Az adatkezelési tevékenységek nyilvántartása, a DPIA és a váltás lezárása

Modul 9: Emberek és szabályok · Olvasási idő: 12 perc

Tanulási cél: E lecke után Ön képes lesz a váltás után frissíteni az adatkezelési tevékenységek nyilvántartását és az adatvédelmi tájékoztatót, eldönteni, hogy szükséges e DPIA, gondoskodni a régi szolgáltatás rendes törléséről, és egy záró ellenőrzőlistával formálisan lezárni az átállást.

Kulcsfogalmak: adatkezelési tevékenységek nyilvántartása (30. cikk), 250 fő alatti munkavállalói létszámra vonatkozó kivétel, DPIA (35. cikk), a NAIH DPIA listája, adatvédelmi tájékoztató (13. és 14. cikk), címzettek, továbbítás, adatvédelmi incidens bejelentési kötelezettsége (33. cikk), törlés a régi szolgáltatónál, törlési visszaigazolás, kiértékelés, záró ellenőrzőlista

A váltás csak akkor fejeződik be, ha a papírok is rendben vannak

A levelezés működik, a fájlok a helyükön vannak, mindenki az új környezetben dolgozik. Technikai szempontból Ön készen áll. A GDPR szempontjából azonban még van teendő: a dokumentációja még a régi helyzetet írja le. Ha egy ügyfél kérdez, ellenőrzés történik vagy adatvédelmi incidens áll be, Önnek be kell tudnia mutatni, hogy jelenleg hogyan áll a helyzet. Ez a lecke lezárja az átállást.

Ez tájékoztatás, nem jogi tanácsadás.

Az adatkezelési tevékenységek nyilvántartása

A GDPR 30. cikkének (1) bekezdése kötelezi az adatkezelőt, hogy az adatkezelési tevékenységekről nyilvántartást vezessen. Ebben adatkezelésenként (például "ügyfélrendelések", "személyzeti nyilvántartás", "hírlevél") a következők szerepelnek:

• az adatkezelő neve és elérhetőségei (adott esetben az adatvédelmi tisztviselőé);
• az adatkezelés céljai;
• az érintettek és a személyes adatok kategóriái;
• a címzettek, köztük az adatfeldolgozók;
• az Európai Gazdasági Térségen kívüli országokba történő továbbítások, a garanciákkal együtt;
• a megőrzési idők, ahol lehetséges;
• a biztonsági intézkedések általános leírása, ahol lehetséges.

Ez egy kisebb szervezetre is vonatkozik?

A 30. cikk (5) bekezdése kivételt tartalmaz a 250 főnél kevesebb munkavállalót foglalkoztató szervezetek számára. Ez a kivétel azonban nem érvényes, ha az adatkezelés valószínűsíthetően kockázattal jár, ha az nem alkalmi jellegű, vagy ha különleges adatkategóriák (például egészségügyi adatok) vagy büntetőjogi adatok is érintettek. A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) holland megfelelője, az Autoriteit Persoonsgegevens kifejti, hogy a gyakorlatban az adatkezelések ritkán alkalmi jellegűek: amint munkavállalói vagy állandó ügyfelei vannak, strukturálisan kezel adatokat. A Szemcse Pékségnél, ahol bérszámfejtés, ügyfélrendelések és táppénzes bejelentések is vannak, a kivétel tehát nem alkalmazható.

Van egy európai javaslat a nyilvántartási kötelezettség enyhítésére a kisebb szervezetek számára (az úgynevezett Omnibus IV csomag; 2026 júniusában a Tanács és a Parlament ideiglenes megállapodásra jutott). Amíg ez nem lép hatályba, a jelenlegi 30. cikk érvényes. És ezt követően is hasznos marad egy áttekintés: szükség van rá a többi kötelezettség teljesítéséhez.

Mit kell módosítani a váltás után?

Tekintse át a nyilvántartás minden egyes sorát, és igazítsa ki:

Egy váltás remek alkalom arra, hogy a megőrzési idők végre valóban rendezve legyenek. Az adózási nyilvántartásra Hollandiában általában hétéves megőrzési kötelezettség vonatkozik; a jelentkezési adatokra a holland adatvédelmi hatóság (AP) elvben négy hetet javasol az eljárás lezárása után. Ezek a határidők Hollandiára vonatkoznak, Magyarországon más megőrzési idők érvényesek lehetnek; nézzen utána, hogy az Ön ágazatára milyen határidők vonatkoznak.

Szükséges e DPIA-t végeznie?

A DPIA (data protection impact assessment, a GDPR magyar szövegében "adatvédelmi hatásvizsgálat") egy előzetes, strukturált kockázatelemzés. A 35. cikk kötelezővé teszi a DPIA elvégzését, ha egy adatkezelés valószínűsíthetően magas kockázattal jár az érintettekre nézve, különösen új technológia esetén.

Honnan tudja, hogy ez a helyzet áll-e fenn?

1. Az AP listája. A holland Autoriteit Persoonsgegevens 2019-ben közzétett egy listát tizenhét olyan adatkezelés típusról, amelyeknél a DPIA mindig kötelező. Ezek között szerepel többek között az egészségügyi adatok nagy léptékű kezelése, a kamerás megfigyelés, a munkavállalók megfigyelése, a kommunikációs adatok, a helymeghatározási adatok, a profilalkotás és a biometrikus adatok kezelése. Minden uniós tagállam adatvédelmi hatósága (így a magyar NAIH is) saját DPIA listát tesz közzé a GDPR 35. cikk (4) bekezdése alapján.
2. Az európai kritériumok. Az európai adatvédelmi hatóságok kilenc kritériumot dolgoztak ki (például érzékeny adatok, nagy léptékűség, kiszolgáltatott érintettek, rendszerszintű megfigyelés, új technológia). Ha egy adatkezelés kettő vagy több kritériumnak megfelel, a DPIA általában szükséges.

Egy olyan pékség esetében, amely a levelezését és fájljait helyezi át, a DPIA általában nem kötelező. Egy háziorvosi rendelő esetében, amely a betegekkel folytatott kommunikációját egy új szolgáltatáshoz helyezi át, vagy egy iskola esetében, amely tanulói adatokat kezel, a helyzet más. Akkor is hasznos lehet egy rövid kockázatelemzés, ha az nem kötelező. Az 1.5. leckében bemutatott mérlegelés erre jó kiindulópont. Ha már van DPIA-ja a régi szolgáltatásra, frissítse azt.

Az adatvédelmi tájékoztató

Az adatvédelmi tájékoztatóban tájékoztatja az érintetteket (ügyfeleket, jelentkezőket, honlaplátogatókat) arról, hogyan kezeli az adataikat (13. és 14. cikk). Ebben szerepelnek többek között a címzettek vagy a címzettek kategóriái, valamint az esetleges EGT-n kívüli továbbítások. Ha korábban az szerepelt, hogy "amerikai egyesült államokbeli vállalatok szolgáltatásait használjuk a Data Privacy Framework alapján", akkor ezt módosítsa. Ne változtasson meg olyat, ami nem felel meg a valóságnak: csak azt nevezze meg, amit ténylegesen biztosan tud az adatfeldolgozási szerződésből és az alvállalkozói listából.

Adatvédelmi incidensek: tudja, kit hívjon

A váltás után a szolgáltatója megváltozott, így az adatvédelmi incidens esetén követendő útvonal is. Rögzítse az eljárásában:

• az új szolgáltató elérhetőségét biztonsági incidensek esetére;
• azt a határidőt, amelyen belül a szolgáltató az adatfeldolgozási szerződés szerint tájékoztatja Önt;
• ki dönt az Ön szervezetén belül arról, hogy be kell-e jelenteni, hiszen a felügyeleti hatóságnál történő bejelentésnek a felfedezéstől számított 72 órán belül kell megtörténnie (33. cikk);
• hol vezeti az adatvédelmi incidensek nyilvántartását: azokat az incidenseket is belsőleg rögzítenie kell, amelyeket nem kell bejelentenie (33. cikk (5) bekezdés).

Lezárás a régi szolgáltatónál

A régi szolgáltatást csak akkor mondja fel, ha minden néhány hétig jól működött (3.3. lecke). Ezután:

1. Utolsó ellenőrzés: minden átkerült? Vannak még megosztott mappák, űrlapok vagy kapcsolódások, amelyek még a régi szolgáltatóra mutatnak?
2. Exportáljon egy utolsó archívumot a saját nyilvántartása céljára, ha ezt meg szeretné őrizni (például a megőrzési kötelezettség alá eső levelezést). Tárolja titkosítva.
3. Törölje a fiókokat és adatokat a régi szolgáltatónál, vagy kérje a törlésüket. A 28. cikk (3) bekezdés g) pontja kötelezi a régi adatfeldolgozót, hogy a szolgáltatás végén az Ön választása szerint törölje vagy adja vissza az adatokat. Kérjen törlési visszaigazolást, és őrizze meg a nyilvántartása mellett.
4. Rendezze a kapcsolódásokat: a más szolgáltatásoknál lévő "bejelentkezés ezzel" kapcsolódásokat, a hozzáféréssel rendelkező alkalmazásokat, valamint a DNS-ben lévő hitelesítési rekordokat (4.3. lecke).
5. Igazítsa ki a nyilvántartását, az adatvédelmi tájékoztatóját és az adatvédelmi incidens eljárását (lásd fent).

Kiértékelés

Tervezzen egy rövid kiértékelést egy hónappal a váltás után a nagykövetekkel (9.1. lecke). Mi ment jól, mi nem, mit csinálna legközelebb másképp? Jegyezze fel az új szolgáltatásra vonatkozó exit-tervét is (8.2. lecke), és tűzzön ki egy időpontot a naptárban az éves teszteléshez.

Gyakorlatban: így néz ki ez egy szolgáltatónál

Sok szolgáltató rendelkezik olyan funkcióval, amellyel letöltheti az adatait, vagy töröltetheti a fiókját. A WebOké esetében a WebOké kézikönyvben található leírás arról, hogyan töltheti le vagy töröltetheti az adatait. A nagy amerikai szolgáltatásoknál ezt általában "adatok exportálása" és "fiók törlése" néven nevezik, és egy szervezeti fiók adminisztrátora saját exportálási funkciókkal rendelkezik. Előre olvassa el, hogy a szolgáltatás törlés után mennyi ideig őrzi még az adatokat a biztonsági mentésekben; ez gyakran az adatvédelmi tájékoztatóban vagy az adatfeldolgozási szerződésben szerepel.

Záró ellenőrzőlista

• [ ] A leltár (3.1. lecke) minden eleme megtalálható az új környezetben, és ellenőrzésre került
• [ ] Az új szolgáltató(k)kal megkötött adatfeldolgozási szerződés(ek) megkötve és megőrizve (9.2. lecke)
• [ ] Az adatkezelési tevékenységek nyilvántartása frissítve: címzettek, továbbítások, biztonság, megőrzési idők
• [ ] A DPIA szükségessége kiértékelve (szükséges vagy sem, és az indoklás rögzítve)
• [ ] Az adatvédelmi tájékoztató módosítva
• [ ] Az adatvédelmi incidens eljárás az új elérhetőségekkel frissítve
• [ ] A régi szolgáltatás felmondva, az adatok törölve, a visszaigazolás megőrizve
• [ ] A kapcsolódások és a régi DNS-rekordok rendezve
• [ ] Az új környezet biztonsági mentése kialakítva és tesztelve (8.1. lecke)
• [ ] Az új szolgáltatásra vonatkozó exit-terv rögzítve (8.2. lecke)
• [ ] A kiértékelés megtörtént

Összefoglalás

• A váltás után frissítse az adatkezelési tevékenységek nyilvántartását: címzettek, továbbítások, biztonság és megőrzési idők.
• A 250 főnél kevesebb munkavállalóra vonatkozó kivétel a gyakorlatban ritkán alkalmazható; az enyhítésére irányuló javaslat még nem lépett hatályba (2026 novemberi állapot szerint).
• A DPIA magas kockázat esetén kötelező (NAIH-lista, európai kritériumok); szokásos irodai adatoknál általában nem.
• Igazítsa ki az adatvédelmi tájékoztatóját és az adatvédelmi incidens eljárását.
• Töröltesse az adatait a régi szolgáltatóval, és kérjen visszaigazolást.

Kvíz

Feladat

E9.3 feladat: Zárja le a váltást. Frissítse a szervezete három adatkezelésének sorait az adatkezelési tevékenységek nyilvántartásában (címzettek, továbbítás, biztonság, megőrzési idő), a NAIH-lista és az európai kritériumok alapján állapítsa meg, szükséges-e DPIA, és töltse ki a záró ellenőrzőlistát.

További olvasnivaló

Az ezekben a cikkekben leírt lépések a WebOké szolgáltatásaira érvényesek; más szolgáltatóknál hasonlóan működik.

• WebOké útmutató 11.7: Adatvédelem: adatai letöltése vagy törlése
• Nextcloud kézikönyv 16.7: Kolléga távozik: fájlok, naptár és megosztott mappák biztonságos átvétele
• Nextcloud kézikönyv 15.13: Gyakori kérdések a biztonságról és az adatvédelemről
• Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR), 13., 14., 28., 30., 33. és 35. cikk, az EUR-Lex oldalán
• A személyes adatok olyan adatkezeléseinek listájáról szóló határozat, amelyeknél a DPIA kötelező (holland Autoriteit Persoonsgegevens, Stcrt. 2019), a wetten.overheid.nl oldalán (BWBR0042812); a magyar NAIH saját DPIA listát tesz közzé a GDPR 35. cikk (4) bekezdése alapján
• Autoriteit Persoonsgegevens (a holland adatvédelmi hatóság), "Register van verwerkingsactiviteiten" és "DPIA" témakörök: https://www.autoriteitpersoonsgegevens.nl