás nélkül vagy a telefonfelhasználók tiltakozása ellenére történtek. Volt olyan ügyfél, melyet hozzájárulás nélkül155-szer hívtak egy hónapon belül. A GDPR szabályainak számtalan és súlyos megsértésére derült fény az összetett hatósági vizsgálat során. A cég nem felelt meg a GDPR-ben támasztott elszámoltathatóság elvének sem. A hívások során nem átlátható információkat szolgáltattak az adatfeldolgozásról, és nem
10 000 eurós GDPR bírság!
A németországi adatvédelemért és az információszabadságért felelős szövetségi biztos (BfDI) 10 000 euró bírságot szabott ki a Rapidata GmbH-ra. Több eljárásra volt szükség a Rapidata GmbH távközlési szolgáltatóval szemben, mivel a társaság az ismételt kérések ellenére sem teljesítette a GDPR 37. cikk szerinti követelményét, azaz, hogy a társaság adatvédelmi tisztviselőt nevezzen ki. A 10 000 euró bírság összegét figyelembe vették, hogy a vállalkozás KKV-nak minősül. A GDPR 37. cikke alapján az adatkezelő és az adatfeldolgozó adatvédelmi tisztviselőt jelöl ki minden olyan esetben, amikor: a) az adatkezelést közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek végzik, kivéve az igazságszolgáltatási feladatkörükben eljáró bíróságokat; b) az adatkezelő vagy
500.000 Ft-os GDPR bírság
A Nemzeti Adatvédelmi és Információszabadság Hatóság határozatában 500 000 Ft összegű adatvédelmi bírság megfizetésére kötelezett egy egészségügyi intézményt. A bírság kiszabására azért került sor, mert az Intézmény megsértette az általános adatvédelmi rendelet több pontját is. Az Intézmény korábbi orvos-igazgatója kérelmet nyújtott be a Hatósághoz azzal, tudomására jutott, hogy a jelenlegi igazgató, a kórházi elektronikus levelezése (tudomása szerint törölt, valójában) inaktivált fiókjai visszaállítását rendelte el. A jelenlegi igazgató ezt azzal indokolta, hogy kerestek egy jogi dokumentumot. A Kérelmező kifogásolta, hogy ennek során a fiókokban bármelyik dokumentumához hozzáférhettek, bármely személyes adatát megismerhették, hiszen magánlevelezésekre is használta azokat. A Hatóság a tényállás tisztázása után megállapította, a
30 000 eurós GDPR bírság!
A spanyol adatvédelmi hatóság 30 000 eurós bírságot szabott ki a Vueling társaságra a weboldalán alkalmazott sütik miatt. A Vueling egy cookie popup-ban tájékoztatta az érintetteket a cookie-k alkalmazásáról, egy linket helyezett el a "Cookie Szabályzathoz", valamint volt egy olyan opció, hogy "Elfogadom, és tovább folytatom a böngészést". A sütik kezelésével kapcsolatban a vállalat azt jelezte, hogy: "a Felhasználó beállíthatja a böngészőt úgy, hogy alapértelmezés szerint elfogadja vagy elutasítsa az összes sütit, vagy hogy képernyőn megjelenő értesítést kapjon az egyes sütik fogadásáról, és ekkor dönthet annak végrehajtásáról vagy használhatja a "nem kövesse nyomon" követő cookie-blokkoló eszközöket is." A spanyol hatóság szerint azonban elvárt, hogy
Közös adatkezelés a „Like” miatt
A Facebook „Tetszik” gombjával ellátott honlap üzemeltetője a honlap látogatójára vonatkozó személyes adatok gyűjtése és a Facebook részére történő továbbítása tekintetében a Facebookkal közös adatkezelőnek minősülhet - mondta ki az Európai Bíróság. A német Fashion ID online divatruha-értékesítő vállalkozás elhelyezte honlapján a Facebook „Tetszik” gombot. Ez azzal a következménnyel jár, hogy ha egy látogató megtekinti a Fashion ID honlapját, akkor a személyes adatait továbbítják a Facebook Ireland részére. Ez a továbbítás az említett látogató tudomása nélkül megy végbe, függetlenül attól, hogy tagja-e a Facebook közösségi hálózatnak, vagy hogy rákattintott-e a „Tetszik” gombra. Egy német közhasznú fogyasztói érdekvédelmi egyesület azt kifogásolta, hogy a