Ügyszám: NAIH/2020/2204/8. Tárgy: Határozat hivatalból indult hatósági
eljárásban
HATÁROZAT
A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a Deichmann
Cipőkereskedelmi Korlátolt Felelősségű Társaságnak (székhely 1134 Budapest, Kassák Lajos utca
19-25., cégjegyzékszám: 0109693582; a továbbiakban: Kötelezett vagy Társaság) – 2018. május 25.
napjától 2020. március 3. napjáig terjedő időszakban az érintetti kérelmek – különös tekintettel […] érintetti
kérelmeinek – kezelése során tanúsított adatkezelési gyakorlatának az általános adatvédelmi rendeletben1
foglalt előírásoknak való megfelelésének vizsgálatára irányuló, hivatalból indult adatvédelmi hatósági
eljárásban az alábbi döntéseket hozza:.
1. A Hatóság megállapítja, hogy […] által előterjesztett érintetti kérelmek kezelése során a Kötelezett
a) megsértette a rendelet 15. cikk (1) bekezdésében szereplő, a hozzáféréshez való jog szabályait
tartalmazó rendelkezéseit,
b) megsértette a rendelet 18. cikk (1) bekezdés c) pontjában szereplő, az adatkezelés korlátozásához
való jog szabályait tartalmazó rendelkezését,
c) megsértette a rendelet 12. cikk (4) bekezdését.
2. A Hatóság megállapítja a Kötelezett érintetti jogok kezelése során kialakított, 2018. május 25. és
augusztus 1. között érvényben lévő eljárásrendjének jogellenességét abban a tekintetben, hogy nem tett
megfelelő technikai és szervezési intézkedéseket annak érdekében, hogy a kamerás adatkezeléshez
kapcsolódó érintetti joggyakorlás az általános adatvédelmi rendeletben foglaltak szerint biztosított legyen.
3. A Hatóság megállapítja a Kötelezett érintetti jogok kezelése során kialakított, 2019. november 26.
és 2020. március 3. között érvényben lévő eljárásrendjének jogellenességét abban a tekintetben, hogy nem
tett megfelelő technikai és szervezési intézkedéseket annak érdekében, hogy a kamerás adatkezeléshez
kapcsolódó érintetti joggyakorlás – így különösen a hozzáféréshez való jog, illetve az adatkezelés
korlátozásához való jog gyakorlása – az általános adatvédelmi rendeletben foglaltak szerint biztosított
legyen.
4. A Hatóság a Kötelezettet a vizsgált időszakban az 1., 2. és 3. pontban megállapított jogsértésekre
tekintettel a jelen határozat véglegessé válásától számított 30 napon belül
20 000 000 Ft, azaz húszmillió forint
adatvédelmi bírság
megfizetésére kötelezi.
A Kötelezettnek a megtett intézkedéseiről a bírósági felülvizsgálat kezdeményezésére irányadó
keresetindítási határidő leteltétől számított 30 napon belül tájékoztatnia kell a Hatóságot.
A bírságot a határozat véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek
beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla
IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2020/
1
Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről
és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet vagy GDPR vagy rendelet)
2
2204/8. BÍRS. számra kell hivatkozni.
Ha a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles
fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első
napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése
esetén a Hatóság elrendeli a határozat végrehajtását, a bírság és a késedelmi pótlék adók módjára történő
behajtását.
A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30
napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A
keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a
bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes
illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi
illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.
A Hatóság a határozatot honlapján a Kötelezett azonosító adataival, az eljárásba ügyfélként bevont […]
(a továbbiakban: Ügyfél) azonosító adatai nélkül közzéteszi.
INDOKOLÁS
I. Az eljárás menete és a tényállás tisztázása
I.1. Előzmények, a Hatósághoz érkezett bejelentés
A Nemzeti Adatvédelmi és Információszabadság Hatósághoz (a továbbiakban: Hatóság) érkezett és
NAIH/2019/2507. ügyszámon iktatott bejelentésben az Ügyfél előadta, hogy 2018. május 26. napján a
Kötelezett kaposvári üzletében (7400 Kaposvár, Achim András utca 4.; a továbbiakban: Üzlet) kilencezer-
kilencszázkilencven forint értékben vásárolt, fizetést követően úgy nyilatkozott, hogy nem kéri a
visszajárót. Előadta továbbá, hogy később vette észre, hogy húszezer forintos bankjeggyel fizetett, a blokk
szerint tízezer-tíz forint visszajárót kapott, állítása szerint azonban nem kapott visszajárót.
Az Ügyfél 2018. május 29. napján panaszt tett, amelyről – fogyasztói minőség kifogásáról szóló –
jegyzőkönyvet vettek fel. A jegyzőkönyv tartalmazza, hogy tájékoztatták a bejelentőt arról, hogy feljelentést
tehet a rendőrségen.
Az Ügyfél 2018. május 29. napján a Társaság részére címzett levelében részletesen ismertette a
történéseket, majd megfogalmazta a Társaság felé azon kérelmét, hogy szeretné megtekinteni a
megnevezett kamerafelvételt, illetve kérte, hogy a kamerafelvételt addig ne töröljék, amíg az általa
kifogásolt eset nincs leellenőrizve. A bejelentő arról is tájékoztatta a Társaságot, hogy – az Üzlet korábbi
tanácsára – megkereste a rendőrséget is, akik azt ajánlották neki, hogy forduljon a Társasághoz.
A Társaság az Ügyfél 2018. május 29. napján kelt kérelmét 2018. június 19. napján válaszolta meg. A
válaszlevélben arról tájékoztatta őt, hogy kamerafelvételt csak a rendőrség részére – hivatalos rendőrségi
megkeresésre – tudnak kiadni, jogorvoslattal a Somogy Megyei Rendőr-főkapitánysághoz fordulhat.
Az Ügyfél – az Üzletben – 2018. május 30. napján a vásárlók könyvébe is beleírta „panaszát”. E
dokumentum tartalmazza a bejelentő arra irányuló kérelmét, hogy „a 2018. május 26-ai (17 óra 14 perckor
készült) kamerafelvételt a cég vezetése mentse el”, mert ez az egyetlen bizonyíték, és a bejelentőnek
további igényeinek érvényesítéséhez szüksége van a felvételre. Az Üzlet a kérelemmel kapcsolatban azt
a megjegyzést rögzítette, hogy „Az adott napi kassza záráskor pénzforgalmi többlet, készpénz többlet nem
keletkezett”.
3
Az Ügyfél 2018. június 25. napján rendőrségi feljelentést tett ismeretlen tettes ellen, azonban a rendőrségi
eljárás során a megkeresés idejében a kamerafelvétel már nem állt rendelkezésre.
A Hatóság kioktatta az Ügyfelet a Hatóságnál kezdeményezhető eljárástípusokról, illetve azok
kezdeményezésének módjáról és feltételeiről, aki a kioktatást követően a Hatóság vizsgálatát
kezdeményezte, hatósági eljárásra irányuló kérelmet nem terjesztett elő.
I.2. Hivatalból indult hatósági ellenőrzés
I.2.1. A Hatóság a fentiek alapján indokoltnak látta, hogy hivatalból hatósági ellenőrzést indítson annak
ellenőrzése érdekében, hogy a Társaság az általa alkalmazott adatkezelési gyakorlat során betartja-e az
általános adatvédelmi rendeletben foglalt követelményeket. A hatósági ellenőrzés 2019. december 12-én
indult a NAIH/2019/8543. ügyiratszámon. A hatósági ellenőrzés során a Hatóság megállapította, hogy a
Társaság az ország területén széles körben kiterjedten, mind a 129 üzletében kamerákat üzemeltetett ezen
időszakban.
A hatósági ellenőrzés során a Társaság úgy nyilatkozott, hogy a vizsgált időszakban mindössze egyetlen
érintetti kérelem érkezett „e tárgyban” (azaz a kamerafelvételekhez való hozzáféréssel kapcsolatban) a
Társasághoz. A hozzáférési jog kezelése nem központi utasítás alapján történt, hanem egy hibás egyéni
döntés okozta, amely – a Társaság álláspontja szerint – a rendeletnek való megfelelő belső szabályozás
akkori hiánya: a rendelet alkalmazandóvá válásakor, 2018. május 25-én a Társaság ugyanis még nem
rendelkezett a kamerafelvételek tekintetében semmilyen belső adatkezelési szabályzással, így nem volt
szabályozva többek között annak módja sem, hogy miként kell kezelni az érintetti kérelmeket.
A Társaság egyebekben maga is elismerte, hogy álláspontja szerint nem a rendeletnek megfelelően került
sor a vizsgált időszakban beérkezett érintetti kérelem kezelésére.
A Társaság észlelte, hogy szükség van az üzletekben alkalmazott megfigyelőrendszerek szabályozásának
aktualizálására, ezért a Társaság 2018. június 18. és augusztus 1. napja között valamennyi üzletében
meghozta azt a döntést, hogy a kamerarendszert lekapcsolja, amíg a megfelelő szabályozás el nem
készül.
A Társaság elektronikus megfigyelőrendszerre vonatkozó szabályzata (a továbbiakban: Szabályzat) 2019.
november 26-án került elfogadásra, amely többek között részletes utasítást is tartalmaz arra vonatkozóan,
hogy miként kell kezelni a kamerafelvételekhez való hozzáférésre irányuló érintetti kérelmeket. E naptól
rögzítette a Társaság ismét a kamerafelvételeket, amelyeket 7 napig tárol.
I.2.2. A Szabályzat ehhez kapcsolódóan tartalmazza, hogy „Azon érintett, akinek jogát vagy jogos érdekét
a képfelvétel rögzítése érinti, jogának vagy jogos érdekének igazolásával kérheti, hogy a felvételt az
adatkezelő ne semmisítse meg, illetve ne törölje a bíróság vagy hatóság megkereséséig, de legfeljebb 30
napra. A felvételen szereplő személy kérheti továbbá, hogy az adatkezelő írásban tájékoztassa arról, mi
látható az őt tartalmazó felvételen. Az érintett csak olyan felvételről kaphat másolatot, amin más személy
nem, vagy csak felismerhetetlen módon szerepel. Ha a fentiek nem teljesíthetők, az adatkezelő biztosítja
az érintett számára, hogy megtekinthesse az őt (is) tartalmazó felvételt. A kamerafelvételek visszanézését
kizárólag a Deichmann Cipőkereskedelmi Kft. központjában lehet elvégezni, melyen az érintetten kívül
jelen lehet a revizor és a technikai feladatokkal az ügyvezető által megbízott más munkavállaló.”
A Szabályzat tartalmazza továbbá, hogy a kérelmeket a Társaság székhelyére címezve vagy az
[email protected] e-mail címre lehet kézbesíteni, amit a Társaság a kérelem beérkezésétől
számított egy hónapon belül megvizsgál és tájékoztatást ad az annak nyomán hozott intézkedésekről.
A Szabályzat tájékoztatást nyújt arról is, hogy az érintett bíróság előtt érvényesítheti jogait, továbbá a
Hatóságnál is élhet panasszal.
4
I.3. Hivatalból indult hatósági eljárás
I.3.1. Tekintettel arra, hogy a hatósági ellenőrzés során feltárt információk alapján a Hatóság azt
valószínűsítette, hogy a Társaság megsértette az általános adatvédelmi rendelet rendelkezéseit, 2020.
március 4. napján hivatalból adatvédelmi hatósági eljárás megindításáról döntött.
A hatósági eljárás annak vizsgálatára irányult, hogy a Társaság a vizsgált időszakban az általános
adatvédelmi rendeletnek megfelelően kezelte-e a hozzá beérkező érintetti kérelmeket, illetve az érintetti
joggyakorlás kezelésére kialakított gyakorlata megfelelt-e az általános adatvédelmi rendeletben
foglaltaknak.
Bár a Hatóság – a bejelentés során észlelt feltételezett jogsértést követően – az eljárást a Társaság érintetti
jogok kezelése során tanúsított általános gyakorlatának vizsgálatára indította, a Társaság arról számolt
be, hogy a vizsgált időszakban hozzá egyetlen érintetti kérelem érkezett. Mivel így a Társaságnál érintetti
jogait gyakorló személy – azaz az Ügyfél – kiléte beazonosíthatóvá vált, és a Hatóság – mivel más ismert
érintetti kérelem a Társaság állítása szerint nem volt – a megállapításokat kifejezetten rá vonatkozóan
tudja megtenni. Erre tekintettel a Hatóság az eljárásba az Ügyfelet ügyfélként bevonta a 2020. június 4-én
kelt, NAIH/2020/2204/6. számú végzésében.
I.3.2. A hatósági eljárás során a Kötelezett arról nyilatkozott, hogy az ügyfelektől érkezett megkeresések
alapján az alábbi nyilvántartásokat kezelik: Békéltető Testületi megkeresések (évente 4-500 megkeresés),
e-mailben érkezett panaszlevelek (a Kötelezett március 24-én kelt levelének időpontjában 1192 levél),
vásárlók könyve. A Kötelezett nyilatkozata alapján a Hatóság megállapította, hogy a vizsgált időszakban
a Kötelezett nem vezetett külön nyilvántartást az érintetti joggyakorlásra irányuló adatvédelmi tárgyú
megkeresésekről.
A Kötelezett előadta, hogy 2018. május 25. és augusztus 1. között rögzítették a kamerák az általuk látott
képet, 2018. augusztus 1. és 2019. november 26. között pusztán élőképet mutattak a monitorok, majd
2019. november 26-ától újraindult a kamerafelvételek rögzítése.
A Kötelezett megküldte a 2018. június 15-ei keltezésű „33. körlevél” elnevezésű dokumentumot, amely
körlevél 5.4. pontja tartalmazza a Kötelezett azon döntését, hogy a kamerák üzemeltetését valamennyi
üzletben leállítják.
Az első időszakban (2018. május 25.-augusztus 1.) a bejárat környékén, illetve a bolton belül felragasztott
matricákkal nyújtottak tájékoztatást a kamerás adatkezelés tényéről. A megküldött 2/A melléklet szerint a
kiragasztott tájékoztatás az alábbi szöveggel zajlott: „Kamerával megfigyelt terület. A felvétel rögzítésre
kerül.”.
A második időszakban (2018. augusztus 1.-2019. november 26.) az élőképes megfigyelésről szintén a
kiragasztott matricák nyújtottak tájékoztatást. A 2/C. melléklet szerint a következő szövegezés került
kihelyezésre: „Kamerával megfigyelt terület”. A melléklet 3.3.1. pontja adott útmutatót ahhoz, hogy milyen
matricákat kell elhelyezni az ajtókon. A 3.3.1. pont a „Kamerával megfigyelt terület” matrica elhelyezéséhez
azt az instrukciót adta, hogy ezt a matricát csak azokban az üzletekben kell elhelyezni, ahol a kamera
rögzít.
A harmadik időszakban (2019. november 26-ától) a tájékoztatás az üzlettérbe és tükörre kiragasztott
matricákkal történt. A Kötelezett a munkavállalói részére ezeken felül tájékoztatást nyújtott a külön a
részükre készített adatkezelési tájékoztatóban is.
I.3.3. A Társaság 2019. december 20-án megküldte valamennyi üzletnek, területi vezetőnek, dekoratőrnek
és Helpdesknek a 66. számú körlevelet. A Társaság a 66. körlevélben kifejezetten kérte a munkatársakat,
hogy a kamerás adatkezeléssel kapcsolatban olvassák el a munkatársaknak szóló tájékoztatón túl a
vásárlóknak készült verziót is, annak érdekében, hogy tudják, milyen jogosultságai vannak a vásárlóknak
a kamerafelvételek kikérése során.
5
I.3.4. A Kötelezett mindezeken túl előadta, hogy a Hatóság az alábbi tényeket vegye enyhítő
körülményként figyelembe: a Kötelezett a jogsértő állapot felismerését követően elrendelte az adatkezelés
megszüntetését; 2019. november 26-án elfogadták az elektronikus megfigyelőrendszerekre vonatkozó
szabályzatot; a vizsgált időszakban mindössze egyetlen érintetti kérelem érkezett; adatvédelmi
szakjogászok bevonásával az adatkezelési gyakorlat átalakítása folyamatban van; a bejelentőt olyan
módon próbálták kárpótolni, hogy részére felajánlottak harmincezer forintot, amit a bejelentő nem fogadott
el.
II. Az ügyben alkalmazandó jogszabályok
Az Infotv. 2. § (1) bekezdése szerint e törvény hatálya - a személyes adatok tekintetében a (2)-(6)
bekezdésben meghatározottak szerint - minden olyan adatkezelésre kiterjed, amely személyes adatra,
valamint közérdekű adatra vagy közérdekből nyilvános adatra vonatkozik.
Az Infotv. 2. § (2) bekezdése szerint személyes adatoknak az (EU) 2016/679 európai parlamenti és tanácsi
rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó kezelésére az általános
adatvédelmi rendeletet a III-V. és a VI/A. Fejezetben, valamint a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21.,
23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2)
bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2)
bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §-
ban, az 55. § (1)-(2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1)
bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10)
bekezdésében, a 62-71. §-ban, a 72. §-ban, a 75. § (1)-(5) bekezdésében, a 75/A. §-ban és az 1.
mellékletben meghatározott kiegészítésekkel kell alkalmazni.
Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében
a Hatóság hivatalból adatvédelmi hatósági eljárást indíthat.
Az általános adatvédelmi rendelet (171) preambulumbekezdése alapján az e rendelet alkalmazásának
időpontja előtt megkezdett adatkezelést e rendelet hatálybalépésének időpontjától számított két éven belül
összhangba kell hozni e rendelettel. Ha az adatkezelés a 95/46/EK irányelv szerinti hozzájáruláson alapul
és az érintett az e rendeletben foglalt feltételekkel összhangban adta meg hozzájárulását, nem kell
ismételten az érintett engedélyét kérni ahhoz, hogy az adatkezelő e rendelet alkalmazási időpontját
követően is folytathassa az adatkezelést. A 95/46/EK irányelv alapján a Bizottság által hozott határozatok,
valamint a felügyeleti hatóságok által kiadott engedélyek hatályban maradnak mindaddig, amíg
módosításukra, felváltásukra vagy hatályon kívül helyezésükre sor nem kerül.
Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján e rendeletet kell alkalmazni a személyes
adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes
adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét
képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.
Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja alapján a személyes adatok kezelését
jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség,
tisztességes eljárás és átláthatóság”).
Az általános adatvédelmi rendelet 12. cikk (1) bekezdése alapján az adatkezelő megfelelő
intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó,
a 13. és a 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes
tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően
megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az
információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni. Az
érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett
személyazonosságát.
6
Az általános adatvédelmi rendelet 12. cikk (4) bekezdése alapján, ha az adatkezelő nem tesz
intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől
számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról,
hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.
Az általános adatvédelmi rendelet 12. cikk (5) bekezdése alapján a 13. és 14. cikk szerinti információkat
és a 15–22. és 34. cikk szerinti tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett
kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az adatkezelő,
figyelemmel a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó
adminisztratív költségekre:
Az általános adatvédelmi rendelet 13. cikk (2) bekezdés b) pontja alapján az (…) adatkezelő a személyes
adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést
biztosítsa, az érintettet tájékoztatja az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá
vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének
korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett
adathordozhatósághoz való jogáról.
Az általános adatvédelmi rendelet 15. cikk (1) bekezdése alapján az érintett jogosult arra, hogy az
adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban
van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz (…)
hozzáférést kapjon.
Az általános adatvédelmi rendelet 15. cikk (3) bekezdése alapján az adatkezelő az adatkezelés tárgyát
képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további
másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel.
Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt
elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.
Az általános adatvédelmi rendelet 15. cikk (4) bekezdése alapján a (3) bekezdésben említett, másolat
igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait.
Az általános adatvédelmi rendelet 18. cikk (1) bekezdés c) pontja alapján az érintett jogosult arra, hogy
kérésére az adatkezelő korlátozza az adatkezelést, ha az adatkezelőnek már nincs szüksége a személyes
adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez,
érvényesítéséhez vagy védelméhez.
Az általános adatvédelmi rendelet 24. cikk (1) bekezdése alapján az adatkezelő az adatkezelés jellege,
hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett,
változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési
intézkedéseket hajt végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése e
rendelettel összhangban történik. Ezeket az intézkedéseket az adatkezelő felülvizsgálja és szükség esetén
naprakésszé teszi.
Az általános adatvédelmi rendelet 24. cikk (2) bekezdése alapján, ha az az adatkezelési tevékenység
vonatkozásában arányos, az (1) bekezdésben említett intézkedések részeként az adatkezelő megfelelő
belső adatvédelmi szabályokat is alkalmaz.
Az általános adatvédelmi rendelet 25. cikk (1) bekezdése alapján az adatkezelő a tudomány és technológia
állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai,
valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és
súlyosságú kockázat figyelembevételével mind az adatkezelés módjának meghatározásakor, mind pedig
az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket – például álnevesítést – hajt
végre, amelyek célja egyrészt az adatvédelmi elvek, például az adattakarékosság hatékony
7
megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak
védelméhez szükséges garanciák beépítése az adatkezelés folyamatába.
Az általános adatvédelmi rendelet (78) preambulumbekezdése alapján a természetes személyeket
személyes adataik kezelése tekintetében megillető jogok és szabadságok védelme megköveteli az e
rendelet követelményeinek teljesítését biztosító megfelelő technikai és szervezési intézkedések
meghozatalát. Ahhoz, hogy az adatkezelő igazolni tudja az e rendeletnek való megfelelést, olyan belső
szabályokat kell alkalmaznia, valamint olyan intézkedéseket kell végrehajtania, amelyek teljesítik
különösen a beépített és az alapértelmezett adatvédelem elveit.
Az Infotv. 61. § (1) bekezdés a) pontja alapján az adatvédelmi hatósági eljárásban hozott határozatában
a Hatóság a 2. § (2) és (4) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az
általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja.
Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b), d) és i) pontja alapján a felügyeleti hatóság
korrekciós hatáskörében eljárva elmarasztalja az adatkezelőt vagy adatfeldolgozót, ha adatkezelési
tevékenysége megsértette a rendelet rendelkezéseit, illetve a 83. cikknek megfelelően közigazgatási
bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken
túlmenően vagy azok helyett.
Az általános adatvédelmi rendelet 83. cikk (5) bekezdése alapján az adatkezelés elveire – ideértve a
hozzájárulás feltételeit – vonatkozó, az általános adatvédelmi rendelet 5., 6., 7. és 9. cikkében foglalt
szabályok megsértése esetén – a 83. cikk (2) bekezdésével összhangban – legfeljebb 20 000 000 EUR
összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves
világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb
összeget kell kiszabni.
III. Döntés:
Az általános adatvédelmi rendeletet 2018. május 25. napjától kell alkalmazni, így a 2018. május 26. napján
készült kamerafelvétel tekintetében az ezt követő napokon előterjesztett kérelmekre a rendelet szabályait
kell alkalmazni.
A rendelet azonban már 2016. április 27. napján hatályba lépett, a (171) preambulumbekezdés pedig – az e
rendelet alkalmazásának időpontja előtt megkezdett adatkezelések tekintetében – a rendelet
hatálybalépésének időpontjától számított kétéves „türelmi időt” biztosított az adatvédelmi szabályozás
rendelettel való összhangba hozatalára.
Bár a vizsgált időszak nem terjed ki a 2018. május 25. napját megelőző adatkezelésekre, a Hatóság
megjegyzi, hogy az adatvédelmi szabályozásban az érintetti joggyakorlás biztosítása ezen időszakban is
kiemelten fontos volt: az érintett tájékoztatáshoz való jogát az Infotv. is rögzítette, és a Hatóság gyakorlata
alapján e jogosultság része volt az érintett kamerafelvételekbe való betekintési joga is, továbbá a zároláshoz
való jog tartalmát tekintve hasonló jellegű jogintézmény volt a GDPR-ban szabályozott adatkezelés
korlátozáshoz való jogával is, így a bejelentő által előterjesztett kérelmek kezelési módjának ismertnek kellett
volna lennie a Társaság előtt.
III.1. Az Ügyfél érintetti kérelmeinek kezelése
Mivel a Társaság arról számolt be, hogy a vizsgált időszakban hozzá egyetlen érintetti kérelem érkezett,
és így a Társaságnál érintetti jogait gyakorló személy kiléte beazonosíthatóvá vált, a Hatóság a
Társasághoz érkezett érintetti kérelem kezelésére vonatkozó megállapításait kifejezetten az Ügyfélre
vonatkozóan teszi meg.
III.1.1. Az Ügyfél 2018. május 29. napján a Társaság részére címzett kérelme tartalmazta, hogy szeretné
megtekinteni a megnevezett kamerafelvételt, amely kérelem a rendelet 15. cikk (1) bekezdése szerinti
8
hozzáférési kérelemnek minősül, amely alapján a Társaság a személyes adatokhoz való hozzáférést olyan
módon lett volna köteles biztosítani, hogy az Ügyfél a róla készült felvételekbe betekinthessen.
A Társaság 2018. június 19. napján megválaszolt leveléből az tűnik ki, hogy a Társaság arról tájékoztatta
az Ügyfelet, hogy kamerafelvételt csak a rendőrség részére – hivatalos rendőrségi megkeresésre – tudnak
kiadni, jogorvoslattal a Somogy Megyei Rendőr-főkapitánysághoz fordulhat.
A Hatóság mindenekelőtt megjegyzi, hogy a kamerafelvételeket egy adatkezelő nem csupán a rendőrség
részére köteles átadni, hanem – azon túl, hogy egyébként adatszolgáltatási kötelezettsége áll fenn bármely
bíróság vagy hatóság felé is – a GDPR 15. cikk (3) bekezdése alapján a kamerafelvételen szereplő
valamely személy részére köteles hozzáférést biztosítani a felvétel azon részéhez, amelyen az adott
személy szerepel.
Az Ügyfél azonban nem az eredeti kamerafelvételt vagy az arról készült másolat kiadását kérte a
Társaságtól, hanem azt, hogy a rögzített felvételekbe betekinthessen, a Társaság viszont a felvétel
megtekintése és a felvétel kiadása iránti igény közötti különbséget nem ismerte fel, és úgy bírálta el a
kérelmet, mintha az Ügyfél a felvétel kiadását kérte volna, holott egyébként a felvétel megtekintéséhez
való és a felvételről készült másolat kiadásához fűződő jogosultság egyaránt megillette.
A Társaság tehát azon túl, hogy nem engedélyezett betekintést a rögzített kamerafelvételbe, sem a
betekintés megtagadásának tényéről, sem pedig a betekintés megtagadásának indokairól nem adott
tájékoztatást.
Fentiek alapján a Hatóság megállapította, hogy bár a Társaság a GDPR által meghatározott egy hónapos
határidőn belül megválaszolta az Ügyfél érintetti joggyakorlásra irányuló kérelmét, abban nem indokolta,
hogy a felvételekbe való betekintést miért nem engedélyezi számára, illetve az érintetti joggyakorlást nem
megfelelő indokok alapján tagadta meg, így az Ügyfél hozzáférési jogának kezelése nem felelt meg a
GDPR 15. cikk (1) bekezdésének.
Amennyiben egy adatkezelő az érintett kérelmének teljesítését megtagadja, azaz annak nyomán
semmilyen intézkedést nem hoz, így jelen esetben, amennyiben a Társaság úgy dönt, hogy az Ügyfél erre
irányuló kérelme ellenére nem biztosít részére hozzáférést a róla készült kamerafelvételhez, úgy a GDPR
12. cikk (4) bekezdése alapján – a megtagadás indokainak részletezésén túl – köteles tájékoztatni őt arról,
hogy az panaszt nyújthat be valamely felügyeleti hatóságnál (azaz jelen esetben a Hatóságnál), és élhet
a bírósághoz fordulás jogával.
A jogorvoslathoz való jogról adott tájékoztatás azért különösen fontos az érintetti jogok kezelése során,
mivel az adatvédelmi vonatkozású jogszabályokban kevésbé jártas személy nincs feltétlenül tisztában
azzal, hogy mely területen ért korlátozás esetén mely hatósághoz fordulhat, így ezen ismeret hiányában
az esetlegesen őt ért jogsértés, jogkorlátozás orvosolatlan marad. Ezt támasztja alá, hogy jelen esetben a
bejelentő sem volt tisztában azzal, hogy az általa benyújtott kérelem adatvédelmi tárgyú érintetti
joggyakorlásnak minősül, amely elutasítása esetén a Hatósághoz fordulhat. Mire a bejelentő a megfelelő
jogorvoslati fórumról tudomást szerzett, addigra olyan hosszú idő telt el, hogy a róla készült
kamerafelvétellel a Társaság már nem rendelkezett, így a Hatóság sem tudta kötelezni a Társaságot annak
kiadására, így az érintett kérelmének megfelelő teljesítésére sem.
Fentiek alapján a Hatóság megállapította, hogy az Ügyfél hozzáférési kérelmének megtagadása során a
Társaság nem a GDPR 12. cikk (4) bekezdése alapján járt el, így az Ügyfél hozzáférési kérelmének
kezelése nem felelt meg a GDPR előírásainak.
III.1.2. Az Ügyfél 2018. május 29. napján kelt kérelme tartalmazza továbbá, hogy a kamerafelvételt addig
ne töröljék, amíg az általa kifogásolt eset nincs leellenőrizve. Az Ügyfél 2018. május 30. napján kelt
kérelme részletesebben tartalmazza, hogy „a 2018. május 26-ai (17 óra 14 perckor készült) kamerafelvételt
a cég vezetése mentse el”, mert ez az egyetlen bizonyíték, és a bejelentőnek további igényei
érvényesítéséhez szüksége van a felvételre.
9
A rendelet 18. cikk (1) bekezdés c) pontja alapján bármely érintett, akinek jogi igényei előterjesztéséhez,
érvényesítéséhez vagy védelméhez szüksége van a róla kezelt személyes adatra, jogosult arra, hogy
kérésére az adatkezelő az adatot „ne törölje”, akkor sem, ha az adatkezelőnek – az egyébként általa
meghatározott megőrzési időn túl – már egyébként nincs szüksége a személyes adatokra adatkezelés
céljából.
Az adatkezelés korlátozása nélkül gyakori helyzet lehetne, hogy amikor az érintett jogi igényeit kívánja
érvényesíteni (pl. feljelentést tesz a rendőrségen vagy bíróság eljárását kezdeményezi), és a megindult
eljárás során az eljáró szerv bekéri a bizonyításhoz szükséges kamerafelvételt, akkor az adat már nem állna
az adatkezelő rendelkezésére, ugyanis az adatkezelés céljához szükséges megőrzési idő addigra már
letelne. Ezt támasztja alá az Ügyfél esete is, amikor – a Társaság tanácsára – rendőrségi feljelentést tett,
azonban amikor az eljárás abba a szakaszba ért, hogy a rendőrség bekérje a megnevezett felvételt, a
Társaság – mivel az Ügyfél kérelmét nem vette figyelembe – azt addigra már törölte, így a rendőrségi
eljárásban nem sikerült bizonyítani a bejelentő állításait, illetve azok ellenkezőjét sem.
Az adatkezelés korlátozásához való jog érvényre juttatása különösen fontos lehet egy olyan üzlethelyiségben
működtetett kamerarendszer esetén, ahol pénzkezelés történik, ugyanis mind a vásárló, mind az eladó
oldalán felmerülhet a felvétel eljárásban való felhasználása iránti igény, ha egy vitás helyzetet nem tudnak
eldönteni. A felvételek rendelkezésre állása nélkül károsodhat mindkét fél, ugyanis egyedül a kamerafelvétel
birtokában lehet bizonyítani, hogy a vásárló mekkora összeget fizetett ki, illetve az eladó mekkora összeget
vett át, így előfordulhat, hogy az eladó rosszul ad vissza a vásárlónak, így vagy hiány keletkezik a kasszában,
vagy a vásárló több pénzt fizet ki a termékért, mint amennyibe az valójában kerülne.
Mind a 2018. május 29-én, mind a május 30-án írt kérelemre adott válaszból, reakcióból kitűnik, hogy a
Társaság arra, hogy „a felvételeket mentse el”, illetve „addig ne törölje, amíg nincs leellenőrizve”,
semmilyen módon nem reagált.
A május 29-én kelt levélre adott válaszban a Társaság csak arról nyilatkozott, hogy a kamerafelvételt csak
rendőrségnek áll módjában átadni, arra azonban nem tért ki, hogy mi az akadálya a felvételek
megőrzésének, illetve magáról a tényről, hogy a felvételeket nem őrzi meg a szokásos megőrzési időn túl,
szintén nem nyújtott tájékoztatást az Ügyfélnek, a kérelem teljesítését azonban egyértelműen megtagadta,
mivel a rendőrségi eljárás során a felvételekkel már nem rendelkezett.
A május 30-án kelt levélre adott válaszban a Társaság szintén nem indokolta, hogy miért nem őrzi meg a
felvételeket a szokásos megőrzési időn túl, illetve szintén nem adott tájékoztatást a megtagadás tényéről
sem, pusztán arról, hogy „Az adott napi kassza zárásakor pénzforgalmi többlet, készpénz nem keletkezett”.
A Hatóság a fentiek alapján megállapította, hogy a Társaság az Ügyfél adatkezelés korlátozása iránti
kérelmének kezelése során megsértette a GDPR 12. cikk (4) bekezdését, valamint a 18. cikk (1) bekezdés
c) pontját.
III.2. A Kötelezett 2018. május 25. és augusztus 1. között fennálló adatkezelési gyakorlata
Bár a vizsgált időszakban mindössze egyetlen érintetti kérelmet azonosított a Társaság, a Hatóság e
nyilatkozatot nem fogadta el, ugyanis az egyetlen ismert kérelem kezelése alapján az a következtetés
vonható le, hogy a Társaság – a Hatóság eljárásának megindítása előtt – nem ismerte fel, hogy a beérkezett
kérelem adatvédelmi tárgyú, amely a GDPR III. fejezetében foglalt érintetti jogok gyakorlására irányul.
III.2.1. 2018. május 29-én a kaposvári üzletben fogyasztóvédelmi panaszt vett fel a munkatárs a
kérelemről, mert nem észlelte, hogy a kérelem adatvédelmi tárgyú. A fogyasztóvédelmi panaszt rögzítő
jegyzőkönyv szerint az eljáró munkatárs egyeztetett az értékesítési osztállyal is, ahol szintén nem tudták
azonosítani az érintetti kérelmet: az értékesítési osztály is azt a javaslatot tette, hogy az Ügyfél tegyen
feljelentést.
10
2018. május 30-án a kaposvári üzletben eljáró munkatárs a vásárlók könyvébe jegyeztette fel a kérelmet
az Ügyféllel, aki szintén nem észlelte, hogy a kérelem érintetti joggyakorlásnak minősül.
Nem tudta érintetti kérelemként azonosítani a beadványt a vevőszolgálati asszisztens sem, aki az Ügyfél
által a Társaság székhelyére küldött, a vezető tisztségviselőnek címzett levelet 2018. június 18-án
válaszolta meg, illetve amennyiben a vezető tisztségviselő – mint a levél címzettje – a kérelmet maga is
olvasta, maga a vezető tisztségviselő sem.
Mivel maga a Társaság is úgy nyilatkozott, hogy az érintetti kérelem nem megfelelő kezelését az okozta,
hogy a Társaság ezen időszakban a kamerafelvételek tekintetében adatvédelmi szabályozással egyáltalán
nem rendelkezett, előfordulhat, hogy a Társasághoz az egyetlen ismert kérelmen kívül több adatvédelmi
tárgyú kérelem is érkezett, azonban azokat – az ismert kérelemhez hasonlóan – nem azonosította
adatvédelmi tárgyú beadványként.
Ezt erősíti meg az is, hogy a Társaság a beérkező üzenetekről rendszerezetten vezetett nyilvántartást, de
nem különítette el az adatvédelmi tárgyú érintetti beadványokat, hanem az Ügyfél – egyébként adatvédelmi
tárgyú – beadványát fogyasztóvédelmi panaszként vette jegyzőkönyvbe, illetve az a vásárlók könyvébe is
feljegyzésre került. A Társaság a hozzáérkező beadványokról három különböző nyilvántartást vezetett
(Békéltető Testületi megkeresések, e-mailben érkezett panaszlevelek, vásárlók könyve), de ez nem jelenti
azt, hogy egyéb adatvédelmi tárgyú bejelentések ne érkezhettek volna a Társasághoz, mivel a bejelentő
kérelmét is panasznak, illetve a vásárlók könyvében rögzített bejegyzésnek minősítették.
III.2.2. A GDPR 24. cikke tartalmazza az adatkezelő általános kötelezettségeit: ez alapján az adatkezelő
köteles megfelelő technikai és szervezési intézkedéseket végrehajtani annak biztosítása és bizonyítása
céljából, hogy a személyes adatok kezelése a GDPR-ral összhangban történik. Ha az az adatkezelési
tevékenység vonatkozásában arányos, az ezen intézkedések részeként az adatkezelő köteles megfelelő
belső adatvédelmi szabályokat is alkalmazni.
A GDPR 25. cikke konkretizálja a 24. cikkben megfogalmazott általános kötelezettségeket: az e cikkben
szabályozott beépített és alapértelmezett adatvédelem alapelve kifejezetten megköveteli, hogy érintettek
jogainak védelméhez szükséges garanciákat az adatkezelő már az adatkezelés folyamatába beépítse, azaz
az adatvédelmi szempontok már a tervezés során megjelenjenek, és ne már a kialakított gyakorlatot
követően kerüljön sor a szükséges intézkedések meghozatalára.
Mindez azt jelenti, hogy a Társaságnak már a kamerás adatkezelés tervezése, kialakítása során – azaz még
a kamerák üzembe helyezése előtt – meg kellett volna hoznia azokat a szervezési, illetve technikai
intézkedéseket, amelyek az érintettek GDPR III. fejezetében szereplő jogait biztosítani tudják.
Ezen intézkedések körébe tartozik egyrészt az érintetti jogok kezelésére vonatkozó belső eljárásrend
kialakítása, így többek között kijelölni azt a személyt, aki felelős az érintetti kérelmek kezeléséért; kialakítani
azon csatornákat, ahol a Társaság az érintetti kérelmeket fogadni tudja; adott esetben adatvédelmi tisztviselő
kijelölése; kialakítani az érintetti joggyakorlás szabályait (pl. a Társaság az üzletekben készült
kamerafelvételhez való hozzáférési jogot személyesen, postai úton vagy elektronikus úton tudja biztosítani);
megfelelő adatbiztonsági intézkedéseket hozni; vezetni a 30. cikk szerinti adatkezelési nyilvántartást.
A szükséges intézkedések közé tartozik továbbá az érintettek megfelelő tájékoztatási gyakorlatának
kialakítása, amely keretében az érintettek ismereteket kapnak az adatkezelés tényéről és legfontosabb
körülményeiről, így többek között arról, milyen jogosultságok illetik meg őket a kamerás adatkezeléssel
kapcsolatban, illetve az esetleges kérelmeiket kinek és milyen elérhetőségre címezhetik, arra milyen
határidőn belül kaphatnak választ, illetve egyet nem értésük esetén mely szervhez fordulhatnak
jogorvoslatért.
Tekintettel arra, hogy a Társaság az ország területén széles körben kiterjedten, mind a 129 üzletében
kamerákat üzemeltetett ezen időszakban, a Hatóság álláspontja szerint a kamerás adatkezelés
vonatkozásában arányos elvárás, hogy a Társaság – a GDPR 24. cikk (2) bekezdésének eleget téve –
11
megfelelő belső adatvédelmi szabályokat is alkalmazzon. E körben szükséges lett volna a Társaság
valamennyi, ügyfelekkel dolgozó alkalmazottjának – így különösen az eladótérben, illetve az
ügyfélszolgálaton dolgozók – kitanítása arról, hogy a GDPR alapján kamerás adatkezelés esetén milyen
érintetti kérelmek fordulhatnak elő, hogyan lehet felismerni és elkülöníteni e kérelmeket az egyéb
beadványoktól, panaszoktól, hogyan kell kezelni e kérelmeket, a Társaságon belül mely szervezeti
egységhez kell továbbítani e kérelmeket.
Mindezen intézkedések elmaradása vezetett ahhoz, hogy a Társaság – a fent részletezettek szerint – nem
ismerte fel, hogy az egyetlen ismert kérelem a GDPR 15. cikk (1) bekezdése szerinti hozzáférési, illetve a
18. cikk (1) bekezdés c) pontja szerinti korlátozási kérelemnek minősül. Ez oda vezetett, hogy a Társaság –
a bejelentő többszöri kérése ellenére – nem engedett betekintést a bejelentő részére a róla készült
kamerafelvételbe, illetve azt nem is korlátozta. A Társaság továbbá arról sem tájékoztatta a bejelentőt, hogy
jogorvoslatért a bírósághoz, illetve a Hatósághoz fordulhat, hanem tévesen arra hívta fel figyelmét, hogy a
kamerafelvételt csak a rendőrség részére – hivatalos rendőrségi megkeresésre – tudnak kiadni,
jogorvoslattal a Somogy Megyei Rendőr-főkapitánysághoz fordulhat.
Tekintettel arra, hogy a Társaság ezen időszakban a kamerás adatkezelés, így ezáltal a kamerás
adatkezeléshez kapcsolódó érintetti joggyakorlás tekintetében semmilyen szervezési és technikai
intézkedéseket nem hozott, megsértette a rendelet 25. cikk (1) bekezdését.
III.3. A Kötelezett 2019. november 26. napját követően végzett adatkezelési gyakorlatának értékelése
A Társaság – kamerarendszer működtetése során végzett – adatkezelési gyakorlatát rendező Szabályzat
2019. november 26-án került elfogadásra, amely többek között részletes utasítást is tartalmaz arra
vonatkozóan, hogy miként kell kezelni a kamerafelvételekhez kapcsolódó érintetti kérelmeket.
III.3.1. A hozzáférési kérelmek kezelésére kialakított szabályozás
A Szabályzat a kamerafelvételekhez való hozzáférés keretében három jogosultságot szabályoz: a
kamerafelvételen rögzített történésekről való írásbeli tájékoztatás kérése, másolat kérése a
kamerafelvételről, a kamerafelvétel megtekintése.
A Szabályzat korlátozza az érintettek másolat kiadásához fűződő jogát, ugyanis a Társaság e dokumentum
szerint csak abban az esetben adja ki a felvétel másolatát az érintett részére, ha azon az érintetten kívül
más személy nem szerepel. Ha az érintett olyan felvétel kiadását kéri, amin rajta kívül más is szerepel,
akkor a felvétel tartalmát csak olyan módon tudja megtekinteni, ha befárad a Társaság központjába
(Budapestre) és ott megtekinti a felvételt. A Társaság annak ellenére alkalmazza ezt a gyakorlatot, hogy a
GDPR 15. cikk (3) bekezdése egyértelműen úgy rendelkezik, hogy az adatkezelő az érintett erre irányuló
kérelmére köteles a felvétel másolatát az érintett részére kiadni: az első alkalommal ingyenesen köteles
ezt megtenni az adatkezelő, míg a további alkalmak esetén díjat számíthat fel a másolatkészítésért.
A Társaságnak a fentiek alapján tehát másolat-kiadási kötelezettsége van, amely során – a GDPR 15. cikk
(4) bekezdését szem előtt tartva – köteles biztosítani, hogy az érintett hozzáférési kérelmének teljesítése
során más személy jogai ne sérüljenek. Mivel a másolatkiadási kötelezettsége a Társaságnak ettől
függetlenül fennáll, így a GDPR 15. cikk (4) bekezdését nem úgy kell biztosítania, hogy – a felvételen
szereplő más személyek esetén – az érintett részére egyáltalán nem adja ki az általa kért kamerafelvétel
másolatát, hanem megfelelő technikai intézkedésekkel (pl. maszkolással) kell a Társaságnak garantálnia,
hogy a felvételen szereplő egyéb személyek jogai ne sérüljenek, miközben az érintett hozzáférési kérelmét
teljesíti. Az érintetti jogok ilyen módon való korlátozása különösen azért jelentős, mivel a Társaság az
ország területén jelentős számú – több, mint ötven – városban rendelkezik üzlethelyiséggel, így nem
várható el valamennyi érintettől, hogy több órát utazzon a fővárosi székhelyre, ha a felvételek tartalmát
meg kívánja ismerni.
A Szabályzat korlátozza továbbá az érintettek felvétel megtekintéséhez fűződő jogát is, mivel a
szövegezésből az következik, hogy kizárólag akkor van lehetőség a felvétel megtekintésére a Társaság
12
központjában, ha a felvételen az érintetten kívül más személy is szerepel, így – saját gyakorlatuk alapján
– részére a kamerafelvételt nem tudják kiadni.
Az érintett másolat kiadásához fűződő jogát tehát a GDPR 15. cikk (3) bekezdése írja elő, míg a felvétel
megtekintéséhez való jog a GDPR 15. cikk (1) bekezdés szerinti személyes adatokhoz való hozzáférést
jelent. E két jogosultság a GDPR 15. cikke szerinti hozzáféréshez való jog két különböző részjogosultsága,
amelyek mindegyike külön-külön, egymástól függetlenül megilleti az érintettet, így nem megfelelő az a
gyakorlat, ha az egyik (felvétel megtekintése) gyakorlására akkor van lehetőség, ha a másik (felvételről
készült másolat kiadása) nem teljesíthető, hanem az érintett kérelmét a kérelem tartalma szerint kell
teljesíteni, akár a felvételről készült másolat kiadását kéri, akár a felvételt megtekinteni szeretné.
A GDPR 12. cikk (5) bekezdése ugyan szűk körben lehetőséget biztosít az adatkezelőnek arra, hogy egy
érintetti kérelemmel kapcsolatban megtagadja az intézkedés meghozatalát (jelen esetben a felvétel
megtekintésének biztosítását vagy az arról készült másolat kiadását), azonban kizárólag akkor, ha az
érintett kérelme megítélése szerint egyértelműen megalapozatlan vagy túlzó.
Fentiek alapján a Hatóság megállapította, hogy a Társaság adatkezelési szabályozásának kialakítása
során olyan szervezési intézkedéseket hozott, amelyek nem biztosítják az érintettek hozzáférési jogát a
GDPR 15. cikk (1) és (3) bekezdésében előírt feltételek szerint, ezáltal a Társaság megsértette a GDPR
25. cikk (1) bekezdését.
III.3.2. Az adatkezelés korlátozása érdekében előterjesztett kérelmek kezelésére kialakított
szabályozás
A Szabályzat azt tartalmazza, hogy „azon érintett, akinek jogát vagy jogos érdekét a képfelvétel rögzítése
érinti, jogának vagy jogos érdekének igazolásával kérheti, hogy a felvételt az adatkezelő ne semmisítse
meg, illetve ne törölje a bíróság vagy hatóság megkereséséig, de legfeljebb 30 napra”.
A Hatóság elöljáróban rögzíti, hogy ezt a rendelkezést korábban az Szvtv.2 tartalmazta, amely rendelkezés
azonban a GDPR 2018. május 25-ei alkalmazandóvá válását követően a végrehajtáshoz szükséges
jogharmonizáció miatt megváltoztatásra került, és a Szabályzat megalkotásakor az Szvtv már nem
tartalmazta ezt a rendelkezést.
A Hatóság továbbá megjegyzi, hogy a GDPR előírásai a magyar jogalanyokra 2018. május 25-től
közvetlenül alkalmazandóak, kivéve azokat, amelyek teljes körű alkalmazásához, végrehajtásához az
egyes tagállamok nemzeti jogszabályaiban előírt további rendelkezések szükségesek. Emellett a rendelet
bizonyos – korlátozott – körben lehetőséget ad a tagállamoknak kiegészítő vagy ahhoz képest
meghatározott irányban eltérő szabályok megalkotására, azonban az érintetti jogok gyakorlása nem esik
ebbe a körbe, vagyis, ha az érintett kéri az adatkezelőtől az adatkezelés korlátozását, azt az adatkezelőnek
végre kell hajtania.
Sem a GDPR, sem az Szvtv. nem tartalmaz már olyan szabályt, amely előírná, hogy az adatkezelést csak
az erre irányuló kérelem előterjesztésétől számított legfeljebb 30 napig lehet korlátozni, hiszen ha az
adatkezelés korlátozására irányuló kérelem beérkezésétől számított 30 napot követően az adatkezelő
törölné a korlátozni kért felvételeket, az adott esetben nem jelentene segítséget a jogait érvényesíteni
kívánó érintettnek, mert az általa kezdeményezett eljárás adott esetben még nem érne abba a szakaszba,
hogy az eljáró szerv a felvétel birtokában lévő adatkezelőt megkeresse.
Továbbá a GDPR az adatkezelés korlátozásához való jog – illetve bármely érintetti jog – gyakorlására
vonatkozó rendelkezései nem támasztanak olyan feltételt, hogy a korlátozáshoz való jog érvényesítéséhez
az érintett jogát vagy jogos érdekét igazolni lenne köteles.
2
A személy- és vagyonvédelmi, valamint a magánnyomozói tevékenység szabályairól szóló 2005. évi CXXXIII. törvény (a továbbiakban: Szvtv.)
13
Az adatkezelés korlátozásához való jog ilyen módon való értelmezése jogkorlátozó, így a Társaság
adatkezelési szabályozásának kialakítása során olyan szervezési intézkedéseket hozott, amelyek nem
biztosítják az érintettek adatkezelés korlátozásához fűződő jogát a GDPR 18. cikke által előírt feltételek
szerint, ezáltal a Társaság megsértette a GDPR 25. cikk (1) bekezdését.
IV. Alkalmazott szankció és indokolása
A Hatóság megállapította, hogy a Kötelezett vizsgált időszakban végzett adatkezelése során – a III.1.
pontban rögzítettek alapján – az Ügyfél érintetti joggyakorlásának kezelése során megsértette a rendelet 12.
cikk (4) bekezdését, továbbá a 15. cikk (1) bekezdését, illetve a 18. cikk (1) bekezdés c) pontját. A Kötelezett
– a III.2. és III.3. pontok szerint – megsértette a rendelet 25. cikkének (1) bekezdését. E jogsértés
vonatkozásában a Hatóság a bírságszankció alkalmazását tartotta helyénvalónak az alábbiak szerint.
Abban a kérdésben, hogy indokolt-e az adatvédelmi bírság kiszabása, a Hatóság az általános adatvédelmi
rendelet 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes
körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se
nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges.
A Hatóság szükségesnek tartja a bírság kiszabását, mivel a Kötelezett a vizsgált időszakban 2019.
november 26. napjáig – a kamerafelvételek tekintetében – semmilyen adatvédelmi szabályozással nem
rendelkezett, azaz nem hozta meg a szükséges szervezési intézkedéseket annak érdekében, hogy az
érintettek joggyakorlása a GDPR előírásai szerint biztosított legyen, amely azt eredményezte, hogy a
Kötelezett megsértette az Ügyfél hozzáféréshez való, illetve az adatkezelés korlátozásához fűződő jogát.
Továbbá a Kötelezett 2019. november 26. napján megalkotott adatkezelési szabályozása továbbra sem
felel meg a GDPR rendelkezéseinek, az aránytalanul korlátozza az érintettek hozzáféréshez, illetve az
adatkezelés korlátozásához való jogát, így az ekkor meghozott intézkedések továbbra sem megfelelőek,
mivel azok nem biztosítják az érintettek joggyakorlását a GDPR által támasztott követelmények szerint.
Erre tekintettel a Hatóság az Infotv. 61. § (1) bekezdés a) pontja alapján a rendelkező részben foglaltak
szerint döntött, és jelen határozatban a Kötelezettet adatvédelmi bírság megfizetésére kötelezte.
A bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg.
A jogsértés jellege alapján – érintetti jogok sérelme – a kiszabható bírság felső határa a GDPR 83. cikk (5)
bekezdés a) pontja alapján 20 000 000 euró, illetve a Kötelezett esetében az előző pénzügyi év teljes
világpiaci forgalmának legfeljebb 4%-a, ha az a magasabb.
A jogsértés jellege alapján – beépített és alapértelmezett adatvédelem elvének sérelme – a kiszabható
bírság felső határa a GDPR 83. cikk (4) bekezdés a) pontja alapján 10 000 000 euró, illetve a Kötelezett
esetében az előző pénzügyi év teljes világpiaci forgalmának legfeljebb 2 %-a, ha az a magasabb.
A Hatóság a bírságkiszabás során az alábbi tényezőt súlyosbító körülményként vette figyelembe:
- az Ügyfél érintetti kérelmének nem megfelelő kezelésére azért került sor, mert a Kötelezett a
rendelet alkalmazandóvá válásakor adatvédelmi szabályozással – az általa üzemeltetett
kamerarendszer tekintetében – egyáltalán nem rendelkezett: a bejelentő több fórumon is kívánt
élni érintetti jogaival, azonban a Kötelezett egyik alkalmazottja sem ismerte fel, hogy a bejelentő
kérelme adatvédelmi tárgyú érintetti joggyakorlásnak minősül – a Kötelezett által elkövetett
jogsértés ezek alapján súlyosan gondatlanul elkövetett jogsértésnek minősül [GDPR 83. cikk (2)
bekezdés b) pont]
- a Kötelezett által 2019. november 26-a óta érvényben lévő szabályozás kialakítása során
meghozott szervezési intézkedések aránytalanul akadályozzák az érintettek hozzáférési, illetve
adatkezelés korlátozásához való jogát [GDPR 83. cikk (2) bekezdés a) pont];
14
- a Kötelezett teljes mértékben felelős mind az Ügyfél tekintetében elkövetett jogsértésért, mind
pedig az azóta is fennálló jogkorlátozó gyakorlat kialakításáért, hiszen a 25. cikk szerinti
intézkedések meghozatala az ő feladata lett volna [GDPR 83. cikk (2) bekezdés d) pont];
- a Kötelezettet rendkívül súlyos gondatlanság terheli a vizsgált adatkezelés kapcsán amiatt is, hogy
annak ellenére, hogy az üzletei nagyobb száma miatt nagyságrendekkel nagyobb számú érintetti
joggyakorlás iránti kérelemre kellett volna felkészülnie, a szervezési intézkedései még az ilyen
kérelmek azonosítására és kezelésére sem voltak alkalmasak, és így alappal feltételezhető, hogy
nemcsak a vizsgált konkrét esetben, hanem máskor sem került sor megfelelően a hozzáférési jog
megfelelő biztosítására [GDPR 83. cikk (2) bekezdés b) pont].
A Hatóság a bírságkiszabás során az alábbi tényezőket enyhítő körülményként vette figyelembe:
- a Kötelezett a bejelentőt ért kár enyhítésére harmincezer forintot ajánlott fel a bejelentő számára
[GDPR 83. cikk (2) bekezdés c) pont];
- a Kötelezett már a hatósági ellenőrzés lefolytatása alatt jogszerű adatkezelést elősegítő
intézkedéseket hozott, így a 66. körlevélben felhívta munkatársai figyelmét, hogy olvassák el a
vásárlóknak készített kamerás tájékoztatót, annak érdekében, hogy tisztában legyenek az
érintetteket megillető, GDPR által biztosított jogosultságokkal [GDPR 83. cikk (2) bekezdés f) pont];
- a Kötelezett olyan mértékben eleget tett a Hatóság felé fennálló együttműködési
kötelezettségének, hogy a jogsértés elkövetését maga is beismerte [GDPR 83. cikk (2) bekezdés
f) pont].
A Hatóság a bírságkiszabás során az alábbi egyéb tényezőket vette figyelembe:
- a vizsgált időszakban a Kötelezett egyetlen érintetti kérelmet azonosított, így nyilatkozata szerint
egyetlen alkalommal követett el jogsértést az érintetti kérelmek kezelése során, azonban a
Hatóság a Kötelezett e nyilatkozatát nem fogadta el [GDPR 83. cikk (2) bekezdés k) pont];
- az adatkezelés nem érintette a személyes adatok különleges kategóriáit [GDPR 83. cikk (2)
bekezdés g) pont];
- a kiszabott bírság akkor képes elérni célját, ha annak összege – a Kötelezett értékesítési
árbevételéhez is viszonyítva – érezhető mértékű;
- a Kötelezett – legutoljára közzétett – 2018. évi beszámolója szerinti az értékesítés nettó árbevétele
33 645 000 000 forint volt, a kiszabott adatvédelmi bírság összege a Kérelmezett értékesítési nettó
árbevételének 0,0594%-a.
A Hatóság a bírságkiszabás során nem tartotta relevánsnak a GDPR 83. cikk (2) bekezdés e), h), i) és j)
pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem értelmezhetőek.
A Hatóság a bírságkiszabás során nem tartotta relevánsnak azt, hogy a vizsgált adatkezelési gyakorlatra
„nem központi utasításra”, hanem egy „hibás egyéni döntés” következtében került sor, mivel a Hatóság
álláspontja szerint ebben az esetben is a Kötelezett viseli a felelősséget.
IV. Egyéb kérdések:
Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében
a Hatóság hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az általános
közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni
az Infotv.-ben meghatározott kiegészítésekkel.
Az Ákr. 103. § (1) bekezdése szerint a hivatalbóli eljárásokban az Ákr. kérelemre indult eljárásokra
vonatkozó rendelkezéseit kell alkalmazni az Ákr. 103–105. §-ában foglalt eltérésekkel.
15
Az Infotv. 38. § (2) és (2a) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint
a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése
és elősegítése. Az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat-
és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi
rendeletben és az Infotv.-ben meghatározottak szerint a Hatóság gyakorolja. A Hatóság illetékessége az
ország egész területére kiterjed.
Az Infotv. 75/A. § - a szerint a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében
foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a
személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában
meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az
általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó
figyelmeztetésével intézkedik.
A határozatra egyebekben az Ákr. 80. és 81. §-át kell alkalmazni.
Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben
közigazgatási per útján van helye jogorvoslatnak.
A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban:
Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni
közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi
Törvényszék kizárólagosan illetékes.
A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1)
bekezdése alapján alkalmazandó – 72. §-a alapján a törvényszék hatáskörébe tartozó perben a jogi
képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél
benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.
A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés
és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-
ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra
kötelezett.
A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása
iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per
illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése
határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h)
pontja mentesíti az eljárást kezdeményező felet.
Az Ákr. 135. §-a szerint a kötelezett a törvényes kamatnak megfelelő mértékű késedelmi pótlékot köteles
fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget.
A Polgári Törvénykönyvről szóló 2013. évi V. törvény 6:48. § (1) bekezdése alapján pénztartozás esetén
a kötelezett a késedelembe esés időpontjától kezdődően a késedelemmel érintett naptári félév első napján
érvényes jegybanki alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni.
Budapest, 2020. szeptember „ ”
Dr. Péterfalvi Attila
elnök
c. egyetemi tanár