Fontos témát érintünk, amikor az adatvédelem körében a felülvizsgálati ciklusokról beszélünk. Gyakori kérdés az ügyfelek részéről: előírja-e a GDPR a 3 éves kötelező felülvizsgálatot?
A rövid válasz: Nem. Az Általános Adatvédelmi Rendelet (GDPR) szövege nem határoz meg konkrét, naptári naphoz kötött felülvizsgálati ciklust.
A GDPR ennél rugalmasabb, de szigorúbb megközelítést alkalmaz: a folyamatos megfelelés (accountability – elszámoltathatóság) elvét vallja. Ez azt jelenti, hogy az adatkezelőnek folyamatosan biztosítania kell a jogszabályi összhangot (pl. a nyilvántartások naprakészen tartásával, biztonsági intézkedésekkel), ami ugyan indokolttá teszi a rendszeres kontrollt, de nem köti azt fixen 3 évhez.
Akkor mégis honnan ered a 3 éves „szabály”?
Itt a hazai jogszabály, az Info tv. (2011. évi CXII. törvény) 5. § (5) bekezdése nyújt iránymutatást, amely a kötelező adatkezelésekre vonatkozóan így rendelkezik:
„Ha a kötelező adatkezelés időtartamát vagy szükségessége időszakos felülvizsgálatát törvény (…) nem határozza meg, az adatkezelő az adatkezelés megkezdésétől legalább háromévente felülvizsgálja, hogy (…) a kezelt személyes adat kezelése az adatkezelés céljának megvalósulásához szükséges-e.”
A törvény azt is előírja, hogy a felülvizsgálat körülményeit és eredményét dokumentálni kell, és ezt a dokumentációt a felülvizsgálattól számított tíz évig meg kell őrizni, hogy egy esetleges NAIH ellenőrzés során bemutatható legyen.
Így válik egy jól felépített adatkezelési protokoll valóban „NAIH- és bíróságállóvá”.
Szakmai tippek minden adatkezelő számára:
- Ellenőrizze az idővonalat: Mikor történt az utolsó átfogó adatvédelmi audit vagy felülvizsgálat?
- Monitorozza a változásokat: Vezettek-e be azóta új szoftvert, munkaügyi folyamatot vagy marketingeszközt, ami nem szerepel a nyilvántartásokban?
- Dokumentáljon tudatosan: Ne csak elvégezze a felülvizsgálatot, hanem készítsen róla jegyzőkönyvet is! Ez a kulcsa a GDPR szerinti elszámoltathatóságnak.
Ha bizonytalan a folyamatok naprakészségében, érdemes szakértői felülvizsgálatot kérni, hogy vállalkozása ne csak papíron, hanem a gyakorlatban is megfeleljen a folyamatos megfelelési kötelezettségnek.
Az én célom, hogy minél érthetőbben elmagyarázzam a követelményeket és ennek megfelelően el is készítsem cége, vállalkozása számára az adatkezeléseket tartalmazó dokumentumokat.
Elérhetőségeim:
e-mail: info@gdproffice.hu, telefon: +36 70 3344575
Sikeres és jogkövető adatkezelést kívánok mindenkinek!