Bármilyen adatkezelést is végzünk (nem csupán hozzájárulás kérésekor), alapvető fontosságú, hogy az érintetteket tájékoztassuk. Az adatvédelmi szabályok betartása, és a részletes, mégis közérthető tájékoztatás nemcsak jogi kötelezettség, hanem hozzájárul az adományozók, ügyfelek bizalmának megőrzéséhez és a szervezet jó hírnevének fenntartásához is.
Az átláthatóság elve megköveteli, hogy a személyes adatok kezelésével összefüggő tájékoztatás, illetve kommunikáció könnyen hozzáférhető és közérthető legyen, valamint hogy azt világosan és egyszerű nyelvezettel fogalmazzák meg.
Az adatkezelési gyakorlatokról (hogy hogyan tervezzük meg adatkezelésünket és miért ne vegyünk át konzerv megoldásokat, itt írtunk) világos és átlátható adatvédelmi tájékoztatót (ld. GDPR 13-22. cikkei) kell biztosítani az adományozók számára, amely tartalmazza legalább az alábbiakat:
- Az adatkezelő és az adatvédelmi tisztviselő (ha van) személyazonosságát és/ vagy elérhetőségeit.
- Az adatkezelés céljait és jogalapját.
- A kezelt adatok körét.
- Az adatok tárolásának időtartamát.
- Az érintettek jogait és azok érvényesítésének módját, azaz hogy milyen módon biztosított az érintett személyes adatainak tisztességes és átlátható kezelése, továbbá tájékoztatás arról, hogy az érintetteknek jogukban áll megerősítést és tájékoztatást kapni a róluk kezelt adatokról. (Hogy mik az érintettek jogai és hogyan tudunk felkészülni, hogy azokat biztosítani tudjuk, itt írtunk)
TIPP: ha az adott élethelyzetben nem lehetséges az előzetes tájékoztatást teljes terjedelmében közölni, akkor elegendő lehet az adatkezelő nevének és az adatkezelés céljának közlése egy pontos utalással arra, hogy a részletes tájékoztató hol tekinthető meg ( linken vagy akár QR kódon keresztül).
Mire kell figyelni a tájékoztatás megismerése és elfogadása során?
A jogszerű adatkezelésnek minden esetben előfeltétele, hogy az érintettek előzetes tájékoztatást kapjanak az őket érintő adatkezelés(ek)ről. Az előzetes tájékoztatás megtételének ténye szorosan kapcsolódik az elszámoltathatóság alapelvének érvényesítéséhez. Egy később beérkező ügyfélpanasz, vagy hatósági vizsgálat, eljárás során az elszámoltathatóság alapelvének megfelelően utólagosan is tudnunk kell bizonyítani, hogy az előzetes tájékoztatás megtörtént. Az adatkezelők az online felületeken ennek a követelménynek úgy felelnek meg, hogy az érintettek számára személyes adatok beküldését csak úgy teszik lehetővé, hogy számukra elérhetővé tett adatkezelési tájékoztatót ( pl. egy online űrlapot kitöltő személynek) el kell fogadnia pl. egy jelölőnégyzet kipipálásával. Egy nyilvános rendezvényen objektíve nincs lehetőség az adatkezelési tájékoztató elfogadására, viszont mindig van lehetőség annak kihelyezésére, elérhetővé tételére.
Példa a tájékoztatásra hírlevél feliratkozás esetén:
Egy online felületen elérhetővé tesszük az adatkezelési tájékoztatót, melynek megismerését dokumentáljuk egy jelölőnégyzet érintett személy által történő kipipálásával.
Ezt követően, mivel a felhasználó előzetesen megismerte az adatkezelés feltételeit, hozzájárulását kérjük valamilyen adatkezeléshez, például hírlevél küldéséhez.
Az adatkezelési tájékoztatót megtekintve ( amely ideális esetben elérhető állandó linkként is a hírlevél egyes számaiban) az érintett tájékozódhat arról, hogy a szervezet például a hírlevél vonatkozásában milyen célból, mennyi ideig kezeli az adatait, illetve hogy milyen adatokat kezel illetve, hogy hogyan lehetséges a hírlevélről történő leiratkozás. Természetesen meg lehet gyorsítani a folyamatot azzal, hogy a hírlevél alsó menüsorában feltüntettük a leiratkozás gombot.
Nagyon fontos tudatosítani magunkban, hogy az adatvédelmi hatóság már több esetben jelentős bírságot szabott ki azért, mert egy szolgáltató a leiratkozást követően is tovább küldte a hírlevelét.
Ha az adatok felhasználásával profilozás vagy automatizált döntéshozatal történik, mindenképpen tájékoztatni kell róla az érintetteket. A profilozás alatt személyes adatok nagy számú, illetve módszeres értékelése révén végzett tevékenységet értünk, különösen ha az az érintett munkahelyi teljesítményére, gazdasági helyzetére, egészségi állapotára, személyes preferenciáira vagy érdeklődési körére, megbízhatóságra vagy viselkedésre, tartózkodási helyére vagy mozgására vonatkozó jellemzők alapján történik. Az automatikus döntéshozatal a GDPR kontextusában olyan folyamatot jelent, amelyben egy személyes adatokon alapuló döntést teljes mértékben automatizált rendszer hoz meg, emberi beavatkozás nélkül. Ez azt jelenti, hogy a döntéshozatal kizárólag algoritmusokon, szoftvereken vagy mesterséges intelligencián alapul, és nincs benne manuális ellenőrzés.Automatizált döntéshozatal során az adatkezelés célja a természetes személy tekintetében joghatással bíró vagy a természetes személyt hasonlóképpen jelentős mértékben érintő döntések meghozatala, amely adatkezelés adott esetben egyének kirekesztését vagy hátrányos megkülönböztetését is eredményezheti, ezért ennek felhasználásakor fokozott körültekintéssel kell eljárni. További információ a profilizásról és automatizált döntéshozatalról itt.
Hogyan biztosítható az átláthatóság elve, ha a szervezet nagyon sokfajta adatkezelést végez? Minden adatkezelést egy dokumentumban kell bemutatni?
Előfordul, hogy a civil szervezet különböző szolgáltatásai és tevékenysége kapcsán különféle adatkezeléseket végez, és az egyes szolgáltatások igénybevevőinek nehéz lenne kibogozni egy összesített dokumentumból, hogy őrá éppen melyik adatkezelés vonatkozik.
Egy adatkezelő szervezet dönthet úgy, hogy az összes adatkezelési gyakorlatát egy tájékoztatóban összegzi, de akár szolgáltatásonként készíthet csak arra a szolgáltatásra vonatkozó adatkezelési tájékoztatót is, amennyiben egyértelműen szét tudja választani. Pl. a NIOK Alapítvány Adjukössze.hu szolgáltatásának igénybevevői külön elérik a szolgáltatásra vonatkozó adatkezelési tájékoztatót, nem kell a szervezet összes egyéb adatkezelését végigböngészni a szolgáltatás adatkezelési gyakorlatának megismeréséhez.
Az érintettek tájékoztatása az adatkezelés módosulásáról
A hozzájárulás jogalap használata cikkben kifejtettük, hogy ha módosul az adatkezelésünk, mindenképpen tájékoztatni kell a korábban hozzájárulásáról nyilatkozó érintettet a módosításról, és jogairól, hogy hogyan tudja visszavonni hozzájárulását. A közérthetően megfogalmazott írásbeli kommunikáció növeli a bizalmat a szervezetünk iránt.
Ha az adatkezelés elemei változnak, az adatkezelő továbbra is csak olyan módon kezelheti az adatot, amelyre jogalapja van, és bármikor tudnunk kell az érintettet tájékoztatnunk arról, hogy ő mihez járult hozzá. A honlapon közzétett adatkezelési tájékoztatót verziószámmal kell ellátni és nyilván kell tartani, hogy mely időszakban milyen tartalmú adatkezelési tájékoztató volt hatályban. Ennek különös jelentősége lehet érintetti panasz, vagy hatósági vizsgálat, eljárás lefolytatása során.
