Hungarian Data Protection Authority (NAIH): data processing by a courier company

(…)

1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu

Ügyszám: NAIH-6737-1/2024. Tárgy: jogsértést megállapító határozat (NAIH-2900/2023.) (NAIH-636/2022.) (NAIH-9230/2021.)

HATÁROZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […]-nak (a továbbiakban: Kérelmező), a Hatósághoz 2021. december 30. napján érkezett kérelmére a […] (a továbbiakban: Kérelmezett) által a Kérelmezőnek küldött, […] tárgyú levelek küldése és az adatvédelmi panaszának meg nem válaszolása, továbbá a Kérelmezett által az érintettek számára küldendő […] tárgyú levelek általános adatkezelési gyakorlata tárgyú adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

1. A Hatóság megállapítja, hogy a Kérelmezett megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 5. cikk (1) bekezdés a) pontját a Kérelmező és a további érintettek vonatkozásában;

az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdését a Kérelmező és a további érintettek vonatkozásában. 2. A Hatóság megtiltja a Kérelmezettnek a Kérelmező és más érintettek nevének és e-mailcímének az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontján alapuló kezelését a […]-ről történő tájékoztatással összefüggésben.

3. A Hatóság utasítja a Kérelmezettet arra, hogy a […]-tel összefüggő adatkezelését alapozza megfelelő jogalapra (például az érintettek hozzájárulására), ezen adatkezeléséről nyújtson megfelelő tájékoztatást az érintettek számára, míg a hozzájárulásukat meg nem adó érintettek személyes adatait ne használja fel erre a célra. 4. A Hatóság a Kérelmező kérelmének többi részét elutasítja. 5. A Hatóság a kérelmes eljárásban megállapított jogsértések miatt

5 000 000 Ft, azaz ötmillió forint adatvédelmi bírság megfizetésére kötelezi a Kérelmezettet.

A 2. és 3. pontban előírt intézkedések megtételét a Kérelmezettnek a jelen határozat kézhezvételétől számított 30 napon belül kell írásban – az azokat alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé.

Az adatvédelmi bírságot jelen döntés kézhezvételétől számított 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425- 00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH- /2024. BÍRS. számra kell hivatkozni. Ha a Kérelmezett a bírságfizetési kötelezettségnek határidőben nem tesz eleget, a fenti számlaszámra késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A 2. és 3. pont szerinti kötelezések nem teljesítése, továbbá az adatvédelmi bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

INDOKOLÁS

I. Az eljárás menete

(1) A Kérelmező 2021. december 29. napján adatvédelmi hatósági eljárás megindítása iránti kérelemmel fordult a Hatósághoz, mely szerint a Kérelmezett – mely postai, fizikai jellegű küldemények kézbesítésével foglalkozik, amely szolgáltatás részeként e-mailben és telefonon is értesítést küld a címzettek részére a csomagküldés állapotával kapcsolatban – a tényleges szolgáltatási tevékenység (a kézbesített küldemény átvétele) után egy olyan kéretlen levelet – […] tárgyú levelek – küld a küldemény címzettjének – konkrétan a Kérelmezőnek 2021. november 22. és december 21. napján – amelyre nem lehet joga, mivel álláspontja szerint a címzett vele nem áll szerződéses jogviszonyban, hiszen a szolgáltatási feltételeket a küldemény feladója fogadja el, és a címzett csak a kézbesítési formát kéri vagy fogadja el; ebből következően a Kérelmező álláspontja szerint a küldemény címzettje nem adhat hozzájárulást direkt marketing tartalmú üzenetek fogadásához;

mivel egy küldemény kézbesítéséhez kapcsolódóan a Kérelmezettnek legalább három alkalma van arra, hogy a címzettől hozzájárulást kérjen a későbbi direkt marketing tartalmú küldemények fogadásához (a küldemény átvétele, a küldemény depóba érkezése, a küldemény elhelyezése a Kérelmezett automatáiban), a Kérelmező

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16.) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. Az űrlap az alábbi linkről érhető el: https://naih.hu/kozig-hatarozat-birosagi-felulvizsgalata álláspontja szerint semmi sem indokolhatja egy önálló direkt marketing tartalmú levél küldését;

a Kérelmezett nem biztosítja a direkt marketing tartalmú levélről történő leiratkozás lehetőségét;

a Kérelmezett a direkt marketing tartalmú e-mail végére azt írja, hogy „annak a kiküldésére joga van, mert erre a jogszabályok alapján lehetősége van”, miközben az általa hivatkozott jogszabályi hely éppen megtiltja az ilyen típusú e-mailek küldését. (2) A Kérelmező kifogásolta továbbá, hogy a Kérelmezett nem válaszolt az általa 2021. november 22. napján 12:13-kor, az […] e-mail-címre küldött érintetti panaszára. (3) A Hatóság a kérelem áttekintését követően megállapította, hogy az nem egyértelműen tartalmazta a megjelölt jogsértés orvoslása iránti döntésre vonatkozó határozott kérelmet, ezért a 2022. január 12. napján kelt, NAIH-636-1/2022. ügyiratszámú végzésében hiánypótlásra hívta fel a Kérelmezőt. A Hatóság a végzését a 2022. január 12. napján kelt, NAIH-636-2/2022. és NAIH-636-3/2022. ügyiratszámú kísérőlevelei mellékleteként küldte meg a Kérelmezőnek. (4) A Kérelmező 2022. január 12. napján elektronikus levélben (NAIH-636-4/2022.) válaszolt a Hatóság hiánypótlásra felhívó végzésére, majd 2022. január 17. napján szintén elektronikus levélben (NAIH-636-5/2022.) arról kért tájékoztatást, hogy minden szükséges adatot megküldött-e a Hatóságnak. (5) A Hatóság a 2022. január 18. napján kelt, NAIH-636-6/2022. ügyiratszámú végzésében felhívta a Kérelmezőt arra, hogy e-mailben küldött nyilatkozatait elektronikus úton (ügyfélkapu birtokában e-Papír szolgáltatáson keresztül), vagy elektronikus ügyintézésre nem kötelezett ügyfélként postai úton, vagy személyesen a Hatóság ügyfélszolgálatán, a Hatóság nyitvatartási idejében terjessze elő, tekintettel arra, hogy az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) és az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: Eüsztv.) rendelkezései alapján a Kérelmező ahhoz, hogy joghatályos nyilatkozatot tudjon tenni, írásban, az Eüsztv.-ben meghatározott elektronikus úton, vagy személyesen, írásbelinek nem minősülő elektronikus úton kell kapcsolatot tartania a Hatósággal. A Hatóság a végzését a 2022. január 18. napján kelt, NAIH-636-7/2022. és NAIH- 636-8/2022. ügyiratszámú kísérőlevelei mellékleteként küldte meg a Kérelmezőnek. (6) A Kérelmező 2022. január 19. napján iktatott beadványában (NAIH-636-9/2022.) tett eleget a Hatóság felhívásának és kérelmében az alábbiakat kérte a Hatóságtól:

vizsgálja ki, hogy a Kérelmezett miért nem vizsgálta ki a Kérelmező érintetti panaszát;

vizsgálja ki, hogy a Kérelmezett a panasz benyújtásától számított egy hónap után miért folytatta tovább azt az álláspontja szerint jogsértő gyakorlatát, amelyre érintettként felhívta a figyelmét;

tiltsa el a Kérelmezettet attól, hogy nem létező jogszabályi helyre való hivatkozással és tájékoztatással – kötelezés látszatát keltve – gyűjt személyes adatokat;

kötelezze a Kérelmezettet arra, hogy az álláspontja szerint jogszerűtlenül kezelésébe vett adatokat semmisítse meg, mivel azok kezeléséhez nem rendelkezik és nem is rendelkezhet az általános adatvédelmi rendelet szerinti jogalappal;

szólítsa fel a Kérelmezettet arra, hogy ne gyűjtsön a szükségesnél több személyes adatot. (7) A Hatóság ezt követően a 2022. január 25. napján kelt, NAIH-636-10/2022., a 2022. március 11. napján kelt, NAIH-636-12/2022., és a 2022. június 8. napján kelt, NAIH-636-14/2022.

ügyiratszámú végzéseiben a tényállás tisztázása érdekében nyilatkozattételre hívta fel a Kérelmezettet. (8) A Kérelmezett a 2022. február 23. (NAIH-636-11/2022.), 2022. április 12. (NAIH-636-13/2022.) és 2022. június 29. (NAIH-636-15/2022.) napján iktatott leveleiben válaszolt a Hatóság kérdéseire. (9) A Hatóság ezt követően a rendelkezésére álló bizonyítékok alapján a 2022. július 4. napján kelt, NAIH-636-16/2022. ügyiratszámú végzésében tájékoztatta a Kérelmezettet arról, hogy az adatvédelmi hatósági eljárásban a bizonyítási eljárás befejeződött és felhívta a figyelmét arra, hogy a tényállás tisztázása során feltárt bizonyítékokat az iratbetekintés szabályainak figyelembevételével megismerheti és további bizonyítási indítványokat tehet. A Hatóság ugyanerről tájékoztatta a Kérelmezőt is az ugyanazon napon kelt, NAIH-636-17/2022. ügyiratszámú végzésében. (10) A döntés előkészítése során további kérdés tisztázása vált szükségessé, ezért a Hatóság a

2023. április 19. napján kelt, NAIH-2900-1/2023. ügyiratszámú végzésében nyilatkozattételre hívta fel a Kérelmezettet. A Kérelmezett a 2023. május 24. napján iktatott levelében (NAIH- 2900-2/2023.) válaszolt. (11) Ezt követően sem a Kérelmezett, sem a Kérelmező nem élt iratbetekintései jogával, továbbá nem adott elő újabb nyilatkozatot és további bizonyítási indítványokat sem terjesztett elő.

II. A t ényállás tis ztázása

(12) A Kérelmezett mindenekelőtt tájékoztatta a Hatóságot arról, hogy az eljárás megindításának hatására adatvédelmi jog területén szakértelemmel rendelkező ügyvédi iroda felülvizsgálatát kérte az adatvédelmi megfelelőség biztosítása érdekében, és ennek keretében módosította adatkezelését, adatkezelési tájékoztatóját, és e felülvizsgálat mentén nyilatkozott a Hatóság tényállás tisztázó végzéseire, elismerve azt is, hogy a vizsgált időszakban, a 2018. május 25. napjától a 2021. november 22., illetőleg december 21. napjáig, a Kérelmezőnek címzett emailek küldése napjáig terjedő időszakban, nem volt megfelelő az adatkezelése. (13) Ez alapján a Kérelmezett az alábbiak szerint nyilatkozott:

(14) A Kérelmezett a postai szolgáltatásokról szóló 2012. évi CLIX. törvény (a továbbiakban:

Postatörvény), valamint a Nemzeti Média és Hírközlési hatóság által elfogadott Általános Szerződési Feltételek (a továbbiakban: ÁSZF) alapján postai szolgáltatást nyújt, mely a Postatörvény 5. § c) pontja szerinti egyetemes postai szolgáltatást nem helyettesítő postai szolgáltatás. (15) A Postatörvény 8. §-a rögzíti, hogy az egyetemes postai szolgáltatást nem helyettesítő postai szolgáltatás kategóriában a postai szolgáltatók milyen típusú szolgáltatásokat nyújthatnak az ügyfeleik részére. A Kérelmezett a Postatörvény 8. § (1) bekezdés d) pontjában, illetőleg a 8. § (3) bekezdésben meghatározott, jelentős hozzáadott értéket képviselő speciális többletszolgáltatások közül legalább egyet magában foglaló postai szolgáltatást nyújt. A jogszabály 8. § (3) bekezdésében felsorolt jelentős hozzáadott értéket képviselő speciális többletszolgáltatások közül a Kérelmezett az a) pontban szereplő „postai küldemény nyomon követhető kezelése” szolgáltatást biztosítja a postai szolgáltatást igénybe vevő ügyfelei részére. A Postatörvény 2. § (26) bekezdése rögzíti a postai küldemény nyomon követhető kezelésének definícióját, illetve, hogy e tekintetben a postai szolgáltatást nyújtó félnek (jelen esetben a Kérelmezettnek) pontosan mely követelményeknek kell megfelelnie. Ez alapján a Kérelmezett a postai küldemény kézbesítéséről, annak tényéről, elektronikus üzenet útján tájékoztatja a címzettet (ezek az úgynevezett státuszüzenetek, illetve a Kérelmezett által alkalmazott ÁSZF a rendszerüzenet kifejezést használja). (16) Mindezekre tekintettel tehát a Postatörvény 5. § c) pontja, 8. § (1) bekezdés d) pontja, 8. § (3)

bekezdése, valamint 2. § (26) bekezdése jelenti a jogi hátterét annak, hogy a Kérelmezettnek a postai küldemény címzettjét elektronikus úton tájékoztatnia kell a postai küldemény kézbesítéséről. (17) Ezen jogszabályi előírásokra figyelemmel például egy webáruházból […] csomagautomatába történő rendelés esetén a Kérelmezett az alábbi e-maileket (státuszüzeneteket) küldi ki az érintettek számára:

a) Az úgynevezett előértesítés, amelyben arról tájékoztatja a Kérelmezett az érintettet, vagyis a címzettet, hogy a Kérelmezett rendszerében egy csomag feladásához szükséges csomagszámot hoztak létre a megadott adatai alapján, ugyanakkor a rendelt csomagot még nem adták át a Kérelmezett részére. Emellett az „előértesítés” tartalmazza a csomag adatait is (feladó, csomagszám, kézbesítés típusa, célautomata).

b) Raktárba-érkezésről történő értesítés, amelyben arról tájékoztatja a Kérelmezett a címzettet, hogy a webáruház csomagot adott fel számára és, amely már a Kérelmezett raktárában van. Emellett ez az e-mail tartalmazza a címzett mobiltelefonszámát is, hiszen a Kérelmezett erre a számra SMS-ben is elküldi azt a nyitókódot, amellyel a címzett át tudja venni a csomagját.

c) A csomag megérkezéséről szóló értesítés, amelyben arról tájékoztatja a Kérelmezett a címzettet, hogy a csomagja átvehető az általa kiválasztott csomagautomatában, illetve az e-mail tartalmazza az átvételi kódot és egy QR kódot is. Emellett még további, a kézbesítéssel, utánvéttel összefüggő fontos információkat is tartalmaz az e-mail.

d) A Kérelmező által is megkapott és kifogásolt […] tárgyú e-mail elsődleges célja az, hogy a sikeres kézbesítésről visszajelzést adjon a címzett számára. Ezt fejezi ki a „Köszönjük, hogy a […]-t választottad”[…] mondatrész. Azonban annak érdekében, hogy még egyértelműbb legyen az e-mail ezen célja, 2022. január 27. napjától (vagyis már a Hatóság 2022. január 25. napján kelt, NAIH-636-10/2022. ügyiratszámú végzésének 2022. február 7-i kézhezvételét megelőzően) az alábbi szöveggel kezdődnek ezek az elektronikus levelek: „Kedves XY! Tájékoztatunk, hogy a […] tranzakciót […] lezárja.”[…] Emellett az e-mail tárgya is arra módosult, hogy: „A csomagküldés teljesült – […]”. Az e-mail tárgyával kapcsolatban azonban a Hatóság szintén NAIH-636-10/2022. ügyiratszámú végzésének kézhezvételét követően egy újabb módosítás történt, mivel a Kérelmezett jelen adatvédelmi hatósági eljárás befejezéséig felfüggesztette a hatósági eljárás tárgyává tett e-mailek küldését. Erre tekintettel jelenleg csak az az e-mail tárgya, hogy „A csomagküldés teljesült”. A felfüggesztés azt is jelenti, hogy jelenleg a státuszüzenetben kizárólag az alábbi szöveg található: „Kedves XY! Tájékoztatunk, hogy a […] tranzakciót […] lezárja.”[…] A Kérelmezett nyilatkozata szerint ezen említett változásokig azonban az első ilyen tartalmú levelek kiküldésétől – 2021 negyedik negyedévétől, így a Kérelmezőnek küldött levelek napján is – számítva az adatkezelési gyakorlatban semmilyen változás nem történt. (18) Adatvédelmi jogi szempontból a Kérelmezett nyilatkozata szerint a […] tárgyú e-mail küldésével összefüggő adatkezelésének jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja, vagyis az adatkezelés (a státuszüzenet elküldéséhez az e-mail-cím felhasználása) „olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél." Az érintettekre, azaz a címzettekre ugyanis kiterjednek az ÁSZF bizonyos rendelkezései, még abban az esetben is, ha egyébként az ÁSZF szerinti szerződés alapvetően egy webáruház (ahonnan az érintett megrendelt valamely terméket) és a Kérelmezett között jött létre. Így például az érintettekre vonatkoznak – többek között – az ÁSZF küldemények átvételére, azok visszaküldésére vonatkozó rendelkezései. A Kérelmezett szolgáltatásának középpontjában ugyanis a címzettek állnak: ezt juttatja kifejezésre az ÁSZF 4. pontja, amelyben a Kérelmezett vállalja a címzett által megrendelt küldemények kiszállítását, a kézbesítés megszervezését és a csomagnak a címzett részére történő kézbesítését. A postai küldemény nyomonkövethetőségére szolgáló e-mailek küldése szükséges ahhoz, hogy mind a Kérelmezett által nyújtott szolgáltatás, mind pedig a webáruház és a címzett közötti szerződés teljesítése szerződésszerű legyen, illetve a Kérelmezett megfeleljen az ÁSZF-ben vállalt, a címzett felé is fennálló kötelezettségeinek. (19) A Kérelmező által is kapott […] tárgyú e-mailek eredeti adatkezelési célja tehát az, hogy figyelemmel az ÁSZF-re, illetve az annak hátterét képező Postatörvényre – a Kérelmezett a kézbesítésről, annak teljes folyamatáról értesítést küldjön az érintett számára, amely lehetővé teszi, hogy nyomon követhesse a postai küldeményét, információt szerezzen a kézbesítés állapotáról. A Kérelmezett álláspontja szerint ezen adatkezelés jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja. (20) A Kérelmező által kifogásolt […] tárgyú e-mailben az ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkérés is szerepelt. Ennek oka, hogy a Kérelmezett számára alapvető fontosságú az, hogy visszajelzést kapjon arról, hogy az ügyfelei mennyire elégedettek az általa nyújtott szolgáltatással, illetve mely területen vannak fejlesztésre szoruló elmaradásai. Így például a kérdések egy része arra irányul, hogy az érintett mennyire elégedett a csomagautomata elhelyezkedésével, a csomagautomata külső állapotával, a fizetési folyamattal. Ez nem minősül külön adatkezelésnek abban a tekintetben, hogy a Kérelmezett az e-mail-címeket nem használja fel külön ezen másik célú adatkezeléshez, hanem az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontján alapján küldött státuszüzenetet tartalmazó e-mail egészül ki egy új tartalmú üzenettel. A Kérelmezett csak egy e-mailt küld ki az érintetteknek és ebben az egy e-mailben szerepel az eredeti adatkezelési célhoz kapcsolódó tájékoztatás (státuszüzenet a rendelt termék állapotáról), illetve két, ettől eltérő, másik célú közlemény (az egyik az ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkérés, míg a másik eltérő cél az úgynevezett […]-ről szóló tájékoztatás). (21) A Kérelmezett álláspontja szerint az uniós jogalkotó az általános adatvédelmi rendelet 6. cikk (4) bekezdésében elismeri annak a lehetőségét, hogy a személyes adatokat az adatkezelés eredeti céljától eltérő, más célból kezelje az adatkezelő, feltéve, hogy az új célú adatkezelés a (4) bekezdésben felsorolt szempontok vizsgálata alapján összeegyeztethető az eredeti adatkezelési céllal. Az általános adatvédelmi rendelet (50) preambulumbekezdése alapján ebben az esetben nincs szükség attól a jogalaptól eltérő, külön jogalapra, mint amely lehetővé tette a személyes adatok gyűjtését. (22) A Kérelmezett véleménye szerint az általános adatvédelmi rendelet 6. cikk (4) bekezdése szerinti szempontoknak a jelen eljárás megindítását követően lefolytatott vizsgálata alapján az állapítható meg, hogy az ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkérés mint az e-mail küldésének ezen másik célja, az alábbiak miatt összeegyeztethető az eredeti adatkezelési céllal (a kézbesítés folyamatáról státuszüzenet küldése):

a) Az adatkezelési célok közötti kapcsolat [általános adatvédelmi rendelet 6. cikk (4)

bekezdés a) pont]: a Kérelmezett álláspontja szerint a két cél között szoros kapcsolat áll fenn. Az eredeti cél az, hogy a Kérelmezett az érintett által igénybe vett szolgáltatásról, a csomagküldésről folyamatos tájékoztatást nyújtson az érintett számára, míg a másik adatkezelési cél ahhoz kapcsolódik, hogy az érintett mennyire volt elégedett az igénybe vett szolgáltatással (hiszen a rendelés vagy más tranzakció alkalmával az érintett volt az, aki kiválasztotta a kézbesítési lehetőségek közül a Kérelmezett szolgáltatását). A célok közötti kapcsolatot még erősebbé teszi az, hogy ez egy néhány nap alatt lezajló adatkezelési folyamat: az előértesítés küldése és a […] tárgyú e-mail elküldése között jellemzően néhány nap telik el.

b) A személyes adatok gyűjtésének körülményei, különös tekintettel az érintettek és az adatkezelő közötti kapcsolatra [általános adatvédelmi rendelet 6. cikk (4) bekezdés b) pont]: a Kérelmezett a szolgáltatása igénybevétele kapcsán szerzi meg az érintettek személyes adatait, így a nevét és e-mail-címét. Az érintettek döntenek arról, hogy […] csomagautomatába kérik a küldemény kiszállítását, amely szolgáltatáshoz szükséges többek között a nevük, e-mail-címük megadása. A szolgáltatás igénybevételére tekintettel az érintett és a Kérelmezett ügyfélkapcsolatban állnak egymással, amely az általános adatvédelmi rendelet alapján releváns és megfelelő kapcsolatnak tekinthető.

c) A személyes adatok jellege [általános adatvédelmi rendelet 6. cikk (4) bekezdés c)

pont]: az adatkezelés kizárólag két személyes adatra, az érintett nevére és az e-mailcímére terjed ki. Az előbbi adat kezelése pusztán udvariassági célt szolgál, vagyis hogy a Kérelmezett úgy kezdje az elektronikus levelét, hogy közvetlenül megszólítja a szolgáltatást igénybe vevő személyt. Az e-mail-cím kezelésének pedig az a célja, hogy a Kérelmezett elküldhesse az ügyfél-elégedettség megismerésére irányuló kérdőívet az érintett számára. Az ügyfél-elégedettségi kérdőív kitöltésével a Kérelmezetthez nem kerül át semmilyen személyes adat, maga a kérdőív kitöltése is teljesen anonim. Ez a körülmény egyébként az e-mailben található „Kérdőív kitöltése” gombra kattintással megjelenő kezdőképernyőn is teljesen egyértelmű az érintettek számára, az alábbi tájékoztatás miatt: „a kérdőív összeállítását és a beérkező adatok, preferenciák bizalmas kezelését partnerünk, a piackutatással foglalkozó […] végzi az Adatvédelmi Törvénynek megfelelően, a gyűjtött adatokhoz a […] nem fér hozzá.” A kérdőív kitöltése esetén a Kérelmezett kizárólag aggregált, statisztikai adatokat ismer meg.

d) Annak értékelése, hogy az érintettekre nézve milyen esetleges következményekkel jár az adatok tervezett további kezelése [általános adatvédelmi rendelet 6. cikk (4) bekezdés d) pont]: a Kérelmezett csak egy felkérést küld az érintettek számára, de az érintettek szabad döntésén múlik, hogy szeretnék-e a kérdőívet kitölteni vagy sem. Ha nem töltik ki a kérdőívet, annak semmilyen hatása nem lesz rájuk nézve, a Kérelmezett erről egyébként sem kap értesítést. Ha az érintettek negatív értékelést adnak, akkor annak sem lehet semmilyen következménye, hiszen sem a Kérelmezett, sem a szerződéses partnere nem látja a kitöltő személy azonosítását lehetővé tevő bármilyen adatot. Emellett a Kérelmezett egyetlen alkalommal küldi ki az érintetteknek a […] tárgyú e-mailt. A Kérelmezett szerint továbbá egy ilyen természetű e-mailt az érintettek néhány másodperc alatt törölhetnek is a postafiókjukból (vagy egyszerűen csak figyelmen kívül hagyhatják). Emellett a Kérelmezett azt is figyelembe vette, hogy ne külön e-mailt küldjön az ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkérésről, hiszen az volt a kiinduló feltevés, hogy az érintetteket jobban zavarhatja az, ha két e-mailt kapnak (státuszüzenet és a […] tárgyú e-mail), mint hogyha egy e-mailen belül jelenik meg a két különböző célú üzenet. Emellett a […] tárgyú e-mail mindössze 20 kilobyte méretű, tehát az e-mail rendkívül kevés tárhelyet foglal el a postafiókban, vagyis egyáltalán nem befolyásolja az e-mail-fiók használatát azáltal, hogy érzékelhetően csökkentené az érintettek számára rendelkezésre álló tárhelyet. Ezen körülmények alapján arra a következtetésre jutott a Kérelmezett, hogy az e-mail küldése, az e-mailen keresztüli kommunikáció csekély mértékben befolyásolja az érintettek magánszféráját.

e) Megfelelő garancia megléte (például titkosítás, álnevesítés) [általános adatvédelmi rendelet 6. cikk (4) bekezdés e) pont]: jelen adatkezelés kontextusára tekintettel az email-címek felhasználása tekintetében sem a titkosítás, sem az álnevesítés nem képzelhető el, hiszen ezek alkalmazásával nem lehetne a […] tárgyú e-mailt elküldeni az érintettnek. A Kérelmezett szerint egyetlen e-mail küldése és abban egy kérdőív kitöltésére történő felkérés, amely kérdőív kitöltése kapcsán semmilyen személyes adat nem keletkezik sem a Kérelmezettnél, sem szerződéses partnerénél, észszerűen nem jár együtt a magánszféra megsértésének olyan mértékével, amely szükségessé tenné további garanciák alkalmazását. (23) Ezen mérlegelésről a Kérelmezett a nyilatkozata szerint nem hozott semmilyen határozatot vagy más írásbeli döntést, hiszen sem az általános adatvédelmi rendelet, sem pedig a Hatóság eddig ismert gyakorlata nem várja el, hogy egy gazdasági társaságnak az ilyen jellegű döntéshozatali folyamatai során cégvezetéssel összefüggő határozatot kellett volna hoznia. (24) A Kérelmezett hivatkozott arra, hogy az érintettek már számos más szolgáltatónál is találkozhatnak azzal a gyakorlattal, hogy e-mail útján ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére kérik fel őket. Éppen ezért az érintettek túlnyomó többsége számára nem ismeretlen azon adatkezelői gyakorlat, amelyet a Kérelmezett is alkalmaz. Mindemellett azt az e-mailt, amelyet a Kérelmező is megkapott, néhány hónapja küldi ki a Kérelmezett az érintettek részére és a kérdőívet 90 ezer személy töltötte ki. Ezen időszak alatt senki sem kifogásolta a kérdőívet tartalmazó e-mail küldését. A Kérelmező is a 2021. november 22-ei panaszában kizárólag azt kifogásolta, hogy álláspontja szerint reklámot tartalmazó e-mailt kapott, tehát az ő panasza sem a kérdőív kitöltésére vonatkozó felkérésre irányult és a panasza egyáltalán nem érintette ezen felkérést. A Kérelmezett számára ezen körülmények azt mutatják, hogy valójában az érintettek szívesen elmondják a véleményüket egy kérdőíves felmérésen és nem zavarja őket az, hogy egy ilyen tárgyú megkeresést kapnak. Erre figyelemmel a Kérelmezett álláspontja szerint általánosságban az érintettek magánszférájára negatív hatást nem gyakorol a […] tárgyú e-mail küldése, illetve abban az ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkérés szerepeltetése. (25) A […] tárgyú e-mailben mindemellett a […]-ről szóló tájékoztatás is szerepelt. Ez nem egy speciális marketing ajánlat, hanem ez egy állandó lehetőség bármely érintett számára, amely a Kérelmezett honlapján két helyen is megtalálható. (26) A […]-t mint kedvezményt a Kérelmezett 2019 áprilisában vezette be, valamennyi ügyfele számára. A Kérelmezett úgy gondolta, hogy azt az e-mailt, amelyet a Kérelmező is megkapott, érdemes lehet kiegészíteni a […]-ről szóló tájékoztatással. Az, hogy az e-mail ezen része pusztán csak egy tájékoztatás akart lenni, az is mutatja, hogy a […]-re vonatkozó közlemény az e-mail alján szerepel, az eredeti cél, illetve az azzal összeegyeztethető ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkérést követően. Ha a Kérelmezettnek az lett volna a célja, hogy hangsúlyosabb legyen a […] kedvezményre vonatkozó rész, akkor előrébb sorolta volna az erre vonatkozó tájékoztatást. (27) Az ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkéréshez hasonlóan, a […]-ről szóló tájékoztatás sem minősül külön adatkezelésnek abban a tekintetben, hogy a Kérelmezett az e-mail-címeket nem használja fel külön ezen másik célú adatkezeléshez, hanem az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja alapján küldött e-mail egészül ki egy új tartalmú üzenettel. A Kérelmezett csak egy e-mailt küld ki az érintetteknek és ebben az egy e-mailben szerepel az eredeti adatkezelési célhoz kapcsolódó tájékoztatás, illetve két ettől eltérő, másik célú közlemény. (28) A Kérelmezett álláspontja szerint az általános adatvédelmi rendelet 6. cikk (4) bekezdése szerinti szempontok vizsgálata alapján az állapítható meg, hogy a […]-ről szóló tájékoztatás mint az e-mail küldésének ezen másik célja az alábbiak miatt szintén összeegyeztethető az eredeti adatkezelési céllal (a kézbesítés folyamatáról státuszüzenet küldése):

a) Adatkezelési célok közötti kapcsolat [általános adatvédelmi rendelet 6. cikk (4)

bekezdés a) pont]: a Kérelmezett álláspontja szerint a két cél között szoros kapcsolat áll fenn. Az eredeti cél az, hogy az érintett által igénybe vett szolgáltatásról, a csomagküldésről folyamatos tájékoztatást nyújtson a Kérelmezett az érintett számára, míg a másik adatkezelési cél ahhoz kapcsolódik, hogy ha az érintett elégedett volt a szolgáltatással, akkor lehetősége van élni egy állandó kedvezménnyel, a […]-tel. A célok közötti kapcsolatot még erősebbé teszi az, hogy ez egy néhány nap alatt lezajló adatkezelési folyamat: az előértesítés küldése és a […] tárgyú e-mail elküldése között jellemzően néhány nap telik el, vagyis ha az érintett pozitív tapasztalatokat szerzett, akkor lehetősége van arra, hogy a Kérelmezett szolgáltatását kedvezményesen vehesse igénybe a következő alkalommal.

b) A személyes adatok gyűjtésének körülményei, különös tekintettel az érintettek és az adatkezelő közötti kapcsolatra [általános adatvédelmi rendelet 6. cikk (4) bekezdés b) pont]: a Kérelmezett a szolgáltatása igénybevétele kapcsán szerzi meg az érintettek személyes adatait, így a nevüket és e-mail-címüket. Az érintettek döntenek arról, hogy […] csomagautomatába kérik a küldemény kiszállítását, amely szolgáltatáshoz pedig szükséges többek között a nevük, e-mail-címük megadása. A szolgáltatás igénybevételére tekintettel az érintett és a Kérelmezett ügyfélkapcsolatban állnak egymással, amely az általános adatvédelmi rendelet alapján releváns és megfelelő kapcsolatnak tekinthető.

c) A személyes adatok jellege [általános adatvédelmi rendelet 6. cikk (4) bekezdés c)

pont]: az adatkezelés kizárólag két személyes adatra, az érintett nevére és az e-mailcímére terjed ki. Az előbbi adat kezelése pusztán udvariassági célt szolgál, vagyis hogy a Kérelmezett úgy kezdje az e-mailjét, hogy közvetlenül megszólítja a szolgáltatást igénybe vevő személyt. Az e-mail-cím kezelésének pedig az a célja, hogy a Kérelmezett elküldhesse a […]-ről szóló tájékoztatást az érintett számára. A Kérelmezett az eltérő célú adatkezelés során a korábban (a szolgáltatás igénybevételéhez) gyűjtött további adatokat nem használja fel. Emellett a Kérelmezett semmilyen visszajelzést nem gyűjt arról, hogy az e-mailt megkapó érintettek éltek-e a […] lehetőségével vagy sem.

d) Annak értékelése, hogy az érintettekre nézve milyen esetleges következményekkel jár az adatok tervezett további kezelése [általános adatvédelmi rendelet 6. cikk (4) bekezdés d) pont]: a Kérelmezett csak egy tájékoztatást küld az érintettek számára, de az érintettek szabad döntésén múlik, hogy szeretnék-e a kedvezményt igénybe venni vagy sem. Ha nem élnek a kedvezménnyel, annak semmilyen hatása nem lesz az érintettekre nézve, a Kérelmezett erről egyébként sem kap értesítést. A Kérelmezett továbbá a […] tárgyú e-mailt egyetlen alkalommal küldi ki az érintetteknek. Az ilyen természetű e-mailt az érintettek néhány másodperc alatt törölhetik a postafiókjukból (vagy egyszerűen csak figyelmen kívül hagyhatják). Emellett a Kérelmezett azt is figyelembe vette, hogy ne küldjön külön tájékoztatást a […]-ről, hiszen abból indult ki, hogy az érintetteket jobban zavarhatja az, ha két e-mailt kapnak (státuszüzenet és a […] tárgyú e-mail), mint ha egy e-mailen belül jelenik meg a két különböző célú üzenet. Emellett a […] tárgyú e-mail mindössze 20 kilobyte méretű, így az e-mail rendkívül kevés tárhelyet foglal el postafiókban, vagyis az e-mail fogadása egyáltalán nem befolyásolja az e-mail-fiók használatát azáltal, hogy több megabyte helyett foglalna el az üzenet és így érzékelhetően csökkentené az érintettek számára rendelkezésre álló tárhelyet. Ezen körülmények alapján arra a következtetésre jutott a Kérelmezett, hogy az e-mail küldése, az e-mailen keresztüli kommunikáció csekély mértékben befolyásolja az érintettek magánszféráját. A Kérelmezett szerint továbbá a […]-ről szóló tájékoztatás az érintett számára kizárólag előnnyel járó lehetőségről szóló tájékoztatás. Ez volt az egyik oka annak, hogy ez a tájékoztatás néhány hónappal ezelőtt bekerült a levélbe, hiszen tekintettel arra, hogy a kedvezmény csak előnyt jelenthet az érintetteknek, a Kérelmezett úgy gondolta, hogy ez nem zavarja a magánszférájukat, mintha más természetű és reklámnak minősülő üzenetet küldtek volna a számukra.

e) Megfelelő garancia megléte (például titkosítás, álnevesítés) [általános adatvédelmi rendelet 6. cikk (4) bekezdés e) pont]: jelen adatkezelés kontextusára tekintettel az email-címek felhasználása tekintetében sem a titkosítás, sem az álnevesítés nem képzelhető el, hiszen ezek alkalmazásával nem lehetne a […] tárgyú e-mailt elküldeni az érintettnek. A Kérelmezett álláspontja szerint egyetlen e-mail küldése és abban a […]-ről szóló tájékoztatás észszerűen nem jár együtt a magánszféra megsértésének olyan mértékével, amely szükségessé tenné további garanciák alkalmazását. (29) A Kérelmezett nyilatkozata szerint tehát az általános adatvédelmi rendelet 6. cikk (4)

bekezdésére figyelemmel az eredeti céltól eltérő más célt is szolgál az e-mail küldése. Ezen másik cél az, hogy a Kérelmezett tájékoztassa az érintetteket a […] lehetőségéről, amely kedvezmény egyébként egy közel három éve folyamatosan, bármely érintett számára elérhető lehetőség. Az általános adatvédelmi rendelet (50) preambulumbekezdésére figyelemmel ezen adatkezeléshez sem szükséges új jogalap, ezért az általános adatvédelmi rendelet ezen rendelkezésére figyelemmel az adatkezelés jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja. (30) A Kérelmezett a nyilatkozata szerint nem rendelkezik egy külön adatbázissal, amely azt tartalmazná, kiknek küldi el a […] tárgyú e-maileket. Ez az e-mail is elsődlegesen olyan státuszüzenetnek tekinthető, mint más, a kézbesítés folyamatáról szóló e-mailben küldött értesítések, és éppúgy automatizált folyamatként, rendszerüzenetként kerülnek kiküldésre, mint más státuszüzenetek. (31) A […] tárgyú e-mail a szolgáltatás nyújtásához (postai küldemény kézbesítéséhez) kapcsolódó tájékoztatás (státuszüzenet), tehát az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja alapján küldött levél. Ezen e-mail esetében a Kérelmezett az általános adatvédelmi rendelet 6. cikk (4) bekezdése alapján az eredeti céltól eltérő, azonban azzal összeegyeztethető más célú üzeneteket is tartalmaz, és ekképp szerepelt benne az ügyfélelégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkérés, valamint a […]ről szóló tájékoztatás. A […] tárgyú e-mail, illetőleg annak ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkérése és a […]-ről való tájékoztatást ebből fakadóan nem önálló adatkezelések, így nem tekinthetők hírlevélnek, marketing üzenetnek vagy pedig önmagában az ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére felkérő emailnek. Tekintettel arra, hogy a Kérelmezett a Postatörvény, illetve az ÁSZF korábban idézett rendelkezéseire figyelemmel vállalta azt, hogy az érintetteknek a postai küldemény nyomonkövethetősége érdekében tájékoztatást nyújt a kézbesítés állapotáról, ezért nem lehetséges leiratkozni a státuszüzenetről, ez a szolgáltatás nyújtásának és a szerződésszerű tájékoztatásnak a része. (32) A Kérelmezett a […] tárgyú levelet a magánszemélyek közötti csomagküldésnél küldő és fogadó félnek, valamint az üzleti csomagoknál a fogadóknak küldi ki minden csomag esetében egyszeri alkalommal. Ennek alapján 2021. negyedik negyedéve és 2022. februárja között összesen 2 400 000 darabot küldött ki. A Kérelmezett ugyanakkor megjegyzi, hogy ez az összes darabszámot jelenti, amely nem egyenértékű azzal, hogy mennyi, az általános adatvédelmi rendelet 4. cikk 1. pont szerinti érintett is kapta meg ezen státuszüzenetet. A Kérelmezett ügyfelei között ugyanis vannak jogi személyek is, amelyek sok esetben a cég központi e-mail-címét adják meg a szolgáltatás igénybevétele során (amely „céges” e-mailcím a Hatóság gyakorlata alapján nem minősül személyes adatnak), és a Kérelmezett ezen e-mail-címre küldte el a státuszüzenetet. Ebből következően a Hatóság felhívására a Kérelmezett egy olyan kalkulációt végzett, melynek eredményeként megállapította, hogy 2021 negyedik negyedéve és 2022 februárja közötti időszakot tekintve egy hónapra vetítve a Kérelmezett hány természetes személynek küldhette el a státuszüzeneteket. (33) A Kérelmezett a kalkuláció során egyrészt figyelemmel volt arra, hogy amennyiben a csomag küldői és/vagy a címzettjei jogi személynek minősülnek, akkor sok esetben a cég központi email-címét adják meg a szolgáltatás igénybevétele során, amely „céges” e-mail-cím nem minősül személyes adatnak. Másrészt sok olyan e-mail-cím is lehet a rendszerben, amely esetében a Kérelmezett nem lenne képes annak meghatározására, hogy a felhasználó természetes személyként, egyéni vállalkozóként vagy jogi személy képviseletében használjae a szolgáltatást. A Kérelmezett hivatkozott arra a példára miszerint a kiss.virag@gmail.com e-mail-cím lehet, hogy Kiss Virág természetes személyhez tartozik, de az is lehet Kiss Virág egyéni vállalkozó használja, avagy pedig a „Kiss Virág” elnevezésű virágboltra is utalhat és így egy virágboltot üzemeltető cég tulajdonolja az e-mail-címet. Ez pedig releváns a becslés elkészítése szempontjából, hiszen a Hatóság gyakorlata alapján (például: NAIH/2018/5233/4/V. számú állásfoglalás vagy a NAIH-740-8/2022. számú határozat) az egyéni vállalkozók üzletszerű gazdasági tevékenységéhez használt adatai a célhoz kötött adatkezelés elvének tiszteletben tartásával szabadon felhasználhatóak, így pedig más megítélés alá esnek, mint a magánszemélyek e-mail-címeinek kezelése, míg a „céges” e-mailcímek – a Hatóság gyakorlata szerint is – nem tekinthető személyes adatnak. (34) A Kérelmezett szerint továbbá azon sajátosságot is figyelembe kell venni, hogy tapasztalatok szerint magasnak tekinthetőek azon természetes személyek aránya is, akik egy negyedéves időszakban két vagy több alkalommal is feladtak csomagot, akik ebből fakadóan két (vagy több) alkalommal is megkaphatták ezen státuszüzenetet. Ezzel párhuzamosan szintén magas azon felhasználók száma is, akik egy negyedéves időszakban két vagy több alkalommal is fogadtak csomagot A Kérelmezett szolgáltatásán keresztül, így tehát két (vagy több) alkalommal is megkaphatták ezen státuszüzenetet. (35) A Kérelmezett álláspontja szerint a fenti szempontokra tekintettel elvégzett kalkulációja alapján a négy hónapos időszakban egy hónapra vetítve 600.000 e-mailt küldhetett ki a Kérelmezett a felhasználóinknak. Ezen számadatból a fenti módszertan alapján le kell vonni azokat, akik

- „céges” e-mail-címre vagy egyéni vállalkozói e-mail-címre kapták meg a státuszüzenet természetes személyként két vagy több alkalommal adtak fel csomagot, természetes személyként két vagy több alkalommal fogadtak csomagot. (36) E számítások alapján a 2021. negyedik negyedéve és 2022. februárja közötti időszakot tekintve, egy hónapra vetítve a Kérelmezett 35.000 – 210.000 közötti számú természetes személynek küldhette el ezen státuszüzenetet. (37) A Kérelmezett az e-mail küldéséről szóló tájékoztatás kapcsán azt nyilatkozta, hogy egyrészt a szolgáltatás nyújtásához (postai küldemény kézbesítéséhez) kapcsolódó tájékoztatásról (státuszüzentekről) az ÁSZF 6.3.1. pontjában, 6.3.2. pontjában és 9.2. pontjában tesz említést, – ezt a 2021. november 22. és december 21. napján, a Kérelmezőnek címzett e-mailek küldése napján hatályos ÁSZF is tartalmazta –, mely szerint az ügyfelei automatikus rendszerüzenetben kapnak értesítést a csomagstátuszról. Másrészt az adatkezelési tájékoztató 4.1. pontja is tartalmazza azt, hogy a Kérelmezett a szolgáltatásokhoz kapcsolódó rendszerüzenetek küldéséhez, illetve a felhasználói elégedettség mérésére vonatkozó kérdőív küldéséhez felhasználhatja a személyes adatokat. (38) A Kérelmezett megküldte a Hatóságnak a 2021. november 22. és december 21. napján, a Kérelmezőnek címzett e-mail küldése napján hatályos adatkezelési tájékoztató másolati példányát, amelyet 2016. szeptemberben tett közzé a honlapján. Ennek 4.1. pontja tartalmazza a szolgáltatásokhoz kapcsolódó rendszerüzenetek küldését mint adatkezelési célt, azonban a tájékoztató szerint az érintett hozzájárulása az adatkezelés jogalapja. A tájékoztató ezen pontja tartalmazza továbbá adatkezelési célként a felhasználói elégedettség mérésére vonatkozó kérdőív küldését is, azonban nem mint a státuszüzenettel összeegyeztető adatkezelési célt. A […]-ről ugyanakkor nem található információ a tájékoztatóban. (39) A Kérelmezett a nyilatkozata szerint a Hatóság eljárására tekintettel egy, az adatvédelmi jog területén szakértelemmel rendelkező ügyvédi iroda felülvizsgálatát kérte az adatvédelmi megfelelőség tekintetében. Ez alapján a Kérelmezett arra a következtetésre jutott, hogy az adatkezelési tájékoztató módosítása szükséges, amelyet haladéktalanul elkészít, és azt továbbítja a Hatóság számára, illetve elküldi valamennyi érintett részére e-mailben, valamint a honlapján is nyilvánosságra hozza. (40) A Kérelmezett – figyelemmel a Hatóság NAIH/2018/1594/2/K. számú állásfoglalásában rögzítettekre, melyek szerint „a GDPR kifejezetten adatvédelmi szabályzatalkotási kötelezettséget nem ír elő az adatkezelők számára. A GDPR 24. cikk (2) bekezdése alapján az adatkezelőnek akkor kell belső adatvédelmi szabályokat is alkalmaznia – a személyes adatok védelmének biztosítása céljából megvalósított technikai és szervezési intézkedések részeként – ha ez az adatkezelési tevékenység vonatkozásában arányos” – álláspontja szerint önmagában a […] tárgyú e-mail nem teszi szükségessé azt, hogy erre vonatkozóan belső adatvédelmi szabályzatot készítsen, így nem rendelkezik ilyen tárgyú belső szabályzattal. (41) A Kérelmezett adatbázisa szerint a Kérelmező vélelmezhetően 2021. november közepén vette igénybe a szolgáltatását, és valószínűleg a panasza keltének napján, 2021. november 22-én vett át egy csomagot. A Kérelmezett vélelmezi, hogy a Kérelmező valamely webáruházból rendelt terméket, ennek során a Kérelmező választotta ki a kézbesítés módjaként a Kérelmezett szolgáltatását, és ily módon kapta meg a Kérelmezett a Kérelmező személyes adatait. (42) A Kérelmezett nyilatkozata szerint az informatikai rendszerében egy beállítási hiba miatt nem észlelte az […] e-mail-címre – melyhez eredetileg a Kérelmezett adatvédelmi tisztségviselőjének kinevezett munkavállalója fért hozzá – érkező leveleket, így a Kérelmező konkrét megkeresését sem. (43) A Kérelmező ebben a levelében a […] tárgyú leveleket kifogásolta, mivel álláspontja szerint a levél kéretlen direkt marketing tartalmú, és nem járult hozzá ilyen levél küldéséhez, és álláspontja szerint még leiratkozásra sem biztosít lehetőséget a Kérelmezett. A Kérelmező azt is kifogásolta a panaszában, hogy a levélben hivatkozott jogszabályi rendelkezéssel is ellentétes a […] tárgyú levél. Mindezek miatt a Kérelmező kérte, hogy az álláspontja szerint jogsértő levélküldési gyakorlatát szüntesse meg a Kérelmezett. (44) Az […] e-mail-címmel összefüggésben a Kérelmezett megjegyezte, hogy az eddigi tapasztalatok szerint, ha az ügyfeleknek panaszuk, kérelmük vagy észrevételük volt a Kérelmezett szolgáltatásával kapcsolatban, akkor jellemzően telefonon vagy az erre létrehozott űrlapon keresztül (amely az alábbi linken érhető el: […]) léptek kapcsolatba a Kérelmezettel. A Kérelmezett kifejezetten adatvédelemmel összefüggő kérelmet vagy kérdést eddig nem kapott azóta, amióta az […] e-mail-címet létrehozta, az ügyfeleik sem használták ezt (a Kérelmező kivételével). Jellemzően erre az e-mail-címre spam és más kéretlen reklámok érkeznek, érdemi ügyintézést igénylő levelet eddig csak a Kérelmező küldött. (45) Ugyanakkor a Hatóság eljárására tekintettel a Kérelmezett áttekintette ezen e-mail-cím, illetőleg -fiók eddigi kezelésének folyamatát, eljárásrendjét, melynek eredményeként az […] email-címet megszüntette, és helyette a jövőben az ügyfélszolgálati űrlapon, illetve a Kérelmezett központi e-mail-címén, az […] e-mail-címen keresztül fogadja az adatkezeléseivel összefüggő érintetti megkereséseket.

(46) Emellett a Kérelmezett a Kérelmezőnek 2022. február 25. napján válaszolt a levelére, amely választ másolatban a Hatóság részére is megküldött annak igazolására, hogy eleget tett a Kérelmező felé fennálló válaszadási kötelezettségének. (47) A Kérelmezett álláspontja szerint ugyanakkor a Kérelmező 2021. november 22-ei levele nem minősül az általános adatvédelmi rendelet 15-21. cikk szerinti joggyakorlásnak abban a tekintetben, hogy az érintett nem jelölte meg egyetlen olyan jogát sem, amelyet gyakorolni kívánt volna a Kérelmezettel szemben. (48) A Kérelmező nem kért hozzáférést a személyes adataihoz, nem kérte azok helyesbítését, törlését, korlátozását, illetve adathordozhatóság iránti kérelmet sem terjesztett elő. A Kérelmező kérelme legfeljebb tiltakozáshoz való jog gyakorlásának tekinthető, de a levele összességében azt mutatja, hogy valójában azt sérelmezi, hogy állítása szerint a Kérelmezett nem teljesítette az általános adatvédelmi rendelet 5-6. cikke szerinti adatkezelői kötelezettségeit. A Kérelmező ugyanakkor nem terjesztett elő a „saját helyzetével kapcsolatos okokat”, mint amelyet az általános adatvédelmi rendelet 21. cikk (1) bekezdése és Hatóság joggyakorlata megkíván ezen érintetti joggyakorlás feltételeként. (49) A Kérelmezett ezzel összefüggésben utalt a Hatóság NAIH-3476-1/2022. számú eseti döntésére, melyben a Hatóság kifejtette, hogy „a tiltakozás keretében a Kérelmező a Kérelmezett általa állított jogszabálysértéseit kifogásolta, de e körben nem a „saját helyzetével kapcsolatos okokra” hivatkozott. A tiltakozás körében felhozott érvek nem jelöltek meg a Kérelmező helyzetében sajátos ténybeli körülményeket, amelyek az általános érdekmérlegeléshez képest a Kérelmezett számára további egyedi érdekmérlegelést tett volna lehetővé. Ezek az érvek valójában az általános adatvédelmi rendelet 5-6. cikkében foglalt adatkezelés jogszerűségéhez tartoznak, de nem árulnak el a Kérelmező helyzetében rejlő olyan különös és specifikus személyi tényezőket, amelyek lehetővé tették volna a Kérelmezett számára az általános adatvédelmi rendelet 21. cikkében foglalt egyediesített érdekmérlegelést." (…) "A Hatóság álláspontja szerint azonban az adatalany saját helyzetével kapcsolatos okok nem azonosíthatók és nem helyettesíthetők az adatkezelői kötelezettségek esetleges megsértésének állításával. Ez alapján ugyanis az adatkezelő nincs abban a helyzetben, hogy egyediesített „felülmérlegelést” végezzen most már az érintett által előadott konkrét, specifikus, a saját élethelyzetével szorosan összefüggő okok feltárását követően, amelyeket az adatkezelő így bevonhat az általános érdekmérlegelés során esetleg még nem értékelt szempontok közé." (50) A Kérelmezett szerint a Hatóság ezen döntése értelmében nem tekinthető tiltakozási kérelemnek az olyan panasz, amelyben az érintett az adatkezelői kötelezettségek megsértését kéri számon az adatkezelőn. Erre tekintettel tehát a Kérelmező levele nem tekinthető az általános adatvédelmi rendelet 21. cikke szerinti tiltakozáshoz való jog gyakorlásának. (51) A Kérelmezett jogsértés megállapítása esetén esetlegesen kiszabandó adatvédelmi bírság megállapítása kapcsán kérte figyelembe venni, hogy a Kérelmezett a jelen határozat (12) bekezdésében említett ügyvédi iroda felülvizsgálatát kérte az adatvédelmi megfelelőség biztosítása érdekében. Ennek alapján a Kérelmezett módosította az adatkezelési tájékoztatóját, amelyet a Hatóság számára is megküldött. Az új adatkezelési tájékoztatót a Kérelmezett feltöltötte a honlapjára, illetve azt a felhasználók számára e-mailben is továbbította. Emellett a Kérelmezett úgy döntött, hogy belső adatvédelmi szabályzatot is készít és implementál annak érdekében, hogy a lehető legmagasabb szinten feleljen meg az általános adatvédelmi rendelet 5. cikk (2) bekezdésében szereplő elszámoltathatóság követelményének. (52) Abban az esetben, ha a Hatóság szerint nem elfogadható az, hogy a kézbesítés teljesítésének visszajelzéséről szóló státuszüzenetbe az általános adatvédelmi rendelet 6. cikk (4)

bekezdésére tekintettel bekerült a […]-ről szóló tájékoztatás is, és emiatt a Hatóság jogellenes adatkezelést kíván megállapítani, akkor a Kérelmezett álláspontja szerint a jogkövetkezmény alkalmazása szempontjából az alábbi körülményeket szükséges figyelembe venni:

a) Az adatkezelés egyetlen személyes adat, az e-mail-cím felhasználását jelentette (a név felhasználása pusztán udvariassági célt szolgált). Abban az esetben, ha a Hatóság jogellenesnek minősítené az adatkezelést, akkor is a kezelt adatok köre szempontjából egy rendkívül szűk hatókörű adatkezelésről van szó és semmilyen, a magánszféra szempontjából érzékenyebb adatra nem terjedt ki ez az adatkezelés.

b) Az érintettek számára nem járt semmilyen negatív következménnyel az, hogy a státuszüzenet részeként tájékoztatást kaptak a […]-ről. Abban az esetben, ha a Hatóság jogellenesnek minősítené az adatkezelést, akkor a Kérelmezett álláspontja szerint figyelembe kell venni azt, hogy a Hatóság hivatalos honlapján található és onnan letölthető Adatvédelmi hatásvizsgálati szoftver kitöltési segédlete („Tudásbázis”) az „elhanyagolható következmények” közé sorolja „a kéretlen levelek érkezését”. Vagyis Hatóság ezen szoftverben készített „Tudásbázisban” úgy foglal állást, hogy ha egy jogellenes adatkezelési műveletnek pusztán abban áll a negatív következménye, hogy az érintettek kéretlen levelet kapnak, akkor az egy elhanyagolható mértékű kockázatnak tekinthető csak. Ez is azt mutatja, hogy a Hatóság értékelése szerint is egy ilyen természetű jogsértés semmilyen, vagy legfeljebb rendkívül csekély negatív hatást jelent az érintettek számára.

c) Egy érintett vonatkozásában jellemzően egy alkalommal került sor a státuszüzenet kiküldésére, hiszen az érintettek a rendelési folyamat utolsó lépéseként kapták meg ezt az e-mailt. Abban az esetben, ha a Hatóság jogellenesnek minősítené az adatkezelést, nincs arról szó, hogy az e-mailek „zaklató” jellegűek (például heti rendszerességűek) lettek volna.

d) Ezzel összefüggésben a Kérelmezett kiemeli azt, hogy az is csökkenti a felelősségét, hogy az érintettek a státuszüzenet ezen részét, sőt magát a státuszüzenetet is figyelmen kívül hagyhatják, az nem kötelezi őket semmire sem, illetve az igénybe vett szolgáltatást nem befolyásolja. Az érintettek néhány másodperc alatt törölhetik a postafiókjukból ezt a státuszüzenetet.

e) Emellett, ha a Hatóság jogellenesnek minősítené az adatkezelést, a Kérelmezett fontosnak tartja kiemelni azt is, hogy a Kérelmezett és az érintettek között létező és releváns kapcsolat van (az érintettek a Kérelmezett ügyfelei), illetve a Kérelmezett az érintettek e-mail-címét jogszerűen, közte és az érintettek között fennálló jogviszony alapján szerezte meg. Maga a státuszüzenet kiküldése szorosan kapcsolódott az érintett által igénybe vett szolgáltatáshoz. Tehát egy esetleges jogellenes adatkezelés esetében az is csökkenti az a Kérelmezett felelősségét, hogy nem „idegen” érintettek e-mail-címét kezeli, vagy olyanokét, akik évekkel ezelőtt igénybe vették a Kérelmezett szolgáltatását, hanem egy néhány nap alatt lezajlott szolgáltatás teljesítése esetében, a teljesítés napján küldött üzenetként kapták meg egy alkalommal a státuszüzenetet. (53) Mindezek mellett a Hatóság rendelkezésére áll egy, a Hatóság munkatársának elektronikus címére 2024. február 19. napján küldött […] tárgyú e-mail, amely a szolgáltatás értékelésére, kérdőív kitöltésére hívja fel az érintettet. Az e-mail alján a fentiektől eltérően az a tájékoztatás szerepel, hogy a „[…], törvényi kötelezettség alapján biztosítja számodra a küldeményed elektronikus nyomkövetését.”

III. Alkalmazott jogszabályi rendelkezések

(54) Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. (55) Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII.

törvény (a továbbiakban: Infotv.) 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben meghatározott kiegészítésekkel kell alkalmazni. (56) Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. (57) Az Infotv. 38. § (2a) bekezdése alapján az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. (58) Az Infotv. 38. § (3) bekezdés b) pontja értelmében a 38. § (2) és (2a) bekezdés szerinti feladatkörében az e törvényben meghatározottak szerint különösen az érintett kérelmére és hivatalból adatvédelmi hatósági eljárást folytat. (59) Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. (60) Az Ákr. 103. § (1) bekezdése alapján a hivatalbóli eljárásokban e törvénynek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az e fejezetben foglalt eltérésekkel kell alkalmazni. (61) Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az Infotv.-ben meghatározott eltérésekkel. (62) Az általános adatvédelmi rendelet 4. cikk 1. pontja értelmében: „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.” (63) Az általános adatvédelmi rendelet 4. cikk 2. pontja szerint: „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.” (64) Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján: „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.”

(65) Általános adatvédelmi rendelet 5. cikk (1) bekezdés a) és b) pontja értelmében: „A személyes adatok: a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”) b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”).” (66) Az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) és b) pontja szerint: „A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges.” (67) Az általános adatvédelmi rendelet 6. cikk (4) bekezdése alapján: „Ha az adatgyűjtés céljától eltérő célból történő adatkezelés nem az érintett hozzájárulásán vagy valamely olyan uniós vagy tagállami jogon alapul, amely szükséges és arányos intézkedésnek minősül egy demokratikus társadalomban a 23. cikk (1) bekezdésében rögzített célok eléréséhez, annak megállapításához, hogy az eltérő célú adatkezelés összeegyeztethető-e azzal a céllal, amelyből a személyes adatokat eredetileg gyűjtötték, az adatkezelő többek között figyelembe veszi:

a) a személyes adatok gyűjtésének céljait és a tervezett további adatkezelés céljai közötti esetleges kapcsolatokat; b) a személyes adatok gyűjtésének körülményeit, különös tekintettel az érintettek és az adatkezelő közötti kapcsolatokra; c) a személyes adatok jellegét, különösen pedig azt, hogy a 9. cikk szerinti személyes adatok különleges kategóriáinak kezeléséről van-e szó, illetve, hogy büntetőjogi felelősség megállapítására és bűncselekményekre vonatkozó adatoknak a 10. cikk szerinti kezeléséről van-e szó; d) azt, hogy az érintettekre nézve milyen esetleges következményekkel járna az adatok tervezett további kezelése; e) megfelelő garanciák meglétét, ami jelenthet titkosítást vagy álnevesítést is.” (68) Az általános adatvédelmi rendelet 13. cikke értelmében: „(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:

a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás.

(2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja:

a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. (3) Ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról. (4) Az (1), (2) és (3) bekezdés nem alkalmazandó, ha és amilyen mértékben az érintett már rendelkezik az információkkal.” (69) Az általános adatvédelmi rendelet 58. cikk (2) bekezdése szerint: „A felügyeleti hatóság korrekciós hatáskörében eljárva:

a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.” (70) Az általános adatvédelmi rendelet 83. cikk (2) és (5) bekezdése alapján: „[…]

(2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. […] (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12–22. cikknek megfelelően; c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44–49. cikknek megfelelően; d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása. […]” (71) Az Infotv. 71. § (2) bekezdése értelmében: „A Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja.” (72) A Postatörvény 2. § 26. pontja szerint: „Nyomon követhető kezelés: a postai szolgáltató által alkalmazott technológia, amellyel a postai szolgáltató a postai küldemény egyedi azonosító jelzése alapján, interneten lekérdezhető információként vagy elektronikus hírközlési hálózat igénybevételével továbbított és dokumentált szöveges üzenetben küldeményenként tájékoztatást ad legalább a küldemény felvételének helyéről és dátumáról, a kézbesítésének dátumáról, az átvételi jogosultság alapjáról vagy sikertelen kézbesítési kísérlet esetén a küldemény további kezeléséről.” (73) A Postatörvény 5. § c) pontja alapján: „A postai szolgáltatás egyetemes postai szolgáltatást nem helyettesítő postai szolgáltatás lehet.” (74) A Postatörvény 8. § (1) bekezdés d) pontja értelmében: „Az egyetemes postai szolgáltatást nem helyettesítő postai szolgáltatásnak az alábbi, az egyetemes postai szolgáltatáshoz vagy az egyetemes postai szolgáltatást helyettesítő postai szolgáltatáshoz képest hozzáadott értéket képviselő postai szolgáltatások minősülnek: d) a (3) bekezdésben meghatározott, jelentős hozzáadott értéket képviselő speciális többletszolgáltatások közül legalább egyet magában foglaló postai szolgáltatás.” (75) A Postatörvény 8. § (3) bekezdés a) pontja szerint: „Speciális többletszolgáltatásnak minősülnek az alábbiak: a postai küldemény nyomon követhető kezelése.” (76) A gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló 2008. évi

XLVIII. törvény (a továbbiakban: Grt.) 3. § d) pontja alapján: „gazdasági reklám: olyan közlés, tájékoztatás, illetve megjelenítési mód, amely valamely birtokba vehető forgalomképes ingó dolog – ideértve a pénzt, az értékpapírt és a pénzügyi eszközt, valamint a dolog módjára hasznosítható természeti erőket – (a továbbiakban együtt: termék), szolgáltatás, ingatlan, vagyoni értékű jog (a továbbiakban mindezek együtt: áru) értékesítésének vagy más módon történő igénybevételének előmozdítására, vagy e céllal összefüggésben a vállalkozás neve, megjelölése, tevékenysége népszerűsítésére vagy áru, árujelző ismertségének növelésére irányul (a továbbiakban: reklám).” (77) A Grt. 6. § (1) bekezdése értelmében: „Ha külön törvény eltérően nem rendelkezik, reklám természetes személynek mint reklám címzettjének közvetlen megkeresése módszerével (a továbbiakban: közvetlen üzletszerzés), így különösen elektronikus levelezés vagy azzal egyenértékű más egyéni kommunikációs eszköz útján - a (4) bekezdésben meghatározott kivétellel - kizárólag akkor közölhető, ha ahhoz a reklám címzettje előzetesen egyértelműen és kifejezetten hozzájárult.”

IV. Döntés

(78) A Kérelmezett csomagküldemény felvételét, gyűjtését, feldolgozását, szállítását és kézbesítését magába foglaló postai szolgáltatást nyújtó gazdálkodó szervezet. E szolgáltatását a Kérelmezett csomagautomaták üzemeltetésén keresztül biztosítja. (79) A Kérelmezett ezen alaptevékenységéhez hozzátartozik az adatkezelés, melyet nagymértékben, napi szinten végez. A honlapján2 elérhető információk szerint a szolgáltatása nyújtása óta eltelt […] év alatt több, mint 1000 csomagautomatát telepített és több, mint 20 millió csomagot szállított.

IV.1. A […] tárgyú levelek és a […]-ről szóló tájékoztatás (80) Az általános adatvédelmi rendelet fogalommeghatározásai alapján a […] tárgyú e-mail küldésével összefüggésben kezelt név és e-mail-cím adat személyes adatoknak, a személyes adatokon elvégzett bármely művelet adatkezelésnek minősül.

2 […]

(81) Jelen ügyben a Kérelmező azt kifogásolta, hogy 2021. november 22. és december 21. napján a Kérelmezett megküldte neki a […] tárgyú – álláspontja szerint – direkt marketing tartalmú elektronikus levelet, melyre nem volt jogalapja, és a levél küldése általánosságban is sérti az általános adatvédelmi rendeletet. (82) Figyelemmel a Kérelmező által megkapott két levél dátumára, a Hatóság az ebben időszakban küldött levelek adatvédelmi szempontú jogszerűségét vizsgálta. Az ezen időszakot követő változások, így a Kérelmezett által hivatkozott, 2022. január 27. napjától végrehajtott és tervezett módosítások a […] tárgyú levelek szövegében és a levelek tárgyában, az adatkezelés jogalapjának módosítása a jogkövetkezmények és a határozat végrehajtása során vehetők figyelembe. (83) Az általános adatvédelmi rendelet 5. cikke tartalmazza azon fő alapelveket, amelyeket a személyes adatok kezelése során figyelembe kell venni, és amelyeknek folyamatosan érvényesülniük kell az adatkezelés során. Az általános adatvédelmi rendelet 5. cikk (2) bekezdés szerinti elszámoltathatóság követelményéből következően az adatkezelő felelős az adatvédelmi alapelveknek való megfelelésért, és képesnek kell lennie e megfelelés igazolására. Ez alapján az adatkezelő köteles úgy dokumentálni és nyilvántartani az adatkezelést, hogy annak jogszerűsége utólag bizonyítható legyen.

(84) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti jogszerűség, tisztességes eljárás és átláthatóság elve alapján az személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni. (85) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerinti célhoz kötött adatkezelés elvéből következően személyes adatok kezelése csak meghatározott, egyértelmű és jogszerű célból történhet. (86) Az adatkezelés jogszerűségének további követelménye, hogy az adatkezelésre az általános adatvédelmi rendelet 6. cikk (1) bekezdése szerinti valamely jogalapra hivatkozással kerülhet sor. (87) A Hatóságnak előadott kérelmezetti nyilatkozatok alapján a […] tárgyú e-mail elsődleges célja az, hogy a Kérelmezett a sikeres kézbesítésről visszajelzést adjon a címzett számára, illetőleg a termék szállításának folyamatairól státuszüzenetek útján nyújtson tájékoztatást, mely a Postatörvényből eredő kötelezettsége. Nyilatkozata szerint az ezzel összefüggő adatkezelés jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti szerződéses jogalap. Az e-mail küldésének további célja az ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkérés mellett a Kérelmező által kifogásolt, álláspontja szerint marketing tartalmú […]-ről szóló tájékoztatás. A Kérelmezett álláspontja szerint ez nem egy speciális marketing ajánlat, hanem ez egy állandó lehetőség bármely érintett számára, és az ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkéréshez hasonlóan, a […]-ről szóló tájékoztatás sem minősül külön adatkezelésnek. Ennek oka a Kérelmezett szerint az, hogy a Kérelmezett az e-mail-címeket nem használja fel külön ezen másik célú adatkezeléshez, hanem az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja alapján küldött, a státuszüzeneteket tartalmazó e-mail egészül ki új tartalmú üzenettel. (88) Ezen e-mail esetében a Kérelmezett álláspontja szerint az általános adatvédelmi rendelet 6.

cikk (4) bekezdése alapján a kézbesítésről, annak folyamatáról szóló tájékoztatással mint eredeti céllal összeegyeztethető a […]-ről szóló tájékoztatás mint más célú üzenet, illetőleg email-cím felhasználás, ahogyan az ügyfél-elégedettség megismerésére irányuló kérdőív kitöltésére vonatkozó felkérés is. A […] tárgyú e-mail […]-ről szóló tájékoztatása ebből fakadóan tehát nem önálló adatkezelés, így például nem tekinthető hírlevélnek, marketing üzenetnek. Tekintettel arra, hogy a Kérelmezett a Postatörvény, illetve az ÁSZF rendelkezéseire figyelemmel vállalta azt, hogy az érintetteknek a postai küldemény nyomonkövethetősége érdekében tájékoztatást nyújt a kézbesítés állapotáról, ezért nem lehetséges leiratkozni a […]-ről való tájékoztatást is tartalmazó státusz üzenetről, mert ez a szolgáltatás nyújtásának és a szerződésszerű tájékoztatásnak a része. A Kérelmezett, miután a Hatóság jelen eljárásának hatására felülvizsgálta adatkezelését, és ennek során többek között elvégezte az általános adatvédelmi rendelet 6. cikk (4) bekezdése szerinti szempontok vizsgálatát – melynek eredményét a Hatóság rendelkezésére is bocsátotta –, azt állapította meg, hogy a […]-ről szóló tájékoztatás mint az e-mail küldésének másik célja összeegyeztethető az eredeti adatkezelési céllal (a kézbesítés folyamatáról státuszüzenet küldése), ezért az általános adatvédelmi rendelet (50) preambulumbekezdésére tekintettel nincs szükség az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti jogalaptól eltérő, külön jogalapra. (89) E nyilatkozatoktól eltérően azonban a Kérelmezett által megküldött, 2021. november 22. és december 21. napján, a Kérelmezőnek címzett e-mailek küldése napján hatályos adatkezelési tájékoztató 2016. évben készült, melyet a Kérelmezett 2016 szeptemberében tett közzé a honlapján, és amely szerint az adatkezelés jogalapja az akkor hatályos Infotv. szerinti érintetti hozzájárulás. (90) A Hatóság az általános adatvédelmi rendelet alkalmazásának kezdőnapját megelőzően alkalmazott Infotv. szerinti jogalapnak, valamint a 2016-os adatkezelési tájékoztató általános adatvédelmi rendeletnek való megfelelőségére vonatkozóan nem tehet megállapításokat jelen adatvédelmi hatósági eljárásban, az azonban figyelembe veendő, hogy az általános adatvédelmi rendelet (171) preambulumbekezdése előírja, hogy az általános adatvédelmi rendelet alkalmazásának időpontja – 2018. május 25. – előtt megkezdett adatkezelést az általános adatvédelmi rendelet hatálybalépésének időpontjától – 2016. május 25. – számított két éven belül összhangba kell hozni e rendelettel. (91) A Kérelmezettnek ez alapján összhangba kellett volna hoznia a jelen ügyben vizsgált adatkezelést az általános adatvédelmi rendelet szabályaival, melyre azonban nem került sor teljeskörűen.

(92) A Kérelmezett, bár az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti jogalapot jelölte meg az adatkezelése jogalapjaként a nyilatkozatában, ennek a jogalapnak a tényleges alkalmazását semmilyen dokumentum nem támasztotta alá. A 2021. november 22. és december 21. napján, a Kérelmezőnek címzett e-mailek küldése napján hatályos és a Kérelmezett honlapján közzétett adatkezelési tájékoztató az Infotv. szerinti hozzájárulás jogalapját tartalmazta a […] tárgyú leveleivel összefüggésben, magának a tájékoztatásnak az egésze az Infotv. szabályaira épült. Ezen kívül a Kérelmezett által szintén hivatkozott ÁSZF sem támasztja alá az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti jogalap tényleges alkalmazását. Az ÁSZF 6.3.1., 6.3.2. pontja ezen kívül olyan rendszerüzenetekről rendelkezik, amelyeket a Kérelmezett kap, így azok a jelen ügy szempontjából nem relevánsak, míg az ÁSZF 9.2. pontja azt tartalmazza, hogy „a küldemény megérkezéséről és az átvétel lehetőségéről a Megrendelő vagy a Címzett automatikus rendszerüzenet útján kerül értesítésre a mobiltelefonszámra történő sms küldése útján, amely értesítésben megkapja a rekesz kinyitásához szükséges kódot.” Ebből a rendelkezésből sem következik, hogy a Kérelmezett a nyilatkozatának megfelelő jogalapon kezelte volna a Kérelmező – és más érintettek – személyes adatait. Ezen kívül az ÁSZF e rendelkezése nem tartalmazza az e-mail-cím kezelését sem. Az, hogy utólag, a Hatóság jelen eljárásának hatására a Kérelmezett módosította az általa is elismerten nem megfelelő, módosítandó adatkezelési tájékoztatóját, összhangba hozva nyilatkozatával és az adatkezelés jogalapjaként az általános adatvédelmi rendelet 6. cikk (1) bekezdésének b) pontját rögzítve, az azt megelőző időszakban vizsgált adatkezelésének jogi megítélését nem befolyásolja.

(93) Mindebből következően a Hatóság álláspontja szerint a Kérelmezett az eljárás hatására döntött az adatkezelés jogalapjának megváltoztatásáról, oly módon, hogy az Infotv. szerinti hozzájárulást módosította az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti jogalapra. (94) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti jogszerűség, tisztességes eljárás és átláthatóság elve értelmében a jogszerűség elsődlegesen a megfelelő jogalap létét feltételezi, azaz az adatkezelésnek az érintett hozzájárulásán kell alapulnia, vagy valamely egyéb, az általános adatvédelmi rendeletben rögzített jogalappal kell rendelkeznie, beleértve az adatkezelőre vonatkozó jogi kötelezettségeknek való megfelelés szükségességét, az érintett által kötött szerződés teljesítését és az azt megelőzően teendő lépéseket. Az átláthatóság követelménye szorosan kapcsolódik a jogszerűség elvárásához akként, hogy az adatkezelés folyamata, dokumentáltsága megismerhető legyen a külvilág számára. Az adatkezelő és az érintett között biztosított a kommunikáció, az adatalany az adatkezelés minden lényegi momentumáról értesül és ezt a tájékoztatást érthetően, egyszerűen, de lényegi tartalommal kapja meg. A hatékony és teljes körű tájékoztatás az átláthatóság elengedhetetlen eleme és küszöbfeltétele az érintett jogérvényesítésének. Az általános adatvédelmi rendelet a tájékoztatások írásba foglalását preferálja. Az átláthatóság elve megköveteli, hogy a személyes adatok kezelésével összefüggő tájékoztatás könnyen hozzáférhető és közérthető legyen, valamint, hogy azt világosan és egyszerű nyelvezettel fogalmazzák meg. Ez az elv vonatkozik különösen az érintetteknek az adatkezelő kilétéről és az adatkezelés céljáról való tájékoztatására. Az átláthatóság elve része és előfeltétele az elszámoltathatóság érvényesíthetőségének is. Az adatkezelőknek tájékoztatniuk kell az érintetteket és a nyilvánosságot arról, hogy az adatokat jogszerűen és átlátható módon fogják kezelni, és tudniuk kell igazolni, hogy az adatkezelési műveletek megfelelnek az általános adatvédelmi rendeletnek. Internetes szolgáltatásokkal kapcsolatban az adatkezelő rendszerek tulajdonságainak lehetővé kell tenniük, hogy az érintettek valóban megtudják, mi történik személyes adataikkal. (95) A fentiek szerint a Hatóság az Infotv. szerinti hozzájárulás jogalapjának és a 2016-os adatkezelési tájékoztatónak a megfelelőségét sem vizsgálhatja jelen eljárásban, az azonban megállapítható tehát, hogy a nyilatkozatoktól eltérően a 2016-os adatkezelési tájékoztató 4.1. pontja valóban tartalmazza a szolgáltatásokhoz kapcsolódó rendszerüzenetek küldését mint adatkezelési célt, azonban a tájékoztató szerint az érintett hozzájárulása volt ebben az időszakban az adatkezelés jogalapja. A tájékoztató ezen pontja tartalmazza továbbá adatkezelési célként a felhasználói elégedettség mérésére vonatkozó kérdőív küldését is, azonban nem mint a státuszüzenettel összeegyeztethető adatkezelési célt. A […]-ről ugyanakkor nem található információ a tájékoztatóban. A tájékoztatóban megemlített és ismertetett egyik adatkezelésnek sem az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pont a jogalapja. Ezen kívül a két, Kérelmezőnek küldött e-mail alján az a tájékoztatás szerepel, hogy a levelet a Postatörvény 54. § (2) bekezdés a) pontja alapján küldte a Kérelmezett. Az adatkezelés jogalapjának tehát nem állapítható meg a jogszerűsége, nem állapítható meg, hogy az adatkezelés megfelelne az általános adatvédelmi rendeletnek. (96) Fentiekre és arra tekintettel, hogy a Kérelmezett a vizsgált időszakban nem hozta összhangba adatkezelését az általános adatvédelmi rendelettel, nem állapítható meg, hogy a jelen eljárásban vizsgált adatkezelés megfelelő jogalapon alapult volna, ebből következően a Hatóság megállapítja, hogy a Kérelmezett a Kérelmező és más érintettek vonatkozásában megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti jogszerűség, tisztességes eljárás és átláthatóság elvét. Amiatt azonban, hogy a Hatóság nem vizsgálhatja az általános adatvédelmi rendeletet megelőzően beszerzett hozzájárulások jogszerűségét jelen eljárásban és nem egyértelmű a Kérelmezett által alkalmazott jogalap, az adatkezelés jogalapjának egyértelmű hiányát sem tudja megállapítani. Ebből következően a Hatóság elutasítja a Kérelmező azon kérelmét, mely szerint a Hatóság utasítsa a Kérelmezettet – a Kérelmező álláspontja szerint – jogszerűtlenül kezelésébe vett adatok megsemmisítésére. (97) A fentiekből következően megállapítható, hogy a Kérelmezett nem nyújtott az általános adatvédelmi rendeletnek megfelelő tájékoztatást az adatkezelésről, melyet a Kérelmezett megerősített azzal, hogy elismerte, az adatkezelési tájékoztató módosítása szükséges.

pontja alapján nem kezelheti a Kérelmező nevét és e-mail-címét a […]-ről történő tájékoztatással összefüggésben, ezért a Hatóság megtiltja a Kérelmező ezen személyes adatainak ezen jogalapon történő Kérelmezett általi kezelését.

IV.2. A Kérelmező Kérelmezettnél előterjesztett panasza (113) A Kérelmező kifogásolta azt is, hogy a Kérelmezett nem válaszolt az általa 2021. november

22. napján 12:13-kor, az […] e-mail-címre küldött érintetti panaszára.

(114) A Kérelmező ebben a levelében a […] tárgyú leveleket kifogásolta, mivel álláspontja szerint a levél kéretlen direkt marketing tartalmú, és nem járult hozzá ilyen levél küldéséhez, és álláspontja szerint még leiratkozásra sem biztosít lehetőséget a Kérelmezett. A Kérelmező azt is kifogásolta a panaszában, hogy a levélben hivatkozott jogszabályi rendelkezéssel is ellentétes a […] tárgyú levél. Mindezek miatt a Kérelmező kérte, hogy az álláspontja szerint jogsértő levélküldési gyakorlatát szüntesse meg a Kérelmezett. (115) A Kérelmezett nyilatkozata szerint az informatikai rendszerében egy beállítási hiba miatt nem észlelte az […] e-mail-címre érkező leveleket, így a Kérelmező konkrét megkeresését sem. A Kérelmezett a Kérelmező 2021. november 22-ei levelével kapcsolatos álláspontja ugyanakkor az, hogy nem minősül az általános adatvédelmi rendelet 15-21. cikk szerinti érintetti joggyakorlásnak abban a tekintetben, hogy az érintett nem jelölte meg egyetlen olyan jogát sem, amelyet gyakorolni kívánt volna a Kérelmezettel szemben. (116) A Kérelmezett nyilatkozata szerint a Kérelmező nem kért hozzáférést a személyes adataihoz, nem kérte azok helyesbítését, törlését, korlátozását, illetve adathordozhatóság iránti kérelmet sem terjesztett elő. A Kérelmező kérelme legfeljebb tiltakozáshoz való jog gyakorlásának tekinthető, de a levele összességében azt mutatja, hogy valójában azt sérelmezi, hogy állítása szerint a Kérelmezett nem teljesítette az általános adatvédelmi rendelet 5-6. cikke szerinti adatkezelői kötelezettségeit. A Kérelmező ugyanakkor nem terjesztett elő a „saját helyzetével kapcsolatos okokat”, mint amelyet az általános adatvédelmi rendelet 21. cikk (1) bekezdése és Hatóság joggyakorlata megkíván ezen érintetti joggyakorlás feltételeként. (117) A Hatóság, áttekintve a Kérelmező levelét, megállapította, hogy az a Kérelmezett nyilatkozatával megegyezően a Kérelmezett általános gyakorlatát kifogásolta, és a Kérelmezett adatkezelői kötelezettségeinek elmulasztását kéri számon anélkül, hogy konkrét, az általános adatvédelmi rendelet 15-21. cikk szerinti érintetti jogát kívánta volna érvényesíteni. (118) Emiatt a Hatóság megállapítja, hogy a Kérelmezett nem követett el jogsértést a Kérelmező érintetti joga gyakorlása vonatkozásában, így a Hatóság a kérelem ezen részét elutasítja. (119) A Hatóság ugyanakkor felhívja a Kérelmezett figyelmét arra, hogy mégha a Kérelmező által előterjesztett beadvány nem is az általános adatvédelmi rendelet 15–21. cikk szerinti érintetti jog gyakorlására irányuló kérelem volt, a Kérelmezettnek olyan eljárásrendet kell kialakítania, hogy egy beállítási hiba ne akadályozza a más adatvédelmi tárgyú levelek megválaszolását. A Hatóság ezért megfelelő intézkedésnek tartja, hogy a Kérelmezett a jelen eljárás hatására áttekintette az […] e-mail-cím és -fiók eddigi kezelésének folyamatát, eljárásrendjét, melynek eredményeként ezen e-mail-fiókot megszüntette, és helyette a jövőben az ügyfélszolgálati űrlapon, illetve a Kérelmezett központi e-mail-címén, az […] e-mail-címen keresztül fogadja az adatkezeléseivel összefüggő érintetti megkereséseket. (120) Emellett a Hatóság megfelelő intézkedésnek tartja azt is, hogy a Kérelmezett 2022. február

25. napján válaszolt a Kérelmező panaszára, amely választ másolatban a Hatóság részére is megküldött annak igazolására, hogy eleget tett a Kérelmező felé fennálló – nem érintetti jogi tárgyú – válaszadási kötelezettségének.

V. Jogkövet kezmé nyek

(121) A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapította, hogy a Kérelmezett az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontját sértve, a jogszerűség, tisztességes eljárás és átláthatóság elvébe ütközően használta fel a vizsgált időszakban a Kérelmező és más érintettek nevét és e-mail-címét a […] tárgyú levelekkel összefüggésben státuszüzenetek küldése és az ügyfél-elégedettség mérésére céljából, továbbá a […]-ről történő tájékoztatás céljából. (122) A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapította továbbá, hogy a Kérelmezett megsértette az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdését, mivel nem nyújtott megfelelő tájékoztatást adatkezeléseiről a Kérelmező és a további érintettek részére. (123) A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján utasította a Kérelmezettet arra, hogy a […]-tel összefüggő adatkezelését alapozza megfelelő jogalapra és nyújtson megfelelő tájékoztatást az adatkezeléseiről az érintettek számára. A Hatóság továbbá – jogalap hiányában – megtiltotta a Kérelmezettnek a Kérelmező és más érintettek nevének és e-mail-címének kezelését a […]-ről történő tájékoztatással összefüggésben. (124) A Hatóság megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértések esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság az adatvédelmi bírságot kifejezetten a Kérelmező – Kérelmezett vonatkozásában állapította meg, egyéb érintettek vonatkozásában nem. (125) A Hatóság a bírság összegének meghatározása során mindenekelőtt figyelembe vette, hogy a Kérelmezett által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek. (126) A Hatóság az adatvédelmi bírság összegének meghatározása során súlyosító körülményként vette figyelembe, hogy a személyes adatoknak a jogszerűség, tisztességes eljárás és átláthatóság elvébe ütközően történő felhasználása a Kérelmezett által megadott adatok figyelembe vételével 2021. negyedik negyedéve és 2022. februárja közötti időszakot tekintve egy hónapra vetítve 35.000 – 210.000 közötti számú természetes személyt érintett. Ha csupán a két határszámot vesszük alapul, a Hatóság saját becslése szerint a vizsgált időszakban, azaz az adatkezelés 2021. negyedik negyedévi bevezetésétől 2022. január 27-ig tartó időszakban összesen 175.000 – 1.050.000 közötti, tehát nagyszámú természetes személyt érintett [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont];

a Kérelmezett által elkövetett ezen jogszerűtlen adatkezelés rendszerszintű, mivel a Kérelmezett által előadott nyilatkozatok és általa becsatolt bizonyítékok alapján nem csak a Kérelmezőt érintette elszigetelt esetként, hanem általános adatkezelési gyakorlat volt [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont];

a Kérelmezett fent bemutatott alaptevékenységéhez hozzátartozik az adatkezelés, melyet nagymértékben, napi szinten végez. A honlapján3 elérhető információk szerint a szolgáltatása nyújtása óta eltelt 8 év alatt több, mint 1000 csomagautomatát telepített és több, mint 20 millió csomagot szállított. Ebből következően elvárható, hogy a Kérelmezett megfelelő adatvédelmi ismeretek birtokában, az adatvédelmi követelményeket betartva folytassa a jelen ügyben vizsgált adatkezelését [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont és k) pont].

3 […]

(127) A Hatóság az adatvédelmi bírság összegének meghatározása során enyhítő körülményként vette figyelembe, hogy különleges adatok kezelésére nem került sor [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont];

a Kérelmezett által elkövetett jogsértések gondatlanságból, az adatkezelés általános adatvédelmi rendelet alkalmazására tekintettel szükséges felülvizsgálatának elmulasztásából és a […]-ről szóló tájékoztatással összefüggő adatkezelés téves minősítéséből eredtek [általános adatvédelmi rendelet 83. cikk (2) bekezdés b) pont];

a Kérelmezett elmarasztalására az általános adatvédelmi rendelet megsértése miatt még nem került sor, továbbá ezen adatkezelés kapcsán további panasz sem érkezett a kiküldött milliós e-mailek után [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont];

a Kérelmezett az eljárás időtartama alatt felülvizsgálta a jelen ügyben vizsgált adatkezelését [általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont];

a Kérelmezett az eljárás hatására tett intézkedéseket a jogszerű adatkezelés biztosítása érdekében, és módosította a […] tárgyú levelek elnevezését és tartalmát, továbbá módosította adatkezelési tájékoztatóját [általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont];

a Hatóság jelentősen túllépte az ügyintézési határidőt [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont]. (128) A Hatóság a Kérelmezettel szemben kiszabott adatvédelmi bírság megállapítása során nem tartotta relevánsnak az általános adatvédelmi rendelet 83. cikk (2) bekezdés c), d), g), h), i) és j) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem értelmezhetők. (129) A Kérelmezett 2022. évi értékesítés nettó árbevétele nagyságrendileg 4.200 millió forint volt, így a kiszabott adatvédelmi bírság a kiszabható bírság maximumához képest távoli.

VI. Egyéb kérdések:

(130) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (131) A Hatóság jelen döntése az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A döntés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése és (4) bekezdés d) pontja, illetve a 114. § (1) bekezdése alapján a döntéssel szemben közigazgatási per útján van helye jogorvoslatnak.

* * * (132) Az Ákr. 135. §-a szerint a kötelezett a törvényes kamatnak megfelelő mértékű késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget. (133) A Polgári Törvénykönyvről szóló 2013. évi V. törvény 6:48. § (1) bekezdése alapján pénztartozás esetén a kötelezett a késedelembe esés időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni. (134) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pontjának aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja szerint olyan jogvitában, amelyben a törvényszék kizárólagosan illetékes, a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (135) A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi CXXX.

törvény 604. §-a szerint alkalmazandó, az Eüsztv. 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (136) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. (137) A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (138) Ha az előírt kötelezettségek és pénzfizetési kötelezettség teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a Kérelmezett a kötelezettségeit határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kérelmezett a Hatóság végleges döntésében foglalt kötelezéseknek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. (139) A Hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek – választása szerint – bankszámlára utalással vagy postai utalvánnyal. Budapest, 2024. április 29. Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár