Hungarian Data Protection Authority (NAIH): legality of the processing of personal data in connection with the signature collection by “Közös Nevező 2018” and Dr. György Gődény

………………………………………………………………………………………………………… 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-175-12/2022. Tárgy: határozat Előzmény: NAIH-4769/2021.

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) az Együttműködő közösségek az élhető világért egyesület (a szervezet korábbi elnevezése: Közös Nevező 2018 párt; jelenlegi székhely: 4463 Tiszanagyfalu, Széchenyi utca 47.; képviseli: Ladó Zsolt ügyvezető; korábbi székhely: 1077 Budapest, Izabella u. 30.; a szervezet korábbi képviselője: dr.

Gődény György; a továbbiakban: Ügyfél1) és dr. Gődény György (lakcím: […]; a továbbiakban:

Ügyfél2) szervezésében zajló „Egyetértek azzal, hogy védőoltásra senkit ne lehessen kötelezni, és annak hiánya miatt senkit ne lehessen büntetni vagy korlátozni.” országos aláírásgyűjtés (a továbbiakban: aláírásgyűjtés) során megvalósuló adatkezelés jogszerűségének vizsgálatára hivatalból indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza: 1.

A Hatóság megállapítja, hogy az Ügyfél1 és az Ügyfél2 a https://alairasgyujtes.online oldalon keresztül zajló „Egyetértek azzal, hogy védőoltásra senkit ne lehessen kötelezni, és annak hiánya miatt senkit ne lehessen büntetni vagy korlátozni.” aláírásgyűjtéssel összefüggésben jogalap nélkül gyűjtik az érintettek személyes adatait, megsértve ezáltal a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet vagy GDPR) 6. cikk (1) bekezdését és a 9. cikk (1) bekezdését. 2.

A Hatóság megállapítja, hogy az Ügyfél1 és az Ügyfél2 azáltal, hogy az adatkezelés célját nem határozták meg egyértelműen, megsértették az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerinti célhoz kötöttség elvét.

3.

A Hatóság megállapítja, hogy az Ügyfél1 és az Ügyfél2 azáltal, hogy nem nyújtanak az érintetteknek egyértelmű, megfelelő és valós tájékoztatást a papír alapon és a https://alairasgyujtes.online oldalon történő aláírásgyűjtéssel összefüggésben megvalósuló adatkezelés valamennyi lényeges körülményéről, megsértik az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átláthatóság elvét és a 13. cikk (1) –(2) bekezdéseit.

4.

A Hatóság megállapítja, hogy az Ügyfél1 és az Ügyfél2 azáltal, hogy az adatkezelői minőségük tisztázatlan volt, az érintetteket megtévesztő módon tájékoztatták az adatkezelő kilétéről és az adatkezelés céljáról, megsértették az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti tisztességes eljárás elvét. 5.

A Hatóság megállapítja, hogy az Ügyfél1 és az Ügyfél2 azáltal, hogy a Hatóság irányába nem igazolták az adatkezelés jogszerűségét és átláthatóságát, megsértették az általános adatvédelmi rendelet 5. cikk (2) bekezdésében foglalt elszámoltathatóság követelményét. 6.

Az általános adatvédelmi rendelet 58. cikk (2) bekezdés g) pontja alapján utasítja az Ügyfél1-et és az Ügyfél2-t, hogy jelen határozat véglegessé válásától számított 30 napon belül dokumentált módon töröljék az aláírásgyűjtés https://alairasgyujtes.online oldalán keresztül az érintettektől mind a kezdeményezés céljából, mind a kapcsolattartási célból online-módon gyűjtött valamennyi személyes adatot.

7.

Az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) és g) pontja alapján utasítja az Ügyfél1-et és az Ügyfél2-t, hogy jelen határozat véglegessé válásától számított 30 napon belül i) az adatkezelésre vonatkozó teljeskörű tájékoztatás megadásával egyidejűleg az aláírásgyűjtéssel összefüggésben korábban papír alapú íveken személyes adataikat megadó érintettektől kérjenek megerősítő hozzájáruló nyilatkozatot és/vagy ii) érintetti hozzájárulás hiányában dokumentált módon töröljék az „Egyetértek azzal, hogy védőoltásra senkit ne lehessen kötelezni, és annak hiánya miatt senkit ne lehessen büntetni vagy korlátozni.” országos aláírásgyűjtéssel összefüggésben a papír alapú aláírásgyűjtő íveken az érintettektől mind a kezdeményezés céljából, mind a kapcsolattartási célból gyűjtött valamennyi személyes adatot. 8.

Az általános adatvédelmi rendelet 58. cikk (2) bekezdés f) pontja alapján megtiltja az aláírásgyűjtéssel összefüggésben az adatkezelés folytatását oly módon, hogy Ügyfél1 és Ügyfél2 haladéktalanul fejezze be az aláírásgyűjtéssel összefüggésben mind a papír alapon, mind az online felületen történő személyes adatok gyűjtését.

9. A Hatóság a) az Ügyfél1-et

3.000.000 Ft, azaz hárommillió forint adatvédelmi bírság b) az Ügyfél2-t

3.000.000 Ft, azaz hárommillió forint adatvédelmi bírság megfizetésére kötelezi.

Az adatvédelmi bírságokat a jelen határozat véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425- 00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-175/2022. BÍRS. számra kell hivatkozni. Ha az Ügyfél1, valamint az Ügyfél2 a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A 6., 7. és 8. pontban előírt kötelezettségek teljesítését az Ügyfél1-nek és az Ügyfél2-nek a jelen határozat véglegessé válásától számított 30 (harminc) napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolniuk a Hatóság felé. A kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását. A Hatóság felhívja az Ügyfél1 és az Ügyfél2 figyelmét, hogy a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adat nem törölhető, illetve nem semmisíthető meg. Az eljárásban eljárási költség nem merült fel. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de azok a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadhatók. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke

30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. A Hatóság jelen határozatot a Hatóság honlapján az ügyfelek azonosító adatának (név) megjelölésével közzéteszi.

I N D O K O L Á S

I. Az eljárás menete és a tényállás tisztázása

I.1. Az eljárás tárgya Az Ügyfél2 2020. október 13. napján a „Doktor Gődény” elnevezésű Facebook oldalán tett bejegyzésében adott tájékoztatást az aláírásgyűjtés https://alairasgyujtes.online weboldalának (a továbbiakban: weboldal) elérhetőségéről továbbá arról, hogy „A mai napon egy fontos kezdeményezést indítunk el […]”. Az aláírásgyűjtés tehát 2020. október 13-án indult és az eljárás alatt is tartott. A vizsgált országos aláírásgyűjtés támogatására a https://alairasgyujtes.online weboldalon keresztül van lehetőség online úton, továbbá a weboldalon elérhető információk szerint az aláírásgyűjtés papír alapon is zajlik, vagyis a kezdeményezés támogatására lehetőség van mind online, mind pedig papír alapon, az aláírásgyűjtő ív letöltésével és annak a megjelölt postafiók címre történő megküldésével is. I.1.1. Az aláírásgyűjtés online támogatásához a név, irányítószám, település, közterület neve, házszám, emelet/ajtó, e-mail cím kitöltése kötelező, a telefonszám megadása opcionális. A kezdeményezés online támogatásakor annak elküldéséhez be kell jelölni az „Elolvastam és tudomásul vettem az Adatvédelmi Tájékoztatót” szöveg előtti checkboxot. Az adatkezelésről szóló tájékoztató egyedül itt, a szövegbe ágyazott hiperlinken keresztül érhető el. Az adatkezelési tájékoztató szerint az adatkezelő az Ügyfél1. Megjelölt adatkezelési cél egyrészt általános megfogalmazásban – az országos aláírásgyűjtés támogatása, másrészt a szervezetnek a szimpatizánssal való kapcsolattartás, tájékoztatás a szervezet tevékenységéről és rendezvényekről, illetve felhívások küldése a szervezet kampányaihoz való csatlakozásra. Az adatkezelés jogalapja a tájékoztatóban foglaltak szerint az, hogy az érintettel való „kapcsolattartás rendszeressége esetén” az a megfelelő garanciák mellett végzett jogszerű tevékenysége keretében történik [GDPR 9. cikk (2) bekezdés d) pont], míg az érintettel való „nem rendszeres kapcsolattartás esetén” az érintett által az adatok rögzítését megelőzően tett kifejezett hozzájáruló nyilatkozat [GDPR 9. cikk (2) bekezdés a) pont] alapján történik, illetve ennek visszavonása esetén a név, lakóhely/tartózkodási hely címe, telefonszám és a hozzájáruló nyilatkozat (a tiltó lista adatai) esetében az, hogy az az Ügyfél1 jogi igényei védelme érdekében szükséges [GDPR 9. cikk (2) bekezdés f) pont]. A weboldalon folyamatosan elérhető információként megjelenik a támogató aláírások száma, amely megközelítőleg az 58.000-et éri el. I.1.2. Az aláírásgyűjtés papír alapon történő támogatásakor név, lakcím (irányítószám, település, közterület, házszám/em./ajtó), e-mail elérhetőség, telefonszám és aláírás adatok megadására van lehetőség, külön megjelölés azonban nincs arra vonatkozóan, hogy az adott adat megadása kötelező vagy opcionális. Az aláírásgyűjtő íven – adatkezelőként történő utalás nélkül – az Ügyfél1 rövidített nevét tartalmazó embléma van feltüntetve. Az íven továbbá az aláírásgyűjtés weboldalának elérhetősége, az aláírásgyűjtés közösségi oldalon (Facebook) való külön csoport- és oldalmegjelenései, valamint egy e-mail cím van megjelölve. Az íven egy postafiókcím (4405 Nyíregyháza, Pf.: 37.) van megadva, amelyre a kitöltött aláírásgyűjtő íveket küldeni kell, továbbá az adatkezelésre vonatkozóan egy rövid tájékoztató, illetve nyilatkozat is szerepel. I.1.3. Az általános adatvédelmi rendelet 9. cikke határozza meg a személyes adatok különleges kategóriáit. A rendelet a különleges kategóriájú – így a politikai véleményre utaló – személyes adatok kezelését főszabályként tiltja, illetve szigorú feltételektől teszi függővé. Valamely politikai szervezet kezdeményezésének támogatása céljából megadott személyes adatok azonban nem minősülnek egyúttal különleges kategóriájú személyes adatnak. Amennyiben azonban az érintett a petíciós cél mellett kifejezetten olyan célból történő adatkezeléshez is hozzájárulását adja, hogy őt, mint szimpatizánst a későbbiekben a politikai szervezet tájékoztathassa a tevékenységéről, politikai tevékenységéhez kapcsolódóan kapcsolatba lépjen vele, az érintettek által megadott személyes adatok közül az ezen további kapcsolattartáshoz szükséges személyes adatok, mint pártszimpátiára utaló adatok különleges kategóriájú – politikai véleményre utaló – személyes adatnak is minősülnek. I.2. Előzmény vizsgálati eljárás A Hatóság az általános adatvédelmi rendelet 57. cikk (1) bekezdés h) pontja, illetve az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 38. § (3) bekezdésének a) pontja alapján NAIH-7613/2020. ügyszámon hivatalból vizsgálatot indított az Ügyfél1 által indított „Egyetértek azzal, hogy védőoltásra senkit ne lehessen kötelezni, és annak hiánya miatt senkit ne lehessen büntetni vagy korlátozni.” aláírásgyűjtés során megvalósuló adatkezelés jogszerűségének vizsgálatára. Az Ügyfél1 korábbi neve: Közös Nevező 2018, a szervezet típusa egyesület, formája párt. Az Ügyfél1 önmagát a nyilvánosság felé legtöbbször pártként kommunikálta. A Hatóság az Ügyfél1 székhelyére küldött megkeresésben tájékoztatta az Ügyfél1-et a vizsgálati eljárás megindulásáról, amelyben a tényállás tisztázása érdekében az adatkezelés vonatkozásában kérdéseket tett fel, a Hatóság megkeresése azonban 2020. november 10. napján „nem kereste” jelzéssel érkezett vissza. Ezt követően a Hatóság a megkeresését 2020. november 12-én újból megküldte az Ügyfél1 székhelyére, az Ügyfél1 törvényes képviselőjének, dr. Gődény Györgynek a lakcímére és az aláírásgyűjtés ívén feltüntetett postafiók címre is postázva. A lakóhelyre küldött megkeresés 2020. november 16-án, az aláírásgyűjtő íven feltüntetett postafiók címre küldött megkeresés 2020. november 30-án átvételre került. Az Ügyfél1 székhelyének címére küldött megkeresés 2020. december 2-án azonban ismételten „nem kereste” jelzéssel érkezett vissza. Az Ügyfél1 a Hatóság megkeresésére 2020. december 14-én kelt válaszlevelében adott tájékoztatást. Figyelemmel arra, hogy az Ügyfél1 válaszai nem tartalmazták maradéktalanul a vizsgálathoz szükséges információkat, továbbá a vizsgálat során felmerült kérdések miatt a Hatóságnak további információkra volt szüksége, ezért ismét megkereséssel fordult az Ügyfél1hez. A Hatóság mindhárom címre – az Ügyfél1 székhelyére, az Ügyfél1 törvényes képviselőjének, dr. Gődény Györgynek a lakcímére és az aláírásgyűjtés ívén feltüntetett postafiók címre – postázott megkeresése 2021. február 1-jén „nem kereste” jelzéssel érkezett vissza. Tekintettel arra, hogy a vizsgálati eljárásban a tényállás nem volt feltárható, ezért a Hatóság az

Infotv. 55. § (1) bekezdés a) pont ab) alpontja alapján a vizsgálatot lezárta és 2021. május 10-én hivatalból adatvédelmi hatósági eljárást indított. I.3. A hatósági eljárás A Hatóság a vizsgált adatkezelés tekintetében az adatvédelmi hatósági eljárás során dr. Gődény György magánszemélyt is ügyfélnek tekintette és a hatósági eljárást vele szemben is folytatta figyelemmel arra, hogy a vizsgálati eljárás során feltárt információk alapján felmerült, hogy az Ügyfél1 ténylegesen tevékenységet nem folytat, nem működik, és nem az Ügyfél1, vagy nem csak az Ügyfél1 az adatkezelő az aláírásgyűjtéssel összefüggésben megvalósuló adatkezelés tekintetében. A Hatóság a NAIH-4769-1/2021. számú végzésében értesítette az Ügyfél2-t, mint magánszemélyt az adatvédelmi hatósági eljárás megindulásáról és a tényállás tisztázása érdekében nyilatkozattételre hívta fel, továbbá a NAIH-4769-2/2021. számú végzésében az Ügyfél1-et a hivatalos székhelyén értesítette az adatvédelmi hatósági eljárás megindulásáról és ugyancsak nyilatkozattételre hívta fel. Tekintettel arra, hogy a Hatóság NAIH-4769-1/2021., illetve a NAIH-4769-2/2021. számú végzéseiben foglalt kérdésekkel kapcsolatban hiányosan válaszolt, ezáltal az Ákr.-ben és az általános adatvédelmi rendeletben előírt együttműködési kötelezettségét – neki felróhatóan megszegte, a Hatóság az Ügyfél1-et a NAIH-4769-6/2021. számú végzésében 100.000,- Ft, azaz egyszázezer forint eljárási bírság megfizetésére kötelezte az Ákr. 77. § (3) bekezdése alapján, továbbá ismételten felszólította Ügyfél1-et a tényállás tisztázásához szükséges tájékoztatás megadására. A Hatóság a NAIH-4769-6/2021. számú végzését az Ügyfél1 elektronikus postafiókjára (cégkapu) történő megküldéssel próbálta kézbesíteni – figyelemmel Ügyfél1 székhelyen való elérhetetlenségére –, az irat kézbesítése a visszaigazolás szerint azonban meghiúsult, a címzett azt nem vette át. A Hatóság ezt követően az eljárási bírságot kiszabó és tényállástisztázó végzését újból megkísérelte postai úton kézbesíteni az Ügyfél1 1077 Budapest, Izabella utca 30. szám alatti székhelyére, valamint az Ügyfél1 bejegyzett képviselője, azaz az Ügyfél2 lakcímére. A Hatóság figyelemmel arra, hogy az Ügyfél1 a NAIH-4769-6/2021. számú végzésében kiszabott eljárási bírság megfizetését nem teljesítette, elrendelte az eljárási bírság végrehajtását. A Hatóság a NAIH-4769-4/2021. számú végzésében megkereste a […]Kft.-t is, tájékoztatást kérve a http://kozosnevezo.hu/ weboldalt üzemeltető személy kilétéről, illetve a megjelölt weboldal adatkezelőjének elérhetőségi adatairól. A Hatóság a NAIH-4769-5/2021. sz. végzésében az Ügyfél2-t is ismételten nyilatkozattételre hívta fel a tényállás teljeskörű tisztázása érdekében, amely végzésben foglalt kérdésekkel kapcsolatban az Ügyfél2 a 2021. július 15-én kelt levelében nyilatkozott. Az Ügyfél1 bírósági nyilvántartásban bejegyzett adatai 2021. szeptember 28-án történt bejegyzéssel változtak, amely változás a szervezet megnevezését, székhelyét és képviselőjének személyét érintette. A Hatóság a NAIH-4769-11/2021. számú végzésében a tényállás tisztázása érdekében ismételten kérdésekkel fordult az Ügyfél1-hez, végzését a civil szervezetek bírósági nyilvántartásába a 2021. szeptember 28. napján bejegyzett új székhelyére postázással kísérelte meg kézbesíteni. A Hatóság végzése „nem kereste” jelzéssel érkezett vissza az Ügyfél1 bejegyzett új székhelyéről. A Hatóság a NAIH-4769-12/2021. számú végzésében dokumentumok megkérése érdekében megkereséssel fordult az Ügyfél1 nyilvántartását végző törvényszékhez. A Hatóság megkeresésére a törvényszéktől 2021. november 21-én érkezett válaszlevél. A Hatóság a NAIH-4769-15/2021., NAIH-4769-16/2021., NAIH-4769-17/2021. és NAIH-4769- 18/2021. számú végzéseiben 2022. január 6. napjára személyes meghallgatásra idézte Ügyfél2-t, […] az Ügyfél1 jelenlegi újonnan bejegyzett képviselőjét, valamint […] és […], mint az Ügyfél1 tagjait. A Hatóság NAIH-4769-19/2021. számú végzésében információk és dokumentumok kérése érdekében megkereste a Készenléti Rendőrség Nemzeti Nyomozó Irodát. A Hatóság által személyes meghallgatásra idézett személyek közül 2022. január 6. napján csak […] jelent meg a Hatóság előtt. A Hatóság a személyes meghallgatáson meg nem jelent másik három személyt a NAIH-175-5/2022., NAIH-175-6/2022. és NAIH-175/2022. számú végzéseiben eljárási bírság megfizetésére kötelezte. A Hatóság 2022. január 6-án teszt adatok megadásával vizsgálta az aláírásgyűjtés https://alairasgyujtes.online oldalát. I.4. Feltárt tényállás I.4.1. A […] Kft. nyilatkozata szerint a kozosnevezo.hu domain név regisztrációját dr. Gődény György igénylésére hajtották végre 2018. január 10-én. I.4.2. Ügyfél1 nevében a párt törvényes képviselője, dr. Gődény György a vizsgálati eljárás keretében a Hatóság által feltett kérdésekkel kapcsolatban az alábbiakat nyilatkozta: Az aláírásgyűjtés során az érintettek név, lakcím, e-mail cím, telefonszám és aláírás személyes adatait gyűjtik, melyeket az érintettek mind az online, mind a papír alapon történő aláírásgyűjtés során önként adnak meg. Az aláírásgyűjtés a törvényekben foglaltaknak megfelelően történik a „pártok adatbázis építésének lehetősége alapján, a https://alairasgyujtes.online oldalon elérhető adatvédelmi tájékoztatóban leírtak szerint. A megjelölt https://alairasgyujtes.online weboldalon az adatkezelés teljesen elektronikus úton történik, míg a postafiókra beérkező íveket – nyilatkozata szerint – dr. Gődény György veszi át, amelyek utána kerülnek az „üzemeltető adatkezelőjéhez” feldolgozásra. Az aláírók postán küldhetik el a kitöltött íveket a 4405 Nyíregyháza, Pf.: 37. címre, ezután kerül a gyűjtőív az adatkezelőhöz. Az aláírásgyűjtő íven konkrét adatkezelő megnevezése nem szerepel, csak az Ügyfél1 rövidített nevét tartalmazó embléma van az íven feltüntetve. A papír alapon történő gyűjtés során a gyűjtőíven történik az érintettek adatkezelésről való tájékoztatása, illetve az aláírásgyűjtés internetes elérhetőségi címéről az alábbiak szerint: „A gyűjtőíven szereplő információk megadásával és az aláírásgyűjtő ív aláírásával hozzájárulok, hogy a közölt adataimat az Információs önrendelkezési jogról és információszabadságról szóló 2011. évi CXII. törvény 5. § (1) bekezdés a) pontja alapján, további kapcsolattartás, véleménykérés és tájékoztatás céljából, az adatkezeléshez tett hozzájáruló nyilatkozat visszavonásáig kezeljék. Tudomásul veszem azt a tájékoztatást, hogy a személyes adataim kezelésével összefüggésben tájékoztatást kérhetek az adatkezelőtől. A személyes adatok helyesbítését, törlését vagy zárolását az adatkezelőhöz eljuttatott nyilatkozatommal bármikor kezdeményezhetem. Az adatkezelő kijelenti, hogy a közölt személyes adatok harmadik személynek nem kerülnek átadásra, és azok nyilvánosságra nem kerülnek!”

Az aláírók megadott adatait „egyelőre” sehol nem használják, és azok nem elérhetőek senki számára és nem publikusak. Az adatkezelési tájékoztatóban az adatkezelés jogalapjai megjelölésnél „az Önnel való kapcsolattartás rendszeressége esetén […]” és „az Önnel való nem rendszeres kapcsolattartás esetén […]” kifejezésekkel kapcsolatban előadta, hogy rendszeres kapcsolattartáson a gyakoribb telefonos vagy e-mailes érintkezést érti, míg a nem rendszeresen azt, ha ritkán vagy egyáltalán nem történik kapcsolattartás, illetve, ha erre külön kérés, utalás vagy kikötés is van. Az adatok tárolásával és az adatbázissal kapcsolatosan a Hatóság által kért formátummal, illetve struktúrával nem rendelkeznek, mivel „a működtető intézi és kezeli ezeket az online technikákat.” Az adattárolás ideje az adatvédelmi tájékoztatóban leírtak szerint történik, általában a hozzájárulás visszavonásáig, míg a tiltó lista adatait a hozzájárulás visszavonásától számított 5 évig kell az esetleges jogi problémák felmerülése miatt megtartani. Az adatkezelési tevékenység nyilvántartásait az adatkezelő vezeti, erről ”nekünk” nincs nyilvántartásunk. Az aláírásgyűjtés során történő adatfeldolgozók igénybevételével kapcsolatosan előadta, hogy „azt az adatkezelő intézi, amiről nekünk nincs információnk.” Az aláírásgyűjtés időtartamával kapcsolatosan előadta, hogy az egyelőre nincs határidőhöz kötve. „Az aláírók kérelmének teljesítésére vonatkozó ügyintézés a működtető illetve az adatkezelő végzi, ehhez kapcsolódó nem rendelkezünk dokumentummal.” I.4.3. A Hatóság a tényállás további tisztázása érdekében – az Ügyfél1 székhelyére, dr. Gődény György, mint az Ügyfél1 párt törvényes képviselőjének a lakcímére és az aláírásgyűjtő íven feltüntetett postafiók címre postázással – újabb megkeresést küldött, amelyben tájékoztatást kért többek között arról, hogy kit ért a korábbi válaszlevelében hivatkozott „adatkezelő”, „üzemeltető adatkezelője” alatt, mivel ezekre a személyekre mint az Ügyfél1-től eltérő személyre, illetve szervezetre utal. A Hatóság tájékoztatást kért továbbá arról is, hogy kit ért az adatbázis „működtetője” alatt. A Hatóság valamennyi címre küldött megkeresése „nem kereste” jelzéssel érkezett vissza. I.4.4. Az Ügyfél2 az adatvédelmi hatósági eljárás keretében a Hatóság megkereséseiben foglalt kérdésekre mint az Ügyfél1-től független személy nyilatkozott, a válaszlevelet is feladóként a neve és lakcíme feltüntetésével küldte, ellentétben a vizsgálati eljárás során küldött válaszlevelével, amelyen feladóként az Ügyfél1 volt feltüntetve. Ezen válaszlevelében az Ügyfél2 akként nyilatkozott, hogy Ügyfél1 működésképtelen, az Ügyfél1 ügyvezetéséről már korábban lemondott, csak szívességből végez, illetve végzett el feladatokat, amelyek a Hatóság által feltett kérdésekhez nem kapcsolódnak. Ezért a Hatóság által feltett kérdésekkel kapcsolatban információkkal nem rendelkezik azon kívül, hogy a nyíregyházi postafiók cím az Ügyfél1-hez köthető, mivel az a részére lett megnyitva. Az Ügyfél2 a nyilatkozata szerint aláírást nem gyűjtött, és az aláírásgyűjtésben nem végzett semmilyen tevékenységet, ezért nem tárol ehhez kapcsolódóan semmit. I.4.5. Az Ügyfél2 – már az Ügyfél1-től független személyként és a válaszlevél borítékján az Ügyfél2 neve és lakcíme „feladóként” történő feltüntetésével – a 2021. július 15-én kelt válaszlevelében előadta továbbá, hogy Ügyfél1 azért is működésképtelen, mert a Nemzeti Adó- és Vámhivatal Kelet-budapesti Adó- és Vámigazgatósága 2019. november 18-án kelt 5339328442 ügyszámú határozatával az adószám törléséről rendelkezett. Ügyfél2 a válaszleveléhez mellékelte az adóhatóság hivatkozott határozata első oldalának másolatát, továbbá egy 2018. április 27-én kelt lemondó nyilatkozatot, amelyben foglaltak szerint lemond a Közös Nevező 2018. szervezet ügyvezetői megbízásáról, és kéri a szervezet tagságától az utódja kijelölését és ennek érdekében egy határozatképes közgyűlés mielőbbi összehívását. Ügyfél2 a Hatóságnak küldött 2021. július 15-én kelt válaszlevelében ehhez kapcsolódóan előadta, hogy mivel határozatképes közgyűlést csak nemrég sikerült összehívni, így lemondása hivatalosan is megtörtént, arra azonban nincs ráhatása, hogy a bíróság a változást mikor fogja átvezetni. Az aláírásgyűjtéssel kapcsolatosan előadta, hogy azt önkéntesek végezték és szervezték, ebben a tagság nem vett tevőlegesen részt, csak a nevét adta hozzá a szervezet, hogy annak komolyabb súlya legyen. Az aláírásgyűjtéssel kapcsolatban semmilyen döntést nem hoztak, adatokat nem gyűjtöttek és nem is tároltak, és a postafiók megnyitásán kívül másban nem vettek részt. A postafiókhoz hozzáférése feltehetően annak van, akinél a kulcsa van, de ezen személyről nincs információja. Előadta, hogy a Hatóság kérdéseire mást elmondani nem tud, mivel nincsenek információi a gyűjtésről, továbbá „én nem gyűjtöttem aláírást, és az aláírásgyűjtésben sem végeztem semmilyen konkrét tevékenységet, ezért ha újra felteszik a kérdéseiket, akkor sem tudok mást mondani a korábbiakhoz képest.” I.4.6. Figyelemmel arra, hogy az aláírásgyűjtés adatvédelmi tájékoztatójában adatkezelőként megnevezett Ügyfél1 a Hatóság megkereséseiben foglalt felhívás ellenére nem válaszolt, továbbá mivel a Hatóság észlelte, hogy az Ügyfél1 bírósági nyilvántartásban bejegyzett adatai (szervezet megnevezése, székhelye, képviselője) változtak, a Hatóság a döntéshozatalhoz szükségesnek tartotta a tényállás további tisztázását, ezért NAIH-4769-11/2021. számú végzésében kérdésekkel fordult az adatok alapján megváltozott Ügyfél1-hez. Az Ügyfél1 új székhelyére küldött fenti számú végzés 2021. november 11-én „nem kereste” jelzéssel érkezett vissza a Hatósághoz. A Hatóság ezzel egyidejűleg NAIH-4769-12/2021. számú végzésében megkereste az Ügyfél1 nyilvántartását vezető törvényszéket, hogy küldje meg a Hatóság részére az Ügyfél1 2021. szeptember 28. napján nyilvántartásba bejegyzett változásai alapjául szolgáló, a változásbejegyzési eljárás során benyújtott, illetve becsatolt valamennyi dokumentum másolatát, továbbá küldje meg az Ügyfél1 2019. és 2020. évre benyújtott beszámolója másolatát. A Fővárosi Törvényszék a 2021. november 21-én kelt végzésének mellékleteként megküldte a Hatóság részére a változásbejegyzési eljárás alapjául szolgáló dokumentumokat, továbbá tájékoztatta a Hatóságot arról, hogy sem a 2019. évre, sem a 2020. évre vonatkozóan nem található az Ügyfél1 által benyújtott beszámoló a közhiteles nyilvántartásban. I.4.7. Tekintettel arra, hogy a Hatóság korábbi végzéseiben foglalt kérdésekkel kapcsolatban mind az Ügyfél2, mind az Ügyfél1 hiányosan, illetve egyáltalán nem válaszolt, ezért a Hatóság szükségesnek tartotta a tényállás személyes meghallgatás útján történő tisztázását. A Hatóság ezért 2022. január 6. napjára személyes meghallgatásra idézte Ügyfél2-t, […], mint az Ügyfél1 tagjait, valamint […] az Ügyfél1 jelenlegi képviselőjét. A Hatóság előtt személyes meghallgatáson az idézett személyek közül 2022. január 6. napján […], az Ügyfél1 tagja jelent meg. A meghallgatás során előadta, hogy Ügyfél1-nek jelenleg nem tagja, tagságáról 2021. őszén lemondott. Ennek igazolására a Hatósághoz 2022. január 19. napján érkezett levele mellékleteként másolatban csatolt egy 2021. október 9-én kelt nyilatkozatot, amelyben rögzítettek szerint az Ügyfél1-ben való tagságáról személyes okok miatt lemond. Nyilatkozata szerint az Ügyfél1 támogatói közösségeket gyűjtött, tevékenységet azonban már nem végez. Elmondása szerint Ügyfél1 párt a 2018-as választásokkor indult, tevékenysége az volt, hogy az embereket naponta politikai üzenetekkel próbálták elérni. A választásokat követően Ügyfél1 már nem volt aktív, politikai aktivitását a 2018. évi országgyűlési választásokat követő fél évig folytatta. Ügyfél1 pártnak van egy kb. 40.000 tagú Facebook csoportja, amely még jelenleg is működik, azonban Ügyfél1 számottevő tevékenységet már nem végez. Jelenleg a koronavírussal kapcsolatban folytatnak aktivitást, amely nem kifejezetten politikai jellegű aktivitás, a szimpatizánsi kör kicserélődött, más néven fut, de ugyanúgy Ügyfél2 nevéhez köthető. […] nyilatkozata szerint ő volt a 2018-as választásokkor az alapítója és ügyvezetője az Ügyfél1nek, majd annak vezetését körülbelül 2018 januárjában átengedte Ügyfél2-nek, így ezt követően Ügyfél2 lett a párt ügyvezetője, pénzügyi vezetője, és ő intézte az adminisztrációs tevékenységeket is. […] az aláírásgyűjtéssel kapcsolatosan úgy nyilatkozott, hogy arról nem is értesült, nem tudja, hogy elindult-e. Elmondása szerint korábban jelezte a támogatóknak, hogy az aláírásgyűjtés során feltett kérdés olyan kérdés, amely választási eljárási szempontból nem megfelelő. A kapcsolattartás a tagok, támogatói közösségek tagjai között az Ügyfél2 nevéhez köthető Facebook csoportokban zajlik, ezen csoportokban fejezte ki a kérdéssel kapcsolatos ellenvetését. Nyilatkozata szerint az aláírásgyűjtő íveket nem ismeri, az aláírásgyűjtésben nem vett részt, az aláírásgyűjtésről semmilyen formában nem tudott. A Hatóság idézéséből szerzett tudomást arról, hogy aláírásgyűjtés folyamatban van. Az aláírásgyűjtéssel kapcsolatosan, arról, hogy annak lebonyolítása hogyan zajlott, önkéntesek részt vettek-e, valószínűleg az Ügyfél2 tud beszámolni. Az Ügyfél1 tudomása szerint nem működik, továbbá nincs információja arról, hogy miért lett átnevezve a Közös Nevező 2018 egyesület, miközben a tényleges tevékenységek már a Normális Élet Pártja mögött zajlanak. Az aláírásgyűjtő íven visszaküldési címként megjelölt címről információja nincs, továbbá arról sem, hogy papír alapon érkezett-e bármi a megjelölt címre. Nincs információja, hogy az adatkezelés hogyan zajlik, hogyan használják fel a gyűjtött adatokat, illetve azokhoz ki fér hozzá. Hogy milyen személy, könyvelő, adminisztrátor vesz részt az aláírásgyűjtésben, a szervereknek ki a működtetője, az informatikai háttér biztosításában milyen személyek vesznek részt, arról Ügyfél2-nek lehetnek információi. Az Ügyfél1 levelezési címe, székhelye annak alapításakor […] lakcíme volt, az Ügyfél1 alapításával kapcsolatos iratokat – hivatalos iratok, működéssel kapcsolatos iratok – tartották ezen a címen. Ezen iratokat […] nyilatkozata szerint később a szervezet vezetésével együtt átadta Ügyfél2-nek, ezt követően az Ügyfél2, illetve könyvelője intézte a működéssel kapcsolatos dolgokat. Az Ügyfél1 jelenlegi székhelye elmondása szerint valószínűleg […] lakhelye, arról azonban, hogy […]-nak milyen szerepe van az Ügyfél1 tevékenységében, nincs információja. […] elmondta, hogy az „Egyetértek azzal, hogy védőoltásra senkit ne lehessen kötelezni, és annak hiánya miatt senkit ne lehessen büntetni vagy korlátozni” kérdést korábban népszavazásra javasolták, és az benyújtásra került a Nemzeti Választási Bizottsághoz. A Hatóság a Nemzeti Választási Iroda weboldalán a megjelölt kérdéssel azonos kérdésben egy népszavazásra történő kezdeményezés benyújtását találta (kezdeményező a Civil Mozgalom Egyesület, székhelye: 1144 Budapest, Füredi utca 60-62. fsz./6.), amely kezdeményezés tárgyában a Nemzeti Választási Bizottság 2020. szeptember 21-én 52/2020. számon hozott határozatot, amelyben a népszavazásra javasolt kérdés hitelesítését elutasította.

I.4.8. A Hatóság figyelemmel arra, hogy […], […] és az Ügyfél2 a Hatóság idézését a kézbesítés két alkalommal történő megkísérlése ellenére sem vették át és a személyes meghallgatáson nem jelentek meg, szükségesnek ítélte eljárási bírság kiszabását. Erre tekintettel a Hatóság a NAIH- 175-5./2022., NAIH-175-6/2022. és NAIH-175-7/2022. számú végzéseiben az Ügyfél2-t 200.000 Ft, azaz kettőszázezer forint eljárási bírság; […] az Ügyfél1 képviselőjét 100.000 Ft, azaz egyszázezer forint eljárási bírság; és […], az Ügyfél1 tagját 50.000 Ft, azaz ötvenezer forint eljárási bírság megfizetésére kötelezte. I.4.9. A Hatóság sajtóhírekből értesült arról, hogy a Készenléti Rendőrség Nemzeti Nyomozó Iroda (a továbbiakban: KRNNI) rémhírterjesztés gyanúja miatt az Ügyfél2-nél házkutatást tartott, amelynek során lefoglalták az Ügyfél2 számítógépét. Erre tekintettel a Hatóság a NAIH-4769- 19/2021. számú végzésében megkereste a KRNNI-t, hogy tájékoztatást kérjen arról, hogy az Ügyfél2-nél lefolytatott házkutatás során lefoglalt számítógépen, illetve a lefoglalt anyagok között voltak-e az aláírásgyűjtéssel kapcsolatos anyagok, illetve foglalt-e le a KRNNI olyan adatbázist, iratokat, amelyek az aláírásgyűjtéssel kapcsolatos információkat tartalmaznak. A KRNNI megkeresésre adott tájékoztatása szerint az eszközök elemzése során a rémhírterjesztés bűncselekmény bizonyításához felhasználható adatokat kerestek, ezért nem tudják, hogy a vizsgált adatkezeléssel kapcsolatosan vannak-e anyagok, azonban egy olyan dokumentumot meg tudtak küldeni, amely az Ügyfél2 aláírásgyűjtő tevékenységével hozható összefüggésbe. A dokumentumban három, az aláírásgyűjtő tevékenység során feltett kérdés volt olvasható, köztük a jelen eljárás során vizsgált aláírásgyűjtés kérdése is. I.4.10. A Hatóság a tényállás tisztázása keretében 2022. január 6-án teszt adatok megadásával vizsgálta az aláírásgyűjtés https://alairasgyujtes.online oldalát. Ennek során a Hatóság az alábbiakat észlelte: Az aláírásgyűjtés online támogatásakor kötelezően megadandó adatok: név, irányítószám, település, közterület neve, házszám, em./ajtó, e-mail cím, míg nem kötelezően megadandó adat a telefonszám. A kezdeményezés támogatásához ki kell pipálni az „Elolvastam és tudomásul vettem az Adatvédelmi Tájékoztatót” nyilatkozat előtti checkboxot, továbbá ki kell tölteni a reCAPTCHA tesztet. Az oldalon elérhető adatvédelmi tájékoztató továbbra is Ügyfél1-et jelöli meg adatkezelőként, illetve a letölthető és papír alapon kitölthető aláírásgyűjtő íven is az Ügyfél1 rövidített nevét tartalmazó embléma van feltüntetve. Az adatkezelési tájékoztatóban foglaltak szerint „A Közös Nevező e körben személyes adat kezelésére vonatkozó hozzájárulást kizárólag a következő formákban kér:

a) […] b) elektronikusan, amelynek keretében a hozzájáruló nyilatkozat megtételét a Közös Nevező az Ön által megadott e-mail címre küldött üzenettel visszaigazolja, majd ezt követően Önnek a visszaigazoló üzenetre adott válaszban kell megerősítenie a hozzájárulási szándékát.” Ezzel szemben visszaigazolást kérő e-mail üzenet nem érkezett az támogatáskor megadott e-mail címre.

I.4.11. A rendelkezésre álló információk alapján az eljárás során a Hatóság megvizsgálta a https://alairasgyujtes.online weboldalt abból a célból, hogy a mögötte álló üzemeltető személyét megállapítsa. Ennek során az alábbi megállapításra jutott: A weboldalt a felhasználók a Cloudflare nevű tartalomszolgáltató (a továbbiakban: Szolgáltató) szerverein keresztül tudják elérni. A weboldal üzemeltetője a Szolgáltatótól nem csupán a gyorsabb hozzáférést lehetővé tevő szolgáltatást veszi igénybe, hanem további olyan technikai szolgáltatásokat is, amelyek együttes hatása, hogy bárki, aki valamelyik ingyenes IP-adatbázisban keresést végez a weboldal URL-jére, az nem a weboldalt eredetileg tároló szerver IP-címét kapja eredményül, hanem csupán a Szolgáltató szervereihez tartozó IP-címeket. A weboldal üzemeltetője ezáltal rejtve marad. A weboldal alapján az adatkezelő személye nem volt azonosítható.

II. Alkalmazandó jogszabályi előírások

Az általános adatvédelmi rendelet (39) preambulumbekezdés: Az átláthatóság elve megköveteli, hogy a személyes adatok kezelésével összefüggő tájékoztatás, illetve kommunikáció könnyen hozzáférhető és közérthető legyen, valamint, hogy azt világosan és egyszerű nyelvezettel fogalmazzák meg. Ez az elv vonatkozik különösen az érintetteknek az adatkezelő kilétéről és az adatkezelés céljáról való tájékoztatására, valamint az azt célzó további tájékoztatásra, hogy biztosított legyen az érintett személyes adatainak tisztességes és átlátható kezelése, továbbá arra a tájékoztatásra, hogy az érintetteknek jogukban áll megerősítést és tájékoztatást kapni a róluk kezelt adatokról. Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt kiegészítésekkel kell alkalmazni. Az általános adatvédelmi rendelet 2. cikk (2) bekezdése értelmében a rendelet nem alkalmazandó a személyes adatok kezelésére, ha azt:

a) az uniós jog hatályán kívül eső tevékenységek során végzik; b) a tagállamok az EUSZ V. címe 2. fejezetének hatálya alá tartozó tevékenységek során végzik; c) természetes személyek kizárólag személyes vagy otthoni tevékenységük keretében végzik; d) az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzik, ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését. Az általános adatvédelmi rendelet 4. cikk 1. pontja szerint „személyes adat: az azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.” Ugyanezen cikk 2. pontja szerint „adatkezelés: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.” Az általános adatvédelmi rendelet 4. cikk 7. pontjának értelmében „adatkezelő: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.” Az általános adatvédelmi rendelet 4. cikk 11.pontja szerint „az érintett hozzájárulása”: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez. Az általános adatvédelmi rendelet 5. cikk (1) bekezdése szerint a személyes adatok: a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”); c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”); d) pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság”); e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”); f) kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”). A (2) bekezdés szerint az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). Az általános adatvédelmi rendelet 6. cikkének értelmében a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. Az általános adatvédelmi rendelet 9. cikk (1) bekezdése szerint „a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.” Ugyanezen § (2) bekezdése a) pontja szerint az (1) bekezdés nem alkalmazandó abban az esetben, ha az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával. Az általános adatvédelmi rendelet 13. cikk (1) és (2) bekezdése határozza meg azokat az információkat, amelyeket a személyes adatok megszerzésének időpontjában az érintett rendelkezésére kell bocsátani, ha a személyes adatokat az érintettől gyűjtik. Az (1) bekezdés szerint az adatkezelő az érintett rendelkezésére bocsátja a következő információk mindegyikét: a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. A (2) bekezdés szerint az adatkezelő a következő kiegészítő információkról tájékoztatja az érintettet a személyes adatok megszerzésének időpontjában: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság hivatalból adatvédelmi hatósági eljárást indíthat. Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja. Az Infotv. 61. § (2) bekezdése szerint a Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő – nyilvánosságra hozatalát, ha a határozat személyek széles körét érinti, azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja. Infotv. 75/A. §: A Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. GDPR 58. cikk (2) bekezdés b), d), i), f) és g) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték. Az általános adatvédelmi rendelet 83. cikk (1) bekezdése alapján valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. Az általános adatvédelmi rendelet 83. cikk (2) bekezdése szerint a közigazgatási bírságokat az adott eset körülményeitől függően az általános adatvédelmi rendelet 58. cikk (2) bekezdésének a)h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa az általános adatvédelmi rendelet 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az általános adatvédelmi rendelet 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát az általános adatvédelmi rendelet 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy az általános adatvédelmi rendelet 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. Az általános adatvédelmi rendelet 83. cikk (5) bekezdése szerint az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az általános adatvédelmi rendelet 5., 6., 7. és 9. cikknek megfelelően;

b) az érintettek jogai az általános adatvédelmi rendelet 12–22. cikknek megfelelően;

c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása az általános adatvédelmi rendelet 44–49. cikknek megfelelően;

d) az általános adatvédelmi rendelet IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek;

e) a felügyeleti hatóság általános adatvédelmi rendelet 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az általános adatvédelmi rendelet 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása.

III. A Hatóság döntése

III.1. Az adatkezelői minőség III.1.1. Az Ügyfél1 adatkezelői minősége Az érintetteknek nyújtott információk, így a weboldalon elérhető adatvédelmi tájékoztatóban foglaltak szerint az országos aláírásgyűjtést Ügyfél1 indította, és „A rögzített adatok mindegyike tekintetében az adatkezelő a Közös Nevező”. A tájékoztató tehát egyértelműen az Ügyfél1-et tünteti fel, mint adatkezelőt. Az aláírásgyűjtéssel összefüggésben gyűjtött személyes adatok kezelésének az adatkezelési tájékoztatóban megjelölt egyik célja – az aláírásgyűjtés témájának támogatása mellett továbbá kifejezetten a szervezetnek a szimpatizánsaival való kapcsolattartása, tájékoztatás a szervezet tevékenységeiről és rendezvényeiről, illetve felhívás küldése a szervezet kampányaihoz való csatlakozásra. A papír alapú aláírásgyűjtő íven is adatkezelőre utaló információként az Ügyfél1, illetve annak a rövidített nevét tartalmazó embléma van feltüntetve. Ezen kívül azonban nem áll rendelkezésre olyan dokumentálható egyesületi döntés, amely az aláírásgyűjtéshez kapcsolható, illetve amely alapján az Ügyfél1 valamely szerve foglalkozott volna az aláírásgyűjtéssel. A Hatóság eljárása során feltárt információk alapján felmerült, hogy az Ügyfél1 klasszikus értelemben vett pártként nem működik, ténylegesen tevékenységet már nem folytat, illetve működésének jogszerűsége megkérdőjelezhető. Ezt támasztja alá többek között, hogy a Hatóság eljárása során az Ügyfél1 székhelyére postázott levelek mind „nem kereste” jelzéssel érkeztek vissza; hogy a NAV Kelet-budapesti Adó- és Vámigazgatósága 2019. november 18-án kelt határozatával törölte az Ügyfél1 adószámát; hogy a http://kozosnevezo.hu weboldal is elérhetetlenné vált, továbbá […], a párt tagja, alapítója nyilatkozata, valamint Ügyfél2 szerint is az időközben átnevezett Ügyfél1 számottevő tevékenységet már nem végez, Ügyfél1 a 2018-as országgyűlési választásokat követően már nem volt aktív, illetve a tényleges tevékenységek már a Normális Élet Pártja elnevezésű szervezet mögött zajlanak. A Hatóság megkereséseire küldött válaszlevelekben az Ügyfél2 több helyen úgy említ egy meg nem nevezett és semmiféle egyéb adattal vagy bizonyítékkal alá nem támasztott adatkezelőt, mint Ügyfél1-től, illetve az Ügyfél2-től különböző személy, illetve szervezet. Ezzel szemben az eljárás alá vont személyek nyilatkozataiból, valamint a Hatóság által beszerzett okirati bizonyítékokból nem volt azonosítható más, az adatkezelést elhatározó, az adatkezelési műveletekben érdekelt olyan személy, aki vagy amely az adatkezelés célját vagy eszközeit meghatározta volna. Ilyen személyt a meghallgatott és nyilatkoztatott felek nem jelöltek meg, és a Hatóság által széles körben beszerzett okirati bizonyítékokból sem volt megállapítható. Figyelemmel arra, hogy az aláírásgyűjtéshez az Ügyfél1 a nevét adta, az online aláírásgyűjtő felületen, illetve a papír alapú aláírásgyűjtő íven az Ügyfél1 van feltüntetve, továbbá az adatkezelési tájékoztatóban kifejezetten adatkezelőként is az Ügyfél1 van megjelölve, ebből következően e vonatkozásban az Ügyfél1 adatkezelőnek tekintendő annak ellenére, hogy a rendelkezésre álló információk szerint Ügyfél1 jelenleg már nem működik a gyakorlatban. III.1.2. Az Ügyfél2 adatkezelői minősége A Hatóság az első megkereséseit az Ügyfél1-nek küldve Ügyfél2-nek, mint az Ügyfél1 elnökének címezte, majd pedig őt ügyfélként az eljárásba bevonva, mint magánszemélyt nyilatkoztatta. Az Ügyfél1 a Hatóság rendelkezésére álló bizonyítékok alapján csak papíron működik, tényleges törvényes működést nem folytat, taggyűléseket rendszeresen nem tart. Nem áll rendelkezésre olyan dokumentálható döntés, amely azt igazolná, hogy az aláírásgyűjtéssel összefüggésben Ügyfél1 döntést hozott volna, annak ellenére, hogy az aláírásgyűjtéshez az Ügyfél1 nevét használták fel. A Hatóságnak küldött 2021. május 31-én kelt válaszlevelében az Ügyfél2 – már nem az Ügyfél1 képviselőjeként, hanem attól független személyként – akként nyilatkozott, hogy az ügyvezetésről korábban lemondott, így a Hatóság által feltett kérdésekkel kapcsolatban nincs lehetősége válaszolni, nincsenek információi a feltett kérdésekkel kapcsolatban, az aláírásokat nem ő gyűjtötte, az aláírásgyűjtésben nem végzett semmilyen tevékenységet és nem tárol az aláírásgyűjtéssel kapcsolatosan semmit. A nyilatkozatában foglaltak szerint az aláírásgyűjtésben semmilyen tevékenységet nem végzett, csak szívességből végez, illetve végzett el feladatokat, amelyek azonban nem kapcsolódnak a Hatóság megkeresésében feltett kérdésekhez. Ügyfél2-nek a tényállás feltárása során tett több nyilatkozata, a közösségi médiában tett nyilatkozatai, szereplései, illetve az eljárás során a Hatóság tudomására jutott információk azonban ellentmondanak ezen állításainak. Ügyfél2 adatkezelésben betöltött szerepét támasztják alá az alábbiak: A 2020. december 14-én kelt válaszlevelében adott nyilatkozata szerint az aláírásgyűjtő íven megadott postafiókra – mint visszaküldési címre – beérkező íveket ő veszi át. Az aláírásgyűjtő íven visszaküldési címként megjelölt postafiók cím változatlan az Ügyfél1 bejegyzett adataiban (szervezet megnevezése, székhelye, képviselője) bekövetkezett változás ellenére is, a postai úton visszaküldött ívek, és ezáltal az érintettek által megadott személyes adatok az Ügyfél2 korábbi nyilatkozata alapján továbbra is az ő birtokába kerülnek.

Az adatkezelés végzésén túl az Ügyfél2 adatkezelői minőségét támasztják alá az alábbiak:

i. Az Ügyfél1 korábbi székhelyére postázott küldeményeket nem vették át és a megjelölt székhelyen nem is volt olyan személy, aki jogosult lett volna a küldemények átvételére. […] lakcímére volt az Ügyfél1 székhelye bejegyezve, aki csak egyesületi tag, és vezető tisztséget nem töltött be az Ügyfél2 elnöklése alatt. A Hatóság a megkereséseit, végzéseit az Ügyfél2 lakcímére is elküldte, amely címen az Ügyfél2 a Hatóság megkereséseit három alkalommal átvette. Az Ügyfél1gyel tehát csak Ügyfél2-n keresztül lehetett kapcsolatba lépni – amely szintén a szervezet nem megfelelő működését támasztja alá – vagyis az Ügyfél2, mint az Ügyfél1 ügyvezetője, és mint attól elkülönülő személy meghatározó befolyással bírt Ügyfél1 ügyeiben és az aláírásgyűjtésben is úgy, hogy Ügyfél1 neve mögött valójában Ügyfél2 áll. Ebből következően az adatkezeléshez kapcsolódó döntéshozatal, az adatkezelés céljáról való döntéshozatal is nyilvánvalóan az Ügyfél2höz kapcsolódhat. ii. Ügyfél2 a 2018.04.27. napján kelt nyilatkozatában a Közös nevező 2018. szervezet ügyvezetői tisztségéről lemondott („lemondó nyilatkozat 1.”) Az okiraton tanúk aláírása nem szerepel, az eljárás során nem merült fel adat arra vonatkozóan, hogy Ügyfél2 a „lemondó nyilatkozat 1”-et Ügyfél1-nek átadta volna, vagy jogi képviselőnek, változásbejegyzési eljárásban való felhasználás céljából átadta volna, ezek hiányában a „lemondó nyilatkozat 1” a célzott jogi hatás kiváltására nem volt alkalmas. Ügyfél2 2021. június 17. napján kelt nyilatkozatában („lemondó nyilatkozat 2”) – amikor Ügyfél2 már tudott az adatvédelmi hatósági eljárásról ismételten lemondott az Ügyfél1-ben betöltött ügyvezetői tisztségéről, ebből alappal vonható le az a következtetés, hogy a „lemondó nyilatkozat 1”-et ő maga sem tekintette joghatás kiválásra alkalmasnak, szükségesnek tartotta annak ismételt megtételét. Továbbá ezen köztes időben az Ügyfél1 neve alatt elkezdődött az aláírásgyűjtés. Az adatkezelési tevékenységet egy csak papíron működő szervezet helyett nyilvánvalóan másnak kell végeznie, amely ugyancsak azt igazolja, hogy az Ügyfél2 aktivitása az ügyvezetésről történő korábbi lemondása ellenére fennmaradt. A „lemondó nyilatkozat 2” változásbejegyzési eljárásban benyújtásra került 2021.08.02. napján. A Fővárosi Törvényszék Ügyfél2-t mint Ügyfél1 vezető tisztségviselőjét törölte a civil szervezetek nyilvántartásából.

iii. Az Ügyfél2 több alkalommal propagálta az aláírásgyűjtést, pl. a „Doktor Gődény” elnevezésű Facebook oldalán 2020. október 13. napján tett bejegyzésében tájékoztat arról, hogy „A mai napon egy fontos országos kezdeményezést indítunk el […] Ezért a Közös Nevező mozgalom (http://kozosnevezo.hu) a közéleti jellegéből és lehetőségeiből adódóan népi kezdeményezéssel ORSZÁGOS ALÁÍRÁSGYŰJTÉST szervez a társadalmi nyomásgyakorlás jegyében, az emberek beleszólása és A NÉPAKARAT ÉRVÉNYESÜLÉSE ÉRDEKÉBEN! Erről itt tudhattok meg mindent: https://alairasgyujtes.online”, majd ezt követően több bejegyzésében is a kezdeményezés támogatására buzdítja az embereket. Bejegyzéseiben mindvégig többesszámot használ, ezáltal magát is kezdeményezőként nevezte meg, illetve kimondta, hogy az aláírásgyűjtés elindításában ő maga is szerepet vállalt. iv. A https://444.hu/2020/10/20/godeny-probaljuk-a-tomegbazist-osszeszedni 2020. október 20-án megjelent cikk szerint az Ügyfél2 az interjú során neki feltett kérdésekre akként nyilatkozott, hogy ténylegesen ő illetve az Ügyfél1 – amelynek 2021. szeptember 28. napjáig ő volt az ügyvezetője – áll az aláírásgyűjtés mögött, továbbá elmondta, hogy az aláírásgyűjtés egyik fő célja, hogy megpróbáljanak „tömegbázist összeszedni”. Az újságíró a cikkben azt írta, hogy „Miután felhívtam Gődény Györgyöt, ő egy rakás kérdést megválaszolt. […] Gődény egy pillanatig sem titkolta, hogy az egyik fő céljuk az egésszel, hogy megpróbáljanak „tömegbázist összeszedni”. Az Ügyfél2 tehát maga nyilatkozta, hogy ő és az Ügyfél1 áll az aláírásgyűjtés, vagyis a jelen ügyben vizsgált adatkezelés mögött. Az Ügyfél2 pedig magát nem az Ügyfél1 elnökeként emelte ki, hanem az Ügyfél1 mellett, attól különválasztva említette önmagát, ezáltal is elismerte, hogy ő, mint magánszemély is adatkezelő.

Az interjúból, illetve az annak során elhangzott nyilatkozatokból is látható, hogy az aláírásgyűjtéssel kapcsolatos érdemi kérdéseket Ügyfél2 tudott megválaszolni, ő jelent meg az aláírásgyűjtéssel kapcsolatos kompetens személyként. Az Ügyfél2 láthatóan a köztudatban is úgy jelenik meg, mint akinek személy szerint meghatározó, befolyásoló szerepe volt és van az aláírásgyűjtésben. Megállapítható tehát, hogy az aláírásgyűjtéssel kapcsolatos lényeges információkkal az Ügyfél2 rendelkezik, így arról, hogy például az aláírásgyűjtés hogyan folyjon, meddig tartson, így az aláírásgyűjtéssel kapcsolatos részdöntések is az Ügyfél2-höz köthetőek. v. Az Ügyfél2 az előzőekben megjelölt közösségi oldalain még 2021. júniusában is számos, az aláírásgyűjtést népszerűsítő, arra buzdító bejegyzést tett közzé, az Ügyfél1-re azonban ezen bejegyzéseiben már nem utalt. Az Ügyfél2 a bejegyzéseket saját nevében tette. Például a 2021. június 10-i bejegyzésében egy június 20-i parlament előtti megmozdulásra hívta követőit, egyúttal az aláírásgyűjtésre is buzdított. A 2021. június 11-i bejegyzésében ugyancsak a kezdeményezés támogatását kéri, kiemelve a kezdeményezés támogatására szolgáló weboldal elérhetőségét. vi. […], az Ügyfél1 tagja a Hatóság előtt tanúként adott nyilatkozatában továbbá azt a tájékoztatást adta, hogy az Ügyfél1-nek van egy kb. 40.000 tagú Facebook csoportja, amely csoport még jelenleg is működik, ugyan abban az egyesület számottevő tevékenységet már nem végez, illetve az Ügyfél1 már semmilyen tevékenységet nem végez, eleve nem tagjai vannak, hanem támogatói, akik egy része Facebook-csoportokban kapcsolódik. A csoporton belül és egyáltalán az Ügyfél1-gyel kapcsolatban a szimpatizánsi kör a kezdeti összetételhez képest kicserélődött, jelenleg a koronavírussal kapcsolatban folyik aktivitás. Mind a korábbi, mind a jelenlegi tevékenység az Ügyfél2 nevéhez köthető, ő tudna a Hatóság kérdéseire érdemi választ adni a tanú szerint. A tanúvallomás is azt erősíti meg, hogy az Ügyfél2 az aláírásgyűjtés meghatározó szereplője, ő az, aki mind az aláírásgyűjtésnek, mind a kérdéssel kapcsolatos kampánynak az arca, szervezője, központi személye. III.1.3. A fentieket összegezve a Hatóság megállapította, hogy az aláírásgyűjtés az Ügyfél1 neve alatt, nevéhez kapcsoltan történik, annak egyik célja az Ügyfél1 szervezet szimpatizánsaival való további kapcsolattartás, és részükre tájékoztatás nyújtása. Ennek megfelelően az aláírásgyűjtés weboldalán és a papír alapú aláírásgyűjtő íven is az Ügyfél1 van feltüntetve, továbbá a weboldalon elérhető adatkezelési tájékoztató is az adatkezelés adatkezelőjeként kifejezetten az Ügyfél1-et jelöli meg. Ebből következően adatkezelőként Ügyfél1 van nevesítve és az adatkezelés céljával Ügyfél1 összefüggésbe hozható, ezért a Hatóság e tekintetben az Ügyfél1-et adatkezelőnek tekintette. Fentieken túl a Hatóság megállapította, hogy Ügyfél2 az aláírásgyűjtés technikai hátterének biztosításában, lebonyolításában kiemelkedő szerepet vállalt, az aláírásgyűjtést saját nevében népszerűsítette, az aláírásgyűjtés kérdéséhez kapcsolódó témakör aktivistájaként, kulcsfigurájaként lépett fel. Ezek egyértelműen alátámasztják az Ügyfél2 aláírásgyűjtésben, illetve az aláírásgyűjtéssel összefüggésben megvalósuló adatkezelésben betöltött meghatározó szerepét, amely meghatározó szerep az adatkezeléssel kapcsolatos döntésekre is ki kellett terjedjen, vagyis döntéseket is Ügyfél2 hozott meg. Ez a szerep nem pusztán az aláírásgyűjtésben való részvételt, egyes adatkezelési műveletek végzését jelentette, hanem az Ügyfél2, mint magánszemély adatkezelői minőségét és ezzel együtt fennálló felelősségét is. Ezt az adatkezelői felelősséget a fenti szempontok közül különösen az támasztja alá, hogy Ügyfél2-nek meghatározó befolyása volt az adatkezelésről való döntésre, az adatkezelés céljának meghatározására, hogy neki volt hozzáférése az aláírásgyűjtés során megjelölt postafiók-címhez, saját maga nyilatkozott arról, hogy ő áll az aláírásgyűjtés mögött, továbbá ezt támasztotta alá a tanú vallomása is. Ezért a Hatóság a vizsgált adatkezelés tekintetében megállapítja az Ügyfél2 adatkezelői minőségét is.

III.1.4. A Hatóság álláspontja szerint nem lehet valamely – valójában nem is működő – szervezet neve felhasználásával, illetve annak nevében adatkezelést végezni úgy, hogy a tényleges adatkezelést leplezzék és a személyi viszonyok tisztázatlanok. Ahogy azt a Hatóság a politikai pártoknak szóló ajánlása I. részében1 is kihangsúlyozta, nem elfogadható helyzet, hogy egy adatkezelésért senki ne viselje a felelősséget – különösen egy országos aláírásgyűjtés során, amely ráadásul az online térben is, és jelenleg is tart –, illetve a felelősséget megpróbálják azzal a hivatkozással elhárítani, hogy a szervezet nem működik, az adatkezelésről nem tudnak és nem csinálnak semmit. Ezen nyilatkozatoknak ugyanis ellentmond különösen az, hogy az aláírásgyűjtés jelenleg is folyamatban van. A Hatóság szerint megengedhetetlen, hogy az adatkezelői felelősség alól ily módon mentesüljenek az adatkezelést végzők, és felelőtlenül, következmények nélkül személyes adatokat gyűjtsenek, azokat felhasználják. Továbbá az, hogy az Ügyfél1-et „mozgalom”-nak nevezik, akként tekintenek rá, nem jelenti azt, hogy egy jogi személyt „mozgalom”-ként felfogva, a résztvevők meghatározhatatlansága folytán a felelősség alól ki lehetne bújni, a jogi személy és a „mozgalom” felelősségétől és a jogszabályoknak való megfelelőségétől el lehetne tekinteni.

A Hatóság a fentiekben kifejtettek alapján mind az Ügyfél1-et, mind Ügyfél2-t adatkezelőnek tekinti. A Hatóság az általános adatvédelmi rendelet 26. cikkében foglaltak alapján megvizsgálta továbbá azt is, hogy közös adatkezelőknek vagy párhuzamos adatkezelőknek minősülnek. Ezen vizsgálat eredményeként a Hatóság arra jutott, hogy az Ügyfél1 és az Ügyfél2 közös adatkezelőknek minősülnek, mert nem két külön adatkezelés, illetve külön adatkezelési cél áll fenn a vizsgált adatkezelés tekintetében, hanem az adatkezelői minőségek és felelősségek atipikus módon állnak fenn, mégis a jelen ügyben vizsgált adatkezelői konstrukcióban elválaszthatatlanul összefüggnek. A két adatkezelő adatkezelői szerepe a jelen határozatban foglaltaknál pontosabban nem választható szét, tekintettel az eljárási nehézségekre és az együttműködés hiányára. A Hatóság ennek megfelelően az Ügyfél1-et és az Ügyfél2-t közös adatkezelőknek tekintette és ez alapján mindkettőjük felelősségét megállapította annak ellenére, hogy Ügyfél2 az adatkezelői minőségét nem ismerte el. Az ügyben az elkövetett jogszabályszegések jogi minősítése és a megállapított jogkövetkezmények tekintetében továbbá nincs jelentősége, hogy párhuzamos adatkezelőknek, vagy közös adatkezelőknek minősülnek az ügyfelek. III.2. Az adatkezelésről történő tájékoztatás jogszerűsége A hozzájárulás érvényességéhez szorosan kapcsolódik, hogy azt megfelelő tájékoztatás előzze meg, ez szükséges ugyanis ahhoz, hogy az érintettek tisztában legyenek azzal, hogy konkrétan mibe egyeznek bele, hogy ismerjék az adatkezelés részleteit és gyakorolhassák a hozzájárulásuk visszavonásához való jogukat. Az érintett ugyanis a megfelelő információk birtokában tudja meghozni azon döntését, hogy beleegyezését adja-e az őt érintő személyes adatok kezeléséhez. Ennek hiányában a hozzájárulás, vagyis az adatkezelés jogalapja érvénytelen lesz.

1 A Hatóság ajánlása a politikai pártok és szervezetek adatkezelésével kapcsolatos egyes adatvédelmi követelményekről (2021. február 19.): „A Hatóság tapasztalatai alapján az egyik legnagyobb hiányosság az adatkezelés megkezdése előtt az adatkezelők, adatfeldolgozók személyének megfelelő megnevezése, azonosítása, ezen alapvető szerep betöltőinek, feladatainak és felelősségének egyértelmű tisztázása. A Hatóság álláspontja szerint ugyanis nem – már csak az előzetes tájékoztatási kötelezettség, illetve az adatvédelmi tájékoztató szempontjából sem – elfogadható az a helyzet, hogy egy adatkezelési műveletsorozatnak ne legyen előzetesen meghatározott felelőse, így – főként, ha az adatkezelés során még jogsértés gyanúja is felmerül – utólag kelljen tisztázni a folyamatban betöltött szerepeket.“

A GDPR 5. cikk (1) bekezdés a) és b) pontja, valamint ezzel összefüggésben a (39) preambulumbekezdés kimondja, hogy a természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik és fogják kezelni. Az átláthatóság elve vonatkozik az érintetteknek az adatkezelés céljairól való tájékoztatására is. A személyes adatkezelés konkrét céljainak explicit módon megfogalmazottaknak és jogszerűeknek, továbbá már a személyes adatok gyűjtésének időpontjában meghatározottaknak kell lenniük. A GDPR 13. cikke határozza meg, hogy melyek azok az információk, amelyekről az érintetteket tájékoztatni kell az adatok megszerzésének időpontjában. III.2.1. A Hatóság álláspontja szerint a weboldalon nem kellően átlátható, egyértelmű és világos az érintettek tájékoztatása az adatkezelés céljairól. Az egyik adatkezelési cél, a véleménynyilvánítás („Egyetértek azzal, hogy védőoltásra senkit ne lehessen kötelezni, és annak hiánya miatt senkit ne lehessen büntetni vagy korlátozni.”) ugyanis csak az adatgyűjtő felületen van kiemelve, az adatkezelési tájékoztató arra csak mint „országos aláírásgyűjtés támogatása”-ként utal, míg az arról történő tájékoztatás, hogy az adatokat az eredeti célon túl más adatkezelési célból (kapcsolattartás) is kezelik, csak az adatvédelmi tájékoztató megnyitásával és elolvasásával történik meg. Az érintettek személyes adatai kezelésének tisztességessége és jogszerűsége – többek között akkor állapítható meg, ha az érintett megfelelő tájékoztatást kapott arra vonatkozóan, hogy a személyes adatok gyűjtése két eltérő adatkezelési célból történik, és konkrétan megnevezésre is kerül, hogy melyek ezek az adatkezelési célok. Az adatkezelés céljairól történő tájékoztatás megfelelősége és egyértelműsége a fentiek alapján nem állapítható meg. Az adatvédelmi tájékoztatóban történik hivatkozás jogalapként a GDPR 9. cikk (2) bekezdés a), illetve d) pontjára. A GDPR 9. cikke a személyes adatok különleges kategóriáiról rendelkezik, amelyeknek kezelését a rendelet főszabályként tiltja, illetve szigorú feltételektől teszi függővé. A különleges kategóriájú személyes adatok többek között abban az esetben kezelhetőek, ha az érintett kifejezett hozzájárulását adta azok egy vagy több konkrét célból történő kezeléséhez. Az adatvédelmi tájékoztatóban nincs konkrét információ arra vonatkozóan sem, hogy az adatok gyűjtése meddig tart, sem arra, hogy ezzel szoros összefüggésben a megadott adatok tárolása, felhasználása meddig tart. A https://alairasgyujtes.online weboldal információi alapján az aláírásgyűjtés a Hatóság megállapítása szerint jelenleg is tart, illetve a Hatóság megkeresésére az Ügyfél2 akként nyilatkozott, hogy az adatgyűjtés nincs időponthoz kötve. Az adatvédelmi tájékoztatóban az érintetteket arról tájékoztatják, hogy a nem automatizált adatkezelés során rögzített, aláírásgyűjtő íven kapott adatokat és hozzájáruló nyilatkozatokat az Ügyfél1 azok kézhezvételétől számított 30 napon belül digitalizálja és rögzíti az adatbáziskezelő rendszerben, majd az eredeti iratokat petícióként átadja, bemutatja vagy megsemmisíti. Nincs információ tehát arra vonatkozóan, hogy a meg nem határozott ideig történő aláírásgyűjtést követően mi fog történi az aláírásgyűjtő ívekkel, és az azokon szereplő, illetve az online gyűjtött személyes adatokkal. III.2.2. A Hatóság álláspontja szerint az aláírásgyűjtő íven elhelyezett, az adatkezelésre vonatkozó rövid tájékoztatóban ismertetni kell az érintettekkel a tervezett adatkezeléssel kapcsolatos legfontosabb, a GDPR 13. cikkében meghatározott információkat. Az aláírásgyűjtő íven elhelyezett tájékoztatóval kapcsolatban a Hatóság megállapítja, hogy az érintetteket nem tájékoztatták megfelelően többek között az adatkezelés jogalapjáról és céljairól, a megfogalmazás ugyanis egyrészt Infotv.-en alapuló hozzájárulásra utal, másrészt azzal összefüggésben csak a kapcsolattartás, véleménykérés, tájékoztatás céljából történő adatkezelést említi. A tájékoztató nem nevezi meg konkrétan, hogy ki /mely szervezet az adatkezelésért felelős. Az aláírásgyűjtő íven konkrétan az adatkezelő megjelölése nem szerepel, csupán az Ügyfél1 rövidített nevét tartalmazó embléma van az íven feltüntetve. A gyűjtött személyes adatok tárolásának időtartamára vonatkozóan sem szerepel információ az íven elhelyezett szövegben.

III.2.3. A fentiek alapján a Hatóság megállapítja, hogy az adatkezelők nem nyújtanak az érintetteknek egyértelmű, megfelelő és valós tájékoztatást sem a papír alapon történő aláírásgyűjtés, sem a weboldalon keresztül történő aláírásgyűjtéssel összefüggésben megvalósuló adatkezelés valamennyi lényeges körülményéről, továbbá nem határozzák meg egyértelműen az adatkezelés célját, ezáltal megsértik az általános adatvédelmi rendelet

Valamely politikai szervezet kezdeményezésének támogatása céljából megadott személyes adatok azonban nem minősülnek egyúttal különleges kategóriájú személyes adatnak. Amennyiben azonban az érintett a petíciós cél mellett kifejezetten olyan célból történő adatkezeléshez is hozzájárulását adja, hogy őt, mint szimpatizánst a későbbiekben a politikai szervezet tájékoztathassa a tevékenységéről, politikai tevékenységéhez kapcsolódóan kapcsolatba lépjen vele, az érintettek által megadott személyes adatok közül az ezen további kapcsolattartáshoz szükséges személyes adatok, mint pártszimpátiára utaló adatok különleges kategóriájú személyes adatnak is minősülnek. Az adatvédelmi tájékoztató szerint az adatkezelés célja az aláírásgyűjtés támogatása mellett az Ügyfél1-nek az érintettel, mint szimpatizánssal való kapcsolattartása, az érintett tájékoztatása tevékenységéről és rendezvényeiről, illetve felhívások küldése az Ügyfél1 kampányaihoz való csatlakozásra. A politikai kapcsolattartás céljából is kezelt személyes adatok tehát ennek megfelelően az érintettek politikai véleményére utaló információknak, és mint ilyen, az általános adatvédelmi rendelet 9. cikk (1) bekezdése értelmében különleges kategóriájú személyes adatoknak is minősülnek. A különleges kategóriájú személyes adatok kezelését a rendelet főszabályként tiltja, illetve szigorú feltételekhez köti. Ezen különleges kategóriájú személyes adatok többek között a GDPR 9. cikk (2) bekezdésében foglaltak szerint abban az esetben kezelhetőek, ha az érintett kifejezett hozzájárulását adta azok egy vagy több konkrét célból történő kezeléséhez. Ahhoz, hogy az adatkezelő a hozzájárulás jogalapjára jogszerűen hivatkozhasson, a hozzájárulás valamennyi fogalmi elemének meg kell felelnie a rá vonatkozó követelményeknek. Az Európai Adatvédelmi Testület hozzájárulásról szóló 5/2020. számú iránymutatása, valamint annak előzményeként kiadott, az Adatvédelmi Irányelv 29. cikke alapján létrehozott Adatvédelmi Munkacsoport hozzájárulásról szóló WP259 számú iránymutatásában kifejtettek is megerősítik, hogy a nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet a szabályos hozzájárulás előfeltétele. Az iránymutatás kimondja, hogy „kifejezett hozzájárulásra” van szükség bizonyos olyan helyzetekben, amelyekben komoly adatvédelmi kockázat merül fel. Az általános adatvédelmi rendelet értelmében a „kifejezett hozzájárulás” fontos szerepet tölt be a személyes adatok különleges kategóriáinak kezeléséről szóló 9. cikkben, így többek között a politikai kapcsolattartási célból kezelt személyes adatok kezelése esetén is. A „kifejezett” szó ebben az esetben arra utal, hogy az érintett milyen módon nyilvánítja ki a hozzájárulását. Ez azt jelenti, hogy az érintettnek konkrét hozzájárulásról szóló nyilatkozatot kell tennie. A hozzájárulás „kifejezett” voltáról való meggyőződés nyilvánvaló módja a hozzájárulás írásbeli nyilatkozatban történő egyértelmű megerősítése lenne. Amint azt a Hatóság a politikai pártoknak szóló ajánlása II. részében is kifejtette, jó gyakorlatnak tekinti az Európai Adatvédelmi Testület hozzájárulásról szóló 5/2020. számú iránymutatásában, valamint annak előzményeként kiadott, az Adatvédelmi Irányelv 29. cikke alapján létrehozott Adatvédelmi Munkacsoport hozzájárulásról szóló WP259 számú iránymutatásában kifejtett, a hozzájárulás kétlépcsős ellenőrzésének módszerét, amelynek értelmében a megerősítést az adatkezelő úgy szerzi meg, hogy az érintett által megadott elektronikus elérhetőségre elektronikus levél útján értesítést küld arról, hogy az érintett adott személyes adatait szándékozik kezelni, amelyhez válaszlevélben a hozzájárulásának megerősítését kéri. Az adatvédelmi tájékoztatóban foglaltak szerint az adatkezelő a hozzájárulás megerősítésére alkalmazza az előbbiekben ismertetett kétlépcsős ellenőrzés módszerét, a tényleges gyakorlatban azonban ezzel ellentétben a hozzájárulás megerősítésének ezen módszere nem alkalmazott. Ahhoz, hogy az érintett az akaratát konkrétan kinyilváníthassa az szükséges tehát, hogy az adatkezelő az adatkezelési tevékenységekhez kapcsolódó hozzájárulás megszerzésével összefüggő információkat egyértelműen elkülönítse a más kérdésekre vonatkozó információktól. Az általános adatvédelmi rendelet (42) preambulumbekezdése is kimondja, hogy az adatkezelőnek előre megfogalmazott hozzájárulási nyilatkozatról kell gondoskodnia, melyet érthető és könnyen hozzáférhető formában kell rendelkezésre bocsátania, nyelvezetének pedig világosnak és egyértelműnek kell lennie, és nem tartalmazhat tisztességtelen feltételeket.

A Hatóság álláspontja szerint az online felületen a személyes adatok megadása egyrészt nem tekinthető a személyes adatok felhasználásához való hozzájárulásra irányuló megerősítést félreérthetetlenül kifejező cselekedetnek, másrészt nem tekinthető az eredeti adatkezelési célon túl a személyes adatok kapcsolattartási célból történő kezeléséhez való hozzájárulásnak is. A GDPR (32) preambulumbekezdése kimondja, hogy az adatkezelésre csak akkor kerülhet sor, ha az érintett egyértelmű megerősítő cselekedettel, például írásbeli – ideértve az elektronikus úton tett –, vagy szóbeli nyilatkozattal önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű hozzájárulását adja a természetes személyt érintő személyes adatok kezeléséhez. Amennyiben az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan külön meg kell adni. Amennyiben az adatkezelő nem kísérli meg, hogy minden egyes célhoz külön-külön hozzájárulást kérjen, hiányzik a döntés szabadsága. A Hatóság álláspontja szerint az érintettek személyes adatai kezelésének jogszerűsége akkor állapítható meg, ha az érintett a személyes adatainak valamennyi adatkezelési célból történő kezeléséhez célonként külön járulhatott hozzá. Azáltal, hogy a hozzájárulás fentiekben kifejtett módon történő megadása nem az érintettek akaratának egyértelmű és konkrét kinyilvánítása, nem tekinthető az adatkezelés érvényes jogalapjának. A Hatóság megállapítja, hogy az adatkezelők érvényes jogalap nélkül kezelik az érintettek személyes adatait, megsértve ezáltal az általános adatvédelmi rendelet 6. cikk (1) bekezdését. Mivel ezen adatok egyúttal, mint politikai kapcsolattartási célú adatok a személyes adatok különleges kategóriái közé tartoznak, és azok kezelésére többek között abban az esetben van lehetőség, ha ahhoz az érintett kifejezett hozzájárulását adta, az adatkezelés sérti az általános adatvédelmi rendelet 9. cikk (1) bekezdését is. III.3.2. Az adatgyűjtés célhoz kötöttsége A GDPR 5. cikk (1) bekezdés b) pontja rendelkezik a célhoz kötött adatkezelés elvéről, mely szerint személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azokat nem kezelhetik ezekkel a célokkal össze nem egyeztethető módon. A tájékoztató szerint az adatkezelés célja egyrészt az országos aláírásgyűjtés támogatása, másrészt az Ügyfél1-nek az érintettel, mint szimpatizánssal való kapcsolattartása, az érintett tájékoztatása a tevékenységéről és rendezvényeiről, illetve felhívások küldése az Ügyfél1 kampányaihoz való csatlakozásra, azaz ahogy az Ügyfél2 több sajtóbeli megnyilvánulásában is kifejezte, az aláírásgyűjtés további célja, hogy megpróbáljanak „tömegbázist összeszedni”. Az adatvédelmi tájékoztató csupán általánosságban utal az Ügyfél1 által folytatott „országos aláírásgyűjtésre”, konkrétan azonban nem nevezi meg, hogy a tájékoztató mely aláírásgyűjtésére vonatkozik. A Hatóság ehhez kapcsolódóan megjegyzi, hogy a weboldalon keresztül az Ügyfél1 egy másik folyamatban lévő aláírásgyűjtésére is utalást tesz, illetve hiperlinken keresztül annak oldalára navigál, amely oldal tartalmilag hasonló felépítésű, és amely oldalon a hivatkozott adatvédelmi tájékoztató is ugyanaz a tartalmú, általános jellegű országos aláírásgyűjtésre utaló tájékoztató.

A Hatóság az eljárás során megállapította, hogy az adatvédelmi tájékoztatóban hivatkozott konkrét „országos aláírásgyűjtés támogatása” adatkezelési célra csak a kezdeményezés támogatására szolgáló weboldal tetején elhelyezett vastaggal szedett „Egyetértek azzal, hogy védőoltásra senkit ne lehessen kötelezni, és annak hiánya miatt senkit ne lehessen büntetni vagy korlátozni.” szöveg utal, az adatvédelmi tájékoztató ezen konkrét célt nem jelöli meg, míg az adatkezelés másik céljára, azaz arra, hogy az adatok gyűjtésére későbbi kapcsolattartási célzattal is sor kerül, az adatgyűjtésre, illetve a kezdeményezés támogatására szolgáló felületen nem derül fény, amely a Hatóság álláspontja szerint megtévesztő a kezdeményezés támogatói számára. Az aláírókat ugyanis megtévesztő módon az adatgyűjtő felületen kiemelten csak a kezdeményezés elsődleges céljáról tájékoztatja az adatkezelő, míg emellett hiányzik az arra történő felhívás, hogy az aláíró valamennyi személyes adatát – a telefonszám megadása opcionális csak – kapcsolattartási célból is kezelni fogja az adatkezelő, amelyről azonban csak a hiperlinken keresztül megnyitható adatvédelmi tájékoztatóban ad információt. A célhoz kötöttség elvének történő megfelelés többek között megköveteli a konkrétan meghatározott, az adatkezelés megkezdése előtt kinyilvánított cél meghatározását, és annak az érintettek felé történő érthető, nem félreérthető és nem félrevezető kommunikálását. A vizsgált adatkezelés tekintetében a rendelkezésre álló információk alapján a Hatóság megállapította, hogy a személyes adatok gyűjtésének célja ténylegesen nem az aláírásgyűjtés, azaz a petíció támogatása, hanem a témakör iránt érdeklődők, szimpatizánsok, illetve személyes adataik gyűjtése. Ezt támasztja alá többek között, hogy az aláírásgyűjtés kérdésével szó szerint megegyező kérdés népszavazásra javasolt kérdésként a Civil Mozgalom Egyesület kezdeményező által korábban (2020. augusztus 27-én) benyújtásra került a Nemzeti Választási Bizottsághoz. A népszavazásra javasolt kérdés hitelesítését azonban a Nemzeti Választási Bizottság az 52/2020. (IX.21.) NVB határozatában megtagadta, ennek ellenére az aláírásgyűjtés adatvédelmi tájékoztatójában félrevezető módon olyan utalás, illetve tájékoztatás szerepel, miszerint az aláírásgyűjtő íveket petícióként kívánják átadni, bemutatni. Erre utal továbbá az Ügyfél2 azon nyilatkozata is, amelyet a 2020. október 20-án megjelent cikk (https://444.hu/2020/10/20/godeny-probaljuk-a-tomegbazistosszeszedni) szerint az interjú során feltett kérdésre válaszolt: „Ha sikerül több mint 200 ezer aláírást összeszedniük, akkor kerülhet szóba egy népszavazási kezdeményezés – magyarázta a gyógyszerész.”. Tehát az aláírásgyűjtés, adatgyűjtés továbbra is folyamatban van egy olyan kérdésben, amely kérdésben népszavazás nem tartható, és a megjelölt petíciós cél nyilvánvalóan már nem megvalósítható. A valódi adatkezelési cél a Hatóság álláspontja szerint személyes adatok gyűjtése szimpatizánsi adatbázis építéséhez, tömegbázis létrehozatalához, viszont nem világos, kinek a számára, mivel az Ügyfél1 csak papíron létezik. Ezáltal megállapítható, hogy az adatkezelés célja nem egyértelmű és nem valós, ezért az adatkezelők megsértik az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerinti célhoz kötöttség elvét. III.3.3. A tisztességes eljárás elvének sérelme Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja rendelkezik a tisztességes eljárás elvéről, miszerint a személyes adatok kezelését tisztességesen kell végezni. A Hatóság az eljárás során megállapította, hogy az aláírásgyűjtés során – a III.1. pontban részletezettek szerint – az adatkezelői minőség nem megfelelően tisztázott, az érintetteket megtévesztő módon tájékoztatják az adatkezelő személyéről és egy ténylegesen nem működő pártot neveznek adatkezelőnek.

Ugyancsak megtévesztő az adatkezelés céljáról történő tájékoztatás. A III.3.2. pontban kifejtettek szerint egyrészt megtévesztő amiatt, hogy az adatgyűjtő felületen az aláírókat nem tájékoztatják az egyúttal kapcsolattartás céljából történő adatkezelésről, másrészt az aláírásgyűjtés céljaként olyan célt jelöl meg az adatkezelő, amely egy nyilvánvalóan lehetetlen cél, ugyanis köztudomású tény, hogy a kérdés népszavazásra nem alkalmas, annak hitelesítését a Nemzeti Választási Bizottság több okra hivatkozva elutasította korábban.

Fentiek alapján megállapítható, hogy az adatkezelés tisztességtelen, ezáltal az adatkezelők megsértik az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti tisztességes eljárás elvét. III.4. A papír alapú aláírásgyűjtés Az aláírásgyűjtés során – a weboldalon letölthető aláírásgyűjtő ív szerint – az érintettek alábbi személyes adatait gyűjtik: név, lakcím (irányítószám, település, közterület neve, házszám/em./ajtó), e-mail elérhetőség, telefonszám és aláírás. A weboldalon elérhető adatvédelmi tájékoztató szerint továbbá – amelynek weboldalon történő elérhetőségére az aláírásgyűjtő íven utalás egyébként nem szerepel – az érintett adataihoz egy ID azonosító számot rendelnek, amivel dokumentálható az adatkezelési hozzájárulás. Az aláírásgyűjtő íven az egyes gyűjtött adatköröknél nincs megjelölve, hogy azok kötelezően vagy opcionálisan megadandóak-e.

Az aláírásgyűjtő íven az alábbi, az adatkezelés jogalapjára utaló tájékoztatásként értékelhető szöveg szerepel: „A gyűjtőíven szereplő információk megadásával és az aláírásgyűjtő ív aláírásával hozzájárulok, hogy a közölt adataimat az információs önrendelkezési jogról és az információszabadságról szóló 2011. CXII. törvény 5. § (1) bekezdés a) pontja alapján, további kapcsolattartás, véleménykérés és tájékoztatás céljából, az adatkezeléshez tett hozzájáruló nyilatkozat visszavonásáig kezeljék.” Az adatvédelemre vonatkozó főbb szabályokat 2018. május 25-ig hazánkban az Infotv. tartalmazta, ezen időponttól kezdődően a GDPR kötelezően és közvetlenül alkalmazandó, az aláírásgyűjtő íven szereplő rövid tájékoztató szöveg azonban ezzel szemben az Infotv. 5. § (1) a) pontjában megjelölt hozzájárulás jogalapjára hivatkozik. Az Ügyfél2 nyilatkozata szerint az érintettek a személyes adataikat mind az online, mind a papír alapon történő aláírásgyűjtés során önként adják meg. Az aláírásgyűjtő íven szereplő előre megfogalmazott nyilatkozat kifejezetten csak a „további kapcsolattartás, véleménykérés és tájékoztatás céljából” történő adatkezeléshez való hozzájárulásra utal. Ugyanakkor az aláírásgyűjtés célja nem csupán a további kapcsolattartás, és ahhoz kapcsolódóan adatbázis-építés, hanem a kezdeményezés támogatása is, amelyre csak az aláírásgyűjtő ív „Egyetértek azzal, hogy védőoltásra senkit ne lehessen kötelezni, és annak hiánya miatt senkit ne lehessen büntetni vagy korlátozni.” fő címe utal. A hozzájárulás fontos fogalmi eleme, hogy a hozzájárulás kérését megfelelő tájékoztatás előzze meg. A GDPR 5. cikk (1) bekezdés a) és b) pontja, valamint ezzel összefüggésben a (39) preambulumbekezdés kimondja, hogy a természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik és fogják kezelni. Az átláthatóság elve vonatkozik az érintetteknek az adatkezelés céljairól való tájékoztatására is. A személyes adatkezelés konkrét céljainak explicit módon megfogalmazottaknak és jogszerűeknek, továbbá már a személyes adatok gyűjtésének időpontjában meghatározottaknak kell lenniük.

Megállapítható tehát, hogy az érintettek a személyes adataik „kezdeményezés támogatása” céljából, továbbá a „kapcsolattartás, véleménykérés és tájékoztatás” céljából történő kezeléséhez a hozzájárulásukat az aláírásgyűjtő ív kitöltése útján adják meg, azaz a személyes adatok kezelésének jogalapja az érintettek hozzájárulása.

A Hatóság megállapította, hogy a hozzájáruló nyilatkozat alapjául szolgáló tájékoztatás azonban nem megfelelő, az aláírásgyűjtő íven elhelyezett tájékoztatás ugyanis – a III.2.2.

pontban is részletezettek szerint – nem teljeskörű, és ezáltal a hozzájárulás nem tekinthető tájékozottnak. A Hatóság azonban a tájékoztatás hiányossága ellenére az érintettek adatkezeléshez történő hozzájárulását nem tekinti érvénytelennek, amennyiben az adatkezelők a megfelelő tájékoztatás mellett hozzájárulásuk megerősítését kérő nyilatkozatot szereznek be az érintettektől. III.5. Az elszámoltathatóság elvének sérelme A Hatóság rámutat, hogy az általános adatvédelmi rendelet 5. cikk (2) bekezdés szerinti, lényegében az adatkezelő objektív felelősségét és fokozott gondossági követelményét megfogalmazó elszámoltathatóság alapelvi követelményéből fakadóan az adatkezelőnek a kötelezettsége annak igazolása, hogy az adatkezelés jogszerűségének feltételei – az adatkezelés megkezdésétől – folyamatosan fennállnak. Az adatkezelőnek az adatkezelés megtervezésétől kezdve az adatkezelés megkezdésén át, egészen a kezelt személyes adatok törléséig valamennyi adatkezelési műveletet úgy kell megvalósítania, hogy bármelyik pillanatban bizonyítani tudja, hogyan felelt meg az adatvédelmi előírásoknak. Az elszámoltathatóság elve alapján az adatkezelőnek az adatkezelés teljes folyamata során úgy kell megvalósítania az adatkezelési műveleteket, hogy képes legyen az adatvédelmi szabályoknak való megfelelés bizonyítására. Az elszámoltathatóság elve tehát nem csak általában, folyamat szinten értelmezhető, az valamennyi konkrét adatkezelési tevékenység, egy konkrét érintett személyes adatai kezelésének vonatkozásában is érvényesül. A Hatóság megállapítja, hogy az adatkezelők az adatkezelés jogszerűségét, átláthatóságát nem igazolták a Hatóság felé, nem nyilatkoztak arra vonatkozóan, hogy a gyűjtött személyes adatokat hogyan és mire használják, az adatokat hol tárolják, továbbá az adatkezelésnek mi a valódi célja.

Fentiek alapján megállapítható, hogy az adatkezelők azáltal, hogy a Hatóság felé nem igazolták az adatkezelés jogszerűségét, megsértették az általános adatvédelmi rendelet 5. cikk (2) bekezdésében foglalt elszámoltathatóság alapelvi követelményét. III.6. Egyéb megállapítások A Hatóság az adatvédelmi hatósági eljárás során a fentiekben feltárt tényállás alapján megállapította, hogy felmerül az Ügyfél1 törvénysértő módon történő működése, illetve működésképtelensége. Az Ügyfél1 elérhetősége a bírósági nyilvántartásba a mindenkor bejegyzett székhelyén nem volt és jelenleg sem biztosított, továbbá a küldemények cégkapus kézbesítése sem volt lehetséges. Az Ügyfél1 továbbá a bírósági nyilvántartásba bejegyzett képviselője útján sem volt elérhető a legtöbb esetben. A bejegyzett adatok szerint ugyan a szervezet bírósági nyilvántartásban bejegyzett adataiban változás következett be (székhely, bejegyzett képviselő változása), az Ügyfél1 elérhetősége azonban a változás bejegyzését követően sem volt biztosított. Az Ügyfél1 korábbi székhelye olyan címre volt bejelentve, ahol olyan személy tartózkodott, aki a szervezetnek nem képviselője, csak tagja, ezáltal az Ügyfél1 székhelyére postázott küldemények átvétele sem volt biztosított. A Hatóság észlelte, hogy Ügyfél1 a beszámoló, illetve közhasznúsági melléklet közzétételi kötelezettségének sem tett egyáltalán eleget. A Hatóság mindezen okokból kezdeményezte a Fővárosi Törvényszéknek a civil szervezetek bírósági nyilvántartásáról és az ezzel összefüggő eljárási szabályokról szóló 2011. évi CLXXXI. törvény 71/A.-71/I. § - aiban foglaltak szerinti törvényességi felügyeleti eljárását. III.7. Jogkövetkezmények III.7.1. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapítja, hogy az Ügyfél1, és az Ügyfél2 megsértik az általános adatvédelmi rendelet 6. cikk (1) bekezdését és 9. cikk (1) bekezdését azáltal, hogy a weboldalon keresztül zajló aláírásgyűjtéssel összefüggésben jogalap nélkül gyűjtik az érintettek személyes adatait. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapítja, hogy az Ügyfél1 és az Ügyfél2 megsértik az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerinti célhoz kötött adatkezelés elvét azáltal, hogy az adatkezelés célja nem egyértelműen meghatározott. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapítja, hogy az Ügyfél1 és az Ügyfél2 megsértik az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átláthatóság elvét, a 13. cikkét azáltal, hogy nem nyújtanak az érintetteknek egyértelmű, megfelelő és valós tárjékoztatást a papír alapon és weboldalon történő aláírásgyűjtéssel összefüggésben megvalósuló adatkezelés valamennyi lényeges körülményéről. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapítja, hogy az Ügyfél1 és az Ügyfél2 azáltal, hogy az adatkezelői minőségük tisztázatlan volt, az érintetteket megtévesztő módon tájékoztatták az adatkezelő kilétéről és az adatkezelés céljáról, megsértették az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti tisztességes eljárás elvét. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapítja, hogy az Ügyfél1 és az Ügyfél2 megsértette az általános adatvédelmi rendelet 5. cikk (2) bekezdésében foglalt elszámoltathatóság követelményét azáltal, hogy a Hatóság irányába nem igazolták az adatkezelés jogszerűségét. A Hatóság figyelemmel arra, hogy az adatkezelés különleges kategóriájú (pártszimpátiával kapcsolatos) személyes adatok kezelését is érinti és nincs semmilyen konkrét információ a gyűjtött személyes adatok felhasználásáról, miközben az adatgyűjtés megjelölt célja nem valós, továbbá az Ügyfél1 és az Ügyfél2 az eljárás során a Hatósággal nem működött együtt, az általános adatvédelmi rendelet 58. cikk (2) bekezdés g) pontja alapján utasítja az Ügyfél1-et és az Ügyfél2-t, hogy dokumentált módon töröljék az aláírásgyűjtés weboldalán keresztül az érintettektől online módon gyűjtött valamennyi személyes adatot. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) és g) pontja alapján utasítja az Ügyfél1-et és az Ügyfél2-t, hogy a hozzájárulásukat a papír alapú aláírásgyűjtő íven megadó érintettektől az adatkezelésre vonatkozó teljeskörű tájékoztatás mellett szerezzenek be a hozzájárulásuk megerősítését kérő nyilatkozatot, ennek hiányában dokumentált módon töröljék az érintettektől mind a kezdeményezés támogatása céljából, mind a kapcsolattartás cáljából kezelt személyes adatokat.

A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés f) pontja alapján megtiltja az aláírásgyűjtéssel összefüggésben az adatkezelés folytatását oly módon, hogy Ügyfél1 és Ügyfél2 haladéktalanul fejezze be az aláírásgyűjtéssel összefüggésben mind a papír alapon, mind az online felületen történő személyes adatok gyűjtését, mivel annak célja nem egyértelmű és nem valós, az adatgyűjtés olyan kérdésben van folyamatban, amely kérdésben népszavazás nem tartható, és a megjelölt petíciós cél már nem megvalósítható. A valódi adatkezelési cél szimpatizánsi adatbázis építése, tömegbázis létrehozatala úgy, hogy az Ügyfél1 a gyakorlatban nem működik,csak papíron, és a tényleges tevékenységek a Normális Élet Pártja szervezet neve alatt zajlanak. III.7.2. A Hatóság megvizsgálta, hogy indokolt-e az Ügyfél1-gyel és az Ügyfél2-vel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértések esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság a bírság összegének meghatározása során mindenekelőtt figyelembe vette, hogy az Ügyfél1 és az Ügyfél2 által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pontja szerinti magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek [GDPR 83. cikk (2) bekezdés a) pont] A Hatóság mind az Ügyfél1-gyel, mind az Ügyfél2-vel szemben kiszabott adatvédelmi bírság összegének meghatározása során enyhítő körülményként vette figyelembe, hogy elmarasztalásukra az általános adatvédelmi rendelet megsértése miatt még nem került sor [GDPR 83. cikk (2) bekezdés e) pont]. A) A Hatóság az Ügyfél1-gyel szemben történő bírságkiszabás során súlyosító körülményként vette figyelembe az alábbiakat:

a jogsértések jellege súlyos, az ügy aktuális társadalmi kérdést érint, amely ezáltal jelentős, nagy számú érintett (a https://alairasgyujtes.online weboldalon szereplő adatok szerint a támogató aláírások száma közel 58.000) személyes adatának kezelését vonta maga után [GDPR 83. cikk (2) bekezdés a) pont]; az általános adatvédelmi rendelet több rendelkezését megsértette az Ügyfél1 [GDPR 83. cikk (2) bekezdés a) pont]; a jogsértés hosszabb ideje (az aláírásgyűjtés 2020. október 13. napján indult és az eljárás alatt is tartott) fennáll, az adatgyűjtés még jelenleg is folyamatban van [GDPR 83. cikk (2) bekezdés a) pont]; a közéleti-politikai élet szereplőitől a Hatóság szerint fokozottan elvárható, hogy az általuk történő személyes adatok gyűjtése során az általános adatvédelmi rendelet előírásainak megfelelően járjanak el [GDPR 83. cikk (2) bekezdés a) pont]; a jogellenes adatkezelést az Ügyfél1 súlyosan gondatlan magatartása, adatkezelési gyakorlata idézte elő [GDPR 83. cikk (2) bekezdés b) pont]; az Ügyfél1-től, mint a politikai élet szereplőjétől és a gyűjtött személyes adat kategóriájából adódóan elvárható lett volna minden technikai és szervezési intézkedés megtétele az adatkezelés megfelelősége érdekében [GDPR 83. cikk (2) bekezdés d) pont]; a gyűjtött személyes adatok egyúttal különleges kategóriájú személyes adatok [GDPR 83. cikk (2) bekezdés g) pont]; az Ügyfél1 eljárás során tanúsított magatartása, elérhetetlensége a tényállás tisztázását nagyban akadályozta [GDPR 83. cikk (2) bekezdés f) pont]; A Hatóság az Ügyfél1-gyel szemben történő bírságkiszabás során nem tartotta relevánsnak a GDPR 83. cikk (2) bekezdés c), h), i), j) és k) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem értelmezhetők.

B) A Hatóság az Ügyfél2-vel szemben történő bírságkiszabás során súlyosbító körülményként vette figyelembe az alábbiakat:

a jogsértések jellege súlyos, az ügy aktuális társadalmi kérdést érint, amely ezáltal jelentős, nagy számú érintett személyes adatának kezelését vonta maga után [GDPR 83. cikk (2) bekezdés a) pont]; az általános adatvédelmi rendelet több rendelkezését megsértette az Ügyfél2 [GDPR 83. cikk (2) bekezdés a) pont]; a jogsértés hosszabb ideje fennáll, továbbá még jelenleg is folyamatban van az adatgyűjtés (2020. október 13. napján indult és az eljárás alatt is tartott) [GDPR 83. cikk (2) bekezdés a) pont]; az Ügyfél2-től, mint a politikai életben jelenleg is aktívan szerepet vállaló személytől fokozottan elvárható, hogy az adatkezelés során az általános adatvédelmi rendelet előírásait betartva járjon el [GDPR 83. cikk (2) bekezdés a) pont]; az Ügyfél2-nek egyrészt a párt ügyvezetőjeként, azaz az Ügyfél1 törvényes képviselőjeként eljárva is volt ráhatása az adatkezelésre, ugyanakkor magánszemély adatkezelőként is meghatározó szereplője az ügynek [GDPR 83. cikk (2) bekezdés a) pont]; a jogellenes adatkezelést az Ügyfél2 súlyosan gondatlan magatartása, adatkezelési gyakorlata idézte elő [GDPR 83. cikk (2) bekezdés b) pont]; a gyűjtött személyes adatok egyúttal különleges kategóriájú személyes adatok [GDPR 83. cikk (2) bekezdés g) pont]; az Ügyfél2 eljárás során tanúsított magatartása, elérhetetlensége, a Hatóság megkereséseiben foglalt kérdések figyelmen kívül hagyása a tényállás tisztázását nagyban akadályozta [GDPR 83. cikk (2) bekezdés f) pont]; A Hatóság az Ügyfél2-vel szemben történő bírságkiszabás során enyhítő körülményként vette figyelembe, hogy az Ügyfél2 természetes személy [GDPR 83. cikk (2) bekezdés k) pont]. A Hatóság az Ügyfél2-vel szemben történő bírságkiszabás során nem tartotta relevánsnak a GDPR 83. cikk (2) bekezdés c), d) h), i) és j) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem értelmezhetők. A bírság kiszabása a fentiek alapján szükséges az Ügyfél1 és az Ügyfél2 tekintetében speciálisan, továbbá a Hatóság a kiszabott bírságösszeg meghatározásakor a speciális prevenciós cél mellett figyelemmel volt a bírsággal elérni kívánt generálpreventív célra is, mellyel – a Ügyfél1 és az Ügyfél2 újabb jogsértéstől való visszatartása mellett – a személyes adatok védelméhez való jog aláírásgyűjtésekkel kapcsolatos érvényesülését kívánja elérni. Figyelemmel arra, hogy az Ügyfél1 a beszámoló közzétételi kötelezettségének az elmúlt években nem tett eleget, a Hatóságnak nem áll rendelkezésére konkrét információ az Ügyfél1 éves bevételére vonatkozóan. Az eljárás során az Ügyfél2 sem hivatkozott olyan tényre, vagy körülményre, amelynek figyelembevételét az esetleges bírságkiszabás során szükségesnek tartotta volna. A bírság összegét a Hatóság mindezek figyelembevételével jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg. A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

IV. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §-a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2022. március 2. Dr. Péterfalvi Attila elnök c. egyetemi tanár