Source: https://szemelyesadatok.blog.hu/?token=7c4d54e51f991a9d71f3bb2850e88a1c
Timestamp: 2019-02-17 02:31:59+00:00

Document:
2018. május 29. - Kuviklacz
Gondolom nem én vagyok az egyetlen (egyik ismerősöm a facebookon panaszkodott is miatta), aki sorra kapja az értesítéseket azoktól, akik az adataimat nyilvántartják, hogy megfelelnek az új általános adatvédelmi rendelet követelményeinek, szíveskedjek elolvasni adatvédelmi nyilatkozatukat, esetleg bele is egyezni, illetve adjam hozzájárulásomat adataim további kezeléséhez, ha kapcsolatban akarok maradni, kapni akarom a hírlevelet stb.
Május 25-étől ugyanis alkalmazni kell az új szabályokat - két év felkészülési idő után.
A fentemlített panaszra egyik ismerősünk úgy reagált, hogy egy csomó helyről kap értesítést, amelyekről nem is sejtette, hogy kezelik (amibe beletartozik többek között a tárolás, közzététel, feldolgozás stb.) adatait, és ez már eredmény.
Annak ellenére, hogy ismertem a régi és ismerem az új szabályokat (az uniós intézményekre vonatkozó speciális szabályozás kidolgozásában érintőleg, mint egyik alkalmazó képviselője, részt is vettem), meglepett, hogy ennyi értesítést kapok. Az adatkezelés törvényességét megalapozó indokok, de az adatvédelmi nyilatkozatok kötelező tartalma nem változott lényegesen ugyanis, inkább a lehetséges szankció, az új rendelet körüli hírverés és az érintett személyek (ez a kifejezés azokat jelenti, akiknek a személyes adatait kezelik) jogainak inkább pontosítása, mint kiterjesztése lehet az, ami cselekvésre ösztönözte az adatkezelőket (akik az adatokat nyilvántartják, közzéteszik stb., vagyis akik felelősek az adatok kezeléséért). Igaz, több jogunk van megtiltani adataink kezelését, és nem számít beleegyezésnek (hozzájárulásnak) a passzív tűrés.
Akik átdolgozták adatkezelési nyilatkozatukat, azok nagy eséllyel eddig túl lazán kezelték annak tartalmát. Nem mindenkinek kellene beleegyezésünket kérni, csak azoknak, akik beleegyezés alapján kezelik az adatokat, és nem kérték meg ezt úgy, hogy az egyértelmű, informált és aktív legyen, vagyis nem egy előre bejelölt kocka bejelölve hagyása, vagy implicite a szolgáltatás használata. Ez utóbbiak ugyanis az új szabályok szerint nem számítanak beleegyezésnek.
A hozzájárulás az új rendelet kommunikációjában nagy szerepet kapott, szerintem nagyobbat, mind amennyit megérdemelt volna. Vannak ugyanis más jogalapok is, hogy adatankat kezeljék, ezek egyike például az adatkezelő jogos érdeke. És a preambulum szerint (amely persze nem része a kötelező előírásoknak, a bíróság azonban felhasználhatja a jogalkotó szándékának megállapítására) a direkt marketing is jogos érdeknek minősülhet. De például egy szerződés végrehajtása érdekében is kezelhetnek adatot a szerződéses felek.
Miért érdekesek ezek a más jogalapok? Azért, mert a hozzájárulás bármikor visszavonható, míg a más alapon történő adatkezelés ellen csak megfelelő indokkal lehet kifogást emelni. Erre sokan rá fognak jönni, ha szembesülnek azzal, hogy az ügyfeleik, akiktől megkérték a hozzájárulást, megtagadják azt az adatkezelő számára szükséges adatok kezeléséhez is. Érdemes tehát ésszerűen végiggondolni, megtagadjuk-e hozzájárulásunkat.
Hozzájárulás Jogok Adatvédelem Személyes adatok Új adatvédelmi rendelet Adatkezelő
2017. december 13. - Kuviklacz
Valóban nem lehet az adataimat a hozzájárulásom nélkül használni? Vagy legalább mindig tudnom kell, hogy mi történik az adataimmal?
A hozzájárulás (vagy beleegyezés) nem az egyetlen, nem is a legfőbb alap arra, hogy személyes adatokat kezeljen valaki, kivéve az érzékeny adatokat (különleges adatok kategóriája, ilyenek az egészségre, etnikai eredetre, vallásra, politikai véleményekre, szexuális orientációra vonatkozó adatok), de ezek esetében is lehet őket kezelni meghatározott indokok esetén, például az érintett személy életét fenyegető veszély elhárítása érdekében.
Itt érdemes tisztázni két fogalmat: adatkezelésnek nevez a jogszabály majdnem minden tevékenységet, amelyet a személyes adatokkal végeznek, az érintett személy pedig az, aknek az adatait kezelik.
Az adatvédelmi szabályok két ellentétes filozófia között kell megtalálják a megfelelő kompromisszumot: sokan tartják az adatvédelmet felesleges tehernek, szerintük nekik semmi titkolnivalójuk nincsen, a "titkolózás" csak a bűnözőket, a stikliket elkövetőket védi. Ez egy kicsit "amerikai" felfogás, ahol ugyan létezik a magánélet védelme, de ez inkább annak a joga, hogy az egyént "békén hagyják", az aktív beavatkozás ellen véd (ezért lehet ott a magánélet védelme alapján alkotmányellenes az abortusz tiltásatiltásag) - amelybe beletartozik a megfigyelés, az adatok gyűjtése is, de ennél sokkal radikálisabb az európai filozófia: a személyes adatok az egyén tulajdonát képezik, és az azok feletti rendelkezés jogát csak indokolt esetben lehet elvitatni tőle. Érdekes módon a magyar Alkotmánybíróság az első értelmezés mellett tört lándzsát 3110/2013. (VI. 4.) döntése 88. paragrafusában, amikor a magánszférába történő aktív behatolás nélkül, tehát nem megfigyelés útján folytatott adatgyűjtést nem tekintette a magánszférához való jog megsértésének.
Azért az első - "nincs titkolnivalóm" - filozófia vajon azt is jelenti, hogy egy független fiatal - aki esetleg több partnerrel is kapcsolatot tart - egyik partnerének meg kell tudnia, hogy egy másikkal hol volt annak érdekében, hogy egy parkolási díjat (nem bírságot) behajtsanak tőle?
A szükségesség és az arányosság fontos szerepet játszanak annak meghatározásában, hogy egy adatkezelés indokolt-e vagy sem.
Az elvek tehát (zárójelben kissé egyszerűsítve tartalmuk legfontosabb elemei; fontos, hogy egyesek alól indokolt esetben kivételek lehetnek, például indokolt lehet, hogy az érintett személy ne tudjon adatai kezeléséről pl. egy vizsgálat esetén):
jogszerűség, tisztességes eljárás és átláthatóság (megfelelő jogalap kell és az érintett személynek tudnia kell az adatkezelésről és annak módjáról)
célhoz kötöttség (adatot kezelni csak meghatározott, egyértelmű és jopgszerű célból lehet)
adattakarékosság (a szükségesre kell korlátozódniuk)
pontosság (az adatoknak pontosnak és naprakésznek kell lenniük)
korlátozott tárolhatóság (csak a szükséges ideig tárolhatóak)
integritás és bizalmas jelleg (az adakothoz illetéktelenek nem férhetnek hozzá, azokat nem módosíthatják)
Az adatfeldolgozást indokolhatja:
ha az adatkezelés szerződés teljesítéséhez szükséges
az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, ha ezzel szemben az érintett személy alapvető jogainak érvényesítése nem élvez elsőbbséget, különösen igaz ez a korlátozás gyermek esetén.
Visszatérve ezután a hozzájárulásra: az új rendelet tisztázza, hogy amennyiben ez az adatkezelés alapja, egyrészt a szükséges információ birtokában,másrészt kifejezetten, aktívan kell történnie. Amennyiben például egy kocka vagy kör bejelölésével jelezzük, a kocka vagy kör nem lehet előre bejelölve, vagy azzal, hogy egy szolgáltatást használok, implicite nem adok hozzájárulást.
A transzparencia, vagyis jogom a tájékoztatáshoz minden esetben fennáll, csak nagyon korlátozott kivételekkel nem kell tudnom adataim kezeléséről és annak módjáról. Megnyugtatandó azokat, akik szerint az adatvédelem a bűnözőket védi: a bűncselekmények felderítése és üldözése szerepel ezek között a kivételeo között, sőt, a bűnüldözés és szankcionálás területén egy másik irányelv szabályozza a személyes adatok kezelését - irányelv lévén, keretei között a tagállamok szabadon határozhatnak meg szabályokat.
Megfogalmazásában új az elfeledtetés joga (így fordították, nyelvtanilag precízen). Már régóta folynak viták arról, hogy helyes-e, hogy ami egyszer felkerült az internetre, örökre megtalálható lehet. Aztán egy spanyol úr megtámadta a Google-t - sikeresebben, mint don Quijote a szélmalmokat -, hogy távolítsa el a találatai közül egy régebbi ballépésének nyomát. Az ügy az Európai Bíróság elé került, amely az akkor hatályos adatvédelmi irányelv alapján is megalapozottnak találta az érvelést, hogy az információ idővel elvesztette jelentőségét. Így aztán az új európai adatvédelmi rendeletben is megjelent ez a jog. Tartalma azonban nem azonos - a Google ügyben csak a névre végzett keresések eredményei közül kellett eltávolítani az információt, az eredeti internetes közzététel érintetlen maradt. A rendelet azonban az információ eltávolítását írja elő - értelemszerűen a feltételek is szigorúbbak. Világos azonban, hogy az információt el kell távolítani, ha nem szükséges többé - ez csak egy kokrétabb megfogalmazása az elvnek, hogy csak a szükséges információt és csak a szükséges ideig szabad kezelni -, de lehetővé teszi egyrészt a hozzájárulás egyszerű visszavonását, különösen, ha valaki gyerekként kezdett egy információs társadalomi szolgáltatást igénybe venni, másrészt lehetővé teszi (amrégi szabályoknak megfelelően, hogy egy személy speciális körülményeire hivatkozva kérje személyes adatai eltávolítását (tehát hiába jogszerű általában az adatok megtartása, az adott személy adatait indokolt lehet eltávolítani).
Azokban az esetekben, ha az adatkezelés alapja az érintett beleegyezése vagy a vele kötött szerződés, kérhető, hogy az adatokat géppel olvasható formában rendelkezésére bocsássák, illetve egy másik adatkezelőnek átadják. Ennek jelentősége szolgáltatóváltáskor van, és kiterjedhet például az e-mail fiókban tárolt levelezésre vagy a mobiltelefonos híváslistákra is. Legalábbis erre utal a jelenlegi irányelv 29. cikke alapján a tagállamok adatvédelmi hatóságai által létrehozott munkacsoport (amely jövő májusban átalakul a jóval nagyobb hatáskörű Adatvédelmi Tanáccsá) által közzétett útmutatás, amly persze felveti, hogy ennek során a híváslistában vagy e-mailekben szereplő más személyek jogait is figyelembe kell venni. Hogy ez hogy fog működni, az a gyakorlatban fog kiderülni, az útmutatás önmagában nem bír joghatállyal, de ezért említettem, hogy a testület jogutódja több hatáskörrel fog bírni.
További jogokról és egyéb gyakorlati szempontokról a következő részekben lesz szó.
Alkotmánybíróság Európai Bíróság Jogok Adatvédelem Személyes adatok DIgitális társadalom
2017. április 09. - Kuviklacz
Az Európai Parlament határozatot fogadott el, amelyben aggodalmát fejezi ki, mert az USÁ-ban gyengítik (aláássák, írják ők) az adatvédelmi biztosítékokat amelyeket a "Privacy Shield" biztosít, az EU és az USA közötti megállapodás, melynek célja, hogy az EU elismerje, hogy az USÁ-ban az európaival egyenértékű védelmet élveznek az uniós polgárok személyes adatai.
Ebben utalnak arra, hogy nemrég nyilvánosságra került, hogy 2015-ben is titkos megfigyelést végzett az NSA és az FBI számára az egyik amerikai távközlési szolgáltató, valamint felidéznek egy pár rendelkezést, amelyek gyengítik a személyes adatok védelmét. Emellett kifogásolják, hogy a Privacy and Civil Liberties Oversight Board létszáma a határozatképtelenségi határ alá csökkent - ennek a testületnek a feladata az adatkezelések felügyelete - és a Privacy Shield közvetlen felügyeletét ellátó Federal Trade Commission (az adatvédelmi együttműködés, miután amerikai vállalatok kereskedelmi érdekeit érinti, mindig is a Kereskedelmi Minisztérium alá tartozott -, nem nevezték ki a jogok új biztosát és hiányoznak a garanciák, hogy az európai polgárok az USÁ-ban hatékony jogvédelemben részesüljenek ezen a területen.
Miről szól (mondanánk pestiesen) mindez?
Az Európai Bizottság joga, hogy határozattal megállapítsa, ha egy, az Európai Gazdasági Térségen kívüli országban a személyes adatok védelme egyenértékű (nem azonos) az EU által biztosítottal. Az Egyesült Államokkal egy önminősítési rendszeren alapuló megállapodás, a "Safe Harbour" egyezmény biztosította, hogy azon vállalkozások esetén, amelyek megfeleltek az önminősítés követelményeinek és ezt bejelentették a Federal Trade Commission-nál, ezt elismerte és így ezeknek a vállalatoknak ugyanúgy lehetett személyes adatokat átadni, mint más EU-beli vállalatoknak (így például informatikai szolgáltatást végezhettek).
Egy Maximilian Schrems nevű osztrák joghallgató bepanaszolta a Facebook Írországot (a Fb európai központját) az ír adatvédelmi biztosnál, hogy adatait jogtalanul adja át az Egyesült Államokban székelő anyavállalatának.. Részletek mellőzésével: az ügy az Európai Bíróságnál landolt, amely érvénytelenítette ezt. Az indok főleg az volt, hogy a Snowden-féle leleplezések megmutatták, hogy az amerikai kormányzat tömegesen és differenciálatlanul hozzáfér az amerikai cégeknél tárolt személyes adatokhoz, valamint hogy nem áll az európai polgárok rendelkezésére megfelelő jogorvoslati lehetőség arra az esetre, ha megsértik személyes adataikhoz fűződő jogaikat.
Ezt volt hivatva kiküszöbölni az említett "Privacy Shield". Ez még nem állta ki a bíróság próbáját, de jelenleg érvényben van.
A Facebook azonban más utat választott: az EU által elfogadott "Modellszerződés" alapján adja most át az adatokat. M. Schrems ezt is megtámadta.
Amíg bíróság nem érvényteleníti mindkét megoldás jogilag megalapozott. Majd lesz egy poszt általában is az EGT-n kívülre történő adattovábbításról, most maradjunk az USÁ-nál. Mi itt a kockázat?
Nos, a vállalati megoldások problémája az, hogy nem védenek az állami beavatkozás ellen. A "P.A.T.R.I.O.T." act (angolul egyrészt hazafit jelent, másrészt a törvény részletes megnevezésének rövidítése) ugyanis kötelezővé teszi minden vállalat számára, amely a hatálya alá tartozik, hogy személyes adatokat adjon át, ha az amerikai hatóságok a terrorizmus elleni harc érdekében szükségesnek tartják. A törvény hatálya alá pedig azok az Amerikán kívüli vállalatok is odatartoznak, amelyek jelentős tevékenységet folytatnak az USÁ-ban, és "természetesen" elvileg idetartoznak az amerikai cégek európai leányvállalatai is.
Legújabban az okozott némi felzúdulást, hogy Trump aláírt egy elnöki rendeletet, amely szerint senki nem tagfadhatja meg adatok kiadását, ha nemzetbiztonsági szempontból szükséges. Van azonban a rendeletben egy félmondat: "a hatályos jogszabályok keretei között". Ebbe beleértendő a "Privacy shield"-et életbe léptető rendelet is. Ezt Az USA külön megerősítette az Európai Bizottságnak.
A "Privacy Shield" szerepe, hogy az európai polgárok számára védelmet, illetve jogorvoslati lehetőséget biztosítson. A Trump által nemrég hozott rendelet, amelyben ismét előírta, hogy adatvédelmi megfontolások nem állhatnak az állambiztonsági okból kért adatok kiszolgáltatásának útjába, tartalmaz egy kitételt: "a hatályos jogszabályok betartásával". A "Privacy Shield" keretében elfogadott jogszabályok is ide tartoznak, tehát jogilag minden rendben van. De hogy a bíróságok hogy fogják ezt megítélni, az kérdéses.
És bizonyos esetekben ez amerikai bíróságokra fog hárulni. Két ügy van folyamatban, mindkettő az amerikai biztonsági szolgálatoknak az amerikai cégek európai leányvállalatai által Európában tárolt adatokra vonatkozik, A Microsoftnak sikerült nyernie: nem köteles kiadni az adatokat. A Google egy másik bíróságon vesztett. Kis különbség, hogy a Google nem állította határozottan, hogy az adatok kizárólag Európában vannak tárolva, ő azt állította, hogy nem tudja, hogy vannak-e adatok az USÁ-ban. A különbség számottevő, de nem döntő. Mindkét ügy megy feljebb, és valószínűleg az USA Legfelsőbb Bíróságán fog kikötni.
Ott valószínűleg azután tárgyalják, hogy Trump kinevezte az új elnököt és saját jelöltjét állítja az elhúnyt Scalia helyére. Az eredmény legalábbis kétséges mind az USA, mind az Európai Bíróság ismét visszaküldhet minket a start mezőre.
USA Európai Bizottság Európai Parlament Egyesült Államok Adatvédelem Személyes adatok Privacy Shield Adatok továbbítása Bíróságok

References: bíróság 
 Bíróság 
 Bíróság 
 bíróság 
 bíróság 
 Bíróság