Орган по защите данных Венгрии (NAIH): невыполнение запроса на удаление и нарушение обязанности информирования

1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu

Ügyszám: NAIH-7905-1/2025. NAIH-1510/2024. NAIH-9387/2023. Tárgy: kérelemnek részben helyt adó határozat Ügyintéző: […]

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […]

kérelmező ([…] a továbbiakban: Kérelmező) kérelmére a […]-vel ([…]; a továbbiakban:

Kérelmezett) szemben a Kérelmező törlési joga tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntést hozza:

I. A Hatóság a határozatában Kérelmező a Kérelmező kérelmének részben helyt ad és megállapítja, hogy a Kérelmezett a Kérelmező személyes adataival összefüggésben folytatott adatkezelésével megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet és GDPR) 17. cikk (1) bekezdés c) pontját, ezért a Hatóság a Kérelmezettet elmarasztalja.

II. A Hatóság a határozatában a Kérelmező kérelmét abban a részben, hogy utasítsa a Kérelmezettet a Kérelmező személyes adatainak a törlésére elutasítja.

III. A Hatóság a határozatában hivatalból kötelezi a Kérelmezettet, hogy a bírósági felülvizsgálat kezdeményezésére irányadó keresetindítási határidő lejártát, illetve felülvizsgálat kezdeményezése esetén a bíróság döntését követő 3 napon belül adjon tájékoztatást a Kérelmezőnek a GDPR 17. cikk alapján benyújtott törlési kérelme teljesítése, valamint a GDPR 12. cikk (2)- (3) bekezdése alapján a Kérelmező nem törlendő adatainak kezelése vonatkozásában. A III. pont szerinti kötelezettség teljesítését a Kérelmezettnek az intézkedés megtételétől számított 15 napon belül kell írásban – az azt alátámasztó bizonyítékok, azaz a Kérelmezőnek írt levél, és annak feladását igazoló irat másolatának előterjesztésével együtt – igazolnia a Hatóság felé. A kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását.

A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

1 A közigazgatási per kezdeményezésére a NAIH_KO1 elnevezésű űrlap szolgál: NAIH KO1 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. Az űrlap hozzáférhető és letölthető a Hatóság honlapjáról: https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata

INDOKOLÁS

I. Eljárás menete

évi CL. törvény (a továbbiakban: Ákr.) 44. § -ra hivatkozással küldött NAIH-9387-2/2023. sz. végzésében hívta fel, mivel a kérelme nem tartalmazta az Infotv. 60. § (5) bekezdés d) pont szerinti kötelező tartalmi elemeit. A Kérelmező a Hatóság felhívását a Hatósághoz 2023. november 23. napján érkezett nyilatkozatában teljesítette. (3) A Hatóság a Kérelmezettet az Ákr. 63. §-ra hivatkozással felhívta nyilatkozattételre a tényállás tisztázása érdekében - a NAIH-1510-1/2024. számon iktatott iratban-, melyre a Kérelmezett határidőben válaszolt a NAIH-1510-3/2024. sz.-on iktatott iratban. (4) A Hatóság a Kérelmezőt és a Kérelmezettet a NAIH-1510-4/2024. sz. és NAIH-1510-5/2024.

iktatott iratokban értesítette a bizonyítási eljárás befejezésről, nyilatkozattételi és iratbetekintési jogukról, azonban sem a Kérelmező, sem a Kérelmezett nem élt ezen jogukkal.

II. Tényállás

II.1. A Kérelmező kérelme és hiánypótlása (NAIH-9387/2023. sz. és NAIH-1510-2/2024. sz.

irat) (5) A Kérelmező kérte, hogy a Hatóság marasztalja el a Kérelmezettet a jogellenes adatkezelése miatt, továbbá kötelezze a Kérelmező személyes adatainak a törlésére. (6) A Kérelmező arra hivatkozott, hogy a Kérelmezett a kérése ellenére nem törli a személyes adatait, és e-maileket küldözget, annak ellenére, hogy a Kérelmező leiratkozott a hírlevelekről, továbbá ezután 2023. október 12-én is jelezte e-mailben a Kérelmezett felé, hogy azt szeretné, ha a Kérelmezett a rendszeréből minden személyes adatát törölné. (7) A Kérelmező az állításai alátámasztására becsatolta a Kérelmezett által küldött, kifogásolt emailek másolatát, továbbá a személyes adatai törlésére irányuló érintetti kérelme másolatát. Ezek szerint a Kérelmező 2023. október 12-én a következő kéréssel fordult a Kérelmezetthez: „[…]Legyenek kedvesek az adataimat véglegesen törölni a rendszerükből,[…]”. Erre válaszul a Kérelmezett a 2023. október 17-én küldött e-mailben arról tájékoztatta a Kérelmezőt, hogy „[…] Kérésének megfelelően adatait töröljük a rendszerünkből, azonban szeretném felhívni a figyelmét, hogy levelünk elküldését követően egy kérdőív még kiküldésre kerül Önnek, amit leállítani nem tudunk. Emiatt szíves elnézést kérjük!”.

II.2. A Kérelmezett nyilatkozata (NAIH-1510-3/2024.sz. irat)

(8) A Kérelmezett arról nyilatkozott, hogy a nyilatkozattétele időpontjában (2024. február 22.) a Kérelmező törlési igényét már teljeskörűen teljesítette, a Kérelmező személyes adatait jelenleg csak „az érintetti igények érvényesítésével kapcsolatos kommunikáció céljával” összefüggésben kezeli.

(9) A Kérelmezett továbbá előadta, hogy a Kérelmező 2023.október 12. napján a személyes adatai kezelésével kapcsolatos törlési kérelmet nyújtott be. A Kérelmezett munkatársa

2023. október 16-án feldolgozta a Kérelmező kérelmét. A Kérelmezett tájékoztatta a Kérelmezőt a kérelmére adott válaszlevelében (2023. október 17-én), hogy az adatai törléséről intézkedik, valamint felhívta a figyelmét, hogy a beállított automatizmusok miatt még egy értékelést kérő kérdőívet fog kapni. A Kérelmezett nyilatkozata szerint a teljes(nek vélt) törlést 2023. október 18-án elvégezte.

(10) A Kérelmezett előadta, hogy a fentiekben hivatkozott „teljes” törlés adminisztrációs hiba miatt 2023. október 18-án mégsem történt meg, csupán a részleges törlés történt meg, ugyanis az adatbázisa úgynevezett „vásárlásokhoz kötött kiküldési állomány”-ából a törlést elmulasztotta a Kérelmezett munkatársa. A mulasztást a Kérelmezett korrigálta utólag, és a teljes törlést 2024. február 8-án elvégezte. (11) A Kérelmezett képernyőmentésekkel igazolta a hibajegykezelő-rendszerében a 2023.

október 16-án rögzített Kérelmező törlési igényét, és a Kérelmezett 2023. október 18-án elvégzett törlésének végrehajtását, valamint a Kérelmezett 2024. február 8-án elvégzett úgynevezett „vásárlásokhoz kötött kiküldési állomány”-ában törlési műveletének végrehajtását. (12) Az esettel összefüggésben a Kérelmezett továbbá előadta, hogy a rendszere és adatbázisa időközben olyan fejlesztésen esett át, ami biztosítja, hogy ezután a törlések minden adatállományban automatikusan végrehajtódnak, tehát az érintetti kérelmeket maradéktalanul teljesíteni tudja. (13) A Kérelmezett a Hatóságot tájékoztatta arról, hogy a Kérelmező személyes adatait az alábbi adatkezelési célokból kezelte:

Adatkezelés célja

Jogalap

Kezelt adatok köre

Tervezett adatkezelési határidő

Adat forrása

Megrendelések teljesítéséhez kapcsolódó adatkezelés

Szerződés teljesítése (GDPR 6. cikk (1) bekezdés b) pont)

Név, szállítási cím, telefonszám, generált e-mail, cím, csomagszám

A szerződés megszűnéséig

Érintett

Ügyfélszolgálati tájékoztatás

Adatkezelő jogos érdekének érvényesítése (GDPR 6. cikk (1) bekezdés f) pont)

Név, e-mail cím, rendeléssel és vásárlással kapcsolatos információk, az ügyfél által megadott adatok

A bejelentésre adott végső választól számított 4 évet követő első március utolsó munkanapja

Érintett

Szolgáltatások hirdetése, információ nyújtása partnereknek, hírlevél küldése

Adatkezelő jogos érdekének érvényesítése (GDPR 6. cikk (1) bekezdés f) pont)

Név, cégnév, email cím, telefonszám

Az érintett jogosnak ítélt tiltakozásáig

Vásárlást követően más adatkezelési célra átminősített adat GDPR rendelettel összefüggő adatkezelés

Adatkezelőre vonatkozó jogi kötelezettség teljesítése (GDPR 6. cikk (1) bekezdés c) pont)

Név, adatvédelmi azonosító, érintetti kérelem, dátuma, típusa, tartalma, érintetti kérelem eredménye, incidens dátuma, dokumentációja, Nem selejtezendő

Érintett eredménye

II.3. A megállapított tényállás

(14) A Kérelmező 2023.október 12. napján a személyes adatai kezelésével kapcsolatos törlési kérelmet nyújtott be, melyet adminisztrációs hiba miatt a Kérelmezett csak a jelen eljárás megindulása után, annak hatására, 2024. február 8-án teljesített.

III. Alkalmazott jogszabályi rendelkezések

(15) Az Infotv. 2. § (2) bekezdése szerint a GDPR az ott megjelölt rendelkezésekben meghatározott kiegészítésekkel kell alkalmazni. (16) Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít. (17) Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az Infotv.-ben meghatározott eltérésekkel. (18) Az Ákr. 35. § (1) bekezdése szerint a kérelem az ügyfél olyan írásban vagy személyesen előterjesztett nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében. (19) A GDPR 4. cikk 1. „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. (20) A GDPR 4. cikk 2. pontja szerint „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés. (21) A GDPR 4. cikk 7. pontja az adatkezelő fogalmát úgy határozza meg, hogy „az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.” (22) A GDPR 6. cikk (1) bekezdés alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;

c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. (2) Az e rendeletben foglalt, adatkezelésre vonatkozó szabályok alkalmazásának kiigazítása érdekében, a tagállamok az (1) bekezdés c) és e) pontjának való megfelelés céljából fenntarthatnak vagy bevezethetnek konkrétabb rendelkezéseket, amelyekben pontosabban meghatározzák az adatkezelésre vonatkozó konkrét követelményeket, és amelyekben további intézkedéseket tesznek az adatkezelés jogszerűségének és tisztességességének biztosítására, ideértve a IX. fejezetben meghatározott egyéb konkrét adatkezelési helyzeteket is. (3) Az (1) bekezdés c) és e) pontja szerinti adatkezelés jogalapját a következőknek kell megállapítania: a) az uniós jog, vagy b) azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik. Az adatkezelés célját e jogalapra hivatkozással kell meghatározni, illetve az (1) bekezdés e) pontjában említett adatkezelés tekintetében annak szükségesnek kell lennie valamely közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához. Ez a jogalap tartalmazhat az e rendeletben foglalt szabályok alkalmazását kiigazító rendelkezéseket, ideértve az adatkezelő általi adatkezelés jogszerűségére irányadó általános feltételeket, az adatkezelés tárgyát képező adatok típusát, az érintetteket, azokat a jogalanyokat, amelyekkel a személyes adatok közölhetők, illetve az ilyen adatközlés céljait, az adatkezelés céljára vonatkozó korlátozásokat, az adattárolás időtartamát és az adatkezelési műveleteket, valamint egyéb adatkezelési eljárásokat, így a törvényes és tisztességes adatkezelés biztosításához szükséges intézkedéseket is, ideértve a IX. fejezetben meghatározott egyéb konkrét adatkezelési helyzetekre vonatkozóan. Az uniós vagy tagállami jognak közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal. (4) Ha az adatgyűjtés céljától eltérő célból történő adatkezelés nem az érintett hozzájárulásán vagy valamely olyan uniós vagy tagállami jogon alapul, amely szükséges és arányos intézkedésnek minősül egy demokratikus társadalomban a 23. cikk (1) bekezdésében rögzített célok eléréséhez, annak megállapításához, hogy az eltérő célú adatkezelés összeegyeztethető-e azzal a céllal, amelyből a személyes adatokat eredetileg gyűjtötték, az adatkezelő többek között figyelembe veszi: a) a személyes adatok gyűjtésének céljait és a tervezett további adatkezelés céljai közötti esetleges kapcsolatokat; b) a személyes adatok gyűjtésének körülményeit, különös tekintettel az érintettek és az adatkezelő közötti kapcsolatokra;

c) a személyes adatok jellegét, különösen pedig azt, hogy a 9. cikk szerinti személyes adatok különleges kategóriáinak kezeléséről van-e szó, illetve, hogy büntetőjogi felelősség megállapítására és bűncselekményekre vonatkozó adatoknak a 10. cikk szerinti kezeléséről van-e szó; d) azt, hogy az érintettekre nézve milyen esetleges következményekkel járna az adatok tervezett további kezelése; e) megfelelő garanciák meglétét, ami jelenthet titkosítást vagy álnevesítést is. (23) A GDPR 12. cikk (1)- (6) bekezdései alapján:

(1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (2) Az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. (3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. (4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. (5) A 13. és 14. cikk alapján rendelkezésre bocsátott információkat és a 15-22. és 34. cikk alapján végzett minden tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy - különösen ismétlődő jellege miatt túlzó, az adatkezelő: - a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségek figyelembevételével észszerű összegű díjat számíthat fel, vagy * - megtagadhatja a kérelem alapján történő intézkedést. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli. (6) A 11. cikk sérelme nélkül, ha az adatkezelőnek megalapozott kétségei vannak a 15-21. cikk szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti. (24) A GDPR 17. cikke: A törléshez való jog („az elfeledtetéshez való jog”)

(1) Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:

a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték; b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja; c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezelés ellen, és * nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen; d) a személyes adatokat jogellenesen kezelték; e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell; f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor. (2) Ha az adatkezelő nyilvánosságra hozta a személyes adatot, és az (1) bekezdés értelmében azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az észszerűen elvárható lépéseket - ideértve technikai intézkedéseket - annak érdekében, hogy tájékoztassa az adatokat kezelő adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését. (3) Az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges: a) a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából; b) a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából; c) a 9. cikk (2) bekezdése h) és i) pontjának, valamint a 9. cikk (3) bekezdésének megfelelően a népegészségügy területét érintő közérdek alapján; d) a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben az (1) bekezdésben említett jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez. (25) GDPR 21. cikk: A tiltakozáshoz való jog (1) Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.

(2) Ha a személyes adatok kezelése közvetlen üzletszerzés érdekében történik, az érintett jogosult arra, hogy bármikor tiltakozzon a rá vonatkozó személyes adatok e célból történő kezelése ellen, ideértve a profilalkotást is, amennyiben az a közvetlen üzletszerzéshez kapcsolódik. (3) Ha az érintett tiltakozik a személyes adatok közvetlen üzletszerzés érdekében történő kezelése ellen, akkor a személyes adatok a továbbiakban e célból nem kezelhetők. (4) Az (1) és (2) bekezdésben említett jogra legkésőbb az érintettel való első kapcsolatfelvétel során kifejezetten fel kell hívni annak figyelmét, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni. (5) Az információs társadalommal összefüggő szolgáltatások igénybevételéhez kapcsolódóan és a 2002/58/EK irányelvtől eltérve az érintett a tiltakozáshoz való jogot műszaki előírásokon alapuló automatizált eszközökkel is gyakorolhatja. (6) Ha a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően tudományos és történelmi kutatási célból vagy statisztikai célból kerül sor, az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból tiltakozhasson a rá vonatkozó személyes adatok kezelése ellen, kivéve, ha az adatkezelésre közérdekű okból végzett feladat végrehajtása érdekében van szükség. (26) A GDPR (47) preambulumbekezdése alapján az adatkezelő - ideértve azt az adatkezelőt is, akivel a személyes adatokat közölhetik - vagy valamely harmadik fél jogos érdeke jogalapot teremthet az adatkezelésre, feltéve hogy az érintett érdekei, alapvető jogai és szabadságai nem élveznek elsőbbséget, figyelembe véve az adatkezelővel való kapcsolata alapján az érintett észszerű elvárásait. Az ilyen jogos érdekről lehet szó például olyankor, amikor releváns és megfelelő kapcsolat áll fenn az érintett és az adatkezelő között, például olyan esetekben, amikor az érintett az adatkezelő ügyfele vagy annak alkalmazásában áll. A jogos érdek fennállásának megállapításához mindenképpen körültekintően meg kell vizsgálni többek között azt, hogy az érintett a személyes adatok gyűjtésének időpontjában és azzal összefüggésben számíthat-e észszerűen arra, hogy adatkezelésre az adott célból kerülhet sor. Az érintett érdekei és alapvető jogai elsőbbséget élvezhetnek az adatkezelő érdekével szemben, ha a személyes adatokat olyan körülmények között kezelik, amelyek közepette az érintettek nem számítanak további adatkezelésre. Mivel a jogalkotó feladata, hogy jogszabályban határozza meg, hogy a közhatalmi szervek milyen jogalapon kezelhetek személyes adatokat, az adatkezelő jogszerű érdekét alátámasztó jogalapot nem lehet alkalmazni, a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. Személyes adatoknak a csalások megelőzése céljából feltétlenül szükséges kezelése szintén az érintett adatkezelő jogos érdekének minősül. Személyes adatok közvetlen üzletszerzési célú kezelése szintén jogos érdeken alapulónak tekinthető. (27) A GDPR 58. cikk (2) bekezdés b) és d) pontja alapján a felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit. d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel. (28) A GDPR 77. cikk (1) bekezdés alapján az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál - különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban -, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.

IV. Döntés

IV.1. A Kérelmező személyes adatai, adatkezelés, adatkezelő és vizsgált adatkezelés

(29) A Kérelmező neve, szállítási címe, címe, e-mail címe, csomagszáma, rendelésével kapcsolatos adatok, vele folytatott levelezés a Kérelmező személyes adatai a GDPR 4. cikk 1. pontja alapján, és ezen adatok tárolása, felhasználása adatkezelésnek minősül a GDPR 4. cikk 2. pontja alapján. (30) A Kérelmező (13) bekezdésben említett személyes adatain végzett adatkezelés célját, eszközeit a Kérelmezett határozta és határozza meg, ezért a GDPR 4. cikk 7. pontja alapján adatkezelőnek minősül. (31) A Hatóság a jelen eljárásban, mely kérelemre indult, azt vizsgálja, hogy a Kérelmezett eleget tett-e a Kérelmező érintetti kérelmének, és törölte-e azokat a személyes adatokat, melyeket a Kérelmező törlési kérelme alapján törölnie kellett.

IV.2. A Kérelmező érintetti kérelme

(32) A Kérelmezett által előadottak szerint a Kérelmező 2023. október 12. napján benyújtott érintetti kérelmét a „vásárlásokhoz kötött kiküldési állomány”-ban felmerült adminisztrációs hiba miatt csak 2024. február 8-án teljesítette, a Hatóság végzésének kézhezvételét követően lefolytatott belső vizsgálat eredményeként. (33) A Hatóság az adminisztrációs hibával kapcsolatban az alábbiakat állapítja meg

A (30) bekezdésben megállapítottak szerint a Kérelmezett az adatkezelő a vizsgált eljárásban, tehát az adatkezelő az, aki megszervezi az adatkezelést, dönt az adatkezelés célját és eszközeit illetően, és biztosítja a GDPR előírásainak megfelelő adatkezelést az adatkezelés teljes folyamata alatt, és ezt a GDPR 5. cikk (2) bekezdés alapján igazolni is tudja. A jelen esetben tehát az adminisztrációs hiba nem mentesíti az adatkezelőt ezen kötelezettségei alól, és nem mentesíti a GDPR rendelkezéseinek betartása alól. (34) A Kérelmezettnek a Kérelmező érintetti kérelmét legkésőbb 2023. november 12-éig teljeskörűen teljesítenie kellett volna a GDPR 12. cikk (3) bekezdése alapján. A Kérelmezett törlési műveleteinek folyamatai és az ezzel kapcsolatos képernyőmentései alapján megállapítható, hogy a Kérelmezett a törlési kötelezettségének csak jelentős késedelem után, a jelen eljárás megindulása után, 2024. február 8-án tett eleget teljes körűen. (35) A Kérelmezett a Kérelmező tiltakozása nyomán, a GDPR 21. cikk (3) bekezdése alapján, üzletszerzési célból nem kezelhette volna a Kérelmező személyes adatait, ehhez képest - a Kérelmezett által is elismerten - a Kérelmező érintetti kérelmének „teljesítése” után a Kérelmezett szolgáltatásának értékelésére felkérő levelek kerültek kiküldésre.

(36) A Hatóság a fentiek alapján megállapítja, hogy a Kérelmezett a Kérelmező törlési kérelmét nem teljesítette, ezért a GDPR 17. cikk (1) bekezdés c) pontját gondatlanul megsértette. Azonban a Kérelmezett 2024. február 8-án, utólagosan, teljes körűen elvégezte a törlést, így a kérelem erre vonatkozó részét elutasítja a Hatóság, mert a törlés elrendelése okafogyottá vált. (37) A Kérelmező (7) bekezdésben részletezett érintetti kérelem nem kizárólag a hírlevekkel kapcsolatos tiltakozás volt, hanem általánosságban a személyes adatai törlését (személyes adatok külön nevesítése nélkül) kérte. Tekintettel arra, hogy a Kérelmezett állítása szerint többféle célból, többféle jogalapra hivatkozással kezelte a Kérelmező személyes adatait, ezért azt is mérlegelnie kellett, hogy melyek azok a személyes adatok, melyeket a Kérelmező törlési kérelme alapján törölni köteles és melyek azok, amelyeket nem. A jelen határozat (13) bekezdésében szereplő táblázatban részletezett személyes adatok közül a „Az érintett jogosnak ítélt tiltakozásáig” megjegyzéssel ellátott személyes adatok adatbázisból való törlését kellett végrehajtani a Kérelmezettnek, míg a többi személyes adat tekintetében nem állt fenn a törlési kötelezettsége a tiltakozási jog alapján benyújtott érintetti kérelem vonatkozásában. Erről és a törléssel érintett személyes adatokról a Kérelmezettnek a Kérelmezőt tájékoztatnia kell a GDPR 12. cikk (1) – (3) bekezdései alapján, amit a Kérelmezett nem igazolt a Hatóság felé, mivel a (7) bekezdésben említett levele egyrészt a törlés megtörténte (2024. február 8. napja) előtt került kiküldésre, másrészt csak arról tájékoztatja, hogy törli a személyes adatokat, azonban arra nem tért ki, hogy melyeket törli és melyeket nem. Ugyanis a Kérelmezett a nyilatkozata szerint az érintetti kérelmek tekintetében is adatkezelést folytat, amivel összefüggésben kezelt adatokat kérésre sem töröl. Emiatt a Hatóság megállapítja, hogy a Kérelmezettet elmulasztotta a GDPR 12.

cikk (2)-(3) bekezdése szerinti tájékoztatási kötelezettségét, és utasítja a Kérelmezettet ezen kötelezettségének teljesítésére. (38) A Hatóság a fentiekkel kapcsolatban még kiemeli, hogy a Kérelmezett nyilatkozatában írt azon rész nem elfogadható, hogy a GDPR rendelkezéseivel összefüggő adatkezelése tekintetében a tervezett adatkezelési idő „nem selejtezhető” megjegyzéssel van ellátva, ugyanis a GDPR 5. cikk (1) bekezdése szerinti alapelveknek megfelelően az adatkezelésnek átláthatónak (GDPR 5. cikk 1. bekezdés a) pont) kell lennie, továbbá a célhoz kötöttség (GDPR 5.cikk (1) bekezdés b) pont) és az adattakarékosság (GDPR 5. cikk (1) bekezdés c) pont) elvéből következően is az adatkezelés időtartamát pontosan kell meghatározni.

IV.3. Jogkövetkezmények

(39) A Hatóság a GDPR 58. cikk (2) bekezdés b) pont alapján elmarasztalja a Kérelmezettet, mert megsértette a GDPR 17. cikk (1) bekezdés c) pontját. (40) A Hatóság a GDPR 58. cikk (2) bekezdés d) pontjának megfelelően hivatalból elrendelte, hogy a Kérelmezett tájékoztassa a Kérelmezőt az érintetti kérelme teljesítéséről, és a nem törölt személyes adatai kezeléséről. (41) A Hatóság túllépte az Infotv. 60/A.§ (1) bekezdése szerinti ügyintézési határidőt, ezért a Kérelmezőt 10.000 Ft, azaz tízezer forint illeti meg választása szerint - bankszámlára utalással vagy postai utalvánnyal - az Ákr. 51. § (1) bekezdés b) pontja alapján.

V. Egyéb kérdések

(42) Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Ugyanezen § (2a) bekezdése szerint az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. (43) A Hatóság illetékessége az ország egész területére kiterjed. (44) Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal és a végzéssel szemben közigazgatási per útján van helye jogorvoslatnak. (45) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes.

(46) A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (47) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló 2023. évi CIII. törvény (a továbbiakban: Dáptv.) 19. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (48) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (49) A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (50) Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Infotv. 61.§ (7) bekezdés értelmében a cselekmény végrehajtását a Hatóság foganatosítja. (51) A Hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért a Kérelmezőt 10.000 Ft, azaz tízezer forint illeti meg – választása szerint – bankszámlára utalással vagy postai utalvánnyal az Ákr. 51. § (1) bekezdés b) pontja alapján. Budapest, „az elektronikus aláírás és időbélyeg szerint”

Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár távollétében

Dr. Bendik Tamás általános elnökhelyettes