Hatósági állásfoglalás az érintettek jogainak gyakorlásáról
A Berlini Adatvédelmi Hatóság (DPA) legutóbbi, 2019-es jelentésében számos adatvédelmi kérdésre kitér. A Jelentés 9.7. fejezete az érintettek jogainak gyakorlásáról szól. A hatóság tapasztalatai szerint, amikor egy-egy érintett kérelmére – legyen szó hozzáférésről, törlésről, vagy más, adatokkal kapcsolatos jogáról – az adatkezelő késedelmesen reagál, a leggyakrabban felhozott kifogás, hogy az érintett nem a megfelelő csatornán küldte meg kérelmét az adatkezelő felé.
A DPA véleménye szerint azonban ez a kifogás nem állja meg a helyét. Az adatkezelő felelőssége minden ilyen jellegű kérésnek határidőben eleget tenni, függetlenül attól, hogy az érintett milyen formában adta be kérelmét. A Hatóság konkrét példaként említi, hogy azok az emailek is érvényes kérelemnek számítanak, amiket az adatkezelő levelezési rendszere spam-ként azonosított.
Álláspontja szerint ilyen esetekben nem számít, hogy az adatkezelő kialakított-e konkrét eljárásrendet a kérések kezelésére (pl. külön email-cím ilyen kérelmeknek), az ő kötelessége megfelelő technikai és szervezeti intézkedéseket hozni annak érdekében, hogy ezek a kérelmek ne „vesszenek el”, bármilyen úton kerültek is megküldésre az érintett által. Szükséges továbbá a hozott intézkedéseket rendszeresen felülvizsgálnia, megbizonyosodva arról, hogy egyes elemei nem avultak el és még mindig teljesítik létrehozásukkor meghatározott funkciójukat. Az érintettek kérelmeinek minden esetben el kell jutniuk az azokat kezelő felelős személyhez.
Az érintettek jogai gyakorlásának biztosítására a legtöbb adatvédelmi hatóság kiemelt figyelmet fordít. Ilyen esetekben igen kevés mozgásteret szoktak adni az adatkezelőknek, mivel az érintettek jogainak biztosítása a GDPR egyik legfőbb feladata.
Tapasztalataink szerint az adatkezelőknek sok esetben problémát jelent, hogy hogyan kezeljék ezeket a kérelmeket, illetve, hogy pontosan hogyan járjanak el ezek teljesítése során. A NAIH határozataiból számunkra egyértelműen az derül ki, hogy elvárják az adatkezelőktől, hogy egyrészt a kérelmek teljesítésére vonatkozó eljárásrenddel, szabályzattal rendelkezzenek, másrészt pedig, hogy lehetőség szerint a kérelmek benyújtására szolgáló nyomtatványokkal is rendelkezzenek. A GDPR 12. cikk (2) bekezdése kötelezi is az adatkezelőket, hogy tevékenyen segítsék az érintetteket a jogaik gyakorlásában.
