Iktatószám: NAIH/2020/974/4. Tárgy: határozat hivatalból induló
adatvédelmi hatósági eljárásban
HATÁROZAT
A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) dr.
Hadházy Ákos Ányos országgyűlési képviselőnek ([…]; a továbbiakban: Adatkezelő) az Európai
Ügyészséghez való csatlakozásra vonatkozó aláírásgyűjtésével összefüggésben történt
adatkezelés jogszerűségének vizsgálatára 2020. február 10. napján hivatalból indult adatvédelmi
hatósági eljárásban az alábbi döntéseket hozza:
1. Megállapítja, hogy az Adatkezelő azáltal, hogy a „Csatlakozzunk az Európai
Ügyészséghez!” elnevezésű kezdeményezéssel összefüggésben 2018. július 19. és 2019.
május 30. között jogalap nélkül gyűjtötte kapcsolattartási célból az érintettek személyes
adatait, megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését és 9. cikk (1)
bekezdését.
2. Megállapítja, hogy az Adatkezelő azáltal, hogy nem nyújtott megfelelő tájékoztatást az
adatkezelés valamennyi lényeges körülményéről, megsértette az általános adatvédelmi
rendelet 5. cikk (1) bekezdés a) pontját, 5. cikk (2) bekezdését és 13. cikkét.
3. Utasítja az Adatkezelőt, hogy a jelen határozat véglegessé válásától számított 30 napon
belül törölje a „Csatlakozzunk az Európai Ügyészséghez!” elnevezésű kezdeményezéssel
összefüggésben 2018. július 19. és 2019. május 30. között az érintettektől kapcsolattartási
célból gyűjtött valamennyi személyes adatot.
4. A Hatóság az Adatkezelőt
1 000 000 Ft, azaz egymillió forint
adatvédelmi bírság
megfizetésére kötelezi.
A 4. pont szerinti bírságot a jelen határozat véglegessé válásától számított 30 napon belül a
Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-
00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára
kell megfizetni. Az összeg átutalásakor a NAIH/2020/974. BÍRS. számra kell hivatkozni. Ha az
Adatkezelő a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot
köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett
naptári félév első napján érvényes jegybanki alapkamattal egyezik meg.
A 3. pontban előírt kötelezettség teljesítését az Adatkezelőnek a jelen határozat véglegessé
válásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével
együtt – igazolnia a Hatóság felé.
A bírság és a késedelmi pótlék meg nem fizetése, illetve a fenti 3. pont szerinti kötelezettség nem
teljesítése esetén a Hatóság elrendeli a határozat végrehajtását.
Az eljárásban eljárási költség nem merült fel.
A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől
számított 30 napon belül a Fővárosi Törvényszékhez címzett kereslevéllel közigazgatási perben
megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy
irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni
kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati
eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti
eljárásban a jogi képviselet kötelező
A Hatóság jelen határozatot a Hatóság honlapján az Adatkezelő azonosító adatának (név)
megjelölésével közzéteszi.
INDOKOLÁS
I. Tényállás
I.1. A Hatósághoz bejelentés érkezett, amelyben a beadványozó az Adatkezelőnek az Európai
Ügyészséghez csatlakozás kikényszerítésére vonatkozó aláírásgyűjtésével kapcsolatos
adatkezelését kifogásolta.
A Hatóság a bejelentés nyomán az általános adatvédelmi rendelet1 57. cikk (1) bekezdés f) pontja,
valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII.
törvény (a továbbiakban: Infotv.) 38. § (3) bekezdésének a) pontja alapján NAIH/2019/5062.
ügyszámon hivatalból vizsgálatot indított, melynek során az Adatkezelő aláírásgyűjtéssel
kapcsolatos általános adatkezelési gyakorlatát vizsgálta.
A Hatóság vizsgálta az aláírásgyűjtéssel összefüggésben mind a kezdeményezés támogatásának
céljából, mind a kapcsolattartási célból történő adatkezelést. A Hatóság vizsgálta továbbá az ívek
online feltöltésével összefüggésben megvalósuló személyes adatok kezelését is.
A Hatóság a tényállás tisztázása érdekében 2019. július 3-án – 15 napos határidő tűzésével –
megkereséssel fordult az Adatkezelő felé. Az Adatkezelő 2019. július 17-én kelt válaszlevelében a
Hatóság megkeresésére arról tájékoztatta a Hatóságot, hogy az aláírásgyűjtéssel kapcsolatosan
az érintettek teljes nevét, címét és opcionálisan e-mail-címét és telefonszámát kezeli. Ezen
személyes adatok jogalapjaként az érintettek hozzájárulását jelölte meg az Adatkezelő.
Az ív adatgyűjtésre szolgáló oldalán az alábbi tájékoztató szöveg szerepelt: „Adatkezelési
tájékoztató – A tájékoztatót aláírásommal elfogadom”, míg az ív hátoldalán lévő Adatvédelmi
tájékoztató szövege szerint „Az adatkezelés jogalapja az Ön jelen tájékoztató megismerését
követően kifejezett hozzájárulása.”.
Az Adatkezelő nyilatkozata szerint a megadott adatokat abban az esetben, ha az érintett megadott
e-mail és/vagy telefonos kapcsolattartási elérhetőséget, az érintett hozzájárulásának
visszavonásáig kezeli, amennyiben nem adott meg kapcsolattartási célból adatokat, az adatokat a
gyűjtés befejezése (2019. május 30.) után 3 hónapig kezeli.
Az Adatkezelő az érintettek által megadott személyes adatokat az Európai Ügyészséghez való
csatlakozás elősegítésére, illetve amennyiben erre a telefonos és/vagy e-mail elérhetőség
megadásával az érintett engedélyt adott, politikai célú kapcsolattartásra kívánta felhasználni.
1
Az EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő
védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (a továbbiakban: általános adatvédelmi
rendelet vagy GDPR)
2
Az adatokat a munkatársak vagy olyan természetes és jogi személyek ismerhetik meg, akiket az
Adatkezelő politikai kapcsolattartást segítő vagy informatikai feladatra szerződéses formában
megbízott.
Az adatok tárolása törlésük előtt fizikai formában (papír, kézírás), 24 órás biztonsági szolgálat,
tűzriasztó rendszer és kamerarendszer felügyelete alatt, többszörösen elzárt helyen történik.
Az adatokat feldolgozás után táblázatos (.csv) formátumban a Mailchimp rendszerében tárolta az
Adatkezelő, továbbá szintén .csv formátumban biztonsági másolatot tartott a Sync.com
weboldalon. A papíralapú íveket azok megsemmisítéséig 24 órás biztonsági szolgálat, tűzriasztó-
rendszer és kamerarendszer felügyelete alatt, többszörösen elzárt helyen tárolják.
Az aláírásgyűjtő ív adatvédelmi tájékoztatója szerint „az adatkezelő legkésőbb 2019. május 31-én
oly módon nyújtja át az aláírásgyűjtő íveken szereplő aláírásokkal támogatott – személyes
adatként a támogatók nevét, lakcímét és aláírását tartalmazó – petíciót közjegyző számára, hogy
az aláírásgyűjtő íveket zártan csatolja a petíció szövegéhez.” A Hatóság arra vonatkozó kérdésére,
hogy a közjegyző az adatok hitelesítése során az érintettek mely személyes adatait ismeri meg,
továbbá az Adatkezelő hogyan biztosítja, hogy az érintettek által az aláírásgyűjtő íven megadott e-
mail-cím és telefonszám ne váljon megismerhetővé a közjegyző számára, az Adatkezelő előadta,
hogy a közjegyzővel történő hitelesítés az 1 millió aláírás elérésekor történt volna meg. A
kapcsolattartási adatok hitelesítése a kapcsolattartásra megadott adatok alapján történő
személyes kapcsolatfelvétel során történt a személyazonosság igazolásával. A kapcsolattartásba
beleegyezését nem adó érintettek adatait véletlenszerűen ellenőrizték. Közjegyzővel nem történt
szerződéskötés, ezért nem történt közjegyző általi adatkezelés.
A Hatóság azon kérdésére, hogy „Kapcsolattartási adatként” az érintettek mely személyes adatait
gyűjti és tárolja, továbbá arra a kérdésre, hogy a kért adatok köre miért szükséges és hogyan felel
meg az adattakarékosság elvének, az Adatkezelő előadta, hogy „Kapcsolattartási adatként” az
érintettek címét, telefonszámát, e-mail címét és teljes nevét tárolja. A kapcsolattartáshoz a név és
a cím a személyre szóló, területileg is releváns tájékoztatás nyújtására szolgál, az e-mail-cím az
írásbeli dokumentumok és a nagyobb közönségnek egyszerre szóló üzenetek átadását célozza, a
telefonszám a személyre szóló, sürgős vagy időben közeli eseményekről való tájékoztatást,
valamint a számítógéppel nem rendelkező állampolgárok elérésére szolgál. Az Adatkezelő
nyilatkozta szerint ezek mind megfelelnek az adatkezelés, a kapcsolattartás céljának, valamint
segítenek a pontosság és naprakészség követelményének betartásában, hiszen ha az egyik adat
olvashatatlannak vagy hibásnak bizonyul, akkor egy másik kapcsolattartási módon lehet kérni a
helyesbítést, illetve a többféle adat megadásának lehetősége a kapcsolattartási módok egyéni
preferenciáihoz való alkalmazkodást teszik lehetővé az adatkezelő számára.
A Hatóság megkeresésében tájékoztatást kért az Adatkezelőtől arra vonatkozóan is, hogy hogyan
tesz eleget a GDPR 32. cikkében foglalt adatbiztonsági követelményeknek, kik férnek hozzá az
adatbázis(ok)hoz és naplózzák-e a hozzáférést?
Az Adatkezelő válaszlevelében akként tájékoztatta a Hatóságot, hogy az adatbázisokhoz csak az
azt használó vagy karbantartásához elengedhetetlen, adatfeldolgozói szerződéssel rendelkező
szakértői, illetve szűk munkatársi kör fér hozzá többfaktoros azonosítással, ezért jelenleg nem
naplózzák a hozzáférést. Az érintettek által megadott személyes adatok titkosított csatornákon, a
biztonsági adatátvitelre szolgáló SSL webprotokoll által védve jutnak el az Adatkezelőhöz és
továbbítódnak az Adatkezelő hírlevél- illetve felhőszolgáltatójához. Speciális biztonsági
programokat használnak és rendszeres biztonsági ellenőrzéseket végeznek. Ezen felül az
Adatkezelő nyilatkozata szerint megbízható szerverszolgáltatót használ, ahol a kimenő
kapcsolatok naplózva vannak az esetleges betörések visszakövetésére. A legfrissebb
technológiákat használják, valamint rendszeres biztonsági mentéseket végeznek. Magyarországon
kívül csak biztonságos és megfelelő szintű adatvédelemmel, illetve tanúsító mechanizmussal
3
rendelkező 3. ország GDPR kompatibilis szolgáltatásait veszi igénybe (USA: EU-USA Privacy
Shield, Kanada). Adatátíró- és mentő perifériák használatát szigorúan korlátozzák, az ilyen
adatokat titkosítással védi. A már nem szükséges adatokat és adathordozókat 2 tanú által
felügyelve semmisíti meg.
Az Adatkezelő nyilatkozata szerint a kitöltött aláírásgyűjtő ívek
https://europaiugyeszsegert.hu/feltoltes/ oldalon történő feltöltésekor kötelezően megadandó e-
mail-cím vagy telefonszám kezelésének jogalapja – az adatkezelési tájékoztatóban
megfogalmazottak szerint – az érintett hozzájárulása. Az adatkezelés célja a kapcsolattartás,
beleértve a téves vagy olvashatatlan feltöltésekből eredő adatok pontosítására és kijavítására tett
kéréseket. Ezen adatokat az Adatkezelő az érintett hozzájárulásának visszavonásáig kezeli.
Az Adatkezelő előadta továbbá, hogy az adatkezelési tájékoztatóban az adatkezelés időtartama
résznél pontosítás történt: az egyértelműsítés érdekében minden, az internetes adatkezelési
tájékoztatóra mutató linket tartalmazó, szövegének tartalma szerint a kapcsolattartásba vagy az
adatkezelési tájékoztatóba jelölőnégyzet útján történő beleegyezést kívánó mező beikszelése a
megadott adatoknak hozzájárulás visszavonásáig történő kezelésébe való beleegyezést jelent.
Ezek a mezők korábban is erre a tájékoztatóra mutattak és a hozzájárulás visszavonásáig tették
lehetővé az adatkezelést, de a pontosabb és egyértelműbb tájékoztatás céljából változott a nevük,
amit az adatkezelési tájékoztatóbeli megfogalmazás nem követett azonnal.
Az Adatkezelő tájékoztatása szerint az adatgyűjtés 2018. július 19-től, az előregisztrációtól 2019.
május 30-ig tartott, azt követően a regisztrációs és feltöltési felületek bezárása megtörtént.
I.2. A Hatóság a vizsgálat során megállapította, hogy az érintettek adatkezeléshez történő
hozzájárulásának hiányoznak a legfontosabb fogalmi elemei – azaz az érintett akaratának
önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása – amelyek
megléte szükséges ahhoz, hogy az adatkezelés Adatkezelő által megjelölt jogalapja, azaz a
hozzájárulás érvényes legyen. Erre figyelemmel a Hatóság megállapította, hogy az Adatkezelő
érvényes jogalap nélkül kezeli az aláírásgyűjtéssel összefüggésben az érintettektől gyűjtött
valamennyi személyes adatot, az adatkezelés ezáltal sérti az általános adatvédelmi rendelet 6.
cikkét. Mivel ezen adatok a személyes adatok különleges kategóriái közé tartoznak, és azok
kezelésére többek között abban az esetben van lehetősége az adatkezelőnek, ha ahhoz az érintett
kifejezetten hozzájárulását adta, az adatkezelés sérti az általános adatvédelmi rendelet 9. cikk (1)
bekezdését is. Az Adatkezelő megsértette továbbá az általános adatvédelmi rendelet 13. cikkében
foglaltakat is azáltal, hogy nem nyújtott az érintetteknek tájékoztatást az adatkezelés valamennyi
lényeges körülményéről.
Az Infotv. 56. § (1) és (2) bekezdése alapján a Hatóság 2019. október 11-én kelt levelében a
jogkövetkezményekre történő figyelmeztetés mellett felszólította az Adatkezelőt, hogy
haladéktalanul törölje a „Csatlakozzunk az Európai Ügyészséghez!” elnevezésű
kezdeményezéssel összefüggésben 2018. július 19. és 2019. május 30. között az érintettektől
gyűjtött valamennyi személyes adatot, valamint ennek megtörténtét a felszólítás kézhezvételét
követő 30 napon belül igazolja a Hatóság felé.
Az Adatkezelő a Hatósághoz 2019. november 19-én érkezett levelében tájékoztatta a Hatóságot a
felszólítás nyomán megtett intézkedéseiről, miszerint az aláírásgyűjtő ívek megsemmisítésével az
azokon szereplő, a kapcsolattartási adatok körén kívüli adatok a felszólítás kézhezvételét
megelőzően – az érintetteknek nyújtott előzetes tájékoztatással összhangban 2019. augusztus 31-
gyel bezárólag – törlésre kerültek; a Mailchimp levélküldő rendszerben tárolt adatok 2019.
november 14-én törlésre kerültek, illetve az Adatkezelő által használt fiók is megszüntetésre került;
továbbá a sync.com felhő tárhelyen tárolt adatok 2019. november 14-én törlésre kerültek, illetve az
4
Adatkezelő által használt fiók is megszüntetésre került.
Tájékoztatta továbbá a Hatóságot, hogy a felszólítás által érintett kapcsolattartási adatok – külső
adathordozón, .csv formátumban – továbbra is rendelkezésükre állnak, álláspontja szerint ugyanis
a Hatóság felszólítása ezek tekintetében megalapozatlan, és vitatja a Hatóság azon állítását,
miszerint a hozzájárulás nem felel meg a GDPR 4. cikk (1) bekezdésében foglalt meghatározás
egyes fogalmi elemeinek.
A Hatóság ezt követően 2019. december 18-án kelt levelében még részletesebben indokolta a
döntését, és ismételten felszólította az Adatkezelőt, hogy törölje a „Csatlakozzunk az Európai
Ügyészséghez!” elnevezésű kezdeményezéssel összefüggésben az érintettektől kapcsolattartási
célból gyűjtött valamennyi személyes adatot.
Tekintettel arra, hogy a felszólítás alapján a jogsérelem orvoslására a megadott határidőn belül –
ismételt felszólítás ellenére – nem került sor, a Hatóság a vizsgálatot lezárta, és az Infotv. 58. § (1)
bekezdés és 58. § (2) bekezdés a) pontja alapján 2020. február 10-én adatvédelmi hatósági
eljárást indított.
I.3. A Hatóság az adatvédelmi hatósági eljárás keretében a tényállás tisztázása érdekében
megkereséssel fordult az Adatkezelő felé.
Az Adatkezelő a Hatóság azon kérdésére, hogy az online felületen kiknek volt lehetőségük
aláírásgyűjtő ív feltöltésére, előadta, hogy az aláírásgyűjtő ívek feltöltésére bárkinek lehetősége
volt. Akik ezt ténylegesen meg is tették, azok az Adatkezelő kampányát támogatták, abban
önkéntesként/aktivistaként vettek részt.
Az önkéntesek/aktivisták és a csak a kezdeményezést támogatók közötti különbségtétel azon
alapszik, hogy a kezdeményezést támogató aláírónak tekintendő minden személy, aki aláírásával
támogatta a kezdeményezést, míg önkéntesnek/aktivistának azon személyek tekintendők, akik
tevékenyen részt vettek a kampányban (például aláírásgyűjtő ívek letöltésével, kinyomtatásával,
az aláírások gyűjtésével és azok beküldésével vagy az online felületen történő feltöltésével).
Azáltal is válhatott valaki önkéntessé/aktivistává, hogy az oldalra íveket töltött fel, így támogatva az
aláírásgyűjtést.
Az önkéntesség az Adatkezelő álláspontja szerint a vizsgálati eljárás során előadottakra, valamint
az ívek eljuttatásának alternatív módjaira (személyes leadás, postai beküldés) tekintettel ebben az
esetben sem kérdőjelezhető meg. Az online feltöltés csak egy kényelmi opció volt, nem az
egyetlen járható út.
Azon korábbi állításának alátámasztására, hogy „a Hatóság által az ívek online feltöltése során
kapcsolattartási célból kötelezően megadott személyes adatok kezelésével összefüggésben emelt
kifogások csak az aláírásgyűjtő ívekért felelős önkéntesek adataival kapcsolatban merülnek fel,
vagyis az aláírók által megadott kapcsolattartási adatok vonatkozásában egyáltalán nem” az
Adatkezelő előadta, hogy a Hatóság az önkéntesség körében korábban azt kifogásolta, hogy az
íveket online feltöltő természetes személyek a feltöltés során egyben hírlevélre is feliratkoztak, és
nem volt mód a feltöltés során ennek mellőzésére. Az Adatkezelő előadta, hogy valamennyi
válaszlevelében az íveket feltöltő személyeket nevezi önkéntesnek/aktivistának. A feltöltött íveken
szereplő személyek személyes adataival kapcsolatban ez az érvelés nem lenne értelmezhető,
hiszen az aláíró személyek a feltöltés mozzanatában nem vettek részt, így az annak kapcsán
beszerzett hozzájárulás jellemzői őket nem érinthetik. Az önkéntesek/aktivisták és az aláírók
halmazának lehet metszete – azon személyek, akik aláírásukkal támogatták a kezdeményezést,
és egyben gyűjtöttek is aláírásokat, így íveket is töltöttek fel – és olyan személyek is lehettek, akik
5
vagy csak aláírásukkal támogatták a kezdeményezést, vagy csak a gyűjtést végezték, és íveket
töltöttek fel. Az önkéntesség kérdése azonban az eddigiekben az ívek feltöltésével kapcsolatban
merült fel, így az önkéntes/aktivista személyekre vonatkozó adatkezeléssel kapcsolatos.
II. Az ügyben alkalmazandó jogszabályi rendelkezések
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az
ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló
(EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 2. cikk (1) bekezdése
alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy
egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a
nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét
képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. Az általános
adatvédelmi rendelet hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint az
általános adatvédelmi rendeletet az ott megjelölt kiegészítésekkel kell alkalmazni.
Az általános adatvédelmi rendelet 2. cikk (2) bekezdése értelmében a rendelet nem alkalmazandó
a személyes adatok kezelésére, ha azt:
a) az uniós jog hatályán kívül eső tevékenységek során végzik;
b) a tagállamok az EUSZ V. címe 2. fejezetének hatálya alá tartozó tevékenységek során
végzik;
c) természetes személyek kizárólag személyes vagy otthoni tevékenységük keretében végzik;
d) az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás
lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzik, ideértve a
közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését.
Az általános adatvédelmi rendelet 4. cikk 1. pontja szerint „személyes adat: az azonosított vagy
azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a
természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például
név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai,
genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több
tényező alapján azonosítható.”
Ugyanezen cikk 2. pontja szerint „adatkezelés: a személyes adatokon vagy adatállományokon
automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége,
így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés,
betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé
tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.”
Az általános adatvédelmi rendelet 4. cikk 7. pontjának értelmében „adatkezelő: az a természetes
vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes
adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az
adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy
az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is
meghatározhatja.”
Az általános adatvédelmi rendelet 4. cikk 11.pontja szerint „az érintett hozzájárulása”: az érintett
akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása,
amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi,
hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez.
Az általános adatvédelmi rendelet 5. cikk (1) bekezdése szerint a személyes adatok:
6
a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell
végezni („jogszerűség, tisztességes eljárás és átláthatóság”);
b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék
ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem
minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos
és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz
kötöttség”);
c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a
szükségesre kell korlátozódniuk („adattakarékosság”);
d) pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell
tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat
haladéktalanul töröljék vagy helyesbítsék („pontosság”);
e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes
adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél
hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok
kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos
és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek
jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési
intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”);
f) kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések
alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok
jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy
károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”).
A (2) bekezdés szerint az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá
képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).
Az általános adatvédelmi rendelet 6. cikkének értelmében a személyes adatok kezelése kizárólag
akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő
kezeléséhez;
b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél,
vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez
szükséges;
c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;
d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek
védelme miatt szükséges;
e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának
keretében végzett feladat végrehajtásához szükséges;
f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez
szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei
vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé,
különösen, ha az érintett gyermek.
Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során
végzett adatkezelésre.
Az általános adatvédelmi rendelet 9. cikk (1) bekezdése szerint „a faji vagy etnikai származásra,
politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló
személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és
biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy
szexuális irányultságára vonatkozó személyes adatok kezelése tilos.”
Ugyanezen § (2) bekezdése a) pontja szerint az (1) bekezdés nem alkalmazandó abban az
esetben, ha az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több
7
konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy
az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával.
Az általános adatvédelmi rendelet 13. cikk (1) és (2) bekezdése határozza meg azokat az
információkat, amelyeket a személyes adatok megszerzésének időpontjában az érintett
rendelkezésére kell bocsátani, ha a személyes adatokat az érintettől gyűjtik. Az (1) bekezdés szerint
az adatkezelő az érintett rendelkezésére bocsátja a következő információk mindegyikét:
a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei;
b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;
c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik
fél jogos érdekei;
e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;
f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet
részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi
határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1)
bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas
garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az
azok elérhetőségére való hivatkozás.
A (2) bekezdés szerint az adatkezelő a következő kiegészítő információkról tájékoztatja az
érintettet a személyes adatok megszerzésének időpontjában:
a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam
meghatározásának szempontjairól;
b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes
adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és
tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz
való jogáról;
c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló
adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely
nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;
d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról;
e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen
alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes
adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás
elmaradása;
f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a
profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra
vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre
nézve milyen várható következményekkel bír.
Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése
érdekében a Hatóság hivatalból adatvédelmi hatósági eljárást indíthat.
Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott
határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési
műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott
jogkövetkezményeket alkalmazhatja.
Az Infotv. 61. § (2) bekezdése szerint a Hatóság elrendelheti határozatának – az adatkezelő, illetve
az adatfeldolgozó azonosító adatainak közzétételével történő – nyilvánosságra hozatalát, ha a
8
határozat személyek széles körét érinti, azt közfeladatot ellátó szerv tevékenységével
összefüggésben hozta, vagy a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja.
Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja szerint a felügyeleti hatóság
elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e
rendelet rendelkezéseit.
Az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja alapján a Hatóság a 83. cikknek
megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e
bekezdésben említett intézkedéseken túlmenően vagy azok helyett.
Az általános adatvédelmi rendelet 83. cikk (1) bekezdés alapján a Hatóság biztosítja, hogy a
rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott
közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek
legyenek.
Az Infotv. 75/A. §-a alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)–(6)
bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja,
különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az
Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő
megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével
összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.
Az általános adatvédelmi rendelet 83. cikk (2) bekezdés alapján a közigazgatási bírságokat az
adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett
intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e
közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor
minden egyes esetben kellőképpen figyelembe kell venni a következőket:
a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés
jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint
az általuk elszenvedett kár mértéke;
b) a jogsértés szándékos vagy gondatlan jellege;
c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése
érdekében tett bármely intézkedés;
d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a
25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket;
e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések;
f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív
hatásainak enyhítése érdekében folytatott együttműködés mértéke;
g) a jogsértés által érintett személyes adatok kategóriái;
h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra,
hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen
részletességgel;
i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a
tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a
szóban forgó intézkedéseknek való megfelelés;
j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti
jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási
mechanizmusokhoz; valamint
9
k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők,
például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon
vagy elkerült veszteség.
III. Döntés
III.1. Az aláírásgyűjtő íven történő adatgyűjtés jogalapjának érvényessége
a) A hozzájárulás kifejezett voltának hiánya
Az Adatkezelő a „Csatlakozzunk az Európai Ügyészséghez!” elnevezésű kezdeményezés
támogatására szolgáló íven az érintettek nevét, címét (irányítószám, város, lakcím), e-mail
elérhetőségét, telefonszámát és aláírását gyűjtötte, amely adatok az általános adatvédelmi
rendelet fogalommeghatározásai alapján személyes adatnak, az adatokon elvégzett bármely
művelet, így például az adatok gyűjtése, rögzítése, tárolása adatkezelésnek minősül.
Az általános adatvédelmi rendelet rendelkezései alapján az adatkezelés jogszerűségéhez számos
követelményt kell teljesíteni. Ezek közül kiemelt szerepe van az általános adatvédelmi rendelet 5.
cikk (1) bekezdés a) és b) pontjában foglalt jogszerűség, tisztességes eljárás és átláthatóság
valamint a célhoz kötöttség elvének. Ezen túlmenően az adatkezelőnek az általános adatvédelmi
rendelet 6. cikk (1) bekezdésével összhangban álló jogalappal kell rendelkeznie az
adatkezeléshez.
Az Adatkezelő az Európai Ügyészséghez való csatlakozás elősegítésén túl – telefonos és/vagy e-
mail elérhetőség megadása esetén – az érintett által megadott valamennyi személyes adatot
politikai kapcsolattartás céljából is kezeli, az ív Adatvédelmi tájékoztatója szerint azért, hogy az
Adatkezelő az országgyűlési képviselői tevékenységével összefüggésben tájékoztatást nyújtson.
Amennyiben tehát az érintettek telefonos és/vagy e-mail elérhetőségüket is megadták, azt az
Adatkezelő politikai kapcsolattartás céljából kívánta kezelni. Ebből kifolyólag a politikai
kapcsolattartás céljából is kezelt személyes adatok egyúttal az érintettek politikai véleményére
utaló információknak, és mint ilyen, az általános adatvédelmi rendelet 9. cikk (1) bekezdése
értelmében különleges kategóriájú személyes adatoknak is minősülnek. Önmagában tehát egy
kezdeményezés támogatása céljából az érintettektől gyűjtött név és elérhetőségi adatok nem
tekinthetők különleges személyes adatnak, azonban ha azokat az adatkezelő olyan célból is gyűjti,
hogy – a kezdeményezés eredeti célján túl – az érintettek megadott adatait egy politikussal,
politikai jellegű szervezettel való kapcsolattartásra használja, jelen esetben nevezetesen arra,
hogy az országgyűlési képviselői tevékenységével összefüggésben a későbbiekben tájékoztatást
nyújtson részükre, úgy azok erre figyelemmel az általános adatvédelmi rendelet 9. cikk (1)
bekezdése szerinti politikai véleményre utaló különleges személyes adatnak minősülnek.
A különleges kategóriájú személyes adatok kezelését a rendelet főszabályként tiltja, illetve szigorú
feltételekhez köti. Ezen különleges kategóriájú személyes adatok többek között az általános
adatvédelmi rendelet 9. cikk (2) bekezdésében foglaltak szerint abban az esetben kezelhetőek, ha
az érintett kifejezett hozzájárulását adta azok egy vagy több konkrét célból történő kezeléséhez.
Az Adatkezelő az érintettek hozzájárulását jelölte meg az adatkezelés jogalapjaként, továbbá az ív
hátoldalán szereplő Adatvédelmi tájékoztatóban is az érintettek hozzájárulására hivatkozott.
Az ív adatgyűjtésre szolgáló oldalán az alábbi tájékoztató szöveg szerepelt: „Adatkezelési
tájékoztató – A tájékoztatót aláírásommal elfogadom”, míg az ív hátoldalán lévő Adatvédelmi
10
tájékoztató szövege szerint „Az adatkezelés jogalapja az Ön jelen tájékoztató megismerését
követően kifejezett hozzájárulása.”.
Ahhoz, hogy az adatkezelő a hozzájárulás jogalapjára jogszerűen hivatkozhasson, a hozzájárulás
valamennyi fogalmi elemének meg kell felelnie a rá vonatkozó követelményeknek.
Az Európai Adatvédelmi Testület hozzájárulásról szóló 5/2020. számú iránymutatása, valamint
annak előzményeként kiadott, az Adatvédelmi Irányelv 29. cikke alapján létrehozott Adatvédelmi
Munkacsoport hozzájárulásról szóló WP259 számú iránymutatásában kifejtettek is megerősítik,
hogy a nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet a szabályos
hozzájárulás előfeltétele. Az iránymutatás kimondja, hogy kifejezett hozzájárulásra van szükség
bizonyos olyan helyzetekben, amelyekben komoly adatvédelmi kockázat merül fel. Az általános
adatvédelmi rendelet értelmében a kifejezett hozzájárulás fontos szerepet tölt be a személyes
adatok különleges kategóriáinak kezeléséről szóló 9. cikkben, így többek között a politikai
véleményre utaló személyes adatok kezelése esetén is. A kifejezett kifejezés arra utal, hogy az
érintett milyen módon juttatja kifejezésre a hozzájárulását. Ez azt jelenti, hogy az érintettnek
kifejezett hozzájárulásról szóló nyilatkozatot kell tennie. A hozzájárulás kifejezett voltáról való
meggyőződés nyilvánvaló módja a hozzájárulás írásbeli nyilatkozatban történő kifejezett
megerősítése lenne. Ahhoz, hogy az érintett az akaratát konkrétan kinyilváníthassa az szükséges
tehát, hogy az adatkezelő az adatkezelési tevékenységekhez kapcsolódó hozzájárulás
megszerzésével összefüggő információkat egyértelműen elkülönítse a más kérdésekre vonatkozó
információktól.
Az általános adatvédelmi rendelet (42) preambulumbekezdése is kimondja, hogy az adatkezelőnek
előre megfogalmazott hozzájárulási nyilatkozatról kell gondoskodnia, melyet érthető és könnyen
hozzáférhető formában kell rendelkezésre bocsátania, nyelvezetének pedig világosnak és
egyértelműnek kell lennie, és nem tartalmazhat tisztességtelen feltételeket.
A Hatóság álláspontja szerint csupán az, hogy az érintett az aláírásgyűjtő íven megadja a kért
adatokat, nem tekinthető az érintett ezen adatok kezelésére irányuló akarata konkrét, egyértelmű
kinyilvánításának, továbbá az Adatvédelmi tájékoztató aláírással történő „elfogadása” sem
tekinthető a személyes adatok felhasználásához való hozzájárulásra irányuló megerősítést
félreérthetetlenül kifejező cselekedetnek. Az érintettnek – a hozzájáruláson alapuló adatkezelés
esetén – nem a tájékoztatót kell „elfogadnia”, hanem a tájékoztatás alapján az adatkezeléshez kell
hozzájárulnia, az adatkezeléshez történő hozzájárulásáról kell kifejezetten nyilatkoznia. A
hozzájáruláshoz tehát szorosan kapcsolódik a tájékoztatás, az érintett ugyanis a megfelelő
információk birtokában tudja meghozni azon döntését, hogy beleegyezését adja-e az őt érintő
személyes adatok kezeléséhez. A tájékoztatással kapcsolatban az érintettől esetlegesen olyan
nyilatkozat várható el, hogy annak tartalmát megismerte, az abban foglaltakat tudomásul vette,
szerepe tehát abban merül ki, hogy a hozzájárulás tájékozottságát bizonyíthatja.
A hozzájárulás azáltal, hogy annak fentiekben kifejtett módon történő megadása nem az érintettek
akaratának egyértelmű és konkrét kinyilvánítása, nem tekinthető az adatkezelés érvényes
jogalapjának, az Adatkezelő érvényes jogalap nélkül kezeli az érintettek személyes adatait,
megsértve ezáltal az általános adatvédelmi rendelet 6. cikk (1) bekezdését. Mivel ezen adatok a
személyes adatok különleges kategóriái közé tartoznak, és azok kezelésére többek között abban
az esetben van lehetősége az adatkezelőnek, ha ahhoz az érintett kifejezett hozzájárulását adta,
az adatkezelés sérti az általános adatvédelmi rendelet 9. cikk (1) bekezdését is.
11
b) Az adatkezelés céljáról történő megfelelő tájékoztatás hiánya
Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerint a személyes adatok
kezelését jogszerűen és tisztességesen, valamint az érintettek számára átlátható módon kell
végezni, ugyanezen bekezdés b) pontja rendelkezik továbbá a célhoz kötött adatkezelés elvéről,
mely szerint személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból
történhet, és azokat nem kezelhetik ezekkel a célokkal össze nem egyeztethető módon.
Az ív Adatvédelmi tájékoztatójában foglaltak szerint az adatkezelés célja a név, lakcím és aláírás
esetében a támogató aláírások összegyűjtése és azoknak az aláíró választópolgárok közös
petíciójaként történő benyújtása közjegyző számára. Amennyiben kapcsolattartási adat
(telefonszám, e-mail-cím) is megadásra került, az Adatvédelmi tájékoztató szerint valamennyi adat
– a telefonszám és/vagy e-mail-címen felül a név, lakcím és aláírás – kezelésének célja, hogy az
Adatkezelő az országgyűlési képviselői tevékenységével összefüggésben az érintett számára a
megadott elérhetőségeken tájékoztatást nyújtson.
Az Adatkezelő a Hatóságnak adott válaszában ezzel kapcsolatban akként nyilatkozott, hogy az
érintettek adatait az Európai Ügyészséghez való csatlakozás elősegítésére gyűjtötte és a
közjegyzővel történő hitelesítés az 1 millió aláírás elérésekor történt volna meg.
Az adatkezelés céljának megjelölésére vonatkozóan előadta továbbá, hogy az érintettek adatait –
amennyiben erre a telefonos és/vagy e-mail elérhetőségük megadásával engedélyt adtak, akkor –
politikai célú kapcsolattartásra használja fel.
A Hatóság az eljárás során megállapította, hogy az ív adatgyűjtésre szolgáló oldalán az egyes
gyűjtendő adatköröknél külön jelzés vagy felhívás nem volt arra vonatkozóan, hogy az adott
személyes adat megadása kötelező a kezdeményezés támogatásának érvényességéhez, vagy az
adat megadása opcionális, és gyűjtésére a kezdeményezés támogatásától eltérő, más
adatkezelési célból – jelen esetben politikai kapcsolattartási célból – kerül sor, amely a Hatóság
álláspontja szerint megtévesztő a kezdeményezés támogatói számára. Az adatkezelés ugyanis
látszólag jogszerűnek tűnik, az aláírókat azonban megtévesztő módon az ív adatgyűjtésre szolgáló
oldalán kiemelten csak az adatkezelés elsődleges céljáról tájékoztatja az Adatkezelő, míg emellett
hiányzik az arra történő felhívás, hogy amennyiben az e-mail és/vagy telefonos elérhetőségét is
megadja az aláíró, – amely adatok megadása a kezdeményezés támogatásának érvényességéhez
nem is szükséges – úgy valamennyi személyes adatát kapcsolattartási célból is kezelni fogja az
Adatkezelő, és arról csak az ív hátoldalán található Adatvédelmi tájékoztatóban ad információt.
Az aláírásgyűjtő íven telefon és/vagy e-mail elérhetőség megadása – figyelembe véve, hogy az
íven külön felhívás nincs arra vonatkozóan, hogy ezen adatok megadása nem kötelező – nem
tekinthető egyrészt a személyes adatok felhasználásához való hozzájárulásra irányuló
megerősítést félreérthetetlenül kifejező cselekedetnek, másrészt nem tekinthető az eredeti
adatkezelési célon túl a személyes adatok kapcsolattartási célból történő kezeléséhez való
hozzájárulásnak is. Amennyiben az adatkezelő ugyanarra a hozzájárulásra, mint jogalapra
hivatkozik egy másik adatkezelési cél esetén, akkor sérül a kifejezett hozzájárulás követelménye,
mert az érintett hozzájárulását nem lehet kiterjeszteni további, új adatkezelési célokra.
Az általános adatvédelmi rendelet (32) preambulumbekezdése kimondja, hogy ha az adatkezelés
egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan
külön meg kell adni. Amennyiben az adatkezelő nem kísérli meg, hogy minden egyes célhoz
külön-külön hozzájárulást kérjen, hiányzik a döntés szabadsága.
12
A Hatóság álláspontja szerint az érintettek személyes adatai kezelésének jogszerűsége akkor
állapítható meg, ha az érintett a személyes adatainak valamennyi adatkezelési célból történő
kezeléséhez külön járulhatott hozzá, a személyes adatok kezelése továbbá abban az esetben
tekinthető tisztességesnek, ha az adatkezelő az aláírásgyűjtő íven a gyűjtendő adatköröknél külön
felhívja az érintettek figyelmét arra, hogy az egyes adatkezelési célok támogatásától függően mely
személyes adatok megadása kötelező és melyeké opcionális.
Az Adatkezelő – a felszólítás nyomán megtett intézkedéseiről adott tájékoztatásában kifejtett –
álláspontja szerint azonban a jogalapot megjelölő tájékoztatás elfogadása, majd ennek
ismeretében az íven az adatok sajátkezű megadása, és végül az aláírás elhelyezése éppen olyan,
az akaratot egyértelműen kifejező cselekedet, amelyet az általános adatvédelmi rendelet
megkíván.
Az aláírásgyűjtő ív főoldalán táblázatba rendezve az alábbi adatok megadására volt lehetőségük
az érintetteknek: név, cím (irányítószám, város, lakcím), e-mail, telefon és aláírás. Az adatok
megadására szolgáló táblázat alatt félkövér betűtípussal kiemelve szerepelt, hogy „Aláírásommal
támogatom Magyarország csatlakozását az Európai Ügyészség intézményéhez.” Továbbá ez
alatt az alábbi szöveg volt olvasható:
„Ezt a kitöltött ívet visszajuttathatja postán a 1358 Budapest, Széchenyi rakpart 19.
Országgyűlés Hivatala, dr. Hadházy Ákos címre, leadhatja egy gyűjtőponton vagy feltöltheti a
https://europaiugyeszseget.hu/feltoltes oldalon
Adatkezelési tájékoztató – A tájékoztatót aláírásommal elfogadom
Adatkezelési tájékoztató a dr. Hadházy Ákos stábja és munkatársai által kezelt személyes
adatokról. FOLYTATÁS A KÖVETKEZŐ OLDALON
Az aláírásgyűjtés azonban nem csupán a támogató aláírások összegyűjtése céljából történt, mint
ahogy arra az érintett az íven szereplő „Aláírásommal támogatom Magyarország csatlakozását
az Európai Ügyészség intézményéhez.” mondatból elsőre következtethetett, abból a célból
ugyanis csak a név, lakcím és aláírás személyes adatok gyűjtése történt. Az ív „Adatvédelmi
tájékoztatója” szerint amennyiben az érintett az e-mail-címét és telefonszámát is megadta, az
adatkezelő valamennyi adatot kapcsolattartási célból is kezel.
Az általános adatvédelmi rendelet 4. cikkének 11. pontja határozza meg az „érintett hozzájárulása”
fogalmát, mint a személyes adatok kezelésének egyik jogszerű alapját. Ezzel kapcsolatban az
általános adatvédelmi rendelet (32) preambulumbekezdése további útmutatót nyújt, miszerint az
adatkezelésre csak akkor kerülhet sor, ha az érintett egyértelmű megerősítő cselekedettel, például
írásbeli – ideértve az elektronikus úton tett -, vagy szóbeli nyilatkozattal önkéntes, konkrét,
tájékoztatáson alapuló és egyértelmű hozzájárulását adja a természetes személyt érintő
személyes adatok kezeléséhez. A hozzájárulás az ugyanazon cél, vagy célok érdekében végzett
összes adatkezelési tevékenységre kiterjed. Ha az adatkezelés egyszerre több célt is szolgál,
akkor a hozzájárulást az összes adatkezelési célra vonatkozóan meg kell adni.
Nem kellően átlátható, egyértelmű és világos továbbá az érintettek tájékoztatása az adatkezelés
céljairól amiatt sem, hogy az egyik adatkezelési cél („Aláírásommal támogatom Magyarország
csatlakozását az Európai Ügyészség intézményéhez.”) az aláírásgyűjtő ív főoldalán kiemelésre
kerül, míg az arról történő tájékoztatás, hogy az adatokat – ha az érintett megadja e-mail-címét
és/vagy telefonszámát – az eredeti célon túl más adatkezelési célból (kapcsolattartás céljából) is
kezeli az Adatkezelő, csak az ív aláírásgyűjtésre szolgáló oldalától eltérő oldalon lévő Adatvédelmi
tájékoztatóban történik.
13
Fentieket erősítik meg az (EU) 2016/679 rendelet szerinti hozzájárulásról szóló 5/2020. számú
iránymutatásban, valamint az annak előzményeként kiadott WP259 számú iránymutatásban
foglaltak, miszerint annak az adatkezelőnek, aki/amely különféle eltérő célokra kér hozzájárulást,
külön hozzájárulási lehetőséget kell biztosítania mindegyik célhoz, annak érdekében, hogy az
érintettek konkrét célokra konkrét hozzájárulást adhassanak.
Az érintettek személyes adatai kapcsolattartási célból történő kezelésének tisztességessége és
jogszerűsége tehát akkor állapítható meg, ha az érintett megfelelő tájékoztatást kapott arra
vonatkozóan, hogy a személyes adatok gyűjtése két eltérő adatkezelési célból történik
(kezdeményezés támogatása és további politikai kapcsolattartás), és az egyes céloktól függően
eltérő a kötelező és az opcionálisan megadható személyes adatok köre, továbbá ha az érintett
külön, azaz egyértelmű és konkrét hozzájárulását adta ahhoz, hogy az Adatkezelő az
országgyűlési képviselői tevékenységével összefüggésben számára a későbbiekben tájékoztatást
nyújtson a megadott elérhetőségein. Nem lehet elvitatni az érintettek azon választási lehetőségét,
hogy az aláírásgyűjtés célját támogassák aláírásukkal, de emellett szabadon döntsenek arról, hogy
kívánnak-e fogadni politikai jellegű küldeményeket az Adatkezelőtől, az aláírásgyűjtéstől
elkülönülően.
Az adatkezelés azáltal, hogy az Adatkezelő nem nyújtott az érintetteknek megfelelő tájékoztatást
az adatkezelés céljáról, sérti az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontjában
foglalt tisztességes adatkezelés alapelvi követelményét.
Továbbá a hozzájárulás azáltal, hogy annak fentiekben kifejtett módon történő megadása nem az
érintettek akaratának egyértelmű és konkrét kinyilvánítása, nem tekinthető az adatkezelés
érvényes jogalapjának, az Adatkezelő érvényes jogalap nélkül kezeli az érintettek személyes
adatait, megsértve ezáltal az általános adatvédelmi rendelet 6. cikk (1) bekezdését. Mivel ezen
adatok a személyes adatok különleges kategóriái közé tartoznak, és azok kezelésére többek
között abban az esetben van lehetősége az adatkezelőnek, ha ahhoz az érintett kifejezett
hozzájárulását adta, az adatkezelés sérti az általános adatvédelmi rendelet 9. cikk (1) bekezdését
is.
c) A tájékozott beleegyezés hiánya
Az érvényes hozzájárulás fontos fogalmi eleme, hogy a hozzájárulás kérését megfelelő
tájékoztatás előzze meg. A megfelelő előzetes tájékoztatás ugyanis szükséges ahhoz, hogy az
érintettek tisztában legyenek azzal, hogy konkrétan mibe egyeznek bele, hogy ismerjék az
adatkezelés részleteit és gyakorolhassák a hozzájárulásuk visszavonásához való jogukat. Ennek
hiányában a hozzájárulás, vagyis az adatkezelés jogalapja érvénytelen lesz.
Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) és b) pontja, valamint ezzel
összefüggésben a (39) preambulumbekezdés kimondja, hogy a személyes adatok kezelését
jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni
(„jogszerűség, tisztességes eljárás és átláthatóság”). A természetes személyek számára
átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják
fel, azokba hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal
összefüggésben, hogy a személyes adatokat milyen mértékben kezelik és fogják kezelni. A
természetes személyt a személyes adatok kezelésével összefüggő kockázatokról, szabályokról,
garanciákról és jogokról tájékoztatni kell. Az átláthatóság elve vonatkozik az érintetteknek az
adatkezelés céljairól való tájékoztatására is. A személyes adatkezelés konkrét céljainak explicit
módon megfogalmazottaknak és jogszerűeknek, továbbá már a személyes adatok gyűjtésének
időpontjában meghatározottaknak kell lenniük.
14
A Hatóság az eljárás során megállapította, hogy az aláírásgyűjtő ívhez tartozó adatkezelési
tájékoztatóban az Adatkezelő az érintetteket nem tájékoztatta megfelelően az adatkezelés
jogalapjáról és céljáról.
A személyes adatok címzettjeinek megjelölésével kapcsolatban a Hatóság megállapította, hogy az
Adatkezelési tájékoztatóban az érintetteket arról tájékoztatták, hogy az Adatkezelő az aláírásgyűjtő
íveket legkésőbb 2019. május 31-én átnyújtja közjegyzőnek, tehát az összegyűjtött támogató
aláírások számától függetlenül. A Hatóság megkeresésére az Adatkezelő ezzel szemben úgy
nyilatkozott, hogy a közjegyzővel történő hitelesítés az 1 millió aláírás elérésekor történt volna
meg, és tekintettel arra, hogy a megfelelő számú támogató aláírás összegyűjtése nem sikerült, így
nem történt szerződéskötés közjegyzővel, tehát nem történt közjegyző általi adatkezelés. A
Hatóság álláspontja szerint a címzettekről történő tájékoztatás tehát abban az esetben lett volna
teljes, ha az érintettek tájékoztatást kaptak volna arról, hogy az ívek és az azon szereplő
személyes adatok közjegyzőnek történő átadására csak abban az esetben kerül sor, ha a
megfelelő számú aláírás összegyűjtése sikerül, illetve tájékoztatást kaptak volna arról, hogy a
közjegyzőnek történő benyújtást követően mi történt volna az ívekkel és így a rajta szereplő
személyes adatokkal. A tájékoztatóban ennélfogva arra vonatkozóan sem volt információ, hogy
nem elegendő számú aláírás összegyűjtése esetén mi fog történni az ívekkel és a rajta szereplő
valamennyi személyes adattal. Ezen információk ugyanakkor adott esetben befolyással lehettek
volna az érintett azon döntésére, hogy a kezdeményezést támogatja-e vagy sem, az információk
ismeretében az érintett mérlegelni tudta volna, hogy érdemes-e élnie ezen jogával vagy sem.
Az Adatkezelő a Hatóságnak adott válaszában tájékoztatást adott az általa igénybe vett
adatfeldolgozókról, az ívhez tartozó Adatvédelmi tájékoztatóban azonban az adatfeldolgozók
igénybevételéről nem tájékoztatták az érintetteket. Nem tájékoztatták az érintetteket továbbá arról
sem, hogy az Adatkezelő által megbízott aktivisták adatfeldolgozónak minősülnek-e, vagy sem.
Nem világos továbbá, hogy kik értendők az Adatkezelő munkatársai, illetve a „stáb” alatt, nem
tudni, hogy az Adatkezelő milyen jogviszonyban áll ezen személyekkel, kik milyen feladatokat
látnak el az adatkezelés során.
A kezdeményezés támogatására gyűjtött személyes adatok tárolásának időtartamára vonatkozóan
az Adatvédelmi tájékoztatóban csak az az információ szerepelt, hogy az aláírásgyűjtő ívek
közjegyzőnek történő benyújtását követően az adatokat a közjegyző a petíció szerinti
kezdeményezés mérlegelését követően törölni köteles. Arra vonatkozóan azonban nem volt
információ, hogy amennyiben az ívek mégsem kerülnek a közjegyző részére benyújtásra, mikor
kerül sor azok törlésére.
A Hatóság megállapította, hogy a fentiekben részletezettek alapján az Adatkezelő – az
aláírásgyűjtő ív Adatkezelési tájékoztatójában - nem nyújtott az érintetteknek tájékoztatást az
adatkezelés valamennyi lényeges körülményéről, ezáltal megsértette az általános adatvédelmi
rendelet 5. cikk (1) bekezdés a) pontját és a 13. cikkében foglaltakat.
Az Adatkezelő a felszólítás nyomán megtett intézkedéseiről adott tájékoztatásában a Hatóság
azon megállapításával kapcsolatban, hogy „az érvényes hozzájárulás fontos fogalmi eleme, hogy a
hozzájárulás kérését megfelelő tájékoztatás előzze meg. A megfelelő előzetes tájékoztatás
ugyanis szükséges ahhoz, hogy az érintettek tisztában legyenek azzal, hogy konkrétan mibe
egyeznek bele, hogy ismerjék az adatkezelés részleteit és gyakorolhassák a hozzájárulásuk
visszavonásához való jogukat. Ennek hiányában a hozzájárulás, vagyis az adatkezelés jogalapja
érvénytelen lesz” kifejtette, hogy az általános adatvédelmi rendelet (42) preambulumbekezdésben
a jogalkotó támpontot ad arra nézve, hogy mely esetekben érvényes a hozzájárulás. A szöveg
szerint „ahhoz, hogy a hozzájárulás tájékoztatáson alapulónak minősüljön, az érintettnek legalább
tisztában kell lennie az adatkezelő kilétével és a személyes adatok kezelésének céljával.” Az
15
Adatkezelő álláspontja szerint a Hatóság fenti megállapítása eszerint magának az általános
adatvédelmi rendelet preambulumának mond ellent, így nyilvánvalóan önkényes.
Az Adatkezelő álláspontja szerint a Hatóság azon megállapítása sem helytálló, miszerint a
tájékoztatási kötelezettség megsértése csak amiatt állapítható meg, hogy az nem szól a
közjegyzőhöz való továbbításról, illetőleg az aktivisták adatfeldolgozói minőségéről. Ezen
körülmények ugyanis az érintettek számára ismertek, így a megfelelő előzetes tájékoztatás – az
általános adatvédelmi rendelet 13. cikk (4) bekezdésére tekintettel – megtörtént. Mivel az
adatkezelő személyéről és az adatkezelés céljáról az érintettek tájékoztatást kaptak, így a jogalap
(az érvényes hozzájárulás) megléte megkérdőjelezhetetlen.
A Hatóság álláspontja szerint a megfelelő tájékoztatás a hozzájárulás jogalap alkalmazása során
központi szerepet betöltő fogalmi elem, amely a hozzájárulás valamennyi fogalmi elemének (úgy
mint önkéntesség, konkrétság, egyértelműség) érvényesüléséhez szorosan kapcsolódik. Ez
szükséges ugyanis ahhoz, hogy az érintettek megfelelő információkkal rendelkezzenek arról, hogy
pontosan mibe egyeznek bele, ismerjék az adatkezelés részleteit és gyakorolhassák a
hozzájárulásuk visszavonásához való jogukat.
Az általános adatvédelmi rendelet 13. cikke taxatíve meghatározza, hogy melyek azok az
információk, amelyekről az érintetteket tájékoztatni kell az adatok megszerzésének időpontjában,
függetlenül az adatkezelés jogalapjától. A megfelelő tájékoztatáshoz kapcsolódóan az általános
adatvédelmi rendelet a (42) preambulumbekezdésében kimondja ugyan, hogy a hozzájárulás
tájékoztatáson alapulónak elfogadható akkor is, ha az érintett tisztában van legalább az adatkezelő
kilétével és a személyes adatok kezelésének céljával, ez azonban kivételesen sem merülhet fel a
papír alapú aláírásgyűjtéseknél, különösen véleménynyilvánítás, politikai jellegű adatkezelés
esetén. Ez a preambulumbekezdés semmilyen módon nem írja felül az általános adatvédelmi
rendelet 13. cikke szerinti tájékoztatási kötelezettséget, továbbá a (42) preambulumbekezdésben
foglaltak nem értelmezhetőek úgy, hogy az érintettek hozzájárulása csupán ezen két tartalmi elem
ismertetésével tájékozottnak tekinthető, ez ugyanis leszűkítené a rendeletben foglalt átláthatóság
követelményét.
III.2. Az ívek online feltöltése során történő adatkezelés jogalapjának érvényessége
a) A hozzájárulás önkéntességének hiánya
Az aláírásgyűjtés időtartama alatt lehetőség volt a kitöltött aláírásgyűjtő íveknek a
https://europaiugyeszseget.hu/feltoltes/ oldalon keresztül történő feltöltésére is. A feltöltés során,
illetve annak sikeres megtörténtéhez kötelezően megadandók voltak az alábbi személyes adatok:
név (vezetéknév és keresztnév), e-mail-cím, megye, település, telefon, valamint kötelező volt az
Adatkezelési tájékoztató elfogadása. Az Adatkezelési tájékoztatóban foglaltak szerint az
adatkezelés célja az Európai Ügyészséget támogatókkal való kapcsolatfelvétel és kapcsolattartás,
valamint az érintetteknek az Európai Ügyészséget támogató tevékenységekről, rendezvényekről,
megmozdulásokról, és aláírásgyűjtésekről történő értesítése.
Az Adatkezelő a Hatóságnak adott válaszában az adatkezelés jogalapjaként az érintettek
hozzájárulását jelölte meg, az adatkezelés céljaként pedig a kapcsolattartást, illetve azt, hogy a
megadott kapcsolattartási adatok segítségével lehetőség nyílik arra is, hogy a téves vagy
olvashatatlan feltöltésekből eredő adatok pontosítását és kijavítását kérjék.
16
Megállapítható tehát, hogy az ívek online feltöltésekor megadott személyes adatok kezeléséhez a
hozzájárulásukat a fentiek szerint az érintettek azáltal adták meg, hogy a kötelezően kitöltendő
mezőkben megadták a személyes adataikat és az Adatkezelési tájékoztató melletti jelölőnégyzetet
bejelölték. Ív feltöltésére tehát mindaddig nem volt lehetőség, ameddig a kért személyes adatokat
a feltöltő személy nem adta meg, illetve a jelölőnégyzetet nem jelölte be.
Az általános adatvédelmi rendelet 4. cikk 11. pontjában foglaltak szerint az érvényes hozzájárulás
egyik legfontosabb eleme az önkéntesség.
Az általános adatvédelmi rendelet (42) preambulumbekezdése ezzel kapcsolatban kimondja, hogy
a hozzájárulás megadása nem tekinthető önkéntesnek, ha az érintett nem rendelkezik valós vagy
szabad választási lehetőséggel, és nem áll módjában a hozzájárulás anélküli megtagadása vagy
visszavonása, hogy ez kárára válna. A (43) preambulumbekezdésben foglaltak szerint továbbá a
hozzájárulás nem tekinthető önkéntesnek, ha nem tesz lehetővé külön-külön hozzájárulást a
különböző adatkezelési műveletekhez, noha az adott esetben megfelelő.
Az (EU) 2016/679 rendelet szerinti hozzájárulásról szóló 5/2020. számú iránymutatásban, valamint
az annak előzményeként kiadott WP259 számú iránymutatásban az Európai Adatvédelmi Testület
az önkéntesen adott hozzájárulással kapcsolatban megállapította, hogy a „szabad” elem azt
feltételezi, hogy az érintettek valódi választási lehetőséggel és rendelkezési joggal rendelkeznek.
Főszabályként az általános adatvédelmi rendelet előírja, hogy amennyiben az érintettnek nincs
valódi választási lehetősége, hozzájárulásra kényszerítve érzi magát, vagy negatív
következményei lesznek, ha nem adja hozzájárulását, akkor a hozzájárulás nem érvényes.
Az adatkezelés jogszerűségéhez önálló, érvényes jogalapra van szükség valamennyi önálló célból
történő adatkezeléshez, tehát mind a kezdeményezés támogatásának céljából, mind a
kapcsolattartási célból történő adatkezeléshez. Az érintettek valamennyi adatkezelési célból
történő adatkezeléshez való hozzájárulásának – a fent kifejtettek szerint – hiányoznak azon
legfontosabb fogalmi elemei, amelyek megléte szükséges ahhoz, hogy a hozzájárulás, vagyis az
adatkezelés jogalapja érvényes legyen. Hiányzik az érintett akaratának önkéntes, konkrét,
megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel beleegyezését adja
személyes adatai kezeléséhez.
A Hatóság álláspontja szerint az Adatkezelő érvényes jogalap nélkül kezeli az érintettek személyes
adatait, – mind az aláírásgyűjtő íven történő adatgyűjtések során, mind a kapcsolattartási célból
történő adatgyűjtések során – megsértve ezáltal az általános adatvédelmi rendelet 6. cikk (1)
bekezdését. Mivel ezen adatok a személyes adatok különleges kategóriái közé tartoznak, és azok
kezelésére többek között abban az esetben van lehetősége az adatkezelőnek, ha ahhoz az érintett
kifejezett hozzájárulását adta, az adatkezelés sérti az általános adatvédelmi rendelet 9. cikk (1)
bekezdését is.
Az Adatkezelő a felszólítás nyomán megtett intézkedéseiről adott tájékoztatásában megjegyezte,
hogy a Hatóság által a hozzájárulás önkéntességével kapcsolatban felvetettek kizárólag az
aláírásgyűjtő ívekért felelős önkéntesek adataival kapcsolatban merülhetnek fel, vagyis az aláírók
által megadott kapcsolattartási adatok vonatkozásában, amelyek az adatbázis túlnyomó részét
képezik, egyáltalán nem, így nem világos számára, hogy a felszólítás miért terjed ki a teljes
adatbázisra.
A Hatóság erre vonatkozó kérdésére az Adatkezelő előadta, hogy álláspontját arra alapozza, hogy
a Hatóság az önkéntesség körében korábban azt kifogásolta, hogy az íveket feltöltő természetes
személyek – vagyis akiket a korábbi válaszleveleiben önkéntesnek/aktivistának nevez – a feltöltés
során egyben hírlevélre is feliratkoztak, és nem volt mód a feltöltés során ennek mellőzésére. A
feltöltött íveken szereplő személyek személyes adataival kapcsolatban ez az érvelés nem lenne
17
értelmezhető, hiszen az aláíró személyek a feltöltés mozzanatában nem vettek részt, így az annak
kapcsán beszerzett hozzájárulás jellemzői őket nem érinthetik. Az önkéntesek/aktivisták és az
aláírók halmazának lehet metszete, és lehettek olyan személyek is, akik vagy csak aláírásukkal
támogatták a kezdeményezést, vagy csak a gyűjtést végezték, és íveket töltöttek fel. Az
önkéntesség kérdése azonban az ívek feltöltésével kapcsolatban merült fel, így az
önkéntes/aktivista személyekre vonatkozó adatkezeléssel kapcsolatos.
Az Adatkezelő álláspontja szerint továbbá a (42) preambulumbekezdésben foglaltak szerint az
adatkezelő és a cél megjelölése esetén érvényesnek tekinthető a hozzájárulás, továbbá a
tájékoztatás is megfelelő volt, mivel az adott kontextusból és a rendelkezésre álló információkból
az aktivisták tudhatták, hogy mi az adatkezelés jogalapja.
Az aláírásgyűjtő ív főoldalán található információ értelmében amennyiben valaki a
kezdeményezést támogatni kívánta, azt az alábbi módokon tehette meg: „Ezt a kitöltött ívet
visszajuttathatja postán a 1358 Budapest, Széchenyi rakpart 19. Országgyűlés Hivatala, dr.
Hadházy Ákos címre, leadhatja egy gyűjtőponton vagy feltöltheti a
https://europaiugyeszseget.hu/feltoltes oldalon”.
A Hatóság megállapításai szerint azonban – továbbá ahogy azt az Adatkezelő a tényállás
tisztázása során is megerősítette – az ívek honlapról történő letöltésére bárkinek lehetősége volt,
majd azt a fent írt módokon juttathatta el az Adatkezelőnek. Az ív
https://europaiugyeszseget.hu/feltoltes oldalon történő feltöltésére ezen információk alapján
szintén bárkinek lehetősége volt, akár a kezdeményezés támogatójaként kívánta azt megtenni,
akár önkéntesként, vagy aktivistaként. A feltöltés során, illetve annak sikeres megtörténtéhez
azonban kötelezően megadandók voltak az alábbi személyes adatok: név (vezetéknév és
keresztnév), e-mail-cím, megye, település, telefon, valamint kötelező volt az Adatkezelési
tájékoztató elfogadása, vagyis az ívek online feltöltésekor megadott személyes adatok
kezeléséhez a hozzájárulásukat a fentiek szerint az érintettek azáltal adták meg, hogy a
kötelezően kitöltendő mezőkben megadták a személyes adataikat és az Adatkezelési tájékoztató
melletti jelölőnégyzetet bejelölték. Ív feltöltésére tehát mindaddig nem volt lehetőség, ameddig a
kért személyes adatokat a feltöltő személy – akár a kezdeményezést támogató, akár önkéntes,
akár aktivista – nem adta meg, illetve a jelölőnégyzetet nem jelölte be.
A Hatóság álláspontja szerint az ívek online feltöltése során az adatok megadása nem tekinthető
egyúttal az érintett hozzájárulásának ahhoz, hogy adatait kapcsolattartás céljából kezelje az
adatkezelő, az adatok megadása nélkül – vagyis a hozzájárulás megtagadása esetén – ugyanis
nem volt lehetőség arra, hogy az érintett az aláírásgyűjtő ívet az oldalon keresztül töltse fel.
Az érvényes hozzájárulás egyik legfontosabb eleme az általános adatvédelmi rendelet
fogalommeghatározása szerint az önkéntesség. A hozzájárulás önkéntességét, és annak
érvényességét sem érinti továbbá, hogy az ív feltöltését az adott személy milyen minőségében
tette, akár önkéntesként, akár aktivistaként részt vett a kampányban.
Az Adatkezelő a Hatóság második felszólítására adott válaszlevelében ismételten kifejtette, hogy a
Hatóság által a hozzájárulás önkéntességével kapcsolatban felvetettek csak az aláírásgyűjtő
ívekért felelős önkéntesek adataival kapcsolatban merülhetnek fel, ezért nem érthető, hogy a
felszólítás miért terjed ki a teljes adatbázisra, illetve miért nem különül el a kapcsolattartási
adatbázisra általában vonatkozó, illetőleg az önkéntesekkel kapcsolatos adatokkal kapcsolatos
felszólítás. Ezen adatok ugyanis a többi, kapcsolattartásra szolgáló személyes adattól
elkülöníthetők, és azok kezelése informatikailag is külön adatbázisban történik.
18
b) Az ívek online feltöltése során megadandó adatok kezelésével kapcsolatos megfelelő
tájékoztatás hiánya
Az online feltöltés során megadandó személyes adatok kezelésének jogalapjáról és céljáról
történő tájékoztatással kapcsolatban a Hatóság megállapította, hogy az Adatkezelő Hatóságnak
adott válaszában foglaltak – miszerint a Feltöltés oldalon linkelt Adatkezelési tájékoztatóban
megfogalmazott jogalap a hozzájárulás – ellentmondanak az Adatkezelési tájékoztató valós
tartalmával, a tájékoztatóban ugyanis az adatkezelés jogalapja nem került megjelölésre, csupán
arról tájékoztatják az érintetteket, hogy álláspontjuk szerint mi az adatkezelés célja.
Az adatkezelés időtartamáról történő tájékoztatással kapcsolatban a Hatóság eljárása során
megállapította, hogy a tájékoztatóban foglaltak szerint az ívek online feltöltése során megadott
személyes adatokat az aláírásgyűjtési akció végéig fogják kezelni, konkrét időpont azonban erre
vonatkozóan nem volt megjelölve, így nem egyértelmű az érintettek számára, hogy adataikat az
Adatkezelő meddig fogja kezelni.
A tájékoztató szerint továbbá amennyiben az űrlapon az Adatkezelő politikai tevékenységével
kapcsolatos hírlevélre feliratkozás is megtörtént, az adatokat a hozzájárulás visszavonásáig
kezelik. A Hatóság a vizsgálat során megállapította, hogy az online feltöltés során kötelezően
kitöltendő űrlapon nem szerepelt olyan lehetőség, ahol hírlevélre lehetett feliratkozni, ennélfogva
az ívek online feltöltése egyúttal a hírlevélre feliratkozást is jelenthette, amely célból történő
adatkezeléshez az érintettek emiatt nem tudták a hozzájárulásukat külön megadni.
Az Adatkezelő tehát nem nyújtott az érintetteknek egyértelmű, megfelelő és valós tájékoztatást az
ívek weboldalon keresztül történő feltöltése során megadott személyes adatok kezelésének
valamennyi lényeges körülményéről, megsértve ezáltal az általános adatvédelmi rendelet 5. cikk
(1) bekezdés a) pontját, 5. cikk (2) bekezdését és a 13. cikk (1)-(2) bekezdését.
III.3. Jogkövetkezmények
III.3.1. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján
megállapítja, hogy az Adatkezelő megsértette az általános adatvédelmi rendelet 6. cikk (1)
bekezdését és 9. cikk (1) bekezdését azáltal, hogy érvényes jogalap nélkül kezeli az érintettek
kapcsolattartási célból gyűjtött személyes adatait, mivel az érintettek adatkezeléshez történő
hozzájárulásának hiányoznak a legfontosabb fogalmi elemei, amelyek megléte szükséges ahhoz,
hogy az adatkezelés jogalapja, azaz jelen esetben a hozzájárulás érvényes legyen.
A Hatóság megállapítja, hogy az Adatkezelő megsértette az általános adatvédelmi rendelet 5. cikk
(1) bekezdés a) pontját, 5. cikk (2) bekezdését és 13. cikkét azáltal, hogy nem nyújtott az
érintetteknek tájékoztatást az adatkezelés valamennyi lényeges körülményéről.
III.3.2. A Hatóság utasítja az Adatkezelőt, hogy törölje a „Csatlakozzunk az Európai
Ügyészséghez!” elnevezésű kezdeményezéssel összefüggésben 2018. július 19. és 2019. május
30. között az érintettektől kapcsolattartási célból gyűjtött valamennyi személyes adatot.
III.3.3. A Hatóság megvizsgálta, hogy indokolt-e az Adatkezelővel szemben adatvédelmi bírság
kiszabása.
E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-
a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire a Hatóság – az
alábbiak szerint is – megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a
19
figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása
szükséges.
A Hatóság mindenekelőtt figyelembe vette, hogy az Adatkezelő által elkövetett jogsértés az
általános adatvédelmi rendelet 83. cikk (5) bekezdés a) és e) pontja szerint a magasabb összegű
bírságkategóriába tartozó jogsértésnek minősül, mivel az a hozzájárulás feltételeinek sérelmével
járt, továbbá a Hatóság korábbi felszólításában foglaltak nem teljesítése miatt jelen határozat
rendelkezéseinek teljesítése sem várható bírság kiszabása nélkül.
A Hatóság a bírságkiszabás során az alábbi körülményeket súlyosító körülményként értékelte:
- az Adatkezelő országgyűlési képviselői minősége miatt a Hatóság álláspontja szerint az
Adatkezelőtől fokozottan elvárható, hogy az általa történő személyes adatok gyűjtése során
az általános adatvédelmi rendelet előírásainak megfelelően járjon el [általános adatvédelmi
rendelet 83. cikk (2) bekezdés a) pont];
- Az Adatkezelő által gyűjtött személyes adatok különleges kategóriájú személyes adat
minősége [általános adatvédelmi rendelet 83. cikk (2) bekezdés g) pont];
- Az adatkezelés hosszú időtartama (2018. július 19. napjától, azaz a gyűjtés kezdetétől a
mai napig tart az érintettek személyes adatainak kapcsolattartási célból történő kezelése)
és a jogsértéssel érintett érintettek nagy száma (körülbelül 680.000 támogatói aláírást
gyűjtöttek a kezdeményezés során) [általános adatvédelmi rendelet 83. cikk (2) bekezdés
a) pont];
- Az Adatkezelő láthatóan törekedett az adatkezelési előírások betartására, mint a
kezdeményezés szervezőjétől, és egyben országgyűlési képviselőtől azonban elvárható lett
volna minden technikai és szervezési intézkedés megtétele az adatkezelés megfelelősége
érdekében [általános adatvédelmi rendelet 83. cikk (2) bekezdés d) pont].
A Hatóság a bírságkiszabás során az alábbi körülményeket enyhítő körülményként értékelte:
- az Adatkezelő a Hatóság által vele szemben korábban, az általános adatvédelmi rendelet
58. cikk (2) bekezdésében foglaltak alapján elrendelt intézkedésének részben eleget tett;
- A Hatóság a jogsértést gondatlan jellegűnek értékelte, mivel az Adatkezelő az adatkezelés
megkezdése előtt annak megfelelősége érdekében látszólag tett intézkedéseket, azonban
ezen intézkedések nem eredményezték az adatkezelés megfelelőségét [általános
adatvédelmi rendelet 83. cikk (2) bekezdés b) pont].
A Hatóság figyelembe vette továbbá, hogy
- az Adatkezelő korábban nem követett el releváns, a jelen ügyben megállapítotthoz hasonló
jogsértést [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont];
Az Adatkezelő országgyűlési képviselői javadalmának összege (havi bruttó tiszteletdíj) 1.008.800,-
Ft.
A bírság kiszabás a fentiek alapján szükséges az Adatkezelő tekintetében speciálisan, továbbá a
Hatóság a kiszabott bírságösszeg meghatározásakor a sepciális perevenciós cél mellett
figyelemmel volt a bírsággal elérni kívánt generálpreventív célra is, mellyel - az Adatkezelő újabb
jogsértéstől való visszatartása mellett – azt kívánja elérni, hogy a politikai élet szereplői a különféle
aláírásgyűjtéseket az érintettek érvényes hozzájárulása nélkül ne használják támogatói adatbázis-
építésre.
20
A Hatóság a bírságkiszabás során nem tartotta relevánsnak az általános adatvédelmi rendelet 83.
cikk (2) bekezdés c) f) h), i), j) és k) pontja szerinti körülményeket, mivel azok a konkrét ügy
kapcsán nem értelmezhetők.
A bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg.
III.3.4. A Hatóság az Infotv. 61. § (2) bekezdés b) pontja alapján a határozatnak a nyilvánosságra
hozatalát azért rendelte el, mert az személyek széles körét érinti, továbbá azt közfeladatot ellátó
személy tevékenységével összefüggésben hozta.
A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.
IV. Egyéb kérdések
A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az
ország egész területére kiterjed.
Jelen határozat az Ákr 80-81. §-a és az Infotv. 60. § (1) bekezdésén alapul.
A határozat az Ákr. 82. § (1) bekezdése alapján a döntés közlésével véglegessé válik.
Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve az Ákr. 114. § (1) bekezdése alapján a
határozattal szemben közigazgatási per útján van helye jogorvoslatnak.
***
A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a
továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével
szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a)
pont aa) alpontja bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. §
(1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet
kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél
benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.
A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus
ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a
továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője
elektronikus kapcsolattartásra kötelezett.
A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. Az
egyszerűsített perről, illetve a tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a
Kp. 77. § (1)-(2) bekezdésén és a 124. § (1) bekezdés és (2) bekezdés c) pontján, illetve (5)
bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII.
törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése
alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást
kezdeményező felet.
Az Ákr. 135. § (1) bekezdés a) pontja szerint a Kötelezett a törvényes kamatnak megfelelő mértékű
késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget.
A Polgári Törvénykönyvről szóló 2013. évi V. törvény 6:48. § (1) bekezdése alapján pénztartozás
21
esetén a Kötelezett a késedelembe esés időpontjától kezdődően a késedelemmel érintett naptári
félév első napján érvényes jegybanki alapkamattal megegyező mértékű késedelmi kamatot köteles
fizetni.
Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy
tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett
a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság
határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a
értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést
hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet
vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az
állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában
foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy
abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a
Hatóság foganatosítja.
Budapest, 2020. július 9.
Dr. Péterfalvi Attila
elnök
c. egyetemi tanár
22