Fogalomtár › Szabályozás és jog

adatvédelmi hatásvizsgálat (DPIA)

angolul: data protection impact assessment

Kötelező előzetes kockázatfelmérés: a szervezet még az indulás előtt végiggondolja, milyen bajt okozhat az embereknek egy kockázatos adatkezelés, és hogyan előzi meg.

Érthetően

Az adatvédelmi hatásvizsgálat olyan, mint az építkezés előtti statikai vizsgálat: nem akkor nézed meg, elbírja-e a födém a terhet, amikor már beköltöztek a lakók. A szervezet még az indulás előtt leírja, milyen személyes adatokat fog kezelni, mi sülhet el rosszul, és mit tesz ellene.

Az EU általános adatvédelmi rendelete (GDPR) akkor írja elő, ha az adatkezelés valószínűleg magas kockázatot jelent az érintett emberekre. Ilyen például a nyilvános helyek nagy léptékű megfigyelése, az egészségügyi adatok tömeges kezelése, vagy ha egy gép értékeli az embereket, és ennek alapján rájuk nézve jelentős döntés születik.

Az AI terjedésével még fontosabb lett. Egy önéletrajzokat szűrő rendszer, egy ügyfelek adataihoz hozzáférő AI-agent vagy egy arcfelismerő kamera olyan újszerű technológia, amelynél a kockázat gyakran magas, ezért a hatásvizsgálat sokszor nem választható, hanem kötelező. Ezt esetenként kell eldönteni; a NAIH listát is közzétett a kötelező esetekről.

Nem a céget védi, hanem téged. Nem azt kérdezi, mekkora bírságot kaphat a szervezet, hanem azt, hogy milyen kár érheti azt az embert, akinek az adatairól szó van.

Hogyan működik

1. Leírás: a szervezet rögzíti, milyen adatokat, kiktől, milyen célból, mennyi ideig és milyen eszközökkel kezel. AI-rendszernél azt is, hogy mit lát a modell, és mihez fér hozzá az agent.
2. Szükségesség és arányosság: megvizsgálja, hogy a cél elérhető-e kevesebb adattal vagy kevésbé tolakodó módszerrel.
3. Kockázatok felmérése: számba veszi, mi történhet az érintettekkel (például adatszivárgás, téves vagy elfogult gépi döntés, hátrányos megkülönböztetés), és ez mennyire valószínű és súlyos.
4. Védőintézkedések: meghatározza, mivel csökkenti a kockázatot, például titkosítással, hozzáférés-korlátozással, emberi felülvizsgálattal vagy rövidebb megőrzési idővel. Kikéri az adatvédelmi tisztviselő véleményét is, ha van ilyen.
5. Döntés és utánkövetés: ha a kockázat az intézkedések után is magas marad, indulás előtt egyeztetni kell az adatvédelmi hatósággal (Magyarországon a NAIH-hal). A vizsgálatot frissíteni kell, ha a rendszer lényegesen megváltozik.

Példa a mindennapokból

Kit érint

Gyakori félreértés

Korlátok és kockázatok

• A szervezet önmagát vizsgálja, ezért a minőség nagyon változó: a gondos elemzéstől a kipipált sablonig bármi előfordul.
• A hatásvizsgálatot nem kötelező nyilvánosságra hozni, így érintettként általában nem láthatod, mi áll benne.
• Az elkészült vizsgálat nem engedély és nem garancia: a rendszer attól még okozhat kárt, a cég pedig kaphat bírságot.
• AI-rendszereknél nehéz előre felmérni a kockázatot, mert a modell viselkedése nem teljesen kiszámítható, és egy agent menet közben új adatokhoz is hozzáférhet.

Hasonló, de nem ugyanaz

• alapjogi hatásvizsgálat – Ezt az EU AI-rendelete írja elő egyes magas kockázatú AI-rendszerek alkalmazóinak, és minden alapjogra kiterjed, nem csak a személyes adatok védelmére.
• érdekmérlegelési teszt – Ez csak azt vizsgálja, hogy a szervezet jogos érdeke erősebb-e az érintett jogainál, vagyis a jogalapról szól, nem a teljes kockázati képről.
• adatvédelmi audit – Az audit egy már működő adatkezelés szabályosságát ellenőrzi utólag, a hatásvizsgálat viszont előre, még az indulás előtt méri fel a kockázatot.

Kapcsolódó fogalmak

Röviden a története

A hatásvizsgálat a korábbi „privacy impact assessment” gyakorlatból nőtt ki, amely a legtöbb helyen önkéntes volt, de például az Egyesült Államok szövetségi szerveinek már a 2000-es évek elejétől törvény írta elő. Az EU-ban általános kötelezettséggé a 2016-ban elfogadott általános adatvédelmi rendelet (GDPR) tette, amelynek 35. cikkét 2018. május 25-től kell alkalmazni.

Hol tart most

2026 végén az EU-ban bevett, a hatóságok által számon kért kötelezettség. Az AI-rendszerek és agentek terjedésével egyre több szervezetnek kell elkészítenie. Az AI-rendelet szerinti alapjogi hatásvizsgálat a magas kockázatú rendszerekre vonatkozó szabályok elhalasztása miatt még nem kötelező, de a szervezetek már készülnek arra, hogy a kettőt összehangolják.

Állapot: 2026. november

A hírekben

• Mikor kötelező adatvédelmi hatásvizsgálat MI-rendszer bevezetésekor2026. aug. 17. · Jog

Más nevei

adatvédelmi hatásvizsgálat · DPIA · data protection impact assessment · adatvédelmi hatásértékelés · adatvédelmi hatáselemzés · privacy impact assessment · PIA · GDPR-hatásvizsgálat

Források

• Privacy impact assessment – Wikipedia

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.