GDPR e NAIH per l'e-commerce ungherese 2026: protezione dei dati, consenso ai cookie e guida alla conformità

Il panorama ungherese della protezione dei dati 2026 in sintesi

Nessun altro paese europeo stratifica le proprie norme sulla protezione dei dati come fa l'Ungheria. Le schede qui sotto riassumono i sei pilastri di conformità trattati in questa guida — tienili a mente mentre leggi ogni sezione di approfondimento.

1. GDPR + Info Act ungherese 2011 — Le fondamenta a due livelli

GDPR — Il livello paneuropeo

Il Regolamento generale sulla protezione dei dati (Regolamento (UE) 2016/679) è diventato direttamente applicabile il 25 maggio 2018 e ha sostituito il mosaico di leggi nazionali creato dalla Direttiva sulla protezione dei dati del 1995. Poiché il GDPR è un regolamento e non una direttiva, ha effetto diretto in Ungheria senza alcuna necessità di recepimento — ogni impresa e-commerce ungherese è vincolata dai suoi 99 articoli e 173 considerando.

Per i negozi online gli articoli più rilevanti dal punto di vista operativo sono: l'articolo 5 (principi — liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità, responsabilizzazione), l'articolo 6 (basi giuridiche — consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico, legittimo interesse), gli articoli 13–14 (informazioni da fornire agli interessati), gli articoli 15–22 (diritti degli interessati), l'articolo 28 (contratti con i responsabili del trattamento), l'articolo 30 (registri delle attività di trattamento), l'articolo 32 (sicurezza), gli articoli 33–34 (notifica delle violazioni), l'articolo 35 (DPIA) e gli articoli 44–49 (trasferimenti internazionali).

La Info Act del 2011 — Il livello ungherese

La Legge CXII del 2011 sull'autodeterminazione informativa e la libertà di informazione — nota con l'abbreviazione Infotv. o semplicemente "la Info Act" — è la legge fondamentale ungherese in materia di protezione dei dati. Precede il GDPR di sette anni ma è stata ampiamente modificata nel 2018 dalla Legge XXXVIII del 2018 per armonizzarsi con il GDPR pur preservando le specificità ungheresi che il GDPR lascia esplicitamente agli Stati membri.

Il ruolo della Info Act nel 2026 può essere così riassunto: (a) codifica la struttura, i poteri e le procedure del NAIH — il Capo 6 del GDPR impone a ogni Stato membro di designare un'autorità di controllo indipendente ma lascia i dettagli alla legge nazionale, (b) disciplina i dati del settore pubblico e le richieste di libertà di informazione che esulano dall'ambito del GDPR, (c) prevede esenzioni per la sicurezza nazionale e le forze dell'ordine consentite dal GDPR e (d) impone requisiti di documentazione e notifica in lingua ungherese laddove il GDPR è neutro rispetto alla lingua.

Come interagiscono i due livelli

In pratica, gli operatori e-commerce ungheresi dovrebbero leggere prima il GDPR per gli obblighi sostanziali e poi la Info Act per le specificità procedurali — come presentare un reclamo al NAIH, come il NAIH conduce le indagini, come si presentano sanzioni e decisioni e come i tribunali ungheresi riesaminano in appello le decisioni del NAIH. La Info Act colma inoltre le lacune del GDPR sul trattamento per finalità giornalistiche, accademiche, artistiche e letterarie (articolo 85 GDPR), sul trattamento nel contesto lavorativo (articolo 88 GDPR) e sull'età del consenso digitale (l'Ungheria l'ha fissata a 16 anni ai sensi dell'articolo 8 GDPR).

2. NAIH — L'Autorità ungherese per la protezione dei dati

Da Commissario parlamentare ad autorità indipendente

Il NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság — Autorità nazionale per la protezione dei dati e la libertà di informazione) è stato istituito il 1° gennaio 2012 dalla Info Act del 2011, sostituendo il precedente Commissario parlamentare per la protezione dei dati e la libertà di informazione (Adatvédelmi Biztos). Il cambiamento ha spostato la vigilanza ungherese sulla protezione dei dati da un modello di ombudsman monocratico a un'autorità pienamente istituzionale con proprio personale, bilancio e poteri decisionali.

Il NAIH ha sede a Budapest in Falk Miksa utca ed è guidato da un Presidente nominato dal Presidente della Repubblica per un mandato di nove anni, su proposta del Primo ministro. L'attuale Presidente (il dott. Attila Péterfalvi ricopre la carica sin dalla fondazione dell'autorità nel 2012 ed è stato riconfermato per ulteriori mandati) dirige uno staff di circa 130 giuristi, specialisti IT e personale amministrativo.

I poteri del NAIH ai sensi di GDPR + Info Act

Il NAIH esercita ogni potere di controllo elencato nell'articolo 58 del GDPR, tra cui:

• Poteri di indagine — ordinare a qualsiasi titolare / responsabile di fornire informazioni, condurre ispezioni in loco, ottenere l'accesso a tutti i locali, alle apparecchiature e ai mezzi di trattamento dei dati
• Poteri correttivi — emettere avvertimenti, ammonimenti, ordini di dar seguito alle richieste degli interessati, ordini di conformare il trattamento, limitazioni temporanee o definitive incluso il divieto di trattamento, ordini di rettifica o cancellazione dei dati e comminare sanzioni amministrative
• Poteri autorizzativi e consultivi — emettere pareri su progetti di legge, accreditare organismi di certificazione, approvare norme vincolanti d'impresa (BCR) e codici di condotta

Oltre ai poteri del GDPR, la Info Act conferisce al NAIH il diritto di avviare procedimenti d'ufficio (senza reclamo), di richiedere provvedimenti giudiziari per sospendere il trattamento e di segnalare sospetti reati (ad es. l'accesso non autorizzato a categorie particolari di dati ai sensi della sezione 219 del Codice penale ungherese, Legge C del 2012) alla procura.

Presentare un reclamo al NAIH

Qualsiasi interessato — residente ungherese o visitatore — può presentare un reclamo al NAIH se ritiene che i propri dati personali siano stati trattati illecitamente. La procedura di reclamo è gratuita, disponibile in ungherese e (in modo limitato) in inglese su naih.hu, e il NAIH emette in genere una decisione di primo grado entro due mesi dalla ricezione di un reclamo completo. Il NAIH pubblica decisioni anonimizzate nei suoi bollettini trimestrali e sul proprio sito, il che ne fa una delle autorità garanti più trasparenti dell'UE.

3. Banner di consenso ai cookie — Obbligatorio e rigorosamente regolato

La base giuridica — ePrivacy + GDPR

Il consenso ai cookie in Ungheria si basa su due pilastri: l'articolo 5(3) della direttiva UE ePrivacy (2002/58/CE) recepito nella Legge C del 2003 sulle comunicazioni elettroniche (Eht.) e l'articolo 6(1)(a) del GDPR che definisce cosa sia un consenso valido. La regola combinata è semplice da enunciare e facile da violare: prima di memorizzare o accedere a qualsiasi cookie o tracker analogo sul dispositivo terminale di un utente, il titolare deve ottenere un consenso preventivo libero, specifico, informato e inequivocabile. I cookie strettamente necessari (sessione, carrello, sicurezza, bilanciamento del carico di base) sono esenti; tutto il resto — analitici, pubblicitari, plug-in social, test A/B, mappe di calore — richiede consenso.

Che aspetto ha un banner conforme nel 2026

Il NAIH ha emesso numerose decisioni che chiariscono le sue aspettative. Il banner ungherese minimo praticabile del 2026 presenta le seguenti caratteristiche:

• Livello 1 (banner) — appare prima che venga attivato qualsiasi cookie non essenziale, elenca le categorie (Necessari, Funzionali, Analitici, Marketing) e offre tre opzioni di pari evidenza visiva: Accetta tutto, Rifiuta tutto, Personalizza
• Livello 2 (finestra delle preferenze) — interruttori granulari per categoria, rifiutabili singolarmente; elenca ogni fornitore terzo, la sua finalità, la conservazione e un link alla sua stessa informativa sulla privacy
• Livello 3 (pagina della cookie policy) — tabella completa di ogni cookie, durata, tipo, finalità, parte e un link all'informativa sulla privacy più ampia
• Revoca del consenso — deve essere "facile da revocare quanto da prestare" (considerando 42 del GDPR); un pulsante flottante persistente o un link nel footer è lo schema tipico
• Nessun dark pattern — caselle pre-selezionate, trucchi di contrasto cromatico, scorrimento-come-consenso e cookie wall sono esplicitamente illeciti secondo il NAIH e le Linee guida EDPB 03/2022

La regola della parità visiva del Rifiuta tutto

Il punto più contestato nell'enforcement del NAIH sui cookie nel 2025–2026 è se il pulsante Rifiuta tutto sia realmente evidente quanto Accetta tutto. "Pari evidenza" significa la stessa intensità di colore, la stessa dimensione, lo stesso peso di posizione e lo stesso numero di clic. Un dark pattern comune prima del 2024 — un vistoso pulsante blu "Accetta tutto" accanto a un sottile link testuale grigio "Altre opzioni" — è ora trattato come una violazione di per sé in Ungheria, e la CMP di Zunapro impone automaticamente la parità visiva.

4. Informativa sulla privacy (Adatkezelési Tájékoztató) — Un documento obbligatorio

Articoli 13 e 14 del GDPR — I doveri di informazione

Un'informativa sulla privacy non è facoltativa in Ungheria. L'articolo 13 del GDPR obbliga il titolare a informare l'interessato, al momento della raccolta dei dati, di: l'identità e i recapiti del titolare (e del DPO, se presente), le finalità e la base giuridica del trattamento, i destinatari o le categorie di destinatari, l'eventuale intenzione di trasferire i dati verso un paese terzo e le garanzie utilizzate, il periodo di conservazione, i diritti dell'interessato incluso il diritto di presentare reclamo al NAIH, se il conferimento dei dati sia contrattuale o legale e le conseguenze del rifiuto, e l'esistenza di un processo decisionale automatizzato inclusa la profilazione.

L'articolo 14 disciplina i doveri paralleli per i dati raccolti da fonti diverse dall'interessato — di norma flussi di ordini dai marketplace, trasferimenti da programmi fedeltà ed elenchi di partner B2B — aggiungendo il dovere di informare l'interessato entro un mese o alla prima comunicazione, se anteriore.

Le aggiunte specifiche ungheresi

La Info Act richiede che l'informativa sulla privacy sia fornita in un formato e in una lingua accessibili all'interessato — per i consumatori ungheresi ciò significa l'ungherese. Molti operatori e-commerce ungheresi pubblicano un'informativa primaria in ungherese con una versione secondaria in inglese per i clienti transfrontalieri. È buona prassi includere anche:

• Il numero di registrazione NAIH se gestisci trattamenti che richiedono una registrazione formale presso il NAIH (per lo più legacy / settore pubblico)
• Un riferimento esplicito alla Info Act del 2011 accanto agli articoli del GDPR nella sezione sulla base giuridica
• L'indirizzo postale completo e l'email di contatto del titolare — il NAIH esige una facile contattabilità
• Il periodo di conservazione in anni concreti — espressioni vaghe come "per il tempo necessario" sono state criticate nelle decisioni del NAIH

Informativa a livelli — Uno schema pratico

Le Linee guida EDPB 5/2020 avallano l'"informativa a livelli" — una sintesi breve e in linguaggio semplice che rimanda all'informativa completa e dettagliata. Per i negozi online ungheresi lo schema a livelli tipico è: (1) una sintesi di un paragrafo in ungherese semplice nel modulo di checkout, (2) l'Adatkezelési Tájékoztató completa collegata dal footer di ogni pagina e (3) informative specifiche per l'iscrizione alla newsletter, la registrazione dell'account e il consenso ai cookie. Zunapro genera tutti e tre i livelli da un unico modello di informativa, sincronizzato automaticamente tra il negozio online ungherese, l'app mobile e le vetrine dei marketplace.

5. Responsabile della protezione dei dati (DPO) — Quando devi nominarne uno

I tre presupposti dell'articolo 37 del GDPR

Gli operatori e-commerce ungheresi non hanno automaticamente bisogno di un Responsabile della protezione dei dati. L'articolo 37(1) del GDPR stabilisce tre presupposti cumulativi, di cui è sufficiente uno solo:

• Autorità o organismo pubblico — si applica a ministeri, comuni, società di proprietà statale; non rilevante per l'e-commerce privato
• Attività principali che consistono in un monitoraggio regolare e sistematico su larga scala degli interessati — si applica a reti di pubblicità comportamentale, app di tracciamento della posizione, grandi programmi fedeltà che profilano gli acquirenti su più canali, intermediari ad-tech
• Attività principali che consistono nel trattamento su larga scala di categorie particolari di dati (art. 9) o di dati relativi a condanne penali (art. 10) — si applica a farmacie online, specialisti della fertilità / dietetica, health-tech, alcuni rivenditori con affinità politica o religiosa

L'e-commerce puramente transazionale — vendere prodotti fisici ai consumatori, trattarne i dati di consegna e fatturazione — generalmente non raggiunge queste soglie. Un negozio di articoli per la casa con 5.000 ordini/mese non deve nominare un DPO; una farmacia con abbonamento da 50.000 iscritti quasi certamente sì.

Cosa significano "larga scala" e "attività principale"

Le Linee guida EDPB (già Parere WP29 03/2017) suggeriscono di valutare: (a) il numero di interessati coinvolti, (b) il volume dei dati, (c) la durata e la permanenza del trattamento e (d) la sua estensione geografica. "Attività principali" indica le attività essenziali per il raggiungimento degli obiettivi del titolare — il trattamento delle buste paga è raramente un'"attività principale"; profilare gli acquirenti per personalizzare gli annunci lo è.

Nomina volontaria del DPO

I rivenditori ungheresi che si collocano sotto la soglia dell'articolo 37 del GDPR possono — e molti lo fanno — nominare un DPO su base volontaria. I vantaggi sono notevoli: un unico contatto responsabile verso il NAIH, un chiaro punto di escalation interno per le richieste degli interessati e le violazioni, e un segnale di credibilità per i partner B2B. Zunapro può assegnare il tuo consulente legale interno o un partner DPO in outsourcing al tuo tenant ungherese; i loro recapiti popolano automaticamente l'informativa sulla privacy e i campi di notifica al NAIH.

Comunicare il DPO al NAIH

Quando viene nominato un DPO (in modo obbligatorio o volontario), l'articolo 37(7) del GDPR impone al titolare di pubblicare i recapiti del DPO e di comunicarli al NAIH. Il NAIH mette a disposizione un modulo online di notifica del DPO. Il DPO deve godere di indipendenza operativa, non può essere rimosso o penalizzato per lo svolgimento dei compiti di DPO e riferisce direttamente al vertice della direzione.

6. Diritti degli interessati — Le otto prerogative del GDPR

Gli otto diritti in sintesi

Il Capo 3 del GDPR conferisce otto diritti a ogni persona fisica. I negozi online ungheresi devono predisporre processi operativi per soddisfare ciascuno di essi entro un mese di calendario dalla ricezione di una richiesta verificata (prorogabile di due mesi per le richieste complesse, con avviso motivato all'interessato).

Il flusso DSAR — Verifica dell'identità

Una richiesta di accesso dell'interessato (DSAR) può arrivare via email, modulo web, lettera postale o persino DM sui social. Prima di rispondere, il titolare deve verificare ragionevolmente l'identità del richiedente — articolo 12(6) del GDPR — senza raccogliere più dati del necessario. Per un cliente registrato la verifica è di solito una conferma dell'account con accesso effettuato più un giro di email; per un non cliente potrebbe comportare un hash di un documento d'identità o un riferimento a un ordine esistente. La sovra-verifica è essa stessa una violazione: il NAIH ha sanzionato titolari per aver preteso una fotocopia a colori del passaporto solo per verificare un iscritto a un negozio online.

La risposta — Formato, canale, costo

La risposta deve essere scritta, in una forma "concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro" (articolo 12(1) del GDPR) — in ungherese per gli interessati ungheresi salvo che abbiano esplicitamente richiesto un'altra lingua. La risposta è gratuita; l'addebito di un "contributo amministrativo" è consentito solo per richieste manifestamente infondate o eccessive, e solo a tariffe vigilate dal NAIH. Per le richieste di portabilità ai sensi dell'articolo 20, il formato deve essere strutturato, di uso comune e leggibile da dispositivo automatico — CSV o JSON, non un PDF piatto.

7. Notifica di violazione dei dati personali — La regola delle 72 ore

Quando esiste una violazione

L'articolo 4(12) del GDPR definisce in modo ampio una violazione dei dati personali: "la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali". Ciò include di tutto: da un attacco ransomware che blocca i dati degli ordini, a un bucket cloud mal configurato che espone gli indirizzi dei clienti, a un dipendente che invia una lista clienti a una Gmail personale, a un corriere che smarrisce un manifesto di consegna cartaceo.

Notifica al NAIH (articolo 33)

Quando la violazione è suscettibile di presentare un rischio per i diritti e le libertà delle persone fisiche, il titolare deve notificarla al NAIH senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. Il NAIH mette a disposizione un modulo online di notifica delle violazioni su naih.hu in ungherese; il modulo richiede:

• La natura della violazione compresi, ove possibile, le categorie e il numero approssimativo di interessati e di record di dati interessati
• Il punto di contatto — di norma il DPO o un referente senior per la protezione dei dati
• Le probabili conseguenze per gli interessati
• Le misure adottate o proposte per affrontare la violazione e attenuarne gli effetti negativi

Se le informazioni complete non sono disponibili entro 72 ore, la notifica può essere fornita in fasi — ma la notifica iniziale deve essere effettuata in tempo, e le informazioni supplementari fornite man mano che diventano note.

Notifica agli interessati (articolo 34)

Quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare deve inoltre notificarla direttamente agli interessati coinvolti, in lingua ungherese chiara e semplice, descrivendone la natura, le probabili conseguenze e le misure adottate. La notifica agli interessati non è richiesta se il titolare ha attuato misure tecniche e organizzative di protezione adeguate (ad es. cifratura che renda i dati incomprensibili), o ha adottato misure successive che garantiscono che il rischio elevato non si concretizzi più, oppure se comporterebbe uno sforzo sproporzionato (nel qual caso è accettabile una comunicazione pubblica).

Conservazione dei registri (articolo 33(5))

Indipendentemente dal fatto che una violazione sia notificata al NAIH o agli interessati, il titolare deve documentare ogni violazione — fatti, effetti, azioni correttive — in un registro interno delle violazioni. Il NAIH ispeziona regolarmente questo registro durante gli audit, e l'assenza di un registro è una violazione di per sé.

8. Trasferimenti transfrontalieri — SCC dopo Schrems II

Il quadro del Capo V

Il Capo V del GDPR (articoli 44–49) disciplina i trasferimenti di dati personali al di fuori dello Spazio economico europeo (SEE — UE + Islanda, Liechtenstein, Norvegia). La regola di base è semplice: qualsiasi trasferimento verso un "paese terzo" è vietato a meno che non si applichi una delle garanzie specifiche. Gli operatori e-commerce ungheresi effettuano regolarmente trasferimenti ai sensi del Capo V — verso servizi di analisi ospitati negli USA, verso partner di logistica con sede nel Regno Unito, verso fornitori di assistenza clienti turchi o indiani.

Il kit di garanzie

I meccanismi disponibili, in ordine decrescente di utilità pratica per l'e-commerce:

• Decisioni di adeguatezza (art. 45) — la Commissione europea ha dichiarato che i quadri giuridici di Regno Unito, Svizzera, Giappone, Corea del Sud, Canada (commerciale), Nuova Zelanda, Argentina, Israele, Isole Fær Øer, Guernsey, Jersey, Isola di Man, Uruguay e Andorra offrono una protezione adeguata. I trasferimenti verso questi paesi sono trattati come intra-UE.
• Clausole Contrattuali Standard (art. 46(2)(c)) — le SCC modulari del 2021 della Commissione europea sono il cavallo di battaglia della conformità transfrontaliera dell'e-commerce. I moduli 1–4 coprono i trasferimenti titolare-a-titolare, titolare-a-responsabile, responsabile-a-responsabile e responsabile-a-titolare.
• Quadro UE-USA sulla privacy dei dati — per i trasferimenti verso destinatari statunitensi certificati nel Quadro (elenco pubblicato sul sito del Dipartimento del Commercio USA), i trasferimenti sono trattati come adeguati; per i destinatari non certificati, restano obbligatorie le SCC + Valutazione d'impatto sul trasferimento.
• Norme vincolanti d'impresa (art. 47) — usate dai gruppi multinazionali per i trasferimenti infragruppo; richiedono l'approvazione del NAIH (o di un'altra autorità garante dell'UE).
• Deroghe (art. 49) — consenso esplicito, necessità contrattuale, rilevante interesse pubblico. Sono interpretate in modo restrittivo e non possono essere utilizzate per trasferimenti regolari e su larga scala.

La sovrapposizione di Schrems II

La sentenza Schrems II della CGUE (C-311/18, 16 luglio 2020) ha invalidato il vecchio scudo per la privacy UE-USA e ha imposto ai titolari un obbligo aggiuntivo: una Valutazione d'impatto sul trasferimento (TIA) che stabilisca se la legge del paese destinatario offra una protezione "sostanzialmente equivalente" al GDPR — in particolare rispetto all'accesso governativo per finalità di sorveglianza. Laddove la valutazione rilevi carenze (tipico per i trasferimenti verso gli USA in assenza della certificazione del Quadro sulla privacy dei dati), il titolare deve attuare misure supplementari — cifratura con chiavi detenute nell'UE, pseudonimizzazione o architetture di dati suddivisi — per rimediare.

Documentare il trasferimento

Ogni trasferimento transfrontaliero deve essere registrato nel registro delle attività di trattamento dell'articolo 30, con: il paese di destinazione, il meccanismo giuridico (adeguatezza, SCC, BCR, deroga), la data della firma delle SCC, la configurazione modulare utilizzata e l'esito della TIA. Zunapro mantiene un registro dei trasferimenti transfrontalieri popolato automaticamente dai servizi integrati usati dal tuo tenant — ogni fornitore di pagamenti, ogni connettore CRM, ogni ponte con i marketplace registra la propria catena di trasferimento.

9. Sanzioni del NAIH — Quanto, quanto spesso, come evitarle

Le fasce di sanzione dell'articolo 83 del GDPR

Il GDPR fissa un tetto alle sanzioni amministrative su due livelli:

• Livello 1 — 10 milioni di euro o il 2% del fatturato annuo mondiale totale, a seconda di quale sia superiore, per violazioni di obblighi relativi ai registri di trattamento, alla sicurezza, alla notifica delle violazioni, alla DPIA e alla designazione del DPO (articoli 8, 11, 25–39, 42, 43)
• Livello 2 — 20 milioni di euro o il 4% del fatturato annuo mondiale totale, a seconda di quale sia superiore, per violazioni dei principi di base (articolo 5), della liceità del trattamento (articolo 6), delle condizioni per il consenso (articolo 7), delle categorie particolari (articoli 9–10), dei diritti degli interessati (articoli 12–22) e dei trasferimenti internazionali (articoli 44–49)

È fondamentale notare che le sanzioni del GDPR sono parametrate al fatturato globale, non locale — una filiale ungherese di una multinazionale può subire una sanzione calibrata sui ricavi mondiali del gruppo.

Gli 11 fattori di calibrazione dell'articolo 83(2)

Il NAIH deve valutare ciascuna sanzione rispetto a undici fattori: la natura, la gravità e la durata della violazione; il numero di interessati coinvolti; il livello del danno subito; il carattere doloso o colposo; le azioni di mitigazione; il grado di responsabilità (misure tecniche e organizzative); le violazioni precedenti; il grado di cooperazione con il NAIH; le categorie di dati interessate; il modo in cui la violazione è emersa (l'autosegnalazione conta); l'adesione a codici di condotta o certificazioni approvate; e qualsiasi altro fattore aggravante o attenuante.

Il curriculum sanzionatorio del NAIH

Sanzioni ungheresi pubblicate selezionate (a titolo illustrativo, non esaustivo):

• DPD Hungary — 250 mln HUF (~650 mila €, 2022) per il trattamento illecito di analisi vocali sulle chiamate al servizio clienti — un precedente UE di rilievo sulla profilazione tramite IA/voce
• Partito politico ungherese — 11 mln HUF (2019) per email di marketing diretto illecite a non iscritti
• Operatore telecom — oltre 100 mln HUF (2020) per controlli di accesso inadeguati che hanno portato a una violazione
• Molteplici negozi online PMI — 1–10 mln HUF ciascuno per banner cookie mancanti o illeciti, informative sulla privacy mancanti, notifiche di violazione tardive
• Banca — 250 mln HUF (2021) per profilazione illecita dei clienti senza una base giuridica

Lo stack pratico per evitare le sanzioni

Le motivazioni pubblicate delle decisioni del NAIH indicano uno schema ricorrente di "sconto per mitigazione". I titolari che presentano quanto segue ricevono in genere sanzioni del 30–70% inferiori alla tariffa:

• Una DPIA operativa per qualsiasi trattamento ad alto rischio (profilazione fedeltà, annunci comportamentali, checkout biometrici)
• Registri delle attività di trattamento dell'articolo 30 documentati e tenuti aggiornati
• Un flusso DSAR funzionante, effettivamente utilizzato e che rispetta lo SLA di 30 giorni
• Dati personali cifrati a riposo e in transito, con evidenza della gestione delle chiavi
• Registri annuali di formazione del personale, aggiornati all'assunzione e dopo ogni incidente
• Un registro delle violazioni funzionante e almeno una simulazione di violazione documentata all'anno
• Prova dell'autosegnalazione entro 72 ore in caso di violazione reale
• Un banner cookie con Rifiuta tutto visivamente equivalente a Accetta tutto

10. La checklist GDPR per l'e-commerce ungherese 2026

Una tabella di marcia di attuazione in 25 punti

La checklist qui sotto sintetizza le nove sezioni precedenti in una tabella di marcia pratica e prioritizzata. La maggior parte delle PMI ungheresi può completarla in tre-sei settimane di lavoro part-time, o in una quindicina di giorni dedicati con il pacchetto di conformità di Zunapro autoconfigurato.

Fondamenta (settimane 1–2)

1. Mappa ogni flusso di dati personali — input, archiviazione, responsabile, output, conservazione
2. Compila i tuoi registri delle attività di trattamento (ROPA) dell'articolo 30
3. Individua la base giuridica ai sensi dell'articolo 6 per ciascuna attività di trattamento
4. Individua eventuali categorie particolari di dati (articolo 9) e conferma la base giuridica aggiuntiva
5. Decidi se un DPO sia obbligatorio o volontario; nominalo e comunicalo al NAIH se necessario
6. Predisponi una casella di posta interna per la protezione dei dati (ad es. [email protected])

Documentazione (settimane 2–3)

7. Pubblica l'Adatkezelési Tájékoztató ungherese (artt. 13–14 GDPR + riferimenti alla Info Act)
8. Pubblica una cookie policy separata con ogni cookie elencato
9. Pubblica i termini e condizioni (Általános Szerződési Feltételek — ÁSZF) allineati al Codice civile ungherese
10. Firma accordi sul trattamento dei dati (DPA) ai sensi dell'articolo 28 con ogni responsabile — hosting, email, analitica, CRM, pagamenti, corriere, ponti con i marketplace
11. Firma i moduli SCC con ogni responsabile extra-SEE e completa una Valutazione d'impatto sul trasferimento per ciascuno
12. Documenta un calendario di conservazione per categoria di dati (8 anni per le fatture, consenso marketing + 5 anni per la prova, cookie secondo la scadenza dichiarata)

Livello di consenso ai cookie (settimana 3)

13. Distribuisci un banner cookie CMP con Accetta tutto / Rifiuta tutto / Personalizza visivamente equivalenti
14. Blocca tutti i cookie non essenziali finché non viene prestato il consenso
15. Fornisci un link "Preferenze cookie" persistente nel footer per la revoca del consenso
16. Registra ogni evento di consenso con marca temporale, versione del banner, scelta — per l'audit del NAIH

Flussi operativi (settimane 4–5)

17. Costruisci un flusso DSAR con verifica dell'identità e timer SLA di 30 giorni
18. Costruisci un playbook di risposta alle violazioni allineato al modulo online del NAIH, con timer di 72 ore
19. Predisponi un registro delle violazioni per ogni incidente, notificabile o meno
20. Configura la raccolta del consenso al marketing con doppio opt-in per l'iscrizione alla newsletter
21. Configura il consenso granulare per finalità di trattamento al checkout — nessun consenso in blocco

Verifica (settimana 6)

22. Conduci una simulazione di violazione a tavolino con IT, ufficio legale, assistenza clienti e DPO
23. Effettua un audit interno del banner cookie usando gli strumenti per sviluppatori del browser
24. Presenta una DSAR di prova da un cliente collaborativo e convalida il flusso di 30 giorni end-to-end
25. Programma la prossima formazione annuale di aggiornamento sul GDPR per tutto il personale che tratta dati personali

Riferimenti giuridici — Indice rapido

La base normativa e giurisprudenziale completa di questa guida, per consultazione da parte di consulenti legali e DPO:

Fonte	Riferimento	Rilevanza
GDPR	Regolamento (UE) 2016/679 del 27 aprile 2016	Regolamento UE diretto — testo integrale
Info Act 2011	Legge CXII del 2011 (Infotv.) — ultima modifica Legge XXXVIII del 2018	Legge attuativa ungherese + struttura del NAIH
ePrivacy	Direttiva 2002/58/CE — recepimento ungherese: Legge C del 2003 (Eht.)	Consenso ai cookie + comunicazioni elettroniche
Marketing	Legge XLVIII del 2008 sulla pubblicità commerciale (Grtv.)	Regole ungheresi di opt-in per il marketing
Contabilità	Legge C del 2000 sulla contabilità, sezione 169	Conservazione delle fatture per 8 anni
Codice civile	Legge V del 2013 (Polgári Törvénykönyv)	Prescrizione generale + responsabilità civile
Codice penale	Legge C del 2012, sezione 219	Trattamento illecito di dati personali — reato
Schrems II	Causa CGUE C-311/18 (16 luglio 2020)	Dottrina SCC + Valutazione d'impatto sul trasferimento
SCC 2021	Decisione (UE) 2021/914 della Commissione	Set modulare di Clausole Contrattuali Standard
Linee guida EDPB	Linee guida 03/2022 sui dark pattern; 5/2020 sul consenso; e molte altre	Interpretazione autorevole in tutte le autorità garanti UE

Come leggere la tabella: il GDPR è il fondamento operativo; la Info Act aggiunge la procedura ungherese e la struttura del NAIH; le leggi su ePrivacy e Marketing disciplinano i flussi di consenso per cookie ed email; i Codici della contabilità e civile fissano le soglie minime di conservazione; il Codice penale è l'ultima risorsa per le violazioni più gravi. Il modulo di conformità di Zunapro fa riferimento dietro le quinte a ogni riga di questa tabella.

FAQ GDPR e NAIH per l'Ungheria 2026