Орган по защите данных Венгрии (NAIH): законность обработки персональных данных, хранящихся в базе данных

Ügyszám: NAIH-2819-8/2023. Tárgy: határozat

H ATÁ R OZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a […] Korlátolt

Felelősségű Társasággal ([…] a továbbiakban: Kötelezett) szemben az általános adatvédelmi rendelet rendelkezéseinek feltételezhető megsértése miatt hivatalból indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

1.A Hatóság megállapítja, hogy a Kötelezett a jogos érdeke fennálltát nem támasztotta alá az adatbázisában tárolt személyes adatok kezelése tekintetében, az eljárás során nem igazolt továbbá más jogszerűen fennálló jogalapot, ennélfogva a Kötelezett jogalap nélkül kezeli az adatbázisában az érintettek telefonszám és egyéb személyes adatait, megsértve ezáltal a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet vagy GDPR) 6. cikk (1) bekezdését.

2.A Hatóság megállapítja, hogy a Kötelezett a GDPR 2018. május 25. napjával történő alkalmazandóvá válását követően a továbbra is az adatbázisában tárolt személyes adatok kezelése megfelelőségét, és annak felülvizsgálatára történő megfelelő érdemi intézkedések megtételét nem igazolta, ezáltal megsértette a GDPR 5. cikk (2) bekezdése szerinti elszámoltathatóság alapelvét.

3.A Hatóság megállapítja, hogy a Kötelezett azáltal,, hogy a GDPR 14. cikkében foglaltak figyelembevételével az érintettekkel történő első kapcsolatfelvételkor az érintetteket nem tájékoztatta az adatkezeléssel kapcsolatos legfontosabb információkról, továbbá az érintetteknek nyújtott tájékoztatás szerint a weboldalán elérhető adatkezelési tájékoztatóiban sem nyújt megfelelő, valós tájékoztatást az adatkezelés valamennyi lényeges körülményéről, megsértette a GDPR az 5. cikk (1) bekezdés a) pontja szerinti átlátható adatkezelés alapelvét, és erre tekintettel a GDPR 12. cikk (1) bekezdését és a 14. cikk (1)-(3) bekezdéseit.

4. A Hatóság az 1.-3. pontjaiban foglaltak miatt a GDPR 58. cikk (2) bekezdés d) pontja alapján utasítja a Kötelezettet, hogy dokumentált módon törölje az adatbázisában tárolt, a […] Kft. „kt.a.”-tól (korábbi, hivatkozott adásvételi szerződésben cégneve: […] Kft.) 2018. május 7-én adásvétel útján szerzett telefonszám és hozzá kapcsolódóan tárolt személyes adatokat!

5. A Hatóság az 1-3. pontokban megállapított jogsértések miatt a Kötelezettet

1.500.000 Ft, azaz egymillió-ötszázezer forint adatvédelmi bírság megfizetésére kötelezi, amelyet a jelen határozat véglegessé válásától számított 30 napon belül köteles teljesíteni.

A bírságot a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-2819/2023. BÍRS. számra kell hivatkozni. Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását, a bírság és a késedelmi pótlék adók módjára történő behajtását. A bírság és a késedelemi pótlék adók módjára történő behajtását a Nemzeti Adó- és Vámhivatal végzi.

A határozat 4. pontban előírt kötelezettség teljesítését a Kötelezettnek a jelen határozattal szembeni jogorvoslati határidő leteltét követő 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé.

Az eljárásban eljárási költség nem merült fel.

Jelen döntéssel szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

A határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve a közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetőek, illetve nem semmisíthetők meg.

IN D OK OLÁ S

I.Az eljárás menete és a tényállás tisztázása

1. Az előzmény vizsgálati eljárások során feltárt tények

(1) A Hatóság NAIH-7678/2021. ügyszám alatt vizsgálatot folytatott, illetve NAIH-4949/2022. ügyszám alatt vizsgálatot folytat kéretlen politikai híváshoz kapcsolódóan megvalósuló adatkezelés jogszerűsége tárgyában, amely vizsgálatok során feltárt tények alapján a Hatóság megállapította, hogy a Kötelezett a vizsgált telefonos kampányai során a telefonhívásokat a saját adatbázisában tárolt telefonszámokra indította. 1.1. A NAIH-7678/2021. számon lefolytatott vizsgálat során feltárt tények:

(2) A Kötelezett telefonszám és lakhely-irányítószám, továbbá lakhely-település és lakhely-megye adatokat kezel, álláspontja szerint azonban az irányítószám, a település és a megye önmagában nem személyes adat, csak a telefonszámokkal kiegészülve minősülhet annak szűk körben. A Kötelezett – nyilatkozata szerint – a telefonszámokkal összekapcsolható más személyes adatot nem kezel.

(3) A Kötelezett adatkezelésének célja a megbízások során előre betáplált szövegű hívások lebonyolítása és közvélemény-kutatási tevékenység végzése volt, mely tevékenységi kör a Kötelezett cégjegyzéki tevékenységei között szerepel (teleinformáció, valamint piac- és közvéleménykutatás).

(4) Az adatkezelés a Kötelezett gazdasági tevékenység végzéséhez fűződő jogos érdekén alapul, a vonatkozó érdekmérlegelési tesztet a Kötelezett a Hatóságnak az előzmény vizsgálati eljárásban küldött válaszleveléhez csatolta.

(5) A Kötelezett a személyes adatokat a csatolt szerződés-másolat alapján 2018. május 7. napján adásvétel útján szerezte a […] Kft.-től. Ennek során 500.000 érintett személyes adatát (név, telefonszám, lakhely irányítószáma, lakhely települése, lakhely megyéje) vásárolták meg.

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program ( ÁNYK program) alkalmazásával tölthető ki. További információ: https://www.naih.hu/kozig-hatarozatbirosagi-felulvizsgalata (6) A személyes adatok tárolása pendrive-on elhelyezett excel formátumban történik a Kötelezett telephelyén. Az adatbázist tartalmazó pendrive-hoz csak a Kötelezett ügyvezetője és egy tulajdonosa fér hozzá, az adatbázis kóddal nyitható meg, melyet kizárólag ezen személyek ismernek.

(7) A teljes adatbázishoz más személy nem fér hozzá, az adatbázis éppen használt részéhez a Kötelezett adatfeldolgozója, az […] Kft., valamint a Kötelezett munkatársai férnek hozzá, szerkesztési jogosultsággal azonban nem rendelkeznek.

(8) Az adatbázis bonyolult menüszerkezettel nem rendelkezik, annak egyes sorai a fejlécnek megfelelő adattartalmat tartalmazzák. Az adatbázist tartalmazó excel fájl a jelszó beírása után nyitható meg, amelynek igazolására a Kötelezett képernyőmentést csatolt.

(9) Az adatkezelés helye és az adatbázis tárolásának helye a Kötelezett telephelye.

(10) A személyes adatokat nyilatkozata szerint a Kötelezett az adatkezelési céljának fennállásáig kezeli azzal, hogy amennyiben azt érintetti joggyakorlásra tekintettel törlik, úgy az adott érintett személyes adatának kezelése már az adatkezelés céljának megszűnése előtt megszűnik, nem érintve a panaszkezelés körében végzett elkülönített tárolást.

Továbbá az egyes konkrét közvélemény-kutatáshoz használt személyes adatokat a megbízás megszűnésétől számított 60 napig az egyéb személyes-, vagy közvélemény-kutatási adataiktól elkülönítetten, azokkal össze nem kapcsolható módon is tárolja az esetleges érintetti joggyakorlások teljesíthetősége, azaz az egyes hívások beazonosíthatósága érdekében.

(11) Az érintettek tájékoztatása akként történik, hogy telefonos felkeresésükkor tájékoztatást adnak arról, hogy az adatkezelési tájékoztató hol érhető el, illetve külön kérés esetén adják meg az adatkezelési tájékoztató jelszavát. Az adatkezelési tájékoztatók azért vannak jelszóval ellátva, mert azok csak az érintettekre vonatkozó adatokat tartalmaznak, ugyanakkor a honlap látogatói nem biztos, hogy érintettek, ezáltal szeretnék elkerülni, hogy a honlap bármely látogatója bármit félreértsen.

(12) Az adatbázis megvásárlásakor az adásvételi szerződésben az adatbázist értékesítő féllel úgy állapodott meg a Kötelezett, hogy az adatátadástól számított 5 napon belül az eladó értesíti az érintetteket, addig a Kötelezett csak tárolja az adatokat. Nyilatkozata szerint a Kötelezett kérte továbbá az adatbázist eladó társaságtól azt is, hogy kifejezetten tájékoztassa az érintetteket arról, amiről ilyen esetben szükséges, és jelezze a Kötelezett felé, ha esetleg az érintetteknek kifogásuk van a szerződés szerinti adatátadással és azzal kapcsolatban, hogy a Kötelezett adatkezelésének jogalapja a Kötelezett jogos érdekeinek érvényesítése lesz. Az eladó társaságtól ilyen jelzések nem érkeztek, továbbá a korábbi ügyvezetők tájékoztatása szerint az adatátadást követően még évekig nem érkezett a Kötelezetthez érintetti joggyakorlásra irányuló kérelem, illetve tájékoztatás kérés sem, annak ellenére, hogy az adatbázis használata folyamatos volt.

(13) Az adatkezelés során adatfeldolgozóként veszi igénybe a Kötelezett az […] Kft.-t, mint a 06

1 443 3191-es telefonszám távközlési szolgáltatóját.

(14) A hívások lebonyolítására az […] Kft. ügyviteli rendszerét használja a Kötelezett, ide töltik be az adatbázist és a script-et.

(15) A Kötelezett előadta továbbá, hogy adatkezelési tájékoztatóit megpróbálta megfelelően differenciálni, melyek elérhetősége folyamatos a honlapon az elérhetőségekkel együtt.

(16) Nyilatkozata szerint folyamatban van a társaság teljes adatkezelésének adatbiztonsági és adatvédelmi szakemberek bevonásával történő felülvizsgálata, amely vizsgálat első eredményeképpen a Kötelezett már törölte azon személyes adatokat, melyeket ugyan a szerződéssel megvásárolt, de azokat soha nem használta, így az érintettek nevét. Ennek megfelelően folyamatban van az adatkezelési tájékoztató frissítése is.

(17) A Kötelezett által csatolt, dátum nélküli, az automatikus kitelefonálási tevékenységekhez kapcsolódó érdekmérlegelési teszt elnevezésű dokumentumban foglaltak szerint a Kötelezett tevékenységi körei között a telefoninformáció és a piac- és közvélemény-kutatás is szerepel, amely tevékenységek gyakorlásához elérhetőségi adatokat tartalmazó adatbázisra van szüksége. A kitelefonálási tevékenység során a Kötelezett a megbízója számára – akinek szövege az érintett felé indított telefonhívásban elhangzik – az érintettek személyes adatait nem adja át.

Az adatkezelés érintettekre gyakorolt hatása kétféle lehet: (i) ha az érintett számára az elhangzott információ releváns, az adatkezelésnek negatív hatása nem értelmezhető; (ii) ha az érintettet olyan információ éri el, amely számára nem releváns, az érintettet nem érinti, figyelemmel azonban arra, hogy automatikus kitelefonálási szolgáltatásról van szó, amelynek során az érintett gépi hangfelvétellel találkozik, hatást ez csak annyiban gyakorolhat az érintettre, hogy amennyiben nem érdekli őt a hívás során elhangzott szöveg, úgy a telefonkagylót le kell tennie/a hívásbefejező gombot meg kell nyomnia. Az adatkezelői álláspont szerint ez, a hozzávetőlegesen egy-két másodperces cselekmény nincs az érintettre érdemi hatással, így az érintettre gyakorolt aránytalan hatás fennállásáról sem lehet szó, függetlenül attól, hogy az adatkezelői tevékenység az érintettet az alaptörvényi jogaiban egy-egy pillanatra potenciálisan, kismértékben megzavarhatja.

A Kötelezett fentieket összegezve megállapította, hogy jogos érdeke az Alaptörvényben is foglalt vállalkozás szabadságán alapul, melyet a Polgári Törvénykönyv is megerősít, továbbá hogy az adatkezelésnek az érintettre aránytalan hatása nincs, így arra a következtetésre jutott, hogy jogos érdeken alapuló adatkezelése jogszerűnek tekinthető, mert a Kötelezett „alaptörvényi alapjogának érvényesülése során nincs jelentős hatása annak az érintettre, hogy a telefonja kicsöng és adott esetben, ha az abban elhangzó szöveg számára irreleváns, úgy a telefonhívást egy mozdulattal meg kell szakítania”.

A Kötelezett figyelembe vette továbbá, hogy kitelefonálási tevékenysége nem napi szintű ugyanarra az adatbázisra irányulóan.

1.2 A Hatóság a Kötelezett által csatolt adatbázis elemzése során az alábbi tényeket észlelte az adatbázissal kapcsolatban:

(18) A csatolt excel fájl 565.243 rekordot tartalmaz, és az alábbi oszlopokat tartalmazza, az alábbi értéktípusokkal:

Irányítószá

Város

Telefonszá típusa

(Mob/vez)

Megye

Régió

Település tipusa

Megye

Telefonszá

4 jegyű számok magyar településnevek üres mob vez üres megyéink (ebben Budapest külön nevesítve) üres

8 főbb régió (azaz a hagyományos magyar, nem EU-s felosztás szerinti, pl.: Dél- Alföld, Észak- Magyarország)

Budapest; megyeszékhely; megyei jogú város; város; község; üres (5 települést ellenőrizve: a nem önálló jogállású települések, pl. Káptalantóti van így rögzítve)

értékei: Békés Budapest Csongrád Fejér Pest üres ebben nincsen üres érték formátuma: országelőhívóval egybe írva

•

Városnév és irányítószám: döntően érvényes magyar helységnév és irányítószám-párosokat tartalmaz.

Ezek mindegyikénél ki van töltve az irányítószám értéke. További közös sajátosságuk, hogy mindegyiknél ki van töltve a második „Megye” oszlop, BÉKÉS, CSONGRÁD, FEJÉR, PEST értékekkel.

További specialitása ennek a részhalmaznak, hogy megtalálhatóak benne olyan telefonszámok, amelyek előfizetője az online telefonkönyvben nyilvános számként szerepel, azaz az előfizetője beazonosítható, illetve ezek egyike pl. igazolhatóan cégnéven szerepel a tudakozóban.

• Van egy olyan részhalmaz az adatok között (összesen 26.272 sor), ahol a sorok csak irányítószám és telefonszám-adatokat tartalmaznak. Nyilvános irányítószám-adatbázisból visszakeresve ezek mindegyike SZEGED, vagy valamely elővárosa (pl.: Kiskundorozsma) vagy MÓRAHALOM volt.

• Vannak olyan sorok az állományban, ahol csupán egy-egy vezetékes hívószámot tartanak nyilván (összesen 766 rekord). Véletlenszerű ellenőrzéssel (5 db rekordon végezve) ez a részhalmaz a nyilvános tudakozóból nem megismerhető (titkos vagy nem létező) számokat tartalmaz.

1.3. A NAIH-4949/2022. számon folyamatban lévő vizsgálat során feltárt tények:

(19) A Hatóság által NAIH-4949/2022 szám alatt hivatalból indított előzmény vizsgálati eljárás során a Kötelezett 2022. június 20-án kelt, a Hatósághoz 2022. június 20-án ePapíron érkezett nyilatkozata szerint 2022. március 29. és 2022. április 1. között a […] megrendelő részére nyújtott automatikus hanghívás szolgáltatást 139 904 db eredményes hívással, a megrendelő által biztosított telefonszámok használatával, ezen felül 2022. március 29. és 2022. április 3. között a […] Kft. megrendelő részére a Kötelezett adatbázisából 9 601 000 eredményes hívást bonyolított le automatikus hanghívás szolgáltatás keretében.

(20) A fenti nyilatkozatát a Kötelezett a Hatósághoz ugyanaznap ePapíron érkezett nyilatkozatával akként módosította, hogy adminisztratív elírás miatt a […] Kft. részére nyújtott szolgáltatás tárgya csak 9 601 db hívás volt, nem 9 601 000.

(21) A Kötelezett 2022. július 11. keltezésű, a Hatósághoz 2022. július 1-én érkezett beadványához mellékelt, feltehetően az ügyvezetője által aláírt tevékenységnapló szerint az ügyvezetője 2022. március 29-én a […] megrendelőtől megkapta a hívásokhoz szükséges telefonszámokat, ezeket feltöltötte az IVR rendszerbe, és 2022. március 29. és 2022. április 1. között ezen telefonszámokat hívták fel automata útján.

(22) A Kötelezett 2022. augusztus 2. keltezésű, a Hatósághoz 2022. augusztus 5-én ePapíron érkezett beadványában azt nyilatkozta, hogy felülvizsgálta a korábbi, már egyszer módosított válaszait, és újabb hibákat talált, emiatt ismét módosítja azokat. Eszerint a […] megrendelő részére valósult meg 9 601 db sikeres hívás, míg a […] Kft. részére valósult meg 139 904 db sikeres hívás. Továbbá azt is nyilatkozta a Kötelezett, hogy ellentétben a megbízási szerződés rendelkezéseivel és a korábbi nyilatkozatokkal és tevékenységnaplóval, végül nem kapott telefonszámokat a […]-tól, ugyanakkor a megbízás tárgyára tekintettel a teljesítést a Kötelezettnek meg kellett kezdenie, ezért a Kérelmezett a saját adatbázisát használta a megbízás teljesítésére, és a megbízás teljesítéséhez használt adatok az (5) pontban ismertetett szerződéssel a […] Kft.-től vásárolt adatokból kerültek kiválasztásra.

(23) A […] 2022. július 27. keltezésű, a Hatósághoz 2022. augusztus 5-én postai úton érkezett nyilatkozata szerint a Kötelezettel kötött megbízási szerződés alapján megbízási díj fizetés és teljesítés nem történt, a szerződés teljesítés nélkül szűnt meg álláspontja szerint, és nem adott át semmilyen telefonszámot ezzel kapcsolatban a Kötelezett részére.

(24) A Kötelezett 2022. október 11. keltezésű, a Hatósághoz 2022. október 11-én ePapíron a meghatalmazással igazolt jogi képviselőjén keresztül érkezett beadványában a Hatóság ellentmondás tisztázására irányuló kérdésére azt nyilatkozta, hogy álláspontja szerint a Kötelezett teljesítette a […]-al kötött szerződését, az nem szűnt meg csak amiatt, mert a megbízó elérhetetlenné vált és nem szolgáltatta a hívás tárgyát képező telefonszámokat, hivatalos felmondó nyilatkozat hiányában a szerződés polgári jogi értelemben még létezik.

2. A Hatóság a feltárt tények alapján a NAIH-7678/2021. szám alatti előzmény vizsgálati eljárásban az alábbi megállapításokat tette:

(25) A Kötelezett két egymástól eltérő célú tevékenységet folytatott a vizsgált telefonos kampánnyal összefüggésben, valamint az általános adatbázis kezelése során, amely elválaszthatatlanul összefügg a telefonhívásokkal összefüggésben folytatott adatkezeléssel.

(26) A Kötelezett a tulajdonában lévő telefonszám és hozzá kapcsolódóan lakhely-irányítószám, lakhely-település és lakhely-megye személyes adatokat tartalmazó adatbázis tárolása tekintetében önálló adatkezelői minőségben kezel személyes adatokat, mivel más személyektől függetlenül évekkel ezelőtt a Kötelezett döntött úgy, hogy a jövőbeni tevékenysége elősegítése céljából személyes adatokat – így név, telefonszám, lakhely irányítószáma, lakhely települése és lakhely megyéje személyes adatokat – tartalmazó adatbázist vásárol és tart fenn, így az eszközöket és célokat az adatbázis fenntartása tekintetében – a konkrét megbízások teljesítésén kívüli körben – egyedül a Kötelezett határozta meg.

(27) A Kötelezett az adatbázisában tárolt személyes adatokat 2018. május 7-én adásvétel jogcímén szerezte a […] Kft.-től, amelynek alátámasztására csatolta az adásvételi szerződés másolatát.

(28) A Hatóság a cégjegyzék áttekintésekor észlelte, hogy a […] Kft. cégneve 2019. november 7-én

[…] Kft.-re módosult, és a társaságot a Fővárosi Bíróság Cégbírósága a […] határozatában megszűntnek nyilvánította és elrendelte a kényszertörlési eljárását.

(29) A Kötelezett által a vizsgálat során csatolt szerződés, illetve a Kötelezett nyilatkozata arra vonatkozóan információt nem tartalmazott, hogy a […] Kft. az általa 2018. május 7-én a Kötelezettnek átadott személyes adatokat milyen jogalappal kezelte, továbbá arra vonatkozóan sem, hogy az érintettek milyen tájékoztatást kaptak a […] Kft.-től egyrészt előzetesen, másrészt az adataik Kötelezettnek történő átadásakor.

A Kötelezett ehhez kapcsolódó nyilatkozata szerint az adatbázis megvásárlásakor a […] Kft.-vel úgy állapodott meg, hogy az adatátadástól számított 5 napon belül az eladó értesíti az érintetteket, amely időtartam alatt a Kötelezett csak tárolta az adatokat. Továbbá a Kötelezett kérte az eladó társaságtól azt is, hogy kifejezetten tájékoztassa az érintetteket arról, amiről ilyen esetben szükséges és jelezze a Kötelezett felé, ha esetleg az érintetteknek kifogásuk van a szerződés szerinti adatátadással és azzal kapcsolatban, hogy a Kötelezett adatkezelésének jogalapja a Kötelezett jogos érdeke lesz.

3. A jelen adatvédelmi hatósági eljárás során feltárt tények

(30) Figyelemmel arra, hogy az előző (29) pontban foglaltak megtörténtéről információ a Hatóság rendelkezésére nem állt, a Hatóság a NAIH-2819-1/2023. számú végzésében felhívta a Kötelezettet, hogy igazolja a hivatkozott értesítés megtörténtét, továbbá azt, hogy az milyen tartalommal történt, illetve ennek hiányában igazolja, hogy az érintettek személyes adatainak Kötelezett általi első alkalommal történő felhasználásakor megtörtént az érintettek megfelelő tájékoztatása.

(31) A Kötelezett a Hatóság felhívásában foglaltakhoz kapcsolódóan úgy nyilatkozott, hogy a […]

Kft.-vel 2018. május 7-én kötött adásvételi szerződés 5. pontjában foglaltak szerinti kötelezettségvállalás értelmében a felek arról állapodtak meg, hogy a […] Kft. értesíti az érintetteket a szerződés szerinti adatátadásról és arról, hogy a Kötelezett adatkezelésének jogalapja a Kötelezett jogos érdeke lesz, 2018. május 24-ig az Infotv. 6. § (1) bekezdés b) pontja, 2018. május 25. napjától az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja alapján, az adatkezelő a Kötelezett lesz és a Kötelezett a megvásárolt személyes adatokat piac- és közvéleménykutatás, továbbá közvetlen üzletszerzési tevékenységre fogja használni.

Továbbá értesíti az érintetteket arról is, hogy amennyiben az érintettnek ezzel problémája van, úgy a […] Kft. erről értesíti a Kötelezettet, aki azonnal törli az érintett adatait.

(32) A Kötelezett nyilatkozata szerint a […] Kft. a hivatkozott adásvételi szerződés 2. pontjában kifejezett szavatosságot vállalt arra, hogy a vonatkozó jogszabályoknak megfelelően jár el. Tekintettel arra, hogy a tájékoztatást a szerződés alapján a […] Kft.-nek kellett így megtennie, továbbá, hogy a […] Kft. a szerződés 2. pontjában a kötelezettségvállalás esetleges, nem várt hibájából eredő joghátrányokért felelősséget is vállalt, a Kötelezett további igazolást nem kért a tájékoztatás megtörténtéről, semmi nem indokolta ugyanis, hogy a kötelezettségvállalás teljesítését Kötelezett bármilyen okból kétségbe vonja, különös figyelemmel arra, hogy a […] Kft.-vel egyéb szerződéses jogviszonyai is fennálltak, melyek teljesítése mindvégig szabályos, a felek kapcsolattartása pedig folyamatos volt.

(33) Kötelezett a fentiek alapján a Hatóság felhívásában foglaltaknak nyilatkozatával tesz eleget, továbbá álláspontja szerint a Hatóság egyébként is olyan kötelezettség igazolására hívta fel a Kötelezettet, mely nem a Kötelezett kötelezettsége.

(34) A Kötelezett a nyilatkozata szerint megkísérelte felvenni a kapcsolatot a […] Kft. korábbi kapcsolattartójával, de nem járt sikerrel, illetve a Kötelezett előadta, hogy tudomása van arról, hogy a […] Kft. időközben nevet változtatott és kényszertörlési eljárás hatálya alatt áll, amelyek álláspontja szerint Kötelezettnek ugyancsak nem felróhatóak.

(35) A Hatóság felhívta a Kötelezettet annak igazolására, miszerint legkésőbb az érintettek személyes adatainak a Kötelezett általi első alkalommal történő felhasználásakor megtörtént az érintettek megfelelő tájékoztatása. A Kötelezett ezzel kapcsolatos nyilatkozata szerint minden egyes telefonos kampány során felhívták az érintettek figyelmét arra, hogy adatkezelési tájékoztatói hol érhetők el, amely adatkezelési tájékoztatókban a Kötelezett igyekezett a tájékoztatási kötelezettségének a legjobb tudása szerint eleget tenni.

(36) Kötelezett fentieken túl előadta, hogy az adatkezelése során legjobb tudása szerint igyekezett tekintettel lenni az adatkezelés érintettjeire, az adatvásárlás során az eladóval olyan szerződést kötött, melyben felé az eladó szavatosságot vállalt az átadásra kerülő adatok kezelésének jogszerűségére vonatkozóan, arra, hogy hibás teljesítés esetén a joghátrányok viselése alól a Kötelezettet mentesíti, továbbá arra, hogy az érintetteket az adatátadásról tájékoztatja is.

(37) Kötelezett az adatbázis használata során minden telefonhívás alkalmával felhívta az érintettek figyelmét az adatkezelési tájékoztatója elérhetőségére, mely – ha azt a Hatóság szabálytalannak is minősíti – tartalmazta a Kötelezett azon elérhetőségeit, ahol a Kötelezett folyamatosan az érintettek rendelkezésére állt és jelenleg is áll.

(38) Kötelezetthez a válaszadása időpontjáig összesen 34 érintetti joggyakorlási kérelem érkezett.

(39) A Kötelezett arra tekintettel, hogy az adatvásárlás épp az adatvédelmi reform idejére esett, önként és mérlegelés nélkül biztosította és biztosítja a bármikori adattörlés lehetőségét, sosem kötötte azt tiltakozási jog gyakorlásához.

(40) A Kötelezett megítélése szerint a jogos érdekén alapuló adatkezelése jogszerű, „az Adatvédelmi Munkacsoport 06-2014. számú véleményének 26. oldalán tett felsorolásban a nem kereskedelmi kéretlen üzenetek, többek között politikai kampányokhoz vagy jótékonysági adománygyűjtéshez kategória olyanként szerepel, mely kapcsán a jogos érdek felmerül”.

(41) Kötelezett nyilatkozata szerint az álláspontja töretlen a tekintetben is, hogy az érintett telefonhívások az érintettek számára számottevő hatást nem okoztak (nem történt sem személyes felkeresés, sem írásbeli megkeresés), privát szférájukba nem avatkoztak bele, mivel a beszélgetés bármikor megszakítható volt és a Kötelezett a telefonhívásokat – telefonfelvétel hiányában – maximum három alkalommal kísérelte meg egy megbízás teljesítése során, nem csörgött tehát háromnál több alkalommal, vagy egész nap az érintettek telefonkészüléke. Ezt bizonyítja az a körülmény is, hogy a 2022. évi országgyűlési választásokig egyetlen érintett sem tekintette a kötelezetti adatkezelést oly mértékben sérelmesnek, hogy a Hatóság, vagy bíróság eljárását kezdeményezte volna, sőt a Kötelezetthez érkezett érintetti joggyakorlási kérelmekben sem minden érintett kért adattörlést.

(42) A Kötelezett az időmúlásra és arra figyelemmel, hogy az érintetti joggyakorlási kérelmek teljesítése során észlelte, hogy a […] Kft. kényszertörlés alatt áll, valamint, hogy a kft. a Kötelezett számára is elérhetetlen, előkészületeket tett az érintett adatbázis kezelésének felülvizsgálata érdekében. A tényleges felülvizsgálat lefolytatását első körben a COVID járvány akadályozta, másodsorban időközben elindultak a Hatóság hivatkozott vizsgálati eljárásai, és a Kötelezett azt látta célszerűnek, ha megvárja a vizsgálati eljárások végét annak érdekében, hogy milyen irányba induljon el ténylegesen a felülvizsgálat során.

A Kötelezett kötelezettséget vállal különösen arra, hogy személyesen eljáró operátorral végighívja az érintett adatbázist, tájékoztatja az érintetteket a Hatóság által jelzett hibákról, továbbá a Hatóság iránymutatása alapján kijavított adatkezeléséről, egyben hozzájárulásos jogalapra áttérve nyilatkoztatja az érintetteket, hogy a jövőbeli adatkezeléshez hozzájárulnak-e, amennyiben pedig az érintettek válasza nemleges, úgy a Kötelezett késedelem nélkül törli az érintettet az adatbázisból.

(43) Az Ákr. 76. §-a alapján a Hatóság a bizonyítási eljárás befejezését követően a Kötelezettet nyilatkozattételre hívta fel és jelezte, hogy a kézhezvételt követő 5 napon belül jogosult iratbetekintés keretében megtekinteni az ügy iratait. A Hatóság a Kötelezett iratbetekintési kérelmének helyt adott és azt a Hatóság által az eljárás részévé tett dokumentumok másolatának megküldésével teljesítette.

(44) A Kötelezett válaszlevelében akként nyilatkozott, hogy az eljárás iratanyaga minden eddig tett nyilatkozatukat tartalmazza és további bizonyítási indítványt nem terjeszt elő.

(45) A Kötelezett a korábbi nyilatkozataiban foglaltakat megerősítve előadta, hogy az érintett személyes adatokat jóhiszeműen vásárolta meg, a személyes adatokat értékesítő társaság a Kötelezettet arról tájékoztatta, hogy az adatok jogszerűen átadhatóak, az adatátadásról az érintetteket értesíti.

A személyes adatok átvételét követően a Kötelezett igyekezett az adatkezelési tevékenységet jogszerűen végezni és jóhiszeműen eljárni. A Kötelezett az eljárását és adatkezelését – mivel működése kezdete óta csak néhány érintetti panaszt és joggyakorlási kérelmet kapott, továbbá a megelőző vizsgálati eljárásig tudomása szerint a Hatósághoz sem fordult egy érintett sem panasszal – megfelelőnek vélelmezte, és folyamatos felülvizsgálat alatt tartotta.

A Kötelezett álláspontja szerint az adatkezelés jogalapja megfelelően került megválasztásra a visszajelzést kérő, közvéleménykutatásnak minősülő hívások esetén. A vonatkozó érdekmérlegelési teszt elvégzése során arra az álláspontra jutott a Kötelezett, hogy az érdekmérlegelési tesztben megjelölt jogos érdekével szemben nincs az érintetteknek olyan érdeke, vagy alapvető joga, amely elsőbbséget élvezne, különös tekintettel arra, hogy az érintett hívások rövidek voltak, bármikor megszakíthatta azokat az érintett és a telefonos megkeresések nem voltak sorozatosan ismétlődőek, vagy zaklató jellegűek.

Az emberi beavatkozás nélküli, közvéleménykutatásnak nem minősülő, tájékoztató telefonhívások adatkezelési jogalapja felülvizsgálatra került a Kötelezett nyilatkozata szerint, és ilyen kampányt jelenleg nem folytat és a jövőben sem tervezi.

A Kötelezett a nyilatkozata szerint továbbá dolgozik azon, hogy a hatósági eljárás tárgyává tett, emberi beavatkozás nélküli hívásokat – függetlenül attól, hogy azok közvélemény-kutatásnak vagy tájékoztatásnak minősülnek – a jövőben saját maga által épített olyan adatbázis használatával bonyolítsa, ahol az adatkezelési jogalap minden esetben az érintett hozzájárulása, és igyekszik az adatkezelési tájékoztatóit is folyamatosan frissíteni az adatkezelés teljes átláthatósága érdekében.

II.Az ügyben alkalmazandó jogszabályi rendelkezések

(46) Az általános adatvédelmi rendelet (171) preambulumbekezdése szerint az általános adatvédelmi rendelet hatályon kívül helyezi a 95/46/EK irányelvet. Az általános adatvédelmi rendelet alkalmazásának időpontja előtt megkezdett adatkezelést az általános adatvédelmi rendelet hatálybalépésének időpontjától számított két éven belül összhangba kell hozni az általános adatvédelmi rendelettel. Ha az adatkezelés a 95/46/EK irányelv szerinti hozzájáruláson alapul és az érintett az általános adatvédelmi rendeletben foglalt feltételekkel összhangban adta meg hozzájárulását, nem kell ismételten az érintett engedélyét kérni ahhoz, hogy az adatkezelő az általános adatvédelmi rendelet alkalmazási időpontját követően is folytathassa az adatkezelést. A 95/46/EK irányelv alapján a Bizottság által hozott határozatok, valamint a felügyeleti hatóságok által kiadott engedélyek hatályban maradnak mindaddig, amíg módosításukra, felváltásukra vagy hatályon kívül helyezésükre sor nem kerül.

(47) Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

(48) az általános adatvédelmi rendelet 4. cikk 1. pontja szerint „személyes adat: az azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.”

(49) Az általános adatvédelmi rendelet 5. cikk (1) bekezdése szerint a személyes adatok:

a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); A (2) bekezdés szerint az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). (50) Az általános adatvédelmi rendelet 6. cikkének értelmében a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.

(51) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése alapján az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát.

(52) Az általános adatvédelmi rendelet 14. cikk (1)-(2) bekezdései:

(1) Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat: a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) az érintett személyes adatok kategóriái; e) a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat: a) a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; b) ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről; c) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga; d) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; e) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; f) a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e; és g) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

(53) Az általános adatvédelmi rendelet 14. cikk (3) bekezdése alapján az adatkezelő az (1) és (2)

bekezdés szerinti tájékoztatást az alábbiak szerint adja meg: a) a személyes adatok kezelésének konkrét körülményeit tekintetbe véve, a személyes adatok megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül; b) ha a személyes adatokat az érintettel való kapcsolattartás céljára használják, legalább az érintettel való első kapcsolatfelvétel alkalmával; vagy c) ha várhatóan más címzettel is közlik az adatokat, legkésőbb a személyes adatok első alkalommal való közlésekor.

(54) Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az Infotv. 2. § (2)

bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni.

(55) Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat.

(56) Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja.

(57) Az Infotv. 71. § (2) bekezdése alapján a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja.

(58) Az Infotv. 75/A. §-a alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)–(6)

bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

(59) GDPR 58. cikk (2) bekezdés b), g) és i) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték. i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett (60) GDPR 83. cikk (2): A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség.

(61) GDPR 83. cikk (5) bekezdés a) és b) pont: Az alábbi rendelkezések megsértését – a (2)

bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12–22. cikknek megfelelően.

(62) Az Eht. 160. § (4) bekezdés a) és b) pontja alapján az előfizető számára külön költség nélkül biztosítani kell azt a jogot, hogy kérésére:

a) kimaradjon a nyomtatott vagy elektronikus névjegyzékből; b) az előfizetői névjegyzékben feltüntessék, hogy személyes adatai nem használhatóak fel – az előfizető rendelkezése szerint – közvetlen üzletszerzés, tájékoztatás, közvélemény-kutatás vagy piackutatás céljából, akkor, ha e célok valamelyikét az előfizető az előfizetői szerződésben kifejezetten megjelölte.

(63) Az Eht. 162. § (1) bekezdése szerint az emberi beavatkozás nélküli, automatizált hívórendszer vagy előfizetői kapcsolat létrehozására szolgáló más automatizált eszköz az előfizető tekintetében a) csak akkor alkalmazható közvetlen üzletszerzés, tájékoztatás, piackutatás céljára, ha ehhez az előfizető előzetesen hozzájárult, b) nem alkalmazható közvélemény-kutatás céljára, ha azt az előfizető ba) a 160. § (4) bekezdés a) pontja szerint, bb) a 160. § (4) bekezdés b) pontja szerint a közvélemény-kutatás célját kifejezetten megjelölő vagy bc) az előfizetői szolgáltatás igénybevételének időtartama alatt, a hírközlési szolgáltató részére egy évben legalább egy alkalommal megtett nyilatkozatával a kapcsolatfelvételt ellenzi.

(64) Az Eht. 162. § (2) bekezdése szerint tilos közvetlen üzletszerzés, tájékoztatás, közvéleményvagy piackutatás, valamint a Grtv. 6. §-ának hatálya alá nem tartozó közvetlen üzletszerzés, illetve egyéb, a Grtv. szerinti reklámnak nem minősülő tájékoztatás céljából olyan előfizetővel kapcsolatot kezdeményezni, aki úgy nyilatkozott, hogy nem kíván ilyen kapcsolatfelvételt fogadni.

(65) Az Eht. 162. § (5) bekezdése szerint ha a közvélemény-kutatási célú kapcsolatfelvételre nyilvános adattár felhasználása nélkül, véletlenszerűen, a rendelkezésre álló számtartomány alapján képzett telefonszám (a továbbiakban: véletlenszerű számképzés) tárcsázásával kerül sor, a kapcsolatfelvétel során a (2) bekezdés rendelkezéseit nem kell alkalmazni, kivéve, ha az előfizető a) a 160. § (4) bekezdés a) pontja szerint vagy b) a 160. § (4) bekezdés b) pontja szerint a közvélemény-kutatás célját kifejezetten megjelölő vagy c) az előfizetői szolgáltatás igénybevételének időtartama alatt, a hírközlési szolgáltató részére egy évben legalább egy alkalommal megtett nyilatkozatával a kapcsolatfelvételt ellenzi.

(66) Az Eht. 162. § (6) bekezdése szerint a közvélemény-kutató köteles az általa közvéleménykutatás céljára alkalmazott hívószámát a Nemzeti Média és Hírközlési Hatóság és a hírközlési szolgáltató részére, a közvélemény-kutatás megkezdését megelőzően harminc nappal átadni.

(67) Az Eht. 162. § (7) bekezdése szerint az (1) és (5) bekezdésben meghatározott közvéleménykutatás vonatkozásában a 160. § (4) bekezdés a) és – ha az előfizető a nyilatkozatában a közvélemény-kutatási célt kifejezetten megjelölte – b) pontja, továbbá az (1) bekezdés b) pont bc) alpontja, valamint az (5) bekezdés c) pontja szerinti nyilatkozatot tett előfizetőre vonatkozó korlátozás biztosítása érdekében a hívásvégződtetési forgalmi szolgáltatást nyújtó szolgáltató a közvélemény-kutatót mint hívó felet letiltja.

(68) Az Eht. 162. § (8) bekezdése szerint a véletlenszerű számképzést követő tárcsázás esetén a közvélemény-kutatási célú kapcsolatfelvételt kezdeményező, a kutatás és a közvetlen üzletszerzés célját szolgáló név- és lakcímadatok kezeléséről szóló 1995. évi CXIX. törvény (a továbbiakban: Kktv.) szerinti közvélemény-kutató szerv köteles az előfizetőt arról tájékoztatni, hogy az előfizető telefonszám adata véletlenszerű számképzésből képződött és a közvélemény-kutatást a közvélemény-kutató szerv milyen célból végzi.

(69) Az Eht. 162. § (9) bekezdése szerint az (5) bekezdésben meghatározott kapcsolatfelvételre kizárólag a Kktv. szerinti közvélemény-kutatás céljából kerülhet sor.

III.Döntés

1. A jelen adatvédelmi hatósági eljárás tárgya

(70) A Hatóság a jelen döntés (26) pontjában ismertetettek szerint a NAIH-7678/2021. szám alatti előzmény vizsgálati eljárásban megállapította, hogy a Kötelezett a tulajdonában lévő telefonszám és hozzá kapcsolódóan lakhely-irányítószám, lakhely-település és lakhely-megye személyes adatokat tartalmazó adatbázis tárolása tekintetében önálló adatkezelői minőségben kezel személyes adatokat.

(71) A Hatóság a NAIH-4949/2022. számú vizsgálati eljárással összefüggésben kifejti, hogy hatásköre nem terjed ki polgári jogi szerződések érvényességének megállapítására, azonban az üggyel kapcsolatban a fentiekben részletezettek alapján a Hatóság azt meg tudja állapítani, hogy a Hatóság eljárása szempontjából nincs döntő jelentősége annak, hogy megszűnt-e a Kötelezett és a […] közötti megbízási szerződés, mivel a Kötelezett nem a megbízó rendelkezéseinek megfelelően járt el, nem a megbízó által megjelölt telefonszámokat kezelte az automata hívásokhoz, és a megbízó akarata ellenére önállóan döntött az adatkezelés lényeges feltételeiről, emiatt az általános adatvédelmi rendelet 28. cikk (10) bekezdése alapján a Kötelezett önálló adatkezelővé vált, a megbízási szerződés polgári jogi minősítésétől függetlenül felel a 2022. március 29. és 2022. április 1. között saját adatbázisa felhasználásával végzett automata telefonhívásokkal kapcsolatos adatkezelésért.

(72) A Hatóság a hivatkozott NAIH-7678/2021. számú előzmény vizsgálati eljárásban – mivel a Kötelezett a konkrét megbízás alapján a politikai kitelefonálási tevékenységet a saját adatbázisában tárolt telefonszámok felhasználásával teljesítette – a Kötelezett adatbázisában tárolt személyes adatok jogszerűségére vonatkozóan is tett megállapításokat. Figyelemmel azonban arra, hogy az előzmény vizsgálati eljárás tárgya a Kötelezett egy konkrét kitelefonálási tevékenységéhez kapcsolódó adatkezelésének jogszerűsége volt, a Hatóság a Kötelezett adatbázisában tárolt személyes adatok kezelése jogszerűségét a jelen adatvédelmi hatósági eljárás keretében vizsgálja.

2. A Kötelezett adatbázisában tárolt személyes adatok kezelésének jogszerűsége

(73) A magánszemély telefonszáma, továbbá az ahhoz kapcsoltan tárolt személyes adatai (név, telefonszám, lakhely irányítószáma, lakhely települése és lakhely megyéje) a GDPR 4. cikk 1. alpontja alapján személyes adatnak minősülnek. Kezelésükre alkalmazandóak egyrészt a GDPR általános rendelkezései, másrészt a szektorális jogszabályok, harmadrészt adott esetben a szolgáltatóval kötött szerződés rendelkezései. Amennyiben valamilyen módon személyes adat kezelésére kerül sor, akkor ehhez a cél meghatározása, és megfelelő úgynevezett adatkezelési jogalap szükséges, amelyre a személyes adatok kezelésének általános eseteiben a GDPR 6. cikk (1) bekezdése szerinti jogalapokra hivatkozással kerülhet sor.

(74) A Kötelezett a […] Kft.-től adásvétel útján szerzett személyes adatok általa történő kezelésének jogalapjaként a jogos érdeket jelölte meg.

(75) A Kötelezett ehhez kapcsolódóan csatolt érdekmérlegelésében kifejtettek szerint a Kötelezett telefoninformációval, piac- és közvéleménykutatással foglalkozó gazdasági társaság, amely tevékenységei gyakorlásához elérhetőségi adatokat tartalmazó adatbázisokra van szüksége. Az automatikus kitelefonálási tevékenységhez kapcsolódó adatkezelése során a Kötelezett a megbízója számára – akinek szövege az érintett felé indított telefonhívásban szól – az érintettek személyes adatait soha nem adja át, csak olyan megbízást teljesít, amelynek során a megbízó által eljuttatni kért szöveget meghatározott számú és tulajdonságú érintetthez eljuttatja, illetve azt megkísérli.

(76) Az érdekmérlegelésben levezetettek szerint a kitelefonálással kapcsolatos adatkezelésnek az érintettekre kétféle hatása lehet:

a) ha az érintettet eléri a megfelelő és számára releváns információ, akkor az adatkezelésnek negatív hatása nem értelmezhető, hiszen az információ ilyenkor célba ér, függetlenül attól, hogy az az érintetti alapjogokra is hatással lehet;

b) ha az érintettet olyan információ éri el, amely számára nem releváns, az érintettet nem érinti. Tekintettel arra, hogy az automatikus kitelefonálás során az érintett csak egy gépi hangfelvétellel találkozik a hívás fogadásakor, hatást ez csak annyiban gyakorolhat rá, hogy amennyiben nem érdekli őt a hívás során elhangzó szöveg, úgy a hívást meg kell szakítania.

A Kötelezett álláspontja szerint ez a néhány másodperces cselekmény az érintettre érdemi hatással nincs, így az érintettre gyakorolt aránytalan hatás fennállásáról sem lehet szó, függetlenül attól, hogy az az érintettet az alaptörvényi jogaiban egy-egy pillanatra potenciálisan, kismértékben megzavarhatja.

(77) Az érdekmérlegelésben kifejtett álláspontja szerint a Kötelezett az adatkezelés során mindvégig biztosítja a GDPR-ban foglalt elvek és szabályok érvényesülését, különösen az érintetti joggyakorlás lehetőségét, továbbá mivel a fentiekben kifejtettek szerint az adatkezelés az érintettre egyáltalán nincs érdemi hatással, ezért további biztosíték alkalmazása nem szükséges az adatkezelés során.

(78) A Kötelezett – értékelve azt, hogy jogos érdeke az Alaptörvényben foglalt szabadságon alapul, melyet a Polgári Törvénykönyv is megerősít, továbbá hogy az adatkezelésnek az érintettekre aránytalan hatása nincs – arra a következtetésre jutott, hogy a jogos érdeken alapuló adatkezelése jogszerűnek tekinthető, mert a Kötelezett alaptörvényi alapjogának érvényesülése során nincs jelentős hatása annak az érintettre, hogy a telefonja kicsöng és adott esetben, ha az abban elhangzó szöveg számára irreleváns, úgy a telefonhívást meg kell szakítania.

(79) A Kötelezett nyilatkozata szerint az adásvétel útján a kezelése alá került személyes adatok általa történő kezelésének jogalapja a jogos érdeke. Az adatok adatátadást megelőzően, az eladó társaság általi kezelésének jogalapja és ehhez szorosan kapcsolódva az, hogy az eladó társaság az adatokat milyen forrásból szerezte, azokat milyen célból kezelte és egyéb, az adatkezelése jogszerűségére vonatkozóan információk nem voltak ismertek, így az sem, hogy az érintettek ténylegesen kaptak-e információt az adatok átadásáról, azoknak a továbbiakban az eredeti céltól adott esetben eltérő célból történő, más adatkezelő általi kezelésének tényéről.

(80) A Kötelezett az adatvédelmi hatósági eljárás keretében a Hatóság felhívására ehhez kapcsolódóan úgy nyilatkozott, hogy a […] Kft.-vel 2018. május 7-én kötött adásvételi szerződésben foglalt megállapodás szerint a […] Kft. vállalt kötelezettséget arra vonatkozóan, hogy az érintetteket értesíti a szerződés szerinti adatátadásról és arról, hogy a Kötelezett adatkezelésének jogalapja a Kötelezett jogos érdeke lesz és az így megvásárolt személyes adatokat a Kötelezett piac- és közvéleménykutatás, továbbá közvetlen üzletszerzési tevékenységre fogja használni. A Kötelezett nyilatkozata szerint a […] Kft. kötelezettséget vállalt arra is, hogy értesíti az érintetteket arról is, hogy amennyiben az érintetteknek az adatátadással kapcsolatban problémájuk van, úgy az eladó társaság erről értesíti a Kötelezettet, aki azonnal törli az érintett adatait.

(81) A Kötelezett a jelen adatvédelmi hatósági eljárásban továbbá megerősítette azon korábbi nyilatkozatát, hogy álláspontja szerint a telefonhívások az érintettek számára számottevő hatást nem okoztak (mivel nem történt sem személyes felkeresés, sem írásbeli megkeresés), privát szférájukba nem avatkoztak be, mivel a telefonos beszélgetés bármikor megszakítható volt és a Kötelezett a telefonhívásokat egy megbízás teljesítése során maximum három alkalommal kísérelte meg.

(82) A jogos érdek jogalappal összefüggésben a Hatóság hangsúlyozza, hogy az nem arra szolgál, hogy egyéb lehetőség hiányában az adatkezelő erre hivatkozással bármikor és bármilyen indokkal az egyéb jogalapok alkalmazhatóságának hiányában kezeljen személyes adatokat. Bár látszólag a legrugalmasabb jogalapnak tűnik, annak alkalmazásával az adatkezelő jelentős felelősséget vállal, nem csak szűk értelemben a személyes adatok kezelésével, hanem az ahhoz kapcsolódó egyéb garanciális kötelezettségek teljesítésének felvállalásával is. Megfelelő mérlegelés, tervezés és garanciák kell, hogy biztosítsák a gyakorlatban többek között azt, hogy az érintett tisztában lehessen az adatkezeléssel, és azzal szemben tiltakozni tudjon, mivel az adatkezelést követően – különösen egy rövid ideig tartó vagy egyszeri adatkezelésnél, például telefonhívásnál – már kiüresedik az érintett valamennyi joga.

(83) Szorosan kapcsolódik a jogos érdek jogalaphoz a GDPR 5. cikk (2) bekezdésében foglalt elszámoltathatóság elve, mely az adatkezelőre a személyes adatkezelés átláthatóságát, pontosságát és tisztességességét szolgáló adminisztrációs terhek teljesítésének kötelezettségét jelenti. Nem „lepapírozásról” van tehát szó, hanem érdemi feladatról, mely megállapítás különösen igaz olyan fokozott kockázatú adatkezelések esetén, amelyek politikai véleményekkel, ahhoz kapcsolódó közvélemény-kutatással kapcsolatos célokat is tartalmaznak.

(84) A Kötelezett érdekmérlegelése pusztán azt rögzítette, hogy a Kötelezettnek a tevékenysége végzéséhez személyes adatokra van szüksége, nem támasztotta azonban alá, hogy az adatkezelés a Kötelezett jogos érdeke. A Hatóság, az Európai Adatvédelmi Testület, valamint az Európai Unió Bíróságának töretlen gyakorlata alapján2 a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek nem egyenlő pusztán egy jogszerű gazdasági érdekkel.

(85) Azt, hogy milyen célból és milyen jogos érdekei miatt kíván személyes adatot kezelni, az adatkezelőnek kell konkrétan, adat- és célszintre lebontva egyértelműen indokolni, mérlegelni és ennek garanciáit megteremteni. A jogszerű cél meghatározását követően, még az adatkezelés megkezdése előtt meg kell vizsgálnia az adatkezelőnek, hogy szükséges-e az adatkezelés a cél eléréséhez. Ebben a körben azt kell vizsgálni, hogy rendelkezésre állnak-e olyan alternatív megoldások, amelyek alkalmazásával a tervezett cél az adott adatkezelés nélkül, illetve az adott adatkezeléshez képest kevésbé korlátozó eszközökkel is megvalósítható. Ha az adatkezelő ugyanazt az eredményt a személyes adatokhoz való jog kevésbé korlátozó módjával, eszközével is képes észszerűen elérni, nem áll fenn szükségesség, így a 6. cikk (1) bekezdés f) pont szerinti jogalap sem alkalmazható.

(86) A szükségesség körében konkrét tényeket kell értékelni az adott helyzetet figyelembe véve – az adatkezelés miért és miként oldja meg az elérni kívánt célt, a másik oldalról pedig annak elemzése, hogy a többi észszerűen szóba jöhető eszköz miért nem alkalmas a cél elérésére. Ez teljesen hiányzott a Kötelezett – keltezés és aláírás nélküli – érdekmérlegeléséből.

(87) Ugyancsak nem érintette érdemi módon a Kötelezett érdekmérlegelése azt, hogy miért és mennyiben jelenti az érintettek magánszférájának a korlátozását az adatkezelés, az adatkezelés miért hatékony és miért a legkevésbé korlátozó eszköz a cél eléréséhez. Az érintetti érdekek, elvárások érdemi felmérésének teljes hiánya mellett a Kötelezett nem azonosíthatta és vethette össze a jogos érdekét az érintettek jogaival és szabadságaival amely a konkrét érintetti jogokon túli kategória, a bővebb „privát szféra” lehető legkisebb zavarásának jogi követelménye –, így nem is vonhatott le helyes következtetést az érdekmérlegelés végén. Az adatkezelőnek azt is alá kell támasztania az érdekmérlegelésben, hogy az azonosított jogos érdek prioritást élvez az adott esetben az érintettek jogaival és szabadságaival szemben. Ennek körében nem csak azt kell ismertetni, hogy miért „jó” és miért „szükséges” az adatkezelés, hanem az adott adatkezelés valamennyi szempontjait figyelembe

2 Lásd a Hatóság 2019-2021 évi beszámolóiban számos ponton: https://www.naih.hu/eves-beszamolok kell venni, majd egyenként és összességében mérlegelni. Azt is, hogy miért nem választhat más eszközt, miért az adott adatkezelés a legalkalmasabb a cél elérésére, és milyen biztosítékot ad az adatkezelő az érintettnek az ő jogai érvényesítésére. Ez jelen esetben nem történt meg. A Kötelezett az érdekmérlegelésében csupán azzal a magyarázattal próbálta alátámasztani jogos érdeke fennálltát, illetve azt, hogy a telefonhívásnak az érintettekre nincs hatása, hogy az érintett a hívás során bármikor dönthet úgy, hogy a hívást megszakítja. A Hatóság álláspontja szerint ugyanakkor nem csupán az adott, egyszeri alkalommal megvalósuló telefonhívás érintettre gyakorolt hatását kell nézni jelen esetben, hanem összességében kell mérlegelni, hogy azáltal, hogy a Kötelezett az adatbázisában tárolja az érintettek telefonszámát, és bizonyos időközönként felhívja őket, ezen adatkezelése, az érintettek bármikor történő hívásának potenciális lehetősége milyen hatással van az érintettekre.

(88) A jogszerűség körében tisztázatlan továbbá az a körülmény, hogy a Kötelezett az általa kezelt telefonszámok tekintetében miként biztosította az Eht. 162. § (2) bekezdés szerinti feltétel érvényesülését, azaz az online tudakozóban nem feltüntetett, valamint az online tudakozóban a kutatási és marketing célból tiltottként jelölt telefonszámok kiszűrését. Az Eht. 160. § (4) bekezdés a) és b) pontja, valamint a 162. § (1) és (2) bekezdései olyan általános tiltakozási jogot adnak az érintetteknek, amelyet az adatkezelők az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja alapján kötelesek figyelembe venni az adatkezelés során. Ezen általános tiltakozási jog egyértelműen kifejezi az érintett általános adatvédelmi rendelet szerinti tiltakozását minden olyan telefonszámát érintő, marketing, illetve kutatási célú adatkezeléssel szemben, amelyhez nem járult hozzá külön konkrétan, előre. Az Eht. 162. § (5)-(9) bekezdései is ezt erősítik meg, illetve fejtik ki részletesebben. Mindezek alapján az érintett konkrét és előzetes hozzájárulása hiányában tilos és jogszerűtlen a telefonszám adat kezelése, illetve a jogos érdek mérlegelés eredménye nem lehet megfelelő akkor, ha jogszabályban meghatározott tiltás ellenére történik a telefonszámok kezelése (felhívása vagy tárolása), és konkrét előzetes, az általános adatvédelmi rendeletnek megfelelő hozzájárulás sem állt rendelkezésre a vizsgált adatkezelésekhez. A Kötelezett által kezelt telefonszámok esetében nem igazolt, hogy nem található az adatbázisában olyan telefonszám, amelynek esetében az előfizető tiltakozott személyes adatai kutatási és marketing célból történő felhasználása ellen, ezen telefonszámok esetében ugyanis a Kötelezett jogos érdeke nem állhat fenn.

(89) Fentiek alapján a Kötelezett az érdekmérlegelésében a jogos érdeke fennálltát nem támasztotta alá az adatbázisában tárolt személyes adatok kezelése tekintetében, az eljárás során nem igazolt továbbá más jogszerűen fennálló jogalapot, ennélfogva a Hatóság megállapította, hogy a Kötelezett jogalap nélkül kezeli az adatbázisában az érintettek telefonszám és egyéb személyes adatait, megsértve ezáltal a GDPR 6. cikk (1)

bekezdését.

3. A megfelelő tájékoztatás

(90) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerint a Kötelezett, mint adatkezelő kötelezettsége megfelelő intézkedéseket hozni annak érdekében, hogy az érintettek részére a személyes adatok kezelésére vonatkozó, a 13. és 14. cikkben említett valamennyi információt és a 15-22. és a 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa.

(91) A megfelelő tájékoztatás rendszere az általános adatvédelmi rendeletben azt szolgálja, hogy az érintett tudatában lehessen annak, hogy mely személyes adatait, mely adatkezelő és mely célból, hogyan fogja kezelni. Ez elengedhetetlen ahhoz, hogy olyan helyzetben legyen, hogy érintetti jogait érdemben gyakorolni tudja.

(92) A Kötelezett megbízások alapján automatikus kitelefonálási tevékenységet folytat az adatbázisában tárolt személyes adatok felhasználásával. A Kötelezett nyilatkozata szerint a személyes adatokat 2018. május 7-én adásvétel jogcímén szerezte a […] Kft.-től.

(93) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontjában foglalt tisztességes és átlátható adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljáról. Az adatkezelés jogszerűségének tehát egyik lényeges feltétele, hogy az adatkezelő megfelelően tájékoztassa az érintettet az adatkezelés valamennyi fontos körülményéről.

(94) Az általános adatvédelmi rendelet 13-14. cikkei határozzák meg, hogy tartalmát tekintve milyen tájékoztatást kell nyújtani a személyes adatok kezelése során. Erre eltérő szabályok (tartalom és teljesítési határidő) érvényesülnek attól függően, hogy az adatokat az érintettől vagy nem az érintettől szerezték meg, míg a tájékoztatás formai követelményeit illetően az általános adatvédelmi rendelet 12. cikke ad iránymutatást.

(95) Mivel a Kötelezett az adatbázisában tárolt személyes adatokat 2018. május 7-én adásvétel útján szerezte, az általános adatvédelmi rendelet 14. cikkében foglaltak figyelembevételével az érintettek részére a személyes adataik kezelésével összefüggő 14. cikk (1) és (2) bekezdése szerinti tájékoztatást a GDPR 14. cikk (3) bekezdése szerinti észszerű határidőn belül kell megadni, azaz az érintettekkel való első kapcsolatfelvétel (telefonhívás) alkalmával rendelkezésre kellett bocsátania.

(96) Az általános adatvédelmi rendelet (171) preambulumbekezdése alapján az általános adatvédelmi rendelet alkalmazandóvá válása, azaz 2018. május 25. előtt létrehozott adatbázisok továbbkezelése – függetlenül azok korábbi jogszerűségétől vagy annak hiányától automatikusan az általános adatvédelmi rendelet hatálya alá helyezi azok kezelését, így azok megfelelőségét a Kötelezett köteles lett volna vizsgálni.

(97) A Kötelezett által szolgáltatott dokumentumban (2018. május 7-én kelt adásvételi szerződés) és nyilatkozatában foglalt álláspontja szerint az eladó társaság az adásvételi szerződésben szavatosságot vállalt az átadásra kerülő személyes adatok kezelésének jogszerűségére vonatkozóan, így a szerződésben foglaltak szerint arra, hogy a személyes adatokat az „Infotv. rendelkezéseinek megfelelően gyűjtötte, tárolta és használja fel” a szerződés teljesítése során. Az eladó társaság a szerződésben továbbá kötelezettséget vállalt arra, hogy abban a nem várt esetben, ha az adatok kezelésével kapcsolatban az érintettek vagy a felügyeleti hatóság a Kötelezettel szemben bármilyen jogcímen igényt érvényesít, úgy a Kötelezett helyett – annak erre irányuló írásbeli felszólítása szerint – helyt áll. Az eladó társaság továbbá kötelezettséget vállalt arra, hogy az adatátadásról az érintetteket a szerződés hatályba lépésétől számított 5 munkanapon belül tájékoztatja.

(98) A Kötelezett a nyilatkozata szerint megpróbálta felvenni a kapcsolatot az időközben cégnevet változtatott […] Kft. eladó társaság kapcsolattartójával, hogy a fentiekkel kapcsolatos információkat megszerezze, ez azonban nem járt sikerrel, továbbá nyilatkozata szerint a Kötelezett is értesült arról, hogy a Fővárosi Bíróság Cégbírósága elrendelte az eladó társaság kényszertörlési eljárását. A Kötelezett a Hatóság felhívása ellenére tehát nem tudta igazolni az érintettek eladó társaság általi értesítésének megtörténtét, így azt sem, hogy az milyen tartalommal történt.

(99) A fentiekben ismertetett, Kötelezett által csatolt szerződés-másolat és a Kötelezett nyilatkozata alapján a Hatóság megállapította, hogy a Kötelezett nem vizsgálta meg a 2018. május 25. előtt az adatbázisába került személyes adatok kezelése megfelelőségét, és nem igazolt, hogy megfelelő érdemi intézkedéseket tett az adatvédelmi jogi megfelelésre, a Kötelezett a Hatóság megállapítsa szerint ezáltal megsértette az általános adatvédelmi rendelet 5. cikk (2)

bekezdése szerinti elszámoltathatóság alapelvét. A szerződésben az általános jogi megfelelés hangoztatása konkrétumok nélkül csak papíron nem teszi önmagában jogszerűvé az adatkezelést. Az általános adatvédelmi rendelet eleve 2 éves türelmi időt biztosított az adatkezelések felülvizsgálatára 2016 és 2018 között, és 2018. május 25. óta is eltelt már több, mint 4 további év. Az adatkezelés érdemi felülvizsgálatának bizonyítási terhe az általános adatvédelmi rendelet 5. cikk (2) bekezdése alapján a Kötelezettet terhelte, amelynek az eljárás során nem tett eleget, így e téren a bizonyítatlanság a Kötelezett terhére értékelendő.

(100) A Kötelezett továbbá a Hatóság felhívására annak igazolásaként, hogy az érintettek személyes adatainak általa első alkalommal történő felhasználásakor megtörtént az érintettek 14. cikk szerint kötelező, megfelelő tájékoztatása, akként nyilatkozott, hogy minden egyes telefonos kampány során felhívták az érintettek figyelmét arra, hogy a Kötelezett adatkezelési tájékoztatói – amelyben a tájékoztatási kötelezettségének eleget tesz – hol érhetők el, illetve külön kérés esetén adják meg az adott adatkezelési tájékoztató jelszavát. Az adatkezelési tájékoztatók a nyilatkozata szerint azért vannak jelszóval ellátva, mert azok csak az érintettekre vonatkozó adatokat tartalmaznak, ugyanakkor a honlap látogatói nem biztos, hogy érintettek, ezáltal szeretné a Kötelezett elkerülni, hogy „a honlap bármely látogatója bármit félreértsen”.

(101) A Hatóság álláspontja szerint ugyanakkor a Kötelezett ezen nyilatkozata nem igazolja, hogy az általános adatvédelmi rendelet 14. cikkében foglaltak figyelembevételével az érintettekkel történő első kapcsolatfelvételkor megtörtént a megfelelő tájékoztatásuk.

(102) A Hatóság továbbá a Kötelezett nyilatkozata alapján ellenőrizte az általa a weboldalán keresztül nyújtott adatvédelmi tájékoztatását. Ehhez kapcsolódóan megállapította, hogy a Kötelezett a […] oldalon „Panaszkezelés”, […], „Piackutatás”, […] és „Általános” címszavak alatt teszi közzé a különböző tevékenységeihez kapcsolódó adatkezelési tájékoztatóit. A megjelölt adatkezelési tájékoztatók közül azonban csak a […] (Adatkezelési tájékoztató közvetlen üzletszerzési tevékenységhez kapcsolódóan) címszó alatt, és az „Általános” (Adatkezelési tájékoztató panaszkezeléssel és érintetti joggyakorlással kapcsolatban) címszó alatt található tájékoztatók nyithatók meg ténylegesen bárki által, a többi adatkezelési tájékoztató megnyitásához a weboldal jelszót kér. Azonban a […] oldalon hosszas keresgélés után a Kötelezett által nyújtott „Szolgáltatások” alatt az egyes tevékenységeit bemutató aloldalakon az egyes szolgáltatásokról történő ajánlatkérési lehetőségnél a „Kijelentem, hogy az Adatvédelmi nyilatkozatot megismertem és elfogadom, s abban szereplő adatkezeléshez hozzájárulok” alá beágyazott link alatt azonban elérhetőek egyéb, így a Piackutatáshoz, és a […] szolgáltatásához kapcsolódó adatkezelési tájékoztatói is.

(103) A Hatóság álláspontja szerinti ugyanakkor a Kötelezett azáltal, hogy elsődlegesen az adatkezelési tájékoztatóit összesítő oldalon az érintettek számára nem teszi elérhetővé valamennyi adatkezelési tájékoztatóját, csupán azon aloldalai alatt, amelyeknél elsődlegesen nem az érintetteket szólítja meg, hanem az általa nyújtott szolgáltatásokat „reklámozza”, ezáltal egyáltalán nem segíti elő az érintettek joggyakorlását, nem várható el ugyanis az érintettektől, hogy amennyiben a telefonhívás során az adott pillanatban meg is jegyzik az elhangzottakat és az alapján fel is keresik a Kötelezett weboldalát, ott hosszasan keresgéljenek, minden aloldalt megnyitva, hogy megtalálják a vonatkozó adatkezelési tájékoztatót, illetve csekély a valószínűsége, hogy miután az adatkezelési tájékoztatókat összesítő oldalon azt tapasztalják, hogy az adatkezelési tájékoztató csak jelszóval nyitható meg, még tovább böngésszenek az oldalon, hátha megtalálják a számukra releváns információkat az adatkezelésre vonatkozóan.

(104) A Hatóság a Kötelezett weboldalán elérhető adatkezelési tájékoztatókkal összefüggésben megállapította, hogy a Kötelezett a piac- és közvélemény-kutatási tevékenységhez kapcsolódó adatkezelési tájékoztatójában, az automatikus kitelefonálási tevékenységhez kapcsolódó adatkezelési tájékoztatójában és a közvetlen üzletszerzési tevékenységhez kapcsolódó adatkezelési tájékoztatójában is általánosságban nyújt tájékoztatást az ezen tevékenységeivel összefüggésben megvalósuló adatkezeléseiről.

(105) A Hatóság megállapította, hogy az adatkezelési tájékoztatók az adatkezelés célja, illetve az adatkezelés forrása pontban különböznek tartalmilag, továbbá a Hatóság megállapította, hogy a tájékoztatók nem tartalmazzák a GDPR 14. cikkében foglalt legfontosabb információkat:

(106) A tájékoztatók a személyes adatok kezelésének (valós) céljáról és az adatkezelés megfelelő jogalapjáról nem tájékoztatják az érintetteket [GDPR 14. cikk (1) c)].

(107) A tájékoztatók szerint az adatkezelés célja (i) az automatikus kitelefonálási tevékenységhez kapcsolódó adatkezeléssel összefüggésben a Kötelezett „azon jogos érdeke, hogy gazdasági tevékenysége során üzleti partnerei részére olyan kommunikációs szolgáltatást nyújthasson, melynek keretében egy, a Kft. üzleti partnere által meghatározott tartalmú, előre rögzített hangfelvételt el tudjon juttatni az érintetthez”, (ii) a közvetlen üzletszerzési tevékenységhez kapcsolódó adatkezeléssel összefüggésben a Kötelezett „azon jogos érdekének beteljesítése, hogy közvetlen üzletszerzési tevékenységet végezzen saját maga, vagy harmadik személy részére”, míg (iii) a piac- és közvélemény-kutatási tevékenységhez kapcsolódó adatkezeléssel összefüggésben a Kötelezett „azon jogos érdeke, hogy a kutatás és a közvetlen üzletszerzés célját szolgáló név- és lakcímadatok kezeléséről szóló 1995. évi CXIX. törvényben meghatározott közvélemény- és piackutatási tevékenységet végezzen.”, továbbá az adatkezelési tájékoztatóban foglaltak szerint „amennyiben a közvélemény-, vagy piackutatási tevékenységünk során a személyes adatok különleges kategóriáit is kezeljük, úgy az adatkezelés jogalapja kizárólag az Ön önkéntes hozzájárulása lehet a GDPR 9. cikk (2) a) pontja alapján”.

A Kötelezett által ismertetett adatkezelési célok azonban a Hatóság álláspontja szerint nem konkrét, egyértelműen megfogalmazott célok, amelyekből az érintettek tisztában lehetnek az adatkezelés összes lényeges körülményével, az azokhoz igazodó adatok körével, továbbá személyes adatuk kezelésének folyamatával, különösen, hogy abba belekeveredik az adatkezelő által meghatározott jogalap megjelölése is. Figyelemmel továbbá a III.2. pontban kifejtettekre, a tájékoztató az adatkezelés jogalapjáról is téves információkat nyújt, továbbá a piac- és közvélemény-kutatási tevékenységhez kapcsolódó adatkezelésnél más jogalapot, az érintettek hozzájárulását jelöli meg az adatkezelés jogalapjaként, amennyiben tevékenységük során személyes adatok különleges kategóriáit is kezelik.

(108) A Kötelezett a Hatóságnak adott válaszában tájékoztatást adott az általa igénybe vett adatfeldolgozókról, az adatkezelési tájékoztatók azonban semmilyen információt nem tartalmaznak azzal kapcsolatban, hogy az adatkezelés során milyen adatfeldolgozókat vesz igénybe, és azok milyen adatkezelési tevékenységet végeznek. [GDPR 14. cikk (1) e)].

(109) A tájékoztatók fentieken túl a tisztességes és átlátható adatkezelés biztosításához szükséges fontosabb kiegészítő információkat sem tartalmazzák, így – amennyiben az adatkezelés jogszerű jogalapja az abban írt jogos érdek – nem nyújtanak információt az adatkezelő jogos érdekét alátámasztó tényekről.

(110) A tájékoztatók a Kötelezett Hatóságnak adott nyilatkozatában foglaltakkal ellentétben az adatok forrása között említi magukat az érintetteket, valamely nyilvános adatbázist, illetve harmadik féltől történt adatbeszerzést, míg a Kötelezett Hatóságnak adott nyilatkozata szerint a személyes adatokat adásvétel útján szerezte a […] Kft.-től.

(111) A Hatóság a fentiekben részletezettek alapján megállapította, hogy a Kötelezett nem igazolta, hogy az érintettekkel történő első kapcsolatfelvételkor megfelelő tájékoztatást nyújtott a személyes adataik kezeléséről, továbbá az adatbázisában tárolt személyes adatok kezelése során az érintetteknek nem nyújt megfelelő, valós tájékoztatást az adatkezelés valamennyi lényeges körülményéről, ezáltal megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontjában foglalt átláthatóság alapelvét, a

12. cikk (1) bekezdését, a 14. cikk (1)-(3) bekezdéseit.

4. Az adatkezelés utólag más jogalapra helyezése

(112) A Kötelezett a Hatóság felhívására adott nyilatkozatában kötelezettséget vállalt arra, hogy személyesen eljáró operátorral végighívja az érintett adatbázist, tájékoztatja az érintetteket a Hatóság által jelzett hibákról, továbbá a Hatóság iránymutatása alapján kijavított adatkezeléséről, egyben hozzájárulásos jogalapra áttérve nyilatkoztatja az érintetteket, hogy a jövőbeli adatkezeléshez hozzájárulnak-e, amennyiben pedig az érintettek válasza nemleges, úgy a Kötelezett késedelem nélkül törli az érintettet az adatbázisból.

(113) A Kötelezett ezen adatkezelési tevékenységéhez megfelelő célra és jogalapra lenne szükség, a Hatóság álláspontja szerint ugyanakkor a Kötelezettnek nincs érvényes jogalapja arra, hogy – a Hatóság megállapítása alapján eredendően jogalap nélkül adatbázisában tárolt telefonszámokat egyenként végighívja, és utólagosan a jogalapot jogos érdekről a hozzájárulás jogalapra módosítsa, amely a Hatóság gyakorlata alapján tisztességtelen adatkezelést valósítana meg.

IV.Jogkövetkezmények

(114) A Hatóság figyelemmel arra, hogy a Kötelezett jogszerűen fennálló jogalapot nem igazolt az adatbázisában tárolt személyes adatok kezelése tekintetében, a GDPR 2018. május 25. napjával történő alkalmazandóvá válását követően a továbbra is az adatbázisában tárolt személyes adatok kezelése megfelelőségét, és annak felülvizsgálatára történő megfelelő érdemi intézkedések megtételét nem igazolta, továbbá az adatbázisában nyilvántartott érintetteknek nem nyújtott tájékoztatást sem a velük első alkalommal történő kapcsolatfelvételkor, sem pedig általánosságban nem nyújt megfelelő, valós tájékoztatást az érintettek számára a személyes adataik kezelésével kapcsolatos legfontosabb információkról, a Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés (d) pontja alapján utasította a Kötelezettet, hogy dokumentált módon törölje az adatbázisában tárolt, a […] Kft. „kt.a.”-tól (korábbi, hivatkozott adásvételi szerződésben cégneve: […] Kft.) 2018. május 7-én adásvétel útján szerzett telefonszám és hozzá kapcsolódóan tárolt személyes adatokat!

(115) Az Infotv. 75/A. § alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6)

bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – az előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

(116) E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv.

75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire és az adatkezelés természetére, a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért a Hatóság bírság kiszabása mellett döntött az Infotv. 61. § (1) bekezdés a) pontjára figyelemmel az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja alapján.

(117) A Hatóság a bírság szükségessége és összege tekintetében figyelembe vette, hogy a Kötelezett utolsó közzétett nettó világpiaci forgalma (az értékesítés nettó árbevétele a 2022.

évre) a közhiteles e-beszámoló nyilvántartás3 szerint közel 150 000 000 Ft volt. A bírság lehetséges maximuma az általános adatvédelmi rendelet 83. cikk (5) bekezdés b) pontja alapján 20 millió EUR.

(118) A Hatóság figyelembe vette a bírság összegének megállapítása során az Európai Adatvédelmi

Testület 4/2022-es számú iránymutatásában (a továbbiakban: Iránymutatás) 4 foglaltakat, amely az általános adatvédelmi rendelet szerinti közigazgatási bírságok kiszabásának számítási szempontjait tartalmazza. Erre tekintettel a bírság összegének meghatározására a következő szempontok alapján került sor:

(i) A Kötelezett forintban számított bevétele a 2 millió euró alatti bevételsávban van.

(ii) Az Iránymutatás alapján az általános adatvédelmi rendelet 83. cikk (5) bekezdése szerinti bírságkategóriába tartozó jogsértések esetén – a bírság tárgyát képező, összességében relatíve alacsony súlyúnak megítélt jogsértés esetén – a statikus bírságmaximum 0 és 8 000 EUR (kb. 3 000 000 Ft) között van.

(iii) A Kötelezett tekintetében megállapított 1.500.000 Ft bírság összeg az éves világpiaci forgalom (árbevétel) kb. 1,008 %-a.

3 https://e-beszamolo.im.gov.hu

Guidelines on the calculation of administrative fines under the GDPR (Version 2.0.). Online: https://edpb.europa.eu/system/files/2023-06/edpb_guidelines_042022_calculationofadministrativefines_en.pdf (119) Az adatvédelmi bírság mértékének meghatározásakor a Hatóság enyhítő körülményként vette figyelembe az alábbiakat:

(i) A megállapított jogsértés tekintetében nem merült fel a Kötelezett szándékosságára utaló körülmény (GDPR 83. cikk (2) bekezdés b) pont).

(ii) A Kötelezett adatkezelése kapcsolati típusú személyes adatra irányult, azon belül pedig többnyire a pontos lakcím adat kezelésére nem is terjedt ki (GDPR 83. cikk (2) bekezdés g) pont).

(iii) A Kötelezett első alkalommal követett el adatvédelmi jogsértést (GDPR 83. cikk (2) bekezdés e) pont)

(120) Az adatvédelmi bírság mértékének meghatározásakor a Hatóság az alábbi súlyosbító körülményeket vette figyelembe azzal, hogy az általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pontját már a jogsértés súlyánál értékelte, így azt még egyszer nem vette figyelembe:

(i) A Kötelezett felelőssége a jogsértésért megállapítható, figyelembe véve azt, hogy az adatbázis megszerzésekor nem ellenőrizte annak jogszerűségét, illetőleg az eladó társaság által vállalt érintetti tájékoztatás tényleges megtörténtét (GDPR 83. cikk (2) bekezdés d) pont).

(ii) A Hatóság a Kötelezettel szemben több, a Kötelezett tevékenységéhez kapcsolódóan érkezett érintetti panasz alapján hivatalból indított vizsgálat során észlelte a Kötelezett általános adatkezelési gyakorlata jogsértő jellegének valószínűségét is, amelynek eredménye lett végül a jelen adatvédelmi hatósági eljárás (GDPR 83. cikk (2) bekezdés h) pont).

(iii) Az adatkezelés a Kötelezett haszonszerzésére is irányult, a Kötelezett tevékenysége ugyanis, hogy megbízások alapján, azaz gazdasági tevékenysége keretében automatikus kitelefonálási tevékenységet (közvélemény-kutatási tevékenység) végez. A megfelelő tájékoztatás hiánya olyan helyzetbe hozta az érintetteket, hogy jogaikat nem tudták megfelelően megismerni és gyakorolni, így adatvédelmi kockázatuk még nagyobb (GDPR 83. cikk (2) bekezdés k) pont).

(121) A Hatóság a jogkövetkezményekről való döntés meghozatala során az általános adatvédelmi rendelet 83. cikk (2) bekezdésének fent nem részletezett pontjait nem tartotta relevánsnak a jelen esetben.

(122) Az adatvédelmi bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg.

(123) A jelen IV. pontban meghatározott szempontok és az eset összes körülménye alapján a Hatóság a bírság összegét arányosnak és visszatartó erejűnek tartotta a speciális és generális prevenció szempontjából is. Ezen mérlegelés nem köti a Hatóságot más ügyben, a jogkövetkezmény – az Iránymutatás 145-146 bekezdésében is kiemelt módon – minden esetben az egyedi körülmények alapján kerül meghatározásra.

V.Egyéb kérdések:

(124) A jelen döntés az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

(125) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp.

27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

(126) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

(127) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

(128) Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Ugyanezen § (2a) bekezdése szerint az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. A Hatóság illetékessége Magyarország egész területére kiterjed.

Kelt Budapesten, az elektronikus aláírás szerint

Dr. habil. Péterfalvi Attila elnök, c. egyetemi tanár