Что изменилось

a) az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontját; b) az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontját; c) az általános adatvédelmi rendelet 6. cikk (1) bekezdését; d) az általános adatvédelmi rendelet 12. cikk (1) bekezdését; e) az általános adatvédelmi rendelet 13. cikk (1) és (2) bekezdéseit; f) az általános adatvédelmi rendelet 32. cikk (1) és (4) bekezdéseit. (5) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontjában foglalt átláthatóság elvének sérelme következett be azáltal, hogy Kötelezett üzleteiben (azaz az adatkezelés helyszínén) az alkoholtartalmú italt vásárolni szándékozó érintettek számára nem volt átlátható az ahhoz kapcsolódó, a Kötelezett által kialakított adatkezelés; annak lényeges körülményeit nem volt az érintetteknek lehetősége megismerni, mert nem volt kihelyezve https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata megfelelő, a tényleges adatkezeléssel kapcsolatos lényeges információkat tartalmazó adatkezelési tájékoztató; továbbá az érintettek és a Hatóság képviselőinek kérésére a Kötelezett munkavállalói még szóban sem tudtak tájékoztatást adni a kapcsolódó adatkezelési tájékoztató internetes elérhetőségéről vagy az adatkezelés lényeges körülményeiről [lásd: a Határozat indokolásának (129) bekezdése]. (6) Az átláthatóság elvének sérelmét jelentette az is, hogy a Kötelezett üzleteiben, valamint az egyes üzleteken belül a kasszáknál is jelentősen eltérő volt az alkoholtartalmú italt vásárolni szándékozó személyek életkorának ellenőrzésével kapcsolatos tényleges adatkezelési gyakorlat, ennek megfelelően az érintettek számára nem volt átlátható az őket érintő adatkezelés [lásd: a Határozat indokolásának (134) bekezdése]. (7) Kötelezett az Ákr. 76. § szerinti értesítésről szóló végzés [NAIH-6989-16/2022 ügyszámú végzés] időpontjáig megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átláthatóság elvét a naplózással megvalósuló adatkezelése kapcsán is azáltal, hogy nem biztosította az adatkezelés átláthatóságát az érintettek számára, mivel 2022. augusztus 4. és 11. közötti időszakban nem nyújtott tájékoztatást az érintettek részére az adatkezelés vonatkozásában; a 2022. augusztus 12. és 31. közötti időszakban a valósággal ellentétes tartalmú tájékoztatást nyújtott az érintetteknek a Weboldalán (https://www.aldi.hu/hu/homepage.html) és az Ákr. 68-69. § szerinti szemlék során üzleteiben is arról a tényről, hogy a kassza minden billentyűjének a leütése (és ezáltal alkoholtartalmú ital vásárlása esetén a vásárlók születési dátuma is) naplózásra került, valamint, hogy ezek a naplófájlok a rögzítést követő 180 napig megőrzésre is kerültek, továbbá azokhoz a Kötelezett által igénybevett adatfeldolgozó is hozzáfér; végezetül, hogy 2022. szeptember 1. napjától az Ákr. 76. § szerinti értesítésről szóló végzés időpontjáig nem módosította Kötelezett a vonatkozó adatkezelési tájékoztatóját, ezáltal továbbra sem tájékoztatta az érintetteket a fent kifejtettekről [lásd: a Határozat indokolásának (141) bekezdése].

(8) Az általános adatvédelmi rendelet 12. cikk (1) bekezdésében előírt „könnyen hozzáférhető” kritérium sérelmével járt az, hogy a Kötelezett nem hozott megfelelő intézkedéseket annak érdekében, hogy az érintettek részére az adatkezelésekkel kapcsolatos tájékoztatóját az egyes üzleteiben könnyen hozzáférhető módon és formában tegye elérhetővé [lásd: a Határozat indokolásának (148) bekezdése]. (9) Kötelezett megsértette az általános adatvédelmi rendelet 13. cikk (1) és (2) bekezdéseit, tekintettel arra, hogy a Kötelezett a személyes adatok megszerzésének időpontjában nem bocsátotta az érintettek rendelkezésére az általános adatvédelmi rendelet 13. cikk (1) – (2) bekezdéseiben meghatározott információkat az eljárással érintett adatkezelés kapcsán [lásd: a Határozat indokolásának (157) bekezdése]. (10) A Kötelezett a 2022. augusztus 4. és 2022. augusztus 31. közötti időszak vonatkozásában nem igazolt az általános adatvédelmi rendelet 6. cikk (1) bekezdés szerinti adatkezelési jogalapot azon érintettek adatainak kezeléséhez, akiknek 18. életévük betöltése kapcsán a fogyasztóvédelemről szóló 1997. évi CLV. törvény (a továbbiakban: Fgytv.) 16/A. § (4) bekezdésében meghatározott „kétség” fel sem merülhetett, akikről – bárki számára egyértelműen láthatóan idős korára tekintettel egyértelműen megállapítható volt, hogy a tizennyolcadik életévüket betöltötték. Mivel e személyi kör kapcsán a Hatóság sem tudott hivatalból azonosítani a Kötelezettre vonatkozó olyan jogszabályhelyet vagy egyedi döntést, amely az adatkezelésre vonatkozó jogi kötelezettséget teremtene, így Kötelezett megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését [lásd: a Határozat indokolásának (165) bekezdése].

(11) Az általános adatvédelmi rendelet 6. cikk (1) bekezdés sérelmét jelentette az is, hogy a

4. cikk 2. pontjának fogalom meghatározása alapján mind az életkor igazolására alkalmas igazolványba történő betekintés, mind az életkor igazolására alkalmas igazolványról leolvasott születési dátum, vagy a vásárló által közölt születési dátum kasszarendszerbe történő bevitele, rögzítése és naplófájljaiban 180 napig történő tárolása adatkezelési műveletnek tekinthető. A betekintésen felüli műveletek általánosan kötelező előírása azonban nem volt feltétlenül szükséges arra a célra, hogy az érintettek 18. életévének betöltését Kötelezett megállapítsa. Ezáltal a Kötelezett megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontjában foglalt adattakarékosság elvét, ugyanis létezik a cél elérésére megfelelő, azonban az érintettek számára kevésbé sérelmes, kevesebb adatkezelési művelettel járó módszer is, tehát a személyes adatok kezelése nem korlátozódott a szükséges mértékre [lásd: a Határozat indokolásának (174) bekezdése]. (14) Az általános adatvédelmi rendelet 32. cikk (1) és (4) bekezdéseiben foglalt adatbiztonsági követelmények sérültek azáltal, hogy a Kötelezett üzleteiben, valamint az egyes üzleteken belül nem alakítottak ki megfelelő intézkedéseket az érintettek személyes adatainak védelmére; nem alkalmazták a Kötelezett által előírt eljárásrendet; valamint egyes érintettek az alkoholtartalmú ital vásárlása esetén a pénztárosok kifejezett kérésére, mások számára is jól hallhatóan kellett, hogy közöljék születési dátumukat [lásd: a Határozat indokolásának (181) bekezdése]. (15) A Határozat 1. pontjában megállapított jogsértések miatt a Hatóság a Határozat 2.

## (23) Az Ítélet Indokolásának [42] bekezdése alapján „A megismételt eljárásban az alperesnek arra figyelemmel kell a határozatát meghoznia, hogy a felperes a születési dátum naplófájlban történő megőrzése körében nem követett el jogsértést. Ismételten döntenie kell a betekintéssel, illetve bevitellel megvalósított adatkezelés kapcsán megállapított jogsértések miatt alkalmazandó jogkövetkezményről, azzal, hogy bírság kiszabása esetén annak mértékét a jogsértés