A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) a GDPR megsértése miatt bírságot szabhat ki, amelynek felső határa a súlyosabb esetekben 20 millió euró vagy a vállalkozás előző évi világpiaci forgalmának 4%-a (GDPR 83. cikk). Kis- és középvállalkozásoknál az első alkalommal elkövetett jogsértésnél a hatóság az arányosság elve alapján elsősorban figyelmeztetést alkalmaz (Infotv. 75/A. §). Az eljárások jelentős része az érintettek panaszára indul.
Hogyan indul az eljárás?
A NAIH-hoz bárki fordulhat panasszal, ha úgy érzi, hogy személyes adatait jogellenesen kezelték (GDPR 77. cikk). A gyakorlatban a weboldalakat érintő eljárások jellemzően egy elégedetlen vásárló, egy nem kívánt hírlevél vagy egy teljesítetlen adattörlési kérés miatt indulnak. A hatóság hivatalból, például adatvédelmi incidens bejelentése nyomán is vizsgálódhat.
Mekkora lehet a bírság?
| Jogsértés | Bírság felső határa |
|---|---|
| Például az adatkezelő és adatfeldolgozó kötelezettségei (adatbiztonság, nyilvántartás, incidenskezelés) | 10 millió euró vagy az előző évi világpiaci forgalom 2%-a – GDPR 83. cikk (4) |
| Például az alapelvek, a jogalap, a hozzájárulás feltételei és az érintetti jogok megsértése | 20 millió euró vagy az előző évi világpiaci forgalom 4%-a – GDPR 83. cikk (5) |
A bírság összegénél a hatóság mérlegeli többek között a jogsértés súlyát és időtartamát, az érintettek számát, a szándékosságot vagy gondatlanságot, a kár enyhítésére tett intézkedéseket és az együttműködést (GDPR 83. cikk (2)). A fenti összegek felső határok; egy kisvállalkozás honlapjával kapcsolatos hiányosság ennél nagyságrendekkel kisebb következménnyel jár, de az eljárás akkor is időt és energiát visz el.
Gyakori hiányosságok weboldalaknál
- Hiányzó vagy hiányos adatvédelmi tájékoztató (GDPR 13. cikk).
- Hozzájárulás nélkül futó statisztikai és marketing sütik, elutasítási lehetőség nélküli sütisáv.
- Hírlevél hozzájárulás nélkül, vagy nem működő leiratkozás.
- Teljesítetlen érintetti kérelmek: a hozzáférési vagy törlési kérésre a GDPR 12. cikk (3) bekezdése szerint indokolatlan késedelem nélkül, legkésőbb egy hónapon belül válaszolni kell.
- Be nem jelentett adatvédelmi incidens: az incidenst a tudomásra jutástól számított 72 órán belül be kell jelenteni a hatóságnak, kivéve, ha valószínűsíthetően nem jár kockázattal (GDPR 33. cikk).
Hogyan előzheti meg?
- Naprakész, a honlap valós működését leíró adatvédelmi tájékoztató.
- Szabályos sütisáv, amely előtt nem fut statisztikai és marketing kód.
- Egy kijelölt e-mail cím és belső rend az érintetti kérelmek kezelésére.
- Évenkénti felülvizsgálat, főleg ha új szolgáltatás kerül a honlapra.
Jogszabályhelyek: GDPR 12. cikk (3), 13. cikk, 33. cikk, 77. cikk, 83. cikk; 2011. évi CXII. törvény (Infotv.) 75/A. §.
Ez az útmutató általános tájékoztatás, nem minősül jogi tanácsadásnak. Konkrét esetben az adott weboldal működését kell megvizsgálni.
Ezt is elintézzük Ön helyett
A GDPR KOMPATIBILIS WEBOLDAL jelvény.