A GDPR alkalmazandóvá válását követően több jelentős összegű bírság is kiszabásra került, amelyek komoly visszhangot kaptak. A mai napig kiszabott 5 legnagyobb bírság az alábbi volt:

1. Google: 50 millió euró (Franciaország)
2. H&M: 35.2 millió euró (Németország, Hamburg)
3. TIM: 27.8 millió euró (Olaszország)
4. British Airways: 21.9 millió euró (Egyesült Királyság)
5. Marriott: 20.45 millió euró (Egyesült Királyság)  

A fenti bírságok mellett még több, igen jelentős bírság is kiszabásra került, például az osztrák postára (Post AG) 18 millió euró összegben, illetve az 1&1 GmbH-t érintően Németországban közel 10 millió eurós összegben (9.55 millió euró).

A GDPR alapján kiszabott jelentős összegű bírságok általában komoly sajtóvisszhangot is kapnak, az azonban már gyakran kevésbé széles körben válik ismertté, amikor a korábban kiszabott (vagy kilátásba helyezett) bírságokat mérséklik. Az alábbiakban erre mutatok néhány példát. 

A NAIH által a közelmúltban közzétett határozatban 7,5 millió forint összegű adatvédelmi bírság került megállapításra különleges (egészségügyi adatokat) is érintő adatvédelmi incidenssel kapcsolatban. A határozat már tavasszal megszületett, de a bírósági felülvizsgálat lezárultára tekintettel csak néhány hete jelent meg a Hatóság honlapján. 

Hosszú ideje húzódik az EU-ban az e-Privacy Rendelet elfogadása, amelynek első tervezetét 2017. januárjában tette közzé a Bizottság, azonban a mai napig nem sikerült végleges megállapodásra jutni az e-Privacy Rendelet tartalmát illetően. Az e-Privacy Rendelet az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról és a magánélet védelméről szóló - módosított - 2002/58/EK irányelvet ("Elektronikus hírközlési adatvédelmi irányelv") váltaná fel. 

Legutóbb a német elnökség próbálkozott egy kompromisszumos megoldás megalkotásával, azonban az elkészült előrehaladási jelentésből az látszik, hogy a német elnökség sem tud pontot tenni a jogszabály előkészítésének folyamatára, hanem a portugál elnökség viszi tovább a folyamatot.  

Egy, az Országgyűlésnek november 10-én benyújtott törvényjavaslat szerint 2021. január 1-től változhat a drónokra (pilóta nélküli légijármű) vonatkozó szabályozás és ez érintheti a magánszféra védelmét is. A módosítás a vonatkozó uniós végrehajtási rendeletre tekintettel vált szükségessé (a Bizottság (EU) 2019/947 végrehajtási rendelete (2019. május 24.) a pilóta nélküli légi járművekkel végzett műveletekre vonatkozó szabályokról és eljárásokról).   

(Update [2020.12.19.]: Az Országgyűlés 2020. december 16-án elfogadta a módosítást, a Magyar Közlönyben történő kihirdetést követően, 2021. január 1-én hatályba léphetnek a módosított szabályok.)

Az Európai Bizottság - élve a GDPR 28. cikk (7) szerinti felhatalmazással - véleményezésre közzétette az EU-n belül működő adatkezelő és adatfeldolgozó közötti megállapodásra vonatkozó általános szerződési feltételekre vonatkozó tervezetét. A tervezet megjelenése talán kicsit háttérbe szorult, mivel a figyelem elsősorban az EGT-n kívüli adattovábbításokra vonatkozó általános adatvédelmi kikötések (standard contractual clauses, SCC) új tervezetére irányult az elmúlt napokban. 

Az Európai Bíróság nyáron hozott ítélete (Schrems II.) kapcsán alaposan felbolydult a harmadik országokba történő adattovábbítás állóvize. Az adatkezelők rohamtempóban igyekeznek a működésüket a megváltozott elvárásokhoz igazítani, ahol szükséges, további garanciák biztosításával. Eközben azonban a hatóságok és a jogalkotók sem pihennek. A napokban több fontos fejlemény is történt az EU-n, pontosabban az Európai Gazdasági Térségen (EGT) kívülre (harmadik országokba) történő adattovábbítások kapcsán: egyrészt az Európai Adatvédelmi Testület véleményezésre közzétette az adattovábbításhoz kapcsolódó további garanciákra vonatkozó ajánlásait, másrészt a Bizottság - szintén véleményezésre - publikálta a jelenleg adattovábbítás céljára alkalmazott általános szerződési feltételeket (standard contractual clauses, SCC) felváltani hivatott új SCC-k tervezetét.   

Egy frissen közzétett határozatában a NAIH 20 millió forintos adatvédelmi bírságot állapított meg, mivel az adatkezelő nem tett megfelelő technikai és szervezési intézkedéseket annak érdekében, hogy az érintettek, a kamerás megfigyeléssel kapcsolatban, megfelelően élhessenek a GDPR-ban biztosított jogaikkal.

Eljárási szempontból is érdekes az ügy, mivel először érintetti bejelentés alapján egyedi ügyben indított vizsgálatot a Hatóság, amelyet a kamerás megfigyeléssel kapcsolatos adatkezelésre kiterjedő hatósági ellenőrzés követett és ennek alapján indult hivatalból hatósági eljárás, amely a bírságot kiszabó határozat meghozatalához vezetett.

Az Adatvédelmi Hatóság (NAIH) friss tájékoztatót tett közzé, amelyben a diagnosztikai eszközök alkalmazásának adatvédelmi vonatkozásait vizsgálja a jelenlegi egészségügyi válsághelyzetben. Szemben a korábbi állásfoglalással, miszerint a diagnosztikai eszközök, így a lázmérés általános alkalmazása aránytalan intézkedésnek minősült, a körülmények megváltozására is tekintettel, a Hatóság egy megengedőbb álláspontot foglalt el ebben a kérdésben. 

Több mint 35 millió eurós adatvédelmi bírságot szabott ki a Hamburgi Adatvédelmi Hatóság a H&M ruházati társaság németországi szolgáltató központjára, mivel megállapításra került, hogy a társaság a munkavállalók magánszférájára vonatkozóan gyűjtött jogellenesen információkat.   

According to the definition of data processing in the GDPR, processing means any operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means. The definition also gives examples of activities that shall be regardad as processing. Such examplary list includes "recording" as an activity that, if it is performed on personal data, qualifies as data processing. 

Recently, the Hungarian Data Protection Authority interpreted recording as a data processing activity in several different contexts and it seems from these opinions and decisions that recording as a data processing activity can be an important element to be considered when the necessity and the proportionality of the given data processing process is evaluated.