Egy könyvelőiroda munkatársa a vonaton hagyja a laptopját, rajta kétszáz ügyfél bérszámfejtési adataival. Egy webshop a hírlevelet rossz beállítással, az összes címzett látható e-mail-címével küldi ki. Egy rendelő asszisztense a leleteket a hasonló nevű másik betegnek adja át. Ezek nem hackertámadások, mégis mind adatvédelmi incidensek, és mindegyik ugyanazt a költséglépcsőt indítja el: szakértő, jogász, bejelentés, értesítés, hatósági eljárás, az érintettek igényei – és a végén esetleg bírság. Alkuszként azt látom, hogy a kkv-k a kiberbiztosítást a zsarolóvírussal azonosítják, a hatósági bírságról pedig vagy azt hiszik, hogy magától értetődően fedezett, vagy azt, hogy eleve kizárt. Egyik sem igaz. Ez a cikk az incidens költségeit sorra veszi, és megmutatja, melyik fedezet melyik lépcsőfokra szól – és hol áll a bírság kérdése.
- Az adatvédelmi incidens költsége nem a bírsággal kezdődik: a GDPR 33–34. cikke szerinti bejelentés és értesítés, az IT- és jogi szakértő, a hatósági eljárás és az érintettek 82. cikk szerinti kártérítési igénye már a bírság előtt pénzbe kerül – ezekre szól a kiber- vagy adatvédelmi felelősségbiztosítás.
- A hatósági bírság biztosíthatósága jogilag nem egyértelmű: a hazai piacon van olyan feltétel, amely a bírságot is vállalja, de jellemzően csak „ahol és amennyiben a jog megengedi” kitétellel, sublimittel, a szándékos jogsértés kizárásával – más feltételek a bírságot kizárják; ezt a sort a kötvényből kell kiolvasni.
- Az általános és a szakmai felelősségbiztosítás az adatvédelmi kárt gyakran kizárja, a jogvédelmi biztosítás pedig csak akkor fedezi a hatósági eljárás költségét, ha a feltétele kiterjed rá – a három kötvényt érdemes egymás mellé tenni, mielőtt bármelyikre számít.
Az incidens költséglépcsője
Az általános adatvédelmi rendelet (GDPR) 33. cikke szerint az adatkezelő az incidenst indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával a tudomásszerzés után bejelenti a felügyeleti hatóságnak – Magyarországon a Nemzeti Adatvédelmi és Információszabadság Hatóságnak (NAIH) –, kivéve, ha az incidens valószínűsíthetően nem jár kockázattal az érintettekre. A 34. cikk szerint ha az incidens valószínűsíthetően magas kockázattal jár, az érintetteket is tájékoztatni kell. Már itt megjelenik a pénz: ki dönti el, mi történt és kiket érint (IT-forenzikai vizsgálat), ki fogalmazza meg a bejelentést és az értesítést (jogász), hogyan jut el kétszáz vagy húszezer emberhez (levél, e-mail, ügyfélszolgálat). Ezután jöhet a hatósági eljárás, amelyben a cégnek nyilatkoznia, dokumentumokat szolgáltatnia, esetleg jogi képviseletet fizetnie kell. A 82. cikk szerint az, aki az adatvédelmi szabályok megsértése miatt vagyoni vagy nem vagyoni kárt szenvedett, kártérítésre jogosult az adatkezelőtől vagy az adatfeldolgozótól – egy nagy ügyfélkörnél ez sok kis igény, egy rendelőnél néhány súlyos. És csak a lépcső tetején áll a bírság: a 83. cikk szerint a súlyosabb jogsértéseknél legfeljebb 20 millió euró vagy a világszintű éves forgalom 4%-a (a kettő közül a magasabb), a kevésbé súlyosaknál legfeljebb 10 millió euró vagy 2%. A hazai gyakorlatban a kkv-kra kiszabott összegek ennél jóval kisebbek, de 2026-ban is több tízmilliós bírságról szóltak a hírek – és egy kkv-nál a lépcső alsó fokai együtt gyakran többe kerülnek, mint maga a bírság.
Biztosítható-e a bírság?
Ez a legtöbbet kérdezett és a legkevésbé egyértelmű pont. A biztosítási jog általános elve, hogy a szándékos jogsértés következménye nem biztosítható, és vitatott, hogy egy hatósági szankció – amelynek célja épp a jogsértő megbüntetése – átvállalható-e biztosítással anélkül, hogy a célját elveszítené. Kifejezett hazai szabály – tiltó vagy megengedő – tudomásom szerint nincs rá, ezért a hazai feltételek óvatosan fogalmaznak. A piacon van olyan adatvédelmi felelősségbiztosítás, amely a termékleírása szerint a hatósági bírságra is kiterjed; az ilyen fedezet a feltételek szerint jellemzően csak „ahol és amennyiben a jog ezt megengedi” kitétellel, külön sublimittel, és a tudatos, ismétlődő vagy a hatóság felszólítása után is fenntartott jogsértés kizárásával működik. Más biztosítók kiberbiztosítása a bírságot egyszerűen kizárja, vagy csak a hatósági eljárás jogi költségeit vállalja, a bírságot nem. A gyakorlati következmény: ha a cégnek fontos a bírság-fedezet, azt a kötvényben szó szerint kell megtalálnia, a sublimittel és a kizárásokkal együtt – egy általános „hatósági eljárás költségei” sor nem azonos vele. És még a bírságot vállaló feltétel sem adja meg azt, amit a legtöbben remélnek: a szándékosan rossz adatkezelés büntetését egyik sem fizeti ki.
Melyik fedezet melyik lépcsőfokra szól?
A kiberbiztosítás két irányban dolgozik: a cég saját kárára (incidenskezelés, forenzika, helyreállítás, üzemszünet, zsarolás) és a harmadik feleknek okozott kárra. Az adatvédelmi lépcső a második irány: az érintettek értesítésének költsége, a hatósági eljárásban felmerülő jogi költség, az érintettek kártérítési és sérelemdíj-igénye, a feltételek egy részénél a bírság. Önálló termékként is létezik GDPR- vagy adatvédelmi felelősségbiztosítás, amely csak ezt a második irányt fedezi, a saját rendszerek helyreállítását nem – ez ott lehet elég, ahol az adat sok, a rendszer kevés. Ezzel szemben az általános felelősségbiztosítás dologi és személyi sérüléses kárra szól, az adatvédelmi kárt a hazai feltételek jellemzően kizárják; a szakmai felelősségbiztosítás (könyvelő, ügyvéd, orvos, tanácsadó) pedig biztosítónként eltér abban, hogy az ügyféladatok kiszivárgása belefér-e a szakmai hibába, vagy külön kizárás. A jogvédelmi biztosítás a cég saját jogi védelmét fizeti – ügyvédet, szakértőt, eljárási díjat –, de hogy a hatósági adatvédelmi eljárás benne van-e, az a feltétel kérdése; több hazai feltétel a közigazgatási eljárásokat szűken vagy egyáltalán nem fedezi. Egy incidensnél tehát három kötvény lapjait érdemes egymás mellé tenni, és azt nézni, hol van rés és hol van átfedés – nem azt, melyik a „jobb”.
Nem csak a hacker: amit a feltételek számon kérnek
A fenti példák „analóg” incidensek, és a feltételek ezekre is figyelnek. A hazai kiber- és adatvédelmi fedezetek jellemzően kikötik vagy legalább kérdőívben vizsgálják, hogy a hordozható eszközök titkosítottak-e, van-e hozzáférés-kezelés és naplózás, kaptak-e a munkatársak oktatást, van-e írott incidenskezelési eljárás. Egy titkosítatlan laptop elvesztése a feltételek egy részénél eleve kizárt, máshol a biztosító mentesülhet, ha a kötéskor vállalt intézkedés hiányzott – a bizonyítás az övé, de a vita elkerülhető. A kérdőívre adott válasz közlési kötelezettség alá esik: ami a kötéskor nem igaz, az kárnál visszaüthet. Fontos a fedezet időbeli szerkezete is: a felelősségi jellegű fedezetek jellemzően az igény bejelentésének időpontjához kötöttek, ezért a kötés előtti incidensekre csak akkor szólnak, ha a feltétel visszamenőleges hatályt ad – ezt a kötésnél érdemes tisztázni. A home office cikkben leírt eszköz-határ itt adat-határ is: az otthon használt céges laptop adatáért a cég felel, bárhol is veszett el.
Mit tegyen most?
Írja össze, milyen személyes adatot kezel, hol tárolja, és ki fér hozzá – ez az adatleltár a GDPR-megfelelés alapja, és a biztosító kérdőíve is ezt kérdezi. Készítsen rövid incidenskezelési tervet: ki dönt, kit hív, mi a 72 órás bejelentés menete; a NAIH és az Európai Adatvédelmi Testület kkv-knak szóló tájékoztatói ehhez jó kiindulópontok. Titkosítsa a hordozható eszközöket – ez a legegyszerűbb kármegelőzés. Vegye elő a meglévő kötvényeit, és nézze meg, hogy az adatvédelmi kár, a hatósági eljárás és a bírság kizárás, sublimit vagy fedezet-e bennük. Ha ajánlatot kér, a bírság-sort, az értesítési költség limitjét, a jogi költség kezelését és a visszamenőleges hatályt vesse össze, ne csak a díjat. Ha ezzel a listával megkeres, az ajánlatok összevetését és a papírmunkát elkészítem – a döntés az Öné.
Kérdés a saját adatkezelésére és kötvényeire szabva? Foglaljon 20 perces díjmentes konzultációt →
Források
- Az (EU) 2016/679 általános adatvédelmi rendelet (GDPR) 33., 34., 82. és 83. cikke
- Európai Adatvédelmi Testület – Adatvédelmi incidensek (kkv-knak szóló tájékoztató)
- 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról (Infotv.) – a NAIH eljárása
- Colonnade Biztosító – Egyre több hatósági bírság mutatja a GDPR-biztosítás szükségességét (2019. májusi biztosítói hír; a bírságra is kiterjedő fedezetet említi, a feltétel szövegét és a kitételeket nem)
- hvg.hu – 50 millió forintra büntette a NAIH a Mediaworksöt (2026. május, példa a bírság nagyságrendjére)
