A GDPR végleges szövege 2016 áprilisában jelent meg az EU hivatalos lapjában, és 2018. május 25-e óta alkalmazandó. Erről beszélgettem Dr. Halász Bálinttal, a Bird & Bird nemzetközi jogi tanácsadó iroda szakértőjével, az elmúlt évek tapasztalatainak tükrében. Mostantól a hírlevelünk része lesz „A jogász válaszol” rovat, amelyben Dr. Halász Bálint várja és válaszolja meg a kérdéseinket.
- A GDPR bevezetése óta változott a szabályozás megítélése? Mondhatjuk, hogy bevált, vagy inkább egy jó kiindulási alapnak tekintendő?
– A GDPR végleges szövege 2016 áprilisában jelent meg az EU hivatalos lapjában, és 2018. május 25-e óta alkalmazandó. Természetesen az előkészítő munkák évekkel 2016 előtt megkezdődtek, és számos egyeztetés eredménye a végleges szöveg. Ugyanakkor a GDPR nem előzmény nélkül érkezett. Az EU (korábbi nevén Európai Közösség) 1995-ben fogadta el az adatvédelmi irányelvet, amit a tagállamok, így Magyarország is átültetett a nemzeti jogába. A különböző tagállamok azonban ezt az átültetést különbözőképpen végezték el, ami jelentős problémákat okozott az egyre egységesedő közös piacon. A GDPR ezzel szemben egy EU-s rendelet, amelyet nem szükséges átültetni a nemzeti jogokba, hanem közvetlenül alkalmazandó a tagállamokban. Abban, hogy egyes tagállamokban az adatvédelem szintje egységesedjen, a GDPR kétséget kizáróan jelentős előrelépés.
- A napi gyakorlat alapján úgy tűnik, több területen nem elég konkrét a szabályozás. Illetve egy-egy terület fókuszba kerül, kiegészítések, értelmezések látnak napvilágot, így az az érzés, mintha még mindig alakulna a szabályozás és leginkább a bírságok mutatják az eseti hiányt vagy megoldást. Hogy tud így konkrét helyzetben dönteni és felelősséget vállalni egy vezető? Hogy lehet lépést tartani azzal, hogy mi az aktuális elvárás?
– A GDPR valóban nem tartalmaz mindenre egyértelmű szabályozást. De ez nem is lenne feltétlenül baj, mert ez egy absztrakt jogszabály, ami olyan általános jogokat és kötelezettségeket tartalmaz, amiket nagyon különböző helyzetekre kell alkalmazni. Ahhoz, hogy elhelyezzük a GDPR-t, fontos látni, hogy az előírások nem önmagukért valóak. A GDPR egyik fő célja az adatalanyok (érintettek) számára a transzparencia és az önrendelkezési jog biztosítása. Azaz, hogy a természetes személyek számára megfelelő mennyiségű és minőségű információ álljon rendelkezésre ahhoz, hogy felmérjék, személyes adataikat kik és milyen körülmények között kezelik.
De a GDPR-ral az EU-s jogalkotónak nem az volt a célja, hogy ellehetetlenítse a személyes adatokon alapuló, azokkal végzet (üzleti) tevékenységet. Elég csak egy pillantást vetni a GDPR címére, amelyben a természetes személyeknek a személyes adatok kezelése tekintetében történő védelme mellett és az ilyen adatok szabad áramlása is megjelenik.
Egy-egy konkrét értelmezési kérdésben az Európai Adatvédelmi Testület (EDPB) iránymutatásai, egyes tagállami hatóságok iránymutatásai, illetve gyakorlata lehet irányadó. Ahogyan maga az adatalapú társadalom is folyamatosan fejlődik, úgy változnak ezek az iránymutatások is. Ezzel a folyamatos változással valóban nem könnyű kívülállóként lépést tartani. De egy felelős vezetőnek nem is kellene, hogy ez feladata legyen. A GDPR előírásainak való megfelelés korántsem csak egy adatvédelmi tájékoztató megírásából áll. Fel kell állítani a megfelelő adatvédelmi folyamatokat, és ezeket hozzá kell igazítani a meglévő folyamatokhoz, működéshez.
Aggasztó ugyanakkor, hogy a gyakorlatban a GDPR elkezdett a mindenség jogává válni. Vagyis a gyakorlatban az adatvédelmi szempontok lépnek előre és átveszik az irányítást olyan jogviszonyokban is, ahol nem biztos, hogy erre szükség lenne. Emiatt az adatvédelmi elvárások olyan szintre emelkednek, hogy azokat egyre kevesebben veszik komolyan. Ez pedig éppen az ellenkezője annak, ami a GDPR célja lett volna. Jó példa erre a cookie-kal kapcsolatos tájékoztatási és hozzájárulás beszerzési kötelezettség. A felhasználok többsége minden bizonnyal ezeket rögtön leokézza, de anélkül, hogy érdemben megnézné a tájékoztatókat vagy egyedileg beállítaná, hogy milyen típusú cookie-k telepítéséhez járul hozzá.
– Adatok, illetve adatok megadása nélkül ma már nehezen képzelhető el a vásárlás, ami a pandémia hatására még inkább az online térre fókuszál, a kultúra területén különösen. A tapasztalataid, visszajelzések alapján az emberek könnyebben adják meg adataikat, tudván, hogy a GDPR szabályozás védi őket? Nagyobb lett a bizalom az online értékesítés iránt?
– Nekem úgy tűnik, hogy az online értékesítés növekedésében az adatvédelemnek csak kisebb szerepe van. Persze fontos a bizalom. Az érintettek könnyebben adják meg az adataikat olyan weboldalakon, ahol van egy átlátható adatvédelmi tájékoztató. Ahol egyértelmű, hogy ki az adatkezelő és érvényesül a beépített és alapértelmezett adatvédelem elve. Ha jó a felhasználói élmény, van incentíva és biztosítottak az érintettek jogai, akkor a fogyasztók szívesebben adják meg az adataikat.
- Hogy látod, a jogi szabályozás felbátorította a fogyasztókat, hogy érvényesítsék érdekeiket? Nőtt a bejelentések, esetek száma a GDPR óta?
– Tény, hogy 2018 óta sokkal inkább a közbeszéd tárgyát képezi az adatvédelem. Ennek bizonyos vadhajtása, hogy az adatvédelmi hatóságnál való panasztétel kissé olyan lett, mint amilyen korábban az adóhatósággal való fenyegetés volt. A praxisomban túlnyomórészt olyan panaszos ügyekkel találkozunk, ahol az érintett és az adatkezelő között volt valamilyen nézeteltérés vagy vita. Ez lehet munkáltató és munkavállaló közötti jogvita, vagy éppen egy olyan szituáció, amikor egy magánszemély a GDPR alapján próbál kikérni szerződéseket és egyéb dokumentumokat egy cégtől, hogy azokat egy kártérítési perben használja fel az adott céggel szemben.
– A legtöbb ember úgy fogadja el a ÁSZF-eket, hogy nem olvassa el azokat, mert hosszúak, bonyolultak, viszont probléma esetén meglepetésként érik őket, hogy mire adtak felhatalmazást. Milyen a jó ÁSZF ismérve? A felhasználóbarát hossz és megfogalmazás szempont?
– Egy jó ÁSZF vagy egy jó adatvédelmi tájékoztató megírása már-már művészet. Legyen átlátható, de tartalmazzon minden releváns információt. Vannak bevált módszerek, így például egy weboldalon a tájékoztatót lehet rétegesen megjeleníteni. Azaz elsőre csak a legfontosabb, általános információk láthatóak, és ezekben tud egyre mélyebbre menni a felhasználó. Fontos, hogy ne legyenek ellentmondások sem az adott tájékoztatón belül, sem pedig más dokumentumokkal összevetve. A GDPR megfelelésnek csak a legkülső rétege egy adatvédelmi tájékoztató. Ahhoz, hogy ez jó legyen, fel kell fejteni a belső rétegeket és rendbe kell tenni a folyamatokat. Enélkül a tájékoztató csak egy üres váz.
– A terület specialistái vagytok. Van más olyan jogi szakterület, amelyen specifikus tudással és tapasztalattal rendelkeztek?
– A Bird & Bird egy olyan nemzetközi jogi tanácsadó, amelynek jelentős tapasztalata van a digitális átállás területén. Én az adatvédelem mellett IT szerződésekkel és szellemi alkotások jogával, főképpen szabadalmakkal, védjegyekkel és szerzői joggal foglalkozom. IT területen gyakran dolgozunk együtt adótanácsadókkal szoftverfejlesztéssel, kutatás-fejlesztéssel összefüggő adókedvezmények kihasználásával összefüggésben. A Bird & Bird budapesti irodában természetesen ezeken kívül számos más jogterületekkel is foglalkozunk, így például versenyjoggal, munkajoggal, peres ügyekkel, vállalatfelvásárlásokkal, ingatlanügyekkel.
– Munkán kívül ki tudod kikapcsolni a GDPR szemüveget, vagy a hétköznapi életben is kiszúrod, ha valami nem megfelelő? Áruld el, tettél már magánemberként feljelentést adatvédelmi ügyben?
– Bizonyos szinten foglalkozási ártalom, hogy nem tudom teljesen levenni az adatvédelmi szakember szemüvegét, de igyekszem ezt konstruktívan tenni. Így például nyáron írtam emailt egy gyerektábor szervezőjének, amikor azt mondták, hogy ha nem írom alá az ahhoz való hozzájárulást, hogy a gyerekemről fényképfelvétel készüljön, akkor a gyerek nem vehet részt bizonyos foglalkozásokon. Az email elküldése után nem sokkal felhívott a szervező külsős adatvédelmi tisztviselője és egy nagyon jó beszélgetésünk folytattunk. Kiderült, hogy az a munkatársuk, akivel én beszéltem, félreértett valamit, a kérdéses hozzájárulást természetesen nem kötelező megadni. Ígéretet kaptam, hogy erre felhívják az adott személy és a többi kolléga figyelmét. Nekem ez többet ér bármilyen hatósági eljárásnál vagy bírságnál.
Comments are closed.