Что изменилось

8. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) és g) pontja alapján a Hatóság utasítja az Alapítványt, hogy a jelen határozat véglegessé válásától számított 30 napon belül törölje a részére korábban adományt fizető érintettek kapcsolattartási célú személyes adatait!

c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. (3) Ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról. (4) Az (1), (2) és (3) bekezdés nem alkalmazandó, ha és amilyen mértékben az érintett már rendelkezik az információkkal. Az általános adatvédelmi rendelet 14. cikk szerint: (1) Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat: a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) az érintett személyes adatok kategóriái; e) a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat: a) a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; b) ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről; c) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga; d) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; e) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; f) a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e; és g) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. (3) Az adatkezelő az (1) és (2) bekezdés szerinti tájékoztatást az alábbiak szerint adja meg: a) a személyes adatok kezelésének konkrét körülményeit tekintetbe véve, a személyes adatok megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül; b) ha a személyes adatokat az érintettel való kapcsolattartás céljára használják, legalább az érintettel való első kapcsolatfelvétel alkalmával; vagy c) ha várhatóan más címzettel is közlik az adatokat, legkésőbb a személyes adatok első alkalommal való közlésekor. (4) Ha az adatkezelő a személyes adatokon a megszerzésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról. (5) Az (1)-(4) bekezdést nem kell alkalmazni, ha és amilyen mértékben: a) az érintett már rendelkezik az információkkal; b) a szóban forgó információk rendelkezésre bocsátása lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne, különösen a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, a 89. cikk (1) bekezdésében foglalt feltételek és garanciák figyelembevételével végzett adatkezelés esetében, vagy amennyiben az e cikk (1) bekezdésében említett kötelezettség valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezen adatkezelés céljainak elérését. Ilyen esetekben az adatkezelőnek megfelelő intézkedéseket kell hoznia - az információk nyilvánosan elérhetővé tételét is ideértve - az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében; c) az adat megszerzését vagy közlését kifejezetten előírja az adatkezelőre alkalmazandó uniós vagy tagállami jog, amely az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik; vagy d) a személyes adatoknak valamely uniós vagy tagállami jogban előírt szakmai titoktartási kötelezettség alapján, ideértve a jogszabályon alapuló titoktartási kötelezettséget is, bizalmasnak kell maradnia. Az általános adatvédelmi rendelet 15. cikke (1) bekezdése szerint az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár. (3) Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri. (4) A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait. Az Nytv. 19. § (1) bekezdése szerint a 17. § (2) bekezdésének a) pontja szerinti adatok szolgáltatását bármely polgár, illetve jogi személy és jogi személyiséggel nem rendelkező szervezet a felhasználás céljának és jogalapjának igazolása mellett jogosult kérni: a) jogának vagy jogos érdekének érvényesítése érdekében, b) tudományos kutatás céljából, c) közvélemény-kutatás és piackutatás megkezdéséhez szükséges minta, valamint d) * Az Nytv. 18. § (4) bekezdése szerint adatszolgáltatás helyett a kérelmező bármely járási hivatalnál igényelheti, hogy kapcsolatfelvétel céljából a járási hivatal az általa megjelölt személyt, személyi kört keresse meg, és a) kérje írásos hozzájárulását ahhoz, hogy név, lakcím és értesítési cím adatait a kérelmező rendelkezésére bocsáthassa, vagy b) arról értesítse, hogy a kérelmezőt közvetlenül keresse meg, ha vele a kapcsolatot fel kívánja venni. Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja. Az Infotv. 61. § (2) bekezdése szerint a Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő – nyilvánosságra hozatalát, ha a határozat személyek széles körét érinti, azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja. Infotv. 75/A. §: A Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. GDPR 58. cikk (2) bekezdés b), d), i) és g) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték. Az általános adatvédelmi rendelet 83. cikk (1) bekezdése alapján valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. Az általános adatvédelmi rendelet 83. cikk (2) bekezdése szerint a közigazgatási bírságokat az adott eset körülményeitől függően az általános adatvédelmi rendelet 58. cikk (2) bekezdésének a)h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát az általános adatvédelmi rendelet 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy az általános adatvédelmi rendelet 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. Az általános adatvédelmi rendelet 83. cikk (5) bekezdése szerint az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

A GDPR alkalmazandóvá válását követően több hazai jogszabály érdemi rendelkezéseinek felülvizsgálata és deregulációja vált szükségessé, tekintettel arra, hogy a közvetlen üzletszerzés jogalapját az általános adatvédelmi rendelet rendszerében – a hozzájárulás mellett – a 6. cikk (1) bekezdés f) pontja szerinti jogalap is képezheti megfelelő feltételek teljesülése esetén, az ilyen adatkezelési jogviszonyok feltételeinek szabályozására pedig a tagállami jogalkotónak – a rendeletben kifejezetten meghatározottakon túl – nincs jogosultsága. Így 2019. április 26. óta a Katv. hatálya sem terjed már ki a közvetlen üzletszerzéshez történő kapcsolatfelvétel céljára névés lakcímadatot igénylő, illetőleg kezelő természetes és jogi személyekre, valamint jogi személyiséggel nem rendelkező szervezetekre, illetve az Nytv. rendelkezései közül is kikerült a direkt marketing célú adatigénylésre vonatkozó felhatalmazás. A szabályozási környezet változása miatt tehát a közvetlen üzletszerzés céljából történő adatkezelés már nem alapul jogszabályi felhatalmazáson, vagyis az adatkezelő felelőssége megfelelő, a 6. cikk (1) bekezdésében szabályozott jogalapnak a választása. Amennyiben erre az adatkezelő a 6. cikk (1) bekezdés f) pontja szerinti jogalapot tartja alkalmazhatónak, jogos érdeke elsőbbségének alátámasztására érdekmérlegelést kell lefolytatnia. A Hatóság álláspontja szerint a civil szervezeteknek az adománygyűjtés érdekében az első kapcsolatfelvétellel végzett adatkezelési tevékenysége – egyéb jogalapok fennállása, mint jogszabályon alapuló kötelező adatkezelés, vagy az érintett hozzájárulása híján – az adatkezelő megfelelő érdekmérlegelési teszttel alátámasztott jogos érdekén alapulhat. Ennek következtében az Nytv.19. § (1) a) pontja alapján adatokat igényelhetnek az Nytv-ben foglalt feltételekkel. A civil szervezetek jogos érdekét erősíti a tény, hogy ők közhasznú szervezetként egyébként közérdekű tevékenységet végeznek. (Civil tv. 2. § 20. pontja), amelyhez adományok gyűjtése társadalmi érdekük. Ugyanakkor annak mérlegelését, hogy a kérelmező jogos érdeken alapuló adatkérése megfelelően alátámasztottnak minősül-e, a nyilvántartás szerve végzi, és arra előzetesen nem adható garancia, hogy a nyilvántartás szerve is igazoltnak látja az adatkérés jogosságát. A jelenlegi szabályozás szerint tehát a nyilvántartás szervének szubjektív értékítéletén múlik, hogy az Nytv. 19. § (1) bekezdés a) pontjában megfogalmazott adatszolgáltatást teljesíti-e. Megfelelő, és az adatkezelés további követelményeinek jogszerűsége érdekében követhető eljárás az, ha az adatot igénylő szervezet nem a polgárok személyes adatainak szolgáltatását igényli a személyiadat-és lakcímnyilvántartásból, hanem az Nytv. 18. § (4) bekezdésében kifejtettek szerint ún. kapcsolatfelvételi eljárást kezdeményez, amelynek során a nyilvántartás szerve keresi meg a megjelölt személyi kört, eljuttatva a kezdeményező üzenetét a címzetteknek. A címzett, érdeklődése esetén maga keresi fel a kezdeményező szervet, így a civil szervezet részéről az adatkezelés jogalapja a továbbiakban ebben az esetben az érintett hozzájárulása lesz.