Hungarian Data Protection Authority: processing of personal data by Datadat Professional Kft.

Ügyszám: NAIH-6752-10/2023. Előzmény: NAIH-5726/2022. Datadat Professional Kft.

cégkapu: 25838046

Tisztelt Címzett!

A Nemzeti Adatvédelmi és Információszabadság Hatósághoz (a továbbiakban: Hatóság)

bejelentés érkezett, melyben a bejelentő azt kifogásolta, hogy 2021. szeptember 14. és 20. között kéretlen telefonos megkereséseket (SMS, telefonhívás) kapott a +36303444081-es, valamint a +36303444674-es telefonszámokról. A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679/EU rendelet (a továbbiakban: GDPR) 57. cikk (1) bekezdés f) pontja, valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 38. § (3) bekezdés a) pontja alapján vizsgálat indult.

A) i) A telefonszámok szolgáltatója, a Magyar Telekom Nyrt. tájékoztatása szerint a telefonszámok előfizetője a LINK Mobility Kft. (székhely: 1064 Budapest, Andrássy út 64. C. ép. 1. em. 1.; Cg.: 01-09-694287). ii)

A Hatóság megkereste a LINK Mobility Kft.-t, tájékoztatást kérve arról, hogy mely ügyfeleik továbbítottak 2021. szeptember 14-én 17:26-kor a +36303444081-es telefonszámról, valamint 2021. szeptember 20-án 16:37-kor a +36303444674-es telefonszámról SMS üzenetet, valamint arról, hogy az alábbi SMS üzenetek melyik ügyfél megbízásához kapcsolódnak:

„Az elovalasztas most szombaton kezdodik. Szamithatok-e a szavazatodra mint miniszterelnok-jelolt a kormanyvaltashoz, hogy megszuntessuk a kivaltsagos 1% uralmat? Tervezd meg velunk, hogyan és mikor szavazol!” Kattints! karacsonygergely.hu/segitunkszavazni Koszonom, Karacsony Gergely”

„FRISS HIR AZ ELOVALASZTASROL: UJRA MEGNYILTAK A SZAVAZOHELYEK ES AZ

ONLINE szavazas. Az elso fordulo immar SZEPTEMBER 28. KEDDIG tart! Minden szavazat szamit, emlekeztess harom embert, hogy menjen el, es szavazzon Karacsony Gergelyre, az egyetlen jeloltre, aki le tudja gyozni Orbant! Tervezd meg a sajat szavazasod itt, keresd meg, hol szavazhatsz: https://karacsonygergely.hu/segitunkszavazni/”.

A LINK Mobility Kft. nyilatkozata szerint a hivatkozott időpontokban a megjelölt SMS üzenetek küldése a VCC Live Hungary Kft.-hez (1112 Budapest, Balatoni út 2/A. 5. em.) köthető. iii)

A VCC Live Hungary Kft. a Hatóság megkeresésére az alábbi nyilatkozatot adta:

A VCC Live Hungary Kft. szoftverhasználatot, terméktámogatást, valamint egyéb alternatív távközlési szolgáltatásokat nyújt ügyfélszolgálatot üzemeltető előfizetői részére. Előfizetői egyedi

Dr. Péterfalvi Attila András előfizetői szerződéssel rendelkeznek távközlési szolgáltatás igénybevételére, mely szerződés keretében az előfizető által indított hívásokat a hívott félhez továbbítják, továbbá lehetőség van rendszerükön keresztül például SMS küldésére. A hivatkozott telefonszámokat a SzondaPhone Kft. „v.a.” (székhely: 1096 Budapest, Thaly Kálmán u. 39.; a továbbiakban: Kft.) előfizető használta a megjelölt időszakokban. További információt az SMS-küldésekkel kapcsolatban ennek megfelelően a Kft. tud adni. iv)

A Kft. a Hatóság megkeresésében foglalt kérdésekkel kapcsolatban az alábbiakat nyilatkozta:

1. A megjelölt +36303444081-es és a +36303444674-es telefonszámokról történő megkeresésekkel kapcsolatban megvalósuló adatkezelések vonatkozásában az adatkezelő a Kft. megbízója, a Datadat GmbH.

2. A Datadat GmbH megbízásából a Kft. a szolgáltatás teljesítésekor adatfeldolgozóként járt el, a megjelölt időszakban a hivatkozott telefonszámokról a Kft. kizárólag SMS üzenetküldési tevékenységet végzett. A megbízás alapján 119.776 érintettet kerestek meg.

3. A ii) pontban megjelölt SMS üzenetek a Datadat GmbH megbízásához kapcsolódnak.

A Kft. – nyilatkozata szerint –adatfeldolgozóként járt el a válaszleveléhez is csatolt megbízási szerződés szerint.

A Kft. adatfeldolgozóként csak azokat a személyes adatokat kezeli, amelyeket a megbízója, az adatkezelő a rendelkezésére bocsát az adott szerződés szerinti feladat teljesítésének céljából és idejére. A jogalap a szerződés teljesítése a megbízási szerződés alapján.

Jelen megbízásnál az adatkezelő Datadat GmbH kizárólag telefonszámokat adott át a szerződés szerint, amelyekre az SMS üzeneteket küldte a Kft.

4. A Kft. a korábbi – a Hatóság NAIH-964-8/2022. ügyszámú megkeresésében foglalt kérdésekre 2022. április 15-én kelt válaszlevélben adott – nyilatkozatát fenntartva, arra hivatkozva előadta, hogy rendelkezik a GDPR és az Infotv. előírásainak megfelelően Adatkezelési és Adatbiztonsági tájékoztatóval és Belső Adatkezelési Szabályzattal, tevékenysége során ezeket szigorúan betartva jár el.

A Kft. minden tevékenysége szerződés megkötését követően indul, a szerződések tartalmazzák, hogy mi az adatfeldolgozó feladata, kezel-e személyes adatot vagy sem. Fő szabályként nem kezel, így az adatfeldolgozói tevékenység nyilvántartása a szerződések tartalma és a teljesítések igazolása.

5. A Datadat GmbH az általa kezelt személyes adatokat – jelen esetben telefonszámokat – a megbízási szerződés megkötését követően e-mailben adta át a Kft.-nek adatfeldolgozói tevékenységének ellátása céljából.

6. A Kft., mint adatfeldolgozó nem rendelkezik saját adatbázissal, adatfeldolgozói tevékenységét a megbízói, mint adatkezelők által kezelt adatok felhasználásával, a megbízás tartalma és határideje keretei között végzi.

7. A Kft. a feladatai ellátásához nem tárol személyes adatokat, így a hozzáférésről érdemben nyilatkozni nem tud.

8. A személyes adatokat a Kft. az adatkezelővel kötött szerződés szerint a szerződés teljesítésének lezárásáig tárolja, ezt követően minden személyes adatot visszaad a megbízónak.

9. Adatfeldolgozóként nem a Kft. tájékoztatja az érintetteket a személyes adatok kezelésének módjáról. Amennyiben az érintett bármilyen kéréssel, igénnyel mégis a Kft.-t keresi meg, a Kft. haladéktalanul továbbítja a kérését, kérdését az adatkezelőnek. Az érintettnek érdemi választ és tájékoztatást csak az adatkezelő tud adni.

10. A Kft. adatfeldolgozóként jár el, részére a VCC Live Hungary Kft. nyújtja a technikai szolgáltatást, így a VCC Live Hungary Kft. további adatfeldolgozóként jár el. Az SMS küldések során a VCC Live Hungary Kft., mint technikai szolgáltató programját használják.

11. 2021. szeptember 14. és 2021. szeptember 20. között a jelzett SMS üzenetekkel megkeresett telefonszámok már nem állnak a Kft. rendelkezésére, azokat a megbízónak, a Datadat GmbH-nak visszaadták, így azokat a továbbiakban nem tárolja a Kft.

12. Az SMS küldés a Datadat GmbH által megadott telefonszámokra történt, kiválasztási módszer nélkül, a teljes telefonszám-listát használva.

13. A Kft. válaszleveléhez csatolta a Datadat GmbH-val kötött, 2021. szeptember 1. napján kelt szerződése és mellékletei másolatát.

v)

A Datadat GmbH (a továbbiakban: GmbH) a Hatóság megkeresésében foglalt kérdésekkel kapcsolatban az alábbi nyilatkozatokat adta:

1. A GmbH, mint adatfeldolgozó működött közre a Datadat Professional Kft. (a továbbiakban:

Datadat Kft.) alvállalkozójaként ilyen tartalmú SMS-ek küldésében. Megrendelőjüktől azt a tájékoztatást kapta, hogy a szolgáltatást egy ügyfele részére végezte el, amely egyesület maga volt a kizárólagos adatkezelő. Az egyesület neve: Kilencvenkilenc Mozgalom

Egyesület (2045 Törökbálint, Csiri utca 18.).

2. A megjelölt telefonszámok vonatkozásában sem a GmbH-nak, sem a Datadat Kft.-nek nincs és nem volt exkluzív telefonszám-használati jogosultsága. Így nyilatkozatuk arra tud kiterjedni, hogy a GmbH megbízásából történt-e a megkeresésben rögzített szövegű SMSek küldése.

A kiküldött SMS-ek számának vonatkozásában pontos információt nem tudnak adni, mivel az SMS-küldő alvállalkozójukkal számos más projektben működtek együtt, és a konkrét időszak konkrét SMS-küldéseire vonatkozóan ezzel a konkrét szöveggel már 2021. év végén megsemmisítettek minden leválogatott adatot, így nem tudnak pontosan nyilatkozni arra vonatkozóan, hogy hány darab SMS ment ki a megkeresésben ismertetett szöveggel.

3. A GmbH a megkeresés tárgyát képező SMS-ek kiküldése tárgyában adatfeldolgozó. A GmbH, mint szolgáltató és a Datadat Kft., mint megrendelő, illetve ügyfél által kötött szerződést a GmbH válaszleveléhez mellékelte.

4. A GmbH a megkeresés tárgyában nem adatkezelője személyes adatoknak, mobiltelefonszámoknak, e-mail-címeknek, lakcímeknek.

5. A GmbH- mint adatfeldolgozó nem tud arra vonatkozóan teljeskörűen nyilatkozni, hogy az adatkezelő milyen forrásból állította elő a személyes adatokat (is) tartalmazó adatbázisát. A GmbH arra vonatkozóan tud nyilatkozni, hogy milyen adatgyűjtési módszerek működtetésével támogatta – nem kizárólagosan – a vonatkozó adatgyűjtést, mint adatfeldolgozó alvállalkozó:

a) az Action Network nevű CRM, e-mail küldő és feliratkozási oldal szoftver licenszelésével, amely szoftver alkalmas arra, hogy az adatkezelő egyedi feliratkozási weboldalakat konfiguráljon, és ezeken keresztül úgy gyűjtsön adatokat, hogy bármiféle adat elmentéséhez a szimpatizáns választópolgár digitálisan dokumentált beleegyezésére van szükség. Automatikusan, az állampolgár direkt és egyértelmű beleegyezése nélküli adatgyűjtésre ezen szoftveren keresztül nincs lehetőség.

b) WinWithMe Facebook Messenger üzenetküldő alkalmazás. E szoftver a Datadat OÜ tulajdona, a GmbH ezen leányvállalattól licenszeli a szoftvert.

A WinWithMe szoftver egy ún. single tenant alkalmazás, tehát minden ügyfélkörnyezet önálló instance-ban fut, elkülönülve más ügyfelek adataitól.

A Facebook platformszabályai szerint működő Messenger szoftver kizárólag az állampolgár digitálisan dokumentált, kifejezett beleegyezése esetén kezd el bármiféle adatot kezelni/feldolgozni az állampolgároktól. Automatikus adatgyűjtés, a feliratkozás utáni, beleegyezés nélküli adatszerzés nem történik, nem is történhet. Feliratkozáskor kizárólag a felhasználó Facebook neve és egy speciális, szituatív ID, az ún. PSID (page-scoped user-id) kerül a Facebook által hozzárendelésre az adott állampolgárhoz, amelyen keresztül csak addig lehetséges részére üzenetet küldeni közvetlenül, ameddig a felhasználó feliratkozója a vonatkozó Messenger csatornának. Ha leiratkozik, akkor már nem. Ha leiratkozás után a felhasználó újra feliratkozna, akkor a Facebook a részére más új PSID-t adna ki, és a régin a felhasználó már nem lenne kereshető.

A Messengeren történő önkéntes kommunikáció során a felhasználó válaszolhat kérdésekre gombnyomások révén, amely önkéntesen kinyilvánított preferenciák letárolásra kerülnek. Ha a felhasználó pl. irányítószámot ad meg, akkor az akként kerül letárolásra. Telefonszám és mobilszám esetén a Facebook, mint platform már ismeri az érintett telefonszámát és/vagy mobilszámát, mivel korábban a felhasználónak meg kellett ezeket adnia. E-mail és/vagy mobilszám automatikus, a felhasználó kifejezett beleegyezése nélküli akvirálása nem lehetséges, mert a platformszabályok sem engedik és erre a szoftver sem képes. Ezen adatokat a Facebook nem adja át az adatkezelő, azaz a WinWithMe előfizetője részére. Ez csak akkor lehetséges, ha a felhasználó maga egy doubt-opt-in folyamat részekéént ismételt beleegyezését nyilvánítja ki explicit kérdésre válaszolva, és ezen önkéntes döntése digitálisan dokumentált beleegyezésként kerül eltárolásra. Ezt követően a szoftver megkapja az e-mail címet és/vagy a mobilszámot.

6. A WinWithMe szoftver egy konkrét instance-ával a Facebook nyilvános platformszabályai szerint lehetséges csak a kapcsolatbalépés. Ennek három módja van:

felhasználói üzenet közvetlenül a Messenger csatorna és/vagy a vonatkozó Facebook oldal részére, ha a private reply funkció aktív, akkor komment publikálása a felhasználó részéről az adott Messenger csatorna „gazda oldalán” a Facebookon;

speciális, ún. click-to-messenger Facebook-hirdetésre való kattintás után.

Mindhárom esetben a kapcsolatfelvétel első kinyilvánítója a felhasználó. Az önkéntes felhasználói kapcsolatfelvétel után továbbra sem történik automatikus feliratkoztatás, így adat sem kerül át a WinWithMe feldolgozásába. Ehhez az szükséges, hogy a felhasználó feliratkozási szándékra vonatkozó kérdésre igen választ adjon. Ha nem teszi ezt, nem kerül feliratásra. A feliratkozási beszélgetések az ügyfelek, mint adatkezelők által konfigurálható megoldások.

Egy Messenger csatorna nem kapcsolható be, ha a le- és feliratkozás lehetősége a csatorna menüjén keresztül egy kattintás távolságra nem érhető el. A Facebook kikapcsolja a Messenger csatornát, ha ezekkel a beállításokkal nem rendelkezik. Ugyanígy kötelező a vonatkozó adatkezelő adatvédelmi szabályzatának a közvetlen linkelése, amelyet a Facebook, mint platform automatizáltan ellenőriz.

7. A GmbH nem adatkezelője semmilyen adatnak, így nem rendelkezik semmiféle adatbázissal.

8. A vonatkozó projekt részeként két CRM rendszer tárolja az adatokat, az egyik az Action Network licensz, a másik a WinWithMe. Előbbi kezeli a teljes adatbázist, ideértve az e-mailküldést is, és a feliratkozási oldalakon keresztül az állampolgárok által megadott adatokat; utóbbi kezeli – kizárólagosan – a Facebook Messenger csatornán keresztül megszerzett adatokat az állampolgár digitálisan dokumentált beleegyezése után.

Az adatbázishoz hozzáféréssel kizárólag a GmbH informatikai vezetője és a Datadat Kft. erre kijelölt munkatársai rendelkeznek internetes kapcsolat révén webböngészőn keresztül, amelynek igazolására képernyőképek becsatolása történt.

9. A GmbH semmilyen adatnak nem adatkezelője, így adatkezelés helyére vonatkozóan nem tud nyilatkozni.

A GmbH által licenszelt szoftverek adatfeldolgozási helyével kapcsolatos információk a szoftverek weboldalain érhető el:

- Action Network szoftverhez kapcsolódóan a https://actionnetwork.org/terms/ és a https://actionnetwork.org/privacy/ oldalakon, a WinWithMe szoftverrel kapcsolatban: Records Management Policy: winwith.me/privacy

10. A GmbH által licenszelt és üzemeltetett szoftverek minden feliratkozási és adatrögzítési pillanatban közvetlenül, egy kattintáson belül kötelezően, kitörölhetetlenül hozzáférhetővé teszik a vonatkozó adatfeldolgozás adatkezelőjének adatvédelmi szabályzatát, amelyre vonatkozóan a GmbH az ügyfeleit kioktatja és csak ezen paraméterek teljesülése esetén működtetik a szoftvereket.

Mivel a GmbH nem adatkezelő a Hatóság megkeresésének tárgyában, így a tájékoztatás tartalmáról és módjáról nem áll módjában tájékoztatást adni.

11. A GmbH az SMS-ek kiküldésének tárgyában a Hatóság megkeresésének témájában a SzondaPhone Kft.-vel, mint adatfeldolgozóval működött együtt (GmbH, mint ügyfél – SzondaPhone Kft., mint szolgáltató).

A WinWithMe szoftver vonatkozásával a GmbH a Datadat OÜ-vel, mint adatfeldolgozó alvállalkozóval működött együtt.

A vonatkozó szerződés/keretszerződés másolatát a GmbH a válaszlevélhez mellékelte.

12. A GmbH nem használt közvetlenül programot SMS küldésre. Ezt a munkát és az ehhez kapcsolódó adatfeldolgozást a SzondaPhone Kft. végezte.

13. A Hatóság SMS-küldések során megkeresett telefonszámok megküldésére vonatkozó felhívására a GmbH akként nyilatkozott, hogy a standard adatvédelmi gyakorlatának részeként 2021. december 31-ével megsemmisített minden olyan származtatott adatfeldolgozásból származó információt, amely a jelen ügy tárgyát képező kimenő üzenetküldéshez kapcsolódott. Így jelenleg már nem rendelkezik a meghatározott időszakra vonatkozó adatbázis-leválogatásokkal.

14. Az SMS-küldés során alkalmazott kiválasztási módszerre vonatkozó kérdésre a GmbH előadta, hogy a konkrét küldések tárgyában az adatkezelő szabja meg a feladatot, erre vonatkozóan ő tud nyilatkozni. A Hatóság megkeresésében tárgyalt SMS minden olyan számra kiküldésre került, amelyet az adatkezelő megfelelő adatvédelmi felhatalmazás birtokában az adott időszakban jogszerűen kezelt, szűrő-leválogatás nélkül.

15. A Datadat Kft. feladatszabása alapján, az adatkezelő utasítására figyelemmel a kiküldött SMS-ek minden esetben hiperlinket tartalmaztak egy olyan weboldalra, amely a vonatkozó feliratkozási lehetőség felkínálása mellett minden adatvédelmi tájékoztatást is biztosított. Bármiféle adatmegadás az állampolgárok részéről az adott, linkelt felületen önkéntes volt. Ennek elérhetősége: https://karacsonygergely.hu/segitunkszavazni/ vi)

A DatAdat Kft. a Hatóság megkeresésében foglalt kérdésekkel kapcsolatban az alábbi nyilatkozatokat adta:

1. A Datadat Kft. ilyen telefonszámoknak nem előfizetője, nem volt adatkezelője ilyen számokon történő kiküldéseknek soha, semmilyen formában.

2. A Datadat Kft. a GmbH-t, mint alvállalkozót vette igénybe adatfeldolgozóként, és az SMSküldéssel megbízott alvállalkozó bevonásának céljából.

3. Az SMS-küldéshez használt telefonszámra vonatkozóan információval nem rendelkeznek, az ezt végző alvállalkozó erre vonatkozóan nem vállalt szerződéses kötelezettséget, és erről tájékoztatást a Datadat Kft. részére nem adott.

Az SMS-küldésre a Kilencvenkilenc Mozgalom Egyesülettől, mint adatkezelőtől kapott megbízást a Datadat Kft, a társaság az SMS-küldések vonatkozásában kizárólag adatfeldolgozó. A megbízási szerződés másolatát azonban a Hatóság részére megküldeni nem tudja, mivel a Nemzeti Adó- és Vámhivatal Bűnügyi Főigazgatósága Központi Nyomozó Főosztály (a továbbiakban: NAV Bűnügyi Főigazgatóság) által a Datadat Kft.-vel szemben indított büntetőügyben folyó nyomozás során a 2022. október 17-én a társaság székhelyén foganatosított foglalás során minden, a jelen ügyhöz is kapcsolódó ügyfél- és alvállalkozói szerződés lefoglalásra került.

4. A Datadat Kft. adatvédelmi gyakorlata szerint az adatkezelésre vonatkozó adatbázisszeleteket és dokumentációt e-mail formában az adatfeldolgozással érintett alanyok védelmében rendszeresen törlik, így a vonatkozó adatbázis-részlettel is így járt el a társaság, így további dokumentációt megküldeni nem tud.

5. A hivatkozott SMS-ek szövege mozgósítási célú volt, amely a feliratkozási csatornákon keresztül rögzített telefonszámokra került kiküldésre a GmbH, mint adatfeldolgozó által. A cél az előválasztási szavazás napjára vonatkozó további regisztrációs link kiküldése volt.

6. A Datadat Kft. a nyilatkozata szerint csak olyan telefonszámokra történő kiküldésre adott utasítást az adatkezelő nevében, amelynek az adott pillanatban az adatkezelő jogszerű adatkezelője volt a legjobb tudomásunk szerint.

7. A Datadat Kft.-nek nincs információja arról, hogy az adatkezelő milyen módon építette adatbázisát. A Datadat Kft. a GmbH-tól, mint alvállalkozójától egyéb szolgáltatások mellett SMS-küldési, CRM-rendszer üzemeltetési, Facebook Messenger chatbot csatorna üzemeltetési, online feliratkozási weboldalak kialakítását támogató szoftver üzemeltetési és tömeges e-mail küldési szolgáltatást rendelt meg. A GmbH ezek során kizárólag adatfeldolgozó volt, erre adott megbízást a Datadat Kft. a részére.

A Datadat Kft. az Action Network és a WinWithMe szoftverek telepítését és üzemeltetését rendelte meg a tárgyidőszakban a GmbH-tól, a Datadat Kft. azonban nyilatkozata szerint jelenleg ezen ügyfélkörnyezetekhez nem rendelkezik hozzáféréssel. Nyilatkozata szerint a kft. a vonatkozó szoftvereknek nem jogtulajdonosa, nem fejlesztője és a vizsgálat által érintett időszakban, 2021 szeptemberében sem volt az.

8. Az adatbázishoz hozzáféréssel kizárólag a GmbH, mint alvállalkozó adatfeldolgozó informatikai vezetője, és a Datadat Kft. ügyfeleinek a kft. által kijelölt munkatársai férhettek hozzá, internetes kapcsolat révén.

9. Az adatvédelmi tájékoztatással kapcsolatban előadta, hogy tudomásuk szerint az Action Network feliratkozási oldalak és e-mailek tartalmaznak beépítetten linket az adatkezelő adatvédelmi politikájára és a leiratkozás lehetőségére vonatkozóan. A WinWithMe szoftver pedig a Facebook Messenger platformszabályaival összhangban eltávolíthatatlan módon tartalmaz a Messenger ún. hamburgermenüjén keresztül, egy kattintáson belül linket a leiratkozásra és az adatkezelő adatvédelmi politikájára. A Facebook az ezek nélkül indított Messenger csatornákat letiltja.

10. A Datadat Kft. közvetlenül nem küldött SMS-t a vizsgálat tárgyában, és közvetlenül nem szerződött tárgybeli alvállalkozóval, így az SMS-küldő programról nyilatkozata szerint információt adni nem tud.

11. A Datadat Kft. standard adatvédelmi gyakorlatának részeként 2021. december 31-ével megsemmisített minden olyan származtatott adatfeldolgozásból származó információt, amely a vizsgálat tárgyát képező kimenő üzenetküldéshez kapcsolódott, így jelenleg már nem rendelkezik a meghatározott időszakra vonatkozó adatbázis-leválogatásokkal.

12. A megkeresés tárgyában szegmentáció, profilozás, célcsoportképzés nem történt. Minden, az adatkezelő által az adott időszakban kezelt mobilszámra történt kiküldés.

13. Az adatkezelő utasítására kiküldött üzenetek tartalmaztak egy linket egy weboldalra, amely tartalmaz információt az érintetti jogokra vonatkozóan.

vii)

A Hatóság a Datadat Kft. által hivatkozott, a NAV Bűnügyi Főigazgatósága által lefoglalt szerződés másolatának megszerzése érdekében megkereste a NAV Bűnügyi Főigazgatóságát, amely megkeresésre válaszul a NAV Bűnügyi Főigazgatósága megküldte a Kilencvenkilenc Mozgalom Egyesület (megbízó) és a Datadat Kft. (megbízott) között 2021. július 15-én kelt megbízási keretszerződés másolatát.

viii)

A Kilencvenkilenc Mozgalom Egyesület (a továbbiakban: Egyesület) a Hatóság megkeresésében foglalt kérdésekkel kapcsolatban az alábbiakat nyilatkozta:

1. Az Egyesület mint adatkezelő az adatfeldolgozójaként eljáró Datadat Kft.-n keresztül küldte ki a vizsgálattal érintett SMS üzeneteket. Az Egyesületnek nincs tudomása arról, hogy más személy vagy szervezet azonos tartalmú SMS-eket küldött-e ki.

2. Az SMS-ek küldését technikailag a Datadat Kft. adatfeldolgozó végezte, így az Egyesületnek nincs tudomása arról, hogy az üzenetek feladójaként milyen telefonszám szerepelt, így arról sem, hogy azok kiküldése a Hatóság által megjelölt telefonszámokról történt-e.

Az SMS-ek küldésére nem harmadik személy megbízásából, vagy harmadik személy döntése alapján került sor.

3. Az Egyesület az SMS-ek küldése során adatkezelőként járt el.

4. Az Egyesület 2021 nyarától egyrészt a kilencvenkilenc.hu és a karacsonygergely.hu oldalakon keresztül az érintettektől való közvetlen adatfelvétellel gyűjtött szimpatizánsi adatokat, így név, lakcím, telefonszám, e-mail adatokat. A személyes adatok megadását követően az érintetteknek a jelölőnégyzet bejelölésével nyilatkoznia kellett arról, hogy a jelölőnégyzet mellett linkelt adatkezelési tájékoztatót megismerte és az abban foglaltakat elfogadja. Ezt követően a következő oldalon külön is meg kellett erősíteni a kapcsolattartási céllal való adatkezeléshez való hozzájárulást. Az így megadott adatok ezt követően automatikusan, külön emberi beavatkozás nélkül az adatfeldolgozó Datadat Kft. által biztosított CRM rendszerbe kerültek.

Ezen túlmenően az Egyesület a WinWithMe elnevezésű Facebook applikációval is gyűjtött szimpatizánsi adatokat. Az applikáció a Facebook platformszabályaival összhangban csak akkor teszi lehetővé a Facebook regisztráció során megadott egyes felhasználói adatok megszerzését, ha ahhoz az érintett az adatvédelmi tájékoztató linkjének feltüntetése után az érintett adatok tételes megjelölésével ahhoz hozzájárulást ad. Az így megadott hozzájárulást követően ezek a személyes adatok (név, telefonszám, e-mail) szintén az adatfeldolgozó Datadat Kft. által biztosított CRM rendszerbe kerültek.

5. A WinWithMe szoftver a Facebook Messenger üzenetküldő alkalmazásra épülő programozott, automatizált üzenetküldő alkalmazás, amely a Facebook nyilvános, kódolt informatikai kapcsolódási pontján (API) keresztül a Facebook Messenger platformszabályai alapján képes adatok adatbázisba rendezésére.

A Facebook Messenger platformszabályai szerint harmadik fél által fejlesztett üzenetküldő szoftverek csak és kizárólag azon Facebook felhasználók adataihoz férhetnek hozzá, akik maguk önkéntesen kinyilvánítják beleegyezésüket abba, hogy az adott Facebook közszereplői oldaltól – amelyhez a konkrét Facebook Messenger csatorna kapcsolásra kerül – üzenetet kaphassanak. A platformszabályok egyfelől nem teszik lehetővé (informatikailag sem), hogy más oldal Messenger csatornája ezen hozzájárulás alapján üzenetet küldhessen, másfelől pedig nem teszik lehetővé azt sem, hogy leiratkozott felhasználó részére a harmadik fél szoftvere üzenetet küldjön.

A Facebook vonatkozó nyilvános, kódolt, biztonságos hozzáférésű API-ja erősen korlátozott mennyiségű adatot ad át a feliratkozókról. A Facebook API alapesetben csak az opt-inelt felhasználó vezetéknevét és keresztnevét, továbbá egy, csak az adott csatornára értelmezhető ún PSID-t (page scoped user ID) adja át a harmadik fél által fejlesztett szoftver számára. Ezen túlmenően a WinWithMe szoftver képes arra, hogy ismételt, külön, egyedi, önkéntes és dokumentált felhasználói beleegyezés után tárolja a feliratkozott felhasználónak a Facebook felé megadott e-mail címét vagy mobilszámát.

6. A WinWithMe szoftverrel működtetett üzenetküldő alkalmazás feliratkozója akkor lehet valaki, ha Facebook felhasználóként az adott Facebook közszereplői oldalhoz kapcsolt Facebook Messenger csatornán opt-inelt a következő formák valamelyikével:

a felhasználó által az adott Facebook Messenger csatornájának írt üzenettel előhívott felhívásra adott kifejezett beleegyezéssel;

az adott Facebook oldalon tett kommenteléssel előhívott Messenger beszélgetésben adott kifejezett beleegyezéssel;

az adott Facebook oldal hirdetésre való rákattintással előhívott Messenger beszélgetésben adott kifejezett beleegyezéssel.

Önmagában a csatornának írt üzenet, a kommentelés vagy a hirdetésre kattintás nem iratkoztat fel, csak ha az ennek nyomán megjelenő felhívás alapján a felhasználó kifejezetten beleegyezik a feliratkozásba.

7. Az Egyesület gyakorlatában előfordult olyan érintetti igény, amikor az érintett azzal kereste meg az Egyesületet, hogy nem adta meg a telefonszámát senkinek, majd az igény intézése során kiderült, hogy az érintett saját maga által is elismerten elfeledkezett arról, hogy a Facebook chatboton keresztül hozzájárulást adott az adatainak kezeléséhez, ilyen esetben azonban az Egyesület az érintetti igény alapján a személyes adatot törölte.

8. Az Egyesület fentiek alapján jelenleg 63.313 érintettnek kezeli ily módon a hozzájárulása alapján a személyes adatait. Az egyes felhasználók közül azonban nem adta meg mindenki mindegyik jelzett adatát.

9. Mivel az adatfeldolgozó Datadat Kft. a két szoftver licenszelését immár nem biztosítja, az adatokat jelenleg az Egyesület csv formátumban egy pendrive-on tárolja, amely fizikailag az Egyesület ügyvezetőjének megbízásából az Egyesület egyik tagja budapesti lakásában őrzi. A csv formátumból fakadóan menüszerkezete jelenleg nincs az adatbázisnak.

10. A regisztráció során az érintetteknek a jelölőnégyzet bejelölésével nyilatkoznia kellett arról, hogy a jelölőnégyzet mellett linkelt adatkezelési tájékoztatót megismerte és az abban foglaltakat elfogadja. A Facebook applikáció keretében adott hozzájárulás esetén ugyanez a link szerepelt a Facebook által megkövetelt policy feltüntetése során. Az adatkezelési tájékoztató a https://kilencvenkilenc.hu/adatkezelesi-tajekoztato/ címen elérhető.

11. Az Egyesület a Datadat Kft.-t vette igénybe adatfeldolgozóként. Az adatfeldolgozó rendelkezik ismerettel arról, hogy az SMS-ek kiküldéséhez, mint technikai művelethez milyen szoftvert használt. Az SMS-eket mindazok részére kiküldte az Egyesület, akik telefonszámuk kezeléséhez hozzájárultak. Az Egyesületnek nincs arra vonatkozó ismerete, hogy milyen telefonszámokról kerültek kiküldésre az üzenetek. Az Egyesület azon telefonszámok listáját csatolta, amelyekre az SMS-küldést a Datadat Kft-től, mint adatfeldolgozótól megrendelte.

12. Az SMS-ek szövegében szereplő linken elérhető weboldal tartalmazta az érintetti jogok érvényesítésére vonatkozó tájékoztatást is.

13. A beérkezett érintetti kérelmeket az Egyesület megválaszolta.

ix) A Hatóság a tényállás teljeskörű tisztázása érdekében több alkalommal felhívta továbbá az Egyesületet, hogy küldje meg a Datadat Kft.-vel a vizsgálattal érintett SMS-küldéshez kapcsolódóan kötött szerződése másolatát annak valamennyi mellékletével együtt. Az Egyesület a Hatóság megkereséseit a letöltési igazolás tanúsága szerint átvette, válaszlevél azonban a megkeresésekre nem érkezett.

B) A Hatóság megállapításai

1. A feltárt tényállás alapján az adatkezelés rövid összefoglalása

A Hatósághoz érkezett bejelentés szerint a bejelentő részére 2021. szeptember 14. és 20. között a +36303444081-es és a +36303444674-es telefonszámokról az A./ii. pontban ismertetett tartalmú kéretlen SMS üzenetek érkeztek.

(i) Az SMS üzenetek küldésére az Egyesület adott megbízást. Az Egyesület a nyilatkozata szerint adatkezelőnek tekinthető az SMS küldések vonatkozásában.

(ii) A megbízás alapján az SMS üzeneteket minden, az Egyesület által az adott időszakban kezelt mobiltelefonszámra elküldték.

(iii) Az Egyesület az SMS üzeneteket a Datadat Kft.-n keresztül küldte ki.

(iv) A Datadat Kft. az SMS-ek küldése során alvállalkozójával, a Datadat GmbH-val működött együtt. A GmbH nem használt közvetlenül programot az SMS-küldésre, hanem az SMS-küldések lebonyolítása során a SzondaPhone Kft.-vel működött együtt.

(v) A Datadat Kft. a Datadat GmbH-tól a tárgyidőszakban az Action Network és a WinWithMe CRM rendszerek telepítését és üzemeltetését rendelte meg. A GmbH a nyilatkozata szerint ezen adatgyűjtési módszerek működtetésével támogatta az adatgyűjtést, mint adatfeldolgozó alvállalkozó.

- Az Action Network nevű CRM rendszer egy e-mail küldő és feliratkozási szoftver, amely kezeli a teljes adatbázist, ideértve az e-mail küldést is és a feliratkozási oldalakon keresztül az állampolgárok által megadott adatokat; a szoftver tehát alkalmas arra, hogy az adatkezelő egyedi feliratkozási weboldalakat konfiguráljon és ezeken keresztül úgy gyűjtsön adatokat, hogy bármilyen adat elmentéséhez az érintett digitálisan dokumentált beleegyezésére van szükség.

- A WinWithMe CRM rendszer kezeli kizárólagosan a Facebook Messenger csatornán keresztül megszerzett adatokat; a szoftver tehát egy Facebook Messenger üzenetküldő alkalmazás, amely a Facebook platformszabályai alapján kizárólag az érintett digitálisan dokumentált, kifejezett beleegyezése esetén kezel/dolgoz fel érintettől származó személyes adatot.

Az adatbázishoz kizárólag a Datadat GmbH informatikai vezetője és a Datadat Kft.kijelölt munkatársai férnek hozzá internetes kapcsolat révén, webböngészőn keresztül.

(vi) Az Egyesület a kilencvenkilenc.hu és a karacsonygergely.hu oldalakon keresztül az érintettektől való közvetlen adatfelvétellel gyűjtött név, lakcím, telefonszám és e-mail cím személyes adatokat. Az érintettek által megadott adatok automatikusan a Datadat Kft. által biztosított CRM rendszerbe kerültek.

Az Egyesület továbbá a WinWithMe Facebook applikációval is gyűjtött személyes adatokat. Az oldalon megadott érintetti hozzájárulást követően a személyes adatok (név, telefonszám, e-mail) szintén a Datadat Kft. által biztosított CRM rendszerbe kerültek.

Az Egyesület a megjelölt oldalakon történt adatmegadással és érintetti hozzájárulás alapján több, mint 63.000 érintett személyes adatát kezeli.

(vii) A SzondaPhone Kft. a Datadat GmbH megbízásából SMS üzenetküldési szolgáltatást végzett, ennek során 119.776 érintettet kerestek meg. Az SMS üzenetekkel megkeresendő telefonszámokat a Datadat GmbH adta át e-mailben, az SMS-küldés a teljes, GmbH által átadott telefonszám-lista számaira megtörtént.

(viii) Az SMS-küldéssel összefüggésben az érintettek tájékoztatása az SMS üzenetekben elhelyezett hiperlinken keresztül történt.

(ix) A regisztráció során, személyes adataik megadásakor a feliratkozási oldalon az érintetteknek be kellett jelölniük az „Elolvastam, és elfogadom az adatvédelmi nyilatkozatot” előtti jelölőnégyzetet. Az adatvédelmi nyilatkozat hiperlink a https://kilencvenkilenc.hu/adatvedelmi-tajekoztato/ oldalra navigált (az oldal alatt az adatvédelmi tájékoztató jelenleg már nem elérhető). A Facebook applikáció keretében adott hozzájárulás esetén ugyanez a link szerepelt a Facebook által megkövetelt policy feltüntetése során az Egyesület nyilatkozata szerint.

2. Az adatkezelés folyamata, az adatkezelésben betöltött szerepek tisztázása az SMSküldésekkel összefüggésben megvalósult adatkezelés tekintetében

2.1 A GDPR 4. cikk 7. pontjának fogalommeghatározása szerint adatkezelő az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza, míg a 8. pontjában foglaltak szerint adatfeldolgozó az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel. Az adatkezelő és az adatfeldolgozó GDPR szerinti fogalmáról szóló 7/2020. sz. EDPB iránymutatásban (a továbbiakban: 7/2020. sz. iránymutatás) foglaltak szerint az adatkezelő fentiekben ismertetett fogalmi elemei közül a „meghatározza” kifejezés az adatkezelőnek a döntéshozatali jogkör gyakorlása révén az adatkezelésre gyakorolt befolyására utal. Az adatkezelő az, aki/amely meghatározza az adatkezelés egyes kulcsfontosságú elemeit. Ennek megállapításához meg kell vizsgálni a konkrét adatkezelési műveleteket, és meg kell érteni, hogy ki határozza meg azokat, azaz megvizsgálni, hogy miért került sor a konkrét adatkezelésre, ki határozott úgy, hogy az adatkezelést meghatározott célból el kell végezni. Az adatkezelő meghatározásának lényeges építőeleme az adatkezelő befolyása az adatkezelés céljaira és eszközeire. A célok és eszközök meghatározása annak eldöntését jelenti, hogy miért és hogyan történik az adatkezelés. Egy konkrét adatkezelési művelet esetében az adatkezelő az a szereplő, aki meghatározza, hogy az adatkezelésre miért kerüljön sor – azaz milyen célból, vagy miért – és hogy e cél hogyan érhető el, azaz milyen eszközöket kell alkalmazni a cél elérése érdekében. A GDPR. 4. cikkének 7. pontja értelmében az a jogi személy, aki befolyást gyakorol a személyes adatok kezelésére, részt vesz a kezelés céljainak és módjának meghatározásában. Az adatkezelőnek mind az adatkezelés céljáról, mind annak módjáról döntenie kell. Az adatkezelő nem állapodhat meg csak a cél meghatározása után, döntést kell hoznia az adatkezelés eszközeiről is. Ezzel szemben az adatfeldolgozóként eljáró fél soha nem határozhatja meg az adatkezelés célját.

Az iránymutatás fentieken túl kiemeli, hogy mindenkinek, aki úgy dönt, hogy adatokat kezel, mérlegelnie kell, hogy ez érint-e személyes adatokat, és ha igen, milyen kötelezettségek állnak fenn a GDPR értelmében. Valamely szereplő akkor is „adatkezelőnek” minősül, ha nem céloz meg szándékosan személyes adatokat, vagy tévesen állapította meg, hogy nem kezel személyes adatokat.

2.2 A feltárt tényállás alapján az Egyesület megbízásából mozgósítási célú SMS üzenetek küldésére került sor az Egyesület feliratkozási csatornáin rögzített érintetti telefonszámokra, az SMS-küldés célja az előválasztási szavazás napjára vonatkozó további regisztrációs link kiküldése volt. Az Egyesület az SMS-küldésre a Datadat Kft.-nek adott megbízást, a Datadat Kft. pedig a feliratkozási csatornákon keresztül rögzített telefonszámokra történő SMS-küldéssel megbízta a Datadat GmbH-t., amely társaság annak technikai lebonyolításával a SzondaPhone Kft. „v.a.”-t bízta meg. 2.3 Az Egyesület a Hatóság megkeresésére küldött válaszlevelében azt nyilatkozta, hogy az SMSküldéssel kapcsolatban az adatkezelő az Egyesület. A Datadat Kft., a Datadat GmbH és a SzondaPhone Kft. az általuk nyújtott szolgáltatással összefüggésben megvalósuló adatkezelés tekintetében magukat adatfeldolgozónak tekintették. 2.4 A feltárt tényállás alapján – ezen belül a 2021. szeptember 1-jén kelt, a Datadat GmbH és a SzondaPhone Kft. „v.a.” között létrejött szerződésben foglaltak és a szerződő felek nyilatkozatai alapján – a SzondaPhone Kft. „v.a.” a vizsgált adatkezeléssel összefüggésben kizárólag SMS üzenetküldési tevékenységet végzett, azaz az üzenetküldés technikai lebonyolításában vett részt. Az SMS-üzenetek küldéséhez használt telefonszámokat a Datadat GmbH adta át a SzondaPhone Kft.-nek, illetve az SMS-üzenetek szövegét is a GmbH biztosította az előzőekben hivatkozott, 2021. szeptember 1.-i szerződésben foglaltak szerint (szerződés 2. pont harmadik bekezdése: „Converting the information sent by the customer into SMS format and then sending it to the list of mobile phone numbers provided by the customer.”). A GmbH továbbá a telefonszám adatgyűjtéshez kapcsolódóan látott el feladatokat, így adatgyűjtési módszerekkel (a többek között az v./5. és a vii./4. pontokban bemutatott Action Network és a WinWithMe szoftverek licenszelésével) támogatta az Egyesület adatgyűjtését, amely szoftverek telepítését és üzemeltetését a Datadat Kft. rendelte meg a tárgyidőszakban a GmbH-tól (a csatolt 2021. május 1-jén kelt, a Datadat GmbH és a Datadat Kft. között létrejött szerződésben foglaltak szerint is, amely szerződés 1. pontjában és az A) mellékletében foglaltak szerint a Datadat Kft. az alábbi szolgáltatásokat vette igénybe a GmbH-tól: „The Client is taking part in digital campaigns where the Service Provider provides online advertisement services, robocall/sms services, digital campaign management and related digital consultancy services. And the service provider provides ad management services and creative production services.”). A GmbH a nyilatkozata szerint nem adatkezelője semmilyen adatnak és nem rendelkezik semmiféle adatbázissal, ugyanakkor nyilatkozata szerint a szoftvereken keresztül gyűjtött adatokat tároló adatbázishoz hozzáféréssel kizárólag a GmbH informatikai vezetője, és a Datadat Kft. erre kijelölt munkatársai férnek hozzá. Ebből kifolyólag a GmbH és a Datadat Kft. az adatbázishoz való hozzáférés által képes adatkezelési műveletek végzésére is. A Datadat Kft. a feltárt tényállás alapján megbízta a Datadat GmbH-t, hogy a feliratkozási csatornákon keresztül rögzített telefonszámokra történő SMS-küldésre adjon megbízást a SzondaPhone Kft. „v.a.”-nak, A Datadat Kft. a nyilatkozata szerint a Datadat GmbH-tól SMS-küldési, CRM-rendszer üzemeltetési, Facebook Messenger chatbot csatorna üzemeltetési, online feliratkozási weboldalak kialakítását támogató szoftver üzemeltetési és tömeges e-mail küldési szolgáltatást rendelt meg. A feliratkozási csatornákon keresztül gyűjtött személyes adatokat tároló adatbázishoz a Datadat Kft. kijelölt munkatársai ugyancsak hozzáféréssel rendelkeznek. Az Egyesület – nyilatkozata szerint – az SMS-üzenetek küldésére a Datadat GmbH-nak adott megbízást. Az SMS-üzenetek küldéséhez használt telefonszám adatokat az Egyesület weboldalán elérhető feliratkozási csatornákon és a WinWithMe Facebook Messenger alkalmazással gyűjtötték, amely szoftverek telepítését a Datadat Kft. rendelte meg a Datadat GmbH-tól. (A csatolt 2021. május 1-jén kelt, a Datadat GmbH és a Datadat Kft. között létrejött szerződés 2. pontjának felsorolása szerint GmbH által nyújtott szolgáltatások: i. Digital Advertisement Production; ii. Digital Campaign Management; iii. Robocall campaigns; iv. SMS campaigns; v. Call center services; vi. SAAS services: Digitribe, WinWithMe, Action Network, Custom Integration.) 2.5 A 2.1. pontban kifejtettek szerint az adatkezelő meghatározásának lényeges építőeleme az adatkezelő befolyása az adatkezelés céljaira és eszközeire. A Hatóság a fentiekben kifejtettek alapján mind az Egyesület, mind a Datadat Kft., mind a Datadat GmbH adatkezelői minőségét megállapítja a vizsgált adatkezelés tekintetében, mivel az adatkezelés eszközeinek meghatározásában és az adatkezelés módjának kialakításában a fentiekben ismertetettek szerint aktív szerepük volt.

A Hatóság a GDPR 26. cikkében foglaltak alapján megvizsgálta továbbá azt is, hogy közös adatkezelőknek, vagy párhuzamos adatkezelőknek minősülnek. A GDPR 26. cikkében foglaltak szerint, ha az adatkezelés céljait és eszközeit két vagy több adatkezelő közösen határozza meg, azok közös adatkezelőknek minősülnek.

Ehhez kapcsolódóan a 7/2020. sz. iránymutatás kiemeli, hogy „a célok és eszközök meghatározásában való közös részvétel azt jelenti, hogy egynél több jogalanynak van döntő befolyása arra, hogy sor kerül-e az adatkezelésre, és ha igen, hogyan”. „A közös részvétel megjelenhet például két vagy több szervezet által hozott közös döntés formájában, vagy két vagy több szervezet a célok és az alapvető eszközök tekintetében összehangolt döntéseiből eredhet.” „A döntések akkor tekinthetők a célok és eszközök tekintetében összehangoltnak, ha kiegészítik egymást, és szükségesek ahhoz, hogy az adatkezelésre oly módon kerüljön sor, hogy kézzelfogható hatást gyakorolnak az adatkezelés céljainak és módjának meghatározására.” „Az összehangolt döntések azonosításának fontos kritériuma, hogy az adatkezelés nem lenne-e lehetséges a két fél célokban és eszközökben való részvétele nélkül abban az értelemben, hogy az egyes felek által végzett adatkezelések elválaszthatatlanok, azaz kibogozhatatlanul összekapcsolódnak”.

Az iránymutatás kiemeli továbbá, hogy „a közös adatkezelés azt is megköveteli, hogy két vagy több szervezet befolyást gyakoroljon az adatkezelés módjára. Ez nem jelenti azt, hogy a közös adatkezelés fennállásához valamennyi érintett szervezetnek minden esetben meg kell határoznia az összes eszközt”. „A különböző közös adatkezelők eltérő mértékben határozhatják meg az adatkezelés módját attól függően, hogy ténylegesen ki van abban a helyzetben, hogy ezt megtehesse”. „Az is előfordulhat, hogy az egyik érintett szervezet biztosítja az adatkezelés eszközeit, és elérhetővé teszi azt más szervezetek által végzett személyesadat-kezelési tevékenységek céljára. Az adatkezelés eszközeinek meghatározásában az a szervezet is részt vesz, amely dönt arról, hogy a személyes adatok meghatározott célból történő kezelése érdekében igénybe veszi ezeket az eszközöket”.

A vizsgált adatkezeléssel összefüggésben a Hatóság megállapította, hogy az adatkezelés célját azaz az előválasztási szavazás napjára vonatkozó további regisztrációs link kiküldése – az Egyesület határozta meg. A Hatóság megállapítása szerint az adatkezelés eszközét azonban az Egyesület, a Datadat Kft. és a Datadat GmbH együttesen határozta meg: egymást megbízó láncolaton keresztül döntöttek arról, hogy SMS formájában kívánják az érintetteknek az üzenetet eljuttatni, egymással összehangoltan döntöttek arról, hogy az SMS-üzenetek küldéséhez telefonszám adatokra van szükség, amelyeket az Egyesület weboldalain létrehozott feliratkozási csatornákon keresztül tudnak gyűjteni. A Datadat Kft. 2021. májusában SMS-küldési, CRMrendszer üzemeltetési, Facebook Messenger chatbot csatorna üzemeltetési, online feliratkozási weboldalak kialakítását támogató szoftver üzemeltetési és tömeges e-mail küldési szolgáltatást rendelt meg a Datadat GmbH-tól, továbbá megbízta a GmbH-t, hogy az konkrét, technikai SMSküldésre adjon megbízást a SzondaPhone Kft. „v.a.”-nak. Ezen eszközök végeredményben mind az SMS-üzenetküldés megvalósulásához járultak hozzá, amely eszközök, szükséges szolgáltatások meghatározásában közösen vettek részt és egymással összehangoltan döntöttek az adatkezelés módjáról, annak eszközeiről és megvalósításának módjáról, amely adatkezelési műveletek egymástól elválaszthatatlanok és szorosan összefüggtek, ezek a megállapodások az adatkezelés érdemi folyamatának kialakítását jelentették és túlmutatnak az egyszerű technikai végrehajtás, technikai műveletek határán. Mindez az infokommunikációs megoldásokra, az adatgazdaságra, a közösségi média üzleti használatára, a politikai marketingre vonatkozóan speciális, adott esetben innovatív szakismeret meglétét feltételezi, melyet e gazdasági társaságok szolgáltatásként nyújtanak. Ezért a Hatóság a vizsgálat eredményeként arra jutott, hogy az Egyesület, a Datadat Kft. és a Datadat GmbH közös adatkezelőknek minősülnek a vizsgált adatkezelés tekintetében. A Hatóság hangsúlyozza, hogy az adatkezelői felelősség alól nem lehet mentesülni oly módon, hogy szervezetek egymás megbízása által, többszöri szerződési konstrukcióval, lényegében egy szerződési láncolaton keresztül próbálják kikerülni az adatkezelői felelősséget, illetőleg egy pénzügyileg kevésbé felelősségre vonható egyesület mögé bújva próbálják az adatkezelésben betöltött szerepüket palástolni. Az elszámoltathatóság elvéből fakadóan az adatkezelő felelős az adatkezelés megfelelőségéért és ezt bizonyítania is tudni kell, akkor is, ha adott esetben az adatkezelésben betöltött adatkezelői minőségét próbálja palástolni. A 7/2020. sz. iránymutatás is hangsúlyozza, hogy „nem lehetséges sem adatkezelővé válni, sem pedig kibújni az adatkezelői kötelezettségek alól egyszerűen oly módon, hogy a szerződést úgy alakítják ki, hogy a ténybeli körülmények valami mást mondjanak”, mert az a GDPR 26. cikk (3) bekezdésének kiüresítését eredményezné. Ezt erősítette meg a Fővárosi

Törvényszék a 105.K.701.083/2023/9. számú ítéletében is, miszerint „a GDPR 26. cikk (1) bekezdése az adatkezelésből fakadó GDPR által előírt feladatok és a feladatokhoz kapcsolódó felelősség felosztását teszi lehetővé, és nem ad arra felhatalmazást, hogy az adatkezelők egyike mentesüljön valamennyi adatkezelői felelősség alól, hiszen ez magát az adatkezelői státuszt annulálná, és a GDPR 26. cikk (3) bekezdésének a kiüresedését eredményezné”.

A Hatóság a fentiekhez kapcsolódóan kiemeli, hogy noha a GmbH közös adatkezelői minősége megállapítható, ugyanakkor a Hatóság megállapította, hogy a GmbH-val szemben joghatósággal nem rendelkezik, ezért ezen szervezet tekintetében megállapítást nem áll módjában tenni. A Hatóság hangsúlyozza azonban, hogy a jövőben a társaság adatkezelését érintő ügyek a One Stop Shop keretében helyi ügyként kikérhetőek.

3. Az adatkezelés jogszerűsége

Az előző pontban megállapítottak szerint az SMS üzenetküldés vonatkozásában az Egyesület, a Datadat Kft. és a Datadat GmbH közös adatkezelőknek minősülnek. Az Egyesület az SMSküldéssel összefüggésben megvalósult adatkezelést a Datadat GmbH igénybevételével végezte, amely szervezet további alvállalkozót vett igénybe az SMS-küldéssel összefüggésben megvalósult adatkezelés, így az SMS-küldés technikai lebonyolításához és ahhoz szorosan kapcsolódóan az SMS-küldéshez felhasznált telefonszámok gyűjtéséhez. A feltárt tényállás alapján a személyes adatok gyűjtése egyrészt a kilencvenkilenc.hu és a karacsonygergely.hu feliratkozási oldalakon keresztül történt közvetlenül az érintettektől, továbbá a WinWithMe Facebook alkalmazással is gyűjtöttek szimpatizánsi adatokat. A kilencvenkilenc.hu weboldalon keresztül történt adatgyűjtés során a „Csatlakozz” menüponton keresztül a „manuális csatlakozás” alatt lehetőség volt online adatmegadással a csatlakozásra, illetve ezen manuális csatlakozás mellett a Facebookon keresztül történő jelentkezés lehetőségét is felkínálta az oldal. A csatlakozást az alábbi szöveggel népszerűsítette az oldal: „Legyen Karácsony Gergely Magyarország miniszterelnöke! Mindenkinek esélyt, mindenkinek jövőt, boldog életet kínáló hazát teremtünk. Itt az ideje, hogy új politikát építsünk, ami az ország 99%-nak érdekeit képviseli a leggazdagabbak 1%-a helyett. Csatlakozz hozzánk! Az oldalon jelenleg ez a menüpont nem elérhető. A csatlakozáshoz az alábbi adatok megadására volt lehetőség: vezetéknév, keresztnév, e-mail elérhetőség, amely adatrubrikák *-gal voltak megjelölve. Lehetőség volt továbbá telefonszám, irányítószám és lakcím adatok megadására is, ezek mellett nem szerepelt a * jelölés. Az érintetteknek ezt követően a „Csatlakozom” gombra kattintás előtt az „Elolvastam és elfogadom az adatvédelmi nyilatkozatot” előtti jelölőnégyzet bejelölésével kellett nyilatkozniuk az adatvédelmi tájékoztatóban foglaltak elfogadásáról, amely tájékoztató egy hiperlinken keresztül a – jelenleg már ugyancsak nem elérhető – https://kilencvenkilenc.hu/adatkezelesi-tajekoztato/ oldalon volt elérhető. Az adatgyűjtés fentieken túl a https://karacsonygergely.hu oldalon történt, amely oldalon a „Csatlakozz” fülre kattintva az oldal ugyancsak átnavigált a kilencvenkilenc.hu weboldal előzőekben ismertetett felületére. Az adatkezelési tájékoztatóban foglaltak és az Egyesület nyilatkozata szerint is a szimpatizánsok közé történő, megjelölt oldalakon keresztül történő csatlakozás során megadott személyes adatok kezelésének jogalapja a GDPR 6. cikk (1) bekezdés a) pontja szerinti érintetti hozzájárulás. Az adatkezelés célja a tájékoztató szerint, hogy az Egyesület a szimpatizánsaival kapcsolatot tarthasson, a részükre célzott tájékoztatót (hírlevél, hirdetés) küldhessen. Az adatkezelés időtartama az adatkezelési tájékoztatóban foglaltak szerint a hozzájárulás visszavonásáig tart.

3.1. Az adatkezelés jogalapja a) A GDPR fogalommeghatározása alapján a név, e-mail elérhetőség, telefonszám és lakcím adatok az érintett személyes adatának, míg az adatokon elvégzett bármely művelet, így például az adatok gyűjtése, rögzítése, tárolása, felhasználása adatkezelésnek minősül.

A GDPR rendelkezései alapján az adatkezelés jogszerűségéhez számos követelményt kell teljesíteni. Ezek közül kiemelt szerepe van a GDPR 5. cikk (1) bekezdés a) és b) pontjában foglalt jogszerűség, tisztességes eljárás és átláthatóság, valamint a célhoz kötöttség elvének. Ezen túlmenően az adatkezelőnek a GDPR 6. cikk (1) bekezdésével összhangban álló jogalappal kell rendelkeznie az adatkezeléshez. Az adatkezelés jogalapjaként hivatkozott GDPR 6. cikk (1) bekezdés a) pontja szerinti hozzájárulás értelmében a személyes adatok kezelése jogszerű, ha az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez. Ahhoz, hogy az adatkezelő a hozzájárulás jogalapjára jogszerűen hivatkozhasson, a hozzájárulás valamennyi fogalmi elemének meg kell felelnie a rá vonatkozó követelményeknek. b) Tekintettel arra, hogy az érintettek a megjelölt weboldalakon elérhető információk alapján a csatlakozásukkal egyúttal politikai véleményüket is kinyilvánították, az így megadott adatok egyúttal kifejezetten az érintettek politikai véleményére utaló információknak minősülnek, és mint ilyen, a GDPR 9. cikk (1) bekezdése értelmében különleges kategóriájú személyes adatoknak is minősülnek. A különleges kategóriájú személyes adatok kezelését a rendelet főszabályként tiltja, illetve szigorú feltételekhez köti. Ezen különleges kategóriájú személyes adatok többek között a GDPR 9. cikk (2) bekezdésében foglaltak szerint abban az esetben kezelhetőek, ha az érintett kifejezett hozzájárulását adta azok egy vagy több konkrét célból történő kezeléséhez. 3.2 Az adatkezelés célja A GDPR 5. cikk (1) bekezdés a) pontja szerint a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintettek számára átlátható módon kell végezni, ugyanezen bekezdés b) pontja rendelkezik továbbá a célhoz kötött adatkezelés elvéről, mely szerint személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azokat nem kezelhetik ezekkel a célokkal össze nem egyeztethető módon. A GDPR 5. cikk (1) bekezdés a) és b) pontja, valamint ezzel összefüggésben a (39) preambulumbekezdés kimondja továbbá, hogy a természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik és fogják kezelni. Az átláthatóság elve vonatkozik az érintetteknek az adatkezelés céljairól való tájékoztatására is. A személyes adatkezelés konkrét céljainak explicit módon megfogalmazottaknak és jogszerűeknek, továbbá már a személyes adatok gyűjtésének időpontjában meghatározottaknak kell lenniük. A GDPR 13. cikke határozza meg, hogy melyek azok az információk, amelyekről az érintetteket tájékoztatni kell az adatok megszerzésének időpontjában.

A https://csatlakozz.kilencvenkilenc.hu/form/segitek weboldalon a csatlakozásra felhívó üzenet szövegének tartalma nem utal arra, hogy az érintettek további kapcsolattartási célból csatlakoznának valamilyen meg nem nevezett közösséghez, illetve maga az adatgyűjtő felület sem tartalmaz utalást arra, hogy az érintettek milyen konkrét célból történő adatkezeléshez járulnak hozzá, illetve az adatgyűjtő felület szerint „csatlakoznak” valamihez. Ezzel ellentétben maga az adatkezelési tájékoztató az adatkezelés céljáról történő tájékoztatásában már arról informálja az érintetteket, hogy az oldalon a „csatlakozásukkal” a szimpatizánsként történő csatlakozási szándékukat fejezik ki, amellyel elválaszthatatlanul ahhoz is hozzájárulnak, hogy az Egyesület kapcsolatot tartson velük és részükre célzott tájékoztatókat hírlevelet, hirdetést – küldhessen. Nem egyértelmű ugyanakkor az érintettek számára a tájékoztató és a https://csatlakozz.kilencvenkilenc.hu/form/segitek weboldalon elhelyezett szöveg alapján az sem, hogy az oldalon keresztül kinyilvánított csatlakozási szándékuk tulajdonképpen kinek/mely szervezetnek a támogatását jelenti. A https://csatlakozz.kilencvenkilenc.hu/form/segitek weboldal ugyanis Karácsony Gergely támogatására, szimpatizánsai közé történő csatlakozásra utal, míg az adatkezelési tájékoztató az adatkezelés céljának ismertetése pontjában már arra utal, hogy az Egyesület kíván a szimpatizánsaival kapcsolatot tartani. Az érintettek számára ezáltal nem volt egyértelmű és átlátható, hogy a „csatlakozás” során megadott személyes adataik ténylegesen kinek a kezelésébe kerülnek, pontosan milyen célból történő adatkezeléshez adják a hozzájárulásukat. Ezt támasztja alá továbbá az is, hogy a karacsonygergely.hu oldalon a „Csatlakozz!” menüpontra kattintva az érintett az Egyesület weboldalára jut. Általában is fontos annak egyértelmű megjelölése, hogy ki az adatkezelő, aki az adott célokból kezeli a személyes adatokat, különösen politikai célú adatkezelésnél azonban ez még a szokásosnál is kiemeltebb követelmény. A GDPR (32) preambulumbekezdése kimondja, hogy ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan külön meg kell adni. Amennyiben az adatkezelő nem kísérli meg, hogy minden egyes célhoz külön hozzájárulást kérjen, hiányzik a döntés szabadsága. Az érintettek személyes adatai kezelésének jogszerűsége tehát akkor állapítható meg, ha az érintett megfelelő tájékoztatást kapott arra vonatkozóan, hogy a személyes adatok gyűjtése pontosan milyen cél(ok)ból történik, továbbá ha az érintett külön, azaz egyértelmű és konkrét hozzájárulását adta személyes adatai valamennyi célból történő kezeléséhez.

A Hatóság megállapítja, hogy az Egyesület azáltal, hogy nem nyújtott az érintetteknek megfelelő tájékoztatást az adatkezelés céljáról, sérti a GDPR 5. cikk (1) bekezdés a)

pontjában foglalt átláthatóság követelményét.

4. Az adatkezelésről történő tájékoztatás

4.1 A GDPR 12. cikk (1) bekezdése szerint az adatkezelő kötelezettsége megfelelő intézkedéseket hozni annak érdekében, hogy az érintettek részére a személyes adatok kezelésére vonatkozó, a 13. és 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa. A megfelelő tájékoztatás rendszere a GDPR-ban azt szolgálja, hogy az érintett tudatában lehessen annak, hogy mely személyes adatait, mely adatkezelő és mely célból, hogyan fogja kezelni. Ez elengedhetetlen ahhoz, hogy olyan helyzetben legyen, hogy érintetti jogait érdemben gyakorolni tudja. A GDPR 6. cikk (1) bekezdés a) pontjára alapított adatkezelés esetén a GDPR 4. cikk 11. pontja alapján nemcsak az adatkezelés megkezdése, hanem a hozzájárulás megszerzése előtt köteles az adatkezelő olyan tájékoztatást nyújtani, amely alapján tájékozott hozzájárulás adható. Az adatkezeléshez történő érintetti hozzájárulás csak akkor lehet érvényes, ha azt konkrét cél(ok)ra – célonként külön megadhatóan – kérik, és előtte megfelelő tájékoztatást nyújtanak, amely olyan helyzetbe hozza az érintettet, hogy megfelelő döntést tudjon hozni a hozzájárulás megadásáról, és megfelel a GDPR-ban előírt valamennyi érvényességi követelménynek. Mind a preambulumban foglaltak, mind a GDPR 12. cikk (1) bekezdése eredmény elérését írják elő az adatkezelő kötelezettségeinek meghatározásakor, azaz az érintett számára olyan segítséget kell nyújtania, hogy az minden érintetti jogát tájékozottan tudja gyakorolni. A GDPR 5. cikk (1) bekezdés a) pontjában foglalt tisztességes és átlátható adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljáról. Az adatkezelés jogszerűségének tehát egyik lényeges feltétele, hogy az adatkezelő megfelelően tájékoztassa az érintettet az adatkezelés valamennyi fontos körülményéről. A GDPR 13-14. cikkei határozzák meg, hogy tartalmát tekintve milyen tájékoztatást kell nyújtani a személyes adatok kezelése során, míg a tájékoztatás formai követelményeit illetően a GDPR 12. cikke ad iránymutatást.

4.2 A Hatóság az adatkezelési tájékoztató tartalmával kapcsolatban megállapítja, hogy az a fentiekben kifejtettek alapján nem ad megfelelő tájékoztatást az adatkezelés valamennyi, tényleges céljáról, azaz nem adott az érintettek számára egyértelmű, részletes tájékoztatást arról, hogy az érintettek pontosan mihez adják a hozzájárulásukat (személyes adataik szimpatizánsi nyilvántartásban történő kezeléséhez és/vagy további kapcsolattartási célból történő adatkezeléshez). Az online adatgyűjtés oldalán ugyan a név és e-mail cím adatok *-gal megjelölve szerepeltek, azonban ennek jelentőségéről sem az adatgyűjtés felületén, sem az adatkezelési tájékoztatóban nem volt információ arra vonatkozóan, hogy a „csatlakozás” sikerességéhez valamennyi adat megadása szükséges, vagy elegendő csak a *-gal megjelölt személyes adatok megadása, így az érintettek számára úgy tűnhetett, mintha valamennyi adat megadása kötelező lett volna. Az adatkezelési tájékoztatóban továbbá arra vonatkozóan sem szerepelt információ, hogy az adatkezelő a további kapcsolattartást milyen módon tervezi, így az érintett nem tudott egyértelműen afelől sem dönteni, hogy amennyiben az adatkezelő több csatornán kíván az érintettekkel kapcsolatot tartani a későbbiekben, az érintett melyiket preferálja és ahhoz mely szükséges személyes adatát adja meg.

4.3 A Hatóság megállapítja, hogy az adatkezelési tájékoztatóban az adatkezelő információt nyújtott arról, hogy az adatkezeléshez mely adatfeldolgozókat veszi igénybe, abban azonban a tényállás tisztázása során az Egyesület által hivatkozott Datadat Kft., illetve az általa igénybe vett további alvállalkozó, továbbá annak az alvállalkozója nincs megnevezve, és az sem, hogy az egyes adatkezelésben részt vevő szervezetek, jogi személyek milyen tevékenységet végeznek. A vizsgált adatkezelésnél alkalmazott különösen összetett, sokszintű al-al-alvállalkozási rendszer esetén kiemelten fontos lenne a megfelelő és könnyen érthető leírása annak, hogy mely jogi személy mely feladatokat végez a személyes adatokkal összefüggésben.

4.4 A Hatóság megállapítja továbbá, hogy az Egyesület a nyilatkozata szerint több, mint 63.000 érintettnek a megjelölt adatgyűjtéssel felvett személyes adatát kezeli továbbra is, az adatkezelési tájékoztató azonban az Egyesület weboldalán már nem érhető el, illetve semmilyen adatkezelésre vonatkozó tájékoztatás nem található az Egyesület megjelölt weboldalán.

4.5 Fentiek alapján a Hatóság megállapítja, hogy

(i) az Egyesület és a Datadat Kft. az érintetteknek nem nyújtott egyértelmű, megfelelő és valós tájékoztatást az adatkezelés valamennyi lényeges körülményéről a megjelölt weboldalakon történő adatgyűjtéssel összefüggésben, továbbá az érintetteknek jelenleg sem nyújtanak semmiféle tájékoztatást az adatkezelésről, mivel az online elérhető adatkezelési tájékoztatót az Egyesület a weboldaláról törölte annak ellenére, hogy adatkezelést továbbra is végez, ezáltal megsértik a GDPR 13. cikk (1)-(2) bekezdését.

(ii) az Egyesület és a Datadat Kft. továbbá azáltal, hogy adatkezeléséről jelenleg sem nyújt az érintetteknek tájékoztatást, megsértik a GDPR 12. cikk (1) bekezdésében foglaltakat is.

5. Az adatkezelés jogalapjának érvényessége

A GDPR 4. cikk 11. pontjának fogalommeghatározása szerint az érintett hozzájárulása az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez. A hozzájárulás tehát akkor tekinthető az adatkezelés érvényes jogalapjának, ha annak valamennyi feltétele fennáll. A hozzájárulás valamennyi fogalmi eleme akkor érvényesülhet teljeskörűen, ha a hozzájárulás kérését megfelelő tájékoztatás előzte meg. A megfelelő tájékoztatás az, amelyen keresztül az érintettek megismerik a személyes adataikra vonatkozó adatkezelést, és a tájékoztatáson keresztül tud az információs önrendelkezési jog érvényesülni: az az adatkezelés lehet jogszerű, amelynek körülményei az érintettek előtt maradéktalanul ismertek.

A Hatóság megállapítja, hogy a fenti 3. és 4. pontokban kifejtettek következtében az érintettek adatkezeléshez történő hozzájárulásának hiányoznak a legfontosabb fogalmi elemei, amelyek megléte szükséges ahhoz, hogy az adatkezelés jogalapja, azaz a hozzájárulás érvényes legyen, ennek következtében az Egyesület és a Datadat Kft. érvényes jogalap nélkül kezelik az érintettek által a megjelölt weboldalakon megadott személyes adatait, megsértve ezáltal a GDPR 6. cikkét. Mivel ezen adatok a személyes adatok különleges kategóriái közé tartoznak, az adatkezelés sérti a GDPR 9. cikk (1) bekezdését is. 6. A GDPR 31. cikke alapján az adatkezelő feladatai végrehajtása során a felügyeleti hatósággal – annak megkeresése alapján együttműködik. Figyelemmel arra, hogy az Egyesület a Hatóság több alkalommal történt felhívása ellenére a Hatóság megkeresésére egyáltalán nem válaszolt, megsértette a GDPR 31. cikke szerinti együttműködési kötelezettséget. C) Fentiek figyelembevételével a Hatóság a GDPR 58. cikk (2) bekezdés d) pontja, valamint az Infotv. 56. § (1) bekezdése1 alapján f e l s z ó l í t j a i. az

Egyesületet arra, hogy igazolható módon törölje a https://csatlakozz.kilencvenkilenc.hu/form/segitek weboldalon keresztül korábban az érintettektől gyűjtött valamennyi személyes adatot!

ii.

az Egyesületet arra, hogy a weboldalán utólag nyújtson tájékoztatást az érintetteknek a személyes adataik kezeléséről (mettől meddig, milyen típusú adatokat, milyen forrásból és milyen célból kezelt, és abban milyen adatkezelők és adatfeldolgozók működtek közre)!

iii.

az Egyesületet arra, hogy a továbbiakban működjön együtt a Hatósággal!

iv.

a Datadat Kft.-t arra, hogy adatkezelési műveleteit a GDPR rendelkezéseivel összhangban végezze és jogügyleteit az adatkezelésben ténylegesen betöltött szerepe szerint kösse, így megfelelően határozza meg a tényleges adatkezelésben betöltött szerepeket, és a GDPR 26. cikk (1) és (2) bekezdésének megfelelő tartalmú megállapodásokat kössön az adatkezeléssel kapcsolatban!

A Hatóság tájékoztatja, hogy az Infotv. 56. § (2) bekezdése2 értelmében az adatkezelőnek haladéktalanul meg kell tennie a szükséges intézkedéseket, és köteles a felszólítás nyomán megtett intézkedéseiről – az azt alátámasztó dokumentum-másolat (pl. a törlést alátámasztó

1 Infotv. 56. § (1) „Ha a Hatóság a személyes adatok kezelésével, illetve a közérdekű adatok vagy a közérdekből nyilvános adatok megismeréséhez fűződő jogok gyakorlásával kapcsolatos jogsérelem vagy annak közvetlen veszélye fennállását megalapozottnak tartja, az adatkezelőt a jogsérelem orvoslására, illetve annak közvetlen veszélye megszüntetésére szólítja fel.“. 2 Infotv. 56. § (2) „Az adatkezelő – egyetértése esetén – haladéktalanul megteszi az (1) bekezdés szerinti felszólításban megjelölt szükséges intézkedéseket, és a megtett intézkedéseiről, illetve – egyet nem értése esetén – álláspontjáról a felszólítás kézhezvételétől számított harminc napon belül írásban tájékoztatja a Hatóságot.”

jegyzőkönyv másolat) megküldésével – a felszólítás kézhezvételétől számított harminc (30) napon belül írásban tájékoztatni a Hatóságot. Az Infotv. 58. § (1) bekezdés értelmében, ha a felszólítás alapján a jogsérelem orvoslására, illetve a jogsérelem közvetlen veszélyének megszüntetésére nem került sor, a Hatóság a tájékoztatási határidő lejártát követő harminc napon belül dönt a szükséges további intézkedések megtételéről.

A Hatóság fentieken túl tájékoztatja, hogy a generális prevenció érdekében a felszólítást a Hatóság honlapján jelentés formájában az adatkezelők nevének feltüntetésével közzéteszi.

kelt: Budapest, az elektronikus aláírás szerint

Üdvözlettel:

Dr. habil. Péterfalvi Attila elnök, c. egyetemi tanár