I. Bevezetés
A 2026-os év első felében a Nemzeti Adatvédelmi és Információszabadság Hatóság (továbbiakban: Hatóság vagy NAIH) négy olyan határozatot is hozott, amelyek tárgyát webáruházakkal kapcsolatos adatkezelési tájékoztatók hiányossága, valamint hibás, pontatlan megfogalmazása képezte (NAIH-4021-1/2026., NAIH-450-7/2026., NAIH-4462-4/2026. és NAIH-11443-3/2026). Az eljárások során hozott döntések szankciójaként a NAIH a Társaságokat – mint adatkezelőket – adatvédelmi bírság megfizetésére kötelezte. A bírságok összege 200.000 Ft-tól 15.000.000 Ft-ig terjed, amelyek bár a NAIH állásfoglalása és érvelése szerint arányos szankciók, véleményünk szerint a továbbiakban felvonultatott jogesetek olyan tanulságokkal bírnak, amelyeket a jövőre nézve érdemes valamennyi adatkezelőnek szem előtt tartani a hasonló mértékű adatvédelmi bírságok kiszabásának elkerülése végett.
II. A tényállásokról és problémákról
A bemutatott jogesetek mindegyike hivatalból indult. Ezek első lépéseként a Hatóság előzetes értesítés nélküli szemlét végzett az egyes adatkezelőknél, melyek során a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (továbbiakban: GDPR vagy Rendelet) szabályainak való megfelelést vizsgálta. Ez döntően a Társaságok weboldalain fellelhető adatkezelési tájékoztatók, szabályzatok és egyéb nyilatkozatok elemzésével, illetve ahol indokoltnak látszott, az adatkezelők nyilatkozattételre való felhívásával történt. Ezek egyben a tényállás tisztázásának eszközeit is jelentik, az elkövetkezendőkben pedig a tényállással összefüggő fontosabb, visszatérő problémákat kívánjuk kiemelni.
A vizsgálatok során a Hatóság legfontosabb problémaként a Társaságok adatkezelési tájékoztatási gyakorlatának hiányosságait azonosította. Visszatérő probléma volt ugyanis, hogy az érintettek személyes adatainak kezelésére vonatkozó információk következetlen módon, túl általánosan, helytelen fogalmi környezettel, hiányosan, vagy egyáltalán nem voltak feltüntetve.
Az is több helyen előfordult problémaként, hogy az adatkezelők az adatkezelési tájékoztatóban a GDPR 13. cikk (1)-(2) bekezdés szerinti kötelezően feltüntetendő körülményeket ugyan feltüntették, azonban nem egységesen, áttekinthető adatkezelési dokumentumban. A több dokumentumban (pl.: szabályzat, ÁSZF, nyereményjátékra vonatkozó tájékoztatás, blog, stb.) való tájékoztatás problematikája pedig abban volt megfogható, hogy ezek a dokumentumok nem alkottak együtt koherens és átlátható rendszert.
A NAIH oldaláról kifogás tárgyát képezte továbbá az is, hogy egy Társaság indokolatlan módon adott meg információkat az adatkezelési tájékoztatójában. A tényállás szerint a Társaság az automatizált döntéshozatallal és profilalkotással történő adatkezelésre vonatkozó érintetti jogokat is beemelte a tájékoztatójába, holott a Hatóság vizsgálata során nyilvánvalóvá vált, hogy ilyen jellegű adatkezelés nem történt.
Több adatkezelő esetében problematikusnak bizonyult az elavult jogszabályokra hivatkozó adatkezelési tájékoztatók alkalmazása. E ponton nem pusztán a hatályát vesztett jogszabályi rendelkezések veszélyét kell megemlíteni, hanem érdemes kitekinteni a NAIH jogértelmezési gyakorlatára: a jogesetekből az is kitűnik, hogy sokszor az is okozta a tájékoztatók kifogásolhatóságát, hogy az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (továbbiakban: Infotv.) és a GDPR fogalmi rendszerét vegyítve és nem következetesen használták. A Hatóság határozataiból azonban jól kitűnik, hogy az adatkezelési dokumentumok értékelésekor a GDPR szabályaira alapozott tájékoztatókat tartja helytállóbbnak. (Nota bene: A NAIH jogértelmező tevékenysége során is az érdemi indokolásait a Rendeletből vezette le, döntéseit ezekre a szabályokra alapozta).
A Hatóság több esetben is kifogasolta az adatkezelési jogalap megválasztásával kapcsolatos kérdéseket. A NAIH határozatai alapján ugyanis problémaként értékelendő a Társaságok vonatkozásában, amikor az adatkezelő egyrészt rossz, másrészt több, egymással értelmezhetetlen viszonyban álló jogalapokat jelölt meg.
Végül azt is fontosnak tartjuk kiemelni, hogy több határozatban felmerült tényként, hogy a Rendeletnek való meg nem felelés oka egy digitális rendszer által generált adatkezelési tájékoztató volt, amely sablonszerűen és rendezetlen struktúrában készítette el a tájékoztatót.
A NAIH tehát ezen problémák értékelése mentén állapította meg a jogsértéseket. Mindegyik ügyben az adatkezelési tájékoztató nem megfelelő tartalma vagy formája adta annak alapját, hogy az adatvédelmi bírság kiszabásra kerüljön. Sok helyen ugyanis az adatkezelők oldaláról csupán a GDPR-nak való látszólagos megfelelés motivációja tűnik fel, a jogszabály által elérni kívánt tényleges, konkrét cél pedig kevésbé látszott úgy, hogy megvalósulna. Épp ezért indokoltnak mutatkozik, hogy e problémák jogi értékelése előtt kitekintsünk a GDPR céljára az adatkezelési tájékoztatásokat illetően.
III. A GDPR tényleges, konkrét célja – mit vár el a NAIH?
A GDPR 12. cikk (1) bekezdése határozza meg elősorban azokat az intézkedéseket, amelyeket minden adatkezelő köteles teljesíteni: ezek szerint követelmény, hogy minden adatkezelő a tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. A Hatóság is hivatkozott a NAIH-4462-4/2026. számú határozatában a GDPR 29. cikk szerinti munkacsoport WP260 rev.01 iránymutatására, amely kifejezetten arról szól, hogy a követelményrendszer egyes elemeinek milyen konkrét tartalma van. Mind közül kiemelendő a „tömörség és átláthatóság”, amely gyakorlatilag annyit jelent az iránymutatás 8. pontja értelmében, hogy „a tájékoztatást egyértelműen el kell különíteni az egyéb, nem adatvédelemmel kapcsolatos tájékoztatástól, például a szerződéses rendelkezésektől vagy általános felhasználási feltételektől.” Másrészt a „könnyen hozzáférhetőség” is említésre méltó, amely az iránymutatás 11. pontja szerint annyit jelent, hogy az érintettnek nem kell keresnie a tájékoztatást.
A GDPR 13. cikk (1)-(2) bekezdése pedig tételesen sorolja fel azokat az információkat, amelyeket rendelkezésre kell bocsátani, ha az adatokat magától az érintettől gyűjtötték. Ezekkel a GDPR célja szintén az átláthatóság és elszámoltathatóság biztosítása, melyeket a Rendelet alapelvi szinten is biztosítani kíván. A GDPR 5. cikkében meghatározott adatkezelési elvek – többek között – jogértelmezési funkciót látnak el és látható volt, hogy ezek megsértését is megállapította a NAIH.
Összefoglalva tehát a GDPR célja, hogy az adatok szabad áramlása átlátható és nyomon követhető módon történjen. Ez alapján a NAIH elvárása pedig, hogy az adatkezelési tájékoztatók minél konkrétabb, kellően behatárolt és áttekinthető információkat tartalmazzanak, amelyek nem csak formailag, de tartalmilag, „tényleges adatkezelési működéshez igazodva” is kielégítik a GDPR által támasztott követelményeket.
IV. A bírságokról és indokolásukról – mit mérlegel a NAIH?
Úgy véljük, hogy az adatkezelők számára a NAIH bírságolási gyakorlata is tanulságokat tartalmazhat annak érdekében, hogy a hasonló mértékű szankciókat a jövőben elkerüljék. Ezért kívánjuk bemutatni, hogy a NAIH milyen szempontok alapján határozta meg a kiszabott bírságok összegét.
A Hatóság a NAIH-4021-1/2026. sz. határozatában 200.000 Ft adatvédelmi bírság megfizetésére kötelezte az egyik Társaságot, pusztán a GDPR 12. cikk (1) bekezdés gondatlan megsértése miatt. A szankció meghatározásánál a NAIH azt mérlegelte, hogy a gyengébb súlyú jogkövetkezmény, a figyelmeztetés a további jogsértéstől való visszatartó erővel nem feltétlenül bírna. A Hatóság továbbá az eljárás során felmerülő súlyosító és enyhítő körülményeket is értékelte: súlyosító körülmény a folyamatos jogsértés és a rendszerszintű, többszöri múltbéli marasztalás, ezzel szemben enyhítő körülmény pedig a gondatlanság, a mikrovállalkozási minőség, a tény, hogy a jogsértés kevés érintettel szemben valósult meg, és hogy a vizsgált időszak után a Társaság törekedett a jogszerű és hatékony adatkezelési tájékoztató alkalmazására.
A NAIH-11443-3/2026. sz. határozat 2.000.000 Ft összegű bírságot állapított meg szintén a Rendelet 12. cikk (1) bekezdése és a 13. cikk (1)-(2) bekezdésének gondatlanul történő megsértése miatt. Az egységesnek tekinthető bírságkiszabási szempontrendszer alapján itt is olyan tényezők voltak súlyosító körülményként értékelendők, mint a nagyszámú érintettekkel szemben elkövetett jogsértés és a hosszú ideig fennálló jogsértő állapot. Enyhítő körülményként tekintett a Hatóság ugyanakkor a gondatlanságra, a múltbéli marasztalás hiányára, az adatkezelési tájékoztató módosítására és arra, hogy a Hatóság az ügyintézési határidőt átlépte.
A Hatóság NAIH-4462-4/2026. sz. határozata alapján az adatkezelőnek 10.000.000 Ft adatvédelmi bírságot kellett megfizetnie. Ennek az ügynek a sajátossága az volt, hogy a NAIH – mint már utaltunk rá – a GDPR 5. cikkben található elvek megsértését is értékelte a Rendelet 12-13. cikk szerinti tájékoztatási kötelezettség elégtelensége mellett. Továbbá itt is súlyosító körülményként jelent meg a jogsértés rendszerszintű mivolta, folyamatos időbeli kiterjedtsége és az érintettek magas száma. Enyhítő körülmény a korábbi marasztalások hiánya, a gondatlanság, az ügyintézési határidő Hatóság általi túllépése, illetve az, hogy az eljárás során a Társaság intézkedéseket tett a jogsértés orvoslása érdekében.
Végezetül a NAIH-450-7/2026. sz. határozatot illetően elmondható, hogy itt volt a legmagasabb mértékű a bírság, 15.000.000 Ft összegben a GDPR 12-13. cikknek való megfelelés hiánya miatt. Hasonlóan súlyosító körülményként értékelte a Hatóság itt is a jogsértés folyamatosságát, illetve a GDPR szabályainak megszorító értelmezésére irányuló magatartását. A további súlyosító körülmények körébe tartozik az érintetti kör magas száma és a korábbi marasztalás jogsértés miatt. Enyhítő körülmény pedig az ügyintézési határidő, a gondatlanság és a jogellenes állapot megszüntetése érdekében tett intézkedések.
Összességében megállapítható, hogy a NAIH bírságolási gyakorlata meglehetősen egységes szempontrendszert követ, a 04/2022. sz. EDPB iránymutatásra való utalás mellett e szempontrendszert – jelen ismertetett ügyek vonatkozásában – az alábbi tényezőkben tudjuk összefoglalni:
- Adatkezelő szervezet mérete és vagyona
- Szándékosság – gondatlanság bizonyítottsága
- Jogsértés időbeli kiterjedése, folyamatossága
- Jogsértés rendszerszintű jellege
- Korábbi jogsértés miatti marasztalás
- Az adatkezelő eljárás alatt tanúsított magatartása
- Érintettek száma
- Határidők átlépése
V. Tanulságok – mit javaslunk mi?
A kiszabott adatvédelmi bírságok tehát a NAIH szerint hatékonyak, arányosak és visszatartó erejűek voltak. Kiszabásuk megalapozott volt, azonban kétségtelenül hátrányt jelentett a bírságfizetési kötelezettséggel érintett vállalkozások pénzügyi helyzetére. Összegzésként a prevenció érdekében a II. pontban felsorolt problémákra reagálva igyekszünk pár tanulságot, javaslatot kiemelni.
A határozatok legfontosabb tanulsága, hogy nem minősül elégségesnek az általános adatkezelési tájékoztató. Az általánosan feltüntetett adatkezelési információk helyett az adatkezelőnek ajánlatos minél konkrétabban, egyértelműbben és pontosabban megadni az érintettek személyes adatai kezelésének célját, idejét, jogalapját stb. A már említett WP260 rev01. iránymutatás gyakorlati példákkal látja el e körben az adatkezelőket, érdemes tehát az adatkezelési tájékoztató szerkesztésénél az iránymutatásból való kiindulás. E tanulság kiterjed a fogalmi következetességre is: előnyösnek bizonyul a GDPR fogalmi rendszerének használata, a jogszabályhelyek pontos és konzisztens megjelölése. Javasolt továbbá a hatályos jogszabályok alapján történő tájékoztató készítése, valamint a jogszabályok módosulásának vagy éppen hatályának a nyomon követése.
Érdemes törekedni továbbá a Rendelet 13. cikkében foglalt tartalmi elemek hiánytalanságára, azonban mindezek „másik oldalaként” az is fontos kitétel, hogy a túlzott, indokolatlan mennyiségű tájékoztatás ront a dokumentumok áttekinthetőségén. Hasonló logika vonatkozik a jogalap megjelölésére. A Hatóság rögzítette a több jogalap megjelölése kapcsán: „Nem felel meg a rendeletnek, ha ugyanolyan adatkezelési tevékenység mellé rendelt ugyanazon adatkezelési célra párhuzamosan több jogalapot jelöl meg az adatkezelő. […] külön-külön meg kell jelölnie a megfelelő jogalapot.” Ajánlott tehát a jogalapok megjelölésénél is pontosan és következetesen megadni azokat.
Hangsúlyozzuk, hogy a NAIH határozataiból nem azt kell következtetésként levonni, hogy a több adatkezelési dokumentumban történő tájékoztatás problémás. Az volt jogsértő, hogy a több dokumentumban elhelyezett információk rendszertelenül, áttekinthetetlen módon kerültek feltüntetésre. Ennél fogva javasolt szisztematizálni és tagoltan megjeleníteni a tájékoztatókat szerkezeti, formai szempontból önmagában és egymáshoz való viszonyukban is.
Végül indokoltnak látszik, hogy felhívjuk a figyelmet a rendszer által generált vagy a mintákat követő tájékoztatókban rejlő kockázatokra. Látható a határozatok alapján, hogy néhány adatkezelő esetében ez volt az oka a tagolatlan, nem koherens és nem világos tájékoztatóknak. Azonban a Hatóság is rögzítette, hogy a hasonlóan alkalmazott rendszer által generált tájékoztatók emberi felülvizsgálatáért és ellenőrzéséért az adatkezelő felel. Mindenesetre javasolt az adatkezelési tájékoztató sablonok kritikával történő kezelése és aktualizálása, valamint a digitális rendszerek által generált dokumentumok ember által történő ellenőrzése.
Ezen javaslatok és – többek között – az alapelvek szem előtt tartása elengedhetetlen követelménye annak, hogy az adatkezelés és az arról történő tájékoztatás jogszerű módon történjen.
A cikk a NAIH-4021-1/2026., NAIH-450-7/2026., NAIH-4462-4/2026. és NAIH-11443-3/2026 ügyszámú határozat alapján készült.
Dr. Miklós Péter
Saly Attila
- 08. 29.