Что изменилось

## A 2. és 3. pontban előírt intézkedések megtételét a Kérelmezettnek a jelen határozat kézhezvételétől számított 30 napon belül kell írásban – az azokat alátámasztó bizonyítékok

e) Megfelelő garancia megléte (például titkosítás, álnevesítés) [általános adatvédelmi rendelet 6. cikk (4) bekezdés e) pont]: jelen adatkezelés kontextusára tekintettel az email-címek felhasználása tekintetében sem a titkosítás, sem az álnevesítés nem képzelhető el, hiszen ezek alkalmazásával nem lehetne a […] tárgyú e-mailt elküldeni az érintettnek. A Kérelmezett szerint egyetlen e-mail küldése és abban egy kérdőív kitöltésére történő felkérés, amely kérdőív kitöltése kapcsán semmilyen személyes adat nem keletkezik sem a Kérelmezettnél, sem szerződéses partnerénél, észszerűen nem jár együtt a magánszféra megsértésének olyan mértékével, amely szükségessé tenné további garanciák alkalmazását. (23) Ezen mérlegelésről a Kérelmezett a nyilatkozata szerint nem hozott semmilyen határozatot vagy más írásbeli döntést, hiszen sem az általános adatvédelmi rendelet, sem pedig a Hatóság eddig ismert gyakorlata nem várja el, hogy egy gazdasági társaságnak az ilyen jellegű döntéshozatali folyamatai során cégvezetéssel összefüggő határozatot kellett volna hoznia. (24) A Kérelmezett hivatkozott arra, hogy az érintettek már számos más szolgáltatónál is találkozhatnak azzal a gyakorlattal, hogy e-mail útján ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére kérik fel őket. Éppen ezért az érintettek túlnyomó többsége számára nem ismeretlen azon adatkezelői gyakorlat, amelyet a Kérelmezett is alkalmaz. Mindemellett azt az e-mailt, amelyet a Kérelmező is megkapott, néhány hónapja küldi ki a Kérelmezett az érintettek részére és a kérdőívet 90 ezer személy töltötte ki. Ezen időszak alatt senki sem kifogásolta a kérdőívet tartalmazó e-mail küldését. A Kérelmező is a 2021. november 22-ei panaszában kizárólag azt kifogásolta, hogy álláspontja szerint reklámot tartalmazó e-mailt kapott, tehát az ő panasza sem a kérdőív kitöltésére vonatkozó felkérésre irányult és a panasza egyáltalán nem érintette ezen felkérést. A Kérelmezett számára ezen körülmények azt mutatják, hogy valójában az érintettek szívesen elmondják a véleményüket egy kérdőíves felmérésen és nem zavarja őket az, hogy egy ilyen tárgyú megkeresést kapnak. Erre figyelemmel a Kérelmezett álláspontja szerint általánosságban az érintettek magánszférájára negatív hatást nem gyakorol a […] tárgyú e-mail küldése, illetve abban az ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkérés szerepeltetése. (25) A […] tárgyú e-mailben mindemellett a […]-ről szóló tájékoztatás is szerepelt. Ez nem egy speciális marketing ajánlat, hanem ez egy állandó lehetőség bármely érintett számára, amely a Kérelmezett honlapján két helyen is megtalálható. (26) A […]-t mint kedvezményt a Kérelmezett 2019 áprilisában vezette be, valamennyi ügyfele számára. A Kérelmezett úgy gondolta, hogy azt az e-mailt, amelyet a Kérelmező is megkapott, érdemes lehet kiegészíteni a […]-ről szóló tájékoztatással. Az, hogy az e-mail ezen része pusztán csak egy tájékoztatás akart lenni, az is mutatja, hogy a […]-re vonatkozó közlemény az e-mail alján szerepel, az eredeti cél, illetve az azzal összeegyeztethető ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkérést követően. Ha a Kérelmezettnek az lett volna a célja, hogy hangsúlyosabb legyen a […] kedvezményre vonatkozó rész, akkor előrébb sorolta volna az erre vonatkozó tájékoztatást. (27) Az ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkéréshez hasonlóan, a […]-ről szóló tájékoztatás sem minősül külön adatkezelésnek abban a tekintetben, hogy a Kérelmezett az e-mail-címeket nem használja fel külön ezen másik célú adatkezeléshez, hanem az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja alapján küldött e-mail egészül ki egy új tartalmú üzenettel. A Kérelmezett csak egy e-mailt küld ki az érintetteknek és ebben az egy e-mailben szerepel az eredeti adatkezelési célhoz kapcsolódó tájékoztatás, illetve két ettől eltérő, másik célú közlemény. (28) A Kérelmezett álláspontja szerint az általános adatvédelmi rendelet 6. cikk (4) bekezdése szerinti szempontok vizsgálata alapján az állapítható meg, hogy a […]-ről szóló tájékoztatás mint az e-mail küldésének ezen másik célja az alábbiak miatt szintén összeegyeztethető az eredeti adatkezelési céllal (a kézbesítés folyamatáról státuszüzenet küldése):

e) Emellett, ha a Hatóság jogellenesnek minősítené az adatkezelést, a Kérelmezett fontosnak tartja kiemelni azt is, hogy a Kérelmezett és az érintettek között létező és releváns kapcsolat van (az érintettek a Kérelmezett ügyfelei), illetve a Kérelmezett az érintettek e-mail-címét jogszerűen, közte és az érintettek között fennálló jogviszony alapján szerezte meg. Maga a státuszüzenet kiküldése szorosan kapcsolódott az érintett által igénybe vett szolgáltatáshoz. Tehát egy esetleges jogellenes adatkezelés esetében az is csökkenti az a Kérelmezett felelősségét, hogy nem „idegen” érintettek e-mail-címét kezeli, vagy olyanokét, akik évekkel ezelőtt igénybe vették a Kérelmezett szolgáltatását, hanem egy néhány nap alatt lezajlott szolgáltatás teljesítése esetében, a teljesítés napján küldött üzenetként kapták meg egy alkalommal a státuszüzenetet. (53) Mindezek mellett a Hatóság rendelkezésére áll egy, a Hatóság munkatársának elektronikus címére 2024. február 19. napján küldött […] tárgyú e-mail, amely a szolgáltatás értékelésére, kérdőív kitöltésére hívja fel az érintettet. Az e-mail alján a fentiektől eltérően az a tájékoztatás szerepel, hogy a „[…], törvényi kötelezettség alapján biztosítja számodra a küldeményed elektronikus nyomkövetését.”

2 […]

(98) Az általános adatvédelmi rendelet 13. cikk szerinti előzetes tájékozódáshoz való jog értelmében az adatkezelők kötelesek megfelelő tájékoztatást nyújtani az érintettek részére a személyes adataik kezelésének útjával és körülményeivel kapcsolatban. E jog egyrészt azt hivatott tudatosítani az adatalanyokban, hogy az adatkezelő velük kapcsolatban személyes adatokat kíván kezelni. Másrészt a tájékoztatás révén az adatalanyok megítélhetik azt, hogy a tervezett adatkezelés milyen hatást gyakorolhat a magánéletükre, illetve milyen egyéb kockázatokat és veszélyeket rejt magában. Végezetül pedig az egyének a kapott információk révén válnak képessé arra, hogy gyakorolják információs önrendelkezési jogukat. Az előzetes tájékozódáshoz való jog elsődlegesen az átláthatóság elvét hivatott érvényre juttatni. Az adatalanyok e jogosultság révén ismerhetik meg a tervezett adatkezelést. Emellett azonban szorosan kapcsolódik a tisztességes eljárás követelményéhez, valamint az elszámoltathatóság elvéhez is. Az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdése tartalmazza azokat az információkat, amelyekről az adatkezelőknek tájékoztatni kell az érintetteket. Tekintettel arra, hogy a vizsgált időszakban az adatkezelési tájékoztató a 2016ban hatályos Infotv. szerinti tájékoztatást vette alapul – benne az akkor Infotv. szerinti jogalapról szóló tájékoztatással –, megállapítható, hogy a Kérelmezett nem biztosította az általános adatvédelmi rendeletnek megfelelő tájékoztatás megadását, megsértve ezzel az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdését. (99) A Hatóság álláspontja szerint ugyanakkor a Kérelmezett nyilatkozatában – és részben a 2016os adatkezelési tájékoztatójában – megjelölt adatkezelési célok mindegyike jogszerűnek minősül, azaz jogszerű cél, hogy a Kérelmezett felhasználja az érintett nevét és e-mail-címét arra, hogy tájékoztassa a megrendelt termék szállításának, kézbesítésének állapotáról, visszajelzést kérjen kérdőív formájában a szolgáltatás minőségéről, és tájékoztassa az érintetteket az úgynevezett […]-ről mint kedvezményről. (100) A Hatóság a jövőre nézve elfogadhatónak tartja azt is, hogy a Kérelmezett a kifogásolt adatkezelések közül a státuszüzenetekkel összefüggő adatkezeléseket az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti jogalapra alapítsa. (101) A szerződéses jogalap azért alkalmazható, mert a címzettekre is kiterjednek a Kérelmezett által alkalmazott ÁSZF-nek például a küldemények átvételére, azok visszaküldésére vonatkozó rendelkezései. A Kérelmezett nyilatkozata szerint a szolgáltatásának középpontjában a címzettek állnak az ÁSZF 4. pontja alapján, mely szerint a Kérelmezett vállalja a címzett által megrendelt küldemények kiszállítását, a kézbesítés megszervezését és a csomagnak a címzett részére történő kézbesítését. A postai küldemény nyomonkövethetőségére szolgáló e-mailek küldése szükséges ahhoz, hogy mind a Kérelmezett által nyújtott szolgáltatás, mind pedig a webáruház és a címzett közötti szerződés teljesítése szerződésszerű legyen, illetve a Kérelmezett megfeleljen az ÁSZF-ben vállalt, a címzett felé is fennálló kötelezettségeinek. A Hatóság álláspontja szerint az adatkezelés a szerződés fő tárgyának teljesülésével, az adott termék, áru átvételével összefüggésben nyújt olyan információt az érintettnek, amely közvetlenül kihat a konkrét szerződés teljesítésére és az érintett észszerűen számíthat az adatkezelésre, valamint az ÁSZF ezt kifejezetten tartalmazza, tehát a szerződéses jogalap ezen adatkezelés esetében alkalmazható. (102) Az ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkérés és az ezzel összefüggő adatkezelés kapcsán figyelembe veendő, hogy a személyes adatok – név, e-mail-cím – ezen eltérő célú felhasználása – úgynevezett további adatkezelés – az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja és 6. cikk (4) bekezdése alapján csak akkor lehet jogszerű – a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő adatkezelés kivételével –, ha arra nem az érintett hozzájárulása, az általános adatvédelmi rendelet 23. cikk (1) bekezdése szerinti legitim közérdekű célokat érvényesítő uniós vagy tagállami jog alapján kerül sor, és ha az egyébként összeegyeztethető a személyes adat gyűjtését megalapozó eredeti céllal. (103) Ebben az esetben nincs szükség attól a jogalaptól eltérő, külön jogalapra, mint amely lehetővé tette a személyes adatok eredeti gyűjtését. Ugyanakkor ebben az esetben az adatkezelőnek elemeznie kell az adatkezelés eredeti célja és az új adatkezelési cél közötti kapcsolatot, hogy milyen körülmények között került sor a személyes adatok gyűjtésére (így különösen az érintett és az adatkezelő közötti viszonyt), illetve, hogy milyen személyes adatokra terjed ki az adatkezelés (érint-e különleges adatokat). Emellett meg kell vizsgálnia azt is, hogy az érintettekre nézve milyen esetleges következménnyel járhat a további adatkezelés, illetve megfelelő garanciákat kell beépítenie az új adatkezeléssel összefüggésben. (104) A Hatóság áttekintette a Kérelmezett által az eljárás során ismertetett, az általános adatvédelmi rendelet 6. cikk (4) bekezdése szerinti szempontok vizsgálatát, mely alapján megállapította, hogy az eredeti és a további adatkezelési cél között szoros kapcsolat áll fenn. A státuszüzenetek küldése és az ügyfél-elégedettség mérése mint célok mindegyike a szolgáltatással, annak teljesítésével és értékelésével mint egységes vásárlási folyamattal függnek össze. A Kérelmezett a […] csomagautomatába történő szállítás érdekében gyűjti az érintett kizárólag név, e-mail-cím adatát a vele ügyfélkapcsolati viszonyba kerülő érintettektől, akiknek tájékoztatást nyújt a kézbesítés folyamatáról, majd ugyanezen személyi kört hívja fel, hogy értékelje a szolgáltatását – további személyes adatok kezelése nélkül. A Hatóság álláspontja szerint ezen további adatkezelési célból küldött felhívás, amellett, hogy a fentiek miatt szoros összefüggésben áll az eredeti céllal az érintett magánszféráját sem érinti hátrányosan, tekintettel arra, hogy az ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkérés a kézbesítés sikerességéről szóló értesítés mellett elhelyezett levélben könnyen figyelmen kívül is hagyható, aki nem tölti ki, nem szenved semmilyen hátrányt, mivel a szolgáltatás már teljesítésre került. Önmagában egy szolgáltatást értékelő kérdőív kitöltésére vonatkozó felhívás és az érintett nevének, e-mail-címének ezen célból történő kezelése általában sem jár magas kockázattal. (105) Mindezek alapján a Hatóság elfogadja a Kérelmezett érvelését, a kifogásolt adatkezelésben az eljárás során végrehajtott módosításait és az érintettek nevének és e-mail-címének ügyfélelégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkérése céljából történő kezelését összeegyeztethetőnek tartja a Kérelmezett adatkezelésének eredeti céljával, az érintettek és a Kérelmező nevének, e-mail-címének kezelését a szolgáltatás teljesítésével kapcsolatos tájékoztatások nyújtása céljából, így ahhoz külön jogalap alkalmazására nincs szükség. (106) A Hatóság továbbá áttekintette ezzel összefüggésben a Kérelmezett honlapján elérhető, jelenleg hatályos adatkezelési tájékoztatót is, és megállapította, hogy annak jelenleg a 6. pontja rendelkezik a státuszüzenetek küldésével összefüggő adatkezelésről, 7. pontja pedig az ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkéréssel összefüggő adatkezelésről, a Kérelmezett nyilatkozataiban előadottaknak megfelelően. Így ebben a tekintetben intézkedés megtételére nincs szükség. (107) A Hatóság rendelkezésére áll ugyanakkor egy 2024. február 19. napján, a Hatóság munkatársának küldött […] tárgyú e-mail, amely a szolgáltatás értékelésére, kérdőív kitöltésére hívja fel az érintettet. Az e-mail alján az a tájékoztatás szerepel, hogy a „[…], törvényi kötelezettség alapján biztosítja számodra a küldeményed elektronikus nyomkövetését.” Ez a tájékoztatás azonban eltér a Kérelmezett által előadott nyilatkozattól, és az adatkezelési tájékoztatójában írtaktól és törvényi kötelezettség jogalapjára hivatkozik. A szolgáltatás értékelésére, kérdőív kitöltésére felhívó e-mail elküldésére a Kérelmezettnek azonban nincs törvényi kötelezettsége, illetőleg ez a konkrét levél nem is a küldemény elektronikus nyomkövetését szolgálja, emiatt a levélben szereplő tájékoztatás téves. Erre tekintettel szükséges módosítani a […] tárgyú e-maileket, és az elektronikus levelekben elhelyezett tájékoztatót. (108) […]-ről szóló tájékoztatás – és az érintettek nevének, e-mail-címének ezen célú kezelése kapcsán a Hatóság szintén áttekintette a Kérelmezett által ismertetett, az általános adatvédelmi rendelet 6. cikk (4) bekezdése szerinti szempontok vizsgálatát. Ez alapján a Hatóság álláspontja az, hogy figyelemmel arra, hogy a […]-tel az érintett kedvezményesen is tud csomagot feladni a Kérelmezett hálózatán keresztül, a […]-ről szóló tájékoztatás – a Kérelmezett álláspontjával szemben egy olyan tájékoztatás, amely a Kérelmezett szolgáltatásának előmozdítására irányul – tehát gazdasági reklámnak minősül az Grt. 3. § d) pontja alapján. A Hatóság álláspontja szerint ezen tartalmú üzenet közvetlenül nem kapcsolódik a szerződés teljesítéséhez és az azzal kapcsolatos státuszüzenetek küldéséhez, az adatkezelés eredeti céljához, hanem az egy attól független, szorosan nem kapcsolódó további, direkt marketing tartalmú tájékoztatás – és személyes adat-felhasználás – a Kérelmezett szolgáltatása igénybevételének előmozdítása érdekében, melyet a Kérelmezett honlapján elérhető információk alapján nem (csak) az adott szolgáltatás teljesülésével kapcsolatban kaphat meg az érintett, hanem három másik úton: regisztrációval, már regisztrált tagként ismerősök meghívásával és szintén regisztrált tagként a Kérelmezett által szervezett különleges akciók során. Mindebből következően tehát a kézbesítésről szóló tájékoztatástól, mely egyben a szerződés teljesítését szolgálja, a […] kapcsán elkülönül a kezelt személyes adatok kezelésének célja, és az mint önálló direkt marketing célú adatkezelés nem egyeztethető össze a kézbesítésről szóló tájékoztatással összefüggő adatkezelési céllal. A szerződéses jogalap kapcsán továbbá a szolgáltatás nyújtása a szerződés fő tárgya, az érintett is észszerűen arra számít, hogy ezzel összefüggésben kerül sor az adatai kezelésére, így tehát a szerződéses jogalap csak a szolgáltatás igénybevételére alkalmazható, reklám célú üzenetek küldésére nem. (109) Tekintettel arra, hogy a […]-ről szóló tájékoztatás mint direkt marketing tartalmú tájékoztatás nem egyeztethető össze az adatkezelés eredeti céljával, a Kérelmezettnek ahhoz, hogy ilyen tartalmú üzeneteket küldjön, megfelelő jogalappal kell rendelkeznie. (110) Bár a Kérelmezett szerint a […]-ről szóló tájékoztatással összefüggő adatkezelésnek elenyésző az érintettre gyakorolt hatása, és előnnyel is jár az érintett számára, a Hatóság álláspontja szerint akkor sem a céltól eltérő adatkezelés rendelkezéseit kell alkalmaznia a Kérelmezettnek, hanem elkülönülő, önálló adatkezelési cél révén megfelelő jogalap alapján végezhető ezen adatkezelés. (111) A […]-ről történő tájékoztatással összefüggő adatkezelés ezen kívül, ahogy a vizsgált időszakban, úgy jelenleg sem jelenik az adatkezelési tájékoztatóban mint direkt marketing tartalmú levél, arról semmilyen információ nem látható, nem ismerhető az érintettek által. Erre tekintettel szükséges a Kérelmezett adatkezelési tájékoztatójának módosítása. (112) Minderre tekintettel a Kérelmezett az általános adatvédelmi rendelet 6. cikk (1) bekezdés b)

3 […]