Орган по защите данных Венгрии (NAIH): оценка соответствия измерения удовлетворённости клиентов на основе законного интереса

Iktatószám: NAIH-2857-20/2021 Tárgy: határozat

HATÁROZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt

……………………. kérelmezőnek (lakcíme: ……………………………………………….; a továbbiakban: Kérelmező) a …………………..…………………………-val/vel szemben (székhely: …………………………………………….; a továbbiakban: Kérelmezett) 2021. február 23. napján személyes adatok jogellenes kezelése tárgyában benyújtott kérelme alapján indult adatvédelmi hatósági eljárásban – melyben a Hatóság ügyféli jogállást biztosított a ……………………………………….………………………..-nak/nek (székhelye: …………………………….……………………; a továbbiakban: Importőr), valamint amelynek tárgyát a Hatóság kiterjesztette a Kérelmezett és az Importőr által végzett ügyfélelégedettségméréssel kapcsolatos általános adatkezelési gyakorlat vizsgálatára – az alábbi döntéseket hozza:

I. A Hatóság Kérelmező annak megállapítására irányuló kérelmét, hogy a Kérelmezett jogellenesen, megfelelő egyéni tájékoztatás és érvényes jogalap hiányában továbbította a Kérelmező email címét és gépjárműve technikai azonosító adatait az Importőr részére, elutasítja.

II. A Hatóság hivatalból megállapítja, hogy az Importőr megfelelő egyéni tájékoztatás és érvényes jogalap hiányában kezelte a Kérelmező email címét, lakcímét és telefonszámát, valamint a gépjárműve technikai azonosító adatait, ezzel az Importőr a Kérelmező személyes adatainak ügyfélelégedettség-méréssel kapcsolatos kezelése során megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679/EU rendelet (a továbbiakban: általános adatvédelmi rendelet) 5. cikk (1) bekezdés a) pontja szerinti jogszerű és átlátható adatkezelés elvét, a 12. cikk (1) bekezdése és az általános adatvédelmi rendelet 13. cikke szerinti – tömör, átlátható, érthető és könnyen hozzáférhető formájú, világosan és közérthetően megfogalmazott tájékoztatás nyújtásának kötelezettségét, az általános adatvédelmi rendelet 5. cikk (2) bekezdése szerinti elszámoltathatóság elvét, valamint a jogalap tekintetében az általános adatvédelmi rendelet 6. cikk (1) bekezdését.

III. A Hatóság hivatalból megállapítja, hogy az Importőr ügyfélelégedettség-méréssel kapcsolatos adatkezelési gyakorlata az indokolásban kifejtett okokból sérti az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti jogszerű és átlátható adatkezelés elvét, az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elvét, az általános adatvédelmi rendelet 6. cikk (1) bekezdését, és általános adatvédelmi rendelet 13. cikkét.

IV. A Hatóság a fenti adatvédelmi jogsértések miatt az Importőrt hivatalból

5 000 000 Ft, azaz ötmillió forint adatvédelmi bírság megfizetésére kötelezi.

V. A Hatóság a jogsértő adatkezelési gyakorlatra tekintettel az általános adatvédelmi rendelet

A IV. pont szerinti bírságot a jelen határozat véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a „NAIH-2857/2021 BÍRS.” számra kell hivatkozni. Ha az Importőr a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése, illetve a fenti V. pont szerinti kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását. A határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

INDOKOLÁS

I.

Az eljárás menete és a tényállás tisztázása

A Kérelmező 2021. február 23. napján AVDH hitelesítéssel érkezett kérelmet nyújtott be a Hatósághoz, amelyben előadta, hogy miután a Kérelmezettnél megvizsgáltatta/szervizeltette a gépkocsiját, megadta a Kérelmezettnek az email címét (……………..…………….). Ezen kapcsolatban kitöltsön egy elégedettségi kérdőívet, majd egy újabb emailt 2021. február 19én, melyben a válaszadás hiánya miatt ismét felkérték a kérdőív kitöltésére. Az emailek a Kérelmező ……………… típusú gépkocsijának alvázszámát is tartalmazták. A Kérelmező az emaileken szereplő leiratkozási hivatkozást nem használta, hanem a hatóság eljárását kezdeményezte, mivel véleménye szerint az általa ismeretlen forrásból származó emaileket eleve nem lett volna szabad megkapnia, és ezt az utólag nem orvosolható jogellenességet kérte megállapítani. A Kérelmező a Hatósághoz benyújtott kérelmében kérte annak megállapítását, hogy a Kérelmezett jogellenesen adta át a Kérelmező szervizelés során megadott email címét a felmérést készítő ………………. részére.

A Hatóság megkeresésére a Kérelmezett 2021. május 5-én érkezett válaszában többek között azt nyilatkozta, hogy bár ő is végez időnként felméréseket ügyfél-elégedettség mérés és reklám céljából, azonban a konkrét adatkezelés tekintetében az Importőr volt az adatkezeléssel kapcsolatos döntéseket hozó adatkezelő. Emiatt az Importőr jelen adatvédelmi hatósági eljárásba ügyfélként történő bevonása és a tényállás további tisztázása vált szükségessé, amelynek érdekében a Hatóság 2021. június 2-án a NAIH-2857-6/2021 számú, 2021. május 31. keltezésű végzést küldte ki az Importőr részére. A Kérelmezett a fenti válaszához mellékelte továbbá saját adatkezelési tájékoztatóját is, amely a nyilatkozata szerint a recepción illetve az ügyfélpultnál nyomtatva is hozzáférhető. A Kérelmezett szerint a Kérelmezett és az Importőr valamint a gépkocsik gyártója (……………………………., székhelye: ………………………………………….., a továbbiakban: Gyártó) közös gazdasági tevékenységet folytató vállalkozások az általános adatvédelmi rendelet alapján. A Kérelmezett által mellékelt 2020. december 21. keltezésű érdekmérlegelés szerint a Kérelmezett, mint adatkezelő piackutatás és ügyfélelégedettség-mérés céljából továbbít adatokat az Importőr valamint a Gyártó részére. Ezt megerősíti a Kérelmezett „2020. december” lábléc jelzésű, pontos hatályt nem megjelölő adatkezelési tájékoztató ….. pontja is azzal, hogy az Importőr az adatokat a(z) …………….. mint adatfeldolgozó felé is átadja. Az Importőr a Hatóság megkeresésére 2021. június 21-én érkezett válaszában megerősítette, hogy álláspontja szerint a vizsgált adatkezelés tekintetében az Importőr minősül adatkezelőnek, az Importőr határozza meg az adatkezelés célját és eszközeit. A Kérelmezett az Importőr márkaszerviz partnere. Ezen jogviszony keretében az Importőr és Kérelmezett között szoros együttműködés áll fenn. A Kérelmezett és a márkapartnerek által sztenderden használt munkalap az Importőr weboldalán elérhető adatkezelési tájékoztatójára mutató hivatkozást tartalmaz. Az Importőr a Kérelmezettől 2021. január 14. napján kapta meg a Kérelmező kapcsolati email címét és a gépjárműjavítás technikai adatait. Ezen adatokat az Importőr az adatfeldolgozója, a(z) …………………… részére adta át ügyfélelégedettségfelmérés készítése céljából, harmadik félnek nem továbbította. Az Importőr nyilatkozata és az Importőr weboldalán elérhető1, a válaszához mellékelt adatkezelési tájékoztatás szerint az ügyfélelégedettség-felmérés célú adatkezelés jogalapja az Importőr azon jogos érdeke, hogy a(z) …………….. gépjárművek kizárólagos magyarországi importőreként ellenőrizhesse, hogy a magyarországi márkakereskedő és márkaszerviz partnerek az elvárt minőségi követelményeknek megfelelnek-e. Ezzel kapcsolatban az Importőr érdekmérlegelési tesztet is csatolt válaszához. A tájékoztató szerint a kezelt adatok köre az ügyfél vezeték- és keresztneve, email címe, lakcíme, telefonszáma, a gépjárműve alvázszáma, rendszáma, műszaki adatai, az igénybe vett márkakereskedés vagy márkaszerviz neve, az igénybe vett szolgáltatás időpontja, és az esetleges visszajelzés tartalma. Az Importőr nyilatkozata szerint az iparágban bevett gyakorlat az ügyfél-elégedettség mérése. Mivel a Kérelmező tájékoztatása és tiltakozási jogának biztosítása kérdésében az Importőr válasza nem volt teljes körű, ezért a tényállás további tisztázása érdekében a Hatóság ismét megkereste az Importőrt és a Kérelmezettet. Az Importőr a Hatóság második megkeresésére 2021. július 30-án érkezett beadványában azt nyilatkozta, hogy az érintettek egyedi tájékoztatása a munkalap mellékleteként átadásra kerülő nyomtatott adatkezelési tájékoztató útján történik, ez az elvárt eljárási rend a márkapartnerek felé. A Kérelmezett a Hatóság második megkeresésére elektronikusan 2021. július 28-án, postai úton 2021. július 30-án érkezett beadványában azt nyilatkozta, hogy a recepción illetve az

1 https://……………………………………… ügyfélpultnál teszik hozzáférhetővé az adatkezelési tájékoztatót nyomtatva. Ezen felül az Importőr elvárása szerint az általános eljárása az, hogy az adatkezelésről szóban tájékoztatják az ügyfelet az adat bekérésekor, és a munkalap mellékleteként átadják az adatkezelési tájékoztató nyomtatott változatát. A szóbeli tájékoztatás része többek között, hogy az email cím megadása nem kötelező. Az egyedi esetben a Kérelmezett nyilatkozata szerint arról tájékoztatták szóban a Kérelmezőt, hogy az email cím megadása nem kötelező, azonban az ügyfél-elégedettség mérésre felhasználásról a Kérelmező nem kapott külön tájékoztatást. A jelen egyedi esetben a Kérelmezett munkavállalója elmulasztotta a munkalap kitöltését, Kérelmezővel aláíratását, és azzal együtt az adatkezelési tájékoztató nyomtatott változatának átadását a munkalap mellékleteként. A Kérelmezett mellékelte a ki nem töltött munkalap mintáját, amely tartalmaz az Importőr honlapjára hivatkozást, azonban nem az ügyfélelégedettség-méréssel kapcsolatban, hanem kifejezetten a szerződés teljesítése és jogszabályi kötelezettség jogalappal a szerviz teljesítésével kapcsolatban kezelt adatok tekintetében adja meg a hivatkozást, mint részletesebb információk forrását ezen adatkezelések tekintetében. Az Importőr által készített felmérésen kívül a Kérelmezett is küldött külön elégedettség-felmérést a Kérelmezőnek, amely ellen a Kérelmező nem tiltakozott, azt kitöltve visszaküldte. A Hatóság 2021. július 12-én küldött a Kérelmezőnek egy összefoglalót az addig feltárt lényeges tényekről. A Kérelmezett és az Importőr válaszai alapján az egyedi ügy nem volt elbírálható a Kérelmezővel kapcsolatos adatkezeléshez kapcsolódó általános gyakorlat vizsgálata nélkül, ezért a Hatóság 2021. augusztus 11-én hivatalból kiterjesztette az eljárást a Kérelmezett és az Importőr által végzett ügyfélelégedettség-méréssel kapcsolatos általános adatkezelési gyakorlat vizsgálatára. A Hatóság általános gyakorlatra, valamint az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 76. §-a szerinti záró nyilatkozatokra irányuló kérdéseire adott 2021. szeptember 2-án érkeztetett válaszában a Kérelmezett megküldte a saját külön ügyfélelégedettség-méréssel kapcsolatban használt kérdéseit és a Kérelmező erre adott válaszait, az Importőrnek továbbítandó személyes adatokat, valamint azt nyilatkozta, hogy fenntartja a 2021. május 4. napján kelt nyilatkozatait azzal a kérdéssel kapcsolatban, hogy az egyes továbbított személyes adatok miért szükségesek az ügyfélelégedettség-méréshez. E tekintetben az érdekmérlegelést ismételte meg, amely az egyes adattípusok szükségét nem támasztotta alá, azonban jelezte, hogy az adattovábbítással kapcsolatban a pontos válasz megadása az Importőr hatáskörébe tartozik, a Kérelmezett kizárólag az Importőrrel kötött szerződése alapján járt el. Hivatkozott arra is, hogy az Importőrrel kötött szerződés szerint a szerződésben a Kérelmezett részére biztosított jogok fejében kötelezettséget kellett vállalnia a vevők igényeinek legmagasabb szintű kielégítésére és ennek ellenőrzése körében az adattovábbítás biztosítására. A minimumkövetelményeket, az ezzel kapcsolatos keretet és sarokpontokat évente egyoldalúan az Importőr határozza meg. Az Importőr a szerződést egyoldalúan felmondhatja, ha az általa meghatározott módszerrel végzett ügyfélelégedettségmérés eredménye nem teljesíti az Importőr által meghatározott értékeket. A Gyártó részére a Kérelmezett nem továbbít személyes adatokat. Az Importőr részére a szervizelési információkat személyhez köthetően továbbítják, mivel véleménye szerint az ügyfélelégedettség-méréshez és az ügyfélkapcsolatok javításához szükséges az ügyfélazonosítás. Véleménye szerint az ügyfélkapcsolatok javítása az ügyfelek érdeke is. Az Ákr. 76. §-a alapján a Kérelmezett fenntartotta azon nyilatkozatát, hogy nem követett el adatvédelmi jogsértést, amikor jogos érdek alapján a Kérelmező email címét továbbította az Importőr részére. Véleménye szerint a Kérelmezett és az érintettek között releváns és megfelelő kapcsolat áll fenn, és a továbbított adatok nem érintik szükségtelenül vagy aránytalanul az érintettek magánszféráját, és az érintett a kereskedelmi szektorban elterjedt gyakorlat miatt számíthat erre. A Kérelmezett jelen ügyben és általában komoly erőforrásokat mozgósít annak érdekében, hogy alkalmazottai megfelelő tudatossággal és ismeretekkel kezeljék az ügyfelek személyes adatait. Kiemeli a felelőssége körében, hogy az adattovábbítási kötelezettségének tett eleget az Importőrrel kötött szerződése alapján, az Importőr elvárásainak megfelelően. Kéri figyelembe venni azt is, hogy a Hatóság még nem állapított meg Kérelmezettel szemben adatvédelmi jogsértést, mindent megtett a jogi megfelelőség érdekében, és a jelenlegi COVID-19 helyzet az egész szektorára rendkívül negatív hatással volt. Kérelmezett akként nyilatkozik továbbá, hogy KKV-nak minősül. A Hatóság általános gyakorlatra, valamint az Ákr. 76. §-a szerinti záró nyilatkozatokra irányuló kérdéseire adott 2021. szeptember 13-án érkeztetett válaszában az Importőr megküldte az ügyfélelégedettség-mérésre szolgáló kérdőívét, amelyek kérdései tartalmazták a Kérelmezett külön kérdéssorának kérdéseit és ezen felüli kérdéseket, többek között az érintett neméről és az életkoráról. Az Importőr azt nyilatkozta továbbá, hogy a gépjármű alvázszámát (és jelen szerviz esetben nem, csak új gépjármű értékesítése esetén a rendszámot) azért szükséges kezelnie az ügyfél-elégedettség méréssel kapcsolatban, hogy azonosítani lehessen melyik gépjárművel kapcsolatban kérik az érintett ügyfél véleményét. Az Importőr nyilatkozata szerint az ügyfél neve, email címe, telefonszáma, és lakcíme mind a kérdőív kitöltéséhez kapcsolatfelvétel és adott esetben a válaszok alapján további kapcsolatfelvételhez szükséges. A gépjármű meghibásodási adatai és a szerviz nevének, a szervizelés helyének és idejének adatai ahhoz szükségesek, hogy meg lehessen érteni milyen munkákkal volt elégedett és elégedetlen az ügyfél. Az ügyfél-elégedettség méréssel kapcsolatban kezelt adatok semmilyen más célra nem szükségesek, azokat csak e célból kezeli az Importőr. Az ügyfeleket és a gépjárművet azonosító adatokat ettől független módon kezeli az Importőr más célokból, de nem az adattovábbítás eredményeként. Amennyiben az ügyfél nem járul hozzá az adatai névvel kezeléséhez, akkor anonim továbbítja őket az Importőr részére a felmérést végző adatfeldolgozó ………….………. Az ügyfél azonosításának akkor van jelentősége, ha negatív vélemény esetén a panasz kivizsgálása szükséges. Az Importőr a Gyártó felé csak összesített anonim statisztikákat továbbít, konkrét személyes adatokat nem. Az Importőr nyilatkozata szerint azért természetes személyhez kötve kapja a márkaszervizektől a szervizelési adatokat az Importőr, mert csak így tudja elvégezni az ügyfélelégedettség-mérést. A válaszhoz csatolt márkaszerviz szerződés másolat IV. cikke megerősíti a Kérelmezett 2021. szeptember 2-án érkeztetett nyilatkozatában foglaltakat, miszerint az adattovábbítást az Importőr egyoldalú kötelezettségként írta elő a Kérelmezett számára, és annak feltételeit az Importőr egyoldalúan jogosult meghatározni és megváltoztatni, míg a Kérelmezett erre nem jogosult. A válaszhoz csatolt márkaszerviz szerződés másolat V. cikk 5. pontja szerint a márkaszerviz köteles az Importőr által meghatározott formában ügyfélnyilvántartást felállítani és napra készen tartani, amelynek adatait köteles rendszeresen és folyamatosan közölnie az Importőrrel a ………………. gépjárművek nyomon követhetősége, a rájuk vonatkozó jelenlegi és jövőbeni szabályozás betartásának követhetősége, az esetleges visszahívási kampányok szervezése és nyomon követése, a végső vevők közötti közvélemény kutatás szervezése, az ügyfelek elvárásainak leginkább megfelelő termékek és szolgáltatások kidolgozása és ajánlása céljából. Ettől függetlenül az Importőr és a Kérelmezett önálló gazdasági szereplők, önálló adatkezelőkként járnak el. Az Ákr. 76. §-a alapján az Importőr fenntartotta azon nyilatkozatát, hogy nem követett el adatvédelmi jogsértést, teljes mértékben jogszerűen járt el, és kiemeli, hogy az ügyfél-elégedettség mérés eredményét csak akkor kapja meg az adatfeldolgozótól, ha az ügyfél hozzájárult a neve megismerhetőségéhez. Az ügyfélelégedettség-mérés célja elsődlegesen tendenciák, trendek vizsgálata, nem áll fókuszában adott ügyfél válaszainak vizsgálata, csak negatív vélemény, panasz esetén. Az Importőr az adatkezelési műveletei során törekszik a gondos eljárásra és a vonatkozó jogszabályoknak megfelelésre, eddig ezzel az adatkezeléssel kapcsolatban nem kaptak panaszt, és a Hatóság sem járt még el az Importőr adatkezelésével kapcsolatban. Ennek ellenére esetleges jogkövetkezmény megállapításakor az Importőr kéri figyelembe venni azt, hogy a jelenlegi COVID-19 helyzet az egész szektorára rendkívül negatív hatással volt, valamint az alábbi körülményeket:

az adatkezelés jellege, köre és célja nem olyan, amely komoly mértékben az érintettek magánszférájába hatolna, az érintettek nem szenvednek el kárt, sőt, a fent kifejtetteknek megfelelően az adatkezelés az érintettek érdekét is szolgálja, az esetleges jogsértés gondatlan jellegű, az Importőr mint adatkezelő korábban nem követett el adatvédelmi jogsértést, ilyet a Hatóság nem állapított meg, Importőrrel szemben nem rendelték el az általános adatvédelmi rendelet 58. cikk (2) bekezdésében említett intézkedések valamelyikét, illetve a szóban forgó intézkedéseknek való megfelelést, - Importőr jóhiszeműen együttműködött a Hatósággal mindvégig az eljárás során, az adatkezeléssel érintett személyes adatok kategóriáiba nem esnek sem különleges személyes adatok, sem olyan személyes adatok, amelyek mélyen az érintettek magánszférájába hatolnának. Az Ákr. 76. §-a alapján a Hatóság 2021. szeptember 15-én felhívta a Kérelmezőt esetleges zárónyilatkozatai előterjesztésére, amely felhívást a Kérelmező 2021. szeptember 17-én átvette, azonban erre a megjelölt 15 napos határidőn belül nem terjesztett elő nyilatkozatot vagy kérelmet. Tekintettel arra, hogy Importőr erről nem nyilatkozott, a Hatóság a https://ebeszamolo.im.gov.hu közhiteles online adatbázis alapján rögzítette, hogy az Importőr 2020as éves nettó árbevétele (forgalma) ……………………………… Ft volt, az adózott eredménye pedig ………………………… Ft volt. II.

Az ügyben alkalmazandó jogszabályi rendelkezések

Az általános adatvédelmi rendelet 2. cikk (1) bekezdése szerint az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak az adatoknak a nem automatizált kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján „személyes adat” azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ, többek között az online azonosító is. Az általános adatvédelmi rendelet 4. cikk 2. pontja alapján „adatkezelés” a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés. Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján „adatkezelő” az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza. Az általános adatvédelmi rendelet 4. cikk 8. pontja alapján „adatfeldolgozó” az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel.

Az általános adatvédelmi rendelet 4. cikk 10. pontja alapján „harmadik fél” az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerint a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”). Az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerint az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”). Az általános adatvédelmi rendelet 5. cikk (2) bekezdése alapján az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). Az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerint jogszerű lehet a személyes adatok kezelése, ha az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az általános adatvédelmi rendelet (47) preambulumbekezdésének első három mondata szerint az adatkezelő – ideértve azt az adatkezelőt is, akivel a személyes adatokat közölhetik – vagy valamely harmadik fél jogos érdeke jogalapot teremthet az adatkezelésre, feltéve hogy az érintett érdekei, alapvető jogai és szabadságai nem élveznek elsőbbséget, figyelembe véve az adatkezelővel való kapcsolata alapján az érintett észszerű elvárásait. Az ilyen jogos érdekről lehet szó például olyankor, amikor releváns és megfelelő kapcsolat áll fenn az érintett és az adatkezelő között, például olyan esetekben, amikor az érintett az adatkezelő ügyfele vagy annak alkalmazásában áll. A jogos érdek fennállásának megállapításához mindenképpen körültekintően meg kell vizsgálni többek között azt, hogy az érintett a személyes adatok gyűjtésének időpontjában és azzal összefüggésben számíthat-e észszerűen arra, hogy adatkezelésre az adott célból kerülhet sor. Az általános adatvédelmi rendelet 12. cikk (1) bekezdése alapján az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az általános adatvédelmi rendelet 13. cikke sorolja fel azon minimálisan szükséges információkat, amelyeket az adatkezelő köteles az érintettek részére megadni, ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik:

a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;

b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;

c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;

d) az általános adatvédelmi rendelet 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei;

e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;

f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy az általános adatvédelmi rendelet 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás.

g) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól;

h) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról;

i) az általános adatvédelmi rendelet 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;

j) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról;

k) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása;

l) az általános adatvédelmi rendelet 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja. Az Infotv. 71. § (2) bekezdése alapján a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja.

Az Infotv. 75/A. §-a alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)–(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján a Hatóság utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja alapján a Hatóság a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. Az általános adatvédelmi rendelet 83. cikk (1) bekezdése alapján valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. Az általános adatvédelmi rendelet 83. cikk (2) bekezdése szerint a közigazgatási bírságokat az adott eset körülményeitől függően az általános adatvédelmi rendelet 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;

b) a jogsértés szándékos vagy gondatlan jellege;

c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;

d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa az általános adatvédelmi rendelet 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket;

e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések;

f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke;

g) a jogsértés által érintett személyes adatok kategóriái;

h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;

i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az általános adatvédelmi rendelet 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés;

j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát az általános adatvédelmi rendelet 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy az általános adatvédelmi rendelet 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. Az általános adatvédelmi rendelet 83. cikk (5) bekezdése szerint az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az általános adatvédelmi rendelet 5., 6., 7. és 9. cikknek megfelelően;

b) az érintettek jogai az általános adatvédelmi rendelet 12–22. cikknek megfelelően;

c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása az általános adatvédelmi rendelet 44–49. cikknek megfelelően;

d) az általános adatvédelmi rendelet IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek;

e) a felügyeleti hatóság általános adatvédelmi rendelet 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az általános adatvédelmi rendelet 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása. Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az Infotv-ben meghatározott eltérésekkel. Az Ákr. 10. § (1) bekezdés szerint ügyfél az a természetes vagy jogi személy, egyéb szervezet, akinek (amelynek) jogát vagy jogos érdekét az ügy közvetlenül érinti, akire (amelyre) nézve a hatósági nyilvántartás adatot tartalmaz, vagy akit (amelyet) hatósági ellenőrzés alá vontak. III.

Döntés

1. Az eljárás tárgya és ehhez kapcsolódóan az adatkezelő személye

A kérelemre indult eljárás tárgya az, hogy a Kérelmezett jogellenesen kezelte-e a Kérelmező személyes adatait. A hivatalból kiterjesztett eljárás tárgya az Importőr által az adatfeldolgozója, …………………….-n keresztül a Kérelmezőnek küldött ügyfélelégedettség-felmérés célú emailekkel kapcsolatos adatkezelés jogszerűségének vizsgálata az egyedi ügyben, különös tekintettel arra, hogy az Importőr a Kérelmező személyes adatait és a szervizelés adatait jogszerűen szerezte-e meg a Kérelmezettől. A hivatalból indult eljárás tárgya továbbá az Importőr ügyfélelégedettség-méréssel kapcsolatos általános gyakorlatának vizsgálata, és ezzel kapcsolatban az érdekmérlegelésének általános minősítése.

A rendelkezésre álló információk alapján nem történt a vizsgált adatkezeléssel kapcsolatban személyes adat továbbítása a Gyártó felé, így a Gyártó adatkezelésére a jelen eljárás nem terjedt ki, és annak kiterjesztése egyébként csak az illetékes francia adatvédelmi hatóság bevonásával lenne lehetséges. Erre irányuló kérelem hiányában nem az eljárás tárgya a Kérelmezett saját ügyfélelégedettség-felmérés célú adatkezelése a saját kérdőívével, mivel arra a Kérelmező panasza nem terjedt ki, azt a Kérelmező kitöltötte és visszaküldte, és az külön adatkezelés, amelyet nem az Importőr végez. A jelen eljárásban a Kérelmező kifejezetten az ellen tiltakozott, hogy a Kérelmezetten kívül más személy – tudomása szerint a(z) ……………….. is kezelte a személyes adatait, ennek tekintetében jogilag nem releváns az, hogy a Kérelmezett saját – Kérelmező által nem vitatott – felmérést is végzett. A Kérelmezett 2021. május 5-i nyilatkozata szerint közös gazdasági tevékenységet folytat az Importőrrel és (a jelen eljárásban nem vizsgált) Gyártóval. Az Importőr 2021. június 21-i nyilatkozata szerint az Importőr és Kérelmezett között szoros együttműködés áll fenn. A Hatóság többszöri felhívására sem a Kérelmezett sem az Importőr nem tett olyan nyilatkozatot vagy nyújtott be olyan iratot, amely közös adatkezelést támasztana alá, és az eljárásban feltárt körülmények sem utalnak erre. A Kérelmezett adatkezelési tájékoztatója a felmérési célú adattovábbítás (email cím, gépkocsi azonosító adatok, szervizelés adatai) tekintetében a Kérelmezettet jelöli meg adatkezelőként. Az Importőr és a Kérelmezett nyilatkozatai, valamint az Importőr honlapján is elérhető adatkezelési tájékoztatója szerint a panaszolt emailek kiküldésével kapcsolatban a döntéseket egyedül az Importőr hozta, az emailek küldésével közvetlenül összefüggő adatkezelés tekintetében az Importőr minősül adatkezelőnek. A Kérelmezett 2021. szeptember 2-án érkeztetett és az Importőr 2021. szeptember 13-án érkeztetett nyilatkozatai, valamint a 2021. szeptember 13-án mellékelt Importőr és Kérelmezett között létrejött – Importőr által általánosan használt – márkaszerviz szerződés IV. cikke és V. cikk 5. pontja alapján mind az ügyfél-elégedettség mérése, mind az azzal kapcsolatos adatkör meghatározása, mind a Kérelmezett adatok átadására kötelezése kizárólag az Importőr egyoldalú döntésén múlik. Ez alapján az Importőr határozhatja meg és módosíthatja bármikor egyoldalúan az ügyfél-elégedettség méréssel kapcsolatos adatkezelés célját, eszközeit és módját. Ennek módja a márkaszerviz szerződés, amely az általános adatvédelmi rendelet 28. cikk (3) bekezdése szerinti adatfeldolgozást meghatározó szerződésnek minősül. Az Importőr utasításainak kizárólagos követése mellett – az eset összes körülményére is tekintettel – a Kérelmezett a fenti jogviszonyban adatfeldolgozónak minősül. Az eset jelen határozat indokolásában kifejtett egyedi körülményei alapján a jelen eljárás tárgyát képező adatkezelés tekintetében az Importőr a kizárólagos adatkezelő, a Kérelmezett csak adatfeldolgozóként a márkaszerviz szerződés alapján jár el. Az adatfeldolgozó nem önálló adatkezelést végez, a tevékenysége az adatkezelő tevékenységének tekintendő, nem önálló célból és jogalappal jár el. Az általános adatvédelmi rendelet 4. cikk 10. pontja szerint nem minősül harmadik félnek az adatkezelő és a vele szerződéses viszonyban lévő adatfeldolgozói. Ennek megfelelően nem minősül harmadik személy részére történő adattovábbításnak az, ha a Kérelmezett az Importőr által meghatározott adatkezelés keretében, kizárólag az Importőr érdekében (negatív vélemény esetén a Kérelmezett érdeke ellenében) átadja az érintettek személyes adatait az Importőr részére, ez csak az Importőr érdekkörén belüli adatmozgásnak minősül.

2. A kérelem elutasítása

A fentiekben kifejtetteknek megfelelően mivel a kérelem a Kérelmezett adattovábbítása, adatkezelése jogszerűtlenségének megállapítására irányult, és a Kérelmezett nem követhetett el az adatkezelő felelősségi körébe eső jogsértést mivel nem adatkezelő a vizsgált adatkezelés tekintetében, ezért a Hatóság a rendelkező rész szerint elutasította a kérelmet. Azonban a Hatóság a lentiek szerint hivatalból vizsgálta az Importőr adatkezelésének jogszerűségét, valamint a jelen eljárás tárgyával összefüggő általános adatkezelési gyakorlatát. 3. A Kérelmező személyes adatainak Importőr általi kezelése az ügyfélelégedettségméréssel kapcsolatban 3.1. A megfelelő tájékoztatás hiánya Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerint az Importőr mint adatkezelő megfelelő intézkedéseket köteles hozni annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa. A megfelelő tájékoztatás rendszere az általános adatvédelmi rendeletben azt szolgálja, hogy az érintett tudatában lehessen annak, hogy mely személyes adatait, mely adatkezelő és mely célból, hogyan fogja kezelni. Ez elengedhetetlen ahhoz, hogy olyan helyzetben legyen, hogy érintetti jogait érdemben gyakorolni tudja. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontjára alapított adatkezelés esetén az általános adatvédelmi rendelet (47) bekezdése alapján fokozott tájékoztatási elvárás érvényesül. Eszerint az általános adatvédelmi rendelet 13. cikkében említett speciális információkon túl többlet feltétel többek között, hogy az érintett ésszerű elvárása ki kell terjedjen az adott adatkezelésre, arra számítania kell, és valamilyen közvetlen ügyféli vagy egyéb kapcsolat kell fennálljon az érintett és az adatkezelő között. Tekintettel arra, hogy a jelen esetben az Importőr az adatkezelő, így az Importőr és Kérelmezett közötti közvetlen jogviszony vizsgálandó, nem a gépjárművet értékesítő márkakereskedés vagy a Kérelmezett és Kérelmező viszonya. Megfelelő tájékoztatás hiányában értelemszerűen az érintett nincs olyan helyzetben, hogy érintetti jogait megfelelően gyakorolja. A tájékoztatási kötelezettség a fentiekben is kifejtettek szerint nem puszta „lepapírozási” kötelezettséget jelent az általános adatvédelmi rendeletben. Mind a preambulumban foglaltak, mind az általános adatvédelmi rendelet cikkei eredmény elérését írják elő az adatkezelő kötelezettségeinek meghatározásakor, nem csak egy meghatározott minimális erőfeszítés igazolását az adatkezelő részéről. A tájékoztatás célja, hogy olyan helyzetbe hozza az érintettet, hogy az megfelelő döntési helyzetben legyen az érintetti jogai gyakorlásával kapcsolatban. Az egyéni adatkezelés vizsgálatakor azt állapítja meg a Hatóság, hogy a konkrét érintett jelen esetben a Kérelmező – vonatkozásában teljesült-e a megfelelő tájékoztatás, azaz a Kérelmező milyen információkat kapott az adatkezelésről. Ezt egyedileg, az adott eset összes körülménye alapján a rendelkezésre álló bizonyítékok mérlegelésével állapítja meg a Hatóság. Az is nyilvánvaló a feltárt tényállás alapján, hogy a Kérelmező és az Importőr között nincs közvetlen jogi kapcsolat, ügyféli jogviszony. Az, hogy a Kérelmező ügyfele a Kérelmezettnek, a Kérelmezett pedig szerződéses partnere az Importőrnek, még nem teszi a Kérelmezőt az Importőr ügyfelévé, nem hoz létre automatikusan az általános adatvédelmi rendelet (47) bekezdése alapján elvárt kapcsolatot. Az általános gyakorlat vizsgálata nélkül a jelen egyedi esetben akkor lenne érdemi, kimutatható kapcsolat a Kérelmező és az Importőr között, ha a Kérelmező tudatában lenne az Importőr ezen tevékenységének. A Kérelmező a kérelmében kifejezetten a(z) ……………….-t jelölte meg, az Importőr szerepéről az emailekkel kapcsolatban sem az emailekből, sem előzetes tájékoztatásból nem tudott. Ennek kiderítése, utánakeresése külső forrásból nem az érintett kötelezettsége az általános adatvédelmi rendelet alapján, hanem a fentiekben kifejtettek szerint az adatkezelői kötelezettségek része a Kérelmezőt olyan helyzetbe hozni, hogy ezt ésszerűen ismerhesse. A Kérelmező által ki nem töltött és alá nem írt munkalapon egy egészen más jogalappal más célú (nem elégedettség-mérés) adatkezeléshez nagyon apró betűvel leírt hivatkozás semmiképpen nem felel meg az általános adatvédelmi rendelet szerinti megfelelő, világos és áttekinthető tájékoztatás követelményének, azt a Kérelmező semmilyen módon nem kapcsolhatta az ügyfélelégedettség-méréshez. A jelen esetben megállapítható, hogy az Importőr felelősségi körébe tartozó Kérelmezett mint adatfeldolgozó egyik alkalmazottjának eseti mulasztása miatt a Kérelmező nem kapta meg a munkalapot és annak mellékleteként a Kérelmezett és az Importőr adatkezelési tájékoztatását, továbbá szóban sem kapott tájékoztatást arról, hogy a Kérelmezettől eltérő személy fogja kezelni a Kérelmező email címét és egyes adatait. Csak arról kapott tájékoztatást – azt is nem bizonyíthatóan, szóban –, hogy nem köteles az email címét megadni, de ez önmagában nem elégséges információ az érintetti jogok tájékozott gyakorlásához és ahhoz, hogy megismerje azt, hogy pontosan mire is fogják használni az email címét és ez mely egyéb adatait érinti. A Kérelmezett részére át nem adott tájékoztató egyébként tévesen a Kérelmezettet jelölte meg az adattovábbítás adatkezelőjeként. A Kérelmezett külön is küldött egy elégedettség-felmérést a Kérelmező részére. A Kérelmező és Kérelmezett között lévő közvetlen ügyféli kapcsolat és az email cím megadása miatt ez ésszerűen várható volt a Kérelmező által, ez ellen nem tiltakozott a Kérelmező. Azonban a jelen ügyre kihatóan az is következik ebből, hogy – miután egy felmérést a Kérelmezettnek már kitöltött – megfelelő tájékoztatás hiányában a Kérelmező nem számíthatott ésszerűen arra, hogy az Importőr – akivel a Kérelmezőnek semmilyen korábbi kapcsolata nem volt megkeresi emailen egy újabb felméréssel, ráadásul egy harmadik személyen – a(z) ………………..-n keresztül, ráadásul egy olyan emailben, amely nem azonosította konkrétan sem az Importőrt, sem a Kérelmezettet. Az emailekben nem volt utalás a feladó tényleges kilétére (az Importőrre) és a személyes adatok forrására, ennek kiderítése pedig nem a Kérelmező mint érintett feladata. Ez alapján a Kérelmező jogosan hihette, hogy a(z) …………………. jogellenesen jutott a személyes adatai birtokába, és ezen helyzetet az Importőr, mint adatkezelő nem megfelelő eljárása idézte elő. Mind a kérelem tartalma, mind a tényállás tisztázás során feltárt tények alapján a Kérelmező nem számított és nem számíthatott arra, hogy email címét és egyéb személyes adatait az Importőr részére továbbítják és az Importőr meg fogja keresni. Az, hogy állítólagosan a Kérelmezett recepcióján az ezzel kapcsolatos tájékoztató létezik, szintén nem volt ésszerűen előrelátható a Kérelmezett által erre vonatkozó külön tájékoztatás hiányában, és nem életszerű pusztán erre alapozni az érintetti tájékoztatást, az nem teljesíti a fentiekben kifejtett fokozott elvárást és felelősséget. Különösen igaz ez olyan online adatkezelés esetén, ahol a megfelelő tömör tájékoztatás megadása semmilyen reális többlet költséget nem okozott volna az emailben. A fentieken túl az általános adatvédelmi rendelet 5. cikk (2) bekezdése kifejezetten az adatkezelő bizonyítási terhét állapítja meg a tekintetben, hogy a Kérelmező megfelelő tájékoztatása megtörtént-e. Az általános adatvédelmi rendelet nem zárja ki a szóbeli tájékoztatás lehetőségét, azonban az érintett ellentétes nyilatkozata esetén a megfelelő bizonyíthatóság hiányában a kétes helyzetet a Hatóság az általános adatvédelmi rendelet 5. cikk (2) bekezdése alapján főszabály szerint az adatkezelő, jelen esetben az Importőr terhére értékeli. Mivel a Kérelmezett nyilatkozatai alapján az egyedi esetben még a szóbeli tájékoztatás sem terjedt ki arra, hogy pontosan milyen célokból fogják felhasználni az adattovábbítással érintett személyes adatokat, ez – a fentiekben kifejtetteket is figyelembe véve – nem teljesíti az általános adatvédelmi rendeletben megkövetelt világos és egyértelmű, utólag ellenőrizhető tájékoztatás követelményét. A fentiek alapján az Importőr a Kérelmező vonatkozásában megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti jogszerű és átlátható adatkezelés elvét, a 12. cikk (1) bekezdése és az általános adatvédelmi rendelet 13. cikke szerinti – tömör, átlátható, érthető és könnyen hozzáférhető formájú, világosan és közérthetően megfogalmazott tájékoztatás nyújtásának kötelezettségét, valamint az általános adatvédelmi rendelet 5. cikk (2) bekezdése szerinti elszámoltathatóság elvét.

3.2. Az adatkezelés jogalapjának érvényessége a Kérelmező személyes adatai tekintetében

A Kérelmezett a tájékoztatójában és érdekmérlegelésében azon jogos érdekét jelölte meg az adattovábbítás mint elkülönült adatkezelési célként megjelölt, a Kérelmezett által végzett tevékenység jogalapjaként, hogy az Importőr mint harmadik személy jogos érdeke a ………………. gépjárművek kizárólagos magyarországi importőreként annak ellenőrzése, hogy a magyarországi márkakereskedő és márkaszerviz partnerek az elvárt minőségi követelményeknek megfelelnek-e. Ezt az Importőr 2021. június 21-i nyilatkozata is megerősítette. Ez önmagában nem jogszerűtlen érdek, azonban az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogalap fennállása szempontjából a megfelelő, nem jogszerűtlen érdek azonosítása csak az első lépés, ezen felül más szempontoknak is meg kell felelnie az adatkezelésnek ahhoz, hogy az az általános adatvédelmi rendelet szerinti jogos érdek legyen, amelyre adatkezelés alapozható. Fontos azt is kiemelni, hogy az adatok begyűjtése és továbbítása önmagában általában nem elkülönült adatkezelés, csak egy adatkezelési folyamat első művelete, amely az érdemi adatkezelést készíti elő, és az érdemi adatkezelés nélkül nincs saját célja és eredménye. Az egy célt és egy eredmény elérését – jelen esetben Importőr érdekéből történő felmérést szolgáló adatkezelési műveletek nem vizsgálhatóak egyenként, azok jogalapja, jogszerűsége attól függ, hogy az összes egy célt szolgáló adatkezelési művelet jogszerű-e, azok egyike sem valósít meg adatvédelmi jogsértést. Mivel az adatkezelésről – adott egyedi esetben gondatlanságból – az Importőr egyáltalán nem tájékoztatta a Kérelmezőt, így a tájékoztató tartalmának hiányossága érdemben nem befolyásolta a Kérelmező informáltságát, az az általános gyakorlatot érintő kérdés. A jogos érdek jogalappal kapcsolatban fontos hangsúlyozni, hogy az nem arra szolgál, hogy egyéb lehetőség hiányában az adatkezelő bármikor és bármilyen indokkal az egyéb jogalapok alkalmazhatóságának hiányában, a 6. cikk (1) bekezdés f) ponthoz fordulva kezeljen személyes adatokat. Bár látszólag a legrugalmasabb jogalapnak tűnik, annak alkalmazásával az adatkezelő jelentős felelősséget vállal – nem csak szűk értelemben a személyes adatok kezelésével, hanem az ahhoz kapcsolódó egyéb garanciális kötelezettségek teljesítésének felvállalásával is. Szorosan kapcsolódik ugyanis a jogos érdek jogalaphoz az általános adatvédelmi rendelet 5. cikk (2) bekezdésében foglalt elszámoltathatóság elve, mely az adatkezelőre a személyes adatkezelés átláthatóságát, pontosságát és tisztességességét szolgáló adminisztrációs terhek teljesítésének kötelezettségét jelenti. Nem „lepapírozásról” van tehát szó itt, hanem érdemi feladatról, mely megállapítás különösen igaz olyan adatkezelések esetében, ahol az adatkezelő és az érintett nincsenek közvetlen ügyféli vagy egyéb jogi kapcsolatban. A megfelelő garanciák hiányában ugyanis az érintetti jogok sérelmének veszélye olyan mértékű, hogy az érdekmérlegelés eredménye csak az lehet, hogy a harmadik fél jogos érdekét felülírják az érintetti jogai az adatkezeléssel járó kockázatok miatt.

Nagyon fontos azzal tisztában lennie az adatkezelőknek, hogy nem az érintett, valamint nem a Hatóság feladata és felelőssége egy hatósági eljárás során az adatkezelő helyett az adatkezelés céljának és a jogos érdekeinek azonosítása és indokolása. Azt, hogy milyen célból és milyen jogos érdekei miatt kíván személyes adatot kezelni, az adatkezelőnek kell konkrétan, adat- és célszintre lebontva egyértelműen indokolni, mérlegelni és ennek garanciáit megteremteni. Ezen garanciák kell, hogy biztosítsák többek között azt, hogy az érintett tisztában legyen az adatkezeléssel, és azzal szemben tiltakozni tudjon még az adatkezelést megelőzően, mivel az adatkezelést követően – különösen egy rövid ideig tartó vagy egyszeri adatkezelésnél – már kiüresedik a tiltakozási joga, így valójában nem biztosított ezen jog a számára. Az egyszeri elégedettség-mérő email küldése esetén kifejezetten igaz, hogy annak megtörténtét követően érdemi hatással a tiltakozás nem rendelkezik. Az Importőr mint adatkezelő döntésének minősül, hogy az adatkezelést a tájékoztató szerint a jogos érdekre alapozza az érintett kifejezett hozzájárulása helyett – amely például a marketing megkeresések jogalapja a munkalap szerint –, így az ezzel kapcsolatos kockázatokat az Importőr viseli. A jelen ügyben a fentiekben kifejtettek alapján megállapítható, hogy az általános adatvédelmi rendelet (47) preambulumbekezdésében meghatározott előreláthatósági és garanciális feltételek nem teljesültek, a Kérelmező nem tudott tiltakozni előre az adatkezeléssel szemben, az egyedi eset összes körülménye alapján azt és annak következményeit – az Importőr általi adatkezelést és ennek keretében email érkezését, amelyből nem derült ki, hogy pontosan ki küldte – ésszerűen nem láthatta előre. A megfelelő tájékoztatás és ebből adódóan érintetti joggyakorlásra képesség hiányában a jogos érdek jogalap a többi feltételtől függetlenül nem lehet érvényes a Kérelmező esetében. A fentiek alapján az Importőr a Kérelmező vonatkozásában a korábbiakban megjelölteken felül megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését.

4. Az Importőr ügyfélelégedettség-méréssel kapcsolatos adatkezelési gyakorlata

A Hatóság e körben hivatalból azt vizsgálta, hogy az Importőr által az ügyfelek elégedettségének mérése érdekében végzett általános gyakorlata felvet-e olyan adatvédelmi problémát, amelynek hivatalbóli észlelése esetén a Hatóság az adatkezelőt fel kell szólítsa annak orvoslására. A Hatóság által az indokolás III.3.1. és III.3.2. pontjában tett általános megállapítások a tájékoztatás tartalmáról és fontosságáról, valamint annak jogos érdek jogalap érvényességére gyakorolt hatásáról, az adatkezelő és az érintett közötti megfelelő kapcsolat fontosságáról az Importőr általános adatkezelési gyakorlata vonatkozásában is megfelelően irányadóak. Az Importőr a feltárt tényállás alapján érdemben hasonló tartalmú szerződéses rendelkezéseket alkalmaz a vizsgált adatkezelés tekintetében a márkapartnerekkel, így az Importőr és a Kérelmezett közötti márkaszerviz szerződés vonatkozó rendelkezéseit a Hatóság az Importőr általános gyakorlataként értékelte. Általánosan alkalmazott eljárása az Importőrnek, hogy az adatfeldolgozóján, például a(z) ……………….-n keresztül küldött email útján kéri meg az érintetteket az elégedettségmérés kitöltésére. Az érintett az email tartalmából nem tudhatja, hogy az Importőr a kérdéses emaileket küldő konkrét személy, az email címét ki és honnan szerezte meg, és ezzel kapcsolatban hol találhat több információt. Az emailben szereplő „az Ön ……………… márkakereskedője” és „az emailt a(z) …………… küldte a ……………… nevében” kifejezések nem csak semmitmondóak (nincs olyan jogi személy hogy ………………[autómárka]) és az adatkezelőt beazonosítani alkalmatlanok, de kifejezetten félrevezetőek, mivel nem a számos (konkrétan meg nem határozott) márkakereskedő egyike, hanem Importőr mint adatkezelő nevében küldték az emaileket. Ezt erősíti, hogy a szervizelés idején akár több év eltelhetett a gépjármű vásárlása óta, és nem feltétlenül a vásárlást bonyolító márkakereskedésben történik minden szervizelés. Az Importőr mint adatkezelő kötelezettsége nemcsak a megfelelő szervezési intézkedésekkel az előzetes tájékoztatás biztosítása, hanem az egyes érintettek részére küldött kommunikációban is fontos az átláthatóság, azonosíthatóság és minimálisan szükséges tájékoztatás megléte, hogy az érintett össze tudja kötni, hogy az előzetes tájékoztatásban megjelölt személytől kapta-e az adott emailt. Mivel napjainkban nagyon elterjedtek a kéretlen emailek, amelyek tipikusan káros programokra mutató hivatkozásokat is küldhetnek, ezért kiemelten fontos a nem az érintett kérésére küldött elektronikus üzenet esetén a küldő egyértelmű azonosíthatósága és a megfelelő tájékoztatás megléte függetlenül az előzetes tájékoztatástól. Az emailben nincs semmilyen információ arra vonatkozóan, hogy a személyes adatok forrása mi volt, és ki milyen jogalappal kezeli a Kérelmező pontosan mely személyes adatait. Az alvázszám feltűntetése az emailen szintén olyan személyhez kötve tárolt személyes adat felesleges kezelése, amely érdemben új információt nem ad az érintettnek, hiszen ő tudja, ha a napokban a gépkocsiját szervizbe vitte, de életszerűtlen annak elvárása, hogy az alvázszám alapján azonosítsa fejből a gépkocsiját. Sem adatkezeléssel kapcsolatos tájékoztatás, sem a konkrét adatkezeléssel kapcsolatos tájékoztatásra utaló hivatkozás nem volt az emailekben, pedig az elektronikus üzenetek révén semmilyen nehézségbe nem ütközött volna az email végén legalább a legalapvetőbb információk nyújtásáról gondoskodni (tényleges feladó mint adatkezelő, jogalap, forrás, tájékoztató a honlapon). Bár az emaileket az Importőr adatfeldolgozója küldte, annak tevékenységéért az Importőr mint adatkezelő úgy felel, mintha maga járt volna el, mivel az általános adatvédelmi rendelet az adatkezelőt teszi általános felelőssé a megfelelés tekintetében. A fentiek okán az érintettek nem is tudják gyakorolni az érintetti jogaikat, és tájékoztatást sem tudnak kérni az Importőrtől, mivel csak az adatfeldolgozót lehetett azonosítani az emailben, amelyhez semmilyen kapcsolat nem fűzte az érintettet. Az adatfeldolgozó adatkezeléssel kapcsolatos tájékoztatása sem volt az emailben fellelhető. A jogos érdekkel kapcsolatos mérlegelés során szintén fontos annak megfelelő alátámasztása, hogy a jogos érdekkel érintett cél eléréséhez legszükségesebb személyes adatokat kezelje az adatkezelő. A Hatóság felhívására az Importőr csak általános kijelentést tett arra vonatkozóan, hogy az általa az ügyfelek elégedettségének mérésével kapcsolatban kezelt valamennyi adattípus feltétlenül szükséges, azonban ezt semmivel sem támasztotta alá. Az alvázszám tekintetében a Hatóság a fentiekben már kifejtette, hogy ésszerűtlen elvárni egy érintettől annak fejből történő ismeretét, az alapján a kapott email automatikus szűkítését adott gépjárműre. Azonban az alkalmasság mellett a szükségesség is vitatható, mivel Importőr semmivel sem támasztotta alá, hogy milyen okból ne emlékezne az érintett arra, hogy pár napon belül szervizben járt a gépkocsijával, és ha adott esetben több gépkocsija van, melyikkel. Így ezen adat átadása az adatfeldolgozó részére és az emailben feltüntetése többségében szükségtelen és alkalmatlan a cél elérésére. Az Importőr szintén nem támasztotta alá azt, hogy miért szükséges egy emailes megkereséshez az érintett lakcím és telefonszám adata is. Mint azt az Importőr is nyilatkozta 2021. szeptember 13-án érkeztetett válaszában, az ügyfélelégedettség-mérés fő célja statisztikai, trend jellegű, így ahhoz szükségtelen az adott érintett azonosíthatósága. Mint azt az Importőr is nyilatkozta, csak akkor szükséges az érintett azonosítása, ha konkrét negatív véleményt, panaszt fogalmaz meg, és hozzájárult ahhoz, hogy ezt névvel továbbítsák az Importőrnek. Így a fenti statisztikai céllal kapcsolatban az érintettek nevének, lakcímének és telefonszámának beszerzése a márkapartnertől nem szükséges és alkalmas a meghatározott cél elérésére. A fentiek elmondhatóak a kérdőíven bekért, az érintett életkorára és nemére vonatkozó adatról is, ezek tekintetében sem támasztotta alá az Importőr, hogy a megjelölt elégedettségmérés és panaszkezelés célhoz milyen módon kapcsolódnának ezen adatok, és ezek nélkül miért nem érhető el a jogos érdekként azonosított cél. A fentiek alapján az Importőr az érdekmérlegelés során meg kellett volna vizsgálja, hogy az egyes szerviz adatok adott személyhez kötve történő begyűjtése és tárolása feltétlenül szükséges-e, vagy más módon is elérhetőek mind a statisztikai, mind a panaszkezelési célok. Például ha a márkapartner csak összesített statisztikai adatokat szolgáltat az Importőrnek hogy hány szerviz munkát végzett el mely alkatrészeken, és ettől függetlenül a vásárló vagy szervizszolgáltatást igénybevevő, megfelelő tájékoztatás alapján ez ellen nem tiltakozó személyek email címét küldi meg egy külön listán, akkor a kérdőív hivatkozást tartalmazó email ugyanúgy kiküldhető – megfelelő tájékoztatással az emailben arról, hogy ki miért küldte valójában – és a panaszt előterjesztők a kérdőíven szereplő vásárlási vagy szerviz dátum, márkapartner és email cím alapján – egyértelműen megjelölhetőek a márkapartner részére, amelyről részletesebb egyedi információ szükséges. Ehhez elegendő azon kapcsolati adat bekérése a kitöltő személytől, amelyen keresztül kommunikálni szeretne, egyszerre az email, lakcím és telefonszám nyilvánvalóan nem szükséges ehhez. A panasz ügyben névvel történő eljárás esetén– a kérdőív hozzájárulás kérési megfogalmazásával ellentétben – nemcsak a nevet kezeli az Importőr, így fontos annak megjelölése, hogy a megadott kapcsolati adatot és adott személyhez köthető gépjármű adatokat is kezelni fog az Importőr az érintetti hozzájárulás esetén. A Hatóság megjegyzi, hogy kifejezetten panaszkezelés céljából egyébként kérdéses a hozzájárulás jogalap használata, mivel annak visszavonása esetén a panasz kivizsgálása megszakad, azonban ez már az ügyfélelégedettség-mérést követő új adatkezelés, amely nem képezi a jelen eljárás tárgyát. Konkrét panasz és felfedés hiányában az adott érintetthez köthető egyedi szervizkörülmények vizsgálata az Importőr nyilatkozata szerint nem a cél része, így nem igazolja az azonosítható érintettek adatainak Importőr általi kezelését. Amennyiben az Importőr a fenti személyes adatokat mégis kezelni kívánja az ügyfélelégedettség-mérés keretében, azt alaposan meg kell tudnia érdemben indokolni, amelyet nem tudott megtenni a jelen eljárás során. Emiatt sem fogadható el az érdekmérlegelés eredménye. Tekintettel arra, hogy a Kérelmezett által a saját kérdőívén feltett kérdések tartalmilag azonosak voltak az Importőr által feltett kérdésekkel (azzal hogy az Importőr ezeken felül is tett fel kérdéseket), megfontolandó az érdekmérlegelés során annak figyelembevétele, hogy ekkora párhuzamosság szükséges-e, és az érintett különböző, átfedő felmérésekkel való bombázása elkerülhető-e kevesebb személyes adat kezeléssel, amely szintén nem merült fel szempontként az Importőr érdekmérlegelése során. E körben a Hatóság kiemeli, hogy a jogos érdek és általában a jogalapok fennállását adott adatkezelési céllal összefüggésben kell vizsgálni. Az, hogy az Importőr más célokból más jogalappal az érintettek azonos típusú személyes adatait kezeli, így ezeket ismeri, még nem teszi automatikusan jogszerűvé ezen adatok más célra felhasználását, az legfeljebb a tényleges adatvédelmi kockázatot csökkentő tényező lehet a jogkövetkezmény megállapításánál. Ugyanez a helyzet azzal az Importőr által felhozott érvvel, hogy korábban erre nem érkezett érintetti panasz, ráadásul az átláthatóság hiánya miatt sok érintett nem is volt olyan helyzetben, hogy tudja kivel szemben kell érintetti jogokat gyakorolnia.

A fenti adatvédelmi problémák figyelembevételével egyértelműen túlsúlyban vannak az érintetti jogokkal kapcsolatos kockázatok, amelyeket az Importőr nem mérlegelt megfelelően. Ezáltal az Importőr által azonosított érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek a személyes adatok védelmét teszik szükségessé, ezért az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti – vagy másik – jogalap nem áll fenn a vizsgált adatkezelés tekintetében a jelenlegi formájában. A fentiek alapján az Importőr ügyfélelégedettség-méréssel kapcsolatos gyakorlata sérti az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti jogszerű és átlátható adatkezelés elvét, az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elvét, az általános adatvédelmi rendelet 6. cikk (1) bekezdését, és általános adatvédelmi rendelet 13. cikkét.

IV. Jogkövetkezmények

Mivel a vizsgált ügyfélelégedettség-mérés célú adatkezelés a Kérelmező vonatkozásában már megszűnt, e tekintetben törlésre kötelezés nem szükséges a rendelkezésre álló információk alapján. Mivel nem érinti az általános adatvédelmi rendelet szerinti érintetti jogait, ezért az érintett ügyfélképessége nem terjed ki adatvédelmi bírság kiszabásának kérdésére. A Hatóság hivatalból vizsgálta, hogy indokolt-e az Importőrrel szemben adatvédelmi bírság kiszabása. Abban a kérdésben, hogy indokolt-e az adatvédelmi bírság kiszabása, a Hatóság jogszabályon alapuló mérlegelési jogkörben eljárva döntött, figyelemmel az Infotv. 61. § (1) bekezdés a) pontjára, az Infotv. 75/A. §-ára, valamint az általános adatvédelmi rendelet 83. cikk (2) bekezdésére és az általános adatvédelmi rendelet 58. cikk (2) bekezdésére. A Hatóság a Kérelmező vonatkozásában végzett egyedi adatkezelés jogellenességének megállapításán túl más intézkedést nem lát szükségesnek az egyéni kérelmes ügyben. A hivatalból vizsgált általános gyakorlat jogellenessége miatti hivatalbóli eljárásban a Hatóság az alábbiakat mérlegelte az adatvédelmi bírsággal kapcsolatban. A Hatóság a bírság szükségessége tekintetében nem vette figyelembe enyhítő körülményként az Importőr által hivatkozott gazdasági helyzetet, mivel az – közvetetten, az éves bevételen keresztül – csak a bírság szükségessége esetén annak mértékét befolyásolja, nem azt, hogy a bírságot szükséges-e kivetni, azt a jogsértés és annak körülményei határozzák meg az általános adatvédelmi rendelet 83. cikk (2) bekezdésének megfelelően. E tekintetben a Hatóság figyelembe vette a bírság összegének megállapításokor, hogy az Importőr 2020. évi adózott eredménye ……………………….. Ft volt, amely több mint ……………………. a 2019. évi adózott eredményének, míg az értékesítés nettó árbevétele 2020-ban ….. %-al csökkent a 2019-es szinthez képest. A Hatóság szintén nem vette figyelembe enyhítő körülményként azt, hogy az Importőr a Hatósággal az eljárás során együttműködött, mivel ez az általános adatvédelmi rendelet 31. cikke alapján minden adatkezelő és adatfeldolgozó kötelezettsége, ennek hiánya lenne figyelembe vehető súlyosbító körülményként. A Hatóság szintén nem vette figyelembe enyhítő körülményként az Importőr azon hivatkozását, miszerint az érintettek nem szenvednek el semmilyen kárt, sőt, az adatkezelés az érintettek érdekét is szolgálja, mivel a személyes adatoknak az általános adatvédelmi rendeletbe ütköző, az érintettek akaratát figyelembe nem vevő, szükségtelen adatokat használó adatkezelés sérti a személyes adatok védelméhez való jogot és általában szükségtelen adatbiztonsági kockázatot jelent, továbbá az elégedettség-mérés csak azon feltehetően kis számú – esetben szolgálja az érintett érdekét, ha panasza van, azt pedig az érintett maga is elő tudja terjeszteni kérdés nélkül, amennyiben Importőr erre megfelelő fórumot biztosít, nem szükséges az Importőr külön megkeresése. A Hatóság súlyosbító körülményként figyelembe vette az Importőr piaci súlyát, a potenciális érintettek számát (amely a KSH magyarországi új ……..…….. gépkocsi eladási statisztikái2 alapján legalább tízezres nagyságrendű), és hogy az általános gyakorlata az általa importált márka tekintetében kizárólagosan meghatározó Magyarországon. A Hatóság súlyosbító körülményként figyelembe vette azt, hogy nem áll rendelkezésre hatékony tájékoztatás és jogorvoslat az érintettek részére. E körben nem vehető figyelembe a Hatósághoz érkező panaszok kis száma, mivel a jogsértés lényegi eleme, hogy az érintettek nem kaptak megfelelő tájékoztatást az adott adatkezelésről és nem feltétlenül számítanak rá, így érdemben tiltakozni sem tudnak nagy számban. Az Importőr adatkezelésének kiterjedtsége és piaci pozíciója alapján elvárható lenne az Importőrtől, hogy ne kizárólag egyes ügyintézői egyedi és felügyelet nélküli döntésétől függjön az érintetti jogok gyakorolhatósága. A Hatóság súlyosbító körülményként figyelembe vette azt, hogy a jogsértés több éven át fennálló, folyamatos gyakorlat eredménye, és ennek megtervezése – illetve az általános adatvédelmi rendeletnek megfelelő áttervezése – elvi szinten volt átgondolatlan. A Hatóság figyelembe vette enyhítő körülményként azt, hogy a kezelt személyes adatok köre nem tartalmazott különleges kategóriába tartozó vagy egyéb okból szenzitív személyes adatot, és a személyes adatok jelentős része az érintett tulajdonában lévő gépjárműhöz kapcsolódó műszakai adat, az adatok egy részét pedig az Importőr más célból amúgy is kezeli, így az érintetteket érő kár az érintetti kör nagysága ellenére nem volt jelentős. A Hatóság figyelembe vette enyhítő körülményként azt, hogy az egyedi panasz ügyben a Kérelmezett mint adatfeldolgozó egy alkalmazottjának egyedi esetben előforduló hibájáról volt szó, és értékelte a Kérelmezett azon nyilatkozatát, hogy lépéseket tett a hasonló esetek jövőbeni elkerülése érdekében, valamint az Importőr azon előírását, hogy kötelezővé tette adatkezelési tájékoztató átadását az érintettek részére. A Hatóság figyelembe vette enyhítő körülményként azt, hogy a jogsértés gondatlan jellegű, nem irányult az érintettek megkárosítására vagy jogellenes haszonszerzésre, és a megjelölt érdek adott esetben megállhat jogos érdekként, ha az adatkezelés feltételeit megfelelően hozzáigazítják az általános adatvédelmi rendelet indokolásban kifejtett rendelkezéseihez. A Hatóság figyelembe vette enyhítő körülményként azt, hogy az Importőr korábban nem követett el adatvédelmi jogsértést, ilyet a Hatóság nem állapított meg vele szemben. A Hatóság mérlegelésének eredményeként a vizsgált általános gyakorlattal kapcsolatban az eset összes körülménye alapján bírság kiszabása szükséges mind a speciális, mind a generális prevenció érdekében ahhoz, hogy a jövőben biztosítva legyen a személyes adatok védelméhez való jog érvényesülése.

2 https://www.ksh.hu/docs/hun/xstadat/xstadat_evkozi/e_ode001b.html

A fentiek alapján a Hatóság a rendelkező rész szerint a maximálisan kiszabható összeg kb. három tízezredének (0,026%) megfelelő összegű adatvédelmi bírság kiszabását tartotta az eset összes körülménye alapján arányosnak és visszatartó erejűnek az Importőr vonatkozásában.

V. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége Magyarország egész területére kiterjed. Az Ákr. 112. § (1) és (2) bekezdése, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó közigazgatási perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel polgári perrendtartásról szóló 2016. évi CXXX. törvény (a továbbiakban: Pp.) 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője-elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Ha az előírt kötelezettségek teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettségeket határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kötelezett a Hatóság végleges döntésében foglalt kötelezésének nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. § -a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2021. október 27.

Dr. Péterfalvi Attila elnök c. egyetemi tanár