GDPR szabályzat: mit tartalmazzon egy 50–500 fős cégnél?

Gyors válasz: A GDPR szabályzat egy 50–500 fős cégnél nevezze meg az adatkezelések felelőseit, a jogalapok és érintetti kérelmek kezelésének rendjét, a nyilvántartás gazdáját, a biztonsági intézkedéseket és a felülvizsgálat módját. A tartalom az adatkezeléshez legyen arányos.¹ A 250 fő alatti nyilvántartási kivétel feltételes; nem helyettesíti a tényleges műveletek vizsgálatát.¹

Összefoglaló gondolattérkép

GDPR szabályzat: mit tartalmazzon egy 50–500 fős cégnél?
│
├─ Felelősök és célok
│   ├─ Minden tényleges műveletnek legyen gazdája
│   ├─ A jogalapról szóló döntés útja legyen látható
│   └─ Az érintetti kérés jusson el a felelőshöz
│
├─ Külön nyilvántartás
│   ├─ Cél, adatok, címzettek és időszakok
│   ├─ A 250 fő alatti kivétel feltételes
│   └─ Új műveletnél frissíteni kell a bejegyzést
│
├─ Kockázat és védelem
│   ├─ Intézkedés és ellenőrzés a kockázathoz igazodik
│   ├─ A magas kockázat hatásvizsgálatot vet fel
│   └─ Nyitott feladatnak legyen felelőse
│
└─ Változás követése
    ├─ Új rendszer vagy szolgáltató jelzést indít
    ├─ A szabályzatot szükség esetén felülvizsgálják
    └─ A vezetés követi az ellenőrzési teendőket

Egy bérszámfejtéssel foglalkozó, több részlegből álló cég számára a GDPR szabályzat akkor hasznos, ha egy vezető vagy munkatárs megtalálja benne a következő lépést. Nem elég felsorolni az elveket. Meg kell nevezni az adatkezelési művelet felelősét, a külön vezetett nyilvántartást, az alkalmazott biztonsági kontrollokat és azt, ki dönt egy változásról. A GDPR 24. cikkének (1) bekezdése megfelelő intézkedéseket és a megfelelés igazolását kívánja meg; a (2) bekezdés arányosság esetén adatvédelmi szabályzatot is említ.¹

Az alábbi felépítés a vállalatnak szóló munkaminta. A konkrét tevékenységek felmérése nélkül senki sem tudja megmondani, hogy egy adott fejezetben mely adatokat, rendszereket vagy személyeket kell felsorolni. A GDPR szerinti elszámoltathatóság tágabb összefüggése segít megérteni, miért kell a szabályzat mögött bizonyítéknak is állnia.

Adatkezelések és felelősök

Az első fejezet az érintett szervezeti tevékenységeket határolja körül. A bérszámfejtő cég más adatokat kezelhet munkavállalói ügyekben, mint ügyfeleinek kiszolgálásakor; a szabályzatnak ezért a saját folyamataihoz kell kapcsolódnia. Minden folyamatnál legyen egy üzleti felelős, aki tudja, miért van szükség az adatra, és egy olyan pont, ahová a változások eljutnak. Az általános „mindenki felelős” mondat nem teszi igazolhatóvá az intézkedést. A 24. cikk éppen a megfelelés biztosítását és bemutatását kéri számon.¹

A szerepkör nem pusztán személynév. Meg kell mondania, ki dönt új adatkezelés indításáról, ki adja át az adatokat a nyilvántartás vezetőjének, ki ellenőrzi az alkalmazott biztonsági lépéseket, és ki hagyja jóvá a szabályzat módosítását. Ha egy feladatot több részleg végez, az átadás pontját kell leírni. A szabályzat nem tudja helyettesíteni ezt a döntést: csak láthatóvá teszi, kihez tartozik.

A példa nem ír elő kötelező szervezeti ábrát. Egy 60 fős cég kevesebb szerepkört használhat, mint egy 480 fős, több rendszert működtető vállalat. Az arányosság azonban nem azonos a homályossággal: a saját működéshez illő felelősöket mindkét esetben meg kell nevezni.¹

Jogalapok és érintetti kérelmek

A szabályzatnak külön kell kezelnie a döntést és az eljárást. Az üzleti felelős először meghatározza az adatkezelés célját, majd a megfelelő jogalap értékeléséhez szükséges tényeket átadja a döntésben részt vevőknek. A szabályzat azt mondja meg, hol rögzítik ezt a döntést, ki vizsgálja felül változáskor, és mely dokumentumok veszik át az eredményt. Nem lenne hiteles minden folyamatra ugyanazt a jogalapot előre beírni, ha a tények különböznek.

Az érintetti kérelmeknél a használható rend három pontot nevez meg: hol érkezhet a kérés, kihez kerül, és ki készíti elő a választ. A bérszámfejtő cég példájában egy munkavállalói kérés nem maradhat egyetlen ügyfélszolgálati postaládában úgy, hogy senki sem tudja, mely rendszer érintett. A szabályzat ezért felelőst és átadási útvonalat jelöl ki. A konkrét kérelemre adott döntést a tények alapján kell meghozni, nem egy kész mondatból.

A jogalapot célonként kell rögzíteni; a következő sorok kitöltési minták, nem a példaüzem tényleges jogalapjának megállapításai. A 6. cikk felsorolja a lehetséges jogalapokat, ezért a választást minden műveletnél az adott tényekkel kell indokolni.¹

A 12. cikk (3) bekezdése szerint az érintetti jogokkal kapcsolatos kérelem nyomán tett intézkedésről indokolatlan késedelem nélkül, legkésőbb a kérelem kézhezvételétől számított egy hónapon belül tájékoztatni kell az érintettet.¹ A határidő a kérelmek számától és összetettségétől függően további két hónappal hosszabbítható meg; a hosszabbításról és okairól az első egy hónapon belül kell értesítést adni.¹ A belső eljárás ezért rögzíti az érkezés napját, a felelőst, az esetleges hosszabbítás indokát és az értesítés dátumát.

Érdemes a jogalap és a kérelmek fejezetét összekötni a nyilvántartással. Ha egy új szolgáltatás más adatokat gyűjt, annak célja, érintettjei és felelőse egyszerre változhatnak. A 24. cikk (1) bekezdése az intézkedések szükség szerinti felülvizsgálatát és frissítését írja elő.¹ A szabályzatban ezért az új vagy módosult műveletnek világos bejelentési útja legyen.

A fejezet nem döntheti el előre minden lehetséges kérelmező ügyét. Az a célja, hogy a valós kérés eljusson ahhoz, aki a rendszereket és az érintett adatokat ismeri, majd a döntés nyoma megtalálható legyen. Ez az eljárási tartalom különbözik az érintetteknek szóló tájékoztatótól, amely a vállalat kifelé közölt információit tartalmazza.

A tájékoztató tartalma

A szabályzat kijelöli a tájékoztató gazdáját, de az érintettnek szóló szöveg külön közlés. Ha a cég közvetlenül az érintettől gyűjt adatot, a 13. cikk alapján többek között az adatkezelő kilétét és elérhetőségét, az esetleges adatvédelmi tisztviselő elérhetőségét, a célokat és jogalapokat, a címzetteket, az esetleges harmadik országbeli továbbítást, a megőrzési időt vagy szempontjait, az érintetti jogokat és a panasz lehetőségét kell közölni.¹ Ha az adat nem az érintettől származik, a 14. cikk szerinti tájékoztatásnál az adatkategóriákat és az adatok forrását is meg kell adni; a közlés idejét és az ott felsorolt kivételeket külön kell ellenőrizni.¹

A bérszámfejtő cég ezért nem használ egyetlen általános lapot minden szerepére: a saját munkavállalók tájékoztatását és az ügyfélnek végzett feldolgozás felelősségi rendjét külön kezeli. A szabályzat azt nevezi meg, ki adja át a helyes tényeket a tájékoztatóhoz, ki hagyja jóvá a közlést, és mely változás miatt kell azt újra megvizsgálni. A tényleges elérhetőséget és forrást a vállalatnak kell kitöltenie.

A DPO kijelölése

A 37. cikk meghatározza, mikor kötelező adatvédelmi tisztviselőt kijelölni: például ha a fő tevékenység az érintettek rendszeres és módszeres, nagymértékű megfigyelését igényli, vagy különleges adatok, illetve bűnügyi adatok nagymértékű kezeléséből áll.¹ A szabályzat ne a 50–500 fős létszámból vezesse le az igen vagy nem választ, hanem rögzítse a fő tevékenység és a tényleges műveletek értékelésének felelősét. Ha van tisztviselő, a 38. cikk szerinti bevonását, erőforrásait és független feladatellátását, valamint a 39. cikk szerinti tanácsadási, ellenőrzési és kapcsolattartási feladatait is a belső rendhez kell kötni.¹

A nyilvántartás helye

Az EDPB útmutatója szerint az adatkezelési tevékenységek nyilvántartását írásban, elektronikus formában is lehet vezetni. A leírásban szerepelnek a célok, az adatok és érintettek kategóriái, a címzettek, a releváns EGT-n kívüli továbbítások, ahol lehetséges a tárolási időszakok, valamint a biztonsági intézkedések általános leírása.² A szabályzat feladata itt a tulajdonos, az adatforrások és a frissítés útjának kijelölése; a konkrét bejegyzéseket a nyilvántartás tartalmazza.

A 30. cikk (1) és (2) bekezdése külön kezeli az adatkezelő és az adatfeldolgozó nyilvántartását.¹ A saját munkavállalók bérügyeiben a cég adatkezelői bejegyzésénél szerepeljen az adatkezelő, a képviselő és az esetleges közös adatkezelő, valamint az adatvédelmi tisztviselő neve és elérhetősége, továbbá a cél, az érintettek és adatok kategóriái, a címzettek, a harmadik országbeli továbbítás és garanciája, lehetőség szerint a törlési idő és a biztonsági intézkedések általános leírása.¹ Ha a cég ügyfele utasítására végez bérszámfejtést, az adatfeldolgozói nyilvántartásban a feldolgozó és az ügyfél adatkezelő neve és elérhetősége, továbbá adott esetben az adatkezelő vagy az adatfeldolgozó képviselőjének és az adatvédelmi tisztviselőnek a neve és elérhetősége, a feldolgozási kategóriák, az esetleges harmadik országbeli továbbítás és a biztonsági intézkedések általános leírása szükséges.¹ A szerep műveletenként vizsgálandó.

Ez két eltérő nyilvántartási szerep. A cég mindkettőt betöltheti. A mezők ezért sem vonhatók össze automatikusan.

Különösen fontos az 50–500 fős tartomány két része. A GDPR 30. cikkének (5) bekezdése a 250 főnél kisebb szervezetekre csak feltételekkel ad kivételt az (1) és (2) bekezdés alól. A kivétel nem alkalmazható, ha a kezelés valószínűleg kockázattal jár az érintettek jogaira, nem alkalmi, vagy a 9. cikk szerinti különleges, illetve a 10. cikk szerinti bűnügyi adatokra terjed ki.¹ A 250 vagy több alkalmazottat foglalkoztató cég erre a létszám szerinti kivételre sem hivatkozhat.

Egy 120 fős vállalatnál ezért nem elegendő a fejlécbe beírni, hogy „250 alatt”. Meg kell nézni a tényleges adatkezelési műveleteket és a kivétel feltételeit. A bérszámfejtésben ismétlődő műveletek vannak; a vállalatnak nem szabad a teljes tevékenységet automatikusan alkalminak neveznie. A szabályzat rögzítheti, ki végzi ezt az értékelést és hol őrzi az indokát. A külön nyilvántartás működési dokumentum, nem egyszeri melléklet, amelyet többé senki sem olvas.

Kifejezetten hipotetikus bérszámfejtési bejegyzés: Egy 120 fős szolgáltató saját dolgozóinak bérét kezeli. A minta adatmezői a dolgozói azonosító, a bankszámlaszám és a havi bérösszeg; a cél a saját bérfizetés. Az ügyvezetés az adatkezelői döntés felelőse, a HR a mezők és a megőrzési idő forrása, az IT a hozzáférési jogosultság és a titkosítás ellenőrzője. Bizonyítékként a jóváhagyott nyilvántartási bejegyzés, a hozzáférési felülvizsgálat és a helyreállítási próba dátuma szolgálhat.^1,2,3 Ugyanez a cég egy ügyfél dolgozóinak béradatait az ügyfél utasítása szerint külön feldolgozói bejegyzésben vezetné; a két szerepet nem vonná össze.¹

Az EDPB felsorolása segít a tartalom ellenőrzésében.² A vállalatnak azonban saját tényekkel kell kitöltenie a sorokat. Ha egy címzett vagy tárolási idő ismeretlen, azt tisztázandó kérdésként kell visszaadni a folyamat gazdájának, nem tetszőleges adattal pótolni.

Biztonsági intézkedések

A 32. cikk (1) bekezdése a kockázathoz megfelelő technikai és szervezési intézkedéseket követel meg az adatkezelőtől és adatfeldolgozótól. A rendelkezés példaként említi az álnevesítést és titkosítást, az ellenálló képességet, a helyreállíthatóságot és a rendszeres tesztelést, amennyiben ezek megfelelőek.¹ A szabályzat nem egy vásárlási listát ad, hanem azt írja le, ki választja ki, működteti és ellenőrzi a vállalat tényleges kontrolljait.

Az EDPB a bizalmasság, sértetlenség és rendelkezésre állás kockázatainak értékelését javasolja. Az intézkedéseket meg kell valósítani és ellenőrizni; időszakos biztonsági ellenőrzések cselekvési tervét a legfelső vezetői szinten kell követni.³ A bérszámfejtő cég esetében a szabályzat például megnevezheti, ki vizsgálja a hozzáférési jogosultságokat, ki próbálja ki a helyreállítást, és ki kapja meg az ellenőrzés nyitott feladatait. Hogy mely konkrét megoldás arányos, azt a saját kockázat alapján kell eldönteni.

Az általános mondat, hogy „adatainkat biztonságosan kezeljük”, nem mutatja meg a kontroll működését. A jó leírás összekapcsolja a kockázatot, az intézkedést, a felelőst és az ellenőrzés nyomát. Ha például egy rendszer helyreállítását nem tesztelték, a szabályzat nem állíthatja, hogy a teszt megtörtént. Nyitott feladatot és felelőst kell rögzíteni. A dokumentum így a tényleges működést vezeti, nem díszíti.

A biztonsági fejezetet a nyilvántartással összhangban kell tartani. Új rendszer vagy adatfolyam új kockázatot hozhat; a korábbi kontrollok nem feltétlenül fedik le. Az EDPB ezért nemcsak az intézkedések felsorolását, hanem megvalósításukat, ellenőrzésüket és a cselekvési terv követését hangsúlyozza.³

Szolgáltatók és továbbítások

A szabályzatnak meg kell mondania, hogyan kerül be egy új adatfeldolgozó vagy más címzett a vállalat adatkezelési áttekintésébe. Az EDPB nyilvántartási útmutatója a címzetteket és a releváns EGT-n kívüli továbbításokat is a rögzítendő adatok közé sorolja.² Egy bérszámfejtő cég nem tudja pontosan vezetni ezt a részt, ha az üzleti részleg a szolgáltató kiválasztása után sem jelzi a változást.

A belső rend kezdete ezért egy bejelentés: mely szolgáltató, mely folyamat, milyen adat és milyen cél. A megfelelő felelős ellenőrzi a nyilvántartási bejegyzést és a kapcsolódó dokumentumokat. Az itt leírt útvonal nem állítja, hogy minden címzett adatfeldolgozó, vagy hogy minden külföldi technikai kapcsolat azonos jogi kezelést kíván. Ezeket a tényeket a konkrét szolgáltatás alapján kell tisztázni.

Ha a szolgáltató a vállalat nevében személyes adatot dolgoz fel, a felelős az indulás előtt ellenőrzi a 28. cikk szerinti szerződést vagy más jogi aktust: a feldolgozás tárgyát, időtartamát, jellegét, célját, az adatok és érintettek körét, valamint az adatkezelő jogait és kötelezettségeit.¹ EGT-n kívüli továbbításnál külön rögzíteni kell, hogy a GDPR V. fejezete szerinti mely továbbítási alap vagy megfelelő garancia alkalmazható; egy szerződés léte önmagában nem válaszolja meg ezt a kérdést.¹ A döntési nyom a szolgáltatóhoz és a konkrét adatfolyamhoz tartozik.

Külön hasznos a változás pillanata. Ha a szolgáltató új rendszert vezet be, a biztonsági felelősnek is tudnia kell róla, mert a 32. cikk kockázatalapú intézkedéseket kíván meg.¹ Így a szolgáltatók fejezete nem különálló névjegyzék, hanem kapcsolat a nyilvántartás, a szerződéses dokumentumok és a biztonsági ellenőrzés között.

Az AI rendszerek bevezetése ugyanezt a fegyelmet igényli: a már meglévő AI irányítási összefüggések mellett azt kell tudni, mely személyes adatok mely szolgáltatóhoz jutnak. A szabályzat feladata a belső jelzési és döntési út, nem egy ismeretlen szolgáltatás megfelelőségének előzetes kijelentése.

Mikor kell hatásvizsgálat?

Az adatvédelmi hatásvizsgálat szükségességét az adatkezelés kockázata alapján kell megítélni. Az EDPB útmutatója szerint valószínűleg magas kockázattal járó személyesadat-kezelésnél hatásvizsgálat szükséges; abban a kockázatok kezelésére tervezett intézkedések is szerepelnek.³ A szabályzatnak ezért nem azt kell állítania, hogy a cég létszáma önmagában eldönti a kérdést. Inkább meg kell neveznie, ki indítja az előzetes vizsgálatot új vagy lényegesen módosult folyamatnál.

A bérszámfejtő cég új rendszert fontolgat. A projektgazda leírja az adatkezelést, a várható adatokat és az érintetteket; az adatvédelmi döntésért felelős személy megvizsgálja a kockázatot. Ha az eredmény hatásvizsgálatot tesz szükségessé, annak elvégzése megelőzi azt a pontot, ahol a vállalat kész tényként kezeli az új adatfolyamot. A szabályzat ezt a döntési kaput írja le. Az egyedi vizsgálat eredményét nem lehet előre beleírni.

A döntési kapunál három kötelezően vizsgálandó esetet kell külön jelölni: nagymértékű különleges vagy büntetőjogi adatok kezelése; személyes jellemzők módszeres és kiterjedt, automatizált értékelése, amely joghatással vagy hasonlóan jelentős hatással járó döntés alapja; valamint nyilvánosan hozzáférhető terület nagymértékű, módszeres megfigyelése.² Ezek az EDPB által felsorolt esetek; a bérszámfejtő cég új rendszeréről csak a tényleges funkciók és adatkör ismeretében dönthető el, melyik áll fenn. A szűrés eredményét és indokát a projektgazda dokumentálja.

A hatásvizsgálat és a biztonsági fejezet összetartozik, de nem azonos. A 32. cikk minden érintett szereplőnél megfelelő biztonsági intézkedéseket kíván meg.¹ A hatásvizsgálat külön értékelési eszköz a magas kockázatú műveletekhez az EDPB ismertetése szerint.³ Ha a két dokumentum ugyanazt a kockázatot eltérően írja le, a felelősnek fel kell oldania az eltérést, nem mindkettőt változatlanul jóváhagyni.

Szavakkal a döntési fa így ágazik: az új vagy változó adatkezelést előbb leírják. A 250 fő alatti nyilvántartási kivételnél megvizsgálják az összes kizáró feltételt, nem csupán a létszámot.¹ A biztonsági kockázathoz illő intézkedéseket kijelölik és ellenőrzik.^1,3 Ha a művelet valószínűleg magas kockázatú, a hatásvizsgálat szükségessége kerül előtérbe.³

Felülvizsgálat és frissítés

A 24. cikk (1) bekezdése az intézkedések szükség szerinti felülvizsgálatát és frissítését írja elő.¹ Nem mondja meg, hogy minden cégnek pontosan hány havonta kell átírnia a teljes szabályzatot. A használható belső rend ezért eseményeket és felelősöket nevez meg: új adatkezelés, változó cél vagy rendszer, új szolgáltató, módosult biztonsági kontroll, illetve ellenőrzésben feltárt hiány. Egy naptári emlékeztető segíthet, de nem válthatja ki az ilyen változások jelzését.

A dokumentumgazda minden módosításnál megkérdezi, mely kapcsolódó anyagok változnak. Ha a folyamat célja más lett, a nyilvántartási bejegyzés is érintett lehet. Ha új adat érkezik, a biztonsági kockázat újraértékelése lehet szükséges. Ha egy ellenőrzés hiányosságot tárt fel, a cselekvési terv vezetői követése az EDPB ajánlásához illeszkedik.³ A szabályzatban a kapcsolatokat kell rögzíteni, nem minden melléklet teljes szövegét megismételni.

Az ellenőrzésnek van lezárása. A felelős igazolja, hogy a módosítás életbe lépett, az érintett munkatársak tudnak róla, és a nyilvántartás, illetve a kontrollleírás összhangban maradt. Az EDPB az intézkedések megvalósításának és ellenőrzésének fontosságát hangsúlyozza.³ Egy dátum a címlapon önmagában nem bizonyítja, hogy a gyakorlat megváltozott.

Amit a szabályzat nem dönt el

Egy általános cikk nem választhatja ki a bérszámfejtő cég minden jogalapját, nem minősítheti távolról a teljes szolgáltatói láncot, és nem mondhatja ki ismeretlen adatkezelésről, hogy kell-e hatásvizsgálat. A 24. cikk arányos intézkedéseket és ezek igazolását kéri.¹ A tartalom ezért csak a saját műveletek, rendszerek, szerepkörök és kockázatok felmérése után válik vállalati szabályzattá.

Következő lépések

A cég először sorolja fel tényleges adatkezeléseit és felelőseit, majd kösse hozzájuk a nyilvántartást, a biztonsági ellenőrzést és a változásjelzést. Ezután írható olyan szabályzat, amelyet a munkatársak használni tudnak. A GDPR Accountability Documentation a saját online kérdőíves válaszok alapján személyre szabott adatvédelmi szabályzatot és biztonsági intézkedési nyilvántartást készít.