Ön egy vállalkozást vezet, ezért minden nap feldolgozza az ügyfelek, jelöltek, vállalkozók és alkalmazottak adatait. A jó RODO bevezetése nem egy iratgyűjteményről szól, hanem egyszerű szabályokról a mindennapi munkájában. Ha egyszer rendezte a folyamatokat és a felelősségi köröket, visszanyeri a lelki békéjét, és az ellenőrzés nem okoz majd stresszt.
Ebben az útmutatóban a RODO követelményeit ültetem át a gyakorlatba. Megmutatom, hol kezdje, hogyan válassza ki a jogalapot, mit tegyen a záradékokba, hogyan vezessen nyilvántartást és hogyan reagáljon az incidensekre. Kap egy 90 napos ellenőrző listát és egy rövid GYIK-et is az azonnali döntésekhez.
Hol kezdjük a megfelelőséggel a vállalaton belül?
Készítsen egy gyors feldolgozási térképet. Sorolja fel a folyamatokat (értékesítés, marketing, toborzás, HR, könyvelés, szerződésfeldolgozás, ellenőrzés, helpdesk), és minden egyes folyamat esetében nevezze meg a célt, a jogalapot, az adatok körét, a forrásokat, a címzetteket, a rendszereket és a megőrzési időszakot. Ez a vázlat lesz a tevékenységi nyilvántartás alapja.
Jelölje ki a folyamatok felelőseit. Egy tulajdonos felelős a nyilvántartás bejegyzésének tartalmáért és a frissítésekért. Ez a kijelölés megszünteti a „senki” felelősségét. Szervezzen negyedévente felülvizsgálatot: mi változott, mi érkezik, mit töröl. Ezáltal a nyilvántartás életben marad, és nem porosodik a lemezen.
Hogyan egyeztethetőek össze a jogalapok és a folyamatok?
Minden egyes tevékenységhez válasszon egy alapot a 6. cikkből, és dokumentálja a döntést. A szerződéseket „a szerződés teljesítéséhez szükséges” alapján kezeli. A számviteli és HR-kötelezettségeket jogszabályi rendelkezés alapján állapítja meg. A vállalat önérdekei (pl. igényérvényesítés, alapvető analitika) mérlegelést és életképes kifogásolási jogot igényelnek.
A beleegyezés akkor működik, ha a személynek valódi választási lehetősége van, és azt könnyen vissza tudja vonni. A B2C marketingben gyakran van rá szükség a beleegyezést igénylő csatornákon. A B2B esetében óvatosan használja a jogos érdekeket, és adjon egyértelmű mechanizmust a tiltakozásra. Ne feledje, hogy egy cselekvésen belül különböző indokok is lehetnek (pl. egy számla és egy hírlevél két különböző célt szolgál).
Tájékoztatási kötelezettség a gyakorlatban
Az adatgyűjtés során adjon egyértelmű tájékoztatást: ki az adatkezelő és hogyan lehet vele kapcsolatba lépni, miért gyűjti az adatokat, milyen alapon, kinek adja át azokat, mennyi ideig őrzi meg, milyen jogai vannak az érintettnek, és hogy az adatokat az EGT-n kívülre küldi-e. Írjon közérthetően, és kerülje a szakzsargont.
Passzolj a helyhez és a pillanathoz. A weboldalon mutassa meg a záradékokat, ahol a forma van. A toborzásban illessze őket a hirdetéshez és az űrlaphoz. B2B-kapcsolatban a levelezésben vagy a szerződésben szerepeltesse őket. Ha más forrásból szerez be adatokat, ésszerű időn belül tegyen eleget a kötelezettségnek, és jelölje meg a forrást.
Minden nap élő regiszterek
Ön adatkezelőként nyilvántartást vezet az adatkezelési tevékenységekről. Ha Ön szolgáltatásokat nyújt másoknak, akkor adatfeldolgozóként szintén nyilvántartást vezet a tevékenységek kategóriáiról. Minden bejegyzésnek van tulajdonosa, frissítési dátuma, a rendszerek, adatfeldolgozók és megőrzési szabályok listája.
Egyszerű munkaciklus kialakítása: frissítés minden egyes eszköz bevezetésekor vagy kampány indításakor, a teljes összeg negyedéves felülvizsgálata, éves megtartási felülvizsgálat. A nyilvántartás így inkább kockázatkezelési eszközzé válik, mint formalitássá.
Beszállítókkal kötött megbízási megállapodások
Amikor adatokat ad át egy szolgáltatónak (pl. tárhelyszolgáltató, CRM, ATS, levelezés), Ön megbízási szerződést ír alá. Ebben meghatározza a megbízás tárgyát és időtartamát, célját, az adatok típusát és a személyek kategóriáit, a biztonsági intézkedéseket, az alvállalkozói szabályokat, a személyek jogainak gyakorlásában és a jogsértésekben való segítségnyújtást, valamint az adatoknak az együttműködés végén történő visszaadását/törlését.
A szerződés aláírása előtt ellenőrizze a szállítót. Érdeklődik a titkosításról, a hozzáférés ellenőrzéséről, a naplókról, a tesztelésről, az adatközpontok helyéről és az alvállalkozók láncolatáról. Beírja az incidensek jelentési kötelezettségét és az auditáláshoz való jogot. Ez egy olyan szabvány, amely reálisan védi a vállalatot.
Adatbiztonság a gyakorlatban (32. cikk)
A kockázatértékeléssel kell kezdeni. Azonosítja a kockázatokat, értékeli a valószínűséget és a hatást, és intézkedéseket választ. A lista általában a következőket tartalmazza: MFA, a legkisebb jogosultság elve, titkosítás nyugalomban és átvitel közben, biztonsági mentések, visszaállítási tesztek, eseménynaplózás, hálózati szegmentáció, frissítések és jelszópolitika.
Ezt kiegészíti eljárásokkal: a felhasználók be- és kiköltöztetése, távmunka és BYOD, információosztályozás, tiszta asztali/szűrési irányelvek, személyazonosság-ellenőrzés, incidensre való reagálás és az üzletmenet-folytonossági terv tesztelése. Évente legalább egyszer, illetve jelentős változások után képzéseket tart.
A beépített és alapértelmezett adatvédelem (25. cikk)
A szolgáltatásokat úgy alakítja ki, hogy csak a szükséges adatokat gyűjtse, korlátozza a hozzáférést, és automatikus tisztítással állítsa be a megőrzést. Alapértelmezés szerint letiltja a nem szükséges funkciókat. Minden új eszköz még a bevezetés előtt rövid adatvédelmi hatásvizsgálaton esik át.
A nyilvános interfészeken az átláthatóságra támaszkodik: egyértelmű üzenetekre, egyszerű beleegyezési mechanizmusra és ugyanilyen egyszerű elutasításra. Így bizalmat építesz, és a felhasználó nem küzd a bannerrel.
Mikor kell DPIA-t végezni?
Adatvédelmi hatásvizsgálatot akkor végez, ha a kockázatok valószínűleg magasak. Tipikus példák erre a kiterjedt profilalkotás, a különleges kategóriájú adatok nagyszabású feldolgozása, a közterületek szisztematikus megfigyelése vagy egy új, beavatkozó technológia bevezetése. Az adatvédelmi hatásvizsgálat dokumentálja a célt, a hatályt, a kockázatokat, az intézkedéseket és a cselekvési tervet.
A gyakorlatban érdemes egy rövid szűréssel kezdeni. Ha az első elemzés magas kockázatot mutat, akkor teljes DPIA-t kell végezni, és – ha szükséges – konzultálni kell az ellenőrrel és a felügyeleti hatósággal. A folyamat vagy a technológia jelentős megváltoztatása után visszatér a DPIA-ra.
Mikor és hogyan kell kijelölni az adatvédelmi tisztviselőt?
Ön adatvédelmi tisztviselőt nevez ki, ha azt törvény írja elő: közjogi szervezeteknél, valamint ha fő tevékenysége egyének nagymértékű megfigyelését vagy különleges adatkategóriák nagymértékű feldolgozását foglalja magában. Ha erre nem kötelezik, önként is kijelölhet adatvédelmi tisztviselőt – ez gyakran megkönnyíti a felügyeletet.
Ön függetlenséget biztosít az adatvédelmi tisztviselőnek, és valódi hozzáférést biztosít az információkhoz. Már a kezdetektől fogva meghívja őt a projektekbe, forrásokat és képzést biztosít. Az adatvédelmi tisztviselő tanácsot ad, ellenőrzi a megfelelőséget, képzést biztosít, kapcsolatot tart a felügyeleti hatósággal, és az érintettek számára kapcsolattartó pontként szolgál.
Adatvédelmi incidens és 72 óra válaszadási idő
Minden egyes eseményt kockázat szempontjából értékel. Ha a jogsértés valószínűsíthetően veszélyezteti személyek jogait vagy szabadságait, 72 órán belül jelenti a felügyeleti hatóságnak. Ha a kockázat magas, akkor a magánszemélyeket is tájékoztatja. A jogsértésről nyilvántartást vezet, amelyben leírja az incidenst, a következményeket és a korrekciós intézkedéseket.
Készítsen egy egyszerű algoritmust. Ki kapja a kérést, ki értékeli a kockázatot, ki veszi fel a kapcsolatot a szállítóval és ki küldi el a kérést. Győződjön meg róla, hogy készen állnak a sablonok és a kapcsolattartók listája. Az évente egyszeri incidensvizsgálat jelentősen csökkenti a válaszadási időt.
Hogyan kezeljük az emberek jogait 30 nap alatt?
Ön határozza meg a jelentkezések fogadásának csatornáit (e-mail, űrlap, postai úton). Ön arányos módon ellenőrzi a személyazonosságot. Regisztrálja a kérelmet, és határidőt jelöl ki. 30 napon belül vagy választ ad, vagy indoklással ellátott hosszabbításról tájékoztat. Naplót vezet a tevékenységekről, és biztosítja a rendszerek közötti összhangot.
A leggyakoribb kérelmek a hozzáférés, a helyesbítés, a törlés, a korlátozás, a hordozhatóság és a tiltakozás. Az automatizált döntéshozatallal emberi beavatkozást biztosít. A folyamat felgyorsítása és a minőség fenntartása érdekében dolgozzon ki válaszsablonokat.
Sütik és hozzájárulás az online csatornában
A felhasználó eszközén az adatok írásához és olvasásához hozzájárulásra van szükség, kivéve a szolgáltatás működéséhez szükséges cookie-kat. A hozzájárulási mechanizmusnak egyformán egyszerű elfogadást és elutasítást kell biztosítania, valamint a döntés megváltoztatásának lehetőségét.
Kerülje az olyan bannereket, amelyek megnehezítik a visszautasítást. Rendezze a kategóriákat, a szolgáltatók neveit és céljait. Állítson fel egy hozzájárulási naplózási mechanizmust, és szinkronizálja azt az adatvédelmi irányelvével. Ne feledje, hogy a hozzájárulást a RODO kritériumai alapján értékeli, nem csak a helyi kommunikációs jogszabályok alapján.
Adattovábbítás az EGT-n kívülre
Ha az adatokat az Európai Gazdasági Térségen kívülre küldi, akkor átviteli alapra van szükség. Az Egyesült Államok esetében a Privacy Shield program keretében tanúsított szolgáltatók megfelelőségi keretrendszerét használhatja. Más esetekben többnyire szabványos szerződéses záradékokat és átadási kockázatértékelést használ.
Ellenőrizze, hogy a szolgáltatója rendelkezik-e érvényes alapokkal, és hogy azok kiterjednek-e az Ön által igénybe vett szolgáltatások körére. Dokumentálja a döntést a nyilvántartásban és a szerződésekben. Szolgáltatás vagy alvállalkozó váltásakor visszatér az értékeléshez.
Ellenőrző lista 90 napra
- Térképezze fel a folyamatokat és készítsen tevékenységi naplót.
- Az információs záradékok és az adatvédelmi politika frissítése.
- Ellenőrizze a megbízási szerződéseket és az alvállalkozók láncolatát.
- A biztonsági intézkedések felülvizsgálata és kiegészítése (MFA, másolatok, naplók, megőrzés).
- A sütik és a hozzájárulási mechanizmus elrendezése.
- Hozzon létre egy jogsértési eljárást szerepekkel és sablonokkal.
- Az emberek jogainak kezelésének előkészítése (SLA, válaszminták, kérvények nyilvántartása).
- Értékelje, hogy szükség van-e DPIA-ra és/vagy IOD-ra.
GYIK – RODO vállalatoknak
Igen, mert ez az elszámoltathatóság alapvető bizonyítéka. Lehet egyszerűsíteni, de nem érdemes lemondani róla. A nyilvántartás megkönnyíti a változások tervezését és a beszállítók ellenőrzését is.
A jogos érdek akkor működik, ha az nem sérti egy személy jogait, és Ön életképes kifogást emel. A beleegyezésre akkor van szükség, ha a személynek teljes választási lehetőséggel kell rendelkeznie, és a beleegyezés hiánya nem ronthatja a szolgáltatást.
Nem. Ha az incidens nem jelent kockázatot az emberek jogaira vagy szabadságaira nézve, elegendő a jegyzőkönyv és a korrekciós intézkedés. Ha a kockázat növekszik, 72 órán belül jelentse, és fontolja meg az emberek értesítését.
Egy jogi és műszaki szakértelemmel rendelkező személy, aki képes önállóan cselekedni. Ez lehet egy alkalmazott vagy egy külső szervezet. Fontos, hogy az IOD hozzáférjen az információkhoz és a döntéshozó személyekhez.
Igen, ha van átadási alapja és ellenőrzi a kockázatokat. Válasszon olyan szolgáltatókat, amelyek érvényes jogi mechanizmusokkal, naprakész tanúsítványokkal és az alvállalkozók egyértelmű listájával rendelkeznek.