Ha egy oldal nem gyűjt, rögzít, tehát nem kezel személyes adatokat, akkor például az IP címet sem látják?

Van regisztráció az oldalon vagy csak látogatás? Regisztráció esetén kizárt hogy ne tárolná az IP-t a többi személyes adattal együtt.

Ha csak látogatás van, még hihető hogy nincs miért tárolnia az IP-t és nem is teszi meg. Hiszen nem történik interakció, kapcsolatfelvétel esetén sincs szükség az IP-re, inkább név + e-mail cím.

Amúgy rengeteg nézőpont és ütközés van az adatkezelések IT szempontú megközelítésével, messze nincs konzenzusz ezekről, tele vannak az ilyen jellegű fórumok és csoportok is a többféle szemléletű hozzáállással és jogszabályértelmezéssel. Mivel maga a GDPR sem szabály, hanem csak irányelv. Épp hol és mit gondol a WP29-es csoport vagy az adott ország adatvédelmi hatósága, és azt ajánlják.

Ugyanilyen példa a sütikről való tájékoztatás (megadod-e teljes körűen akár név szerint és minden adatával, vagy sem). Mindenki mást mond, és Franciaországban például 25 ezer euróra csesztek meg egy weboldalt a nem megfelelő sütitájékoztatás/hozzájárulás (vagy hasonló, még nem volt időm elolvasni) miatt:

[link]

A honlap látogatása önkéntes hozzájáruláson alapul (ez egyértelmű), és a kezelt adatok köre nem értelmezhető ebben az esetben - hiszen ő magától nem ad meg semmit. Az adattárolás helye sem, ami feltételezi hogy nincs is adattárolás. Legalábbis az adatvédelmi tájékoztatókban ilyen meghatározás (is) szokott szerepelni. Azért mondom hogy "is", mert eltérőek lehetnek az értelmezési álláspontok. Biztos, hogy egy informatikus-jogász jobban értelmezi és szabályozza ezeket mint egy nem informatikus-jogász aki csak a GDPR szerint próbálkozik vele.

Ha biztosra akarsz menni és a céged (?) nagyságától függően van felesleges pénzed (főleg ha nem kizárólag webes tevékenységet folytat, van munkavállaló, céges eszköz, kamera is, de nincs aktuális szabályzat+tájékoztató+nyilvántartás), akkor egy adatvédelemmel foglalkozó tisztviselő ezeket frankón össze tudja rakni. Cég nagyságától és adatvédelemhez kötődő tevékenységtől függően 50-500 ezer körül már csinálják, de ha van kritikus dolog (megfigyelés, profilozás, EGT-n kívüli adattovábbítás), akkor felmegy akár másfél-2 millióig is. Tudom ez így ijesztő és erre mondja mindenki hogy majd akkor letölt egy sablont a netről ingyen, meg átírja másét, na az ilyenekkel lehet befürdeni. Pont a fenti dolog miatt, hogy ugye ki hogyan tudja/akarja értelmezni a sütiket például.

Vannak akik rosszul értelmezik a kérdésbe tett linkek szándékát, és gondolkodás nélkül öncélú reklámozás indokkal jelentik, amivel a kérdésed is eltűnhet. Inkább ne.

Az IP személyes adat, és alatta van rögtön a személyes adatokat kezelő cookie is, ezért is problémás terület (főleg mikor harmadik fél használja, és belekeverik még a Google és Facebook adatgyűjtése is). Az a baj a sütikkel és minden mással, hogy az adatkezelő felel a harmadik félért is, ezért neki kell nagyon jó alapokon meghatározni hogy hol, mikor, miért, meddig kezel-tárol-továbbít személyes adatokat.

A szabályzat elkészítése amúgy nem kimondottan informatikus feladata. A GDPR is egy jogi terület, csak jó ha több területhez is ért az ember. Ezek hiányában az informatikus ott jön képbe, hogy tőle kell információkat beszerezni, kérdőíveztetni, utánajárnia hogy mi van a sütikkel például vagy más adatokkal. És a másik probléma hogy teljesen más értelmezést kíván az "adat" meghatározása és kezelése egy informatikusnak a számítástechnikai rendszerekben mint adatvédelmi tisztviselőnek.