Орган по защите данных Венгрии (NAIH): незаконная обработка персональных данных в рамках регистрации с требованием загрузки копии документа

(…)

1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu

Ügyiratszám: NAIH-19-18/2024 Tárgy: határozat hivatalból indult adatvédelmi hatósági eljárásban Előzmény ügyszám: NAIH-8614/2023 HATÁROZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a […]

Ügyvédi Iroda (székhelye: […]; eljáró ügyvéd: […]; KASZ szám: […]; a továbbiakban: Jogi Képviselő) által képviselt […]a továbbiakban: Kötelezett) által az ún. „[…] PROGRAM”-mal (a továbbiakban: Program) összefüggésben 2021 novemberében kialakított és 2021. december 10-től és azt követően 2023. november 30-ig, majd 2023. december 1-jétől a bizonyítási eljárás lezárásáig, azaz 2024. július 17-ig terjedő időszakban megvalósított adatkezelési gyakorlatának a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendeletben (a továbbiakban: az általános adatvédelmi rendelet) foglalt előírásoknak való megfelelése tárgyában 2023. október 6.

napján hivatalból megindított adatvédelmi hatósági eljárásában az alábbi döntéseket hozza:

1. A Hatóság megállapítja, hogy a Kötelezett gondatlanul megsértette: 1.1.

a 2021. december 10-től 2023. november 30-ig terjedő időszakban

a) az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontjában foglalt átláthatóság elvét; b) az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontját; c) az általános adatvédelmi rendelet 6. cikk (1) bekezdését; d) az általános adatvédelmi rendelet 12. cikk (1) bekezdését; e) az általános adatvédelmi rendelet 13. cikk (1) bekezdés c) és e) pontjait; f) az általános adatvédelmi rendelet 13. cikk (2) bekezdés a) pontját; g) az általános adatvédelmi rendelet 14. cikk (1) bekezdés c), d) és e) pontjait; h) az általános adatvédelmi rendelet 14. cikk (2) bekezdés a) pontját; valamint i) az általános adatvédelmi rendelet 32. cikk (4) bekezdését;

1.2.

a 2021. december 10-től 2023. november 2-ig terjedő időszakban az általános adatvédelmi rendelet 5. cikk (1) bekezdés e) pontját; továbbá

1.3.

a 2023. május 16-tól 2023. június 15-ig terjedő időszakban az általános adatvédelmi rendelet 28. cikk (3) és (9) bekezdéseit.

2. A Hatóság megállapítja, hogy a Kötelezett a 2023. december 1-jétől a bizonyítási eljárás lezárásáig terjedő időszakban gondatlanul megsértette

a) az általános adatvédelmi rendelet 13. cikk (1) bekezdés c) pontját; b) az általános adatvédelmi rendelet 13. cikk (2) bekezdés a) pontját; c) az általános adatvédelmi rendelet 14. cikk (1) bekezdés c) pontját; valamint d) az általános adatvédelmi rendelet 14. cikk (2) bekezdés a) pontját.

3. A Hatóság a 2. pontban megállapított jogsértések miatt kötelezi a Kötelezettet arra, hogy az adatkezelési gyakorlatát hozza összhangba az általános adatvédelmi rendelet rendelkezéseivel, valamint módosítsa a vonatkozó adatkezelési tájékoztatóját.

4. A Hatóság az 1. és 2. pontban megállapított jogsértések miatt a Kötelezettet hivatalból kötelezi a jelen határozat véglegessé válásától számított 30 napon belül

75.000.000 Ft, azaz hetvenötmillió forint adatvédelmi bírság megfizetésére.

5. A Hatóság az információs önrendelkezési jogról és az információszabadságról szóló

Az adatvédelmi bírságot jelen határozat véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek beszedési célelszámolási forintszámlájára (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell átutalással megfizetni. Az összeg átutalásakor a NAIH-19/2024 BÍRS. számra kell hivatkozni. Amennyiben a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A 3. pontban és az 5. pontban előírt kötelezettségek teljesítését a Kötelezettnek jelen határozat véglegessé válásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A 3. pontban és az 5. pontban előírt kötelezettségek nem teljesítése, az adatvédelmi bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat, a bírság és a késedelmi pótlék végrehajtását. Az eljárásban eljárási költség nem merült fel. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani elektronikusan,1 amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. 1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki.

I N D O K O L Á S

I. Tényállás

A Hatóság által megállapított tényállás a következő:

(1) Kötelezett az energiahatékonysági kötelezettségi rendszerben való kötelező részvételére tekintettel országos kiterjedtségű […] programot („[…] PROGRAM”; a továbbiakban: „Program”) hirdetett lakossági felhasználók, azaz természetes személyek számára, amelynek keretében a Programra jelentkezők online regisztrációt követően energiahatékonysági megállapodás (a továbbiakban: szerződés) megkötésével ingyen juthattak LED-ekhez, és cserélhették le a háztartásaikban található régi izzókat új, korszerű LED fényforrásokra.

(2) A Program megvalósítása 2021. november 15-én indult el azzal, hogy a Program operatív alkalmazásához szükséges informatikai fejlesztések megkezdődtek, Kötelezett részére egy, – a Programra történő regisztrációt, szerződéskötési folyamatot és adminisztratív felületet is biztosító – webes applikáció (a továbbiakban: Adatbázis) került kialakításra a […] […] Kft. (korábbi nevén: […] […] Korlátolt Felelősségű Társaság) által. A Program éles indítása 2021. december 10. napján történt meg, ekkor indult a Programra történő regisztráció, a vizsgált adatkezelés. A Program megvalósítása a bizonyítási eljárás lezárásakor, azaz 2024. július 17-én is folyamatban volt (a Program várható befejezése 2024. december 31. napja), ekkor a regisztrációs lehetőség nyitva állt, és az összes szerződött résztvevő adata is a Kötelezett kezelésében állt. A Programra vonatkozó jogszabályi előírásokra tekintettel a szerződéskötést követően egyes, jogszabályban meghatározott személyes adatokat a Kötelezett 2035. december 31-ig tárol, így megállapítható, hogy huzamosabb időtartamú az adatkezelés.

(3) Az Adatbázis regisztrációs felülete a […] honlap (a továbbiakban: Weboldal1)

Jelentkezés menüpontjából a […]/registration címen elérhető aloldalán került elhelyezésre. Korlátozott ideig a Győr Város Önkormányzatával kötött megállapodások hatálya alatt – az Adatbázisba történő regisztráció a […] honlapon (a továbbiakban: Weboldal2), a […]/registration címen keresztül is elérhető volt, azonban a Programmal kapcsolatos összes dokumentáció hivatkozása, a Gyakran Ismételt Kérdések és Kapcsolat menüpont is a Weboldal1-re irányította át a látogatókat Weboldal2-ről is. (4) Az eljárás során értékelt Programba való regisztráció természetes személyek számára állt nyitva. A Programba jelentkezni kizárólag a Weboldal1-en vagy Weboldal2-ről elérhető Adatbázis regisztrációs felületen keresztül, illetve a Programban részt vevő önkormányzatok közreműködésével lehetett, de az minden esetben az Adatbázisba történő online regisztráció útján történt, személyes regisztrációra nem volt lehetőség.

(5) A Program során 2024. június 30. napig 132.546 fő természetes személy regisztrált az Adatbázisba (az összes regisztráció száma 189.351 db, amelybe beleszámít, ha egy regisztráció elutasításra került és az elutasított regisztráció később megismétlődött), amelyből a Program indulásától 2023. november 30-ig 114.318 fővel, a 2023.

december 1-jétől 2024. július 11. napig terjedő időszakban pedig 18.228 fővel került sor szerződéskötésre, és összesen 1.671.135 db LED került átadásra 2024. június 30. napjáig (NAIH-19-13/2024). Az Adatbázisban a LED-ek átadását követően is a korábbi szerződők szerződésben rögzített adatai elérhetőek maradnak, azok az adminisztrációs felületen visszakereshetőek, azonban a szerződött természetes személyekről okmánymásolatok már nem kerülnek megőrzésre. Ez alapján megállapítható, hogy 2023. november 30-ig, és azt követően is különösen jelentős számú érintett adatát kezelte Kötelezett a Programban. (6) Az Adatbázis útján történő regisztráció során 2023. november 30-ig a regisztráló természetes személynek kötelezően meg kellett adnia a Programra történő jelentkezéshez a következő adatait: e-mail-cím, telefonszám, név, születési hely, idő, anyja neve, lakcím. Emellett az Adatbázisba fel kellett töltenie a regisztrálónak a jelentkező személyazonosító igazolványának mindkét oldalát, valamint a lakcímet, illetve személyi azonosítót igazoló hatósági igazolványának mindkét oldalát tartalmazó fájlt (tehát okmánymásolatokat); továbbá a regisztráló természetes személy mint fogyasztó nevére szóló villanyszámla képét, és arról az azon szereplő egyes további adatokat kellett feltölteni: elszámolási időszak kezdete, elszámolási időszak vége, felhasználási hely címe, elszámolási időszak fogyasztás (kWh), éves fogyasztás, (kWh), éves határ (kWh), éves égő összfogyasztás (kWh), mérési pont (POD) azonosító, második mérési pont (POD) azonosítója; végül meg kellett adnia a regisztráció időpontjában használt égők foglalatának típusát és számát helyiségenként, azok fogyasztását és napi használatát (órákban jelölve). (7) 2023. november 30-ig kifejezetten az Adatbázis útján történő regisztrációhoz, vagy a Programhoz kapcsolódóan megvalósuló, a regisztrációt követő adatkezelési műveletekhez adatkezelési tájékoztató nem került közzétételre Weboldal 1-2 felületein és az Adatbázis regisztrációs felületén sem. A Weboldal 1-2 alsó menüsorában, és a regisztrációs felület alsó menüsorában egyaránt megtalálható „Dokumentumok” menüpontban a Programra és az Adatbázis regisztrációra kifejezett utalást nem tartalmazó, a Weboldal1-en elhelyezett „Adatvédelmi és adatkezelési Tájékoztató a […] Kft. tevékenységére vonatkozóan” című, a hatósági eljárásának megindításakor 2022. február 11-i keltezésű adatkezelési tájékoztató volt elérhető [forenzikus mentés: NAIH- 4208-11/2023], és ezt csatolta Kötelezett a vizsgálati eljárásban a Hatóság részére is [NAIH-4208-7/2023. ügyiratszám 3. melléklet]. A tájékoztatóban Kötelezett 2021. július 05-e előtti székhelyének címe szerepelt; a tájékoztatóban használt fogalmak, hivatkozott érintetti jogok, jogszabályi rendelkezések az általános adatvédelmi rendelet alkalmazandóvá válását megelőzően hatályos jogszabályi környezetre vonatkoztak; abban az általános adatvédelmi rendelet nem került megemlítésre; valamint az a Hatóság 2020. szeptember 30-át megelőző postafiók címét és korábbi székhelyét tartalmazta. A tájékoztató „IV. Az ügyfelekkel kötött szerződések adatkezelése” címe az interneten a Kötelezettel kötött szerződésekben foglalt személyes adatok kezelésének jogalapjaként az érintett önkéntes hozzájárulását jelölte meg, a meghatalmazottak útján történő szerződéskötés esetén pedig az érintett adatait Kötelezett jogos gazdasági érdeke alapján kezelte tájékoztatója szerint. A „XII. Az adatkezelés időtartama” cím alatt Kötelezett rögzítette, hogy a panasznak nem minősülő közlések, vélemények 180 napig kerülnek megőrzésre, a szerződések megkötésével, a szerződéskötéshez kapcsolódó ajánlatkéréssel és ajánlatokkal kapcsolatos adatokat 8 évig őrzi meg. A közvetlen üzletszerzési céllal felvett adatokat azonban Kötelezett az érintett hozzájárulásának visszavonásáig kezelte tájékoztatója szerint. (8) A Weboldal 1-2 Adatbázis regisztrációs aloldalain, az Adatbázis adatkérő mezőinél nem volt az adatgyűjtés megkezdésekor a tájékoztatóra mutató közvetlen hivatkozás elhelyezve, az csak az alsó menü Dokumentumok menüjéből volt elérhető. Weboldal 1- 2 összes lapja alján, azaz a regisztráció során is elérhető volt az Egységes Szerződési Feltételekre (ESZF) és a Gyakran Ismételt Kérdésekre (GYIK) mutató menüpont, amelyek tartalmaztak a Program során megvalósuló adatkezeléssel kapcsolatos tájékoztatást is.

(9) A 2023. november 30-ig elérhető GYIK rövid tájékoztatást adott arról, hogy miért szükséges a villanyszámlát és az okmánymásolatokat feltölteni, valamint rögzítette, hogy a „[…] rendelkezik adatkezelési szabályzattal, valamint a […] programra vonatkozó szerződéses feltételek (ESZF) is tartalmaznak adatkezelési és adatvédelmi szabályokat, amelyek - és az érintett természetes személy elfogadó nyilatkozata folytán - az adatkezelés elfogadását, valamint az arra való felhatalmazást is jelentik a programban részes személy tekintetében.” A hivatkozott adatkezelési szabályzat a Kötelezett 2021. november 15-i keltezésű belső eljárásrendjét takarta, amely nem került közzétételre a regisztrálni szándékozó érintettek számára, az számukra nem volt megismerhető az online regisztrációt megelőzően, azt az eljárás során a Hatóság felhívására küldte meg Kötelezett [NAIH-3626-2/2023 ügyiratszámon iktatott nyilatkozat 9. sz. melléklete]. Az igazolványok feltöltésének okaként a GYIK rögzítette, hogy „Az igazolványok a villanyszámlán lévő személyt igazolják, és a szerződéskötéshez szükségesek. A természetes személy adatainak kezelése és tárolása, valamint azok feldolgozása szükségszerű része a programnak, mivel azok nélkül a jelentkező azonosítását (és a felhasználási helyének további azonosítását) nem lehet elvégezni. Az azonosítás személyes adatokat tartalmazó iratok ismeretét (az adatok átadását) tételezi fel, így az adatkezelés (az iratok elektronikus átvételével) célhoz kötött és rendeltetésszerű, amelyet a jelentkező nem kifogásolhat.”

(11) Az ESZF jelölőnégyzet útján történő elfogadását követően, még a regisztráció azonos lapján egy „Nyilatkozat”-ot kellett jelölőnégyzet útján elfogadnia az érintettnek („A nyilatkozatot elfogadom”), amelyben a regisztráló kijelenti, hogy részt kíván venni a programban, elfogadja az ESZF-et és a létrejövő Energiahatékonysági Megállapodást, végezetül az alábbi adatkezeléssel kapcsolatos nyilatkozatot teszi: „Kijelentem, hogy a „[…] PROGRAM”-al kapcsolatosan - a […] adatkezelési tájékoztatójának ismeretében hozzájárulok ahhoz, hogy a […] a „[…] PROGRAM”-al kapcsolatos adataimat (ide értve a személyes adatokat is) kezelje, felhasználja, feldolgozza, továbbítsa az „ESZF” szabályai szerint.” [NAIH-8614-4/2023. ügyiratszámon Jegyzőkönyv „Részvételi Nyilatkozat” című melléklete]. Itt sem került elhelyezésre a Kötelezett adatkezelési tájékoztatójára mutató hivatkozás, így az a Weboldal1-2 felületein egyedül közzétett „Adatvédelmi és adatkezelési Tájékoztató a […] Kft. tevékenységére vonatkozóan” című dokumentumot takarhatta kizárólag. E jelölőnégyzet elfogadásával tehát egyszerre fogadta el ismételten az érintett az ESZF-et, amely rögzíti, hogy az abban foglaltak az irányadók az adatkezelés jellemzőire, illetve azt, hogy ismeri az általános tájékoztatást nyújtó, az ESZF-től eltérő tartalmú adatkezelési tájékoztatót, amely ismeretében hozzájárulását adja az adatkezeléshez, amely ugyanakkor a Programra vonatkozóan nem ad tájékoztatást, a szerződéses ajánlatkéréshez kapcsolódó adatkezelésre viszont eltérő tájékoztatást tartalmaz, mint az ESZF a programban való részvétel kapcsán.

(12) A jelölőnégyzetek bejelölését követően az érintett elküldhette az adatait a Kötelezett szerverére az Adatbázisba, ezáltal a regisztráció ún. „új regisztráció” fázisba került és egy megerősítő e-mail került megküldésre az érintett által megadott e-mail-címre. Weboldal1-en a regisztrációs folyamat utolsó lépéseként létrejövő nyilatkozatban 2023. május 17-ig tévesen került feltüntetésre a […] […] Korlátolt Felelősségű Társaság mint a Program meghirdetője, az Kötelezett által a Hatóság vizsgálati eljárása során, annak megkeresésére tekintettel került kijavításra [NAIH-3626-5/2023. ügyiratszámú nyilatkozat 10) pontja]. Amennyiben az érintett a visszaigazoló e-mailben foglalt linkre kattintott, úgy a regisztráció státusza „ellenőrzésre vár” állapotra változott.

(13) Az ellenőrzést a Kötelezett alkalmazottai és közreműködői végezték el oly módon, hogy a regisztráció során az Adatbázison keresztül gyűjtött személyes adatokat az Adatbázis adminisztrációs felületére a nyílt internetről, egyszerű felhasználónév és jelszó párossal, másodlagos azonosítás nélkül, internetes böngészőből belépve manuálisan összevetették a szintén az érintettek által rendelkezésre bocsátott okmánymásolatokon és számlakivonaton található adatokkal. Amennyiben az érintett nem töltötte fel a kért okmánymásolatokat, vagy már korábban szerződött a Programba, úgy a regisztráció elutasításra került, hiánypótlásra, utólagos feltöltésre nem volt mód. Az Adatbázisba bekerült személyes adatokhoz számos felhasználó rendelkezett hozzáféréssel, olyanok is, akik eseti jelleggel működtek közre. A belépéshez szükséges jelszót számukra egyszerű e-mail útján küldte meg az Adatbázis adminisztrátora, és olyan technikai intézkedés nem került bevezetésre az adminisztrációs felületen, amely tiltotta volna az ellenőrzési folyamat során Adatbázisból az okmányképek lementését, személyes adatok kimásolását, képernyőkép készítését. A Kötelezettnél a 2023. október 18-i helyszíni szemle időpontjában ezen felhasználók között szerepeltek olyanok is, amelyek jogosultságai nem kerültek visszavonásra az egyes közreműködési időszakok között, illetve a felhasználóhoz kapcsolódó jelszó sem került megváltoztatásra. (14) Az Adatbázisba feltöltött okmánymásolatok főszabály szerint kizárólag az adatok ellenőrzésének idejéig – vagy az érintett jelentkezésének visszavonásáig – kerültek tárolásra [NAIH-8614-6/2023 nyilatkozat 46) pontja]. A 2023. október 18-i helyszíni szemle időpontjában 374 személy kapcsán kezelt a Kötelezett az Adatbázisban továbbra is okmánymásolatot 2023. szeptember 1-jét megelőzően regisztrált személyekhez kapcsolva, ezen adatbázis rekordokról a Hatóság forenzikus mentést készített a helyszíni szemle során. A 374 db rekord 2023. október 18. napját követő 15 napon belül törlésre került Kötelezett által.

(15) Az Adatbázis adminisztrációs felületén Kötelezett munkatársa vagy közreműködője megvizsgálta a regisztráció során megadott személyes adatokat, és ha azok egyeztek, illetve azon természetes személy regisztrálókkal korábban nem történt szerződéskötés, úgy a regisztráció „elfogadott” státuszba került és az Adatbázis egy szerződést (egy ún. Energiahatékonysági Megállapodást) generált, amely szintén megküldésre került az érintett részére a regisztrációkor megadott e-mail-címre. Ezt követően Kötelezett egyes regisztráló csoportok esetében a Kötelezettel a program keretében együttműködő települési önkormányzat útján – a fényforrások rendelkezésre állásakor külön e-mailben tájékoztatta arról a szerződött érintettet, hogy mikor és hol tudják átvenni az igényelt LED-eket. (16) A LED-ek átvételét az érintettek, vagy az általuk meghatalmazott személy aláírással nyugtázta a Programban résztvevő önkormányzatok által kialakított átvevőpontokon, ezek a dokumentumok visszakerültek a Kötelezetthez másolati vagy eredeti formában. A LED-ek kiadását követően megkezdődött az adatok feldolgozása és azok alapján egy számla került generálásra az Adatbázis által, amely szintén az érintettek által a regisztrációs folyamat során megadott e-mail-címre került megküldésre. Az energiamegtakarítás mértéke ezen adatokból került megállapításra, arról a Kötelezett személyes adatokat nem tartalmazó jelentést készített. (17) Kötelezett 2023. december 29. napján [NAIH-19-1/2024. ügyiratszám 2) pontja] úgy nyilatkozott, hogy 2023. december 1-jétől az ezt megelőző adatkezelési gyakorlatán változtatott, miszerint felülvizsgált dokumentációt tett közzé [Egységes Szerződési Feltételek (ESZF), Adatkezelési tájékoztató], amely a Programmal összefüggő regisztráció során a Weboldal1 felületén elérhető, a regisztráció csak ezek elfogadásával történhet, és a módosított dokumentáció alkalmazása mellett az azonosító okmányokról (személyi igazolvány, a lakcímet, illetve személyi azonosítót igazoló hatósági igazolvány) 2023. december 1-jétől kezdve nem kér másolatot, mivel az okmányok ellenőrzése a LED-ek fizikai átadásakor bemutatás útján történik. 2023. december 1-jétől személyazonosító okmányokat az Adatbázisban Kötelezett még átmenetileg sem tárol. Kötelezett a módosított dokumentációt (azaz új adatkezelési tájékoztatót és új egységes szerződési feltételeket) a 2023. december 1-jétől módosult Adatbázis regisztrációs felületen is elérhetővé tette, továbbá mindazon önkormányzatokkal, amelyek a Program megvalósítása során közreműködtek, a Kötelezett 2023. december 1-jétől egy új utasítást alkalmaz a Program kapcsán. A Hatóság megállapította, hogy 2023. december 1-jét követően az Adatbázisba az alábbi személyes adatok feltöltését írta elő a Kötelezett: név, e-mail-cím, mobilszám, égők foglalatának típusa, száma szobánként, azok fogyasztása és napi használata (órákban jelölve), anyja neve, születési hely és idő, lakcím, felhasználási hely címe, elszámolási időszak, időszaki fogyasztás összesen (kWh), becsült éves fogyasztás összesen (kWh), a villanyszámla feltöltése: amennyiben rendelkezésére áll egy, a szolgáltatótól letöltött PDF dokumentum, akkor annak feltöltése, ha nem, akkor a villanyszámla első négy oldala, vagy ha kevesebb oldalból áll, akkor mindegyik oldal.

(18) A Programba a Kötelezett települési önkormányzatokat is bevont közreműködőként, amelyek a LED-ek kiosztásakor segédkeztek azzal, hogy átvevőpontokat biztosítottak, illetve egyes önkormányzatok a regisztráció folyamatában is a lakosság segítségére voltak, ugyanis azt is vállalták, hogy a területükön élő, internetkapcsolattal nem rendelkező, de a Program tekintetében érdekelt személyek számára saját érdekkörükben és felelősségi körükben segítséget nyújtanak az Adatbázison keresztüli regisztrációhoz és a Kötelezettel való kapcsolattartáshoz. A Kötelezett a regisztráció során gyűjtött személyes adatokat a Programban résztvevő önkormányzatok részére továbbította, annak érdekében, hogy a LED-ek sikeresen átadásra kerüljenek. A Kötelezett a települési önkormányzatokkal egységes, rendszeresített együttműködési megállapodást kötött, illetve a Kötelezett és az önkormányzatok között adatfeldolgozási szerződés is létrejött. Az önkormányzatok részére oktatóvideó is készült, amely bemutatta a Kötelezett által megkívánt eljárást. Az egyes önkormányzatoknak az összes, a Kötelezettől kapott adatot, dokumentumot vissza kellett szolgáltatnia a Kötelezett részére.

(19) A Programba 262 települési önkormányzat került együttműködési megállapodás és ahhoz kapcsolódó adatfeldolgozási szerződés útján bevonásra 2024. július 11-ig. 71 db önkormányzattal kötött a Kötelezett újabb (második körben vagy harmadik körben is) megállapodásokat. A Programmal kapcsolatos hatályos együttműködés 2024. július 11án 49 települési önkormányzattal folyt. A fenti adatok alátámasztják a Program országos kiterjedtségét. (20) Az Adatbázis útján gyűjtött, a regisztrációt végző személyre vonatkozó személyes adatok a […] Zártkörűen Működő Részvénytársaság (székhelye: […]; cégjegyzékszáma:

[…]; a továbbiakban: […] Zrt.) által biztosított szerveren kerültek tárolásra, ahol egyebekben maga az Adatbázis is futott, virtuális szerver környezetben. Ezen szerverhez és az azon tárolt személyes adatokhoz hozzáféréssel rendelkezett a […] Korlátolt Felelősségű Társaság (székhelye: […]; cégjegyzékszáma: […]; a továbbiakban: […]), a […] […] Kft. rendszergazdája, illetve a […] […] Kft. akkori ügyvezetője. A szkennelt módon a Kötelezett rendelkezésére bocsátott adatok – így az önkormányzatok által megküldött szkennelt dokumentumok is – a […] Zrt. által biztosított szerveren kerültek tárolásra. […] 2021. december 27-i nyilatkozatában rögzítette, hogy az Adatbázisban minden elérés jogosultsághoz kötött, és „minden művelet loggolásra kerül” [NAIH-19-1/2024. Ü/15. melléklet]. Kötelezett 2023. júniusában Információbiztonsági Irányítási Rendszert vezetett be, valamint az Adatbázis potenciális sérülékenységei kapcsán 2023. februárjában „white box” módszerrel etikus hackeri vizsgálat készült az Adatbázishoz. A sérülékenység vizsgálati jelentés rövid összefoglalója megállapította, hogy egy átlag felhasználó nem tud az Adatbázisba történő bejelentkezéshez szükséges fiókhoz jutni, és az alacsonyabb szintű fiókkal nem lehetséges magasabb szintű jogosultságot szerezni; ezen túlmenően részletekbe menően 4 jelentősebb, és egy lehetséges sérülékenységre hívta fel a fejlesztő figyelmét. Az etikus hackeri jelentés nem tartalmazza a sztenderd OWASP Testing Guide szempontokon túl az alkalmazott módszertant, azt, hogy az összefoglaló szerinti pozitív értékelést mely tényekre, feltárt eredményekre alapítja, mit és hogyan vizsgált e megállapításhoz [NAIH-8614-6/2024. Ü/8. melléklet]. A bizonyítási eljárás lezárásáig a jelentésben jelzett hibák javítására vonatkozó információ, továbbá adatvédelmi incidens bekövetkeztére utaló bizonyíték nem merült fel. (21) Tekintettel arra, hogy a Kötelezett 2023. december 1-jétől az ezt megelőző adatkezelési gyakorlatán változtatott, módosította a dokumentációt (Egységes Szerződési Feltételek (ESZF), Adatkezelési tájékoztató), és azt a Programmal összefüggő regisztráció során a Weboldal1 felületén elérhetővé tette, a határozat rendelkező része szerint egyes megállapítások a Kötelezett 2023. december 1-jét megelőző adatkezeléseire vonatkoznak, míg mások az új adatkezelési gyakorlat bevezetését követő időszak kapcsán kerültek megállapításra, a Hatóság a hatósági eljárásában a megváltoztatott adatkezelési gyakorlatra tekintettel külön értékelte a 2021. december 10-től 2023. november 30-ig, valamint a 2023. december 1-jétől a bizonyítási eljárás lezárásáig (azaz 2024. július 17-ig) terjedő időszakot. A határozatban a 2023. november 30-ig alkalmazott adatkezelési tájékoztatót a Hatóság a továbbiakban „Tájékoztató”-nak; az Egységes Szerződési Feltételek dokumentumot „Régi ESZF”-nek, míg a 2023. december 1-től alkalmazott, már a Programra vonatkozó új adatkezelési tájékoztatót „Új Adatkezelési Tájékoztató”-nak, az ekkor felülvizsgált ESZF-et pedig „Új ESZF”-nek nevezte el. A Régi ESZF a NAIH-4208-7/2023. ügyiratszám 1. mellékletében, a Tájékoztató a NAIH-4208- 7/2023. ügyiratszám 3. mellékletében; az Új Adatkezelési Tájékoztató és az Új ESZF a NAIH-8614-6/2023. ügyiratszám Ü/10. sz. elnevezésű mellékleteiben kerültek a Kötelezett Jogi Képviselője által becsatolásra.

II. A Program jogi háttere

(22) 2021. január 1-jétől egy új szakpolitikai eszköz, az energiahatékonysági irányelv szerinti ún. energiahatékonysági kötelezettségi rendszer (a továbbiakban: EKR)

bevezetése kezdődött meg, melynek módját és mértékét alapvetően az energiahatékonyságról szóló 2015. évi LVII. törvény (a továbbiakban: Ehat. Tv.) és az energiahatékonyságról szóló törvény végrehajtásáról szóló 122/2015. (V. 26.) Korm. rendelet (a továbbiakban: Ehat. Tv. Vhr.) határozza meg. (23) A Kötelezettnek az Ehat. Tv. V.

fejezetének

12/A. alcímében foglalt, energiahatékonysági kötelezettségi rendszerben kötelező részt vennie. A Kötelezett az Ehat. Tv. 15. § (1) bekezdése alapján 2021. január 1. napjától az Ehat. Tv. szerinti kötelezett félnek minősül [NAIH-8614-6/2023. ügyiratszámú Nyilatkozatának 15) pontja]. (24) Az EKR lényege, hogy a kötelezetteknek olyan programokat kell bevezetniük és olyan intézkedéseket végrehajtaniuk, amelyek az Ehat. Tv. 1. § 31. pontja szerinti végső felhasználónál igazolt energiamegtakarítást eredményeznek. A Programhoz csatlakozó felhasználók az Ehat. Tv. 1. § 31. pontja alapján végső felhasználóknak minősülnek. Az Ehat. Tv. 1. § 31. pontja alapján „31. végső felhasználó: az a természetes személy vagy szervezet, aki vagy amely saját felhasználására vásárol energiát; távhűtéssel ellátott épület esetében, ha a távhűtési szolgáltatás a több személy tulajdonában lévő épület valamennyi épületrészében – a közös használatú épületrészek kivételével – mérhető, végső felhasználónak kell tekinteni az egyes épületrészek tulajdonosát is.” (25) Az Ehat. Tv. 15/B. § (3) bekezdése alapján a hitelesített energiamegtakarítás korlátozottan forgalomképes vagyoni értékű jog, amely kizárólag a kötelezett fél részére ruházható át. Az Ehat. Tv. 2024. január 1-jétől hatályos 15/B. § (7) bekezdése alapján a hitelesített energiamegtakarítás kétoldalú megállapodás keretében vagy szervezett piacon ruházható át. (A fenti rendelkezés 2023. június 24-ig az Ehat. Tv. 15/B. § (4) bekezdésében került szabályozásra, ugyanezen tartalommal.)

(26) A Kötelezett az EKR kötelezettségét tehát világításkorszerűsítéssel, a lakosság által használt világítótestek nagyobb fényhasznosítású, kisebb teljesítményigényűre történő ingyenes cseréjével teljesíti. A Program így az EKR kötelezettség teljesítését is biztosító program.

III.

A […] cégcsoport bemutatása

(27) A Kötelezett a […] cégcsoport egyik tagja, mely cégcsoport […] óta van jelen a magyarországi villamosenergia-, és földgázenergia piacon. A […] cégcsoport az alábbi cégekből állt a bizonyítási eljárás lezárásakor:

• […] […] Korlátolt Felelősségű Társaság, • […] […] Felelősségű Társaság, • […] […] Korlátolt Felelősségű Társaság, • […] […] Korlátolt Felelősségű Társaság (korábbi nevén […] […] Kft.), • […] […] Korlátolt Felelősségű Társaság, valamint a • […] […] Korlátolt Felelősségű Társaság.

(28) A […] […] Korlátolt Felelősségű Társaság (székhelye: […]; cégjegyzékszáma: […])

létrehozásának célja, hogy a meglévő erőforrások optimális kihasználásával és a szinten tartáshoz szükséges fejlesztésével a gazdálkodás hosszú távon jövedelmezően, a piaci igényekhez igazodóan működjön.

(29) A […] […] Korlátolt Felelősségű Társaság (székhelye: […]; cégjegyzékszáma: […])

villamosenergia és földgáz kis- és nagykereskedelemmel foglalkozik.

(30) A Kötelezett, azaz a […] […] Korlátolt Felelősségű Társaság (székhelye: […];

cégjegyzékszáma: […]) létrehozásának célja, hogy a meglévő erőforrások optimális kihasználásával és a szinten tartáshoz szükséges fejlesztésével a gazdálkodás hosszú távon jövedelmezően, a piaci igényekhez igazodóan működjön. Kapcsolt vállalkozások […]-ig: […] […] Kft. és […] […] Kft. A kapcsoltsági jogviszonyok […]-én megszűntek. Kapcsolt vállalkozása a 2023. évi kiegészítő melléklet szerint a […] […] Kft.

[…] […] Kft.) (székhelye: […]; cégjegyzékszáma: […]) létrehozásának célja, hogy a meglévő erőforrások optimális kihasználásával és a szinten tartáshoz szükséges fejlesztésével a gazdálkodás hosszú távon jövedelmezően, a piaci igényekhez igazodóan működjön. Fő tevékenységi köre információ-technológiai szaktanácsadás.

(32) A […] […] Korlátolt Felelősségű Társaság (székhelye: […]; cégjegyzékszáma: […]) A társaságot a Cégbíróság 2023. szeptember 15-én jegyezte be. A társaság létrehozásának célja, hogy a meglévő és új erőforrások optimális kihasználásával és a szinten tartáshoz szükséges fejlesztésével a gazdálkodás hosszú távon jövedelmezően, a piaci igényekhez igazodóan működjön. A társaság főtevékenysége villamosenergiakereskedelem.

(33) A […] […] Korlátolt Felelősségű Társaság (székhelye: […]; cégjegyzékszáma: […])

alakulásának dátuma: 2024. február 12., főtevékenysége villamosenergia-termelés.

IV.

A Kötelezett tevékenységének bemutatása

(34) A 2023. január 1. – 2023. december 31. közötti időszakra vonatkozó kiegészítő melléklet szerint a Kötelezett 2023-ban 16 fő alkalmazottat foglalkoztatott. A Kötelezett a 2023. gazdasági évtől könyvvizsgálatra kötelezett. (35) A Kötelezett több tevékenységből származó árbevételt realizált 2023-ban:

- Energiahatékonyságból (hitelesített energiamegtakarítás) származó bevétel:

[…] ezer Ft

- Egyéb, kapcsolódó szolgáltatások árbevétele: […] ezer Ft

- Földgáz és kapcsolódó szolgáltatások árbevétele: […] ezer Ft

= ebből Közösségen belüli értékesítés: […] ezer Ft

(36) A Kötelezett 2023. évi nettó árbevétele összesen […] Ft, azaz […] forint volt.

(37) A tulajdonosok a 2024. május 15-én kelt taggyűlési határozat értelmében az adózott eredmény felhasználására tett javaslat szerint úgy döntöttek, hogy a kimutatott […] ezer

Ft adózott eredményből […] ezer Ft osztalékot kívánnak kifizetni 2024. év során. Az adózott eredményből fennmaradó […] ezer Ft-ot eredménytartalékba helyezik. V.

Az eljárás menete

(38) A Hatóság hangsúlyozza, hogy a Hatósághoz az ország több pontjáról érkeztek panaszok, illetve vizsgálati eljárás kezdeményezésére irányuló beadványok 2022 őszétől. 2022. szeptember 27. napján közérdekű bejelentés érkezett a Hatósághoz, melyet a Hatóság a NAIH-7633/2022 ügyszámon iktatott (a továbbiakban: Ügy1; Ügy1

2023-ban iktatott ügyszáma: NAIH-3626/2023). A bejelentő előadta, hogy a Pécs Megyei Jogú Város Önkormányzata LED izzó csereprogramot hirdetett a lakosság számára, melyet az önkormányzat regisztrációs pontok biztosításával és üzemeltetésével, valamint kampánnyal támogat. A bejelentő előadta, hogy utánanézett ennek a programnak, és kiderült, hogy a Kötelezett, mint magánvállalat programjáról van szó, az Önkormányzat kizárólag a lebonyolításban segédkezik. Előadása szerint a Program során jelentős mennyiségű adatot gyűjtenek be a jelentkezőktől, köztük a személyes adataikat, otthonukra vonatkozó adatokat, valamint bizonyos dokumentummásolatokat is; a személyes okmányok másolata tekintetében „bekérik a lakcímkártya hátoldalát is”, ami a személyi számot tartalmazza. Ezen adatok megadása előfeltétele a Programban való részvételnek. Rögzítette továbbá, hogy a vonatkozó adatkezelési tájékoztatóban nincs említés a személyi számra vonatkozóan, így annak kezelésének céljára sem. A Programhoz tartozó regisztrációs felületként a […]/registration URL-t jelölte meg. Fentiekre tekintettel a panaszos arról érdeklődött, hogy van-e lehetősége a Kötelezettnek ilyen személyes adatok bekérésére és kérte a Hatóság vizsgálatát. (39) 2022. november 21. napján ismételten közérdekű bejelentés érkezett a Hatósághoz, amelyet a Hatóság a NAIH-8732/2022 ügyszámon iktatott (a továbbiakban: Ügy2; Ügy2 2023-ban iktatott ügyszáma: NAIH-4208/2023). A panaszos előadta, hogy a Weboldal2 weboldalon keresztül megvalósuló „Lakossági led program” elnevezésű kampányban a lakcímkártya hátoldalát is bekérik, amelyre panaszos álláspontja szerint nem jogosultak. A panaszos a beadványához a Weboldal2-ről készült képernyőmentéseket csatolt, amelyeken jól látható, hogy a szerződéskötés feltételeként a Weboldal2-n keresztül az üzemeltető az érintettek személyi igazolványának, illetve lakcímkártyájának oldalairól készült másolat feltöltését írja elő. Ügy2-ben a beadványát a panaszos 2022. november 29. napján kiegészítette és jelezte a Hatóság felé, hogy álláspontja szerint mind az Infotv., mind pedig a pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi LIII. törvény korlátozza a lakcímkártya „másik oldalának” másolását.

(40) 2023. június 2. napján a Zala Vármegyei Kormányhivatal Hatósági Főosztály

Törvényességi Felügyeleti Osztálya arról értesítette a Hatóságot, hogy az általa ZA/030/1141-2/2023 számon iktatott bejelentést a Hatósághoz átteszi, amelyet a

Hatóság a NAIH-5982/2023 ügyszámon iktatott (a továbbiakban: Ügy3). Ügy3-ban a Kormányhivatal beadványához csatolta a panaszt, amely szerint beadványozó azzal kapcsolatban kérte a Kormányhivatal segítségét, hogy ő Nagykanizsán él, a város pedig csatlakozott az ún. […] LED-csere programhoz. Ezen programba történő regisztrációkor panaszos álláspontja szerint jogellenes adatkezelés zajlik, melynek okaként megjelölte, hogy a regisztráció során be kellett volna csatolnia lakcímkártyája mindkét oldalát, valamint egyéb dokumentumokat. Rögzítette, hogy ennek nem tett eleget, így regisztrációja meghiúsult.

(41) 2023. augusztus 6. napján a Hatósághoz újabb beadvány érkezett, amelyet a Hatóság a NAIH-7398/2023 ügyszámon iktatott (a továbbiakban: Ügy4). Ügy4 panaszosa előadta, hogy Újbuda Önkormányzata LED izzó osztáshoz internetes bejelentkezéssel a lakosság személyi igazolvány, lakcímkártya és villanyszámla adatait kéri be, szkennelt változatban. Ezzel összefüggésben kérte annak vizsgálatát a Hatóságtól, hogy az ilyen adatgyűjtés, tárolás, felhasználás, kereskedőnek átadás szabályos-e. Panaszos a beadványához csatolta a Program egy kampányképét, amelyen a […] vállalatcsoport logója is feltüntetésre került. (42) Beadványozók a Hatóság részére küldött beadványaikkal és az azokhoz csatolt dokumentumokkal valószínűsítették, hogy a Programmal összefüggésben végzett adatkezeléssel, okmánymásolat gyűjtéssel kapcsolatban jogsérelem következett be, vagy annak közvetlen veszélye fennáll, így a Hatóság Ügy1-ben 2023. február 23. napján, Ügy2-ben pedig 2022. november 23. napján az Infotv. 38. § (3) bekezdés a) pontja alapján vizsgálati eljárásokat indított. (43) A Hatóság – figyelemmel arra, hogy azok tárgya egyaránt a Kötelezett Programmal összefüggő adatkezelése jogszerűségének vizsgálata – Ügy1 iratanyagát 2023. június 13. napján Ügy2 vizsgálati eljárás iratanyagává tette és a két ügy tárgyát képező adatkezelés tekintetében a NAIH-4208/2023 ügyszámon tett megállapításokat, amelyről Ügy1 bejelentőjét is tájékoztatta. A NAIH-5982/2023 és a NAIH-7398/2023 ügyszámokon iktatott bejelentések tekintetében kért vizsgálati eljárásokat (Ügy3 és Ügy4) is a NAIH-4208/2023 ügyszámon iktatott vizsgálati eljárásban folytatta le a Hatóság, amelynek tárgya a Kötelezett által a Programmal összefüggésben végzett személyes adatkezelés, okmányok másolatának gyűjtése jogszerűségének vizsgálata volt.

(44) Weboldal1-2-ről 2023. október 6. napján a NAIH-4208-11/2023. ügyiratszámon a Hatóság forenzikus mentést készített. (45) A NAIH-4208-12/2023. számon iktatott iratban a Hatóság úgy döntött, hogy az Infotv.

55. § (1) bekezdés a) pont ab) alpontja alapján a NAIH-4208/2023. ügyszámon folyamatban lévő vizsgálati eljárást lezárja és az ügyben hivatalból adatvédelmi hatósági eljárást indít, mivel a Hatóság az ügyben alkalmazandó normák és az ügy során rendelkezésére bocsátott nyilatkozatok és dokumentumok alapján arra az álláspontra jutott, hogy a Program vonatkozásában megvalósuló személyes adatkezeléssel összefüggő jogsérelem kockázata több szempontból is fennáll. (46) A Hatóság az Infotv. 60. § (1) bekezdése alapján 2023. október 6. napján hivatalból adatvédelmi hatósági eljárást indított a Kötelezett által a Programmal összefüggésben végzett személyes adatkezelés jogszerűségének vizsgálata tárgyában, a Hatóság a NAIH-8614-1/2023. ügyiratszámú végzéseiben a Kötelezettet értesítette az adatvédelmi hatósági eljárás hivatalbóli megindításáról, végzéseket hozott továbbá a tényállás tisztázása érdekében, illetve a helyszíni szemle elrendeléséről. A helyszíni szemle időpontja 2023. október 18. napja, 09 óra 30 perc, helye a Kötelezett […] szám alatti székhelye volt. (47) A Hatóság az adatvédelmi hatósági eljárás megfelelő lefolytatásához felhasználta és végzésében egyúttal az adatvédelmi hatósági eljárás iratanyagának részévé tette a NAIH-3626/2023 ügyszámon (előzmény ügyszám: NAIH-7633/2022), a NAIH- 4208/2023 ügyszámon (előzmény ügyszám: NAIH-8732/2022), a NAIH-5982/2023 ügyszámon, valamint a NAIH-7398/2023 ügyszámon iktatott ügyekben keletkezett összes iratanyagot. (48) A Kötelezett a Jogi Képviselője útján a NAIH-8614-2/2023. ügyiratszám alatt 2023.

október 12. napján benyújtotta a tényállás tisztázására megadott határidő (8 nap) hosszabbítása iránti kérelmét, azzal, hogy azt a Hatóság 2023. október 25-ig hosszabbítsa meg, továbbá a Jogi Képviselő csatolta az ügyvédi meghatalmazását a jelen adatvédelmi hatósági eljárás vonatkozásában.

(49) A Hatóság a 2023. október 17. napján a NAIH-8614-3/2023. ügyiratszámon iktatott végzésében a 2023. október 6. napján kelt és a Hatóság által NAIH-8614-1/2023 ügyszámon iktatott tényállás tisztázó Végzés I.-ben a Kötelezett részére biztosított válaszadási határidőt 2023. október 25. napjáig meghosszabbította. (50) A 2023. október 18-án megtartott helyszíni szemléről készült jegyzőkönyv (a továbbiakban: Jegyzőkönyv) a NAIH-8614-4/2023. ügyiratszámon került iktatásra. A Szemle során az Adatbázis egyes elemeiről forenzikus mentés készült, amely a

Jegyzőkönyv mellékletét képezte. A NAIH-8614-5/2023. ügyiratszámon a helyszíni szemlén a Kötelezett által a dpo@naih.hu e-mail-címre küldött teszt e-mail került iktatásra. (51) 2023. október 24-én, az adatvédelmi hatósági eljárás megindítását követően egy újpesti lakostól bejelentés érkezett a Hatósághoz, amelyet a Hatóság a NAIH-9028/2023 ügyszámon iktatott, és mely panasz a Program adatkezelési tájékoztatójának a hiányosságaira, pontatlanságaira, esetleges visszaélési lehetőségekre hívta fel a figyelmet és kérte a Hatóság eljárását. A Hatóság a beadványozót tájékoztatta, hogy a Hatóság előtt hivatalból adatvédelmi hatósági eljárás van folyamatban a Kötelezett által a Programmal összefüggésben végzett személyes adatkezelés jogszerűségének vizsgálata tárgyában, így bejelentését az Infotv. 53. § (3) bekezdés g) pontja alapján érdemi vizsgálat nélkül elutasította. (52) A Kötelezett a Jogi Képviselője útján a Hatóság 2023. október 6. napján a Kötelezett által átvett felhívására (NAIH-8614-1/2023) a felhívás teljesítésének 2023. október 25.

napjáig meghosszabbított határidő megtartásával a NAIH-8614-6/2023. ügyiratszámon

2023. október 25-én nyilatkozatot tett, és 14 db dokumentumot csatolt mellékletként a Hatóság részére. (53) A Kötelezett 2023. október 25-én a Hatóság hivatali tárhelyére küldött, a NAIH-8614- 6/2023. ügyszámon iktatott beadványában iratbetekintés biztosítására vonatkozó egyeztetést kezdeményezett a Hatósággal. Tekintettel arra, hogy a Kötelezett a NAIH- 8614-6/2023. ügyiratszámon iktatott beadványában iratbetekintés biztosítására vonatkozó egyeztetést kezdeményezett a Hatósággal, és nem iratbetekintésre irányuló konkrét (kifejezett) kérelmet terjesztett elő, így az egyeztetésre irányuló kezdeményezését a Hatóság 2023. november 7. napján a NAIH-8614-7/2023. ügyiratszámon végzésben elutasította, - különös tekintettel arra, hogy a hatósági eljárásban konzultációs beadványnak nincs helye - egyúttal felhívta, hogy amennyiben élni kíván az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szerinti iratbetekintési jogával, úgy azt arra irányuló kérelemben terjessze elő az Ákr. 35. § (4) bekezdésére figyelemmel.

(54) A Hatóság a NAIH-8614-8/2023. ügyiratszámon iktatott, 2023. november 3-án kelt belső feljegyzésében a NAIH-8614/2023. ügyszámú hatósági ügy iratanyagának a részévé tette a NAIH-8614-1/2023 ügyiratszámon iktatott végzésre tekintettel a feljegyzés mellékleteként az alábbi iratanyagokat: a NAIH-3626/2023 ügyszámon (előzmény ügyszám: NAIH-7633/2022), a NAIH-4208/2023 ügyszámon (előzmény ügyszám: NAIH- 8732/2022), a NAIH-5982/2023 ügyszámon, valamint a NAIH-7398/2023 ügyszámon iktatott ügyekben keletkezett összes iratanyag.

(55) A Hatóság a NAIH-8614-9/2023. ügyiratszámú végzésében 2023. november 10. napján megkereste a Magyar Energetikai és Közmű-szabályozási Hivatalt (székhelye: 1054 Budapest, Bajcsy-Zsilinszky út 52.; adószáma: 15814160-2-41; a továbbiakban: MEKH).

(56) A Kötelezett Jogi Képviselője a 2023. november 16. napján érkezett és a NAIH-8614-

10/2023. ügyiratszámon iktatott kifejezett kérelmében úgy nyilatkozott, hogy a Kötelezett a Jogi Képviselője útján személyes megtekintéssel kíván élni iratbetekintési jogával. (57) A Hatóság a NAIH-8614-11/2023. ügyiratszámú végzésében 2023. november 22.

napján tényállás tisztázása végett megkereste Győr Megyei Jogú Város

Önkormányzatát, majd a NAIH-8614-12/2023. ügyiratszámú végzésében ugyanazon a napon szintén tényállás tisztázása végett megkereste a Budapest Főváros VII. Kerület Erzsébetváros Önkormányzatát. (58) A Hatóság a Kötelezett Jogi Képviselője által előterjesztett, és a NAIH-8614-10/2023.

ügyiratszámon iktatott, 2023. november 16. napján érkezett, a Kötelezett iratbetekintés iránti kérelmének a NAIH-8614-13/2023. ügyiratszámú végzésében korlátozottan, az általa meg nem ismerhető személyes adatok felismerhetetlenné tételével 2023. november 22. napján helyt adott. (59) A MEKH a NAIH-8614-14/2023. ügyiratszámon iktatott válaszában 2023. november 20.

napján küldte meg a válaszát a Hatóság részére.

(60) A Hatóság a NAIH-8614-15/2023. ügyiratszámú 2023. november 23-án kelt belső feljegyzésével az adatvédelmi hatósági eljárás megindítását követően beérkezett panaszra tekintettel a feljegyzés mellékleteként a NAIH-8614/2023. ügyszámon folyamatban lévő adatvédelmi hatósági eljárás iratanyagának részévé tette a NAIH- 9028/2023 ügyszámon iktatott ügyben keletkezett összes iratanyagot. (61) A Kötelezett a Jogi Képviselője útján 2023. november 24-én a NAIH-8614-16/2023.

ügyiratszámon iktatott nyilatkozatában előadta, hogy az iratbetekintésre a végzésben megadott időpontok közül a 2023. december 12. nap 10:00 órai időpontot kéri biztosítani.

(62) Győr Megyei Jogú Város Önkormányzata a NAIH-8614-17/2023. ügyiratszámon iktatott válaszában 2023. december 1. napján küldte meg a tényállás tisztázó válaszát a Hatóság részére. (63) A Budapest Főváros VII. Kerület Erzsébetváros Önkormányzata a NAIH-8614-18/2023.

ügyiratszámon iktatott válaszában a tényállás tisztázó válaszát 2023. december 5. napján küldte meg a Hatóság részére.

(64) A Hatóság a NAIH-8614-19/2023. ügyiratszámon iktatta a 2023. december 12-i iratbetekintésről készült iratbetekintési jegyzőkönyvet.

(65) A Hatóság a NAIH-8614-20/2023. ügyiratszámon iktatta saját belső feljegyzését, amellyel a Hatóság a NAIH-8614/2023. ügyszámú ügy részévé tette a NAIH-4208- 9/2023 ügyiratszámtól a NAIH-4208-20/2023 ügyiratszámig terjedő iratanyagokat, amelyek korábban a NAIH-8614/2023. ügyszámon folyamatban lévő adatvédelmi hatósági eljárás ügyiratába nem kerültek be.

(66) A Hatóság a NAIH-8614-21/2023. ügyiratszámú, az iratbetekintés pótlólagos teljesítéséről szóló végzésében a Hatóság NAIH-8614-13/2023. ügyiratszámon iktatott végzésére tekintettel, illetve a NAIH-8614-19/2023. ügyiratszámon iktatott, a NAIH- 8614/2023. ügyszámú hatósági ügyben a Kötelezett iratbetekintési jogának gyakorlásáról szóló 2023. december 12-én kelt jegyzőkönyvben foglaltaknak megfelelően a Hatóság az iratbetekintési kérelmet az ügyben pótlólag a NAIH-4208- 9/2023. - NAIH-4208-20/2023. ügyiratszámú iratok (korlátozottan, a Kötelezett által meg nem ismerhető személyes adatok felismerhetetlenné tételével) elektronikus úton történő megküldésével teljesítette a Kötelezett részére a Kötelezett Jogi Képviselője útján. (67) A Kötelezett a Jogi Képviselő útján 2023. december 29-én a NAIH-19-1/2024.

ügyiratszámon iktatott e-Papír útján küldött nyilatkozatában általános nyilatkozatokat tett, amelyben hangsúlyozta a 2023. október 25. napi nyilatkozatában, valamint minden további nyilatkozatában előadottakat, ideértve az iratbetekintést is.

(68) Ezt követően a NAIH-19-2/2024. ügyiratszámon iktatott, 2024. február 13. napján előterjesztett kérelemben ismételten iratbetekintés iránti kérelmet terjesztett elő a Kötelezett Jogi Képviselője.

(69) A Hatóság a NAIH-19-3/2024. ügyiratszámú végzésében a Kötelezett Jogi Képviselője által a 2024. február 13. napján előterjesztett, és a NAIH-19-2/2024. ügyiratszámon iktatott iratbetekintés iránti kérelmének helyt adott.

(70) A Kötelezett Jogi Képviselője a NAIH-19-4/2024. ügyiratszámon iktatott 2024. február

26-i nyilatkozatában az iratbetekintésre a 2024. március 7-i 14:00 órai időpontot kérte biztosítani.

(71) A Hatóság a NAIH-19-5/2024. ügyiratszámon iktatta a 2024. március 7-i iratbetekintésről készült iratbetekintési jegyzőkönyvet. (72) A Hatóság a NAIH-19-6/2024. ügyiratszámon iktatott végzésében felhívta a Kötelezettet, hogy a tényállás tisztázása érdekében válaszoljon a Hatóság kérdéseire. (73) A Kötelezett Jogi Képviselője a NAIH-19-7/2024. ügyiratszámon iktatott 2024. június 27i nyilatkozatában iratbetekintés iránti kérelmet terjesztett elő.

(74) A Hatóság a NAIH-19-8/2024. ügyiratszámon iktatott 2024. július 1-jei feljegyzésében a feljegyzés mellékleteiként az iratanyag részévé tette az alábbi dokumentumokat:

• A Kötelezett cégkivonata (2024. július 1-jén a https://ceginfo.hu/ weboldalról a Hatóság által lekérve.) • A Kötelezett 2022. január 1. – 2022. december 31. közötti időszakra, valamint a 2023. január 1. – 2023. december 31. közötti időszakra vonatkozó általános üzleti évet záró éves beszámolói (2024. július 1-jén a https://ceginfo.hu/ weboldalról a Hatóság által lekérve.) • A Kötelezett 2022. január 1. – 2022. december 31. közötti időszakra, valamint a 2023. január 1. – 2023. december 31. közötti időszakra vonatkozó kiegészítő mellékletei (2024. július 1-jén a https://ceginfo.hu/ weboldalról a Hatóság által lekérve.) • A 2023. október 18. napon megtartott helyszíni szemléről készült NAIH-8614- 4/2023. ügyiratszámon iktatott jegyzőkönyv 9. oldalán feltüntetettek szerint külön adathordozón forenzikus másolatban mentett digitális fájlok közül a nem adatbázis fájlok papír alapú másolata, valamint az adatbázis fájlok nem forenzikus eszközzel is megnyitható digitális másolata CD mellékletként.

(75) A Hatóság a NAIH-19-9/2024. ügyiratszámú végzésében a Kötelezett Jogi Képviselője által a 2024. június 27. napján előterjesztett, és a NAIH-19-7/2024. ügyiratszámon iktatott iratbetekintés iránti kérelmének helyt adott. (76) A Kötelezett Jogi Képviselője a NAIH-19-10/2024. ügyiratszámon iktatott 2024. július 2i nyilatkozatában az iratbetekintésre a 2024. július 9-i 10:00 órai időpontot kérte biztosítani.

(77) A Hatóság a NAIH-19-11/2024. ügyiratszámon iktatta a 2024. július 9-i iratbetekintésről készült iratbetekintési jegyzőkönyvet.

(78) A Hatóság a NAIH-19-12/2024. ügyiratszámon iratbetekintés pótlólagos teljesítéséről szóló végzést hozott 2024. július 10-én, amit CD melléklettel, postai úton a Kötelezett Jogi Képviselője részére megküldött. (79) A Kötelezett Jogi Képviselője a NAIH-19-6/2024. ügyiratszámon iktatott tényállás tisztázó végzésre válaszul a NAIH-19-13/2024. ügyiratszámon 2024. július 11-én előterjesztette a Kötelezett nyilatkozatát.

(80) A Hatóság a NAIH-19-14/2024. ügyiratszámú végzésében a Kötelezettet a Jogi

Képviselője útján értesítette arról, hogy az adatvédelmi hatósági eljárásban a bizonyítási eljárás befejeződött és a Kötelezett a tényállás tisztázása során feltárt bizonyítékokat az iratokba való betekintés szabályainak figyelembevételével megismerheti és további bizonyításra irányuló indítványt terjeszthet elő.

(81) A Kötelezett Jogi Képviselője a NAIH-19-14/2024. ügyiratszámon iktatott végzésre válaszul a NAIH-19-15/2024. ügyiratszámon 2024. július 30-án előterjesztette a Kötelezett nyilatkozatát.

(82) A Hatóság a NAIH-19-16/2024. ügyiratszámú végzésében felhívta a Kötelezettet Jogi

Képviselője útján arra, hogy mivel a NAIH-8614-6/2023. ügyiratszámon iktatott, 2023. október 25-én előterjesztett nyilatkozatához csatolt Ü/8. sz. melléklet megnyitásához szükséges jelszót az eljárás során nem küldte meg, így azt küldje meg a Hatóság részére, ellenkező esetben azt bizonyítékként nem tudja értékelni.

(83) A Kötelezett Jogi Képviselője NAIH-19-17/2024. ügyiratszámon 2024. szeptember 6-án előterjesztette a NAIH-8614-6/2023. ügyirat Ü/8. sz. mellékletének megnyitásához szükséges jelszót tartalmazó nyilatkozatát.

VI. Alkalmazott jogforrások

(84) Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre az általános adatvédelmi rendeletet kell alkalmazni. (85) Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján személyes adat azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. (86) Az általános adatvédelmi rendelet 4. cikk 2. pontja alapján adatkezelés a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés. (87) Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján adatkezelő az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja. (88) Az általános adatvédelmi rendelet 4. cikk 8. pontja alapján adatfeldolgozó az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel.

(89) Az általános adatvédelmi rendelet 4. cikk 11. pontja alapján „az érintett hozzájárulása”

az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez. (90) Az általános adatvédelmi rendelet 5. cikke értelmében:

„(1) A személyes adatok:

a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”);

c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”); d) pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság”);

e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”); f) kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”). (2) Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).” (91) Az általános adatvédelmi rendelet 6. cikk (1) bekezdése alapján:

„(1) A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;

c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.” (92) Az általános adatvédelmi rendelet 11. cikke értelmében:

„(1) Ha azok a célok, amelyekből az adatkezelő a személyes adatokat kezeli, nem vagy már nem teszik szükségessé az érintettnek az adatkezelő általi azonosítását, az adatkezelő nem köteles kiegészítő információkat megőrizni, beszerezni vagy kezelni annak érdekében, hogy pusztán azért azonosítsa az érintettet, hogy megfeleljen e rendeletnek. (2) Ha az e cikk (1) bekezdésében említett esetekben az adatkezelő bizonyítani tudja, hogy nincs abban a helyzetben, hogy azonosítsa az érintettet, erről lehetőség szerint őt megfelelő módon tájékoztatja. Ilyen esetekben a 15-20. cikk nem alkalmazandó, kivéve, ha az érintett abból a célból, hogy az említett cikkek szerinti jogait gyakorolja, az azonosítását lehetővé tevő kiegészítő információkat nyújt.” (93) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerint az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (94) Az általános adatvédelmi rendelet 13. cikkének (1) és (2) bekezdései értelmében:

„(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:

a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás.

(2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja:

a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.” (95) Az általános adatvédelmi rendelet 14. cikkének (1)-(2) bekezdései értelmében:

„(1) Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat: a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) az érintett személyes adatok kategóriái; e) a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat: a) a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; b) ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről; c) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga; d) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;

e) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; f) a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e; és g) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.” (96) Az általános adatvédelmi rendelet 25. cikkének (1)-(2) bekezdései szerint: „(1) Az adatkezelő a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket - például álnevesítést - hajt végre, amelyek célja egyrészt az adatvédelmi elvek, például az adattakarékosság hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába. (2) Az adatkezelő megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítására, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek. Ez a kötelezettség vonatkozik a gyűjtött személyes adatok mennyiségére, kezelésük mértékére, tárolásuk időtartamára és hozzáférhetőségükre. Ezek az intézkedések különösen azt kell, hogy biztosítsák, hogy a személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül ne válhassanak hozzáférhetővé meghatározatlan számú személy számára.” (97) Az általános adatvédelmi rendelet 31. cikke értelmében az adatkezelő és az adatfeldolgozó, valamint - ha van ilyen - az adatkezelő vagy az adatfeldolgozó képviselője feladatai végrehajtása során a felügyeleti hatósággal - annak megkeresése alapján - együttműködik. (98) Az általános adatvédelmi rendelet 32. cikke alapján:

„(1) Az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja, ideértve, többek között, adott esetben:

a) a személyes adatok álnevesítését és titkosítását; b) a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítását, integritását, rendelkezésre állását és ellenálló képességét; c) fizikai vagy műszaki incidens esetén az arra való képességet, hogy a személyes adatokhoz való hozzáférést és az adatok rendelkezésre állását kellő időben vissza lehet állítani; d) az adatkezelés biztonságának garantálására hozott technikai és szervezési intézkedések hatékonyságának rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárást. (2) A biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek. (3) Az adatkezelő, illetve az adatfeldolgozó 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmushoz való csatlakozását felhasználhatja annak bizonyítása részeként, hogy az e cikk (1) bekezdésében meghatározott követelményeket teljesíti. (4) Az adatkezelő és az adatfeldolgozó intézkedéseket hoz annak biztosítására, hogy az adatkezelő vagy az adatfeldolgozó irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező természetes személyek kizárólag az adatkezelő utasításának megfelelően kezelhessék az említett adatokat, kivéve, ha az ettől való eltérésre uniós vagy tagállami jog kötelezi őket.” (99) Az általános adatvédelmi rendelet 58. cikk (1) bekezdése értelmében „A felügyeleti hatóság vizsgálati hatáskörében eljárva:

a) utasítja az adatkezelőt és az adatfeldolgozót, illetve adott esetben az adatkezelő vagy az adatfeldolgozó képviselőjét, hogy számára a feladatai elvégzéséhez szükséges tájékoztatást megadja; b) vizsgálatot folytat adatvédelmi auditok formájában; c) elvégzi a 42. cikk (7) bekezdésének megfelelően kiadott tanúsítványok felülvizsgálatát; d) értesíti az adatkezelőt vagy az adatfeldolgozót e rendelet feltételezett megsértéséről; e) hozzáférést kap az adatkezelőtől vagy az adatfeldolgozótól a feladatainak teljesítéséhez szükséges minden személyes adathoz és minden információhoz; és f) az uniós vagy tagállami eljárásjoggal összhangban hozzáférést kap az adatkezelő vagy az adatfeldolgozó bármely helyiségéhez, ideértve minden adatkezeléshez használt felszerelést és eszközt.” (100) Az általános adatvédelmi rendelet 83. cikk (1) – (5) bekezdései értelmében:

„(1) Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. (2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;

i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. (3) Ha egy adatkezelő vagy adatfeldolgozó egyazon adatkezelési művelet vagy egymáshoz kapcsolódó adatkezelési műveletek tekintetében - szándékosan vagy gondatlanságból - e rendelet több rendelkezését is megsérti, a bírság teljes összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget. (4) Az alábbi rendelkezések megsértése - a (2) bekezdéssel összhangban - legfeljebb 10 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 2%-át kitevő összeggel sújtható; a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelő és az adatfeldolgozó tekintetében a 8., a 11., a 25-39., a 42. és a 43.

cikkben meghatározott kötelezettségek; b) a tanúsító szervezet tekintetében a 42. és 43. cikkben meghatározott kötelezettségek; c) az ellenőrző szervezet tekintetében a 41. cikk (4) bekezdésében meghatározott kötelezettségek; (5) Az alábbi rendelkezések megsértését - a (2) bekezdéssel összhangban - legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelés elvei - ideértve a hozzájárulás feltételeit - az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12-22. cikknek megfelelően; c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44-49. cikknek megfelelően; d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása.” (101) Az általános adatvédelmi rendelet 87. cikkének értelmében a tagállamok részletesebben meghatározhatják a nemzeti azonosító számok vagy egyéb általános jellegű azonosító jelek kezelésének konkrét feltételeit. Ebben az esetben a nemzeti azonosító számok, illetve az egyéb általános jellegű azonosító jelek felhasználására kizárólag az érintett jogainak és szabadságainak e rendelet szerinti megfelelő garanciái mellett kerülhet sor. (102) Az Infotv. 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az általános adatvédelmi rendelet 2. cikk (1) bekezdésének hatálya alá nem tartozó adatkezelések vonatkozásában az Infotv. 2. § (4) bekezdésére tekintettel: „Személyes adatoknak a (2) és (3) bekezdés hatálya alá nem tartozó kezelésére a) az általános adatvédelmi rendelet 4. cikkében, II-VI., és VIII-IX. fejezetében, valamint b) az e törvény III-V. és VI/A. Fejezetében, továbbá a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §-ban, az 55. § (1) és (2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, továbbá a 61/A-61/D. §-ban,, a 62-71. §-ban, a 72. §-ban, a 75. § (1)-(5) bekezdésében és a 75/A. §-ban és az 1. mellékletben meghatározott rendelkezéseket kell alkalmazni.” (103) Az Infotv. 38. § (2) – (2a) bekezdései alapján:

„(2) A Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. (2a) Az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja.” (104) Infotv. 53. § (3) bekezdés szerint: „A Hatóság a bejelentést érdemi vizsgálat nélkül elutasítja, ha (…) g) a bejelentés tárgyában hatósági ellenőrzést végez vagy hatósági eljárást folytat”.

(105) Az Infotv. 55. § (1) bekezdés a) pontjának ab) alpontja alapján a Hatóság a vizsgálat hivatalból történő megindításától vagy a bejelentés érkezését követő naptól számított két hónapon belül megállapítja, hogy az általános adatvédelmi rendeletben és az e törvényben meghatározott jogok gyakorlásával kapcsolatban jogsérelem következett be, vagy annak közvetlen veszélye áll fenn, és a vizsgálatot lezárja, és a 60. § szerinti adatvédelmi hatósági eljárást indít. (106) Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az Ákr. szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel. (107) Az Infotv. 60/A. § (1) bekezdése alapján az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap, amely határidőbe nem számít bele a tényállás tisztázásához szükséges adatok közlésére irányuló felhívástól az annak teljesítéséig terjedő idő. Az eljárási határidők alkalmazására egyebekben az Ákr. 52. §-át kell alkalmazni. (108) Az Infotv. 61. § (1) bekezdése alapján: „Az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság a) a 2. § (2) és (4) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja, így különösen kérelemre vagy hivatalból elrendelheti a jogellenesen kezelt személyes adatok általa meghatározott módon végrehajtandó törlését, illetve átmenetileg vagy véglegesen egyéb módon korlátozhatja az adatkezelést, b) a 2. § (3) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben ba) megállapíthatja a személyes adatok jogellenes kezelésének tényét, bb) elrendelheti a valóságnak nem megfelelő személyes adat helyesbítését, bc) elrendelheti a jogellenesen kezelt személyes adatok zárolását, törlését vagy megsemmisítését, bd) megtilthatja a személyes adatok jogellenes kezelését, be) megtilthatja a személyes adatok külföldre történő továbbítását vagy átadását, bf) elrendelheti az érintett tájékoztatását, ha azt az adatkezelő jogellenesen mellőzte vagy tagadta meg, valamint bg) bírságot szabhat ki, c) az általános adatvédelmi rendelet 41. cikk (1) bekezdésében meghatározott ellenőrzési tevékenységet végző szervezettel szemben az általános adatvédelmi rendelet 41. cikk (5) bekezdésében meghatározott jogkövetkezményeket alkalmazhatja.” (109) Az Infotv. 61. § (2) bekezdése szerint: „A Hatóság elrendelheti határozatának - az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő nyilvánosságra hozatalát, ha a) a határozat személyek széles körét érinti, b) azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy c) a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja.”

(110) Az Infotv. 61. § (3) bekezdése alapján a Hatóság eljárásában figyelmeztetés alkalmazása kizárt, ha a Hatóság a mérlegelésére vonatkozó előírások alapján bírság kiszabásának szükségességét állapítja meg. (111) Az Infotv. 61. § (7) bekezdése értelmében a Hatóság döntésének végrehajtását a döntésben foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a Hatóság foganatosítja. (112) Az Infotv. 71. § (1) bekezdése alapján a Hatóság eljárása során - az annak lefolytatásához szükséges mértékben és ideig - kezelheti mindazon személyes adatokat, valamint törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatokat, amelyek az eljárással összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. (113) Az Infotv. 71. § (2) bekezdése szerint a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja. (114) Az Ákr. 5. § (1) bekezdése alapján az ügyfél az eljárás során bármikor nyilatkozatot, észrevételt tehet. (115) Az Ákr. 6. §-a alapján az eljárás valamennyi résztvevője köteles jóhiszeműen eljárni és a többi résztvevővel együttműködni. Senkinek a magatartása nem irányulhat a hatóság megtévesztésére vagy a döntéshozatal, illetve a végrehajtás indokolatlan késleltetésére. Az ügyfél és az eljárás egyéb résztvevője jóhiszeműségét az eljárásban vélelmezni kell. A rosszhiszeműség bizonyítása a hatóságot terheli. (116) Az Ákr. 13. § (1)-(2) bekezdése alapján, ha törvény nem írja elő az ügyfél személyes eljárását, helyette törvényes képviselője, vagy az általa, illetve törvényes képviselője által meghatalmazott személy, továbbá az ügyfél és képviselője együtt is eljárhat. Jogi személy törvényes képviselőjének eljárása személyes eljárásnak minősül. (117) Az Ákr. 14. §-a alapján a meghatalmazott a képviseleti jogosultságát - ha azt a rendelkezési nyilvántartás nem tartalmazza - köteles igazolni. A meghatalmazást közokiratba vagy teljes bizonyító erejű magánokiratba kell foglalni vagy jegyzőkönyvbe kell mondani. Ha a meghatalmazásból más nem tűnik ki, az kiterjed az eljárással kapcsolatos valamennyi nyilatkozatra és cselekményre. Ha a képviseleti jogosultság visszavonás, felmondás vagy az ügyfél, illetve a meghatalmazott halála miatt megszűnik, a megszűnés a hatósággal szemben a hatóságnak való bejelentéstől, a többi ügyféllel szemben a velük való közléstől hatályos. (118) Az Ákr. 27. §-a alapján a hatóság az ügyfél és az eljárás egyéb résztvevője azonosításához szükséges természetes személyazonosító adatokat és az ügyfajtát szabályozó törvényben meghatározott személyes adatokat, továbbá - ha törvény másként nem rendelkezik - az eljárás eredményes lefolytatásához elengedhetetlenül szükséges más személyes adatokat kezeli. A hatóság gondoskodik arról, hogy a törvény által védett titok és törvény által védett egyéb adat (a továbbiakban együtt: védett adat) ne kerüljön nyilvánosságra, ne juthasson illetéktelen személy tudomására, és e védett adatok törvényben meghatározott védelme a hatóság eljárásában is biztosított legyen. A hatóság az eljárása során annak lefolytatásához - jogszabályban meghatározott módon és körben - kezeli azokat a védett adatokat, amelyek eljárásával összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. (119) Az Ákr. 33. § (1) bekezdése alapján az ügyfél az eljárás bármely szakaszában és annak befejezését követően is betekinthet az eljárás során keletkezett iratba. (120) Az Ákr. 33. § (4) bekezdése alapján az iratbetekintés során az arra jogosult másolatot, kivonatot készíthet vagy - kormányrendeletben meghatározott költségtérítés ellenében másolatot kérhet, amelyet a hatóság kérelemre hitelesít. (121) Az Ákr. 34. §-a értelmében nem lehet betekinteni a döntés tervezetébe. Nem ismerhető meg az olyan irat vagy az irat olyan része, amelyből következtetés vonható le valamely védett adatra vagy olyan személyes adatra, amely megismerésének törvényben meghatározott feltételei nem állnak fenn, kivéve, ha az adat - ide nem értve a minősített adatot - megismerésének hiánya megakadályozná az iratbetekintésre jogosultat az e törvényben biztosított jogai gyakorlásában. A hatóság a kérelem alapján az iratbetekintést biztosítja - az eljárás befejezését követően is -, vagy azt végzésben elutasítja. (122) Az Ákr. 62. § (1) bekezdése szerint, ha a döntéshozatalhoz nem elegendőek a rendelkezésre álló adatok, a hatóság bizonyítási eljárást folytat le. (123) Az Ákr. 62. § (2) bekezdése alapján a hatósági eljárásban minden olyan bizonyíték felhasználható, amely a tényállás tisztázására alkalmas. Nem használható fel bizonyítékként a hatóság által, jogszabálysértéssel megszerzett bizonyíték. (124) Az Ákr. 62. § (4) bekezdése értelmében a hatóság szabadon választja meg a bizonyítás módját, és a rendelkezésre álló bizonyítékokat szabad meggyőződése szerint értékeli. (125) Az Ákr. 63. §-a szerint, ha a tényállás tisztázása azt szükségessé teszi, a hatóság az ügyfelet nyilatkozattételre hívhatja fel. (126) Az Ákr. 64. § (1) bekezdése szerint, ha jogszabály nem zárja ki, az ügyfél a nyilatkozatával pótolhatja a hiányzó bizonyítékot, ha annak beszerzése nem lehetséges. (127) Az Ákr. 64. § (2) bekezdése értelmében, ha az ügyfél vagy képviselője más tudomása ellenére az ügy szempontjából jelentős adatot valótlanul állít vagy elhallgat - ide nem értve, ha vele szemben az Ákr. 66. § (2) bekezdésében vagy (3) bekezdés b) és c)

pontjában meghatározott ok áll fenn -, illetve ha a kötelező adatszolgáltatás körében az Ákr. 105. § (2) bekezdésében foglalt ok hiányában adatszolgáltatási kötelezettségét nem teljesíti, eljárási bírsággal sújtható. (128) Az Ákr. 65. § (1)-(2) bekezdései alapján a hatóság, ha a tényállás tisztázása során szükséges, és az a Dáptv. alapján nem szerezhető be – az Ákr. 36. § (2) bekezdésben meghatározottak kivételével - felhívhatja az ügyfelet okirat vagy más irat bemutatására. Ha törvény vagy kormányrendelet másként nem rendelkezik, az ügyfél az iratot másolatban is benyújthatja, ha nyilatkozik arról, hogy az az eredetivel mindenben megegyezik. (129) Az Ákr. 68. § (1) bekezdése alapján, ha a tényállás tisztázására ingó, ingatlan (a továbbiakban együtt: szemletárgy) vagy személy megtekintése vagy megfigyelése szükséges, a hatóság szemlét rendelhet el. (130) Az Ákr. 68. § (2)-(3) bekezdései szerint a szemletárgy birtokosát és az Ákr. 68. § (1)

bekezdésben meghatározott személyt - ha az a szemle eredményességét nem veszélyezteti - a szemléről előzetesen értesíteni kell. A szemletárgy birtokosának távolléte - ha jelenléte nem szükségszerű - nem akadálya a szemle megtartásának. (131) Az Ákr. 69. §-a tartalmazza a szemle lefolytatására vonatkozó rendelkezéseket, eszerint:

„(1) A szemle megtartása során - az ismert tulajdonos értesítésével egyidejűleg - a szemletárgy birtokosa kötelezhető a szemletárgy felmutatására, illetve arra, hogy az ügyfelet a szemle helyszínére beengedje. (2) A szemle során a hatóság eljáró tagja jogosult különösen a) a szemlével érintett területre, építménybe és egyéb létesítménybe belépni, b) bármely iratot, tárgyat vagy munkafolyamatot megvizsgálni, c) felvilágosítást kérni, illetve d) mintát venni.” (132) Az Ákr. 70. § (1)-(2) bekezdései alapján a szemle eredményes és biztonságos lefolytatása érdekében a hatóság a rendőrség közreműködését kérheti. A rendőrség a rendőrségről szóló törvény végrehajtási eljárás lefolytatásában való közreműködésre vonatkozó szabályai szerint, a hatóság felkérésére - előzetes megkeresése nélkül azonnal, a hatóság által megjelölt helyen és ideig biztosítja a közreműködést. (133) Az Ákr. 76. §-a alapján, ha a hatóság az ügyben bizonyítási eljárást folytatott le, melynek során a hatóság nem biztosította, hogy az ügyfél minden bizonyítékot megismerjen, annak befejezését követően értesíti az ügyfelet, hogy - az iratokba való betekintés szabályai figyelembevételével - megismerhesse a bizonyítékokat, és további bizonyításra irányuló indítványt terjeszthessen elő. (134) Az Ákr. 77. § (1)-(2) bekezdéseiben foglaltak alapján azt, aki a kötelezettségét önhibájából megszegi, a hatóság az okozott többletköltségek megtérítésére kötelezi, illetve eljárási bírsággal sújthatja. Az eljárási bírság legkisebb összege esetenként tízezer forint, legmagasabb összege - ha törvény másként nem rendelkezik természetes személy esetén ötszázezer forint, jogi személy vagy egyéb szervezet esetén egymillió forint azzal, hogy az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja és 83. cikke alapján a Hatóság az 58. cikk (1) bekezdésében előírt hozzáférés-biztosítási kötelezettség megsértése esetén legfeljebb 20 000 000 EUR vagy – vállalkozás esetében, ha az magasabb – az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%-át kitevő összegű bírsággal sújthatja az adatkezelőt, illetve az adatfeldolgozót az eset összes releváns körülményének mérlegelése alapján.

(135) Az Ákr. 103. § (1) bekezdése alapján a hivatalbóli eljárásokban az Ákr.-nek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az Ákr. VII. Fejezetében foglalt eltérésekkel kell alkalmazni. A 103. § (4) bekezdése szerint „Ha a hatóság a hivatalbóli eljárásban az ügyintézési határidő kétszeresét túllépi, a jogsértés tényének megállapításán és a jogellenes magatartás megszüntetésére vagy a jogszerű állapot helyreállítására kötelezésen túl egyéb jogkövetkezményt nem alkalmazhat. Ez esetben ugyanazon ügyféllel szemben, ugyanazon ténybeli és jogi alapon nem indítható új eljárás.” (136) Az Ákr. 105. §-a alapján a hivatalbóli eljárásban az ügyfél a hatóság erre irányuló felhívására köteles közölni az érdemi döntéshez szükséges adatokat. Törvény vagy kormányrendelet jogkövetkezményeket állapíthat meg az adatszolgáltatási kötelezettség elmulasztása vagy valótlan adatok közlése esetére. Az adatszolgáltatást az ügyfél akkor tagadhatja meg, ha arra a tanúvallomást megtagadhatná. (137) Az eljárási költségekről, az iratbetekintéssel összefüggő költségtérítésről, a költségek megfizetéséről, valamint a költségmentességről szóló 469/2017. (XII. 28.) Korm. rendelet 2. § (1) bekezdés b) pontja alapján a hatóság az iratbetekintést az iratbetekintést kérő személy által meg nem ismerhető személyes és védett adatok megismerhetetlenné tételét követően biztosítja. (138) Az Ehat. Tv. 1. § 31. pontja alapján végső felhasználó: az a természetes személy vagy szervezet, aki vagy amely saját felhasználására vásárol energiát; távhűtéssel ellátott épület esetében, ha a távhűtési szolgáltatás a több személy tulajdonában lévő épület valamennyi épületrészében – a közös használatú épületrészek kivételével – mérhető, végső felhasználónak kell tekinteni az egyes épületrészek tulajdonosát is.

(139) Az Ehat Tv. 12. § (2) bekezdése alapján a végfelhasználási energiamegtakarítás mértéke a 2021. január 1. és 2030. december 31. közötti kötelezettségi időszakban (a továbbiakban: második kötelezettségi időszak) a 2016., 2017. és 2018. bázisévek átlagos végsőenergia-fogyasztási mennyiségéhez képest országos szinten évi 0,8% mértékű energiamegtakarítással elért, halmozott energiamegtakarítás.

(140) Az Ehat. Tv. 15. § (1) bekezdése alapján a Vet. és a Get. szerinti villamos energia és földgáz kereskedelmi és egyetemes szolgáltatói engedélyes, saját jogon eljáró felhasználó részére szerződés keretében földgázt szállíttató fél, valamint közlekedési célú üzemanyagot végső felhasználók részére – ideértve a saját célra történő felhasználást is – értékesítő gazdálkodó szervezet, egyesület (a továbbiakban együtt: kötelezett fél).

(141) Az Ehat. Tv. 15/A. § (1) bekezdése szerint:

„Az egyéni fellépésekből származó energiamegtakarítást a Hivatal elnökének e törvény végrehajtására kiadott rendeletében meghatározott jegyzék (a továbbiakban: jegyzék) alapján, vagy energetikai auditor, energetikai auditáló szervezet által kiállított energetikai audit alapján, az e törvény végrehajtására kiadott kormányrendelet szerinti átváltási tényezők, valamint számítási módszerek és elvek alkalmazásával kell megállapítani. Az energiamegtakarítás megállapítása céljából készített energetikai audit kiegészítő kötelező tartalmi elemeit a Hivatal elnöke az e törvény végrehajtására kiadott rendeletében határozza meg.” (142) Az Ehat. Tv. 15/A. § (4) bekezdése alapján az egyéni fellépésekből származó, energiamegtakarítási kötelezettségként elszámolni vagy más kötelezettek számára átruházni kívánt energiamegtakarítást a Hivatal által névjegyzékbe vett – kötelezett félnek nem minősülő – energetikai auditáló szervezet (a továbbiakban: hitelesítő szervezet) hitelesíti. A hitelesítő szervezet nem válhat a saját maga által hitelesített energiamegtakarítás első jogosultjává, kivéve, ha a Hivatal ellenőrzése eredményeként az energiamegtakarítás pótlására kötelezi. Hitelesítés nélküli energiamegtakarítás a Hivatalhoz nem jelenthető be és a Hivatal részéről nem számolható el energiamegtakarítási kötelezettség teljesítéseként.

(143) Az Ehat. Tv. 15/A. § (5) bekezdése alapján a hitelesítő szervezet hitelesítésével igazolja, hogy az (1) bekezdés szerinti energiamegtakarítás megállapítása során megfelelően vették figyelembe az e törvény végrehajtására kiadott kormányrendelet szerinti átváltási tényezőket, számítási módszereket és elveket, továbbá a lényeges hozzájárulás meglétét, valamint az energiamegtakarítás addicionális mértékét a tárgyévre és az azt követő évekre egyaránt.

(144) Az Ehat. Tv. 15/A. § (9) bekezdése alapján a hitelesítő szervezet és az első jogosult a hitelesített energiamegtakarítás Hivatal általi ellenőrizhetősége érdekében gondoskodik az energiamegtakarítás létrejötte, hitelesítése, a hitelesített energiamegtakarítást átruházás útján megszerző személy pedig az energiamegtakarítás megszerzése során birtokába került dokumentációnak az adott kötelezettségi időszakot követő 5 évig történő megőrzéséről. (145) Az Ehat. Tv. 15/B. § (3) bekezdése alapján a hitelesített energiamegtakarítás korlátozottan forgalomképes vagyoni értékű jog, amely kizárólag a kötelezett fél részére ruházható át. A nem hitelesített energiamegtakarítás átruházása, a 15/D. § (9) bekezdése szerinti eset kivételével az energiamegtakarítás nem kötelezett félnek minősülő vevő részére történő átruházása, valamint a Hivatal által energiamegtakarítási kötelezettség teljesítésére elszámolt energiamegtakarítás átruházása semmis. A hitelesített energiamegtakarítás felosztható és többször továbbruházható.

(146) Az Ehat. Tv. 15/B. § (4) bekezdése alapján az energiamegtakarítás első jogosultját az egyéni fellépéssel érintett végső felhasználó és a lényeges hozzájárulást kifejtő személy közötti írásbeli megállapodásban – ideértve az elektronikus úton kötött megállapodást is – kell megjelölni. E megállapodást az egyéni fellépés kezdete előtt kell megkötni, több egyéni fellépés megvalósítására irányuló cselekmény közül a legkorábbit kell figyelembe venni. A megállapodás tartalmazza a lényeges hozzájárulás módját és mértékét, valamint rögzíti azt a tényt, hogy a hozzájárulás lényeges hatással volt a végső felhasználó egyéni fellépése érdekében hozott döntésére. E megállapodás hiányában az energiamegtakarítás nem hitelesíthető, kivéve, ha az adott energiamegtakarítás olyan energiamegtakarítást eredményező intézkedésből származik, amely tekintetében bármely személy részéről korábban lényeges hozzájárulás történt. Több első jogosult esetén a megállapodásban az egyéni fellépésből származó teljes energiamegtakarítás mértékére vonatkozóan egyértelműen fel kell tüntetni az energiamegtakarítás jogosultak közötti felosztását. (147) Az Ehat. Tv. 15/B. § (7) bekezdése alapján a hitelesített energiamegtakarítás kétoldalú megállapodás keretében vagy szervezett piacon ruházható át. A szervezett piac működtetője a Hivatal által vezetett hitelesített energiamegtakarítások nyilvántartásához jogosult hozzáférni a hitelesített energiamegtakarítás szervezett piacon történő átruházása érdekében. A hitelesített energiamegtakarítás szervezett piacon történő átruházásának alapelveit az e törvény végrehajtására kiadott kormányrendelet határozza meg, mely tartalmazza a szervezett piacot működtető szervezet kijelölését is.

(148) Az Ehat. Tv. 15/D. § (1b) bekezdése szerint:

„(1b) A kötelezett fél az (1) bekezdés szerinti bejelentése során a következő személyes adatokat is átadja a Hivatal részére:

a) ingatlanon megvalósuló egyéni fellépés esetén az ingatlan címe, helyrajzi száma, b) ingóságon megvalósuló egyéni fellépés esetén az ingóság gyári száma, gépjármű esetén alvázszáma, és c) az egyéni fellépéssel érintett végső felhasználó neve, lakcíme.” (149) Az Ehat. Tv. Vhr. 14. § (4) bekezdése alapján az energetikai auditor, illetve energetikai auditáló szervezet általi auditálás esetén az energetikai auditor és az energetikai auditáló szervezet is köteles az energetikai auditot, valamint az azt alátámasztó dokumentációt (számítást) a megbízónak történő átadástól számított 10 évig megőrizni. (150) Az Ehat. Tv. Vhr. 18. § (1) bekezdése alapján az energetikai auditor és energetikai auditáló szervezet általi auditálás esetén az energetikai auditáló szervezet a Hivatal megkeresésére köteles a vizsgálatra kiválasztott energetikai audittal kapcsolatos megjelölt adatokat, egyéb kiegészítő tájékoztatást a Hivatal számára megadni. A Hivatal kérésére az energetikai audit teljes iratanyagát meg kell küldeni. Ha az energetikai auditot és a kapcsolódó dokumentációt az energetikai auditor vagy az energetikai auditáló szervezet nem adja át, az az auditálásra kötelezettől, vagy az audit elkészíttetésére megbízást adó egyéb személytől is bekérhető. (151) A villamosenergiáról szóló 2007. évi LXXXVI. törvény (Vet.) 3. § 17. pontja alapján:

„Felhasználó: aki villamos energiát a saját felhasználási helyén történő felhasználás céljából közcélú hálózatról vagy magánvezetéken keresztül nem továbbadás útján vételez.”

(152) A Vet. 47. § (1b) és (1c) bekezdései szerint:

„(1b) Az adatváltozás-kezelési szolgáltató a felhasználó rendelkezése alapján átadja a villamosenergia-kereskedőnek, illetve egyetemes szolgáltatónak a Tkmtv. 15. § (2) bekezdés a) pontja, b) pont bc)–be) alpontja, valamint 16. § (2) bekezdése szerinti adatokat. (1c) A villamosenergia-kereskedő, illetve egyetemes szolgáltató a felhasználónak az adatváltozás-kezelési szolgáltatásra történő regisztrációja során a Tkmtv. 15. § (2) bekezdés a) pont aa) és ab) alpontja alapján, az adatváltozás-kezelési szolgáltatótól átvett adatait az adatok átvételét követő 60 napon belül összeveti az általa nyilvántartott, a felhasználóra, illetve a fizetőre vonatkozó adatokkal, és eltérés esetén gondoskodik azoknak az átvett adatok szerinti tartalommal történő helyesbítéséről.” (153) A Vet. 151. § (5) bekezdése alapján az engedélyes társaság a felhasználóval fennálló engedélyköteles vagy más tevékenységéhez kapcsolódó jogviszonyai tekintetében – a felhasználó adatainak megadásától számított 60 napon belül – gondoskodik a felhasználó által, részére megadott természetes személyazonosító adatoknak és lakcím adatoknak a nyilvántartásába vett, felhasználóra vonatkozó adatokkal való összevetéséről, és eltérés esetén elvégzi azoknak a felhasználó által megadott adatok szerinti tartalommal történő helyesbítését, kiegészítését.

(154) A villamos energiáról szóló 2007. évi LXXXVI. törvény egyes rendelkezéseinek végrehajtásáról szóló 273/2007. (X. 19.) Korm. rendelet (a továbbiakban: Vet Vhr.) 22/A. § (1) bekezdése alapján: „22/A. § (1) Ha a villamosenergia-kereskedő vagy a felhasználási helyen a felhasználó személye megváltozik, a felek a változást legkésőbb – az (1e) bekezdésben foglalt kivétellel – a változástól számított 15 napon belül kötelesek a másik szerződő félnek az üzletszabályzatban foglaltak szerint bejelenteni és annak rendelkezései szerint eljárni.” (155) A Vet Vhr. 22/A. § (1b) bekezdésének b) pontjában foglalt ba) alpontja alapján:

„(1b) A felhasználó (1) bekezdés szerinti bejelentésének kizárólag a következőket kell tartalmaznia:

b) a felhasználó ba) neve, születési neve, anyja neve, születési helye és ideje természetes személy esetében, neve, cégjegyzékszáma vagy azzal egyenértékű azonosítója és adószáma jogi személy vagy a Polgári Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.) általános szabályai szerint létrehozott jogalany esetében” (156) A Vet. Vhr. 2. sz. Mellékletének 2.4. pontjának a) alpontja alapján:

„2.4. A rendszerhasználói igénybejelentésnek csatlakozási pontonként legalább a következőket kell tartalmaznia: a) az igénybejelentő megnevezését – természetes személy esetében nevének, lakcímének, anyja nevének, születési idejének és helyének, jogi személy vagy a Ptk. általános szabályai szerint létrehozott jogalany esetében székhelyének, cégjegyzékszámának vagy azzal egyenértékű azonosítójának és adószámának feltüntetésével –, továbbá a kapcsolattartáshoz szükséges adatokat.” (157) A Vet. Vhr. 2. sz. Mellékletének 8.1. pontjának a) alpontja alapján:

„8.1. A hálózathasználati szerződésnek legalább a következőket kell tartalmaznia: a) a hálózati engedélyes és a rendszerhasználó azonosító adatait (természetes személy esetében a nevének, lakcímének, anyja nevének, születési helyének, születési idejének; gazdálkodó szervezet esetén a székhelyének és a cégjegyzékszámának feltüntetésével; a hálózati engedélyes ügyfélszolgálati irodája megnevezését, címét, telefonszámát)” (158) A végfelhasználási energiamegtakarítással kapcsolatos adatszolgáltatásról szóló

17/2020. (XII. 21.) MEKH rendelet 3. § (1) bekezdés c) pontja alapján: „3. § (1) Az energiamegtakarítási kötelezettség teljesítéseként egy adott évre elszámolni kívánt hitelesített energiamegtakarítás 2/A. § szerinti, valamint a következő a)–m) pont szerinti adatait a kötelezett fél megbízásából az energiamegtakarítást hitelesítő energetikai auditáló szervezet (a továbbiakban: hitelesítő szervezet) jelenti be az energiahatékonyságról szóló 2015. évi LVII. törvény (a továbbiakban: Ehat.) 15/D. § (1) bekezdése szerinti bejelentésként az EKR adatgyűjtő rendszerbe a 2/A. § szerinti adatoknak a hitelesített energiamegtakarítások nyilvántartásába való felvezetésével egyidejűleg: c) az energiahatékonysági intézkedés vagy az energiahatékonysági beruházás helyszíne (cím, helyrajzi szám), ingóságon megvalósuló intézkedés esetén az érintett ingóság gyári száma, gépjármű esetén alvázszáma, – olyan szemléletformáló energiahatékonysági intézkedések kivételével, amelyek esetében nem határozható meg pontosan az elért végső felhasználó személye – a végső felhasználó szervezet neve, adószáma, természetes személy esetén neve, lakóhelye” (159) A személyazonosító jel helyébe lépő azonosítási módokról és az azonosító kódok használatáról szóló 1996. évi XX. törvény (a továbbiakban: Szaztv.) 5. §-a szerint: „(1) Az azonosító kód olyan, matematikai módszerrel képzett, különleges adatra nem utaló számjegysor, amely a polgárt az adatkezelés során egyértelműen azonosítja. (2) Az azonosító kód személyes adat, ezért azt kezelni és továbbítani csak törvényben meghatározott szabályok szerint lehet.” (160) A Szaztv. 6. § (3) bekezdése alapján:

„(3) A személyiadat- és lakcímnyilvántartás azonosító kódja a személyi azonosító, melynek képzési szabályait a törvény 3. számú melléklete tartalmazza.” (161) A Szaztv. 7. § (2) bekezdése alapján az az adatkezelő, akit törvény azonosító kód használatára nem hatalmaz fel, a 6. §-ban meghatározott azonosító kódot csak a polgár előzetes, az (EU) 2016/679 európai parlamenti és tanácsi rendelet 4. cikk 11. pontja szerinti hozzájárulása vagy az ügyintézési rendelkezésben tett hozzájárulása alapján használhatja fel. (162) A Szaztv. 35. §-a alapján a személyi azonosítót a polgár előzetes írásbeli vagy az ügyintézési rendelkezésében tett hozzájárulásának tartalma szerint jogosult kezelni az az adatkezelő, akit az érintett erre feljogosít. VII.

Döntés

VII.1. Az adatkezelésben betöltött szerepek értékelése

(163) A Hatóság megállapította, hogy a Program természetes személyeket célzó gazdasági tevékenységként az Adatbázisba regisztráló érintettek tekintetében személyes adatok kezelésével is járt. Ennek során a Kötelezett határozta meg természetes személyeknek az általános adatvédelmi rendelet 4. cikk 1. pontja szerinti személyes adatai kezelésének célját és eszközeit, ezáltal az általános adatvédelmi rendelet 4. cikk 7. pontja alapján adatkezelőnek minősül. Kötelezettnek a Programmal szorosan összefüggő tevékenysége során megvalósult a személyes adatok vagy személyes adatokat is tartalmazó adatállományok gyűjtése, rögzítése, rendszerezése, tárolása, megváltoztatása, lekérdezése, betekintése, felhasználása, továbbítása, törlése, illetve megsemmisítése. A Kötelezett tevékenysége az általános adatvédelmi rendelet hatálya alá tartozik. (164) Kötelezett a Program keretében adatfeldolgozóként vette igénybe [NAIH-8614-6/2023.

ügyiratszámú nyilatkozat 25. pontja] a […], és a […] […] Kft. szolgáltatásait, továbbá tárhely-szolgáltatóként a […] Zrt.-t [NAIH-8614-6/2023. ügyiratszámú nyilatkozat 27. pontja], valamint azt a 262 db települési önkormányzatot, amelyekkel adatfeldolgozásra irányuló szerződést kötött [NAIH-8614-6/2023. ügyiratszámú nyilatkozat 28. pontja].

VII.2. Az általános adatvédelmi rendelet 5. cikk (1) bekezdésének a) pontja szerinti átláthatóság elvének és az ahhoz kapcsolódó adatkezelői kötelezettségeknek a sérelme a 2021. december 10-től 2023. november 30-ig terjedő időszakban [Rendelkező rész 1.1.

a) alpontja]

(165) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja alapján a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”).

(166) Az általános adatvédelmi rendelet preambulumának (39) bekezdése értelmében a természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik vagy fogják kezelni. Az átláthatóság elve vonatkozik különösen az érintetteknek az adatkezelő kilétéről és az adatkezelés céljáról való tájékoztatására, valamint az azt célzó további tájékoztatásra, hogy biztosított legyen az érintett személyes adatainak tisztességes és átlátható kezelése, továbbá arra a tájékoztatásra, hogy az érintetteknek jogukban áll megerősítést és tájékoztatást kapni a róluk kezelt adatokról. (167) A Kötelezett a fenti időszak tekintetében nyilatkozataiban következetesen a Régi ESZFben, illetve a Tájékoztatóban foglaltakat jelölte meg, mint az érintettek részére adott tájékoztatást. A Hatóság megvizsgálta a Régi ESZF-ben, és a Tájékoztatóban foglaltakat, továbbá a GYIK menüpontban foglaltakat, illetve a tájékoztatás megadásának módját és a következő megállapításokat tette. (168) A Hatóság megítélése szerint a Weboldal1-2 kifejezetten a Programra történő regisztráció érdekében került kialakításra, így a regisztrálni szándékozó érintettek az adatkezelésre vonatkozó rendelkezéseket – már elnevezéséből adódóan is – az adataik megadását megelőzően a Weboldal1-2 felületén elhelyezett Tájékoztatóban keresik. Kötelezett Weboldal1-2 felületein a weboldal alsó sávjában a „Dokumentumok” menüpontban általános, nem kifejezetten a Programhoz kötődő tevékenységére vonatkozó tájékoztatást tett elérhetővé – például panaszokkal kapcsolatos adatkezelés, kamerás vagyonvédelmi rendszer adatkezelése, beléptetéssel kapcsolatos adatkezelés, egyéb nyereményjáték – azonban az a Programhoz kapcsolódóan kialakított regisztrációs felülettel összefüggésben is értelmezhető fejezeteket is tartalmazott, így „III. Adatkezelés a honlapon”, „IV. Ügyfelekkel kötött szerződések adatkezelése”, „XII. Adatkezelések időtartama”, „XIII. Egyéb kérdések” (benne a jogorvoslati lehetőségek és érintetti joggyakorlással kapcsolatos tájékoztatással). A Hatóság megállapította, hogy az Adatbázison keresztül megvalósuló adatkezelések tekintetében a Tájékoztató a Programmal összefüggő regisztrációs folyamatra, a személyazonosító okmányok, a lakcímet, illetve személyi azonosítót igazoló hatósági igazolványok kezelésére vonatkozó információt egyáltalán nem tartalmazott, a szerződésekhez és ajánlatkéréshez kapcsolódó adatkezeléssel kapcsolatban az 8 éves megőrzést rögzített, amely eltért mind a Hatóság által megállapított valós adatkezelési időtartamtól, mind a Régi ESZF-ben általánosságban megjelölt, nem kifejtett kötelező adatkezelési időtartamtól, illetve hasonló energia megtakarítási programok céljára való felhasználás lehetőségétől. (169) A Hatóság rögzíti, hogy a vizsgált időszakban Weboldal1-2 lapjainak alsó menüsorából, továbbá az Adatbázis regisztrációs folyamat utolsó lépéseként, már az adatok megadását és az okmányképek feltöltését követően elérhető és a regisztráltak által minden esetben kötelezően elfogadott Régi ESZF III.5.1. pontja szerint: „[…] Az adatkezelésre vonatkozó részletes tájékoztatót a jelen ESZF tartalmazza. […]” Az átláthatóság követelményének teljesítésére vonatkozó legfontosabb megállapításokat az Európai Adatvédelmi Testület által első ülésén fenntartott, a 29. cikk szerinti munkacsoport által kiadott, az (EU) 2016/679 rendelet szerinti átláthatóságról szóló WP260 rev.01. számú iránymutatása (2018. április 11.) tartalmazza [https://www.naih.hu/files/wp260rev01_hu.pdf]. Az iránymutatás 8. pontja szerint: „[…] a tájékoztatást egyértelműen el kell különíteni az egyéb, nem adatvédelemmel kapcsolatos tájékoztatástól, például a szerződéses rendelkezésektől vagy általános felhasználási feltételektől. Online környezetben a többszintű adatvédelmi nyilatkozat/tájékoztató használata lehetővé teszi, hogy az érintett az adatvédelmi nyilatkozat/tájékoztató azon pontjára keressen rá, amelyhez haladéktalanul hozzá akar férni, és ne kelljen végiggörgetnie a terjedelmes szövegen ahhoz, hogy megtalálja az őt érdeklő témát.” A Hatóság megállapította, hogy a Kötelezett a Program kapcsán az adatkezelés alapvető jellemzőire vonatkozó tájékoztatást (azonban nem az általános adatvédelmi rendelet által elvárt módon és tartalommal) a Régi ESZFben és nem a Tájékoztatóban nyújtotta az érintettek részére, így az adatkezelésre vonatkozó rendelkezések nem különültek el a szerződéses rendelkezésektől. (170) Ennek ellenére az adatkezelés érintett számára legfontosabb, alapvető jellemzőit nem fejtette ki részleteiben a Régi ESZF-ben sem, tekintettel arra, hogy annak III.5. fejezete nem különítette el egyértelműen mely adatkezelési célokra, mely jogalapon, mely adatok kerülnek gyűjtésre és tárolásra, kerül-e sor adattovábbításra, és mennyi ideig kerülnek az adatok és az okmány-, illetve dokumentummásolatok megőrzésre, mit takar „a jogszabály által előírt időtartamig és a […] adattörléséig”.

(171) A Régi ESZF III.5.1. pontja átfogó és széleskörű hozzájárulást nevesít jogalapként az adatok felhasználásához, továbbításához, de megemlíti a jogszabályok által előírt kötelező megőrzést „a kötelező adatkezelés körébe eső adatok tekintetében”, és „a felhasználó engedélyével végzett tevékenységnek” nevesíti a Programban történő adatkezelési műveleteket, amelyre szerződéses kapcsolat keretében kerül sor. (172) A Régi ESZF III.5.2. pontja rögzíti „A kötelező adatkezelést a LAKOSSÁGI LED

PROGRAM szolgáltatások nyújtásához a számlázással, elszámolással, az adózással és a […]-et terhelő, az állami, hatósági, önkormányzati és bírósági adatszolgáltatás, bevallás vonatkozásában, valamint az igényérvényesítés körében igazoltnak kell tekinteni. Ezen túl a kötelező adatkezelés fennáll minden olyan esetben is, amikor a jogszabály a […] terhére és vonatkozásában az adatkezelést, tárolást előírja. (…) A […] egyoldalúan jogosult elbírálni, hogy az adat jelen III.5.2. pont rendelkezése alá esik.” Tehát a regisztráló személy elfogadja, hogy Kötelezett egyoldalúan bírálja el, hogy mit tekint kötelező adatkezelésnek, mely kötelezettséget tekint ide tartozónak, ide sorolja a saját igényérvényesítését is (annak tartalmát nem pontosítva), és azok további pontosítása, a kötelezettséget keletkeztető előírás, vagy az igényt megalapozó tény megjelölése nélkül igazoltnak kell tekinteni. (173) A dokumentum III.5.3. pontja a további lényegesnek ítélt körülményeket ismerteti, a Hatósághoz fordulás jogát az általános adatvédelmi rendelet 77. cikkébe ütköző módon akkor tartja elfogadhatónak, ha arra csak panaszának rendezése 15 napon belüli sikertelen (azaz megsérti az elfogadott ESZF-et, ha előbb fordul a Hatósághoz); a kártérítéshez való jog kapcsán pedig az általános adatvédelmi rendelet 82. cikkébe ütköző tartalmú tájékoztatást nyújt a kártérítés elévülése és összegszerűsége kapcsán is. Rögzíti, hogy a LAKOSSÁGI LED PROGRAM szolgáltatások ideje alatt nem vonhatja vissza és nem korlátozhatja hozzájárulását, kizárja a tiltakozáshoz fűződő jogot, a törléshez fűződő jogot is. A felhasználó „jelen rendelkezést sértő eljárása (ideértve a hatósági, bírósági, vagy más eljárást is) a […] javára azonnali hatályú felmondási jogot keletkeztet a LAKOSSÁGI LED PROGRAM jogviszonya és a kapcsolódó szolgáltatások megszüntetésére”, tehát érintetti joggyakorlási igény előterjesztése, vagy az azzal kapcsolatos panasza előterjesztése is közvetlen hátrányt okozhat az érintettnek a szerződéses rendelkezések elfogadása értelmében a tájékoztatás szerint. Az általános adatvédelmi rendelet 7. cikk (3) bekezdése szerint ezzel szemben: „Az érintett jogosult arra, hogy hozzájárulását bármikor visszavonja. A hozzájárulás visszavonása nem érinti a hozzájáruláson alapuló, a visszavonás előtti adatkezelés jogszerűségét. A hozzájárulás megadása előtt az érintettet erről tájékoztatni kell. A hozzájárulás visszavonását ugyanolyan egyszerű módon kell lehetővé tenni, mint annak megadását.” A tájékoztatás részben akkor lenne helytálló az érintetti joggyakorlási lehetőségek kapcsán, ha nem az adatkezelő hozzájárulására, hanem a LAKOSSÁGI LED PROGRAM szolgáltatások ideje alatt az általános adatvédelmi rendelet 6. cikk (1) b) pontja szerinti szerződés teljesítésére alapította volna Kötelezett az adatkezelést. Ennek eredményeképp, az érintett az adatkezelésre vonatkozó, ESZF-ben foglalt rendelkezések olvasását követően sem kaphatott valós és teljes képet a Programmal összefüggő adatkezelések lényeges körülményeiről, hiszen a tájékoztatás kifejezetten az általános adatvédelmi rendelettel ellentétes rendelkezéseket tartalmazott, és számos elvárt tartalmi elem vonatkozásában hallgatott. (174) A Régi ESZF rendelkezéseitől eltérően az eseti érintetti törlési kérelem kapcsán a LEDek átvételéig Kötelezett az érintettek számára a gyakorlatban biztosította a törlési kérelmet. A Hatóság 84 érintett kapcsán állapított meg ilyen törlést, azonban a törlést követően is tovább kezelte Kötelezett a törlést kérők nevét és email címét, melyről az érintetteknek nem lehetett tudomása [NAIH-8614-4/2023. ügyiratszámon iktatott Jegyzőkönyv 5. és 7. oldal; lásd bővebben VII.8.2. fejezet].

(175) A Régi ESZF és a Tájékoztató adatkezelőként Kötelezettet jelölte meg, míg a program indulásától a Hatóság vizsgálati eljárására tekintettel 2023. május 17-ig Weboldal1-en a regisztrációs folyamat utolsó lépéseként létrejövő nyilatkozatban tévesen került feltüntetésre a […] […] Korlátolt Felelősségű Társaság (székhelye: […]; cégjegyzékszáma: […]), mint a Program meghirdetője. (176) A Tájékoztató és a Régi ESZF mellett a Weboldal1-2-ről elérhető Gyakran Ismételt

Kérdések (GYIK) oldalon ([…]/faq) további információ került a látogatók számára közzétételre az adatkezelés vonatkozásában, amely az adatkezelés célja mellett az érintett tiltakozáshoz fűződő joga kapcsán is adott tájékoztatást: „Miért kell az igazolványokat is feltölteni?

Az igazolványok a villanyszámlán lévő személyt igazolják, és a szerződéskötéshez szükségesek. A természetes személy adatainak kezelése és tárolása, valamint azok feldolgozása szükségszerű része a programnak, mivel azok nélkül a jelentkező azonosítását (és a felhasználási helyének további azonosítását) nem lehet elvégezni. Az azonosítás személyes adatokat tartalmazó iratok ismeretét (az iratok átadását) tételezi fel, így az adatkezelés (az iratok elektronikus átvételével) célhoz kötött és rendeltetésszerű, amelyet a jelentkező nem kifogásolhat.” A GYIK-ben foglalt fenti tájékoztatás, hogy az érintett nem kifogásolhatja az adatkezelést – a Kötelezett által az eljárás során tett nyilatkozatában közölt jogalap, azaz a Kötelezett jogos érdek függvényében – ellentétes az általános adatvédelmi rendelet szerinti hozzájárulás visszavonásához fűződő joggal, a tiltakozáshoz való jog meglétével, továbbá a jogorvoslathoz fűződő joggal.

(177) A fentiek mellett az átláthatóság hiányára utal a Hatósághoz beérkezett tájékoztatáskérések, panaszok jellege, tárgya is, amelyeket a Hatóság a jelen határozat V. pontjában fejtett ki.

(178) Az érintettek számára 2023. december 1-jét megelőzően a Hatóság megítélése szerint nem volt átlátható az őket érintő adatkezelés, ugyanis a Kötelezett által közzétett dokumentumokból a tájékoztatás széttagoltsága, hiányossága és helyenként eltérő tartalma miatt nem volt kialakítható egységes és valós kép az érintettekre vonatkozó adatkezelés alapvető jellemzőiről (az őt érintő adatkezelési célok, az adatok kezelésének pontos időtartama, az egyes adatkezelések jogalapja célonként elkülönítve), az őket megillető jogokról és jogorvoslati lehetőségekről, továbbá a hozzájárulás visszavonásának joga, és a tiltakozáshoz és a törléshez való jog kapcsán az általános adatvédelmi rendeletben foglaltakkal ellentétes tájékoztatást adott Kötelezett. A fentieket összegezve a Hatóság megállapította, hogy nem pusztán az érintetteknek nyújtandó tájékoztatás egyes tartalmi elemei hiányoztak, és nem is csak a tájékoztatás nyújtásának módja nem volt megfelelő (kellően áttekinthető, közérthető, a regisztráció megkezdésekor bárki számára könnyen hozzáférhető), ezért a 2021. december 10-től 2023. november 30-ig terjedő időszak tekintetében Kötelezett Programhoz kapcsolódó adatkezelése során megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a)

pontjában foglalt átláthatóság elvének követelményét.

VII.3. A Kötelezett által kezelt adatok köre tekintetében az adattakarékosság elvének sérelme a 2021. december 10-től 2023. november 30-ig terjedő időszakban [Rendelkező rész 1.1. b) pont]

(179) Az adatkezelés célja szorosan összefügg a kezelt adatok körével, figyelemmel arra, hogy az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontjában meghatározott adattakarékosság elve szerint a kezelt személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”). (180) A személyes adatok gyűjtésére (amely egy külön adatkezelési művelet) az általános adatvédelmi rendelet alapelvei kivétel nélkül alkalmazandóak, még akkor is, ha azokon más műveletet az adatkezelő a törlésüket megelőzően nem végez. Ennek megfelelően az adatgyűjtési műveletet is úgy szükséges kialakítani, hogy a cél eléréséhez szükséges legkevesebb adat kerüljön annak során gyűjtésre. (181) Az Európai Adatvédelmi Testület „az általános adatvédelmi rendelet szerinti az érintettek jogairól – hozzáférési jogról” szóló 01/2022. számú iránymutatásának 76.-77. pontjai szerint: „76. Az érintett személyazonosságának megerősítéséhez nem szükséges információkat – mint például hozzáférés és sorszám, állampolgárság, magasság, szemszín, fénykép és a géppel olvasható vizsgálati zóna – az érintett az eseti értékeléstől függően kitakarhatja vagy elrejtheti az adatkezelőhöz való benyújtás előtt, kivéve, ha a nemzeti jogszabályok a személyazonosító igazolvány teljes, szerkesztetlen másolatának benyújtását írják elő (lásd lentebb a 78. pontot). Általánosságban véve, a kiállítás és a lejárat időpontja, a kiállító hatóság neve, és az online fiókban szereplő adattal egyezést mutató teljes név elegendő ahhoz, hogy az adatkezelő ellenőrizze a személyazonosságot, minden esetben feltéve, hogy a másolat hitelessége és a kérelmezővel való kapcsolat biztosított. Kiegészítő információk, mint például az érintett születési ideje, megadását csak akkor lehet kérni, ha a téves azonosítás kockázata továbbra is fennáll, és amennyiben az adatkezelő össze tudja azokat vetni az általa már kezelt információkkal.” „77. Az adattakarékosság elvének követése érdekében az adatkezelőnek tájékoztatnia kell az érintettet a nem szükséges információkról, valamint a személyazonosító okmány ilyen információkat tartalmazó részei kitakarásának, illetve elrejtésének lehetőségéről. Ilyen esetben, ha az érintett nem tudja, hogyan kell kitakarni ezeket az információkat, vagy nem képes erre, az adatkezelő szempontjából jó gyakorlatnak minősül, hogy amennyiben ez számára lehetséges, a dokumentum kézhezvételekor kitakarja a kérdéses adatokat, figyelembe véve az adott körülmények között számára rendelkezésre álló eszközöket.” (182) A Weboldal1-2-ről elérhető Gyakran Ismételt Kérdések (GYIK) oldalon közzétett, VII.2.

pontban már idézett „Miért kell az igazolványokat is feltölteni?” kérdésre Kötelezett azt a tájékoztatást adta, hogy „Az igazolványok a villanyszámlán lévő személyt igazolják, és a szerződéskötéshez szükségesek. A természetes személy adatainak kezelése és tárolása, valamint azok feldolgozása szükségszerű része a programnak, mivel azok nélkül a jelentkező azonosítását (és a felhasználási helyének további azonosítását) nem lehet elvégezni.” (183) A Kötelezett a NAIH-8614-6/2023. ügyiratszámú nyilatkozatának 31) pontjában kifejtette, hogy a regisztrációkor feltöltött okmánymásolatok adatkezelésének a célja a jogos érdek (általános adatvédelmi rendelet 6. cikk (1) bekezdésének f) pontja) volt. A 44) pont szerint az okmányok weboldalon keresztül történő megadása az adatbiztonság megvalósulását segítette a Kötelezett szerint, mivel a Weboldal1-en vagy Weboldal2-n keresztül történő jelentkezés során az érintettnek lehetősége volt az okmányait az általa biztonságosnak tartott körülmények között és helyszínen egy adatbiztonsági szempontból teljesen biztonságos felületre feltölteni, ahelyett, hogy a személyes átvételnél rengeteg más, izzót átvevő érintett között kellett volna mutogatnia az okmányait. A fenti nyilatkozat 41) pontjában a Kötelezett rögzítette, hogy az okmányok

Adatbázisban való közvetlen beküldésének lehetőségét az adattakarékosság elvét figyelembe véve éppen azért alakította ki a Kötelezett, hogy amennyiben a LED-ek átadását nem maga a Kötelezett, hanem valamely korábban kijelölt adatfeldolgozója végzi, úgy az adatfeldolgozó számára az okmánymásolat szükségtelenül ne kerüljön átadásra (ne kelljen az adatfeldolgozónak a helyszínen azonosítani okmányai alapján az érintettet) és az okmány kizárólag a Kötelezettnél álljon előzetesen rendelkezésre. (184) Ezzel szemben megállapítást nyert, hogy a települési önkormányzatok egy része regisztrációs lehetőséget is nyújtott, tehát adatfeldolgozóként vett részt és eszközöket biztosított az okmányok beolvasása és feltöltése érdekében. A Kötelezett szerint a cél az érintett regisztráló természetes személy azonosítása volt, de ennek az okirat bemutatásával tudott volna eleget tenni a települési önkormányzatok mint adatfeldolgozók eljárása során, és Kötelezett feladata lett volna annak során megfelelő adatbiztonsági előírásokat rögzíteni, hogy az adatfeldolgozók hogyan, mely szervezési és technikai intézkedésekkel valósíthatják meg az okmányok ellenőrzését úgy, hogy ne kelljen „rengeteg más” személy előtt „mutogatnia” okmányait. (185) A személyazonosság igazolására alkalmas hatósági igazolványokról készített másolat nem rendelkezik bizonyító erővel arról, hogy hiteles másolata egy érvényes hatósági okmánynak, és nem alkalmas a személyazonosság megállapítására sem. A személyazonosság igazolását a jogalkotó az okiratok bemutatásához fűzi, mert így állapítható meg kétséget kizáró módon, hogy az valódi. Az egyszerű szkennelt kép, vagy képfelvétel nem hordozza ezt a joghatást, mivel ilyen esetekben nem hitelesített módon készül az okmányról a másolat, továbbá az okmánymásolat elveszti az okmány azonosításra alkalmas jellemzőit, így a Hatóság következetes gyakorlata szerint a másolat nem alkalmas az érintett egyértelmű azonosítására, amely Kötelezett célja volt az adatgyűjtéssel. Az azonosításra nem alkalmas adat pedig nem lehet szükséges a cél eléréséhez. A Kötelezett által kialakított gyakorlat szerint a természetes személy regisztrálóknak kellett másolatot készíteniük az okmányaikról, így az felülhitelesítést nem tartalmazott, míg az önkormányzatoknál történő regisztráció során sem történt az okmányokról hiteles digitális másolat előállítása. (186) A Hatóság fentiekre tekintettel megállapította, hogy a regisztráció során az Adatbázisba feltöltött, nem hitelesített digitális okmánymásolatok nem alkalmasak a Kötelezett által megjelölt cél elérésére, azaz a „személy igazolására” mivel az eredeti okmány bemutatásához és azok biztonsági elemeinek meglétéhez fűzi a jogalkotó az azonosítás lehetőségét. Az okmányok személyes bemutatásával minden nem meghatalmazott útján eljáró személy esetében; a regisztráció során tett nyilatkozat teljes bizonyító erejű magánokiratba, vagy közokiratba foglalása útján valamennyi résztvevő; továbbá a vizsgált időszakban a Központi Azonosítási Ügynök bármely elérésével (például Ügyfélkapu szolgáltatással vagy az új típusú személyazonosító igazolvánnyal) díjmentesen igénybe vehető „azonosításra visszavezetett dokumentum-hitelesítés szolgáltatás” (AVDH) útján az adattakarékosság elvének megfelelően is elérhető lett volna a szerződő fél azonosítása az okmányképeken szereplő többlet személyes adatok (képmás, aláírás kép, személyi szám) kezelése nélkül is. (187) Az adattakarékosság elve azáltal is sérült, hogy ezen dokumentummásolatok (okmánymásolatok, villanyszámla másolata) nem kizárólag olyan személyes adatokat tartalmaznak, amely egy ajánlattételhez, vagy az EKR joggal kapcsolatos szerződés megkötéséhez és fenntartásához elengedhetetlenül szükségesek. Például az érintett okmányon szereplő arcképe, aláírásképe, vagy a villanyszámlán megjelölt aktuális folyószámla egyenlege a Programban való részvétel, szerződéskötés, vagy ajánlattétel tekintetében nem releváns, azonban az érintettre vonatkozóan további következtetések levonására adnak lehetőséget a Kötelezett mint adatkezelő részéről, akkor is, ha ezen adatok kapcsán további adatkezelési célt nem jelölt meg, azokhoz csak az Adatbázis adminisztrációs felületét elérő jogosulti kör ismerte meg.

(188) A Kötelezett végzetül nem tudta megjelölni azon jogszabályi rendelkezést, amely alapján az okmánymásolatokat neki kötelezően gyűjtenie kellett volna, a jogalkotó valóban alkalmasnak és szükségesnek ítélte volna az okmánymásolatok kezelését e jogviszony során, erre tekintettel, ez Kötelezett önálló döntése volt, ugyanis az Ehat. Tv. erre vonatkozó kötelezettséget nem ír elő. Mint ahogy azt a MEKH is kifejtette a NAIH-8614- 14/2023. ügyiratszámú nyilatkozatának 3. pontjában (5. oldal), a MEKH a hatósági ellenőrzései keretében nem kér a polgár személyazonosságának igazolására alkalmas okmányáról vagy lakcímet, illetve személyi azonosítót igazoló hatósági igazolványáról készített másolatot. A Kötelezett az eljárások során nem tudta igazolni azt, hogy a dokumentummásolatokon szereplő személyes adatok (okmányazonosító, igazolványkép, illetve a személyi azonosító, a villanyszámlán a felhasználási hely és fogyasztási adatok kivételével szereplő adatok) gyűjtése a Programba való jelentkezéssel összefüggésben miért elengedhetetlenül szükséges az adatkezelési cél eléréséhez.

(189) Fentiek szerint a Kötelezett a 2021. december 10-től 2023. november 30-ig terjedő időszak tekintetében megsértette az adattakarékosság elvét

[általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja], ugyanis létezett a cél elérésére megfelelő, azonban az érintettek személyes adatait kímélő módszer is, a személyes adatok kezelése nem korlátozódott a Kötelezett által azonosított célokhoz valóban szükséges mértékre, és Kötelezett által választott és alkalmazott módszer nem volt alkalmas a kívánt cél elérésére.

VII.4. Az adatkezelés jogalapjának sérelme az Adatbázison keresztül végzett személyi okmányok adatkezelésének (adatgyűjtés) vonatkozásában a 2021. december 10-től

2023. november 30. napjáig terjedő időszakban [Rendelkező rész 1.1. c) pont]

(190) A NAIH-8614-4/2023. ügyiratszámú, helyszíni szemléről készült jegyzőkönyvben szereplő nyilatkozat szerint: „Az okmánymásolatok gyűjtésének célja a pontosság elvének való megfelelés, valós személyekkel történő szerződéskötés igazolása, valamint 10 évig fennálló elszámolási kötelezettség a Magyar Energetikai és Közműszabályozási Hivatal (a továbbiakban: MEKH) ellenőrzése és helyszíni auditja során. Az adatkezelés célja emellett a folyamat gyorsítása, segítése, az adatátadás megkönnyítése az adatfeldolgozók részére.” (191) Kötelezett a NAIH-19-1/2024. ügyiratszámú nyilatkozatának 14) pontjában így fogalmazott: „Mindez azt is jelenti az Ügyfél határozott álláspontja szerint -, hogy a felhasználói szerződések tartalma szerinti adatokra – ideértve a személyes adatokat is – jogosult volt (itt emeljük ki a személyes adatok ellenőrzésének kötelezettségét a létrejövő szerződés felhasználói személyének azonosításával, amire a MEKH nyilatkozat negyedik oldalának első választ jelentő bekezdése is utalva a személyes okmányok – a későbbi törlés biztosításával – szükségesek).”

(192) Az Európai Adatvédelmi Testület az általános adatvédelmi rendelet szerinti az érintettek jogairól – hozzáférési jogról 01/2022. számon iránymutatást adott ki, amelynek 79. pontjában rögzítésre került, hogy „(..) amennyiben személyazonosító igazolvány bemutatása szükséges (és ez összhangban áll a nemzeti joggal, valamint az általános adatvédelmi rendelet értelmében indokoltnak és arányosnak minősül), az adatkezelőnek biztosítékokat kell bevezetnie az igazolvány jogellenes kezelésének megakadályozására. A személyazonosító igazolvány hitelesítésére vonatkozó hatályos nemzeti rendelkezésektől eltérően, ez magában foglalhatja a személyazonosító igazolvány másolásától való tartózkodást, illetve azt is, hogy az érintett személy személyazonosságának sikeres hitelesítését követően a személyazonosító igazolványról készült másolat haladéktalanul törlésre kerül. Ennek oka, hogy a személyazonosító igazolvány másolatának további tárolása valószínűleg sértené a célhoz kötöttség és a korlátozott tárolhatóság elvét (az általános adatvédelmi rendelet 5. cikke (1) bekezdésének b) és e) pontja), valamint a nemzeti azonosító számok kezelésére vonatkozó nemzeti jogszabályokat (az általános adatvédelmi rendelet 87. cikke). Az Európai Adatvédelmi Testület jó gyakorlatként azt ajánlja, hogy az adatkezelő a személyazonosító igazolvány ellenőrzését követően rögzítsen egy olyan megjegyzést, mint például, hogy „a személyazonosító igazolvány ellenőrzése megtörtént”, ezzel elkerülve az igazolványok szükségtelen másolását, illetve másolatainak tárolását.” (193) Az általános adatvédelmi rendelet 13. cikk (2) bekezdés c) és e) pontjai elvárják az adatkezelés jogalapja kapcsán is a bővebb tájékoztatás nyújtását az érintettek részére. A Régi ESZF rögzíti, hogy a Program kapcsán az adatkezelésre vonatkozó előírások e dokumentum tartalmazza. Annak III.5.3. pontja szerint „[...] Az adatkezelés jogszerűségét a LAKOSSÁGI LED PROGRAM szolgáltatásokra vonatkozó szerződéskötés és / vagy szerződéskötési szándék, továbbá a meghatalmazott adatait illetően a meghatalmazotti szerepvállalás alapozza meg. A LAKOSSÁGI LED PROGRAM szolgáltatással kapcsolatos jogviszonynak kell tekinteni – az adatkezelés jogszerűsége szempontjából – a webfelület regisztráció során használt tartalmát, a regisztrációt és annak megfelelő adattartalmat, mivel az a LAKOSSÁGI LED PROGRAM szolgáltatás igénybevételét célozza. [...]”, valamint: „[…] A LAKOSSÁGI LED PROGRAM szolgáltatások igénybevételének feltétele az adatkezeléshez való jelen ESZF szerint tett és kifejezett hozzájáruló nyilatkozat, továbbá a […] jelen ESZF alapján végzett adatkezelői tevékenysége. […]” (194) A Kötelezett a NAIH-3626/2023. ügyszámú ügyben a 2023. március 10-én kelt nyilatkozatának 3.6)-3.7) pontjaiban, valamint a NAIH-8732-5/2022. ügyiratszámon iktatott, [kapcsolódó új ügyszám: NAIH-4208/2023.] 2022. december 13-án kelt nyilatkozatának 3.3)-3.4) pontjaiban tett egybehangzó nyilatkozatai szerint az Adatbázison keresztül a Programra történő regisztráció során rendelkezésre bocsátott személyes adatok, valamint dokumentummásolatokon szereplő személyes adatok kezelése az érintettek hozzájárulása [általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pont] alapján történt, és így a Szaztv. 35. §-ában foglaltaknak megfelelt. (195) Az általános adatvédelmi rendelet 4. cikk 11. pontja a hozzájárulás fogalmát a következőképpen határozza meg: „az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez”. A hozzájárulás fogalmát részletesen az általános adatvédelmi rendelet 7. cikke határozza meg, illetve annak értelmezéséhez az általános adatvédelmi rendelet (32), (33) és (42) preambulumbekezdései adnak további iránymutatást. (196) Az Európai Adatvédelmi Testület az általános adatvédelmi rendelet szerinti hozzájárulás fogalmáról 5/2020 számon iránymutatást adott ki, amelynek 13. és 14. pontja alapján: „[…] amennyiben az érintettnek nincs valódi választási lehetősége, hozzájárulásra kényszerítve érzi magát, vagy negatív következményei lesznek, ha nem adja hozzájárulását, akkor a hozzájárulás nem érvényes. Ha a hozzájárulás a szerződéses feltételek nem tárgyalható részébe van belefoglalva, azt feltehetőleg nem önkéntesen adták. Ennek megfelelően a hozzájárulás nem minősül önkéntesnek, ha az érintett nem tudja elutasítani vagy visszavonni a hozzájárulását anélkül, hogy kárára válna”, továbbá „Általában véve az érintettre (sokféleképpen megnyilvánuló) nem megfelelő nyomást vagy befolyást gyakorló bármely olyan elem, amely megakadályozza, hogy az érintett a szabad akaratát gyakorolja, érvényteleníti a hozzájárulást.” Az általános adatvédelmi rendelet 7. cikk (4) bekezdése és az azt magyarázó preambulum (43) bekezdés szerint továbbá nem lehet a hozzájárulás önkéntesen adott, ha az olyan személyes adatok kezelésére vonatkozik, amelyek a szerződés teljesítéséhez nem elengedhetetlenek. (197) A fentiek alapján az érintettek nem tudták önkéntes hozzájárulásukat adni a személyes adataik (beleértve a dokumentummásolatokon szereplő személyes adataikat is) kezeléséhez, még akkor sem, ha a Kötelezett szerint az Adatbázis útján történő adatgyűjtése csupán egy önkéntes ajánlattételnek felelt meg, figyelemmel arra, hogy ezek rendelkezésre bocsátása nélkül az érintettek a Programba nem tudtak jelentkezni, az Adatbázisba ugyanis az okmánymásolatokat kötelező volt feltölteni. Magának a Kötelezettnek a Régi ESZF-je, illetve a NAIH-4208/2023. ügyszámú vizsgálati eljárás során tett nyilatkozata szerint is a személyes adatok, illetve dokumentummásolatok rendelkezésre bocsátása a Programhoz kapcsolódó szerződéskötéshez elengedhetetlenek voltak, anélkül a szerződés a felek közt nem tudott létrejönni. A fentieket támasztja alá a 2023. október 18-i helyszíni szemlén készült jegyzőkönyvben rögzítettek is, (NAIH-8614-4/2023, 5. oldal) mely szerint: „amennyiben az érintett nem tölti fel a kért okmánymásolatokat, úgy a regisztráció elutasításra kerül, hiánypótlásra, utólagos feltöltésre nincs mód.” A Hatóság megvizsgálta azt is, hogy a Régi ESZF III.5.3. pontja megfeleltethető-e az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti jogalap fennálltának. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti jogalap akkor alkalmazható, ha az adatkezelés a szerződés teljesítéséhez vagy létrejöttéhez szükséges, az okmánymásolatok kezelése azonban a Hatóság megállapításai szerint nem volt szükséges a szerződés létrejöttéhez, a Kötelezett mint adatkezelő más módon is el tudta volna végezni a természetes személy regisztrálók azonosítását. (198) A Hatóság felhívja arra a figyelmet, hogy a forenzikus mentés tanúsága szerint a

Weboldal1-en a jelölőnégyzet mellett a következő szöveg került feltüntetésre: „Tudomásul veszem a fentieket és az ESZF-ben rögzítetteket.” Ez nem felelt meg a hozzájárulás önkéntességének és kifejezett voltának, ugyanis a tudomásulvétel egy passzív magatartásforma, míg az érintettek kívánságukat azzal egyértelműen nem tudják kifejezni, nem szerepelt a „hozzájárulok” szófordulat a szövegben. Noha a regisztráló természetes személy a Régi ESZF-et egy elfogadó nyilatkozattal kifejezetten elfogadta, nem kapott megfelelő tájékoztatást az adatkezelés számos kulcsfontosságú aspektusáról, azaz az okmánymásolatok kezelésének jogalapjáról, idejéről egyik dokumentumban sem, így a hozzájárulása nem lehetett tájékozott sem. Mindezek ellenére a regisztráló természetes személy köteles volt hozzájárulását adni az adatkezeléshez. (199) A Hatóság az Adatbázison keresztül végzett adatkezelések jogalapja tekintetében rá kíván mutatni arra is, hogy a jogalkotó az általános adatvédelmi rendelet 87. cikkével összhangban fenntartotta az általános adatvédelmi rendelet alkalmazását követően is a Szaztv. azon rendelkezéseit, amely rendelkezések az általános adatvédelmi rendeletben foglaltakon túl különleges szabályokat írnak elő az azonosító kódok kezelése, továbbítása, valamint a személyek azonosítása tekintetében. A lakcímet, illetve személyi azonosítót igazoló hatósági igazolványon feltüntetett személyi azonosító szám a Szaztv. értelmében ún. azonosító kódnak minősül. (200) A Szaztv. 32. §-a határozza meg a személyi azonosító kezelésére jogosultak körét.

Ugyanakkor a Szaztv. 35. §-a szerint: „A személyi azonosítót a polgár előzetes írásbeli vagy az ügyintézési rendelkezésében tett hozzájárulásának tartalma szerint jogosult kezelni az az adatkezelő, akit az érintett erre feljogosít.” (201) A Szaztv. 7. § (2) bekezdése szerint: „Az az adatkezelő, akit törvény azonosító kód használatára nem hatalmaz fel, a 6. §-ban meghatározott azonosító kódot csak a polgár előzetes, az (EU) 2016/679 európai parlamenti és tanácsi rendelet 4. cikk 11. pontja szerinti hozzájárulása vagy az ügyintézési rendelkezésben tett hozzájárulása alapján használhatja fel.” (202) A Szaztv. szabályai szerint (Szaztv. 35. §) az azonosító kód adatkezelő általi felhasználása, kezelése kizárólag az érintett által adott hozzájárulás tartalma szerint történhet. Figyelemmel arra is, hogy az adott tájékoztatásban sem magának az azonosító kód gyűjtésének tekintetében, sem pedig annak pontos felhasználása tekintetében nem állt az érintettek rendelkezésére információ sem a Tájékoztatóban, sem a Régi ESZF-ben, ezért a Hatóság álláspontja szerint az érintettek – amellett, hogy a fentiekben már megállapítottak szerint az érvényes hozzájárulásukat nem tudták adni – nem lehettek tisztában azzal, hogy milyen tartalmú hozzájárulást adnak a rájuk vonatkozó azonosító kód Kötelezett általi kezelése vonatkozásában, megvalósul-e annak gyűjtésén és tárolásán túli kezelése. Ez alapján megállapítható, hogy az azonosító kód kezelése nem állt összhangban a Szaztv. rendelkezéseivel. (203) Tekintettel arra, hogy a Hatóság megállapította, hogy az érintettek az adatkezelés vonatkozásában nem tudták kifejezett és önkéntes hozzájárulásukat adni, így ebből következően a Kötelezett adatkezelési tevékenysége az okmánymásolatok vonatkozásában sem a Szaztv. 7. § (2) bekezdésében, sem a Szaztv. 35. §-ában foglaltaknak nem tudott megfelelni.

(204) Figyelemmel a fentiekre az érintettek érvényes hozzájárulásukat nem adhatták az okmánymásolatokhoz kapcsolódó adatkezelési tevékenységhez [általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontja], és a Kötelezett az általános adatvédelmi rendelet 6. cikk (1) bekezdésének b) pontját, mint szerződés teljesítéséhez vagy létrejöttéhez kapcsolódó jogalapot az adatkezelés szükségessége hiányában nem tudta Kötelezett igazolni, továbbá nem tudta megjelölni azon jogszabályi rendelkezést, amely alapján az okmánymásolatokat Kötelezettre vonatkozó jogi kötelezettség miatt gyűjtenie kellett volna [általános adatvédelmi rendelet 6. cikk (1) bekezdés c) pontja], ezen jogalapok hivatkozása kizárt a Hatóság megítélése szerint. Nem hivatkozható az adatkezelés kapcsán az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme sem [általános adatvédelmi rendelet 6. cikk (1) bekezdés d) pontja], mivel ilyen közvetlen és súlyos, akár testi épséget veszélyeztető ok az ügyben nem tételezhető fel. A Programmal összefüggő adatkezelés nem minősült közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtáshoz szükséges adatkezelésnek, mivel ilyen feladattal vagy közhatalommal Kötelezett nem lett felruházva [általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja]. Az adatkezelés vonatkozásában az általános adatvédelmi rendelet 6. cikk (1) bekezdésének f) pontját, az adatkezelő jogos érdekét és az érintettek érdekeit az okmányok másolatának gyűjtése kapcsán igazolható módon nem mérlegelte, a másolatok kezelésének szükségességét nem tudta alátámasztani, továbbá a Szaztv. az adatkezelő jogos érdekére tekintettel a vizsgált adatkezelés kapcsán nem teszi lehetővé a személyi azonosító kezelését.

(205) A fentiek alapján a Hatóság megállapította, hogy a Kötelezett a Programmal összefüggő adatkezelési tevékenysége során a 2021. december 10-től 2023.

november 30. napjáig terjedő időszakban megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését és így az Adatbázison keresztül végzett adatkezelés (adatgyűjtés) kapcsán az okmánymásolatok vonatkozásában a Kötelezett megfelelő jogalapot nem tudott igazolni, azt jogalap nélkül végezte a fenti időszak alatt.

VII.5. Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerinti könnyen hozzáférhető tájékoztatás követelményének sérelme a 2021. december 10-től 2023.

november 30-ig terjedő időszak vonatkozásában (Rendelkező rész 1.1. d) pont)

(206) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése előírja azt, hogy az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást – többek között – könnyen hozzáférhető formában nyújtsa. (207) Az átláthatóság követelményének teljesítésére vonatkozó legfontosabb megállapításokat a 29. cikk szerinti munkacsoport az (EU) 2016/679 rendelet szerinti átláthatóságról szóló WP260 rev.01. számú iránymutatásának (2018. április 11.) 11. pontja az általános adatvédelmi rendelet 12. cikkének tartalma kapcsán kifejti, hogy „A „könnyen hozzáférhető” elem azt jelenti, hogy az érintettnek nem kell keresnie a tájékoztatást; azonnal láthatónak kell lennie számára, hogy a tájékoztatást hol és miként érheti el, például a tájékoztatás közvetlen biztosításával, az érintettek tájékoztatáshoz irányításával, a tájékoztatáshoz vezető út egyértelmű jelölésével vagy egy természetes nyelvű kérdésre adott válaszként”.

(208) A Hatóság rámutat továbbá, hogy az adatok rendelkezésre bocsátásához kialakított felületről a regisztrációs folyamat kezdetén a Tájékoztató és a Régi ESZF szövege közvetlenül nem volt elérhető, az érintetteknek kifejezetten keresniük kellett Weboldal1- 2 felületein a láblécben közzétett menüpontban az adatkezelésre vonatkozó tájékoztatást, így a tájékoztatás az érintettek számára nem volt könnyen hozzáférhető. A Régi ESZF III.5. fejezete nem volt a hatóság álláspontja szerint egy jogi ismeretekkel nem rendelkező személy számára közérthető, könnyen értelmezhető, holott Kötelezett alappal számíthatott arra, hogy a lakosság széles körben érdeklődik a Program iránt. E körben a hatóság jó gyakorlatnak ítélte meg a GYIK alkalmazását, amely azonban a fentiekben kifejtettek szerint nem volt teljes körű, és részben valótlan tartalmú tájékoztatást adott az érintetteknek.

(209) A fentiekre tekintettel az általános adatvédelmi rendelet 12. cikk (1) bekezdését

Kötelezett megsértette azzal, hogy a Kötelezett a regisztrációt kizárólag lehetővé tevő online felületén (Weboldal 1-2 és Adatbázis volt a regisztráció kizárólagos helye még a közreműködő települési önkormányzat útján történő regisztrációnak is) a 2021. december 10-től 2023. november 30-ig terjedő időszak vonatkozásában nem hozott megfelelő intézkedéseket annak érdekében, hogy az érintettek részére a 13. és a 14. cikkben említett valamennyi információt és tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa.

VII.6. Az általános adatvédelmi rendelet 13. cikk (1) bekezdés c) pontjának és e) pontjának, 13. cikk (2) bekezdés a) pontjának, valamint a 14. cikk (1) bekezdésének c), d) és e) pontjának, illetve a 14. cikk (2) bekezdés a) pontjának sérelme a 2021.

december 10-től 2023. november 30-ig terjedő időszak vonatkozásában

[Rendelkező rész 1.1. e)-h) pontjai]

(210) Az általános adatvédelmi rendelet 13. cikk (1) bekezdése értelmében, ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a 13. cikk (1)-(2) bekezdésében foglalt információk mindegyikét. (211) Az általános adatvédelmi rendelet 13. cikk (3) bekezdése szerint, ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról. (212) A Hatóság álláspontja szerint az Adatbázison keresztül történő adatkezeléssel kapcsolatban a Kötelezettnek elsődlegesen az általános adatvédelmi rendelet 13. cikkében foglaltak szerinti tartalommal kell tájékoztatást nyújtania az érintettek részére. A Régi ESZF azonban utal arra az eshetőségre is, amikor a szerződést kötő fél helyett meghatalmazott, vagy képviselő bocsátja rendelkezésre az adatokat (Régi ESZF III.3., valamint III.5.3. pont), ilyen esetekben a Kötelezett nem közvetlenül az érintettektől gyűjt személyes adatokat, ezen személyek adatainak kezelése vonatkozásában az általános adatvédelmi rendelet 14. cikke szerinti adatkezelési tájékoztatót szükséges készítenie és közzétennie. (213) A Hatóság kiemeli, hogy a Kötelezett a Weboldal1-en elérhető dokumentumok útján nem tájékoztatta az érintetteket a Kötelezett által igénybe vett adatfeldolgozókra, mint címzettekre vonatkozó információkról (a Programban együttműködő önkormányzatoknak, az adatellenőrzésben közreműködőként igénybevett személyekről tárhely-szolgáltatójáról, illetve […] […] Kft. és […] Kft.). A dokumentumok nem határozták meg pontosan a kezelt személyes adatok körét, az okmány- és dokumentummásolatok gyűjtésének tekintetében érdemi és az adatkezelés szempontjából alapvető információt nem tartalmaztak, például, hogy a Kötelezett a gyűjtött adatokat valójában mennyi ideig tárolja, mely címzetteknek (ideértve az adatfeldolgozókat is) továbbítja, illetve ad hozzáférést, azok kezelésének jogalapja a Régi ESZF III.5.1. pontja szerinti hozzájárulás, szerződés, vagy III.5.2. szerinti kötelező adatkezelés, illetve kérheti-e azok törlését, végezetül azt sem, hogy az okmánymásolatok a szerződéskötést követően törlésre kerülnek majd.

(214) A dokumentumokban nem volt olyan, a törzsszövegtől elkülönült tájékoztatás, amely arra az esetre terjed ki, amikor a személyes adatokat a Kötelezett nem közvetlenül az érintettektől gyűjti, amely esetekben az általános adatvédelmi rendelet 14. cikkben foglalt rendelkezései lettek volna alkalmazandóak. (215) Összegezve sem a Régi ESZF, sem pedig a Tájékoztató nem határozta meg kifejezetten és a valóságnak megfelelően, pontosan a következő tartalmi elemeket:

1. az adatok tervezett kezelésének célját, valamint az adatkezelés jogalapját

[általános adatvédelmi rendelet 13. cikk (1) bekezdés c) pont és általános adatvédelmi rendelet 14. cikk (1) bekezdés c) pont],

2. a személyes adatok címzettjeit, címzettek kategóriáit [általános adatvédelmi rendelet 13. cikk (1) bekezdés e) pont és általános adatvédelmi rendelet 14. cikk (1) bekezdés e) pont], 3. a személyes adatok tárolásának időtartamát [általános adatvédelmi rendelet 13. cikk (2) bekezdés a) pont és általános adatvédelmi rendelet 14. cikk (2) bekezdés a) pont], 4. az érintett személyes adatok kategóriáit [általános adatvédelmi rendelet 14. cikk (1) bekezdés d) pont]. (216) A Hatóság a fentiek alapján megállapította, hogy a 2021. december 10-től 2023.

november 30-ig terjedő időszakban a Programmal összefüggésben zajló adatkezelési tevékenység tekintetében a Kötelezett nem adott az általános adatvédelmi rendeletben foglaltaknak megfelelően tájékoztatást. Ezzel a Kötelezett megsértette az általános adatvédelmi rendelet 13.

cikk (1)

bekezdésének c) és e) pontját, valamint a 13. cikk (2) bekezdésének a) pontját, valamint az általános adatvédelmi rendelet 14. cikk (1) bekezdésének c), d) és e)

pontjait, valamint a 14. cikk (2) bekezdésének a) pontját.

VII.7. Az általános adatvédelmi rendelet 32. cikk (4) bekezdésében az adatkezelés biztonságára vonatkozó előírás sérelme a 2021. december 10-től 2023. november 30-ig terjedő időszakban [Rendelkező rész 1.1. i) pont]

(217) A Hatóság megállapította, hogy az online környezetben, webszerveren futó

Adatbázisban megtalálhatók voltak, és az Adatbázis adminisztrációs felületéről is lekérhetők voltak legalább „ROLE_USER” jogosultság birtokában a Programba jelentkező természetes személyek regisztrációkor megadott személyes adatai, emellett az ellenőrzésre váró regisztrációval rendelkező személyek okmánymásolatai és az általuk csatolt további dokumentumok is a regisztrációjuktól a szerződéskötésig terjedő időszakban. A Program indulásától 2023. november 30-ig 114.318 fővel került sor szerződéskötésre, tehát ennyi érintett kapcsán biztosan kezelt okmánymásolatokat a Kötelezett az Adatbázisban. A jelentkezőkkel történő szerződéskötést (a LED csomag átadását) követően az Adatbázis adminisztrációs felületéről elérhető maradt, és a helyszíni szemle során is elérhető volt a korábban szerződő összes természetes személy szerződéshez kapcsolódó személyes adata, de azokhoz már okmánymásolatok – főszabály szerint, a helyszíni szemlén tapasztalt eseteket leszámítva – nem álltak rendelkezésre [NAIH-8614-4/2023].

(218) A Hatóság fentiek alapján azt ítélte meg eljárása során, hogy a Kötelezett megfelelően értékelte-e a Programhoz és azon belül az Adatbázisban tárolt adatokhoz kapcsolódó adatvédelmi kockázatokat, és a kockázatokkal arányos adminisztratív, logikai és fizikai védelmi intézkedéseket alkalmazott-e arra, hogy a személyes adatokhoz hozzáféréssel rendelkező, a Kötelezettel vagy adatfeldolgozóival munkavégzésre irányuló jogviszonyban álló, vagy korábban abban álló személyek kizárólag az adatkezelő utasításának megfelelően kezelhessék az adatokat. (219) A 2023. október 18-i helyszíni szemlén megállapítást nyert, hogy az Adatbázis adminisztrációs felületét internetes böngésző útján, a nyílt internetről – igaz titkosított (https) kommunikációs csatornán – bárhonnan, bármilyen eszközről el lehettet érni és oda be lehetett jelentkezni, az nem volt IP tartományra, vagy a Kötelezett által biztosított biztonságos (például távmenedzselt) eszközökre korlátozva. Az Adatbázis adminisztrációs felületéhez hozzáférési jogosultsággal rendelkezők – tehát a Kötelezett munkatársai, közreműködői, és további jogosultak (adatfeldolgozók munkatársai) – általi belépésnél csupán egyfaktoros autentikáció, azaz azonosítás (egyszerű felhasználónév és jelszó páros) történt, sem megerősítő email, vagy szöveges üzenet nem került a felhasználónak kiküldésre a bejelentkezéshez, sem egyéb hitelesítő eszköz, token birtoklása nem volt elvárás a hozzáféréshez. Az egyfaktoros belépés kapcsán a jegyzőkönyvben rögzítésre került, hogy a helyszíni szemle időpontjában nem volt rendszeres időközönkénti jelszóváltoztatás kikényszerítve, és a jelszavakat maga a […] […] Kft. ügyvezetője generálta és küldte meg e-mail útján az egyes közreműködőknek. A szemlén az ügyvezető személyesen vett részt, az eljárást ő ismertette a Hatóság jelen lévő képviselői részére, a jegyzőkönyvet az ügyvezető is átolvasta és aláírásával látta el [NAIH-8614-4/2023. ügyiratszámon iktatott, a 2023. október 18-i helyszíni szemléről készült Jegyzőkönyv 7. oldala]. (220) A szemlét követően Kötelezett a NAIH-8614-6/2023. ügyiratszámon iktatott iratban már akként nyilatkozott, illetve pontosította korábbi nyilatkozatát, hogy az adminisztrátor által jóváhagyott hozzáférésre jogosult személyek felhasználónévvel és saját jelszóval tudnak belépni, és a jelszót a jogosult adja meg és ismeri, amely jelszó 30 napi be nem lépés után elévül (azaz a hozzáférés ezt követően csak az adminisztrátor közreműködésével és új jelszó megadásának engedésével lehetséges), egyebekben a hozzáférés inaktív státuszba is kerülhet az adminisztrátor intézkedésével (ilyen esetben az adott felhasználó belépése nem lehetséges, a belépéshez felhasználónév aktiválása és új jelszó képzése szükséges). Nyilatkozatának alátámasztására a munkamenet érvényessége (session) kapcsán Ü/7. melléklet alatt egyetlen, azonos tartalmú mondatot tartalmazó, a Kötelezett által nem hitelesített, a fájl meta adatai szerint a nyilatkozat napján digitálisan létrejött, csak a Jogi Képviselő AVDH azonosításával ellátott dokumentumot csatolt. A jelszókiosztás rendje kapcsán egy digitálisan létrejött (nem képolvasóval beolvasott), a […] […] Kft. ügyvezetője, mint hozzáférés adminisztrációjának feladatát ellátó személy részére készült feladatleírás kivonatot mellékelt, amely irat nem került sem a Kötelezett, sem a […] […] Kft. ügyvezetője, vagy más képviselője által aláírásra, az szintén csak a Jogi Képviselő AVDH aláírását tartalmazta [NAIH-8614-6/2023. ügyiratszám Ü/4. melléklet „U_4_[…]_[…]_ugyvezeto_feladatai_LED_program.pdf”]. Az iraton található szöveges keltezés 2021. november 15; a „.pdf” fájl típusú dokumentum meta adatai szerint annak létrejötte 2023. október 25. napja. Kötelezett csatolta továbbá állításai alátámasztására a „ADATKEZELŐI UTASÍTÁS ADATFELDOLGOZÓ RÉSZÉRE” című, az iraton 2021. november 15-i keltezésű megállapodás képolvasóval beolvasott példányát is, amelyet már adatkezelő és adatfeldolgozó képviselője is papíralapon aláírásával látott el [NAIH- 8614-6/2023. ügyiratszám Ü/4. melléklet „U_4_[…]_Adatkezeloi_utasitasok_[…]_[…]_alairt.pdf”]. A szerződés az általános adatvédelmi rendelet előírásait megfelelően hivatkozva, arra alapítva határozza meg […] […] Kft. adatkezeléssel kapcsolatos feladatait. (221) A NAIH-8614-6/2023. ügyiratszám Ü/4. mellékletek bizonyítékként való értékelése szempontjából a Hatóság megvizsgálta, hogy az eljárás során feltárt bizonyítékok összességére és azok időbeliségére tekintettel a mellékletben csatolt iratokra a Hatóság döntésében figyelemmel lehet-e. (222) Kötelezett 2022. december 13-án Ügy2-ben kelt nyilatkozata [NAIH-8732-5/2022.

ügyiratszám] 1.19) pontjában rögzíti, hogy „[…] mellékelten csatolja (…) az Adatkezelőkkel ([…] […] Kft., […] Kft.)) létrejött adatkezelési megállapodásokat az adatfeldolgozásra vonatkozóan az e megállapodásoknak megfelelő adatokra vonatkozó adatfeldolgozói nyilvántartással együtt (4. sz. melléklet).” A nyilatkozat mellé 4. számú mellékletként négy fájlt csatolt, két adatfeldolgozói szerződést, és két adatfeldolgozói nyilvántartást. A 4.1. melléklet a […] […] Kft. (itt még […] […] Kft.) és Kötelezett közötti „Adatfeldolgozói szerződés” papír alapon aláírt és képolvasóval beolvasott iratát tartalmazza, melynek az iraton nyomtatott keltje 2022. november 15. napja. A nyilatkozatban és annak mellékleteit képező dokumentumokban nem került említésre a „ADATKEZELŐI UTASÍTÁS ADATFELDOLGOZÓ RÉSZÉRE” című, azonos keltezésű irat, sem feladatleírás kivonat. A szerződés mindvégig az általános adatvédelmi rendeletre hivatkozik, abban az Infotv. említve sem szerepel. (223) A Hatóság 2023. február 23-án – Ügy1 keretében – szintén felhívta Kötelezettet, hogy „18. A személyes adatok kezelése során sor kerül-e adatfeldolgozó/k igénybevételére? Amennyiben igen, csatolja az adatfeldolgozóval kötött szerződése/k másolatát!”[NAIH- 3626-1/2023. ügyiratszám]. Kötelezett válaszában ismerteti az igénybevett adatfeldolgozókat [NAIH-3626-2/2023. ügyiratszám 1.17) pontja] és kifejti, hogy az adatfeldolgozókkal kötött megállapodásokat mellékelten csatolja az adatfeldolgozói nyilvántartásokkal együtt [NAIH-3626-2/2023. ügyiratszám 1.19) pontja]. A nyilatkozatban és annak mellékleteit képező dokumentumokban sem került említésre az „ADATKEZELŐI UTASÍTÁS ADATFELDOLGOZÓ RÉSZÉRE” című, azonos keltezésű irat. A nyilatkozat mellé 4. számú mellékletként öt fájlt csatolt, két adatfeldolgozói szerződést, és három adatfeldolgozói nyilvántartást. A 4.1. számú melléklet Ügy2 iratához hasonlóan szintén a […] […] Kft. (itt még […] […] Kft.) és Kötelezett között létrejött, papír alapon aláírt és képolvasóval beolvasott iratát tartalmazza „Adatfeldolgozói szerződés” címmel, melynek az iraton nyomtatott keltje 2022. november 15., de azon egy, az aláírásoktól eltérő színű tollal, kézírással a 2022. évszám áthúzásra került, és fölé „2021” került kézzel rögzítésre. Ezt leszámítva az iratokon szereplő aláírások képe és az irat teljes szövege megegyezik az Ügy2-ben csatolt [NAIH-3626-1/2023. ügyiratszám 4.1. melléklet] irattal. Kötelezett az Ügy2-ben 2023. április 17-én előterjesztett nyilatkozatában rögzítette, hogy a Hatóság részére korábban megküldött, a Kötelezett és a […] […] Kft. között létrejött adatfeldolgozási szerződés dátuma „tévesen került feltüntetésre”, az nem 2022. november 15., hanem 2021. november 15. napja. [NAIH-4208-3/2023.] (224) Kötelezett Ügy2-ben kelt 2023. április 17-i nyilatkozata mellékleteként csatolta a […] […]

Kft.-vel megkötött eredeti, a felek által minden oldalon szignózott 2021. november 15-i keltezésű Szolgáltatási szerződést [NAIH-4208-3/2023. ügyiratszám 6. melléklet]. Annak 1.2 pontja szerint e szerződés alkalmazandó felek vonatkozásában a Programhoz kapcsolódó feladatok ellátása során. A szerződés 8.5. pontjában rögzítik felek, hogy „A Felek tudomásul veszik, amennyiben a szerződésben foglalt feladat teljesítése személyes és különleges adatnak minősülő adatot érint, kötelesek a 2011. évi CXII törvény vonatkozó rendelkezései szerint eljárni. Felek a személyes adatok kezelése esetén külön megállapodást kötnek egymással (adatfeldolgozói szerződés), melyben a Megrendelő által kezelt személyes adatok Szolgáltató általi feldolgozásának szabályait, valamint az adatfeldolgozói nyilvántartásra vonatkozó eljárást és szabályokat határozzák meg.” A dokumentumban említés szintjén sem szerepel az általános adatvédelmi rendelet, abban kizárólag az Infotv. került rögzítésre és az „ADATKEZELŐI UTASÍTÁS ADATFELDOLGOZÓ RÉSZÉRE” című, azonos keltezésű iratra sem történik utalás, ellenben a szerződés fent idézett sora egyes számban határozza meg, hogy Felek egy külön megállapodást kötnek egymással „(adatfeldolgozói szerződés)”. (225) 2023. július 7-én – Ügy2 keretében – […] […] Kft. is nyilatkozatot terjesztett elő

Kötelezettel azonos jogi képviselője útján. Ahhoz 4.1. mellékletként csatolta a fent ismertetett [NAIH-3626-1/2023. ügyiratszám 4.1. melléklet] irattal egyezően, tollal átjavított keltezésű adatfeldolgozói szerződést, továbbá mellékletként csatolta a Kötelezettel megkötött eredeti, a felek által minden oldalon szignózott 2021. november 15-i keltezésű Szolgáltatási szerződést [NAIH-4208-7/2023. ügyiratszám 6. melléklet]. Adatfeldolgozóként előterjesztett nyilatkozatában fentiek mellett nem utal sem feladatleírás kivonatra, sem adatkezelői utasításra. (226) Noha a csatolt iratokat tartalmazó fájlok keletkezési ideje számos jogszerű okból eltérhet az irat valódi keltétől (például az más fájlformátumban állt korábban rendelkezésre, vagy egy email szövegében szerepelt) fentiek alapján a Hatóság nem ítélte racionális adatkezelői magatartásnak, hogy bár 2021. november 15-től rendelkezett a NAIH-8614- 6/2023. ügyiratszám Ü/4. mellékletekben csatolt adatkezelői utasítást tartalmazó szerződéssel és feladatleírással, úgy arra sem az azonos keltezésű szerződésekben, sem az eljárás során az adatfeldolgozói szerződések benyújtásakor semmilyen módon ne hivatkozzon, továbbá azonos napon a felek által aláírt szerződésekben hol kizárólag az Infotv., másik szerződésben pedig kizárólag az általános adatvédelmi rendelet szabályaira történő utalást alkalmazzon. Végezetül e dokumentumokra a másik szerződő fél sem hivatkozott a hónapokkal későbbi nyilatkozatában. Így a Hatóság a szemle során tett nyilatkozatokat értékelte elsődlegesen bizonyítékként a döntésében, így nem tekintette igazoltnak azon későbbi Kötelezetti nyilatkozatot, hogy nem a […] […] Kft. ügyvezetője keletkeztette és küldte meg e-mail útján a hozzáférésre jogosultak jelszavait a szemlét megelőző időszakban. (227) A 2023. október 18-án kelt Jegyzőkönyv tanúsága szerint: „Olyan intézkedés nem került bevezetésre, amely a munkatársat megakadályozná abban, hogy a feltöltött okmánymásolatokat a számítógépére a böngészőből lementse, vagy arról képernyőmentést készítsen.” [NAIH-8614-4/2023. sz. ügyirat 8. oldala]. (228) A szemlét követően Kötelezett a NAIH-8614-6/2023. ügyiratszámon iktatott nyilatkozatában ezzel szemben előadta, hogy a hozzáféréssel érintett […] munkavállalókat titoktartási kötelezettség terheli a munka törvénykönyvéről szóló 2012. évi I. törvény 8. § (4) bekezdése alapján, valamint a Program kapcsán előírt munkavállalói feladatokat tartalmazó útmutatás külön korlátozó rendelkezéseket is tartalmaz (fotó/másolat készítésének tilalma a Web felületről, a Web felületen tárolt adatok mentésének, fényképezésének tilalma). A Kötelezett a NAIH-8614-6/2023. ügyiratszámú nyilatkozata mellékleteként Ü/3. sz. alatt becsatolt, 2022. november 28-án kelt, „a […] munkavállalóra alkalmazott munkaszerződés” azonban a munka törvénykönyvéről szóló 2012. évi I. törvény 8. § (4) bekezdésére való utalást nem tartalmaz, viszont a munkaszerződés 6.1. pontja így szól: „A munkáltató tájékoztatja a munkavállalót, hogy tevékenységéből fakadóan az 1998. évi XI. tv. hatálya alá tartozik, ennek megfelelően az üzleti titok betartására köteles.” A Hatóság megállapítja, hogy a 1998. évi XI. törvény az ügyvédekről szóló 1998. évi XI. törvény, mely alapján a munkaszerződésben foglalt hivatkozás téves, a munkáltató, azaz a Kötelezett nem tartozik az ügyvédekről szóló 1998. évi XI. törvény hatálya alá, amely törvény egyebekben 2018. január 1-jétől nem hatályos. (229) A Kötelezett a NAIH-8614-6/2023. ügyiratszámon iktatott nyilatkozatában úgy nyilatkozott, hogy Ü/3. sz. alatt csatolta a Kötelezett munkavállalójára alkalmazott munkaszerződést és a programra vonatkozó útmutatót. Azonban ezen útmutató nem került a nyilatkozathoz csatolásra, és a csatolt dokumentumok sem tartalmaztak a fentiekre vonatkozó előírásokat, így a Hatóság tényállás tisztázó végzésben 2024. június 26-án (NAIH-19-6/2024. ügyiratszámon) ennek megküldését kérte a Kötelezettől. (230) A Kötelezett ezen utasítást („UTASÍTÁS – (munkavállalók részére) A LAKOSSÁGI LED

PROGRAM SORÁN BEADOTT REGISZTRÁCIÓK ELLENŐRZÉSÉHEZ”) 2024. július 11-én megküldte a Hatóság részére [NAIH-19-13/2024. ügyiratszám Ü/4.2 melléklet], annak irat szerinti kelte 2021. december 10., azon cégszerű aláírás vagy a keletkezés időpontját alátámasztó bizonyíték nem található. A fájl keletkezési dátuma a meta adatok alapján a beküldés napja volt. A dokumentum a munkavállalók vonatkozásában alkalmazott adminisztratív védelmi intézkedésnek értékelhető annak utolsó bekezdéséből fakadóan, „Az Utasítás az Mt. 17. § szerinti munkáltatói szabályzatnak minősül, amely kötelező a LED csereprogramhoz kapcsolódóan az Adatkezelőnél munkát végző munkavállalókra nézve (személyi hatály), (…) az Utasítás minden a LED csereprogramhoz kapcsolódó tevékenységet végző a munkavállalóval szemben hatályos.”, a Hatóság értékelése szerint az a hozzáféréssel rendelkező más személyek vonatkozásában nem irányadó szabály. (231) A NAIH-8614-4/2023. ügyiratszámon iktatott, 2023. október 18-án kelt Jegyzőkönyv szerint az Adatbázisban kerülnek beállításra a felhasználói jogosultságok. A […] […] Kft. adatfeldolgozó ügyvezetője a helyszíni szemlén bemutatta az Adatbázishoz beállított hozzáférési jogosultságokat, arról a Hatóság forenzikus mentést készített [NAIH-19- 8/2024. „[…].pdf” és „[…]2.pdf”]. Ebben a visszavont jogosultságok mellett olyan személyek is szerepeltek, akik eseti jelleggel működtek közre a Kötelezett munkájában.

Ezen személyek jogosultságai nem kerültek visszavonásra az egyes közreműködési időszakok között, illetve a kapcsolódó jelszó sem került megváltoztatásra [NAIH-8614- 4/2023. ügyiratszámú, 2023. október 18-án kelt helyszíni szemléről készült jegyzőkönyv 7. oldala]. A Hatóság megállapította, hogy a szemle időpontjában az Adatbázishoz a szükségesnél szélesebb kör férhetett hozzá, nem csak a munkavállalók, hanem az eseti jelleggel közreműködők is. A Hatóság álláspontja szerint ezen közreműködők ugyanúgy hozzáférhettek az Adatbázishoz, mint a munkavállalók, valamennyien rendelkeztek ROLE_USER felhasználói jogosultsággal [minden természetes személy felhasználó (általános hozzáférés az adminisztrációs felülethez, bizonyos korlátozásokkal (Admin menü, statisztikák nem elérhetők)]. Ezen közreműködőkre a hivatkozott Útmutató nem irányadó, mivel az csak a Kötelezett által foglalkoztatott munkavállalókra ró kötelezettségeket, utasításokat. Az Utasítás hiába tiltotta meg a 2.7 pontjában, hogy az adatok mentése, másolása a munkavállalók részére tiltott, az a közreműködőkre nem vonatkozott. (232) Kérelmezett NAIH-8614-6/2023. ügyiratszámú nyilatkozatának 30) pontjában maga is úgy fogalmaz, hogy „(…) a jelen 30) pontban írt intézkedések olyan bevezetett intézkedésnek minősülnek, melyek a munkatársat – jogkövető magatartás mellett megakadályozzák abban, hogy a Szoftverre feltöltött okmánymásolatokról a számítógépére a böngészőből lementse, vagy arról képernyőmentést készítsen.” Ezzel egybehangzóan a Hatóság megállapítja, hogy a felhasználók általi jogosulatlan adatmentéssel szemben olyan technikai intézkedéseket Kötelezett nem alkalmazott, amely a munkatársat megakadályozná abban, hogy az Adatbázisból az adatokat, okmánymásolatokat a számítógépre a böngészőből lementse, vagy azokról képernyőmentést készítsen. (233) A Hatóság 2024. június 25-én kelt végzésében felhívta Kötelezettet, hogy nyilatkozzon, pontosan mikor és hány darab, és mely hozzáférés került inaktív státuszba az adminisztrátor intézkedésével. Végzésében felhívta továbbá arra vonatkozóan is, hogy adjon tájékoztatást, mely személyek milyen e-mail-címmel vagy felhasználói azonosítóval és pontosan mennyi ideig rendelkeztek hozzáférési jogosultsággal a rendszerhez, továbbá azon időszakban, mikor hozzáférési jogosultsággal rendelkeztek, pontosan mennyi ideig voltak alkalmazásban az Ügyfélnél. (234) 2024. július 11-én tett nyilatkozatában Kötelezett megküldött egy, az Adatbázis adminisztrációs felületén inaktivált hozzáféréssel rendelkező személyekről készült saját szerkesztésű listát, az abban foglaltakat más bizonyítékkal nem támasztotta alá. 14 személy szerepel rajta, ezen személyek közül „[…]” és „[…]@[…].hu” 2023. február 2-án; „[…]@[…].hu” 2023. február 16-án, míg „[…]” 2023. október 15-én a lista alapján inaktiválásra került. [NAIH-19-13/2024. ügyiratszám Ü/17. sz. melléklet]. Kötelezett azonos nyilatkozatának másik melléklete szerint, a Hatóság második kérdésére válaszul ezzel szemben „[…]” rendszerhasználata 2024. április 3-án szűnt meg; „[…]@[…].hu” 2023. február 1-ig használta a rendszert; „[…]@[…].hu” rendszerhasználata nem szűnt meg, felhasználó „teljes munkaidőben alkalmazott a ledcsere indulása előtt és jelenleg is”, 2022. április 7-e óta meglévő hozzáférési jogosultsága nem került visszavonásra; végül „[…]” rendszerhasználata 2023. október 12-ig tartott [NAIH-19-13/2024. ügyiratszám Ü/18. sz. melléklet]. Azonban a helyszíni szemle időpontjában (2023. október 18-án) a forenzikus bizonyíték alapján e 4 felhasználó „aktivált” státuszban, az Adatbázisban tárolt személyes adatokhoz hozzáférést biztosító „ROLE_USER” szintű jogosultságban („[…]” ezen felül „ROLE_ADMIN” és „ROLE_COMPANY_ADMIN” szinten) szerepeltek, az Ü/17. nyilatkozatban foglaltakkal mind a 4 felhasználó tekintetében ellentétesen. Ü/18. nyilatkozat szerint „[…]” felhasználó már nem állt jogviszonyban a szemle időpontjában, rendszerhasználata október 12-ig tartott, míg „[…]@[…].hu” rendszerhasználata 2023. február 1-ig tartott, de a szemle időpontjában is jogosultságaik aktívak voltak. (235) Az Ü/18. melléklet vonatkozásában a Kötelezett előadta, hogy ezen személyek a Kötelezett munkavállalóira vonatkozó adatszolgáltatás, azaz az eseti hozzáféréssel rendelkező közreműködőket (akik szintén rendelkeztek hozzáféréssel a NAIH-8614- 4/2023. ügyiratszámú jegyzőkönyv szerint) a lista nem tartalmazza. Tehát nem teljes körű az adat a vonatkozásban, hogy valójában összesen hányan és kik, mikor fértek hozzá az Adatbázishoz. A Hatóság megállapítja, hogy Kötelezett az inaktivált felhasználók között nyilatkozott „[…]” és „[…]” jogosultságainak visszavonásáról, azonban nem szerepeltette a Kötelezettel munkaviszonyban állók között a második mellékletben. A forenzikus módon (NAIH-8614-4/2023 és NAIH-19-8/2024.

ügyiratszámokon) mentett lista 29 „aktivált” felhasználót tartalmazott (míg a munkavállalókról készített lista csupán 15 személyt), a szemle időpontjában rögzített, aktivált, és személyes adatok elérésére jogosult felhasználók közül „sysadmin”, „[…]”, „[…]”, „[…]”, „[…]”, „[…]”, „[…]” nem szerepeltek a nyilatkozatban, az alapján nem köthetők szerződéses jogviszonyhoz, vagy valamely adatfeldolgozóhoz a Hatóság számára [NAIH-19-13/2024. ügyiratszám Ü/18. sz. melléklet]. Kötelezett 2024. július 30án a jogosultságok ellenőrzésére ismételt helyszíni szemlét kezdeményezett, továbbá akként nyilatkozott, hogy a jogosultsági listák között azért lehet eltérés, mert a „deaktivált” személyek az Adatbázisban nem jogosultak tevékenységet végezni, így az általa benyújtott Ü/17 és Ü/18 listán nem szerepelnek [NAIH-19-15/2024. ügyirat 5) pont]. Azonban a Hatóság a helyszíni szemle időpontjában aktivált felhasználók jogosultságai kapcsán vizsgálta azok személyes adatokat érintő jogosultságai terjedelmét és jogalapját, tekintettel arra, hogy az Adatbázisban tárolt személyes adatokhoz e felhasználók rendelkeztek hozzáféréssel. Ismételt helyszíni szemle elrendelését e kérdés tisztázására a Hatóság nem tartotta indokoltnak, mivel az Adatbázisban 2023. december 1-jét követően okmányképek már nem kerültek tárolásra, így az adatkezelés kockázata is jelentősen eltért a korábbi időszaktól. (236) Kötelezett 2021. november 15-i keltezésű belső adatvédelmi és adatkezelési szabályzata [NAIH-3626-2/2023 ügyiratszámon iktatott nyilatkozat 9. sz. melléklete] digitális dokumentumként került csatolásra a 2023. március 10-én 15 óra 33 perckor Kötelezett Jogi Képviselője útján előterjesztett nyilatkozatát tartalmazó e-Papír mellékleteként. Az nem képolvasóval rögzített irat, azon nem szerepel a keltezést tanúsító időbélyegző, sem a Kötelezett ügyvezetőjének vagy munkatársának aláírása. A „.pdf” fájl metaadatai szerint a fájl keletkezésének időpontja 2023. március 10-én 13 óra 06 perc. Természetesen számos jogszerű okból készülhetett a csatolt irat azonos napon, mint a Kötelezett nyilatkozata (például korábban más fájlformátumban volt az irat mentve), viszont Kötelezett azonos nap vezette be belső szabályozójaként e dokumentumot, amikor […] […] Kft.-vel kötött Szolgáltatási szerződésében kizárólag az Infotv. szerinti adatkezeléssel kapcsolatos kötelezettségeket rögzítette. A szabályzatban megtalálhatók az általános adatvédelmi rendeletből az adatbiztonságra vonatkozó általános elvek és eljárásrendek, és az annak megvalósulására a Kötelezett szervezeténél hozott konkrét intézkedések is. A Kötelezett által ezt követően elfogadott és közzétett, 2022. februári keltezésű és 2023. november 30-ig alkalmazott régi Tájékoztatóval szemben a szabályzat a Hatóság elérhetőségeit helyesen tartalmazta, az általános adatvédelmi rendelet fogalomrendszerét használja, a törléshez való jog gyakorlását és az adatkezelési tájékoztató szükséges elemeit is az általános adatvédelmi rendelet szerint, helyesen írja elő. A szabályzatban adatvédelmi kockázatelemzés is szerepel, mind a papíralapon, mind az elektronikus eszközök igénybevételével megvalósuló adatkezelés kapcsán.

(237) Kötelezett az adatkezelés összesített kockázatát „alacsony, munkában rejlő, kezelhető”

szintűnek értékelte, az elektronikus úton kezelt adatokhoz való jogosulatlan hozzáférés bekövetkezési valószínűségét minimálisnak tekintette az általa alkalmazott védelmi intézkedésekre tekintettel. E védelmi intézkedéseket a szabályzat 9.1 (ii) és 9.4. pontjában, valamint az „Adatfeldolgozói nyilvántartás - LAKOSSÁGI LED CSEREPROGRAM” nevű dokumentumokban [NAIH-3626-2/2023 ügyiratszámon iktatott nyilatkozat 4.2.1. és 4.3.1. sz. mellékletei] írja elő a Kötelezettel munkavégzésre irányuló valamennyi jogviszonyban álló személyre nézve. Ezek azonban az elektronikus úton kezelt adatok vonatkozásában csak a szerver külső szolgáltatónál kialakított védelmére vonatkozó szerződéses kötelezettség keretében alkalmazott védelmi intézkedésekre; a Kötelezett tulajdonában lévő munkaállomás védelmére (jelszó alkalmazása, vírusvédelem) tartalmaznak rendelkezést; valamint előírják a felhasználóknak informatikai eszközük elhagyása esetén annak zárolását, az Adatbázisból adatok lementése kapcsán nem tartalmaz rendelkezést. Kötelezett itt írja elő önmagának azt is, hogy „Az Adatkezelő a vele munkavégzésre irányuló jogviszonyban álló azon személyekkel, akik munkavégzésük során Személyes Adatokat kezelnek, titoktartási kötelezettséget vállaltat.”.

(238) Kötelezett adatvédelmi szabályzatának 9.1. (ii) pontja rögzíti, hogy „Az Adatkezelő által használt elektronikus dokumentumokhoz kizárólag azok a munkatársak, munkavállalóak férhetnek hozzá, akik részére a dokumentumokkal kapcsolatos feladat kiadásra került és jogosultsággal rendelkeznek.” Ez a Kötelezett által, a Hatóság megítélésével egyezően rögzített elvárás a Hatóság álláspontja szerint úgy teljesíthető, ha azon közreműködők Adatbázis adminisztrációs felület hozzáférési jogosultsága, akik az adott időszakban ténylegesen nem láttak el közreműködői feladatokat, esetlegesen folyamatosan fennálló jogviszonyuktól függetlenül is visszavonásra került volna. A Kötelezett által benyújtott nyilatkozatok, a szemlén tett nyilatkozatok, továbbá a forenzikus mentésben a szemle keretében rögzített felhasználói jogosultság nyilvántartásra tekintettel a bizonyítékok összességét úgy értékelte, hogy ezen jogosultságok visszavonását nem tette meg, illetőleg azt nem tudta igazolni az eljárás során. (239) Kötelezett jogi képviselője több nyilatkozatában is kiemelte, hogy „Információbiztonsági

Irányítási rendszer” (a továbbiakban: IBIR) működik a […] cégcsoporton belül. A 2023. június 1-jei keltezésű, szabályzat formában rögzített IBIR [NAIH-4208-7/2023. ügyiratszámon iktatott 2023. július 7-én kelt nyilatkozatának 7. sz. melléklete] hatálya kiterjed a szervezet minden tevékenységére, így a Program adatainak a kezelésére is. Az IBIR 2.7 fejezetében Kötelezett előírja, hogy az informatikai rendszerei kapcsán kockázatelemzést végezzen a biztonsági kockázatok feltárása érdekében. Az IBIR 4.5 fejezete az azonosítás és hitelesítés kérdéskörrel foglalkozik, és a 4.5.2 pontban rögzíti, hogy „Az informatikai rendszereknek egyedileg kell azonosítani és hitelesíteni a szervezeten belüli és kívüli felhasználókat és azokat a szoftveres szolgáltatásokat, amelyek azonosítást és hitelesítést igényelnek." Az IBIR 2.8 fejezete eljárást határoz meg arra az esetre, ha egy munkatárs jogviszonya megszűnik Kötelezettnél, ez rögzíti, hogy „A jogviszony megszűnésekor teljesen meg kell szüntetni az informatikai rendszerekhez történő hozzáféréseket (...)". (240) Az Adatbázis kapcsán 2023 februárjában etikus hacker szakvéleményét kérte

Kötelezett, amelynek összefoglalója szerint az Adatbázis „biztonságosnak mondható”, továbbá több nyilatkozatában is ismertette adatfeldolgozója, a […] Zrt. webszerverei védelmével kapcsolatban megtett intézkedéseit, amelyek összességére tekintettel megállapítható, hogy az Adatbázisban kezelt személyes adatok külső támadókkal szembeni védelme a kockázatokkal arányosan került kialakításra.

(241) A fentiek alapján a Hatóság megállapította, hogy az általános adatvédelmi rendelet 32. cikk (4) bekezdésében foglalt követelmény a Programmal összefüggésben sérült azáltal, hogy 2023. november 30-ig a Kötelezett az

Adatbázis vonatkozásában a kezelt adatok mennyisége és az okmánymásolatokra tekintettel a kezelt adatok minősége által – nem az érintettek jogaira nézve megjelenő kockázatoknak megfelelő intézkedéseket hozott annak biztosítására, hogy az adatkezelő vagy az adatfeldolgozó irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező természetes személyek kizárólag

Kötelezett utasításának megfelelően kezelhessék az említett adatokat. A

Programhoz kötődő adatkezelés személyes adatokra jelentett kockázataival arányosan hozott adminisztratív intézkedések megfelelőek voltak Kötelezett adatvédelmi szabályzatára és az IBIR előírásaira tekintettel – azzal, hogy egyes dokumentumok keletkezésének időpontja nem volt bizonyítható az eljárás során –, és a munkavállalók kapcsán a titoktartási kötelezettség is megfelelően rögzítésre került. Azonban az alkalmazott technikai intézkedések teljes körű megvalósítását a Hatóság nem látta igazoltnak az eljárás során Kötelezett nyilatkozatai ellenére sem. Nyilatkozatában Kötelezett is elismerte, hogy a jogkövető magatartás feltételezése esetén volt megfelelő a személyes adatok biztonságának szintje [NAIH-8614-6/2023. ügyiratszámú nyilatkozatának 30) pontja], technikai intézkedést nem alkalmazott Kötelezett annak megelőzésére, hogy az Adatbázisból személyes adatok kerüljenek lementésre vagy kifényképezésre, illetve nem igazolta megfelelően az eljárás során, hogy a Programban közreműködők hozzáférési jogosultságát kellő időben visszavonta. Erre tekintettel fennállt a személyes adatok sérelmének közvetlen kockázata még úgy is, hogy adatvédelmi incidens bekövetkeztére a Program kapcsán a bizonyítási eljárás lezárásáig nem derült fény.

VII.8. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés e) pontja szerinti

„korlátozott tárolhatóság” elvének sérelme a 2021. december 10-től 2023. november 2ig terjedő időszakban (Rendelkező rész 1.2. pontja)

VII.8.1. Az okmánymásolatok tárolásával kapcsolatban a „korlátozott tárolhatóság” elvének sérelme

(242) Az okmánymásolatok tárolásáról, annak időtartamáról sem a Régi ESZF, sem a Tájékoztató nem adott tájékoztatást, azt a szerződéses ajánlatkérés részének tekintve a Tájékoztató szerint 8 évig kezeli Kötelezett, míg a Régi ESZF alapján az nem sorolható be egyértelműen a III.5. fejezet egyik alpontjában ismertetett adatkezelés közé sem. (243) Kötelezett az eljárás során NAIH-3626-2/2023. ügyiratszámon tett nyilatkozata 3.14)

pontjában fejtette ki az adattörlésre irányadó határidőket adattípusonkénti bontásban. Az okmánymásolatok kapcsán e pontban található táblázat szerint „[…]PROGRAM ajánlatkérés adatkezelése” ügykörben az adatkezelés időtartama „Az Adatkezelő a személyes adatokat tartalmazó okiratok másolatait az adatellenőrzés megtörténtéig kezeli." A nyilatkozat azonos pontja a táblázat alatt folytatja: „Az Adatkezelő a rendszergazda (mint adminisztrátor) rendelkezése keretében kezdeményez és hajt végre rendszeres időközökkel – le legkésőbb 180 naponta - adattörlést, azokra az adatokra vonatkozóan, amelyek esetében az adatkezelés jogcíme megszűnt. Ezen túl törlésre kerül sor –azonos módon – a szerződés létrejötte hiányában átadott személyes adatokra vonatkozóan, azaz, ha a regisztráció valamely okból nem vezetne sikerre, vagy a […] a sikeres regisztráció mellett nem tesz ajánlatot a jelentkező, ajánlatkérő részére).” Az adtok kezelése kapcsán jogalapot azon adatok kapcsán, ahol az adatkezelés jogcíme megszűnt Kötelezett nem igazolt az eljárás során.

(244) A 2023. október 18-i helyszíni szemlén készült NAIH-8614-4/2023. ügyiratszámon iktatott jegyzőkönyv 6. oldalán az alábbiak kerültek rögzítésre: „A Hatóság ezt követően arra kérte Adatfeldolgozót, hogy mutassa be a rendelkezésre bocsátott igazolványképek (okmánymásolatok) sorsát, illetve ismertesse, hogy azok hogyan és mikor kerülnek törlésre. Adatfeldolgozó előadja, hogy a „szerződött”, vagy „elutasított” fázisokban lévő regisztrációkhoz kapcsolódó okmánymásolatok rendszeresen törlésre kerülnek Adatfeldolgozó ügyvezetője által, általában havi rendszerességgel, de az nem automatizált. Ez a metódus az érintettek nagyon nagy száma miatt lett ilyen módon kialakítva.” A fentiek alapján megállapítható, hogy az okmánymásolatok törlése nem volt automatizált és rendszeres, általában havonta kerültek törlésre a […] […] Kft. ügyvezetője által. (245) A 2023. október 18-i helyszíni szemlén készült NAIH-8614-4/2023. ügyiratszámon iktatott jegyzőkönyv rögzíti, hogy az adatbázisban elérhető legrégebbi okmánymásolatok (személyigazolvány előlapja, ’id1’ adat; lakcímkártya lakcímet tartalmazó oldala, ’ad1’ adat) legyűjtését kérte a Hatóság munkatársa, arra 2022. júniusi, júliusi és augusztusi feltöltésű találatok is voltak. A lekérdezés eredményéről másolatot kért a Hatóság. Ezt követően azon személyigazolványkép adatot tartalmazó adatbázis rekordok darabszámát kérte megállapítani a Hatóság, amelyek kapcsán az érintett regisztrációjára 2023. szeptember 1-jét megelőzően került sor, erre a lekérdezés 374 db rekordot eredményezett, tehát ennyi olyan esetben került az okirat képe tárolásra, ahol az adatok törlésére nem került sor. A lakcímkártya képét a 2023. szeptember 1-jét megelőzően regisztrált érintettek esetében szintén 374 db rekord tartalmazta. Ezek közül 15 esetben a számla is kiállításra került az átvett LED-ek kapcsán, annak kategória értéke ’DONE’ volt. Ez azt jelentette, hogy ezen rekordok esetében a LED-ek átadása megtörtént. (246) A 374 db rekord esetén többségében az e-mail cím validációra került, egyes esetekben a szerződés is elkészült. A Jegyzőkönyvben rögzítettek szerint ennek oka az lehet, hogy a regisztrációs adatok a Kötelezett munkatársai általi validálására nem minden esetben került sor, mivel átvételi pontot a 374 rekord többségében az érintett nem jelölt meg, annak hiányában nem került kiértesítésre a LED-ek átvétele kapcsán az érintett. A Jegyzőkönyvben rögzítésre került, hogy ezen rekordok kapcsán a törlés elmaradásának okát a Kötelezett ki fogja vizsgálni, annak kapcsán nyilatkozni fog. (247) Kötelezett Jogi Képviselője [NAIH-8614-6/2023. ügyiratszámú nyilatkozatának 56)

pontjában] úgy nyilatkozott, hogy a listában 359 eset állapota EMAIL_VALID: a regisztrálás megtörtént és a kiküldött e-mailre válaszolva azt megerősítették, de a szerződés nem jött létre, a regisztrálás nem lett jóváhagyva az adatok ellenőrzésével. Ennek oka, hogy a jóváhagyásra esetenként csak hosszabb idő után kerül sor. Az eltelt idő függ a regisztráltak számától és a jóváhagyást végző személyek teljesítésétől. Másrészt a rendszer indulásakor még nem volt kötelező átvevőhelyet kiválasztani, de a jóváhagyáshoz szükséges, hogy ismert legyen az átvevőhely. Ezeket az eseteket a lakcímek alapján a nyitott átvevőhelyekhez rendeli a Kötelezett heti gyakorisággal. A 15 esetből 5 esetben a szerződéskötés dátuma 2023. október 1. utáni. A törlés funkció a szerződéskötés dátumát nézi, és az utolsó törléshez megadott szerződéskötés dátuma 2023. október 1. A többi esetben (10 db) a szerződéskötés dátuma hiányzik, ami adathiba. Ezekhez szerződéskötési dátumot rendelt a Kötelezett a havi adattörlést megelőzően, hogy az adattörlési funkciók számára láthatóvá váljanak, amely szerint az adatok törlése megtörtént. (248) A helyszíni szemlén készült Jegyzőkönyv rögzíti, hogy az „elutasított” fázisban lévő regisztrációk és a törlést kérő érintettek személyes adatainak törlése vonatkozásában az adatok törlésére havonta rendszeresen kerül sor oly módon, hogy a korábban rendelkezésre álló adatokat az Adatbázis módosítja, felülírja. A törlés tekintetében érintett időtartamot manuálisan lehet beállítani, az nem automatizált. A törlési algoritmust az Adatbázis részeként a […] készítette. (249) A helyszíni szemlén készült Jegyzőkönyv szerint amennyiben az érintett nem tölti fel a kért okmánymásolatokat, úgy a regisztráció elutasításra kerül, hiánypótlásra, utólagos feltöltésre nincs mód. Kötelezett munkatársa az okmánykép és a rendelkezésre bocsátott számlamásolat alapján korrigálhatja az apróbb hibákat a meghatározott adatmezőkben. Amennyiben a munkatárs az érintett által rendelkezésre bocsátott adatokban változást eszközöl, úgy azt az Adatbázis naplózza egy log fájlba, munkatárs az adatok törlésére és kimentésére nem jogosult. (250) A Kötelezett azt nyilatkozta a 2023. október 25-én előterjesztett NAIH-8614-6/2023.

ügyiratszámú nyilatkozatának 46) pontjában, hogy az okmányok kizárólag az adatok ellenőrzésének idejéig – vagy a hozzájárulás visszavonásáig – kerültek tárolásra, ugyanakkor a helyszíni szemléről készült Jegyzőkönyv (NAIH-8614-4/2023)

6.oldalán rögzítésre került, hogy a „szerződött”, vagy „elutasított” fázisokban lévő regisztrációkhoz kapcsolódó okmánymásolatok rendszeresen törlésre kerülnek a […] […] Kft. ügyvezetője által, általában havi rendszerességgel, de az nem automatizált. A NAIH-8614-6/2023. ügyiratszámon iktatott nyilatkozatának 48) pontjában a Kötelezett úgy nyilatkozott, hogy az okmánymásolatok nem állnak a Kötelezett rendelkezésére, hiszen azokat a Kötelezett az adatok ellenőrzését követően törölte. A törlésre nem került 15 db eset okmánymásolatait a 2023. 10. 18. napi helyszíni szemlét követően 15 napon belül törölte a Kötelezett, továbbá a helyszíni szemle jegyzőkönyvében rögzített 374 db rekord a szemlét követő 15 napon belül szintén törlésre került [a Kötelezett a NAIH-19- 1/2024. ügyiratszámú nyilatkozatának 2) pontja]. A fentiek esetében azonban a Hatóság által megállapításra került, hogy az okmányok túltárolására került sor, mivel azok nem kerültek törlésre a Hatósági szemlén megállapítottak és Kötelezett által lefolytatott belső vizsgálat eredménye szerint.

(251) A fentiekkel a Kötelezett a 2021. december 10-től 2023. november 2-ig terjedő időszakban megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés e)

pontja szerinti „korlátozott tárolhatóság” elvét.

VII.8.2. A törölt e-mailcímek tárolásával kapcsolatban a „korlátozott tárolhatóság” elvének sérelme

(252) A Régi ESZF III.5.3. pontjában az alábbi rendelkezés szerepelt: „A […] a személyes adatok törlését dokumentálja (a dokumentálás történhet elektronikus úton, vagy papír alapon is), a dokumentálást a […] nyilvántartása igazolja. A […] – ha a jogosult kéri és a törlés feltételei is fennállnak – a törölhető adatok törlését az adatok minden lehetséges elérési útvonalán a rendelkezésére álló információk, adatok és technikai feltételek szerint kezdeményezi és hajtja végre.” A Kötelezett azonban sem a Régi ESZF-ben, sem a Tájékoztatóban nem adott tájékoztatást arról az érintettek részére, hogy az érintetti kérelemre (a Régi ESZF értelmében a regisztráció során adott hozzájárulás visszavonására tekintettel) törölt adatokat a nyilvántartásában mely kapcsolódó célból, milyen jogalappal, mennyi ideig tárolja majd. (253) A 2023. október 18-i helyszíni szemlén a Hatóság nyilatkoztatta a Kötelezett adatfeldolgozóját a […] […] Kft.-t a Programmal összefüggésben, hogy érkeztek-e érintetti joggyakorlás keretében személyes adatok törlésére vonatkozó kérelmek. Az adatfeldolgozó ügyvezetője előadta, hogy a személyes adatok törlésére az Adatbázisból a LED-ek szállításáig kerülhet sor, ekkor adatbázis szinten kerül törlésre az adat. A

Hatóság a helyszínen ezt ellenőrizte is egy érintetti joggyakorlás kapcsán (NAIH-8614- 4/2023. ügyiratszámon iktatott Jegyzőkönyv, 7. oldal).

(254) A 2023. október 18-i helyszíni szemlén készült NAIH-8614-4/2023. ügyiratszámon iktatott Jegyzőkönyvben (5. oldal) foglaltak szerint eseti érintetti törlési kérelem kapcsán a […] […] Kft. (2024. május 17-től […] […] Kft.) mint adatfeldolgozó járt el, kérésre a törlés tényéről igazolást állított ki, amelyet elektronikus aláírással látott el és e-mailen továbbított az érintett részére. A törlésekről „Excel táblát” vezetett, amelyben a helyszíni szemle időpontjában 84 érintett volt névvel és e-mail-címmel bejegyezve. A Program indulása óta, azaz 2021. december 10. napja óta a listából 2023. november 2-ig törlés nem történt. A Kötelezett Jogi Képviselője a NAIH-8614-6/2023. ügyiratszámú nyilatkozat 57) pontjában rögzítette, hogy a helyszíni szemle időpontjában az adattörlés eseteire vonatkozó kimutatás (név és e-mail-cím) azért került megtartásra, hogy azzal a Kötelezett az adattörlések visszakereshetőségét segítse, ezzel támogatva a Hatóság eljárását, mindezzel az általános adatvédelmi rendelet 5. cikk (2) bekezdésében foglalt elszámoltathatóság elvét kívánta szolgálni a Kötelezett. (255) Az általános adatvédelmi rendelet 11. cikke értelmében a törlésre irányuló érintetti joggyakorlás teljesítését a Kötelezett mint adatkezelő nem lett volna köteles oly módon igazolni, hogy a törlést kérő természetes személy regisztrálókról (nevükről és e-mailcímükről) külön nyilvántartást vezet, azokat tovább kezeli, az a korábbi regisztráció rendszer (meta) adatainak megőrzésével egy ismételt érintetti joggyakorlás során igazolható az érintett által szolgáltatott kiegészítő adatok bekérésével.

(256) Fentiek szerint Kötelezett megsértette az általános adatvédelmi rendelet 5. cikk (1)

bekezdés e) pontja szerinti „korlátozott tárolhatóság” elvét a 2021. december 10től 2023. november 2-ig terjedő időszakban, ugyanis előre meghatározatlan ideig tárolta a törölt adatokat. A Hatóság megjegyzi, hogy a Kötelezett a 2023. december

29-én kelt, NAIH-19-1/2024. ügyiratszámú nyilatkozatának 2) pontjában előadta, hogy ezen kimutatást a szemlét (2023. október 18.) követő 15 napon belül törölte.

VII.9. Az általános adatvédelmi rendelet 28. cikkének sérelme az önkormányzatok

Programmal összefüggő tevékenysége tekintetében a 2023. május 16. és 2023. június

15. közötti időszak vonatkozásában (Rendelkező rész 1.3.)

(257) A Hatóság sem Ügy2, sem a jelen eljárása során nem vizsgálta és mennyiségére tekintettel nem is értékelhette teljeskörűen valamennyi, a Kötelezett 2024. július 11. napján tett nyilatkozatában [NAIH-19-13/2024. ügyiratszámon] megjelölt települési önkormányzatnak a Programmal összefüggő adatkezelési szerepét, tevékenységét. Az eljárás keretében kizárólag a Pécs Megyei Jogú Város Önkormányzatának, Budapest Főváros VII. Kerület Erzsébetváros Önkormányzatának, illetve Győr Megyei Jogú Város Önkormányzatának eljárása tekintetében állnak rendelkezésére iratok. (258) A 2023. október 18-i helyszíni szemle keretében tett nyilatkozatok szerint a Kötelezett az egyes települési önkormányzatokkal egységes, rendszeresített együttműködési megállapodást köt [NAIH-8614-4/2023. ügyiratszámon iktatott Jegyzőkönyv 6. oldala]. A települési önkormányzatok mint adatfeldolgozók tekintetében a Kötelezett és az önkormányzatok között adatfeldolgozási szerződés is létrejön a 2023. május 17. napján a NAIH-3626-5/2023 ügyiratszámon megküldött válasz mellékletét képező Együttműködési Megállapodásnak és adatfeldolgozói szerződésnek megfelelő megállapodás szövegét tartalmazó minta alkalmazásával.

(259) Budapest Főváros VII. Kerület Erzsébetváros Önkormányzatának a Kötelezettel kötött együttműködési megállapodása 2023. március 8-i keltezésű, míg az adatfeldolgozói megállapodás 2023. június 15-én került aláírásra. A megállapodás

2.1. pontja szerint „Az Adatkezelő megbízást ad Adatfeldolgozó részére, hogy a […] Programra történő 2023. május 16-án indult regisztráció, továbbá a […] Program keretében nyújtott szolgáltatások teljesüléséig tartó ügyintézés és kapcsolattartás céljából Adatkezelő érdekében és utasításainak megfelelően a közöttük létrejött Szerződés alapján végzett tevékenységéhez kapcsolódóan a GDPR szerinti személyes adatok feldolgozását végezze, amely megbízást Adatfeldolgozó a jelen Megállapodás aláírásával elfogadja.” A 2.2. pont szerint „Az adatfeldolgozás időtartama: Az adatkezelés 2023. május 16-tól a Szerződés teljesítéséig tart.” A hivatkozott Szerződés a 2023. március 8-i keltezésű együttműködési megállapodás, melynek II. 10. pontja szerint az önkormányzat adatfeldolgozónak minősül, és rögzíti, hogy a felek szükség esetén az adatfeldolgozást illetően köthetnek további és külön szerződést is. A Hatóság megállapítja, hogy az adatfeldolgozói megállapodás ezen rendelkezés alapján került aláírásra, de már az adatkezelés szerződés szerinti kezdetét (2023. május 16.) követően. Az Együttműködési Megállapodás nem tekinthető egyben adatfeldolgozói szerződésnek is, mivel az általános adatvédelmi rendelet 28. cikk (3) bekezdés b) és f) pontjaiban foglalt garanciákat az nem tartalmazta. (260) A Hatóság megállapította, hogy a Kötelezett az általános adatvédelmi rendelet 28.

cikk (9) bekezdésében foglaltakat 2023. május 16. és 2023. június 15. közötti időszakban megsértette, tekintettel arra, hogy az adatfeldolgozásra irányuló szerződést vagy más jogi aktust írásba kell foglalni, ideértve az elektronikus formátumot is. A Hatóság továbbá megállapította, hogy az Együttműködési

Megállapodás nem tartalmazta az általános adatvédelmi rendelet 28. cikk (3) bekezdésének b) és f) pontja szerinti rendelkezéseket, így ezzel a Kötelezett az általános adatvédelmi rendelet 28. cikk (3) bekezdésében foglalt előírást sértette meg a 2023. május 16. és 2023. június 15. közötti időszakban.

VII.10. Az általános adatvédelmi rendelet 13. cikk (1) bekezdés c) pontjának, 13. cikk (2) bekezdés a) pontjának, az általános adatvédelmi rendelet 14. cikk (1) bekezdés c) pontjának, valamint az általános adatvédelmi rendelet 14. cikk (2) bekezdés a) pontjának sérelme a 2023. december 1-től a bizonyítási eljárás lezárásáig terjedő időszak vonatkozásában [Rendelkező rész 2.]

(261) A 2023. december 1-jétől alkalmazandó Új Adatkezelési Tájékoztató a Szerződés előkészítése körében megvalósuló adatkezelés, továbbá az Energiahatékonysági megállapodás megkötése és teljesítése körében megvalósuló adatkezelés vonatkozásában jogalapként a Kötelezett az általános adatvédelmi rendelet 6. cikk (1) bekezdésének b) pontját jelölte meg. A kezelt adatok köre: Vezetéknév és keresztnév, anyja neve, születési helye és ideje (az érintett azonosítása érdekében), lakcíme, felhasználási hely címe (amennyiben az előzőektől eltér, a felhasználási hely ismerete érdekében). A fogyasztási hellyel összefüggésben: elszámolási időszak, időszaki fogyasztás összesen, becsült éves fogyasztás összesen. (262) A tájékoztatás szerint „A […] a személyes adatokat ebből a célból az energiahatékonysági megállapodás megkötésétől annak megszűnéséig kezeli.” Kötelezett tájékoztatójában azonban nem tüntette fel azon jogi kötelezettségét, melyet az Ehat. Tv. 15/A. § (9) bekezdése ír elő számára, és mely alapján az első jogosult gondoskodik az energiamegtakarítás létrejötte, hitelesítése során birtokába került dokumentációnak az adott kötelezettségi időszakot követő 5 évig történő megőrzéséről, amely a Hatóság álláspontja szerint 2035. december 31. napja.

(263) 2023. június 24-től az Ehat. Tv. 15/A. § (4) bekezdése alapján a hitelesített energiamegtakarítás megfelelőségéért a felelősséget kizárólag az energetikai auditáló szervezet (a továbbiakban: hitelesítő szervezet) viseli. Ezt támasztja alá a MEKH NAIH- 8614-14/2023. ügyiratszámú (JFO/33-2/2023) nyilatkozatának 1. pontja is (ld.: 2. oldal). 2023. június 24. előtt a hitelesített energiamegtakarítás megfelelőségéért a kötelezett és a hitelesítő szervezet is felelősséggel tartozott. A 2023. június 24-ét megelőző szabályozás alapján a kötelezettnek a hitelesített energiamegtakarítással kapcsolatos teljes körű adatmegőrzési kötelezettsége állt fenn az Ehat. Tv. 15/A. § (1) bekezdése alapján akkor is, ha a hitelesített energiamegtakarítást átruházással szerezte meg. A megőrzési idő tekintetében a jogszabály az alábbiakat írta elő: „A kötelezett fél gondoskodik a saját maga által megvalósított, vagy számára átruházott energiahatékonyság-javító intézkedéssel kapcsolatos dokumentációnak a második kötelezettségi időszak végéig, de legalább az intézkedés vagy beruházás megvalósulásától számított 5 évig történő megőrzéséről.” (264) 2023. június 24-ét követően pedig a fenti rendelkezés az Ehat. Tv. 15/A. § (9)

bekezdésébe az alábbiak szerint szerepel: „A hitelesítő szervezet és az első jogosult a hitelesített energiamegtakarítás Hivatal általi ellenőrizhetősége érdekében gondoskodik az energiamegtakarítás létrejötte, hitelesítése, a hitelesített energiamegtakarítást átruházás útján megszerző személy pedig az energiamegtakarítás megszerzése során birtokába került dokumentációnak az adott kötelezettségi időszakot követő 5 évig történő megőrzéséről.” (265) A Kötelezettre ez a rendelkezés tehát 2023. június 24-től irányadó, tekintettel arra, hogy első jogosultnak minősül. Arra a tényre, hogy a Kötelezett első jogosultnak minősül, a Kötelezett a NAIH-19-1/2024. ügyiratszámon iktatott nyilatkozatának 11) pontjában és 14) pontjában hivatkozik. A Kötelezettnek az Ehat. Tv. 15/A. § (9) bekezdése alapján gondoskodnia kell az energiamegtakarítás létrejötte, hitelesítése során a birtokába került dokumentációnak az adott kötelezettségi időszakot követő 5 évig történő megőrzéséről, vagyis a 2021. január 1. és 2030. december 31. közötti kötelezettségi időszakot (második kötelezettségi időszak) követő 5 évig, azaz 2035. december 31-ig. (266) A NAIH-8614-6/2023. ügyiratszámon 2023. október 25-én az Ügyfél által benyújtott Új

Adatkezelési Tájékoztatóban (Utolsó módosítás dátuma: 2023. október; […]_adatkezelesi_es_adatvedelmi_tajekoztato_231024.pdf) szereplő tájékoztatás szerint az Ügyfél „annak érdekében, hogy az energiahatékonysági megállapodás megszűnését követően esetlegesen felmerülő ellenőrzés, audit, jogvita, elszámolási vita, vagy bármilyen egyéb vonatkozó jogi vagy hatósági eljárás során állításait bizonyítékokkal tudja alátámasztani, az energiahatékonysági megállapodás megszűnését követő 10 évig kezeli az energiahatékonysági megállapodásban foglaltakat, így az azok tartalmát képező személyes adatokat.” Ezen adatok: „Vezetéknév és keresztnév, anyja neve, születési helye és ideje (az Ön azonosítása érdekében), lakcíme, felhasználási hely címe (amennyiben az előzőektől eltér, a felhasználási hely ismerete érdekében), a fogyasztási hellyel összefüggésben: cserélt égők adatai és elhelyezkedésük, elszámolási időszak, időszaki fogyasztás összesen, becsült éves fogyasztás összesen.” „Az energiahatékonyságról szóló törvény végrehajtásáról szóló 122/2015 (V.26.) Kormányrendelet alapján a […] energetikai auditálása esetén az auditor által igényelt dokumentumokat – így esetenként az energiahatékonysági megállapodásban foglaltakat – az auditor számára átadhatja.” „A […] a személyes adatokat az energiahatékonysági megállapodás megszűnésétől számított 10 éves időtartamban kezeli, hiszen az auditor ilyen időtartamban jogosult ellenőrzése során az iratok – így az iratokban fellelhető személyes adatok ellenőrzésére.”

(267) A Kötelezett az Új Adatkezelési Tájékoztatóban szereplő tájékoztatás szerint a dokumentumok megőrzése, esetleges auditálás, ellenőrzése, vagy jogi eljárások lefolytatása és az azok során történő bizonyítás érdekében történő adatkezelése esetében az adatokat 10 évig kezeli, azonban a vonatkozó jogszabály pontos rendelkezése nem került megjelölésre, csupán egy hivatkozás található az Ehat. Tv. Vhr. -re. (268) A 2024. július 11-én kelt, NAIH-19-13/2024. ügyiratszámú nyilatkozatának 11) pontjában

Ügyfél a következőket nyilatkozta: „Az Ügyfél leszögezi, hogy az EKR jogok biztosításához az előírt auditra szükség van, az Ügyfél és a vezetett dokumentáció hatósági úton szükségszerű hatósági felügyelet alatt áll és az ellenőrzés tárgya lehet, valamint az audit ellenőrzése során az Ügyfélnek a 122/2015 (V.26.) Korm. rendelet 18. § (1) bek. alapján az auditorral egy tekintet alá eső jogi kötelezettsége áll fenn (a kötelezett – jelen esetben az Ügyfél – terhére a jogszabály az EKR jog alapjául vett dokumentumok auditor helyett történő bemutatását írja elő). Mindez az auditorra előírt adatszolgáltatási kötelezettség 10 éves időtartamának, az Ügyfél terhére vett szükségszerű kötelezettségét is jelenti.” (269) Az Új Adatkezelési Tájékoztató az energiahatékonysági megállapodás [a NAIH-8614- 4/2023. jegyzőkönyv egyik melléklete] megszűnését követő 10 éves időtartamra utal, amely azonban nem áll összhangban az Ehat Tv. Vhr. 14. § (4) bekezdésével, amely a megőrzési időt a megbízónak történő átadástól számított 10 évben határozza meg. A Kötelezett a felhasználókkal egyenként energiahatékonysági megállapodást köt, melynek 7. pontjában az alábbiak kerültek rögzítésre: „A jelen Szerződés mindaddig nem szüntethető meg (valamint nem szűnhet meg), amíg a Felhasználó az Energiahatékonysági Beruházás eredményeként vállalt kötelezettségeit nem teljesíti, amely az Energiahatékonysági Beruházás megvalósulásán túl a LED-ek üzemeltetésére vállalt kötelezettség teljesítését is jelenti (a Szerződés a jelen pontban írt korlátozásra tekintettel rendes felmondással nem szüntethető meg, Felek jelen nyilatkozata joglemondás.)” Az Energiahatékonysági Megállapodás II. 9. pontja alapján: „(…) a Szerződés hatálya a II.7.pontnak megfelelő kötelezettség teljesítéséig tart (..)” Az Energiahatékonysági Beruházás az energiahatékonysági megállapodás 3. pontja szerint a Felhasználási helyen energiahatékonyság-javító intézkedés, vagy beruházás.

(270) Az Új Adatkezelési Tájékoztatóban szereplő tájékoztatás szerint az Ügyfél a személyes adatokat ahhoz fűződő jogos érdeke alapján kezeli, hogy felmerülő jogi vagy hatósági eljárás során saját állításait és a történteket bizonyítékokkal tudja alátámasztani. E jogos érdek azonban tévesen került megállapításra, hiszen valójában, a fentiekben levezetett logika mentén a Kötelezett jogi kötelezettség, azaz az általános adatvédelmi rendelet 6. cikk (1) bekezdésének c) pontja alapján tárolja a dokumentumokat. (271) Az Ehat. Tv. Vhr. 14. § (4) bekezdése alapján az energetikai auditor, illetve energetikai auditáló szervezet általi auditálás esetén az energetikai auditor és az energetikai auditáló szervezet is köteles az energetikai auditot, valamint az azt alátámasztó dokumentációt (számítást) a megbízónak történő átadástól számított 10 évig megőrizni. Ez a rendelkezés nem vonatkozik közvetlenül a kötelezett félre, illetve ez a rendelkezés már azon esetekre vonatkozik, amikor már megtörtént az auditálás, azonban az Ehat. Tv. Vhr. 18. § (1) bekezdésének utolsó mondata alapján a megőrzésre a kötelezett fél is köteles: „Ha az energetikai auditot és a kapcsolódó dokumentációt az energetikai auditor vagy az energetikai auditáló szervezet nem adja át, az az auditálásra kötelezettől, vagy az audit elkészíttetésére megbízást adó egyéb személytől is bekérhető.” A fentiekből levezethető, hogy a Kötelezettre is vonatkozik az Ehat. Tv. Vhr. 14. § (4) bekezdése, mint azt a NAIH-8614-6/2023 ügyiratszámon csatolt nyilatkozat 19) pontja, illetve a NAIH-19-1/2024. ügyiratszámon csatolt nyilatkozat 8) pontja tartalmazza is. A hivatkozott jogszabályhely az energetikai auditálást alátámasztó dokumentációra vonatkozik. Az EKR joggal kapcsolatos dokumentáció megőrzésére nem az Ehat. Tv. Vhr. 14. § (4) bekezdése az irányadó, hanem az Ehat. Tv. 15/A. (9) bekezdése. (272) Az auditor által igényelt dokumentumok átadása az auditor részére az Új Adatkezelési

Tájékoztató alapján az energiahatékonyságról szóló törvény végrehajtásáról szóló 122/2015 (V.26.) Korm. rendelet alapján történik, [lásd: 14. § és 18. § (1) bekezdés] amely adatkezelés általános adatvédelmi rendelet szerinti jogalapja nem került külön feltüntetésre. A Hatóság álláspontja szerint ezen adatkezelés jogalapja az új ESZF-ben említett kötelező adatkezelés körébe esik, és ezzel nem az általános adatvédelmi rendelet 6. cikk (1) bekezdésének b) pontján alapul, mint azt az Új Adatkezelési Tájékoztató feltüntette, fenti jogi kötelezettségére tekintettel azt hibásan jelölte meg. (273) A Kötelezett a NAIH-8614-6/2023. ügyiratszámú nyilatkozatának 31) pontjában így fogalmazott: „Az adatkezelés jogalapjával kapcsolatosan a jelen nyilatkozat 17) pontjában írt jogszabályi felhatalmazást (mint jogalapot) is megjelöli a […], amely a GDPR 6. cikk (1) bek. c) pontjában és (3) bek.-ében írt adatkezelést jelent.” Ezen adatkezelési jogalapot azonban a Kötelezett az Új Adatkezelési Tájékoztatójában nem jelölte meg, csak a NAIH-8614-6/2023. ügyiratszámú nyilatkozatának 17) és a NAIH-19- 1/2024. ügyiratszámú nyilatkozatának 6) pontjában hivatkozta az eljárás során, így a 2023. december 1-jét követő regisztrációk során az érintettek erről nem kaptak tájékoztatást. (274) Az Ehat. Tv. 15/D. § (1) bekezdése alapján a kötelezett fél az energiamegtakarítási kötelezettség teljesítéseként egy adott évre elszámolni kívánt hitelesített energiamegtakarítást és az azt alátámasztó adatokat legkésőbb a tárgyévet követő március 31-ig a MEKH elnökének az Ehat. Tv. végrehajtására kiadott rendeletében megállapított módon és adattartalommal jelenti be a MEKH részére. A kötelezett fél a bejelentése során az Ehat. Tv. 15/D. § (1b) bekezdése szerinti személyes adatokat is átadja, azonban a végfelhasználási energiamegtakarítással kapcsolatos adatszolgáltatásról szóló 17/2020. (XII. 21.) MEKH rendelet 3. § (1) bekezdése alapján a kötelezett fél megbízásából az energiamegtakarítást hitelesítő energetikai auditáló szervezet (a továbbiakban: hitelesítő szervezet) jelenti be a MEKH részére. Ezen adatok az ingatlanon megvalósuló egyéni fellépés esetén az ingatlan címe, helyrajzi száma, valamint az egyéni fellépéssel érintett végső felhasználó neve, lakcíme. Tehát jogszabály kizárólag a fenti rendelkezésben foglalt adatok bejelentését írja elő. (275) Fentiek alapján nincs utalás arra az Új Adatkezelési Tájékoztatóban, hogy az energiamegtakarítást hitelesítő energetikai auditáló szervezet (hitelesítő szervezet) részére jogszabály alapján személyes adatok kerülnek átadásra. (276) Azon tájékoztatás, miszerint „az energiahatékonyságról szóló törvény végrehajtásáról szóló 122/2015 (V.26.) Kormányrendelet alapján a […] energetikai auditálása esetén az auditor által igényelt dokumentumokat – így esetenként az energiahatékonysági megállapodásban foglaltakat – az auditor számára átadhatja” nem teljes körű, és félrevezető, hiszen a Kötelezett által a hitelesítő szervezet részére jogszabályon alapuló személyes adatok kerülnek kötelezően átadásra, bejelentés céljából, az Új Adatkezelési Tájékoztatóban nevesített esetenkénti átadások mellett. (277) A Kötelezett az Új Adatkezelési Tájékoztatóban a szerződő fél azonosítása körében megvalósuló adatkezelés (személyi okmányok betekintéssel történő ellenőrzése) jogalapjaként a Vet. 151. § (5) bekezdésében előírt ellenőrzési kötelezettségét jelölte meg, hivatkozva az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontjában szereplő jogalapra.

(278) A Hatóság álláspontja szerint a Kötelezettnek a Programmal összefüggésben végzett adatkezelése nem a Vet. hatálya alá, hanem az Ehat. Tv. hatálya alá esik. A

Hatóság hivatkozik itt a Kötelezett által a NAIH-8614-6/2023 ügyiratszámon becsatolt nyilatkozatának 16) pontjára, mely szerint „a […] PROGRAM jogviszonyára az energiakereskedelmi szabályok is irányadóak.” A Kötelezettre irányadó a Vet., azonban a Programmal összefüggő jogviszonyokra, illetve az eljárás során értékelt adatkezelésekre a Vet. nem alkalmazandó a Hatóság álláspontja szerint. Ezért tévesen kerültek a Vet. Vhr. egyes rendelkezései a Programmal kapcsolatos adatkezelésekkel kapcsolatban hivatkozásra [Kötelezett NAIH-8614-6/2023 ügyiratszámon becsatolt nyilatkozatának 16) és 17) pontjai, továbbá a Kötelezett NAIH-19-1/2024. ügyiratszámon iktatott nyilatkozatának 5) és 6) pontjai]. A Vet. 3. § 17. pontjában meghatározza a felhasználó fogalmát: „17. Felhasználó: aki villamos energiát a saját felhasználási helyén történő felhasználás céljából közcélú hálózatról vagy magánvezetéken keresztül nem továbbadás útján vételez”. Az Ehat. Tv. szerint ezzel szemben Ehat. Tv. 1. § 31. pontja alapján „31. végső felhasználó: az a természetes személy vagy szervezet, aki vagy amely saját felhasználására vásárol energiát; távhűtéssel ellátott épület esetében, ha a távhűtési szolgáltatás a több személy tulajdonában lévő épület valamennyi épületrészében – a közös használatú épületrészek kivételével – mérhető, végső felhasználónak kell tekinteni az egyes épületrészek tulajdonosát is.”

(279) A Hatóság álláspontja szerint a Kötelezett a fenti megállapítások nyomán az Új

Adatkezelési Tájékoztatóban tévesen határozta meg:

1. az adatok tervezett kezelésének jogalapját [általános adatvédelmi rendelet 13. cikk

(1) bekezdés c) pont és általános adatvédelmi rendelet 14. cikk (1) bekezdés c) pont], 2. a személyes adatok tárolásának időtartamát [általános adatvédelmi rendelet 13. cikk (2) bekezdés a) pont és általános adatvédelmi rendelet 14. cikk (2) bekezdés a) pont]. (280) Fentiekre tekintettel nem megfelelő jogalapokra hivatkozott az Új Adatkezelési

Tájékoztató, a tájékoztatás nem volt teljes körű. Azon kötelező adatkezelés, amelyet jogi norma a Kötelezett számára előír, nem került az Új Adatkezelési

Tájékoztatóban kifejtésre [lásd: 17/2020. (XII. 21.) MEKH rendelet és Ehat. Tv. 15/A.

§ (1) és (9) bekezdései], ezzel a Kötelezett a 2023. december 1-jét követő időszak tekintetében megsértette az általános adatvédelmi rendelet 13. cikk (1) bekezdés c) pont és általános adatvédelmi rendelet 14. cikk (1) bekezdés c) pontjait, valamint az általános adatvédelmi rendelet 13. cikk (2) bekezdés a) pontját és általános adatvédelmi rendelet 14. cikk (2) bekezdés a) pontját. VIII.

Jogkövetkezmények

VIII.1. Adatvédelmi bírság

(281) A Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A.

§ előírásai alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire és az adatkezelés természetére, a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértések esetében a Infotv. 75/A. §-a által hivatkozott figyelmeztetés önmagában se nem arányos, se nem visszatartó erejű szankció lenne, ezért bírság kiszabása szükséges. A bírságkiszabás szükségességének mérlegelésekor a Hatóság figyelemmel volt a Kötelezett által bevezetett gyakorlat általános és országos jellegére [lásd a határozat (4) és (19) bekezdései] és a jelentős számú érintettre [lásd a határozat (5) bekezdése], az Infotv. 61. § (1) bekezdés a) pontjára és az Infotv. 61. § (3) bekezdésére figyelemmel a GDPR 58. cikk (2) bekezdés i) pontja alapján. A jelen esetben a személyes adatok védelme – amely a Hatóság feladata – a lentebb részletezett bírságkiszabási körülmények összessége alapján nem érhető el adatvédelmi bírság kiszabása nélkül. A bírságkiszabás mind a speciális, mind a generális prevenciót is szolgálja, amelynek érdekében a határozat nem csak a Hatóság honlapján, hanem a Kötelezett honlapjának nyitóoldalán, jól látható és könnyen hozzáférhető helyen is közzétételre kerül.

(282) A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja és a 83. cikk (2) bekezdése szerint a közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Az nem kétséges, hogy az általános adatvédelmi rendelet megsértése esetén az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján az adatkezelőt kötelezni szükséges arra, hogy az adatkezelést hozza összhangba az általános adatvédelmi rendelettel. A Hatóság akként ítélte meg az elvégzendő feladat természete alapján, hogy az a vonatkozó adatkezelési tájékoztatónak az általános adatvédelmi rendelet rendelkezéseivel, valamint az az Ehat. Tv. 15/A. § (9) bekezdésével és az Ehat. Tv. Vhr. 14. § (4) bekezdésével és az Ehat. Tv. Vhr. 18. § (1) bekezdésével való összhangba hozatala, valamint az adatkezelési tájékoztató Kötelezett honlapján történő közzétételére a szokásos 30 napos határidő elegendő. (283) A Hatóság a kiszabott adatvédelmi bírság összegének megállapítása során figyelembe vette az Európai Adatvédelmi Testület 4/2022. számú iránymutatásában (a továbbiakban: Bírság Iránymutatás) foglaltakat, amely az általános adatvédelmi rendelet szerinti közigazgatási bírságok kiszabásának számítási szempontjait tartalmazza. A Kötelezett által megvalósított adatkezelési műveletek egy sor olyan adatkezelési műveletet alkotnak, amelyeket egységes akarattal hajtottak végre, és azok kontextusban, térben és időben szorosan kapcsolódnak egymáshoz oly módon, hogy objektív szempontból egy koherens magatartásnak minősüljenek. Ezért a Programmal összefüggésben végzett adatkezelési műveletek „kapcsolódónak” tekintendők, és ugyanazt a magatartást testesítik meg. A Bírság Iránymutatás 3.1.2 pontja a ”unity of actions” kifejezést használja – így az általános adatvédelmi rendelet 83. cikk (3) bekezdése alapján a bírság teljes összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget, illetve a jogsértéseket és azok súlyosságát együttesen értékeli. Az ügy körülményei egy és ugyanazon magatartást testesítik meg, de ez a magatartás nemcsak egy, hanem több jogsértést is eredményez. (284) A Bírság Iránymutatásra tekintettel a bírság összegének meghatározására a következő szempontok alapján került sor:

a) A jogsértések kategorizálása: a Kötelezett által elkövetett jogsértések az általános adatvédelmi rendelet 28. cikke és 32. cikke szerinti jogsértés kivételével az adatkezelés elveire és az érintettek jogaira vonatkozó rendelkezések megsértését jelentették, azok a GDPR 83. cikk (5) bekezdés a) és b) pontja szerint a magasabb összegű bírságkategóriába tartozó, súlyosabb jogsértésnek minősülnek, amelyek esetében a bírság felső határa 20 millió euró vagy a vállalkozás éves árbevételének 4%-a, attól függően, hogy melyik a magasabb. A Kötelezett 2023. évi nettó árbevételének (31 308 982 000 Ft) 4 %-a 1.252.359.280 forint, amely nagyságrendileg 3.212.000 eurónak felel meg, azaz nem éri el a GDPR 83. cikk (5) bekezdése által meghatározott statikus bírságmaximumot, a 20 000 000 eurót, így a Kötelezett a jelen ügyben legfeljebb 20 000 000 eurónak megfelelő összegű bírsággal sújtható.

b) A jogsértések súlyossága az egyes esetekben.

1. A jogsértések jellege, súlyossága és időtartama

(285) A jogsértések jellege kapcsán a Hatóság figyelembe vette, hogy milyen érdek védelmét szolgálják a megsértett rendelkezések. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átláthatóság elve biztosítja, hogy a személyes adatok kezelésével összefüggő tájékoztatás könnyen hozzáférhető és közérthető legyen, valamint, hogy azt világosan és egyszerű nyelvezettel fogalmazzák meg, az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerinti „adattakarékosság” elve biztosítja, hogy a személyes adatok a cél megvalósulásához szükséges mértékben és ideig kezelhetőek, az általános adatvédelmi rendelet 5. cikk (1) bekezdés e) pontja szerinti korlátozott tárolhatóság elve biztosítja, hogy az adatkezelés céljának megvalósulásakor az adatkezelő gondoskodjon az érintett azonosíthatóságának megszüntetéséről. Az általános adatvédelmi rendelet 6. cikk (1) bekezdése az adatkezelés lehetséges jogalapjainak meghatározásával biztosítja az adatkezelés jogszerűségét. Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerinti könnyű hozzáférhetőség azt biztosítja, hogy az adatkezeléssel kapcsolatos tájékoztatás az érintett számára könnyen hozzáférhető formában kerüljön nyújtásra az adatkezelő által. Az általános adatvédelmi rendelet 13. cikk (1) és (2) bekezdése és 14. cikk (1) és (2) bekezdése azt hivatott szolgálni, hogy az érintettek tájékoztatást kapjanak a személyes adataik kezelésének körülményeiről még azt megelőzően, hogy az adatkezelésre sor kerülne, így biztosítva az információs önrendelkezési jog érvényesülését. Amennyiben az általános adatvédelmi rendelet ezen rendelkezései sérülnek, az érintettek nem kapnak érdemi, átlátható tájékoztatást a személyes adataik kezeléséről. Az általános adatvédelmi rendelet 28. cikke az adatfeldolgozói szerződések jogszerűségét, az általános adatvédelmi rendelet 32. cikke az adatkezelés biztonságát garantálja.

(286) A jogsértések súlya kapcsán a Bírság Iránymutatás figyelembe vehető szempontként nevesíti az általános adatvédelmi rendelet 82. cikk (2) bekezdés a) pontjában foglaltak szerint a szóban forgó adatkezelés jellegét, hatókörét, célját, továbbá azon érintettek számát, akiket a jogsértések érintenek, valamint az általuk elszenvedett kár mértékét.

(288) Az adatkezelés hatókörét illetően megállapítható, hogy országos szinten fennálltak

[lásd a határozat (4) és (19) bekezdései], nem eseti jellegűek voltak azáltal, hogy a Kötelezett általános jelleggel, egységes gyakorlatként írta elő az okmánymásolatok feltöltését 2021. december 10-től 2023. november 30-ig. A szerződött érintettek adatai a szerződéskötésüktől 2035. december 31-ig kerülnek megőrzésre [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont].

(289) Az adatkezelés célja elemzésekor a Hatóság megállapította, hogy a Program megvalósulása érdekében szükséges volt a személyes adatok kezelése, valamint Kötelezettnek az EKR kötelezettsége teljesítéséhez valóban szükséges volt azonosítani a Program keretében vele szerződő lakossági felhasználót, azaz az érintettet, csupán a megvalósítás módja nem volt megfelelő.

(291) A jogsértések időtartama kapcsán megállapítható, hogy az érintettek számára az adatkezelési műveletek huzamosabb ideig, kis híján két teljes évig, azaz 2021.

december 10-től 2023. november 30-ig átláthatatlanok voltak azáltal, hogy az adatkezelési tájékoztató nem volt könnyen hozzáférhető, több szempontból is hiányos tájékoztatást nyújtott a Kötelezett az érintettek számára. 2023. december 1-jétől 2024. július 17-ig, a bizonyítási eljárás lezárásáig további, az általános adatvédelmi rendelet szerinti érintetti jogokkal kapcsolatos rendelkezéseket sértett meg [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]. A Hatóság a huzamosabb ideig tartó jogsértést a jogsértések súlyosságát növelő tényezőként értékelte.

2. A jogsértések szándékos vagy gondatlan jellege:

(292) A Hatóság álláspontja szerint a Kötelezett gondatlanul követte el a jogsértéseket. A

Kötelezett a Program bevezetésekor tisztában volt azzal, hogy a Programmal kapcsolatban adatkezelést folytat, azonban a Programmal kapcsolatos jogszabályok által előírt pontos kötelezettségeivel nem volt tisztában, az adatkezelés tervezett folyamatát nem gondolta át, nem tervezte meg kellőképpen az általános adatvédelmi rendeletben foglalt rendelkezések figyelembevételével. Kellő gondosság tanúsítása mellett a Kötelezett elkerülte volna a jogsértéseket. A Hatóság álláspontja szerint a Kötelezettnek tisztában kellett volna lennie az általános adatvédelmi rendeletben foglalt követelményekkel, illetve tisztában kellett volna lennie a vonatkozó, pontos jogi előírásokkal, amelyek a Program kapcsán irányadóak a Kötelezettre nézve, tekintve, hogy a Program és így az adatkezelés országos kiterjedtségű volt és 100.000 személynél több személyt érintett. Fentiekre tekintettel megállapítható, hogy a Kötelezett az adatkezelési műveleteit gondatlanul végezte. (293) A gondatlanságot támasztja alá Kötelezett NAIH-19-13/2024. ügyiratszámú nyilatkozatának 6) pontja is, amelyben a Kötelezett az alábbiak szerint nyilatkozott: „a programot érintő okmánykezeléshez köthető jogsértés legfeljebb gondatlan volt.” Ezzel az okmányok kezelésével kapcsolatos jogsértést egyrészt elismerte, továbbá azt gondatlannak értékelte. A Hatóság megállapította, hogy a gondatlanság mértéke a jogsértések esetében összességében tekintve közepesen súlyos volt, mert a Kötelezett ugyan törekedett arra, hogy a maga módján az adatkezelési gyakorlatát jogszerűen kialakítsa (az adatbiztonsági megfelelés érdekében etikus hackeri auditot végeztetett, IBIR-t vezetett be), azonban a Program indulásakor a megállapított tényállás szerint az adatvédelmi jogi normákkal nem volt teljes mértékben tisztában, az azoknak történő megfelelő intézkedéseket nem alakította ki teljes körűen, ami magyarázható azzal is, hogy ezen fajta adatkezelésnek nem volt bevett, korábban más adatkezelő által bevezetett gyakorlata.

3. Az érintett személyes adatok kategóriái:

(294) A jogsértések nem érintették a személyes adatok különleges kategóriáit, sem bűnügyi személyes adatokat, azonban a személyi számot, mint nemzeti azonosítót és a személyazonosító okmány számát az okmánymásolaton kezelte Kötelezett, a feltöltött villanyszámla pedig pénzügyi adatokat tartalmazott. Noha a személyi számmal és a pénzügyi adattal Kötelezett a gyűjtésen, tároláson, betekintésen, biztonsági mentésen, valamint törlésen túl további műveletet nem végzett, a Hatóság e körülményt a bírságkiszabás szempontjából súlyosbító körülményként kell, hogy értékelje [GDPR 83. cikk (2) bekezdés g) pont, Bírság Iránymutatás 4.2.3. 57. pontja].

4. A jogsértés súlyának minősítése és a megfelelő kiindulási összeg meghatározása:

(295) Mindezen szempontok alapján a Hatóság arra a megállapításra jutott, hogy a Kötelezett által elkövetett jogsértések közepes súlyosságúnak minősülnek, mivel a Kötelezett több jogsértést követett el, több alapelvi rendelkezést is megsértett [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]. (296) A Bírság Iránymutatás 4.2.4. pontja szerint az alkalmazandó felső határ 10-20%-ában kell meghatározni a bírságösszeg további számításához szükséges kiindulási összeget. Ez a konkrét esetben a 20 millió euró maximális bírságösszeg kapcsán 2 millió és 4 millió euró közötti kiinduló bírságösszeget jelent, amely nagyságrendileg 780 millió forinttól 1.5 milliárd forintig terjedő összeg. (297) A Bírság Iránymutatás 4.3 pontja értelmében azonban, annak érdekében, hogy a bírság hatékony, arányos és visszatartó erejű legyen, a jogsértés súlyossága alapján számított kiindulási összeg az adatkezelő éves árbevételének figyelembevételével módosítható. Tekintettel arra, hogy a Kötelezett 2023. évi nettó árbevétele nem haladta meg a 100 millió eurót, a bírságszámítás alapja a kiindulási összeg 8-20%-a, azaz 160 000 - 800 000 euró, tehát nagyságrendileg 62 millió forint és 310 millió forint közötti összeg.

c) A Hatóság által figyelembe vett további súlyosbító és enyhítő körülmények:

(298) Az általános adatvédelmi rendelet 31. cikke értelmében az adatkezelőt és az adatfeldolgozót általános együttműködési kötelezettség terheli, és hogy az együttműködés hiánya az általános adatvédelmi rendelet 83. cikke (4) bekezdésének a) pontjában előírt bírság alkalmazásához vezethet. Ezért úgy kell tekinteni, hogy a rendes együttműködési kötelezettség kötelező, ezért azt semlegesnek (és nem enyhítő tényezőnek) kell tekinteni. Ha azonban a felügyeleti hatósággal folytatott együttműködés azzal a hatással járt, hogy korlátozza vagy elkerüli az egyének jogaira egyébként esetlegesen gyakorolt negatív következményeket, a felügyeleti hatóság ezt az általános adatvédelmi rendelet 83. cikke (2) bekezdésének f) pontja értelmében enyhítő tényezőnek tekintheti, ezáltal csökkentve a bírság összegét. Ez lehet a helyzet például akkor, ha az adatkezelő vagy - feldolgozó „meghatározott módon eleget tett a felügyeleti hatóság kéréseinek az adott eset vizsgálati szakaszában, minek eredményeként jelentősen mérséklődött a magánszemélyek jogaira gyakorolt hatás.

(299) A Hatóság a Bírság Iránymutatás fenti 5.5. pontjára tekintettel enyhítő körülményként értékelte, hogy a Kötelezett az eljárás során mindvégig teljeskörűen és határidőben választ adott a Hatóság megkeresésére, kiegészítő adatokkal segítette az eljárás lefolytatását, valamint együttműködött a Hatósággal a jogsértések orvoslása érdekében. Kötelezett a helyszíni szemle befejezését követően, 2023. december 1-jén helyezte ki Weboldal1-re a 2023. december 1. napjától hatályos, a vizsgált adatkezelési műveleteket és címzetteket már teljeskörűen ismertető – azonban az adatkezelések jogalapja tekintetében továbbra sem egyértelműen fogalmazó – módosított adatkezelési tájékoztatóját, módosított ESZF-jét, és új adatkezelési gyakorlatot vezetett be (melynek során az azonosító okmányokról már nem kért másolatot, továbbá az azonosító okmányokról másolatot az Adatbázisban még átmenetileg sem tárolt) illetve a helyszíni szemle jegyzőkönyvében rögzített 374 db okmányképet is tartalmazó rekordot a szemlét követő 15 napon belül törölte, illetve szintén a szemlét követő 15 napon belül törölte az adattörlési esetekre vonatkozó név és e-mail-cím kimutatását [NAIH-19-1/2024. ügyiratszámú nyilatkozata; általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont].

(300) A Hatóság enyhítő körülményként értékelte, hogy a Kötelezett által korábban elkövetett releváns jogsértés megállapítására a Hatóság által mindezidáig nem került sor [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pontja].

(301) Az eset körülményei szempontjából releváns egyéb enyhítő tényező, hogy a Programban való részvétel az érintettek részére és az adatkezelés a hibáitól függetlenül előnyökkel járt, az érintettek számára anyagi értékű juttatást biztosított az elért energia megtakarítással; valamint az a Kötelezettnek egy társadalmilag hasznos cél megvalósítására vonatkozó jogi kötelezettsége teljesítésére irányult [NAIH-8614- 6/2023. ügyiratszámú nyilatkozatának 11) pontja; általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont, egyéb enyhítő tényező].

(302) A Hatóság súlyosbító körülményként értékelte az adatkezelő felelősségének mértékét

[Bírság Iránymutatás 5.3. pontja], az Iránymutatásnak megfelelően figyelembe véve az általános adatvédelmi rendelet 25. cikke alapján a Kötelezett által végrehajtott intézkedéseket, tekintettel a 32. cikk (4) bekezdésének sérelmére. A Hatóság megállapította, hogy a Kötelezett nem nyújtotta azt, ami tőle elvárható volt az adatkezelés folyamatának kialakítása során, valamint nem észlelte a hozzá érkező érintetti tájékoztatás kérések alapján az adatkezelés átláthatóságának és az adattakarékosság elvével kapcsolatos hiányosságait, tekintettel az adatkezelés jellegére és terjedelmére figyelemmel az általános adatvédelmi rendelet által rárótt kötelezettségekre [általános adatvédelmi rendelet 83. cikk (2) bekezdés d) pont].

(303) A Hatóság súlyosbító körülményként értékelte, hogy a Hatóság a Kötelezettel szemben érkezett több bejelentés alapján észlelte a Kötelezett adatkezelési gyakorlata jogsértő jellegének valószínűségét [általános adatvédelmi rendelet 83. cikk (2) bekezdés h) pont, Bírság Iránymutatás 5.9. fejezet 98. pont]. (304) A Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdés c), i) és j) pontja szerinti körülményeket nem tartotta relevánsnak, mivel azok a konkrét ügy kapcsán nem értelmezhetők. (305) A fentiekre tekintettel a Kötelezett éves árbevételének figyelembevételével középmértékként alkalmazható bírság összeg minimumához közelítő bírság kiszabását látta a Hatóság hatékonynak, arányosnak és visszatartó erejűnek a vizsgált adatkezelés kapcsán, a határozatban megállapított 75.000.000 Ft adatvédelmi bírság pedig 0,[…]%a Kötelezett értékesítése nettó árbevételének, és csupán 0,[…]%-a az általános adatvédelmi rendelet szerint az ügyben kiszabható statikus bírságmaximumnak. (306) A fentiek és az eset összes körülménye alapján a Hatóság a rendelkező rész szerinti összegű adatvédelmi bírság kiszabását tartotta arányosnak és visszatartó erejűnek mind a speciális, mind az általános prevenció vonatkozásában, amely összeg jelentősen a bírságmaximum alatt van. Mindezek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

VIII.2. A határozat nyilvánosságra hozatala

(307) Az Infotv. 61. § (2) bekezdése értelmében: „A Hatóság elrendelheti határozatának - az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő nyilvánosságra hozatalát, ha a) a határozat személyek széles körét érinti, b) azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy c) a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja.” (308) Fenti megállapításokból következik, hogy a Kötelezett számos jogsértést követett el, több alapelvi rendelkezést is megsértett, ezért a Hatóság a jogsértések jellegét közepesen súlyosnak ítélte meg. Az érintettek száma jelentős (a teljes időszakot tekintve 132.546 fő) volt, a jogsértések huzamosabb ideig (2021. december 10-től 2024. július 17-ig, a Program várható befejezése 2024. december 31. napja) és 262 db önkormányzatot érintve, országos szinten álltak fenn, nem eseti jellegűek voltak, hanem rendszerszintű. (309) Kötelezett a megindult vizsgálati eljárásokra tekintettel sem tartotta indokoltnak a honlapján közzétett adatkezelési tájékoztatóját felülvizsgálni, csupán az adatvédelmi hatósági eljárás hivatalbóli megindítását követően, már a lefolytatott helyszíni szemlét követően tette azt meg. A 2022. február 11-től hatályos Tájékoztató és a Régi ESZF a Kötelezett weboldalán, Weboldal1-en egészen 2023. november 30-ig azonos tartalommal szerepelt. (310) Az adatkezelés átláthatóságának sérelme következtében – a Kötelezett honlapján elérhető Tájékoztató alapján – a Hatóság megítélése szerint az érintettekre nézve megtévesztő tájékoztatás volt azzal kapcsolatban, hogy a szerződés megkötéséhez a személyazonosító igazolvány, illetve a lakcímet, illetve személyi azonosítót igazoló hatósági igazolvány másolatának feltöltése szükséges-e. Erre tekintettel szükséges a Hatóság eljárása során megállapított tényállást és a kapcsolódó döntést elérhetővé tenni a Kötelezett honlapján is, hogy a Kötelezettel a jövőben kapcsolatba kerülő érintettek széles köre számára váljon közvetlenül megismerhetővé, hogy a Programban történő részvételhez, szerződéskötéshez nem szükségszerű személyazonosságuk igazolása igazolványmásolatok feltöltése útján. (311) A fentiekre tekintettel a Hatóság az Infotv. 61. § (2) bekezdés a) és c) pontja alapján hivatalból elrendelte a végleges határozatának a Kötelezett azonosító adatainak közzétételével történő nyilvánosságra hozatalát nem csak a Hatóság saját honlapján, hanem a Kötelezett honlapjának nyitóoldalán (Weboldal1), jól látható és könnyen hozzáférhető helyen, a határozat véglegessé válásától számított legalább 30 napon keresztüli időtartamban, annak érdekében, hogy az érintettek ezáltal egyértelmű tájékoztatást kapjanak a 2023. november 30. napjáig folytatott, illetve az azt követően alkalmazott adatkezelési műveletek kapcsán.

IX. Ügyintézési határidő

(312) A Hatóság az ügyintézési határidőt túllépte, azonban annak az Ákr. 103. § (4)

bekezdésében meghatározott kétszeresét nem, figyelemmel az Infotv. 60/A. § (1) bekezdésére.

X. Egyéb kérdések

(313) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdései határozzák meg, illetékessége az ország egész területére kiterjed. (314) A Hatóság jelen döntése az Ákr. 80.-81. §-ain és az Infotv. 61. § (1) bekezdésén alapul.

A döntés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, 114. § (1) bekezdése, valamint a 116. § (1) bekezdése alapján a döntéssel szemben közigazgatási per útján van helye jogorvoslatnak. (315) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja szerint olyan jogvitában, amelyben a törvényszék kizárólagosan illetékes, a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (316) A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi

CXXX. törvény 604. §-a szerint alkalmazandó, a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló 2023. évi CIII. törvény (Dáptv.) 19. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (317) A Hatóság döntésével szembeni keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésein alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (a továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és a 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (318) Ha az előírt kötelezettsége teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. Az Ákr. 133. § (1) bekezdése értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. § (1) bekezdése értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság döntésének végrehajtását a döntésben foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a Hatóság foganatosítja. Budapest, „az elektronikus aláírás és időbélyeg szerint”

Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár