Lex Digitales Мониторинг трендов регулирования цифровой экономики

← к документу

Что изменилось

Tájékoztatási hiányosságok webáruház adatkezelése során · редакция 1 → 2 · зафиксировано 2026-09-17 02:22 · +16 −16 строк

........................................................................................................................................................................................................................................................................
## (a továbbiakban: Weboldal) és a […] (a továbbiakban: Blog) webhely tekintetében a
Weboldalon működő webáruház adatkezelési gyakorlatára, ezen belül az előzetes tájékoztatásra kiterjedően a […] (székhely: […]; cégjegyzékszám: […]; adószám: […];a továbbiakban: Társaság), mint a Weboldalon működő webáruház üzemeltetőjével szemben a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendeletnek (a továbbiakban: általános adatvédelmi rendelet vagy GDPR) való megfelelés vizsgálatára hivatalból indított adatvédelmi hatósági eljárásban az alábbi döntéseket hozza.
Weboldalon működő webáruház adatkezelési gyakorlatára, ezen belül az előzetes tájékoztatásra kiterjedően a […] (székhely: […]; cégjegyzékszám: […]; adószám: […]; a továbbiakban: Társaság), mint a Weboldalon működő webáruház üzemeltetőjével szemben a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendeletnek (a továbbiakban: általános adatvédelmi rendelet vagy GDPR) való megfelelés vizsgálatára hivatalból indított adatvédelmi hatósági eljárásban az alábbi döntéseket hozza.
## 1. A Hatóság megállapítja , hogy a Társaság gondatlanul megsértette
(8) A Hatóság a 2025.11.12. napján kelt, NAIH-15402-1/2025. ügyiratszámú végzésében értesítette a Társaságot az adatvédelmi hatósági eljárás megindításáról és a tényállás tisztázása érdekében nyilatkozattételre hívta fel. (9) A Társaság a 2025.12.12. napján kelt NAIH-15402-7/2025. számon iktatott válaszlevelében előadta, hogy a […]-t […]-án jegyezték be, és a […] online kereskedelmi platform működtetését 2020-ban kezdte meg. A Társaság tájékoztatása szerint az adatvédelmi feladatok ellátásával 2022. július 13. napjától a […]-t bízta meg, amely egyben adatvédelmi tisztviselői feladatokat is ellátott. A Társaság előadta továbbá, hogy a külső szakértő tevékenységével kapcsolatban 2024-ben merültek fel aggályok, amely a megbízási szerződés felmondásához vezetett. A Társaság hangsúlyozta, hogy álláspontja szerint nem állt szándékában jogellenes adatkezelést folytatni, és abban a hiszemben járt el, hogy adatvédelmi dokumentumai és folyamatai megfelelnek a jogszabályi előírásoknak. Nyilatkozata szerint a jelen eljárás hatására megkezdte az adatkezelési tájékoztatók felülvizsgálatát és módosításának előkészítését.
(10) A Hatóság a tényállás tisztázása érdekében felhívta a Társaságot, hogy igazolja, a vizsgált időszakban milyen adatvédelmi tájékoztatás volt elérhető a Weboldalon, továbbá nyújtsa be az adatkezelési tájékoztatók és kapcsolódó dokumentumok korábbi verzióit, azok hatályát, a közzététel időpontját és az esetleges módosításokat, valamint igazolja azok közzétételét. A Hatóság kérte továbbá, hogy a válaszadáshoz dokumentumonként a végzéshez mellékelt űrlapot használja.A Társaság nyilatkozatában előadta, hogy a végzéshez csatolt űrlap nem került megküldésre részére, ezért válaszát jelen dokumentumban terjesztette elő, és a kapcsolódó iratokat „Referencia dokumentumok” elnevezésű, jelszóval védett tömörített mappában bocsátotta a Hatóság rendelkezésére. A Társaság a nyilatkozatához csatolt dokumentumok között megjelölte az adatkezelési tájékoztatót, a nyereményjátékhoz kapcsolódó adatvédelmi tájékoztatót, a cookie tájékoztatót, valamint a nyereményjáték szabályzatot, és ezek elérhetőségét a Weboldalon található hivatkozásokkal igazolta.
(10) A Hatóság a tényállás tisztázása érdekében felhívta a Társaságot, hogy igazolja, a vizsgált időszakban milyen adatvédelmi tájékoztatás volt elérhető a Weboldalon, továbbá nyújtsa be az adatkezelési tájékoztatók és kapcsolódó dokumentumok korábbi verzióit, azok hatályát, a közzététel időpontját és az esetleges módosításokat, valamint igazolja azok közzétételét. A Hatóság kérte továbbá, hogy a válaszadáshoz dokumentumonként a végzéshez mellékelt űrlapot használja. A Társaság nyilatkozatában előadta, hogy a végzéshez csatolt űrlap nem került megküldésre részére, ezért válaszát jelen dokumentumban terjesztette elő, és a kapcsolódó iratokat „Referencia dokumentumok” elnevezésű, jelszóval védett tömörített mappában bocsátotta a Hatóság rendelkezésére. A Társaság a nyilatkozatához csatolt dokumentumok között megjelölte az adatkezelési tájékoztatót, a nyereményjátékhoz kapcsolódó adatvédelmi tájékoztatót, a cookie tájékoztatót, valamint a nyereményjáték szabályzatot, és ezek elérhetőségét a Weboldalon található hivatkozásokkal igazolta.
(11) A Társaság nyilatkozatában előadta, hogy az adatvédelmi rendelkezések több különálló dokumentumban történő közzététele az átláthatóság elvének érvényesítését szolgálja. Álláspontja szerint a Weboldal adatkezelési tájékoztatója a weboldalon megvalósuló általános adatkezeléseket ismerteti, míg a nyereményjátékokhoz kapcsolódó adatkezelésekre külön adatvédelmi tájékoztató vonatkozik, annak érdekében, hogy az érintettek közvetlenül az adott adatkezelésre vonatkozó információkat érhessék el. A Társaság előadta továbbá, hogy a sütik alkalmazására vonatkozó tájékoztatást szintén külön cookie tájékoztató tartalmazza. Nyilatkozata szerint e három dokumentumból álló struktúra – a Weboldal adatkezelési tájékoztatója, a nyereményjáték adatvédelmi tájékoztatója és a cookie tájékoztató – biztosítja az érintettek számára az egyes adatkezelések feltételeiről szóló áttekinthető és célzott tájékoztatást. A Társaság állítása szerint ez a megközelítés az iparági gyakorlatnak is megfelel.
## szeptember 2. napjától hatályos Adatkezelési és adatvédelmi tájékoztatót, valamint a
2022. szeptember 2. napjától hatályosBlog ÁSZF-Felhasználási feltétek dokumentumot, és azok elérhetőségét internetes hivatkozások megadásával igazolta.
2022. szeptember 2. napjától hatályos Blog ÁSZF-Felhasználási feltétek dokumentumot, és azok elérhetőségét internetes hivatkozások megadásával igazolta.
(42) A Társaság kifejtette, hogy a Blog felületén a hozzászólási lehetőség biztosítása érdekében a felhasználóktól név és e-mail cím megadását kérte, annak érdekében, hogy a névtelen hozzászólásokkal szemben egy minimális szűrőt alkalmazzon. Előadta, hogy a Blog Adatkezelési és adatvédelmi tájékoztató 6.1.1. pontjában meghatározott adatkezelési időtartam – az érintett hozzájárulásának visszavonásáig – azt jelenti, hogy a hozzászólások és az azokhoz kapcsolódó személyes adatok addig kerülnek megőrzésre, amíg a hozzászólás a webhelyen elérhető, és a hozzájárulás visszavonása esetén a hozzászólással együtt törlésre kerülnek. A Társaság továbbá jelezte, hogy a 6.1.2. pontban szereplő adatkezelési folyamatot felülvizsgálja, és annak módosítását tervezi a Blog Adatkezelési és adatvédelmi tájékoztató felülvizsgálata során.
## I.2.2.1. Adatkezelő személye
(70) A Társaság a Weboldal üzemeltetője és domain-használója. A Tájékoztatóban saját magát adatkezelőként jelöli meg, míg egyes partnerek vonatkozásában közös adatkezelői minőségét tünteti fel. (71) A Társaság főtevékenysége„Vegyes termékkörű kiskereskedelem közvetítése”.
(70) A Társaság a Weboldal üzemeltetője és domain-használója. A Tájékoztatóban saját magát adatkezelőként jelöli meg, míg egyes partnerek vonatkozásában közös adatkezelői minőségét tünteti fel. (71) A Társaság főtevékenysége „Vegyes termékkörű kiskereskedelem közvetítése”.
(72) A kis- és középvállalkozásokról, fejlődésük támogatásáról szóló 2004. évi XXXIV. törvény 3.
(73) A Hatóság a vizsgált időszak tekintetében a Weboldalon közzétett, 2025. július 2. napjától hatályos Adatkezelési Tájékoztatót, valamint a Társaság által benyújtott iratokat (Weboldal Adatvédelmi nyilatkozat korábbi verziói, Nyereményjátékhoz kapcsolódó tájékoztatások, Blog Adatkezelési és adatvédelmi tájékoztató, Blog ÁSZF-Felhasználási feltételek) és a hatósági ellenőrzés során keletkezett, NAIH-9706-2/2025. számú feljegyzésben foglalt dokumentumokat vette alapul az értékelés során.
(74) A Hatósága Társaság által a vizsgált időszakra vonatkozóan benyújtott Weboldal
(74) A Hatóság a Társaság által a vizsgált időszakra vonatkozóan benyújtott Weboldal
Tájékoztatók körében három fő tájékoztató-verziót azonosított, ezen verziókon belül további, nem önálló verziónak minősülő, hanem az adott verzió módosítását jelentő változatok is elkülöníthetők voltak, amelyek tartalmi változásait a Hatóság szintén vizsgálta:
az első verzió a 2018.05.24-től 2020.01.31-ig hatályos Adatvédelmi nyilatkozat
## (továbbiakban: 1.Tájékoztató). Ezen verzió módosításai:
## (továbbiakban: 1. Tájékoztató). Ezen verzió módosításai:
• 2020.02.01-től 2020.03.22-ig hatályos Adatvédelmi nyilatkozat (továbbiakban: 1.1. Tájékoztató); • 2020.03.23-tól 2020.03.25-ig hatályos Adatvédelmi nyilatkozat (továbbiakban: 1.2. Tájékoztató); • 2020.03.26-tól 2020.05.18-ig hatályos Adatvédelmi nyilatkozat (továbbiakban: 1.3. Tájékoztató); • 2020.05.19-től 2020.06.08-ig hatályos Adatvédelmi nyilatkozat (továbbiakban: 1.4. Tájékoztató); • 2020.06.09-től 2020.10.20-ig hatályos Adatvédelmi nyilatkozat (továbbiakban: 1.5. Tájékoztató); • 2020.10.21-től 2020.11.09-ig hatályos Adatvédelmi nyilatkozat (továbbiakban: 1.6. Tájékoztató); • 2020.11.10-től 2021.07.14-ig hatályos Adatvédelmi nyilatkozat (továbbiakban: 1.7. Tájékoztató). - A második verzió a 2021.07.15-től 2022.04.06-ig hatályos Adatvédelmi nyilatkozat (továbbiakban: 2. Tájékoztató), amelynek módosításai:
„Vásárlás: Az online vásárlás során kezelt adatok: név, email cím, telefonszám, cím ... megvásárolt termékek listája”, azonban ehhez a jogalapot az 1. Tájékoztató nem kapcsolja egyértelműen. Ugyanígy a VI. fejezet 4. pontja a […] részére történő adattovábbításról rendelkezik, de a konkrét adattovábbítás jogalapját az érintett számára nem teszi világossá. A marketing megkeresésekre vonatkozó V. fejezet 5. pont és a VI. fejezet 3. pont már hozzájárulásalapú logikát sugall, de ez sincs elkülönítve a vásárláshoz szükséges adatkezelésektől.
## (133) Mindezek alapján a Hatóság megállapította, hogy a Társaságmegsértettea GDPR 13. cikk
## (133) Mindezek alapján a Hatóság megállapította, hogy a Társaság megsértette a GDPR 13. cikk
(1) bekezdés c) pontja szerinti kötelezettségét.
(173) A Hatóság megállapította, hogy a 2020. május 19. napjától hatályos 1.4. Tájékoztató az előző verzióhoz képest új adatkezelési elemet vezetett be az […] kapcsolódó vásárlói elégedettségfelmérés és az e-mail címek e célból történő továbbítása vonatkozásában. Az 1.4. Tájékoztató e körben azonban nem nyújt egyértelmű és teljes körű tájékoztatást, mivel az adatkezelés jogalapját ellentmondásosan és nem kellően pontosan határozza meg, az […] szerepét és címzetti minőségét nem teszi világossá, továbbá az adatkezelés időtartamáról sem tartalmaz megfelelő információt.
(174) A fentiekre tekintettel a Hatóság megállapítja, hogy az 1.4. Tájékoztató módosítása nem pusztán a korábbi hiányosságok fennmaradását eredményezte, hanem egy új adatkezelési tevékenység bevezetésével összefüggésben a Társaság megsértettea GDPR 13. cikk (1)
(174) A fentiekre tekintettel a Hatóság megállapítja, hogy az 1.4. Tájékoztató módosítása nem pusztán a korábbi hiányosságok fennmaradását eredményezte, hanem egy új adatkezelési tevékenység bevezetésével összefüggésben a Társaság megsértette a GDPR 13. cikk (1)
bekezdés c) és e) pontját, valamint a 13. cikk (2) bekezdés a) pontját.
(211) A Hatóság megállapította, hogy a 2.3. Tájékoztató a termékvéleményezésben szereplő személyes adatok marketing célú felhasználásáról nem ad kellően konkrét és egyértelmű tájékoztatást. Bár a marketing célú adatkezelés körében már szerepel, hogy „marketing célra felhasznált, termék véleményezésben szereplő személyes adatok” is kezelésre kerülnek, a 2.3. Tájékoztató nem határozza meg pontosan, hogy ez mely személyes adatokra terjed ki, milyen konkrét marketingtevékenység keretében, milyen adatkezelési műveletekkel és milyen összefüggésben valósul meg. Nem derül ki az sem, hogy a vélemény nyilvános közzététele és a véleményben szereplő személyes adatok marketing célú felhasználása egymástól elkülönülő adatkezeléseknek minősülnek-e, és e körben a hozzájárulás milyen terjedelemben, milyen időpontban és milyen konkrét nyilatkozattal kerül beszerzésre. Mindezek miatt az érintettek számára nem egyértelmű, hogy személyes adataik e körben pontosan milyen célból és milyen jogalapon kerülnek kezelésre, amelynek következtében a Társaság megsértette a GDPR 13. cikk (1) bekezdés c) pontját.
(212) A Hatóság megállapította továbbá, hogy a véleményezéshez kapcsolódó fényképfeltöltés és az azon megjelenő személyes adatok, különösen a képmás kezelésére vonatkozó tájékoztatás sem felel meg maradéktalanul a GDPR követelményeinek. A 2.3. Tájékoztató ugyan rögzíti, hogy a felhasználónak lehetősége van fényképet feltölteni, és amennyiben azon saját személyes adat jelenik meg, azt az adatkezelő hozzájárulás alapján kezeli, azonban nem ismerteti kellő konkrétsággal, hogy e fénykép pontosan milyen felületen, milyen formában, milyen kör számára és milyen időtartamban válik hozzáférhetővé, illetve a közzététel milyen technikai és tartalmi keretek között történik. A 2.3. Tájékoztató e kérdések egy részét a „Termékértékelésre vonatkozó szabályzat” rendelkezéseire utalja, amelynek következtében az érintett nem a 2.3. Tájékoztatóból, hanem egy másik dokumentum együttes értelmezésével értheti meg a rá vonatkozó adatkezelés tartalmát. Ez a megoldás a tájékoztatást továbbra is széttagolttá teszi, és nem biztosítja, hogy az érintett egyetlen, világos és teljes körű tájékoztatás alapján átláthassa, hogy képmása mely címzettek számára, milyen módon és milyen adatkezelési célból válik hozzáférhetővé, amelynek következtében a Társaság megsértette a GDPR 13. cikk (1) bekezdés e) pontját. (213) A Hatóság álláspontja szerint a fényképhez és képmáshoz kapcsolódó adatkezelés időtartamára vonatkozó tájékoztatás sem kellően egyértelmű. Bár a 2.3. Tájékoztató a véleményezéshez kapcsolódó adatkezelés időtartamát az érintett hozzájárulásának visszavonásáig határozza meg, nem ad megfelelő tájékoztatást arról, hogy a nyilvánosan közzétett fénykép vagy annak esetleges másolatai, megosztásai, illetve a közzététel megszüntetésének technikai és gyakorlati következményei hogyan alakulnak a hozzájárulás visszavonását követően. Az érintett számára így nem világos, hogy a képmását tartalmazó tartalom meddig marad ténylegesen hozzáférhető, és a visszavonás milyen hatást gyakorol a már közzétett tartalomra. Erre tekintettel a Társaság e körben megsértettea GDPR 13. cikk (2) bekezdés a) pontját is.
(212) A Hatóság megállapította továbbá, hogy a véleményezéshez kapcsolódó fényképfeltöltés és az azon megjelenő személyes adatok, különösen a képmás kezelésére vonatkozó tájékoztatás sem felel meg maradéktalanul a GDPR követelményeinek. A 2.3. Tájékoztató ugyan rögzíti, hogy a felhasználónak lehetősége van fényképet feltölteni, és amennyiben azon saját személyes adat jelenik meg, azt az adatkezelő hozzájárulás alapján kezeli, azonban nem ismerteti kellő konkrétsággal, hogy e fénykép pontosan milyen felületen, milyen formában, milyen kör számára és milyen időtartamban válik hozzáférhetővé, illetve a közzététel milyen technikai és tartalmi keretek között történik. A 2.3. Tájékoztató e kérdések egy részét a „Termékértékelésre vonatkozó szabályzat” rendelkezéseire utalja, amelynek következtében az érintett nem a 2.3. Tájékoztatóból, hanem egy másik dokumentum együttes értelmezésével értheti meg a rá vonatkozó adatkezelés tartalmát. Ez a megoldás a tájékoztatást továbbra is széttagolttá teszi, és nem biztosítja, hogy az érintett egyetlen, világos és teljes körű tájékoztatás alapján átláthassa, hogy képmása mely címzettek számára, milyen módon és milyen adatkezelési célból válik hozzáférhetővé, amelynek következtében a Társaság megsértette a GDPR 13. cikk (1) bekezdés e) pontját. (213) A Hatóság álláspontja szerint a fényképhez és képmáshoz kapcsolódó adatkezelés időtartamára vonatkozó tájékoztatás sem kellően egyértelmű. Bár a 2.3. Tájékoztató a véleményezéshez kapcsolódó adatkezelés időtartamát az érintett hozzájárulásának visszavonásáig határozza meg, nem ad megfelelő tájékoztatást arról, hogy a nyilvánosan közzétett fénykép vagy annak esetleges másolatai, megosztásai, illetve a közzététel megszüntetésének technikai és gyakorlati következményei hogyan alakulnak a hozzájárulás visszavonását követően. Az érintett számára így nem világos, hogy a képmását tartalmazó tartalom meddig marad ténylegesen hozzáférhető, és a visszavonás milyen hatást gyakorol a már közzétett tartalomra. Erre tekintettel a Társaság e körben megsértette a GDPR 13. cikk (2) bekezdés a) pontját is.
(214) A Hatóság megállapította, hogy a 2022. augusztus 31. napjától hatályos 2.4. Tájékoztató az előző verzióhoz képest érdemben módosította az online fizetéshez kapcsolódó adatkezelés szabályozását. Míg a korábbi változat az online fizetést egységes adatkezelési kategóriaként kezelte, az új verzió azt külön bontotta az „Előre utalás”, valamint a „Bankkártyával fizetés és kártyamentés” adatkezelésre, és e körben új tartalmi elemként vezette be a kártyamentéshez, illetve az „OneClick” fizetési módhoz kapcsolódó adatkezelés leírását. A Hatóság rögzíti ugyanakkor, hogy e módosítások a korábbi 2.3. Tájékoztatóban azonosított tájékoztatási hiányosságokat nem orvosolták, így a jogsértő állapot a módosítást követően is fennmaradt.
(243) A Hatóság megállapította, hogy a 2022. május 16. napján kelt nyereményjátékhoz kapcsolódó
## Adatvédelmi Tájékoztató (a továbbiakban: 1.Nyereményjáték Tájékoztató, a Társaság
## Adatvédelmi Tájékoztató (a továbbiakban: 1. Nyereményjáték Tájékoztató, a Társaság
2025.12.12. napján kelt NAIH-15402-7/2025. számon iktatott válaszlevelének melléklete) nem biztosította az érintettek számára a GDPR 13. cikkében előírt teljes körű és egyértelmű tájékoztatást.
(244) A dokumentum ugyan tartalmazza az adatkezelés célját, a kezelt adatok körének egy részét és a jogalapként megjelölt hozzájárulást, azonban a tájékoztatás több lényeges elem tekintetében hiányos, illetve nem egyértelmű. A Hatóság megállapította, hogy az adatkezelés jogalapjának bemutatása nem felel meg a GDPR követelményeinek, mivel a hozzájáruláson alapuló adatkezelés mellett a nyertesek adatainak megőrzése tekintetében jogi kötelezettség teljesítésére is hivatkozik, azonban az egyes adatkezelési célokhoz és adatkörökhöz nem rendeli hozzá egyértelműen az alkalmazandó jogalapot, így az érintettek számára nem állapítható meg, hogy mely adatkezelési műveletek milyen jogalapon történnek.
(245) A Hatóság rögzíti továbbá, hogy az 1. Nyereményjáték Tájékoztatónem tartalmaz az adott nyereményjáték sajátosságaira vonatkozó, konkrét és az adatkezelés tényleges körülményeit bemutató információkat, így különösen nem tér ki részletesen az adatkezelés folyamatára, az adatok felhasználásának módjára, az esetleges közzétételekre vagy az adatkezelésben részt vevő szereplőkre. A tájékoztatás ilyen általános, sablonjellegű megfogalmazása nem teszi lehetővé, hogy az érintettek az adott adatkezelés sajátosságait ténylegesen megismerjék.
(245) A Hatóság rögzíti továbbá, hogy az 1. Nyereményjáték Tájékoztató nem tartalmaz az adott nyereményjáték sajátosságaira vonatkozó, konkrét és az adatkezelés tényleges körülményeit bemutató információkat, így különösen nem tér ki részletesen az adatkezelés folyamatára, az adatok felhasználásának módjára, az esetleges közzétételekre vagy az adatkezelésben részt vevő szereplőkre. A tájékoztatás ilyen általános, sablonjellegű megfogalmazása nem teszi lehetővé, hogy az érintettek az adott adatkezelés sajátosságait ténylegesen megismerjék.
(246) A Hatóság megállapította továbbá, hogy a dokumentum nem tartalmaz megfelelő információt az adattovábbítás címzettjeiről és az adatfeldolgozókról, mivel azok személyére vonatkozóan konkrét megjelölést nem ad, valamint nem nyújt tájékoztatást arra vonatkozóan sem, hogy sor kerül-e harmadik országba történő adattovábbításra, illetve az ilyen adattovábbítások esetén milyen garanciák biztosítják az érintettek jogainak védelmét.
(248) A Hatóság megállapította azt is, hogy az 1. Nyereményjáték Tájékoztató nem tartalmaz információt arra vonatkozóan, hogy az adatszolgáltatás kötelező-e, illetve milyen következményekkel jár az adatok megadásának elmaradása, továbbá nem ad tájékoztatást az automatizált döntéshozatal vagy profilalkotás alkalmazásáról, illetve annak hiányáról.
(249) A Hatóság értékelése szerint a hozzájárulás jogalapjaként történő megjelölés nem felel meg a GDPR követelményeinek, mivel az 1. Nyereményjáték Tájékoztatóalapján az adatkezeléshez való hozzájárulás nem külön, kifejezett nyilatkozat útján kerül megadásra, hanem a nyereményjátékban való részvételhez kapcsolódóan, azzal összekapcsoltan valósul meg. Az ilyen módon megadott hozzájárulás nem minősül a GDPR szerinti önkéntes, egyértelmű és megfelelő hozzájárulásnak.
## (250) Mindezek alapján a Hatóság megállapította, hogy a Társaságmegsértettea GDPR 13. cikk
(249) A Hatóság értékelése szerint a hozzájárulás jogalapjaként történő megjelölés nem felel meg a GDPR követelményeinek, mivel az 1. Nyereményjáték Tájékoztató alapján az adatkezeléshez való hozzájárulás nem külön, kifejezett nyilatkozat útján kerül megadásra, hanem a nyereményjátékban való részvételhez kapcsolódóan, azzal összekapcsoltan valósul meg. Az ilyen módon megadott hozzájárulás nem minősül a GDPR szerinti önkéntes, egyértelmű és megfelelő hozzájárulásnak.
## (250) Mindezek alapján a Hatóság megállapította, hogy a Társaság megsértette a GDPR 13. cikk
(1) bekezdés c), e) és f) pontjait, valamint a 13. cikk (2) bekezdés a) és e) pontjait.
(256) A Hatóság megállapította továbbá, hogy a 2. Nyereményjáték Tájékoztató szereplő érintetti jogokra vonatkozó rendelkezések általános, sablon jellegű formában kerültek megfogalmazásra, és nem kapcsolódnak az egyes adatkezelési műveletekhez, illetve azok jogalapjához. Ennek következtében a 2. Nyereményjáték Tájékoztató nem biztosítja, hogy az érintettek ténylegesen megértsék, hogy konkrét esetben milyen jogaik és milyen feltételek mellett gyakorolhatók.
## (257) A fentiek alapján a Hatóság megállapítja, hogy a Társaságmegsértettea GDPR 12. cikk (1) bekezdésében foglalt, átlátható, érthető és világos tájékoztatás nyújtására vonatkozó kötelezettségét, valamint a GDPR 13. cikk (1) bekezdés a), e) és f) pontjaiban előírt
## (257) A fentiek alapján a Hatóság megállapítja, hogy a Társaság megsértette a GDPR 12. cikk (1) bekezdésében foglalt, átlátható, érthető és világos tájékoztatás nyújtására vonatkozó kötelezettségét, valamint a GDPR 13. cikk (1) bekezdés a), e) és f) pontjaiban előírt
tájékoztatási kötelezettségeit.
(258) A Hatóság megállapította, hogy a 2022. október 10. napjától hatályos Nyereményjáték
## Szabályzat (a továbbiakban: NyereményjátékSzabályzat) a személyes adatok kezelésére
## Szabályzat (a továbbiakban: Nyereményjáték Szabályzat) a személyes adatok kezelésére
vonatkozóan tartalmaz ugyan egyes rendelkezéseket, azonban nem biztosítja a GDPR 13. cikkében előírt, teljes körű és egyértelmű tájékoztatást. A dokumentum nem különíti el az egyes adatkezelési célokat és az azokhoz kapcsolódó adatkezelési műveleteket, valamint nem tartalmazza az adatkezelésekhez rendelt jogalapok világos és egyértelmű bemutatását.
Dr. habil. Péterfalvi Attila elnök, c. egyetemi tanár