Fontos: ez az útmutató általános döntéstámogató tájékoztatás, nem személyre szabott jogi tanács. A pszichológiai szolgáltatás pontos jogi minősítése, az alkalmazandó magyar ágazati szabályok, a jogalap és a megőrzési idő a praxis tevékenységétől és körülményeitől függ. Publikálás és alkalmazás előtt kérje magyar adatvédelmi szakember ellenőrzését.
Röviden: praxiskezelő választásakor ne „GDPR-tanúsítványt” keressen. Vizsgálja meg az adatkezelői és adatfeldolgozói szerepeket, a kezelt adatok körét és jogalapját, az adattárolás helyét, a szerződést és al-adatfeldolgozókat, a jogosultságokat, hitelesítést, titkosítást, naplózást, mentést, incidenskezelést, exportot és törlést.
Miért különösen érzékeny ez a terület?
A GDPR 9. cikke különleges adatként nevesíti többek között az egészségügyi adatokat. Pszichológiai vagy fejlesztési dokumentáció tartalma a konkrét szolgáltatástól függően egészségügyi adatot vagy más, rendkívül érzékeny információt tartalmazhat. A minősítést nem a fájl neve, hanem az adat tartalma és felhasználása dönti el.
A 9. cikk szerinti kivétel mellett rendszerint a GDPR 6. cikke szerinti jogalapot és az esetleges magyar ágazati szabályokat is külön meg kell határozni. Az explicit hozzájárulás nem automatikusan az egyetlen vagy a legjobb jogalap.
A szoftver nem teszi önmagában megfelelővé a praxist
A megfelelés szervezeti rendszer. Része lehet:
- adatkezelési cél és jogalap;
- átlátható tájékoztatás;
- adatminimalizálás és megőrzési rend;
- hozzáférési szabály;
- adatfeldolgozói szerződés;
- incidenskezelés;
- érintetti kérelmek folyamata;
- oktatás és ellenőrzés;
- megfelelő technikai védelem.
Egy jó praxiskezelő ezeket támogathatja, de nem helyettesíti a döntéseket és dokumentumokat.
10 kérdés a rendszer szolgáltatójához
1. Ki az adatkezelő, és ki az adatfeldolgozó?
Az adatkezelő határozza meg az adatkezelés célját és lényeges eszközeit; az adatfeldolgozó az adatkezelő utasításai szerint jár el. Egy szolgáltató különböző műveleteknél eltérő szerepben is lehet, ezért a szerződést és a tényleges működést együtt kell nézni.
2. Van megfelelő adatfeldolgozói szerződés?
A GDPR 28. cikke részletes tartalmi követelményeket ír elő. Ellenőrizze többek között az utasítás szerinti kezelést, titoktartást, biztonságot, al-adatfeldolgozókat, incidensek és érintetti kérelmek támogatását, valamint a szerződés végi törlést vagy visszaadást.
3. Kik az al-adatfeldolgozók?
Az adatkezelőnek ismernie kell a feldolgozási láncot. Kérdezzen rá a tárhelyre, üzenetküldésre, mentésre, támogatásra és a változások értesítési módjára.
4. Hol találhatók az adatok?
Vizsgálja meg az elsődleges tárhelyet, a mentéseket, a naplókat, az Európai Gazdasági Térségen kívüli hozzáférést vagy továbbítást és az ezekhez használt garanciákat.
5. Mennyire részletes a jogosultságkezelés?
A GDPR adatvédelem alapértelmezés szerint elve alapján a hozzáférés igazodjon a feladathoz. Ne legyen minden munkatárs automatikusan teljes hozzáférésű.
6. Van erős hitelesítés?
Ellenőrizze a kétfaktoros hitelesítést, jelszóházirendet, sikertelen belépések védelmét és a fiókok gyors letiltását.
7. Hogyan működik a titkosítás?
Kérdezze meg, mi titkosított továbbításkor és tároláskor, hogyan kezelik a kulcsokat, és mely műveleteknél férhet hozzá olvasható adathoz a szolgáltató.
8. Mit tartalmaz az auditnapló?
Hasznos lehet a megtekintés, módosítás, export, jogosultságváltozás és belépési kísérlet naplózása. Tisztázza a hozzáférést és a megőrzési időt.
9. Mi történik incidensnél?
Legyen dokumentált és kipróbálható értesítési, kivizsgálási és helyreállítási folyamat. Az adatfeldolgozónak indokolatlan késedelem nélkül jeleznie kell az incidenst az adatkezelőnek; az adatkezelő hatósági és érintetti kötelezettségei kockázatfüggők.
10. Hogyan vihetők ki vagy törölhetők az adatok?
Kérjen választ a géppel olvasható exportra, a mentések kezelésére, a szerződés megszűnésére, az érintetti kérelmek támogatására és a törlés igazolhatóságára.
Szükséges-e adatvédelmi hatásvizsgálat?
A GDPR 35. cikke szerint hatásvizsgálat szükséges, ha egy adatkezelés – különösen új technológia alkalmazásával – valószínűsíthetően magas kockázattal jár az érintettek jogaira és szabadságaira. A különleges adatok nagy számban történő kezelése kifejezett vizsgálati szempont. Hogy egy konkrét praxisnak kötelező-e, az adatkezelés jellegétől, terjedelmétől, körülményeitől és céljától függ; ezt ne általános blogcikk alapján döntse el.
Magyar egészségügyi adatkezelési szabályok
A GDPR mellett releváns lehet az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről szóló 1997. évi XLVII. törvény, valamint más szakmai és ágazati előírás. Alkalmazhatóságuk attól függ, milyen szolgáltatást, milyen jogállásban nyújt a praxis. A dokumentáció tartalmára és megőrzésére ezért nem adható minden pszichológusra egységes válasz.
Ha Ön kapta a kutatási feladatot
Ne vállalja át a jogi döntést. Gyűjtse össze:
- a szolgáltatói és al-adatfeldolgozói listát;
- a szerződésmintákat;
- a tárolási helyeket;
- a biztonsági funkciók leírását;
- az export-, törlési és incidensfolyamatot;
- a nyitott kérdéseket.
Ezt adja át a vezetőnek és az adatvédelmi szakembernek ellenőrizhető forrásokkal.
Gyakori kérdések
Létezik hivatalos „GDPR-kompatibilis” szoftverminősítés?
Egy általános marketingállítás önmagában nem igazolja a megfelelést. Kérjen konkrét technikai, szerződéses és szervezeti bizonyítékot; esetleges tanúsítvány esetén ellenőrizze annak hatályát.
Mindig hozzájárulás kell pszichológiai adatok kezeléséhez?
Nem állítható általánosan. A 6. és 9. cikk szerinti jogalapokat, valamint a magyar ágazati szabályokat az adott szolgáltatásra kell meghatározni.
Biztonságosabb a saját szerver?
Nagyobb kontrollt adhat, de nagyobb üzemeltetési felelősséggel jár. A biztonságot a teljes architektúra, konfiguráció, frissítés, mentés, hozzáférés és működtetés együtt határozza meg.
Kell adatvédelmi tisztviselő egy praxisnak?
Nem minden praxisnak automatikusan. A GDPR 37. cikke szerinti feltételeket – például a különleges adatok nagy számban történő, alaptevékenységként végzett kezelését – a konkrét működés alapján kell értékelni.
Mennyi ideig őrizhető meg a dokumentáció?
A cél, a jogalap, a szolgáltatás jogi minősítése és az alkalmazandó ágazati szabályok döntik el. Készítsen adatfajtánkénti megőrzési rendet szakértői ellenőrzéssel.
Kapcsolódó cikkek
- Digitális páciensnyilvántartás
- Excel vagy praxiskezelő rendszer?
- Hogyan válasszon praxiskezelő rendszert?
Adatvédelemre tervezett működés
A Sessio saját, választott infrastruktúrára telepíthető; mezőszintű titkosítást, blind-index alapú keresést, kétfaktoros hitelesítést, szerepköralapú jogosultságokat és auditnaplót kínál. Ezek a funkciók támogathatják a praxis intézkedéseit, de nem helyettesítik az egyedi megfelelési munkát. Kérjen szakmai bemutatót.
Források
- Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR), különösen 5., 6., 9., 25., 28., 32–35. és 37. cikk – ellenőrizve: 2026. július 27.
- EDPB: Guidelines 07/2020 on the concepts of controller and processor – ellenőrizve: 2026. július 27.
- EDPB: Data controller or data processor – SME guide – ellenőrizve: 2026. július 27.
- EDPB: Secure personal data – SME guide – ellenőrizve: 2026. július 27.
- 1997. évi XLVII. törvény az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről – hatály és alkalmazhatóság egyedileg ellenőrizendő; ellenőrizve: 2026. július 27.