A rövid válasz
Maguk a jogok nem változnak idén. A hozzáféréshez, helyesbítéshez, törléshez, feldolgozás korlátozásához, tiltakozáshoz és adathordozhatósághoz való jog az GDPR-ban van rögzítve, és ezt a szöveget nem írják át évente. Ami változik, az az, hogy ezek a kérések hogyan érkeznek meg a vállalatokhoz, és hogyan magyarázzák meg ezeket a felügyeleti hatóságok és az Európai Adatvédelmi Testület (EDPB). Egy igazgató vagy HR-menedzser számára ez praktikus különbséget jelent, még akkor is, ha a jogszöveg nem változik.
Ez nem azt jelenti, hogy semmit sem kell nyomon követnie. Az Adatvédelmi Hivatal és az EDPB iránymutatásait rendszeresen kiegészítik, például azzal, hogy hogyan ellenőrizheti a kérelmező kilétét, vagy hogyan kezelheti a csevegésfunkción vagy közösségi médiában érkezett kérést. Ezek a kiegészítések nem új törvény, hanem egy meglévő kötelezettség pontosabb alkalmazása.
Ami magában a törvényben nem változik
Az alapvetés változatlan marad: egy érintett megkérdezhet arról, hogy mely adatait dolgozza fel, kérheti, hogy helytelen adatait helyesbítsék, és bizonyos feltételek mellett törléskérelmet nyújthat be. Az az időframe, amelyen belül válaszolnia kell, az GDPR-ban szerepel, és nem válik évente felülvizsgálatra. Az olyan vállalatok, amelyek azt gondolják, hogy idén új, rövidebb vagy hosszabb válaszadási időkorlát lépett életbe, valószínűleg belső megállapodásokkal vagy olyan közleményekkel tévesztik össze, amelyek nem magáról a jogszövegről szólnak.
A kivételek alapjai, például a törlést akadályozó törvényi megőrzési kötelezettség, szintén változatlanok. Ami változhat, az az, hogy a felügyeleti hatóságok ezeket a kivételeket milyen szigorúan értelmezik iránymutatásaikban. Ez nem törvénymódosítás, de azt jelentheti, hogy egy olyan indokolás, amely tavaly elegendő volt, idén pontosabban kell, hogy legyen dokumentálva.
Ami idén valóban változásban van
Három fejlemény releváns a kkv-k számára, anélkül hogy maga a jogszabály módosult volna. Először is az érdeklődések egyre gyakrabban érkeznek digitálisan, például egy kapcsolatfelvételi formanyomtatványon, chatboton vagy közösségi médiában való válaszban, az e-mailen keresztüli megküldés helyett. Ez nem változtat a kötelezettségen, de megváltoztatja azt a kérdést, hogy az érdeklődést formális kérelemnek ismerik-e fel, és időben eljut-e a szervezet megfelelő személyéhez.
Másodszor nő az automatizált adatkezelésre vonatkozó érdeklődések iránti figyelem, például amikor az adatokat egy profil felépítésére használták, vagy egy mesterséges intelligencia-alkalmazás inputot adott egy döntéshez. Az EDPB ezt a témát rendszeresen tovább fejleszti. Azok a vállalkozások, amelyek mesterséges intelligencia-eszközöket használnak az ügyfélkapcsolatok vagy a munkavállaló-értékeléshez, jól teszik, ha tudják, mely adatok vannak bennük, mielőtt érdeklődés érkezik. Ez közvetlenül érinti az olyan kérdéseket, amelyek az alábbiak körül merülnek fel: GDPR és mesterséges intelligencia eszközök a gyakorlatban.
Harmadszor szélesebb körű vita folyik az GDPR egészének értékeléséről, európai szinten. Ennek során azt vizsgálják, hogy a kisebb szervezetek szabályai egyszerűbbek lehetnek-e, de konkrét jogszabálymódosítások jelenleg nincsenek rögzítve. Amit még nem tisztáztunk, azt itt is jelezzük: nincs véglegesen rögzített dátum vagy tartalom, és erről való spekuláció nem segít az entreprenőrnek tovább.
Akire ez hatással van
Ezek az eltolódások főleg azokat a szervezeteket érintik, amelyeknek sok ügyfél- vagy alkalmazotti kapcsolati pontja van: egy ügyfélszolgálattal rendelkező iroda, egy ajánlatformanyomtatvánnyal rendelkező honlappal rendelkező telepítő vállalkozás, vagy egy személyzeti osztály, amely jelentkezési adatokat dolgoz fel. Minél több csatorna van ahhoz, hogy valaki felvehet kapcsolatot, annál nagyobb a valószínűsége, hogy egy érdeklődés valahol beérkezik anélkül, hogy valaki formális GDPR-kérelemként felismerné. Ez nem olyan jogi kockázat, amelyet mi itt értékelünk, hanem egy praktikus pont, amely megéri az olyan belső vita, amelyet elég vesz a fáradságot.
Szintén lényeges az adatkezelői szerződésekhez fűződő kapcsolata: ha egy ügyfél kérelmet nyújt be Önnél, de az adatok egy külső SaaS-szolgáltatónál találhatók, akkor annak a szolgáltatónak képesnek kell lennie az adatok megtekintésében vagy törlésében való közreműködésre. Azt, hogy ez szerződésben megfelelően szabályozva van-e, ellenőrizheti a gyakorta ismételt kérdések az adatkezelői szerződésekről és a SaaS-eszközökről.
Ennek a nyomon követésének módja anélkül, hogy minden alkalommal újra meg kellene vizsgálnia
Mivel a jogszöveg stabil, de annak értelmezése változik, különösen fontos tudni, hogy az aktuális állapot honnan származik, és amikor az megváltozik. A gdpria.eu minden témát összeköt az AVG-ban és az EDPB valamint a Személyes Adatok Hatósága iránymutatásaiban szereplő hivatkozási helyekkel, így Önnek nem kell nyomon követnie, hogy módosult-e valami. Adatszivárgás gyanújának esetén például először néhány kérdésben ellenőrizheti, hogy hol áll, mielőtt további lépéseket tesz.
Szeretné tudni, hogyan tartják nyilván az ilyen típusú információkat, és honnan származik a forráshivatkozás? Végezze el az ingyenes gyorsszkenelést, vagy olvassa át a tudásbázis témáit, és maga döntse el, szükséges-e további lépés.