Szakmai korlát: Ez a cikk általános tájékoztatás, nem személyre szabott jogi tanács. A pontos kötelezettségeket a praxis tevékenysége és körülményei alapján, magyar adatvédelmi szakemberrel ellenőrizze.
Röviden: Incidensnél először korlátozza a további kárt, őrizze meg a bizonyítékokat, értesítse a kijelölt felelőst és dokumentálja a tényeket. A hatósági bejelentés és az érintettek tájékoztatása a GDPR szerinti kockázatértékeléstől függ.
Az első órák feladatai
Az incidens észlelésekor először korlátozza a további kárt, őrizze meg a bizonyítékokat, értesítse a kijelölt felelőst, és kezdje el dokumentálni a tényeket. A hatósági és érintetti értesítés szükségessége kockázatalapú jogi értékelést igényel. A listát a praxis saját folyamataihoz és felelőseihez igazítsa a következő téma vizsgálatakor: „Adatvédelmi incidens: első szervezeti lépések”.
- mi történt és mikor;
- milyen adatok érintettek;
- kik férhettek hozzá;
- milyen azonnali intézkedés történt;
- ki hozza meg az értesítési döntést;
Bejelentési döntés és dokumentáció
Az adatfeldolgozó indokolatlan késedelem nélkül értesíti az adatkezelőt az észlelt incidensről. Az adatkezelő dokumentáltan értékeli az érintett adatok jellegét, az érintettek számát, a lehetséges következményeket és a megtett intézkedéseket.
Ha az incidens valószínűsíthetően kockázattal jár, a felügyeleti hatóság értesítésére főszabály szerint 72 órás határidő vonatkozik attól, hogy az adatkezelő tudomást szerzett róla. Magas kockázat esetén az érintettek tájékoztatása is szükséges lehet. A pontos döntést szakértővel ellenőrizze.
Három szempont, amelyet érdemes külön megvizsgálnia
Cél és felelősség
Dokumentálja, milyen célból, milyen szerepben és milyen jogalappal történik az adatkezelés. A szolgáltató marketingállítása ezt nem helyettesíti.
Hozzáférés és biztonság
Alkalmazzon feladathoz igazított jogosultságot, erős hitelesítést, megfelelő titkosítást, naplózást, mentést és rendszeres felülvizsgálatot.
Bizonyíthatóság
A praxisnak nemcsak megfelelnie, hanem ezt dokumentumokkal, szerződésekkel és működő eljárásokkal igazolnia is kell.
Javasolt munkamódszer: Páciensút-vizsgálat
A következő témát ne kizárólag megbeszélésen próbálja rendezni: „Adatvédelmi incidens: első szervezeti lépések”. Egy valósághű, személyes adatot nem tartalmazó esetet vigyen végig a jelentkezéstől a lezárásig.
A módszer lépései
- A vizsgálathoz („Adatvédelmi incidens: első szervezeti lépések”) jelöljön ki egy felelőst és egy rövid, belátható időszakot.
- Dolgozzon valósághű, de személyes adatot nem tartalmazó példával.
- Rögzítse a tényeket és a kivételeket; a feltételezéseket külön jelölje.
- A végén hozzon dokumentált döntést, határidővel és felülvizsgálati dátummal.
Külön ellenőrizze:
- kapcsolatfelvétel;
- belső átadás;
- szolgáltatási alkalom;
- utánkövetés;
Mitől tekinthető lezártnak?
A vizsgálat akkor zárható le, ha a döntésnek megnevezett felelőse, végrehajtható határideje és mérhető eredménye van. Ennél a témánál („Adatvédelmi incidens: első szervezeti lépések”) külön rögzítse azt is, melyik régi gyakorlat szűnik meg, milyen kivételek maradnak emberi mérlegelésben, és mikor ellenőrzik először, hogy az új működés nem hozott-e létre újabb párhuzamos adminisztrációt.
Gyakorlati példa
Egy rendelő a adatvédelem területén ezzel a módszerrel vizsgálja a következő kérdést: „Adatvédelmi incidens: első szervezeti lépések”. Az asszisztens összegyűjti a napi tényeket, a szakember jelzi a szakmai kivételeket, a vezető pedig csak az egységes adatok és a kipróbált eset alapján dönt. Így a változtatás oka, felelőse és várható eredménye később is visszakövethető.
Ha Ön kapta a kutatási feladatot
Egyoldalas vezetői összefoglaló
Írja le a problémát, a jelenlegi költséget vagy kockázatot, a javasolt változtatást, a két fő alternatívát és a vezetőtől kért konkrét döntést. A döntés-előkészítés tárgya: „Adatvédelmi incidens: első szervezeti lépések”.
Az átadott anyag végén három dolgot emeljen ki:
- mit tud biztosan ebben a kérdésben, és melyik forrás igazolja: „Adatvédelmi incidens: első szervezeti lépések”;
- mi maradt bizonytalan vagy szakértői ellenőrzésre váró kérdés;
- mi a javasolt következő lépés, felelős és határidő.
Gyakori kérdések
Szükséges-e új szoftver?
Nem minden esetben. Előbb döntse el, hogy a problémát szabály, felelősség, oktatás vagy valóban hiányzó rendszerfunkció okozza.
Mit mérjen a változtatás előtt?
A témához közvetlenül kapcsolódó időt, hibát, kapacitást vagy kockázati eseményt, előre rögzített definícióval.
Hogyan kezelje a kivételeket?
Külön rögzítse őket, jelöljön ki döntési felelőst, és csak ismétlődő esetnél építse be őket az alapfolyamatba.
Kapcsolódó cikkek
- Érintetti kérelmek kezelése a gyakorlatban
- Adatvédelmi hatásvizsgálat: mikor merülhet fel?
- Biztonsági mentések praxisokban
Hogyan segíthet a Sessio?
A Sessio saját infrastruktúrára telepíthető, és mezőszintű titkosítással, kétfaktoros hitelesítéssel, részletes jogosultságokkal és auditnaplóval támogatja a praxis intézkedéseit. Kérjen ingyenes bemutatót, és vizsgálják meg együtt az Ön praxisának konkrét folyamatát.
Források
- Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR) – ellenőrizve: 2026. július 27.
- EDPB: adatkezelőknek és adatfeldolgozóknak szóló útmutatók – ellenőrizve: 2026. július 27.
- NAIH – Nemzeti Adatvédelmi és Információszabadság Hatóság – az adott kérdéshez tartozó aktuális állásfoglalás külön ellenőrizendő.