GDPR.
Kezelje jogszerűen a személyes adatokat, védje a jogokat, és igazolja követhetően a megvalósítást.
- (EU) 2016/679 rendelet · BDSG
- Szerző: Derya Altinay
- Állapot: 2026. 10. 22.
- Olvasási idő: 8 perc
Rövid válasz.
A GDPR a személyes adatok kezelését szabályozza az európai alkalmazási területen. A vállalatoknak megfelelő jogalapokra, átlátható tájékoztatásra, az érintetti jogok érvényesítésének eljárásaira és kockázatarányos védelmi intézkedésekre van szükségük. Az 5. cikk alapján az adatkezelők elszámoltathatók: igazolniuk kell tudniuk az alapelvek betartását. Az adatfeldolgozóknak saját kötelezettségeik vannak, és támogatják az adatkezelőt kötelezettségei teljesítésében.
GDPR: adatvédelem az informatikai biztonságon túl.
Az általános adatvédelmi rendelet közvetlenül alkalmazandó uniós jog a természetes személyek személyes adataik kezelése során történő védelmére. Az (EU) 2016/679 rendelet 2018. május 25. óta alkalmazandó; angol rövidítése GDPR. Németországban különösen a szövetségi adatvédelmi törvény és az ágazatspecifikus előírások egészítik ki az európai keretet.
A GDPR először azt vizsgálja, megengedett-e az adatkezelés, és milyen célból. Egy biztonságos adatbázis még nem válaszolja meg, szükségesek-e a gyűjtött információk, és meddig tárolhatók. A GDPR 5. és 6. cikke az alapelveket és jogalapokat kapcsolja össze; ezen a kereten belül a 32. cikk az adatkezelés biztonságára vonatkozik.
Az adatvédelem folyamatos feladat marad, mert a célok, az adatáramlások és az alkalmazott szolgáltatások változnak. Az adatkezelőnek a GDPR 24. cikke alapján megfelelő intézkedéseket kell hoznia, azok megfelelőségét ellenőriznie és szükség esetén aktualizálnia kell. Egy egyszer kitöltött dokumentum nem helyettesíti ezt a folyamatos értékelést.
Mely vállalatokra vonatkozik a GDPR?
A GDPR a 2. cikk alapján az ott meghatározott személyesadat-kezelésre vonatkozik, függetlenül attól, nagy vagy kis vállalatról van-e szó. Ide tartoznak például az ügyféladatok, pályázati anyagok vagy személyes adatot tartalmazó ügyféltámogatási tartalmak. Az álnevesített adatok is személyes adatok maradnak, ha egy személy kiegészítő információval azonosítható; a ténylegesen anonim információk más megítélés alá esnek.
A területi hatályt a GDPR 3. cikke határozza meg. Az uniós tevékenységi hely keretében végzett adatkezeléseken kívül az EU-ban tartózkodó személyeknek szóló bizonyos ajánlatok vagy magatartásuk EU-n kívüli vállalatok általi megfigyelése is ide tartozhat. Önmagában a szerver helye vagy egy weboldal elérhetősége nem dönti el a kérdést.
A szerepet a konkrét tevékenységhez határozzák meg: az adatkezelők döntenek a célokról és eszközökről, az adatfeldolgozók megbízásból kezelnek adatokat. Egy szervezet tevékenységenként különböző szerepeket tölthet be. Közös adatkezelésnél, illetve adatfeldolgozásnál a GDPR 26. és 28. cikke megfelelő szabályozást követel meg; egy szerződés címe önmagában nem tisztázza a tényleges szerepet.
A GDPR követelményei a vállalatok számára.
A GDPR követelményei a jogi döntéseket az adatkezelés tényleges működésével kapcsolják össze. Hét munkaterület segíti a tájékozódást; a további különös kötelezettségek a szereptől, az adatoktól, a tevékenységtől és az érintett emberek kockázataitól függenek.
Az alapelvek és jogalapok meghatározása.
A GDPR 5. és 6. cikke jogszerű, célhoz kötött és követhető adatkezelést követel meg. Korlátozza az adatokat és megőrzésüket a szükségesre, és tartsa pontosan az információkat. A hozzájárulás az egyik lehetséges jogalap; feltételei éppúgy nem hagyhatók figyelmen kívül, mint más jogalapokéi.
Az átláthatóság és az érintetti jogok biztosítása.
A GDPR 12–22. cikke az érthető tájékoztatással és az olyan jogokkal foglalkozik, mint a hozzáférés, helyesbítés vagy törlés. A jogoknak eltérő feltételeik és kivételeik vannak. A felelősségi köröknek, adatkeresésnek, személyazonosság-ellenőrzésnek és biztonságos válasznak összhangban kell lennie; egy adatvédelmi tájékoztató önmagában még nem dolgoz fel kérelmet.
A felelősség és a szolgáltatók megszervezése.
A GDPR 24–30. cikke a szervezeti kötelezettségeket, az adatvédelmet szolgáló kialakítást, a szerepeket és nyilvántartásokat rendezi. A 28. cikk szerinti adatfeldolgozás a megfelelő szerződéses alap mellett elegendő szolgáltatói garanciát is igényel. Az értékelésbe a ténylegesen igénybe vett további adatfeldolgozók és adatútvonalak tartoznak, nem csupán az általános szerződési feltételek.
A GDPR 32. cikkének hatékony intézkedésekké alakítása.
A technikai és szervezési intézkedéseknek a kockázatnak megfelelő biztonsági szintet kell teremteniük. A GDPR 32. cikke figyelembe veszi az adatkezelés környezetét, a technika állását, a költségeket, valamint az embereket érő lehetséges következmények valószínűségét és súlyosságát. Kockázattól függően ide tartozik a hozzáférés védelme, a titkosítás, a helyreállíthatóság és a hatékonyság rendszeres vizsgálata; egy rögzített univerzális lista nem elegendő.
A különleges kockázatok és a tanácsadás vizsgálata.
A GDPR 35. cikke szerinti adatvédelmi hatásvizsgálatot az adatkezelés előtt el kell végezni, ha az várhatóan magas kockázatot jelent a jogokra és szabadságokra. Vizsgálja meg az adatvédelmi tisztviselő kijelölésének feltételeit is a 37. cikk és kiegészítésként a § 38 BDSG alapján. A tanácsadói funkció nem helyettesíti az adatkezelésért viselt felelősséget.
Adatvédelmi incidensek értékelése és bejelentése.
A GDPR 33. cikke főszabály szerint az illetékes felügyeleti hatóságnak történő bejelentést követeli meg, kivéve ha az incidens várhatóan nem jár kockázattal a jogokra és szabadságokra. A 34. cikk külön szabályozza az érintett személyek tájékoztatását várhatóan magas kockázat esetén. Az adatfeldolgozók haladéktalanul tájékoztatják az adatkezelőt; az incidens dokumentálása önálló kötelezettség marad.
Harmadik országba irányuló adattovábbítások külön biztosítása.
A GDPR V. fejezete további követelményeket állít a harmadik országokba történő adattovábbításra. Vizsgálja meg a tényleges címzetteket, hozzáféréseket és az irányadó továbbítási mechanizmust. A megengedett adattovábbítás sem az adatkezelés jogalapját, sem a többi adatvédelmi kötelezettséget nem helyettesíti; az uniós tárhelyszolgáltatási hely sem válaszol meg minden külső hozzáférési kérdést.
A GDPR megvalósítása folyamatos tevékenység.
Az adatkezelések és szerepek lehatárolása.
Gyakorlati kezdésként rögzítse egy konkrét tevékenység céljait, érintettjeit, adatait, rendszereit és címzettjeit, és tisztázza, ki mely döntésért felel.
A jogszerűség és a tájékoztatás vizsgálata.
Értékelje a jogalapokat, a szükségességet és a megőrzést, és vesse össze a tényleges adatkezelést az érintetteknek adott tájékoztatással.
A kockázatok és különös kötelezettségek értékelése.
Az adatkezelés bevezetése vagy lényeges módosítása előtt vizsgálja meg az embereket érő kockázatokat és az adatvédelmi hatásvizsgálat, adatvédelmi tisztviselő, adatfeldolgozás és harmadik országbeli adattovábbítás feltételeit.
Az intézkedések megvalósítása és ellenőrzése.
Kapcsolja össze a jogi és szervezeti döntéseket a megfelelő technikai intézkedésekkel, és ellenőrizze például, hogy a hozzáférési szabályok, a törlés és a helyreállítás működnek-e a vizsgált szolgáltatásban.
Gyakorlati felkészülés a jogokra és incidensekre.
Gyakorolja a kérelmek és adatvédelmi incidensek felismerését, eszkalációját, értékelését és határidőre történő kezelését, a vállalatok és szolgáltatók közötti átadásokat is beleértve.
A dokumentáció folyamatos aktualizálása a változásokkal.
A célok, címzettek vagy kockázatok változásakor aktualizálja a döntéseket és bizonyítékokat, és határozza meg, ki követi a nyitott intézkedéseket és kezdeményezi a következő felülvizsgálatot.
GDPR-bizonyítékok és önkéntes tanúsítás.
Az elszámoltathatóság a GDPR 5. cikkének (2) bekezdése szerint azt jelenti, hogy az alapelvek betartása elmagyarázható és bizonyítható. A megfelelő iratok közé tartozhatnak az adatkezelési nyilvántartások, indokolt jogalapok, szerződések, adatvédelmi tájékoztatók, hatásvizsgálatok és a védelmi intézkedések ellenőrzései. Az a döntő, hogy a valós adatkezelést tükrözik-e, és megmutatják-e, mely döntést milyen alapon hozták meg.
Az adatvédelmi felügyeletnek a GDPR 58. cikke szerint vizsgálati és korrekciós hatáskörei vannak. A dokumentációnak ezért megtalálhatónak, érthetőnek és naprakésznek kell lennie. A rendelet nem alapoz meg olyan általános tanúsítási kényszert, amellyel egy vállalat végleg elintézhetné teljes adatvédelmi munkáját; a felelősség az adatkezelőnél és a mindenkori kötelezett résztvevőknél marad.
A GDPR 42. cikke szerinti tanúsítás önkéntes, és jóváhagyott kritériumok alapján adatkezelési műveletekre vonatkozik. A (4) bekezdés szerint nem csökkenti a jogszabályi felelősséget; a (7) bekezdés érvényességét legfeljebb három évben korlátozza, meghosszabbítási lehetőséggel. Egy információbiztonsági tanúsítvány nem automatikusan ilyen adatvédelmi jogi tanúsítás.
Az adatvédelmi incidens bejelentéséről hozott döntést külön kell igazolni. A 33. cikk haladéktalan, lehetőség szerint a tudomásszerzéstől számított 72 órán belüli bejelentést ír elő, ha a kockázati kivétel nem alkalmazható. Az (5) bekezdés szerinti dokumentáció a be nem jelentett incidensekre is kiterjed; a 34. cikk szerinti tájékoztatás saját kockázati küszöböt és az ott meghatározott kivételeket követi.
További olvasnivalók a blogon.
- GDPR és biztonságAz adatkezelések, a jogi értékelés és a védelmi intézkedések összekapcsolása a működésben.
- Az adatfeldolgozás vizsgálataA szerződéses vállalások összevetése a szolgáltató tényleges adatútvonalaival.
- Adatvédelmi incidens bejelentéseAz incidensértékelés, a bejelentési döntés és a dokumentálás részletesebb előkészítése.
- Hozzáférési kérelmek feldolgozásaA keresés, ellenőrzés és a hozzáférés biztonságos biztosításának megszervezése.
GDPR és más keretrendszerek.
Az ISO 27001 támogatja az információbiztonság megszervezését, de nem helyettesíti a jogalapok és érintetti jogok vizsgálatát. A NIS2-nek saját címzettjei és bejelentési kötelezettségei vannak; egy incidens mindkét jogi keret szerint külön értékelést igényelhet. Az EU AI Act bizonyos MI-rendszerek követelményeit egészíti ki, anélkül hogy helyettesítené a személyesadat-kezelések adatvédelmi vizsgálatát.
A Secaniban.
A Secani adatvédelmi profilt kínál a szerepekhez, az adatkezelési környezethez és az adattovábbításokhoz, valamint saját szerkesztésű GDPR-vizsgálati katalógust. A profil vállalati adatokat rögzít és támogatja a strukturált helyzetfelmérést. A tényleges adatkezelés és jogszerűsége szakmai értékelése önálló feladat marad; a profil nem hatósági jóváhagyás és nem automatikus jogi vizsgálat.
Következő lépés.
Kezdje egy világosan lehatárolt adatkezeléssel, például ügyféltámogatási kérelmek feldolgozásával. Írja le a célt, az adatokat, az érintetteket, a közreműködő szolgáltatásokat és a címzetteket, és az illetékes szakemberekkel együtt vizsgálja meg a megfelelő jogalapot. Ezután rögzítse, hogy ehhez ténylegesen milyen védelmi intézkedések, valamint a jogokra és incidensekre vonatkozó eljárások szükségesek.
Források.
- (EU) 2016/679 rendelet: általános adatvédelmi rendelet
- BfDI: GDPR – BDSG, Info 1, 2026. márciusi állapot
- Európai Bizottság: a GDPR hatálya és szerepei
- Európai Bizottság: az adatkezelés alapelvei
- Európai Bizottság: vállalati kötelezettségek
- EDPB: a személyes adatok biztonsága
- EDPB: adatvédelmi incidensek
- EDPB: az érintettek jogai
- § 38 BDSG: nem közjogi szervek adatvédelmi tisztviselői
Gyakori kérdések.
Nem. A GDPR 6. cikke különböző, saját feltételekkel rendelkező jogalapokat ismer. A megfelelő jogalap a konkrét céltól és tényállástól függ; a további követelményeket, például a különleges adatkategóriákét, külön kell vizsgálni.
Nem. A GDPR 33. cikke alapján a felügyeleti bejelentés elhagyható, ha az incidens várhatóan nem jár kockázattal a jogokra és szabadságokra. Az incidenst ettől függetlenül dokumentálni kell; az érintettek 34. cikk szerinti tájékoztatását külön kell értékelni.
Nem. Az ISMS támogathatja az adatkezelés biztonságát, de nem válaszolja meg automatikusan a jogalap, az átláthatóság vagy az érintetti jogok kérdéseit. Alkalmazási területét és a tényleges adatkezelést külön kell vizsgálni.
Igen, ha adatkezelésük a tárgyi és területi hatály alá esik. A vállalatméret önmagában nem teremt általános kivételt; egyes kötelezettségek további feltételektől függenek.
Szervezze meg követhetően az adatvédelmi munkát.
Ismerje meg a Secani adatvédelmi profilját és saját szerkesztésű GDPR-katalógusát.
Ez az oldal általános áttekintést nyújt, és nem helyettesíti az egyedi eset jogi vizsgálatát. A hatályos jogszabályok és a konkrét adatkezelés az irányadó.