Az egészségügyi adatok védelme és a GDPR megfelelőség a szakemberek számára
Az egészségügyi adatok a GDPR szerint a legérzékenyebb személyes adatok. Fedezze fel az iparágban dolgozó szakemberekre vonatkozó összes kötelezettséget 2026-ban.
9 min
Megfelelőségi útmutató 2026
Elektronikus aláírás és GDPR: útmutató adatvédelmi tisztviselőknek
Az elektronikus aláírási megoldás bevezetése számos GDPR-vel kapcsolatos kérdést felvet: hol tárolódnak az adatok? Ki férhet hozzájuk? Van-e Cloud Act kockázat? Ez az útmutató megválaszolja ezeket a kérdéseket, és elmagyarázza, hogyan lehet az GDPR-vel megfelelő megoldást választani szervezete számára.
Frissítve
Milyen személyes adatokat kezel egy aláírási megoldás?
Egy elektronikus aláírási platform több személyes adat-kategóriát kezel.
- Az aláíró személyazonossága: név, vezetéknév, e-mail, telefonszám
- Dokumentumtartalom: potenciálisan érzékeny személyes adatok (munkaszerződések, egészségügyi adatok, pénzügyi adatok)
- Audit trail adatok: IP-cím, timestamp, user-agent
- Viselkedési adatok: kézírásos aláírás nyomvonala tableten (ha biometrikus QES)
Hol tárolódnak az adatok, és vannak-e az EU-n kívüli adatátvitelek?
A GDPR előírja, hogy személyes adatok csak az EU-n kívülre olyan országokba vihetők át, amelyek megfelelő adatvédelmi szintet biztosítanak, vagy megfelelő garanciák mellett (SCCs, BCRs). Az aláírási megoldások esetében ez a következőket jelenti:
- EU-s szerver-tárolás → natív átvitel, nincsenek további eljárások
- US szerver-tárolás SCCs-sel → lehetséges, de fennmarad a Cloud Act-ből adódó kockázat
- US entitás (Cloud Act) → nem szüntethető meg a kockázat még EU-s szerver-tárolás esetén sem
Vonatkozik-e az amerikai Cloud Act az elektronikus aláírásra?
A Cloud Act (2018) felhatalmazást ad az amerikai hatóságoknak az amerikai jog alá tartozó vállalatok által tárolt adatokhoz való hozzáférésre, még akkor is, ha ezek az adatok Európában vannak tárolva. A DocuSign, az Adobe Sign és a Dropbox Sign amerikai vállalatok, amelyek a Cloud Act hatálya alá tartoznak. A Certyneo egy francia entitás, amely nem tartozik ez alá az extraterritorialitás alá.
| Solution | Cloud Act kockázati szint megoldásonként |
|---|---|
| Certyneo | Nincs kockázat — francia entitás |
| Yousign | Nincs kockázat — francia entitás |
| DocuSign | Fennmaradó kockázat — amerikai entitás |
| Adobe Acrobat Sign | Fennmaradó kockázat — amerikai entitás |
| Dropbox Sign | Fennmaradó kockázat — amerikai entitás |
Milyen DPA és milyen jogi alapok szükségesek az elektronikus aláíráshoz?
Az aláírási megoldás által végzett adatfeldolgozásnak érvényes jogi alapon kell alapulnia (szerződés, jogos érdek vagy hozzájárulás). Adatfeldolgozási szerződést (DPA) kell kötni az aláírási szolgáltatóval. A Certyneo GDPR-kompatibilis DPA-t biztosít, amely elektronikusan aláírható, és tartalmazza a GDPR 28. cikke által előírt elemeket.
Milyen GDPR-ajánlások vannak az adatvédelmi tisztviselőknek?
- 1Válasszon olyan szolgáltatót, akinek jogi entitása az EU-ban vagy az Egyesült Királyságban található (Brexit után adekvátsági határozattal)
- 2Ellenőrizze, hogy a szerver-tárolás kizárólag az EU-ban történik, EU-n kívüli szerverekre történő replikáció nélkül
- 3Szerezze meg és írassa alá a GDPR 28. cikknek megfelelő DPA-t
- 4Dokumentálja a hatásvizsgálatot (AIPD), ha érzékeny adatokat dolgoz fel a dokumentumokba
- 5Ellenőrizze az adatok megőrzési időtartamát és a szerződés végén történő törlési szabályzatot
GDPR-kérdések az elektronikus aláírásról
- Az elektronikus aláírás személyes adatok feldolgozásával jár?
- Igen. Az aláíró e-mail-cím, neve és potenciálisan telefonszáma gyűjtésre kerül. A dokumentumok tartalma személyes adatokat is tartalmazhat. Az aláírási szolgáltató a GDPR értelmében adatfeldolgozó, és a 28. cikk kötelezettségeinek tartozik.
- A DocuSign GDPR-kompatibilis?
- A DocuSign azt állítja, hogy GDPR-kompatibilis, és SCCs-t kínál. Azonban amerikai vállalatként továbbra is a Cloud Act hatálya alá tartozik. A CNIL hangsúlyozta, hogy a Cloud Act nem szüntethető meg a kockázatot az EU-ban tárolt, amerikai entitások által kezelt európai adatok esetében, még az EU-ban sem.
- A Certyneo GDPR-kompatibilis?
- Igen. A Certyneo egy entitás, amely az EU-ban (IONOS ) van tárolva, és nem tartozik a Cloud Act hatálya alá. Az adatok tranzit során (TLS 1.3) és nyugalmi állapotban titkosítottak. A Certyneo a GDPR 28. cikknek megfelelő DPA-t biztosít.
- Szükséges-e AIPD elvégzése az aláírási megoldás használatához?
- Az AIPD nem szükséges a szokásos elektronikus aláíráshoz. Kötelező, ha érzékeny adatokat tartalmazó dokumentumokat írnak alá (egészség, HR szindikális adatokkal stb.), vagy ha az aláírás használata profilozást vagy nagyszabású megfigyelést tartalmaz.
Támogatás és megoldások
E-szignólatlan kapcsolódó forrásaink felfedezése.
