Fogalomtár › Szabályozás és jog

adatfeldolgozási megállapodás (DPA)

angolul: data processing agreement

Írásos szerződés arról, hogy egy külső szolgáltató milyen feltételekkel és korlátok között kezelheti a rá bízott személyes adatokat a megbízó nevében.

Érthetően

Ha egy cég a nála lévő személyes adatokat (ügyfelek, dolgozók, betegek adatait) egy külső szolgáltatóra bízza, a kettejük viszonyát szerződésben kell rögzíteni. Ez az adatfeldolgozási megállapodás. A megbízó cég az adatkezelő: ő dönti el, mire használják az adatot. A szolgáltató az adatfeldolgozó: ő csak végrehajt.

Olyan ez, mint amikor odaadod a lakáskulcsot a takarítócégnek. Bemehetnek, de csak takarítani: nem nézhetnek bele a fiókokba, nem adhatják tovább a kulcsot akárkinek, és a munka végén visszaadják. A megállapodás ezeket a szabályokat írja le az adatokra.

Az AI-eszközöknél ez különösen fontos. Ha egy cég chatbotba, AI-asszisztensbe vagy agentbe ügyféladatokat tölt, az AI-szolgáltató jellemzően adatfeldolgozó lesz. A megállapodás rögzíti például, hogy tanítható-e a modell ezeken az adatokon, meddig őrzik meg őket, és hol tárolják. Ha a szolgáltató a saját céljaira is felhasználja az adatokat, például a modellje tanítására, akkor erre a felhasználásra már nem adatfeldolgozó, hanem maga is adatkezelő.

Hogyan működik

1. A felek leírják, pontosan milyen adatokról, kiknek az adatairól, milyen célból és mennyi ideig van szó.
2. A szolgáltató vállalja, hogy csak a megbízó írásos utasítása szerint dolgozik az adatokkal, saját célra nem használja őket, a munkatársait pedig titoktartás köti.
3. Rögzítik a biztonsági intézkedéseket (például titkosítás, hozzáférés-korlátozás). Azt is rögzítik, hogy a szolgáltató csak a megbízó előzetes írásos engedélyével vonhat be további adatfeldolgozókat (al-adatfeldolgozókat). Ez az engedély lehet egyedi vagy általános. Általános engedélynél a szolgáltatónak előre jeleznie kell a változást, és a megbízó tiltakozhat.
4. A szolgáltató vállalja, hogy adatvédelmi incidens esetén indokolatlan késedelem nélkül szól, segít az érintettek kéréseinek (például törlés, hozzáférés) teljesítésében, és engedi, hogy a megbízó ellenőrizze.
5. A szerződés végén a szolgáltató a megbízó választása szerint törli vagy visszaadja az adatokat, és a meglévő másolatokat is törli, hacsak jogszabály nem írja elő a megőrzésüket.

Példa a mindennapokból

Kit érint

Gyakori félreértés

Korlátok és kockázatok

• A megállapodás papír: önmagában nem akadályozza meg az adatszivárgást, csak a kötelezettségeket és a felelősséget rögzíti.
• A nagy AI- és felhőszolgáltatók többnyire saját, előre megírt szöveget adnak, amelyen egy kisebb cég alig tud változtatni, ezért alaposan el kell olvasnod.
• Az ingyenes, magánszemélyeknek szánt AI-eszközökhöz jellemzően nem jár ilyen megállapodás, így céges személyes adatok feldolgozására általában nem alkalmasak.
• Ha az adat az Európai Gazdasági Térségen kívülre kerül, és a célországra nincs uniós megfelelőségi határozat, a megállapodás mellett külön adattovábbítási garanciák is kellenek, például az adattovábbításra szóló általános szerződési kikötések.

Hasonló, de nem ugyanaz

• adatkezelési tájékoztató – A tájékoztató neked, az érintettnek szól arról, mi történik az adataiddal, a megállapodás viszont két cég egymás közötti szerződése.
• titoktartási megállapodás (NDA) – Az NDA üzleti titkokat véd, és a tartalmáról a felek szabadon megegyeznek. Az adatfeldolgozási megállapodás viszont személyes adatokra vonatkozik, és a kötelező minimális tartalmát jogszabály írja elő.
• általános szerződési feltételek – Az ÁSZF a szolgáltatás egészének használatát szabályozza (díj, felelősség, felmondás), az adatfeldolgozási megállapodás csak a személyes adatok kezelését, gyakran az ÁSZF mellékleteként.

Kapcsolódó fogalmak

Röviden a története

Az adatfeldolgozó szerződéses megkötését már az EU 1995-ös adatvédelmi irányelve (95/46/EK) is előírta. A mai, részletes tartalmi követelményeket a 2016-ban elfogadott és 2018. május 25-től alkalmazandó GDPR 28. cikke rögzíti. Az Európai Bizottság 2021-ben mintaszöveget (általános szerződési kikötéseket) is kiadott hozzá, ennek használata nem kötelező.

Hol tart most

2026 végén az üzleti felhő- és AI-szolgáltatások bevett szerződéses eleme, a nagy szolgáltatók az üzleti csomagjaikhoz kész szöveget kínálnak. Az AI-nál a fő kérdés a modell tanítása a beküldött adatokon, valamint az agentek által bevont további szolgáltatók láncának átláthatósága.

Állapot: 2026. november

Más nevei

adatfeldolgozási megállapodás · adatfeldolgozási szerződés · adatfeldolgozói szerződés · adatfeldolgozói megállapodás · DPA · data processing agreement · data processing addendum · GDPR 28. cikk szerinti szerződés

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.