Rövid válasz: A világ legszigorúbb adatvédelmi törvényei, élükön az EU GDPR-jével, Kína PIPL-jével és Kalifornia CCPA-jával, jelentős pénzügyi szankciókat szabnak ki, és hatókörük messze túlnyúlik saját határaikon. Bármely szervezetnek, amely ezen joghatóságok lakosainak személyes adatait gyűjti vagy feldolgozza, meg kell felelnie, függetlenül attól, hogy az adott szervezet fizikailag hol található. A területi hatály és a szankciós struktúrák megértése az első lépés a védhető megfelelési pozíció kialakítása felé.
Főbb tanulságok
- Több mint 160 ország fogadott el átfogó adatvédelmi jogszabályokat, így a globális megfelelés alapvető elvárás, nem kivétel [1].
- A GDPR hordozza a legmagasabb pénzügyi szankciókat az összes adatvédelmi törvény közül: akár 20 millió eurót vagy a globális éves bevétel 4%-át, attól függően, hogy melyik a magasabb [1].
- A GDPR végrehajtási bírságai meghaladták a 7 milliárd eurót a végrehajtás kezdete óta, jelentős büntetésekkel a Meta, az Amazon és a TikTok ellen [7].
- Kína PIPL-je és az EU GDPR-je egyaránt extraterritoriálisan alkalmazandó, az ezen joghatóságokban élő lakosokat kiszolgáló külföldi vállalatoknak meg kell felelniük [1].
- Az Egyesült Államokban hiányzik az egységes szövetségi adatvédelmi törvény; a megfelelés az ágazattól és az államtól függ, Kalifornia CCPA-ja a legbefolyásosabb állami szintű keretrendszer [2].
- A területi hatály határozza meg, hogy melyik törvény vonatkozik az Ön vállalkozására; egyetlen szervezetre több törvény is vonatkozhat egyszerre.
- A kisvállalkozások nem mentesülnek automatikusan, a CCPA küszöbértékei és a GDPR „letelepedési” tesztje sokféle méretű vállalatot érinthet.
- A gyakori megfelelési hibák közé tartozik az elégtelen hozzájárulási mechanizmusok, a rossz adattérképezés és a határokon átnyúló adatátviteli szabályok figyelmen kívül hagyása.
- Egy hozzájárulás-kezelő platform (CMP), mint például a Biscotti CMP, segíthet a szervezeteknek a hozzájárulási követelmények működtetésében több keretrendszer szerint.
Melyek a világ legszigorúbb adatvédelmi törvényei országonként
A legszigorúbb adatvédelmi törvények globálisan az EU Általános Adatvédelmi Rendelete (GDPR), Kína Személyes Adatok Védelméről szóló Törvénye (PIPL), Brazília Lei Geral de Proteção de Dados (LGPD) és Kalifornia CCPA/CPRA. Mindegyik széles területi hatókörrel és jelentős végrehajtási erővel rendelkezik.
Íme a főbb keretrendszerek tömör összehasonlítása:
| Törvény | Joghatóság | Maximális büntetés | Extraterritoriális? | Hatályba lépés dátuma |
|---|---|---|---|---|
| GDPR | Európai Unió | 20 millió euró vagy a globális bevétel 4%-a | Igen | 2018. május |
| UK GDPR | Egyesült Királyság | 17,5 millió font vagy a globális bevétel 4%-a | Igen | 2021. január |
| PIPL | Kína | Akár 50 millió ¥ vagy az éves bevétel 5%-a | Igen | 2021. november |
| CCPA/CPRA | Kalifornia, USA | Akár 7 988 dollár szándékos jogsértésenként | Korlátozott | 2020. január |
| LGPD | Brazília | Akár a brazíliai bevétel 2%-a, maximum 50 millió R$ | Igen | 2020. szeptember |
A GDPR továbbra is a globális mérce. A magas büntetések, a széles hatókör és az aktív végrehajtás kombinációja teszi a legtöbb szervezet számára elsődleges keretrendszerré a nemzetközi megfelelési programok kialakításakor [1].
Hogyan működnek a GDPR szankciók és mik a büntetések
A GDPR szankciók kétszintű büntetési struktúrán alapulnak. Az alacsonyabb szintű jogsértések, mint például a feldolgozási tevékenységek nyilvántartásának elmulasztása, akár 10 millió eurós vagy a globális éves forgalom 2%-ának megfelelő bírságot vonhatnak maguk után. A magasabb szintű jogsértések, beleértve a személyes adatok jogellenes feldolgozását vagy az érintettek jogainak figyelmen kívül hagyását, akár 20 millió eurós vagy a globális éves bevétel 4%-ának megfelelő büntetést vonhatnak maguk után, attól függően, hogy melyik a magasabb [1].
A bírságokon túl a felügyeleti hatóságok ideiglenes vagy végleges adatfeldolgozási tilalmat is elrendelhetnek, ami a gyakorlatban károsabb lehet egy vállalkozás számára, mint maga a pénzbeli büntetés. A végrehajtás kezdete óta a kumulált GDPR bírságok meghaladták a 7 milliárd eurót, mérföldkőnek számító ügyekkel a Meta Ireland, az Amazon Luxembourg és a TikTok ellen [7].
Főbb tényezők, amelyeket a szabályozók figyelembe vesznek a bírságok kiszámításakor:
- A jogsértés jellege, súlyossága és időtartama
- Hogy a jogsértés szándékos vagy gondatlan volt-e
- Együttműködés a felügyeleti hatósággal
- Korábbi jogsértési előzmények
- Az érintett személyes adatok kategóriái (az egészségügyi, pénzügyi vagy biometrikus adatok szigorúbb ellenőrzést vonnak maguk után)
Különbség a GDPR, CCPA és más adatvédelmi szabályozások között
A GDPR és a CCPA ugyanazt a célt szolgálja, a személyes adatok védelmét, de jelentősen eltérnek hatókörükben, az általuk biztosított jogokban és a végrehajtási mechanizmusokban [2].
A GDPR minden olyan szervezetre vonatkozik, amely EU-s lakosok adatait dolgozza fel, függetlenül a vállalat méretétől. Jogalapot ír elő minden feldolgozási tevékenységhez, adatvédelmi hatásvizsgálatot ír elő a magas kockázatú feldolgozásokhoz, és jogokat biztosít az egyéneknek, beleértve a hozzáférést, törlést, adathordozhatóságot és tiltakozást.
A CCPA/CPRA csak azokra a profit orientált vállalkozásokra vonatkozik, amelyek legalább egyet teljesítenek az alábbi küszöbértékek közül: éves bruttó bevétel meghaladja a 25 millió dollárt, évente 100 000 vagy több kaliforniai fogyasztó személyes adatait vásárolja vagy adja el, vagy éves bevételének 50%-át vagy annál többet a személyes adatok eladásából szerzi [2]. Inkább az átláthatóságra és a leiratkozási jogokra összpontosít, mint a feldolgozáshoz szükséges jogalap megkövetelésére.
A PIPL (Kína) szerkezetében tükrözi a GDPR-t, de szigorúbb adatlokalizációs követelményeket és kormányzati biztonsági értékeléseket ír elő az „fontos” adatok külföldre történő továbbítása előtt [1].
A gyakorlati különbség: A GDPR alapértelmezés szerint opt-in a legtöbb feldolgozáshoz; a CCPA nagyrészt opt-out. A PIPL mindkét megközelítést ötvözi, miközben olyan nemzetbiztonsági rétegeket ad hozzá, amelyek a GDPR-ből hiányoznak.
Mi a területi hatály az adatvédelmi jogban?
A területi hatály határozza meg azokat a földrajzi határokat, amelyeken belül egy adatvédelmi törvény alkalmazandó, és ami kritikus, hogy kiterjed-e azokon a határokon kívül működő szervezetekre is. A legtöbb modern adatvédelmi törvény extraterritoriális modellt fogadott el, ami azt jelenti, hogy a megfelelési kötelezettségekhez már nincs szükség fizikai jelenlétre egy országban.
A GDPR területi hatályát a 3. cikk szabályozza, amely a rendeletet az EU-ban letelepedett szervezetekre, valamint az EU-n kívüli szervezetekre is alkalmazza, amelyek vagy árukat vagy szolgáltatásokat kínálnak az EU-s lakosoknak, vagy figyelemmel kísérik viselkedésüket [1]. Az UK GDPR azonos modellt követ [9].
Kína PIPL-je azokra a külföldi entitásokra vonatkozik, amelyek termékeket vagy szolgáltatásokat kínálnak Kínában élő egyéneknek, elemzik vagy értékelik a Kínában élő egyének viselkedését, vagy más alkalmazandó törvényekben meghatározott körülmények közé tartoznak [1].
A szankciók és területi hatályok navigálása: a világ legszigorúbb adatvédelmi törvényeinek áttekintése következetes mintát mutat: a tendencia a maximális hatókör felé mutat. A szabályozók meg akarják akadályozni, hogy a szervezetek egyszerűen offshore bejegyzéssel elkerüljék kötelezettségeiket.
Hogyan vonatkoznak az adatvédelmi törvények a külföldi vállalatokra?
Az adatvédelmi törvények az extraterritoriális joghatóság fogalmán keresztül vonatkoznak a külföldi vállalatokra. Egy Szingapúrban bejegyzett vállalat, amely német fogyasztókat célzó weboldalt üzemeltet és gyűjti az e-mail címeiket, a GDPR hatálya alá tartozik, még akkor is, ha egyetlen EU-s alkalmazottja vagy irodája sincs.
Az extraterritoriális alkalmazás kiváltó okai jellemzően a következők:
- Aktív marketing a joghatóság lakosai felé (nyelv, valuta, helyi fizetési módok)
- Lakosok személyes adatainak feldolgozása, akár passzívan, analitika vagy sütik révén
- Viselkedés monitorozása (viselkedésalapú hirdetés, nyomkövető pixelek)
- Helyi telephely működtetése, akár egy kis képviseleti iroda is
Az amerikai Igazságügyi Minisztérium (DOJ) 2025. április 8-án hatályba lépő Adatbiztonsági Programja egy újabb réteget ad hozzá: exportellenőrzéseket vezet be, hogy megakadályozza a külföldi ellenfelek hozzáférését az érzékeny amerikai személyes adatokhoz, megtiltva bizonyos adattranzakciókat a kijelölt "aggodalomra okot adó országokkal" [5].
Gyakori hiba: Feltételezni, hogy mivel egy vállalatnak nincs fizikai jelenléte egy joghatóságban, nincsenek ott megfelelési kötelezettségei. Ez téves a GDPR, PIPL, UK GDPR és LGPD esetében.
Melyik adatvédelmi törvénynek a legnehezebb megfelelni?
A GDPR-t széles körben a legigényesebb adatvédelmi törvénynek tartják, három okból: követelményeinek szélessége, hozzájárulási szabványainak szigorúsága és az EU felügyeleti hatóságai által hozott végrehajtási intézkedések volumene miatt.
A GDPR-megfelelés megköveteli a szervezetektől, hogy dokumentáljanak minden feldolgozási tevékenységet, bizonyos esetekben adatvédelmi tisztviselőt nevezzenek ki, adatvédelmi hatásvizsgálatokat végezzenek a magas kockázatú feldolgozásokhoz, és "adatvédelem tervezés és alapértelmezés szerint" elvet alkalmazzanak minden rendszerben. A GDPR szerinti hozzájárulási szabvány, amely szabadon adott, specifikus, tájékozott és egyértelmű, lényegesen igényesebb, mint a CCPA szerinti opt-out modell [2].
Kína PIPL-je szorosan a második helyen áll, különösen a multinacionális vállalatok számára, mivel a GDPR szintű hozzájárulási követelményeket adatlokalizációs előírásokkal és kormányzati biztonsági felülvizsgálati folyamatokkal ötvözi a határokon átnyúló adatátvitelekhez [1][4].
Válassza a GDPR-t alapvető megfelelési szabványként, ha szervezete EU-s vagy Egyesült Királyságbeli lakosokat szolgál ki. A GDPR követelményeinek teljesítése kielégíti az UK GDPR legtöbb lényeges igényét, és jó helyzetbe hozza az LGPD és PIPL megfeleléshez, fokozatos kiigazításokkal.
Mi történik, ha megsérti a GDPR vagy CCPA szabályozásokat?
A GDPR megsértése akár 20 millió eurós vagy a globális éves bevétel 4%-ának megfelelő bírságot, végrehajtási utasításokat, feldolgozási tilalmakat és hírnévromlást vonhat maga után a kötelező adatvédelmi incidens bejelentések miatt [1]. Az EU tagállamok felügyeleti hatóságai egyértelműen hajlandóságot mutattak arra, hogy jelentős bírságokat szabjanak ki minden méretű vállalatra.
A CCPA megsértését a Kaliforniai Adatvédelmi Ügynökség (CPPA) hajtja végre. A polgári jogi szankciók akár 2 663 dollárra is rúghatnak nem szándékos jogsértésenként, és 7 988 dollárra szándékos jogsértésenként, évente az inflációhoz igazítva [3]. A GDPR-től eltérően a CCPA magánjogi keresetindítási jogot is biztosít adatvédelmi incidensek esetén, lehetővé téve a fogyasztók számára, hogy közvetlenül pereljenek.
A pénzügyi büntetéseken túl a másodlagos következmények gyakran károsabbak:
- A végrehajtási intézkedések kötelező nyilvános közzététele
- A fogyasztói bizalom és a márkaérték elvesztése
- Működési zavarok a feldolgozási tilalmak miatt
- Fokozott szabályozási ellenőrzés más joghatóságokban
Az adatvédelmi törvények vonatkoznak-e a kisvállalkozásokra vagy csak a nagyvállalatokra?
Az adatvédelmi törvények vonatkozhatnak a kisvállalkozásokra is, bár a küszöbértékek keretrendszerenként eltérőek. A GDPR-nek nincs bevételi vagy méretbeli küszöbértéke, ha egy kisvállalkozás EU-s lakosok személyes adatait dolgozza fel, akkor a GDPR hatálya alá tartozik. A CCPA ezzel szemben csak azokra a profit orientált vállalkozásokra vonatkozik, amelyek megfelelnek a specifikus bevételi vagy adatmennyiségi küszöbértékeknek, ami azt jelenti, hogy sok kisvállalkozás kívül esik a hatókörén [2].
A GDPR kivételei a kis szervezetekre szűkek: A 250-nél kevesebb alkalmazottal rendelkező vállalkozások részben mentesülnek a feldolgozási tevékenységek részletes nyilvántartásának vezetése alól, de csak akkor, ha feldolgozásuk valószínűleg nem jár kockázattal az egyének jogaira nézve, nem alkalmi, vagy nem érint különleges adatkategóriákat.
Éles eset: Egy egyéni vállalkozó, aki egy niche e-kereskedelmi üzletet üzemeltet EU-s ügyfeleket célozva és viselkedésalapú hirdetési eszközöket használ, szinte biztosan a GDPR hatálya alá tartozik, függetlenül az éves bevételtől.
Gyakori hibák, amelyeket a vállalatok elkövetnek az adatvédelmi jogi megfelelés során
A leggyakoribb megfelelési hibák nem technikai, hanem szervezeti jellegűek. A vállalatok rendszeresen alábecsülik adatgyűjtésük hatókörét, nem frissítik az adatvédelmi nyilatkozatokat a tényleges feldolgozás tükrözésére, és a hozzájárulást egyszeri jelölőnégyzetként kezelik, nem pedig folyamatos kapcsolatként.
A leggyakoribb megfelelési hibák, gyakoriság szerint rangsorolva:
- Elégtelen hozzájárulási mechanizmusok, előre bejelölt dobozok, csomagolt hozzájárulás vagy a szolgáltatási feltételekbe rejtett hozzájárulás használata.
- Nincs dokumentált jogalap, adatok feldolgozása érvényes jogalap azonosítása és rögzítése nélkül a GDPR 6. cikke szerint.
- A határokon átnyúló adatátviteli szabályok figyelmen kívül hagyása, személyes adatok továbbítása harmadik országokba Standard Szerződési Feltételek vagy azzal egyenértékű biztosítékok nélkül.
- Hiányos adattérképezés, nem tudni, milyen személyes adatokat gyűjtenek, hol tárolják, és ki fér hozzá.
- Az érintetti kérelmek teljesítésének elmulasztása, a hozzáférési, törlési vagy adathordozhatósági kérelmekre vonatkozó 30 napos válaszadási határidő elmulasztása.
- Elavult adatvédelmi nyilatkozatok, olyan nyilatkozat közzététele, amely nem írja le pontosan a jelenlegi feldolgozási tevékenységeket.
Egy megfelelően konfigurált CMP, mint például a Biscotti CMP, számos ilyen hibapontot közvetlenül kezel a hozzájárulás gyűjtésének, tárolásának és visszavonásának kezelésével több szabályozási keretrendszeren keresztül.
Hogyan határozza meg, mely adatvédelmi törvények vonatkoznak vállalkozására?
Az alkalmazandó adatvédelmi törvények meghatározásához négy kérdésre kell válaszolni: Hol van a szervezete bejegyezve? Hol találhatók a felhasználói vagy ügyfelei? Milyen kategóriájú személyes adatokat dolgoz fel? És megfelel-e bármely joghatóság-specifikus küszöbértéknek?
Gyakorlati döntési keret:
- Ha van telephelye az EU-ban vagy az Egyesült Királyságban, vagy aktívan célozza az EU/UK lakosokat: a GDPR és/vagy az UK GDPR alkalmazandó [1][9].
- Ha árukat vagy szolgáltatásokat kínál kínai fogyasztóknak, vagy elemzi viselkedésüket: a PIPL alkalmazandó [1].
- Ha profit orientált vállalat, amely megfelel Kalifornia bevételi vagy adatmennyiségi küszöbértékeinek: a CCPA/CPRA alkalmazandó [2].
- Ha Brazíliában működik, és brazil lakosok személyes adatait dolgozza fel: az LGPD alkalmazandó.
- Ha vállalkozása érzékeny amerikai személyes adatok nemzetközi továbbításával jár: tekintse át a DOJ Adatbiztonsági Programjának követelményeit [5].
Több törvény is alkalmazható egyszerre. Egy amerikai székhelyű SaaS vállalat, amelynek EU-s ügyfelei, kaliforniai alkalmazottai és egy marketing adatbázisa van, amely brazil érdeklődőket is tartalmaz, egyidejűleg meg kell felelnie a GDPR-nek, a CCPA-nak és az LGPD-nek.
Vannak-e olyan adatvédelmi törvények, amelyeknek nincs területi hatálya?
Néhány adatvédelmi keretrendszer szándékosan korlátozott területi hatállyal rendelkezik. A dubaji DIFC adatvédelmi törvénye például a DIFC-ben bejegyzett adatkezelőkre és adatfeldolgozókra, vagy azokra vonatkozik, akik a DIFC-n belül dolgoznak fel adatokat, de nem igényel széles körű extraterritoriális hatályt, amely összehasonlítható a GDPR-rel [8]. Hasonlóképpen, számos régebbi vagy ágazatspecifikus amerikai szövetségi törvény (HIPAA az egészségügyi adatokra, FERPA az oktatási nyilvántartásokra) az adatok jellegétől és az entitás típusától függően alkalmazandó, nem az érintettek helyétől.
A globális tendencia azonban egyértelműen a szélesebb területi hatály felé mutat. A szankciók és területi hatályok navigálása: a világ legszigorúbb adatvédelmi törvényeinek áttekintése azt mutatja, hogy az újabb jogszabályok, a PIPL, az LGPD és a Brexit utáni UK GDPR, mind extraterritoriális modelleket fogadtak el, jelezve, hogy a korlátozott hatókörű keretrendszerek inkább kivétellé válnak, mint szabállyá.
Hogyan különböznek a szankciók a GDPR és más adatvédelmi keretrendszerek között?
A GDPR szankciói a legsúlyosabbak és a legaktívabban érvényesítettek az összes globális adatvédelmi keretrendszer közül, de a mechanizmusok jelentősen eltérnek a rendszerek között.
| Keretrendszer | Végrehajtó szerv | Maximális pénzügyi büntetés | Magánjogi keresetindítási jog |
|---|---|---|---|
| GDPR | Nemzeti felügyeleti hatóságok | 20 millió euró vagy a globális bevétel 4%-a | Korlátozott (tagállamonként változó) |
| UK GDPR | ICO | 17,5 millió font vagy a globális bevétel 4%-a | Korlátozott |
| PIPL | CAC / ágazati szabályozók | 50 millió ¥ vagy az éves bevétel 5%-a | Igen (egyének számára) |
| CCPA/CPRA | CPPA | 7 988 dollár szándékos jogsértésenként | Igen (adatvédelmi incidensek esetén) |
| LGPD | ANPD | A brazíliai bevétel 2%-a, max. 50 millió R$ | Igen |
A GDPR végrehajtási modellje egyedülálló abban, hogy 27 nemzeti adatvédelmi hatóság hálózatán keresztül működik, ami következetlenséget eredményez abban, hogy a különböző tagállamok milyen agresszíven üldözik a jogsértéseket. Írország DPC-je, amely számos nagy amerikai tech céget felügyel az ottani EU-s központjaik miatt, kritikát kapott a lassú végrehajtás miatt, bár a Meta és a TikTok elleni mérföldkőnek számító bírságok azt mutatják, hogy a rendszer jelentős eredményeket hozhat [7].
Konklúzió: Cselekvési lépések a szankciók és területi hatályok navigálásához
A szankciók és területi hatályok navigálása: a világ legszigorúbb adatvédelmi törvényeinek áttekintése egy dolgot világossá tesz, az adatvédelmi megfelelés regionális aggodalomként való kezelésének korszaka lejárt. Bármely szervezet, amely online jelenléttel és nemzetközi felhasználói bázissal rendelkezik, nagy valószínűséggel legalább egy jelentős adatvédelmi keretrendszer hatálya alá tartozik, valós végrehajtási következményekkel.
Azonnali lépések:
- Végezzen adattérképezési gyakorlatot az összes gyűjtött személyes adat kategóriájának, forrásának, tárolási helyének és feldolgozási céljának azonosítására.
- Azonosítsa az alkalmazandó törvényeket a fent vázolt területi hatály kritériumai alapján, ne feltételezze, hogy a földrajz önmagában határozza meg kötelezettségeit.
- Ellenőrizze hozzájárulási mechanizmusait annak biztosítására, hogy megfeleljenek a legmagasabb alkalmazandó szabványnak (a GDPR hozzájárulás a legszigorúbb mérce).
- Tekintse át a határokon átnyúló adatátviteli megállapodásokat, és győződjön meg arról, hogy a Standard Szerződési Feltételek vagy azzal egyenértékű biztosítékok érvényben vannak.
- Implementáljon egy megfelelő CMP-t, a Biscotti CMP biztosítja az infrastruktúrát a hozzájárulás gyűjtésének és dokumentálásának kezeléséhez több szabályozási keretrendszeren keresztül.
- Hozzon létre egy érintetti kérelemkezelési folyamatot dokumentált munkafolyamatokkal és válaszadási határidőkkel.
- Évente tekintse át, az adatvédelmi jog nem statikus. A DOJ Adatbiztonsági Programja (2025-től hatályos), a fejlődő PIPL végrehajtási szabályozások és a potenciális amerikai szövetségi adatvédelmi jogszabályok mind mozgó célpontot jelentenek [5].
Azok a szervezetek, amelyek az adatvédelmi megfelelést folyamatos működési diszciplínaként kezelik, nem pedig egyszeri projektként, sokkal jobb helyzetben lesznek ahhoz, hogy elkerüljék az elmúlt évek végrehajtási környezetét meghatározó büntetéseket.
GYIK
K: A GDPR vonatkozik-e egy amerikai cégre, amelynek nincs EU-s irodája? Igen. Ha egy amerikai cég aktívan célozza az EU-s lakosokat, például európai nyelveken vagy valutákban kínál szolgáltatásokat, a GDPR alkalmazandó, függetlenül attól, hogy a cég hol van bejegyezve [1].
K: Mi a különbség az adatkezelő és az adatfeldolgozó között a GDPR szerint? Az adatkezelő határozza meg a személyes adatok feldolgozásának céljait és eszközeit. Az adatfeldolgozó az adatokat az adatkezelő nevében dolgozza fel. Mindkettőnek külön kötelezettségei vannak a GDPR szerint, és az adatfeldolgozók közvetlenül felelősségre vonhatók bizonyos jogsértésekért.
K: Egy vállalat szembesülhet-e egyszerre GDPR bírságokkal és CCPA büntetésekkel? Igen. Egy EU-s és kaliforniai lakosokat egyaránt kiszolgáló vállalat mindkét keretrendszer alapján szembesülhet végrehajtási intézkedésekkel ugyanazon alapul szolgáló adatkezelési gyakorlatok miatt, mivel a törvények egymástól függetlenek.
K: Mi a jogalap a feldolgozáshoz a GDPR szerint? A GDPR 6. cikke megköveteli, hogy minden feldolgozási tevékenység az alábbi hat jogalap egyikén alapuljon: hozzájárulás, szerződés teljesítése, jogi kötelezettség, létfontosságú érdekek, közérdekű feladat vagy jogos érdekek. A dokumentált jogalap nélküli feldolgozás magasabb szintű jogsértés.
K: Hogyan különbözik Kína PIPL-je a GDPR-től a határokon átnyúló adatátvitelek tekintetében? A PIPL kormányzati biztonsági értékelést ír elő az „fontos” adatok külföldre történő továbbítása előtt, a hozzájáruláson alapuló követelmények mellett. A GDPR megfelelőségi határozatokra, Standard Szerződési Feltételekre vagy Kötelező Vállalati Szabályokra támaszkodik, a legtöbb átvitelhez nem igényel kormányzati előzetes jóváhagyást [1][4].
K: Vannak-e büntetések az adatvédelmi tisztviselő kinevezésének elmulasztásáért a GDPR szerint? Igen. Az adatvédelmi tisztviselő kinevezésének elmulasztása, amikor az szükséges (közhatalmi szervek, nagyszabású szisztematikus megfigyelés vagy különleges adatkategóriák nagyszabású feldolgozása esetén), alacsonyabb szintű GDPR jogsértés, amely akár 10 millió eurós vagy a globális bevétel 2%-ának megfelelő bírságot vonhat maga után.
K: A CCPA vonatkozik-e a nonprofit szervezetekre? Nem. A CCPA csak azokra a profit orientált vállalkozásokra vonatkozik, amelyek megfelelnek a küszöbértékeinek. A nonprofit szervezetek általában mentesülnek, bár más kaliforniai adatvédelmi törvények hatálya alá tartozhatnak.
K: Mi a DOJ Adatbiztonsági Programja? A 2025. április 8-án hatályba lépő amerikai Igazságügyi Minisztérium (DOJ) Adatbiztonsági Programja exportellenőrzéseket vezet be, hogy megakadályozza a külföldi ellenfelek hozzáférését az érzékeny amerikai személyes adatokhoz. Megtilt bizonyos adattranzakciókat a kijelölt "aggodalomra okot adó országokkal" [5].
K: Milyen gyorsan kell bejelenteni egy GDPR adatvédelmi incidenst? Az adatkezelőknek a személyes adatok megsértésének tudomására jutásától számított 72 órán belül értesíteniük kell felügyeleti hatóságukat, amennyiben ez megvalósítható. Ha az incidens valószínűleg magas kockázattal jár az egyének számára, az érintetteket is indokolatlan késedelem nélkül értesíteni kell.
K: Segíthet-e egy hozzájárulás-kezelő platform a több joghatóságra kiterjedő megfelelésben? Igen. Egy CMP, mint például a Biscotti CMP, képes kezelni a hozzájárulás gyűjtését, tárolását és visszavonását különböző szabályozási keretrendszereken keresztül, segítve a szervezeteket a hozzájárulás dokumentált bizonyítékának fenntartásában, ami alapvető követelmény mind a GDPR, mind a PIPL szerint.
Hivatkozások
[1] International Data Privacy Law Global Frameworks And Rules - https://legalclarity.org/international-data-privacy-law-global-frameworks-and-rules/?utm_source=openai
[2] GDPR vs CCPA - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/gdpr-vs-ccpa/?utm_source=openai
[3] Data Protection Regulations GDPR U.S. Laws Your Rights - https://legalclarity.org/data-protection-regulations-gdpr-u-s-laws-your-rights/?utm_source=openai
[4] Data Sovereignty Meaning Laws Frameworks And Rules - https://legalclarity.org/data-sovereignty-meaning-laws-frameworks-and-rules/?utm_source=openai
[5] DOJ Final Rule Imposes Additional - https://www.dentons.com/en/insights/articles/2025/may/21/doj-final-rule-imposes-additional?utm_source=openai
[6] Geoblocking Legal Issues Compliance And Risks - https://legalclarity.org/geoblocking-legal-issues-compliance-and-risks/?utm_source=openai
[7] World Data Privacy Laws - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/?utm_source=openai
[8] Data Protected DIFC - https://www.linklaters.com/en/insights/data-protected/data-protected---difc?utm_source=openai
[9] DLA Piper Data Protection Index - https://www.dlapiperdataprotection.com/index.html?t=about&utm_source=openai