GDPR a jogi háttér Domokos Márton
Az adatvédelmi tudatosság nem 2018-ban kezdődött 2
Egyetemes állam és jogtörténet 2012. január 25. 2016. április 14. Agreement on Commission's EU data protection reform will boost Digital Single Market 3
Hogy állunk? International Data Corporation survey 700 companies 4
Ugye már mindenki érti a GDPR-t? 5
És hogy állnak a felkészüléssel? 6
A leggyakoribb reakciók és kérdések Meglepődnék, ha a több százezer magyar cég többségének van ilyen. Az adatvédelem árva gyerek a szervezetben. Mi történik 2018. május 25. után? Mit csinál a NAIH? Van türelmi idő? Tényleg 2-4% lesz a bírság? 7
Milyen szankciók várhatóak, ki és kit büntet? Bírság: világszintű éves bevétel 2-4%-a / 10-20.000.000 EUR 8
MIK A FŐBB KÖTELEZETTSÉGEK 9
A varázsszó: elszámoltathatóság (accountability) Infotv. adatvédelmi kötelezettségek csak példálódzó jelleggel - adatkezelési tájékoztatók - adatbiztonsági intézkedések - bejelentkezés az Adatvédelmi Nyilvántartásba GDPR adatvédelmi kötelezettségek csak alapelvi szinten megfelelő technikai és szervezési intézkedések bevezetése a megfelelés érdekében + képesnek kell lenni a megfelelés igazolására ügyfél: adatvédelmi zöldmező 10
A varázsszó: elszámoltathatóság (accountability) 1. Data mapping + az adatkezelési tevékenységek nyilvántartása 2. Adatkezelési tájékoztatók és hozzájárulások (ha kell) 3. Az adatkezelés biztonsága + adatvédelmi incidensek kezelése 4. Szerződések GDPR megfelelése 5. Adattovábbítások az EU-n kívülre 6. Beépített és alapértelmezett adatvédelem, adatvédelmi hatásvizsgálat 7. Belső adatvédelmi tisztviselő 8. Adatvédelmi jogok és jogorvoslati lehetőségek 9. Marketing, automatizált döntéshozatal, profilalkotás 10. HR tevékenységek, ügyfélkapcsolat, általános szerződési feltételek 11
1. Data mapping + az adatkezelési tevékenységek nyilvántartása 12
Data mapping + az adatkezelési tevékenységek nyilvántartása aminek meg kell lennie Adatmapping A GDPR-nak való megfelelés felméréséhez szükséges, a társaság által végzett adatkezelésekkel kapcsolatos minden információt tartalmazó adatleltár. Az adatkezelések belső nyilvántartása és szabályozása a társaság által végzett adatkezelésekkel kapcsolatban (pl. archiválási szabályzat, adattörlési szabályzat). 13
2. Adatkezelési tájékoztatók és hozzájárulások forrás: http://www.theatlantic.com/technology/archive/2012/03/reading-the-privacy-policies-youencounter-in-a-year-would-take-76-work-days/253851/ 14
Adatkezelési tájékoztatók és hozzájárulások Aminek meg kell lennie GDPR-nak megfelelő adatkezelési tájékoztatók és hozzájárulások. Útmutatás / checklist készítése, hogy a társaság a GDPR projekt lezárását követően hogyan tudja elvégezni a fentieket saját maga. 15
3. Az adatkezelés biztonsága + adatvédelmi incidensek kezelése 16
Az adatkezelés biztonsága és az adatvédelmi incidensek kezelése aminek meg kell lennie A GDPR alapján kötelezően lefolytatandó belső incidenskezelési eljárás és az ezzel kapcsolatos belső dokumentáció-minták. 17
4. Szerződések GDPR megfelelése 18
Szerződések GDPR megfelelése Aminek meg kell lennie A szerződések nyilvántartásnak átnézése, szükség esetén módosítási javaslat a GDPR által előírt belső nyilvántartás(ok) vezetésére és naprakészen tartására. A GDPR alapján kötelezően megkötendő, adatfeldolgozási szerződéseknek nevezett szerződések / szerződéstípusok / szerződéses rendelkezések felülvizsgálata, adatfeldolgozási mintaszerződés elkészítése és eljárásrend javaslata a hasonló szerződések megkötésére és nyomon követesére beszerzési szempontból. 19
5. Adattovábbítások harmadik országba 20
Adattovábbítások harmadik országba Aminek meg kell lennie Adattovábbítási folyamatok felülvizsgálata, az adattovábbításokkal kapcsolatban meglévő dokumentáció áttekintése, a GDPR-nak megfeleléshez szükséges módosítási és megoldási (pl. EU Modellszerződések használata) javaslatok elkészítése, és a társaság döntése alapján a módosítások elkészítése. 21
6. Beépített és alapértelmezett adatvédelem, adatvédelmi hatásvizsgálat 22
Beépített és alapértelmezett adatvédelem, DPIA Aminek meg kell lennie A GDPR alapján kötelezően elvégzendő adatvédelmi hatásvizsgálat mintájának és belső eljárásának elkészítése (pl. iránymutatás arra az esetre, hogy mikor szükséges adatvédelmi hatásvizsgálat, milyen lépésekben kell lefolytatni, mikor kell konzultálni az érintett személyekkel és/vagy az illetékes hatósággal). A minta és belső eljárás kiterjed a GDPR által megkövetelt, beépített és alapértelmezett adatvédelem (Privacy by Design, Privacy by Default) alapelveinek való megfelelés biztosítására rendelkezésre álló eszközök rögzítésére. 23
7. Egy fontos pozíció a társaságban 24
Adatvédelmi tisztviselő - DPO, illetve Privacy astronaut Régen Ügyfél: very lucky to have a job that allows dealing with topics that really help the business Ügyfél: Congratulations on your new unpaid role! Adatvédelmi szakértő (Eduardo Ustaran): privacy officers would be wise to become privacy astronauts, getting ready for the next unforeseen emergency that will surely arise from the GDPR - astronauts train and are always preparing for the next thing that can kill them Most 25
DPO Aminek meg kell lennie A belső adatvédelmi tisztviselő (DPO) tevékenységének felülvizsgálata: a DPO munkaszerződésének / megbízási szerződésének elkészítése, a DPO munkaköri leírásának / feladatleírásának elkészítése, és a DPO tevékenységével kapcsolatos belső eljárásrend kialakítása. 26
8. Adatvédelmi jogok és jogorvoslati lehetőségek 27
Adatvédelmi jogok és jogorvoslati lehetőségek Hozzáférési jog A tiltakozáshoz való jog A helyesbítéshez való jog Adatvédelmi jogok és jogorvoslati lehetőségek Az adathordozhatósághoz való jog A törléshez való jog ( az elfeledtetéshez való jog ) Az adatkezelés korlátozásához való jog 28
Adatvédelmi jogok és jogorvoslati lehetőségek Aminek meg kell lennie Az érintett személyek adatvédelmi jogainak gyakorlása esetén irányadó belső eljárások átnézése és szükség esetén belső eljárásrend készítése. Például: információkérés adataik kezeléséről, panaszok az adatkezeléssel kapcsolatban, adatok helyesbítésének kérése, adattörlési és adatzárolási kérelmek, opt-out stb. Checklist: a kulcsszemélyek (pl. IT, HR, marketing) számára, az érintettek jogai gyakorlásának és panaszainak kezelésére 29
9. Marketing, automatizált döntéshozatal, profilalkotás 30
Marketing, automatizált döntéshozatal, profilalkotás Aminek meg kell lennie A társaság marketing- és egyéb automatizált tevékenységeinek vizsgálata, annak megállapítása érdekében, hogy a társaság folytat-e (vagy akar-e folytatni) a GDPR követelményei alá eső profilalkotási tevékenységet. Ha igen, a szükséges dokumentáció elkészítése. Útmutatás / checklist készítése arra vonatkozóan, hogy a társaság a projekt lezárását követően hogyan tudja elvégezni a fentieket saját maga. 31
10. HR, ügyfélkapcsolat, általános szerződési feltételek 32
A GDPR evangelizálása VAGY For brands there is an opportunity to really review the language and methods they use in the context of transparency with customers. There is also the opportunity to look at using the very channels we use to engage in a much more creative and consistent way. Fedelma Good - director of information, policy and strategy 33
A GDPR megfelelési projektet vezetők szerint 34
Köszönöm a figyelmet! Domokos Márton Szenior tanácsadó, adatvédelem T +36 1 483 4824 E marton.domokos@cms-cmno.com 35
Your free online legal information service. A subscription service for legal articles on a variety of topics delivered by email. cms-lawnow.com Your expert legal publications online. In-depth international legal research and insights that can be personalised. eguides.cmslegal.com CMS Legal Services EEIG (CMS EEIG) is a European Economic Interest Grouping that coordinates an organisation of independent law firms. CMS EEIG provides no client services. Such services are solely provided by CMS EEIG s member firms in their respective jurisdictions. CMS EEIG and each of its member firms are separate and legally distinct entities, and no such entity has any authority to bind any other. CMS EEIG and each member firm are liable only for their own acts or omissions and not those of each other. The brand name CMS and the term firm are used to refer to some or all of the member firms or their offices. CMS locations: Aberdeen, Algiers, Amsterdam, Antwerp, Barcelona, Beijing, Belgrade, Bogotá, Berlin, Bratislava, Bristol, Brussels, Bucharest, Budapest, Casablanca, Cologne, Dubai, Dusseldorf, Edinburgh, Frankfurt, Geneva, Glasgow, Hamburg, Hong Kong, Istanbul, Kyiv, Leipzig, Lima, Lisbon, Ljubljana, London, Luxembourg, Lyon, Madrid, Manchester, Medellín, Mexico City, Milan, Monaco, Moscow, Munich, Muscat, Paris, Podgorica, Poznań, Prague, Reading, Rio de Janeiro, Riyadh, Rome, Santiago de Chile, Sarajevo, Seville, Shanghai, Sheffield, Singapore, Sofia, Strasbourg, Stuttgart, Tehran, Utrecht, Vienna, Warsaw, Zagreb and Zurich. This presentation is intended to highlight potential issues and provide general information and not to provide legal advice. You should not take, or refrain from taking, action based on its content. If you have any questions, please contact your main contact partner at the relevant CMS member firm. cms.law 36