GDPR és Infotv. tárhelyen: adatfeldolgozói szerződés (DPA, 28. cikk) és a NAIH elvárásai

Állapot: 2026. 09. 30.

Rövid válasz

1. Ha személyes adatokat tárolsz egy tárhelyen, te vagy az adatkezelő, a tárhelyszolgáltató pedig általában adatfeldolgozó, ezért a GDPR 28. cikke szerint írásbeli adatfeldolgozói szerződésre (DPA) van szükség.
2. A GDPR a legtöbb magáncég és webshop adatkezelésére vonatkozik; az Infotv. (2011. évi CXII. törvény) a NAIH szerint a bűnüldözési, honvédelmi és nemzetbiztonsági célú adatkezelések incidenseinél kap különös szerepet.
3. Az adatvédelmi incidenst az adatkezelő indokolatlan késedelem nélkül, lehetőség szerint 72 órán belül jelenti a felügyeleti hatóságnak; az adatfeldolgozó az incidensről az adatkezelőt értesíti.
4. Az EU-ban (nálunk Frankfurtban) tárolt adat nem jelent automatikusan harmadik országba történő továbbítást, de a szerződésben rögzíteni kell, hol és kik dolgozzák fel az adatot.
5. A tárhelyszolgáltató nem igazolja helyetted a megfelelést: a felelősség az adatkezelőé marad.

Adatkezelő és adatfeldolgozó: ki kicsoda a tárhelyen?

Az adatkezelő dönti el, miért és hogyan kezelik a személyes adatokat. Az adatfeldolgozó az adatkezelő megbízásából végzi a feldolgozást. A NAIH külön iránymutatást tett közzé az adatkezelő és az adatfeldolgozó GDPR szerinti fogalmáról, amely az Európai Adatvédelmi Testület 07/2020. számú iránymutatásán alapul.

A tárhelyen ez a gyakorlatban egyszerű: a weboldal vagy az alkalmazás tulajdonosa az adatkezelő, a tárhelyszolgáltató pedig a megbízásából tárolja az adatokat. A GDPR 28. cikke szerint a feldolgozást szerződés szabályozza, amely rögzíti a tárgyat, az időtartamot, a feldolgozás jellegét és célját, az adatok típusát és az érintettek kategóriáit, valamint az adatkezelő jogait és kötelezettségeit.

Infotv. és GDPR: melyik mire vonatkozik?

Az Infotv. (2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról) 2. § (1) bekezdése szerint a törvény hatálya a Magyarország területén folytatott, természetes személy adataira, valamint közérdekű adatra vagy közérdekből nyilvános adatra vonatkozó adatkezelésre és adatfeldolgozásra terjed ki. A NAIH az adatvédelmi incidensekről szóló tájékoztatójában az Infotv. szerinti incidensszabályokat a bűnüldözési, honvédelmi és nemzetbiztonsági célú adatkezelésekhez kapcsolja.

Emiatt a legtöbb vállalati tárhelyhasználatnál a GDPR a fő keret. Ha a te adatkezelésed az Infotv. különös szabályai alá eshet, az konkrét jogi értékelést igényel, amelyet ez az oldal nem helyettesít.

Incidens és adattovábbítás: amit a NAIH közzétett

A NAIH tájékoztatója szerint az adatkezelő az incidenst indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután jelenti a hatóságnak, hogy az a tudomására jutott. A GDPR 33. cikke hasonló felépítést ad: az adatkezelő 72 órán belül értesíti a felügyeleti hatóságot, az adatfeldolgozó pedig indokolatlan késedelem nélkül tájékoztatja az adatkezelőt. A DPA-ban ezért érdemes rögzíteni, kihez és milyen csatornán kell az értesítést küldeni.

Az EU/EEA-n kívüli továbbításnál a NAIH a megfelelőségi határozatot (45. cikk), a megfelelő garanciákat (46. cikk) és a kötelező erejű vállalati szabályokat (47. cikk) ismerteti. A NAIH oldala nem tárgyalja külön, hogy az EU/EEA-beli szerveren való tárolás továbbításnak minősül-e, ezért ezt az oldalt nem egészítjük ki saját jogi állásponttal.

Példák

Gyakori hibák

• Nincs írásbeli DPA, mert „a tárhely úgyis csak szerver”. A GDPR 28. cikke szerint a feldolgozás szerződésen alapul.
• Az adatkezelési tájékoztató nem említi, hogy az adatokat adatfeldolgozó kezeli, és hol.
• Az incidens-eljárás hiányzik: senki nem tudja, ki értesít kit, és mikor indul a 72 órás határidő.
• Az Infotv. és a GDPR összekeverése: nem minden adatkezelésre az Infotv. irányadó, és a hatókört a jogszabály szövege dönti el, nem a cég mérete.
• Azt hisszük, hogy a hazai szerver „megoldja” a megfelelést. A helyszín egy szempont, a szerződés, a biztonsági intézkedések és a dokumentáció külön feladat.

Hogyan segít a 4hosting?

• Adatfeldolgozói szerződést (DPA, GDPR 28. cikk) kínálunk, és a határokon átnyúló továbbításokhoz általános szerződési kikötéseket (SCC).
• A szervereink az EU-ban vannak: Frankfurtban. Magyarországon nincs adatközpontunk.
• A Docker/Kubernetes, PostgreSQL, WAF/DDoS, hardening és mentési feladatokban a csomagokhoz tartozó havi DevOps- és kiberbiztonsági órák segítenek. Az órák nem vihetők át a következő hónapra, a kereten felüli munkát külön számlázzuk.
• Díjmentes migrációt vállalunk egy meglévő tárhelyről.
• Az ISO 27001-hez igazodunk, de nem rendelkezünk ISO 27001, SOC 2 vagy NIS2 tanúsítvánnyal, és a jogi megfelelést nem igazoljuk helyetted.

Az ügyfélszolgálat angolul és románul működik.

Gyakori kérdések

Lásd még

• Adatvédelmi szabályzat
• NIS2 és a kiberbiztonsági törvény a tárhelyszolgáltatásban
• cPanel tárhely EU-s adatközpontokban
• Kapcsolat DPA-kéréshez