Start-R Biztosítási Alkusz Kft.

Startoljon a biztonságra!

Start-R Biztosítási Alkusz Kft.

"Legszebb dolog az igazság, legjobb az egészség, legkedvesebb pedig az, ha az ember elérheti mindazt, amit szeret."
(Arisztotelész)
Ajánlatkérés

Tudta-e?

Amit a GDPR-ról tudni kell

2018. május 25-én életbe lép az Európai Unió új adatvédelmi rendelete (GDPR – General Data Protection Rules), amely a nemzeti jogszabályokat felülírva egységesíti az uniós tagállamok adatkezelési szabályait. A magánszemélyek nagyobb betekintést és jogokat kapnak az adataik kezelésével kapcsolatban, ezzel párhuzamosan a cégek ez irányú kötelezettségeit növekednek, a mulasztásokat pedig minden eddiginél nagyobb pénzbüntetéssel sújtják.

 A rendelet nemcsak a nagyvállalatokat érinti, hanem minden, adatot kezelő vállalkozást, legyen az családi cég vagy kis- és középvállalkozás (kkv).

A rendelet nemcsak a digitálisan tárolt személyes adatokra vonatkozik, hanem a papíralapúakra is, amennyiben azok valamilyen nyilvántartási rendszer részét képezik vagy fogják képezni. Mivel a nyilvántartási rendszer nem jelent mást, mint meghatározott ismérvek alapján hozzáférhető adatokat, ezért nagy az esélye, hogy az iratkezelések túlnyomó többsége a rendelet hatálya alá esik, így azokra ugyanolyan szigorúan szabályozás fog vonatkozni a kezeléstől a tároláson át a szakszerű iratmegsemmisítésig, mint a digitálisan tárolt személyes adatokra.

GDPR közérthetően

Alkalmazási terület

A rendeletet személyes adatok automatizált módon történő kezelésekor, valamint akkor kell alkalmazni, ha személyes adatokat valamely nyilvántartási rendszerben kezelnek. A rendeletnek mind a tárgyi (mikor kell alkalmazni), mind a területi (hol kell alkalmazni) hatálya szélesebb a korábbi adatvédelmi jogszabályokénál.

 Tárgyi hatály:

A rendeletet mind az adatkezelők, mind az adatfeldolgozók tevékenységére alkalmazni kell. A rendeletet nem kell alkalmazni, ha a személyes adatok kezelése személyes vagy ott honi tevékenység során történik.

 Területi hatály:

A rendeletet alkalmazni kell az Unióban tevékenységi hellyel rendelkező adatkezelők vagy adatfeldolgozók tevékenységeivel összefüggésben végzett adatkezelésre, illetve az Unióban tartózkodó érintettek személyes adatainak az Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó általvégzett kezelésére, ha az adatkezelési tevékenységek áruknak vagy szolgáltatásoknak az Unióban tartózkodó érintettek számára történő nyújtásához kapcsolódnak, függetlenül attól, hogy az érintettnek fizetnie kell-e azokért;

vagy az érintettek viselkedésének megfigyeléséhez kapcsolódnak, feltéve hogy az Unió területén belül tanúsított viselkedésükről van szó.

Az adatkezelés jogalapja

A magyar jogalkalmazók számára a legszembetűnőbb változás az, hogy a rendelet az adatkezelő jogos érdekét is a jogalapok között nevesíti. Ennek a jogalapnak az alkalmazásakor fontos feladat lesz az érdekmérlegelési teszt elkészítése.

A személyes adatok kezelése akkor jogszerű, amennyiben legalább az alábbiak egyike teljesül:

1. az érintett hozzájárulását adta személyes adatainak kezeléséhez

2. az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél

3. az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges

4. az adatkezelés az érintett létfontosságú érdekeinek védelme miatt szükséges

5. az adatkezelés közérdekű feladat végrehajtásához szükséges

A hozzájáruláson alapuló adatkezelés során az adatkezelőnek bizonyítania kell tudnia, hogy az érintett szabadon adta meg a hozzájárulását, a hozzájárulás iránti kérelmet más ügyektől egyértelműen megkülönböztethető módon kell előadni.

A jogos érdekre történő hivatkozásnál az adatkezelő érdekeit és az érintett jogait érdekmérlegelési teszt elvégzésével kell összevetni, illetve az érintettet tájékoztatni kell arról, hogy az adatkezelés az adatkezelő jogos érdekén alapul. Az érdekmérlegelési teszt lényegében annak írásbeli dokumentálása, hogy a munkáltató által tervezett ellenőrzésre miért van szükség, hogyan is végezné azt, és milyen – a munkavállalók érdekeit védő – garanciákat épített be az adatkezelés folyamatába. A rendelet meghatározza a kritériumokat, hogy mikor megengedett az adatoknak az eredeti céljától eltérő egyéb célból történő kezelése.

Az érintettek jogai

Az adatkezelők tevékenységének transzparensebbnek kell lennie az érintettek számára, akik többlet jogokat kapnak az adataik feletti közvetlenebb rendelkezés révén, a hozzáférési jogon, a helyesbítési és a törlési jogon keresztül.

Átlátható tájékoztatás

A természetes személyek jogosultak a személyes adatik kezeléséről tömör, átlátható és könnyen hozzáférhető formában, világosan és közérthetően tájékoztatást kapni, így különösen:

• az adatkezelő kilétéről és elérhetőségéről

• az adatvédelmi tisztviselő elérhetőségeiről

• a személyes adatok tervezett kezelésének céljáról, valamint az adatkezelés jogalapjáról

• a „jogos érdeken” alapuló adatkezelés esetén ezen jogos érdekekről

• a személyes adatok címzettjeiről

• az EU-n kívülre történő adattovábbítás esetén a megfelelő garanciákról

• az adatkezelés tervezett időtartamáról

• az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról

• a felügyeleti hatósághoz címzett panasz benyújtásának jogáról

• arról, hogy a szerződés kötésének előfeltétele-e az adatok megadása, illetve milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása

• az esetleges automatizált döntéshozatalról, ideértve a profilalkotást is.

Hozzáférési jog

Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát ingyenesen köteles az érintett rendelkezésére bocsátani. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani. Mindez nem érintheti hátrányosan mások jogait és szabadságait.

A helyesbítéshez való jog

Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat.

A törléshez való jog

Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, ha

• a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték

• az érintett visszavonja az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja

• az érintett tiltakozik az adatainak kezelése ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre

• a személyes adatokat jogellenesen kezelték.

Az adatkezelés korlátozásához való jog

Az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha

• az érintett vitatja a személyes adatok pontosságát

• az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését

• az adatkezelőnek már nincs szüksége a személyes adatokra, de az érintett igényli azokat jogi igények érvényesítéséhez.

Az adathordozhatósághoz való jog

Az érintett jogosult arra, hogy a rá vonatkozó, általa az adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, ha az adatkezelés hozzájáruláson vagy szerződésen alapul és az adatkezelés automatizált módon történik.

Automatizált adatkezelés

Az érintett jogosult arra, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya, amely őt jelentős mértékben érintené.

Adatvédelmi irányítási rendszer

A rendelet által bevezetett új kötelezettséget jelent, hogy az „elszámoltathatóság” elvének megfelelően az adatkezelő nemcsak, hogy felelős a GDPR-nak való megfelelésért, hanem képesnek kell lennie e megfelelés igazolására is. Mindez elképzelhetetlen megfelelő adatvédelmi irányítási rendszer bevezetése nélkül.

A személyes adatok EU-n kívülre történő továbbítása

GDPR alapelvként rögzíti, hogy a személyes adatoknak az Unión kívülre történő továbbítása esetén sem sérülhet a természetes személyeknek az EU-ban biztosított védelem szintje. Az adattovábbítás csak megfelelő jogi garanciák megléte esetén jogszerű.

Személyes adatok EU-n kívülre történő továbbítására akkor kerülhet sor, ha a Bizottság megállapította, hogy a harmadik ország megfelelő védelmi szintet biztosít. Az ilyen adattovábbításhoz nem szükséges külön engedély. Ilyen döntés nyomán továbbítható személyes adat az Egyesült Államokba (Privacy Shield, korábban Safe Harbor). A biztonságos országok listája a Bizottság honlapján megtalálható.

A fenti döntés hiányában személyes adat akkor továbbítható az Unión kívülre, ha

• az Európai Bizottság által elfogadott általános adatvédelmi szerződéses kikötéseket alkalmazzák a felek

• olyan kötelező erejű vállalati szabályokat (BCR) vezet be egy vállalkozás, amelyet az adatvédelmi hatóság jóváhagyott

• jóváhagyott magatartási kódexhez csatlakozott vállalkozásnak kerül továbbításra

• jóváhagyott tanúsítási mechanizmussal rendelkező vállalkozásnak továbbítják.

A fenti garanciák hiányában az Unión kívülre akkor lehet személyes adatot továbbítani, ha

• az érintett kifejezetten hozzájárulását adta a tervezett továbbításhoz azt követően, hogy tájékoztatták az adattovábbításból eredő – a megfelelőségi határozat és a megfelelő garanciák hiányából fakadó – esetleges kockázatokról

• az adattovábbítás szerződés teljesítéséhez szükséges

• az adattovábbítás fontos közérdekből szükséges

• az adattovábbítás jogi igények előterjesztése, érvényesítése és védelme miatt szükséges

• az adattovábbítás az érintett vagy valamely más személy létfontosságú érdekeinek védelme miatt szükséges, és az érintett fizikailag vagy jogilag képtelen a hozzájárulás megadására

• a továbbított adatok olyan nyilvántartásból származnak, amely az uniós vagy a tagállami jog értelmében a nyilvánosság tájékoztatását szolgálja.

Jogorvoslatok

• Minden érintett jogosult arra, hogy panaszt tegyen az adatvédelmi hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti a rendeletet.

• Minden természetes és jogi személy jogosult a hatékony bírósági jogorvoslatra a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben.

• Minden érintett hatékony bírósági jogorvoslatra jogosult, ha megítélése szerint a személyes adatainak a GDPR-nak nem megfelelő kezelése következtében megsértették a rendelet szerinti jogait.

Felelősség és kártérítés

• Minden olyan személy, aki a rendelet megsértésének eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az elszenvedett kárért az adatkezelőtől vagy az adatfeldolgozótól kártérítésre jogosult.

• Ha több adatkezelő vagy több adatfeldolgozó érintett ugyanabban az adatkezelésben, és felelősséggel tartozik az adatkezelés által okozott károkért, minden egyes adatkezelő vagy adatfeldolgozó az érintett tényleges kártérítésének biztosítása érdekében egyetemleges felelősséggel tartozik a teljes kárért.

Bírságok

• Az adatvédelmi bírság mértékét a GDPR-ban lefektetett szabályok mentén, a jogsértés típusától függően határozza meg az adatvédelmi hatóság.

• A rendelet szabályainak megsértői maximálisan 20 millió eurót vagy a vállalkozás előző pénzügyi év teljes éves világpiaci forgalmának 4 %-át kitevő összeggel sújthatóak, azzal, hogy a kettő közül a magasabb összeget kell kiszabni.

• Az adatvédelmi jogsértések esetén a tagállamok jogosultak további, így például büntetőjogi szankciókat alkalmazni.

Adatvédelmi hatóság

A természetes személyek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelme, valamint a személyes adatok Unión belüli szabad áramlásának megkönnyítése érdekében minden tagállamban a rendelet alkalmazásának ellenőrzéséért egy vagy több független, széles ellenőrzési és bírságolási hatáskörrel rendelkező adatvédelmi hatóság felel.

2018.03.19.

Vissza