- Részletek
- Kategória: Hírek
Az Adatvédelem Napja egy nemzetközi ünnepnap, melyet 2007 óta az Európa Tanács kezdeményezésére, minden évben január 28-án ünneplünk — 1981-ben ugyanis ezen a napon nyílt meg aláírásra a Tanács 108. számú Adatvédelmi Egyezménye, mely az első, a személyes adatok védelmét szabályozó, jogilag kötelező erejű nemzetközi instrumentum. Az ünnepnap elsődleges célja a figyelem felkeltése és a kialakult jó gyakorlatok népszerűsítése.
A GDPR, az Európai Unió általános adatvédelmi rendelete 2018. május 25-én vált kötelezően alkalmazandóvá a tagállamokban. Ez a rendelet jelenti az uniós adatvédelmi hatóságok együttműködésének jogi alapját, gyakorlati végrehajtásának kulcsa azonban a közös fogalomrendszer és statisztika. Noha a GDPR érvényesülésének következő hivatalos értékelésére csak 2027-ben kerül sor, az Európai Adatvédelmi Testületben (EDPB) felmerült a szándék a tagállami adatvédelmi hatóságok tevékenységeinek összehangolt és rendszeres értékelésére és az ezt biztosító adatszolgáltatás készítésére. Az adatszolgáltatás elsődleges célja a felügyeleti hatóságok működésének átláthatóbbá tétele az adatalanyok, az adatvédelmi joggal a jogalkalmazásban és a tudományos szférában foglalkozó jogászok, valamint a tagállami kormányok számára, de természetesen megkönnyíti a GDPR négyévente esedékes felülvizsgálatát megalapozó adatszolgáltatást is. A munkában a NAIH mint az adatszolgáltatást előkészítő szövegező csoport tagja is tevékenyen részt vett és részt vesz. Az információgyűjtésben egyelőre jelenleg önkéntesen részt vevő felügyeleti hatóságok 2025. március 31-ig szolgáltatnak adatokat a személyes adatok védelmére vonatkozó tevékenységükről, az adatszolgáltatás tehát nem érinti azokat a hatásköröket, amelyek adott esetben túlmutatnak a GDPR rendelkezései szerinti felügyeleti hatósági hatáskörökön (például DGA alkalmazása). A próbaidőszak lezárását követően az EDPB Titkársága elemzi és értékeli a tagállamok által benyújtott adatokat, összegző jelentést készít, majd az EDPB plenáris ülése ezt követően dönt az éves adatszolgáltatás folytatásának további módjáról és tartalmáról.
Az általános adatvédelmi rendelet alkalmazásának hetedik évében megfigyelhető, hogy a magyar adatvédelmi hatóságnak egyre összetettebb adatvédelmi kérdésekre kell válaszolnia, és ugyanez igaz a bíróságok jogalkalmazására is. 2023-ig egyértelmű tendencia volt a peres ügyek számának növekedése, ami összefügg a hatóság által kiszabott bírságok növekvő összegével is. A Hatóságnak 2022-ben összesen 34 lezárt peres ügye volt a Fővárosi Törvényszék és a Kúria előtt, amelyből 22 esetben a Hatóság lényegében sikerrel járt. A 2023. évben a lezárt ügyek száma 47-re emelkedett, amelyből a Hatóság 35 esetben nyert. Ezek az adatok arra utalnak, hogy a hatóság döntései egyre inkább összhangban vannak a bírói gyakorlattal. Biztató, hogy a bírósági ügyek számának növekedési tendenciája 2024-ben megállt. A 2023-ban indított 37 perrel szemben 2024-ben összesen 22 bírósági eljárás indult, amelyből 6 már véget is ért. Ez azt jelenti, hogy az elmúlt évben a bírósági ügyek száma csaknem a felére csökkent. A lezárt bírósági ügyek száma is csökkent, 2024-ben már csak 18 lezárt ügy volt. Ez egyrészt annak tudható be, hogy az adatkezelők adatvédelmi tudatossága nőtt, mivel ahelyett, hogy megtámadnák a Hatóság döntéseit, inkább eleget tesznek azoknak, másrészt ez a Hatóság növekvő szakmai presztízsét is mutatja.
A mesterséges intelligencia az utóbbi évtizedek egyik legnagyobb technológiai vívmánya, amely radikálisan átalakít számos iparágat, például az egészségügyet, a pénzügyeket, a logisztikát és az oktatást is. Az MI térnyerése a gépi tanulás, a természetes nyelvfeldolgozás és a képfelismerés területén elért áttörésekkel gyorsult fel, olyan fontos alkalmazási területekkel, mint a személyre szabott ajánlórendszerek vagy az önvezető autók. Az MI etikai és szabályozási kérdései egyre inkább előtérbe kerültek, ahogy a világ vezetői és a kutatók az MI fejlesztésének társadalmi hatásait próbálják kezelni. Az MI mind a technológiai innováció, mind a globális gazdaság jövője számára meghatározó szerepet játszik, folyamatosan új kihívásokat és lehetőségeket teremt. Az adatvédelmi kihívások kezelése érdekében számos intézkedés született az elmúlt évben, a GDPR-en felül 2024-ben elfogadásra került az EU-ban a szakaszosan alkalmazandóvá váló MI rendelet, valamint a Hatóság a meglévő forensic labor mellett egy új MI labor kialakításába kezdett bele az MI-t alkalmazó adatkezelések hatékonyabb felügyelete és elemzése céljából, továbbá az Európai Adatvédelmi Testület nemrég elfogadott 2025. évi munkaprogramjának egyik fő témaköre is az MI lesz.
Fontos mérföldkőhöz is érkeztünk ebben az évben, 1995-ben került kinevezésre az első adatvédelmi biztos, tehát 2025-ben ünnepeljük az adatvédelmi intézményrendszer fennállásának 30. évfordulóját Magyarországon. Ennek a jubileumnak a méltó megünneplésére a NAIH egy nemzetközi konferenciát szervez szeptember 15-16. között Budapesten, melyen bemutatásra és megvitatásra kerül az információs jogok múltja, jelene és jövője.
Az Európai Adatvédelmi Testület egy kisfilmmel köszönti az Adatvédelem Napját, mely az alábbi linken található (a feliratok között magyar nyelvű opció is választható): https://www.edpb.europa.eu/news/news/2025/stay-control-your-personal-data-happy-data-protection-day-2025_en
A NAIH továbbra is arra szeretné felhívni a figyelmet ezen a napon, hogy magánszféránk nagy kincs, érdemes rá vigyáznunk!
Adatvédelem balladája (írta Chat GPT)
Adatok világa, kódolt mesék,
Bennük rejtőzik minden, amit élsz.
Név, cím, szívverésed ritmusa,
A digitális tér mindent kutatna.
Hálókon futnak a titkos szavak,
Jelszavak mögött rejteznek falak.
De hol a határ, mi a te hatalmad,
Ha minden kattintásod nyomon marad?
Őrizd az adataid, őrködj felettük,
Hamis fények mögött csapdák leselkednek.
Töröld, ami felesleges, titkosíts okosan,
Ne hidd, hogy a világ mindig irgalmasan.
Adat az arany, a kor új pénze,
Egy kattintás, és már más kezében.
Légy hát tudatos, védd a szabadságod,
Ez a te jogod, és a te világod.
Vigyázz, mit osztasz, mit küldesz tova,
Mert a net nem felejt, s hosszú az út sora.
Az adatvédelem nem csupán szó,
Hanem a szabadság őre, valódi erő.
Te döntesz, te véded, mi a tiéd,
Ne hagyd, hogy más írja az életregéd.
Zárd hát az ajtót, kulcsold be jól,
A digitális korban az adat a trón.
- Részletek
- Kategória: Hírek
Az Európai Adatvédelmi Testület (EDPB) 2025. január 16-i plenáris ülésén elfogadta a hozzáférési jog érvényesítésére fókuszáló összehangolt intézkedés („Coordinated Enforcement Framework” – CEF) keretei között készített jelentést. Az intézkedésben részt vevő adatvédelmi felügyeleti hatóságok tapasztalatait összesítő dokumentum felsorolja az adatkezelők előtt álló akadályokat, problémákat és ajánlásokat fogalmaz meg a hozzáférési jog GDPR-nak[1] megfelelő gyakorlása érdekében.
2024 folyamán az Európai Gazdasági Térség (EGT) 30 adatvédelmi felügyeleti hatósága (köztük az európai adatvédelmi biztos) összehangolt fellépést indított annak érdekében, hogy felmérje, hogy a hozzáférési jog gyakorlásához kapcsolódó követelményeknek az adatkezelők a gyakorlatban hogyan felelnek meg. A 2024-es CEF egyik kiemelt fókusza az érintettek jogairól (hozzáférési jog) szóló iránymutatásnak[2] („01/2022. sz. iránymutatás”) való megfelelés vizsgálata volt.
Ezzel a harmadik CEF fellépéssel az EDPB a következőket kívánta elérni:
- biztosítani, hogy az érintettek hatékonyan gyakorolhassák a hozzáférési jogot, és értékelni, hogy az adatkezelők a gyakorlatban hogyan tesznek eleget a hozzáférési jognak,
- felhívni a figyelmet a hozzáférési jogra vonatkozó követelményekre és az 01/2022. sz. iránymutatás tartalmára,
- a CEF keretében elemzés céljából összegyűjteni a részt vevő felügyeleti hatóságok tapasztalatait és következtetéseit.
A felügyeleti hatóságok különböző köz- és magánszférabeli adatkezelővel és/vagy közvetlenül azok adatvédelmi tisztviselőivel vették fel a kapcsolatot egy közösen elfogadott kérdőív segítségével. A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) az összehangolt fellépés során a hazai vagyonvédelmi tevékenységet folytató vállalkozásoknak, közműszolgáltatóknak és távközlési szolgáltatóknak a GDPR szerinti hozzáférési jog biztosításával kapcsolatos gyakorlatát kívánta felmérni.
A válaszok beérkezését követően a felügyeleti hatóságok elkészítették saját nemzeti jelentéseiket. Ezeket az EDPB Titkársága összesítette és összeállította azt a dokumentumot, amely az EDPB 2025. január 16-i plenáris ülésén elfogadásra került. A kérdőívre EGT-szerte összesen 1185 adatkezelő válaszolt. Ezen adatkezelők egyaránt magánjogi szervezetek, a kis- és középvállalkozásoktól a különböző iparágakban és területeken tevékenykedő nagyvállalatokig, valamint különböző típusú közjogi szervezetek.
A jelentés a CEF-ben részt vevő valamennyi felügyeleti hatóság megállapításait összesíti és a munkájuk jelenlegi állását mutatja be.
A jelentés első része a hozzáférési jog jogi hátterét, valamint az adatkezelők megkeresésére és a részt vevő felügyeleti hatóságok által az adatkezelőktől begyűjtött adatainak elemzésére használt módszertant ismerteti. Bemutat továbbá néhány számadatot a válaszadó adatkezelőkről és a hozzájuk beérkezett hozzáférési kérelmekről. E tekintetben sok felügyeleti hatóságot meglepett az a tény, hogy számos válaszadó adatkezelő nagyon kevés hozzáférési kérelmet kapott 2023-ban, ami arra utalhat, hogy nem minden hozzáférési kérelmet minősítenek hozzáférési kérelemnek az adatkezelők, és ez esetleg általános értelmezési problémákra utalhat.
A második rész ezután néhány pozitív megállapítást tesz (amelyek között szerepelnek egyes adatkezelők által alkalmazott jógyakorlatok). Ezek közé tartoznak például az egyes adatkezelők által bevezetett felhasználóbarát online űrlapok, amelyek lehetővé teszik az érintettek számára a hozzáférési kérelem egyszerű benyújtását, valamint a „self-service” rendszerek, amelyek támogatják az érintettet abban, hogy néhány kattintással és bármikor önállóan letölthesse személyes adatait.
Ez a rész elemez továbbá hét, a CEF keretében megfigyelt problémakört is. A jelentés minden egyes problémakör esetében röviden ismerteti a szóban forgó problémát, a GDPR vonatkozó rendelkezéseit, azt, hogy az 01/2022. sz. iránymutatás melyik részét érinti, és miért jelentett problémát. Ezek egyike a hozzáférési kérelmek kezelésére vonatkozó dokumentált belső eljárások hiánya. Emellett a hozzáférési jog korlátainak következetlen és túlzott értelmezését is megfigyelték, például azt, hogy bizonyos kivételekre nagy mértékben támaszkodva automatikusan elutasítják a hozzáférési kérelmeket. Egy másik példa a hozzáférési jog gyakorlása során az érintettek által tapasztalt akadályok, mint például a formai követelmények vagy a személyazonosító dokumentumok indokolatlan, túlzásba vitt bekérése. A jelentés minden egyes problémakörhöz néhány figyelemfelhívó pontot vagy (nem kötelező erejű) ajánlást tartalmaz. Ezek közé tartoznak azok az ajánlások, amelyek szerint a felügyeleti hatóságoknak és az EDPB-nek elő kell mozdítaniuk az 01/2022. sz. iránymutatás vonatkozó részeinek megismerését, és fel kell hívniuk az adatkezelők és az érintettek figyelmét kötelezettségeikre, illetve jogaikra. Ezen túlmenően ezeket az iránymutatásokat némileg aktualizálni lehetne, különösen az Európai Unió Bírósága legutóbbi, a hozzáférési joggal kapcsolatos döntéseinek megfelelően. Ezeket az ajánlásokat a jelentés összefoglalója is tartalmazza.
A részt vevő adatvédelmi hatóságok kétharmada „közepes” és „magas” kategória között értékelte a válaszadó adatkezelők megfelelésének szintjét a hozzáférési jog tekintetében. A megfelelés szintjét befolyásoló egyik fontos tényező az adatkezelőkhöz beérkező hozzáférési kérelmek mennyisége, valamint a szervezet mérete volt. Pontosabban, a nagyobb méretű vagy több hozzáférési kérelmet fogadó adatkezelők nagyobb valószínűséggel értek el magasabb szintű megfelelést, mint a kisebb erőforrásokkal rendelkező kis szervezetek.
A jelentés továbbá áttekinti a felügyeleti hatóságok által már végrehajtott vagy folyamatban lévő intézkedéseket, beleértve az iránymutatásokat, a felügyeleti hatóságok végrehajtási és egyéb (konferenciákra és tájékoztató kampányokra vonatkozó) intézkedéseit is.
A közösen elfogadott kérdőív és a részt vevő felügyeleti hatóságok – beleértve a NAIH-ot is – (angol nyelvű) nemzeti jelentései – amelyek további részleteket tartalmaznak a kapott eredményekről, valamint a nemzeti szintű elemzésekről és észrevételekről – a jelentés mellékletében találhatók.
A jelentés és annak mellékletei (angol nyelven) elérhetőek az EDPB weboldalán:
https://www.edpb.europa.eu/our-work-tools/our-documents/other/coordinated-enforcement-action-implementation-right-access_en
- A jelentés: https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf
- A melléklet 157. oldalán található a NAIH jelentése: https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_annex_en.pdf
A jelentés elfogadását követően az EDPB (is) közleményt adott ki: https://www.edpb.europa.eu/news/news/2025/cef-2024-edpb-identifies-challenges-full-implementation-right-access_en
Korábbi (a kérdőíves felmérés indulásakor kiadott) közlemények:
- EDPB: https://www.edpb.europa.eu/news/news/2024/cef-2024-launch-coordinated-enforcement-right-access_en
Budapest, 2025. január 23.
Dr. habil. Péterfalvi Attila
elnök
c. egyetemi tanár
[1] Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet vagy GDPR).
[2] az érintettek jogairól szóló 01/2022. sz. európai adatvédelmi biztos iránymutatás - hozzáférési jog https://www.edpb.europa.eu/system/files/2024-04/edpb_guidelines_202201_data_subject_rights_access_v2_hu.pdf
- Részletek
- Kategória: Hírek
A Hatóság közzétette a 2024. évi Adatvédelmi tisztviselők konferenciáján készült előadások videó anyagait.
Reméljük, hogy a közzétett előadások hasznosnak bizonyulnak majd az adatvédelmi tisztviselői tevékenységük ellátása során és a jövő évi konferencián is számíthatunk részvételükre.
- Részletek
- Kategória: Hírek
Az olasz adatvédelmi hatóság (Garante) által 2024 november végén közzétett, angolul 2025 január elején köröztetett sajtóközleménye szerint a Gedi médiaszolgáltatót formálisan figyelmeztették arra, hogy ne osszon meg személyes adatokat tartalmazó médiatartalmakat a ChatGPT tanítása céljából a ChatGPT-t létrehozó OpenAI-al. A tiltás indoka, hogy jelentős mennyiségű különleges és bűnügyi adat lehet a médiatartalmakban, és az azzal kapcsolatos, a Garante által ellenőrzött adatvédelmi hatásvizsgálat nem tartalmaz megfelelő garanciákat ezen adatok kezelésére.
A másik sajtóközleményben arról számolnak be, hogy a Garante a ChatGPT olaszországi adatvédelmi megfelelésére irányuló vizsgálata során több jogsértést is megállapított a ChatGPT-t 2024. február 15. előtt üzemeltető USA-beli OpenAI céggel szemben (2024. február 15. előtt az OpenAI nem rendelkezett uniós tevékenységi hellyel, az ezen időpont előtti adatkezelések tekintetében minden tagállami adatvédelmi hatóság a saját területe vonatozásában jár el és az Európai Adatvédelmi Testület a GDPR egységes alkalmazása érdekében a ChatGPT Munkacsoport (TaskForce) keretében hangolja össze a tagállami eljárásokat.) A Garante megállapította, hogy az OpenAI nem teljesítette a bejelentési kötelezettségét a 2023 márciusi adatvédelmi incidenssel kapcsolatban, a ChatGPT fejlesztését úgy kezdte meg, hogy a tanításra használt személyes adatok jogalapját nem tisztázta előre, és megszegte az átláthatóság és megfelelő tájékoztatás biztosítására irányuló adatkezelői kötelezettségeit. Ráadásul az OpenAI nem biztosított megfelelő korhatár-ellenőrzést a szolgáltatás használata előtt, így a 13 évnél fiatalabbakat nem védte meg a korukból adódóan számukra potenciálisan káros tartalmaktól. A Garante az olasz adatvédelmi törvény egy új jogkövetkezményét alkalmazva egy 6 hónapos rádió, televízió, újság és internetes tájékoztató kampányra kötelezte az OpenAI-t és 15 000 000 EUR összegű adatvédelmi bírságot szabott ki a fenti jogsértések miatt. A folytatólagos adatkezelések vizsgálatát a Garante az ügy irataival együtt áttette a 2024. február 15-ét követően illetékes ír adatvédelmi hatósághoz.
Az eredeti olasz nyelvű sajtóközlemények az alábbi hivatkozásokon találhatóak:
https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10076913
https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10085432
