A GDPR-ról röviden
Az Európai Unió által megalkotott Általános Adatvédelmi Rendelet (GDPR) 2018. május 25. napjától alkalmazandó valamennyi tagállamban, így Magyarországon is. A rendelet célja, hogy egységes szabályokat állapítson meg a természetes személyek személyes adatainak kezelése tekintetében, valamint biztosítsa az érintettek jogainak hatékony érvényesülését.
A gyakorlatban azonban még mindig számos tévhit él a vállalkozások körében arról, hogy a GDPR pontosan kire és milyen esetekben alkalmazandó. Sokan úgy gondolják, hogy kizárólag nagyvállalatokat érint, vagy csak akkor kell vele foglalkozni, ha a vállalkozás webáruházat üzemeltet. Ezek a feltételezések tévesek.
Kire vonatkozik a GDPR?
A GDPR minden olyan adatkezelőre és adatfeldolgozóra alkalmazandó, amely személyes adatokat kezel.
Személyes adatnak minősül minden olyan információ, amely alapján egy természetes személy közvetlenül vagy közvetve azonosítható. Ide tartozik például:
- név;
- lakcím;
- e-mail cím;
- telefonszám;
- IP-cím;
- fénykép;
- rendszám;
- bankszámlaszám;
- egészségügyi adatok;
- helymeghatározási adatok.
Már egy egyszerű kapcsolatfelvételi űrlap működtetése vagy időpontfoglalás során történő adatfelvétel is személyes adatok kezelésének minősül.
Nem csak a nagyvállalatokra vonatkozik
A GDPR hatálya alá tartozhat többek között:
- egyéni vállalkozó;
- ügyvéd;
- könyvelő;
- fogorvos;
- kozmetikus;
- fodrász;
- webáruház;
- társasház közös képviselője;
- orvosi rendelő;
- kis- és középvállalkozás;
- multinacionális vállalat.
A vállalkozás mérete önmagában nem mentesít a jogszabály alkalmazása alól.
Gyakori tévhit: „Nincs honlapom, ezért rám nem vonatkozik.”
Ez az egyik leggyakoribb félreértés.
Ha egy vállalkozás ügyféladatokat nyilvántart, számlát állít ki, e-mailben kommunikál, telefonon időpontot egyeztet vagy munkavállalókat foglalkoztat, már személyes adatokat kezel.
A GDPR alkalmazásához tehát nem szükséges weboldal működtetése.
Gyakori tévhit: „Elég egy adatkezelési tájékoztató.”
Az adatkezelési tájékoztató csupán egy eleme az adatvédelmi megfelelésnek.
A vállalkozás tevékenységétől függően szükség lehet például:
- adatkezelési tájékoztatóra;
- cookie tájékoztatóra;
- kameraszabályzatra;
- érdekmérlegelési tesztre;
- adatfeldolgozói szerződésekre;
- belső adatvédelmi szabályzatra;
- incidenskezelési eljárásra;
- adatkezelési nyilvántartásra.
Az, hogy mely dokumentumok szükségesek, mindig az adott vállalkozás működésétől függ.
Fontos kiemelni, hogy egy weboldal esetében nem elegendő kizárólag adatkezelési tájékoztatót közzétenni. A sütik alkalmazására külön szabályok vonatkoznak, amelyekről részletesebben a Cookie-k és sütik a honlapokon című cikkünkben olvashat.
Mikor kezelhető jogszerűen személyes adat?
A GDPR nem tiltja az adatkezelést, azonban megköveteli, hogy annak megfelelő jogalapja legyen.
A leggyakoribb jogalapok:
- szerződés teljesítése;
- jogi kötelezettség teljesítése;
- jogos érdek;
- érintetti hozzájárulás;
- létfontosságú érdek;
- közérdek vagy közhatalmi jogosítvány gyakorlása.
A gyakorlatban sok esetben a vállalkozások indokolatlanul kérnek hozzájárulást, holott az adatkezelés más jogalapon is jogszerű lehet.
Milyen kötelezettségei vannak egy vállalkozásnak?
Az adatkezelő köteles többek között:
- biztosítani az átlátható adatkezelést;
- megfelelő tájékoztatást nyújtani az érintettek részére;
- gondoskodni az adatok biztonságáról;
- kizárólag a szükséges adatokat kezelni;
- meghatározni a megőrzési időt;
- biztosítani az érintetti jogok gyakorlását;
- szükség esetén adatvédelmi incidens esetén megtenni a jogszabályban előírt intézkedéseket.
Milyen következménye lehet a szabályok megszegésének?
A GDPR megsértése esetén a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) vizsgálatot indíthat.
A jogkövetkezmények között szerepelhet:
- figyelmeztetés;
- kötelezés;
- adatkezelés korlátozása;
- adatkezelés megtiltása;
- adatvédelmi bírság.
A bírság összege mindig az ügy összes körülményének mérlegelése alapján kerül meghatározásra.
A bírságok mértéke és a hatósági gyakorlat az egyes ügyekben eltérő lehet. A témáról részletesebben A NAIH leggyakoribb bírságai – hogyan kerülhetők el? című cikkünkben olvashat.
Összegzés
A GDPR nem kizárólag a nagyvállalatokra vagy az internetes kereskedelem szereplőire vonatkozik. Gyakorlatilag minden olyan vállalkozásnak foglalkoznia kell az adatvédelemmel, amely természetes személyek személyes adatait kezeli.
A megfelelő adatvédelmi dokumentáció és a jogszerű adatkezelési gyakorlat kialakítása nem csupán jogszabályi kötelezettség, hanem hozzájárul a vállalkozás iránti bizalom erősítéséhez és a jogviták megelőzéséhez.
Jogi segítségre van szüksége?
Amennyiben vállalkozása adatkezelési gyakorlata felülvizsgálatra szorul, vagy adatvédelmi dokumentáció elkészítésére van szüksége, tekintse meg GDPR és adatvédelem szolgáltatásunkat, ahol részletesen bemutatjuk, milyen jogi támogatást nyújtunk.