„Egyelőre tájékoztatást kértünk a BKK-tól az online jegyárusító rendszerrel kapcsolatban, és a válaszok alapján döntünk arról, hogy milyen vizsgálatot folytassunk le” - mondta az Indexnek Péterfalvi Attila, a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) elnöke.

Péterfalvi elmondta, hogy a vizsgálat során bárkivel kommunikálhatnak, még a hírekben "etikus hekkerként" szereplő fiatallal is. Emellett teljesen átvizsgálhatják az informatikai eszközöket, és megnézhetik, hogy milyen behatolások voltak a jegyárusító rendszerbe.

Fontos megtudni, hogy maga a BKK hogyan értékeli a helyzetet

Mint megtudtuk, a NAIH vizsgálata arra is kiterjed, hogy mi szerepel a két érintett cég, a BKK és a T-Systems dokumentációjában a jegyárusító  rendszerrel kapcsolatban, és hogy azon a megrendelő az átvételkori állapothoz képest változtatott-e.  

Úgy is nézzük ezt az esetet, hogy jó felkészülés az új uniós adatvédelmi jogszabály jövőre esedékes hatályba lépésére.

Ezzel Péterfalvi a 2018. május 25-től érvénybe lépő uniós GDPR rendelkezéseire utalt, amelyek jóval szigorúbbak a most hatályos (2011. évi CXII.) törvénynél. Az általános adatvédelmi rendelet (General Data Protection Regiulation, azaz  GDPR ) nem csupán azt követeli meg, hogy az adatkezelő nyilvántartást vezessen az incidensekről, hanem az incidensek hatósági bejelentését is előírja.

Az adatkezelőnek ráadásul igen szűkös határidőket szab a GDPR, mindössze 72 órán belül jelenteni kell, miután tudomást szerzett  az incidensről, hogy az hány személyt és milyen személyes adatokat érint, és hogy az érintettek várhatóan milyen következményekkel számolhatnak. A büntetések is a mostaniaknál jóval nagyobbak lesznek. A GDPR hatálya alatt akár 10 millió eurós közigazgatási bírságot is kiszabhatnak majd a mulasztó cégekre.

Az a cél, hogy teljesen egységes legyen az adatvédelem az Európai Unió területén - mondta Péterfalvi, és azt is hozzátette, hogy a NAIH komoly létszámbővítéssel készül a rendelkezés hatályba lépésére.