Legyen körültekintő a hírlevekkel, figyeljen az e-maileket kiküldő szolgáltatóra is!

Megosztás Tetszik

A bajor adatvédelmi hatóság (Bayerische Landesamts für Datenschutzaufsicht) jogellenesnek minősítette az ügyfelek e-mail címeinek továbbítását a hírlevélküldésre itthon is gyakran alkalmazott, harmadik országbeli Mailchimp szolgáltatónak. Tekintettel arra, hogy a Mailchimp igénybevétele itthon sem ritka, így érdemes a döntés hátterét szemügyre venni és a tanulságokat levonni.

Személyes adat harmadik országba korlátokkal továbbítható

A személyes adatok kezelését szabályozó a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet – GDPR) szóló Európai Parlament és a Tanács 2016/679 rendelete (2016. április 27.) 44–49. cikkei előírják, hogy személyes adatokat, azaz természetes személyekre vonatkozó, velük kapcsolatba hozható bármely információt, kizárólag abban az esetben lehet továbbítani az Európai Gazdasági Térség államain kívülre, amennyiben a GDPR-ban garantált védelmi szint biztosítva van.

A megfelelő védelmi szint biztosítására a GDPR több lehetőséget is megfogalmaz. A legjobb helyzet nyilvánvalóan abban az esetben van, amennyiben a Bizottság megállapítja, hogy egy adott ország jogrendje megfelelő védelmi szintet biztosít. Ebben az esetben ugyanis az adattovábbításra ugyanolyan feltételek mellett kerülhet sor, mintha arra az EGT-tagállamain belül kerülne sor. Ebben az esetben az adattovábbításhoz az érintett hozzájárulása sem szükséges. Megfelelőségi határozattal lefedett ország például Svájc. Nem rendelkezik ugyanakkor megfelelőségi határozattal az USA, így az Egyesült Államokba irányuló adattovábbításokat gondosan ellenőrizni szükséges. Ezzel összefüggésben azt is fontos kiemelni, hogy a Schrems II. ítéletben tavaly nyáron az Európai Unió Bírósága az úgynevezett Privacy Shield-et érvénytelennek nyilvánította, így nem teremt megfelelő szintű védelmet az sem, ha a Privacy Shield alatt történik a személyes adat továbbítása. Ami pedig az Egyesült Királyságot illeti, a megfelelőség vizsgálata jelenleg is folyamatban van.

Amennyiben nincsen megfelelőségi határozat, abban az esetben az adattovábbításhoz megfelelő garanciákat kell biztosítani. Ilyen garancia lehet például a Bizottság által jóváhagyott általános adatvédelmi kikötések alkalmazása, kötelező erejű vállalati szabályok elfogadása, vagy a jóváhagyott magatartáskódex. Ezek közül az egyik legfontosabb és legegyszerűbb a Bizottság által jóváhagyott feltételek alkalmazása, melyek valamennyi tagállam nyelvén, illetve adatkezelőkre és adatfeldolgozókra elkülönített módon állnak rendelkezésre, és a Bizottság honlapjáról le is tölthetőek.

Amennyiben pedig a fentiek nem érvényesülnek, de szeretnénk sort keríteni az adattovábbításra, abban az esetben a 49. cikk egyéb választási lehetőségeket is biztosít. Ilyen lehetőség az, ha az érintett – a kockázatokról való tájékoztatást követően – kifejezett hozzájárulását adja a harmadik országba történő adattovábbításhoz.

Olvassa tovább cikkünket, hogy megtudja mi volt a probléma a Mailchimppel, illetve hírlevélküldő választásánál milyen szempontokat tarson szem előtt!