Már pár nappal kevesebb, mint egy év van hátra addig, míg 2018. május 25-én hatályba lép az Európai Unió új adatvédelmi rendelete, amely merőben új szemléletével jelentős alkalmazkodási terhet ró a magyar vállalatokra is. A GDPR a korábbi adatvédelmi irányelvtől eltérően immár rendelet formájában jelent meg, azaz minden tagország számára egyformán kötelező hatályú, ezzel kizárja az eltérő tagországi implementáció jelentőségét.
A KPMG erről rendezett szakértői konferenciáján dr. Péterfalvi Attila, a NAIH elnöke úgy fogalmazott: téved, aki arra számít, hogy a nemzetközi viszonylatban is rendkívül szigorúnak számító magyar infotörvény miatt a GDPR csak könnyítést hozhat a magyar adatkezelőknek. A rendelet ugyanis nagyon határozott és pontos utasításokat ad az adatkezelőknek, ahol pedig nem, ott olyan kitételeket tartalmaz, mint az adatkezeléskor rendelkezésre álló technológia, illetve ésszerűen elvárható lépések, amit az adatvédelmi hatóságok és a bíróságok rendkívül szigorúan értelmezhetnek. (Van olyan jogász, aki szerint azért nem kell annyira rettegni.)
Péterfalvi Attila világossá tette, hogy a NAIH minden tekintetben a nemzetközi bírságolási gyakorlatot fogja alkalmazni, azaz ugyanaz az adatvédelmi szabálysértés ugyanolyan bírságot von majd maga után, mint Európa más országaiban. A NAIH a rendeletben definiált kölcsönös segítségnyújtás elvét úgy értelmezi, hogy amennyiben kérdésként merülne fel a bírság mértéke, akkor kikérné a tagállamok adatvédelmi hatóságainak a gyakorlatát, és aszerint fog eljárni.
A bírság igen jelentős lehet. A szabályozás szerint a kisebb súlyú ügyek 10, a nagyobb súlyúak 20 millió euró bírsággal sújthatók, és a rendelet pontos besorolást tartalmaz arra vonatkozóan, hogy mely szabálysértések mely csoportba tartoznak. A magyar adatvédelmi elnök ugyanakkor kijelentette, hogy bár az Európai Bizottság elvárja a tagállamok hatóságaitól, hogy adatvédelmi szabálysértés ne maradjon bírság nélkül, ennek nem látja értelmét. „Elképzelni sem tudja, hogy más tagállamok hatóságai ezt szó nélkül elfogadnák. A bírság mértéke a tagállami hatóságok döntési kompetenciája, az pedig lehetetlen, hogy egy egyébként évek óta tisztességesen működő vállalkozást egy kisebb súlyú hiba miatt ne annak kijavítására kötelezzünk és figyelmeztetésben részesítsük, hanem még komoly bírsággal is sújtsuk” – mondta az elnök.
Nem csak jól kell csinálni, bizonyítani is kell
Ettől függetlenül Péterfalvi Attila szerint a magyar cégeknek haladéktalanul meg kell kezdeniük a felkészülést a GDPR hatálybalépésére 2018. május 25. után, ugyanis mindent annak szellemében kell megítélnie a hatóságnak. A legfontosabb változás az eddigi adatvédelmi eljáráshoz képest a rendeletben talán az, hogy megfordul a bizonyítási kényszer, vagyis a cégeknek nemcsak be kell tartaniuk a szabályokat, de be is kell tudni bizonyítaniuk, hogy ez a helyzet, hiszen bármilyen panasz vagy adatszivárgás esetén nekik kell bemutatniuk, hogy valóban megfelelnek az előírásoknak.
Ugyancsak a költségek növekedését vonja maga után, hogy a GDPR életbe lépését követően a vállalatok szélesebb körében kell majd adatvédelmi tisztviselőt kinevezni, akiknek a felelősségi köre is érdemben nő, ezért komoly képzéseken is részt kell venniük. Ehhez hasonlóan a kiemelt adatkezelésnek minősülő tevékenység indítása esetén adatvédelmi hatástanulmányt is kell készítenie az alkalmazónak. Egészen biztosan ebbe a körbe esnek a térfigyelő kamerák, a munkahelyi teljesítményösztönző rendszerek vagy a profilalkotásra alkalmas eszközök, de ezzel kapcsolatban még előkészületben van egy lista az Európai Bizottságnál.
A rendelet már nem kizárólag az államtól, hanem inkább a gazdasági szféra szereplőinek esetleges visszaéléseitől is meg kívánja óvni a magánszemélyeket, továbbá reagál a technológiai fejlődés által generált új élethelyzetekre (biometrikus adat, genetikai adat, online azonosítók mint pl. az IP-cím mint személyes adat kezelésére is) – mondta a konferencián dr. Tóásó Bálint, a KPMG Legal irodavezető ügyvédje. A GDPR éppen ezért egyértelmű előírásokat tartalmaz arra vonatkozóan is, hogy a vállalkozások milyen módon szerezhetik be az érintettek hozzájárulását az adatkezeléshez. A régi engedélyeket ugyan nem kell újra bekérni, de 2018 májusa után az újakat már csak ennek megfelelően lehet beszerezni.
Fontos a megfelelő sorrend a felkészülésben
A rendelet alkalmazására való felkészülést célszerű megfelelő sorrendben végezni – emelte ki Hargitai László, a KPMG informatikai tanácsadója. Elsőként a szervezet stratégiájában kell súlyát megillető helyet találni az adatvédelemnek. Második lépésként célszerű teljes körű felmérést végezni arról, hogy az adott vállalat hol, milyen eszközökkel kezel személyes adatokat. Fontos, hogy ezt a sorrendet ne cseréljük fel, és ne abban gondolkodjunk, hogy egy új és sokat reklámozott technológia működtetéséhez hogyan igazítsuk hozzá a cégünk működését – hangsúlyozta az informatikai szakértő.
