Ha holnap vizsgálat indulna, mit tudna megmutatni elsőként?

Reggel 9:02.
Megszólal a telefon:
„Jó napot kívánok, az adatvédelmi hatóságtól hívom. Egy bejelentés alapján indult vizsgálat ügyében keresem...”
Ez nem sci-fi. Ez az a hívás, amit egyre több cégvezető valóban megkap – egy érintetti panasz, egy hibásan kezelt adatigénylés, vagy akár egy félrecsúszott hatósági válasz is elindíthatja a folyamatot.

Mit tudna megmutatni először?

📂 A GDPR szabályzatot?
💻 Egy e-mailt a jogásztól?
🧑‍💻 Vagy egy képernyőt, amin valós időben látja, ki mikor fért hozzá az adatokhoz?

A legtöbb cég azt gondolja, hogy ha van egy adatkezelési tájékoztató, akkor minden rendben van.
De a valóságos vizsgálatokon nem a papír számít, hanem a nyomok.
A hatóság az alábbiakat nézi:
• Volt naplózás?
• Volt mentés?
• Volt határvédelem?
• Ki küldte ki azt az Excel fájlt – és mikor?
Ezekre nem egy szabályzat ad választ. Hanem a technikai rendszer.

Az adatvédelmi bírságok jelentős része nem rosszindulat, hanyagság vagy szándékos mulasztás miatt történik – hanem azért, mert nincs elég technikai bizonyíték a megfelelésre. Egy vállalkozás lehet gondos, etikus és adatvédelmi szempontból elkötelezett – de ha egy incidens után nem tudja bemutatni, mi történt és ki volt az érintett, akkor jogilag nem tudja megvédeni magát.

A hatósági vizsgálat során a kérdések nem úgy kezdődnek, hogy „mi volt a szándékuk”, hanem így:

• „Volt naplózás?”
• „Volt mentés?”
• „Volt határvédelem?”
• „Tudják, ki férhetett hozzá az adott állományhoz?”

Ha ezekre nincs dokumentált, időbélyegzett, technikai válasz, akkor sajnos a jó szándék kevés. Egy-egy adatvesztés vagy jogosulatlan hozzáférés vizsgálatakor a hiányzó naplók, mentések, vagy jogosultsági szabályok nemcsak IT-hiba – hanem megfelelési hiba is.

Ez különösen fontos a HR, marketing és ügyvezetői szerepkörökben, ahol rendszeresen kezelnek érzékeny vagy személyes adatokat. Itt gyakran nem az IT a probléma forrása – de ha nincs mögöttük egy technikailag biztosított adatkezelési struktúra, akkor ők sem tudják utólag bizonyítani, hogy minden a szabályok szerint történt. A megfelelés tehát nemcsak jogi, hanem technikai kérdés is – és a hiányzó bizonyíték ma már bírságot jelenthet.

A NIS2 szabályozás nem csak az energiaszektort érinti.
Ha Ön:
• más cégeknek nyújt digitális szolgáltatást,
• szoftvert üzemeltet,
• üzleti vagy személyes adatokat kezel,
akkor nagy valószínűséggel beletartozik.
És a GDPR? Az nem kérdezi meg, hány fős a cég. Csak azt, mi történt az adatokkal.

• A GDPR és a NIS2 nem azért születtek, hogy bírságoljanak –
  hanem hogy segítsenek biztonságosabban működni.
  De a gyakorlatban:
  • Aki nem látja, mi történik a rendszerében, nem tudja megvédeni magát.
  • Aki nem tud adatokat visszakeresni, könnyen céltáblává válhat.
  Egy elveszett fájl, egy kilépő munkatárs, egy félreküldött e-mail.
  Nem bűn.
  De ha nincs nyoma, nincs bizonyíték – az már bírság lehet.

Nem kell mindent újraépíteni.
Nem kell jogászi diplomát szerezni.
Kis technikai lépések is óriási védelmet adnak.
• Egy jól beállított logolási rendszer
• Egy egyszerű hozzáférés-ellenőrzés
• Egy automatikus mentés, ami nem kér figyelmet
Ezeket lehet csendben bevezetni – még ma. Mielőtt valaki kérdezni kezdene.