A GDPR-nál is nagyobb kihívás előtt az Európában szolgáltató vállalatok

A rendelet tartalmával kapcsolatban elsősorban az amerikai technológiai óriások (Google, Facebook, Amazon stb.) fogalmaztak meg komoly kritikákat, hiszen igen érzékenyen érintené az új szabályozás az adatokra épülő üzleti modelljüket, így minden lobbierejüket bevetve igyekeznek megakadályozni, de legalábbis késleltetni, a rendelet elfogadását. A román soros elnökség azonban kiemelt prioritásként kezeli a rendelet szövegének az európai parlamenti választás előtti véglegesítését, így az legkésőbb 2020-ban hatályba léphet. A GDPR felkészülés tapasztalataiból kiindulva érdemes már most elgondolkodni azon, hogy milyen következményekkel jár rendelet elfogadása a vállalatokra nézve.

Míg a GDPR általános adatvédelmi szabályokat, alapelveket fogalmaz meg, addig az ePrivacy részletes szabályokat tartalmaz az email-ek, smsek, chat- és üzenetküldő szolgáltatások, metaadatok, cookie-k, spamek, direkt marketing szolgáltatások, illetve a végeszközön tárolt adatok tekintetében. Talán a legjelentősebb változás a metaadatok, illetve a sütik (cookie-k) körében várható, hiszen a metaadatokat az új szabályok értelmében úgy kell kezelni, mintha azok különleges személyes adatok lennének, illetve sütik használata is csak a felhasználó aktív beleegyezésével történhet.

A szabályozás újdonsága az is, hogy – a GDPR-hoz hasonlóan – nem tesz különbséget aszerint, hogy hol van a szolgáltató székhelye, mindenkire érvényes, aki az EU területén szolgáltatást nyújt. Fontos változás még, hogy az érintettek számára valós alternatívát kell felkínálni az adatkezelésben, ami a gyakorlatban annyit tesz, hogy nem tagadható meg a szolgáltatás azoktól, akik nem járulnak hozzá saját adataik teljeskörű felhasználásához. Ezekből a példákból is látszik, hogy a tervezett szabályok nagyban szűkítik a szolgáltatók mozgásterét az adatok felhasználása körében, arról nem is beszélve, hogy az adatok nem megfelelő kezelése esetén a bírságok is a GDPR-ban foglaltakhoz igazodnak, vagyis 20 millió euróig vagy a vállalat éves bevételének 4 százalékáig terjedhetnek. Az elszámoltathatóság elvéből következően itt is az adatkezelőnek kell bizonyítania, hogy mindent megtett az adatok rendeltetésszerű használata és védelme érdekében.

Az ePrivacy komoly többlet feladatot ró a vállalatokra, hiszen egy olyan területet kíván szabályozni, meglehetősen szigorú módon, ahol elképesztően nagy mennyiségű adatot kezelnek a szolgáltatók

– mondja Richter Orsolya, a KPMG IT tanácsadója. Ebben a helyzetben felértékelődik a GDPR-nál megismert adatvédelmi tisztviselők szerepe, akik átlátják a cégek működését, értik a GDPR és az ePrivacy rendelet szellemiségét, így képesek lehetnek menedzselni a megfelelésre való felkészülést.

Az első feladat az adatvédelmi audit elvégzése, azaz annak feltárása, hogy a cégben milyen rendszerekben keletkeznek védendő adatok, azokkal mi történik, és milyen kockázati besorolás alá esnek. Ez nemcsak a rendszerek felkészítésének alapja, hanem egyben lehetőség is a vállalat számára, hogy üzleti hasznot kovácsoljon a felkészülésből. „A legtöbb cégnél ugyanis bár az adatok rendelkezésre állnak, de nem elég strukturáltan, ráadásul gyakran teljesen különböző szervezeti egységek kezelik azokat, így nem alkalmasak az érdemi feldolgozásra” – hívja fel a figyelmet egy tipikus problémára Richter Orsolya.

„The single version of truth”

Egy látszólag egyező az adathalmazból, ugyanazzal az algoritmussal a legritkább esetben juthatunk pontosan ugyanarra az eredményre, ezért szükséges a cégeknél egy egyedüli és hiteles adattörzsre támaszkodni, ami egységes struktúrába szerkesztve, használható állapotban tárolja az adatokat. Az ePrivacy felkészülés kiváló alkalom ilyen törzsadatbázisok létrehozására. Egyszerű példa, hogy a vállalkozások többségénél a külső kapcsolati háló az egyes alkalmazottak személyes címtáraiból rakható csak ki, ez pedig nem csak akkor jelent problémát, ha a vállalat szeretné egységesen látni az adatvagyonát, hanem akkor is, ha mondjuk egy dolgozó távozik a cégtől. „Most ilyen szempontból is meg kell teremteni az adatkezelés és a biztonságos tárolás feltételeit. Az ePrivacy felkészülés így, az adatvédelmen túl, az üzleti folyamatok és adatbázisok fejlesztését is jelenti” – mondja a KPMG tanácsadója.

Az ePrivacy rendelet életbelépésével különösen fontossá válik az adatvédelmi incidensek megfelelő kezelése, hiszen a védendő adatok köre nagymértékben kibővül, sérülésük komoly reputációs kockázatot jelent a vállalatok számára. Az elmúlt időszak adatvédelmi botrányainak fényében (Sony levelezés, Oxford Analytica, Facebook adatlopások, Marriott szállodalánc hekkelése stb.) nem kérdés, hogy az adatvédelmi incidensek megfelelő kezeléséhez nem elegendő csupán adatvédelmi szakértők bevonása, hanem a reputációs kockázatok csökkentése érdekében elengedhetetlen a megfelelő kommunikációs tervek kidolgozása is. A KPMG tanácsadója arra hívja fel a figyelmet, hogy az ePrivacy megfelelés összességében nem egy IT probléma, hanem rengeteg jogi, kommunikációs és menedzsment aspektusa is van, s ezek nem igazán választhatóak el egymástól.

A jó adatvédelmi gyakorlatok éppen arról ismerhetők fel, hogy a szervezet egészét áthatják, ezért érdemes inkább vállalati adatvédelmi kultúráról beszélni, mint egyszerű szabályozásról

– véli a KPMG tanácsadója. Richter Orsolya szerint a teljes kultúraváltás a vezetőktől indul, de részesei a vállalat szakértői, dolgozói is kivétel nélkül, sőt az adattudatosságot célszerű kifelé is kommunikálni, mert a felhasználók és a partnerek adatvédelmi elvárásai az utóbbi években nagymértékben megnőttek, és akár döntési szemponttá is válhatnak, amikor az ügyfelek két hasonló profilú cég közül választanak.