" Louis, I think this is the beginning of a beautiful friendship." Av. Ab. képzés " Louis, I think this is the beginning of a beautiful friendship." (Rick) avagy Szinergiák az adatvédelmi- és az információbiztonsági szabványokban. Dr. Farkas Tamás adatvédelmi szakjogász

Adatvédelmi szerepkörök Av. Ab. képzés Adatvédelmi szerepkörök Dan Bogdanov

Av. Ab. képzés ISO/IEC 29100:2011 alapelvei I. Hozzájárulás és önkéntesség (5.2 Consent and choice) Célhoz kötöttség és jogalapok (5.3 Purpose legitimacy and specification) Az adatkezelés korlátozása (5.4 Collection limitation) Adatminimalizálás (5.5 Data minimalization) Felhasználás, megőrzés és a hozzáférés korlátozása (5.6 Use, retention and disclosure limitation) Szervezeti intézkedések: az adatvédelmi elvek elfogadása és betartása 8. Az adatkezelés korlátai 9. § (1) Ha törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusának rendelkezése alapján az adatkezelő személyes adatot akként vesz át, hogy az adattovábbító adatkezelő az adattovábbítással egyidejűleg jelzi a személyes adat a) kezelésének lehetséges célját, b) kezelésének lehetséges időtartamát, c) továbbításának lehetséges címzettjeit, d) érintettje e törvényben biztosított jogainak korlátozását, vagy e) kezelésének egyéb korlátozását Adatminimalizáció: 4.§ (2) Csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas. A személyes adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető.

Av. Ab. képzés ISO/IEC 29100:2011 alapelvei II. Pontosság és minőség (5.7 Accuracy and quality) Nyitottság, átláthatóság és tájékoztatás (5.8 Openness, transparency and notice) Az egyéni részvétel és hozzáférés (5.9 Individual participation and acess) Számonkérhetőség (5.10 Accountability) Az információbiztonság (5.11 Information security) Adatvédelmi rendelkezések betartása (5.12 Privacy compliance) Szervezeti intézkedések: az adatvédelmi elvek elfogadása és betartása

Alapfogalmak összevetése Av. Ab. képzés Alapfogalmak összevetése ISO 29100 család ISO 27000 család Privacy stakeholder (PII principal, controller, processor) Stakeholder PII (Personaly Identified Information) Information asset Privacy breach Information securíty incident Privacy control Control Privacy risk Risk Privacy risk management Risk manegement Privacy safeguarding requirements Control objectives

Közös felületek ISO 29100 ISO 27001 Hozzáférés korlátozása Bizalmasság Av. Ab. képzés Közös felületek ISO 29100 ISO 27001 Hozzáférés korlátozása Bizalmasság Megőrzés Sértetlenség, Rendelkezésre állás Pontosság, minőség Számonkérhetőség Információbiztonság Minden IBIR alapelv Átláthatóság Hitelesség, letagadhatatlanság Szervezeti intézkedések: az adatvédelmi + információbiztonsági elvek elfogadása és betartása

A szabványok kölcsönös függőségei Av. Ab. képzés A szabványok kölcsönös függőségei Frank Fransen

Adatvédelmi hatásvizsgálat (Privacy Impact Assessment IS 29134 4th WD) Av. Ab. képzés Adatvédelmi hatásvizsgálat (Privacy Impact Assessment IS 29134 4th WD) Adatvédelmi kockázatok azonosítása(6.2.3.1) Jogosulatlan személy hozzáférése a PII-hoz (bizalmasság elvesztése); IBIR PII adatvesztés módosítás miatt (sértetlenség); IBIR PII-adatvesztés eltűnés miatt (rendelkezésre állás); IBIR PII jogellenes összekapcsolása (az adatok érintetthez rendelhetővé válása); Az adatkezelésre vonatkozó információk visszatartása PII-vesztés (átláthatóság); Jogalap és célhoz kötöttség nélküli adatgyűjtés (irányítás elvesztése) Szervezeti intézkedések: az adatvédelmi jogsértések kockázatának csökkentése Az adatkezelő és az adatfeldolgozó vonatkozásában is!

ISO/IEC 27002:2013 szabályozási területei Av. Ab. képzés ISO/IEC 27002:2013 szabályozási területei PII védelmi eljárások/ az adatvédelmi irányítás implementálása

Az adatvédelemi rétegek ISO/IEC 29101:2013 Av. Ab. képzés Az adatvédelemi rétegek ISO/IEC 29101:2013 PII védelmi eljárások/ az adatvédelmi irányítás implementálása Dan Bogdanov

Jogi vonzatok Információbiztonság Adatvédelem - 95/46 EK EU irányelv Av. Ab. képzés Jogi vonzatok Adatvédelem - 95/46 EK EU irányelv - 2011. CXII. Tv. Infotv. - Ágazati törvények: Ehtv, Grt, Ekert, Dmt, Eüaktv - 29. WP, NAIH vélemények, ajánlások, határozatok Információbiztonság - 2013. L. tv. Ibtv - Végrehajtási rendeletek Adatvédelmi jogviszony diszpozitív Bejelentés ellenére lehet jogellenes Ibtv: kogens

Javaslatok Követelmények naprakész ismerete! Av. Ab. képzés Javaslatok Követelmények naprakész ismerete! A folyamatokat és a támogató szakemberek megnyerése! A szükséges intézkedések megtervezése! Szabályozási környezet kialakítása! A célok és a szabályok kommunikálása! Az érdekeltek tájékoztatása, képezése és oktatása! A szabályok betartásának, betarthatóságának ismerete! A változások követése!

Nyitott kérdések Hogy kezeljük a fenntartásokat? Av. Ab. képzés Nyitott kérdések Hogy kezeljük a fenntartásokat? Mi tehető mindenki számára megismerhetővé? Hogy kezeljük az IB és az AV ütközéseit? (biztonsági mentések, zárolás) ?

Av. Ab. képzés Köszönöm a figyelmet!