Az adatbiztonság megfelelő szintje kapcsán értelemszerűen általános mércéről nem beszélhetünk, a megfelelő intézkedések körét a tudomány és a technológia állása, a megvalósítás költségei, az adatkezelés jellege, hatóköre és körülményei, valamint a kapcsolódó kockázatok köre, és az adott szervezet sajátosságai határozzák meg. Így eltérő követelmények támaszthatók egy banki szolgáltatóval és egy kiskereskedelmi termékeket forgalmazó webáruházzal, valamint megint más egy alapvetően fogyasztói adatokat és egy jellemzően céges partnerek kapcsolattartói adatait kezelő szervezettel szemben is.
Ésszerű mértékig ugyancsak elvárható az adatkezelőktől az általuk alkalmazott adatbiztonsági intézkedések átláthatóvá tétele. Ennek tipikusan az adatvédelmi tájékoztató ad keretet, azonban egyéb szabályzatokban (például: IT biztonsági vagy jelszókezelési szabályzat) vagy felületeken (például egy adott applikáción belül) is sor kerülhet adatbiztonsági intézkedések részletezésére. Erre tekintettel azonban elengedhetetlen, hogy az érintettek (ideértve adott esetben a fogyasztókat, szerződéses partnerek eljáró kapcsolattartóit, munkavállalókat) megértsék az alkalmazott intézkedéseket és alkalmazásuk pontos célját, valamint azt is, hogy azok hogyan járulnak hozzá a megfelelő adatbiztonsági szint kialakításához. Így a kevéssé közérthető, túlságosan technikai megfogalmazások (például: „ügyfélszegmentáció”) vagy általános szófordulatok (például: „szimulációk elvégzése”) általában kerülendők. Adott esetben azonban akár hasonló szövegezés is elfogadható lehet, például egy bizonyos munkavállalói csoportnak szóló tájékoztató esetén, ha ezen kifejezések számukra az adott munkahelyen vagy a munkakörüknél fogva egyértelmű jelentéssel bírnak.
A személyes adatokat tároló rendszerek és fájlok védelme érdekében ugyancsak kifejezetten ajánlott lehet az informatikai rendszerekhez való hozzáférések naplózása, külön felhasználói fiókok alkalmazása, esetleg többszintű hozzáférési jogosultságok bevezetése, amely így lehetővé teheti, hogy kizárólag az érintett adatkört kezelő munkatársak férhessenek hozzá a személyes adatokhoz.
Ugyancsak fontos szempont a rendszerekhez és különböző IT eszközökhöz tartozó jelszavak minimumkövetelményeinek meghatározása, esetleg a jelszón kívül többlet-információk vagy egyéb biztonsági intézkedések megkövetelése (például: kétlépcsős azonosítás) is. A francia adatvédelmi hatóság javaslata szerint, például, amennyiben kizárólag jelszó használatával férhet hozzá a felhasználó az adott rendszerhez vagy eszközhöz, úgy minimum 12 karakter, míg a hozzáférés korlátozása (pl. CAPTCHA alkalmazása) esetén legalább 8 karakter, további információ kérése esetén – a hozzáférés fentiek szerinti korlátozása mellett – pedig legalább 5 karakter hosszúságú jelszó követelendő meg a rendszereket vagy eszközöket használó munkatársaktól. Az angol adatvédelmi hatóság ezzel szemben általában legalább 10 karakter hosszúságú jelszó megkövetelését tartja elégségesnek. Ezen meglátások természetesen akár a magyarországi adatkezelők és adatfeldolgozók számára is vonalvezetést jelenthetnek.
A napi e-mailezés esetén szintén fontos szempont az óvatosság, így kifejezetten ajánlott megoldás lehet titkosított kapcsolat alkalmazása, a fontosabb információk esetén pedig a tömörített, jelszóval védett formátumban való továbbítás is, így garantálva a tartalom biztonságát.
A technikán túl – az adatbiztonság emberi oldala
Természetesen a technikai hiányosságokon túl minden szervezet emberi oldala is komoly biztonsági kockázatot jelenthet, amennyiben a munkavállalók nem ismerik ki magukat az adott szervezet adatkezelési gyakorlatában, valamint, ha nem rendelkeznek kellő ismeretekkel az adatbiztonsági intézkedéseket illetően. Ezért is elengedhetetlen, hogy a munkavállalók már a munkaviszony kezdetén kellő felkészítést kapjanak, és tisztában legyenek azzal is, hogy felmerülő adatvédelmi és adatbiztonsági témájú kérdéseikkel kihez fordulhassanak.
A megfelelő felkészítés formájára és módszereire nincs kötelező előírás, ezt mindig az adatkezelési műveletek sajátosságai, valamint az adatkezelői szervezet gyakorlata határozzák meg. Megfelelő lehet például az írásbeli felkészítő anyag mellett szóbeli tréning tartása, de különböző e-learning anyagok elkészítése, ellenőrző kérdéssor összeállítása is. Fontos azonban, hogy az irányadó szabályok mechanikus megkövetelésén túl az adatkezelő vagy az adatfeldolgozó a gyakorlatban is ellenőrizze, hogy az adatkezelésben ténylegesen közreműködő munkavállalói valóban elsajátították-e a szükséges ismereteket, a körülmények megváltozása esetén (például: új technológia bevezetése, új adatkezelési műveletek folytatása, az adott munkatárs új munkakörbe helyezése) vagy igény szerint pedig újabb oktatást szervezzen az adatkezelésben résztvevő személyzet részére. Azon szervezetek esetén pedig, ahol adatvédelmi tisztviselő is kijelölésre került, érdemes az adatvédelmi tisztviselőt is bevonni az oktatóanyagok összeállításába, valamint a belső felkészítés megszervezésébe.
Mindemellett ugyancsak erősen javasolt már a kezdetektől követhető és a munkavállalók számára jól érthető szabályozási kultúrát kialakítani. Gyakori hibának számít például nehezen áttekinthető vagy az adatvédelmi szabályokat csak elnagyoltan kezelő belső szabályzatok közzététele, melyek sokszor nincsenek is összhangban egymással, vagy a helyi viszonyokat figyelmen kívül hagyva pusztán a külföldi anyacég központi szabályzatainak leképezései. Az effajta megoldások helyett célszerű felhasználóbarát nyelvezettel megírt szabályzatokat készíteni, amelyek mind az elektronikus rendszerek alkalmazását, mind a papíralapú adatkezelési műveleteket és a napi adatkezelési gyakorlatot is átfogják, és kellő hangsúlyt helyeznek az adatok biztonságos kezelésére. E körben – különösen az IT eszközök magáncélú használatának vagy a munkavállalók saját eszközei üzleti célú használatának engedélyezése esetén – célszerű minél inkább elkerülni az üzleti adatok és a munkavállalók magáncélú adatainak keveredését, kiemelt hangsúlyt helyezve az adattárolási szabályok pontos megfogalmazására, valamint az ellenőrzés lépéseinek fokozatos felépítésére.
Az adatbiztonság esetében ugyancsak komoly kockázati tényezőt jelenthet egy-egy felelőtlen szerződéses partner, aki nem megfelelően kezeli a részére továbbított vagy hozzáférhetővé tett adatokat. Az ebből származó következmények pedig súlyos károk és az adatkezelőt érő reputációs veszteség tárházai lehetnek. Még a szerződéses kapcsolat létrejötte előtt tisztázandó, hogy az adott szerződéses partner adatkezelőként vagy adatfeldolgozóként fog-e eljárni – attól függően, hogy az adatkezelés célját és eszközeit ténylegesen meghatározza-e vagy csupán az adatkezelő szerződéses partner nevében, utasításai szerint folytatna adatkezelést –, ez szabja meg ugyanis, hogy a feleknek milyen kötelezettségeik is lesznek majd az adatkezeléssel kapcsolatban, illetve, hogy hogyan alakul majd a felelősségük, és hogy milyen körben is kell majd tájékoztatniuk az érintetteket.
Ugyancsak ajánlott még a szerződéskötés előtt, az esettől függően (például: határozatlan vagy hosszabb határozott idejű szerződéses kapcsolat esetén) pedig a szerződéses kapcsolat alatt is ellenőrizni a partner által alkalmazott adatbiztonsági intézkedéseket. Erre jó megoldás lehet egy kérdőív összeállítása az alkalmazott intézkedések köréről, kifejezetten ajánlott továbbá a szerződésben részletes ellenőrzési és együttműködési kötelezettségek és jogok rögzítése, valamint egy esetleges adatvédelmi vagy egyéb incidens esetén a felek által megteendő lépések pontos felvázolása.
Az adatkezelőkkel szemben alapvető elvárás az adatvédelmi incidensek megfelelő kezelése, szükség esetén az adatvédelmi hatóság, valamint az érintettek tájékoztatása. Adatvédelmi incidens alatt a biztonság olyan sérülését értjük, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
Az adatvédelmi incidenst az adatkezelőnek késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, be kell jelentenie az illetékes adatvédelmi hatóságnak, kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve (például: titkosított USB kulcs ellopása, ahol az adatokhoz nem férhetnek hozzá illetéktelenek). Ha pedig az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve (például: ügyféladatok nagy számban történő kiszivárgása és nyilvánosságra hozatala), úgy az adatkezelő – a GDPR szerinti kivételek hiányában – indokolatlan késedelem nélkül köteles tájékoztatni az érintettet az adatvédelmi incidensről. Ilyen kivételnek minősül a megfelelő technikai és szervezési védelmi intézkedések végrehajtása, különösen ideértve az adatokat jogosulatlan személyek számára értelmezhetetlenné tevő intézkedéseket (például: titkosítás), továbbá ugyancsak kivételnek tekintendő az olyan további intézkedések meghozatala is, amelyek biztosítják, hogy az érintett jogaira és szabadságaira jelentett magas kockázat a továbbiakban valószínűsíthetően nem valósul meg (például: az adatszivárgásért felelős személy azonnali azonosítása, és az adatok elérhetetlenné tétele), valamint, amennyiben a tájékoztatás aránytalan erőfeszítést tenne szükségessé (például: az érintettek kapcsolattartási adatai nem állnak rendelkezésre). Ez utóbbi esetben azonban az érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja az érintettek hasonlóan hatékony tájékoztatását (ilyen lehet például egy nyilvános sajtóközlemény).
Mint az a fenti szabályokból is jól látszik, az adatkezelőnek egy esetleges adatvédelmi incidens esetén minél gyorsabban és hatékonyabban kell fellépnie, amely a megfelelő felkészültség és belső szabályozás hiányában lehetetlen. Így elengedhetetlen, hogy az adatkezelő már előre belső szabályzatban rendezze, hogy a munkatársak által észlelt adatvédelmi incidenseket hogyan, és pontosan mely személynek vagy csoportnak, milyen formában kell jelentenie, az adatvédelmi incidens kezeléséhez milyen munkatársak együttműködése szükséges, az adatvédelmi incidens által érintett adatkezelő vagy adatfeldolgozó partnerekkel való kommunikáció hogyan is történjen, és milyen esetleges belső határidők lehetnek irányadók. Az adatvédelmi incidensek kezelésében különösen fontos szerepe van a szervezeten belüli IT és jogi szakértőknek, az adatvédelmi tisztviselőnek – amennyiben kijelölésre került –, valamint adott esetben további szakértőknek és munkatársaknak is (pl. PR szakértő vagy a HR csoport illetékes munkatársai).
Záró gondolatok
A fentebb írtakból tehát jól látható, hogy mind az adatkezelőnek, mind az adatfeldolgozónak minősülő szervezeteknek igen árnyalt és sokoldalú követelményeknek kell megfelelnie az adatbiztonság megfelelő szintjének garantálása kapcsán, és kellő óvatossággal, az adatkezelés jellegének és sajátosságainak, valamint a kapcsolódó kockázatok körének alapos mérlegelésével kell meghatározniuk az alkalmazandó adatbiztonsági intézkedéseket. Mindemellett nem hagyható figyelmen kívül a szerződéses partnerek figyelmes megválasztása, és az adatvédelmi incidensekre való alapos felkészülés sem. Ezek hiányában ugyanis valamennyi szervezet csak félkarú óriás lehet, míg a kellő garanciák megléte csak tovább erősíti az adott szervezet hitelességét. Ennek tükrében pedig az adatbiztonságra egy újabb jogi teher helyett már sokkal inkább egy hasznot hajtó, vonzó befektetésként tekinthetünk.
Szerző:
Dr. Necz Dániel LL.M.
adatvédelmi szakértő
Ormai és Társai CMS Cameron Mckenna Nabarro Olswang LLP Ügyvédi Iroda
