2018. március 09.

Nyakunkon a GDPR

Mit tehetünk még a májusi határidőig?

Az Európai Unió - már hatályban lévő - általános adatvédelmi rendeletét (GDPR) 2018. május 25-től már alkalmazni is tudni kell. Mindez jelentős és közvetlen hatással bír a szervezetekre nézve, mivel szinte minden cégre vonatkozik, amely bármilyen módon kapcsolatban áll magánszemélyekkel, és személyes adatok kezelésében és/vagy feldolgozásában érintett, tekintet nélkül arra, hogy EU-n belül vagy kívül tevékenykednek.

Mi számít rossz gyakorlatnak adatkezelőként vagy adatfeldolgozóként?

A rendelet két nagyon fontos dolgot különböztet meg, miszerint a vállalatok adatkezelői és adatfeldolgozói minőségbe is kerülhetnek. Például a bárszámfejtői szakmában mind a két oldalnak meg kell felelni, mivel munkáltatóként megjelenik adatkezelőként, az ügyfelek felé pedig adatfeldolgozóként is. Íme néhány példa, hogy mik számíthatnak rossz gyakorlatnak:

  • A meghatározott időn túl email címek tovább tárolása
  • Hozzájárulás nélküli adatok felhasználása bármilyen célra
  • Illetéktelen kezekbe történő adatkiadás
  • Titkosítatlan eszközön személyes adatok hordozása
  • Az érintett adatainak törlésére irányuló kérelem után, az adatok marketing célú további tárolása vagy használata
  • Személyes adatok továbbítása, a megfelelő védelem biztosítása nélkül
  • Személyes adatok felügyelet nélkül hagyása pl. íróasztalon vagy képernyőn
  • Gyermekek személyes adatainak begyűjtése, használata szülői belegyezés nélkül

 

Mik a magánszemélyek jogai a GDPR-ban?

A rendeletet megannyi elemzésnek vetették már alá, azonban azt is érdemes megvizsgálni, hogy az érintetteknek, a munkavállalóknak milyen jogai vannak. A teljesség igénye nélkül, néhány hétköznapi példán keresztül bemutatjuk, hogy magánszemélyként miként élhetünk ezekkel a május 25-ei bevezetés után.

Tájékoztatáshoz való jog „Szeretném megtudni, hogy milyen adatokat tárolnak rólam és azt mire használják."

Hozzáféréshez való jog„Hozzá szeretnék férni az adataimhoz, hogy lássam, hogy milyen adatokat tárolnak rólam."

Helyesbítéshez való jog„Javítani szeretném hibásan rögzített adataimat."

Törléshez való jog (elfeledtetés) „Szeretném, ha törölnék az adataimat."

A feldolgozás korlátozásának joga „Kérem, addig ne használják az adataimat, amíg nem ellenőriztem annak jogosságát."

Az adathordozhatósághoz való jog„Hozzá akarok férni az adataimhoz és ezeket el akarom vinni."

Tiltakozáshoz való jog„Nem akarok hírleveleket és promóciókat kapni."

Mit tegyünk, ha még nem kezdtünk el felkészülni a rendeletre?

Mivel nagyon szoros a határidő, szinte biztosak lehetünk benne, hogy külső segítség bevonására lesz szükség.

Kifejezetten fontos, hogy a szervezet azonosítsa, hol keletkezhetnek a cégében személyes adatok. Figyelem! Ha azt gondoljunk, hogy a beszállítóink elsősorban cégek, és velük kapcsolatban nincsen személyes adat, attól függetlenül, ha magánvállalkozásról, vagy egyéni vállalkozásról beszélünk, akkor már vonatkozik rá is a rendelet.

Figyeljünk a rendelet komplexitására! A papíralapú dokumentumokban, belső rendszerekben, adatbázisokban, emailekben szereplő adatokra is vonatkozik a rendelet!

Mérjük fel, hol tartunk jelenleg, milyen biztonsági rendszereink vannak! Az ezekre vonatkozó kérdőíveket beszerezhetjük weboldalakról is.

Készítsünk egy sztenderdizált csomagot, ami tartalmaz munkaszerződéshez kapcsolódó kiegészítéseket, védelmi-adatbiztonsági leírásokat, illetve informatikai kérdéseket, ami leírja, hogyan fogjuk az adatokat átadni, tárolni és kezelni!

Kérjünk segítséget könyvelőnktől, bérszámfejtőnktől!

Hogyan ismertessük meg a GDPR-t a munkatársakkal?

Az új rendelet bevezetésével járó változásokra, annak megértésére és az alkalmazás módszertanára érdemes felkészíteni a munkatársainkat is. Ez történhet belső tájékoztatási felületeken (hírlevél, intranet stb.), szerződéseken, azok módosításán keresztül, vagy éppen a munkaköri leírásokban való kiegészítésként. Fontos a rendszeres tájékoztatás, és a folyamatos ellenőrzés a bevezetést követően a gyakorlati alkalmazás hatékonyságáról.

„A GDPR felkészülés bár jelentős idő- és financiális ráfordításokkal jár, úgy gondoljuk, a rendelet nagyban hozzájárul ahhoz, hogy munkatársaink és ügyfeleink biztosak lehessenek a személyes adataik biztonságával és kezelésével kapcsolatban. Célunk, hogy mindenben megfeleljünk a jogszabálynak, hiszen BPO szolgáltatóként mind adatkezelőként, mind adatfeldolgozóként felelősséggel tartozunk partnereinkért. A rendelet be nem tartása gyakorlatilag elkerülhetetlen. Nagyon pontos feltételek kerültek meghatározásra, szigorú határidőkkel. Fontos megemlíteni azonban, hogy a vállalatoknak első sorban azt kell bizonyítaniuk, hogy lehetőség szerint a legjobban megfeleltek a GDPR szabályozásainak. Nekünk is ez a feladatunk, hiszen előfordulhatnak olyan követelmények, amelyek meghaladhatják az adott cég költségeit vagy egyéb lehetőségeit, forrásait. Erre a szabályozás is odafigyel, ezért mindenkinek a saját lehetőségeihez képest kell kiépíteni az új adatbiztonsági rendszerét." - mondta el Babos János, a Process Solutions Partnere, ügyvezető igazgatója.