Az EU-s nemzeti adatvédelmi hatóságok döntései befolyásolják 2022-ben a hazai GDPR-joggyakorlatot, legyen az a Schrems II ítélet miatti változások következménye, vagy a szinte összes vállalat életében jelen lévő Google Analytics-szel kapcsolatos osztrák döntés. Itthon egy ügyfél-elégedettségi felmérés kapcsán hozott ítélet ad kapaszkodót a vállalatoknak.
Max Schrems osztrák ügyvéd és jogvédő aktivista még csak 34 éves, de az biztos, hogy sok amerikai technológiai vállalatnál szitokszóként használják a nevét. Hiszen kétszer is elérte, hogy a szigorú európai adatvédelmi intézkedéseket komolyan vegyék nemcsak az öreg kontinensen, hanem az adatvédelem területén nem jeleskedő Amerikai Egyesült Államokban. A Schrems II-es döntést 2020. július 16-án hozták meg. (Lásd „A Schrems-ítélet háttere” című keretet!) A rá következő évben az EU-n kívüli országokban történő adattovábbítás feltételeiről több olyan döntés is született, amelyek az idei év GDPR-gyakorlatát is meghatározzák.
„Ha az EU-n kívülre továbbítunk adatokat, akkor az Európai Bizottság által előírt mintaszerződés megléte mellett a vállalatoknak fel is kell mérniük, hogy az ország mennyire kockázatos”, mondja Domokos Márton, a CMS adatvédelmi ügyvédje. Mindezt az Európai Adatvédelmi Testület ajánlásai tartalmazzák, amelyek a Schrems II döntés kapcsán születtek. Ez a gyakorlatban azt jelenti, hogy a vállalatoknak országkockázati vizsgálatot kellene végezniük, az adott ország jogrendszerét kellene értékelni kockázatelemzés szempontjából.
Nem biztos, hogy erre az alkotmányjogi feladatra van a cégeknek elegendő erőforrása és pénze. Egy olyan elemzésről van szó, amely gyakorlatilag az asztalfióknak készül, és valószínűleg csak adatvédelmi panasz esetén kéri be a hatóság. Ennek bonyolultsága és költségei miatt a mindennapokban vállalatok inkább kivárnak és megnézik, hogy idén mi lesz a hatósági gyakorlat, ténylegesen mennyire kéri számon a hatóság ezeket a kockázatelemzéseket. Adattovábbítások területén itthon is vannak hatósági eljárások, amelyek eredményét érdeklődve várják az adatvédelemmel foglalkozók.
Mi az a hatásvizsgálat?
Adattovábbítás területén létezik egységes ajánlás az Európai Adatvédelmi Testülettől, ám több más kérdésben a különböző EU-országok adatvédelmi hatóságainak döntéseire és ajánlásaira kell támaszkodniuk a vállalatoknak. Egy ehhez hasonló, sok vállalatot érintő döntést hozott például az osztrák adatvédelmi hatóság 2021. december 22-én, amely egyrészt megerősítette, hogy az adott weboldalak IP-címe személyes adat, másrészt pedig kimondta, hogy ha egy szervezet használja a Google Analytics-et, és az elemzés során személyes adatokat (cookie-k segítségével gyűjtött adatokat, IP-címeket) továbbítanak az Amerikai Egyesült Államokba, kiemelt figyelmet kell szentelnie az adatvédelmi szempontoknak.
Minimum követelmény, hogy a vállalatoknak fel kell tüntetniük a Google Analytics használatát adatkezelési tájékoztatójukban, illetve adattovábbítási hatásvizsgálatot kell végezniük. Az osztrák hatóság határozata azonban azzal kapcsolatban nem ad iránymutatást, konkrétan milyen további technikai és szerződéses feltételek mellett használható a Google Analytics. Az adatvédelmi ügyvéd szerint ezért egy ehhez hasonló döntés komoly romboló hatást gyakorol a bejáratott üzleti modellekre. Jogi oldalról pontosan nem lehet elmondani egy fejlesztőnek, hogy az évek óta használt eszközzel mi a konkrét probléma, és arra sem lehet javaslatot tenni, hogy mit kellene változtatni az eszköz jogszerű használathoz.
A weboldalakon gyakran használt sütikkel kapcsolatban azonban több EU-s ország – például Franciaország, Spanyolország, Olaszország – adatvédelmi hatósága apró részletekbe menő gyakorlati útmutatót bocsátott ki. Ezek az iránymutatások arra is kitérnek, hogy javaslatuk szerint milyen színű legyen az a gomb, amivel a cookie-kat elfogadhatják a felhasználók. „Ezek konkrét, jól használható nemzeti útmutatások, de az európai szintű, egységes hozzáállásnak és ajánlásoknak jobban örvendenének az adatvédelmi szakemberek”, mondta Domokos Márton.
Ügyfélelégedettség-mérés meglepetés nélkül
A magyar adatvédelmi hatóság, a NAIH, 2021. októberi döntése fontos iránymutató az ügyfélelégedettség-mérés kapcsán. A hatóság egy gépkocsi-márkaszerviz és a vele együttműködő importőr cég által végzett ügyfélelégedettség-méréssel kapcsolatos adatkezelési gyakorlatot vizsgálta. A NAIH több jogsértést is talált az adatkezeléssel kapcsolatban, és 5 millió forint bírságot szabott ki az ügyfélelégedettség-mérést végző társaságra.
|
A Schrems-ítélet háttere A GDPR szigorú adatvédelmi követelményeket fogalmaz meg a személyes adatokkal kapcsolatban, az elvárások az adatok tárolásának helyétől függetlenül érvényesek. Miután az EU és az Amerikai Egyesült Államok közötti összefonódások igen erősek, az Európai Bizottság a Safe Harbour, majd a Privacy Shield amerikai keretrendszer elismerésével engedélyezte a személyes adatok továbbítását az országok között. A kétoldalú kereskedelmet is segítő elképzelés alapja, hogy a fenti keretrendszerekhez csatlakozott vállalatok elég komolyan védik a személyes adatokat, nem kell minden egyes vállalatnak külön adattovábbítási megállapodást kötnie európai partnerével. Max Schrems osztrák ügyvéd és jogvédő aktivista azonban úgy találta, hogy a Safe Harbour, majd a Privacy Shield már nem védi eléggé az európai felhasználók adatait, így az Európai Bíróság elé vitte panaszát kétszer is, ahol mindkét alkalommal olyan döntések születtek, amelyek az említett keretrendszerek visszavonásával komolyan befolyásolták, megváltoztatták és megnehezítették az európai-amerikai adatátvitel folyamatát. |
A hatóság határozatának fontos tanulsága, hogy önmagában nem jogellenes a címzettek hozzájárulása nélkül, jogos érdek jogalapon ügyfél-elégedettséget mérő kérdőíveket küldeni. Fontos azonban a fokozott tájékoztatás és az előzetes tiltakozási jog biztosítása a címzettek számára. Vagyis a vállalatoknak érdemes úgy megírni az adatkezelési tájékoztatót, hogy az érintettek ne lepődjenek meg, amikor adatkezelési kérdés merül fel, és vállalatként az ügyfél személyes adatait felhasználva kapcsolatba lépünk vele.
Vass Enikő
