A csendes gyilkos – adatvédelmi megkeresések

Amíg nem érkezik be egy adatvédelmi megkeresés, addig a legtöbb cég nincs tisztában azzal, hogy mennyire bonyolult és időigényes a válaszadás ilyen esetekben. Ez azonban nemcsak belső erőforrásokat emészt fel, hanem komoly bírságokhoz is vezethet – a francia adatvédelmi hatóság például több százezer eurós bírságot szabott ki arra hivatkozva, hogy egy vállalat nem tudott időben és megfelelően reagálni, a Spotify pedig többmillió eurós bírságot kapott ezért.

Különösen a volt munkavállalók hajlamosak megkeresni a munkáltatójukat egy ártatlan kéréssel: kérem, tájékoztassanak minden rólam kezelt személyes adatról és adjanak róla másolatot. De egy ilyen megkeresésre nemcsak a munkavállalóktól, hanem ügyfelektől, szerződéses partnerek munkavállalóitól, megrendelőktől, a cég honlapjának látogatóitól is számítani lehet, bárkitől, akinek a személyes adatait a cég kezeli. Ezek a személyek, az ún. érintettek, akiknek a GDPR biztosít jogot arra, hogy információt kérjenek a róluk kezelt személyes adatokról, azokról másolatot kérjenek vagy kérjék azoknak a törlését. Ezt hívják angolul data subject access requestnek, röviden DSAR-nak. A válaszadási határidő egy ilyen megkeresésre pedig meglehetősen rövid: egy hónap. Az a tapasztalatom az ügyfeleknél, hogy a megkeresés megérkezését követő 1-2 hétig eltart, mire egyáltalán nekiállnak a feladat elvégzésének, és a lényegi munkaelvégzésére kb. 2 hét marad, ami alatt lehetetlen a megkeresésre válaszolni.

A legtöbb vállalat addig nem szembesül a nehézségekkel, amíg nem érkezik egy konkrét megkeresés. Egy ilyen kérés esetében például, amikor egy volt munkavállaló - aki akár évtizedekig dolgozott a cégnél - azt kéri, hogy kapjon másolatot minden egyes személyes adatáról, a keresés többmillió találatot fog eredményezni. A találat alatt pedig többmillió fájlt értünk: email üzeneteket, Word dokumentumokat, Teams üzeneteket, pdf fájlokat, exceleket stb. A keresés meg fogja találni az összes olyan belső riportot, amiben az illető neve vagy más személyes adata szerepel. Maga a keresés is eltarthat egy jó ideig, de az igazi nehézségek csak ekkor kezdődnek: ezeket a találatokat ugyanis át kell nézni, és azonosítani kell, hogy valóban tartalmazzák-e az illető adatait, ha igen, akkor van-e valamilyen kizáró ok, amiért nem lehet azt megosztani, illetve van-e olyan információ (üzleti titok vagy más személyre vonatkozó adat), amit ki kell húzni a fájlból. És ezt minden egyes fájl esetében el kell végezni. Nem véletlen, hogy ilyen kérésekkel volt munkavállalók már-már akár visszaélésszerűen is élni szoktat. A kérések teljesítését azonban csak nagyon limitált körben lehet megtagadni, ha például az másokat hátrányosan érint vagy ha a kérés egyértelműen megalapozatlan. Ezeket a körülményeket esetről esetre kell megvizsgálni.

Nehézség még, hogy sok cégnél hiányzik az átlátható adatnyilvántartás: nincsenek megőrzési idők, duplikált adatbázisok halmozódnak, strukturálatlan dokumentumtömegek gyűlnek, az emailek nincsenek archiválva és törölve. Ez mind megtöbbszörözi azoknak a fájloknak a számát, ami egy DSAR során ellenőrizendő és megosztandó az érintettel.

Mit lehet tenni?

• Kijelölt csapat: A HR, jog és IT területéről azonosítani kell azokat, akik részt vesznek a válaszadásban, és célzott tréninget kell kapniuk. Egy felkészült csapat, aminek van már tapasztalata adatvédelmi megkeresésekkel, és tisztában van az ezzel kapcsolatos kötelezettségekkel, gyorsabbá és hatékonyabbá teszi a válaszadást. Egy kisebb cégnél a kijelölt csapat lehet akár egy kijelölt ember is, aki megfelelően ismeri a cég működését és a használt rendszereket.

• Belső eljárásrend: Világos folyamatokat, feszes határidőket kell kialakítani, hogy a jogszabályi egyhónapos válaszadási idő tartható legyen. Emellett érdemes dokumentummintákat készíteni (pl. a megkeresésre adandó válasz mintátáját).

• Technológiai támogatás: Többféle informatikai eszközt és eDiscovery megoldást érdemes tesztelni, mert a különböző méretű és struktúrájú cégeknek más és más megoldás lehet megfelelő. Egy biztos, egy jó technikai megoldás sokat tud segíteni, például a releváns adatok azonosításában, a találatok ellenőrzésében. Ha nincs anyagi keret a technikai megoldásokra, ami gyorsíthatja a folyamatot, azt emberi erőforrással és a keresésre szánt idővel lehet pótolni. A válaszadási határidő betartásakor számolni kell azzal, hogy ilyenkor a keresés, a releváns fájlok azonosítása hosszabb időt vehet igénybe.

• Adattörlési fegyelem: Belső szabályzatokkal és azok betartásával kell biztosítani, hogy a fölöslegesen tárolt adatok kikerüljenek a rendszerből, csökkentve a kitettséget.

A DSAR nemcsak jogi kötelezettség, hanem üzleti kockázat is. Minél előbb kialakítja egy cég a megfelelő gyakorlatokat, annál kevesebb meglepetés és bírság éri majd a jövőben.