Орган по защите данных Венгрии (NAIH): нарушение требований GDPR к информированию в интернет-магазине

……………………………………………………………………………………………………………………………………………………………. 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-89-3/2022. Tárgy: döntés hivatalból indult adatvédelmi hatósági eljárásban Előzmény: NAIH-6839/2021.

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a […]-val (a továbbiakban: Ügyfél) szemben […] weboldalon (a továbbiakban: weboldal) és az Ügyfél által üzemeltetett webáruházzal (a továbbiakban: webáruház) összefüggésben nyújtott tájékoztatással kapcsolatban a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: általános adatvédelmi rendelet vagy GDPR) 5. cikk (1) bekezdés a) pontjának, 5. cikk (2) bekezdésének és 13. és 14. cikkének feltételezhető megsértése miatt 2018. május 25. napja és az eljárás megindítása közötti időszakra vonatkozó adatkezelési gyakorlata tárgyában a 2021. augusztus 27. napján hivatalból indított hatósági eljárásban meghozta a következő határozatot.

A Hatóság

I. megállapítja, hogy az Ügyfél megsértette a

- GDPR 5. cikk (1) bekezdés a) pontját, - GDPR 6. cikk (1) bekezdését, - GDPR 12. cikk (1) bekezdését, - GDPR 13. cikk (1) bekezdés a) és c) pontját, - GDPR 13. cikk (2) bekezdés a, b), c), d) és e) pontját.

II. A Hatóság hivatalból kötelezi az Ügyfelet, hogy a bírósági felülvizsgálat kezdeményezésére irányadó keresetindítási határidő lejártát, illetve felülvizsgálat kezdeményezése esetén a bíróság döntését követő 30 napon belül módosítsa az adatkezelési tájékoztatóját és kérdőívét úgy, hogy azokban egyértelmű, átlátható tájékoztatás szerepeljen a weboldalon gyűjtött személyes adatok vonatkozásában. A II. pont szerinti kötelezettség teljesítését az Ügyfélnek az intézkedés megtételétől számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A kötelezettségek nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását.

III. A Hatóság határozatában az Ügyfelet az általa végzett jogellenes adatkezelés miatt hivatalból

300.000 Ft, azaz háromszázezer forint adatvédelmi bírság megfizetésére kötelezi.

A hatósági eljárás során eljárási költség nem merült fel, ezért annak viseléséről nem rendelkezett a Hatóság.

Az adatvédelmi bírságot a bírósági felülvizsgálat kezdeményezésére irányadó keresetindítási határidő lejártát, illetve felülvizsgálat kezdeményezése esetén a bíróság döntését követő 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-89/2022. BÍRS. számra kell hivatkozni.

Ha az Ügyfél a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását.

A határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. Az eljárásban eljárási költség nem merült fel.

INDOKOLÁS

I.

Tényállás, előzmények

I.1.A Hatóság az Ügyfél honlapjával [….], azaz a weboldallal és az Ügyfél által üzemeltetett webáruházzal összefüggésben nyújtott tájékoztatásnak az általános adatvédelmi rendelet 4. cikk 11. pontjának, 5. cikk (1) bekezdés a) pontjának, 5. cikk (2) bekezdésének, 13-14. cikkének való megfelelőségének vizsgálatát szükségesnek látta. Mivel ezen rendelkezések megsértése valószínűsíthető volt, ezért indokolt volt adatvédelmi hatósági eljárás hivatalból történő indítása, különös tekintettel arra is, hogy az Ügyfél tevékenysége során feltehetően nagy számú érintett személyes adatát kezeli, tehát ezen személyek GDPR rendelkezéseinek megfelelő, átlátható tájékoztatása különösen elvárható az Ügyfél honlapján, azaz a weboldalon. A weboldalon a “Rólunk” rovatban többek között az alábbiak olvashatók arról, hogy a kérdőívet sok érintett tölti ki: “[…] Jelenleg futó háztartási teszt kérdőív kitöltőinek, a nagy érdeklődésre és a földrajzi elszórtságra való tekintettel, az ajándékok átadását a jövő esztendő végéig vállaljuk. […]”

1 A közigazgatási per kezdeményezésére a NAIH_KO1 elnevezésű űrlap szolgál: NAIH KO1 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki.

Az Ügyfél tevékenységével kapcsolatban a weboldalon az alábbi tájékoztatás látható: Az Ügyfél a weboldala szerint „Magyarországon a reprezentatív háztartástechnikai és wellness irányultságú termékek értékesítésének területén meghatározó vállalatként van jelen.”. A weboldal továbbá kifejti, hogy „Célunk a személyes tanácsadáson alapuló értékesítés, a magas színvonalú vevőgondozás, a kiemelkedő szervízhálózat fenntartása és folyamatos fejlesztése. Termékeink kapcsolódnak az egészséges életmódhoz, az egyéni és közösségi testi-lelki megújulás megteremtéséhez. A forgalmazott termékeink minősítésüket és hatásmechanizmusukat tekintve Magyarországon nem bejegyzett orvostechnikai-gyógyászati eszközök, wellness irányzatú termékekként kerülnek forgalmazásra.” Az Ügyfél cégkivonata szerint TEÁOR 4791 Csomagküldő, internetes kiskereskedelmi tevékenységet is folytat (bejegyzés kelte: 2017/11/03).

I.2. A Hatóság a NAIH-6839-1/2021. számú végzésében értesítette az Ügyfelet, hogy 2021. augusztus 27. napján hivatalból adatvédelmi hatósági eljárást indított, továbbá ebben a végzésében nyilatkozattételre hívta fel az Ügyfelet tényállás tisztázás érdekében. Az Ügyfél a Hatóság végzésére határidőben nyilatkozott, és az alábbiakat adta elő: A weboldalon keresztül az érdeklődök egy háztartási-energiatakarékossági kérdőívet tölthetnek ki, melyért az Ügyféltől egy 5 részes kozmetikai-háztartási termékekből összeállított csomagot kaphatnak. Ezzel összefüggésben az érintettek nevének, címének és telefonszámának a rendelkezésre bocsátása szükséges. A telefonszámot a csomag átadása miatt kéri el az Ügyfél a kérdőívet kitöltőktől. Egyéb adatkezelés ezzel a személyes adattal nincs. Ezen személyes adatok kezeléséről az érintettek a kérdőív beküldése előtt tájékozódhatnak a weboldalon elérhető adatkezelési tájékoztatóból. A kérdőív beküldése a hivatkozott adatkezelési tájékoztató elfogadásához van kötve. Az Ügyfél az érintettek által rendelkezésre bocsátott személyes adatokat kapcsolatfelvételig kezeli, mely a tárgyévet követő év december 31-e. Ez szerepel a beküldés előtt rendelkezésre bocsátott tájékoztatóban. A honlapon elvileg ugyanis termék rendelésére is lehetőség van regisztrációval vagy az alábbi személyes adatok rendelkezésre bocsátásával:

- vezetéknév és keresztnév, - szállítási cím, telefonszám és e-mail. A megrendelés elküldése előtt nyilatkozni kell egy rubrika beikszelésével arról, hogy az általános szerződési feltételeket elolvasta és elfogadta az érintett.

A vizsgált időszakban szórólap terjesztésére, újsághirdetésre nem került sor, csak a weboldalon regisztrált érdeklődők megkereséseit fogadta az Ügyfél. Nem továbbít az Ügyfél személyes adatokat a […] Kft. részére. Az érintetti kérelmek teljesítésével kapcsolatos tájékoztatást az adatkezelési tájékoztató tartalmazza. Az Ügyfél mellékelte a weboldalán található kérdőívről és az adatkezelési tájékoztatójával kapcsolatos pdf-másolatot, képernyőmentést. I.3. A Hatóság az Ügyfél válaszai alapján úgy ítélte meg, hogy további adatkezelési körülmények megvizsgálása vált szükségessé.

A Hatóság NAIH-6839-3/2021. számú felhívására az Ügyfél 2022. január 03. napján küldte meg a válaszát, és az alábbiak szerint nyilatkozott: 2018. május 25 - 2021.augusztus 27. napja között, tehát az adatvédelmi hatósági eljárásban vizsgált időszakban 252 darab érintett töltötte ki az Ügyfél kérdőívét és válaszolt. Ezekből egyetlen érintett adatát sem tárolja az Ügyfél, nem keresi meg az érintetteket, lezárta, törölte. Az Ügyfél weboldalon keresztül még nem fogad megrendelést, ezt közli a weblap látogatóival is. Az Ügyfélnek nem bolti kereskedelem a főtevékenysége, sem telefonon, sem e-mailben nem rendelnek/rendeltek az Ügyfélnél terméket. Korábban a kapcsolatfelvételhez szükséges alábbi személyes adatok rendelkezésre bocsátását kérte az Ügyfél:

- név, - cím, - telefonszám. Az adatkezelés az érintett megkereséséig történt, a személyes adatok utána törlésre kerültek. A személyes adatok megadása önkéntes volt, a beküldés előtt az Ügyfél felhívta az érintettek figyelmét arra, hogy az érintett tájékozódjon az Ügyfél adatkezeléséről, és annak felhasználásról, csak utána lépjen az Ügyféllel kapcsolatba. Ennek alátámasztására az Ügyfél idézte az adatkezelési tájékoztatója idevonatkozó részét: „Elolvastam és tudomásul vettem az alábbiakat: Háztartásonként illetve családonként egy kérdőív értékelésére van lehetőségünk. A […] Kft. munkatársai és családtagjai által beküldött kérdőív az értékelésben nem vehet részt, a garantált ajándékban nem részesül. A cégünk által biztosított 5 részes […] háztartási és kozmetikai ajándékcsomagok és a [….] utalványok mennyisége a beszállító raktárkészlete illetve a fogadó szálláshelyek kapacitásának és a […] által cégünknek átadott üdülési utalvány számának függvénye, jogi út illetve kártérítési igény kizárva. A garantált ajándékok másra nem válthatók át, készpénzbeli kifizetésük nem áll módunkban. Az ajándék átadását csak akkor vállaljuk, ha az átadáson minimum hat fő van jelen. Minden megjelent cégünk további reklámajándékát is megkapja. A képek illusztrációk. A rendezvényen a cégünk bő egy óra prezentációban bemutatkozik Önöknek. Az ajándék átadásának részletes feltételeiről, prezentációnkról, az ajándékokról, a cégünkről, adatvédelmi szabályzatunkról, a kérdőív beküldése előtt a honlapunkon tájékozódhat! Jelenleg futó háztartási teszt kérdőív kitöltőinek, a nagy érdeklődésre és a földrajzi elszórtságra való tekintettel, az ajándékok átadását jövő esztendő végéig vállaljuk. Kérjük, hogy amennyiben ezeket a feltételeket nem vállalja, ne lépjen kapcsolatba társaságunkkal!” Az Ügyfél nyilatkozata szerint az adatkezelésére egy Veszprém megyei ügyfél esetét leszámítva, eddig panasz nem érkezett.

II.

Alkalmazott jogszabályi rendelkezések

Az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 99. §-a alapján a hatóság – a hatáskörének keretei között – ellenőrzi a jogszabályban foglalt rendelkezések betartását, valamint a végrehajtható döntésben foglaltak teljesítését.

A GDPR 2. cikk (1) bekezdése alapján a vizsgált adatkezelésre az általános adatvédelmi rendeletet kell alkalmazni.

A GDPR 4. cikk 1. pont „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. A GDPR 4. cikk 2. pontja szerint „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés. Ugyanezen cikk 7. pontja az adatkezelő fogalmát úgy határozza meg, hogy „az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.” A GDPR 5. cikke tartalmazza a személyes adatok kezelésére vonatkozó elveket, amely a következőket tartalmazza: „(1) A személyes adatok:

a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”);

Az általános adatvédelmi rendelet 6. cikk (1) bekezdés alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;

… A GDPR 12. cikk (1) bekezdés alapján az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. A GDPR 13. cikk (1) bekezdés alapján: a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei;

e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás.

A GDPR 13. cikk (2) bekezdés alapján az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. Az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 38. § (3) bekezdése és 60. § (1) bekezdése alapján a Hatóság az Infotv. 38. § (2) és (2a) bekezdés szerinti feladatkörében a személyes adatok védelméhez való jog érvényesítése érdekében hivatalból adatvédelmi hatósági eljárást folytat. Az Infotv. 60/A. § (1) bekezdése alapján az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap. Az Ákr. 103. § (1) bekezdése alapján az Ákr.-nek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az Ákr. 103 és 104. §-ában foglalt eltérésekkel kell alkalmazni. Az Infotv. 61. § (1) bekezdés a) pontja alapján a Hatóság a 2. § (2) és (4) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja. A GDPR 58. cikk (2) bekezdés b) és d) pontja alapján, a felügyeleti hatóság korrekciós hatáskörében eljárva elmarasztalja az adatkezelőt vagy adatfeldolgozót, ha adatkezelési tevékenysége megsértette a rendelet rendelkezéseit, illetve utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel. Az általános forgalmi adóról szóló 2007. évi CXXVII. törvény (a továbbiakban: áfa tv.) 169. § alapján a számla kötelező adattartalma a következő: a) a számla kibocsátásának kelte; b) a számla sorszáma, amely a számlát kétséget kizáróan azonosítja; c) a termék értékesítőjének, szolgáltatás nyújtójának adószáma, amely alatt a termék értékesítését, szolgáltatás nyújtását teljesítette; d) a termék beszerzőjének, szolgáltatás igénybevevőjének da) adószáma, amely alatt mint adófizetésre kötelezettnek a termék értékesítését, szolgáltatás nyújtását teljesítették, vagy db) adószáma, amely alatt a 89. §-ban meghatározott termékértékesítést részére teljesítették, vagy dc) * adószámának vagy csoportos általános forgalmiadó-alanyiság esetén csoportazonosító számának első nyolc számjegye, amely alatt, mint belföldön nyilvántartásba vett adóalany részére a termékértékesítést, szolgáltatásnyújtást teljesítették, feltéve, hogy a termék értékesítője, szolgáltatás nyújtója gazdasági céllal belföldön telepedett le, gazdasági célú letelepedés hiányában pedig lakóhelye vagy szokásos tartózkodási helye van belföldön; e) a termék értékesítőjének, szolgáltatás nyújtójának, valamint a termék beszerzőjének, szolgáltatás igénybevevőjének neve és címe; f) * az értékesített termék megnevezése, annak jelölésére - a számlakibocsátásra kötelezett választása alapján - az e törvényben alkalmazott vtsz., továbbá mennyisége vagy a nyújtott szolgáltatás megnevezése, annak jelölésére - a számlakibocsátásra kötelezett választása alapján az e törvényben alkalmazott TESZOR’15, továbbá mennyisége, feltéve, hogy az természetes mértékegységben kifejezhető; g) a 163. § (1) bekezdés a) és b) pontjában említett időpont, ha az eltér a számla kibocsátásának keltétől; h) a „pénzforgalmi elszámolás” kifejezés, a XIII/A. fejezetben meghatározott különös szabályok szerinti adózás alkalmazása esetében; i) az adó alapja, továbbá az értékesített termék adó nélküli egységára vagy a nyújtott szolgáltatás adó nélküli egységára, ha az természetes mértékegységben kifejezhető, valamint az alkalmazott árengedmény, feltéve, hogy azt az egységár nem tartalmazza; j) az alkalmazott adó mértéke; k) az áthárított adó, kivéve, ha annak feltüntetését e törvény kizárja; l) az „önszámlázás” kifejezés, ha a számlát a terméket beszerző vagy a szolgáltatást igénybevevő állítja ki; m) adómentesség esetében jogszabályi vagy a Héa-irányelv vonatkozó rendelkezéseire történő hivatkozás vagy bármely más, de egyértelmű utalás arra, hogy a termék értékesítése, szolgáltatás nyújtása mentes az adó alól; n) a „fordított adózás” kifejezés, ha adófizetésre a termék beszerzője, szolgáltatás igénybevevője kötelezett; o) új közlekedési eszköz 89. §-ban meghatározott értékesítése esetében az új közlekedési eszközre vonatkozó, a 259. § 25. pontjában meghatározott adatok; p) a „különbözet szerinti szabályozás - utazási irodák” kifejezés, a XV. fejezetben meghatározott különös szabályok szerinti utazásszervezési szolgáltatás nyújtása esetében; q) a „különbözet szerinti szabályozás - használt cikkek” vagy a „különbözet szerinti szabályozás műalkotások”, vagy a „különbözet szerinti szabályozás - gyűjteménydarabok és régiségek” kifejezések közül a megfelelő kifejezés, a XVI. fejezetben meghatározott különös szabályok szerinti használt ingóság, műalkotás, gyűjteménydarab vagy régiség értékesítése esetében;

r) pénzügyi képviselő alkalmazása esetében a pénzügyi képviselő neve, címe és adószáma. Az Áfa tv. 259. § 5. pontja alapján elektronikus számla: az e törvényben előírt adatokat tartalmazó számla, amelyet elektronikus formában bocsátottak ki és fogadtak be.

III. Döntés

III.1. Adatkezelő személye

Az Ügyfél Hatósághoz küldött válaszaiból az állapítható meg, hogy a weboldalán begyűjtött személyes adatok kezelésével összefüggésben az adatkezelés célját és eszközeit az Ügyfél határozza meg, ezért a GDPR 4. cikk 7. pontja alapján adatkezelőnek minősül a vizsgált adatkezeléssel összefüggésben. Ezt az Ügyfél sem vitatta, hanem elismerte a nyilatkozataiban.

Az eljárás során az Ügyfél által becsatolt (érintettek felé szóló) adatvédelmi nyilatkozat nem tartalmaz tájékoztatást az adatkezelő személyéről, kizárólag a végzett adatkezelési műveleteket (gyűjtés, felhasználás, közlés) említi. Viszont a „tájékoztatást adjunk”, valamint a hatósági eljárásban tett, NAIH-6839-2/2021. számon iktatott nyilatkozat 1.,3., 6. pontjában használt

„adatvédelmi tájékoztatónkat”,

„adatkezelésünk idejét”

és

„adatvédelmi nyilatkozatunk” szóhasználatból, a T/1. személy használatából alappal vonható le az a következtetés, hogy az Ügyfél magát adatkezelőnek tekinti.

III.2. A weboldalon keresztül az Ügyfél rendelkezésére bocsátott személyes adatok és adatkezelés

A Hatóság megvizsgálta az Ügyfél honlapján található kérdőívet és azt állapította meg, hogy az azon gyűjtött adatok közül a név, lakcím adatok, telefonszám, továbbá e-mail cím a GDPR 4. cikk 1. pont alapján személyes adatnak, a korábbi háztartási balesettel kapcsolatban adott válasz a GDPR 4. cikk 15. pont alapján egészségügyi adatnak minősülhet, amely a GDPR 9. cikk (1) bekezdés alapján a személyes adatoknak a különleges kategóriájába tartozik, melynek kezelésére a GDPR alapján speciális szabályok alkalmazandók. A Hatóság a becsatolt iratok, a weboldalon talált információk, továbbá az Ügyfél nyilatkozata alapján megállapította, hogy az Ügyfél a weboldalán két adatkezelésről van szó:

1. Háztartási-energiatakarékossági kérdőív kitöltése ajándékcsomag megszerzése érdekében 2. webáruházból történő rendelés Az Ügyfél a fentiekkel kapcsolatban azt nyilatkozta, hogy a weboldalon keresztül még nem fogad megrendeléseket. Ami ellentétes azzal, hogy a cégkivonata szerint csomagküldő, internetes kiskereskedelmet is folytat (bejegyzés kelte: 2017/11/03), ez azonban a Hatóság álláspontja szerint nem zárja ki az ezzel összefüggő (fentiekben említett 2. pont szerinti) adatkezelést az alábbiak miatt: A Hatóság megvizsgálta a weboldalon található webshoppal kapcsolatban gyűjtött adatok körét, és ezzel kapcsolatban megállapította, hogy termékvásárlásnál úgynevezett számlázási adatokat kell az érintetteknek rendelkezésre bocsátaniuk. A számlázási adatok a következők: keresztnév, vezetéknév, lakcím, továbbá telefonszám, e-mail cím. A termékek vásárlásra kijelölése után az úgynevezett „PÉNZTÁR”-nál egy általános szerződési feltételek elnevezésű dokumentum található, mely magában foglalja az Ügyfél honlapján található adatkezelési tájékoztatóját, mely azonban a webshoppal kapcsolatos adatkezelésről nem nyújt tájékoztatót. Ez az úgynevezett általános szerződési feltételek dokumentum egy olyan tájékoztatást is tartalmaz, hogy „A honlapon található termékeinkből csak telefonon illetve e-mailben rendelhet.”, melyből azonban az nem következik, hogy a weboldalon keresztül termékvásárlással összefüggésben személyes adatok gyűjtése nem történik, mivel a termékvásárlással összefüggésben a honlapon személyes adatok rendelkezésre bocsátása ennek ellenére lehetséges. A Hatóság továbbá itt megjegyzi azt, hogy a számlázáshoz nem szükséges az e-mail cím az Áfa tv. számla adattartamára vonatkozó rendelkezései (169. §) szerint, mert papír alapú számlát papír alapon kell kibocsátani, az ügyfélnek átadni és megőrizni. Az elektronikus számla elektronikus formában kerül kiállításra, jut el az ügyfélhez, eredetiségét és változatlanságát az időbélyeg és az elektronikus aláírás együtt garantálja az Áfa tv. 259. § 5. pontja alapján. Arról azonban külön meg kell állapodni, hogy elektronikusan állítják ki a számlát, mihez ahhoz külön eszközökkel kell rendelkezni, tekintve a számla és a nyugta adóigazgatási azonosításáról, valamint az elektronikus formában megőrzött számlák adóhatósági ellenőrzéséről szóló 23/2014. (VI.30.) NGM rendelet előírásait. Az Ügyfél honlapján az elektronikus számlázással kapcsolatban nem olvasható tájékoztató. Az Ügyfél a nyilatkozatával megerősítette azt, miszerint az 1. ponttal összefüggésben adatkezelést végez, ugyanis az érintettek nevének, címének és telefonszámának a rendelkezésre bocsátását kéri a kérdőívet kitöltőktől. Ezeket a személyes adatokat pedig kapcsolatfelvételig kezeli (tárgyévet követő év december 31-ig). A fentiek miatt a Hatóság megállapította, hogy az Ügyfél a weboldalon gyűjtött személyes adatok tárolásával, felhasználásával a GDPR 4. cikk 2. pontja alapján adatkezelést végez, illetve végzett a vizsgált adatkezelési időszak folyamán. Az Ügyfél a nyilatkozata szerint a kezelt, vizsgált adatokat ugyan törölte, ez azonban nem jelenti akadályát a jogsértés megállapításának.

III.3. Adatkezelési tájékoztató

A Hatóság megvizsgálta az Ügyfél honlapján található adatkezelési tájékoztatót, mellyel kapcsolatban az alábbiakat állapította meg: III.3.1. Adatkezelő személyéről adott tájékoztatás A Hatóság megállapítása szerint sem az adatkezelési tájékoztatón, sem a kérdőíven nem került feltüntetésre az adatkezelő személye annak ellenére, hogy a GDPR 13. cikk (1) bekezdés a) pontja ezt kifejezetten előírja, mint a személyes gyűjtésekor rendelkezésre bocsátandó személyes adatot, és annak ellenére, hogy ez alapvető információ az érintetti jogok érvényesítéséhez, és ahhoz, hogy a weblap látogatója tudja, hova kerülnek a személyes adatai. Csupán az érintetti kérelemmel összefüggésben található tájékoztatás arról, hogy azokat az [….] e-mail címre kell küldeni. A fentiek miatt a Hatóság megállapítja, hogy az Ügyfél megsértette a GDPR 13. cikk (1) bekezdés a) pontját. III.3.2. Adatkezelés céljáról és jogalapjáról, továbbá a megőrzési időről adott tájékoztatás

Az Ügyfél adatkezelési tájékoztatója a Hatóság álláspontja szerint nem tesz eleget a GDPR 5. cikk (1) bekezdés a) pontja szerinti átlátható adatkezelés követelményének, mivel több helyen nem fogalmaz egyértelműen, ugyanis nem sorolja fel, hogy mely személyes adatokat mely célra és jogalapra hivatkozással kezeli. A jogalapot, pontos megőrzési időt egyáltalán nem jelölte meg, a célokat pedig csak felsorolta, de nem társította hozzájuk a kezelt személyes adatokat. A megőrzési idővel kapcsolatban az a tájékoztatás nem fogadható el, hogy addig kezeli, ameddig a „meghatározott célok elérése azt szükségessé tesz”, illetve „kivéve, ha a törvény hosszabb őrzési időszakot tesz lehetővé, illetve enged meg.” Ez a kijelentés nincs összhangban a Hatóság felhívására tett nyilatkozattal, mert abban az Ügyfél azt nyilatkozta, hogy a személyes adatokat kapcsolatfelvételig kezeli, mely a tárgy évet követő december 31-e. Továbbá ellentmondás, hogy az Ügyfél ezen nyilatkozata ellenére, arról tájékoztatta a Hatóságot, hogy a 2018. május 25 - 2021. augusztus 27. közötti időszakban kitöltött kérdőívekkel kapcsolatos személyes adatokat már nem őrzi, nem kezeli, annak ellenére, hogy a Hatóságnak küldött nyilatkozata szerint azokat tárgyévet követő december 31-ig kezeli, tehát ez alapján 2022. december 31-ig kezelné a 2021.évben rendelkezésre bocsátott személyes adatokat. Az átláthatóság elvének az adatkezelési tájékoztató esetén az felel meg, ha a kezelt személyes adatokként külön-külön (könnyen áttekinthető, strukturált formában, esetleg táblázatban) tartalmazza és egyértelműen megjelöli az adatkezelés célját, jogalapját, adatkezelés időtartamát és amennyiben adatkezelés jogalapjaként a GDPR 6. cikk (1) bekezdés c) pontjára hivatkozik, akkor pontosan megjelöli a kötelező adatkezelést előíró jogszabályt is. A Hatóság továbbá megállapította, hogy az Ügyfél annak ellenére, hogy webshopot is üzemeltet, az ezzel kapcsolatban az úgynevezett általános szerződési feltételeiben olvasható tájékoztatójának megfelelően csak telefonon és e-mailben történő rendelés esetén rendelkezésre bocsátott személyes adatok kezelésének körülményeiről (cél, jogalap, megőrzés) egyáltalán nem nyújtott tájékoztatást az érintetteknek, mivel a weboldalon elérhető adatkezelési tájékoztató a célok között ezt nem sorolja fel. A fentiek miatt a Hatóság megállapította, hogy az Ügyfél megsértette a GDPR 5. cikk (1) bekezdés a) pontját, és a GDPR 13. cikk (1) bekezdés c) pontját, továbbá a GDPR 13. cikk (2) bekezdés a) pontját. III.3.3. Érintetti jogokkal kapcsolatos tájékoztatás Az Ügyfél az érintetti jogoknál a „HOZZÁFÉRÉS” címszó alatt adott tájékoztatást a helyesbítéshez és a törléshez való jogról, emiatt nem átlátható ez a tájékoztatás, tehát ezzel összefüggésben is megállapítható a GDPR 5. cikk (1) bekezdés a) pontjának a sérelme. Az adatkezelési tájékoztató a GDPR 18. cikk szerinti korlátozáshoz való jogról egyáltalán nem ad tájékoztatást, ezzel az Ügyfél a GDPR 13. cikk (2) bekezdés b) pontját sértette meg. A fentieken túl az Ügyfél megsértette a GDPR 13. cikk (2) bekezdés d) pontját, mivel nem nyújtott tájékoztatást a Hatósághoz címzett panasz benyújtásának jogáról, továbbá a GDPR 13. cikk (2) bekezdés c) és e) pontját, mivel nem adott tájékoztatást a hozzájárulás bármely időpontban visszavonásához való jogról, és arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, köteles-e ezt az érintett megadni és milyen lehetséges következményekkel járhat az adatszolgáltatás elmaradása.

III.4. Hozzájárulás alapján kezelt személyes adatok

Az Ügyfél a Hatóság felhívása ellenére arról nem nyilatkozott kifejezetten, hogy mely jogalapon/jogalapokon kezeli az érintettek személyes adatát, csupán arról nyilatkozott, hogy azok beküldése az adatvédelmi tájékoztatója elfogadásához van kötve, továbbá az Ügyfél adatkezelési tájékoztatója jogalapot nem jelöl meg. A Hatóság álláspontja szerint az ajándékcsomag kiküldésével, kapcsolattartással, továbbá az adatkezelési tájékoztatóban megjelölt további célokból (termékek, szolgáltatások bemutatása, ajánlatküldés, stb., tehát marketing céllal) összefüggésben kezelt személyes adatok kezelése a GDPR 6. cikk (1) bekezdés a) és f) pontjára hivatkozással kezelhetők. Az Ügyfél válasza ugyanakkor arra utal, hogy a GDPR 6. cikk (1) bekezdés a) pontot alkalmazza. III.4.1. A GDPR 4. cikk 11. pontja szerinti feltételek teljesülése A GDPR 6. cikk (1) bekezdés a) pontja, azaz a hozzájárulás alapján kezelt személyes adat vonatkozásában alapvető feltétel a GDPR 4. cikk 11. pont alapján, hogy az érintettek megfelelő információval rendelkezzenek az adatkezelési körülményekkel összefüggésben a hozzájárulás megadásával kapcsolatos döntés meghozataluk előtt, továbbá egyértelműen nyilvánítsák ki a hozzájárulásukat, és ez a hozzájárulás konkrét, önkéntes legyen. Az Európai Adatvédelmi Testület 5/2020 iránymutatása az (EU) 2016/679 rendelet szerinti hozzájárulásról2 (a továbbiakban: iránymutatás) részletesen kifejti, hogy az érintettek hozzájárulásának milyen feltéeteleknek kell megfelelnie ahhoz, hogy az GDPR szerinti jogalapnak minősülhessen. Az iránymutatás 3.3.1. pontja tartalmazza a hozzájáruláshoz szükséges tartalmi minimumkövetelményeket. Ezek az alábbiak:

- adatkezelő kiléte, - mindegyik olyan adatkezelési művelet célja, amelyhez hozzájárulást kérnek, - milyen (típusú) adatok gyűjtésére és felhasználására kerül sor, - a hozzájárulás visszavonsához való jog létezése, - adott esetben az adatok automatizált döntéshozatal céljából történő felhasználására vonatkozó tájékoztatás a 22. cikk (2) bekezdés c) pontjának megfelelően,

- az adattovábbításnak a megfelelőségi határozat és a 46. cikkben ismertetett megfelelő garanciák hiányából fakadó lehetséges kockázatai. Az iránymutatás 3.4. pontja a hozzájárulás „egyértelmű”-sége követelményének teljesülését is részletezi az alábbiak szerint: „[…] a hozzájáruláshoz szükség van az érintett nyilatkozatára vagy a megerősítést félreérthetetlenül kifejező cselekedetésre, ezt mindig aktív cselekedettel vagy nyilatkozattal kell megadni.” Emellett az is fontos, hogy „[..] a hozzájárulás nem szerezhető meg ugyanazzal a cselekedettel, mint egy szerztődésbe való beleegyezés vagy egy szolgáltatás általános szerződési feltételeinek elfogadása”.

2 https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_hu.pdf

III.4.1.1. Hozzájárulás egészségügyi adat kezelése esetén A GDPR 9. cikk (1) – (2) bekezdés alapján egészségügyi adat is csak az érintett kifejezett hozzájárulása alapján kezelhető. Az iránymutatás a 4. pontjában a kifejezett hozzájárulás megszerzésével is részletesen foglalkozik, itt megállapítja, hogy „Kifejezett hozzájárulásra van szükség bizonyos helyzetekben, amelyekben komoly adatvédelmi kockázat merül fel, ennélfogva a szeméyles adatok felett magas szintű, egyéni rendelkezést tartanak megfelelőnek.” Az egészségügyi adatok esetében is kifejezett hozzájárulás szükséges. Az iránymutatás 4.93. pontja szerint „A kifejezett kifejezés arra utal, hogy az érintett milyen módon juttatja kifejezésre a hozzájárulását. „ III.4.2. Hozzájárulás hiányának megállapítása Az Ügyfél által becsatolt, a weboldalról lementett kérdőív tartalmaz arra vonatkozó nyilatkozatot, hogy tudomásul veszi az érintett, hogy az adatkezelési tájékoztatóról a weboldalon tájékozódhat. Ez azonban nem tekinthető kifejezett hozzájárulásnak, mivel erről nem nyilatkozik az érintett kifejezetten, továbbá az is jogszabálysértő, hogy az Ügyfél adatkezelési tájékoztatója nem ad megfelelő átlátható tájékoztatást alapvető adatkezelési körülményekről, úgy, mint az adatkezelési cél, jogalap, megőrzési idő és érintetti jogok, így az érintettek nem minősülnek tájékoztatottaknak. Ezek miatt ez a nyilatkozat nem minősül érvényes hozzájárulásnak sem egészségügyi adatoknak nem minősülő személyes adatok, sem egészségügyi adatok kezelése esetében, mivel nem felel meg a GDPR 4. cikk 11. ponja szerinti kritériumoknak. III.4.3. Megfelelő tájékoztatás hiánya A GDPR 12. cikk (1) bekezdés alapján az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. A Hatóság álláspontja szerint az Ügyfél megsértette a GDPR 12. cikk (1) bekezdését, továbbá a III.4.2. pontban kifejtettek miatt megfelelő hozzájárulás hiánya miatt a hozzájárulás jogalapon történő adatkezelés sem fogadható el, ezért a Hatóság megállapította, hogy a rendelkezésre jogosultak nevét, lakcímét, e-mail címét és telefonszámát, továbbá a kérdőívben feltett kérdésekre vonatkozó válaszokat, többek között a megelőző háztartási balesetre vonatkozó egészségügyi adatát, mint személyes adatokat a GDPR 6. cikk (1) bekezdés megsértésével jogalap nélkül kezeli az Ügyfél.

III.5. Jogkövetkezmények

III.5.1. A fenti jogsértések miatt a Hatóság az Ügyfelet a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja, továbbá a GDPR 58. cikk (2) bekezdés d) pontja alapján utasítja, hogy az adatkezelési műveleteit hozza összhangba a GDPR rendelkezéseivel úgy, hogy módosítsa az adatkezelési tájékoztatóját és kérdőívét úgy, hogy azokban egyértelmű, átlátható tájékoztatás szerepeljen a weboldalon gyűjtött személyes adatok vonatkozásában. III.5.2 A Hatóság megvizsgálta, hogy indokolt-e az Ügyféllel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértések esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, így bírság kiszabása szükséges.

A Hatóság a bírságkiszabás során súlyosító körülményként vette figyelembe az alábbiakat:

• A jogsértés folyamatos jellegű, a Hatóság által vizsgált időszakban az adatkezelésre vonatkozó tájékoztatási gyakorlat nem változott volna. [GDPR 83. cikk (2) bekezdés a) pont]; • A jogsértés az érintettek viszonylag nagy számát érinti, a felvett személyes adatok kezeléséről nyújtott nem megfelelő tájékoztatással elkövetett jogsértés, illetve a jogalap nélküli adatkezeléssel érintett ügyfelek száma az Ügyfél nyilatkozata szerint 252 fő, akik 2018. május 25. – 2021. augusztus 27. napja között kitöltötték a kérdőívet. [GDPR 83. cikk (2) bekezdés a) pont]; • Személyes adatok kezeléséről való nagy mértékben hiányos tájékoztatás súlyos jogsértésnek minősül[GDPR 83. cikk (2) bekezdés k) pont]. • A megállapított adatvédelmi jogsértések gondatlan jellegűnek minősülnek [GDPR 83. cikk (2) bekezdés b) pont], valamint érintik a személyes adatok különleges kategóriáit is [GDPR 83. cikk (2) bekezdés g) pont]. • Az Ügyfél a GDPR több rendelkezését is, közte a GDPR 5. cikk (1) bekezdés a) pontját, tehát az adatkezelés elvét is megsértette. (GDPR 83. cikk (5) bekezdés a) pont)

A Hatóság a bírságkiszabás során enyhítő körülményként vette figyelembe az alábbiakat:

• Az Ügyfél elmarasztalására a GDPR megsértése miatt még nem került sor. [GDPR 83. cikk (2) bekezdés ) és i) pont].

A Hatóság a bírságkiszabás nem tartotta relevánsnak a GDPR 83. cikk (2) bekezdés c), d), f), h), j) pontja szerinti körülményeket.

Az Ügyfél 2020. évi konszolidált beszámolója szerinti az adózás előtti nyeresége -38 379 Ft.

A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

IV.

Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak. A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. kelt: Budapest, az elektronikus aláírás szerint

Dr. Péterfalvi Attila elnök c. egyetemi tanár