.............................................................................................................................................................................................................................................................. 1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu Ügyszám: NAIH/962-10/2026 Tárgy: Jogsértést megállapító határozat hivatalból indított adatvédelmi hatósági eljárásban Előzmény: NAIH-16609/2025 NAIH-16611/2025 NAIH/16613/2025 NAIH-957/2026 NAIH-963/2026 ## H A T Á R O Z A T ## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a […] (a továbbiakban: Képviselő) által képviselt Mediaworks Hungary Zrt.-vel (székhelye: 1082 Budapest, ## Üllői út 48., cégjegyzékszám: 01 10 047955; adószám: 24785725-2-44, a továbbiakban: Ügyfél) szemben hivatalból indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza. I. A Hatóság a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) szóló 2016/679 számú európai parlamenti és a tanácsi (EU) rendelet (a továbbiakban: általános adatvédelmi rendelet) 58. cikk (2) bekezdés b) ## pontja alapján elmarasztalja az Ügyfelet amiatt, mert az Ügyfél szándékosan megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését azáltal, hogy a. az Ügyfél által kiadott www.origo.hu honlapon (a továbbiakban: Origo) 2025. november 7én megjelent „Interaktív térképen mutogatják a Tisza-szimpatizánsokat” című cikkében (a továbbiakban: Cikk1) közzétette – az ismeretlen személy által készített és nyilvánosságra hozott – […] oldalra (a továbbiakban: Térkép) mutató linket és ezzel hozzáférést biztosított az érintetteknek a Térképen keresztül elérhető nevéhez, lakcíméhez, telefonszámához, véleményéhez; ## b. az Ügyfél által kiadott www.magyarnemzet.hu honlapon (a továbbiakban: Magyar Nemzet) 2025. november 7-én megjelent „Mindenki megkeresheti, ki a tiszás az utcájában vagy a falujában” című cikkében (a továbbiakban: Cikk2) közzétette – az ismeretlen személy által készített és nyilvánosságra hozott – Térképre mutató linket és ezzel hozzáférést biztosított az érintetteknek a Térképen keresztül elérhető nevéhez, lakcíméhez, telefonszámához, c. az Ügyfél által kiadott www.ripost.hu honlapon (a továbbiakban: Ripost) 2025. november 7-én megjelent „Elképesztő link kering a világhálón: mindenki megnézheti ki a Tiszás a közelében” című cikkében (a továbbiakban: Cikk3) közzétette – az ismeretlen személy által készített és nyilvánosságra hozott – Térkép nevét tartalmazó képet, ezzel hozzáférést biztosított az érintetteknek a Térképen keresztül elérhető nevéhez, lakcíméhez, telefonszámához, email címéhez, illetve a lakcím geolokációs koordinátájához, valamint a politikai véleményéhez; ugyanakkor nem biztosította az adatkezelés – 6. cikk (1) bekezdése szerinti – bármely jogszerű esetének fennállását. ## II. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján elmarasztalja az Ügyfelet amiatt, mert az Ügyfél személyes adatok különleges kategóriájára (a továbbiakban: különleges adat) vonatkozó adatkezelése körében szándékosan megsértette a 9. cikk (1) bekezdését azáltal, hogy a Cikk1-ben, Cikk2-ben és Cikk3-ban (a továbbiakban összefoglalóan: Cikkek) közzétette – az ismeretlen személy által készített és nyilvánosságra hozott – Térkép elérhetőségét (a Térképre mutató linket, illetve a Térkép nevét tartalmazó képet), és ezzel hozzáférést biztosított a Térképen keresztül megismerhető politikai véleményhez, ugyanakkor nem biztosította az adatkezelés – 9. cikk (2) bekezdése szerinti – bármely jogszerű esetének fennállását. ## III. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés f) pontja alapján hivatalból megtiltja, hogy a Cikkekben ismételten közzétegye – az ismeretlen személy által készített és nyilvánosságra hozott – Térkép elérhetőségét (a Térképre mutató linket, illetve a Térkép nevét tartalmazó képet), ezzel hozzáférést biztosítson a Térképen keresztül elérhető személyes és különleges adatokhoz. ## IV. A Hatóság az I. és II. pontban megállapított jogsértések miatt az Ügyfelet hivatalból ## 50 000 000 Ft, azaz ötvenmillió forint adatvédelmi bírság megfizetésére kötelezi, amelyet a jelen határozat véglegessé válásától számított 30 napon belül köteles teljesíteni. V. A Hatóság az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. ## törvény (a továbbiakban: Infotv.) 61. § (2) bekezdés a) és c) pontja alapján hivatalból elrendeli a végleges határozatának az ## Ügyfél azonosító adatainak közzétételével történő nyilvánosságra hozatalát a Hatóság honlapján keresztül. A bírságot a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-962/2026. BÍRS. számra kell hivatkozni. Ha az Ügyfél a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását, a bírság és a késedelmi pótlék adók módjára történő behajtását. A bírság és a késedelemi pótlék adók módjára történő behajtását a Nemzeti Adó- és Vámhivatal végzi. A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható.1 A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. 1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. További információ: https://www.naih.hu/kozig-hatarozatbirosagi-felulvizsgalata I N D O K O L Á S ## I. Tényállás I.1. Előzmények (1) 2025. november 7-én ismeretlen személy a […] URL címen keresztül egy olyan honlapot hozott nyilvánosságra, amelyen egy interaktív térkép segítségével bárki kereshetett a Tisztelet és Szabadság Párthoz (a továbbiakban: Tisza Párt) köthető érintettek adatai között. Amint azt a Cikkekben az Ügyfél is bemutatta2, a Térkép segítségével megismerhetővé vált az érintettek neve, lakcíme, telefonszáma, email címe, illetve a lakcím geolokációs koordinátája. Emellett, figyelemmel arra, hogy ezen adatokat egy politikai párthoz kapcsoltan hozták nyilvánosságra, ezért a Térkép alapján következtetést lehetett levonni az érintettek politikai véleményére, mint különleges adatára is. (2) Az, hogy az érintettek a Tisza Párttal összefüggésbe hozhatóak, maga az Ügyfél is elismerte a Cikkekben3. A Hatóság továbbá arra is tekintettel volt, hogy a Hatósághoz forduló érintettek egy része a beadványaikhoz olyan, a Térképről készített képernyőkivágást (print screen) is csatoltak, amelyen láthatóak a Térképen keresztül elérhető személyes adataik és kifejezetten akként nyilatkoztak, hogy korábban megadták a személyes adataikat a Tisza Párt számára, akár az applikáció letöltését követően az abban való regisztráció során, akár azt megelőzően, a Tisza Párt által végzett más adatkezelési tevékenységgel összefüggésben. Emellett 2025. november 7-én a Tisza Párt elnöke a párt honlapján közzétett nyilatkozata szerint, a Térképen szereplő érintettek a Tisza Párt támogatói4. Az eljárás során nem merült fel adat arra vonatkozóan, hogy más forrásból összeállított adatbázist használtak volna fel a Térkép elkészítéséhez. Emellett a Tisza Párt adatvédelmi incidensével összefüggő, folyamatban levő adatvédelmi hatósági eljárásban keletkezett bizonyítékok alapján a Hatóság rögzíti azt is, hogy az adatvédelmi incidensben érintett természetes személyek száma nagyságrendjében megegyezik azzal, amely a Cikkekben5 is megjelent arra vonatkozóan, hogy hány természetes személy érintett a Térképen keresztüli nyilvánosságra hozatalban (közel kétszázezer személy). 2 Idézet a Cikk1-ből: „Az oldalon [a Térképen – a Hatóság megjegyzése] földrajzi koordináták alapján böngészhetők a kiszivárgott adatok, így akár utcaszinten is megjeleníthetők a Tisza Párt szimpatizánsai.” Idézet a Cikk2-ből: „Az oldalon [a Térképen – a Hatóság megjegyzése] földrajzi koordináták alapján böngészhetők az érintettek – így akár utca- vagy házszinten is megnézhető, kik a Tiszaszimpatizánsok a környéken. De az emberek nevére külön is rá lehet keresni, azt is megtudhatják az érdeklődők, hogy kik tiszások az ismerőseik közül.” Idézetek a Cikk3-ból: „Ha jól értjük az interaktív térkép mindenkire magára bízza rá, hogy megkeresi-e az adott tiszást a közelében, ha ő maga gépeli be a keresési adatokat. Az alkalmazás először is egy világtérképet kínál, aztán meg különböző keresési lehetőségeket az egész világon, mind az öt kontinensen”. „Az oldalon földrajzi koordináták alapján kereshetők az érintettek – így akár utca- vagy házszinten is megnézhető, kik a Tisza-szimpatizánsok a környéken, vagy akár az is, hogy Ausztráliában pontosan hány regisztrált felhasználó él, és őket hogy hívják. Sőt, a rendszer fordítva is működik, tehát akár névre vagy címre is rákereshetünk, az applikáció pedig kidobja az illetőt, ha szerepel a listán, sőt a név és a cím mellett az e-mail-címét is megadja”. 3 Idézet a Cikk1-ből: „A Tisza Világ applikációból kiszivárgott személyes adatokból valaki már interaktív térképet is készített, amelyen utcára és névre pontosan láthatók a Tisza-szimpatizánsok (…)”. Idézetek a Cikk2-ből: „Durva fordulatot vett a Tisza Párt adatbotránya. Valaki térképre tette a kiszivárgott tiszásokat (…)”. „Most minden tiszás a saját bőrén tapasztalhatja, hogy mit is jelent valójában a Tisza adatbotránya, ugyanis interaktív térkép készült a Tisza mobilalkalmazásából kiszivárgott adatokból.” Idézet a Cikk3-ból: „Miután októberben a párt TISZA VILÁG nevezetű appjából mintegy 200 ezer felhasználó személyes adata került nyilvánosságra, most valaki talán maga a Tisza párt úgy döntött, hogy a hátrányból előnyt kovácsol, és még „felhasználóbarátabbá” teszi a helyzetet létrehozva egy interaktív térképet”. 4 A Tisza Párt elnöke nyilatkozatának elérhetősége: https://magyartisza.hu/hirek/tv/rendk%C3%ADv%C3%BCli-bejelent%C3%A9s-azellopott-adatokr%C3%B3l-k%C3%A9sz%C3%ADtett-t%C3%A9rk%C3%A9p-kapcs%C3%A1n 5 Idézet a Cikk1-ből: „(…) miután októberben mintegy 200 ezer felhasználó adatai kerültek nyilvánosságra (…)”. Idézet a Cikk2-ből: „(…) hogy hol él az a mintegy 200 ezer ember, akinek az adatai nyilvánosságra kerültek (…)”. Idézet a Cikk3-ból: „Miután októberben a párt TISZA VILÁG nevezetű appjából mintegy 200 ezer felhasználó személyes adata került nyilvánosságra (…)”. (3) A Térkép létezéséről a médiaszolgáltatók közül elsőként az INDEX.HU Zrt. által kiadott www.index.hu honlap (a továbbiakban: Index) számolt be 2025. november 7. 15 óra 26 perckor megjelent „Interaktív térképen mutogatják a Tisza-szimpatizánsokat” című cikkében NAIH-962-1/2026. számú ügyirat, 10. számú melléklet). Az Index kifejezetten kiemelte, hogy a Térkép elérhetőségét nem teszi közzé a cikkben és arra kérte az olvasókat, hogy ők se próbáljanak meg rákeresni. Az Index a cikkében emellett hosszasan kifejtette, hogy milyen negatív következményei lehetnek az érintettekre nézve annak, hogy a Térképen keresztül elérhetőek a személyes adataik (célzott zaklatás, megfélemlítés, munkahelyi vagy társadalmi hátrányok, személyes biztonság veszélye, szabad politikai véleménynyilvánítás csorbulása). Az Index továbbá idézett a Hatóságnak előző nap, november 6-án megjelent közleményéből is, bemutatva azt, hogy a Hatóság milyen adatvédelmi követelményeket fogalmazott meg a médiaszolgáltatókkal kapcsolatban. (4) A Hatóság ugyanis még a Térkép nyilvánosságra hozatalát megelőző napon, 2025. november 6-án a politikai pártok adatbázisaiból nyilvánosságra kerülő személyes és különleges adatok médiaszolgáltatók általi felhasználásának adatvédelmi követelményeiről szóló közleményt (a továbbiakban: Közlemény) hozott nyilvánosságra, amelyet a Magyar Távirati Iroda 2025. november 6-án 17 óra 58 perckor tett közzé a Nemzeti Közleménytárban6. A Hatóság a Közleményben – figyelembe véve a Tisza Párt adatkezelését érintő adatvédelmi incidenssel összefüggő médiaszolgáltatói tájékoztatási tevékenységet – alapvető adatvédelmi követelményeket fogalmazott meg a médiaszolgáltatók számára. A Hatóság mindenekelőtt rögzítette, hogy azon ismeretlen személy cselekménye, aki hozzáfért, megszerezte, illetve nyilvánosságra hozta a Tisza Párt által kezelt személyes és különleges adatokat – a jogsértés körülményeitől függően – bűncselekményt követhetett el. A Hatóság a Közleményében hangsúlyozta, hogy egy politikai párt által a politikai tevékenységéhez használt informatikai rendszer sérülékenysége közérdekű ügynek minősülhet, ugyanakkor, ha erről a médiaszolgáltatók beszámolnak, akkor be kell tartaniuk az általános adatvédelmi rendelet előírásait, illetve a sajtószabadság és a személyes adatok védelméhez való jog közötti egyensúlyt meghatározó jogalkalmazói gyakorlatot. A Hatóság a Közleményben rögzítette, hogy a személyes adatok tárolása, médiatartalomban való felhasználása esetén a médiaszolgáltató önálló felelősséggel tartozik az adatkezelési tevékenységéért. Ennek kapcsán a Hatóság a Közleményben kiemelte, hogy az adatkezelés során sincs legitimáló szerepe annak, hogy a politikai párt esetlegesen – az irányadó jogi követelményeket megsértve – nem hozott megfelelő adatbiztonsági intézkedéseket, illetve annak sem, hogy a személyes adatokat már korábban az adatbiztonsági hiányosságot kihasználva valaki már nyilvánosságra hozta. A Hatóság Közleményben kifejtett álláspontja szerint ellentétes az adatvédelmi követelményekkel az, ha egy cikkben a nyilvánosság számára elérhetővé válnak az eleve jogellenes adatkezeléssel érintettek személyes és különleges adatai (akár közvetett módon, tehát az adatbázisra vagy a személyes adatokat nyilvánosságra hozó honlapra mutató hivatkozás közlésével). Ezzel ugyanis a médiaszolgáltatók tovább fokozzák a bekövetkezett jogsértés mértékét és az érintettek magánszférájára gyakorolt negatív hatást. Másrészt, a médiaszolgáltatóknak azt is figyelembe kell venniük, hogy az érintettek kiszolgáltatott helyzetben vannak, hiszen nem az érintettek hozták nyilvánosságra személyes és különleges adataikat, hanem az esetleges adatbiztonsági hiányosságot kihasználó jogsértő személy. A Hatóság azt is hangsúlyozta, hogy a személyes adatok felhasználásával kapcsolatban az adatkezelőknek fokozott figyelmet kell fordítaniuk az érintettek magánéletének, családi életének és otthonának tiszteletben tartásához fűződő jogára is, tartózkodva a személyes adatok zavaró, zaklató módon történő felhasználásától. 6 https://mti.hu/nemzeti-kozlemenytar/2025/11/06/politikai-partok-adatbazisaibol-nyilvanossagra-kerulo-szemelyes-es I.2. A Térképre mutató linknek a Cikk1-en keresztüli közzététele (5) Az Ügyfél által kiadott Origo-n a Cikk1 2025. november 7-én 16 óra 47 perckor jelent meg. A cikk második bekezdése a következő volt: „a Tisza Párt adatszivárgási ügye újabb botránnyal folytatódik. Az Index beszámolója szerint miután októberben mintegy 200 ezer felhasználó adatai kerültek nyilvánosságra a párt Tisza Világ applikációból, most valaki egy térképes vizualizációt hozott létre az adatbázis alapján. Az oldalon földrajzi koordináták alapján böngészhetők a kiszivárgott adatok, így akár utcaszinten is megjeleníthetők a Tisza Párt szimpatizánsai. Az interaktív térkép ITT ÉRHETŐ EL.” Az utóbbi mondat a cikkben félkövér formázással szerepelt. Az „ITT ÉRHETŐ EL” szövegrész a Térképre mutató link volt, amelyre kattintva az olvasók közvetlenül eljutottak a Térképre. Emellett a bekezdésben az „Index” szintén egy hiperhivatkozás volt és arra kattintva az Index november 7-ei cikke jelent meg. Ezen túlmenően az Origo a Cikk1-ben arról is írt, hogy „a NAIH külön kiemelte: a médiaszolgáltatók sem hivatkozhatnak a kiszivárgott adatbázisra, és nem oszthatnak meg olyan linket, amely az érintettek adataihoz vezethet.” A Cikk1-ben továbbá az is szerepelt, hogy „az interaktív térkép megjelenése tovább növeli az érintettek kockázatát, hiszen az adatok között nemcsak nevek, hanem e-mail-címek és pontos lakcímek is szerepelnek. Ez lehetőséget adhat zaklatásra, megfélemlítésre vagy akár fizikai visszaélésekre is. A hatóság hangsúlyozta: az érintettek nem önként hozták nyilvánosságra személyes adataikat, hanem egy adatbiztonsági hiányosságot kihasználó jogsértő személy miatt kerültek kiszolgáltatott helyzetbe.” (6) Figyelemmel arra, hogy a Hatósághoz nagyszámú beadvány érkezett a Cikk1 miatt, a Hatóság a 2025. november 21-én NAIH-16613/2025. ügyszám alatt hivatalból adatvédelmi hatósági eljárást indított az Ügyféllel szemben a Cikk1-ben Térképre mutató link közzétételével összefüggő adatkezelésnek az általános adatvédelmi rendeletnek való megfelelés vizsgálata tárgyában. A Hatóság az adatkezeléshez fűződő jogos érdek, illetve szükségességi-arányossági szempontok bemutatását kérte az Ügyféltől több nyilatkozattételi felhíváson keresztül, valamint a Hatóság kérte a Cikk1 eredeti szövegének továbbítását (NAIH-16613-1/2025. számú végzés). (7) Az Ügyfél a Hatóságnak adott, 2026. január 5-én kelt nyilatkozatában válaszolt a Hatóság kérdéseire (NAIH-962-1/2026. számú nyilatkozat). A Hatóságnak azon kérdéseire, hogy milyen szempontokat mérlegelt a Térképre mutató linknek a Cikk1-ben történő közzétételével összefüggésben, hogyan vette figyelembe az egyes sajátos körülményeket a Térképre mutató link közzétételéről való döntéshozatal során, az Ügyfél egybefoglalt választ adott, kifejezetten a Hatóság kérdéseiben nem kívánt nyilatkozatot tenni. (8) Az Ügyfél az Smtv. 10. §-ára hivatkozva kijelentette, hogy „a következetes ítélkezési gyakorlat és az Alkotmánybíróság számos határozatában is azt az alapelvet tekinti követendőnek, mely szerint a sajtó feladata a hatóságok és a közvélemény figyelmének a felkeltése a közérdeklődésre számot tartó ügyekben.” A nyilatkozatban az Ügyfél felhívta a Ptk. 2:44. §át, amely szerint „a közügyek szabad vitatását biztosító alapjogok gyakorlása a közéleti szereplő személyiségi jogainak védelmét szükséges és arányos mértékben, az emberi méltóság sérelme nélkül korlátozhatja.” Az Ügyfél hivatkozott az Alkotmánybíróság gyakorlatára is. Egyrészt kiemelte, hogy a 13/2014. (IV. 18.) AB határozat szerint „a nyilvános közlés megítélése során elsőként arról szükséges dönteni, hogy az adott közlés a közügyekben való megszólalást, közérdekű vitában kifejtett álláspontot tükrözi-e, vagyis a közügyek szabad vitatásával áll-e összefüggésben.” Másrészt a 7/2014. (III. 7.) AB határozatát is idézte, amelyben az Alkotmánybíróság elvi jelentőséggel állapította meg, hogy „a közügyekkel összefüggő vélemény kinyilvánításának szabadsága a szólás- és sajtószabadság legbensőbb védelmi köréhez tartozik. A közügyek megvitatása körében elhangzó véleménynyilvánítás, és a rá vonatkozó védelem fókuszában elsődlegesen nem a szólással érintett személyek státusza áll, hanem az, hogy a megszólaló valamely társadalmi, politikai kérdésben fejtette ki nézeteit.” (9) Az Ügyfél ezen jogszabályi rendelkezések, illetve joggyakorlat alapján úgy nyilatkozott, hogy az általa „üzemeltetett internetes portál [Origo] sajtóterméknek minősül, amely a véleményszabadság részét képező sajtószabadság gyakorlásának legszélesebb körű jogosítványaival rendelkezik. A Tisza Párt adatkezeléseivel kapcsolatos botrányokhoz kapcsolódik az elmúlt időszak legszélesebb körű közérdeklődésre számot tartó közéleti vitája. A közéleti vita résztvevői a TISZA Párt adatbázisában szereplő személyek is. A cikk témája hozzájárul a fenti közéleti vitához. Mivel a cikk témája közéleti vitához kapcsolódik, az adatkezelés célja minden személyes adat vonatkozásában médiaszolgáltatás, a nyilvánosság tájékoztatása a sajtó útján közérdeklődésre számot tartó ügyben. Mivel a cikk témája közéleti vitához kapcsolódik, az adatkezelés jogalapja – minden személyes adat vonatkozásában az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogos érdek (sajtószabadság, véleménynyilvánítás szabadsága, nyilvánosság tájékoztatása).” Az Ügyfél a nyilatkozatban azt is hangsúlyozta, hogy a Térképet nem ő hozta nyilvánosságra, „az bárki által hozzáférhető volt.” (10) A Hatóságnak a Cikk1 eredeti szövegének a továbbítására irányuló felhívására az Ügyfél úgy nyilatkozott, hogy „már nem tudja megállapítani, hogy mi volt a publikálás eredeti időpontja, és nem tudja az eredeti szöveget sem továbbítani. Az Ügyfél közölte a Hatósággal azt is, hogy a rendszere „[…]”. A Hatóság rögzíti, hogy az adatvédelmi hatósági eljárás során az Ügyfél nem tudta megmondani azt, hogy meddig volt elérhető a Térképre mutató link a Cikk1-ben. (11) A hivatalból indult adatvédelmi hatósági eljárás során a Hatóság észlelte azt, hogy az eljárás megindulásának időpontjában a Cikk1 olyan tartalommal érhető el, amelyben „Az interaktív térkép ITT ÉRHETŐ EL” mondat már nem szerepelt. Az Ügyfél a Hatóság felhívására nem továbbította a Cikk1 eredeti szövegét. A Hatóság annak érdekében, hogy meg tudja határozni a Cikk1 eredeti tartalmát, további bizonyítási eljárást folytatott le. A Hatóság ennek során két olyan szolgáltatást használt [az Internet Archive nonprofit szervezet által üzemeltetett Wayback Machine szolgáltatás (https://web.archive.org/, a továbbiakban: Wayback Machine), illetve archive.today szolgáltatást (https://archive.ph/, a továbbiakban: ## archive.today)], amely szolgáltatások által készített oldalmentések lehetővé teszik a cikkek esetében azok korábbi időpontban aktuális tartalmának megismerését. A Hatóság az archive.today szolgáltatás által 2025. november 7-én 16 óra 50 perckor Cikk1-ről készített oldalmentés alapján állapította azt meg, hogy mi volt Cikk1-nek az eredeti tartalma (NAIH- 962-8/2026. számú ügyirat, 1. számú melléklet). (12) Ezen túlmenően a Hatóság szintén bizonyítási eljárást folytatott le arra, hogy meddig szerepelt a Cikk1-ben „Az interaktív térkép ITT ÉRHETŐ EL” mondat. Az Ügyfél e vonatkozásban a 2026. április 22-én kelt nyilatkozatában úgy fogalmazott, hogy a Térképre mutató link még a Cikk1 megjelenésének napján kikerült a Cikk1-ből (NAIH-962-5/2026. számú nyilatkozat). A Hatóság a Wayback Machine szolgáltatás által 2025. november 7-én 18 óra 29 perckor a Cikk1-ről készített oldalmentése alapján megállapította, hogy legkésőbb ebben az időpontban már nem szerepelt a Cikk1-ben a Térképre mutató link (NAIH-962-8/2026. számú ügyirat, 2. számú melléklet). A Hatóság ennek alapján megállapította, hogy a Térképre mutató link legfeljebb 1 óra 42 percig szerepelt a Cikk1-ben. (13) Az Ügyfél a Cikk1 olvasottsági adatai vonatkozásában azt a nyilatkozatot tette, hogy „nem áll rendelkezésére adat arra vonatkozóan, hogy a Cikk közzétételének időpontja és a Térkép elérhetetlenségének időpontja között hány olvasó nyitotta meg a Cikket” (NAIH-962-1/2026. számú nyilatkozat). A Hatóság ezért egy újabb végzésében az Ügyfél nyilatkozatát kérte arról, hogy hány személy tekinthette meg a Cikk1-et 2025. november 7. napján. A Hatóság a végzésében a Gemius SA (székhely: Domaniewska utca 48, Varsó, Lengyelország, lengyel adószám: 527-22-41-358, a továbbiakban: Gemius) által nyújtott „gemiusAudience” elnevezésű online szolgáltatás (a honlap elérhetősége: https://audience.gemius.com/en/, a továbbiakban: gemiusAudience szolgáltatás) adatait vette alapul. A gemiusAudience szolgáltatás szerint 2025. november 7-én az Origo esetében az oldalmegnyitás adat („Views”): 1.648.890, a látogatások száma („Visits”): 725.066 volt. Ezen adatokon alapulva a Hatóság azt kérte az Ügyféltől, hogy becsléssel nyilatkozzon arról, hogy mennyi egyedi látogató („Real users”) olvashatta el a Cikk1-et 2025. november 7. napján a Cikk1 nyilvánosságra hozatalát követően, azaz 16 óra 47 perc után (NAIH-962-2/2026. számú végzés). Az Ügyfél a 2026. április 22-én kelt nyilatkozatában úgy fogalmazott, hogy […] látogató tekintette meg a Cikk1-et ezen a napon (NAIH-962-5/2026. számú nyilatkozat). A Hatóság ezzel összefüggésben rögzíti, hogy figyelemmel arra, hogy a Térképre mutató link legfeljebb 1 óra 42 percig szerepelt a Cikk1-ben, ezért ezen látogatói szám egy része olvashatta el a Cikk1-et azt megelőzően, hogy a Cikk1-ből kikerült volna a Térképre mutató link. I.3. A Térképre mutató linknek a Cikk2-n keresztüli közzététele (14) Az Ügyfél által kiadott Magyar Nemzeten a Cikk2 2025. november 7-én 16 óra 56 perckor jelent meg. A Cikk2 bevezetője (újságírói kifejezéssel „lead”-je) az alábbi volt: „Durva fordulatot vett a Tisza Párt adatbotránya. Valaki térképre tette a kiszivárgott tiszásokat, a többség ugyanis utca, házszám pontossággal átadta a lakcímét is Magyar Péter pártjának. Itt lehet böngészni a térképet!” A Cikk2 második bekezdése a következő volt: „a térképre, amely „felhasználóbarátabbá” teszi a tiszások felkutatását, az Index bukkant rá. Az oldalon földrajzi koordináták alapján böngészhetők az érintettek – így akár utca- vagy házszinten is megnézhető, kik a Tisza-szimpatizánsok a környéken. De az emberek nevére külön is rá lehet keresni, azt is megtudhatják az érdeklődők, hogy kik tiszások az ismerőseik közül.” Az első mondatban a „térképre” szó eltérő színnel szerepelt és a Térképre mutató link volt, amelyre kattintva az olvasók közvetlenül eljutottak a Térképre. Emellett a bekezdésben az „Index” szó szintén egy hiperhivatkozás volt és arra kattintva az Index november 7-ei cikke jelent meg. (15) A Hatóság a 2025. november 21-én NAIH-16609/2025. ügyszám alatt hivatalból adatvédelmi hatósági eljárást indított az Ügyféllel szemben a Cikk2-ben a Térképre mutató link közzétételével összefüggő adatkezelésnek az általános adatvédelmi rendeletnek való megfelelés vizsgálata tárgyában. A Hatóság az adatkezeléshez fűződő jogos érdek, illetve szükségességi-arányossági szempontok bemutatását kérte az Ügyféltől több nyilatkozattételi felhíváson keresztül, valamint a Hatóság kérte a Cikk2 eredeti szövegének továbbítását (NAIH-16609-1/2025. számú végzés). (16) A Cikk2-vel összefüggésben indult hatósági eljárásban ugyancsak a Képviselő járt el az Ügyfél meghatalmazottjaként. Az Ügyfél a 2026. január 5-én kelt nyilatkozatában válaszolt a Hatóság kérdéseire, amely válasz szó szerint megegyezett a Cikk1-el összefüggésben tett nyilatkozatával (NAIH-957-1/2026. számú nyilatkozat). A Hatóságnak a Cikk2 eredeti szövegének a továbbítására irányuló felhívására az Ügyfél ugyancsak akként nyilatkozott, hogy „már nem tudja megállapítani, hogy mi volt a publikálás eredeti időpontja, és nem tudja az eredeti szöveget sem továbbítani.” Az Ügyfél közölte a Hatósággal azt is, hogy a rendszere „[…]”. A Hatóság rögzíti, hogy az adatvédelmi hatósági eljárás során az Ügyfél nem tudta megmondani azt, hogy meddig volt elérhető a Térképre mutató link a Cikk2-ben. (17) A hivatalból indult hatósági eljárás során a Hatóság észlelte azt, hogy az eljárás megindulásának időpontjában a Cikk2 olyan tartalommal érhető el, amelyben a Térképre mutató link már nem szerepelt. Az Ügyfél a Hatóság felhívására nem továbbította a Cikk2 eredeti szövegét. A Hatóság annak érdekében, hogy meg tudja határozni a Cikk2 eredeti tartalmát további bizonyítási eljárást folytatott le. A Hatóság az archive.today szolgáltatás által 2025. november 7-én 17 óra 46 perckor Cikk2-ről készített oldalmentés alapján állapította azt meg, hogy mi volt Cikk2-nek az eredeti tartalma (NAIH-962-8/2026. számú ügyirat, 3. számú melléklet). (18) Ezen túlmenően Hatóság szintén bizonyítási eljárást folytatott le arra, hogy meddig szerepelt a Cikk2-ben a Térképre mutató link. Az Ügyfél e vonatkozásban a 2026. április 22-én kelt nyilatkozatában úgy fogalmazott, hogy a Térképre mutató link még a Cikk2 megjelenésének napján kikerült a Cikk2-ből (NAIH-957-5/2026. számú nyilatkozat). A Hatóság a Wayback Machine szolgáltatás által 2025. november 7-én 18 óra 9 perckor a Cikk2-ről készített oldalmentés alapján megállapította, hogy legkésőbb ebben az időpontban már nem szerepelt a cikkben a Térképre mutató link. A Cikk2 ezen módosított változatban „a térképre” szó már nem volt hiperhivatkozás, így arra már nem tudtak a Cikk2 olvasói rákattintani (és így pedig a Térképet elérni) (NAIH-962-8/2026. számú ügyirat, 4. számú melléklet). A Hatóság ennek alapján megállapította, hogy a Térképre mutató link legfeljebb 1 óra 13 percig szerepelt a Cikk2-ben. (19) Hatóság rögzíti azt is, hogy ezt követően 2025. november 7-én még egy újabb verziója jelent meg a Cikk2-nek. Az archive.today szolgáltatás által 2025. november 7-én 22 óra 36 perckor a Cikk2-ről készített oldalmentés alapján megállapította, hogy a bekezdés első mondatának szövege módosult az alábbi szövegváltozatra: „a térképre, amit a NAIH állásfoglalása szerint nem közölhetünk, hiszen azzal adatkezelőkké válnánk, az Index bukkant rá” (NAIH-962- 8/2026. számú ügyirat, 5. számú melléklet). Ezen mondatban az „amit a NAIH állásfoglalása szerint nem közölhetünk” mondatrész egy link, amelyre kattintva az Ügyfél által kiadott Magyar Nemzet egy nappal korábban megjelent cikke érhető el. A 2025. november 6-án 21 óra 33 perckor megjelent, „Bűncselekménynek minősülhet Magyar Péterék adatbotránya” című cikkben a Magyar Nemzet részletesen bemutatta a Közleményt (NAIH-962-8/2026. számú ügyirat, 6. számú melléklet). (20) Az Ügyfél a Cikk2 olvasottsági adatai vonatkozásában azt a nyilatkozatot tette, hogy „nem áll rendelkezésére adat arra vonatkozóan, hogy a Cikk2 közzétételének időpontja és a Térkép elérhetetlenségének időpontja között hány olvasó nyitotta meg a Cikk2-t” (NAIH-957-1/2026. számú nyilatkozat). A Hatóság ezért egy újabb végzésében az Ügyfél nyilatkozatát kérte arról, hogy hány személy tekinthette meg a Cikk2-t 2025. november 7. napján. A Hatóság a végzésében a „gemiusAudience” szolgáltatás adatait vette alapul, amely szerint 2025. november 7-én a Magyar Nemzet esetében az oldalmegnyitás adat („Views”): 531.636, a látogatások száma („Visits”): 277.745 volt. Ezen adatokon alapulva a Hatóság azt kérte az Ügyféltől, hogy becsléssel nyilatkozzon arról, hogy mennyi egyedi látogató („Real users”) olvashatta el a Cikk2-t 2025. november 7. napján a Cikk2 nyilvánosságra hozatalát követően, azaz 16 óra 58 perc után (NAIH-957-2/2026. számú végzés). Az Ügyfél a 2026. április 22-én kelt nyilatkozatában úgy fogalmazott, hogy […] látogató tekintette meg a Cikk3-at ezen a napon (NAIH-957-5/2026. számú nyilatkozat). A Hatóság ezzel összefüggésben rögzíti, hogy figyelemmel arra, hogy a Térképre mutató link legfeljebb 1 óra 13 percig szerepelt a Cikk2ben, ezért ezen látogatói szám egy része olvashatta el a Cikk2-t azt megelőzően, hogy a Cikk2-ből kikerült volna a Térképre mutató link. I.4. A Térkép elérhetőségének közzététele a Cikk3-ban szereplő képen keresztül (21) Az Ügyfél által kiadott Riposton a Cikk3 2025. november 7-én 17 óra 23 perckor jelent meg. A Cikk3 első két bekezdése bemutatja a Térkép működését, majd ezt követően a Térkép nyitóoldaláról készített képernyőmentés szerepel a Cikk3-ban, amelynek címsorában a […], vagyis a Térkép URL-je látható, ezáltal biztosítva az olvasók számára a Térkép elérhetőségének megismerését. A Cikk3-ban a Ripost utal az Index november 7-ei cikkére, kiemelve abból azt, hogy a Térkép „kifejezetten veszélyes is az érintettekre nézve”. Ezen túlmenően a Cikk3 utal a Közleményre is, idézve abból a Hatóság több megállapítását: „A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) csütörtöki állásfoglalásában világossá tette, hogy bár egy politikai párt informatikai rendszerének sérülékenysége közérdekű ügynek minősülhet, ››ez azonban önmagában nem teremt jogszerű alapot arra, hogy az adatbiztonsági hiányosságot kihasználó személy tárolja és nyilvánosságra hozza az adatbázisban szereplő érintettek személyes és különleges adatait‹‹. Még abban az esetben is, ha egy politikai párt jogellenesen nem hozott megfelelő adatbiztonsági intézkedéseket az elektronikus úton általa tárolt személyes adatok védelmére, és ezen sérülékenységet kihasználva valaki ezen személyes adatokhoz hozzáfér, azokat megszerzi, e cselekmény is jogellenes, és a jogsértés körülményeitől függően akár bűncselekménynek is minősülhet hangsúlyozta a hatóság. A NAIH különös figyelmet fordított a médiaszolgáltatók felelősségére is. Az állásfoglalás szerint bár az újságírók a hiteles tájékoztatás érdekében felvehetik a kapcsolatot az érintettekkel, hogy meggyőződjenek a kiszivárgott adatok valódiságáról, vagy megkérdezzék véleményüket a közéleti üggyel kapcsolatban, ellentétes az adatvédelmi követelményekkel, ha egy cikkben ››a nyilvánosság számára elérhetővé válnak az eleve jogellenes adatkezeléssel érintettek személyes és különleges adatai – akár közvetett módon, tehát az adatbázisra vagy a személyes adatokat nyilvánosságra hozó honlapra mutató hivatkozás közlésével‹‹.” (22) A Hatóság a 2025. november 21-én NAIH-16611/2025. ügyszám alatt hivatalból adatvédelmi hatósági eljárást indított az Ügyféllel szemben a Cikk3-ban a Térképre mutató link közzétételével összefüggő adatkezelésnek az általános adatvédelmi rendeletnek való megfelelés vizsgálata tárgyában. A Hatóság az adatkezeléshez fűződő jogos érdek, illetve szükségességi-arányossági szempontok bemutatását kérte az Ügyféltől több nyilatkozattételi felhíváson keresztül, valamint a Hatóság kérte a Cikk3 eredeti szövegének továbbítását (NAIH-16611-1/2025. számú végzés). (23) A Cikk3-mal összefüggésben indult hatósági eljárásban ugyancsak a Képviselő járt el az Ügyfél meghatalmazottjaként. Az Ügyfél ugyancsak a 2026. január 5-én kelt nyilatkozatában válaszolt a Hatóság kérdéseire, amely válasz szó szerint megegyezett a Cikk1-el és a Cikk2vel összefüggésben tett nyilatkozatával (NAIH-963-1/2026. számú nyilatkozat). A Hatóságnak a Cikk3 eredeti szövegének a továbbítására irányuló felhívására az Ügyfél ugyancsak akként nyilatkozott, hogy „már nem tudja megállapítani, hogy mi volt a publikálás eredeti időpontja, és nem tudja az eredeti szöveget sem továbbítani.” Az Ügyfél közölte a Hatósággal azt is, hogy a rendszere „[…]”. A Hatóság rögzíti, hogy az adatvédelmi hatósági eljárás során az Ügyfél nem tudta megmondani azt, hogy a Cikk3 meddig volt olyan tartalommal elérhető, hogy az abban szereplő képen látható volt a […] URL cím. (24) A hivatalból induló hatósági eljárás során a Hatóság észlelte azt, hogy az eljárás megindulásának időpontjában a Cikk3 olyan tartalommal érhető el, hogy az abban szereplő képet módosították és a képen már nem szerepel a […] URL cím. Az Ügyfél a Hatóság felhívására nem továbbította a Cikk3 eredeti szövegét. A Hatóság annak érdekében, hogy meg tudja határozni a Cikk3 eredeti tartalmát további bizonyítási eljárást folytatott le. A Hatóság a Wayback Machine szolgáltatás által 2025. november 7-én 17 óra 54 perckor a Cikk3-ról készített oldalmentés alapján állapította azt meg, hogy mi volt Cikk3-nak az eredeti tartalma (NAIH-962-8/2026. számú ügyirat, 7. számú melléklet). (25) Ezen túlmenően a Hatóság szintén bizonyítási eljárást folytatott le arra, hogy meddig szerepelt a Cikk3-ban a kép olyan módon, hogy a képen látható volt a […] URL cím. Az Ügyfél e vonatkozásban a 2026. április 22-én kelt nyilatkozatában úgy fogalmazott, hogy a Térképre mutató link még a Cikk3 megjelenésének napján kikerült a Cikk3-ból (NAIH-963-5/2026. számú nyilatkozat). A Hatóság rögzíti, hogy az archive.today szolgáltatás által 2025. november 7-én 21 óra 45 perckor a Cikk3-ról készített oldalmentés alapján ezen időpontban a Cikk3 még olyan képet tartalmazott, amelyen szerepelt a […] URL (NAIH-962-8/2026. számú ügyirat, 8. számú melléklet). A Hatóság kiemeli, hogy a 2025. november 8-án és november 9-én egyik szolgáltatás sem készített oldalmentést a Cikk3-ról, és a legközelebbi oldalmentést a Wayback Machine szolgáltatás készített 2025. november 10-én 13 óra 33 perckor, amikor már nem szerepelt a Cikk3-ban látható képen a […] URL-cím (NAIH-962- 8/2026. számú ügyirat, 9. számú melléklet). Figyelemmel arra, hogy a Hatóság által a tényállás tisztázása során használt webarchiválási szolgáltatások november 8-án és november 9-én nem készítettek oldalmentést a Cikk3-ról, ezért a Hatóság nem tudja azt megállapítani, hogy ezeken a napokon milyen tartalommal szerepelt a kép a Cikk3-ban. November 10-én már bizonyosan olyan kép szerepelt a Cikk3-ban, amelyen nem volt látható a […] URL-cím. A Hatóság tehát elfogadja az Ügyfél azon nyilatkozatát, hogy még a Cikk3 megjelenésének napján, de 21 óra 45 perc után módosította a Cikk3-ban szereplő képet úgy, hogy azon ne szerepeljen a […] URL-cím. A Hatóság ennek alapján megállapította, hogy legalább 4 óra 22 percen keresztül szerepelt a Cikk3-ban olyan kép, amelyen látható volt a […] URL cím. (26) Az Ügyfél a Cikk3 olvasottsági adatai vonatkozásában – a Cikk1-hez és Cikk2-hez hasonlóan – azt a nyilatkozatot tette, hogy „nem áll rendelkezésére adat arra vonatkozóan, hogy a Cikk közzétételének időpontja és a Térkép elérhetetlenségének időpontja között hány olvasó nyitotta meg a Cikket” (NAIH-963-1/2026. számú nyilatkozat). A Hatóság ezért egy újabb végzésében az Ügyfél nyilatkozatát kérte arról, hogy hány személy tekinthette meg a Cikk3at 2025. november 7. napján. A Hatóság a végzésében a „gemiusAudience” szolgáltatás adatait vette alapul, amely szerint 2025. november 7-én a Ripost esetében az oldalmegnyitás adat („Views”): 196.549, a látogatások száma („Visits”): 144.446 volt. Ezen adatokon alapulva a Hatóság azt kérte az Ügyféltől, hogy becsléssel nyilatkozzon arról, hogy mennyi egyedi látogató („Real users”) olvashatta el a Cikk3-at 2025. november 7. napján a Cikk3 nyilvánosságra hozatalát követően, azaz 17 óra 23 perc után (NAIH-963-2/2026. számú végzés). Az Ügyfél a 2026. április 22-én kelt nyilatkozatában úgy fogalmazott, hogy […] látogató tekintette meg a Cikk3-at ezen a napon (NAIH-963-5/2026. számú nyilatkozat). A Hatóság ezzel összefüggésben rögzíti, hogy figyelemmel arra, hogy legalább 4 óra 22 percen keresztül szerepelt a Cikk3-ban olyan kép, amelyen látható volt a […] URL cím, ezért ezen látogatói szám egy része olvashatta el a Cikk3-at azt megelőzően, hogy az Ügyfél módosította volna Cikk3-ban szereplő képet. I.5. Az adatvédelmi hatósági eljárás tárgya (27) Jelen adatvédelmi hatósági eljárás tárgya az Ügyfélnek azon adatkezelési tevékenysége, hogy a Cikk1-ben, illetve a Cikk2-ben közzétette a Térképre mutató linket, illetve a Cikk3-ban közzétett képen keresztül pedig megismerhetővé tette a Térkép elérhetőségét és ezáltal hozzáférést biztosított közel kétszázezer érintett nevéhez, lakcíméhez, telefonszámához, email címéhez, illetve a lakcím geolokációs koordinátájához. (28) A Hatóság jelen adatvédelmi hatósági eljárásban azt vizsgálta, hogy az Ügyfél a Térkép elérhetőségének Cikkekben való közzétételéhez az általános adatvédelmi rendelet 6. cikk (1) bekezdése szerinti megfelelő jogalappal rendelkezett-e, illetve – figyelemmel arra, hogy az adatkezelési tevékenység az érintettek politikai véleményére, kötődésére tekintettel különleges adatokra is kiterjedt – az általános adatvédelmi rendelet 9. cikk (2) bekezdése alapján jogszerűnek tekinthető-e a különleges adatok közzétételével együtt járó adatkezelési tevékenysége. I.6. Az ügyek egyesítése és az Ákr. 76. §-a szerinti nyilatkozattételre felhívás (29) Figyelemmel arra, hogy fenti, külön ügyszámon hivatalból indult adatvédelmi hatósági eljárásokban mind az Ügyfél személye, mind az Ügyfél által a jogi képviseletre meghatalmazott képviselő személye, mind a hatósági ügy tárgyát képező adatkezelői magatartás lényegét tekintve azonos, valamint arra, hogy az Ügyfél mindhárom eljárásban tartalmilag azonos nyilatkozatot tett, ezért a Hatóság 2026. április 27-én kelt, NAIH-962- 7/2026. ügyszámú végzésében akként rendelkezett, hogy az alábbi hatósági ügyeket NAIH- 962/2026.ügyszám alatt egyesíti: – NAIH-16613/2025. ügyszám alatt (2026-ban új ügyszám: NAIH-962/2026.) a Cikk1ben a Térképre mutató link közzétételével összefüggő adatkezelésnek az általános adatvédelmi rendeletnek való megfelelés vizsgálata tárgyában hivatalból indult adatvédelmi hatósági eljárás, – NAIH-16609/2025. ügyszám alatt (2026-ban új ügyszám: NAIH-957/2026.) a Cikk2ben a Térképre mutató link közzétételével összefüggő adatkezelésnek az általános adatvédelmi rendeletnek való megfelelés vizsgálata tárgyában hivatalból indult adatvédelmi hatósági eljárás, – NAIH-16611/2025. ügyszám alatt (2026-ban új ügyszám: NAIH-963/2026.) a Cikk3ban a Térkép nevét tartalmazó kép közzétételével összefüggő adatkezelésnek az általános adatvédelmi rendeletnek való megfelelés vizsgálata tárgyában hivatalból indult adatvédelmi hatósági eljárás. (30) A Hatóság az Ügyfelet 2026. április 28-án kelt, NAIH-962-9/2026. számú végzésében az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 76. §-a alapján értesítette arról, hogy a végzés mellékleteként megküldött, a Hatóság által a tényállás tisztázása érdekében lefolytatott eljárási cselekményről készített NAIH/962-8/2026. ügyszámú feljegyzésben szereplő bizonyítékok ismeretében nyilatkozatot és további bizonyítási indítványokat tehet. Az Ügyfél a Hatóság ezen felhívása alapján nem tett nyilatkozatot. ## II. Alkalmazott jogszabályok (31) Az általános adatvédelmi rendelet (4) preambulumbekezdése alapján a személyes adatok védelméhez való jog nem abszolút jog, azt az arányosság elvével összhangban, a társadalomban betöltött szerepének függvényében kell figyelembe venni, egyensúlyban más alapvető jogokkal. Ez a rendelet minden alapvető jogot tiszteletben tart, és szem előtt tartja a Chartában elismert és a Szerződésekben rögzített szabadságokat és elveket, különösen ami a magán- és a családi élet, az otthon és a kapcsolattartás tiszteletben tartásához és a személyes adatok védelméhez, a gondolat-, a lelkiismeret- és a vallásszabadsághoz, a véleménynyilvánítás szabadságához és a tájékozódás szabadságához, a vállalkozás szabadságához, a hatékony jogorvoslathoz és a tisztességes eljáráshoz, és a kulturális, vallási és nyelvi sokféleséghez való jogot illeti. (32) Az általános adatvédelmi rendelet 2. cikk (1) bekezdése értelmében e rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. (33) Az általános adatvédelmi rendelet 4. cikk 1. pontja szerint személyes adat azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. (34) Az általános adatvédelmi rendelet 4. cikk 2. pontja értelmében adatkezelés a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés. (35) Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja. (36) Az általános adatvédelmi rendelet 5. cikk (2) bekezdése szerint az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). (37) Az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja kimondja, hogy a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: (…) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. (38) Az általános adatvédelmi rendelet 9. cikk (1) bekezdése alapján a politikai véleményre vonatkozó személyes adatok kezelése tilos. (39) Az általános adatvédelmi rendelet 9. cikk (2) bekezdése kimondja, hogy az (1) bekezdés nem alkalmazandó abban az esetben, ha a) az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, (…) e) az adatkezelés olyan személyes adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott; (…) g) az adatkezelés jelentős közérdek miatt szükséges, uniós jog vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő; (…)”. (40) Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja értelmében a felügyeleti hatóság korrekciós hatáskörében eljárva elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit. (41) Az általános adatvédelmi rendelet 58. cikk (2) bekezdés f) pontja alapján felügyeleti hatóság korrekciós hatáskörében eljárva átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is. (42) Az általános adatvédelmi rendelet 85. cikk (1) bekezdése kimondja, hogy a tagállamok jogszabályban összeegyeztetik a személyes adatok e rendelet szerinti védelméhez való jogot a véleménynyilvánítás szabadságához és a tájékozódáshoz való joggal, ideértve a személyes adatok újságírási célból, illetve tudományos, művészi vagy irodalmi kifejezés céljából végzett kezelését is. (43) Az általános adatvédelmi rendelet 85. cikk (2) bekezdése alapján a személyes adatok újságírási célból, illetve tudományos, művészi vagy irodalmi kifejezés céljából végzett kezelésére vonatkozóan a tagállamok kivételeket vagy eltéréseket határoznak meg a II. fejezet (elvek), a III. fejezet (az érintett jogai), a IV. fejezet (az adatkezelő és az adatfeldolgozó), az V. fejezet (a személyes adatok harmadik országokba vagy nemzetközi szervezetek részére történő továbbítása), a VI. fejezet (független felügyeleti hatóságok), a VII. fejezet (együttműködés és egységesség) és a IX. fejezet (az adatkezelés különös esetei) alól, ha e kivételek vagy eltérések szükségesek ahhoz, hogy a személyes adatok védelméhez való jogot össze lehessen egyeztetni a véleménynyilvánítás szabadságához és a tájékozódáshoz való joggal. (44) Az általános adatvédelmi rendelet 85. cikk (3) bekezdése értelmében a tagállamok értesítik a Bizottságot azon jogi rendelkezésekről, amelyeket a (2) bekezdés alapján elfogadtak, továbbá haladéktalanul értesítik a Bizottságot az említett jogi rendelkezéseket érintő későbbi módosító jogszabályokról, illetve módosításokról. (45) Az általános adatvédelmi rendelet (153) preambulumbekezdése szerint a tagállamok jogának össze kell egyeztetnie a véleménynyilvánítás és a tájékozódás – ideértve az újságírói, a tudományos, a művészi, illetve az irodalmi kifejezés – szabadságára vonatkozó szabályokat a személyes adatok védelmére vonatkozó, e rendelet szerinti joggal. (46) A sajtószabadságról és a médiatartalmak alapvető szabályairól szóló 2010. évi CIV. törvény (a továbbiakban: Smtv.) 4. § (3) bekezdése szerint a sajtószabadság gyakorlása nem valósíthat meg bűncselekményt vagy bűncselekmény elkövetésére való felhívást, nem sértheti a közerkölcsöt, valamint nem járhat mások személyiségi jogainak sérelmével. A Polgári Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.) 2:43. § e) pontja alapján a személyiségi jogok sérelmét jelenti különösen a magántitokhoz és a személyes adatok védelméhez való jog megsértése (47) Az Smtv. 10. §-a értelmében mindenkinek joga van arra, hogy megfelelően tájékoztassák a helyi, az országos és az európai közélet ügyeiről, valamint Magyarország polgárai és a magyar nemzet tagjai számára jelentőséggel bíró eseményekről. A médiarendszer egészének feladata a hiteles, gyors, pontos tájékoztatás ezen ügyekről és eseményekről. ## III. Döntés III.1. Előzetes megállapítások III.1.1. Az adatkezelési tevékenység meghatározása, illetve az általános adatvédelmi rendelet tárgyi hatályának megállapítása (48) A Hatóság az Ügyfél azon adatkezelési tevékenységét vizsgálta, hogy a Cikkekben közzétette a Térkép elérhetőségét és ezáltal hozzáférést biztosított az érintettek nevéhez, lakcíméhez, telefonszámához, email címéhez, illetve a lakcím geolokációs koordinátájához, illetve – amint azt már a Hatóság jelen határozat I.1. megállapította – az Ügyfél adatkezelési tevékenysége az általános adatvédelmi rendelet 9. cikk (1) bekezdése szerinti különleges adatra is kiterjedt, minthogy a Térkép elkészítéséhez egy politikai párt, a Tisza Párt adatkezeléséből származó személyes adatokat használtak fel, így pedig a Térkép alapján következtetést lehetett levonni az érintettek politikai véleményére is. (49) Az általános adatvédelmi rendelet 4. cikk 2. pontja szerinti fogalommeghatározása alapján a személyes adatokon végzett bármely művelet adatkezelést eredményez. Amint azt az Ügyfél nyilatkozatában hangsúlyozta, a Térképet nem ő hozta nyilvánosságra, így az Ügyfél adatkezelési tevékenységeivel nem a nyilvánosságra hozatal adatkezelési műveletét hajtotta végre. Ugyanakkor az általános adatvédelmi rendelet fenti definíciója szerint a személyes adatok „egyéb módon történő hozzáférhetővé tétele” szintén adatkezelési műveletnek minősül. A Hatóság megállapította, hogy az Ügyfél azáltal, hogy a Cikkekben közzétette a Térkép elérhetőségét, az „egyéb módon történő hozzáférhetővé tétele” adatkezelési műveletnek feleltethető meg. (50) A Hatóság ezzel összefüggésben rögzíti azt is, hogy az Ügyfél nem a Cikkek közlésével valósította meg az adatkezelést, hanem azáltal, hogy a Cikkekben közzétette a Térkép elérhetőségét (és ezáltal hozzáférést biztosított közel kétszázezer érintett személyes és különleges adatához). (51) Az Ügyfél adatkezelési tevékenységeivel érintett természetes személyek száma megegyezik azzal, ahány érintett esetében a Térképen keresztül nyilvánosságra hozták a személyes és különleges adataikat. Amint azt a Hatóság jelen határozat I.1. – I.2. pontjában megállapította – illetve más médiaszolgáltatók is erről számoltak be a médiatartalmaikban – közel kétszázezer személyt érintett a Térképen keresztüli nyilvánosságra hozatal. (52) A Hatóság továbbá megállapítja azt is, hogy az Ügyfélnek a Térkép elérhetőségének Cikkekben való közzététele (és ezáltal hozzáférés biztosítása közel kétszázezer érintett személyes és különleges adatához) az általános adatvédelmi rendelet 2. cikk (1) bekezdése szerinti tárgyi hatály alá tartozik, minthogy az Ügyfél ezen adatkezelési tevékenysége személyes adatok automatizált módon történő kezelését jelenti. Ezért az adatkezelésre az általános adatvédelmi rendelet előírásai alkalmazandók jelen hatósági eljárásban. III.1.2. Az adatkezelői minőség megállapítása (53) Az internetes sajtótermékek impresszumában kiadóként az Ügyfél szerepel, továbbá ezen sajtótermékek honlapján található, az eljárás megindításakor hatályos adatvédelmi tájékoztatók a honlapok használatával, így a szerkesztői tartalmakkal is együtt járó adatkezelés tekintetében adatkezelőként az Ügyfelet tüntetik fel. A Nemzeti Média és Hírközlési Hatóság internetes sajtótermékekről és hírportálokról vezetett közhiteles nyilvántartásában7 is az Ügyfél szerepel a sajtótermékek kiadójaként feltüntetve. (54) Az Ügyfél továbbá a Hatóságnak tett nyilatkozataiban úgy fogalmazott mind az Origo-val, mind a Magyar Nemzettel, mind a Riposttal összefüggésben, hogy azok az általa üzemeltetett internetes portálok. Ezen megfogalmazással az Ügyfél is elismerte az adatkezelői minőségét az Origo-n, Magyar Nemzeten, Riposton keresztül végzett, jelen hatósági eljárás tárgyát képező adatkezelési tevékenység vonatkozásban. (55) A Hatóság a fentiek alapján megállapítja, hogy az Ügyfél, mint az internetes sajtótermékek kiadója, a vizsgált adatkezelések tekintetében az általános adatvédelmi rendelet 4. cikk 7. pontja alapján adatkezelőnek minősül. III.1.3. Az általános adatvédelmi rendelet 85. cikke és az Ügyfél adatkezelési tevékenysége (56) Az általános adatvédelmi rendelet (4) preambulumbekezdése értelmében – amelyet az ügyféli nyilatkozat szintén felhív – a személyes adatok védelméhez való jog nem abszolút jog, azt az arányosság elvével összhangban, a társadalomban betöltött szerepének függvényében kell figyelembe venni, egyensúlyban más alapvető jogokkal. Az uniós jogalkotó többek között a véleménynyilvánítás szabadságát és a tájékozódás szabadságát emelte ki, mint amely alapvető jogok, illetve a személyes adatok védelméhez való jog közötti egyensúlyt meg kell teremteni. (57) Az általános adatvédelmi rendelet (4) preambulumbekezdésében foglaltakkal összhangban a 85. cikk (1) bekezdése alapján a tagállamok jogának össze kell egyeztetnie a véleménynyilvánítás és a tájékozódás szabadságára vonatkozó szabályozást (ideértve az újságírói tevékenységet) a személyes adatok védelméhez való joggal. Az általános adatvédelmi rendelet 85. cikk (2) bekezdése kifejezetten biztosítja annak lehetőségét, hogy az újságírói célból végzett adatkezelésekre vonatkozóan a tagállami jogalkotók kivételeket vagy eltéréseket határozzanak meg, amennyiben azok a véleménynyilvánítás és a tájékozódáshoz való jog szabadságának a személyes adatok védelméhez való joggal történő összeegyeztetéséhez szükségesek. (58) A Kúria több döntésében is foglalkozott az általános adatvédelmi rendelet 85. cikk (2) bekezdésének szerepével a sajtó tájékoztatási tevékenységével összefüggésben. A Kúria a Kfv. 37.978/2021/10. számú ítéletében ezzel összefüggésben elvi éllel kijelentette, hogy „újságírási célból kivételek, eltérések tagállami meghatározására nem került sor. Következésképpen a jogalkotó szerint kivételek vagy eltérések nem szükségesek ahhoz, hogy a személyes adatok védelméhez való jogot össze lehessen egyeztetni a véleménynyilvánítás szabadságához és a tájékozódáshoz való joggal. (…) A sajtó általi konkrét adatkezelési műveletekre külön jogszabály nem született, az Smtv. ilyen irányú módosítására nem került sor”.8 7 https://sajtopub.nmhh.hu/sajto_kozzetetel/app/index.jsp, lekérdezés időpontja: 2026.04.16. 8 Kfv.37.978/2021/10. számú ítélet [134] bekezdéspontja (59) A fentiekből következően az újságírási célú adatkezelés tekintetében nincsenek olyan speciális magyar jogszabályi rendelkezések, amelyek felmentést jelentenének az Ügyfél számára az általános adatvédelmi rendeltben foglalt egyes adatkezelői kötelezettségek alól. Éppen ezért az Ügyfélnek az általános adatvédelmi rendelet szabályainak megfelelően kell végeznie az adatkezelési tevékenységét, amelynek során ugyanakkor figyelembe veheti a véleménynyilvánítás és a tájékozódáshoz való jog szabadságának a személyes adatok védelméhez való joggal történő összeegyeztetése tekintetében a sajtószabadság gyakorlására vonatkozó jogszabályi rendelkezéseket, illetve a jogalkalmazói gyakorlatot. III.1.4. Jelen ügy sajátosságai a Hatóságnak a médiaszolgáltatók tájékoztatási tevékenységével összefüggő gyakorlatához képest (60) A Hatóság korábban számos adatvédelmi hatósági eljárást folytatott médiaszolgáltatókkal szemben a személyes adatokat tartalmazó cikkeik tárgyában. Ezen eljárásokban az érintettek terjesztettek elő hatósági eljárás iránti kérelmet, sérelmezve azt, hogy az adatkezelő megsértette az általános adatvédelmi rendeletet azáltal, hogy az adott cikkben szerepelt valamely személyes adatuk. A Hatóság az eljárás során általában egy (vagy legfeljebb: néhány) érintett vonatkozásában vizsgálta elsődlegesen az adatkezelés jogszerűségét, így tehát alapvetően azt, hogy az adatkezelő az érintett(ek)re vonatkozó adatkezelése esetében képes-e igazolni a jogos érdek, a szükségesség és az arányosság fennálltát. A Hatóság ennek során figyelembe vette a vonatkozó bírósági és alkotmánybírósági gyakorlatot, amelyek szintén arra épültek, hogy egy természetes személy személyiségi jogi pert kezdeményezett valamely médiaszolgáltatóval szemben valamely médiatartalmában szereplő közlés miatt. A jogalkalmazói gyakorlat a nyilvános közlés tekintetében egy komplex szempontrendszer vizsgálat elvégzését határozta meg9, illetve a sajtóban megjelent közlés két típusba sorolta: értékítélet vagy tényállítás. Ezen szempontokat a Hatóság is figyelembe vett a médiaszolgáltatókkal szemben folytatott adatvédelmi hatósági eljárások során. (61) Jelen adatvédelmi ügyben ugyanakkor két jelentős eltérés fogalmazható meg a Hatóság eddigi gyakorlatában felmerült esetekhez képest. Egyrészt jelen ügyben nem egy vagy néhány azonosított személyre terjed ki az Ügyfél által végzett adatkezelés, hanem közel kétszázezer személyre. Az Ügyfélnek a jogalap tekintetében tett nyilatkozatai, felhozott érvei nem csak egy érintett, hanem valamennyi érintett vonatkozásában megfelelőnek kell lennie. Másrészt az Ügyfél a Cikkekben nem az egyes érintettekre vonatkozóan közölt véleményt vagy rájuk vonatkozóan tett tényállítást, hanem – a Térképen keresztül nyilvánosságra hozott – személyes és különleges adataikhoz biztosított hozzáférést. Vagyis az eljárás tárgya nem egy érintettre vonatkozó nyilvános közlés (mint amely eddig a hatósági és bírósági jogalkalmazás tárgyát képezte), hanem egy „új” típusú médiaszolgáltatói tájékoztatási és adatkezelési tevékenység: a személyes és különleges adatokhoz való hozzáférés biztosítása. Ezen két eltérésből fakadóan az Ügyféllel szemben folytatott jelen adatvédelmi hatósági eljárás során korlátozottan érvényesek azon alkotmányossági mércék, hatósági jogalkalmazói, illetve bírói ítélkezési gyakorlat, amely egy személyt érintő közlések (vagyis a személyes adataik kezelése) vonatkozásában születtek. III.2. A Cikkekben a Térkép elérhetősége közzétételének (és ezáltal hozzáférés biztosítása közel kétszázezer érintett személyes és különleges adatához) jogalapja 9 Így például az Ügyfél által is felhívott 13/2014. (IV. 18.) AB határozat [39] bekezdéspontja értelmében „a nyilvános közlés megítélése során elsőként arról szükséges dönteni, hogy az adott közlés a közügyekben való megszólalást, közérdekű vitában kifejtett álláspontot tükröz-e, vagyis a közügyek szabad vitatásával áll-e összefüggésben. Ennek megítéléséhez pedig elsődlegesen a közlés megjelenésének módját, körülményeit és a vélemény tárgyát, kontextusát szükséges figyelembe venni. Így a közlést érintően vizsgálni kell a médium típusát, a közlés apropóját adó eseményt, illetve az arra érkező reakciókat és az adott közlésnek ebben a folyamatban játszott szerepét. További szempontként szükséges értékelni a kijelentés tartalmát, stílusát, illetve a közlés aktualitását, valamint célját.” III.2.1. Az adatkezelés jogalapja (62) A jogszerű adatkezelés alapvető követelménye, hogy az adatkezelő megfelelő jogalappal rendelkezzen a személyes adatok kezeléséhez. Az általános adatvédelmi rendelet 6. cikk (1) bekezdése határozza meg az adatkezelés lehetséges jogalapjait. A Hatóság a különleges adatok kezelésével összefüggésben rögzíti, hogy ezek esetében is szükséges az, hogy az adatkezelő az általános adatvédelmi rendelet 6. cikk (1) bekezdése szerinti jogalappal rendelkezzen, illetve az általános adatvédelmi rendelet konjunktív feltételként határozza meg azt, hogy különleges adat kezelése esetében ezen túlmenően teljesülnie kell a 9. cikk (2) bekezdése valamely esetkörének is. Ez utóbbi körülményt a Hatóság jelen határozatban az adatkezelés jogalapjától elkülönülten, a határozat III.3. pontjában fogja vizsgálni. (63) Az Ügyfél nyilatkozata szerint az adatkezelés „minden személyes adat vonatkozásában”, így tehát a név, lakcím, telefonszám, email cím, illetve a lakcím geolokációs koordinátája, valamint különleges adatnak minősülő politikai vélemény esetében is az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontján, az Ügyfél jogos érdekén alapult. (64) A jogos érdek jogalap alkalmazásához három együttes feltétel teljesülése szükséges: először is az adatkezelő vagy harmadik személy jogos érdekének érvényesítése, másodszor a személyes adatok kezelése valamely jogos érdek érvényesítéséhez szükséges, és harmadszor, hogy az adatvédelemmel érintett személy érdekei vagy alapvető jogai és szabadságai nem magasabb rendűek az adatkezelő vagy a harmadik fél jogos érdekénél.10 Az általános adatvédelmi rendelet 5. cikk (2) bekezdése alapján az adatkezelőnek tudnia kell igazolnia azt, hogy ezen hármas feltétel teljesül az adatkezelése vonatkozásában. A Hatóság és a bíróságok11 állandó gyakorlata alapján az adatkezelők az adatkezelést megelőzően elkészített, ún. érdekmérlegelési teszt elvégzésével tudnak eleget tenni ennek a kötelezettségüknek. (65) Ami az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontjának első feltételét, a jogos érdeket illeti, a joggyakorlat alapján a jogos érdek „fogalma nem korlátozódik a jogszabály által elismert és meghatározott érdekekre, ugyanakkor megköveteli, hogy az állítólagos jogos érdek jogszerű legyen”12. Emellett a joggyakorlat szerint „a jogos érdek fennállta esetén annak az adatkezelő általi precíz és indokolt alátámasztása is szükséges”13, illetve a jogos érdeknek „az adatkezelés időpontjában létezőnek és ténylegesnek kell lennie”14. (66) A Hatóság továbbá kiemeli, hogy az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogalap esetében hangsúlyos szerepe van a jogos érdeknek, mivel a másik két feltétel ehhez kapcsolódik. Abban az esetben lehet ugyanis a szükségesség feltételt vizsgálni, ha van egy jogszerű jogos érdek, amelynek alapul vételével mérlegelni lehet azt, hogy ezen jogszerű jogos érdek érvényesítéséhez szükséges-e az adatkezelés. Ugyancsak a jogszerű jogos érdek fennállta esetén vizsgálható a harmadik feltétel, az arányosság kérdése, hiszen egy nem jogszerű jogos érdek esetében semmiképp nem lehet arányos a személyes adatok 10 Európai Unió Bíróságának a Koninklijke Nederlandse Lawn Tennisbond v Autoriteit Persoonsgegevens ügyben hozott C-621/22. számú ítélet 37. bekezdéspontja 11 Így például a Kfv.37.978/2021/10. számú ítélet [162] bekezdéspontja: „az érdekmérlegelés elvégzését az adatkezelőnek igazolni tudnia kell, amely az elszámoltathatóság elvéből [GDPR 5. cikk (2) bekezdés] fakad. Ebben az esetben az adatkezelőnek érdekmérlegelést kell elvégeznie, amely bemutatja, hogy miért írja felül az adatkezelő jogos érdeke az érintettek jogait.” 12 Európai Unió Bíróságának a Koninklijke Nederlandse Lawn Tennisbond v Autoriteit Persoonsgegevens ügyben hozott C-621/22. számú ítélet 40. és 57. bekezdéspontja 13 Kfv.37.978/2021/10. számú ítélet [161] bekezdéspontja 14 Európai Unió Bíróságának a TK v Asociaţia de Proprietari bloc M5A-ScaraA ügyben hozott C-708/18. számú ítélet 44. bekezdéspontja kezelése. Éppen ezért a jogalap körében első lépésként annak eldöntése szükséges, hogy az adatkezelő által megjelölt érdek jogszerűnek minősül-e, mielőtt a további másik két feltétel értékelésére sor kerülne. (67) A Hatóság továbbá megjegyzi azt is, hogy a médiaszolgáltatók esetében a jogos érdeknek még az adatkezelést megelőző meghatározása (és azt követően az érdekmérlegelés elvégzése) nem kizárólag adatvédelmi jogi kötelezettségnek tekinthető. A médiaszolgáltatóknak a közzétételt megelőző „körültekintő eljárásával összefüggő felelőssége” több alkotmánybírósági döntésben megjelent.15 Az Alkotmánybíróság a sajtószabadsággal összefüggésben azt az alkotmányos követelményt fogalmazta meg, hogy a sajtó tájékoztató tevékenységének szabadsága sem korlátlan, hanem más alapvető jogok vagy alkotmányos értékek érvényesülése érdekében kötelezettségekkel terhelt.16 Figyelemmel az Smtv. 4. § (3) bekezdésére és a Ptk. 2:43. § e) pontjára, ilyen korlátként azonosítható a személyes adatok védelméhez fűződő jog. A Hatóság álláspontja szerint nem csak az általános adatvédelmi rendelet előírásainak megsértését, hanem az Smtv. 4. § (3) bekezdésének kiüresítését jelenheti az, ha a médiatartalom megjelenését megelőzően a médiaszolgáltatóknak nem kellene elvégezniük annak mérlegelését, hogy a közölni kívánt médiatartalomban a személyes adatok nyilvánosságra hozatala (vagy: azokhoz való hozzáférés biztosítása) sérti-e a személyes adatok védelméhez fűződő jogot. III.2.2. A jogos érdek vizsgálata a Térkép elérhetőségének a Cikkekben való közzététel vonatkozásában (68) Amint azt a Hatóság korábban már megállapította, az Ügyfél nem a Cikkek közlésével valósított meg adatkezelést, hanem azáltal, hogy a Cikkekben közzétette a Térkép elérhetőségét és ezáltal hozzáférést biztosított az érintettek személyes és különleges adataihoz. Éppen ezért a jogos érdeknek sem a Cikkek közlésével összefüggésben kell fennállnia, hanem – összhangban a bírósági gyakorlattal17 – arra vonatkozó jogszerű jogos érdeknek kell azonosítani, hogy a Térkép elérhetőségének közzétételével biztosította közel kétszázezer érintett személyes adatainak és politikai véleményének megismerését. (69) A Hatóság rögzíti, hogy az Ügyfél a jelen adatvédelmi hatósági eljárás során nem csatolt érdekmérlegelési tesztet. Az Ügyfél 2026. január 5-én kelt válaszában jogos érdekként minden személyes adat vonatkozásában – a sajtószabadságot, véleménynyilvánítás szabadságát, nyilvánosság tájékoztatását jelölte meg. A jogos érdek azonosítása körében figyelembe vehető az Ügyfél azon, az Smtv. 10. §-án alapuló nyilatkozata, hogy „a következetes ítélkezési gyakorlat és az Alkotmánybíróság számos határozatában is azt az alapelvet tekinti követendőnek, mely szerint a sajtó feladata a hatóságok és a közvélemény figyelmének a felkeltése a közérdeklődésre számot tartó ügyekben.” Az Ügyfél továbbá előadta azt is, hogy „a Tisza Párt adatkezeléseivel kapcsolatos botrányokhoz kapcsolódik az elmúlt időszak legszélesebb körű közérdeklődésre számot tartó közéleti vitája. A közéleti vita résztvevői a TISZA Párt adatbázisában szereplő személyek is. A cikk témája hozzájárul a fenti közéleti vitához. (…)” Az Ügyfél e nyilatkozatában közölte a Hatósággal azt is, hogy a Térképet nem ő hozta nyilvánosságra, „az bárki által hozzáférhető volt.” 15 Így például a 3051/2022. (II. 11.) AB határozat [57] bekezdéspontja vagy a 3038/2024. (II. 9.) AB határozat AB határozat [56] bekezdéspontja. 16 3203/2025. (VI. 23.) AB határozat AB határozat [53] bekezdéspontja 17 Kfv.37.978/2021/10. számú ítélet [163] bekezdéspontja: „a Kúria kiemeli, mindig az adott konkrét helyzetre, tevékenységre vonatkozóan kell vizsgálni a jogos érdeket (…)” (70) Jelen eljárásban a Hatóságnak azt a jogkérdést kell eldöntenie, hogy az Ügyfél vizsgált adatkezelési tevékenysége (a Térkép elérhetőségének a Cikkekben való közzététele és ezáltal hozzáférés biztosítása közel kétszázezer érintett személyes és különleges adatához) esetében jogszerű jogos érdekként alkalmazható-e a sajtószabadság gyakorlása és a véleménynyilvánítás szabadsága. A Hatóság szerint nem elégséges az, hogy az Ügyfél önmagában felhívja a sajtószabadságot és a véleménynyilvánítás szabadságát a jogos érdek körében, hanem az is szükséges, hogy megfelelő érvek támasszák alá azt, hogy az Ügyfél adatkezelése mögött a sajtószabadság gyakorlása jogszerű jogos érdekként áll, minthogy a joggyakorlat azt a követelményt fogalmazza meg az adatkezelővel szemben, hogy a ténylegesen létező jogos érdekét precíz és indokolt módon képes legyen alátámasztani. (71) Az Ügyfél az Smtv. 10. §-án alapuló nyilatkozatában nem adott elő semmilyen, arra vonatkozó érvet, hogy a Térkép elérhetőségének közzétételén keresztül közel kétszázezer személy nevéhez, lakcíméhez, telefonszámához, email címéhez, illetve a lakcím geolokációs koordinátájához, valamint politikai véleményéhez való hozzáférés biztosítása miért tartozna az „országos közéleti ügy” vagy „jelentőséggel bíró esemény” fordulat alá. Az Ügyfél a nyilatkozatában azt mutatta be, hogy a Cikkek egy közérdeklődésre számot tartó ügyben születtek, a Cikkek témája hozzájárul a közéleti vitához. A Hatóság kiemeli, hogy még abban az esetben is, ha a Cikkek egy közérdeklődésre számot tartó ügyet mutatnak, ez önmagában nem elégséges ahhoz, hogy a sajtószabadság gyakorlása az Ügyfél adatkezelésének jogszerű jogos érdeke legyen, hiszen nem a Cikkek közlésével, hanem azokban a Térkép elérhetőségének közzétételével valósított meg adatkezelést. A Hatóság szerint egy politikai párt szimpatizánsainak név, lakcím, telefonszám, email cím, valamint a lakcím geolokációs koordinátája adataihoz való hozzáférés biztosítása semmiképp sem tekinthető közérdeklődésre számot tartó eseménynek. A Hatóság álláspontja szerint a Térkép elérhetőségének a Cikkekben való közzététele meghaladja a közügyről szóló tudósítás kereteit. A Hatóság megállapította, hogy a Térkép elérhetőségének közzététele nem tekinthető az Smtv. 10. §-a szerint a sajtószabadság gyakorlásának. (72) A Hatóság álláspontja szerint a jogos érdek jogszerűségének meghatározása körében az Ügyfélnek mindenekelőtt azt kellett volna figyelembe vennie, hogy a Hatóság a Közleményben rögzítette, hogy a Hatóság álláspontja szerint ellentétes az adatvédelmi követelményekkel az, ha egy cikkben a nyilvánosság számára elérhetővé válnak az eleve jogellenes adatkezeléssel érintettek személyes és különleges adatai (akár közvetett módon, tehát az adatbázisra vagy a személyes adatokat nyilvánosságra hozó honlapra mutató hivatkozás közlésével). Ezen követelmény az Ügyfél számára a Cikkek közzététele előtt ismert volt, hiszen a Cikk1-ben kifejezetten szerepelt az, hogy „a NAIH külön kiemelte: a médiaszolgáltatók sem hivatkozhatnak a kiszivárgott adatbázisra, és nem oszthatnak meg olyan linket, amely az érintettek adataihoz vezethet.” A Magyar Nemzet esetében a Cikk2 megjelenése előtti napon, 2025. november 6-án közölt cikkében írt ezen követelményről18, így tehát Cikk2 közzététele előtt ismert volt az, hogy ezzel összefüggésben milyen követelményt fogalmazott meg a Hatóság. A Cikk3 esetében szintén szerepelt a Hatóságnak ezen követelménye: „a NAIH különös figyelmet fordított a médiaszolgáltatók felelősségére is. Az állásfoglalás szerint (…) ellentétes az adatvédelmi követelményekkel, ha egy cikkben a nyilvánosság számára elérhetővé válnak az eleve jogellenes adatkezeléssel érintettek személyes és különleges adatai – akár közvetett módon, tehát az adatbázisra vagy a személyes adatokat nyilvánosságra hozó honlapra mutató hivatkozás közlésével.” 18 Idézett a Magyar Nemzeten 2025. november 6-án megjelent cikkből: „A NAIH hangsúlyozta, hogy az érintett által nyilvánosságra hozott személyes adatok – például politikai vélemény – mellett egyes további személyes adatok – lakcím, telefonszám stb. – médiaszolgáltatók általi terjesztése már jogellenesnek minősül.” (73) A jogszerű jogos érdek mérlegelése során az Ügyfélnek tekintettel kellett volna lennie az érintetteknek abból fakadóan fennálló kiszolgáltatott helyzetére, hogy mind a személyes és különleges adatainak megszerzése, mind ezen adatoknak egy adatbázisban való nyilvánosságra hozatala, valamint ezen adatok Térkép elkészítéséhez való felhasználása (és a Térkép nyilvánosságra hozatala) bűncselekménynek minősülhet, hiszen ezen jogsértések nyilvánvalóan messze túlmutatnak azon, hogy egy (vagy több) ismeretlen kilétű adatkezelő megsértette az általános adatvédelmi rendeletnek az adatkezelőre vonatkozó előírásait. Az Ügyfélnek már csak azért is figyelembe kellett volna vennie ezen körülményeket a jogos érdek jogszerűségének mérlegelésekor, mivel a Cikk1-ben kifejezetten szerepelt az, hogy „az érintettek nem önként hozták nyilvánosságra személyes adataikat, hanem egy adatbiztonsági hiányosságot kihasználó jogsértő személy miatt kerültek kiszolgáltatott helyzetbe.” A Cikk2 esetében is tudomással rendelkezett ezen követelményről, hiszen a Magyar Nemzeten egy nappal korábban, 2025. november 6-án megjelent – a Hatóság Közleményét bemutató cikkében az szerepelt, hogy „ezenfelül a médiaszolgálatóknak, hogy az érintettek kiszolgáltatott helyzetben vannak, hiszen nem ők hozták nyilvánosságra adataikat, hanem az adatbiztonsági hiányosságot kihasználó jogsértő személy.” Továbbá a Cikk3 esetében is tisztában volt ezen követelménnyel, hiszen habár – Cikk1-el és Cikk2-vel szemben magában a Cikk3-ban nem jelent meg hasonló szövegrész, azonban a Cikk3-ban hivatkozik a Közleményre19, illetve több szövegrészt is idéz abból, így tehát a Közleményben foglalt adatvédelmi követelmények ismertek voltak az Ügyfél előtt már a Cikk3 megjelenését megelőzően is. (74) Az Ügyfél nyilatkozatával szemben a Hatóság szerint „a Tisza Párt adatbázisában szereplő személyek” nem tekinthetőek „a Tisza Párt adatkezeléseivel kapcsolatos botrányokhoz kapcsolódó közéleti vita” „részvevőinek”, avagy a Ptk. 2:44. §-ára hivatkozással „közéleti szereplőnek”, hanem az érintettek ezen potenciális bűncselekmény áldozatai. A Hatóság ezzel összefüggésben rámutat arra, hogy az Ügyfél helytelenül vont le arra vonatkozó következtetést, hogy az érintettek aktív közéleti szereplőkké váltak azon egyszerű ténynél fogva, hogy érintettjei voltak a Tisza Párt adatkezeléseit érintő adatszivárgásnak. Az érintetteknek a Térképen megjelenő személyes és különleges adatai ugyanis az érintetteknek nem az önkéntes hozzájárulásuk útján kerültek nyilvánosságra, így nem a saját elhatározásuk révén váltak a közéleti vita alakítóivá, hanem a Tisza Párt adatkezeléseit érintő adatszivárgáshoz kötődő negatív következménye volt az, hogy a Térképen keresztül bárki megismerhette az adataikat. Az Ügyfél a nyilatkozatában nem igazolta azt sem, hogy az érintettek mindegyike korábban a nyilvánosság előtt vállalta politikai véleményét. A Hatóság álláspontja szerint azonban, ha az Ügyfél által igazolható módon szerepelne is olyan érintett az adatbázisban, aki közszereplőnek tekinthető, az általa korábban nyilvánosságra hozott politikai véleménye mellett a magánszférára vonatkozó személyes adatainak (lakcím, telefonszám, e-mail cím) nyilvánosságra hozatala már ellentétes az általános adatvédelmi rendelet követelményeivel. (75) A jogszerű jogos érdek meghatározásának körében továbbá hangsúlyos szempont az is, hogy a személyes és különleges adatoknak – ismeretlen személy általi – Térképen keresztül történő nyilvánosságra hozatala nem csak az érintettek adatvédelmi jogaikra, hanem a magánélet, családi élet és otthon tiszteletben tartásához való jogára is jelentős negatív hatással járhat együtt, minthogy ezáltal bárki számára könnyen megismerhetővé vált a nevük, a lakcímük, telefonszámuk, így pedig egyszerűvé vált a velük való – adott esetben zavaró, zaklató vagy egyéb módon sértő – kapcsolatfelvétel. Az Ügyfélnek a Térkép elérhetőségének közzétételével összefüggő döntéshozatala során figyelembe kellett volna vennie az érintett 19 Idézett a Cikk3-ból: „a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) csütörtöki állásfoglalásában világossá tette (…)”. jogaira gyakorolt szélesebb körű negatív hatásokat A Hatóság szerint az Ügyfélnek azt kellett volna mérlegelnie, hogy külön-külön mindazon (közel) kétszázezer érintett vonatkozásában, akiknek magánszférára vonatkozó személyes adatai és politikai véleménye megismerhetővé vált a Cikkeken keresztül, a Cikkek közlésének időpontjában kizárható-e az, hogy nem fog sérülni a magánélet, családi élet és otthon tiszteletben tartásához való joga. A Hatóság szerint észszerűen nem lehetséges nagyszámú érintett vonatkozásában adatkezelési tevékenység potenciális negatív hatásait előre teljességgel kizárni. (76) A Hatóság ezzel összefüggésben is kiemeli, hogy ezen körülmény az Ügyfél előtt ismert volt, hiszen a Cikk1 kifejezetten tartalmazta ezt a követelményt20, illetve a Magyar Nemzet a november 6-ai cikkében szintén kitért erre a körülményre21. Az Ügyfél a Cikk3 esetében is tisztában volt ezen követelménnyel, figyelemmel arra, hogy Cikk3 több szövegrészt is idéz a Hatóság Közleményéből, ami azt mutatja, hogy a Közlemény tartalma a Cikk3 közzététele előtt is ismert volt az Ügyfél számára. (77) Emellett az Ügyfélnek a jogszerű jogos érdek meghatározása szempontjából figyelemmel kellett volna lennie arra is, hogy a Térkép létezéséről elsőként beszámoló Index kifejezetten nem kívánta közzétenni a cikkben a Térkép elérhetőségét, illetve arra kérte az olvasóit, hogy ők se próbáljanak meg rákeresni a Térképre. Az Ügyfél tudomással bírt az Index cikkéről, hiszen a Cikk1-ben és a Cikk2-ben linkelte is az Index-en korábban megjelent cikket, míg a Cikk3-ban pedig hivatkoztak ezen Index cikkre. Minthogy az Ügyfél és az Index kiadója egymással megegyező médiaszolgáltatási tevékenységet végeznek (internetes hírportál üzemeltetése) és a Cikkek és az Index-en megjelent cikk témája azonos (a Térkép létezéséről szóló tájékoztatás), ezért a jogszerű jogos érdek fennálltának mérlegelése során az Ügyfélnek tekintetbe kellett volna vennie azt, hogy egy az Index kiadója a korábban megjelent cikkében jogszerűtlennek tartotta a Térkép elérhetőségének közlését. (78) Ugyanakkor a Hatóság álláspontja szerint a jogszerű jogos érdek meghatározásában annak nincs egyáltalán szerepe, hogy a Térképet nem az Ügyfél hozta nyilvánosságra, az bárki számára elérhető volt. Amint azt a Hatóság korábban kiemelte, a Térkép nyilvánosságra hozatala bűncselekménynek minősülhet. Az, hogy egy teljesen más adatkezelési tevékenység esetében az Ügyfél nem követett el bűncselekményt, nincs semmilyen hatással arra, hogy az önálló adatkezelési tevékenyégének betudható, a Cikkekben a Térkép elérhetőségének közzétételén keresztül a személyes és különleges adatokhoz hozzáférés biztosítása vonatkozásában fennáll-e a jogszerű jogos érdeke. A Hatóság szerint azon körülményre hivatkozva, hogy megalapozottan feltételezhetően bűncselekmény elkövetése útján keletkezett Térkép bárki számára elérhető, nem lehet negligálni a fenti adatvédelmi követelményeket az Ügyfél önálló adatkezelési tevékenysége vonatkozásában, hiszen ennek ellenére is az érintettek kiszolgáltatott helyzete, a magánélet, családi élet és otthon tiszteletben tartásához való joga sérelmének közvetlen veszélye fennáll, amely aláássa a jogszerű jogos érdek fennálltát. (79) A Hatóság szerint mindezen körülmények értékelése alapján az Ügyfélnek fel kellett volna ismernie azt, hogy nincs jogszerű jogos érdeke arra, hogy a Térkép elérhetőségének közzétételével hozzáférést biztosítson közel kétszázezer érintett személyes és különleges adataihoz, így figyelemmel – az Smtv. 4. § (3) bekezdésére figyelemmel – a sajtószabadság 20 Idézett a Cikk1-ből: „az interaktív térkép megjelenése tovább növeli az érintettek kockázatát, hiszen az adatok között nemcsak nevek, hanem e-mail-címek és pontos lakcímek is szerepelnek. Ez lehetőséget adhat zaklatásra, megfélemlítésre vagy akár fizikai visszaélésekre is.” 21 Idézett a Magyar Nemzeten 2025. november 6-án megjelent cikkből: „a személyes adatok felhasználásával kapcsolatban az adatkezelőknek fokozottan oda kell figyelniük az érintettek magánéletének, családi életének és otthonának tiszteletben tartásához fűződő jogára is, tartózkodva a személyes adatok zavaró, zaklató módon történő felhasználásától.” gyakorlása és a véleménynyilvánítás szabadsága nem szolgálhat jogos érdekként ezen adatkezelési tevékenységére. (80) Fent kifejtettekre tekintettel a Hatóság megállapította, hogy az Ügyfél nem tudta precíz és indokolt módon alátámasztani azt, hogy az adatkezelés megkezdésének időpontjában vagyis a Cikkek közzétételekor – tényleges, jogszerű jogos érdekkel rendelkezett. ## (81) A Hatóság mindezek alapján megállapította, hogy az Ügyfél nem rendelkezett jogszerű jogos érdekkel ahhoz, hogy a Térkép elérhetőségét a Cikkekben közzétegye és ezáltal hozzáférést biztosítson az érintettek személyes és különleges adataihoz. (82) Amint azt a Hatóság korábban rögzítette, jogszerű jogos érdek hiányában nem lehet mérlegelni azt, hogy az Ügyfél adatkezelése szükséges volt-e a jogos érdek érvényesítéséhez, illetve az általa végzett adatkezelés arányosnak tekinthető-e a jogos érdek vonatkozásában. Így például az ügyféli nyilatkozatban megjelölt 13/2014. (IV. 18.) AB határozat és 7/2014. (III. 7.) AB határozata abban az esetben lehetne releváns, amennyiben jogszerű jogos érdek fennáll és így tehát annak további vizsgálata indokolt, hogy a személyes és különleges adatokhoz hozzáférés biztosítása szükséges-e a közérdeklődésre számot tartó esemény bemutatásához. Ugyancsak a jogszerű jogos érdek alapján tudná a Hatóság azt vizsgálni, hogy a Térkép elérhetőségének közlése és ennek érdekében okozott alapjogsérelem súlya mennyiben állnak arányban egymással. Mivel a Hatóság a fentiek szerint jogos érdek hiányát állapította meg, ezért a Hatóságnak nem volt lehetősége arra, hogy az adatkezelés szükségességét és arányosságát vizsgálja. (83) A Hatóság végezetül megjegyzi, a jogos érdek hiánya nem azt jelenti, hogy az Ügyfél a sajtószabadság gyakorlása útján ne tájékoztathatta volna az olvasókat ezen, kiemelt közérdeklődésre számot tartó témáról. A Hatóság szerint – mint ahogy más médiaszolgáltatók, így például jelen határozatban hivatkozott Index – a Térkép elérhetőségének közzététele nélkül beszámolhatott volna a Térkép létezéséről. ## (84) A Hatóság mindezek alapján hivatalból megállapítja, hogy az Ügyfél a Cikk 1-ben és a ## Cikk2-ben a Térképre mutató link közzétételével, valamint a Cikk3-ban a Térkép nevét tartalmazó kép közzétételével megfelelő jogalap nélkül biztosított hozzáférést az érintettek– a Térképen keresztül elérhető – nevéhez, lakcíméhez, telefonszámához, email címéhez, illetve a lakcím geolokációs koordinátájához, valamint a politikai véleményéhez, ezzel megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését. (85) A Hatóság a megfelelő jogalap hiánya körében figyelembe vette azt is, hogy az Ügyfél néhány órán belül módosította mindhárom cikk tartalmát, és Cikk2-ben kifejezetten elismerve azt, hogy az adatvédelmi jogi szempontok felülírhatják a sajtószabadság gyakorlását és a véleménynyilvánítás szabadságát22. A Hatóság szerint az Ügyfél eljárása azt mutatja, hogy az Ügyfél felismerte azt, hogy a Térkép elérhetőségének közzétételével megvalósított adatkezelése ellentétes az általános adatvédelmi rendelettel és ahhoz nem rendelkezik megfelelő jogalappal. III.3. A különleges adatokat érintő adatkezelési tevékenység jogszerűségének értékelése 22 Idézett a Cikk2-nek módosított szövegéből: „A térképre, amit a NAIH állásfoglalása szerint nem közölhetünk, hiszen azzal adatkezelőkké válnánk, az Index bukkant rá.” Ezen mondatban az „amit a NAIH állásfoglalása szerint nem közölhetünk” szövegrész egy link volt, amelyre kattintva a Magyar Nemzet egy nappal korábbi cikke volt elérhető, amelyben a Magyar Nemzet részletesen bemutatta a Közleményt. (86) Az általános adatvédelmi rendelet 9. cikk (1) bekezdése alapján a különleges adatok egyik kategóriája a politikai vélemény. Amint azt a Hatóság jelen határozat I.1. bemutatta, minthogy a Térkép a Tisza Párthoz kapcsolódó érintettek személyes adatait tartalmazza, ezért a Térkép alapján következtetést lehetett levonni az érintett politikai véleményére. Az Ügyfél azáltal, hogy a Cikkekben közzétette a Térkép elérhetőségét, hozzáférést biztosított az érintettek politikai véleményéhez is. (87) Természetüknél fogva a különleges adatok kezelése jelentős kockázatot hordozhat az érintettre nézve, mivel ezen kategóriába tartozó adatok kezelése komoly hatást gyakorolhat az érintett alapvető jogaira és szabadságaira. Ebből fakadóan az általános adatvédelmi rendelet szigorúbb szabályok betartása mellett, meghatározott esetekben teszi lehetővé a különleges adatok kezelését. Az általános adatvédelmi rendelet kiindulópontja az, hogy a különleges adatok kezelése tilos [általános adatvédelmi rendelet 9. cikk (1) bekezdés], majd ezt követően általános adatvédelmi rendelet 9. cikk (2) bekezdése meghatározza azokat esetköröket, amelyek valamelyikének teljesülése esetén a különleges adat kezelése jogszerű lehet. (88) Ugyanakkor – amint arra a Hatóság jelen határozat III.2. pontjában már utalt – az adatkezelés jogszerűségéhez nem elegendő az, hogy az adott adatkezelés esetében teljesül az általános adatvédelmi rendelet 9. cikk (2) bekezdésének esetköre: az adatkezelőnek az általános adatvédelmi rendelet 6. cikk (1) bekezdés szerinti jogalappal is rendelkeznie kell. Az általános adatvédelmi rendelet 9. cikk (2) bekezdése ugyanis nem jelent felmentést a 6. cikk (1) bekezdése szerinti követelmények alól, hanem – a különleges adatok kiemelt védelméből fakadóan – ezen esetköröknek többletkövetelményként kell érvényesülniük a konkrét adatkezelési tevékenység vonatkozásában. Ebből fakadóan a különleges adatok kezelésére alkalmazni kell – többek között – az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontjának fenti követelményeit is. (89) Mindezek alapján a Hatóság rögzíti, hogy a különleges adatok kezeléséhez az adatkezelőnek egyrészt rendelkezniük kell az általános adatvédelmi rendelet 6. cikk (1) bekezdése szerinti valamely jogalappal, másrészt – konjunktív feltételként – az általános adatvédelmi rendelet 9. cikk (2) bekezdésének valamely esetkörének is teljesülnie kell. Abban az esetben, ha az adatkezelők nem képesek igazolni azt, hogy az adatkezelés során fennáll az általános adatvédelmi rendelet 9. cikk (2) bekezdésének valamely esetköre, akkor a 9. cikk (1) bekezdés szerinti tilalom érvényesül (vagyis a különleges adat kezelése tilos) és az adatkezelő a különleges adatok kezelésével összefüggésben ezen rendelkezést is megsérti. (90) Figyelemmel arra, hogy jelen határozat indokolásának III.2. pontjában a Hatóság megállapította, hogy az Ügyfél nem rendelkezett az általános adatvédelmi rendelet 6. cikk (1) bekezdésének megfelelő jogalappal a Térkép elérhetőségének a Cikkekben való közzétételéhez, ezért a különleges adat kezelésének ezen konjunktív feltétele nem teljesült. (91) A Hatóság ugyanakkor megjegyzi, hogy az általános adatvédelmi rendelet 9. cikk (2) bekezdésének egyik esetköre sem alkalmazható az Ügyfél azon adatkezelésére, hogy a Cikkekben közzétette a Térkép elérhetőségét és ezáltal hozzáférést biztosított közel kétszázezer érintett politikai véleményéhez. A Hatóság szerint az Ügyfél ezen adatkezelési tevékenységéhez nyilvánvalóan nem rendelkezett valamennyi érintett kifejezett hozzájárulásával [9. cikk (2) bekezdés a) pont szerinti esetkör], illetve az Ügyfél a nyilatkozatában az adatkezelése jogalapként eleve a jogos érdeket és nem pedig a hozzájárulást jelölte meg. Az általános adatvédelmi rendelet 9. cikk (2) bekezdés e) pontja szerinti esetkör azért nem vonatkozhat az Ügyfél adatkezelésére, mivel jelen határozat indokolás I.1. pontjában bemutatott tényállás, illetve a Hatósághoz érkezett kimagasló számú kérelem és beadvány alapján egyértelmű, hogy nem az érintettek hozták nyilvánosságra a Térképen keresztül megismerhető politikai véleményüket, hanem a Térképet készítő, ismeretlen kilétű adatkezelő. Az általános adatvédelmi rendelet 9. cikk (2) bekezdés g) pont szerinti esetkör vonatkozásában felmerülhet a sajtószabadság gyakorlása és a véleménynyilvánítás szabadsága, mint olyan jelentős közérdek, amely esetleg megalapozhatná az Ügyfél vizsgált adatkezelést, feltéve, hogy ez arányos az elérni kívánt céllal és tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát. Jelen határozat indokolás III.2. pontjában kifejtett érvek miatt ugyanakkor a sajtószabadság gyakorlása és a véleménynyilvánítás szabadsága a vizsgált adatkezelési tevékenység esetében nem minősül jogszerű jogos érdeknek, így nyilvánvalóan az Ügyfél vizsgált adatkezelése tekintetében fel sem merülhet az, hogy a sajtószabadság gyakorlása vagy a véleménynyilvánítás szabadsága jelentős közérdeknek minősüljön. A Hatóság rögzíti, hogy az általános adatvédelmi rendelet 9. cikk (2) bekezdésének többi esetköre egyáltalán nem értelmezhető az Ügyfél vizsgált adatkezelése vonatkozásában. (92) A fentiek alapján megállapítható, hogy az általános adatvédelmi rendelet 9. cikk (2) bekezdésében szereplő esetkörök egyike sem lenne alkalmazható arra, hogy az Ügyfél a Térkép elérhetőségének a Cikkekben való közzétételén keresztül hozzáférést biztosított az érintettek politikai véleményéhez. ## (93) A Hatóság mindezek alapján megállapította, hogy a különleges adatok kezelése vonatkozásában az Ügyfél megsértette az általános adatvédelmi rendelet 9. cikk (1) bekezdését azáltal, hogy a Térkép elérhetőségének a Cikkekben való közzétételén keresztül hozzáférést biztosított az érintettek politikai véleményéhez, ugyanakkor nem biztosította az adatkezelés – 9. cikk (2) bekezdése szerinti – bármely jogszerű esetének fennállását. ## IV. Jogkövetkezmények IV.1. A Hatóság által megállapított jogsértések miatt alkalmazott jogkövetkezmények (94) A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján az Ügyfelet elmarasztalja amiatt, mert a Cikkekben közzétette a Térkép elérhetőségét és ezáltal hozzáférést biztosított közel kétszázezer érintett nevéhez, lakcíméhez, telefonszámához, email címéhez, illetve a lakcím geolokációs koordinátájához, valamint a politikai véleményéhez, megsértve ezzel az általános adatvédelmi rendelet 6. cikk (1) bekezdését. Emellett tekintettel arra, hogy a politikai vélemény vonatkozásában nem biztosította az adatkezelés – az általános adatvédelmi rendelet 9. cikk (2) bekezdése szerinti – bármely jogszerű esetének fennállását, ezért az Ügyfél megsértette az általános adatvédelmi rendelet 9. cikk (1) bekezdését. (95) A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés f) pontja alapján megtiltja, hogy az Ügyfél a Cikkekben ismételten közzétegye a Térkép elérhetőségét (a Térképre mutató linket, illetve a Térkép nevét tartalmazó képet). (96) Amennyiben a Hatóság jogsértést állapít meg az adatvédelmi hatósági eljárásban, az általános adatvédelmi rendeletben és az Infotv.-ben meghatározott jogkövetkezményeket alkalmazhatja. Ezek közé tartozik az adatvédelmi bírság is, melyekről a Hatóság az általános adatvédelmi rendeletben biztosított szabad mérlegelése alapján önállóan vagy más jogkövetkezmény mellett, hivatalból dönt. (97) A Hatóság megvizsgálta, hogy indokolt-e az Ügyféllel szemben adatvédelmi bírság kiszabása. A Hatóság a bírság kiszabásának szükségessége tekintetében az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. § előírásai alapján mérlegelte az ügy összes körülményét és az Infotv. 61. § (1) bekezdés a) pontjára figyelemmel az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja alapján bírság kiszabása mellett döntött. IV.2. Adatvédelmi bírság megállapítása IV.2.1. Az Ügyfél bírságolással szankcionálható magatartásának meghatározása (98) Figyelemmel az Európai Adatvédelmi Testületnek az általános adatvédelmi rendelet szerinti közigazgatási bírságok kiszámításáról szóló 4/2022. számú iránymutatására (a továbbiakban: ## Bírság Iránymutatás), a Hatóság a bírságolás körében elsőként az Ügyfél bírsággal szankcionálható magatartását határozta meg. (99) A Hatóság ezzel összefüggésben megállapította, hogy az Ügyfél három adatkezelési tevékenységet végzett, hiszen a Cikk1 az Origo-n jelent meg 2025. november 7-én 16 óra 47 perckor, a Cikk2 a Magyar Nemzeten jelent meg 2025. november 7-én 16 óra 56 perckor, míg a Cikk3 a Riposton jelent meg 2025. november 7-én 17 óra 23 perckor. Ugyanakkor az Ügyfélnek jelen adatvédelmi hatósági eljárás tárgyát képező adatkezelési tevékenységei azonosak voltak: a Cikkekben közzétette a Térkép elérhetőségét és ezáltal biztosított hozzáférést az érintettek személyes és különleges adataihoz. Továbbá a Hatóság mindhárom Cikk vonatkozásában ugyanazon jogsértést állapította meg: az Ügyfél jogellenes adatkezelésével az általános adatvédelmi rendelet két különböző rendelkezését, az érintettek nevéhez, lakcíméhez, telefonszámához, email címéhez, illetve a lakcím geolokációs koordinátájához, valamint a politikai véleményhez való hozzáférés biztosításával a 6. cikk (1) bekezdését, illetve a politikai vélemény vonatkozásában pedig a 9 cikk (1) bekezdését sértette meg. (100) A Hatóság úgy értékelte, hogy az Ügyfél által megvalósított adatkezelési tevékenységek kontextusban szorosan kapcsolódnak egymáshoz, egy koherens magatartásnak minősülnek. Ezért a Térkép elérhetőségének a Cikkekben való közzétételével összefüggésben végzett adatkezelési tevékenységek „kapcsolódónak” tekintendők, és ugyanazt a magatartást testesítik meg. Habár az Ügyfél magatartása az általános adatvédelmi rendelet több rendelkezését is sérti, azonban az egyik rendelkezést nem zárja ki és nem írja felül a másik rendelkezés alkalmazhatósága. Ebből következően a Hatóság az Ügyfél jogellenes adatkezelése miatt fennálló jogsértéseket és azok súlyosságát valamennyi Cikkre kiterjedően, együttesen értékeli. IV.2.2. Az adatvédelmi bírság kiszabásának indokoltságát megalapozó körülmények (101) A Hatóság megállapította, hogy az Ügyfél az egyik alapvető adatkezelői kötelezettségét sértette meg, szándékos magatartással, illetve az alábbiakban részletezett körülmények értékelése alapján a Hatóság magas súlyúnak értékelte a jogsértéseket, emiatt az Ügyféllel szemben indokolt az adatvédelmi bírság kiszabása. (102) A Hatóság a jogsértés jellege körében azt értékelte, hogy az Ügyfél az egyik alapvető adatkezelői kötelezettségét sértette meg; nem rendelkezett megfelelő jogalappal az adatkezelésekhez. A Hatóság jelen határozat III.2. és III.3. pontjában megállapította, hogy sem a személyes adatok, sem a különleges adatok vonatkozásában nem rendelkezett megfelelő jogalappal az Ügyfél ahhoz, hogy a Térkép elérhetőségének a Cikkekben való közzétételén keresztül hozzáférést biztosítson az érintettek adataihoz [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]. (103) A Hatóság továbbá azt is megállapította, hogy az Ügyfél magas súlyosságú jogsértéseket követett el. Amint az a Hatóság jelen határozat I.1. - és III.1.1. pontjában megállapította, az Ügyfél jogsértő adatkezelési tevékenységeivel érintett személyek száma jelentős, hiszen közel kétszázezer érintett személyes és különleges adataira terjedt ki [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]. (104) A Hatóság értékelése szerint a jogsértések magas súlyosságát támasztja alá az is, hogy amint azt a Hatóság jelen határozat I.1. és III.1.1. pontjában megállapította – a jogsértések az érintettek magánszférára vonatkozó személyes adataira (név, e-mail cím, telefonszám, lakcím, lakcím geolokációs koordinátája), valamint politikai véleményre utaló különleges adatukra terjedt ki [általános adatvédelmi rendelet 83. cikk (2) bekezdés g) pont]. Utóbbi adat az általános adatvédelmi rendelet 9. cikk (1) bekezdése alapján különleges személyes adatnak minősül, ezért annak kezelése magasabb kockázattal jár az érintettek számára. Az érintettek magánszférára vonatkozó adatainak – különösen a lakcímüknek és a lakcímükre vonatkozó helymeghatározó adatoknak –, valamint a politikai véleményükre utaló adataiknak a terjesztése ugyanis figyelembe véve a Cikkek közzététele időpontjában – az országos parlamenti választások előtt öt hónappal – fennálló erőteljes politikai polarizációt számos potenciális negatív következménnyel járhat az érintettekre nézve (célzott zaklatás, társadalmi megbélyegzés, hátrányos megkülönböztetés, megfélemlítés, munkahelyi vagy családi konfliktusok, hátrányok, személyes biztonság veszélye, szabad politikai véleménynyilvánítás csorbulása), így a Hatóság úgy értékelte, hogy a pártot támogató érintettek személyes adatainak jogellenes hozzáférhetővé tétele – azon túlmenően, hogy az a 9. cikk (1) bekezdése alapján egyébként is különleges személyes adatokat érintett -, magas súlyosságú jogsértésnek minősül amiatt is, mivel az egy politikailag felfokozott, választások előtti időszakban történt meg. (105) A Hatóság a jogsértés magas súlyossága körében vette figyelembe azt is, hogy az Ügyfél jogsértése szándékos volt [általános adatvédelmi rendelet 83. cikk (2) bekezdés b) pont]. Amint azt jelen határozat III.2.2. pontjában a Hatóság bemutatta, az Ügyfél előtt egyrészt ismert volt a Közlemény tartalma, a Cikk1-ben és a Cikk3-ban több olyan szövegrész szerepelt, amelyet az Ügyfél a Közleményből vett át. A Magyar Nemzet a Cikk2 megjelenése előtti napon, 2025. november 6-án cikket is közölt a Közlemény tartalmáról. A Hatóság kiemeli, hogy a Cikk1-ben és a Cikk3-ban kifejezetten szerepelt az, hogy ellentétes az általános adatvédelmi rendelettel, ha egy médiatartalmon keresztül nyilvánosság számára elérhetővé válnak érintettek személyes és különleges adatai (akár közvetett módon, tehát például személyes adatokat nyilvánosságra hozó honlapra mutató hivatkozás közlésével). Emellett az Ügyfél számára ismert volt a Térképről elsőként beszámoló Index cikk is, amelyben az Index kifejezetten úgy fogalmazott, hogy nem kívánta közzétenni a cikkben a Térkép elérhetőségét, illetve arra kérte az olvasóit, hogy ők se próbáljanak meg rákeresni a Térképre. Az Index a Közleményen alapuló további érveket is felsorolt, hogy miért tekinthető az adatvédelmi követelményekkel ellentétesnek a Térkép. Az Ügyfél tehát egyértelműen tisztában volt azon adatvédelmi követelménnyel, hogy jogsértő lehet az, ha a (Térképen keresztül) jogellenesen nyilvánosságra hozott személyes és különleges adatokhoz – akár közvetett módon – hozzáférést biztosít. Az Ügyfél ennek ellenére úgy döntött, hogy a Térkép elérhetőségét a Cikkekben közzéteszi. Mindezek alapján a Hatóság úgy ítélte meg, hogy az Ügyfél magatartása meghaladta a gondatlanság mércéjét és szándékosnak értékelte az Ügyfél jogsértését. (106) További, a jogsértések magas súlyossága körében figyelembe vett körülmény volt az, hogy az Ügyfél a Térkép elérhetőségének közzétételével kiszolgáltatott helyzetben lévő érintettek személyes és különleges adatait tette hozzáférhetővé az olvasók számára [adatkezelés jellege – általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]. Minthogy a Cikkek internetes sajtótermékben jelentek meg és nem korlátozta az azokhoz való hozzáférést23, ezért az Ügyfél lényegében valamennyi internethasználó számára biztosította annak lehetőségét, hogy a Cikkeket elolvassák és a Cikkekben közzétett linken, elérhetőségen keresztül megismerjék a Térképen keresztül nyilvánosságra hozott személyes és különleges adatokat. A Hatóság továbbá tekintettel volt arra is, hogy az Origo a „gemiusAudience” szolgáltatás adatait alapul véve az öt legolvasottabb hírportál között volt 2025. november 7én mind a „Views”, mind a „Visits” adatok tekintetében, míg a Magyar Nemzet a tizenegyedik legolvasottabb hírportál volt ugyanezen szempontokat alapul véve ezen időszakban. Habár a Ripost esetében ezen számadatok alacsonyabbak a másik két hírportálhoz képest, de a Hatóság figyelembe vett azt, hogy a „Ripost” országosan ismert márkának, „brand”-nek számít, hiszen 2021. februárig széles körben ismert nyomtatott napilapként, majd ezt követően 2022 júniusáig hetilapként jelent meg. [adatkezelés hatóköre – általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont] A Hatóság azt is értékelte, hogy a tájékoztatási tevékenység – amelynek keretén belül sor került a jogsértő adatkezelésekre az Ügyfél fő tevékenységi körének tekinthető, így még inkább elvárt, hogy tisztában legyen, illetve megfelelően alkalmazza az adatvédelmi követelményeket [adatkezelés célja általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]. IV.2.3. A bírságkiszabás során figyelembe vett súlyosbító körülmények (107) A Hatóság súlyosbító körülményként értékelte továbbá, hogy a Hatóság a jelen határozat meghozatalát megelőzően az Ügyfelet a nyilvántartása szerint az általa korábban elkövetett releváns jogsértések miatt elmarasztalta és több alkalommal adatvédelmi bírságot szabott ki vele szemben [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont]. A Hatóság súlyosbító körülményként különösen figyelembe vette azt, hogy a Hatóság az Ügyfelet jogellenes adatkezelés miatt a jelen határozat meghozatalát megelőzően összesen […] alkalommal közigazgatási bírság megfizetésére kötelezte, melyek közül a legmagasabb […] összegű volt, és a bírsággal szankcionált jogsértések három esetben különleges adatok kezelését is érintették. (108) A Hatóság súlyosító körülményként értékelte az érintettektől érkező, a Hatóság eljárásának megindítására vonatkozó kérelmek rendkívül kimagasló számát a Cikk1 vonatkozásában: a Hatósághoz több mint háromszáz adatvédelmi hatósági eljárás iránti kérelem érkezett az érintettektől amiatt, mert az Ügyfél a Cikk1-ben közzétette a Térkép elérhetőségét, ezáltal hozzáférést biztosított a személyes adatukhoz és politikai véleményükhöz. [általános adatvédelmi rendelet 83.cikk (2) bekezdés h) pont]. IV.2.4. A bírságkiszabás során figyelembe vett enyhítő körülmények (109) A Hatóság enyhítő körülményként vette figyelembe a jogsértések időtartamát [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]. Az adatkezelés időtartamának meghatározása tekintetében a Hatóság azt vette alapul, hogy az Ügyfél nem a Cikkek közlésével valósított meg adatkezelést, hanem azáltal, hogy a Cikkekben közzétette a Térkép elérhetőségét. Éppen ezért jelen hatósági eljárás tárgyát képező adatkezelési tevékenységek 23 Ilyen korlátozás lehetett volna a médiaszolgáltatók körében ismert fizetőfal („paywall”) alkalmazása, amellyel bizonyos tartalmakat csak előfizetés ellenében tesz hozzáférhetővé a felhasználók számára. időtartama ahhoz igazodik, hogy a Cikkekben meddig szerepelt a Térkép elérhetősége és nem pedig ahhoz, hogy a Cikkek jelenleg is olvashatóak az adott internetes hírportálon. Amint azt a Hatóság az I.2-I.4. pontokban bemutatta, a Hatóság ezen jogkérdésben lefolytatott bizonyítási eljárás során azt állapította meg, hogy az Ügyfél még a Cikkek megjelenése napján eltávolította a Cikkekből a Térkép elérhetőségét. Ezért a Hatóság a jogsértések súlyát csökkentő körülményként vette figyelembe azt, hogy az Ügyfél: – a Cikk1 esetében legkésőbb 1 óra 42 perccel a Cikk1 megjelenését követően eltávolította a Térképre mutató linket a Cikk1 szövegéből, – a Cikk2 esetében legkésőbb 1 óra 13 perccel a Cikk2 megjelenését követően eltávolította a Térképre mutató linket a Cikk1 szövegéből, – illetve a Cikk3 esetében azt, hogy november 7-én (21 óra 45 perc után, de pontosabban meg nem határozható időpontban) módosította a Cikk3-ban szereplő képet úgy, hogy azon ne szerepeljen a […] URL-cím. (110) A Hatóság ezzel párhuzamosan enyhítő körülményként értékelte azt is, hogy az Ügyfél nyilatkozata szerint a Cikket hány egyedi látogató olvashatta 2025. november 7-én: a Cikk1 esetében […], a Cikk2 esetében […], míg a Cikk3 esetében […] látogató. A Hatóság azt is figyelembe vette, hogy mivel a Cikk1-ből legkésőbb 1 óra 42 perccel a Cikk1 megjelenését követően, a Cikk2-ből legkésőbb 1 óra 13 perccel a Cikk2 megjelenését követően eltávolította a linket, illetve a Cikk3 esetében is még aznap módosította a Cikk3-ban szereplő képet úgy, hogy azon ne szerepeljen a […] URL-cím, ezért az egyedi látogatók egy része volt az, aki még elolvashatta a Cikkeket úgy, hogy azok még tartalmazták a Térkép elérhetőségét. (111) A Hatóság továbbá a Cikkek esetében enyhítő körülményként figyelembe vette azt is, hogy a nyilvánosan elérhető informatikai szakértői megállapítások alapján24 a Térkép 2025. november 9-én délelőtt globálisan elérhetetlenné vált (és a Térkép azóta sem érhető el). Ez a körülmény csökkenti az ügyféli jogsértés következményének súlyát, minthogy azon olvasók, akik az Ügyfél jogsértő adatkezelési tevékenysége révén megismerték a Térkép elérhetőségét, két nap elteltével már nem tudták elérni személyes és különleges adatokat tartalmazó Térképet. IV.2.5. Az általános adatvédelmi rendelet 83. cikk (2) bekezdése szerinti egyéb körülmények (112) A Hatóság semleges körülményként értékelte, hogy az Ügyfél a tényállás tisztázása során együttműködött a Hatósággal, mivel ez az együttműködés a részéről nem haladta meg a jogszabályokban foglalt kötelezettségeit [általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont]. (113) A Hatóság az elszenvedett kár mértékét semlegesnek tekintette, mivel a Hatósághoz nem érkezett olyan bejelentés, nyilatkozat, melyben bármely érintettet a jogsértések következtében bizonyítható módon kár érte volna [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]. (114) A Hatóság a fentieken túl a jogsértések körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezőket a bírság összegének meghatározása során nem vett figyelembe [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont]. 24 https://www.cyberthreat.report/p/a-tisza-vilag-doxxing-infrastrukturajanak (115) A Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdés c), d), i) és j) pontja szerinti körülményeket nem tartotta relevánsnak, mivel azok a konkrét ügy kapcsán nem értelmezhetők. IV.2.6. A közigazgatási bírság összegének meghatározása (116) A Hatóság rögzíti, hogy jelen határozat IV.1.1. pontjában kifejtettekre tekintettel, a bírság összegének meghatározása során figyelembe vette az általános adatvédelmi rendelet 83. cikk (3) bekezdését. Ezen rendelkezés alapján a bírság teljes összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget. (117) Az Ügyfél által elkövetett jogsértések az adatkezelés jogszerűségére és a személyes adatok különleges kategóriáinak kezelésére vonatkozó rendelkezések megsértését jelentették, azok a GDPR 83. cikk (5) bekezdés a) pontja szerint a magasabb összegű bírságkategóriába tartozó, súlyosabb jogsértésnek minősülnek. Ezen jogsértések megállapítása esetén a bírság felső határa 20 millió euró vagy a vállalkozás éves árbevételének 4%-a, attól függően, hogy melyik a magasabb. A Hatóság – figyelemmel a Bírság Iránymutatásra25 –, az Ügyfél legutóbbi, nyilvánosan elérhető 2024. évi konszolidált éves beszámolójában26 szereplő eredménykimutatását vette figyelembe a bírság összegének megállapítása során. Ez alapján az Ügyfél 2024. évi nettó árbevételének (70.279.652.000 forint) 4 %-a 2 811 186 080 forint, amely 7 853 133 eurónak27 felel meg, azaz nem éri el a GDPR 83. cikk (5) bekezdése által meghatározott statikus bírságmaximumot, a 20 000 000 eurót. Ezért az Ügyfél a jelen ügyben – figyelembe véve az általános adatvédelmi rendelet 83. cikk (3) bekezdését is – legfeljebb 20 000 000 eurónak megfelelő összegű bírsággal sújtható. (118) A Hatóság a fentebb foglaltak figyelembevételével, a bírság összegének meghatározásával kapcsolatos mérlegelési jogkörében a rendelkező részben foglaltak szerint döntött 50 000 000 forint (139 677 euró) összegű bírság kiszabásáról ezen jogsértések vonatkozásában. A kiszabott bírság az éves nettó árbevétel 0,07%-a, amely alacsonyabb, mint a GDPR 83. cikk (5) bekezdése szerinti, 20 000 000 eurós bírságmaximum. Ebből következően az Ügyfél számára nem jelent aránytalan terhet a megállapított bírság összege, ugyanakkor a kiszabott bírság az Ügyféllel szemben a jelen határozat meghozatalát megelőzően megállapított közigazgatási bírságok összegére is figyelemmel a jogsértések súlyához igazodóan arányos és visszatartó erejű. A kiszabott bírság továbbá ösztönző erővel bír arra, hogy a jövőben fokozott figyelemmel legyen adatkezelési tevékenységeire, azokat az általános adatvédelmi rendelet rendelkezéseivel összhangban végezze és a jövőben tartózkodjon a hasonló jogsértésektől. (119) A Hatóság – az általános adatvédelmi rendelet 83. cikk (1) bekezdésére tekintettel – a bírság arányossága körében figyelembe vette azt is, hogy az Ügyfélhez hasonlóan médiaszolgáltatási tevékenységet végző adatkezelőkkel szemben korábban mekkora összegű bírságot szabott ki. A Hatóság megállapítja, hogy jelen ügyben a jogsértés magas súlyára és a súlyosító körülményekre tekintettel – emellett figyelembe véve az enyhítő körülményeket is – az ötvenmillió forint összegű bírság nem tekinthető kirívónak vagy eltúlzottnak a korábbi határozatai esetében megállapított bírságösszegekhez képest (a 25 Bírság Iránymutatás 129-130. pontjai 26 https://e-beszamolo.im.gov.hu/oldal/beszamolo_megjelenites, letöltés időpontja: 2026. május 15. 27 2026. május 14-én érvényes MNB középárfolyama szerint 1 EUR = 357,97 HUF, forrás: https://www.mnb.hu/arfolyamtablazat?deviza=rbCurrencySelect&devizaSelected=EUR&datefrom=2026.05.14.&datetill=2026.05.14.&order=1, letöltés időpontja: 2025. május 15. Hatóság médiaszolgáltatókkal szemben […] már több alkalommal szabott ki tízmillió forint összegű bírságot). IV.3. A Határozat nyilvánosságra hozatala (120) Az Infotv. 61. § (2) bekezdés a) pontja alapján a Hatóság elrendelheti határozatának az adatkezelő azonosító adatainak közzétételével történő nyilvánosságra hozatalát, ha határozat személyek széles körét érinti, míg ugyanezen szakasz c) pont alapján abban az esetben, ha a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja. (121) Amint azt a Hatóság jelen határozatában megállapította, a jogellenes adatkezeléssel érintett személyek száma jelentős, az Ügyfél a Térkép elérhetőségének a Cikkekben történő közzétételével közel kétszázezer érintett vonatkozásában biztosított hozzáférést a személyes és különleges adataihoz. Amint azt a Hatóság jelen határozat IV.2.2. pontjában megállapította, az Ügyfél által elkövetett jogsértés magas súlyúnak tekinthető. Emellett a Hatóság a generális és a speciális prevenciót is figyelembe véve nyomatékosan fel kívánja hívni a figyelmet a médiaszolgáltatók személyes adatok kezelésére vonatkozó kötelezettségeire, továbbá a nyilvánosságot is felhasználva kíván rámutatni a személyes adatok fokozott és elvárt védelmének kiemelt jelentőségére. (122) A Hatóság mindezekre figyelemmel az Infotv. 61. § (2) bekezdés a) és c) pontja alapján hivatalból elrendelte a végleges határozatának az Ügyfél azonosító adatainak közzétételével történő nyilvánosságra hozatalát a Hatóság saját honlapján. ## V. Egyéb kérdések (123) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdései határozzák meg, illetékessége az ország egész területére kiterjed. (124) A Hatóság az Infotv. 60/A. § (1) bekezdése szerinti ügyintézési határidőt nem lépte túl. (125) A Hatóság jelen döntése az Ákr. 80.-81. §-ain és az Infotv. 61. § (1) bekezdésén alapul. A döntés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, 114. § (1) bekezdése, valamint a 116. § (1) bekezdése alapján a döntéssel szemben közigazgatási per útján van helye jogorvoslatnak. (126) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja szerint olyan jogvitában, amelyben a törvényszék kizárólagosan illetékes, a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (127) A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi CXXX. törvény 604. §-a szerint alkalmazandó, a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló 2023. évi CIII. törvény (Dáptv.) 19. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (128) A Hatóság döntésével szembeni keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésein alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (a továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és a 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (129) Ha az előírt kötelezettsége teljesítését az Ügyfél megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. Az Ákr. 133. § (1) bekezdése értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. § (1) bekezdése értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság döntésének végrehajtását a döntésben foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a Hatóság foganatosítja. Kelt: Budapest, az elektronikus aláírás és időbélyeg szerint Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár