03/09/2026
2026 augusztusának legfontosabb GDPR-bírságai Európában – algoritmusok, kibertámadások és adatbiztonsági hiányosságok a hatóságok fókuszában
➡️2026 augusztusa adatvédelmi szempontból sem telt eseménytelenül Európában. Az uniós adatvédelmi hatóságok által nyilvánosságra hozott ügyekből egyértelműen kirajzolódik, hogy a GDPR-hatósági ellenőrzések fókusza mára messze túlmutat a klasszikus adatkezelési tájékoztatók vagy hozzájárulások vizsgálatán. Az automatizált döntéshozatal, a kibertámadásokkal szembeni ellenálló képesség, az adatfeldolgozók tényleges ellenőrzése, a hozzáférési jogosultságok megfelelő kialakítása, az érintetti jogok kezelése és az incidensbejelentési kötelezettség egyaránt komoly hatósági kockázatot jelent. A hónap kiemelkedő ügye kétségtelenül az Uber közel 825 millió eurós holland bírsága, de a kisebb összegű ügyek legalább ennyire érdekesek lehetnek a vállalati compliance szempontjából. Fontos ugyanakkor egy módszertani pontosítás is: az európai adatvédelmi hatóságok publikációs gyakorlata nem egységes. Egyes döntések meghozatala és nyilvánosságra hozatala között akár több hónap is eltelhet. Az alábbi összefoglaló ezért azokat az ügyeket mutatja be, amelyek 2026 augusztusában kerültek a nyilvánosság vagy az európai enforcement-monitoring fókuszába, illetve amelyekhez az augusztusi időszak érdemben kapcsolódik.
1. Uber – Hollandia: 824,99 millió euró
A hónap messze legnagyobb adatvédelmi bírságát a holland adatvédelmi hatóság szabta ki az Uberrel szemben. Az ügy középpontjában az automatizált döntéshozatal állt. A vizsgálat szerint az Uber rendszere egyes esetekben olyan automatizált döntéseket hozhatott, amelyek következtében a sofőrök fiókját ideiglenesen vagy véglegesen deaktiválták. Ez azért különösen jelentős, mert egy ilyen döntés az érintett megélhetését is közvetlenül befolyásolhatja. A GDPR 22. cikke alapján az érintettet főszabály szerint megilleti az a jog, hogy ne terjedjen ki rá olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya, amely rá nézve joghatással jár vagy őt hasonlóképpen jelentős mértékben érinti. Az ügy legfontosabb tanulsága, hogy az emberi felülvizsgálat nem lehet pusztán formális lehetőség. Valós, érdemi és hozzáértő emberi beavatkozásra van szükség. Ez az ügy az AI Act alkalmazása mellett is rendkívül fontos jelzés: az algoritmikus döntési rendszerek megfelelősége nem kizárólag „MI-jogi” kérdés. A GDPR már most is komoly követelményeket támaszt velük szemben.
2. Vodafone España – Spanyolország: 750 000 euró
A Vodafone España ügyében egy külső szolgáltatót ért kibertámadás vezetett személyes adatok kompromittálódásához. A hatóság azonban nem állt meg annál a kérdésnél, hogy technikailag hogyan történt az incidens. Vizsgálta az adatkezelő és az adatfeldolgozó közötti jogviszonyt, az adatfeldolgozói szerződés meglétét, időzítését, valamint azt is, hogy a Vodafone megfelelően biztosította-e az adatkezelés biztonságát. Különösen problémás volt, hogy az adatfeldolgozási megállapodást csak később kötötték meg, majd annak visszamenőleges hatályt próbáltak biztosítani. A tanulság egyszerű: a GDPR 28. cikke szerinti adatfeldolgozói szerződésnek már az adatkezelés megkezdése előtt léteznie kell. Egy utólag elkészített DPA nem teszi visszamenőleg jogszerűvé a korábbi adatfeldolgozást.
3. Health Service Executive – Írország: 645 000 euró
Az ír egészségügyi szolgálat, a HSE ügyében az egészségügyi dokumentumok megfelelő védelme és megőrzése került a hatóság fókuszába. A vizsgálat több GDPR-követelményt érintett: az adatok tárolásának időtartamát, a személyes adatok bizalmasságát és integritását, a megfelelő technikai és szervezési intézkedéseket, az adatvédelmi incidens hatósági bejelentését, valamint az érintettek tájékoztatását. Az ügy azért is érdekes, mert jól mutatja: az incidenskezelés nem ér véget azzal, hogy a szervezet technikailag megállítja a problémát. A GDPR alapján külön kell vizsgálni: mikor szerzett tudomást a szervezet az incidensről, mikor indult el annak értékelése, mikor történt meg a hatósági bejelentés, és mikor tájékoztatták az érintetteket.
4. XFERA MÓVILES – Spanyolország: 200 000 euró
A következő spanyol ügy egy klasszikus SIM-swap csaláshoz kapcsolódott. Egy harmadik személy hamis személyazonosító dokumentum segítségével SIM-kártya másolatot szerzett. Az eset azért különösen érdekes, mert az AEPD nem pusztán adatbiztonsági problémaként értékelte a történteket. A hatóság azt is vizsgálta, rendelkezett-e a szolgáltató megfelelő jogalappal ahhoz, hogy az érintett személyes adatait egy másik személy részére történő ügyintézés során felhasználja. Ez arra hívja fel a figyelmet, hogy az azonosítási folyamat hibája egyben jogalapi problémává is válhat. A megfelelő ügyfélazonosítás tehát egyszerre adatbiztonsági és adatvédelmi kontroll.
5. GARSA – Spanyolország: 125 000 euró
A GARSA ellen ransomware-támadás történt, amely során jelentős mennyiségű dokumentumállomány vált érintetté, és több mint 140 000 természetes személy adata kerülhetett veszélybe. A hatósági vizsgálat középpontjában többek között: az adatbiztonsági intézkedések, az incidens felismerése, annak megfelelő értékelése, valamint a GDPR 33. cikke szerinti bejelentési kötelezettség állt.
Az ügynek van egy különösen fontos tanulsága is. Az ISO/IEC 27001 tanúsítás önmagában nem jelent automatikus GDPR-megfelelést. Egy szervezet rendelkezhet komoly információbiztonsági tanúsítványokkal, a hatóság azonban ettől még külön megvizsgálhatja, hogy az adott konkrét adatkezelés vonatkozásában megfelelő technikai és szervezési intézkedések működtek-e. A „van ISO-nk” tehát nem automatikus mentesülési ok.
6. Acquirente Unico – Olaszország: 90 000 euró
Az olasz ügy középpontjában az érintetti jogok megfelelő kezelése állt.
A probléma lényegében abból fakadt, hogy az érintettek helyesbítési kérelmeinek kezelése nem felelt meg a GDPR elvárásainak. Ez a bírság arra emlékeztet, hogy az érintetti jogok biztosítása nem pusztán azt jelenti, hogy egy adatkezelő létrehoz egy privacy@ vagy dpo@ e-mail-címet. A szervezetnek ténylegesen rendelkeznie kell: felelősségi renddel, belső eljárással, határidőfigyeléssel, megfelelő döntési kompetenciával, és dokumentálható válaszadási folyamattal. Az érintetti kérelmek egyszerű továbbítása egy másik szervezeti egységhez vagy partnerhez nem feltétlenül elegendő.
7. Orange España / SIMYO – Spanyolország: 56 000 euró
Újabb telekommunikációs ügy, ismét az ügyfélazonosítás problémájával. A hatósági eljárás alapját jogosulatlan telefonszám-hordozás képezte. A szolgáltatónál létezett ugyan azonosítási és ellenőrzési mechanizmus, azonban azt az adott ügyben nem alkalmazták megfelelően.
Ez fontos compliance-tanulság. Nem elég, ha a szervezetnek van szabályzata vagy technikai kontrollja – bizonyítani is kell, hogy azt a gyakorlatban következetesen alkalmazza. A „paper compliance” és a tényleges működés közötti eltérés egyre gyakrabban jelenik meg a hatósági döntésekben.
8. AMATO BESTSELLER – Románia: több mint 55 000 euró
A román adatvédelmi hatóság munkavállalók, illetve korábbi munkavállalók személyes és egészségügyi adatainak jogosulatlan hozzáférését vizsgálta. A hatóság különösen a következő hiányosságokat értékelte: nem megfelelő hozzáférési jogosultságok, elégtelen belső szabályozás, hiányos munkavállalói utasítások, valamint az adatkezelési tájékoztatás problémái.
Az ügy a HR-adatkezelések szempontjából is fontos. A munkavállalói adatokhoz való hozzáférést nem elegendő egy általános „HR jogosultsággal” megoldani. A jogosultságokat az adatminimalizálás és a need-to-know elv alapján célszerű kialakítani. Különösen igaz ez az egészségügyi adatokra, amelyek a GDPR 9. cikke szerinti különleges adatkategóriába tartoznak.
9. One Network – Olaszország: 28 000 euró
A One Network ügyében több mobil-előfizetést aktiváltak jogosulatlanul más személyek nevében. Külön érdekessége az ügynek az adatkezelő–adatfeldolgozó szerepek értékelése. A hatóság arra jutott, hogy a kereskedő olyan mértékben tért el az adatkezelő utasításaitól, hogy saját tevékenysége tekintetében önálló adatkezelői felelőssége is felmerült.
Ez fontos üzenet minden olyan szervezet számára, amely: értékesítési partnerekkel, franchise-rendszerrel, közvetítőkkel, alvállalkozókkal, vagy külső ügyfélszolgálatokkal dolgozik. Az adatkezelői és adatfeldolgozói minőséget ugyanis nem a szerződés elnevezése dönti el, hanem a tényleges adatkezelési szerep.
10. Università di Pisa – Olaszország: 15 000 euró
A Pisai Egyetem informatikai rendszerében egy hibás API miatt hallgatói személyes adatok válhattak hozzáférhetővé más hallgatók számára. Az incidens többek között neveket, e-mail-címeket és vizsgajelentkezésekkel kapcsolatos adatokat érintett. Az ügyben nemcsak a GDPR 32. cikke szerinti adatbiztonság, hanem a beépített és alapértelmezett adatvédelem, vagyis a GDPR 25. cikke is hangsúlyosan megjelent. Ez különösen fontos üzenet a fejlesztők és az IT-beszerzések számára. A privacy by design ugyanis nem azt jelenti, hogy a fejlesztés végén „ráengedjük a DPO-t” a rendszerre. Az adatvédelmi követelményeket: már a rendszertervezés, az architektúra, az API-k, a jogosultságok és a tesztelés szintjén figyelembe kell venni. Mi rajzolódik ki az augusztusi bírságokból?
➡️A tíz ügy alapján legalább öt markáns enforcement-trend azonosítható.
1. Az algoritmikus döntéshozatal valódi GDPR-kockázattá vált
Az Uber-ügy minden olyan szervezet számára figyelmeztetés, amely automatizált értékelési vagy döntési rendszereket alkalmaz. Ide tartozhat például: munkavállalók értékelése, csalásfelderítés, hitelképességi scoring, biztosítási kockázatértékelés, ügyfélminősítés, platformmunkások teljesítményértékelése, vagy akár automatizált HR-döntéstámogatás.Az AI Act megfelelés mellett ezért továbbra is külön GDPR-vizsgálatra van szükség.
2. A kiberbiztonság és az adatvédelem már nem kezelhető külön
A Vodafone, a HSE, a GARSA, az AMATO BESTSELLER és a Pisai Egyetem ügye is ezt mutatja. A GDPR 32. cikke alapján a hatóságok egy adatvédelmi incidens után egyre inkább azt vizsgálják: mi történt az incidens előtt? Volt-e megfelelő: kockázatelemzés, hozzáférés-kezelés, naplózás, rendszerfrissítés, sérülékenység-kezelés, többfaktoros hitelesítés, backup, incidenskezelési folyamat, beszállítói kontroll? A GDPR, a NIS2 és a kiberbiztonsági követelmények gyakorlati összekapcsolódása egyre erősebb.
3. Az adatfeldolgozói szerződés önmagában már kevés
A Vodafone és más ügyek is azt mutatják, hogy a hatóság már nem pusztán azt kérdezi: „Van GDPR 28. cikk szerinti szerződés?” Hanem azt is: ellenőrizte-e az adatkezelő az adatfeldolgozót, milyen biztonsági követelményeket határozott meg, hogyan kezeli az al-adatfeldolgozókat, történik-e audit, vannak-e incidensértesítési határidők, és a szerződéses követelmények ténylegesen működnek-e? A vendor management ezért egyre inkább adatvédelmi compliance-feladat is.
4. A technikai kontrollnak működnie is kell
A SIM-swap és számhordozási ügyek egyik fő üzenete, hogy hiába dokumentált egy kontroll, ha a gyakorlatban megkerülhető vagy nem alkalmazzák. A hatóságok egyre gyakrabban vizsgálják a szabályozás és a tényleges működés közötti eltérést.
5. A privacy by design egyre kézzelfoghatóbb követelmény
A Pisai Egyetem API-incidense jól példázza, hogy egy informatikai fejlesztési hiba adatvédelmi jogsértéssé válhat. A GDPR 25. cikke ezért az egyik legfontosabb kapocs az adatvédelem és a fejlesztési, illetve IT-biztonsági folyamatok között.
📌 És mi történt Magyarországon?
Érdemes külön kiemelni a magyar helyzetet. A NAIH nyilvánosan hozzáférhető határozatai között 2026 augusztusára nem találtunk új, közzétett GDPR-bírságot. Ez természetesen nem jelenti azt, hogy a Hatóságnál nem folytak vagy nem folynak vizsgálatok, illetve, hogy ne születtek volna még nem publikált döntések. Mindössze azt állapíthatjuk meg, hogy augusztusban új, nyilvánosan közzétett magyar GDPR-bírság nem jelent meg a NAIH gyakorlatában. A magyar szervezetek számára ugyanakkor az uniós hatósági gyakorlat ettől még rendkívül fontos. A GDPR közvetlenül alkalmazandó uniós rendelet, az EDPB pedig éppen azért dolgozik a hatósági gyakorlat harmonizálásán, hogy az alapvető adatvédelmi követelmények értelmezése az EU egész területén közeledjen egymáshoz.
📌 És mit csinált augusztusban a NOYB?
Áttekintettük a NOYB – European Center for Digital Rights – augusztusi publikációit is. A szervezethez kapcsolódóan 2026 augusztusában nem jelent meg olyan új hatósági bírság, amelyet egy NOYB-eljárás eredményeként ekkor szabtak volna ki. Ettől függetlenül a NOYB augusztusban is aktív volt. Különösen érdekes a SCHUFA úgynevezett „shadow database” ügye, amely ismét a nagy volumenű adatbázisok, a scoring, a profilalkotás és a transzparencia kérdését helyezi előtérbe. Az ügy jelentősége túlmutat egyetlen vállalkozáson: azt mutatja, hogy a civil adatvédelmi jogérvényesítés továbbra is komoly szerepet játszik az európai enforcement alakításában.
📌 Mi a legfontosabb üzenet a szervezetek számára?
2026 augusztusának bírságai alapján egyre kevésbé érdemes az adatvédelmet önálló, dokumentumorientált compliance-területként kezelni. Az adatvédelem ma már szorosan összekapcsolódik: a kiberbiztonsággal, az információbiztonsággal, az AI governance-szel, az IT-fejlesztéssel, a beszállítói kockázatkezeléssel és a vállalati governance egészével.
A hatóságot pedig egy incidens után nem kizárólag az fogja érdekelni, hogy elkészült-e egy adatvédelmi tájékoztató vagy egy adatfeldolgozói szerződés. A kérdés sokkal inkább ez lesz: Ténylegesen működött-e az adatvédelmi és biztonsági rendszer akkor, amikor szükség lett volna rá? Talán ez lehet 2026 augusztusának legfontosabb adatvédelmi tanulsága.
