Lex Digitales Мониторинг трендов регулирования цифровой экономики

← к документу

Что изменилось

Felszólítás: Aláírásgyűjtés egyes adatvédelmi követelményei · редакция 1 → 2 · зафиксировано 2026-09-17 02:25 · +3 −3 строк

Ügyszám: NAIH/2019/5062/5 dr. Hadházy Ákos Ányos részére országgyűlési képviselő Budapest Széchenyi rakpart 19. Tisztelt Képviselő Úr! Amint arról a Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) korábban tájékoztatta, bejelentés érkezett a Hatósághoz, amelyben a beadványozó dr. Hadházy Ákos Ányos országgyűlési képviselőnek (1358 Budapest, Széchenyi rakpart 19.; hadhazy.akos@parlament.hu; a továbbiakban: Adatkezelő) az Európai Ügyészséghez csatlakozás kikényszerítésére vonatkozó aláírásgyűjtésével kapcsolatos adatkezelését kifogásolta. A Hatóság köszönettel megkapta a NAIH/2019/5062/2. ügyiratszámú kérdésekkel kapcsolatos tájékoztatását.
I. Az Adatkezelő a „Csatlakozzunk az Európai Ügyészséghez!” elnevezésű kezdeményezés támogatására szolgáló íven az érintettek alábbi személyes adatait gyűjtötte: név, cím (irányítószám, város, lakcím), e-mail elérhetőség, telefonszám, aláírás. A GDPR fogalommeghatározásai alapján a név, aláírás, lakcím, e-mail elérhetőség és a telefonszám az érintett személyes adatának1, az adatokon elvégzett bármely művelet, így például az adatok gyűjtése, rögzítése, tárolása adatkezelésnek2 minősül. A GDPR rendelkezései alapján az adatkezelés jogszerűségéhez számos követelményt kell teljesíteni. Ezek közül kiemelt szerepe van a GDPR 5. cikk (1) bekezdés a) és b) pontjában foglalt jogszerűség, tisztességes eljárás és átláthatóság valamint a célhoz kötöttség elvének. Ezen túlmenően az adatkezelőnek a GDPR 6. cikk (1) bekezdésével összhangban álló jogalappal kell rendelkeznie az adatkezeléshez. A GDPR 9. cikke rendelkezik továbbá a személyes adatok különleges kategóriáinak kezeléséről. Ezek közé tartoznak a politikai véleményre utaló személyes adatok is, amelyek kezelését a rendelet főszabályként tiltja, illetve szigorú feltételektől teszi függővé. Ezen különleges kategóriájú személyes adatok többek között abban az esetben kezelhetőek, ha az érintett kifejezett hozzájárulását adta azok egy vagy több konkrét célból történő kezeléséhez. Az Adatkezelő a Hatóságnak küldött válaszában az érintettek hozzájárulását jelölte meg az adatkezelés jogalapjaként, továbbá az ív hátoldalán szereplő Adatvédelmi tájékoztatóban is az érintettek hozzájárulására hivatkozik. A GDPR 6. cikk (1) bekezdés a) pontja értelmében a személyes adatok kezelése jogszerű, ha az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez. A GDPR 4. cikkének 11. pontja kimondja, hogy az érintett hozzájárulása az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez. Az ív adatgyűjtésre szolgáló oldalán az alábbi tájékoztató szöveg szerepel: „Adatkezelési tájékoztató – A tájékoztatót aláírásommal elfogadom”, míg az ív hátoldalán lévő Adatvédelmi tájékoztató szövege szerint „Az adatkezelés jogalapja az Ön jelen tájékoztató megismerését követően kifejezett hozzájárulása.”. Ahhoz, hogy az adatkezelő a hozzájárulás jogalapjára jogszerűen hivatkozhasson, a hozzájárulás valamennyi fogalmi elemének meg kell felelnie a rá vonatkozó követelményeknek. Az Adatvédelmi Irányelv 29. cikke alapján létrehozott Adatvédelmi Munkacsoport hozzájárulásról szóló WP259 számú iránymutatásában kifejtettek is megerősítik, hogy a nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet a szabályos hozzájárulás előfeltétele. Az érintettnek kifejezett
1GDPR 4. cikk 1. pont: „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. 2GDPR 4. cikk 2. pont: „adatkezelés: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.” GDPR 4. cikk 7. pont: „adatkezelő: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.”
1 GDPR 4. cikk 1. pont: „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. 2 GDPR 4. cikk 2. pont: „adatkezelés: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.” GDPR 4. cikk 7. pont: „adatkezelő: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.”
hozzájárulásról szóló nyilatkozatot kell tennie. A hozzájárulás kifejezett voltáról való meggyőződés nyilvánvaló módja a hozzájárulás írásbeli nyilatkozatban történő kifejezett megerősítése lenne. Ahhoz, hogy az érintett az akaratát konkrétan kinyilváníthassa az szükséges tehát, hogy az adatkezelő az adatkezelési tevékenységekhez kapcsolódó hozzájárulás megszerzésével összefüggő információkat egyértelműen elkülönítse a más kérdésekre vonatkozó információktól. A GDPR (42) preambulumbekezdése is kimondja, hogy az adatkezelőnek előre megfogalmazott hozzájárulási nyilatkozatról kell gondoskodnia, melyet érthető és könnyen hozzáférhető formában kell rendelkezésre bocsátania, nyelvezetének pedig világosnak és egyértelműnek kell lennie, és nem tartalmazhat tisztességtelen feltételeket. A Hatóság álláspontja szerint csupán az, hogy az érintett az aláírásgyűjtő íven megadja a kért adatokat, nem tekinthető az érintett akaratának konkrét, egyértelmű kinyilvánításának, továbbá az Adatvédelmi tájékoztató aláírással történő „elfogadása” sem tekinthető a személyes adatok felhasználásához való hozzájárulásra irányuló megerősítést félreérthetetlenül kifejező cselekedetnek. Az érintettnek nem a tájékoztatót kell „elfogadnia”, hanem a tájékoztatás alapján az adatkezeléshez kell hozzájárulnia, az adatkezeléshez történő hozzájárulásáról kell kifejezetten nyilatkoznia. A hozzájáruláshoz tehát szorosan kapcsolódik a tájékoztatás, az érintett ugyanis a megfelelő információk birtokában tudja meghozni azon döntését, hogy beleegyezését adja-e az őt érintő személyes adatok kezeléséhez. A tájékoztatással kapcsolatban az érintettől esetlegesen olyan nyilatkozat várható el, hogy annak tartalmát megismerte, az abban foglaltakat tudomásul vette, szerepe tehát abban merül ki, hogy a hozzájárulás tájékozottságát bizonyíthatja.
## 56. § (1) bekezdése3 alapján f e l s z ó l í t j a az Adatkezelőt arra, hogy haladéktalanul törölje a „Csatlakozzunk az Európai Ügyészséghez!” elnevezésű kezdeményezéssel összefüggésben 2018. július 19. és 2019. május 30. között az érintettektől gyűjtött valamennyi személyes adatot, mivel azok gyűjtése érvényes jogalap nélkül
történt. A Hatóság tájékoztatja, hogy az Infotv. 56. § (2) bekezdése4 értelmében az Adatkezelőnek haladéktalanulmeg kell tennie a szükséges intézkedéseket, és köteles a felszólítás nyomán megtett intézkedéseiről a felszólítás kézhezvételétől számított harminc (30) napon belül írásban tájékoztatni a Hatóságot. A Hatóság kéri, hogy válaszleveléhez mellékelje az törlést igazoló dokumentumokat. Az Infotv. 58. § (1) bekezdés értelmében, ha a felszólítás alapján a jogsérelem orvoslására, illetve a jogsérelem közvetlen veszélyének megszüntetésére nem került sor, a Hatóság a tájékoztatási határidő lejártát követő harminc napon belül dönt a szükséges további intézkedések megtételéről. Budapest, 2019. október 11.
történt. A Hatóság tájékoztatja, hogy az Infotv. 56. § (2) bekezdése4 értelmében az Adatkezelőnek haladéktalanul meg kell tennie a szükséges intézkedéseket, és köteles a felszólítás nyomán megtett intézkedéseiről a felszólítás kézhezvételétől számított harminc (30) napon belül írásban tájékoztatni a Hatóságot. A Hatóság kéri, hogy válaszleveléhez mellékelje az törlést igazoló dokumentumokat. Az Infotv. 58. § (1) bekezdés értelmében, ha a felszólítás alapján a jogsérelem orvoslására, illetve a jogsérelem közvetlen veszélyének megszüntetésére nem került sor, a Hatóság a tájékoztatási határidő lejártát követő harminc napon belül dönt a szükséges további intézkedések megtételéről. Budapest, 2019. október 11.
Üdvözlettel:
Dr. Péterfalvi Attila elnök c. egyetemi tanár
3Infotv. 56. § (1)„Ha a Hatóság a személyes adatok kezelésével, illetve a közérdekű adatok vagy a közérdekből nyilvános adatok megismeréséhez fűződő jogok gyakorlásával kapcsolatos jogsérelem vagy annak közvetlen veszélye fennállását megalapozottnak tartja, az adatkezelőt a jogsérelem orvoslására, illetve annak közvetlen veszélye megszüntetésére szólítja fel.“. 4Infotv. 56. § (2) „Az adatkezelő – egyetértése esetén – haladéktalanul megteszi az (1) bekezdés szerinti felszólításban megjelölt szükséges intézkedéseket, és a megtett intézkedéseiről, illetve – egyet nem értése esetén – álláspontjáról a felszólítás kézhezvételétől számított harminc napon belül írásban tájékoztatja a Hatóságot.”
3 Infotv. 56. § (1) „Ha a Hatóság a személyes adatok kezelésével, illetve a közérdekű adatok vagy a közérdekből nyilvános adatok megismeréséhez fűződő jogok gyakorlásával kapcsolatos jogsérelem vagy annak közvetlen veszélye fennállását megalapozottnak tartja, az adatkezelőt a jogsérelem orvoslására, illetve annak közvetlen veszélye megszüntetésére szólítja fel.“. 4 Infotv. 56. § (2) „Az adatkezelő – egyetértése esetén – haladéktalanul megteszi az (1) bekezdés szerinti felszólításban megjelölt szükséges intézkedéseket, és a megtett intézkedéseiről, illetve – egyet nem értése esetén – álláspontjáról a felszólítás kézhezvételétől számított harminc napon belül írásban tájékoztatja a Hatóságot.”