GDPR

Adatvédelmi rendelet valamint az Infó törvény az a két jogszabály, ami lefedi a teljes spektrumot.

találtam egy egész jó kis írást, a témához kapcsolódó tévhitekről.

A mi olvasatunkban azt jelenti a GDPR által megfogalmazott szabályozás, hogy tegyünk rendet az adatkezelésben! Tegyük ezt átláthatóan és tudatosan. A magánszemélyeket minden esetben tájékoztassuk arról, hogy milyen adatait milyen céllal kezeljük. Legyen ez önkéntes hozzájáruláson alapuló vagy törvény által meghatározott módon! Mindenképpen kezeljük az adatait biztonságosan, tegyünk meg mindent annak érdekében, hogy harmadik fél részére ne legyen hozzáférhető se vétlen, se szándékos módon. Úgy gondoljuk, hogy ha ezt a két alapvetést mindig szem előtt tartjuk, akkor már nagyon sokat tettünk a privát szféra biztonságának megóvása érdekében. Természetesen a fenti jogszabály ennél sokkal-sokkal többről szól és többet is szükséges tenni.

Belső szabályzat, külső tájékoztatás, cégen belüli oktatás, a jogszabálynak megfelelő adatkezelés, az adattörlések időbeni végrehajtásának lehetősége, tájékoztatásnak megfelelő adatok nyilvántartása, nyilvántartás vezetése a nyilvántartásról, a kikérésekről, a törlésről, adatszolgáltatásról, az automata döntéshozatalról, hogy ez kit mennyiben érint, …. Külön szabályzat a kamerás rendszerek üzemeltetéséről, valamint erről külön értesítések kihelyezése, …. Ugyanakkor a partner cégekkel szerződéseket kell kötni, hogy ők is megfelelnek a jogszabálynak, illetve ez csak egy kis kiegészítése a szerződéseknek, nem kell újat kötni, de meg kell győződni róla, hogy a társcég is megfelelően kezeli a részére átadott adatokat.

Tájékoztatni kell a dolgozókat, hogy milyen adatait kezeljük és azokat hogyan tesszük. Hova továbbítjuk, s ki férhet még majd hozzá. És ami a lényeg, hogy milyen célból tesszük mindezt. Vannak a jogszabálynak alapvetései, amiknek mindenképpen meg kell tudjunk felelni. Ezek az alapvetések hivatalosan az alapelvek. Van belőle egészen pontosan 7!

1. Jogszerűség, tisztességes eljárás és átláthatóság[5. cikk (1) a)]
   kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); 
2. Célhoz kötöttség[5. cikk (1) bek. b) pont]
   gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”); 
3. Adattakarékosság[5. cikk (1) bek. c) pont]
   az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”); 
4. Pontosság[5. cikk (1) bek. d) pont]
   pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság”); 
5. Korlátozott tárolhatóság[5. cikk (1) bek. e) pont]
   tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”); 
6. Integritás és bizalmas jelleg(adatbiztonság) [5. cikk (1) bek. f) pont]
   kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”). 
7. Elszámoltathatóság[5. cikk (2) bek.]
   Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). 

Ezek azok a dolgok, amiknek mindenképpen meg kell tudnunk felelni. Ha ez nincs, semmink sincs! Ha viszont ezeknek megfelelünk, más sokkal jobb a helyzet. Ha véletlen nincs is belső szabályzatunk, hisz nem kötelező, csak erősen javasolt, de megfelelünk az alapelveknek, már jók vagyunk, csak sokkal nehezebb bizonyítani, hogy megfelelünk, ha nincs központi szabályozás.

De menjünk is tovább vannak fogalmak, amik tisztázásra várnak. Nézzük milyen fogalmak is vannak ebben a témakörben:

4. cikk

Fogalommeghatározások 

E rendelet alkalmazásában: 

1.   „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható; 

2.   „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés; 

3.   „az adatkezelés korlátozása”: a tárolt személyes adatok megjelölése jövőbeli kezelésük korlátozása céljából; 

4.   „profilalkotás”: személyes adatok automatizált kezelésének bármely olyan formája, amelynek során a személyes adatokat valamely természetes személyhez fűződő bizonyos személyes jellemzők értékelésére, különösen a munkahelyi teljesítményhez, gazdasági helyzethez, egészségi állapothoz, személyes preferenciákhoz, érdeklődéshez, megbízhatósághoz, viselkedéshez, tartózkodási helyhez vagy mozgáshoz kapcsolódó jellemzők elemzésére vagy előrejelzésére használják; 

5.   „álnevesítés”: a személyes adatok olyan módon történő kezelése, amelynek következtében további információk felhasználása nélkül többé már nem állapítható meg, hogy a személyes adat mely konkrét természetes személyre vonatkozik, feltéve hogy az ilyen további információt külön tárolják, és technikai és szervezési intézkedések megtételével biztosított, hogy azonosított vagy azonosítható természetes személyekhez ezt a személyes adatot nem lehet kapcsolni; 

6.   „nyilvántartási rendszer”: a személyes adatok bármely módon – centralizált, decentralizált vagy funkcionális vagy földrajzi szempontok szerint – tagolt állománya, amely meghatározott ismérvek alapján hozzáférhető; 

7.   „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja; 

8.   „adatfeldolgozó”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel; 

9.   „címzett”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Azon közhatalmi szervek, amelyek egy egyedi vizsgálat keretében az uniós vagy a tagállami joggal összhangban férhetnek hozzá személyes adatokhoz, nem minősülnek címzettnek; az említett adatok e közhatalmi szervek általi kezelése meg kell, hogy feleljen az adatkezelés céljainak megfelelően az alkalmazandó adatvédelmi szabályoknak; 

10.   „harmadik fél”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak; 

11.   „az érintett hozzájárulása”: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez; 

12.   „adatvédelmi incidens”: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi; 

13.   „genetikai adat”: egy természetes személy örökölt vagy szerzett genetikai jellemzőire vonatkozó minden olyan személyes adat, amely az adott személy fiziológiájára vagy egészségi állapotára vonatkozó egyedi információt hordoz, és amely elsősorban az említett természetes személyből vett biológiai minta elemzéséből ered; 

14.   „biometrikus adat”: egy természetes személy testi, fiziológiai vagy viselkedési jellemzőire vonatkozó minden olyan sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, ilyen például az arckép vagy a daktiloszkópiai adat; 

15.   „egészségügyi adat”: egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról; 

16.   „tevékenységi központ”: 

a)

az egynél több tagállamban tevékenységi hellyel rendelkező adatkezelő esetében az Unión belüli központi ügyvitelének helye, ha azonban a személyes adatok kezelésének céljaira és eszközeire vonatkozó döntéseket az adatkezelő egy Unión belüli másik tevékenységi helyén hozzák, és az utóbbi tevékenységi hely rendelkezik hatáskörrel az említett döntések végrehajtatására, az említett döntéseket meghozó tevékenységi helyet kell tevékenységi központnak tekinteni;

 

b)

az egynél több tagállamban tevékenységi hellyel rendelkező adatfeldolgozó esetében az Unión belüli központi ügyvitelének helye, vagy ha az adatfeldolgozó az Unióban nem rendelkezik központi ügyviteli hellyel, akkor az adatfeldolgozónak az az Unión belüli tevékenységi helye, ahol az adatfeldolgozó tevékenységi helyén folytatott tevékenységekkel összefüggésben végzett fő adatkezelési tevékenységek zajlanak, amennyiben az adatfeldolgozóra e rendelet szerint meghatározott kötelezettségek vonatkoznak;

17.   „képviselő”: az az Unióban tevékenységi hellyel, illetve lakóhellyel rendelkező és az adatkezelő vagy adatfeldolgozó által a 27. cikk alapján írásban megjelölt természetes vagy jogi személy, aki, illetve amely az adatkezelőt vagy adatfeldolgozót képviseli az adatkezelőre vagy adatfeldolgozóra az e rendelet értelmében háruló kötelezettségek vonatkozásában; 

18.   „vállalkozás”: gazdasági tevékenységet folytató természetes vagy jogi személy, függetlenül a jogi formájától, ideértve a rendszeres gazdasági tevékenységet folytató személyegyesítő társaságokat és egyesületeket is; 

19.   „vállalkozáscsoport”: az ellenőrző vállalkozás és az általa ellenőrzött vállalkozások; 

20.   „kötelező erejű vállalati szabályok”: a személyes adatok védelmére vonatkozó szabályzat, amelyet az Unió valamely tagállamának területén tevékenységi hellyel rendelkező adatkezelő vagy adatfeldolgozó egy vagy több harmadik országban a személyes adatoknak az ugyanazon vállalkozáscsoporton vagy közös gazdasági tevékenységet folytató vállalkozások ugyanazon csoportján belüli adatkezelő vagy adatfeldolgozó részéről történő továbbítása vagy ilyen továbbítások sorozata tekintetében követ; 

21.   „felügyeleti hatóság”: egy tagállam által az 51. cikknek megfelelően létrehozott független közhatalmi szerv; 

22.   „érintett felügyeleti hatóság”: az a felügyeleti hatóság, amelyet a személyes adatok kezelése a következő okok valamelyike alapján érint: 

a)	az adatkezelő vagy az adatfeldolgozó az említett felügyeleti hatóság tagállamának területén rendelkezik tevékenységi hellyel;

 

b)	az adatkezelés jelentős mértékben érinti vagy valószínűsíthetően jelentős mértékben érinti a felügyeleti hatóság tagállamában lakóhellyel rendelkező érintetteket; vagy

 

c)	panaszt nyújtottak be az említett felügyeleti hatósághoz;

23.   „személyes adatok határokon átnyúló adatkezelése”: 

a)	személyes adatoknak az Unióban megvalósuló olyan kezelése, amelyre az egynél több tagállamban tevékenységi hellyel rendelkező adatkezelő vagy adatfeldolgozó több tagállamban található tevékenységi helyein folytatott tevékenységekkel összefüggésben kerül sor; vagy

 

b)

személyes adatoknak az Unióban megvalósuló olyan kezelése, amelyre az adatkezelő vagy az adatfeldolgozó egyetlen tevékenységi helyén folytatott tevékenységekkel összefüggésben kerül sor úgy, hogy egynél több tagállamban jelentős mértékben érint vagy valószínűsíthetően jelentős mértékben érint érintetteket;

24.   „releváns és megalapozott kifogás”: a döntéstervezettel szemben benyújtott, azzal kapcsolatos kifogás, hogy ezt a rendeletet megsértették-e, illetve hogy az adatkezelőre vagy az adatfeldolgozóra vonatkozó tervezett intézkedés összhangban van-e a rendelettel; a kifogásban egyértelműen be kell mutatni a döntéstervezet által az érintettek alapvető jogaira és szabadságaira, valamint adott esetben a személyes adatok Unión belüli szabad áramlására jelentett kockázatok jelentőségét; 

25.   „az információs társadalommal összefüggő szolgáltatás”: az (EU) 2015/1535 európai parlamenti és tanácsi irányelv (19) 1. cikke (1) bekezdésének b) pontja értelmében vett szolgáltatás; 

26.   „nemzetközi szervezet”: a nemzetközi közjog hatálya alá tartozó szervezet vagy annak alárendelt szervei, vagy olyan egyéb szerv, amelyet két vagy több ország közötti megállapodás hozott létre vagy amely ilyen megállapodás alapján jött létre. 

 Huhh! vannak alapelveink, tisztáztuk a fogalmakat. Meg kell határoznunk, hogy milyen adatokat kezelünk, milyen célból, milyen jogalapon. Megvagyunk? Kinek az adatát is kezeljük? Dolgozókét, ügyfelekét, partnerekét, …. No, ez kézimunka. Vizsgáljuk meg a céget, s határozzuk meg, hogy milyen célból kezelünk adatokat. Igen, célonként! Aztán azt, hogy ezen célokból kinek kezeljük az adatát? Igen, újra csak célonként! Aztán erről tájékoztassuk is, mégpedig célonként! Szépen, pontokba szedve: tároljuk az alábbi adataidat: – mert nálunk dolgozol, ebből a célból megőrizzük azt valameddig. Ebből kifolyólag ezen adataidat kiadjuk a bérszámfejtőnek, az apeh/nav-nak, mégpedig törvényi kötelezettségünk alapján, mely az alábbi jogszabályból ered: … és ha nem járulsz hozzá, ezeket az adatokat akkor is kezelnünk kell, hiába tiltakozol. 

És ezt végig kell járni az összes céllal és adattal. Nem lesz egyszerű feladat felépíteni egy ilyen adatbázist, de szükségszerű. Aztán azt is specifikálni kell, hogy cégen belül, ki milyen adathoz férhet hozzá. Teljesen jogos elvárás az, hogy tudja a dolgozó, hogy az adataihoz nem fér hozzá, csak a HR. Mégiscsak nonszensz lenne, ha boldog-boldogtalan olvasgathatná az összes adatát egy dolgozónak. Ezt biztosítani szükséges nem csak informatikai módszerekkel, hanem fizikai eszközökkel is. Minden cégnek a tőle elvárható módon, de védeni kell az illetéktelen szemektől ezen adatokat, információkat. Zárható helyiségben, zárható szekrényben, páncélszekrényben, vagy egyéb módon biztosított módon. Itt a jogszabályalkotó nem határozta meg pontosan, hogy miként, csak azt írja elő, hogy a tőle elvárható gondossággal.

Aztán ha már építgetünk és adatbázis, akkor biztosítani kell tudni, hogy ezekhez azok férjenek hozzá, akiknek a munkájuk elvégzéséhez az szükséges, és senki más. Adott esetben az ügyvezetőnek nem kell tudnia, hogy Juliska néninek milyen betegségei vannak! Ez a HR megfelelő embereire és a bérszámfejtésre tartozik, márha a berszámfejtésnek ez szükséges a munkájához. Ilyen például az üzemorvosi vizsgálat is. A cégnek csak a vizsgálati eredményekből 1, azaz egy adat szükségeltetik: megfelelt, vagy nem felelt meg az orvosi vizsgálaton a dolgozó. A részeredmények csak az orvosra és a dolgozóra tartozik, senki másra.

De térjünk vissza a GDPR-hoz….

szükséges tehát, hogy a partnerekkel olyan szerződést kössünk, mely kitér a GDPR-nak való megfelelésre. Nem kell túlzásba esni, térjünk ki rá egy – két sorban, hogy mindkét fél kijelenti, hogy a szabályozásnak megfelel, s foglalkozzunk a szerződésben a továbbiakban a lényeggel.

Ugyanakkor fontos, hogy cégen belül egy titoktartási nyilatkozattal kérjük fel a dolgozóinkat, hogy a tudomásukra jutott személyes információkat nem adják ki harmadik fél részére, ezzel is tudatosítva bennük azt, hogy innentől kezdve ez nem játék, vegyék csak komolyan az adatvédelmi rendeletben foglaltakat.

Hirtelen ennyi ami nagyon szükséges. Ha van weboldalunk, és ott kezelünk személyes adatot, pl. alkalmazunk cookie-t a gépek azonosítására, akkor egy figyelmeztetés keretében tájékoztassuk a látogatót, hogy ez történik. Itt linkeljük be az ide vonatkozó szabályzatunkat, ami az oldalon található, s ott fejtsük ki, hogy milyen cookie, milyen követés, mire használjuk, mi történik az oldalainkon. Ha nincs regisztráció, akkor egyszerű, ha van, akkor kicsit bonyolultabb. Írjuk le mi történik, hova kerül a regisztráció során megadott személyes adat, azt hogyan kezeljük, … persze mindent megteszünk azok védelmében (s ezt gondoljuk is komolyan!), blablabla.

Ha történetesen webáruházunk is van, akkor meg végképp úgy kezeljük az adatokat, ahogy az a nagy könyvben meg van írva! = legyen nagykönyvünk, s írjuk bele.

És mi van akkor, ha baj van? Hát baj. Mondják ezt ilyenkor legtöbben. Kétségbeesés, kapkodás. Legyünk felkészültek, s hagyjuk másra a kétségbeesést és a kapkodást. Írjunk vészforgatókönyvet. Jelöljük ki előre az embereket, akiket ilyenkor értesítünk, s vizsgáljuk ki, hogy mi is történt. A vizsgálatról készüljön jegyzőkönyv! Állapítsuk meg az eset súlyosságát, komolyságát. Ha súlyosnak ítéljük meg a helyzetet, jelentsük a NAIH felé is le! Ezt a vizsgálatot végző csoport vezetője, vagy ha van, akkor az adatvédelmi tisztviselő tegye meg. Ha van a cégnél adatvédelmi tisztviselő, akkor érdemes neki regisztrálnia magát a NAIH-nál. Így a friss hírekről, konferenciákról, egyebekről első kézből fog értesülni.

És természetesen erről is vezessünk nyilvántartást: mikor, milyen adatvédelmi incidens történt. Ha adatot kell szolgáltatni valamely hatóságnak, akkor arról is. Ha magánszemély keres meg minket, hogy adjuk ki részére az általunk kezelt adatokat, … no mit teszünk ilyenkor? Kiadjuk, s beírjuk a nyilvántartásba, hogy ekkor és ekkor ez és ez a személy kikérte az adatait, s mi ki is adtuk neki, az általa megadott módon. Lehetőség szerint nyomtatásban, a kezébe, miután ellenőriztük, hogy valóban Ő az a személy.

Szóval mindenről nyilvántartást vezetünk, még a nyilvántartásról is! Ezt mindenki belátása szerint vezeti papíron vagy elektronikusan, a lényeg ha elő kell venni, akkor legyen elővehető.

Nem volt még szó a kamerákról, a hatásvizsgálatról, a mérlegelési szempontokról, és még sokminden másról, de az túlmutat ezen irományon. Ellenben a legtöbb cégnek ennyi bőven elegendő, ha megvan. óóóóóó és igen, a lényeget majdnem kifelejtettem itt a papírmunkába süllyedve. A leglényegesebb mozzanat: a GDPR nem pusztán papírgyártás és szabályzat gyártás, irogatás, sokkal inkább hozzáállás! Mondhatni felfogás, “életforma”, hogy tudatosan kezeljük mind a saját, mind a többiek személyes adatát. A lényege, hogy ezentúl rendet kell rakni, s rendet kell tartani az adatok között. Tudnunk kell, hogy milyen és mennyi adatunk van. A felesleges adatokat ki kell kukázni (természetesen az adatvédelemmel összhangban!), s az élő adatokat pedig frissen, ropogósan tartani. Jó is lenne ehhez egy megfelelő program, ami tudja helyettünk, hogy kiről mit, milyen célból, mennyi ideig tárolunk. Statisztika végett ha már nem tárolhatjuk, akkor anonimizálná azokat, hogy a visszamenőleges fejlődést és egyebeket továbbra is elérjük, ….

hasznos információkat kaphatunk még az iparkamara honlapján is a témában.