Kevesebb, mint másfél év múlva, 2018. május 25-én – az EU többi tagállamához hasonlóan – Magyarországon is életbe lép az EU 2016/679-es, a személyes adatok kezeléséről, védelméről és az ilyen adatok szabad áramlásáról szóló rendelete, amivel párhuzamosan megszűnik – az eddig ezt a területet szabályozó – az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.).

Nem titkolt célja a rendeletnek, hogy azokat a cégeket is ösztönözze a saját maguk által kezelt személyes adatok tudatos megismerésére és védelmére, akiknél az adatvédelem mindezidáig semmilyen szerepet nem töltött be a szervezet életében.

Mi minősül személyes adatnak? A rendelet és a gyakorlat is egyértelmű: minden olyan adat személyes, mely közvetve, vagy közvetlenül természetes személyhez köthető, vagy természetes személy tulajdonságaira, tevékenységére vonatkozik. Ennek megfelelően egyértelműen személyes adatnak minősül mostantól sok más egyéb mellett a név, a születési és egészségügyi adatok, bankszámlaszám, jövedelem, helymeghatározó adat (GPS koordináták), e-mail cím, telefonszám (vállalati és magán is), levelezési cím, de akár egy közösségi oldalon található profilra mutató link és az IP cím is.

De mégis, jellemzően kiket érinthet leginkább az új jogszabály, és milyen gyakorlati tennivalók akadnak ezzel kapcsolatban?

• Minden céget, mely 250 embernél többet foglalkoztat
• Kiskereskedelmi és online kereskedelmi cégeket
• Egészségügyi szolgáltatókat
• Pénzügyi intézményeket
• Azokat a társaságokat, akik üzletmenetük során személyes adatokat gyűjtenek és dolgoznak fel.

A rendelet számos új követelményt fogalmaz meg azokkal szemben, akik személyes adatokat gyűjtenek munkavállalóikról és ügyfeleikről. Egyrészt számba kell venniük, dokumentálniuk és igény esetén bemutatniuk a felügyeleti hatóság számra (Magyarországon a NAIH) minden olyan tevékenységet, mely személyes adatok kezelésével jár, másrészt mérlegelniük kell, hogy ezt milyen jogalappal – például szerződés teljesítéséhez, vagy jogos érdekhez kapcsolódóan – teszik.

A rendelet komoly fegyvert is ad a hatóság kezébe. Az az intézmény vagy vállalat, amely nem felel meg a rendeletben foglaltaknak, elrettentő nagyságrendű büntetésre számíthat. A kiszabható büntetés maximuma ugyanis 20 millió euró, vagy a globális éves forgalom 4 százaléka – a kettő közül a magasabb összeg. Bármi is legyen tehát a vállalat tevékenysége, és legyen bármekkora, éppen a bírságok mértéke miatt mindenkinek érdemes elgondolkodnia, hogy mennyiben érinti őt a rendelet.

Bár a 2018-as időpont első ránézésre távolinak tűnhet, valójában sok, és szerteágazó feladat vár azokra a cégekre, melyeknek meg kell felelniük a rendeletnek. Mind az adatkezelési nyilvántartások elkészítése, mint az adattároló eszközök és informatikai rendszerek védelmének megerősítése sok pénzbe kerülhet, amennyiben azt az utolsó pillanatra hagyják.

Különösen érdemes időt és energiát fektetniük azoknak a vállalkozásoknak az adatvédelmi rendeletre, melyek tevékenységükből fakadóan kiemelten veszélyeztetettek. Minden cég, mely e-kereskedelmi megoldással rendelkezik, egyre nagyobb valószínűséggel válhat áldozattá kiberbűnöző-hálózatok támadásainak, adatlopásoknak. Számukra a rendelet éppen ezért életbevágóan aktuális.

Ha már egyszer a szervezet a megfelelésbe pénzt és energiát fektet, akkor úgy érdemes a rendeletnek megfelelni, ha a személyes adatokat megfelelően védjük, és ügyfeleink számára átlátható módon kezeljük, ezáltal az új szabályozás tökéletesen alkalmas arra is, hogy erősítsük ügyfeleink felénk irányuló bizalmát.

* * *

Amennyiben részletesebben is érdekelnek az e-kereskedelemmel kapcsolatos adózási és jogi kérdések, akkor jelentkezz 2017. január 23-ig kedvezményesen az E-kereskedelem adózási és jogi kérdései címmel 2017. február 23-án a PENTA UNIÓ Zrt. szervezésében tartandó előadásomra, ahol személyesen is át tudjuk beszélni felmerülő kérdéseidet!