Ahhoz, hogy a Nemzeti Adatvédelmi és Információszabadság Hatóság felügyelje a GDPR-t, ki kell jelölni a hatóságot, és ehhez minimum egy egymondatos, sarkalatos (kétharmados) törvényt el kell fogadni. Az Infotörvény, illetve a háttérszabályozás módosítása gőzerővel zajlik, legkésőbb a választások után, május 8-án lehet ezeket a törvényeket benyújtani az Országgyűlésnek. A GDPR legfontosabb részletekről Péterfalvi Attila, a Nemzeti Adatvédelmi és Információszabadság elnöke beszélt a mai Portfolio GDPR Summit 2018 konferenciáján.
Péterfalvi Attila előadása elején határozottan cáfolta azt a híresztelést, amely szerint új hivatalt hozhatnak létre a választások után a GDPR-ral összefüggő feladatok ellátására.
Új hatóság nem hozható létre kétharmados törvénykezés nélkül, az alaptörvényben az szerepel, hogy csak egyetlen független adatvédelmi hatóság létezik. Nincs szándék arra, hogy új hatóságot hozzanak létre.
Már elkészült az Infotörvény módosításának tervezete, amely teljes mértékben tükrözi a NAIH véleményét, a jogszabálytervezetet az Igazságügyi Minisztériummal együtt alkották meg. Legkésőbb május 8-án, az első parlamenti ülésen kellene elfogadni az Infotörvény GDPR miatti módosításait, illetve minél gyorsabban ki kell jelölni a NAIH-ot a GDPR-ral összefüggő feladatok elvégzésére. Utóbbi elmulasztása ugyanis kötelezettségszegési eljárást eredményezhet Magyarország ellen. Az Infotörvény feles törvény, de a szervezet kijelöléséhez kétharmad kell.
Gőzerővel folyik a legfontosabb szektorális törvénymódosítások egyeztetése, az Igazságügyi Minisztérium és különböző érdekképviseleti szervek egy kerekasztalt hoztak létre, és szinte miden nap zajlik egyeztetés.
Az a kérdés, hogy május 25-ig mely jogszabályok tudnak ezekből átmenni a parlamenten. A törvény benyújtása és elfogadása függvénye annak, hogy mi vihető keresztül a parlamenten, hogy kik jutnak be. Szakmai törvényről van szó, a kétharmados részben nem kell sok mindent módosítani – mondta a NAIH elnöke.
A részletekről szólva Péterfalvi Attila elmondta, hogy a GDPR felhatalmazást ad a nemzeti jogalkotóknak, elsődlegesen a közhatalmi adatkezelésekkel kapcsolatban. Szabályozható a bírság mértéke, pl. egy kórház vagy kormányhivatal bírságolásánál az állam egyik zsebéből pakolná a pénzt a másik zsebébe, ezért itt a tervek szerint megmaradna a maximum 20 millió forintos bírság.
Meg kell alkotni az eljárási szabályokat, hogy milyen eljárások lesznek milyen határidőkkel, hány hiánypótlási lehetőség van. A tervezet szerint 180 napos, vagyis hosszú határidők lesznek, 2 hiánypótlással és egy egyeztetéssel.
Miután a GDPR nem ismételhető meg nemzeti jogban, ezért első lépésben az Infotörvényből ki kell venni azokat a részeket, amelyek a GDPR-ban már benne vannak (pl. alapfogalmak). A rendeletben szereplő egyes részeket ugyanakkor egy későbbi időpontban nemzeti jogba kell ültetni. Tehát először ki kell venni az Infotörvényből, majd vissza kell tenni GDPR szerint.
A bíróságok peres és nem peres eljárásaival kapcsolatos adatkezelései kivételt jelentenek, május 25 után sem fognak az adatvédelmi hatóság vagy más párhuzamos hatóság felügyelete alá tartozni. Minden más vonatkozásban marad a hatóság kompetenciája, változatlanul kiterjed az egyházak adatkezelésére is.
Az adatvédelmi incidensekről az adatkezelőknek saját maguknak kell nyilvántartást vezetni, viszont ahol eddig incidens történt, sehol nem létezett ilyen rendszer. Egy KÖFOP pályázat keretében épül ki egy olyan központi rendszer/szoftver, amely az incidenskezelést szabályozza. Az Európai Bizottság nem engedte, hogy csak elektronikus formában lehessen az incidens-bejelentéseket megtenni, ugyanakkor Péterfalvi Attila kiemelte, hogy a NAIH szeretné ezt a csatornát preferálja.
Az adatkezelőknek át kell vizsgálniuk az adatkezelésüket, de nem csak a jogi oldalt, hanem az IT-felkészültséget is. A NAIH általában panaszbeadványok alapján jár el, nem fog váratlanul megjelenni az adatkezelőknél, de az biztos, hogy azokat a dokumentumokat el fogják kérni, amivel igazolják, hogy megvizsgálták az adatkezelésüket, és hogy megfelelnek a GDPR-ban előírtaknak – hangsúlyozta a NAIH elnöke.
Komoly IT-feladat lesz a GDPR-ra való felkészülés
Kocsis Zsolt, az IBM Security technológiai vezetője előadásában a GDPR-ra való felkészülés informatikai-technikai részleteiről beszélt. Mint elmondta, egy régiós banki projekt keretében a jogi osztály előírta az IT-feladatokat, hogy minek hogyan kell kinéznie, milyen képességekkel kell rendelkeznie egy rendszernek, de ők nem tudták, milyen hatalmas kihívás elé állították kollégáikat. Nem triviális ugyanis, hogy az adatok törlésére, elfeledtetésére képes-e egy rendszer, és az adattérkép elkészítése is óriási feladat, különösen, ha egy nagy, komplex, széttagolt architektúráról van szó.
