GDPR és NAIH a Magyar E-kereskedelmi Vállalkozások Számára 2026: Adatvédelem, Cookie Hozzájárulás és Megfelelőségi Útmutató

A 2026-os Magyar Adatvédelmi Környezet Egy Pillantásra

Egyetlen európai ország sem rétegzi úgy az adatvédelmi szabályait, mint Magyarország. Az alábbi kártyák összefoglalják az ebben az útmutatóban tárgyalt hat megfelelőségi pillért — tartsa szem előtt ezeket, miközben végigolvassa az egyes mélyelemző szakaszokat.

1. GDPR + 2011. évi Magyar Infotörvény — A Kétrétegű Alap

GDPR — A Páneurópai Réteg

Az Általános Adatvédelmi Rendelet ((EU) 2016/679 rendelet) 2018. május 25-én vált közvetlenül alkalmazandóvá, és felváltotta az 1995-ös adatvédelmi irányelv által létrehozott nemzeti törvények mozaikját. Mivel a GDPR rendelet, nem pedig irányelv, Magyarországon átültetés nélkül közvetlenül hatályos — minden magyar e-kereskedelmi vállalkozást kötnek a 99 cikke és 173 preambulumbekezdése.

A webáruházak számára a legfontosabb operatív cikkek: 5. cikk (alapelvek — jogszerűség, tisztességes eljárás, átláthatóság, célhoz kötöttség, adattakarékosság, pontosság, korlátozott tárolhatóság, integritás, elszámoltathatóság), 6. cikk (jogalapok — hozzájárulás, szerződés, jogi kötelezettség, létfontosságú érdek, közfeladat, jogos érdek), 13–14. cikk (az érintettnek nyújtandó tájékoztatás), 15–22. cikk (érintetti jogok), 28. cikk (adatfeldolgozói szerződések), 30. cikk (adatkezelési tevékenységek nyilvántartása), 32. cikk (biztonság), 33–34. cikk (incidens bejelentés), 35. cikk (DPIA) és 44–49. cikk (nemzetközi adattovábbítások).

A 2011. évi Infotörvény — A Magyar Réteg

A 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról — amelyet rövidítve Infotv.-nek vagy egyszerűen "Infotörvénynek" hívnak — Magyarország alapvető adatvédelmi jogszabálya. Hét évvel megelőzi a GDPR-t, de 2018-ban a 2018. évi XXXVIII. törvénnyel jelentősen módosították a GDPR-hoz való igazítás érdekében, miközben megőrizte azokat a magyar specifikumokat, amelyeket a GDPR kifejezetten a tagállamokra bíz.

Az Infotörvény szerepe 2026-ban a következőképpen foglalható össze: (a) kodifikálja a NAIH felépítését, jogköreit és eljárásait — a GDPR 6. fejezete minden tagállamtól megköveteli egy független felügyeleti hatóság kijelölését, de a részleteket a nemzeti jogra bízza, (b) szabályozza a közszférában kezelt adatokat és az információszabadsággal kapcsolatos kéréseket, amelyek a GDPR hatályán kívül esnek, (c) biztosítja a GDPR által megengedett nemzetbiztonsági és bűnüldözési kivételeket, és (d) magyar nyelvű dokumentációs és értesítési követelményeket ír elő ott, ahol a GDPR nyelvsemleges.

Hogyan Hat Egymásra a Kettő

A gyakorlatban a magyar e-kereskedelmi szereplőknek először a GDPR-t kell olvasniuk az anyagi jogi kötelezettségek miatt, másodszor pedig az Infotörvényt az eljárási sajátosságok miatt — hogyan kell panaszt benyújtani a NAIH-nál, hogyan végez vizsgálatokat a NAIH, hogyan néznek ki a bírságok és határozatok, és hogyan vizsgálják felül a magyar bíróságok a NAIH határozatait fellebbezés alapján. Az Infotörvény kitölti a GDPR hézagait is az újságírói, tudományos, művészi és irodalmi célú adatkezelés (GDPR 85. cikk), a munkavégzéssel kapcsolatos adatkezelés (GDPR 88. cikk) és a digitális hozzájárulás életkora tekintetében (Magyarország ezt a GDPR 8. cikke alapján 16 évben határozta meg).

2. NAIH — A Magyar Adatvédelmi Hatóság

A Parlamenti Biztostól a Független Hatóságig

A NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság) 2012. január 1-jén jött létre a 2011. évi Infotörvény alapján, felváltva a korábbi Adatvédelmi Biztos (Parlamenti Biztos az adatvédelemért és információszabadságért) intézményét. A változás a magyar adatvédelmi felügyeletet az egyszemélyes ombudsmani modellről egy teljesen intézményes hatóságra cserélte, saját személyzettel, költségvetéssel és döntéshozatali jogkörökkel.

A NAIH központja Budapesten a Falk Miksa utcában található, és egy Elnök vezeti, akit a Köztársasági Elnök nevez ki kilenc évre, a miniszterelnök javaslatára. A jelenlegi elnök (Dr. Péterfalvi Attila 2012, a hatóság megalapítása óta tölti be a hivatalt, és további ciklusokra is újraválasztották) körülbelül 130 jogász, IT szakember és adminisztratív munkatárs élén áll.

A NAIH Jogkörei a GDPR + Infotörvény alapján

A NAIH gyakorolja a GDPR 58. cikkében felsorolt összes felügyeleti jogkört, ideértve:

• Vizsgálati jogkörök — bármely adatkezelő / adatfeldolgozó kötelezése információszolgáltatásra, helyszíni ellenőrzések lefolytatása, hozzáférés szerzése minden helyszínhez, adatkezelő berendezéshez és eszközhöz
• Korrekciós jogkörök — figyelmeztetések, megrovások, érintetti kérelmek teljesítésére kötelezés, az adatkezelés megfelelővé tételére kötelezés, ideiglenes vagy végleges korlátozás, beleértve az adatkezelés tilalmát, az adatok helyesbítésére vagy törlésére kötelezés, valamint közigazgatási bírság kiszabása
• Engedélyezési és tanácsadási jogkörök — véleményezés jogalkotási tervezetekről, tanúsító szervezetek akkreditálása, a kötelező erejű vállalati szabályok (BCR) és magatartási kódexek jóváhagyása

A GDPR jogkörökön felül az Infotörvény jogot ad a NAIH-nak arra, hogy hivatalból eljárást indítson (panasz nélkül), bírósági végzést kérjen az adatkezelés felfüggesztésére, és feltételezett bűncselekményeket (pl. különleges kategóriájú adatokhoz való jogosulatlan hozzáférés a magyar Büntető Törvénykönyv, a 2012. évi C. törvény 219. §-a alapján) az ügyészséghez utaljon.

Panasz Benyújtása a NAIH-nál

Bármely érintett — legyen az magyar lakos vagy látogató — panaszt nyújthat be a NAIH-nál, ha úgy véli, hogy személyes adatait jogellenesen kezelték. A panaszeljárás díjmentes, magyarul és (korlátozott mértékben) angolul elérhető a naih.hu oldalon, és a NAIH általában két hónapon belül hoz elsőfokú határozatot a hiánytalan panasz beérkezésétől. A NAIH negyedéves közleményeiben és weboldalán teszi közzé a anonimizált határozatokat, így az EU egyik legátláthatóbb adatvédelmi hatósága.

3. Cookie Hozzájárulási Sáv — Kötelező és Szigorúan Szabályozott

A Jogalap — ePrivacy + GDPR

A cookie hozzájárulás Magyarországon két pilléren nyugszik: az EU ePrivacy irányelve (2002/58/EK) 5. cikk (3) bekezdésén a 2003. évi C. törvénybe az elektronikus hírközlésről (Eht.) történő átültetés szerint, valamint a GDPR 6. cikk (1) bekezdés a) pontján, amely meghatározza, mi minősül érvényes hozzájárulásnak. A kombinált szabály egyszerűen kimondható és könnyen megsérthető: mielőtt bármilyen cookie-t vagy hasonló nyomkövetőt tárolna vagy érne el a felhasználó végfelhasználói eszközén, az adatkezelőnek önkéntes, konkrét, tájékozott és egyértelmű előzetes hozzájárulást kell beszereznie. A szigorúan szükséges cookie-k (munkamenet, kosár, biztonság, alapvető terheléselosztás) mentesülnek; minden más — analitika, hirdetés, közösségi plug-inok, A/B tesztelés, hőtérképek — hozzájárulást igényel.

Milyen Egy Megfelelő Sáv 2026-ban

A NAIH számos végrehajtási határozatot adott ki, amelyek tisztázzák az elvárásait. A 2026-os minimálisan életképes magyar sáv jellemzői a következők:

• 1. réteg (sáv) — bármely nem alapvető cookie aktiválása előtt jelenik meg, felsorolja a kategóriákat (Szükséges, Funkcionális, Analitika, Marketing), és három, vizuálisan egyenrangú opciót kínál: Összes Elfogadása, Összes Elutasítása, Testreszabás
• 2. réteg (beállítások modális) — kategóriánkénti részletes kapcsolók, egyenként elutasíthatók; felsorol minden harmadik fél szolgáltatót, célját, megőrzését és a saját adatvédelmi szabályzatára mutató linket
• 3. réteg (cookie szabályzat oldal) — teljes táblázat minden cookie-ról, élettartamáról, típusáról, céljáról, feléről, valamint link a tágabb adatkezelési tájékoztatóhoz
• A hozzájárulás visszavonása — "olyan könnyen visszavonhatónak kell lennie, mint amilyen könnyen megadható" (GDPR 42. preambulumbekezdés); állandó lebegő gomb vagy láblécben lévő link a tipikus minta
• Nincsenek sötét mintázatok — az előre bejelölt négyzetek, a színkontraszt-trükkök, a görgetés-mint-hozzájárulás és a cookie-falak kifejezetten jogellenesek a NAIH és az EDPB 03/2022 számú iránymutatása szerint

Az Elutasítás-Vizuális-Egyenlőség Szabálya

A 2025–2026-os NAIH cookie végrehajtás legtöbbet vitatott pontja az, hogy az Összes Elutasítása gomb valóban olyan feltűnő-e, mint az Összes Elfogadása. Az "egyenlő feltűnőség" azt jelenti, hogy ugyanaz a színintenzitás, ugyanaz a méret, ugyanaz a pozícionális súly és ugyanannyi kattintás. Egy gyakori 2024 előtti sötét mintázat — egy fényes kék "Összes Elfogadása" gomb egy vékony szürke szöveges link "Több opció" mellett — Magyarországon jelenleg önmagában jogsértésnek minősül, és a Zunapro CMP-je automatikusan érvényesíti a vizuális egyenrangúságot.

4. Adatkezelési Tájékoztató — Egy Kötelező Dokumentum

GDPR 13. és 14. Cikk — A Tájékoztatási Kötelezettségek

Az adatkezelési tájékoztató Magyarországon nem opcionális. A GDPR 13. cikke kötelezi az adatkezelőt arra, hogy az érintettet az adatgyűjtés pillanatában tájékoztassa: az adatkezelő (és a DPO, ha van) személyazonosságáról és elérhetőségéről, az adatkezelés céljairól és jogalapjáról, a címzettekről vagy a címzettek kategóriáiról, a harmadik országba történő továbbítás szándékáról és az alkalmazott biztosítékokról, a megőrzési időről, az érintett jogairól, beleértve a NAIH-hoz történő panasz benyújtásának jogát, arról, hogy az adatszolgáltatás szerződéses vagy törvényes-e és a megtagadás következményeiről, valamint az automatizált döntéshozatal — beleértve a profilalkotást — fennállásáról.

A 14. cikk tartalmazza a párhuzamos kötelezettségeket az érintettől eltérő forrásból gyűjtött adatok esetében — jellemzően piactéri rendelési feedek, hűségprogram átvitelek és B2B partnerlisták — egy kötelezettséget hozzáadva arra, hogy az érintettet egy hónapon belül vagy az első kommunikáció során tájékoztassák, attól függően, melyik az előbb.

A Magyar Specifikus Kiegészítések

Az Infotörvény előírja, hogy az adatkezelési tájékoztatót az érintett számára elérhető formátumban és nyelven kell biztosítani — a magyar fogyasztók számára ez magyart jelent. Sok magyar e-kereskedelmi szereplő magyar elsődleges szabályzatot tesz közzé, mellette pedig másodlagos angol verziót a határon átnyúló ügyfelek számára. A bevált gyakorlat magában foglalja:

• A NAIH nyilvántartási szám feltüntetését, ha olyan adatkezelést végez, amely formális NAIH nyilvántartást igényel (többnyire örökölt / közszektor)
• A 2011. évi Infotörvényre való kifejezett hivatkozást a GDPR cikkek mellett a jogalap szakaszban
• Az adatkezelő teljes postai címét és kapcsolattartási e-mail címét — a NAIH könnyű elérhetőséget vár el
• A megőrzési időt konkrét években — az olyan homályos megfogalmazásokat, mint "amíg szükséges", a NAIH határozatok bírálták

Rétegzett Tájékoztatás — Gyakorlati Minta

Az EDPB 5/2020 iránymutatása támogatja a "rétegzett tájékoztatást" — egy rövid, közérthető összefoglalót, amely a teljes részletes szabályzatra mutató linket tartalmaz. A magyar webáruházak számára a tipikus rétegzett minta a következő: (1) egy egybekezdéses közérthető magyar nyelvű összefoglaló a pénztári űrlapon, (2) a teljes Adatkezelési Tájékoztató, amely minden oldal láblécéből elérhető, és (3) témaspecifikus tájékoztatások a hírlevél feliratkozásnál, a fiók regisztrációnál és a cookie hozzájárulásnál. A Zunapro mindhárom réteget egyetlen adatkezelési tájékoztató sablonból generálja, automatikusan szinkronizálva a magyar webáruház, a mobilalkalmazás és a piactéri kirakatok között.

5. Adatvédelmi Tisztviselő (DPO) — Mikor Kell Kineveznie

A Három GDPR 37. Cikk Szerinti Kiváltó Ok

A magyar e-kereskedelmi szereplőknek nem automatikusan van szükségük adatvédelmi tisztviselőre. A GDPR 37. cikk (1) bekezdése három együttes kiváltó okot határoz meg, amelyek közül bármelyik elegendő:

• Közhatalmi szerv — minisztériumokra, önkormányzatokra, állami tulajdonú vállalatokra vonatkozik; nem releváns a magán e-kereskedelem szempontjából
• A fő tevékenységek az érintettek rendszeres és módszeres, nagymértékű megfigyeléséből állnak — viselkedés alapú hirdetési hálózatokra, helymeghatározó alkalmazásokra, nagy hűségprogramokra vonatkozik, amelyek a csatornákon keresztül profilozzák a vásárlókat, valamint ad-tech közvetítőkre
• A fő tevékenységek a különleges kategóriájú adatok (9. cikk) vagy büntető ítéletekkel kapcsolatos adatok (10. cikk) nagymértékű kezeléséből állnak — online gyógyszertárakra, termékenységi / dietetikai szakemberekre, egészségtech vállalatokra, bizonyos politikai vagy vallási affinitású kiskereskedőkre vonatkozik

A tisztán tranzakciós e-kereskedelem — fizikai termékek értékesítése fogyasztóknak, a kézbesítési és számlázási adataik feldolgozása — általában nem éri el ezeket a küszöbértékeket. Egy 5000 rendelés/hónapos lakberendezési üzletnek nem kell DPO-t kineveznie; egy 50 000 tagú előfizetéses gyógyszertár szinte biztosan kell.

Mit Jelent a "Nagymértékű" és a "Fő Tevékenység"

Az EDPB iránymutatása (korábban WP29 03/2017 vélemény) azt javasolja, hogy értékeljék: (a) az érintettek számát, (b) az adatok mennyiségét, (c) az adatkezelés időtartamát és állandóságát, és (d) földrajzi hatókörét. A "fő tevékenységek" az adatkezelő céljainak eléréséhez nélkülözhetetlen tevékenységeket jelentik — a bérszámfejtés ritkán "fő tevékenység"; a vásárlók profilozása személyre szabott hirdetésekhez igen.

Önkéntes DPO Kinevezés

Azok a magyar kiskereskedők, akik a GDPR 37. cikkben szereplő küszöbérték alatt vannak — és sokan így tesznek — önkéntesen kinevezhetnek DPO-t. Az előnyök jelentősek: egyetlen elszámoltatható kapcsolattartó a NAIH számára, egyértelmű belső eszkalációs pont az érintetti kérelmek és incidensek számára, valamint hitelességjelző a B2B partnerek számára. A Zunapro hozzárendelheti az Ön belső jogászát vagy egy kiszervezett DPO partnert a magyar bérlőjéhez; az elérhetőségeik automatikusan kitöltik az adatkezelési tájékoztatót és a NAIH értesítési mezőket.

A NAIH Értesítése a DPO-ról

Ahol DPO-t neveznek ki (kötelezően vagy önkéntesen), a GDPR 37. cikk (7) bekezdése előírja az adatkezelő számára, hogy közzétegye a DPO elérhetőségét, és közölje azokat a NAIH-val. A NAIH online DPO értesítési űrlapot biztosít. A DPO-nak operatív függetlenséget kell élveznie, nem bocsátható el, és nem büntethető a DPO feladatok ellátásáért, és közvetlenül a legmagasabb vezetői szintnek tartozik beszámolóval.

6. Érintetti Jogok — A Nyolc GDPR Jogosultság

A Nyolc Jog Egy Pillantásra

A GDPR 3. fejezete nyolc jogot biztosít minden egyén számára. A magyar webáruházaknak operatív folyamatokat kell kiépíteniük mindegyik teljesítésére a hitelesített kérelem beérkezésétől számított egy naptári hónapon belül (összetett kérelmek esetén az érintettnek küldött indokolt értesítéssel két hónappal meghosszabbítható).

A DSAR Munkafolyamat — Azonosság Ellenőrzése

Az Érintetti Hozzáférési Kérelem (DSAR) érkezhet e-mailben, webes űrlapon, postai levélben vagy akár közösségi média DM-ben is. A válaszadás előtt az adatkezelőnek ésszerűen ellenőriznie kell a kérelmező személyazonosságát — GDPR 12. cikk (6) — anélkül, hogy a szükségesnél több adatot gyűjtene. Egy regisztrált ügyfél esetében az ellenőrzés általában egy bejelentkezett fiók megerősítését és egy e-mail hurkot jelent; egy nem ügyfél esetében nemzeti személyi igazolvány hash-t vagy meglévő rendelési hivatkozást is magában foglalhat. A túlzott ellenőrzés önmagában is jogsértés: a NAIH azért is bírságolt adatkezelőket, mert egy webáruházi feliratkozó ellenőrzéséhez színes útlevélmásolatot követeltek.

A Válasz — Formátum, Csatorna, Költség

A választ írásban kell adni "tömör, átlátható, érthető és könnyen hozzáférhető formában, világos és közérthető nyelven" (GDPR 12. cikk (1)) — magyarul a magyar érintettek számára, kivéve, ha kifejezetten más nyelvet kértek. A válasz díjmentes; "adminisztratív díj" felszámítása csak nyilvánvalóan megalapozatlan vagy túlzott kérelmek esetén megengedett, és csak a NAIH által felügyelt mértékben. A 20. cikk szerinti hordozhatósági kérelmek esetén a formátumnak strukturáltnak, általánosan használtnak és géppel olvashatónak kell lennie — CSV vagy JSON, nem pedig egy egyszerű PDF.

7. Adatvédelmi Incidens Bejelentés — A 72 Órás Szabály

Mikor Áll Fenn Incidens

A GDPR 4. cikk (12) bekezdése tágan határozza meg az adatvédelmi incidenst: "a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi". Ez magában foglal mindent egy zsarolóvírus támadástól, amely zárolja a rendelési adatokat, egy rosszul konfigurált felhőtárolóig, amely az ügyfélcímeket teszi közzé, egy alkalmazottig, aki egy ügyféllistát személyes Gmail-re küld, vagy egy futárig, aki elveszít egy nyomtatott szállítási nyilvántartást.

Értesítés a NAIH-nak (33. cikk)

Ahol az incidens valószínűsíthetően kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelőnek indokolatlan késedelem nélkül, és lehetőség szerint legkésőbb az erről való tudomásszerzést követő 72 órán belül értesítenie kell a NAIH-ot. A NAIH magyar nyelvű online incidens-bejelentési űrlapot biztosít a naih.hu oldalon; az űrlap a következőket kéri:

• Az incidens jellege, beleértve, ahol lehetséges, az érintettek kategóriáit és hozzávetőleges számát, valamint az érintett adatrekordok kategóriáit és hozzávetőleges számát
• Kapcsolattartási pont — jellemzően a DPO vagy egy vezető adatvédelmi kapcsolattartó
• Az incidens valószínűsíthető következményei az érintettekre nézve
• Az incidens kezelésére és a hátrányos hatások csökkentésére meghozott vagy javasolt intézkedések

Ha a teljes információ 72 órán belül nem áll rendelkezésre, az értesítést szakaszosan is meg lehet adni — de a kezdeti értesítést időben kell megtenni, és a kiegészítő információkat akkor kell megadni, amikor ismertté válnak.

Értesítés az Érintetteknek (34. cikk)

Ahol az incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelőnek emellett az érintett személyeket is közvetlenül kell értesítenie, világos és közérthető magyar nyelven, leírva az incidens jellegét, valószínűsíthető következményeit és a meghozott intézkedéseket. Az érintettek értesítése nem szükséges, ha az adatkezelő megfelelő technikai és szervezési védelmi intézkedéseket alkalmazott (pl. titkosítás, amely érthetetlenné teszi az adatokat), vagy ezt követően olyan intézkedéseket tett, amelyek biztosítják, hogy a magas kockázat valószínűsíthetően ne valósuljon meg, vagy ez aránytalan erőfeszítést jelentene (ebben az esetben nyilvános közlemény elfogadható).

Nyilvántartás Vezetése (33. cikk (5) bekezdés)

Függetlenül attól, hogy egy incidenst bejelentenek-e a NAIH-nak vagy az érintetteknek, az adatkezelőnek minden incidenst dokumentálnia kell — tények, hatások, korrekciós intézkedések — egy belső incidens nyilvántartásban. A NAIH rendszeresen ellenőrzi ezt a nyilvántartást az auditok során, és a nyilvántartás hiánya önmagában jogsértés.

8. Határon Átnyúló Adattovábbítások — SCC a Schrems II Után

Az V. Fejezet Kerete

A GDPR V. fejezete (44–49. cikk) szabályozza a személyes adatok továbbítását az Európai Gazdasági Térségen (EGT — EU + Izland, Liechtenstein, Norvégia) kívülre. Az alapszabály egyszerű: bármilyen "harmadik országba" történő továbbítás tilos, kivéve, ha valamelyik konkrét biztosíték alkalmazandó. A magyar e-kereskedelmi szereplők rendszeresen végeznek V. fejezet szerinti továbbításokat — USA-ban tárolt analitikába, egyesült királyságbeli teljesítési partnerekhez, török vagy indiai ügyfélszolgálati szolgáltatókhoz.

A Biztosítéki Eszköztár

A rendelkezésre álló mechanizmusok, az e-kereskedelmi gyakorlati használat csökkenő sorrendjében:

• Megfelelőségi határozatok (45. cikk) — az Európai Bizottság az Egyesült Királyság, Svájc, Japán, Dél-Korea, Kanada (kereskedelmi), Új-Zéland, Argentína, Izrael, a Feröer-szigetek, Guernsey, Jersey, a Man-sziget, Uruguay és Andorra jogi kereteit nyilvánította megfelelőnek. Az ezekbe az országokba történő továbbításokat EU-n belüli továbbításként kezelik.
• Általános Szerződési Feltételek (46. cikk (2) bekezdés c) pont) — az Európai Bizottság 2021-es moduláris SCC-i az e-kereskedelmi határon átnyúló megfelelőség igáslova. Az 1–4. modulok adatkezelő-adatkezelő, adatkezelő-adatfeldolgozó, adatfeldolgozó-adatfeldolgozó és adatfeldolgozó-adatkezelő közötti adattovábbításokat fednek le.
• EU-USA Adatvédelmi Keret — a Keret alapján tanúsított USA-beli címzettekhez történő továbbítások esetén (az USA Kereskedelmi Minisztériumának oldalán közzétett listán) a továbbításokat megfelelőként kezelik; nem tanúsított címzettek esetén az SCC + Adattovábbítási Hatásvizsgálat továbbra is kötelező.
• Kötelező Erejű Vállalati Szabályok (47. cikk) — multinacionális csoportok használják csoporton belüli továbbításokra; NAIH (vagy más EU adatvédelmi hatóság) jóváhagyását igénylik.
• Eltérések (49. cikk) — kifejezett hozzájárulás, szerződéses szükségesség, fontos közérdek. Ezeket szűken értelmezik, és nem használhatók rendszeres, nagymértékű továbbításokra.

A Schrems II Réteg

Az Európai Unió Bíróságának Schrems II ítélete (C-311/18, 2020. július 16.) érvénytelenítette a régi EU-USA Adatvédelmi Pajzsot, és további kötelezettséget rótt az adatkezelőkre: egy Adattovábbítási Hatásvizsgálatot (TIA), amely értékeli, hogy a fogadó ország joga "lényegében egyenértékű" védelmet biztosít-e a GDPR-ral — különös tekintettel a kormányzati megfigyelési hozzáférésre. Ahol az értékelés hiányosságokat tár fel (jellemző az USA-ba történő, az Adatvédelmi Keret tanúsítás nélküli továbbításokra), az adatkezelőnek kiegészítő intézkedéseket kell végrehajtania — titkosítás EU-ban tartott kulcsokkal, álnevesítés vagy megosztott adatarchitektúrák — a hiány orvoslására.

Az Adattovábbítás Dokumentálása

Minden határon átnyúló továbbítást rögzíteni kell a 30. cikk szerinti adatkezelési tevékenységek nyilvántartásában, a következőkkel: a cél ország, a jogi mechanizmus (megfelelőség, SCC, BCR, eltérés), az SCC aláírás dátuma, a használt moduláris konfiguráció, és a TIA eredménye. A Zunapro automatikusan kitöltött határon átnyúló adattovábbítási nyilvántartást vezet az Ön bérlője által használt integrált szolgáltatások alapján — minden fizetési szolgáltató, minden CRM csatlakozó, minden piactéri híd naplózza az adattovábbítási láncát.

9. NAIH Bírságok — Mennyi, Milyen Gyakran, Hogyan Kerülhető El

A GDPR 83. Cikk Bírság Szintjei

A GDPR két szinten korlátozza a közigazgatási bírságokat:

• 1. szint — 10 millió EUR vagy a teljes éves globális árbevétel 2%-a, attól függően, melyik a magasabb, az adatkezelési nyilvántartással, biztonsággal, incidens bejelentéssel, DPIA-val és DPO kinevezéssel kapcsolatos kötelezettségek megsértéséért (8., 11., 25–39., 42., 43. cikk)
• 2. szint — 20 millió EUR vagy a teljes éves globális árbevétel 4%-a, attól függően, melyik a magasabb, az alapelvek (5. cikk), az adatkezelés jogszerűsége (6. cikk), a hozzájárulás feltételei (7. cikk), különleges kategóriák (9–10. cikk), érintetti jogok (12–22. cikk) és nemzetközi adattovábbítások (44–49. cikk) megsértéséért

Fontos, hogy a GDPR bírságokat a globális, nem pedig a helyi árbevételhez képest korlátozzák — egy multinacionális magyar leányvállalata olyan bírsággal szembesülhet, amelyet a csoport világméretű bevételéhez kalibráltak.

A 83. Cikk (2) Bekezdés Szerinti 11 Kalibrálási Tényező

A NAIH-nak minden bírságot tizenegy tényező figyelembevételével kell mérlegelnie: a jogsértés jellege, súlyossága és időtartama; az érintettek száma; az okozott kár szintje; szándékos vagy gondatlan jelleg; mérséklő intézkedések; a felelősség mértéke (technikai és szervezési intézkedések); korábbi jogsértések; a NAIH-val való együttműködés mértéke; az érintett adatkategóriák; az, hogy hogyan vált ismertté a jogsértés (az önbejelentés számít); a jóváhagyott magatartási kódexekhez vagy tanúsításhoz való csatlakozás; és bármely más súlyosító vagy enyhítő tényező.

A NAIH Végrehajtási Múltja

Válogatott közzétett magyar bírságok (illusztratív, nem teljes körű):

• DPD Hungary — 250M HUF (~650 ezer EUR, 2022) az ügyfélszolgálati hívások jogellenes hangelemzéséért — vezető EU precedens az MI/hangprofilozás területén
• Magyar politikai párt — 11M HUF (2019) nem tagok részére küldött jogellenes közvetlen marketing e-mailekért
• Távközlési szolgáltató — 100M HUF+ (2020) nem megfelelő hozzáférési kontrollért, amely incidenshez vezetett
• Több KKV webáruház — egyenként 1–10M HUF hiányzó vagy jogellenes cookie sávokért, hiányzó adatkezelési tájékoztatókért, késedelmes incidens bejelentésekért
• Bank — 250M HUF (2021) ügyfelek jogalap nélküli jogellenes profilalkotásáért

Gyakorlati Bírság-Elkerülési Csomag

A NAIH határozatok közzétett indokolása ismétlődő "enyhítési kedvezmény" mintára utal. Azok az adatkezelők, akik a következőket mutatják be, jellemzően 30–70%-kal a tarifa alatt kapnak bírságot:

• Működő DPIA minden magas kockázatú adatkezelésre (hűségprofilalkotás, viselkedési hirdetések, biometrikus pénztárak)
• Dokumentált 30. cikk szerinti adatkezelési tevékenységek nyilvántartása, naprakészen tartva
• Működő DSAR munkafolyamat, amelyet ténylegesen használtak, és megfelel a 30 napos SLA-nak
• Titkosított személyes adatok nyugalomban és átvitelben, kulcskezelési bizonyítékkal
• Éves személyzeti képzési nyilvántartások, frissítve felvételkor és bármely incidens után
• Működő incidens nyilvántartás és évente legalább egy dokumentált incidens gyakorlat
• Önbejelentés bizonyítéka 72 órán belül valódi incidens esetén
• Cookie sáv az Összes Elutasítása gombbal vizuálisan egyenrangú az Összes Elfogadása gombbal

10. A 2026-os Magyar E-kereskedelmi GDPR Ellenőrzőlista

Egy 25 Pontos Megvalósítási Útiterv

Az alábbi ellenőrzőlista az előző kilenc szakaszt egy gyakorlati, prioritizált útitervbe sűríti. A legtöbb magyar KKV három-hat hét részmunkaidős munkával vagy egy fókuszált két héttel teljesítheti, a Zunapro megfelelőségi csomagjával automatikusan konfigurálva.

Alap (1–2. hét)

1. Térképezze fel az összes személyes adatfolyamot — bemenet, tárolás, adatfeldolgozó, kimenet, megőrzés
2. Állítsa össze a 30. cikk szerinti Adatkezelési Tevékenységek Nyilvántartását (ROPA)
3. Azonosítsa a 6. cikk szerinti jogalapot minden adatkezelési tevékenységhez
4. Azonosítson minden különleges kategóriájú adatot (9. cikk), és erősítse meg a kiegészítő jogalapot
5. Döntse el, hogy a DPO kötelező vagy önkéntes; nevezze ki és értesítse a NAIH-ot, ha igen
6. Állítson be egy belső adatvédelmi postafiókot (pl. [email protected])

Dokumentáció (2–3. hét)

7. Tegye közzé a magyar Adatkezelési Tájékoztatót (GDPR 13–14. cikk + Infotörvény hivatkozások)
8. Tegyen közzé külön cookie szabályzatot minden cookie felsorolásával
9. Tegye közzé az Általános Szerződési Feltételeket (ÁSZF), a magyar Polgári Törvénykönyvhöz igazítva
10. Írjon alá adatfeldolgozói szerződéseket (DPA) a 28. cikk szerint minden adatfeldolgozóval — tárhely, e-mail, analitika, CRM, fizetés, futár, piactéri hidak
11. Írjon alá SCC modulokat minden EGT-n kívüli adatfeldolgozóval, és végezzen Adattovábbítási Hatásvizsgálatot mindegyikre
12. Dokumentáljon egy megőrzési ütemtervet adatkategóriánként (8 év a számlákhoz, marketing hozzájárulás + 5 év a bizonyításhoz, cookie-k a megadott lejárati idő szerint)

Cookie Hozzájárulási Réteg (3. hét)

13. Telepítsen egy CMP cookie sávot, ahol az Összes Elfogadása / Összes Elutasítása / Testreszabás vizuálisan egyenrangú
14. Blokkoljon minden nem alapvető cookie-t amíg a hozzájárulás megadása megtörténik
15. Biztosítson egy állandó "Cookie beállítások" linket a láblécben a hozzájárulás visszavonásához
16. Naplózzon minden hozzájárulási eseményt időbélyeggel, sáv verzióval, választással — NAIH általi ellenőrzésre

Operatív Munkafolyamatok (4–5. hét)

17. Építsen egy DSAR munkafolyamatot személyazonosság ellenőrzéssel és 30 napos SLA időzítővel
18. Építsen egy incidens-reakciós forgatókönyvet a NAIH online űrlaphoz igazítva, 72 órás időzítővel
19. Hozzon létre egy incidens nyilvántartást minden incidensre, függetlenül attól, hogy bejelentendő-e vagy sem
20. Konfiguráljon marketing hozzájárulás rögzítést duplex opt-innel a hírlevél feliratkozáshoz
21. Konfiguráljon részletes hozzájárulást adatkezelési célonként a pénztárnál — nincs összevont hozzájárulás

Ellenőrzés (6. hét)

22. Futtasson egy asztali incidens gyakorlatot IT, jogi, ügyfélszolgálati csapattal és DPO-val
23. Végezzen belső auditot a cookie sávon a böngésző fejlesztői eszközeivel
24. Nyújtson be egy teszt DSAR-t egy barátságos ügyféltől, és validálja a 30 napos munkafolyamatot végponttól végpontig
25. Ütemezze a következő éves GDPR frissítő képzést minden személyes adatokat kezelő munkatárs számára

Jogi Hivatkozások — Gyors Index

Ezen útmutató teljes jogszabályi és döntési alapja jogi tanácsadók és DPO-k számára:

Forrás	Hivatkozás	Relevancia
GDPR	(EU) 2016/679 rendelet, 2016. április 27.	Közvetlen EU rendelet — teljes szöveg
Infotörvény 2011	2011. évi CXII. törvény (Infotv.) — utoljára módosítva 2018. évi XXXVIII. törvénnyel	Magyar átültető jogszabály + NAIH felépítés
ePrivacy	2002/58/EK irányelv — magyar átültetés: 2003. évi C. törvény (Eht.)	Cookie hozzájárulás + elektronikus hírközlés
Marketing	2008. évi XLVIII. törvény a gazdasági reklámtevékenységről (Grtv.)	Magyar opt-in szabályok marketingre
Számvitel	2000. évi C. törvény a számvitelről, 169. §	8 éves számla megőrzés
Polgári Törvénykönyv	2013. évi V. törvény (Ptk.)	Általános elévülés + polgári jogi felelősség
Büntető Törvénykönyv	2012. évi C. törvény, 219. §	Személyes adatok jogellenes kezelése — bűncselekmény
Schrems II	EUB C-311/18. sz. ügy (2020. július 16.)	SCC + Adattovábbítási Hatásvizsgálat doktrína
SCC 2021	Bizottsági Határozat (EU) 2021/914	Általános Szerződési Feltételek moduláris készlet
EDPB Iránymutatások	03/2022 iránymutatások a sötét mintázatokról; 5/2020 a hozzájárulásról; sok más	Mértékadó értelmezés az EU adatvédelmi hatóságai között

A táblázat olvasása: A GDPR a működési alap; az Infotörvény hozzáad magyar eljárást és NAIH felépítést; az ePrivacy és Marketing törvények szabályozzák a hozzájárulási folyamatokat cookie-khoz és e-mailhez; a Számviteli és Polgári Törvénykönyvek határozzák meg a megőrzési minimumokat; a Büntető Törvénykönyv az utolsó mentsvár a súlyos jogsértésekre. A Zunapro megfelelőségi modulja hivatkozik ennek a táblázatnak minden sorára a háttérben.

Magyar GDPR és NAIH GYIK 2026