Általános adatvédelmi rendelet Hivatalos cím Az Európai Parlament és a Tanács (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről Rövidítés GDPR Jogforrás típusa Európai rendelet Elfogadás 2016. április 27. Kihirdetés 2016. május 4., Az Európai Unió Hivatalos Lapja L 119 Hatálybalépés 2016. május 24. Alkalmazás kezdete 2018. május 25. Hatályon kívül helyezett jogi aktus 95/46/EK adatvédelmi irányelv Tárgy személyes adatok védelme és szabad áramlása Területi relevancia EGT-releváns szöveg Az általános adatvédelmi rendelet – hivatalos címén Az Európai Parlament és a Tanács (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről –, közismert angol rövidítéssel GDPR (General Data Protection Regulation), az Európai Unió adatvédelmi jogának központi jogi aktusa. A rendelet a természetes személyeket védi a személyes adataik kezelése tekintetében, és egyúttal biztosítani kívánja, hogy a személyes adatok az Unión belül szabadon áramolhassanak. A GDPR nem általában az adatok, hanem az azonosított vagy azonosítható természetes személyekre vonatkozó információk kezelésének jogi feltételeit szabályozza; jogi személyek adatai önmagukban nem tartoznak a rendelet személyi védelmi körébe, bár egy vállalkozással kapcsolatos adat is lehet személyes adat, ha természetes személyhez kapcsolható.

A rendeletet 2016. április 27-én fogadták el, 2016. május 4-én hirdették ki az Európai Unió Hivatalos Lapjában, 2016. május 24-én lépett hatályba, és 2018. május 25-től kell alkalmazni. Mivel rendelet, nem irányelv, a tagállamokban közvetlenül alkalmazandó; ugyanakkor több kérdésben – például foglalkoztatási adatkezelés, kutatás, közérdekű archiválás, nemzeti azonosító számok, egyházi adatvédelmi szabályok vagy a véleménynyilvánítás szabadságával való összehangolás terén – tagállami jogalkotási mozgásteret is hagy.

A GDPR a Charta 7. és 8. cikkével, valamint az Európai Unió működéséről szóló szerződés 16. cikkével összefüggésben értelmezendő. Az uniós jogban a magánélet tiszteletben tartása és a személyes adatok védelme önálló, de egymással szorosan összefüggő alapjogi védelmet élvez. A rendelet egyszerre alapjogvédelmi és belső piaci jogi aktus: célja nem csupán az érintettek jogainak erősítése, hanem az is, hogy a tagállamok eltérő adatvédelmi szabályai ne akadályozzák az Unión belüli gazdasági és közigazgatási adatáramlást.

A rendelet egyik jelentős újítása a területi hatály kifejezett kiterjesztése. A GDPR nem csak az Unióban letelepedett adatkezelőkre és adatfeldolgozókra vonatkozhat. Bizonyos esetekben az Unión kívüli szervezetekre is alkalmazandó, ha tevékenységük az Unióban tartózkodó érintetteknek áruk vagy szolgáltatások kínálásához, illetve az érintettek Unión belüli magatartásának megfigyeléséhez kapcsolódik. Ez nem korlátlan „világhatályt” jelent, hanem a 3. cikkben meghatározott kapcsolóelvekhez kötött extraterritoriális alkalmazást.

Egyszerű példával: ha egy magyar webáruház vásárlói adatokat, szállítási címet és fizetési azonosítókat kezel, főszabály szerint a GDPR hatálya alá tartozik. Ugyanez igaz lehet egy Unión kívüli közösségi oldalra, alkalmazásra vagy hirdetési szolgáltatóra is, ha kifejezetten uniós – például magyar – felhasználókat céloz meg, vagy az Unión belüli felhasználói magatartást követi, például profilalkotás, célzott reklám vagy viselkedéselemzés céljából.

Története és előzményei

Nemzetközi és európai előzmények

A modern adatvédelmi jog kialakulása a számítógépes adatfeldolgozás elterjedéséhez, a közigazgatási és gazdasági adatbázisok növekedéséhez, valamint a magánszféra alapjogi védelmének második világháború utáni erősödéséhez kapcsolódik. Az Emberi jogok egyetemes nyilatkozata és az Emberi jogok európai egyezménye a magánélet, a családi élet, az otthon és a levelezés védelmét rögzítette, de még nem hozott létre részletes, önálló adatvédelmi rezsimet. Az európai adatvédelmi szabályozás külön útja részben abból fakadt, hogy a személyes információk állami és piaci felhasználása egyre inkább önálló jogi kontrollt igényelt.

Az 1970-es évektől több európai állam önálló adatvédelmi jogszabályokat fogadott el. Hessen tartomány 1970-es adatvédelmi törvényét gyakran az első modern adatvédelmi jogszabályként említik, amelyet más állami és szövetségi szabályozások követtek.Buzás Péter – Péterfalvi Attila – Révész Balázs (szerk.): Magyarázat a GDPR-ról. 2., átdolgozott kiadás. Budapest: Wolters Kluwer Hungary, 2021. . Az OECD 1980-ban elfogadott adatvédelmi irányelvei nemzetközi szinten fogalmaztak meg olyan alapelveket, mint a célhoz kötöttség, az adatminőség, az átláthatóság, a biztonság és az elszámoltathatóság.

Az Európa Tanács 1981-ben fogadta el a 108. számú adatvédelmi egyezményt a személyes adatok gépi feldolgozása során az egyének védelméről. Az egyezmény a nemzetközi adatvédelmi jog egyik alapdokumentuma, amelyet később korszerűsítettek. Magyarországon az egyezményt az 1998. évi VI. törvény hirdette ki.

A 95/46/EK irányelv

Az Európai Parlament és a Tanács 1995. október 24-én fogadta el a 95/46/EK irányelvet a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról. Az irányelv az uniós adatvédelmi jog első átfogó kerete volt. Két fő célt követett: egyrészt a természetes személyek védelmét a személyes adatok feldolgozása során, másrészt a személyes adatok tagállamok közötti szabad áramlásának biztosítását.

Az irányelv a tagállamoknak szólt, ezért nem volt közvetlenül alkalmazandó. A tagállamok nemzeti jogszabályokban ültették át, ami a harmonizáció ellenére eltérésekhez vezetett. Magyarországon az adatvédelem korábbi alapjogvédelmi törvénye az 1992. évi LXIII. törvény volt, majd a terület központi szabályozása az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény lett.

Az adatvédelmi reform

A 2000-es évekre a 95/46/EK irányelv szabályozási környezete jelentősen megváltozott. A közösségi hálózatok, a keresőmotorok, az online hirdetési ökoszisztéma, a mobilalkalmazások, a felhőszolgáltatások, a nagy adathalmazokra épülő elemzések és az országhatárokon átnyúló digitális szolgáltatások a korábbinál nagyobb mennyiségű személyes adat folyamatos kezelését tették lehetővé. A tagállami átültetések közötti különbségek a vállalkozások számára is jogbizonytalanságot okoztak, különösen a több tagállamban működő szolgáltatók esetében.

Az Európai Bizottság 2012. január 25-én tette közzé az adatvédelmi reformcsomag részeként a GDPR rendelettervezetét. A jogalkotási eljárás során az Európai Parlament, a Tanács és a Bizottság között hosszas tárgyalások folytak. A politikai megállapodást követően a rendeletet 2016. április 27-én fogadták el.

A reformcsomag másik fontos eleme az Európai Parlament és a Tanács (EU) 2016/680 irányelve, az úgynevezett bűnügyi adatvédelmi irányelv, amely a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása és a büntetőjogi szankciók végrehajtása céljából végzett adatkezelésekre vonatkozik. A GDPR és a bűnügyi irányelv egymást kiegészítő, de eltérő hatályú jogi aktusok. Idővonal

Év, dátum Fejlemény Jelentőség 1970 Hessen tartomány adatvédelmi törvénye Az egyik első modern adatvédelmi jogszabály Európában. 1980 OECD adatvédelmi irányelvek Nemzetközi alapelveket fogalmaztak meg a személyes adatok védelmére és a határokon átnyúló adatáramlásra. 1981 Az Európa Tanács 108. számú egyezménye Az első kötelező erejű nemzetközi adatvédelmi egyezmény. 1995 95/46/EK adatvédelmi irányelv Az uniós adatvédelmi jog első átfogó kerete. 2000 Az Európai Unió Alapjogi Chartájának kihirdetése A 8. cikk önállóan rögzítette a személyes adatok védelméhez való jogot. 2009 A Lisszaboni szerződés hatálybalépése A Charta kötelező jogi erőt kapott; az EUMSz 16. cikke külön jogalapot adott az adatvédelmi szabályozásnak. 2012. január 25. A Bizottság közzétette a GDPR-javaslatot Megkezdődött az adatvédelmi reform rendes jogalkotási eljárása. 2016. április 27. A GDPR és a bűnügyi adatvédelmi irányelv elfogadása Az uniós adatvédelmi reform jogalkotási lezárása. 2016. május 24. A GDPR hatálybalépése Megkezdődött a kétéves felkészülési időszak. 2018. május 25. A GDPR alkalmazásának kezdete Ettől a naptól a rendelet szabályait teljes egészében alkalmazni kell. 2024. július 25. A Bizottság második GDPR-értékelő jelentése Az alkalmazás tapasztalatait, a végrehajtás erősségeit és problémáit értékelte. 2025. november 26. Az (EU) 2025/2518 rendelet elfogadása Kiegészítő eljárási szabályokat állapított meg a határokon átnyúló GDPR-ügyek végrehajtására; alkalmazása 2027. április 2-án kezdődik.

Jogi természete és céljai

A GDPR az uniós jog szerinti rendelet, ezért teljes egészében kötelező és közvetlenül alkalmazandó valamennyi tagállamban. Ez megkülönbözteti a korábbi adatvédelmi irányelvtől, amelynek rendelkezéseit a tagállamoknak saját nemzeti jogukba kellett átültetniük. A közvetlen alkalmazhatóság azonban nem jelenti azt, hogy a tagállami jog szerepe megszűnt volna. A rendelet több rendelkezése kifejezetten lehetővé teszi vagy megköveteli a tagállami pontosítást, például a közérdekű feladatok, a közhatalmi adatkezelések, a foglalkoztatási adatkezelések, a gyermekek információs társadalommal összefüggő hozzájárulása vagy az archív, tudományos és statisztikai adatkezelések terén.

A rendelet 1. cikke három alaptételt rögzít: szabályokat állapít meg a személyes adatok kezelésére, védi a természetes személyek alapvető jogait és szabadságait, különösen a személyes adatok védelméhez való jogot, és kimondja, hogy a személyes adatok Unión belüli szabad áramlása a személyes adatok védelmére hivatkozva nem korlátozható vagy tiltható meg. A GDPR tehát nem adatáramlás-ellenes jogszabály: a jogszerű, átlátható és biztonságos adatkezelés feltételeit kívánja egységesíteni.

Hatálya

Tárgyi hatály

A GDPR az automatizált módon végzett személyesadat-kezelésre, valamint a nem automatizált módon végzett adatkezelésre vonatkozik, ha az adatok nyilvántartási rendszer részét képezik vagy ilyen rendszer részévé kívánják tenni őket. A rendelet hatálya nem korlátozódik az internetes adatkezelésekre: vonatkozhat papíralapú irattárakra, munkavállalói nyilvántartásokra, egészségügyi dokumentációra, ügyféladatbázisokra, kamerafelvételekre, hírlevél-listákra vagy telefonos ügyfélszolgálati felvételekre is.

Nem tartozik a GDPR hatálya alá többek között az olyan adatkezelés, amely nem esik az uniós jog hatálya alá, a tagállamok közös kül- és biztonságpolitikával kapcsolatos tevékenysége, a természetes személyek kizárólag személyes vagy otthoni tevékenysége, valamint az illetékes hatóságok bűnüldözési és büntető igazságszolgáltatási célú adatkezelése, amelyre a 2016/680 irányelv és a nemzeti átültető szabályok irányadók.

Területi hatály

A rendelet területi hatályát a 3. cikk határozza meg. A GDPR alkalmazandó az Unióban tevékenységi hellyel rendelkező adatkezelő vagy adatfeldolgozó tevékenységével összefüggésben végzett adatkezelésre, függetlenül attól, hogy maga az adatkezelési művelet az Unióban történik-e. Alkalmazandó továbbá az Unión kívül letelepedett adatkezelőkre vagy adatfeldolgozókra is, ha az adatkezelési tevékenység az Unióban tartózkodó érintetteknek áruk vagy szolgáltatások kínálásához kapcsolódik, vagy az érintettek Unión belüli magatartásának megfigyelésére irányul.