Az Európai Adatvédelmi Testület (EDPB) 2026. novemberi plenáris ülésén a következő, kiemelt fontosságú döntéseket hozta:

1. Átdolgozott EDPB-iránymutatás a GDPR 6. cikk (1) bekezdés f) pontjára alapított adatkezelésekről:

Az EDPB plenáris ülése még 2024-ben fogadta el a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek adatkezelési jogalapról szóló 1/2024. sz. EDPB iránymutatást, amelyet ezt követően nyilvánosságra hozott és társadalmi konzultációra bocsátott. A társadalmi konzultáció során beérkezett visszajelzéseket is figyelembe vevő, átdolgozásra került verziót a testület egyhangúlag fogadta el. Az EDPB iránymutatása a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek jogalap alkalmazásának feltételeit részletezi, hangsúlyozva, hogy annak alkalmazásához három együttes feltétel teljesülése szükséges: a jogszerű, egyértelműen meghatározott és ténylegesen fennálló jogos érdek, az adatkezelés szükségessége, valamint az érintetti jogokkal és érdekekkel szembeni megfelelő érdekmérlegelés. Az adatkezelőknek az adatkezelés megkezdése előtt el kell végezniük és dokumentálniuk kell az értékelést, figyelembe véve különösen az érintettek észszerű elvárásait, az adatkezelés rájuk gyakorolt hatását és a kockázatokat mérséklő intézkedéseket. Az iránymutatás gyakorlati példákon – többek között a csalásmegelőzés, a közvetlen üzletszerzés és az információbiztonság területén – keresztül segíti a jogalap megfelelő alkalmazását, és kitér annak az érintetti jogokkal való kapcsolatára is.

Az iránymutatás a következő linkre kattintva érhető el (angol nyelven):

https://www.edpb.europa.eu/documents/guideline/guidelines-12024-on-processing-of-personal-data-based-on-article-61f-gdpr_en

2. Állásfoglalás Dél-Korea megfelelőségi határozatának felülvizsgálatáról

Az Európai Bizottság első felülvizsgálata megállapította, hogy Dél-Korea továbbra is megfelelő szintű adatvédelmet biztosít. Ennek megfelelően az uniós adatkezelők továbbra is támaszkodhatnak a megfelelőségi határozatra az annak hatálya alá tartozó adattovábbítások során, külön GDPR 46. cikk szerinti garanciák alkalmazása nélkül. Az EDPB támogatja a megfelelőségi határozat négyévenkénti felülvizsgálatát. Az EDPB üdvözölte továbbá a dél-koreai adatvédelmi szabályozás módosításait, amelyek megerősítették az érintettek jogait és a koreai adatvédelmi hatóság (PIPC) jogérvényesítési hatásköreit. A változások többek között érintik a hozzájárulás visszavonásának jogát, az adatkezelés felfüggesztésének kérelmezését, valamint az automatizált – köztük MI-alapú – döntéshozatallal kapcsolatos érintetti jogokat. A nemzetközi adattovábbítások szabályai is pontosabbá váltak.

Az állásfoglalás a következő linkre kattintva érhető el (angol nyelven):

https://www.edpb.europa.eu/documents/reports-statements-and-letters/statement-22026-on-the-first-review-of-the-functioning-of_en

3. Az adatfeldolgozói BCR-okra vonatkozó ajánlás véglegesítése

Az EDPB nyilvános konzultációt követően elfogadta az adatfeldolgozókra vonatkozó kötelező erejű vállalati szabályok (BCR-P) jóváhagyásával, tartalmi követelményeivel és alapelveivel kapcsolatos 1/2026. sz. ajánlás végleges változatát. A BCR-P-k a vállalatcsoporton belüli, harmadik országokba irányuló adattovábbítások egyik lehetséges eszközét jelentik. Az ajánlás célja a jóváhagyási követelmények egységesítése és annak biztosítása, hogy az adattovábbítások során a GDPR által megkövetelt, lényegében egyenértékű adatvédelmi szint érvényesüljön. Az új ajánlás valamennyi BCR-P-t alkalmazó vállalatcsoportra vonatkozik: a már jóváhagyott szabályzatokat, valamint az új és folyamatban lévő jóváhagyási kérelmeket is összhangba kell hozni az új ajánlással. A szükséges módosításokat az érintettek helyzetétől függően a jóváhagyási eljárás során vagy legkésőbb a 2028. évi éves felülvizsgálat keretében kell elvégezni.

Az ajánlása következő linkre kattintva érhető el (angol nyelven):

https://www.edpb.europa.eu/documents/recommendation/recommendations-12026-on-the-application-for-approval-and-on-the-elements_en

4. A 2027-ös Coordinated Enforcement Framework témája

Az EDPB a 2027. évi koordinált végrehajtatási fellépés (Coordinated Enforcement Framework, CEF) témájául a munkaerő-toborzás és -kiválasztás során alkalmazott automatizált döntéshozatalt választotta, beleértve a mesterséges intelligencián alapuló megoldásokat is. A vizsgálatok elsősorban a GDPR 22. cikkében szabályozott, kizárólag automatizált adatkezelésen alapuló döntésekkel kapcsolatos érintetti jogok, valamint az ezekhez kapcsolódó hozzáférési jog érvényesülésére összpontosítanak majd. Kiemelt figyelmet kaphatnak az automatizált jelöltszűrési és kiválasztási rendszerek, különösen az MI-alapú HR-megoldások.

Az EDPB novemberi plenáris üléséről szóló rövid összefoglaló az alábbi linkről érhető el angol nyelven:

https://www.edpb.europa.eu/news/edpb-adopts-statement-on-review-of-the-republic-of-korea-adequacy-processor-bcr_en