Első ránézésre úgy hat, mintha egy újabb közgazdaságtani rövidítéssel lenne dolgunk. A GDPR azonban a General Data Protection Regulation mozaikszava, és az Európai Unió általános adatvédelmi rendeletét jelöli. Vagyis mint uniós szabályozás, Magyarországra is vonatkozik. A rendelet kidolgozása már 2012-ben elindult, és 2016 májusában jelent meg. A felkészülésre két évet kaptunk, így 2018. május 25-ig kell a hatóságoknak, szervezeteknek, vállalkozásoknak megtenni a szükséges lépéseket.
Az adatvédelem ma már mindannyiunk számára fontos elvárás. Nap mint nap adunk meg személyes adatokat azért, hogy információhoz jussunk, eladjunk vagy vásároljunk, hozzáférjünk alkalmazásokhoz, vagy egyszerűen csak belépjünk internetes felületekre. Közben pedig ugyanúgy naponta hallunk visszaélésekről, károsultakról, feltört fiókokról, blokkolt rendszerekről. Ezek azonban szerintünk mindig másokkal történnek. Alapvető igényünk, hogy a számunkra fontos dolgok megfelelő védelmet kapjanak: az otthonunk, a családtagjaink, a vagyonunk és mindehhez kapcsolódva a személyes adataink is.
Az országokon belül mozgó és a határokon átívelő adatmennyiség folyamatosan növekszik. Az Európai Unión belül valamennyi tagország rendelkezett saját szabályozással, de ezek mind különbözőek voltak. A kétezres években egyre sürgetőbbé vált, hogy a jogalkotók tető alá hozzanak egy közös, egységes rendeletet – így született meg a GDPR.
Enyém, tiéd, övé
Fontos, hogy tisztázzuk, milyen adatokra vonatkozik a rendelet. A GDPR az egyén adatainak biztonságára koncentrál, vagyis kizárólag személyes adatokra vonatkozik. Egész pontosan így fogalmaz: „azonosított és azonosítható természetes személyek adataira”. Személyes adatnak számít tehát minden olyan információ, amely alapján egy adott személy azonosított vagy azonosítható. Ez pedig a néven túl lehet szám, helymeghatározó adat, online azonosító, vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egyéni jellemző.
Saját szemszögünkből nézve mindenkit, aki a személyes adatainkkal dolgozik. Jogilag és gazdaságilag pedig minden olyan intézményt, szervezetet, vállalkozást, aki adatot kezel, online tevékenységet folytat, bármilyen szintű adatbázisokkal dolgozik. Így tehát a munkavállalói adatkezelésünk is idetartozik, de ha az ügyfeleink adatait használva bármilyen online tranzakciót, akciót, kampányt végzünk, mindenképpen a rendelet hatálya esünk.
Checklistát, de gyorsan!
Jó, ha tudjuk, hogy 250 fő alatt nem kell adatkezelési nyilvántartást vezetnünk, de ez nem mentesít egyéb jogszabályi kötelezettségek teljesítése alól. Hogy kezdjünk neki a felkészülésnek?
Célszerű készíteni egy „Itt állunk most” pillanatképet a vállalkozás, szervezet tevékenységéről a fő kérdések mentén:
- Milyen adatokat tárolunk és dolgozunk fel?
- Mi az adatkezelés célja és jogalapja?
- Hol és mennyi ideig tároljuk az adatokat (pl. szerveren, felhőben)?
- Ki férhet hozzá az adatokhoz? Ki férhet hozzájuk házon belül és kívül?
- Milyen hozzájárulások állnak rendelkezésre?
Jövő májusig még van időnk, de érdemes minél előbb elvégezni egy adatkezelési felmérést a saját tevékenységeinkre. Itt fog kiderülni, hogy a munkavállalói adatbázison túl hol kezelünk még személyes adatokat, és ha alaposan végiggondoljuk, valószínűleg lesznek ilyenek. A megfelelés érdekében pedig mindig van további teendő.
Biztosan sok kérdés felmerül menet közben, és belülről nézve nem mindig egyértelmű, hogy mi a teendőnk. Érdemes már a felméréshez is külső szakértő segítségét kérni, aki segít végiggondolni, hogy hol milyen adattal dolgozunk, miért van szükségünk rájuk, és milyen módon kezeljük őket. Megmutatja, melyek számítanak fokozott ellenőrzést igénylő személyes adatnak. Segít megállapítani, mely kötelezettségek (pl. adatvédelmi tisztségviselő kinevezése, adatvédelmi hatásvizsgálat végrehajtása, adatvédelmi incidensek kezelése) vonatkoznak ránk. Így már a felméréssel megalapozzuk a további belső szabályozást.
Másokéra vigyázva védjük a magunkét
Az elszámoltathatóság elve alapján azon túl, hogy meg kell felelniük a vonatkozó adatvédelmi szabályoknak, a vállalkozásoknak (még akár a legkisebbeknek is) szükség esetén igazolni szükséges az adatvédelmi megfelelésüket. Jó, ha már előre bebiztosítjuk magunkat az elkészült szabályozással. Kis befektetéssel komoly fájdalomtól óvhatjuk így meg a cégünket, hiszen a jövő évi határidő után a bírság a jogsértés mértékétől függően akár a teljes éves (világ)piaci bevételünk 4 százaléka is lehet, 20 millió euróig, azaz hatmilliárd forintig terjedően. Nem kell sokat ecsetelni, hogy egy ilyen bírság csődbe is vihet egy vállalatot.
Érdemes tehát mindent dokumentálni, ami az előzetes felmérésnél az adatvédelmi feladatlistánkra került. Ha hosszabb távú tevékenység esetén még csak az út felénél járunk, akkor is fontos az eddig megtett lépések adminisztrálása. Ügyfélként is elvárjuk, hogy az adatainkat bizalmasan kezeljék. Ha mi vagyunk az adatkezelő, az adatok mögött élő személyeken túl a saját elvárásainknak is tartozunk ezzel a biztonsággal.
Szerző:
A p2m Informatika Kft. szakértői csapata
