Mi a GDPR?

A GDPR az angol General Data Protection Regulation, azaz az általános adatvédelmi rendelet kifejezés rövidítése. A kifejezés, illetve a rövidítés az EU 2016/679 rendeletére vonatkozik, melyet 2018. május 25-től, kötelező jelleggel, közvetlenül kell alkalmazni valamennyi tagállamban.

A rendeletet a személyes adatok kezelésére vonatkozik, méghozzá a legalább részben automatizált (elektronikus) adatkezelésre, de a papír-alapú adatkezelésre is akkor, ha az adatok egy nyilvántartási rendszer részét képezik (tehát tagolt, kereshető adatbázist alkotnak), vagy azokat egy nyilvántartási rendszer részévé kívánják tenni.

Bármely természetes vagy jogi személyre, közhatalmi szervre, ügynökségre vagy bármely egyéb szervre, amennyiben személyes adatokat kezel. Mindenképpen, ha az adatkezelő az EU-ban tevékenységi hellyel rendelkezik, de akkor is, ha nem, viszont az adatkezelés az EU-ban folytatott kereskedelmi, szolgáltatói tevékenységhez, vagy természetes személyek EU-n belüli viselkedésének megfigyeléséhez kapcsolódik.

Természetes személyek kizárólag személyes vagy otthoni adatkezelésére nem vonatkozik a rendelet.

Azonosított, vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ.

A személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.

Az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel.

Nem. Az adatfeldolgozó általában alvállalkozói viszonyban van az adatkezelővel.

Számos elemében. A teljesség igénye nélkül: változások az adatkezelés jogszerűségének eseteit illetően; az érintettek jogainak bővülése; szigorú előzetes tájékoztatási követelmények; a gyermekek adatainak kezelésére vonatkozó szabályok; az automatizált döntéshozatalra, profilalkotásra vonatkozó új garanciák; az adatvédelmi tisztviselői (Data Protection Officer – DPO) funkció; a beépített és az alapértelmezett adatvédelem koncepciójának megjelenése; az adatvédelmi hatásvizsgálat elkészítésére, az adatkezelési nyilvántartásra vonatkozó kötelezettségek; az adatbiztonság, az adatfeldolgozás újra szabályozása; a hatóság széleskörű betekintési jogosultságokat kap; jelentősen megemelt összegű bírságok.

A változások elsősorban az adminisztráció, a dokumentálás, az adatkezelési tevékenységek nyilvántartása terén jelentkeznek és főként ebben az értelemben beszélhetünk szigorításokról.

Nagy valószínűséggel nem, legalábbis nem minden elemében. Ezért még ott is érdemes vizsgálni a GDPR-nek való megfelelést, ahol egyébként korábban is komoly erőfeszítéseket tettek az adatkezelésre, adatvédelemre vonatkozó jogszabályokhoz való igazodás érdekében.

Igen. A rendelet két kategóriába sorolja a jogsértéseket. Enyhébb esetben a kiróható közigazgatási bírság felső korlátja 10.000.000 EUR, illetve vállalkozások esetében az előző év teljes éves világpiaci forgalmának legfeljebb 2 %-a (a kettő közül a magasabb összeg). A súlyosabb esetekben a maximális büntetési tétel 20.000.000 EUR-ra, illetve az előző év forgalmának 4%-ra növekszik.

Ha a szervezeten belül van olyan személy, aki képes megbirkózni a terjedelmes, bonyolult szövegezésű joganyagok helyes értelmezésével és a leszűrt, vonatkozó ismeretek alapján szakmailag támogatni tudja a felkészülés szervezését és irányítását, akkor van rá esély. A folyamat feltételezi jogi és informatikai kompetenciákkal rendelkező kollégák bevonását is, valamint azokat a munkatársakét, akik a személyes adatok kezeléséért közvetlenül felelnek. A felkészülést irányító vezetőnek és minden együttműködő félnek legalább alapvető ismeretekkel kell rendelkeznie a GDPR-t illetően; ennek képzéssel történő biztosítása tulajdonképpen a felkészülés része.

Ha azonban a fenti feltételek és kompetenciák nem biztosíthatók „házon belül”, akkor a hatékony, sikeres felkészülés és a súlyos büntetésekkel járó költségek elkerülése érdekében érdemes képzett, külső szakértővel együttműködni.

Nem. Általában igaz, hogy vezető beosztású személy nem megfelelő DPO-nak. Ezen kívül nem tanácsos olyan munkatársat, vagy külsős embert kinevezni, aki saját maga részt vesz adatkezelési műveletekben. Vezetésközeli pozícióban lévő, függetlenített beosztott lehet a megfelelő választás, de meg lehet bízni alvállalkozót is ezzel az alapvetően tanácsadói feladattal.

Lényegében egy szemléletről és az annak megfelelően kialakított gyakorlatról van szó. A beépített adatvédelem azt jelenti, hogy eleve, már az adatkezeléssel kapcsolatos döntések előkészítésétől fogva szempontként kezeljük az adatvédelem GDPR-ben meghatározott elveit és követelményeit. Az alapértelmezett adatvédelem lényege, hogy alapértelmezésként csak az adott cél szempontjából feltétlenül szükséges adatkezelésre korlátozzuk tevékenységünket és ennek a korlátozásnak a bármilyen értelemben vett oldására (pl a tárolás időtartama, a kezelés mértéke, vagy a hozzáférhetőség tekintetében) csak az érintett ilyen irányú beavatkozása esetén legyen lehetőség.