Jóval fontosabbá válhat az eddiginél az adatvédelem a magyar cégek életében. Az új adatvédelmi törvény olyan elvárásokat támaszt, amelyek teljesítése sok vállalatnál komoly fejlesztéseket igényelne. Sokan azzal sincsenek tisztában, hogy adatkezelésük nem felel meg a követelményeknek.
Az év elején felállt a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), és már az első bírságokat is kirótta adatvédelmi szabálysértések miatt. De mi is áll e vehemencia mögött?
Hozzájárulás nélkül is
Az új adatvédelmi törvény megjelenése előtt a cégek csak az érintett hozzájárulásával használhatták fel annak személyes adatait. Ez a rendelkezés az új törvény életbe lépése után is megmaradt, de kiegészül két új jogalappal, amelyek lehetővé teszik a hozzájárulás nélküli adatkezelést is. Az egyik az adatkezelőre vonatkozó jogi kötelezettség teljesítése, a másik az adatkezelő vagy harmadik személy jogos érdekének az érvényesítése. Ez első ránézésre valóban komoly előrelépésnek tűnhet, ám az új törvény a két új jogalap alkalmazását feltételekhez kötötte. Azaz a beleegyezés nélküli adatkezelés csak akkor lehetséges, ha az érintett hozzájárulásának beszerzése lehetetlen vagy aránytalan költséggel járna – mutat rá a helyzet fonákságára Kozma Zoltán, a Horváth és Társai DLA Piper ügyvédi iroda témával foglalkozó ügyvédje.
A szakértő szerint ez a kitétel valójában teljesen ellehetetleníti a jogalapok egyébként kívánatos és kedvező irányú bővülését. Ez a félmondat ugyanis igen szubjektív jogértelmezést tesz lehetővé, és nagyon leszűkítheti azoknak az eseteknek a körét, amikor a hozzájárulás beszerzése ténylegesen megoldhatatlan. Felvetődik a kérdés: egy több tízezer vásárlójának vagy ügyfelének adatait kezelő nagyvállalat számára vajon kivitelezhetetlen-e az érintettek hozzájárulásának beszerzése az adatok kezelése céljának, módjának megváltozásához?
Hiszen ilyen eset lehet például már az is, ha az adatállomány egy másik adatkezelőhöz, például a cég külföldi anyavállalatához kerül. Hasonló a helyzet az „aránytalan költség” megfogalmazással is.
Jogellenes már a bérszámfejtés is?
Valójában a nagyobb és a közepes méretű cégeket szinte kivétel nélkül érintő dilemmáról van szó. Üzleti tevékenységük során ugyanis a vállalatok folyamatosan továbbítanak személyes adatokat: többek között munkavállalói vagy ügyfél-adatbázisokat. A jogszabály szellemében pedig már a hozzáférés lehetőségének megteremtése is adattovábbításnak minősül, vagyis a jogellenességhez elég annyi, hogy egy anyacég betekintést kérjen a magyar leányvállalat marketing célú kapcsolati adatbázisába, vagy egy bérszámfejtő cég cloud computing rendszerben működő szerverre telepítse az adatállományát.
Mindez nemcsak a cégek számára jelent jogbizonytalanságot, a kérdés a magyar hatáskörrel bíró hatóságoknak is gondot okozhat. A jelenlegi uniós irány ugyanis éppen az, hogy az adatkezelésben csökkentsék a személyes hozzájárulás mint jogalap kizárólagosságát – különösen a munkavállalói adatok kezelése tekintetében. Az Európai Bíróság pedig hasonló ügyben marasztalta el Spanyolországot tavaly év végén.
Bizonytalan a felhőszolgáltatás jövője is?
A felhőszolgáltatások előnyei pedig világosak: személyre szabhatóság, könnyű elérhetőség, az éppen szükséges méretű tárhely bérlésének lehetősége. Fontos azonban tisztában lenni az új megoldást övező esetleges kihívásokkal, kérdésekkel is.
Talán éppen az adatvédelmi nehézségek merülnek fel leggyakrabban a felhőszolgáltatás kapcsán. A legalapvetőbb kérdés jelenleg a következő: található-e személyes adat a felhőben? Ha a válasz igen, akkor a felek kötelesek betartani a személyes adatok védelméről szóló jogszabályokat. Ez, mint fentebb már jeleztük, akkor fordulhat elő, ha például a felhasználó cégek az alkalmazottak adatait is a felhőben tárolják. Márpedig abban a pillanatban, amikor egy vállalat egy felhőszolgáltatón található programot vesz igénybe mondjuk a bérszámfejtéséhez, elő is áll ez a helyzet.
A dilemma tehát a cégek mindennapi tevékenységeit is érinti. Ehhez képest egyelőre nem tudni biztosat arról, hogy a felhőszolgáltatók jogilag adatkezelőnek vagy adatfeldolgozónak minősülnek-e.
Előbbire jóval szigorúbb jogszabályi előírások vonatkoznak, hiszen az adatokkal aktívan foglalkozik, míg utóbbi adott esetben csak tárolja őket. A gyakorlat jelenleg amellett szól, hogy ezek a szolgáltatók adatfeldolgozónak minősülnek, azonban még sem a bíróságok, sem a NAIH nem foglalkoztak a kérdéssel.
Egyelőre az sem világos, hogy ha a felhőszolgáltató és a felhasználó vállalat nem azonos országban tevékenykedik, illetve ha az adatkezelésben több tagállam érintett, melyik ország adatvédelmi szabályozása az irányadó. Erre egyelőre az uniós adatvédelmi irányelv rendelkezései végrehajtását elősegítő testület, az úgynevezett 29-es Munkacsoport iránymutatása ad csak választ.
Vigyázz, büntet a NAIH!
Nehezíti az adatvédelmi szabályok betartását az a körülmény, hogy az adatok kezeléséhez szükség van az adatalanyok hozzájárulására is, és csak bizonyos, egyelőre szűk körű törvényi kivételek esetén lehet eltekinteni ettől. Nyilvánvaló, hogy egy több ezer fős cégnél ez súlyos adminisztrációs terhet jelent. Könnyelműek pedig semmiképpen sem lehetünk e területen, már csak azért sem, mert az év elején felállt NAIH erős szankcionálási jogosítványokkal rendelkezik, amelyekkel a gyakorlatban is magabiztosan él. Bár az első három bírság nem kapcsolódik szorosan a felhőszolgáltatáshoz, ezek közül kettőben azért kaptak többmilliós, illetve 800 ezer forintos büntetést az érintettek, mert az általuk kiküldött körleveleken látni lehetett a többi címzett e-mail címét is.
Tehát a vállalatoknak sokkal komolyabban kell venni az adatvédelmi szabályok betartását, mint a bírságolási joggal nem rendelkező adatvédelmi biztos ideje alatt. A NAIH ugyanis szigorúbb eszközökkel képes fellépni az esetleges jogsértések ellen.
Összeállította: Mártonffy Attila
