What changed

XXXXX [születési helye és ideje: XXXXX, anyja neve: XXXX, lakcíme: XXXX], valamint XXXXX [születési neve: XXXX, születési helye és ideje: XXXX, anyja neve: XXX, lakcíme:

## XXXX], megbízásából a képviseletet ellátó XXXXXX ügyvéd (XXXXXXXXXXXX) útján

megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a), b), c) pontjait, ehhez kapcsolódóan a 25. cikket, az 5. cikk (2) bekezdését, valamint a 6. cikk (1)

2 A Hatóság a háztartási célú kivételek közé sorolta a rendezvényeken a szülők által gyermekükről készített felvételeket, akkor is, ha azokon más gyermekek is szerepelnek (NAIH/2018/6083/V.). Hangsúlyozandó, hogy a Hatóság kizárólag e felvételek elkészítését értékelte háztartási célú adat- kezelésnek, amennyiben e képeket a készítő feltöltötte volna az internetre, az adatkezelés a GDPR hatálya alá tartozna. 3 Általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pont: „a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”). 4 Általános adatvédelmi rendelet 5. cikk (1) bekezdés e) pont: „a személyes adatok tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatás céljából vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”);” 5 Általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pont: „gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”)” 6 Általános adatvédelmi rendelet 5. cikk (1) bekezdés f) pont az adatkezelő7 jogos érdekén is, mely esetben azonban az adatkezelés megkezdése előtt az adatkezelőnek el kell készítenie egy ún. érdekmérlegelési tesztet. Az intézmény esetében megfelelő jogalap lehet, ha az intézmény ún. „beleegyező nyilatkozatot” kér a diákoktól, a gyermekek törvényes képviselőitől (a szülőktől), tanároktól, azaz, ha az érintettek egyértelmű hozzájárulásukat adják személyes adataik egy vagy több konkrét célból történő kezeléséhez. Az általános adatvédelmi rendelet értelmében az érintett hozzájárulásának az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása minősül, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez.8 A hozzájárulás fogalma négy konjunktív feltételre épül. Egyrészt a hozzájárulásnak önkéntesnek kell lennie, amely azt jelenti, hogy az érintett valós vagy szabad választási lehetőséggel rendelkezzen a hozzájárulás megadását illetően. Másrészt a hozzájárulásnak konkrétnak kell lennie, amely alapvetően a célok pontos beazonosítását igényli az adatkezelőtől, illetve azt, hogy amennyiben az érintett hozzájárulása lapján különböző célból tervezi kezelni a személyes adatokat, akkor mindegyik célhoz az érintett hozzájárulását be kell szereznie. Harmadrészt a hozzájárulásnak megfelelő tájékoztatáson kell alapulnia, amely nemcsak az általános adatvédelmi rendelet által meghatározott, a tájékoztató kötelező tartalmi elemeinek a meglétét jelenti, hanem azt is, hogy a tájékoztatás tömör, átlátható, közérthetően megfogalmazott legyen, amely az érintett számára könnyen hozzáférhető. Végül az adatkezelőnek azt is biztosítania kell, hogy az érintett az akaratát egyértelműen kinyilváníthassa, vagyis az érintett aktív cselekedettel, nyilatkozattal tudjon beleegyezni az adatkezelésbe. A megfelelő tájékoztatás a hozzájárulás jogalapjának alkalmazása során központi szerepet tölt be. A hozzájárulás definíciójában szereplő többi fogalmi elem (önkéntesség, a hozzájárulás konkrétsága és egyértelműsége) akkor érvényesülhet teljeskörűen, ha a hozzájárulás kérését megfelelő tájékoztatás előzte meg. Ha az adatkezelő nem biztosít hozzáférhető tájékoztatást az érintettek számára, akkor az adatok feletti rendelkezés látszólagos lesz, és a hozzájárulás az adatkezelés érvénytelen jogalapjává válik. Fentiek alapján jelen esetben a Kérelmező hozzájárulása akkor érvényes és megfelelő jogalap, ha az önkéntes, tehát ha a Kérelmező az ehhez fűződő bármely hátrány vagy kár nélkül dönthet úgy, hogy nem kíván szerepelni a kép- és/vagy videófelvételen. Az érvényesség további feltétele, hogy az konkrét és megfelelő tájékoztatáson alapuljon, amely feltétel akkor érvényesül, ha a Kérelmező tisztában van az adatkezelés részleteivel. Ez a konkrét esetben azt jelenti, hogy a Kérelmezett tájékoztatja a Kérelmezőt a kép- és/vagy videófelvétel sorsáról, így arról, hogy azt hol jelentetik meg, milyen fórumon teszik mások számára elérhetővé. A Hatóság észleli, hogy a köznevelési és közoktatási intézmények (a továbbiakban együtt: intézmények) működése során a nevelési és tanév rendjében megjelölt intézményi események – személyes adatok kezelésével szükségképpen együtt járó – megörökítése egyre inkább áthelyeződik az internetes nyilvánosság színterére.

A Hatóság a nem internetes platformokon végzett adatkezelések esetében elismeri, hogy a tanév során szervezett minden egyes intézményi eseményhez kapcsolódó adatkezelés esetében szinte teljesíthetetlen adminisztrációs terhet ró az intézményekre, a pedagógusokra és a szülőkre is a megfelelő, részletes tájékoztatáson alapuló írásban tett adatkezelési hozzájárulások beszerzése. Ugyanakkor a Hatóság hangsúlyozza, hogy az általános adatkezelési hozzájárulás megléte nem mentesíti az intézményt azon kötelezettsége alól, hogy az egyes tervezett adatkezelésekről az eseményt megelőzően külön, igazolható módon részletes adatkezelési tájékoztatást nyújtson a szülő/törvényes képviselő számára a következő tartalommal: