Panorama de la protección de datos en Hungría 2026 — Lectura rápida
El e-commerce húngaro se rige por el RGPD (Reglamento UE 2016/679) + la Ley Info de 2011 (Ley CXII de 2011 sobre autodeterminación informativa y libertad de información, abreviada Infotv.), aplicada por la NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság). Toda tienda online necesita: (1) un banner de consentimiento de cookies conforme con un botón «Rechazar todo» tan visible como «Aceptar todo», (2) una política de privacidad en húngaro (Adatkezelési Tájékoztató) que cubra los Art. 13–14 del RGPD, (3) procedimientos para atender los ocho derechos de los interesados en un mes, (4) un proceso de notificación en 72 horas alineado con el formulario en línea de la NAIH, y (5) CCE + EIT para cualquier transferencia de datos fuera de la UE/EEE. Las multas de la NAIH pueden alcanzar 20 millones de euros o el 4 % de la facturación anual mundial.
El panorama húngaro de la protección de datos 2026 de un vistazo
Ningún país europeo estructura sus normas de protección de datos exactamente como Hungría. Las tarjetas siguientes resumen los seis pilares de cumplimiento tratados en esta guía — téngalos presentes al leer cada sección detallada.
RGPD — Reglamento (UE) 2016/679
Directamente aplicable desde el 25 de mayo de 2018 · 99 artículos · obliga a todo responsable y encargado del tratamiento húngaro
NAIH — La autoridad húngara de protección de datos
Fundada en 2012 (sustituyó al Comisario Parlamentario) · Sede: Falk Miksa utca, Budapest
Ley Info 2011 (Infotv.) — Ley CXII de 2011
Implementación húngara + libertad de información · última reforma importante Ley XXXVIII de 2018
Cookies y ePrivacy — Ley C de 2003 (Eht.)
Transpone la Directiva ePrivacy 2002/58/CE de la UE · consentimiento previo exigido para cookies no esenciales
Política de privacidad — Adatkezelési Tájékoztató
Obligatoria según los Art. 13–14 del RGPD + Ley Info 2011 · idioma húngaro para clientes HU
DPD — Delegado de Protección de Datos (RGPD Art. 37)
Exigido para autoridades públicas + observación a gran escala o datos de categorías especiales
¿Listo para hacer su tienda online húngara conforme al RGPD y a la NAIH?
Conecte su tienda a Zunapro y obtenga el paquete de cumplimiento húngaro — banner de cookies CMP, generador de política de privacidad, flujo DSAR, plantilla de notificación de brechas y registro CCE — preconfigurado.
1. RGPD + Ley Info húngara 2011 — El fundamento de dos capas
RGPD — La capa paneuropea
El Reglamento General de Protección de Datos (Reglamento (UE) 2016/679) pasó a ser directamente aplicable el 25 de mayo de 2018 y sustituyó el mosaico de leyes nacionales creado por la Directiva de Protección de Datos de 1995. Dado que el RGPD es un reglamento y no una directiva, tiene efecto directo en Hungría sin necesidad de transposición alguna — toda empresa de e-commerce húngara está obligada por sus 99 artículos y 173 considerandos.
Para las tiendas online los artículos operativamente más significativos son: el Artículo 5 (principios — licitud, lealtad, transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad, responsabilidad proactiva), el Artículo 6 (bases jurídicas — consentimiento, contrato, obligación legal, intereses vitales, misión de interés público, intereses legítimos), los Artículos 13–14 (información que debe facilitarse a los interesados), los Artículos 15–22 (derechos de los interesados), el Artículo 28 (contratos de encargado del tratamiento), el Artículo 30 (registro de actividades de tratamiento), el Artículo 32 (seguridad), los Artículos 33–34 (notificación de brechas), el Artículo 35 (EIPD) y los Artículos 44–49 (transferencias internacionales).
La Ley Info 2011 — La capa húngara
La Ley CXII de 2011 sobre autodeterminación informativa y libertad de información — conocida por su abreviatura Infotv. o simplemente «la Ley Info» — es la norma fundamental húngara de protección de datos. Precede al RGPD en siete años, pero fue ampliamente reformada en 2018 por la Ley XXXVIII de 2018 para armonizarse con el RGPD conservando al mismo tiempo las particularidades húngaras que el RGPD deja expresamente a los Estados miembros.
El papel de la Ley Info en 2026 puede resumirse así: (a) codifica la estructura, potestades y procedimientos de la NAIH — el Capítulo 6 del RGPD exige que cada Estado miembro designe una autoridad de control independiente, pero deja los detalles al Derecho nacional, (b) regula los datos del sector público y las solicitudes de libertad de información que quedan fuera del ámbito del RGPD, (c) prevé las excepciones de seguridad nacional y aplicación de la ley permitidas por el RGPD, y (d) impone requisitos de documentación y notificación en idioma húngaro allí donde el RGPD es neutral en cuanto al idioma.
Cómo interactúan ambos
En la práctica, los operadores de e-commerce húngaros deberían leer primero el RGPD para las obligaciones sustantivas y después la Ley Info para las particularidades procedimentales — cómo presentar una reclamación ante la NAIH, cómo lleva a cabo la NAIH las investigaciones, qué aspecto tienen las multas y resoluciones, y cómo revisan los tribunales húngaros las resoluciones de la NAIH en apelación. La Ley Info también cubre las lagunas del RGPD sobre el tratamiento con fines periodísticos, académicos, artísticos y literarios (Artículo 85 del RGPD), el tratamiento en el contexto laboral (Artículo 88 del RGPD) y la edad del consentimiento digital (Hungría la fijó en 16 años conforme al Artículo 8 del RGPD).
📜 Lea la referencia completa de la Ley Info 2011
Comentario sección por sección de la Ley CXII de 2011, las reformas de 2018 y cómo interactúa cada disposición con el RGPD para los operadores de e-commerce húngaros.
2. NAIH — La autoridad húngara de protección de datos
Del Comisario Parlamentario a la autoridad independiente
La NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság — Autoridad Nacional para la Protección de Datos y la Libertad de Información) se estableció el 1 de enero de 2012 mediante la Ley Info 2011, sustituyendo al anterior Comisario Parlamentario para la Protección de Datos y la Libertad de Información (Adatvédelmi Biztos). El cambio trasladó la supervisión húngara de la protección de datos de un modelo de defensor del pueblo unipersonal a una autoridad plenamente institucional con su propio personal, presupuesto y potestades decisorias.
La NAIH tiene su sede en Budapest, en la Falk Miksa utca, y está dirigida por un Presidente nombrado por el Presidente de la República por un mandato de nueve años, a propuesta del Primer Ministro. El Presidente actual (el Dr. Attila Péterfalvi ocupa el cargo desde la fundación de la autoridad en 2012 y ha sido reelegido para mandatos adicionales) dirige una plantilla de unos 130 juristas, especialistas en TI y personal administrativo.
Las potestades de la NAIH conforme al RGPD + la Ley Info
La NAIH ejerce todas las potestades de control enumeradas en el Artículo 58 del RGPD, entre ellas:
- Potestades de investigación — ordenar a cualquier responsable/encargado que facilite información, realizar inspecciones in situ, obtener acceso a todos los locales, equipos y medios de tratamiento de datos
- Potestades correctivas — emitir advertencias, apercibimientos, órdenes de atender las solicitudes de los interesados, órdenes de adecuar el tratamiento, limitación temporal o definitiva incluida la prohibición del tratamiento, órdenes de rectificar o suprimir datos, e imponer multas administrativas
- Potestades de autorización y consultivas — emitir dictámenes sobre proyectos de legislación, acreditar organismos de certificación, aprobar normas corporativas vinculantes (NCV) y códigos de conducta
Además de las potestades del RGPD, la Ley Info otorga a la NAIH el derecho de iniciar procedimientos de oficio (sin reclamación), de solicitar mandatos judiciales para suspender el tratamiento y de remitir presuntos delitos (por ej. el acceso no autorizado a datos de categorías especiales conforme al artículo 219 del Código Penal húngaro, Ley C de 2012) a la fiscalía.
Presentar una reclamación ante la NAIH
Cualquier interesado — sea residente húngaro o visitante — puede presentar una reclamación ante la NAIH si considera que sus datos personales se han tratado ilícitamente. El procedimiento de reclamación es gratuito, está disponible en húngaro y (de forma limitada) en inglés en naih.hu, y la NAIH suele dictar una resolución de primera instancia en un plazo de dos meses desde la recepción de una reclamación completa. La NAIH publica resoluciones anonimizadas en sus boletines trimestrales y en su sitio web, lo que la convierte en una de las APD más transparentes de la UE.
Consejo práctico sobre la NAIH: la NAIH considera cómo responde usted a la solicitud inicial de un interesado como un factor clave en la graduación de la multa. Los vendedores que respondieron tarde, de forma evasiva o no respondieron se enfrentan a multas considerablemente más elevadas que quienes respondieron con prontitud y de forma completa — aunque el problema subyacente fuera idéntico. Configure el flujo DSAR de Zunapro →
3. Banner de consentimiento de cookies — Obligatorio y estrictamente regulado
La base jurídica — ePrivacy + RGPD
El consentimiento de cookies en Hungría se apoya en dos pilares: el Artículo 5(3) de la Directiva ePrivacy de la UE (2002/58/CE) tal como se transpuso en la Ley C de 2003 sobre comunicaciones electrónicas (Eht.), y el Artículo 6(1)(a) del RGPD, que define en qué consiste un consentimiento válido. La regla combinada es sencilla de enunciar y fácil de infringir: antes de almacenar o acceder a cualquier cookie o rastreador similar en el dispositivo terminal de un usuario, el responsable debe obtener un consentimiento previo, libre, específico, informado e inequívoco. Las cookies estrictamente necesarias (sesión, carrito, seguridad, equilibrio de carga básico) están exentas; todo lo demás — analítica, publicidad, complementos sociales, pruebas A/B, mapas de calor — requiere consentimiento.
Cómo es un banner conforme en 2026
La NAIH ha dictado numerosas resoluciones sancionadoras que aclaran sus expectativas. El banner húngaro mínimo viable de 2026 presenta las siguientes características:
- Capa 1 (banner) — aparece antes de que se dispare cualquier cookie no esencial, enumera las categorías (Necesarias, Funcionales, Analíticas, Marketing) y ofrece tres opciones de igual prominencia visual: Aceptar todo, Rechazar todo, Personalizar
- Capa 2 (ventana de preferencias) — interruptores granulares por categoría, rechazables individualmente; enumera cada proveedor tercero, su finalidad, su plazo de conservación y un enlace a su propia política de privacidad
- Capa 3 (página de política de cookies) — tabla completa de cada cookie, duración, tipo, finalidad, parte y un enlace a la política de privacidad más amplia
- Retirada del consentimiento — debe ser «tan fácil de retirar como de otorgar» (Considerando 42 del RGPD); un botón flotante persistente o un enlace en el pie de página es el patrón habitual
- Sin patrones oscuros — las casillas premarcadas, los trucos de contraste de color, el desplazamiento-como-consentimiento y los muros de cookies son explícitamente ilícitos según la NAIH y las Directrices 03/2022 del CEPD
La regla de paridad visual del «Rechazar todo»
El punto más litigado en la aplicación de la normativa de cookies por la NAIH en 2025–2026 es si el botón Rechazar todo es realmente tan prominente como Aceptar todo. «Igual prominencia» significa la misma intensidad de color, el mismo tamaño, el mismo peso de posición y el mismo número de clics. Un patrón oscuro habitual antes de 2024 — un botón azul brillante «Aceptar todo» junto a un fino enlace de texto gris «Más opciones» — se trata ahora como una infracción en sí en Hungría, y la CMP de Zunapro impone la paridad visual de forma automática.
4. Política de privacidad (Adatkezelési Tájékoztató) — Un documento obligatorio
Artículos 13 y 14 del RGPD — Los deberes de información
Una política de privacidad no es opcional en Hungría. El Artículo 13 del RGPD obliga al responsable a informar al interesado, en el momento de la recogida de los datos, de: la identidad y los datos de contacto del responsable (y del DPD, si lo hubiera), las finalidades y la base jurídica del tratamiento, los destinatarios o categorías de destinatarios, cualquier intención de transferir a un tercer país y las garantías utilizadas, el plazo de conservación, los derechos del interesado incluido el derecho a presentar una reclamación ante la NAIH, si la aportación de los datos es contractual o legal y las consecuencias de negarse, y la existencia de decisiones automatizadas incluida la elaboración de perfiles.
El Artículo 14 cubre los deberes paralelos para los datos obtenidos de fuentes distintas del propio interesado — típicamente flujos de pedidos de marketplaces, transferencias de programas de fidelización y listas de socios B2B — añadiendo el deber de informar al interesado en el plazo de un mes o en la primera comunicación, lo que ocurra primero.
Los complementos específicos de Hungría
La Ley Info exige que la política de privacidad se facilite en un formato e idioma accesibles para el interesado — para los consumidores húngaros eso significa húngaro. Muchos operadores de e-commerce húngaros publican una política principalmente en húngaro con una versión secundaria en inglés para clientes transfronterizos. La mejor práctica es incluir además:
- El número de registro NAIH si opera algún tratamiento de datos que requiera registro formal ante la NAIH (mayormente heredado / sector público)
- Una referencia explícita a la Ley Info 2011 junto a los artículos del RGPD en la sección de base jurídica
- La dirección postal completa y el correo de contacto del responsable — la NAIH espera una fácil localización
- El plazo de conservación en años concretos — las expresiones vagas como «tanto tiempo como sea necesario» han sido criticadas en resoluciones de la NAIH
Aviso por capas — Un patrón práctico
Las Directrices 5/2020 del CEPD respaldan el «aviso por capas» — un resumen breve y en lenguaje sencillo que enlaza con la política detallada completa. Para las tiendas online húngaras, el patrón por capas típico es: (1) un resumen de un párrafo en húngaro sencillo en el formulario de pago, (2) el Adatkezelési Tájékoztató completo enlazado desde el pie de página de cada página, y (3) avisos específicos por tema para el alta a la newsletter, el registro de cuenta y el consentimiento de cookies. Zunapro genera las tres capas a partir de una única plantilla de política de privacidad, sincronizada automáticamente entre la tienda online húngara, la app móvil y los escaparates de marketplaces.
📝 Genere su política de privacidad húngara
El generador de Adatkezelési Tájékoztató de Zunapro rellena previamente el texto estándar de los Art. 13–14 del RGPD + Ley Info 2011; usted personaliza los datos del responsable, los plazos de conservación y los encargados en menos de 15 minutos.
5. Delegado de Protección de Datos (DPD) — Cuándo debe designar uno
Los tres desencadenantes del Artículo 37 del RGPD
Los operadores de e-commerce húngaros no necesitan automáticamente un delegado de protección de datos. El Artículo 37(1) del RGPD establece tres desencadenantes acumulativos, cualquiera de los cuales basta por sí solo:
- Autoridad u organismo público — se aplica a ministerios, municipios, empresas estatales; no relevante para el e-commerce privado
- Las actividades principales consisten en la observación habitual y sistemática a gran escala de interesados — se aplica a las redes de publicidad conductual, apps de rastreo de ubicación, grandes programas de fidelización que elaboran perfiles de compradores a través de canales, intermediarios ad-tech
- Las actividades principales consisten en el tratamiento a gran escala de datos de categorías especiales (Art. 9) o de datos relativos a condenas penales (Art. 10) — se aplica a farmacias en línea, especialistas en fertilidad / dietética, health-tech, ciertos minoristas de afinidad política o religiosa
El e-commerce puramente transaccional — vender productos físicos a consumidores, tratar sus datos de entrega y facturación — en general no alcanza estos umbrales. Una tienda de artículos para el hogar de 5.000 pedidos/mes no necesita designar un DPD; una farmacia por suscripción de 50.000 miembros casi con toda seguridad sí.
Qué significan «gran escala» y «actividad principal»
Las Directrices del CEPD (antes Dictamen 03/2017 del GT29) sugieren evaluar: (a) el número de interesados afectados, (b) el volumen de datos, (c) la duración y permanencia del tratamiento, y (d) su alcance geográfico. «Actividades principales» significa actividades esenciales para lograr los objetivos del responsable — la gestión de nóminas rara vez es una «actividad principal»; elaborar perfiles de compradores para personalizar anuncios sí lo es.
Designación voluntaria de un DPD
Los minoristas húngaros que quedan por debajo del umbral del Artículo 37 del RGPD pueden — y muchos lo hacen — designar un DPD de forma voluntaria. Las ventajas son sustanciales: un único punto de contacto responsable ante la NAIH, un punto de escalado interno claro para las solicitudes de los interesados y las brechas, y una señal de credibilidad para los socios B2B. Zunapro puede asignar a su asesor jurídico interno o a un socio DPD externalizado a su tenant húngaro; sus datos de contacto rellenan automáticamente la política de privacidad y los campos de notificación a la NAIH.
Notificar el DPD a la NAIH
Cuando se designa un DPD (obligatoria o voluntariamente), el Artículo 37(7) del RGPD exige que el responsable publique los datos de contacto del DPD y los comunique a la NAIH. La NAIH facilita un formulario en línea de notificación del DPD. El DPD debe gozar de independencia operativa, no puede ser destituido ni sancionado por desempeñar sus funciones e informa directamente al más alto nivel de dirección.
6. Derechos de los interesados — Las ocho prerrogativas del RGPD
Los ocho derechos de un vistazo
El Capítulo 3 del RGPD confiere ocho derechos a cada persona. Las tiendas online húngaras deben construir procesos operativos para atender cada uno de ellos en el plazo de un mes natural desde la recepción de una solicitud verificada (prorrogable dos meses para solicitudes complejas, con aviso motivado al interesado).
El flujo DSAR — Verificar la identidad
Una solicitud de acceso de un interesado (DSAR) puede llegar por correo electrónico, formulario web, carta postal o incluso mensaje directo en redes sociales. Antes de responder, el responsable debe verificar razonablemente la identidad del solicitante — Artículo 12(6) del RGPD — sin recabar más datos de los necesarios. Para un cliente registrado, la verificación suele ser una confirmación de la cuenta con sesión iniciada más un bucle de correo; para un no cliente, podría implicar un hash del documento de identidad nacional o una referencia de pedido existente. La verificación excesiva es en sí una infracción: la NAIH ha sancionado a responsables por exigir una fotocopia en color de un pasaporte solo para verificar a un suscriptor de una tienda online.
La respuesta — Formato, canal, coste
La respuesta debe ser por escrito, en una «forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo» (Artículo 12(1) del RGPD) — en húngaro para los interesados húngaros salvo que hayan solicitado expresamente otro idioma. La respuesta es gratuita; cobrar una «tasa administrativa» solo se permite para solicitudes manifiestamente infundadas o excesivas, y únicamente a tarifas supervisadas por la NAIH. Para las solicitudes de portabilidad del Artículo 20, el formato debe ser estructurado, de uso común y de lectura mecánica — CSV o JSON, no un PDF plano.
🛂 Automatice su flujo DSAR
El módulo DSAR de Zunapro enruta las solicitudes entrantes a una cola verificada, aplica el temporizador de SLA de 30 días, genera la exportación estructurada CSV/JSON para la portabilidad y almacena la respuesta con registro de auditoría para las inspecciones de la NAIH.
7. Notificación de brechas de datos personales — La regla de las 72 horas
Cuándo existe una brecha
El Artículo 4(12) del RGPD define ampliamente una violación de la seguridad de los datos personales: «toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos». Esto incluye todo, desde un ataque de ransomware que bloquea los datos de pedidos, hasta un bucket en la nube mal configurado que expone las direcciones de clientes, un empleado que envía una lista de clientes a un Gmail personal, o un mensajero que pierde un albarán de entrega impreso.
Notificación a la NAIH (Artículo 33)
Cuando la brecha entraña un riesgo para los derechos y libertades de las personas físicas, el responsable debe notificar a la NAIH sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella. La NAIH facilita un formulario en línea de notificación de brechas en naih.hu en húngaro; el formulario exige:
- La naturaleza de la brecha incluyendo, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos afectados
- El punto de contacto — típicamente el DPD o un contacto sénior de protección de datos
- Las consecuencias probables para los interesados
- Las medidas adoptadas o propuestas para poner remedio a la brecha y mitigar los posibles efectos adversos
Si la información completa no está disponible en 72 horas, la notificación puede facilitarse por fases — pero la notificación inicial debe realizarse a tiempo, y la información complementaria proporcionarse a medida que se conozca.
Notificación a los interesados (Artículo 34)
Cuando la brecha entraña un alto riesgo para los derechos y libertades de las personas físicas, el responsable debe además notificar directamente a los interesados afectados, en lenguaje húngaro claro y sencillo, describiendo la naturaleza de la brecha, las consecuencias probables y las medidas adoptadas. La notificación a los interesados no es necesaria si el responsable ha aplicado medidas de protección técnicas y organizativas adecuadas (por ej. un cifrado que haga los datos ininteligibles), o ha tomado medidas posteriores que garanticen que el alto riesgo ya no se materialice, o si supusiera un esfuerzo desproporcionado (en cuyo caso es aceptable una comunicación pública).
Documentación (Artículo 33(5))
Con independencia de que una brecha se notifique o no a la NAIH o a los interesados, el responsable debe documentar cada brecha — hechos, efectos, medidas correctivas — en un registro interno de brechas. La NAIH inspecciona rutinariamente este registro durante las auditorías, y la ausencia de un registro es una infracción en sí.
Recomendación de simulacro de brecha: realice una simulación de mesa al menos dos veces al año. El reloj de las 72 horas empieza a contar desde la «constancia», interpretada estrictamente por la NAIH — típicamente desde el momento en que el equipo de TI identifica un incidente como relativo a datos personales, no desde el momento en que se involucra al equipo jurídico. Configure su flujo de respuesta a brechas →
8. Transferencias transfronterizas — CCE tras Schrems II
El marco del Capítulo V
El Capítulo V del RGPD (Artículos 44–49) rige las transferencias de datos personales fuera del Espacio Económico Europeo (EEE — UE + Islandia, Liechtenstein, Noruega). La regla básica es sencilla: toda transferencia a un «tercer país» está prohibida salvo que se aplique alguna de las garantías específicas. Los operadores de e-commerce húngaros realizan rutinariamente transferencias del Capítulo V — a servicios de analítica alojados en EE. UU., a socios logísticos radicados en el Reino Unido, a proveedores de soporte al cliente turcos o indios.
La caja de herramientas de garantías
Los mecanismos disponibles, en orden descendente de utilidad práctica para el e-commerce:
- Decisiones de adecuación (Art. 45) — la Comisión Europea ha declarado que los marcos jurídicos del Reino Unido, Suiza, Japón, Corea del Sur, Canadá (comercial), Nueva Zelanda, Argentina, Israel, las Islas Feroe, Guernsey, Jersey, la Isla de Man, Uruguay y Andorra ofrecen una protección adecuada. Las transferencias a estos países se tratan como intra-UE.
- Cláusulas contractuales tipo (Art. 46(2)(c)) — las CCE modulares de 2021 de la Comisión Europea son el caballo de batalla del cumplimiento transfronterizo del e-commerce. Los módulos 1 a 4 cubren las transferencias responsable-a-responsable, responsable-a-encargado, encargado-a-encargado y encargado-a-responsable.
- Marco de Privacidad de Datos UE-EE. UU. — para las transferencias a destinatarios estadounidenses certificados conforme al Marco (lista publicada en el sitio del Departamento de Comercio de EE. UU.), las transferencias se tratan como adecuadas; para los destinatarios no certificados, las CCE + la Evaluación de Impacto de la Transferencia siguen siendo obligatorias.
- Normas corporativas vinculantes (Art. 47) — utilizadas por grupos multinacionales para transferencias intragrupo; requieren la aprobación de la NAIH (u otra APD de la UE).
- Excepciones (Art. 49) — consentimiento explícito, necesidad contractual, interés público importante. Se interpretan de forma restrictiva y no pueden usarse para transferencias regulares y a gran escala.
La superposición de Schrems II
La sentencia Schrems II del TJUE (C-311/18, 16 de julio de 2020) invalidó el antiguo Escudo de Privacidad UE-EE. UU. e impuso una obligación adicional a los responsables: una Evaluación de Impacto de la Transferencia (EIT) que valore si el Derecho del país destinatario ofrece una protección «esencialmente equivalente» a la del RGPD — en particular respecto al acceso gubernamental con fines de vigilancia. Cuando la evaluación detecta deficiencias (típico en las transferencias a EE. UU. sin certificación del Marco de Privacidad de Datos), el responsable debe aplicar medidas complementarias — cifrado con claves custodiadas en la UE, seudonimización o arquitecturas de datos divididos — para subsanarlas.
Documentar la transferencia
Cada transferencia transfronteriza debe registrarse en el registro de actividades de tratamiento del Artículo 30, con: el país de destino, el mecanismo jurídico (adecuación, CCE, NCV, excepción), la fecha de firma de las CCE, la configuración modular utilizada y el resultado de la EIT. Zunapro mantiene un registro de transferencias transfronterizas que se rellena automáticamente a partir de los servicios integrados que utiliza su tenant — cada proveedor de pago, cada conector CRM, cada puente de marketplace registra su cadena de transferencia.
9. Multas de la NAIH — Cuánto, con qué frecuencia, cómo evitarlas
Los tramos de multas del Artículo 83 del RGPD
El RGPD limita las multas administrativas en dos niveles:
- Tramo 1 — 10 millones de euros o el 2 % de la facturación anual mundial total, la cuantía que sea mayor, por incumplimientos de las obligaciones relativas al registro de tratamientos, la seguridad, la notificación de brechas, la EIPD y la designación del DPD (Artículos 8, 11, 25–39, 42, 43)
- Tramo 2 — 20 millones de euros o el 4 % de la facturación anual mundial total, la cuantía que sea mayor, por incumplimientos de los principios básicos (Artículo 5), la licitud del tratamiento (Artículo 6), las condiciones del consentimiento (Artículo 7), las categorías especiales (Artículos 9–10), los derechos de los interesados (Artículos 12–22) y las transferencias internacionales (Artículos 44–49)
Punto crucial: las multas del RGPD se calculan sobre la facturación mundial, no local — una filial húngara de una multinacional puede enfrentarse a una multa calibrada sobre los ingresos mundiales del grupo.
Los 11 factores de graduación del Artículo 83(2)
La NAIH debe ponderar cada multa frente a once factores: la naturaleza, gravedad y duración de la infracción; el número de interesados afectados; el nivel de daño sufrido; el carácter intencional o negligente; las acciones de mitigación; el grado de responsabilidad (medidas técnicas y organizativas); las infracciones anteriores; el grado de cooperación con la NAIH; las categorías de datos afectadas; cómo se tuvo conocimiento de la infracción (la autodenuncia cuenta); la adhesión a códigos de conducta o certificaciones aprobados; y cualquier otro factor agravante o atenuante.
El historial sancionador de la NAIH
Selección de multas húngaras publicadas (ilustrativas, no exhaustivas):
- DPD Hungary — 250 M HUF (~650 K€, 2022) por el tratamiento ilícito de analítica de voz en las llamadas del servicio de atención al cliente — un precedente destacado en la UE sobre elaboración de perfiles por voz / IA
- Partido político húngaro — 11 M HUF (2019) por correos de marketing directo ilícitos a no afiliados
- Operador de telecomunicaciones — 100 M HUF+ (2020) por controles de acceso inadecuados que provocaron una brecha
- Varias tiendas online pymes — 1 a 10 M HUF cada una por banners de cookies ausentes o ilícitos, políticas de privacidad ausentes, notificaciones de brechas tardías
- Banco — 250 M HUF (2021) por elaboración de perfiles ilícita de clientes sin base jurídica
La pila práctica para evitar multas
El razonamiento publicado de las resoluciones de la NAIH apunta a un patrón recurrente de «descuento por mitigación». Los responsables que presentan lo siguiente suelen recibir multas entre un 30 y un 70 % por debajo de la tarifa:
- Una EIPD funcional para cualquier tratamiento de alto riesgo (perfilado de fidelización, publicidad conductual, pagos biométricos)
- Un registro de actividades de tratamiento documentado conforme al Artículo 30, mantenido al día
- Un flujo DSAR funcional que se haya usado realmente y cumpla el SLA de 30 días
- Datos personales cifrados en reposo y en tránsito, con prueba de la gestión de claves
- Registros de formación anual del personal, actualizados en la contratación y tras cada incidente
- Un registro de brechas funcional y al menos un simulacro de brecha documentado al año
- Prueba de la autodenuncia en 72 horas cuando se produjo una brecha real
- Un banner de cookies con «Rechazar todo» visualmente igual a «Aceptar todo»
10. La checklist de RGPD para el e-commerce húngaro 2026
Una hoja de ruta de implementación en 25 puntos
La checklist siguiente destila las nueve secciones anteriores en una hoja de ruta práctica y priorizada. La mayoría de las pymes húngaras pueden completarla en tres a seis semanas de esfuerzo a tiempo parcial, o en una quincena concentrada con el paquete de cumplimiento de Zunapro preconfigurado automáticamente.
Fundamentos (semanas 1–2)
- Mapee cada flujo de datos personales — entrada, almacenamiento, encargado, salida, conservación
- Elabore su registro de actividades de tratamiento (RAT) del Artículo 30
- Identifique la base jurídica conforme al Artículo 6 para cada actividad de tratamiento
- Identifique cualquier dato de categoría especial (Artículo 9) y confirme la base jurídica adicional
- Decida si un DPD es obligatorio o voluntario; desígnelo y notifíquelo a la NAIH si procede
- Cree un buzón interno de protección de datos (por ej. [email protected])
Documentación (semanas 2–3)
- Publique el Adatkezelési Tájékoztató húngaro (Artículos 13–14 del RGPD + referencias a la Ley Info)
- Publique una política de cookies separada con cada cookie listada
- Publique unas condiciones generales (Általános Szerződési Feltételek — ÁSZF) alineadas con el Código Civil húngaro
- Firme contratos de encargado del tratamiento (CET) conforme al Artículo 28 con cada encargado — hosting, correo, analítica, CRM, pago, mensajería, puentes de marketplaces
- Firme módulos CCE con cada encargado de fuera del EEE y complete una Evaluación de Impacto de la Transferencia para cada uno
- Documente un calendario de conservación por categoría de datos (8 años para facturas, consentimiento de marketing + 5 años para la prueba, cookies según la expiración declarada)
Capa de consentimiento de cookies (semana 3)
- Despliegue un banner de cookies CMP con Aceptar todo / Rechazar todo / Personalizar visualmente iguales
- Bloquee todas las cookies no esenciales hasta que se otorgue el consentimiento
- Facilite un enlace «Preferencias de cookies» persistente en el pie de página para la retirada del consentimiento
- Registre cada evento de consentimiento con marca de tiempo, versión del banner, elección — para auditoría por la NAIH
Flujos operativos (semanas 4–5)
- Construya un flujo DSAR con verificación de identidad y temporizador de SLA de 30 días
- Construya un manual de respuesta a brechas alineado con el formulario en línea de la NAIH, temporizador de 72 horas
- Cree un registro de brechas para cada incidente, notificable o no
- Configure la captura de consentimiento de marketing con doble opt-in para el alta a la newsletter
- Configure un consentimiento granular por finalidad de tratamiento en el pago — sin consentimiento agrupado
Verificación (semana 6)
- Realice un simulacro de brecha de mesa con TI, jurídico, atención al cliente y el DPD
- Lleve a cabo una auditoría interna del banner de cookies con las herramientas de desarrollo del navegador
- Presente una DSAR de prueba desde un cliente colaborador y valide el flujo de 30 días de principio a fin
- Programe la próxima formación anual de reciclaje sobre el RGPD para todo el personal que maneje datos personales
Centralice el cumplimiento del RGPD + NAIH húngaro en un solo panel
Generador de política de privacidad + banner de cookies + flujo DSAR + registro de brechas + registro CCE + reglas de conservación — preconfigurados para la Ley Info húngara 2011 y las expectativas publicadas de la NAIH. Configuración en 15 minutos, alineación automática con el formulario de la NAIH.
Activar el paquete de cumplimiento húngaro →Referencias legales — Índice rápido
Todo el fundamento legal y jurisprudencial de esta guía, para referencia de asesores y DPD:
| Fuente | Referencia | Relevancia |
|---|---|---|
| GDPR | Reglamento (UE) 2016/679 de 27 de abril de 2016 | Reglamento directo de la UE — texto íntegro |
| Info Act 2011 | Act CXII of 2011 (Infotv.) — última reforma por la Ley XXXVIII de 2018 | Ley húngara de implementación + estructura de la NAIH |
| ePrivacy | Directive 2002/58/EC — transposición húngara: Act C of 2003 (Eht.) | Consentimiento de cookies + comunicaciones electrónicas |
| Marketing | Act XLVIII of 2008 on Commercial Advertising (Grtv.) | Reglas húngaras de opt-in para marketing |
| Contabilidad | Act C of 2000 on Accounting, Section 169 | Conservación de facturas durante 8 años |
| Código Civil | Act V of 2013 (Polgári Törvénykönyv) | Prescripción general + responsabilidad civil |
| Código Penal | Act C of 2012, Section 219 | Tratamiento ilícito de datos personales — delito |
| Schrems II | CJEU Case C-311/18 (16 July 2020) | Doctrina CCE + Evaluación de Impacto de la Transferencia |
| SCCs 2021 | Commission Decision (EU) 2021/914 | Conjunto modular de cláusulas contractuales tipo |
| EDPB Guidelines | Directrices 03/2022 sobre patrones oscuros; 5/2020 sobre consentimiento; muchas más | Interpretación autorizada en todas las APD de la UE |
Cómo leer la tabla: el RGPD es el fundamento operativo; la Ley Info añade el procedimiento húngaro y la estructura de la NAIH; las leyes ePrivacy y de Marketing rigen los flujos de consentimiento para cookies y correo; los Códigos de Contabilidad y Civil fijan los mínimos de conservación; el Código Penal es el respaldo de último recurso para las brechas más graves. El módulo de cumplimiento de Zunapro referencia cada línea de esta tabla entre bastidores.
Preguntas frecuentes sobre RGPD y NAIH en Hungría 2026
¿Se aplica el RGPD a las tiendas online húngaras en 2026?
Sí — sin excepción. El RGPD (Reglamento (UE) 2016/679) se aplica directamente a toda empresa de e-commerce húngara que trate datos personales, lo que en la práctica significa cada tienda online, cada vendedor de marketplace y cada plataforma de venta B2B. La Ley CXII de 2011 (la Ley Info, Infotv.) de Hungría implementa el RGPD a nivel nacional y añade reglas específicas para los datos del sector público, la seguridad nacional y la libertad de información.
La NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság) es la autoridad de control que aplica ambos, con la potestad de dictar resoluciones vinculantes e imponer multas administrativas de hasta 20 M€ o el 4 % de la facturación mundial.
¿Qué es la NAIH y qué potestades tiene?
La NAIH — Nemzeti Adatvédelmi és Információszabadság Hatóság (Autoridad Nacional para la Protección de Datos y la Libertad de Información) — es la autoridad húngara de protección de datos establecida conforme a la Ley Info el 1 de enero de 2012. Sustituyó al anterior Comisario Parlamentario para la Protección de Datos y la Libertad de Información.
La NAIH investiga reclamaciones, realiza auditorías in situ, dicta resoluciones vinculantes, ordena la suspensión o cese del tratamiento de datos y puede imponer multas administrativas de nivel RGPD de hasta 20 M€ o el 4 % de la facturación anual mundial. Sus resoluciones se publican en naih.hu.
¿Son obligatorios los banners de consentimiento de cookies en Hungría en 2026?
Sí. Conforme a la Directiva ePrivacy de la UE (2002/58/CE), transpuesta a través de la Ley C de 2003 sobre comunicaciones electrónicas, y al Artículo 6 del RGPD, todo sitio web húngaro debe obtener un consentimiento previo, libre, específico, informado e inequívoco antes de almacenar o acceder a cookies no esenciales en el dispositivo de un usuario.
La NAIH ha dictado varias resoluciones sancionadoras que aclaran que las casillas premarcadas, los muros de cookies, los patrones «seguir navegando = consentimiento» y los botones de rechazo visualmente atenuados son ilícitos. El botón «Rechazar todo» debe ser tan prominente como «Aceptar todo».
¿Necesito una política de privacidad en mi tienda online húngara?
Sí — es obligatoria conforme a los Artículos 13 y 14 del RGPD más la Ley Info 2011. Su política de privacidad (Adatkezelési Tájékoztató) debe identificar al responsable del tratamiento, enumerar cada finalidad y base jurídica del tratamiento, nombrar a todos los encargados y destinatarios en terceros países, indicar los plazos de conservación e informar a los interesados de sus derechos y del derecho a presentar una reclamación ante la NAIH.
La versión en idioma húngaro es obligatoria para los clientes húngaros; una versión secundaria en inglés junto a ella es una buena práctica para la venta transfronteriza.
¿Cuándo debo designar un delegado de protección de datos (DPD)?
El Artículo 37 del RGPD exige un DPD cuando (a) el responsable es una autoridad pública, (b) las actividades principales consisten en la observación habitual y sistemática a gran escala de interesados, o (c) las actividades principales implican el tratamiento a gran escala de datos de categorías especiales (salud, biometría, penal). La mayoría de las pymes puramente de e-commerce no necesitan un DPD formal.
No obstante, los minoristas húngaros que operan grandes programas de fidelización, perfilado conductual, o venden productos sensibles (farmacia, salud, afinidad política) deberían designar uno y notificar los datos de contacto a la NAIH. La designación voluntaria es habitual como señal de credibilidad.
¿Qué derechos de los interesados debe atender mi tienda online húngara?
El Capítulo 3 del RGPD otorga ocho derechos a los interesados: información (Art. 13–14), acceso (Art. 15), rectificación (Art. 16), supresión / derecho al olvido (Art. 17), limitación (Art. 18), portabilidad de los datos (Art. 20), oposición (Art. 21) y derechos relativos a las decisiones automatizadas y la elaboración de perfiles (Art. 22).
Las tiendas online húngaras deben responder a las solicitudes verificadas en el plazo de un mes natural (prorrogable dos meses para casos complejos con aviso motivado). La NAIH recibe cientos de reclamaciones al año por respuestas ignoradas o tardías.
¿Qué es la regla de notificación de brechas en 72 horas?
El Artículo 33 del RGPD exige que los responsables notifiquen a la autoridad de control competente — en Hungría, la NAIH — las brechas de datos personales sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que tengan constancia de ellas. La NAIH facilita un formulario en línea de notificación de brechas en naih.hu.
Si la brecha entraña un alto riesgo para los interesados, el Artículo 34 del RGPD también exige la notificación directa a las personas afectadas en lenguaje húngaro claro y sencillo. Un registro de brechas que documente cada incidente (notificable o no) es obligatorio conforme al Artículo 33(5).
¿Puedo transferir datos personales fuera de la UE?
Solo en las condiciones del Capítulo 5 del RGPD. El mecanismo más común para el e-commerce húngaro son las cláusulas contractuales tipo (CCE) de la Comisión Europea — el conjunto modular de 2021 — complementadas con una Evaluación de Impacto de la Transferencia (EIT) tras la sentencia Schrems II (C-311/18).
Las decisiones de adecuación cubren el Reino Unido, Suiza, Japón, Corea del Sur, Canadá (comercial), Israel y otros. Las transferencias a EE. UU. pueden recurrir a destinatarios certificados conforme al Marco de Privacidad de Datos UE-EE. UU., pero los operadores húngaros deberían examinar cuidadosamente las transferencias a EE. UU. y documentar medidas complementarias (cifrado con claves custodiadas en la UE, seudonimización) allí donde persista el riesgo de acceso del Gobierno estadounidense.
¿Hasta cuánto pueden llegar realmente las multas de la NAIH?
El Artículo 83 del RGPD limita las multas administrativas a 20 millones de euros o el 4 % de la facturación anual mundial total del ejercicio anterior, la cuantía que sea mayor, para las infracciones más graves (consentimiento, categorías especiales, derechos de los interesados, transferencias internacionales). Un tramo inferior limita las multas a 10 M€ o el 2 % para las infracciones de documentación, seguridad y notificación.
La NAIH ha impuesto multas de varios cientos de millones de HUF a telecos, bancos, minoristas y partidos políticos desde 2018. Incluso las pymes reciben rutinariamente multas de 1 a 10 M HUF por políticas de privacidad ausentes, banners de cookies defectuosos o solicitudes de interesados sin responder.
¿Qué es la Ley Info húngara 2011 (Infotv.) y cómo se relaciona con el RGPD?
La Ley CXII de 2011 sobre autodeterminación informativa y libertad de información — la Ley Info, Infotv. — es la norma fundamental húngara de protección de datos. Precede al RGPD en siete años y fue ampliamente reformada en 2018 por la Ley XXXVIII de 2018 para armonizarse con el RGPD conservando al mismo tiempo disposiciones específicas de Hungría sobre datos públicos, libertad de información y la estructura de la NAIH.
El RGPD se aplica directamente a la protección de datos en lo sustantivo; la Ley Info cubre las lagunas que el RGPD deja a los Estados miembros y codifica las potestades de investigación, correctivas y procedimentales de la NAIH. Leer ambos conjuntamente es esencial para cualquier programa de cumplimiento húngaro.
¿Necesito un consentimiento separado para los correos de marketing?
Sí. Conforme a la Ley XLVIII de 2008 sobre publicidad comercial (Grtv.) y al Artículo 6(1)(a) del RGPD, el e-commerce húngaro solo puede enviar correos de marketing a destinatarios que hayan dado un consentimiento opt-in previo y documentado por separado.
La excepción B2C del «soft opt-in» de la Directiva ePrivacy se interpreta de forma restrictiva en Hungría: cubre a los clientes existentes, el mismo responsable, productos similares, y únicamente si hay un enlace claro de baja en cada mensaje. Las casillas premarcadas en el pago son explícitamente ilícitas. El doble opt-in (correo de confirmación tras el alta) es una buena práctica y la NAIH lo impone casi universalmente en sus resoluciones.
¿Cuánto tiempo puedo conservar los datos de clientes tras una venta?
El Artículo 5(1)(e) del RGPD exige la limitación del plazo de conservación — los datos solo pueden conservarse el tiempo necesario para la finalidad original. El Derecho contable húngaro (Ley C de 2000 sobre contabilidad, sección 169) exige que los datos relacionados con facturas se conserven durante 8 años. Los datos de consentimiento de marketing solo deberían conservarse mientras el consentimiento sea válido, más el plazo de prescripción para la prueba (típicamente 5 años conforme al Código Civil húngaro, Ley V de 2013).
Las cookies cubiertas por ePrivacy deberían respetar su expiración declarada. Zunapro aplica automáticamente reglas de conservación por categoría de datos — facturas conservadas 8 años, datos de marketing depurados al retirarse el consentimiento + margen de prueba de 5 años, analíticas anónimas conservadas según la duración declarada de las cookies.
¿En qué idioma deben estar mi política de privacidad y mi banner de cookies?
En húngaro — al menos para los clientes en Hungría. El RGPD exige que la información se facilite en «un lenguaje claro y sencillo» accesible para el interesado (Artículo 12(1)). Para los consumidores residentes en Hungría esto significa un Adatkezelési Tájékoztató en idioma húngaro y un texto de banner de cookies en húngaro.
La buena práctica para las tiendas online transfronterizas es una versión principalmente en húngaro con inglés (y cualquier otro idioma relevante de Europa central y oriental) como versiones alternativas seleccionables. La NAIH ha calificado las políticas de privacidad solo en inglés como una infracción en varias resoluciones sancionadoras que afectaban a datos de consumidores húngaros.
¿Ayuda Zunapro con el cumplimiento del RGPD y la NAIH para tiendas online húngaras?
Sí. Zunapro incluye un paquete de cumplimiento específico para Hungría: un banner de consentimiento de cookies configurable (CMP) con «Rechazar todo» visualmente igual a «Aceptar todo», un generador de política de privacidad prerrellenado con referencias a la Ley Info 2011, un flujo de solicitudes de acceso de los interesados (DSAR), una plantilla de notificación de brechas en 72 horas alineada con el formulario de la NAIH, un registro de transferencias a terceros países respaldado por CCE y reglas de conservación automatizadas vinculadas a la contabilidad húngara (8 años) y al marketing (consentimiento + 5 años).
La configuración suele tardar 15 minutos por tenant. El paquete de cumplimiento viene incluido con las integraciones de marketplace y tienda online húngaras de Zunapro — consulte el hub húngaro completo →.
Deje su tienda online húngara lista para una auditoría de la NAIH en 15 minutos
Banner de cookies · Política de privacidad · Flujo DSAR · Registro de brechas · Registro CCE · Reglas de conservación — todos preconfigurados para el RGPD + Ley Info 2011 + ePrivacy. Sin necesidad de conocimientos de legal-tech, plantillas alineadas con el formulario de la NAIH incluidas.
🇭🇺 Activar el cumplimiento ahora →¿Necesita ayuda con esto?
Servicio relacionado: E-Commerce