Utolsó szakmai frissítés: 2026. augusztus 26.

A GDPR három kötelező esetet határoz meg

A GDPR 37. cikke alapján adatvédelmi tisztviselőt – gyakran használt rövidítéssel DPO-t – kell kijelölni, ha az alábbi feltételek valamelyike teljesül:

• az adatkezelést közhatalmi vagy egyéb közfeladatot ellátó szerv végzi, az igazságszolgáltatási feladatkörben eljáró bíróságok kivételével;
• a szervezet fő tevékenysége olyan adatkezelés, amely az érintettek rendszeres és szisztematikus, nagymértékű megfigyelését teszi szükségessé;
• a fő tevékenység különleges adatok, illetve büntetőjogi felelősségre vonatkozó adatok nagymértékű kezelésével jár.

A három feltétel vagylagos. Már egyetlen feltétel teljesülése is elegendő. Ha a kötelezettség nem egyértelmű, a mérlegelést és annak eredményét célszerű írásban dokumentálni. Ezt javasolja az Európai Adatvédelmi Testület gyakorlati útmutatója is.

Az önkormányzatnál nem mérlegelési kérdés

Az önkormányzat közhatalmi, illetve közfeladatot ellátó szerv, ezért a DPO kijelölése nem attól függ, hogy hány lakosa van a településnek, hány ügyet intéz a hivatal, vagy működtet-e kamerarendszert. A kötelezettség a közfeladati jogállásból következik.

A gyakorlatban azonban először azt kell pontosan feltérképezni, hogy mely szervezetek önálló adatkezelők. Az önkormányzat, a polgármesteri vagy közös önkormányzati hivatal, továbbá az intézmények nem automatikusan egyetlen adatkezelőként működnek. Saját jogalanyiságuk, feladataik és döntési hatáskörük alapján külön-külön is szükséges lehet a kijelölés, a nyilvántartás és a NAIH-bejelentés.

Ettől még nem kell minden szervezethez más személyt választani. A GDPR lehetővé teszi, hogy több közhatalmi vagy közfeladatot ellátó szerv közös adatvédelmi tisztviselőt jelöljön ki, ha ezt a szervezeti felépítés és a méret lehetővé teszi. Önkormányzati környezetben ezért a külső DPO-modell különösen életszerű: egy szakember egységes módszertant tud alkalmazni az önkormányzatnál, a hivatalnál és az intézményeknél, miközben az egyes adatkezelők felelőssége elkülönül.

A biztonsági kamera önmagában még nem mindenkinél jelent DPO-kötelezettséget

Gyakori tévedés, hogy bármilyen kamerás megfigyelés automatikusan adatvédelmi tisztviselőt igényel. Egy kis üzlet néhány, szűk látómezővel működő biztonsági kamerája önmagában rendszerint nem éri el a nagymértékű megfigyelés szintjét. Ettől az adatkezelésnek természetesen még jogszerűnek, szükségesnek, arányosnak és átláthatónak kell lennie.

A kijelölés akkor válhat kötelezővé, ha a megfigyelés a szervezet fő tevékenységéhez kapcsolódik, rendszeres és szisztematikus, valamint nagymértékű. Ilyen lehet például egy nagy bevásárlóközpont, közlekedési csomópont vagy kiterjedt közterület folyamatos kamerás ellenőrzése, illetve egy biztonsági szolgáltató olyan tevékenysége, amelynek lényegi eleme sok személy és helyszín megfigyelése.

A „nagymértékű” jelleg megítélésekor több tényezőt együtt kell vizsgálni:

• hány embert érint vagy érinthet a megfigyelés;
• mennyi és milyen részletességű adat keletkezik;
• milyen hosszan és milyen rendszerességgel működik a rendszer;
• mekkora földrajzi területet fed le;
• a megfigyelés mennyire szerves része a szervezet alaptevékenységének.

Önkormányzati kamera esetén a DPO szerepe különösen erős

Az önkormányzatnál a DPO-kötelezettség már a közfeladati jogállás miatt fennáll. A közterületi térfigyelés ezt nem létrehozza, hanem szakmailag jóval összetettebbé teszi. A kamera olyan személyeket figyel meg, akik jellemzően nem tudják elkerülni az adott útvonalat vagy közterületet, ezért a szükségesség és arányosság bizonyítása kiemelt jelentőségű.

A tisztviselőt már a tervezéskor be kell vonni. Írásban véleményeznie kell többek között a célokat, a jogalapot, a kameránkénti látómezőt, a megőrzési időt, a hozzáférési jogosultságokat, az adattovábbítást, az érintetti tájékoztatást és – ahol szükséges – az adatvédelmi hatásvizsgálatot. A DPO nem „engedélyezi” az adatkezelést és nem veszi át a döntéshozó felelősségét: függetlenül tanácsot ad és ellenőrzi a megfelelést.

Nem elég valakit DPO-nak nevezni

A tisztviselőnek megfelelő szakértelemmel, tényleges hozzáféréssel és elegendő erőforrással kell rendelkeznie. Közvetlenül a legfelső vezetési szinthez kell kapcsolódnia, nem utasítható a szakmai álláspontja tartalmára, és nem kerülhet összeférhetetlen helyzetbe. Különösen kockázatos, ha ugyanaz a személy határozza meg az adatkezelés célját és eszközeit, majd DPO-ként saját döntéseit ellenőrzi.

A kijelölt tisztviselő elérhetőségét közzé kell tenni és be kell jelenteni a NAIH-nak. A NAIH bejelentő rendszerében a tisztviselőnek a kapott értesítés alapján 15 napon belül jóvá is kell hagynia a bejelentést; enélkül a Hatóság azt meg nem tettnek tekinti.

Öt lépés a helyes kijelöléshez

1. Adatkezelői térkép: különítsük el az önkormányzatot, a hivatalt, a társulást és az intézményeket.
2. Kötelezettségi vizsgálat: minden szervezetnél rögzítsük, mely GDPR-feltétel miatt kötelező – vagy miért nem kötelező – a DPO.
3. Szakértelem és kapacitás: a feladatkörhöz illeszkedő jogi és gyakorlati tudás, elérhetőség és helyettesíthetőség szükséges.
4. Függetlenség: vizsgáljuk meg az összeférhetetlenséget, a beszámolási rendet és a korai bevonás folyamatát.
5. Közzététel és bejelentés: a DPO elérhetősége kerüljön a tájékoztatókba és a honlapra, a bejelentés pedig legyen visszaigazolt.

A cikk általános szakmai tájékoztatás, és nem helyettesíti az adott szervezet jogállásának és adatkezeléseinek egyedi vizsgálatát.

Utolsó szakmai frissítés: 2026. augusztus 26.

1. Ki az adatkezelő, és ki működteti ténylegesen a rendszert?

Az első kérdés nem műszaki, hanem szervezeti. Pontosan meg kell nevezni az adatkezelőt, a kamerarendszer jogszerű üzemeltetőjét, a tárhely vagy szerviz szolgáltatóját, továbbá minden olyan szereplőt, aki a felvételekhez hozzáférhet. Az önkormányzat, a polgármesteri hivatal, a közterület-felügyelet, a rendőrség, a polgárőrség és az informatikai szolgáltató nem felcserélhető fogalmak.

Egy együttműködési megállapodás önmagában nem ad korlátlan hozzáférési jogot. Minden szereplőnél külön tisztázni kell a törvényi feladatot, az adatvédelmi minőséget, az utasítási jogot és az elszámoltathatóságot. A rendőrségi adatigénylés vagy a polgárőr közreműködése sem jelenthet folyamatos, közös felhasználóval végzett, naplózatlan betekintést.

2. Minden kamerának külön, valós célra van szüksége

Nem elég azt írni, hogy a rendszer „a közbiztonság javítását” szolgálja. Kameránként dokumentálni kell, milyen konkrét probléma indokolja a megfigyelést: visszatérő rongálás, illegális hulladéklerakás, balesetveszélyes csomópont vagy más, tényszerűen azonosított kockázat.

A szükségességi és arányossági vizsgálatnak arra is ki kell térnie, hogy a cél elérhető-e kevésbé beavatkozó megoldással. Ilyen lehet a közvilágítás javítása, a fizikai védelem, az időszakos járőrözés, a forgalmi rend módosítása vagy más szervezési intézkedés. Ha ezek nem elegendők, akkor is a legszűkebb, célhoz igazított látómezőt kell választani.

3. A dokumentált látómezőnek egyeznie kell a valós képpel

A kamerajegyzékben szereplő helyszín és irány csak kiindulópont. Üzembe helyezéskor, karbantartás után és rendszeres felülvizsgálatkor a tényleges képet is ellenőrizni kell. A kamera nem figyelhet indokolatlanul lakóingatlant, ablakot, kapubejárót, magánterületet vagy olyan közterületi részt, amely nem kapcsolódik a meghatározott célhoz.

A nagyítható, elfordítható vagy távolról állítható kamera külön kockázatot jelent. Az elérhető funkciókat ugyanúgy korlátozni és naplózni kell, mint magát a felvételhez való hozzáférést.

4. A kép mellé nem jár automatikusan hang vagy arcfelismerés

A hangrögzítés lényegesen erősebb beavatkozás, és nem tekinthető a kamerás megfigyelés természetes kiegészítőjének. Ugyanez igaz az arcfelismerésre, a személyek automatikus azonosítására és más biometrikus funkciókra. A NAIH siófoki ügyben hozott határozata jól mutatja, hogy a technikailag elérhető funkció még nem lesz jogszerűen alkalmazható.

Gyakorlati alapbeállításként a közterületi rendszer ne rögzítsen hangot és ne végezzen biometrikus azonosítást. Ha a műszaki eszköz ilyen funkcióval rendelkezik, annak kikapcsolását és jogosultsági korlátozását is dokumentálni kell.

5. A megőrzési idő nem „biztonsági tartalék”

A közterület-felügyeletről szóló törvény alapján működő rendszerben a felvételekre főszabály szerint 30 napos törlési rend vonatkozik. Ez nem azt jelenti, hogy minden felvételt indokolás nélkül 30 napig kell őrizni, hanem azt, hogy a megőrzés célját, automatizmusát és kivételes zárolását szabályozni kell.

Ha egy felvétel eljárás, hatósági megkeresés vagy érintetti joggyakorlás miatt szükséges, a további kezelés okát, időpontját, felelősét és címzettjét rögzíteni kell. A jogszerűséghez nem elegendő az automatikus törlés ígérete: időszakosan bizonyítani is kell, hogy a rendszer ténylegesen a beállított rend szerint töröl.

6. A visszanézésnek mindig legyen konkrét oka és nyoma

A felvételek nézegetése nem lehet általános ellenőrzési rutin vagy kíváncsiság. A hozzáféréshez névre szóló felhasználó, megfelelő jogosultsági szint, dokumentált cél és napló szükséges. A visszanézés, kimentés, átadás, zárolás és törlés olyan esemény, amelynek utólag is ellenőrizhetőnek kell lennie.

A közös jelszó, a nyitva hagyott megfigyelőhelyiség vagy a naplózatlan külső hozzáférés az elszámoltathatóságot teszi lehetetlenné. A NAIH kerepesi kamerás határozata arra is rámutat, hogy a fizikai és informatikai védelem gyakorlati állapota ugyanolyan fontos, mint a szabályzat szövege.

7. A tájékoztatásnak a helyszínen és a honlapon is működnie kell

A kamerával megfigyelt területre belépő személynek még a megfigyelés megkezdése előtt észlelnie kell a figyelemfelhívó jelzést. A rövid helyszíni tájékoztatásnak el kell vezetnie a részletes, könnyen elérhető tájékoztatóhoz. Abban érthetően szerepeljen az adatkezelő, a DPO elérhetősége, a cél és jogalap, a megőrzési idő, a hozzáférők köre, a továbbítás szabálya és az érintetti jogok gyakorlása.

A tájékoztatónak a valós működést kell leírnia. Ha a dokumentum 30 napos törlést, kizárólagos hozzáférést és naplózást ígér, ezeknek a rendszerben és a gyakorlatban is ellenőrizhetően teljesülniük kell.

A szükséges dokumentáció egy működési lánc

Egy jól felépített önkormányzati kamerarendszer dokumentációja nem egyetlen szabályzatból áll. Össze kell kapcsolni a döntést és jogalapot, a kameránkénti szükségességi–arányossági indokolást, az adatvédelmi hatásvizsgálatot, a DPO írásbeli véleményét, a kamerajegyzéket, a tájékoztatást, a jogosultsági mátrixot, a hozzáférési és adattovábbítási naplót, valamint a törlés ellenőrzését.

Évente, továbbá minden bővítés, áthelyezés vagy funkcióváltás előtt érdemes felülvizsgálni, hogy a korábbi cél és a tényleges látómező még mindig indokolt-e. A jó rendszer nem attól megfelelőségi szempontból erős, hogy sok kamerája van, hanem attól, hogy minden egyes kamera szükségessége és működése bizonyítható.

A cikk általános szakmai tájékoztatás. A konkrét rendszer jogszerűsége az alkalmazandó ágazati szabályok, a szervezeti szerepek és a tényleges műszaki működés együttes vizsgálatával állapítható meg.

Utolsó szakmai frissítés: 2026. augusztus 26.

A „fent van a honlapon” önmagában nem válasz

Az általános közzétételi kötelezettség teljesítéséhez nem elegendő, ha az adatok különböző hírekben, testületi anyagokban vagy nehezen kereshető PDF-ekben valahol megtalálhatók. A 2011. évi CXII. törvény – az Infotv. – 1. melléklete szerinti szerkezetet áttekinthetően és következetesen kell megjeleníteni.

A NAIH monitoringjelentéseiben rendszeresen vizsgálja, hogy van-e a honlap kezdőlapjáról közvetlenül elérhető, egyértelműen „Közérdekű adatok” elnevezésű belépési pont. A Bükkszentkereszt Község Önkormányzatát érintő monitoringjelentés is azt mutatja, hogy egy kapcsolódó dokumentum jelenléte nem pótolja az általános közzétételi listát.

A teljes lista akkor is teljes, ha valamely adat nem alkalmazandó

Gyakori hiba, hogy a szerv egyszerűen kihagyja azokat a közzétételi egységeket, amelyeknél nincs megjeleníthető adat. A hatósági ellenőrzés szempontjából azonban a hiányzó sor nem különböztethető meg attól, hogy a kötelezett elfelejtette vagy félreértette a feladatot.

Jobb megoldás a teljes, I–III. fejezet szerinti lista megtartása, és az egyes soroknál az egyértelmű „nincs adat” vagy „nem alkalmazandó” jelzés rövid indokolással. Ez nem formai játék: ebből látható, hogy a szervezet végigvizsgálta a közzétételi követelményeket.

Minden adatkezelő és kötelezett a saját adataiért felel

Az önkormányzat, a polgármesteri vagy közös önkormányzati hivatal és az intézmények szervezeti közelsége nem jelenti azt, hogy automatikusan egyetlen közzétételi listával elintézhető minden feladat. A honlapnak világosan meg kell mutatnia, melyik adat melyik szervhez tartozik, és az egyes szervek jogállása alapján milyen általános vagy különös közzétételi kötelezettség áll fenn.

A másik szerv oldalára mutató hivatkozás csak akkor megfelelő, ha az adat ténylegesen ott található, a kapcsolat egyértelmű, a link működik, és a közzététel a saját kötelezettség teljesítését is bizonyítja. Egy közös honlap mögött ezért adatgazda- és felelősi térképre van szükség.

A naprakészséghez dátum, felelős és archívum kell

A NAIH nemcsak azt nézi, hogy van-e adat, hanem azt is, hogy aktuális-e. Elavult vezetői név, régi elérhetőség, megszűnt szervezeti egység, hiányos rendeletjegyzék vagy több éve nem frissített statisztika ugyanúgy hiányosságot jelezhet, mint az üres oldal.

Minden közzétételi egységhez érdemes hozzárendelni:

• az adatgazdát és a közzétételért felelős személyt;
• a frissítés gyakoriságát és következő határidejét;
• a legutóbbi módosítás dátumát;
• a korábbi állapot megőrzési vagy archiválási szabályát;
• a feltöltést és ellenőrzést igazoló bizonyítékot.

Így a közzététel nem személyfüggő honlapszerkesztési feladattá, hanem ellenőrizhető működési folyamattá válik.

A Közadatkereső és a KIF külön ellenőrzési pont

A saját honlap rendezettsége nem teszi feleslegessé a központi rendszerekhez kapcsolódó kötelezettségeket. A központi közadatkereső nyilvántartás és a KIF-adatszolgáltatás állapotát, a beküldések gyakoriságát, valamint a honlapon és a központi rekordban szereplő adatok egyezőségét külön is ellenőrizni kell.

Tipikus probléma, hogy a központi rekordban régi vezető vagy hibás honlapcím marad, miközben a saját weboldal már megváltozott. A hatósági gyakorlat ezt nem elszigetelt informatikai hibának, hanem a közzétételi folyamat hiányosságának tekintheti. Célszerű ezért legalább negyedévente egyezőségi ellenőrzést végezni és annak eredményét megőrizni.

Az adatigénylés kezelése is az információszabadsági rendszer része

A közérdekű adatot bárki, formai kötöttség nélkül kérheti. Az igénylőtől a teljesítéshez szükséges néven és elérhetőségen túl nem kérhető indokolás vagy a cél megjelölése. A NAIH tájékoztatója szerint a választ a lehető legrövidebb időn belül, főszabály szerint legfeljebb 15 napon belül kell megadni; indokolt esetben a határidő egy alkalommal, az igénylő értesítése mellett hosszabbítható meg.

A szervezetnek nyilvántartásban kell követnie a beérkezést, a pontosítást, a felelőst, a határidőt, a kiadott adatokat, az esetleges elutasítás jogalapját és a jogorvoslati tájékoztatást. Az éves statisztikai adatszolgáltatásnak ugyanezzel a nyilvántartással kell összhangban lennie.

A „döntés megalapozását szolgáló adat” nem automatikus elutasítás

A hatósági és bírói gyakorlat egyik visszatérő üzenete, hogy az Infotv. szerinti kivételre nem elegendő egyetlen mondatban, formálisan hivatkozni. Meg kell nevezni, milyen konkrét döntés előkészítését szolgálja az adat, a döntési folyamat mely szakaszában jár, és a nyilvánosságra kerülés milyen valós, azonosítható sérelmet okozna a döntéshozatalban.

Ha az adat egy része kiadható, a teljes dokumentum visszatartása helyett elkülönítést és részleges teljesítést kell vizsgálni. Különösen fontos az is, hogy egy kifejezett közzétételi kötelezettséget nem lehet általános „döntés-előkészítő” címkével kiüresíteni.

A személyes adatok védelme és a nyilvánosság egyszerre követelmény

A gyors közzététel nem történhet ellenőrzés nélkül. Testületi előterjesztések, jegyzőkönyvek, pályázatok és mellékletek olyan személyes adatokat tartalmazhatnak, amelyekre nem terjed ki a nyilvánosság. A feltöltés előtti adatvédelmi szűrés, szükség szerinti kitakarás, jóváhagyási lánc és keresőindex-ellenőrzés ezért az információszabadsági folyamat része.

A jó gyakorlat nem a „mindent közzétenni” és nem is a „semmit kiadni” szélsősége. A cél az, hogy a közérdekű és közérdekből nyilvános adatok könnyen hozzáférhetők legyenek, miközben a védendő személyes vagy más törvényesen korlátozott adatok ne kerüljenek indokolatlanul nyilvánosságra.

Mit jelent mindez a napi működésben?

A NAIH-szemléletű megfelelőség havi vagy negyedéves kontrollciklussal tartható fenn. A vezetői státuszban minden eltéréshez legyen felelős, határidő és bizonyíték. Évente legalább egyszer pedig érdemes végigellenőrizni a teljes közzétételi listát, az intézményi jogállásokat, a központi nyilvántartásokat, az adatigénylési statisztikát és a honlap közvetlen elérhetőségét.

Az eredmény nem csupán kisebb hatósági kockázat. A rendezett, kereshető és naprakész közérdekű adatok csökkentik az ismétlődő adatigénylések számát, gyorsítják a hivatali munkát és erősítik a közbizalmat.

A cikk általános szakmai tájékoztatás. A konkrét kötelezettségeket az adott szervezet jogállása, feladatai és az alkalmazandó általános, különös vagy egyedi közzétételi szabályok alapján kell meghatározni.