Az általános adatvédelmi rendelet

Mi az általános adatvédelmi rendelet?

Az EU általános adatvédelmi rendelete (GDPR) a legszigorúbb adatvédelmi és biztonsági jogszabály a világon.

E rendelet naprakésszé tette és korszerűsítette az 1995. évi adatvédelmi irányelv alapelveit. A rendeletet 2016-ban fogadták el, és 2018. május 25. óta alkalmazandó.

Az általános adatvédelmi rendelet a következőket határozza meg:

• az egyének alapvető jogai a digitális korban
• az adatkezelők kötelezettségei
• a megfelelés biztosítását célzó módszerek
• szankciók a szabályokat megsértő személyekkel és szervezetekkel szemben

Az egyének jogai

Az általános adatvédelmi rendelet felsorolja, hogy milyen jogok illetik meg az érintettet, vagyis azt a személyt, akinek az adatait kezelik. Ezeknek a megerősített jogoknak köszönhetően az egyének jobban ellenőrzés alatt tudják tartani a személyes adataikat, többek között az alábbiak révén:

• az egyéneknek egyértelmű hozzájárulást kell adniuk személyes adataik kezeléséhez
• az érintettek könnyebben férhetnek hozzá a személyes adataikhoz
• az érintettek rendelkeznek a személyes adatok helyesbítéséhez, azok tárolásának megszüntetéséhez (a „feledéshez”), valamint törléséhez való joggal
• az érintettek rendelkeznek az adatkezelés kifogásolásához való joggal, többek között a személyes adatok „profilalkotás” céljából történő felhasználására vonatkozóan
• az érintettek rendelkeznek az adatok szolgáltatók közötti hordozhatóságára vonatkozó joggal

Az adatvédelmi rendelet meghatározza az egyének jogait, és megállapítja az azon személyekre vonatkozó kötelezettségeket, akik kezelik az adatokat, illetve akik felelősek ezért az adatkezelésért.

A vállalkozások és a szervezetek kötelezettségei

A rendelet részletesen ismerteti az adatkezelőkre és a nevükben személyes adatokat kezelőkre (az adatfeldolgozókra) háruló kötelezettségeket.

Ezek magukban foglalják olyan megfelelő biztonsági intézkedések végrehajtásának a kötelezettségét is, amelyek megfelelnek az elvégzett adatkezelési műveletekkel járó kockázatnak.

Bizonyos esetekben az adatkezelőknek is jelenteniük kell az adatvédelmi incidenseket. A hatóságoknak és a kockázatos adatkezelési műveleteket végző vállalkozásoknak ki kell nevezniük egy adatvédelmi tisztviselőt.

Az adatvédelmi szabályok alkalmazása

A rendelet megerősíti a tagállamok korábban is meglévő azon kötelezettségét, hogy létrehozzanak egy nemzeti szintű, független felügyeleti hatóságot, és mechanizmust irányoz elő az adatvédelmi jogszabályok Unió-szerte történő következetes alkalmazásának biztosítása céljából.

Az általános adatvédelmi rendelet értelmében egyetlen felügyeleti határozatot kell hozni azokban a határokon átnyúló ügyekben, amelyekben több nemzeti felügyeleti hatóság is érintett. Ez az egyablakos ügyintézés elve, amely azt jelenti, hogy azoknak a vállalkozásoknak, amelyek több tagállamban rendelkeznek leányvállalattal, csak a székhelyük szerinti tagállam adatvédelmi hatóságával kell együttműködniük.

Az Európai Adatvédelmi Testület feladata a rendelet teljes és következetes alkalmazásának biztosítása. Ez a testület mind a 27 független felügyeleti hatóság képviselőiből áll.

A Tanács 2025. november 17-én uniós jogszabályt fogadott el, amely 2026-ban lép hatályba.A jogszabálynak köszönhetően a nemzeti adatvédelmi hatóságok gyorsabban és hatékonyabban tudnak majd együttműködni a GDPR-ral kapcsolatos, több uniós országot érintő panaszok kezelése során. A szabályok révén egyszerűbbé válnak az adminisztratív eljárások, a cél pedig az, hogy:

• a határokon átnyúló panaszokat gyorsan lehessen kezelni és javuljon az együttműködés
• biztosított legyen a panaszosok és a vizsgálat alá vont felek jogainak kivizsgálása

A GDPR szigorú szankciókat irányoz elő az adatvédelmi szabályokat megsértő adatkezelőkkel és adatfeldolgozókkal szemben. Az adatkezelőkre kiróható büntetés akár a 20 millió EUR-t vagy teljes éves árbevételük 4%-át is elérheti.

Az egyének emellett panaszt nyújthatnak be a felügyeleti hatósághoz, és jogukban áll bírósági jogorvoslattal élni és kártérítést követelni. Jogukban áll továbbá az adatvédelmi hatóság által hozott határozatot nemzeti bírósággal felülvizsgáltatni, függetlenül attól, hogy az érintett adatkezelő letelepedési helye melyik tagállamban van.

• Az Európai Adatvédelmi Testület
• A Tanács új uniós jogszabályt fogadott el a több tagállamot érintő adatvédelmi panaszok kezelésének felgyorsítása érdekében (sajtóközlemény, 2025. november 17.)
• Adatvédelem: a Tanács kialakította álláspontját az általános adatvédelmi rendelet végrehajtási szabályaira vonatkozóan (sajtóközlemény, 2024. június 13.)

Adattovábbítás nem uniós országokba

A rendelet a személyes adatok nem uniós országok és nemzetközi szervezetek részére történő továbbítását is szabályozza. A rendelet értelmében az Európai Bizottságnak kell értékelnie a nem uniós ország adott régiójában vagy adatkezelő ágazatában biztosított adatvédelmi szintet.

Amennyiben a Bizottság az adott régió vagy ágazat tekintetében nem hoz az adatvédelem szintjének megfelelőségéről szóló határozatot, a személyes adatok továbbítására csak különleges esetekben, illetve megfelelő biztosítékok megléte esetén kerülhet sor.