A Loop Magazin kiadója, az Excover UG, Niviloop néven AI-felmérést és belső AI-szabályzatot kínál cégeknek. Ez a cikk az uniós AI- és adatvédelmi szabályok módosításáról szól. A kiadónak nincs kapcsolata a cikkben szereplő noyb-vel, a Bitkommal, a Tudományos és Technológiai Minisztériummal és a NAIH-hal.
Az Európai Bizottság a digitális omnibuszt a cégek terheinek csökkentéseként mutatta be. A tagállamok 2026. október 21-én elfogadták a saját tárgyalási álláspontjukat. Max Schrems, a noyb alapítója szerint a haszon a nagy adatgyűjtőknél csapódik le. A magyar KKV kérdése egyetlen mondat: mi változik nála, és mikortól?
Hol tart a javaslat
Az omnibusz két részből áll. Az AI-ra vonatkozó rész már jog. Az (EU) 2026/1744 rendelet 2026. július 24-én jelent meg a Hivatalos Lapban. Ez kitolja a nagy kockázatú AI-rendszerek szabályait. A III. melléklet szerinti rendszerekre 2027. december 2-től alkalmazandók.
Az adatvédelmi rész a COM(2025) 837 javaslat. A Bizottság 2025. november 19-én tette közzé. Ez többek között a GDPR-t, az ePrivacy-irányelvet, a Data Actet és a NIS2-t módosítaná.
| Intézmény | Állapot 2026. november 11-én | Forrás |
|---|---|---|
| Bizottság | javaslat, 2025. november 19. | COM(2025) 837 |
| Tanács | tárgyalási mandátum, 2026. október 21. | ST 14756/26 |
| Parlament | ITRE és LIBE közös bizottság, „Awaiting committee decision” | Legislative Observatory |
| Háromoldalú egyeztetés | nem kezdődött el | noyb |
A Tanács akkor kezd tárgyalni, ha a Parlament elfogadta a saját álláspontját. Ebből a javaslatból egyetlen rendelkezés sem hatályos. A GDPR a hatályos szövege szerint alkalmazandó.
Mi változna a napi munkában
A tábla a hatályos GDPR-t, a bizottsági javaslatot és a tanácsi mandátumot veti össze.
| Terület | Hatályos GDPR | Bizottság | Tanács |
|---|---|---|---|
| Incidens bejelentése | 33. cikk (1): kockázat esetén, 72 óra | csak magas kockázatnál, 96 óra, uniós egyablakos pont | magas kockázat, 96 óra, nemzeti bejelentési pont |
| Süti-hozzájárulás | ePrivacy, tagállami jog | GDPR 88a. cikk, elutasítás után hat hónap szünet | ePrivacy marad, egy kattintásos elutasítás, négy hónap szünet |
| Személyes adat fogalma | 4. cikk 1. pont | relatív fogalom | marad a hatályos, új 25a. cikk az álnevesítésről |
| AI-fejlesztés jogalapja | 6. cikk (1) f), eseti mérlegelés | 88c. cikk: jogos érdek lehet | 88 bis. cikk: jogos érdek lehet |
| Visszaélésszerű kérelmek | 12. cikk (5): megalapozatlan vagy túlzó kérelemnél díj vagy megtagadás | a nem adatvédelmi célú, visszaélésszerű hozzáférési kérelem is ide tartozik | csak bizonyítható visszaélési szándéknál, az elutasítást indokolni kell (ST 14756/26) |
A KKV-nál az incidenssor számít leginkább. Egy rossz címre küldött ügyféllista a hatályos szabály szerint bejelentési ügy lehet. A tanácsi szöveg szerint csak akkor, ha valószínűleg magas kockázattal jár. Az EDPB és az EDPS a magasabb küszöböt és a hosszabb határidőt is támogatja.
Kinek egyszerűsít
Schrems a noyb 2026. szeptember 22-i videójában a KKV-kat külön említi. „A KKV-knak ez egyáltalán nem segít, mert egy átlagos cégnek kell az ön címe, telefonszáma, e-mail-címe.” (04:29, a Loop fordítása)
Az érvelés az álnevesítésre épül. Aki nevek nélkül, azonosítókkal dolgozik, kikerülhet a GDPR alól. Egy webshop csomagot küld, ehhez név és cím kell. Egy mérőkódot üzemeltető szolgáltató sütiazonosítóval is boldogul.
A tanácsi szöveg törölte a személyes adat fogalmának relatív, bizottsági kiegészítését a 4. cikkből (ST 14756/26). Az új 25a. cikk (2) bekezdése viszont kivételt tesz. Az álnevesített adat nem személyes adat annak a harmadik félnek, amely nem tudja azonosítani az érintettet. A kivétel szűkebb, mint a bizottsági relatív fogalom: csak álnevesített adatra és harmadik félre vonatkozik. Az adatfeldolgozónál az adat mindig személyes adat marad.
A noyb a tanácsi döntés után, 2026. október 23-án így reagált. Schrems szerint a módosítás „elsősorban a nagy szereplőknek kedvez”, azoknak, akik rengeteg európai adatot gyűjtöttek (a Loop fordítása).
A Loop következtetése: a 25a. cikk annak ad mozgásteret, aki azonosítókkal, név nélkül dolgozik. Egy magyar webshopnak vagy könyvelőirodának a név és a cím maga a munka.
Az ellenoldal
A német Bitkom a könnyítés támogatója. Saját adatai szerint több mint 2300 tagja van. Köztük ezer kis- és középvállalkozás, 700-nál több startup és „szinte minden globális szereplő”.
A Bitkom 2026. márciusi állásfoglalása szerint a kezdeményezés „nem az alapjogok lebontásáról” szól (a Loop fordítása). A szövetség a relatív megközelítést a 4. cikkben akarja látni. A Tanács épp ezt hagyta ki. A Bitkom már márciusban bírálta, hogy a Tanács a fontos pontosításokat nem kötelező preambulumbekezdésekbe tolja.
A Bizottság számokkal érvel. A csomag 2029-ig akár 5 milliárd eurót takaríthat meg adminisztratív költségben. A Bizottság egyszerűsítési programjának célja 2029 végéig legalább 25 százalékos tehercsökkentés. A KKV-knál a cél 35 százalék.
Az európai kisvállalkozói szövetség, a SMEunited óvatosabb. 2025. október 16-i állásfoglalása szerint nem látja szükségét a GDPR újranyitásának. Útmutatót és világosabb incidensbejelentési szabályt kér. A KKV-szövetség kérése és a tanácsi szöveg az incidensbejelentésnél találkozik.
A Tanács egy KKV-specifikus pontot is beírt. Az új 97. cikk (5a) szerint a Bizottság a hatálybalépés után hat hónapon belül jelentést készít. A jelentés azt vizsgálja, arányosak-e a IV. fejezet kötelezettségei az alacsony kockázatú KKV-adatkezelésnél.
A Loop következtetése: a KKV-ra szabott könnyítés a tanácsi szövegben egy jelentés, kötelező szabály nélkül.
Magyar szál
A NAIH 2026. február 13-án magyarul közölte az EDPB és az EDPS közös véleményét. Eszerint a javaslat „indokolatlanul szűkítené a személyes adat fogalmát”. A tanácsi álláspontot a NAIH 2026. november 3-án hírben ismertette. A hír a főbb pontokat sorolja fel, és a Tanács közleményére hivatkozik. Saját értékelést a NAIH honlapján a Loop 2026. november 11-ig nem talált. A Loop Magazin megkeresésére viszont a NAIH elnöke 2026. november 9-én levélben válaszolt.
Az incidensbejelentésnél (33. cikk (1)) a NAIH a 96 órás határidőt és a magas kockázati küszöböt is pozitívan értékeli. A NAIH szerint a határidő „egy nappal történő meghosszabbítása nem jelent komoly változást az adatkezelőkre nézve”. Lényegesebb változásnak a magas kockázati küszöböt tartja. A levél szerint a GDPR az eddigi tapasztalatok alapján „túlságosan alacsonyan húzta meg a mércét”. A NAIH szerint így a hatóságok a veszélyesebb incidensekre figyelhetnek jobban. Az incidens kivizsgálásának kötelezettségét a változtatások a levél szerint nem érintik. Amíg a 72 órás szabály hatályos, a NAIH „minden adatkezelőnek a hatályos rendelkezések betartását javasolja”. Ez szükség esetén a 72 órán belüli bejelentést jelenti.
Az álnevesített adatról (25a. cikk (2)) a NAIH szerint az EDPB 01/2025. számú iránymutatása „jó kiindulópontként szolgál”. A Hatóság álláspontja szerint ez „az egyik kulcskérdés, amelyet a jogalkotónak részletesebben ki kell dolgoznia”. A NAIH és az EDPB szerint a fogalmat a jogszabályban kellene pontosabban definiálni. A levél szerint a gyakorlati alkalmazás a végleges szövegtől függ.
Az AI-fejlesztés jogos érdekéről (88 bis. cikk) a NAIH az EDPB iránymutatásaira utal. Az érdekmérlegeléshez az EDPB jogos érdekről szóló 1/2024. számú iránymutatása „támpontot nyújt”. AI-nál a generatív AI-hoz kapcsolódó webes adatgyűjtésről szóló 3/2026. számú EDPB-iránymutatás is útmutató lehet. A levél szerint a 6. cikk (1) f) pontjához három, egymást kiegészítő feltételnek kell teljesülnie. Ezek: a jogos érdek érvényesítése, az adatkezelés szükségessége erre a célra, és hogy az érintett érdekei ne élvezzenek elsőbbséget. A levél a KKV-knak készült adatvédelmi kézikönyvre is felhívja a figyelmet, amely a NAIH STAR II projektjében született.
A Legislative Observatory nyolc nemzeti parlamenti hozzájárulást listáz. Magyar nincs köztük.
A magyar kormány álláspontjáról a Tudományos és Technológiai Minisztérium (TTM) válaszolt a Loop Magazin kérdésére. A válasz 2026. november 10-én érkezett, e-mailben. A levél szerint Magyarország „támogatta az Elnökség legutóbbi kompromisszumos javaslatát és az annak alapján kialakított tanácsi tárgyalási mandátumot”. A válasz szerint Magyarország „nem fogalmazott meg a mandátumot ellenző fenntartást”, és jegyzőkönyvi nyilatkozatot sem csatolt.
A Loop a 33. cikk (1), a 25a. cikk (2) és a 88 bis. cikk megítéléséről is kérdezett. A TTM szerint Magyarország támogatja az incidensbejelentési szabályok módosítását és az álnevesített adatok kezelésének jogbiztonságát. Támogatja az AI-rendszerek és -modellek fejlesztéséhez és működtetéséhez kapcsolódó adatkezelési jogalap egyértelműbbé tételét is. A Parlamenttel folytatott tárgyalás prioritásaként a válasz a három pont közül egyiket sem nevezi meg. Helyette a Data Act körében elért garanciák megőrzését tartja kiemelten fontosnak. A cél, hogy az adatmegosztási kötelezettségek ne veszélyeztessék az üzleti titkot, a stratégiai ipari know-how-t és a kritikus NIS2-ágazatok biztonságát.
A TTM a 97. cikk (5a) szerinti bizottsági arányossági felülvizsgálatot „előremutatónak” tartja. A Loop azt is kérdezte, támogatna-e a kormány ezen túlmenő KKV-könnyítést. A válasz általánosságban támogatja a KKV-k versenyképességét javító egyszerűsítést. Konkrét, ezen túlmenő KKV-könnyítést nem nevez meg.
Mit tehet egy KKV a végszöveg előtt
- Az incidenskezelés kövesse a 72 órás szabályt. A 96 óra javaslat.
- Térképezze fel, kinek ad át azonosítót: analitika, hirdetési pixel, CRM-export. A 25a. cikk itt változtatna.
- A sütibannert ne tervezze újra. A bizottsági és a tanácsi szöveg ebben eltér.
- AI-eszköznél kérdezze meg a szállítót, milyen jogalapra hivatkozik. A tanácsi 88 bis. cikk a jogalap-választás kötelezettségét nem érinti.
- Ellenőrizze az adatkezelési tájékoztatót. A NAIH 2026. május 22-i közleménye szerint az EDPB összehangolt fellépése az érintettek tájékoztatására irányul.
⚠ Figyelem: ne írja ügyfélnek vagy partnernek, hogy „a GDPR már 96 órát enged”. A 2026. november 11-i állapot szerint ez nem igaz.
Az ördög ügyvédje
Schrems videója a tanácsi végszöveg előtt készült. Egyik fő célpontja a személyes adat szubjektív definíciója volt. A Tanács ezt a 4. cikkből törölte. A tanácsi szöveg a videóban leírt láncproblémára is részben válaszol. A 25a. cikk (3) szerint az azonosításra képes címzettnek történő továbbítás személyesadat-kezelés (ST 14756/26).
A szöveg nem mondja meg, honnan tudja a KKV, mire képes a következő címzett. Schrems ezt a videóban „adminisztratív rémálomnak” nevezte a KKV-k számára (07:10, a Loop fordítása).
A magas kockázati küszöb valódi könnyítés, és a videó nem foglalkozik vele. A következtetés gyengülne, ha a 97. cikk (5a) szerinti jelentés kötelező KKV-szabályt hozna.
Az érdekek láthatók. A noyb nagy platformok ellen visz ügyeket, a videóban a Microsoft elleni eljárást is említi. A Bitkom globális szereplőket és KKV-kat egyszerre képvisel. A Loop kiadója AI-megfelelési szolgáltatást kínál, így az AI-jogalap szabályozása az üzleti terepét is érinti.
A tanácsi szöveg a KKV-nak magasabb incidensküszöböt, kevesebb tájékoztatási kötelezettséget és egy jelentést adna. A 25a. cikk annak kedvez, akinek az adatai név nélkül is értékesek.
Gyakori kérdések
Hatályos már a 96 órás incidensbejelentés?
Nem. A GDPR 33. cikk (1) bekezdése szerint a határidő 72 óra.
Mikor lehet végleges a szöveg?
A Tanács a Parlament álláspontja után kezd tárgyalni. Egy ügyvédi iroda becslése szerint a tárgyalás 2027 márciusa előtt nem indul.
Használhatok ügyféladatot AI-fejlesztéshez jogos érdekre hivatkozva?
A hatályos szabály szerint csak akkor, ha a jogos érdek, a szükségesség és az érdekmérlegelés is teljesül (6. cikk (1) f)). Más célra gyűjtött ügyféladatnál a célváltozás összeegyeztethetőségét is vizsgálni kell (6. cikk (4)). A mérlegelést az 5. cikk (2) alapján igazolni kell tudni. A 88 bis. cikk javaslat.
Mit mond a NAIH a tanácsi szövegről?
A NAIH elnöke a Loop Magazin megkeresésére levélben válaszolt. A 96 órás határidőt és a magas kockázati küszöböt pozitívan értékeli. Az álnevesítésről azt írja: „ez az egyik kulcskérdés, amelyet a jogalkotónak részletesebben ki kell dolgoznia”. A hatályos szabályok betartását javasolja, szükség esetén 72 órán belüli bejelentéssel.
Mi hatályos az omnibuszból?
Az AI-rész, az (EU) 2026/1744 rendelet. Ez átírta az AI-rendelet 4. cikkét ((EU) 2026/1744, 1. cikk 5. pont). A szolgáltatók és az alkalmazók intézkedéseket hoznak személyzetük AI-jártasságának támogatására.
- A NAIH elnökének levele a Loop Magazin megkeresésére, e-mail, 2026. november 9., NAIH/19881-2/2026, nem nyilvános levél.
- A TTM válasza a Loop Magazin kérdésére, e-mail, 2026. november 10., azonosító: 87378, nem nyilvános levél.
AI-közreműködés: AI-asszisztált váz és szerkesztés (Újságíró, 2026. november), lektorálás (Lektor) és forrásellenőrzés (Loop Newsroom, Grok Bot, 2026. november). A hero-kép AI-jal készült. Loop Magazin, 2026.
