530 millió eurós TikTok-bírság: GDPR-adatszuverenitás

A TikTok-ítélet, amely újradefiniálta az adatszuverenitást

2025 májusában az ír Adatvédelmi Bizottság (DPC) 530 millió eurós GDPR-bírságot szabott ki a TikTokra, amiért megfelelő biztosítékok nélkül továbbított EU-s felhasználói adatokat Kínába.

A bírság most a valaha kiszabott második legnagyobb egyedi GDPR-büntetés, amelyet csak az 1,2 milliárd eurós Meta-bírság előz meg 2023-ból — szintén az ír DPC-től, az EU–USA közötti illegális adatátvitelért a Facebook américai szerverei felé. Ez a két ügy együttesen egyértelmű érvényesítési mintát állapít meg: a megfelelő biztosítékok nélküli határokon átnyúló adatátvitelek kiemelt érvényesítési területnek minősülnek, és a DPC olyan léptékű bírságokat szab ki, amelyek viselkedésváltozásra kényszerítenek.

Az 5,65 milliárd eurós összesített GDPR-bírsággal 2025-ig (GDPR.eu érvényesítési nyomkövetés) a GDPR-megfelelés már nem háttérkockázat — aktív üzleti költség, amelyet a szabályozók aktívan rónak ki.

Mit mondott ki valójában a TikTok-ügy

A TikTok-ügy nem elsősorban biztonsági gyakorlatokról vagy adatvédelmi incidensekről szólt. Az adatok helyszínéről és a nemzetközi adatátvitel jogi alapjáról szólt.

A TikTok EU-s tevékenységei EU-s felhasználói adatokat tároltak és dolgoztak fel olyan szervereken, amelyekhez kínai alkalmazottak is hozzáfértek. A GDPR 44–46. cikkei korlátozzák a harmadik országokba irányuló nemzetközi adatátviteleket EU-s megfelelőségi döntéssel nem rendelkező országokba, hacsak nem állnak fenn konkrét jogi mechanizmusok. Kínának nincs EU-s megfelelőségi döntése. A TikTok érvelését, miszerint megfelelő technikai intézkedéseket hozott, nem fogadták el.

A strukturális tanulság: „a szervereink az EU-ban vannak” nem elegendő, ha az adatokhoz az EU-n kívüli személyek is hozzáférhetnek, vagy ha a szervezetre olyan ország jogszabályai vonatkoznak, amelynek állami hozzáférési hatáskörei ütköznek a GDPR-ral.

Ez közvetlenül releváns a SaaS-szállítókat értékelő szervezetek számára. Egy olyan szállító, amely azt mondja: „az EU-ban tároljuk az adatokat”, de amelynek anyavállalata az USA-ban van bejegyezve, vagy amelynek ügyfélszolgálati munkatársai az EU-n kívülről férnek hozzá az adatokhoz, ugyanolyan szabályozói kihívással nézhet szembe, mint amellyel a TikTok találkozott — és ugyanez vonatkozhat ügyfeleikre is.

Az összesített kép: 5,65 milliárd eurós GDPR-bírságok

Az összesített 5,65 milliárd eurós összeg 2025-ig a GDPR-érvényesítés érését tükrözi: a szabályozók a precedensek megállapításától a jogsértési kategóriák szisztematikus érvényesítéséig jutottak. Az adatátviteli jogsértések most a legmagasabb bírságkategória, ami a szabályozói prioritásokat tükrözi.

A német egészségügyi probléma

A GDPR 44–46. cikkei minden ágazatban egyformán vonatkoznak, de bizonyos ágazatok a GDPR-on túlmutató, kiegészítő szuverén adatkövetelményekkel is szembenéznek.

Német egészségügy: Az V. Szociális Törvénykönyv (SGB V) az egészségügyi adatok feldolgozását német ellenőrzésű rendszerekre korlátozza. Egy dublini tárhelyen üzemeltetett felhőalapú anonimizálási eszközt használó német egészségbiztosító — amely technikailag EU-s — az SGB V szerint mégsem lehet megfelelő, ha az eszköz üzemeltetője nem-német szervezet, amelyre esetleg más jogszabályok vonatkoznak.

Svájci banki titok: A svájci banktitoktörvény (47. cikk a bankokról szóló törvényből) megtiltja az ügyfélinformációk közlését jogosulatlan felekkel, beleértve az explicit ügyfél-beleegyezés nélküli felhőszolgáltatókat. Egy svájci magánbank ügyféladatait bármely felhőeszközön feldolgozva — még EU-ban tárolva is — banktitokvédelmi kötelezettségek keletkezhetnek.

Német közszféra: A BfDI (Szövetségi Adatvédelmi Biztos) iránymutatása a kormányzati szervek adatait kormány által ellenőrzött infrastruktúrára korlátozza. Egy kereskedelmi felhőszolgáltató EU-s szerverein tárolt anonimizálási eszköz nem teljesíti ezt a követelményt.

Ezek az esetek szemléltetik, hogy a GDPR-megfelelés az alap, nem a mennyezet. Szabályozott iparágak és közszférabeli szervezetek számára a szuverén adatkövetelmények gyakran a tárolási helyen túlmutató kiegészítő korlátozásokat írnak elő.

A megfelelőségi döntések tája

A GDPR nemzetközi adatátviteli keretrendszere attól függ, hogy az Európai Bizottság „megfelelőségi döntéseket” hoz-e az egyenértékű adatvédelmet biztosítónak ítélt országokra. A jelenlegi helyzet:

Megfelelőségi döntéssel rendelkező országok: Andorra, Argentína, Kanada (kereskedelmi szervezetek), Feröer-szigetek, Guernsey, Izrael, Man-sziget, Japán, Jersey, Új-Zéland, Dél-Korea, Svájc, Nagy-Britannia, Uruguay, USA (Adatvédelmi Keretrendszer — a Schrems II érvénytelenítése után helyreállítva)

Megfelelőségi döntéssel nem rendelkező országok: Kína, India, Oroszország, Brazília, az ázsiai-csendes-óceáni térség nagy része, a MENA-térség nagy része, Afrika nagy része

Az Adatvédelmi Keretrendszer (EU–USA) politikai tárgyalások után állt helyre, de jogilag vitatott marad. Az adatvédelem-támogatók már jelezték a jogi kihívásokat az USA megfigyelési jogi érveléssel kapcsolatban, amely megsemmisítette elődjeit (a Schrems I-ben a Safe Harbort, a Schrems II-ben a Privacy Shieldet).

Azoknak a szervezeteknek, amelyek az EU–USA Adatvédelmi Keretrendszerre támaszkodnak az USA-ban tárolt adatok feldolgozásának jogalapjaként, vészterveiknek kell lenniük egy újabb érvénytelenítés esetére.

Hogyan fordítják le az adatszuverenitási követelményeket az eszközválasztásra

A TikTok, a Meta és a mögöttes szabályozási keret összesített képe megfelelési biztosítékok hierarchiáját teremti meg a SaaS-eszközök kiválasztásához:

1. szint — EU-s tárolás: Az adatok feldolgozása és tárolása fizikailag az EU-ban található szervereken történik. Ez teljesíti az alapvető GDPR-követelményt az olyan adatok esetén, amelyek nem igényelnek szuverén szintű védelmet.

2. szint — EU-s üzemeltető: A szállító ellenőrző szervezete EU-ban van bejegyezve, és nem tartozik nem-megfelelő ország joghatósága alá. Ez kezeli a TikTok-problémát, ahol az EU-s tárolás kínai jogi kitettséggel párosult az anyavállalatnál.

3. szint — Zero-knowledge architektúra: Még ha a szállítót feltörik, törvényes kényszerre alkalmazzák, vagy külföldi kormányzat adatkiadásra kötelezi, sem férhet hozzá a nyílt szöveges adatokhoz, mert a titkosítási kulcsokat kizárólag az ügyfél tartja. Ez kezeli azt a forgatókönyvet, ahol még egy teljesen GDPR-megfelelő szállító is jogi igényt kap.

4. szint — Helyi feldolgozás: Az adatok egyáltalán nem hagyják el a szervezet saját infrastruktúráját. A feldolgozás helyi hardveren vagy kormány által ellenőrzött rendszereken történik. Ez az egyetlen megközelítés, amely teljesen teljesíti a német SGB V-t, a svájci banktitkot, a BfDI közszféra-követelményeit és hasonló szuverén adatmegbízásokat.

A GDPR-adatvédelmi hatásvizsgálatok gyakorlati következménye

A GDPR 35. cikke szerinti, a nagy kockázatú feldolgozáshoz szükséges adatvédelmi hatásvizsgálatoknak (DPIA) tartalmazniuk kell az átviteli hatásvizsgálatot, amikor adatokat osztanak meg harmadik ország feldolgozóival. A TikTok-ítélet nyomán a felhőalapú anonimizálási eszközökre vonatkozó DPIA-knak kifejezetten foglalkozniuk kell a következőkkel:

1. Anyavállalat joghatósága: A szállító anyavállalata olyan jogszabályok hatálya alá tartozik-e (CLOUD Act, kínai kiberbiztonsági törvény stb.), amelyek EU-s ügyféladatok kiadására kötelezhetik?

2. Ügyfélszolgálati munkatársak hozzáférése: A nem-megfelelő országokban dolgozó ügyfélszolgálati vagy mérnöki munkatársaknak rendes működés keretében van-e hozzáférésük EU-s ügyféladatokhoz?

3. Átvitel jogalapja: Melyik konkrét GDPR 46. cikk szerinti mechanizmus vonatkozik a nem-megfelelő országokba irányuló adatfolyamokra (SCC-k, kötelező érvényű vállalati szabályok, eltérések)?

4. Incidens hatáselemzése: Ha a szállítót feltörik vagy adatkiadásra kötelezik, milyen EU-s ügyféladatok kerülnek napvilágra?

A felhőalapú anonimizálási eszközöket használó szervezetek számára ezekre a kérdésekre konkrét válaszok szükségesek, amelyeket dokumentálni kell. A TikTok-ítélet megmutatta, hogy „szerződések vannak érvényben” nem elegendő, ha ezeket a szerződéseket nem értékelték megfelelőség szempontjából.

Mit jelent ez a 2026-os közbeszerzésnek

A TikTok-ítéletet követően az adatvédelmi megbízottak (DPO) az adatfeldolgozási eszközök SaaS-szállítóit értékelve konkrétabb kérdéseket tesznek fel, mint korábban:

• Hol vannak a szerverek? (EU-ban?)
• Hol van bejegyezve az anyavállalat? (EU? USA? Máshol?)
• EU-n kívüli alkalmazottaknak van-e hozzáférése EU-s ügyféladatokhoz?
• Melyik jog alkalmazandó a bűnüldözési adatkiadási kérelmekre?
• Van-e zero-knowledge architektúra, vagy a szállító tartja a titkosítási kulcsokat?
• Van-e helyi feldolgozási lehetőség?

Ezekre a kérdésekre adott válaszok — nem az adatfeldolgozási megállapodások aláírásának ténye — határozzák meg a tényleges adatszuverenitás-megfelelést a TikTok utáni szabályozási környezetben.

Az anonym.legal webplatformja EU-alapú Hetzner adatközpontokat használ zero-knowledge architektúrával — a szerver soha nem kap titkosítatlan ügyféladatokat, és a szerver teljes feltörése esetén is csak AES-256-GCM titkosított szöveg érhető el. A kizárólag helyi feldolgozást igénylő szervezetek számára az asztali alkalmazás minden adatot az eszközön dolgoz fel, külső hálózati kommunikáció nélkül.

Források:

• Ír DPC: TikTok 530 millió eurós bírság döntése
• Wire: Digitális szuverenitás 2025 — Európai vállalkozások