Jön a GDPR-para: kemény három hónap vár a cégekre

Megosztás Tetszik

Az egészségügyben érdekelt vállalatokat – köztük több mint 2000 patikát – is különösen érzékenyen érint a május 25-én hatályba lépő egységes európai adatvédelmi rendelet (GDPR) – hívja fel a figyelmet a nemzetközi adótanácsadó és könyvvizsgáló Crowe FST.

A pácienseknek a jövőben hozzá kell járulniuk ahhoz, hogy a privát adataikat felhasználhassák és kezelhessék az intézmények, ehhez az elkövetkezendő negyedévben számos alkalmazást módosítani kell. Az IT-fejlesztőknek és informatikusoknak azt is meg kell oldaniuk, hogy az ügyfelek adatai törölhetők legyenek – hangsúlyozza a Mitrik Kornélia, a Crowe FST bérszámfejtési és expat szolgáltatások igazgatója.

A tervek szerint május 25-én hatályba lépő GDPR különösen védendő kategóriába helyezi a természetes személyekhez kapcsolódó személyes adatokat, így akár rendkívül súlyos, 20 millió euró (6,2 milliárd forint), vagy a cég éves árbevételének 4 százalékát is kitevő büntetést is kiszabhat a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) azokra a cégekre, amelyek nem teremtik meg a megfelelő szintű biztonsági hátteret.

Személyes adatnak számít a név, a születési adatok, a lakcím, a telefonszám és az e-mail cím. (Utóbbiak közül a konkrét személyhez nem köthető cím – például „info” kezdetű – nem minősül személyes adatnak.)

Garantálnia kell az érintett cégnek, hogy illetéktelenek ne férhessenek hozzá a rendszerekhez, valamint azt is, hogy a regisztráltak megfelelő tájékoztatás után adták a hozzájárulásukat az adataik kezeléséhez. Nagyon fontos, hogy az érintett vállalkozás mindent naplózzon és dokumentáljon. A jogszerű és átlátható adatkezelést, és a kezelt adat tulajdonosának hozzájárulását is mindenképpen bizonyítani kell tudni – hangsúlyozza Mitrik Kornélia.

A rendeletet minden olyan vállalkozásnak is figyelembe kell vennie, amely működtet bármilyen marketing célú adatbázist, mivel csak abban az esetben lehet tárolni személyes adatokat, ha ahhoz az érintett hozzájárult. Toborzó cég esetében a toborzást követően meg kell semmisíteni a pályázóktól beérkező adatokat, kivéve, ha azok további kezeléséhez a pályázó kifejezetten hozzájárul.

Mivel a személyes adat szinte bármi lehet, ami alapján egy adott személy beazonosítható, így például a nagy irodaházak portáin elkért/tárolt adatok tekintetében is szükséges lesz az adatvédelmi szabályzat és az érkezők hozzájárulása az adataik (név, személyi igazolványszám, aláírás stb.) tárolásához.