A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) - az Infotv. vonatkozó rendelkezései alapján - minden évben megrendezi az adatvédelmi tiszviselők éves konferenciáját, amelyen az adott év hatósági oldalról legfontosabbnak tekintett adatvédelmi és információszabadság témáit tárgyalják a Hatóság munkatársai. A konferencián elhangzottak a hatósági gyakorlat alakulása kapcsán jó iránytűként szolgálnak, így az adatkezelőknek és adatfeldolgozóknak érdemes figyelemmel kísérniük ezeket az előadásokat. 

A 2023. évi előadások az alábbi főbb témákat fedték le: 

• Újdonságok az információs jogok kapcsán, a 2023-as év statisztikái (Dr. habil. Péterfalvi Attila, NAIH elnök)
• Uniós adatvédelmi fejlemények (Dr. Sziklay Júlia PhD, NAIH nemzetközi elnökhelyettes)
• Az Európai Unió Digitális Csomagja és az adatvédelem (Dr. Vass Norbert)
• Mesterséges intelligencia és adatvédelem: hatósági tapasztalatok (Dr. Vass Norbert)
• A GDPR bírságkiszabási szabályaival összefüggő 4/2022. számú Európai Adatvédelmi Testület iránymutatásról (Dr. Barabás Gergely)
• A NAIH adatvédelmi incidensekkel kapcsolatos fontosabb döntései 2023-ban (Dr. Eszteri Dániel)
• A költségvetési szervek új közzétételi kötelezettsége, az átláthatósági hatósági eljárás tapasztalatai (Dr. Tóth Éva)
• Az adatvédelmi tisztviselők helyzetére és szerepére vonatkozó 2023. évi felmérések, és egyes, a tisztviselők által feltett kérdések (Dr. Kiss Attila)

Az alábbiakban a fenti előadások néhány lényeges pontját emelem ki a teljesség igénye nélkül.  

1. Uniós adatvédelmi fejlemények

Az uniós adatvédelmi fejlemények kapcsán az alábbi témák kerültek kiemelésre: 

• uniós együttműködés fórumai és formái, 
• Európai Adatvédelmi Testület véleményei, különös tekintettel az EU-USA közötti adattovábbításra vonatkozó keretegyezményre vonatkozó véleményre (5/2023. sz. vélemény),
• határokon átnyúló ügyekkel kapcsolatos hatósági eljárásokra vonatkozó új szabályozás alakulása (rendelet tervezet, jogalkotás még folyamatban),
• Európai Adatvédelmi Testület vitarendezési eljárásokban hozott döntései (1/2023. sz. kötelező erejű döntés, illetve 2/2023. sz. ügyben hozott kötelező erejű döntés), 
• a Testület 2023-as iránymutatásai, különös tekintettel a hozzáférési jogra vonatkozó iránymutatásra (01/2022. sz. iránymutatás) és a C-307/22. sz. Európai Bíróság (EUB) által tárgyalt ügyre,
• 2023-as EUB-ügyek áttekintése.

2. Az Európai Unió Digitális Csomagja és az adatvédelem

• digitális szuverenitás kérdése
• személyes adatok kezelését is érintő jogalkotási kezdeményezések az EU Digitális Csomagjában:
  • Digitális szolgáltatásokra vonatkozó rendelet (DSA)
    • 2024. február 17-től alkalmazandó,
    • jellemzője a kockázatalapú megközelítés, 
    • rendelkezéseket tartalmaz a jogellenes online tartalmak eltávolítására és a tartalommoderálásra vonatkozóan,
    • fontos elemét jelentik az áltláthatósági intézkedések,
    • nagyon nagy platfromok esetén a Bizottság jár el 
  • Adatkormányzási rendelet (DGA)
    • 2023. sezptember 24-től alkalmazandó,
    • tárgya elsősorban a közszférabeli szervezetek által kezelt közadatbázisokhoz való hozzáférés rendezése, 
    • magyarországi végrehajtása kapcsán a NAIH is szerepet kap a közelmúltban elfogadott jogszabály alapján.
  • Adatmegosztási jogszabály (adatrendelet, Data Act) 
    • az előadás felvételét követően az Adatrendelet elfogadásra került és 2024. január 11-én lép hatályba (az alkalmazandóságára azonban csak különböző hosszúságú átmeneti időszakokat követően kerül sor)
    • fő tárgykörök, amelyeket a rendelet lefed: összekapcsolt termékek használata során keletkezett adatokhoz történő hozzáférés és adatmegosztás szabályai, adatkezelési szolgáltatások közötti váltás, interoperabilitás. (Erről itt írtam korábban.)
  • MI rendelet (a jogalkotás még folyamatban)
    • politikai megállapodás született a Tanács és a Parlament között, jelenleg a végleges szöveg előkészítése zajlik.
  • eIDAS módosítás (a jogalkotás még folyamatban)
    • európai digitális azonosító (European Digital Identity) létrehozása,
    • állampolgárok online azonosítása,
    • eIDAS eddigi, elektronikus aláírásokra fókuszáló tárgyi hatályának kiterjesztése egyéb elektronikus szogáltatásokra, 
    • minősített bizalmi szolgáltatások szabályait frissíti,
    • elektronikus ügyintézés elősegítése. 
• Az interoperábliis Európáról szóló jogszabály

3. Mesterséges intelligencia és adatvédelem: hatósági tapasztalatok  

• GDPR alkalmazandósága és alkalmazhatósága az MI-re
• MI rendelet szerepe az EU-s szabályozási rendszerben: kiegészíti és egységesíti a vonatkozó szabályokat
• új techonológia alkalmazásával együttjáró fokozott adatkezelői felelősség és ehhez kapcsolódó fokozott adatkezelői erőfeszítés (pl. átláthatóság kapcsán)
• Budapest Bank-ügy tanulságai
• ChatGPT-t érintő hatósági eljárások, lásd különösen az olasz adatvédelmi hatóság eljárását (erről itt írtam korábban)

4. A NAIH adatvédelmi incidensekkel kapcsolatos fontosabb döntései 2023-ban

• adatbiztonsággal kapcsolatos intézkedések megtétele nem hárítható át az érintettekre
• elavult tartalomkezelő rendszer sérülékenysége miatt bekövetkezett incidens
• előválasztás lebonyolításával kapcsolatos adatkezeléssel összefüggő incidens
• távhőszolgáltató nem megfelelő incidenskezelési gyakorlata

5. Az adatvédelmi tisztviselők helyzetére és szerepére vonatkozó 2023. évi felmérések, és egyes, a tisztviselők által feltett kérdések

• összehangolt fellépés az adatvédelmi tisztviselők szerepe kapcsán, amelyben a NAIH is részt vett
  • NAIH kérdőív a téma kapcsán a közszférát érintően
  • a kérdőív alapján feltárt problémák: adatvédelmi tisztviselők helyettesének hiánya, adatkezelést érintő döntéshozatalban való részvétel az adatvédelmi tiztviselő részéről és az ilyen döntésekért viselt adatvédemi tisztviselői felelősség (amely ellentétes a GDPR szerinti kritlriumokkal) 
•  minden adatvédelmi tisztviselőre kiterjedő NAIH felmérés
  • alacsony arányú válaszadás
  • érdekesebb megállapítások a felmérés alapján: adatkezelést érintő döntéshozatalban való részvétel és az ilyen döntésekért viselt adatvédemi tisztviselői felelősség (amely ellentétes a GDPR szerinti kritlriumokkal és hasonló arányban van jelen az összes DPO-t megkereső felmérés válaszai alapján, mint a közszférában végzett felmérés eredményeiben), érintetti jogok gyakorlásával kapcsolatos feladatok teljes átruházása az adatvédelmi tisztviselőre 
• feltett kérdések és válaszok az alábbi témák kapcsán:
  • adattovábbítás az USA-ba, felhőszolgáltatás igénybevétele kapcsán
  • közfeladatot ellátó szervekre vonatkozó adatvédelmi követelmények
  • kamerás adatkezelésekkel kapcsolatos kérdések