Szinte nincs olyan weboldal, amely ne kezelne személyes adatot. Egy kapcsolatfelvételi űrlap, egy hírlevél-feliratkozás, egy webáruházi rendelés, de már a szerver naplófájljaiban rögzített IP-címek is személyes adatnak számítanak. Ezért a GDPR, az Európai Unió általános adatvédelmi rendelete gyakorlatilag minden weboldal-tulajdonosra vonatkozik, a kisvállalkozásokra és a magánszemélyek által üzemeltetett oldalakra is.

Ebben az útmutatóban azt nézzük meg, hogyan függ össze az adatvédelem és a tárhely: ki miért felel a weboldal tulajdonosa és a tárhelyszolgáltató közül, milyen technikai védelmet kell nyújtania a tárhelynek, mi kerüljön az adatvédelmi tájékoztatóba és a sütikezelésbe, mi a teendő egy adatvédelmi incidens után, és mi változott 2026-ra. A végén ellenőrzőlistát is találsz.

Ez a cikk általános tájékoztatás, nem jogi tanácsadás. Egy konkrét adatkezelés megítéléséhez fordulj adatvédelmi szakemberhez.

Milyen személyes adatok vannak a tárhelyeden?

Személyes adat minden olyan információ, amely egy élő emberhez köthető. Egy átlagos weboldal tárhelyén ezek fordulnak elő:

• Szervernaplók: a webszerver minden kérésnél rögzíti a látogató IP-címét, a kért oldalt, az időpontot és a böngésző adatait. Az IP-cím az Európai Unió Bíróságának gyakorlata szerint személyes adat lehet.
• Űrlapok: kapcsolatfelvétel, árajánlatkérés, regisztráció: név, e-mail cím, telefonszám, üzenet.
• Adatbázis: a WordPress felhasználói, a hozzászólók adatai, egy webáruház vásárlói, rendelései, szállítási címei.
• E-mail: a postafiókokban tárolt levelek és a címjegyzék.
• Sütik és mérőkódok: az analitikai és marketing sütik azonosítókat tárolnak, és gyakran harmadik félhez (például a Google-höz vagy a Metához) továbbítanak adatot.
• Mentések: a biztonsági mentések a fentiek mindegyikének másolatát tartalmazzák, és ugyanúgy védeni kell őket.

Adatkezelő és adatfeldolgozó: ki miért felel?

A GDPR két szerepet különböztet meg, és a felelősség ezek mentén oszlik meg.

Te, a weboldal tulajdonosa vagy az adatkezelő. Te döntöd el, milyen adatot gyűjtesz, milyen célból, milyen jogalapon és meddig. Neked kell tájékoztatnod a látogatókat, teljesítened a kéréseiket (hozzáférés, helyesbítés, törlés), és te felelsz azért, hogy a weboldalad szoftvere (a WordPress, a bővítmények, a sablon) naprakész és biztonságos legyen.

A tárhelyszolgáltató az adatfeldolgozó. Ő az adatkezelő megbízásából, annak utasításai szerint tárolja és kezeli az adatokat: üzemelteti a szervert, védi a hálózatot és az operációs rendszert, mentést készít. Az adatokat saját céljaira nem használhatja.

A kettejük viszonyát a GDPR 28. cikke szerint adatfeldolgozói szerződésben kell rögzíteni. Ez írja le, milyen adatokat, milyen célból kezel a szolgáltató, milyen biztonsági intézkedéseket alkalmaz, kiket vonhat be (alvállalkozók), és hogyan segít az adatkezelőnek egy incidens vagy egy érintetti kérés esetén. Az aWh-nál az Általános Szerződési Feltételek szerint adatfeldolgozói szerződést kötünk, ha személyes adatok kezelésével bízol meg minket; ha szükséged van rá, írj nekünk.

A felelősség tehát megoszlik, de nem mosódik össze. Ha a szerver operációs rendszerén keresztül törnek be, az a szolgáltató hibája. Ha egy elavult WordPress bővítményen vagy egy kiszivárgott jelszón keresztül, az az adatkezelőé. VPS esetén a határ máshol húzódik: ott az operációs rendszer frissítése és a szerver védelme is a te feladatod.

Mit várj el a tárhelytől?

A GDPR 32. cikke „a kockázattal arányos” technikai és szervezési intézkedéseket ír elő, konkrét technológiát nem nevez meg. A gyakorlatban ezeket érdemes elvárni egy tárhelytől.

Az adatok helye

Ha a szerver az Európai Unióban (pontosabban az Európai Gazdasági Térségben) van, az adatok tárolásához nem kell külön adattovábbítási jogalap. EU-n kívüli szolgáltatónál, például egy amerikai felhőszolgáltatónál, az adattovábbításhoz külön garancia kell: az amerikai cégeknél ez jellemzően a 2023-ban elfogadott EU–USA adatvédelmi keretrendszer (Data Privacy Framework) szerinti tanúsítás, vagy az Európai Bizottság általános szerződési feltételei. A keretrendszer jogszerűségét az uniós Törvényszék 2025-ben megerősítette, de jogi vitája nem zárult le, ezért az EU-n belüli tárolás a kiszámíthatóbb megoldás. Kérdezd meg a szolgáltatót, hol vannak a szerverei és a mentései.

Titkosítás

• HTTPS a teljes oldalon: az űrlapokon megadott adatok, a bejelentkezési adatok és a sütik csak titkosított kapcsolaton menjenek át. Ehhez az ingyenes Let’s Encrypt tanúsítvány is elegendő, az aWh minden tárhelyén automatikusan beállítható; fizetős SSL tanúsítvány akkor kell, ha a céged adatait is hitelesíttetni szeretnéd.
• Titkosított levelezés: a levelezőprogram és a szerver között IMAPS, POP3S és SMTPS (TLS), a webmail HTTPS-en.
• Titkosított fájlátvitel: FTP helyett SFTP vagy FTPS, mert a sima FTP a jelszót is titkosítatlanul küldi.

Hozzáférés-védelem

A legtöbb feltörés ellopott vagy kitalált jelszóval kezdődik. Kapcsold be a kétlépcsős azonosítást (2FA) a tárhely kezelőfelületén (cPanelben így teheted meg), az ügyfélfiókodban és a WordPress adminisztrációs felületén is. Mindenkinek, aki a weboldalon dolgozik, legyen saját fiókja, és csak annyi jogosultsága, amennyi a munkájához kell; a kilépő munkatársak vagy külsős fejlesztők hozzáférését töröld.

Szerveroldali védelem

Megosztott tárhelyen a szolgáltató felel a szerver védelméért: a rendszerfrissítésekért, a tűzfalért, a DDoS szűrésért és a kártevőkeresésért. Az aWh cPanel szerverein az ImunifyAV+ keres kártevőket, a CloudLinux CageFS pedig elszigeteli egymástól a fiókokat, így egy feltört szomszédos fiók nem fér hozzá a te fájljaidhoz.

Mentés és helyreállíthatóság

A GDPR 32. cikke kifejezetten elvárja, hogy egy incidens után az adatok elérhetősége kellő időben helyreállítható legyen. Ehhez rendszeres, a szervertől elkülönítve tárolt mentés kell. Az aWh fizetős tárhelycsomagjairól automatikus mentés készül (a cPanel és a WordPress tárhelyekről naponta), amelyet földrajzilag elkülönített helyen tárolunk. Gondolj arra is, hogy a mentésekben a törölt adatok egy ideig megmaradnak; ezt az adatvédelmi tájékoztatóban érdemes jelezni.

Naplók megőrzése

A szervernaplók a hibakereséshez és a támadások kivizsgálásához kellenek, de nem kell őket örökké megőrizni. Kérdezd meg a szolgáltatót, meddig tárolja a webszerver és a levelezőszerver naplóit, és ezt is írd bele a tájékoztatóba.

A te feladataid a weboldalon

Adatvédelmi tájékoztató

Minden weboldalnak kell egy könnyen elérhető, érthető adatvédelmi tájékoztató. Ebben szerepeljen:

• az adatkezelő (te vagy a céged) neve és elérhetősége,
• hogy milyen adatot, milyen célból és milyen jogalapon (hozzájárulás, szerződés teljesítése, jogi kötelezettség, jogos érdek) kezelsz,
• hogy meddig őrzöd meg az adatokat,
• az adatfeldolgozók listája: a tárhelyszolgáltató, a hírlevélküldő, a számlázóprogram, a futárszolgálat, az analitikai szolgáltató, a fizetési szolgáltató,
• ha van, az EU-n kívüli adattovábbítás és annak garanciái,
• az érintettek jogai, és hogy hol nyújthatnak be panaszt (Magyarországon a Nemzeti Adatvédelmi és Információszabadság Hatóságnál, a NAIH-nál).

Ne másolj le egy sablont változtatás nélkül: a tájékoztatónak a valódi adatkezelést kell leírnia. Ha új eszközt vezetsz be (új hírlevélküldő, új analitika, chatbot), frissítsd, és évente egyszer akkor is nézd át, ha nem változott semmi.

Űrlapok és adattakarékosság

Csak annyi adatot kérj, amennyi a célhoz feltétlenül kell: egy kapcsolatfelvételhez elég a név és az e-mail cím, a telefonszám legyen opcionális. Ahol hozzájárulást kérsz (például hírlevélhez), a jelölőnégyzet ne legyen előre bepipálva, és a hozzájárulás ne legyen feltétele a szolgáltatásnak. Az űrlapokról érkező leveleket és adatbázis-bejegyzéseket ne tárold tovább, mint ameddig szükséges.

Sütik és mérőkódok

A magyar elektronikus hírközlési törvény (és mögötte az uniós ePrivacy irányelv) szerint a működéshez nem feltétlenül szükséges sütikhez, így az analitikai és marketing sütikhez, a látogató előzetes hozzájárulása kell. A gyakorlatban ez azt jelenti:

• A sütisáv elfogadás előtt ne töltsön be mérőkódot (Google Analytics, Meta Pixel és társaik).
• Az „Elutasítom” legyen ugyanolyan könnyen elérhető, mint az „Elfogadom”.
• A hozzájárulás bármikor visszavonható legyen, például egy láblécben elhelyezett linkkel.
• A Google Analytics és a Google Ads használatához a Google 2024 óta a Consent Mode v2 beállítását is elvárja az EGT-ben.

Kisebb, gyakran elfelejtett adattovábbítások is vannak: ha a weboldalad a Google szervereiről tölti be a betűtípusokat (Google Fonts), vagy beágyazott YouTube-videót, térképet használ, a látogató IP-címe már az oldal megnyitásakor a Google-hoz kerül. A betűtípusokat töltsd le és szolgáld ki a saját tárhelyedről, a videókat és térképeket pedig csak kattintásra töltsd be.

Az Európai Bizottság 2025 végén „Digital Omnibus” néven javaslatot tett a sütiszabályok egyszerűsítésére, többek között a böngészőben beállítható hozzájárulási jelzésekre. Ez egyelőre javaslat, nem hatályos szabály, ezért a fenti követelmények érvényesek.

Hírlevél

Reklámot tartalmazó levelet Magyarországon a gazdasági reklámtörvény szerint csak annak küldhetsz, aki ehhez előzetesen, egyértelműen hozzájárult. A kettős megerősítés (double opt-in), amikor a feliratkozó egy e-mailben kapott linkre kattintva erősíti meg a címét, nem minden esetben kötelező, de ezzel tudod a legegyszerűbben bizonyítani, hogy a hozzájárulás valóban a cím tulajdonosától származik. Minden levélben legyen egyszerű leiratkozási lehetőség. Hírlevelet ne a tárhely levelezőszerveréről küldj, hanem erre szolgáló hírlevélküldő szolgáltatással, amely kezeli a feliratkozásokat és a leiratkozásokat is.

Az érintettek kérései

A látogatóid kérhetik, hogy megmondd, milyen adatot tárolsz róluk, adj róla másolatot, javítsd vagy töröld. Ezekre egy hónapon belül kell válaszolnod (indokolt esetben ez további két hónappal meghosszabbítható). Érdemes előre tudni, hol vannak az adatok: a WordPress adatbázisában, a postafiókban, a hírlevélküldőben, a számlázóprogramban. A WordPress beépített eszközei (Eszközök › Személyes adatok exportálása, illetve törlése) a WordPress adatbázisban tárolt adatokhoz segítséget adnak.

Adatvédelmi incidens: mi a teendő?

Adatvédelmi incidens minden olyan biztonsági esemény, amelynek során személyes adat megsemmisül, elveszik, megváltozik, vagy illetéktelenek hozzáférnek: egy feltört weboldal, egy ellopott laptop, egy rossz címzettnek elküldött ügyféllista.

1. Állítsd meg a bajt: változtass jelszót mindenhol, zárd ki a támadót, szükség esetén kapcsold ki az oldalt.
2. Mérd fel a kárt: milyen adatok, hány ember, mióta voltak érintettek. A tárhelyszolgáltató a szervernaplókkal és a mentésekkel segíthet ebben; ha az aWh ügyfele vagy, nyiss hibajegyet.
3. Jelentsd be: ha az incidens kockázatot jelent az érintettekre, 72 órán belül be kell jelentened a NAIH-nak. Ha magas a kockázat (például jelszavak, bankkártyaadatok vagy egészségügyi adatok szivárogtak ki), az érintetteket is értesítened kell.
4. Állítsd helyre: egy tiszta mentésből állítsd vissza az oldalt, frissítsd a szoftvereket, és szüntesd meg a hibát, amelyen keresztül a támadó bejutott.
5. Dokumentáld: minden incidenst nyilván kell tartanod, azokat is, amelyeket nem kellett bejelenteni.

A szankció a GDPR szerint súlyos esetben 20 millió euróig vagy a cég előző évi világpiaci forgalmának 4%-áig terjedhet, kevésbé súlyos esetekben 10 millió euróig vagy 2%-ig. A NAIH a bírság összegénél figyelembe veszi a jogsértés súlyát, a cég méretét és azt is, mit tett az adatkezelő a kár enyhítéséért. Egy jól dokumentált, időben bejelentett incidens sokkal jobb helyzet, mint egy eltitkolt.

Mi változott 2026-ra?

• NIS2 és kiberbiztonsági törvény: az uniós NIS2 irányelvet átvevő magyar szabályok 2024 óta számos ágazatban (energia, közlekedés, egészségügy, digitális szolgáltatások, élelmiszer-feldolgozás, gyártás és mások) a közepes és nagyvállalatokra kiberbiztonsági kötelezettségeket rónak. Egy átlagos kisvállalkozás weboldalát ez közvetlenül nem érinti, de ha a céged a hatálya alá tartozik, a weboldal és a levelezés is része a kockázatkezelésnek.
• AI Act: az uniós mesterséges intelligencia rendelet szabályai fokozatosan lépnek hatályba. Ha a weboldaladon AI alapú chatbot fut, a felhasználókat tájékoztatni kell arról, hogy géppel beszélgetnek, és az adatvédelmi tájékoztatóban is le kell írni, milyen adatot kap a chatbot szolgáltatója.
• Data Act: 2025 szeptembere óta alkalmazandó, elsősorban az összekapcsolt eszközök adataira és a felhőszolgáltatások közötti váltásra vonatkozik; a szolgáltatóváltást és az adatok hordozhatóságát könnyíti meg.
• Rövidülő SSL érvényesség: 2026 márciusa óta a nyilvános SSL tanúsítványok legfeljebb 200 napig érvényesek, és ez a következő években tovább rövidül. Egy lejárt tanúsítvány nem adatvédelmi incidens, de a titkosítás kiesését jelenti, ezért a tanúsítványcserét érdemes automatizálni.

GDPR ellenőrzőlista weboldal-tulajdonosoknak

• Van adatfeldolgozói szerződésem a tárhelyszolgáltatóval és a többi adatfeldolgozóval (hírlevélküldő, számlázó, analitika).
• Tudom, hol (melyik országban) vannak a szerverek és a mentések; EU-n kívüli továbbításnál megvan a jogalap.
• A teljes weboldal HTTPS-en érhető el, a levelezés és a fájlfeltöltés titkosított kapcsolaton megy.
• A kezelőfelületen, az ügyfélfiókban és a WordPress adminban be van kapcsolva a kétlépcsős azonosítás.
• A WordPress, a bővítmények és a sablon naprakészek, a nem használt bővítményeket töröltem.
• Napi mentés készül, elkülönítve tárolva, és kipróbáltam a visszaállítást.
• Az adatvédelmi tájékoztató a valódi adatkezelést írja le, és az elmúlt egy évben átnéztem.
• Az űrlapok csak a szükséges adatokat kérik, a hozzájárulás nincs előre bepipálva.
• A mérőkódok csak a sütisávon adott hozzájárulás után töltődnek be, az elutasítás ugyanolyan egyszerű.
• A betűtípusokat a saját tárhelyemről szolgálom ki, a beágyazott tartalmak csak kattintásra töltődnek be.
• Tudom, hogyan teljesítek egy hozzáférési vagy törlési kérést egy hónapon belül.
• Van tervem arra, mit teszek egy incidens esetén, és vezetem az incidensek nyilvántartását.

Összefoglalás

A GDPR-megfelelés nem egy egyszeri dokumentum, hanem folyamatos munka, amelyen a weboldal tulajdonosa és a tárhelyszolgáltató közösen dolgozik. A szolgáltató felel a szerver biztonságáért, a mentésekért és az adatfeldolgozói szerződésben vállaltakért; te pedig az adatkezelés céljáért, a tájékoztatásért, a sütikezelésért és a weboldalad szoftverének biztonságáért.

Az aWh tárhelyein HTTPS, kétlépcsős azonosítás, elkülönítve tárolt mentés, DDoS szűrés és cPanel szervereinken kártevőkeresés segít a technikai oldalon. Ha kérdésed van az adatfeldolgozással kapcsolatban, írj nekünk.

Nézd meg tárhelycsomagjainkat

Gyakori kérdések

Kötelező a GDPR minden weboldalnak?

Igen, ha a weboldal személyes adatot kezel, és szinte mindegyik kezel: elég hozzá egy kapcsolatfelvételi űrlap, egy analitikai süti vagy a szervernaplókban rögzített IP-cím. Kivétel csak a tisztán magáncélú, családi tevékenység, de egy nyilvános weboldal ritkán ilyen.

Kell adatvédelmi tisztviselőt (DPO) kineveznem?

A legtöbb kisvállalkozásnak nem. Kötelező közhatalmi szerveknél, és akkor, ha a fő tevékenységed az emberek nagymértékű, rendszeres megfigyelése vagy különleges adatok (például egészségügyi adatok) nagy tömegű kezelése. Egy átlagos céges weboldalnál vagy webáruháznál elég, ha kijelölsz egy belső felelőst.

Használhatok amerikai szolgáltatót, például Google Analyticset?

Igen, de ehhez a látogató előzetes hozzájárulása kell, a tájékoztatóban meg kell nevezni a szolgáltatót és az EU-n kívüli adattovábbítást, és be kell állítani a szolgáltató adatvédelmi beállításait (például az IP-címek rövidítését, a Consent Mode-ot). Ha ezt el szeretnéd kerülni, léteznek EU-ban üzemeltetett vagy saját tárhelyen futtatható, sütimentes analitikai eszközök is.

Elég egy ingyenes SSL tanúsítvány?

A titkosításhoz igen: az ingyenes Let’s Encrypt tanúsítvány ugyanolyan erős titkosítást ad, mint egy fizetős. A fizetős tanúsítvány a cég adatainak hitelesítésében és a hozzá tartozó szolgáltatásokban különbözik, adatvédelmi szempontból nem kötelező.

Ki felel, ha feltörik a weboldalamat?

Attól függ, hol volt a hiba. Ha a támadó a szerver operációs rendszerén vagy a szolgáltató infrastruktúráján keresztül jutott be, a szolgáltató. Ha egy elavult bővítményen, egy gyenge jelszón vagy egy rosszul beállított űrlapon keresztül, akkor te, mint adatkezelő. A bejelentési kötelezettség mindkét esetben az adatkezelőt terheli, a szolgáltató ebben segít.

Kell külön WordPress bővítmény a GDPR-hoz?

A WordPress tartalmaz adatvédelmi eszközöket (adatvédelmi oldal sablon, személyes adatok exportálása és törlése), de a sütisávhoz és a hozzájárulások kezeléséhez általában bővítmény kell. Egy bővítmény önmagában nem teszi jogszerűvé az oldalt: a beállításoknak a valódi adatkezelést kell tükrözniük, és ellenőrizni kell, hogy a mérőkódok tényleg csak hozzájárulás után töltődnek be.

Meddig őrizhetem meg az adatokat?

Ameddig a cél eléréséhez szükséges, vagy ameddig jogszabály előírja. A számlákat és a számviteli bizonylatokat például 8 évig meg kell őrizni, egy kapcsolatfelvételi üzenetet viszont a kérdés megválaszolása után jellemzően nem indokolt sokáig tárolni. A megőrzési időket írd bele az adatvédelmi tájékoztatóba.

Mekkora bírságra számíthatok?

A GDPR legfeljebb 20 millió eurós vagy az éves világpiaci forgalom 4%-ának megfelelő bírságot tesz lehetővé, de a NAIH a jogsértés súlyához és a cég méretéhez igazítja az összeget. Kisvállalkozásoknál a bírság jellemzően ennél nagyságrendekkel kisebb, a hatóság gyakran először felszólít a jogsértés megszüntetésére. A legjobb védekezés a dokumentált, átgondolt adatkezelés.

• adatvédelem
• jogszabályok
• webtárhely
• weboldal biztonság
• útmutató