Hungarian Data Protection Authority: unlawful publication of a photograph on a website

………………………………………………………………………………………………………… 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-646- /2022 Előzmény: NAIH-6586- /2021

Tárgy: kérelemnek helyt adó határozat Ügyintéző:

HATÁROZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt […] kérelmező ([…]; a továbbiakban: Kérelmező) 2021. augusztus 6. napján érkezett, a […] weboldal (a továbbiakban: weboldal) üzemeltetője, azaz a […] Kft.-vel ([…]; a továbbiakban: Kérelmezett)

szemben a weboldalon közzétett fényképfelvétel kapcsán azonosított jogellenes adatkezelés megállapítására irányuló kérelme nyomán tárgyú kérelme nyomán indult adatvédelmi hatósági eljárásban a Hatóság az alábbi döntéseket hozza: I. A Hatóság a Kérelmező kérelmének helyt ad és

1) elmarasztalja a Kérelmezettet, tekintettel arra, hogy a Kérelmező személyes adatait a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: GDPR) 6. cikkét megsértve jogellenesen kezelte, amikor az adatokat a weboldalán harmadik személyek számára hozzáférhetővé tette;

2) kötelezi a Kérelmezettet, hogy a képfelvételt és a Kérelmező többi személyes adatát tartalmazó feliratot a weboldaláról törölje! A Kérelmezettnek az intézkedés megtörténtét hitelt érdemlően igazolnia kell a Hatóság felé, a jelen határozat véglegessé válását követő 30 napon belül.

II. A Hatóság az I. pontban megállapított jogsértések miatt a Kérelmezettet hivatalból figyelmeztetésben részesíti. A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az eljárás menete

(1) A Kérelmező a Hatósághoz 2021. augusztus 6-án e-papír szolgáltatáson keresztül érkezett levelében adatvédelmi hatósági eljárás iránti kérelmet nyújtott be a Kérelmezettel szemben, amelyben sérelmezte, hogy a weboldalon a hozzájárulása nélkül került megjelenítésre egy őt ábrázoló fényképfelvétel, az alábbi aloldalon: […]

(2) A Kérelmező az ügy kivizsgálására, a személyes adatok kezelésével kapcsolatos jogsérelem megállapítására és az adatkezelő jogsérelem orvoslása iránti felszólítására kérte a Hatóságot, kérte továbbá arra vonatkozó tájékoztatását, hogy ki a honlap üzemeltetője és a domain használója. (3) A Hatóság a 2021. augusztus 13-án kelt, NAIH-6586-2/2021. számú végzésében a Kérelmezőt kérelme hiányosságainak pótlására hívta fel, amelynek a Kérelmező – a 2021. augusztus 30-án a Hatósághoz érkezett – levelében eleget tett. (4) A Hatóság a 2021. szeptember 10-én kelt, NAIH-6586-4/2021. számú végzésében a tényállás tisztázása érdekében nyilatkozattételre hívta fel a […] weboldal regisztrátorát, a […] Kft.-t ([…]), melyre 2021. szeptember 21-én érkezett válasz. (5) A Hatóság a 2021. szeptember 10-én kelt, NAIH-6586-5/2021. számú végzésében értesítette a Kérelmezettet az adatvédelmi hatósági eljárás indulásáról és a tényállás tisztázása érdekében meghatározott kérdésekben történő tájékoztatásra hívta fel. (6) A Kérelmezett 2021. október 14-én megküldte a fenti számú végzésben foglalt kérdésekre adott válaszait, melyekkel kapcsolatban a Hatóság pontosítást kért és a Kérelmezett nyilatkozatai alapján felmerülő további kérdéseket tett fel a NAIH-6586-8/2021. számú végzésében. (7) A Kérelmezett a NAIH-6586-8/2021. számú végzésben foglaltakra 2021. november 26-án küldte meg válaszait. (8) A Hatóság a 2021. december 20-án kelt NAIH-6586-10/2021. számú végzésében tájékoztatta a Kérelmezettet, hogy az adatvédelmi hatósági eljárásban a bizonyítási eljárás befejeződött, és felhívta figyelmét az iratbetekintési, valamint a további bizonyítási indítványok előterjesztésére vonatkozó jog gyakorlásának lehetőségére. Ugyanezen döntésben a Hatóság felhívta a Kérelmezettet a jelen hatósági eljárás során benyújtott nyilatkozatait aláíró személy(ek) képviseleti jogosultságának igazolására. (9) Egyidejűleg a Hatóság a NAIH-6586-11/2021. számú végzésében a Kérelmezőt is értesítette a bizonyítási eljárás befejezéséről és az iratbetekintési, valamint bizonyítási indítvány előterjesztésére vonatkozó jog gyakorlásának lehetőségéről.

(10) A Kérelmezett nevében 2022. január 12-én iratbetekintési kérelmet tartalmazó e-mail érkezett a Hatósághoz. (11) A Hatóság a NAIH-646-2/2022. számú végzésében felhívta a Kérelmezettet, hogy iratbetekintési kérelmét az adatvédelmi hatósági eljárásra irányadó jogszabályoknak megfelelő módon személyesen, postai úton vagy e-papír szolgáltatáson keresztül nyújtsa be. A Hatóság továbbá ismételten felhívta a Kérelmezettet a nevében nyilatkozatot tevő személy(ek) képviseleti jogosultságának igazolására.

(12) A Kérelmezett a postai úton küldött – a Hatósághoz 2022. január 27-én érkezett levelében eleget tett a Hatóság végzésében foglaltaknak.

(13) A Hatóság a NAIH-646-5/2022. számú végzésében a Kérelmezett iratbetekintési kérelmének korlátozottan, az általa meg nem ismerhető, személyes adatnak minősülő információk kivételével helyt adott.

(14) A Kérelmezett a Hatósághoz 2022. február 18-án beérkezett levelében ismételten kérte, hogy a Hatóság jelöljön meg egy lehetséges időpontot az iratbetekintésre. (15) A Kérelmezett az iratbetekintési kérelmének helyt adó végzést 2022. március 7-én átvette, azonban a Hatóság által iratbetekintésre biztosított időpontok – 2022. március 17. 10:00 és 2022. március 22. 13:00 – egyikén sem jelent meg.

II. Tényállás

(16) A Hatósághoz 2021. augusztus 6. napján érkezett kérelemben a Kérelmező előadta, hogy a weboldalon a hozzájárulása nélkül került megjelenítésre egy őt ábrázoló fényképfelvétel az alábbi aloldalon: […]. A Kérelmező képmását megjelenítő fénykép alatt a következő mondat olvasható: „[…], született […]án - […] vállalkozó - túlszámlázó - munkanélkül pénzt […].”

(17) A Kérelmező előadta továbbá, hogy amiatt, hogy a weboldalon az adatkezelő személye nem azonosítható, nem tudja a személyes adata törlését kezdeményezni. A Kérelmező véleménye szerint, ha az adatkezelő a hozzájárulása nélkül közli a nevét, címét, vagy az engedélye nélkül töltenek fel felvételt, amin egyértelműen azonosítható, jogsértést valósít meg.

(18) A Kérelmező kérte a Hatóságot, hogy állapítsa meg a jogellenes adatkezelés tényét, szólítsa fel az adatkezelőt a jogsérelem orvoslására, valamint tájékoztassa a Kérelmezőt a weboldal üzemeltetőjéről, és domain használójáról.

(19) A Kérelmező a Hatóság hiánypótlási felhívására válaszolva pontosította kérelmét, miszerint a róla készült fényképfelvétel jogellenes közzétételét és adatkezelését kéri megállapítani. (20) A Kérelmező kiemelte továbbá, hogy közte, mint magánszemély és a weboldal között szakmai kapcsolat nincs, viszont az általa ügyvezetőként irányított […] Kft. kötött szerződést a […] Kft.-vel gépészeti kivitelezési tevékenység ellátására. A Kérelmező valószínűsíti, hogy ezzel összefüggésben került ki a weboldalra a fényképfelvétele, azonban kiemelte, hogy kizárólag a személyével nem azonosítható a vállalkozás amiatt, hogy egyéb személyek is tulajdonosai, és egyúttal irányítói a […] Kft.-nek.

(21) A Kérelmező kiegészítette kérelmét, miszerint a jogellenes adatkezelés megállapításán túl a képmás törlését kéri az alábbi szövegrésszel együtt: „[…], született […]dán – […] vállalkozó – túlszámlázó – munkanélküli pénzt […].” (22) A […] Kft. - mint a weboldal regisztrátora - Hatóság megkeresésére küldött tájékoztatása szerint a weboldal domain tulajdonosa a […] nevű cég.

(23) A Kérelmezett a Hatóság felhívására előadta, hogy a Kérelmezett tekinthető adatkezelőnek. (24) A Kérelmező személyes adatai (fénykép, név, születési hely, foglalkozás) közzétételének céljára, valamint jogalapjára vonatkozó kérdésre válaszul a Kérelmezett kifejtette, hogy a Kérelmező négy évvel ezelőtt 600 millió forintot felvett gépészeti munkák teljesítésére, azonban a feladatot nem végezte el, ezért 269 lakásba, mintegy ezer személy nem tud beköltözni. A Kérelmezett kiemelte továbbá, hogy a közjegyző által kirendelt szakértő megállapította, hogy legfeljebb 400 millió forint értékű munkát végzett, amelyből a Kérelmezett véleménye szerint akár a sikkasztás lehetősége is felmerülhet. A Kérelmezett előadta, hogy a vevők kétségbeesett kérése okán került ki a Kérelmezett weboldalára a jelen eljárás során vizsgált tartalom. (25) A közzétett személyes adatok forrásával kapcsolatban a Kérelmezett úgy nyilatkozott, hogy az egyik vevő videó interjút készített a Kérelmezővel, aki hozzájárult a felvétel, és ezáltal a képek közzétételéhez is. A Kérelmezett a Hatóság ez irányú felhívására nem közölte a vevő lakcímét, helyette két telefonszámot jelölt meg. (26) A Kérelmezett ugyanezen, 2021. október 13-i keltű nyilatkozatában előadta, hogy már levette az oldaláról a kifogásolt tartalmat. (27) A Hatóság által 2021. október 22-én végzett internetes keresés alapján azonban a weboldalon még elérhető volt a Kérelmező személyes adatait magában foglaló tartalom.

(28) A Kérelmezett a Hatóság felhívására leírta, hogy a Kérelmező hozzájárulását tartalmazó nyilatkozatot nem rögzítettek, álláspontja szerint ez sem felelt volna meg az adatvédelmi előírásoknak. (29) Ezenfelül a Kérelmezett megküldte a már említett, - Kérelmező mulasztása okán – elmaradt munkálatokra vonatkozóan készített, közjegyző által kirendelt szakértői véleményt, valamint a Teljesítésigazolási Szakértői Szerv véleményét.

(30) A Kérelmező által kifogásolt tartalomnak a weboldalon való elérhetőségének időtartamával kapcsolatban a Kérelmezett azt közölte, hogy „Ez legfeljebb napokban mérhető.” A tartalomnak a Hatóság által észlelt elérhetősége és a Kérelmezett állítása szerinti eltávolítás közötti ellentmondás okára vonatkozó kérdésre adott, 2021. november 26-i válaszában a Kérelmezett tagadta az ellentmondást, állítása szerint „az egész oldal rész eltávolításra került.”

(31) A Hatóság 2022. április 7-én ismételten ellenőrizte az aloldalt, ahol – ellentétben a Kérelmezett által leírtakkal – változatlanul megtalálható volt a kifogásolt tartalom, azaz a Kérelmező képmását ábrázoló fénykép, alatta a Kérelmező személyes adatait tartalmazó felirattal: „[…], született […]án - […] vállakozó - túlszámlázó - munkanélkül pénzt […].”

(32) A Hatóság észlelte, hogy az eljárás során a Kérelmezett által elküldött nyilatkozatok egyikén sem került feltüntetésre az aláíró személy neve, mind a nyilatkozatok szövegében („Alulírott […] Kft.,”), mind az aláírások alatti szövegrészben („Üdvözlettel: […]Kft.”) ugyanis kizárólag a cégnév szerepel. Emellett továbbá a 2021. október 13-i, valamint 2021. november 26-i keltű nyilatkozatokon szereplő aláírások képe különbözik egymástól, így nem lehet minden kétséget kizáróan megállapítani, hogy ugyanattól a személytől származnak.

(33) A Hatóság által a képviseleti jogosultság igazolására vonatkozóan meghozott ismételt felhívásra a Kérelmezett nyilatkozatával és aláírási címpéldány megküldésével igazolta a nyilatkozatot tevő személy képviseleti jogosultságát.

III. Alkalmazott jogszabályok

A GDPR 2. cikk (1) bekezdése: E rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

GDPR 4. cikk 1. pont: „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;

GDPR 4. cikk 2. pont: „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.

GDPR 6. cikk (1) bekezdés: A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. (3) Az (1) bekezdés c) és e) pontja szerinti adatkezelés jogalapját a következőknek kell megállapítania: a) az uniós jog, vagy b) azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik. Az adatkezelés célját e jogalapra hivatkozással kell meghatározni, illetve az (1) bekezdés e) pontjában említett adatkezelés tekintetében annak szükségesnek kell lennie valamely közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához. Ez a jogalap tartalmazhat az e rendeletben foglalt szabályok alkalmazását kiigazító rendelkezéseket, ideértve az adatkezelő általi adatkezelés jogszerűségére irányadó általános feltételeket, az adatkezelés tárgyát képező adatok típusát, az érintetteket, azokat a jogalanyokat, amelyekkel a személyes adatok közölhetők, illetve az ilyen adatközlés céljait, az adatkezelés céljára vonatkozó korlátozásokat, az adattárolás időtartamát és az adatkezelési műveleteket, valamint egyéb adatkezelési eljárásokat, így a törvényes és tisztességes adatkezelés biztosításához szükséges intézkedéseket is, ideértve a IX. fejezetben meghatározott egyéb konkrét adatkezelési helyzetekre vonatkozóan. Az uniós vagy tagállami jognak közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal.

GDPR 58. cikk (2) bekezdés: A felügyeleti hatóság korrekciós hatáskörében eljárva:

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit.

g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2)

bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; GDPR 77. cikk (1) bekezdés: Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 2. § (2) bekezdés: Személyes adatoknak az (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet a III-V. és a VI/A. Fejezetben, valamint a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §-ban, az 55. § (1)-(2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, a 62-71. §-ban, a 72. §-ban, a 75. § (1)-(5) bekezdésében, a 75/A. §-ban és az 1. mellékletben meghatározott kiegészítésekkel kell alkalmazni.

Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít.

Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel.

Infotv. 75/A. §: A Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

Az Infotv. 60/A. § (1) bekezdés: Az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap, amely határidőbe nem számít bele a tényállás tisztázásához szükséges adatok közlésére irányuló felhívástól az annak teljesítéséig terjedő idő. Az Ákr. 51. § (1) bekezdés b) pontja szerint ha a Hatóság az ügyintézési határidőt túllépi, az eljárás lefolytatásáért fizetendő illetéknek vagy az illetékekről szóló törvény szerinti közigazgatási hatósági eljárásokért, vagy igazgatási jellegű szolgáltatások igénybevételért fizetett igazgatási szolgáltatási díjnak (a továbbiakban: díj) megfelelő összeget, ennek hiányában tízezer forintot megfizet a kérelmező ügyfélnek, aki mentesül az eljárási költségek megfizetése alól is.

IV. Döntés

IV.1. Az adatkezelés jogalapja (34) A Hatóság mindenekelőtt megállapította, hogy Kérelmező képmása, valamint az alatta olvasható feliratban szereplő információk (név, születési hely, foglalkozás) a GDPR 4. cikk 1. pontja szerinti személyes adatnak, ezen adatok weboldalon történő közzététele pedig a GDPR 4. cikk 2. pontjában foglalt adatkezelésnek minősül.

(35) A kifogásolt aloldalon található személyes adatok hozzáférhetővé tételével tehát adatkezelés történik, így a Kérelmezett által kezelt személyes adatokat megilleti az általános adatvédelmi rendelet szerinti védelem, és a Kérelmezett által végzett adatkezelésnek meg kell felelnie az általános adatvédelmi rendelet szabályainak.

(36) A fentiek alapján a Kérelmezettnek a Kérelmező személyes adatainak harmadik személyekkel történt megosztását eredményező tevékenysége a GDPR hatálya alá tartozik, mely esetben az adatkezelés jogszerűségének egyik alapvető feltétele valamely, a GDPR 6. cikk (1) bekezdésében szabályozott jogalap fennállása.

(37) A Kérelmezett a Kérelmező személyes adatait – azoknak a weboldalán való közzétételével – bárki számára megismerhetővé, hozzáférhetővé tette.

(38) A Kérelmezett az adatkezeléshez a Kérelmező hozzájárulásával igazolt módon nem rendelkezett. A Kérelmezett állítása szerint a Kérelmező „hozzájárult az adatok, így a felvétel, a képek közzétételéhez”, azonban a Kérelmezett ezt azon video felvétellel kapcsolatban közölte, amely a rendelkezésre álló adatok alapján egy interjú során készült, és amelynek egy képkockáját rögzítették a későbbiekben a kifogásolt aloldalon, a már idézett leírással. Figyelemmel arra, hogy amennyiben a Kérelmezett állításával egyezően a Kérelmezőnek lett is volna hozzájárulása a videofelvétel készítésére, az abban az esetben sem a képfelvétel – vagy az alatta feltüntetett személyes adatok – weboldalon való közzétételére vonatkozott, a Kérelmezett által hivatkozott hozzájárulás annak igazolása esetén sem lenne tekinthető a jelen eljárás tárgyát képező adatkezelés jogalapjának. A Kérelmezett a Hatóság rendelkezésére bocsátotta annak a személynek a nevét és telefonszámát, aki a Kérelmezett előadása szerint rendelkezett a Kérelmező videofelvétel készítésére vonatkozó hozzájárulásával, azonban a Hatóság a megadott nevet és telefonszámot nem tartotta elegendőnek az adatkezelés jogalapjának igazolásához. Ezzel kapcsolatban a Hatóság szükségesnek tartja megjegyezni, hogy a konkrét eset körülményeire tekintettel különösen valószínűtlen az érintett, azaz a Kérelmező hozzájárulása egy őt kifejezetten negatív színben feltüntető, - valóságtartalmától függetlenül - számára kellemetlen leírás közzétételéhez.

(39) A Hatóság felhívta a Kérelmezettet arra, hogy jelölje meg az általa folytatott adatkezelés jogalapját, azonban a képfelvétel és az alatta feltüntetett személyes adatok közzétételére vonatkozó jogalap megjelölésére és annak igazolására az eljárás során nem került sor. A Kérelmezett nyilatkozatában az állítása szerinti hozzájárulással kapcsolatban úgy fogalmazott, hogy „A beszélgetés keretében történő nyilatkozatot nem rögzítettünk, nyilván a rögzítés sem felelt volna meg az adatvédelmi előírásoknak.”. A Kérelmező hozzájáruló nyilatkozatával tényszerűen nem rendelkezett, illetve a Kérelmezett más jogalap fennállását sem igazolta.

(40) A Hatóság megállapította, hogy bár a Kérelmezett hivatkozott arra, hogy kifejezetten a vevők kétségbeesett kérésére került ki a weboldalra a Kérelmező képe és a személyes adatait tartalmazó felirat, ez a nyilatkozat azonban nem alkalmas sem az adatkezelés jogszerű céljának, sem az előírásoknak megfelelő jogalap meghatározására vagy igazolására.

(41) Az eset körülményeit figyelembe véve a Hatóság megállapította, hogy a Kérelmező személyes adatainak kezelése jogalap nélkül történt, ezért a Kérelmezett megsértette a GDPR 6. cikk (1) bekezdését.

(42) Fentiekre tekintettel a Hatóság a Kérelmező kérelmének helyt adva a GDPR 58. cikk (2) bekezdés f) pontja alapján a Kérelmezettet a Kérelmező személyes adatainak a weboldalról történő törlésére kötelezte.

IV.2. A Hatóság egyéb megállapításai (43) A Kérelmező kérelmében előadta, hogy nincs tudomása a honlap üzemeltetőjének és domain használójának a kilétéről. A Hatóság ezzel kapcsolatban rögzíti, hogy a tényállás tisztázása során észlelte, hogy a Gazdasági Versenyhivatal […] számon lefolytatott versenyfelügyeleti eljárása során - többek között - feltárta, hogy a […] weboldal üzemeltetője a Kérelmezett. A Hatóság megkeresésére továbbá a […] Kft. által küldött tájékoztatás szerint a weboldal domain tulajdonosa a […] nevű cég. (44) A Hatóság az eljárás során túllépte az Infotv. 60/A. § (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért a Kérelmezőt az Ákr. 51. § (1) bekezdés b) pontja alapján tízezer forint illeti meg, melynek megfizetésére – írásban megjelölendő választása szerint – bankszámlára utalással vagy postai utalvánnyal van lehetőség. IV.4. Jogkövetkezmények (45) A Hatóság a Kérelmező kérelmének helyt adva a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezettet, mert megsértette a GDPR 6. cikkében foglaltakat. (46) A Hatóság helyt adva a Kérelmező kérelmének, a jogsértés megszüntetése és a személyes adatok védelmének helyreállítása érdekében a GDPR 58. cikk (2) bekezdés g) pontjában foglalt hatásköre alapján kötelezi a Kérelmezettet, hogy a képfelvételt és a Kérelmező többi személyes adatát az aloldalról törölje, és utasítja a Kérelmezettet, hogy a jövőben tartózkodjon az ilyen magatartástól. (47) A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés arányos és visszatartó erejű szankció, ezért bírság kiszabása nem szükséges. (48) A Hatóság döntésénél figyelembe vette, hogy a Kérelmezett elmarasztalására az általános adatvédelmi rendelet megsértése miatt még nem került sor. A Hatóság nem tárt fel olyan, rendszerszintű adatkezelési hiányosságokat, amelyek nagyobb számú jogsértésre utalnának. (49) Az eset összes körülménye alapján feltételezhetően bírság kiszabása nélkül elérhető, hogy a Kérelmezett maradéktalanul teljesítse a Hatóság döntését és biztosítsa a Kérelmező személyes adatainak védelmét. A Hatóság kifejezetten ellenőrizni fogja a jelen határozat teljesítését, és nemteljesítés esetén eljárási bírságot szabhat ki, vagy újabb adatvédelmi hatósági eljárást indíthat. Újabb adatvédelmi jogsértés megállapítása esetén a jogkövetkezmények megállapításakor a jelen jogsértést, mint előzményt fokozott súllyal veszi majd figyelembe.

V. Egyéb kérdések

(50) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (51) A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. (52) Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal és a megszüntető végzéssel szemben közigazgatási per útján van helye jogorvoslatnak. (53) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13.

§ (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (54) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (55) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (56) Ha az előírt kötelezettsége teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja.

kelt: Budapest, 2022. április 7.

Dr. Péterfalvi Attila elnök távollétében:

Dr. Szabó Endre Győző elnökhelyettes