A KÜRT Zrt. információbiztonsági szakértői olyan megoldást dolgoztak ki, amelynek fő feladata a szervezetek adatvédelmi kockázatainak minimalizálása, az érintettek biztonságos és hatékony szervezeti működésének kialakítása, továbbá felkészítése az uniós és hazai jogszabályoknak való megfelelésre, a 2018. májusi határidőig.
Hazánkban működő szervezetek jelenleg is az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotörvény) szabályozása értelmében kezelhetnek személyes adatokat. A GDPR bevezetése ezek után rutin feladatnak tűnhet, ám mégsem az. A törvényben foglaltak értelmezése, bevezetése és alkalmazása, valamint az egyre növekvő adminisztratív teher komoly kihívás elé állítja őket. Ehhez nyújt egyedülálló és komplex segítséget a közelmúltban létrehozott KÜRT Adatvédelmi Kompetencia Központ az érintett vállalkozásoknak, szervezeteknek és intézményeknek.
Ezeket a szempontokat ne hagyja figyelmen kívül!
A felkészülés alapja a tudatos stratégiai tervezés és a jelenleg fennálló adatkezelési állapotok tisztánlátása. A szervezeten belül először a vezetőknek és döntéshozóknak kell tisztában lenniük azzal, hogy az Infotörvényhez képest a GDPR-ral nem a követelmények, hanem a helytelen adatkezelésből származó kockázatok változnak meg jelentősen. A büntetési tételek 20 millió forintról 20 millió euróra, vagy az éves árbevétel 4%-ára változnak, attól függően, melyik a nagyobb tétel! Tudatosan kell megtervezni az átállást, figyelembe véve annak esetleges, ám lényegesen nagyobb tételű anyagi vonzatait is.
Meg kell határozni, hogy a GDPR pontosan mely üzleti és biztonsági folyamatokat, informatikai rendszereket, szabályozási és szerződéses területeket érinti a szervezeten belül, és a változásokra fel kell készíteni az alkalmazottakat. Felül kell vizsgálni többek között a működési folyamatokat, a hozzájárulási nyilatkozatokat, adatvédelmi tájékoztatókat, a szerződéseket. Ezenkívül pedig az adatkezelésben érintett informatikai rendszereket is ellenőrizni kell, hogy funkcionalitásban és biztonsági szempontból megfelelnek-e az elvárásoknak.
A személyes adatok köre. A jogszabályi megfogalmazás szerint (GDPR 4. cikk 1-es pont.) minden személyes adat, ami „azonosított vagy azonosítható természetes személyre (érintett) vonatkozó bármely információ”. Hogy ez pontosan mit jelent, a következő táblázat bemutat néhány példát:
Személyes adatok és azok kezelői. Fontos, hogy a dolgozók tudatosan kezeljenek és továbbítsanak személyes adatokat. A KÜRT adatvédelmi helyzetfelmérés-megoldáscsomagja (kompetencia központ) segít a szervezeteknek pontos képet alkotni az általuk kezelt személyes adatok köréről, az adatvédelmi állapotról, valamint az elvárt, illetve javasolt adatvédelmi követelményekről és védelmi intézkedésekről.
A helyzetfelmérés segít átláthatóvá tenni a jelenlegi adatkezelési szokásokat, valamint a jogszabályi megfeleléshez szükséges intézkedéseket. A KÜRT szakértői szerint még a legfelkészültebb cégek esetében is fontos külső szemmel feltérképezni a kezelt személyes adatok körét, a kapcsolódó üzleti folyamatokat, valamint az informatikai hátteret. Ennek a követelményrendszernek a témacsoportosítását az alábbi táblázat szemlélteti:
Átlátható adminisztráció. A törvény megköveteli az adatkezelés, a továbbítás és a törlés pontos dokumentálását. A növekvő adminisztratív terhek rengeteg értékes időt vonnak el az erőforrásoktól, olykor többletköltséget generálva a szervezet számára. A KÜRT saját fejlesztésű IT GRC rendszere, a SeCube támogatja a személyes adatkörök és adatkezelési műveletek nyilvántartását, a GDPR-megfelelőségi audit lefolytatását, az eltérésekre intézkedési terv kidolgozását, valamint szükség esetén adatbiztonsági és adatvédelmi hatásvizsgálat végrehajtását.
A KÜRT közel 30 éves tapasztalata alapján hívja fel a figyelmet és nyújt szakmai segítséget a 2018 májusában életbe lépő GDPR-törvényben előírtak megfelelése érdekében.
