{"check":null,"uid":"27708c9dd55c08f5","title":"Tájékoztatási hiányosságok webáruház adatkezelésében","title_generated":false,"country":"Венгрия","organ":"Орган по защите данных Венгрии (NAIH)","kind":"case","kind_name":"Судебная практика","lang":"hu","date":"2026-01-01","summary":"Регулятор установил, что компания нарушила требования GDPR к прозрачности и информации для субъектов данных — ст. 12(1), ст. 13(1)(c,d,f) и ст. 13(2)(a). Компанию обязали привести обработку данных и содержание информационного уведомления в соответствие с GDPR и подтвердить это регулятору в течение 30 дней после вступления решения в силу. За выявленные нарушения назначен штраф 2 000 000 форинтов со сроком уплаты 30 дней; при неуплате начисляется пеня.","snippet":"","topics":["Персональные данные"],"status":"ok","error":"","text_len":89676,"versions":2,"url":"https://naih.hu/hatarozatok-vegzesek?download=1555:tajekoztatasi-hianyossagok-webaruhaz-adatkezeleseben","first_seen":"2026-09-07","last_checked":"2026-09-17 02:22","relevance":"hit","score":506,"query":"","source_key":"naih_hu","verdict":{"relevance":"hit","score":506,"topics":["Персональные данные"],"need_body":5,"authorities":[{"kind":"орган","name":"Nemzeti Adatvédelmi és Információszabadság Hatóság","topic":"Персональные данные"},{"kind":"орган","name":"NAIH","topic":"Персональные данные"},{"kind":"акт","name":"GDPR","topic":"Персональные данные"},{"kind":"акт","name":"2016/679","topic":"Персональные данные"},{"kind":"акт","name":"információs önrendelkezési jogról","topic":"Персональные данные"}],"evidence":[{"topic":"Персональные данные","term":"adatkezel","weak":false,"pos":37,"ctx":"tájékoztatási hiányosságok webáruház adatkezelésében регулятор установил, что компания нарушила требования gdpr к прозрачности и информации дл","zone":"название","weight":3},{"topic":"Персональные данные","term":"gdpr","weak":false,"pos":107,"ctx":"nyosságok webáruház adatkezelésében регулятор установил, что компания нарушила требования gdpr к прозрачности и информации для субъектов данных — ст. 12(1), ст. 13(1)(c,d,f) и ст. 13(2","zone":"название","weight":3},{"topic":"Персональные данные","term":"обработк данных","weak":false,"pos":233,"ctx":"субъектов данных — ст. 12(1), ст. 13(1)(c,d,f) и ст. 13(2)(a). компанию обязали привести обработку данных и содержание информационного уведомления в соответствие с gdpr и подтвердить это регулято","zone":"название","weight":3},{"topic":"Персональные данные","term":"gdpr","weak":false,"pos":308,"ctx":"язали привести обработку данных и содержание информационного уведомления в соответствие с gdpr и подтвердить это регулятору в течение 30 дней после вступления решения в силу. за выявле","zone":"название","weight":3},{"topic":"Персональные данные","term":"adatkezel","weak":false,"pos":309,"ctx":".............................................  1055 budapest tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok falk miksa utca 9-11. kr id: 429616918 ugyfelszolgalat@naih.hu  ügyszám: nai","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":492,"ctx":"szám: naih-11443-3/2026. naih-11591/2025. ügyintéző: […]  tárgy: döntés hivatalból indult adatvédelmi hatósági eljárásban  határozat  ## a nemzeti adatvédelmi és információszabadság hatóság (","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":549,"ctx":"tárgy: döntés hivatalból indult adatvédelmi hatósági eljárásban  határozat  ## a nemzeti adatvédelmi és információszabadság hatóság (a továbbiakban: hatóság) a […] weboldal (a továbbiakban w","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatkezel","weak":false,"pos":680,"ctx":"g (a továbbiakban: hatóság) a […] weboldal (a továbbiakban webhely, weboldal vagy honlap) adatkezelése miatt a […]  ## (székhely:[…], eljáró ügyvéd: […]) által képviselt […].-vel (székhely:[…]","zone":"текст","weight":1},{"topic":"Персональные данные","term":"személyes adat","weak":false,"pos":849,"ctx":"[…].-vel (székhely:[…]; továbbiakban:  ## társaság) szemben a természetes személyeknek a személyes adatok kezelése tekintetében  történő védelméről és az ilyen adatok szabad áramlásáról, valamint","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":1063,"ctx":"lv hatályon kívül helyezéséről szóló 2016/679 (eu) rendeletnek (a továbbiakban: általános adatvédelmi rendelet vagy gdpr) való megfelelés vizsgálatára hivatalból indított adatvédelmi hatósági","zone":"текст","weight":1},{"topic":"Персональные данные","term":"Nemzeti Adatvédelmi és Információszabadság Hatóság","weak":false,"pos":1049,"ctx":"ző: […]  Tárgy: döntés hivatalból indult adatvédelmi hatósági eljárásban  HATÁROZAT  ## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a […] weboldal (a továbbiakban Webhely, Weboldal vagy Honlap) a","zone":"орган","weight":3},{"topic":"Персональные данные","term":"NAIH","weak":false,"pos":916,"ctx":"esi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu  Ügyszám: NAIH-11443-3/2026. NAIH-11591/2025. Ügyintéző: […]  Tárgy: döntés hivatalból indult adatvédelm","zone":"орган","weight":0},{"topic":"Персональные данные","term":"GDPR","weak":false,"pos":107,"ctx":"nyosságok webáruház adatkezelésében Регулятор установил, что компания нарушила требования GDPR к прозрачности и информации для субъектов данных — ст. 12(1), ст. 13(1)(c,d,f) и ст. 13(2","zone":"акт","weight":0},{"topic":"Персональные данные","term":"2016/679","weak":false,"pos":1518,"ctx":"adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendeletnek (a továbbiakban: általános adatvédelmi rendelet vagy GDPR) való megfelel","zone":"акт","weight":0},{"topic":"Персональные данные","term":"információs önrendelkezési jogról","weak":false,"pos":5085,"ctx":"érintően.  ## I.2. Hatósági eljárás  (4) A Hatóság a hatósági ellenőrzést lezárta, és az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakba: Infotv.) 60. §","zone":"акт","weight":0}],"dropped":[{"topic":"Электронная коммерция и платежи","term":"elektronikus kereskedel","weak":false,"pos":19097,"ctx":"elhasználó hozzájárulása, az infotv. 5. § (1) bekezdése, 6. cikk (1) bekezdés a/ pont, az elektronikus kereskedelmi szolgáltatások, az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről","why":"одиночное упоминание (нужно 5)"},{"topic":"Электронная коммерция и платежи","term":"elektronikus kereskedel","weak":false,"pos":19459,"ctx":"en adminisztratív hiba okán tartalmazza a korábbi joggyakorlatra, így az infotv.-re és az elektronikus kereskedelmi törvényre mutató hivatkozást.  (26) a társaság szerint adminisztratív hiba okán tartalmaz","why":"одиночное упоминание (нужно 5)"},{"topic":"Электронная коммерция и платежи","term":"elektronikus kereskedelem","weak":false,"pos":46685,"ctx":"s” esetén a társaság hivatkozott a gdpr 6. cikk (1) bekezdés b) és c) pontra, valamint az elektronikus kereskedelemi szolgáltatások, valamint az információs társadalommal összefüggő szolgáltatások egyes kér","why":"одиночное упоминание (нужно 5)"},{"topic":"Интеллектуальная собственность в цифровой среде","term":"szerző jog","weak":false,"pos":46491,"ctx":"trációra vonatkozó adatkezelésnél a társaság hivatkozott az érintetti hozzájárulásra és a szerződéses jogalapra (szabályzat 4. oldal 7. pont); • a „webáruház működtetéséhez kapcsolódó adatkezelés” eset","why":"одиночное упоминание (нужно 5)"},{"topic":"Цифровая идентификация и госуслуги","term":"elektronikus aláír","weak":false,"pos":89581,"ctx":"lezés vonatkozásában a határozat végrehajtását a hatóság foganatosítja kelt: budapest, az elektronikus aláírás és időbélyeg szerint  dr. habil. péterfalvi attila elnök c. egyetemi tanár","why":"одиночное упоминание (нужно 5)"}]},"last_changed":"2026-09-17","meta":{"fileId":"1555","slug":"tajekoztatasi-hianyossagok-webaruhaz-adatkezeleseben","case":"NAIH-11443-3/2026"},"source_url":"https://naih.hu/hatarozatok-vegzesek?download=1555:tajekoztatasi-hianyossagok-webaruhaz-adatkezeleseben","text":"........................................................................................................................................................................................................................................................................\n\n1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu\n\nÜgyszám: NAIH-11443-3/2026. NAIH-11591/2025. Ügyintéző: […]\n\nTárgy: döntés hivatalból indult adatvédelmi hatósági eljárásban\n\nHATÁROZAT\n\n## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a […] weboldal (a továbbiakban Webhely, Weboldal vagy Honlap) adatkezelése miatt a […]\n\n## (székhely:[…], eljáró ügyvéd: […]) által képviselt […].-vel (székhely:[…]; továbbiakban:\n\n## Társaság) szemben a természetes személyeknek a személyes adatok kezelése tekintetében\n\ntörténő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendeletnek (a továbbiakban: általános adatvédelmi rendelet vagy GDPR) való megfelelés vizsgálatára hivatalból indított adatvédelmi hatósági eljárásban az alábbi döntést hozza:\n\n## 1. A Hatóság megállapítja , hogy a Társaság gondatlanul megsértette\n\naz általános adatvédelmi rendelet 12. cikk (1) bekezdését;\n\naz általános adatvédelmi rendelet 13. cikk (1) bekezdés c), d) és f) pontjait;\n\naz általános adatvédelmi rendelet 13. cikk (2) bekezdés a) pontját.\n\n2. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján a\n\n## Hatóság hivatalból utasítja a Társaságot, hogy adatkezelési műveleteit hozza összhangba\n\na GDPR rendelkezéseivel és adatkezelési tájékoztatásának tartalmát a jelen határozat (92)- (104) pontjaiban kifejtett követelményeknek megfelelően módosítsa.\n\n3. A Hatóság az 1. pontban megállapított jogsértések miatt\n\n## 2 000 000 Ft, azaz kétmillió forint adatvédelmi bírság\n\nmegfizetésére kötelezi a Társaságot.\n\n* * *\n\n## A 2. pontban előírt intézkedések megtételét a Társaságnak jelen döntés véglegessé\n\nválásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé.\n\n## Az adatvédelmi bírságot jelen döntés véglegessé válásától számított 30 napon belül a\n\nHatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-11443/2026. BÍRS. számra kell hivatkozni. Ha a Társaság az adatvédelmi bírságfizetési kötelezettségnek határidőben nem tesz eleget, a fenti számlaszámra késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A 2. pont szerinti kötelezések nem teljesítése, továbbá az adatvédelmi bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.\n\n## INDOKOLÁS\n\n## I. Az eljárás menete\n\n## I.1. A hatósági ellenőrzés\n\n(1) A Hatóság 2025.04.11. napján ellenőrzés indításáról döntött, amelynek keretében a […] domainen működő webáruház adatkezelését hatósági szemlével ellenőrizte az előzetes tájékoztatásra kiterjedően, az általános adatvédelmi rendeletnek való megfelelőség tárgyában NAIH-9770/2025. számon.\n\n(2) A Hatóság 2025.06.18-án előzetes értesítés nélküli szemlét végzett, amely a Honlap megtekintéséből és mentések készítéséből állt. A Hatóság a szemle időpontjában mentést készített, amely tartalmazza a Társaság weboldalán közzétett 2025.03.27-ei hatályú adatkezelési tájékoztatóját. (3) A Hatóság a Weboldal áttekintése után jogsértés gyanúját észlelte az átláthatóság érvényesülését, a tájékoztatás megfelelőségét, valamint az érintett rendelkezésére bocsátandó információkat érintően.\n\n## I.2. Hatósági eljárás\n\n(4) A Hatóság a hatósági ellenőrzést lezárta, és az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakba: Infotv.) 60. § (1) bekezdése alapján 2025.06.27. napján, NAIH-11591/2025. számon a Honlapon működő webáruház adatkezelési gyakorlatának, ezen belül az előzetes tájékoztatásnak a vizsgálatára kiterjedően adatvédelmi hatósági eljárást indított, amelyben a korábbi hatósági ellenőrzés és szemle adatait, iratait is felhasználta. Az eljárás nem terjedt ki sem az egyéb adatvédelmi követelmények vizsgálatára, sem a Társaság adatkezelési folyamatainak teljes körű áttekintésére.\n\n(5) A Hatóság jelen eljárásban a GDPR-nak való megfelelést vizsgálta. A GDPR alkalmazandóvá válásának időpontja: 2018.05.25. A Hatóság a 2018.05.25.–2019.12.31. közötti időszak vizsgálatától eltekintett.\n\n1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16.) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. Az űrlap az alábbi linkről érhető el: https://naih.hu/kozig-hatarozat-birosagi-felulvizsgalata (6) A vizsgált időszak jelen eljárás megindításáig tartott, tehát az eljárás megindulását követő időtartam nem tartozik bele. (7) A fentiek alapján a vizsgált időszak: 2020.01.01. – 2025.06.27.\n\n## I.2.1. A Társaság nyilatkozatai (NAIH-11591-2/2025, NAIH-11591-4/2025)\n\n(8) A Hatóság 2025.06.27. napján kelt, NAIH-11591-1/2025. ügyiratszámú végzésében értesítette a Társaságot az adatvédelmi hatósági eljárás megindításáról és a tényállás tisztázása érdekében nyilatkozattételre hívta fel többek között a fogyasztói panaszkezeléssel és kapcsolatfelvétellel összefüggő adatkezelésről, a hozzájárulások igazolhatóságához kapcsolódó adatkezelés megőrzési idejéről, a remarketing célú adatkezelésről, az átláthatóság biztosításáról, a tájékoztató szerkezetéről, valamint az automatizált döntéshozatal esetleges alkalmazásáról. (9) A Társaság 2025.07.09. napján kelt, NAIH-11591-2/2025. ügyiratszámú beadványában a 2025.03.27. elfogadási dátumú „Adatkezelési tájékoztató” elnevezésű adatkezelési tájékoztatóval kapcsolatban előadta, hogy a Társaság a […] által működtetett „[…]” rendszert alkalmazza. A […] rendszer előre definiált jogi törzsszövegek segítségével segíti a webshop üzemeltetőket az adatkezelési tájékoztató és az általános szerződési feltételek kialakításában. Ez a legaltech megoldás a webshop üzemeltetők – jelen kontextusban a […] rendszer felhasználói - egyedi adatkezelési megoldásait is figyelembe veszi, és csak olyan szövegeket nyújt a felhasználók számára, amelyek nem határozzák meg az adatkezelés feltételeit és tartalmát. A rendszer az adatkezelési jogalapok, a jogszabályban meghatározott feltételek, az érintetti jogok és a szerkezet kialakításában segíti a felhasználót. Ezenkívül maga a dokumentum is a […] rendszerből jelenik meg, tehát a Társaság honlapján látott adatkezelési tájékoztató a […] tárhelyéről, az általa biztosított technikai megoldással jelenik meg, a honlapra csak egy kóddal kerül beágyazásra. (10) A Társaság a […] rendszer működésével kapcsolatban előadta, hogy a felhasználó egy előre definiált tartalmat tölt ki szöveggel, adatokkal. Ez azt jelenti, hogy a rendszerben tipikus webshopokhoz kapcsolódó adatkezelések szerepelnek (például cookiek, regisztráció, számlázás, áruszállítás, garanciális és fogyasztói panaszok, nyereményjáték, remarketing, kapcsolatfelvétel, rendelés feldolgozása, hírlevélküldés, személyre szabott reklám küldés), mely adatkezelések külön-külön bekapcsolhatóak, bekapcsolás esetén pedig megjelenik egy tájékoztatóként szolgáló mintaszöveg, amit a felhasználó szabadon módosíthat saját adatkezelésére konkretizálva. Amennyiben a mintaszövegen nem történik módosítás, a rendszer a dokumentum közzétételekor jelzi ezt a tényt a felhasználó számára, ezzel ösztönözve és figyelmeztetve a felhasználót arra, hogy a mintaszöveg nem feltétlenül igaz az általa végzett adatkezelésre. A rendszer működésének szemléltetéseként a Társaság csatolta az erről készült képernyőképeket.\n\n(11) A Társaság a fogyasztói panaszok kezelésére és kapcsolatfelvételre vonatkozó tevékenységre vonatkozó tájékoztatással kapcsolatban előadta, hogy a tájékoztatóban valóban nem volt erre vonatkozó információ, amely hiányosságot a Társaság pótolta.\n\n(12) A Társaság a hozzájárulás igazolhatósága kapcsán a hatósági ellenőrzés során észlelt adattárolás időtartamra vonatkozóan előadta, hogy az adatkezelési tájékoztató az általános polgári jogi elévülési időre kívánt hivatkozni, ezért sem volt speciális szempont rögzítve ehhez a ponthoz. A tájékoztatóban a Társaság az adattárolás időtartamát egyértelmű utalással pontosította.\n\n(13) A Társaság jelezte, hogy a remarketingről szóló tájékoztató rész külön szerepeltetésének oka, hogy legyen egy olyan pont az adatkezelési tájékoztatóban, ahol ezt a speciális adatkezelést külön is ismerteti az érintettek számára. A Társaság által használt […] rendszer azért adott plusz információt a szövegezéshez, hogy egyértelműen szerepeljen, hogy a Társaság megvalósít-e remarketing célú adatkezelést vagy sem, ugyanis önmagában ezen információ a cookie tájékoztató részben elveszne. A Társaság szerint azért szerepel ezen pont alatt általánosabb megfogalmazás, mert magát az adatkezelést azonban külön-külön cookiek valósítják meg, ezért általánosan nem lehet hozzá adatkezelési időtartamot és kezelt adatok körét meghatározni. A Társaság rögzítette, hogy a […] és a […] tájékoztatására való utalásnak a célja, hogy az érintettek magánál a szolgáltatónál is meg tudják nézni az adatkezelés tartalmát. Azonban a könnyebb érthetőség kedvéért a remarketing rész szövegezését módosította és egyszerűsítette a Társaság. (14) A Társaság a tájékoztató számozásának hiányával kapcsolatban előadta, hogy a […] rendszer html alapú megjelenítést alkalmaz, amely esetén számozásra áttekinthető módon nincs lehetőség. A Társaság jelezte, hogy a html kódolás ismeri a számozást, azonban ha azt tartalmi elem követi, akkor újraindul, ezért minden számozással kiemelt rész 1-es számot kapna, ezért a Társaság nem tudja alkalmazni. A tartalmi elhatárolások érdekében a Társaság a html kódolásban általánosan bevett gyakorlat szerinti header és alsóbb szintű (h1-h4) szintű kóddal látta el az egyes fejezetcímeket. A Társaság hozzátette, hogy úgynevezett widget-es megjelenítést alkalmaz, amely az oldalsávban található fejezetcímek kiemelésével törekszik az olvasót a tartalmi elemek elhatárolásában segíteni.\n\n(15) A Társaság rögzítette, hogy nem végez automatikus döntéshozatalt, a szövegezés az általa használt […] rendszer adta sablonszövegként jelent meg. A szövegezés törlésre került.\n\n(16) A Társaság honlapját – a 2024-es adatok alapján - 3 763 794 látogató tekintette meg. A\n\nTársaság előadta, hogy ezt a számot torzítják a honlapot megtekintő robotok. A Társaság szerint a rendelési szám alapján látható, hogy a tényleges vásárlók száma ehhez képest alacsonyabb, mindösszesen 119 380 darab rendelés volt rögzítve a rendszerében.\n\n(17) A Társaság a NAIH-11591-4/2025. sz. nyilatkozatában előadta, hogy 2018.05.25. és a\n\n2025.06.27. között összesen három adatkezelési tájékoztató volt elérhető a Honlapon. A 2018.05.23-tól hatályos verzió 2025 májusáig volt hatályban, amikor a […] rendszerben korábban (2025.03.27-ei hatályú) készült, de addig még közzé nem tett adatkezelési tájékoztatóra cserélte a Társaság az adatkezelési tájékoztatót. Ezt követően a vizsgálat elindulását megelőzően 2025.06.24-es dátummal tett közzé adatkezelési tájékoztatót.\n\n(18) A Társaság a NAIH-11591-4/2025. sz. nyilatkozatához PDF formátumban is mellékelte a\n\n2018.05.23. és a 2025.06.27. között elérhető 3 adatkezelési tájékoztatói másolati példányát. Mellékelte a 2018.05.23-tól hatályos „Adatvédelmi szabályzat” elnevezésű tájékoztatót (a továbbiakban: Szabályzat), a 2025.03.27. elfogadási dátumú „Adatkezelési tájékoztató”\n\n## elnevezésű tájékoztatót (a továbbiakban: Tájékoztató) és a 2025.06.24. elfogadási dátumú\n\n## „Adatkezelési tájékoztató” (a továbbiakban: Adatkezelési tájékoztató) elnevezésű\n\ntájékoztatót.\n\n(19) A Társaság azon kérdésre, hogy adatvédelmi szempontból miben térnek el a 2018.05.23. és\n\n2025.06.27. időszak között elérhető adatkezelési tájékoztatók az alábbi nyilatkozatot tette. A 2018.05.23-i Szabályzat és a 2025.03.27-ei Tájékoztató közötti különbségek:\n\nmás szerkesztési és elrendezési megoldásban jelennek meg az információk a […] rendszerben található dokumentumra áttérés miatt, módosult a cookiek-ról adott információk köre, alapelvek és fogalmak már nem szerepelnek a tájékoztatóban, az egyes adatkezelések csoportosítása eltérően jelenik meg, azonban ezek tartalma nagyrészt átfedésben van, azonban a […] adatkezelési tájékoztató az egyes adatkezeléseket részletesebben lebontja (pl.: külön veszi a megrendelés teljesítése érdekében megvalósuló adatkezelést, a rendelés feldolgozása, számla kiállítása, áruszállításhoz kapcsolódó adatkezelés esetekre), pontosításra került az adatfeldolgozók megjelölése, pontosításra kerültek az érintett jogai.\n\nA 2025.03.27-ei Tájékoztató és a 2025.06.24-ei Adatkezelési tájékoztató közötti különbségek:\n\nérdemi módosítás nincs a két tájékoztató között, az új hatályú tájékoztató oka, hogy a […] rendszerben más dokumentum (vélhetően az ÁSZF) módosítása miatt újra közzétételre és emiatt generálásra került a tájékoztató is (ez a […] rendszer technikai sajátossága és szükségszerűsége, hogy a felhasználó általi módosításkor a dokumentum közzétételét kéri és ilyenkor egyben kezeli az ÁSZF-et és az adatkezelési tájékoztatót is, akkor is új dokumentum generálódik, amennyiben az adott dokumentumban nem történt módosítás). (20) A Társaság álláspontja szerint a remarketingre, az automatizált döntéshozatalra és a hozzájárulás igazolhatóságára vonatkozó adatkezelései esetében a szövegezés és annak a helyzete a […] rendszer részéről származó adottság, arra a Társaságnak nem volt ráhatása. A Társaság kiemelte, hogy a hiányzó szövegrészek (fogyasztói panaszokra kezelésére és a kapcsolatfelvételre vonatkozó) a tényleges felhasználói és vásárlói számhoz képest lényegesen kevesebb érintett esetében relevánsak, mivel nem minden vásárló tölti ki a kapcsolatfelvételi űrlapot és a panaszok számra is csak töredéke a vásárlók számának (a kis értékű termékek esetében tipikusan alacsony a panaszok száma). Ezért az érintetti kör is lényegesen alacsonyabb a felhasználók és vásárlók számához képest. A Társaság szerint az automatikus döntéshozatallal kapcsolatos jogi tájékoztató az értinettek jogait és érdekeit nem sértette, maga a szövegrész hossza sem zavarta meg az olvasót, nem csorbította a tájékoztató átláthatóságát. Ugyanakkor elfogadja, amennyiben nincs ilyen típusú adatkezelés, akkor nincs érdemi relevanciája az ezzel kapcsolatos jogi tájékoztatónak. (21) A Társaság a NAIH-11591-4/2025. sz. nyilatkozatában hangsúlyozta, hogy a Hatóság csak a közigazgatási eljárási jogi előírások szerint vizsgálhatja a Társaság adatkezelési gyakorlatát. A közigazgatási szabályszegések szankcióiról szóló 2017. évi CXXV. törvény (a továbbiakban: Szankciótv.) 5. § (4) bekezdése alapján „Ha törvény vagy eredeti jogalkotói hatáskörben kiadott kormányrendelet eltérően nem rendelkezik, nem alkalmazható közigazgatási szankció, ha az elkövetéstől számított három év eltelt.” A Társaság szerint mivel a Hatóság az Ákr. szerinti hatósági eljárásban jár el, az Infotv. pedig nem tartalmaz az előbb idézett szabálytól eltérő elévülési időt, a Hatóság nem alkalmazhat jogkövetkezményt egy 3 évnél korábbi, esetleges jogsértés esetén sem, ezért a Társaságban felmerült az a kérdés, hogy a Hatóság rendelkezik-e hatáskörrel ezen tájékoztatások vizsgálatára vonatkozóan.\n\n## I.2.2. A Társaság nyilatkozata a Szabályzat kapcsán (NAIH-11591-6/2025.)\n\n(22) A Társaság a Hatóság azon kérdésére, hogy ha a Szabályzat 2018.05.23-tól 2025 májusáig volt érvényben a Honlapon, akkor miért nem vizsgálta felül, a Társaság úgy nyilatkozott, hogy nem azonosított olyan folyamatbeli változást, amely módosítást igényelt volna. A Társaság a hatósági kérés ellenére nem tudta igazolni a Szabályzat Honlapon való elérhetőségét, mivel a Társaság szerint az általa alkalmazott informatikai rendszer nem alkalmaz ilyen szintű naplózást, amely rögzítené az Adatkezelési szabályzat közzétételével kapcsolatos információkat.\n\n(23) A Hatóság az Adatkezelés Szabályzat kapcsán kérte a Társaságtól, hogy indokolja meg egyes adatkezeléseknél miért szerepel egyszerre több jogalap, amelyre válaszul a Társaság előadta, hogy a szövegezésben a GDPR megfelelő cikkelyének behivatkozása nem megfelelő, azonban az olvasó számára nem a cikkelyre hivatkozás hordozza magában az információt, a tájékoztatást, hanem a szöveg, amely egyértelműen és helyesen jelöli meg az adatkezelés jogalapját. Összességében tehát a Társaság álláspontja szerint bár az adatkezelési jogalapok esetében a jogtechnikai megoldások nem voltak helyesek, a lényegi információt tartalmazta a tájékoztató, amely a megfelelő tájékoztatás megtételéhez szükséges. A jogalap szöveges megjelölését ezekben az esetekben a tájékoztató megfelelően tartalmazta, a jogszabályhely pontos megjelölésének hibája pusztán technikai hiba, az nem róható fel a Társaság terhére, az érintett döntési képességét, a rendelkezésére álló információk körét, azok értelmezése képességét ez a hiba nem befolyásolta.\n\n(24) A Társaság azzal kapcsolatban, hogy mit ért az ügyfélkapcsolatra vonatkozó adatkezelés időtartamnál (a követelések esetén a szerződést követő 5 évig tart az adatkezelés) előadta, hogy az ügyfélkapcsolat nem szűnik meg a teljesítéssel, egészen az elévülési idő végéig a megjelölt adatok kezelésére szükség van, hogy adott személyt, adott problémát vagy szerződést azonosítani lehessen. A Társaság szerint a tájékoztató későbbi, de jelen ponthoz tartozó alpontjába az elévülés tartalma és szabályai kellő mélységben bemutatásra kerültek, a vásárló, amennyiben a tájékoztatót végig olvassa, pontosan tudja azonosítani, hogy ezen pont alatt miért 5 évig valósul meg az ügyfélkapcsolati célú adatkezelés.\n\n(25) A Társaság az „Online marketing szolgáltatások” című fejezet meghatározása során úgy ítélte meg, hogy önmagban az Online marketing szolgáltatások elnevezés kellően pontos képet ad az adatkezelésről. Tartalmában az adott pont alatt a közösségi médián megvalósított marketing tevékenységre kívánt utalni. Az „Online marketing szolgáltatások” című fejezet 7. pontjában megjelölt jogalap (a felhasználó hozzájárulása, az Infotv. 5. § (1) bekezdése, 6. cikk (1) bekezdés a/ pont, az elektronikus kereskedelmi szolgáltatások, az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről szóló 2001. évi CVIII. törvény 13/A § (3) bekezdése) kapcsán előadta a Társaság, hogy az időtávlat miatt nem tud pontos tájékoztatást adni, de feltételezhetően adminisztratív hiba okán tartalmazza a korábbi joggyakorlatra, így az Infotv.-re és az elektronikus kereskedelmi törvényre mutató hivatkozást.\n\n(26) A Társaság szerint adminisztratív hiba okán tartalmazhatja a Szabályzat „Cookie-k (Sütik)\n\nkezelése” elnevezésű adatkezelés 6. pontjában az, hogy a cookie-k használatával nem kezelt személyes adatokat a Társaság. Adminisztratív hibára hivatkozik a Társaság arra a hatósági kérdésre is, hogy miért nem nyújtott tájékoztatást a „[…] konverziókövetés használata” és a „[…]” sütik esetén az adatkezelés jogalapjáról és időtartamáról.\n\n(27) Az „[…] nyomonkövetés használata” esetén a Társaság egyszerre jogos érdek jogalapra és hozzájárulás jogalapra hivatkozott, mellyel kapcsolatban a Társaság előadta, hogy a jogos érdekre utalás csak másodlagosan került megjelölésre, a fő adatkezelési jogalap az érintett hozzájárulása, amelyre a Társaság utalni is kívánt a megfogalmazás során (a jogos érdekre mutató szöveg esetében szereplő „is” fordulattal). Az adatkezelés időtartamára az […] szolgáltatásról szóló tájékoztató utolsó mondata tartalmaz információt, amely a cél fennállásáig irányozza elő az adatkezelést. A Társaság szerint a harmadik országba történő adattovábbítás általános megfogalmazása sajnos az […] szolgáltatásáról elérhető szűkös információk miatt volt ilyen formában megfogalmazva az Szabályzatban. A Társaság szerint szabályzat „[…] nyomonkövetés használata” esetén adatfeldolgozás valósult meg.\n\n(28) A Társaság azzal kapcsolatban, hogy mely kivételesesetekben továbbított a Társaság személyes adatokat a „[…] alkalmazása” elnevezésű süti esetében a […] USA-ba lévő szervereire és azt milyen jogalapon tette, úgy nyilatkozott a Társaság, hogy a […] általános megfogalmazásai miatt tudta a Társaság csak bizonytalan módon megfogalmazni az állítását. A Társaság szerint a […] esetében is alapvetően technikai oka lehet a határon átnyúló adatátadásnak. Az adatkezelés jogalapja a cookie cms rendszerben adott hozzájárulás volt.\n\n(29) A „Telefonos hangrögzítés” esetén egyszerre jogos érdek és jogi kötelezettség teljesítéséhez szükséges jogalapokra hivatkozott a Társaság, mellyel kapcsolatban a Társaság előadta, hogy tájékoztató azért utalt a jogszabályi előírásra és a jogos érdekre is, mivel a telefonos hangrögzítésnek a fogyasztóvédelmi törvényben szereplő szabályai előírják bizonyos szolgáltatók esetében a hangrögzítést a telefonos ügyfélszolgálaton. A Társaság azonban nem tartozik ezen kötelezettség alá, így esetében a jogos érdek jogalap biztosítja a megfelelő jogalapot az adatkezelésre. Ezenkívül bár a Szabályzatban szerepelnek az automatizált döntéshozatalra és profilalkotásra vonatkozó részek, ugyanakkor a Társaság nem végzett ilyen adatkezeléseket. A Társaság szerint a jogokról szóló teljes körű tájékoztatás igénye miatt tartalmazta az ide vonatkozó jogokat is a Szabályzat.\n\n(30) A Társaság úgy nyilatkozott, hogy látogatói számokkal kifejezetten csak 2022. január 1-jétől rendelkezik a Társaság, amelyek a következők: 2022: 5 300 000 munkamenet; 2023: 5 300 000 munkamenet; 2024: 3 800 000 munkamenet. A munkamenet azonban a Társaság szerint nem csak valós felhasználó, hanem a robotok által végzett és az adott felhasználóhoz mért többszöri megtekintések is.\n\n(31) A Társaság tényleges megrendeléseinek a száma: 2019: 149.054 db 2020: 135.577 db 2021:\n\n141.997 db 2022: 152.694 db 2023: 159.956 db 2024: 135.234 db. A Társaság hozzátette, hogy a vásárlók között lehetnek azonosságok, valamint ezen számok tartalmazzák a jogi személyek általi megrendelések számát is.\n\n(32) A Szabályzattal és az üggyel kapcsolatban a Társaság előadta, hogy a tájékoztató már lecserélésre került egy modernebb, a frissítések kezelését is megkönnyítő rendszerre. A Társaság kérte a Hatóságot, hogy vegye figyelembe, a Honlapján alapvetően kisértékű termékek érhetőek el, alacsony kosárértékkel. A Társaság szerint az általa megvalósított adatkezelések nem példa nélküliek és kirívóak, a webáruházak működtetése során begyűjtött adatok köre nem túlzó, azok célhoz kötötten és jogszerű célból kerültek felhasználásra. A Társaság szerint valóban lehet pontatlanságot és hiányosságot találni az alkalmazott adatkezelési szabályzatban, azonban ezeknek nincsen arra kihatása, hogy maguk az adatkezelések egy életszerű, elfogadható és jogszerű keretrendszerben valósultak meg.\n\n(33) A Hatóság 2025.11.18-án kelt NAIH-11591-5/2025. sz. végzésében tájékoztatta a Társaságot arról, hogy a bizonyítási eljárás befejeződött és a tényállás tisztázása során feltárt bizonyítékokat az iratbetekintés szabályainak figyelembevételével megismerheti és további bizonyítási indítványokat tehet. A Társaság 2025.12.04. napján a NAIH-11591-6/2025. sz. beadványában nyilatkozatot tett. A Társaság iratbetekintési jogával nem élt.\n\n## I.2.3. Megállapított tényállás\n\n## I.2.3.1. Adatkezelő személye\n\n(34) A Társaság 2010-ben indította el webáruházát, a […], különféle termékek eladására. A\n\nTársaság a Honlapja2 szerint jelenleg egy hatalmas raktárból szolgálja ki vásárlóit, „[…]”. Szintén a Honlap szerint […]. (35) A Társaság önmagát, mint az adatokat kezelő szolgáltatót tünteti fel az adatkezelési tájékoztatóban, és a Hatósághoz küldött válaszaiból is az állapítható meg, hogy a személyes adatok kezelésével összefüggésben az adatkezelés célját és eszközeit a Társaság határozza meg, továbbá a Társaság a Weboldal működtetője, üzemeltetője, ezért a GDPR 4. cikk 7. pontja alapján adatkezelőnek minősül a vizsgált adatkezeléssel összefüggésben.\n\n2 […]\n\n(36) A Hatóság a […] rendszerrel kapcsolatban hangsúlyozza, hogy a rendszer csak a webshopokhoz kapcsolódó általános adatkezelési lehetőségeket kínált. Ezenkívül a Társaság eldönthette, hogy a felsorolt, adatkezelésekre vonatkozó szövegpanelek közül melyiket kapcsolja be, valamint a rendszer által felkínált jogi törzsszövegeken is módosíthatott (lásd jelen határozat 13. pontjában). A Társaság tehát maga dönthette el, hogyan alakítja ki adatkezelési tájékoztatóját, mivel a rendszer nem határozta meg adatkezelésének feltételét és tartalmát (lásd jelen határozat 12. pontjában). A Hatóság kiemeli, hogy nem a Társaság által használt […] rendszer miatt szerepeltek helytelenül a tájékoztatóban az észlelt adatvédelmi problémák, mivel egyrészt a rendszer adatkezelési lehetőségeket kínált fel, az ajánlott szövegezés módosítható volt. Ebből kifolyólag a […] szolgáltatást biztosító cégnek adatkezelői felelőssége nincs. (37) A Társaság nettó árbevétele 2024. üzleti évben […] Ft. A foglalkoztatottak átlagos statisztikai létszáma pedig […] fő volt 2024-ben. (38) A kis- és középvállalkozásokról szóló 2004. évi XXXIV. törvény 3. § (1) bekezdés a) pontja értelmében kisvállalkozásnak az a vállalkozás minősül, amelynek éves nettó árbevétele vagy mérlegfőösszege legfeljebb 10 millió eurónak megfelelő forintösszeg, valamint az alkalmazotti létszáma 50 főnél kevesebb. A Társaság alkalmazotti létszáma a 2024. évben […] fő volt, és az éves nettó árbevétel 1 milliárd forint alatt volt. (39) Mindezek alapján a Társaság – a hatályos jogszabályi feltételeknek megfelelően kisvállalkozásnak minősül.\n\n## I.2.3.2. A Webhelyen közzétett adatkezelési tájékoztatás\n\n(40) A Hatóság a Webhelyen közzétett adatkezelési tájékoztatást értékelte a vizsgált időszak vonatkozásában. A vizsgált időszakban a Társaság 3 adatkezelés tájékoztatót használt a Honlapon:\n\na Szabályzatot, amely 2018.05.23. és 2025 04.30. közötti időszakban volt hatályban; - 2025.03.27-ei hatályú Tájékoztatót (a NAIH-11443-2/2026. számú feljegyzés melléklete, 2025.05.07-ei mentés szerint), amely 2025. májusában került közzétételre a Honlapon; - Az Adatkezelési tájékoztatót, mely a Tájékoztató 2025.06.24-i érdemi változtatást nem eredményező módosítása kisebb, nem adatvédelmi vonatkozású korrekciókkal. (41) Tehát a Hatóság 2020.01.01. és 2025.04.30. között a Szabályzatot, 2025.05.01. és\n\n2025.06.27. között a Tájékoztatót vizsgálta.\n\n## II. Alkalmazott jogszabályi rendelkezések\n\n(42) Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. (43) Az Infotv. 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben meghatározott kiegészítésekkel kell alkalmazni.\n\n(44) Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése.\n\n(45) Az Infotv. 38. § (2a) bekezdése alapján az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja.\n\n(46) Az Infotv. 38. § (3) bekezdés b) pontja értelmében a 38. § (2) és (2a) bekezdés szerinti feladatkörében az e törvényben meghatározottak szerint különösen az érintett kérelmére és hivatalból adatvédelmi hatósági eljárást folytat.\n\n(47) Az Infotv. 60/A. § (1) bekezdése alapján az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap.\n\n(48) Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat.\n\n(49) Az Infotv. 71. § (2) bekezdése alapján: „A Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja.”\n\n(50) Az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.)\n\n99. §-a alapján a hatóság – a hatáskörének keretei között – ellenőrzi a jogszabályban foglalt rendelkezések betartását, valamint a végrehajtható döntésben foglaltak teljesítését.\n\n(51) Az Ákr. 103. § (1) bekezdése alapján a hivatalbóli eljárásokban e törvénynek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az e fejezetben foglalt eltérésekkel kell alkalmazni.\n\n(52) Az általános adatvédelmi rendelet 4. cikk 1. pontja értelmében: „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.”\n\n(53) Az általános adatvédelmi rendelet 4. cikk 2. pontja szerint: „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.”\n\n(54) Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján: „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.”\n\n(55) Az általános adatvédelmi rendelet 12. cikk (1)-(6) bekezdései értelmében:\n\n„(1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (2) Az adatkezelő elősegíti az érintett 15–22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15–22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. (3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15–22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. (4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával (5) A 13. és 14. cikk szerinti információkat és a 15–22. és 34. cikk szerinti tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az adatkezelő, figyelemmel a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségekre: a) észszerű összegű díjat számíthat fel, vagy b) megtagadhatja a kérelem alapján történő intézkedést. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli. (6) A 11. cikk sérelme nélkül, ha az adatkezelőnek megalapozott kétségei vannak a 15–21. cikk szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti.” (56) Az általános adatvédelmi rendelet 13. cikke szerint: „(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:\n\na) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás.\n\n(2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. (3) Ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról. (4) Az (1), (2) és (3) bekezdés nem alkalmazandó, ha és amilyen mértékben az érintett már rendelkezik az információkkal.” (57) Az általános adatvédelmi rendelet 58. cikk (2) bekezdése alapján: „A felügyeleti hatóság korrekciós hatáskörében eljárva:\n\na) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.”\n\n(58) Az általános adatvédelmi rendelet 83. cikk (2) és (5) bekezdése szerint: „[…]\n\n(2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket: a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. […] (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12–22. cikknek megfelelően; c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44–49. cikknek megfelelően; d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása. […]”\n\n## III. Döntés\n\n## III.1. A megfelelő adatkezelési tájékoztatás követelménye\n\n(59) Az érintett számára biztosítani kell annak lehetőségét, hogy követni és ellenőrizni tudja az adatkezelés útját és körülményeit. A GDPR, azaz az általános adatvédelmi rendelet ezt több módon is biztosítja, és szabályozza a tájékoztatáshoz való jogot. E jogosultságok teszik lehetővé az adatalanyok számára azt, hogy az adatkezelést már annak megkezdése előtt áttekinthessék, illetve, hogy ténylegesen is ellenőrizhessék azt annak teljes tartalma alatt, valamint, hogy esetleges további jogaikat gyakorolhassák vagy jogorvoslatot vegyenek igénybe. (60) A megfelelő tájékoztatás rendszere az általános adatvédelmi rendeletben azt szolgálja, hogy az érintett tudatában lehessen annak, hogy mely személyes adatait, mely adatkezelő és mely célból, mely jogalappal, meddig fogja kezelni. Ez elengedhetetlen ahhoz, hogy olyan helyzetben legyen, hogy érintetti jogait érdemben gyakorolni tudja. (61) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerint adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa. A hiányos, vagy nem egyértelmű tájékoztatás – különösen, de nem kizárólag a cél és jogalap tekintetében közvetlenül befolyásolhatja az érintetti jogok érvényesíthetőségét. (62) A tájékoztatásra vonatkozó követelményekről, annak tartalmáról és konkrét szabályairól az általános adatvédelmi rendelet 13. és 14. cikke rendelkezik, két szempont szerint. Egyrészt a 13. cikk azon tájékoztatást szabályozza, amikor a személyes adatokat az érintettől gyűjtik az adatkezelők, másrészt a 14. cikk azon szabályokat tartalmazza, amikor a személyes adatokat nem az érintettől szerezték meg az adatkezelők. (63) A webáruházak adatkezelése vonatkozásában, minthogy a személyes adatokat az érintettektől gyűjtik, a tájékoztatás kötelezettségének központi eleme az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdése, amely felsorolja azokat az alapvető adatkezelési körülményeket, amelyekről az adatkezelőnek tájékoztatást kell nyújtania. (64) Az előzetes tájékoztatás körében az adatkezelőnek arra kell törekednie, hogy az érintettek minél teljesebb és pontosabb képet kapjanak személyes adataik kezeléséről, mivel kizárólag így van lehetősége felmérni azt, hogy egy adott adatkezelés milyen hatással van rájuk. Az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdései azt tartalmazzák, hogy az adatkezelőknek minimálisan mely adatkezelési körülményekről kell tájékoztatniuk az érintetteket, ez azonban nem jelenti korlátját annak, hogy az adatkezelő ennél részletesebb tájékoztatást adjon.\n\n## III.2. A Szabályzat adatvédelmi követelményeknek való megfelelése\n\n(65) A Szabályzat az alábbi struktúrát követi:\n\n- Bevezetés - Fogalmi meghatározások - A személyes adatok kezelésére vonatkozó elvek - Regisztráció - Webáruház működtetéséhez kapcsolódó adatkezelés - Visszahívás kérése - Kapcsolatfelvétel (Nem találod, amit keresel?) - Ügyfélkapcsolat - Az igénybe vett adatfeldolgozók - Cookie-k (sütik) kezelése - […] konverziókövetés használata - […] nyomkövetés használata\n\n- […] Alkalmazása - Bankártyás fizetés-Simplepay - […] - Hírlevél, DM tevékenység - Panaszkezelés - Telefonos hangrögzítés - Közösségi oldalak - Ügyfélkapcsolat és egyéb adatkezelések - Az érintettek jogai - Intézkedési határidő - Az érintett tájékoztatása az adatvédelmi incidensről - Adatvédelmi incidens bejelentése a hatóságnak - Panasztételi lehetőség - Zárszó (66) A Társaság a fentiekről részben megfelelő tájékoztatást adott a vásárlóknak, érdeklődőknek, azonban több tekintetben nem volt helytálló, nem elfogadható a tájékoztatás az alábbiak szerint: (67) A Társaság egyes adatkezelések esetében párhuzamosan több jogalapot jelölt meg:\n\n• a regisztrációra vonatkozó adatkezelésnél a Társaság hivatkozott az érintetti hozzájárulásra és a szerződéses jogalapra (Szabályzat 4. oldal 7. pont); • a „Webáruház működtetéséhez kapcsolódó adatkezelés” esetén a Társaság hivatkozott a GDPR 6. cikk (1) bekezdés b) és c) pontra, valamint az elektronikus kereskedelemi szolgáltatások, valamint az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről szóló 2001. évi CVIII. törvény 13/A. § (3) bekezdésére (Szabályzat 5. oldal 7.1. pont, 6. oldal 7.2. és7.3. pont); • a kapcsolatfelvételre vonatkozó adatkezelésnél GDPR 6. cikk (1) bekezdés a) és b) pontra (Szabályzat 8. oldal); • ügyfélkapcsolatra vonatkozó adatkezelésnél GDPR 6. cikk (1) bekezdés b) és c) pontra (Szabályzat 9. oldal); • hírlevélküldésre vonatkozó adatkezelésnél GDPR 6. cikk (1) bekezdés a) és f) pontra (Szabályzat 24. oldal 12. pont); • telefonos hangrögzítésre vonatkozó adatkezelésnél GDPR 6. cikk (1) bekezdés c) és f) pontra (Szabályzat 26. oldal 9.1. pont) • „[…] nyomkövetés használata” című fejezetben (Szabályzat 22. oldal) a Társaság egyszerre jogos érdek jogalapra és hozzájárulás jogalapra hivatkozott. (68) A Szabályzatban a „Webáruház működtetéséhez kapcsolódó adatkezelés”, az „Ügyfélkapcsolat” és a „Telefonos hangrögzítés” adatkezelések kapcsán megjelölt több jogalap közül a GDPR 6. cikk (1) bekezdés c) pontjaként a Társaság a Polgári Törvénykönyvről szóló 2013. évi V. törvény 6:22. § szerinti elévülési szabályokat jelölte meg. A polgári jog elévülés és a követelés érvényesítése hivatkozás nem fogadható el jogi kötelezettség teljesítése jogalapként. Amennyiben a Társaság a GDPR 6. cikk (1) bekezdés c) pontjára alapítja az adatkezelést, úgy köteles a konkrét, alkalmazandó jogszabályi rendelkezést pontosan megjelölni, és nem hivatkozhat általánosságban a polgári jog elévülési szabályaira. (69) A Társaság az adatkezelései céljairól hasonló módon adott tájékoztatást: egy-egy adatkezelés vonatkozásában egymástól eltérő célokat tüntetett fel. A „Webáruház működtetéséhez kapcsolódó adatkezelés” (Szabályzat 4. és 5. oldalán) esetén megjelölt célok (kapcsolatfelvétel, számlakiállítás, szerződés létrehozása, házhoz szállítás lehetővé tétele, megrendelés és szállítással kapcsolatos információk kezelése) nem mindegyike vonatkozott az említett adatkezelési tevékenységre, azok más adatkezelési műveletekhez kapcsolódtak. Ahogyan az ügyfélkapcsolatra vonatkozó adatkezelésnél (Szabályzat 8. oldal) is eltérő célok szerepeltek (kapcsolattartás, azonosítás, szerződések teljesítése, üzleti cél). Továbbá a megjelölt adatkezelési célok és a társított jogalapok – pl. GDPR 6. cikk (1) bekezdés b) és c) pont - értelmezhetetlen kapcsolatban állnak egymással, mivel a kapcsolattartás, azonosítás vagy üzleti érdekek nem illeszkednek a GDPR 6. cikk (1) bekezdés c) pontjához. A Hatóság rögzíti, hogy a „Webáruház működtetéséhez kapcsolódó adatkezelés” megnevezés annyira általános megnevezés, amely alá a Társaság valamennyi adatkezelése is beletartozhat, és ezáltal nincs megfelelő, világos tájékoztatás a specifikus, részletes adatkezelési célokról. (70) A Hatóság rámutat arra, hogy az általános adatvédelmi rendelet szerint minden egyes adatkezelést konkrét, meghatározott célhoz kell kötni, és ahhoz egyértelműen azonosítható jogalapot kell rendelni. Nem felel meg a rendeletnek, ha ugyanolyan adatkezelési tevékenység mellé rendelt ugyanazon adatkezelési célra párhuzamosan több jogalapot jelöl meg az adatkezelő. Amennyiben a Társaság az érintettek adatait egymástól eltérő célok érdekében kívánja felhasználni, úgy elsődlegesen az egyes adatkezelési célokat szükséges meghatároznia, és minden egyes adatkezelést az adott célhoz igazodva kell megjelölnie, valamint mindegyik adatkezelésnél külön-külön meg kell jelölnie a megfelelő jogalapot. (71) A Társaság továbbá egyáltalán nem nyújtott információt a […] konverziókövetés használata és a […] sütik esetén az adatkezelés jogalapjáról (Szabályzat 20.,21. és 23. oldal). (72) A Hatóság megállapította, hogy a Társaság a Szabályzatban a regisztrációra, webáruház működésére, kapcsolatfelvételre, ügyfélkapcsolatra, hírlevélküldésre, telefonos hangrögzítésre és […] nyomkövető sütire vonatkozó adatkezelések jogalapjai kapcsán, illetve webáruház működés és az ügyfélkapcsolat adatkezelések céljai kapcsán nem nyújtott egyértelmű tájékoztatást. A Társaság továbbá egyáltalán nem nyújtott tájékoztatást a fenti bekezdésben meghatározott sütik jogalapja kapcsán.\n\n## Emiatt a Társaság megsértette az általános adatvédelmi rendelet 13. cikk (1) bekezdés\n\nc) és pontját.\n\n(73) Továbbá a Hatóság megállapította, hogy a Szabályzat 4. oldalán feltüntetett „Webáruház működtetéséhez kapcsolódó adatkezelés” megnevezés olyan általános és nem kellően specifikus célmegjelölés, amely nem biztosítja a GDPR 12. cikk szerinti követelményt, miszerint a tájékoztatást világosan, átláthatóan és közérthetően kell megadni (74) Emellett a Szabályzat „Visszahívás kérése” (Szabályzat 7. oldal) és a „Telefonos\n\nHangrögzítés” adatkezelés tevékenységeknél (Szabályzat 26. oldal) a Társaság a jogos érdek jogalapot jelölte meg, anélkül azonban, hogy a jogos érdekét megjelölte/kifejtette volna. Ennek hiányában az érintett számára nem egyértelmű, hogy az adatkezelés során miért élvez elsőbbséget a Társaság jogos érdeke az érintett érdekeivel szemben. Emiatt a Társaság megsértette az általános adatvédelmi rendelet 13. cikk (1) bekezdés d) pontját.\n\n(75) A Társaság több ponton nem egyértelműen tüntette fel vagy nem tüntette fel az adatkezelés időtartamára vonatkozó információt. A „Webáruház működtetéshez kapcsolódó adatkezelés” című fejezetben ellentmondó adatkezelési időtartamot jelölt meg, a „Közösségi oldalak” című fejezetben, az […] nyomkövető, […] konverziókövető és a […] sütik esetén nem adott információt, valamint az ügyfélkapcsolatra és a telefonos hangrögzítésre vonatkozó adatkezeléseknél nem nyújtott megfelelő információt a Társaság az adatkezelés időtartamáról.\n\n(76) A „Webáruház működtetéshez kapcsolódó adatkezelés” című fejezetben egymásnak ellentmondó adatkezelési időtartamot tüntetett fel a Társaság. Míg a Szabályzat 5. oldal 3. pontjánál az adatkezelési időtartam a számvitelről szóló 2000. évi C. törvény 169. § (2) bekezdés szerinti 8 év, addig a Szabályzat 6. oldal 7.4. pontjánál a Társaság a Polgári Törvénykönyvről szóló 2013. évi V. törvény 6:21. §-a szerinti 5 év szerepel. Az egymásnak ellentmondó időtartamok alkalmazása miatt az adatkezelés időtartama nem került egyértelműen meghatározásra. A Társaság a „Közösségi oldalak” (Szabályzat 27. oldal 4. pont) adatkezelés időtartamaként úgy fogalmaz, hogy mivel az adatkezelés a közösségi oldalakon valósul meg, így az adatkezelés időtartamára az adott közösségi oldal szabályozása vonatkozik. Az […] nyomkövető süti esetében (Szabályzat 22. oldal) pedig a szolgáltató adatkezelési tájékoztatójára hivatkozik. A Hatóság rögzíti, hogy az általános adatvédelmi rendelet alapján az adatkezelő köteles egyértelműen és közérthetően tájékoztatni az érintettet az adatkezelés időtartamáról vagy meghatározásának szempontjairól. A Hatóság szerint a Társaság azáltal, hogy az adatkezelés időtartamát más adatkezelő tájékoztatójára való hivatkozással határozza meg, nem biztosít közvetlen és világos információt az érintett számára és nem tesz eleget tájékoztatási kötelezettségének. A Társaság tovább egyáltalán nem nyújtott információt a […] konverziókövetés használata és a […] sütik esetén az adatkezelés időtartamáról (Szabályzat 20., 21. és 23. oldal). (77) Az ügyfélkapcsolatra vonatkozó adatkezelés kapcsán a Társaság a GDPR 6. cikk (1)\n\nbekezdés b) és c) pontjára (Szabályzat 9. oldal) is hivatkozott, az adatkezelés időtartamaként pedig az adatkezelő és az érintett közötti jogviszony megszűnéséig, illetve követelések esetén a szerződést követő 5 évig tartó időszakot jelölte meg. Tekintettel azonban arra, hogy a Társaság az adatkezelés jogalapjaként a GDPR 6. cikk (1) bekezdés c) pontját is megjelölte, a feltüntetett adatkezelési időtartam ilyen formában nem tekinthető megfelelőnek, mivel jogi kötelezettségen alapuló adatkezelés esetén a megőrzési időt minden esetben a vonatkozó jogszabályi előírásokhoz kell igazítani, és azt ennek megfelelően egyértelműen szükséges meghatározni. A Társaság a telefonos hangrögzítésre vonatkozó adatkezelése kapcsán sem tüntette fel megfelelően az adatkezelés időtartamát, mivel a Szabályzat szerint az adatkezelés jogalapja GDPR 6. cikk (1) bekezdés c) és f) pont (Szabályzat 26. oldal 9.1. pont), míg az adatkezelés időtartamára vonatkozó szempont ugyanaz, mint az ügyfélkapcsolat adatkezelésnél. Ha a Társaság adatkezelése jogi kötelezettségen vagy jogos érdekén alapul, akkor nem megfelelő az a megőrzési idő, amely a jogviszony megszűnéséig, illetve követelések esetén 5 évig tart, mivel ahogyan az ügyfélkapcsolatra vonatkozó adatkezelésnél is megállapította a Hatóság, jogi kötelezettség esetén az adatkezelés időtartamát a vonatkozó jogszabályi előírásokhoz kell igazítani, míg jogos érdek esetén az adatkezelés kizárólag addig tarthat, ameddig az adatkezelő jogos érdeke fennáll.\n\n## (78) A fentiek alapján megállapítható, hogy a Társaság nem adott megfelelő, pontos tájékoztatást az egyes adatkezeléseinek időtartamáról, ezért a Társaság megsértette\n\naz általános adatvédelmi rendelet 13. cikk (2) bekezdés a) pontját.\n\n(79) A Szabályzat 22. oldalán „A […] alkalmazása” című fejezet 3. pontjában a Társaság rögzítette, hogy – bár korlátozott körben – a teljes IP-cím továbbításra kerül a […] USA szerverére. Tekintettel arra, hogy a Társaság személyes adatokat az Európai Unió, illetve az Európai Gazdasági Térség területén kívülre továbbított, köteles lett volna részletesebb tájékoztatást adni az adattovábbítás jogszerűségét biztosító garanciákról. Ennek keretében ismertetnie kellett volna, hogy az adattovábbítás milyen megfelelő garanciák (például szerződéses vagy egyéb jogi biztosítékok) mellett valósult meg, továbbá azt is, hogy az érintettek ezen garanciák másolatát milyen módon és milyen elérhetőségen keresztül kérhetik vagy érhetik el. Ezért a Társaság megsértette az általános adatvédelmi rendelet 13. cikk (1) bekezdés f) pontját. (80) A Szabályzat áttekinthetőségét jelentősen rontja, hogy az egyes címek alatt a bekezdések számozása minden alkalommal újraindult az első ponttól, továbbá az oldalszámozás hiánya miatt a dokumentum szerkezete nehezen követhető és áttekinthetetlen. A Szabályzat az érintettek tájékoztatása szempontjából nem szükséges információkat is tartalmazott, amelyek rontották a dokumentum áttekinthetőségét és közérthetőségét. A bevezető részben a Társaság részletesen ismertette, miért nem jelölt ki adatvédelmi tisztviselőt, bemutatta a GDPR több alapfogalmát, az adatkezelési elveket, a 30. oldalon az adatkezelés biztonságát, valamint a 30. és 31. oldalon a Társaság tájékoztatta az érintettet az adatvédelmi incidensről és az adatkezelői kötelezettségről. E rendelkezések ugyan az adatkezelő működésére vonatkozó általános követelményeket mutatták be, azonban nem az érintettek személyes adatainak konkrét kezeléséről nyújtottak tájékoztatást, így a GDPR 13. cikke szerinti adatkezelési tájékoztatás szempontjából nem voltak relevánsak, és csupán a törvényi rendelkezések megismétlései voltak. (81) A Szabályzat „Az érintett jogai” részében (Szabályzat 29. oldal) ismertetésre került az automatizált döntéshozatallal szembeni érintetti jogosultság, továbbá a profilalkotással szembeni tiltakozáshoz való érintetti jogosultság. A Társaság elismerte, hogy nem végez ilyen adatkezelést, csak a teljes körű tájékoztatás igénye miatt tartalmazta az ide vonatkozó jogokat is a Szabályzat. A Társaság adattovábbításra (Szabályzat 20. és 21.oldalak) is hivatkozik az […] nyomkövetés esetén és a […] esetén (Adatkezelési szabályzat 22. oldal). Azonban a Társaság később úgy magyarázza, hogy a szolgáltatóktól ([…] és a […]) elérhető szűkös információk miatt volt ez ilyen formában megfogalmazva a Szabályzatban, ugyanis valójában adatfeldolgozás valósult meg a két süti esetén. Emellett a Szabályzat 26. oldalán a telefonos hangrögzítésre vonatkozó adatkezelésnél a Társaság ismertette, hogy a felvételek meghallgatására csak személyesen kerülhet sor, később pedig az adatkezelésnél feltünteti az érintett adathordozhatóságához való jogát. A két megállapítás azonban egymásnak ellentmondó, mivel a kizárólag személyes meghallgatás lehetősége korlátozza az adatok más formában történő kiadását, míg az adathordozhatósághoz való jog éppen azt biztosítja, hogy az érintett a felvételeket elektronikus, hordozható formában is megkaphassa.\n\nA Hatóság állápontja szerint mellőzni kell a tájékoztatásban minden olyan információt, amely a valóságnak nem felel meg, vagy amely nem a valóságnak megfelelő helyzetre vonatkozik. A ténylegesen nem folytatott adatkezelési műveletekről, az adott adatkezelés vonatkozásában nem alkalmazható érintetti jogokról adott tájékoztatás szükségtelen és félrevezető, az ilyen információk ugyanis az érintettek megtévesztéséhez vezethetnek. Tehát a Tájékoztatóban az automatizált döntéshozatal, profilalkotás, a […] és az […] nyomkövető sütik esetén az adattovábbítás feltüntetése nem volt indokolt, mivel a Weboldalon nem történt ilyen adatkezelés, ezért a tájékoztatás e vonatkozásban helytelen volt. (82) A Szabályzat valamennyi adatkezelésnél ismétlődő, az érintettek szempontjából indokolatlan részleteket is tartalmazott. Az adatkezeléseknél a Társaság feltüntette, hogy az adatkezelő mely munkatársa ismerhette meg az adatokat (például a Szabályzat 4. oldalán „Webáruház működtetéséhez kapcsolódó adatkezelés” 4. pontja), hol gyakorolhatók az érintetti jogok (például a Szabályzat 4. oldalán „Webáruház működtetéséhez kapcsolódó adatkezelés” 6. pontja). A Szabályzat több helyen ismétléseket is tartalmazott, például az adatkezelő elérhetősége a Szabályzat 1. oldalán és „Webáruház működtetéshez kapcsolódó adatkezelés” című fejezet 6. pontjában is feltüntetésre került, a Társaság által alkalmazott jogszabályként az általános adatvédelmi rendelet szerepelt a Szabályzat 1. és 32. oldalán. Az ilyen ismétlések és az érintettek számára nem releváns információk a tájékoztató terjedelmét indokolatlanul növelték, ezáltal csökkentették annak áttekinthetőségét. (83) A Szabályzatban továbbá „Az igénybe vett adatfeldolgozók” című fejezetben több mint 10 oldalon keresztül ismertette (Szabályzat 7. oldalától a 19. oldallal bezárólag) a Társaság valamennyi adatfeldolgozójának tevékenységét az alábbiak szerint:\n\n- Adatfeldolgozó által ellátott tevékenység - Adatfeldolgozó megnevezése és elérhetősége - Az adatkezelés ténye, a kezelt személyes adatok köre - Az érintettek köre - Az adatkezelés időtartama, az adatok törlésének határideje - Az adatfeldolgozás jogalapja - Az érintettek jogai (84) A Hatóság rögzíti, hogy a Társaság az „Az igénybe vett adatfeldolgozók” című fejezetben nemcsak az adatfeldolgozók nevét, elérhetőségét és adatfeldolgozási tevékenységét tüntette fel, hanem olyan információkat is, amelyek nem az adatfeldolgozókra, hanem az adatkezelő saját adatkezelési tevékenységére vonatkoznak (például jogalapok felsorolása). Emiatt nem egyértelmű, hogy az adott leírás az adatfeldolgozók szerepét vagy a Társaság adatkezelési gyakorlatát ismerteti. Olyan információk is szerepelnek ebben a fejezetben, mint az adatkezelés ténye, a kezelt személyes adatok köre vagy az adatkezelés időtartama, mivel ezek az adatkezelői tevékenységhez kapcsolódnak, és adatfeldolgozói kontextusban nem értelmezhetők, ezért ezek feltüntetése téves. Ugyanakkor a leírt információk alapján több esetben kétséges, hogy az adatfeldolgozóként megjelölt szereplők valóban adatfeldolgozónak tekintendőek-e vagy pedig adatkezelőknek. A Hatóság szerint az érintetti jogok ismertetése ebben a részben szintén hibás, mivel az érintettek jogaikat nem az adatfeldolgozóval, hanem az adatkezelővel, azaz a Társasággal szemben gyakorolhatják. Az érintetti jogok adatfeldolgozókhoz kapcsolása félrevezető és alkalmas arra, hogy az érintettek ne a megfelelő címzetthez forduljanak kérelmeikkel. (85) A Hatóság rögzíti továbbá, hogy a Társaság tévesen fogalmazott, amikor azt állította a „Cookie-k (sütik) kezelése” fejezetben (Szabályzat 20. oldal), hogy „[…]”. Ezzel szemben a Társaság az adatkezelés céljaként maga is megjelölte a felhasználók azonosítását, a „bevásárlókosár” nyilvántartását és a látogatók nyomon követését (Szabályzat 19. oldal). A GDPR 4. cikk 1. pontja alapján személyes adat az azonosított vagy azonosítható természetes személyre vonatkozó bármely információ. A cookie-kban tárolt egyedi azonosító számsorok lehetővé teszik a felhasználók megkülönböztetését, azonosítását és tevékenységük nyomon követését - ahogyan a Társaság az adatkezelés céljaként meg is jelölte - ezáltal személyes adatnak minősülnek. Az ugyanezen fejezetében található, sütikre vonatkozó táblázatból (Szabályzat 19. és 20. oldalai) nem állapítható meg egyértelműen, hogy az ügyfél a cookie-k alkalmazása során milyen adatokat, ezen belül milyen személyes adatokat gyűjt, például a „Webáruház statisztika (anonimizált)” megjelölés esetében nem derül ki pontosan, hogy az mit takar, és milyen személyes adatok tartoznak alá. A fejezetet követő „[…] konverziókövetés használata”, „[…] nyomkövetés használata”, „A […] alkalmazása”, ”[…]” című fejezetekben (Szabályzat 20-23 oldalai) nem derül ki továbbá, hogy a felsorolt alkalmazások szolgáltatói a Társaság adatkezelése során pontosan milyen szerepet töltöttek be, azaz címzettként, adatkezelőként vagy adatfeldolgozóként vettek részt az adatkezelésben. (86) A Társaság az érintetti jogok között feltüntette az automatizált döntéshozatallal és a profilalkotással kapcsolatos jogot (Szabályzat 29. oldalán), ugyanakkor a tájékoztatóban felsorolt adatkezelési tevékenységek egyike sem utalt ilyen jellegű adatkezelés alkalmazására. A jogosultságok ilyen módon történő, jogalaphoz nem igazodó feltüntetése tovább növelte a tájékoztatás pontatlanságát. Az érintetti jogokat továbbá nemcsak adatkezelésenként, hanem külön fejezetben is szabályozta a Társaság (Szabályzat 28. és 29. oldal „Az érintetti jogok” című fejezet). A közzétett információk nem tették átláthatóvá, hogy az egyes jogok a Társaság konkrét adatkezelési műveleteihez miként kapcsolódnak, így az erre vonatkozó fejezet az érintett számára nem tette lehetővé jogaik tényleges, érdemi és kiszámítható gyakorlását.\n\n(87) A Társaság több esetben nem nevezte meg a GDPR-t, hanem csak a „cikk” szót használta, amiből csak következtetni lehetett, hogy a GDPR-ra utal a szöveg. Például a Szabályzat 18. oldalán a következő szerepelt: „ […] (…)” . A GDPR megjelölése nélkül azonban az érintett számára nem egyértelmű, hogy az általános adatvédelmi rendelet 6. cikkéről van szó és nem az Infotv-ről. A Szabályzatban a „felhasználó” kifejezés több helyen eltérő (kis- és nagybetűs) formában szerepel, azonban a Társaság nem határozta meg ezek jelentését, illetve nem tisztázta, hogy pontosan mely személyi kört ért a „felhasználó” megjelölés alatt. (88) A Hatóság jogsértés megállapítása nélkül megjegyzi, hogy a Szabályzatban a Társaság a\n\nHatóság régi székhelyét, illetve levelezési címét tüntette fel (Szabályzat 29. oldal)\n\n## (89) A fentiek alapján megállapítható, hogy a Társaság nem biztosította az érintettek\n\nszámára a személyes adatok kezelésére vonatkozó, megfelelően tömör, pontos, világos, átlátható és közérthető tájékoztatást, ezzel megsértette a GDPR 12. cikk (1)\n\nbekezdésében foglalt követelményeket.\n\n## III.3. A Tájékoztató adatvédelmi követelményeknek való megfelelése\n\n(90) A Tájékoztató az alábbi struktúrát követi:\n\n- Az adatkezelő neve, elérhetősége - A tárhelyszolgáltató neve, elérhetősége - A webáruház üzemeltetése során végzett adatkezelések leírása - A cookie-k használatával kapcsolatos tájékoztatás - A szerződéskötés és teljesítés érdekében kezelt adatok - Regisztráció a weboldalon - A rendelés feldolgozása - A számla kiállítása - Az áruszállítással kapcsolatos adatkezelés - A hozzájárulás igazolhatóságával kapcsolatban kezelt adatok - Marketing célú adatkezelések - A hírlevél-küldéssel kapcsolatos adatkezelés - Remarketing - További adatkezelés - A személyes adatok címzettjei - A személyes adatok tárolására irányuló adatfeldolgozás - Hírlevélküldéssel összefüggő adatfeldolgozói tevékenység - Könyveléssel kapcsolatos adatkezelés - Számlázással kapcsolatos adatfeldolgozás - CRM rendszer üzemeltetésével kapcsolatos adatfeldolgozás - Az adatkezelések során Önt megillető jogok - Adatvédelmi nyilvántartásba történő bejelentkezés - Adatbiztonsági intézkedések - Jogorvoslati lehetőségek - Adatkezelési tájékoztató módosítása - Postán maradó és postapontos kézbesítés (91) A Társaság a fentiekről nagyrészt megfelelő tájékoztatást adott a vásárlóknak, érdeklődőknek, azonban több tekintetben nem volt helytálló, nem elfogadható a tájékoztatás az alábbiak szerint: (92) A Társaság több ponton nem megfelelően határozta meg vagy nem egyértelműen tüntette fel az adatkezelés időtartamát. A „Remarketing” és a „A cookie-k használatával kapcsolatos tájékoztatás” részeknél a „[…] cookie”, a „[…] cookie” és a „[…] ([…] cookie)” elnevezésű sütiknél egyáltalán nem adott információt az adatkezelés időtartamáról, a hozzájárulás igazolhatóságára vonatkozó résznél az időtartam meghatározásának szempontja nem volt érthető az alábbiak miatt:\n\n(93) A Tájékoztató a cookie adatkezelésről két bekezdésben is nyújt tájékoztatást: „Remarketing”\n\nadatkezelésnél (Tájékoztató 6. oldal), valamint a Tájékoztató „A cookie-k használatával kapcsolatos tájékoztatás” bekezdés (Tájékoztató 1-3 oldalakon). A Társaság „A cookie-k használatával kapcsolatos tájékoztatás” bekezdésnél a Weboldalán elérhető cookie működését és több esetben azok időtartamát is feltünteti (Tájékoztató 1-3 oldalakon). Azonban a Társaság a „[…] cookie”, a „[…] cookie” és a „[…] ([…] cookie)” elnevezésű sütiknél a Tájékoztató egyik bekezdésében sem tünteti fel az időtartamot, hanem a […] általános cookie tájékoztatóra, […] tájékoztatóra és a […] adatkezelés szabályzatára hivatkozik (lásd a Tájékoztató a 2., 3. és a 6. oldalakon). Visszautalva jelen határozat 76. bekezdésére a Hatóság ismételten rögzíti, hogy az általános adatvédelmi rendelet alapján az adatkezelő köteles egyértelműen és közérthetően tájékoztatni az érintettet az adatkezelés időtartamáról vagy annak meghatározásának szempontjairól. A Hatóság szerint a Társaság azáltal, hogy az adatkezelés időtartamát más adatkezelő tájékoztatójára való hivatkozással határozza meg, nem biztosít közvetlen és világos információt az érintett számára és nem tesz eleget tájékoztatási kötelezettségének. (94) A Tájékoztató „Hozzájárulás igazolhatóságával kapcsolatban kezelt adatok” esetén az érintetti hozzájárulásos adatkezeléseknél (például regisztráció, hírlevélre történő feliratkozás) a későbbi bizonyíthatóság érdekében a Társaság eltárolja az érintett hozzájárulását. Az adatkezelés időtartamáról a következő szövegezés szerepel: „[…].” (Tájékoztató 5. oldal). A Társaság a nyilatkozata szerint az általános polgári jogi öt éves elévülési időre kívánt hivatkozni (lásd jelen határozat 12. bekezdésében), azonban ez az öt éves idő nem derül ki a Tájékoztatóból, így azon érintettek számára, akik nincsenek tisztában az általános elévülési idővel, nem egyértelmű, meddig kezeli a személyes adatait a Társaság. Továbbá a Társaság ezen tájékoztatása azért is helytelen, mert hozzájárulás jogalap esetén addig kell a jogalap fennálltát igazolni tudni, amíg az adott adatkezelési célból az adatkezelés folyamatban van. Amennyiben a cél illetve az adatkezelés megszűnik, vagy a hozzájárulás visszavonásra kerül, akkor pedig a korábbi hozzájárulás meglétének igazolhatósága érdekében a hozzájárulás megőrzéséhez másik jogalapot szükséges biztosítani, mely jellemzően a jogos érdek. A jogos érdek mérlegelésébe beletartozik a megőrzési időtartam mérlegelése is. A megőrzési időtartam, illetve ennek szempontjai mérlegelésénél, továbbá az erről adandó tájékoztatásban a polgári jogi elévülési időnek semmi szerepe sincs, és helytelen olyan jogi fogalomra – elévülés – való hivatkozás, mely nem releváns.\n\n## (95) A fentiek alapján megállapítható, hogy a vizsgált időszakban a Társaság nem adott\n\nmegfelelő, pontos tájékoztatást az érintetteknek egyes adatkezeléseinek időtartamáról, ezért a Társaság megsértette az általános adatvédelmi rendelet 13. cikk (2) bekezdés a) pontját. (96) A Tájékoztató 4. oldalán található „A számla kiállítása” című rész szerint a Társaság 8 évig kezel olyan személyes adatot jogi kötelezettség teljesítése jogalapon, ami nem a számla tartalmi eleme (email-cím, telefonszám), tehát ezen jogalapot tévesen olyan adatok tekintetében is feltünteti, amelyek esetében az a vonatkozó jogi szabályozás hiányában nem releváns. (97) A Tájékoztató továbbá számozás vagy egyéb szakaszmegjelölés nélküli szöveg, ezért emiatt nem teljesen egyértelmű, hogy melyek a fejezetcímek és melyek az alcímek, és ezek elkülönítését a címek betűnagysága és vastagítása sem segíti (jelen határozat 90. bekezdésének felsorolása ezért nem feltétlenül pontos). A Tájékoztató ezért nem könnyen áttekinthető, és nem egyszerű megtalálni benne egyes információkat.\n\n(98) A Tájékoztató szerkezete, összeállítása nem logikus, nem átgondolt, hanem rendezetlen, következetlen. Például a Tájékoztató elején szerepel a tárhelyszolgáltató ismertetése (Tájékoztató 1. oldal), holott ennek az érintettek szempontjából nincs igazán jelentősége, és ráadásul ugyanezen cég adatai adatfeldolgozóként is ismertetve vannak a Tájékoztató 6. és 7. oldalain. Ez után nem sokkal, szintén a Tájékoztató elején (Tájékoztató 1-3. oldal) kerül hosszasan kifejtésre a cookiek-kal kapcsolatos tájékoztatás, ugyanakkor a „Remarketing” című rész is utal a cookie-k használatára (Tájékoztató 6. oldal). Szintén az átgondolatlanságot, áttekinthetetlenséget mutatja, hogy „A személyes adatok címzettjei” cím mögött nincs tartalom (Tájékoztató 6. oldal), vagy például a „További adatkezelések” cím után lévő egy mondat egy feltételes adatkezelésről szól, miszerint ha az adatkezelő további adatkezelést fog végezni, akkor majd tájékoztatást fog nyújtani annak körülményeiről (Tájékoztató 6. oldal), tehát ez a megfogalmazás lényegtelen, felesleges és nem nyújt érdemi információt.\n\n(99) A Tájékoztató „Az adatkezelés során Önt megillető jogok” részében (Tájékoztató 7. oldal)\n\nismertetésre került az automatizált döntéshozatallal szembeni érintetti jogosultság, továbbá a „Hordozhatósághoz való jog” alcímű bekezdésben (Tájékoztató 11. oldal) is olvasható az esetleges automatizált adatkezelésre való utalás. A Társaság elismerte, hogy nem végez ilyen adatkezelést, a szövegezés az általa használt […] rendszer adta sablonszövegként jelent meg.\n\nAmint a Hatóság ezt kifejtette, mellőzni kell a tájékoztatásban minden olyan információt, amely a valóságnak nem felel meg, vagy amely nem a valóságnak megfelelő helyzetre vonatkozik. A ténylegesen nem folytatott adatkezelési műveletekről, az adott adatkezelés vonatkozásában nem alkalmazható érintetti jogokról adott tájékoztatás szükségtelen és félrevezető, az ilyen információk ugyanis az érintettek megtévesztéséhez vezetnek.\n\nTehát a Tájékoztatóban az automatizált döntéshozatal feltüntetése nem volt indokolt, mivel a Weboldalon nem történt ilyen adatkezelés, ezért a tájékoztatás e vonatkozásban helytelen volt. (100) „Az adatkezelés során Önt megillető jogok” című fejezet aránytalanul hosszú, feleslegesen részletesen, körülményesen mutatja be az érintetti jogokat (Tájékoztató 7-10 oldalak). A Tájékoztató „A webshop üzemeltetése során végzett adatkezelések leírása” bekezdésben az Infotv. is szerepel (Tájékoztató 1. oldal), mint a webshop működésével kapcsolatban minden releváns adatkezelési információt tartalmazó jogszabály. Ugyanakkor a Társaság adatkezelése a GDPR hatálya alá tartozik. Tehát a Tájékoztató nem adott egyértelmű tájékoztatást arról, hogy nem az Infotv., hanem a GDPR szabályait kell figyelembe venni a Weboldal működésével kapcsolatban releváns adatkezelési információként. Továbbá az ezen cím és az alatta lévő tartalom nincs összhangban, hanem más-más a tartalom, mivel az adatkezelések leírása és az alkalmazott jogszabályok két különböző témakör. (101) Ezenkívül a Tájékoztató hiányos volt: a Honlapon megtalálható a „Kapcsolatfelvétel” fül, ahol meg kell adni nevet, email-címet, telefonszámot és az üzenetet, valamint az adatkezelési hozzájárulásra és a Tájékoztató elfogadására vonatkozó jelölőnégyzet is megtalálható, azonban a Tájékoztató nem nyújt információt ezen adatkezelésről. A Társaság továbbá kiskereskedelmi webáruházként iparcikk jellegű árukat forgalmaz a fogyasztók felé, és ennek keretében a szavatossági és jótállási igényekkel kapcsolatos adatkezelési tevékenységet is végez, azonban e tevékenységre vonatkozó adatkezelési tájékoztatást nem tett közzé. A Társaság mindkét adatkezelés kapcsán elismerte, hogy nem volt erre vonatkozó tájékoztatása, amely hiányosságot pótolta.\n\n(102) A Tájékoztatóban több esetben az sem egyértelmű, hogy az érintettek milyen személyes adatait kezeli cookie technológiával a Társaság, példáiul a Tájékoztató 2. oldalán a […] esetén csak példálózó felsorolás szerepelt a gyűjtött adatokról, a […] esetében „jelentés készül a konverziókról”, „oldal tulajdonosa részletes elemzési adatot kap a látógató honlap használatáról”, tehát nem teljesen egyértelmű, hogy pontosan milyen személyes adatokat tárolt cookie-technológiával a Társaság. Az sem derült ki a Tájékoztatóból, hogy a cookie-szolgáltatást nyújtó cégek az adatkezelés során adatkezelők-e vagy sem. Nem állapítható meg a Tájékoztatóból, hogy a Társaság cookie-n keresztül milyen adatokat gyűjtött a Honlap látogatóiról/vásárlóiról, illetve az sem derült ki, hogy sor került-e a látogatók vagy vásárlók profilozására. Emiatt a Hatóság megállapítja, hogy a Társaság az adatkezelési tájékoztatása során nem adott egyértelmű tájékoztatást arról, hogy a cookie-technológiák keretében pontosan milyen személyes adatokhoz jut hozzá, és mi az adatkezelés célja, továbbá hogy a cookie-szolgáltatók milyen státuszban járnak el, kerül-e hozzájuk bármilyen személyes adat. (103) A Tájékoztató 6. oldalán található Remarketing” mint adatkezelési tevékenység esetén nincsen pontosan meghatározva, hogy mi a tartalma ennek az adatkezelési tevékenységnek, csupán következtetni lehet arra, hogy ezen adatkezelési tevékenysége alatt a Társaság a Tájékoztató 1-3. oldalán található sütiket érti. Ugyanezen adatkezelésnél nem volt egyértelműen feltüntetve, hogy milyen személyes adatokat kezelt a Társaság, hanem csupán annyit tüntetett fel: „[…]”. (104) A Hatóság által észlelt egyes hibák esetén (például a számozás és az automatizált döntéshozatal kapcsán) a Társaság többször hivatkozott a tájékoztató-készítő szoftverre, azaz a […] rendszerre. Ezzel kapcsolatban a Hatóság rögzíti, hogy a Társaság felelőssége a generált adatvédelmi tájékoztatók ember általi felülvizsgálata, vagyis hogy az így készült adatkezelési tájékoztatót a Társaság az érintettek részére történő alkalmazást megelőzően ellenőrizze, annak érdekében, hogy a GDPR valamennyi tájékoztatásra vonatkozó előírása teljesülhessen. Emellett a Tájékoztató 2025.06.24. napján történt frissítésére azért került sor, mert a […] rendszer technikai sajátosságai miatt minden olyan esetben új tájékoztató generálódik, amikor a Társaság nemcsak az adatkezelési tájékoztatót, hanem a rendszerben kezelt bármely más dokumentumot módosítja. A Hatóság megállapítja, hogy a különböző dátumokkal ellátott, több adatkezelési tájékoztató – még akkor is, ha azok tartalmukban megegyeznek – megnehezítik az adatkezelés átláthatóságát az érintettek, illetve a fogyasztók számára. Ez különösen problémás lehet olyan esetekben, amikor az adatkezelés és az érintettel fennálló kapcsolat folyamatos, például rendszeres vásárlók esetében A (96)\n\n## – (104) pontok alapján megállapítható, hogy a vizsgált időszakban a Társaság nem adott megfelelő, pontos tájékoztatást az érintetteknek, ezzel megsértette az általános\n\nadatvédelmi rendelet 12. cikk (1) bekezdését. (105) A Társaságnak a Hatóság hatásköréréről kifejtett álláspontjára vonatkozóan a Hatóság rögzíti, hogy a Szankciótv. 5. § (4) bekezdése — amely szerint közigazgatási szankció nem alkalmazható, ha az elkövetéstől számított három év eltelt — nem releváns, ha a jogsértő állapot folyamatosan fennállt. A jogsértések elévüléséhez ugyanis elengedhetetlen, hogy az elévülési idő megkezdődjön, és az elévülés kezdőnapja csak attól az időponttól számítható, amikor a jogellenes állapot megszűnik. Mivel Szabályzat több mint 7 éven keresztül hatályos volt, így a feltárt adatvédelmi problémák a Tájékoztató megjelenése előtt folyamatosan megvalósultak.\n\n(106) Továbbá a Hatóság álláspontja szerint a Szankciótv-t a GDPR-ral összhangban kell értelmezni, a GDPR viszont nem határoz meg elévülési időt, feltételeket vagy időbeli korlátot a vizsgálható adatkezelések tekintetében, ezért a Szankciótv. fenti rendelkezése a Hatóság által egyébként sem alkalmazandó.\n\n## III.4. Tájékoztatás a vizsgált időszak után\n\n(107) A jelen hatósági eljárás nem terjedt ki az adatkezelési tájékoztatásnak az eljárás megindulása utáni időszakára, tehát a Tájékoztatónak az eljárásról való tudomásszerzést követő változtatásaira. (108) A Társaság bemutatta a Hatóság észrevételei alapján eszközölt módosításokat, illetve ismertette az adatvédelem terén történő erőfeszítéseit. (109) A fenti módosításokat, intézkedéseket mint a Hatósággal való együttműködés megnyilvánulását, a Hatóság enyhítő körülményként figyelembe veszi.\n\n## IV. Jogkövetk ezm énye k\n\n(110) A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapítja, hogy a Társaság megsértette az általános adatvédelmi rendelet, 12. cikk (1) bekezdését, 13. cikk (1) bekezdés c), d) és f) pontjait és 13. cikk (2) bekezdésének a) pontját. A Társaság gondatlanul követte el a jogsértéseket, szándékosság nem bizonyított. (111) A Hatóság a megállapított jogsértések miatt az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) alapján hivatalból utasítja a Társaságot, hogy a jelen határozat indokolásában kifejtett követelményeknek megfelelően módosítsa adatkezelési tájékoztatásának tartalmát, és ezt igazolja a Hatóságnak.\n\n(112) A Hatóság megvizsgálta, hogy indokolt-e a Társasággal szemben adatvédelmi bírság kiszabása, és e körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése alapján mérlegelte az ügy összes körülményét. A Hatóság szerint a megállapított jogsértések, illetve az emiatti többéves helytelen gyakorlat miatt, továbbá a speciális és generális prevenció okán a figyelmeztetés nem arányos szankció, ezért bírság kiszabása szükséges.\n\n(113) A Hatóság a bírság összegének meghatározása során figyelembe vette, hogy a Társaság által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdése szerint a magasabb maximális összegű bírságkategóriába tartozó jogsértésnek minősülnek.\n\n(114) A Hatóság figyelembe vette a bírság összegének megállapítása során az Európai Adatvédelmi Testület 4/2022-es számú iránymutatásában3 (a továbbiakban: Iránymutatás) foglaltakat, amely az általános adatvédelmi rendelet szerinti közigazgatási bírságok kiszabásának számítási szempontjait tartalmazza. Erre tekintettel a bírság összegének meghatározására az alábbi szempont alapján került sor:\n\n- A Társaságnál a 2024-es évben az értékesítés nettó árbevétele […] HUF, azaz […] forint volt. (115) A Hatóság a bírság összegének meghatározása során az utolsó lezárt év (2024) árbevételét vette alapul.\n\n3https://www.edpb.europa.eu/system/files/2024- 01/edpb_guidelines_042022_calculationofadministrativefines_hu_0.pdf (116) Az általános adatvédelmi rendelet 83. cikk (5) bekezdésében foglaltak alapján a Társaság az elkövetett jogsértések esetén legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal [statikus bírságmaximum], illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel sújtható [dinamikus bírságmaximum]; a kettő közül a magasabb összeget kell kiszabni.\n\n(117) A Társaság 2024-es árbevételének 4%-a […] HUF, azaz […] forint, amely a jelenlegi HUF/EUR árfolyam mellett nem haladja meg a rendelet által meghatározott ún. statikus bírságmaximumot, azaz 20.000.000 EUR-nak megfelelő összeget. Mivel a statikus és a dinamikus összegek közül a bírságot az adott esetben kiszabható magasabb kategória alapján kell számolni és ahhoz arányosítani, így a Társaság jelen ügyben legfeljebb 20.000.000 EUR-nak megfelelő közigazgatási bírsággal sújtható. (118) Az Iránymutatás alapján az általános adatvédelmi rendelet 83. cikk (5) bekezdése szerinti bírságkategóriába tartozó azon jogsértések esetén, amelyekre a 20.000.000 EURos statikus bírságmaximum irányadó, további vizsgálat tárgyát képezi a vállalkozás bírság összeg meghatározása során figyelembe vett nettó árbevétele, továbbá az elkövetett jogsértés súlya.\n\n(119) Jelen ügyben a Társaság 2024. nettó árbevétele […] HUF, azaz […] forint, amely a jelenlegi HUF/EUR árfolyammal számolva az Iránymutatás által megjelölt legfeljebb 2 millió eurótól legfeljebb 10 millió euróig terjedő forgalommal rendelkező vállalkozások kategóriába esik a vállalkozások gazdálkodási adatainak figyelembevétele kapcsán.\n\n(120) A Hatóság az adatvédelmi bírság összegének meghatározása során súlyosító körülményként vette figyelembe azt, hogy az érintettek száma nagy, a Társaság nyilatkozata szerint a webshop látogatóinak száma 2024. évben 3.763.794 fő, a vásárlók száma pedig 119.380 fő [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont];\n\na jogsértések hosszú ideig tartottak [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont].\n\n(121) A Hatóság az adatvédelmi bírság összegének meghatározása során enyhítő körülményként vette figyelembe, hogy a jogsértés gondatlan jellegű volt, tekintettel arra, hogy a rendelkezésre álló adatok alapján a Szabályzat és a Tájékoztató hiányosságai és pontatlanságai inkább a jogszabályi követelmények téves értelmezéséből, illetve az adatkezelési gyakorlat megfelelő szakmaiságának hiányából fakadtak, semmint abból, hogy a Társaság célzatosan kívánta volna megtéveszteni az érintetteket [általános adatvédelmi rendelet 83. cikk (2) bekezdés b) pont]; a Hatóság jelentősen túllépte az Infotv. 60/A.§ (1) bekezdése szerinti ügyintézési határidőt; a Társaság elmarasztalására az általános adatvédelmi rendelet megsértése miatt még nem került sor [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont]; a Társaság a Hatóság eljárása alatt módosította az adatkezelési tájékoztatását [általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont]. (122) A Hatóság a Társasággal szemben kiszabott adatvédelmi bírság megállapítása során nem tartotta relevánsnak az általános adatvédelmi rendelet 83. cikk (2) bekezdés h), i), j) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem értelmezhetők. (123) A Hatóság az elkövetett jogsértések, a feltárt tényállás, valamint az adott ügyre vonatkozó súlyosító és enyhítő körülmények alapján jelen ügyben közepes súlyúnak ítélte meg az elkövetett jogsértéseket.\n\n(124) Az Iránymutatás alapján amennyiben a vállalkozás előző évi nettó árbevétele 2 millió eurótól legfeljebb 10 millió EUR-ig terjed, a kiszabható bírság maximális összege az közepes súlyú jogsértések esetén 80.000 EUR-ra csökken. (125) A bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg. (126) A kiszabott bírság a jogsértés súlyával arányos, az nem tekinthető túlzónak, a Társaság nettó árbevételéhez képest alacsony összegű. (127) A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.\n\n## V. Egyéb kérdések\n\n(128) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (129) A Hatóság jelen döntése az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A döntés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §a, és 116. § (1) bekezdése és (4) bekezdés d) pontja, illetve a 114. § (1) bekezdése alapján a döntéssel szemben közigazgatási per útján van helye jogorvoslatnak.\n\n* * * (130) Az Ákr. 135. §-a szerint a kötelezett a törvényes kamatnak megfelelő mértékű késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget. (131) A Polgári Törvénykönyvről szóló 2013. évi V. törvény 6:48. § (1) bekezdése alapján pénztartozás esetén a kötelezett a késedelembe esés időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni.\n\n(132) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pontjának aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja szerint olyan jogvitában, amelyben a törvényszék kizárólagosan illetékes, a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.\n\n(133) A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi CXXX. törvény 604. §-a szerint alkalmazandó, a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló 2023. évi CIII. törvény 19. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.\n\n(134) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul.\n\n(135) A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.\n\n(136) Ha az előírt kötelezettségek teljesítését a Társaság megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Társaság a Hatóság végleges döntésében foglalt kötelezéseknek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja Kelt: Budapest, az elektronikus aláírás és időbélyeg szerint\n\nDr. habil. Péterfalvi Attila elnök c. egyetemi tanár","changes":[{"id":776,"doc_id":10496,"v_from":11350,"v_to":14601,"detected_at":"2026-09-17 02:22:33","added":5,"removed":5,"summary":"--- \n+++ \n-(25) A Társaság az„Online marketing szolgáltatások” című fejezet meghatározása során úgy ítélte meg, hogy önmagban az Online marketing szolgáltatások elnevezés kellően pontos képet ad az adatkezelésről. Tartalmában az adott pont alatt a közösségi médián megvalósított marketing tevékenységre kívánt utalni. Az „Online marketing szolgáltatások” című fejezet 7. pontjában megjelölt jogalap (a felhasználó hozzájárulása, az Infotv. 5. § (1) bekezdése, 6. cikk (1) bekezdés a/ pont, az elektronikus kereskedelmi szolgáltatások, az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről szóló 2001. évi CVIII. törvény 13/A § (3) bekezdése) kapcsán előadta a Társaság, hogy az időtávlat miatt nem tud pontos tájékoztatást adni, de feltételezhetően adminisztratív hiba okán tartalmazza a korábbi joggyakorlatra, így az Infotv.-re és az elektronikus kereskedelmi törvényre mutató hivatkozást.\n+(25) A Társaság az „Online marketing szolgáltatások” című fejezet meghatározása során úgy ítélte meg, hogy önmagban az Online marketing szolgáltatások elnevezés kellően pontos képet ad az adatkezelésről. Tartalmában az adott pont alatt a közösségi médián megvalósított marketing tevékenységre kívánt utalni. Az „Online marketing szolgáltatások” című fejezet 7. pontjában megjelölt jogalap (a felhasználó hozzájárulása, az Infotv. 5. § (1) bekezdése, 6. cikk (1) bekezdés a/ pont, az elektronikus kereskedelmi szolgáltatások, az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről szóló 2001. évi CVIII. törvény 13/A § (3) bekezdése) kapcsán előadta a Társaság, hogy az időtávlat miatt nem tud pontos tájékoztatást adni, de feltételezhetően adminisztratív hiba okán tartalmazza a korábbi joggyakorlatra, így az Infotv.-re és az elektronikus kereskedelmi törvényre mutató hivatkozást.\n-- Az adatkezelő neve, elérhetősége - A tárhelyszolgáltató neve, elérhetősége - A webáruház üzemeltetése során végzett adatkezelések leírása - A cookie-k használatával kapcsolatos tájékoztatás - A szerződéskötés és teljesítés érdekében kezelt adatok - Regisztráció a weboldalon - A rendelés feldolgozása - A számla kiállítása - Az áruszállítással kapcsolatos adatkezelés - A hozzájárulás igazolhatóságával kapcsolatban kezelt adatok - Marketing célú adatkezelések - A hírlevél-küldéssel kapcsolatos adatkezelés - Remarketing - További adatkezelés - A személyes adatok címzettjei - A személyes adatok tárolására irányuló adatfeldolgozás - Hírlevélküldéssel összefüggő adatfeldolgozói tevékenység - Könyveléssel kapcsolatos adatkezelés - Számlázással kapcsolatos adatfeldolgozás - CRM rendszer üzemeltetésével kapcsolatos adatfeldolgozás - Az adatkezelések során Önt megillető jogok - Adatvédelmi nyilvántartásba történő bejelentkezés - Adatbiztonsági intézkedések - Jogorvoslati lehetőségek - Adatkezelési tájékoztató módosítása - Postán maradó és postapontos kézbesítés (91) A Társaság a fentiekről nagyrészt megfelelő tájékoztatást adott a vásárlóknak, érdeklődőknek, azonban több tekintetben nem volt helytálló, nem elfogadható a tájékoztatás az alábbiak szerint: (92) A Társaság több ponton nem megfelelően határozta meg vagy nem egyértelműen tüntette fel az adatkezelés időtartamát. A „Remarketing” és a „A cookie-k használatával kapcsolatos tájékoztatás” részeknél a „[…] cookie”, a „[…] cookie” és a „[…] ([…] cookie)” elnevezésű sütiknél egyáltalán nem adott információt az adatkezelés időtartamáról,a hozzájárulás igazolhatóságára vonatkozó résznél az időtartam meghatározásának szempontja nem volt érthető az alábbiak miatt:\n+- Az adatkezelő neve, elérhetősége - A tárhelyszolgáltató neve, elérhetősége - A webáruház üzemeltetése során végzett adatkezelések leírása - A cookie-k használatával kapcsolatos tájékoztatás - A szerződéskötés és teljesítés érdekében kezelt adatok - Regisztráció a weboldalon - A rendelés feldolgozása - A számla kiállítása - Az áruszállítással kapcsolatos adatkezelés - A hozzájárulás igazolhatóságával kapcsolatban kezelt adatok - Marketing célú ada"}]}