Mindenki tette a dolgát. A hackerek meghackelték, a Hatóság pedig megbüntette az egyik nemzetközi üdítőipari cég promóciós honlapját, az adatbiztonság nem megfelelő mivolta miatt. Az összehangolt akció Adatlopási incidens (NAIH-559/2013/H) néven fut a Nemzeti Adatvédelmi és Információszabadság Hatóság honlapján közzétett határozatok között. Ott a megállapításokról, itt a tanulságokról lehet olvasni. Fontos: az ügyet csak a határozat alapján tudtam – pontosabban próbáltam – rekonstruálni, a teljesség igénye nélkül. A hangsúly nem is elsősorban a történteken, hanem a határozat általánosítható megállapításain van.
Az üdítőipari cég promóciós oldalát a cég amerikai mivolta miatt támadták. A vizsgálat menetét olvasva alapkérdés volt, hogy ki számít adatkezelőnek, a Megbízó vagy a promóciót lebonyolító Ügynökség. A kérdés azért volt elsősorban fontos, mert az adatkezelő számíthatott a büntetésre.
A Megbízó értelmezésében az Ügynökség végzett minden tevékenységet, ezért ő az adatkezelő, az Ügynökség viszont adatfeldolgozói feladatokat ismert csak el. A szerződésben ennyi volt: „Megbízott feladata a promóció teljes körű megtervezése, megvalósítása és lebonyolítása”.
A részletek beható ismerete nélkül nem is ismertetném tovább sem az ügyet, sem a vizsgálatot, de még annak végkimenetelét sem. Álljon itt inkább a határozat általánosítható tanulsága közül néhány, mely az adatkezelő/adatfeldolgozó kérdéskört érinti, és melyet az utóbbi időben egyre komolyabbá váló hatósági ellenőrzések kapcsán javaslok szíves megfontolásra.
- A NAIH a határozat több pontján hivatkozik a WP29 (adatvédelmi hatóságok nemzetközi munkacsoportja) véleményére. Ez azért érdekes és fontos, mert a hazainál jellemzően vállalkozásbarátibb (ha van ilyen szó) szabályozási szereplőkről van szó.
- A Hatóság elfogadja azt az érvelést, hogy nem önmagában a szabályzatban vagy a szerződésben használt fogalmak alapján kell megítélni a szerepeket, hanem a tényleges tevékenység alapján. Ezt a WP29 vélemény is hasonlóan fogalmazza meg. (Tehát ha a szerződésben a felek nem határozzák meg, hogy pontosan ki és milyen feladatokat lát el, akkor a dokumentált cselekedeteik szerint ez „meghatározódik”.)
- WP29: az adatokhoz való hozzáférés nem elengedhetetlen feltétele az adatkezelői minőségnek.
- A WP29 vélemény alapján az adatfeldolgozói minőségnek két, konjunktív feltétele van, az egyik, hogy az adatkezelőtől elkülönült szervezet végezze az adatfeldolgozást, valamint hogy nem saját nevében, hanem az adatkezelő nevében járjon el.
- A WP29 vélemény értelmében az a fél minden esetben adatkezelőnek minősül, aki az adatkezelés vagy adatfeldolgozás célját meghatározza, de facto ezt a döntést meghozza.
- A WP29 vélemény alapján az adatfeldolgozó fogalmi körén addig nem terjeszkedik túl, amíg a feldolgozás módjának meghatározása az adatfeldolgozó részéről csak technikai és szervezeti kérdéseket érint. Amennyiben az adatfeldolgozás módjára való befolyás szintje azonban olyan mértékű, hogy az előbbiekben említetteken túlterjeszkedik, úgy adatkezelői minőséget kap.
