Az adozona.hu szakportálon dr. Kéri Ádám ügyvéd foglalta össze, hogy mit kell tudni az ügyről.
Az adatvédelmi bírság hátterében egy DK-hoz tartozó honlap sérülékenysége húzódott meg. A publikált sebezhetőséget kihasználva bárki könnyen hozzáférhetett és nyilvánosságra hozhatott egy valós személyes adatokat tartalmazó adatbázist – ez egy esetben meg is történt.
Az nem ismert, hogy az adatvédelmi incidens konkrétan mikor következett be, annyit tudni, hogy arról a DK 2018. augusztus 22-én értesült. Ezt követően a sérülékenységet megszüntették.
Ugyanakkor a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) nem az adatbiztonsági hiányosságok, hanem a GDPR által előírt bejelentési kötelezettség elmulasztása miatt szabta ki a 11 milliós bírságot: a NAIH úgy ítélte meg, hogy az adatbázis hozzáférhetősége a természetes politikai összefüggései miatt az érintettek számára magas kockázattal járó biztonsági hiba, így vonatkozik rá az a rendelkezés, hogy 72 órán belül be kell jelenteni a hatóságnál.
A párt ezt a döntést vitatta, ezért fellebbeztek. A DK megítélése szerint a 2018. augusztus 22-én felfedezett adatvédelmi incidens még a 2018. május 25-étől alkalmazandó GDPR-határidő előtt keletkezett, így arra még nem kell alkalmazni az előírást. Emellett szerintük az adatbázisban már elavult adatok voltak, így nem tekinthető magas kockázatúnak a nyilvánosságra kerülésük.
A Kúria a felülvizsgálat során elutasította ezeket az érveket, és a NAIH-nak adott igazat, mert:
- az adatvédelmi incidens keletkezésének időpontjában a GDPR valóban nem volt alkalmazható, a tudomásszerzés időpontjában azonban már igen, így nem mellőzhető a bejelentési kötelezettség
- az idő múlása nem teszi kevésbé érzékennyé a személyes adatokat
Emellett a bírság mértékének jogszerűségét vitató DK-s érvet sem fogadták el, mivel a bírság kiszabása jogszerű volt, a mértékének meghatározása pedig nem a Kúria, hanem a NAIH hatásköre.
