Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Регулятор установил, что компания не выполнила запросы субъектов об удалении их телефонных номеров, обрабатывала эти данные без правового основания и нарушила принципы целиограниченности, минимизации и прозрачности. Компанию обязали удалить номера из всех реестров в течение 15 дней после вступления решения в силу и подтвердить это регулятору. За нарушения назначен штраф 1 500 000 форинтов с уплатой в срок; при просрочке начисляется пеня по ставке НБ Венгрии за первое полугодие задержки.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Регулятор установил, что банк без правового основания обрабатывал данные о пригодности клиентов premium и private-сегмента, получавших только non-advisory услуги, и не предоставлял надлежащую информацию об обработке в опросниках MiFID II. Банку предписано в течение 60 дней удалить эти данные у клиентов без инвестиционного консультирования или управления портфелем и привести информирование в соответствие со ст. 12–13 GDPR. За незаконную обработку назначена публичная публикация решения и штраф 25 млн форинтов с оплатой в течение 30 дней; за просрочку — пеня.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Регулятор установил, что организация нарушила право заявителя на доступ к данным, не ответив в течение месяца с момента запроса и предоставив копии с задержкой. Организация также незаконно взимала плату за первую копию документов. На основании GDPR регулятор обязал организацию привести внутренние правила оплаты и практику обработки данных в соответствие с регламентом в течение 8 дней под угрозой исполнения решения. Требование о предоставлении заверенных копий отклонено.
Hungary
Орган по защите данных Венгрии (NAIH)
court
Регулятор рассмотрел жалобу акционера на отказ компании выдать копию полной аудиозаписи годового собрания, включая вопросы заявителя и ответы руководства. Компания предоставила только фрагменты с голосом самого заявителя. NAIH отклонил жалобу, установив, что ответы на вопросы заявителя не содержат его персональных данных помимо имени, поэтому право доступа к данным по ст. 15(3) GDPR не нарушено. Обязанность выдавать остальные части записи отсутствует, так как они включают персональные данные других лиц.
Hungary
Орган по защите данных Венгрии (NAIH)
court
Регулятор установил, что две камеры на фасаде здания, направленные в сторону общественной территории, незаконно обрабатывают данные. Владельцев обязали в течение 30 дней прекратить незаконное наблюдение и привести обработку в соответствие с законом — изменить угол обзора или применить маскирование/размытие. В течение 8 дней после этого нужно письменно подтвердить выполнение мер под угрозой принудительного исполнения решения. Решение можно оспорить в Столичном суде Будапешта в течение 30 дней.
Hungary
Орган по защите данных Венгрии (NAIH)
court
Регулятор признал, что бывший работодатель незаконно хранил личную переписку заявителя и без правового основания искал документы в его архивном почтовом ящике. Ведомство запретило дальнейшее хранение архива частной почты, обязало за 15 дней с участием заявителя определить не относящиеся к работе данные, предоставить ему копии для личных целей и удалить их; до истечения сроков на обжалование или вступления решения суда — ограничить использование спорных данных только хранением и использованием в суде. За 30 дней оператор должен внедрить технические и организационные меры и внутренние правила обработки корпоративных почтовых ящиков и информирования сотрудников. Назначен штраф 500 000 форинтов.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Орган по защите данных Венгрии частично удовлетворил жалобу гражданина на банк. Установлено, что банк не ответил в течение месяца на запросы о доступе к записям с камер и об ограничении обработки фото- и логов оператора, а также не предоставил копии выписок за первые три месяца и период июль—ноябрь 2013 года с закрытием защищённых сведений; отказал в копировании логов оператора с маскировкой третьих лиц и коммерческой тайны. За нарушение прав доступа и ограничения обработки назначен штраф 500 000 форинтов и выданы предписания предоставить документы и информацию в течение 30 дней.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Регулятор установил, что компания не уведомила заявителя о причинах невыполнения его запроса и тем самым нарушила ст. 12(3)–(4) GDPR; за это вынесено порицание. Требование предоставить копии отчётов отклонено — они не содержат персональных данных заявителя, поэтому он не является субъектом данных в части этих материалов. Проверки по назначению инспектора по защите данных и публикации политики прекращены как поданные «в общем порядке», а вопросы об основаниях несоставления отдельных отчётов — как выходящие за рамки доступа к данным.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Регулятор установил, что оператор не исполнил запрос субъекта о доступе к его персональным данным и нарушил право на доступ. Оператор обязан в течение 30 дней предоставить запрошенные персональные данные (кроме тех, которые не являются персональными) и уплатить штраф 2 млн форинтов; за просрочку начисляется законный процент как пеня. Суд ранее уже разрешил часть требований между теми же сторонами, поэтому регулятор признал действие res iudicata для отдельных пунктов запроса и отказал в них. Решение можно оспорить административным иском в Столичный суд Будапешта в течение 30 дней.
Hungary
Орган по защите данных Венгрии (NAIH)
court
Регулятор установил, что компания нарушила ст. 32(1) GDPR, храня учётные данные клиентов в распечатанном виде без надлежащих технических и организационных мер, а также не урегулировала случаи уведомления надзорного органа во внутренних правилах (нарушение ст. 24 GDPR). Это привело к утечке персональных данных примерно сотни лиц, включая идентификаторы для кражи личности. Компанию обязали хранить такие базы только в электронном виде с резервными копиями, доработать правила инцидент-менеджмента под уведомление регулятора и уплатить штраф 500 000 форинтов в течение 30 дней; исполнение публично объявлено.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Регулятор обязал компанию, взыскивающую долг по цессии, обосновать законный интерес в обработке данных и проинформировать должников о нём, приоритете над их правами и праве на возражение; если интерес не доказан — удалить данные. До этого обработка для целей взыскания ограничена. За пропуск срока рассмотрения регулятор оштрафовал компанию на 10 000 форинтов. Решение можно оспорить в суде в течение 30 дней; до решения суда спорные данные удалять нельзя.
Hungary
Орган по защите данных Венгрии (NAIH)
court
Регулятор рассмотрел жалобу клиента на банк, который передал его персональные данные (ФИО, адрес, номер ID и сведения о счетах) полиции и администрации для сообщений о правонарушениях. Орган признал обработку законной, поскольку передача была необходима и соразмерна для реализации правового требования банка в рамках административного производства, а согласие субъекта не требуется. Запрос об общем запрете на будущую обработку отклонён как необоснованный.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Регулятор установил, что компания нарушила ст. 15(1) GDPR, не предоставив заявителю полную информацию об обработке его персональных данных в ответе от 23 августа 2019 года. Компанию обязали в течение 15 дней после вступления решения в силу предоставить сведения согласно ст. 15(1) GDPR и подтвердить это документально; за неисполнение решение подлежит принудительному исполнению. В наложении штрафа отказано, а часть о проверке политики сайта прекращена. За просрочку рассмотрения орган уплатит заявителю 10 000 форинтов.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Регулятор установил, что муниципальный депутат незаконно опубликовал фото заявителя и его несовершеннолетнего ребёнка на официальной странице в Facebook без правового основания. Нарушены принципы законности, целевого ограничения и минимизации данных, а также право субъекта на доступ и удаление. Депутату запрещено продолжать обработку, предписано удалить снимок с подтверждением регулятору в течение 15 дней после вступления решения в силу; назначена административная санкция 100 000 форинтов.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Орган по защите данных Венгрии установил незаконность обработки оператором связи телефонного номера физического лица и нарушение ст. 6(1) GDPR из-за невыполнения обязанности по точности (ст. 5(1)(d)). Оператор не доказал согласие на обработку; номер удалён после проверки. Назначен штраф в размере 300 000 форинтов с уплатой в течение срока обжалования решения суда, при просрочке начисляется пеня по ставке НБ Венгрии; взыскание — через налоговую службу. Требование о признании незаконным обработки адреса e-mail отклонено.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Регулятор обязал судебного эксперта-психолога предоставить заявителю информацию об отказе в выдаче материалов его обследования и предупредил о последствиях повторного нарушения. Отказ в доступе к протоколам и данным обоснован законом об экспертах; прямого штрафа не назначено. Эксперт должен был исполнить предписание за 15 дней с подтверждением, иначе решение подлежало принудительному исполнению. За превышение срока рассмотрения орган выплатит заявителю 10 000 форинтов. Решение можно оспорить в Столичном суде Будапешта в течение 30 дней.
Hungary
Орган по защите данных Венгрии (NAIH)
court
Регулятор установил, что оператор видеонаблюдения не предоставил субъекту информацию о его праве на ограничение обработки, об отмене блокировки записей 10 декабря 2018 года и их удалении, а также о праве на получение копии. Оператор проигнорировал запросы от 1 марта и 12 апреля 2019 года и не исполнил запрос на доступ к данным. За нарушение принципа подотчётности при обработке записями общих зон назначен штраф в размере 2 млн форинтов; требование обязать полицию истребовать записи прекращено. Оператору предписано исполнить запрос доступа в течение 30 дней.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Регулятор рассмотрел жалобу бывшего сотрудника, который требовал от работодателя предоставить доступ к персональным данным на служебном компьютере и удалить их. Работодатель не отказывал в запросах, но настаивал на присутствии заявителя или его представителя при удалении данных силами ИТ-специалиста; заявитель отказался подписывать акты и лично присутствовать. Регулятор установил, что условия были соразмерны для разделения рабочих и личных данных и обеспечения подотчётности, а права субъекта (ст. 12–15 GDPR) фактически реализованы — позже данные предоставили и удалили в его присутствии. В иске отказано, однако орган оштрафован на 10 000 форинтов за превышение срока рассмотрения.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Регулятор установил, что банк без правового основания обрабатывал персональные данные заявителя как со-заёмщика в кредитной сделке из-за ошибки ручного ввода. Банк нарушил GDPR — принцип законности и цели обработки; уведомление об изменении данных не содержало указания на их неточность и удаление. Назначена административная санкция 1 000 000 форинтов с указанием реквизитов оплаты и порядка обжалования решения в суде в течение 30 дней; апелляция приостанавливает исполнение.
Hungary
Орган по защите данных Венгрии (NAIH)
court
Участник реалити-шоу 2014 года потребовал от венгерского регулятора обязать новостной портал удалить статью с его персональными данными, ссылаясь на вред карьере. Регулятор установил, что материал является законным освещением публичного события в рамках свободы прессы и содержит только псевдоним участника и официальное фото телеканала. На основании ст. 17(3)(a) GDPR, балансирующей право на удаление данных со свободой выражения мнений и информации, регулятор отказал в удалении, посчитав публикацию правомерной.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Регулятор рассмотрел жалобу субъекта данных, которому банк отказал в предоставлении детальной информации о транзакциях и источниках финансирования сделки со ссылкой на коммерческую тайну. Орган признал правомерность отказа банка предоставить информацию об учётных записях операции, источнике требования и условиях уступки долга, поскольку эти сведения не являются персональными данными заявителя или представляют собой охраняемую законом коммерческую тайну. Суд установил, что GDPR ст. 15 не обязывает раскрывать неперсональные данные и внутренние бизнес-процессы.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Регулятор установил, что университет не выполнил обязанности по GDPR ст. 33–34 после инцидента — несанкционированного доступа руководителя к медицинским данным пациентов и их распространения; обязал зафиксировать инцидент в реестре уведомлений согласно GDPR ст. 33(5) и проинформировать субъектов по GDPR ст. 34(2). Назначена административная санкция 500 000 форинтов со сроком уплаты 30 дней и возмещение заявителям 10 000 форинтов за просрочку рассмотрения. Исполнить требования нужно в течение 15 дней с подтверждением.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Регулятор установил, что компания нарушила GDPR — не обеспечила безопасность персональных и специальных (медицинских) данных в онлайн-системе записи на приём, из-за чего документы были публично доступны без авторизации. Компания также не уведомила об инциденте надзорный орган и пострадавших в установленные сроки. NAIH обязал её в течение 15 дней проинформировать субъектов о факте, объёме утечки и мерах; назначил штраф 7 500 000 форинтов с публикацией решения; предусмотрел пеню за просрочку и принудительное исполнение.
Hungary
Орган по защите данных Венгрии (NAIH)
court
changed
Регулятор установил, что оператор связи нарушил принципы целенаправленности и ограничения хранения GDPR, сохранив после устранения неисправности тестовую базу с данными клиентов. Также не были применены меры безопасности соразмерно рискам, включая устранение уязвимости старше 9 лет и шифрование, что позволило этичному хакеру получить доступ к данным через сайт digi.hu. Оператор обязан пересмотреть базы на предмет необходимости шифрования; ему назначен штраф 100 млн форинтов с публикацией решения без раскрытия коммерческой тайны и уплатой пени при просрочке.
Hungary
Орган по защите данных Венгрии (NAIH)
court
Регулятор завершил проверку обработки персональных данных в подписных листах кандидатов на местных выборах 2019 года. Проверка касалась определения контролёров, доступа к данным и инструкций активистам; стороны разошлись во мнениях о том, кто является контролёром при совместных выдвижениях. Прямых нарушений GDPR не установлено из-за неясности ролей и отсутствия документов, поэтому дело об административном правонарушении не возбуждено. Вместо этого регулятор намерен выпустить рекомендации для будущих выборов.
