Új adatvédelmi szabályok – Az EU adatvédelmi rendelete Dr. Mosonyi Richard MABIASZ Szakmai nap 2018. március 5.

2018. május 25. a GDPR alkalmazandó Új adatvédelmi szabályok – Az EU adatvédelmi rendelete Új uniós általános adatvédelmi rendelet (GDPR) bevezetése 2016. május 4. a GDPR közzététele 2016. május 24. a GDPR hatályba lép 2018. május 25. a GDPR alkalmazandó

Új adatvédelmi szabályok – Az EU adatvédelmi rendelete Infotv.* és az EU adatvédelmi rendelete** (GDPR) kapcsolata Nem implementáció! Infotv. GDPR Hatósági eljárás Speciális adatok (pl. bűnüldözési, elhunytakkal kapcsolatos) kezelése Közérdekű adatok megismerése személyes adatok védelme * Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény ** Az Európai Parlament és a Tanács (EU) 2016/679 Rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról

Az adatkezelés szabályozási logikája lényegében nem változott Új adatvédelmi szabályok – Az EU adatvédelmi rendelete Adatkezelési alapelvek (célhozkötöttség stb.) Adatkezelés jogalapja Az adatkezelés szabályozási logikája lényegében nem változott Bírság összege max. 20 M Ft helyett 20 M EUR Egy kontinens, egy jog Értelmezési keretek kitágulnak (29-es munkacsoport, Európai Adatvédelmi Testület) Adatkezelés bejelentése – adatkezelési nyilvántartás Érintetti jogok bővítése (pl. adathordozhatóság) Adatvédelmi incidens bejelentése Jelentősebb változások

Új adatvédelmi szabályok – Az EU adatvédelmi rendelete Akcióterv Mi a teendő?

Átvilágítás (data mapping) Új adatvédelmi szabályok – Az EU adatvédelmi rendelete Elvégzendő feladatok 2018. május 25-ig Átvilágítás (data mapping) Átvilágítás eredményének áttekintése Intézkedési terv kidolgozása és végrehajtása Feladat 2018. május 25-től Folyamatos megfelelés

Milyen személyes adatokat kezel (személyes adatok kategóriái) Új adatvédelmi szabályok – Az EU adatvédelmi rendelete Átvilágítás (data mapping) Milyen kérdésekre keressük a választ/adatvagyon felmérése GDPR megfelelőség szempontjából I. Milyen személyes adatokat kezel (személyes adatok kategóriái) Kiket érint az adatkezelés (érintetti kategóriák) Milyen célból kezeli a személyes adatokat Munkaviszony Pénzügyi szolgáltatás közvetítése Biztosítási szolgáltatás közvetítése Marketing Hogyan biztosítja az adatkezelés biztonságát

Átvilágítás (data mapping) Új adatvédelmi szabályok – Az EU adatvédelmi rendelete Átvilágítás (data mapping) Milyen kérdésekre keressük a választ/adatvagyon felmérése GDPR megfelelőség szempontjából II. Szükséges-e az adat kezelése Mi a jogalapja az adatkezelésnek Igazolható hozzájárulás (önkéntes, konkrét, megfelelő tájékoztatatáson alapul és egyértelműen kinyilvánított) Szerződés kötése, teljesítése Jogos érdek érvényesítése (szükségességi teszt) Jogszerűen jutott-e az adatokhoz Megfelelő volt-e az érintett tájékoztatása (tömör, érthető, átlátható) Mennyi ideig tárolja a személyes adatokat Kinek van hozzáférése a személyes adatokhoz Adatáramlás folyamata Adott adat és adott cél vonatkozásában

A további jogszerű adatkezelés feltételeinek biztosítása Új adatvédelmi szabályok – Az EU adatvédelmi rendelete Intézkedések a GDPR-nak való megfelelés érdekében I. A tovább kezelhető adatok körének meghatározása, azok jogszerű kezelésének biztosítása (törlés, hozzájárulás beszerzése stb.) A további jogszerű adatkezelés feltételeinek biztosítása Az adatkezelés belső szabályozása Adatvédelmi nyilvántartás Adatvédelmi tisztviselő Adatkezelők/adatfeldolgozók közti jogviszonyok rendezése

Adatkezelés belső szabályozása Új adatvédelmi szabályok – Az EU adatvédelmi rendelete Intézkedések a GDPR-nak való megfelelés érdekében II. Jogalap meghatározása Tájékoztatás [MINTÁK] Érdekmérlegelés (teszt: szükségesség, arányosság) Hozzájárulás beszerzése (önkéntes, konkrét, megfelelő tájékoztatáson alapul, egyértelmű, bármikor visszavonható)[MINTÁK] Adattovábbítás Incidenskezelés Adatbiztonság Érintetti jogérvényesítés Adatkezelés belső szabályozása

Érintetti jogérvényesítés I Új adatvédelmi szabályok – Az EU adatvédelmi rendelete Intézkedések a GDPR-nak való megfelelés érdekében III. Tájékoztatás (adatok érintettől/harmadik személytől való megszerzésekor/további eltérő célú adatkezelés esetén) Időpontja: (megszerzéskor/egy hónapon belül, első kapcsolatfelvételkor, címzettel való közléskor/előzetesen) Tartalma: adatkezelő adatai, adatkezelés (cél, jogalap, időtartam stb.) érintetti jogok (hozzáférés, törlés, visszavonás, adathordozhatóság, panasz stb.) Hozzáférés Helyesbítés Érintetti jogérvényesítés I

Érintetti jogérvényesítés II Új adatvédelmi szabályok – Az EU adatvédelmi rendelete Intézkedések a GDPR-nak való megfelelés érdekében IV. Törlés (hozzájárulás visszavonása, tiltakozás és elsőbbséget élvező jog hiánya esetén, közvetlen üzletszerzés esetén) Adathordozhatóság (érintett által rendelkezésre bocsátott adatok, tagolt, széles körben használt, géppel olvasható formában történő kiadása, továbbítása más adatkezelőnek) Tiltakozás (jogos érdek érvényesítése alapján kezelt adatok esetén) Korlátozás Érintetti jogérvényesítés II

Adatvédelmi tisztviselő kijelölése Új adatvédelmi szabályok – Az EU adatvédelmi rendelete Intézkedések a GDPR-nak való megfelelés érdekében V. 250 főnél kevesebb foglalkoztatott esetén nem kell, kivéve ha az adatkezelés nem alkalmi jellegű vagy kiterjed a különleges adatok kategóriáira Tartalma: adatkezelő adatai, adatkezelés célja, érintettek kategóriái, címzettek kategóriái, törlési határidők, adatbiztonságot garantáló technikai és szervezési intézkedések leírása Adatkezelési nyilvántartás készítése Kötelező, ha a főtevékenységei különleges adatok nagy számban történő kezelését foglalják magukban Adatvédelmi tisztviselő kijelölése

Adatkezelők/adatfeldolgozók közti jogviszonyok rendezése Új adatvédelmi szabályok – Az EU adatvédelmi rendelete Intézkedések a GDPR-nak való megfelelés érdekében VI. Közös adatkezelés esetén (ha az adatkezelés céljait és eszközeit két vagy több adatkezelő közösen határozza meg): Megállapodás az adatkezelőt terhelő kötelezettségek teljesítéséért fennálló felelősség megosztásáról Egyetemleges kötelezettség, felelősség az érintett felé Adatfeldolgozó (természetes vagy jogi személy, aki az adatkezelő nevében személyes adatokat kezel) igénybevétele esetén: az adatfeldolgozó által végzett adatkezelést meghatározott tartalmú szerződésnek kell szabályoznia (adatkezelés az adatkezelő utasításai szerint; titoktartási kötelezettség; adatbiztonsági intézkedések; adatok törlése stb.) Adatkezelők/adatfeldolgozók közti jogviszonyok rendezése

Megdrágult a jogsértés Új adatvédelmi szabályok – Az EU adatvédelmi rendelete Miért kell a GDPR-t komolyan venni? Megdrágult a jogsértés Jelentősen megnövekedett bírságösszegek ≤ 20 millió EUR Érintett igényérvényesítése Kárt szenvedett harmadik fél igényérvényesítése

köszönöm A FIGYELMET! dr. Mosonyi Richard| mosonyi.richard@gmtlegal.hu 1056 Budapest, Váci utca 81. | 1461 Budapest, Pf.: 377 +36 1 327 7560 | www.gfmt.hu