Néhány évvel az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotörvény) 2012. januári hatálybalépését követően, kialakulni látszanak a Nemzeti Adatvédelmi és Információs Hatóság (NAIH) bírságolási gyakorlatának alapjai. Mindezek alapján a hatósági jogalkalmazás szigorodása figyelhető meg.

Az Infotörvény vezette be az adatvédelmi bírság jogintézményét, azzal a céllal, hogy növelje a hatóság eszköztárát a jogérvényesítés terén. A bírság mértéke százezertől tízmillió forintig terjedhet, és mértéke a hatóság mérlegelésétől függ. Az intézkedés bevezetését követő tapasztalatok azt mutatják, hogy jogsértés megállapítása esetén a hatóság szinte minden esetben bírságol, ugyanakkor a bírság mértékének megállapításánál figyelembe veszi az eset összes körülményét. A hatóság ennek keretében figyelemmel van az elkövetett jogsértés súlyára, a jogsértéssel érintett adatalanyok számára, a vállalkozás méretére és tevékenyégi körére.

[+]

Így például az adatbázisok építésével és kezelésével hivatásszerűen foglalkozó, vagy egyéb okból kiemelt jelentőségű adatkezelők (például bankok, pénzügyi vállalkozások) illetve a méretüknél fogva nagyszámú adatot kezelő szervezetek akár kisebb súlyú jogsértés esetén is magasabb összegű bírságra számíthatnak. "A hatóság a bírság kiszabása során értékeli az eset egyéb körülményeit is, mint például az adatkezelő korábbi gyakorlatát. Egy "visszaeső" jogsértő adatkezelő rendszerint magasabb összegű bírságra számíthat mint egy olyan szervezet, amely korábban nem követett el jogsértést" – mondta el Gera Dániel, a Schönherr Hetényi Ügyvédi Iroda ügyvédje.

A bírság bevezetése óta több olyan, nagy port kavart eset is volt, amelyben a hatóság a magas összegű bírság kiszabásáról határozott. Az egyik első ilyen, nagyobb publicitást nyert esetben a hatóság nem is csupán az adatkezelő, hanem az általa igénybe vett adatfeldolgozó hibájából eredő jogsértés miatt szabott ki bírságot.

A szóban forgó esetben egy hackertámadás miatt hozzáférhetővé vált több mint ötvenezer ügyfél adata. Jóllehet sem az adatkezelő, sem az adatfeldolgozó nem volt közvetlenül felelős a kárért, a hatóság megállapította, hogy gondatlanság terheli őket az általuk alkalmazott biztonsági intézkedések hanyagsága miatt. A közzétett határozat rámutatott arra is, hogy az adatkezelő (amely személy vagy szervezet az adatkezelés célját megszabja, illetve azzal kapcsolatban döntéseket hoz) és az adatfeldolgozó (aki az adatkezelő megbízásából az adatokat technikailag kezeli) közötti megállapodás nem rendezte megnyugtatóan a felelősségi kérdéseket és azt sem, hogy végső soron melyikük felelős a biztonsági intézkedések betartásáért.