Hatásvizsgálat az új adatvédelmi rendeletben
Az Európai Parlament és a Tanács 2016/679 Rendelete 2018. május 25-től alkalmazandó hazánkban. A Rendelet egy új kötelezettséget állapít meg az adatkezelőkre vonatkozóan az adatvédelmi hatásvizsgálat intézményének bevezetésével. A Rendelet szerint olyan esetekben, amikor valószínű¬síthető, hogy az adatkezelési műveletek magas kockázattal járnának a természetes személyek jogaira és szabadságaira nézve, az adatkezelőnek az e kockázat forrását, jellegét, egyediségét és súlyosságát felmérő adatvédelmi hatásvizsgálatot kell majd lefolytatnia. Hatásvizsgálatra van szükség pl. az autópálya-forgalom megfigyelésekor, de nem jár a hatásvizsgálathoz szükséges adatvédelmi kockázattal az újságkivonatok meghatározott címlistára történő küldése.
Az előírt hatásvizsgálat egy olyan eljárást foglal magában, amely megfelelő leírást ad az adott adatkezelésről, így azt elemzi szükségesség-arányosság szempontokból és felméri a vele járó és a természetes személyek jogait és jogos érdekeit érintő kockázatokat. Az ezek alapján elkészített hatásvizsgálat megállapításait figyelembe kell venni annak meghatározásakor, hogy a személyes adatok kezelése megfelel-e a Rendeletben foglaltaknak. Ha az adatvédelmi hatásvizsgálat szerint az adatkezelési műveletek túl magas kockázattal járnak (pl. azt az adatkezelő nem képes a rendelkezésre álló technológia alapján megfelelő intézkedésekkel mérsékelni), az adatkezelés megkezdése előtt az adatvédelmi hatósággal konzultálni kell.
A hatásvizsgálatnak nem feltétlenül kell egyetlen adatkezelésre irányulnia. A gazdaságosság és hatékonyság biztosítása érdekében a Rendelet lehetővé teszi, hogy akár több adatkezelő, több adatkezelését fedje le egyetlen hatásvizsgálat. Fontos szempont, hogy az adatkezelések természetük, terjedelmük, kontextusuk és céljaik tekintetében megfelelő hasonlósággal bírjanak. Ennek példája lehet egy vasúttársaság, aki valamennyi állomáson videokamerás megfigyelőrendszert akar létrehozni. A hatásvizsgálatot az adatkezelések hasonlóságára tekintettel elégséges egyszer lefolytatni az összes adatkezelésre vonatkozóan.
A hatásvizsgálat lefolytatását a Rendelet abban az esetben teszi kötelezővé, ha valószínű-síthető, hogy az adatkezelési műveletek magas kockázattal járnának a természetes személyek jogaira és szabadságaira nézve. Magas kockázattal jár például a kórházak egészségügyi és genetikai adatainak kezelése vagy egy vállalatnál a munkavállalók teljes körű megfigyelése.
A valószínűsíthető adatvédelmi kockázatok megállapításánál az alábbi körülményeket kell figyelembe vennie az adatkezelőnek:
(i) sor kerül-e a kezelt adatok értékelésére;
(ii) az adatkezelésnek van-e joghatása az érintett természetes személyre;
(iii) szisztematikus megfigyelés keretében történik-e az adatfelvétel;
(iv) az érintett személyes adatok különleges adatnak minősülnek-e;
(v) nagyarányú adatkezelésről van-e szó;
(vi) a kezelt adatok tekintetében történik-e adattovábbítás.
Amennyiben a fenti szempontok szerint valószínűsíthető az adatkezelés adatvédelmi kockázata, a hatásvizsgálatot egy meghatározott szempontrendszerű eljárás keretében kell lefolytatni. A hatásvizsgálatra az adatkezelés megkezdése előtt kell sor kerülnie. Így a közösségi médiaprofilokkal kapcsolatos adatgyűjtés például csak egy ilyen hatásvizsgálat lefolytatása után veheti kezdetét.
Főszabály szerint a hatásvizsgálatra az adatkezelő kötelezett, bizonyos esetekben viszont a kötelezettek köre kiegészül az adatfeldolgozóval és az adatvédelmi hatósággal. A hatásvizsgálatnak ki kell terjednie az adatkezelés pontos leírására, mely meghatározza az adatkezelés célját, a szükségesség-arányosság teszt szerinti vizsgálatot, az érintett jogokat és szabadságokat, valamint a hatásvizsgálat módszertanát.
Az új európai uniós adatvédelmi rendelet által 2018 májusától bevezetésre kerül az adatvédelmi hatásvizsgálat intézménye. A hatásvizsgálati kötelezettség fogja biztosítani, hogy az adatkezelők által megvalósított adatkezelési eljárások a Rendelet adatvédelmi szabályainak megfeleljenek, és hogy a magas kockázattal járó adatkezelésekre az adatkezelők külön figyelmet fordítsanak.
Adatvédelmi incidensek kezelése
A GDPR „adatvédelmi incidens”-ként definiálja a biztonság olyan sérülését, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
Az adatvédelmi incidenst a cég indokolatlan késedelem nélkül, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, be kell, hogy jelentse az illetékes felügyeleti hatóságnak, kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés nem történik meg 72 órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló indokokat is.
Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelőnek indokolatlan késedelem nélkül tájékoztatnia kell az érintettet az adatvédelmi incidensről.
A felügyeleti hatósághoz intézett bejelentésben legalább:
a) ismertetni kell az adatvédelmi incidens jellegét, beleértve – ha lehetséges – az érintettek kategóriáit és hozzávetőleges számát, valamint az incidenssel érintett adatok kategóriáit és hozzávetőleges számát;
b) közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhető¬ségeit;
c) ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket;
d) ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket.
Az adatkezelőnek minden esetben nyilván kell tartania az adatvédelmi incidenseket, feltüntetve az adatvédelmi incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket. E nyilvántartás lehetővé teszi, hogy a felügyeleti hatóság ellenőrizze a GDPR követelményeinek való megfelelést.
Adatvédelmi tisztviselő
A GDPR rendelkezései szerint meghatározott körülmények esetén adatvédelmi tisztviselőt kell kijelölniük azoknak a cégeknek, amelyek a GDPR által meghatározott típusú adatkezelési tevékenységeket végeznek, ezeken az eseteken túl pedig önkéntesen jelölhető ki adatvédelmi tisztviselő.
Az adatvédelmi tisztviselő kijelölése minden olyan esetben kötelező, amikor az adatkezelést közfeladatot ellátó szerv végzi (pl. a tömegközlekedés, a víz- és energiaellátás, a közúti infrastruktúra, a közszolgálati műsorszolgáltatás terén működő természetes vagy jogi személyek, de ide tartoznak az állami tulajdonban álló, illetve az állami szervek által alapított gazdasági társaságok és az önkormányzati szervek és gazdasági társaságok is), ha az adatkezelő fő üzleti tevékenysége olyan adatkezelési műveleteket foglal magában, amelyek jellegüknél fogva az érintettek rendszeres és szisztematikus, nagymértékű megfigyelését teszik lehetővé (pl. vagyonvédelmi cég), valamint ha az adatkezelő fő tevékenysége szerint nagy számban kezel különleges adatot vagy bűnügyi adatot.
Adatvédelmi tisztviselőnek kinevezhető megfelelő mennyiségű tapasztalattal rendelkező saját alkalmazott vagy megbízott adatvédelmi szakértő is; a lényeg az, hogy szakmai rátermettsége és különösen az adatvédelmi jog és gyakorlat szakértői szintű ismerete alkalmassá tegye a pozíció betöltésére. Az adatvédelmi tisztviselő elérhetőségét az adatkezelőnek közzé kell tennie és a felügyeleti hatóság (NAIH) felé is be kell jelentenie.
Az adatvédelmi tisztviselőnek olyan értelemben függetlennek kell lennie, hogy utasításokat senkitől nem fogadhat el, feladata kapcsán el nem bocsátható, szankcióval nem sújtható, közvetlenül a legfelsőbb vezetőnek kell, hogy felelősséggel tartozzon és az érintettnek lehetőséget kell biztosítani, hogy közvetlenül hozzá forduljon. Más feladatokat is elláthat, ha ez nem eredményez összeférhetetlenséget.
Az adatkezelés jogalapja
A fennálló szabályozáshoz képest a GDPR egyik legjelentősebb újítása az, hogy a személyes adatok jogszerű kezelésének eseteit kibővíti, így 2018. május 25. napjától már nem csak akkor jogszerű a személyes adatok kezelése, ha az törvényen vagy az érintett hozzájárulásán alapul, hanem akkor, ha az alábbi feltételek közül legalább egy teljesül az adatkezelés vonatkozásában:
a) ahhoz az érintett hozzájárulását adta;
b) az érintettel megkötött szerződés teljesítéséhez vagy annak előkészítéséhez szükséges;
c) az adatkezelőre vonatkozó, uniós vagy tagállami jogi kötelezettség teljesítéséhez szükséges;
d) az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;
e) közérdekből elvégzendő feladat végrehajtásához vagy hivatali hatáskör gyakorlásához szükséges;
f) az adatkezelő vagy az adatokat megszerző harmadik fél jogszerű érdekének érvényesítéséhez szükséges, feltéve, hogy az érintett érdekei vagy alapvető szabadságai ezeknél az érdekeknél nem magasabb rendűek.
A GDPR részletesebben rögzíti a jogszerű hozzájárulás feltételeit. Fontos, hogy az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult. Érvényes hozzájárulás adható az érintett akaratának önkéntes, konkrét, megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása útján, akár nyilatkozat, akár a megerősítést félreérthetetlenül kifejező cselekedet formájában. Az érintett bármikor jogosult visszavonni a hozzájárulását.
Mi is az a GDPR?
A GDPR (General Data Protection Regulation), vagyis az Általános Adatvédelmi Rendelet a korábbi adatvédelmi irányelvet váltja fel. A változás már ennek kapcsán is megfigyelhető, ugyanis míg egy irányelvet a tagállamoknak még jogrendszerükbe át kell ültetniük, addig egy rendelet rögtön, közvetlenül alkalmazandó. Így Magyarországon a szigorítás 2018. május 25-től várható.
A reform az adatvédelmi jog harmonizálását, az adatvédelmi szabályzatok a jelen kor technológiájához igazítását, valamint a személyes adatok magasabb szintű védelmét tűzte ki céljául. Az uniós polgárok adatvédelemhez fűződő jogait így egy egységes, és szilárd szabályozás fogja biztosítani.
Lényeges változások
A GDPR változtatásai között már a területi hatályt érintően is újdonságok figyelhetőek meg. A rendelet az Európai Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó tevékenységére is kiterjeszti előírásait, amennyiben azok az EU-ban tartózkodó érintettek számára nyújtanak szolgáltatást vagy az érintettek EU-ban tanúsított viselkedését figyelik meg.
Alap követelménye, hogy minden adatkezelő cég tevékenysége átlátható legyen. Az adatkezeléshez egyértelmű hozzájárulás szükséges, és minden érintettnek joga lesz az „elfeledtetéshez”, tehát kérheti az adatkezelőtől, hogy törölje a rá vonatkozó személyes adatokat, akkor ha pl. az adatkezelés jogellenes volt vagy az érintett visszavonja hozzájárulását.
Adatvédelmi tisztviselőt kell kijelölni minden olyan esetben, amikor az adatkezelést közhatalmi szervek végzik, vagy az érintettek rendszeres és nagymértékű megfigyelése zajlik, vagy különleges kategóriájú adatokat kezelnek. E tisztség betöltőjétől az adatvédelmi jog és gyakorlat szakértő szintű ismeretét várják el.
Az adathordozhatósághoz való jog révén az érintett jogosult arra, hogy a rá vonatkozó, általa az adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja. Ezzel még inkább hangsúly került az egyszerűsítésre és átjárhatóságra. Az érintett jogosult arra, hogy a személyes adatok adatkezelők közti közvetlen továbbítását kérje, ha ez technikailag lehetséges.
A rendelet létrehozta az Európai Adatvédelmi Testületet, amelynek feladatai közé tartozik többek között a szabályok betartásának ellenőrzése és biztosítása, tanácsadás, valamint éves jelentéskészítés az adatkezeléseket illetően.
Szükséges teendők
A rendelet egyik legfontosabb része, hogy igen kimagasló szankciókkal sújtja azon vállalatokat, amelyek nem felelnek meg a rendeletben foglaltaknak, így az adatkezelőkre kiróható büntetés akár a 20 millió EUR-t vagy globális éves forgalmuk 4%-át is elérheti.
A vállalkozásoknak szükséges az előírásoknak megfelelő belső szabályzatot, és eljárást kialakítaniuk, az adatvédelmi incidensekről belső nyilvántartást vezetniük, és azokról a hatóságot tájékoztatniuk – mindezt 72 órán belül.
A szabályzatoknak minden esetben transzparensnek, és könnyen elérhetőnek kell lenniük. Már az elkészítésük során figyelembe kell venni a védelmi előírásokat. Az adatkezeléshez szükséges hozzájárulások megléte kiemelkedően fontos, hiszen egy probléma felmerülése esetén a bizonyítás az adatkezelőt terheli.
Az új adatvédelmi rendeletről és a GDPR-ról dióhéjban
Vállalkozások és a reform
A digitális piac egyik legfontosabb valutája az adat, melynek gyűjtése, elemzése és továbbadása hatalmas gazdasági jelentőséggel bír. Az uniós reformcsomag felismeri az egységes digitális piac lehetőségeit, és ennek megfelelően egyszerűsíti és modernizálja az adatvédelmi szabályokat.
Mire kell figyelnie egy vállalkozásnak az új rendelettel kapcsolatban?
Belső adatvédelmi szabályzat elkészítése
A rendelet 5. cikk (2) bekezdésében rögzített elszámoltathatóság elve magával vonja, hogy az adatkezelést folytató vállalkozások az adatvédelmi előírásoknak megfelelő belső szabályzatot és eljárást alakítsanak ki, melyben rögzítésre kerülnek az adott adatkezelés sajátosságaihoz igazodó technikai és szervezési előírások. Az adatkezeléssel kapcsolatos belső előírásokat az illetékes hatóság kérésére be kell tudni mutatnia az adatkezelőnek.
Bejelentési kötelezettség adatvédelmi incidensek esetén
A rendelet 33-34. cikke rendelkezik az adatvédelmi incidensekre vonatkozó szabályokról. Az incidensekkel kapcsolatos elsődleges kötelezettsége a vállalkozásnak, hogy azokról belső nyilvántartást vezet, és az incidenst az tudomásszerzéstől számított 72 órán belül az adatvédelmi hatóságnak bejelenti és részletesen tájékoztatja a körülményekről. Amennyiben az adatvédelmi incidens mags kockázattal jár, az érintetteket tájékoztatni kell az incidens jellegéről és kockázatairól, valamint az adatvédelmi tisztségviselő elérhetőségéről.
Adatvédelmi tisztviselő kijelölése
A vállalkozás köteles adatvédelmi tisztviselőt kijelölni, ha a fő tevékenysége olyan adatkezelési műveletet foglal magában, amely jellegénél fogva az érintettek rendszeres és szisztematikus, nagymértékű megfigyelését teszik szükségessé. Az adatvédelmi tisztviselő többek között tájékoztat és szakmai tanácsot ad a vállalkozás és az alkalmazottak részére az adatvédelmi kötelezettségeikkel; ellenőrzi az adatvédelmi rendelkezéseknek való megfelelést, illetve együttműködik a felügyeleti hatósággal.