Péterfalvi Attila a GDPR-ról
Mostantól az adatvédelmet azoknak is sokkal komolyabban kell venni, akik ezt eddig nem tették, mondja a Jogi Fórumnak Péterfalvi Attila, a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) elnöke.
(...) Fel lehet készülni a GDPR alkalmazására?
Muszáj felkészülni! Ez mindannyiunk érdeke és egyúttal problémája, az adatkezelőktől kezdve a jogalkotón át a felügyelő hatóságoké is. Nálunk nagyon sok konferencia van, én is hetente többször tartok ismertetőt a GDPR-ról, ami két éve hatályban van. Nem vagyok afelől teljes mértékben nyugodt, hogy az adatkezelők megfelelően felkészültek. A legnagyobb veszélyt a mikro-, kis- és középvállalkozások területén látom. A multinacionális vállalatok – mivel a felkészülés minden tagországban felmerül – sokkal előrébb tartanak. Nemcsak a felkészülésük tart előrébb. Számukra kisebb problémát jelent az anyagi fedezetet megtalálni részben ahhoz, hogy az elszámoltathatóság jegyében a jelen adatkezelésük megfeleltetéséhez szükséges vizsgálatokat, felméréseket elvégezzék, részben az új, vagy módosított infrastruktúra biztosítását is könnyebben tudják kivitelezni.
Mennyiben érintik a változások a Nemzeti Adatvédelmi és Információszabadság Hatóság munkáját?
Az adatvédelmi hatóság tudatosan készül a GDPR-ra. Már az elmúlt évre vonatkozóan kaptunk öt munkatársat, idén pedig 35 fővel bővült a kollektíva. Jelentősen nőni fog az adatvédelmi hatóság munkaterhe. Nagyon szigorú rend szerint folyó egyeztetési mechanizmus lép most életbe. A 29-es Munkacsoportból – ami egy tanácsadó, véleményező testület – létrejön a „Board”, az EU adatvédelmi testülete. Ez a testület érdemi döntési jogkörrel rendelkező szerv lesz. Az egységes jogalkalmazás csak akkor biztosítható, ha egyeztetjük egymással az ügyeket. Ez az egyeztető munka lényeges feladatot ró az adatvédelmi hatóságra is.
Az incidensjelentési rendszer felülete és szoftvere szintén május 25-én lép működésbe. Ezt egy KÖFOP pályázatból valósítjuk meg. A felület tesztelése már folyamatban van. Az adatvédelmi hatóság számtalan új hatáskört is kap. Például engedélyezési jogköröket (külföldre történő adattovábbítás engedélyezése, magatartási kódexek engedélyezése stb.). Nemcsak jogászokra, hanem informatikusokra is szükség van, hiszen az adatvédelmi incidens megítélése nem kizárólag jogi kérdés. Látni kell, hogy az adatszivárgás hogyan történt, milyen informatikai biztonsági rendszere volt az adatkezelőnek, az hol volt támadható – ez pedig nem jogi, hanem informatikai tudást igényel.
A munkánk lényegesen változik, ezért a hatóság belső szervezetében is változások történnek. Külön szervezeti egység vizsgálja a GDPR alá tartozó panaszokat, külön szervezeti egység az irányelv illetőleg az infotörvény hatálya alá tartozó – tehát az irányelv honvédelemre és nemzetbiztonságra vonatkozó rendelkezéseit – adatkezeléseket és létrehoztunk egy külön szervezeti egységet, mely az uniós együttműködésből fakadó jogköröket gyakorolja. (Ez a szervezeti egység az egyeztetési mechanizmusban közvetlenül vesz részt).
Ha megnézzük az adatvédelmi hatóság adatvédelmi ügyeinek a statisztikáját – és itt szeretném hozzátenni, hogy ezek az európai adatvédelmet érintő változások az adatvédelmi hatóság adatvédelmi kompetenciáit érintik, az információszabadságot és a titokfelügyeleti jogkört nem – akkor látjuk, hogy évente több száz vizsgálati típusú eljárás indul. Ez az ombudsmani típusú eljárás, amely állásfoglalással, ajánlással zárul. Kevesebb van a hatósági eljárásokból. Van, hogy évente húsz indul. Ezek az eljárások határozattal zárulnak. A GDPR a hatósági ügyeket helyezi előtérbe azzal, hogy az adatvédelmi hatóságnak a benyújtott panaszokat érdemben kell kivizsgálni. Mivel a hatósági eljárásoknak sokkal szigorúbb eljárási szabályai vannak, ez az arányeltolódás szintén megnöveli a munkaterhet, indokolva azt a személyi állomány-többletet, amelyet a költségvetési forrásaink gyarapítása, vagy növelése kapcsán tudunk majd munkába állítani.
Új elem a GDPR-ben az adatvédelmi tisztviselői tisztség. Mely szervezeteknél van szükség ilyen tisztviselőkre? Ki lehet adatvédelmi tisztviselő? Milyen feladatai vannak?
A közhatalmi igazgatásnál az adatvédelmi tisztviselő alkalmazása kötelező, illetőleg bizonyos területeken a magán adatkezelőknél is, amennyiben náluk olyan adatkezelés folyik, ami megfigyeléssel, vagy profilozással jár együtt, vagy ha az adatkezelő fő profilja a személyes adatok kezelése, illetve ha különleges adatokat kezel. Az adatvédelmi tisztviselő nem minden esetben munkaviszonnyal, vagy közszolgálati jogviszony keretében kerülhet alkalmazásra. A GDPR az adatvédelmi tisztviselő szempontjából nem határoz meg egyetemi végzettségi, képesítési követelményeket, hanem a megfelelő szakismeret meglétét írja elő. (...)
