GDPR és a felnőtt tartalom — milyen jogaid vannak valójában
A GDPR-t a legtöbben cookie-felugróként ismerik. Pedig a felnőtt platformoknál a rendelet a legerősebb eszközöd: a szexuális élettel kapcsolatos adat külön, szigorúbb védelmi kategóriába tartozik.
Van egy pont, ahol a GDPR átlép az adminisztratív formalitásból valódi védelembe, és ez pont a felnőtt szolgáltatásoknál van. Érdemes tudni róla, mert a jogaid itt erősebbek, mint egy webshopnál — és a legtöbben nem élnek velük.
Ez a cikk tájékoztató jellegű, nem jogi tanácsadás. Konkrét ügyben érdemes szakértőhöz fordulni.
Miért más ez az adatkör
A GDPR 9. cikke létrehoz egy szűkebb kategóriát, amit különleges adatnak nevez. Ide tartozik többek között az egészségügyi adat, a vallási meggyőződés, a politikai vélemény — és a természetes személy szexuális életére vagy szexuális irányultságára vonatkozó adat.
Ennek a kategóriának a kezelése főszabály szerint tilos, és csak szűk, tételesen felsorolt kivételekkel megengedett. A gyakorlatban egy ismerkedő platformnál ez a kivétel az kifejezett hozzájárulásod.
Ebből három dolog következik, ami neked kedvez:
- A hozzájárulásnak kifejezettnek kell lennie. Nem elég egy általános felhasználási feltétel elfogadása, és nem lehet előre bepipált négyzet.
- A hozzájárulás visszavonható, ugyanolyan egyszerűen, ahogy megadtad.
- A jogsértés súlyosabban esik latba. A hatóságok a különleges adatok kezelésénél szigorúbban járnak el.
Milyen jogaid vannak konkrétan
Öt van, ami itt ténylegesen számít.
Hozzáférés (15. cikk). Kérheted, hogy adják ki, milyen adatot kezelnek rólad. Nem összefoglalót — a tényleges adatokat, plusz azt, honnan szerezték, kinek adták tovább, és meddig tárolják.
Törlés (17. cikk). Az „elfeledtetéshez való jog”. Ha a kezelés hozzájáruláson alapul — és itt jellemzően azon alapul —, a hozzájárulás visszavonásával a törlésnek meg kell történnie.
Adathordozhatóság (20. cikk). Kérheted az adataidat géppel olvasható formátumban.
Tiltakozás (21. cikk). Például profilalkotás vagy direkt marketing ellen.
Panasz (77. cikk). Ha a szolgáltató nem teljesít, fordulhatsz a felügyeleti hatósághoz. Magyarországon ez a NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság).
A határidő, amit érdemes fejben tartani
A szolgáltatónak egy hónapon belül érdemben válaszolnia kell. Ez bonyolult esetben további két hónappal meghosszabbítható, de a hosszabbításról is értesítenie kell téged, az eredeti egy hónapon belül.
A hallgatás nem válasz. Ha letelik a határidő, az önmagában megalapozza a hatósági panaszt.
Hogyan érvényesítsd — gyakorlatiasan
A törlési kérelemhez nem kell ügyvéd és nem kell formanyomtatvány. Egy e-mail elég, de érdemes néhány dolgot beletenni:
- Írd le egyértelműen, mit kérsz. „A GDPR 17. cikke alapján kérem a személyes adataim törlését.”
- Azonosítsd magad — annyival, amennyi a fiók beazonosításához kell, nem többel.
- Kérj visszaigazolást a törlés megtörténtéről.
- Kérdezz rá a másolatokra: a biztonsági mentésekre, a naplófájlokra és arra, hogy továbbadták-e az adatot harmadik félnek.
- Tarts meg mindent: a küldés dátumát, a szöveget, a válaszokat. Ez lesz a bizonyíték, ha panaszra kerül sor.
A negyedik pont a leggyakoribb kibúvó. Sok szolgáltató a felhasználói felületen „törli” a fiókot, miközben az adatbázisban csak megjelöli töröltként, és az adat évekig ott marad. Konkrétan rá kell kérdezni.
Ha a szolgáltató nem teljesít
A hatósági panasz ingyenes, és nem kell hozzá jogi képviselet. Amit érdemes csatolni:
- az eredeti kérelmed másolatát, a küldés dátumával;
- a szolgáltató válaszát, vagy annak igazolását, hogy nem érkezett válasz;
- a szolgáltató azonosítható megnevezését és elérhetőségét;
- rövid leírást arról, mit kértél és mi nem teljesült.
A hatóság vizsgálata hónapokig tarthat, de már a megkeresés ténye is mozgásba hoz sok szolgáltatót. Ha a szolgáltató másik EU-tagállamban van bejegyezve, a panaszt akkor is a magyar hatóságnál nyújthatod be — a hatóságok egymás között továbbítják.
Mit árul el egy adatkezelési tájékoztató
Regisztráció előtt öt percet megér átfutni. Nem kell jogásznak lenni hozzá, elég ezekre figyelni:
- Mi a jogalap? Ha különleges adatnál nem szerepel a kifejezett hozzájárulás, az figyelmeztető jel.
- Meddig tárolnak? A „az adatkezelés céljának eléréséig” önmagában semmitmondó. Konkrét időtartamnak kell szerepelnie.
- Kinek adják tovább? Hirdetési partnerek, analitikai szolgáltatók, adatfeldolgozók — névvel.
- Hol van a szerver? EU-n kívüli adattovábbításnál külön garanciák kellenek.
- Hogyan lehet törölni? Ha ez nincs benne konkrétan, az beszédes.
- Van-e megnevezett adatvédelmi tisztviselő és elérhetőség?
Ha kíváncsi vagy, hogy néz ki ez a gyakorlatban, a saját adatkezelési tájékoztatónk ugyanezen szempontok szerint épül fel.
A korhatár-ellenőrzés csapdája
Itt van egy valódi feszültség, amit érdemes érteni.
A felnőtt tartalmat szolgáltató platformoknak ellenőrizniük kell, hogy a felhasználó nagykorú. Ugyanakkor a GDPR adattakarékosságot ír elő: csak annyi adatot szabad kezelni, amennyi a célhoz feltétlenül szükséges.
A kettő feszül egymásnak. A rossz megoldás az, ha a platform bekéri és eltárolja a személyi igazolvány fényképét — ezzel egy olyan adatbázist hoz létre, ami egy szivárgásnál katasztrofális. Pontosan ez az a forgatókönyv, amiről az adatszivárgás társkereső oldalakon szóló cikkben írtunk.
A jobb megoldások nem tárolnak okmányt: nyilatkozat plusz utólagos moderálás, vagy olyan külső ellenőrzés, ami csak a „nagykorú: igen/nem” választ adja vissza a platformnak, magát az okmányt nem.
Ha egy oldal a személyi igazolványod fényképét kéri és tárolja, tedd fel a kérdést: mi történik ezzel az adatbázissal öt év múlva, egy tulajdonosváltás vagy egy incidens után?
Amit a GDPR nem old meg
Fontos a realitás. A GDPR:
- nem véd attól, akinek önként adtál hozzáférést;
- nem tudja visszavonni azt, amit már valaki lementett vagy lefotózott;
- nehezen érvényesíthető EU-n kívüli szolgáltatóval szemben;
- nem pótolja a technikai védelmet — egy végponttól végpontig titkosított rendszernél a szolgáltató azért nem tudja kiadni a tartalmat, mert nincs nála, nem azért, mert tilos neki.
Ez az utolsó pont a lényeg. A jogi és a technikai védelem két különböző réteg, és a technikai az erősebb: a jogszabályt meg lehet szegni, a nem létező kulcsot nem lehet előhúzni.
A jog akkor a legerősebb, amikor kiegészíti a technikát — nem amikor helyettesíteni próbálja.
Ha olyan platformot keresel, ahol a privát üzenetváltás tartalmához a szolgáltató sem fér hozzá, a regisztráció valódi nevet nem kér, és a fiók egyetlen kattintással véglegesen törölhető: a regisztráció ingyenes.
Gyakori kérdések
Kérhetem, hogy töröljenek mindent rólam?
Igen, ez a törléshez való jog. Nem korlátlan: amit jogszabály miatt meg kell őrizni (jellemzően számlázási adat), az a megőrzési idő végéig marad. A fiókod és a hozzád köthető tartalom viszont törlendő.
Mennyi idő alatt kell válaszolniuk?
Egy hónap. Ez indokolt esetben további két hónappal hosszabbítható, de a hosszabbításról is értesíteniük kell — az egy hónapon belül.
Mit tegyek, ha nem válaszolnak?
Bejelentést tehetsz a NAIH-nál (Nemzeti Adatvédelmi és Információszabadság Hatóság). A bejelentés ingyenes, és nem kell hozzá ügyvéd; a korábbi megkeresésed másolatát érdemes csatolni.
A korhatár-ellenőrzés miatt fel kell töltenem az igazolványomat?
Ez szolgáltatófüggő, és érdemes végiggondolni, mit adsz oda. Az igazolványmásolat a legérzékenyebb adatod: ha egy szolgáltató ilyet kér, nézd meg, meddig tárolja, és van-e olyan megoldása, ami tárolás nélkül igazol.