Kis- és Középvállalkozások

Az adatvédelmi megfeleléshez szüksége lehet számos dokumentumra, illetve belső folyamat kialakítására.

Szinte bizonyosan szüksége lesz egy adatkezelési tájékoztatóra szolgáltatása kapcsán, ezen felül ha vannak munkavállalói, akkor ezzel kapcsolatban is létezik tájékoztatási kötelezettsége pl. a munkaerő-felvétel, illetve a munkaviszony végrehajtása kapcsán.

Nagy valószínűséggel szüksége lesz adatkezelési szabályzatra, illetve valamennyi adatkezelését összefogó adatkezelési nyilvántartásra is.

Ezen felül bizonyos esetekben adatvédelmi hatásvizsgálatok lefolytatása és érdekmérlegelési tesztek elvégzése is kötelező lehet az Ön számára.

Természetesen semmi akadálya annak, hogy kamerát szereltessen boltjába vagy üzlethelyiségébe, azonban nagyon fontos, hogy az ott dolgozó munkavállalók vagy vásárlók, ügyfelek általános megfigyelése, vagy magatartásuk befolyásolása nem lehet a kamera felhelyezésének célja is indoka. Ebben az esetben is nagyon fontos, hogy a kamerák felszerelését megelőzően érdekmérlegelési tesztet, sőt néhány esetben adatvédelmi hatásvizsgálatot is szükséges elvégezni, valamint tájékoztatni kell az érintetteket. A jogszerű kamerás megfigyelés érdekében javasoljuk, hogy konzultáljon szakemberrel a szükséges dokumentáció előkészítése, valamint a kamerák látószögének jogszerű meghatározása érdekében.

A munkáltatónak természetesen lehetősége van különböző formákban ellenőrizni saját munkavállalóit, az e-mail fiókok, a munkahelyi laptopok, az internethasználat vagy esetleg a céges mobiltelefonok átvizsgálásával, azonban a jelenlegi jogi követelményekből adódóan az ilyen ellenőrzések megkezdése előtt egy szakszerű érdekmérlegelési tesztet kell elvégezni, valamint szabályzatot is kell alkotni a munkahelyi belső ellenőrzések mikéntjéről, illetve erről tájékoztatni is kell a munkavállalókat. Számos esetben előfordul, hogy bár a munkáltatónak minden joga megvan arra, hogy megfigyelje saját munkavállalóit, azonban az ellenőrzések jogi megalapozottságának hiánya, valamint szakszerűtlen végrehajtása miatt a munkáltató mégis jogellenesen fog eljárni. A munkáltatói ellenőrzések foganatosítása előtt javasoljuk, hogy konzultáljon szakemberrel és megfelelően készítse elő az ilyen munkáltatói döntéseket.

A General Data Protection Regulation vagyis GDPR az Általános Adatvédelmi Rendelet, amely uniós jogi normaként az Európai Unió valamennyi tagállamában alkalmazandó. A GDPR dióhéjban összefoglalja azokat a normákat, amelyet minden adatkezelőnek, illetve adatfeldolgozónak figyelembe kell vennie amikor személyes adatokat kezel és természetesen meghatározza azt is, hogy az érintettek milyen jogosultságokkal rendelkeznek.

Nagy valószínűséggel igen, ugyanis a GDPR-t kell alkalmazni valamennyi az EU területén tevékenységi hellyel rendelkező, vagy ide szolgáltatást nyújtó adatkezelő illetve adatfeldolgozó által kezelt személyes adatok vonatkozásában, függetlenül attól, hogy azt papír alapon, vagy elektronikus úton végzik. A GDPR hatálya alá viszont nem tartozik a személyes vagy otthoni tevékenység keretében végzett adatkezelés.

Az adatvédelmi előírások megsértése esetén a felügyeleti hatóság – Magyarországon ez a Nemzeti Adatvédelmi és Információszabadság Hatóság vagy röviden NAIH – közigazgatási bírsággal sújthatja az adatkezelőt. Ez kisebb jellegű jogsértés esetén legfeljebb 10.000.000 euró (3,6 milliárd forint) nagyobb jellegű jogsértés esetén pedig akár 20.000.000 euró (7,2 milliárd forint) is lehet. A NAIH 2020 végéig a GDPR alkalmazási kötelezettségének kezdete óta (2018. május 25.) több mint 300 millió forint bírságot szabott ki.

Voltaképpen minden olyan információ, amelyből következtetést lehet levonni az érintett személyére személyes adatnak minősül. A személyes adat fogalmát a GDPR úgy határozza meg, mint az „azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható”.Ilyen lehet akár a név, az e-mail cím, valamilyen korábbi betegségre vonatkozó adat, de az IP cím, sőt sajátos magatartási formák is.

A személyese adatokon végzett valamennyi művelet adatkezelésnek tekinthető. Az adatkezelés fogalmát a GDPR úgy határozza meg, mint „a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáfér­ hetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;”

A GDPR előírja, hogy az érintetteket tájékoztatni kell különböző információkról, abban az esetben, ha róla személyes adatot kezelnek. Ennek megfelelően tehát minden vállalkozásnak, amely például szerződést köt szükségképpen és minden személyes adatot kezelő (pl. cookie-k, vagy hírlevelek) weboldalnak rendelkeznie kell adatkezelési tájékoztatóval. Ezen felül a GDPR számos más kötelezettséget is ró az adatkezelőre, például nyilván kell tartani az adatkezeléseit, az adatvédelmi incidenseket, érdekmérlegelési teszteket kell elvégezni, sőt esetenként hatásvizsgálatot is kell folytatni, amelyeknek minden esetben dokumentáltan rendelkezésre kell állni.

Jogosan merülhet fel a kérdés: el tudom készíteni a szükséges adatvédelmi dokumentációmat magam is? Természetesen igen, semmi akadálya, hogy saját magunk készítsük el vállalkozásunk vagy civil szervezetünk adatvédelmi dokumentációját, használhatunk különböző mintákat is, ilyenkor azonban mindenképpen kockázatot vállalunk. Ez a kockázat abban rejlik, hogy minden vállalkozás és civil szervezet egyedi, működésük ugyan gyakran hasonlítanak egymásra, de egyediségükhöz nem férhet kétség. Másféle adatokat kezelünk, másféle célból, más formában, mások és mások férhetnek ezekhez hozzá, változó ideig kezeljük ezeket. Egy minta bár kétségkívül képes lehet az adatvédelmi kötelezettségeknek való megfelelésre, nem biztosítos 100%-os védelmet, ugyanis nem veszi figyelembe egyedi körülményeinket, a mintától való eltérés pedig súlyos bírságolási kockázattal járhat. Gyakran nem a tájékoztatás hiánya, hanem annak a valóságnak meg nem felelése lesz a jogsértés középpontjában.