.…………………………………………………………………………………………………………………………………………………………..

1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-3227-3/2023 Tárgy: határozat Előzmény ügyszám: NAIH-6989/2022 HATÁROZAT

## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) az

## ALDI MAGYARORSZÁG ÉLELMISZER Élelmiszer Kereskedelmi Betéti Társaság

(székhely: 2051 Biatorbágy, Mészárosok útja 2., cégjegyzékszám: 13-06-058506; a továbbiakban: Kötelezett) alkoholtartalmú italok vásárlása kapcsán 2022 nyarán kialakított és azt követően a döntés véglegessé válásáig terjedő időszakban megvalósított adatkezelési gyakorlatának a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendeletben (a továbbiakban: az általános adatvédelmi rendelet) foglalt előírásoknak való megfelelősége tárgyában 2022. augusztus 19.

## napján hivatalból megindított adatvédelmi hatósági eljárásában az alábbi döntéseket

hozza:

## 1. A Hatóság megállapítja, hogy a Kötelezett megsértette

a) az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontját; b) az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontját; c) az általános adatvédelmi rendelet 6. cikk (1) bekezdését; d) az általános adatvédelmi rendelet 12. cikk (1) bekezdését; e) az általános adatvédelmi rendelet 13. cikk (1) és (2) bekezdéseit; f) az általános adatvédelmi rendelet 32. cikk (1) és (4) bekezdéseit.

## 2. A Hatóság az 1. pontban megállapított jogsértések miatt kötelezi a Kötelezettet arra, hogy

a) az alkoholtartalmú italok vásárlása esetén az életkor ellenőrzésére irányuló adatkezelési gyakorlatát hozza összhangba az általános adatvédelmi rendelet rendelkezéseivel, valamint a fogyasztóvédelemről szóló 1997. évi CLV. törvény (a továbbiakban: Fgytv.) 16/A. § (1) és (4) bekezdéseivel akként, hogy kizárólag kétség esetén ellenőrizze a vásárlók életkorát és annak során adatrögzítést ne végezzen naplófájl szinten sem, valamint módosítsa a vonatkozó adatkezelési tájékoztatóját; b) helyezze ki minden egyes üzletében az ott megvalósuló adatkezelési tevékenységeire vonatkozó, az általános adatvédelmi rendelet 13. cikke szerinti tartalommal összeállított hatályos adatkezelési tájékoztatóját az érintettek számára jól látható helyen, könnyen hozzáférhető formában!

## 3. A Hatóság az 1. pontban megállapított jogsértések alapján, az adatkezelés jogellenessége miatt Kötelezettet hivatalból kötelezi a jelen határozat véglegessé válásától számított 30 napon belül

## 95.000.000 Ft, azaz kilencvenötmillió forint

adatvédelmi bírság megfizetésére.

## 4. A Hatóság az információs önrendelkezési jogról és az információszabadságról szóló

2011. évi CXII. törvény (a továbbiakban: Infotv.) 61. § (2) bekezdés a) pontja alapján hivatalból elrendeli a végleges határozatának a Kötelezett azonosító adatainak közzétételével történő nyilvánosságra hozatalát a) a Hatóság honlapján, továbbá b) a Kötelezett honlapjának nyitóoldalán, jól látható és könnyen hozzáférhető helyen, a határozat véglegessé válásától számított 30 napon belül, és ott legyen elérhető legalább 30 napon keresztül.

## Az adatvédelmi bírságot jelen határozat véglegessé válásától számított 30 napon belül a

Hatóság központosított bevételek beszedési célelszámolási forintszámlájára (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell átutalással megfizetni. Az összeg átutalásakor a NAIH-3227/2023 BÍRS. számra kell hivatkozni. Amennyiben a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A 2. pontban és a 4. pontban előírt kötelezettségek teljesítését a Kötelezettnek jelen határozat véglegessé válásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A 2. pontban és a 4. pontban előírt kötelezettségek nem teljesítése, az adatvédelmi bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat, a bírság és a késedelmi pótlék végrehajtását. Az eljárásban eljárási költség nem merült fel. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani elektronikusan,1 amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

## I N D O K O L Á S

## I. Eljárás menete, és a tényállás tisztázása

(1) A Hatósághoz több bejelentés is érkezett Kötelezett alkoholtartalmú italok vásárlása kapcsán kialakított új adatkezelési gyakorlatára vonatkozóan. A beadványokban jelentősen eltérő adatkezelési gyakorlatot panaszoltak az egyes üzletekben. A bejelentők állítása szerint kérésre sem adnak át adatkezelési tájékoztatót az érintetteknek, illetve azzal a pénztárosok sem rendelkeznek, így a születési dátum rögzítése kapcsán az adatkezelés jogalapja, időtartama nem ismert. (2) Bejelentők tájékoztatása alapján a Kötelezett több településen található boltjában is alkoholtartalmú italok vásárlása esetén – a pénztárnál bemondás alapján, más panasz szerint a személyazonosító igazolvány átadására kötelezés útján – rögzíti a vásárló születési idejét. Egy másik panasz szerint nem tudott a pénztáros az adatrögzítés célja és jogalapja kapcsán tájékoztatást adni, a területi vezető pedig azt jelezte az üzletvezetőnek, hogy a személyazonosító igazolvány adatainak rögzítése nem szükséges abban az esetben, ha más módon is megállapítható a vásárló nagykorúsága, ennek tényéről nem tájékoztatták a vásárlókat. Egy bejelentő azt panaszolta, hogy ő maga láthatóan elmúlt 70 éves, azonban mégis igazolnia kellett az életkorát.

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki.

(3) A határozat (1)-(2) bekezdéseiben összefoglalóan ismertetett, valamint az eljárás során a Hatósághoz később érkezett további panaszokat a Hatóság a NAIH-6989-15/2022 ügyszámon kelt feljegyzéssel tette a hivatalból indított eljárás iratanyagának részévé, azoknak az ügy megítélése szempontjából lényeges részei a határozat (52)-(57) bekezdéseiben kerültek ismertetésre. (4) A Hatóság a fentiek alapján 2022. augusztus 19. napján hivatalból a NAIH-6989-1/2022 ügyszámú feljegyzésével adatvédelmi hatósági eljárást indított annak ellenőrzése érdekében, hogy a Kötelezett által az alkoholtartalmú italok vásárlásával összefüggően kialakított adatkezelési gyakorlat megfelel-e az általános adatvédelmi rendeletben foglalt követelményeknek. (5) A Hatóság a NAIH-6989-2/2022 ügyszámú végzésében értesítette a Kötelezettet az adatvédelmi hatósági eljárás megindulásáról, valamint első alkalommal nyilatkozattételre hívta fel a Kötelezettet a tényállás tisztázása érdekében. Kötelezett a Hatóság végzését 2022. augusztus 31. napján töltötte le Cégkapujáról. (6) A Hatóság a NAIH-6989-3/2022 és a NAIH-6989-4/2022 ügyszámú végzéseivel 2022. augusztus 31. napján tartandó, az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény szerinti helyszíni szemléket rendelt el a Kötelezett véletlenszerűen kiválasztott 1186 Budapest, Cziffra György utca 7. és a 1171 Budapest, Pesti út 237/p szám alatt található üzleteiben. A szemlékről a Kötelezett előzetes értesítését mellőzte, tekintettel arra, hogy az előzetes értesítés veszélyeztette volna a tényállás tisztázását. A szemlék célja annak ellenőrzése, megfigyelése, illetve dokumentálása volt, hogy az alkoholtartalmú italok vásárlása kapcsán ténylegesen megvalósuló adatkezelési gyakorlata során a Kötelezett eleget tesz-e az általános adatvédelmi rendelet rendelkezéseinek. (7) A Hatóság 2022. augusztus 31. napján 10 óra 27 perctől 11 óra 20 percig előzetes értesítés nélküli helyszíni szemlét folytatott le a Kötelezett 1171 Budapest, Pesti út 237/p szám alatt található üzletében (NAIH-6989-5/2022 ügyszámú jegyzőkönyv). (8) A Hatóság képviselői a szemle során azt tapasztalták, hogy sem az üzlet bejáratánál, sem az üzlet előterében nem volt elhelyezve az adatkezelés lényeges körülményei kapcsán írásbeli tájékoztatás vagy figyelemfelhívó jelzés az alkoholtartalmú italok vásárlásával kapcsolatban. Az üzletet körbejárva a kasszák környékén, valamint a kasszák utáni vásárlótérben sem találtak a Hatóság képviselői figyelemfelhívó jelzést vagy az alkoholtartalmú italok értékesítéséhez kapcsolódó adatkezelési tájékoztatást, továbbá arra az üzletben, a kasszasor mögötti csomagoló részen a kijárattal szemközti oldalfalon, keretbe rögzítve elhelyezett, 2019. évi keltezésű „ADATKEZELÉSI TÁJÉKOZTATÓ (KIVONAT)” sem utalt. (9) A kasszapultokban figyelemfelhívó jelzés volt elhelyezve az értékesítési munkatársak (a továbbiakban: értékesítési munkatárs vagy pénztáros) számára, amely év, hónap szerint felirattal jelezte („2004.06. OK, 2004.07. OK, 2004.08. TILOS, 2004.09. TILOS”) az alkohol „fiatalkorúak” részére történő értékesítésének tilalmát. (10) A Hatóság képviselői megkérték arra az üzletvezetőt, hogy kísérje el őket a pénztárakhoz, hogy meggyőződhessenek az alkoholtartalmú italok vásárlásával kapcsolatos tényleges adatkezelési gyakorlatról és az értékesítési munkatársak ehhez kapcsolódó tevékenységéről, amely során a Hatóság képviselői a következőket tapasztalták. Az értékesítési munkatársak szemmel láthatóan idős, nyugdíjas korú vásárlóktól is elkérték a személyazonosító igazolványt alkoholtartalmú italok vásárlása esetén. Az igazolványok átadását követően, a születési dátumok rögzítésre, az alkoholtartalmú italok pedig értékesítésre kerültek. Előfordult olyan eset, amikor személyi azonosítóról és lakcímről szóló hatósági igazolványról (lakcímigazolványról) került rögzítésre a vásárló születési dátuma. Azon vásárlótól, akinél nem volt semmilyen igazolvány sem – pedig szemmel láthatóan időskorú volt – az értékesítési munkatárs megtagadta az alkoholtartalmú ital értékesítését. (11) A vásárlók több alkalommal is tájékoztatást kértek az értékesítési munkatársaktól azzal kapcsolatban, hogy mi az oka annak, hogy az életkorukat igazolniuk kell, miért van erre egyáltalán szükség. Az értékesítési munkatársak válaszukban elmondták, hogy meg kell bizonyosodniuk arról, hogy a vásárló betöltötte-e a 18. életévét, a személyazonosító igazolványt el kell kérniük mindenkitől, aki alkoholtartalmú italt vásárol, a születési dátumot be kell írniuk, utána engedi őket tovább a gép, adatrögzítés azonban nem történik. Volt olyan vásárló, aki aziránt érdeklődött, hogy hol kaphat bővebb tájékoztatást ezzel kapcsolatban, az értékesítési munkatárs erre azonban nem tudott választ adni, szerinte valahová ki van rakva, javasolta az üzletvezető megkérdezését. A vásárló erre nem tartott igényt, de tovább kérdezősködött, hogy amennyiben nem adja oda a személyazonosító igazolványt, akkor nem tudja megvásárolni az alkoholtartalmú italt, mire az értékesítési munkatárs igennel válaszolt. (12) Az alkoholtartalmú italok vásárlásával kapcsolatos adatkezelési gyakorlatra vonatkozó eljárásrend kapcsán a szemle jegyzőkönyv rögzíti [NAIH-6989-5/2022 ügyszámú jegyzőkönyv 6. oldal II. pont és ehhez kapcsolódóan a jegyzőkönyv 6. és 7. mellékletei], hogy az alkoholtartalmú ital vonalkódjának beolvasásakor a pénztár terminál megerősítést kér, hogy a vásárló elmúlt-e tizennyolc éves („KORH. KRIT. MEGFELEL?”). Két válaszlehetősége van: ENTER = IGEN, TÖRLÉS = NEM. A szemle jegyzőkönyv rögzíti [lásd: NAIH-6989-5/2022 ügyszámú jegyzőkönyv 6. oldal II. pont], hogy az értékesítési munkatárstól „elvárt”, hogy a Törlés gombot nyomja, mert „Nem a kasszás dolga eldönteni, hogy a vásárló elmúlt-e 18 éves.”. Ha az értékesítési munkatárs a Törlés gombot nyomja meg, akkor a kassza születési dátumot kéri rögzíteni (MMDDYYYY formátumban), ha pedig az Igen opciót választja, akkor a születési dátum megadása nélkül engedi tovább a vásárlást. A szemle során a Hatóság képviselői számára ismertetett eljárásrend szerint [lásd: NAIH-6989-5/2022 ügyszámú jegyzőkönyv 6. oldal II. pont] minden esetben fényképes igazolvány szükséges kérnie a pénztárosnak az életkor igazolására, a lakcímigazolvány erre nem megfelelő, mert nem található rajta fénykép, valamint megerősítette, hogy ránézésre idős személy esetén is szükséges az életkor ellenőrzése. A kapcsolódó eljárásrendet tájékoztatása alapján központilag kialakított belső szabályzat tartalmazza. A Hatóság képviselőjének azon kérdésére, hogy statisztikai vagy marketing célra felhasználják-e az adatokat, a Hatóság jelen lévő munkatársai azt a tájékoztatást kapták, hogy marketing célra biztosan nem, de erről a központ tud tájékoztatást adni. A helyszíni szemléről készült jegyzőkönyv mellékletét képezi – többek között – a kassza életkor ellenőrző kérdéséről készített fényképfelvétel, valamint a kassza születési dátum rögzítő felületéről készített fényképfelvétel is. (13) A Hatóság 2022. augusztus 31. napján 15 óra 37 perctől 16 óra 36 percig előzetes értesítés nélküli helyszíni szemlét folytatott le a Kötelezett 1186 Budapest, Cziffra György utca 7. szám alatt található üzletében (NAIH-6989-6/2022 ügyszámú jegyzőkönyv). (14) A Hatóság képviselői – az előző szemléhez hasonlóan – azt tapasztalták, hogy sem az üzlet bejáratánál, sem az üzlet előterében, sem a kasszák környékén, sem a kasszák utáni vásárlótérben nem volt elhelyezve írásbeli tájékoztatás vagy figyelemfelhívó jelzés az alkoholtartalmú italok vásárlásával kapcsolatos adatkezelésről. Általános adatkezelési tájékoztató sem került kihelyezésre a vásárlótérben.

(15) A kasszapultokban ugyanaz a figyelemfelhívó jelzés volt elhelyezve az értékesítési munkatársak számára, amely év, hónap szerint felirattal jelezte („2004.06. OK, 2004.07. OK, 2004.08. TILOS, 2004.09. TILOS”) az alkohol „fiatalkorúak” részére történő értékesítésének tilalmát. (16) A Hatóság képviselői a szemle során a következőket tapasztalták [lásd: NAIH-6989-

6/2022 ügyszámú jegyzőkönyv 5. oldala]. Szemmel láthatóan idős vásárlóktól is megkérdezte az értékesítési munkatárs, hogy elmúltak-e tizennyolc évesek, valamint születési dátumot kért tőlük. A vásárlók több esetben is még a Hatóság jóval arrébb várakozó munkatársai számára is jól hallhatóan közölték a választ. Az értékesítési munkatárs rögzítette az elhangzottakat, azonban okmányt az életkor, születési dátum igazolására nem kért. (17) Egy vásárlónál – aki messziről is jól hallható nyilatkozata szerint 1955-ben született nem volt személyazonosító igazolvány, mire az értékesítési munkatárs közölte, hogy a születési dátum is elég az alkoholtartalmú ital megvásárlásához. Egy másik esetben az értékesítési munkatárs elkérte a vásárló (idős úr) személyazonosító igazolványát, azt megtekintette, adatot nem rögzített róla. Volt olyan vásárló, aki teljesen nevetségesnek tartotta ezt a szabályt. (18) Egy ránézésre középkorú vásárló nem tudott kérésre személyazonosító igazolványt bemutatni, ezért az értékesítési munkatárs megtagadta tőle az alkoholtartalmú ital vásárlását. Miután a vásárló hangos tiltakozásba kezdett, az értékesítési munkatárs közölte vele, hogy ez a szabály, el kell kérnie a személyazonosító igazolványt, a vásárló közölte, hogy „Délelőtt nem volt ez a szabály.”. A közvetlenül utána sorra kerülő vásárló – aki alkoholtartalmú italt nem kívánt vásárolni – aziránt érdeklődött, hogy minden alkoholtartalmú ital esetében elkérik-e a személyazonosító igazolványt és hogy mikortól él ez a szabály. Az értékesítési munkatárs azt a tájékoztatást adta neki, hogy ő a személyazonosító igazolványt bármikor elkérheti, amire válaszul a vásárló megjegyezte, hogy a pénztáros nem hatósági személy. (19) Egy szemmel láthatóan idős korú pár alkoholtartalmú italt kívánt vásárolni, a személyazonosító igazolványt bemutatták és felindultan, hangosan közölték, hogy „Ne írja be, nem járulok hozzá! Akkor inkább nem kérem!”. Az értékesítési munkatárs a tiltakozás következtében nem gépelte be a születési dátumot, de az italt értékesítette. (20) A Hatóság képviselői megkérték a jelenlévő üzletvezető-helyettesek egyikét, hogy ismertesse a gyakorlatot, miért kérik el nyilvánvalóan tizennyolcadik életévüket betöltött vásárlóktól is a személyazonosító igazolványt, amelyre válaszul közölte, hogy amennyiben úgy ítéli meg, hogy a vásárló nem múlt el 18 éves, akkor elkérheti az igazolványt. (21) A szemle vezetője megkérte arra az egyik üzletvezető-helyettest, hogy mutassa be a kapcsolódó adatkezelési tájékoztatót. Az üzletvezető-helyettes közölte, hogy „Valahol ki van rakva.”, majd körbejárta az értékesítési teret, valamint megtekintette a kasszák mögött kihelyezett tájékoztatókat. Mivel nem volt adatkezelési tájékoztató kihelyezve, ezért telefonos segítséget kért, majd a vásárlók elől elzárt részre távozott hosszabb időre. Több, mint 10 perc várakozás után, a Hatóság munkatársa megkérte az egyik értékesítési munkatársat, hogy hívja vissza a vásárlótérbe az üzletvezető-helyettest, aki visszatértekor magával hozott egy példányt a 2019. évi keltezésű „ADATKEZELÉSI TÁJÉKOZTATÓ (KIVONAT)” iratból. Állítása szerint „Kint volt, valaki elvihette.”, majd egy példányt elhelyezett belőle a vásárlók könyve mögé.

(22) Az üzletvezető-helyettesek együttesen ismertették az alkoholtartalmú italok vásárlásával kapcsolatos adatkezelési gyakorlatra vonatkozó eljárásrendet, valamint bemutatták a folyamatot egy darab alkoholtartalmú ital vásárlásával, amely során a Hatóság képviselői a jegyzőkönyvben foglaltak szerint az előző szemlén észlelteket tapasztalták. (23) Tekintettel arra, hogy a 2022. augusztus 31. napján lefolytatott helyszíni szemlék időtartama során egyik üzletben sem jelent meg a Kötelezett képviseletére jogosult személy, ezért a Hatóság a helyszíni szemléket elrendelő végzéseinek hiteles elektronikus másolatát 2022. szeptember 1. napján a NAIH-6989-7/2022 ügyszámú megkeresés mellékleteként elektronikus úton továbbította a Kötelezett részére, amelyet Kötelezett 2022. szeptember 1. napján töltött le Cégkapujáról. (24) Kötelezett válasza a Hatóság NAIH-6989-2/2022 ügyszámú végzésére 2022.

szeptember 13. napján érkezett meg e-Papíron keresztül a Hatósághoz (NAIH-6989- 8/2022 ügyszámú irat). (25) Kötelezett a nyilatkozatában előadta, hogy már korábban is előírta a bolti eladó munkakörben foglalkoztatott munkavállalói számára az életkor ellenőrzését alkoholtartalmú italok vásárlása esetén, „2022 augusztusában átmenetileg mindössze annak mikéntje változott”. (26) A Kötelezett nyilatkozata alapján 2019-ben új funkcióval bővítette a kasszaszoftverét, amely lehetővé tette Kötelezett számára, hogy előírja a bolti eladó munkakörben foglalkoztatott munkavállalói számára az alkoholtartalmú italt is magában foglaló tranzakcióknál a kassza azon új funkciójának a használatát, amely hó/nap/év formátumban megadott születési dátum „beadásakor” segíti őket a vásárlók életkorának ellenőrzésében. Kötelezett a nyilatkozatához mellékelte a kasszaszoftver működésének leírását is. A 2019-ben történt kasszafejlesztés által támogatott folyamat úgy működik, hogy a kasszarendszer alkoholtartalmú ital vásárlására irányuló szándék esetén megkérdezi, hogy a vásárló a korhatár kritériumnak megfelel-e („KORH. KRIT. MEGFELEL?”) Amennyiben a válasz erre igen (ENTER gomb megnyomása), akkor az értékesítés folytatódik, további adatot a kasszaszoftver nem kér, a termék felkerül a bizonylatra; ha pedig a válasz nem (TÖRLÉS gomb megnyomása), akkor kell megadnia születési dátumot. Ha a megadott évszám alapján a vásárló fiatalabb, mint a megengedett életkor, úgy a rendszer a nem lehetséges („NEM LEHETS. NYOMJON TÖRL. GOMBOT”) üzenetet jeleníti meg. Kötelezett elmondása alapján azonban a gyakorlatban előfordult a kassza ezen funkciója használatának mellőzése, illetve rendszertelen alkalmazása, a bolti eladók még kétség esetén sem kértek mindig igazolványt vagy tévesen számolták ki az életkort, ami álláspontja szerint „jelentős kockázatnak tette ki” a Kötelezettet, ezért „2022 augusztusában átmenetileg előírta” valamennyi alkoholtartalmú italt vásárolni szándékozó vásárló életkorának ellenőrzését a kasszaszoftver ezen funkciója alkalmazásával. (27) A Kötelezett nyilatkozott arra vonatkozóan is, hogy alkoholtartalmú ital vásárlása esetén a vásárlók életkora ellenőrzésének a célja az, hogy kétséget kizáróan megállapításra kerüljön a vásárló életkora az Fgytv. 16/A. § (1) bekezdése szerinti tilalom érvényre juttatása érdekében. Az Fgytv. 16/A. § (4) bekezdése értelmében a vállalkozás vagy annak képviselője kétség esetén felhívja a fogyasztót életkorának hitelt érdemlő igazolására. Az életkor megfelelő igazolásának hiányában az alkoholtartalmú ital értékesítését meg kell tagadni. (28) Kötelezett az adatkezelés jogalapjaként az általános adatvédelmi rendelet 6. cikk (1)

bekezdés c) pontját jelölte meg (az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges), „hogy az Fgytv. 16/A. §-a szerint meggyőződjön az alkohol tartalmú ital vásárlásakor a vásárló életkoráról”. (29) Kötelezett a nyilatkozatához mellékelte a regionális értékesítési vezetőknek címzett körlevelet (NAIH-6989-8/2022 ügyszámú irat 2. melléklete) az életkor ellenőrzés 2022. szeptember 1. napjától hatályos módosított eljárásrendjéről, amely az alábbiakat tartalmazta:

„1. kérdés a vásárló felé: Elmúlt-e 18 éves?- Továbbra is kötelező kérdés minden szeszesital értékesítésénél. 2. Személyi igazolvány/jogosítvány/útlevél kérése – Minden vásárlótól, aki szeszesitalt vesz, KIVÉVE, akiről egyértelműen megállapítható, hogy elmúlt 18 éves. 3. Születési dátum pontos leolvasása, s BEADÁSA a KASSZARENDSZERBEN!- Továbbra is kötelező a 2. ponttal összefüggésben, minden olyan esetben, ahol nem egyértelműen megállapítható a 18 év feletti életkor.” (30) Kötelezett nyilatkozata alapján az igazolványról csak és kizárólag a „születési idő” kerül bevitelre a kasszarendszerbe és a „születési idő” – amely Kötelezett szerint önmagában azonosításra egyébként sem alkalmas – nem kerül tárolásra. A születési dátumok nem kerülnek továbbításra, statisztikai és más célra nem használják fel, az igazolványokról egyéb személyes adat nem kerül leolvasásra. (31) Kötelezettől kapott tájékoztatás alapján ugyanakkor hibaelhárítás érdekében a kassza billentyűinek leütése az adott kasszában lokálisan naplózásra kerül. A naplózott bejegyzést a pénztárosok és az üzletvezetők nem ismerhetik meg, ahhoz „csak a” Kötelezett „hibaelhárításra szakosodott munkatársai férhetnek hozzá”. Normál működés esetén ezek a naplófájlok a rögzítést követő 180 nap elteltével törlésre kerülnek. (32) Kötelezett nyilatkozata 7. pontjának 1. bekezdése szerint az „üzletek belső helyiségeibe vezető ajtó (1-es pénztár mellett) mellett minden üzletben kihelyezésre került az üzletekre vonatkozó adatvédelmi és adatkezelési tájékoztató”. Emellett Kötelezett honlapján is elérhetők a tájékoztatók. (33) Kötelezett a nyilatkozatában megjegyezte továbbá azt is, hogy „egy korábbi ellenőrzés során a fogyasztóvédelmi hatóság maga emelte ki jó gyakorlatként a kasszaszoftver azon funkcióját, hogy az elkéri a születési dátumot, ezzel is minimalizálva a nem jogszabályszerű értékesítés lehetőségét” azonban konkrét döntést vagy más adatkezelésre vonatkozó hatósági kötelezést nem hivatkozott, illetve mellékelt nyilatkozatában. (34) Kötelezett tájékoztatást nyújtott továbbá arról is, hogy 2022. szeptember 1. napjától visszaállította „az életkorellenőrzés eredeti rendjét”, azaz a pénztárosoknak már ismét csak azon vásárlókat kell az életkor igazolására alkalmas okmány felmutatására felhívniuk, akikről nem állapítható meg egyértelműen, hogy már nagykorúak. (35) 2022. szeptember 22. napján a Hatóság közleményt adott ki (NAIH-6989-9/2022 ügyszámú irat), amelyben tájékoztatást adott arról, hogy a Hatósághoz több bejelentés is érkezett Kötelezett alkoholtartalmú italok vásárlása kapcsán kialakított adatkezelési gyakorlatára vonatkozóan, és hogy a beadványokban jelentősen eltérő adatkezelési gyakorlatot panaszoltak az egyes üzletekben. A Hatóság a közleményben tájékoztatást nyújtott arról is, hogy a Hatóság az ügyben 2022. augusztus 19. napján hivatalból adatvédelmi hatósági eljárást indított. (36) A Kötelezett 2022. szeptember 13. napján érkezett válasza, valamint a Hatóság által

2022. augusztus 31. napján Kötelezett két üzletében előzetes értesítés nélkül lefolytatott helyszíni szemléken tapasztaltak alapján a tényállás további tisztázása volt szükséges. A Hatóság a NAIH-6989-10/2022 ügyszámú, a Kötelezett Cégkapujára küldött végzésében ismételten nyilatkozattételre hívta fel a Kötelezettet többek között arra vonatkozóan, hogy napra pontosan mikortól került alkalmazásra a vizsgált gyakorlat; valamint arra, hogy milyen jogalap alapján történik a naplófájlok rögzítése, mivel a naplózás kapcsán sem volt elérhető adatkezelési tájékoztató. A Hatóság végzését a Kötelezett 2022. szeptember 23. napján töltötte le. (37) Kötelezett válasza a Hatóság NAIH-6989-10/2022 ügyszámú végzésére 2022. október

7. napján érkezett meg e-Papíron a Hatósághoz (NAIH-6989-11/2022 ügyszámú irat). (38) Tekintettel arra, hogy Kötelezett 2022. szeptember 13. napján érkezett válaszában csupán 2022 augusztusa szerepelt válaszul arra a kérdésre, hogy mikortól került alkalmazásra a Hatóság által vizsgált gyakorlat, a Hatóság ismételt kérdésére Kötelezett úgy nyilatkozott, hogy az eljárás a 2022. augusztus 4-i „ÜZLET INFO” elnevezésű „körlevél jellegű belső utasításban” került elrendelésre, amelyet a nyilatkozatához is mellékelt. A körlevél közlésének dátuma 2022. augusztus 3. 06 óra 04 perc volt, Kötelezett állítása szerint az abban elrendelt gyakorlatot a következő naptól, azaz 2022. augusztus 4. napjától kezdődően kellett alkalmazni. A körlevélben foglaltak szerint „Hatósági előrejelzés alapján a hálózat minden üzletében 2022.08.31-ig ellenőrzésre kerül a fiatalkorúak számára történő szeszesital értékesítési tilalom betartása […] kérjük a következő eljárásrend betartását hó végéig minden alkoholos ital tartalmú tranzakciónál:

1. kérdés a vásárló felé: Elmúlt-e 18 éves? 2. Személyi igazolvány/jogosítvány/útlevél kérése MINDENKITŐL, aki szeszesitalt vesz! 3. Születési dátum pontos leolvasása, s BEADÁSA a KASSZARENDSZERBEN! (ezt külön pozitívumként kezelte a hatóság a legutóbbi ellenőrzéskor).” (39) A kasszában lokálisan naplózásra kerülő billentyűleütésekkel kapcsolatban Kötelezett úgy nyilatkozott, hogy a naplófájlok rögzítésére biztonságtechnikai okból kerül sor. A naplófájlok nem kizárólagosan a kasszarendszerbe beadott születési dátumot, hanem a kasszarendszerben történt billentyűleütéseket „rögzítik”. Ennek célja, hogy a hibaelhárítás – amikor is a kassza olyan módon hibásodik meg, hogy annak oka nem tárható fel az általános hibajavítási módszerekkel, akkor a naplófájl alapján kerül feltárásra az adott hibajelenség – során a hiba bekövetkeztét megelőző billentyűleütések ismeretében azonnali képet lehessen kapni arról, hogy milyen kasszaműveletek kerültek elvégzésre. Kötelezett nyilatkozata szerint a leütéseket tartalmazó naplófájlok Kötelezett általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogos érdeke alapján kerülnek „rögzítésre”. A kasszák hibaelhárítását egyrészt Kötelezettnek az informatikus munkavállalói, másrészt az ALDI International IT Services Korlátolt Felelősségű Társaság (a továbbiakban: AIIS) alkalmazásában álló munkavállalók végzik. (40) A Hatóság azon kérdésére, hogy kaptak-e tájékoztatást arról a munkavállalók, hogy a kassza billentyűinek leütése az adott kasszában lokálisan naplózásra kerül, valamint, hogy a naplófájlok megőrzési ideje a rögzítést követő 180 nap Kötelezett úgy nyilatkozott, hogy az egyes munkavállalói adatkezelések felülvizsgálata már korábban megkezdődött és az ennek részeredményeként létrejött adatkezelési tájékoztató elkészült. A Kötelezettnek az értékesítési területen foglalkoztatott munkavállalóit érintő adatkezelésekkel kapcsolatos adatkezelési tájékoztató rendelkezik arról, hogy bizonyos kasszaadatok és műveletek tárolásra kerülnek. A Kötelezett egy kivonatot is küldött az értékesítési területen foglalkoztatott munkavállalóit érintő adatkezelési tájékoztatója NEWPOSS kassza adatbázisában megvalósuló adatkezelései vonatkozásában.

(41) Kötelezett állítása alapján a naplófájlok nem kerülnek felhasználásra statisztikai célra. (42) A Hatóság kérést intézett a Kötelezetthez, hogy küldje meg a 2022. szeptember 1.

napjától alkalmazott adatkezelési tájékoztatót, mivel Kötelezett 2022. szeptember 13. napján érkezett nyilatkozata 4. pontja alapján 2022. szeptember 1. napjától „a pénztáros munkatársaknak már ismét csak azon vásárlókat kell az életkor igazolására alkalmas okmány felmutatására felhívniuk, akikről nem állapítható meg egyértelműen, hogy már nagykorúak”. Ezzel kapcsolatban Kötelezett úgy nyilatkozott, hogy az „adatkezelési tájékoztató módosítására nem került sor […] az adatkezelés lényege nem változott álláspontunk szerint”. (43) Tekintettel arra, hogy Kötelezett 2022. október 7. napján érkezett válasza alapján a tényállás további tisztázása volt szükséges a naplófájlok megőrzési ideje, valamint a kapcsolódó jogos érdeket alátámasztó érdekmérlegelési teszt kapcsán, a Hatóság a NAIH-6989-12/2022 ügyszámú, Kötelezett Cégkapujára küldött végzésében ismételten nyilatkozattételre hívta fel a Kötelezettet. A Hatóság végzését a Kötelezett 2022. november 4. napján töltötte le. (44) A Hatóság NAIH-6989-12/2022 ügyszámú végzésére 2022. november 18. napján válaszolt Kötelezett e-Papír útján (NAIH-6989-13/2022 ügyszámú irat). (45) Tekintettel arra, hogy Kötelezett korábbi nyilatkozata alapján a kassza billentyűinek leütése az adott kasszában lokálisan naplózásra kerül és ezen naplófájlok rögzítésének jogalapjaként az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogos érdeket jelölte meg, a Hatóság kérésére mellékelte az ezzel kapcsolatos érdekmérlegelési tesztjét. (46) Kötelezett nyilatkozata alapján 2022. január 1. napjától kezdődően a Hatóság NAIH-

6989-12/2022 ügyszámú végzésének kézhezvételéig (a Hatóság végzését Kötelezett 2022. november 4. napján töltötte le) 20 db olyan hiba merült fel, amelyek elhárításához felhasználásra került a kasszanaplófájl. (47) Hatóság kérte, hogy a Kötelezett támassza alá, hogy miért 180 napig szükséges a leütéseket tartalmazó naplófájlok megőrzése. Kötelezett nyilatkozata alapján a megőrzési idő meghatározása az alábbi szempontokon alapul:

- Vannak olyan hibák, amelyek nem a hiba bekövetkezésének napján kerülnek felfedezésre, emiatt azoknak a hibaelhárító munkatársak általi feldolgozására is csak a hiba felmerülését követően hetekkel, vagy akár hónapokkal később kerül sor. Az is elképzelhető, hogy a hibajelenség bizonyos időközönkénti ismétlődése alapján ismerhető fel egy bizonyos hiba. - A hibák gyakran nem önmagukban, hanem periodikusan jelentkeznek vagy hosszabb átfutási idővel oldhatóak meg. Ez esetben több havi információra is szükség lehet. - A hibák gyakran köthetőek valamilyen kasszán végzett frissítéshez és/vagy emberi beavatkozáshoz (például: helytelen bevitelekhez). Ezekben az esetekben nagy segítséget jelent, ha a hibaelhárításra szakosodott munkatársak hozzáférnek a hiba felmerülését megelőzően keletkezett adatokhoz is, hiszen ezek között kell lenniük azoknak a műveleteknek is, amelyek adott esetben a hiba bekövetkezését közvetlenül előidézték. - Figyelemmel arra, hogy egyes szoftverfrissítések és az emberi mulasztások nem kívánt hatásai jellemzően „a bekövetkezésüket követő számított fél éven belül” keletkeznek, illetve kerülnek felismerésre, ezért nem indokolt a naplófájlokat a 180 napos időtartamnál hosszabb ideig megőrizni.

(48) Kötelezett a Hatóság kérésére bemutatott továbbá minden olyan tényt vagy körülményt, amelynek figyelembevételét az esetleges bírságkiszabás esetére szükségesnek tart, amelyek az alábbiak voltak:

- Kötelezett szerint jelen esetben mindössze egyetlen vásárlói „anonim” adatról van szó, amely a születési dátum, „és mint ilyen nem is kerül rögzítésre”. A kasszák billentyűleütései kerülnek csak és kizárólag hibaelhárítási céllal a naplófájlokban tárolásra, azokhoz hibaelhárítás szükségessége esetén Kötelezett hibaelhárításra szakosodott munkatársainak erősen korlátozott köre férhet hozzá. Mindezzel együtt „nincs reális lehetősége annak”, hogy ezen adatokat akár ez a szűk kör is konkrét személyhez tudja kötni. Az ilyen jellegű csak és kizárólag naplófájlokban billentyűleütések formájában megjelenő „konkrét személyhez nem köthető adatok” ilyen módú kezelése átmenetileg egy szűk hónapig tartott mindössze, melyet követően ezen eljárás (a 2022. augusztusi formájában) megszüntetésre került. - Kötelezett álláspontja alapján a kezelt adatok közvetlenül az érintettektől kerültek felvételre, „akik így tudtában voltak azzal, hogy a születési adataik kezelésre fognak kerülni, ha megadják azokat, ugyanakkor választási lehetőségük is volt, hogy ne adják meg azokat, elkerülve így az adatkezelést”. - Akik „megadták a születési dátumukat és ez alapján nagykorúaknak voltak tekinthetők, a Társaság kiszolgálta az általuk megvásárolni kívánt alkohol tartalmú itallal”. - Kötelezett nyilatkozata szerint „ezen adatkezelési tevékenységből fakadóan konkrét károsodás egyetlen érintettet sem ért, és ilyen irányú megkeresés vagy igény sem érkezett a Társaságunkhoz.” - Kötelezett előadta, hogy a fogyasztóvédelmi hatóság „a 2022. november 8.-i keltű

PE/002/02567-10/2022 sz. ügyiratban […] megállapította, hogy nem merült fel olyan körülmény, amely alapján indokolt lett volna fogyasztóvédelmi eljárást indítani”. - Kötelezett vizsgált adatkezelési tevékenysége semmilyen jogtalan előny szerzésére nem irányult álláspontja szerint, hanem csak a jogszabályok minél teljesebb betartásának elősegítése volt a célja. - Kötelezett nyilatkozata alapján: „Mivel kár nem következett be, enyhítő intézkedésre sem kellett, hogy sor kerüljön, ugyanakkor ez a fajta átmeneti ellenőrzési módszer rövid időn belül leállításra is került.” - Kötelezett előadta, hogy törekedett arra, hogy annak ellenére, hogy a naplófájlként korlátozott ideig tárolt dátum leütések konkrét személyhez nem köthetők, azokat megfelelően védje. Az adatokat hozzáférési jogosultság szempontjából megfelelő rendszerrel, erős jelszavas védelemmel és megfelelő jogosultság kezeléssel védi, beleértve a naplófájlokat is. - Korábban két olyan, a Kötelezettet érintő eljárás volt a Hatóság előtt folyamatban, amelyek közül egyik sem zárult közigazgatási bírsággal (NAIH-1044/2021 és NAIH- 987/2021 ügyszámú ügyek). - A jelen és a két korábbi eljárás során is igyekezett Kötelezett együttműködni a

Hatósággal. - Valamennyi a Hatóság által küldött megkeresésnek határidőben eleget tett a

Kötelezett és igyekezett a lehető legteljesebb választ adni minden kérdésre. - Különleges személyes adat kezelésére egyáltalán nem került sor, a hibaelhárítási célból naplófájlokban kezelt adatként mindössze „a vásárló – konkrétan a személyéhez nem is köthető és ezért anonimnak tekinthető születési éve – és pénztárosi azonosítók találhatóak”. Megállapítható tehát Kötelezett szerint, hogy „a kezelt adatok köre meglehetősen szűk”, az ténylegesen csak és kizárólag a „legszükségesebbre korlátozódik” és „a vásárlók tekintetében alig tekinthető személyes adatnak”. - Kötelezett számára kérdéses, hogy „a konkrét személyhez nem köthető születési év” mennyiben személyes adat, ugyanakkor a „kampány” lezárása ellenére is vizsgálja már annak a lehetőségét, hogy az ilyen jellegű adatok teljes egészében maszkolásra kerüljenek a naplófájlokban is. - A kasszarendszer magas rendelkezésre állású kritikus rendszer, évente megközelítőleg (…) tranzakciót bonyolít le, így a naplófájlok alkalmazása elengedhetetlen a hibák orvoslásához, a kasszarendszer működtetéséhez, támogatásához, valamint annak továbbfejlesztéséhez. (49) Kötelezett a Hatóság kérésére mellékelte „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztató” 2022. augusztus 12. napjától hatályos verzióját, valamint a „közeljövőben alkalmazandó – még nem teljes – tájékoztató” tervezetét. (50) A Hatóság a NAIH-6989-14/2022 ügyszámon feljegyzéssel az adatvédelmi hatósági eljárás iratanyagának részévé tette Kötelezett 2021. január 01. – 2021. december 31. közötti időszakra vonatkozó általános üzleti évet záró nyilvánosan elérhető éves beszámolóját. (51) A Hatóság a NAIH-6989-15/2022 ügyszámon feljegyzéssel az adatvédelmi hatósági eljárás iratanyagának részévé tette továbbá a Kötelezett alkoholtartalmú italok vásárlása kapcsán kialakított adatkezelési gyakorlatával kapcsolatos, a Hatósághoz érkezett panaszokat és közérdekű bejelentéseket.

(52) Egy bejelentő azt panaszolta, hogy 2022. augusztus 6. napján a Kötelezett Hatvanban található üzletében megdöbbenve tapasztalta, hogy a pénztárnál elkérték azon vásárlóktól a személyazonosító igazolványukat, akik alkoholtartalmú italt vásároltak. Bejelentő állítása szerint azon kérdésére, hogy ezt „mi alapján, milyen rendelkezés vagy jogi kérés” miatt végzik, a pénztáros nem tudott választ adni, csak annyit mondott, hogy „ők ezt az utasítást kapták valamilyen felmérés miatt és nem engedik ki az alkoholos árut senkinek, korhatárt nem nézve, csak, akik a személyi igazolványukat nekik bemutatják”.

(53) Egy másik bejelentő azt sérelmezte, hogy amikor 2022. augusztus 5. napján a Kötelezett

2040 Budaörs, Malomkő utca 3. szám alatt található üzletében alkoholtartalmú italt is vásárolt, a pénztáros közölte, hogy csak akkor „ütheti be”, ha bejelentő átadja a személyazonosító igazolványát, hogy a pénztáros ellenőrizhesse az életkorát. Elmondása alapján a bejelentő kérte, hogy a pénztáros nevezze meg azt a jogszabályt, amely egy üzlet pénztárosát „hivatalos személy funkciójával ruházza fel”, aki elkérheti személyes dokumentumait. A bejelentő tájékoztatása alapján a pénztáros ezt nem tudta megtenni, és hívta az üzletvezetőt. Az üzletvezető mutatott a bejelentőnek egy belső utasítást, amelyet a központtól kaptak. Bejelentő kérte, hogy adják át neki ezt az utasítást másolatban vagy pedig hadd fényképezhesse le, de mind kettőre nemleges választ kapott. Bejelentő az elmondása alapján továbbra is kérte a hivatkozott jogszabály megnevezését, ekkor felhívták telefonon a területi vezetőt, akitől az az üzenet érkezett, hogy ha „az üzletvezető/pénztáros egyértelműen megbizonyosodott arról, hogy a vásárló elmúlt 18 éves, akkor adatok rögzítése nélkül engedje a vásárlást”. Bejelentő a bejelentésében előadta továbbá, hogy az üzletben kihelyezett „ADATKEZELÉSI TÁJÉKOZTATÓ (KIVONAT)” egy fehér lappal le volt takarva, így csak az alatta lévő szöveg volt látható, de nem olvasható formátumban. Bejelentő az erről készített fényképfelvételt a bejelentéséhez is csatolta. (54) Egy harmadik bejelentő a Hatósághoz 2022. augusztus 14. napján érkezett bejelentésében azt panaszolta, hogy Kötelezett 1181 Budapest, Hofherr Albert utca 40/a. szám alatt található üzletében csak akkor vásárolhatott meg bármilyen alkoholtartalmú italt, ha a pénztárnál bemondta a pénztárosnak a többi vásárló füle hallatára a születési adatait. Amikor ezt megtagadta, a megvásárolni kívánt alkoholtartalmú italt nem vehette meg, amit felháborítónak tartott. Bejelentő elmondása alapján más vásárló születési dátumát még a kijáratnál is hallotta.

(55) Egy bejelentő a Hatósághoz 2022. augusztus 13. napján érkezett bejelentésében előadta, hogy alkoholtartalmú ital vásárlásakor Kötelezett üzletében elkérték a személyazonosító igazolványt kortól függetlenül, és az igazolvány adatait rögzítették a „mi hozzájárulásunk és engedélyünk nélkül”. (56) Egy másik bejelentő azt panaszolta, hogy miért kell neki – a bejelentő a saját elmondása alapján már a 70. életévét is betöltötte – igazolnia azt az alkoholtartalmú ital vásárlása során, hogy betöltötte a tizennyolcadik életévét, és honnan tudhatja, hogy „mi kerül a gépbe” és mire használják. Bejelentő elmondása alapján ugyanis a személyazonosító igazolványról a „pénztárgépbe visznek adatokat”. (57) A Pest Megyei Kormányhivatal (a továbbiakban: Hivatal) 2022. november 8. napján áttett a Hatósághoz egy a Hivatalhoz 2022. augusztus 20. napján érkezett bejelentést, valamint ezzel kapcsolatban a Hivatal eljárása során keletkezett iratanyagot. A bejelentésben foglaltak szerint a bejelentő azt panaszolta, hogy Kötelezett 1097 Budapest, Könyves Kálmán körút 12-14. szám alatt található üzletében alkoholtartalmú ital vásárlásakor személyazonosító igazolványt kértek tőle egy belső utasításra hivatkozva, annak ellenére, hogy a bejelentő a saját elmondása alapján jól látható módon elmúlt 60 éves. Bejelentő a bejelentésében hivatkozott az Fgytv. 16/A. § (1) és (4) bekezdéseire, amelyek alapján bejelentő szerint a Kötelezett azon eljárása, mely szerint minden alkoholtartalmú italt vásárolni szándékozó személy számára kötelezővé teszi az életkor igazolását, a fenti jogszabályi rendelkezéseknek ellentmond. A bejelentés kivizsgálásával kapcsolatban a Hivatal munkatársai 2022. szeptember 1. napján próbavásárlással egybekötött helyszíni hatósági ellenőrzést folytattak le a Kötelezett három üzletében. A hatósági ellenőrzésekről készített jegyzőkönyvek tanúsága szerint a Kötelezett 2040 Budaörs, Kandó Kálmán utca 2., 2030 Érd, Budafoki út 6., valamint 2045 Törökbálint, Süssen u. 1. szám alatt található üzletében a próbavásárlásokat a Hivatal láthatóan tizennyolc éven felüli felügyelői végezték, akik alkoholtartalmú italt is vásároltak. A kiszolgálást végző pénztárosok egyik esetben sem kértek személyazonosító igazolványt a vásárlás során. Kötelezett 2040 Budaörs, Kandó Kálmán utca 2. szám alatt található üzletében az üzletvezető-helyettes – a bejelentésben foglaltak ismertetését követően – előadta, hogy „ismeri a jelenséget”, ugyanis ez egy belső utasítás, azonban „ebben a boltban ezt nem alkalmazzák, csak akkor, hogy ha látják, hogy fiatal az illető, aki alkoholt szeretne venni”. Elmondta továbbá, hogy kötelező volt alkalmazni a személyazonosító igazolvány elkérést, azonban a sok vásárlói panasz miatt ezt beszüntették. Mivel nagyon sok volt a panasz, a személyazonosító igazolvány elkérést kb. egy hétig alkalmazták mindösszesen. Kötelezett 2030 Érd, Budafoki út 6. szám alatt található üzletében az üzletvezetőhelyettes – a bejelentésben foglaltak ismertetését követően – előadta, hogy ugyan hallott erről az eljárási módról (központi utasítás van rá), azonban „ebben a boltban nem alkalmazzák, mert véleményük szerint felesleges terhet ró a pénztárosokra”, valamint a vásárlók sem örülnének neki. Csak abban az esetben kérnek személyazonosító igazolványt, ha kétség merül fel a vásárló életkorával kapcsolatban. Kötelezett 2045 Törökbálint, Süssen u. 1. szám alatt található üzletében az üzletvezetőhelyettes – a bejelentésben foglaltak ismertetését követően – előadta, hogy központi utasítás van arra, hogy alkoholtartalmú ital vásárlásakor el kell kérni a személyazonosító igazolványt a vásárlóktól, „azonban ez nem minden alkoholtartalmú italra érvényes”. Az üzletvezető-helyettes ugyanakkor azt nem tudta megmondani, hogy mi alapján van az az előírás kiadva, hogy mely termékeknél kell igazolni a vásárlóknak a születési idejüket. Elmondta továbbá, hogy eddig úgy működött a pénztárgép, hogy alkoholtartalmú ital vásárlásakor felugrott egy kérdés, hogy elmúlt-e 18 éves, igen/nem válaszadási lehetőséggel. Azonban „kb. másfél-két hónappal ezelőtt bevezetésre került ez az új rendszer”. A Hivatal felügyelőinek a kérdésére az üzletvezető-helyettes elmondta, hogy abban az esetben, ha a pénztárgép kéri a születési időt, de a vásárlónál nincs személyazonosító igazolvány és egyéb okmány, abban az esetben a pénztárosra van bízva, hogy így kiadja-e az alkoholtartalmú italt, de azt előírás szerint nem lehetne. (58) Tekintettel arra, hogy a Hatóság az ügyben bizonyítási eljárást folytatott le, amelyet a rendelkezésre álló bizonyítékok és nyilatkozatok alapján befejezettnek tekintett, ezért a Hatóság a NAIH-6989-16/2022 ügyszámú, a Kötelezett Cégkapujára küldött végzésben az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 76. §-a alapján értesítette a Kötelezettet a bizonyítási eljárás befejezéséről és iratbetekintési jogáról. A Hatóság végzését a Kötelezett 2022. december 2. napján töltötte le. (59) A Hatóság NAIH-6989-16/2022 ügyszámú végzésére válaszul a Kötelezett 2022.

december 5. napján e-Papíron érkezett kérelmében (NAIH-6989-17/2022 ügyszámú irat) úgy nyilatkozott, hogy élni kíván iratbetekintési jogával, az iratbetekintési jogát pedig másolatkérés útján kívánja gyakorolni. Kötelezett az általa a Hatóság részére benyújtott iratokról és azok mellékleteiről másolatot nem kért. (60) A Hatóság a NAIH-6989-18/2022 ügyszámú végzésében Kötelezett iratbetekintés iránti kérelmének korlátozottan, az általa meg nem ismerhető személyes adatok felismerhetetlenné tételével helyt adott, és Cégkapujára megküldte a Kötelezettnek az eljárás során keletkezett, nem tőle származó és nem neki címzett iratok egyszerű másolatát. A Hatóság végzését a Kötelezett 2022. december 13. napján töltötte le. (61) Kötelezett 2022. december 14. napján e-Papíron keresztül érkezett válaszában (NAIH-

6989-19 ügyszámú irat) úgy nyilatkozott, hogy az iratok megismerését követően további bizonyításra irányuló indítványa nincs, a korábban előadott nyilatkozatait változatlanul fenntartja. (62) A Hatóság ügyintézője a bizonyítási eljárás befejezését követően hivatalból észlelte, hogy a Kötelezett Weboldalán (https://www.aldi.hu/hu/homepage.html) kihelyezésre került a 2023. január 17. napjától hatályos „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztató”. A módosított tájékoztató 3.13. pontja rendelkezik az életkor ellenőrzésére irányuló adatkezelésről alkoholtartalmú ital vásárlása esetén. Erre tekintettel a tényállás további tisztázása volt szükséges, ezért a Hatóság a NAIH-3227-1/2023 ügyszámú, Cégkapun keresztül küldött végzésében ismételten nyilatkozattételre hívta fel a Kötelezettet a változtatás oka kapcsán. A Hatóság végzését a Kötelezett 2023. február 14. napján töltötte le. (63) Kötelezett válasza a Hatóság NAIH-3227-1/2023 ügyszámú végzésére 2023. február 21.

napján érkezett meg e-Papíron a Hatósághoz (NAIH-3227-2/2023 ügyszámú irat). (64) Kötelezett a nyilatkozatában előadta, hogy 2022. év elejétől elrendelte az értékesítési területre vonatkozó adatkezelések felülvizsgálatát, amely a jelen adatvédelmi hatósági eljárás kezdő időpontjában még nem zárult le. Az „adatvédelmi okiratok” felülvizsgálatára részben jelen adatvédelmi hatósági eljárással párhuzamosan, de attól nagyrészt függetlenül került sor. Kötelezett nyilatkozata alapján lecserélésre kerültek mind a vásárlókat, mind pedig a Kötelezett munkavállalóit érintő adatkezelésekre vonatkozó tájékoztatók. A 2023. január 17. napjától hatályos „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztatóban” az alkoholtartalmú italok vásárlása esetén történő életkor ellenőrzésre irányuló adatkezelésre vonatkozó rendelkezések a Kötelezett előző (2022. augusztus 12-i keltezésű) tájékoztatójához képest kibővítésre, illetve pontosításra kerültek. Kötelezett előadta továbbá, hogy a felülvizsgált adatvédelmi dokumentumok 2023. január 16. és 17. napján kerültek ismertetésre a területi vezetőkkel személyes oktatás keretében, akik azt a feladatot kapták, hogy valamennyi üzletben cseréljék le az adatvédelmi dokumentumokat legkésőbb 2023. január 31. napjáig, és ennek részeként gondoskodjanak „a 2023. január 17-i keltű üzletekre vonatkozó Adatkezelési Tájékoztató kihelyezéséről is”.

## II. Alkalmazott jogszabályi rendelkezések

(65) Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre az általános adatvédelmi rendeletet kell alkalmazni. (66) Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján személyes adat azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. (67) Az általános adatvédelmi rendelet 4. cikk 2. pontja alapján adatkezelés a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés. (68) Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján adatkezelő az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja. (69) Az általános adatvédelmi rendelet 5. cikke értelmében:

„(1) A személyes adatok:

a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”); c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”); d) pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság”);

e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”); f) kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”). (2) Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).” (70) Az általános adatvédelmi rendelet 6. cikk (1) bekezdése alapján:

„(1) A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.” (71) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerint az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (72) Az általános adatvédelmi rendelet 13. cikke értelmében:

„(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:

a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei;

b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja:

a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. (3) Ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról. (4) Az (1), (2) és (3) bekezdés nem alkalmazandó, ha és amilyen mértékben az érintett már rendelkezik az információkkal.” (73) Az általános adatvédelmi rendelet 31. cikke értelmében az adatkezelő és az adatfeldolgozó, valamint - ha van ilyen - az adatkezelő vagy az adatfeldolgozó képviselője feladatai végrehajtása során a felügyeleti hatósággal - annak megkeresése alapján - együttműködik. (74) Az általános adatvédelmi rendelet 32. cikke alapján:

„(1) Az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja, ideértve, többek között, adott esetben:

a) a személyes adatok álnevesítését és titkosítását; b) a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítását, integritását, rendelkezésre állását és ellenálló képességét; c) fizikai vagy műszaki incidens esetén az arra való képességet, hogy a személyes adatokhoz való hozzáférést és az adatok rendelkezésre állását kellő időben vissza lehet állítani; d) az adatkezelés biztonságának garantálására hozott technikai és szervezési intézkedések hatékonyságának rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárást. (2) A biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek. (3) Az adatkezelő, illetve az adatfeldolgozó 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmushoz való csatlakozását felhasználhatja annak bizonyítása részeként, hogy az e cikk (1) bekezdésében meghatározott követelményeket teljesíti. (4) Az adatkezelő és az adatfeldolgozó intézkedéseket hoz annak biztosítására, hogy az adatkezelő vagy az adatfeldolgozó irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező természetes személyek kizárólag az adatkezelő utasításának megfelelően kezelhessék az említett adatokat, kivéve, ha az ettől való eltérésre uniós vagy tagállami jog kötelezi őket.” (75) Az általános adatvédelmi rendelet 58. cikk (1) bekezdése értelmében „A felügyeleti hatóság vizsgálati hatáskörében eljárva:

a) utasítja az adatkezelőt és az adatfeldolgozót, illetve adott esetben az adatkezelő vagy az adatfeldolgozó képviselőjét, hogy számára a feladatai elvégzéséhez szükséges tájékoztatást megadja; b) vizsgálatot folytat adatvédelmi auditok formájában; c) elvégzi a 42. cikk (7) bekezdésének megfelelően kiadott tanúsítványok felülvizsgálatát; d) értesíti az adatkezelőt vagy az adatfeldolgozót e rendelet feltételezett megsértéséről; e) hozzáférést kap az adatkezelőtől vagy az adatfeldolgozótól a feladatainak teljesítéséhez szükséges minden személyes adathoz és minden információhoz; és f) az uniós vagy tagállami eljárásjoggal összhangban hozzáférést kap az adatkezelő vagy az adatfeldolgozó bármely helyiségéhez, ideértve minden adatkezeléshez használt felszerelést és eszközt.” (76) Az általános adatvédelmi rendelet 83. cikk (1) – (5) bekezdései értelmében:

„(1) Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. (2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;

b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. (3) Ha egy adatkezelő vagy adatfeldolgozó egyazon adatkezelési művelet vagy egymáshoz kapcsolódó adatkezelési műveletek tekintetében - szándékosan vagy gondatlanságból - e rendelet több rendelkezését is megsérti, a bírság teljes összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget. (4) Az alábbi rendelkezések megsértése - a (2) bekezdéssel összhangban - legfeljebb 10 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 2%-át kitevő összeggel sújtható; a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelő és az adatfeldolgozó tekintetében a 8., a 11., a 25-39., a 42. és a 43.

cikkben meghatározott kötelezettségek; b) a tanúsító szervezet tekintetében a 42. és 43. cikkben meghatározott kötelezettségek; c) az ellenőrző szervezet tekintetében a 41. cikk (4) bekezdésében meghatározott kötelezettségek; (5) Az alábbi rendelkezések megsértését - a (2) bekezdéssel összhangban - legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelés elvei - ideértve a hozzájárulás feltételeit - az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12-22. cikknek megfelelően; c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44-49. cikknek megfelelően; d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása.” (77) Az Infotv. 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az általános adatvédelmi rendelet 2. cikk (1) bekezdésének hatálya alá nem tartozó adatkezelések vonatkozásában az Infotv. 2. § (4) bekezdésére tekintettel: „Személyes adatoknak a (2) és (3) bekezdés hatálya alá nem tartozó kezelésére a) az általános adatvédelmi rendelet 4. cikkében, II-VI., és VIII-IX. fejezetében, valamint b) az e törvény III-V. és VI/A. Fejezetében, továbbá a 3. § 3., 4., 6., 11., 12., 13., 16.,

17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §-ban, az 55. § (1) és (2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, továbbá a 61/A-61/D. §-ban,, a 62-71. §-ban, a 72. §-ban, a 75. § (1)-(5) bekezdésében és a 75/A. §-ban és az 1. mellékletben meghatározott rendelkezéseket kell alkalmazni.” (78) Az Infotv. 38. § (2) – (2a) bekezdései alapján:

„(2) A Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. (2a) Az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja.” (79) Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az Ákr. szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel. (80) Az Infotv. 60/A. § (1) bekezdése alapján az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap, amely határidőbe nem számít bele a tényállás tisztázásához szükséges adatok közlésére irányuló felhívástól az annak teljesítéséig terjedő idő. Az eljárási határidők alkalmazására egyebekben az Ákr. 52. §-át kell alkalmazni. (81) Az Infotv. 61. § (1) bekezdése alapján: „Az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság a) a 2. § (2) és (4) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja, így különösen kérelemre vagy hivatalból elrendelheti a jogellenesen kezelt személyes adatok általa meghatározott módon végrehajtandó törlését, illetve átmenetileg vagy véglegesen egyéb módon korlátozhatja az adatkezelést, b) a 2. § (3) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben ba) megállapíthatja a személyes adatok jogellenes kezelésének tényét, bb) elrendelheti a valóságnak nem megfelelő személyes adat helyesbítését, bc) elrendelheti a jogellenesen kezelt személyes adatok zárolását, törlését vagy megsemmisítését, bd) megtilthatja a személyes adatok jogellenes kezelését, be) megtilthatja a személyes adatok külföldre történő továbbítását vagy átadását, bf) elrendelheti az érintett tájékoztatását, ha azt az adatkezelő jogellenesen mellőzte vagy tagadta meg, valamint bg) bírságot szabhat ki, c) az általános adatvédelmi rendelet 41. cikk (1) bekezdésében meghatározott ellenőrzési tevékenységet végző szervezettel szemben az általános adatvédelmi rendelet 41. cikk (5) bekezdésében meghatározott jogkövetkezményeket alkalmazhatja.” (82) Az Infotv. 61. § (2) bekezdése szerint: „A Hatóság elrendelheti határozatának - az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő nyilvánosságra hozatalát, ha a) a határozat személyek széles körét érinti, b) azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy c) a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja.”

(83) Az Infotv. 61. § (3) bekezdése alapján a Hatóság eljárásában figyelmeztetés alkalmazása kizárt, ha a Hatóság a mérlegelésére vonatkozó előírások alapján bírság kiszabásának szükségességét állapítja meg. (84) Az Infotv. 61. § (7) bekezdése értelmében a Hatóság döntésének végrehajtását a döntésben foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a Hatóság foganatosítja. (85) Az Infotv. 71. § (1) bekezdése alapján a Hatóság eljárása során - az annak lefolytatásához szükséges mértékben és ideig - kezelheti mindazon személyes adatokat, valamint törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatokat, amelyek az eljárással összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. (86) Az Infotv. 71. § (2) bekezdése szerint a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja. (87) Az Ákr. 5. § (1) bekezdése alapján az ügyfél az eljárás során bármikor nyilatkozatot, észrevételt tehet. (88) Az Ákr. 6. §-a alapján az eljárás valamennyi résztvevője köteles jóhiszeműen eljárni és a többi résztvevővel együttműködni. Senkinek a magatartása nem irányulhat a hatóság megtévesztésére vagy a döntéshozatal, illetve a végrehajtás indokolatlan késleltetésére. Az ügyfél és az eljárás egyéb résztvevője jóhiszeműségét az eljárásban vélelmezni kell. A rosszhiszeműség bizonyítása a hatóságot terheli. (89) Az Ákr. 13. § (1) – (2) bekezdése alapján, ha törvény nem írja elő az ügyfél személyes eljárását, helyette törvényes képviselője, vagy az általa, illetve törvényes képviselője által meghatalmazott személy, továbbá az ügyfél és képviselője együtt is eljárhat. Jogi személy törvényes képviselőjének eljárása személyes eljárásnak minősül. (90) Az Ákr. 14. §-a alapján a meghatalmazott a képviseleti jogosultságát - ha azt a rendelkezési nyilvántartás nem tartalmazza - köteles igazolni. A meghatalmazást közokiratba vagy teljes bizonyító erejű magánokiratba kell foglalni vagy jegyzőkönyvbe kell mondani. Ha a meghatalmazásból más nem tűnik ki, az kiterjed az eljárással kapcsolatos valamennyi nyilatkozatra és cselekményre. Ha a képviseleti jogosultság visszavonás, felmondás vagy az ügyfél, illetve a meghatalmazott halála miatt megszűnik, a megszűnés a hatósággal szemben a hatóságnak való bejelentéstől, a többi ügyféllel szemben a velük való közléstől hatályos. (91) Az Ákr. 27. §-a alapján a hatóság az ügyfél és az eljárás egyéb résztvevője azonosításához szükséges természetes személyazonosító adatokat és az ügyfajtát szabályozó törvényben meghatározott személyes adatokat, továbbá - ha törvény másként nem rendelkezik - az eljárás eredményes lefolytatásához elengedhetetlenül szükséges más személyes adatokat kezeli. A hatóság gondoskodik arról, hogy a törvény által védett titok és törvény által védett egyéb adat (a továbbiakban együtt: védett adat) ne kerüljön nyilvánosságra, ne juthasson illetéktelen személy tudomására, és e védett adatok törvényben meghatározott védelme a hatóság eljárásában is biztosított legyen. A hatóság az eljárása során annak lefolytatásához - jogszabályban meghatározott módon és körben - kezeli azokat a védett adatokat, amelyek eljárásával összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. (92) Az Ákr. 33. § (1) bekezdése alapján az ügyfél az eljárás bármely szakaszában és annak befejezését követően is betekinthet az eljárás során keletkezett iratba. (93) Az Ákr. 33. § (4) bekezdése alapján az iratbetekintés során az arra jogosult másolatot, kivonatot készíthet vagy - kormányrendeletben meghatározott költségtérítés ellenében másolatot kérhet, amelyet a hatóság kérelemre hitelesít. (94) Az Ákr. 34. §-a értelmében nem lehet betekinteni a döntés tervezetébe. Nem ismerhető meg az olyan irat vagy az irat olyan része, amelyből következtetés vonható le valamely védett adatra vagy olyan személyes adatra, amely megismerésének törvényben meghatározott feltételei nem állnak fenn, kivéve, ha az adat - ide nem értve a minősített adatot - megismerésének hiánya megakadályozná az iratbetekintésre jogosultat az e törvényben biztosított jogai gyakorlásában. A hatóság a kérelem alapján az iratbetekintést biztosítja - az eljárás befejezését követően is -, vagy azt végzésben elutasítja. (95) Az Ákr. 62. § (1) bekezdése szerint, ha a döntéshozatalhoz nem elegendőek a rendelkezésre álló adatok, a hatóság bizonyítási eljárást folytat le. (96) Az Ákr. 62. § (2) bekezdése alapján a hatósági eljárásban minden olyan bizonyíték felhasználható, amely a tényállás tisztázására alkalmas. Nem használható fel bizonyítékként a hatóság által, jogszabálysértéssel megszerzett bizonyíték. (97) Az Ákr. 62. § (4) bekezdése értelmében a hatóság szabadon választja meg a bizonyítás módját, és a rendelkezésre álló bizonyítékokat szabad meggyőződése szerint értékeli. (98) Az Ákr. 63. §-a szerint, ha a tényállás tisztázása azt szükségessé teszi, a hatóság az ügyfelet nyilatkozattételre hívhatja fel. (99) Az Ákr. 64. § (1) bekezdése szerint, ha jogszabály nem zárja ki, az ügyfél a nyilatkozatával pótolhatja a hiányzó bizonyítékot, ha annak beszerzése nem lehetséges. (100) Az Ákr. 64. § (2) bekezdése értelmében, ha az ügyfél vagy képviselője más tudomása ellenére az ügy szempontjából jelentős adatot valótlanul állít vagy elhallgat - ide nem értve, ha vele szemben az Ákr. 66. § (2) bekezdésében vagy (3) bekezdés b) és c) pontjában meghatározott ok áll fenn -, illetve ha a kötelező adatszolgáltatás körében az Ákr. 105. § (2) bekezdésében foglalt ok hiányában adatszolgáltatási kötelezettségét nem teljesíti, eljárási bírsággal sújtható.

(101) Az Ákr. 65. § (1) – (2) bekezdései alapján a hatóság, ha a tényállás tisztázása során szükséges, és az az Eüsztv. alapján nem szerezhető be – az Ákr. 36. § (2) bekezdésben meghatározottak kivételével - felhívhatja az ügyfelet okirat vagy más irat bemutatására. Ha törvény vagy kormányrendelet másként nem rendelkezik, az ügyfél az iratot másolatban is benyújthatja, ha nyilatkozik arról, hogy az az eredetivel mindenben megegyezik. (102) Az Ákr. 68. § (1) bekezdése alapján, ha a tényállás tisztázására ingó, ingatlan (a továbbiakban együtt: szemletárgy) vagy személy megtekintése vagy megfigyelése szükséges, a hatóság szemlét rendelhet el. (103) Az Ákr. 68. § (2) – (3) bekezdései szerint a szemletárgy birtokosát és az Ákr. 68. § (1)

bekezdésben meghatározott személyt - ha az a szemle eredményességét nem veszélyezteti - a szemléről előzetesen értesíteni kell. A szemletárgy birtokosának távolléte - ha jelenléte nem szükségszerű - nem akadálya a szemle megtartásának. (104) Az Ákr. 69. §-a tartalmazza a szemle lefolytatására vonatkozó rendelkezéseket, eszerint:

„(1) A szemle megtartása során - az ismert tulajdonos értesítésével egyidejűleg - a szemletárgy birtokosa kötelezhető a szemletárgy felmutatására, illetve arra, hogy az ügyfelet a szemle helyszínére beengedje. (2) A szemle során a hatóság eljáró tagja jogosult különösen a) a szemlével érintett területre, építménybe és egyéb létesítménybe belépni, b) bármely iratot, tárgyat vagy munkafolyamatot megvizsgálni, c) felvilágosítást kérni, illetve d) mintát venni.” (105) Az Ákr. 70. § (1) – (2) bekezdései alapján a szemle eredményes és biztonságos lefolytatása érdekében a hatóság a rendőrség közreműködését kérheti. A rendőrség a rendőrségről szóló törvény végrehajtási eljárás lefolytatásában való közreműködésre vonatkozó szabályai szerint, a hatóság felkérésére - előzetes megkeresése nélkül azonnal, a hatóság által megjelölt helyen és ideig biztosítja a közreműködést. (106) Az Ákr. 76. §-a alapján, ha a hatóság az ügyben bizonyítási eljárást folytatott le, melynek során a hatóság nem biztosította, hogy az ügyfél minden bizonyítékot megismerjen, annak befejezését követően értesíti az ügyfelet, hogy - az iratokba való betekintés szabályai figyelembevételével - megismerhesse a bizonyítékokat, és további bizonyításra irányuló indítványt terjeszthessen elő. (107) Az Ákr. 77. § (1) – (2) bekezdéseiben foglaltak alapján azt, aki a kötelezettségét önhibájából megszegi, a hatóság az okozott többletköltségek megtérítésére kötelezi, illetve eljárási bírsággal sújthatja. Az eljárási bírság legkisebb összege esetenként tízezer forint, legmagasabb összege - ha törvény másként nem rendelkezik természetes személy esetén ötszázezer forint, jogi személy vagy egyéb szervezet esetén egymillió forint azzal, hogy az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja és 83. cikke alapján a Hatóság az 58. cikk (1) bekezdésében előírt hozzáférés-biztosítási kötelezettség megsértése esetén legfeljebb 20 000 000 EUR vagy – vállalkozás esetében, ha az magasabb – az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%-át kitevő összegű bírsággal sújthatja az adatkezelőt, illetve az adatfeldolgozót az eset összes releváns körülményének mérlegelése alapján. (108) Az Ákr. 103. § (1) bekezdése alapján a hivatalbóli eljárásokban az Ákr.-nek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az Ákr. VII. Fejezetében foglalt eltérésekkel kell alkalmazni.

(109) Az Ákr. 105. §-a alapján a hivatalbóli eljárásban az ügyfél a hatóság erre irányuló felhívására köteles közölni az érdemi döntéshez szükséges adatokat. Törvény vagy kormányrendelet jogkövetkezményeket állapíthat meg az adatszolgáltatási kötelezettség elmulasztása vagy valótlan adatok közlése esetére. Az adatszolgáltatást az ügyfél akkor tagadhatja meg, ha arra a tanúvallomást megtagadhatná. (110) Az eljárási költségekről, az iratbetekintéssel összefüggő költségtérítésről, a költségek megfizetéséről, valamint a költségmentességről szóló 469/2017. (XII. 28.) Korm. rendelet 2. § (1) bekezdés b) pontja alapján a hatóság az iratbetekintést az iratbetekintést kérő személy által meg nem ismerhető személyes és védett adatok megismerhetetlenné tételét követően biztosítja. (111) A fogyasztóvédelemről szóló 1997. évi CLV. törvény (a továbbiakban: Fgy. tv.) 16/A. § (1) bekezdése alapján tilos tizennyolcadik életévét be nem töltött személy részére - a kizárólag orvosi rendelvényre kiadható gyógyszer kivételével - alkoholtartalmú italt értékesíteni, illetve kiszolgálni. (112) Az Fgytv. 16/A. § (4) bekezdése szerint az (1)-(3) bekezdésben meghatározott korlátozás érvényesítése érdekében a vállalkozás vagy annak képviselője kétség esetén felhívja a fogyasztót életkorának hitelt érdemlő igazolására. Az életkor megfelelő igazolásának hiányában a termék értékesítését, illetve kiszolgálását meg kell tagadni.

## III. Döntés

(113) A Hatóság fontosnak tartja kiemelni, hogy a Hatóság messzemenően egyetért a tizennyolcadik életévüket be nem töltött személyek alkoholvásárlási tilalmával és a kapcsolódó jogi kötelezettségek általános adatvédelmi rendelettel összhangban történő biztosításával. (114) Jelen adatvédelmi hatósági eljárásban értékelt adatkezelés kiindulópontját az Fgytv.

16/A. §-ának helyes értelmezése és alkalmazása, valamint az arra vonatkozó tájékoztatási gyakorlat képezi, amely az eljárás szempontjából az alábbi releváns rendelkezéseket tartalmazza:

„(1) Tilos tizennyolcadik életévét be nem töltött személy részére - a kizárólag orvosi rendelvényre kiadható gyógyszer kivételével - alkoholtartalmú italt értékesíteni, illetve kiszolgálni. (2) […] (3) […] (4) Az (1)-(3) bekezdésben meghatározott korlátozás érvényesítése érdekében a vállalkozás vagy annak képviselője kétség esetén felhívja a fogyasztót életkorának hitelt érdemlő igazolására. Az életkor megfelelő igazolásának hiányában a termék értékesítését, illetve kiszolgálását meg kell tagadni. (5) […] (6) […].”

## III.1. Előzetes megállapítások az életkor ellenőrzés általános adatvédelmi rendelet hatálya alá tartozása és az adatkezelés időtartama és földrajzi kiterjedése kapcsán

(115) A Hatóság jelen adatvédelmi hatósági eljárásban előzetes kérdésként azt vizsgálta, hogy a Kötelezett által az alkoholtartalmú italok értékesítésének gyakorlata kapcsán személyes adatok kezelése valósult-e meg azáltal, hogy az érintettek személyazonosításra alkalmas fényképes igazolványában szereplő, vagy egyes esetekben az érintett által szóban közölt születési idejét a Kötelezett kasszarendszerébe bevitte, abban a naplófájl részeként 180 napig megőrizte, illetve ezen adat közlésétől és bevitelétől tette függővé a 18. életévét betöltött személyek számára is alkoholtartalmú ital értékesítését. (116) Az általános adatvédelmi rendelet 4. cikk 1. pontja értelmében személyes adat a természetes személyre vonatkozó bármely információ. Az Európai Adatvédelmi Testület által a 8/2020. számú iránymutatásában is hivatkozott, a 95/46/EK irányelv 29. cikke alapján létrehozott adatvédelmi munkacsoport a személyes adatok fogalmáról szóló 4/2007. sz. véleménye (2007. június 20., WP 136) szerint: „általánosan fogalmazva az információt egyénre „vonatkozónak” tekinthetjük, ha az adott egyénről szól. (…) A munkacsoport már figyelmet fordított annak kérdésére, mikor is lehet az információt személyre „vonatkozónak” tekinteni.” [9. oldal] „Az rádiófrekvenciás azonosító (RFID) címke miatt felmerülő adatvédelmi kérdésekről folytatott viták keretein belül a munkacsoport megjegyezte, hogy „egyénre vonatkozik az adat, ha az egyén azonosságára, tulajdonságaira vagy viselkedésére utal, vagy ha az ilyen információt annak meghatározására vagy befolyásolására használják, ahogyan az adott személyt kezelik vagy értékelik.” [10. oldal] „A „cél” elem is felelős lehet azért a tényért, hogy az információ egy adott személyre „vonatkozzék”. E „cél” elemet meglévőnek lehet tekinteni, amikor az adatot az esetet övező valamennyi körülményt figyelembe véve abból a célból használják fel vagy használják fel valószínűleg, hogy az egyén státuszát vagy viselkedését értékeljék, bizonyos bánásmódban részesítsék vagy befolyásolják.” [11. oldal] „A bizonyos személyekre „vonatkozás” harmadik fajtája akkor merül fel, amikor „eredmény” elem van jelen. A „tartalom” vagy a „cél” elem hiánya ellenére lehet adatot egyénre „vonatkozónak” tekinteni, amennyiben felhasználása valószínűleg hatással van egy adott személy jogaira és érdekeire, figyelembe véve az adott esetet övező valamennyi körülményt. Meg kell jegyezni, hogy a lehetséges eredménynek nem feltétlenül kell jelentős hatásnak lennie. Elégséges, ha az egyént az ilyen adatok feldolgozásának eredményeként a többiektől eltérő bánásmódban részesíthetik. (…) E három elemet (tartalom, cél, eredmény) vagylagos, nem pedig kumulatív feltételeknek kell tekinteni.” [12. oldal] (117) Kötelezett a 2022. november 18. napján érkezett nyilatkozatához [NAIH-6989-13/2022 ügyszámú irat] mellékelte a 2022. augusztus 12-i keltezésű „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztatót”, amely 3.8. pontjának megnevezése „Életkor ellenőrzésére irányuló adatkezelés alkoholtartalmú ital vásárlás esetén.” A 3.8. pont hetedik bekezdése tartalmazta azt is: „A kezelt személyes adatok köre tehát az érintett születési ideje.” (118) Fentiek alapján a Hatóság – a Kötelezett 2022. augusztus 12-i keltezésű adatkezelési tájékoztatójában foglaltakkal egyezően – arra a következtetésre jutott, hogy a születési dátum megismerésének, gyűjtésének és bevitelének célja, valamint eredménye alapján az a tárgybeli ügyben az általános adatvédelmi rendelet 4. cikk 1. pontja szerinti személyes adatnak minősül, ezért az adatokon elvégzett bármely művelet az általános adatvédelmi rendelet 4. cikk 2. pontja szerinti adatkezelés. A születési időpont kasszarendszerbe történő bevitele valójában az adat gyűjtése; míg az adatok bevitelének eredményeként 180 napig történő megőrzése a naplófájlban az általános adatvédelmi rendelet fogalomrendszere szerinti rögzítés és tárolás. A személyazonosításra alkalmas hatósági igazolvány bemutatására kötelezés célja az volt, hogy az azt bemutató személyre vonatkozó következtetésre jusson a Kötelezett, alkoholtartalmú ital értékesítése (érintett általi vásárlása) tekintetében őt érintő hatást váltson ki, amelyre tekintettel az igazolvány adataiba történő betekintés, a szóban közölt születési idő megismerése is adatkezelésnek minősül.

(119) A Hatóság kiemeli, hogy a Kötelezett – a 2022. szeptember 13. napján érkezett nyilatkozata 1. pontja alapján – már 2019-ben bővítette azon új funkcióval a kasszaszoftverét, amely lehetővé tette a Kötelezett számára, hogy előírja a bolti eladó munkakörben foglalkoztatott munkavállalói számára az alkoholtartalmú italt is magában foglaló tranzakcióknál a kassza azon új funkciójának a használatát, amely a hó/nap/év formátumban megadott születési dátum „beadásakor segíti őket” a vásárlók életkorának ellenőrzésében. A Hatóság azonban kizárólag attól az időponttól kezdődően értékelte a Kötelezett gyakorlatát, hogy az általános jelleggel előírta 2022. augusztus 4-től a bolti eladó munkakörben foglalkoztatott munkavállalói számára minden egyes alkoholtartalmú italt vásárolni szándékozó személy életkorának kötelező ellenőrzését, tekintettel a Hatósághoz érkezett nagyszámú panaszra. (120) Kötelezett 2022. szeptember 13. napján érkezett nyilatkozatának [NAIH-6989-8/2022 ügyszámú irat] 4. pontja; a nyilatkozat végén szereplő egyéb megjegyzések, és a nyilatkozat 2. számú mellékletét képező körlevél; a 2022. október 7. napján érkezett nyilatkozata [NAIH-6989-11/2022 ügyszámú irat] 1. pontja, és az ahhoz mellékelt körlevél (5. számú melléklet) alapján 2022. augusztus 4. napjától 2022. augusztus 31.

## napjáig írta elő azt az adatkezelési gyakorlatot, hogy alkoholtartalmú ital vásárlása

esetén minden egyes vásárlónak ellenőrizzék az életkorát a Kötelezett pénztárosai. Kötelezett minden üzlete vonatkozásában előírta az adatkezelést [NAIH-6989-

## 11/2022 ügyszámú irat 5. melléklet], amely országos kiterjedésű tevékenységnek tekintendő, figyelemmel a Kötelezett által 2022 áprilisától a döntés meghozataláig

közzétett valamennyi adatkezelési tájékoztatójának első mondatára „Az országos lefedettségű üzlethálózattal élelmiszer jellegű bolti vegyes kiskereskedelmi tevékenységet végző ALDI Magyarország Élelmiszer Bt. (…)” [NAIH-6989-8/2022 ügyszámú irat 4. melléklet; NAIH-6989-13/2022 ügyszámú irat 10/B. melléklet; NAIH- 3227-2/2023 ügyszámú irat 14. melléklet].

## III.2. Az átláthatóság elvének és az ahhoz kapcsolódó adatkezelői kötelezettségeknek a sérelme

(121) Az általános adatvédelmi rendelet 5. cikke tartalmazza azon fő alapelveket, amelyeket a személyes adatok kezelése során – az adatkezelés jogalapjától függetlenül figyelembe kell venni, és amelyeknek folyamatosan érvényesülniük kell az adatkezelés során. (122) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja alapján a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”). (123) Az általános adatvédelmi rendelet (39) preambulumbekezdése értelmében a természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba, hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik vagy fogják kezelni. Az átláthatóság elve vonatkozik különösen az érintetteknek az adatkezelő kilétéről és az adatkezelés céljáról való tájékoztatására, valamint az azt célzó további tájékoztatásra, hogy biztosított legyen az érintett személyes adatainak tisztességes és átlátható kezelése, továbbá arra a tájékoztatásra, hogy az érintetteknek jogukban áll megerősítést és tájékoztatást kapni a róluk kezelt adatokról. (124) Az általános adatvédelmi rendelet (58) preambulumbekezdése szerint az átláthatóság elve megköveteli, hogy a nyilvánosságnak vagy az érintettnek nyújtott tájékoztatás tömör, könnyen hozzáférhető és könnyen érthető legyen, valamint, hogy azt világos és közérthető nyelven fogalmazzák meg, illetve - ezen túlmenően - szükség esetén vizuálisan is megjelenítsék. (125) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése is kimondja, hogy az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében.

## III.2.1. Az átláthatóság elvének sérelme a Kötelezett által előírt adatkezelés során

(126) Kötelezett 2022. szeptember 13. napján érkezett nyilatkozatának 7. pontja szerint az üzletek belső helyiségeibe vezető ajtó mellett (az 1-es pénztár mellett) minden üzletben kihelyezésre került az üzletekre vonatkozó adatvédelmi és adatkezelési tájékoztató, valamint a Kötelezett honlapján is elérhetők a tájékoztatók, azonban a Hatósághoz érkezett, a Kötelezett alkoholtartalmú italok vásárlása kapcsán kialakított adatkezelési gyakorlatával kapcsolatos bejelentések között több érintetti panasz is kifejezetten arra vonatkozott, hogy számára átláthatatlan volt az adatkezelés, azzal kapcsolatos adatkezelési tájékoztatást nem tudott a Kötelezett nyújtani [lásd: a határozat (52), (53) és (56) bekezdései]. (127) A Hatóság az Ákr. 68-69. §-ok alapján lefolytatott szemlék során a panaszokkal egyező gyakorlatot foglalt jegyzőkönyvbe [lásd: NAIH-6989-5/2022 ügyszámú jegyzőkönyv 2., 5. és 6. oldalai; valamint a NAIH-6989-6/2022 ügyszámú jegyzőkönyv 2., 5. és 6. oldalai], az alkoholtartalmú italok vásárlása során megvalósuló adatkezelésekre vonatkozó adatkezelési tájékoztató nem volt fellelhető sem az üzletek bejáratánál, sem a kasszák környékén, sem a vásárlótérben, ezen túlmenően az adatkezelés kapcsán Kötelezett üzleteiben sem tudtak az adatkezelés lényeges körülményeire vonatkozóan teljes körű tájékoztatást nyújtani, a vásárlók részére pedig eltérő tartalmú tájékoztatást nyújtottak. A Kötelezett üzleteiben a Hatóság rendelkezésére bocsátott 2019. évi keltezésű „ADATKEZELÉSI TÁJÉKOZTATÓ (KIVONAT)” elnevezésű dokumentum – amely keltezésénél csupán „Biatorbágy, 2019.” szerepelt – csak a Kötelezett adott üzletében kihelyezett kamerarendszer üzemeltetésével kapcsolatos rendelkezéseket tartalmazott („Biztonsági kamerarendszer üzemeltetése az ALDI Magyarország Élelmiszer Bt. üzleteiben”). A Kötelezett 1186 Budapest, Cziffra György utca 7. szám alatt található üzletében a tájékoztató azon részei, ahol kipontozott vonalak voltak elhelyezve (így például: ahol a Kötelezett adott üzletének a címét vagy az igénybe vett adatfeldolgozó megnevezését kellett volna beírni) nem voltak kitöltve. (128) Az Ákr. 68. – 69. §-ok alapján lefolytatott szemlék során az egyik üzlet belső helyiségébe vezető ajtó mellett kihelyezésre került adatkezelési tájékoztató –az üzletek belső helyiségeibe vezető ajtó mellett kihelyezésre került tájékoztatóra Kötelezett 2022. szeptember 13. napján érkezett válaszának 7. pontjában is hivatkozott – 2019-es keltezésű volt, noha a Kötelezett az eljárás során vizsgált adatkezelését 2022. augusztus 4. napjától kezdte meg, és abban nem volt utalás sem az alkoholtartalmú italok vásárlása kapcsán megvalósuló adatkezelésekre.

## (129) A fentiek alapján az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontjában foglalt átláthatóság elvének sérelme következett be azáltal, hogy

## Kötelezett üzleteiben (azaz az adatkezelés helyszínén) az alkoholtartalmú italt

vásárolni szándékozó érintettek számára nem volt átlátható az ahhoz kapcsolódó, a Kötelezett által kialakított adatkezelés; annak lényeges körülményeit nem volt az érintetteknek lehetősége megismerni, mert nem volt kihelyezve megfelelő, a tényleges adatkezeléssel kapcsolatos lényeges információkat tartalmazó adatkezelési tájékoztató; továbbá az érintettek és a Hatóság képviselőinek kérésére a Kötelezett munkavállalói még szóban sem tudtak tájékoztatást adni a kapcsolódó adatkezelési tájékoztató internetes elérhetőségéről vagy az adatkezelés lényeges körülményiről.

## III.2.2. Az átláthatóság elvének sérelme a Kötelezett üzleteiben ténylegesen megvalósuló eltérő gyakorlat kapcsán

(130) Kötelezett 2022. október 7. napján érkezett nyilatkozatának [NAIH-6989-11/2022 ügyszámú irat] mellékletét képezi a 2022. augusztus 4. és 2022. augusztus 31. közötti időszakban Kötelezett által előírt eljárásrend minden egyes alkoholtartalmú italt magában foglaló tranzakció esetén, míg a Kötelezett 2022. szeptember 13. napján érkezett nyilatkozatához csatolta a 2022. szeptember 1. napjától hatályos, módosított eljárásrendjét. (131) A 2022. augusztus 4. és 2022. augusztus 31. közötti időszakban Kötelezett által előírt eljárásrenddel szemben a Hatósághoz érkezett, a Kötelezett alkoholtartalmú italok vásárlása kapcsán kialakított adatkezelési gyakorlatával kapcsolatos bejelentések között több panasz is eltérő gyakorlatot írt le [lásd: a határozat (53), (54), (56) és (57) bekezdései]. A Hatóság a Kötelezett üzleteiben az Ákr. 68.–69. §-ok szerint lefolytatott szemlék során is a Kötelezett által kötelezően előírt eljárásrendtől különböző és üzletenként is jelentősen eltérő gyakorlatot foglalt jegyzőkönyvbe [lásd: NAIH-6989- 5/2022 ügyszámú jegyzőkönyv 5. és 6. oldalai; NAIH-6989-6/2022 ügyszámú jegyzőkönyv 5. – 7. oldalai]. (132) A fentiek alapján a Kötelezett a 2022. augusztus 4. és augusztus 31. közötti időszakban általános jelleggel előírta a bolti eladó munkakörben foglalkoztatott munkavállalói számára minden egyes alkoholtartalmú italt vásárolni szándékozó személy életkorának kötelező ellenőrzését. Az ebben az időszakban érvényes, a Kötelezett által elvárt eljárásrenddel szemben azonban a Hatóság a helyszíni szemléken, valamint a Hatósághoz érkezett bejelentésekben foglaltak alapján (az alábbiakban is felsorolt) jelentősen eltérő gyakorlatot tapasztalta:

- igazolvány elkérése, arról a születési dátum rögzítése; - születés dátum bemondása (gyakran más vásárlók füle hallatára) igazolvány bemutatására kötelezés helyett, így a vásárolni kívánt alkoholtartalmú ital értékesítése; - személyi azonosítóról és lakcímről szóló hatósági igazolvány (lakcímigazolvány)

elfogadása a vásárló életkorának az igazolására; - igazolvány hiányában az alkoholtartalmú ital értékesítésének megtagadása (szemmel láthatóan a tizennyolcadik életévét jócskán betöltött, idős vásárló esetén is); - igazolvány megtekintése adatrögzítés nélkül. (133) A fentiekben részletezett – a Hatóság képviselői által is személyesen megtapasztalt eltérő gyakorlat is azt mutatja, hogy az érintettek, de még a Kötelezett munkavállalói (azaz a pénztárosok, sőt még az üzletvezetők, illetve üzletvezető-helyettesek) számára sem volt egyértelműen átlátható a Kötelezett által követendően előírt adatkezelési gyakorlat, azt akár adott napon belül is eltérően alkalmazták [lásd: a határozat (18) bekezdése] valamint, hogy üzleteken belül is „felülbírálták” a Kötelezett által megkívánt adatkezelési gyakorlatot [különös tekintettel a Hivatal próbavásárlással egybekötött helyszíni hatósági ellenőrzéseiről készült jegyzőkönyvekben foglaltakra, lásd: a határozat (57) bekezdése].

## (134) A fentiek értelmében az átláthatóság elvének sérelmét jelenti az is, hogy a

## Kötelezett üzleteiben, valamint az egyes üzleteken belül a kasszáknál is jelentősen eltérő volt az alkoholtartalmú italt vásárolni szándékozó személyek életkorának ellenőrzésével kapcsolatos tényleges adatkezelési gyakorlat, ennek megfelelően

az érintettek számára nem volt átlátható az őket érintő adatkezelés. III.2.3. Az átláthatóság elvének sérelme a születési idő Kötelezett általi rögzítésével, megőrzésével és címzettjeivel kapcsolatban (135) A Hatóság azon végzésében foglalt kérésére [NAIH-6989-2/2022 ügyszámú irat], hogy

Kötelezett csatolja a Weboldalán közzétett, 2022. augusztus 12. napját megelőzően történő adatkezelésekre vonatkozó tájékoztatóját, Kötelezett 2022. szeptember 13. napján érkezett nyilatkozatának 9. pontjában hivatkozza válasza [NAIH-6989-8/2022 ügyszámú irat] 4. mellékletét képező 2022. április 20-i keltezésű „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztató” iratát, amelyben semmilyen információ nem található az életkor ellenőrzése kapcsán megvalósuló adatkezelésről. (136) Kötelezett 2022. szeptember 13. napján érkezett nyilatkozatának 6. pontja alapján a „születési idő” nem kerül tárolásra, a 2022. november 18. napján érkezett nyilatkozata 6. pontja értelmében pedig nem kerül rögzítésre a születési dátum. (137) Kötelezett 2022. november 18. napján érkezett nyilatkozatához mellékelt 2022.

augusztus 12-i keltezésű „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztató” 3.8. pontja („Életkor ellenőrzésére irányuló adatkezelés alkoholtartalmú ital vásárlása esetén”) negyedik és nyolcadik bekezdésében foglaltak alapján sem a kasszaszoftver, sem a pénztáros nem rögzít, nem ment és nem tárol semmilyen személyes adatot. Annak hetedik bekezdése alapján „a születési dátum gépben történő begépelése után annak tárolására vagy rögzítésére nem kerül sor. A kezelt személyes adatok köre tehát az érintett születési ideje.”

(138) Kötelezett 1186 Budapest, Cziffra György utca 7. szám alatt található üzletében a szemle során az üzletvezető-helyettes a Hatóság munkatársának azon kérdésére, hogy a születési dátum rögzítésre, továbbításra kerül-e, azt válaszolta, hogy „a begépelt adatot csak ellenőrzi a gép, nekik segítség” (lásd: NAIH-6989-6/2022 ügyszámú jegyzőkönyv 7. oldala). (139) Fentiekkel szemben Kötelezett a 2022. szeptember 13. napján érkezett nyilatkozatának

6. pontjában előadta, hogy hibaelhárítás érdekében a kassza billentyűinek leütése az adott kasszában lokálisan naplózásra kerül, normál működés esetén ezek a naplófájlok a rögzítést követő 180 nap elteltével törlésre kerülnek. Kötelezett a 2022. október 7. napján érkezett nyilatkozata 2. pontjában kimondta, hogy „A naplófájlok nem kizárólagosan a kasszarendszerbe beadott születési évszámot, hanem a kasszarendszerben történt billentyűleütéseket, melyek alapvetően numerikus billentyűzeten alapulnak, rögzítik”, valamint, a leütéseket tartalmazó naplófájlok Kötelezett általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogos érdeke alapján „kerülnek rögzítésre”. Nyilatkozatának 4. pontjában azt is ismertette, hogy a munkavállalók és az érintettek személyes adatait tartalmazó a naplófájlokhoz a kasszák hibaelhárítását végző személyek férnek hozzá, azt a Kötelezett „informatikus munkavállalói, másrészt az ALDI International IT Services Kft. (továbbiakban: „AIIS”) alkalmazásában álló munkavállalók végzik.”

(140) A Kötelezett Weboldalára kihelyezésre került a 2023. január 17. napjától hatályos, módosított és a korábbiakhoz képest kibővített „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztató”, amely a Kötelezett 2023. február 21. napján érkezett nyilatkozatának a mellékletét is képezi. A tájékoztató 3.13. pontjának („Életkor ellenőrzésére irányuló adatkezelés alkoholtartalmú ital vásárlása esetén”) utolsó előtti bekezdése azonban már tájékoztatást nyújt arról, hogy a születési dátum tárolására a kasszában „csak naplófájl szinten” kerül sor, valamint, hogy a kassza billentyűleütései naplófájl formájában annak keletkezését követő 180 nap elteltével törlődik. Kötelezett emellett a 3.13. pont utolsó bekezdésében az adatkezelés címzettjeként ismerteti már az adatkezelési cél kapcsán igénybe vett adatfeldolgozóit is: „A hibaelhárítást érintően az informatikai fejlesztés és támogatás kapcsán a Társaság az AIIS és az ALDI International Services SE & Co. oHGt (45481 Mülheim an der Ruhr, Mintarder Straße 36-40.) veszi igénybe adatfeldolgozóként.”. (141) A fentiek alapján Kötelezett az Ákr. 76. § szerinti értesítésről szóló végzés [NAIH-

6989-16/2022 ügyszámú végzés] időpontjáig megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átláthatóság elvét a naplózással megvalósuló adatkezelése kapcsán is azáltal, hogy nem biztosította az adatkezelés átláthatóságát az érintettek számára, mivel 2022. augusztus 4. és 11.

## közötti időszakban nem nyújtott tájékoztatást az érintettek részére az adatkezelés vonatkozásában; a 2022. augusztus 12. és 31. közötti időszakban a valósággal

ellentétes tartalmú tájékoztatást nyújtott az érintetteknek a Weboldalán és az Ákr.

## 68-69. § szerinti szemlék során üzleteiben is arról a tényről, hogy a kassza minden billentyűjének a leütése (és ezáltal alkoholtartalmú ital vásárlása esetén a vásárlók születési dátuma is) naplózásra került, valamint, hogy ezek a naplófájlok a rögzítést követő 180 napig megőrzésre is kerültek, továbbá azokhoz a Kötelezett

által igénybevett adatfeldolgozó is hozzáfér; végezetül, hogy 2022. szeptember 1.

## napjától az Ákr. 76. § szerinti értesítésről szóló végzés időpontjáig nem módosította Kötelezett a vonatkozó adatkezelési tájékoztatóját, ezáltal továbbra

sem tájékoztatta az érintetteket a fent kifejtettekről.

## III.2.4. Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerinti könnyen hozzáférhető tájékoztatás követelményének sérelme

(142) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése előírja azt, hogy az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást – többek között – könnyen hozzáférhető formában nyújtsa. (143) Az Európai Adatvédelmi Testület által 2018. május 25. után is fenntartott, a 95/46/EK irányelv 29. cikke alapján létrehozott adatvédelmi munkacsoportnak az (EU) 2016/679 rendelet szerinti átláthatóságról szóló WP260 rev.01. számú (2018. április 11.) iránymutatás 11. pontja az általános adatvédelmi rendelet 12. cikkének tartalma kapcsán kifejti, hogy „A „könnyen hozzáférhető” elem azt jelenti, hogy az érintettnek nem kell keresnie a tájékoztatást; azonnal láthatónak kell lennie számára, hogy a tájékoztatást hol és miként érheti el, például a tájékoztatás közvetlen biztosításával, az érintettek tájékoztatáshoz irányításával, a tájékoztatáshoz vezető út egyértelmű jelölésével vagy egy természetes nyelvű kérdésre adott válaszként”. (144) A Hatósághoz érkezett, a Kötelezett alkoholtartalmú italok vásárlása kapcsán kialakított adatkezelési gyakorlatával kapcsolatos bejelentések között volt olyan panasz is, amely kifejezetten arra vonatkozott, hogy a Kötelezett üzletében kihelyezett adatkezelési tájékoztató egy fehér lappal le volt takarva, az alatta lévő szöveg nem volt olvasható [lásd: a határozat (53) bekezdése]. A Hatóság az Ákr. 68.–69. §-ok alapján Kötelezett üzleteiben lefolytatott szemlék során az általános adatvédelmi rendelet 12. cikk (1) bekezdésében előírtakkal ellentétes gyakorlatot foglalt jegyzőkönyvbe [lásd: NAIH-6989- 5/2022 ügyszámú jegyzőkönyv 5. oldala „a falon keretbe rögzítve ADATKEZELÉSI TÁJÉKOZTATÓ (KIVONAT) került elhelyezésre a kijárattal szemközti oldalon”; NAIH- 6989-6/2022 ügyszámú jegyzőkönyv 6. oldala „az üzletvezető-helyettes egy példányt elhelyez a vásárlók könyve mögé”]. (145) A Kötelezett Weboldalán a Hatóság eljárásának megindítása időpontjában elérhető, „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztató” megnevezésű, 2022. augusztus 12-i keltezésű dokumentum 3.8. pontja tartalmazta az életkor ellenőrzésére irányuló adatkezelés egyes lényeges körülményeit az alkoholtartalmú italok vásárlása esetén. A Kötelezett üzleteiben megvalósuló adatkezelések kapcsán azonban az érintettek jelentős része számára – az adott élethelyzet sajátosságai, az adatkezelésre az üzletben utaló más jelzés hiánya; egyes érintettek életkora, vagy mobilinternet-hozzáférés hiánya miatt – nem volt életszerű, hogy a Kötelezett Weboldalán keressék ki a vizsgált adatkezelést nevében sem hordozó, nagy terjedelmű adatkezelési tájékoztatót annak érdekében, hogy tájékoztatást kapjanak az őket érintő adatkezelésről. (146) A Hatóság álláspontja szerint a könnyen hozzáférhető tájékoztatás követelményével ellentétes gyakorlat az is, hogy a Kötelezett Ákr. 68-69. § szerinti szemlék során megtekintett üzleteiben a szemle idején kihelyezett – egyébként hatálytalan, és csupán a kamerás adatkezelésekre vonatozó – tájékoztató a vásárlás folyamatának legvégén, a kasszasor utáni vásárlótérben, nem pedig például a bejáratnál jól látható és könnyen hozzáférhető helyen volt elérhető. (147) A könnyen hozzáférhető előzetes tájékoztatáshoz való jog sérelmét jelenti továbbá, hogy a Kötelezett 1171 Budapest, Pesti út 237/p szám alatti üzletében az adatkezeléssel kapcsolatos információhoz az adatkezelési tájékoztató kivonatára négy oldalról záródó rögzítő keret eltávolítását követően lehetett csak hozzáférni [lásd: NAIH-6989-5/2022 ügyszámú jegyzőkönyv 4. melléklete; valamint ide kapcsolódik a határozat (53) bekezdése is]. A tájékoztatót rögzítő keret nyitási lehetőségéről és módjáról, a kereten belül található címlap mögötti dokumentum tartalmáról és annak az internetes elérési lehetőségéről sem volt tájékoztatás a dokumentum keretből történő kiszerelését megelőzően. A Kötelezett 1186 Budapest, Cziffra György utca 7. szám alatti üzletében az adatkezelési tájékoztatót a szemle során a vásárlók könyve mögé helyezték el, amely szintén nem segíti elő az érintettek tájékozódását [lásd: NAIH-6989-6/2022 ügyszámú jegyzőkönyv 6. oldala].

## (148) A fentiekre tekintettel az általános adatvédelmi rendelet 12. cikk (1) bekezdésében előírt „könnyen hozzáférhető” kritérium sérelmével járt az, hogy a Kötelezett nem hozott megfelelő intézkedéseket annak érdekében, hogy az érintettek részére az adatkezelésekkel kapcsolatos tájékoztatóját az egyes üzleteiben könnyen

hozzáférhető módon és formában tegye elérhetővé.

## III.2.5. Az általános adatvédelmi rendelet 13. cikkének sérelme

(149) Az általános adatvédelmi rendelet 13. cikk (1) bekezdése értelmében, ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a 13. cikk (1)-(2)

bekezdésében foglalt információk mindegyikét.

(150) Az általános adatvédelmi rendelet 13. cikk (3) bekezdése szerint, ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról. (151) A Hatóság megvizsgálta a Kötelezett által a vizsgált időszakra vonatkozó valamennyi, különböző időpontokban (2022. április 20. – 2022. augusztus 11; majd 2022. augusztus 12. – 2023. január 16; 2023. január 17-től a döntés meghozataláig) hatályos és közzétett adatvédelmi tájékoztatóját, valamint 2019. évi keltezésű adatkezelési tájékoztató kivonatát, azokat egymással összevetette és az összevetés eredményként az alábbiakat állapította meg. (152) Az Ákr. 68.-69. §-ok szerint a Kötelezett üzleteiben lefolytatott szemlék során a helyszíneken Hatóság rendelkezésére bocsátott 2019. évi keltezésű „ADATKEZELÉSI TÁJÉKOZTATÓ (KIVONAT)” [lásd: NAIH-6989-5/2022 ügyszámú jegyzőkönyv 8. melléklete; NAIH-6989-6/2022 ügyszámú jegyzőkönyv 6. melléklete] csupán az adott üzletben kihelyezett kamerarendszer üzemeltetésével kapcsolatos rendelkezéseket tartalmazott („Biztonsági kamerarendszer üzemeltetése az ALDI Magyarország Élelmiszer Bt. üzleteiben”), az alkoholtartalmú italok vásárlása esetén történő életkor ellenőrzésére irányuló adatkezeléssel és a naplófájlok megőrzésével kapcsolatban egyáltalán nem tartalmazott semmilyen, az általános adatvédelmi rendelet 13. cikk (1) – (2) bekezdéseiben előírt információt. Emellett a Hatóság címét és postacímét tévesen tartalmazta a dokumentum. (153) Kötelezett 2022. szeptember 13. napján érkezett nyilatkozatának [NAIH-6989-8/2022 ügyszámú irat] 4. mellékletét képező 2022. április 20-i keltezésű „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztató” szintén nem rendelkezett az alkoholtartalmú italok vásárlása esetén történő életkor ellenőrzésére irányuló adatkezelésről, az általános adatvédelmi rendelet 13. cikk (1) – (2) bekezdéseiben előírt információkat az eljárás során értékelt időszak vonatkozásában (2022. augusztus 4. és 11. között) nem tartalmazta. (154) Kötelezett 2022. november 11. napján érkezett nyilatkozatának [NAIH-6989-13/2022 ügyszámú irat] 10/B. mellékletét képezi a 2022. augusztus 12-i keltezésű „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztató”, amely 3.8. pontja már tartalmazott rendelkezéseket az életkor ellenőrzésére irányuló adatkezeléssel kapcsolatban alkoholtartalmú italok vásárlása esetén. A dokumentum nem tartalmazta azonban a naplófájlok megőrzésével kapcsolatos adatkezelési cél kapcsán az általános adatvédelmi rendelet 13. cikk (1) - (2) bekezdései szerinti tájékoztatást. (155) A bizonyítási eljárás befejezését követően a Kötelezett Weboldalán elérhetővé vált a

2023. január 17. napjától hatályos „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztató”, amely a Kötelezett 2023. február 21. napján érkezett nyilatkozatának [NAIH-3227-2/2023 ügyszámú irat] 14. mellékletét képezi. Ezen módosított tájékoztató 3.13. pontja tartalmazza az életkor ellenőrzésére irányuló adatkezelésről szóló tájékoztatást alkoholtartalmú ital vásárlása esetén. A 3.13. pont utolsó előtti bekezdése már tájékoztatást nyújt arról, hogy a születési dátum tárolására a kasszában naplófájl szinten kerül sor, valamint, hogy a kassza billentyűleütései naplófájl formájában annak keletkezését követő 180 nap elteltével törlődik. A 3.13. pont utolsó bekezdése rendelkezik továbbá az általános adatvédelmi rendelet 13. cikk (1) bekezdés e) pontja alapján elvárt címzettek körében arról, hogy a Kötelezett adatfeldolgozója az ALDI International IT Services Kft., valamint az ALDI International Services SE & Co. oHG.

(156) A határozat (142) – (148) bekezdéseiben ismertetettek szerint Kötelezett az általános adatvédelmi rendelet 13. cikk (1) bekezdése által elvárt időpontban „a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja” az érintettek születési időpontjának gyűjtése kapcsán nem adott tájékoztatást az érintettek részére.

## (157) Fentiek alapján a Kötelezett megsértette az általános adatvédelmi rendelet 13. cikk

## (1) és (2) bekezdéseit, tekintettel arra, hogy a Kötelezett a személyes adatok megszerzésének időpontjában nem bocsátotta az érintettek rendelkezésére az általános adatvédelmi rendelet 13. cikk (1) – (2) bekezdéseiben meghatározott

információkat az eljárással érintett adatkezelés kapcsán.

## III.3. Az adatkezelés jogalapjának sérelme

(158) Az általános adatvédelmi rendelet 6. cikk (1) bekezdése alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. (159) Kötelezett a 2022. április 20-i keltezésű „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztatója” amely a Kötelezett 2022. szeptember 13. napján érkezett nyilatkozatának a mellékletét képezi – még semmilyen rendelkezést nem tartalmazott az alkoholtartalmú italok vásárlása esetén történő életkor ellenőrzésre irányuló adatkezelésről. A Kötelezett 2022. november 18. napján érkezett nyilatkozatához mellékelt [NAIH-6989-13/2022 ügyszámú irat 10/B. melléklet], 2022. augusztus 12-i keltezésű „Az üzletekben végzett kamerás megfigyelésre és a vásárlókat érintő egyes egyéb személyes adatkezelésre vonatkozó tájékoztató” 3.8. pontja utolsó bekezdése alapján az adatkezelés jogalapja (Kötelezett 2022. szeptember 13. napján érkezett nyilatkozatának [NAIH-6989-8/2022 ügyszámú irat] 2. pontjában előadottakkal egyezően) „a GDPR 6. cikk (1) bekezdés c) pontja szerinti, az Fgytv. 16/A. § szakaszban foglalt jogi kötelezettség teljesítése”. (160) A Kötelezett tehát a 2022. augusztus 12-i keltezésű tájékoztatójában, valamint a 2022.

szeptember 13. napján érkezett nyilatkozatának 2. pontjában is a Kötelezettre vonatkozó jogi kötelezettségként az Fgytv. 16/A. §-át jelölte meg. Az Fgytv. 16/A. § (1) bekezdése alapján „Tilos tizennyolcadik életévét be nem töltött személy részére - a kizárólag orvosi rendelvényre kiadható gyógyszer kivételével - alkoholtartalmú italt értékesíteni, illetve kiszolgálni.” . Az Fgytv. 16/A. § (4) bekezdése értelmében „Az (1)-(3) bekezdésben meghatározott korlátozás érvényesítése érdekében a vállalkozás vagy annak képviselője kétség esetén felhívja a fogyasztót életkorának hitelt érdemlő igazolására. Az életkor megfelelő igazolásának hiányában a termék értékesítését, illetve kiszolgálását meg kell tagadni.”. (161) A Hatóság a Kötelezett 2022. szeptember 13. napján érkezett nyilatkozatának végén

[NAIH-6989-8/2022 ügyszámú irat] hivatkozottak alapján („a fogyasztóvédelmi hatóság maga emelte ki jó gyakorlatként a kasszaszoftver azon funkcióját, hogy az elkéri a születési dátumot, ezzel is minimalizálva a nem jogszabályszerű értékesítés lehetőségét”) ugyanakkor nem azonosított olyan fogyasztóvédelmi döntést, kötelezést sem, amely jelen esetben a Kötelezettre vonatkozó egyedi döntésen alapuló jogi kötelezettségként jogalapul szolgálhatna.

(162) Kötelezett a 2022. augusztus 4. és 2022. augusztus 31. közötti időszakban általános jelleggel előírta a bolti eladó munkakörben foglalkoztatott munkavállalói számára minden egyes alkoholtartalmú italt vásárolni szándékozó személy életkorának kötelező ellenőrzését. (163) A Hatósághoz érkezett bejelentések szerint [lásd: a határozat (56) és (57) bekezdései]

és a Hatóság által az Ákr. 68-69. §-ok szerint a Kötelezett üzleteiben lefolytatott helyszíni szemlék során [lásd: NAIH-6989-5/2022 ügyszámú jegyzőkönyv 5. és 6. oldalai; NAIH- 6989-6/2022 ügyszámú jegyzőkönyv 5.-7. oldalai] tapasztaltak szerint a 18. életévüket nyilvánvalóan betöltött időskorú személyektől is elvárták életkoruk igazolását alkoholtartalmú italok vásárlása esetén. (164) A 2022. augusztus 4. és 2022. augusztus 31. közötti időszakban a Kötelezett az Fgytv.

16/A. § (4) bekezdésére tekintettel az általános adatvédelmi rendelet 6. cikk (1) bekezdés c) pontja alapján megfelelő jogalappal rendelkezett azon alkoholtartalmú italt vásárolni szándékozó személyek életkorának ellenőrzésére irányuló adatkezelés vonatkozásában, akik esetében kétség merült fel, hogy a tizennyolcadik életévüket betöltötték-e.

## (165) A Kötelezett a 2022. augusztus 4. és 2022. augusztus 31. közötti időszak vonatkozásában azonban nem igazolt az általános adatvédelmi rendelet 6. cikk (1)

bekezdés szerinti adatkezelési jogalapot azon érintettek adatainak kezeléséhez, akiknek 18. életévük betöltése kapcsán az Fgytv. 16/A. § (4) bekezdésében meghatározott „kétség” fel sem merülhetett, akikről – bárki számára egyértelműen láthatóan idős korára tekintettel – egyértelműen megállapítható volt, hogy a tizennyolcadik életévüket betöltötték. Mivel e személyi kör kapcsán a Hatóság sem tudott hivatalból azonosítani a Kötelezettre vonatkozó olyan jogszabályhelyet vagy egyedi döntést, amely az adatkezelésre vonatkozó jogi kötelezettséget teremtene, így Kötelezett megsértette az általános adatvédelmi rendelet 6. cikk (1)

bekezdését.

## (166) Az általános adatvédelmi rendelet 6. cikk (1) bekezdés sérelmét jelenti az is, hogy a Kötelezett tévesen őt általánosságban, minden vásárlóra kiterjedően terhelő jogi kötelezettségként azonosította e jogszabályhelyet és a rá irányadó jogi normákat

## – így különösen az általános adatvédelmi rendeletet és az Fgytv.-t – nem megfelelően alkalmazta, túlterjeszkedett a rá alkalmazandó jogi kötelezettség alkalmazhatósági körén a személyes adatok kasszarendszerbe történő bevitele által a naplófájlokban történő rögzítésekor, mivel az Fgytv. 16/A. § (4) bekezdése kizárólag az életkor hitelt érdemlő igazolását várja el, így a rögzítésre nem

rendelkezett megfelelő jogalappal.

## III.4. Az adattakarékosság elvének sérelme

(167) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja értelmében a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”).

## III.4.1. Az adattakarékosság elvének sérelme az adatkezelés céljainak szempontjából nem releváns adatok kezelésével

(168) A Kötelezett 2022. szeptember 13. napján érkezett nyilatkozata 1. pontja alapján 2019ben bővítette új funkcióval a kasszaszoftverét [lásd: a határozat (26) bekezdése]. Kötelezett azonban egymástól eltérő válaszokat adott azzal kapcsolatban, hogy milyen célból történik a vásárlók életkorának ellenőrzése alkoholtartalmú ital vásárlása esetén. A Kötelezett 2022. szeptember 13. napján érkezett nyilatkozata 2. pontja alapján az ellenőrzés célja, hogy kétséget kizáróan megállapításra kerüljön a vásárló életkora az Fgytv. 16/A. § (1) bekezdése szerinti tilalom érvényre juttatása érdekében. Ugyanezen pontban a Kötelezett előadta azt is, hogy a pénztárosok és az üzletvezetők jelezték, hogy mivel a pénztárosoknak nagyszámú tranzakciót kell naponta lebonyolítaniuk, indokolt lenne a lehető legtöbb feladatukat automatizálással támogatni és ezért a munkájuk megkönnyítése érdekében beépítésre került a kasszaszoftverbe az új funkció. Ugyanezen nyilatkozatának 1. pontja értelmében a gyakorlatban Kötelezett állítása szerint előfordult a kassza ezen új funkciója használatának mellőzése, illetve rendszertelen alkalmazása. Kötelezett ugyanezen nyilatkozatának 3. pontja alapján a bolti eladók nem használták kellőképpen a kasszarendszer fent említett funkcióját, és részben ennek következményeként kétség esetén sem kértek mindig igazolványt vagy tévesen számolták ki az életkort, ami Kötelezett állítása alapján jelentős kockázatnak tette ki a Kötelezettet. Ugyanezen pontban Kötelezett előadta, hogy „A folyamat begyakoroltatásával, rendszerszintű használatának kialakításával a Társaság célja a hibalehetőség lehető legteljesebb kizárása a fiatalkorúak védelme érdekében.”. (169) Az Fgytv. 16/A. § (4) bekezdése alapján alkoholtartalmú ital vásárlása esetén kétség esetén kell felhívni a vásárlót életkorának hitelt érdemlő igazolására (azaz abban az esetben, ha nem állapítható meg egyértelműen, hogy az alkoholtartalmú italt vásárolni szándékozó személy a tizennyolcadik életévét betöltötte-e vagy sem). A Kötelezett azonban – a 2022. szeptember 13. napján érkezett nyilatkozatának [NAIH-6989-8/2022 ügyszámú irat] 4. pontja, a nyilatkozat végén szereplő egyéb megjegyzések, és a nyilatkozat 2. számú mellékletét képező körlevél; a 2022. október 7. napján érkezett nyilatkozata [NAIH-6989-11/2022 ügyszámú irat] 1. pontja, és az ahhoz mellékelt körlevél (5. számú melléklet) alapján – a 2022. augusztus 4. és 2022. augusztus 31. közötti időszakban az Fgytv. 16/A. § (4) bekezdésében meghatározott „kétség esetén” szófordulatot, jogszabályi rendelkezést meghaladva, azon túlmenően általános jelleggel, Kötelezett saját szavaival élve „rendszerszintű használatának kialakításával”

## előírta a bolti eladó munkakörben foglalkoztatott munkavállalói számára minden egyes alkoholtartalmú italt vásárolni szándékozó személy életkorának kötelező ellenőrzését. Ezzel megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontjában foglalt adattakarékosság elvét is – amelyet jogalaptól

függetlenül minden adatkezelés során figyelembe kell vennie az adatkezelőnek –, hiszen a 18. életévüket nyilvánvalóan betöltött vásárlók esetében az adatkezelés céljai szempontjából nem releváns adatokat kezelt és rögzített rendszerében.

## III.4.2. Az adattakarékosság elvének sérelme az adatkezelési műveletek sokasága, nem kizárólag a szükségesre korlátozódása kapcsán

(170) Ahogy azt a Hatóság már a jelen határozat (130) – (134) bekezdéseiben kifejtette, 2022.

augusztus 4. és 2022. augusztus 31. közötti időszakban a Kötelezett által előírt eljárásrenddel szemben a Kötelezett üzleteiben, valamint az egyes üzleteken belül is jelentősen eltérő volt az alkoholtartalmú italt vásárolni szándékozó személyek életkorának ellenőrzésével kapcsolatos tényleges adatkezelési gyakorlat. (171) Az Ákr. 68.–69. §-ok szerint a Kötelezett üzleteiben lefolytatott szemlékről készült jegyzőkönyvek mellékleteit képezik a kasszapultokban elhelyezett figyelemfelhívó jelzésről készített fényképfelvételek [lásd: NAIH-6989-5/2022 ügyszámú jegyzőkönyv 2. melléklete; NAIH-6989-6/2022 ügyszámú jegyzőkönyv 2. melléklete]. A Kötelezett nyilatkozataiban több helyen, és a kasszapultokban elhelyezett figyelemfelhívó jelzéseken („2004.06. OK, 2004.07. OK, 2004.08. TILOS, 2004.09. TILOS”) a „fiatalkorúak” elnevezés szerepelt. Ezen figyelemfelhívó jelzéseken szereplő dátumok alapján fejszámolással, ránézésre, vagy egy egyszerű számológép segítségével könnyen kiszámítható, hogy a vásárló betöltötte-e a tizennyolcadik életévét, így nem feltétlenül szükséges minden esetben az, hogy az életkor kiszámításához a pénztárosok ezen túlmenően a kasszát, a kasszaszoftvert is igénybe vegyék. (172) A Kötelezett 2022. szeptember 13. napján érkezett nyilatkozatának 3. pontja, a nyilatkozatához mellékelt, a kasszaszoftver működéséről készült leírás, továbbá a helyszíni szemléken tapasztaltak alapján az alkoholtartalmú ital vonalkódjának beolvasásakor a kasszarendszer megerősítést kér, hogy a vásárló elmúlt-e tizennyolc éves, a korhatár kritériumnak megfelel-e („KORH. KRIT. MEGFELEL?”). Két válaszlehetőség van: ENTER = IGEN, TÖRLÉS = NEM. Amennyiben a pénztáros például az életkor betekintés útján és manuális eszközökkel történő meghatározását követően – az Igen opciót választja (ENTER gomb megnyomása), abban az esetben születési dátum megadása nélkül folytatódik tovább az értékesítés, a választott termék (így az alkoholtartalmú ital is) felkerül a bizonylatra. (173) Kötelezett 2022. szeptember 13. napján érkezett nyilatkozatának 6. pontja alapján hibaelhárítás érdekében a kassza billentyűinek leütése az adott kasszában lokálisan naplózásra kerül, normál működés esetén ezek a naplófájlok a rögzítést követő 180 nap elteltével törlésre kerülnek. A Hatóság kifejezetten kérte, hogy a Kötelezett támassza alá, miért pont 180 napig szükséges a leütéseket tartalmazó naplófájlok megőrzése, amely szempontjait a Kötelezett 2022. november 18. napján érkezett nyilatkozatának 4. pontja tartalmazza [lásd: a határozat (47) bekezdése].

## (174) Az alkoholtartalmú italok értékesítési folyamata során az általános adatvédelmi rendelet 4. cikk 2. pontjának fogalom meghatározása alapján mind az életkor igazolására alkalmas igazolványba történő betekintés, mind az életkor igazolására alkalmas igazolványról leolvasott születési dátum, vagy a vásárló által közölt születési dátum kasszarendszerbe történő bevitele, rögzítése és naplófájljaiban

## 180 napig történő tárolása adatkezelési műveletnek tekinthető. A betekintésen felüli műveletek általánosan kötelező előírása azonban nem volt feltétlenül szükséges arra a célra, hogy az érintettek 18. életévének betöltését Kötelezett

megállapítsa. Ezáltal a Kötelezett megsértette az általános adatvédelmi rendelet 5.

## cikk (1) bekezdés c) pontjában foglalt adattakarékosság elvét, ugyanis létezik a cél elérésére megfelelő, azonban az érintettek számára kevésbé sérelmes, kevesebb adatkezelési művelettel járó módszer is, tehát a személyes adatok kezelése nem

korlátozódott a szükséges mértékre.

## III.5. Az adatkezelés biztonságának sérelme

(175) Az általános adatvédelmi rendelet 32. cikk (1) bekezdése értelmében az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja. (176) Az általános adatvédelmi rendelet 32. cikk (2) bekezdése alapján a biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek. (177) Az általános adatvédelmi rendelet 32. cikk (4) bekezdése szerint az adatkezelő és az adatfeldolgozó intézkedéseket hoz annak biztosítására, hogy az adatkezelő vagy az adatfeldolgozó irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező természetes személyek kizárólag az adatkezelő utasításának megfelelően kezelhessék az említett adatokat, kivéve, ha az ettől való eltérésre uniós vagy tagállami jog kötelezi őket. (178) A Hatóság már a jelen határozat (130) – (134) bekezdéseiben kifejtette, 2022. augusztus

4. és 2022. augusztus 31. közötti időszakban a Kötelezett által előírt eljárásrenddel szemben a Kötelezett üzleteiben, valamint az egyes üzleteken belül is jelentősen eltérő volt az alkoholtartalmú italt vásárolni szándékozó személyek életkorának ellenőrzésével kapcsolatos tényleges adatkezelési gyakorlat, így a Kötelezett által meghatározott kockázatokkal arányos szervezési védelmi intézkedések nem érvényesültek a gyakorlatban. (179) A fentieken túl, a Hatósághoz érkezett, a Kötelezett alkoholtartalmú italok vásárlása kapcsán kialakított adatkezelési gyakorlatával kapcsolatos bejelentések között volt olyan panasz is, amely kifejezetten arra vonatkozott, hogy alkoholtartalmú ital vásárlása esetén a pénztárosnak be kellett mondania a többi vásárló füle hallatára a születési adatait, valamint, hogy más vásárló születési dátumát még a kijáratnál is hallotta [lásd: a határozat (54) bekezdése]. A Hatóság az Ákr. 68.–69. §-ok szerint lefolytatott szemle során ezzel egyező gyakorlatot foglalt jegyzőkönyvbe [lásd: NAIH-6989-6/2022 ügyszámú jegyzőkönyv 5. oldala], amely a személyes adatok bizalmasságának sérülését eredményezte, a születési adatokat a kialakított gyakorlat miatt a Kötelezetten kívül más személyek (a közvetlen környezetében a kasszasorban mögötte állók, valamint más kasszasorban, a kasszák utáni vásárlótérben álló vásárlók, más pénztárosok és a Hatóság szemlén jelenlévő munkatársai) is megismerhették. (180) A Hatóság felhívja továbbá arra is a figyelmet, hogy az Fgytv. 16/A. § (4) bekezdése az életkor hitelt érdemlő igazolását írja elő, ezzel szemben a Hatóság képviselői által is személyesen megtapasztalt azon gyakorlat, amikor a pénztárosok a vásárlók bemondása alapján fogadták el a születési dátumot és az életkor, születési dátum igazolására nem kértek okmányt [lásd: NAIH-6989-6/2022 ügyszámú jegyzőkönyv 5. oldala; a határozat (54) bekezdése] nem minősült a jogszabály által megkövetelt intézkedésnek.

## (181) A fentiek alapján az általános adatvédelmi rendelet 32. cikk (1) és (4) bekezdéseiben foglalt adatbiztonsági követelmények sérültek azáltal, hogy a Kötelezett üzleteiben, valamint az egyes üzleteken belül nem alakítottak ki megfelelő intézkedéseket az érintettek személyes adatainak védelmére; nem alkalmazták a

## Kötelezett által előírt eljárásrendet; valamint egyes érintettek az alkoholtartalmú ital vásárlása esetén a pénztárosok kifejezett kérésére, mások számára is jól

hallhatóan kellett, hogy közöljék születési dátumukat.

## IV. Jogkövetkezmények

## IV.1. Adatvédelmi bírság

(182) A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja és a 83. cikk (2) bekezdése szerint a többi intézkedés helyett vagy mellett adatvédelmi bírságot is kiszabhat. Az nem kétséges, hogy az általános adatvédelmi rendelet megsértése esetén az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján az adatkezelőt kötelezni szükséges arra, hogy az adatkezelést hozza összhangba az általános adatvédelmi rendelettel. A Hatóság akként ítélte meg az elvégzendő feladat természete alapján, hogy az alkoholtartalmú italok vásárlása esetén az életkor ellenőrzésére irányuló adatkezelési gyakorlatnak és a vonatkozó adatkezelési tájékoztatónak az általános adatvédelmi rendelet rendelkezéseivel, valamint az Fgytv. 16/A. § (1) és (4) bekezdéseivel való összhangba hozatala, valamint az adatkezelési tájékoztató Kötelezett üzleteiben történő kihelyezésére a szokásos 30 napos határidő elegendő. (183) Abban a kérdésben, hogy indokolt-e az adatvédelmi bírság kiszabása, a Hatóság a jogszabályon alapuló mérlegelési jogkörében eljárva döntött, figyelemmel az Infotv. 61. § (1) bekezdés a) pontjára, az Infotv. 75/A. §-ára, valamint az általános adatvédelmi rendelet 83. cikk (2) bekezdésére és az általános adatvédelmi rendelet 58. cikk (2) bekezdésére. A Hatóság mérlegelte az ügy összes körülményét és megállapította, hogy a jelen adatvédelmi hatósági eljárás során feltárt jogsértések esetén a figyelmeztetés és az elmarasztalás önmagában se nem arányos, se nem visszatartó erejű szankció lenne, ezért bírság kiszabása szükséges tekintettel a Kötelezett piaci helyzetére, az általa bevezetett gyakorlat általános és országos jellegére [lásd a határozat (38) és (120) bekezdései] és a jelentős számú érintettre. A jelen esetben a személyes adatok védelme – amely a Hatóság feladata – a lentebb részletezett bírságkiszabási körülmények összessége alapján nem érhető el adatvédelmi bírság kiszabása nélkül. A bírságkiszabás mind a speciális, mind a generális prevenciót is szolgálja, amelynek érdekében a határozat nem csak a Hatóság honlapján, hanem a Kötelezett honlapjának nyitóoldalán, jól látható és könnyen hozzáférhető helyen is közzétételre kerül. (184) A Hatóság a bírság összegének meghatározása során mindenekelőtt figyelembe vette, hogy a megállapított jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pontja szerinti magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek, ez alapján a kiszabható bírság maximuma 20 000 000 EUR, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeg, a kettő közül a magasabb összeget kell kiszabni. A Kötelezett értékesítésének nettó árbevétele a rendelkezésre álló legutóbbi 2021.

## évi adat szerint 315 282 601 000 Ft volt, a Hatóság ugyanakkor azt is figyelembe vette, hogy ehhez képest a Kötelezett adózott eredménye 8 504 878 000 Ft volt. A

## Hatóság számára kötelezően figyelembe veendő 315 282 601 000 Ft összeget

alapul véve a bírság jogszabályi maximuma a jelen ügyben 12 611 304 040 Ft.

## Ehhez képest a jelen határozatban szereplő 95.000.000 Ft adatvédelmi bírság 0,03

%-a

## Kötelezett értékesítése nettó

árbevételének, azaz jelentősen a bírságmaximum alatti összeg.

(185) A Hatóság az adatvédelmi bírság mértékének meghatározásakor az alábbi enyhítő körülményeket vette figyelembe:

- Kötelezett bolti eladó munkakörben foglalkoztatott munkavállalói 2022. szeptember

1. napjától már ismét csak kétség esetén hívják fel a vásárlókat életkoruk hitelt érdemlő igazolására alkoholtartalmú ital vásárlása esetén [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]; - Kötelezett nyilatkozata szerint a személyes adatokat tartalmazó naplófájlok kapcsán a kockázatokkal arányos védelmi intézkedéseket alkalmazott [általános adatvédelmi rendelet 83. cikk (2) bekezdés d) pont]; - A jogsértés az érintettek személyes adatai kategóriáinak szűk körét érintette, a rögzítés a vásárlók születési dátumára korlátozódott [általános adatvédelmi rendelet 83. cikk (2) bekezdés g) pont]; - A Hatóság értékelte, hogy a Kötelezett által bevezetett intézkedés elsődleges célja a tizennyolcadik életévét be nem töltött személyek védelme, a fogyasztóvédelmi jogi előírásoknak történő minél teljesebb megfelelés, nem merült fel arra vonatkozó információ, hogy az más jogtalan előny szerzésére irányult volna [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont]. (186) A Hatóság az adatvédelmi bírság mértékének meghatározásakor az alábbi súlyosító körülményeket vette figyelembe:

- Kötelezett több jogsértést követett el, több alapelvi rendelkezést is megsértett, ezért a Hatóság a jogsértések jellegét közepesen súlyosnak ítélte meg. [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]; - Az érintettek száma jelentős, a Kötelezett kasszarendszere évente megközelítőleg (…) tranzakciót bonyolít le [NAIH-6989-13/2022 ügyszámú irat 6.9. pont], így egy hónap időtartam során is az több millió vásárlást jelent [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]; - A jogsértések huzamosabb ideig és országos szinten fennálltak [lásd a határozat (38) és (120) bekezdései], nem eseti jellegűek voltak azáltal, hogy 2022. augusztus 4. és 2022. augusztus 31. közötti időszakban a Kötelezett általános jelleggel írta elő minden egyes alkoholtartalmú italt vásárolni szándékozó személy életkorának kötelező ellenőrzését, valamint 180 nap időtartamra tárolásra kerültek a születési adatok a naplófájlokban [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]; - Az érintettek számára az adatkezelési műveletek huzamosabb ideig átláthatatlanok voltak azáltal, hogy az adatkezelési tájékoztatók nem voltak könnyen hozzáférhetők, több szempontból is hiányos tájékoztatást nyújtottak az érintettek számára [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]; - Az adatkezelés eredményeként egyes 18. életévét betöltött érintetteket Kötelezett akadályozott szerződéskötési jogukban (lásd NAIH 6989-5/2022 ügyszámú jegyzőkönyv 6. oldal; NAIH6989-6/2022 ügyszámú jegyzőkönyv 6. oldal) [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]; - A Hatóság a Kötelezettel szemben érkezett több bejelentés alapján észlelte a

Kötelezett adatkezelési gyakorlata jogsértő jellegének valószínűségét, amelynek eredménye lett jelen hivatalból indult eljárás [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont]. (187) Az adatvédelmi bírság mértékének meghatározásakor az alábbi körülmények a bírság mértékét nem súlyosbították és nem is enyhítették, semleges hatásúak voltak:

- Kötelezett a bizonyítási eljárás befejezését követően helyezte ki a Weboldalára a

2023. január 17. napjától hatályos, a vizsgált adatkezelési műveleteket és címzetteket már teljes körűen ismertető – azonban a kötelező életkor ellenőrzés kapcsán továbbra sem egyértelműen fogalmazó – módosított adatkezelési tájékoztatóját, azonban a megvalósított jogsértés időpontja (2022. augusztus 4-31.) óta eltelt időtartamra tekintettel az már nem értékelhető a kár enyhítése érdekében tett intézkedésnek [általános adatvédelmi rendelet 83. cikk (2) bekezdés c) pont]; - Kötelezett a bizonyítási eljárás befejezését követően 2023. január 16. és 17. napján személyes oktatás keretében ismertette az időközben felülvizsgált adatvédelmi dokumentumokat a területi vezetőkkel, akik ezt követően azt a feladatot kapták, hogy legkésőbb 2023. január 31. napjáig cseréljék le valamennyi üzletben az adatvédelmi dokumentumokat, azonban a megvalósított jogsértés időpontja (2022. augusztus 4-31.) óta eltelt időtartamra tekintettel az már nem értékelhető enyhítő körülményként [általános adatvédelmi rendelet 83. cikk (2) bekezdés c) pont]; - A Kötelezett adatvédelmi jogsértésének megállapítására az általános adatvédelmi rendelet megsértése miatt már két alkalommal is sor került, azonban ezeket a jogsértéseket a Hatóság a jelen adatvédelmi hatósági eljárásban értékelt adatkezelés vonatkozásában nem tekintette relevánsnak [NAIH-987/2021 ügyszámú (előzmény ügyszám: NAIH/2020/8690) és NAIH-1044/2021 ügyszámú (előzmény ügyszám: NAIH/2020/2255) adatvédelmi vizsgálati eljárás] [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont]; - A Kötelezett a Hatósággal az eljárás során együttműködő volt, azonban ez a bírói gyakorlat és a Hatóság gyakorlata alapján jogszabályi kötelezettsége, ennek hiánya lehetne súlyosító körülmény [általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont]. (188) A fentiek és az eset összes körülménye alapján a Hatóság a rendelkező rész szerinti összegű adatvédelmi bírság kiszabását tartotta arányosnak és visszatartó erejűnek mind a speciális, mind az általános prevenció vonatkozásában, amely összeg jelentősen a bírságmaximum alatt van. Ezen összeg más esetben az egyedi körülmények alapján jelentősen más lehet, nem köti a Hatóságot más ügyben.

## IV.2. A határozat nyilvánosságra hozatala

(189) Az Infotv. 61. § (2) bekezdése értelmében: „A Hatóság elrendelheti határozatának - az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő nyilvánosságra hozatalát, ha a) a határozat személyek széles körét érinti, b) azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy c) a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja.” (190) Tekintettel arra, hogy a Kötelezett több jogsértést követett el, több alapelvi rendelkezést is megsértett, ezért a Hatóság a jogsértések jellegét közepesen súlyosnak ítélte meg. Az érintettek száma jelentős volt, a jogsértések huzamosabb ideig és Kötelezett minden üzletére kiterjedően, országos szinten fennálltak, nem eseti jellegűek voltak, továbbá a természetes személyek széles körét érintették. (191) A Kötelezett sem az értékelt adatkezelés 2022. augusztus 4-i bevezetése, sem szeptember 1-től történő változtatása kapcsán nem tett elérhetővé az érintettek széles köre által elérhető, az általános adatvédelmi rendelet 13. cikk elvárásainak megfelelő tartalmú tájékoztatást üzleteiben, arra csak 2023. januárjában szabott meg belső határidőt munkatársainak. [NAIH-3227-2/2023 ügyszámú irat 5. pontja „ (…) felülvizsgált adatvédelmi dokumentumok 2023. január 16.-17.-én kerültek ismertetésre minden területi vezetővel személyes oktatás keretében. A területi vezetők ezt követően azt a feladatot kapták, hogy valamennyi üzletben cseréljék le az adatvédelmi dokumentumokat legkésőbb 2023. január 31.-ig és ennek részeként gondoskodjanak többek között – a 2023. január 17-i keltű üzletekre vonatkozó Adatkezelési Tájékoztató kihelyezéséről is.”]

(192) A Kötelezett honlapján közzétett 2022. augusztus 12-i keltezésű adatkezelési tájékoztatója valamennyi alkoholtartalmú italt vásárolni szándékozó személy kapcsán tartalmazza a kötelező életkor ellenőrzésre vonatkozó tájékoztatást. Kötelezett a 2022. szeptember 1-i változásokra tekintettel sem tartotta indokoltnak a honlapján közzétett adatkezelési tájékoztatóját felülvizsgálni, abban a 3.8. pont az Fgytv. 16/A § (1) és (4) bekezdéseinek megismétlését követően a 3. bekezdésében azt a tájékoztatást adta, hogy „a kasszákban dolgozó munkatársak elkérik az alkohol tartalmú italt vásárlók személyazonosító okiratát”. A 2023. január 17-től hatályos adatkezelési tájékoztató a 3.13. pontjának 3. bekezdésében továbbra is azonos tájékoztatást ad az életkor kötelező ellenőrzése kapcsán a fent idézettel. (193) Az adatkezelés átláthatóságának sérelme következtében – a Kötelezett üzleteiben korábban kapott különféle szóbeli tájékoztatások, illetve a Kötelezett honlapján elérhető adatkezelési tájékoztatók alapján – a Hatóság megítélése szerint az érintettekre nézve megtévesztő volt azzal kapcsolatban, hogy születési dátumukat a kasszarendszer nem rögzítette, azt csak az életkor kiszámításáig kezelte, vagy alkoholtartalmú ital vásárlása kapcsán általános gyakorlatként mindenkitől jogszerűen kérheti Kötelezett a vásárlók életkorának igazolását. Erre tekintettel szükséges a Hatóság eljárása során megállapított tényállást és a kapcsolódó döntést elérhetővé tenni a Kötelezett honlapján is, hogy a Kötelezettel kapcsolatba kerülő érintettek széles köre számára váljon közvetlenül megismerhetővé, hogy ilyen vásárláshoz nem minden érintett számára szükségszerű személyazonosságuk igazolása, életkoruk naplófájlokban történő rögzítése.

## (194) A fentiekre tekintettel a Hatóság az Infotv. 61. § (2) bekezdés a) pontja alapján hivatalból elrendelte a végleges határozatának a Kötelezett azonosító adatainak közzétételével történő nyilvánosságra hozatalát nem csak a Hatóság saját honlapján, hanem a Kötelezett honlapjának nyitóoldalán, jól látható és könnyen hozzáférhető helyen, a határozat véglegessé válásától számított legalább 30 napon keresztüli időtartamban, annak érdekében, hogy az érintettek ezáltal egyértelmű tájékoztatást kapjanak a 2022 augusztusában folytatott, illetve a

jelenleg alkalmazott adatkezelési műveletek kapcsán.

## V. Egyéb kérdések

(195) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdései határozzák meg, illetékessége az ország egész területére kiterjed. (196) A Hatóság jelen döntése az Ákr. 80. – 81. §-ain és az Infotv. 61. § (1) bekezdésén alapul.

A döntés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, 114. § (1) bekezdése, valamint a 116. § (1) bekezdése alapján a döntéssel szemben közigazgatási per útján van helye jogorvoslatnak. (197) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja szerint olyan jogvitában, amelyben a törvényszék kizárólagosan illetékes, a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

(198) A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi

CXXX. törvény 604. §-a szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (199) A Hatóság döntésével szembeni keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1) – (2) bekezdésein alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (a továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és a 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (200) Ha az előírt kötelezettsége teljesítését a Kötelezett megfelelő módon nem igazolja, a

Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. Az Ákr. 133. § (1) bekezdése értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. § (1) bekezdése értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság döntésének végrehajtását a döntésben foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a Hatóság foganatosítja. Budapest, 2023. március 30.

Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár