KRS: az adatvédelmi hatóság GDPR állásfoglalásainak elemzése

http://www.dreamstime.com/royalty-free-stock-photos-data-concept-red-opened-padlock-digital-image37936198

A Nemzeti Adatvédelmi és Információszabadság Hatóság számos állásfoglalást bocsátott ki a közelmúltban, amelyek a 2018. május 25-től kötelezően alkalmazandó új európai általános adatvédelmi rendelet, a GDPR gyakorlatban történő alkalmazását segíthetik elő. A Kovács Réti Szegheő Ügyvédi Iroda szakértői most a legfontosabb jogi megállapításokat, körülményeket vizsgálják meg, a hasznos, tájékoztató írást valamennyi érintett adatkezelőnek érdemes figyelembe vennie.

A Kovács Réti Szegheő Ügyvédi szakértői kifejtették: a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) legújabb állásfoglalásait tanulságos megvizsgálni a 2018. május 25-től kötelezően alkalmazandó az új európai általános adatvédelmi rendelet (GDPR) tárgyi hatálya, a GDPR-ból eredő szabályzatalkotási és nyilvántartás vezetési kötelezettség kérdései tekintetében.

Hiszen maga a rendelet az Európai Unió tagállamaiban, így Magyarországon is közvetlenül alkalmazandó jogszabályként tartalmazza a magánszemélyek személyes adatainak kezelésére vonatkozó általános rendelkezéseket.

A NAIH állásfoglalásai pedig a GDPR gyakorlatban történő alkalmazását segíthetik elő, érdemes ezért ezek legfontosabb megállapításait áttekinteni és valamennyi adatkezelőnek figyelembe venni.

A GDPR tárgyi hatályának kérdése

A NAIH több állásfoglalása is érinti a GDPR tárgyi hatályának kérdését, azaz, hogy annak rendelkezéseit milyen módon történő adatkezelésekre kell alkalmazni.

A GDPR kapcsolódó rendelkezése előírja, hogy a rendeletet a személyes adatok részben, vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére kell alkalmazni, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

A NAIH ezen kérdéskört érintő állásfoglalásai alapján a Kovács Réti Szegheő Ügyvédi Iroda szakértői hangsúlyozták: automatizált adatkezelésnek minősül az automatizált eszköz útján történő adatkezelés, amelyek jellemzően az adatokon elektronikus eszközzel, számítógéppel végzett adatkezelési műveleteket jelentenek.

A manuális, kézi adatkezelések közül pedig azokra vonatkozik a rendelet, amelyek valamilyen nyilvántartási rendszer részét képezik vagy az adatokat valamilyen nyilvántartási rendszer részévé kívánják tenni, azzal, hogy a nyilvántartási rendszer fogalma tágan értelmezendő.

Tehát bármilyen jegyzék, lista, amelyben az adatok bármilyen szempont szerint kereshetők, illetve csoportosításra kerülnek, már a rendelet hatálya alá tartozik.

Szabályzatalkotási és nyilvántartás vezetési kötelezettséget érintő állásfoglalások

Több állásfoglalkozás is foglalkozik egyrészről az adatkezelők szabályzatalkotási kötelezettségének kérdésével, másrészről pedig nyilvántartás vezetési, különösen pedig az adatkezelők GDPR 30. cikk szerinti adatkezelési tevékenységükre vonatkozó nyilvántartás vezetési kötelezettségének kérdésével is.

Ami a szabályzatalkotási kötelezettséget érinti, a NAIH állásfoglalásokat is figyelembe véve a Kovács Réti Szegheő Ügyvédi Iroda szakértői kiemelték: bár a GDPR explicit nem ír elő szabályzatalkotási kötelezettséget az adatkezelőkre vonatkozóan, azonban minden GDPR hatálya alá tartozó adatkezelőnek magának kell felmérnie – figyelemmel arra is, hogy az adatkezelőknek kell a GDPR-nak történő megfelelésüket adott esetben igazolni, bizonyítani -, hogy milyen technikai és szervezési intézkedéseket kell végrehajtania a megfelelőség biztosítása, illetve annak bizonyíthatósága érdekében (azzal, hogy a szabályzatalkotáson túl, ilyen intézkedések közé tartozik még a kezelt adatok minimálisra csökkentése, adatok mihamarabbi álnevesítése, adatok funkcióinak és kezelésének átláthatósága, valamint annak biztosítása, hogy érintett nyomon követhesse az adatkezelést).

Ezt kizárólag valamennyi adatkezelési tevékenység részletekbe menő, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett változó valószínűségű és súlyosságú kockázatok felmérésével és figyelembevételével lehet az egyes adatkezelőknek megállapítaniuk.

Valamint, ezek alapján lehet többek között azt is meghatározni, hogy egy adott adatkezelőnek milyen szabályzatokat szükséges adatkezelési tevékenységei kapcsán elkészítenie és implementálnia.

Forrás: Origo

Általánosságban, különös figyelemmel a megfelelőség bizonyítására vonatkozó elvárásra, kijelenthető, hogy kevés olyan eset képzelhető el (leginkább kisebb, kevés személyes adatkezelési tevékenységet folytató adatkezelők esetén), melynek kapcsán egyáltalán nem szükséges vagy javasolt valamilyen, az adott adatkezelő adatkezelési tevékenységére vonatkozó szabályzat megalkotására (így különösen a munkavállalókat illetve az adott adatkezelő ügyfeleit érintő személyes adatok kezelését figyelembe véve).

A nyilvántartás vezetési kötelezettség tekintetében általánosan kiemelendő továbbá, hogy a NAIH álláspontja alapján megfelelő lehet a nyilvántartások például angol nyelven történő elkészítése és vezetése, azzal, hogy egy esetleges eljárás folyamán számolni kell azzal, hogy ezek hiteles magyar nyelvű fordítását vagy a hatóságnak magának be kell szereznie vagy pedig az eljárással érintettnek magának kell rendelkezésre bocsátania, mely az eljárás költségeit és idejét is megnövelheti egyaránt.

A GDPR 30. cikk szerinti általános nyilvántartás vezetési kötelezettség kapcsán hangsúlyozandó pedig, hogy ezen kötelezettség alóli kivétel lényegében igen szűk kört fed le még akkor is, ha egy adott vállalkozás kevesebb mint 250 főt foglalkoztat.

Ugyanis ebben az esetben is, ha az adatkezelő adatkezelése valószínűsíthetően kockázattal jár, nem alkalmi jellegű vagy szenzitív személyes adatokat is érint, kötelező az adatkezelésre vonatkozó GDPR 30. cikk szerinti tartalommal az előírt nyilvántartást elkészíteni és vezetni – mutattak rá végezetül a Kovács Réti Szegheő Ügyvédi Iroda szakértői.