Ügyszám: NAIH-373-31/2023. Tárgy: határozat HATÁROZAT ## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a ## Pitagorasz Oktatási Stúdió Kft.-vel (Cg. 01-09-309194; a továbbiakban: Ügyfél1) szemben a piackutatási és direkt marketing célú adatkezelési gyakorlata jogszerűségének vizsgálatára hivatalból indult adatvédelmi hatósági eljárásban – amely eljárásba a Hatóság a […] Zrt.-t (a továbbiakban: Ügyfél2) ügyfélként bevonta – az alábbi döntéseket hozza: 1. ## A Hatóság megállapítja, hogy Ügyfél1 a jogos érdeke fennálltát nem igazolta a személyi adat- és lakcímnyilvántartásból igényelt kiskorú érintettek név- és lakcímadata kezelése tekintetében, ennélfogva az Ügyfél1 jogalap nélkül kezelte az igényelt személyes adatokat, megsértve ezáltal a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet vagy GDPR) 5. cikk (2) bekezdése szerinti elszámoltathatóság alapelvét, valamint a GDPR 6. cikk (1) bekezdését. 2. ## A Hatóság megállapítja, hogy az Ügyfél1 a 2020-ban és 2021-ben történt postai megkereséseivel összefüggésben folytatott adatkezelése során megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerinti célhoz kötöttség alapelvét. 3. A Hatóság az Ügyfél1 által 2020-ban és 2021-ben igényelt név- és lakcímadatok kezelése tekintetében megállapítja, hogy az adatkezelés célja tekintetében megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontjában foglalt tisztességes adatkezelés alapelvét. 4. A Hatóság az Ügyfél1 postai megkereséseihez kapcsolódó adatkezelésével összefüggésben megállapítja, hogy az Ügyfél1 megsértette az általános adatvédelmi rendelet 12. cikk (1) bekezdését és a 14. cikk (1) bekezdés a) és c) pontjaiban, valamint a 14. cikk (2) bekezdés b), c) és e) pontjaiban foglaltakat. 5. ## A Hatóság megállapítja, hogy az Ügyfél1 a hírlevélküldéshez kapcsolódó adatkezelésével összefüggésben megsértette a GDPR 6. cikk (1) bekezdését. 6. A Hatóság az Ügyfél1 hírlevélküldéshez kapcsolódó adatkezelésével kapcsolatban megállapította, hogy Ügyfél1 megsértette a GDPR 12. cikk (1) bekezdését, valamint a 13. cikk (1) bekezdés c) és e) pontjait és (2) bekezdésé d) pontját. 7. ## A Hatóság megállapította, hogy az Ügyfél1 azáltal, hogy a feliratkozásukat visszavonó érintettek személyes adatait a hozzájárulásuk visszavonása ellenére nem törölte, megsérti a GDPR 17. cikk (1) bekezdés b) pontját. 8. ## A Hatóság a GDPR 58. cikk (2) bekezdés d) pontja alapján utasítja az Ügyfél1-et, hogy dokumentált módon véglegesen törölje az adatbázisában tárolt azon érintettek adatait, akik a hírlevélküldésről leiratkoztak, illetőleg akiknek a megadott elérhetőségére a hírlevélküldés sikertelen volt. 9. A Hatóság a fenti adatvédelmi jogsértések miatt az Ügyfél1-et ## 500.000 Ft, azaz ötszázezer forint adatvédelmi bírság megfizetésére kötelezi. 10. A Hatóság a NAIH-8386-1/2022. és a NAIH-8386-2/2022. számú végzéseiben elrendelt adatbázisok lefoglalását megszünteti. ## 11. A Hatóság az Ügyfél2-vel szemben hivatalból indult adatvédelmi hatósági eljárást megszünteti. A fenti 8. pontban előírt kötelezettség teljesítését az Ügyfél1-nek a jelen határozattal szembeni jogorvoslati határidő leteltét követő 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 61. § (6) bekezdése alapján a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg. A fenti 9. pont szerinti bírságot a jelen határozat véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425- 00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a „NAIH-373/2023 BÍRS.” számra kell hivatkozni. Ha az Ügyfél1 a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése, illetve a fenti 8. pont szerinti kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását. Az eljárásban eljárási költség nem merült fel. A határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. A Hatóság jelen határozatot a Hatóság honlapján az Ügyfél1 azonosító adatának megjelölésével közzéteszi. 1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program ( ÁNYK program) alkalmazásával tölthető ki. https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata INDOKO LÁS I. Az eljárás menete és a tényállás tisztázása ## 1. Előzmény ügyek (1) A Hatósághoz több bejelentés érkezett, amelyekben az Ügyfél1 kiskorú gyermekeknek, illetve azok törvényes képviselőjét is megszólító címzéssel (a küldeményen a címzett megnevezése: X.Y. törvényes képviselőjének) – postai úton küldött piackutatási és direkt marketing célú megkeresésekkel összefüggésben megvalósuló adatkezelését kifogásolták. A bejelentők sérelmezték, hogy az Ügyfél1 a piackutatási céltól eltérően reklámcélú megkeresést küldött postai úton a kiskorú gyermekeknek, illetve törvényes képviselőjüknek címezve. Előadták továbbá, hogy a megkeresések egyáltalán nem, vagy csak online úton kitölthető piackutatási kérdőívet tartalmaztak. A Hatósághoz 2022. szeptember 5-én érkezett, NAIH-7276-1/2022. számon iktatott bejelentés szerint a bejelentő részére postázott levél tartalmazott piackutatási kérdőívet, azonban a bejelentő álláspontja szerint a megkeresés megtévesztő, hiszen az direkt marketing célra irányul, továbbá „Az Oktatási Hivatal tájékoztatója a felvételiről…” szerepel a borítékon, ami szintén azt a benyomást kelti, mintha hivatalos értesítést kapott volna az érintett. (2) A bejelentések alapján az Ügyfél1-gyel szemben több vizsgálat indult, amelyekkel összefüggésben a tényállás feltárása során megállapítható volt, hogy az Ügyfél1 adatkezelési gyakorlatának jogszerűsége (jogalap, tájékoztatás, személyes adatok tárolása, érintetti joggyakorlás biztosítása, adatkezelési cél stb.) nem kellően tisztázott. (3) A Hatóság ezen okból hivatalból adatvédelmi hatósági eljárást indított az Ügyfél1 piackutatási és direkt marketing célú adatkezelési gyakorlata jogszerűségének vizsgálatára. (4) Az Infotv. 71. § (2) bekezdése alapján a Hatóság jelen eljárásban felhasználta az alábbi iratokban található tényeket és egyéb bizonyítékokat, amelyek az Ügyfél1-gyel kapcsolatos korábbi vizsgálati eljárásokban keletkeztek: (i) A Hatóság által NAIH/2020/6537/1. számon iktatott érintetti panasz. (ii) A Hatóság által NAIH-172-1/2021. számon iktatott, az Ügyfél1 nyilatkozatait tartalmazó válaszlevél és mellékletei. (iii) NAIH-5200-1/2021. számon iktatott érintetti panasz. (iv) NAIH-6956-1/2021. számon iktatott érintetti panasz. (v) NAIH-7276-1/2022. számon iktatott érintetti panasz. (5) Ügyfél1 a NAIH-172-1/2021. számú, 2021. január 4-én kelt válaszadása során az alábbi, a döntés szempontjából releváns nyilatkozatokat tette és iratokat csatolta: (i) Ügyfél1 a nyilatkozata és a csatolt dokumentumok alapján a Belügyminisztérium Személyi Nyilvántartási és Igazgatási Főosztály Személyi Nyilvántartási Adatszolgáltatási és Engedélyezési Osztályához (a továbbiakban: BM) intézett, a személyi adat- és lakcímnyilvántartásból történő adatszolgáltatás-kérés keretében igényelt név- és lakcím adatokat. Az Ügyfél1 által csatolt 2020. február 17-én kelt adatigénylési kérelmében foglaltak szerint az adatigénylés a 2006.06.01. és 2011.08.31. között született polgárok név- és lakcím adataira terjedt ki az Ügyfél1 által későbbiekben megjelölt települések vonatkozásában. A kérelemben foglaltak szerint az adatfelhasználás célja az Ügyfél1 által szervezett felvételi előkészítő tanfolyamokkal kapcsolatos piackutatás. A BM 2020. február 24-én kelt BMSZAE/773-2/2020. számú határozatában az Ügyfél1 adatszolgáltatás iránti kérelmének helyt adott és engedélyezte, hogy a polgárok személyi adatainak és lakcímének nyilvántartásából csoportos adatszolgáltatást vegyen igénybe. A határozatban foglaltak szerint „Az engedéllyel érintett adatkör a kérelem szerinti ismérvek (életkor – 2006.06.01. és 2011.08.31. közötti születésű – és településnév) alapján leválogatott kiskorú polgárok név- és lakcímadatára terjed ki.”, továbbá „A kérelmező a postai borítékon, az illető kiskorú személy családi és utónév adata után a „törvényes képviselője” szöveget is köteles feltüntetni.” (ii) Az adatszolgáltatást a BM elektronikus adathordozón teljesítette. Az adatok átadásakor készült átvételi jegyzőkönyv – amelynek másolatát Ügyfél1 a válaszleveléhez csatolta – alapján az átadott rekordok száma: 33.185. (iii) Adatok kezelésének időtartama: a BM határozata alapján a szolgáltatott adatok 6 hónapig használhatók fel a legutolsó egyeztetéstől számítva. Ügyfél1 nyilatkozata szerint a BM-mel 2020. március 11-én, az adatok átadásakor történt egyeztetés, majd a levelek postázásakor, 2020. augusztus 17-én az átadott adatokat megsemmisítették, mert az adatigénylés célja a levelek postázásával teljesült. (iv) Az adatok forrásáról a levelek alsó részén tájékoztatták a szülőket, továbbá arról, hogy az adatok felhasználását a levél továbbításával megszüntették. (v) A Hatóság azon kérdésére, hogy mely célból és milyen jogalap alapján kezelik az adatokat, Ügyfél1 akként nyilatkozott, hogy az adatokat a felvételi előkészítő tanfolyamot megelőző, és ehhez kapcsolódó piackutatási tevékenység megkezdése céljából kérték ki, és mivel a BM az adatokat kiadta, így az adat kiadását az adat érintettjének törvényes képviselője nem korlátozta. (vi) Az átadott adatokat Ügyfél1 képviselője személyesen egy pendrive-on vette át, és a levelek postázásáig, ill. az adatok megsemmisítéséig a személyes széfjében őrizte. Mivel Ügyfél1-nek más alkalmazottja nincs, az ügyvezetőn kívül másnak nem volt lehetősége az adatokhoz hozzáférni. (vii) Adattovábbítás nem történt. (viii) A Hatóság azon kérdésére, hogy mikor és hogyan nyújtanak tájékoztatást az érintettek, illetve a beiratkozási adatlapot visszaküldő törvényes képviselők részére, az Ügyfél1 előadta, hogy a levélben szereplő adatlapot senki nem küldte vissza, mert az – ahogy a levélből is kiderül – a beiratkozáson volt felhasználható, személyes megjelenés és helyszíni tandíjbefizetés során. Továbbá azon postai cím sem volt megadva, ahova küldeniük kellene, ezért a tandíjat is csak személyesen tudták befizetni, mert ahhoz bankszámlaszámot sem közöltek. 2. ## A jelen adatvédelmi hatósági eljárás (6) A Hatóság a NAIH-8386-1/2022. számú végzésében értesítette az Ügyfél1-et az adatvédelmi hatóság eljárásról és a tényállás tisztázása érdekében nyilatkozattételre hívta fel, továbbá a végzésében egyidejűleg lefoglalta az Ügyfél1 által kezelt személyes adatokat tartalmazó adatbázisait, valamint ezen adatbázisok működésére vonatkozó naplófájlokat. (7) A Hatóság a NAIH-8386-2/2023. sz. végzésében az adatvédelmi hatósági eljárásról történő értesítés mellett az Ügyfél2-t – mivel jogát, jogos érdekét az ügy közvetlenül érinti – az eljárásba ügyfélként bevonta és a tényállás tisztázása érdekében nyilatkozattételre hívta fel. 2.1 A jelen adatvédelmi hatósági eljárásban a Hatóság megkereséseiben foglalt kérdésekkel kapcsolatban Ügyfél1 az alábbi, a döntés szempontjából releváns nyilatkozatokat tette: (8) A BM csoportos adatszolgáltatást engedélyező határozata egyfajta keretengedély, amely engedélyező határozatra hivatkozva történtek a későbbiekben a konkrét, megjelölt településekre vonatkozóan az egyes adatigénylések. (9) A Hatóság azon kérdésére, hogy a BM miért bontotta korosztályokra az adatszolgáltatását, továbbá miért határolta el az életkorokat egymástól az átvételi jegyzőkönyvben jelöltek szerint, az Ügyfél1 akként nyilatkozott, hogy a korábban hivatkozott BMSZAE/773-2/2020. számú engedélyező határozat a 2006.06.01. és 2011.08.31. között születettekre vonatkozott, de mivel Ügyfél1 számára csak a valószínűsíthetően nyolcadikos, hatodikos és negyedikes diákok voltak lényegesek – mivel a felvételi lehetősége őket érinthette ezért a településlista leadásakor a születési időintervallumokat Ügyfél1 leszűkítette. 2006.06.01.-2007.04.30. születési időpont között az akkori vélhetően nyolcadikosok, 2008.06.01.-2009.04.30. között az akkori vélhetően hatodikosok, 2010.06.01.-2011.04.30. születési időpont között az akkori vélhetően negyedikesek vannak. A BM azért bontotta részekre az adatbázist – az Ügyfél1 kérése szerint – mert a különböző korcsoportok nem teljesen azonos levelet kaptak. (10) A Hatóság azon kérdésére, hogy a gyermekek törvényes képviselőinek 2020 augusztusában küldött levélben szereplő „véletlenszerű kiválasztással kértük ki” kifejezés mit jelent, Ügyfél1 úgy nyilatkozott, hogy nincs olyan információ, melyből tudhatnák, hogy az adott érintett éppen hányadik osztályos, azaz pl. a vélt nyolcadikos lehet hetedikes vagy kilencedikes is. (11) A BM engedélyező határozata alapján kiadott adatok a nevet és a postázásra alkalmas lakcímet tartalmazták. Az adatokat a levelek postára adása után megsemmisítették, nem adták át senkinek és többször nem használták fel, amelyről az érintetteknek küldött levélben is tájékoztatást adtak az érintetteknek, amellett, hogy az adatkezelési tájékoztatót a www.pitagorasz.hu oldalon találhatják. (12) Jelen piackutatás célja az Ügyfél1 felvételi előkészítő tanfolyami lehetőségeinek felmérése, a szülői igények felmérése. (13) Az Ügyfél1 a Hatóság azon felhívására, hogy a piackutatási cél fennálltának igazolására mutassa be piackutatási tevékenységét, továbbá nyilatkozzon, hogy készült-e kutatási terv, és amennyiben igen, csatolja annak másolatát, az alábbi nyilatkozatokat tette: Az Ügyfél1 egy családi vállalkozás, a céggel kapcsolatos döntéseket ebből kifolyólag „családi körben” hozzák meg. Nyilatkozata szerint nem lenne életszerű, hogy ezekről a döntéseikről kutatási tervet, feljegyzéseket, jegyzőkönyvet készítsenek. Mivel erre jogszabályi kötelezettségük sincs, ezért kutatási tervet nem készítettek, továbbá piackutatási tanulmányt sem. Annak eredményeit maguk között megvitatták és a munkát annak alapján folytatták. Piackutatási adatkezelési tervet azonban készítettek, melyről az érintetteket a kiküldött postai levélben tájékoztatták az alábbiak szerint: „Tisztelt Szülő! Ezt a tájékoztatót a Pitagorasz Oktatási Stúdió Kft. készítette Önnek. Székhelyünk: 1028 Budapest Szilágyi Erzsébet utca 30. Tájékoztatjuk, hogy az Ön adatainak forrása a Belügyminisztérium Személyi Nyilvántartási és Igazgatási Főosztály Személyi Nyilvántartási Adatszolgáltatási és Engedélyezési Osztálya. Tájékoztatjuk, hogy a felhasznált adatokat nem tároljuk, azokat nem továbbítjuk, és a levél postára adását követően – mire Ön kézhez kapja – már töröltük. Jelen piackutatás célja a Pitagorasz Oktatási Stúdió Kft. felvételi előkészítő tanfolyami lehetőségeinek felmérése, a szülői igények megismerése. Az adatkezelés jogalapja: kutatás és közvetlen üzletszerzés célját szolgáló név- és lakcímadatok kezeléséről szóló 1995. évi CXIX. törvény 3. § (1) bekezdés d) pontja. A Pitagorasz Oktatási Stúdió Kft. adatkezelési nyilatkozatát a www.pitagorasz.hu oldalon tekintheti meg.” (14) Ügyfél1 szerint az adatkezelés jogalapja a kutatás és közvetlen üzletszerzés célját szolgáló név- és lakcímadatok kezeléséről szóló 1995. évi CXIX. törvény 3. § (1) bekezdés d) pontja. Ügyfél1 ezen korábbi nyilatkozatához kapcsolódóan a későbbiekben úgy nyilatkozott, hogy a BM-től átvett adatok ideiglenes kezelésének a jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja. Ügyfél1 jogos érdeke a piackutatás, ugyanis a piackutatás biztosítja azokat az információkat, amely alapján a szülői elvárásoknak megfelelően szervezhetnek felvételi előkészítő tanfolyamokat, így mely oktatási forma a legkedveltebb, milyen tartalmi elvárásaik vannak a szülőknek az előkészítőkkel kapcsolatban. A piackutatás eredményeként tud Ügyfél1 hatékony tartalmi struktúrát és tanmenetet kialakítani. Az Ügyfél1 nyilatkozata szerint az érintetteknek kiküldött levélben szereplő – a (13) pontban ismertetett tartalmú – tájékoztatásban az adatkezelés jogalapja helytelenül szerepelt, mert az valójában a jogos érdek. A tévedést nyilatkozata szerint a BM adatkérelmet engedélyező határozatában megjelölt adatfelhasználás jogalapja okozta. (15) Az Ügyfél1 nyilatkozata szerint érdekmérlegelési tanulmányt nem készítettek, de mérlegelésük alapján arra jutottak, „hogy helyesebb ezt széleskörűen megvizsgálni, mint olyan munkát, energiát, szervezést és anyagiakat megkockáztatni, ami a szülők oldaláról nem talál kedvező fogadtatásra. Egy új koncepció alapján az új tanfolyami tananyag, valamint ennek videós és informatikai hátterének kifejlesztése minimum 900-1000 órányi tanári és informatikai munka, melyet önerőből kellett elvégeznünk, a szokásos napi operatív feladataink mellett.” Az Ügyfél1 nyilatkozata szerint a jogos érdekük az, hogy mielőtt ezt a munkát elvégzik, alaposan tájékozódjanak. (16) Ügyfél1 a BM-hez 2020. március 11. után 2021-ben és 2022-ben is nyújtott be adatigénylési kérelmet, mely adatszolgáltatás iránti kérelmeknek a BM a BMSZAE/537- 1/2021., illetve a BMSZAE/617-1/2022. számú határozataiban helyt adott. (17) A BM BMSZAE/617-1/2022. számú engedélyező határozata alapján átvételi jegyzőkönyvvel 29003 db rekordot vett át Ügyfél1 elektronikus adathordozón. Ezen személyeket keresték meg a piackutatási levéllel. (18) A BM-től igényelt név- és lakcím adatokat a postázást követően megsemmisítették valamennyi esetben, így személyes adat kezelése a postázást követően nem történik ezzel összefüggésben. (19) A különböző korcsoportok törvényes képviselőit különböző piackutatási postai levéllel keresik meg. A levél egyik oldalán szerepel az a 4 kérdés, amellyel az érintetteket megkeresték. A kérdőívet az érintettek kitölthették online, gyakorlatilag anonim módon, de választhatták a postai utat is a kérdőív visszaküldésére, amely utóbbi lehetőséggel csak néhányan éltek. A kapott leveleket Ügyfél1 megsemmisítette, a kérdésekre adott válaszokat feldolgozták és megfontolták. A visszaküldött kérdőíveken semmilyen adat nem szerepelt, csak a bejelölt válaszok, így a beküldők egyetlen adatához sem fért hozzá Ügyfél1 a nyilatkozata szerint. (20) A korcsoportonként postai úton kiküldött kérdőíveken megjelölt www.nyolcadikosok.hu, www.hatodikosok.hu és www.negyedikesek.hu oldalak tetején a digitális kérdőív folyamatosan elérhető. A kérdőív kitöltéséhez csak valamilyen e-mail címet kell megadni, ami a levelező rendszer követelménye, de az lehet fiktív cím is, mert a kérdőíven megadott válaszok lényegesek, a válaszadó adatai nem, amelyet az online kérdőíven fel is tüntettek. A kérdőívet 430 ember töltötte ki. (21) A levelek postázása akként történik, hogy a BM-től átvett adatokból etikett címkéket készít, majd ezek borítékokra történő felragasztását követően a leveleket díjhiteles postai küldeményként feladja. A BM-től kapott címadatok mindegyikére küldtek postai levelet. (22) 2020 őszén a Covid járvány eredményeként egy irányváltásra volt szükség, ezért döntött az Ügyfél1 egy széleskörű piackutatás mellett, hogy megtudják a szülők elképzeléseit a felvételi előkészítők számukra elfogadható módjáról. A piackutatás eredménye az alábbi döntéseket alapozta meg: A kiküldött kérdőív 2. kérdésére (A tantermi előkészítő helyett vagy mellett szívesen választana-e online felvételi előkészítőt) érkezett válaszok alapján lehetőséget biztosítottak az érdeklődőknek, hogy online formában követhessék a tantermi munkát. Megvalósították, hogy hagyományos előkészítő látogatása mellett a diákok a tantermi előkészítő anyagát otthonról videón bármikor visszanézhessék. A kiküldött kérdőív 3. kérdésére (Ön szerint segítené-e a felkészülést, ha a korábbi évek felvételi feladatsoraival megismerkedne, és azok megoldásait, magyarázatait videón megtekinthetné?) érkezett válaszok alapján létrehoztak egy online felületet, mely a korábbi évek felvételi feladatsorait mutatja be videón az érdeklődőknek. A kiküldött kérdőív 4. kérdésére (A felvételi előkészítő keretében szükségesnek tartja-e az előző tanév matematika és magyar nyelv tananyagának tételes átismétlését?) érkezett válaszok alapján azt az elképzelést, hogy az előkészítő foglalkozások keretében az előző tanév matematika és magyar nyelv anyagát átismételjék, elvetették, erre ugyanis nem volt jelentős igényük a szülőknek. (23) Ügyfél1 a nyilatkozata szerint a 2020-2021-es tanévben kb. 29.500 db levelet küldött ki, a piackutatási kérdőívet kb. 400 fő töltötte ki. Az adott tanévben beiratkozás nem történt, mert a meghirdetett tanfolyamokat a covid járvány miatt le kellett mondani. A piackutatási kérdőíveket ennek ellenére kiküldték, mert azok az aktuális tanév előkészítő tanfolyamaitól függetlenek voltak. (24) A 2021-2022-es tanévben kb. 25.000 – a Hatóság felhívására mintaként is becsatolt levelet küldtek ki, a piackutatási kérdőívet kb. 500 fő töltötte ki postai és online úton. A tanévben felvételi előkészítőre kb. 650 fő iratkozott be. A február óta az interneten meghirdetett előkészítőre a piackutatási levelek kiküldéséig kb. 540-en jelentkeztek, a piackutatási levelek kiküldése után – vélhetően azzal nem összefüggésben – az utolsó héten még kb. 110-en. (25) A 2022-2023-as tanévben kb. 29.000 – a Hatóság felhívására mintaként is becsatolt levelet küldtek ki, a piackutatási kérdőívet kb. 300 fő töltötte ki postai és online úton. A tanévben felvételi előkészítőre kb. 570 fő iratkozott be. A február óta az interneten meghirdetett előkészítőre a piackutatási levelek kiküldéséig kb. 490-en jelentkeztek, a piackutatási levelek kiküldése után – vélhetően azzal nem összefüggésben – az utolsó héten még kb. 80-an. (26) Ügyfél1 megjegyezte továbbá, hogy a piackutató ívek postázása szinte egy időbe esett a meghirdetett tanfolyamok kezdési időpontjával, alig előzte azt meg, ami azt igazolja, hogy valódi piackutatási célokat és nem a bejelentők által vélelmezett direkt marketing célokat szolgált. Az előkészítő tanfolyamok szeptember első felében kezdődtek, ezért azok meghirdetése már hónapokkal korábban megkezdődött internetes és közösségi médiában történő hirdetésekkel, mert így lehetséges annyi érdeklődőt gyűjteni, hogy a tanfolyamokat be tudják indítani. Ügyfél1 álláspontja szerint a tanfolyamok hallgatóinak toborzására a kezdés előtt 8-10 nappal direkt marketing céllal levélreklámot indítani megkésett dolog lenne, ráadásul a kiküldött levélben csak a szülői igények megismerésére vonatkozó kérdések vannak, vásárlási ajánlat, ösztönzés, beiratkozási lehetőség stb. nincsen. (27) Ügyfél1 a 2023. január 18-án kelt válaszlevele mellékleteként csatolta az adatkezelési tájékoztatóját, amely Ügyfél1 weboldalán is elérhető volt. Ezen „Adatkezelési nyilatkozat” hatálya a dokumentumban foglaltak szerint kizárólag az oldal használatához szükséges, az Ügyfél1 rendelkezésére bocsátott adatokra terjed ki, célja, hogy a www.pitagorasz.hu weboldalon megadott és a weboldal üzemeltetői (Ügyfél1) számára hozzáférhetővé vált személyes adatok és egyéb adatok kezelésére vonatkozó elveket és szabályokat meghatározza. Az adatkezelési nyilatkozatban foglaltak szerint az adatkezelés jogalapja a „Felhasználó önkéntes hozzájárulása, hogy a weboldal használata közben megadott személyes adatai felhasználásra kerüljenek, illetve az Infotv. 5. § (1) bekezdése és a 2001. évi CVIII. törvény 13/A. § (3) bekezdése”. Az adatkezelés célja kizárólag a felhasználókkal és vásárlókkal történő kapcsolattartás megkönnyítése, adott esetben bizonyos szolgáltatások személyre szabott nyújtása, hírlevél továbbítása. (28) Ügyfél1 az előző pontban ismertetettek szerint megküldött és az Ügyfél1 weboldalán is elérhető adatkezelési tájékoztatóját a hatósági eljárás alatt módosította, amelyről a Hatóságot a 2023. március 21. napján megküldött nyilatkozatában értesítette, egyúttal megküldte a Hatóság részére annak másolatát és tájékoztatta, hogy immár a honlapon is a megküldött tájékoztató érhető el. (29) Az Ügyfél1 előadta továbbá, hogy a piackutatással annak magasabb költségei miatt nem bízott meg külső piackutató céget, ehelyett a piackutatást maguk végezték el, így az anyagi lehetőségeik szélesebb körű megkérdezést tettek lehetővé. A szükséges fejlesztéseket az elmúlt időben elvégezték, és a piackutatás ezen módját a jövőben nem alkalmazzák. (30) A www.pitagorasz.hu weboldalon lehetőség van hírlevélre feliratkozásra. Ebben az esetben a hírlevélküldés mindaddig történik, amíg az érintett arról le nem iratkozik. Minden hírlevélben van leiratkozási link. A hírlevélre feliratkozók és az időnként leiratkozók változása miatt egy tanévben körülbelül 1000 fő a hírlevéllistán ténylegesen szereplők száma. Ügyfél1 a Hatóság felhívására csatolta az egyes tanévekben kiküldött hírlevele egy-egy szövegmintáját, azaz mindösszesen három hírlevele mintáját. (31) A hírlevélküldéssel összefüggésben történő adatkezelés jogalapja az, hogy az érintett hozzájárulását adta az adatkezeléshez, az adatkezelési szabályzat ismeretében iratkozott fel hírlevélre. Az adatkezelés célja a hírlevélen keresztüli kapcsolattartás, hogy időnként fontos, oktatáshoz kötött információkra emlékeztessék a szülőket (pl. a tanév rendje, felvételire jelentkezés határideje és a jelentkezés módja, felvételi eljárás rendje stb.). (32) Az érdeklődők csak úgy iratkozhatnak fel a hírlevélre, ha az adatkezelési szabályzatot elolvasták és nyilatkoztak arról, hogy azt megismerték és elfogadták. (33) Ügyfél1 2013. február 1-jén csatlakozott a Webgalamb levelező rendszerhez. A csatlakozás online felületen történt, amelyhez kapcsolódóan szerződéskötés nem történt, Ügyfél1 csatolta azon e-mail levél másolatát, melyet a feliratkozáskor kapott a Webgalambtól. Ügyfél1 nyilatkozata szerint a Hatóság által elrendelt lefoglalást az előírt módon teljesíteni nem tudja, mert a Webgalamb levelező rendszer az Ügyfél2 szerverén fut, akik annak karbantartói is, oda érkeznek a feliratkozók önként megadott adatai és onnan indítják az időszakos hírleveleket. A Webgalamb levelező szoftver megvásárlásával ezekhez a naplókhoz Ügyfél1 – nyilatkozata szerint – nem fér hozzá, csak a felhasználói felületet látja. (34) Ügyfél1 csatolta azon excel adatbázisai másolatát, amelyek a www.pitagorasz.hu weboldalon feliratkozottak listáját tartalmazza a 2019/2020., a 2020/2021. és 2021/2022. tanévre vonatkozóan. A csatolt táblázatok az alábbi adatokat mentették, illetve tárolják a feliratkozókról: e-mail cím, IP cím, feliratkozás ideje, státusz (aktív/visszapattant), ID (6 számjegyű azonosító valamennyi feliratkozónál), feliratkozási URL, 2019/2020/2021. szeptembertől hányadik osztályos a diák, Magyarország melyik részén lakik. A táblázatok utolsó oszlopában a 2019/2020. tanévre vonatkozóban „Az adatkezelési nyilatkozatot elfogadom” oszlop szerepel, azonban valamennyi feliratkozónál üresen. A 2020/2021. tanévben és a 2021/2022. tanévben feliratkozottaknál „Az adatkezelési szabályzatot megismertem és elfogadom. Ahhoz, hogy a Pitagorasz Oktatási Stúdió Kft. marketing célból hírlevelet küldjön és közvetlen üzletszerzési céllal megkeressen: hozzájárulok.” szöveg szerepel. (35) Ügyfél1 nyilatkozata szerint egy korábban hírlevélküldésre feliratkozott érintett leiratkozásakor – melyet az érintett a hírlevélben megtalálható leiratkozási linkkel tehet meg – nincs tennivalója Ügyfél1-nek, a Webgalamb levelező rendszer a leiratkozási linkre kattintással azonnal automatikusan törli, a feliratkozó ezzel véglegesen kikerül az adatbázisból oly módon, hogy a leiratkozó érintett kilétéről Ügyfél1-nek nincs is tudomása. Ha valamely feliratkozónak sikertelen a levélküldés, ebben az esetben a Webgalamb rendszere ezt jelzi, és ezek az adatok véglegesen törlésre kerülnek, és ezzel kikerülnek az adatbázisból. (36) Ügyfél1 nyilatkozata szerint az adatvédelmi tájékoztatóban feltüntetettekkel ellentétben Ügyfél2 nem adatfeldolgozó, csupán a szerverükön tárolják Ügyfél1 Webgalamb szoftverét és annak adatait. (37) A Hatóság az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 76. §-a alapján nyilatkozattételre hívta fel az ügyfeleket. Az Ügyfél1 az iratbetekintési jogának gyakorlását követően úgy nyilatkozott, hogy az eljárás megindítását követően azonnal felülvizsgálta az adatvédelmi szabályzatát és annak eredményeként új szabályzatot készíttetett. Nyilatkozata szerint a BM-től történő adatigénylésen alapuló postai megkeresés-küldés gyakorlatát, mint piackutatási módot megszüntették a Hatóság eljárása óta és a jövőben azt nem is alkalmazzák. 2.2 A Hatóság a tényállás tisztázása érdekében nyilatkozattételre hívta fel Ügyfél2-t. Ügyfél2 a Hatóság megkereséseiben foglalt kérdésekkel kapcsolatban az alábbiakat nyilatkozta: (38) Ügyfél1-gyel a […] kötött szerződést 2013. február 1-jén. A […] Kft. nem az Ügyfél2 jogelődje, de tudomásuk szerint Ügyfél1-gyel online kötötték a korábbi szerződést. (39) Ügyfél2 a Webgalamb 8.1.0 szoftver tekintetében áll kapcsolatban Ügyfél1-gyel, a szerződést minden szoftververzióra online megrendeléssel és távollévő felek között kelt szerződéssel kötik. Legutóbb a Webgalamb WG8+ szoftverre kötöttek szerződést Ügyfél1gyel 2020. december 6-án a 12.59 órakor leadott 593763 iktatószámú megrendelés alapján, melynek másolatát a nyilatkozatához mellékelte. Az ehhez kapcsolódó licencszerződés Ügyfél2 honlapján elérhető, és amelyet Ügyfél1 a használat előtt előzetesen elfogadott. Ügyfél2 továbbá megküldte azon dokumentumok/szerződések hivatkozását, amelyeket távollévők között kelt szerződéssel az Ügyfél1-gyel kötött, így az adatkezelési tájékoztatót, és az Általános Felhasználói Feltételek és Jogi Nyilatkozat elnevezésű dokumentumot. (40) Ügyfél1 részére a […] címen elérhető Webgalamb 8.1.0 online hírlevélküldő programjának tárhely szolgáltatását biztosítja, ami gyakorlatilag ugyanaz, mint egy weboldal tárhely biztosítása. Az ott végzett tevékenységet Ügyfél1 saját maga végzi, ebben Ügyfél2 semmiféle adatrögzítési, adatkezelési, szerkesztési vagy egyéb támogatást nem nyújt, a rendszerhez hozzáféréssel Ügyfél2 nem rendelkezik, az ott tárolt adatok forrását nem ismerik. A Webgalamb szoftver alapvető működése – a többi hírlevélszerkesztő programhoz hasonlóan –, hogy egy bármely, a verziószámnak megfelelő futtatási paraméterekkel rendelkező webszerverre történő kitelepítést követően a programban található funkciókkal feliratkozási űrlap hozható létre a program használója által szabadon összeállított paraméterekkel (pl. név, e-mail cím stb.) és feliratkozási mezőkkel, illetve szabadon megszabott nyilatkozattételi-kérésekkel (adatkezelési nyilatkozattétel, ÁSZF elfogadása stb.). Ezt követően az így létrehozott feliratkozási űrlap a honlapba integrálható, melyen keresztül feliratkozók gyűjthetők az adott feliratkozási csoport olvasói közé. Az olvasóknak a programban levél, körlevél, tájékoztató levél, hírlevél szerkeszthető és küldhető ki ütemezetten és csoportosan. A hírlevélbe számos panel építhető be, többek között adatmódosítás link, leiratkozás link stb. A feliratkozói adatbázis, tehát az olvasók köre más programba exportálható és más programból importálható CSV és XLS formátumból. A szoftver jelszóval védett egyfelhasználós működésű, amelyet csak a program tulajdonosa ismer, ahhoz távoli, vagy egyéb hozzáféréssel a készítők sem rendelkeznek. A feliratozási űrlapokat a feliratkozók importját, exportját, a hírlevelek szerkesztését, kezelését és küldését kizárólagos hozzáféréssel és jogkörrel a program tulajdonosa végzi önállóan. (41) A hivatkozott rendszerbe Ügyfél1, vagy Ügyfél1 feliratkozója Ügyfél2 közreműködése nélkül rögzíti és szerkeszti az érintett magánszemélyek/cégek adatait, így a személyes adatokat is, így erről Ügyfél2 pontos információkkal nem rendelkezik. (42) A megvásárolt szoftvert Ügyfél2 teljesen üres, tehát személyes adatokat nem tartalmazó adatbázissal adja át hasonlóan valamennyi piaci szereplőnek. A telepítést tipikusan az ügyfél maga, vagy egy általa megbízott szakértő végzi. A sikeres telepítést követően már csak maga az adminisztrátor (Ügyfél1) rendelkezik hozzáféréssel az egyfelhasználós termékhez. Abba belépve ő hozza létre a kezelt adatok típusát, a leveleinek szövegezését, gyűjti, kezeli és tárolja az adatokat, illetve az ezzel kapcsolatos statisztikákat. Tehát Ügyfél2 nem kezeli, nem ismeri a személyes adatokat, mivel azok a rendszerbe Ügyfél2-től függetlenül kerülnek és azokat Ügyfél2-től függetlenül kezeli az adminisztrátor, azaz az Ügyfél1. Tehát valamennyi tevékenységet az adminisztrátor végez és az adatokat is ő kezeli. A Webgalamb termék (szoftver/licenc) és hírlevélküldő szolgáltatás használata során Ügyfél2 csak adattovábbító/-közvetítő – így nem minősül adatkezelőnek, sem adatfeldolgozónak – és nem kezel az ügyfelei – így Ügyfél1 – nevében semmilyen olyan személyes adatot, amely az Ügyfél1 ügyfeleire/vevőire/hírlevél-feliratkozóira vonatkozik. Ezen személyek tekintetében Ügyfél1 minősül adatkezelőnek. (43) Az Ügyfél1 által üzemeltetett https://pitagorasz.hu/ oldalon továbbá lehetőség van hírlevélre feliratkozásra is, melyhez az alábbi információk, illetve adatok megadása szükséges: email cím, annak megjelölése, hogy 2023. szeptembertől hányadik osztályos lesz a diák, hogy Magyarország melyik részén lakik (vármegye megjelölése), továbbá kötelező megjelölni a „hozzájárulok” nyilatkozat előtti jelölőnégyzetet, amely hozzájárulás alapján a feliratkozó hozzájárul ahhoz, hogy az Ügyfél1 marketing célból hírlevelet küldjön és közvetlen üzletszerzési céllal megkeresse. (44) Ügyfél2 a nyilatkozata szerint a Hatóság végzésében foglaltak szerint az Ügyfél1 által a rendszerükben tárolt pitagorasz.chr.hu címen elérhető webtárhelyének teljes adatbázisa adatmentését elkészítették úgy, hogy az teljeskörűen tartalmazza a rendszerben tárolt adatokat, azon módosítást nem végeztek. Az adatbázis-állomány az Ügyfél1 által is használt éles adatbázis teljes adatmentése (dumb), amely egyaránt tartalmazza az adatbázis-struktúrát, kapcsolótáblákat, esetleges naplófájlokat, annak valamennyi tábláját, oszlopát és sorát is. Ügyfél2 a mentett adatbázist https SSL 3.1 tanúsítvánnyal védett csatornán online letöltési lehetőséggel jelszóval védett ZIP formátumban tette elérhetővé a Hatóság számára. 3. ## A Hatóság a mentett adatbázis elemzése során az alábbi tényeket észlelte: (45) Az adatbázis ún. relációs típusú, ami azt jelenti, hogy az egyes táblák közötti kapcsolatok (relációk) révén meghatározható, hogy az egyes adatok milyen viszonyban állnak egymással, van-e közöttük logikai kapcsolat, azok összefüggnek-e, avagy valamely adat függ-e valamely másik adattól. Ezeket az összefüggéseket az adatbázis logikai váza, az ún. sémája írja le. A kapott adatbázis sémája – habár a táblák elnevezései, oszlopnevei, illetve azok közötti egyértelmű logikai kapcsolatok indokolnák – nem tartalmaz ilyen logikai kapcsolatokat. Emiatt az adatbázis tényleges belső összefüggései, illetve a használatának módja nem térképezhetők fel teljesen, azokra kizárólag következtetni lehet, amennyiben az egyes táblák közötti összefüggések azt megengedik. (46) A mentett adatbázis adattábláinak száma bővebb volt az Ügyfél2 által megnevezett „legfontosabb táblák” számánál. ## (47) A […] adattáblát az Ügyfél2 felsorolása nem tartalmazta. A tábla ugyanakkor 583 sort tartalmaz, amely a tábla neve és adattartalma alapján a sikertelenül megcímzett e-mail címeket és a sikertelen kiküldéshez kapcsolódó információkat tartalmazza. A táblában található fontosabb adatok: mail: a megcímzett felhasználó e-mail címe date: a tábla és az egész adatbázis logikájából következően a sikertelen küldés dátuma error: a sikertelen levélküldést okozó hiba kódja id: a küldött üzenet, vagy a megcímzett felhasználó egyedi azonosítója send_date: az üzenet küldésének időpontja info_sub: összefügg az error oszloppal és rövid elírást vagy valamilyen kiegészítő információt ad a hibajelenség okáról, pl. ahol az error értéke „5”, ott az info_sub mezőben a „queue too long” található. ## (48) A […] tábla az Ügyfél2 leírása szerint a feliratkozási mezőadatokat tartalmazó tábla, vagyis a feliratkozni kívánó személyek számára a feliratkozást biztosító felületen feltett kérdéseket tartalmazó tábla. Összesen 196 egyedi érték található benne, amelyek példaképpen az alábbi kérdéseket tartalmazzák: e-mail cím telefonszám szülő telefonszáma vezeték és keresztnév hányadik osztályos most illetve hányadik osztályos lesz szeptembertől születési hely nyelv település neve, irányítószáma, utca, házszám, ajtó, szint iskola neve, irányítószáma igazgató neve - PIR adószám hol tanít - Nyilvántartási szám E.V. A tábla az Ügyfél1 weboldalain található hírlevél feliratkozási felületen feltett kérdéseken, illetve az ott megadható adatokon túl tartalmaz további kérdéseket/adatokat is, így ügyfélelégedettségi jellegű kérdéseket (pl. „Hogyan tudták használni ezt az online lehetőséget”, „Mi nem tetszett” „Mi tetszett”, „Mi lenne még segítségükre egy online rendszerben”, „Hiányzott-e az előző tanév anyagának tételes átismétlése”, „Hány pontot szerzett matekból”, „Hány pontot szerzett magyarból”, „Milyen volt az idei felvételi”, „Részt vett-e a Pitagorasz Online felvételi előkészítőn”, „Használták-e a foglalkozások videós követését a pitagoraszonline.hu oldalon”, „Észrevétel, megjegyzés az előkészítővel kapcsolatban”, „Mennyire felelt meg a Pitagorasz Stúdió előkészítője az elvárásainak”), illetve vélhetően oktatóként megkeresett személyeket célzó kérdéseket is (pl. „Hol tanít”, „Nyilvántartási szám E.V.”, „Adószám”). (49) A […] tábla az Ügyfél2 leírása szerint „az adminisztrátor által szerkesztett levelek (neve, tárgya, szövegezése, kiküldések száma, olvasások száma, mely csoportnak része, készítés dátuma)”. A táblában több dátum értéket rögzítő oszlop is található, amelyek közül a „date” oszlopa 2020. január 1. óta 2.074 db sort, míg a „datetime” oszlop 4.058 db sort tartalmaz. ## (50) A […] tábla az Ügyfél2 válaszában is megnevezett tábla, annak leírása szerint a „feliratkozott olvasók adatbázisa, tartalmazza az e-mail címet, a feliratkozáskor a feliratkozó e-mail címét, ezek dátumát, egy egyedi sessiont, ami a feliratkozáskor az olvasó azonosítására szolgált titkosított hash formátumban, a feliratkozó csoportját ahová feliratkozását kérte, ID-ját, továbbá azt, hogy státusza aktív-e vagy törölt.” A legkorábbi feliratkozás dátuma 2013.01.25 12:50:37. Az összes feliratkozó száma 229.307. (i) Active oszlop szerepe és értékei: A táblában található „active” oszlopnak 3 különféle értéke lehet: 0, 1, és 2. Ezek megoszlása: - „0” értékű feliratkozók száma: 2.723 - „1” értékű feliratkozók száma: 217.242 - „2” értékű feliratkozók száma: 9.342 A „0” és „1” értelmezhetőek úgy, mint logikai HAMIS és IGAZ érték, ami a szabványos jelölése annak, hogy egy tulajdonság vagy állapot létezik-e vagy sem. Így pl. azt jelölheti, hogy egy felhasználó aktív-e vagy sem. Ugyanakkor a „2” érték nem értelmezhető ebben a formában. A „0”-val, vagyis inaktívként jelölt feliratkozók adatai azonos tartalommal érhetőek el az adatbázisban, mint az aktívaké, tehát az inaktivitás ilyen értelemben nem jár tényleges adattörléssel, így ezen a táblán belül továbbra is megtalálhatóak ezen feliratkozók e-mail és IP-címei. (ii) „status_log”, „mod_log”, „datum”, „mdatum” és „ipdatum” oszlopok értékei: ezekben az oszlopokban különféle időbélyegek találhatóak, amelyek a felhasználókat, illetve az adataikat érintő különféle eseményeket jelölnek. A „status_log” oszlop értékei több részletinformációt tartalmaz: date: dátum értékek, ÉÉÉÉ-HH-NN ÓÓ:PP:MM módon megadva method: kétféle értékkel szerepel, „subscribe” és „admin” status: amelynek értéke minden kitöltött cellában 1 A „method” paraméter „subscribe” értéke arra utal, hogy ezek a sorok a felhasználói feliratkozásokat tárolják. A „date” paraméterek között található több 2023-05-25-ös értékkel is, amelyeknél a „method” paraméter értéke „subscribe”, így valószínűleg ezen a napon még történt feliratkozás az adatbázisba. (51) A Hatóság nyilatkozattételre hívta fel az Ügyfél1-et az alábbi kérdésekkel kapcsolatban: Az adatbázisa […] adattáblája „Active” oszlopának mi a szerepe, továbbá pontosan mit jelöl, valamint milyen feltételek esetén és hogyan lesz hozzárendelve a „0”, „1” és „2” érték az egyes rekordokhoz az adatbázisban. Az Ügyfél1 nyilatkozata szerint a „0” érték azt jelenti, hogy „inaktív”, tehát pl. mikor egyik kollégája átmenetileg nem dolgozik, velük, akkor inaktiválják, így nem kap több levelet. Az „1” érték azt jelenti, hogy „aktív” a feliratkozó. saját döntése alapján feliratkozott és hírlevelet kaphat. A „2” érték azt jelenti, hogy a levele visszapattant valamilyen hiba miatt (pl. eltévesztett e-mail cím, műszaki hiba stb.). Ezek az adatok véglegesen törlésre kerülnek. (52) Az Ügyfél1 a Hatóság megkeresésére a […] adattábla adattartalmával kapcsolatban akként nyilatkozott, hogy a kért adatok nem hírlevélre feliratkozásból származnak. A Webgalamb szoftverben lehetőség van olyan adatok tárolására is, melyek nem hírlevélre feliratkozásból származnak. A telefonszám, szülő telefonszáma, vezeték- és keresztnév, lakcím adatokat azoktól a szülőktől gyűjtötték be, akiknek matematika oktatásra jár a gyermekük, és a számlázási adatokhoz ez szükséges, valamint gyermekük ügyében a telefonon való kapcsolattartás indokolt. Az adószám, hol tanít, nyilvántartási szám E.V., születési hely, lakcím szintén nem hírlevélre feliratkozásból származik, hanem azon tanár kollégákra vonatkozik, akik a Pitagorasz Stúdió keretein belül, egyéni vállalkozóként foglalkozásokat vezetnek és munkájukat számlájuk alapján fizetik ki. Az ő adataikat szintén a Webgalamb rendszerben tárolják. Ezen adatok tehát nem a hírlevélre feliratkozásból származnak, jogalapjuk az érintett hozzájárulása és minden esetben velük egyeztetett konkrét célja volt. Az iskola neve és irányítószáma, igazgató neve adatok az Oktatási Hivatal nyilvánosan hozzáférhető adatbázisából származnak, ezeket is a Webgalamb rendszerében tárolják. Bizonyos iskolákat időnként hírlevélben értesítenek egy-egy programjukról. 4. Az ## Ügyfél1 https://pitagorasz.hu weboldalán található hírlevél-feliratkozással kapcsolatban megállapított tények (53) A Hatóság 2022. december 12-én teszt hírlevélre feliratkozást végzett az Ügyfél1 fenti oldalán elérhető feliratkozási ablak alatt. i. A hírlevélre feliratkozáshoz az alábbi adatok, információk megadása volt kötelező: e-mail cím; 2022. szeptembertől hányadik osztályos lesz a diák; Magyarország melyik részén laknak; e-mail cím újra. ii. Fentieken túl „Az adatkezelési szabályzatot megismertem és elfogadom. Ahhoz, hogy a Pitagorasz Oktatási Stúdió Kft. marketing célból hírlevelet küldjön és közvetlen üzletszerzési céllal megkeressen:*” szövegrész kötelezően kitöltendő részéként jelenik meg, és bár nincs előre bepipálva a „hozzájárulok” jelölőnégyzet, ennek megjelölésével, azaz a hozzájárulás megadásával lehet véglegesíteni a feliratkozást. iii. Amint az érintett a feliratkozás gombra kattint, egy visszaigazoló üzenet jelenik meg a böngészőben, valamint a regisztrációkor megadott e-mail címre is érkezik üzenet, hogy sikeres volt a feliratkozás. II. ## Az ügyben alkalmazandó jogszabályi rendelkezések (54) Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. (55) Az általános adatvédelmi rendelet (32) preambulumbekezdése szerint az adatkezelésre csak akkor kerülhet sor, ha az érintett egyértelmű megerősítő cselekedettel, például írásbeli -ideértve az elektronikus úton tett -, vagy szóbeli nyilatkozattal önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű hozzájárulását adja a természetes személyt érintő személyes adatok kezeléséhez. Ilyen hozzájárulásnak minősül az is, ha az érintett valamely internetes honlap megtekintése során bejelöl egy erre vonatkozó négyzetet, az információs társadalommal összefüggő szolgáltatások igénybevétele során erre vonatkozó technikai beállításokat hajt végre, valamint bármely egyéb olyan nyilatkozat vagy cselekedet is, amely az adott összefüggésben az érintett hozzájárulását személyes adatainak tervezett kezeléséhez egyértelműen jelzi. A hallgatás, az előre bejelölt négyzet vagy a nem cselekvés ezért nem minősül hozzájárulásnak. A hozzájárulás az ugyanazon cél vagy célok érdekében végzett összes adatkezelési tevékenységre kiterjed. Ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan meg kell adni. Ha az érintett hozzájárulását elektronikus felkérést követően adja meg, a felkérésnek egyértelműnek és tömörnek kell lennie, és az nem gátolhatja szükségtelenül azon szolgáltatás igénybevételét, amely vonatkozásában a hozzájárulást kérik. (56) Az általános adatvédelmi rendelet (39) preambulumbekezdése szerint a személyes adatok kezelésének jogszerűnek és tisztességesnek kell lennie. A természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik vagy fogják kezelni. Az átláthatóság elve megköveteli, hogy a személyes adatok kezelésével összefüggő tájékoztatás, illetve kommunikáció könnyen hozzáférhető és közérthető legyen, valamint hogy azt világosan és egyszerű nyelvezettel fogalmazzák meg. Ez az elv vonatkozik különösen az érintetteknek az adatkezelő kilétéről és az adatkezelés céljáról való tájékoztatására, valamint az azt célzó további tájékoztatásra, hogy biztosított legyen az érintett személyes adatainak tisztességes és átlátható kezelése, továbbá arra a tájékoztatásra, hogy az érintetteknek jogukban áll megerősítést és tájékoztatást kapni a róluk kezelt adatokról. A természetes személyt a személyes adatok kezelésével összefüggő kockázatokról, szabályokról, garanciákról és jogokról tájékoztatni kell, valamint arról, hogy hogyan gyakorolhatja az adatkezelés kapcsán megillető jogokat. A személyes adatkezelés konkrét céljainak mindenekelőtt explicit módon megfogalmazottaknak és jogszerűeknek, továbbá már a személyes adatok gyűjtésének időpontjában meghatározottaknak kell lenniük. A személyes adatoknak a kezelésük céljára alkalmasaknak és relevánsaknak kell lenniük, az adatok körét pedig a célhoz szükséges minimumra kell korlátozni. Ehhez pedig biztosítani kell különösen azt, hogy a személyes adatok tárolása a lehető legrövidebb időtartamra korlátozódjon. Személyes adatok csak abban az esetben kezelhetők, ha az adatkezelés célját egyéb eszközzel észszerű módon nem lehetséges elérni. Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelő törlési vagy rendszeres felülvizsgálati határidőket állapít meg. A pontatlan személyes adatok helyesbítése vagy törlése érdekében minden észszerű lépést meg kell tenni. A személyes adatokat olyan módon kell kezelni, amely biztosítja azok megfelelő szintű biztonságát és bizalmas kezelését, többek között annak érdekében, hogy megakadályozza a személyes adatokhoz és a személyes adatok kezeléséhez használt eszközökhöz való jogosulatlan hozzáférést, illetve azok jogosulatlan felhasználását. (57) Az általános adatvédelmi rendelet (47) preambulumbekezdése szerint az adatkezelő ideértve azt az adatkezelőt is, akivel a személyes adatokat közölhetik - vagy valamely harmadik fél jogos érdeke jogalapot teremthet az adatkezelésre, feltéve hogy az érintett érdekei, alapvető jogai és szabadságai nem élveznek elsőbbséget, figyelembe véve az adatkezelővel való kapcsolata alapján az érintett észszerű elvárásait. Az ilyen jogos érdekről lehet szó például olyankor, amikor releváns és megfelelő kapcsolat áll fenn az érintett és az adatkezelő között, például olyan esetekben, amikor az érintett az adatkezelő ügyfele vagy annak alkalmazásában áll. A jogos érdek fennállásának megállapításához mindenképpen körültekintően meg kell vizsgálni többek között azt, hogy az érintett a személyes adatok gyűjtésének időpontjában és azzal összefüggésben számíthat-e észszerűen arra, hogy adatkezelésre az adott célból kerülhet sor. Az érintett érdekei és alapvető jogai elsőbbséget élvezhetnek az adatkezelő érdekével szemben, ha a személyes adatokat olyan körülmények között kezelik, amelyek közepette az érintettek nem számítanak további adatkezelésre. Mivel a jogalkotó feladata, hogy jogszabályban határozza meg, hogy a közhatalmi szervek milyen jogalapon kezelhetek személyes adatokat, az adatkezelő jogszerű érdekét alátámasztó jogalapot nem lehet alkalmazni, a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. Személyes adatoknak a csalások megelőzése céljából feltétlenül szükséges kezelése szintén az érintett adatkezelő jogos érdekének minősül. Személyes adatok közvetlen üzletszerzési célú kezelése szintén jogos érdeken alapulónak tekinthető. (58) Az általános adatvédelmi rendelet 4. cikk 1. pontja szerint „személyes adat: az azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.” (59) Az általános adatvédelmi rendelet 4. cikk 2. pontja szerint „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés; (60) Az általános adatvédelmi rendelet 4. cikk 11. pontja szerint „az érintett hozzájárulása”: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez; (61) Az általános adatvédelmi rendelet 5. cikk (1) bekezdése szerint a személyes adatok: a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”); d) pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság”); A (2) bekezdés szerint az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). (62) Az általános adatvédelmi rendelet 6. cikkének értelmében a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. (63) Az általános adatvédelmi rendelet 7. cikk (1) bekezdése szerint ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult. (64) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése alapján az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (65) Az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdései: (1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét: a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. (66) Az általános adatvédelmi rendelet 14. cikk (1)-(2) bekezdései: (1) Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat: a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) az érintett személyes adatok kategóriái; e) a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat: a) a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; b) ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről; c) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga; d) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; e) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; f) a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e; és g) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. (67) Az általános adatvédelmi rendelet 14. cikk (3) bekezdése alapján az adatkezelő az (1) és (2) bekezdés szerinti tájékoztatást az alábbiak szerint adja meg: a) a személyes adatok kezelésének konkrét körülményeit tekintetbe véve, a személyes adatok megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül; b) ha a személyes adatokat az érintettel való kapcsolattartás céljára használják, legalább az érintettel való első kapcsolatfelvétel alkalmával; vagy c) ha várhatóan más címzettel is közlik az adatokat, legkésőbb a személyes adatok első alkalommal való közlésekor. (68) Az Nytv. 17. § (1) bekezdése és (2) bekezdés a) pontja: (1) A nyilvántartás szervei az e törvényben meghatározott feltételekkel és korlátok között a polgár, illetve jogi személy és jogi személyiséggel nem rendelkező szervezet kérelmére, a felhasználás céljának és jogalapjának igazolása esetén - adatot szolgáltatnak. (2) A nyilvántartásból adatok az alábbi csoportosítás szerint szolgáltathatók: a) név- és lakcím adatok (felvilágosítás a lakcímről); (69) Az Nytv. 19. §-ben foglaltak szerint: (1) A 17. § (2) bekezdésének a) pontja szerinti adatok szolgáltatását bármely polgár, illetve jogi személy és jogi személyiséggel nem rendelkező szervezet a felhasználás céljának és jogalapjának igazolása mellett jogosult kérni: a) jogának vagy jogos érdekének érvényesítése érdekében, b) tudományos kutatás céljából, c) közvélemény-kutatás és piackutatás megkezdéséhez szükséges minta, valamint d) (2) Az (1) bekezdés b) és c) pontja alapján adatigénylésre jogosultak az adatokat az alábbi kiválasztási szempontok szerint igényelhetik: a) tudományos kutatás céljából a törvény 11. §-a (1) bekezdésének a)-e), g)-h) és k) pontjaiban meghatározott adatok szerint, b) közvélemény-kutatás és piackutatás céljából a 11. § (1) bekezdésének c)-d), h) és k) pontja szerint, c) (3) Az (1) bekezdés b) és c) pontja alapján történő adatigénylés esetén a kérelmezőnek az ott meghatározott tevékenység végzésére, illetőleg az adatigénylésre való jogosultságát is megfelelően igazolnia kell. (4) A kérelem teljesítését meg kell tagadni, ha a) az adatok kiadását a polgár letiltotta, kivéve, ha az adat kiszolgáltatására eseti engedélyt adott; b) a kérelmező az adat felhasználásának célját, illetőleg jogalapját nem vagy nem megfelelően igazolta; c) a megjelölt cél a kérelmező jogát, illetve jogos érdekét nem érinti, vagy az adattal érintett polgár személyiségi jogát sérti; d) az újszülött adatainak nyilvántartásba vételét követően kilencven nap még nem telt el. (5) (6) (70) A kutatás és közvetlen üzletszerzés célját szolgáló név- és lakcímadatok kezeléséről szóló 1995. évi CXIX. törvény (a továbbiakban: Kktv.) 2. § (1) bekezdés 3. pontja szerint piackutatás: az érintett fogyasztói szokásának vizsgálata. A Kktv. 2019. április 25. napjáig hatályos szövegváltozatának 2. § (1) bekezdés 4. pontja szerint Közvetlen üzletszerzés (direkt marketing): azoknak a közvetlen megkeresés módszerével végzett, tájékoztató tevékenységeknek és kiegészítő szolgáltatásoknak az összessége, amelyeknek célja termékek vagy szolgáltatások értékesítésével, szolgáltatásával vagy eladásösztönzésével közvetlen kapcsolatban álló, a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló 2008. évi XLVIII. törvény (a továbbiakban: Grt.) 3. §-ának d) pontja szerinti reklám továbbítása a fogyasztók vagy kereskedelmi partnerek (a továbbiakban együtt: ügyfelek) részére. (71) Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. (72) Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. (73) Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja. (74) Az Infotv. 61. § (2) bekezdése szerint a Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő nyilvánosságra hozatalát, ha a határozat személyek széles körét érinti, azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja. (75) Az Infotv. 71. § (2) bekezdése alapján a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja. (76) Az Infotv. 75/A. §-a alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)–(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. (77) GDPR 58. cikk (2) bekezdés b), d) és i) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett III. ## Döntés 1. A jelen adatvédelmi hatósági eljárás tárgya (78) A Hatósághoz számos bejelentés érkezett, amelyben a bejelentők az Ügyfél1 kiskorú gyermekek nevére címzett és törvényes képviselőjüket megszólító, postai úton küldött piackutatási és direkt marketing célú megkeresésével összefüggésben megvalósuló adatkezelését kifogásolták. (79) A Hatóság annak vizsgálatára, hogy Ügyfél1 ezen adatkezelési gyakorlata során betartja-e az általános adatvédelmi rendeletben foglaltakat, hivatalból eljárást indított. (80) A cégjegyzék adatai szerint Ügyfél1-et 2018. január 16-án alapították. Fő tevékenysége m.n.s. egyéb oktatás, tevékenysége között szerepel továbbá a piac-, közvélemény-kutatás is. (81) A Hatóság NAIH-8386-1/2022. számú végzésében foglaltak szerint az adatvédelmi hatósági eljárás tárgya az Ügyfél1 piackutatási és direkt marketing célú adatkezelési gyakorlata jogszerűségének vizsgálata. (82) Az Ügyfél1 jelen eljárásban vizsgált adatkezelési időszaka a 2020. január 1-től 2022. november 8-ig terjedő időszak. (83) Az Ügyfél1 működteti a https://pitagorasz.hu/ oldalt, melyen lehetőség van hírlevélre feliratkozásra is, továbbá Ügyfél1 több aloldalt is működtet (www.felvizsga.hu, www.oldjukmeg.net, www.nyolcadikosok.hu, www.matekozz.hu, www.tandijbefizetes.hu, www.pitagoraszonline.hu, www.pitagorasz.shp.hu), melyek többsége a www.pitagorasz.hu fő weboldalra navigálja az oldal használóját, illetve az online előkészítő belépési felületét, közvetlenül az előkészítő tanfolyamra jelentkezés felületét nyitja meg. 2. A vizsgált adatkezelési tevékenység rövid összefoglalása (84) Az Ügyfél1 a postai úton küldött megkeresésekkel összefüggésben az érintettek – kiskorú gyermekek – név- és lakcímadatát kezeli. Az Ügyfél1 a kiskorú érintettek megkereséséhez a név- és lakcím adatokat a BM-től igényelte. (85) Az Ügyfél1 évente igényelt név- és lakcím adatokat a BM-től. A csatolt kérelem-másolatok szerint Ügyfél1 a vizsgált adatkezelési időszakon belül három alkalommal fordult adatszolgáltatás iránti kérelemmel a BM-hez. Az adatigénylési kérelmekben megjelöltek szerint, továbbá az Ügyfél1 Hatóság felhívására tett nyilatkozata szerint is az Ügyfél1 az általa szervezett felvételi előkészítő tanfolyamokkal kapcsolatos piackutatási tevékenység megkezdéséhez igényelte a név- és lakcím adatokat. Kérelmeihez kapcsolódóan az Ügyfél1 a 2020. februári adatszolgáltatási kérelme eredményeként 33.185 érintett, a 2021. áprilisi kérelme eredményeként 61.770 érintett, míg a 2022. májusi kérelme eredményeként 29.003 érintett név- és lakcímadatát kapta meg a BM-től. (86) Az Ügyfél1 által 2020 augusztusában kiküldött postai megkeresések az Ügyfél1 felvételi előkészítőivel kapcsolatos tájékoztatását, illetve egy beiratkozási adatlapot tartalmaztak. A kiküldött leveleken az alábbi tájékoztatás volt olvasható: „Tisztelt Asszonyom, Uram! Tájékoztatjuk, hogy gyermeke nevét és lakcímét a Belügyminisztérium Személyi Okmányok Osztálya nyilvántartásából véletlenszerű kiválasztással kértük ki, az oktatási tájékoztatók postázása céljából. Az adatok felhasználását e levél továbbításával megszüntettük. Tájékoztatjuk, hogy az adatszolgáltatás önkéntes, így jogában áll adatainak a megjelölt célra való felhasználásának megszüntetését kérni.” (87) Egy, a Hatósághoz 2021. szeptember 1-jén érkezett, NAIH-6956-1/2021. számon iktatott panasz, továbbá az Ügyfél1 által csatolt mintalevél alapján az Ügyfél1 által 2021 augusztusában kiküldött két oldalas levél egyik oldala a megkeresés céljára utalóan – az Ügyfél1 által csatolt mintalevél szerint – annyit emelt ki, hogy „Mostani levelünk célja a szülők véleményének megismerése, hogy a Pitagorasz Stúdió melyik előkészítője milyen fogadtatásra találhat az érdeklődő szülők körében. Kérem, lépjen fel a www.hatodikosok.hu oldalra, ahol erről, valamint a hatosztályos gimnáziumokról és a felvételi eljárásról minden információt megtalál!” A levél második oldala tartalmazta a (13) pontban ismertetett tartalmú adatkezeléssel kapcsolatos tájékoztatót. (88) Az Ügyfél1 által 2022 szeptemberében kiküldött postai levelek egyik oldalán 4 kérdés szerepelt, melyekben Ügyfél1 a megkeresett szülők felvételi előkészítővel kapcsolatos igényei iránt érdeklődött, a levél másik oldalán pedig a (13) pontban ismertetett tartalmú adatkezeléssel kapcsolatos tájékoztató szerepelt az Ügyfél1 felvételi előkészítőjéről történő tájékoztatást követően. (89) Az Ügyfél1 nyilatkozata szerint a BM-től átvett adatok kezelésének jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogos érdeke. A piackutatás célja a felvételi előkészítő tanfolyami lehetőségeinek felmérése, a szülői igények felmérése. (90) Az Ügyfél1 által üzemeltetett https://pitagorasz.hu/ oldalon továbbá lehetőség van hírlevélre feliratkozásra is. 3. Ügyfél1 postai megkeresés-küldéshez kapcsolódó adatkezelési gyakorlata 3.1. Az adatkezelés jogalapja (91) Ügyfél1 a nyilatkozata és a csatolt dokumentumok alapján a postai megkeresések küldéséhez használt névés lakcímadatokat a polgárok személyiadatés lakcímnyilvántartásából igényelte. (92) A vizsgált adatkezelési időszakban az Ügyfél1 három alkalommal fordult adatigénylési kérelemmel a BM-hez. (93) A csatolt adatigénylési kérelem-másolatokban foglaltak szerint Ügyfél1 a 2020. február 17én kelt kérelmében, a 2021. április 7-én kelt kérelmében és a 2022. május 9-én kelt kérelmében is „az általunk szervezett felvételi előkészítő tanfolyamokkal kapcsolatos piackutatás megkezdéséhez” adatfelhasználási célt jelölte meg. (94) A BM a határozataiban az Ügyfél1 adatszolgáltatás iránti kérelmeinek helyt adott és engedélyezte, hogy Ügyfél1 a polgárok személyi adatainak és lakcímének nyilvántartásából csoportos adatszolgáltatást vegyen igénybe. A csatolt dokumentummásolatok alapján az Ügyfél1 évente egy alkalommal fordult adatigénylési kérelemmel a BM-hez, amely kérelmeiben születési idő intervallumok megadásával az adott tanévben valószínűsíthetően negyedik osztályos, hatodik osztályos és nyolcadik osztályos kiskorú érintettek név- és lakcím adatát igényelte. (95) Az Ügyfél1 a Hatóság felhívására az adatkezelése céljára vonatkozóan akként nyilatkozott, hogy az adatokat a felvételi előkészítő tanfolyamot megelőző, és ehhez kapcsolódó piackutatási tevékenység megkezdése céljából kérte ki, és mivel a BM az adatokat kiadta, így az adat kiadását az adat érintettjének törvényes képviselője nem korlátozta. (96) A GDPR fogalommeghatározása alapján a név, lakcím az érintett személyes adatának, míg az adatokon elvégzett bármely művelet, így például az adatok gyűjtése, tárolása, felhasználása adatkezelésnek minősül. (97) Az adatkezelés jogszerűségéhez az adatkezelőnek a GDPR 6. cikk (1) bekezdésével összhangban álló jogalappal kell rendelkeznie. (98) Az Ügyfél1 nyilatkozata szerint a BM-től átvett adatok kezelésének jogalapja a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdeke. (99) A GDPR 6. cikk (1) bekezdés f) pontjára alapított adatkezelés esetén az adatkezelőnek érdekmérlegelést kell végeznie. Ezt támasztja alá a GDPR (47) preambulumbekezdése is, miszerint a jogos érdek jogalap fennállását érdekmérlegeléssel kell igazolni. E körben az adatkezelőnek vizsgálnia kell az adatkezelés szükségességét. A személyes adat kezelésének közvetlen összefüggésben kell lennie az elérni kívánt céllal: a célt pontosan, összetett és tényalapú elemzéssel kell vizsgálni, e körben kiemelten azt, hogy van-e kevésbé korlátozó eszköz az elérni kívánt célhoz, vannak-e más alternatív, az érintettek magánszféráját kevésbé korlátozó eszközök. Meg kell határozni az adatkezelő, illetve a harmadik fél jogos érdekét a lehető legpontosabban ugyancsak tényalapú, az adott adatkezelőre vonatkozó konkrét vizsgálat alapján. Az érdeknek valósnak és aktuálisnak kell lennie. Az érdekmérlegelés alapvető eleme az érintetti érdekek és elvárások felmérése, figyelemmel kell lennie az érintettek státuszára, jogi és tényleges helyzetére, valamint az adatkezeléssel kapcsolatos észszerű elvárásaikra. Az érdekmérlegelés annak a részletes elemzése, hogy miért korlátozza arányosan az adatkezelő jogos érdeke az érintettek jogait, és a feltárt tényekből miért következik az adatkezelő érdekének primátusa az érintettek jogaival szemben. Ilyen érdekmérlegelés hiányában – figyelemmel az elszámoltathatóság elvének sérelmére – jogszerű és átlátható adatkezelésről nem lehet szó. Az érdekmérlegelésben egyértelműen meg kell határozni az adatkezelő személyét, és az adatkezelő felelőssége és feladata a fentiek pontos dokumentálása és indokolása. (100) A Hatóság állandó és következetes gyakorlata szerint az adatkezelő felelős az általa végzett adatkezelés jogszerűségéért. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogalap természetéből fakadóan ezen jogalap esetén az adatkezelőnek pontosan meg kell tudnia jelölni, hogy egy konkrét személyes adat kezelését az adatkezelő mely jogos érdeke alapozza meg, és ezen érdekre tekintettel miért szükséges az adatkezelés, egyben igazolnia, bizonyítania is tudnia kell, hogy az elsőbbséget élvez az érintett jogos érdekével, személyes adatok védelméhez fűződő jogával szemben. (101) A Hatóság rámutat, hogy az általános adatvédelmi rendelet 5. cikk (2) bekezdés szerinti, lényegében az adatkezelő objektív felelősségét és fokozott gondossági követelményét megfogalmazó elszámoltathatóság alapelvi követelményéből fakadóan az adatkezelőnek a kötelezettsége annak igazolása, hogy az adatkezelés jogszerűségének feltételei – az adatkezelés megkezdésétől – folyamatosan fennállnak. Az, hogy az érintett személyes adatát kezelik és ez nem sérelmes rá nézve, még nem jelent megfelelő mérlegelést, vagyis azt, hogy az adatkezelő az érintett szempontjait, érdekeit, alapvető jogait és szabadságait teljeskörűen figyelembe vette. Az érdekmérlegelés alkalmazása mindig együtt jár azzal a követelménnyel, hogy az adatkezelőknek kell gondoskodniuk meghatározott garanciák beépítéséről. Végezetül meg kell határozni, hogy miért korlátozza arányosan az adatkezelő vagy harmadik fél jogos érdeke az érintett jogait. Az érdekmérlegelést pedig nem utólag, hanem az adatkezelést megelőzően kell elvégezni. Az adatkezelő csak akkor bízhat alappal abban, hogy minden tekintetben megfelel az adatkezelés jogi követelményeinek, ha ezen igazolási kötelezettségének eleget is tud tenni, és a Hatóság, eljáró bíróság, illetve az érintett számára is tételesen, kellő bizonyosságot nyújtó módon be tudja mutatni e feltételek fennálltát. (102) Ebből következik, hogy ha az adatkezelő nem tudja bizonyítani, hogy az érintett által kifogásolt adatkezelése a vizsgált időszakban megfelelt volna az adatvédelmi követelményeknek, nem tesz eleget az elszámoltathatóság alapelvi követelményének, megsértve ezzel az általános adatvédelmi rendelet 5. cikk (2) bekezdését. Az adatkezelőknek valamennyi adatkezelési műveletet úgy kell megvalósítaniuk, hogy bármelyik pillanatban bizonyítani tudják, hogyan feleltek meg az adatvédelmi előírásoknak. Az elszámoltathatóság elve, tehát nem csak általában, folyamat szinten értelmezhető, az valamennyi konkrét adatkezelési tevékenység, egy konkrét érintett személyes adatai kezelésének vonatkozásában is érvényesül. (103) Az általános adatvédelmi rendelet 5. cikk (2) bekezdése alapján az elszámoltathatóság alapján az adatkezelő köteles úgy dokumentálni és nyilvántartani az adatkezelést, hogy annak jogszerűsége utólag bizonyítható legyen. Az elszámoltathatóság elvéből fakadó fontos követelmény, hogy a dokumentáció az adatkezelőre és annak adatkezelésére vonatkoztatva készüljön el, a jogszabályszövegek puszta szó szerinti átvételéből ugyanis nem derül ki, hogy az adott adatkezelés miért szükséges. (104) A Hatóság álláspontja szerint nem elfogadható, hogy az Ügyfél1 a nyilatkozata szerint az adatkezelését a jogos érdek jogalapra alapította, érdekmérlegelést azonban nyilatkozata szerint egyáltalán nem végzett, azt ebből kifolyólag a Hatóságnak sem tudta bemutatni, jogos érdeke fennálltát nem igazolta. (105) Fentiek alapján a Hatóság megállapította, hogy az Ügyfél1 azáltal, hogy jogos érdeke fennálltát nem igazolta a személyi adat- és lakcímnyilvántartásból igényelt kiskorú érintettek név- és lakcímadata kezelése tekintetében, ennélfogva jogalap nélkül kezelte az igényelt személyes adatokat, megsértette a GDPR 5. cikk (2) bekezdése szerinti elszámoltathatóság alapelvét és erre tekintettel a 6. cikk (1) bekezdését, mivel érvényes jogalap nélkül, jogellenesen kezelte a kiskorú érintettek személyes adatait. 3.2. A postai megkereséssel összefüggésben folytatott adatkezelés célja (106) Ügyfél1 a vizsgált adatkezelési időszakban három alkalommal, évente egyszer küldött postai úton levelet a BM-től igényelt név- és lakcímadatok felhasználásával a kiskorú érintettek törvényes képviselőinek. (107) Az Ügyfél1 ezen megkereséseivel, tehát a 2020-ban, 2021-ben és 2022-ben küldött postai megkereséseivel összefüggésben megvalósult adatkezelései különálló adatkezeléseknek tekintendőek. (108) Az Nytv. 19. § (1) bekezdés c) pontja szerint a név- és lakcímadatok szolgáltatását bármely jogi személy a felhasználás céljának és jogalapjának igazolása mellett jogosult kérni közvélemény-kutatás és piackutatás megkezdéséhez szükséges minta összeállításához. Ügyfél1 a BM-hez intézett valamennyi – így a 2020-ban, 2021-ben és 2022-ben benyújtott – adatigénylési kérelmében az adatfelhasználás céljaként az általa szervezett felvételi előkészítő tanfolyamokkal kapcsolatos piackutatást jelölte meg. (109) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerinti célhoz kötött adatkezelés elve szerint a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azokat nem kezelhetik ezekkel a célokkal össze nem egyeztethető módon. A (39) preambulumbekezdésben megfogalmazottak szerint továbbá a személyes adatkezelés konkrét céljainak explicit módon megfogalmazottaknak és jogszerűeknek, továbbá már a személyes adatok gyűjtésének időpontjában meghatározottaknak kell lenniük. (110) Ügyfél1 a nyilatkozata szerint a személyes adatokat a felvételi előkészítő tanfolyamot megelőző, ahhoz kapcsolódó piackutatási tevékenysége megkezdéséhez kérte ki, az adatfelhasználás céljaként tehát a piackutatást jelölte meg Ügyfél1, a BM-hez intézett kérelmében is ezt jelölte meg Ügyfél1, mint azon cél, amire az igényelt adatokat használni kívánja. (111) Ügyfél1 nyilatkozata szerint a piackutatás biztosítja azokat az információkat, amely alapján a szülői elvárásoknak megfelelően szervezhetnek felvételi előkészítő tanfolyamokat, így: mely oktatási forma a legkedveltebb, milyen tartalmi elvárásaik vannak a szülőknek az előkészítőkkel kapcsolatban. (112) Ezzel ellentétben Ügyfél1 a 2020. augusztusban az érintetteknek küldött megkereső levele tájékoztató részében az igényelt adatok felhasználásának céljaként az oktatási tájékoztatók postázását jelölte meg. (113) A 2021 augusztusában küldött postai levél második oldalán található tájékoztatóban Ügyfél1 akként fogalmazott, hogy „Jelen piackutatás célja a Pitagorasz Oktatási Stúdió Kft. felvételi előkészítő tanfolyami lehetőségeinek felmérése, a szülői igények megismerése.”, míg a levél első oldalán ugyancsak úgy fogalmaz Ügyfél1, hogy „Mostani levelünk célja a szülők véleményének megismerése, hogy a Pitagorasz Oktatási Stúdió melyik előkészítője milyen fogadtatásra találhat az érdeklődő szülők körében.”. Az Ügyfél1 által csatolt mintalevél alapján a szülőknek küldött megkereső levél azonban kérdéssort ehhez kapcsolódóan nem tartalmazott, hanem a mintalevél alapján csupán annyit, hogy „Kérem lépjen fel a www.hatodikosok.hu oldalra, ahol erről, valamint a hatosztályos gimnáziumokról és a felvételi eljárásról minden információt megtalál!” Arra vonatkozó utalás azonban, hogy a „szülők véleményének megismerése” pontosan mit takar, hogyan tud megvalósulni ez a cél, illetve bármi arra vonatkozó felhívás, hogy ehhez kapcsolódóan kérik a szülőket, hogy a megjelölt oldalra lépjenek fel, és az ott található kérdőívet online töltsék ki, nem volt. (114) Megállapítható tehát, hogy Ügyfél1 a 2020-ban és 2021-ben igényelt adatokat a BM-hez intézett adatigénylő kérelemben megjelölt, az igényelt adatok felhasználási céljával ellentétben a levélen elhelyezett tájékoztatón megfogalmazottak szerint abból a célból kezelte, hogy az oktatási tájékoztatókat postázza, illetőleg az érintetteknek küldött levél a tartalma alapján az Ügyfél1 tevékenységének promotálása volt, azaz az általa tartott felvételi előkészítőkről, azok helyszínéről, időpontjáról történő tájékoztatást, beiratkozási információkat tartalmazott közvetlenül a levélen, illetőleg a levélben történő oldalmegjelölés útján. (115) A cél ismertetésének egyértelműen, nyilvánvalóan, érthető nyelven kell történnie oly módon, hogy az érintettek tisztában legyenek az adatkezelés összes lényeges körülményével, a konkrét céllal és az ahhoz igazodó adatok körével, továbbá személyes adatuk kezelésének folyamatával. Az adatkezelővel szemben támasztott ezen elvárás az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átláthatóság és tisztességes adatkezelés elvéből következik, továbbá ebből vezethetőek le az érintett jogérvényesítésének feltételei. (116) 2019. április 26. óta a kutatás és közvetlen üzletszerzés célját szolgáló név- és lakcímadatok kezeléséről szóló 1995. évi CXIX. törvény hatálya nem terjed ki a közvetlen üzletszerzéshez történő kapcsolatfelvétel céljára név- és lakcímadatot igénylő, illetőleg kezelő természetes és jogi személyekre. A Kktv. korábbi fogalommeghatározásában foglaltak szerint a közvetlen üzletszerzés (direkt marketing) azoknak a közvetlen megkeresés módszerével végzett, tájékoztató tevékenységeknek és kiegészítő szolgáltatásoknak az összessége, amelyeknek célja termékek vagy szolgáltatások értékesítésével, szolgáltatásával vagy eladásösztönzésével közvetlen kapcsolatban álló, a Grt. 3. § d) pontja szerinti reklám továbbítása a fogyasztók vagy kereskedelmi partnerek részére. (117) Jóllehet az Ügyfél1 egyes weboldalain (www.negyedikesek.hu, www.hatodikosok.hu, www.nyolcadikosok.hu) keresztül a kérdőív online kitöltésére a vizsgált időszakban lehetőség volt, a megjelölt postai megkeresések azonban egyáltalán nem azt hangsúlyozták, hogy az Ügyfél1 postai megkereséseinek célja az lenne, hogy a megjelölt kérdőívet minél többen kitöltsék – sőt, a 2020 augusztusában kiküldött levél említést sem tesz a kérdőívről – és ami alapján az Ügyfél1 felmérhette volna a felvételikkel kapcsolatos szülői igényeket. A 2021-ben postázott levelekben megjelölt weboldalakat megnyitva is az érdeklődő az Ügyfél1 által tartott felvételi előkészítő szükségességéről, annak gyakorlati menetéről olvashat, és az oldalak tetején a fő információk felett elhelyezve található a „KÉRDŐÍV az előkészítőkről” hivatkozás, amelyen keresztül a kérdőív online megnyitható és kitölthető. (118) A Hatóság a rendelkezésre álló információk alapján megállapította, hogy Ügyfél1 a személyi adat- és lakcímnyilvántartásból 2020-ban igényelt adatokat nem az adatigénylő kérelemben megjelölt adatfelhasználási célra használta fel, a kiküldött levél tartalmát tekintve közvetlen üzletszerzési (direkt marketing) célú megkeresésnek felel meg, az ugyanis az Ügyfél1 felvételi előkészítőit reklámozta, abban tartalmát tekintve semmilyen piackutatásra utaló információ nem volt fellelhető. Továbbá, magában a levélben elhelyezett tájékoztatásban megjelölt cél – oktatási tájékoztatók postázása – sem az adatkezelés valós célját jelölte meg, hanem mintha eleve a tájékoztatóban feltüntetett célból igényelte volna Ügyfél1 a név- és lakcímadatokat a BM-től, holott az Nytv. az adatfelhasználás ezen céljából történő adatigénylést nem teszi lehetővé. (119) A Hatóság megállapítása szerint ugyancsak nem azonosítható a piackutatási cél fennállta a 2021 augusztusában küldött postai megkeresések vonatkozásában a (113) pontban részletezettek alapján, ezen postai megkeresések célja a Hatóság álláspontja szerint a közvetlen üzletszerzési (direkt marketing) cél volt, annak ellenére, hogy a kiküldött levélen elhelyezett adatkezeléssel kapcsolatos tájékoztatás a megkeresést piackutatásnak nevezte. ## (120) A Hatóság megállapítja, hogy fentiek alapján az Ügyfél1 a 2020-ban és 2021-ben történt postai megkereséseivel összefüggésben folytatott adatkezelése során megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerinti célhoz kötöttség alapelvét. 3.3 Az adatkezelés tisztességessége (121) A cél ismertetésének egyértelműen, nyilvánvalóan, érthető nyelven kell történnie oly módon, hogy az érintettek tisztában legyenek az adatkezelés összes lényeges körülményével, a konkrét célokkal és az azokhoz igazodó adatok körével, továbbá személyes adatuk kezelésének folyamatával. Az adatkezelővel szemben támasztott ezen elvárás az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átláthatóság és tisztességes adatkezelés elvéből következik. A célhoz kötöttség elvének történő megfelelés két fő részből tevődik össze: egyrészt magában foglalja az egyértelmű és egyben jogszerű cél megválasztását, másrészt ebből következően a személyes adatok céllal, célokkal összeegyeztethető módon történő kezelését. Az ezekből fakadó elvárások a következők: - Konkrétan meghatározott, az adatkezelés megkezdése előtt kinyilvánított cél. Jelen esetben ez az érintettek postai megkeresésekor teljes mértékben elmaradt, illetőleg az Ügyfél1 által a megkereső leveleken nyújtott információk megtévesztőek és tévesek voltak. - Legitim cél a jogalappal összhangban és az adatkezeléssel összefüggésben. Jelen esetben az Ügyfél1 a postai megkeresésekhez kapcsolódó adatkezelését nem alapította érvényes jogalapra a 3./3.1. pontban kifejtettek szerint, továbbá az adatkezelés (adatfelhasználása) céljának meghatározása sem tekinthető valósnak a vizsgált adatkezelési időszak nagy részében (a 2020-ban és a 2021-ben küldött megkeresései során). - Érthető kommunikáció a célcsoport felé, nem félreérthetően és nem félrevezetően. Jelen esetben megfelelő tájékoztatás – különösen az adatkezelés céljáról, illetőleg a jogalapjáról – az érintettek irányába egyáltalán nem történt, az Ügyfél1 a rendelkezésre álló információk alapján megállapíthatóan nem az adatigénylési kérelmeiben megjelölt adatfelhasználási célra használta az igényelt adatokat, a piackutatás célja a 2020-ban és a 2021-ben folytatott postai megkeresései során valójában közvetlen üzletszerzés (direkt marketing) volt. - További cél, célok esetén az összeegyeztethetőség tesztjének megfelelő interpretálása, ami általában nagyfokú hasonlóságot feltételez a korábbi és később felmerült cél, célok között. Jelen esetben célok összeegyeztethetősége nem merült fel, így ezen feltételnek történő megfelelés irreleváns. (122) A Hatóság a (106)-(117) pontokban kifejtettek következtében megállapítja továbbá, hogy Ügyfél1 azáltal, hogy a személyi adat- és lakcímnyilvántartásból 2020-ban és 2021-ben történt adatigénylése során az igényelt adatok felhasználásának céljaként nem valós célt jelölt meg, ezáltal az adatkezelés valós célja tekintetében az érintetteket és a Belügyminisztériumot is megtévesztette, megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti tisztességes eljárás elvét. 3.4. A postai megkeresés során nyújtott tájékoztatás (123) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerint az Ügyfél1, mint adatkezelő kötelezettsége megfelelő intézkedéseket hozni annak érdekében, hogy az érintettek részére a személyes adatok kezelésére vonatkozó, a 13. és 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa. (124) A megfelelő tájékoztatás rendszere az általános adatvédelmi rendeletben azt szolgálja, hogy az érintett tudatában lehessen annak, hogy mely személyes adatait, mely adatkezelő és mely célból, hogyan fogja kezelni. Ez elengedhetetlen ahhoz, hogy olyan helyzetben legyen, hogy érintetti jogait érdemben gyakorolni tudja. (125) A vizsgált adatkezelés során Ügyfél1 a kiskorú érintettek törvényes képviselőit postai úton kereste fel oly módon, hogy – a 2020-ban és 2021-ben küldött leveleiben – tájékoztatást küldött az általa nyújtott szolgáltatásról, azaz a felvételi előkészítő tartásról. A 2020 augusztusában küldött postai megkeresésnél maga a levél tartalmazta az előkészítőkkel kapcsolatos lényegesebb információkat, továbbá az előkészítőre történő beiratkozáshoz adatlapot, míg a augusztusában küldött postai megkeresésnél a levél általánosságban ismertette az Ügyfél1 előkészítővel kapcsolatos tevékenységét és a levélben megszólított korosztályhoz tartozó weboldalra hivatkozáson keresztül utalt az ott elérhető konkrétabb információkra. A 2022-ben postázott megkeresései az Ügyfél1 által tartott felvételi előkészítőről történő tájékoztatáson felül egy 4 pontból álló kérdéssort tartalmaztak, az érintett szülők felvételi előkészítőkkel kapcsolatos igényeiről. (126) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontjában foglalt átlátható adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljáról. Az adatkezelés jogszerűségének tehát egyik lényeges feltétele, hogy az adatkezelő megfelelően tájékoztassa az érintettet az adatkezelés valamennyi fontos körülményéről. (127) Az általános adatvédelmi rendelet 13-14. cikkei határozzák meg, hogy tartalmát tekintve milyen tájékoztatást kell nyújtani a személyes adatok kezelése során. Erre eltérő szabályok (tartalom és teljesítési határidő) érvényesülnek attól függően, hogy az adatokat az érintettől vagy nem az érintettől szerezték meg, míg a tájékoztatás formai követelményeit illetően az általános adatvédelmi rendelet 12. cikke ad iránymutatást. (128) Mivel az Ügyfél1 a BM által szolgáltatott adatok felhasználásával – azaz a személyes adatoknak nem az érintettől, hanem más forrásból történő gyűjtését követően – postai megkeresések útján kereste meg a kiskorú érintetteket, illetve törvényes képviselőiket, Ügyfél1-nek az általános adatvédelmi rendelet 14. cikkében foglaltak figyelembevételével az érintettek részére a személyes adataik kezelésével összefüggő tájékoztatást észszerű határidőn belül rendelkezésre kellett bocsátania. (129) A Hatósághoz érkezett panaszok, illetőleg az Ügyfél1 által csatolt mintalevelek alapján a vizsgált adatkezelési időszakban az egyes években küldött megkeresések eltérő tartalmúak voltak, és a leveleken elhelyezett tájékoztatás is más tartalmú volt a 2020-ban valamint a 2021-ben és 2022-ben küldött levéltípusokon. (130) A (113) pontban ismertetett tartalmon felül az Ügyfél1 által 2020 augusztusában postázott levél az alábbi tájékoztatást tartalmazta: „Tisztelt Asszonyom, Uram! Tájékoztatjuk, hogy gyermeke nevét és lakcímét a Belügyminisztérium Személyi Okmányok Osztálya nyilvántartásából véletlenszerű kiválasztással kértük ki, az oktatási tájékoztatók postázása céljából. Az adatok felhasználását e levél továbbításával megszüntettük. Tájékoztatjuk, hogy az adatszolgáltatás önkéntes, így jogában áll adatainak a megjelölt célra való felhasználásának megszüntetését kérni.” (131) A Hatóság megállapította, hogy az Ügyfél1 által a kiskorú érintetteknek (törvényes képviselőjüknek) 2020 augusztusában postai úton küldött tájékoztató levélen elhelyezett tájékoztatás nem tartalmazta az általános adatvédelmi rendelet 14. cikkében foglalt legfontosabb információkat: (i) A tájékoztató nem nevezte meg konkrétan, hogy ki tekinthető adatkezelőnek, továbbá az egész levél tartalmából nem lehetett megállapítani, hogy ténylegesen kihez/milyen szervezethez köthető a levélben ismertetett felvételi előkészítő. Maga a postai úton érkezett levél, a levélen elhelyezett szöveg csak weboldalakra hivatkozott, amelyeket megnyitva juthatott az érintett az Ügyfél1 által kezelt weboldalakra. A levél, illetve a tájékoztatás továbbá az adatkezelő elérhetőségeit sem tartalmazta, legfeljebb a levél feladójából lehetett következtetni arra, hogy mely adatkezelővel hozható kapcsolatba a postai úton érkezett levél, illetve az abban hirdetett felvételi előkészítő [GDPR 14. cikk (1)a)]. (ii) A tájékoztató sem az adatkezelés jogalapjáról, sem annak céljáról nem nyújtott információt. A tájékoztató szövege csak a BM adatigénylés céljára utalt, amellyel kapcsolatban a Hatóság megállapítja, hogy az a valóságnak nem felelt meg, a BMhez benyújtott kérelmeiben ugyanis az Ügyfél1 az adatfelhasználás céljaként a felvételi előkészítő tanfolyamokkal kapcsolatos piackutatást jelölte meg [GDPR 14. cikk (1) c)]. A tájékoztató a fentieken túl az átlátható adatkezelés biztosításához szükséges fontosabb információkat sem tartalmazta: (iii) Ügyfél1 a Hatóságnak adott válaszában akként nyilatkozott, hogy adatkezelése az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontján alapul, a levélen elhelyezett tájékoztató azonban ezzel kapcsolatban semmilyen tájékoztatást nem nyújt, sem a jogos érdek jogalapot nem említi, sem egyébként nem nyújt tájékoztatást az adatkezelés jogalapjáról [GDPR 14. cikk (2) b)]. (iv) A tájékoztató az érintetti jogokra vonatkozóan sem nyújtott információkat, csupán azt tartalmazta, hogy „az adatszolgáltatás önkéntes, így jogában áll adatainak a megjelölt célra való felhasználásának megszüntetését kérni.”, ez azonban nem feleltethető meg ténylegesen egyetlen, az általános adatvédelmi rendelet által biztosított konkrét érintetti jognak sem [GDPR 14. cikk (2) c)]. A tájékoztató ezen mondata továbbá ellentmond az azt megelőző mondatoknak is. Egyrészt azt sugallja, mintha az érintett adná meg a személyes adatait („az adatszolgáltatás önkéntes…”), holott a személyes adatokat a BM-től igényelte az Ügyfél1, másrészt az előző mondatban az adatkezelő arról tájékoztat, hogy az adatok felhasználását a levelek továbbításával megszüntették – Ügyfél1 Hatóságnak adott nyilatkozata szerint is a BM-től igényelt adatokat a postai megkeresések kiküldését követően törölték – majd a következő mondat tartalma alapján a személyes adatok törlését az érintett kérheti. (v) A tájékoztató nem nyújtott információt az érintettek részére a felügyeleti hatósághoz címzett panasz benyújtásának jogáról [GDPR 14. cikk (2) e)]. ## (132) A Hatóság megállapította, hogy a fentiekben részletezettek alapján az Ügyfél1 által a kiskorú érintetteknek, illetőleg törvényes képviselőjüknek címzett, augusztusában postai úton küldött megkeresésen elhelyezett tájékoztatás egyrészt nem nyújtott az érintetteknek tájékoztatást az adatkezelés valamennyi lényeges körülményéről, másrészt nem egyértelmű tájékoztatást nyújtott az érintetteknek, ezáltal megsértette a GDPR 12. cikk (1) bekezdését és a 14. cikk (1) bekezdés a) és c) pontjaiban, valamint a 14. cikk (2) bekezdés b), c) és e) pontjaiban foglaltakat. (133) Az Ügyfél1 által 2021 augusztusában és 2022 szeptemberében kiküldött levélen egyaránt az alábbi tájékoztatást tartalmazta: „Tisztelt Szülő! Ezt a tájékoztatót a Pitagorasz Oktatási Stúdió Kft. készítette Önnek. Székhelyünk: 1028 Budapest Szilágyi Erzsébet utca 30. Tájékoztatjuk, hogy az Ön adatainak forrása a Belügyminisztérium Személyi Nyilvántartási és Igazgatási Főosztály Személyi Nyilvántartási Adatszolgáltatási és Engedélyezési Osztálya. Tájékoztatjuk, hogy a felhasznált adatokat nem tároljuk, azokat nem továbbítjuk, és a levél postára adását követően – mire Ön kézhez kapja – már töröltük. Jelen piackutatás célja a Pitagorasz Oktatási Stúdió Kft. felvételi előkészítő tanfolyami lehetőségeinek felmérése, a szülői igények megismerése. Az adatkezelés jogalapja: kutatás és közvetlen üzletszerzés célját szolgáló név- és lakcímadatok kezeléséről szóló 1995. évi CXIX. törvény 3. § (1) bekezdés d) pontja. A Pitagorasz Oktatási Stúdió Kft. adatkezelési nyilatkozatát a www.pitagorasz.hu oldalon tekintheti meg.” (134) A Hatóság megállapította, hogy az Ügyfél1 által a kiskorú érintetteknek (törvényes képviselőjüknek) 2022 szeptemberében postai úton küldött tájékoztató levél elhelyezett tájékoztatás nem tartalmazta az általános adatvédelmi rendelet 14. cikkében foglalt legfontosabb információkat: (i) A tájékoztató nem nevezte meg konkrétan, hogy ki tekinthető adatkezelőnek. A tájékoztató ugyan megemlítette az Ügyfél1 nevét, mint a tájékoztató készítőjét és az elérhetőségét (székhelyét), azonban abból csak legfeljebb következtetés vonható le arra vonatkozóan, hogy a vizsgált adatkezeléssel összefüggésben az Ügyfél1 az adatkezelő [GDPR 14. cikk (1) a)]. (ii) A tájékoztató a személyes adatok kezelésének jogalapjáról nem tájékoztatta az érintetteket. A tájékoztató egy jogszabályi hivatkozást is tartalmaz, ami megtévesztő módon azt a látszatot kelti, mintha a levél címzettjének, mint érintett személyes adatának kezelése a hivatkozott jogszabályban foglalt jogi kötelezettség teljesítéséhez lenne szükséges, azaz annak jogalapja a GDPR 6. cikk (1) bekezdés c) pontja szerinti jogi kötelezettség teljesítése lenne [GDPR 14. cikk (1) c)]. A tájékoztató a fentieken túl az átlátható adatkezelés biztosításához szükséges fontosabb kiegészítő információkat sem tartalmazta: (iii) Ügyfél1 a Hatóságnak adott válaszában akként nyilatkozott, hogy adatkezelése az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontján alapul, a levélen elhelyezett tájékoztató azonban ezzel kapcsolatban semmilyen tájékoztatást nem nyújt [GDPR 14. cikk (2) b)]. (iv) A tájékoztató az érintetti jogokra vonatkozóan semmilyen információt nem nyújtott [GDPR 14. cikk (2) c)]. A tájékoztatáson csupán annyi információt nyújtott az adatkezelő, hogy az adatkezelési nyilatkozatot milyen weboldalon érheti el az érintett, amely az érintettek számára félreértető is, ugyanis az „adatkezelési nyilatkozat” kifejezésből az érintettek nem feltétlenül gondolnak arra, hogy adott esetben az adatkezelő az adatkezelési tájékoztatására utal ezen kifejezés alatt. (v) A tájékoztató nem nyújtott információt az érintettek részére a felügyeleti hatósághoz címzett panasz benyújtásának jogáról [GDPR 14. cikk (2) e)]. (135) A Hatóság áttekintette a vizsgált adatkezelési időszakban az Ügyfél1 weboldalán közzétett „Adatkezelési nyilatkozat” elnevezésű dokumentumot, amelyre az Ügyfél1 a Hatóság megkeresésére tett nyilatkozatában mint adatvédelmi tájékoztatóra hivatkozik. A Hatóság a dokumentummal kapcsolatban megállapította, hogy az az Ügyfél1 postai megkeresésküldéssel összefüggésben megvalósult adatkezelésére vonatkozóan semmilyen információt nem tartalmazott. ## (136) A Hatóság megállapította, hogy a fentiekben részletezettek alapján az Ügyfél1 által a kiskorú érintetteknek, illetőleg törvényes képviselőjüknek címzett, augusztusában, illetőleg 2022 szeptemberében postai úton küldött megkeresésen elhelyezett tájékoztatás egyrészt nem nyújtott az érintetteknek tájékoztatást az adatkezelés valamennyi lényeges körülményéről, másrészt nem egyértelmű tájékoztatást nyújtott az érintetteknek, ezáltal megsértette a GDPR 12. cikk (1) ## bekezdését és a 14. cikk (1) bekezdés a) és c) pontjaiban, valamint a 14. cikk (2) bekezdés b), c) és e) pontjaiban foglaltakat. 3.5. Az Ügyfél1 hírlevélküldéssel összefüggésben folytatott adatkezelési gyakorlata 3.5.1. Az adatkezelés jogszerűsége, az adatkezelés szereplői (137) Ügyfél1 az I.4. pontban ismertetettek szerint az általa üzemeltetett https://pitagorasz.hu oldalon lehetőséget biztosított – illetőleg a Határozat meghozatalának időpontjában is biztosít – hírlevélre feliratkozásra is. (138) Ügyfél1 a nyilatkozata, illetőleg az adatkezelési tájékoztatójában nyújtott információk szerint a hírlevélküldést adatfeldolgozó, az Ügyfél2 közreműködésével végzi, a hírlevélküldő szolgáltatását ugyanis az Ügyfél2 által biztosított Webgalamb levelező rendszeren keresztül működteti. (139) Ügyfél2 az Ügyfél1 részére a […] címen elérhető Webgalamb 8.1.0 online hírlevélküldő programjának tárhely szolgáltatását biztosítja. Ügyfél2 – a nyilatkozata és a (40) pontban ismertetettek szerint – adatrögzítési, adatkezelési, szerkesztési és egyéb támogatást nem nyújt Ügyfél1 részére, Ügyfél2 a Webgalamb termék (szoftver/licensz) és hírlevélküldő szolgáltatás használata során csak adattovábbító/-közvetítő, és ügyfelei – így az Ügyfél1 nevében nem kezel olyan személyes adatot, amely az Ügyfél1 ügyfeleire/vevőire/hírlevélfeliratkozóira vonatkozik. (140) A hírlevélre feliratkozáshoz kötelezően megadandó adatok: az e-mail cím, hogy adott tanévtől hányadik osztályos lesz a diák, Magyarország mely részén lakik (adott vármegye megjelölése szükséges) és az e-mail cím újbóli megadása. Ezen felül a feliratkozás sikerességéhez a „hozzájárulás” előtti jelölőnégyzet megjelölése szükséges, miszerint az érintett hozzájárul ahhoz, hogy az Ügyfél1 marketing célból hírlevelet küldjön részére és közvetlen üzletszerzési céllal keresse meg. (141) Az Ügyfél1 által csatolt, a www.pitagorasz.hu weboldalon feliratkozottak listáját tartalmazó excel adatbázisai alapján azonban ténylegesen az alábbi személyes adatokat tárolja Ügyfél1 a feliratkozottakról: e-mail cím, IP cím, feliratkozás ideje, státusz (aktív/visszapattant), ID (6 számjegyű azonosító valamennyi feliratkozónál), feliratkozási URL, 2019/2020/2021. szeptembertől hányadik osztályos a diák, Magyarország melyik részén lakik. Ezen felül a 2020/2021. tanévben és a 2021/2022. tanévben feliratkozottaknál az adatkezeléshez történő hozzájárulás tényét is rögzítette az excel adatbázisában. (142) A GDPR 4. cikk 1. és 2. pontjának fogalommeghatározása alapján többek között az e-mail cím, IP cím, ID, feliratkozási URL és ezekhez kapcsolódóan az érintettre vonatkozóan gyűjtött egyéb információk az érintett személyes adatának, míg az adatokon elvégzett bármely művelet, így például az adatok gyűjtése, rögzítése, tárolása, rendszerezése, felhasználása adatkezelésnek minősül. Az adatkezelés jogszerűségéhez az adatkezelőnek a GDPR 6. cikk (1) bekezdésével összhangban álló jogalappal kell rendelkeznie. (143) Az Ügyfél1 Hatóságnak adott nyilatkozatában a hírlevélre feliratkozással összefüggésben megvalósuló adatkezelése jogalapjaként a hozzájárulást jelölte meg. (144) A vizsgált adatkezelési időszakban az Ügyfél1 weboldalán a hírlevélre feliratkozási ablakba beágyazott linken keresztül letölthető „Adatkezelési nyilatkozat” elnevezésű dokumentumban (a továbbiakban: tájékoztató) a „Hírlevél küldésével és személyre szabott reklámokkal kapcsolatos adatkezelési információk” alcím alatt adott tájékoztatás szerint „Az adatkezelés jogalapja a felhasználó önkéntes hozzájárulása, hogy a weboldal használata közben megadott személyes adatai felhasználásra kerüljenek, illetve az Infotv. 5. § (1) bekezdése és a 2001. évi CVIII. törvény 13/A. § (3) bekezdése.” A hírlevél küldésével kapcsolatos adatkezelés célja pedig: „kizárólag a felhasználókkal történő kapcsolattartás megkönnyítése, adott esetben bizonyos szolgáltatások személyre szabott nyújtása, új és aktuális információk továbbítása”. A tájékoztató szerint a hírlevélküldéssel kapcsolatosan a feliratkozók név, e-mail cím és lakcím (megye, város szinten) adatait kezeli Ügyfél1, az érintettek hozzájárulásának visszavonásáig, illetőleg az érintett adattörlési kéréséig. (145) Az Ügyfél1 weboldalán biztosított hírlevélre feliratkozáshoz – a Hatóság által végzett, (53) pontban ismertetett tesztfeliratkozás által igazoltan – az érintettek akként adták, illetőleg adják a hozzájárulásukat, azaz a feliratkozás sikerességéhez az szükséges, hogy a személyes adatok kötelező megadását követően a feliratkozó a „hozzájárulok” előtti jelölőnégyzet megjelölésével nyilatkozik arról, hogy hozzájárul „ahhoz, hogy a Pitagorasz Oktatási Stúdió Kft. marketing célból hírlevelet küldjön és közvetlen üzletszerzési céllal megkeressen”. (146) Az Ügyfél1 nyilatkozata szerint az adatkezelés célja a hírlevélen keresztüli kapcsolattartás, azaz, hogy fontos, oktatáshoz kötött információkra emlékeztessék a szülőket. (147) A feliratkozási felületen elhelyezett nyilatkozat szerint tehát az adatkezelés célja marketing célú hírlevélküldés és közvetlen üzletszerzési célú megkeresések küldése, illetőleg információként van feltüntetve a feliratkozási ablakban – mintegy utalva arra, hogy milyen témájú hírlevelek várhatóak –, hogy „Ha kéri, akkor rendszeresen és ingyenesen értesítjük minden olyan tudnivalóról, mely fontos Önöknek. /tanév rendje, továbbtanulási információk, felvételi tudnivalók, határidők, tanulási lehetőségek, stb …/”. (148) Az érintett a GDPR 6. cikk (1) bekezdés a) pontja alapján tájékozott hozzájárulást adhat a személyes adatai konkrét célokból történő kezeléséhez. Ennek érvényességéhez azonban a hozzájárulás meg kell feleljen a GDPR más általános érvényű szabályainak, mint például a GDPR 5. cikk (1) és (2) bekezdés szerinti adatkezelési elvek és a 4. cikk 11. pont szerinti fogalom-meghatározásban megjelölt feltételek, valamint a GDPR 7. cikke szerinti korlátozások. (149) A GDPR 5. cikk (1) bekezdés b) pontja szerint a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azokat nem kezelhetik ezekkel a célokkal össze nem egyeztethető módon. Emiatt az adatkezelés megtervezése és az érintettek tájékoztatása során a kellően konkrét cél megjelölése is előfeltétele a jogszerű adatkezelésnek. A GDPR (32) preambulumbekezdése továbbá hangsúlyozza, hogy ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan külön meg kell adni. Amennyiben az adatkezelő nem kísérli meg, hogy minden egyes célhoz külön-külön hozzájárulást kérjen, hiányzik a döntés szabadsága. (150) Ügyfél1 a hírlevél feliratkozással kapcsolatosan gyűjtött személyes adatokat a fentiek alapján több, eltérő célból gyűjtötte (marketing/közvetlen üzletszerzési cél és oktatással kapcsolatos általános információk, tudnivalók nyújtása cél), az érintettek hozzájárulását azonban csak a marketing és közvetlen üzletszerzési célból történő adatkezeléshez kérte. Ezzel kapcsolatban a Hatóság hangsúlyozza továbbá azt is, hogy a közvetlen üzletszerzés egy ernyőfogalom, amelynek konkrét megvalósítását szükséges megjelölni célként, például saját vagy harmadik személy termékekről/szolgáltatásokról szóló hirdetések küldése adott csatornán. (151) A Hatóság álláspontja szerint az érintettek személyes adatai kezelésének jogszerűsége akkor állapítható meg, ha az érintett a személyes adatainak valamennyi adatkezelési célból történő kezeléséhez külön járulhatott hozzá (152) A GDPR 4. cikkének 11. pontja határozza meg az „érintett hozzájárulása” fogalmát, mint a személyes adatok kezelésének egyik jogszerű alapját. Ezzel kapcsolatban a GDPR (32) preambulumbekezdése további útmutatót nyújt, miszerint az adatkezelésre csak akkor kerülhet sor, ha az érintett egyértelmű megerősítő cselekedettel, például írásbeli – ideértve az elektronikus úton tett -, vagy szóbeli nyilatkozattal önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű hozzájárulását adja a természetes személyt érintő személyes adatok kezeléséhez. A hozzájárulás az ugyanazon cél, vagy célok érdekében végzett összes adatkezelési tevékenységre kiterjed. Ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan meg kell adni. (153) Nem kellően átlátható, egyértelmű és valós jelen esetben az érintettek tájékoztatása az adatkezelés céljairól amiatt sem, hogy az egyik adatkezelési cél a feliratkozási ablakban a hozzájáruló nyilatkozatban kiemelésre kerül, míg a tájékoztatóban egy ettől eltérő adatkezelési célról informálják az érintetteket, amely alapján nem állapítható meg, hogy mi is a tényleges adatkezelői szándék az adatkezelés célját illetően. (154) Ezt erősíti meg az (EU) 2016/679 rendelet szerinti hozzájárulásról szóló 5/2020. számú iránymutatásban, valamint az annak előzményeként kiadott WP259 számú iránymutatásban foglaltak, miszerint annak az adatkezelőnek, aki/amely különféle eltérő célokra kér hozzájárulást, külön hozzájárulási lehetőséget kell biztosítania mindegyik célhoz, annak érdekében, hogy az érintettek konkrét célokra konkrét hozzájárulást adhassanak. (155) Az érintettek személyes adatai kezelésének jogszerűsége tehát akkor állapítható meg, ha az érintett megfelelő tájékoztatást kapott arra vonatkozóan, hogy a személyes adatok gyűjtése ténylegesen milyen célból vagy célokból történik, továbbá az érintett külön, azaz egyértelmű és konkrét hozzájárulását adta a valamennyi célból történő adatkezeléshez. Nem lehet elvitatni az érintettek azon választási lehetőségét, hogy kapcsolattartási, azaz oktatással kapcsolatos általános információk, információk szerzése céljából hírlevélre iratkozzanak fel, de emellett szabadon dönthessenek arról, hogy kívánnak-e marketing/közvetlen üzletszerzési célú hírleveleket is kapni az adatkezelőtől. ## (156) A hozzájárulás azáltal, hogy annak fentiekben kifejtett módon történő megadása nem az érintettek akaratának egyértelmű és konkrét kinyilvánítása, nem tekinthető az adatkezelés érvényes jogalapjának, ez alapján az Ügyfél1 megsértette a 6. cikk (1) bekezdését. 3.5.2. Az hírlevélküldéssel összefüggésben megvalósuló adatkezeléssel kapcsolatos tájékoztatás (157) A GDPR 12. cikk (1) bekezdése szerint az Ügyfél1, mint adatkezelő kötelezettsége megfelelő intézkedéseket hozni annak érdekében, hogy az érintettek részére a személyes adatok kezelésére vonatkozó, a 13. és 14. cikkben említett valamennyi információt és a 15- 22. és a 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa. (158) A megfelelő tájékoztatás rendszere a GDPR-ban azt szolgálja, hogy az érintett tudatában lehessen annak, hogy mely személyes adatait, mely adatkezelő és mely célból, hogyan fogja kezelni. Ez elengedhetetlen ahhoz, hogy olyan helyzetben legyen, hogy érintetti jogait érdemben gyakorolni tudja. (159) Megfelelő tájékoztatás hiányában értelemszerűen az érintett nincs olyan helyzetben, hogy érintetti jogait megfelelően gyakorolja, és tényleges hozzájárulást adjon valamihez, amivel nincs teljesen tisztában. (160) A GDPR 6. cikk (1) bekezdés a) pontjára alapított adatkezelés esetén a GDPR 4. cikk 11. pontja alapján nemcsak az adatkezelés megkezdése, hanem a hozzájárulás megszerzése előtt köteles az adatkezelő olyan tájékoztatást nyújtani, amely alapján tájékozott hozzájárulás adható. (161) Az adatkezeléshez történő érintetti hozzájárulás csak akkor lehet érvényes, ha azt konkrét cél(ok)ra – célonként külön megadhatóan – kérik, és előtte megfelelő tájékoztatást nyújtanak, amely olyan helyzetbe hozza az érintettet, hogy megfelelő döntést tudjon hozni a hozzájárulás megadásáról, és megfelel a GDPR-ben előírt valamennyi egyéb érvényességi követelménynek. A GDPR 12. cikk (1) bekezdése kifejezetten eredménykötelmet ír elő az adatkezelőnek, azaz az érintett számára olyan segítséget kell nyújtania, hogy az minden érintetti jogát tájékozottan tudja gyakorolni. (162) A tájékoztatási kötelezettség a fentiekben is kifejtettek szerint nem puszta „lepapírozási” kötelezettséget jelent a GDPR-ban. A tájékoztatás célja, hogy olyan helyzetbe hozza az érintettet, hogy az megfelelő döntési helyzetben legyen az érintetti jogai gyakorlásával kapcsolatban. Amennyiben ezt objektíven nem éri el az átlagos érintettek vonatkozásában, akkor nem fog megfelelni a GDPR-nak. (163) Mivel Ügyfél1 a hírlevél feliratkozással összefüggésben általa kezelt személyes adatokat a feliratkozások során az erre szolgáló felületen megadott személyes adatokat – az érintettektől szerezte, a GDPR 13. cikkében foglaltak figyelembevételével az érintettek részére a személyes adataik kezelésével összefüggő 13. cikk (1) és (2) bekezdése szerinti tájékoztatást a személyes adatok megszerzésének időpontjában kell az érintettek rendelkezésére bocsátani. (164) A Hatóság megállapítása szerint az Ügyfél1 által az adatkezelésről nyújtott tájékoztatás nem egyértelmű az érintettek számára, a hírlevél-feliratkozási felületen elérhető információk nem teljesen azonosak a felületen hivatkozott, a vizsgált adatkezelési időszakban elérhető adatkezelési tájékoztatóban foglalt információkkal: (i) A feliratkozási felületen elérhető előre megfogalmazott hozzájárulási nyilatkozatban megjelölt adatkezelési cél (marketing és közvetlen üzletszerzési cél) nem azonos az adatkezelési tájékoztatóban a kifejezetten a hírlevélküldéssel kapcsolatos információk között megjelölt adatkezelési céllal, ott ugyanis a hírlevélküldés céljaként elsődlegesen a „kapcsolattartás megkönnyítése” van megjelölve, emellett célként van megjelölve a bizonyos szolgáltatások személyre szabott nyújtása, új és aktuális információk továbbítása is. (ii) A feliratkozási felületen kötelezően megadandó adatok nem azonosak az adatkezelési tájékoztatóban a hírlevélküldéssel kapcsolatos információknál megjelölt kezelt adatok körével, továbbá a tényállás feltárása során a Hatóság rendelkezésére bocsátott adatbázis tartalma alapján az Ügyfél1 ennél jóval szélesebb körben tárol adattípusokat. (iii) Az adatkezelési tájékoztatóban továbbá Ügyfél1 az Infotv. rendelkezéseire hivatkozott az adatkezelés jogalapjának megjelölésénél, továbbá a tájékoztató hivatkozott már hatályban nem lévő jogszabályokra is, mint a felhasználók adatainak kezelésekor figyelembe vett jogszabályok Az adatkezelési tájékoztatóban továbbá a Hatóság címe az évekkel korábbi székhelyre utal, mindez azt mutatja. hogy az évek óta nem lett frissítve. A Hatóság számos döntésében és állásfoglalásában kifejtette, hogy a GDPR-nek történő megfelelés nem egy időpontban, egy napon szükséges csak, hanem egy rendszeresen visszatérő, folyamatos megfelelési kötelezettség. A Hatóság megjegyzi továbbá, hogy a jelen adatvédelmi hatósági eljárásban egyébként nem vizsgált, az Ügyfél1 által az eljárás alatt módosított adatvédelmi tájékoztató továbbra is a Hatóság évekkel ezelőtti székhelyét tünteti fel. (iv) A tájékoztató ismertette az Ügyfél1 által az adatkezelése során igénybe vett adatfeldolgozót, Ügyfél1 azonban 2020 decembere óta nem a tájékoztatóban megjelölt társaságtól szolgáltatását veszi igénybe a hírlevélküldéshez és adattároláshoz, hanem Ügyfél2 szolgáltatását. (165) Az Ügyfél1 által a vizsgált adatkezelési időszakban közzétett adatkezelési tájékoztató továbbá nem átlátható a Hatóság megállapítása szerint. A tájékoztató elején az adatkezelő kiemelte, hogy mi az adatkezelés jogalapja, célja, milyen adatokat kezel, majd a tájékoztatás megfelelősége szempontjából egyébként szükségtelen, jogszabályból átvett fogalommeghatározások után ismét az adatkezelés jogalapjáról tájékoztatott – az érintetteket megtévesztve több jogalapot is felsorolva –, az azonban nem volt megállapítható, hogy mely adatkezelési tevékenységére vonatkozott ez az információ, a tájékoztató ugyanis ezt követően áttekinthető rendszerezés nélkül sorolta fel az egyes általa végzett adatkezelési tevékenységeket – azokhoz kapcsolódóan kiemelve az adatkezelés jogalapját, célját, az ahhoz kapcsolódóan kezelt adatok körét, az adatkezelés időtartamát. Az érintettek tehát a konkrét célból történő adatkezeléssel kapcsolatosan konkrétabb információkat csak a teljes, több oldalból álló tájékoztató áttekintésekor találhattak. (166) Tekintettel arra, hogy az Ügyfél1 által választott jogalap az érintett hozzájárulása volt, annak – többek között – megfelelő előzetes tájékoztatáson kell alapulnia ahhoz, hogy érvényes legyen. (167) A GDPR 12. cikk (1) bekezdése alapján az Ügyfél1 kötelezettsége volt, hogy megfelelő intézkedéseket hozzon annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. illetve 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa a tájékoztatásában, amelyet a hírlevélre feliratkozni szándékozó érintettek a feliratkozást megelőzően el tudnak érni. (168) Tekintette a fentiekre, a Hatóság a rendelkező részben megállapította, hogy az Ügyfél1 megsértette a GDPR 12. cikk (1) bekezdését és a 13. cikk (1) bekezdés c) és e) ## pontjait és (2) bekezdésé d) pontját mivel a vizsgált adatkezelési időszakban nem nyújtott átlátható és világos, a valóságnak megfelelő tájékoztatást az érintettek részére a hírlevél-feliratkozással és hírlevélküldéssel kapcsolatban. 3.5.3. Az Ügyfél1 adattörlési gyakorlata a hírlevélküldéssel összefüggésben (169) Ügyfél1 nyilatkozata szerint a fentiekben részletezettek alapján lehetőség van hírlevélre feliratkozásra. Ügyfél1 nyilatkozata szerint a hírlevélküldés mindaddig történik, amíg az érintett arról le nem iratkozik. Minden hírlevélben van leiratkozási link, ennek igazolására Ügyfél1 csatolta az egyes tanévben kiküldött hírlevele egy-egy szövegmintáját, azaz három hírlevele mintáját. (170) A Hatóság – az I.4. pontban részletesen bemutatott – az Ügyfél2 által mentett és a Hatóság számára hozzáférhetővé tett adatbázis elemzésekor megállapította, hogy annak […] elnevezésű táblája – az Ügyfél2 nyilatkozatával egyezően – tartalmazza a feliratkozott olvasók adatait, így tartalmazza az e-mail címet, a feliratkozáskor a feliratkozó e-mail címét, ezek dátumát, egy egyedi sessiont, ami a feliratkozáskor az olvasó azonosítására szolgálta titkosított hash formátumban, a feliratkozó csoportját, ahova feliratkozását kérte, ID-ját, továbbá azt, hogy aktív-e vagy törölt. Az adattábla „Active” oszlopa mutatja a feliratkozók státuszát, amely oszlopnak 3 különféle értéke lehet: „0”, „1” és „2”. A Hatóság észlelése alapján az oszlopban „0”-val, vagyis inaktívként jelölt feliratkozók adatai azonos tartalommal érhetőek el az adatbázisban, mint az aktívaké, azaz a táblán belül ugyanúgy megtalálható ezen feliratkozók e-mail címei és IP-címei. (171) Ügyfél1 a Hatóság ehhez kapcsolódó azon kérdésére, hogy egy korábban hírlevélküldésre feliratkozott érintett leiratkozásakor, illetőleg valamely feliratkozónak több alkalommal történő sikertelen levélküldés esetén hogyan jár el, nyilatkozatában megerősítette, hogy egy korábban hírlevélküldésre feliratkozott érintett leiratkozásakor a Webgalamb levelező rendszer a leiratkozási kattintással azonnal automatikusan törli a leiratkozót oly módon, hogy a leiratkozó érintett kilétéről nem is lesz tudomásuk. Sikertelen levélküldés esetén pedig a Webgalamb rendszere jelzi ezt a tényt és ezek az adatok szintén végleges törlésre kerülnek és kikerülnek az adatbázisból. Ügyfél1 nyilatkozata alapján a hivatkozott adattábla „Active” oszlopában a „0”-ás értékű jelzi az inaktív, míg a „2”-es értékű azokat a feliratkozókat, akiknek küldött levél visszapattant valamilyen hiba miatt. Ezek az adatok véglegesen törlésre kerülnek nyilatkozata szerint. (172) A GDPR 17. cikk (1) bekezdése b) pontja alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az érintett visszavonja a 6. cikk (1) bekezdés a) pontja értelmében az adatkezelés alapját képező hozzájárulását, azaz jelen esetben leiratkozik a hírlevélküldésről. (173) A GDPR 5. cikk (1) bekezdés d) pontjában foglalt pontosság elve alapján az az adatkezelőnek minden észszerű intézkedést meg kell tennie annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul törölje vagy helyesbítse. (174) A Hatóság álláspontja szerint amennyiben a hírlevélküldés során az Ügyfél1 azt észleli, hogy valamely e-mail címre annak elérhetetlensége miatt a hírlevélküldés sikertelen volt, gondoskodnia kell mind a korábban feliratkozott érintett e-mail címének, mind az Ügyfél1 által ahhoz kapcsoltan kezelt személyes adatok haladéktalan törléséről. (175) A Hatóság az adatbázis elemzése és Ügyfél1 nyilatkozata alapján megállapítja, hogy Ügyfél1 nyilatkozatával ellentétben a hivatkozott adattáblában a „0_ás és „2”-es „active” mezőértékkel rendelkező adatok továbbra is elérhetőek az adatbázis […] nevű adattábláján, amely azt jelenti, hogy az Ügyfél1 által „inaktív”-ként jelzett „0”-ás értékű, illetve a visszapattant levelekhez kacsolódó „2”-es értékű érintettek adatai mind szerepelnek az adatbázisban, az e-mail címet valamennyiüknél tárolja az adatbázis táblája, míg a feliratkozáskori IP-címet 2 ember kivételével ugyancsak tárolja az adattábla. ## (176) Fentiek alapján Ügyfél1 a feliratkozásukat visszavonó érintettek személyes adatait a hozzájárulásuk visszavonása ellenére továbbra is kezeli, megsértve ezáltal a GDPR 17. cikk (1) bekezdés b) pontját. IV. ## Jogkövetkezmények (177) A Hatóság figyelemmel arra, hogy az Ügyfél1 a feliratkozásukat visszavonó érintettek személyes adatait a hozzájárulásuk visszavonása ellenére – azaz leiratkozásukat követően – továbbra is kezeli az adatbázisában, valamint adatbázisában továbbra is kezeli azon érintettek személyes adatait is, akik részére a hírlevélküldés sikertelen volt, a Hatóság a GDPR 58. cikk (2) bekezdés d) pontja alapján utasította az Ügyfél1-et, hogy véglegesen törölje az adatbázisában tárolt azon érintettek személyes adatait, akik a hírlevélküldésről leiratkoztak, illetőleg akiknek a megadott elérhetőségére a hírlevélküldés sikertelen volt. (178) Az Infotv. 75/A. § alapján a Hatóság a GDPR 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – az előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – a GDPR 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. (179) E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire és az adatkezelés természetére, a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés nem arányos szankció, ezért a Hatóság bírság kiszabása mellett döntött az Infotv. 61. § (1) bekezdés a) pontjára figyelemmel az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja alapján. (180) A Hatóság a bírság szükségessége és összege tekintetében figyelembe vette, hogy a Kötelezett utolsó közzétett nettó világpiaci forgalma (az értékesítés nettó árbevétele) a közhiteles e-beszámoló nyilvántartás2 szerint a 2022. évben 55 839 000 Ft volt (a 2021.évre: 44.647.000 Ft; a 2020. évre: 13.874.000 Ft). A bírság lehetséges maximuma az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) és b) pontja alapján 20 millió EUR. (181) A Hatóság figyelembe vette a bírság összegének megállapítása során az Európai Adatvédelmi Testület 4/2022-es számú iránymutatásában (a továbbiakban: Iránymutatás) 3 foglaltakat, amely az általános adatvédelmi rendelet szerinti közigazgatási bírságok kiszabásának számítási szempontjait tartalmazza. Erre tekintettel a bírság összegének meghatározására a következő szempontok alapján került sor: (i) Az Ügyfél1 forintban számított bevétele a 2 millió euró alatti bevételsávban van. (ii) Az Iránymutatás alapján az általános adatvédelmi rendelet 83. cikk (5) bekezdése szerinti bírságkategóriába tartozó jogsértések esetén – a bírság tárgyát képező, összességében relatíve alacsony súlyúnak megítélt jogsértés esetén – a statikus bírságmaximum 0 és 8 000 EUR (kb. 3 000 000 Ft) között van. (iii) Az Ügyfél1 tekintetében megállapított 500.000 Ft bírság összeg az éves világpiaci forgalom (árbevétel) kb. 0,895 %-a. (182) Az adatvédelmi bírság mértékének meghatározásakor a Hatóság enyhítő körülményként vette figyelembe az alábbiakat: (i) A megállapított jogsértés tekintetében az Ügyfél1 gondatlanul járt el (GDPR 83. cikk (2) bekezdés b) pont). (ii) A Hatóság korábban nem állapított meg releváns adatvédelmi jogsértést az Ügyfél1gyel szemben (GDPR 83. cikk (2) bekezdés e) pont) ## 2 https://e-beszamolo.im.gov.hu Guidelines on the calculation of administrative fines under the GDPR (Version 2.0.). Online: https://edpb.europa.eu/system/files/2023-06/edpb_guidelines_042022_calculationofadministrativefines_en.pdf (iii) A Hatóság a bírság mértékének meghatározásakor enyhítő körülményként értékelte az Ügyfél1 arra vonatkozó nyilatkozatát, hogy a piackutatásnak ezen módját – azaz a BM-től való adatigénylésen alapuló postai megkeresés küldését – megszüntette és a jövőben azt nem alkalmazzák. (GDPR 83. cikk (2) bekezdés f) pont) (iv) A Hatóság túllépte az Infotv. 60/A. § (1) bekezdése szerinti ügyintézési határidőt, ennek oka a tényállás tisztázásának nehézsége volt. (183) Az adatvédelmi bírság mértékének meghatározásakor a Hatóság az alábbi súlyosító körülményeket vette figyelembe: (i) Az Ügyfél1 a vizsgált adatkezelési időszak tekintetében, azaz a 2020-ban, 2021-ben és 2022-ben benyújtott adatszolgáltatási kérelmei eredményeként jelentős számú érintett, összesen közel 124.000 kiskorú személyes adatát (név- és lakcímadatát) kapta meg a BM-től (GDPR 83. cikk (2) bekezdés a) pont); (ii) Az Ügyfél1 adatkezelése kapcsolati típusú személyes adatra irányult, ezen belül pedig kiskorú gyermekek név- és lakcímadatára terjedt ki, továbbá a hírlevélküldéshez kapcsolódóan e-mail cím, IP cím, ID, feliratkozási URL és ezekhez kapcsolódóan az érintettre vonatkozóan gyűjtött egyéb információk, mint személyes adatok kezelésére terjedt ki (GDPR 83. cikk (2) bekezdés g) pont). (iii) Az adatkezelés jogellenessége által az Ügyfél1 nagyobb haszonra tehetett szert, az Ügyfél1 tevékenysége ugyanis, hogy a továbbtanulás előtt álló kiskorú gyermekek szüleit célozva hirdeti a központi felvételi előkészítő tanfolyamait. A megfelelő tájékoztatás hiánya olyan helyzetbe hozta az érintetteket, hogy jogaikat nem tudták megfelelően megismerni és gyakorolni, így érintetti joggyakorlásuk ellehetetlenülésének kockázata még nagyobb (GDPR 83. cikk (2) bekezdés k) pont). (184) A Hatóság a jogkövetkezményekről való döntés meghozatala során az általános adatvédelmi rendelet 83. cikk (2) bekezdésének fent nem részletezett pontjait nem tartotta relevánsnak a jelen esetben. (185) Az adatvédelmi bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg. (186) A jelen IV. pontban meghatározott szempontok és az eset összes körülménye alapján a Hatóság a bírság összegét arányosnak tartotta a speciális és generális prevenció szempontjából is. Ezen mérlegelés nem köti a Hatóságot más ügyben, a jogkövetkezmény – az Iránymutatás 145-146 bekezdésében is kiemelt módon – minden esetben az egyedi körülmények alapján kerül meghatározásra. (187) A Hatóság az érintettek nagy száma miatt az Ügyfél1 azonosító adataival, illetve az általa működtetett honlapok megnevezésével teszi közzé a határozatot. V. ## Egyéb kérdések: (188) A jelen döntés az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak. (189) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (190) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (191) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (192) Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Ugyanezen § (2a) bekezdése szerint az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. A Hatóság illetékessége Magyarország egész területére kiterjed. Kelt Budapesten, az elektronikus aláírás szerint Dr. habil. Péterfalvi Attila elnök távollétében: dr. Bendik Tamás általános elnökhelyettes