A GDPR vagyis az EU általános adatvédelmi rendelete 2018. május 25-ét követő kötelező alkalmazása óta izgalomban tartja az érintett cégeket és szervezeteket. Nem is csoda, az elsőre nehezen átlátható szabályozás és a bírsággal való fenyegetés elrettentően hathat, különösen a startuperek számára. Az ő esetükben a szűkös források melletti gyors növekedésre koncentrálva különösen nehéz még az adatvédelmi szabályok betartására is figyelni.

Ugyanakkor a startupok előnyben is vannak, hisz míg más vállalatoknak már évek óta meglévő, rutinná vált gyakorlatukat kell az előírásokhoz igazítaniuk, ők tiszta lappal indulnak adatkezelési gyakorlatuk kialakításában.

Korábbi adatvédelmi tárgyú írásaink nyomán (lásd: munkahelyi kamerák; adattárak; Info tv. harmonizációja) az alábbiakban a kezdő vállalkozások számára leginkább releváns szempontokat foglaltuk össze.

Cikkünkben összeszedjük a legfontosabb szempontokat amiket érdemes szem előtt tartani  és kérdéseket, amiket érdemes feltenni az adatkezelés megkezdése előtt:

Milyen adatok folynak be a céghez?

Ehhez mindig szem előtt kell tartani az adatvédelem örök érvényű mottóját: legyen meg az adatkezelés célja és a megfelelő jogalap.

A cél meghatározása körében a jó adatvédelmi gyakorlat kialakításának első lépése tehát, hogy világosan lássuk, milyen fajtájú adatokat, milyen mennyiségben kezelünk, és ezekkel pontosan mit is kezdünk. Tehát tudnunk kell, hogy milyen személyes adatot kezelünk, ezek valamely része érinti-e a személyes adatok különleges kategóriáit, miért is gyűjtjük be az érintettektől a szóban forgó adatokat és mi jogosít minket fel az adott adatok tárolására/kezelésére.

Az adatkezelés jogalapja ugyanakkor már nem az Adatkezelő döntési kompetenciájába tartozik. Miután látjuk az adatkezelés célját, kirajzolódik, hogy a kötelezően alkalmazandó GDPR 6. és 9. cikkeinek mely alpontjai lesznek ránk irányadóak.

Mondunk egy egyszerű példát: Startup cégünk saját tervezésű táskák online eladásával foglalkozik. A vásárláshoz kontakt adatokat, szállítási és számlázási adatokat is kérünk a megrendelőktől. A természetes személy vásárlók fenti adatainak egy részét a szerződés (adásvétel, szállítás) teljesítése érdekében kezeljük, másik részét pedig a jogszabályi előírások alapján a számla kiállítása érdekében.

Ki férhet hozzá az adatokhoz?

Az adatbiztonsági kérdések, melyekhez szorosan hozzátartozik a tárolási idő és a tárolás helye cseppet sem elhanyagolhatóak. Ha több munkatárssal dolgozik Startup cégünk vagy az adatokkal esetleg adatfeldolgozók is foglalkoznak, akkor rájuk vonatkozóan is garantálnunk kell az adatkezelés biztonságát és azt, hogy elveink, gyakorlatunk rájuk is kiterjed.

Érdemes kialakítani, és szigorúan fenntartani a jogosultságkezelést. A hozzáférésekre vonatkozó IT megoldások könnyen és rugalamasan alakíthatóak akár elektronikus, akár fizikai hozzáférés tekintetében. Az ilyen megoldások akár munkaviszony, akár megbízásos jogviszony esetében hatékokony megoldást kínálnak.

Feltétlenül fontos, hogy az admin hozzáférések is ellenőrzés alatt álljanak, senki ne maradjon őrzők nélkül – még ha ez egy másik hasonló felhasználói jogosult vagy AI megoldással is valósul meg.

Az  adatkezelésre vonatkozó szabályzat megléte elengedhetetlen!

A szabályzat, nyilatkozat vagy tájékoztató, bárhogy is nevezzük több szempontból is fontos: egyrészről leszögezi azokat az alapvetéseket, melyet cégünk az adatkezelés során követ, másrészről tájékoztatja munkavállalókat, adatfeldolgozókat illetve a céghez forduló érintetteket a társaság által folytatott adatkezelés dogmatikájáról.

Az, hogy mindenki számára követhetővé és ellenőrizhetővé kell tenni az adatkezelés útját, nemcsak az GDPR-ban és az Info tv.-ben lefektetett alapelv, hanem az Alkotmánybíróság által már 1991-ben megállapított követelmény.

Ezen előnyei miatt érdemes egy ilyen szabályzatot az első pontban meghatározott szempontok alapján, minél körültekintőbben és alaposabban megfogalmazni, hogy valódi segítséget nyújtson a mindennapi működés során. Kiindulási pont tehát a mindennapi adatkezelési gyakorlat kialakításában és segíti az elszámoltathatóságot, hiszen rögzíti az adatkezelés célját, jogalapját, kereteit.

Az adatkezelés során érdemes szem előtt tartani az adatkezelés alapelveit!

Ilyen az adattakarékosság, (csak a cél megvalósításához megfelelő, releváns és szükséges adatok kezelhetőek), a pontosság, (a cél szempontjából pontatlan adatokat törölni vagy helyesbíteni kell) és a korlátozott tárolhatóság követelménye (tehát hogy a személyes adatok csak a cél eléréséig szükséges ideig tárolhatóak). Ezekre a szempontokra muszáj folyamatosan figyelni, hiszen be nem tartásuk akár bírságot is vonhat maga után.

Mindig tudni kell, hogy mi a teendő adatvédelmi incidens esetén!

Az „adatvédelmi incidens” a biztonság sérülését jelenti, mely realizálódhat a személyes adatok megsemmisítésében, elvesztésében, megváltoztatásában, jogosulatlan közlésében vagy az azokhoz való jogosulatlan hozzáférésben, függetlenül attól, hogy ezek véletlenül, vagy szándékos tevékenysége folytán következtek be.

Tehát már az is adatvédelmi incidensnek számít, ha például elveszik egy, a munka során kezelt adatokat tartalmazó USB meghajtó.

Egy ilyen incidens bekövetkezésének már a megelőzése is fontos, ezért a mindennapi működésben is figyelni kell arra, hogy az adatok védelmével kapcsolatban minden olyan intézkedés meg legyen téve, ami az általában elvárható gondossághoz tartozik.

Ilyen lehet például egy elég erős jelszó választása és megfelelő titokban tartása, vagy az informatikai eszközök, adathordozók fizikai védelmének, biztonságának biztosítása.

Ha azonban minden elővigyázatosság ellenére mégis megtörténik az adatvédelmi incidens, két forgatókönyv lehetséges. Szerencsésebb esetben olyan incidens történik, amely valószínűsíthetően nem jelent az érintettek jogaira kockázatot.

Ilyen lehet, ha például az elveszett adatok anonim módon voltak kezelve és így nem kapcsolhatók össze az érintett személyekkel. Ebben az esetben fellélegezhetünk, hiszen nem kell külön bejelentést tennünk, azonban az adatvédelmi incidens tényét fel kell jegyezni adatkezelési nyilvántartásunkban annak a körülménynek a feltüntetésével, ami miatt nem jelent kockázatot az érintettek jogainak érvényesülésére.

Súlyosabb esetben viszont az adatvédelmi incidenst legkésőbb az arról való tudomásszerzést követő hetvenkét órán belül be kell jelenteni az adatvédelmi hatóságnál. A bejelentésben le kell írni az incidens jellegét és az érintettek számát, az érintett adatok körét és mennyiségét, az incidens valószínű hatását, hogy milyen intézkedéseket tettünk, vagy tervezünk tenni az incidenssel kapcsolatban és fel kell tüntetni, hogy a cégen belül ki lesz a kapcsolattartó a hatósággal.

Ezt a problémát tehát távolról sem lehet fél vállról venni, hiszen a cégnek/vállalatnak komoly kötelezettségei vannak ilyen esetben. Érdemes tehát erre az esetre protokollt kidolgozni.

Összességében tehát elmondható, hogy bár kétségkívül odafigyelést igényel, hogy vállalkozásunk már a kezdetektől GDPR-kompatibilis legyen, megfelelő előzetes tervezéssel és az alapok pontos lefektetésével ez mégsem lehetetlen.

Adatvédelemmel vagy a GDPR-al kapcsolatos kérdéseivel, kéréseivel forduljon bizalommal szakértő kollégáinkhoz!