On November 22, the Permanent Representatives Committee of the Council of the European Union (COREPER) rejected the Council’s position on the draft e-Privacy Regulation. This means that the acceptance of the long-awaited e-Privacy Regulation that should complement the GDPR is still not on the horizon. 

The Commission presented the first version of a new e-Privacy Regulation in January 2017 with the ambition that it should have become applicable together with the GDPR. Due to the fact that some points of the draft legislation were highly debated by the Member States, the process was much slower than the Commission had originally expected. The Finnish Presidency made an attempt from July 2019 to push the draft toward acceptance but this attempt seems to be failed on November 22. 

A személyes adatok kezelése kapcsán az egyik legérzékenyebb téma az incidensek kezelése. Az adatvédelmi incidenst minden adatkezelő szeretné elkerülni, hiszen komoly anyagi és reputációs kockázatot is hordoz magában. Ha azonban bekövetkezik az incidens, akkor kiemelten fontos, hogy megfelelő eszközökkel és hatékonyan kezelje az adatkezelő az incidenst és minimalizálja az esetleges negatív hatásokat. A NAIH bírságolási gyakorlata is mutatja, hogy a nem megfelelően kezelt incidens, jelentős összegű adatvédelmi bírság kiszabását is eredményezheti.

A 29-es Cikk szerinti Munkacsoport, a holland adatvédelmi hatóság, valamint az ír adatvédelmi hatóság iránymutatásai mellett, a spanyol hatóság (AEPD) is kiadta a maga útmutatóját az adatvédelmi incidensek kezeléséről. Az alábbiakban a spanyol hatóság útmutatóját mutatom be röviden. (Az adatvédelmi incidensek kezeléséről korábban itt is írtam.)   

A berlini adatvédelmi hatóság óriási, több, mint 14 millió eurós bírságot szabott ki egy ingatlanok bérbeadásával foglalkozó társaságra a GDPR megsértése miatt. A 14,5 millió eurós bírságon túl, 15 egyedi esetben (15 bérlő vonatkozásában) további egyenként 6-17 ezer euró közötti bírságot is megállapított a hatóság.

Az ír adatvédelmi hatóság az utóbbi időszakban több, a GDPR alkalmazása során felmerülő kérdéshez kapcsolódó iránymutatást tett közzé. Az iránymutatások segítik - többek között - az adatvédelmi incidensek kezelését, a hatásvizsgálatok elvégzését, az érintettek hozzáférési jogának gyakorlását, valamint felhőszolgáltatások igénybevételét. 

Az alábbiakban a fenti témákban született iránymutatások legfontosabb elemeit foglalom össze. 

The Conference of the independent Data Protection Authorities of Germany (Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder; DSK) published its generally applicable principles on imposing GDPR fines on companies. By publishing its concept, the DSK follows the Dutsch DPA (Autoriteit Persoonsgegevens), which as a first authority within the EU, published its own policy on imposing fines in March, 2019. However, DSK's methodology is more complex and seems to result in much higher fines.

Jelentős változást és akár a bírságok összegének komoly emelkedését is hozhatja a német adatvédelmi hatóságok konferenciája (DSK) által közösen elfogadott és közzétett bírságolási koncepció. Az általánosan alkalmazandó elvek rögzítésével a német hatóságok követik a holland hatóságot (Autoriteit Persoonsgegevens), amely néhány hónapja (elsőként az EU-ban) közzétett egy bírságolási politikát, amelyben részletesen bemutatta azokat az elveket, amelyek alapján a konkrét ügyekben a bírság mértékét meghatározza (erről itt írtam korábban). 

A német adatvédelmi jogalkalmazás sajátossága, hogy szövetségi tagállamonként független adatvédelmi hatóságok működnek, így az egységes jogalkalmazás megteremtése (ami a GDPR alapján az egész EU-t érintő kihívás) már országos (szövetségi) szinten is komoly kihívást jelenthet. Még a GDPR alkalmazandóvá válását megelőzően a WP29 adott ki a bírságolásra vonatkozó iránymutatást (erről itt és itt írtam részletesen), azzal a céllal, hogy elősegítse az egységesebb jogalkalmazást, aminek a bírságösszegek egymáshoz legalább közelítő mértékében is meg kellene mutatkoznia. A WP29 iránymutatása azonban a GDPR 83. cikkének kicsit részletesebb magyarázatán nem igazán lépett túl, nem adott kézzel fogható, illetve számszerűsíthető támpontokat a bírságtételek meghatározásához. Ezt a hiányosságot igyekeznek pótolni egyes tagállami hatóságok addig is, amíg esetleg az Európai Adatvédelmi Testület az egész EU-ra nézve konkrétabb bírságolási szempontokat is meghatároz. (A német hatósági koncepció kifejezetten rögzíti is, hogy a koncepció hatályát veszti abban az esetben, ha az Európai Adatvédelmi Testület kiad egy egész EU-ra vonatkozó iránymutatást.)

A tegnapi nap kiemelt híre volt, hogy az Egyesült Királyság és az EU kompromisszumra jutott a Brexit-megállapodás kapcsán, amelyet a EU tagállamok vezetői jóvá is hagytak. A labda (immár sokadszor) a brit parlamentnél pattog, amelynek szintén áldását kell adnia a módosított megállapodásra annak érdekében, hogy a brit kilépés az EU-ból rendezett formában valósulhasson meg.

A módosítás EU általi elfogadása kapcsán érdemes áttekintetünk, hogy a személyes adatok Egyesült Királyságba történő továbbítása tekintetében mire kell számítanunk a közeljövőben. 

Az adatkezelések kapcsán ritkán esik szó arról, hogy előfordulhatnak olyan - kivételes - esetek, amelyek az adatvédelmi szabályok hatályán kívül esnek, így ezekre a szigorú adatvédelmi követelményeket sem kell alkalmazni. Mielőtt azonban sokan megkönnyebbülten hátradőlnének, jelzem, hogy kivételes esetekről van szó, a főszabályt a szigorú adatvédelmi szabályok alkalmazandósága jelenti. 

Az alábbiakban azt járom körül, hogy az ún. háztartási célú adatkezelésekre vonatkozó kivétel mikor alkalmazható, mikor mentesülhet az adatkezelő az adatvédelmi szabályoknak történő megfelelés alól. 

It was all over the news a few days ago that Google had reached the quantum supremacy in an experiment, where a quantum processor proved that the figures pumped out by a random number generator were indeed random. This task took 3 minutes 20 seconds (200 seconds) for the quantum processor and according to the estimations, the most powerful classical computer would need approx. 10,000 years for completing the same task.

Of course, there is a lot of uncertainty around this news (actually, it's more a leak than an actual announcement), but at the same time it shows the advent of a very exciting era in computing. (The original study "Quantum Supremacy Using a Programmable Superconducting Processor" was available at NASA's website for a short period of time.)

Besides the fact that quantum computing, by its incredible computing capabilities, may open a new era for development of pharmaceuticals, artificial-intelligence applications, etc., it raises a number of questions, some of which are very important also for data protection.

Néhány napja robbant a hír, miszerint a Google egy kísérlet során elérte a kvantumfölényt, azaz egy olyan számítást végzett el néhány perc (egészen pontosan, 3 perc 20 másodperc) alatt, ami a világon elérhető legerősebb hagyományos számítógépnek több, mint 10.000 évébe telt volna. 

A fenti hírt persze sok bizonytalanság övezi még (igazából inkább kiszivárogtatásról, mint bejelentésről van szó), ugyanakkor egy nagyon izgalmas korszak eljövetelét mutatja a számítástechnikában. (A NASA oldalán rövid ideig elérhető eredeti, "Quantum Supremacy Using a Programmable Superconducting Processor" című tanulmány megtalálható itt.) 

A hihetetlen számítási kapacitás amellett, hogy elképesztő lehetőségeket tartogat, számos kérdést is felvet, köztük olyanokat is, amelyek az adatvédelmet is érintik.