Százmillió forintos bírságot kapott a Digi Kft.
A Nemzeti Adatvédelmi és Információszabadság Hatóság 100 millió Ft-os GDPR bírságot rótt ki a Digi Távközlési és Szolgáltató Kft-re a GDPR alapelveinek és adatbiztonsági előírásainak megsértése miatt. A NAIH határozatában megállapította, hogy az Ügyfél megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdésének b) („célhoz kötöttség”) és e) („korlátozott tárolhatóság”) pontjait, amikor az adatvédelmi incidenssel érintett, eredetileg hibaelhárítási célból létrehozott tesztadatbázist a szükséges tesztek lefuttatása és a hiba kijavítása után nem törölte, így az abban tárolt nagy számú ügyféladat a következő […] időszakban cél nélkül és azonosításra alkalmas módon került tárolásra a használt rendszerekben. Ezen intézkedés hiánya közvetlenül lehetővé tette az adatvédelmi
Személyes adatokat fújt szét a szél – jött a bírság!
Félmillió forintos bírságot szabott ki a NAIH az adatbiztonsági intézkedések hiányossága miatt. Az ügyben a NAIH-hoz egy magánszemélytől közérdekű bejelentés érkezett, amelyben a bejelentő leírta, hogy birtokába került egy lista, amely természetes személyek és vállalkozások (kb. 100 db) különböző adatait tartalmazza. A lista az érintettek teljes nevét, adóazonosítóját, TAJ számát, születési adatait, édesanyjuk nevét, továbbá a magyarorszag.hu honlapon keresztül elérhető ügyfélkapus felhasználói neveiket és titkosítatlan jelszavaikat tartalmazza. A beadványt előterjesztő elmondása szerint a lista úgy került a birtokába, hogy azt az ingatlanjának kertjében szedte össze a szél által odafújt egyéb papírszemetekkel együtt. A megtalált listát a beadványozó eredetben továbbította a Hatóság részére. A Hatóság
Mikor kell tájékoztatást adni az adatvédelmi incidensről?
GDPR pontosan meghatározza, hogy egy adatkezelőnek mely esetekben kell tájékoztatni az érintetteket az adatvédelmi incidensről. Az általános adatvédelmi rendelet 34. cikke alapján ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelőnek indokolatlan késedelem nélkül tájékoztatnia kell az érintettet az adatvédelmi incidensről. Az érintett részére adott tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét, és közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségeit; ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket; ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket. Az érintettet azonban
Új tájékoztatást kell adniuk az iskoláknak a távoktatás miatt
A NAIH egy távoktatással kapcsolatos kérdés alapján állásfoglalást adott ki az iskolák ezzel kapcsolatos adatkezeléséről. Összefoglaljuk a lényeget. Az alábbi kérdésben kérte egy érdeklődő a hatóság állásfoglalását: Mennyiben felel meg az adatvédelmi jogszabályok előírásainak, ha a koronavírusra tekintettel bevezetett digitális oktatás során a gyakorlati órákon (így például a testnevelés óra) kiadott feladatok teljesítésének ellenőrzése céljából a tanár a feladat teljesítését igazoló videófelvétel elkészítését és a részére – e-mail, vagy Messenger útján – történő elküldését kéri a 14-16 év közötti diákoktól anélkül, hogy ehhez a Ptk. 2:48. §-a alapján előzetesen kérné a diákok, vagy a szülői felügyeletet gyakorló személy hozzájárulását, illetve bármilyen tájékoztatást
NAIH: A koronavírussal kapcsolatos adatkezelésekről
Bizonyos esetekben elfogadható, ha a munkáltató kérdőívet töltet ki azokkal a munkavállalókkal, akik bejelentést tesznek a koronavírus-fertőzés gyanújáról - közölte a NAIH elnöke. Péterfalvi Attila a NAIH honlapján közzétett, koronavírus-járvánnyal kapcsolatos adatkezelésekről szóló tájékoztatójában azt írta, hogy a kérdőívek kitöltése akkor elfogadható, ha a munkáltató előzetes kockázatértékelés alapján úgy véli, a módszer alkalmazása szükséges és arányos mértékben korlátozza a munkavállalók magánszférájához fűződő jogát. A munkáltatók - a kizárólag az infotv. hatálya alá tartozó, például a bűnüldözési, honvédelmi, nemzetbiztonsági célú adatkezelést folytató szerveket kivéve - az GDPR előírásait kötelesek alkalmazni - tudatta. Ismertette, hogy a munkáltató rögzítheti a bejelentés időpontját, az érintett személyazonosságának a
28 millió eurós GDPR bírság!
Az olasz adatvédelmi hatóság 27 802 946 euró-s adatvédelmi bírsággal sújtotta a TIM SpA-t (Telecom Italia) a marketing tevékenységével kapcsolatos számos jogsértő adatkezelés miatt. A jogsértések összességében több millió embert érintettek. 2017 januárjától 2019 első hónapjáig több száz jelentés érkezett a hatósághoz, különösen a nemkívánatos promóciós hívások fogadásáról, amelyek hozzájárulás nélkül vagy a telefonfelhasználók tiltakozása ellenére történtek. Volt olyan ügyfél, melyet hozzájárulás nélkül155-szer hívtak egy hónapon belül. A GDPR szabályainak számtalan és súlyos megsértésére derült fény az összetett hatósági vizsgálat során. A cég nem felelt meg a GDPR-ben támasztott elszámoltathatóság elvének sem. A hívások során nem átlátható információkat szolgáltattak az adatfeldolgozásról, és nem
2019-ben 87 millió forint bírságot szabott ki a NAIH
2019-ben 87 millió forint bírságot szabott ki az adatvédelmi hatóság az uniós adatvédelmi irányelvek (GDPR) megsértése miatt - mondta Péterfalvi Attila a Nemzeti Adatvédelmi és Információbiztonság Hatóság (NAIH) elnöke. A bírság összege uniós szinten nem harmonizált - jelezte, azokat "óvatosan" emelik. A GDPR alkalmazása óta eltelt másfél évről elmondta: Magyarország európai összehasonlításban jól áll a GDPR alkalmazásában. Magyarországon 30 millió forint volt a legmagasabb kiszabott bírság, ami a Sziget Fesztivál szervezőjét érintette, egy pénzintézet pedig 25 millió forintos bírságot kapott. A BKK 10 millió forintos, a DK pedig 11 milliós bírságot kapott, különleges adatok védelmének megsértése miatt. Közlése szerint a hatósághoz eddig összesen
Közös adatkezelés a „Like” miatt
A Facebook „Tetszik” gombjával ellátott honlap üzemeltetője a honlap látogatójára vonatkozó személyes adatok gyűjtése és a Facebook részére történő továbbítása tekintetében a Facebookkal közös adatkezelőnek minősülhet - mondta ki az Európai Bíróság. A német Fashion ID online divatruha-értékesítő vállalkozás elhelyezte honlapján a Facebook „Tetszik” gombot. Ez azzal a következménnyel jár, hogy ha egy látogató megtekinti a Fashion ID honlapját, akkor a személyes adatait továbbítják a Facebook Ireland részére. Ez a továbbítás az említett látogató tudomása nélkül megy végbe, függetlenül attól, hogy tagja-e a Facebook közösségi hálózatnak, vagy hogy rákattintott-e a „Tetszik” gombra. Egy német közhasznú fogyasztói érdekvédelmi egyesület azt kifogásolta, hogy a
1.500.000 Ft-os adatvédelmi bírság!
1.5 millió Ft-os GDPR bírságot szabott ki az adatvédelmi hatóság a munkavállalók egész napos megfigyelése, több GDPR alapelv megsértése, és a megfelelő tájékoztatás hiánya miatt. Az alábbiakban összefoglaljuk a határozat lényegét: A szóban forgó ügyben Kérelmező kérelemmel fordult a NAIH-hoz, mely szerint korábbi munkahelyén, a Kötelezettó, az általa üzemeltetett elektronikus megfigyelőrendszer egyik kamerájával megfigyelte munkavégzését […] napján. A kérelem szerint ezen kamera által rögzített felvételek alapján a Kérelmező […] képeket keresett a hivatali diszpécseri számítógépen, azokat kinyomtatta, […] feliratokkal látta el, majd a férfi öltözőben függesztette ki. A munkáltatói jogkör gyakorlója a Kérelmezőt hivatalának ellátására méltatlannak ítélte a felvételek alapján, ezért
A Google-nek nem kell világszerte érvényesítenie a felejtéshez való jogot
A felejtéshez való jog érvényesítéséről szóló jogszabály hatálya csak az Európai Unióra vonatkozik, nem a világ összes országára - mondta ki a Google javára ítélve az Európai Bíróság. A francia adatvédelmi hatóság (CNIL) és az amerikai keresőóriás közötti jogvitában eljáró francia bíróság 2016-ban fordult a luxembourgi székhelyű törvényszékhez előzetes döntéshozatali eljárás keretében. A CNIL szerint a felhasználók kérésére szerte a világon el kell távolítania a rájuk vonatkozó keresési adatokat. "A jelenleg hatályos uniós jog nem ír elő olyan kötelezettséget, amelynek alapján a vállalatnak a keresőmotor valamennyi változatán el kell végeznie a törlést" - állapította meg a bírói testület, kiemelve, hogy az eltávolítást
