Miért szigorúbb a NAIH 2026-ban?
A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) 2025-ben jelentősen szigorította a magyar weboldalak GDPR-ellenőrzését. Az átlagos kiszabott bírság 2,1 millió forintról 4,8 millió forintra nőtt, és a NAIH most már aktívan, automatizált eszközökkel keres olyan magyar weboldalakat, ahol nem megfelelő a sütikezelés, hiányoznak az adatkezelési tájékoztatók, vagy hibás a beleegyezés-kérés.
Egy budapesti KKV számára egyetlen szabálytalanság is súlyos pénzügyi következményekkel járhat — pedig a megfelelés általában egynapi munka, ha a weboldal helyesen van megépítve. Ebben a cikkben a teljes NAIH-proof checklistet bemutatjuk.
1. Cookie consent — a #1 ellenőrzési pont
A NAIH leggyakoribb büntetése a hibás sütikezelés miatt jön. A szabályok 2026-ban:
- Opt-in alapelv: Egyetlen nem-szükséges sütit sem szabad betölteni a beleegyezés előtt. A Google Analytics, Facebook Pixel, Hotjar — mindegyik tilos beleegyezés nélkül.
- Egyenlő hangsúly: Az „Elfogadom" és „Elutasítom" gombok azonos méretűek és színűek legyenek. A „dark pattern" (apró Elutasítom, nagy Elfogadom) bírságolható.
- Granularitás: A felhasználónak külön kell tudnia engedélyezni a marketing, analitikai és funkcionális sütiket.
- Visszavonhatóság: A beleegyezés bármikor egy kattintással visszavonható kell, hogy legyen.
- Naplózás: A beleegyezést időbélyeggel és tartalommal el kell tárolni.
Megoldás: használjon Cookiebot, OneTrust, Iubenda, Termly vagy egy egyedi consent management platformot (CMP). A Cookiebot magyar nyelvű és NAIH-konform.
2. Adatkezelési tájékoztató — kötelező tartalmi elemek
Minden budapesti weboldalnak rendelkeznie kell egy adatkezelési tájékoztatóval, amely tartalmazza:
- Az adatkezelő pontos megnevezése (cégnév, székhely, adószám, NAIH-azonosító)
- Az adatvédelmi tisztviselő (DPO) elérhetősége, ha van
- Minden adatkezelési cél (kapcsolatfelvétel, hírlevél, analitika, hirdetés)
- A jogalap minden célhoz (hozzájárulás, jogos érdek, szerződés teljesítése)
- Az adatok megőrzési ideje célonként
- Az adatfeldolgozók listája (Google, Mailchimp, Meta, hosting szolgáltató, futárszolgálat)
- Az érintett jogai (hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság, tiltakozás)
- Panasz benyújtásának módja a NAIH-nál
- Nemzetközi adattovábbítás, ha van (USA-ba pl. Google, Meta)
3. Sütitájékoztató külön dokumentumként
Az adatkezelési tájékoztató mellett külön sütitájékoztató is kötelező, amely tételesen felsorolja a weboldalon használt összes sütit. Tartalmaznia kell:
- Süti neve, célja, kategóriája (szükséges/funkcionális/analitikai/marketing)
- Süti élettartama
- Süti tulajdonosa (saját vagy harmadik fél)
- Hogyan tilthatja le a felhasználó
A Cookiebot és a hasonló CMP-k automatikusan generálnak ilyen táblázatot, amelyet aztán beilleszthet a sütitájékoztatóba.
4. Kapcsolati form — megfelelő beleegyezés és minimum-elv
A kapcsolati formok GDPR-megfelelősége gyakran sérül. A szabályok:
- Minimum-elv: Csak azokat az adatokat kérje be, amelyek tényleg szükségesek. Egy egyszerű ajánlatkéréshez név, email és üzenet elég — születési dátumot, lakcímet ne kérjen.
- Külön checkbox az adatkezelési tájékoztató elfogadására (előre nem bepipálva).
- Külön checkbox a hírlevélre (ha kínál ilyet) — nem szabad együtt kezelni a kapcsolatfelvétellel.
- Egyértelmű cél — a form mellett szerepeljen, mi történik az adattal és mennyi ideig tárolják.
5. Hírlevél — double opt-in és könnyű leiratkozás
- Double opt-in: A feliratkozás után küldjön megerősítő emailt, és csak a kattintás után aktiválja a feliratkozást.
- Egy kattintásos leiratkozás: Minden hírlevélben kötelező lábléc-link, és a leiratkozás ne kérjen jelszót, beleegyezést, második megerősítést.
- Naplózás: A feliratkozás időpontját, IP-címét és a forrását rögzíteni kell — ezt a NAIH ellenőrzéskor kérheti.
6. Google Analytics 4 + Magyarország — a Consent Mode v2 szükséges
2024 márciusától a Google Consent Mode v2 kötelező az EU-ban a Google Ads és Google Analytics használatához. Ennek lényege:
- A weboldal a beleegyezési állapotot átküldi a Google-nek
- Beleegyezés nélkül a Google csak anonim, aggregált adatokat lát
- Beleegyezéssel teljes tracking
Ezt a Cookiebot, GTM és más eszközök beépítve támogatják, de a beállítást ellenőrizni kell — sok budapesti weboldalon nem helyesen működik, és a NAIH ezt is bírságolja.
7. Hosting és adattovábbítás Magyarországon
A hosting helye is GDPR-szempont. EU-n belüli (magyar, német, holland, ír) hosting esetén nincs külön adattovábbítási kérdés. Ha amerikai hostingot (pl. AWS US régió, Cloudflare egyes régiók) használ, akkor:
- A Data Privacy Framework (DPF) alapján kell engedélyt szereznie
- A tájékoztatóban fel kell tüntetnie a nemzetközi adattovábbítást
- Standard Contractual Clauses (SCC) megkötése javasolt
A budapesti KKV-knak ezért általában EU-s hosting ajánlott — Hetzner (Németország), OVH (Franciaország), magyar szolgáltatók (Tárhely.eu, MikroVPS, Rackforest).
8. Webshop és pénzügyi adatok
Webshop esetén külön szigorú szabályok:
- Bankkártyaadatot soha ne tároljon a webshopja — ezt a fizetési szolgáltató (Barion, OTP SimplePay, Stripe) tárolja PCI DSS megfelelő módon
- A számlázási és szállítási adatokat csak a megrendelés feldolgozásához és a számviteli kötelezettség (8 év) idejére őrizze meg
- Vendég vásárlás opció — ne kényszerítse fiók-regisztrációra a vásárlót
- Adatfeldolgozási szerződés a futárszolgálattal (GLS, DPD, Foxpost, Sameday)
9. Adatvédelmi incidens (data breach) protokoll
Ha bármilyen adatszivárgás történik (hack, véletlen kiszivárgás, lopott eszköz), 72 órán belül jelentenie kell a NAIH-nak. Készítsen előre egy incident response plant:
- Ki észleli? (IT-csapat, hosting szolgáltató, ügyfél)
- Ki jelenti? (Cégvezető, DPO, jogi tanácsadó)
- Milyen formában? (NAIH online űrlap)
- Mit tájékoztat az érintettekkel? (e-mail sablon, weboldali közlemény)
10. Évente egy belső audit
A NAIH várja, hogy a vállalkozása rendszeresen felülvizsgálja a megfelelőségét. Készítsen évente egy belső auditot:
- Sütik és consent rendszer ellenőrzése
- Adatkezelési és sütitájékoztató frissítése
- Adatfeldolgozók (Google, Mailchimp, hosting) listájának ellenőrzése
- Munkavállalók GDPR-tudatosság képzése
- Form-ok és checkbox-ok átnézése
NAIH-proof weboldal — gyorslista
- Cookiebot vagy hasonló CMP, opt-in alapelvvel
- Adatkezelési tájékoztató minden kötelező elemmel
- Külön sütitájékoztató
- Kapcsolati form: minimum-elv + külön checkbox
- Hírlevél: double opt-in + egy kattintásos leiratkozás
- Google Consent Mode v2 helyesen beállítva
- EU-s hosting (preferáltan magyar)
- Webshop: Barion/SimplePay, vendég vásárlás
- Incident response terv
- Évente belső audit
Hogyan segít egy budapesti webstúdió?
A Weblapkészítés Budapest csapata minden új weboldalt eleve GDPR-konformra épít: integrált CMP, NAIH-proof tájékoztatók, EU-s hosting, helyes form-kialakítás. A meglévő weboldalakon GDPR-auditot is végzünk — átnézzük a teljes infrastruktúrát, és pontos akciótervet adunk a hibák kijavítására. Ha nem szeretne 4,8 millió forintos NAIH-bírságot kockáztatni, vegye fel velünk a kapcsolatot.
Fontos: Ez a cikk általános információt tartalmaz, nem helyettesíti a jogi tanácsadást. Speciális esetekben kérje adatvédelmi szakember vagy ügyvéd segítségét.
