Что изменилось

Az általános adatvédelmi rendelet 83. cikk (7) bekezdése szerint, a felügyeleti hatóságok 58. cikk (2) bekezdése szerinti korrekciós hatáskörének sérelme nélkül, minden egyes tagállam megállapíthatja az arra vonatkozó szabályokat, hogy az adott tagállami székhelyű közhatalmi vagy egyéb, közfeladatot ellátó szervvel szemben kiszabható-e közigazgatási bírság, és ha igen, milyen mértékű. Az Infotv. 61. § (4) bekezdés b) pontja alapján, a bírság mértéke százezertől húszmillió forintig terjedhet, ha az adatvédelmi hatósági eljárásban hozott határozatban kiszabott bírság megfizetésére kötelezett költségvetési szerv, az általános adatvédelmi rendelet 83. cikke szerint kiszabott bírság esetén. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) és i) pontja alapján, a felügyeleti hatóság korrekciós hatáskörében eljárva elmarasztalja az adatkezelőt vagy adatfeldolgozót, ha adatkezelési tevékenysége megsértette a rendelet rendelkezéseit, illetve a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. Ugyanezen cikk (2) bekezdés d) pontja alapján, a felügyeleti hatóság korrekciós hatáskörében eljárva utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba a rendelet rendelkezéseivel. A közigazgatási bírság kiszabására vonatkozó feltételeket az általános adatvédelmi rendelet 83. cikke tartalmazza. Az Infotv. 75/A. § - a szerint a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Az Infotv. 61. § (2) bekezdés b) pontja alapján, a Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő – nyilvánosságra hozatalát, ha azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta. Az Ákr. 104. § (1) bekezdés a) pontja szerint a Hatóság az illetékességi területén hivatalból megindítja az eljárást, ha az eljárás megindítására okot adó körülmény jut a tudomására; ugyanezen bekezdés (3) bekezdése alapján a hivatalbóli eljárás az első eljárási cselekmény elvégzésének napján kezdődik, megindításáról az ismert ügyfél értesítése mellőzhető, ha az eljárás megindítása után a hatóság nyolc napon belül dönt. III.

A Hatóság a feltárt tényállás alapján megállapította, hogy a bejelentett adatvédelmi incidenssel kapcsolatban az Ügyfél az ORFK véleményének felhasználásával elvégzett egy kockázatelemzést, amely során azt állapította meg, hogy az kockázattal jár az érintettek jogaira és szabadságaira nézve, így az incidenst bejelentette a Hatóságnak. A Hatóság megítélése szerint az incidens kockázatértékelése elfogadható. A Hatóság e körben egyetért azzal, hogy az incidens kockázatos besorolását az adja, hogy a pendrive-on tárolt adatok között megtalálhatóak voltak nem nyilvánosan hozzáférhető, illetve nem közérdekből nyilvános adatok is, így az érintettek születési adatai, anyjuk neve és TAJ száma. Ezen, nem nyilvánosan hozzáférhető adatok folyamatos bizalmassági sérülésnek való kitettsége pedig olyan kockázati tényező, amely indokolja az incidens bejelentését az általános adatvédelmi rendelet 33. cikk (1) bekezdése alapján. Az általános adatvédelmi rendelet (75) preambulumbekezdésében foglaltak szerint, ha az adatkezelésből – így jelen ügyben az adatok pendrive-on való tárolásából – személyazonosságlopás vagy személyazonossággal való visszaélés fakadhat, úgy az alapvetően kockázatosnak minősül. Az érintettek születési adatai, anyjuk neve és különösképpen TAJ száma (a név és munkahely, beosztás ismerete mellett) olyan adatok, amelyekkel elkövethető személyazonosságlopás, személyazonossággal visszaélés. A Hatóság kiemeli, hogy az adatvédelmi incidens fogalmának elemei közül csak az adatok elveszítése valósult meg jelen esetben. A biztonsági sérülés tehát közvetlenül csak az elveszítést eredményezte, másfajta incidens megvalósulására (pl. jogosulatlan hozzáférés, nyilvánosságra hozatal) nem utal konkrét körülmény. A további bizalmassági sérülésnek való kitettség kockázata azonban fennáll az ügyben, mivel az adathordozó és azon tárolt adatok nem voltak semmilyen technikai intézkedéssel védve a jogosulatlan hozzáféréstől. Az ilyen adatok megfelelő védelem nélküli elveszítése ezért önmagában is kockázatos adatvédelmi incidenst eredményez, akkor is, ha egyébként az azokhoz való jogosulatlan hozzáférés, nyilvánosságra hozatal, vagy az adatokkal való egyéb visszaélés ténye nem is állapítható meg. A kockázatos adatvédelmi incidens bejelentésére azonban nem került sor az általános adatvédelmi rendelet 33. cikk (1) bekezdése által meghatározott határidőben, vagyis indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens az adatkezelő tudomására jutott. Az Ügyfél úgy nyilatkozott, hogy a pendrive elveszítésére valószínűleg 2019. január 11-én került sor és aznap erről […] rövid úton a szolgálati elöljáróját is tájékoztatta, ezért a Hatóság megítélése szerint az Ügyfél általi hivatalos tudomásszerzésnek ez az időpont minősül. A Hatóság megítélése szerint a tudomásszerzés idejének megítélése szempontjából elég, ha olyan érdemi ügyintéző / elöljáró tudomására jut az incidens bekövetkezésének ténye az adatkezelőnél, aki azt nem maga okozta, és akinek minden lehetősége és eszköze megvolt a releváns döntéshozók, tisztviselő értesítésére. Ezt az értelmezést alátámasztja a 29. cikk szerinti Adatvédelmi Munkacsoport iránymutatása is az adatvédelmi incidens bejelentéséről, amely alapján „tudomásszerzésnek az minősül, amikor az adatkezelő észszerű bizonyossággal meggyőződött arról, hogy olyan biztonsági incidens történt, amelynek következtében a személyes adatok veszélybe kerültek.”2 Az Ügyfélnek a fentiek alapján 2019. január 11. napon, a szolgálati elöljáró tudomásszerzésétől számítva 72 óra állt rendelkezésére arra, hogy az incidens által jelentett kockázatokat mérlegelje és azzal kapcsolatban megtegye az esetleges bejelentést a Hatósághoz, amennyiben azt állapítja meg, hogy az incidens kockázattal jár az érintettek jogaira és szabadságaira nézve. Ehhez képest a Hatóságnak az incidensbejelentés megküldésére – a postai borítékon lévő, a küldemény feladása dátumát igazoló postai pecsét szerint – 2019. február 25-én került sor. Ezek alapján az incidensről való tudomásszerzés és a bejelentés között összesen 45 nap telt el, amely az általános adatvédelmi rendelet által főszabályként előírt bejelentési határidő tizenötszörös túllépését jelenti. A Hatóság az incidensbejelentési kötelezettséggel kapcsolatban kihangsúlyozza, hogy ha a tudomásszerzéstől számított 72 órás határidőt az adatkezelő nem tudja tartani, úgy minden 2 Lásd: 29. cikk szerinti adatvédelmi munkacsoport: Iránymutatás az adatvédelmi incidensek (EU) 2016/679 rendelet szerinti bejelentéséről, 10. oldal.