Что изменилось

Ehhez kapcsolódóan a 7/2020. sz. iránymutatás kiemeli, hogy „a célok és eszközök meghatározásában való közös részvétel azt jelenti, hogy egynél több jogalanynak van döntő befolyása arra, hogy sor kerül-e az adatkezelésre, és ha igen, hogyan”. „A közös részvétel megjelenhet például két vagy több szervezet által hozott közös döntés formájában, vagy két vagy több szervezet a célok és az alapvető eszközök tekintetében összehangolt döntéseiből eredhet.” „A döntések akkor tekinthetők a célok és eszközök tekintetében összehangoltnak, ha kiegészítik egymást, és szükségesek ahhoz, hogy az adatkezelésre oly módon kerüljön sor, hogy kézzelfogható hatást gyakorolnak az adatkezelés céljainak és módjának meghatározására.” „Az összehangolt döntések azonosításának fontos kritériuma, hogy az adatkezelés nem lenne-e lehetséges a két fél célokban és eszközökben való részvétele nélkül abban az értelemben, hogy az egyes felek által végzett adatkezelések elválaszthatatlanok, azaz kibogozhatatlanul összekapcsolódnak”.

A vizsgált adatkezeléssel összefüggésben a Hatóság megállapította, hogy az adatkezelés célját azaz az előválasztási szavazás napjára vonatkozó további regisztrációs link kiküldése – az Egyesület határozta meg. A Hatóság megállapítása szerint az adatkezelés eszközét azonban az Egyesület, a Datadat Kft. és a Datadat GmbH együttesen határozta meg: egymást megbízó láncolaton keresztül döntöttek arról, hogy SMS formájában kívánják az érintetteknek az üzenetet eljuttatni, egymással összehangoltan döntöttek arról, hogy az SMS-üzenetek küldéséhez telefonszám adatokra van szükség, amelyeket az Egyesület weboldalain létrehozott feliratkozási csatornákon keresztül tudnak gyűjteni. A Datadat Kft. 2021. májusában SMS-küldési, CRMrendszer üzemeltetési, Facebook Messenger chatbot csatorna üzemeltetési, online feliratkozási weboldalak kialakítását támogató szoftver üzemeltetési és tömeges e-mail küldési szolgáltatást rendelt meg a Datadat GmbH-tól, továbbá megbízta a GmbH-t, hogy az konkrét, technikai SMSküldésre adjon megbízást a SzondaPhone Kft. „v.a.”-nak. Ezen eszközök végeredményben mind az SMS-üzenetküldés megvalósulásához járultak hozzá, amely eszközök, szükséges szolgáltatások meghatározásában közösen vettek részt és egymással összehangoltan döntöttek az adatkezelés módjáról, annak eszközeiről és megvalósításának módjáról, amely adatkezelési műveletek egymástól elválaszthatatlanok és szorosan összefüggtek, ezek a megállapodások az adatkezelés érdemi folyamatának kialakítását jelentették és túlmutatnak az egyszerű technikai végrehajtás, technikai műveletek határán. Mindez az infokommunikációs megoldásokra, az adatgazdaságra, a közösségi média üzleti használatára, a politikai marketingre vonatkozóan speciális, adott esetben innovatív szakismeret meglétét feltételezi, melyet e gazdasági társaságok szolgáltatásként nyújtanak. Ezért a Hatóság a vizsgálat eredményeként arra jutott, hogy az Egyesület, a Datadat Kft. és a Datadat GmbH közös adatkezelőknek minősülnek a vizsgált adatkezelés tekintetében. A Hatóság hangsúlyozza, hogy az adatkezelői felelősség alól nem lehet mentesülni oly módon, hogy szervezetek egymás megbízása által, többszöri szerződési konstrukcióval, lényegében egy szerződési láncolaton keresztül próbálják kikerülni az adatkezelői felelősséget, illetőleg egy pénzügyileg kevésbé felelősségre vonható egyesület mögé bújva próbálják az adatkezelésben betöltött szerepüket palástolni. Az elszámoltathatóság elvéből fakadóan az adatkezelő felelős az adatkezelés megfelelőségéért és ezt bizonyítania is tudni kell, akkor is, ha adott esetben az adatkezelésben betöltött adatkezelői minőségét próbálja palástolni. A 7/2020. sz. iránymutatás is hangsúlyozza, hogy „nem lehetséges sem adatkezelővé válni, sem pedig kibújni az adatkezelői kötelezettségek alól egyszerűen oly módon, hogy a szerződést úgy alakítják ki, hogy a ténybeli körülmények valami mást mondjanak”, mert az a GDPR 26. cikk (3) bekezdésének kiüresítését eredményezné. Ezt erősítette meg a Fővárosi

A Hatóság tájékoztatja, hogy az Infotv. 56. § (2) bekezdése2 értelmében az adatkezelőnek haladéktalanul meg kell tennie a szükséges intézkedéseket, és köteles a felszólítás nyomán megtett intézkedéseiről – az azt alátámasztó dokumentum-másolat (pl. a törlést alátámasztó

1 Infotv. 56. § (1) „Ha a Hatóság a személyes adatok kezelésével, illetve a közérdekű adatok vagy a közérdekből nyilvános adatok megismeréséhez fűződő jogok gyakorlásával kapcsolatos jogsérelem vagy annak közvetlen veszélye fennállását megalapozottnak tartja, az adatkezelőt a jogsérelem orvoslására, illetve annak közvetlen veszélye megszüntetésére szólítja fel.“. 2 Infotv. 56. § (2) „Az adatkezelő – egyetértése esetén – haladéktalanul megteszi az (1) bekezdés szerinti felszólításban megjelölt szükséges intézkedéseket, és a megtett intézkedéseiről, illetve – egyet nem értése esetén – álláspontjáról a felszólítás kézhezvételétől számított harminc napon belül írásban tájékoztatja a Hatóságot.”