Egy adatvédelmi vizsgálat gondolata sok vállalkozás számára kellemetlennek tűnhet. Fontos azonban, hogy a hatósági megkeresés önmagában nem jelenti azt, hogy a vállalkozás jogsértést követett el. A Hatóság célja az adott ügy körülményeinek feltárása, melyhez különböző dokumentumokat, nyilatkozatokat és egyéb bizonyítékokat is vizsgálhat.
De mire érdemes felkészülnie egy vállalkozásnak és melyek azok a területek, amelyeket érdemes rendszeresen ellenőrizni?
A dokumentumok és a gyakorlat összhangja
Gyakori tévhit, hogyha egy vállalkozás rendelkezik szabályzattal és néhány adatvédelmi dokumentummal, akkor garantált a megfelelés.
A gyakorlatban ennél jóval többről van szó. A Hatóság egy vizsgálat során azt is vizsgálhatja, hogy a dokumentáció és a tényleges adatkezelési gyakorlat összhangban van-e egymással.
Érdemes például átgondolni, hogy a vállalkozás pontosan milyen személyes adatokat kezel, milyen célból és milyen jogalapon. Fontos az is, hogy az érintettek megfelelő tájékoztatást kapjanak, az adatfeldolgozói kapcsolatok rendezettek legyenek, valamint meghatározott legyen, hogy az egyes adatokat meddig szükséges megőrizni.
A dokumentumoknak a valós működést kell tükrözniük
Egy adatkezelési tájékoztató lehet naprakésznek tűnő dokumentum, ha azonban a vállalkozás közben új rendszereket, szolgáltatásokat vagy marketingeszközöket vezetett be. Ilyenkor könnyen előfordulhat, hogy a dokumentáció már nem fedi le a tényleges adatkezelési műveleteket.
Ilyen változás lehet például egy új CRM rendszer, online időpontfoglaló, hírlevélküldő szolgáltatás vagy akár egy új weboldal bevezetése.
Időszakosan érdemes azt is ellenőrizni, hogy a dokumentáció valóban azt írja-e le, ami a vállalkozásban történik.
Mit érdemes tudni az érintetti kérelmekről és az incidensekről?
A GDPR alapján az érintettek többek között hozzáférést kérhetnek a személyes adataikhoz, kérhetik azok helyesbítését vagy törlését, illetve bizonyos esetekben tiltakozhatnak az adatkezelés ellen.
Érdemes előre kialakítani egy olyan folyamatot, amely alapján a vállalkozás tudja, kihez érkezik egy ilyen kérelem, ki kezeli és hajtja végre az adott intézkedéseket.
Ugyanez igaz az adatvédelmi incidensekre is. Egy téves címre elküldött e-mail, elveszített eszköz vagy jogosulatlan hozzáférés esetén fontos, hogy a munkatársak tudják, mi a teendő és mikor szükséges további intézkedést tenni. A Hatóság tájékoztatása szerint a kockázattal járó adatvédelmi incidenseket – ha a feltételek fennállnak – indokolatlan késedelem nélkül, lehetőség szerint legkésőbb 72 órán belül be kell jelenteni a felügyeleti hatóságnak.
Az adatbiztonság sem maradhat ki
Az adatvédelmi megfelelés része az is, hogy a személyes adatokhoz megfelelő módon férjenek hozzá a munkatársak, valamint, hogy a vállalkozás megfelelő technikai- és szervezési intézkedéseket alkalmazzon.
Érdemes időről időre áttekinteni a hozzáférési jogosultságokat, a használt rendszereket, a munkatársak hozzáféréseit, továbbá az adatkezelés során alkalmazott biztonsági intézkedéseket.
Bizonyos, várhatóan magas kockázattal járó adatkezelések esetében pedig adatvédelmi hatásvizsgálat elvégzésére is szükség lehet.
Felkészült lenne egy adatvédelmi vizsgálatra?
Az alábbi kérdések segítségével alkalomadtán érdemes áttekinteni vállalkozása adatvédelmi működését:
Az adatvédelem nem egyszer elkészített dokumentum
A vállalkozás működése folyamatosan változik. Új munkatársak érkeznek, új szoftvereket vezetnek be, változnak a marketingfolyamatok, új szolgáltatók jelennek meg, az adatkezelési folyamatok is módosulhatnak.
Az adatkezelési műveleteket nem csupán akkor érdemes áttekinteni, amikor már a hatósági megkeresés megtörtént. A dokumentáció és a mindennapi gyakorlat időről időre történő felülvizsgálatával a hiányosságok időben felismerhetők.
