Adatvédelmi átvilágítás
Annak megállapítására, hogy adott cég adatkezelése megfelel-e a GDPR előírásainak, célszerű egy átfogó, az adatkezelés minden folyamatára kiterjedő adatvédelmi átvilágítást végezni, így a hiányosságok egyszerűen feltárhatóak.
Az adatvédelmi átvilágításrólJogszabályi megfeleltetés
Az adatvédelmi átvilágítás során feltárt hiányosságok ismeretében kezdhető meg azoknak a dokumentumoknak az elkészítése, illetve egyéb intézkedések megtétele, amelyeket a GDPR kötelező vagy – igény esetén – ajánlott jelleggel ír elő.
A jogszabályi megfeleltetésrőlAdatvédelmi oktatás
A feltárt hiányosságok orvoslása valamint a kidolgozott dokumentáció (pl. adatvédelmi szabályzat) alkalmazásának elősegítéséhez az adatvédelmi átvilágítás záró fázisaként a cég munkavállalóinak, alkalmazottainak egy célzott, összefoglaló oktatást javasolt tartani.
Az adatvédelmi oktatásrólÚj adatvédelmi rendelet lépett hatályba 2018-tól az Európai Unióban. A négy éves tárgyalássorozat végeztével egy szigorított szabályozást bevezető rendelet született meg, amely Magyarországra nézve is radikális változásokat eredményez. A GDPR (General Data Protection Regulation), vagyis az Általános Adatvédelmi Rendelet a korábbi adatvédelmi irányelvet váltja fel. A változás már ennek kapcsán is megfigyelhető, ugyanis míg egy irányelvet a tagállamoknak még jogrendszerükbe át kell ültetniük, addig egy rendelet rögtön, közvetlenül alkalmazandó. A reform az adatvédelmi jog harmonizálását, az adatvédelmi szabályzatok a jelen kor technológiájához igazítását, valamint a személyes adatok magasabb szintű védelmét tűzte ki céljául. Az uniós polgárok adatvédelemhez fűződő jogait így egy egységes, és szilárd szabályozás fogja biztosítani.
Az adatfeldolgozókra vonatkozóan közvetlen felelősségi szabályt állapít meg a GDPR. Így az adatfeldolgozóknak írásbeli nyilvántartást kell vezetniük a feldolgozói tevékenységükről, meghatározott esetekben EU-n belüli képviselőt vagy adatvédelmi tisztviselőt kell megbízniuk, illetve értesítési kötelezettségük van az esetleges adatvédelmi incidensek bekövetkezése esetén.
A magas adatvédelmi kockázatú (pl.: új technológiákat igénybevevő) tevékenységeket végző adatkezelőknek hatékony és célratörő eljárási és intézkedési rendet kell megállapítaniuk, és ezzel összefüggésben adatvédelmi hatásvizsgálatot kell lefolytatniuk a kockázatok valószínűségéről és súlyosságuk fokáról, különös tekintettel a nagyszabású adatkezelésekre.
Újraszabályozásra kerül az adatvédelmi incidensek területe. Az adatkezelő ezentúl köteles 72 órán belül valamennyi adatvédelmi incidensről értesíteni az adatvédelmi hatóságot, kivéve ha nem jár kockázattal. Bizonyos esetekben az érintettek tájékoztatása is szükséges.
Meghatározott körülmények esetén az adatkezelő cégeknek adatvédelmi tisztviselőt kell kijelölniük. Az adatvédelmi tisztviselő kijelölése minden olyan esetben szükséges, amikor az adatkezelést közfeladatot ellátó szerv végzi, vagy ha az adatkezelő fő tevékenysége olyan adatkezelési műveleteket foglal magában, amelyek jellegüknél fogva az érintettek rendszeres és szisztematikus, nagymértékű megfigyelését teszik lehetővé.
A GDPR az adatkezelők számára megfelelő intézkedések megtételét írja elő annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó valamennyi információt és minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon kell megadni, de az érintett kérésére szóbeli tájékoztatás is nyújtható.
A GDPR-ben rögzített elszámoltathatóság elve magával vonja, hogy az adatkezelést folytató vállalkozások az adatvédelmi előírásoknak megfelelő belső szabályzatot és eljárást alakítsanak ki, melyben rögzítésre kerülnek az adott adatkezelés sajátosságaihoz igazodó technikai és szervezési előírások. Az adatkezeléssel kapcsolatos belső előírásokat az illetékes hatóság kérésére be kell tudni mutatnia az adatkezelőnek.
A GDPR szigorítja az adatkezelőkre vonatkozó felelősségi szabályokat. Az adatkezelőknek többek között kötelezően vezetniük kell bizonyos adatkezelésre vonatkozó dokumentációt, hatásvizsgálatot kell készíteniük az adatkezelési kockázattal járó tevékenységeikről, valamint tudatosan és tervezetten törekedniük kell az adatvédelmi elvek érvényesítésére, így például az adatminimalizálás betartására.
A GDPR hangsúlyt fektet a tisztesség és átlátható adatkezelés elvére. Eszerint az adatfelvételtől kezdve biztosítani kell az adatkezelés során az érintettet megillető jogok érvényesülését. Itt fontos kiemelni, hogy a jelenlegi érintetti jogokról szóló tájékoztatók revíziója lesz szükséges, tekintettel arra, hogy a GDPR egyrészt többletkötelezettségeket állapít meg az adatkezelők felé, másrészt többletjogokat biztosít az érintettek részére.
A közös jog érvényesítése érdekében bevezetésre kerül az egyablakos ügyintézés az adatvédelem területén, így egyetlen hatóság fogja felügyelni az adatvédelemmel kapcsolatos ügyeket. Ez meggyorsítja az adatvédelmi eljárásokat, és biztosítja a következetes döntéshozatalt. Az olyan nagyvállalat, amely több országban is működik, csak egy állam adatvédelmi hatóságának felügyelete alatt áll majd. Ezt a főhatóságot a cég székhelye határozza meg. A rendszer jelentősen csökkenti a vállalatok adminisztratív költségét, és megkönnyíti a területi diverzifikációt.
A GDPR szigorítja az adatvédelmi szabályok megsértése esetén kiszabható szankciókat. A GDPR 2018-as hatályba lépését követően az adatkezelőkre kiróható bírság akár a 20 millió EUR-t vagy globális éves forgalmuk 4%-át is elérheti.
A 2018 májusától alkalmazandó új adatvédelmi rendelet (General Data Protection Regulation, a továbbiakban: ’GDPR’) az Európai Unión kívüli olyan adatkezelőkre és adatfeldolgozókra is kiterjed, akiknek szolgáltatása érinti az EU-s állampolgárokat. Az ilyen adatkezelőknek szükségszerűen gondoskodniuk kell majd EU-n belüli képviseletről.
A GDPR szerint továbbra is főszabály marad az érintetti hozzájárulás, mint az adatkezelés jogalapja. Az adatkezelést úgy kell kialakítani, hogy az érintett bármikor könnyen visszavonhassa hozzájárulását. A GDPR kiemeli, hogy a direkt marketing tevékenység esetén az érintettet külön tájékoztatni szükséges a tiltakozás jogáról.