Szakmai korlát: Ez a cikk általános tájékoztatás, nem személyre szabott jogi tanács. A pontos kötelezettségeket a praxis tevékenysége és körülményei alapján, magyar adatvédelmi szakemberrel ellenőrizze.
Röviden: A GDPR 28. cikke alapján a szerződésnek többek között rendeznie kell az adatkezelés tárgyát és időtartamát, jellegét és célját, az adatok és érintettek körét, az utasításokat, titoktartást, biztonságot, al-adatfeldolgozókat, közreműködést, törlést vagy visszaadást és az ellenőrzés lehetőségét.
A jogi szerep vagy kötelezettség tényalapú vizsgálata
A szerződés elnevezése helyett a tényleges döntéseket, utasításokat, adatáramlást és kockázatokat vizsgálja. Az eredményt dokumentálja, és a konkrét minősítést adatvédelmi szakemberrel ellenőriztesse. A listát a praxis saját folyamataihoz és felelőseihez igazítsa a következő téma vizsgálatakor: „Mit tartalmazzon az adatfeldolgozói szerződés”.
- adatkezelési cél;
- lényeges eszközök feletti döntés;
- szolgáltatói utasítás és önálló cél;
- feldolgozási lánc;
- érintetti kockázat;
A GDPR 28. cikke szerinti tartalmi ellenőrzőlista
A megállapodás legalább rendezze:
- az adatkezelés tárgyát, időtartamát, jellegét és célját;
- a személyes adatok típusait, az érintettek kategóriáit és az adatkezelő jogait;
- a dokumentált utasítások követését és a titoktartást;
- a 32. cikk szerinti biztonsági intézkedéseket;
- az al-adatfeldolgozók engedélyezését és kötelezettségeit;
- az érintetti kérelmek, incidensek és hatásvizsgálatok támogatását;
- a szolgáltatás végén a törlést vagy visszaadást;
- a megfelelés igazolását, auditot és ellenőrzést.
A szerződés mellett a technikai mellékleteket és a tényleges szolgáltatást is ellenőrizze. Az általános ígéret nem pótolja a konkrét adatfajtát, helyszínt, al-adatfeldolgozót és biztonsági felelőst.
Három szempont, amelyet érdemes külön megvizsgálnia
Cél és felelősség
Dokumentálja, milyen célból, milyen szerepben és milyen jogalappal történik az adatkezelés. A szolgáltató marketingállítása ezt nem helyettesíti.
Hozzáférés és biztonság
Alkalmazzon feladathoz igazított jogosultságot, erős hitelesítést, megfelelő titkosítást, naplózást, mentést és rendszeres felülvizsgálatot.
Bizonyíthatóság
A praxisnak nemcsak megfelelnie, hanem ezt dokumentumokkal, szerződésekkel és működő eljárásokkal igazolnia is kell.
Javasolt munkamódszer: Kivételnapló
A következő témát ne kizárólag megbeszélésen próbálja rendezni: „Mit tartalmazzon az adatfeldolgozói szerződés”. Két héten át gyűjtse azokat az eseteket, amelyekben a munkatársak eltértek a szokásos folyamattól.
A módszer lépései
- A vizsgálathoz („Mit tartalmazzon az adatfeldolgozói szerződés”) jelöljön ki egy felelőst és egy rövid, belátható időszakot.
- Dolgozzon valósághű, de személyes adatot nem tartalmazó példával.
- Rögzítse a tényeket és a kivételeket; a feltételezéseket külön jelölje.
- A végén hozzon dokumentált döntést, határidővel és felülvizsgálati dátummal.
Külön ellenőrizze:
- kivétel oka;
- ideiglenes megoldás;
- ráfordított idő;
- megelőzési lehetőség;
Mitől tekinthető lezártnak?
A vizsgálat akkor zárható le, ha a döntésnek megnevezett felelőse, végrehajtható határideje és mérhető eredménye van. Ennél a témánál („Mit tartalmazzon az adatfeldolgozói szerződés”) külön rögzítse azt is, melyik régi gyakorlat szűnik meg, milyen kivételek maradnak emberi mérlegelésben, és mikor ellenőrzik először, hogy az új működés nem hozott-e létre újabb párhuzamos adminisztrációt.
Gyakorlati példa
Egy rendelő a adatvédelem területén ezzel a módszerrel vizsgálja a következő kérdést: „Mit tartalmazzon az adatfeldolgozói szerződés”. Az asszisztens összegyűjti a napi tényeket, a szakember jelzi a szakmai kivételeket, a vezető pedig csak az egységes adatok és a kipróbált eset alapján dönt. Így a változtatás oka, felelőse és várható eredménye később is visszakövethető.
Ha Ön kapta a kutatási feladatot
Szolgáltatói kérdéslista
Ugyanazokat a kérdéseket küldje el minden szolgáltatónak. A marketingválasz mellé kérjen képernyős bemutatót, dokumentációt vagy szerződéses hivatkozást. A döntés-előkészítés tárgya: „Mit tartalmazzon az adatfeldolgozói szerződés”.
Az átadott anyag végén három dolgot emeljen ki:
- mit tud biztosan ebben a kérdésben, és melyik forrás igazolja: „Mit tartalmazzon az adatfeldolgozói szerződés”;
- mi maradt bizonytalan vagy szakértői ellenőrzésre váró kérdés;
- mi a javasolt következő lépés, felelős és határidő.
Gyakori kérdések
Kell-e pilot?
Nagyobb vagy érzékeny változtatásnál erősen ajánlott. A pilot csökkenti a kockázatot és láthatóvá teszi a rejtett kivételeket.
Kik vegyenek részt?
A folyamat vezetője, legalább egy napi felhasználó és egy érintett szakember. Jogi vagy adatvédelmi kérdésnél megfelelő szakértő is.
Mikor terjessze ki a megoldást?
Ha a próba célértéke teljesült, a hibák kezelhetők, a felelősségek tiszták, és a felhasználók elvégezték a szükséges oktatást.
Kapcsolódó cikkek
- Al-adatfeldolgozók ellenőrzése lépésről lépésre
- Adatminimalizálás pszichológiai rendelőben
- Adatkezelő vagy adatfeldolgozó? Szerepek a praxisban
Hogyan segíthet a Sessio?
A Sessio saját infrastruktúrára telepíthető, és mezőszintű titkosítással, kétfaktoros hitelesítéssel, részletes jogosultságokkal és auditnaplóval támogatja a praxis intézkedéseit. Kérjen ingyenes bemutatót, és vizsgálják meg együtt az Ön praxisának konkrét folyamatát.
Források
- Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR) – ellenőrizve: 2026. július 27.
- EDPB: adatkezelőknek és adatfeldolgozóknak szóló útmutatók – ellenőrizve: 2026. július 27.
- NAIH – Nemzeti Adatvédelmi és Információszabadság Hatóság – az adott kérdéshez tartozó aktuális állásfoglalás külön ellenőrizendő.