Olvasási idő: 10 perc
Az adatkezelési rendelkezéseket sokféle szerepkörben kell alkalmazni a vállalatoknak: gyakran munkáltatóként, megrendelőként, beszállító partnerként. Az adatkezelőknek és adatfeldolgozóknak nem csupán saját belső szabályzataikat kell kialakítaniuk, hanem a vonatkozó uniós és hazai adatvédelmi jogszabályoknak is meg kell felelniük.
Az egyik olyan kötelezettség, amelyet különösen a közép- és nagyvállalatoknak érdemes alaposan megvizsgálniuk, az adatvédelmi tisztviselő („Data Protection Officer”, „DPO”) kijelölésének szükségessége. Irodánk több esetben is ellát adatvédelmi tisztviselői feladatokat megbízó ügyfelek részére, és rendszeresen szembesülünk a kijelölési kötelezettség kapcsán felmerülő jogértelmezési kérdésekkel. Emiatt hasznosnak tartjuk, hogy ezt a szolgáltatást részletesebben is bemutassuk.
A téma azok számára is releváns lehet, akikkel irodánk adatvédelmi tanácsadás keretében működik együtt. Az összeférhetetlenségre vonatkozó előírások betartása mellett ugyanis ezen ügyfelek számára is biztosítani tudjuk a DPO-szolgáltatás feltételeit. Kétrészes cikksorozatunk célja, hogy gyakorlati eligazodást nyújtson a DPO kijelölésére vonatkozó szabályozásban és annak alkalmazásában.
Az Általános Adatvédelmi Rendelet, azaz a GDPR egyes esetekben kötelezővé teszi a DPO kijelölését. Más esetekben viszont – noha jogszabály nem írja elő – kifejezetten ajánlott lehet a megfelelés és a jogszerű adatkezelés biztosítása érdekében.
Ebben a cikkben összefoglaljuk, milyen esetekben kötelező, és mikor lehet célszerű adatvédelmi tisztviselőt kijelölni a vállalati működés során. A cikksorozat következő részében pedig gyakorlati szempontokat ismertetünk arra vonatkozóan, hogy kit érdemes adatvédelmi tisztviselőként kijelölni, illetve milyen előnyöket jelenthet e szerepkör külső szakértő általi betöltése.
Mikor kötelező az adatvédelmi tisztviselő kijelölése?
Nem minden vállalkozásnak kötelező adatvédelmi tisztviselőt kijelölnie. A GDPR ezt nem a cég méretéhez vagy árbevételéhez, hanem az adatkezelési tevékenység jellegéhez köti.
DPO kijelölése kötelező, ha a szervezet fő tevékenysége:
személyes adatok különleges kategóriáinak (például egészségügyi adatok) vagy bűnügyi személyes adatoknak nagy mennyiségben történő kezelése; vagy
olyan adatkezelési műveletek végzése, amelyek az érintettek rendszeres, szisztematikus és nagymértékű megfigyelésével járnak.
Tapasztalatunk szerint Ügyfeleink körében leggyakrabban a második eset merül fel.
Ugyanakkor a GDPR-ban szereplő fogalmak nem mindig egyértelműek. Bemutatjuk, hogy mit jelent a gyakorlatban a „fő tevékenység”, valamint a „rendszeres, szisztematikus és nagymértékű megfigyelés” és milyen szempontok alapján dönthető el, hogy egy vállalkozás számára kötelező-e DPO kijelölése. E szempontok fennállását érdemes időről időre, a cég működése során rendszeresen felülvizsgálni, hiszen az adatkezelési tevékenységek idővel jelentősen változhatnak.
Mit jelent a fő tevékenység?
A „fő tevékenységek” nemcsak a cégjegyzék szerinti főtevékenységet jelentik, hanem a társaság céljainak eléréséhez szükséges legfontosabb műveleteket is, melyek a társaság tevékenységének elválaszthatatlan részét képezik. Néhány példa:
egy gyártó cég alapvető tevékenysége valamely termék gyártása (pl. papír, dohány, gépgyártás), értékesítése, mely során az operáció összekapcsolódik a személyes adatok kezelésével, amikor területeire munkavállalói és ügyfél-beléptetés történik, partner kapcsolattartók adatait használják napi szinten, vagy kamerás megfigyeléssel biztosítja a tevékenység helyszíneit.
Ha a cég a fő tevékenysége körében egészségügyi szolgáltatást nyújt, vagy ehhez kapcsolódó szolgáltatást kínál, egészségügyi adatokat kezel. Ez szintén kimeríti az adatvédelmi tisztviselő kötelező alkalmazásának esetét.
Munkaerő-kölcsönzés vagy munkaközvetítés esetén pedig a munkavállalókkal kapcsolatos bérezési, adózási, valamint egyéb pénzügyi és személyzeti ügyekben kezel nagyszámú adatot a vállalkozás.
Mit jelent a rendszeres és szisztematikus megfigyelés?
A GDPR ezt a fogalmat nem definiálja pontosan. A kialakult gyakorlat szerint magában foglalja az interneten történő nyomon követés és profilalkotás valamennyi formáját. Ide tartozik a viselkedésalapú reklám céljából történő adatkezelés is. A rendszeres és szisztematikus megfigyelés azonban nem korlátozódik az online térre. Abban az esetben is fennáll a rendszeresség, ha az folyamatosan, bizonyos időközönként történik, vagy meghatározott időpontokban ismétlődik, például:
a munkáltató folyamatosan monitorozza az ügyfélszolgálati feladatokat ellátó munkavállalók munkavégzését IT eszközök révén a minőségbiztosítás érdekében,
a fuvarozással foglalkozó cég követi az alkalmazottai munkamenetét.
Mi számít nagy mértékű, nagy számban történő megfigyelésnek?
A GDPR nem határoz meg pontos értékeket ennek eldöntésére. A gyakorlatban jelentős mennyiségű a személyes adat, ha azokat nemcsak helyi szinten, hanem országos vagy akár nemzetközi (pl. EU-s) szinten dolgozzák fel, tárolják vagy elemzik. Jó példa erre egy vállalatcsoport, ahol nagy számú munkavállaló dolgozik akár országszerte, vagy nemzetközi szinten különböző telephelyeken és ennek során a munkavállalói vagy ügyféladatokat központilag, több országot érintően kezelik HR-, IT- vagy compliance célból.
A mértéket a következő szempontok alapján lehet megítélni:
az érintettek száma,
a kezelt adatok mennyisége,
a kezelésre kerülő különböző adatok köre,
az adatkezelési tevékenység időtartama vagy állandósága,
az adatkezelési tevékenység földrajzi kiterjedése.
Nagymértékűnek tekinti a gyakorlat például a személyes adatok keresőmotor általi kezelését viselkedésalapú reklám céljából, vagy nagy számú munkavállaló személyügyi, munkaidő-nyilvántartási, beléptető- és kamerarendszerből származó adatainak kezelését.
Az Európai Adatvédelmi Testület által ajánlott esetek
A GDPR-ban meghatározott kötelező eseteken kívül is indokolt lehet adatvédelmi tisztviselő kijelölése. Az Európai Adatvédelmi Testület (EDPB) iránymutatásai szerint bizonyos, magasabb adatvédelmi kockázattal járó adatkezelések esetén a DPO bevonása elősegítheti a GDPR-követelményeknek való megfelelést és az adatkezelési kockázatok kezelését.
Különösen érdemes megfontolni DPO kijelölését olyan szervezeteknél, amelyek:
nagy számú érintett személy adatait kezelik,
széles körű vagy összetett adatkezelési műveleteket végeznek,
amelyeknél rendszeresen merül fel adatvédelmi hatásvizsgálat elvégzésének szükségessége.
Bár ezekben az esetekben a DPO kijelölése nem minden esetben jogszabályi kötelezettség, a megfelelő adatvédelmi irányítás kialakításának fontos eszköze lehet.
Adatvédelmi hatásvizsgálat esete
Adatvédelmi hatásvizsgálat elvégzése akkor lehet szükséges, ha az adatkezelés valamely – különösen új technológiákat alkalmazó – típusa, figyelemmel annak jellegére, hatókörére, körülményére és céljaira, valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve. Magas kockázatot jelent:
A módszeres megfigyelés: ha például a gyártással foglalkozó vállalkozás területein kamerás megfigyelőrendszert üzemeltet a munkavállalók életének, testi épségének védelme, esetleges munkabalesetek feltárása, vagy bűncselekmények megelőzése céljából;
Ha a munkavállalók által használt autókban GPS-t alkalmaznak a mozgás követése érdekében.
Ha egy munkaerő-kölcsönzéssel vagy -közvetítéssel foglalkozó vállalkozás álláskeresői adatbázisában nagyszámú érintett szerepel, akik számos adatkörben szolgáltatnak személyes adatot.
Nagy mennyiségű egészségügyi vagy más különleges személyes adat kezelése
Az Európai Adatvédelmi Testület iránymutatása szerint, amennyiben nem egyértelmű a kockázat megítélése, a megfelelés érdekében le kell folytatni a hatásvizsgálatot.
Bár az adatvédelmi hatásvizsgálat elvégzésének kötelezettsége önmagában nem eredményezi a DPO kijelölésének kötelezettségét, a két kérdés a gyakorlatban gyakran összefügg. Azoknál a szervezeteknél, amelyek adatkezelései rendszeresen adatvédelmi hatásvizsgálatot tesznek szükségessé, célszerű megfontolni adatvédelmi tisztviselő kijelölését. A DPO ugyanis közreműködhet a kockázatok azonosításában, az adatvédelmi hatásvizsgálatok elkészítésében, valamint a GDPR-követelmények folyamatos érvényesülésének biztosításában.
Nagy mennyiségű személyes adat kezelése
Amennyiben a társaság adatkezelése nem tartozik a fő tevékenysége körébe, valamint nem valósul meg rendszeres, szisztematikus megfigyelés sem, de nagy mennyiségű személyes adatot kezel, a nagy adatkezelési volumen miatt nőhet az adatvédelmi incidensek kockázata. Az adatvédelmi tisztviselő szakmai támogatása ilyenkor hozzájárulhat az adatkezelési folyamatok felülvizsgálatához, a kockázatok csökkentéséhez.
Adatvédelmi incidens megelőzésének és kezelésének előtérbe helyezése
Azoknál a szervezeteknél, ahol az adatkezelés jellege miatt vagy korábbi tapasztalatok alapján fokozott az adatvédelmi incidensek kockázata, szintén indokolt lehet DPO kijelölése. A DPO támogatást nyújthat az incidensek megelőzését szolgáló belső folyamatok kialakításában, a munkavállalók tudatosságának növelésében, valamint az esetlegesen bekövetkező incidensek jogszerű kezelésében és dokumentálásában.
A fenti esetekben a proaktív megközelítés – azaz az adatvédelmi tisztviselő önkéntes kijelölése – segíthet a szabályozásnak való megfelelés biztosításában, az adatkezelési kockázatok csökkentésében, illetve hozzájárulhat az elszámoltathatóság elvének érvényesítéséhez.
Zárszó
Amennyiben az Ön szervezeténél a kötelező szempontok bármelyike fennáll, a DPO kijelölése nem választható, hanem jogszabályi kötelezettség. Azokban az esetekben pedig, amikor a kijelölés nem kötelező, de az adatkezelés jellege vagy kockázata ezt indokolja, a DPO alkalmazása jelentős hozzáadott értéket képviselhet.
Az adatvédelmi tisztviselő feladata nem csupán a jogszabályi megfelelés támogatása, hanem az is, hogy folyamatosan nyomon kövesse az adatkezelési folyamatokat, azonosítsa a lehetséges kockázatokat, és segítse azok kezelését még azelőtt, hogy azok adatvédelmi incidenshez vagy hatósági eljáráshoz vezetnének.
A megfelelő adatvédelmi irányítás ma már nem pusztán jogi megfelelési kérdés, hanem a felelős vállalatirányítás része. Egy megfelelő szakmai háttérrel rendelkező DPO hozzájárulhat az adatkezelési folyamatok átláthatóságához, a GDPR szerinti elszámoltathatóság elvének érvényesüléséhez, valamint a szervezet iránti üzleti bizalom erősítéséhez.
Mivel a DPO kijelölésének kötelezettsége vagy célszerűsége minden esetben az adott szervezet adatkezelési tevékenységének részletes vizsgálata alapján ítélhető meg, javasolt időről időre felülvizsgálni, hogy a vállalkozás működése indokolja-e adatvédelmi tisztviselő kijelölését, illetve a meglévő adatvédelmi folyamatok felülvizsgálatát.
Kép forrása: pexels.com Ron Lach