Орган по защите данных Венгрии (NAIH): обработка персональных данных благотворительным фондом

Ügyszám: Előzmény:

NAIH-446-3/2024. NAIH-4572/2023.

Tárgy: határozat

H AT ÁROZ AT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a Könnycsepp Nélkül a Beteg Gyermekekért Alapítvánnyal (székhely: 1193 Budapest, Vécsey utca

33., a továbbiakban: Kötelezett vagy Alapítvány) szemben az általános adatvédelmi rendelet rendelkezéseinek feltételezhető megsértése miatt hivatalból indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

1.A Hatóság megállapítja, hogy a Kötelezett az indokolás III.4. pontjában megjelölt időszakra vonatkozóan a telefonhívások során megsértette a GDPR 12. cikk (1) bekezdését, továbbá a 13. cikk (1)-(2) bekezdéseit azáltal, hogy az érintetteknek nem nyújtott megfelelő általános tájékoztatást a személyes adataik kezelésével kapcsolatban.

2.A Hatóság megállapítja, hogy a Kötelezett az indokolás III.4. pontjában megjelölt időszakra vonatkozóan megsértette a GDPR 12. cikk (2) bekezdését, azáltal, hogy a telefonhívások során nem segítette elő az érintettek érintetti jogainak gyakorlását.

3.A Hatóság megállapítja, hogy a Kötelezett az indokolás III.4. pontjában megjelölt időszakban folytatott adatkezelés tekintetében megsértette a GDPR 5. cikk (1) bekezdés a) pontja szerinti átláthatóság elvét azáltal, hogy az érintetteknek az adatkezelés jogalapjára vonatkozóan megfelelő, tényleges tájékoztatást nem nyújtott, illetőleg megtévesztő információt nyújtott az érintetteknek a jogalapról, továbbá az érintettek sem a telefonhívás során nem kaptak tájékoztatást az adatkezeléssel kapcsolatban, sem a honlapján nem nyújtott a Kötelezett tájékoztatást.

4.A Hatóság megállapítja, hogy a Kötelezett az indokolás III.5. pontjában megjelölt adatkezelés vonatkozásában megsértette a GDPR 6. cikk (1) bekezdését, mivel érvényes jogalap nélkül kezeli az érintettek személyes adatait.

5.A Hatóság megállapítja, hogy a Kötelezett az indokolás III.5. pontjában megjelölt adatkezelés vonatkozásában megsértette a GDPR 12. cikk (1) bekezdését és a 13. cikk (1)-(2) bekezdéseit azáltal, hogy az érintetteknek a telefonhívások során nem nyújtott tájékoztatást a személyes adataik kezelésével kapcsolatban.

6.A Hatóság a GDPR 58. cikk (2) bekezdés d) pontja alapján utasítja a Kötelezettet, hogy az indokolásban kifejtetteknek megfelelően akként módosítsa az adományozásra felhívó telefonhívásokkal kapcsolatos gyakorlatát, hogy az megfeleljen a GDPR rendelkezéseiben foglaltaknak, azaz csak akkor folytassa az adatkezelést, ha a megfelelő cél, jogalap, szükség esetén érdekmérlegelés és egyéb feltételek teljesítését követően az jogszerűen folytatható, egyéb esetekben az adatbázist törölje, továbbá a megtett intézkedésekről a Hatóságot haladéktalanul értesítse. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 61. § (6) bekezdése alapján a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve a közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

7.A Hatóság a fenti adatvédelmi jogsértések miatt a Kötelezettet hivatalból

1 000 000 Ft, azaz egymillió forint adatvédelmi bírság megfizetésére kötelezi.

A fenti 6. pontban előírt kötelezettség teljesítését a Kötelezettnek a jelen határozattal szembeni jogorvoslati határidő leteltét követő 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé.

A fenti 7. pont szerinti bírságot a jelen határozat véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425- 00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a „NAIH-446/2024 BÍRS.” számra kell hivatkozni. Ha a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg.

A bírság és a késedelmi pótlék meg nem fizetése, illetve a fenti 6. pont szerinti kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását.

Az eljárásban eljárási költség nem merült fel.

A határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

A Hatóság jelen határozatot a Hatóság honlapján a Kötelezett azonosító adatának megjelölésével közzéteszi.

INDOKOL ÁS

I. Az eljárás menete és a tényállás tisztázása

1. Előzmény ügyek (1) A Hatósághoz több bejelentés érkezett, melyben a bejelentők azt kifogásolták, hogy a Kötelezettől titkos telefonszámukra több alkalommal kéretlen, adakozásra felhívó telefonhívást kaptak, és annak ellenére, hogy kérték a hívás során, illetve írásban a Kötelezettől a személyes adataik törlését, a telefonhívások a törlést megerősítő szóbeli válasz, illetve adott esetben e-mailben történő visszaigazolás ellenére is folytatódtak.

(2) A bejelentések alapján a Kötelezettel szemben több vizsgálat indult és a Hatóság NAIH/2020/4620. ügyszám alatt hivatalból is vizsgálatot indított.

(3) Az ezen előzmény ügyekben feltárt tényállás alapján megállapítható volt, hogy nem kellően tisztázott a Kötelezett adatbázisában tárolt személyes adatok kezelésének és adatkezelési gyakorlatának jogszerűsége, így az adatkezelés jogalapja, célja, az érintettek tájékoztatásának megfelelősége, továbbá az érintetti joggyakorlás biztosításának

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program ( ÁNYK program) alkalmazásával tölthető ki. https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata megfelelősége. A Hatóság ezen okból 2023. március 31-én hivatalból adatvédelmi hatósági eljárást indított a Kötelezett adatbázisában tárolt személyes adatok kezelése és a Kötelezett adatkezelési gyakorlata jogszerűségének vizsgálatára.

(4) A Kötelezett az előzmény vizsgálati eljárásokban az alábbi, a döntés szempontjából releváns nyilatkozatokat tette:

(i) A Kötelezett a tevékenysége során az érintettek név, cím (irányítószám, település, utca) és telefonszám személyes adatait kezeli.

(ii) A személyes adatot az érintett önként és maga adja meg az első kapcsolatfelvételkor, amit fő szabályként telefonos megkeresése alkalmával ad meg a […] call centernek, mint adatfeldolgozónak (a továbbiakban: call center). Egyértelmű az érintett számára, hogy adatainak közlésével hozzájárul a személyes adatai kezeléséhez. Az érintett által megadott adatokat (név, lakcím, telefonszám) adja át a call center adatfeldolgozó a Kötelezettnek, amely a futárszolgálatnak átadva (második adatfeldolgozó) házhoz viszi a támogató/köszönő levelet.

(iii) A Kötelezett adatbázisában nyilvántartja az adományozói névsorát, és időnként önkéntesei segítségével telefonon ismételten megkeresi az adományozókat. Ezért a Kötelezettnek a személyes adatok kezelése jogos érdeke, ez működésének alapja. Az érintettek személyes adatait (név, lakcím, telefonszám) az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogos érdek jogalap alapján kezeli abból a célból, hogy az érintett adományozó legyen a Kötelezett missziójának támogatására és erre minél többször alkalmat adjanak neki.

(iv) A csatolt, 2020. január 1-i dátummal ellátott érdekmérlegelési tesztben foglaltak szerint „Az Alapítvány működéséhez elengedhetetlen adományok eseti és lehetőleg folyamatos gyűjtése. Az állampolgárok megszólítása, az Alapítvány tevékenységének bemutatása nélkül az emberek nem tudják eldönteni, kívánnak-e az ismertetett célra adományozni.”

„A telefonos megszólítás egyben beszélgetési alkalom is az Alapítvány nevében telefonáló hang és a magánszemély között, ez fontos és bizalomépítő módszer, a kérdéseire rögtön választ kaphat az érintett. Ezért az Adatkezelőnek elemi és jogos érdeke a kapcsolatfelvétel és a kommunikáció és ehhez a telefonhívás a legmegfelelőbb módszer.”

„Az adatfeldolgozónak kötelezettsége az adományozó érintett magánszemély személyes adatait elkérni és egyeztetni, hiszen az ügymenet része, hogy a futár személyesen keresi fel az adományozót. Csak az adományozó által megadott adatokkal és úgy tudunk pontosan és megbízhatóan és bizalmat építően eljárni, ha magával az adományozóval egyeztetjük le az adatait és elérhetőségeit és ő ezek önkéntes megadásával hozzájárul az adatkezeléshez.”

„A név, lakcím és telefonszám, mint minimalizált adatkérés nem mellőzhető, alap szükséglet az adománygyűjtés végrehajtásához és a naprakész nyilvántartáshoz.”

„Az adománygyűjtés személyes és bizalmas ügy, amit az Adatkezelő átláthatóan és a lehető legpontosabb nyilvántartással és alapossággal végez. Feladatai ellátásához jogos érdek a fenti eljárási rend betartása, ezért alapvető érdekeinek megfelelően a fent részletezett módszert és adatkezelést tartja egyedül megfelelőnek.”

(v) A Kötelezett nyilatkozata szerint az adatkezelés célja: kapcsolattartás a támogatókkal, tájékoztatás a Kötelezett munkásságáról és adománygyűjtés.

(vi) A kapcsolatfelvétel menetére vonatkozóan a Kötelezett akként nyilatkozott, hogy úgynevezett futárszolgálati programban kezeli a támogatói adatait, amelyből exportálhatók, majd szerkeszthetők a kapott adatok. Excel táblázatban telefonszám alapján kiszűrik azokat a támogatókat, akik kérték, hogy a jövőben ne keressék őket. A művelet után nyomtatásra kerülnek az adatok, amelyeket az önkéntes kollégáknak kiosztanak. Az önkéntes kolléga ebből a listából dolgozik. Felhívja a támogatót, aki már támogatta a Kötelezettet, és megköszöni az eddigi támogatását, továbbá tájékoztatja az aktuális gyűjtéssel kapcsolatban és újabb támogatását kéri.

(vii) A Kötelezett munkatársai azonban már kizárólag a meglévő adatokból dolgoznak. 2011. óta számos cég és magánszemély adományozott a Kötelezettnek. Kezdetben az interneten megtalálható adatokból, telefonszámokból dolgozott a Kötelezett, online tudakozók segítségével, interneten megtalálható cégek megkeresésével bővítették az adományozók körét.

(viii) 2016 augusztusa óta a Kötelezett call center megbízásával bonyolította az adománygyűjtési telefonos kampányát, 2018 januárjában ennek a feladatnak az ellátására a Kötelezett a [Társaság1-gyel]-vel kötött szerződést (a társaság neve időközben a call center nevére re módosult).

(ix) A Kötelezett által másolatban csatolt megbízási szerződés 1. pontjában foglaltak szerint a megbízott call center társaság „operátorai felhívják az adatbázisban szereplő telefonszámokat és a célszemély adományát kérik támogatására. Az értéklevél kiszállításához adatokat egyeztetnek/kérnek el (kontaktnév, levelezési cím, telefonszám).” A kampány célja: adománygyűjtés. Az adatbázist a megbízó Kötelezett szolgáltatja (összetétel: azon ügyfelek, akik már adományoztak a Kötelezett részére), amelyet legkésőbb a hívásokat megelőző napon átad a megbízott részére. Közös megegyezéssel a megbízott call center társaság lehetőséget biztosít a saját adatbázisának használatára is.

(x) Az együttműködés kezdetén a Kötelezett biztosította a társaság részére az adatbázist. Rövid időn belül azonban kiderült, hogy a meglévő támogatók jobban szeretnék a Kötelezett önkéntes kollégáival tartani a kapcsolatot. Ennek megfelelően kötötték a szerződést, hogy közös megegyezéssel a [Társaság1] is használja a saját nyilvános adatait, mint adatbázist az új adományozók felkutatására. A call center társaság csak a saját adatbázisából dolgozik, és azoknak a támogatóknak az adatait küldik át a Kötelezett részére, akik adományozni szeretnének.

(xi) A call center adatbázisáról, működéséről, munkájáról nem kapott tájékoztatást a Kötelezett. A Kötelezett már csak azon személyek leegyeztetett adatait (név, cím, telefonszám, kiszállítás napja, egyedi azonosítójuk) kapja meg a call center partnertől, akik a call center megkeresése során úgy nyilatkoztak, hogy adományozni szeretnének. A Kötelezett a támogatóknak futárszolgálat bevonásával megküldi az adományozáshoz kapcsolódó dokumentumokat, amelyeket a call center partner telefonon egyeztetett.

(xii) A Kötelezett nyilatkozata szerint az érintettek tájékoztatása az adatkezelésről a hívás során úgy valósul meg, hogy az adatfeldolgozó megbízott az adományozás lehetőségét elfogadó érintetteknek bemutatta a Kötelezett tevékenységét, megadta a Kötelezett elérhetőségeit és elkérte az érintettől az adományozáshoz feltétlenül szükséges személyes adatait (név, lakcím, telefonszám). A lakcím, név alapján kereste fel a futár a támogatót, telefonszám alapján pedig egyeztetett a Kötelezett az érintettel a futár érkezési időpontjával kapcsolatban.

A beszélgetés alapján, az abban foglaltakat elfogadva az érintett önként és saját elhatározásából adta meg az adományozáshoz szükséges személyes adatait, ezzel egyértelműen hozzájárult az adatai kezeléséhez és az is egyértelmű volt a számára, hogy a Kötelezett az adatkezelő.

(xiii) A call center hívása során a hívott fél részletes tájékoztatást kapott a Kötelezett munkásságáról. Amennyiben a hívott fél adományozni kívánt, a call center megküldte a Kötelezett részére jelszóval védett excel táblázatban az adományozni kívánó ügyfelek adatait.

A táblázatban az alábbi adatokat/információkat rögzítették az egyes adományozókhoz kapcsolódóan: Címzett neve/Címzett cég/Település/Utca/Irsz/Telefonszám/Adományozni kívánt összeg (utánvét összege)/Megjegyzés a futárszolgálatnak/Egyedi azonosító/Kiszállítás napja.

(xiv) A Kötelezett a táblázat alapján, futárszolgálat bevonásával elküldi a támogatónak az adományozói/támogatói levelet. Amennyiben az adományozó valamilyen összeget ajánl fel, a táblázatban szerepel az adományozni kívánt összeg, ennek megfelelően adóigazolást állít ki a Kötelezett az adományozó részére, köszönő levelet és egy tájékoztató levelet kap a Kötelezett munkásságáról a borítékban. A köszönőlevél tartalmazza a Kötelezett elérhetőségeit is.

Továbbá a call center is megadhatta a Kötelezett elérhetőségeit bármely hívás során, ha kérte az adományozni kívánó személy.

(xv) A köszönőlevél futárszolgálat bevonásával kerül átadásra.

(xvi) A Kötelezett önkéntesei 1-2 hónappal később ismét megkeresik telefonon a call centertől kapott adatok alapján az adományozó személyt, megköszönik a támogatást és megbeszélik a támogatóval, hogy kereshetik-e a jövőben, számíthatnak-e a támogatására.

(xvii) A csatolt köszönlevél minták, illetve a válaszlevélben előadottak szerint azokon az alábbi tájékoztatás szerepel/t.

A Kötelezett tájékoztatása szerint 2020. május 27-ig – illetve azon a csatolt köszönőlevél-mintán, amelyen a kipontozott keltezésénél évszámként 2011. szerepel - az alábbi tájékoztatás olvasható: „A Köszönőlevél elfogadásával, kézhezvételével Ön hozzájárul az adatai kezeléséhez, 2011. évi CXII. törvény, valamint az EU 2016/679 rendeletéhez. Alapítványunk adatait bizalmasan kezeli, azt harmadik félnek nem adja ki!”

A Kötelezett tájékoztatása szerint 2020. május 28-tól pedig a tájékoztatás az alábbiak szerint módosult: „A Köszönőlevél elfogadásával, kézhezvételével Ön hozzájárul az adatai kezeléséhez, 2011. évi CXII. törvény, valamint az EU 2016/679 rendeletéhez. Alapítványunk adatait bizalmasan kezeli, azt harmadik félnek nem adja ki! Amennyiben adatai törlését kéri, kérjük, hogy a [...] email címen szíveskedjen jelezni vagy a […]-es telefonszámon melyet a nap 24 órájában hívhat.”

(xviii) Az érintetti kérelmek teljesítésével kapcsolatos ügyintézési rendjével összefüggésben a Kötelezett akként nyilatkozott, hogy az érintettek többnyire közvetlenül a telefonban jelzik, ha élni kívánnak bármelyik érintetti jogukkal, illetve e-mail címen, vagy postai úton szoktak érintetti kérelemmel fordulni a Kötelezetthez. Az sms-ben kért törlést, valamint az önkéntes kollégának telefonon jelzett törlést azonban nem tudják elfogadni, mivel nem jut el a Kötelezetthez. A megbízott call center olyan telemarketing szoftvert használ, amely nem tud sms-t fogadni, csak kimenő hívásokat indítani és bejövő hívásokat fogadni. A Kötelezett dolgozói, illetve az önkéntesek kötelesek jelezni a Kötelezett vezetői felé a beérkezett érintetti kérelmeket, a Kötelezett nyilatkozata szerint azonban ez nem minden esetben valósult meg, emiatt az adatfeldolgozók értesítése sem történt meg pontosan az egyes kérelmek végrehajtásáról.

(xix) Törlési kérelem esetén a Kötelezett akként jár el, hogy excel táblázatban („Robinson lista”) rögzítik azon támogatók telefonszámát, akik törlést kértek. Amikor a futárszolgálati programból kiimportálják az újbóli megkereséshez az adatokat, abból kiszűrik a Robinson listában szereplő adatokat. A törlést kérő támogatókat adataik törléséről e-mailben vagy telefonon tájékoztatják.

(xx) A Kötelezett futárszolgálati programja szolgál egyben az adatkezelése nyilvántartásaként, ebben tárolja az érintettek adatait. A futárszolgálat tájékoztatása szerint a futárszolgálati programból nem lehet törölni a törlést kérő ügyfelek adatait, csak zárolni tudják azokat, a futárszolgálat adatmegőrzési kötelezettsége miatt. Ezen adatokat titkosítva tárolják.

(xxi) Kötelezett az adatkezelése során igénybe vesz adatfeldolgozókat. Ha a támogató adományt nyújt a Kötelezettnek, a Kötelezett megbízásából két futárszolgálat végez adatkezelést: a [Társaság2.] (illetve az abból kiválással létrejött [Társaság3]) és a [Társaság4].

(xxii) A Kötelezett weboldalán 2021 márciusában, illetőleg 2021 júliusában elérhető adatkezelési tájékoztatóban – a webarchívumban elérhető adatok alapján szereplő információk szerint az adatkezelés jogalapja a jogos érdek, a hozzájárulás a személyes adatok kezeléséhez, illetve szerződés teljesítése. Az adatkezelési tájékoztatóban foglaltak szerint a Kötelezett fő tevékenysége adományok gyűjtése és eljuttatása a rászorulókhoz.

2. A jelen adatvédelmi hatósági eljárás során feltárt tények

(5) Tekintettel arra, hogy az előzmény vizsgálatok során feltárt információk alapján valószínűsíthető volt, hogy a Kötelezett megsértette az általános adatvédelmi rendelet rendelkezéseit, a Hatóság az Infotv. 55. § (1) bekezdés a) pont ab) alpontjára tekintettel döntött 2023. március 31-én a vizsgálatok lezárásáról és jelen adatvédelmi hatósági eljárás megindításáról.

(6) A Hatóság megkeresésére a Kötelezett 2023. április 21-én érkezett és NAIH-4572-3/2023. számon iktatott beadványában nyilatkozott.

A Kötelezett a Hatóság kérdéseire adott válaszokon túl előzetesen az alábbi nyilatkozatokat tette:

(i) A Kötelezett működése során önkéntesei telefonon keresik meg azon személyeket, akiknek az Alapítvány céljait be kívánják mutatni, és akiknek segítségét kérik az Alapítvány által támogatott személyek, intézmények támogatására.

(ii) Az önkéntesek egyrészt gazdasági társaságokat, szervezeteket keresnek meg az interneten közzétett elérhetőségeiken, másrészt a Kötelezett korábbi adományozóit keresik meg annak érdekében, hogy az aktuális gyűjtésről tájékoztassák őket.

(iii) A telefonhívás során, ha a megkeresett személy adományozni kíván, úgy amennyiben ez korábban nem történt meg – rögzítik a címét, melyre a futárszolgálat útján a köszönőlevelet kiküldik, illetve ahonnan tárgyi vagy pénzadomány esetén az adományt a futárszolgálat felveszi.

(iv) 2019-ben a Kötelezett a támogatói kör bővítése céljából megbízott egy call center szolgáltatót, hogy vegye fel a kapcsolatot a Kötelezett korábbi támogatóival, illetve jogszerű adatbázisok használatával további potenciális támogatókat keressen meg.

Mivel a támogatóktól több panasz érkezett a call center munkájával kapcsolatban, és jelezték, hogy szívesebben veszik az Alapítvány önkénteseinek megkeresését, a call centernek azt az utasítást adta a Kötelezett, hogy a továbbiakban kizárólag új támogatók megkeresésével foglalkozzon.

(v) A call center a Kötelezett által ismeretlen forrásból szerzett adatok alapján kereste meg a potenciális támogatókat, a Hatóság által jelzett panaszok is ezen érintettektől származtak. Erre tekintettel a Kötelezett megszüntette az együttműködést a call centerrel.

(vi) 2019-2021 közötti években a Kötelezett munkája a covid járványra tekintettel megnehezedett, nehezebb volt a támogatókat elérni, a Kötelezett irodája egy időre be is zárt.

(vii) 2022-ben, amikor a Kötelezett működése helyreállt, az adatkezelési tevékenységeket és folyamatokat is felülvizsgálta a Kötelezett, illetve számos olyan dokumentum készült, melyek a jogszerű működés alapját képezik. Az önkéntesei számára adatvédelmi oktatást tartottak, és az önkéntesek által alkalmazott segédanyagot is kiegészítették adatvédelmi hivatkozással.

(viii) Az adatokat jelenleg papír alapon és elektronikusan, excel táblázatokban kezelik. Az ún. futárprogram a futárszolgálat adatfeldolgozó felülete, melyre kizárólag azon adatok kerülnek feltöltésre, mellyel az adatfeldolgozónak feladata van.

(7) A Kötelezett válaszlevelében akként nyilatkozott, hogy a korábbi nyilatkozatait az alábbi eltérésekkel tartja fenn:

(i) A Kötelezett adatkezelőként a korábbi támogatók név, cím és telefonszám személyes adatát kezeli. A személyi jövedelemadó felajánlást tevő személyek adatait kizárólag akkor kezeli a Kötelezett, ha nevének és elérhetőségi adatainak közléséhez az érintett az adóbevalláson az erre vonatkozó jelölőnégyzet megjelölésével hozzájárult.

(ii) Adomány nyújtására lehetőség van a Kötelezett bankszámlájára történő közvetlen átutalás formájában, készpénz- vagy tárgyi adomány átadásával a […] futárszolgálat (a továbbiakban: futárszolgálat) részére, illetve a személyi jövedelemadó 1 %-ának felajánlásával.

(iii) A Kötelezett kétféle módon toboroz jelenleg adományozókat: egyrészt korábbi támogatóit keresi meg az Alapítvány új céljainak bemutatásával, másfelől cégeket, szervezeteket keres meg és figyelmükbe ajánlja az Alapítvány működését és céljait. A Kötelezett ismeretlen magánszemélyeket jelenleg nem keres meg.

A Kötelezett önkéntesei telefonon megkeresik a Kötelezett adatbázisában szereplő korábbi támogatókat. A telefonbeszélgetés során figyelmükbe ajánlják az Alapítvány által jelenleg támogatott célokat és támogatást kérnek. Amennyiben a megkeresés sikeres és a megkeresett személy adományozni kíván, úgy pontosítják címét az adatbázisban, ahová a futárt küldik a köszönőlevéllel, az adomány felvétele céljából. A futárszolgálat részére az adatokat a Kötelezett úgy adja át, hogy az adatokat feltöltik a futárszolgálat saját futárprogramjába, így azok elérhetővé válnak a futárszolgálat részére.

(iv) A Kötelezett az adományok gyűjtésével kapcsolatban kizárólag a futárszolgálat szolgáltatásait veszi igénybe. A futárszolgálat feladata, hogy az adományozni kívánó személyeknek eljuttassa a köszönőlevelet, illetve a felajánlott adományokat a Kötelezett részére eljuttassa.

(v) A Kötelezett jelenleg nem gyűjt magánszemélyekről személyes adatokat, kizárólag saját adatbázisát használja, melyben korábbi támogatóit rögzíti. Ezen kívül cégeket, szervezeteket keres meg a nyilvánosságra hozott elérhetőségeiken. Továbbá arra is van példa, hogy egy megkeresett cég nem adományoz, azonban annak képviselője magánszemélyként dönt az Alapítvány támogatása mellett. Ebben az esetben az ő adatait rögzítik az adatbázisban.

(vi) A Kötelezett az adatkezelése jogalapjával kapcsolatban akként nyilatkozott, hogy a korábbi nyilatkozatai tekintetében tévedésben volt, és a Hatóság a jelen nyilatkozatában foglaltakat vegye figyelembe.

Nyilatkozata szerint a Kötelezett a támogatói adatait jogos érdekből kezeli, tekintettel arra, hogy a Kötelezett jogos érdeke, hogy céljainak elérése, a támogatott célok finanszírozása érdekében támogatásra hívja fel potenciális támogatóit. Potenciális támogatónak minősülnek a korábban adományt nyújtó személyek. A megkeresett érintettek bármikor élhetnek tiltakozási jogukkal az adatkezeléssel kapcsolatban. Az érintettek jogait és a Kötelezett érdekeit ebben a tekintetben összevetették, és az adatkezelés jogszerűségének alátámasztására érdekmérlegelési tesztet készítettek.

(vii) A Kötelezett az érintetti kérelmek kezelésére új eljárásrendet dolgozott ki, melyet minden telefonos megkeresést végző érintettnek átadtak. Ezen kívül a honlapon is elhelyeztek egy tájékoztatót, melyben az érintetti kérelmek benyújtásának fórumait rögzítették. Ezzel kívánják elkerülni, hogy pl. SMS küldésével kísérelje meg az érintett a jogait gyakorolni, ugyanis az önkéntesek által használt telefonok ezek kezelésére nem alkalmasak.

Az érintetteknek lehetőségük van a telefonos megkeresés során szóban közölni az érintetti kérelmüket. Annak érdekében, hogy a kérelem megfelelően feldolgozásra kerüljön, egy formanyomtatvány készült az önkéntesek részére, amelynek kitöltése segíti a kérelem rögzítését és feldolgozását.

(viii) Az adatvédelmi felülvizsgálat keretében új adatkezelési tájékoztató is készült, melyet minden önkéntesnek a rendelkezésére bocsátottak, és az alapvető tudnivalókról oktatást is szerveztek. A tájékoztató a honlapon is elérhető, az önkéntesek ennek elérhetőségére felhívják a figyelmet a telefonbeszélgetés kezdetén is.

(ix) Az adatokat excel táblázatban tartják nyilván az iroda központi számítógépén. Ebből az adatbázisból kapnak kivonatot az önkéntesek a megkeresések teljesítéséhez.

A korábban hivatkozott futárprogram nem a Kötelezett programja, hanem a futárszolgálat adatfeldolgozóé.

(x) A Kötelezett nyilatkozata szerint a Hatóság lefoglalást elrendelő végzésében foglaltaknak eleget téve biztonsági mentést készített az excel file-okról, melyeket az aktuális adatbázistól külön kezel.

(xi) A Kötelezett továbbá nyilatkozata szerint a […]-val van szerződéses kapcsolatban, amelynek az üzleti felületén lehetőség van arra, hogy a tiltott számokat betáplálják, így az önkéntesek nem is tudnak majd azokra a számokra hívást indítani.

(xii) A Kötelezett csatolta az éppen folyó adománygyűjtő kampánya telefonos segédanyagát, melyet az önkéntesek használnak és a köszönőlevél mintát, amelyet a támogatóiknak küldenek ki.

A telefonos segédanyag az alábbi adatkezelésre vonatkozó tájékoztatást tartalmazza:

„Jó napot kívánok, a könnycsepp alapítványtól keresem!

Az Alapítványról bővebb információ, illetőleg az adatkezelési tájékoztató a következő weboldalon érhető el: www.konnycseppnelkul.hu/ Ha az adatkezeléssel kapcsolatban kérdése van, e-mailben is megkereshet minket. […]”

A csatolt köszönőlevélen továbbá az alábbi tájékoztatás szerepel:

„Az Alapítvány tájékoztatja Önt arról, hogy személyes adatait az Európai Unió számú Általános Adatvédelmi Rendelete és az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény rendelkezéseivel összhangban a következő linken található adatkezelési tájékoztatóban foglaltak szerint kezeli: www.konnycseppnelkul.hu Az adatkezelési tájékoztató hatálya kiterjed mindazon természetes személyre, aki az Alapítvány számára adományozott és adományozása nem volt anonim. A személyes adatok kezelésének jogalapja az Alapítvány jogos érdeke (GDPR 6. cikk (1) bek. (f) pontja). Az adatkezelés ideje: a köszönőlevél kiállításától számított 5 év. Tájékoztatjuk, hogy személyes adatait illetően elsősorban az Alapítvány e-mail címére írt elektronikus levél útján kérelmezheti az Alapítványtól, mint adatkezelőtől az Önre vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint megilleti Önt az adathordozhatósághoz való jog, valamint a hozzájárulás visszavonásához való jog.”

A Kötelezett csatolta továbbá adatkezelési nyilvántartása másolatát, az érintetti megkeresésekre vonatkozó adatkezelési tájékoztatóját, továbbá excel adatbázisa fejlécének másolatát annak alátámasztására, hogy adatbázisában milyen adattípusokat kezel.

(xiii) A Kötelezett által csatolt adatkezelési tájékoztató „7.2. Az Adományozás elősegítésével és az adományozással kapcsolatos adatkezelések” pontja ismerteti a Kötelezett tevékenységével összefüggésben folytatott egyes adatkezeléseivel, így (i) a telefonos adományozói megkeresésekkel kapcsolatos adatkezelésével, (ii) az SZJA 1% felajánlásával kapcsolatos adatkezelésével, (iii) a köszönőlevelek kiállítása, kapcsolattartás az adományozókkal típusú adatkezesével, (v) az átutalással fogadott pénzadományok fogadásával kapcsolatos adatkezelésével és (v) a készpénz és tárgyi adományok fogadásával kapcsolatos adatkezelésével összefüggésben a legfontosabb információkat.

(8) A Hatóság 2023. május 10-én küldött megkeresésére a Kötelezett 2023. május 31-én érkezett válaszlevelében az alábbi érdemi nyilatkozatokat tette:

(i) A Kötelezett a nyilatkozata szerint folyamatosan keresi azokat a lehetőségeket, hogy támogatóival kapcsolatot teremtsen, új támogatókat toborozzon. A változó jogszabályok között igyekszik olyan megoldásokat találni, melyek megfelelnek a jogszabályoknak, és tisztességesek a támogatókkal szemben. Az új jogszabályok fényében a Kötelezett „mérlegelte, hogy miként keresheti meg támogatóit, és milyen módon gyűjthet új támogatókat. Ezt sajnos akkor nem foglaltuk írásba, mely hiányosságunkra a 2022. évben hívták fel a figyelmünket az átvizsgálás során. Erre tekintettel 2022. évben írásba foglaltuk az un. érdekmérlegelési tesztet.” A 2022. december 1. keltezésű érdekmérlegelési teszt másolatát a Kötelezett a nyilatkozatához csatolta.

(ii) Érdekmérlegelésében a Kötelezett az érdekeinek bemutatása körében előadta, hogy szükségesnek találja közvetlenül megkeresni az adományozókat tevékenységével kapcsolatban. Tevékenységét – amelynek lényege különböző rászoruló személyek, szervezetek támogatása – adományozói támogatásából tudja folytatni, így a támogatók megkeresése elengedhetetlenül szükséges ahhoz, hogy támogató tevékenységét folytassa. Az Alapítvány tevékenysége kifejezetten harmadik személyek támogatására irányul, a támogatók megkeresése, illetve a sikeres megkeresés esetén az adományozás nem kizárólag az Alapítvány érdeke, hanem az Alapítvány által támogatott személyek érdeke. Az adatkezelő támogatói igények felmérése, a támogatói kapcsolat kialakítása új személyek esetében az érintettek adatainak ilyen célból történő kezelése nélkül nem lenne lehetséges. Az adatkezelés szükségességét alátámasztja továbbá, hogy a megkeresésekből befolyó támogatások szükségesek a harmadik személyek támogatására és megsegítésére.

A Kötelezett a csatolt érdekmérlegelési teszt 7. pontjában kiemelte, hogy „Az Alapítvány kizárólag adományozási célú tartalommal, és kizárólag az adományozás elősegítése érdekében telefonon keresztül megkeresi az Érintetteket. Az érintettek lehetnek olyan adományozók, akik már korábban hozzájárultak adataik ilyen célú kezeléséhez, illetve korábbi, tartós adományozók, valamint olyan természetes személyek, akiknek adatait korábbi kapcsolat híján nyilvános forrásból, vagy adatbázisból szerzi meg az Alapítvány. Ennek értelmében Adatkezelő az ilyen célú megkeresésekhez szükséges Érintetti személyes adatokat kezeli, valamint az ezen adatkezelés során az Adatkezelő adományozási célú felhívásával, ajánlataival, egyéb küldeményeivel az Érintett az általa korábban megadott elérhetőségein megkeresi.

Amennyiben az Adatkezelő álláspontja alapján az első megkeresés során a kapott információk alapján a jövőre nézve is potenciális adományozónak minősül a felkeresett személy, akkor a hívott féllel közös megegyezés alapján megállapodik az Adatkezelővel, abban, hogy adományozni fog egy bizonyos összeget. Tájékoztatást, további anyagot és elérhetőségeket kizárólag abban az esetben küld az Adatkezelő a leendő adományozó számára, ha a megkeresett személy kifejezetten kéri, vagy erre vonatkozó felajánlást követően igenlő választ ad. Elutasító válasz esetén írásos megkeresés nem történik.”

A Kötelezett az érdekmérlegelése eredményeként arra a megállapításra jutott, hogy „tekintettel arra, hogy az elérni kívánt cél semmilyen más módon nem biztosítható, különös tekintettel az adatkezeléssel elért, harmadik személyek számára nyújtható előnyökre; az adatkezelés nélkül a támogatói szokások felmérése és a szolgáltatások fejlesztése nem lenne lehetséges; az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is; a nonprofit szférában az adományozói megkeresések esetében bevált szokás a személyek adatainak ilyen típusú kezelése az adományozói kapcsolat létrejöttének elősegítése érdekében; a személyes adatok jellemzően az érintettek nyilvánosságra hozott adatai, így azok nem olyan szenzitívek; az adatkezelő megfelelő intézkedéseket tett az érintettek számára kedvezőtlen hatások mérséklésére, valamint betartja az adattakarékosság elvét; ezért az adatkezelő úgy értékeli, hogy megfelelő intézkedéseket dolgozott ki és megfelelő garanciákat vállalt az ellen, hogy az érintettek érdekei ténylegesen sérüljenek, így az adatkezelés jogalapja megfelel a GDPR 6. cikk (1) bekezdés f) pontjában foglalt jogos érdeknek, illetve az adatkezelés során nem élveznek elsőbbséget az érintettek érdekei vagy alapvető jogai és szabadságai az adatkezelői érdekhez képest.”

(iii) A Kötelezett a Hatóság felhívására csatolta a megelőző három kampánya telefonos segédanyagát, melyeken ugyanaz, a (7) bekezdés/xii. pont alatt ismertetett tájékoztatás szerepel.

(iv) A Kötelezett nyilatkozata szerint az adatokat az Alapítvány központi számítógépén tárolják excel file-ban. Az adatbázisból az önkénteseknek csak egy-egy részt adnak át a telefonos megkeresésekhez, hogy elkerüljék azt, hogy egy személyt többen is megkeressenek.

(v) A Kötelezett csatolta a (7) bekezdés/ x. pontjában írtak szerint az adatbázisáról készített biztonsági mentés másolatát.

Az „Adatbazis_ossz.xlsx” elnevezésű excel nyilvántartásában a Kötelezett „Azonosító”, „Címzett cég”, „Címzett személy”, Címzett Tel”, „Ország”, „IRSZ”, „Helység”, „Cím” adattípusokat tárol, illetőleg név, cím és telefonszám személyes adatokat kezel. A csatolt fájlban 21493 „Címzett” (magánszemély és cég) neve, telefonszáma és cím szerepel a hozzárendelt, betűkből és számokból képzett egyedi azonosítóval („Azonosító”).

(9) A Hatóság 2023. június 26-án küldött megkeresésére a Kötelezett 2023. július 14-én érkezett válaszlevelében az alábbiakat nyilatkozta:

(i) A Kötelezett 2019. januárig kizárólag önkéntesei útján, az Alapítvány saját adatbázisa alapján végezte a megkereséseket.

(ii) 2019 januárjától a Kötelezett önkéntesei továbbra is az Alapítvány saját adatbázisában fellelhető személyeket kereste meg telefonon, mellette a call center szolgáltató is intézett hívásokat. A call center használta a Kötelezett adatbázisát és a Kötelezett tudomása szerint más – a call center saját – adatbázisát is, amelyről pontos információja nincs.

(iii) A call center megbízása 2021. október 3-án szűnt meg, azóta kizárólag a Kötelezett saját önkéntesei intéznek telefonos megkereséseket egyfelől a Kötelezett korábbi támogatói felé, másrészt a nyilvánosan elérhető adatbázisokban található cégek felé.

(iv) A Kötelezett jelenleg nem gyűjt adatokat magánszemélyektől, kizárólag saját, korábbi támogatói adatbázisát használja. Továbbá új támogatóként cégeket keresnek meg azzal, hogy támogassák az Alapítvány céljait. Előfordul azonban, hogy egy cég megkeresésekor a kapcsolattartóként elért személy, mint magánszemély nyújt adományt.

(v) A kampányok gyakorisága leginkább az önkéntesektől függ. Mivel a kampányokban ők keresik meg a támogatókat, ezért csak akkor tud a Kötelezett kampányt folytatni, ha önkéntesek vállalják ezt a feladatot. Adott időszaktól és a Kötelezetthez érkezett megkeresésektől függően több kampány is futhat egyszerre.

(vi) A megkeresettek száma változó, ez leginkább a támogatandó céltól függ. Kórházak vagy nagyobb cél esetén akár egy egész éven át is folyhat a gyűjtés, de pl. ünnepekhez kapcsolódóan csak pár hetes kampány szokott lenni.

(vii) A Kötelezett a Hatóság felhívására – miszerint milyen formában tartják nyilván, hogy mely adományozó, mikor és mekkora összeget adományozott, továbbá csatolja ezen nyilvántartása másolatát – csatolta az elektronikus nyilvántartást, amely egy év adatait tartalmazza és úgy nyilatkozott ehhez kapcsolódóan, hogy online egy év adatait tudják tárolni.

A Kötelezett a csatolt „nyilvantartas_masolata_2023.07.13.xlsx” elnevezésű excel nyilvántartásában „Azonosító”, „Címzett cég”, „Címzett személy”, Címzett Tel”, „Ország”, „IRSZ”, „Helység”, „Cím”, „Összeg” és „Rögzítve” adattípusokat tárol.

A „Rögzítés” időpontja alapján a nyilvántartás 2022. július 1. – 2023. július 12. közötti időszak adatait tartalmazza, összesen 7491 soron tartalmazza kizárólag természetes személyek adományozásához kapcsolódó adatait, így név, telefonszám, cím, adományozott összeg és adományozás időpontja adatokat. „Azonosító” alatt minden adományozóhoz egy 5 betűből és 21 számból álló egyedi azonosító van rendelve. A „Címzett cég” oszlop alatt nincs érték rögzítve.

II.Az ügyben alkalmazandó jogszabályi rendelkezések

(10) Az általános adatvédelmi rendelet (42) preambulumbekezdésében foglaltak szerint ha az adatkezelés az érintett hozzájárulásán alapul, az adatkezelő számára lehetővé kell tenni, hogy bizonyítani tudja, hogy az adatkezelési művelethez az érintett hozzájárult. Különösen a más ügyben tett írásbeli nyilatkozattal összefüggésben garanciákkal szükséges biztosítani azt, hogy az érintett tisztában legyen azzal a ténnyel, hogy hozzájárulását adta, valamint azzal, hogy ezt milyen mértékben tette. A 93/13/EGK tanácsi irányelvnek megfelelően az adatkezelő előre megfogalmazott hozzájárulási nyilatkozatról gondoskodik, amelyet érthető és könnyen hozzáférhető formában bocsát rendelkezésre, nyelvezetének pedig világosnak és egyszerűnek kell lennie, és nem tartalmazhat tisztességtelen feltételeket. Ahhoz, hogy a hozzájárulás tájékoztatáson alapulónak minősüljön, az érintettnek legalább tisztában kell lennie az adatkezelő kilétével és a személyes adatok kezelésének céljával. A hozzájárulás megadása nem tekinthető önkéntesnek, ha az érintett nem rendelkezik valós vagy szabad választási lehetőséggel, és nem áll módjában a hozzájárulás anélküli megtagadása vagy visszavonása, hogy ez kárára válna.

(11) Az általános adatvédelmi rendelet 4. cikk 7. pontja szerint „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja; 8. pontja szerint „adatfeldolgozó”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel; 11. pontja szerint „az érintett hozzájárulása”: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez;

(12) Az általános adatvédelmi rendelet 5. cikk (1) bekezdése szerint a személyes adatok:

a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); A (2) bekezdés szerint az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).

(13) Az általános adatvédelmi rendelet 6. cikkének értelmében a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.

(14) Az általános adatvédelmi rendelet 7. cikk (1) bekezdése szerint ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult.

(15) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése alapján az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát.

(16) Az általános adatvédelmi rendelet 12. cikk (2) bekezdése szerint az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani.

(17) Az általános adatvédelmi rendelet 13. cikk (1) bekezdése alapján Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:

a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) az általános adatvédelmi rendelet 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy az általános adatvédelmi rendelet 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás; (2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

(18) Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az Infotv. 2. § (2)

bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni.

(19) Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat.

(20) Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja.

(21) Az Infotv. 71. § (2) bekezdése alapján a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja.

(22) Az Infotv. 75/A. §-a alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)–(6)

bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

(23) GDPR 58. cikk (2) bekezdés b), és g) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva:

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel;

(24) Az Infotv. 61. § (2) bekezdése szerint a Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő nyilvánosságra hozatalát, ha a határozat személyek széles körét érinti, azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja.

III.Döntés

1. A jelen adatvédelmi hatósági eljárás tárgya (25) A Kötelezett adatkezelésével kapcsolatban több panasz érkezett 2019-ben és 2020-ban, melyben a panaszosok azt kifogásolták, hogy több alkalommal kéretlen, adakozásra felhívó telefonhívást kaptak a Kötelezettől annak ellenére, hogy kérték a hívás során, illetve írásban (e-mail útján) a személyes adataik törlését, amelynek megtörténtét a Kötelezett szóban, illetve írásban meg is erősítette. A feltárt tényállás alapján valamennyi panasz esetében a panaszosok korábban adományukkal támogatták az Alapítvány tevékenységét, azaz az Alapítvány adatbázisában, mint korábban már adományozók szerepeltek.

(26) Az előzmény vizsgálati ügyekben feltárt információk alapján a Hatóság megállapította, hogy nem kellően tisztázott a Kötelezett adatbázisában tárolt személyes adatok kezelésének jogszerűsége, továbbá adatkezelési gyakorlatának jogszerűsége (az adatkezelés jogalapja, célja, az érintettek tájékoztatásának megfelelősége, az érintetti joggyakorlás biztosításának megfelelősége) is megkérdőjelezhető, ezért a Hatóság hivatalból adatvédelmi hatósági eljárást indított a Kötelezett telefonos adományozói megkeresésekkel összefüggésben folytatott adatkezelési gyakorlata jogszerűségének vizsgálatára.

(27) Figyelemmel az adatvédelmi hatósági eljárás előző pontban megjelölt tárgyára, továbbá figyelemmel arra is, hogy a Kötelezett nyilatkozata szerint 2021. október 3. napjától call center szolgáltatását már egyáltalán nem veszi igénybe új adományozók gyűjtése céljából, ezért a Hatóság jelen eljárása a korábban megbízott call center saját külön adatbázisában tárolt adatok kezelése jogszerűségének vizsgálatára nem terjedt ki.

(28) A Hatóság NAIH-4572-1/2023. számú, az adatvédelmi hatósági eljárás indításáról értesítő végzésében rögzítettek szerint a jelen adatvédelmi hatósági eljárásban vizsgált adatkezelési időszak a GDPR alkalmazandóvá válásától a jelen adatvédelmi hatósági eljárás megindulásának időpontjáig (2023. március 31.) terjedő időszak.

2. Az adatkezelésben közreműködők minősítése (29) A GDPR 4. cikk 7. pontjának fogalommeghatározása szerint adatkezelő az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza, míg a 8. pontjában foglaltak szerint adatfeldolgozó az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel.

(30) Az adatkezelő és az adatfeldolgozó GDPR szerinti fogalmáról szóló 7/2020. sz. EDPB iránymutatásban (a továbbiakban: 7/2020. sz. iránymutatás) foglaltak szerint az adatkezelő fentiekben ismertetett fogalmi elemei közül a „meghatározza” kifejezés az adatkezelőnek a döntéshozatali jogkör gyakorlása révén az adatkezelésre gyakorolt befolyására utal. Az adatkezelő az, aki/amely meghatározza az adatkezelés egyes kulcsfontosságú elemeit. Ennek megállapításához meg kell vizsgálni a konkrét adatkezelési műveleteket, és meg kell érteni, hogy ki határozza meg azokat, azaz megvizsgálni, hogy miért került sor a konkrét adatkezelésre, ki határozott úgy, hogy az adatkezelést meghatározott célból el kell végezni.

(31) Az adatkezelő meghatározásának lényeges építőeleme az adatkezelő befolyása az adatkezelés céljaira és eszközeire. A célok és eszközök meghatározása annak eldöntését jelenti, hogy miért és hogyan történik az adatkezelés. Egy konkrét adatkezelési művelet esetében az adatkezelő az a szereplő, aki meghatározza, hogy az adatkezelésre miért kerüljön sor – azaz milyen célból, vagy miért – és hogy e cél hogyan érhető el, azaz milyen eszközöket kell alkalmazni a cél elérése érdekében. A GDPR. 4. cikkének 7. pontja értelmében az a jogi személy, aki befolyást gyakorol a személyes adatok kezelésére, részt vesz a kezelés céljainak és módjának meghatározásában. Az adatkezelőnek mind az adatkezelés céljáról, mind annak módjáról döntenie kell. Az adatkezelő nem állapodhat meg csak a cél meghatározása után, döntést kell hoznia az adatkezelés eszközeiről is. Ezzel szemben az adatfeldolgozóként eljáró fél soha nem határozhatja meg az adatkezelés célját.

(32) A Kötelezett az előzmény vizsgálati ügyek során azt nyilatkozta, hogy a Kötelezett minősül adatkezelőnek, míg a call center és a futárszolgálat adatfeldolgozónak.

(33) A Kötelezett a feltárt tényállás szerint az alapítványi telefonos kampányok során kizárólagosan határozta meg azt, hogy milyen adatkezelési műveleteket kíván folytatni mely személyes adatok felhasználásával, hogy mely telefonszámokat hívják fel a nevében és a megkeresés módját is a Kötelezett választotta ki azzal, hogy a telefonos megkeresések folytatására a 2021. október 3-ig tartó időszakban a saját önkéntesei mellett egyidejűleg call centert is megbízott, a […]-t, illetőleg az azt követő időszakban kizárólag a saját önkéntesei útján folytatta a telefonos megkereséseket.

(34) A Kötelezett továbbá az adományok Kötelezetthez történő eljuttatásához és egyidejűleg a köszönőlevelek adományozókhoz történő eljuttatásához a [Társaság3] szolgáltatásait veszi igénybe. Ennek során a Kötelezett a futárszolgálat részére az adatokat úgy adja át, hogy az adatokat a Kötelezett feltölti a futárszolgálat programjába, így azok elérhetővé válnak a futárszolgálat részére.

(35) A fentieknek megfelelően az általános adatvédelmi rendelet 4. cikk 7. pontja alapján a Kötelezett adatkezelőnek minősül a telefonos megkeresésekkel folytatott adománygyűjtés vonatkozásában, amely a call center, mint adatfeldolgozó és a futárszolgálat, mint adatfeldolgozó szolgáltatásainak igénybevételével valósult meg.

3. A Kötelezett adományozásra felhívó telefonhívásokkal összefüggésben folytatott adatkezelési gyakorlata (36) A Hatóság a vizsgált adatkezelési időszakon belül a Kötelezett adományozásra felhívó telefonhívásaival összefüggésben folytatott adatkezelési gyakorlatának vizsgálata során külön értékelte azon időszakot, amikor a Kötelezett call center megbízásával is folyatott telefonos megkereséseket, azaz a 2021. október 3-ig tartó időszakot, illetőleg az ezt követő időszakot, amikor a Kötelezett kizárólag a saját önkéntesei útján folytatta a telefonos megkereséseket.

4. A call center igénybevételével történő telefonhívásokkal érintett időszak

4.1. A Kötelezett adatkezelési gyakorlata ezen 2021. október 3-ig terjedő időszakban (37) A Kötelezett adománygyűjtő tevékenységet folytatott akként, hogy telefonhívás útján keresett fel mind magánszemélyeket, mind cégeket, szervezeteket.

(38) A Kötelezett a nyilatkozata szerint kezdetben a hívásokhoz használt telefonszámokat az interneten megtalálható adatokból, így online tudakozók, interneten megtalálható cégek adataiból gyűjtötte. A Kötelezett önkéntesei kizárólag a Kötelezettnél ily módon létrehozott adatbázisból dolgoztak, keresték fel telefonon az érintetteket, azaz a korábban a Kötelezett részére már adományt fizetett személyeket.

(39) A Kötelezett rövid időközönként önkéntesei segítségével telefonon ismételten megkereste a nyilvántartásában tárolt, korábban részére adományt fizetetteket, hogy ismét támogatásukat kérje.

(40) A Kötelezett – nyilatkozata szerint – 2019 januárjáig kizárólag önkéntesei útján folytatta a telefonos megkereséseket a Kötelezett saját adatbázisa alapján, amely adatbázisában a korábban adományt fizetőket tartja nyilván.

(41) 2019 januárjától az önkéntesek megkeresései mellett a Kötelezett call centert is megbízott a telefonos kampányai lebonyolításával. A call center a telefonos megkereséseihez egyrészt a Kötelezett adatbázisát használta, másrészt a call center saját adatbázisát.

(42) A Kötelezett ezen gyakorlata az adományozói visszajelzések alapján módosult később akként, hogy a már korábban adományozókkal kizárólag a Kötelezett önkéntesei vették fel újra a kapcsolatot, míg a call center a saját adatbázisából kizárólag új adományozókat toborzott.

(43) A call center a Kötelezettnek továbbította azon érintettek adatait, akik adományozási szándékukat jelezték.

Ezt követően a Kötelezett önkéntesei a call centertől kapott adatok alapján 1-2 hónappal később megkeresték telefonon ezen, korábban adományt nyújtó személyeket is, mintegy beépítve ezen elérhetőségeket a már meglévő adatbázisba.

(44) A Kötelezett nyilatkozata szerint a Hatósághoz érkezett panaszok a call center által, a call center saját külön adatbázisában lévő, ezáltal a Kötelezett számára ismeretlen forrásból származó telefonszámok felkereséséből származtak, erre tekintettel a Kötelezett 2021. október 3-án megszüntette együttműködését a call centerrel, és ezen időponttól kezdődően kizárólag önkéntesei útján tartja a kapcsolatot a már korábban adományt fizetőkkel.

(45) A Kötelezett az adatkezelése jogalapjaként a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdekét jelölte meg, míg az adatkezelés célja a nyilatkozata szerint kapcsolattartás a támogatókkal, tájékoztatás a Kötelezett munkásságáról és adománygyűjtés.

(46) A Kötelezett önkéntesei felhívták a korábban támogatókat és megköszönték az addigi támogatását, továbbá tájékoztatták a Kötelezett aktuális kampányairól és újabb támogatását kérték.

(47) A Kötelezett nyilatkozata szerint az érintettek tájékoztatása a hívásuk során történt a call center által akként, hogy az adományozni kívánó érintetteknek a call center munkatársa bemutatta a Kötelezett tevékenységét, megadta a Kötelezett elérhetőségét és elkérte az adományozni szándékozóktól az ehhez szükséges személyes adatait: név, lakcím, telefonszám, amely személyes adatokat táblázatba rendezve küldött meg a Kötelezettnek.

(48) A Kötelezett futárszolgálat bevonásával köszönőlevelet adott át az adományozó érintetteknek. A köszönőleveleken az I/1. (4) bekezdés/xvii. pontban ismertetett tartalmú tájékoztató szerepelt.

4.2. Az adatkezelés jogalapja (49) A GDPR fogalommeghatározása alapján a név, lakcím, telefonszám, illetőleg az azokhoz rendelten kezelt egyéb adatok az érintett személyes adatának, míg az adatokon végzett bármely művelet, így az adatok gyűjtése, tárolása, felhasználása adatkezelésnek minősül.

(50) Az adatkezelés jogszerűségéhez az adatkezelőnek a GDPR 6. cikk (1) bekezdésével összhangban álló jogalappal kell rendelkeznie.

(51) A jogalapokkal kapcsolatban a Hatóság hangsúlyozza, hogy egy adatkezelésnek alapvetően csak egy érvényes jogalapja lehet. Nem elfogadható, ha ugyanahhoz az adatkezelési célhoz – jelen esetben kapcsolattartás a támogatókkal, tájékoztatás a Kötelezett munkásságáról és adománygyűjtés – különböző jogalapokat rendel az adatkezelő, a több jogalap egyidejű alkalmazása ugyanis sérti az átláthatóságot és a tisztességes eljárás elvét.

(52) A Kötelezett a nyilatkozata szerint az érintettek személyes adatait a GDPR 6. cikk (1)

bekezdés f) pontja szerinti jogos érdek jogalap alapján kezeli „abból a célból, hogy az érintett adományozó legyen az Alapítvány missziójának támogatására és erre minél többször alkalmat adjunk neki.”.

(53) Ugyanakkor az adományozási szándékukat kifejező érintettek részére a futárszolgálat útján átadott köszönőlevélen – a csatolt mintalevelek alapján – olyan tartalmú tájékoztatás szerepelt (Ld. (5) bekezdés /xvii. pont), miszerint az adatkezelés jogalapja az érintett hozzájárulása, amelyet azáltal nyilvánít ki az érintett, hogy a köszönőlevelet elfogadja, átveszi.

(54) A Kötelezett csatolta a 2020. január 1. keltezéssel ellátott érdekmérlegelési tesztje másolatát. A dokumentumban bemutatottak szerint a Kötelezett működéséhez elengedhetetlen adományok eseti és lehetőleg folyamatos gyűjtése. Az állampolgárok megszólítása, az Alapítvány tevékenységének bemutatása nélkül az emberek nem tudják eldönteni, kívánnak-e az ismertetett célra adományozni. A Kötelezett csatolt dokumentumban kifejtett „érdekmérlegelése” alapján a telefonos megszólítás egyben beszélgetési alkalom is a Kötelezett nevében telefonáló hang és a magánszemély között, ez fontos és bizalomépítő módszer, a kérdéseire rögtön választ kaphat az érintett. Ezért az adatkezelőnek elemi és jogos érdeke a kapcsolatfelvétel és a kommunikáció és ehhez a telefonhívás a legmegfelelőbb módszer. A dokumentum 3. pontjában foglaltak szerint továbbá „csak az adományozó által megadott adatokkal és úgy tudunk pontosan és megbízhatóan és bizalmat építően eljárni, ha magával az adományozóval egyeztetjük le az adatait és elérhetőségeit és ő ezek önkéntes megadásával hozzájárul az adatkezeléshez”.

(55) Ugyan a megjelölt időszak jelentős részében a Kötelezett weboldalán adatkezelésre vonatkozóan tájékoztatás egyáltalán nem volt elérhető, a 2021. március 1-i időpontban a Kötelezett weboldalán elérhető adatkezelési tájékoztató az adatkezelés jogalapjai között említi „a jogos érdek, a hozzájárulás a személyes adatok kezeléséhez, illetve a szerződés teljesítése” jogalapokat.

(56) A Hatóság az adatkezelői nyilatkozatok és a becsatolt érdekmérlegelés alapján megvizsgálta a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek fennállását, és annak alapján megállapította, hogy a dokumentumból hiányzott az érintettek jogainak és szabadságainak mérlegelése, az adatkezelés érintettekre gyakorolt hatásának elemzése, és annak kimutatása, valamint indokolása, hogy ezekkel szemben miért a Kötelezett érdekei élveznek elsőbbséget. Az érdekmérlegelés lényegében az adatkezelő tevékenységét ismertette, az érintettek és az adatkezelő érdekeinek összevetését azonban egyáltalán nem végezte el, sőt nem is azonosította azokat. Ennek megfelelően a vizsgált időszakra vonatkozóan bemutatott érdekmérlegelés nem felelt meg az általános adatvédelmi rendelet által elvárt követelményeknek, így a Kötelezett az általános adatvédelmi rendelet 5. cikk (2) bekezdése alapján nem igazolta, hogy adatkezelése jogszerű, átlátható volna és megfelelő jogalappal rendelkezett.

(57) Fentiek alapján tehát a vizsgált időszakban az adatkezelés jogalapja nem volt egyértelműen megjelölve, sem az érintettek irányába, sem a Hatóság eljárásában. A Kötelezett ugyanis elsődlegesen a jogos érdek jogalapot jelölte meg adatkezelése jogalapjaként, ugyanakkor mind a Hatósággal folytatott kommunikációja során, mind a csatolt érdekmérlegelési teszten két jogalap is megjelent, adott esetben párhuzamosan megjelölve azokat az adatkezeléshez kapcsolódóan. Továbbá a Kötelezett weboldalán időközben elérhetővé vált adatkezelési tájékoztató már három jogalapot jelölt meg adatkezelése jogalapjaként: a jogos érdek, a hozzájárulás és a szerződés teljesítése jogalapot. A Kötelezett nyilatkozataiban és az általa csatolt dokumentumokban továbbá összemosódva jelent meg az adományozók felkutatása céljából folytatott adatkezelése, illetőleg a korábban már adományt fizetőkkel történő kapcsolattartással összefüggésben megvalósult adatkezelése. A két adatkezelés ugyanakkor teljes mértékben nem is választható külön, ugyanis egy időszakban call center igénybevételével is történt a korábban már adományozókkal történt ismételt kapcsolatfelvétel, a Kötelezett önkénteseinek megkeresése mellett, továbbá a call center egyidejűleg új adományozókat is toborzott saját adatbázisa alapján, és az ennek során „toborzott” új adományozók személyes adatai ezt követően a korábban adományozók adatbázisába kerültek be.

(58) A fentiekben ismertetettek szerint az adatkezelés jogalapjaként megjelenik a hozzájárulás is, a futárszolgálat útján átadott köszönőlevélen szereplő tájékoztatáson megjelöltek szerint ugyanis az adatkezelés jogalapja az érintett hozzájárulása, amelyet azáltal nyilvánít ki az érintett, hogy a köszönőlevelet elfogadja, átveszi.

(59) Az általános adatvédelmi rendelet 4. cikk 11. pontjában foglaltak szerint az érvényes hozzájárulás egyik legfontosabb feltétele, hogy azt megfelelő tájékoztatás előzze meg, továbbá az érintett a személyes adatai kezeléséhez történő beleegyezését nyilatkozat vagy a megerősítést félreérthetetlenül kifejező nyilatkozat útján adja.

(60) Az általános adatvédelmi rendelet (42) preambulumbekezdése is kimondja, hogy az adatkezelőnek előre megfogalmazott hozzájárulási nyilatkozatról kell gondoskodnia, melyet érthető és könnyen hozzáférhető formában kell rendelkezésre bocsátania, nyelvezetének pedig világosnak és egyértelműnek kell lennie, és nem tartalmazhat tisztességtelen feltételeket.

(61) Az (EU) 2016/679 rendelet szerinti hozzájárulásról szóló 5/2020. számú iránymutatása, valamint az annak előzményeként kiadott, az Adatvédelmi Irányelv 29. cikke alapján létrehozott Adatvédelmi Munkacsoport hozzájárulásról szóló WP259 számú iránymutatásában kifejtettek is megerősítik, hogy a nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet a szabályos hozzájárulás előfeltétele.

(62) Az érintett hozzájárulása alapján akkor kerülhet sor az adatkezelésre, ha egyértelmű megerősítő cselekedetével beleegyezik a személyes adatai kezelésébe. Ezen megerősítő cselekedet teljesíti be az érintett információs önrendelkezési jogát: megfelelő tájékoztatás alapján az érintett mérlegeli, hogy a konkrét adatkezeléshez hozzájárulást ad-e vagy sem. A hozzájárulás abban az esetben lesz egyértelmű, ha az adatkezelő biztosítja, hogy az érintettnek aktív cselekvést kelljen tennie ahhoz, hogy az adatkezelés létrejöjjön. Ehhez elfogadható bármely olyan nyilatkozat vagy cselekedet, amely egyértelműen jelzi, hogy az érintett hozzájárulását adta a személyes adatainak tervezett kezeléséhez.

(63) A Hatóság álláspontja szerint a köszönőlevél átvétele nem tekinthető egyúttal az érintett érvényes hozzájárulásának a személyes adatai – a köszönőlevélen meg nem jelölt célból történő – további kezeléséhez, azaz nem tekinthető az érintettek akarata konkrét, egyértelmű kinyilvánításának. Ahhoz, hogy a Kötelezett az érintettek személyes adatait az adott egyszeri adományozásukhoz kapcsolódó célon túl további – így további kapcsolattartás a támogatókkal, tájékoztatás a Kötelezett munkásságáról és adománygyűjtés – cél(ok)ból is kezelje, az érintettek kifejezett hozzájárulása szükséges.

(64) A Hatóság álláspontja szerint az érintettek személyes adatai kezelésének jogszerűsége akkor állapítható meg, ha az adatkezelő a személyes adatok valamennyi adatkezelési célból történő kezeléséhez érvényes jogalappal rendelkezik. Az érintettek személyes adatai további célból történő kezelésének tisztességessége és jogszerűsége akkor állapítható meg, ha az érintett megfelelő tájékoztatást és döntési lehetőséget kapott arra vonatkozóan, hogy a megadott személyes adatait milyen adatkezelési célból fogják kezelni, azaz az érintett megfelelő információval rendelkezik az adatkezelési körülményekkel összefüggésben a hozzájárulás megadásával kapcsolatos döntés meghozatala előtt, ami ebben az esetben ugyancsak egyértelműen hiányzott. Nem lehet elvitatni az érintettek azon választási lehetőségét, hogy az adományozás mellett szabadon döntsenek arról, hogy kívánnak-e a továbbiakban például további tájékoztatást kapni a Kötelezett tevékenységéről, illetve hogy az Alapítvány a jövőben is telefonos megkeresései útján felhívja az érintett figyelmét az aktuális adománygyűjtő kampányaira.

(65) Az általános adatvédelmi rendelet 7. cikk (1) bekezdése szerint hozzájárulás jogalap esetén továbbá az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult, amely kötelezettség – figyelemmel az elszámoltathatóság elvére- magában foglalja azt is, hogy az adatkezelő bizonyítani tudja, hogy a hozzájárulás egyes fogalmi elemei (megfelelő tájékoztatás, önkéntesség, a hozzájárulás egyértelműsége) megfelelően érvényesültek a beleegyezés megszerzése során, valamint teljesítette a rendelet által a hozzájárulással összefüggésben megfogalmazott további követelményeket is. Ezen feltételek a Kötelezett adatkezelése során a fentiekben kifejtettek okán nyilvánvalóan nem érvényesültek. Mindezek alapján a Kötelezett ilyen formában történő adatkezelésének – azaz az adományozókkal telefonos megkereséseken keresztül történő további kapcsolattartás, kapcsolatfelvétel – nem lehet jogszerű jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontja szerinti hozzájárulás, mivel annak valamennyi fogalmi eleme hiányzik.

(66) A fentiek alapján a Hatóság a III./4. pontban megjelölt időszakra vonatkozóan megállapította, hogy a Kötelezett megsértette az általános adatvédelmi rendelet 5.

cikk (2) bekezdését és erre tekintettel a 6. cikk (1) bekezdését, mivel érvényes jogalap nélkül, jogellenesen és nem átláthatóan kezelt személyes adatokat.

4.3. A megfelelő tájékoztatás (67) A III./4. pontban megjelölt időszakra vonatkozóan becsatolt scriptek, illetőleg az adománygyűjtő kampányok telefonos segédanyagának tartalmában a hívások lebonyolítására vonatkozóan szerepelt instrukcióként, hogy „Kötelező felolvasni minden rendelőnek az alábbi kékkel írt mondatot, mikor rögzítetted az adatait:

Az Alapítvány, a megbízásából eljáró telefonáló és a futárszolgálat betartja az adatvédelmi szabályokat. A támogatói levelet futárunk viszi el Önnek a megadott címre, kérjük, átvételkor kizárólag a felajánlott összeget adja át a futárnak.”

(68) A csatolt segédanyag alapján a hívás elején az alábbi köszöntő szöveget kellett beolvasni:

„Jó napot kívánok, A.B. vagyok és X.Y.-t keresem a Könnycsepp nélkül a Beteg Gyermekekért Alapítvány megbízásából.”. Az egyes kampányok során az érintetteket tehát név szerint keresték fel telefonon, tájékoztatták az aktuális kampányról, majd ezt követően a telefonos beszélgetés aszerint folytatódott, hogy az érintett kívánt-e adományozni vagy sem. Az adományozni szándékozó érintettel ezt követően adategyeztetés történt, illetőleg időpont-egyeztetés a futár fogadásához, majd az elköszönést követően hangzott el az előző pontban ismertetett, kötelezően felolvasandó adatvédelemre vonatkozó tájékoztató mondat.

(69) Az adományozni szándékozó érintetteket a Kötelezett nyilatkozata szerint az egyeztetés alapján felkereste a futárszolgálat, és az érintett a futárszolgálaton keresztül küldhette a felajánlott összeget/tárgyi eszközt, és egy köszönőlevelet adtak át neki ekkor, amelyen az (4) bekezdés/xvii. pontjában ismertetett tartalmú tájékoztatás szerepelt.

(70) Továbbá az adományozóknak átadott köszönőlevélen a csatolt minták alapján 2020. május

27-ig a Kötelezett elérhetőségi adatain túl annyi tájékoztatás szerepelt, hogy az érintett a köszönőlevél elfogadásával „hozzájárul az adatai kezeléséhez, 2011. évi CXII. törvény, valamint az EU 2016/679 rendeletéhez. Alapítványunk adatait bizalmasan kezeli, azt harmadik félnek nem adja ki”. Majd 2020. május 27. után átadott köszönőleveleken elhelyezett tájékoztatás kiegészült azzal, hogy „Amennyiben adatai törlését kéri, kérjük, hogy a […] e-mail címen szíveskedjen jelezni vagy a […]-es telefonszámon melyet a nap 24 órájában hívhat”.

(71) A Hatóság a III./4. pontban megjelölt időszakban több időpontban (2019.03.29. és 2020.04.30.) áttekintette és képernyőmentéseket készített a Kötelezett https://konnycseppnelkul.hu weboldalán elérhető tartalomról, a Kötelezett adatkezelésére vonatkozóan tájékoztatás azonban ezen időállapotokban nem volt elérhető a Kötelezett weboldalán.

(72) A webarchívumban elérhető oldalmentések szerint a 2021. március 1-i időállapotban a Kötelezett weboldalán már elérhető volt adatkezelési tájékoztató.

(73) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerint a Kötelezett, mint adatkezelő kötelezettsége megfelelő intézkedéseket hozni annak érdekében, hogy az érintettek részére a személyes adatok kezelésére vonatkozó, a 13. és 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa.

(74) A megfelelő tájékoztatás rendszere a GDPR-ban azt szolgálja, hogy az érintett tudatában lehessen annak, hogy mely személyes adatait, mely adatkezelő és mely célból, hogyan fogja kezelni. Ez elengedhetetlen ahhoz, hogy az érintett olyan helyzetben legyen, hogy érintetti jogait érdemben gyakorolni tudja.

(75) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontjában foglalt átlátható adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljáról. Az adatkezelés jogszerűségének tehát egyik lényeges feltétele, hogy az adatkezelő megfelelően tájékoztassa az érintettet az adatkezelés valamennyi fontos körülményéről.

(76) Az általános adatvédelmi rendelet 13-14. cikkei határozzák meg, hogy tartalmát tekintve milyen tájékoztatást kell nyújtani a személyes adatok kezelése során. Erre eltérő szabályok (tartalom és teljesítési határidő) érvényesülnek attól függően, hogy az adatokat az érintettől vagy nem az érintettől szerezték meg, míg a tájékoztatás formai követelményeit illetően az általános adatvédelmi rendelet 12. cikke ad iránymutatást.

(77) A Kötelezett az érintettek tájékoztatására vonatkozóan akként nyilatkozott, hogy az az érintettek hívása során úgy valósult meg, hogy az adatfeldolgozó megbízott az adományozás lehetőségét elfogadó érintettnek bemutatta a Kötelezett tevékenységét, megadta a Kötelezett elérhetőségeit és elkérte az érintettől az adományozáshoz szükséges személyes adatait. A Kötelezett nyilatkozata szerint a beszélgetés alapján, az abban foglaltakat elfogadva az érintett önként és saját elhatározásából adta meg az adományozáshoz szükséges személyes adatait, ezzel egyértelműen hozzájárult az adatai kezeléséhez és az is egyértelmű volt számára, hogy a Kötelezett az adatkezelő.

(78) Figyelemmel arra, hogy a Kötelezett önkéntesei a Kötelezett nyilatkozata szerint kizárólag a már meglévő adatbázisból dolgoztak, keresték fel telefonon az érintetteket, azaz a korábban a Kötelezett részére már adományt fizetett személyeket, illetőleg a csatolt telefonos segédanyagok alapján is a Kötelezett számára a hívott fél név szerint ismert volt, a Kötelezett a GDPR 13. cikke szerinti tájékoztatásra vált kötelessé az érintettek felé.

(79) A Hatóság a csatolt telefonos segédanyagok – és az (68) pontban ismertetettek – alapján megállapította, hogy a hívás során csupán arra vonatkozó információ hangzott el, hogy az érintettet a Kötelezett megbízásából keresik.

(80) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése alapján az adatkezelőnek aktív kötelezettsége van a tájékoztatásnak oly módon az érintett rendelkezésére bocsátására, amely igazodik az éppen használt kommunikációs csatornához.

(81) Fentiek alapján megállapítható, hogy a Kötelezett a GDPR 13. cikk (1) és (2)

bekezdésében szereplő legfontosabb információkat nem adta meg az érintetteknek a telefonhívás során, csupán annyi információt tudhattak meg az érintettek a hívásból, hogy a Kötelezett megbízásából keresik őket. Ezen felül egyéb olyan információ, mint a telefonszám forrása, tiltakozási lehetőség, jogalap stb. nem bocsátott a Kötelezett az érintettek rendelkezésére, ezáltal a Kötelezett a hatékony érintetti joggyakorlástól zárta el az érintetteket.

(82) A Hatóság álláspontja szerint a telefonhívás elején – nem pedig annak a legvégén – egy rövid tájékoztatóban ismertetni kell az érintettekkel az adatkezeléssel kapcsolatos legfontosabb információkat, így különösen azt, hogy a hívott szám milyen forrásból származik. Ennek a rövid adatkezelési tájékoztatónak utalnia kell arra, hogy a részletes adatkezelési tájékoztatót az érintettek milyen más felületen találhatják meg.

(83) A Hatóság a III./4. pontban megjelölt időszakra vonatkozóan a fentiek alapján megállapította, hogy a Kötelezett a telefonhívások során az érintetteknek nem nyújtott megfelelő általános tájékoztatást a személyes adataik kezelésével kapcsolatban, ezáltal megsértette a GDPR 12. cikk (1) bekezdését, továbbá a 13. cikk

(1)-(2) bekezdéseit.

(84) A GDPR 12. cikkében foglalt, az adatkezelőt terhelő átlátható tájékoztatás és kommunikáció biztosításának kötelezettsége az érintettek jogainak gyakorlására vonatkozó intézkedésekre is kiterjed. Ennek megfelelően az adatkezelőnek megfelelő intézkedéseket kell hoznia annak érdekében, hogy az érintett hozzáféréshez, helyesbítéshez, törléshez, korlátozáshoz, adathordozhatósághoz és tiltakozáshoz való jogához kapcsolódó tájékoztatást átlátható és könnyen hozzáférhető formában nyújtsa.

(85) Az érintetti kérelmeket a GDPR 12. cikkében foglalt feltételek alapján kell teljesíteni, azaz főszabály szerint – egy hónapon belül. Az (59) preambulumbekezdés kimondja, hogy az érintettek e rendeletben biztosított jogainak gyakorlását megkönnyítő intézkedéseket kell biztosítani, ideértve olyan mechanizmusok biztosítását, amely által többek között az érintettnek lehetősége van díjmentesen kérelmezni, illetve adott esetben megkapni különösen a személyes adatokhoz való hozzáférést, azok helyesbítését és törlését, valamint gyakorolja a tiltakozáshoz való jogát.

(86) Az érintetteknek nyújtott tájékoztatásnak többek között könnyen hozzáférhetőnek kell lennie, amely főként azt jelenti, hogy az érintettnek nem kell keresnie a tájékoztatást, azonnal láthatónak kell lennie számára, hogy azt hol és miként érheti el.

(87) A Kötelezett nyilatkozata szerint az érintettek számára olyan formában biztosították az érintetti jogaik gyakorlását, hogy az érintettek a Kötelezett e-mail elérhetőségére tudták megküldeni érintetti kérelmüket, illetőleg postai úton. Az érintettek által SMS-ben kért törlést, illetőleg a telefonhívás során a Kötelezett önkéntesének jelzett törlést azonban a Kötelezett a nyilatkozata szerint nem tudta elfogadni, mert az a Kötelezetthez nem jutott el, továbbá a megbízott call center által használt telemarketing szoftver nem tudott SMS-t fogadni, csak kimenő hívásokat indítani és bejövő hívásokat fogadni.

(88) Fentiek alapján megállapítható, hogy az érintettek a telefonhívás során az érintetti joggyakorlás lehetőségéről és módjáról tájékoztatást nem kaptak, csupán annyi információ állt rendelkezésükre a telefonhívás beköszönő szövege alapján – különösen, ha adományozni nem kívántak –, hogy a telefonhívás kinek a megbízásából érkezett.

Továbbá figyelemmel arra, hogy a Kötelezett honlapján hosszabb ideig adatkezelésre vonatkozóan tájékoztatás sem volt elérhető, az érintettek a kapott és az elérhető információk alapján érintetti jogaik gyakorlásában korlátozva voltak.

(89) A Kötelezett tehát nem segítette elő az érintettek érintetti jogainak gyakorlását, ezáltal megsértette az általános adatvédelmi rendelet 12. cikk (2) bekezdését.

(90) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerint a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintettek számára átlátható módon kell végezni. A természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik és fogják kezelni. Az adatkezelés azáltal, hogy az érintetteknek az adatkezelés jogalapjára vonatkozóan a jogszabályban foglaltaknak megfelelő, tényleges tájékoztatást egyáltalán nem nyújtott, ami információt nyújtott, az megtévesztő lehetett az érintettek számára, ugyanis az adományt nyújtó érintettek számára nem volt egyértelmű, hogy személyes adataikat valójában mely jogalap alapján kezelik, a jogos érdek jogalap alapján vagy hozzájárulás jogalappal. A Kötelezett ezen magatartásával megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átláthatóság elvét.

Továbbá az, hogy az érintettek egyrészt a telefonhívás során nem kaptak tájékoztatást az adatkezeléssel kapcsolatos legfontosabb információkról, másrészt a Kötelezett honlapján sem volt elérhető hosszú ideig tájékoztatás, amely biztosította volna az érintettek tájékozódását, elősegítette volna az érintetti jogaik gyakorlását, a tájékoztatás olyan súlyú hiányossága, amelynek következtében fennáll az átlátható adatkezelés alapelvi követelményének sérelme. A Kötelezett fenti magatartásával tehát megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átláthatóság elvét.

5. A kizárólag a Kötelezett által folytatott telefonos megkeresésekkel érintett időszak

5.1. A Kötelezett adatkezelési gyakorlata a megjelölt időszakban (91) A telefonos adománygyűjtés a megjelölt időszakban és a Kötelezett nyilatkozata szerint két módon történik. A Kötelezett az önkéntesei útján egyrészt a korábbi adományozóit keresi meg telefonon és kéri támogatásukat, másrészt cégeket, szervezeteket keres meg. Ismeretlen magánszemélyek megkeresésével adománygyűjtést a Kötelezett a nyilatkozata szerint nem folytat a nyilatkozata szerint.

(92) Fentieken túl adomány nyújtására lehetőség van a Kötelezett bankszámlájára történő közvetlen utalás formájában is, illetve a személyi jövedelemadó 1 %-ának felajánlásával.

(93) A Kötelezett az adományok gyűjtése során futárszolgálat szolgáltatásait veszi igénybe, az előzőekben már megjelölt [Társaság3] szolgáltatásait, amely futárszolgálat feladata a köszönőlevelek eljuttatása az adományozóknak, illetve a felajánlott készpénz- /tárgyi adomány eljuttatása a Kötelezettnek.

(94) A Kötelezett a nyilatkozata szerint a támogatók adatait a jogos érdek jogalappal kezeli, ennek alátámasztására csatolta a 2022. december 1. napján kelt érdekmérlegelése másolatát.

(95) A Kötelezett nyilatkozata szerint az érintetti kérelmek kezelésére új eljárásrendet dolgozott ki a megjelölt időszakban, továbbá a Kötelezett weboldalán is elhelyeztek adatkezelésre vonatkozó tájékoztatást.

5.2. Az adatkezelés jogalapja (96) A Kötelezett nyilatkozata szerint a támogatói adatait jogos érdekből kezeli, mivel a Kötelezett jogos érdeke, hogy céljainak elérése, a támogatott célok finanszírozása érdekében támogatásra hívja fel potenciális támogatóit, azaz a korábban adományt nyújtó személyeket.

(97) A jogos érdek jogalappal összefüggésben fontos hangsúlyozni, hogy az nem arra szolgál, hogy egyéb lehetőség hiányában az adatkezelő erre hivatkozással bármikor és bármilyen indokkal az egyéb jogalapok alkalmazhatóságának hiányában kezeljen személyes adatokat. Bár látszólag a legrugalmasabb jogalapnak tűnik, annak alkalmazásával az adatkezelő jelentős felelősséget vállal – nem csak szűk értelemben a személyes adatok kezelésével, hanem az ahhoz kapcsolódó egyéb garanciális kötelezettségek teljesítésének felvállalásával is. Megfelelő mérlegelés, tervezés és garanciák kell, hogy biztosítsák a gyakorlatban többek között azt, hogy az érintett tisztában lehessen az adatkezeléssel, és azzal szemben tiltakozni tudjon, mivel az adatkezelést követően – különösen egy rövid ideig tartó vagy egyszeri adatkezelésnél, hívásnál – már kiüresedik az érintett valamennyi joga.

(98) Szorosan kapcsolódik a jogos érdek jogalaphoz az általános adatvédelmi rendelet 5. cikk (2) bekezdésében foglalt elszámoltathatóság elve, mely az adatkezelőre a személyes adatkezelés átláthatóságát, pontosságát és tisztességességét szolgáló adminisztrációs terhek teljesítésének kötelezettségét jelenti. Nem „lepapírozásról” van tehát szó, hanem érdemi feladatról.

(99) Nem az érintett, valamint nem a Hatóság feladata és felelőssége egy hatósági eljárás során az adatkezelő helyett az adatkezelés céljának és a jogos érdekeinek azonosítása és indokolása. Azt, hogy milyen célból és milyen jogos érdekei miatt kíván személyes adatot kezelni, az adatkezelőnek kell konkrétan, adat- és célszintre lebontva egyértelműen indokolni, mérlegelni és ennek garanciáit megteremteni. Ennek elmaradása kizárólag az adatkezelő felelőssége. A jogszerű cél meghatározását követően, még az adatkezelés megkezdése előtt meg kell vizsgálnia az adatkezelőnek, hogy szükséges-e az adatkezelés a cél eléréséhez. Ebben a körben azt kell vizsgálni, hogy rendelkezésre állnak-e olyan alternatív megoldások, amelyek alkalmazásával a tervezett cél az adott adatkezelés nélkül, illetve az adott adatkezeléshez képest kevésbé korlátozó eszközökkel is megvalósítható.

Ha az adatkezelő ugyanazt az eredményt a személyes adatokhoz való jog kevésbé korlátozó módjával, eszközével is képes észszerűen elérni, nem áll fenn szükségesség, így a 6. cikk (1) bekezdés f) pont szerinti jogalap sem alkalmazható.

(100) A Kötelezett nyilatkozata szerint jogos érdeke, hogy céljainak elérése, a támogatott célok finanszírozása érdekében támogatásra hívja fel potenciális támogatóit. Nyilatkozata szerint az érintettek jogait és a Kötelezett érdekeit ebben a tekintetben összevetették, és az adatkezelés jogszerűségének alátámasztására érdekmérlegelési tesztet is készítettek. A Kötelezett nyilatkozata értelmében az adatkezelés célja tehát, hogy a lehetséges támogatókat adományozásra hívják fel.

(101) A Kötelezett által végzett, adományozás célját szolgáló telefonos megkeresésekre vonatkozóan elvégzett, csatolt érdekmérlegelés 2. pontjában megjelöltek szerint az adatkezelés célja, hogy „az adatkezelő telefonon vagy e-mailben megkeresi a potenciális adományozókat annak érdekében, hogy felkérje őket közhasznú céljai érdekében történő adományozásra. A megkeresés érdekében végzett adatkezelés célja a leendő támogatói kapcsolat kialakítása, illetve a már fennálló adományozói kapcsolat fenntartása”.

A Hatóság ehhez kapcsolódóan megjegyzi, hogy a Kötelezett által csatolt nyilvántartás email cím személyes adatokat – vagyis amelyen keresztül a már meglévő adományozókkal történő kapcsolattartás e-mail útján lehetséges lenne – nem tart nyilván, így az adatkezelés céljai között a kapcsolattartás ezen módjának megjelölése nem helytálló.

Az érdekmérlegelés alapján rendelkezésre álló információk szerint az adatkezelés Kötelezett által azonosított célja tehát a Hatóság megállapítása szerint egyrészt új adományozók felkutatása, másrészt a már korábban adományozókkal történő ismételt kapcsolatfelvétel, azaz a Kötelezett a telefonos megkereséseit két eltérő adatkezelési célból is folytatja.

A Kötelezett érdekmérlegelésének 7. pontjában a Hatóság álláspontja szerint további célok is azonosíthatóak, a hivatkozott pontban megfogalmazottak szerint ugyanis „az adatkezelés nélkül a támogatói szokások felmérése és a szolgáltatások fejlesztése nem lenne lehetséges”, amely célokkal kapcsolatban a Kötelezett konkrét információkat nyilatkozataiban nem adott a Hatóság részére, ugyanakkor azok további adatkezelési célokként azonosíthatóak.

(102) A jelen ügyben a Kötelezett által a Hatóság megkeresésére küldött, a (9) bekezdés (ii)

pontban bemutatott tartalmú érdekmérlegelés a Hatóság álláspontja szerint nem támasztotta alá, hogy az adatkezelés a Kötelezett jogos érdeke, a Kötelezett ugyanis a fentiek alapján nem azonosította valamennyi célt az adatkezelése megtervezésekor, és ebből kifolyólag a célonkénti mérlegelés sem történt meg, a Kötelezett tehát nem vizsgálta meg valamennyi cél tekintetében az adatkezelés szükségességét.

(103) A szükségesség körében konkrét tényeket kell értékelni az adott helyzetet figyelembe véve

– az adatkezelés miért és miként oldja meg az elérni kívánt célt, a másik oldalról pedig annak elemzése, hogy a többi észszerűen szóba jöhető eszköz miért nem alkalmas a cél elérésére. A Kötelezett ebben a körben csupán kijelentette, hogy más módon a cél nem érhető el, nem mutatta be azonban, hogy az egyéb szóba jöhető eszközök milyen objektív okból nem alkalmasak a cél elérésére.

(104) Szintén nem érintette érdemi és konkrét módon a Kötelezett által megküldött érdekmérlegelés azt, hogy miért és mennyiben jelenti az érintettek magánszférájának a korlátozását az adatkezelés. Az érdekmérlegelésből teljes egészében hiányzott, hogy amennyiben az érintettek adománnyal támogatják a Kötelezettet, ezzel egyidejűleg bekerülnek a Kötelezett azon adományozói adatbázisába, amely alapján a Kötelezett 2-3 havonta ismételten keresni fogja az érintetteket, hogy újra adományozásra hívja fel őket.

Az érdekmérlegelésben az adatkezelő által vállalt garanciák között ugyan a Kötelezett felsorolta, hogy „Adatkezelő a tiltakozási jogot a lehető legszélesebb körben biztosítja az adatkezeléssel szemben, tiltakozás esetén további mérlegelés nélkül befejezi az adatkezelést”, tiltakozási jogot azonban a Kötelezett az első telefonhívás során nem biztosított az érintetteknek, illetőleg a telefonhívás során kifejezetten a tiltakozási jogra nem hívják fel az érintettek figyelmét. A csatolt – a (7)/xii. pontban ismertetett tartalmú – script alapján a telefonhívás során csupán arra hívják fel az érintett figyelmét, hogy az adatkezelési tájékoztató, illetve a Kötelezettről információ milyen weboldalon érhető el.

A weboldalon elérhető adatkezelési tájékoztató a 7. pontja alatt az „Adományozás elősegítésével és az adományozással kapcsolatos adatkezelések” pont után ugyan kiemeli, hogy „Az Alapítvány tisztelettel felhívja Érintettek figyelmét, hogy az Alapítványi megkeresésekkel kapcsolatos, az Alapítvány jogos érdekéből történő adatkezelések esetén tiltakozhatnak az adataik kezelése ellen, illetve kérhetik, hogy az Alapítvány a továbbiakban ne keresse őket. Kérjük, hogy ebben az esetben elsősorban írásban (e-mail vagy postai levél) vegyék fel a kapcsolatot az Alapítvánnyal.”, azonban a Hatóság álláspontja szerint az érintettektől nem várható el, hogy a telefonhívást és az adományozást követően a Kötelezett weboldalán kutakodjanak, információt keresve arról, hogy vajon a Kötelezett adománnyal történő támogatása milyen további adatkezelést von maga után.

Az érintettek lényegében az adományozást követően nem is számíthatnak arra, hogy a Kötelezett ismételten keresni fogja őket abból a célból, hogy ismételten adományozásra buzdítson, és ezt néhány havonta újra és újra megteszi majd a Kötelezett addig, amíg az érintett ez ellen aktív magatartással – méghozzá a Kötelezett által megjelölt módon e-mail vagy postai levél útján – nem tiltakozik, figyelemmel arra, hogy az érintettek erről semmiféle tájékoztatást nem kaptak.

Fentieket támasztja alá az is, hogy a Hatósághoz korábban beérkezett panaszok is azzal kapcsolatosan érkeztek, hogy a Kötelezett vagy az adományozásukat követően rövid időközönként újból kereste az érintettet, hogy adományozásra hívja fel, vagy az évekkel korábbi adományozásra nem is emlékezve hívta újra 2-3 havonta az érintettet.

(105) Az érintetti érdekek, elvárások érdemi felmérésének teljes hiánya mellett a Kötelezett nem azonosíthatta és vethette össze a jogos érdekét az érintettek jogaival és szabadságaival amely a konkrét érintetti jogokon túli kategória, a bővebb „privát szféra” lehető legkisebb zavarásának jogi követelménye -, így nem is vonhatott le helyes következtetést az érdekmérlegelés végén. Az érdekmérlegelésben alá kell támasztani, hogy az azonosított jogos érdek prioritást élvez adott esetben az érintettek jogaival és szabadságaival szemben. Ennek körében nem csak azt kell ismertetni, hogy az adatkezelőnek miért „jó” és miért „szükséges” az adatkezelés, hanem az adott adatkezelés valamennyi szempontját figyelembe kell venni, majd egyenként és összességében értékelni. Azt is, hogy miért nem választhat más eszközt, miért az adott adatkezelés a legalkalmasabb a cél elérésére, és milyen biztosítékokat ad az adatkezelő az érintettnek az ő jogai érvényesítésére. Ez a jelen esetben nem történt meg.

Mindezek következtében az érintettek érdekei túlzottan sérülnek ahhoz, hogy az adatkezelő által azonosított jogos érdek még egyensúlyban legyen az érintettek jogaival és szabadságaival, ezáltal a Kötelezett jogos érdeke nem áll meg.

(106) A Hatóság az érdekmérlegelés áttanulmányozásakor továbbá észlelte, hogy annak 7.

Érdekmérlegelés című pontjában az érintetti kör ismertetésekor úgy fogalmazott, hogy „Az érintettek lehetnek olyan adományozók, akik már korábban hozzájárultak adataik ilyen célú kezeléséhez […]”, azaz a Kötelezett továbbra is úgy fogalmaz, mintha hozzájárulás jogalappal is kezelne személyes adatokat, holott nyilatkozata szerint a korábbi adományozók ismételt telefonos megkeresésével összefüggésben folytatott adatkezelésének jogalapja a jogos érdek.

A Hatóság ehhez kapcsolódóan ismételten hangsúlyozza, hogy egy adatkezelésnek alapvetően csak egy érvényes jogalapja lehet. Nem elfogadható, ha ugyanahhoz az adatkezelési célhoz különböző jogalapokat rendel az adatkezelő, a több jogalap egyidejű alkalmazása ugyanis sérti az átláthatóság elvét.

(107) A fentiek alapján a Hatóság a III./5. pontban megjelölt időszakra vonatkozóan megállapította, hogy a Kötelezett megsértette az általános adatvédelmi rendelet 6.

cikk (1) bekezdését, mivel a jogos érdeke fennálltát nem támasztotta alá, ezáltal érvényes jogalap nélkül kezeli az érintettek személyes adatait az adományozásra felhívó telefonos megkereséseivel összefüggésben.

5.4. A megfelelő tájékoztatási kötelezettség az érintettekkel történő kapcsolattartás során (108) A Kötelezett III./5. pontban megjelölt időszakra vonatkozó nyilatkozata szerint az önkéntesei útján egyrészt a korábbi adományozóit keresi meg telefonon és kéri támogatásukat, másrészt cégeket, szervezeteket keres meg.

(109) A csatolt script alapján a hívás legelején elhangzott szöveg tartalmazott adatkezelésre vonatkozóan információt, az alábbi tartalommal:

„Jó napot kívánok, XY vagyok a könnycsepp alapítványtól keresem.

Az Alapítványról bővebb információ, illetőleg az adatkezelési tájékoztató a következő weboldalon érhető el: www.konnycsepp.hu/ Ha az adatkezeléssel kapcsolatban kérdése van, e-mailben is megkereshet minket.”

(110) A script alapján a Hatóság megállapította, hogy a hívás során pontos információ az adatkezelőre vonatkozóan nem hangzott el, továbbá a hívás során megjelölt weboldal egy nem elérhető címet jelöl meg, a Kötelezett ugyanis ténylegesen a https://konnycseppnelkul.hu/ weboldalon érhető el, tehát a felhívottak nem tudták azonostani az adatkezelő személyét.

(111) A GDPR 12. cikk (1) bekezdése szerint az adatkezelő felelőssége megfelelő intézkedéseket hozni annak érdekében, hogy az érintettek részére a személyes adatok kezelésére vonatkozó, a 13. és 14. cikkben említett valamennyi információt és a 15-22. és a 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa.

(112) A megfelelő tájékoztatás rendszere a GDPR-ban azt szolgálja, hogy az érintett tudatában lehessen annak, hogy mely személyes adatait, mely adatkezelő és mely célból, hogyan fogja kezelni. Ez elengedhetetlen ahhoz, hogy olyan helyzetben legyen, hogy érintetti jogait érdemben gyakorolni tudja.

(113) A hívás során elhangzott rövid tájékoztatóban ismertetni kell az érintettekkel a tervezett adatkezeléssel kapcsolatos legfontosabb információkat, így többek között tájékoztatást kell adni az adatkezelő személyéről és a részletes tájékoztató elérhetőségéről. Nem az érintett feladata ugyanis a tájékoztatás más forrásból történő beszerzése, annak könnyen és észszerűen elvárhatóan rendelkezésre kell állnia.

(114) A GDPR 12. cikk (1) bekezdése alapján az adatkezelőnek aktív kötelezettsége van a tájékoztatás oly módon az érintett rendelkezésére bocsátására, amely igazodik az éppen használt kommunikációs csatornához.

(115) A vizsgált script alapján megállapítható, hogy az az előzőekben említett legfontosabb információkról egyáltalán nem ad tájékoztatást, és ugyan egy weboldal említésével igyekszik eleget tenni a tájékoztatási kötelezettségnek, az azonban egy nem létező weboldalt jelöl meg.

(116) Fentiek alapján a Hatóság a III./5. pontban megjelölt időszakra vonatkozóan megállapította, hogy a Kötelezett a telefonhívások során nem nyújtott az érintetteknek tájékoztatást a személyes adataik kezelésével kapcsolatban, ezáltal sérti az általános adatvédelmi rendelet 12. cikk (1) bekezdését és a 13. cikk (1)-(2)

bekezdéseit.

IV.Jogkövetkezmények

(117) Figyelemmel arra, hogy a Kötelezett az adományozásra felhívó telefonos megkereséseket, mint adatkezelési gyakorlatot jelenleg is alkalmazza, ezért a GDPR 58. cikk (2) bekezdés d) pontja alapján kötelezni szükséges arra, hogy adatkezelését hozza összhangba a GDPR rendelkezéseivel. Az adatkezelést kizárólag megfelelő, valós és konkrét célokból, érvényes jogalap mellett, valamint az érintetti jogok maximális biztosításának igazolásával lehet folytatni, ellenkező esetben a Kötelezettnek az adatkezelés megszüntetését kell igazolnia a Hatóság felé a rendelkező részben megjelölt határidőn belül.

(118) z Infotv. 75/A. § alapján a Hatóság a GDPR 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – az előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – a GDPR 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

(119) E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv.

75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire és az adatkezelés természetére, a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés nem arányos szankció, ezért a Hatóság bírság kiszabása mellett döntött az Infotv. 61. § (1) bekezdés a) pontjára figyelemmel az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja alapján.

(120) A Hatóság a bírság szükségessége és összege tekintetében figyelembe vette, hogy a Kötelezett utolsó közzétett értékesítés nettó árbevétele a civil szervezetek birosag.hu oldalon közzétett hivatalos beszámolója szerint a 2022. évben 82 804 000 Ft volt (a 2021. évben 94 832 000 Ft; a 2020. évben 96 182 000 Ft). A bírság lehetséges maximuma az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) és b) pontja alapján 20 millió EUR.

(121) A bírság összegének meghatározására a következő szempontok alapján került sor:

(i) A Kötelezett forintban számított bevétele a 2 millió euró alatti bevételsávban van.

(ii) Az általános adatvédelmi rendelet 83. cikk (5) bekezdése szerinti bírságkategóriába tartozó jogsértések esetén a bírságmaximum 0 és 8 000 EUR (kb. 3 000 000 Ft) között van.

(iii) A Kötelezett tekintetében megállapított 1.000.000 Ft bírság összeg az éves világpiaci forgalom (árbevétel) kb. 1,2 %-a.

(122) Az adatvédelmi bírság mértékének meghatározásakor a Hatóság enyhítő körülményként vette figyelembe az alábbiakat:

(i) A megállapított jogsértések tekintetében a Kötelezett gondatlanul járt el. Az adatkezelőtől legalább minimális szakértelmet követel meg a GDPR akkor, ha személyes adatokat kíván kezelni. Emiatt, ha szakértelem hiányából adódó jogsértés történik, az legalább gondatlannak minősül. Jelen esetben a Kötelezett tevékenységéből és az eset feltárt körülményeiből nem látszódik szándékosságra utaló bizonyíték. (GDPR 83. cikk (2) bekezdés b) pont).

(ii) A Hatóság korábban nem állapított meg releváns adatvédelmi jogsértést a Kötelezettel szemben (GDPR 83. cikk (2) bekezdés e) pont).

(iii) A Hatóság figyelembe vette, hogy a Kötelezett civil szervezet, amelynek deklarált célja elsődlegesen beteg gyermekek gyógyulása érdekében kórházak, rendelőintézetek orvosi műszerezettségének, általános infrastruktúrájának fejlesztése, továbbá a kórházi ápolásban részesülő beteg gyermekek és egyéb rászorulók anyagi és pszichés segítése, támogatása. A Kötelezett célja továbbá a beteg gyermekek külföldi gyógykezelésének, műtéteinek anyagi és egyéb módon való támogatása (GDPR 83. cikk (2) bekezdés k) pont).

(123) Az adatvédelmi bírság mértékéknek meghatározásakor a hatóság az alábbi súlyosító körülményeket vette figyelembe:

(i) A Kötelezett a vizsgált adatkezelés tekintetében jelentős számú érintett (a csatolt nyilvántartás másolatban több, mint 21000 érintett) személyes adatát kezeli az adománygyűjtéshez kapcsolódóan, egyértelműen nem tisztázott célból és jogalappal (GDPR 83. cikk (2) bekezdés a) pont).

(ii) A Kötelezett adatkezelése kapcsolati típusú személyes adatra irányult (név, telefonszám, cím adatok), továbbá az érintettek által adományozott összeg és az adományozás időpontját is nyilvántartja a Kötelezett az érintettekhez kapcsolódóan (GDPR 83. cikk (2) bekezdés g) pont).

(124) A Hatóság a jogkövetkezményekről való döntés meghozatala során az általános adatvédelmi rendelet 83. cikk (2) bekezdésének fent nem részletezett pontjait nem tartotta relevánsnak a jelen esetben.

(125) Az adatvédelmi bírság összegét a hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg.

(126) A jelen IV. pontban meghatározott szempontok és az eset összes körülménye alapján a Hatóság a bírság összegét arányosnak tartotta a speciális és generális prevenció szempontjából is. Ezen mérlegelés nem köti a Hatóságot más ügyben, a jogkövetkezmény – az Iránymutatás 145-146 bekezdésében is kiemelt módon – minden esetben az egyedi körülmények alapján kerül meghatározásra.

(127) A Hatóság a Kötelezett tevékenységére és az érintettek számára tekintettel a Kötelezett nevének megjelölésével teszi közzé a határozatot.

V.Egyéb kérdések:

(128) A jelen döntés az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

(129) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

(130) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

(131) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

(132) Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Ugyanezen § (2a) bekezdése szerint az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. A Hatóság illetékessége Magyarország egész területére kiterjed.

Budapest, 2024. január 30.

Dr. habil. Péterfalvi Attila elnök, c. egyetemi tanár