A személyes adatok jogszerű kezelése
Ma már minden adatkezelő alapvető kötelezettsége. A GDPR célja nem elsősorban a bírságolás, hanem annak biztosítása, hogy a természetes személyek személyes adatai megfelelő védelemben részesüljenek. Amennyiben azonban az adatkezelő megsérti a rendelet rendelkezéseit, a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) vizsgálatot indíthat, amelynek eredményeként figyelmeztetést, kötelezést vagy adatvédelmi bírságot alkalmazhat. A GDPR a felügyeleti hatóságok számára széles körű intézkedési jogosultságokat biztosít.
A gyakorlat azt mutatja, hogy a bírságok jelentős része nem szándékos jogsértésből, hanem a jogszabályok hiányos ismeretéből vagy nem megfelelő adatvédelmi dokumentációból ered.
1. Hiányzó vagy hibás adatkezelési tájékoztató
A NAIH egyik leggyakrabban vizsgált területe az adatkezelési tájékoztató.
Tipikus hibák:
- hiányzik a honlapról;
- nem tartalmazza az adatkezelés jogalapját;
- nem tartalmazza a megőrzési időt;
- nem szerepelnek benne az érintetti jogok;
- nem tér ki valamennyi adatkezelési célra;
- évekkel ezelőtti mintából készült.
A GDPR előírja, hogy az érintetteket tömör, átlátható, közérthető és könnyen hozzáférhető módon kell tájékoztatni az adatkezelésről.
Az adatvédelmi megfelelés alapjairól részletesebben A GDPR valóban minden vállalkozásra vonatkozik? című cikkünkben olvashat.
2. Jogalap nélküli adatkezelés
A GDPR alapján minden adatkezelésnek megfelelő jogalappal kell rendelkeznie.
Sok vállalkozás automatikusan hozzájárulást kér, miközben az adatkezelés valójában:
- szerződés teljesítéséhez szükséges;
- jogi kötelezettségen alapul;
- vagy jogos érdek alapján végezhető.
Fordított eset is gyakori: az adatkezelő jogos érdekre hivatkozik, de érdekmérlegelési tesztet nem készít.
A nem megfelelő jogalap az adatkezelés jogellenességéhez vezethet.
3. Kamerarendszer jogellenes alkalmazása
A kamerás megfigyelés az egyik legérzékenyebb adatkezelési forma.
Gyakori hibák:
- nincs tájékoztató;
- hiányoznak a figyelmeztető piktogramok;
- túl hosszú a felvételek megőrzési ideje;
- indokolatlan területeket figyelnek meg;
- nincs érdekmérlegelési teszt.
A kamerás megfigyelés kizárólag akkor lehet jogszerű, ha annak célja, jogalapja és szükségessége megfelelően igazolható.
4. Nem megfelelő adatbiztonság
A GDPR előírja, hogy az adatkezelő köteles megfelelő technikai és szervezési intézkedéseket alkalmazni a személyes adatok védelme érdekében.
Például:
- gyenge jelszavak;
- titkosítás hiánya;
- hozzáférési jogosultságok rendezetlensége;
- biztonsági mentések hiánya;
- papíralapú iratok nem megfelelő tárolása.
Az adatbiztonság nemcsak informatikai, hanem szervezési kérdés is.
5. Adatfeldolgozói szerződések hiánya
Sok vállalkozás használ:
- könyvelőt;
- tárhelyszolgáltatót;
- felhőszolgáltatást;
- informatikai üzemeltetőt;
- CRM-rendszert;
- hírlevélküldő szolgáltatást.
Ha ezek a szolgáltatók a vállalkozás nevében személyes adatokat kezelnek, a GDPR alapján megfelelő adatfeldolgozói szerződés szükséges.
6. Az érintetti jogok figyelmen kívül hagyása
Az érintettek jogosultak többek között:
- tájékoztatást kérni;
- hozzáférést kérni;
- helyesbítést kérni;
- törlést kérni;
- az adatkezelés korlátozását kérni;
- tiltakozni az adatkezelés ellen;
- adathordozhatósághoz való jogot gyakorolni.
A vállalkozásnak megfelelő eljárást kell kialakítania ezen kérelmek kezelésére.
7. Indokolatlan adatgyűjtés
A GDPR egyik alapelve az adattakarékosság.
Ez azt jelenti, hogy kizárólag olyan személyes adat kezelhető, amely az adatkezelési cél eléréséhez szükséges.
Például egy kapcsolatfelvételi űrlapon rendszerint nincs szükség:
- személyi igazolvány számra;
- adóazonosító jelre;
- születési helyre;
- családi állapotra.
8. Adatvédelmi incidens elhallgatása
Adatvédelmi incidens lehet például:
- elveszett laptop;
- feltört e-mail fiók;
- téves címzettnek elküldött szerződés;
- zsarolóvírus-támadás;
- jogosulatlan hozzáférés.
Az adatkezelő köteles minden incidenst kivizsgálni, nyilvántartani, és meghatározott esetekben a felügyeleti hatóság részére is bejelenteni.
Hogyan előzhetők meg a bírságok?
A legfontosabb megelőző intézkedések:
- naprakész adatvédelmi dokumentáció;
- rendszeres jogi felülvizsgálat;
- megfelelő adatbiztonsági intézkedések;
- munkavállalók oktatása;
- adatfeldolgozói szerződések felülvizsgálata;
- incidenskezelési eljárás kialakítása;
- rendszeres GDPR-audit.
A jogszabályi megfelelés folyamatos feladat, amelyet célszerű időszakonként felülvizsgálni.
Összegzés
A NAIH által feltárt jogsértések jelentős része megfelelő előkészítéssel és tudatos adatkezelési gyakorlattal megelőzhető. A naprakész adatvédelmi dokumentáció, a jogszerű adatkezelési folyamatok és a megfelelő technikai, valamint szervezési intézkedések nemcsak a bírságok elkerülését szolgálják, hanem növelik az ügyfelek bizalmát és hozzájárulnak a vállalkozás biztonságos működéséhez.
Gyakran ismételt kérdések
Minden GDPR-sértés automatikusan bírságot von maga után?
Nem. A NAIH az ügy összes körülményét mérlegeli, és a bírság mellett más intézkedéseket – például figyelmeztetést vagy kötelezést – is alkalmazhat.
Egy kisvállalkozást is megbírságolhat a NAIH?
Igen. A GDPR és az Infotv. szabályai a vállalkozás méretétől függetlenül alkalmazandók, ha személyes adatokat kezel.
Elég egyszer elkészíteni az adatvédelmi dokumentumokat?
Nem. Az adatvédelmi dokumentációt a jogszabályi változásokhoz és a vállalkozás adatkezelési gyakorlatához igazodva rendszeresen felül kell vizsgálni.
Jogi segítségre van szüksége?
Amennyiben vállalkozása adatkezelési gyakorlata felülvizsgálatra szorul, vagy GDPR-megfelelőségének biztosításához jogi segítségre van szüksége, tekintse meg GDPR és adatvédelem szolgáltatásunkat.