Felhő vagy saját szerver: mibe kerül egy cégnek, és mit mond a GDPR?

Felhő vagy saját szerver: a döntés ritkán csak technikai. A költségek másképp jelentkeznek (egyszeri beruházás kontra havi díj), és a felhőben a személyes adatok kezelését egy szolgáltatóra bízod, amire a GDPR külön szabályokat ír elő. Alább a teljes költség (TCO) elemei, a kötelező adatkezelési szerződés, az EU-n kívüli adattovábbítás és a mentés kérdései.

Mit jelent a felhő, és mit a saját szerver?

Saját szerver (angolul on-premise): a gép a cég irodájában vagy egy bérelt szerverteremben (kolokáció) áll, a cég vagy az informatikai partnere üzemelteti. A hardver, az operációs rendszer, a mentés és a biztonság is a te felelősséged.

A felhőnek három fő formája van. Az IaaS (infrastruktúra szolgáltatásként) virtuális gépet és tárhelyet ad bérbe, rajta minden mást te üzemeltetsz. A PaaS (platform szolgáltatásként) kész futtatókörnyezetet ad, például adatbázist. A SaaS (szoftver szolgáltatásként) kész alkalmazás böngészőből: levelezés, könyvelőprogram, CRM. Minél feljebb lépsz, annál kevesebb az üzemeltetési munkád, és annál több múlik a szolgáltatón.

A döntés tehát nem „vagy-vagy”, hanem rendszerenként hozható meg. Egy kkv-nál gyakori, hogy a levelezés és az irodai programok SaaS-ként futnak, a vállalatirányítási rendszer vagy a gyártásvezérlés viszont helyben.

Költségszerkezet: így számolj teljes költséget (TCO)

A TCO (total cost of ownership, teljes birtoklási költség) minden kiadást összead, ami egy rendszer életciklusa alatt felmerül, nem csak a vételárat vagy a havidíjat. Konkrét árat itt szándékosan nem adunk: a felhős listaárak régiónként, kiszerelésenként és devizában változnak, a saját szerver ára pedig a konfigurációtól függ. A tételek viszont mindkét oldalon ugyanazok.

Költségelem	Saját szerver	Felhő (IaaS/SaaS)
Induló beruházás	Hardver, tárolók, szünetmentes táp, hálózati eszközök, szoftverlicencek	Jellemzően nincs, legfeljebb migrációs projekt
Folyamatos díj	Licenckövetés, támogatási szerződés, kolokációs díj	Havi vagy éves előfizetés, felhasználónként vagy használat szerint
Energia, hűtés, helyiség	A cég fizeti	Benne van a díjban
Üzemeltetés, személyzet	Rendszergazda vagy külső partner: frissítés, javítás, felügyelet	Kevesebb, de a beállítás, jogosultságkezelés és költségfigyelés munkája megmarad
Mentés, katasztrófa-helyreállítás	Külön eszköz és külső helyszín kell	Gyakran külön díjas szolgáltatás
Csere, bővítés	3–5 évente hardvercsere, bővítésnél újabb beruházás	Rugalmas fel- és leskálázás, de a díj is nő
Kilépés	Az adat nálad van	Adatkiviteli (egress) díj, migrációs munka

Számviteli szempontból is eltér a kettő: a saját szerver tárgyi eszköz, amelyet értékcsökkenéssel számolsz el, a felhődíj folyamatos ráfordítás. Ez a cash flow-t is másképp terheli: a beruházás egyszerre viszi el a pénzt, ezért érdemes összevetni a finanszírozási lehetőségekkel is (lásd lízing vagy hitel gépre és eszközre).

A felhő ott szokott olcsóbb lenni, ahol a terhelés ingadozik, kevés a saját informatikus, vagy gyorsan nő a cég. A saját szerver akkor térülhet meg, ha a terhelés egyenletes és nagy, a rendszer hosszú életű, és a cégnek amúgy is van üzemeltető csapata. A felhős számlát érdemes havonta nézni: a használaton kívül hagyott virtuális gépek és tárhelyek a leggyakoribb rejtett költségek.

Mit mond a GDPR: adatfeldolgozói szerződés a felhőszolgáltatóval

Ha a felhőben személyes adat van (ügyfélnév, e-mail-cím, munkavállalói adat), a cég marad az adatkezelő, a szolgáltató pedig adatfeldolgozó, mert a cég megbízásából kezeli az adatot. A GDPR 28. cikke szerint az adatkezelő csak olyan feldolgozót vehet igénybe, amely megfelelő garanciát nyújt, és a kapcsolatot írásos szerződésben kell rögzíteni.

A 28. cikk (3) bekezdése szerint a szerződésben legalább ezeknek kell szerepelniük:

1. az adatkezelés tárgya, időtartama, jellege, célja, az adatok és az érintettek köre;
2. a feldolgozó csak írásbeli utasításod alapján kezeli az adatot;
3. titoktartási kötelezettség a hozzáférő személyeknél;
4. a 32. cikk szerinti biztonsági intézkedések;
5. további feldolgozó (alvállalkozó) csak az engedélyeddel vehető igénybe;
6. segítség az érintetti kérelmek teljesítésében és az adatvédelmi incidensek kezelésében;
7. a szerződés végén az adatok törlése vagy visszaadása;
8. ellenőrzés, audit lehetősége.

A nagy felhőszolgáltatók ezt kész adatfeldolgozási kiegészítésként (DPA, data processing addendum) adják, egyedi alku nélkül. Ettől még a te feladatod elolvasni: hol vannak az adatközpontok, kik az alvállalkozók, és hogyan értesítenek incidensről. Incidens esetén ugyanis neked kell indokolatlan késedelem nélkül, lehetőleg 72 órán belül bejelentést tenned a hatóságnak (GDPR 33. cikk (1)), ehhez a feldolgozónak késedelem nélkül szólnia kell (33. cikk (2)).

Saját szervernél nincs adatfeldolgozó, de a 32. cikk szerinti biztonsági kötelezettség ugyanúgy a cégé: titkosítás, hozzáférés-kezelés, naplózás, rendszeres tesztelés. A NIS2 hatálya alá eső cégeknél ehhez további kiberbiztonsági előírások járulnak, választott infrastruktúrától függetlenül.

Adattovábbítás EU-n kívülre: mikor jogszerű?

A GDPR V. fejezete (44–49. cikk) szerint személyes adatot az EGT-n kívüli országba csak jogalappal lehet továbbítani. Ez akkor is továbbítás, ha a szolgáltató EU-s adatközpontban tárolja az adatot, de amerikai anyacég mérnökei távolról hozzáférnek. A három fő út:

• Megfelelőségi határozat (45. cikk): az Európai Bizottság megállapítja, hogy az adott ország megfelelő védelmet nyújt. Ilyenkor nem kell külön engedély.
• Általános szerződési feltételek (SCC, 46. cikk): a Bizottság által elfogadott mintaszerződés, amelyet a felek változtatás nélkül aláírnak, és mellé kockázatértékelést készítenek.
• Kivételek (49. cikk): például az érintett kifejezett hozzájárulása. Rendszeres, tömeges továbbításra nem alkalmas.

Az Egyesült Államokra a Bizottság 2023. július 10-én fogadta el az EU–USA adatvédelmi keretről (Data Privacy Framework, DPF) szóló (EU) 2023/1795 végrehajtási határozatot. Ez csak azokra az amerikai cégekre vonatkozik, amelyek tanúsították magukat, és szerepelnek az amerikai kereskedelmi minisztérium DPF-listáján. Szerződés előtt tehát nézd meg, rajta van-e a szolgáltató (és az alvállalkozói) a listán.

A keretet egy francia képviselő megtámadta. Az EU Törvényszéke 2025. szeptember 3-án elutasította a keresetet (T-553/23, Latombe kontra Bizottság), az ítélet ellen azonban 2025. október 31-én fellebbezést nyújtottak be az Európai Unió Bíróságához (C-703/25 P); ítélet a cikk írásakor még nem született. Amíg a határozatot nem semmisítik meg, hatályos. A korábbi két keret (Safe Harbor, Privacy Shield) bírósági megsemmisítése miatt sok cég biztonsági tartalékként az SCC-t is beépíti a szerződésbe.

A jogalap mellett érdemes azt is mérlegelni, hogy egyes harmadik országok joga hatósági hozzáférést engedhet a szolgáltatónál tárolt adatokhoz. Érzékeny adatnál (egészségügyi, pénzügyi, üzleti titok) ezért szempont lehet az EU-s székhelyű szolgáltató, vagy olyan titkosítás, amelynek kulcsa nálad marad.

Mentés: a felhő nem mentés

A felhőszolgáltatók szerződése jellemzően a rendelkezésre állásra vonatkozik (például hány százalékban érhető el a szolgáltatás), nem arra, hogy egy munkatárs által törölt vagy zsarolóvírus által titkosított fájlt vissza tudsz-e állítani. Ezt a megosztott felelősség elvének hívják: az infrastruktúra a szolgáltatóé, az adat és a hozzáférések a tiéd.

Bevett gyakorlat a 3-2-1 szabály: legalább három példány, két különböző tárolón, ebből egy másik helyszínen (vagy másik szolgáltatónál). Fontos, hogy legyen olyan mentés, amelyet a fő rendszerből nem lehet törölni vagy felülírni, mert egy zsarolóvírus-támadás a csatlakoztatott mentéseket is titkosíthatja. És a mentés csak akkor ér valamit, ha a visszaállítást rendszeresen ki is próbálod.

A GDPR 32. cikke is említi a rendelkezésre állás és a hozzáférés gyors helyreállításának képességét, valamint az intézkedések rendszeres tesztelését. A mentési rend tehát adatvédelmi kötelezettség is, nem csak üzemeltetési kérdés.

Hibrid megoldás és döntési szempontok

A hibrid modellben a rendszerek egy része a felhőben, egy része helyben fut, és a kettő össze van kötve. Tipikus kkv-felállás: levelezés, dokumentummegosztás, videóhívás SaaS-ként; a gyártást vagy raktárat vezérlő, internetkimaradást nem tűrő rendszer helyben; a mentés pedig a felhőbe megy.

Szempont	Inkább felhő	Inkább saját szerver
Terhelés	Ingadozó, szezonális	Egyenletes, kiszámítható
Informatikai csapat	Nincs vagy kicsi	Van saját üzemeltetés
Internetfüggés	Stabil, tartalékolt kapcsolat	Kimaradás esetén is működnie kell
Adatok	Szabványos üzleti adatok	Különösen érzékeny adat, szigorú lokalitási elvárás
Szoftver	Elérhető SaaS-ként	Egyedi, régi vagy speciális hardverhez kötött

Felhő választásakor a kilépést is tervezd meg előre: milyen formátumban kapod vissza az adatot, mennyibe kerül a kivitel, és mennyi idő alatt lehet átállni. Az EU adatrendelete (Data Act, (EU) 2023/2854) a felhőszolgáltató-váltást is szabályozza: a 29. cikk szerint 2027. január 12-ig a szolgáltató legfeljebb a váltással közvetlenül felmerülő költségeit számlázhatja ki, utána pedig semmilyen váltási díjat nem kérhet. A szerződésben érdemes erre is rákérdezni. További informatikai témák a Tech és IT rovatban.

A szabályok 2026 novemberi állapotot tükröznek; konkrét ügyben kérd jogász véleményét.