Iktatószám: NAIH/2020/2000/5. Tárgy: határozat
HATÁROZAT
A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a
…………………….. (…………………………….) (a továbbiakban: Kötelezett) által üzemeltetett
……………………… weboldal (a továbbiakban: Honlap) adatkezelésének az információs
önrendelkezési jogról és információszabadságról szóló 2011. évi CXII. törvénynek (a
továbbiakban: Infotv.), valamint a természetes személyeknek a személyes adatok kezelése
tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a
természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és
az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről
szóló 2016/679/EU rendeletnek (a továbbiakban: általános adatvédelmi rendelet) való
megfelelésének vizsgálatára a fenti ügyszámon hivatalból indított adatvédelmi hatósági
eljárásban az alábbi döntéseket hozza:
I. A Hatóság megállapítja, hogy a Kötelezett Honlappal kapcsolatos adatkezelési gyakorlata
megsértette az általános adatvédelmi rendelet 12. cikk (1) és (2) bekezdését, valamint 13.
cikkét.
II. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján utasítja
a Kötelezettet, hogy adatkezelési műveleteit hozza összhangba az általános adatvédelmi
rendelet rendelkezéseivel a jelen határozat indokolásában kifejtettek figyelembevételével!
III. A Hatóság a fenti jogsértés miatt a Kérelmezettet – azzal, hogy újabb adatvédelmi jogsértés
megállapítása esetén a jogkövetkezmények megállapításakor a jelen jogsértést, mint
előzményt fokozott súllyal veszi majd figyelembe – figyelmeztetésben részesíti.
A fenti II. pontban előírt kötelezettség teljesítését a Kötelezettnek a jelen határozat véglegessé
válásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok
előterjesztésével együtt – igazolnia a Hatóság felé.
A határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de a közléstől
számított 30 napon belül a Fővárosi Törvényszékhez előterjesztett keresetlevéllel
közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani,
elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása
iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem
részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi
illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet
kötelező.
2
INDOKOLÁS
I. Az eljárás menete és a tényállás tisztázása
A Hatósághoz ………………… napján NAIH/2020/81 ügyszámon zártan kezelt közérdekű
bejelentés érkezett, mely alapján a bejelentő a Honlap adatkezelési gyakorlatát kifogásolta. A
közérdekű bejelentés szerint a Honlap üzemeltetője, a Kötelezett a kapcsolattartásra szolgáló
e-mail címként közzétett címre küldött írásbeli kérelem ellenére sem törölte a bejelentő
személyes adatait a Honlapról.
A Honlap adatkezelése ügyében a Hatóság az Infotv. alapján korábban két alkalommal is
vizsgálati eljárást folytatott NAIH/2014/1451 és NAIH/2016/369 számon.
A Hatóság a NAIH/2014/1451 számú ügyben a Kötelezettet az alábbi intézkedések
megtételére kötelezte:
1. Módosítsa az adatkezelési gyakorlatát oly módon, hogy azonosítási célú és marketing célú
adatkezelés esetében külön-külön hozzájárulást szerezzen be. A hozzájárulás esetén
olyan intézkedést hozzon, amelynek alkalmazásával mind az azonosítási, mind a
marketing célú adatkezeléshez való hozzájárulás az érintett részéről egy aktív
cselekmény, tevőleges magatartás lesz.
2. Szüntesse meg azt a gyakorlatát, hogy a felhasználók által tárolt e-mail címekre a
………………… honlap oldal használatáról szóló tájékoztató levelet, sms-t és más típusú
üzeneteket, illetve meghívókat küld ki.
3. Módosítsa az adatok törlésére vonatkozó gyakorlatát.
4. A Hatóság felszólításában foglaltaknak megfelelően módosítsa az adatkezelési
szabályzatának szövegét. Emellett az adatkezelési szabályzatot egészítse ki a marketing
célú adatkezelésre vonatkozó rendelkezésekkel (vagy az e célú adatkezelésre alkossanak
meg külön adatkezelési tájékoztatót).
5. A Hatóság megállapította, hogy mind ………………. honlap üzemeltetője által végzett
adatkezelés, mind az adatkezelésre vonatkozó tájékoztató több tekintetben nem felelt meg
az Infotv. és a Grt. 2014-ben hatályos követelményeinek, ezért a ……………… honlap
üzemeltetője a regisztrált felhasználók vonatkozásában nem rendelkezik megfelelő
jogalappal személyes adatok kezeléséhez. Ennek megfelelően a Hatóság az alábbi
intézkedések megtételére szólította fel.
5.1. Valamennyi, regisztrált felhasználónak a regisztrált e-mail címére továbbítsa az
állásfoglalásnak megfelelően módosított adatkezelési szabályzatát.
5.2. A levelében kérjék a felhasználóktól azt, hogy a módosított adatkezelési szabályzata
alapján 15 napon belül nyilatkozzon arról, hogy hozzájárulnak-e a személyes adataik
kezeléséhez.
5.3. A 15 nap elteltével törölje azoknak az érintetteknek a személyes adatait, akik a
módosított tájékoztató alapján, egyértelműen és kifejezetten nem járulnak hozzá
ahhoz, hogy a ……………… honlap üzemeltetője a személyes adataikat kezelje.
A NAIH/2016/369. számú vizsgálati eljárás szintén bejelentésre indult, mely szerint a
Kötelezett a kapcsolattartásra szolgáló e-mail címként közzétett címre küldött többszöri
írásbeli kérelme ellenére sem törölte a bejelentő személyes adatait a Honlapról. A vizsgálati
eljárás során a Hatóság felszólította a Kötelezettet a Honlapon elhelyezett adatkezelési
3
tájékoztató módosítására, valamint minden olyan felhasználó személyes adatainak törlésére,
amelyek törlését az érintettek bármilyen módon kérelmezték.
A Kötelezett a Hatóság felszólításában foglaltaknak nem tett eleget, így az Infotv. 58.§ (2)
bekezdés b) pontja alapján további intézkedésként az Infotv. 59.§ (3) bekezdése szerinti
jelentést készített, melyet honlapján közzétett.
A fentiek következtében a Kötelezett módosította az adatkezelési tájékoztatót, de a korábbi
gyakorlatán lényegében nem változtatott, melyet a 2020. január 2. napján beérkezett panasz
is alátámaszt. Az adatkezelési tájékoztató nem tartalmazza egyértelműen az adatkezelés
jogalapját, a hírlevélküldés és az adatmegőrzés szabályai nem egyértelműek és a Hatóság
fent részletezett korábbi döntéseit nem veszik figyelembe, az érintetti jogok gyakorlásához
nincs egyértelmű útmutatás, a megjelölt adatvédelmi nyilvántartás 2018. május 25. óta nem
létezik, és hiányzik a jogorvoslatról szóló tájékoztatás, így ennek tisztázása érdekében
szükséges volt a Kötelezett megkeresése.
A fenti okokból a Hatóság hivatalból adatvédelmi hatósági eljárást indított a Kötelezett
Honlappal kapcsolatos adatkezelési gyakorlatának vizsgálatára, és nyilatkozattételre hívta fel.
A Honlap célja, hogy kötelező regisztrációt követően naponta meghatározott számú sms-t
lehet küldeni rajta keresztül, illetve meghatározott számú krediteket lehet szerezni. Abban az
esetben lehet sms-t küldeni, ha az sms küldéshez megfelelő mennyiségű kredit áll
rendelkezésre az adott felhasználónál. A napi sms darabszám betartásának és a kapcsolódó
kreditek kezelésének lehetővé tétele miatt szükséges a regisztráció. A naponta kapható
kreditek mennyisége, illetve az sms küldéshez szükséges kreditek mennyisége változhat. A
küldő azonosítására a szolgáltató az elküldött SMS-ek végére hozzáírhatja a felhasználó
telefonszámát.
Az adatkezelési tájékoztató II.2. pont harmadik bekezdése szerint a Honlapon történő
adatkezelés jogalapja minden esetben az érintett hozzájárulása. Ezzel ellentétben az
adatkezelési tájékoztató II.4. pontja szerint a Kötelezett egyes adatokat további célokból
tovább kezelhet, valamint az adatkezelési tájékoztató II.6. pontja szerint a III. fejezetben foglalt
esetekben a Kötelezett jogosult adatok felhasználására, különösen, ha a felhasználó
jogellenes magatartást tanúsít. Az adatkezelési tájékoztató II.2. pont szerint továbbá bizonyos
esetekben, elsősorban az adatlapon kötelezően megadott adatok tekintetében, az
adatkezelés az oldal szolgáltatásai igénybe vételének a feltétele.
A Kötelezett által a Hatóság felhívására küldött, 2020. április 1-én érkezett válaszlevél alapján
a Hatóság az alábbi tényállást állapította meg:
1. A felhasználó az oldalon önként regisztrál a szolgáltatás eléréséhez, a megadott email
címre a rendszer küld egy ellenőrző linket, amelyre kattintva válik használhatóvá a fiók. Ezt
követően a fiók „beállítás” menüpontjában elérhetőek és törölhetőek a személyes adatok.
2. A Kötelezett mellékelte a Honlapon is elérhető adatkezelési tájékoztatást
(………………………….).
3. A név, email cím, IP cím, telefonszám és jelszó adatokat önként adják meg a felhasználók
abból a célból, hogy a szolgáltatás működni tudjon.
4. Nagyjából 300 000 regisztráció van a Honlapon, de abból sok értelmetlen név, mint az
„asdf”, így az érintettek pontos száma és személye nem azonosítható.
4
5. A fiókhoz történő hozzáférés email címhez és jelszóhoz kötött, ugyanígy törölhető a fiók
illetve a személyes adatok.
6. A Honlapot magánszemélyként, ingyenesen működteti, érdemi bevételt nem termel.
A Kötelezett által a Hatóság újabb felhívására küldött, 2020. június 4-én érkezett válaszlevél
alapján a Hatóság az alábbiakat állapította meg:
1. Tényleges hírlevélküldés nincs, és évek óta nem volt.
2. A Kötelezett nem továbbít személyes adatokat harmadik személynek sem hirdetéssel,
sem mással összefüggésben.
3. A személyes adatok a törlést követően nem maradnak meg a rendszerben. Volt terv a
többes regisztráció kiszűrése érdekében egyes adatok megtartására a törlést követően
(mivel a szolgáltatás ingyenesen korlátozott számú SMS küldésre használható és ez többes
regisztrációval megkerülhető), de ez nem valósult meg.
4. A fent leírt korábbi felszólításokat a Kötelezett a fentiek szerint módosított adatkezeléssel
kívánta teljesíteni, azonban erről a Hatóságot nem értesítette.
5. A Kötelezett magánszemély munkavállaló, egy ideig munkanélküli volt, így éves bevételt
nem tudott igazolni.
II. Az ügyben alkalmazandó jogszabályi rendelkezések
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről
és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül
helyezéséről szóló 2016/679/EU rendelet (a továbbiakban: általános adatvédelmi rendelet) 2.
cikk (1) bekezdése szerint az általános adatvédelmi rendeletet kell alkalmazni a személyes
adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak az
adatoknak a nem automatizált kezelésére, amelyek valamely nyilvántartási rendszer részét
képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.
Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján személyes adat azonosított vagy
azonosítható természetes személyre („érintett”) vonatkozó bármely információ, többek között
az online azonosító is.
Az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja alapján jogszerű lehet az
adatkezelés, ha az olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik
fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések
megtételéhez szükséges.
Az általános adatvédelmi rendelet 7. cikk (4) bekezdése szerint annak megállapítása során,
hogy a hozzájárulás önkéntes-e, a lehető legnagyobb mértékben figyelembe kell venni azt a
tényt, egyebek mellett, hogy a szerződés teljesítésének – beleértve a szolgáltatások nyújtását
is – feltételéül szabták-e az olyan személyes adatok kezeléséhez való hozzájárulást, amelyek
nem szükségesek a szerződés teljesítéséhez.
Az általános adatvédelmi rendelet 12. cikk (1) bekezdése alapján az adatkezelő megfelelő
intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére
vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk
szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető
5
formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek
címzett bármely információ esetében.
Az általános adatvédelmi rendelet 12. cikk (2) bekezdés első mondata alapján az adatkezelő
elősegíti az érintett 15–22. cikk szerinti jogainak a gyakorlását.
Az általános adatvédelmi rendelet 13. cikke sorolja fel azon minimálisan szükséges
információkat, amelyeket az adatkezelő köteles az érintettek részére megadni, ha az érintettre
vonatkozó személyes adatokat az érintettől gyűjtik:
a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és
elérhetőségei;
b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;
c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy
harmadik fél jogos érdekei;
e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;
f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi
szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság
megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben
vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén
a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának
megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás.
g) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen
időtartam meghatározásának szempontjairól;
h) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes
adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és
tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett
adathordozhatósághoz való jogáról;
i) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló
adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog,
amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés
jogszerűségét;
j) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról;
k) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses
kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett
köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges
következményeikkel járhat az adatszolgáltatás elmaradása;
l) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a
profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra
vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az
érintettre nézve milyen várható következményekkel bír.
Az általános adatvédelmi rendelet 99. cikk (2) bekezdése szerint az általános adatvédelmi
rendeletet 2018. május 25-től kell alkalmazni.
6
Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az információs
önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a
továbbiakban: Infotv.) 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott
megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni.
Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése
érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és
hivatalból adatvédelmi hatósági eljárást indíthat.
Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott
határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési
műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott
jogkövetkezményeket alkalmazhatja.
Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján a Hatóság
elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége
megsértette az általános adatvédelmi rendelet rendelkezéseit, illetve ugyanezen bekezdés d)
pontja értelmében a felügyeleti hatóság korrekciós hatáskörében eljárva utasítja az
adatkezelőt, hogy adatkezelési műveleteit – adott esetben meghatározott módon és
meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel.
Az Infotv. 75/A. §-a alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)–(6)
bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja,
különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az
Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő
megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével
összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.
A hatósági eljárás lefolytatására az általános közigazgatási rendtartásról szóló 2016. évi CL.
törvény (a továbbiakban: Ákr.) 7. § (1) bekezdése alapján az Ákr. rendelkezéseit kell
alkalmazni.
III. Döntés
1. Valótlan információk az adatkezelési tájékoztatóban
Az adatkezelési tájékoztató továbbra is tartalmazza a hírlevélküldéssel kapcsolatos
rendelkezéseket. Ezzel ellentétben nem áll rendelkezésre a Kötelezett azon nyilatkozatát
cáfoló bizonyíték, miszerint a Hatóság hírlevelekkel kapcsolatos korábbi felhívását teljesítette,
és nem küldött hírleveleket. Ez azonban nem lett átvezetve az adatkezelési tájékoztatón, így
az érintettek részére megtévesztő tájékoztatást adott erről, mintha jelenleg is folytatna
hírlevélküldési célú adatkezelést.
Nem áll rendelkezésre a Kötelezett azon nyilatkozatát cáfoló bizonyíték, miszerint a Hatóság
hírlevelekkel kapcsolatos korábbi felhívását teljesítette, és nem tart meg a törlési kérelmek
teljesítését követően egyes személyes adatokat. Ez azonban nem lett átvezetve az
adatkezelési tájékoztatón, így az érintettek részére megtévesztő tájékoztatást adott az adatok
megtartásáról és esetlegesen harmadik személyek részére továbbításáról.
Az adatkezelő arról tájékoztatja az érintetteket, hogy az adatkezelés bejelentésre került az
adatvédelmi nyilvántartásba. 2018. május 25-től, az általános adatvédelmi rendelet alapján a
Hatóság már nem vezeti az adatvédelmi nyilvántartást, így ezen tájékoztatás valótlan és
7
félrevezető. Az általános adatvédelmi rendelet 30. cikke alapján 2018. május 25-től az
adatkezelő köteles az adatkezelési tevékenységekről nyilvántartást vezetni.
A fentiek sértik az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerinti tömör,
átlátható, érthető és könnyen hozzáférhető formájú, világosan és közérthetően
megfogalmazott tájékoztatás nyújtásának kötelezettségét, valamint az általános adatvédelmi
rendelet 5. cikk (1) bekezdés a) pontja szerinti jogszerű és átlátható adatkezelés elvét, mivel
a Kötelezett valótlan és ellentmondásos tájékoztatást ad az érintetteknek, úgy, hogy az
érintettek ez alapján ésszerűen nem érthetik meg az adatkezelés lényegét.
2. Az adatkezelés jogalapjának nem egyértelmű megjelölése az adatkezelési
tájékoztatóban
A tájékoztató szövegéből mind az SMS küldési szolgáltatás teljesítéséhez szükségesség
(általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pont), mind az érintetti hozzájárulása
általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pont) jogalap kiolvasható a nem
egyértelmű megfogalmazásból, nincs egyértelműen megjelölve az adatkezelés jogalapja.
A személyes adatok kezeléséhez történő hozzájárulás megtagadása vagy visszavonása nem
járhat semmilyen hátrányos következménnyel az érintettre. Az érintett hozzájárulásának
hiánya vagy annak visszavonása a Kötelezett nyilatkozatai alapján az SMS-küldési
szolgáltatás nyújtását lehetetlenné tenné, így az érintett hozzájárulása – önkéntesség
hiányában, mivel az adatkezelés valójában a szolgáltatás nyújtásának feltétele – nem lehet
érvényes jogalap. Külön figyelembe kell venni az általános adatvédelmi rendelet 7. cikk (4)
bekezdését is e tekintetben.
A mobiltelefonszám kezelése nélkül technikailag lehetetlen a szolgáltatásnyújtás, az email cím
és jelszó azonosítási célú kezelése pedig szükségszerű a szolgáltatásra való jogosultság
megállapításához, így ezeknél minden esetben kizárt az érintett hozzájárulása jogalap,
legfeljebb az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pont szerinti jogalap jöhet
szóba. Minden más típusú személyes adat, illetve a fenti típusú személyes adatok más célból
történő kezelése kizárólag akkor alapulhat az érintett hozzájárulásán, ha a szolgáltatás
nyújtása egyértelműen nem függ a hozzájárulás megadásától, valamint az egyes célokhoz
külön lehet megadni, vagy bármikor, könnyen, hátrányos következmény nélkül visszavonni a
hozzájárulást. A hozzájárulás fontos érvényességi kelléke az is, hogy megfelelő tájékoztatás
alapján adja meg az érintett, amely jelen esetben a fenti III.1. pontban kifejtettek szerint szintén
hiányzik.
A fentiek miatt a Honlappal kapcsolatos adatkezelési tájékoztatás alapján nem tisztázott az
adatkezelés jogalapja, amely sérti az általános adatvédelmi rendelet 6. cikk (1) bekezdését és
7. cikk (4) bekezdését.
3. Az érintetti jogokkal kapcsolatos tájékoztatás hiányosságai az adatkezelési
tájékoztatóban
Az érintetti jogok, különösen a törlési jog pontos gyakorlásának módja a Kötelezett
adatkezelési tájékoztatójából nem állapítható meg, különösen a fiókon belüli törlési lehetőség
leírása hiányzik. A Hatóság megkeresésére több olyan lehetőséget is bemutatott a Kötelezett,
amely az érintettek tájékoztatásában nem, vagy nem a Kötelezett nyilatkozatai szerinti
formában található meg.
A fentiek sértik az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerinti tömör,
átlátható, érthető és könnyen hozzáférhető formájú, világosan és közérthetően
8
megfogalmazott tájékoztatás nyújtásának kötelezettségét, valamint azt az általános
adatvédelmi rendelet 12. cikk (2) bekezdése szerinti adatkezelői kötelezettséget, hogy az
adatkezelő elősegítse az érintett 15–22. cikk szerinti jogainak a gyakorlását.
4. Az érintett jogorvoslati jogairól szóló tájékoztatás hiánya az adatkezelési
tájékoztatóban
A Kötelezett adatkezelési tájékoztatója nem tartalmazza az érintettek azon jogát, hogy jogaik
érvényesítése érdekében a Hatósághoz vagy a bírósághoz fordulhatnak, valamint a Hatóság
elérhetőségét. Ez az általános adatvédelmi rendelet 13. cikk (2) bekezdés d) pontját és 12.
cikk (4) bekezdése szerinti tájékoztatás hiányát idézi elő, amely sérti az általános adatvédelmi
rendelet ezen rendelkezéseit, valamint 12. cikk (1) bekezdését.
5. Az adatkezelési tájékoztatóban javítandó főbb problémák összefoglalása
(i) A valóságban nem folytatott adatkezelésekre vonatkozó részek törlendőek az
adatkezelési tájékoztatójából (hírlevélküldés, tájékoztató 10. pont szerinti adatmegőrzés,
adattovábbítás).
(ii) Egyértelműen kell meghatározni az adatkezelés jogalapját az egyes kezelt
adattípusokhoz és célokhoz rendelten. Az általános adatvédelmi rendelet 6. cikk (1)
bekezdésében taxatívan felsorolt jogalapok egyikén kell alapuljon minden egyes típusú
személyes adat minden egyes célból történő kezelése, amely egyértelműen ki kell tűnjön
az adatkezelési tájékoztatóból.
(iii) Az érintetti jogok gyakorlásáról – különös tekintettel a hozzáférési és törlési jogra –
tömör, de informatív tájékoztatást kell nyújtani, mivel mind a fiók-beállításokban az érintett
személyesen, mind a Kötelezettnek címzett emailben gyakorolható a törlés, hozzáférés
joga, de ez nem állapítható meg a vizsgált adatkezelési tájékoztatóból.
(iv) Az ú.n. adatvédelmi nyilvántartásra vonatkozó információ szükségtelen és félrevezető,
így ezen tájékoztatás törlendő.
(v) A tájékoztató adjon az általános adatvédelmi rendelet 13. cikke szerint megfelelő
tájékoztatást az érintett jogorvoslati jogairól (a Hatósághoz vagy bírósághoz fordulás
lehetősége és módja).
IV. Jogkövetkezmények
A fentiek miatt a Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja
alapján a rendelkező rész szerint döntött.
A Hatóság mindazonáltal hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben
adatvédelmi bírság kiszabása. Abban a kérdésben, hogy indokolt-e az adatvédelmi bírság
kiszabása, a Hatóság jogszabályon alapuló mérlegelési jogkörben eljárva döntött, figyelemmel
az Infotv. 61. § (1) bekezdés a) pontjára, az Infotv. 75/A. §-ára, valamint az általános
adatvédelmi rendelet 83. cikk (2) bekezdésére és az általános adatvédelmi rendelet 58. cikk
(2) bekezdésére.
A Hatóság figyelembe vette, hogy a Kötelezett magánszemély, és értékelte a Kötelezett azon
nyilatkozatát, hogy kész módosítani az adatkezelési gyakorlatát a Hatóság rendelkezéseinek
megfelelően, így az eset összes körülménye alapján feltételezhetően bírság kiszabása nélkül
9
elérhető, hogy maradéktalanul teljesítse a Hatóság döntését és biztosítsa a személyes adatok
védelmét. A Hatóság kifejezetten ellenőrizni fogja a jelen határozat teljesítését, és nem
teljesítés esetén eljárási bírságot szabhat ki, vagy újabb adatvédelmi hatósági eljárást indíthat.
V. Egyéb kérdések
A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége
Magyarország egész területére kiterjed.
Az Ákr. 112. § (1) és (2) bekezdése, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése
alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.
***
A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a
továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével
szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés
a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes.
A Kp. 27. § (1) bekezdése szerint a törvényszék előtti közigazgatási perben a jogi képviselet
kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási
cselekmény hatályosulására halasztó hatálya nincs.
A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus
ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény
(a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi
képviselője elektronikus kapcsolattartásra kötelezett.
A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A
tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén
alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény
(továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól
az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező
felet.
Budapest, 2020. augusztus 3.
Dr. Péterfalvi Attila
elnök
c. egyetemi tanár