Infotv. – a magyar adatvédelmi törvény
Az Infotv. a 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról, vagyis a magyar adatvédelmi és információszabadság-törvény rövidített neve. Online kaszinóknál azért kerül elő, mert a regisztrációkor, a KYC során és a játékosvédelmi korlátozásoknál kezelt személyes adatokra a GDPR mellett ez a törvény is vonatkozik, kiegészítő szabályokkal. Itt találhatók a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) eljárásának keretszabályai is, ehhez a hatósághoz fordulhat a játékos adatvédelmi panasszal.
Mit szabályoz az Infotv. a GDPR mellett?
A GDPR uniós rendeletként közvetlenül alkalmazandó, ezért a személyes adatok kezelésének nagy részében az Infotv. kiegészítő szerepet kap. A 2. § (2) bekezdése szerint a GDPR hatálya alá tartozó adatkezelésre a rendeletet a törvényben felsorolt fejezetekben és szakaszokban meghatározott kiegészítésekkel kell alkalmazni, ilyen például a NAIH eljárásairól szóló rész.
A törvény neve két jogot takar: az információs önrendelkezési jog a saját személyes adatok feletti rendelkezést, az információszabadság a közérdekű adatok megismerését jelenti.
Kaszinós szempontból az első terület a lényeges. Az információszabadsági rész a közfeladatot ellátó szervekre vonatkozik, így egy szerencsejáték-felügyeleti hatóság működésére vonatkozó közérdekű adat igénylése ide tartozik, egy magáncég játékosadatai viszont nem.
Magyar és külföldi engedélyes szervező
Az Infotv. 2. § (5) bekezdése rendezi, mikor kell a magyar kiegészítő szabályokat a GDPR alá tartozó adatkezelésre alkalmazni. Ha az adatkezelő tevékenységi központja vagy egyetlen uniós tevékenységi helye Magyarországon van, a magyar szabályok alkalmazandók, ami a magyar engedéllyel működő szervezőnél jellemzően teljesül. A b) pont szerint akkor is alkalmazni kell őket, ha a tevékenységi központ másik államban van, de az adatkezelés „áruknak vagy szolgáltatásoknak a Magyarországon tartózkodó érintettek számára történő nyújtásához kapcsolódik”. Ugyanez érvényes, ha az adatkezelés az érintett Magyarország területén tanúsított viselkedésének megfigyeléséhez kapcsolódik. Egy külföldi, például máltai engedéllyel működő, magyar játékosokat kiszolgáló oldal így adatvédelmi szempontból a törvény hatálya alá kerülhet. Azt viszont az Infotv. nem dönti el, hogy az ilyen szolgáltatás a szerencsejáték-jog szerint megengedett-e.
Hol találkozik a játékos az Infotv.-vel?
A játékos leggyakrabban a szervező adatkezelési tájékoztatójában látja a törvény nevét, ahol a jogszabályi hivatkozások között a GDPR mellett szerepel. A Szerencsejáték Zrt. például külön adatkezelési tájékoztatót tesz közzé egyes szolgáltatásaihoz, így a virtuális játékoskártyához is.
Az adatkezelés tartalmát ugyanakkor nagyrészt más jogszabályok határozzák meg. Hogy regisztrációkor milyen azonosító adatot kell megadni, és miért kér a szervező okmányt a KYC során, azt az ágazati és a pénzmosás elleni szabályok írják elő. Az Infotv. 5. § (3) bekezdése szerint kötelező adatkezelésnél az adatfajtákat, a célt és az időtartamot az adatkezelést elrendelő törvény határozza meg.
A jogalap adatkörönként eltérhet, ezért a tájékoztatónak minden adatkörnél meg kell jelölnie, melyik jogalapra hivatkozik a szervező.
A játékosvédelmi nyilvántartás jól mutatja ezt a különbséget. Egy magyar kaszinó közzétett tájékoztatója szerint a bírósági határozaton alapuló korlátozásnál az adatkezelés jogalapja törvényi felhatalmazás, a jelentős önkorlátozó nyilatkozatnál pedig a játékos önkéntes hozzájárulása. A különbség a törlési vagy zárolási kérelemnél válik fontossá, mert a két jogalapra eltérő szabályok vonatkoznak. A konkrét megőrzési időt mindig az adott tájékoztató és az elrendelő jogszabály adja meg, az Infotv. ilyen számot erre az esetre nem rögzít.
Amivel az Infotv.-t gyakran összekeverik
A leggyakoribb tévedés, hogy az Infotv. és a GDPR két külön, egymással versengő szabálykönyv, amelyek közül a játékos választhat. A GDPR alá tartozó ügyben a rendelet az elsődleges, az Infotv. az eljárási és kiegészítő szabályokat adja hozzá.
A huszonöt napos határidő
Az Infotv. 15. § (1) bekezdés b) pontja az érintetti kérelem elbírálására „legfeljebb huszonöt napon belül” határidőt ír elő. Ez a rendelkezés a II/A. fejezetben áll, amely nem szerepel a 2. § (2) bekezdésében a GDPR-hez rendelt kiegészítések között. Egy online kaszinó játékosadatainál ezért a GDPR 12. cikk (3) bekezdése szerinti egy hónap az irányadó, amely a rendeletben meghatározott esetben meghosszabbítható.
NAIH és szerencsejáték-felügyelet
Az adatvédelmi panasz a NAIH-hoz tartozik, a játékkal, kifizetéssel vagy bónuszfeltételekkel kapcsolatos vita viszont a szerencsejáték-felügyelet és a fogyasztói panaszutak körébe.
Az Infotv. 52. §-a alapján a Hatóságnál bejelentéssel vizsgálat kezdeményezhető, a 60. § szerinti adatvédelmi hatósági eljárás pedig a jogsértés megállapításáig és bírság kiszabásáig vezethet. A NAIH a saját oldalán jelzi, hogy eljárás e-mailben nem kezdeményezhető. Ha a külföldi engedélyes szervező uniós tevékenységi központja másik tagállamban van, a GDPR együttműködési szabályai szerint az ottani felügyeleti hatóság is szerepet kap az ügyben. A panasz benyújtása a NAIH-nál ettől még lehetséges, az ügy további útját azonban az uniós együttműködési eljárás határozza meg.
