Hungarian Data Protection Authority: unsubscribing from newsletters and withdrawal of consent

(…)

1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu

Ügyszám: NAIH-3076-14/2024. Tárgy: jogsértést megállapító határozat Ügyintéző: […]

HATÁROZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […]nek (székhely: […]; cégjegyzékszám: […]; adószám: […]; jogi képviselője […] (székhely:

[…]; adószám: […]; eljáró ügyvéd: […]) és […] (székhelye: [...], eljáró ügyvéd: […]); a továbbiakban: Ügyfél) a […] (e-mail-címe: […]; a továbbiakban: Panaszos) által panaszolt törlési kérelme teljesítésének vizsgálatára a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendeletben (a továbbiakban: általános adatvédelmi rendelet) foglalt előírásoknak való megfeleléssel összefüggésben hivatalból indított adatvédelmi hatósági eljárásban az alábbi döntéseket hozza.

1. A Hatóság megállapítja, hogy az Ügyfél megsértette az általános adatvédelmi rendelet

6. cikk (1) bekezdés a) pontját, 12. cikk (3) bekezdését és a 25. cikk (1) bekezdését, ezért az Ügyfelet elmarasztalja. 2. A Hatóság utasítja az Ügyfelet, hogy a jelen határozat kézhezvételétől számított 30 napon belül tájékoztassa a Panaszost az e-mail-címének hírlevél-adatbázisból való törlésével kapcsolatos intézkedéseiről a határozat indokolásában írtaknak megfelelően.

A 2. pontban előírt intézkedés megtételét az Ügyfélnek a jelen határozat kézhezvételétől számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A 2. pont szerinti kötelezés nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16.) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. Az űrlap az alábbi linkről érhető el: https://naih.hu/kozig-hatarozat-birosagi-felulvizsgalata

INDOKOLÁS I. Előzmén yek (1) Bejelentés érkezett a Hatósághoz 2020. december 16. napján a román adatvédelmi hatóság közvetítésével, amelyben a Panaszos előadta, hogy több alkalommal próbált leiratkozni az Ügyfél hírleveléről az e-mail végén található leiratkozás gombra kattintva, de ennek ellenére a továbbiakban is megkapta az Ügyfél hírlevelét. A Panaszos 2019. szeptember 29-én az Ügyfél honlapján az erre szolgáló nyomtatvány kitöltésével is jelezte az Ügyfél felé, hogy a jövőben nem kíván hírleveleket kapni. A Panaszos nyilatkozata szerint 2019. október 17-én azt a választ kapta az Ügyfél adatvédelmi tisztviselőjétől a […] e-mail-címről, hogy a kérelmének megfelelően – hivatkozva az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontjára – törölték a hírlevél adatbázisból az e-mail-címét, leiratkoztatták a hírlevelekről, és a jövőben nem fog hírleveleket kapni az Ügyfél szolgáltatásaival összefüggésben. A Panaszos ennek ellenére továbbra is kapott hírleveleket, például 2019. október 26-án, október 29-én, november 1-jén is. (2) A román adatvédelmi hatóság 2020. december 11-én az általános adatvédelmi rendelet 56. cikke szerinti, a fő- és érintett felügyeleti hatóság azonosítására szolgáló eljárást kezdeményezett. Tekintettel arra, hogy az Ügyfél tevékenységi helye az […] szám alatt található, illetve arra, hogy határon átnyúló adatkezelést végez, valamint arra, hogy az Ügyfél szervezetén belül a személyes adatok kezelésének céljaira és eszközeire vonatkozó döntéseket Magyarországon hozzák meg, az Ügyfél tevékenységi központja Magyarországon található, ezért az általános adatvédelmi rendelet 4. cikk 23. pont b) alpontjára és a 4. cikk 22. pont a) alpontjában foglaltakra tekintettel a Hatóság jogosult főhatóságként eljárni. (3) A Panaszos bejelentésében foglaltak vizsgálatára az általános adatvédelmi rendelet 57. cikk (1) bekezdés f) pontja, valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 38. § (3) bekezdés a) pontja alapján vizsgálat indult NAIH-1478/2021. ügyiratszámon, melynek során a Hatóság több alkalommal nyilatkozattételre hívta fel az Ügyfelet. (4) A Hatóság a vizsgálata során arra a megállapításra jutott, hogy a személyes adatok kezelésével kapcsolatban jogsérelem következett be és az általános adatvédelmi rendelet rendelkezései alapján bírság kiszabásának van helye, ezért a vizsgálati eljárást az Infotv. 55. § (1) bekezdés ab) pontja alapján lezárta, és az Infotv. 60. § (3) bekezdés b) pontja alapján az ügyben 2024. február 1. napján hivatalból adatvédelmi hatósági eljárást indított, NAIH- 3076/2024. számon. II. Az eljárás men e te (5) A Hatóság a 2024. február 1. napján kelt, NAIH-3076-1/2024. ügyiratszámú végzésében tájékoztatta az Ügyfelet az adatvédelmi hatósági eljárás aznapi megindításáról, valamint nyilatkozattételre hívta fel, melynek keretében nyilatkoztatta arról is, hogy az Ügyfél a NAIH- 1478/2021. számon indult adatvédelmi vizsgálati eljárásban tett nyilatkozatait fenntartja-e, azokat kívánja-e kiegészíteni. (6) Az Ügyfél a 2024. február 21. napján érkeztetett és NAIH-3076-2/2024. ügyiratszámon iktatott, valamint a 2024. február 26. napján érkeztetett és NAIH-3076-3/2024. ügyiratszámon iktatott leveleiben válaszolt.

(7) A Hatóság továbbá a 2024. február 27. napján, NAIH-3076-4/2024. ügyiratszámon feljegyzést készített arról a ténymegállapításról, hogy a döntéshozatal során felhasználásra kerül a jelen ügyhöz kapcsolódó NAIH-1478/2021. számon indult vizsgálati eljárás teljes iratanyaga, mely iratanyag a feljegyzés mellékletét képezi. III. A tényállás tisz tázása (8) A NAIH-1478/2021. számú vizsgálati eljárás iratanyaga alapján az Ügyfél a Panaszos […] email-címét a vizsgálati eljárással összefüggésben kezelte, mely adatkezelés jogalapja jogi kötelezettség teljesítése. (9) Ezt meghaladóan a Panaszos ezen e-mail-címével regisztrált […]-fiókkal rendelkezik, melynek adatkezelési jogalapja és célja a Panaszossal a […]-fiók felhasználási feltételeinek mint megkötött szerződésnek a teljesítése. A Panaszos az Ügyfél utazási szolgáltatásait egyebekben nem vette igénybe. Az Ügyfél a Panaszos e-mail-címét hírlevélküldési céllal kezelte a Panaszos korábbi hozzájárulása alapján, azonban a jelen üggyel összefüggésben lefolytatott belső vizsgálat megállapításaira figyelemmel a Panaszos e-mail-címét az Ügyfél IT szolgáltató partnerei leiratkoztatták a hírlevélküldést végző rendszerekből, ezért ilyen adatkezelést az Ügyfél már nem végez. (10) Az Ügyfél nyilatkozata szerint a Panaszos aktív […] felhasználói fiókkal rendelkezik, ezért az Ügyfél az e-mail-címét nem törölte, hanem megszüntette ezen személyes adat hírlevélküldési célból való kezelését. (11) Az Ügyfél a nyilatkozata szerint belső vizsgálatot folytatott le, melynek alapján megállapította, hogy bár az online leiratkozási folyamat mindegyik alkalommal végbement, amikor a Panaszos leiratkozott, az Ügyfél a Panaszos e-mail-címét – annak kérelmét követően – leiratkoztatta a Panaszos részére megküldött megerősítésben foglaltak szerint, és az azzal kapcsolatos eseményeket naplózta is a kapcsolódó rendszer, azonban ezek az online leiratkozási kérelmek a hírlevelek küldését végző rendszer, az […] rendszer felé technikai hiba miatt nem jutottak el, és ezért az […] rendszerben úgy szerepelt a Panaszos e-mail-címe, mint aki aktív feliratkozással rendelkezik a 2019. július 30. napja (a Panaszos első leiratkozása) és 2021. május 11. napja (a Panaszos részére utoljára küldött hírlevél dátuma) közötti időszakban. (12) Az Ügyfél a fenti technikai problémát okozó hiba okainak feltárására az […] rendszer gyártóját vonta be. A belső vizsgálat során az […] gyártójától kapott visszajelzés alapján az Ügyfél megállapította, hogy a Panaszos e-mail-címéhez tartozó hozzájárulást a korábbi […] rendszerében ismeretlen személy – feltehetően egyéni mulasztás folytán – 2017. június 8. napján manuálisan megváltoztatta. (13) Az Ügyfélnél – nyilatkozata szerint – az eset idején a hírlevélfeliratkozásokat kezelő […] adatbázis a […] volt, és minden módosítást az Ügyfél a […] adatokon hajtott végre. Ez azt jelentette, hogy ezen manuális beavatkozás miatt a […] nevű hírlevél feliratkozásokat kezelő rendszerben történő leiratkozás nem jutott tovább az […] rendszerbe és ott nem idézett elő változást a leiratkozással összefüggésben. Emiatt történhetett meg, hogy a Panaszos érdemben nem tudott leiratkozni az Ügyfél hírleveleiről, valamint az, hogy az Ügyfél által végrehajtott törlés sem jelent meg az […] rendszerben. További információval az […] rendszer gyártója nem tudott szolgálni, és ezzel összefüggésben az Ügyfél sem tudott a továbbiakban érdemi vizsgálatot folytatni, így azt részben eredménytelenül zárta le. A belső vizsgálat eredményeit összefoglaló e-mail-levelezést az Ügyfél megküldte a Hatóság számára. Összefoglalva ennek eredményét, az Ügyfél a 2019. július 30. napja (a Panaszos első leiratkozása) és 2021. május 11. napja (a Panaszos részére utoljára küldött hírlevél dátuma) közötti időszakban technikai hibából adódóan küldött a Panaszos számára hírleveleket. Ezen technikai hiba oka a 2017. június 8. napján történt eset, amelyet az Ügyfél belső vizsgálata a már 2021-ben bekövetkezett időmúlás, személyzeti változások és rendszercsere miatt csak részben tudott feltárni. Az Ügyfél hangsúlyozni kívánta, hogy egy egyedi panaszesetről volt szó, az Ügyfél a hibát korrigálta, az eset óta eltelt időben az […] rendszert hírlevélküldésre már nem használja. (14) Az Ügyfél megküldte továbbá a közte és a Panaszos között zajlott levelezés román, és annak nem hiteles angol fordítását a Hatóság részére. A lefolytatott belső vizsgálat alapján az Ügyfél megállapította, hogy a Panaszos az alábbi időpontokban módosította a hírlevél feliratkozási státuszát az Ügyfél erre szolgáló online funkcióján keresztül:

- 30/07/2019 16:34

- 30/07/2019 16:35

- 20/09/2019 23:22

- 17/10/2019 15:12

- 04/11/2019 00:12 (15) Az Ügyfél a jelen adatvédelmi hatósági eljárásban a 2024. február 21. napján érkeztetett és NAIH-3076-2/2024. ügyiratszámon iktatott, valamint a 2024. február 26. napján érkeztetett és NAIH-3076-3/2024. ügyiratszámon iktatott leveleiben az alábbiakat adta elő: (16) Az Ügyfél a vizsgálati eljárás során tett nyilatkozatait továbbra is fenntartotta, azzal, hogy a Panaszos […] e-mail címmel regisztrált […]-fiókja jelenleg is aktív, és a Panaszos újabb panaszt vagy észrevételt a jelen eljárás tárgyát képező üggyel összefüggésben az Ügyfél számára nem juttatott el. (17) Az Ügyfél fenntartotta továbbá, hogy a hírlevélküldési szolgáltatások kapcsán adatkezelést a Panaszos tekintetében, a Panaszos leiratkozási kérelmének teljesítését követően továbbra sem végez. Az Ügyfél a hírlevél küldését végző rendszer technikai hibája kapcsán lefolytatta a szükséges vizsgálatot, amelynek lezárását követően megállapításra került, hogy a technikai hiba mindössze egy érintettnél jelentkezett, tehát a probléma nem volt rendszerszintű. Ezen túlmenően, az Ügyfélnek nincs tudomása arról, hogy a Panaszos oldalán kár merült volna fel, továbbá a vizsgálat lezárása óta eltelt időszakban hasonló eset nem fordult elő. (18) Az Ügyfél a pénzügyi helyzetének tisztázására vonatkozóan csatolta a Hatóság számára a 2020. április 1-jétől 2021. március 31-ig, a 2021. április 1-jétől 2022. március 31-ig és a 2022. április 1-jétől 2023. március 31-ig tartó időszakokra vonatkozó, általános üzleti évet záró éves beszámolóit. IV. Alk almaz ott jog szabá ly i ren de lkez ések (19) Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben meghatározott kiegészítésekkel kell alkalmazni. (20) Az Infotv. 60. § (3) bekezdése alapján a Hatóság hivatalból adatvédelmi hatósági eljárást indít, ha vizsgálata alapján megállapítja, hogy a személyes adatok kezelésével kapcsolatban jogsérelem következett be vagy annak közvetlen veszélye áll fenn és az általános adatvédelmi rendelet rendelkezései alapján bírság kiszabásának van helye.

(21) Az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 7. § értelmében az adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni. Az Ákr. 103. § (1) bekezdése szerint a hivatalból indult hatósági eljárásban az Ákr.-nek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az Ákr. 103 és 104. §-ában foglalt eltérésekkel kell alkalmazni. (22) Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján: „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.” (23) Az általános adatvédelmi rendelet 4. cikk 2. pontja értelmében: „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.” (24) Az általános adatvédelmi rendelet 4. cikk 7. pontja szerint: „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.” (25) Az általános adatvédelmi rendelet 4. cikk 11. pontja alapján: „az érintett hozzájárulása”: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez.” (26) Az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontja értelmében: „A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez.

(27) Az általános adatvédelmi rendelet 7. cikk (3) bekezdése szerint: „Az érintett jogosult arra, hogy hozzájárulását bármikor visszavonja. A hozzájárulás visszavonása nem érinti a hozzájáruláson alapuló, a visszavonás előtti adatkezelés jogszerűségét. A hozzájárulás megadása előtt az érintettet erről tájékoztatni kell. A hozzájárulás visszavonását ugyanolyan egyszerű módon kell lehetővé tenni, mint annak megadását.” (28) Az általános adatvédelmi rendelet 12. cikk (3) bekezdése alapján az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri.

(29) Az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontja értelmében az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll: b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja. (30) Az általános adatvédelmi rendelet 25. cikk (1) bekezdése szerint az adatkezelő a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket – például álnevesítést – hajt végre, amelyek célja egyrészt az adatvédelmi elvek, például az adattakarékosság hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába. (31) Az általános adatvédelmi rendelet 58. cikk (2) bekezdése alapján a felügyeleti hatóság korrekciós hatáskörében eljárva például b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel. (32) Az Infotv. 71. § (2) bekezdése értelmében: „A Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja.”

V. Döntés (33) Az általános adatvédelmi rendelet fogalommeghatározásai alapján a Panaszos e-mail-címe személyes adatnak, a személyes adaton elvégzett bármely művelet, így annak felhasználása hírlevelek küldése céljából, adatkezelésnek minősül. (34) Jelen ügyben a Panaszos azt kifogásolta, hogy 2019. szeptember 29-én az Ügyfél honlapján, az erre szolgáló nyomtatvány kitöltésével jelezte az Ügyfél felé, hogy a jövőben nem kíván hírleveleket kapni. Erre 2019. október 17-én azt a választ kapta az Ügyfél adatvédelmi tisztviselőjétől, a […] e-mail-címről, hogy a kérelmének megfelelően hivatkozva az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontjára – törölték a hírlevél adatbázisból az e-mail-címét, leiratkoztatták a hírlevelekről, és a jövőben nem fog hírleveleket kapni az Ügyfél szolgáltatásaival összefüggésben. A Panaszos ennek ellenére továbbra is kapott hírleveleket, például 2019. október 26-án, október 29-én, november 1-jén is. (35) Az Ügyfél által hivatkozott, az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontja szerint az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja. (36) Az Ügyfél – általa is elismerten – a Panaszos e-mail-címét hírlevélküldési céllal kezelte a Panaszos korábbi – az Ügyfél nyilatkozata szerint még az általános adatvédelmi rendelet alkalmazandóvá válását megelőzően adott – hozzájárulása alapján. (37) A Hatóság jelen eljárásban nem vizsgálta a Panaszos korábbi hozzájárulása megadásának jogszerűségét, és annak az általános adatvédelmi rendelet alkalmazandóvá válását követően az általános adatvédelmi rendeletnek való megfelelőségét sem, hanem azt, hogy az Ügyfél milyen módon tett eleget a Panaszos azon kérelmének, hogy az Ügyfél ne kezelje e-mail-címét hírlevélküldési célból. (38) A Panaszos több alkalommal próbált leiratkozni az Ügyfél hírleveléről az e-mail végén található leiratkozás gombra kattintva, illetőleg 2019. szeptember 29-én az Ügyfél honlapján az erre szolgáló nyomtatvány kitöltésével is jelezte az Ügyfél felé, hogy a jövőben nem kíván hírleveleket kapni, kifejezvén azt, hogy visszavonja korábban megadott hozzájárulását az email-címe hírlevélküldési célú felhasználásához. (39) Ennek, illetőleg az Ügyfél Panaszosnak küldött tájékoztatása ellenére – szintén az Ügyfél által elismert módon, technikai hibából adódóan – az Ügyfél továbbra is felhasználta a Panaszos e-mail-címét hírlevélküldési célból, például 2019. október 26-án, október 29-én, illetőleg november 1-jén. (40) A korábban a Panaszos hozzájárulása alapján kezelt, felhasznált e-mail-címe kapcsán az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontja szerinti érintetti hozzájárulásnak az általános adatvédelmi rendelet szerinti definíciója szerint megfelelő tájékoztatáson kell alapulnia, önkéntesnek kell lennie, és az érintett akaratának konkrét, egyértelmű, nyilatkozat vagy megerősítést félreérthetetlenül kifejező cselekedet útján történő kinyilvánításának kell lennie. (41) További követelmény, hogy hozzájáruláson alapuló adatkezelés esetében – figyelemmel az általános adatvédelmi rendelet 7. cikk (3) bekezdésére – biztosítani kell, hogy az érintett a hozzájárulását bármikor vissza tudja vonni ugyanolyan egyszerű módon, mint ahogyan a hozzájárulását megadta, és erre tekintettel jogosult arra is – figyelemmel az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontjára –, hogy az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat.

(42) Ezen követelmények közül a Hatóság jelen eljárásban – a fentiekben írtak szerint nem vizsgálva a hozzájárulás megadásával, és a hozzájárulásnak az általános adatvédelmi rendelet alkalmazandóvá válásával az általános adatvédelmi rendeletnek való megfelelőségével kapcsolatosan főbb körülményeket – azt vizsgálta, hogy az Ügyfél hogyan biztosította a Panaszos vonatkozásában az általános adatvédelmi rendelet 7. cikk (3) bekezdése szerinti azon követelményt, hogy biztosítani kell, hogy az érintett a hozzájárulását bármikor vissza tudja vonni – ugyanolyan egyszerű módon, mint ahogyan a hozzájárulását megadta. (43) Jelen ügyben megállapítható, hogy a Panaszos korábbi – adottnak vett – hozzájárulása alapján használta fel az Ügyfél a Panaszos e-mail-címét hírlevélküldés céljából, mely hozzájárulását azonban többször, több formában – leiratkozás, majd külön nyomtatvány beküldése útján – eredménytelenül próbálta visszavonni, az Ügyfél nyilatkozata szerint az alábbi időpontokban:

- 30/07/2019 16:34

- 30/07/2019 16:35

- 20/09/2019 23:22

- 17/10/2019 15:12

- 04/11/2019 00:12 (44) Mindezek ellenére a Panaszos 2021. május 11. napján is kapott még hírlevelet az e-mailcímére. (45) Ez alapján megállapítható tehát, hogy az Ügyfél, miután a Panaszos több alkalommal és formában kifejezte, hogy visszavonja hozzájárulását ahhoz, hogy e-mail-címét hírlevélküldés céljából kezelje az Ügyfél, az Ügyfél a Panaszos hozzájárulása, azaz megfelelő jogalap hiányában kezelte a Panaszos személyes adatát – e-mail-címét – hírlevelek küldése céljából, megsértve ezzel az általános adatvédelmi rendelet 6. cikk (1) bekezdés a)

pontját, azt követően, hogy a Panaszos visszavonta a hozzájárulását. Ez a jogsértő állapot a Panaszos első leiratkozásának napja, azaz 2019. július 30. napja és a Panaszosnak utoljára küldött hírlevél napja, azaz 2021. május 11. napja közötti időszakban állt fenn. (46) Az Ügyfél, bár a Panaszos nem személyes adatai törlése iránti kérelemmel fordult az Ügyfélhez, a Panaszos hírlevelekről leiratkozó kéréseit törlési kérelemként minősítette, és ennek megfelelően arról tájékoztatta a Panaszost, hogy a hírlevél adatbázisából törölte email-címét, így a jövőben nem fog hírleveleket kapni. (47) Ennek ellenére az Ügyfél által, iratokkal is megerősítetten, nem került sor ténylegesen a Panaszos e-mail-címének törlésére, több hírlevelet is kapott a tájékoztatás ellenére, melynek az volt az oka, hogy az Ügyfél által alkalmazott, hírlevélküldésre szolgáló […] nevű rendszerben technikai hiba lépett fel. Ezt az Ügyfél által lefolytatott belső vizsgálat tárta fel, mely vizsgálattal kapcsolatos levelezést az Ügyfél a Hatóság rendelkezésére bocsátotta. (48) Ezek alapján megállapítható, hogy az Ügyfél a Panaszos 2019. szeptember 29-én küldött, nem kifejezetten törlési, de személyes adatai – e-mail-címe – kezelését érintő érintetti kérelmére az egy hónapos határidőn belül, 2019. október 17-én kapott választ. Ebben a tekintetben az Ügyfél nem követett el jogsértést, nem sértette meg az általános adatvédelmi rendelet 12. cikk (3) bekezdését, mivel határidőben tájékoztatta a Panaszos érintetti kérelme kapcsán tett intézkedéseiről. (49) Az intézkedésről ugyanakkor az Ügyfél már téves tájékoztatást adott, és a tájékoztatásával ellentétben nem törölte a Panaszos e-mail-címét a hírlevél adatbázisából, azt továbbra is kezelte hírlevelek küldése céljából, mivel a Panaszos továbbra is kapott elektronikus leveleket. Emiatt a Hatóság megállapítja, hogy az Ügyfél megsértette az általános adatvédelmi rendelet 12. cikk (3) bekezdését, mivel téves tájékoztatást adott az általa tett intézkedésekről. (50) A Hatóság rendelkezésére álló információk alapján megállapítható az is, hogy az Ügyfél nem nyújtott tájékoztatást a Panaszosnak arról, miután ténylegesen törölte a hírlevéladatbázisából e-mail-címét. Az Ügyfél ebben a tekintetben is megsértette az általános adatvédelmi rendelet 12. cikk (3) bekezdését. Erre tekintettel szükséges az Ügyfélnek tájékoztatást nyújtani a Panaszosnak a törlési kérelem teljesítésével kapcsolatos intézkedéseiről. (51) A személyes adatok nem megfelelő törlésének indokaként az Ügyfél a hírlevélküldésre szolgáló […] nevű rendszerben bekövetkezett technikai hibára hivatkozott.

(52) Ezzel kapcsolatban az általános adatvédelmi rendelet 25. cikk (1) bekezdése előírja, hogy az adatkezelőnek kell meghoznia azokat a hatékony technikai és szervezési intézkedéseket, amelyek révén az általános adatvédelmi rendelet rendelkezéseinek érvényesülése biztosítható. Az általános adatvédelmi rendelet (59) preambulumbekezdése értelmében továbbá az adatkezelőnek olyan eljárásrendet szükséges kialakítania, valamint olyan informatikai rendszert működtetnie, hogy megfelelő módon biztosítani tudja az érintetti kérelmek teljesítését, jelen ügyben a hozzájárulás visszavonását, személyes adatok törlését. (53) Az általános adatvédelmi rendelet (59) preambulumbekezdése szerint ugyanis az érintettek az általános adatvédelmi rendeletben biztosított jogainak gyakorlását megkönnyítő intézkedéseket kell biztosítani, ideértve olyan mechanizmusok biztosítását, amely által többek között az érintettnek lehetősége van díjmentesen kérelmezni, illetve adott esetben megkapni különösen a személyes adatokhoz való hozzáférést, azok helyesbítését és törlését, valamint gyakorolja a tiltakozáshoz való jogát. Az adatkezelő ennek megfelelően biztosítja a kérelmek elektronikus benyújtását lehetővé tevő eszközöket is különösen, ha a személyes adatok kezelése elektronikus úton történik. Az adatkezelőt kötelezni kell arra, hogy az érintett kérelmére indokolatlan késedelem nélkül, de legkésőbb egy hónapon belül válaszoljon, és ha az adatkezelő az érintett bármely kérelmének nem tesz eleget, indokolnia kell azt. (54) A technikai hibára való hivatkozás azonban nem mentesíti az Ügyfelet az adatkezelői felelősség alól. Ebből következően jelen esetben az Ügyfélnek, még ha nyilatkozata szerint nem is több személyt érintő probléma történt, akkor is olyan szoftvert szükséges alkalmaznia, amely révén a személyes adatok törlése ténylegesen megvalósul. Mindezek mellett a rendszernek arra is alkalmasnak kell lennie, hogy az érintett közvetlenül le tudjon iratkozni a nem kívánt hírlevelekről. Ez különösen fontos egy olyan nagyszámú ügyféli körrel rendelkező adatkezelő esetében, mint amilyen az Ügyfél. (55) Mindezek alapján a Hatóság hivatalból megállapítja, hogy az Ügyfél azáltal, hogy általa is elismert módon hosszú ideig technikai problémákkal rendelkező rendszert használt, melynek következtében a Panaszos e-mail-címét nem törölte az Ügyfél hírlevéladatbázisából, az Ügyfél nem tette meg a szükséges technikai intézkedéseket az érintetti kérelmek biztosítása érdekében, megsértve ezzel az általános adatvédelmi rendelet 25. cikk (1) bekezdését a Panaszos első leiratkozásának napja, azaz 2019. július 30. napja és a Panaszosnak utoljára küldött hírlevél napja, azaz 2021. május 11. napja közötti időszakban (56) Tekintettel ugyanakkor arra, hogy az adatvédelmi hatósági eljárás alatt az Ügyfél a nyilatkozata szerint törölte a Panaszos e-mail-címét a hírlevéladatbázisából, és, hogy az eset óta eltelt időben az […] rendszert hírlevélküldésre már nem használja, a Panaszos e-mailcímének törlése vonatkozásában intézkedés megtételére nincs szükség. VI. Jogköv etkezmé nyek (57) A Hatóság a hivatalból indított adatvédelmi hatósági eljárásban az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapítja, hogy az Ügyfél megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontját a Panaszos első leiratkozásának napja, azaz 2019. július 30. napja és a Panaszosnak utoljára küldött hírlevél napja, azaz 2021. május 11. napja közötti időszakban, a 12. cikk (3) bekezdését és a 25. cikk (1) bekezdését. (58) A Hatóság a hivatalból indított adatvédelmi hatósági eljárásban az általános adatvédelmi rendelet 58. cikk (2) bekezdés c) pontja alapján utasítja az Ügyfelet, hogy az általános adatvédelmi rendelet 12. cikkének megfelelően tájékoztassa a Panaszost az e-mail-címének hírlevél-adatbázisból való törlésével kapcsolatos intézkedéseiről, a tényleges törlés tényéről.

(59) Mindezek alapján a Hatóság a rendelkező részben foglaltak szerint döntött. VII. Egyéb k érdés e k: (60) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (61) A Hatóság jelen döntése az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A döntés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése és (4) bekezdés d) pontja, illetve a 114. § (1) bekezdése alapján a döntéssel szemben közigazgatási per útján van helye jogorvoslatnak.

* * * (62) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pontjának aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja szerint olyan jogvitában, amelyben a törvényszék kizárólagosan illetékes, a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (63) A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi CXXX. törvény 604. §-a szerint alkalmazandó, a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló 2023. évi CIII. törvény 19. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (64) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. (65) A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (66) Ha az előírt kötelezettség teljesítését az Ügyfél megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy az Ügyfél a kötelezettségét határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha az Ügyfél a Hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2024. december 13. Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár