Balogh Zsolt György – Böröcz István – Kiss Attila – Polyák Gábor – Szőke Gergely László: Az adatvédelmi hatásvizsgálat módszertana
| 1 | A tanulmány alapjául szolgáló kutatás az Európai Unió és Magyarország támogatásával, az Európai Szociális Alap társfinanszírozásával a TÁMOP-4.2.2.C-11/1/KONV-2012-0005 azonosító számú „Jól-lét az információs társadalomban” című kiemelt projekt keretei között valósult meg. |
| 2 | Európai Bizottság: Javaslat - Az Európai Parlament és a Tanács Rendelete a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról (általános adatvédelmi rendelet) Brüsszel, 2012.1.25. COM(2012) 11 végleges, http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=COM:2012:0011:FIN:HU:PDF (utolsó letöltés: 2013. X. 10.), a továbbiakban rendelettervezet. |
| 3 | A terminológiai különbségek oka az, hogy az angolszász jogrendszerekben valóban a magánszférára gyakorolt hatásokat vizsgálják, míg az európai adatvédelmi rezsimbe a jogintézmény szűkebb hatókörrel, a személyes adatok védelmére vonatkoztatva, adatvédelmi hatásvizsgálatként importálható. |
| 4 | Az OECD 1980-ban alkotta meg a magánélet védelméről és a személyes adatok határokon átívelő áramlásáról szóló irányelveit. Ezekről lásd bővebben: http://www.oecd.org/sti/ieconomy/15590228.pdf (utolsó letöltés: 2014. II. 15.). |
| 5 | A rendelettervezet 32a. cikke részletesen meghatározza azokat az eseteket, amelyek különös kockázatot jelentenek az érintett személyes adatainak kezelése során. |
| 6 | További információs kísérleteket lásd még Clarke (2011). |
| 7 | Európai Bizottság, A Bizottság közleménye az Európai Parlamentnek, a Tanácsnak, a Gazdasági és Szociális Bizottságnak és a Régiók Bizottságának – A személyes adatok Európai Unión belüli védelmének átfogó megközelítése COM(2010) 609 végleges, Brüsszel, 2010.11.04., http://ec.europa.eu/justice/news/consulting_public/0006/com_2010_609_hu.pdf (utolsó letöltés: 2014. III. 10.). |
| 8 | A 29. cikk szerinti adatvédelmi munkacsoport 5/2010. számú véleménye a rádiófrekvenciás azonosítás (RFID) alkalmazásaira vonatkozó magánélet- és adatvédelmi hatásvizsgálati keretre irányuló ágazati javaslatról, WP 175, 2010. július 13., http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp175_hu.pdf (utolsó letöltés: 2013. VI. 15.). |
| 9 | Jellemzően kártérítési kötelezettség. |
| 10 | Ahogy az az Egyesült Államokban bevett gyakorlat, bővebben lásd Jóri (2005). |
| 11 | Adatvédelmi és Privacy Biztosok Nemzetközi Konferenciája, Madrid, 2009, Privacy: Today is Tomorrow – International Standards on the Protection of Personal Data and Privacy, p. 24, http://www.privacyconference2009.org/dpas_space/space_reserved/documentos_adoptados/common/2009_Madrid/estandares_resolucion_madrid_en.pdf (utolsó letöltés: 2014. IX. 9.). |
| 12 | Rendelettervezet 64 cikk. |
| 13 | Erről bővebben lásd: 5. fejezet. |
| 14 | A DPIA keretében végzett kockázatelemzés nem azonos a rendelettervezet 32a pontjában foglalt kockázatértékeléssel, amelynek célja annak megállapítása, hogy az adatkezelés beleesik-e a tervezet által „valószínűsíthetően különleges kockázattal járó” adatkezelési körök valamelyikébe. |
| 15 | A 29. cikk szerinti adatvédelmi munkacsoport 5/2010. számú véleménye a rádiófrekvenciás azonosítás (RFID) alkalmazásaira vonatkozó magánélet- és adatvédelmi hatásvizsgálati keretre irányuló ágazati javaslatról, 2010, http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp175_hu.pdf (utolsó letöltés: 2014. IX. 9.). |
| 16 | A 29. cikk szerinti adatvédelmi munkacsoport 5/2010. számú véleménye a rádiófrekvenciás azonosítás (RFID) alkalmazásaira vonatkozó magánélet- és adatvédelmi hatásvizsgálati keretre irányuló ágazati javaslatról, WP 175, 2010. július 13., http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp175_hu.pdf, p. 6. (utolsó letöltés: 2014. IX. 9.). |
| 17 | Lásd Melléklet. Kérdőív az adatvédelmi hatásvizsgálathoz. |
| 18 | Rendelettervezet 32a. cikk (3) c) pont. |
| 19 | Rendelettervezet 32a. cikk (4). |
| 20 | Erről lásd részletesen Polyák & Szőke (2011). |
| 21 | Több európai állam joga is ismeri a hatóság által végzett adatvédelmi audit jogintézményét, illetve hasonló helyzet felmerülhet az irányelv előzetes ellenőrzéssel kapcsolatos szabályainak alkalmazása kapcsán is. |
| 22 | Rendelettervezet 66. cikk (1) bekezdés e) pont. |
| 23 | Information Commissioner’s Office (ICO): Conducting privacy impact assessments code of practice, 2014, http://ico.org.uk/for_organisations/guidance_index/~/media/documents/library/Data_Protection/Practical_application/pia-code-of-practice-final-draft.pdf, p. 13. (utolsó letöltés: 2014. VIII. 8.). |
| 24 | Rendelettervezet 33. cikk (4) bekezdés. |
| 25 | Állampolgári Jogi, Bel- és Igazságügyi Bizottság jelentése a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló európai parlamenti és tanácsi rendeletre (általános adatvédelmi rendelet) irányuló javaslatról (COM(2012)0011 – C7-0025/2012 – 2012/0011(COD)), 2013., http://www.tisztessegesadatkezeles.hu/letoltes/tkMQJ7RbxxzG0E2B1tz0rOu2UZX (2014.07.10.). |
| 26 | Wright, David & Wadhwa, Kush & Lagazio, Monica & Raab, Charles & Charikane, Eric: Privacy impact assessment and risk management. Report for the Information Commissioner’s Office, prepared by Trilateral Research & Consulting, 2013, http://ico.org.uk/about_us/consultations/~/media/documents/library/Corporate/Research_and_reports/pia-and-risk-management-full-report-for-the-ico.pdf pp. 21-22 (utolsó letöltés: 2014. II. 20.). |
| 27 | A profilalkotás adatvédelmi aggályairól lásd bővebben: Hildebrand & Gutwirth (2010). |
| 28 | ICO-kézikönyv, 24–25. o. |
| 29 | Például az Európai Bizottság 29. cikk szerinti adatvédelmi munkacsoport ajánlásai, mint például a DPIA-ról és Smart Grid/Smart Meteringről szóló 07/2013-as és 04/2013-as ajánlása, a rendelettervezetről szóló 01/2012-es véleménye. |
| 30 | E megoldás korántsem olyan egyszerű, mint annak látszik, különálló diszciplína foglalkozik a területtel. Erről bővebben lásd Szádeczky (2013). |
| 31 | A munkavállalók továbbképzése közvetve csökkenti a kockázati elemeket. A jogszabályi követelményeknek való megfelelés, a vásárlói/fogyasztói elégedettség és bizalom, egy pozitív kimenetelű átvilágítás, a szervezet jóhírnevének növelése vagy az elszámoltathatóság mind eredménye az adatvédelem központú tréningeknek, és előrevetíti az adatkezelés jogszerűségét. Az információbiztonsági és adatvédelmi központú tréning-programokról bővebben lásd Herold (2011). |
| 32 | ICO-kézikönyv, 28. o. |
| 33 | PIAF D3 p. 25. |
| 34 | Department of Justice: Privacy Impact Assessment (PIA) Template, http://www.justice.gov/sites/default/files/jmd/legacy/2014/04/08/preliminary_pia.pdf (utolsó letöltés: 2014. V. 5.). |
| 35 | Rendelettervezet 32a. cikk (2) a) pont. |
| 36 | Rendelettervezet 32a. cikk (2) b) pont. A kérdésben különleges adatnak tekintendők a 9. cikk (1) bekezdésben meghatározott különleges adatkategóriák. |
| 37 | Rendelettervezet 32a. cikk (2) c) pont. |
| 38 | Rendelettervezet 32a. cikk (2) d) pont. |
| 39 | Rendelettervezet 32a. cikk (2) e) pont. |
| 40 | Rendelettervezet 32a. cikk (2) g) pont. |
| 41 | Rendelettervezet 32a. cikk (2) h) pont. |
| 42 | Rendelettervezet 32a. cikk (2) i) pont. |