Tisztelt Intézményvezető Úr/Hölgy!

Átírás

1 Tisztelt Intézményvezető Úr/Hölgy! Az elmúlt időszakban már majdnem minden GDPR tanácsadó árajánlata megérkezett az EU től kötelezően alkalmazandó adatvédelmi rendeletével (tvábbiakban GDPR rendelettel) kapcslats feladatkra, tehát bő a választék. Általában kmplett, mindent ígérő megldást kínálnak, azt a benymást keltve a döntéshzókban, hgy a GDPR követelmények megvalósítása csak pénz kérdése. A GDPR rendszert igényel, tehát egy egyszerű nyilvántartással vagy szabályzattal nem letudható. Az adatvédelmi megfelelőség kialakítása több szereplős, költséges és időigényes feladat, ami leterheli a vezetőt, valamint a feladatra kijelölt munkatársakat, de szeretnénk biztsítani arról, hgy jól működő, rugalmas és felhasználóbarát megldás is létezik. Ha már megkezdődött az adatvédelmi feladatkra való felkészülés, akkr is haszns infrmációkat tartalmazhat ez a tájékztató, valamint a hnlap. A GDPR magától nem ldódik meg, összefglaltuk, megválaszltuk a leggyakrabban tapasztalt tévhiteket, kifgáskat: meg kell bízni valakit, aki mindent megld, és csak alá kell írni a kész anyagkat Ez az állítás messze nem fedi a valóságt, hiszen minden szervezet egyedi. Csak a szervezetnél tevékenykedő személyek vannak tisztában a mindennapk adatkezeléseivel és az adatkezelések technikai / infrastrukturális hátterével. csak szabályzatt kell készíteni Valóban kell, de ez csak töredéke a feladatknak. "az egészségügyi szervezeteknek nincsen teendője, mert csak jgszabály alapján kezeli az adatkat" Mind a 6 jgalap alapján történik adatkezelés. Az egyedi különbségek is jelentősek, és figyelembe kell venni a munkavállalókkal, gyakrnkkkal / hallgatókkal, rezidensekkel, külsős szakvizsgázókkal, gyógyszer kipróbálási / kutatási csprtkkal, egyéb gazdasági tevékenységekkel kapcslats adatkezeléseket is. ugyanazkat az infrmatikai rendszereket / eszközöket használják Az tény, hgy vannak lyan prgramk és rendszerek, amelyeket a szervezetek egységesen használnak (pl. EESZT, NEAK Várólista, ejelentés, Finanszírzási teljesítmény bejelentő), de minden intézménynek vannak egyedi, intézmény-specifikus sajátsságai. Az eltérő prgramk egyedi adatfeldlgzáskat jelenthetnek (pl. iktatórendszer, betegpanaszk nyilvántartása excelben vagy szftverben). minden egészségügyi, intézménynek ugyanazk az adatkezelései : Nem létezik két teljesen azns intézmény. A szlgáltatásk köre, kmpetenciák és a helyi ellátási sajátsságkból adódó adatkezelési feltételek térben és időben váltzóak. A kötelező és az önként vállalt intézményi feladatkban különbségek vannak (pl. egészségnevelés, VIP szlgáltatás). egyszer kell megcsinálni, utána nincsen teendő : Flyamatban van szinte valamennyi törvény, jgszabály módsítása. Hamarsan elfgadásra kerül a GDPR salátatörvény, a jgszabályk váltzása együtt jár a kezelt adatk és megőrzési idők, jgalapk módsításával, ezekről az érintett természetes személyeket tájékztatni, a nyilvántartáskat aktualizálni kell. A Nemzeti Adatvédelmi és Infrmációszabadság Hatóság knferenciákn, előadáskn ismerteti, publikálja határzatait, közleményeit, állásfglalásait, a hatósági tevékenységük tapasztalatait, amelyeket flyamatsan figyelemmel kell kísérni. A váltzásk követése és átvezetése infrmatikai rendszer és támgatás nélkül az egyes szervezeteknél a gyakrlatban gndt kzhat. A jgszabályi váltzásk mellett váltzóban van a Hatóság gyakrlata (pl. hzzájárulás helyett jgs érdek alapján kezelhetők a kamerarendszerrel megfigyelt területre belépő ügyfelek képmásai, vagy érdekmérlegelés alapján akár 3 napnál tvább is kezelhetők a kamerafelvételek). 1

2 Váltznak a szervezetek adatkezelései (pl. kamerarendszer, új szlgáltatás, új nyilvántartás bevezetése, feladatkör váltzásk), adatfeldlgzói (új diagnsztikai szlgáltató, új rendszergazda, új tárhelyszlgáltató), adatkezelői (pl. telemedicina, távfelügyeleti szlgáltató). A közpnti szlgáltatókkal flyamatban vannak az adatfeldlgzói megállapdásk megkötése, így váltzhatnak az egyes szerepkörök (fglalkzás egészségügy esetén előfrdul, hgy adatkezelő és adatfeldlgzó is az intézmény). Az Inf törvény alapján a kötelező adatkezeléseket az adatkezelés megkezdésétől legalább hármévente felül kell vizsgálni. az a jó, ha a tanácsadó cég rengeteg papírt, excel nyilvántartást ad át Ez a következő kérdéseket veti fel: - Mi fg történni, ha egy érintett tájékztatást kér a kezelt személyes adatairól, azk frrásáról, az adatkezelés céljáról, jgalapjáról, időtartamáról, az adatfeldlgzó nevéről, címéről és az adatkezeléssel összefüggő tevékenységéről, személyes adatai tvábbítása esetén az adattvábbítás jgalapjáról és címzettjéről, az esetleges adatvédelmi incidens körülményeiről, hatásairól és az elhárítására megtett intézkedésekről? - A távli adatvédelmi tisztviselő hgyan ldja meg a feladatt, tényleg ő fgja tájékztatni az érintetteket, mert nála lesz az utlsó nyilvántartás? Hihető-e, hgy a fiók-kész rendszer a gyakrlatban működni fg? - Infrmatikai rendszer nélkül hgyan ldható meg, hgy a dkumentumkat, exceleket tetszőleges számú, különböző jgsultságkkal rendelkező személy kezelje és az események naplózásra kerüljenek? - Mi történik, ha az excelek megsérülnek, elvesznek, felülíródnak, a vállalt hűségidő alatt megrmlik a bizalm a felkészítővel? mindenért az adatvédelmi tisztviselő a felelős A GDPR Rendelet alapján nem a tisztviselő, hanem az adatkezelő (egészségügyi intézmény) felelős a megfelelésért, képesnek kell lennie a megfelelés igazlására, felelősséggel tartzik minden lyan kárért, amelyet a rendeletnek nem megfelelő adatkezelés kztt. adatvédelmi tisztviselő csak külső személy lehet Ez nem így van. Adatvédelmi tisztviselőt kell kijelölni minden lyan esetben, amikr az adatkezelő vagy az adatfeldlgzó fő tevékenységei a személyes adatk 9. cikk szerinti különleges kategóriáinak és a 10. cikkben említett, büntetőjgi felelősség megállapítására vnatkzó határzatkra és bűncselekményekre vnatkzó adatk nagy számban történő kezelését fglalják magukban (tehát a intézmények önálló, vagy közös adatvédelmi tisztviselőt is kijelölhetnek). Az adatvédelmi tisztviselőt szakmai rátermettség és különösen az adatvédelmi jg és gyakrlat szakértői szintű ismerete, valamint a feladatk ellátására való alkalmasság alapján kell kiválasztani (ajánltt, de nem feltétlenül szükséges képzettség). Az adatvédelmi tisztviselő más feladatkat is elláthat, közvetlenül az adatkezelő legfelső vezetésének tartzik felelősséggel, biztsítani kell, hgy e feladatkból ne fakadjn összeférhetetlenség. Ez a gyakrlatban annyit jelent, hgy pl. az intézményvezető, infrmatikai-, jgivezető nem lehet adatvédelmi tisztviselő. Az adatvédelmi tisztviselő személyéről minden adatkezelőnek önállóan tájékztatni kell az érintetteket (adatkezelési tájékztatókban) és a hatóságt (a tisztviselőt be kell jelenteni a NAIH Adatvédelmi Tisztviselő Bejelentő Rendszerbe, de ez később is megváltztatható. az ÁEEK által felügyelt egészségügyi szervezeteket nem ellenőrzik A Rendelet től kötelezően alkalmazandó és a NAIH bejelentés, érintetti panasz vagy adatvédelmi incidens miatt megkezdi az ellenőrzést. az állami szervezeteket nem büntetik Bár a Hatóság a számára rendelkezésre álló hatásköröket, a büntetést az aránysság elvének figyelembevételével gyakrlja, figyelembe veszi az összes körülményt, a jgsértés súlyát, ismétlődő jellegét, az érintetti kör nagyságát, az adatkezelő vagy az adatfeldlgzó felelősségének mértékét, a 2

3 fganatsíttt technikai és szervezési intézkedéseket, de első alkalmmal is bírságlhat, és a szervezet vezetőjének személyi felelőssége fennáll. Veszélyt jelenthet akár egyetlen munkavállaló gndatlansága is (pl. nem írja alá az adatkezelési tájékztatót, az intézmény számítógépén jgalap nélkül tárl személyes adatkat). Jelentős kckázat és anyagi veszteség frrása lehet a jgaival tisztában lévő beteg vagy hzzátartzó. A jgsértéssel érintett személyeknek abban az esetben is fennáll a lehetősége az adatkezelővel szembeni plgári jgi igényérvényesítésre, amennyiben a jgsértés tárgyában leflytattt adatvédelmi hatósági eljárás eredményeképp az adatkezelő csupán figyelmeztetésben részesült. Elegendő akár az előzetes vagy érintett kérelmére történő tájékztatás hiánya. várható pénzügyi vagy egyéb közpnti támgatás Az infrmatikai biztnsági követelmények megvalósításáhz sem vlt közpnti frrás. Az ÁEEK az intézményei számára egy általáns, előre feltöltött adatkezelési nyilvántartást, ágazatspecifikus ajánlást, valamint módszertani támgatást tervez biztsítani, de a GDPR már től kötelező, és incidensek bármikr bekövetkezhetnek. a tanácsadó majd mindent megcsinál, a GDPR egyszeri felkészítéssel letudható, fiókba tehető, csak fizetni kell érte Az egyik legveszélyesebb álláspnt lehet, mivel kmly esély van rá, hgy nem megfelelő intézkedések történnek, amiket később nagybb munkaerő és anyagi ráfrdításk árán lehet csak rvslni és nagy rá az esély, hgy egy hatósági ellenőrzés fg csak rávilágítani a prblémára. fizetni sem kell érte, mert a Ggle és a társkórházak segítenek A szftvereket, sablnkat, az elkészült dkumentumkat, szabályzatkat a szerzői jgról szóló törvény védi, azkat jgszerűen használók adatkezelési tájékztatóit, nyilvántartásainak, dkumentumainak máslása, felhasználása bűncselekmény, ami ellen jgi eljárás kezdeményezhető. kaptunk egy lcsó ajánlatt, havi pár ezer Ft-ért Ahgy egy túláraztt ajánlat gyanút kelthet, ugyanúgy gyanús lehet egy alul kalkulált ajánlat is. majd akkr fglalkzunk vele, ha már mindenkinek meglesz : Skan elkezdték, és száms szervezetnél mst van flyamatban a tervezés. A végeredmény elérése időigényes, hónapkig tarthat az adatkezelések feltérképezése és az adatkezelési nyilvántartásk összeállítása. Tapasztalatunk szerint nagyn eltérő a vezetők felelősségérzete, kckázatvállalási hajlandósága. Nehéz megtalálni a középutat a kevés, az instant és a túlbnylíttt, esetleg nehezen működtethető rendszer között. Nem létezik lyan megldás, amely ne igényelné a szervezet közreműködését a bevezetés, valamint a működtetés srán. A GDPR rendelet és az Inf törvény fenntartása, az érintetti jgk biztsítása, kötelező nyilvántartásk vezetése flyamats feladat. Nagyn bnylult szabályzatk, dkumentumk, excel nyilvántartásk vezetése nem elvárható az adatvédelemben nem gyakrltt, saját munkájával is leterhelt ügyintézőtől, és távli szakértőtől sem. Igen, ez is egy GDPR ajánlat, de egyedi, a rendelkezésre álló pénzügyi lehetőségeknek, igényeknek megfelelően, fkzatsan bővíthető, rugalmas, saját RENDSZER, kész ESZKÖZ, csak az igényelt támgatással. Ha felkeltettük érdeklődését, akkr kérjük kalkuláljn és készítsen személyre szabtt árajánlatt az alábbi link segítségével: 3

4 GDPReg szftver, azaz jgszabályi megfelelést biztsító adatvédelmi asszisztens kedvező árn A GDPReg rendszer előnyei: könnyen kezelhető, használata az adatvédelmi rendelet ismerete nélkül is könnyen elsajátítható akár önállóan a rendszer használója csak annyiban függ külső tanácsadótól, adatvédelmi tisztviselőtől, amennyire igényli, szftverbevezetési- és szftverhasználati támgatás az üzemeltetőtől árlista szerint bármikr kérhető, flyamatsan biztsíttt támgatás áll a felhasználók rendelkezésére lehetőséget biztsít a saját tanácsadókkal való közös munkára, mivel a szftvert tetszőleges számú, különböző jgsultságkkal rendelkező személy kezelheti, naplózza az eseményeket (az üzemeltető együttműködési lehetőséget ajánl megfelelő ismeretekkel rendelkező tanácsadóknak, egyedi megállapdás megkötésével) a felhasználókat flyamatsan tájékztatjuk az adatkezeléseket érintő jgszabályi váltzáskról, módsításra javaslt adatkezelésekről a GDPReg rendszerben adatvédelmi szakjgász bevnásával törekszünk a sablnk naprakészen tartására, a váltzáskról a szftver felhasználói felületén tájékztatást adunk (az aktualizálás önállóan is könnyen elvégezhető, megállapdás/nyilatkzat alapján az aktualizálást is elvégezzük a GDPReg rendszer kmplett eszközt nyújt a megfelelőség biztsításáhz, beépített kész adatkezelési, érdekmérlegelési és egyéb sablnkkal, melyek használatával a nyilvántartási, dkumentálási feladatk is megldttak az alapértelmezetten feltöltött adatfeldlgzói rendszereknek, valamint az adatfeldlgzók adatainak ellenőrzését követően csak ki kell választani az intézmény tevékenységéhez ajánltt adatkezelési sablnkat, melyek megfelelő adattartalmúak, de bármikr módsíthatók, kiegészíthetők az árajánlatban szereplő, távli eléréssel és telefnn történő, 2 óra időtartamú szftver-bevezetési támgatás alatt alapszinten előállíthatók a legfntsabb tájékztatók és nyilvántartásk úgy mint: egészségügyi adatkezelési tájékztató ügyfelek adatkezelési tájékztatója munkavállalók adatkezelési tájékztatója adatkezelési és adatfeldlgzói nyilvántartásk az adatkezelő és adatfeldlgzók közötti adatkezelési megállapdásk mellékletei a hzzájárulás alapú adatkezelések esetén szükséges hzzájáruló nyilatkzatk a felméréskr nem ismert egyedi adatk (pl. kamerarendszer üzemeltető, távfelügyeleti szlgáltató adatai) utólag könnyen pótlhatók a felméréskr szükségtelenül rögzített adatkezelések bármikr törölhetők, vagy ismét sablnból hzzáadhatók, az adatkezelési rendszerek, adatfeldlgzók adatai is aktualizálhatók, az aktuális adatkkal aznnal előállíthatók a fenti nyilvántartásk a későbbiekben még szükséges dkumentumk bármikr könnyen előállíthatók: a jgs érdek alapján történő adatkezelések még szükséges érdekmérlegelési tesztjeihez adatkezelésenként minta szerepel, melyek bármikr aktualizálhatóak, igény esetén testre szabhatóak (pl. hivatali Internet használat ellenőrzése, levelezés, fiók ellenőrzése, a nem engedélyezett magáncélú telefnhasználat ellenőrzése, biztnsági kamerás megfigyelés) legkésőbb májusban egyes adatkezelésekre el kell végezni az adatvédelmi hatásvizsgálatt, melyhez eszközt biztsít a szftver a szükséges vagy javaslt nyilvántartásk részét képezik a szftvernek (pl. incidensek, érintetti kérelmek nyilvántartása), valamint aznnal előállíthatóak a hatóság és az érintett természetes személyek által elvárt dkumentumk biztsítani tudjuk, hgy a hnlapba illesztett kód segítségével váltzás esetén autmatikusan frissül az ügyfelek adatkezelési tájékztatója a hnlap üzemeltető közreműködése nélkül is (hnlapba beágyaztt tájékztató) a rendszer flyamatsan és hatéknyan támgatja az adatvédelmi tisztviselő, a kijelölt munkatárs, a felkészítő, a tanácsadó, az adatvédelmi szakértő munkáját, de szükség esetén egyedi szakértői segítség is igényelhető 4

5 a rendszerhasználati díj ellenében biztsítjuk azt, hgy a szftver flyamatsan teljesíti a GDPR rendelet, valamint az Inf törvény követelményeit igény esetén megrendelhető az egyszerű, de részletes, a GDPReg rendszerre épülő, és az intézmény infrmatikai biztnsági szabályzatának megfelelő adatkezelési szabályzat kevés idő- és energiaráfrdítással is kmplett nyilvántartási és tájékztatási rendszer készíthető, valamint a flyamatsan bővülő, a jgszabályi követelményekkel harmnizát és felülvizsgált sablnkészlet megkönnyíti az intézményi adatvédelmi rendszer fejlesztését és aktualizálását ha már más tanácsadó elvégezte a felkészítést, azaz elkészítette az adatkezelési nyilvántartáskat, tájékztatókat, de bármi kból felmerül az igény az infrmatikai támgatásra, akkr is érdemes regisztrálni és a krábban összeállíttt adatkezeléseket, nyilvántartáskat a GDPReg szftverben rögzíteni (a beépített sablnk használata csak lehetőség) a regisztrációkr kiválaszttt díjcsmagnak megfelelő számú személy (nyilvántarttt) esetén - a piacn egyedülálló módn - biztsítja a személyekhez rendelt adatkezelések és adatk könnyű nymn követését, figyeli az egyes személyes adatkezeléseken belüli adatk lejárati idejét, figyelmeztet az intézkedések szükségességére, dkumentálja azk elvégzését a legkisebb havi díjú MIKRO csmag regisztrációjával is használható valamennyi funkció, a bevezetési időszakban ezt javasljuk, a későbbiekben csmagbővítés lehetséges a csmagk közötti díjkülönbség kiegyenlítését követően. gyrs ajánlatkérés, regisztráció, aznnal megérkező prfrma számla, felhasználói fiók aktiválás, rövid idő alatt elkészíthető a szftver által biztsíttt funkciókat részletesen a link ismerteti. A rugalmas és felhasználóbarát GDPReg rendszerről az alábbi hnlapn található bővebb infrmáció: Kérjük kalkuláljn: Az árkalkuláció többször elvégezhető és nymtatható ajánlat generálható. A felkészüléshez jó munkát kívánunk: Katnai Zslt GDPReg Kft. ügyvezető katnai.zslt@gdpreg.hu Utóirat: ha Ön adatvédelmi felkészítéssel fglalkzó tanácsadó, akihez eljuttt ez az , és egyetért azzal, hgy egy rugalmas rendszer eszköz a felkészítéséhez, DPO felügyelethez, az ügyfele, a GDPR Rendelet követelményeinek bevezetése, teljesítése, dkumentálása érdekében együtt szeretne velünk működni, vegye fel velünk a kapcslatt a vagy regisztráljn tanácsadóként a hnlapn. A GDPReg szftver, frráskód, adatbázis, algritmus, sablnkönyv a Szellemi Tulajdn Nemzeti Hivatalánál nyilvántarttt. A szftvert jgszerűen használók adatkezelési tájékztatóinak, nyilvántartásainak, dkumentumainak máslása, felhasználása bűncselekmény, ami ellen minden esetben jgi eljárást kezdeményezünk. 5