A noyb nevű adatvédelmi jogvédő szervezet GDPR-panaszt nyújtott be a főként olcsó, fapados járatokban utazó légitársaság, a Wizz Air ellen. A szervezet szerint
„az egyik utas megváltoztatta a rendszerben a vezetéknevét. Annak ellenére, hogy a helyesbítéshez a GDPR szerint joga lenne, a légitársaság 35 eurót (kb. 12 ezer forint) kért tőle a javításért”.
Ahogy írják, az osztrák nő miután megváltoztatta vezetéknevét és emailcímét, frissíteni akarta adatait a társaságnál is, ezt azonban magától nem tudta, így „helyesbítési kérelmet” nyújtott be a Wizz Air adatvédelmi hivatalához.
Három hónapig nem kapott választ, ezután újra a társasághoz fordult, ekkor azonban azt mondták, online csak akkor változtathat vezetéknevet, ha házasság miatt teszi, minden más esetben a Wizz Air ügyfélszolgálatát kell felhívnia (több mint egy euró / percért).
Közel fél óra telefonálás és 35 euró mínusz után a társaság megváltoztatta a nő vezetéknevét, az emailcímét azonban nem.
„A törvény szerint az adatok frissítésének ingyenesnek kell lennie, így az olcsó légitársaságok nem tehetik a rejtett díjak egyikévé a GDPR betartását”
– mondta az esetről a noyb adatvédelmi ügyvédje. Az ügy miatt panaszt nyújtottak be, a bírság akár 97 millió eurós is lehet.
A noyb egyébként az a szervezet, amely GDPR miatt a Facebookot is elűzné Európából.
Adatvédelmi ügyintéző képzés
A legtöbb adatvédelmi büntetést az ügyintézők okozzák.
Egy rossz válasz, vagy rossz ügyintézés milliókba kerülhet, egy jó válasz, vagy jól elindított adminisztráció ugyanennyit megspórol.
Az ügyfelek (érintettek) kéréseit tudni kell legalább olyan szinten kezelni, hogy a szervezetnél kijelölt felelőshöz tudják irányítani, hogy megértsék a válaszadási kötelezettség még a legfurcsább kérésnél is fennáll, a válaszadási határidő mulasztása súlyos milliós büntetéseket hoz, az incidensek jelentésének elmaradása egy szervezet teljes megszűnését is okozhatja.
Adatvédelmi ügyintéző képzés
Az adott önkormányzatnál, cégnél, civil szervezetnél a vezető utasítására adatvédelemmel kapcsolatos anyagok előkészítése, a kijelölt feladatok elvégzése, az adatvédelemmel kapcsolatos kérdések jelentése, adatvédelmi adminisztratív feladatok folyamatos ellátása.
A vezető által adatigénylésre adandó válasz előkészítésére kijelölt személy.
A képzés során
- megismeri az ügyintéző legszükségesebb teendőit
- a veszélyforrásokat felismeri
- az adat tulajdonosának (ügyfél) kéréseire a kötelező protokollt képes alkalmazni
- kezelni tudja az adatvédelmi tevékenységnaplót
- folyamatosan tájékoztatja a vezetőt az adatvédelmi változásokról
- munkájával a lokális adatvédelmi feladatok nagy részét elvégzi a szervezetnél
A modulrendszerű képzés során lehetőség van az egymásra épülő tanulmányokat folytatni, mely a következőkből áll:
- adatvédelmi ügyintéző
- adatvédelmi felelős
- adatvédelmi szaktanácsadó
Az adatvédelmi ügyintéző képzés:
a napi gyakorlatból vett eljárásokkal megismerkedik a hallgató, elméleti és gyakorlati anyagot ad a képző intézmény.
A képzés zárása során a tudásfelmérés és a tanúsítvány átadása történik.
Az adatvédelmi ügyintéző képzés kétnapos, kontakt-oktatásos rendszerben történik a Budapesti Műszaki Egyetemen.
A képzés kezdő időpontja 2020. szeptember 10. csütörtök.
A képzésben való részvétel középfokú végzettséghez kötött.
A képzés díja 40 000,- Ft
Vizsgadíj: 5 000,- Ft
Spanyolország vezet a GDPR-t érintő bírságokban
A Finbold tanulmány kimutatta, hogy Spanyolország 2020-ban vezet a GDPR megsértések miatt a szankciók számában.
Az új szabályozás minden olyan társaságra és intézményre vonatkozik, amely az Európai Unió bármely természetes személyének adatait kezeli és felhasználja. Az adatvédelmi rendelet hatályát kiterjeszti azon nem európai vállalatokra, amelyek lakóhelye a világ bármely pontján lehet, mindaddig, amíg az EU lakosainak adatait kezelik. Más szóval: a szabály pont annyira vonatkozik egy apró spanyol vállalatra, mint a Facebook vagy a Google-hoz hasonló óriások esetében.
A GDPR olyan magas büntetéseknek ad lehetőséget a jogsértések miatt, amely elérheti a 20 millió eurót, vagyis egy társaság éves bevételének 4%-át. Végrehajtása óta minden típusú társaság ellen szankciókat hoztak, a legnagyobb a francia adatvédelmi hatóság (CNIL) által a Google felé, 50 millió euró összegben.
Finbold elemezte a GDPR megsértéséért kiszabott bírságokat eddig, 2020-ban, és nincs jó hír Spanyolország számára, mivel az országban volt a legtöbb szankció. Érdekes, hogy ennek ellenére a kiszabott bírságok teljes összegében Olaszország vezet.
A GDPR megsértéséért kiszabott bírságok száma és összege az EU-ban
Az EU-ban a 2020. január 1-jétől augusztus 17-ig terjedő pénzbírságok után fizetendő összeg meghaladta a 60 millió dollárt. A GDPR leggyakoribb megsértése az adatkezelés nem megfelelő jogalapja volt.
Számos, kis -és egyéni vállalkozó számára nem könnyű maradéktalanul eleget tenni az adatvédelmi rendelet követelményeinek, de az kimondja, hogy a felhasználók rendelkezzenek a saját adataikkal.
Forrás: muycomputerpro.com
Szoftverek adatvédelmi auditja és tanúsítása, pénzmosás elleni eljárásai
A legtöbb webáruház és internetes szolgáltató felületein komoly forgalom található.
Vajon ezek a felületek, szoftverek mennyiben felelnek meg a GDPR és a NAV kihívásainak?
Az adatkezelések, személyek beazonosítása – esetleg átvilágítása a pénzmosás elleni eljárások szigorú szabályai szerint – a szoftverekben kezelt adatok és az adatkezelői vagy feldolgozói szerepek definiálása, ehhez a szerződések megléte, az adatkezelés zártsága, harmadik országnak való adattovábbítás (pl. USA), az adattárolások időtartalma, jogalapja, célja.
Kötelező-e a webáruháznak adatvédelmi tisztviselőt kinevezni?
Az adatok automatikus feldolgozása, profilalkotás ténye.
Külső szolgáltatótól kapott adatok kezelése.
Egészségi állapotról bármilyen információ rögzítése, etnikai vagy szexuális identitással kapcsolatos adatkezelések.
Munkaügyi, munkával kapcsolatos adatok.
Kiskorúak regisztrációinak kezelése.
Milyen beépülő alkalmazások vannak és azoknak a szerepe az adatkezelések terén.
Milyen eljárások vannak a szoftverben kezelt adatok érintetti kérései teljesítésére?
Mindezek kiemelt veszélyforrások, melyek feltárásával megelőzhetjük a súlyos büntetéseket. Jó esetben sokáig nincs semmi probléma az adatvédelmi hiányosságokkal. A NAIH a bejelentések alapján indít vizsgálatot, mely bejelentés egy ügyfél, vagy érintett kezdeményezésére indulhat. És akkor már késő lehet orvosolni. Az audit alapján javaslatokat dolgozunk ki az adatvédelmi tevékenység kritikus pontjainak javítására.
Golyóálló-e az adatvédelmünk? Vagy legalább eléri-e a “megfelelt” szintet? Auditáljuk az önkormányzat adatvédelmét!
Visszatérő kérdés az önkormányzatok részéről, hogy a már elkészült adatvédelmi megfelelőségük vajon jó-e?
Egy ilyen megerősítés, vagy elfogulatlan kritika véget vethet a tépelődésnek.
A szervezet nyilvánosan elérhető adatkezeléseinek
adatvédelmi auditjai (pl. kötelező adatvédelmi eljárások megléte, weboldal, nyilvánosan közzétett szabályzatok, fb alkalmazások, egyebek) viszonylag rövid idő alatt elkészülnek.Ennek lényege, hogy a pár kattintással elérhető nyilvános felületekkel kell a legkörültekintőbben bánni. Bármikor, bárki láthatja többé-kevésbé sikeres adatvédelmi eljárásaink sorát.
Ez a feladat mélységétől függően legalább 10 napos határidővel várható.Az ennél mélyebb auditnál, amely az adatvédelmi szabályozás fontosabb dokumentumait és a fizikai tárolás, védelem legfontosabb részleteit tartalmazzák, minimum 30 napos határidő várható.
A teljes és legmélyebb audit az elérhető legtöbb részletre kiterjedő és feltáró munka, mely elvégzése 45 napos határidővel várható.
Az audit elvégzése és az elkészült dokumentáció üzleti titokként kezelendő belső anyag, melyet csak a megrendelő és a megbízott ismerhet.
- Az audit első lépcsófoka a nyilvános felületekről (saját honlap, fb, google,
egyebek) beszerezhető információkat vizsgálja és ezek elemzését vállalja
10 napos határidővel. Ennek díja 60 000,- Ft
- Az általános audit 80 000,- Ft-tól indul, – konkrét ajánlatot a pontos
feladat meghatározásával lehet kérni, de ez általában elegendő egy
átlagos önkormányzat adatvédelmi feladatainak, tevékenységének GDPR
kompatibilis feltérképezéséhez 30 napos határidő,
- A mély átvizsgálás nagyobb erőforrásokat igényel, ennek
megfelelően 120 000,- Ft -ról indul, ehhez a feladat összetettsége,
adatkezelések szerteágazása, illetve a kiszállások és az eltöltött
idő függvényében kialakult költségek adják meg a pontos összeget.
Határidő a pontos feladat megismerése alapján adható.
A legtöbb cég, szervezet kíváncsi arra, hogy mennyire golyóálló az adatvédelmi megfelelősége.
Ezen kérdések mellett ne menjen el szó nélkül!
Mennyire felel meg, mennyire GDPR kompatibilis a saját fejlesztésű szoftver (vagy esetleg amit használ)?
Milyen támadási pontok vannak a weboldalt illetően?
A szervezet, cég, önkormányzat elkészült adatvédelmi megoldásai megfelelőek-e, milyen hiányosságok vannak?
Egyszóval ha a Hatóság ellenőrzést tart, milyen hibákat, hiányosságokat találna.
Ennek auditja esetenként gyorsan megoldható, kétféle eljárással.
Egy-egy adatkezelési eljárás online auditja (pl. kamerakezelés, web-áruház, vagy saját szoftver gdpr-megfelelősége átvizsgálás) vagy meglévő szabályzat vizsgálata.
A másik lehetőség teljeskörű, helyszíni vizsgálattal kiegészítve, melynél a jelenlegi gyakorlat auditálása történik.
Az auditálás során tapasztalt hiányosságokat részletesen feltárva javaslatokat adunk a megoldásra.
Válságban: az adatvédelem az Egyesült Államokban
2019-ben az Egyesült Államok tartotta a legmagasabb kiszabott büntetéstért a világrekordot. Az adatok megsértéséért 8,19 millió dollárra rúg, és az egészségügyi adatok megsértése 80% -kal több embert érint, mint csupán 2017-ben három évvel korábban. A mai adatközpontú környezetben úgy tűnik, hogy nem múlik el egy nap sem az adatok megsértésének vagy szivárgásának kiderülése nélkül. Az adatvédelem az Egyesült Államokban egyre növekvő probléma, amelyet elsősorban a digitális adatok exponenciális növekedése, az adattárolás felhőbe történő áthelyezésének tendenciája és a szövetségi adatvédelmi rendelet hiánya okozott.
Az elmúlt néhány évben a digitális adatok példátlan ütemben növekedtek. 2019-ben az egész világ népessége alig több mint 1% -kal, 7,7 milliárdra nőtt, míg az egyedi mobiltelefon-használók száma 2% -kal 5,8 milliárdra nőtt. Ezen felül az internet-használók száma 9% -kal 4,4 milliárdra nőtt, ami a világ népességének 57% -a. Ahogy a globális urbanizáció folytatódik, továbbra is növekszik az emberek száma, akik mindennapi életük során használják az adatokat. Mindezeket a kontinenseken másodpercek alatt áthaladó adatokat valahol tárolni és kezelni kell. A digitális adatok felhasználásának ilyen exponenciális növekedése ugyanolyan agresszív növekedést igényelt az adattárolási képességekben.
A digitális adatok növekedésével növekszik az a tendencia is, hogy az adattárolás felhőbe kerül. A felhőt gyakran félreértik, nem egy misztikus gomolyfelhő, amely az égen lebeg, és benne egyesek és nullák vannak. Inkább a felhő nem más, mint nagy adatközpontok, amelyben 7/24 működnek szerverek és adattárolók. Míg a nagyobb vállalkozások korábban saját adatközpontokkal rendelkeztek, vagy házon belüli adattárolást használtak, az elmúlt öt évben gyorsan váltottak a felhőszolgáltatókra. 2017-től 2019-ig a felhőalapú szolgáltatási adatközpontok száma 7500-ról 9100-ra növekedett, 2020-ra azt számítják, hogy ez a szám a 10 000 lesz. Összességében 35 900 adatközpont volt nem technológiai cégek tulajdonában 2018-ban, és ez a szám várhatóan jelentősen csökken, 2020 végére 28 500-ra.. Valójában várható, hogy Észak-Amerikában a saját adatközpontok használatától felhőalapú szolgáltatók felé tartó nagyvállalatok száma a 2017. évi 10% -ról 2022-re 80% -ra növekszik. Az adatok exponenciális növekedése és tárolása megállíthatatlanul eltolódik a felhő irányába, az adatbiztonsággal és a magánélettel kapcsolatos aggodalmak ezzel párhuzamosan eszkalálódnak, ami az adatvédelmi jogszabályok megalkotását szükségessé teszik.
Az Európai Unió (EU) végrehajtotta az általános adatvédelmi rendeletet (GDPR) az európai fogyasztók magánéletének védelme érdekében. Míg Kanada 2000-ben végrehajtotta a személyes adatok védelméről és az elektronikus dokumentumokról szóló törvényt (PIPEDA), addig a GDPR sokkal agresszívabb jogszabálynak bizonyult mind az elérhetőség, mind a pénzbüntetés szempontjából. A GDPR megköveteli, hogy minden olyan szervezet, amely az EU állampolgáraival üzleti tevékenységet folytat, tartsa be a jogszabályokat, vagyis olyan globális szervezeteket, mint az Apple, a Facebook és a Google, valamint az európaiak számára eladó kisebb amerikai cégek is kötelesek követni a GDPR-t. A 2018 májusától a GDPR több száz millió euró összegű bírságot szabott ki, folyamatosan csak egyre agresszívebbé vált; a GDPR azonban csak azokat a szervezeteket érinti, amelyek kapcsolatba lépnek az EU polgáraival. Ezzel szemben, az Egyesült Államok elmaradt az adatvédelmi jogszabályokról, és az adatvédelem fenntartásának feladata az egyes államok feladata. 2020 márciusától csak a kaliforniai fogyasztói adatvédelmi törvény (CCPA) előírja a személyes adatok törlését, ha az Egyesült Államokban ezt kérik, hasonlóan a GDPR-hez. Az európaiakkal ellentétben az amerikaiak az adatvédelem szempontjából nagyrészt a saját eszközükön maradnak, és jogsértés esetén kevés igénybe vehetik elő őket.
Ahogy egyre több ember alkalmazza a technológiát, az adattárolás iránti igény növekszik, ami növeli a nagyobb és gyorsabb adatközpontok iránti igényt. Az előzetes helyről a felhőalapú tárolásra való áttérés csak súlyosbítja az adatvédelem problémáját, mivel technológiai óriások megoldásaira támaszkodnak a szervezetek a fogyasztói adatok védelmében is. A jogsértések csak a digitális lábnyomunkkal összhangban fognak növekedni, ebből nincs kérdés. A szivárogtatott adatok árapályának megállítása érdekében a legfontosabb adatbiztonsági rendelkezéseket kell alkalmazni. Ezek között szerepel a rendeletek egységesítése valamennyi szervezetre és iparra vonatkozóan, a GDPR-hez és a CCPA-hoz hasonló rendelkezés az elfelejtéshez. Sajnos addig, amíg átfogó szövetségi adatvédelmi törvényt nem fogadnak el, az amerikai polgárok adatainak adatvédelme továbbra is komoly veszélybe kerül.
Forrás: infosecurity-magazine.com
Térfigyelő kamerát alkalmaz cége? Kockázatos lehet
Milyen kérdések merülnek fel? Milyen teendők vannak?
- Érdekmérlegelési teszt, a látótér megfelelő kitakarása egyes esetekben, a felvételek visszanézéséhez hozzáférések naplózása és szigorú ellenőrzése, a felvételek törlése – megsemmisítése és a megsemmisítés előtti korlátozása.
- Ha valaki kéri, van-e mód a felvétel törlését elhalasztani? Vagy ez is kötelező?
- A felvételek érintetti kérésekre átadása, kinek vagyunk kötelesek átadni – nem is gondolná az ember – ezek mind rendkívül fontos kérdések és tételek.
- Kell-e tájékoztatnunk az érintetteket, mit mutat a térfigyelő kamera, hogyan tájékoztatjuk őket? Van-e rajz a megfigyelt területrészek bemutatására? A kamera közterületet vagy magánterületet lát?
- A térfigyelő kamera belelát egyes magánszemélyek intim szférájába?
- Mennyire felismerhetők a kamera által megfigyelt területen tartózkodók?
- Ha belső kamerát használunk, a folyosó végén látszik – e a közterület, vagy idegen terület?
- Rögzít-e hangot a kamera? És mivel indokoljuk?
- Ha csak hangrögzítés van:
- A hangrögzítés milyen jogalappal készül?
- Meddig tárolhatjuk?
- Hogyan hívjuk fel a figyelmet arra, hogy itt felvétel készül?
- Milyen dokumentációt és eljárásokat kell kidolgozni?
Az adatvédelmi megfelelőség teljes auditja átlagos vállalkozásnál, szervezetnél 50 fő alatti létszámnál 60 000,- Ft.
A teljes adatleltár és a megfelelőség és dokumentáció elkészítése, dolgozók belső képzése valamint adatvédelmi tisztviselő biztosítása általában havidíjas kialakítású, két éves szerződéskötés mellett, a feladat nagyságától függően havi 50 -és 180 000,- Ft közötti díjazással.
Képzés leírása
Alapfok: Adatvédelmi felelős munkakörre felkészítő képzés
- A képzés megnevezése Adatvédelmi felelős munkakörre felkészítő képzés.
- A képzés oklevélben szereplő megnevezése Adatvédelmi felelős munkakörre felkészítő képzés.
- A felvétel feltétele Felsőfokú végzettséget igazoló okirat, középfokú végzettség esetén közigazgatási, vagy adatvédelmi gyakorlat igazolása.
- A képzési idő összesen 100 óra, benne távoktatásos tudásátadás és kötelező feladatok elvégzése.
- A képzés célja és szakmai kompetenciák: Az adatvédelmi rendeletet és az Infotörvényt megismertesse a hallgatókkal, felkészítse őket az adatvédelem napi gyakorlatához.
- A képzés során elsajátítandó kompetenciák – a hazai és az EU-ban érvényes adatvédelmi szabályok – az adatvédelem alapelvei – a papíralapú és IT adatkezelésekre vonatkozó gyakorlati eljárások – az érintett jogokat – elemzések, tesztek készítése – az incidensek felismerése, kezelése – az adatvédelmi megfelelőség gyakorlati lépései.
A vizsga
A vizsga a tanúsítvány megszerzéséhez szükséges, melyben a hallgató igazolja, hogy a tanult ismereteket alkalmazni tudja.Vizsgamunka: A vizsgára való felkészülés során a hallgató elkészíti saját szervezetének valamely témakörben előforduló feladatát (pl. adatleltár, érdekmérlegelési teszt, adatvédelmi hatásvizsgálat, egyebek) A téma megválasztása és jóváhagyása után a képzést vezetőkkel konzultációs lehetőség biztosított, mely lehet online, vagy személyesen, meghatározott időpontokban. A vizsgamunka bemutatása és megvédése után van lehetőség a BME belső rendszerén történő záróvizsgára. A záróvizsgára jelentkezés feltételei: A képzéseken való folyamatos aktív on-line részvétel, a feladatok elvégzése, beszámolók elkészítése. Sikeres vizsgamunka. Vizsgadíj befizetése igazolás Elvégzése után haladó (adatvédelmi szaktanácsadó) képzésre van mód.
-2020 május 21,
-2020 június 4,
-2020 június 18.
Veszélyhelyzet – Adatvédelem és adatigénylés veszélyhelyzet idején
Adatvédelem és adatigénylés a veszélyhelyzet idején
A 179/2020. (V. 4.) Korm. rendelet a veszélyhelyzet megszűnéséig a koronavírusos megbetegedések megelőzése, megismerése, felderítése, valamint továbbterjedésének megakadályozása érdekében az adatkezelési célból kezelt személyes adat kezelése tekintetében eltérő szabályokat állapít meg az általános adatvédelmi rendelet (GDPR) és az információs önrendelkezési jogról szóló törvény (Infotv.) alapján az érintettet megillető jogok gyakorlására. A fenti célnak megfelelő adatkezelés tekintetében az érintettnek az adatkezelőhöz a jogai gyakorlása (előzetes tájékozódáshoz való jog, hozzáféréshez való jog, helyesbítéshez való jog, az adatkezelés korlátozásához való jog, törléshez való jog) érdekében benyújtott kérelme alapján teendő minden intézkedést a veszélyhelyzet megszűnéséig fel kell függeszteni, ezen intézkedésekre irányadó határidők kezdő napja a veszélyhelyzet megszűnésének napját követő nap. Az érintettet erről a veszélyhelyzet megszűnését követően haladéktalanul, de legkésőbb a kérelem beérkezésétől számított kilencven napon belül tájékoztatni kell.
Read More
Jegyzők részére: hazaküldött munkatársak távoktatásos képzése
Minden a járványról szól, de ez egyben lehetőség is.
Egyre több érintetti (jó- vagy rosszindulatú) kérést kell teljesíteni (adatkezelési panasz, törlési kérelem, adatkérés, zárolás, egyebek) és igen nehéz, ha a munkatárs a kérdést sem érti meg.
Az ügyfelekkel a munkatársunk találkozik, ő van a fronton, neki kellene a legjobban ismernie az eljárásokat.
Kétszintű tanfolyamainkat adatvédelmi felelős képzéssel kezdjük, ez az első, melyre az adatvédelmi szaktanácsadó képzés épül. Ezek a képzések használható gyakorlati tudást adnak. Részletesebb leírást lejjebb görgetve találnak.
-2020 május 21,
-2020 június 4,
-2020 június 18.
És van egy kedvezményes lehetőség:
Azok számára, akik megbízást adnak adatvédelmi feladatokra (adatvédelmi tisztviselő biztosítása és/vagy adatvédelmi megfelelőség elkészítése) a képzés ingyenes.