Adatvédelmi incidens kommunikációja: mit kell közölni és kinek?

Adatvédelmi incidensnél a kommunikáció egy része nem választás kérdése, hanem jogi kötelezettség. A GDPR előírja, mikor kell értesíteni a Nemzeti Adatvédelmi és Információszabadság Hatóságot (NAIH), és mikor az érintetteket, sőt azt is, mit kell közölni velük. Ami ezen túl van (az ügyfelek megnyugtatása, a sajtó kérdései), az már a bizalomról szól.

Mikor beszélünk adatvédelmi incidensről?

A GDPR 4. cikk 12. pontja szerint adatvédelmi incidens a biztonság olyan sérülése, amely a kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi. Nem csak a hackertámadás tartozik ide.

A NAIH tájékoztatója szerint a bejelentések legnagyobb része téves címzésből ered: rossz címre küldött levél vagy e-mail. Gyakori eset az is, amikor egy körlevélben a címzettek a „Másolatot kap” mezőben szerepelnek a „Titkos másolat” helyett, így látják egymás e-mail-címét. További tipikus típusok a hackertámadás miatt kiszivárgott adatok és az ellopott vagy elveszett laptopok, telefonok. Kommunikációs szempontból ezek nagyon különbözőek: egy félrecímzett levél egyetlen ügyfelet érint, egy kiszivárgott ügyféladatbázis akár a sajtóba is bekerülhet.

A NAIH felé: 72 óra és a bejelentés tartalma

A GDPR 33. cikk (1) bekezdése szerint az adatkezelő (az a cég, amely meghatározza az adatkezelés célját és eszközeit) indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az incidens a tudomására jutott, bejelenti azt az illetékes felügyeleti hatóságnak. Magyarországon ez a NAIH. Nem kell bejelenteni, ha az incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés 72 órán túl történik, mellékelni kell a késedelem indokait.

Ha az incidens egy adatfeldolgozónál (például a tárhelyszolgáltatónál vagy egy külső bérszámfejtőnél) történik, az adatfeldolgozó indokolatlan késedelem nélkül értesíti az adatkezelőt, a hatósági bejelentés pedig az adatkezelő dolga (33. cikk (2) bekezdés).

A bejelentésnek a 33. cikk (3) bekezdése szerint legalább a következőket kell tartalmaznia:

• az incidens jellegét, beleértve, ha lehetséges, az érintettek kategóriáit és hozzávetőleges számát, valamint az érintett adatok kategóriáit és hozzávetőleges számát;
• az adatvédelmi tisztviselő vagy más kapcsolattartó nevét és elérhetőségét;
• az incidensből eredő valószínű következményeket;
• a megtett vagy tervezett intézkedéseket, a hátrányos következmények enyhítésére tetteket is.

Ha még nem áll rendelkezésre minden információ, a bejelentés szakaszosan is megtehető (33. cikk (4) bekezdés). A NAIH kifejezetten javasolja ezt: ha az incidens már észszerű bizonyossággal megtörtént, de a részletek még nem ismertek, inkább jelents be időben, és később egészítsd ki. A 33. cikk (5) bekezdése szerint minden incidenst dokumentálni kell (tények, hatások, intézkedések), azokat is, amelyeket nem kellett bejelenteni.

Az érintettek felé: mikor kötelező, és mit kell tartalmaznia?

A GDPR 34. cikk (1) bekezdése szerint, ha az incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelő indokolatlan késedelem nélkül tájékoztatja az érintetteket. A küszöb tehát magasabb, mint a hatósági bejelentésnél: kockázat esetén a NAIH-ot kell értesíteni, magas kockázat esetén az érintetteket is.

A (2) bekezdés szerint a tájékoztatásban világosan és közérthetően kell leírni az incidens jellegét, és közölni kell a kapcsolattartó nevét és elérhetőségét, a valószínű következményeket, valamint a megtett vagy tervezett intézkedéseket. Jogi nyelvezet helyett tehát olyan szöveg kell, amelyet egy átlagos ügyfél elsőre megért.

A (3) bekezdés három kivételt ismer. Nem kell az érintetteket értesíteni, ha az adatokat megfelelő védelem alatt tartották (például titkosítással, amely illetéktelenek számára értelmezhetetlenné teszi őket); ha az adatkezelő utólagos intézkedései miatt a magas kockázat már valószínűleg nem valósul meg; vagy ha az értesítés aránytalan erőfeszítést igényelne. Ez utóbbi esetben nyilvános közlemény vagy hasonló intézkedés kell, amely ugyanolyan hatékonyan tájékoztat. A (4) bekezdés szerint a NAIH elrendelheti az érintettek értesítését, ha a cég nem tette meg.

Kinek?	Mikor?	Határidő	Jogalap
NAIH	Ha az incidens kockázattal jár	Indokolatlan késedelem nélkül, lehetőleg 72 órán belül	GDPR 33. cikk
Érintettek	Ha az incidens magas kockázattal jár	Indokolatlan késedelem nélkül	GDPR 34. cikk
Adatkezelő (az adatfeldolgozótól)	Minden incidensről	Indokolatlan késedelem nélkül	GDPR 33. cikk (2)
Belső nyilvántartás	Minden incidensről	Folyamatosan	GDPR 33. cikk (5)

Hogyan jelents be a NAIH-nak?

A NAIH a GDPR 33. cikk (3) bekezdésének tartalmi elemeire építve online felületet működtet, az Adatvédelmi Incidensbejelentő Rendszert. Aki nem ezt használja, a hatóság formanyomtatványán is bejelentheti az incidenst: az elektronikus ügyintézésre kötelezett adatkezelők (így a cégek) elektronikus úton, például hivatali tárhelyen vagy e-Papíron keresztül, az erre nem kötelezettek postán (1363 Budapest, Pf. 9.) vagy személyesen is. A hatóság jelzi, hogy a felület kizárólag adatkezelői bejelentésre szolgál, panaszt nem lehet rajta benyújtani.

A NAIH szerint a bejelentés fontos eleme a cég incidens-nyilvántartásának az adott esetre vonatkozó része. Ha a bejelentés hiányos, a hatóság felveszi a kapcsolatot az adatkezelővel, és ha a 33–34. cikk megsértését tárja fel, hatósági eljárást indít.

Ügyfél- és sajtókommunikáció: a jogi minimumon túl

A jogszabály a minimumot írja elő. Egy incidens után az ügyfelek azt figyelik, hogy a cég őszinte-e, és ad-e használható tanácsot. Néhány gyakorlati szabály:

• A jogi és a kommunikációs szöveg ugyanazt mondja. A NAIH-bejelentés, az érintetti értesítés, a weboldali közlemény és a sajtóválasz tényei egyezzenek; a jogász és a kommunikációs felelős együtt dolgozzon rajtuk.
• Konkrét teendők az érintetteknek. Jelszócsere, gyanús levelek figyelése, bankkártya letiltása: mondd meg pontosan, mit tegyenek, és miért.
• Ne kicsinyítsd és ne nagyítsd. A „csak néhány adat” vagy a „semmilyen veszély nincs” típusú mondatok visszaüthetnek, ha később kiderül, hogy több adat érintett.
• Figyelmeztess az adathalászatra. Egy incidens után gyakran megjelennek a cég nevében küldött hamis levelek. Írd le, milyen módon soha nem kérsz adatot.
• Készülj a sajtóra. Nagyobb incidensnél jöhetnek újságírói kérdések. A szóvivő tudja, mit lehet mondani, és mit nem (például egy folyamatban lévő nyomozás részleteit). A teljes folyamathoz a válság első 24 órájáról szóló útmutatónk ad idővonalat.
• Legyen egy hiteles aloldal. Egy frissülő weboldali tájékoztató, amelyre az e-mail, az ügyfélszolgálat és a közösségi média is visszamutat.

Az előre megírt értesítő vázlata a válságkommunikációs terv egyik melléklete legyen, hogy éles helyzetben csak a konkrét adatokat kelljen beírni.

Mintaértesítő az érintetteknek

Az alábbi minta a GDPR 34. cikk (2) bekezdésében előírt elemeket tartalmazza. A cégnév kitalált; a szögletes zárójeles részeket az adott esetre kell szabni, a végleges szöveget pedig érdemes jogásszal átnézetni.

A minta magázó, mert az ügyfeleknek szóló hivatalos levelek többsége ilyen; ha a cég kommunikációja tegező, igazítsd hozzá. Rövidebb, figyelmeztető változat mehet SMS-ben vagy alkalmazáson belüli üzenetben, a részletes levélre mutató hivatkozással.

Ellenőrzőlista az első 72 órára

1. Az incidens rögzítése: mikor jutott tudomásodra, mi történt, milyen adatok, hány érintett.
2. A sérülés megfékezése (hozzáférések megvonása, jelszócsere, szakértő bevonása).
3. Kockázatértékelés: nincs kockázat, kockázat vagy magas kockázat?
4. NAIH-bejelentés, szükség esetén szakaszosan.
5. Magas kockázatnál az érintettek értesítése.
6. Belső tájékoztatás és ügyfélszolgálati válaszminta.
7. Weboldali tájékoztató és sajtóválasz előkészítése.
8. Minden lépés dokumentálása az incidens-nyilvántartásban.

A szabályok 2026 novemberi állapotot tükröznek; konkrét ügyben kérd jogász véleményét.