A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) egyre több határozatot hoz, melyek már a 2018. május 25. napjával alkalmazandóvá vált Általános Adatvédelmi Rendeletre (GDPR) épülnek.
Ezen döntések között több olyan is található, melyben a hatóság az adatbiztonsági kötelezettségek megsértése okán szabott ki adatvédelmi bírságot. Érdemes tehát végigvenni azon szempontokat, melyekre különösképpen szükséges ügyelni.
Szigorú szankciók, általános követelményrendszer
A GDPR esetjogi alapokra épül, hiszen több tucat tagállam számára határoz meg kötelező szabályrendszert. Ennek következtében az egyes kötelezettségek jellemzően általánosak, s az adatkezelők/adatfeldolgozók feladata ezen szabályok testre szabása, magukra alkalmazása.
Elsőként definiáljuk az adatvédelmi incidens fogalmát. Az adatvédelmi incidens a 4. cikk alapján a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
A 32. cikk pedig azt mutatja be, hogy az egyes szereplőknek milyen általános kötelezettségei vannak. E szerint az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja. Ilyen intézkedésnek minősíti a rendelet a személyes adatok álnevesítését és titkosítását, a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítását, integritását, rendelkezésre állását és ellenálló képességét, fizikai vagy műszaki incidens esetén az arra való képességet, hogy a személyes adatokhoz való hozzáférést és az adatok rendelkezésre állását kellő időben vissza lehet állítani, valamint az adatkezelés biztonságának garantálására hozott technikai és szervezési intézkedések hatékonyságának rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárást.
A biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek.
naih
