Az Európai Adatvédelmi Testület (EDPB) közzétette tervezett iránymutatását, amely megváltoztathatja a GDPR végrehajtásának gyakorlatát. A tervezet összefoglalója szerint a javaslat egy EDPB-vélelmet rögzít a GDPR szerinti bírságokra nem csekély mértékű jogsértések esetén, párosítva egy szándékosan alacsony küszöbbel a gondatlanság megállapításához. Egyszerűen fogalmazva: a szabályozók abból indulnának ki, hogy egy súlyos jogsértés bírságot érdemel, és a vállalatok viselnék a bizonyítás terhének nagyobb részét, hogy miért ne így legyen.
A történethez rendelkezésre álló forrásanyag egy összefoglalóra korlátozódik, ezért ez a bejegyzés ahhoz ragaszkodik, amit az összefoglaló állít, és általános értelemben magyarázza a valószínű következményeket.
Mit javasol az EDPB tervezett iránymutatása
A tervezet lényege az alapértelmezés megváltoztatása. Eddig a felügyeleti hatóságoknak a GDPR szerint számos korrekciós jogkörük volt, a figyelmeztetéstől és az elrendeléstől kezdve egészen a közigazgatási bírságig. A tervezett iránymutatás azt javasolja, hogy a nem csekély mértékű jogsértések esetén a bírság legyen az elvárt következmény, ne pedig egy lehetőség sok közül.
Két elem emelkedik ki az összefoglalóból:
- A bírság melletti vélelem a nem csekély mértékű jogsértések esetén.
- Szándékosan alacsony küszöb a gondatlanság megállapításához, ami azért fontos, mert a vétkesség kulcsfeltétele a bírság kiszabásának.
Az összefoglaló azt is megjegyzi, hogy a szervezeteknek meg kell mutatniuk a megfelelő gondosságot tanúsító, robusztus intézkedéseket. A tervezet javaslat, nem végleges iránymutatás, így a részletek a konzultáció után változhatnak.
Miért változtatja meg a végrehajtást az alacsony gondatlansági küszöb
A GDPR szerinti bírságok általában attól függnek, hogy a jogsértés szándékos vagy gondatlan volt-e. Ha a gondatlanság bizonyítása nehéz, a szabályozók vonakodhatnak bírságot kiszabni, vagy az ügyek elakadhatnak a vitában arról, mit tudott vagy mit kellett volna tudnia a vállalatnak.
Az alacsony küszöb megfordítja ezt a dinamikát. Ha egy vállalat nem tette meg azokat a lépéseket, amelyeket egy ésszerűen gondos szervezet megtenne, a gondatlanság további vizsgálódás nélkül megállapítható. A bírság melletti vélelemmel kombinálva ez megnehezítené, hogy egy szervezet azzal érveljen: a jogsértés csupán balszerencse vagy őszinte mulasztás volt.
Ez illeszkedik a nagyobb következetességre irányuló törekvéshez. Az EDPB már bevezetett egy ötlépéses megközelítést a bírságok kiszámítására, amelyet az EDPB ötlépéses GDPR-bírságszámítási módszeréről szóló magyarázatunkban ismertettünk. Ez a módszer arról szól, mekkora legyen a bírság. Az új tervezet a korábbi kérdéssel foglalkozik: egyáltalán ki kell-e szabni bírságot. A bírságsávokról és a vétkesség szerepéről szóló háttérinformációkért lásd útmutatónkat a 2026-os GDPR-bírságokról és szankciókról.
Mit jelent ez Önnek
A hétköznapi emberek számára a gyakorlati hatás közvetett, de jelentős lenne. A papíron létező adatvédelmi jogok csak akkor számítanak, ha a figyelmen kívül hagyásuknak következményei vannak. Ha a bírság lesz a súlyos jogsértésekre adott elvárt válasz, a vállalatoknak erősebb pénzügyi indoka lesz arra, hogy:
- Eleve kevesebb személyes adatot gyűjtsenek.
- Biztosítsák a megőrzött adatokat, és dokumentálják, hogyan.
- Időben válaszoljanak a hozzáférési, törlési és tiltakozási kérelmekre.
- Képezzék a munkatársakat, és ellenőrizzék az ügyféladatokat kezelő beszállítókat.
Ez nem jelenti azt, hogy minden panasz büntetéssel végződik, és nem garantál gyorsabb eredményt az egyének számára. A csekély mértékű jogsértéseket várhatóan másként kezelik, és az iránymutatás még tervezet formájában van. Az irány azonban egy valódi súllyal bíró végrehajtás felé mutat.
A szervezetek eközben valószínűleg a bizonyítékokra fognak összpontosítani. E megközelítés szerint a nyilvántartások, kockázatértékelések és a azonnali korrekciós intézkedések bemutatása jelentheti a különbséget a bírság és egy enyhébb válasz között.
Hogyan gyakorolhatja GDPR-jogait még ma
Nem kell megvárnia az iránymutatás véglegesítését. Ha az EU-ban vagy az EGT-ben tartózkodik, vagy egy vállalat a GDPR szerint kezeli az adatait, már most is cselekedhet:
- Kérjen hozzáférést. Küldjön érintetti hozzáférési kérelmet, hogy megtudja, milyen adatokat tárol Önről egy vállalat, és hogyan használja azokat.
- Kérjen törlést. Ha az adatokra már nincs szükség, vagy visszavonja a hozzájárulását, kérje a vállalatot azok törlésére.
- Tiltakozzon a kezelés ellen. Tiltakozhat bizonyos felhasználások, köztük a közvetlen üzletszerzés ellen.
- Vezessen nyilvántartást. Őrizze meg kérelmei és a válaszok másolatait, dátummal együtt.
- Lépjen tovább, ha figyelmen kívül hagyják. Ha egy vállalat nem válaszol megfelelően, panaszt tehet nemzeti adatvédelmi hatóságánál.
A dokumentált, megalapozott panasz olyan bizonyíték, amelyre a szabályozók cselekedhetnek, és egy erősebb végrehajtási álláspont ezeket a panaszokat jelentősebbé tenné.
Fő tanulságok
Az EDPB bírságok melletti vélelme – ha a tervezet szerint fogadják el – a nem csekély mértékű jogsértésekre adott normál válasszá tenné a büntetéseket, és megkönnyítené a gondatlanság megállapítását. Ez nyomást helyez a vállalatokra, hogy gondosan kezeljék a személyes adatokat, és nagyobb gyakorlati erőt ad az egyének jogainak.
Használja a már meglévő jogait: kérjen hozzáférést, kérjen törlést, és tiltakozzon, ahol indokolt. Ha meg szeretné érteni, hogyan számítják ki a büntetéseket, amikor egy bírság már szóba kerül, olvassa el magyarázatainkat az EDPB ötlépéses bírságmódszeréről és a GDPR-büntetési sávokról.
