A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) négy olyan határozatot is közzétett, amelyek mind webáruházak adatkezelési tájékoztatási gyakorlatát vizsgálták, és mindegyik esetben megállapította a GDPR megsértését. A négy ügy alapján kirajzolódik, hogy a hatóság milyen szempontok alapján ítéli meg a webshopok adatvédelmi tájékoztatóit, és milyen szigorral szankcionálja a hiányosságokat. Az alábbiakban összefoglaljuk a tényállásokat, a feltárt jogsértéseket, a kiszabott szankciókat, majd gyakorlati tanulságokat fogalmazunk meg - elsősorban, de nem kizárólag - webáruházak számára annak érdekében, hogy a hasonló adatvédelmi jogsértések megelőzhetők legyenek. (A NAIH egyébként már korábban is kiemelt figyelmet fordított a webáruházak adatkezelési gyakorlatában, 2017-ben például külön tájékoztatót tett közzé a webáruházakra vonatkozó adatvédelmi követelményekről.)

1. Tényállás az egyes ügyekben

Mind a négy eljárás hivatalból indult hatósági ellenőrzésből nőtte ki magát: a NAIH előzetes értesítés nélküli szemlét tartott az adott webáruház honlapján, mentéseket készített, majd a feltárt gyanú alapján adatvédelmi hatósági eljárást indított az előzetes tájékoztatás vizsgálatára. Egyik eljárás sem terjedt ki a társaságok teljes adatkezelési gyakorlatának átfogó vizsgálatára, kizárólag az előzetes tájékoztatásra összpontosítottak.

Az első ügyben (NAIH-4462-5/2026) egy itallal kereskedő mikrovállalkozás weboldalán a hatóság azt tapasztalta, hogy a szemle időpontjában egyáltalán nem volt elérhető önálló adatkezelési tájékoztató, a hivatkozás nem vezetett tartalomhoz. A társaság egy külső szolgáltató technikai hibájára hivatkozott, de ezt nem tudta dokumentumokkal alátámasztani.

A második ügyben (NAIH-11443-3/2026) egy 2010 óta működő webáruház egy legaltech rendszer (sablon alapú jogi szövegeket kínáló platform) segítségével állította össze tájékoztatóját, amelyet a hatóság szerint nem igazított kellően a tényleges adatkezelési gyakorlathoz. A vizsgált időszakban három egymást követő tájékoztató-verzió volt hatályban, és az első verzió több mint hét évig változatlanul maradt.

A harmadik ügyben (NAIH-4021-1/2026) egy egészségügyi és élelmiszer-termékeket forgalmazó mikrovállalkozás egy másik, saját üzemeltetésű weboldaláról érdemi felülvizsgálat nélkül átvette az adatkezelési tájékoztatót, amely így több weboldal közös, mintaszerű dokumentumaként funkcionált. Ez a webáruház a legkisebb forgalmúak közé tartozott, évi 13–22 vásárlóval.

A negyedik, legterjedelmesebb ügyben (NAIH-450-7/2026) egy középvállalkozás minősülő társaság esetében a hatóság a weboldalhoz és egy hozzá kapcsolódó blogfelülethez tartozó, egymást követő és egymással párhuzamosan létező tájékoztatók, ÁSZF-ek és nyereményjáték-szabályzatok egész rendszerét vizsgálta. Ez a társaság korábban már állt a NAIH eljárása alatt más tárgyban.

Közös vonás mind a négy ügyben, hogy a jogsértés a webáruház-üzemeltetés körében megvalósuló, érintettektől közvetlenül gyűjtött adatok előzetes tájékoztatását érintette, tehát a GDPR 13. cikke állt a vizsgálatok középpontjában. 

2. Megállapított hiányosságok

A négy határozatban visszatérő, tipikus jogsértéstípusok rajzolódnak ki:

• A tájékoztatás elérhetőségének és formájának hiányosságai. Az első ügyben a tájékoztató technikai okokból egyáltalán nem volt elérhető, illetve korábbi archivált állapotok szerint egy időszakban "404 – nem található" hibaüzenetet adott. A hatóság emellett elvi éllel rögzítette, hogy az ÁSZF-be ágyazott, más tartalmi elemek közé rejtett adatkezelési információk önmagukban nem felelnek meg a GDPR 12–13. cikkének, mert az érintettől nem várható el, hogy azokat kutassa.
• Az adatkezelés céljának és jogalapjának pontatlan vagy hiányzó meghatározása. Mind a négy ügyben megjelent ez a probléma: az első ügyben a tájékoztató nem határozta meg egyértelműen az egyes adatkezelések célját és jogalapját; a második ügyben egyes adatkezeléseknél párhuzamosan több, egymással összeegyeztethetetlen jogalapot jelöltek meg; a harmadik ügyben a Facebook téves "adatfeldolgozóként" való megjelölése okozott jogalapi zavart; a negyedik ügyben pedig több tájékoztató is ellentmondásosan vagy egyáltalán nem határozta meg az adattovábbítások és az online fizetési szolgáltatások jogalapját.
• Az adatmegőrzési időtartam meghatározásának hiánya vagy pontatlansága. Ez a GDPR 13. cikk (2) bekezdés a) pontja szerinti követelmény mind a négy határozatban sérült: az első ügyben a tájékoztató egyáltalán nem tartalmazott megőrzési időre vonatkozó információt; a másodikban több ponton nem volt egyértelmű az időtartam; a harmadikban az automatizált döntéshozatalra vonatkozó fejezet üresen maradt, ami zavart okozott; a negyedikben pedig olyan homályos fordulatok szerepeltek, mint a "nem selejtezendő" megőrzési idő.
• Az átláthatóság és közérthetőség elvének sérelme. A NAIH mind a négy esetben megállapította a GDPR 12. cikk (1) bekezdésének megsértését, amely az érthető, tömör és könnyen hozzáférhető tájékoztatás követelményét írja elő. Ehhez kapcsolódóan tipikus hiba volt az elavult, az Infotv. korábbi szabályozási logikáját követő megfogalmazás, a megszűnt adatvédelmi nyilvántartásra való utalás, illetve a Hatóság régi elérhetőségeinek feltüntetése. Az első ügyben ráadásul a hatóság az adatkezelési tájékoztatás rendszerszintű elégtelenségét és az elszámoltathatóság elvének (GDPR 5. cikk (2) bekezdés) sérelmét is megállapította, mivel a társaság nem tudta dokumentálni tájékoztatóinak korábbi verzióit.

3. Alkalmazott intézkedések

A négy határozatban kiszabott bírságok jelentősen eltérő nagyságrendűek voltak:

Valamennyi esetben a hatóság a GDPR 58. cikk (2) bekezdés d) pontja alapján hivatalból kötelezte a társaságokat a tájékoztatási gyakorlat módosítására és annak igazolására, a bírság mellett tehát korrekciós, jövőre nézve ható intézkedést is elrendelt. Egyik ügyben sem tiltotta meg a hatóság az adatkezelés folytatását, kizárólag annak GDPR-nak megfelelő átalakítását írta elő.

4. A szankciók szigorúsága a NAIH korábbi gyakorlatának tükrében

A bírság összegének meghatározása során a NAIH követi az Európai Adatvédelmi Testület 4/2022. számú iránymutatásában foglalt számítási módszertant. 

Jól látható tendencia, hogy a bírság mértéke nem elsősorban a vállalkozás méretéhez, hanem a jogsértés súlyához, időtartamához és az érintettek számához igazodik. A legkisebb bírságot (200 000 Ft) kapó mikrovállalkozás esetében a hatóság kifejezetten alacsony súlyúnak minősítette a jogsértést, figyelemmel az érintettek csekély számára (évi 13–22 vásárló) és a jogsértés gondatlan jellegére. Ezzel szemben a legmagasabb, 15 millió forintos bírságot eredményező ügyben a hatóság kifejezetten magas súlyúnak ítélte a jogsértéseket, hangsúlyozva azok rendszerszintű jellegét, többéves fennállását, az érintettek rendkívül széles körét, valamint azt, hogy a társaságot korábban már elmarasztalták más ügyben. A 10 millió forintos bírságnál a hatóság szintén súlyosító körülményként értékelte a jogsértés rendszerszintű, tartós jellegét és az érintettek nagy számát. A 2 millió forintos bírságnál a hatóság közepes súlyúként értékelte az ügyet, súlyosító körülményként a jogsértés hosszú időtartamát és az érintettek nagy számát (több mint 3,7 millió látogató, közel 120 000 vásárló) vette figyelembe, ugyanakkor enyhítő körülményként a gondatlan elkövetést és az együttműködést is beszámította.

5. Tanulságok és ajánlások webáruházak számára

A négy határozatból levonható gyakorlati következtetések segíthetnek a webáruházak üzemeltetőinek elkerülni a hasonló jogsértéseket és szankciókat:

• Az adatkezelési tájékoztatót önálló, könnyen elérhető dokumentumként kell közzétenni, nem elegendő azt az ÁSZF-be ágyazni vagy más tartalmi elemek közé rejteni, mert a hatóság ezt önmagában is a GDPR 12–13. cikkének megsértéseként értékeli.
• A tájékoztató technikai elérhetőségét folyamatosan ellenőrizni kell, és dokumentálni szükséges annak verzióit, hatályát és közzétételi időpontjait, mert az elszámoltathatóság elve (GDPR 5. cikk (2) bekezdés) megköveteli, hogy a megfelelés utólag is igazolható legyen.
• Minden egyes adatkezelési tevékenységhez konkrét, egyértelmű célt és egyetlen, pontosan meghatározott jogalapot kell rendelni, kerülve a párhuzamos vagy egymásnak ellentmondó jogalap-megjelöléseket.
• Kész sablonok vagy legaltech megoldások alkalmazása esetén is szükséges a tényleges adatkezelési gyakorlathoz igazítani a szöveget, mert a hatóság nem fogadja el védekezésként, ha a tájékoztató tartalmát egy külső rendszer generálta.
• Az adatmegőrzési időtartamokat minden adatkezelési célnál egyértelműen és konkrétan meg kell határozni, kerülve az olyan homályos, korlátlan időtartamra utaló fordulatokat, mint a "visszavonásig" vagy a "nem selejtezendő".
• A tájékoztatót rendszeresen felül kell vizsgálni és naprakészen kell tartani, törölve belőle a megszűnt jogintézményekre (pl. adatvédelmi nyilvántartás) való elavult hivatkozásokat és a hatóság régi elérhetőségeit.
• Több weboldal vagy üzletág esetén külön, az adott felület tényleges adatkezelését tükröző tájékoztatót kell készíteni, mert egy másik oldalról átvett, mintaszerűen alkalmazott dokumentum nem felel meg a tájékoztatási kötelezettségnek.
• A hatósági eljárás alatt tanúsított együttműködés és az önkéntes korrekció enyhítő körülményként értékelhető, ahogy azt mind a négy határozat rögzítette azon társaságok esetében, amelyek az eljárás megindulása után módosították tájékoztatóikat.

Összességében a négy határozat (és a NAIH korábbi gyakorlata is) világosan jelzi, hogy a NAIH kiemelt figyelmet fordít a webáruházak előzetes tájékoztatási gyakorlatára, és a bírság mértékét elsősorban a jogsértés időbeli kiterjedéséhez, rendszerszintűségéhez és az érintettek számához igazítja. A webáruházak üzemeltetőinek érdemes rendszeresen felülvizsgálniuk adatkezelési tájékoztatóikat, és biztosítaniuk, hogy azok ténylegesen tükrözzék a folytatott adatkezelési gyakorlatot.