2018. május 25-én lép életbe az új adatvédelmi rendelet, amelynek be nem tartása súlyos büntetéseket vonhat maga után, ugyanakkor a közhiedelemmel ellentétben nem támaszt nehezen teljesíthető vagy lehetetlen feltételeket.
Az alábbiakban a teljesség igénye nélkül összefoglalom a kisebb vállalkozásokat érintő fontosabb rendelkezéseket. (Ez a leírás nem tekinthető szakmai állásfoglalásnak, nem jogi szakember írta, ezért nem helyettesítheti jogi szakértő véleményét.)
Hol olvashatom el a rendeletet?
A GDPR rendelet lényegesebb részeit tartalmazó kivonata itt olvasható.
A GDPR dendelet teljes szövegét ide kattintva éri el.
Mikor NEM kell alkalmazni a rendeletet?
A rendeletet NEM kell alkalmazni többek között, ha a személyes adatok kezelését:
- természetes személy személyes vagy otthoni tevékenység keretében végzi
- az illetékes hatóság bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzi
-
az uniós jog hatályán kívül eső tevékenységek során végzik
Milyen kötelezettségeket ír elő az új rendelet?
A rendelet előírásai közül a cégek többségének szerencsére csak keveset kell alkalmazni. Természetesen mindenkinek a saját adatkezelésétől függ, hogy mi az, ami rá vonatkozik. A kisebb és egyszerűbb ügyvitellel renedlkező kis- és mikrovállalkozásoknak elsősorban a következőkre kell figyelniük:
- Átláthatóság: a személyes adatokat átlátható módon kell kezelni és az ügyfelet tájékoztatni kell az adatkezelésről.
- Tisztességes eljárás: személyes adatokat tisztességesen, jogszerű célból szabad kezelni, bizonyos esetekben az ügyfél külön hozzájárulásával.
- Célhoz kötöttség: csak a tevékenységhez feltétlenül szükséges személyes adatokat szabad tárolni.
- Pontosság: a személyes adatok nyilvántartásának pontosnak és naprakésznek kell lennie.
- Korlátozott tárolhatóság: a személyes adatokat kizárólag addig szabad tárolni, ameddig a tárolás célja indokolja és ameddig az érintett engedélyezi (kivéve, ha jogszabály írja elő a tárolást).
- Bizalmasság: a személyes adatokat biztonságosan, illetéktelenek számára hozzáférhetetlenül, adatvesztés elleni védelemmel (pl. rendszeres biztonsági mentés) ellátva kell kezelni.
Mi számít személyes adatnak?
A Webjogasz.hu oldal szerint gyakorlatilag minden, ami konkrét személlyel kapcsolatba hozható és róla elárul valamit, az személyes adatnak minősül.
Milyen tájékoztatást kell nyújtani az ügyfeleknek?
Ha az adatokat az ügyféltől gyűjtik, a következő tájékoztatást kell nyújtani az ügyfélnek, abban az esetben, ha az ügyél még nem rendelkezik ezekkel az információkkal:
- az adatkezelő neve, címe és elérhetőségei
- ha van külön adatvédelmi tisztviselő, akkor az ő neve, címe és elérhetőségei
- az adatkezelés célja és jogi alapja
- az adatok harmadik félnek történő továbbítása esetén a harmadik fél kiléte
- az adattárolás időtartam meghatározásának szempontjai, vagy ha ismert, akkor a konkrét időtartama
- az ügyfélnek jogában áll az adatait kikérni, helyesbíttetni vagy töröltetni, a hozzájárulását visszavonni
- az ügyfélnek joga van a felügyeleti hatósághoz panaszt benyújtani
- tájékoztatás az adatkezelés jogalapjáról, kötelező voltáról és hogy milyen következményekkel járhat, ha nem adja meg az adatait
- aztomatikus döntéshozatal esetén annak működéséről és annak lehetséges következményeiről
- az ügyfél tájékoztatása, ha módosul vagy bővül az adatkezelés célja
A fentieken kívül, ha az adatokat nem az ügyféltől gyűjtik, a következő tájékoztatást kell nyújtani az ügyfélnek, abban az esetben, ha az ügyél még nem rendelkezik ezekkel az információkkal:
- az adatok kategóriái
- az adatok forrása és adott esetben az, hogy az adatok nyilvános forrásból származnak-e
A tájékoztatás időpontja:
- amennyiben az adatokat az ügyféltő gyűjtik, az adatgyűjtés időpontjában
- ha az adatokat nem az ügyféltől gyűjtik, legfeljebb egy hónapon belül, vagy ha kapcsolattartásra használják, akkor legalább az első kapcsolatfelvétel alkalmával, vagy ha mással is közlik az adatokat, legkésőbb az adatok továbbításának időpontjában.
Mikor NEM kell az ügyfél hozzájárulását kérni az adatainak tárolásához?
A rendelet egyértelműen kimondja, hogy többek között a következő esetekben nem kell az ügyfél külön hozzájárulása:
- Ha az adattárolást törvény írja elő, pl: számlák kötelező adatai, mint a név és a cím, amelyek a számlákkal együtt legalább 5 évig tárolandók.
- Ha (és ameddig) az adattárolás az ügyféllel kötött szerződés teljesítéséhez szükséges.
Milyen technikai intézkedésekkel kell védeni az adatokat?
A kockázattól függően a rendelet a következő biztonsági intézkedéseket javasolja:
- Adatok titkosítása vagy álnevesítése.
- Az adattárolásra használt rendszerek karbantartása, hozzáférés korlátozása.
- Különösen fontos rendszerhiba esetén az adatok visszaállíthatóságának biztosítása (pl. biztonsági mentés, tükrözés).
- Az adatvédelmet szolgáló biztonsági rendszerek és intézkedések rendszeres tesztelése.
- Az adatkezelést végző személyek jogszerű adatkezelésének biztosítása.
Kötelező az adattitkosítás?
Röviden: nem. A rendelet előírja, hogy a kockázat mértékével arányos technikai védelemmel kell ellátnunk a személyes adatokat, de nem határozza meg, hogy milyen technológiákat kell használnunk, így azt sem teszi kötelezővé, hogy titkosított meghajtón vagy titkosított adatbázisban tároljuk azokat. A kockázatokat, körülményeket, költségeket figyelembe véve kell meghatározni az alkalmazandó védelmi technológiákat.
Milyen jogai vannak az érintett személynek?
Az érintett személy, akinek a személyes adatait tároljuk:
- kérheti az adatainak törlését
- kérheti az adatainak módosítását
- kérheti az adatainek kiadását
Milyen adatok tárolása tilos?
TILOS a következő dolgokra utaló adatok tárolása:
- "faji" vagy etnikai származás
- politikai vélemény
- vallási, világnézeti meggyőződés
- szakszervezeti tagság
- azonosítást célzó genetikai, biometrikus adatok
- egészségügyi adatok
- szexuális élettel és irányultsággal kapcsolatos adatok
