Az új uniós rendeletről tartottak szakmai napot Kecskeméten

Másfél hét, és hatályba lép az Európai Unió 2016 áprilisában elfogadott új általános adatvédelmi rendelete (General Data Protection Regulation, GDPR), ami adatkezelés területén komoly teendőket ad mind a közfeladatot ellátó szervezeteknek, mind a vállalkozásoknak. A témában szakmai napot tartottak tegnap a Neumann János Egyetem GAMF Karán.

Először dr. Péterfalvi Attila, a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) elnöke foglalta össze az általános tudnivalókat, majd az oktatás, a közszféra és az egészségügy vezetői, munkatársai hallhattak fontosabb információkat a területüket érintő fontosabb kérdésekről.

Mi indokolta az új uniós rendeletet? A válasz kézenfekvő: tudjuk, hogy manapság az adat óriási érték, birtoklása pedig hatalmat is jelenthet. Anyagiakban számszerűsítve egészen elképesztő összeget említett Péterfalvi Attila: az Európai Unióban 2020 után évente a személyes adatok értékét ezermilliárd euróra becsülik, a közérdekű adatokét pedig a kétszeresére, kétezermilliárd euróra. Ennyit hozhat az adatok gyűjtése, újrahasznosítása, elemzése. Ugyanakkor a digitalizáció és a globalizáció megköveteli az adatok védelme terén a szilárd, következetes jogi keretet és az erős kikényszeríthetőséget – fogalmazott a NAIH elnöke.

A GDPR-t minden szervezetnek, cégnek, vállalkozásnak alkalmaznia kell, amely az Unió területén élő polgárok adatait kezeli vagy dolgozza fel, függetlenül attól, hogy a székhelye az Európai Unióban van, vagy azon kívül. Azaz a legnagyobb közösségi oldal, a Facebook sem bújhat majd ki alóla, akkor sem, ha esetleg az USA-ba helyezi át írországi adatkezelő központját. Még az ellenőrzéseket sem tudja megúszni – jelentette ki Péterfalvi Attila.

Az új uniós adatvédelmi rendelet megszünteti az egyes tagországok közötti különbségeket, és közvetlenül kell alkalmazni a magyar jogrendszerben, azaz szabályai nem lesznek beleépítve hazai törvényekbe, rendeletekbe. Újdonságként hozza az adatvédelmi tisztviselőket, és azt a kötelezettséget is, hogy az adatkezelőnek személyes adat jogellenes kezelése vagy feldolgozása (adatvédelmi incidens) esetén bejelentést kell tennie a felügyelő hatóság felé, mégpedig indokolatlan késedelem nélkül, legfeljebb 72 órán belül (eddig csak nyilvántartást kellett vezetni az ilyen esetekről).

A kiszabható bírságok első hallásra elég rémisztőek: az eddigi százezertől húszmillió forintig terjedő sávból nagyságrendekkel fentebb ugrottak. A büntetés lehet akár tízmillió eurós, jogellenes adatkezelés vagy a biztonsági követelmények megsértése esetén viszont elvileg húsz­millió eurós, vagyis több mint 6 milliárd forintos bírsággal is lehet sújtani ezentúl az adatkezelőket.

Zömében panaszbeadványok után fognak vizsgálatokat indítani

Péterfalvi Attila igyekezett mindenkit megnyugtatni: nem fognak senki ajtaja előtt május 26-án toporogni, hogy jöttek ellenőrizni, az adatkezelés megfelel-e a GDPR-nek; a jövőben is általában panaszbeadványok alapján folytatják le az eljárásokat, bár lehetnek majd közös uniós akciók. Az viszont rossz hír a mikro-, kis- és közepes vállalatoknak, hogy noha egy tavalyi bírósági döntés szerint őket nem bírságolhatja, csak figyelmeztetheti a NAIH az első mulasztásuk után, ezzel az automatikus védelemmel a jövőben nem számolhatnak. Azaz, ahol eddig még nem tették meg, mindenképpen érdemes GDPR-kompatibilissé tenni az adatkezelést.