A könyvelők adatkezelési szempontból nincsenek könnyű helyzetben, mivel a rájuk vonatkozó szabályok nem csupán összetettek, hanem sajnos nem is egyértelműek. Az alábbiakban a legfontosabb kérdéseket, illetve félreértéseket vesszük sorra ezzel segítve őket a megfelelésben.

Az Európai Unió Általános Adatvédelmi Rendelete (GDPR) jelentős bírságot helyez kilátásba arra az esetre, amennyiben az adatkezelő vagy az adatfeldolgozó nem tartja be a rendeletben foglaltakat. A csillagászati mértékű bírságoktól való félelem a vállalkozásokat sok esetben abszurd döntések meghozatalára készteti, melyek mögött általában félreértések húzódnak meg. Ezen túlmenően az élet is produkál olyan helyzeteket, amelyek a jog tükrében egyszerűen nem kezelhetőek. Ezekből válogatunk az alábbiakban:

A munkáltatók Magyarországon rendszerint lefénymásolják a munkavállalók személyi igazolványát, lakcímkártyáját, adókártyáját, diplomáját és minden egyéb olyan dokumentumait, amelynek valóságtartalmát alá kívánják a későbbiek során támasztani. Ez önmagában akár jogos lépésnek is tűnhet. Hasonlóképpen járnak el sok esetben a szolgáltatók is ügyfeleik vonatkozásában. Fontos azonban tudni, hogy a hazai felügyeleti hatóság az okiratmásolást nem tartja jogszerű adatkezelésnek, így feltétlenül ajánlott a gyakorlat felülvizsgálata. Lássuk mit tehetünk és mit nem az okiratmásolással összefüggésben:

Számos vállalkozás még mindig úgy gondolja, hogy a legegyszerűbb megoldás adatkezelésekkel összefüggésben hozzájáruló nyilatkozatok beszerzése. Ez azonban a GDPR 2018. május 25. napján történő alkalmazhatóvá válásával nagyon messze került a valóságtól. Az adatkezelések döntő többségében ugyanis az adatkezelés megfelelő jogalapja nem az ügyfél/munkavállaló hozzájárulása (érintett hozzájárulása), sőt az érvényesen általában nem is kérhető. Ezen eseteket vesszük végig gyakorlati példákon keresztül.

Az Európai Unió 2016/679. számú Általános Adatvédelmi Rendelete (GDPR) előírja, hogy személyes adat abban az esetben kezelhető, amennyiben annak legalább egy, a rendelet 6. cikkében nevesített jogalapja van. Ilyen jogalapnak minősülnek az érintett hozzájárulása, a szerződés teljesítése, a jogos vagy létfontosságú érdek, jogi kötelezettség teljesítése, valamint a közérdek vagy a közhatalmi jogosítvány gyakorlása. Tekintettel arra, hogy a jogos érdek a személyes adatok kezelésének a munkaviszonyban is egyik leggyakoribb alapja, ennek részleteit az alábbiakban mutatjuk be:
Az Európai Unió 2016/679. számú Általános Adatvédelmi Rendelete (GDPR) előírja, hogy személyes adat abban az esetben kezelhető, amennyiben annak legalább egy, a rendelet 6. cikkében nevesített jogalapja van. Ilyen jogalapnak minősülnek az érintett hozzájárulása, a szerződés teljesítése, a jogos vagy létfontosságú érdek, jogi kötelezettség teljesítése, valamint a közérdek vagy a közhatalmi jogosítvány gyakorlása. Tekintettel arra, hogy a jogos érdek a személyes adatok kezelésének a munkaviszonyban is egyik leggyakoribb alapja, ennek részleteit az alábbiakban mutatjuk be:
 

A munkáltatók csak kivételes esetekben másolhatják le jogszerűen az alkalmazottak személyes iratait - mutat rá a BDO Legal Jókay Ügyvédi Iroda.

Az Európai Adatvédelmi Testület 2019. július 11. napján véleményezés céljából állásfoglalást tett közzé az elektronikus megfigyelőrendszerek működtetésével összefüggő adatkezelésekről. Tekintettel arra, hogy ilyen adatkezelés a vállalkozások, illetve a háztartások jelentős részében létezik, érdemes tudni, hogy az erre hivatott szerv ezen adatkezelés tekintetében miképpen értelmezi a GDPR hatályos rendelkezéseit.

Az adatkezelő vállalkozások egyik alapvető kötelezettsége az, hogy az adatkezeléseiket az érintettek számára adatkezelési tájékoztatók, érdekmérlegelési tesztek stb. formájában bemutassák. Rendszeresen visszatérő panasz ezzel összefüggésben a vállalkozások részéről, miszerint az adatkezelési folyamataik láthatóvá tétele, bemutatása üzleti titkaikat fedi fel. Kiderülhet például az, hogy mely szolgáltatókkal, szerződéses partnerekkel (bérszámfejtő, könyvelő, külsős rendszergazda stb.) állnak kapcsolatban, illetve, hogy milyen ügyviteli rendszereket használnak. Az alábbiakban azt vizsgáljuk meg, hogy mi ennek a tájékoztatási kötelezettségnek a terjedelme.

A vállalkozások a működésükkel összefüggésben személyes adatok sokaságát kezelik. A kezelt személyes adatok körének meghatározásakor azonban érdemes szem előtt tartani azt a követelményt, hogy csupán azon személyes adatok gyűjtéséhez (kezeléséhez) ragaszkodjunk, melyek abszolút szükségesek a jogszerű adatkezelési cél eléréséhez. Sem praktikus szempontból, sem pedig biztonsági megfontolásból nem kezelhetünk ugyanis szükségtelen mértékben személyes adatokat. Ezen követelmény részleteit példákon keresztül mutatjuk be:

Adatvédelmi incidens bármikor előfordulhat egy vállalkozás működése során. Ide tartozik például az, amikor valamely alkalmazott elveszít egy adathordozót, amikor téves címzettnek szolgáltatunk személyes adatokat vagy amikor az informatikai rendszerbe valaki jogosulatlanul behatol. Incidens esetére pontos kötelezettségeket ír elő a GDPR, illetve a felügyeleti szerv is egyre több döntésében részletezi elvárásait. Ezen követelményrendszert mutatjuk be az alábbiakban: