Что изменилось

…………………………………………………………………………………………………………………………………………………………...

Ügyvédi Iroda (székhelye: […]; eljáró ügyvéd: […]; KASZ szám: […]; a továbbiakban: Jogi Képviselő) által képviselt […]a továbbiakban: Kötelezett) által az ún. „[…] PROGRAM”-mal (a továbbiakban: Program) összefüggésben 2021 novemberében kialakított és 2021. december 10-től és azt követően 2023. november 30-ig, majd 2023. december 1-jétől a bizonyítási eljárás lezárásáig, azaz 2024. július 17-ig terjedő időszakban megvalósított adatkezelési gyakorlatának a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendeletben (a továbbiakban: az általános adatvédelmi rendelet) foglalt előírásoknak való megfelelése tárgyában 2023. október 6.

hozza:

## 5. A Hatóság az információs önrendelkezési jogról és az információszabadságról szóló

## Az adatvédelmi bírságot jelen határozat véglegessé válásától számított 30 napon belül a

## I N D O K O L Á S

(9) A 2023. november 30-ig elérhető GYIK rövid tájékoztatást adott arról, hogy miért szükséges a villanyszámlát és az okmánymásolatokat feltölteni, valamint rögzítette, hogy a „[…] rendelkezik adatkezelési szabályzattal, valamint a […] programra vonatkozó szerződéses feltételek (ESZF) is tartalmaznak adatkezelési és adatvédelmi szabályokat, amelyek - és az érintett természetes személy elfogadó nyilatkozata folytán - az adatkezelés elfogadását, valamint az arra való felhatalmazást is jelentik a programban részes személy tekintetében.” A hivatkozott adatkezelési szabályzat a Kötelezett 2021. november 15-i keltezésű belső eljárásrendjét takarta, amely nem került közzétételre a regisztrálni szándékozó érintettek számára, az számukra nem volt megismerhető az online regisztrációt megelőzően, azt az eljárás során a Hatóság felhívására küldte meg Kötelezett [NAIH-3626-2/2023 ügyiratszámon iktatott nyilatkozat 9. sz. melléklete]. Az igazolványok feltöltésének okaként a GYIK rögzítette, hogy „Az igazolványok a villanyszámlán lévő személyt igazolják, és a szerződéskötéshez szükségesek. A természetes személy adatainak kezelése és tárolása, valamint azok feldolgozása szükségszerű része a programnak, mivel azok nélkül a jelentkező azonosítását (és a felhasználási helyének további azonosítását) nem lehet elvégezni. Az azonosítás személyes adatokat tartalmazó iratok ismeretét (az adatok átadását) tételezi fel, így az adatkezelés (az iratok elektronikus átvételével) célhoz kötött és rendeltetésszerű, amelyet a jelentkező nem kifogásolhat.”

(11) Az ESZF jelölőnégyzet útján történő elfogadását követően, még a regisztráció azonos lapján egy „Nyilatkozat”-ot kellett jelölőnégyzet útján elfogadnia az érintettnek („A nyilatkozatot elfogadom”), amelyben a regisztráló kijelenti, hogy részt kíván venni a programban, elfogadja az ESZF-et és a létrejövő Energiahatékonysági Megállapodást, végezetül az alábbi adatkezeléssel kapcsolatos nyilatkozatot teszi: „Kijelentem, hogy a „[…] PROGRAM”-al kapcsolatosan - a […] adatkezelési tájékoztatójának ismeretében hozzájárulok ahhoz, hogy a […] a „[…] PROGRAM”-al kapcsolatos adataimat (ide értve a személyes adatokat is) kezelje, felhasználja, feldolgozza, továbbítsa az „ESZF” szabályai szerint.” [NAIH-8614-4/2023. ügyiratszámon Jegyzőkönyv „Részvételi Nyilatkozat” című melléklete]. Itt sem került elhelyezésre a Kötelezett adatkezelési tájékoztatójára mutató hivatkozás, így az a Weboldal1-2 felületein egyedül közzétett „Adatvédelmi és adatkezelési Tájékoztató a […] Kft. tevékenységére vonatkozóan” című dokumentumot takarhatta kizárólag. E jelölőnégyzet elfogadásával tehát egyszerre fogadta el ismételten az érintett az ESZF-et, amely rögzíti, hogy az abban foglaltak az irányadók az adatkezelés jellemzőire, illetve azt, hogy ismeri az általános tájékoztatást nyújtó, az ESZF-től eltérő tartalmú adatkezelési tájékoztatót, amely ismeretében hozzájárulását adja az adatkezeléshez, amely ugyanakkor a Programra vonatkozóan nem ad tájékoztatást, a szerződéses ajánlatkéréshez kapcsolódó adatkezelésre viszont eltérő tájékoztatást tartalmaz, mint az ESZF a programban való részvétel kapcsán.

## […]; a továbbiakban: […] Zrt.) által biztosított szerveren kerültek tárolásra, ahol

7/2023. ügyiratszám 3. mellékletében; az Új Adatkezelési Tájékoztató és az Új ESZF a NAIH-8614-6/2023. ügyiratszám Ü/10. sz. elnevezésű mellékleteiben kerültek a Kötelezett Jogi Képviselője által becsatolásra.

cégjegyzékszáma: […]) létrehozásának célja, hogy a meglévő erőforrások optimális kihasználásával és a szinten tartáshoz szükséges fejlesztésével a gazdálkodás hosszú távon jövedelmezően, a piaci igényekhez igazodóan működjön. Kapcsolt vállalkozások […]-ig: […] […] Kft. és […] […] Kft. A kapcsoltsági jogviszonyok […]-én megszűntek. Kapcsolt vállalkozása a 2023. évi kiegészítő melléklet szerint a […] […] Kft.

## […] […] Kft.) (székhelye: […]; cégjegyzékszáma: […]) létrehozásának célja, hogy a

## VII.5. Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerinti könnyen

## november 30-ig terjedő időszak vonatkozásában (Rendelkező rész 1.1. d) pont)

(217) A Hatóság megállapította, hogy az online környezetben, webszerveren futó

(218) A Hatóság fentiek alapján azt ítélte meg eljárása során, hogy a Kötelezett megfelelően értékelte-e a Programhoz és azon belül az Adatbázisban tárolt adatokhoz kapcsolódó adatvédelmi kockázatokat, és a kockázatokkal arányos adminisztratív, logikai és fizikai védelmi intézkedéseket alkalmazott-e arra, hogy a személyes adatokhoz hozzáféréssel rendelkező, a Kötelezettel vagy adatfeldolgozóival munkavégzésre irányuló jogviszonyban álló, vagy korábban abban álló személyek kizárólag az adatkezelő utasításának megfelelően kezelhessék az adatokat. (219) A 2023. október 18-i helyszíni szemlén megállapítást nyert, hogy az Adatbázis adminisztrációs felületét internetes böngésző útján, a nyílt internetről – igaz titkosított (https) kommunikációs csatornán – bárhonnan, bármilyen eszközről el lehettet érni és oda be lehetett jelentkezni, az nem volt IP tartományra, vagy a Kötelezett által biztosított biztonságos (például távmenedzselt) eszközökre korlátozva. Az Adatbázis adminisztrációs felületéhez hozzáférési jogosultsággal rendelkezők – tehát a Kötelezett munkatársai, közreműködői, és további jogosultak (adatfeldolgozók munkatársai) – általi belépésnél csupán egyfaktoros autentikáció, azaz azonosítás (egyszerű felhasználónév és jelszó páros) történt, sem megerősítő email, vagy szöveges üzenet nem került a felhasználónak kiküldésre a bejelentkezéshez, sem egyéb hitelesítő eszköz, token birtoklása nem volt elvárás a hozzáféréshez. Az egyfaktoros belépés kapcsán a jegyzőkönyvben rögzítésre került, hogy a helyszíni szemle időpontjában nem volt rendszeres időközönkénti jelszóváltoztatás kikényszerítve, és a jelszavakat maga a […] […] Kft. ügyvezetője generálta és küldte meg e-mail útján az egyes közreműködőknek. A szemlén az ügyvezető személyesen vett részt, az eljárást ő ismertette a Hatóság jelen lévő képviselői részére, a jegyzőkönyvet az ügyvezető is átolvasta és aláírásával látta el [NAIH-8614-4/2023. ügyiratszámon iktatott, a 2023. október 18-i helyszíni szemléről készült Jegyzőkönyv 7. oldala]. (220) A szemlét követően Kötelezett a NAIH-8614-6/2023. ügyiratszámon iktatott iratban már akként nyilatkozott, illetve pontosította korábbi nyilatkozatát, hogy az adminisztrátor által jóváhagyott hozzáférésre jogosult személyek felhasználónévvel és saját jelszóval tudnak belépni, és a jelszót a jogosult adja meg és ismeri, amely jelszó 30 napi be nem lépés után elévül (azaz a hozzáférés ezt követően csak az adminisztrátor közreműködésével és új jelszó megadásának engedésével lehetséges), egyebekben a hozzáférés inaktív státuszba is kerülhet az adminisztrátor intézkedésével (ilyen esetben az adott felhasználó belépése nem lehetséges, a belépéshez felhasználónév aktiválása és új jelszó képzése szükséges). Nyilatkozatának alátámasztására a munkamenet érvényessége (session) kapcsán Ü/7. melléklet alatt egyetlen, azonos tartalmú mondatot tartalmazó, a Kötelezett által nem hitelesített, a fájl meta adatai szerint a nyilatkozat napján digitálisan létrejött, csak a Jogi Képviselő AVDH azonosításával ellátott dokumentumot csatolt. A jelszókiosztás rendje kapcsán egy digitálisan létrejött (nem képolvasóval beolvasott), a […] […] Kft. ügyvezetője, mint hozzáférés adminisztrációjának feladatát ellátó személy részére készült feladatleírás kivonatot mellékelt, amely irat nem került sem a Kötelezett, sem a […] […] Kft. ügyvezetője, vagy más képviselője által aláírásra, az szintén csak a Jogi Képviselő AVDH aláírását tartalmazta [NAIH-8614-6/2023. ügyiratszám Ü/4. melléklet „U_4_[…]_[…]_ugyvezeto_feladatai_LED_program.pdf”]. Az iraton található szöveges keltezés 2021. november 15; a „.pdf” fájl típusú dokumentum meta adatai szerint annak létrejötte 2023. október 25. napja. Kötelezett csatolta továbbá állításai alátámasztására a „ADATKEZELŐI UTASÍTÁS ADATFELDOLGOZÓ RÉSZÉRE” című, az iraton 2021. november 15-i keltezésű megállapodás képolvasóval beolvasott példányát is, amelyet már adatkezelő és adatfeldolgozó képviselője is papíralapon aláírásával látott el [NAIH- 8614-6/2023. ügyiratszám Ü/4. melléklet „U_4_[…]_Adatkezeloi_utasitasok_[…]_[…]_alairt.pdf”]. A szerződés az általános adatvédelmi rendelet előírásait megfelelően hivatkozva, arra alapítva határozza meg […] […] Kft. adatkezeléssel kapcsolatos feladatait. (221) A NAIH-8614-6/2023. ügyiratszám Ü/4. mellékletek bizonyítékként való értékelése szempontjából a Hatóság megvizsgálta, hogy az eljárás során feltárt bizonyítékok összességére és azok időbeliségére tekintettel a mellékletben csatolt iratokra a Hatóság döntésében figyelemmel lehet-e. (222) Kötelezett 2022. december 13-án Ügy2-ben kelt nyilatkozata [NAIH-8732-5/2022.

Kft.-vel megkötött eredeti, a felek által minden oldalon szignózott 2021. november 15-i keltezésű Szolgáltatási szerződést [NAIH-4208-3/2023. ügyiratszám 6. melléklet]. Annak 1.2 pontja szerint e szerződés alkalmazandó felek vonatkozásában a Programhoz kapcsolódó feladatok ellátása során. A szerződés 8.5. pontjában rögzítik felek, hogy „A Felek tudomásul veszik, amennyiben a szerződésben foglalt feladat teljesítése személyes és különleges adatnak minősülő adatot érint, kötelesek a 2011. évi CXII törvény vonatkozó rendelkezései szerint eljárni. Felek a személyes adatok kezelése esetén külön megállapodást kötnek egymással (adatfeldolgozói szerződés), melyben a Megrendelő által kezelt személyes adatok Szolgáltató általi feldolgozásának szabályait, valamint az adatfeldolgozói nyilvántartásra vonatkozó eljárást és szabályokat határozzák meg.” A dokumentumban említés szintjén sem szerepel az általános adatvédelmi rendelet, abban kizárólag az Infotv. került rögzítésre és az „ADATKEZELŐI UTASÍTÁS ADATFELDOLGOZÓ RÉSZÉRE” című, azonos keltezésű iratra sem történik utalás, ellenben a szerződés fent idézett sora egyes számban határozza meg, hogy Felek egy külön megállapodást kötnek egymással „(adatfeldolgozói szerződés)”. (225) 2023. július 7-én – Ügy2 keretében – […] […] Kft. is nyilatkozatot terjesztett elő

PROGRAM SORÁN BEADOTT REGISZTRÁCIÓK ELLENŐRZÉSÉHEZ”) 2024. július 11-én megküldte a Hatóság részére [NAIH-19-13/2024. ügyiratszám Ü/4.2 melléklet], annak irat szerinti kelte 2021. december 10., azon cégszerű aláírás vagy a keletkezés időpontját alátámasztó bizonyíték nem található. A fájl keletkezési dátuma a meta adatok alapján a beküldés napja volt. A dokumentum a munkavállalók vonatkozásában alkalmazott adminisztratív védelmi intézkedésnek értékelhető annak utolsó bekezdéséből fakadóan, „Az Utasítás az Mt. 17. § szerinti munkáltatói szabályzatnak minősül, amely kötelező a LED csereprogramhoz kapcsolódóan az Adatkezelőnél munkát végző munkavállalókra nézve (személyi hatály), (…) az Utasítás minden a LED csereprogramhoz kapcsolódó tevékenységet végző a munkavállalóval szemben hatályos.”, a Hatóság értékelése szerint az a hozzáféréssel rendelkező más személyek vonatkozásában nem irányadó szabály. (231) A NAIH-8614-4/2023. ügyiratszámon iktatott, 2023. október 18-án kelt Jegyzőkönyv szerint az Adatbázisban kerülnek beállításra a felhasználói jogosultságok. A […] […] Kft. adatfeldolgozó ügyvezetője a helyszíni szemlén bemutatta az Adatbázishoz beállított hozzáférési jogosultságokat, arról a Hatóság forenzikus mentést készített [NAIH-19- 8/2024. „[…].pdf” és „[…]2.pdf”]. Ebben a visszavont jogosultságok mellett olyan személyek is szerepeltek, akik eseti jelleggel működtek közre a Kötelezett munkájában.

Kötelezett munkavállalóira vonatkozó adatszolgáltatás, azaz az eseti hozzáféréssel rendelkező közreműködőket (akik szintén rendelkeztek hozzáféréssel a NAIH-8614- 4/2023. ügyiratszámú jegyzőkönyv szerint) a lista nem tartalmazza. Tehát nem teljes körű az adat a vonatkozásban, hogy valójában összesen hányan és kik, mikor fértek hozzá az Adatbázishoz. A Hatóság megállapítja, hogy Kötelezett az inaktivált felhasználók között nyilatkozott „[…]” és „[…]” jogosultságainak visszavonásáról, azonban nem szerepeltette a Kötelezettel munkaviszonyban állók között a második mellékletben. A forenzikus módon (NAIH-8614-4/2023 és NAIH-19-8/2024.

nevesíti az általános adatvédelmi rendelet 82. cikk (2) bekezdés a) pontjában foglaltak szerint a szóban forgó adatkezelés jellegét, hatókörét, célját, továbbá azon érintettek számát, akiket a jogsértések érintenek, valamint az általuk elszenvedett kár mértékét.

tekintette, mivel egyrészt nem ismert azon természetes személyek száma, akik az adatkezelés jogellenességét felismerve nem regisztráltak a Programba, így nem váltak az adatkezelés érintettjévé, vagy okmánymásolat feltöltése nélkül regisztráltak, ezáltal elutasításra kerültek, így a Program jelentette anyagi előnytől estek el. Másrészt az egyes érintettek vonatkozásában kezelt nagy számú személyes adatkör (beleértve azonosító adatokat és 2023. november 30-ig okmánymásolatokat is) gyűjtése, feldolgozása és tárolása során nem igazolt, hogy az átláthatóság hiányában hány érintetti joggyakorlás, illetve jogorvoslat kezdeményezés maradt el, és ugyan így ismeretlen az is, hogy a jogellenes adatkezelés hatására az érintetteket érintő fizikai, anyagi vagy nem vagyoni kár bekövetkezett-e, vagy az minden érintett számára csak az elért energia megtakarításra tekintettel anyagi előnnyel járhatott.

megvalósulása érdekében szükséges volt a személyes adatok kezelése, valamint Kötelezettnek az EKR kötelezettsége teljesítéséhez valóban szükséges volt azonosítani a Program keretében vele szerződő lakossági felhasználót, azaz az érintettet, csupán a megvalósítás módja nem volt megfelelő.

## (291) A jogsértések időtartama kapcsán megállapítható, hogy az érintettek számára az

Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár