Az adatvédelmi tisztviselő – gyakran használt rövidítéssel DPO – kijelölése nem minden adatkezelő és adatfeldolgozó számára kötelező. A GDPR három olyan esetkört határoz meg, amelyek valamelyikének fennállása esetén a szervezet köteles adatvédelmi tisztviselőt kijelölni. A kötelezettség megítéléséhez nem elegendő kizárólag a szervezet méretét vagy az általa kezelt adatok mennyiségét vizsgálni: értékelni kell a szervezet jogállását, alaptevékenységét, az adatkezelések jellegét, célját, rendszerességét és léptékét is. GDPR 37. cikk (1) bekezdés.
Röviden: mikor kötelező a DPO?
A GDPR alapján adatvédelmi tisztviselőt kell kijelölni, ha:
az adatkezelést közhatalmi vagy egyéb közfeladatot ellátó szerv végzi, az igazságszolgáltatási feladatkörében eljáró bíróság kivételével;
az adatkezelő vagy adatfeldolgozó alaptevékenysége olyan adatkezelési műveletekből áll, amelyek az érintettek nagy léptékű, rendszeres és szisztematikus megfigyelését teszik szükségessé; vagy
az adatkezelő vagy adatfeldolgozó alaptevékenysége különleges személyes adatok, illetve büntetőjogi felelősségre vonatkozó személyes adatok nagy léptékű kezeléséből áll.
A három eset közül már egyetlen feltétel teljesülése is megalapozza a kijelölési kötelezettséget. GDPR 37. cikk (1) bekezdés a)–c) pont.
A közhatalmi vagy egyéb közfeladatot ellátó szervek számára az adatvédelmi tisztviselő kijelölése főszabály szerint kötelező, függetlenül attól, hogy az adatkezelés nagy léptékű-e, különleges adatokat érint-e, vagy rendszeres megfigyeléssel jár-e. Kivételt a bíróságok kizárólag az igazságszolgáltatási feladatkörükben végzett adatkezelései képeznek. GDPR 37. cikk (1) bekezdés a) pont.
Az EDPB által jóváhagyott WP243 rev.01 iránymutatás szerint annak megítélése, hogy valamely szervezet közhatalmi vagy közfeladatot ellátó szervnek minősül-e, elsősorban az alkalmazandó nemzeti jog alapján történik. Ide tipikusan az állami, területi és helyi közigazgatási szervek, valamint más közjogi szervezetek tartoznak.
Magyarországon ezért az önkormányzatok és a polgármesteri hivatalok esetében a DPO kijelölési kötelezettség rendszerint nem az adatkezelés volumenétől függ: a közhatalmi, illetve közfeladatot ellátó jelleg önmagában megalapozza azt.
Egy önkormányzati intézmény, gazdasági társaság vagy közszolgáltató esetében azonban nem célszerű automatikusan kizárólag a tulajdonosi háttérből kiindulni. Vizsgálni kell a szervezet jogállását, feladatait, az alkalmazandó ágazati szabályozást és azt, hogy valóban közhatalmi vagy közfeladatot ellátó szervezetként jár-e el.
Az „alaptevékenység” a szervezet elsődleges céljainak eléréséhez szükséges kulcsfontosságú műveleteket jelenti. Nem kizárólag a szervezet létesítő okiratában vagy tevékenységi jegyzékében szereplő megnevezést kell vizsgálni, hanem azt is, hogy a személyes adatok kezelése mennyire szorosan kapcsolódik a tényleges szolgáltatáshoz. EDPB/WP29 WP243 rev.01.
Például egy egészségügyi szolgáltató nem tudja ellátni alapfeladatát egészségügyi adatok kezelése nélkül. Ebben az esetben a betegadatok kezelése az alaptevékenység szerves része.
Ezzel szemben a munkavállalói bérszámfejtés, az általános könyvelés vagy a beléptetőkártyák adminisztrációja a legtöbb szervezetnél támogató tevékenység. Attól, hogy ezekhez személyes adatok kezelése kapcsolódik, még nem feltétlenül válnak a szervezet GDPR szerinti alaptevékenységévé.
A kérdés tehát nem az, hogy a szervezet kezel-e személyes adatokat – szinte minden munkáltató kezel –, hanem az, hogy az adatkezelés a szervezet fő szolgáltatásának vagy fő működésének elválaszthatatlan része-e.
DPO-t kell kijelölni akkor is, ha az adatkezelő vagy adatfeldolgozó alaptevékenysége az érintettek olyan rendszeres és szisztematikus megfigyelését igényli, amely nagy léptékben történik. GDPR 37. cikk (1) bekezdés b) pont.
Mit jelent a rendszeres megfigyelés?
A rendszeres megfigyelés folyamatosan, meghatározott időközönként, ismétlődően vagy előre megszervezett rendszer alapján végzett nyomon követést jelenthet.
Mit jelent a szisztematikus megfigyelés?
A szisztematikus jelleg arra utal, hogy a megfigyelés szervezett, előre kialakított rendszer része, stratégiai vagy módszeres módon történik, illetve adatgyűjtési rendszerhez kapcsolódik.
Ilyen adatkezelés lehet például:
az online felhasználói viselkedés követése;
profilalkotás és célzott reklámozás;
hűségprogramok vásárlási szokásokat elemző működtetése;
távközlési vagy helymeghatározási adatok rendszeres elemzése;
egészségügyi vagy fitneszeszközökön keresztüli folyamatos monitorozás;
nagyszámú érintettre kiterjedő vagyonvédelmi vagy közterületi kamerás megfigyelés;
pénzügyi tranzakciók csalásmegelőzési célú folyamatos elemzése.
Egy egyszerű, néhány kamerából álló telephelyi kamerarendszer nem feltétlenül jelent automatikusan nagy léptékű megfigyelést. Több telephelyet, nagyszámú érintettet, kiterjedt területet vagy tartósan működő összetett megfigyelőrendszert érintő adatkezelésnél azonban a kijelölési kötelezettséget részletesen értékelni kell.
DPO kijelölése kötelező akkor is, ha az adatkezelő vagy adatfeldolgozó alaptevékenysége a GDPR 9. cikke szerinti különleges személyes adatok vagy a GDPR 10. cikke szerinti, büntetőjogi felelősségre vonatkozó adatok nagy léptékű kezeléséből áll. GDPR 37. cikk (1) bekezdés c) pont.
A különleges személyes adatok közé tartoznak többek között:
a faji vagy etnikai származásra;
a politikai véleményre;
a vallási vagy világnézeti meggyőződésre;
a szakszervezeti tagságra;
a genetikai adatokra;
az egyedi azonosítást célzó biometrikus adatokra;
az egészségügyi adatokra;
a szexuális életre vagy szexuális irányultságra
vonatkozó személyes adatok. GDPR 9. cikk (1) bekezdés.
Tipikus érintett szervezetek lehetnek például:
kórházak és más nagyobb egészségügyi szolgáltatók;
egészségbiztosítási vagy egészségügyi adatfeldolgozást végző szervezetek;
laboratóriumok;
genetikai vagy biometrikus adatokat üzletszerűen kezelő szolgáltatók;
nagyszámú ügyfél bűnügyi vagy megfelelőségi adatait kezelő szervezetek.
Egy egyéni orvos vagy kisebb egészségügyi praxis betegadatkezelése önmagában rendszerint nem tekinthető nagy léptékűnek. Egy kórház szokásos betegadatkezelése viszont tipikusan nagy léptékű lehet.
A GDPR nem határoz meg olyan konkrét létszámot vagy adatmennyiséget, amely felett az adatkezelés automatikusan nagy léptékűnek minősülne.
Az EDPB iránymutatása alapján együttesen célszerű figyelembe venni:
az érintettek számát vagy az érintett népesség arányát;
a kezelt adatok mennyiségét és az adatkategóriák körét;
az adatkezelés időtartamát vagy állandó jellegét;
az adatkezelés földrajzi kiterjedtségét.
A „nagy lépték” ezért mindig kontextusfüggő. Ugyanaz az érintetti létszám egy kis település vagy szűk célcsoport esetében jelentős arányt képviselhet, míg egy országos szolgáltató ügyfélállományában nem feltétlenül.
Nem megfelelő gyakorlat pusztán egy önkényesen meghatározott létszámhatárt – például 5 000 vagy 10 000 érintettet – alkalmazni. A döntést a fenti szempontok együttes értékelésére kell alapozni.
A GDPR 37. cikkének kötelezettsége nemcsak az adatkezelőkre, hanem az adatfeldolgozókra is vonatkozik.
Előfordulhat ezért, hogy az adatkezelő számára nem kötelező adatvédelmi tisztviselő kijelölése, de az általa igénybe vett adatfeldolgozó számára igen.
Például egy kisebb vállalkozás ügyféladatainak kezelése önmagában nem feltétlenül alapozza meg a kijelölési kötelezettséget. Az adatokat feldolgozó országos felhő-, egészségügyi vagy profilalkotási szolgáltató viszont a teljes ügyfélköre és adatfeldolgozási tevékenysége alapján már nagy léptékű adatkezelést végezhet.
Az adatfeldolgozó kijelölési kötelezettségét nem egyetlen ügyfél adatállománya, hanem saját teljes alaptevékenysége alapján kell értékelni.
A GDPR lehetővé teszi, hogy a szervezet akkor is adatvédelmi tisztviselőt jelöljön ki, ha erre jogszabály alapján nem lenne köteles. GDPR 37. cikk (4) bekezdés.
Ha egy szervezet önkéntesen valódi adatvédelmi tisztviselőt jelöl ki, akkor a DPO jogállására, feladataira, függetlenségére és védelmére vonatkozó GDPR-követelményeket ugyanúgy alkalmaznia kell. EDPB/WP29 WP243 rev.01.
Ha a szervezet nem kívánja a GDPR szerinti DPO jogintézményt létrehozni, használhat más munkaköri vagy szolgáltatási megnevezést, például „adatvédelmi koordinátor” vagy „adatvédelmi tanácsadó”. Ebben az esetben azonban világosan el kell különíteni ezt a szerepet a GDPR szerinti adatvédelmi tisztviselőtől.
Az önkéntes kijelölés különösen akkor lehet indokolt, ha a szervezet:
sok vagy összetett adatkezelést végez;
rendszeresen kezel érzékeny adatokat;
több telephelyen vagy szervezeti egységben működik;
gyakori érintetti kérelmekkel találkozik;
magas adatvédelmi vagy reputációs kockázatnak van kitéve;
rendszeresen vesz igénybe összetett informatikai szolgáltatásokat;
hatósági vagy közbeszerzési elvárásoknak kíván megfelelni.
Az adatvédelmi tisztviselő lehet a szervezet munkavállalója, de szolgáltatási szerződés alapján külső természetes személy vagy szervezet is elláthatja a feladatot. GDPR 37. cikk (6) bekezdés.
Belső DPO előnyei:
közvetlen szervezeti jelenlét;
a belső folyamatok gyorsabb megismerése;
folyamatos elérhetőség;
szorosabb együttműködés a munkatársakkal.
Külső DPO előnyei:
több szervezetnél szerzett tapasztalat;
könnyebben biztosítható szakmai függetlenség;
adatvédelmi és kapcsolódó szakterületi tudás együttes elérhetősége;
kisebb szervezetek számára költséghatékonyabb működés;
helyettesítés és szakmai háttértámogatás kialakíthatósága.
A döntésnél nem az a meghatározó, hogy a DPO belső vagy külső személy-e, hanem az, hogy rendelkezik-e megfelelő szakértelemmel, elegendő erőforrással, közvetlen felsővezetői hozzáféréssel és tényleges függetlenséggel.
Az adatvédelmi tisztviselőt szakmai rátermettség, különösen az adatvédelmi jog és gyakorlat szakértői szintű ismerete, valamint a GDPR 39. cikkében meghatározott feladatok ellátására való alkalmasság alapján kell kijelölni. GDPR 37. cikk (5) bekezdés.
A szükséges szakértelem szintje az adatkezelések összetettségétől, mennyiségétől, érzékenységétől és kockázataitól függ.
A DPO-nak célszerű ismernie:
a GDPR és a kapcsolódó magyar szabályozás rendelkezéseit;
az ágazati adatvédelmi követelményeket;
a szervezet adatkezelési folyamatait;
az információbiztonsági alapelveket;
a kockázatértékelés és a hatásvizsgálat módszertanát;
a felügyeleti hatósági gyakorlatot;
a szervezet működését és döntési rendszerét.
Jogszabály nem követel meg minden DPO-tól konkrét felsőfokú végzettséget vagy meghatározott tanúsítványt. A szervezetnek ugyanakkor igazolnia kell tudni, hogy a kijelölt személy szakértelme és kapacitása megfelel az adatkezelések jellegének és kockázatainak.
A DPO minimális feladatai:
az adatkezelő vagy adatfeldolgozó és az adatkezelést végző munkatársak tájékoztatása és szakmai tanácsadása;
a GDPR-nak, más adatvédelmi szabályoknak és a belső adatvédelmi rendelkezéseknek való megfelelés ellenőrzése;
az adatvédelmi hatásvizsgálatokkal kapcsolatos tanácsadás és azok végrehajtásának nyomon követése;
együttműködés a felügyeleti hatósággal;
kapcsolattartó pontként történő eljárás a felügyeleti hatóság felé.
GDPR 39. cikk (1) bekezdés.
Az adatvédelmi tisztviselő feladatait a műveletek jellegéhez, hatóköréhez, körülményeihez és céljaihoz kapcsolódó adatvédelmi kockázatok megfelelő figyelembevételével köteles ellátni. GDPR 39. cikk (2) bekezdés.
A DPO szerepe elsősorban tanácsadó, ellenőrző és koordináló. A megfelelésért és az adatkezelési döntésekért továbbra is az adatkezelő vagy adatfeldolgozó szervezet felel.
Az adatvédelmi tisztviselő más feladatokat is elláthat, a szervezetnek azonban biztosítania kell, hogy ezekből ne eredjen összeférhetetlenség. GDPR 38. cikk (6) bekezdés.
Összeférhetetlenség állhat fenn, ha a személy más munkakörében meghatározza a személyes adatok kezelésének céljait és eszközeit. Az iránymutatás tipikus kockázati körként említi a felsővezetői és egyes döntéshozó pozíciókat.
Kockázatos lehet például, ha a DPO egyidejűleg:
ügyvezető vagy intézményvezető;
informatikai vezető;
HR-vezető;
gazdasági vezető;
marketingvezető;
olyan szervezeti egység vezetője, amely önállóan határozza meg az adatkezelések célját és módját.
Nem a munkakör elnevezése, hanem a tényleges döntési hatáskör a meghatározó. Egy alacsonyabb szervezeti szintű munkakör is lehet összeférhetetlen, ha az érintett személy ténylegesen meghatározza az adatkezelési célokat vagy eszközöket.
Az adatkezelőnek vagy adatfeldolgozónak:
megfelelő időben be kell vonnia a DPO-t minden személyesadat-védelemmel kapcsolatos kérdésbe;
biztosítania kell a feladatellátáshoz szükséges erőforrásokat és hozzáféréseket;
támogatnia kell szakértelmének fenntartását;
biztosítania kell a függetlenségét;
lehetővé kell tennie, hogy közvetlenül a legfelső vezetési szintnek tegyen jelentést.
GDPR 38. cikk (1)–(3) bekezdés.
A DPO a feladatai ellátásával kapcsolatban nem utasítható, és feladatai megfelelő ellátása miatt nem bocsátható el vagy sújtható hátránnyal. GDPR 38. cikk (3) bekezdés.
Az EDPB 2024-ben közzétett, összehangolt ellenőrzési jelentése több fejlesztendő területet azonosított a DPO-k kijelölésével, erőforrásaival, függetlenségével, szakértelmével és felsővezetői hozzáférésével kapcsolatban.
A pusztán formális kijelölés nem elegendő. Ha a DPO nem kap információt a projektekről, nincs hozzáférése a szükséges dokumentumokhoz, nincs megfelelő kapacitása, vagy a vezetés rendszeresen figyelmen kívül hagyja, a szervezet a kijelölés ellenére sem biztosítja megfelelően a GDPR szerinti működést.
A szervezet köteles az adatvédelmi tisztviselő elérhetőségét közzétenni és közölni az illetékes felügyeleti hatósággal. GDPR 37. cikk (7) bekezdés.
Magyarországon az Infotv. 25/L. § (4) bekezdése alapján az adatkezelő vagy adatfeldolgozó tájékoztatja a NAIH-ot a DPO nevéről, postai és elektronikus elérhetőségéről, valamint ezek változásáról, és az adatokat nyilvánosságra is hozza.
A NAIH külön elektronikus DPO-bejelentő rendszert működtet. A hatóság a bejelentést akkor tekinti megtettnek, ha a kijelölt tisztviselő az e-mailben megküldött értesítés alapján 15 napon belül jóváhagyja az adatokat.
A NAIH tájékoztatása szerint a hatóság felé fennálló adatvédelmi bejelentési kötelezettségek egyik típusa a DPO elérhetőségének bejelentése.
A DPO elérhetőségét célszerű a szervezet honlapján, adatkezelési tájékoztatóiban és más, az érintettek számára könnyen hozzáférhető felületeken következetesen feltüntetni.
A DPO kijelölésére, jogállására és feladataira vonatkozó rendelkezések megsértése a GDPR szerinti hatósági intézkedések és közigazgatási bírság alapja lehet. A GDPR 83. cikk (4) bekezdés a) pontja szerint a 37–39. cikk megsértése legfeljebb 10 millió euró, vállalkozás esetén pedig az előző pénzügyi év teljes világpiaci éves forgalmának legfeljebb 2%-a összegű bírságkategóriába tartozik, a kettő közül a magasabb alkalmazhatóságával.
A tényleges bírság összegét a felügyeleti hatóság az eset összes körülménye, így többek között a jogsértés jellege, súlya, időtartama, az érintettek száma, a felróhatóság, az együttműködés és a korábbi jogsértések alapján határozza meg. GDPR 83. cikk (2) bekezdés.
Kockázatot nemcsak a DPO teljes hiánya jelenthet. Jogszabálysértő lehet a nem megfelelő szakértelemmel rendelkező személy kijelölése, az összeférhetetlenség figyelmen kívül hagyása, az erőforrások hiánya, a DPO utasítása vagy az adatvédelmi ügyekből történő kizárása is.
Az alábbi kérdéseket egymás után érdemes megvizsgálni.
1. Közhatalmi vagy közfeladatot ellátó szervezet vagyunk?
Ha igen, főszabály szerint kötelező a DPO kijelölése. GDPR 37. cikk (1) bekezdés a) pont.
2. A személyes adatok kezelése az alaptevékenységünk része?
Ha az adatkezelés csupán járulékos, például általános HR- vagy bérszámfejtési tevékenység, önmagában rendszerint nem alapozza meg a GDPR 37. cikk (1) bekezdés b) vagy c) pontja szerinti kötelezettséget.
3. Az alaptevékenység rendszeres és szisztematikus megfigyeléssel jár?
Ha igen, azt is vizsgálni kell, hogy a megfigyelés nagy léptékű-e.
4. Az alaptevékenység különleges vagy bűnügyi adatokat érint?
Ha igen, azt kell értékelni, hogy az adatkezelés nagy léptékben történik-e.
5. Dokumentáltuk a döntést?
Az EDPB iránymutatása szerint helyes gyakorlat a kijelölési kötelezettség fennállásáról vagy hiányáról készített értékelés dokumentálása. Ez segíti az elszámoltathatóság igazolását.
„Kis szervezet vagyunk, ezért biztosan nem kell DPO.”
Téves. A közhatalmi vagy közfeladatot ellátó szervek kijelölési kötelezettsége nem a szervezet méretétől függ. GDPR 37. cikk (1) bekezdés a) pont.
„Minden munkáltatónak kötelező DPO-t kijelölnie.”
Téves. A munkavállalói adatok kezelése önmagában nem szerepel a GDPR 37. cikk (1) bekezdésében meghatározott kötelező esetek között.
„Az informatikai vezető automatikusan lehet DPO.”
Nem automatikusan. Ha az informatikai vezető dönt az adatkezelési rendszerek céljáról és lényeges eszközeiről, összeférhetetlenség állhat fenn.
„Ha külső DPO-t veszünk igénybe, a felelősség átszáll rá.”
Téves. A GDPR-nak való megfelelésért továbbra is az adatkezelő vagy adatfeldolgozó felel. A DPO tanácsadó és ellenőrző szerepet lát el.
„Elég kijelölni valakit, további teendő nincs.”
Téves. Biztosítani kell a DPO függetlenségét, erőforrásait, megfelelő bevonását, felsővezetői hozzáférését, továbbá közzé kell tenni és be kell jelenteni az elérhetőségét. GDPR 37. cikk (7) bekezdés, 38. cikk.
Az adatvédelmi tisztviselő kijelölése akkor kötelező, ha a szervezet közhatalmi vagy közfeladatot ellátó szerv, vagy ha alaptevékenysége nagy léptékű rendszeres és szisztematikus megfigyeléssel, illetve különleges vagy bűnügyi adatok nagy léptékű kezelésével jár. GDPR 37. cikk (1) bekezdés.
A döntés nem alapozható kizárólag a szervezet létszámára, árbevételére vagy az adatállomány egyetlen számszerű jellemzőjére. A jogállást, az alaptevékenységet, az érintettek körét, az adatkezelés tartósságát, földrajzi kiterjedését, érzékenységét és tényleges működését együttesen kell értékelni.
Ha a kötelezettség megítélése nem egyértelmű, célszerű írásbeli DPO-kijelölési vizsgálatot készíteni. Ebben dokumentálható a szervezet jogállása, az adatkezelések jellege, az alaptevékenységhez való kapcsolódás, a megfigyelés rendszeressége, valamint a nagy lépték megítélésének szempontjai.
(Utolsó szakmai felülvizsgálat: 2026. július)