GDPR e NAIH para o comércio eletrónico húngaro 2026: proteção de dados, consentimento de cookies e guia de conformidade

O panorama da proteção de dados na Hungria em 2026, num relance

Nenhum país europeu estratifica as suas regras de proteção de dados exatamente como a Hungria. Os cartões abaixo resumem os seis pilares de conformidade abordados neste guia — tenha-os presentes ao ler cada secção de aprofundamento.

1. GDPR + Info Act húngara de 2011 — A base de duas camadas

GDPR — A camada pan-europeia

O Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679) tornou-se diretamente aplicável em 25 de maio de 2018 e substituiu o mosaico de leis nacionais criado pela Diretiva de Proteção de Dados de 1995. Por o GDPR ser um regulamento e não uma diretiva, tem efeito direto na Hungria sem qualquer necessidade de transposição — todas as empresas de comércio eletrónico húngaras estão vinculadas aos seus 99 artigos e 173 considerandos.

Para as lojas online, os artigos mais relevantes do ponto de vista operacional são: o artigo 5.º (princípios — licitude, lealdade, transparência, limitação das finalidades, minimização dos dados, exatidão, limitação da conservação, integridade, responsabilidade), o artigo 6.º (bases jurídicas — consentimento, contrato, obrigação jurídica, interesses vitais, exercício de funções de interesse público, interesses legítimos), os artigos 13.º–14.º (informação a fornecer aos titulares), os artigos 15.º–22.º (direitos dos titulares), o artigo 28.º (contratos com subcontratantes), o artigo 30.º (registos das atividades de tratamento), o artigo 32.º (segurança), os artigos 33.º–34.º (notificação de violações), o artigo 35.º (AIPD) e os artigos 44.º–49.º (transferências internacionais).

A Info Act de 2011 — A camada húngara

A Lei CXII de 2011 sobre a Autodeterminação Informativa e a Liberdade de Informação — conhecida pela abreviatura Infotv. ou simplesmente "a Info Act" — é a lei fundamental húngara em matéria de proteção de dados. É anterior ao GDPR em sete anos, mas foi amplamente alterada em 2018 pela Lei XXXVIII de 2018 para se harmonizar com o GDPR, preservando as especificidades húngaras que o GDPR deixa explicitamente aos Estados-Membros.

O papel da Info Act em 2026 pode resumir-se assim: (a) codifica a estrutura, os poderes e os procedimentos da NAIH — o Capítulo 6 do GDPR exige que cada Estado-Membro designe uma autoridade de controlo independente, mas deixa os pormenores à lei nacional, (b) regula os dados do setor público e os pedidos de liberdade de informação que ficam fora do âmbito do GDPR, (c) prevê isenções de segurança nacional e de aplicação da lei permitidas pelo GDPR e (d) impõe requisitos de documentação e notificação em língua húngara quando o GDPR é neutro quanto à língua.

Como as duas interagem

Na prática, os operadores de comércio eletrónico húngaros devem ler primeiro o GDPR para as obrigações substantivas e depois a Info Act para as especificidades processuais — como apresentar uma reclamação à NAIH, como a NAIH conduz as investigações, como se apresentam as coimas e as decisões e como os tribunais húngaros reveem em recurso as decisões da NAIH. A Info Act também preenche as lacunas do GDPR quanto ao tratamento para fins jornalísticos, académicos, artísticos e literários (artigo 85.º do GDPR), ao tratamento no contexto laboral (artigo 88.º do GDPR) e à idade do consentimento digital (a Hungria fixou-a em 16 anos ao abrigo do artigo 8.º do GDPR).

2. NAIH — A Autoridade húngara de Proteção de Dados

De Comissário Parlamentar a autoridade independente

A NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság — Autoridade Nacional para a Proteção de Dados e a Liberdade de Informação) foi criada em 1 de janeiro de 2012 pela Info Act de 2011, substituindo o antigo Comissário Parlamentar para a Proteção de Dados e a Liberdade de Informação (Adatvédelmi Biztos). A mudança transferiu a supervisão húngara da proteção de dados de um modelo de provedor unipessoal para uma autoridade plenamente institucional, com pessoal, orçamento e poderes de decisão próprios.

A NAIH tem sede em Budapeste, na Falk Miksa utca, e é dirigida por um Presidente nomeado pelo Presidente da República para um mandato de nove anos, sob proposta do Primeiro-Ministro. O atual Presidente (o Dr. Attila Péterfalvi ocupa o cargo desde a fundação da autoridade em 2012 e foi reconduzido para novos mandatos) dirige um quadro de cerca de 130 juristas, especialistas de TI e pessoal administrativo.

Os poderes da NAIH ao abrigo do GDPR + Info Act

A NAIH exerce todos os poderes de supervisão enumerados no artigo 58.º do GDPR, incluindo:

• Poderes de investigação — ordenar a qualquer responsável / subcontratante que preste informações, realizar inspeções no local, obter acesso a todas as instalações, equipamentos e meios de tratamento de dados
• Poderes de correção — emitir advertências, repreensões, ordens para dar seguimento a pedidos dos titulares, ordens para conformar o tratamento, limitações temporárias ou definitivas incluindo a proibição de tratamento, ordens de retificação ou apagamento de dados e aplicar coimas administrativas
• Poderes de autorização e consultivos — emitir pareceres sobre projetos de lei, acreditar organismos de certificação, aprovar regras vinculativas para empresas (BCR) e códigos de conduta

Além dos poderes do GDPR, a Info Act confere à NAIH o direito de iniciar processos oficiosamente (sem reclamação), de requerer ordens judiciais para suspender o tratamento e de remeter suspeitas de infrações penais (por exemplo, o acesso não autorizado a categorias especiais de dados ao abrigo da secção 219 do Código Penal húngaro, Lei C de 2012) ao Ministério Público.

Apresentar uma reclamação à NAIH

Qualquer titular dos dados — residente húngaro ou visitante — pode apresentar uma reclamação à NAIH se considerar que os seus dados pessoais foram tratados de forma ilícita. O procedimento de reclamação é gratuito, disponível em húngaro e (de forma limitada) em inglês em naih.hu, e a NAIH emite normalmente uma decisão de primeira instância no prazo de dois meses após a receção de uma reclamação completa. A NAIH publica decisões anonimizadas nos seus boletins trimestrais e no seu sítio web, o que faz dela uma das autoridades de dados mais transparentes da UE.

3. Banner de consentimento de cookies — Obrigatório e rigorosamente regulado

A base jurídica — ePrivacy + GDPR

O consentimento de cookies na Hungria assenta em dois pilares: o artigo 5.º, n.º 3, da Diretiva ePrivacy da UE (2002/58/CE) transposto para a Lei C de 2003 sobre Comunicações Eletrónicas (Eht.) e o artigo 6.º, n.º 1, alínea a), do GDPR que define o que é um consentimento válido. A regra combinada é simples de enunciar e fácil de violar: antes de armazenar ou aceder a qualquer cookie ou rastreador semelhante no dispositivo terminal de um utilizador, o responsável tem de obter um consentimento prévio livre, específico, informado e inequívoco. Os cookies estritamente necessários (sessão, carrinho, segurança, balanceamento de carga básico) estão isentos; tudo o resto — analítica, publicidade, plug-ins sociais, testes A/B, mapas de calor — necessita de consentimento.

Como é um banner conforme em 2026

A NAIH emitiu numerosas decisões que clarificam as suas expetativas. O banner húngaro mínimo viável de 2026 apresenta as seguintes características:

• Camada 1 (banner) — surge antes de qualquer cookie não essencial ser ativado, enumera as categorias (Necessários, Funcionais, Analíticos, Marketing) e oferece três opções com igual visibilidade: Aceitar tudo, Rejeitar tudo, Personalizar
• Camada 2 (janela de preferências) — comutadores granulares por categoria, rejeitáveis individualmente; enumera todos os fornecedores terceiros, a sua finalidade, a conservação e uma ligação à respetiva política de privacidade
• Camada 3 (página da política de cookies) — tabela completa de cada cookie, duração, tipo, finalidade, parte e uma ligação à política de privacidade mais ampla
• Retirada do consentimento — deve ser "tão fácil de retirar como de dar" (considerando 42 do GDPR); um botão flutuante persistente ou uma ligação no rodapé é o padrão típico
• Sem dark patterns — caixas pré-assinaladas, truques de contraste de cor, rolar-como-consentimento e cookie walls são explicitamente ilícitos segundo a NAIH e as Orientações do CEPD 03/2022

A regra da paridade visual do Rejeitar tudo

O ponto mais litigado na fiscalização da NAIH sobre cookies em 2025–2026 é saber se o botão Rejeitar tudo é genuinamente tão visível como Aceitar tudo. "Igual visibilidade" significa a mesma intensidade de cor, o mesmo tamanho, o mesmo peso de posição e o mesmo número de cliques. Um dark pattern comum antes de 2024 — um botão azul vistoso "Aceitar tudo" ao lado de uma ligação de texto cinzenta fina "Mais opções" — é agora tratado como uma violação em si mesma na Hungria, e a CMP da Zunapro impõe automaticamente a paridade visual.

4. Política de privacidade (Adatkezelési Tájékoztató) — Um documento obrigatório

Artigos 13.º e 14.º do GDPR — Os deveres de informação

Uma política de privacidade não é opcional na Hungria. O artigo 13.º do GDPR obriga o responsável a informar o titular, no momento da recolha dos dados, de: a identidade e os contactos do responsável (e do DPO, se existir), as finalidades e a base jurídica do tratamento, os destinatários ou categorias de destinatários, qualquer intenção de transferir os dados para um país terceiro e as garantias utilizadas, o prazo de conservação, os direitos do titular incluindo o direito de apresentar reclamação à NAIH, se o fornecimento dos dados é contratual ou legal e as consequências da recusa, e a existência de decisões automatizadas incluindo a definição de perfis.

O artigo 14.º abrange os deveres paralelos quanto aos dados recolhidos de fontes que não o próprio titular — normalmente fluxos de encomendas de marketplaces, transferências de programas de fidelização e listas de parceiros B2B — acrescentando o dever de informar o titular no prazo de um mês ou na primeira comunicação, o que ocorrer primeiro.

Os acréscimos específicos húngaros

A Info Act exige que a política de privacidade seja fornecida num formato e numa língua acessíveis ao titular — para os consumidores húngaros isso significa húngaro. Muitos operadores de comércio eletrónico húngaros publicam uma política primária em húngaro com uma versão secundária em inglês para os clientes transfronteiriços. É boa prática incluir também:

• O número de registo da NAIH se operar qualquer tratamento que exija registo formal junto da NAIH (na sua maioria legado / setor público)
• Uma referência explícita à Info Act de 2011 a par dos artigos do GDPR na secção da base jurídica
• O endereço postal completo e o e-mail de contacto do responsável — a NAIH espera facilidade de contacto
• O prazo de conservação em anos concretos — expressões vagas como "durante o tempo necessário" foram criticadas nas decisões da NAIH

Aviso em camadas — Um padrão prático

As Orientações do CEPD 5/2020 avalizam o "aviso em camadas" — um resumo breve, em linguagem simples, que remete para a política completa e detalhada. Para as lojas online húngaras o padrão em camadas típico é: (1) um resumo de um parágrafo em húngaro simples no formulário de checkout, (2) o Adatkezelési Tájékoztató completo ligado a partir do rodapé de todas as páginas e (3) avisos específicos por tema para a subscrição da newsletter, o registo da conta e o consentimento de cookies. A Zunapro gera as três camadas a partir de um único modelo de política de privacidade, sincronizado automaticamente entre a loja online húngara, a aplicação móvel e as montras dos marketplaces.

5. Encarregado da Proteção de Dados (DPO) — Quando tem de nomear um

Os três pressupostos do artigo 37.º do GDPR

Os operadores de comércio eletrónico húngaros não necessitam automaticamente de um Encarregado da Proteção de Dados. O artigo 37.º, n.º 1, do GDPR estabelece três pressupostos cumulativos, bastando qualquer um deles:

• Autoridade ou organismo público — aplica-se a ministérios, municípios, empresas estatais; não relevante para o comércio eletrónico privado
• Atividades principais que consistem no controlo regular e sistemático em grande escala dos titulares — aplica-se a redes de publicidade comportamental, aplicações de rastreio de localização, grandes programas de fidelização que definem perfis de compradores em vários canais, intermediários ad-tech
• Atividades principais que consistem no tratamento em grande escala de categorias especiais de dados (art. 9.º) ou de dados relativos a condenações penais (art. 10.º) — aplica-se a farmácias online, especialistas em fertilidade / dietética, health-tech, certos retalhistas de afinidade política ou religiosa

O comércio eletrónico puramente transacional — vender produtos físicos a consumidores, tratando os seus dados de entrega e faturação — geralmente não atinge estes limiares. Uma loja de artigos para o lar com 5.000 encomendas/mês não precisa de nomear um DPO; uma farmácia por subscrição com 50.000 membros quase de certeza sim.

O que significam "grande escala" e "atividade principal"

As Orientações do CEPD (anteriormente o Parecer WP29 03/2017) sugerem avaliar: (a) o número de titulares em causa, (b) o volume de dados, (c) a duração e a permanência do tratamento e (d) a sua extensão geográfica. "Atividades principais" designa as atividades essenciais para alcançar os objetivos do responsável — o processamento de salários raramente é uma "atividade principal"; definir perfis de compradores para personalizar anúncios é.

Nomeação voluntária do DPO

Os retalhistas húngaros que ficam abaixo do limiar do artigo 37.º do GDPR podem — e muitos fazem-no — nomear um DPO de forma voluntária. As vantagens são substanciais: um único ponto de contacto responsável perante a NAIH, um ponto claro de escalonamento interno para pedidos dos titulares e violações, e um sinal de credibilidade para os parceiros B2B. A Zunapro pode atribuir o seu consultor jurídico interno ou um parceiro DPO em outsourcing ao seu tenant húngaro; os respetivos contactos preenchem automaticamente a política de privacidade e os campos de notificação à NAIH.

Notificar a NAIH do DPO

Quando é nomeado um DPO (de forma obrigatória ou voluntária), o artigo 37.º, n.º 7, do GDPR exige que o responsável publique os contactos do DPO e os comunique à NAIH. A NAIH disponibiliza um formulário online de notificação do DPO. O DPO deve gozar de independência operacional, não pode ser destituído ou penalizado pelo exercício das funções de DPO e responde diretamente perante a direção ao mais alto nível.

6. Direitos dos titulares dos dados — As oito prerrogativas do GDPR

Os oito direitos num relance

O Capítulo 3 do GDPR confere oito direitos a cada pessoa singular. As lojas online húngaras têm de criar processos operacionais para satisfazer cada um deles no prazo de um mês de calendário após a receção de um pedido verificado (prorrogável por dois meses para pedidos complexos, com aviso fundamentado ao titular).

O fluxo DSAR — Verificação da identidade

Um pedido de acesso do titular (DSAR) pode chegar por e-mail, formulário web, carta postal ou até por mensagem direta nas redes sociais. Antes de responder, o responsável tem de verificar razoavelmente a identidade do requerente — artigo 12.º, n.º 6, do GDPR — sem recolher mais dados do que o necessário. Para um cliente registado, a verificação é normalmente uma confirmação de conta com sessão iniciada mais um ciclo de e-mail; para um não cliente, pode envolver um hash de documento de identidade nacional ou uma referência de encomenda existente. A verificação excessiva é ela própria uma violação: a NAIH multou responsáveis por exigirem uma fotocópia a cores do passaporte apenas para verificar um subscritor de uma loja online.

A resposta — Formato, canal, custo

A resposta tem de ser por escrito, numa forma "concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples" (artigo 12.º, n.º 1, do GDPR) — em húngaro para os titulares húngaros, salvo se tiverem solicitado expressamente outra língua. A resposta é gratuita; a cobrança de uma "taxa administrativa" só é permitida para pedidos manifestamente infundados ou excessivos, e apenas a valores supervisionados pela NAIH. Para os pedidos de portabilidade ao abrigo do artigo 20.º, o formato tem de ser estruturado, de uso corrente e de leitura automática — CSV ou JSON, não um PDF plano.

7. Notificação de violação de dados pessoais — A regra das 72 horas

Quando existe uma violação

O artigo 4.º, n.º 12, do GDPR define de forma ampla uma violação de dados pessoais: "uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a dados pessoais". Isto inclui tudo: desde um ataque de ransomware que bloqueia os dados das encomendas, a um bucket de nuvem mal configurado que expõe os endereços dos clientes, a um funcionário que envia uma lista de clientes para um Gmail pessoal, a um estafeta que perde um manifesto de entrega em papel.

Notificação à NAIH (artigo 33.º)

Quando a violação for suscetível de resultar num risco para os direitos e liberdades das pessoas singulares, o responsável tem de notificar a NAIH sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter tido conhecimento dela. A NAIH disponibiliza um formulário online de notificação de violações em naih.hu, em húngaro; o formulário exige:

• A natureza da violação incluindo, sempre que possível, as categorias e o número aproximado de titulares e de registos de dados em causa
• O ponto de contacto — normalmente o DPO ou um responsável sénior pela proteção de dados
• As consequências prováveis para os titulares dos dados
• As medidas adotadas ou propostas para fazer face à violação e mitigar os efeitos negativos

Se a informação completa não estiver disponível no prazo de 72 horas, a notificação pode ser fornecida por fases — mas a notificação inicial tem de ser feita a tempo, e a informação suplementar fornecida à medida que for sendo conhecida.

Notificação aos titulares dos dados (artigo 34.º)

Quando a violação for suscetível de resultar num risco elevado para os direitos e liberdades das pessoas singulares, o responsável tem ainda de notificar diretamente os titulares afetados, em língua húngara clara e simples, descrevendo a natureza da violação, as consequências prováveis e as medidas adotadas. A notificação aos titulares não é exigida se o responsável tiver aplicado medidas técnicas e organizativas de proteção adequadas (por exemplo, cifragem que torne os dados incompreensíveis), ou tiver tomado medidas subsequentes que assegurem que o risco elevado já não se concretiza, ou se implicar um esforço desproporcionado (caso em que é aceitável uma comunicação pública).

Manutenção de registos (artigo 33.º, n.º 5)

Independentemente de a violação ser ou não notificada à NAIH ou aos titulares, o responsável tem de documentar todas as violações — factos, efeitos, ação corretiva — num registo interno de violações. A NAIH inspeciona regularmente este registo durante as auditorias, e a ausência de um registo é uma violação em si mesma.

8. Transferências transfronteiriças — SCC após Schrems II

O quadro do Capítulo V

O Capítulo V do GDPR (artigos 44.º–49.º) rege as transferências de dados pessoais para fora do Espaço Económico Europeu (EEE — UE + Islândia, Listenstaine, Noruega). A regra de base é simples: qualquer transferência para um "país terceiro" é proibida, salvo se se aplicar uma das garantias específicas. Os operadores de comércio eletrónico húngaros efetuam regularmente transferências ao abrigo do Capítulo V — para serviços de analítica alojados nos EUA, para parceiros de logística sediados no Reino Unido, para fornecedores de apoio ao cliente turcos ou indianos.

O conjunto de garantias

Os mecanismos disponíveis, por ordem decrescente de utilidade prática para o comércio eletrónico:

• Decisões de adequação (art. 45.º) — a Comissão Europeia declarou que os quadros jurídicos do Reino Unido, da Suíça, do Japão, da Coreia do Sul, do Canadá (comercial), da Nova Zelândia, da Argentina, de Israel, das Ilhas Faroé, de Guernsey, de Jersey, da Ilha de Man, do Uruguai e de Andorra oferecem proteção adequada. As transferências para estes países são tratadas como intra-UE.
• Cláusulas Contratuais-Tipo (art. 46.º, n.º 2, alínea c)) — as SCC modulares de 2021 da Comissão Europeia são o cavalo de batalha da conformidade transfronteiriça do comércio eletrónico. Os módulos 1–4 abrangem as transferências responsável-para-responsável, responsável-para-subcontratante, subcontratante-para-subcontratante e subcontratante-para-responsável.
• Quadro de Privacidade de Dados UE-EUA — para transferências para destinatários dos EUA certificados ao abrigo do Quadro (lista publicada no sítio do Departamento do Comércio dos EUA), as transferências são tratadas como adequadas; para destinatários não certificados, mantêm-se obrigatórias as SCC + Avaliação de Impacto da Transferência.
• Regras vinculativas para empresas (art. 47.º) — usadas por grupos multinacionais para transferências intragrupo; exigem a aprovação da NAIH (ou de outra autoridade de dados da UE).
• Derrogações (art. 49.º) — consentimento explícito, necessidade contratual, interesse público importante. São interpretadas de forma restritiva e não podem ser utilizadas para transferências regulares e em grande escala.

A sobreposição de Schrems II

O acórdão Schrems II do TJUE (C-311/18, 16 de julho de 2020) invalidou o antigo Escudo de Proteção da Privacidade UE-EUA e impôs aos responsáveis uma obrigação adicional: uma Avaliação de Impacto da Transferência (TIA) que aprecie se a lei do país destinatário oferece uma proteção "essencialmente equivalente" à do GDPR — em especial no que respeita ao acesso governamental para fins de vigilância. Quando a avaliação identificar deficiências (típico das transferências para os EUA na ausência da certificação do Quadro de Privacidade de Dados), o responsável tem de aplicar medidas suplementares — cifragem com chaves detidas na UE, pseudonimização ou arquiteturas de dados divididos — para as remediar.

Documentar a transferência

Todas as transferências transfronteiriças têm de ser registadas no registo das atividades de tratamento do artigo 30.º, com: o país de destino, o mecanismo jurídico (adequação, SCC, BCR, derrogação), a data da assinatura das SCC, a configuração modular utilizada e o resultado da TIA. A Zunapro mantém um registo de transferências transfronteiriças preenchido automaticamente a partir dos serviços integrados que o seu tenant utiliza — cada fornecedor de pagamentos, cada conector de CRM, cada ponte de marketplace regista a sua cadeia de transferência.

9. Coimas da NAIH — Quanto, com que frequência, como evitá-las

Os escalões de coimas do artigo 83.º do GDPR

O GDPR limita as coimas administrativas a dois níveis:

• Nível 1 — 10 milhões de euros ou 2% do volume de negócios anual mundial total, consoante o que for mais elevado, para violações de obrigações relativas aos registos de tratamento, à segurança, à notificação de violações, à AIPD e à designação do DPO (artigos 8.º, 11.º, 25.º–39.º, 42.º, 43.º)
• Nível 2 — 20 milhões de euros ou 4% do volume de negócios anual mundial total, consoante o que for mais elevado, para violações dos princípios de base (artigo 5.º), da licitude do tratamento (artigo 6.º), das condições do consentimento (artigo 7.º), das categorias especiais (artigos 9.º–10.º), dos direitos dos titulares (artigos 12.º–22.º) e das transferências internacionais (artigos 44.º–49.º)

Fundamentalmente, as coimas do GDPR são calculadas sobre o volume de negócios global, e não local — uma filial húngara de uma multinacional pode enfrentar uma coima calibrada sobre as receitas mundiais do grupo.

Os 11 fatores de calibração do artigo 83.º, n.º 2

A NAIH tem de apreciar cada coima face a onze fatores: a natureza, a gravidade e a duração da infração; o número de titulares afetados; o nível dos danos sofridos; o caráter doloso ou negligente; as ações de mitigação; o grau de responsabilidade (medidas técnicas e organizativas); as infrações anteriores; o grau de cooperação com a NAIH; as categorias de dados em causa; a forma como a infração se tornou conhecida (a autodenúncia conta); a adesão a códigos de conduta ou certificações aprovados; e qualquer outro fator agravante ou atenuante.

O historial de aplicação da NAIH

Coimas húngaras publicadas selecionadas (a título ilustrativo, não exaustivo):

• DPD Hungary — 250 M de HUF (~650 mil €, 2022) por tratamento ilícito de análise de voz em chamadas de apoio ao cliente — um precedente da UE de relevo sobre a definição de perfis por IA/voz
• Partido político húngaro — 11 M de HUF (2019) por e-mails de marketing direto ilícitos a não membros
• Operadora de telecomunicações — mais de 100 M de HUF (2020) por controlos de acesso inadequados que conduziram a uma violação
• Várias lojas online PME — 1–10 M de HUF cada por banners de cookies em falta ou ilícitos, políticas de privacidade em falta, notificações de violação tardias
• Banco — 250 M de HUF (2021) por definição de perfis ilícita de clientes sem base jurídica

A pilha prática para evitar coimas

A fundamentação publicada das decisões da NAIH aponta para um padrão recorrente de "desconto por mitigação". Os responsáveis que apresentam o seguinte recebem normalmente coimas 30–70% abaixo da tarifa:

• Uma AIPD operacional para qualquer tratamento de risco elevado (definição de perfis de fidelização, anúncios comportamentais, checkouts biométricos)
• Registos das atividades de tratamento do artigo 30.º documentados e mantidos atualizados
• Um fluxo DSAR funcional que tenha sido efetivamente utilizado e cumpra o SLA de 30 dias
• Dados pessoais cifrados em repouso e em trânsito, com prova da gestão de chaves
• Registos anuais de formação do pessoal, atualizados na contratação e após qualquer incidente
• Um registo de violações funcional e pelo menos uma simulação de violação documentada por ano
• Prova de autodenúncia no prazo de 72 horas quando ocorreu uma violação real
• Um banner de cookies com Rejeitar tudo visualmente equivalente a Aceitar tudo

10. A checklist de GDPR para o comércio eletrónico húngaro 2026

Um roteiro de implementação de 25 pontos

A checklist abaixo condensa as nove secções anteriores num roteiro prático e priorizado. A maioria das PME húngaras consegue completá-la em três a seis semanas de trabalho a tempo parcial, ou numa quinzena dedicada com o pacote de conformidade da Zunapro autoconfigurado.

Fundação (semanas 1–2)

1. Mapeie todos os fluxos de dados pessoais — entrada, armazenamento, subcontratante, saída, conservação
2. Compile os seus registos das atividades de tratamento (ROPA) do artigo 30.º
3. Identifique a base jurídica ao abrigo do artigo 6.º para cada atividade de tratamento
4. Identifique quaisquer categorias especiais de dados (artigo 9.º) e confirme a base jurídica adicional
5. Decida se um DPO é obrigatório ou voluntário; nomeie-o e comunique-o à NAIH se for o caso
6. Crie uma caixa de correio interna de proteção de dados (por exemplo, [email protected])

Documentação (semanas 2–3)

7. Publique o Adatkezelési Tájékoztató húngaro (arts. 13.º–14.º do GDPR + referências à Info Act)
8. Publique uma política de cookies separada com cada cookie enumerado
9. Publique os termos e condições (Általános Szerződési Feltételek — ÁSZF) alinhados com o Código Civil húngaro
10. Assine acordos de tratamento de dados (DPA) ao abrigo do artigo 28.º com cada subcontratante — alojamento, e-mail, analítica, CRM, pagamentos, estafeta, pontes de marketplace
11. Assine os módulos SCC com cada subcontratante fora do EEE e conclua uma Avaliação de Impacto da Transferência para cada um
12. Documente um calendário de conservação por categoria de dados (8 anos para faturas, consentimento de marketing + 5 anos para prova, cookies conforme o prazo de validade declarado)

Camada de consentimento de cookies (semana 3)

13. Implemente um banner de cookies CMP com Aceitar tudo / Rejeitar tudo / Personalizar visualmente equivalentes
14. Bloqueie todos os cookies não essenciais até ser dado o consentimento
15. Forneça uma ligação "Preferências de cookies" persistente no rodapé para a retirada do consentimento
16. Registe cada evento de consentimento com data/hora, versão do banner, escolha — para auditoria pela NAIH

Fluxos operacionais (semanas 4–5)

17. Construa um fluxo DSAR com verificação de identidade e temporizador de SLA de 30 dias
18. Construa um manual de resposta a violações alinhado com o formulário online da NAIH, com temporizador de 72 horas
19. Crie um registo de violações para cada incidente, notificável ou não
20. Configure a recolha de consentimento de marketing com duplo opt-in para a subscrição da newsletter
21. Configure o consentimento granular por finalidade de tratamento no checkout — sem consentimento em bloco

Verificação (semana 6)

22. Realize uma simulação de violação de mesa com TI, jurídico, apoio ao cliente e DPO
23. Efetue uma auditoria interna ao banner de cookies usando as ferramentas de programador do navegador
24. Apresente uma DSAR de teste a partir de um cliente colaborativo e valide o fluxo de 30 dias de ponta a ponta
25. Agende a próxima formação anual de reciclagem sobre o GDPR para todo o pessoal que trata dados pessoais

Referências jurídicas — Índice rápido

A base normativa e jurisprudencial completa deste guia, para consulta por consultores jurídicos e DPO:

Fonte	Referência	Relevância
GDPR	Regulamento (UE) 2016/679 de 27 de abril de 2016	Regulamento UE direto — texto integral
Info Act 2011	Lei CXII de 2011 (Infotv.) — última alteração Lei XXXVIII de 2018	Lei húngara de execução + estrutura da NAIH
ePrivacy	Diretiva 2002/58/CE — transposição húngara: Lei C de 2003 (Eht.)	Consentimento de cookies + comunicações eletrónicas
Marketing	Lei XLVIII de 2008 sobre Publicidade Comercial (Grtv.)	Regras húngaras de opt-in para o marketing
Contabilidade	Lei C de 2000 sobre Contabilidade, secção 169	Conservação de faturas durante 8 anos
Código Civil	Lei V de 2013 (Polgári Törvénykönyv)	Prescrição geral + responsabilidade civil
Código Penal	Lei C de 2012, secção 219	Tratamento ilícito de dados pessoais — infração penal
Schrems II	Processo do TJUE C-311/18 (16 de julho de 2020)	Doutrina SCC + Avaliação de Impacto da Transferência
SCC 2021	Decisão (UE) 2021/914 da Comissão	Conjunto modular de Cláusulas Contratuais-Tipo
Orientações do CEPD	Orientações 03/2022 sobre dark patterns; 5/2020 sobre consentimento; e muitas outras	Interpretação de referência em todas as autoridades de dados da UE

Como ler a tabela: o GDPR é a base operacional; a Info Act acrescenta o procedimento húngaro e a estrutura da NAIH; as leis de ePrivacy e Marketing regem os fluxos de consentimento para cookies e e-mail; os Códigos da Contabilidade e Civil fixam os limiares mínimos de conservação; o Código Penal é o último recurso para as violações mais graves. O módulo de conformidade da Zunapro faz referência, nos bastidores, a cada linha desta tabela.

FAQ de GDPR e NAIH para a Hungria 2026