What changed

NAIH-3227-3/2023 - Alkoholtartalmú italok vásárlása kapcsán kialakított adatkezelési gyakorlat · редакция 1 → 2 · зафиксировано 2026-09-17 02:23 · +18 −18 lines

… 8 строк без изменений …

.…………………………………………………………………………………………………………………………………………………………..

(székhely: 2051 Biatorbágy, Mészárosok útja 2., cégjegyzékszám: 13-06-058506; a továbbiakban: Kötelezett) alkoholtartalmú italok vásárlása kapcsán 2022 nyarán kialakított és azt követően a döntés véglegessé válásáig terjedő időszakban megvalósított adatkezelési gyakorlatának a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendeletben (a továbbiakban: az általános adatvédelmi rendelet) foglalt előírásoknak való megfelelősége tárgyában 2022. augusztus 19.

## napjánhivatalból megindított adatvédelmi hatósági eljárásában az alábbi döntéseket

## napján hivatalból megindított adatvédelmi hatósági eljárásában az alábbi döntéseket

… 15 строк без изменений …

hozza:

## 4. A Hatóság az információs önrendelkezési jogról és az információszabadságról szóló

2011. évi CXII. törvény (a továbbiakban: Infotv.) 61. § (2) bekezdés a) pontja alapján hivatalból elrendeli a végleges határozatánaka Kötelezett azonosító adatainak közzétételével történő nyilvánosságra hozatalát a) a Hatóság honlapján, továbbá b) a Kötelezett honlapjának nyitóoldalán, jól látható és könnyen hozzáférhető helyen, a határozat véglegessé válásától számított30 napon belül, és ott legyen elérhető legalább 30 napon keresztül.

2011. évi CXII. törvény (a továbbiakban: Infotv.) 61. § (2) bekezdés a) pontja alapján hivatalból elrendeli a végleges határozatának a Kötelezett azonosító adatainak közzétételével történő nyilvánosságra hozatalát a) a Hatóság honlapján, továbbá b) a Kötelezett honlapjának nyitóoldalán, jól látható és könnyen hozzáférhető helyen, a határozat véglegessé válásától számított 30 napon belül, és ott legyen elérhető legalább 30 napon keresztül.

## Az adatvédelmi bírságot jelen határozat véglegessé válásától számított 30 napon belül a

Hatóság központosított bevételek beszedési célelszámolási forintszámlájára (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell átutalással megfizetni. Az összeg átutalásakor a NAIH-3227/2023 BÍRS. számra kell hivatkozni. Amennyiben a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A 2. pontban és a 4. pontban előírt kötelezettségek teljesítését a Kötelezettnek jelen határozat véglegessé válásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A 2. pontban és a 4. pontban előírt kötelezettségeknem teljesítése, az adatvédelmi bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat, a bírság és a késedelmi pótlék végrehajtását. Az eljárásban eljárási költség nem merült fel. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani elektronikusan,1 amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

Hatóság központosított bevételek beszedési célelszámolási forintszámlájára (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell átutalással megfizetni. Az összeg átutalásakor a NAIH-3227/2023 BÍRS. számra kell hivatkozni. Amennyiben a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A 2. pontban és a 4. pontban előírt kötelezettségek teljesítését a Kötelezettnek jelen határozat véglegessé válásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A 2. pontban és a 4. pontban előírt kötelezettségek nem teljesítése, az adatvédelmi bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat, a bírság és a késedelmi pótlék végrehajtását. Az eljárásban eljárási költség nem merült fel. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani elektronikusan,1 amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

… 13 строк без изменений …

## I N D O K O L Á S

(22) Az üzletvezető-helyettesek együttesen ismertették az alkoholtartalmú italok vásárlásával kapcsolatos adatkezelési gyakorlatra vonatkozó eljárásrendet, valamint bemutatták a folyamatot egy darab alkoholtartalmú ital vásárlásával, amely során a Hatóság képviselői a jegyzőkönyvben foglaltak szerint az előző szemlén észlelteket tapasztalták. (23) Tekintettel arra, hogy a 2022. augusztus 31. napján lefolytatott helyszíni szemlék időtartama során egyik üzletben sem jelent meg a Kötelezett képviseletére jogosult személy, ezért a Hatóság a helyszíni szemléket elrendelő végzéseinek hiteles elektronikus másolatát 2022. szeptember 1. napján a NAIH-6989-7/2022 ügyszámú megkeresés mellékleteként elektronikus úton továbbította a Kötelezett részére, amelyet Kötelezett 2022. szeptember 1. napján töltött le Cégkapujáról. (24) Kötelezett válasza a Hatóság NAIH-6989-2/2022 ügyszámú végzésére 2022.

szeptember 13. napján érkezett meg e-Papíron keresztül a Hatósághoz (NAIH-6989- 8/2022 ügyszámú irat). (25) Kötelezett a nyilatkozatában előadta, hogy már korábban is előírta a bolti eladó munkakörben foglalkoztatott munkavállalói számára az életkor ellenőrzését alkoholtartalmú italok vásárlása esetén, „2022 augusztusában átmenetileg mindössze annak mikéntje változott”. (26) A Kötelezett nyilatkozata alapján 2019-ben új funkcióval bővítette a kasszaszoftverét, amely lehetővé tette Kötelezett számára, hogy előírja a bolti eladó munkakörben foglalkoztatott munkavállalói számára az alkoholtartalmú italt is magában foglaló tranzakcióknál a kassza azon új funkciójának a használatát, amely hó/nap/év formátumban megadott születési dátum „beadásakor” segíti őket a vásárlók életkorának ellenőrzésében. Kötelezett a nyilatkozatához mellékelte a kasszaszoftver működésének leírását is. A 2019-ben történt kasszafejlesztés által támogatott folyamat úgy működik, hogy a kasszarendszer alkoholtartalmú ital vásárlására irányuló szándék esetén megkérdezi, hogy a vásárló a korhatár kritériumnak megfelel-e („KORH. KRIT. MEGFELEL?”) Amennyiben a válasz erre igen (ENTER gomb megnyomása), akkor az értékesítés folytatódik, további adatot a kasszaszoftver nem kér, a termék felkerül a bizonylatra; ha pedig a válasz nem (TÖRLÉS gomb megnyomása), akkor kell megadnia születési dátumot. Ha a megadott évszám alapján a vásárló fiatalabb, mint a megengedett életkor, úgy a rendszer a nem lehetséges („NEM LEHETS. NYOMJON TÖRL. GOMBOT”) üzenetet jeleníti meg. Kötelezett elmondása alapján azonban a gyakorlatban előfordult a kassza ezen funkciója használatának mellőzése, illetve rendszertelen alkalmazása, a bolti eladók még kétség esetén sem kértek mindig igazolványt vagy tévesen számolták ki az életkort, ami álláspontja szerint „jelentős kockázatnak tette ki” a Kötelezettet, ezért „2022 augusztusában átmenetileg előírta” valamennyi alkoholtartalmú italt vásárolni szándékozó vásárló életkorának ellenőrzését a kasszaszoftver ezen funkciója alkalmazásával. (27) A Kötelezett nyilatkozott arra vonatkozóan is, hogy alkoholtartalmú ital vásárlása esetén a vásárlók életkora ellenőrzésének a célja az, hogy kétséget kizáróan megállapításra kerüljön a vásárló életkora az Fgytv. 16/A. § (1) bekezdése szerinti tilalom érvényre juttatása érdekében. Az Fgytv. 16/A. § (4) bekezdése értelmében a vállalkozás vagy annak képviselője kétség esetén felhívja a fogyasztót életkorának hitelt érdemlő igazolására. Az életkor megfelelő igazolásának hiányában az alkoholtartalmú ital értékesítését meg kell tagadni. (28) Kötelezett az adatkezelés jogalapjakéntaz általános adatvédelmi rendelet 6. cikk (1)

… 103 строк без изменений …

bekezdés c) pontját jelölte meg (az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges), „hogy az Fgytv. 16/A. §-a szerint meggyőződjön az alkohol tartalmú ital vásárlásakor a vásárló életkoráról”. (29) Kötelezett a nyilatkozatához mellékelte a regionális értékesítési vezetőknek címzett körlevelet (NAIH-6989-8/2022 ügyszámú irat 2. melléklete) az életkor ellenőrzés 2022. szeptember 1. napjától hatályos módosított eljárásrendjéről, amely az alábbiakat tartalmazta:

## III.1. Előzetes megállapítások az életkor ellenőrzés általános adatvédelmi rendelet hatálya alá tartozása és az adatkezelés időtartama és földrajzi kiterjedése kapcsán

(115) A Hatóság jelen adatvédelmi hatósági eljárásban előzetes kérdésként azt vizsgálta, hogy a Kötelezett által az alkoholtartalmú italok értékesítésének gyakorlata kapcsán személyes adatok kezelése valósult-e meg azáltal, hogy az érintettek személyazonosításra alkalmas fényképes igazolványában szereplő, vagy egyes esetekben az érintett által szóban közölt születési idejét a Kötelezett kasszarendszerébe bevitte, abban a naplófájl részeként 180 napig megőrizte, illetve ezen adat közlésétől és bevitelétől tette függővé a 18. életévét betöltött személyek számára is alkoholtartalmú ital értékesítését. (116) Az általános adatvédelmi rendelet 4. cikk 1. pontja értelmében személyes adat a természetes személyre vonatkozó bármely információ. Az Európai Adatvédelmi Testület által a 8/2020. számú iránymutatásában is hivatkozott, a 95/46/EK irányelv 29. cikke alapján létrehozott adatvédelmi munkacsoport a személyes adatok fogalmáról szóló 4/2007. sz. véleménye (2007. június 20., WP 136) szerint: „általánosan fogalmazva az információt egyénre „vonatkozónak” tekinthetjük, ha az adott egyénről szól. (…) A munkacsoport már figyelmet fordított annak kérdésére, mikor is lehet az információt személyre „vonatkozónak” tekinteni.” [9. oldal] „Az rádiófrekvenciás azonosító (RFID) címke miatt felmerülő adatvédelmi kérdésekről folytatott viták keretein belül a munkacsoport megjegyezte, hogy „egyénre vonatkozik az adat, ha az egyén azonosságára, tulajdonságaira vagy viselkedésére utal, vagy ha az ilyen információt annak meghatározására vagy befolyásolására használják, ahogyan az adott személyt kezelik vagy értékelik.” [10. oldal] „A „cél” elem is felelős lehet azért a tényért, hogy az információ egy adott személyre „vonatkozzék”. E „cél” elemet meglévőnek lehet tekinteni, amikor az adatot az esetet övező valamennyi körülményt figyelembe véve abból a célból használják fel vagy használják fel valószínűleg, hogy az egyén státuszát vagy viselkedését értékeljék, bizonyos bánásmódban részesítsék vagy befolyásolják.” [11. oldal] „A bizonyos személyekre „vonatkozás” harmadik fajtája akkor merül fel, amikor „eredmény” elem van jelen. A „tartalom” vagy a „cél” elem hiánya ellenére lehet adatot egyénre „vonatkozónak” tekinteni, amennyiben felhasználása valószínűleg hatással van egy adott személy jogaira és érdekeire, figyelembe véve az adott esetet övező valamennyi körülményt. Meg kell jegyezni, hogy a lehetséges eredménynek nem feltétlenül kell jelentős hatásnak lennie. Elégséges, ha az egyént az ilyen adatok feldolgozásának eredményeként a többiektől eltérő bánásmódban részesíthetik. (…) E három elemet (tartalom, cél, eredmény) vagylagos, nem pedig kumulatív feltételeknek kell tekinteni.” [12. oldal] (117) Kötelezett a 2022. november 18. napján érkezett nyilatkozatához [NAIH-6989-13/2022 ügyszámú irat] mellékelte a 2022. augusztus 12-i keltezésű „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztatót”, amely 3.8. pontjának megnevezése „Életkor ellenőrzésére irányuló adatkezelés alkoholtartalmú ital vásárlás esetén.” A 3.8. pont hetedik bekezdése tartalmazta azt is: „A kezelt személyes adatok köre tehát az érintett születési ideje.” (118) Fentiek alapján a Hatóság – a Kötelezett 2022. augusztus 12-i keltezésű adatkezelési tájékoztatójában foglaltakkal egyezően – arra a következtetésre jutott, hogy a születési dátum megismerésének, gyűjtésének és bevitelének célja, valamint eredménye alapján aza tárgybeli ügyben az általános adatvédelmi rendelet 4. cikk 1. pontja szerinti személyes adatnak minősül, ezért az adatokon elvégzett bármely művelet az általános adatvédelmi rendelet 4. cikk 2. pontja szerinti adatkezelés. A születési időpont kasszarendszerbe történő bevitele valójában az adat gyűjtése; míg az adatok bevitelének eredményeként 180 napig történő megőrzése a naplófájlban az általános adatvédelmi rendelet fogalomrendszere szerinti rögzítés és tárolás. A személyazonosításra alkalmas hatósági igazolvány bemutatására kötelezés célja az volt, hogy az azt bemutató személyre vonatkozó következtetésre jusson a Kötelezett, alkoholtartalmú ital értékesítése (érintett általi vásárlása) tekintetében őt érintő hatást váltson ki, amelyre tekintettel az igazolvány adataiba történő betekintés, a szóban közölt születési idő megismerése is adatkezelésnek minősül.

(115) A Hatóság jelen adatvédelmi hatósági eljárásban előzetes kérdésként azt vizsgálta, hogy a Kötelezett által az alkoholtartalmú italok értékesítésének gyakorlata kapcsán személyes adatok kezelése valósult-e meg azáltal, hogy az érintettek személyazonosításra alkalmas fényképes igazolványában szereplő, vagy egyes esetekben az érintett által szóban közölt születési idejét a Kötelezett kasszarendszerébe bevitte, abban a naplófájl részeként 180 napig megőrizte, illetve ezen adat közlésétől és bevitelétől tette függővé a 18. életévét betöltött személyek számára is alkoholtartalmú ital értékesítését. (116) Az általános adatvédelmi rendelet 4. cikk 1. pontja értelmében személyes adat a természetes személyre vonatkozó bármely információ. Az Európai Adatvédelmi Testület által a 8/2020. számú iránymutatásában is hivatkozott, a 95/46/EK irányelv 29. cikke alapján létrehozott adatvédelmi munkacsoport a személyes adatok fogalmáról szóló 4/2007. sz. véleménye (2007. június 20., WP 136) szerint: „általánosan fogalmazva az információt egyénre „vonatkozónak” tekinthetjük, ha az adott egyénről szól. (…) A munkacsoport már figyelmet fordított annak kérdésére, mikor is lehet az információt személyre „vonatkozónak” tekinteni.” [9. oldal] „Az rádiófrekvenciás azonosító (RFID) címke miatt felmerülő adatvédelmi kérdésekről folytatott viták keretein belül a munkacsoport megjegyezte, hogy „egyénre vonatkozik az adat, ha az egyén azonosságára, tulajdonságaira vagy viselkedésére utal, vagy ha az ilyen információt annak meghatározására vagy befolyásolására használják, ahogyan az adott személyt kezelik vagy értékelik.” [10. oldal] „A „cél” elem is felelős lehet azért a tényért, hogy az információ egy adott személyre „vonatkozzék”. E „cél” elemet meglévőnek lehet tekinteni, amikor az adatot az esetet övező valamennyi körülményt figyelembe véve abból a célból használják fel vagy használják fel valószínűleg, hogy az egyén státuszát vagy viselkedését értékeljék, bizonyos bánásmódban részesítsék vagy befolyásolják.” [11. oldal] „A bizonyos személyekre „vonatkozás” harmadik fajtája akkor merül fel, amikor „eredmény” elem van jelen. A „tartalom” vagy a „cél” elem hiánya ellenére lehet adatot egyénre „vonatkozónak” tekinteni, amennyiben felhasználása valószínűleg hatással van egy adott személy jogaira és érdekeire, figyelembe véve az adott esetet övező valamennyi körülményt. Meg kell jegyezni, hogy a lehetséges eredménynek nem feltétlenül kell jelentős hatásnak lennie. Elégséges, ha az egyént az ilyen adatok feldolgozásának eredményeként a többiektől eltérő bánásmódban részesíthetik. (…) E három elemet (tartalom, cél, eredmény) vagylagos, nem pedig kumulatív feltételeknek kell tekinteni.” [12. oldal] (117) Kötelezett a 2022. november 18. napján érkezett nyilatkozatához [NAIH-6989-13/2022 ügyszámú irat] mellékelte a 2022. augusztus 12-i keltezésű „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztatót”, amely 3.8. pontjának megnevezése „Életkor ellenőrzésére irányuló adatkezelés alkoholtartalmú ital vásárlás esetén.” A 3.8. pont hetedik bekezdése tartalmazta azt is: „A kezelt személyes adatok köre tehát az érintett születési ideje.” (118) Fentiek alapján a Hatóság – a Kötelezett 2022. augusztus 12-i keltezésű adatkezelési tájékoztatójában foglaltakkal egyezően – arra a következtetésre jutott, hogy a születési dátum megismerésének, gyűjtésének és bevitelének célja, valamint eredménye alapján az a tárgybeli ügyben az általános adatvédelmi rendelet 4. cikk 1. pontja szerinti személyes adatnak minősül, ezért az adatokon elvégzett bármely művelet az általános adatvédelmi rendelet 4. cikk 2. pontja szerinti adatkezelés. A születési időpont kasszarendszerbe történő bevitele valójában az adat gyűjtése; míg az adatok bevitelének eredményeként 180 napig történő megőrzése a naplófájlban az általános adatvédelmi rendelet fogalomrendszere szerinti rögzítés és tárolás. A személyazonosításra alkalmas hatósági igazolvány bemutatására kötelezés célja az volt, hogy az azt bemutató személyre vonatkozó következtetésre jusson a Kötelezett, alkoholtartalmú ital értékesítése (érintett általi vásárlása) tekintetében őt érintő hatást váltson ki, amelyre tekintettel az igazolvány adataiba történő betekintés, a szóban közölt születési idő megismerése is adatkezelésnek minősül.

… 9 строк без изменений …

(119) A Hatóság kiemeli, hogy a Kötelezett – a 2022. szeptember 13. napján érkezett nyilatkozata 1. pontja alapján – már 2019-ben bővítette azon új funkcióval a kasszaszoftverét, amely lehetővé tette a Kötelezett számára, hogy előírja a bolti eladó munkakörben foglalkoztatott munkavállalói számára az alkoholtartalmú italt is magában foglaló tranzakcióknál a kassza azon új funkciójának a használatát, amely a hó/nap/év formátumban megadott születési dátum „beadásakor segíti őket” a vásárlók életkorának ellenőrzésében. A Hatóság azonban kizárólag attól az időponttól kezdődően értékelte a Kötelezett gyakorlatát, hogy az általános jelleggel előírta 2022. augusztus 4-től a bolti eladó munkakörben foglalkoztatott munkavállalói számára minden egyes alkoholtartalmú italt vásárolni szándékozó személy életkorának kötelező ellenőrzését, tekintettel a Hatósághoz érkezett nagyszámú panaszra. (120) Kötelezett 2022. szeptember 13. napján érkezett nyilatkozatának [NAIH-6989-8/2022 ügyszámú irat] 4. pontja; a nyilatkozat végén szereplő egyéb megjegyzések, és a nyilatkozat 2. számú mellékletét képező körlevél; a 2022. október 7. napján érkezett nyilatkozata [NAIH-6989-11/2022 ügyszámú irat] 1. pontja, és az ahhoz mellékelt körlevél (5. számú melléklet) alapján 2022. augusztus 4. napjától 2022. augusztus 31.

## III.2. Az átláthatóság elvének és az ahhoz kapcsolódó adatkezelői kötelezettségeknek a sérelme

(121) Az általános adatvédelmi rendelet 5. cikke tartalmazza azonfő alapelveket, amelyeket a személyes adatok kezelése során – az adatkezelés jogalapjától függetlenül figyelembe kell venni, és amelyeknek folyamatosan érvényesülniük kell az adatkezelés során. (122) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja alapján a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”). (123) Az általános adatvédelmi rendelet (39) preambulumbekezdése értelmében a természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba, hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik vagy fogják kezelni. Az átláthatóság elve vonatkozik különösen az érintetteknek az adatkezelő kilétéről és az adatkezelés céljáról való tájékoztatására, valamint az azt célzó további tájékoztatásra, hogy biztosított legyen az érintett személyes adatainak tisztességes és átlátható kezelése, továbbá arra a tájékoztatásra, hogy az érintetteknek jogukban áll megerősítést és tájékoztatást kapni a róluk kezelt adatokról. (124) Az általános adatvédelmi rendelet (58) preambulumbekezdése szerint az átláthatóság elve megköveteli, hogy a nyilvánosságnak vagy az érintettnek nyújtott tájékoztatás tömör, könnyen hozzáférhető és könnyen érthető legyen, valamint, hogy azt világos és közérthető nyelven fogalmazzák meg, illetve - ezen túlmenően - szükség esetén vizuálisan is megjelenítsék. (125) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése is kimondja, hogy az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében.

## III.2.1.Az átláthatóság elvének sérelme a Kötelezett által előírt adatkezelés során

(121) Az általános adatvédelmi rendelet 5. cikke tartalmazza azon fő alapelveket, amelyeket a személyes adatok kezelése során – az adatkezelés jogalapjától függetlenül figyelembe kell venni, és amelyeknek folyamatosan érvényesülniük kell az adatkezelés során. (122) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja alapján a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”). (123) Az általános adatvédelmi rendelet (39) preambulumbekezdése értelmében a természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba, hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik vagy fogják kezelni. Az átláthatóság elve vonatkozik különösen az érintetteknek az adatkezelő kilétéről és az adatkezelés céljáról való tájékoztatására, valamint az azt célzó további tájékoztatásra, hogy biztosított legyen az érintett személyes adatainak tisztességes és átlátható kezelése, továbbá arra a tájékoztatásra, hogy az érintetteknek jogukban áll megerősítést és tájékoztatást kapni a róluk kezelt adatokról. (124) Az általános adatvédelmi rendelet (58) preambulumbekezdése szerint az átláthatóság elve megköveteli, hogy a nyilvánosságnak vagy az érintettnek nyújtott tájékoztatás tömör, könnyen hozzáférhető és könnyen érthető legyen, valamint, hogy azt világos és közérthető nyelven fogalmazzák meg, illetve - ezen túlmenően - szükség esetén vizuálisan is megjelenítsék. (125) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése is kimondja, hogy az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében.

## III.2.1. Az átláthatóság elvének sérelme a Kötelezett által előírt adatkezelés során

(126) Kötelezett 2022. szeptember 13. napján érkezett nyilatkozatának 7. pontja szerint az üzletek belső helyiségeibe vezető ajtó mellett (az 1-es pénztár mellett) minden üzletben kihelyezésre került az üzletekre vonatkozó adatvédelmi és adatkezelési tájékoztató, valamint a Kötelezett honlapján is elérhetők a tájékoztatók, azonban a Hatósághoz érkezett, a Kötelezett alkoholtartalmú italok vásárlása kapcsán kialakított adatkezelési gyakorlatával kapcsolatos bejelentések között több érintetti panasz is kifejezetten arra vonatkozott, hogy számára átláthatatlan volt az adatkezelés, azzal kapcsolatos adatkezelési tájékoztatást nem tudott a Kötelezett nyújtani [lásd: a határozat (52), (53) és (56) bekezdései]. (127) A Hatóság az Ákr. 68-69. §-ok alapján lefolytatott szemlék során a panaszokkal egyező gyakorlatot foglalt jegyzőkönyvbe [lásd: NAIH-6989-5/2022 ügyszámú jegyzőkönyv 2., 5. és 6. oldalai; valamint a NAIH-6989-6/2022 ügyszámú jegyzőkönyv 2., 5. és 6. oldalai], az alkoholtartalmú italok vásárlása során megvalósuló adatkezelésekre vonatkozó adatkezelési tájékoztató nem volt fellelhető sem az üzletek bejáratánál, sem a kasszák környékén, sem a vásárlótérben, ezen túlmenően az adatkezelés kapcsán Kötelezett üzleteiben sem tudtak az adatkezelés lényeges körülményeire vonatkozóan teljes körű tájékoztatást nyújtani, a vásárlók részére pedig eltérő tartalmú tájékoztatást nyújtottak. A Kötelezett üzleteiben a Hatóság rendelkezésére bocsátott 2019. évi keltezésű „ADATKEZELÉSI TÁJÉKOZTATÓ (KIVONAT)” elnevezésű dokumentum – amely keltezésénél csupán „Biatorbágy, 2019.” szerepelt – csak a Kötelezett adott üzletében kihelyezett kamerarendszer üzemeltetésével kapcsolatos rendelkezéseket tartalmazott („Biztonsági kamerarendszer üzemeltetése az ALDI Magyarország Élelmiszer Bt. üzleteiben”). A Kötelezett 1186 Budapest, Cziffra György utca 7. szám alatt található üzletében a tájékoztató azon részei, ahol kipontozott vonalak voltak elhelyezve (így például: ahol a Kötelezett adott üzletének a címét vagy az igénybe vett adatfeldolgozó megnevezését kellett volna beírni) nem voltak kitöltve. (128) Az Ákr. 68. – 69. §-ok alapján lefolytatott szemlék során az egyik üzlet belső helyiségébe vezető ajtó mellett kihelyezésre került adatkezelési tájékoztató –az üzletek belső helyiségeibe vezető ajtó mellett kihelyezésre került tájékoztatóra Kötelezett 2022. szeptember 13. napján érkezett válaszának 7. pontjában is hivatkozott – 2019-es keltezésű volt, noha a Kötelezett az eljárás során vizsgált adatkezelését 2022. augusztus 4. napjától kezdte meg, és abban nem volt utalás sem az alkoholtartalmú italok vásárlása kapcsán megvalósuló adatkezelésekre.

## (129) A fentiek alapján az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontjában foglalt átláthatóság elvének sérelme következett be azáltal,hogy

## (129) A fentiek alapján az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontjában foglalt átláthatóság elvének sérelme következett be azáltal, hogy

… 13 строк без изменений …

## Kötelezett üzleteiben (azaz az adatkezelés helyszínén) az alkoholtartalmú italt

## Kötelezett üzleteiben, valamint az egyes üzleteken belül a kasszáknál is jelentősen eltérő volt az alkoholtartalmú italt vásárolni szándékozó személyek életkorának ellenőrzésével kapcsolatos tényleges adatkezelési gyakorlat, ennek megfelelően

az érintettek számára nem volt átlátható az őket érintő adatkezelés. III.2.3.Az átláthatóság elvének sérelme a születési idő Kötelezett általi rögzítésével, megőrzésével és címzettjeivel kapcsolatban (135) A Hatóság azon végzésében foglalt kérésére [NAIH-6989-2/2022 ügyszámú irat], hogy

az érintettek számára nem volt átlátható az őket érintő adatkezelés. III.2.3. Az átláthatóság elvének sérelme a születési idő Kötelezett általi rögzítésével, megőrzésével és címzettjeivel kapcsolatban (135) A Hatóság azon végzésében foglalt kérésére [NAIH-6989-2/2022 ügyszámú irat], hogy

… 21 строк без изменений …

Kötelezett csatolja a Weboldalán közzétett, 2022. augusztus 12. napját megelőzően történő adatkezelésekre vonatkozó tájékoztatóját, Kötelezett 2022. szeptember 13. napján érkezett nyilatkozatának 9. pontjában hivatkozza válasza [NAIH-6989-8/2022 ügyszámú irat] 4. mellékletét képező 2022. április 20-i keltezésű „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztató” iratát, amelyben semmilyen információ nem található az életkor ellenőrzése kapcsán megvalósuló adatkezelésről. (136) Kötelezett 2022. szeptember 13. napján érkezett nyilatkozatának 6. pontja alapján a „születési idő” nem kerül tárolásra, a 2022. november 18. napján érkezett nyilatkozata 6. pontja értelmében pedig nem kerül rögzítésre a születési dátum. (137) Kötelezett 2022. november 18. napján érkezett nyilatkozatához mellékelt 2022.

sem tájékoztatta az érintetteket a fent kifejtettekről.

## III.2.4.Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerinti könnyen hozzáférhető tájékoztatás követelményének sérelme

## III.2.4. Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerinti könnyen hozzáférhető tájékoztatás követelményének sérelme

… 21 строк без изменений …

(142) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése előírja azt, hogy az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást – többek között – könnyen hozzáférhető formában nyújtsa. (143) Az Európai Adatvédelmi Testület által 2018. május 25. után is fenntartott, a 95/46/EK irányelv 29. cikke alapján létrehozott adatvédelmi munkacsoportnak az (EU) 2016/679 rendelet szerinti átláthatóságról szóló WP260 rev.01. számú (2018. április 11.) iránymutatás 11. pontja az általános adatvédelmi rendelet 12. cikkének tartalma kapcsán kifejti, hogy „A „könnyen hozzáférhető” elem azt jelenti, hogy az érintettnek nem kell keresnie a tájékoztatást; azonnal láthatónak kell lennie számára, hogy a tájékoztatást hol és miként érheti el, például a tájékoztatás közvetlen biztosításával, az érintettek tájékoztatáshoz irányításával, a tájékoztatáshoz vezető út egyértelmű jelölésével vagy egy természetes nyelvű kérdésre adott válaszként”. (144) A Hatósághoz érkezett, a Kötelezett alkoholtartalmú italok vásárlása kapcsán kialakított adatkezelési gyakorlatával kapcsolatos bejelentések között volt olyan panasz is, amely kifejezetten arra vonatkozott, hogy a Kötelezett üzletében kihelyezett adatkezelési tájékoztató egy fehér lappal le volt takarva, az alatta lévő szöveg nem volt olvasható [lásd: a határozat (53) bekezdése]. A Hatóság az Ákr. 68.–69. §-ok alapján Kötelezett üzleteiben lefolytatott szemlék során az általános adatvédelmi rendelet 12. cikk (1) bekezdésében előírtakkal ellentétes gyakorlatot foglalt jegyzőkönyvbe [lásd: NAIH-6989- 5/2022 ügyszámú jegyzőkönyv 5. oldala „a falon keretbe rögzítve ADATKEZELÉSI TÁJÉKOZTATÓ (KIVONAT) került elhelyezésre a kijárattal szemközti oldalon”; NAIH- 6989-6/2022 ügyszámú jegyzőkönyv 6. oldala „az üzletvezető-helyettes egy példányt elhelyez a vásárlók könyve mögé”]. (145) A Kötelezett Weboldalán a Hatóság eljárásának megindítása időpontjában elérhető, „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztató” megnevezésű, 2022. augusztus 12-i keltezésű dokumentum 3.8. pontja tartalmazta az életkor ellenőrzésére irányuló adatkezelés egyes lényeges körülményeit az alkoholtartalmú italok vásárlása esetén. A Kötelezett üzleteiben megvalósuló adatkezelések kapcsán azonban az érintettek jelentős része számára – az adott élethelyzet sajátosságai, az adatkezelésre az üzletben utaló más jelzés hiánya; egyes érintettek életkora, vagy mobilinternet-hozzáférés hiánya miatt – nem volt életszerű, hogy a Kötelezett Weboldalán keressék ki a vizsgált adatkezelést nevében sem hordozó, nagy terjedelmű adatkezelési tájékoztatót annak érdekében, hogy tájékoztatást kapjanak az őket érintő adatkezelésről. (146) A Hatóság álláspontja szerint a könnyen hozzáférhető tájékoztatás követelményével ellentétes gyakorlat az is, hogy a Kötelezett Ákr. 68-69. § szerinti szemlék során megtekintett üzleteiben a szemle idején kihelyezett – egyébként hatálytalan, és csupán a kamerás adatkezelésekre vonatozó – tájékoztató a vásárlás folyamatának legvégén, a kasszasor utáni vásárlótérben, nem pedig például a bejáratnál jól látható és könnyen hozzáférhető helyen volt elérhető. (147) A könnyen hozzáférhető előzetes tájékoztatáshoz való jog sérelmét jelenti továbbá, hogy a Kötelezett 1171 Budapest, Pesti út 237/p szám alatti üzletében az adatkezeléssel kapcsolatos információhoz az adatkezelési tájékoztató kivonatára négy oldalról záródó rögzítő keret eltávolítását követően lehetett csak hozzáférni [lásd: NAIH-6989-5/2022 ügyszámú jegyzőkönyv 4. melléklete; valamint ide kapcsolódik a határozat (53) bekezdése is]. A tájékoztatót rögzítő keret nyitási lehetőségéről és módjáról, a kereten belül található címlap mögötti dokumentum tartalmáról és annak az internetes elérési lehetőségéről sem volt tájékoztatás a dokumentum keretből történő kiszerelését megelőzően. A Kötelezett 1186 Budapest, Cziffra György utca 7. szám alatti üzletében az adatkezelési tájékoztatót a szemle során a vásárlók könyve mögé helyezték el, amely szintén nem segíti elő az érintettek tájékozódását [lásd: NAIH-6989-6/2022 ügyszámú jegyzőkönyv 6. oldala].

információkat az eljárással érintett adatkezelés kapcsán.

## III.3.Az adatkezelés jogalapjának sérelme

## III.3. Az adatkezelés jogalapjának sérelme

… 29 строк без изменений …

(158) Az általános adatvédelmi rendelet 6. cikk (1) bekezdése alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

## III.4.1. Az adattakarékosság elvének sérelme az adatkezelés céljainak szempontjából nem releváns adatok kezelésével

(168) A Kötelezett 2022. szeptember 13. napján érkezett nyilatkozata 1. pontja alapján 2019ben bővítette új funkcióval a kasszaszoftverét [lásd: a határozat (26) bekezdése]. Kötelezett azonban egymástól eltérő válaszokat adott azzal kapcsolatban, hogy milyen célból történik a vásárlók életkorának ellenőrzése alkoholtartalmú ital vásárlása esetén. A Kötelezett 2022. szeptember 13. napján érkezett nyilatkozata 2. pontja alapján az ellenőrzés célja, hogy kétséget kizáróan megállapításra kerüljön a vásárló életkora az Fgytv. 16/A. § (1) bekezdése szerinti tilalom érvényre juttatása érdekében. Ugyanezen pontban a Kötelezett előadta azt is, hogy a pénztárosok és az üzletvezetők jelezték, hogy mivel a pénztárosoknak nagyszámú tranzakciót kell naponta lebonyolítaniuk, indokolt lenne a lehető legtöbb feladatukat automatizálással támogatni és ezért a munkájuk megkönnyítése érdekében beépítésre került a kasszaszoftverbe az új funkció. Ugyanezen nyilatkozatának 1. pontja értelmében a gyakorlatban Kötelezett állítása szerint előfordult a kassza ezen új funkciója használatának mellőzése, illetve rendszertelen alkalmazása. Kötelezett ugyanezen nyilatkozatának 3. pontja alapján a bolti eladók nem használták kellőképpen a kasszarendszer fent említett funkcióját, és részben ennek következményeként kétség esetén sem kértek mindig igazolványt vagy tévesen számolták ki az életkort, ami Kötelezett állítása alapján jelentős kockázatnak tette ki a Kötelezettet. Ugyanezen pontban Kötelezett előadta, hogy „A folyamat begyakoroltatásával, rendszerszintű használatának kialakításával a Társaság célja a hibalehetőség lehető legteljesebb kizárása a fiatalkorúak védelme érdekében.”. (169) Az Fgytv. 16/A. § (4) bekezdése alapján alkoholtartalmú ital vásárlása esetén kétség esetén kell felhívni a vásárlót életkorának hitelt érdemlő igazolására (azaz abban az esetben, ha nem állapítható meg egyértelműen, hogy az alkoholtartalmú italt vásárolni szándékozó személy a tizennyolcadik életévét betöltötte-e vagy sem). A Kötelezett azonban – a 2022. szeptember 13. napján érkezett nyilatkozatának [NAIH-6989-8/2022 ügyszámú irat] 4. pontja, a nyilatkozat végén szereplő egyéb megjegyzések, és a nyilatkozat 2. számú mellékletét képező körlevél; a 2022. október 7. napján érkezett nyilatkozata [NAIH-6989-11/2022 ügyszámú irat] 1. pontja, és az ahhoz mellékelt körlevél (5. számú melléklet) alapján – a 2022. augusztus 4. és 2022. augusztus 31. közötti időszakban az Fgytv. 16/A. § (4) bekezdésében meghatározott „kétség esetén” szófordulatot, jogszabályi rendelkezést meghaladva, azon túlmenően általános jelleggel, Kötelezett saját szavaivalélve „rendszerszintű használatának kialakításával”

(168) A Kötelezett 2022. szeptember 13. napján érkezett nyilatkozata 1. pontja alapján 2019ben bővítette új funkcióval a kasszaszoftverét [lásd: a határozat (26) bekezdése]. Kötelezett azonban egymástól eltérő válaszokat adott azzal kapcsolatban, hogy milyen célból történik a vásárlók életkorának ellenőrzése alkoholtartalmú ital vásárlása esetén. A Kötelezett 2022. szeptember 13. napján érkezett nyilatkozata 2. pontja alapján az ellenőrzés célja, hogy kétséget kizáróan megállapításra kerüljön a vásárló életkora az Fgytv. 16/A. § (1) bekezdése szerinti tilalom érvényre juttatása érdekében. Ugyanezen pontban a Kötelezett előadta azt is, hogy a pénztárosok és az üzletvezetők jelezték, hogy mivel a pénztárosoknak nagyszámú tranzakciót kell naponta lebonyolítaniuk, indokolt lenne a lehető legtöbb feladatukat automatizálással támogatni és ezért a munkájuk megkönnyítése érdekében beépítésre került a kasszaszoftverbe az új funkció. Ugyanezen nyilatkozatának 1. pontja értelmében a gyakorlatban Kötelezett állítása szerint előfordult a kassza ezen új funkciója használatának mellőzése, illetve rendszertelen alkalmazása. Kötelezett ugyanezen nyilatkozatának 3. pontja alapján a bolti eladók nem használták kellőképpen a kasszarendszer fent említett funkcióját, és részben ennek következményeként kétség esetén sem kértek mindig igazolványt vagy tévesen számolták ki az életkort, ami Kötelezett állítása alapján jelentős kockázatnak tette ki a Kötelezettet. Ugyanezen pontban Kötelezett előadta, hogy „A folyamat begyakoroltatásával, rendszerszintű használatának kialakításával a Társaság célja a hibalehetőség lehető legteljesebb kizárása a fiatalkorúak védelme érdekében.”. (169) Az Fgytv. 16/A. § (4) bekezdése alapján alkoholtartalmú ital vásárlása esetén kétség esetén kell felhívni a vásárlót életkorának hitelt érdemlő igazolására (azaz abban az esetben, ha nem állapítható meg egyértelműen, hogy az alkoholtartalmú italt vásárolni szándékozó személy a tizennyolcadik életévét betöltötte-e vagy sem). A Kötelezett azonban – a 2022. szeptember 13. napján érkezett nyilatkozatának [NAIH-6989-8/2022 ügyszámú irat] 4. pontja, a nyilatkozat végén szereplő egyéb megjegyzések, és a nyilatkozat 2. számú mellékletét képező körlevél; a 2022. október 7. napján érkezett nyilatkozata [NAIH-6989-11/2022 ügyszámú irat] 1. pontja, és az ahhoz mellékelt körlevél (5. számú melléklet) alapján – a 2022. augusztus 4. és 2022. augusztus 31. közötti időszakban az Fgytv. 16/A. § (4) bekezdésében meghatározott „kétség esetén” szófordulatot, jogszabályi rendelkezést meghaladva, azon túlmenően általános jelleggel, Kötelezett saját szavaival élve „rendszerszintű használatának kialakításával”

… 33 строк без изменений …

## előírta a bolti eladó munkakörben foglalkoztatott munkavállalói számára minden egyes alkoholtartalmú italt vásárolni szándékozó személy életkorának kötelező ellenőrzését. Ezzel megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontjában foglalt adattakarékosság elvét is – amelyet jogalaptól

## IV.1. Adatvédelmi bírság

(182) A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja és a 83. cikk (2) bekezdése szerint a többi intézkedés helyett vagy mellett adatvédelmi bírságot is kiszabhat. Az nem kétséges, hogy az általános adatvédelmi rendelet megsértése esetén az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján az adatkezelőt kötelezni szükséges arra, hogy az adatkezelést hozza összhangba az általános adatvédelmi rendelettel. A Hatóság akként ítélte meg az elvégzendő feladat természete alapján, hogy az alkoholtartalmú italok vásárlása esetén az életkor ellenőrzésére irányuló adatkezelési gyakorlatnak és a vonatkozó adatkezelési tájékoztatónak az általános adatvédelmi rendelet rendelkezéseivel, valamint az Fgytv. 16/A. § (1) és (4) bekezdéseivel való összhangba hozatala, valamint az adatkezelési tájékoztató Kötelezett üzleteiben történő kihelyezésére a szokásos 30 napos határidő elegendő. (183) Abban a kérdésben, hogy indokolt-e az adatvédelmi bírság kiszabása, a Hatóság a jogszabályon alapuló mérlegelési jogkörében eljárva döntött, figyelemmel az Infotv. 61. § (1) bekezdés a) pontjára, az Infotv. 75/A. §-ára, valamint az általános adatvédelmi rendelet 83. cikk (2) bekezdésére és az általános adatvédelmi rendelet 58. cikk (2) bekezdésére. A Hatóság mérlegelte az ügy összes körülményét és megállapította, hogy a jelen adatvédelmi hatósági eljárás során feltárt jogsértések esetén a figyelmeztetés és az elmarasztalás önmagában se nem arányos, se nem visszatartó erejű szankció lenne, ezért bírság kiszabása szükséges tekintettel a Kötelezett piaci helyzetére, az általa bevezetett gyakorlat általános és országos jellegére [lásd a határozat (38) és (120) bekezdései] és a jelentős számú érintettre. A jelen esetben a személyes adatok védelme – amely a Hatóság feladata – a lentebb részletezett bírságkiszabási körülmények összessége alapján nem érhető el adatvédelmi bírság kiszabása nélkül.A bírságkiszabás mind a speciális, mind a generális prevenciót is szolgálja, amelynek érdekében a határozat nem csak a Hatóság honlapján, hanem a Kötelezett honlapjának nyitóoldalán, jól látható és könnyen hozzáférhető helyen is közzétételre kerül. (184) A Hatóság a bírság összegének meghatározása során mindenekelőtt figyelembe vette, hogy a megállapított jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pontja szerinti magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek, ez alapján a kiszabható bírság maximuma 20 000 000 EUR, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeg, a kettő közül a magasabb összeget kell kiszabni. A Kötelezett értékesítésének nettó árbevétele a rendelkezésre álló legutóbbi 2021.

(182) A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja és a 83. cikk (2) bekezdése szerint a többi intézkedés helyett vagy mellett adatvédelmi bírságot is kiszabhat. Az nem kétséges, hogy az általános adatvédelmi rendelet megsértése esetén az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján az adatkezelőt kötelezni szükséges arra, hogy az adatkezelést hozza összhangba az általános adatvédelmi rendelettel. A Hatóság akként ítélte meg az elvégzendő feladat természete alapján, hogy az alkoholtartalmú italok vásárlása esetén az életkor ellenőrzésére irányuló adatkezelési gyakorlatnak és a vonatkozó adatkezelési tájékoztatónak az általános adatvédelmi rendelet rendelkezéseivel, valamint az Fgytv. 16/A. § (1) és (4) bekezdéseivel való összhangba hozatala, valamint az adatkezelési tájékoztató Kötelezett üzleteiben történő kihelyezésére a szokásos 30 napos határidő elegendő. (183) Abban a kérdésben, hogy indokolt-e az adatvédelmi bírság kiszabása, a Hatóság a jogszabályon alapuló mérlegelési jogkörében eljárva döntött, figyelemmel az Infotv. 61. § (1) bekezdés a) pontjára, az Infotv. 75/A. §-ára, valamint az általános adatvédelmi rendelet 83. cikk (2) bekezdésére és az általános adatvédelmi rendelet 58. cikk (2) bekezdésére. A Hatóság mérlegelte az ügy összes körülményét és megállapította, hogy a jelen adatvédelmi hatósági eljárás során feltárt jogsértések esetén a figyelmeztetés és az elmarasztalás önmagában se nem arányos, se nem visszatartó erejű szankció lenne, ezért bírság kiszabása szükséges tekintettel a Kötelezett piaci helyzetére, az általa bevezetett gyakorlat általános és országos jellegére [lásd a határozat (38) és (120) bekezdései] és a jelentős számú érintettre. A jelen esetben a személyes adatok védelme – amely a Hatóság feladata – a lentebb részletezett bírságkiszabási körülmények összessége alapján nem érhető el adatvédelmi bírság kiszabása nélkül. A bírságkiszabás mind a speciális, mind a generális prevenciót is szolgálja, amelynek érdekében a határozat nem csak a Hatóság honlapján, hanem a Kötelezett honlapjának nyitóoldalán, jól látható és könnyen hozzáférhető helyen is közzétételre kerül. (184) A Hatóság a bírság összegének meghatározása során mindenekelőtt figyelembe vette, hogy a megállapított jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pontja szerinti magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek, ez alapján a kiszabható bírság maximuma 20 000 000 EUR, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeg, a kettő közül a magasabb összeget kell kiszabni. A Kötelezett értékesítésének nettó árbevétele a rendelkezésre álló legutóbbi 2021.

… 21 строк без изменений …

## évi adat szerint 315 282 601 000 Ft volt, a Hatóság ugyanakkor azt is figyelembe vette, hogy ehhez képest a Kötelezett adózott eredménye 8 504 878 000 Ft volt. A

Kötelezett adatkezelési gyakorlata jogsértő jellegének valószínűségét, amelynek eredménye lett jelen hivatalból indult eljárás [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont]. (187) Az adatvédelmi bírság mértékének meghatározásakor az alábbi körülmények a bírság mértékét nem súlyosbították és nem is enyhítették, semleges hatásúak voltak:

- Kötelezett a bizonyítási eljárás befejezését követőenhelyezte ki a Weboldalára a

2023. január 17. napjától hatályos, a vizsgált adatkezelési műveleteket és címzetteket már teljes körűen ismertető – azonban a kötelező életkor ellenőrzés kapcsán továbbra sem egyértelműen fogalmazó – módosított adatkezelési tájékoztatóját, azonban a megvalósított jogsértés időpontja (2022. augusztus 4-31.) óta eltelt időtartamra tekintettel az már nem értékelhető a kár enyhítése érdekében tett intézkedésnek [általános adatvédelmi rendelet 83. cikk (2) bekezdés c) pont]; - Kötelezett a bizonyítási eljárás befejezését követően2023. január 16. és 17. napján személyes oktatás keretében ismertette az időközben felülvizsgált adatvédelmi dokumentumokat a területi vezetőkkel, akik ezt követően azt a feladatot kapták, hogy legkésőbb 2023. január 31. napjáig cseréljék le valamennyi üzletben az adatvédelmi dokumentumokat, azonban a megvalósított jogsértés időpontja (2022. augusztus 4-31.) óta eltelt időtartamra tekintettel az már nem értékelhető enyhítő körülményként [általános adatvédelmi rendelet 83. cikk (2) bekezdés c) pont]; - A Kötelezett adatvédelmi jogsértésének megállapítására az általános adatvédelmi rendelet megsértése miatt már két alkalommal is sor került, azonban ezeket a jogsértéseket a Hatóság a jelen adatvédelmi hatósági eljárásban értékelt adatkezelés vonatkozásában nem tekintette relevánsnak [NAIH-987/2021 ügyszámú (előzmény ügyszám: NAIH/2020/8690) és NAIH-1044/2021 ügyszámú (előzmény ügyszám: NAIH/2020/2255) adatvédelmi vizsgálati eljárás] [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont]; - A Kötelezett a Hatósággal az eljárás során együttműködő volt, azonban ez a bírói gyakorlat és a Hatóság gyakorlata alapján jogszabályi kötelezettsége, ennek hiánya lehetne súlyosító körülmény [általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont]. (188) A fentiek és az eset összes körülménye alapján a Hatóság a rendelkező rész szerinti összegű adatvédelmi bírság kiszabását tartotta arányosnak és visszatartó erejűnek mind a speciális, mind az általános prevenció vonatkozásában, amely összeg jelentősen a bírságmaximum alatt van. Ezen összeg más esetben az egyedi körülmények alapján jelentősen más lehet, nem köti a Hatóságot más ügyben.

- Kötelezett a bizonyítási eljárás befejezését követően helyezte ki a Weboldalára a

2023. január 17. napjától hatályos, a vizsgált adatkezelési műveleteket és címzetteket már teljes körűen ismertető – azonban a kötelező életkor ellenőrzés kapcsán továbbra sem egyértelműen fogalmazó – módosított adatkezelési tájékoztatóját, azonban a megvalósított jogsértés időpontja (2022. augusztus 4-31.) óta eltelt időtartamra tekintettel az már nem értékelhető a kár enyhítése érdekében tett intézkedésnek [általános adatvédelmi rendelet 83. cikk (2) bekezdés c) pont]; - Kötelezett a bizonyítási eljárás befejezését követően 2023. január 16. és 17. napján személyes oktatás keretében ismertette az időközben felülvizsgált adatvédelmi dokumentumokat a területi vezetőkkel, akik ezt követően azt a feladatot kapták, hogy legkésőbb 2023. január 31. napjáig cseréljék le valamennyi üzletben az adatvédelmi dokumentumokat, azonban a megvalósított jogsértés időpontja (2022. augusztus 4-31.) óta eltelt időtartamra tekintettel az már nem értékelhető enyhítő körülményként [általános adatvédelmi rendelet 83. cikk (2) bekezdés c) pont]; - A Kötelezett adatvédelmi jogsértésének megállapítására az általános adatvédelmi rendelet megsértése miatt már két alkalommal is sor került, azonban ezeket a jogsértéseket a Hatóság a jelen adatvédelmi hatósági eljárásban értékelt adatkezelés vonatkozásában nem tekintette relevánsnak [NAIH-987/2021 ügyszámú (előzmény ügyszám: NAIH/2020/8690) és NAIH-1044/2021 ügyszámú (előzmény ügyszám: NAIH/2020/2255) adatvédelmi vizsgálati eljárás] [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont]; - A Kötelezett a Hatósággal az eljárás során együttműködő volt, azonban ez a bírói gyakorlat és a Hatóság gyakorlata alapján jogszabályi kötelezettsége, ennek hiánya lehetne súlyosító körülmény [általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont]. (188) A fentiek és az eset összes körülménye alapján a Hatóság a rendelkező rész szerinti összegű adatvédelmi bírság kiszabását tartotta arányosnak és visszatartó erejűnek mind a speciális, mind az általános prevenció vonatkozásában, amely összeg jelentősen a bírságmaximum alatt van. Ezen összeg más esetben az egyedi körülmények alapján jelentősen más lehet, nem köti a Hatóságot más ügyben.

… 15 строк без изменений …

## IV.2. A határozat nyilvánosságra hozatala

(198) A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi

CXXX. törvény 604. §-a szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (199) A Hatóság döntésével szembeni keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. Atárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1) – (2) bekezdéseinalapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (a továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és a 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (200) Ha az előírt kötelezettsége teljesítését a Kötelezett megfelelő módon nem igazolja, a

CXXX. törvény 604. §-a szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (199) A Hatóság döntésével szembeni keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1) – (2) bekezdésein alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (a továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és a 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (200) Ha az előírt kötelezettsége teljesítését a Kötelezett megfelelő módon nem igazolja, a

Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. Az Ákr. 133. § (1) bekezdése értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. § (1) bekezdése értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság döntésének végrehajtását a döntésben foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a Hatóság foganatosítja. Budapest, 2023. március 30.

Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár