Hungarian Data Protection Authority: processing of donor data by a foundation

………………………………………………………………………………………………………… 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-3211-14/2021. Tárgy: határozat

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) az SOS

Leukémiás Gyermekekért Alapítvány (székhely: 2162 Őrbottyán, Tó utca 113.) (a továbbiakban:

Alapítvány) általános adatkezelési gyakorlata jogszerűségének vizsgálata céljából, valamint […] érintett (lakcím: […]; a továbbiakban: Érintett) hozzáféréshez való joga megsértésének, valamint az Érintett személyes adatai kezelésének vizsgálatára hivatalból indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

1. A Hatóság megállapítja, hogy az Alapítvány megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet vagy GDPR) 5. cikk (1) bekezdés a) pontja szerinti jogszerűség elvét, az 5. cikk (2) bekezdését és ezekre tekintettel a 6. cikk (1) bekezdését, mivel megfelelő jogalap nélkül, jogellenesen kezelte az érintettek leendő adományozás céljából történő megkereséséhez tárolt személyes adatokat.

2. A Hatóság megállapítja, hogy az Alapítvány megsértette a GDPR 5. cikk (2) bekezdését azáltal, hogy nem igazolta, hogy pontosan milyen adatokat és mikor törölt az egyéb nyilvános forrásból származó adatokat tartalmazó adatbázisa törlése során, továbbá nem igazolta az ezen adatbázisban tárolt személyes adatok kezelésének jogszerűségét.

6. cikk (1) bekezdését, mivel érvényes jogalap nélkül kezelte a részére korábban adományt fizetők személyes adatait, továbbá ezáltal megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti jogszerűség elvét.

12. cikk (1) bekezdését, a 13. és 14. cikkét, valamint ezáltal az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átlátható adatkezelés elvét, mivel valótlan és ellentmondásos tájékoztatást nyújtott az érintetteknek, az adatkezelési tájékoztatójában a további direkt marketing célú adatkezelésről tájékoztatást nem nyújtott, továbbá az általa küldött megkereső levelekben nyújtott tájékoztatásban szereplő információk sem feleltek meg a valóságnak.

12. cikk (1) bekezdését, továbbá a 15. cikk (1) bekezdésébe foglalt rendelkezéseit, mivel nem tájékoztatta az Érintettet a 2019. november 8-án benyújtott érintetti kérelmében foglaltakról.

5. cikk (2) bekezdésében foglalt elszámoltathatóság elvét azáltal, hogy az Érintett személyes adatai kezelésének jogszerűségét saját felróható magatartásából adódóan nem igazolta, továbbá azáltal, hogy nem segítette elő az Érintett hozzáférési jogának gyakorlását, megsértette az általános adatvédelmi rendelet 12. cikk (2) bekezdését.

7. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) és g) pontja alapján a Hatóság utasítja az Alapítványt, hogy a jelen határozat véglegessé válásától számított 30 napon belül törölje az érintettek leendő adományozás céljából történő megkereséséhez tárolt személyes adatait!

9. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján a

Hatóság utasítja az Alapítványt, hogy adatkezelési műveleteit hozza összhangba az általános adatvédelmi rendelet rendelkezéseivel és a jelen határozat indokolásában kifejtettek figyelembevételével nyújtson átlátható, érthető és valós tájékoztatást az adatkezeléseivel kapcsolatos legfontosabb információkról!

10. A Hatóság az Alapítványt

500.000 Ft, azaz ötszázezer forint adatvédelmi bírság megfizetésére kötelezi.

A 10. pont szerinti bírságot a jelen határozat véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425- 00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-3211/2021. BÍRS. számra kell hivatkozni. Ha az Adatkezelő a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A 7., 8. és 9. pontban előírt kötelezettség teljesítését az Adatkezelőnek a jelen határozat véglegessé válásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A bírság és a késedelmi pótlék meg nem fizetése, illetve a fenti 7., 8. és 9. pont szerinti kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását. Az eljárásban eljárási költség nem merült fel. A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett kereslevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező A Hatóság felhívja a Kérelmezett figyelmét, hogy a határozat megtámadására nyitva álló keresetindítási határidő lejáratáig, illetve közigazgatási per esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adat nem törölhető, illetve nem semmisíthető meg. A Hatóság jelen határozatot a Hatóság honlapján az Alapítvány azonosító adatának megjelölésével közzéteszi.

I N D O K O L Á S

I. Az eljárás menete és a tényállás tisztázása

I.1. Előzmények és az eljárás menete

I.1.1. Az Érintett 2019. november 15-én bejelentéssel fordult a Hatósághoz, melyben az Alapítvány adatkezelését kifogásolta. Bejelentésében előadta, hogy 2019. november elején támogatást kérő levelet és ahhoz tartozó csekket kapott postai úton az Alapítványtól, a támogatást kérő levél azonban a leánykori nevére szólt, holott 2015 óta a férjezett nevét használja. 2019. november 8-án hozzáférési joga keretében tájékoztatást kért az Alapítványtól, többek között az adatai forrására vonatkozóan, az Érintett nyilatkozata szerint ugyanis adatait az Alapítványnak soha nem adta meg és korábban semmilyen formában nem adományozott az Alapítvány részére. Az Alapítvány az Érintett kérelmére válaszul (2019. november 12-én) egy adattörlési jegyzőkönyvet küldött, az adatai kezelésére vonatkozóan azonban tájékoztatást nem adott. Az Érintett ezt követően ismételten tájékoztatást kért az Alapítványtól adatai forrására vonatkozóan, az Alapítvány azonban a kérdésére továbbra sem válaszolt, hanem tájékoztatta, hogy az adatkezelésre vonatkozó kérdéseivel forduljon a külön, erre kijelölt céghez, azaz a […] Kft.-hez. Az Érintett az Alapítvány adatkezelési tájékoztatójában nem talált az adatvédelmi tisztviselőre vonatkozó információt. Az Adománykérő levél apróbetűs részében foglaltak szerint „Cégünk Adatvédelmi Tisztviselői pozícióját a […] Kft. tölti be. Bármilyen az európai adatvédelmi rendeletben foglalt adatkezelési kérdéssel kapcsolatban forduljanak bizalommal hozzájuk, elérhetőségeik a www.wansteadit.hu oldalon megtalálhatóak.”. Az Érintett előadta továbbá, hogy 2019. november 12-én kérte a személyiadat- és lakcímnyilvántartásban nyilvántartott adatai direkt marketing célból történő kiadásának tiltását. I.1.2. Mivel a Hatóság az Alapítvánnyal szemben hasonló jogsértés miatt már adatvédelmi hatósági eljárást folytatott (ügyszám: NAIH/2018/5476/H.), amelynek során a Hatóság elmarasztalta az Alapítványt, továbbá figyelemmel arra, hogy a rendelkezésre álló információk alapján felmerült, hogy az Alapítvány adatkezelése továbbra sem felel meg a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) rendelkezéseinek, a Hatóság a NAIH/2020/8186. számú végzésében tájékoztatta az Alapítványt az adatvédelmi hatósági ellenőrzés megindításáról és felhívta, hogy a tényállás tisztázása érdekében adjon írásbeli tájékoztatást az abban feltett kérdésekre. I.1.3. Tekintettel arra, hogy a hatósági ellenőrzés során feltárt információk alapján valószínűsíthető volt, hogy az Alapítvány megsértette az általános adatvédelmi rendelet rendelkezéseit, a Hatóság a 2021. március 5-én kelt NAIH-3211-1/2021. számú végzésében a hatósági ellenőrzést lezárta és adatvédelmi hatósági eljárás indításáról döntött, amelynek keretében a tényállás tisztázása érdekében egyúttal nyilatkozattételre hívta fel az Alapítványt. I.1.4. Az Alapítvány a kuratórium elnökének külföldi tartózkodására hivatkozva a válaszadási határidő meghosszabbítását kérte, amely kérelemnek a Hatóság helyt adott és a válaszadásra biztosított határidőt 2021. május 20. napjáig meghosszabbította. Az Alapítvány a 2021. május 17én érkezett levelében válaszolt a Hatóság felhívására, amely válaszlevélhez 2021. május 26-án további kiegészítést küldött. I.1.5. Tekintettel arra, hogy az Alapítvány a Hatóság felhívása ellenére az adatbázisa másolatát nem csatolta, valamint a Hatóság kérdéseire hiányosan, illetve az azokkal kapcsolatos pontosító kérdésekre nem válaszolt, ezért szükségessé vált a tényállás további tisztázása. A Hatóság a NAIH-3211-8/2021. számú végzésében ezért az Alapítványt ismételten nyilatkozattételre hívta fel, továbbá 100.000 Ft, azaz százezer forint eljárási bírságot szabott ki az Alapítványra. Az Alapítvány az eljárási bírság megfizetése mellett a Hatóság felhívásában foglalt kérdésekre a 2021. július 7-én érkezett levelében válaszolt. I.1.6. A Hatóság a tényállás teljeskörű tisztázása érdekében továbbá a NAIH-3211-11/2021. számú végzésében megkereste a Belügyminisztérium Nyilvántartások Vezetéséért Felelős Helyettes Államtitkárságának Személyi Nyilvántartási és Igazgatási Főosztályán belül az Operatív Szolgáltatási Osztályt is, tájékoztatást kérve az Alapítványnak a polgárok személyi adatainak és lakcímének nyilvántartásából történő csoportos adatszolgáltatás iránti kérelmeivel kapcsolatosan. A Hatóság megkeresésében foglalt kérdésekre a Személyi Nyilvántartási és Igazgatási Főosztály Személyi Nyilvántartási Adatszolgáltatási és Engedélyezési Osztálya (a továbbiakban: BM) a 2021. október 28-án kiadmányozott és hivatali kapun megküldött levelében válaszolt.

I.2. Feltárt tényállás

A Hatóság az Alapítvány 2019. szeptember 1. és 2020. november 17. közötti adatkezelési gyakorlatát vizsgálta. I.2.1. Az Alapítvány nem csatolta a vizsgált időszakra vonatkozó adatkezelési tájékoztatóját. Az https://sosleukemia.hu/hu/adatkezelesi-tajekoztato-2 oldalon jelenleg is elérhető adatkezelési tájékoztatón szereplő információk szerint annak elfogadásának időpontja: 2021. január 14. Az Alapítvány a 2020. december 14-i és 2021. május 17-i válaszlevelében nyilatkozott arról, hogy az adománygyűjtéshez kapcsolódóan milyen célokból végez adatkezelést, ahhoz kapcsolódóan milyen személyes adatokat gyűjt, mely jogalap alapján. Ezen nyilatkozataiban foglaltak igazodnak az Alapítvány weboldalán jelenleg is közzétett adatkezelési szabályzatban foglaltakhoz. Eszerint: - „Adományozás az Alapítvány részére” elnevezésű cél esetén: Vezeték- és keresztnév azonosítás, a kapcsolatfelvételhez, az adomány dokumentálásához és a szabályszerű számla kiállításához szükséges (GDPR 6. cikk (1) e) pontja és a civil szervezetek gazdálkodása, az adománygyűjtés és a közhasznúság egyes kérdéseiről szóló 350/2011. (XII. 30.) Korm. rendelet (a továbbiakban: Civil Korm. rend.); E-mail cím – kapcsolattartás (GDPR 6. cikk (1) e) pontja és a 350/2011. (XII. 30.) Korm. rendelet); Egyéb személyes adat (az adomány összege, postai cím, üzenet tartalma) – adományok dokumentálásra, újabb adományozás céljából történő megkeresés (GDPR 6. cikk (1) e) pontja és a 350/2011. (XII. 30.) Korm. rendelet); Számlázási név és cím – a szabályszerű számla kiállítása, továbbá a szerződés létrehozása, tartalmának meghatározása, módosítása, teljesítésének figyelemmel kísérése, az abból származó díjak számlázása, valamint az azzal kapcsolatos követelések érvényesítése (GDPR 6. cikk (1) bekezdés c) pontja és a számvitelről szóló 2000. évi C. törvény 169. § (2) bekezdése); Az adományozás időpontja – technikai művelet végrehajtása (GDPR 6. cikk (1) bekezdés e) pontja és az Elker. tv. 13/A. § (3) bekezdése); Az adományozáskori IP cím – technikai művelet végrehajtása (GDPR 6. cikk (1) bekezdés e) pontja és az Elker. tv. 13/A. § (3) bekezdése).

- Adománygyűjtés céljából történő megkeresés (nem az érintettől származó adatok kezelése) esetén kezelt személyes adatok: név, postai cím. Az adatkezelés célja:

adománygyűjtés; az adatkezelés jogalapja: GDPR 6. cikk (1) bekezdés e) pontja, 350/2011. (XII. 30.) Korm. rendelet; Az adatok forrása: Minisztérium által rendelkezésre bocsátott adatbázis, telefonkönyv.

Az Alapítvány által a válaszleveléhez csatolt adatkezelési nyilvántartásban szereplő információk szerint továbbá az adományozók személyes adatait az Alapítvány az érintett törlési kérelméig, de legkésőbb az alapító okirat szerinti cél megvalósulásáig kezeli.

A vizsgált adatkezelési időszakban az Alapítvány weboldalán elérhető adatkezelési tájékoztatóban foglaltak szerint – a Hatóság által 2019. december 2-án, 2020. február 7-én és 2020. október 20án készített képernyőmentés alapján – az Alapítvány adatkezelésének célja:

az érintett személyének azonosítása, az érintettel való kapcsolatfelvétel és kapcsolattartás; adatállomány építése; az egyes kampányokhoz célcsoportok összeállítása; adománygyűjtő, vagy az Alapítvány ismertségét növelő kampány tervezése, lebonyolítása; megkereső levelek összeállítása; az érintettek megkeresése; a kampányok eredményességének ellenőrzése, utánkövetés; jogszabályban elrendelt kötelezettségek teljesítése. A vizsgált időszakban elérhető adatkezelési tájékoztatóban foglaltak szerint továbbá az adatkezelés jogalapja az érintett hozzájárulása. „Az Adatkezelő az érintettek adatait kizárólag az érintett hozzájárulása alapján kezeli. A hozzájárulás önkéntes, az érintett a hozzájárulását a regisztrációval, adatai megadásával adja meg, vagy úgy, hogy az adatkezelésről kapott tájékoztatást követően, az adatkezelés tudatában adományoz.” A kezelt adatok köre az adatkezelési tájékoztatás szerint az érintett azonosításához és kapcsolattartáshoz szükséges adatok (név, lakcím, telefonszám), amely adatok kezelésének célja az érintett azonosítása, a kapcsolatfelvétel és a kapcsolattartás. Az adatkezelés jogalapja törvény rendelkezése, vagy az érintett hozzájárulása. Amennyiben az érintett adományoz, az Alapítvány nyilvántartja, hogy mekkora összeget adományozott, amely adatkezelésnek az a célja, hogy később az Alapítvány az adatok ismeretében azon érintetteket kereshesse meg, akiktől elvárható, hogy érdeklődnek az adott kampány iránt. Az adatkezelés jogalapja ebben az esetben az érintett hozzájárulása. I.2.2. Az Alapítvány arra vonatkozóan, hogy a személyes adatok megszerzése milyen forrásból és módon történt úgy nyilatkozott, hogy a személyes adatok forrása az interneten nyilvánosan hozzáférhető telefonkönyv, valamint a Belügyminisztériumtól kikért adatbázis. Nyilatkozata szerint ugyanakkor a nyilvános telefonkönyvből történő adatgyűjtésről, azaz, hogy a kigyűjtés milyen módszerrel, milyen nyilvános forrásból történt, nincs információjuk, az Alapítvány átvételét követően erre vonatkozóan releváns információkat a korábbi elnöktől az Alapítvány nem kapott, a nyilvános forrásból történő adatgyűjtés pedig még az Alapítvány korábbi elnökének vezetése alatt történt. A korábban nyilvános forrásból kigyűjtött adatokat az Alapítvány nyilatkozata szerint – törölte, a törlésről azonban jegyzőkönyv nem készült, mert nem tudták megjelölni, hogy pontosan milyen forrásból származó adatokat törölnek. Toborzó leveleket az Alapítvány nem küldött, továbbá nincs olyan adatbázisa – a Belügyminisztériumtól vásárolt 20.000 személy adatán kívül –, amely olyan személyek adatát tartalmazza, akik még nem adományoztak. Az Alapítvány a hatósági eljárás során csatolta a vizsgált adatkezelési időszakban indított kampányokról (2019.10.30., 2020.02.17., 2020.04.03., 2020.07.10., 2020.08.24., 2020.09.28.) szóló postai számlákat, amely kampányok közül – nyilatkozata szerint az utolsó „toborzó” kampány a 2019. 10. 30-i kampány volt, ezt követően csak a már korábban adományozóknak küldtek postai úton hírlevelet. A vizsgált időszakban közzétett adatkezelési tájékoztató ezzel ellentétben a Belügyminisztériumtól történő adatigénylésről tájékoztatást egyáltalán nem nyújtott, az abban elérhető információk szerint „az Adatkezelő az érintettek adatait kizárólag az érintett adatszolgáltatása alapján” kezeli. I.2.3. Az Alapítvány a Hatóság felhívására csatolta a Belügyminisztériumhoz benyújtott, 2019. november 13-án kelt adatszolgáltatás iránti kérelmét. A kérelem szerint az Alapítvány támogatók toborzása és direkt marketing tevékenység céljából 20.000 db, 18. életévüket betöltött, magyarországi lakcímmel rendelkező állampolgár név és hozzá tartozó lakcím adatát igényelte. Az Alapítvány ehhez kapcsolódóan csatolta továbbá a jogos érdeke fennállását igazoló – annak utolsó, csak az Alapítvány elnökének aláírását tartalmazó oldalán feltüntetett dátum szerint 2019. január 5-én kelt –érdekmérlegelési dokumentációját, amelyre hivatkozással adatszolgáltatás iránti kérelemmel fordult a Belügyminisztériumhoz. Az érdekmérlegelés szerint az Alapítvány „szükségszerűen kezeli az adománygyűjtés céljából megkeresett természetes személyek neveit és postai címeit, mely adatokat a Belügyminisztérium bocsájtja a rendelkezésére.”, továbbá „Jelen érdekmérlegelési teszt tárgyát képező személyes adatok szükségszerűen rendelkezésre kell, hogy álljanak annak érdekében, hogy az Alapítvány az Érintettel való kapcsolatfelvétel útján a közérdekű feladatának végrehajtásához szükséges tevékenységét megfelelően el tudja látni (adományok gyűjtése és ezáltal beteg, leukémiás gyermekek támogatása).” Az érdekmérlegelésben megállapítottak szerint az Alapítvány adatkezelése az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja szerint közérdekű feladat – a beteg gyermekek megsegítése – végrehajtásához szükséges. Az Alapítvány kizárólag úgy tud adományokhoz jutni, hogy potenciális támogatókkal veszi fel a kapcsolatot, levélben felkeresi őket, tájékoztatást ad a szervezet működéséről, céljairól. A kapcsolatfelvételhez szükség van az érintettek személyes adataira, az Alapítvány kizárólag így tud rendeltetésének és céljának megfelelően működni, a közérdekű feladat – vagyis beteg gyermekek megsegítése – ellátásának igénye előbbre való, mint az érintettnek a személyes adatai védelméhez való joga. Az érdekmérlegelés szerint az Alapítványnak tehát jogos érdeke fűződik az érintettek személyes adatainak kezeléséhez, mivel a leukémiás gyermekeket csak ilyen módon tudja rendeltetésének megfelelő módon segíteni. Az Alapítvány az érdekmérlegelése eredményeként arra jutott, hogy a személyes adat kezeléséhez fűződő érdeke felülmúlja az érintett személyes adatainak védelméhez fűződő érdekeit, mivel az érintettek személyes adatainak (név, lakcím) kezelése az Alapítvány feladatainak ellátása körében és céljainak beteljesítése érdekében elengedhetetlenül szükséges, az adatkezelés nem okoz nagyfokú érdeksérelmet az érintettek számára, valamint az Alapítvány által nyújtott szolgáltatások és az adatvédelmi, adatbiztonsági intézkedések a tárgybeli személyes adatok kezelése által okozott érdeksérelmet csökkentik. Az Alapítvány megállapította, hogy az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontjában meghatározott jogalap a tárgybeli személyes adatok vonatkozásában fennáll. I.2.4. Az Alapítvány válaszleveléhez adathordozón csatolva megküldte a Belügyminisztériumtól igényelt személyes adatok másolatát. A postai csekken és utalással adományozók adatbázisát egyben vezetik, amely adatbázis másolatát az adathordozón ugyancsak megküldte. Nyilatkozata szerint egyéb forrásból származó adatbázist nem kezelnek, illetve hírlevél adatbázist nem kezelnek. I.2.5. Az Alapítvány nyilatkozata szerint az érintettek postai levél útján értesülnek az Alapítvány tevékenységéről, munkájáról, kampányairól, az adományozás menetéről. Átutalással történő adományozást követően az érintettekkel csak akkor tudják újból felvenni a kapcsolatot, ha az érintett a közlemény rovatban kifejezetten megadja az elérhetőségét. Postai csekken történő adományozást követően rögzítésre kerül az adomány összege és az adományozás dátuma, majd 3 hónap elteltével az adományozó újabb postai tájékoztató levelet kap, ha nem kérte adatai törlését.

Egyéb esetekben történő kapcsolatfelvétel menetére vonatkozóan az Alapítvány válaszlevelében úgy nyilatkozott, hogy a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló 2008. évi XLVIII. törvény 6. §-a értelmében az érintett előzetesen és kifejezetten hozzájárulhat ahhoz, hogy az Alapítvány reklámajánlataival, egyéb küldeményeivel a regisztrációkor megadott elérhetőségein megkeresse. Továbbá az érintett hozzájárulhat ahhoz, hogy az Alapítvány a reklámajánlatok küldéséhez szükséges személyes adatait kezelje. Az Alapítvány nem küld kéretlen reklámüzenetet és az érintett korlátozás és indokolás nélkül, ingyenesen leiratkozhat az ajánlatok küldéséről. Ebben az esetben az Alapítvány az érintett minden, a reklámüzenetek küldéséhez szükséges személyes adatát törli nyilvántartásából. Ugyanakkor korábbi válaszlevelében az Alapítvány akként nyilatkozott, hogy hírlevél feliratkozási lehetőség nincs. A Hatóság ezen ellentmondás okának kiderítésére feltett kérdésére az Alapítvány úgy nyilatkozott, hogy a kuratórium úgy döntött, hogy nem küld elektronikus hírlevelet. I.2.6. Az érintettek tájékoztatásának módjára vonatkozóan az Alapítvány előadta, hogy a postai úton kiküldött hírlevél tartalmazza az érintettek személyes adatai kezelésével kapcsolatos tájékoztatását. Ennek alátámasztására több mintalevelet is csatolt.

- Egy 2020. februári, leendő adományozóknak küldött postai hírlevél mintát, amelyen az alábbi tájékoztatás olvasható: „Tisztelt Adományozó! Támogatásával neve és címe bekerül az adatbázisunkba és hozzájárul, hogy adatait az adatfeldolgozóink kezeljék. Természetesen kérheti adatai helyesbítését, végleges törlését e-mailen vagy postai úton az alapítvány központi címén. A kérelmek teljesítése a beérkezéstől számított 30 napon belül történik meg. Amennyiben a jelen küldeményben található csekk használatával pénzt fizet az Alapítvány részére, a Posta a csekkszelvényt az Ön adataival továbbítja az Alapítványnak. Az adatkezelés célja az Ön tájékoztatása az Alapítvány munkájáról, a befizetett adomány felhasználásáról. Az Alapítvány az adatokat senkinek nem továbbítja. Kérjük, csak abban az esetben teljesítsen befizetést, ha az adatkezeléshez hozzájárul, a csekkbefizetést a jelen tájékoztató ismeretében az Alapítvány az Ön hozzájárulásaként kezeli. Név- és lakcímadatait az Adatkezelő a polgárok személyi adatainak és lakcímének nyilvántartásából vette át, a Belügyminisztérium Személyi Nyilvántartási és Igazgatási Főosztályának engedélye alapján, az 1992. évi LXVI. törvény és az 1995. évi CXIX. törvény rendelkezései szerint, figyelemmel arra, hogy Ön adatai ilyen célú felhasználását nem tiltotta meg. Az adatkezelés jogalapja a hivatkozott törvény rendelkezése.”

A hírlevél láblécében megtalálhatóak továbbá az Alapítvány elérhetőségei.

- Egy 2020. novemberi, korábban már adományozott személyeknek küldött hírlevél mintát, amelyen az alábbi tájékoztatás szerepel: „Amennyiben nem kíván további tájékoztató levelet kapni alapítványunk munkájáról, vagy adataiban változás következett be, kérem, ezt az adat@sosleukemia.hu e-mail címen, vagy postai úton az 1300 Budapest, Pf. 75. címen jelezze. A könnyebb feldolgozás érdekében kérem, levelezésében minden esetben tüntesse fel befizetőazonosítóját is! Adatkezelési tájékoztatónkat megtalálja honlapunkon.”

- Az Alapítvány válaszleveléhez csatolt továbbá egy olyan postai hírlevél mintát is, amelyet azon leendő adományozóknak küldtek, akiknek az adatai nyilvános adatbázisból gyűjtötték. A tájékoztatás ezen hírlevél mintán az alábbi: „Tisztelt Adományozó! Támogatásával neve és címe bekerül az adatbázisunkba és hozzájárul, hogy adatait az adatfeldolgozóink kezeljék. Természetesen kérheti adatai helyesbítését, végleges törlését e-mailen, telefonon, postai úton az alapítvány központi címén. A kérelmek teljesítése a beérkezéstől számított 30 napon belül történik meg. Amennyiben a jelen küldeményben található csekk használatával pénzt fizet az Alapítvány részére, a Posta a csekkszelvényt az Ön adataival továbbítja az Alapítványnak. Cégünk Adatvédelmi Tisztviselői pozícióját a […] Kft. tölti be. Bármilyen az európai adatvédelmi rendeletben foglalt adatkezelési kérdéssel kapcsolatban forduljanak bizalommal hozzájuk, elérhetőségeik a […] oldalon megtalálhatóak.”.

A vizsgált időszakban –a Hatóság által 2020. október 20-án készített képernyőmentés szerint – az Alapítvány weboldalán lehetőség volt hírlevél feliratkozásra az e-mail elérhetőség megadásával, továbbá adomány fizetésére a https://sosleukemia.hu/tamogasson/tamogassa-alapitvanyunkat és az https://sosleukemia.hu/adomany/adomany oldalon keresztül, amelyekhez szintén személyes adatok megadása szükséges. Az ezen felületeken megadandó személyes adatok kezelésének módjáról, céljairól, jogalapjáról az Alapítvány – nyilatkozata szerint – az adatkezelési szabályzatában nyújt tájékoztatást az érintetteknek, amely az Alapítvány https://sosleukemia.hu oldalán érhető el. A Hatóság ehhez kapcsolódóan megjegyzi, hogy a vizsgált adatkezelési időszakban elérhető adatkezelési tájékoztató azonban erre vonatkozóan információt nem tartalmaz. A hivatkozott weboldalon keresztüli adományfizetéshez szükséges az „Elfogadom az Általános szerződési feltételeket” és az „Elfogadom az Adatfelhasználási szabályokat” nyilatkozatok előtti jelölőnégyzetek elfogadása, a nyilatkozatokba ágyazott hiperlinken keresztül elérhető tájékoztatók azonban ugyancsak nem tartalmaznak, illetve tartalmaztak a vizsgált időszakban sem információkat az adományozáshoz, illetve az ahhoz kapcsolódó személyes adatok kezelésére vonatkozóan. I.2.7. Az Alapítvány által mellékelt „2020. februári első megkeresés mintán” szereplő tájékoztatóban – „Támogatásával neve és címe bekerül az adatbázisunkba és hozzájárul, hogy adatait adatfeldolgozóink kezeljék.” – az Alapítvány nyilatkozata szerint tévesen használták az adatkezelő helyett az adatfeldolgozó kifejezést, az Alapítvány adatfeldolgozót nem vesz igénybe a támogatók személyes adatainak nyilvántartásához. Az Alapítvány az adatkezelése során – a tárhely szolgáltatón, valamint a megrendelt termékek kiszállításához igénybe vett futárszolgálaton kívül – adatfeldolgozót nem vesz igénybe, és közös adatkezelés nem valósul meg. Az Alapítvány továbbá a postai csekkek gyártásához – amely engedélyhez kötött – az […] Kft. tevékenységét veszi igénybe. Az Alapítvány ezen tevékenységek ellátására vonatkozóan azonban – a Hatóság felhívása ellenére – semmilyen dokumentum-másolatot nem csatolt. Az adománykérő levelek küldéséhez kapcsolódóan partnerek közreműködését nem veszi igénybe, hanem saját gépeket vásárolt a hírlevelek gyártásának céljából, melyet az Alapítvány székhelyén üzemeltetnek. I.2.8. Az érintettek személyes adatait az Alapítvány számítógépén a háttértárban tárolják, Excel táblázatban, fizikailag külső személy által védett munkahelyen, amelyhez – nyilatkozata szerint kizárólag az Alapítvány elnöke fér hozzá. Amennyiben a papír alapon kezelt személyes adatok digitalizálására kerül sor, akkor a digitálisan tárolt dokumentumokra irányadó szabályokat alkalmazza. Leendő adományozói nyilvántartása nincs, kizárólag a „pozitív” adományozók adatait kezelik, akik korábban már adományoztak az Alapítvány részére. Egyéb személyes adatot, „hideg” címlistát nyilatkozata szerint – nem kezelnek. Az adatkezelés, illetve az adattárolás helye az Alapítvány székhelye (2162 Őrbottyán, Tó utca 113.). I.2.9. Az Alapítvány – nyilatkozata szerint – az általa tárolt személyes adatok naprakészségét „az érintetti megkeresések teljesítése útján biztosítja”. Az érintett továbbá jogosult arra, hogy kérésére az Alapítvány indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat, illetve postai megkeresés esetén, ha a levél „nem kereste” jelzéssel visszaérkezik, az érintett postai címét törlik az adatbázisból. I.2.10. Az érintetti jogok gyakorlására irányuló kérelmek teljesítésére vonatkozó külön ügyintézési rendje – nyilatkozata szerint – nincs az Alapítványnak. Érintetti kérelem beérkezése esetén azt indokolatlan késedelem nélkül, de legkésőbb 30 napon belül intézik el. Érintetti kérelem benyújtására postai úton, e-mail útján és telefonon van lehetőségük az érintetteknek. A kérelmek teljesítése az Alapítvány felelősségi körébe tartozik. Az Alapítvány a válaszlevelében előadta, hogy a postai úton és e-mailen beérkező kérelmeket 30 napon belül törlik, amelyről jegyzőkönyvet vesznek fel, majd azt postázzák vagy e-mailen visszaküldik. Ezt követően a kinyomtatott kérelem és a hozzá tartozó jegyzőkönyv zárt szekrényben tárolásra kerül 1 évig. Az Alapítvány előadta, hogy az adatvédelmi tisztviselő kijelölése folyamatban van. Az adománykérő levélben – a válaszleveléhez az abban foglaltakat megerősítendően csatolt, 2020. december 8-án kelt nyilatkozata szerint – tévesen lett feltüntetve, hogy az adatvédelmi tisztviselő pozícióját a […] Kft. tölti be. A beérkezett e-mailek megválaszolásával és egyéb adminisztrációs munkával – nem adatvédelmi tisztviselőként – a […] Kft.-t (korábban […] néven) bízta meg az Alapítvány, amely társaság egyben az informatikai üzemeltetést is végezte. A postai hírlevelek aljára kerülő szövegrészt is ez a Kft. fogalmazta meg. Az Alapítvány nyilatkozata szerint mivel mulasztásokat tapasztalt az informatikai munka területén, a […] Kft.-vel kötött szerződést 2019. november 28-án felbontották. A Hatóság megállapította, hogy az Alapítvány válaszleveléhez csatolt, a […] Kft.- vel kötött, 2019. március 22-én kelt vállalkozási szerződés erre vonatkozóan rendelkezéseket nem tartalmazott. I.2.11. Az Alapítvány válaszlevelében úgy nyilatkozott, hogy az Érintett kérelmére azért nem válaszolt, mert az Alapítvány csak a Hatóság tényállás tisztázásra felhívó végzéséből értesült arról, hogy az Érintett nem kapott választ a […] Kft.-től. Az Érintett személyes adatát az Alapítvány – a nyilatkozata szerint – 2019. november 12-ig kezelte, amikor az érintett törlési kérelme alapján a személyes adatait (név, lakcím) törölte. Az érintett személyes adatai kezelésének kezdő időpontjáról azonban információi nincsenek. Az Alapítvány átvételekor a korábbi vezetéstől releváns információt nem kaptak a személyes adatok forrására vonatkozóan, és az iratok hollétére többszöri hivatalos ügyvédi felszólítás ellenére sem érkezett válasz. I.2.12. A BM válaszlevelében megküldte a […] iktatószámú határozattal engedélyezett csoportos adatszolgáltatás ügyében az Alapítvány által benyújtott kérelmet és mellékleteit. A BM nyilatkozata szerint az Alapítvány jogos érdeke fennálltának igazolására csatolta az alapító okiratát, amelynek 10/c. pontja szerint az Alapítvány közhasznú tevékenységnek minősülő közfeladatok teljesítésében a közreműködést (azok megvalósításának elősegítését) elsősorban saját pénzügyi forrásainak felhasználása útján teljesíti. Ezek biztosítására az Alapítvány rendszeresen megkeresi a lehetséges támogatókat. E forrásszerző tevékenység érdekében, illetőleg keretében végez az Alapítvány direkt marketing tevékenységet. Az Alapítvány a csoportos adatszolgáltatás ügyében csatolta továbbá a törvényszéki nyilvántartásban tárolt adatokról szóló kivonatot, amely a BM szerint igazolta, hogy közhasznú jogállással rendelkezik. A BM álláspontja szerint a civil szervezet jogos érdekének fennálltát azon tény támasztotta alá – a becsatolt alapító okirat és a törvényszéki nyilvántartásban tárolt kivonat alapján – hogy közhasznú szervezetként közérdekű tevékenységet végez (különböző egészségügyi jellegű feladatokat), amelyhez az adományok, támogatások gyűjtése társadalmi érdek. Így a GDPR 6. cikk (1) bekezdés f) pontja és a polgárok személyi adatainak és lakcímének nyilvántartásáról szóló 1992. évi LXVI. törvény (a továbbiakban: Nytv.) 19. § (1) bekezdés a) pontja alapján a jogos érdek fennálltát a BM igazoltnak tekintette. A BM nyilatkozata szerint a GDPR 6. cikk (4) bekezdése szerinti eltérő célú adatkezelés eredeti adatkezelési céllal történő összeegyeztethetősége feltételeinek fennállását nem vizsgálta, tekintettel arra, hogy a megjelölt közvetlen üzletszerzési célt a GDPR (47) preambulumbekezdése is említi, hogy a személyes adatok közvetlen üzletszerzési célú kezelése jogos érdeken alapulónak tekinthető. Továbbá hivatkozott a Hatóság NAIH/2019/4808/2. ügyiratszámú állásfoglalásában foglaltakra, miszerint a civil szervezetek jogos érdekének fennállását erősíti az a tény, hogy közhasznú szervezetként közérdekű tevékenységet végeznek, amelyhez az adományok gyűjtése társadalmi érdekük. Erre tekintettel a BM álláspontja szerint az ügyben nem volt megállapítható eltérő célú adatkezelés. A BM megküldte továbbá az adatszolgáltatási nyilvántartásból az Érintettet érintően, a személyiadat- és lakcímnyilvántartásból teljesített adatszolgáltatások naplókivonatának másolatát, amelyekből a BM nyilatkozata szerint megállapítható, hogy az Érintettről 2016. október 18. és 2021. október 18. közötti időszakban közvetlen üzletszerzés céljából nem teljesítettek adatszolgáltatást az Alapítvány részére.

II. Alkalmazandó jogszabályi előírások

Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján az Alapítvány adatkezelési gyakorlatával összefüggő adatkezelésére az általános adatvédelmi rendeletet kell alkalmazni. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 2. § (2) bekezdése szerint az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben kiegészítésekkel kell alkalmazni. Az általános adatvédelmi rendelet (42) preambulumbekezdése: Ha az adatkezelés az érintett hozzájárulásán alapul, az adatkezelő számára lehetővé kell tenni, hogy bizonyítani tudja, hogy az adatkezelési művelethez az érintett hozzájárult. Különösen a más ügyben tett írásbeli nyilatkozattal összefüggésben garanciákkal szükséges biztosítani azt, hogy az érintett tisztában legyen azzal a ténnyel, hogy hozzájárulását adta, valamint azzal, hogy ezt milyen mértékben tette. A 93/13/EGK tanácsi irányelvnek megfelelően az adatkezelő előre megfogalmazott hozzájárulási nyilatkozatról gondoskodik, amelyet érthető és könnyen hozzáférhető formában bocsát rendelkezésre, nyelvezetének pedig világosnak és egyszerűnek kell lennie, és nem tartalmazhat tisztességtelen feltételeket. Ahhoz, hogy a hozzájárulás tájékoztatáson alapulónak minősüljön, az érintettnek legalább tisztában kell lennie az adatkezelő kilétével és a személyes adatok kezelésének céljával. Az általános adatvédelmi rendelet (47) preambulumbekezdése: Az adatkezelő - ideértve azt az adatkezelőt is, akivel a személyes adatokat közölhetik - vagy valamely harmadik fél jogos érdeke jogalapot teremthet az adatkezelésre, feltéve hogy az érintett érdekei, alapvető jogai és szabadságai nem élveznek elsőbbséget, figyelembe véve az adatkezelővel való kapcsolata alapján az érintett észszerű elvárásait. Az ilyen jogos érdekről lehet szó például olyankor, amikor releváns és megfelelő kapcsolat áll fenn az érintett és az adatkezelő között, például olyan esetekben, amikor az érintett az adatkezelő ügyfele vagy annak alkalmazásában áll. A jogos érdek fennállásának megállapításához mindenképpen körültekintően meg kell vizsgálni többek között azt, hogy az érintett a személyes adatok gyűjtésének időpontjában és azzal összefüggésben számíthat-e észszerűen arra, hogy adatkezelésre az adott célból kerülhet sor. Az érintett érdekei és alapvető jogai elsőbbséget élvezhetnek az adatkezelő érdekével szemben, ha a személyes adatokat olyan körülmények között kezelik, amelyek közepette az érintettek nem számítanak további adatkezelésre. Mivel a jogalkotó feladata, hogy jogszabályban határozza meg, hogy a közhatalmi szervek milyen jogalapon kezelhetek személyes adatokat, az adatkezelő jogszerű érdekét alátámasztó jogalapot nem lehet alkalmazni, a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. Személyes adatoknak a csalások megelőzése céljából feltétlenül szükséges kezelése szintén az érintett adatkezelő jogos érdekének minősül. Személyes adatok közvetlen üzletszerzési célú kezelése szintén jogos érdeken alapulónak tekinthető.

Általános adatvédelmi rendelet 4. cikk 1. pontja: „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ, többek között név, lakcím. Általános adatvédelmi rendelet 4. cikk 2. pontja: „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés; Általános adatvédelmi rendelet 4. cikk 11. pontja: „az érintett hozzájárulása”: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez. Az általános adatvédelmi rendelet 5. cikk (1) bekezdése a) és b) pontjai: A személyes adatok: a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”); Az általános adatvédelmi rendelet 5. cikk (2) bekezdése szerint az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). Az általános adatvédelmi rendelet 6. cikke (1) bekezdése szerint a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. Az általános adatvédelmi rendelet 7. cikk (1) bekezdése: Ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult. Az általános adatvédelmi rendelet 12. cikk (1)-(5) bekezdései értelmében: (1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34.

cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (2) Az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. (3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. (4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. (5) A 13. és 14. cikk alapján rendelkezésre bocsátott információkat és a 15-22. és 34. cikk alapján végzett minden tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy - különösen ismétlődő jellege miatt - túlzó, az adatkezelő: a) a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségek figyelembevételével észszerű összegű díjat számíthat fel, vagy b) megtagadhatja a kérelem alapján történő intézkedést. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli. Az általános adatvédelmi rendelet 13. cikk szerint: (1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét: a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról;

c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. (3) Ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról. (4) Az (1), (2) és (3) bekezdés nem alkalmazandó, ha és amilyen mértékben az érintett már rendelkezik az információkkal. Az általános adatvédelmi rendelet 14. cikk szerint: (1) Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat: a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) az érintett személyes adatok kategóriái; e) a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat: a) a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; b) ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről; c) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga; d) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; e) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; f) a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e; és g) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. (3) Az adatkezelő az (1) és (2) bekezdés szerinti tájékoztatást az alábbiak szerint adja meg: a) a személyes adatok kezelésének konkrét körülményeit tekintetbe véve, a személyes adatok megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül; b) ha a személyes adatokat az érintettel való kapcsolattartás céljára használják, legalább az érintettel való első kapcsolatfelvétel alkalmával; vagy c) ha várhatóan más címzettel is közlik az adatokat, legkésőbb a személyes adatok első alkalommal való közlésekor. (4) Ha az adatkezelő a személyes adatokon a megszerzésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról. (5) Az (1)-(4) bekezdést nem kell alkalmazni, ha és amilyen mértékben: a) az érintett már rendelkezik az információkkal; b) a szóban forgó információk rendelkezésre bocsátása lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne, különösen a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, a 89. cikk (1) bekezdésében foglalt feltételek és garanciák figyelembevételével végzett adatkezelés esetében, vagy amennyiben az e cikk (1) bekezdésében említett kötelezettség valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezen adatkezelés céljainak elérését. Ilyen esetekben az adatkezelőnek megfelelő intézkedéseket kell hoznia - az információk nyilvánosan elérhetővé tételét is ideértve - az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében; c) az adat megszerzését vagy közlését kifejezetten előírja az adatkezelőre alkalmazandó uniós vagy tagállami jog, amely az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik; vagy d) a személyes adatoknak valamely uniós vagy tagállami jogban előírt szakmai titoktartási kötelezettség alapján, ideértve a jogszabályon alapuló titoktartási kötelezettséget is, bizalmasnak kell maradnia. Az általános adatvédelmi rendelet 15. cikke (1) bekezdése szerint az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár. (3) Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri. (4) A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait. Az Nytv. 19. § (1) bekezdése szerint a 17. § (2) bekezdésének a) pontja szerinti adatok szolgáltatását bármely polgár, illetve jogi személy és jogi személyiséggel nem rendelkező szervezet a felhasználás céljának és jogalapjának igazolása mellett jogosult kérni: a) jogának vagy jogos érdekének érvényesítése érdekében, b) tudományos kutatás céljából, c) közvélemény-kutatás és piackutatás megkezdéséhez szükséges minta, valamint d) * Az Nytv. 18. § (4) bekezdése szerint adatszolgáltatás helyett a kérelmező bármely járási hivatalnál igényelheti, hogy kapcsolatfelvétel céljából a járási hivatal az általa megjelölt személyt, személyi kört keresse meg, és a) kérje írásos hozzájárulását ahhoz, hogy név, lakcím és értesítési cím adatait a kérelmező rendelkezésére bocsáthassa, vagy b) arról értesítse, hogy a kérelmezőt közvetlenül keresse meg, ha vele a kapcsolatot fel kívánja venni. Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja. Az Infotv. 61. § (2) bekezdése szerint a Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő – nyilvánosságra hozatalát, ha a határozat személyek széles körét érinti, azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja. Infotv. 75/A. §: A Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. GDPR 58. cikk (2) bekezdés b), d), i) és g) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték. Az általános adatvédelmi rendelet 83. cikk (1) bekezdése alapján valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. Az általános adatvédelmi rendelet 83. cikk (2) bekezdése szerint a közigazgatási bírságokat az adott eset körülményeitől függően az általános adatvédelmi rendelet 58. cikk (2) bekezdésének a)h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;

b) a jogsértés szándékos vagy gondatlan jellege;

c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;

d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa az általános adatvédelmi rendelet 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket;

e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések;

f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke;

g) a jogsértés által érintett személyes adatok kategóriái;

h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;

i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az általános adatvédelmi rendelet 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés;

j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát az általános adatvédelmi rendelet 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy az általános adatvédelmi rendelet 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. Az általános adatvédelmi rendelet 83. cikk (5) bekezdése szerint az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az általános adatvédelmi rendelet 5., 6., 7. és 9. cikknek megfelelően;

b) az érintettek jogai az általános adatvédelmi rendelet 12–22. cikknek megfelelően;

c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása az általános adatvédelmi rendelet 44–49. cikknek megfelelően;

d) az általános adatvédelmi rendelet IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek;

e) a felügyeleti hatóság általános adatvédelmi rendelet 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az általános adatvédelmi rendelet 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása. Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel. A kutatás és a közvetlen üzletszerzés célját szolgáló név- és lakcímadatok kezeléséről szóló 1995. évi CXIX. törvény (a továbbiakban: Katv.) 1. § (1) bekezdése szerint e törvény hatálya kiterjed azokra a természetes és jogi személyekre, valamint jogi személyiséggel nem rendelkező szervezetekre, amelyek tudományos kutatás, közvélemény-kutatás, piackutatás céljára név- és lakcímadatot igényelnek, illetőleg kezelnek. Az egyesülési jogról, a közhasznú jogállásról, valamint a civil szervezetek működéséről és támogatásáról szóló 2011. évi CLXXV. törvény (Civil tv.) 2.§ 20. közhasznú tevékenység: minden olyan tevékenység, amely a létesítő okiratban megjelölt közfeladat teljesítését közvetlenül vagy közvetve szolgálja, ezzel hozzájárulva a társadalom és az egyén közös szükségleteinek kielégítéséhez.

III. A Hatóság döntése

III.1. Az eljárás tárgya és az Alapítvány adatkezelése

III.1.1. Az Alapítvány adatkezelésére vonatkozóan bejelentés érkezett a Hatósághoz, melyben az Érintett az Alapítvány postai úton küldött támogatást kérő megkeresését kifogásolta. Bejelentése szerint 2019. november elején kapott postai úton támogatást kérő levelet az Alapítványtól, annak ellenére, hogy az Alapítványnak adatait soha nem adta meg, részére nem adományozott. A levél az Érintett leánykori nevére volt címezve, miközben 2015 óta a férjezett nevét használja. Az Érintett emiatt 2019. november 8-án hozzáférési kérelemmel fordult az Alapítványhoz, melyben az adatai forrására vonatkozóan kért tájékoztatást. A civil szervezetek bírósági nyilvántartása és az alapító okiratban foglaltak szerint az Alapítványt 1998. december 2-án alapították. Az Alapítvány célja a leukémiában szenvedő, daganatos és egyéb súlyos beteg gyermekek családjainak és kórházak gyermekosztályainak támogatása pénzzel, tárgyi eszközökkel; a daganatos beteg gyermekek gyógyítására alkalmas gyógyszerek, műszerek kutatásának és fejlesztésének segítése. Az alapító okiratban foglaltak szerint az Alapítvány a saját pénzügyi források biztosítására rendszeresen megkeresi a lehetséges támogatókat. III.1.2. A vizsgált adatkezelési időszakra vonatkozóan a Hatóság a rendelkezésre álló információk (Alapítvány nyilatkozata, becsatolt dokumentumok, az Alapítvány honlapjáról a vizsgált adatkezelési időszakban készített képernyőmentések) alapján megállapította, hogy az Alapítvány a pénzügyi források biztosítása érdekében postai úton megkereséseket küldött a lehetséges támogatóknak, amelyben adományozásra hívta fel őket. Az érintettek megkereséséhez az Alapítvány egyrészt a BM-től igényelt név- és lakcím adatokat, másrészt személyes adatokat az interneten nyilvánosan elérhető telefonkönyvből gyűjtöttek. A vizsgált adatkezelési időszakra vonatkozó adatkezelési tájékoztatóból továbbá megállapítható, hogy az Alapítvány személyes adatokat az érintettek adatszolgálatása, regisztrációja alapján is kezelt. Az Alapítvány üzemelteti a https://sosleukemia.hu/kezdolap weboldalt, amely weboldalon keresztül a vizsgált időszakban szintén lehetőség volt adomány fizetésére, illetve lehetőség volt hírlevélre feliratkozásra is. III.1.3. Amennyiben a megkeresett személy a postai levéllel megküldött csekkszelvény befizetésével adományozott, a posta a csekkszelvényt – így a befizetést teljesítő érintettek adatait – továbbította az Alapítványnak. Az Alapítvány ezt követően a korábban már adományt fizető érintetteknek ismételten direkt marketing célú, adományozásra felhívó postai levelet küldött. Az Alapítvány nyilatkozata szerint kizárólag azon személyek adatait tárolja, akik korábban már adományoztak, továbbá ezen felül tárolja a BM-től igényelt 20.000 személy név- és lakcímadatát. Az Alapítvány a Hatóság felhívására adathordozón csatolta mindkét adatbázisa másolatát, konkrétan az SOS_leuk out_191205.xlsx és SOSLEUKÉMIÁS.xlsx fájlokat. Az SOS_leuk out_191205.xlsx nevű adatbázis az alábbi személyes adatokat tartalmazza az érintettekre vonatkozóan: nem, viselt családi név, viselt utónév, viselt utónév2, továbbá irányítószám, település, közterület neve, jellege, házszám, épület, lépcsőház, emelet, ajtó, illetve korcsoport. Az adatbázisban 9577 férfi és 10423 nő nemű személy személyes adata található meg, mindegyik budapesti lakcímmel. Korcsoportra bontva az 1959-1968-ig tartó korosztályba 5130 személy, az 1969-1978-ig tartó korosztályba 8023 személy, az 1939-1988-ig tartó korosztályba 6845 személy személyes adata található az adatbázisban. Az SOSLEUKÉMIÁS.xlsx egy 126247 sort tartalmazó adatbázis, ebből 126246 sor tartalmaz releváns személyes adatokat. A tábláat oszlopai a következő adatokat tartalmazzák: azonosító, teljes név, titel (ezután név, ami nincs külön fejléccel jelölve), cím, irsz, település, status, megjegyzés, dátum, összeg, egyéb. A nevek mindegyikéhez tartozik cím is. A 126246 sorból 112906 aktív, 1 felfüggesztett, 134 letiltott, 588 törölt státuszú személy van nyilvántartva. A megjegyzés, dátum, összeg, egyéb oszlopokban további információk és adatok vannak feltüntetve, mint „Nem kér levelet, utal“, „csoportos“, „levelet nem csak e-mailt kér“, „meghalt“, valamint összegek, dátumok a fizetés teljesítéséhez. A nevek esetében van, ahol cégnevek (51 bt., 5 zrt. és 94 kft.) vannak megjelölve. III.1.4. Az Alapítvány által az előző pontokban részletezett adatkezelési műveletekkel összefüggésben kezelt személyes adatok: név, lakcím, telefonszám, továbbá adományokkal kapcsolatos adatok, így az érintettek által befizetett összegek nyilvántartása. Az adatkezelés célja az érintett azonosítása, érintettekkel történő kapcsolatfelvétel és kapcsolattartás, továbbá a befizetett összegek nyilvántartásának célja, hogy az Alapítvány az adatok ismeretében azon érintetteket kereshesse meg, akiktől elvárható, hogy az adott kampány iránt érdeklődnek. Az Alapítvány a nyilatkozata szerint elektronikus direkt marketing jellegű hírlevélküldést nem folytat, továbbá – annak ellenére, hogy a vizsgált adatkezelési időszakban az Alapítvány weboldalán keresztül erre lehetőség volt – hírlevélre feliratkozás nincs, az érintettek megkeresése az adománygyűjtéssel, illetve az adomány felhasználásáról történő tájékoztatással és további adományozásra felhívással összefüggésben történik postai úton. III.1.5. A vizsgált adatkezelési időszakban – a csatolt dokumentum-másolatok alapján 2019. március 22. és 2019. november 28. között – az Alapítvány szerződéses kapcsolatban állt a [...] Kft.-vel, amely Kft. az Alapítvány nyilatkozata szerint informatikai üzemeltetést és adminisztrációs kisegítést, köztük az e-mailek megválaszolását is végezte. Az ezen időszakban, így az Érintettnek is kiküldött postai támogatást kérő levélben szereplő tájékoztatás idején – az Alapítvány nyilatkozata szerint – a Kft.-t tévesen adatvédelmi tisztviselőként tüntette fel. Az Alapítvány továbbá a postai csekkek gyártásához az [...] Kft. tevékenységét veszi igénybe, erre vonatkozóan azonban további információt nem szolgáltatott, dokumentumot nem csatolt. III.1.6. A vizsgálat tárgya az Alapítvány adománykérő postai megkereséséhez kapcsolódó adatkezelési gyakorlata; a részére adományt fizetők további adományozásra történő felhívásával kapcsolatos adatkezelési gyakorlata. Az eljárás tárgya továbbá az Alapítványnak az Érintett hozzáférési kérelme teljesítésével kapcsolatos eljárása.

III.2. Általános megállapítások

A GDPR alkalmazandóvá válását követően több hazai jogszabály érdemi rendelkezéseinek felülvizsgálata és deregulációja vált szükségessé, tekintettel arra, hogy a közvetlen üzletszerzés jogalapját az általános adatvédelmi rendelet rendszerében – a hozzájárulás mellett – a 6. cikk (1) bekezdés f) pontja szerinti jogalap is képezheti megfelelő feltételek teljesülése esetén, az ilyen adatkezelési jogviszonyok feltételeinek szabályozására pedig a tagállami jogalkotónak – a rendeletben kifejezetten meghatározottakon túl – nincs jogosultsága. Így 2019. április 26. óta a Katv. hatálya sem terjed már ki a közvetlen üzletszerzéshez történő kapcsolatfelvétel céljára névés lakcímadatot igénylő, illetőleg kezelő természetes és jogi személyekre, valamint jogi személyiséggel nem rendelkező szervezetekre, illetve az Nytv. rendelkezései közül is kikerült a direkt marketing célú adatigénylésre vonatkozó felhatalmazás. A szabályozási környezet változása miatt tehát a közvetlen üzletszerzés céljából történő adatkezelés már nem alapul jogszabályi felhatalmazáson, vagyis az adatkezelő felelőssége megfelelő, a 6. cikk (1) bekezdésében szabályozott jogalapnak a választása. Amennyiben erre az adatkezelő a 6. cikk (1) bekezdés f) pontja szerinti jogalapot tartja alkalmazhatónak, jogos érdeke elsőbbségének alátámasztására érdekmérlegelést kell lefolytatnia. A Hatóság álláspontja szerint a civil szervezeteknek az adománygyűjtés érdekében az első kapcsolatfelvétellel végzett adatkezelési tevékenysége – egyéb jogalapok fennállása, mint jogszabályon alapuló kötelező adatkezelés, vagy az érintett hozzájárulása híján – az adatkezelő megfelelő érdekmérlegelési teszttel alátámasztott jogos érdekén alapulhat. Ennek következtében az Nytv.19. § (1) a) pontja alapján adatokat igényelhetnek az Nytv-ben foglalt feltételekkel. A civil szervezetek jogos érdekét erősíti a tény, hogy ők közhasznú szervezetként egyébként közérdekű tevékenységet végeznek. (Civil tv. 2. § 20. pontja), amelyhez adományok gyűjtése társadalmi érdekük. Ugyanakkor annak mérlegelését, hogy a kérelmező jogos érdeken alapuló adatkérése megfelelően alátámasztottnak minősül-e, a nyilvántartás szerve végzi, és arra előzetesen nem adható garancia, hogy a nyilvántartás szerve is igazoltnak látja az adatkérés jogosságát. A jelenlegi szabályozás szerint tehát a nyilvántartás szervének szubjektív értékítéletén múlik, hogy az Nytv. 19. § (1) bekezdés a) pontjában megfogalmazott adatszolgáltatást teljesíti-e. Megfelelő, és az adatkezelés további követelményeinek jogszerűsége érdekében követhető eljárás az, ha az adatot igénylő szervezet nem a polgárok személyes adatainak szolgáltatását igényli a személyiadat-és lakcímnyilvántartásból, hanem az Nytv. 18. § (4) bekezdésében kifejtettek szerint ún. kapcsolatfelvételi eljárást kezdeményez, amelynek során a nyilvántartás szerve keresi meg a megjelölt személyi kört, eljuttatva a kezdeményező üzenetét a címzetteknek. A címzett, érdeklődése esetén maga keresi fel a kezdeményező szervet, így a civil szervezet részéről az adatkezelés jogalapja a továbbiakban ebben az esetben az érintett hozzájárulása lesz.

III.3. Az Alapítvány leendő adományozók postai megkereséséhez kapcsolódó adatkezelési

gyakorlata III.3.1. A személyiadat- és lakcímnyilvántartásból történő adatigénylés Az Alapítvány – nyilatkozata szerint – egyrészt adománygyűjtés céljából intézett megkeresést az érintettekhez, ebben az esetben olyan személyeket keresett meg, akik potenciálisan adományt nyújthattak részére. Ehhez a személyes adatokat nem közvetlenül az érintettektől gyűjtötte, hanem az adatokat az Nytv. 17. § (1) bekezdése alapján a személyiadat- és lakcímnyilvántartásból igényelte. Nyilatkozata szerint azonban ilyen „toborzó“ kampányt postai úton legutóbb 2019. október 30-án indított. Az Alapítvány nyilatkozata szerint az „Adománygyűjtés céljából történő megkeresés“-hez kapcsolódóan általa kezelt személyes adatok: név, postai cím; az adatkezelés jogalapjaként az Alapítvány az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontját, valamint a Civil Korm. rendeletet jelölte meg. Az Alapítvány a hatósági eljárás során becsatolta a személyiadat- és lakcímnyilvántartásból történő adatigényléséhez benyújtott, 2019. november 13-án kelt kérelem másolatát. A Hatóság ezzel kapcsolatban megjegyzi, hogy az Alapítvány legutolsó, 2021. július 2-án kelt válaszlevelében foglalt, a csatolt dokumentumokban foglaltaknak ellentmondó nyilatkozata szerint a személyiadatés lakcímnyilvántartásból igényelt adatok felhasználásával utoljára 2019. október 30-án indítottak „toborzó“ kampányt, azt követően csak a már korábban adományozókat keresték meg ismételten. A kérelemben megjelöltek alapján a jogalap igazolása – az Nytv. 19. § (1) bekezdés a) pontjában foglaltakkal ellentétben – a BM irányába az Alapítvány alapító okiratának csatolásával történt. Ezt támasztja alá a BM Személyi Nyilvántartási és Igazgatási Főosztály Nyilvántartási Adatszolgáltatási és Engedélyezési Osztályának az Alapítvány csoportos adatszolgáltatás iránti kérelmének helyt adó, [...] iktatószámú határozata, amelyben foglaltak szerint „kérelmező támogatók toborzása céljából közvetlen üzletszerzési tevékenység végzésére való jogosultságát alapító okiratával igazolta“, továbbá a BM a Hatóság megkeresésére adott nyilatkozatában – az I.2.12. pontban részletezettek szerint – is megerősítette a fentieket. Ezzel ellentétben a vizsgált adatkezelési időszakban az Alapítvány weboldalán elérhető adatkezelési tájékoztatóban foglaltak szerint „Az Adatkezelő az érintettek adatait kizárólag az érintett adatszolgáltatása alapján, az érintett hozzájárulása alapján kezeli.“ A III.2. pontban kifejtettek szerint azonban a civil szervezeteknek – így az Alapítványnak is – az adománygyűjtés érdekében az első kapcsolatfelvétellel végzett adatkezelési tevékenysége megfelelő érdekmérlegelési teszttel alátámasztott jogos érdeken alapulhat, amelynek következtében az Nytv. 19. § (1) bekezdés a) pontja alapján lehetősége van adatokat igényelni a személyiadat- és lakcímnyilvántartásból. Az Alapítvány a csatolt dokumentumok (2019. november 13-án kelt csoportos adatszolgáltatás iránti kérelem és annak helyt adó, 2019. november 20-án kelt határozat) alapján a 2019. november 13-i adatigénylésekor a jogos érdeke fennállásának alátámasztására érdekmérlegelést nem csatolt. A benyújtott mellékletek között csak az Alapítvány alapító okirata volt feltüntetve, és a kérelemnek helyt adó határozat indokolása is csak a csatolt alapító okiratra hivatkozott, mint amivel az Alapítvány a támogatók toborzása céljából közvetlen üzletszerű tevékenység végzésére való jogosultságát igazolta. Tekintettel arra, hogy 2019. április 26. óta a jogalkotó az Nytv. 19. § (1) bekezdésének rendelkezései közül kiemelte a közvetlen üzletszerzés (direkt marketing) célját szolgáló lista összeállításához történő adatigénylés lehetőségét, az Alapítvány ennek megfelelően csak megfelelő érdekmérlegeléssel alátámasztott jogos érdeke fennállásának igazolásával igényelhetett volna személyes adatokat a nyilvántartásból. Az Alapítvány a Hatóság felhívására – mint a személyiadat- és lakcímnyilvántartásból történő adatigénylés iránti kérelméhez az adatigénylés jogalapjának igazolására becsatolt dokumentumként hivatkozva – utólag csatolt egy 2019. január 5-i dátummal ellátott érdekmérlegelési tesztet. Az érdekmérlegelési tesztnek nevezett dokumentum első oldalának fejlécében „2021.“ megjelölés, feltehetőleg évszám szerepel. Az Alapítvány az érdekmérlegelésében mindvégig kifejezetten az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontjára hivatkozik jogalapként – amely jogalap szerint az adatkezelés jogszerű, ha az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges –, ezen jogalap fennálltának alátámasztására végezte el az érdekmérlegelést. Az érdekmérlegelés 1.4. pontjának első mondata szerint „Jelen esetben a GDPR 6. cikk (1) bekezdés e) pontja szerint az adatkezelés közérdekű feladat végrehajtásához szükséges.“, míg ugyanezen pont utolsó mondata szerint „Az Alapítványnak tehát jogos érdeke fűződik az Érintett személyes adatainak kezeléséhez, mivel a leukémiás gyermekeket csak ilyen módon tudja rendeltetésének megfelelően segíteni.“. Az érdekmérlegelése eredményeként – annak I.2.3. pontban részletezettek szerint – az Alapítvány arra a megállapításra jutott, hogy az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontjában meghatározott jogalap az általa történő adatkezelés vonatkozásában fennáll, ugyanis a személyes adat kezeléséhez fűződő érdeke felülmúlja az érintett személyes adatainak védelméhez fűződő érdekeit, mivel az érintettek személyes adatainak (név, lakcím) kezelése az Alapítvány feladatainak ellátása körében és céljainak beteljesítése érdekében elengedhetetlenül szükséges, az adatkezelés nem okoz nagyfokú érdeksérelmet az érintett számára, valamint az Alapítvány által nyújtott szolgáltatások és az adatvédelmi, adatbiztonsági intézkedések a személyes adatok kezelése által okozott érdeksérelmet csökkentik. A GDPR fogalommeghatározása alapján a név, lakcím az érintett személyes adatának, míg az adatokon elvégzett bármely művelet, így például az adatok gyűjtése, rögzítése, tárolása, rendszerezése, felhasználása adatkezelésnek minősül. Az adatkezelés jogszerűségéhez az adatkezelőnek a GDPR 6. cikk (1) bekezdésével összhangban álló jogalappal kell rendelkeznie az adatkezeléshez. A jogalapokkal kapcsolatosan a Hatóság kiemeli, hogy egy adatkezelésnek alapvetően csak egy érvényes jogalapja lehet. Nem elfogadható, ha ugyanahhoz az adatkezelési célhoz – jelen esetben a támogatók toborzása céljából történő adatkezeléshez – különböző jogalapokat rendel az adatkezelő, a több jogalap egyidejű alkalmazása ugyanis sérti az átláthatóság és a tisztességes eljárás elvét. A támogatók toborzása céljából történő adatkezelés jogalapjaként az Alapítvány tehát konkrétan az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja szerinti jogalapot jelölte meg, azaz hogy az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges, mellette pedig szövegszerűen kiemeli, hogy az adatkezeléshez ezáltal az Alapítványnak jogos érdeke fűződik. Emellett a vizsgált adatkezelési időszakban elérhető tájékoztató az adatkezelés jogalapjaként az érintettek hozzájárulását jelölte meg. A Hatóság a rendelkezésre álló dokumentumok (becsatolt adatkezelési nyilvántartás, érdekmérlegelés, adatkezelési tájékoztató) és nyilatkozatok alapján megállapította, hogy az Alapítvány az érintettek adományozás céljából történő megkeresését nem az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) (jogos érdek), hanem e) pontjára (jogszabály által telepített közfeladat ellátásához kapcsolódó adatkezelés), illetve az adatkezelési tájékoztató szerint az a) pontjára alapította. Jogszabályt azonban, amely a közfeladat ellátását az Alapítvány részére előírta, nem jelölt meg, az általa hivatkozott jogszabály (Civil Korm. rendelet) ugyanis ilyen feladatot nem ír elő, továbbá az érintettek hozzájárulását sem igazolta. Ahogyan a Hatóság a III.2. pontban kifejtette, álláspontja szerint a civil szervezeteknek az érintettekkel való első kapcsolatfelvétellel végzett adatkezelési tevékenysége az adatkezelő megfelelő érdekmérlegeléssel alátámasztott jogos érdekén alapulhat.

Az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontjára alapított adatkezelés esetén az adatkezelőnek érdekmérlegelést kell végeznie. Ezt támasztja alá az általános adatvédelmi rendelet (47) preambulumbekezdése is, miszerint a jogos érdek jogalap fennállását érdekmérlegeléssel kell igazolni. E körben az adatkezelőnek vizsgálnia kell az adatkezelés szükségességét. A személyes adat kezelésének közvetlen összefüggésben kell lennie az elérni kívánt céllal: a célt pontosan, összetett és tényalapú elemzéssel kell vizsgálni, e körben kiemelten azt, hogy van-e kevésbé korlátozó eszköz az elérni kívánt célhoz, vannak-e más alternatív, az érintettek magánszféráját kevésbé korlátozó eszközök. Meg kell határozni az adatkezelő, illetve a harmadik fél jogos érdekét a lehető legpontosabban ugyancsak tényalapú, az adott adatkezelőre vonatkozó konkrét vizsgálat alapján. Az érdeknek valósnak és aktuálisnak kell lennie. Az érdekmérlegelés alapvető eleme az érintetti érdekek és elvárások felmérése, figyelemmel kell lennie az érintettek státuszára, jogi és tényleges helyzetére, valamint az adatkezeléssel kapcsolatos észszerű elvárásaikra. Az érdekmérlegelés annak a részletes elemzése, hogy miért korlátozza arányosan az adatkezelő jogos érdeke az érintettek jogait, és a feltárt tényekből miért következik az adatkezelő érdekének primátusa az érintettek jogaival szemben. Ilyen érdekmérlegelés hiányában – figyelemmel az elszámoltathatóság elvének sérelmére – jogszerű és átlátható adatkezelésről nem lehet szó. Az érdekmérlegelésben egyértelműen meg kell határozni az adatkezelő személyét, és az adatkezelő felelőssége és feladata a fentiek pontos dokumentálása és indokolása.

A Hatóság állandó és következetes gyakorlata szerint az adatkezelő felelős az általa végzett adatkezelés jogszerűségéért. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogalap természetéből fakadóan ezen jogalap esetén az adatkezelőnek pontosan meg kell tudnia jelölni, hogy egy konkrét személyes adat kezelését az adatkezelő mely jogos érdeke alapozza meg, és ezen érdekre tekintettel miért szükséges az adatkezelés, egyben igazolnia, bizonyítania is tudnia kell, hogy az elsőbbséget élvez az érintett jogos érdekével, személyes adatok védelméhez fűződő jogával szemben. A Hatóság rámutat, hogy az általános adatvédelmi rendelet 5. cikk (2) bekezdés szerinti, lényegében az adatkezelő objektív felelősségét és fokozott gondossági követelményét megfogalmazó elszámoltathatóság alapelvi követelményéből fakadóan az adatkezelőnek a kötelezettsége annak igazolása, hogy az adatkezelés jogszerűségének feltételei – az adatkezelés megkezdésétől – folyamatosan fennállnak. Az adatkezelő csak akkor bízhat alappal abban, hogy minden tekintetben megfelel az adatkezelés jogi követelményeinek, ha ezen igazolási kötelezettségének eleget is tud tenni, és a Hatóság, eljáró bíróság, illetve az érintett számára is tételesen, kellő bizonyosságot nyújtó módon be tudja mutatni e feltételek fennálltát.

Ebből következik, hogy ha az adatkezelő nem tudja bizonyítani, hogy az érintett által kifogásolt adatkezelése a vizsgált időszakban megfelelt volna az adatvédelmi követelményeknek, nem tesz eleget az elszámoltathatóság alapelvi követelményének, megsértve ezzel az általános adatvédelmi rendelet 5. cikk (2) bekezdését. Az adatkezelőknek az adatkezelés megtervezésétől kezdve az adatkezelés megkezdésén át, egészen a kezelt személyes adatok törléséig valamennyi adatkezelési műveletet úgy kell megvalósítaniuk, hogy bármelyik pillanatban bizonyítani tudják, hogyan feleltek meg az adatvédelmi előírásoknak. Az elszámoltathatóság elve, tehát nem csak általában, folyamat szinten értelmezhető, az valamennyi konkrét adatkezelési tevékenység, egy konkrét érintett személyes adatai kezelésének vonatkozásában is érvényesül.

Az általános adatvédelmi rendelet 5. cikk (2) bekezdése alapján az elszámoltathatóság alapján az adatkezelő köteles úgy dokumentálni és nyilvántartani az adatkezelést, hogy annak jogszerűsége utólag bizonyítható legyen. Az elszámoltathatóság elvéből fakadó fontos követelmény, hogy a dokumentáció az adatkezelőre és annak adatkezelésére vonatkoztatva készüljön el, a jogszabályszövegek puszta szó szerinti átvételéből ugyanis nem derül ki, hogy az adott adatkezelés miért szükséges.

A Hatóság megvizsgálta a 6. cikk (1) bekezdés f) pontja szerinti jogos érdek fennállását az adatkezelői nyilatkozatok és a becsatolt érdekmérlegelés alapján, és azok alapján megállapította, hogy a dokumentumból hiányzik az érintettek jogainak és szabadságainak mérlegelése, az adatkezelés érintettekre gyakorolt hatásának elemzése, és annak kimutatása, valamint indokolása, hogy ezekkel szemben miért az Alapítvány érdekei élveznek elsőbbséget. Az érdekmérlegelés tehát csak az Alapítvány saját érdekeit azonosítja, az érdekek összevetését azonban egyáltalán nem végzi el. Ennek megfelelően az nem felel meg az általános adatvédelmi rendelet által elvárt követelményeknek, így az Alapítvány az általános adatvédelmi rendelet 5. cikk (2) bekezdése alapján nem tudta igazolni, hogy adatkezelése jogszerű, átlátható volna és megfelelő jogalappal rendelkezne.

A fentiek alapján a Hatóság megállapította, hogy az Alapítvány megsértette az általános adatvédelmi rendelet 5. cikk (2) bekezdését és ezekre tekintettel a 6. cikk (1) bekezdését, mivel megfelelő jogalap nélkül, jogellenesen és nem átláthatóan kezelt személyes adatokat. III.3.2. Nyilvános adatbázisból történő adatgyűjtés Az Alapítvány nyilatkozata szerint a korábbi alapítványi vezetés az interneten nyilvánosan elérhető telefonkönyvekből is gyűjtött személyes adatokat. A személyes adatok pontos forrására vonatkozóan az Alapítvány korábbi vezetőjétől azonban információk nem állnak rendelkezésre. Az Alapítvány a nyilatkozata szerint az ezen ismeretlen forrásból származó, személyes adatokat tartalmazó adatbázist törölte, a törlésről azonban jegyzőkönyvet nem készített, mivel abban nem tudta volna megjelölni, hogy pontosan milyen forrásból származó adatokat töröltek.

A Hatóság megállapította, hogy az Alapítvány – függetlenül attól, hogy az Alapítvány vezetőjének személyében időközben változás történt – megsértette az általános adatvédelmi rendelet 5. cikk (2) bekezdésében foglalt elszámoltathatóság elvét, mivel nem igazolta, hogy pontosan milyen adatokat, és mikor törölt, továbbá nem igazolta az ezen adatbázisban tárolt személyes adatok kezelésének jogszerűségét.

III.4 A korábban adományt fizetők további adományozásra felhívásával kapcsolatos adatkezelési gyakorlat Az Alapítvány nyilakozata szerint az érintettek postai levél útján értesültek az Alapítvány tevékenységéről, munkájáról, kampányairól, az adományozás menetéről. Az érintetteknek a III.3.1. pontban kifejtett postai megkeresésüket követően az adomány befizetésére lehetőségük volt mind a megküldött csekkszelvény postai befizetésével, mind pedig az összeg átutalásával. Az Alapítvány a csekkbefizetés esetén 3 hónap elteltével újabb postai tájékoztató levelet küldött az adományozóknak, amennyiben korábban nem kérték személyes adataik törlését. Átutalás útján teljesített befizetés esetén azonban csak abban az esetben tudta az Alapítvány az érintetteket ismételten megkeresni postai úton, ha az átutalás során a megjegyzés rovatban megadták az ehhez szükséges személyes adataikat. A vizsgált adatkezelési időszakban elérhető adatkezelési tájékoztatóban foglaltak szerint amennyiben az érintett adományozott, az Alapítvány nyilvántartotta, hogy mikor mekkora összeget adományozott. Az adatkezelés célja, hogy később az Alapítvány az adatok ismeretében azon érintetteket kereshesse meg, akiktől elvárható, hogy érdeklődnek az adott kampány iránt. Az Alapítvány a postai úton küldött adományozásra felhívó első megkereső levélben nyújtott tájékoztatást az adományozást követő további megkereséséről. A levélben szereplő tájékoztató szövege szerint amennyiben az érintett a csekk használatával pénzt fizet az Alapítvány részére, úgy az érintett ezzel automatikusan hozzájárulását adja ahhoz, hogy az Alapítvány személyes adatait kezelje abból a célból, hogy az adományozót tájékoztassa az Alapítvány munkájáról, a befizetett adomány felhasználásáról, valamint további adományozásra hívja fel.

Az Alapítvány weboldalán a vizsgált adatkezelési időszakban elérhető adatkezelési tájékoztatóban erre vonatkozóan az alábbi tájékoztatás szerepelt: Az érintett az adatait „[...] megadhatja úgy is, hogy az Adatkezelő részére adományoz azt követően, hogy egyértelmű tájékoztatást kap arról, hogy az adományozást követően adatait az Adatkezelő kezeli kapcsolattartási, adománygyűjtési célból. Az utóbbi esetben, érintett adományoz, az Adatkezelő kezeli az érintett adatait. Ebben az esetben a csekken történő befizetést követően a Magyar Posta az érintett nevét és címét tartalmazó csekkszelvényt továbbítja az Adatkezelő részére, amely azt kezeli további tájékoztatás, adománygyűjtés céljából. [...]“. Az Alapítvány tehát az érintettek hozzájárulását jelölte meg az adatkezelés, azaz az érintettek adományozást követően történő megkeresésének jogalapjaként. Az általános adatvédelmi rendelet 4. cikk 11. pontjában foglaltak szerint az érvényes hozzájárulás egyik legfontosabb feltétele, hogy azt megfelelő tájékoztatás előzze meg, továbbá az érintett a személyes adatai kezeléséhez történő beleegyezését nyilatkozat vagy a megerősítést félreérthetetlenül kifejező nyilatkozat útján adja. Az általános adatvédelmi rendelet (42) preambulumbekezdése is kimondja, hogy az adatkezelőnek előre megfogalmazott hozzájárulási nyilatkozatról kell gondoskodnia, melyet érthető és könnyen hozzáférhető formában kell rendelkezésre bocsátania, nyelvezetének pedig világosnak és egyértelműnek kell lennie, és nem tartalmazhat tisztességtelen feltételeket. Az (EU) 2016/679 rendelet szerinti hozzájárulásról szóló 5/2020. számú iránymutatása, valamint az annak előzményeként kiadott, az Adatvédelmi Irányelv 29. cikke alapján létrehozott Adatvédelmi Munkacsoport hozzájárulásról szóló WP259 számú iránymutatásában kifejtettek is megerősítik, hogy a nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet a szabályos hozzájárulás előfeltétele. A Hatóság álláspontja szerint az érintettek csekkbefizetés útján történő adományozása nem tekinthető egyúttal a további adományozásra felhívás céljából történő adatkezeléshez való érvényes hozzájárulásnak, azaz nem tekinthető az érintettek akarata konkrét, egyértelmű kinyilvánításának. Az érintettek csekkbefizetése, mint az adományozás teljesítésének egy módja arra vonatkozik, hogy az érintett pénzbefizetést, adományt juttasson az Alapítványnak. Ahhoz, hogy az Alapítvány az érintettek pénzbefizetés során megadott személyes adatait az adományfizetéshez kapcsolódó adatkezelésen túl azon céljából is használja, hogy az érintetteket az adományozást követően ismételten megkeresse további adományozásra felhívás, az Alapítvány tevékenységéről történő tájékoztatás, illetve a befizetett adomány felhasználásáról történő tájékoztatás célzattal, az érintettek kifejezett hozzájárulása szükséges. A Hatóság álláspontja szerint az érintettek személyes adatai kezelésének jogszerűsége akkor állapítható meg, ha az adatkezelő a személyes adatok valamennyi adatkezelési célból történő kezeléséhez érvényes jogalappal rendelkezik. Az érintettek személyes adatai fentiekben megjelölt célból történő kezelésének tisztességessége és jogszerűsége továbbá akkor állapítható meg, ha az érintett megfelelő tájékoztatást és döntési lehetőséget kapott arra vonatkozóan, hogy a megadott személyes adatait milyen adatkezelési célból fogják kezelni. Nem lehet elvitatni az érintettek azon választási lehetőségét, hogy az adományozás mellett szabadon döntsenek arról, hogy kívánnak-e a továbbiakban további tájékoztatást kapni az Alapítvány tevékenységéről. Az általános adatvédelmi rendelet 7. cikk (1) bekezdése alapján továbbá az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult. Ez a kötelezettség egyrészt magában foglal egyfajta nyilvántartási kötelezettséget az elszámoltathatóság elvéből fakadóan, másrészt az adatkezelőnek bizonyítania kell tudni, hogy a hozzájárulás egyes fogalmi elemei – úgy, mint megfelelő tájékoztatás, önkéntesség, a hozzájárulás egyértelműsége – megfelelően érvényesültek a beleegyezés során.

Figyelemmel arra, hogy a hozzájárulás ezen feltételei nem állnak fenn, az Alapítvány megsértette az általános adatvédelmi rendelet 7. cikk (1) bekezdését.

A Hatóság álláspontja szerint az Alapítvány az érintettek adományozást követően történő megkeresése céljából érvényes jogalap nélkül kezelte a részére korábban adományt fizetők személyes adatait, mivel a hozzájárulásnak hiányoztak az érvényességéhez szükséges tartalmi elemei, megsértve ezáltal az általános adatvédelmi rendelet 6. cikk (1) bekezdését.

és az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti jogszerűség elvét.

III.5. Az adatkezelési tájékoztatóban szereplő valótlan információk

A Hatóság megállapította, hogy az Alapítvány nyilatkozataiban előadottak, az adatkezelési tájékoztatóban foglaltak és a becsatolt adatkezelési nyilvántartásban szereplő információk eltérő módon mutatták be az adatkezelést mind a célok, mind a jogalapok tekintetében, ezáltal nem mutatták egy átgondolt adatkezelés képét, nem nyújtottak valós tájékoztatást az adatkezelésről.

A Hatóság a fentiek alapján megállapította, hogy az Alapítvány megsértette az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerinti tömör, átlátható, érthető és könnyen hozzáférhető formájú, világosan és közérthetően megfogalmazott tájékoztatás nyújtásának kötelezettségét, valamint az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átlátható adatkezelés elvét, mivel valótlan és ellentmondásos tájékoztatást nyújtott az érintetteknek, úgy, hogy az érintettek ez alapján észszerűen nem érthették meg az adatkezelés lényegét.

A Hatóság megállapította továbbá, hogy mivel az Alapítvány az érintettek adományozást követő megkeresése céljából történő adatkezeléséről az érintettek postai megkeresése során nem nyújtott megfelelő tájékozatást, ezáltal megsértette az általános adatvédelmi rendelet 13. cikkében foglaltakat. Ennek megfelelően az Alapítvány weboldalán is közzétett adatkezelési tájékoztatóban a valóságnak megfelelően lett volna szükséges bemutatni az adatkezeléseket. Az adatkezelés jogalapját az egyes kezelt adattípusokhoz és célokhoz rendelten egyértelműen, és közérthetően meg kell határozni. Az általános adatvédelmi rendelet 6. cikk (1) bekezdésében taxatívan felsorolt jogalapok egyikén kell alapuljon minden egyes típusú személyes adat minden egyes célból történő kezelése, amely egyértelműen ki kell tűnjön az adatkezelési tájékoztatóból. Az adatkezelési tájékoztató egyes alcímei alatt bemutatott adatkezelési műveletek pontosan beazonosíthatóak legyenek, ezáltal segítve az adatkezelő adatkezeléseinek átláthatóságát.

A Hatóság megállapította továbbá, hogy az Alapítvány által küldött megkereső levelekben nyújtott tájékoztatásban szereplő információk sem feleltek meg a valóságnak, az igényelt adatok tekintetében megjelölt jogalap, azaz „Az adatkezelés jogalapja a hivatkozott törvény rendelkezése“ az I.2.6. pontban ismertetett, illetve a III.2. pontban kifejtettek alapján valótlan és ellentmondásos tájékoztatást nyújtott az érintetteknek, illetve az adatok forrására vonatkozóan, valamint az adatkezelés céljáról megfelelő tájékoztatást nem nyújtott, megsértve ezáltal az általános adatvédelmi rendelet 14. cikkét.

III.6. Az Érintett hozzáférési jogának sérelme

Az Érintett 2019. november 8-án hozzáférési joga keretében tájékoztatást kért az Alapítványtól, amelyben többek között adatai forrásáról érdeklődött. Az Alapítvány 2019. november 12-én válaszul egy adattörlési jegyzőkönyvet küldött az érintettnek, az adatai kezelésére vonatkozóan, azaz a hozzáférési kérelmében foglaltakról tájékoztatást nem adott. Az Érintett ezt követően 2019. november 12-én ismételten tájékoztatást kért az Alapítványtól személyes adatai forrására vonatkozóan, választ azonban adatai forrására vonatkozóan továbbra sem kapott, hanem az Alapítvány az Érintettet kérdéseivel az ezen időszakban adatvédelmi feladatokat is ellátó [...] Kft.hez irányította. Az Érintett a megjelölt társaság elérhetőségére vonatkozóan információkat azonban az Alapítvány adatkezelési tájékoztatójában nem talált. Az általános adatvédelmi rendelet 15. cikke alapján az érintett jogosult a személyes adatai kezelésével kapcsolatban kérni az adatkezelőtől többek között annak megjelölését, hogy mely személyes adatokat, mely célból, milyen jogalappal és menyi ideig kezel, valamint az adatkezelés tárgyát képező személyes adatait milyen forrásból szerezte. A GDPR 12. cikk (3)-(4) bekezdései alapján ezen kérésre az adatkezelő köteles egy hónapon belül érdemben válaszolni. Ebben tájékoztatnia kell az érintettet a meghozott intézkedésekről, illetve amennyiben nem tesz intézkedéseket, úgy az intézkedés elmaradásának okairól, valamint arról kell tájékoztatást nyújtania, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. Az Alapítvány a Hatóság azon kérdésére, hogy mi az oka, hogy nem teljesítette az Érintett hozzáférési kérelmét, előadta, hogy az Alapítvány csak a Hatóság tényállás tisztázásra felhívó végzéséből értesült arról, hogy az Érintett nem kapott választ a [...] Kft.-től. Előadta továbbá, hogy a beérkezett e-mailek megválaszolásával és egyéb adminisztrációs munkával, továbbá informatikai üzemeltetéssel a [...] Kft.-t bízta meg. Mivel azonban az informatikai munka területén mulasztásokat tapasztalt az Alapítvány, a Kft.-vel kötött szerződést 2019. november 28-án felbontotta. Az Alapítvány korábbi vezetésétől információkat nem kaptak a személyes adatok, így az Érintett személyes adatainak forrására vonatkozóan. A Hatóság hangsúlyozza, hogy ha az érintett hozzáférési jogát gyakorolja, ennek következtében az adatkezelő – így jelen esetben az Alapítvány – oldalán tájékoztatási kötelezettség jelenik meg, és az érintett hozzáférési kérelmét az adatkezelő megfelelően köteles megválaszolni. Az általános adatvédelmi rendelet szerint az adatkezelésről történő tájékoztatás alapvető érintetti jog, amelyet az adatkezelő az általános adatvédelmi rendeletben részletezettek szerint teljesíteni köteles. Amennyiben az érintett olyan információkról kér tájékoztatást, amelyek az adatkezelőnek nem, vagy már nem állnak rendelkezésére, akkor is köteles az általános adatvédelmi rendelet 12. cikk (1) bekezdése alapján átlátható tájékozatást nyújtani az érintettnek. Az általános adatvédelmi rendelet 12. cikke előírja, hogy az adatkezelő a hozzá benyújtott érintetti kérelemre köteles válaszolni, amennyiben nem tesz intézkedéseket, akkor tájékoztatnia kell az érintettet többek között az intézkedés elmaradásának, jelen esetben a hozzáférési kérelem elutasításáról és ennek okairól. Ennek a jogszabályi kötelezettségnek az Alapítvány nem tett eleget.

A fentiek alapján a Hatóság megállapította, hogy az Alapítvány megsértette az általános adatvédelmi rendelet 12. cikk (1) bekezdését, továbbá a 15. cikk (1) bekezdésében foglalt rendelkezéseket, mivel – az erre irányuló kérés kétszer is történő jelzése ellenére – nem tájékoztatta az Érintettet a 2019. november 8-én benyújtott érintetti kérelmében foglaltakról, hanem az Érintettet a kérelme teljesítése helyett félretájékoztatta, illetve helytelenül tájékoztatta.

III.7. Az Érintett személyes adatai Alapítvány általi kezelésének jogszerűsége

Az Érintett nyilatkozata szerint 2019. november elején postai úton adományozásra felhívó direkt marketing levelet kapott az Alapítványtól, annak ellenére, hogy az Alapítvány részére korábban befizetést nem teljesített, azaz nem adományozott. Az Alapítvány a nyilatkozata szerint adatbázisában csak a BM-től vásárolt 20.000 személy adatát tárolja, valamint olyan személyek adatát, akik korábban adományoztak. Nyilatkozata szerint a vizsgált időszakban az utolsó kampányuk, amelyben leendő adományozókat kerestek meg postai úton, 2019. október 30-án indult, ezt követően csak a már korábban adományozóknak küldtek postai úton hírlevelet. A Hatóság a hatósági eljárás során a BM-től arra vonatkozóan is tájékoztatást kért, hogy az Érintettet érintően a személyiadat- és lakcímnyilvántartásból milyen adatszolgáltatást teljesítettek. Erre vonatkozóan a BM azt a tájékoztatást nyújtotta – csatolva az adatszolgáltatások naplókivonatának másolatát –, hogy az Érintettről 2016. október 18-ig visszamenőleg közvetlen üzletszerzés céljából nem teljesített adatszolgáltatást az Alapítvány részére. Mindezek alapján a Hatóság megállapította, hogy az Érintett személyes adatainak forrása nem a BM által vezetett személyiadat- és lakcímnyilvántartás, továbbá az Érintett személyes adatait az Alapítvány által csatolt adatbázis-másolat sem tartalmazta. Ennek oka lehet, hogy az Alapítvány, illetve az Érintett által csatolt dokumentumokban foglaltak szerint az adatkezelő az Érintett személyes adatait 2019. november 12. napján törölte nyilvántartásából. Az Alapítvány nyilatkozata szerint a korábbi alapítványi vezetés személyes adatokat az interneten nyilvánosan elérhető telefonkönyvekből – feltehetően a nyilvános telefonkönyvhöz korábban igényelhető DVD-ről – is gyűjtött, ezzel kapcsolatosan pontos információkat azonban az alapítvány átvételekor és azt követően nem kaptak. Emiatt az ezen személyes adatokat tartalmazó adatbázis törlésre került, adattörlési jegyzőkönyv azonban – az Alapítvány nyilatkozata szerint – nem készült azon okból, mert nem tudták megjelölni, hogy honnan származó adatokat törölnek. Fentiek alapján a Hatóság megállapította, hogy az Érintett személyes adatai nem a fentiekben felsorolt forrásokból (BM adatszolgáltatás, korábban adományozottakról összeállított saját nyilvántartás), hanem azon kívüli egyéb forrásból származott, amelyről az Alapítvány számot adni nem tudott. Továbbá az, hogy az Érintettnek postai úton küldött, adományozásra felhívó levél az Érintett több évvel ezelőtt használt, leánykori nevére volt címezve, súlyos anomáliára utal.

Mindezek alapján a Hatóság megállapította, hogy az Alapítvány az Érintett személyes adatai kezelésének jogszerűségét saját felróható magatartásából adódóan igazolni nem tudta, ezáltal megsértette az általános adatvédelmi rendelet 5. cikk (2) bekezdésében foglalt elszámoltathatóság elvét.

Továbbá azáltal, hogy az Alapítvány nem segítette elő az Érintett hozzáférési jogának gyakorlását, az érintetti joggyakorlás biztosításáról nem gondoskodott, megsértette az általános adatvédelmi rendelet 12. cikk (2) bekezdésében foglaltakat.

III.9. Jogkövetkezmények

III.9.1. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapította, hogy az Alapítvány – mivel megfelelő jogalap nélkül, jogellenesen és nem átláthatóan kezelte ez érintettek leendő adományozás céljából történő megkereséséhez tárolt személyes adatait – megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontját, 5. cikk (2) bekezdését és ezekre tekintettel a 6. cikk (1) bekezdését és a 14. cikkét.

Mivel az Alapítvány az egyéb nyilvános forrásból származó adatokat tartalmazó adatbázisa törlésével összefüggésben nem igazolta, hogy pontosan milyen adatokat és mikor törölt, továbbá az adatbázisban tárolt személyes adatok kezelésének jogszerűségét sem igazolta, a Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapította, hogy az Alapítvány megsértette az általános adatvédelmi rendelet 5. cikk (2) bekezdésében foglalt elszámoltathatóság elvét. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapította, hogy az Alapítvány azáltal, hogy érvényes jogalap nélkül kezelte a részére korábban adományt fizetők személyes adatait, megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését, megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti jogszerűség elvét. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapította, hogy az Alapítvány megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átlátható adatkezelés elvét, és a 12. cikk (1) bekezdése szerinti tömör, átlátható, érthető és könnyen hozzáférhető formájú, világosan és közérthetően megfogalmazott tájékoztatás nyújtásának követelményét, mivel valótlan és ellentmondásos tájékoztatást nyújtott az érintetteknek. Az Alapítvány továbbá azáltal, hogy az adatkezelési tájékozatójában a direkt marketing célú adatkezelésről tájékoztatást nem nyújtott, megsértette az általános adatvédelmi rendelet 13. cikkét, illetve azáltal, hogy az általa küldött megkereső levelekben nyújtott tájékoztatásban szereplő információk sem feleltek meg a valóságnak, megsértette az általános adatvédelmi rendelet 14. cikkét is. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapította, hogy az Alapítvány azáltal, hogy az Érintettet az érintetti kérelmében foglaltakról nem tájékoztatta, továbbá azáltal, hogy az Érintett személyes adatai kezelésének jogszerűségét saját felróható magatartásából adódóan nem igazolta és nem segítette elő az Érintett hozzáférési jogának gyakorlását, megsértette az általános adatvédelm irendelet 12. cikk (1) és (2) bekezdését, a 15. cikk (1) bekezdésében foglalt rendelkezéseket, továbbá az 5. cikk (2) bekezdésében foglalt elszámoltathatóság elvét. A fenti jogsértések miatt jogkövetkezmény megállapítása vált szükségessé, amelyet a Hatóság jogszabályon alapuló mérlegelési jogkörben eljárva határozott meg. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) és g) pontja alapján utasítja az Alapítványt, hogy törölje az érintettek leendő adományozás cáljából történő megkereséséhez tárolt személyes adatait, mivel azokat megfelelő jogalap nélkül, jogellenesen és nem átláthatóan kezelte. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) és g) pontja alapján továbbá utasítja az Alapítványt, hogy törölje a részére korábban adományt fizető érintettek személyes adatait, mivel azokat érvényes jogalap nélkül kezelte. III.9.2. A Hatóság megvizsgálta, hogy indokolt-e az Alapítvánnyal szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértés esetében – az Infotv. 75/A. §-a szerinti – a figyelmeztetés nem arányos és visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság a bírságkiszabás során súlyosbító körülményként vette figyelembe az alábbiakat:

az Alapítvány által elkövetett jogsértések jellegüket tekintve súlyosabb jogsértésnek minősülnek az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) és b) pontja alapján [GDPR 83. cikk (2) bekezdés a) pont]; - Az Alapítvány több jogsértést is elkövetett, a teljes adatkezelésének folyamata problémás [GDPR 83. cikk (2) bekezdés a) pont]; - A jogalap nélküli adatkezelés által okozott jogsérelmet az Alapítvány súlyosan gondatlan magatartása, adatkezelési gyakorlata idézte elő [GDPR 83. cikk (2) bekezdés b) pont]; az Alapítvány elmarasztalására a GDPR 15. cikk megsértése miatt már sor került, mivel az Alapítvány a NAIH/2019/4127. számú határozatában nem tett eleget a hozzá intézett érintetti jog – hozzáférési jog – gyakorlására irányuló kérelemnek, amely határozatban nem került sor bírságkiszabásra [GDPR 83. cikk (2) bekezdés e) és i) pont]; a Hatóság az Alapítvány eljárás során tanúsított együttműködésének hiánya miatt eljárási bírságot szabott ki az Alapítvánnyal szemben [GDPR 83. cikk (2) bekezdés f) pont]. A Hatóság a bírságkiszabás során enyhítő körülményként vette figyelembe, hogy az Alapítvány civil szervezet, amelynek alapító okiratban foglalt célja a leukémiában szenvedő, daganatos és egyéb súlyos beteg gyermekek családjainak és kórházak gyermekosztályainak támogatása pénzzel, tárgyi eszközökkel; a daganatos beteg gyermekek gyógyítására alkalmas gyógyszerek, műszerek kutatásának és fejlesztésének segítése [GDPR 83. cikk (2) bekezdés k) pont]. A Hatóság a bírságkiszabás során nem tartotta relevánsnak a GDPR 83. cikk (2) bekezdés c), d), g), h) és j) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem értelmezhetők. A bírság kiszabás a fentiek alapján szükséges az Alapítvány tekintetében speciálisan, továbbá a Hatóság a kiszabott bírságösszeg meghatározásakor a speciális perevenciós cél mellett figyelemmel volt a bírsággal elérni kívánt generálpreventív célra is, mellyel – az Alapítvány újabb jogsértéstől való visszatartása mellett – a személyes adatok védelméhez való jog érvényesülését kívánja elérni. Az Alapítvány 2020. évi beszámolója szerint az éves bevétele 249 millió Ft volt, amelyből a támogatások összege 211 millió forint volt. Az Alapítvány 2019. évi bevétele 125 millió Ft volt, amelyből a támogatások összege 125 millió Ft. A Hatóság az elkövetett jogsértések jellege és súlya miatt magasabb összegű bírságot tartana indokoltnak, azonban tekintettel arra, hogy a bírságkiszabás az adományozott személyek kárára válna, a Hatóság a magasabb összegű bírság kiszabása helyett az Alapítvány nevének nyilvánosságra hozatalát tartja indokoltnak. A bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg. A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

IV. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §-a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A veszélyhelyzet során érvényesülő egyes eljárásjogi intézkedések újbóli bevezetéséről szóló 112/2021. (III. 6.) Korm. rendelet 36. § (1)-(3) bekezdése szerint a szigorított védekezés ideje alatt a bíróság tárgyaláson kívül jár el, ideértve a perorvoslati eljárásokat is. Ha tárgyalás tartásának lenne helye, vagy azt bármelyik fél kérte, vagy a tárgyalást már kitűzték, az eljáró bíróság soron kívül értesíti a feleket a tárgyaláson kívüli elbírálás tényéről, és lehetőséget biztosít arra, hogy a felek nyilatkozataikat írásban előterjeszthessék. Ha a perben a szigorított védekezés idején kívül tárgyalást kellene tartani, a felperes akkor kérheti, hogy a bíróság tárgyaláson kívüli elbírálás helyett a tárgyalást a szigorított védekezés megszűnését követő időpontra halassza el, ha a) a bíróság a közigazgatási cselekmény halasztó hatályát legalább részben nem rendelte el, b) a keresetindításnak halasztó hatálya van, és a bíróság halasztó hatály feloldását nem rendelte el, c) ideiglenes intézkedést nem rendeltek el. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2021. december 22. Dr. Péterfalvi Attila elnök c. egyetemi tanár