GDPR alkalmazása a Viltor webáruház rendszerben (1. rész)

Ahogy korábbi GDPR-el kapcsolatos bejegyzésemből is kitűnik, a rendelet többnyire általános megfogalmazásokat tartalmaz annak gyakorlati megvalósításáról. Nincsenek olyan mondatok, hogy tedd ezt, vagy tedd azt és akkor megfelelsz az elvárásoknak. A rendelet inkább elveket fogalmaz meg, amelyeket betartva - függetlenül az adott vállalkozás méretétől és tevékenységi körétől - a személyes adatok védelmére vonatkozó célok közelebb kerülnek az ideális állapothoz, vagyis ahhoz, hogy a természetes személyek nyomon tudják követni és hatásuk legyen arra, hogy ki milyen adatukat kezelheti.

Persze az ilyen "nesze semmi fogd meg jól" rendeleteket a vállalkozások nem szeretik. Sokkal egyszerűbb, ha azt hallják, hogy ha ezt teszed, vagy azt teszed, akkor nem kapsz büntetést. Ezzel szemben a GDPR általános szempontjait lehet így vagy úgy értelmezni és kérdéses, hogy az adott cég gyakorlati megvalósítását miként értékeli majd a hatóság? Erre még nincs kialakult tapasztalat, hiszen legkorábban 2018. május 25. után lehet számítani az ellenőrzésekre. Így minden - közöttük a Viltor - rendszerben megvalósított fejlesztésről is az idő dönti majd el, hogy megfelelnek-e a követelményeknek.

A fentiekből talán kitűnik, hogy a GDPR elvárja a cégektől a "józan paraszti ésszel" való gondolkodást. Minden cégnek - függetlenül attól, hogy informatikai rendszeren nyugszik a tevékenysége (mint a webáruházak esetén), vagy nem (mint például egy hagyományos offline üzlet, fodrászat, alkatrészeket gyártó üzem, stb.) - vannak ügyfelei, melyek között természetes személyek is lehetnek. Végig kell gondolni, hogy ezen személyek adatai hol kerülnek be a cég rendszerébe (a gyártóüzem nyilvántartásába, a fodrász mobiltelefonjára stb.), milyen változásokon esnek át és ennek megfelelően kell kialakítani és leírni az adatvédelmi szabályzatot.

A rendelet említést tesz arról, hogy "az átláthatóság elve megköveteli, hogy a személyes adatok kezelésével összefüggő tájékoztatás, illetve kommunikáció könnyen hozzáférhető és közérthető legyen, valamint hogy azt világosan és egyszerű nyelvezettel fogalmazzák meg". Vagyis nem feltétlenül kell jogászhoz fordulnunk a tájékoztató megfogalmazásához, illetve elvárás is a könnyen érthető leírás - ami egy jogi szövegre nem gyakran jellemző.

Tájékoztatási kötelezettség

A GDPR rendelet egyik alapelve, hogy az érintett (vásárló) minden személyes adatára vonatkozó döntés meghozatala előtt tájékozódhasson. Erre egy webáruház esetében jellemzően tájékoztató szövegek útján van mód. A Viltor rendszerben a tájékoztatást az erre a célra kialakított fogyasztóvédelmi dokumentumok szolgálják, melyek a webáruházban is megtekinthetőek, PDF formában kinyomtathatóak, illetve a webáruház a vásárlásokat visszaigazoló levelekhez is mellékeli őket.
Az adatvédelmi tájékoztató szükséges tartalma egy korábbi bejegyzésben olvasható.

Feltételek elfogadása

Miután bizonyos szituációkban (pl. rendelés leadása előtt vagy hírlevélre feliratkozás előtt) tájékoztattuk a vásárlót a személyes adatainak kezelését illetően, szükséges, hogy ő ezeket a tájékoztatásokat tevőlegesen is elfogadja. Ez egy webáruház esetében jelölőnégyzetek bejelölésével (bepipálásával) oldható meg a legkönnyebben. A Viltor rendszert is fejlesztettük ezen a téren, így most már bármilyen feltétel köthető a rendelésekhez, a regisztrációhoz, az adatmódosításhoz, illetve a hírlevél fel- vagy leiratkozáshoz.

Adathordozhatósághoz való jog

"Az érintett jogosult arra, hogy a rá vonatkozó, általa egy adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja..."
A Viltor áruházakban a regisztrált vásárlók a nyilvántartott személyes adataikat közvetlenül a webáruházból is letölthetik PDF formátumban, melyre az Adatmódosítás során megjelenő nyomtató ikon ad lehetőséget.

Ha egy vásárló nem regisztrált a vásárlás előtt, akkor pedig kérésére - és személyazonosságának ellenőrzése után - az adminisztrációs felületen, a rendelés részleteiben is kiexportálhatjuk és átadhatjuk a nyilvántartott személyes adatait.

Adattovábbítási és adatmódosulási nyilvántartás

Az adatkezelési nyilvántartás statikus adatain felül érdemes az adattovábbításokat és adatváltozásokat időrendben tároló nyilvántartást is vezetni. A webáruházban történő adatváltozásokról a Viltor ilyen nyilvántartást vezet, amely egy hatósági ellenőrzés, vagy incidens alkalmával lehet hasznos adatforrás.