Adatvédelem érthetően 

Vonatkozik a GDPR egyéni vállalkozókra és kisebb cégekre is?

Igen. Ha a vállalkozás működése során személyes adatokat kezel – például ügyfelek, érdeklődők, kapcsolattartók vagy munkatársak adatait –, a GDPR szabályait is alkalmaznia kell. A kötelezettségek mértéke ugyanakkor az adatkezelés jellegétől, mennyiségétől és kockázataitól is függ.

Honnan tudhatom, hogy a vállalkozásom adatvédelmi szempontból valóban rendben van?

Attól, hogy vannak GDPR-dokumentumok, még nem biztos, hogy a tényleges működés is megfelelő. Egy adatvédelmi átvilágítás során azt vizsgáljuk meg, milyen személyes adatokat, milyen célból és hogyan kezel a vállalkozás, megfelelőek-e a dokumentumai, szerződései és belső folyamatai, valamint a szükséges technikai és informatikai intézkedések.

Nem elég egy internetről letöltött GDPR-sablon?

Egy sablon legfeljebb kiindulópont lehet. Nem tudja figyelembe venni, hogy a vállalkozás ténylegesen milyen adatokat, milyen célból, milyen jogalapon és meddig kezel, milyen rendszereket és szolgáltatókat használ. Az EJMA ezért először a tényleges működést térképezi fel, és ehhez igazítja a szükséges dokumentációt.

Mit jelent a gyakorlatban egy adatvédelmi megfeleltetés?

Nem egyszerűen néhány GDPR-dokumentum elkészítését. Először feltérképezzük a vállalkozás adatkezeléseit, majd meghatározzuk a szükséges jogi, szervezési, technikai és informatikai intézkedéseket, elkészítjük vagy módosítjuk a szükséges dokumentumokat, és jelezzük, milyen változtatásokat kell a gyakorlatban is bevezetni.

Milyen dokumentumok tartozhatnak egy teljes adatvédelmi megfeleltetéshez?

Minden adatkezelőnek megfelelő tájékoztatást kell nyújtania azoknak, akiknek a személyes adatait kezeli. Ezen túl a működéstől függően szükség lehet például adatkezelési nyilvántartásra, adatvédelmi és adatbiztonsági szabályzatra vagy belső iránymutatásra, érdekmérlegelési tesztekre, adatfeldolgozói megállapodásokra, kamerás vagy beléptetési dokumentációra, incidenskezelési dokumentumokra vagy adatvédelmi hatásvizsgálatra (DPIA).

Miért olyan hosszú egy adatkezelési tájékoztató?

Mert egy vállalkozás jellemzően nem egyetlen célból kezel személyes adatokat. Külön adatkezelés lehet például az ajánlatkérés, szerződéskötés, számlázás, kapcsolattartás, marketing, panaszkezelés vagy a munkavállalók adatainak kezelése. Minden releváns adatkezelésnél be kell mutatni többek között a célt, az adatokat, a jogalapot, a megőrzési időt, a címzetteket és az érintettek jogait, ezért egy testre szabott tájékoztató akár 10–20 oldal vagy ennél hosszabb is lehet.

Mi az adatvédelmi szabályzat? Minden adatkezelőnek kötelező?

Az adatvédelmi és adatbiztonsági szabályzat nem kötelező GDPR-dokumentum, de az elszámoltathatóság és az egységes belső működés érdekében a nagyobb vagy összetettebb adatkezelést végző szervezeteknél célszerű a megléte. Kisebb adatkezelőknél nem feltétlenül indokolt részletes szabályzat, de érdemes a legfontosabb adatvédelmi feladatokat és eljárásokat egy rövid, gyakorlati belső iránymutatásban rögzíteni.

Mikor szükséges adatvédelmi hatásvizsgálat (DPIA)?

Adatvédelmi hatásvizsgálatra akkor lehet szükség, ha egy tervezett adatkezelés – különösen új technológia alkalmazásával – valószínűsíthetően magas kockázattal jár az érintettek jogaira és szabadságaira nézve. Ilyen lehet például bizonyos nagymértékű különlegesadat-kezelés, rendszeres és módszeres megfigyelés vagy összetett profilalkotás. A szükségességet mindig az adott adatkezelés körülményei alapján kell megvizsgálni.

Kell-e külön adatvédelmi dokumentáció a munkavállalók adatkezeléséhez?

Jellemzően igen, mert a munkaviszony során számos, az ügyféladatoktól eltérő adatkezelés történik – a kiválasztástól és beléptetéstől a bérszámfejtésen, munkaidő-nyilvántartáson és informatikai eszközök használatán át a munkaviszony megszűnéséig. Ezekről a munkavállalókat megfelelően tájékoztatni kell, és egyes adatkezelésekhez további belső dokumentáció is szükséges lehet.

Mennyi időt kell nekem rászánnom a vállalkozásom adatvédelmi megfeleltetésére, és mikorra lesz az kész?

A megfeleltetés elején egy kb. 2 órás átvilágítás során közösen feltérképezzük a működést és az adatkezeléseket. Ezután az elemzést és a dokumentáció elkészítését az EJMA végzi, az ügyfélnek elsősorban információkat és dokumentumokat kell átadnia, majd a feltárt hiányosságok alapján szükséges szervezési, technikai és informatikai intézkedéseket kell bevezetnie. A teljes folyamat összetettségtől függően jellemzően 2–8 hét, a szakértői munka pedig kb. 10–60 vagy több munkaóra lehet.

Mennyibe kerül egy GDPR-megfeleltetés?

Az ár elsősorban az adatkezelések számától és összetettségétől, nem pedig önmagában a vállalkozás létszámától függ. Egy egyszerű B2B szolgáltató és egy ugyanakkora, de kamerát, munkavállalói rendszereket, marketingeszközöket vagy különleges adatokat kezelő vállalkozás adatvédelmi feladatai jelentősen eltérhetnek. Ezért az EJMA a működés előzetes felmérése alapján ad egyedi árajánlatot.

Online is megoldható az együttműködés?

Igen. Az átvilágítás, az egyeztetések és a dokumentumok átadása jellemzően online is megoldható, ezért az EJMA az ország egész területéről tud vállalkozásokkal együtt dolgozni. Személyes jelenlétre akkor van szükség, ha azt a feladat jellege indokolja.

Milyen gyakran érdemes felülvizsgálni a GDPR-dokumentációt?

Mindenképpen felülvizsgálat szükséges, ha változik a vállalkozás adatkezelése – például új honlap, webshop, CRM-rendszer, kamera, AI-eszköz, marketingmegoldás vagy szolgáltató jelenik meg. Változatlan működés mellett is célszerű legalább 3 évente ellenőrizni, hogy a dokumentáció és a tényleges gyakorlat még összhangban van-e.

Mi a különbség az egyszeri GDPR-megfeleltetés és a folyamatos adatvédelmi támogatás között?

Az egyszeri megfeleltetés során feltérképezzük az adatkezeléseket, meghatározzuk a szükséges intézkedéseket és elkészítjük a dokumentációt. A folyamatos támogatásnál ezt követően is rendelkezésre áll adatvédelmi szakember például új adatkezelések, szerződések, érintetti kérelmek, incidensek, hatósági megkeresések vagy a dokumentáció frissítése esetén.

Mikor van szükség adatvédelmi tisztviselőre (DPO-ra)?

Bizonyos szervezetek és adatkezelések esetében a GDPR kötelezővé teszi adatvédelmi tisztviselő kijelölését. Ha nem egyértelmű, hogy a vállalkozásra vonatkozik-e ez a kötelezettség, ezt külön megvizsgáljuk. Folyamatos adatvédelmi támogatás azonban akkor is igénybe vehető, ha DPO kijelölése nem kötelező.

Új szoftvert, kamerát, AI-rendszert vagy más adatkezelést szeretnénk bevezetni. Mikor érdemes adatvédelmi szakembert bevonni?

Lehetőleg még a bevezetés előtt. Így időben megvizsgálható a jogalap, az adatminimalizálás, a tájékoztatás, a szolgáltatói szerződések, az adatbiztonság és az esetleges hatásvizsgálat szükségessége. Utólag rendszerint nehezebb és költségesebb egy már működő folyamatot adatvédelmi szempontból átalakítani. 

Google Analytics, Facebook, hírlevél vagy online hirdetés használata esetén van adatvédelmi teendőm?

Igen, ezek használata személyes adatok kezelésével és követőtechnológiák alkalmazásával is járhat. Meg kell vizsgálni többek között a jogalapot, a sütik használatát, az adatfeldolgozókat és adattovábbításokat, valamint azt, hogy az adatkezelés megfelelően szerepel-e a tájékoztatóban.

Kamerát használunk a telephelyen. Elég kitenni a "kamerával megfigyelt terület" táblát?

Nem. Meg kell határozni többek között a megfigyelés célját és jogalapját, az egyes kamerák látóterét, a felvételek megőrzési idejét, a hozzáférési jogosultságokat és az érintettek megfelelő tájékoztatását. A kamerarendszerhez ezért általában külön adatvédelmi dokumentáció szükséges.

Kell adatfeldolgozói szerződést kötnöm a könyvelőmmel, informatikusommal vagy más szolgáltatómmal?

A könyvelővel és külső informatikai szolgáltatóval jó eséllyel igen, de nem minden szolgáltató automatikusan adatfeldolgozó. Azt kell megvizsgálni, hogy a partner a te vállalkozásod nevében és utasításai alapján kezel-e személyes adatokat, vagy saját célból, önálló adatkezelőként jár el. Az első esetben adatkezelő-adatfeldolgozó kapcsolat áll fenn köztetek, ekkor a GDPR szerinti adatfeldolgozói szerződésre is szükség van.  

Használhatunk ChatGPT-t vagy más mesterséges intelligenciát a munkában?

Igen, de nem mindegy, milyen adatokat adnak meg a munkatársak az AI-rendszernek, milyen célra használják, és milyen szolgáltatást vesz igénybe a vállalkozás. Különösen személyes, ügyfél-, munkavállalói vagy bizalmas üzleti adatok használata előtt célszerű meghatározni a belső szabályokat és megvizsgálni az adott AI-szolgáltatás adatvédelmi feltételeit.

Egy kibertámadás adatvédelmi incidensnek minősül?

Nem minden kibertámadás adatvédelmi incidens. Akkor minősül annak, ha a támadás következtében személyes adatok megsemmisülnek, elvesznek, megváltoznak, hozzáférhetetlenné válnak, jogosulatlan személyhez kerülnek vagy azokhoz jogosulatlanul hozzáférnek. Ilyenkor a GDPR incidenskezelési szabályait is alkalmazni kell.

Mit kell tenni adatvédelmi incidens esetén?

Ilyenkor fontos a gyors helyzetértékelés, a szükséges lépések megtétele és dokumentálása. Fel kell mérni az érintettekre jelentett kockázatot, és ennek alapján el kell dönteni, szükséges-e a NAIH bejelentése, illetve az érintettek tájékoztatása. Ha az incidens bejelentésköteles, a GDPR főszabály szerint 72 órás határidőt állapít meg a felügyeleti hatóság értesítésére.

Mi történik, ha egy ügyfél vagy munkavállaló kéri a róla kezelt adatokat vagy azok törlését?

A kérelmet nem szabad automatikusan teljesíteni vagy elutasítani: először meg kell vizsgálni, milyen érintetti jogot kíván gyakorolni és annak fennállnak-e a feltételei. A GDPR főszabály szerint egy hónapos válaszadási határidőt ír elő, ezért érdemes előre kialakított eljárással rendelkezni.

Mit tegyek, ha adatvédelmi hatósági megkeresést kapok?

A megkeresést érdemes azonnal adatvédelmi szakemberrel áttekinteni. Fontos a határidők betartása, a kért dokumentumok és információk összegyűjtése, valamint a pontos, következetes és szakmailag megalapozott válaszadás. Ilyenkor különösen jelentősége van annak, hogy a vállalkozás korábban megfelelően dokumentálta-e az adatvédelmi megfelelését.

Kaphatok GDPR-bírságot akkor is, ha senki nem tett panaszt?

Igen. Adatvédelmi probléma nemcsak érintetti panasz alapján kerülhet a hatóság látókörébe. Adatvédelmi incidens, más hatósági eljárás vagy egyéb körülmény kapcsán is vizsgálható a vállalkozás adatkezelése. Ezért fontos, hogy a vállalkozás szükség esetén igazolni is tudja, hogy adatkezelését tudatosan és a GDPR követelményeinek megfelelően alakította ki.