Privacy by Design (beépített adatvédelem)

A privacy by design (beépített adatvédelem) olyan elv, amely megköveteli a szervezetektől, hogy az adatvédelmi és magánélet-védelmi garanciákat a kezdetektől fogva beépítsék rendszereikbe, folyamataikba és szolgáltatásaikba, ahelyett hogy azokat később utólag adnák hozzá. Az uniós jog szerint ez azt jelenti, hogy a magánélet védelmét szolgáló intézkedéseket az adatkezelés minden szakaszába be kell ágyazni – a kezdeti tervezéstől egészen a törléséig –, és az adatvédelmet kell alapértelmezett beállításként meghatározni a felhasználók számára.

Jogalap

„Az adatkezelő … megfelelő technikai és szervezési intézkedéseket hajt végre … amelyek célja az adatvédelmi elvek, például az adattakarékosság hatékony megvalósítása, valamint az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelésbe."

— (EU) 2016/679 rendelet (GDPR) 25. cikk (1) bekezdés

Miért fontos

A beépített adatvédelem az általános adatvédelmi rendelet (GDPR) alapvető kötelezettsége, és mindenkire vonatkozik, aki személyes adatokat kezel az EU-ban – beleértve a szponzorokat, a politikai hirdetések közzétevőit és a TTPA rendelet hatálya alá tartozó politikai hirdetési szolgáltatások nyújtóit is. Amikor ezek a szereplők személyes adatokat használnak célzáshoz vagy hirdetéskézbesítéshez, úgy kell megtervezniük rendszereiket, hogy minimalizálják az adatgyűjtést, maximalizálják az átláthatóságot, és kezdettől védjék az érintettek jogait.

A politikai hirdetések esetében ennek az elvnek közvetlen gyakorlati hatása van. A platformoknak, reklámtechnológiai szolgáltatóknak és kampányoknak úgy kell konfigurálniuk eszközeiket és munkafolyamataikat, hogy a személyes adatokat csak szükség esetén gyűjtsék és kezeljék, biztonságban tartsák, és töröljék, amikor már nincs rájuk szükség. A beépített adatvédelem azt is jelenti, hogy a felhasználóknak alapértelmezés szerint érdemi adatvédelmi választási lehetőségeket kell kínálni – például nem előre bejelölni a hozzájárulási mezőket, és nem az adatvédelem szempontjából leginvazívabb beállításokat tenni alapértelmezetté.

A beépített adatvédelem be nem tartása szabályozási szankciókhoz, adatvédelmi incidensekhez és a közbizalom eróziójához vezethet – ami különösen káros a választások és népszavazások politikailag érzékeny kontextusában.

Főbb pontok

Proaktív, nem reaktív: Az adatvédelmi garanciákat a tervezési szakasztól kezdve be kell építeni a rendszerekbe, nem pedig az üzembe helyezés után ráerősíteni.
Alapértelmezés szerint adatvédelem: A rendszereknek alapértelmezés szerint a leginkább adatvédelmi szempontból barátságos beállításokkal kell működniük, anélkül hogy a felhasználóknak le kellene mondaniuk az invazív gyakorlatokról.
Adattakarékosság: Csak a meghatározott célhoz feltétlenül szükséges személyes adatokat szabad gyűjteni és kezelni.
Életciklus-védelem: Az adatvédelmi intézkedések a teljes adatéletciklusra vonatkoznak – a gyűjtéstől és tárolástól a felhasználáson, megosztáson és törlésen keresztül.
Elszámoltathatóság: A szervezeteknek képesnek kell lenniük annak bemutatására, hogyan valósították meg a beépített adatvédelmet rendszereikben és folyamataikban.
Felhasználói felhatalmazás: A tervezésnek lehetővé kell tennie, hogy a felhasználók technikai akadályok nélkül könnyen gyakorolhassák jogaikat (hozzáférés, helyesbítés, törlés, tiltakozás).

Beépített adatvédelem vs. alapértelmezett adatvédelem

A beépített adatvédelem az adatvédelem kezdettől való beágyazására utal a rendszerek és folyamatok architektúrájába. Az alapértelmezett adatvédelem egy kapcsolódó, de szűkebb fogalom: megköveteli, hogy a rendszerek automatikusan alkalmazzák a leginkább adatvédelmet biztosító beállításokat felhasználói beavatkozás nélkül. Más szóval, a beépített adatvédelem arról szól, hogyan építünk; az alapértelmezett adatvédelem arról, milyen beállításokat szállítunk. Mindkettő kötelező a GDPR 25. cikke szerint. A politikai hirdetési platformok esetében a beépített adatvédelem azt jelenti, hogy olyan rendszereket kell tervezni, amelyek minimalizálják az adatgyűjtést és védik a felhasználói jogokat, míg az alapértelmezett adatvédelem azt jelenti, hogy például a célzási lehetőségek ne válasszanak előre érzékeny adatkategóriákat, és a felhasználók profiljai ne legyenek a szükségesnél szélesebb körben megosztva.

Kapcsolódó fogalmak

Adattakarékosság
Alapértelmezett adatvédelem
Adatvédelmi hatásvizsgálat (DPIA)
Személyes adat
Hozzájárulás
Adatkezelő
Adatfeldolgozó
Célzási technikák
GDPR (általános adatvédelmi rendelet)
Átláthatósági közlemény

Igen. Uniós rendeletként a TTPA közvetlenül alkalmazandó minden tagállamban anélkül, hogy nemzeti átültetésre lenne szükség. A tagállamoknak csak hatóságokat kell kijelölniük és szankciókat kell megállapítaniuk.

Az átláthatósági követelmények biztosítják, hogy minden politikai szereplő ugyanazon szabályok szerint működjön. A választók láthatják, hogy ki rendelkezik erőforrásokkal és hogyan használják azokat, ezzel támogatva a tisztességes versenyt.

Az átláthatóság bizalmat épít azzal, hogy megmutatja a választóknak, hogy a politikai szereplők nyíltan működnek. A rejtett finanszírozás vagy célzás aláássa a demokratikus folyamatokba vetett bizalmat.

Az egyértelmű jelölés és hozzáférhető átláthatósági információk előírásával a TTPA segít az embereknek felismerni a politikai hirdetéseket és megérteni, hogy ki próbálja őket befolyásolni.

A politikai hirdetés magában foglal minden olyan fizetett üzenetet, amely politikai szereplőt népszerűsít, a szavazói magatartást befolyásolja, a választások vagy népszavazások kimenetelét érinti, vagy jogalkotási vagy szabályozási folyamatokat befolyásol. Ide tartozik továbbá minden olyan hirdetés is, amelyet politikai szereplő ad fel vagy amelyet politikai szereplő nevében adnak fel.

Nem. A TTPA nem érinti a politikai hirdetések tartalmára, a kampányfinanszírozásra, a választási időszakokra vagy a politikai reklámozásra vonatkozó általános tilalmakra vonatkozó nemzeti szabályokat. A meglévő nemzeti jogszabályokon felül átláthatósági követelményeket ír elő.

A hivatalos elnevezése: Az Európai Parlament és a Tanács (EU) 2024/900 rendelete a politikai hirdetések átláthatóságáról és célzásáról. 2024. március 20-án került kihirdetésre.

Igen. A TTPA minden politikai hirdetésre vonatkozik, függetlenül attól, hogy online vagy offline formában jelenik meg, beleértve a nyomtatott sajtót, óriásplakátokat, televíziót, rádiót és digitális csatornákat. A III. fejezetben szereplő célzási szabályok kizárólag az online hirdetésekre vonatkoznak.