Решение по делу NAIH-19-18-2024 (Будапештский городской суд 105.K.703.714/2024/17)

Az ügy száma: 105.K.703.714/2024/17. A felperes: felperes. (cím1)

A felperes képviselője: jogi képviselő1 Ügyvédi Iroda (cím2., eljáró ügyvéd: ügyvéd)

Az alperes: Nemzeti Adatvédelmi és Információszabadság Hatóság (cím3)

Az alperes képviselője: jogi képviselő2 Ügyvédi Iroda (cím4, eljáró ügyvéd: ügyvéd2)

A per tárgya: adatvédelmi közigazgatási jogvita (NAIH*****2024)

Í t é l e t A bíróság a keresetet elutasítja. Kötelezi a felperest, hogy 15 napon belül fizessen meg az alperesnek 750.000 (hétszázötvenezer) forint perköltséget. Az eljárás illetékmentes. Az ítélet ellen fellebbezésnek nincs helye.

I n d o k o l á s

A per alapjául szolgáló tényállás

[1] A felperes az energiahatékonysági kötelezettségi rendszerben (a továbbiakban: EKR) való kötelező részvételére tekintettel 2021. december 10-én lakossági felhasználók, azaz természetes személyek számára országos kiterjedtségű Program csere programot (a továbbiakban: Program) indított, amelynek keretében a jelentkezők online regisztrációt követően energiahatékonysági megállapodás (a továbbiakban: Szerződés) megkötésével ingyen juthattak új, korszerű Program fényforrásokhoz. A Programra történő regisztrációt, szerződéskötési folyamatot és adminisztratív felületet webes applikáció (a továbbiakban: Adatbázis) biztosította. [2] Az Adatbázis útján történő regisztráció során a Programra való jelentkezéshez 2023. november 30-ig bizonyos személyes adatok kötelező megadása mellett fel kellett tölteni a jelentkező személyazonosító igazolványának mindkét oldalát és a lakcímet igazoló hatósági igazolványának mindkét oldalát tartalmazó fájlt (a továbbiakban: okmánymásolatok), valamint a fogyasztó nevére szóló villanyszámla képét és az azon szereplő egyes további adatokat is. [3] Az Adatbázis regisztrációs felületén, és az annak elérését lehetővé tevő https://Programcsere.hu (a továbbiakban: Honlap1) honlapon, valamint korlátozott ideig lehetővé tevő https://gyoriProgram.hu (a továbbiakban a Honlap1-el együtt: Honlapok) honlapon kifejezetten az Adatbázis útján történő regisztrációhoz, vagy a Programhoz kapcsolódóan megvalósuló, regisztrációt követő adatkezelési műveletekhez 2023. november 30-ig nem volt közzétéve adatkezelési tájékoztató. A Honlapok és a regisztrációs felület alsó menüsorában egyaránt megtalálható „Dokumentumok” menüpontban a Programra és az Adatbázis regisztrációra kifejezett utalást nem tartalmazó, a Honlap1-en elhelyezett „Adatvédelmi és adatkezelési Tájékoztató a [felperes] tevékenységére vonatkozóan” című, 2022. február 11-i keltezésű adatkezelési tájékoztató (a továbbiakban: régi Tájékoztató) volt elérhető, amely a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendeletet (a továbbiakban: GDPR) nem említette, a benne szereplő fogalmak, hivatkozott érintetti jogok és jogszabályi rendelkezések a GDPR alkalmazását megelőzően hatályos jogszabályi környezetre vonatkoztak. [4] A régi Tájékoztató IV. címe a felperessel kötött szerződésekben foglalt személyes adatok kezelésének jogalapjaként az érintett önkéntes hozzájárulását, a meghatalmazottak útján történő szerződéskötés esetén pedig a felperes jogos gazdasági érdekét jelölte meg. A „XII. Az adatkezelés időtartama” cím alatti rendelkezések szerint a felperes a panasznak nem minősülő közléseket, véleményeket 180 napig, a szerződések megkötésével, a szerződéskötéshez kapcsolódó ajánlatkéréssel és ajánlatokkal kapcsolatos adatokat pedig nyolc évig őrzi meg, ugyanakkor a közvetlen üzletszerzési céllal felvett adatokat az érintett hozzájárulásának visszavonásáig kezelte. [5] A Honlapok valamennyi lapja alján, így a regisztráció során is elérhető volt az Egységes Szerződési Feltételekre (a továbbiakban: ESZF) és a Gyakran Ismételt Kérdésekre (a továbbiakban: GYIK) mutató menüpont; az ESZF és a GYIK a Program során megvalósuló adatkezeléssel kapcsolatos tájékoztatást is tartalmaztak.

[6] Az igazolványok feltöltésének indokaként a GYIK rögzítette, hogy „az igazolványok a villanyszámlán lévő személyt igazolják, és a szerződéskötéshez szükségesek. A természetes személy adatainak kezelése és tárolása, valamint azok feldolgozása szükségszerű része a programnak, mivel azok nélkül a jelentkező azonosítását (és a felhasználási helyének további azonosítását) nem lehet elvégezni. Az azonosítás személyes adatokat tartalmazó iratok ismeretét (az adatok átadását) tételezi fel, így az adatkezelés (az iratok elektronikus átvételével) célhoz kötött és rendeltetésszerű, amelyet a jelentkező nem kifogásolhat.” [7] Az Adatbázisba regisztráló természetes személynek a regisztráció utolsó lépéseként jelölőnégyzet bejelölésével megerősítve tudomásul kellett vennie az ESZF-ben foglaltakat. Az ESZF III.5.1. pontja szerint „az adatkezelésre vonatkozó részletes tájékoztatót a jelen ESZF tartalmazza.” A regisztrációval a felhasználó önkéntes, határozott és kifejezett hozzájárulását adta ahhoz, hogy a [felperes] a Program során az adatait felhasználja, „(…) egyebekben azokat a [Programhoz] hasonló, valamint az egyéb energetikai tárgyú szolgáltatásokhoz (…) felhasználja, ilyen energiaszolgáltatások érdekében más szolgáltatóknak a személyes adatokat további felhatalmazás nélkül átadja.” A regisztráló személy szerződéskötés hiányában a regisztráció során megadott adatai kapcsán csak a felperesnek megküldött írásbeli, aláírt „(…) adatkezelést visszavonó és a kezelt, tárolt adatok megsemmisítésére utasítást adó nyilatkozatával (…)” vonhatta vissza az adatkezeléshez adott hozzájárulását. Az ESZF itt rögzítette azt is, hogy „a [felperes] adatkezelése és tárolása a kötelező adatkezelés körébe eső adatok körében a jogszabály által előírt időtartamig és a [felperes] adattörléséig áll fenn”, továbbá az III.5.2. pont szerint „a kötelező adatkezelés körébe eső adatok törlését a Felhasználó az utolsó adatfelhasználást követő 8 (nyolc) évig (…) vagy a jogszabály által előírt más későbbi időtartam alatt nem kérheti.” Az ESZF III.5.3. pontja helyenként kötelező, helyenként szerződésen alapuló adatkezelést említett, ugyanakkor rögzítette, hogy az a természetes személy ESZF elfogadásán alapuló tájékozott beleegyezésével történik. [8] Az érintettnek az ESZF jelölőnégyzettel történő elfogadását követően, a regisztráció azonos lapján egy „Nyilatkozat”-ot kellett jelölőnégyzet útján elfogadnia, kijelentve, hogy részt kíván venni a Programban, elfogadja az ESZF-et és a létrejövő Szerződést, valamint a személyes adatainak kezeléséhez való hozzájárulásra vonatkozó nyilatkozatot tesz. [9] A jelölőnégyzetek bejelölését követően az érintett elküldhette az adatait a felperes szerverére az Adatbázisba, amivel a regisztráció ún. „új regisztráció” fázisba került, és egy megerősítő e-mailt küldtek az érintett által megadott e-mail címre. Amennyiben az érintett a visszaigazoló e-mailben feltüntetett linkre kattintott a regisztráció státusza „ellenőrzésre vár” állapotra változott. Az ellenőrzést a felperes alkalmazottai és közreműködői végezték el oly módon, hogy a regisztráció során az Adatbázison keresztül gyűjtött személyes adatokat az Adatbázis adminisztrációs felületére a nyílt internetről, egyszerű felhasználónév és jelszó párossal, másodlagos azonosítás nélkül, internetes böngészőből belépve manuálisan összevetették a szintén az érintettek által rendelkezésre bocsátott okmánymásolatokon és számlakivonatokon szereplő adatokkal. Amennyiben az érintett nem töltötte fel a kért okmánymásolatokat, vagy már korábban szerződött a Programban, a regisztráció – hiánypótlás, utólagos feltöltés lehetőségének hiányában – elutasításra került. Az Adatbázisba bekerült adatokhoz számos, eseti jelleggel közreműködő felhasználó is hozzáfért. Számukra a belépéshez szükséges jelszót egyszerű e-mail útján küldte meg az Adatbázis adminisztrátora.

[10] Az Adatbázis adminisztrációs felületén a felperes munkatársa vagy közreműködője megvizsgálta a regisztráció során megadott személyes adatokat, és ha azok egyeztek, illetve az adott regisztrálóval korábban nem történt szerződéskötés, a regisztráció „elfogadott” státuszba került, és az Adatbázis Szerződést generált, amelyet megküldtek az érintett részére az általa megadott e-mail címre. Ezt követően a felperes a fényforrások rendelkezésre állásakor külön emailben tájékoztatta az érintettet arról, hogy mikor és hol tudja átvenni az igényelt Programeket. Az átvételt az érintett vagy az általa meghatalmazott személy aláírással nyugtázta a Programban részt vevő önkormányzatok által kialakított átvevőpontokon. [11] A felperes által a Programba közreműködőként bevont települési önkormányzatok a Program-ek kiosztásakor segédkeztek, illetve egyes önkormányzatok a regisztráció folyamatában is segítséget nyújtottak. A felperes a regisztráció során gyűjtött adatokat a Programban részt vevő önkormányzatoknak továbbította a Program-ek sikeres átadása érdekében. A felperes az önkormányzatokkal egységes, rendszeresített együttműködési megállapodást, illetve adatfeldolgozási szerződést kötött. [12] Az Adatbázis potenciális sérülékenységei kapcsán 2023 februárjában etikus hackeri vizsgálat készült, amely amellett, hogy megállapította, hogy az Adatbázis biztonságosnak mondható, az abba történő bejelentkezéshez szükséges fiókhoz egy átlag felhasználó nem tud jutni, és az alacsonyabb szintű fiókkal nem lehetséges magasabb szintű jogosultságot szerezni, négy jelentősebb és egy lehetséges sérülékenységre hívta fel a figyelmet. [13] Az alpereshez az ország több pontjáról érkeztek a Programmal kapcsolatos adatkezelésre vonatkozó panaszok, illetve vizsgálati eljárás kezdeményezésére irányuló beadványok, továbbá közérdekű bejelentések is. Az alperes a felperes által a Programmal összefüggésben végzett személyes adatkezelés, okmánymásolatok gyűjtése jogszerűségének vizsgálata tárgyában NAIH-4208/2023 ügyszámon vizsgálati eljárást folytatott le, amelyet 2023. október 6-án az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 55. § (1) bekezdés a) pont ab) alpontja alapján lezárt és az ügyben hivatalból adatvédelmi hatósági eljárást indított. Minderről a NAIH- ****/2023. számú végzésével (a továbbiakban: Végzés) értesítette a felperest. [14] Az alperes 2023. október 18-án helyszíni szemlét tartott a felperes székhelyén. A helyszíni szemle megállapításai szerint az Adatbázis adminisztrációs felületét internetes böngésző útján, a nyílt internetről bárhonnan, bármilyen eszközről el lehettet érni és oda be lehetett jelentkezni. Az Adatbázis adminisztrációs felületéhez hozzáférési jogosultsággal rendelkezők általi belépésnél egyfaktoros azonosítás (egyszerű felhasználónév és jelszó páros) történt, sem megerősítő e-mail vagy szöveges üzenet nem került kiküldésre a bejelentkezéshez, sem egyéb hitelesítő eszköz, token birtoklása nem volt elvárás a hozzáféréshez. A szemle időpontjában rendszeres időközönkénti jelszóváltoztatás nem volt kikényszerítve. A feltöltött okmányképek lementését, azokról képernyőkép készítését tiltó technikai intézkedés nem volt bevezetve. A szemle időpontjában az Adatbázisba bekerült személyes adatokhoz hozzáféréssel rendelkező felhasználók között szerepeltek olyanok is, amelyek jogosultságai nem kerültek visszavonásra az egyes közreműködési időszakok között, illetve a felhasználóhoz kapcsolódó jelszó sem került megváltoztatásra. [15] Emellett a szemle időpontjában a felperes a 2023. szeptember 1. napját megelőzően regisztrált személyekhez kapcsolódóan 374 személlyel összefüggésben kezelt az Adatbázisban továbbra is okmánymásolatot. [16] A felperes 2023. december 1-től változtatott az adatkezelési gyakorlatán: felülvizsgált és a Programmal összefüggő regisztráció során a Honlap1-en elérhető új ESZF-et és adatkezelési tájékoztatót (a továbbiakban: új Tájékoztató) tett közzé, valamint az okmánymásolatok bekérése helyett a Program-ek fizikai átadásakor történő bemutatást vezette be az okmányok ellenőrzésére.

Az alperes határozata

[17] Az alperes a 2024. szeptember 10-én kelt NAIH*****2024 számú határozatával megállapította, hogy a felperes gondatlanul megsértette a 2021. december 10-től 2023. november 30-ig terjedő időszakban a GDPR 5. cikk (1) bekezdés a) pontjában foglalt átláthatóság elvét, a GDPR 5. cikk (1) bekezdés c) pontját, a 6. cikk (1) bekezdését, a 12. cikk (1) bekezdését, a 13. cikk (1) bekezdés c), e) pontjait és a (2) bekezdés a) pontját, a 14. cikk (1) bekezdés c), d), e) pontjait és a (2) bekezdés a) pontját, valamint a 32. cikk (4) bekezdését (1.1. pont a)-i) alpontok); a 2021. december 10-től 2023. november 2-ig terjedő időszakban a GDPR 5. cikk (1) bekezdés e) pontját (1.2. pont); a 2023. május 16-tól 2023. június 15-ig terjedő időszakban a GDPR 28. cikk (3) és (9) bekezdéseit (1.3. pont); a 2023. december 1-től a bizonyítási eljárás lezárásáig terjedő időszakban a GDPR 13. cikk (1) bekezdés c) pontját és a (2) bekezdés a) pontját, valamint a 14. cikk (1) bekezdés c) pontját és a (2) bekezdés a) pontját [2. pont a)-d) alpontok]. A 2. pontban megállapított jogsértések miatt kötelezte a felperest arra, hogy az adatkezelési gyakorlatát hozza összhangba a GDPR rendelkezéseivel, valamint módosítsa a vonatkozó adatkezelési tájékoztatóját (3. pont). Az 1. és 2. pontban megállapított jogsértések miatt hivatalból kötelezte a felperest 75.000.000 forint adatvédelmi bírság megfizetésére (4. pont). Az Infotv. 61. § (2) bekezdés a) és c) pontjai alapján hivatalból elrendelte a végleges határozatnak a felperes azonosító adatainak közzétételével történő nyilvánosságra hozatalát az alperes honlapján, továbbá a felperes Programhoz kapcsolódó weboldalának nyitóoldalán, jól látható és könnyen hozzáférhető helyen, a határozat véglegessé válásától számított 30 napon belül, legalább 30 napon keresztül (5. pont). [18] A határozat indokolásában a rendelkező rész 1.1. pont a) alpontja körében megállapította, hogy az Adatbázison keresztül megvalósuló adatkezelések tekintetében a régi Tájékoztató a Programmal összefüggő regisztrációs folyamatra, a személyazonosító okmányok, a lakcímet, illetve személyi azonosítót igazoló hatósági igazolványok kezelésére vonatkozó információt egyáltalán nem tartalmazott. A szerződésekhez és ajánlatkéréshez kapcsolódó adatkezeléssel összefüggésben rögzített nyolc éves megőrzés eltért mind az alperes által megállapított valós adatkezelési időtartamtól, mind a régi ESZF-ben általánosságban megjelölt, nem kifejtett kötelező adatkezelési időtartamtól, illetve a hasonló energiamegtakarítási programok céljára való felhasználás lehetőségétől. [19] A felperes a Program kapcsán nem a régi Tájékoztatóban, hanem az ESZF-ben nyújtotta – nem a GDPR által elvárt módon és tartalommal – az adatkezelés alapvető jellemzőire vonatkozó tájékoztatást, így az adatkezelést érintő rendelkezések nem különültek el a szerződéses rendelkezésektől. Az adatkezelés érintett számára legfontosabb, alapvető jellemzőit azonban részleteiben nem fejtette ki az ESZF-ben sem, melynek III.5. fejezete nem különítette el egyértelműen, hogy a felperes mely adatkezelési célokból, mely jogalapon, mely adatokat gyűjti és tárolja, sor kerül-e adattovábbításra, mennyi ideig történik az adatok, valamint az okmány- és dokumentummásolatok megőrzése. [20] A GYIK-ben foglalt, [6] bekezdésben idézett tájékoztatás, mely szerint az érintett nem kifogásolhatja az adatkezelést – a felperes által jogalapként hivatkozott jogos érdek függvényében – ellentétes a GDPR szerinti hozzájárulás visszavonásához, a tiltakozáshoz és a jogorvoslathoz fűződő joggal. [21] Rámutatott arra, hogy az átláthatóság hiányára utal az alpereshez beérkezett tájékoztatáskérések és panaszok jellege, tárgya is. [22] Megállapította, hogy 2023. december 1-jét megelőzően az érintettek számára nem volt átlátható az őket érintő adatkezelés: a felperes által közzétett dokumentumokból a tájékoztatás széttagoltsága, hiányossága és helyenként eltérő tartalma miatt nem volt kialakítható egységes és valós kép a rájuk vonatkozó adatkezelés alapvető jellemzőiről (az adatkezelés céljai, pontos időtartama; a célonként elkülönített egyes jogalapok), az őket megillető jogokról és jogorvoslati lehetőségekről, valamint a hozzájárulás visszavonásához, a tiltakozáshoz és a törléshez való jog kapcsán a felperes a GDPR-ban foglaltakkal ellentétes tájékoztatást adott. Nem pusztán az érintetteknek nyújtandó tájékoztatás egyes tartalmi elemei hiányoztak, és nem is csak a tájékoztatás nyújtásának módja nem volt megfelelő (kellően áttekinthető, közérthető, a regisztráció megkezdésekor bárki számára könnyen hozzáférhető). [23] Az 1.1. pont b) alpont kapcsán megállapította, hogy a regisztráció során az Adatbázisba feltöltött, nem hitelesített digitális okmánymásolatok nem alkalmasak a felperes által megjelölt cél („személy igazolására”) elérésére, ahhoz az eredeti okmány bemutatása szükséges. Az adattakarékosság elve azáltal is sérült, hogy az okmánymásolatok és a villanyszámla másolata nem kizárólag az ajánlattételhez vagy az EKR joggal kapcsolatos szerződés megkötéséhez és fenntartásához elengedhetetlenül szükséges, hanem egyéb személyes adatokat (az érintett okmányon szereplő arcképe, aláírásképe vagy a villanyszámlán megjelölt aktuális folyószámla egyenlege) is tartalmaznak. A felperes nem tudta megjelölni azt a jogszabályi rendelkezést, amely alapján kötelezően gyűjtenie kellett volna az okmánymásolatokat; az energiahatékonyságról szóló 2015. évi LVII. törvény (a továbbiakban: Ehat. tv.) erre vonatkozó kötelezettséget nem ír elő. A felperes nem igazolta, hogy a dokumentummásolatokon szereplő személyes adatok (okmányazonosító, igazolványkép, illetve a személyi azonosító; a villanyszámlán a felhasználási hely és fogyasztási adatok kivételével szereplő adatok) gyűjtése a Programba való jelentkezéssel összefüggésben miért elengedhetetlenül szükséges az adatkezelési cél eléréséhez. A felperes ezért megsértette az adattakarékosság elvét, ugyanis létezett a cél elérésére megfelelő, azonban az érintettek személyes adatait kímélő módszer is; a személyes adatok kezelése nem korlátozódott a felperes által azonosított célokhoz valóban szükséges mértékre; az általa választott és alkalmazott módszer nem volt alkalmas a kívánt cél elérésére. [24] Az 1.1. pont c) alponthoz kapcsolódó indokolás szerint a felperes az Adatbázison keresztül végzett adatkezelés kapcsán az okmánymásolatok vonatkozásában nem tudott megfelelő jogalapot igazolni. Az érintettek nem tudták önkéntes hozzájárulásukat adni a személyes adataik kezeléséhez, figyelemmel arra, hogy a Programba nem tudtak jelentkezni az okmánymásolatok rendelkezésre bocsátása nélkül, azokat kötelező volt feltölteni az Adatbázisba. A GDPR 6. cikk (1) bekezdés b) pontja szerinti jogalap nem volt alkalmazható, mert az okmánymásolatok kezelése nem volt szükséges a Szerződés létrejöttéhez. A Honlap1en a jelölőnégyzet mellett feltüntetett, „Tudomásul veszem a fentieket és az ESZF-ben rögzítetteket.” szöveg nem felelt meg a hozzájárulás önkéntességének és kifejezett voltának. A regisztráló személy hozzájárulása nem lehetett tájékozott sem, tekintve, hogy nem kapott megfelelő tájékoztatást az adatkezelés számos kulcsfontosságú szempontjáról. Abból következően, hogy az érintettek az adatkezelés vonatkozásában nem tudták kifejezett és önkéntes hozzájárulásukat adni, a felperes adatkezelési tevékenysége az okmánymásolatok vonatkozásában a személyazonosító jel helyébe lépő azonosítási módokról és az azonosító kódok használatáról szóló 1996. évi XX. törvény 7. § (2) bekezdésében és 35. §-ában foglaltaknak sem felelt meg. [25] Az 1.1. pont d) alpont körében megállapította, hogy az adatkezelésre vonatkozó tájékoztatás az érintettek számára nem volt könnyen hozzáférhető. Az ESZF III.5. fejezete egy jogi ismeretekkel nem rendelkező személy számára annak ellenére nem volt közérthető, könnyen értelmezhető, hogy számítani lehetett a lakosság Program iránti széles körű érdeklődésére. Az alperes jó gyakorlatnak ítélte a GYIK alkalmazását, amely azonban nem volt teljes körű, és részben valótlan tartalmú tájékoztatást adott az érintetteknek. A felperes a regisztrációt lehetővé tevő online felületén nem hozott megfelelő intézkedéseket annak érdekében, hogy az érintettek részére a GDPR 13-14. cikkeiben említett valamennyi információt és tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa. [26] Az 1.1. pont e)-h) alpontjai kapcsán rögzítette, hogy sem az ESZF, sem a régi Tájékoztató nem határozta meg kifejezetten és a valóságnak megfelelően, pontosan az adatok tervezett kezelésének célját, valamint az adatkezelés jogalapját; a személyes adatok címzettjeit, a címzettek kategóriáit; a személyes adatok tárolásának időtartamát; az érintett személyes adatok kategóriáit. [27] Az 1.1. pont i) alponttal kapcsolatos megállapításai szerint a felperes a felhasználók általi jogosulatlan adatmentéssel szemben nem alkalmazott olyan technikai intézkedéseket, amelyek a munkatársat megakadályoznák abban, hogy az Adatbázisból az adatokat, okmánymásolatokat a böngészőből a számítógépre lementse, vagy azokról képernyőmentést készítsen. Az az elvárás, hogy a felperes által használt elektronikus dokumentumokhoz kizárólag az azokkal kapcsolatos feladattal megbízott és jogosultsággal rendelkező munkatársak férhessenek hozzá, úgy lett volna teljesíthető, ha az adott időszakban közreműködői feladatokat ténylegesen nem végző személyeknek az Adatbázis adminisztrációs felületéhez való hozzáférési jogosultságát visszavonták volna, ami azonban a bizonyítékok összességének értékelése alapján nem történt meg, illetve nem volt igazolt. Megállapította, hogy a Programmal összefüggésben a GDPR 32. cikk (4) bekezdése szerinti követelmény azáltal sérült, hogy 2023. november 30-ig a felperes az Adatbázis vonatkozásában – a kezelt adatok mennyisége és az okmánymásolatokra tekintettel azok minősége miatt – nem az érintettek jogaira jelentett kockázatoknak megfelelő intézkedéseket hozott annak biztosítására, hogy a személyes adatokhoz hozzáféréssel rendelkező személyek kizárólag a felperes utasításának megfelelően kezelhessék az említett adatokat. A Programhoz kapcsolódó adatkezelés személyes adatokra jelentett kockázataival arányosan hozott adminisztratív intézkedések megfelelőek voltak, azonban az alkalmazott technikai intézkedések teljes körű megvalósítása nem volt igazolt. A NAIH-8614-6/2023. ügyiratszámú nyilatkozatában a felperes is elismerte, hogy a jogkövető magatartás feltételezése esetén volt megfelelő a személyes adatok biztonságának szintje; technikai intézkedést nem alkalmazott annak megelőzésére, hogy az Adatbázisból személyes adatok kerüljenek lementésre vagy kifényképezésre, illetve nem igazolta megfelelően, hogy a Programban közreműködők hozzáférési jogosultságát kellő időben visszavonta. A személyes adatok sérelmének közvetlen kockázata ezért annak ellenére fennállt, hogy a Program kapcsán adatvédelmi incidens bekövetkeztére a bizonyítási eljárás lezárásáig nem derült fény.

[28] A korlátozott tárolhatóság elvének sérelmével összefüggésben (1.2 pont) megállapította, hogy az okmánymásolatok törlése nem volt automatizált és rendszeres, arra általában havonta került sor. A helyszíni szemle [15] bekezdésben írt megállapításával összefüggésben rögzítette, hogy az okmányok túltárolására került sor, mert azok törlése a helyszíni szemlén megállapítottak és a felperes által lefolytatott belső vizsgálat eredménye szerint nem történt meg. A felperes a korlátozott tárolhatóság elvét azzal is megsértette, hogy előre meghatározhatatlan ideig tárolta a törölt e-mail címeket. Az eseti érintetti kérelmek alapján történt törlésekről vezetett táblázatba a helyszíni szemle időpontjában 84 érintett volt névvel és e-mail címmel bejegyezve, azonban a felperesnek a GDPR 11. cikke értelmében a törlést kérő érintettekről külön nyilvántartást nem kellett volna vezetnie. [29] Az 1.3. pont kapcsán rögzítette, hogy a felperes és Budapest Főváros VII. Kerület Erzsébetváros Önkormányzata (a továbbiakban: Önkormányzat) között létrejött együttműködési megállapodás 2023. március 28-i keltezésű, míg az általuk kötött adatfeldolgozói megállapodást 2023. június 15-én írták alá. Az együttműködési megállapodás ugyanakkor nem tekinthető egyben adatfeldolgozói szerződésnek is, mert nem tartalmazta a GDPR 28. cikk (3) bekezdés b) és f) pontjaiban foglalt garanciákat. A felperesi jogsértést az együttműködési megállapodás e tartalmi hiánya mellett azért állapította meg, mert az adatfeldolgozásra irányuló szerződés nem volt írásba foglalva. [30] Megállapította, hogy a felperes az új Tájékoztatóban tévesen határozta meg az adatok tervezett kezelésének jogalapját és a személyes adatok tárolásának időtartamát (2. pont). Az új Tájékoztató nem megfelelő jogalapokra hivatkozott, a tájékoztatás nem volt teljes körű, abban nem került kifejtésre az a kötelező adatkezelés, amelyet a felperes számára jogi norma ír elő [17/2020. (XII. 21.) MEKH rendelet; Ehat. tv. 15/A. § (1) és (9) bekezdés]. Kifejtette, hogy az új Tájékoztató szerint a dokumentumok megőrzése, ellenőrzése, esetleges auditálás, vagy jogi eljárások lefolytatása és az azok során történő bizonyítás érdekében történő adatkezelés esetében a felperes az adatokat tíz évig kezeli, azonban a vonatkozó jogszabály pontos rendelkezése nincs megjelölve. Az új Tájékoztató a Szerződés megszűnését követő tíz éves időtartamra utal, amely azonban nem áll összhangban az energiahatékonyságról szóló törvény végrehajtásáról szóló 122/2015. (V. 26.) Korm. rendelet (a továbbiakban: Ehat. tv. Vhr.) 14. § (4) bekezdésével. Az új Tájékoztató a GDPR 6. cikk (1) bekezdés c) pontja szerinti jogi kötelezettség helyett tévesen rögzíti az adatkezelés jogalapjaként a felperes jogos érdekét. Az Ehat. tv. Vhr. 18. § (1) bekezdésének utolsó mondatára figyelemmel a felperesre is vonatkozik az Ehat. tv. Vhr. – energetikai auditálást alátámasztó dokumentációra vonatkozó – 14. § (4) bekezdése, ugyanakkor az EKR joggal kapcsolatos dokumentáció megőrzésére nem e jogszabályhely, hanem az Ehat. tv. 15/A. § (9) bekezdése az irányadó. Nem került külön feltüntetésre az auditor által igényelt dokumentumok auditor részére történő átadásának GDPR szerinti jogalapja, amely az új Tájékoztatóban megjelölt GDPR 6. cikk (1) bekezdés b) pont helyett helyesen a c) ponton alapul. Hivatkozott az új Tájékoztatónak az Ehat. tv. 15/D. § (1) és (1b) bekezdéseivel, valamint a végfelhasználási energiamegtakarítással kapcsolatos adatszolgáltatásról szóló 17/2020. (XII. 21.) MEKH rendelet 3. § (1) bekezdésével összefüggő hiányosságára, illetve nem teljes körű és félrevezető tájékoztatására. Az alperes álláspontja szerint nem a villamos energiáról szóló 2007. évi LXXXVI. törvény (a továbbiakban: VET), hanem az Ehat. tv. hatálya alá esik a felperes Programmal kapcsolatos adatkezelése, amelyre vonatkozóan ezért téves a VET egyes rendelkezéseinek végrehajtásáról szóló 273/2007. (X. 19.) Korm. rendelet (a továbbiakban: VET Vhr.) egyes rendelkezéseire hivatkozás. [31] Az ügy körülményeire és az adatkezelés természetére tekintettel megállapította, hogy az Infotv. 75/A. §-ában hivatkozott figyelmeztetés önmagában nem lenne se arányos, se visszatartó erejű szankció, ezért bírság kiszabása szükséges, amelynek mérlegelésekor figyelemmel volt a felperes által bevezetett gyakorlat általános és országos jellegére, valamint a jelentős számú érintettre. Rögzítette, hogy a jogsértések többsége az adatkezelés elveire és az érintettek jogaira vonatkozó rendelkezések megsértését jelentették, melyek magasabb összegű bírságkategóriába tartozó, súlyosabb jogsértésnek minősülnek. Megállapította, hogy a jogsértések közepes súlyosságúnak minősülnek, tekintve, hogy a felperes több jogsértést követett el, illetve több alapelvi rendelkezést is megsértett. A bírságkiszabás során enyhítő körülményként értékelte – többek között – a felperes eljárás során és a jogsértések orvoslása érdekében tanúsított együttműködő magatartását, azzal összefüggésben az adatkezelési gyakorlatának módosítását. [32] Rögzítette, hogy az ügyintézési határidőt túllépte, annak kétszeresét azonban figyelemmel az Infotv. 60/A. § (1) bekezdésére – nem lépte túl.

A kereset, a védirat

[33] A felperes – pontosított – keresetében elsődlegesen a határozat megváltoztatásával, illetve hatályon kívül helyezésével és az alperes új eljárásra kötelezésével a határozat 4-5. pontjai jogszerűtlenségének megállapítását és az e pontok szerinti jogkövetkezmények mellőzését, másodlagosan a határozat hatályon kívül helyezését és az alperes új eljárásra kötelezését kérte, mert álláspontja szerint a 2021. december 10. és 2023. november 30. közötti időszakban nem sértette meg a GDPR 5. cikk (1) bekezdés a) és c) pontjait, a 6. cikk (1) bekezdését, a 12. cikk (1) bekezdését, a 13. cikk (1) bekezdés c) pontját, a 14. cikk (1) bekezdés c), d) pontját és a (2) bekezdés a) pontját, valamint a 32. cikk (4) bekezdését, továbbá a határozat 1.3. és 2. pontjai szerinti rendelkezéseket. Harmadlagosan kérte a határozat megváltoztatásával, illetve hatályon kívül helyezésével és az alperes új eljárásra kötelezésével a határozat 4-5. pontjai szerinti jogkövetkezmények jogszerűtlenségének elévülés miatti megállapítását, e jogkövetkezmények mellőzését és annak megállapítását, hogy 2023. december 12-től a bizonyítási eljárás lezárásáig terjedő időszakban nem sértette meg a GDPR 28. cikk (3) és (9) bekezdéseit. Negyedlegesen a határozat megváltoztatását és a bírság mérséklését, vagy a határozat hatályon kívül helyezését és az alperes új eljárásra kötelezését kérte. [34] Eljárásjogi kifogások körében állította, hogy az alperes túllépte az ügyintézési határidő kétszeresét. Ezzel összefüggésben, hivatkozva az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 8. § (2) bekezdésére, kiemelte, hogy az Ákr. a hivatalbóli eljárások szabályaitól való eltérést nem tesz lehetővé, aminek következtében az alperes az ügyintézési határidő számítása körében nem hagyhatja figyelmen kívül az Infotv. 60/A. § (1) bekezdésében írt eljárási cselekményeket; az Ákr. 103. § (3) bekezdése alapján az ügyintézési határidőbe csak az eljárás felfüggesztésének időtartama nem számít be. Álláspontja szerint a határozat (57) bekezdésében írt időtartamok azért is beszámítanak az ügyintézési határidőbe, mert abból csak a felperes részére kiadott megkereséseket lehetne figyelmen kívül hagyni. Az alperes az Ákr. 103. § (4) bekezdése alapján nem alkalmazhatta volna a határozat 4-5. pontjai szerinti jogkövetkezményeket. [35] Azzal érvelt, hogy a közigazgatási szabályszegések szankcióiról szóló 2017. évi CXXV. törvény (a továbbiakban: Szankció tv.) 5. § (1)-(2) bekezdései alapján a határozat rendelkező részének 2. pontja szerinti jogsértés miatt szankció elévülés következtében nem alkalmazható, tekintve, hogy a jogsértés megszűnése és a határozat meghozatala között több mint hat hónap telt el.

[36] Állította, hogy az Infotv. 75/A. §-a alapján – figyelemmel a Szankció tv. 9. § (2) bekezdésére – vele szemben bírság szankciót nem, csak figyelmeztetést lehetett volna alkalmazni. [37] Anyagi jogi jogsértések körében hivatkozott arra, hogy a VET 47. § (1) bekezdése a villamosenergia-kereskedő esetében kötelezővé teszi a felhasználói kapcsolattartás biztosítását és ahhoz a vonatkozó adatok kezelését. A felhasználók adatai a VET Vhr. 22/A. § ba) pontja szerint a név, születési név, anyja neve, születési hely és idő, valamint a VET Vhr. 2. számú melléklet 2.4. és 8.1. pontjai alapján a lakcímadat is. Az ezeken felüli személyes adatok körét a villamosenergia-kereskedelmi üzletszabályzat tartalmazza. Utalt a VET 47. § (1b)-(1c) bekezdéseire. Mindezek kapcsán, valamint a VET 151. § (5) bekezdése alapján álláspontja szerint a villamosenergia-kereskedőnek a felhasználóval kapcsolatos jogviszonyában a személyazonosító adatok és lakcímadatok tekintetében az általa végzett adatnyilvántartásra vonatkozóan adatkérési és adatellenőrzési joga van a felhasználók felé. [38] Az adattakarékosság elvével összefüggésben, utalva a határozat (24) és (190) bekezdéseire, kiemelte, hogy az okmánymásolatok beküldésére elsődlegesen nem a résztvevők személyazonosságának, hanem az általuk a weboldalon keresztül megadott adatok helyességének ellenőrzése miatt volt szükség. Az alperes jogszabályi hivatkozással nem támasztotta alá azt a határozat (185) bekezdésében írt állítását, mely szerint az okmánymásolat nem rendelkezik bizonyító erővel. Ezzel összefüggésben hivatkozott a pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi LIII. törvény (a továbbiakban: Pmt.) 15. § (3) bekezdés b) pont ba) alpontjára, amely – álláspontja szerint elismeri az okmányok másolatának személyazonosságot igazoló jellegét. Életszerűtlen, hogy a Programban résztvevők az okmányaik felperes által meg nem ismerhető részeit különböző módszerekkel kitakarják. Kiemelte, hogy az adatokkal kapcsolatban incidens nem következett be. Az alperes annak ellenére kifogásolta az okmányok egészéről történő másolatkészítést, hogy az okmányok egészének megtekintését elfogadható eljárásként azonosította. [39] Hivatkozva az Ehat. tv. 15/A. § (3)-(5) bekezdéseire, a 15/D. § (1) és (7) bekezdéseire, valamint a 15/F. § (1) bekezdésére, előadta, hogy az EKR kötelezettség teljesítéséhez felhasznált auditálás dokumentációját az Ehat. tv. Vhr. 14. § (4) bekezdése alapján nyilvántartani és őrizni kell, legalább az átadástól számított tíz évig. A dokumentáció a Magyar Energetikai és Közmű-szabályozási Hivatal ellenőrzésének alapja, melynek – beleértve a felhasznált adatokat is – bemutatására az Ehat. tv. Vhr. 18. § (1) bekezdése és a 19. § (2) bekezdése alapján a kötelezett fél az auditor közreműködésével köteles. Az Ehat. tv. Vhr. 19. § (2) bekezdés b) pontja alapján az elvégzett audit részét képezik az ahhoz felhasznált dokumentumok és adatok. Az auditor jogosult a teljes dokumentáció, így a Szerződések és az azokban szereplő adatok megismerésére és ellenőrzésére is az Ehat. tv. Vhr. 14. § (4) bekezdésében meghatározott ideig. [40] Állította, hogy az adatkezelése átlátható volt, annak ellenkezőjét kifogásoló bejelentés nem érkezett. A Programban regisztráló felhasználó nyilatkozata az adatkezelésre kiadott iratok megismerésével volt lehetséges, és a kifejezett nyilatkozat esetében joggal feltételezte, hogy a felhasználó mindezekkel tisztában van. Törekedett arra, hogy a tájékoztatást tömör, átlátható, érthető formában, világos és közérthető nyelvezetet használva biztosítsa. A Programban bárki részt vehetett, ezért indokolt volt a tájékoztató egyszerű és közérthető megfogalmazása. A tájékoztatóban a „hozzájárulás” vagy „kötelező adatkezelés” nem szükségképpen a GDPR 6. cikk (1) bekezdés a) pontja szerinti hozzájárulást jelenti, hanem azt, hogy az adatok megadása önkéntes, és azoknak szükséges, akik részt kívánnak venni a Programban. Kifogásolta a határozat (177) bekezdését, továbbá azt is vitatta, hogy az okmánymásolatok esetében ne lett volna kifejezve a felhasználók hozzájárulása. A megfelelő tájékoztatás rendelkezésre állt az

ESZF, valamint a régi Tájékoztató keretében. Nem merült fel közreműködésre vonatkozó adat, ezért a közreműködői adatkezeléssel kapcsolatos határozati megállapítások megalapozatlanok. [41] Vitatta a határozat jogalap hiányára vonatkozó megállapításait is, mellyel összefüggésben kifejtette, hogy az okmányok másolatának kezeléséhez történő adatszolgáltatás az érintett hozzájárulásán alapult; a Programban a személyes adatok kezelése jellemzően szerződés körében megvalósuló adatkezelést jelent, amelyről az érintettek megfelelő tudomással bírhattak; a regisztrációkor feltöltött okmánymásolatok és a kapcsolattartási adatok kezelésének, valamint a Program során keletkezett dokumentumok megőrzésének jogalapja a jogos érdek; a számviteli elszámoláshoz alkalmazott bizonylati adatok kezelésének jogalapja a GDPR 6. cikk (1) bekezdés c) pontja. Mindezen felül a villamos energia felhasználókkal kapcsolatos adatkezelés a VET 47. § (1) bekezdés és a 151. § (5) bekezdés, valamint a villamosenergia-üzletszabályzat c.8.3. pont rendelkezésein is alapult. [42] Az adatbiztonsággal kapcsolatban az alperes önkényesen ragadott ki – jogszabályokkal alá nem támasztott – hibákat a gyakorlatából. Az alperes a határozat (241) bekezdésével ellentmondva rótt a terhére adminisztratív hibákat, melyek nem érintik az adatok biztonságát, illetve az alkalmazott adatbiztonsági intézkedéseket. Az általa végzett adatkezelés folyamatos kontroll és ellenőrzés alatt volt; az adatbiztonságot etikus hacker bevonásával ellenőrizte. Adatvédelmi incidens a nagy számú részvétel mellett sem következett be. Nem értékelhető a terhére az adatfeldolgozóknak szóló utasítások alperes részére történő átadásának hiánya, azokat – szükséges esetén – az alperesnek kellett volna bekérnie. [43] A korlátozott tárolhatóság kapcsán kifejtett álláspontja szerint az általában havonta történő törlés rendszeresnek számít. Nincs arra vonatkozó jogszabályi előírás, hogy az adatokat automatizáltan kellene törölni. A helyszíni szemlekor nem törölt 374 darab rekord a Programban részt vevők mindössze 0,3%-ának felel meg. A határozat (250) bekezdésében kifogásolt adatokat manuálisan rendszeresen törölte. Az azonban nem várható el tőle, hogy a helyszíni szemle során minden adat az alperes elvárásainak megfelelő státuszban legyen. A határozat (254) bekezdésével ellentétben álláspontja szerint megőrizhette 84 érintett nevét és email címét annak érdekében, hogy utólag igazolni tudja az alperesnek az adatok törlését. Ezen adatok tekintetében adatkezelési céllal és jogalappal is rendelkezett, azokat jogszerűen kezelte. [44] Vitatta, hogy az Önkormányzat adatfeldolgozóként való bevonása és adatfeldolgozói tevékenysége 2023. május 16. és 2023. június 15. között adatfeldolgozói szerződés nélkül történt. Az Önkormányzattal 2023. március 8-án kötött együttműködési megállapodást, amely 2023. december 12-ig volt hatályban. Az együttműködési megállapodás szükség esetén az adatfeldolgozási tevékenység ellátásnak feltételeként írta elő további, adatfeldolgozói megállapodás megkötését is, amely 2023. június 15-én jött létre. Ezt megelőzően az Önkormányzat adatfeldolgozói tevékenységet nem végzett, csak a Program-ek átadásában működött közre, a regisztrációban nem. Jogsértő a határozat (260) bekezdése szerinti megállapítás, mely szerint az adatfeldolgozásra vonatkozó szerződést írásba kell foglalni, mert a GDPR 28. cikke csak az adatkezelői utasítások írásbeliségét követeli meg. [45] A határozat 2. pontját illetően tévesnek tartotta azt az alperesi álláspontot, mely szerint az adatkezelés jogalapja nem a GDPR 6. cikk (1) bekezdés f) pontja, hanem a 6. cikk (1) bekezdés c) pontja szerinti jogalap. Az Ehat. tv. Vhr. ugyanis nem a felperesre, hanem az őt auditáló szervezetre telepít kötelezettségeket. Azért alapította az adatkezelését jogos érdekre, hogy az auditáló szervezet kérésére tíz éven belül be tudja mutatni a dokumentumokat. A jogalapot és az adattárolás idejét is helyesen határozta meg az új Tájékoztatóban. Az Ehat. tv. Vhr. 14. § (4) bekezdésében említett audit és annak dokumentációja kiterjed az auditot megalapozó teljes dokumentációra. Álláspontja szerint a GDPR lehetővé teszi a több (párhuzamos) jogalapra hivatkozást. Az alperes az új Tájékoztató tartalmát gyakorlatilag teljes egészében megfelelőnek fogadta el, a jogalapra való hivatkozást pedig csak azért minősítette tévesnek, hogy a felperes 2023. évi árbevételét vegye alapul a bírság kiszabásánál. [46] A Polgári Törvénykönyvről szóló 2013. évi V. törvény 6:11. § (1) bekezdésére hivatkozva állította, hogy a meghatalmazott útján történő eljárás olyan, mintha a Programra jelentkező maga járna el, ezért ilyen esetben a GDPR 14. cikke nem alkalmazandó. A határozat VII.10. pontjával összefüggésben az alperes nem igazolta a GDPR 14. cikkének alkalmazandóságát és sérelmét. A határozat (275)-(276) bekezdéseit hibásnak tartva kiemelte, hogy az alperes figyelmen kívül hagyta az új Tájékoztató 4. pontjának 3. bekezdését, amely általánosságban tartalmazza, hogy az adatok átadása történhet a tájékoztatóban felsorolt személyi körön túli címzetteknek is. E körben is feltételezte, hogy az alperes célja a 2023. évi árbevétel alapul vétele volt. [47] Előadta, hogy az eljárás során folyamatosan együttműködött, a gyakorlatát az alperes elvárásainak megfelelően módosította. Erre figyelemmel a bírság összege súlyosan és aránytalanul túlzó. A jogsértés közepesen súlyosként minősítését tévesnek, a határozat (271)- (272), (278) és (293) bekezdéseit ellentmondásosnak tartotta. [48] Utalt arra, hogy a határozat 2. pontjának megsemmisítése esetén az adatkezelése 2023. december 1-től jogszerűnek tekinthető. Ebben az esetben a bírság kiinduló összegének alapjául a 2022. évben elért árbevételét kell figyelembe venni. A kiinduló összeg módosulása folytán az alperes mérlegelése nem lehet megfelelő. [49] A Végzés 15. számú lábjegyzetére figyelemmel bizonyítási indítvány keretében kérte az alperes kötelezését a megelőző eljárás megindításáról szóló további irat csatolására. [50] A védiratra tekintettel kifejtette, hogy a Végzés 15. számú lábjegyzete alapján arra lehet következtetni, hogy az eljárás a határozatban rögzített időponthoz képest már korábban megindult. Álláspontja szerint nem vonatkozik rá az Ehat. tv. 15/A. § (9) bekezdése szerinti megőrzési idő, mert az EKR jog első jogosultja volt. [51] Az alperes által az ügyintézési határidő alakulásával kapcsolatban benyújtott iratok alapján hivatkozott arra, hogy az Ákr. 105. § (1) bekezdésének értelmében csak az ügyfél nyilatkozata minősül a tényállás tisztázására vonatkozó megkeresésnek. [52] Az alperes a kereset elutasítását kérte. Perköltséget számított fel. Álláspontja szerint 54 nap a tényállás tisztázása miatt nem számít bele az ügyintézési határidőbe, amelynek kétszeresét nem lépte túl. Hangsúlyozta, hogy a megelőző eljárás nem a vizsgálati eljárás megkezdésekor indult. A Szankció tv. 9. § (2) bekezdése nem alkalmazandó, tekintve, hogy a felperessel szemben kiszabott bírság a GDPR, azaz egy uniós rendelet rendelkezésein alapul. A Szankció tv. 5. § (3) bekezdése alapján nem következhetett be az elévülés, hiszen számos, azt megszakító eljárási cselekmény történt. Rámutatott arra, hogy az adattakarékosság elve amiatt is sérült, hogy a bekért okmánymásolatok az adatkezeléshez nem szükséges adatokat – például személyazonosító jel, képmás – is tartalmaztak. A Program izzócserére vonatkozó szerződés az ügyleti érték alapján nem olyan súlyú, amely a Pmt. szabályait felhívhatóvá tenné, ugyanakkor a jogalkotó a Pmt. körében sem tekinti az érintett azonosítására alkalmas megoldásnak az okmányról készített egyszerű másolatot. Az a tény, hogy adatvédelmi incidensre nem derült fény, nem jelenti azt, hogy a GDPR 32. cikk (4) bekezdése ne sérült volna. Sem a kifogások hiánya, sem a felhasználók feltételezett ismeretei nem támasztják alá a felperes által adott tájékoztatás megfelelőségét, az adatkezelés átláthatóságát. Volt azonban olyan bejelentés, amely a Program adatkezelési tájékoztatójának hiányosságaira, pontatlanságaira, esetleges visszaélési lehetőségekre hívta fel a figyelmet. A felperes is elismeri, hogy 374, illetve 84 esetben nem került sor a törlésre, ami bizonyítja, hogy a korlátozott tárolhatóság követelményének megsértése rendszerszintű probléma volt. Utalt a GDPR 28. cikk (9) bekezdésére, amely alapján a teljes adatfeldolgozási szerződést írásba kell foglalni. A felperesi adatkezelésre, azaz az EKR joggal kapcsolatos dokumentáció megőrzésére az Ehat. tv. 15/A. § (9) bekezdése vonatkozik; az adatkezelés időtartamát jogszabály határozza meg, amelytől a felperes érdekmérlegeléssel sem térhet el. Ettől elkülönítendő az energetikai auditra és az azt alátámasztó dokumentációra vonatkozó adatkezelés. Kiemelte, hogy egy adatkezelésnek egy jogalapja lehet. A határozat (276) bekezdése nem a címzetti kör, hanem a címzettek részére átadott adatok meghatározásának pontatlanságát kifogásolja. Nem érinti a tájékoztatási kötelezettség teljesítését az a körülmény, hogy az érintett nevében meghatalmazott képviselő jár el. A felperes együttműködő magatartását enyhítő körülményként értékelte, azonban az adatbiztonsági követelményeknek való megfelelés mértéke enyhítő körülményként nem vehető figyelembe. A felperes nem támasztotta alá, hogy miért téves a jogsértés közepesen súlyos minősítése és a 2023. évi árbevétel figyelembevétele. Ellenezte a felperes bizonyítási indítványának teljesítését.

A bíróság döntése és annak jogi indokai

[53] A kereset – az alábbiak szerint – alaptalan. [54] A bíróság a határozat jogszerűségét a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) 2. § (4) bekezdése és a 85. § (1)-(2) bekezdései szerint a kereseti kérelem korlátai, illetve a felek által előterjesztett kérelmek és jognyilatkozatok keretei között, a meghozatalának időpontjában fennálló tények alapján vizsgálta. A tényállást a peres felek nyilatkozatai és a rendelkezésre álló közigazgatási iratok tartalma alapján állapította meg. [55] A felperes eljárási és anyagi jogi jogsértésekre egyaránt hivatkozott: előbbiek körében az ügyintézési határidő kétszeresének túllépését, a határozat rendelkező részének 2. pontja szerinti jogsértés miatti szankció alkalmazásának elévülés miatti kizártságát állította, valamint a figyelmeztetés jogkövetkezmény alkalmazásának mellőzését és bizonyos körben a bírságkiszabást kifogásolta. Az anyagi jogi jogszabálysértések körében összefoglalóan állította, hogy az általa végzett adatkezelés átlátható volt, annak megfelelő jogalapja volt, valamint a korlátozott tárolhatósággal, az adatbiztonsággal, az Önkormányzat adatfeldolgozóként történt bevonásával és a GDPR 14. cikkével kapcsolatos határozati megállapításokat vitatott. [56] A bíróság az ügyintézési határidővel kapcsolatos felperesi érvekkel összefüggésben a következőkre mutat rá. [57] A felperes az ügyintézési határidő folyásával kapcsolatban a Végzés 15. számú lábjegyzete alapján feltételezte, hogy az eljárás a határozatban rögzített időponthoz képest már korábban megindult, amelyet illetően a bíróság utal arra, hogy az alperes vizsgálati eljárása és az annak eredménye alapján – hivatalból – indított adatvédelmi hatósági eljárás egymástól egyértelműen elkülönülő eljárások. Az alperes vizsgálata az Infotv. 52. § (2) bekezdése értelmében nem minősül közigazgatási hatósági eljárásnak, amiből kifolyólag arra az Ákr. hatálya nem terjed ki, így az Ákr. ügyintézési határidőre vonatkozó rendelkezései sem alkalmazandóak a vizsgálati eljárásban. A Végzés 15. számú lábjegyzete mindössze idézi az Infotv. 55. § (1) bekezdés a) pont ab) alpontja szerinti rendelkezést, amiből azonban nem lehet arra vonatkozó következtetést levonni, hogy az alperes a határozatban rögzítetthez képest korábbi időpontban indította volna meg az adatvédelmi hatósági eljárást. A rendelkezésre álló iratok alapján egyértelműen megállapítható, hogy az alperes az adatvédelmi hatósági eljárást ahogy azt a határozat is rögzíti több helyen – 2023. október 6-án indította meg. [58] Az Infotv. 60/A. § (1) bekezdése szerinti ügyintézési határidő túllépését az alperes sem vitatta, annak tényét maga is rögzítette a határozat (312) bekezdésében. A felperes ugyanakkor az ügyintézési határidő kétszeresének túllépését, illetve annak következményeként az Ákr. 103. § (4) bekezdése szerint a jogsértés tényének megállapításán és a jogellenes magatartás megszüntetésére vagy a jogszerű állapot helyreállítására kötelezésen túl egyéb jogkövetkezmény alkalmazhatóságának kizártságát is állította. Az Infotv. 60/A. § (1) bekezdése szerinti, adatvédelmi hatósági eljárásban irányadó százötven napos ügyintézési határidőbe azonban nem számít bele a tényállás tisztázásához szükséges adatok közlésére irányuló felhívástól az annak teljesítéséig terjedő idő. A felperes az Ákr. 8. § (2) bekezdésére utalással tévesen állította, hogy az Infotv. 60/A. § (1) bekezdésének az ügyintézési határidőbe be nem számító időre nem vonatkozó rendelkezése a jelen ügyben ne lenne alkalmazható. Az Ákr. ugyanis az ügyintézési határidőre vonatkozó rendelkezések között az 50. § (2) bekezdés c) pontjában és a (3) bekezdésében rögzíti, hogy az ügyintézési határidő teljes eljárásban hatvan nap, amelynél hosszabb határidőt törvény, rövidebb határidőt jogszabály állapíthat meg. Az Ákr. tehát lehetővé teszi az Ákr.-ben általánosan meghatározott ügyintézési határidőre vonatkozó rendelkezéstől való eltéréssel azt, hogy törvény annál hosszabb határidőt állapítson meg. Az Infotv. 60/A. § (1) bekezdése ilyen, hosszabb határidőt meghatározó törvényi rendelkezés, amelynek az is részét képezi, hogy az adatvédelmi hatósági eljárás százötven napos határidejébe nem számít bele a tényállás tisztázásához szükséges adatok közlésére irányuló felhívástól az annak teljesítéséig terjedő idő. Tévesen állította ezért a felperes, hogy a tárgyi, hivatalból indított adatvédelmi hatósági eljárásban az Ákr. 103. § (3) bekezdése alapján az ügyintézési határidőbe csak az eljárás felfüggesztésének időtartama nem számíthatott volna be. A felperesi álláspont elfogadása mindemellett az alperesnek a hivatalból indított adatvédelmi hatósági eljárásban teljesítendő tényállástisztázási kötelezettségét szorítaná olyan szűk kereteket közé, amely nem lehet összeegyeztethető a jogalkotó céljával sem. [59] Az Infotv. 60/A. § (1) bekezdése a tényállás tisztázásához szükséges adatok közlésére irányuló felhívást nem szűkíti le kizárólag az ügyfélnek, jelen esetben a felperesnek címzett felhívásra, ezért az ügyintézési határidőbe a határozat (57) bekezdésében írt megkeresések teljesítéséig terjedő idő sem számított bele. Az Ákr. 105. § (1) bekezdése az ügyfél adatszolgáltatási kötelezettségét határozza meg, és nem tartalmaz olyan rendelkezést, melynek értelmében csak az ügyfél nyilatkozattételre felhívása minősülne a tényállás tisztázására vonatkozó megkeresésnek. A jelen adatvédelmi hatósági eljárásban tehát az Infotv. 60/A. § (1) bekezdésében írt felhívásoktól az azok teljesítéséig terjedő időt figyelmen kívül hagyva az alperes az irányadó ügyintézési határidő kétszeresét nem lépte túl, ezért az Ákr. 103. § (4) bekezdése alkalmazásának nem volt helye.

[60] A Szankció tv. 5. § (3) bekezdése alapján az elévülési időt a hatóság bármely eljárási cselekménye megszakítja, amellyel az elévülési idő újrakezdődik. Az alperes a megelőző eljárás során számos, az elévülési időt megszakító eljárási cselekményt foganatosított, aminek következtében nem állapítható meg, hogy a Szankció tv. 5. § (1)-(2) bekezdései alapján a határozat rendelkező részének 2. pontja szerinti jogsértés miatt szankció elévülés következtében azért ne lenne alkalmazható, mert a jogsértés megszűnése és a határozat meghozatala között több mint hat hónap telt el. [61] A bíróság rámutat arra, hogy az Infotv. 61. § (1) bekezdés a) pontja alapján kiszabott bírság szükségessége kapcsán megállapítható, az alperes az Infotv. 75/A. §-a szerint a GDPR 83. cikk (2) bekezdésében foglalt hatáskörének gyakorlása során az arányosság elvét figyelembe véve, az ügy GDPR 83. cikk (2) bekezdése szerinti valamennyi releváns körülményét – így különösen a felperes által bevezetett gyakorlat általános és országos jellegét, valamint az érintettek jelentős számát – értékelve a figyelmeztetést okszerűen nem tartotta arányos, illetve visszatartó erejű szankciónak. Nincs olyan jogszabályi előírás, amely kötelezővé tenné az alperes számára, hogy jogkövetkezményként figyelmeztetést alkalmazzon. Tekintve ugyanakkor, hogy az alperes a mérlegelésére vonatkozó előírások alapján, diszkrecionális jogkörében – okszerűen – bírság kiszabásának szükségességét állapította meg, az Infotv. 61. § (3) bekezdése értelmében kizárt volt a figyelmeztetés alkalmazása. Mindemellett a felperes által e körben hivatkozott Szankció tv. 9. § (2) bekezdése szerinti rendelkezésből kifolyólag figyelmeztetés a jelen ügyben azért sem volt alkalmazható, mert a felperessel szemben bírság kiszabását nem törvény vagy törvény felhatalmazása alapján önkormányzati rendelet, hanem uniós rendelet, a GDPR teszi lehetővé. [62] A felperes mindössze állította, hogy az általa végzett adatkezelés átlátható volt, azonban az alperes e körben tett megállapításait cáfoló érvelést nem adott elő. Megalapozatlanul érvelt azzal, hogy megfelelő tájékoztatás állt rendelkezésre az ESZF, valamint a régi Tájékoztató keretében, mert a Program kapcsán a GDPR által elvárt módon és tartalommal nyújtott tájékoztatás, az adatkezelés alapvető jellemzőinek részleteiben történő kifejtése e dokumentumok egyikében sem volt elérhető. A felperes által adott tájékoztatás széttagolt, hiányos és helyenként eltérő tartalmú, illetve a GDPR-al ellentétes is volt. Amellett, hogy hiányoztak a tájékoztatás egyes tartalmi elemei, a tájékoztatás nem volt kellően áttekinthető, közérthető és a regisztráció megkezdésekor könnyen hozzáférhető. A tájékoztatásnak az érintettek számára attól függetlenül kellett átláthatónak, a GDPR-ban foglalt követelményekkel maradéktalanul összhangban állónak lennie, hogy a felperes feltételezése szerint az érintettek milyen információkkal rendelkeznek, tudják-e adott esetben értelmezni a GDPR szerinti egyes jogalapok közötti különbségeket. A nem a GDPR követelményeinek megfelelő, nem átlátható tájékoztatás megadását nem indokolja az a körülmény sem, hogy a Programban bárki részt vehetett. A tájékoztatás minden értintett számára átlátható, megfelelő volta ugyanis azért is nélkülözhetetlen, mert az eltérő jogalapokból kifolyólag az érintetteket eltérő jogosultságok illetik meg, így például a GDPR 6. cikk (1) bekezdés b) pontja szerinti jogalap esetén az érintettet nem illeti meg a hozzájárulás visszavonásához való jog. Az érintettek számára ezért egyértelműnek kell lennie annak, hogy egy adott adatkezeléssel összefüggésben milyen jogok érvényesítésére van lehetőségük. Ha a felperes a tájékoztatóban a „hozzájárulás” kifejezést használja, az nem vezethet olyan következtetésre, mely szerint az adatkezelésnek nem a GDPR 6. cikk (1) bekezdés a) pontja szerinti hozzájárulás a jogalapja. Megalapozatlanul állította a felperes azt is, hogy az adatkezelésének átláthatóságát kifogásoló bejelentés nem érkezett, hiszen a határozat (51) bekezdésébe rögzített bejelentés is kifejezetten a Program adatkezelési tájékoztatójának a hiányosságaira, pontatlanságaira, esetleges visszaélési lehetőségekre hívta fel a figyelmet. Mindezek alapján a felperes álláspontjával szemben az általa nyújtott tájékoztatás nem volt átlátható, érhető, világos és közérhető. [63] A személyi okmányok Adatbázison keresztül végzett adatkezelésének vonatkozásában az érintettek nem tudhattak önkéntes, megfelelő tájékoztatáson alapuló, kifejezett hozzájárulást adni: a Programba történő jelentkezéshez az okmánymásolatokat kötelező volt feltölteni az Adatbázisba, anélkül nem nem tudtak részt venni a Programban, nem kaptak megfelelő tájékoztatást az adatkezelést érintő számos alapvető jelentőségű körülményről, és e követelményeknek a Honlap1-en a jelölőnégyzet mellett feltüntetett szöveg sem felelt meg. Az okmánymásolatok kezelése nem volt szükséges a Szerződés létrejöttéhez, ezért a GDPR 6. cikk (1) bekezdés b) pontja szerinti jogalap sem volt alkalmazható. Mindezek miatt a határozat jogalap hiányával kapcsolatos megállapításait kifogásoló felperesi érvek is megalapozatlanok voltak. [64] Az adattakarékosság elvének sérelmével összefüggésben a bíróság a [6] bekezdésben idézettek alapján utal arra, hogy a GYIK maga rögzítette az igazolványok feltöltésének indokaként a villanyszámlán szereplő személy igazolását. Az okmányok egészéről történő másolatkészítés és az – alperes által e körben megfelelő módszerként hivatkozott – okmányok megtekintése nem tekinthetőek teljesen azonos adatkezelési műveleteknek, figyelembe véve, hogy előbbi, mivel az okmánymásolatokon szereplő valamennyi személyes adatot érinti, nem korlátozódik az adatkezelés céljainak eléréshez szükséges mértékre. Ezzel szemben az okmányok megtekintése korlátozódhat csak azokra a személyes adatokra, amelyek az adatkezelés célját tekintve relevánsak és a cél eléréséhez szükségesek. A tárgyi, Programmal kapcsolatos adatkezelés a pénzmosás és a terrorizmus elleni küzdelem, azaz a Pmt. szabályozási körén és a Pmt. hatályán kívül esik, ezért a Pmt. a jelen ügy szempontjából nem releváns és nem vehető figyelembe, annak rendelkezéseire a felperes megalapozatlanul hivatkozott. A vizsgált esetben a személyazonosság igazolása nem az okmánymásolatok gyűjtésével, hanem az eredeti okmányok bemutatásával történhetett volna meg, amire figyelemmel az okmánymásolatok bekérése szükségtelen volt, azok nem voltak alkalmasak a felperes által megjelölt cél elérésére. Az adattakarékosság elvének sérelmét ugyanakkor az alperes nemcsak amiatt állapította meg, hogy az okmánymásolatok nem voltak alkalmasak a személyazonosság igazolására, hanem amiatt is, hogy azok olyan adatokat is tartalmaztak – például személyazonosító jel, képmás –, amelyek kétségtelenül nem voltak szükségesek az adatkezeléshez. Ebből kifolyólag egyértelműen sérült az adattakarékosság elve, mert a felperes által kezelt bizonyos személyes adatok az adatkezelés céljai szempontjából nem voltak relevánsak, és nem korlátozódtak a szükséges körre. A felperes a gyakorlatán változtatva 2023. december 1-től az okmánymásolatok bekérése helyett a Program-ek fizikai átadásakor történő bemutatást vezette be az okmányok ellenőrzésére, ami szintén azt mutatja, hogy létezett a cél elérésére megfelelő, azonban az érintettek személyes adatait kímélő módszer is. A GDPR 5. cikk (1) bekezdés c) pontja sérelmének megállapíthatóságát nem befolyásolja az a felperes által állított körülmény, hogy az adatokkal kapcsolatban incidens nem következett be. [65] A korlátozott tárolhatósággal összefüggésben a felperes úgy nyilatkozott, hogy a törlésre általában került sor havonta, ami azonban nem tekinthető rendszeresnek. A felperes sem vitatta, hogy a helyszíni szemle időpontjában a 2023. szeptember 1. napját megelőzően regisztrált személyekhez kapcsolódóan 374 személlyel összefüggésben kezelt az Adatbázisban továbbra is okmánymásolatot, azaz 374 darab rekordot nem törölt, és a korlátozott tárolhatóság elvének sérelmét illetően nincs relevanciája annak, hogy ez a szám a Programban részt vevők hány százalékának felel meg. A felperestől ugyanis elvárt, hogy a korlátozott tárolhatóság elvére figyelemmel a személyes adatok tárolását olyan formában tegye meg, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé. Ezen elvárásnak a felperes az okmánymásolatok rendszeres, automatizált törlésével tudott volna eleget tenni, amit azonban nem tett meg, hiszen a helyszíni szemle időpontjában 374 darab rekordot – nem vitatottan – nem törölt. A határozat (254) bekezdésében hivatkozott, törlést kérő 84 érintett nevének és e-mail címének további kezelése, e személyes adatokat tartalmazó külön nyilvántartás vezetése szükségtelen volt, és szintén ellentétes azzal a követelménnyel, hogy a személyes adatok tárolása az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig tegye lehetővé. [66] Az alperes – a felperes állításával ellentétben – nem önkényesen ragadott ki a GDPR 32. cikk (4) bekezdése által megkövetelt intézkedésekkel kapcsolatos adatbiztonsági hiányosságokat a felperes gyakorlatából. A határozat (217)-(241) bekezdéseiben az alperes kimerítő részletességgel mutatta be azokat a körülményeket, amelyek a GDPR 32. cikk (4) bekezdésének sérelmét eredményezték azáltal, hogy a felperes által hozott intézkedések nem voltak megfelelőek annak biztosításához, hogy az irányítása alatt eljáró, a Programmal kapcsolatos személyes adatokhoz hozzáféréssel rendelkező természetes személyek kizárólag az utasításának megfelelően kezelhessék az említett adatokat. A felperes nem cáfolta azt a határozati megállapítást, mely szerint nem alkalmazott technikai intézkedést annak megelőzésére, hogy az Adatbázisból személyes adatok kerüljenek lementésre vagy kifényképezésre, illetve nem igazolta megfelelően, hogy a Programban közreműködők hozzáférési jogosultságát kellő időben visszavonta. A határozat (241) bekezdése nem tartalmaz ellentmondást: abban az alperes azt állapította meg, hogy a felperes által bevezetett adminisztratív intézkedések ugyan megfelelőek voltak, az alkalmazott technikai intézkedések teljes körű megvalósítása azonban nem volt igazolt. Az alperes által feltárt adatbiztonsági hiányosságok – különösen a hozzáférési jogosultságok nem megfelelő kezelése – a GDPR 32. cikk (4) bekezdésének sérelmét eredményezték, amire figyelemmel megalapozatlanul állította a felperes, hogy az alperes jogszabályi rendelkezés megjelölése nélkül rótt a terhére adatbiztonsággal összefüggő hibákat. A felperes által hivatkozott etikus hackeri jelentés is felhívta a figyelmet négy jelentősebb és egy lehetséges sérülékenységi kockázatra. A GDPR 32. cikk (4) bekezdése sérelmének megállapíthatóságát illetően nincs relevanciája annak, hogy adatvédelmi incidens bekövetkezésére a bizonyítási eljárás lezárásáig nem derült fény, ugyanis a személyes adatok sérelmének közvetlen kockázata ennek ellenére fennállt. [67] Az alperes helyesen állapította meg, hogy az Önkormányzat által végzett adatkezelést szabályozó szerződés nem volt írásba foglalva, azt 2023. június 15-én kötötték meg. Ezt megelőzően a már meglévő, 2023. március 8-án kötött együttműködési megállapodás a kötelező tartalmai elemek [GDPR 28. cikk (3) bekezdés b) és f) pont] hiánya miatt nem minősülhetett adatfeldolgozási szerződésnek. A felperes és az Önkormányzat közötti együttműködési megállapodás II.10. pontja alapján kötött adatkezelési szerződés szerint az Önkormányzat adatfeldolgozási tevékenysége 2023. május 16-tól kezdődött, ugyanakkor az adatkezelési szerződés aláírása csak 2023. június 15-én történt meg. A felperes maga sem tekinthette az együttműködési megállapodást adatfeldolgozási szerződésnek, mivel annak megkötésére az együttműködési megállapodást követően, annak rendelkezése alapján került sor. A GDPR 28. cikk (9) bekezdése ugyanakkor egyértelműen előírja, hogy az adatfeldolgozó által végzett adatkezelést szabályozó szerződés írásba kell foglalni, amire figyelemmel tévesen állította a felperes, hogy a GDPR 28. cikke csak az adatkezelői utasítások írásbeliségét követeli meg. [68] A határozat (271) bekezdése is azt tartalmazza, hogy az EKR joggal kapcsolatos dokumentáció megőrzésével kapcsolatos adatkezelésre az Ehat. tv. 15/A. § (9) bekezdése (nem az Ehat. tv. Vhr. 14. § (4) bekezdése) vonatkozik. Az alperes a határozat hivatkozott bekezdésében azt is megállapította, hogy az Ehat. tv. Vhr. 18. § (1) bekezdéséből kifolyólag a felperesre is vonatkozik az Ehat. tv. Vhr. 14. § (4) bekezdése, amely azonban az EKR joggal kapcsolatos dokumentáció megőrzésétől elkülönítendő, az energetikai auditot, valamint az azt alátámasztó dokumentációt érintő adatkezelést jelent. Két különböző, eltérő jogszabályi rendelkezésen alapuló jogalapon végzett adatkezelésről van tehát szó. Egy adatkezelésnek azonban – a felperes álláspontjával ellentétben – az irányadó gyakorlat értelmében csak egy jogalapja lehet. Az EKR joggal kapcsolatos dokumentáció megőrzésére vonatkozó adatkezelés időtartamát az Ehat. tv. 15/A. § (9) bekezdése határozza meg, amelytől a felperes nem térhet el, érdekmérlegeléssel sem. A felperes tévesen állította azt is, hogy az Ehat. tv. 15/A. § (9) bekezdése szerinti megőrzési idő azért nem vonatkozik rá, mert az EKR jog első jogosultja volt, tekintve, hogy e jogszabályi előírás éppen az EKR jog első jogosultja számára ír elő megőrzési kötelezettséget. [69] A felperes állításával ellentétben az alperes a határozat VII.10. pontjával összefüggésben igazolta a GDPR 14. cikkének alkalmazandóságát és sérelmét, hiszen – a fentiek szerint – okszerűen állapította meg, hogy a felperes az új Tájékoztatóban tévesen határozta meg az adatok tervezett kezelésének jogalapját és a személyes adatok tárolásának időtartamát. Ezek pedig olyan információk, amelyeket a GDPR 14. cikke értelmében rendelkezésre kell bocsátani abban az esetben, ha a személyes adatokat nem az érintettől szerezték meg. Önmagában az a körülmény, hogy az érintett a nevében történő eljárásra képviselőt hatalmazott meg, nem jelenti a GDPR 14. cikke alkalmazhatóságának kizártságát, illetve a tájékoztatási kötelezettség teljesítésének szükségességét, ahogy azt sem, hogy a képviselő az általa képviselt érintett személyes adatok védelméhez fűződő jogosítványait is teljes körűen átvenné. A felperesnek a határozat (276) bekezdésével, valamint az új Tájékoztató 4. pontjának 3. bekezdésével kapcsolatos érvelése megalapozatlan, tekintve, hogy az alperes e körben nem a címzettek, hanem a részükre átadott adatok meghatározásának pontatlanságát kifogásolta. [70] A bíróság kiemeli, hogy az adatvédelmi bírság kiszabása mérlegelési jogkörben hozott döntés, amelynek jogszerűsége körében a bíróságnak a Kp. 85. § (5) bekezdése értelmében azt is vizsgálnia kell, hogy az alperes a hatáskörét a mérlegelésre való felhatalmazásának keretei között gyakorolta-e, a mérlegelés szempontjai és azok okszerűsége a határozatából megállapíthatóak-e. A bíróság okszerű alperesi mérlegelés esetén a perben a bírság felülmérlegelésére nem jogosult: a Kúria a Kfv.I.35.471/2020/5. számú ítéletének elvi tartalmaként rögzítette, hogy ,,a bíróság a közigazgatási hatóság által elvégzett szankcionálás körében a bírság összegének felülmérlegelését csak akkor végezheti el, ha a hatóság jogszabálysértően mérlegelt”, míg a Kfv.III.37.147/2021/13. számú ítélet elvi tartalma alapján „nem jogszerűtlen a mérlegelés, ha a közigazgatási határozatból teljes körűen megállapíthatók a mérlegelés szempontjai és azok okszerűsége”. [71] A felperes mindössze állította, hogy a kiszabott adatvédelmi bírság összege eltúlzott, azonban az alperesi mérlegelés okszerűtlenségét alátámasztó indokolást nem adott elő. Kifogásával ellentétben az alperes a határozat (299) bekezdésében kifejezetten értékelte enyhítő körülményként az együttműködő magatartását, illetve azzal összefüggésben azt is, hogy az adatkezelési gyakorlatát módosította. A felperes azt is csak állította, hogy a jogsértés közepesen súlyosként minősítése téves, mely állítását azonban érveléssel nem támasztotta alá. Az alperes ellenben okszerűen megindokolta, hogy az elkövetett jogsértések azért minősülnek közepes súlyosságúnak, mert a felperes több jogsértést követett el, és több alapelvi rendelkezést is megsértett. Az alperes helyesen rögzítette a határozat (284) bekezdésében, hogy a GDPR 83. cikk (5) bekezdés a)-b) pontjai szerinti, magasabb összegű bírságkategóriába tartozó jogsértések miatt a felperessel szemben legfeljebb 20.000.000 eurónak megfelelő összegű bírsággal sújtható, amit figyelembe véve a bíróság nem értékelte aránytalannak a bírság összegét. Az alperes a súlyosító és enyhítő körülményeket egyaránt okszerűen, kellő súllyal értékelte, a bírság összegének meghatározása során figyelembe véve a felperes 2023. évi nettó árbevételét. Összességében az alperes a jogsértések súlyával arányban álló mértékű, arányos és visszatartó erejű adatvédelmi bírságot szabott ki. A felperes nem fejtette ki, hogy az általa e körben, a határozat (271)-(272), (278) és (293) bekezdéseivel összefüggésben állított ellentmondások hogyan hatottak ki az alperes bírságkiszabás körében végzett mérlegelésének okszerűségére, a bírságkiszabás jogszerűségére. [72] Tekintve, hogy – a korábban kifejtettek szerint – a határozat a rendelkező részének 2. pontja körében nem jogszerűtlen, és ennek következtében a felperes adatkezelése 2023. december 1-től nem tekinthető jogszerűnek, az alperes a bírság kiinduló összegének alapjául okszerűen vette figyelembe a GDPR 83. cikk (5) bekezdésére figyelemmel a felperes által 2023. évben elért nettó árbevételt, a mérlegelése ebből az okból kifolyólag nem volt jogszerűtlen. [73] A bíróság a felperes [49] bekezdésben írt indítványára a bizonyítás elrendelését a polgári perrendtartásról szóló 2016. évi CXXX. törvény (a továbbiakban: Pp.) 276. § (5) bekezdése alapján mellőzte, tekintve, hogy a felperes által feltételezett, megelőző eljárás megindításáról rendelkező további irat nem keletkezett és nem állt rendelkezésre. [74] A kifejtettekre tekintettel az alperes határozata a kereseti kérelem által vitatott körben nem jogszabálysértő, ezért a keresetet a bíróság a Kp. 88. § (1) bekezdés a) pontja alapján elutasította. [75] A bíróság a pervesztes felperest a Kp. 35. § (1) bekezdése szerint alkalmazandó polgári perrendtartásról szóló 2016. évi CXXX. törvény 83. § (1) bekezdése alapján kötelezte az alperes perköltségének megfizetésére azzal, hogy az alperes által a bírósági eljárásban megállapítható ügyvédi költségekről szóló 32/2003. (VII. 22.) IM rendelet (a továbbiakban: IM rendelet) 2. § (1) bekezdése alapján felszámított munkadíj összegét a bíróság eltúlzottnak találta, ezért azt az IM rendelet 2. § (2) bekezdésének alkalmazásával mérsékelte. Ennek során a bíróság figyelemmel volt az alperes jogi képviseletével felmerült munka időigényére, a védirat terjedelmére, az ügy bonyolultságára, valamint a perben tartott tárgyalások időtartamára is.

[76] Az eljárás az illetékekről szóló 1990. évi XCIII. törvény 57. § (1) bekezdés o) pontja alapján illetékmentes. [77] Az ítélet elleni fellebbezés lehetőségét a Kp. 99. § (1) bekezdése zárja ki.

Záró rész

Budapest, 2025. szeptember 11.

dr. Nagy Péter s. k.

a tanács elnöke dr. Litauszki Tibor s. k.

előadó bíró dr. Huber Gábor s. k.

bíró