Szakmai korlát: Ez a cikk általános tájékoztatás, nem személyre szabott jogi tanács. A pontos kötelezettségeket a praxis tevékenysége és körülményei alapján, magyar adatvédelmi szakemberrel ellenőrizze.
Röviden: Az al-adatfeldolgozó bevonásához a GDPR 28. cikke szerinti előzetes különös vagy általános írásbeli felhatalmazás szükséges, és az adatkezelőnek általános felhatalmazásnál valódi lehetőséget kell kapnia a változás kifogásolására. Azonos védelmi kötelezettségeket kell továbbadni a láncban.
A jogi szerep vagy kötelezettség tényalapú vizsgálata
A szerződés elnevezése helyett a tényleges döntéseket, utasításokat, adatáramlást és kockázatokat vizsgálja. Az eredményt dokumentálja, és a konkrét minősítést adatvédelmi szakemberrel ellenőriztesse. A listát a praxis saját folyamataihoz és felelőseihez igazítsa a következő téma vizsgálatakor: „Al-adatfeldolgozók ellenőrzése lépésről lépésre”.
- adatkezelési cél;
- lényeges eszközök feletti döntés;
- szolgáltatói utasítás és önálló cél;
- feldolgozási lánc;
- érintetti kockázat;
Feldolgozási lánc nyilvántartása
Tartsa nyilván minden résztvevő nevét, címét, feladatát, adatkezelési helyét és az általa elérhető adatfajtákat. A lista terjedjen ki például a tárhelyre, mentésre, e-mail- és SMS-küldésre, támogatásra és monitorozásra.
Általános írásbeli felhatalmazás esetén a szolgáltatónak előre tájékoztatnia kell a tervezett változásról, hogy az adatkezelő kifogást emelhessen. A praxis határozza meg, milyen információ és mennyi felkészülési idő szükséges az érdemi kockázatértékeléshez.
Három szempont, amelyet érdemes külön megvizsgálnia
Cél és felelősség
Dokumentálja, milyen célból, milyen szerepben és milyen jogalappal történik az adatkezelés. A szolgáltató marketingállítása ezt nem helyettesíti.
Hozzáférés és biztonság
Alkalmazzon feladathoz igazított jogosultságot, erős hitelesítést, megfelelő titkosítást, naplózást, mentést és rendszeres felülvizsgálatot.
Bizonyíthatóság
A praxisnak nemcsak megfelelnie, hanem ezt dokumentumokkal, szerződésekkel és működő eljárásokkal igazolnia is kell.
Javasolt munkamódszer: Adatáramlási vázlat
A következő témát ne kizárólag megbeszélésen próbálja rendezni: „Al-adatfeldolgozók ellenőrzése lépésről lépésre”. Kövesse végig, hol keletkezik az adat, ki módosítja, hová másolják, és mikor válik feleslegessé.
A módszer lépései
- A vizsgálathoz („Al-adatfeldolgozók ellenőrzése lépésről lépésre”) jelöljön ki egy felelőst és egy rövid, belátható időszakot.
- Dolgozzon valósághű, de személyes adatot nem tartalmazó példával.
- Rögzítse a tényeket és a kivételeket; a feltételezéseket külön jelölje.
- A végén hozzon dokumentált döntést, határidővel és felülvizsgálati dátummal.
Külön ellenőrizze:
- adatforrás;
- másolatok;
- hozzáférők;
- megőrzés és lezárás;
Mitől tekinthető lezártnak?
A vizsgálat akkor zárható le, ha a döntésnek megnevezett felelőse, végrehajtható határideje és mérhető eredménye van. Ennél a témánál („Al-adatfeldolgozók ellenőrzése lépésről lépésre”) külön rögzítse azt is, melyik régi gyakorlat szűnik meg, milyen kivételek maradnak emberi mérlegelésben, és mikor ellenőrzik először, hogy az új működés nem hozott-e létre újabb párhuzamos adminisztrációt.
Gyakorlati példa
Egy rendelő a adatvédelem területén ezzel a módszerrel vizsgálja a következő kérdést: „Al-adatfeldolgozók ellenőrzése lépésről lépésre”. Az asszisztens összegyűjti a napi tényeket, a szakember jelzi a szakmai kivételeket, a vezető pedig csak az egységes adatok és a kipróbált eset alapján dönt. Így a változtatás oka, felelőse és várható eredménye később is visszakövethető.
Ha Ön kapta a kutatási feladatot
Belső interjú
Beszéljen a vezetővel, egy napi adminisztrációt végző munkatárssal és egy szakemberrel. Az eltérő válaszokat ne átlagolja: ezek jelzik a tisztázandó folyamatokat. A döntés-előkészítés tárgya: „Al-adatfeldolgozók ellenőrzése lépésről lépésre”.
Az átadott anyag végén három dolgot emeljen ki:
- mit tud biztosan ebben a kérdésben, és melyik forrás igazolja: „Al-adatfeldolgozók ellenőrzése lépésről lépésre”;
- mi maradt bizonytalan vagy szakértői ellenőrzésre váró kérdés;
- mi a javasolt következő lépés, felelős és határidő.
Gyakori kérdések
Mit dokumentáljon?
A célt, a jelenlegi állapotot, a döntési szempontokat, a kiválasztott megoldást, a felelőst és a felülvizsgálat dátumát.
Meddig őrizze meg a döntési anyagot?
A belső szabályokhoz, jogi kötelezettségekhez és bizonyíthatósági igényhez igazodó ideig. Érzékeny adatot csak indokolt körben tartalmazzon.
Mi történjen változáskor?
Vizsgálja felül a folyamatot, jogosultságokat, tájékoztatást, oktatást és a kapcsolódó dokumentumokat.
Kapcsolódó cikkek
- Adatminimalizálás pszichológiai rendelőben
- Jogosultságkezelés érzékeny páciensadatoknál
- Mit tartalmazzon az adatfeldolgozói szerződés?
Hogyan segíthet a Sessio?
A Sessio saját infrastruktúrára telepíthető, és mezőszintű titkosítással, kétfaktoros hitelesítéssel, részletes jogosultságokkal és auditnaplóval támogatja a praxis intézkedéseit. Kérjen ingyenes bemutatót, és vizsgálják meg együtt az Ön praxisának konkrét folyamatát.
Források
- Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR) – ellenőrizve: 2026. július 27.
- EDPB: adatkezelőknek és adatfeldolgozóknak szóló útmutatók – ellenőrizve: 2026. július 27.
- NAIH – Nemzeti Adatvédelmi és Információszabadság Hatóság – az adott kérdéshez tartozó aktuális állásfoglalás külön ellenőrizendő.