RGPD & NAIH pour l'e-commerce hongrois 2026 : protection des données, consentement aux cookies & guide de conformité

Le paysage hongrois de la protection des données 2026 en un coup d'œil

Aucun pays européen ne superpose ses règles de protection des données tout à fait comme la Hongrie. Les cartes ci-dessous résument les six piliers de conformité traités dans ce guide — gardez-les à l'esprit en lisant chaque section approfondie.

1. RGPD + Loi Info hongroise 2011 — Le socle à deux couches

RGPD — La couche paneuropéenne

Le Règlement général sur la protection des données (Règlement (UE) 2016/679) est devenu directement applicable le 25 mai 2018 et a remplacé la mosaïque de lois nationales créée par la directive de 1995 sur la protection des données. Parce que le RGPD est un règlement plutôt qu'une directive, il produit un effet direct en Hongrie sans nécessité de transposition — chaque entreprise d'e-commerce hongroise est liée par ses 99 articles et 173 considérants.

Pour les boutiques en ligne, les articles les plus significatifs sur le plan opérationnel sont : l'Article 5 (principes — licéité, loyauté, transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, intégrité, responsabilité), l'Article 6 (bases légales — consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêts légitimes), les Articles 13–14 (informations à fournir aux personnes concernées), les Articles 15–22 (droits des personnes concernées), l'Article 28 (contrats de sous-traitance), l'Article 30 (registre des activités de traitement), l'Article 32 (sécurité), les Articles 33–34 (notification des violations), l'Article 35 (AIPD) et les Articles 44–49 (transferts internationaux).

La Loi Info 2011 — La couche hongroise

La Loi CXII de 2011 sur l'autodétermination informationnelle et la liberté de l'information — connue sous son abréviation Infotv. ou simplement « la Loi Info » — est la loi fondamentale hongroise sur la protection des données. Elle précède le RGPD de sept ans mais a été largement modifiée en 2018 par la Loi XXXVIII de 2018 pour s'harmoniser avec le RGPD tout en préservant les spécificités hongroises que le RGPD laisse expressément aux États membres.

Le rôle de la Loi Info en 2026 peut se résumer ainsi : (a) elle codifie la structure, les pouvoirs et les procédures de la NAIH — le chapitre 6 du RGPD exige que chaque État membre désigne une autorité de contrôle indépendante mais en laisse les détails au droit national, (b) elle régit les données du secteur public et les demandes de liberté d'information qui échappent au champ du RGPD, (c) elle prévoit les exemptions de sécurité nationale et de maintien de l'ordre autorisées par le RGPD, et (d) elle impose des exigences de documentation et de notification en langue hongroise là où le RGPD est neutre sur le plan linguistique.

Comment les deux interagissent

En pratique, les opérateurs d'e-commerce hongrois devraient lire d'abord le RGPD pour les obligations de fond, puis la Loi Info pour les spécificités procédurales — comment déposer une plainte auprès de la NAIH, comment la NAIH mène ses enquêtes, à quoi ressemblent les amendes et les décisions, et comment les tribunaux hongrois contrôlent les décisions de la NAIH en appel. La Loi Info comble aussi les lacunes du RGPD sur le traitement à des fins journalistiques, universitaires, artistiques et littéraires (Article 85 RGPD), le traitement dans le contexte de l'emploi (Article 88 RGPD) et l'âge du consentement numérique (la Hongrie l'a fixé à 16 ans au titre de l'Article 8 du RGPD).

2. NAIH — L'autorité hongroise de protection des données

Du Commissaire parlementaire à l'autorité indépendante

La NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság — Autorité nationale pour la protection des données et la liberté de l'information) a été établie le 1er janvier 2012 par la Loi Info 2011, remplaçant l'ancien Commissaire parlementaire à la protection des données et à la liberté de l'information (Adatvédelmi Biztos). Ce changement a fait passer la supervision hongroise de la protection des données d'un modèle de médiateur à titulaire unique à une autorité pleinement institutionnelle dotée de son propre personnel, budget et pouvoirs décisionnels.

La NAIH a son siège à Budapest sur la Falk Miksa utca et est dirigée par un Président nommé par le Président de la République pour un mandat de neuf ans, sur proposition du Premier ministre. Le Président actuel (le Dr Attila Péterfalvi occupe le poste depuis la création de l'autorité en 2012 et a été renommé pour des mandats supplémentaires) dirige un personnel d'environ 130 juristes, spécialistes informatiques et personnels administratifs.

Les pouvoirs de la NAIH au titre du RGPD + de la Loi Info

La NAIH exerce chacun des pouvoirs de contrôle énumérés à l'Article 58 du RGPD, notamment :

• Pouvoirs d'enquête — ordonner à tout responsable de traitement / sous-traitant de fournir des informations, mener des inspections sur place, obtenir l'accès à tous les locaux, équipements et moyens de traitement des données
• Pouvoirs correcteurs — émettre des avertissements, des rappels à l'ordre, des injonctions de satisfaire aux demandes des personnes concernées, des injonctions de mise en conformité du traitement, une limitation temporaire ou définitive y compris une interdiction de traitement, des injonctions de rectifier ou d'effacer des données, et infliger des amendes administratives
• Pouvoirs d'autorisation et de conseil — rendre des avis sur les projets de législation, accréditer des organismes de certification, approuver les règles d'entreprise contraignantes (BCR) et les codes de conduite

Outre les pouvoirs du RGPD, la Loi Info donne à la NAIH le droit d'engager des procédures d'office (sans plainte), de demander des ordonnances judiciaires de suspension du traitement et de renvoyer les infractions pénales présumées (par ex. l'accès non autorisé à des données de catégorie particulière au titre de l'article 219 du Code pénal hongrois, Loi C de 2012) au parquet.

Déposer une plainte auprès de la NAIH

Toute personne concernée — résident hongrois ou visiteur — peut déposer une plainte auprès de la NAIH si elle estime que ses données personnelles ont été traitées illégalement. La procédure de plainte est gratuite, disponible en hongrois et (de façon limitée) en anglais sur naih.hu, et la NAIH rend généralement une décision de première instance dans les deux mois suivant la réception d'une plainte complète. La NAIH publie des décisions anonymisées dans ses bulletins trimestriels et sur son site web, ce qui en fait l'une des APD les plus transparentes de l'UE.

3. Bannière de consentement aux cookies — Obligatoire et strictement encadrée

La base juridique — ePrivacy + RGPD

Le consentement aux cookies en Hongrie repose sur deux piliers : l'Article 5(3) de la directive ePrivacy de l'UE (2002/58/CE) tel que transposé dans la Loi C de 2003 sur les communications électroniques (Eht.), et l'Article 6(1)(a) du RGPD définissant ce qu'est un consentement valide. La règle combinée est simple à énoncer et facile à enfreindre : avant de stocker ou d'accéder à tout cookie ou traceur similaire sur le terminal d'un utilisateur, le responsable du traitement doit obtenir un consentement préalable, libre, spécifique, éclairé et univoque. Les cookies strictement nécessaires (session, panier, sécurité, répartition de charge de base) sont exemptés ; tout le reste — analyse, publicité, plug-ins sociaux, tests A/B, cartes de chaleur — nécessite un consentement.

À quoi ressemble une bannière conforme en 2026

La NAIH a rendu de nombreuses décisions d'application clarifiant ses attentes. La bannière hongroise minimale viable de 2026 présente les caractéristiques suivantes :

• Niveau 1 (bannière) — apparaît avant le déclenchement de tout cookie non essentiel, liste les catégories (Nécessaires, Fonctionnels, Analytiques, Marketing) et offre trois options d'égale visibilité : Tout accepter, Tout refuser, Personnaliser
• Niveau 2 (fenêtre de préférences) — bascules granulaires par catégorie, refusables individuellement ; liste chaque fournisseur tiers, sa finalité, sa durée de conservation et un lien vers sa propre politique de confidentialité
• Niveau 3 (page de politique cookies) — tableau complet de chaque cookie, durée de vie, type, finalité, partie et un lien vers la politique de confidentialité plus large
• Retrait du consentement — doit être « aussi simple à retirer qu'à donner » (Considérant 42 du RGPD) ; un bouton flottant persistant ou un lien en pied de page est le schéma typique
• Pas de dark patterns — cases pré-cochées, astuces de contraste de couleur, défilement-comme-consentement et cookie walls sont explicitement illégaux selon la NAIH et les Lignes directrices 03/2022 du CEPD

La règle de parité visuelle du « Tout refuser »

Le point le plus contesté de l'application des règles cookies par la NAIH en 2025–2026 est de savoir si le bouton Tout refuser est réellement aussi visible que Tout accepter. « Égale visibilité » signifie la même intensité de couleur, la même taille, le même poids de position et le même nombre de clics. Un dark pattern courant avant 2024 — un bouton bleu vif « Tout accepter » à côté d'un mince lien texte gris « Plus d'options » — est désormais traité comme une violation en soi en Hongrie, et la CMP de Zunapro impose automatiquement la parité visuelle.

4. Politique de confidentialité (Adatkezelési Tájékoztató) — Un document obligatoire

Articles 13 & 14 du RGPD — Les obligations d'information

Une politique de confidentialité n'est pas facultative en Hongrie. L'Article 13 du RGPD oblige le responsable du traitement à informer une personne concernée, au moment de la collecte des données, de : l'identité et les coordonnées du responsable (et du DPO, le cas échéant), les finalités et la base légale du traitement, les destinataires ou catégories de destinataires, toute intention de transfert vers un pays tiers et les garanties utilisées, la durée de conservation, les droits de la personne concernée y compris le droit de déposer une plainte auprès de la NAIH, si la fourniture des données est contractuelle ou légale et les conséquences d'un refus, et l'existence d'une prise de décision automatisée y compris le profilage.

L'Article 14 couvre les obligations parallèles pour les données collectées auprès de sources autres que la personne concernée — typiquement les flux de commandes de marketplaces, les transferts de programmes de fidélité et les listes de partenaires B2B — en ajoutant l'obligation d'informer la personne concernée sous un mois ou dès la première communication, selon ce qui survient en premier.

Les compléments spécifiques à la Hongrie

La Loi Info exige que la politique de confidentialité soit fournie dans un format et une langue accessibles à la personne concernée — pour les consommateurs hongrois, cela signifie le hongrois. De nombreux opérateurs d'e-commerce hongrois publient une politique principalement en hongrois avec une version secondaire en anglais pour les clients transfrontaliers. La meilleure pratique consiste également à inclure :

• Le numéro d'enregistrement NAIH si vous exploitez un traitement de données nécessitant un enregistrement formel auprès de la NAIH (principalement historique / secteur public)
• Une référence explicite à la Loi Info 2011 à côté des articles du RGPD dans la section sur la base légale
• L'adresse postale complète et l'e-mail de contact du responsable du traitement — la NAIH attend une joignabilité facile
• La durée de conservation en années concrètes — les formulations vagues comme « aussi longtemps que nécessaire » ont été critiquées dans les décisions de la NAIH

Avis en couches — Un schéma pratique

Les Lignes directrices 5/2020 du CEPD approuvent l'« avis en couches » — un résumé court et en langage clair renvoyant à la politique détaillée complète. Pour les boutiques en ligne hongroises, le schéma en couches typique est : (1) un résumé d'un paragraphe en hongrois clair sur le formulaire de paiement, (2) l'Adatkezelési Tájékoztató complète liée depuis le pied de page de chaque page, et (3) des avis spécifiques par sujet pour l'inscription à la newsletter, la création de compte et le consentement aux cookies. Zunapro génère les trois couches à partir d'un modèle unique de politique de confidentialité, automatiquement synchronisé entre la boutique en ligne hongroise, l'application mobile et les vitrines de marketplaces.

5. Délégué à la protection des données (DPO) — Quand devez-vous en désigner un

Les trois déclencheurs de l'Article 37 du RGPD

Les opérateurs d'e-commerce hongrois n'ont pas automatiquement besoin d'un délégué à la protection des données. L'Article 37(1) du RGPD pose trois déclencheurs cumulatifs, dont chacun suffit à lui seul :

• Autorité ou organisme public — s'applique aux ministères, municipalités, entreprises publiques ; non pertinent pour l'e-commerce privé
• Les activités de base consistent en un suivi régulier et systématique à grande échelle des personnes concernées — s'applique aux réseaux de publicité comportementale, aux applications de géolocalisation, aux grands programmes de fidélité qui profilent les acheteurs à travers les canaux, aux intermédiaires ad-tech
• Les activités de base consistent en un traitement à grande échelle de données de catégorie particulière (Art. 9) ou de données relatives à des condamnations pénales (Art. 10) — s'applique aux pharmacies en ligne, aux spécialistes de la fertilité / diététique, à la health-tech, à certains détaillants d'affinité politique ou religieuse

L'e-commerce purement transactionnel — vendre des produits physiques à des consommateurs, traiter leurs données de livraison et de facturation — n'atteint généralement pas ces seuils. Une boutique d'articles ménagers de 5 000 commandes/mois n'a pas besoin de désigner un DPO ; une pharmacie par abonnement de 50 000 membres le doit presque certainement.

Ce que signifient « grande échelle » et « activité de base »

Les Lignes directrices du CEPD (anciennement Avis 03/2017 du G29) suggèrent d'évaluer : (a) le nombre de personnes concernées, (b) le volume de données, (c) la durée et la permanence du traitement, et (d) son étendue géographique. « Activités de base » désigne les activités essentielles à la réalisation des objectifs du responsable — la gestion de la paie est rarement une « activité de base » ; le profilage des acheteurs pour personnaliser les publicités l'est.

Désignation volontaire d'un DPO

Les détaillants hongrois qui se situent sous le seuil de l'Article 37 du RGPD peuvent — et beaucoup le font — désigner un DPO à titre volontaire. Les avantages sont substantiels : un point de contact responsable unique pour la NAIH, un point d'escalade interne clair pour les demandes des personnes concernées et les violations, et un signal de crédibilité pour les partenaires B2B. Zunapro peut affecter votre conseiller juridique interne ou un partenaire DPO externalisé à votre locataire hongrois ; leurs coordonnées remplissent automatiquement la politique de confidentialité et les champs de notification NAIH.

Notifier la NAIH du DPO

Lorsqu'un DPO est désigné (obligatoirement ou volontairement), l'Article 37(7) du RGPD exige que le responsable du traitement publie les coordonnées du DPO et les communique à la NAIH. La NAIH fournit un formulaire en ligne de notification du DPO. Le DPO doit jouir d'une indépendance opérationnelle, ne peut être démis ou pénalisé pour l'exercice de ses tâches et rend compte directement au plus haut niveau de la direction.

6. Droits des personnes concernées — Les huit prérogatives du RGPD

Les huit droits en un coup d'œil

Le chapitre 3 du RGPD confère huit droits à chaque individu. Les boutiques en ligne hongroises doivent bâtir des processus opérationnels pour satisfaire chacun d'eux dans un délai d'un mois calendaire après réception d'une demande vérifiée (prorogeable de deux mois pour les demandes complexes, avec avis motivé à la personne concernée).

Le workflow DSAR — Vérifier l'identité

Une demande d'accès d'une personne concernée (DSAR) peut arriver par e-mail, formulaire web, courrier postal ou même message privé sur les réseaux sociaux. Avant de répondre, le responsable du traitement doit vérifier raisonnablement l'identité du demandeur — Article 12(6) du RGPD — sans collecter plus de données que nécessaire. Pour un client enregistré, la vérification se fait généralement par une confirmation de compte connecté plus une boucle e-mail ; pour un non-client, elle peut impliquer un hachage d'identité nationale ou une référence de commande existante. La sur-vérification est elle-même une violation : la NAIH a sanctionné des responsables pour avoir exigé une photocopie couleur d'un passeport juste pour vérifier un abonné de boutique en ligne.

La réponse — Format, canal, coût

La réponse doit être écrite, sous une « forme concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples » (Article 12(1) du RGPD) — en hongrois pour les personnes concernées hongroises sauf si elles ont expressément demandé une autre langue. La réponse est gratuite ; facturer des « frais administratifs » n'est autorisé que pour les demandes manifestement infondées ou excessives, et uniquement à des tarifs supervisés par la NAIH. Pour les demandes de portabilité au titre de l'Article 20, le format doit être structuré, couramment utilisé et lisible par machine — CSV ou JSON, pas un PDF plat.

7. Notification des violations de données personnelles — La règle des 72 heures

Quand une violation existe

L'Article 4(12) du RGPD définit largement une violation de données personnelles : « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel, ou l'accès non autorisé à de telles données ». Cela inclut tout, d'une attaque par rançongiciel qui verrouille les données de commande, à un compartiment cloud mal configuré exposant les adresses clients, à un employé envoyant une liste de clients vers un Gmail personnel, à un coursier perdant un bordereau de livraison imprimé.

Notification à la NAIH (Article 33)

Lorsque la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, le responsable du traitement doit notifier la NAIH sans retard injustifié et, si possible, au plus tard 72 heures après en avoir pris connaissance. La NAIH fournit un formulaire en ligne de notification des violations sur naih.hu en hongrois ; le formulaire exige :

• La nature de la violation y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d'enregistrements de données concernés
• Le point de contact — typiquement le DPO ou un contact senior en protection des données
• Les conséquences probables pour les personnes concernées
• Les mesures prises ou proposées pour traiter la violation et atténuer les effets néfastes

Si l'information complète n'est pas disponible dans les 72 heures, la notification peut être fournie par phases — mais la notification initiale doit être faite à temps, et les informations complémentaires fournies au fur et à mesure qu'elles deviennent connues.

Notification aux personnes concernées (Article 34)

Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement doit en outre notifier directement les personnes concernées, en langue hongroise claire et simple, en décrivant la nature de la violation, les conséquences probables et les mesures prises. La notification aux personnes concernées n'est pas requise si le responsable a mis en œuvre des mesures de protection techniques et organisationnelles appropriées (par ex. un chiffrement rendant les données incompréhensibles), ou a pris des mesures ultérieures garantissant que le risque élevé ne se matérialise plus, ou si cela exigerait des efforts disproportionnés (auquel cas une communication publique est acceptable).

Conservation des enregistrements (Article 33(5))

Que la violation soit notifiée ou non à la NAIH ou aux personnes concernées, le responsable du traitement doit documenter chaque violation — faits, effets, mesures correctives — dans un registre interne des violations. La NAIH inspecte régulièrement ce registre lors des audits, et l'absence de registre est une violation en soi.

8. Transferts transfrontaliers — CCT après Schrems II

Le cadre du chapitre V

Le chapitre V du RGPD (Articles 44–49) régit les transferts de données personnelles en dehors de l'Espace économique européen (EEE — UE + Islande, Liechtenstein, Norvège). La règle de base est simple : tout transfert vers un « pays tiers » est interdit sauf si l'une des garanties spécifiques s'applique. Les opérateurs d'e-commerce hongrois effectuent régulièrement des transferts au titre du chapitre V — vers des services d'analyse hébergés aux États-Unis, vers des partenaires logistiques basés au Royaume-Uni, vers des prestataires de support client turcs ou indiens.

La boîte à outils des garanties

Les mécanismes disponibles, par ordre décroissant d'utilité pratique pour l'e-commerce :

• Décisions d'adéquation (Art. 45) — la Commission européenne a déclaré que les cadres juridiques du Royaume-Uni, de la Suisse, du Japon, de la Corée du Sud, du Canada (commercial), de la Nouvelle-Zélande, de l'Argentine, d'Israël, des îles Féroé, de Guernesey, de Jersey, de l'île de Man, de l'Uruguay et d'Andorre offrent une protection adéquate. Les transferts vers ces pays sont traités comme intra-UE.
• Clauses contractuelles types (Art. 46(2)(c)) — les CCT modulaires de 2021 de la Commission européenne sont le cheval de bataille de la conformité transfrontalière de l'e-commerce. Les modules 1 à 4 couvrent les transferts responsable-à-responsable, responsable-à-sous-traitant, sous-traitant-à-sous-traitant et sous-traitant-à-responsable.
• EU-US Data Privacy Framework — pour les transferts vers des destinataires américains certifiés au titre du Framework (liste publiée sur le site du Département du Commerce des États-Unis), les transferts sont traités comme adéquats ; pour les destinataires non certifiés, les CCT + l'Analyse d'impact des transferts restent obligatoires.
• Règles d'entreprise contraignantes (Art. 47) — utilisées par les groupes multinationaux pour les transferts intragroupe ; nécessitent l'approbation de la NAIH (ou d'une autre APD de l'UE).
• Dérogations (Art. 49) — consentement explicite, nécessité contractuelle, intérêt public important. Elles sont interprétées de façon restrictive et ne peuvent être utilisées pour des transferts réguliers à grande échelle.

La surcouche Schrems II

L'arrêt Schrems II de la CJUE (C-311/18, 16 juillet 2020) a invalidé l'ancien Privacy Shield UE-États-Unis et a imposé une obligation supplémentaire aux responsables du traitement : une Analyse d'impact des transferts (AIT) évaluant si le droit du pays destinataire offre une protection « essentiellement équivalente » à celle du RGPD — en particulier au regard de l'accès des autorités à des fins de surveillance. Lorsque l'évaluation révèle des lacunes (typique pour les transferts vers les États-Unis en l'absence de certification Data Privacy Framework), le responsable doit mettre en œuvre des mesures supplémentaires — chiffrement avec clés détenues dans l'UE, pseudonymisation ou architectures de données scindées — pour y remédier.

Documenter le transfert

Chaque transfert transfrontalier doit être consigné dans le registre des activités de traitement de l'Article 30, avec : le pays de destination, le mécanisme juridique (adéquation, CCT, BCR, dérogation), la date de signature des CCT, la configuration modulaire utilisée et le résultat de l'AIT. Zunapro tient un registre des transferts transfrontaliers automatiquement alimenté à partir des services intégrés utilisés par votre locataire — chaque prestataire de paiement, chaque connecteur CRM, chaque pont de marketplace journalise sa chaîne de transfert.

9. Amendes de la NAIH — Combien, à quelle fréquence, comment les éviter

Les paliers d'amendes de l'Article 83 du RGPD

Le RGPD plafonne les amendes administratives à deux niveaux :

• Palier 1 — 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu, pour les manquements aux obligations relatives au registre des traitements, à la sécurité, à la notification des violations, à l'AIPD et à la désignation du DPO (Articles 8, 11, 25–39, 42, 43)
• Palier 2 — 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu, pour les manquements aux principes de base (Article 5), à la licéité du traitement (Article 6), aux conditions du consentement (Article 7), aux catégories particulières (Articles 9–10), aux droits des personnes concernées (Articles 12–22) et aux transferts internationaux (Articles 44–49)

Élément crucial : les amendes du RGPD sont plafonnées sur le chiffre d'affaires mondial, et non local — une filiale hongroise d'une multinationale peut faire face à une amende calibrée sur le chiffre d'affaires mondial du groupe.

Les 11 facteurs de calibrage de l'Article 83(2)

La NAIH doit apprécier chaque amende au regard de onze facteurs : la nature, la gravité et la durée de l'infraction ; le nombre de personnes concernées ; le niveau de dommage subi ; le caractère intentionnel ou négligent ; les actions d'atténuation ; le degré de responsabilité (mesures techniques et organisationnelles) ; les infractions antérieures ; le degré de coopération avec la NAIH ; les catégories de données concernées ; la manière dont l'infraction a été portée à connaissance (l'auto-signalement compte) ; l'adhésion à des codes de conduite ou certifications approuvés ; et tout autre facteur aggravant ou atténuant.

Le bilan d'application de la NAIH

Sélection d'amendes hongroises publiées (à titre indicatif, non exhaustif) :

• DPD Hungary — 250 M HUF (~650 K€, 2022) pour un traitement illégal d'analyse vocale sur les appels du service client — un précédent européen majeur sur le profilage vocal / par IA
• Parti politique hongrois — 11 M HUF (2019) pour des e-mails de marketing direct illégaux à des non-membres
• Opérateur télécom — 100 M HUF+ (2020) pour des contrôles d'accès inadéquats ayant conduit à une violation
• Plusieurs boutiques en ligne PME — 1 à 10 M HUF chacune pour des bannières cookies manquantes ou illégales, des politiques de confidentialité manquantes, des notifications de violation tardives
• Banque — 250 M HUF (2021) pour un profilage illégal de clients sans base légale

La pile pratique d'évitement des amendes

Le raisonnement publié des décisions de la NAIH pointe vers un schéma récurrent de « remise pour atténuation ». Les responsables qui présentent les éléments suivants reçoivent généralement des amendes de 30 à 70 % inférieures au tarif :

• Une AIPD fonctionnelle pour tout traitement à haut risque (profilage de fidélité, publicités comportementales, paiements biométriques)
• Un registre des activités de traitement documenté au titre de l'Article 30, tenu à jour
• Un workflow DSAR fonctionnel qui a effectivement été utilisé et respecte le SLA de 30 jours
• Des données personnelles chiffrées au repos et en transit, avec preuve de gestion des clés
• Des registres de formation annuelle du personnel, actualisés à l'embauche et après tout incident
• Un registre des violations fonctionnel et au moins un exercice de violation documenté par an
• La preuve de l'auto-signalement dans les 72 heures lorsqu'une violation réelle est survenue
• Une bannière cookies avec « Tout refuser » visuellement égal à « Tout accepter »

10. La checklist RGPD e-commerce hongrois 2026

Une feuille de route de mise en œuvre en 25 points

La checklist ci-dessous distille les neuf sections précédentes en une feuille de route pratique et priorisée. La plupart des PME hongroises peuvent la réaliser en trois à six semaines d'effort à temps partiel, ou en une quinzaine concentrée avec le pack de conformité de Zunapro préconfiguré automatiquement.

Fondations (semaines 1–2)

1. Cartographiez chaque flux de données personnelles — entrée, stockage, sous-traitant, sortie, conservation
2. Compilez votre registre des activités de traitement (RAT) de l'Article 30
3. Identifiez la base légale au titre de l'Article 6 pour chaque activité de traitement
4. Identifiez toute donnée de catégorie particulière (Article 9) et confirmez la base légale supplémentaire
5. Décidez si un DPO est obligatoire ou volontaire ; désignez-le et notifiez la NAIH le cas échéant
6. Mettez en place une boîte mail interne de protection des données (par ex. [email protected])

Documentation (semaines 2–3)

7. Publiez l'Adatkezelési Tájékoztató hongroise (Articles 13–14 du RGPD + références à la Loi Info)
8. Publiez une politique de cookies distincte avec chaque cookie listé
9. Publiez des conditions générales (Általános Szerződési Feltételek — ÁSZF) alignées sur le Code civil hongrois
10. Signez des accords de sous-traitance (DPA) au titre de l'Article 28 avec chaque sous-traitant — hébergement, e-mail, analyse, CRM, paiement, coursier, ponts de marketplaces
11. Signez des modules CCT avec chaque sous-traitant hors EEE et réalisez une Analyse d'impact des transferts pour chacun
12. Documentez un calendrier de conservation par catégorie de données (8 ans pour les factures, consentement marketing + 5 ans pour la preuve, cookies selon la durée déclarée)

Couche de consentement aux cookies (semaine 3)

13. Déployez une bannière cookies CMP avec Tout accepter / Tout refuser / Personnaliser visuellement égaux
14. Bloquez tous les cookies non essentiels jusqu'à ce que le consentement soit donné
15. Fournissez un lien « Préférences cookies » persistant dans le pied de page pour le retrait du consentement
16. Journalisez chaque événement de consentement avec horodatage, version de la bannière, choix — pour audit par la NAIH

Workflows opérationnels (semaines 4–5)

17. Construisez un workflow DSAR avec vérification d'identité et minuteur SLA de 30 jours
18. Construisez un playbook de réponse aux violations aligné sur le formulaire en ligne de la NAIH, minuteur de 72 heures
19. Mettez en place un registre des violations pour chaque incident, notifiable ou non
20. Configurez la collecte du consentement marketing avec double opt-in pour l'inscription à la newsletter
21. Configurez un consentement granulaire par finalité de traitement au paiement — pas de consentement groupé

Vérification (semaine 6)

22. Menez un exercice de violation sur table avec l'informatique, le juridique, le service client et le DPO
23. Réalisez un audit interne de la bannière cookies à l'aide des outils de développement du navigateur
24. Déposez une DSAR de test depuis un client bienveillant et validez le workflow de 30 jours de bout en bout
25. Planifiez la prochaine formation annuelle de recyclage RGPD pour tout le personnel manipulant des données personnelles

Références juridiques — Index rapide

L'ensemble du fondement légal et jurisprudentiel de ce guide, pour référence par les conseils et les DPO :

Source	Référence	Pertinence
GDPR	Règlement (UE) 2016/679 du 27 avril 2016	Règlement UE direct — texte intégral
Info Act 2011	Act CXII of 2011 (Infotv.) — modifiée en dernier lieu par la Loi XXXVIII de 2018	Loi hongroise de mise en œuvre + structure de la NAIH
ePrivacy	Directive 2002/58/EC — transposition hongroise : Act C of 2003 (Eht.)	Consentement aux cookies + communications électroniques
Marketing	Act XLVIII of 2008 on Commercial Advertising (Grtv.)	Règles hongroises d'opt-in pour le marketing
Comptabilité	Act C of 2000 on Accounting, Section 169	Conservation des factures pendant 8 ans
Code civil	Act V of 2013 (Polgári Törvénykönyv)	Prescription générale + responsabilité civile
Code pénal	Act C of 2012, Section 219	Traitement illégal de données personnelles — infraction pénale
Schrems II	CJEU Case C-311/18 (16 July 2020)	Doctrine CCT + Analyse d'impact des transferts
SCCs 2021	Commission Decision (EU) 2021/914	Ensemble modulaire des clauses contractuelles types
EDPB Guidelines	Lignes directrices 03/2022 sur les dark patterns ; 5/2020 sur le consentement ; bien d'autres	Interprétation faisant autorité à travers les APD de l'UE

Lecture du tableau : le RGPD est le socle opérationnel ; la Loi Info ajoute la procédure hongroise et la structure de la NAIH ; les lois ePrivacy et Marketing régissent les flux de consentement pour les cookies et l'e-mail ; les Codes de la comptabilité et civil fixent les planchers de conservation ; le Code pénal est le filet de sécurité de dernier recours pour les violations graves. Le module de conformité de Zunapro référence chaque ligne de ce tableau en coulisses.

FAQ RGPD & NAIH Hongrie 2026