Óriási bírságot kockáztat, aki nem készül fel az új szabályra

Noha az adatvédelmi szabályok megszegését súlyosan fogják szankcionálni, a Gartner úgy becsüli, hogy ennek ellenére az érintett vállalatok több mint fele nem fog teljes mértékben megfelelni a GDPR elvárásainak az előírt határidőre.

Az Európai Unió általános adatvédelmi rendeletének (GDPR) – amely a jövő év május végén lép hatályba – hatása túlmutat a közösség határain, hiszen minden olyan társaságra vonatkozik, amely uniós lakosok személyes adatait kezeli, függetlenül attól, hogy mely országban található. – A GDPR világszerte számos adatokat kezelő társaságra lesz hatással – mondta Bart Willemsen. A Gartner kutatási igazgatója szerint a rendelet célja a személyes adatok és a magánszféra védelme, ezért a központjában a felhasználó áll. A jogszabályt megszegőket akár 20 millió eurós vagy globális árbevételük 4 százalékát érintő bírság fenyegeti. Így – tette hozzá – egyértelműnek tűnik, hogy az ilyen szervezetek nem tehetnek mást, mint hogy újraértékelik a személyes adatok feldolgozásakor alkalmazott eljárásaikat.

A Gartner úgy becsüli, hogy ennek ellenére az érintett vállalatok több mint fele nem tud teljes mértékben megfelelni a GDPR elvárásainak az előírt határidőre. Az adatokat kezelő szervezeteknek a jövő évi határidőre ki kell nevezniük egy, az adatvédelmi hatósággal és adatalanyokkal kapcsolatot tartó képviselőt. Különösen nagy adatbázist kezelő – jellemzően állami – szervezetek esetében egy adatvédelmi tisztviselőt is ki kell jelölni. Ez nem feltétlenül jelent több százezer adatalanyt, a GDPR már az ötezer ember adatát egy éven keresztül vagy hosszabb ideig kezelő szervezetet is nagy adatkezelőnek tekinti. Az átállásra felkészülni akaró szervezeteknek ezenkívül még lehetővé kell tenniük az adatok kezelésének átláthatóságát, és a határon átívelő adatmozgásokat is megfelelő szerződésekkel kell szabályozniuk.

A vállalatok szempontjából az is fontos változás, hogy ha az ügyfelek személyes adata kompromittálódik, a GDPR értelmében az adott cég köteles az adat tulajdonosát, vagyis a felhasználót is értesíteni. Magyarországon az adatsértési (data breach) incidensek hatóság felé történő bejelentése kizárólag az elektronikus hírközlési szolgáltatók számára volt eddig kötelező. A jövőbeni nagyobb nyilvánosság komoly bizalmi válságokat is okozhat az adatkezelő cégeknek, ezért nyilvánvalóan fontosabb lesz elkerülni az ilyen eseteket.