General Data Protection Regulation G D P R általános adatvédelmi rendelet Dr. Czelleng Arnold 1
Jogi alapok Az EU 2016/679 rendelete (2016. április 27.) a természetes személyek személyes adatainak kezelése tekintetében történő védelméről és azok szabad áramlásáról szóló rendelet. A rendelet jelentősége A rendelet két éve hatályban van, a rendelkezésre álló türelmi idő 2018. május 25. napját követően lejár. Ezt követően a kapcsolódó hatóság (Nemzeti Adatvédelmi és Információszabadság Hatóság - NAIH) ellenőrizheti ennek betartását és nem megfelelőség esetén az érintett szervezetet maximum 10 M EUR (tudatos jogsértés esetén akár 20 M EUR) vagy az éves árbevétel 4%-ának megfelelő összeggel büntetheti. 2
Kire vonatkozik? Minden olyan szervezetre, ahol személyes adatok kezelése automatizált vagy nem automatizált módon történik, amelyek valamilyen nyilvántartási rendszer részét képezik. Mindenkire, aki magánszermélyek (vevők, ügyfelek, munkatársak) adatait tárolja, feldolgozza, kezeli beleértve a HR, munkaügyi, toborzás során felmerülő személyes adatokat is. 3
GDPR megfelelés kulcs kérdései és feladatai Milyen személyes adatokat kezelünk? Hogyan, hol és mennyi ideig akarjuk tárolni? Milyen jogcímen akarjuk kezelni? Milyen rendszerekben használjuk, és biztosítható - e azok törlése? Hogyan, mikor és miről tájékoztatjuk az érintetteket? Felmérés, folyamatszervezés valamint a rendszer kialakítása 1 Üzleti folyamatok átvilágítása és egy teljeskörű felmérés elvégzése folyamatok újragondolása 4 Adatvédelmi és információbiztonsági rendszer kialakítása, dokumentálása (szabályzatok, nyilvántartások, adatvédelmi tájékoztatók stb.) 3 IT feladatok Kapcsolódó IT rendszerek folyamatokhoz illesztése Jogi feladatok 2 Speciális szerződések felülvizsgálata 5 Elkészült ügyféltájékoztatók, egyes szabályzatok jogi validációja 4
Folyamatok átvilágítása A személyes adatkezelést a folyamatok működésimodell ábráján vizsgáljuk Fontos kérdések: Mely folyamatokban kerül be személyes adat? Mi az adatkezelés célja? Milyen jogalapon kezeli őket a szervezet? Hogyan tájékoztatja a szervezet az érintetteket? Rendelkezik-e a szervezet az adatok kezeléséhez szükséges jogosultsággal? 5
Speciális szerződések felülvizsgálata Jogi feladatok Elkészült ügyféltájékoztatók, egyes szabályzatok jogi validációja A céggel szerződéses kapcsolatban álló érintettek helyzetének felülvizsgálata - adatfeldolgozók beazonosítása, rájuk vonatkozó intézkedések megtétele Más jogi elvárások összeegyeztetése a GDPR rendelettel Beszállítók Vevők Vizsgált szervezet 6
Adatkezelési alapelvek A szervezet által végzett adatkezelési tevékenységnek az alábbi elvek figyelembe vételével kell működnie: Jogszerűség, tisztességes eljárás és átláthatóság: Az adatok kezelését jogszerűen, tisztességesen és az érintettek számára átláthatóan kell végezni. Célhoz kötöttség: Személyes adatok gyűjtése és kezelése csak meghatározott, jogszerű célból történjen. Adattakarékosság: A rendelkezésre álló adatok az adatkezelés céljából relevánsak és megfelelőek kell hogy legyenek, és a szükségesre kell korlátozódniuk. 7
Adatkezelési alapelvek Pontosság: A személyes adatok kezelésének pontosnak és haladéktalannak kell lennie, a pontatlan, megváltozott személyes adatokat haladéktalanul töröljék vagy helyesbítsék. Korlátozott tárolhatóság: A személyes adatok tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé. Integritás és bizalmas jelleg: A kezelt adatok megfelelő biztonságát, jogosulatlan kezelésével, megsemmisítésével szembeni védelmét biztosítani kell. + Elszámoltathatóság: Az adatkezelő felelős a felsorolt elveknek való megfelelésért, képesnek kell lennie a megfelelés igazolására. Megfelelés hiányában büntethető. 8
Jogalapok Az alábbi jogalapokon lehetséges az adatok kezelése: Hozzájáruláson alapuló: Az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez. Szerződésen alapuló: Az adatkezelés szerződés teljesítéséhez szükséges, az érintett az egyik szerződő fél. Jogi kötelezettségen alapuló: Az adatkezelőre vonatkozó jog kötelezettség teljesítéséhez szükséges (pl.: jogszabályi megfelelés). Az érintett érdekeinek védelme: Létfontosságú érdekek védelme miatt szükséges az adatkezelés (pl.: egészségügyi adatok). 9
Jogalapok Közérdekű feladat végrehajtása: Közhatalmi feladat végrehajtásához szükséges az adatkezelés (pl.: önkormányzatok). Jogos érdeken alapuló: Az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekének érvényesítéséhez szükséges. A szervezet által kezelt adatok adatkezelési jogszerűségét igazolni kell! Ha az adatkezelési jogalap megváltozik, az érintetteket tájékoztatni kell! 10
Adatkezelési jogalapok a gyakorlatban Jogalap Feltétel Határidő Követelmény Hozzájáruláson alapuló Önkéntes hozzájárulás Hozzájárulás visszavonása Szerződésen alapuló Szerződés megléte Szerződés lejárta Jogi kötelezettségen alapuló Közérdekű feladat végrehajtása Törvényi előírás Törvényi előírás Jogos érdeken alapuló Tájékoztatás Érintett tiltakozása Hozzájárulás bizonyíthatósága, az adatkezelő elállhat a hozzájárulásától, régi hozzájárulásokat is felül kell vizsgálni A szerződésben rögzített adatkezelés ellen nem tiltakozhat az érintett, lejáratkor jogalapot kell váltani Törvényi előírásnak megfelelő adattárolás, jogalap átminősítés ha a határidő után kívánjuk használni az adatot Az érintett tiltakozhat az adatkezelés ellen Adatok jogszerű megszerzése, az érintett tiltakozhat az adatkezelés ellen 11
Az érintettek jogai Az adatkezelésben érintettek az alábbi jogokkal rendelkeznek: Tájékoztatás: Az érintetteknek jogukban áll megfelelő, átlátható tájékoztatásban részesülni az adatkezelés céljával és kezelt adataikkal kapcsolatban. Hozzáférés joga: Az érintett jogosult visszajelzést kapni az adatkezelésre vonatkozóan, illetve az adatkezelés paramétereivel kapcsolatos információkhoz is kérhet hozzáférést. Helyesbítés joga: Indokolatlan, késedelem nélküli adathelyesbítést kérhet az érintett. Törléshez való jog: Az érintett adatainak indokolatlan késedelem nélküli törlését kérheti, ha az adatkezelés célja megszűnt, vagy hozzájárulását visszavonja, vagy jogellenes adatkezelés történik. 12
Az érintettek jogai Adatkezelés korlátozásához való jog: Az érintett kérheti az adatkezelőt az adatkezelés korlátozására. Adathordozhatósághoz való jog: Az érintett a rá vonatkozó, általa rendelkezésre bocsátott személyes adatokat megkaphatja és továbbíthatja más adatkezelőnek is. Tiltakozáshoz való jog: Saját helyzetével kapcsolatos okokból az érintett jogosult a személyes adatainak kezelésével kapcsolatos tiltakozásra. 13
GDPR tanácsadási szolgáltatásunk I. A GDPR rendeletben foglalt megfeleléssel kapcsolatosan az alábbiakban nyújtunk segítséget ügyfeleink részére: Felmérés és szükséges intézkedések meghatározása: A jelenlegi szabályozási rendszer és belső folyamatok feltérképezése GDPR megfelelési auditok lefolytatása Adatkezelési folyamatok azonosítása A kapcsolódó szerződések felülvizsgálata Adatvédelmi hatásvizsgálat lefolytatása Összefoglaló jelentés készítése a GDPR megfeleléshez kapcsolódó problémákról Partneri és vevői szerződésekben szükséges módosítási elvek meghatározása Megfelelésre vonatkozó dokumentációs követelmények, folyamat és IT fejlesztési javaslatok meghatározása 14
GDPR tanácsadási szolgáltatásunk II. Adatkezelési folyamatok kialakítása: Adatkezelési nyilvántartás (személyes adat nyilvántartás) kialakítása Adatkezelési szabályzat kialakítása vagy aktualizálása Adatkezelési tájékoztató kialakítása vagy aktualizálása Titoktartási nyilatkozatok kialakítása vagy aktualizálása A belső üzleti folyamatok átalakítása, finomhangolása annak érdekében, hogy a jogszabályoknak megfelelő legyen. Az említett folyamatok dokumentálása. Az alvállalkozói és vevői szerződések szövegszintű módosításának validálása a GDPR megfelelőség szempontjából 15
G D P R info@tqconsulting.hu +36 1 460 0446 +36 30 250 3523 Dr. Czelleng Arnold 16