GDPR bevezetés tapasztalatai. a Társaság intézeteiben

Átírás

1 GDPR bevezetés tapasztalatai a Társaság intézeteiben

2

3 Adatvédelmi tisztviselő kijelölése: 1. Hatóság, vagy közfeladatot ellátó szerv végzi; 2. alaptevékenysége körében az érintettek rendszeres, szisztematikus, nagymértékű megfigyelését végzi; 3. fő tevékenysége körében különleges személyes adatokat, vagy bűnügyi adatokat nagy számban kezel Bejelentkezés, NAIH

4 Alapfogalmak, alapelvek oktatása, intézményi tudatosság növelése értekezleteken továbbképzéseken Folyamatos munka, jó gyakorlatok

5 Adatkezelési tájékoztatók készítése határidőre kötelező tartalom (adatkezelő, kezelt adatok köre, cél és jogalap, időtartam, adattovábbítás, adatfeldolgozás,, adatbiztonsági intézkedések, érintetti jogok és jogérvényesítési lehetőségek) nyelvezet (tömörség, közérthetőség) kihirdetés: a Társaságnál szokásos módon további tájékoztatók

6 Adatkezelések nyilvántartása szervezeti egységenként, a kitöltött táblák megvitatása, feltárt problémák, megoldások keresése.

7 Foglalkozás-egészségügyi diszpécser csoport Foglalkozás egészségügyi vizsgálatok: MÁV csoport hozzávetőlegesen 30 ezer alkalmazottja Egyéb gazdasági társaságok munkavállalói évtől uniós direktíva, a vasúti közlekedés biztonságával összefüggő munkakörök 203/2009. Kormányrendelet, hatósági vizsgálatok

8 Sor-szám Adatkezelés célja Adatkezelés jogalapja Érintettek köre Adatok leírása Kezelt adatok forrása Adatkezelés időtartama Adattovábbítás Adatgazda Adatfeldolgozó Adatfeldolgozási technológia jellege Informatikai rendszer neve Címzett Adatok fajtája Foglalkozás-egészségügyi vizsgálat 33/1998. (VI.24.) NM rendelet szerinti munkakörök esetén Hatósági vizsgálatok 203/2009. (IX.18.) Korm. Rendelet szerinti munkakörök esetén Előzetes alkalmassági vizsgálatok elvégzése a 33/1998. (VI.24.) NM rendelet szerint tanulók esetén jogi kötelezettség teljesítése jogi kötelezettség teljesítése jogi kötelezettség teljesítése Előjegyzést kérő munkáltatók munkavállalói Előjegyzést kérő munkáltatók munkavállalói Előjegyzést kérő munkáltató MÁV SZK Zrt. Baross Gábor Oktatási Központjának tanulói munkavállaló személyes adatai: neve, születési helye, ideje, anyja neve, lakcíme, telefonszáma, TAJ száma, beosztása, egészségügyi adatok munkavállaló személyes adatai: neve, születési helye, ideje, anyja neve, lakcíme, telefonszáma, TAJ száma, beosztása, egészségügyi adatok tanulók személyes adatai: neve, születési helye, ideje, anyja neve, lakcíme, telefonszáma, TAJ száma, egészségügyi adatok Munkáltatók által küldött adatok Munkáltatók által küldött adatok MÁV SZK Baross Gábor Oktatási Központ által küldött adatok 30 év Munkáltatók 30 év Munkáltatók 30 év MÁV SZK Baross Gábor Oktatási Központ által küldött adatok Határozat az alkalmasságról Határozat az alkalmasságról Határozat az alkalmasságról diszpécser csoport, orvos, asszisztens, informatika diszpécser csoport, orvos, asszisztens, informatika diszpécser csoport, orvos, asszisztens, informatika elektronikus, papír alapú elektronikus, és papír alapú elektronikus Medworks, Incash iktató program Medworks, Incash iktató program Microsoft Outlok, MedWorks, InCash 4. 33/1998. (VI.24.) NM rendelet szerinti munkakörök esetén fellebbezések kezelése jogi kötelezettség teljesítése Előjegyzést kérő munkáltató fellebbező munkavállalói fellebbező munkavállaló személyes adatai: neve, születési helye, ideje, anyja neve, lakcíme, telefonszáma, TAJ száma, beosztása, határozat az alkalmasságról, egészségügyi adatok Munkáltatók által küldött adatok 30 év diszpécser csoport, orvos, asszisztens, informatika elektronikus Microsoft Outlok, MedWorks, InCash /2009. (IX.18.) Kormányrendelet szerinti munkakörök esetén fellebbezések kezelése jogi kötelezettség teljesítése Előjegyzést kérő munkáltató fellebbező munkavállalói fellebbező munkavállaló személyes adatai: neve, születési helye, ideje, anyja neve, lakcíme, telefonszáma, TAJ száma, beosztása, határozat az alkalmasságról, egészségügyi adatok Munkáltatók által küldött adatok 30 év ITM II. fokú hatóság fellebbező munkavállaló személyes adatai: neve, születési helye, diszpécser csoport, ideje, anyja neve, lakcíme, beosztása, szakvélemény orvos, asszisztens, informatika, (javaslat) az ITM II. fokú hatóság alkalmasságról elektronikus Microsoft Outlok, MedWorks, InCash /2009. (IX. 18.) Kormányrendelet szerinti hatósági vizsgálatok végzéséhez iktatószám kiadása (Protoprevent Kftnek) jogi kötelezettség teljesítése ProtoPreventtől előjegyzést kérő munkáltatók (BKV, MÁV-HÉV) munkavállalói munkavállaló személyes adatai: neve, születési helye, ideje, anyja neve, lakcíme, telefonszáma, TAJ száma, beosztása Munkáltatók által küldött adatok 30 év ProtoPrevent Kft. Munkavállaló neve, TAJ száma diszpécser csoport, informatika ProtoPreven t Kft. elektronikus, papír alapú Microsoft Outlok, InCash

9 Foglalkozás-egészségügyi adatkezelések Humán partnerek munkavállalóik személyes adatait ben küldik Tárolásuk több ponton (postafiókok, iktatórendszer, medikai rendszer, saját gépek mappái, központi szerver) Problémák kezelése, adatkezelések optimalizálása, adattakarékosság elve, szerződésmódosítások Belső folyamatok felülvizsgálata, törlés Indirekt folyamat szabályozások is

10 Incidens kezelés: elektronikus postafiók támadás Probléma: A postafiókban tárolt személyes adatok (ellátotti adatok) Informatikai szabályzatot nem tartották be Nem ellenőrzött (vírusirtó) külső eszközről történő bejelentkezés Intézkedések: ügyvezetői utasítás, informatikai szabályzat módosítása, megismeréséről nyilatkozat, postafiókok tartalmának szabályozott törlése Jegyzőkönyv, incidens nyilvántartás, rendszer informatikai felülvizsgálata, adatszivárgás nem történt, a hatóság felé bejelentési kötelezettségünk nem volt.

11 Adattovábbítások önálló adatkezelés, nyilatkozatok adatfeldolgozás, közös adatkezelés. További együttműködés

12 Munkaügyi adatkezelések Munkaügyi szabályzat készítése: toborzástól a munkaviszony megszűnéséig, és még azon túl is. Munkaügyi jogalapok: jogos érdek, hozzájárulás, érintettel kötött szerződés (29-es munkacsoport ajánlása a hozzájárulással kapcsolatosan) Rossz gyakorlat: okmányok, bizonyítványok másolása, személyes dossziékban történő őrzés (önéletrajz), irattári selejtezés, őrzési idők jelentősége (BEK 50 tonna irat tavasz óta) Munkaszerződés módosítások jogos érdekből (szerződések, pályázatok, ajánlatok) Informatikai szabályzat módosítás munkáltatói ellenőrzések jogszerűsége céges informatikai eszközökön

13 Jogalap: Jogos érdek érdekmérlegelési teszt készítése Adatkezelő céljai, érdekei Érintettek mely érdekei sérülhetnek Arányosság, szükségesség, fokozatosság garanciái Toborzás, szerződéses kapcsolattartók, kamerahasználat

14 Előttünk áll: hatásvizsgálatok elvégzése Kötelező, ha az adatkezelés valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve. 1) automatizált adatkezelésre, profilalkotásra épülő döntéshozatal során (pl. banki hitelbírálatok) 2) a személyes adatok különleges kategóriáinak nagy számú kezelése, vagy a bűnügyi nyilvántartások vezetése esetében 3) nyilvános helyek nagymértékű, módszeres megfigyelése esetén Francia adatvédelmi hatóság - PIA szoftver NAIH honlap átlátható és felhasználóbarát felület, jogi és technikai tudásanyag, egymásra épülő modulok.

15 GDPR szeminárium a MEDICINA tagság részére Tematika: GDPR általános gyakorlati tudnivalói Nyilvántartások és kezelésük Gyakorlati példák a mindennapokból Munkaügyi adatkezelések

16 Köszönöm figyelmüket! Fotók forrása: Internet