Egy adatvédelmi incidens első óráiban a szervezetnek egyszerre kell megállítania a károkozást, feltárnia a történteket, megőriznie a bizonyítékokat, értékelnie az érintetteket fenyegető kockázatokat, és döntenie az esetleges hatósági bejelentésről.
Mindezt úgy, hogy a GDPR szerinti 72 órás határidő már futhat.
A leggyakoribb hiba ilyenkor nem feltétlenül a rossz jogi értékelés, hanem a szervezetlenség: az informatikai szolgáltató vizsgálódik, a vezetés nem kap pontos információt, az adatvédelmi tisztviselőt későn vonják be, és senki nem rögzíti egyértelműen, mikor jutott a szervezet tudomására az incidens.
A 72 óra ezért nem egyszerűen bejelentési határidő. Ez az az időszak, amelyben működésbe kell lépnie a szervezet teljes incidenskezelési rendszerének.
Az adatkezelőnek az adatvédelmi incidenst indokolatlan késedelem nélkül, lehetőség szerint a tudomásszerzéstől számított 72 órán belül be kell jelentenie az illetékes felügyeleti hatóságnak, kivéve, ha az incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. GDPR 33. cikk (1) bekezdés.
A 72 órás határidő nem arra szolgál, hogy a szervezet addig várjon. Arra szolgál, hogy a már megkezdett kivizsgálás alapján időben meghozza és dokumentálja a szükséges döntéseket.
Adatvédelmi incidens a biztonság olyan sérülése, amely személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi. GDPR 4. cikk 12. pont.
Az adatvédelmi incidens ezért három alapvető biztonsági tulajdonságot érinthet.
Személyes adathoz jogosulatlan személy fér hozzá, vagy annak részére adatot továbbítanak.
Például:
A személyes adatot jogosulatlanul vagy véletlenül megváltoztatják.
Például:
A személyes adat megsemmisül, elveszik, vagy átmenetileg nem hozzáférhető.
Például:
Az EDPB szerint az adatvédelmi incidens a bizalmasság, a sértetlenség vagy a rendelkezésre állás sérelméből egyaránt eredhet. Nem minden információbiztonsági esemény adatvédelmi incidens, de személyes adatok érintettsége esetén a látszólag tisztán technikai eseményt is adatvédelmi szempontból kell értékelni.
Téves tehát az a gyakorlat, amely csak az adatszivárgást vagy az adatok nyilvánosságra kerülését tekinti adatvédelmi incidensnek. Egy rendszerleállás vagy adatvesztés akkor is incidens lehet, ha nincs bizonyíték arra, hogy bárki lemásolta az adatokat.
Egy vírusfertőzés, szolgáltatáskimaradás vagy illetéktelen belépési kísérlet önmagában még nem feltétlenül minősül adatvédelmi incidensnek.
A döntő kérdés az, hogy az esemény:
Az EDPB kifejezetten elkülöníti egymástól a biztonsági incidenseket és a személyes adatok megsértését: minden adatvédelmi incidens biztonsági esemény, de nem minden biztonsági esemény érint személyes adatokat.
Egy nyilvános, személyes adatot nem tartalmazó vállalati weboldal néhány perces leállása információbiztonsági esemény lehet, de nem feltétlenül adatvédelmi incidens.
Ha azonban ugyanez a támadás hozzáférést biztosított a kapcsolatfelvételi űrlapon megadott nevekhez, e-mail-címekhez és üzenetekhez, akkor már adatvédelmi incidensről is szó lehet.
A határidő nem feltétlenül az incidens tényleges bekövetkezésének időpontjában kezdődik, hanem akkor, amikor az adatkezelő az incidensről tudomást szerez. GDPR 33. cikk (1) bekezdés.
Az EDPB szerint a szervezet akkor tekinthető az incidensről tudomással bíró adatkezelőnek, amikor észszerű mértékű bizonyossággal rendelkezik arról, hogy biztonsági esemény történt, és az személyes adatokat érintett.
Egy nem ellenőrzött riasztás vagy bizonytalan felhasználói jelzés még nem feltétlenül jelenti azt, hogy adatvédelmi incidens történt.
A szervezet jogosult rövid előzetes vizsgálatot végezni annak megállapítására, hogy:
Ez a vizsgálat azonban nem húzható indokolatlanul hosszúra.
Nem biztonságos abból kiindulni, hogy a 72 óra csak akkor kezdődik, amikor az adatvédelmi tisztviselő vagy a vezető írásos jelentést kap. Ha a szervezet valamely illetékes szervezeti egysége már megfelelő bizonyossággal tud az incidensről, az információ belső továbbításának késedelme nem használható a határidő mesterséges kitolására.
A GDPR 72 órát határoz meg, nem három munkanapot. A hétvége, munkaszüneti nap vagy a vezető távolléte ezért nem állítja meg a határidőt. Az incidenskezelési rendszernek munkaidőn kívül is biztosítania kell a megfelelő értesítési és döntési útvonalat. E következtetés a GDPR 33. cikkében meghatározott, órákban számított határidőből következik.
A felügyeleti hatóság felé fennálló bejelentési kötelezettség az adatkezelőt terheli. Az adatkezelő az a szervezet, amely meghatározza a személyes adatok kezelésének céljait és eszközeit.
Az adatfeldolgozó az incidensről való tudomásszerzést követően indokolatlan késedelem nélkül köteles értesíteni az adatkezelőt. Az adatfeldolgozó főszabály szerint nem az adatkezelő helyett teszi meg a GDPR 33. cikke szerinti hatósági bejelentést. GDPR 33. cikk (2) bekezdés.
Az adatfeldolgozói szerződésben célszerű egyértelműen meghatározni:
Az adatfeldolgozói értesítési határidőnek a gyakorlatban lényegesen rövidebbnek kell lennie 72 óránál, mert az adatkezelőnek saját kockázatértékelést és hatósági döntést is kell készítenie.
Az alábbi időbeosztás nem jogszabályi részletszabály, hanem a GDPR-kötelezettségek teljesítését támogató gyakorlati munkarend.
Az egyes feladatok részben párhuzamosan futnak. Egy súlyos incidensnél nem szabad megvárni az egyik szakasz teljes lezárását a következő megkezdéséhez.
A bejelentést fogadó személynek nem saját hatáskörben kell eldöntenie, hogy az eset „elég súlyos-e”. A jelzést az előre meghatározott incidenskezelési csatornán továbbítani kell legalább:
Az adatvédelmi tisztviselő bevonása nem jelenti azt, hogy a teljes incidenskezelést neki kell lefolytatnia. A technikai korlátozás az informatikai terület, a szervezeti döntés az adatkezelő vezetése, az adatvédelmi értékelés pedig több szakterület együttműködésének feladata.
Legalább a következő időpontokat érdemes azonnal dokumentálni:
Az EDPB javasolja, hogy a szervezetek olyan belső rendszert működtessenek, amelyből megállapítható, mikor és hogyan szereztek tudomást az incidensről, és miként értékelték annak kockázatait.
A szükséges intézkedés az eseménytől függően lehet például:
A GDPR kockázattal arányos technikai és szervezési intézkedéseket követel meg, ideértve a rendszerek bizalmasságát, sértetlenségét, rendelkezésre állását, helyreállíthatóságát és a védelmi intézkedések rendszeres értékelését. GDPR 32. cikk.
A korlátozó intézkedés során kerülni kell azokat a lépéseket, amelyek szükségtelenül megsemmisítik:
A CISA az incidenskezelés során a releváns naplók, rendszerképek, memóriatartalmak és más gyorsan elvesző bizonyítékok megőrzését javasolja, mert ezek szükségesek lehetnek az esemény hatókörének és következményeinek feltárásához.
A „kapcsoljunk ki mindent” vagy „töröljük a fertőzött fájlokat” reflex bizonyos esetekben megállíthatja a támadást, de egyúttal megsemmisítheti a későbbi kockázatértékeléshez nélkülözhetetlen bizonyítékokat. Súlyos eseménynél informatikai incidenskezelő vagy digitális forenzikai szakértő bevonása indokolt lehet.
Ebben a szakaszban még nem feltétlenül kell minden technikai részletet ismerni. A cél annak megállapítása, hogy mi történt, és milyen személyes adatok lehetnek érintettek.
A személyes adatok lehetnek például:
A kezdeti felmérésnél nem a tökéletes pontosság az első cél. A hozzávetőleges érintetti és adatmennyiség is elegendő lehet az első kockázatértékeléshez, feltéve, hogy a szervezet egyértelműen jelzi a bizonytalanságokat és folytatja a vizsgálatot.
Ha személyes adat nem érintett, a GDPR 33–34. cikke szerinti bejelentési kötelezettség nem áll fenn. Ettől még az eseményt más információbiztonsági, ágazati vagy szerződéses szabályok alapján kezelni és jelenteni kellhet.
Egy informatikai szolgáltató, felhőszolgáltató, könyvelő vagy bérszámfejtő ugyanazon incidensben adatfeldolgozó lehet, miközben a megbízó szervezet az adatkezelő.
Az adatfeldolgozónak nem szabad megvárnia a teljes technikai vizsgálat eredményét, ha már észszerű bizonyossággal megállapítható, hogy a megbízó személyes adatai sérültek. Az adatkezelőt indokolatlan késedelem nélkül értesíteni kell.
Az eset egyszerre több típust is érinthet.
Például egy zsarolóvírus:
Nem szabad automatikusan abból kiindulni, hogy zsarolóvírus esetén csak rendelkezésre állási probléma történt. Vizsgálni kell az adatkimásolás és jogosulatlan hozzáférés lehetőségét is.
A bejelentési döntés központi kérdése nem egyszerűen az, hogy történt-e incidens, hanem az, hogy az milyen kockázatot jelenthet az érintett természetes személyek jogaira és szabadságaira.
Ebben az esetben:
Ebben az esetben:
Ebben az esetben:
A hatósági bejelentés küszöbe a kockázat, az érintettek tájékoztatásának küszöbe pedig a magas kockázat. GDPR 33. cikk (1) bekezdés és 34. cikk (1) bekezdés.
A kockázatértékelést mindig az adott incidens körülményeire kell alapozni. Nem elegendő pusztán az érintettek számát vagy az adatállomány méretét vizsgálni.
A jogosulatlan nyilvánosságra hozatal, az adatvesztés és az átmeneti elérhetetlenség eltérő következményekkel járhat.
Nagyobb kockázatot jelenthetnek különösen:
Egyetlen e-mail-cím elvesztése rendszerint más kockázatot jelent, mint egy teljes ügyfélprofil vagy személyi iratanyag nyilvánosságra kerülése.
A kockázatot csökkentheti, ha az adatok megfelelően titkosítottak vagy pszeudonimizáltak, és a további azonosításhoz szükséges információ nem került illetéktelen kézbe.
Ez azonban nem azonos azzal, hogy az adatok automatikusan névtelenné váltak.
Vizsgálni kell többek között:
lehetőségét. Az EDPB szerint az adatvédelmi incidensek vagyoni, nem vagyoni és akár fizikai károkat is okozhatnak.
Nagyobb kockázatot jelenthet, ha az incidens:
érint.
Más megítélés alá eshet, ha:
A téves címzett törlési nyilatkozata csökkentheti a kockázatot, de nem szünteti meg automatikusan az incidenst. Vizsgálni kell, hogy az adatot megnyitották-e, továbbították-e, lemásolták-e, és a címzett valóban megbízhatónak tekinthető-e.
A nagy érintetti létszám növelheti az incidens összhatását, de egyetlen érintett esetében is fennállhat magas kockázat, ha az adat különösen érzékeny vagy a lehetséges következmény súlyos.
Az EDPB incidensbejelentési iránymutatásai a kockázatértékelést az adatok jellegére, az incidens típusára, az érintettek azonosíthatóságára, a lehetséges következményekre és az érintetti kör sajátosságaira kiterjedő összetett vizsgálatként kezelik.
Ekkorra a szervezetnek lehetőség szerint rendelkeznie kell:
Ha valamennyi szükséges adat nem áll egyszerre rendelkezésre, az információk szakaszosan is megadhatók, további indokolatlan késedelem nélkül. GDPR 33. cikk (4) bekezdés.
A NAIH szintén azt javasolja, hogy ha az adatkezelő már észszerű bizonyossággal tud az incidensről, de még nem rendelkezik minden részlettel, éljen a szakaszos bejelentés lehetőségével, majd később egészítse ki vagy helyesbítse a korábban megadott adatokat.
A teljes forenzikai jelentés hiánya önmagában nem megfelelő indok a bejelentés elhalasztására. Az első bejelentésben egyértelműen fel kell tüntetni:
A NAIH felé akkor kell bejelenteni az incidenst, ha az valószínűsíthetően kockázattal jár a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés 72 órán túl történik, a késedelem okait is meg kell indokolni.
A NAIH adatvédelmi incidensbejelentő rendszert működtet az adatkezelők számára. Az elektronikus ügyintézésre kötelezett szervezetek számára a Hatóság formanyomtatványt és elektronikus ügyindítási lehetőséget is biztosít; az alkalmazandó benyújtási módot a szervezet jogállása alapján kell kiválasztani.
A bejelentésnek legalább az alábbiakat kell tartalmaznia:
GDPR 33. cikk (3) bekezdés.
A bejelentésben világosan el kell különíteni:
A bizonytalan adatot nem célszerű biztos tényként feltüntetni. Ugyanakkor az sem megfelelő, ha a szervezet minden lényeges kérdésre kizárólag azt válaszolja, hogy „vizsgálat alatt”, miközben már rendelkezésére állnak előzetes információk.
Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelőnek indokolatlan késedelem nélkül tájékoztatnia kell az érintetteket. GDPR 34. cikk (1) bekezdés.
A GDPR az érintettek esetében nem konkrét 72 órát, hanem indokolatlan késedelem nélküli kommunikációt követel meg.
Ha az érintettek azonnali intézkedéssel csökkenthetik a veszélyt – például jelszócserével, bankkártya letiltásával vagy csaló üzenetek felismerésével –, a gyors kommunikáció különösen indokolt.
Súlyos esetben nem célszerű megvárni a 72. órát az érintettek tájékoztatásával. Ha az érintett csak gyors figyelmeztetés alapján tudja megvédeni magát, a kommunikációt a szükséges alapinformációk rendelkezésre állásakor meg kell kezdeni.
A tájékoztatásnak világos és közérthető nyelven be kell mutatnia:
GDPR 34. cikk (2) bekezdés.
Az érintetti tájékoztatásban célszerű egyértelműen megadni:
Nem kötelező az egyedi tájékoztatás, ha:
GDPR 34. cikk (3) bekezdés.
Az adat titkosítottsága csak akkor lehet érdemi kockázatcsökkentő tényező, ha a titkosítás ténylegesen megfelelő volt, és a visszafejtéshez szükséges kulcs vagy hitelesítési adat nem került veszélybe.
Az adatkezelő köteles valamennyi adatvédelmi incidenst dokumentálni, beleértve az incidens tényeit, hatásait és a megtett helyreállító intézkedéseket. A dokumentációnak alkalmasnak kell lennie arra, hogy a felügyeleti hatóság ellenőrizhesse a GDPR 33. cikkének való megfelelést. GDPR 33. cikk (5) bekezdés.
Ez a kötelezettség azokra az esetekre is vonatkozik, amelyeket:
Az EDPB külön kiemeli, hogy a hatóságnak be nem jelentett incidensek esetében is rögzíteni kell legalább az esemény alapadatait, a kockázatértékelést, a hatásokat és a válaszintézkedéseket.
Javasolt mezők:
A puszta mondat, hogy „az incidens nem volt bejelentésköteles”, nem elegendő. A dokumentációból annak is ki kell derülnie, milyen tények és milyen kockázati szempontok alapján jutott erre a következtetésre az adatkezelő.
Az alábbi példák nem automatikus minősítések. Azonos eseménytípus eltérő adatok, címzettek és következmények mellett más bejelentési eredményhez vezethet.
Vizsgálni kell:
Egy általános időpont-egyeztetés és egy egészségügyi dokumentum téves továbbítása nyilvánvalóan nem azonos kockázatú.
A kockázatot befolyásolja:
Vizsgálni kell:
Az EDPB incidenspéldái külön foglalkoznak a zsarolóvírus-támadásokkal, az adatkinyeréssel, az elveszett eszközökkel és a tévesen továbbított dokumentumokkal. Az értékelés minden esetben a tényleges védelmi intézkedésekre és a lehetséges érintetti következményekre épül.
Vizsgálni kell:
A kockázat annál nagyobb lehet, minél inkább függ az érintett jogainak, ellátásának vagy biztonságának biztosítása az adatok azonnali elérhetőségétől.
Egy marketinglista rövid kiesése és egy sürgősségi betegnyilvántartás elérhetetlensége nem azonos súlyú rendelkezésre állási incidens.
A hatósági bejelentéshez nem szükséges a végleges forenzikai jelentés. A GDPR lehetővé teszi a szakaszos bejelentést.
Ennek hiányában később nem bizonyítható, hogy a szervezet mikor és miért tekintette megkezdettnek a 72 órás határidőt.
A túlzott bejelentés nem helyettesíti a kockázatértékelést. Először meg kell állapítani, történt-e személyesadat-sérelem, és milyen kockázatot jelent az érintettek számára.
Ez közvetlenül ellentétes a GDPR 33. cikk (5) bekezdésében meghatározott dokumentálási kötelezettséggel.
A késői bevonás csökkenti annak lehetőségét, hogy a kockázatértékelés, a bejelentés és az érintetti kommunikáció szakmailag megalapozott legyen.
Az adatvédelmi kockázat nem azonos a szervezet üzleti kárával. Lehetséges, hogy a szervezet gyorsan helyreállítja a rendszert, miközben az érintetteket továbbra is személyazonosság-lopás, csalás vagy más hátrány fenyegeti.
A NAIH bejelentése és az érintettek tájékoztatása két külön kötelezettség, eltérő kockázati küszöbbel.
Az olyan közlés, hogy „biztonsági esemény történt, de mindent megteszünk”, nem segíti az érintettet saját védelmi intézkedéseinek megtételében.
Eltérő információ jelenik meg:
Az egyes dokumentumok célja eltérhet, de a tényszerű alapadatoknak következetesnek kell lenniük.
A hatósági bejelentés után is folytatni kell:
Nem elegendő megállapítani, hogy „a munkatárs rossz címre küldte az e-mailt” vagy „feltörték a fiókot”.
Vizsgálni kell például:
Minden intézkedéshez célszerű rögzíteni:
A GDPR a megfelelő biztonsági intézkedések rendszeres tesztelését, értékelését és felülvizsgálatát is megköveteli. GDPR 32. cikk (1) bekezdés d) pont.
Az incidenskezelést nem az esemény bekövetkezésekor kell először megtervezni.
A dokumentumnak legalább meg kell határoznia:
Például:
Ennek munkaidőn kívül is működőképesnek kell lennie, ha a szervezet működési kockázatai ezt indokolják.
Előre tisztázni kell a vezetés, az informatika, az EIBF, az adatvédelmi tisztviselő, a HR, a jogi terület és a kommunikáció feladatait.
A szervezet előre kialakíthatja a szükséges adatmezőket, hogy incidens esetén ne a határidő alatt kelljen eldönteni, milyen információkat kell összegyűjteni.
A sablon tartalmazhatja az alapstruktúrát, de az egyedi eseményre kell szabni. Előre elkészíthető több kommunikációs csatornára:
Minden jelentős adatfeldolgozói szerződésnek világosan rendeznie kell az értesítést, az együttműködést, a bizonyítékok átadását és a vizsgálathoz szükséges információkat.
A naplókat úgy kell kialakítani és megőrizni, hogy azokból utólag rekonstruálható legyen:
A megfelelő naplózás és a naplók jogosulatlan módosítással vagy törléssel szembeni védelme alapvető az incidensek felismeréséhez és kivizsgálásához.
Egy asztali gyakorlat során szimulálható például:
A gyakorlat célja nem annak bizonyítása, hogy mindenki ismeri a szabályzatot, hanem annak feltárása, hogy a tényleges döntési, információs és kommunikációs útvonalak működnek-e.
Nem. A hatósági bejelentés akkor kötelező, ha az incidens valószínűsíthetően kockázattal jár az érintettek jogaira és szabadságaira nézve. A be nem jelentett incidenseket is dokumentálni kell.
Akkor, amikor az adatkezelő észszerű mértékű bizonyossággal tudomást szerez arról, hogy személyes adatokat érintő biztonsági esemény történt.
Nem, ha a bejelentési határidő közben lejárna. A rendelkezésre álló információk alapján előzetes bejelentést kell tenni, amely később szakaszosan kiegészíthető.
Nem. Az adatfeldolgozó az incidensről való tudomásszerzést követően indokolatlan késedelem nélkül köteles értesíteni az adatkezelőt. A 72 órás hatósági kötelezettség főszabály szerint az adatkezelőt terheli.
A GDPR erre nem 72 órás határidőt állapít meg. Magas kockázat esetén az érintetteket indokolatlan késedelem nélkül kell tájékoztatni. Ez egyes helyzetekben a hatósági bejelentésnél is gyorsabb kommunikációt tehet szükségessé.
Nem automatikusan. Vizsgálni kell a titkosítás megfelelőségét, a kulcsok védelmét, a hitelesítést, a távoli hozzáférést és az eszközön tárolt adatokat. A megfelelően titkosított és más módon is védett adat esetében a kockázat jelentősen csökkenhet.
A mentés csökkentheti a rendelkezésre állási kockázatot, de nem zárja ki az incidenst. Vizsgálni kell, hogy az adatok mennyi ideig voltak elérhetetlenek, sérültek-e, illetve történt-e jogosulatlan hozzáférés vagy adatkinyerés.
Nem. A büntetőeljárási vagy kiberbiztonsági bejelentés nem helyettesíti a GDPR 33. cikke szerinti felügyeleti hatósági bejelentést. Minden alkalmazandó bejelentési kötelezettséget külön kell értékelni.
A bejelentést ettől még meg kell tenni, és mellékelni kell a késedelem indokait. A késedelmet nem szabad további halasztással növelni.
A GDPR 32–34. cikke szerinti adatbiztonsági és incidenskezelési kötelezettségek megsértése legfeljebb 10 millió euró, vállalkozás esetén pedig az előző pénzügyi év teljes világpiaci éves forgalmának legfeljebb 2%-a szerinti bírságkategóriába tartozik, a kettő közül a magasabb összeg figyelembevételével. GDPR 83. cikk (4) bekezdés.
A konkrét jogkövetkezmény megállapításakor a hatóság figyelembe veszi többek között:
GDPR 83. cikk (2) bekezdés.
Egy incidens bekövetkezése önmagában nem feltétlenül jelenti azt, hogy a szervezet megsértette a GDPR-t. Az azonban már önálló megfelelési probléma lehet, ha a szervezet:
Ez a cikk elsősorban a GDPR hatálya alá tartozó adatkezelésekre vonatkozik.
A bűnüldözési, honvédelmi és nemzetbiztonsági célú adatkezelések egyes eseteire az Infotv. külön incidenskezelési szabályai alkalmazandók. A NAIH ezekhez elkülönített tájékoztatást biztosít, ezért a megfelelő jogi rezsimet az adatkezelés célja és jogalapja alapján kell meghatározni.
A GDPR az adatkezelőtől nemcsak azt követeli meg, hogy 72 órán belül szükség esetén bejelentést tegyen, hanem azt is, hogy valamennyi incidenst dokumentáljon, értékelje az érintetti kockázatokat, és magas kockázat esetén indokolatlan késedelem nélkül tájékoztassa az érintetteket.
Az első 72 órában a szervezetnek:
A helyes megközelítés ezért nem az, hogy: „Van még 72 óránk.”
Hanem az, hogy: „Az incidenskezelés már megkezdődött, és minden órával pontosabbá tesszük a kockázatértékelést és a szükséges intézkedéseket.”
Utolsó szakmai felülvizsgálat: 2026. július