AI-SEO útmutató adatvédelmi tanácsadóknak: GDPR-tartalom, amit a cégvezető is megért

Scheo · 2026-09-21 · olvasási idő ~10 perc · Szerző: Schmidt Péter

Ez az útmutató adatvédelmi tanácsadóknak és jogi szolgáltatóknak szól, akik azt szeretnék, hogy a GDPR-tartalmukat a cégvezető megértse, és a ChatGPT, a Perplexity vagy a Google AI-áttekintése is forrásként használja. A lényeg előre: az AI-válaszmotorok jellemzően azt a jogi tartalmat idézik, amely pontosan hivatkozik, datált, és a szabályt egy konkrét cégméretre lefordítja. A három jelölés, amit végig használunk:

• Hivatalosan igazolt: jogszabályból vagy hatósági, uniós útmutatóból származik, hivatkozással.
• Saját tapasztalat: tartalomkészítési és mérési gyakorlatból jön, nem jogi állítás.
• Szakmai feltételezés: megalapozott, de nem bizonyított következtetés.

Miért hagyják ki az AI-válaszok a legtöbb adatvédelmi oldalt?

A legtöbb tanácsadói oldal vagy a rendelet szövegét másolja, vagy általánosságokat ír („az adatvédelem mindenkit érint”), ezért egyik sem ad olyan választ, amit érdemes idézni. A rendelet szövege az EUR-Lexen elérhető, onnan az AI is el tudja olvasni. Ami hiányzik a netről, az az értelmezés.

Saját tapasztalat: a jogi témájú oldalaknál a leggyakoribb hiba, hogy nincs rajtuk dátum. Egy 2019-es cikk, amelyen semmi nem jelzi, hogy azóta átnézték, se olvasónak, se gépnek nem ad biztos kapaszkodót.

Szakmai feltételezés: a válaszmotorok forrásválasztása nem nyilvános, de jó eséllyel előnyben részesítik azt a szöveget, amelyben az állítás, a hivatkozás és a dátum egy helyen van, mert az ilyen szöveg könnyebben ellenőrizhető és idézhető. Ez nem garantál megjelenést, de a hiánya jó eséllyel kizár.

Milyen kérdésekkel keres egy kkv-vezető adatvédelmi tanácsadót?

A kkv-vezető ritkán ír a keresőbe olyat, hogy „GDPR 37. cikk”. Azt írja be, ami épp zavarja: kell-e nekünk DPO, jó-e a tájékoztatónk, mit csináljunk, ha ellopták a laptopot. Minden ilyen kérdésre kell egy szakasz, amelynek első két mondata önmagában is megállja a helyét.

Mikor kötelező adatvédelmi tisztviselőt kijelölni?

Hivatalosan igazolt (GDPR, (EU) 2016/679 rendelet, 37. cikk (1) bekezdés, alkalmazandó 2018. május 25-től): adatvédelmi tisztviselőt kell kijelölni, ha az adatkezelést közhatalmi szerv végzi, ha a fő tevékenység az érintettek nagy számban történő, rendszeres és szisztematikus megfigyelése, vagy ha a fő tevékenység különleges adatok (9. cikk) vagy bűnügyi adatok (10. cikk) nagy számban történő kezelése. A „fő tevékenység” és a „nagy szám” értelmezéséhez az Adatvédelmi Munkacsoport WP243 rev.01 iránymutatása ad fogódzót.

Mit jelent ez egy tízfős cégnél? Egy tízfős könyvelőirodának általában nem kötelező, egy tízfős, sok beteget ellátó magánrendelőnél viszont komolyan meg kell vizsgálni, mert ott az egészségügyi adat a fő tevékenység része. A cikkben ezt a döntési pontot kell kimondani, nem a paragrafust idézni.

Mit kell tartalmaznia az adatkezelési tájékoztatónak?

Hivatalosan igazolt (GDPR 13. cikk, ha az adatot az érintettől gyűjtöd, és 14. cikk, ha nem tőle): többek között az adatkezelő neve és elérhetősége, a DPO elérhetősége (ha van), az adatkezelés célja és jogalapja, jogos érdek esetén maga az érdek, a címzettek, a harmadik országba továbbítás, a tárolás időtartama, az érintetti jogok, a hozzájárulás visszavonásának joga, a panasztétel joga a felügyeleti hatóságnál, valamint az automatizált döntéshozatal ténye.

Az olvasónak ennél többet ér egy ellenőrzőlista, amit a saját tájékoztatója mellé tehet, és egy mondat arról, hol hibáznak a leggyakrabban. Saját tapasztalat: a kis cégek tájékoztatóiban a tárolási idő és a konkrét jogalap hiányzik a legtöbbször, helyette az áll, hogy „a jogszabályokban előírt ideig”.

Mi számít adatvédelmi incidensnek, és hány óra alatt kell bejelenteni?

Hivatalosan igazolt (GDPR 4. cikk 12. pont): adatvédelmi incidens a biztonság olyan sérülése, amely a személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi. A GDPR 33. cikk (1) bekezdése szerint az adatkezelő indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután jelenti be a felügyeleti hatóságnak (Magyarországon a NAIH), hogy tudomást szerzett róla, kivéve, ha az incidens valószínűleg nem jár kockázattal. A 33. cikk (5) bekezdése szerint minden incidenst nyilván kell tartani, akkor is, ha nem kell bejelenteni. Magas kockázatnál az érintetteket is tájékoztatni kell (34. cikk). A gyakorlati példákhoz az EDPB 9/2022-es iránymutatása használható.

A kkv-nyelvű változat: elveszett céges telefon, rossz címzettnek elküldött bérlista, zárolt szerver zsarolóvírus után, mind incidens lehet. A 72 óra onnan számít, hogy tudomásod van róla, nem onnan, hogy a vezető visszaért a szabadságról.

Mire számítson egy cég a NAIH-vizsgálatnál?

Hivatalosan igazolt: a NAIH eljárásait az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) szabályozza; a bejelentés alapján indított vizsgálatot az 52. §, az adatvédelmi hatósági eljárást a 60. § rendezi. A GDPR 31. cikke együttműködést ír elő a hatósággal, a bírság felső határát a 83. cikk tartalmazza.

Szakmai feltételezés: egy vizsgálatnál elsőként jellemzően dokumentumokat kérnek (tájékoztató, adatkezelési nyilvántartás, érdekmérlegelés, incidensnyilvántartás), ezért a cikkben érdemes felsorolni, mit tegyen a cég előre egy mappába. Konkrét határidőket és bírságösszegeket csak a NAIH aktuális határozataiból, hivatkozással írj.

Hogyan épüljön fel a fogalmi alapoldal?

A fogalmi alapoldal a tudásbázis gerince: egyszer, pontosan definiálja a fogalmakat, és minden iparági aloldal erre hivatkozik vissza. Négy fogalom nélkül nem működik:

1. Adatkezelő (GDPR 4. cikk 7. pont): aki az adatkezelés céljait és eszközeit meghatározza. Tízfős cégnél: te, a saját ügyfél- és dolgozói adataiddal.
2. Adatfeldolgozó (4. cikk 8. pont, szerződési követelmények: 28. cikk): aki az adatkezelő nevében kezel adatot. Tízfős cégnél: a könyvelő a bérszámfejtésnél, a tárhelyszolgáltató, a hírlevélküldő rendszer.
3. Jogalap (6. cikk (1) bekezdés a)-f) pont): hozzájárulás, szerződés, jogi kötelezettség, létfontosságú érdek, közérdek, jogos érdek. Tízfős cégnél a hozzájárulást gyakran olyan helyen használják, ahol a szerződés vagy a jogi kötelezettség a helyes jogalap.
4. Érdekmérlegelés (6. cikk (1) bekezdés f) pont, (47) preambulumbekezdés; útmutató: EDPB 1/2024 iránymutatás a jogos érdekről): háromlépéses teszt, azaz van-e jogos érdek, szükséges-e az adatkezelés, és nem sérti-e aránytalanul az érintett jogait.

Minden fogalomnál ugyanaz a sorrend: egymondatos definíció, hivatkozás és hatálydátum, egy példa kis cégre, egy gyakori félreértés. Saját tapasztalat: ez az ismétlődő szerkezet az olvasónak is segít, és a szöveg darabjai egyenként is idézhetők maradnak.

Hogyan fűzz iparági aloldalakat az alapoldalra?

Az iparági aloldal azt mondja el, hogyan működnek az alapoldal fogalmai egy adott helyzetben. Az alapfogalmat nem definiálja újra, hanem belinkeli. Négy jó kiindulópont:

• Webshop: vásárlói adat szerződés alapján, hírlevél hozzájárulással, sütik (az elektronikus hírközlésről szóló 2003. évi C. törvény 155. § (4) bekezdése), adatfeldolgozók listája (futár, fizetési szolgáltató, tárhely).
• Egészségügyi szolgáltató: különleges adat a GDPR 9. cikke szerint, emellett az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről szóló 1997. évi XLVII. törvény; itt a DPO-kérdés is előkerül.
• HR-adatok: a munka törvénykönyvéről szóló 2012. évi I. törvény (Mt.) 10. §-a a munkavállalótól kérhető adatokról, 11/A. §-a a munkavállaló ellenőrzéséről; önéletrajzok tárolási ideje, próbaidős értékelések.
• Kamerarendszer: érdekmérlegelés, tájékoztató tábla, megőrzési idő, munkahelyen az Mt. 11/A. §; uniós útmutató: EDPB 3/2019 iránymutatás a videoeszközökről (elfogadva 2020. január 29-én).

Minden aloldal tetején szerepeljen egy 2-3 mondatos válasz a leggyakoribb kérdésre (például „Kell-e tábla a boltban lévő kamerához? Igen, a GDPR 13. cikke szerinti tájékoztatás első szintjeként...”), és egy link vissza az alapoldal megfelelő fogalmához. Szakmai feltételezés: ez a kétirányú belső linkelés segítheti, hogy a keresők és a válaszmotorok egy témacsoportként értelmezzék az oldalakat.

Hogyan jelöld a jogszabályi hivatkozást és a hatályosság dátumát?

Minden jogszabályi állítás mellé három adat kell: a jogszabály pontos megnevezése, a cikk vagy paragrafus bekezdéssel, és a dátum, amikor ellenőrizted, hogy az a szöveg hatályos. Ezen áll vagy bukik, hogy a tartalmat forrásként használják-e.

A gyakorlatban egy ismétlődő hivatkozásblokk működik jól a bekezdés végén:

Forrás: (EU) 2016/679 rendelet (GDPR) 33. cikk (1) bekezdés · alkalmazandó: 2018. 05. 25-től · hatályosság ellenőrizve: [dátum], EUR-Lex

Az oldal szintjén add meg a módosítás dátumát strukturált adatban is. Egy Schema.org alapú JSON-LD részlet:

{"@context": "https://schema.org", "@type": "Article", "headline": "Adatvédelmi incidens bejelentése: 72 óra a GDPR szerint", "datePublished": "2026-09-21", "dateModified": "2026-09-21", "author": {"@type": "Person", "name": "[a tanácsadó neve]", "jobTitle": "adatvédelmi tanácsadó"}, "citation": "(EU) 2016/679 rendelet 33. cikk"}

Hivatalosan igazolt: a dateModified és a citation a Schema.org szabványos tulajdonságai. Szakmai feltételezés: hogy egy adott válaszmotor mennyire használja ezeket, nem nyilvános, ezért a dátumnak a látható szövegben is ott kell lennie, nem csak a kódban.

Egy fontos szabály: a dateModified csak akkor változzon, ha tényleg átnézted a tartalmat. A dátum puszta frissítése tartalmi ellenőrzés nélkül félrevezető, és hosszú távon rontja a hitelességet.

Mit jelent ez egy tízfős cégnél, és miért ez a pótolhatatlan rész?

A jogszabály szövegét bárki elolvashatja, a „mit jelent ez nálunk” választ viszont csak az tudja megadni, aki látott már kis cégeket belülről. Ez a tanácsadói tartalom valódi értéke, és ezt a gép nem tudja előállítani.

Egy jó értelmező bekezdés négy elemből áll:

1. Helyzet: „Tízfős építőipari cég, a dolgozók céges telefont használnak, rajta ügyfél-címlistával.”
2. Szabály: „Ha a telefon elveszik és nincs titkosítva, az adatvédelmi incidens (GDPR 4. cikk 12. pont).”
3. Teendő: „Rögzítsd az incidensnyilvántartásban, mérd fel a kockázatot, és ha van kockázat, 72 órán belül jelentsd be a NAIH-nak.”
4. Megelőzés: „Titkosított eszköz és távoli törlés esetén a kockázat jó eséllyel alacsonyabb, de ezt esetenként kell megítélni.”

Figyelj arra, hogy ezek a példák általános helyzetek legyenek, ne kitalált ügyfélesetek. A „egyik ügyfelünknél...” kezdetű történet csak akkor kerüljön a szövegbe, ha valóban megtörtént, és az ügyfél hozzájárult a közléséhez.

Mit ellenőrizz publikálás előtt?

A publikálás előtti ellenőrzés tíz perc, és ezen múlik, hogy a tartalom megbízható forrásnak tűnik-e.

• Minden jogszabályi állításnál van pontos hivatkozás (cikk, bekezdés, pont)?
• Minden hivatkozásnál szerepel a hatálykezdet és az ellenőrzés dátuma?
• A magyar jogszabály szövegét a Nemzeti Jogszabálytárban, az uniósat az EUR-Lexen nézted meg, nem másodlagos forrásból?
• A H2 cím kérdés, és az első két mondat önmagában válaszol rá?
• Van legalább egy „tízfős cégnél ez azt jelenti” típusú bekezdés?
• Külön jelölted, mi hivatalos, mi saját tapasztalat és mi feltételezés?
• Az iparági aloldal visszalinkel az alapoldal fogalmaira?
• A dateModified és a látható „utoljára ellenőrizve” dátum egyezik?
• Nincs a szövegben olyan ígéret, hogy a tartalom kiváltja az egyedi jogi tanácsadást?

Végül egy felelősségi megjegyzés: az ilyen cikk általános tájékoztatás, nem jogi tanács. Ezt írd ki az oldalra is, mert az olvasó és az AI is ebből látja, meddig érvényes a szöveg.

Források és további olvasnivalók

• Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR), EUR-Lex
• 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról (Infotv.), Nemzeti Jogszabálytár
• Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH): útmutatók és határozatok
• Európai Adatvédelmi Testület (EDPB): 9/2022 iránymutatás az adatvédelmi incidensek bejelentéséről; 3/2019 iránymutatás a videoeszközökről; 1/2024 iránymutatás a jogos érdekről
• 29. cikk szerinti Adatvédelmi Munkacsoport: WP243 rev.01, iránymutatás az adatvédelmi tisztviselőkről
• 2012. évi I. törvény a munka törvénykönyvéről, Nemzeti Jogszabálytár
• Google Search Central: útmutató a hasznos, megbízható, embereknek szóló tartalomhoz
• Schema.org: Article, dateModified és citation tulajdonságok