Dr. mogyorósi istván
- ügyvéd
- irodája
Adatvédelem
A személyes adatok védelme és a GDPR (Általános Adatvédelmi Rendelet) előírásainak betartása ma már minden gazdasági társaság, webáruház, szoftverfejlesztő és digitális szolgáltató számára alapvető működési feltétel. Az adatvédelem nem pusztán adminisztratív tájékoztatási kötelezettség: közvetlenül meghatározza, hogyan építhető fel egy informatikai rendszer, miként használható egy marketing célú adatbázis, hogyan ellenőrizhetők a munkavállalók, és milyen szerződéses garanciák szükségesek az IT-beszállítókkal szemben.
Az adatvédelem jogi rendezésekor nem elegendő egy általános sablonszabályzat átvétele. A dokumentációnak pontosan le kell képeznie a vállalkozás tényleges adatkezelési folyamatait, a kezelt adatok körét, a pontos jogalapokat, a megőrzési időket, az igénybe vett adatfeldolgozókat (pl. felhő-, hosting-, CRM- vagy számlázórendszereket), valamint az adatbiztonsági intézkedéseket.
Teljes körű adatvédelmi jogi tanácsadást, dokumentációkészítést és hatósági képviseletet nyújtok gazdasági társaságoknak, technológiai vállalkozásoknak és e-kereskedelmi szereplőknek. A cél az üzleti folyamatokat támogató, bírságbiztos adatkezelési környezet kialakítása, valamint a határozott jogi fellépés az adatvédelmi és adatbázisokkal kapcsolatos jogvitákban.
Miben segítek az adatvédelem területén?
Adatvédelmi dokumentáció: szabályzatok, adatkezelési tájékoztatók és DPA szerződések
A GDPR elszámoltathatósági alapelve alapján az adatkezelőnek írásos dokumentációval kell tudnia igazolni, hogy adatkezelési gyakorlata mindenben megfelel a jogszabályoknak. Ennek keretében vállalom:
- Honlapok, webáruházak és applikációk adatkezelési tájékoztatója: átlátható, a NAIH gyakorlatának megfelelő külső tájékoztatók és sütikezelési (cookie) szabályzatok elkészítése;
- Belső adatvédelmi szabályzatok és nyilvántartások: a vállalati működést lefedő belső adatvédelmi és adatbiztonsági szabályzatok, az adatkezelési tevékenységek kötelező nyilvántartása, valamint az incidenskezelési eljárásrend kidolgozása;
- Érdekmérlegelési tesztek és hatásvizsgálatok (DPIA): a jogos érdeken alapuló adatkezelésekhez szükséges érdekmérlegelési tesztek, valamint a magas kockázatú (pl. új technológiai vagy AI-alapú) folyamatokhoz előírt adatvédelmi hatásvizsgálatok elkészítése;
- Adatfeldolgozási megállapodások (DPA) és IT-szerződések: szoftverfejlesztési, SaaS-, cloud-, hosting- és üzemeltetési szerződésekhez kapcsolódó adatfeldolgozói megállapodások, közös adatkezelési szerződések és harmadik országbeli adattovábbítási garanciák kialakítása.
Vállalati, munkaügyi és marketing célú adatkezelések jogi kérdései
A gazdasági társaságok mindennapi működésében a legtöbb gyakorlati kérdés a HR-folyamatok, az elektronikus kereskedelem és az ügyfél-adatbázisok hasznosítása során merül fel:
- Munkaügyi adatkezelések szabályozása: a toborzási (álláspályázati) folyamatoktól a munkaviszony alatti adatkezelésen át a munkahelyi ellenőrzésekig (kamerarendszer, beléptetőrendszer, céges laptop, telefon, e-mail-fiók és GPS-követés ellenőrzése);
- Elektronikus kereskedelem, webáruházak és online hirdetések: a regisztrációs és rendelési folyamatok, hűségprogramok, kosárelhagyó üzenetek, remarketing, profilalkotás és elektronikus direkt marketing (hírlevél) kampányok adatvédelmi megfeleltetése;
- Marketing célú adatbázisok jogi kérdései: ügyfél- és partneradatbázisok jogszerű felépítése, szegmentálása, harmadik féltől történő átvétele vagy közös hasznosítása, a hozzájárulási (opt-in) és leiratkozási (opt-out) folyamatok biztosítása;
- Adatbázisok jogi védelme: az üzleti és technológiai adatbázisok szerzői jogi és sui generis (előállítói) jogi védelmének kialakítása, jogosulatlan adatbázis-másolás és adatkinyerés (scraping) elleni védelem.
Tanácsadás és képviselet: adatvédelmi audit, NAIH eljárások és jogérvényesítés
Az előzetes megfeleltetés mellett kiemelten fontos a már működő rendszerek átvilágítása, a váratlan adatvédelmi incidensek szakszerű kezelése, valamint a hatósági és bírósági képviselet:
- Adatvédelmi audit és beépített adatvédelem (Privacy by Design): meglévő vállalati folyamatok és új szoftverfejlesztési, illetve AI-projektek átvilágítása még a bevezetés előtt az adatvédelmi kockázatok kiszűrésére;
- Adatvédelmi incidensek és érintetti kérelmek kezelése: azonnali jogi támogatás adatszivárgás vagy jogosulatlan hozzáférés esetén (kockázatelemzés, 72 órás NAIH bejelentés), valamint az érintetti joggyakorlási (tájékoztatási, törlési, adathordozhatósági) kérelmek határidőben történő megválaszolása;
- Képviselet a NAIH és más hatóságok előtt: teljes körű jogi képviselet a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) vizsgálati és hatósági eljárásaiban, beadványok és nyilatkozatok elkészítése;
- Személyiségi jogi és adatbázis-jogviták: az adatvédelmi rendelkezések megszegéséből és a személyiségi jogok megsértéséből eredő igények (sérelemdíj, kártérítés) érvényesítése vagy védelme, valamint jogi képviselet adatbázisokkal összefüggő jogvitákban.
Miért igényel külön jogi kontrollt a vállalati és informatikai adatvédelem?
A gyakorlatban a legtöbb adatvédelmi bírság nem abból ered, hogy egy vállalkozásnak egyáltalán nincs adatkezelési tájékoztatója, hanem abból, hogy a közzétett dokumentum nem felel meg a valós technikai és üzleti működésnek. Gyakori hiba például a nem megfelelő jogalap választása (amikor a munkáltató vagy a szolgáltató hozzájárulást kér ott, ahol szerződés teljesítése vagy jogos érdek lenne az irányadó), az érdekmérlegelési tesztek hiánya a kamerás megfigyelésnél, vagy a rendezetlen adatfeldolgozói (DPA) viszony a felhő- és IT-szolgáltatókkal.
Egy szakszerűen felépített adatvédelmi rendszer nem bénítja meg az üzleti és marketingtevékenységet: éppen ellenkezőleg, jogszerű és védhető keretet ad az ügyféladatok, a munkavállalói adatok és az üzleti adatbázisok hatékony felhasználásához.
Referenciák és szakmai háttér
- gazdasági társaságok, szoftverházak és webáruházak teljes körű GDPR megfeleltetése, belső szabályzatok és tájékoztatók kidolgozása;
- munkaügyi adatkezelések, munkahelyi ellenőrzési (kamera, IT-eszközhasználat) szabályzatok és érdekmérlegelési tesztek elkészítése;
- IT-, SaaS-, cloud- és call center projektek adatfeldolgozási megállapodásainak (DPA) és nemzetközi adattovábbítási garanciáinak strukturálása;
- marketing célú adatbázisok jogszerűségének vizsgálata, valamint adatbázisok jogi védelmével kapcsolatos tanácsadás és vitarendezés;
- jogi képviselet a NAIH előtti hatósági eljárásokban, adatvédelmi incidensek kezelésében és személyiségi jogi perekben.
Jogi támogatás adatvédelmi és GDPR ügyekben
1. Teljes körű GDPR dokumentáció (Honlap, Webshop, Vállalati csomag)
- Kinek ajánlott? Vállalkozásoknak, webáruházaknak és digitális szolgáltatóknak, amelyek szeretnék adatkezelési tájékoztatóikat és belső szabályzataikat a tényleges működésükhöz és a NAIH elvárásaihoz igazítani.
- Eredmény: Személyre szabott adatkezelési tájékoztatók, belső GDPR szabályzat, adatkezelési nyilvántartások, érdekmérlegelési tesztek és adatfeldolgozói szerződések (DPA).
- Következő lépés: A vállalkozás adatkezelési folyamatainak, használt szoftvereinek és marketingcsatornáinak előzetes felmérése.
2. Munkaügyi, marketing és IT-projekt adatvédelmi audit
- Kinek ajánlott? Cégeknek, amelyek munkahelyi ellenőrzést (kamerát, IT-kontrollt) vezetnek be, marketing adatbázisokat hasznosítanak, vagy új szoftvert/AI-rendszert fejlesztenek és vezetnek be.
- Eredmény: Írásos adatvédelmi kockázatelemzés, adatvédelmi hatásvizsgálat (DPIA), a jogalapok és megőrzési idők tisztázása, valamint az adatbázis-védelmi klauzulák kidolgozása.
- Következő lépés: A vizsgálandó folyamat vagy informatikai rendszer paramétereinek közös áttekintése.
3. NAIH képviselet, incidenskezelés és adatvédelmi jogviták
- Kinek ajánlott? Szervezeteknek, amelyeknél adatvédelmi incidens, panaszos érintetti megkeresés, NAIH vizsgálat, személyiségi jogi igény vagy adatbázissal kapcsolatos jogvita merült fel.
- Eredmény: Sürgősségi jogi helyzetértékelés, a hatósági bejelentések és válasziratok elkészítése, valamint teljes körű képviselet a NAIH és a bíróságok előtt.
- Következő lépés: Az ügy iratainak és a felmerült incidens vagy hatósági megkeresés azonnali áttekintése.
Gyakran Ismételt Kérdések az adatvédelemről
A GDPR hatálybalépésével a korábbi általános, előzetes hatósági nyilvántartásba vételi (NAIH regisztrációs) kötelezettség megszűnt, helyette azonban minden adatkezelőnek és adatfeldolgozónak saját, belső adatkezelési tevékenységi nyilvántartást kell vezetnie, amelyet hatósági ellenőrzés esetén azonnal be kell tudnia mutatni.
Munkaügyi adatkezelésnél az ellenőrzés nem alapulhat a munkavállalók hozzájárulásán (az alá-fölérendeltségi viszony miatt), hanem a munkáltató jogos érdekén. Ehhez előzetesen érdekmérlegelési tesztet kell készíteni, részletes belső szabályzatban kell rögzíteni az ellenőrzés célját, fokozatosságát és garanciáit, és erről a munkavállalókat előre, igazolható módon tájékoztatni kell.
Minden olyan esetben kötelező az írásbeli adatfeldolgozási szerződés (Data Processing Agreement DPA), amikor egy külső partner az adatkezelő nevében és utasításai szerint személyesokhoz fér hozzá vagy azokat tárolja így különösen felhő- (SaaS, Cloud) és tárhelyszolgáltatók, szoftverfejlesztők, rendszergazdák, call centerek, könyvelők, futárszolgálatok és hírlevélküldő rendszerek igénybevételekor.
Természetes személyek részére elektronikus hírlevél vagy direkt marketing (DM) üzenet csak előzetes, önkéntes, konkrét és tájékozott hozzájárulás (aktív feliratkozás) alapján küldhető, amely bármikor ingyenesen visszavonható. Vásárolt vagy harmadik féltől átvett adatbázisok esetén különösen szigorúan kell vizsgálni, hogy az eredeti adatgyűjtéskor a címzettek kifejezetten hozzájárultak-e adataik átadásához és a megkereséshez.
Az incidenst haladéktalanul ki kell vizsgálni és dokumentálni kell a belső incidens-nyilvántartásban. Amennyiben az incidens valószínűsíthetően kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a tudomásszerzéstől számított legkésőbb 72 órán belül be kell jelenteni a NAIH-nak, magas kockázat esetén pedig közvetlenül az érintetteket is értesíteni kell.
A személyes adatok GDPR szerinti védelmén túl maga az adatbázis mint jelentős ráfordítással összeállított, rendszerezett gyűjtemény a szerzői jogi törvény alapján is védelemben részesül. Ha egy versenytárs, volt munkavállaló vagy alvállalkozó jogosulatlanul kimásolja, letölti vagy újrahasznosítja a cég adatbázisát, az adatbázis előállítója bírósági úton követelheti a jogsértés abbahagyását és kárának megtérítését.
Gondoskodjon vállalkozása és IT-rendszerei teljes körű adatvédelmi megfeleléséről!
Legyen szó weboldala és webáruháza GDPR tájékoztatójáról, munkaügyi és kamerás szabályzatokról, IT-beszállítói adatfeldolgozási szerződésekről (DPA) vagy NAIH előtti képviseletről, egy előzetes jogi konzultáció segít biztonságos és jogszerű keretek közé helyezni az adatkezelést.
Következő lépés: Személyes vagy online konzultáció keretében áttekintjük vállalkozása adatvédelmi kérdéseit és a szükséges dokumentációt.