The right of access is an important guarantee in the GDPR to ensure the transparency of data processing for data subjects. However, it is an open question to what extent this right can be exercised. In the past months, several interpretations became available, mostly from German data protection authorities and courts (see for example the decision of Cologne Regional Court summarised by Dr. Carlo Piltz, the judgment of the Higher Labour Court of Baden-Württemberg, the annual report of the Data Protection Authority of Hessen).

The Hungarian Data Protection Authority (in Hungarian: Nemzeti Adatvédelmi és Információszabadság Hatóság, the "Hungarian DPA") also issued several decisions that interpreted the rules of GDPR regarding the application of the right of access.

Az érintettek jogai nagyon hangsúlyos szerepet kapnak a GDPR-ban. Abban, hogy az adatkezelés átlátható legyen és az érintettek fel tudjanak lépni jogaik és érdekeik védelme érdekében, kiemelt jelentősége van annak, hogy tisztában legyenek az őket érintő adatkezelések részleteivel (ne legyen a felek között információs asszimmetria). Ezt szolgálja a hozzáférési jog, amely alapján az érintett egyrészt tájékoztatást kérhet az őt érintő adatkezelés részleteiről (15. cikk (1) bekezdés), másrészt az adatkezelés tárgyát képező személyes adatok másolatának rendelkezésére bocsátását is kérheti az adatkezelőtől (15. cikk (3) bekezdés).

Az elmúlt időszakban több olyan hatósági és bírósági döntés született, amely a hozzáférési jog értelmezése, terjedelme meghatározása kapcsán kapaszkodóval szolgálhatnak, még akkor is, ha a különböző tagállami hatóságok (és bíróságok) gyakorlata között ellentmondások is felfedezhetők (különösen a másolat rendelkezésre bocsátásának értelmezése kapcsán). 

A hatósági és bírósági gyakorlat alakulása mellett érdekesek azok a "kísérletek" is, amelyek egyes adatkezelők hozzáférési joggal kapcsolatos gyakorlatát (pl. a hozzáférési igények során végzett azonosítással kapcsolatban) teszik próbára és a hozzáférési jog igénybevételével elkövethető visszaélések lehetőségét vizsgálják. A témában például a BBC közölt riportot és Belgiumban egy egyetemi tanulmány (Personal Information Leakage by Abusing the GDPR “Right of Access”) is született.  

A NAIH 1 millió Ft összegű bírságot szabott ki engedély nélküli követelésvásárlással összefüggő adatkezeléssel kapcsolatban, továbbá megtiltotta, hogy az adatok követeléskezelési célból történő kezelését.

Az eset több szempontból is érdekes, egyrészt az engedélyköteles tevékenység megfelelő engedély nélküli folytatása és az ehhez kapcsolódó adatkezelés megítélése szempontjából, másrészt azt is megmutatja, hogy a Hatóság jogkörei közül - a bírságolás mellett - nagyon fontos eszköz a jogellenes adatkezelés megtiltása,  illetve az adatkezelés korlátozása, harmadrészt az eljárás során a Hatóság eljárási bírságot is kiszabott, mivel a Kötelezett nem adott megfelelően válaszokat a NAIH által feltett kérdésekre. 

Az Európai Parlament által publikált friss tanulmány az egyre terjedő blokklánc technológia és a GDPR egymáshoz való viszonyát vizsgálja. A tanulmány három fő részből áll: (i) a blokklánc technológia bemutatása, valamint a technológia alkalmazása és a GDPR követelményei közötti ütközések, (ii) a blokklánc technológia azon alkalmazási lehetőségei, amelyek elősegíthetik a GDPR-nak való megfelelést, és (iii) szabályozói lehetőségek és teendők - a technológia sajátosságai miatt - az adatvédelmi szabályozással való (potenciális) ütközések feloldásához.

The European Parliament published a study that examines whether distributed ledgers can be squared with European data protection law. The study consists three main parts: (i) it discusses blockchain technology and the tensions between the use of such technology and the GDPR, (ii) it explores the possibilities to use this technology to enhance GDPR-compliance and (iii) it recommens policy options available to help in solving (potential) collisions between the characteristics of the technology and the requirements of data protection law. 

A magyar adatvédelmi hatóság (NAIH) két újabb határozatot tett közzé, amelyek ismét hasznos támpontot nyújthatnak a GDPR egyes rendelkezéseinek értelmezését illetően. Az egyik esetben a magánszemélyek által végzett adatkezelés és a háztartási célú adatkezelés határai, a másik esetben pedig az érintetti jogok gyakorlása és a joggyakorlás biztosítása képezte elsősorban a vizsgálat tárgyát. Utóbbi határozatában a Hatóság fontos megállapításokat tett a hozzáférési jog tartalmával és terjedelmével kapcsolatban is.  

At the end of July, the European Court of Justice (ECJ) ruled in case no. C-40/17 (“Fashion ID Case”), which dealt with the interpretation of the concept of data controller and the issue of joint data processing. The basic question to be clarified was the role of the website operator and Facebook in connection with the placement of the Facebook’s "Like" button on webpages and the data processing related to the use of the "Like" button.

It can be recalled that last summer, the ECJ ruled, in case no. C-210/16 (“Wirtschaftsakademie Schleswig Holstein Case”), that the operator of a Facebook fan page and Facebook shall be considered as joint controllers: "the concept of ‘controller’ within the meaning of that provision encompasses the administrator of a fan page hosted on a social network."

Július végén hirdetett ítéletet az Európai Bíróság a Fashion ID-ügy néven elhíresült ügyben (C-40/17. sz.), amely az adatkezelő fogalmának értelmezésével és a közös adatkezelés kérdésével foglalkozott. Az alapvetően tisztázandó kérdést az jelentette, hogy a weboldal üzemeltetőjének és a Facebooknak miként alakul a szerepe a Facebook "Tetszik" ("Like") gombjának elhelyezése és a "Tetszik" gomb használatához kapcsolódó adatkezelések tekintetében. 

Emlékezetes, hogy tavaly nyáron a C-210/16. sz., Wirtschaftsakademie Schleswig‑Holstein-ügyben a Facebook rajongói oldalak (fan page) kapcsán hozott a Bíróság olyan ítéletet, amely kimondta, hogy a rajongói oldal üzemeltetője és a Facebook közös adatkezelőnek minősülnek: "az „adatkezelő” [...] fogalma kiterjed a valamely közösségi hálózaton fenntartott rajongói oldal adminisztrátorára." 

Az Adatvédelmi Hatóság (NAIH) 1 millió Ft összegű bírságot szabott ki júniusban az érintett törlésre vonatkozó kérelmének elutasítása és jogalap nélkül történő adatkezelés, illetve a célhoz kötöttség és az adattakarékosság elveinek megsértése miatt (NAIH/2019/2402). 

A határozat több tekintetben is érdekes és fontos megállapításokat tartalmaz: egyrészt az érdekmérlegelési teszt elvégzésével és tartalmával (eredetitől eltérő célra történő adatkezelés kapcsán), illetve egyes információk üzleti titokként kezelésével kapcsolatban.

Júniusban két újabb bírságot kiszabó határozatot hozott és tett közzé a Nemzeti Adatvédelmi- és Információszabadság Hatóság (NAIH). Egyik határozatában a BRFK-t marasztalta el a Hatóság incidenskezeléssel kapcsolatos hiányosságok miatt, míg a másik határozatban a törléshez való jog megsértése, illetve a nem kellően alátámasztott jogos érdekre alapozott adatkezelés vezetett a bírság kiszabásához. 

Jelen posztban a BRFK-t érintően hozott határozat főbb tanulságait mutatom be.