What changed

Iktatószám: NAIH-2857-20/2021 Tárgy: határozat

……………………. kérelmezőnek (lakcíme: ……………………………………………….; a továbbiakban: Kérelmező) a …………………..…………………………-val/vel szemben (székhely: …………………………………………….; a továbbiakban: Kérelmezett) 2021. február 23. napján személyes adatok jogellenes kezelése tárgyában benyújtott kérelme alapján indult adatvédelmi hatósági eljárásban – melyben a Hatóság ügyféli jogállást biztosított a ……………………………………….………………………..-nak/nek (székhelye: …………………………….……………………; a továbbiakban: Importőr), valamint amelynek tárgyát a Hatóság kiterjesztette a Kérelmezett és az Importőr által végzett ügyfélelégedettségméréssel kapcsolatos általános adatkezelési gyakorlat vizsgálatára – az alábbi döntéseket hozza:

jogellenesen, megfelelő egyéni tájékoztatás és érvényes jogalap hiányában továbbította a Kérelmező email címét és gépjárműve technikai azonosító adatait az Importőr részére, elutasítja.

érvényes jogalap hiányában kezelte a Kérelmező email címét, lakcímét és telefonszámát, valamint a gépjárműve technikai azonosító adatait, ezzel az Importőr a Kérelmező személyes adatainak ügyfélelégedettség-méréssel kapcsolatos kezelése során megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679/EU rendelet (a továbbiakban: általános adatvédelmi rendelet) 5. cikk (1) bekezdés a) pontja szerinti jogszerű és átlátható adatkezelés elvét, a 12. cikk (1) bekezdése és az általános adatvédelmi rendelet 13. cikke szerinti – tömör, átlátható, érthető és könnyen hozzáférhető formájú, világosan és közérthetően megfogalmazott tájékoztatás nyújtásának kötelezettségét, az általános adatvédelmi rendelet 5. cikk (2) bekezdése szerinti elszámoltathatóság elvét, valamint a jogalap tekintetében az általános adatvédelmi rendelet 6. cikk (1) bekezdését.

kapcsolatos adatkezelési gyakorlata az indokolásban kifejtett okokból sérti az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti jogszerű és átlátható adatkezelés elvét, az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elvét, az általános adatvédelmi rendelet 6. cikk (1) bekezdését, és általános adatvédelmi rendelet 13. cikkét.

## V. A Hatóság a jogsértő adatkezelési gyakorlatra tekintettel az általános adatvédelmi rendelet

műveleteit a jelen határozat kézhezvételétől számított 30 napon belül hozza összhangba az általános adatvédelmi rendelet rendelkezéseivel, a jelen határozat indokolásában kifejtetteknek megfelelően. Ennek teljesítését az Importőr a jelen határozat véglegessé válásától számított 30 napon belül köteles írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolni a Hatóság felé.

1 https://……………………………………… ügyfélpultnál teszik hozzáférhetővé az adatkezelési tájékoztatót nyomtatva. Ezen felül az Importőr elvárása szerint az általános eljárása az, hogy az adatkezelésről szóban tájékoztatják az ügyfelet az adat bekérésekor, és a munkalap mellékleteként átadják az adatkezelési tájékoztató nyomtatott változatát. A szóbeli tájékoztatás része többek között, hogy az email cím megadása nem kötelező. Az egyedi esetben a Kérelmezett nyilatkozata szerint arról tájékoztatták szóban a Kérelmezőt, hogy az email cím megadása nem kötelező, azonban az ügyfél-elégedettség mérésre felhasználásról a Kérelmező nem kapott külön tájékoztatást. A jelen egyedi esetben a Kérelmezett munkavállalója elmulasztotta a munkalap kitöltését, Kérelmezővel aláíratását, és azzal együtt az adatkezelési tájékoztató nyomtatott változatának átadását a munkalap mellékleteként. A Kérelmezett mellékelte a ki nem töltött munkalap mintáját, amely tartalmaz az Importőr honlapjára hivatkozást, azonban nem az ügyfélelégedettség-méréssel kapcsolatban, hanem kifejezetten a szerződés teljesítése és jogszabályi kötelezettség jogalappal a szerviz teljesítésével kapcsolatban kezelt adatok tekintetében adja meg a hivatkozást, mint részletesebb információk forrását ezen adatkezelések tekintetében. Az Importőr által készített felmérésen kívül a Kérelmezett is küldött külön elégedettség-felmérést a Kérelmezőnek, amely ellen a Kérelmező nem tiltakozott, azt kitöltve visszaküldte. A Hatóság 2021. július 12-én küldött a Kérelmezőnek egy összefoglalót az addig feltárt lényeges tényekről. A Kérelmezett és az Importőr válaszai alapján az egyedi ügy nem volt elbírálható a Kérelmezővel kapcsolatos adatkezeléshez kapcsolódó általános gyakorlat vizsgálata nélkül, ezért a Hatóság 2021. augusztus 11-én hivatalból kiterjesztette az eljárást a Kérelmezett és az Importőr által végzett ügyfélelégedettség-méréssel kapcsolatos általános adatkezelési gyakorlat vizsgálatára. A Hatóság általános gyakorlatra, valamint az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 76. §-a szerinti záró nyilatkozatokra irányuló kérdéseire adott 2021. szeptember 2-án érkeztetett válaszában a Kérelmezett megküldte a saját külön ügyfélelégedettség-méréssel kapcsolatban használt kérdéseit és a Kérelmező erre adott válaszait, az Importőrnek továbbítandó személyes adatokat, valamint azt nyilatkozta, hogy fenntartja a 2021. május 4. napján kelt nyilatkozatait azzal a kérdéssel kapcsolatban, hogy az egyes továbbított személyes adatok miért szükségesek az ügyfélelégedettség-méréshez. E tekintetben az érdekmérlegelést ismételte meg, amely az egyes adattípusok szükségét nem támasztotta alá, azonban jelezte, hogy az adattovábbítással kapcsolatban a pontos válasz megadása az Importőr hatáskörébe tartozik, a Kérelmezett kizárólag az Importőrrel kötött szerződése alapján járt el. Hivatkozott arra is, hogy az Importőrrel kötött szerződés szerint a szerződésben a Kérelmezett részére biztosított jogok fejében kötelezettséget kellett vállalnia a vevők igényeinek legmagasabb szintű kielégítésére és ennek ellenőrzése körében az adattovábbítás biztosítására. A minimumkövetelményeket, az ezzel kapcsolatos keretet és sarokpontokat évente egyoldalúan az Importőr határozza meg. Az Importőr a szerződést egyoldalúan felmondhatja, ha az általa meghatározott módszerrel végzett ügyfélelégedettségmérés eredménye nem teljesíti az Importőr által meghatározott értékeket. A Gyártó részére a Kérelmezett nem továbbít személyes adatokat. Az Importőr részére a szervizelési információkat személyhez köthetően továbbítják, mivel véleménye szerint az ügyfélelégedettség-méréshez és az ügyfélkapcsolatok javításához szükséges az ügyfélazonosítás. Véleménye szerint az ügyfélkapcsolatok javítása az ügyfelek érdeke is. Az Ákr. 76. §-a alapján a Kérelmezett fenntartotta azon nyilatkozatát, hogy nem követett el adatvédelmi jogsértést, amikor jogos érdek alapján a Kérelmező email címét továbbította az Importőr részére. Véleménye szerint a Kérelmezett és az érintettek között releváns és megfelelő kapcsolat áll fenn, és a továbbított adatok nem érintik szükségtelenül vagy aránytalanul az érintettek magánszféráját, és az érintett a kereskedelmi szektorban elterjedt gyakorlat miatt számíthat erre. A Kérelmezett jelen ügyben és általában komoly erőforrásokat mozgósít annak érdekében, hogy alkalmazottai megfelelő tudatossággal és ismeretekkel kezeljék az ügyfelek személyes adatait. Kiemeli a felelőssége körében, hogy az adattovábbítási kötelezettségének tett eleget az Importőrrel kötött szerződése alapján, az Importőr elvárásainak megfelelően. Kéri figyelembe venni azt is, hogy a Hatóság még nem állapított meg Kérelmezettel szemben adatvédelmi jogsértést, mindent megtett a jogi megfelelőség érdekében, és a jelenlegi COVID-19 helyzet az egész szektorára rendkívül negatív hatással volt. Kérelmezett akként nyilatkozik továbbá, hogy KKV-nak minősül. A Hatóság általános gyakorlatra, valamint az Ákr. 76. §-a szerinti záró nyilatkozatokra irányuló kérdéseire adott 2021. szeptember 13-án érkeztetett válaszában az Importőr megküldte az ügyfélelégedettség-mérésre szolgáló kérdőívét, amelyek kérdései tartalmazták a Kérelmezett külön kérdéssorának kérdéseit és ezen felüli kérdéseket, többek között az érintett neméről és az életkoráról. Az Importőr azt nyilatkozta továbbá, hogy a gépjármű alvázszámát (és jelen szerviz esetben nem, csak új gépjármű értékesítése esetén a rendszámot) azért szükséges kezelnie az ügyfél-elégedettség méréssel kapcsolatban, hogy azonosítani lehessen melyik gépjárművel kapcsolatban kérik az érintett ügyfél véleményét. Az Importőr nyilatkozata szerint az ügyfél neve, email címe, telefonszáma, és lakcíme mind a kérdőív kitöltéséhez kapcsolatfelvétel és adott esetben a válaszok alapján további kapcsolatfelvételhez szükséges. A gépjármű meghibásodási adatai és a szerviz nevének, a szervizelés helyének és idejének adatai ahhoz szükségesek, hogy meg lehessen érteni milyen munkákkal volt elégedett és elégedetlen az ügyfél. Az ügyfél-elégedettség méréssel kapcsolatban kezelt adatok semmilyen más célra nem szükségesek, azokat csak e célból kezeli az Importőr. Az ügyfeleket és a gépjárművet azonosító adatokat ettől független módon kezeli az Importőr más célokból, de nem az adattovábbítás eredményeként. Amennyiben az ügyfél nem járul hozzá az adatai névvel kezeléséhez, akkor anonim továbbítja őket az Importőr részére a felmérést végző adatfeldolgozó ………….………. Az ügyfél azonosításának akkor van jelentősége, ha negatív vélemény esetén a panasz kivizsgálása szükséges. Az Importőr a Gyártó felé csak összesített anonim statisztikákat továbbít, konkrét személyes adatokat nem. Az Importőr nyilatkozata szerint azért természetes személyhez kötve kapja a márkaszervizektől a szervizelési adatokat az Importőr, mert csak így tudja elvégezni az ügyfélelégedettség-mérést. A válaszhoz csatolt márkaszerviz szerződés másolat IV. cikke megerősíti a Kérelmezett 2021. szeptember 2-án érkeztetett nyilatkozatában foglaltakat, miszerint az adattovábbítást az Importőr egyoldalú kötelezettségként írta elő a Kérelmezett számára, és annak feltételeit az Importőr egyoldalúan jogosult meghatározni és megváltoztatni, míg a Kérelmezett erre nem jogosult. A válaszhoz csatolt márkaszerviz szerződés másolat V. cikk 5. pontja szerint a márkaszerviz köteles az Importőr által meghatározott formában ügyfélnyilvántartást felállítani és napra készen tartani, amelynek adatait köteles rendszeresen és folyamatosan közölnie az Importőrrel a ………………. gépjárművek nyomon követhetősége, a rájuk vonatkozó jelenlegi és jövőbeni szabályozás betartásának követhetősége, az esetleges visszahívási kampányok szervezése és nyomon követése, a végső vevők közötti közvélemény kutatás szervezése, az ügyfelek elvárásainak leginkább megfelelő termékek és szolgáltatások kidolgozása és ajánlása céljából. Ettől függetlenül az Importőr és a Kérelmezett önálló gazdasági szereplők, önálló adatkezelőkként járnak el. Az Ákr. 76. §-a alapján az Importőr fenntartotta azon nyilatkozatát, hogy nem követett el adatvédelmi jogsértést, teljes mértékben jogszerűen járt el, és kiemeli, hogy az ügyfél-elégedettség mérés eredményét csak akkor kapja meg az adatfeldolgozótól, ha az ügyfél hozzájárult a neve megismerhetőségéhez. Az ügyfélelégedettség-mérés célja elsődlegesen tendenciák, trendek vizsgálata, nem áll fókuszában adott ügyfél válaszainak vizsgálata, csak negatív vélemény, panasz esetén. Az Importőr az adatkezelési műveletei során törekszik a gondos eljárásra és a vonatkozó jogszabályoknak megfelelésre, eddig ezzel az adatkezeléssel kapcsolatban nem kaptak panaszt, és a Hatóság sem járt még el az Importőr adatkezelésével kapcsolatban. Ennek ellenére esetleges jogkövetkezmény megállapításakor az Importőr kéri figyelembe venni azt, hogy a jelenlegi COVID-19 helyzet az egész szektorára rendkívül negatív hatással volt, valamint az alábbi körülményeket:

## Az ügyben alkalmazandó jogszabályi rendelkezések

l) az általános adatvédelmi rendelet 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja. Az Infotv. 71. § (2) bekezdése alapján a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja.

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;

i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az általános adatvédelmi rendelet 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés;

a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az általános adatvédelmi rendelet 5., 6., 7. és 9. cikknek megfelelően;

Mivel a vizsgált ügyfélelégedettség-mérés célú adatkezelés a Kérelmező vonatkozásában már megszűnt, e tekintetben törlésre kötelezés nem szükséges a rendelkezésre álló információk alapján. Mivel nem érinti az általános adatvédelmi rendelet szerinti érintetti jogait, ezért az érintett ügyfélképessége nem terjed ki adatvédelmi bírság kiszabásának kérdésére. A Hatóság hivatalból vizsgálta, hogy indokolt-e az Importőrrel szemben adatvédelmi bírság kiszabása. Abban a kérdésben, hogy indokolt-e az adatvédelmi bírság kiszabása, a Hatóság jogszabályon alapuló mérlegelési jogkörben eljárva döntött, figyelemmel az Infotv. 61. § (1) bekezdés a) pontjára, az Infotv. 75/A. §-ára, valamint az általános adatvédelmi rendelet 83. cikk (2) bekezdésére és az általános adatvédelmi rendelet 58. cikk (2) bekezdésére. A Hatóság a Kérelmező vonatkozásában végzett egyedi adatkezelés jogellenességének megállapításán túl más intézkedést nem lát szükségesnek az egyéni kérelmes ügyben. A hivatalból vizsgált általános gyakorlat jogellenessége miatti hivatalbóli eljárásban a Hatóság az alábbiakat mérlegelte az adatvédelmi bírsággal kapcsolatban. A Hatóság a bírság szükségessége tekintetében nem vette figyelembe enyhítő körülményként az Importőr által hivatkozott gazdasági helyzetet, mivel az – közvetetten, az éves bevételen keresztül – csak a bírság szükségessége esetén annak mértékét befolyásolja, nem azt, hogy a bírságot szükséges-e kivetni, azt a jogsértés és annak körülményei határozzák meg az általános adatvédelmi rendelet 83. cikk (2) bekezdésének megfelelően. E tekintetben a Hatóság figyelembe vette a bírság összegének megállapításokor, hogy az Importőr 2020. évi adózott eredménye ……………………….. Ft volt, amely több mint ……………………. a 2019. évi adózott eredményének, míg az értékesítés nettó árbevétele 2020-ban ….. %-al csökkent a 2019-es szinthez képest. A Hatóság szintén nem vette figyelembe enyhítő körülményként azt, hogy az Importőr a Hatósággal az eljárás során együttműködött, mivel ez az általános adatvédelmi rendelet 31. cikke alapján minden adatkezelő és adatfeldolgozó kötelezettsége, ennek hiánya lenne figyelembe vehető súlyosbító körülményként. A Hatóság szintén nem vette figyelembe enyhítő körülményként az Importőr azon hivatkozását, miszerint az érintettek nem szenvednek el semmilyen kárt, sőt, az adatkezelés az érintettek érdekét is szolgálja, mivel a személyes adatoknak az általános adatvédelmi rendeletbe ütköző, az érintettek akaratát figyelembe nem vevő, szükségtelen adatokat használó adatkezelés sérti a személyes adatok védelméhez való jogot és általában szükségtelen adatbiztonsági kockázatot jelent, továbbá az elégedettség-mérés csak azon feltehetően kis számú – esetben szolgálja az érintett érdekét, ha panasza van, azt pedig az érintett maga is elő tudja terjeszteni kérdés nélkül, amennyiben Importőr erre megfelelő fórumot biztosít, nem szükséges az Importőr külön megkeresése. A Hatóság súlyosbító körülményként figyelembe vette az Importőr piaci súlyát, a potenciális érintettek számát (amely a KSH magyarországi új ……..…….. gépkocsi eladási statisztikái2 alapján legalább tízezres nagyságrendű), és hogy az általános gyakorlata az általa importált márka tekintetében kizárólagosan meghatározó Magyarországon. A Hatóság súlyosbító körülményként figyelembe vette azt, hogy nem áll rendelkezésre hatékony tájékoztatás és jogorvoslat az érintettek részére. E körben nem vehető figyelembe a Hatósághoz érkező panaszok kis száma, mivel a jogsértés lényegi eleme, hogy az érintettek nem kaptak megfelelő tájékoztatást az adott adatkezelésről és nem feltétlenül számítanak rá, így érdemben tiltakozni sem tudnak nagy számban. Az Importőr adatkezelésének kiterjedtsége és piaci pozíciója alapján elvárható lenne az Importőrtől, hogy ne kizárólag egyes ügyintézői egyedi és felügyelet nélküli döntésétől függjön az érintetti jogok gyakorolhatósága. A Hatóság súlyosbító körülményként figyelembe vette azt, hogy a jogsértés több éven át fennálló, folyamatos gyakorlat eredménye, és ennek megtervezése – illetve az általános adatvédelmi rendeletnek megfelelő áttervezése – elvi szinten volt átgondolatlan. A Hatóság figyelembe vette enyhítő körülményként azt, hogy a kezelt személyes adatok köre nem tartalmazott különleges kategóriába tartozó vagy egyéb okból szenzitív személyes adatot, és a személyes adatok jelentős része az érintett tulajdonában lévő gépjárműhöz kapcsolódó műszakai adat, az adatok egy részét pedig az Importőr más célból amúgy is kezeli, így az érintetteket érő kár az érintetti kör nagysága ellenére nem volt jelentős. A Hatóság figyelembe vette enyhítő körülményként azt, hogy az egyedi panasz ügyben a Kérelmezett mint adatfeldolgozó egy alkalmazottjának egyedi esetben előforduló hibájáról volt szó, és értékelte a Kérelmezett azon nyilatkozatát, hogy lépéseket tett a hasonló esetek jövőbeni elkerülése érdekében, valamint az Importőr azon előírását, hogy kötelezővé tette adatkezelési tájékoztató átadását az érintettek részére. A Hatóság figyelembe vette enyhítő körülményként azt, hogy a jogsértés gondatlan jellegű, nem irányult az érintettek megkárosítására vagy jogellenes haszonszerzésre, és a megjelölt érdek adott esetben megállhat jogos érdekként, ha az adatkezelés feltételeit megfelelően hozzáigazítják az általános adatvédelmi rendelet indokolásban kifejtett rendelkezéseihez. A Hatóság figyelembe vette enyhítő körülményként azt, hogy az Importőr korábban nem követett el adatvédelmi jogsértést, ilyet a Hatóság nem állapított meg vele szemben. A Hatóság mérlegelésének eredményeként a vizsgált általános gyakorlattal kapcsolatban az eset összes körülménye alapján bírság kiszabása szükséges mind a speciális, mind a generális prevenció érdekében ahhoz, hogy a jövőben biztosítva legyen a személyes adatok védelméhez való jog érvényesülése.

A fentiek alapján a Hatóság a rendelkező rész szerint a maximálisan kiszabható összeg kb. három tízezredének (0,026%) megfelelő összegű adatvédelmi bírság kiszabását tartotta az eset összes körülménye alapján arányosnak és visszatartó erejűnek az Importőr vonatkozásában.

Dr. Péterfalvi Attila elnök c. egyetemi tanár