Kinek kötelező adatvédelmi tisztviselőt kijelölnie? Önkormányzatok és kamerás adatkezelések

Az adatvédelmi tisztviselő kijelölése nem minden adatkezelőnél kötelező. Az önkormányzatoknál viszont főszabály szerint igen, a kiterjedt kamerás megfigyelés pedig más szervezeteknél is önálló kijelölési kötelezettséget teremthet. A döntő kérdés nem a kezelt adatok puszta mennyisége, hanem a szervezet jogállása, az adatkezelés célja, rendszeressége és léptéke.

Utolsó szakmai frissítés: 2026. augusztus 26.

A GDPR három kötelező esetet határoz meg

A GDPR 37. cikke alapján adatvédelmi tisztviselőt – gyakran használt rövidítéssel DPO-t – kell kijelölni, ha az alábbi feltételek valamelyike teljesül:

• az adatkezelést közhatalmi vagy egyéb közfeladatot ellátó szerv végzi, az igazságszolgáltatási feladatkörben eljáró bíróságok kivételével;
• a szervezet fő tevékenysége olyan adatkezelés, amely az érintettek rendszeres és szisztematikus, nagymértékű megfigyelését teszi szükségessé;
• a fő tevékenység különleges adatok, illetve büntetőjogi felelősségre vonatkozó adatok nagymértékű kezelésével jár.

A három feltétel vagylagos. Már egyetlen feltétel teljesülése is elegendő. Ha a kötelezettség nem egyértelmű, a mérlegelést és annak eredményét célszerű írásban dokumentálni. Ezt javasolja az Európai Adatvédelmi Testület gyakorlati útmutatója is.

Az önkormányzatnál nem mérlegelési kérdés

Az önkormányzat közhatalmi, illetve közfeladatot ellátó szerv, ezért a DPO kijelölése nem attól függ, hogy hány lakosa van a településnek, hány ügyet intéz a hivatal, vagy működtet-e kamerarendszert. A kötelezettség a közfeladati jogállásból következik.

A gyakorlatban azonban először azt kell pontosan feltérképezni, hogy mely szervezetek önálló adatkezelők. Az önkormányzat, a polgármesteri vagy közös önkormányzati hivatal, továbbá az intézmények nem automatikusan egyetlen adatkezelőként működnek. Saját jogalanyiságuk, feladataik és döntési hatáskörük alapján külön-külön is szükséges lehet a kijelölés, a nyilvántartás és a NAIH-bejelentés.

Ettől még nem kell minden szervezethez más személyt választani. A GDPR lehetővé teszi, hogy több közhatalmi vagy közfeladatot ellátó szerv közös adatvédelmi tisztviselőt jelöljön ki, ha ezt a szervezeti felépítés és a méret lehetővé teszi. Önkormányzati környezetben ezért a külső DPO-modell különösen életszerű: egy szakember egységes módszertant tud alkalmazni az önkormányzatnál, a hivatalnál és az intézményeknél, miközben az egyes adatkezelők felelőssége elkülönül.

A biztonsági kamera önmagában még nem mindenkinél jelent DPO-kötelezettséget

Gyakori tévedés, hogy bármilyen kamerás megfigyelés automatikusan adatvédelmi tisztviselőt igényel. Egy kis üzlet néhány, szűk látómezővel működő biztonsági kamerája önmagában rendszerint nem éri el a nagymértékű megfigyelés szintjét. Ettől az adatkezelésnek természetesen még jogszerűnek, szükségesnek, arányosnak és átláthatónak kell lennie.

A kijelölés akkor válhat kötelezővé, ha a megfigyelés a szervezet fő tevékenységéhez kapcsolódik, rendszeres és szisztematikus, valamint nagymértékű. Ilyen lehet például egy nagy bevásárlóközpont, közlekedési csomópont vagy kiterjedt közterület folyamatos kamerás ellenőrzése, illetve egy biztonsági szolgáltató olyan tevékenysége, amelynek lényegi eleme sok személy és helyszín megfigyelése.

A „nagymértékű” jelleg megítélésekor több tényezőt együtt kell vizsgálni:

• hány embert érint vagy érinthet a megfigyelés;
• mennyi és milyen részletességű adat keletkezik;
• milyen hosszan és milyen rendszerességgel működik a rendszer;
• mekkora földrajzi területet fed le;
• a megfigyelés mennyire szerves része a szervezet alaptevékenységének.

Önkormányzati kamera esetén a DPO szerepe különösen erős

Az önkormányzatnál a DPO-kötelezettség már a közfeladati jogállás miatt fennáll. A közterületi térfigyelés ezt nem létrehozza, hanem szakmailag jóval összetettebbé teszi. A kamera olyan személyeket figyel meg, akik jellemzően nem tudják elkerülni az adott útvonalat vagy közterületet, ezért a szükségesség és arányosság bizonyítása kiemelt jelentőségű.

A tisztviselőt már a tervezéskor be kell vonni. Írásban véleményeznie kell többek között a célokat, a jogalapot, a kameránkénti látómezőt, a megőrzési időt, a hozzáférési jogosultságokat, az adattovábbítást, az érintetti tájékoztatást és – ahol szükséges – az adatvédelmi hatásvizsgálatot. A DPO nem „engedélyezi” az adatkezelést és nem veszi át a döntéshozó felelősségét: függetlenül tanácsot ad és ellenőrzi a megfelelést.

Nem elég valakit DPO-nak nevezni

A tisztviselőnek megfelelő szakértelemmel, tényleges hozzáféréssel és elegendő erőforrással kell rendelkeznie. Közvetlenül a legfelső vezetési szinthez kell kapcsolódnia, nem utasítható a szakmai álláspontja tartalmára, és nem kerülhet összeférhetetlen helyzetbe. Különösen kockázatos, ha ugyanaz a személy határozza meg az adatkezelés célját és eszközeit, majd DPO-ként saját döntéseit ellenőrzi.

A kijelölt tisztviselő elérhetőségét közzé kell tenni és be kell jelenteni a NAIH-nak. A NAIH bejelentő rendszerében a tisztviselőnek a kapott értesítés alapján 15 napon belül jóvá is kell hagynia a bejelentést; enélkül a Hatóság azt meg nem tettnek tekinti.

Öt lépés a helyes kijelöléshez

1. Adatkezelői térkép: különítsük el az önkormányzatot, a hivatalt, a társulást és az intézményeket.
2. Kötelezettségi vizsgálat: minden szervezetnél rögzítsük, mely GDPR-feltétel miatt kötelező – vagy miért nem kötelező – a DPO.
3. Szakértelem és kapacitás: a feladatkörhöz illeszkedő jogi és gyakorlati tudás, elérhetőség és helyettesíthetőség szükséges.
4. Függetlenség: vizsgáljuk meg az összeférhetetlenséget, a beszámolási rendet és a korai bevonás folyamatát.
5. Közzététel és bejelentés: a DPO elérhetősége kerüljön a tájékoztatókba és a honlapra, a bejelentés pedig legyen visszaigazolt.

A cikk általános szakmai tájékoztatás, és nem helyettesíti az adott szervezet jogállásának és adatkezeléseinek egyedi vizsgálatát.