GDPR: az Ön jogai a személyes adataihoz

Személyes adata sokkal több helyen van, mint gondolná: a bankban, a webáruházakban, az alkalmazásokban, a munkahelyén, a biztosítónál és a szolgáltatóknál. Az Európai Unió általános adatvédelmi rendelete, a GDPR azt mondja ki, hogy ezek az adatok az Öné, és Ön kérdezhet, kérhet javítást, kérheti a törlést vagy tiltakozhat a kezelés ellen. Ez az útmutató sorra veszi az egyes jogokat, megmutatja, hogyan kérheti őket, mennyi idő alatt kell válaszolni, és mit tehet, ha a válasz késik vagy elutasító.

A tartalom a NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság) oldalaira épül. Általános tájékoztatás, nem jogi tanács. Összetett ügyben forduljon közvetlenül a hatósághoz vagy jogi szakemberhez.

Röviden: a hat jog és a határidő

A NAIH oldala az alábbi jogokat sorolja fel, mindegyiket az adatkezelőnél (az a szervezet, amely az adatait kezeli) kell gyakorolni:

1. Hozzáférés. Megkérdezheti, kezelik-e az adatait, és másolatot kérhet róluk.
2. Helyesbítés. Kérheti a pontatlan adatok javítását, a hiányosak kiegészítését.
3. Törlés (elfeledtetés). Meghatározott feltételek mellett kérheti az adatai törlését.
4. Korlátozás. Bizonyos esetekben kérheti, hogy az adatkezelő ne használja tovább az adatait.
5. Adathordozhatóság. Megkaphatja az adatait géppel olvasható formában, és továbbíthatja másik adatkezelőnek.
6. Tiltakozás. Tiltakozhat a kezelés ellen, a közvetlen üzletszerzés (direkt marketing) ellen pedig bármikor.

A határidő: indokolatlan késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül kell tájékoztatnia az adatkezelőnek. A határidő összetett kérelem vagy sok kérelem esetén két hónappal meghosszabbítható, erről és az okról az első hónapon belül értesítenie kell Önt.

Ha szeretné látni, hol jelenhetnek meg a személyes adatai a nyilvános weben, mielőtt kérelmet ír, indítsa el az ingyenes elemzést.

A Remove Me ingyenes elemzése regisztráció nélkül működik. A nyilvánosan elérhető forrásokban, az ismert adatszivárgásokban (a Have I Been Pwned szolgáltatáson keresztül) és egy adatkereskedői nyilvántartásban keres az Ön adataira. Az e-mailben elküldött hatjegyű kód nyitja meg a jelentést. A Remove Me jelenleg még nem küld törlési kérelmet az Ön nevében, és nem ígéri, hogy az adatai eltűnnek. A jelentés abban segít, hogy tudja, mely szervezetnek érdemes jogot gyakorolnia. Indítsa el az ingyenes elemzést.

Mi a GDPR, és kire vonatkozik?

A GDPR (az EU általános adatvédelmi rendelete) a személyes adatok kezelésére vonatkozó uniós szabályokat és az érintettek jogait tartalmazza. Az adatkezelő az a szervezet, amely az Ön személyes adatait kezeli, az érintett pedig az a személy, akire az adatok vonatkoznak, vagyis Ön.

A jogokat bármely olyan szervezettel szemben gyakorolhatja, amely az adatait kezeli: vállalkozással, hatósággal vagy más szervezettel. A NAIH oldala külön jelzi, hogy a bűnüldözési, nemzetbiztonsági és honvédelmi célú adatkezelésre az információs önrendelkezési jogról szóló törvény (Infotv.) vonatkozik. Ott más szabályok érvényesek, ezért ilyen ügyben érdemes közvetlenül a NAIH oldalát vagy ügyfélszolgálatát megnézni.

A GDPR 23. cikke lehetővé teszi, hogy tagállami jog bizonyos jogokat korlátozzon. A NAIH oldala ezeket a korlátozásokat nem részletezi, ezért a kivételekről itt sem tudunk általános szabályt mondani. Az adatkezelőnek ilyenkor is válaszolnia kell.

Hogyan kérheti a jogait? Általános tudnivalók

A NAIH azt javasolja, hogy a hatósághoz fordulás előtt kérje közvetlenül az adatkezelőt, mert sok adatkezelő önként megoldja a problémát.

Az oldal nem ír elő kötelező formát a kérelemhez. Praktikus szempontok:

• Írásban kérje, hogy később bizonyítani tudja, mikor küldte, és mit kért (e-mail, levél, a szolgáltató ügyfélportálja). Őrizze meg a másolatot és a feladás igazolását.
• Pontosan nevezze meg a jogot (például: „a GDPR szerinti hozzáférési jogommal élek”), és hogy mit kér.
• Adjon meg annyi adatot, amennyi az azonosításához szükséges, de ne többet. A NAIH szerint ha az adatkezelő megalapozottan kételkedik a személyazonosságában, további információt kérhet, és ha bizonyítja, hogy nem tudja azonosítani, megtagadhatja a kérelmet.
• Jegyezze fel a dátumot, mert ettől számít az egyhónapos határidő.

A tájékoztatás és az intézkedés főszabály szerint ingyenes. A NAIH szerint nyilvánvalóan megalapozatlan vagy túlzó kérelemnél, különösen ismétlődés esetén, az adatkezelő az adminisztratív költségeken alapuló észszerű díjat számíthat fel, vagy megtagadhatja az intézkedést. Azt, hogy a kérelem megalapozatlan vagy túlzó, az adatkezelőnek kell bizonyítania.

Kérelemminta

Az alábbi minta csak példa, a szögletes zárójelben álló részeket töltse ki. A valós nevet és címet csak a saját kérelmében szerepeltesse.

Tárgy: GDPR szerinti hozzáférési kérelem

Tisztelt Adatkezelő! Az általános adatvédelmi rendelet (GDPR) alapján kérem, hogy tájékoztasson arról, kezeli-e a személyes adataimat, és ha igen, adjon másolatot róluk, valamint tájékoztasson a kezelés céljáról, az adatok címzettjeiről és a megőrzés időtartamáról. Azonosításomhoz a következő adatokat adom meg: [név, az Önök rendszerében szereplő e-mail-cím]. A kérelem beérkezésétől számított egy hónapon belüli válaszukat kérem. Üdvözlettel: [név], [dátum]

Ugyanezt a szerkezetet használhatja helyesbítési, törlési vagy tiltakozási kérelemnél is: tárgy, a jog megnevezése, a kért intézkedés, azonosító adatok, határidő.

1. Hozzáférési jog

A NAIH szerint megkérdezheti az adatkezelőtől, hogy kezeli-e az Ön személyes adatait, és másolatot kérhet róluk. Az oldal szerint a tájékoztatásnak a kezelés céljait, a címzetteket, a tárolás időtartamát és az Ön jogait is tartalmaznia kell. További másolatokért az adatkezelő észszerű díjat kérhet.

Mikor érdemes élni vele?

• Ha tudni szeretné, milyen adatokat tárol egy cég az Önről (például egy értesítés után, hogy adatvédelmi incidens érte).
• Ha tisztázni akarja, honnan származik és kinek adták tovább az adatait.
• Ha az adatainak törlését, javítását vagy a tiltakozást készíti elő, és előbb látni akarja, mi van meg.

A részletekről és a válasz tartalmáról külön írunk: hozzáférési jog: kérjen másolatot a saját adatairól.

2. Helyesbítési jog

Ha az Önről tárolt adat pontatlan, a NAIH oldala szerint indokolatlan késedelem nélkül kérheti a javítását. A hiányos adatok kiegészítését is kérheti. Gyakorlati példa: elírt név vagy elavult cím egy ügyfélnyilvántartásban. Írja le, mi a hibás adat, és mi a helyes, és ha tudja, csatoljon igazoló dokumentumot.

3. Törléshez való jog (elfeledtetés)

A NAIH szerint meghatározott feltételek mellett indokolatlan késedelem nélkül kérheti az adatai törlését. Ha az adatkezelő nyilvánosságra hozta az adatot, észszerű lépéseket kell tennie, hogy a többi adatkezelőt is tájékoztassa a hivatkozások vagy másolatok törlésére irányuló kérésről. Ez a jog nem érvényesül, ha a GDPR 17. cikk (3) bekezdése szerinti kivétel fennáll.

Ebből két dolog következik. Egyrészt a törlés nem automatikus: az adatkezelő megvizsgálja, hogy a feltételek fennállnak-e, és hogy kivétel nem érvényesül-e. Másrészt a kérelem elküldése nem jelenti, hogy az adat eltűnik, és ezt egyetlen szolgáltatás sem ígérheti. Ha az adatkezelő nem teljesíti a kérését, a NAIH szerint az indokokról és a panasz, valamint a bírósági jogorvoslat lehetőségéről egy hónapon belül tájékoztatnia kell.

Bővebben: a törléshez való jog. Találatok eltávolítása keresőből: lásd a telefonkönyvi és Google-adatok eltávolításáról szóló útmutatót.

4. A kezelés korlátozásának joga

A korlátozás azt jelenti, hogy az adatkezelő az adatait tárolhatja, de egyébként nem használhatja. A NAIH szerint például az alábbi esetekben kérheti:

• ha vitatja az adatok pontosságát, arra az időre, amíg az adatkezelő ellenőrzi;
• ha a kezelés jogellenes, és Ön ellenzi az adatok törlését;
• ha az adatkezelőnek már nincs szüksége az adatokra, de Ön jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez igényli őket;
• ha tiltakozott a kezelés ellen, addig, amíg megállapítják, hogy az adatkezelő jogos indokai elsőbbséget élveznek-e.

5. Adathordozhatóság

A NAIH szerint megkaphatja az adatait strukturált, széles körben használt, géppel olvasható formátumban, és továbbíthatja másik adatkezelőnek. Ez csak akkor alkalmazható, ha a kezelés az Ön hozzájárulásán vagy szerződésen alapul, és automatizált módon történik. Tipikus helyzet: szolgáltatóváltás, amikor az adatait át szeretné vinni.

6. Tiltakozás joga

A NAIH szerint két helyzetet érdemes megkülönböztetni:

• Saját helyzetével kapcsolatos okból bármikor tiltakozhat, ha a kezelés jogos érdeken vagy közhatalmi jogosítványon alapul.
• Közvetlen üzletszerzés (direkt marketing) esetén bármikor tiltakozhat, a profilalkotást is beleértve. A tiltakozás után az adatait erre a célra többé nem lehet kezelni.

A kéretlen reklám elleni lépéseket külön cikkben foglaltuk össze: direkt marketing: tiltakozás és a Robinson-lista.

Mi történik a kérelem után?

Az adatkezelő három irányban válaszolhat.

1. Teljesíti a kérelmet. Erről tájékoztatnia kell Önt. Ellenőrizze, hogy a válasz valóban tartalmazza-e, amit kért (például a másolatot).
2. Meghosszabbítja a határidőt. A NAIH szerint összetett vagy sok kérelem esetén a határidő két hónappal hosszabbodhat, de erről és az okról az első hónapon belül értesítenie kell. Önmagában a hosszabbítás nem elutasítás.
3. Nem teljesíti. Ebben az esetben is egy hónapon belül tájékoztatnia kell az okokról, valamint arról, hogy panaszt tehet a hatóságnál, és bírósághoz fordulhat.

Tegyük hozzá, hogy az adatkezelő „megalapozatlan vagy túlzó” kérelemre hivatkozva díjat kérhet vagy megtagadhatja az intézkedést, de ezt neki kell bizonyítania.

Ha nem kap választ, vagy a válasz nem elfogadható, a következő lépés a NAIH.

Panasz a NAIH-hoz: lépésről lépésre

A NAIH oldala szerint bejelentést tehet, ha úgy véli, hogy személyes adatai kezelése jogsértő, vagy ennek közvetlen veszélye fennáll. Ha az adatkezelő a határidőn belül nem teljesíti a kérelmét, és nem tudja igazolni, hogy ezt jogosan tette, a Hatóság panasz alapján vizsgálja az ügyet.

1. Ellenőrizze, hogy kérte-e előbb az adatkezelőt. A NAIH ezt javasolja.
2. Gyűjtse össze a bizonyítékokat: a kérelem másolatát, a feladás igazolását, a választ vagy annak hiányát.
3. Válassza ki a csatornát. A NAIH szerint:
   • elektronikusan, az e-Papír szolgáltatáson vagy hivatali tárhelyen keresztül (az ügyindítási oldal szerint az elektronikus szolgáltatások ügyfélkapuval vagy cégkapuval rendelkező ügyfeleknek érhetők el);
   • postán: 1363 Budapest, Pf. 9.;
   • személyesen, a nyitvatartási időben, személyazonosság igazolásával.
4. E-mailben nem indítható eljárás. Az ugyfelszolgalat@naih.hu címre tájékozódhat, de a panasz így nem számít benyújtottnak.
5. Azonosítsa magát. A névtelen panaszt a Hatóság érdemi vizsgálat nélkül elutasíthatja. Postai beadványnál a NAIH a teljes bizonyító erejű magánokiratot, valamint a név, a születési név, az anyja születési neve, a születési hely és idő megadását kéri.
6. Csatolja az iratokat, amelyek a jogsértést vagy annak közvetlen veszélyét alátámasztják.

A NAIH szerint a vizsgálati eljárás ingyenes, nem közigazgatási hatósági eljárás (ezért bírság nem szabható ki, és iratbetekintési jog meg bírósági jogorvoslat sem alkalmazható benne), és a Hatóság főszabály szerint nem fedi fel az Ön kilétét az adatkezelőnek, kivéve, ha a vizsgálat nélküle nem folytatható. A panasz nem járhat Önre nézve hátránnyal. A vizsgálatot a bejelentést követő naptól számított két hónapon belül kell lezárni, de nem számít bele például az az idő, amíg a hatóság adatra vár. A lezárás után a Hatóság értesíti az eredményről.

Ha az adatkezelő a felhívás ellenére sem orvosol, a NAIH a vizsgálat szerint eldönti a további lépéseket: például adatvédelmi hatósági eljárást indíthat. Ebben az eljárásban már más szabályok érvényesek, ezért itt a részleteit nem ismertetjük.

A NAIH e-Papír oldala szerint a vizsgálati eljárás nem közigazgatási hatósági eljárás, ezért benne bírság, iratbetekintés és bírósági jogorvoslat nem alkalmazható. A Hatóság azt kéri, hogy a vizsgálat hatékony lefolytatása érdekében csatoljon a bejelentéshez minden releváns dokumentumot, amely a jogsértést vagy annak közvetlen veszélyét alátámasztja. Ilyen lehet a kérelem másolata és az adatkezelő válasza.

Az eljárás menetéről részletesebben itt írunk: panasz a NAIH-hoz.

Bírósági út és kártérítés

A NAIH oldala szerint bírósági jogorvoslatot is kérhet, a lakóhelye vagy tartózkodási helye szerint illetékes törvényszéken. A NAIH nem kártérítési fórum, a vizsgálati eljárásban kártérítést nem ítél meg. Ha kárt szenvedett, erről érdemes jogi szakemberrel konzultálni.

Gyakori hibák, amelyeket kerüljön el

• Telefonon kér, és nem őrzi meg a nyomát. Mindig legyen írásos nyoma a kérelemnek.
• Túl sok adatot ad meg az azonosításhoz. Csak azt küldje, ami szükséges, és kerülje az olyan érzékeny adatokat, amelyeket a cég nem kért.
• Összekeveri a jogokat. A törlés nem azonos a tiltakozással, a hozzáférés pedig nem azonos az adathordozhatósággal. Mindig nevezze meg, melyiket kéri.
• Nem várja meg a határidőt. A panasz csak akkor erős, ha letelt az egy hónap (vagy a meghosszabbított határidő), és az adatkezelő nem teljesített.
• E-mailben panaszkodik a NAIH-nak. Az e-mail nem indít eljárást.
• Az elküldött kérelmet kész ténynek tekinti. A kérelem elküldése nem jelenti, hogy az adat törlődött. Ellenőrizze a választ.

Példahelyzetek: melyik jogot válassza?

A jogok között könnyű eltévedni, ezért néhány általános példa. Mindegyik csak szemléltetés, a konkrét esetet mindig az adatkezelő válasza és a NAIH leírása dönti el.

• Nem tudja, milyen adatot tárol Önről egy webáruház. Hozzáférési kérelmet írjon, és másolatot kérjen.
• A szolgáltató rossz címre küldi a számlát, mert elavult adat szerepel. Ez helyesbítési kérelem: nevezze meg a hibás adatot, és adja meg a helyeset.
• Már nem használja a szolgáltatást, és nem szeretné, hogy az adatait tovább tárolják. Törlési kérelmet küldhet. Számítson rá, hogy az adatkezelő megvizsgálja, fennáll-e valamelyik kivétel.
• Vitatja, hogy az adat pontos, és addig szeretné, hogy ne használják. A korlátozás kérése jöhet szóba arra az időre, amíg az adatkezelő ellenőrzi az adatot.
• Szolgáltatót vált, és át szeretné vinni az adatait. Az adathordozhatóság azokra az adatokra vonatkozik, amelyeknek a kezelése az Ön hozzájárulásán vagy szerződésen alapul, és automatizált módon történik.
• Folyamatosan reklámot kap. Tiltakozzon a közvetlen üzletszerzés ellen. A részleteket a direkt marketingről szóló útmutatóban találja.

Rövid minta a törlési kérelemhez

Tárgy: törlési kérelem (GDPR)

Tisztelt Adatkezelő! A GDPR szerinti törléshez való jogommal élve kérem, hogy töröljék a személyes adataimat. Azonosításomhoz: [név, az Önöknél szereplő e-mail-cím]. Ha a törlést bármilyen okból nem teljesítik, kérem, hogy egy hónapon belül tájékoztassanak az indokokról, valamint a panasz és a bírósági jogorvoslat lehetőségéről. Üdvözlettel: [név], [dátum]

A minta a NAIH leírásához igazodik: az adatkezelő köteles az elutasítás okáról és a jogorvoslati lehetőségekről tájékoztatni. Ez nem jelenti azt, hogy a törlés megtörténik, csak azt, hogy a válasznak kötelező tartalma van.

Ha több szervezetnél is élni szeretne a jogaival, minden adatkezelőnek külön levelet írjon, és külön jegyezze fel a határidőket. Az egyhónapos határidő kérelmenként és adatkezelőnként telik, ezért érdemes egy egyszerű táblázatban vezetni, kinek mikor küldte el a kérelmét, és mikor érkezett válasz.

Mit őrizzen meg?

• a kérelem szövegét és a feladás dátumát;
• az adatkezelő válaszát, vagy azt, hogy nem válaszolt;
• az esetleges hosszabbítási értesítést;
• minden olyan üzenetet, amely az adatok kezelésére vonatkozik.

Ezekre akkor lesz szüksége, ha a NAIH-hoz fordul, mert a Hatóság az iratokból látja, mit kért és mikor.

Honnan tudja, hová kell fordulnia?

Egy dologról sokszor nincs tudomása: mely szervezetek kezelik az Ön adatait. Néhány kiindulópont:

• a szolgáltatók és webáruházak adatkezelési tájékoztatója, amelyből kiderül, ki az adatkezelő és hogyan érhető el;
• az értesítések, amelyeket adatvédelmi incidensről kap (lásd adatszivárgás: mit tegyen);
• az ingyenes elemzésünk, amely a nyilvánosan látható adatait gyűjti össze.

Ha tudja, melyik szervezet az adatkezelő, a fenti lépéseket követve élhet a jogaival.

Összefoglalás: három lépés ma

1. Döntse el, mit szeretne: másolatot, javítást, törlést, korlátozást, adatátvitelt vagy tiltakozást.
2. Küldjön írásos kérelmet az adatkezelőnek, jegyezze fel a dátumot, és várja meg az egy hónapot.
3. Ha nem kap választ, vagy a válasz nem elfogadható, forduljon a NAIH-hoz a fent leírt csatornákon.

Indítsa el az ingyenes elemzést, ha szeretné látni, hol jelenhetnek meg a nyilvános adatai.

Források

• NAIH: Érintetti jogok
• NAIH: Adatkezelés érintettjeként fordulok a Hatósághoz
• NAIH: Vizsgálati eljárás (GDPR)
• NAIH: Vizsgálati eljárás kezdeményezése adatvédelmi ügyben (e-Papír)