GDPR: első alkalommal nem büntetnek

Megjelent kedd este egy törvénymódosítás a parlament honlapján, ami segít kicsit oszlatni a homályt és a pánikot GDPR-ügyben.

A GDPR az EU tagállamainak adatvédelmét hivatott közös nevezőre hozni. Célja, hogy több kontrollt adjon a felhasználóknak, az adataiknak pedig nemcsak a hekkerekkel, de magukkal az adatokat kezelő cégekkel szemben is komolyabb védelmet biztosítson. Még  2016-ban lépett életbe , de kétéves türelmi idő után csak idén május 25-től kezdik alkalmazni.

A GDPR legnagyobb és legtöbbet emlegetett újdonsága, hogy brutálisan megemeli a lehetséges bírság mértékét: az eddigi – európai viszonylatban enyhének számító – maximális hazai büntetés 20 millió forint volt, az új rendelet szerint ez 20 millió euróra (6,2 milliárd forintra) emelkedik, vagy a jogsértést elkövető cég előző pénzügyi évi teljes forgalmának 4 százalékára (amelyik a magasabb).

Az extrém magas bírságtól azt várják, hogy kellő elrettentő erőt fog kölcsönözni az új rendeletnek, bár nem mindenki ért egyet azzal, hogy ez a legjobb eszköz az adatvédelmi hatékonyság fokozására.  

Ez okozta az egyik legtöbb félelmet, amit némileg enyhít a most benyújtott törvénymódosítás. Ebben ugyanis kimondják, hogy a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) a jogszabályok első megsértésekor “elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik".

A törvényjavaslat indoklásában azt is leírják, hogy a kormány szerint a a szabályokat "eredeti rendeltetésüknek megfelelően, vagyis elsősorban a tagállami jogrendszerek közötti különbséget kihasználó multinacionális gazdasági társaságok ellen fellépve szükséges alkalmazni, míg a többi gazdasági szereplő – elsősorban és kiemelten a kis- és középvállalkozások – tekintetében az arányosság elvét figyelembe véve a figyelmeztetés jogkövetkezményét indokolt alkalmazni.

Azaz, a kormány - és az adatvédelmi hatóság is - úgy áll hozzá a dologhoz, hogy a nagy adatkezelő multik (ilyen lehet a Google vagy a Facebook pl) esetében kell keménykedni, a kisebb és hazai cégek esetében pedig elég figyelmeztetni, ha valami nem stimmel az adatkezelésekkel.