Alapvető fogalmak

A GDPR rendelet, megfelelő értelmezéséhez fontos az alapvető fogalmak tisztázása:

• érintett: bármely meghatározott személyes adat alapján azonosított vagy egyébként – közvetlenül vagy közvetve – azonosítható természetes személy. A személy különösen akkor tekinthető azonosíthatónak, ha őt – közvetlenül vagy közvetve – név, azonosító jel, illetőleg egy vagy több, fizikai, fiziológiai, mentális, gazdasági, kulturális vagy szociális azonosságára jellemző tényező alapján azonosítani lehet.
• személyes adat: bármely meghatározott, azonosított vagy azonosítható természetes személlyel [érintett] kapcsolatba hozható adat és az adatból levonható, az érintettre vonatkozó következtetés.
  A személyes adat az adatkezelés során mindaddig megőrzi e minőségét, amíg kapcsolata az érintettel helyreállítható. Az érintettel akkor helyreállítható a kapcsolat, ha az adatkezelő rendelkezik azokkal a technikai feltételekkel, amelyek a helyreállításhoz szükségesek.
• különleges adat:a faji eredetre, a nemzetiséghez tartozásra, a politikai véleményre vagy pártállásra, a vallásos vagy más világnézeti meggyőződésre, az érdek-képviseleti szervezeti tagságra, a szexuális életre, az egészségi állapotra, valamint a kóros szenvedélyre vonatkozó és a bűnügyi személyes adat.
• adatkezelés:bármely személyes adat gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, továbbítása, nyilvánosságra hozatala, törlése és megsemmisítése;
• adatkezelő: az a személy vagy szervezet, aki/amely az adatok kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az általa megbízott adatfeldolgozóval végrehajtatja.
• adatfeldolgozó: az személy vagy szervezet, aki/amely az adatkezelővel kötött szerződése alapján – beleértve a jogszabály rendelkezése alapján történő szerződéskötést is – az adatok feldolgozását végzi.
• adatvédelmi tájékoztató: olyan írott szöveg, mely megfelelően tájékoztatja az érintetteket személyes adataik kezeléséről, beleértve a jogalapot, célt, az adatkezelés idejét, és az érintettek jogait;
• adatvédelmi incidens: az adatbiztonság olyan sérelme, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisülését, elvesztését, módosulását, jogosulatlan továbbítását vagy nyilvánosságra hozatalát, vagy az azokhoz való jogosulatlan hozzáférést eredményezi;
• érintett jogai:az adatalanyt még az adatkezelés megkezdése előtt, de ezen felül kérésére bármikor egyértelműen tájékoztatni kell az adatkezelés minden részletéről.    Az érintett kérheti adatai helyesbítését, bizonyos esetben törlését is, valamint törvényben meghatározott esetekben tiltakozhat személyes adatai kezelése ellen.
• hozzájárulás:az érintett akaratának önkéntes és határozott kinyilvánítása, amely megfelelő tájékoztatáson alapul, és amellyel félreérthetetlen beleegyezését adja a rá vonatkozó személyes adatok – teljes körű vagy egyes műveletekre kiterjedő – kezeléséhez. Különleges adatok esetében szükséges az írásos forma.
• megfelelő tájékoztatás:az érintettel az adatkezelés megkezdése előtt közölni kell, hogy az adatkezelés a hozzájárulásán alapul-e vagy kötelező, továbbá egyértelműen és részletesen tájékoztatni kell az adatai kezelésével kapcsolatos minden tényről, így különösen az adatkezelés céljáról és jogalapjáról, az adatkezelésre és az adatfeldolgozásra jogosult személyéről, az adatkezelés időtartamáról, illetve arról, hogy kik ismerhetik meg az adatokat. A tájékoztatásnak ki kell terjednie az érintett adatkezeléssel kapcsolatos jogaira és jogorvoslati lehetőségeire is.
• célhoz kötött adatkezelés:személyes adat kizárólag meghatározott célból, jog gyakorlása és kötelezettség teljesítése érdekében kezelhető. Az adatkezelésnek minden szakaszában meg kell felelnie az adatkezelés céljának, az adatok felvételének és kezelésének tisztességesnek és törvényesnek kell lennie. Csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas. A személyes adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető. Az adatkezelés során biztosítani kell, hogy  az adatok pontosak, teljesek és - ha az adatkezelés céljára tekintettel szükséges - naprakészek legyenek, valamint azt, hogy az érintettet csak az adatkezelés céljához szükséges ideig lehessen azonosítani.
• információszabadság:a közérdekű, valamint közérdekből nyilvános adatok megismeréséhez és terjesztéséhez fűződő alapvető jog, mely elősegíti a közhatalom gyakorlásának társadalmi kontrollját és a közintézmények működésének, valamint a közpénzek elköltésének átláthatóságát (transzparencia).
• közérdekű adat:az állami/önkormányzati feladatot, illetve egyéb közfeladatot ellátó szerv kezelésében lévő és tevékenységére vonatkozó vagy közfeladatának ellátásával összefüggésben keletkezett, a személyes adat fogalma alá nem eső, bármilyen módon vagy formában rögzített információ vagy ismeret, függetlenül kezelésének módjától, önálló vagy gyűjteményes jellegétől (így különösen a hatáskörre, illetékességre, szervezeti felépítésre, szakmai tevékenységre, annak eredményességére is kiterjedő értékelésére, a birtokolt adatfajtákra és a működést szabályozó jogszabályokra, valamint a gazdálkodásra, a megkötött szerződésekre vonatkozó adat).
• közérdekből nyilvános adat:a közérdekű adat fogalma alá nem tartozó minden olyan adat, amelynek nyilvánosságra hozatalát, megismerhetőségét vagy hozzáférhetővé tételét törvény közérdekből elrendeli. (pl. a hitelezői érdekek védelme, valamint a piaci forgalom biztonsága érdekében az adatok széles körét minősíti közérdekből nyilvánosnak az ingatlan-nyilvántartásról szóló törvény, a cégtörvény, valamint a számviteli törvény)
• Álnevesítés:a személyes adatok olyan módon történő kezelése, amelynek következtében további információk felhasználása nélkül többé már nem állapítható meg, hogy a személyes adat mely konkrét természetes személyre vonatkozik, feltéve, hogy az ilyen további információt külön tárolják, és technikai és szervezési intézkedések megtételével biztosított, hogy azonosított vagy azonosítható természetes személyekhez ezt a személyes adatot nem lehet kapcsolni.
• Profilalkotás:személyes adatok automatizált kezelésének bármely olyan formája, amelynek során a személyes adatokat valamely természetes személyhez fűződő bizonyos személyes jellemzők értékelésére, különösen a munkahelyi teljesítményhez, gazdasági helyzethez, egészségi állapothoz, személyes preferenciákhoz, érdeklődéshez, megbízhatósághoz, viselkedéshez, tartózkodási helyhez vagy mozgáshoz kapcsolódó jellemzők elemzésére vagy előrejelzésére használják.

Miért jött létre a GDPR rendelet, miért szükséges az adatok védelme?

A globalizáció és a technikai fejlődés eredményeként a személyes adatok egyre szélesebb körben ismerhetők meg, valamint kerülnek felhasználásra. Az adat hatalmas értékkel rendelkezik a globális nagyvállalatok számára, az adatvagyonnal való tudatos gazdálkodás pedig a vállalati stratégiák, innovációk egyik legfontosabb központi témájává vált, így érthető, hogy egyre fokozottabbá válik személyes adataink jogi védelme.

A jogi védelem célja elsődlegesen az adatvédelmi incidensek, valamint az incidensek másodlagos hatásainak (személyiség lopás, személyazonossággal való visszaélés stb.) megelőzése. A természetes személyek személyes adataik kezelésével összefüggő védelme alapvető jog. Az Európai Unió Alapjogi Chartája 8. cikkének (1) bekezdése és az Európai Unió működéséről szóló szerződés

(EUMSZ) 16. cikkének (1) bekezdése rögzíti, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez.

Melyek a GDPR fő céljai?

• a személyes adatok megfelelő biztonságának, védelmének megvalósítása,
• a személyek jogainak bővítése (nagyobb fokú rendelkezés a személyes adatok felett),
• az adatok kezelése, felhasználása átláthatóságának biztosítása,
• a társaságok kötelezettségeinek bővítése (biztonsági és megfelelőségi intézkedések az adatvédelem érdekében)

Adatkezelési-, adatvédelmi előírásokat a hatályos magyar jogszabályok is tartalmaznak, így bizonyos kérdésekben a GDPR nem hoz lényegi változásokat.

Milyen esetekre, személyekre nem vonatkozik a GDPR rendelet?

Az általános adatvédelmi rendeletet nem kell alkalmazni, ha:

• az érintett már nem él,
• az érintett jogi személy,
• az adatkezelést nem a szakmája, üzleti tevékenysége vagy foglalkozása keretében eljáró személy végzi,
• az adatkezelést az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzik, ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését.

Mi is az a személyes adat?

A személyes adat minden olyan információ, amely valamely azonosított vagy azonosítható élő személlyel kapcsolatos. Mindazon információk, amelyek összegyűjtése egy bizonyos személy azonosításához vezethet, ugyancsak személyes adatnak minősülnek. Azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, – különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó – egy vagy több tényező alapján azonosítható. 

Azonosíthatóság: elegendő az, ha az érintett bárki által azonosítható, tehát nem az a lényeg, hogy maga az adatkezelő (pl. a kutató) tudja-e azonosítani az érintettet.

Azok az azonosításra alkalmatlanná tett, titkosított vagy álnevesített személyes adatok, amelyek felhasználhatóak egy személy újraazonosítására, személyes adatnak minősülnek, és az általános adatvédelmi rendelet hatálya alá tartoznak.

Az olyan személyes adatok, amelyeket olyan módon anonimizáltak, amelynek következtében az érintett nem vagy többé nem azonosítható, nem tekinthetők többé személyes adatnak. Az adatok valódi anonimizálásához az anonimizálásnak visszafordíthatatlannak kell lennie.

Az általános adatvédelmi rendelet a személyes adatokat az adatok kezelése során használt technológiától függetlenül védi – a jogszabály „technológiasemleges” és egyaránt vonatkozik az automatizált és manuális kezelésre, feltéve, hogy az adatokat kritériumok szerint rendszerezik (pl. betűrendben). Nem számít az sem, hogy az adatokat milyen módon tárolják: IT-rendszerben, videokamerás megfigyelőrendszerben vagy papíron; ezen esetek mindegyikére vonatkoznak az általános adatvédelmi rendelet személyes adatok védelmére vonatkozó követelményei.

Példák a személyes adatra:

• vezetéknév és utónév;
• lakcím;
• Neptun-kód
• GPS-koordináta
• egy ember hangja
• arckép
• a vezetéknév.utónév@vállalkozás.com típusú e-mail-címek;
• személyazonosító igazolvány száma;
• helymeghatározó adatok (pl. mobiltelefon helymeghatározási funkciója)*;
• IP-cím;
• süti (cookie)-azonosító*;
• a telefon hirdetési azonosítója;
• a személy egyedi azonosítását lehetővé tevő, kórház vagy orvos által tárolt adatok.

Példák nem személyes adatnak minősülő adatra:

• cégjegyzékszám;
• az info@vállalkozás.com típusú e-mail-címek;
• anonimizált adatok.

A személyes adatok egy szűkebb körét jelentik a különleges adatok. A GDPR szerint különleges adat az olyan személyes adat, ami bizonyos meghatározott kategóriák egyikébe tartozik.

Ilyenek a

• faji vagy etnikai származásra vonatkozó adatok;
• politikai véleményre vonatkozó adatok;
• vallási vagy világnézeti meggyőződésre vonatkozó adatok;
• szakszervezeti tagságra vonatkozó adatok;
• egészségre vonatkozó adatok;
• szexuális életre vagy irányultságra vonatkozó adatok;
• személyazonosításra használt genetikai adatok és biometrikus adatok.

A különleges adatok kezelésére a többi személyes adat kezeléséhez képest szigorúbb szabályok vonatkoznak.

Milyen jogokat biztosít a Rendelet az érintettek részére?

A Rendeletben az alábbi érintetti jogok kerültek meghatározásra: 

• tájékoztatáshoz való jog (13. és 14. cikk)
• hozzáféréshez való jog (15. cikk)
• helyesbítéshez való jog (16. cikk)
• törléshez való jog („az elfeledtetéshez való jog”, 17. cikk)
• adatkezelés korlátozásához való jog (18. cikk)
• adathordozhatósághoz való jog (20. cikk)
• tiltakozáshoz való jog (21. cikk)
• jogosultság arra, hogy az érintettre ne terjedjen ki a kizárólag automatizált adatkezelésen (beleértve a profilalkotást is) alapuló döntés hatálya (22. cikk),
• jogorvoslathoz való jog (77-82. cikkek).

Tájékoztatáshoz való jog

Az érintettek adatkezelésre vonatkozó előzetes tájékoztatásának a GDPR előtt is szigorú követelményeknek kellett megfelelni. A GDPR is részletesen meghatározza, hogy miről kell az adatkezelőknek tájékoztatást adniuk, a korábbiakhoz képest újdonság, hogy egyértelműen különbséget tesz a Rendelet aszerint, hogy az érintettől vagy nem az érintettől gyűjtik az adatokat. 

Elfeledtetéshez való jog

Nevesítetten jelent meg az elfeledtetéshez való jog, amely tulajdonképpen a törlés jogának online környezetben történő alkalmazása: ha az adatkezelő nyilvánosságra hozta a személyes adatot, és azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az ésszerűen elvárható lépéseket – ideértve technikai intézkedéseket – annak érdekében, hogy tájékoztassa az adatokat kezelő adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését. 

A személyes adatot törölni kell, ha

1. az adatkezelés célja megszűnt;
2. az érintett visszavonta a hozzájárulását és az adatkezelésnek nincs más jogalapja;
3. az adatkezelés jogos érdeken alapul vagy közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges, és az érintett tiltakozik az adatkezelés ellen;
4. az adatkezelés jogellenes;
5. a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell;
6. az adatok gyűjtésére közvetlenül gyermekeknek kínált, információs társadalommal összefüggő szolgáltatások vonatkozásában került sor.

Adathordozhatóság

Az adathordozhatóság joga alapján - bizonyos feltételek fennállása esetén - az érintett jogosult arra, hogy a rá vonatkozó, általa egy adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az az adatkezelő, amelynek a személyes adatokat a rendelkezésére bocsátotta.

A fentieken túlmenően az adatok hordozhatóságához való jog gyakorlása során az érintett jogosult arra, hogy – ha ez technikailag megvalósítható – kérje a személyes adatok adatkezelők közötti közvetlen továbbítását. Vélhetően a közvetlen adattovábbításra szolgáló platformok kialakulása még némi időt fog igénybe venni a Rendelet alkalmazandóvá válását követően. 

Az adathordozhatóság joga akkor gyakorolható, ha

1. a) az adatkezelés hozzájáruláson, vagy szerződésen alapul; és
   b) az adatkezelés automatizált módon történik.

Hozzáférési jog

A hozzáférési jog kettős természetű: egyrészt az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz a GDPR-ban meghatározott információkhoz hozzáférést kapjon, másrészt az érintett kérheti az adatkezelés tárgyát képező személyes adatai másolatának a rendelkezésére bocsátását. 

Tiltakozáshoz való jog

A tiltakozáshoz való jog elsősorban a jogos érdeken alapuló adatkezeléshez kapcsolódóan biztosít jogot az érintettek részére. Tiltakozás esetén az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.

Személyes adat helyesbítéséhez való jog

Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatkezelés célját, az érintett jogosult arra, hogy kérje a hiányos személyes adatok – egyebek mellett kiegészítő nyilatkozat útján történő – kiegészítését.

Korlátozáshoz való jog:

Az adatkezelő az érintett írásbeli kérésére korlátozza az adatkezelést az alábbi feltételek valamelyikének érvényesülése esetén:

1. a) az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az adatkezelő ellenőrizze a személyes adatok pontosságát;
2. b) az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását;
3. c) az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez

Az adatkezelés korlátozására irányuló kérelmében esetében azt is meg kell jelölni, hogy melyik okból kéri a korlátozást.

Automatizált döntéshozatallal kapcsolatos jogok

Az érintett jogosult arra, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené. Ez a rendelkezés nem alkalmazandó abban az esetben, ha a döntés:

• az érintett és az adatkezelő közötti szerződés megkötése vagy teljesítése érdekében szükséges;
• meghozatalát az adatkezelőre alkalmazandó olyan uniós vagy tagállami jog teszi lehetővé, amely az érintett jogainak és szabadságainak, valamint jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket is megállapít; vagy
• az érintett kifejezett hozzájárulásán alapul.

Az automatizált döntések esetén, amikor a fentiek miatt (az érintett és az adatkezelő közötti szerződés megkötése vagy teljesítése érdekében szükséges vagy az érintett kifejezett hozzájárulásán alapuló adatkezelés) az érintett nem tudja kikerülni az automatizált döntéshozatalt, akkor az érintettnek biztosítani kell legalább azt jogot, hogy az adatkezelő részéről emberi beavatkozást kérjen, álláspontját kifejezze, és a döntéssel szemben kifogást nyújtson be.

Az adatkezelés lehetséges jogalapjai

személyes adatokat kizárólag a következő feltételek fennállása esetén kezelhetünk:

• az érintett hozzájárulását adta személyes adatainak kezeléséhez;
• az adatkezelés szerződéses kötelezettség teljesítéséhez szükséges (szerződés áll fenn az ön vállalkozása/szervezete és egy ügyfél között);
• az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges (uniós vagy nemzeti jogszabályok alapján);
• az adatkezelés közérdekű feladat végrehajtásához szükséges (uniós vagy nemzeti jogszabályok alapján);
• az adatkezelés egy személy létfontosságú érdekeinek védelme miatt szükséges;
• az adatkezelés az adatkezelő jogos érdekeinek érvényesítéséhez szükséges, de ekkor ellenőriznie kell, hogy az adatkezelés során az érintettek alapvető jogai és szabadságai nem sérülnek-e súlyosan. Amennyiben az érintett jogai elsőbbséget élveznek a vállalkozás/szervezet érdekeivel szemben, az nem végezhet adatkezelést jogos érdekeinek érvényesítése érdekében. Annak értékelése, hogy az adatkezelés tekintetében az ön vállalkozása/szervezete jogos érdekei elsőbbséget élveznek-e az érintettek érdekeivel szemben, az adott helyzet egyedi körülményeitől függ.

Adatkezelés jogalapjára vonatkozó példák:

• Hozzájárulás
  Vállalkozása/szervezete egy zenei alkalmazást működtet, és a felhasználók hozzájárulását kéri zenei preferenciáik feldolgozásához annak érdekében, hogy az érdeklődésüknek megfelelő dalokat és koncerteket ajánljon nekik.
• Szerződéses kötelezettség
  Vállalkozása/szervezete online értékesít árukat. A szerződés megkötése előtt és a szerződés teljesítése érdekében a magánszemély kérésére kezelheti az adatokat a fentiek végrehajtása érdekében. Kezelheti tehát a nevet, a szállítási címet, a hitelkártyaszámot (bankkártyával történő fizetés esetén) stb.
• Jogi kötelem
  A vállalkozása alkalmazottakat foglalkoztat. A társadalombiztosítás megszerzéséhez a jogszabály előírja, hogy személyes adatokat (pl. az alkalmazottak heti jövedelme) kell megadnia az illetékes hatóságnak.
• Közérdek
  Példa: egy hivatali hatáskörrel felruházott szakmai szövetség – például ügyvédi kamara vagy orvosi szakértői kamara – fegyelmi eljárást indít bizonyos tagok ellen.
• Személy létfontosságú érdekei
  Kórházi intézményében egy súlyos közúti balesetet szenvedett beteget kezelnek. Nincs szüksége a személy hozzájárulására ahhoz, hogy a személyazonossági igazolványát megkeresse, vagy hogy ellenőrizze, az érintett megtalálható-e a kórházi adatbázisban a kórtörténet megtekintéséhez vagy a legközelebbi hozzátartozóval történő kapcsolatteremtéshez.
• Szervezete jogos érdekei
  Vállalkozása/szervezete a hálózati biztonság szavatolása érdekében megfigyeli az IT-eszközök alkalmazottai általi használatát. A személyes adatokat az ön vállalkozása/szevezete csak akkor kezelheti jogszerűen e célból, ha a magánszférába legkevésbé behatoló módszert választja az alkalmazottak magánélete és adatai védelme tekintetében, például bizonyos weboldalak hozzáférhetőségének korlátozásával.