Az adatvédelmi szabályzat nem egyszerűen egy kötelezőnek gondolt dokumentum, hanem annak írásos megjelenítése, hogy a vállalkozás a valóságban milyen személyes adatokat, milyen célból és hogyan kezel. Éppen emiatt egy internetről letöltött általános minta önmagában ritkán jelent megfelelő megoldást.
Ügyvédként gyakran találkozom azzal, hogy egy vállalkozásnak már van adatvédelmi dokumentációja, de az évekkel korábban készült, egy másik vállalkozás szabályzatának másolása, vagy egyszerűen letöltötték az internetről. Első ránézésre minden rendben lévőnek tűnhet. Szerepelnek benne többé-kevésbé megfelelő jogszabályi utalások, vannak adatkezelési célok, jogalapok és érintetti jogok. A valódi kérdés azonban nem az, hogy van-e valamilyen dokumentum a társaság honlapján az adatkezeléssel kapcsolatban, hanem az, hogy ez a dokumentum megfelel-e annak, amit a vállalkozás ténylegesen csinál.
Ez különösen fontos egy webshopnál, hiszen egy egyszerű weboldalhoz képest itt jellemzően több szereplő, több rendszer és több adatkezelési folyamat kapcsolódhat össze: rendelés, fizetés, számlázás, kiszállítás, ügyfélszolgálat, marketing, sütik és különböző külső szolgáltatók. Így egy adatvédelmi szabályzatnak jóval több részletre kell kiterjedni és szélesebb körű szabályozást tartalmaznia, mint egy egyszerű, mintaként letöltött dokumentumnak.
Mit kötelező tartalmaznia egy adatvédelmi-szabályzatnak?
Egy megfelelő adatvédelmi szabályzat tartalmát mindig az adott vállalkozás tényleges adatkezelése alapján kell meghatározni, ezért nincs minden cégre változtatás nélkül alkalmazható, egyetlen kötelező tartalomjegyzék. Különösen, hogy már maga az elnevezés, „adatvédelmi szabályzat” is félrevezető lehet. A hatályos jogszabályok ugyanis nem feltétlenül azt várják el minden vállalkozástól, hogy pontosan ilyen című dokumentummal rendelkezzenek, hanem meghatározott tartalmat ír elő a vállalkozás számára.
Az adatkezelőnek, tehát magának a vállalkozásnak ugyanis képesnek kell lennie arra, hogy igazolja: a személyes adatok kezelése megfelel az alkalmazandó adatvédelmi követelményeknek. Ennek része lehet a megfelelő belső dokumentáció és az érintetteknek szóló adatkezelési tájékoztató is.
Az első lépés ezért sosem lehet egy sablon kitöltése vagy letöltése, hanem először azt kell ügyvédként megismernem, hogy pontosan milyen adatokkal mi történik a vállalkozásban, ha az adott vállalkozás kezel adatokat (spoiler: minden vállalkozás kezel adatokat, csak az a kérdés, hogy milyen adatokat).
Ehhez többek között azt érdemes megvizsgálni, hogy:
- milyen személyes adatok kerülnek a vállalkozáshoz;
- kitől és milyen módon érkeznek ezek az adatok;
- milyen célból történik az adatkezelés;
- mi az egyes adatkezelések megfelelő jogalapja;
- meddig őrzik meg és tárolják az adatokat;
- kik férhetnek hozzá;
- mely külső szolgáltatók kapnak adatokat;
- történik-e adattovábbítás;
- milyen technikai és szervezési intézkedések védik az adatokat;
- hogyan tudja az érintett gyakorolni a GDPR szerinti jogait;
- mi történik adatvédelmi incidens esetén.
Egy jól elkészített dokumentáció tehát nem általánosságokat sorol fel. A vállalkozás tényleges működését követi és nem a működés akadályát jelenti, hanem sokkal inkább a működés jogszabályi keretek közötti működését biztosítja.
Miért kockázatos egy letöltött minta használata?
Egy letöltött adatvédelmi szabályzat azért kockázatos, mert nem a saját vállalkozás adatkezelési folyamatai alapján készült, így könnyen tartalmazhat hiányos, felesleges vagy egyszerűen hibás rendelkezéseket.
Tegyük fel, hogy egy webshop letölti egy másik vállalkozás adatvédelmi szabályzatát, amely szerint a vállalkozás egyes adatokat hozzájárulás alapján kezel. A valóságban azonban az adatkezelés egy szerződés teljesítéséhez kapcsolódik, vagy más jogalap vizsgálata szükséges. Emellett a minta említhet olyan szolgáltatót is, amelyet a webshop egyáltalán nem használ, miközben kimaradhat belőle az a számlázó, futárszolgálat, tárhelyszolgáltató vagy marketingeszköz, amely ténylegesen személyes adatokhoz jut és azokat kezeli. Tehát a letöltött dokumentum jogilag helyes, azonban nem a vállalkozásról szól és nem a vállalkozás adatkezelését jeleníti meg.
További probléma, hogy a régebbi minták elavulhatnak: változhat a vállalkozás működése, lecserélhet egy szolgáltatót, új hírlevélrendszert vezethet be, más fizetési megoldásra válthat, vagy új marketingeszközt kezdhet használni. Vagy megváltozik az adatvédelmi hatóság székhelye. Ilyenkor a korábban megfelelő dokumentáció is felülvizsgálatra és módosításra szorulhat.
A GDPR és annak magyar átültető jogszabályának egyik alapvető logikája az elszámoltathatóság: az adatkezelőnek nem elég kijelentenie, hogy megfelelően kezeli a személyes adatokat, ezt szükség esetén igazolnia is kell. Tehát a „van adatvédelmi szabályzatunk” önmagában nem válasz arra a kérdésre, hogy a vállalkozás adatkezelése megfelelő-e és a bemutatott példák szerint előfordulhat, hogy nem megfelelő.
Speciális szabályok: webshop esetén milyen további dokumentumok kellenek?
Egy webshopnál az adatvédelmi tájékoztató önmagában általában nem fedi le a teljes jogi megfelelést, mert az adatvédelem mellett fogyasztóvédelmi és elektronikus kereskedelmi szabályokat is figyelembe kell venni, amelyek ráadásul egymás mellett, egymást kiegészítve, egy komplex rendszert alkotva léteznek.
A szükséges dokumentumokat mindig a webshop működése alapján kell meghatározni. Nem mindegy például, hogy a webshop fogyasztóknak vagy kizárólag vállalkozásoknak értékesít, milyen termékeket vagy szolgáltatásokat kínál, milyen fizetési és szállítási módokat alkalmaz, illetve használ-e hírlevelet, remarketinget vagy más online marketingeszközt.
Tipikusan vizsgálni kell többek között az alábbiakat:
| Terület | Mit kell megvizsgálni? |
| Adatvédelem | Adatkezelési tájékoztató, belső adatvédelmi dokumentáció és az adatfeldolgozói kapcsolatok |
| Sütik | A használt cookie-k, hozzájárulási mechanizmus és kapcsolódó tájékoztatás |
| Értékesítés | A webshop működésére szabott általános szerződési feltételek |
| Fogyasztóvédelem | A vásárlókat megillető tájékoztatások és jogok |
| Marketing | Hírlevél, direkt marketing és online hirdetési technológiák jogalapja és működése |
| Külső szolgáltatók | Fizetési, számlázási, tárhely-, futár-, analitikai és marketingpartnerek adatvédelmi szerepe |
Tehát az adatvédelmi megfelelés nem különül el teljesen a webshop többi jogi megfelelőséget biztosító dokumentumától. Az ÁSZF-ben, az adatkezelési tájékoztatóban, a rendelési folyamatban és akár a honlapon megjelenő checkboxok szövegében is összhangnak kell lennie.
Mikor kötelező adatvédelmi tisztviselőt kijelölni?
Ugyancsak gyakori kérdés, hogy mikor kell – ha kell egyáltalán – adatvédelmi tisztviselőt, vagyis DPO-t kijelölni. A hatályos jogszabályok meghatároznak olyan eseteket, amikor az adatvédelmi tisztviselő kijelölése kötelező. Ilyenkor többek között az adatkezelő vagy adatfeldolgozó tevékenységét, az adatkezelés jellegét és annak körülményeit kell megvizsgálni.
Egy kisebb webshop esetében ezért abból, hogy a vállalkozás személyes adatokat kezel, még nem következik automatikusan, hogy DPO-t kell kijelölnie. Ugyanakkor nem érdemes pusztán a vállalkozás méretéből kiindulni. A helyes kérdés az, hogy milyen adatkezelési tevékenységet végez a vállalkozás, milyen körben, és ez alapján fennáll-e a kijelölési kötelezettség. Ha a kötelezettség nem egyértelmű, ezt az adatvédelmi szabályzat elkészítése vagy felülvizsgálata során külön is érdemes ellenőrizni és ehhez ügyvédi segítséget kérni.
Elég egyszer elkészíteni az adatvédelmi szabályzatot?
Az adatvédelmi szabályzatot elegendő egyszer elkészíteni, de felülvizsgálni és módosítani ugyanakkor többször kell. Gyakori példa egy új szoftver vagy szolgáltató bevezetése: ha a vállalkozás új CRM-rendszerre tér át, hírlevélküldő szolgáltatót vált, online időpontfoglalást vezet be vagy új analitikai eszközt kapcsol a honlapjához, akkor mindenképp szükséges az adatvédelmi szabályzat felülvizsgálata és kiegészítése, módosítása. Ugyanez alkalmazandó, ha új üzleti folyamat indul. Ha például a vállalkozás korábban nem küldött marketingüzeneteket, de később hírlevelet indít, az adatkezelési dokumentációt is ehhez kell igazítani.
Nem az a cél, hogy a szabályzatot minden apró technikai változás után automatikusan módosuljon. Azt kell felismerni, amikor a változás érinti a személyes adatok kezelésének módját, célját, jogalapját, címzettjeit, megőrzését vagy biztonságát és ekkor szükséges elvégezni a releváns módosításokat. Természetesen a vállalkozás eddig feltüntetett adataiban bekövetkező változások átvezetése is szükséges.
Mit néz meg az ügyvéd egy adatvédelmi szabályzat elkészítése előtt?
Egy adatvédelmi szabályzat elkészítése előtt először a vállalkozás tényleges adatkezelési folyamatait vizsgálom meg, és csak ezután érdemes elkészíteni a szükséges dokumentumokat. Ez sokkal biztonságosabb megközelítés, mint egy kész minta átszerkesztése.
Egy webshopnál például végig kell követni a vásárló útját. Mi történik, amikor megnyitja az oldalt? Milyen sütik indulnak el? Mi történik a regisztrációkor vagy a rendelés leadásakor? Ki kapja meg a szállítási adatokat? Hogyan történik a fizetés és a számlázás? Mi lesz az adatokkal a rendelés teljesítése után? Küld-e később a webshop marketingüzenetet?
Ezután lehet eldönteni, milyen adatkezelési célok vannak, milyen jogalapok alkalmazhatók, kik vesznek részt az adatkezelésben, és milyen dokumentáció szükséges. Így az elkészült adatvédelmi szabályzat nem egy általános jogi szöveg lesz a számítógép egyik mappájában. A vállalkozás valódi működését fogja tükrözni, összefonódva a vállalkozás tényleges működésével.
Gyakori kérdések
Kötelező minden vállalkozásnak adatvédelmi szabályzatot készítenie?
Nem feltétlenül egy „adatvédelmi szabályzat” című dokumentum elkészítése a jogi kötelezettség. A szükséges adatvédelmi dokumentáció körét a vállalkozás tevékenysége, adatkezelése és az alkalmazandó jogszabályi követelmények alapján kell meghatározni, úgy, hogy azok összhangban álljanak az irányadó magyar és Európai Uniós jogszabályokkal.
Használhatok ingyenesen letölthető GDPR-mintát?
Egy minta kiindulópontként segíthet megérteni egy dokumentum szerkezetét, de attól még nem válik a saját vállalkozásodra szabott adatvédelmi dokumentációvá. A lényeg mindig az, hogy a szöveg pontosan megfeleljen a tényleges adatkezelésnek.
Kell adatvédelmi szabályzat egy webshopnak?
Egy webshopnak meg kell felelnie a rá vonatkozó adatvédelmi követelményeknek, de hogy ehhez pontosan milyen belső és külső dokumentumokra van szükség, azt az adott webshop működése alapján kell meghatározni. Emellett az adatvédelem csak egy része a webshop jogi megfelelésének.
Mikor érdemes felülvizsgálni a meglévő adatvédelmi dokumentációt?
A dokumentáció felülvizsgálata különösen indokolt, ha megváltozik a vállalkozás adatkezelési gyakorlata, új szolgáltatót vagy rendszert vezet be, illetve új adatkezelési cél jelenik meg.
Ha szeretné ellenőriztetni, hogy meglévő GDPR szabályzata valóban megfelel-e vállalkozása vagy webshopja tényleges adatkezelésének, ebben tudok célzott jogi segítséget nyújtani.