GDPR: személyes adatok kezelése

A személyes adatok kezelésekor ezeket az alapelveket kell betartani: jogszerűség, tisztességes eljárás és átláthatóság, célhoz kötöttség, adattakarékosság, pontosság, korlátozott tárolhatóság, integritás és bizalmas jelleg, elszámoltathatóság.

Személyes adatok csak konkrét céllal kezelhetők (pl. gyűjthetők, tárolhatók). Az adatoknak csak a cél megvalósításához szükséges köre gyűjthető, és bármely adat csak a szükséges, illetve az érintett által megengedett ideig tárolható. Külön, sokkal szigorúbb előírások vonatkoznak a 16 év alatti személyek adatainak kezelésére, az úgynevezett különleges személyes adatokra (pl. faji vagy etnikai származási, egészségügyi, vallási meggyőződésre, politikai véleményre utaló, genetikai adatok, szexuális életre vagy irányultságra vonatkozó adatok) és a bűncselekményekkel kapcsolatos adatokra. Az adatkezelő felelősséggel tartozik az adatok megfelelő kezeléséért, gondoskodnia kell arról, hogy azokhoz illetéktelenek ne férhessenek hozzá.

A rendelet az érintettek – vagyis azon személyek, akikről a kezelt adatok szólnak – számára jogot biztosít arra, hogy megismerjék a rájuk vonatkozó adatkezelés részleteit, pontosítsák, korlátozzák vagy letiltsák az adatkezelést. Az érintett kérésére sem kell, sőt, nem is szabad azonban az olyan adatokat törölni, amelyek megőrzését jogszabály írja elő. A foglalkoztatásra, kifizetésekre vonatkozó adatokat a cégek akkor is kötelesek az előírásoknak megfelelő ideig megőrizni, ha az érintett esetleg azt kéri, hogy töröljék ezeket.

Azokra a cégekre, amelyek üzleti tevékenysége jelentős részben vagy egészben adatkezelésre épül (például internetes hírlevél-küldés), külön szabályok vonatkoznak. Az adatkezelés körülményeit és az egyes, az adatokon végzett műveleteket minden esetben dokumentálni kell.

Amennyiben úgynevezett adatvédelmi incidens történik, vagyis a személyes adatokat ellopják vagy azok elérhetetlenek lesznek, azok jogellenesen nyilvánosságra kerülnek, sérülnek vagy megsemmisülnek, az adatkezelő az erről szóló részletes szabályok szerint köteles értesíteni a Nemzeti Adatvédelmi és Információszabadság Hatóságot (NAIH), és esetlegesen tájékoztatni az érintetteket is.