A GDPR visszaszámlálás javában elkezdődött…
Közeleg a rettegett európai általános adatvédelmi rendelet, a GDPR
Az európai általános adatvédelmi rendelet (General Data Protection Regulation — GDPR) 2018 május 25-én lép hatályba. A teljes digitális szolgáltatói szakma és az azt kiegészítő jogi tanácsadó szervezetek is lázban égnek az új helyzet miatt, mivel a Damoklész kardjaként lebegtetett akár 20 millió eurós bírság lehetősége súlyosan érinthet akár egy nagyobb multit egy kkv-ről nem is beszélve.
Az IT szolgáltatók felelős jogi személyként vesznek részt a folyamatban, mint adatfeldolgozók, sőt az eddigieknél súlyosabb módon szankcionálhatók egy-egy adatvédelmi incidens esetén.
Miről is van itt szó?
Nem akarok jogi frázisokba bocsátkozni mert az nem az én asztalom, inkább csak nagyvonalakban hívom fel a figyelmet arra amit a GDPR-ről tudni érdemes.
Az európai általános adatvédelmi rendelet 2018.05.25-én lép hatályba.
Tekintettel arra, hogy a cél egy egységes szilárd és szigorú adatvédelmi szabályozás volt az Európai Unió egész területén, így a jogszabály európai uniós rendeleti formában jelent meg, mely közvetlen hatályos az EU minden állampolgárára, így a szabályozás jelentős része, vagyis a főbb adatkezelési szabályok egységes formában fognak érvényesülni az unió területén.
Az egyes tagállamok diszkrecionális jogköre folytán lehetőségük lesz az egyes részletszabályokat a tagállamoknak saját nemzeti gyakorlata szerint megalkotni. A magyar kormány a rendelet implementációjának tervezetét 2017. augusztus 29. napján társadalmi egyeztetésre bocsátotta, elfogadása idén tavasszal várható.
A rendelet kitér minden személyesnek minősülő adat kezelésére, tárolására és továbbítására. Gyakorlatilag minden adatot személyesnek minősít amelyről egy személyt közvetlenül azonosítani lehet.
Egy általam nemrég meglátogatott konferencián egy jogász azt tanácsolta, hogy minden adatot tekintsünk személyesnek, és úgy járjunk el velük, hogy abból ne keletkezhessen incidens.
Ki érintett az ügyben?
A rendeletet mind az adatkezelők, mind az adatfeldolgozók tevékenységére alkalmazni kell.
A rendeletet alkalmazni kell az Unióban tevékenységi hellyel rendelkező adatkezelők vagy adatfeldolgozók tevékenységeivel összefüggésben végzett adatkezelésre (ennek van egy bővebb és hosszabb jogi megfogalmazása — elnézést a jogászoktól).
Ez azt jelenti, hogy mind a megrendelő, mind a megrendelést elvégző és a szolgáltatást biztosító IT vállalat érintett az ügyben, amennyiben tevékenységét az EU-ban látja el.
Mit kell tenni az elmarasztalás elkerülése érdekében?
Először is nem eszik olyan forrón a kását! Nem fogja senkire rárúgni a hatóság az ajtót 2018. május 26-án hajnalban azért mert nem GDPR kompatibilis az oldala, vagy az adatkezelése.
Mindazonáltal célszerű mielőbb informálódni a GDPR kompatibilitás feltételeiről és felülvizsgálni az érintett weboldalakat, levelezési listákat, alkalmazásokat, adatbázisokat, de elsődlegesen az személyes adatok kezelésének folyamatát felmérni, áttekinteni az a várható szabályozásnak megfelelően módosítani.
Megrendelői oldalon ahol általában az adatkezelés megvalósul (adatkezelő) egyrészt tudni kell erről a problémakörről és célszerű a jogi osztály vagy külsős jogász szakember segítségét igénybe venni, egyfajta GDPR auditnak elnevezett vizsgálatnak alávetni a jelenleg futó és a jövőben tervezett digitális anyagaikat, hogy az azokban működő adatkezelési folyamatok mennyire felelnek meg a jogszabályi elvárásoknak.
Szolgáltatóként, ahol tipikusan az adatkezelők által továbbított adatfeldolgozás folyik majd (adatfeldolgozó) át kell tekinteni és fel kell mérni a kezelt anyagokban kezelt személyes adatok körét és fel kell hívni a megrendelők figyelmét az esetlegesen fennálló adatkezelési problémára.
Fontos, hogy a megfelelő adatkezelési folyamatok és IT biztonsági lépések alkalmazásával be kell biztosítania mindenkinek magát, mert egy elhanyagolt oldal könnyen támadható lehet ami előidézhet adatszivárgást amely komoly szankciókat vonhat maga után.
Az oldalakat, alkalmazásokat kompatibilissá kell tenni a GDPR elvárásainak.
- A megfelelően szabályozott szerződésrendszer kidolgozása az adatkezelő és adatfeldolgozó között
- A titkosítási kötelezettségeknek való elégtétel
- Megfelelő biztonságú technikai feltételek az adatok biztonságos kezelésére és feldolgozására
- Az adatkezelő segítése
- A szolgáltatás befejezésével a megkövetelt adatmegsemmisítés vagy átadás az adatkezelőnek
- Az auditok elősegítése
Összegzésül jobb félni, mint megijedni, így célszerű mindkét fél konstruktív együttműködése annak érdekében, hogy ne állhasson elő olyan eset amikor egyik vagy másik fél akár tudtán kívül vagy hanyagságból veszélybe sodorhatja a másikat.
Ha idáig elért az olvasásban, akkor vásárláskor használja a következő kupon kódot: WTIP