A vállalati szférában elterjedt gyakorlat, hogy az adatvédelmi megfelelést lezárt projektként kezelik. Sok cégvezető úgy véli, hogy az egyszer elkészített és a weboldalra feltöltött adatkezelési tájékoztató hosszú távon is elégséges védelmet nyújt a hatósági ellenőrzésekkel szemben. Ez a megközelítés azonban jelentős kockázatot hordoz, mivel az adatkezelési folyamatok egyre gyorsabban, dinamikusan változnak.
Mikor kell felülvizsgálni az adatkezelési tájékoztatót?
Az adatvédelmi tájékoztató nem egy örök érvényű igazolás, hanem a szervezet tényleges működését tükröző, folyamatosan frissítendő dokumentáció. Amennyiben a szervezet működésében változás történik, a korábban megfelelő dokumentáció gyorsan pontatlanná válhat, és már nem tükrözi a tényleges adatkezelési gyakorlatot. Ez különösen igaz az alábbi esetekben:
- megváltoznak a belső adatkezelési folyamatok;
- új informatikai rendszereket vagy technológiai megoldásokat vezetnek be;
- módosul az adatkezelési gyakorlat;
- új külső szolgáltatók vagy adatfeldolgozók kapcsolódnak be a működésbe;
- változik a jogszabályi vagy hatósági környezet.
Ha a dokumentáció nem követi ezeket a változásokat, a belső adatkezelési rend és a tényleges gyakorlat közötti eltérés könnyen jogsértéshez vezethet, amely egy hatósági ellenőrzés során szankciókat is maga után vonhat.
Az alábbiakban bemutatjuk, mikor kötelező az adatvédelmi dokumentumok időszakos és eseti felülvizsgálata, valamint milyen változások indítják be a soron kívüli ellenőrzési kötelezettséget.
Gyakorlati példa: új technológiai rendszerek bevezetése a belső folyamatok frissítése nélkül
Tegyük fel, hogy egy középvállalkozás korábban átfogó auditot végzett, és ennek megfelelően alakította ki az adatvédelmi szabályzatait. Két évvel később a társaság a hatékonyság növelése érdekében új, felhőalapú ügyfélkapcsolati (CRM) rendszert vezetne be, valamint egy mesterséges intelligenciával támogatott hírlevélküldő szoftvert integrálna a marketingfolyamataiba. A belső adatvédelmi tájékoztatót és az adatkezelési tevékenységek nyilvántartását azonban a bevezetés előtt nem vizsgálnák felül, és nem frissítenék.
Egy esetleges hatósági ellenőrzés során a felügyeleti hatóság valószínűsíthetően kifogásolná, hogy az ügyfelek nem kaptak előzetes és pontos tájékoztatást a felhőszolgáltató, mint adatfeldolgozó bevonásáról. A hatóság megállapíthatná az átláthatóság elvének sérülését, mivel a marketingcélú profilalkotás és az automatizált döntéshozatal feltételei nem szerepeltek a nyilvános dokumentációban. Ilyen esetben a hatóság kötelezhetné a vállalkozást a jogellenes állapot megszüntetésére, és a körülmények mérlegelése alapján pénzügyi szankciót is kiszabhatna.
A hároméves kötelező felülvizsgálat törvényi keretei
Az adatvédelmi szabályzatok rendszeres felülvizsgálatával kapcsolatban gyakori félreértés, hogy az minden vállalati adatkezelésre egységesen vonatkozik. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a
továbbiakban: Infotv.) szerinti hároméves felülvizsgálati kötelezettség valójában egy szűkebb területet érint.
Az Infotv. 5. § (5) bekezdése alapján a kötelező felülvizsgálat kizárólag a jogszabály (törvény, önkormányzati rendelet vagy az Európai Unió kötelező jogi aktusa) által közérdekből elrendelt adatkezelésekre terjed ki. Az ilyen típusú adatkezelések esetében az adatkezelő köteles legalább 3 évente dokumentált módon ellenőrizni, hogy az adatok kezelése továbbra is szükséges-e a cél eléréséhez. A felülvizsgálatról készült írásos dokumentációt az adatkezelőnek a vizsgálat lefolytatásától számított 10 évig meg kell őriznie.
A 3 éves szabály ugyanakkor nem jelent általános türelmi időt a vállalkozás adatkezelési nyilatkozatainak frissítésére. A piaci alapú, üzleti célú adatkezeléseket a változások bekövetkeztekor – azok gyakorlatba átültetése előtt – haladéktalanul frissíteni kell.
6 kulcsfontosságú változás, amely azonnali felülvizsgálatot tesz szükségessé
A vállalkozásnak nem szabad megvárnia a tervezett éves vagy a 3 éves auditot, ha az alábbi működési változások bármelyike bekövetkezik:
Új adatkezelési cél vagy jogalap megjelenése
A vállalkozásnak nem szabad megvárnia a tervezett éves vagy a 3 éves auditot, ha az alábbi működési változások bármelyike bekövetkezik:
Új technológiai eszközök alkalmazása
Új CRM- vagy HR-szoftver bevezetése, mesterséges intelligenciára épülő megoldások, biometrikus beléptetőrendszer, GPS-alapú nyomkövetés vagy kamerarendszer kiépítése.
Új adatfeldolgozó vagy harmadik fél bevonása
Új könyvelőiroda, bérszámfejtő partner, IT-üzemeltető, felhőszolgáltató vagy marketingügynökség megbízása, akik hozzáférnek a személyes adatokhoz.
Kezelt adatkörök vagy érintettek körének bővülése
Ha a cég különleges adatokat (például egészségügyi adatokat) kezd kezelni, vagy új csoportok (például álláspályázók, diákok) adatait gyűjti.
Nemzetközi adattovábbítás megkezdése
Ha az adatok az Európai Gazdasági Térségen (EGT) kívüli országba (például az Egyesült Államokba) kerülnek, vagy harmadik országbeli felhőszolgáltatót vesznek igénybe.
Változó jogszabályi vagy hatósági elvárások
A felügyeleti hatóságok (például a NAIH) új iránymutatásai, jogszabály-módosítások vagy releváns bírósági ítéletek, amelyek átértékelik a korábbi gyakorlatot.
Ismerje meg azt a 10 tévhitet, amely a legtöbb tranzakció során gyengítheti az alkupozíciót, növelheti a kockázatokat leadership you can reduce a realizálható vételárat.
A jogellenes adatkezelés hatósági és pénzügyi következményei
A hiányos vagy elavult dokumentáció komoly kockázatot jelent, mivel a jogsértések feltárása gyakran egyetlen egyéni panasz nyomán indul el. A GDPR 77. cikke alapján bármely érintett – legyen az ügyfél, vásárló, munkavállaló vagy akár egy korábbi alkalmazott – jogosult panaszt tenni a felügyeleti hatóságnál. A panasz nyomán indított vizsgálat kiterjedhet akár a vállalkozás teljes adatkezelési gyakorlatára is.
A hatóság jogosult az adatkezelés ideiglenes vagy végleges korlátozására, az adatok törlésének elrendelésére, valamint bírság kiszabására. A GDPR 83. cikk (5) bekezdése 2 értelmében a súlyos jogsértések esetén kiszabható bírság felső határa 20 millió euró, vagy vállalkozások esetében az előző pénzügyi év teljes világpiaci éves forgalmának 4%-a (a kettő közül a magasabb összeg veendő figyelembe).
Vállalatcsoportoknál a bírság alapját az uniós versenyjogi értelemben vett egyetlen gazdasági egység csoportszintű forgalma képezheti, amelyhez a konszolidált beszámoló adatai az irányadóak. A szankciók mértéke mindig az egyedi eset összes körülményétől függ, de a működési korlátozások és a határozatok nyilvánosságra hozatala önmagában is súlyos reputációs veszteséget okozhat.
Hogyan biztosítható a folyamatos GDPR-megfelelés?
[adatvédelmi jogi tanácsadás / GDPR audit szolgáltatás linkje]
Az adatvédelem terén a megelőzés lényegesen hatékonyabb és költségkímélőbb megoldás, mint a hatósági eljárások során történő utólagos kármentés. A rendszeres időközönként lefolytatott belső auditok és az üzleti változásokat követő eseti frissítések biztosítják, hogy a vállalkozás dokumentációja és tényleges működése folyamatos összhangban maradjon.
Az ICT LEGAL szakértői csapata támogatást nyújt a kötelező és üzleti célú adatkezelések rendszerszintű felülvizsgálatában, a belső szabályzatok frissítésében, valamint az új technológiák és szolgáltatók bevezetéséhez kapcsolódó adatvédelmi hatásvizsgálatok elvégzésében.
Kérje szakértőink segítségét adatkezelési gyakorlatának és dokumentációjának felülvizsgálatában.
This article was peer-reviewed by:
Dr. Mendly Ákos L.L.M.,
ügyvéd,
ICT LEGAL Termel & Zsidi Ügyvédi Iroda
Legal disclaimer:
Jelen összefoglaló kizárólag általános tájékoztatásként szolgál, és nem minősül jogi tanácsadásnak. Konkrét ügylet vagy meglévő struktúra megítélése minden esetben egyedi vizsgálatot igényel.
