Miben segíthetek?
Adatvédelmi teendők a GDPR alapján
Az Általános Adatvédelmi Rendelet (GDPR) alapján a gazdálkodó szervezetek legfőbb teendője, hogy az érintetteket (akiknek a személyes adatát a szervezet kezeli) tájékoztassa az adatkezelésről.
Ennek a tájékoztatónak igen részletesnek kell lennie, meg kell határozni, hogy a személyes adatok tekintetében
- ki az adatkezelő?
- milyen személyes adatokat kezel?
- mennyi ideig kezeli a személyes adatokat?
- milyen célból kezeli személyes adatokat és milyen jogalapon?
- ki férhet hozzá a személyes adatokhoz?
- milyen jogai vannak az érintettnek a személyes adatokkal kapcsolatban?
- hova fordulhat az érintett a személyes adatok sérelme esetén?
A GDPR alapján továbbá az adatkezelési tevékenységekről nyilvántartást kell vezetni.
A jogos érdeken alapuló adatkezelési tevékenységek tekintetében érdekmérlegelési teszteket kell készíteni.
A GDPR-ban meghatározott esetekben szükség lehet hatásvizsgálat lefolytatására, vagy bizonyos körülmények fennállása esetén adatvédelmi tisztviselő kijelölésére.
Az adatbiztonsági követelményeket kell meghatározni az adott szervezet teljesítőképességéhez mérten és ezekhez a követelményekhez kell kialakítani a szervezet adatkezelési gyakorlatát.
Amennyiben a szervezet adatfeldolgozókat vesz igénybe, szükséges az adatfeldolgozási szerződések megkötése.
Adatvédelmi dokumentáció
Az elkészítendő, teljes adatvédelmi dokumentáció többek között a következő dokumentumokat tartalmazza:
- Világos, pontos, közérthető adatkezelési tájékoztatók minden adatkezelési cél tekintetében
- Adatkezelési nyilvántartási lapok felvétele, amelyek tartalmazzák az adatkezelés célját, jogalapját, a személyes adatok kategóriáit, az időtartamot, ameddig a személyes adatok rendelkezésre állnak
- Adatvédelmi és adatbiztonsági szabályzat elkészítése
- Érdekmérlegelési tesztek elkészítése a jogos érdeken alapuló adatkezelési tevékenységek tekintetében
- Adatvédelmi incidens jegyzőkönyv és nyilvántartás
- Adatfeldolgozói lista készítése
- Adatfeldolgozókkal kötendő adatfeldolgozási szerződések elkészítése
- Egyes speciális adatkezelési tevékenység tekintetében további adatvédelmi dokumentum elkészítése válhat szükségessé
Munkavállalók oktatása
Az alkalmazottakat is szeretnéd tájékoztatni, hogy hogyan kell személyes adatokat kezelniük?
- Fontosnak tartom, hogy egy szervezeten belül azok a munkavállalók, akik személyes adatokat kezelnek, gyakorlati tájékoztatást kapjanak arra vonatkozóan, hogy a személyes adatok kezelése során milyen alapelvek szerint kell eljárniuk.
- Fontos az is, hogy tudják mi a teendő abban az esetben, ha egy munkavállalóhoz adatvédelemmel kapcsolatos kérdés érkezik egy magánszemélytől, akinek személyes adatát az adott szervezet kezeli. Ebben az esetben 1 hónap áll rendelkezésre az érintetti kérdés megválaszolására.
- A szervezet számára megkönnyíti az adatvédelmi incidens kezelését, ha munkavállalói tisztában vannak azzal, hogy milyen teendők merülnek fel ezzel kapcsolatban.
- Hasznos, ha a munkavállalók olyan személytől kapják a tájékoztatást a saját személyes adataik tekintetében, aki a felmerülő „miértekre” is tud válaszolni.
Adatvédelmi incidens
Adatvédelmi incidensről beszélünk abban az esetben, ha a személyes adatok biztonsága valamilyen módon sérül (például jogosulatlan személy hozzáfér a személyes adatokhoz).
Adatvédelmi incidens esetén az alábbi teendőket szükséges elvégezni, melyben tanácsot nyújtok és támogatom ügyfeleimet:
- Ki kell vizsgálni az adatvédelmi incidens körülményeit
- Az adatvédelmi incidensről jegyzőkönyvet kell felvenni
- Nyilvántartást kell vezetni a bekövetkezett adatvédelmi incidensekről
- Szükség esetén az adatvédelmi incidenst be kell jelenteni az adatvédelmi hatósághoz az incidensről történő tudomásszerzést követő 72 órán belül
- Az incidenssel érintett személyeket tájékoztatni kell