GDPR szelídítés. Gyakorlati megfontolások a KKV szférának.

GDPR szelídítés Gyakorlati megfontolások a KKV szférának.

Az előadóról Kiss Tibor - GDPR coach Certified Information Privacy Professional GDPR tanácsadó Business coach és mediátor Vezető rendszermérnök telekommunikációs projektekben:

Jogi gyorstalpaló

Jogi gyorstalpaló Fejezet Cikkely Bevezető 1-173 1. Általános rendelkezés 1 2 3 4 2. Elvek 5 6 7 8 9 10 11 3. Az érintett jogai 12 13 14 15 16 17 18 19 20 21 22 23 4. Adatkezelő / feldolgozó 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 5. Harmadik ország 44 45 46 47 48 49 50 6-7-8-9-10-11 51-59; 60-76; 77-84; 85-91; 94-99;

Jogi gyorstalpaló GDPR jogok: megfelelő tájékoztatás hozzáférési jog a rólad tárolt adatokhoz a pontatlan adatok helyesbítéshez való jog a szükségtelen (vagy törvénytelenül tárolt) adataid törléséhez való jog adathordozhatóság adatkezelés elleni tiltakozás (pl marketing célból) adatkezelés korlátozása az automatikus döntéshozás és profilalkotás megakadályozása

5. cikk - A személyes adatok kezelésére vonatkozó elvek jogszerűség, tisztességes eljárás és átláthatóság célhoz kötöttség adattakarékosság pontosság korlátozott tárolhatóság integritás és bizalmas jelleg elszámoltathatóság

6. cikk - Az adatkezelés jogszerűsége Szerződés teljesítéséhez Jogi kötelezettség teljesítéséhez Hozzájárulással Jogos érdek alapján

7. cikk - A hozzájárulás feltételei Önkéntes alapon Specifikusan Igazolhatóan Céljáról világos, egyszerű nyelvezetben tájékoztatva Aktív cselekedettel Feltétel nélküli

24. cikk - Az adatkezelő feladatai (1) Az adatkezelő az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése e rendelettel összhangban történik. Ezeket az intézkedéseket az adatkezelő felülvizsgálja és szükség esetén naprakésszé teszi. (2) Ha az az adatkezelési tevékenység vonatkozásában arányos, az (1) bekezdésben említett intézkedések részeként az adatkezelő megfelelő belső adatvédelmi szabályokat is alkalmaz.

További cikkek az adatkezelő és adatfeldolgó témakörben 25: beépített és alapértelmezett adatvédelem 28-29: adatfeldolgozó Az adatkezelő nevében, írásbeli utasítás alapján adatokat kezel Csak olyan adatfeldolgozónk lehet, amely megfelelő GDPR garanciákat nyújt 31: együttműködés a felügyeleti hatósággal 32: adatkezelés biztonsága Az előző cikkelybe említett intézkedések alapértelmezettek. a tudomány és technológia állásának megfelelő biztonsági intézkedésekkel 33-34: adatkezelési incidens bejelentése 72 órán belül

Akkor most mit is kell a KKV-nak csinálni? Tisztességes módon kezeli az adatokat. Az emberek élhessenek a jogaikkal (hozzáférés, helyesbítés, törlés ). A tudomány és technika állásának megfelelő és az adat alany kockázatával arányos adatvédelmi technológiát és folyamatokat alkalmaz. Bejelenti ha adatkezelési incidens történt.

Akkor most mit is kell a KKV-nak csinálni? Tisztességes módon kezeli az adatokat. Az emberek élhessenek a jogaikkal (hozzáférés, helyesbítés, törlés ). A tudomány és technika állásának megfelelő és az adat alany kockázatával arányos adatvédelmi technológiát és folyamatokat alkalmaz. Bejelenti ha adatkezelési incidens történt. Akkor nem kell csinálnom semmit? :)

Röviden a speciális esetekről

Röviden a speciális esetekről A személyes adatok különleges kategóriái (9. cikk) A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése.

Röviden a speciális esetekről Büntetőjogi Magas kockázattal járó adatkezelés (különössen új technologiák esetén) Közhatalmi szervek, közfeladatot ellátó szervek Fő tevékenység keretében az érintettek rendszeres és szisztematikus, nagymértékű megfigyelését teszik szükségessé Adatvédelmi hatásvizsgálat (DPIA), hatósági konzultáció Adatvédelmi tisztviselő (DPO) Nem megfelelő harmadik országba továbbított adatok

Az arányos intézkedésekről Nem a vállalkozás mérete határozza meg, hogy mi az arányos, hanem az adat alanyok mennyiségi és minőségi kockázata.

Érzékenység Az arányos intézkedésekről Pénzügyi előéletünk Teljes egészségügyi történetünk Igazolványadatok Fényképeink (a cloudban) Mikor hol voltunk az elmúlt év során (GPS) Közösségi aktivitás Mire kerestünk a böngészőben Telefon hívástörténetünk (emeltdíjas számok!) Közüzemi számlák Hol, mikor szálltunk meg a nyaraláskor Vevő/hűségkártya profilalkotás Vettünk egy horgászbotot

Intézkedés Érzékenység Az arányos intézkedésekről 16 szőrös, kockásinges számítógép guru figyeli a rendszert Teljes körű aktivitás monitorizás Két testőrrel, csuklóra bilincselt aktatáskában Állandó jellegű auditálás ISO, NIST, PCI-DSS stb megfelelés Eseti auditálás Fizikai beléptető rendszer, biztonsági őr Részletekbe menő hozzáférés kezelés Titkosított adattároló (pl. NAS), titkosított fájlok Alapvető hálózatbiztonság (tűzfal, WiFi) Felhasználónév+jelszó védett számítógép Zárható iratszekrény, iratmegsemmisítő

Demonstrációs stratégia GDPR elemzési dokumentum Felkészülési munkafüzet GDPR jogok kezelése Hozzájárulás kezelés Incidens nyilvántartás, kezelés Adatkezelés leírása, szabályzat Harmadik fél véleménye (elsősorban IT biztonságról) Adat leltár, adat térkép Oktatás Etikai kódex, tanúsítvány

Példa: IT biztonság Szakértő 2006 BT, a Kereskedő 2009 KFT kérésére felülvizsgálta a biztonsági beállításokat és az alábbi adatbiztonsági intézkedéseket valósította meg: A gépeken az antivírus és operációs rendszer tekintetében beállította az automatikus frissítéseket A WiFi hozzáféréshez jelszót állított be (WPA2/PSK) A helyi hálózatot védő tűzfalat bekonfigurálta A gépeket megfelelő felhasználónév és jelszó védelemmel ruházta fel A Raktár 2.0 programban, mindenkinek saját felhasználója van

Példa: GDPR jogok biztosítása Önnek joga van ahhoz, hogy (a cégünk által) tárolt személyes adatokat megtekintse, helyesbítse. Esetenként kérheti az adatok törlését, feldolgozás korlátozását vagy tiltakozhat feldolgozásuk ellen. További információért olvassa el a GDPR 13-19. cikkelyeit. A jogai gyakorlásáért kérjük lépjen kapcsolatba velünk az alábbi elérhetőségen: gdpr@sumákbété.hu +36 99 9999 9999

Példa: átláthatóság Köszönjük, hogy jelentkezett a cégünk által meghirdetett pozícióra. Az Ön által szolgáltatott személyes adatokat a toborzási folyamat végéig őrizzük meg, ami 90 napot semmilyen körülmények között nem haladja meg. Ha adatkezeléssel kapcsolatos kérdése van, vagy a GDPR 13-19 cikkelyeiben foglalt jogaival szeretne élni, kérjük lépjen kapcsolatba velünk: hr@sumákbété.hu +36 99 9999 9999

Példa: hozzájárulás kezelés Köszönjük, hogy jelentkezett a cégünk által meghirdetett pozícióra. Sajnálattal értesítjük, hogy a kérdéses pozíciót már időközben betöltötték. Az Ön által szolgáltatott személyes adatokat szeretnénk egy esetleges jövőbeli megkeresés érdekében 2021.01.01-ig eltárolni. Kérem email válaszban jelezze hozzájárulását! Ha ilyen hozzájárulás nem érkezik, 15 naptári nap múlva töröljük adatait. Ha adatkezeléssel kapcsolatos kérdése van, vagy a GDPR 13-19 cikkelyeiben foglalt jogaival szeretne élni, kérjük lépjen kapcsolatba velünk: hr@sumákbété.hu +36 99 9999 9999

Példa: adatkezelés leírása A Takarító 2000 Kft szerződéses szemétszedést vállal. Személyes adatokat a munkáltatás során kezelünk. Gizike, a bérszámfejtő kezeli az összes bérrel kapcsolatos papírmunkát. A kapcsolódó iratokat egy zárható szekrényben tartja, amihez csak neki és a főnöknek van kulcsa. Az iratokat a maradandó értékű iratokról szóló törvény szerint kezeli. Jolika a munkaszervező, ő intézi a számlázást és a szerződéseket. Az ezzel kapcsolatos iratokat, egy másik, erre a célra használt zárható szekrényben tárolja. Ehhez kulcsa neki és a főnöknek van. Az iratokat az adózási törvény által meghatározott szabályok alapján kezeli. Az irodát, ha nincs ott Gizike, Jolika vagy a Főnök, zárjuk.

Adatleltár logikája Adat Miért? Kinek az adata? Miért? Miért? Mit? Mikor? Hol?

Példa: adatleltár Üzleti egység Pénzügy Célja Bérezés (alkalmazáshoz kapcsolódó adminisztrációk) Személyek kategóriája Alkalmazottak Adatok kategóriája Elérhetőségek (név, cím) Címzettek kategóriája NAV Adatfeldolgozó Legjobb könyvelő 2000 BT Adattárolás ideje 5 év az alkalmazás megszűnése után Jogi alap Jogi kötelezettség Tárolás helye Titkosított megosztott lemez

Példa: incidens napló Incidens leírása Feltört autóból ellopták a jelentkezők önéletrajzát Ideje, időtartama 2018. Jan. 16., egyszeri Személyes adatok kategóriája Önéletrajz Érintettek száma, köre Gépkezelő állásra jelentkezők, 16 személy Adatok mennyisége 16 önéletrajz Kapcsolattartó (pl. DPO) (név, cím, telefonszám) Lehetséges következmény, kockázat Az érintettről kiderül, hogy új munkát keres. Intézkedések Önéletrajzok digitális tárolása Értesítések Érintettek értesítése telefonon

Demonstrációs stratégia GDPR elemzési dokumentum Felkészülési munkafüzet GDPR jogok kezelése Hozzájárulás kezelés Incidens nyilvántartás, kezelés Adatkezelés leírása, szabályzat Harmadik fél véleménye (elsősorban IT biztonságról) Adat leltár, adat térkép Oktatás Etikai kódex, tanúsítvány

Munkafüzet

I. Különleges adatkezelési esetek Különleges kategóriájú adatok kezelése Büntetőjoggal összefüggő adatkezelés Közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek Az érintettek rendszeres és szisztematikus, nagymértékű megfigyelését teszik szükségessé Magas kockázatú adatkezelés Személyes adatok harmadik országba továbbítása Automatizált döntéshozatal Gyerekeknek nyújtott információs társadalommal összefüggő szolgáltatás

II. Adatkezelés jogalapja

III. GDPR jogok biztosítása Rendelkezésre bocsátandó információk Hozzáférési jog Helyesbítéshez való jog Törléshez való jog Adatkezelés korlátozásához való jog Adathordozáshoz való jog Tiltakozáshoz való jog

Adatvédelmi tájékoztató

III. GDPR jogok biztosítása Rendelkezésre bocsátandó információk Hozzáférési jog Helyesbítéshez való jog Törléshez való jog Adatkezelés korlátozásához való jog Adathordozáshoz való jog Tiltakozáshoz való jog

IV. Technikai és szervezési intézkedések

V. Egyéb kapcsolódó iratok Adatleltár GDPR elemzési dokumentum Felkészülési munkafüzet Adatkezelés leírása, szabályzat Harmadik fél véleménye (elsősorban IT biztonságról) Adattérkép

VI. Néhány gyakori eset Foglalkoztatáshoz kapcsolódó adatkezelés Számlák Álláshírdetés Céges e-mail fiók Céges eszközök (telefon, laptop, stb) Felhő (cloud) szolgáltatások

VI. Néhány gyakori eset Foglalkoztatáshoz kapcsolódó adatkezelés Számlák Álláshirdetés Céges e-mail fiók Céges eszközök (telefon, laptop, stb) Felhő (cloud) szolgáltatások

VII. Záró gondolatok Tisztességes módon kezeli az adatokat. Az emberek élhessenek a jogaikkal (hozzáférés, helyesbítés, törlés ). A tudomány és technika állásának megfelelő és az adat alany kockázatával arányos adatvédelmi technológiát és folyamatokat alkalmaz. Bejelenti ha adatkezelési incidens történt. Adatvédelmi tájékoztató Incidens nyilvántartás Adatjogok kapcsán elérhető személy

Konzultációs lehetőség Itt és most Jövőbeli kamarai workshop GDPR rendelés Eseti tanácsadás cégeknek Közhasznú szervezeteknek GDPR megfelelési program tibor @ zenit-services.com +36 70 618 0126