GDPR áttekintő

Az EU általános adatvédelmi szabályzata (GDPR)

Az EU általános adatvédelmi szabályzata (GDPR) 2018. május 25-től alkalmazandó. Jelentős és széles körű hatályban lévő új törvény az adatvédelem 21. századi megközelítését hozza. Ez kiterjeszti az egyének azon jogát, hogy ellenőrizze személyes adataik gyűjtésének és feldolgozásának módját, és új kötelezettségeket ró a szervezetekre, hogy nagyobb felelőséggel kezeljék az adatvédelmet.

A megfelelés határideje: 2018. május 25

A megfelelés nem döntés kérdése, hanem kötelező, és az idő rövid.

A GDPR-nek való megfelelés nem csupán pár megfelelőségi dokumentum elkészítését jelenti; a rendelet előírja, hogy a szervezetnek be kell tudnia mutatni az adatvédelmi elveknek való megfelelést. Ez magában foglalja az adatvédelemmel kapcsolatos kockázat alapú megközelítést, biztosítva a megfelelő politikákat és eljárásokat az átláthatóság, az elszámoltathatóság és az egyének jogainak védelmére, valamint az adatbiztonság és a szervezet kultúrájának megteremtésére.

A GDPR üzleti előnyei, GDPR összefoglaló

• Erősíti az ügyfelek bizalmát
• Javítja a márkát és hírnevet
• Javítja az adatkezelési folyamatokat
• Növeli az információbiztonságot
• Versenyelőnyt jelent a konkurenciával szemben

A GDPR legfontosabb elemei

Személyes adatok

A GDPR a személyes adatokra vonatkozik. Ez olyan információ, amely közvetlenül vagy közvetve azonosíthatja a természetes személyt.

A rendelet sokkal szigorúbb ellenőrzéseket tesz szükségessé a személyes adatok különleges kategóriáinak feldolgozására. Már megjelenik a rendeletben genetikai és biometrikus adatok kezelése.

Személyes adatok köre:

• Név
• Cím
• E-mail cím
• Fotó
• IP cím
• Helyadatok
• Online viselkedés (cookie-k)
• Profil és analitikai adatok

A személyes adatok különleges kategóriái:

• Vallás
• Politikai vélemények
• Szakszervezeti tagság
• Szexuális orientáció
• Egészségügyi információ
• Biometrikus adatok
• Genetikai adatok

Tágabb hatókör

A GDPR minden olyan uniós szervezetre vonatkozik - legyen szó üzleti vállalkozásról, jótékonysági szervezetről vagy hatóságról -, amely az EU-ban tartózkodó személyek személyes adatait összegyűjti, tárolja vagy feldolgozza, még akkor is, ha azok nem uniós állampolgárok.

Az EU-n kívüli székhellyel rendelkező szervezetek, amelyek termékeket vagy szolgáltatásokat kínálnak az EU lakosai számára, nyomon követik viselkedésüket vagy feldolgozzák személyes adataikat, a GDPR alá tartoznak.

Azok a szolgáltatók (adatfeldolgozók), amelyek az adatokat a szervezet nevében feldolgozzák, a GDPR hatáskörébe tartoznak, és sajátos kötelezettségeik vannak.

Adatvédelmi elvek

A személyes adatokat az alábbi adatvédelmi alapelvek szerint kell feldolgozni:

• Folyamatosan jogszerűen, tisztességesen és átláthatóan feldolgozva.
• Gyűjteni csak meghatározott törvényes célokra.
• Megfelelő, releváns és csak a szükséges szintig
• Pontosnak és naprakésznek kell lennie.
• Csak addig tárolható, ameddig szükséges.
• Biztosítsa a megfelelő biztonságot, integritást és titkosságot.

Elszámoltathatóság és irányítás

Képesnek kell lennie a GDPR-nak való megfelelés igazolására:

• Olyan irányítási struktúra létrehozása, amelynek feladata és felelőssége.
• Az összes adatfeldolgozási művelet részletes nyilvántartása.
• Az adatvédelmi politikák és eljárások dokumentációja.
• Adatvédelmi hatásvizsgálatok (DPIA) a nagy kockázatú feldolgozási műveletekhez.
• Megfelelő intézkedések végrehajtása a személyes adatok védelmére.
• Személyzeti képzés és tudatosság.
• Szükség esetén nevezzen ki adatvédelmi tisztviselőt.

Adatvédelem tervezése (beépített adatvédelem)

Szükség van arra, hogy az összes adatfeldolgozási folyamat első lépésétől kezdődően hatékony adatvédelmi gyakorlatokat és intézkedéseket hozzanak létre:

• Az adatvédelmet minden új folyamat, rendszer vagy technológia tervezési szakaszában figyelembe kell venni.
• Az alapértelmezett gyűjtési módnak csak az adott célhoz szükséges személyes adatokat kell összegyűjtenie.

Törvényes feldolgozás

Önnek meg kell határoznia és dokumentálnia a személyes adatok feldolgozásának törvényes alapját. A törvényes alapok a következők:

• Az egyén közvetlen beleegyezése;
• A szerződés teljesítésének szükségessége;
• Az egyén érdekeinek védelme;
• A szervezet jogi kötelezettségei;
• A közérdek szükségessége;
• A szervezet jogos érdekei.

Érvényes hozzájárulás

Szigorúbb szabályok vannak a hozzájárulás megszerzéséhez:

• A hozzájárulást szabadon kell megadni, konkrétan, tájékozottan és egyértelműen.
• A hozzájárulás iránti kérelemnek érthetőnek és világos, egyértelmű szövegezéssel megfogalmazottnak kell lennie.
• A hallgatólagos beleegyezés, az előre bejelölt dobozok és az inaktivitás már nem elegendő a beleegyezéshez.
• A hozzájárulás bármikor visszavonható.
• A 13 év alatti gyermekek esetében csak szülői engedély esetén érvényes.
• A szervezeteknek képesnek kell lenniük a hozzájárulás bemutatására.

Az egyének magánjogai

Az egyének jogait számos fontos területen fokozzák és bővítik:

• A személyes adatokhoz való hozzáférési jog a tárgyi hozzáférési kérelmeken keresztül.
• A helytelen személyes adatok helyesbítésének joga.
• Bizonyos esetekben a személyes adatok törlése.
• A kifogás joga.
• A személyes adatok egy szolgáltatótól a másikig történő áthelyezési joga (adattovábbítás).

Adatvédelmi nyilatkozatok átláthatósága

A szervezeteknek világosnak és átláthatónak kell lenniük a személyes adatok feldolgozásának folyamatát illetően.

Az adatvédelmi nyilatkozatokat tömör, átlátható és könnyen hozzáférhető formában, egyértelmű és világos nyelven kell rendelkezésre bocsátani.

Az EU-n kívüli adatátvitel

A személyes adatok EU-n kívüli átadása csak:

• Ha az ország megfelelő szintű adatvédelmet biztosít;
• Szerződések vagy kötelező vállalati szabályok révén; vagy
• Megfelel egy jóváhagyott tanúsítási mechanizmussal, például az EU-US Privacy Shield segítségével.

Adatbiztonság és szabálysértések jelentése

A személyes adatokat védeni kell a jogosulatlan feldolgozással és a véletlen elvesztéssel, megsemmisítéssel vagy károkkal szemben.

Az adatok megsértését az adatvédelmi hatóságtól a felfedezéstő számított 72 órán belül be kell jelenteni.

Az érintett személyeket tájékoztatni kell a magas kockázatba sorolt incidensek esetén, pl. Személyazonosság-lopás, személyes biztonság veszélyben forgása,