21 webáruházat vizsgált a NAIH — 18-nál eljárás indult

A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) idén nem panaszra várt: hivatalból ellenőrizte 21 magyar webáruház adatkezelési tájékoztatóját, és 18 esetben eljárást indított. Az eddig közzétett négy bírságoló határozat összege 200 ezer forinttól 15 millióig terjed — a legnagyobb tételt nem adatszivárgás hozta, hanem az, hogy a tájékoztató hiányos volt. Aki webáruházat üzemeltet, annak ez a négy határozat pontosan megmutatja, mit néz a hatóság, és mennyibe kerül, ha nem találja.

Nem panasz volt — szúrópróba

A GDPR-eljárások többsége eddig úgy indult, hogy valaki panaszt tett: egy elbocsátott munkavállaló, egy hírlevélből kilépni nem tudó vásárló. A webáruházas sorozat más műfaj. A NAIH saját döntése alapján, előzmény nélkül választott ki 21 webáruházat, és azok általános adatkezelési tájékoztatóit vetette össze a GDPR követelményeivel. Az arány önmagáért beszél: 18 eljárás, két lezárt vizsgálat eljárás nélkül, egy ügyben pedig külföldi felügyeleti hatósággal közös eljárás folyik.

A minta kicsi, de a találati arány 86 százalék. A hatóság nem a kirívó eseteket kereste — az első szembejövő 21 webshopból 18-nál talált eljárásra okot. Ez arról árulkodik, hogy a magyar webáruházak tájékoztatói tömegesen nem felelnek meg, és a hatóság ezt most dokumentálja, határozatonként.

A célpontválasztás sem véletlen. A webáruház a hatóság szempontjából ideális terep: a tájékoztató nyilvános, a jogsértés a honlapról, belépés nélkül megállapítható, az érintetti kör pedig a látogatottságból becsülhető. Nem kell helyszíni ellenőrzés, nem kell tanú. Egy munkatárs egy böngészővel végig tudja nézni a piacot — és a 18 eljárás azt mutatja, hogy pontosan ezt teszi.

Négy határozat, 200 ezertől 15 millióig

Az eddig közzétett bírságok így néznek ki:

A jogsértések listája mind a négy ügyben szinte azonos: a GDPR 5. cikk (1) bekezdés a) pontja (átláthatóság), a 12. cikk (tájékoztatás formája) és a 13. cikk (a kötelező tájékoztatási elemek). Nem történt adatlopás. Nem került ki vásárlói adatbázis. A bírságok tárgya minden esetben az, hogy a cég nem mondta el érthetően, mit csinál a vásárlók adataival.

A 15 milliós ügy adatkezelője középvállalkozás, webáruházat és piacteret is üzemeltet. Nála nem a tájékoztató hiánya volt a baj, hanem a bősége. Párhuzamos, egymásnak ellentmondó tájékoztatók éltek egyszerre, elavult jogszabályi hivatkozásokkal, hiányos jogalapokkal és megőrzési időkkel — a sütikről pedig alig mondott valamit. A bírság mellé a hatóság 30 napot adott az új tájékoztatási rendszer bemutatására. A pénz nem zárja le az ügyet — a határidő fut tovább.

Miért kapott 10 milliót egy 10 fős cég?

A négy határozatból a NAIH-4462-5/2026 a legtanulságosabb, mert itt a bírság és a cégméret közti arány a szokásos várakozást borítja. Az adatkezelő egy 10 fő alatti kisvállalkozás, amely italnagykereskedés mellett webáruházat üzemeltet magánszemélyeknek. A bírság: 10 millió forint.

A határozat szerint a webáruházban elérhető „Adatvédelmi nyilatkozat" csak általánosságokat tartalmazott — az adatkezelő azonosítása, az egyes adatkezelések célja és jogalapja hiányzott belőle. Volt időszak, amikor a tájékoztató linkje 404-es hibát adott, vagyis a dokumentum egyszerűen nem létezett. A cég a vizsgálatban nem tudta bemutatni a korábbi tájékoztató-verziókat, és nem igazolta, hogy azokat valaha közzétette.

A hatóság mérlegelése a lényeg. Súlyosbító tényezőnek számított, hogy a hiányosság rendszerszintű és folyamatos volt, és hogy a webshopot évente több tízezer látogató használta — a bírság az érintetti körhöz igazodik, nem a létszámhoz. Enyhítő volt az első jogsértés, az eljárás közben megkezdett javítás és az, hogy a cég gondatlanul, nem szándékosan hibázott. A NAIH a jogsértéseket a GDPR 83. cikk (5) bekezdése szerinti magasabb bírságkategóriába sorolta. Ott a plafon 20 millió euró vagy az éves árbevétel 4%-a — a magasabb számít. Ehhez képest minősítette az ügyet közepes súlyúnak. A 10 millió forint tehát a hatóság olvasatában nem szigor. Mérsékelt tétel.

⚠️ Figyelem: a „kicsi cég = kicsi bírság" képlet ezekben a határozatokban nem áll. A NAIH az érintettek számából, a jogsértés időtartamából és a hiány mértékéből számol. Egy 10 fős webshopnak lehet több tízezer látogatója — és akkor a hatóság a látogatókat számolja.

Mit vár a NAIH egy tájékoztatótól

A határozatok és a hatóság kapcsolódó közleménye alapján az elvárások listába rendezhetők. Nem ajánlások — a bírságok indoklásából visszafejtett követelmények:

• Elérhetőség: a tájékoztató külön menüpontból vagy linkről nyíljon meg, ne az ÁSZF végére tördelt fejezetként. A 15 milliós ügyben a párhuzamos, egymásnak ellentmondó tájékoztatási megoldás volt az egyik fő kifogás.
• Szerkezet: tartalomjegyzék, számozás, logikus felépítés. Egy adatkezelési cél minden adata — jogalap, megőrzési idő, címzettek — egy helyen legyen.
• Aktualitás: a GDPR előtti Infotv.-hivatkozás és a rég megszűnt adatvédelmi nyilvántartási szám a határozatokban visszatérő hiba. Mindkettő azonnal elárulja, hogy a szöveg 2018 előtti sablon.
• Verziókövetés: a korábbi tájékoztató-változatokat meg kell őrizni, és igazolni kell tudni, mikor mi volt kint. A 10 milliós ügyben a cég épp ezt nem tudta.
• Valóság: a szöveg a tényleges adatkezelést írja le, ne egy letöltött minta elméleti működését.

Az ellenőrzés első köre nem kíván jogászt. A NAIH határozatai nyilvánosak — a két nagy webáruházas döntés teljes szövege letölthető, és a kifogásolt hibák listája mellé tehető a saját tájékoztató. A GDPR 13. cikke tételes lista: felsorolja, minek kell egy tájékoztatóban szerepelnie. Ami a listából a saját dokumentumban nincs meg, az ezekben a határozatokban bírságtétel volt.

Az Ördög Ügyvédje: mit nem mutatnak meg ezek a számok

Ha a hatóság logikáját komolyan vesszük, a következtetés kényelmetlenebb, mint amilyennek látszik. A négy határozat mindegyike a tájékoztató szövegét vizsgálta — vagyis azt, ami kívülről, a honlapról látszik. Egy hibátlan tájékoztató ezen a szűrőn átmegy akkor is, ha mögötte a cég a valóságban mást csinál: tovább őrzi az adatot, mint amit ír, olyan alvállalkozónak adja át, akit nem nevesít.

Csakhogy a hatóság elvárásai közt ott a pont: a tájékoztatás a tényleges működést tükrözze. Ez a mérce a következő vizsgálati körben megfordítható — akkor már nem a szöveg hiányát, hanem a szöveg és a gyakorlat eltérését kell mérni. Aki most egy formailag hibátlan sablonnal zárja le a kérdést, az egy mélyebb vizsgálat bizonyítékát gyártja le. Írásba adta, mit kellene csinálnia — és ezzel mérhetővé tette az eltérést.

Érdemes azt is megnézni, kinek az érdeke a történet felnagyítása. A négy határozat nyomán a tanácsadói piac audit-csomagokat fog árulni, a 10 milliós bírsággal a címsorban. A határozatok szövege ennél szűkebb kört követel: a 13. cikk szerinti tájékoztatási elemeket, elérhető helyen, aktuális tartalommal, verziókövetéssel. Ez dokumentációs munka. A jogi vélemény ott kezdődik, ahol az adatkezelés maga kérdéses — a hiányzó menüpont nem ott van.

A másik megszorítás a mintára vonatkozik. A 21 webáruház kiválasztási szempontjait a hatóság nem hozta nyilvánosságra, a 86 százalékos eljárási arányból ezért nem következik, hogy a teljes magyar webshop-állomány ilyen arányban jogsértő. Az viszont következik, hogy a NAIH-nak nem kell válogatnia ahhoz, hogy találatot érjen el.

Ami a naptárba kerül

A webáruházas határozatsor április óta épül. A 18 eljárásból eddig négy bírságoló határozat nyilvános — a többi kimenetele még nem az. Tizennégy döntés van hátra.

A számsor eddig 200 ezer, 500 ezer, 10 millió, 15 millió. Az irány leolvasható.