Szakmai korlát: Ez a cikk általános tájékoztatás, nem személyre szabott jogi tanács. A pontos kötelezettségeket a praxis tevékenysége és körülményei alapján, magyar adatvédelmi szakemberrel ellenőrizze.
Röviden: Az adatkezelő az adatkezelés célját és lényeges eszközeit határozza meg; az adatfeldolgozó az adatkezelő dokumentált utasításai szerint jár el. A szerepet műveletenként, a tényleges döntések alapján kell minősíteni, nem pusztán a szerződés elnevezése szerint.
A jogi szerep vagy kötelezettség tényalapú vizsgálata
A szerződés elnevezése helyett a tényleges döntéseket, utasításokat, adatáramlást és kockázatokat vizsgálja. Az eredményt dokumentálja, és a konkrét minősítést adatvédelmi szakemberrel ellenőriztesse. A listát a praxis saját folyamataihoz és felelőseihez igazítsa a következő téma vizsgálatakor: „Adatkezelő vagy adatfeldolgozó? Szerepek a praxisban”.
- adatkezelési cél;
- lényeges eszközök feletti döntés;
- szolgáltatói utasítás és önálló cél;
- feldolgozási lánc;
- érintetti kockázat;
Hogyan minősítse a szerepet?
A minősítést adatkezelési műveletenként végezze el. Írja le, ki dönt a célról, az érintettek és adatok köréről, a megőrzésről, a hozzáférés lényeges szabályairól és a szolgáltató önálló felhasználásáról. Ha két fél közösen határozza meg a célt és a lényeges eszközöket, közös adatkezelés is felmerülhet.
Egy praxiskezelő szolgáltató rendszerint adatfeldolgozó lehet a praxis utasításai szerint végzett tárhely- és rendszerüzemeltetésnél, de más műveletnél önálló adatkezelői szerepe is lehet. A szerepet ezért nem lehet a teljes szerződésre egyetlen címkével, automatikusan eldönteni.
Három szempont, amelyet érdemes külön megvizsgálnia
Cél és felelősség
Dokumentálja, milyen célból, milyen szerepben és milyen jogalappal történik az adatkezelés. A szolgáltató marketingállítása ezt nem helyettesíti.
Hozzáférés és biztonság
Alkalmazzon feladathoz igazított jogosultságot, erős hitelesítést, megfelelő titkosítást, naplózást, mentést és rendszeres felülvizsgálatot.
Bizonyíthatóság
A praxisnak nemcsak megfelelnie, hanem ezt dokumentumokkal, szerződésekkel és működő eljárásokkal igazolnia is kell.
Javasolt munkamódszer: Szerepkör–feladat mátrix
A következő témát ne kizárólag megbeszélésen próbálja rendezni: „Adatkezelő vagy adatfeldolgozó? Szerepek a praxisban”. A feladatokat sorokban, a munkaköröket oszlopokban rendezze, majd jelölje a végrehajtást, jóváhagyást és tájékoztatást.
A módszer lépései
- A vizsgálathoz („Adatkezelő vagy adatfeldolgozó? Szerepek a praxisban”) jelöljön ki egy felelőst és egy rövid, belátható időszakot.
- Dolgozzon valósághű, de személyes adatot nem tartalmazó példával.
- Rögzítse a tényeket és a kivételeket; a feltételezéseket külön jelölje.
- A végén hozzon dokumentált döntést, határidővel és felülvizsgálati dátummal.
Külön ellenőrizze:
- végrehajtó;
- jóváhagyó;
- konzultált személy;
- értesítendő személy;
Mitől tekinthető lezártnak?
A vizsgálat akkor zárható le, ha a döntésnek megnevezett felelőse, végrehajtható határideje és mérhető eredménye van. Ennél a témánál („Adatkezelő vagy adatfeldolgozó? Szerepek a praxisban”) külön rögzítse azt is, melyik régi gyakorlat szűnik meg, milyen kivételek maradnak emberi mérlegelésben, és mikor ellenőrzik először, hogy az új működés nem hozott-e létre újabb párhuzamos adminisztrációt.
Gyakorlati példa
Egy rendelő a adatvédelem területén ezzel a módszerrel vizsgálja a következő kérdést: „Adatkezelő vagy adatfeldolgozó? Szerepek a praxisban”. Az asszisztens összegyűjti a napi tényeket, a szakember jelzi a szakmai kivételeket, a vezető pedig csak az egységes adatok és a kipróbált eset alapján dönt. Így a változtatás oka, felelőse és várható eredménye később is visszakövethető.
Ha Ön kapta a kutatási feladatot
Egyoldalas vezetői összefoglaló
Írja le a problémát, a jelenlegi költséget vagy kockázatot, a javasolt változtatást, a két fő alternatívát és a vezetőtől kért konkrét döntést. A döntés-előkészítés tárgya: „Adatkezelő vagy adatfeldolgozó? Szerepek a praxisban”.
Az átadott anyag végén három dolgot emeljen ki:
- mit tud biztosan ebben a kérdésben, és melyik forrás igazolja: „Adatkezelő vagy adatfeldolgozó? Szerepek a praxisban”;
- mi maradt bizonytalan vagy szakértői ellenőrzésre váró kérdés;
- mi a javasolt következő lépés, felelős és határidő.
Gyakori kérdések
Szükséges-e új szoftver?
Nem minden esetben. Előbb döntse el, hogy a problémát szabály, felelősség, oktatás vagy valóban hiányzó rendszerfunkció okozza.
Mit mérjen a változtatás előtt?
A témához közvetlenül kapcsolódó időt, hibát, kapacitást vagy kockázati eseményt, előre rögzített definícióval.
Hogyan kezelje a kivételeket?
Külön rögzítse őket, jelöljön ki döntési felelőst, és csak ismétlődő esetnél építse be őket az alapfolyamatba.
Kapcsolódó cikkek
- Mit tartalmazzon az adatfeldolgozói szerződés?
- Al-adatfeldolgozók ellenőrzése lépésről lépésre
- GDPR pszichológusoknak: rendszer-választási szempontok
Hogyan segíthet a Sessio?
A Sessio saját infrastruktúrára telepíthető, és mezőszintű titkosítással, kétfaktoros hitelesítéssel, részletes jogosultságokkal és auditnaplóval támogatja a praxis intézkedéseit. Kérjen ingyenes bemutatót, és vizsgálják meg együtt az Ön praxisának konkrét folyamatát.
Források
- Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR) – ellenőrizve: 2026. július 27.
- EDPB: adatkezelőknek és adatfeldolgozóknak szóló útmutatók – ellenőrizve: 2026. július 27.
- NAIH – Nemzeti Adatvédelmi és Információszabadság Hatóság – az adott kérdéshez tartozó aktuális állásfoglalás külön ellenőrizendő.