Орган по защите данных Венгрии: публикация персональных данных в онлайн-справочнике

(…)

1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-180-16/2022. Tárgy: jogsértést megállapító, és kérelmet (NAIH-5378/2021.) részben elutasító határozat

HATÁROZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […]

(születési helye és ideje: […]; lakcíme: […]; a továbbiakban: Kérelmező) a Hatósághoz 2021.

június 4. napján érkezett kérelmére, a […] (székhely: […]; cégjegyzékszám: […]; a továbbiakban: Kérelmezett) adatkezelését érintően indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

1. A Hatóság a Kérelmező kérelmének részben helyt ad és elmarasztalja a Kérelmezettet azért, mert online tudakozójából nem törölte a Kérelmező kérelmére annak személyes adatait, megsértve ezzel a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 17. cikk (1) bekezdés b) pontját.

2. A Hatóság hivatalból elmarasztalja a Kérelmezettet azért, mert az általános adatvédelmi rendelet 5. cikk (2) bekezdés szerinti elszámoltathatóság követelményét sértve nem bizonyította, hogy a Kérelmező valóban hozzájárult volna személyes adatainak a Kérelmezett online tudakozójában történő nyilvánosságra hozatalához.

3. A Hatóság hivatalból elmarasztalja a Kérelmezettet azért, mert az általános adatvédelmi rendelet 6. cikk (1) bekezdését megsértve, jogalap nélkül hozta nyilvánosságra a Kérelmező személyes adatait az online tudakozójában.

5. A Hatóság hivatalból

5 000 000 Ft, azaz ötmillió forint adatvédelmi bírság megfizetésére kötelezi a Kérelmezettet.

6. A Hatóság elutasítja a kérelmet annak azon részében, hogy a Hatóság szólítsa fel a Kérelmezettet a Kérelmező személyes adatainak igazolt módon történő haladéktalan törlésére a nyilvános tudakozójából, mivel a kérelem ebben a részben okafogyottá vált.

Az adatvédelmi bírságot jelen döntés véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425

0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-5378/2021. BÍRS. számra kell hivatkozni. Ha a Kérelmezett a bírságfizetési kötelezettségnek határidőben nem tesz eleget, a fenti számlaszámra késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. Az adatvédelmi bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

INDOKOLÁS

I. Az eljárás menete

A Kérelmező 2021. június 4. napján érkeztetett levelében adatvédelmi hatósági eljárás megindítása iránti kérelemmel fordult a Hatósághoz, mely szerint azt kifogásolta, hogy személyes adatai – neve, lakcíme, telefonszáma – annak ellenére nyilvánosan elérhetőek a Kérelmezett nyilvános tudakozójából ([…]), hogy a nyilvánossá tételükhöz nem járult hozzá. A Kérelmező mindezt, valamint törlési kérelmét 2021. május 2. napján jelezte a Kérelmezett telefonos ügyfélszolgálatán, melyet a Kérelmezett panaszként rögzített, […] számon. A Kérelmezett a személyes adatai eltávolítására harminc napos határidőt ígért a Kérelmezőnek, azonban azok az adatvédelmi hatósági eljárási iránti kérelme keltezésének napjáig – 2021. június 3. napjáig – továbbra is nyilvánosan elérhetőek voltak, és a Kérelmezettől ezen időpontig semmilyen visszajelzést nem kapott. A Kérelmező kérte a Hatóságot, hogy szólítsa fel a Kérelmezettet személyes adatainak igazolt módon történő haladéktalan törlésére a nyilvános tudakozóból.

II. A tényállás tis ztázása

1. A Hatóság 2021. június 15. napján, NAIH-5378-3/2021. ügyiratszámon tényállás tisztázó végzést bocsátott ki, melyben a Kérelmezettet értesítette az adatvédelmi hatósági eljárás megindulásáról és nyilatkozattételre hívta fel. 2. A Kérelmezett – a Hatóság 2021. július 20. napján kelt, NAIH-5378-7/2021. ügyiratszámú ismételt tényállástisztázó végzésére – 2021. augusztus 3. és 16. napján küldte meg válaszait a Hatóságnak. A Hatóság rendelkezésére áll továbbá három hangfelvétel, melyen a Kérelmező a Kérelmezett ügyintézőivel folytatott telefonos beszélgetések hallhatóak.

3. A Kérelmezett a 2021. május. 2. napján rögzített hangfelvételt (13 perc 29 másodperc) küldte meg a Hatóságnak. E szerint a Kérelmező jelezte a Kérelmezett ügyintézője felé, hogy személyes adatai annak ellenére láthatóak a […] weboldalon található nyilvános tudakozóban, hogy a Kérelmező a telefonhívás előtt körülbelül két héttel a Kérelmezett online felületén kezdeményezte azok törlését. A Kérelmezett ügyintézője tájékoztatta a Kérelmezőt, hogy ő hiába keres a Kérelmező személyes adataira a tudakozóban, nála nem jelenik meg találat név és telefonszám alapján. Mivel nem jutottak előrébb a probléma megoldásában, a Kérelmezett ügyintézője más szervezeti egység munkatársával konzultált, aki névre keresve kapott találatot, telefonszámra nem. A más szervezeti egység munkatársa azt javasolta, hogy panaszban legyen rögzítve a Kérelmező problémája. A más szervezeti egység munkatársa ezt követő további ellenőrzéskor már telefonszámra is kapott találatot, ezért ismételten azt tanácsolta az ügyintézőnek, hogy panaszban rögzítse, hogy bár rendszer szerint megtörtént a Kérelmező személyes adatainak a törlése a tudakozóból, a gyakorlatban azonban ez mégsem teljesült, mert névre és telefonszámra is ad találatot a rendszer. A más szervezeti egység munkatársával folytatott konzultációt követően a Kérelmezett ügyintézője a más szervezeti egység munkatársával folytatott beszélgetésről és a panaszbejelentésként történő rögzítésről tájékoztatta a Kérelmezőt, illetőleg arról is, hogy a panasz kivizsgálásának ideje hivatalosan 30 nap, de az ügyintéző szerint ennyi időt nem fog igénybe venni a folyamat. A Kérelmezett ügyintézőjének tájékoztatása alapján e-mailben fogják tájékoztatni a Kérelmezőt a panasz kivizsgálásnak eredményéről. A Kérelmező két hangfelvételt (1.: 2021. május 2., 9 perc: 46 másodperc; 2.: 2021. június 25, 20 perc 23 másodperc) bocsátott a Hatóság rendelkezésére. Az első felvétel megegyezik a Kérelmezett által megküldött hangfelvétellel, azzal, hogy nem hallatszódik rajta a Kérelmezett ügyintézője és a másik szervezeti egység munkatársa közötti egyeztetés. A második felvételen a Kérelmező 2021. június 25. napján telefonos megkeresése során érdeklődött a 2021. május. 2. napján […] számon rögzített panasza alapján tett intézkedésekről, és kérte a 2021. május 2-i és a 2021. június 25-i telefonhívás másolatának megküldését. A Kérelmezett ügyintézője arról tájékoztatta a Kérelmezőt, hogy a 2021. május 2-i panasza egyszeri, kezelői hiba miatt nem megfelelően került rögzítésre a Kérelmezett belső nyilvántartásában, és a panasz indokolatlanul lezárásra került, ezért a bejelentéshez mint lezárt panaszhoz további kivizsgálás, intézkedés már nem kapcsolódott. Tekintettel arra, hogy a Kérelmező […] számon panaszként rögzített, személyes adatainak a Kérelmezett online tudakozójából történő törlésére irányuló kérelmének teljesítése nem történt meg, a panasz lezárt státuszba került, melynek módosítására nincs lehetőség a rendszer miatt, ezért ismét új panaszként rögzítették a problémát […] számon. A Kérelmező 2021. május 2-i és 2021. június 25-i telefonbeszélgetésről készült hangfelvételek másolatának kiadására irányuló kérelmét szintén külön rögzítették. 4. A Kérelmezett nyilatkozatai és az általa, valamint a Kérelmező által a Hatóság rendelkezésére bocsátott hangfelvételek alapján a Kérelmező az általa 2021. május. 2. napján kezdeményezett telefonos ügyintézés során jelezte a Kérelmezett felé, hogy személyes adatai annak ellenére láthatóak a […] weboldalon található nyilvános tudakozóban, hogy a Kérelmező a telefonhívás előtt körülbelül két héttel a Kérelmezett online felületén kezdeményezte azok törlését. A Kérelmezett belső nyilvántartásának adatai alapján, bár a Kérelmező törlési igényét a Kérelmezett feldolgozta és a törléshez szükséges lépéseket elvégezte, technikai hiba miatt a személyes adatok tényleges törlése nem történt meg, azok továbbra is elérhetőek maradtak a nyilvános tudakozó felületen. A Kérelmező ezen telefonhívását a Kérelmezett […] szám alatt panaszként rögzítette, és a Kérelmezett ügyintézője arról tájékoztatta, hogy az ügy intézésére hivatalosan harminc nap áll a Kérelmezett rendelkezésére.

A Kérelmező – válasz hiányában – 2021. június 25. napján szintén telefonos megkeresése során érdeklődött a […] számú panasza alapján tett intézkedésekről, továbbá kérte a 2021. május 2-i és a 2021. június 25-i telefonhívás másolatának megküldését is. A Kérelmezett ügyintézője arról tájékoztatta a Kérelmezőt, hogy a 2021. május 2-i panasza egyszeri, kezelői hiba miatt nem megfelelően került rögzítésre a Kérelmezett belső nyilvántartásában, és a panasz indokolatlanul lezárásra került, ezért a bejelentéshez mint lezárt panaszhoz további kivizsgálás, intézkedés már nem kapcsolódott. Tekintettel arra, hogy a Kérelmező […] számon panaszként rögzített, személyes adatainak a Kérelmezett online tudakozójából történő törlésére irányuló kérelmének teljesítése nem történt meg, a panasz lezárt státuszba került, melynek módosítására nincs lehetőség a Kérelmezett által üzemeltetett rendszer miatt, ezért ismét új panaszként rögzítették a problémát, […] számon. A Kérelmező 2021. május 2-i és 2021. június 25-i telefonbeszélgetésről készült hangfelvételek másolatának kiadására irányuló kérelmét szintén külön rögzítették, […] számon. 5. A Kérelmező törlési igényét a Kérelmezett végül a 2021. június 25-én megismételt igénybejelentés alapján, 2021. július 5. napján teljesítette – tájékoztatva a Kérelmezőt a hiba felmerülésének körülményeiről is –, amelyet a Hatóságnak is megküldött, 2021. július 19. napján kelt, […] számú levelében igazolt vissza a Kérelmező részére, így a Kérelmező személyes adatai már nem érhetőek el a Kérelmezett online tudakozójában. Ezen kívül a Kérelmezett 2021. augusztus 2. napján küldte meg a Kérelmező részére a kért hangfelvételeket. A Kérelmezett továbbá bruttó 5.000 forint kompenzációt ajánlott fel a Kérelmezőnek az őt ért kellemetlenség enyhítése érdekében. 6. A Kérelmezett által elismerten tehát a Kérelmező 2021 májusi törlési igényei – a 2021. május 2. napján kezdeményezett telefonos ügyintézést megelőzően körülbelül 2 hét; a 2021. május 2. napján panaszként rögzített kérelem – technikai és adminisztrációs hibák miatt nem valósult meg. Először a Kérelmező online úton kezdeményezett törlési igényét a Kérelmezett feldolgozta ugyan, és a törléshez szükséges lépéseket elvégezte, technikai hiba miatt azonban a személyes adatok tényleges törlése nem történt meg, azok továbbra is elérhetőek maradtak a nyilvános tudakozó felületen. Ezt követően a Kérelmező 2021. május 2-i panasza egyszeri, kezelői hiba miatt nem megfelelően került rögzítésre a Kérelmezett belső nyilvántartásában, és a panasz indokolatlanul lezárt státuszba került. A Kérelmezett nyilatkozata szerint továbbá az adatkezeléssel kapcsolatos nyilatkozatok, köztük az online tudakozóban való szerepeltetés módosítására az ügyfeleknek több csatornán keresztül is lehetőségük van. A Kérelmezett nyilatkozata és az általa megküldött, a tudakozóban való szerepeltetés módosítását tartalmazó folyamatleírás szerint az online felületen kezdeményezett módosítás automatikusan átfut a Kérelmezett rendszerein, melynek alapján a Kérelmezett saját tudakozójában 48 órán belül frissülnek az adatok. Az érvényben lévő folyamatok szerint a módosítást a belföldi tudakozó felé is megküldik 48 órán belül, azonban az országos adatbázis csak két hetente kerül frissítésre. Tekintve, hogy a kifogásolt esetben az automata törlés nem futott le megfelelően, a felmerült technikai probléma kivizsgálása, illetve az előfizetői igény utólagos teljesítése érdekében a kapcsolódó előfizetői bejelentések panaszként kerültek rögzítésre a Kérelmezett belső nyilvántartásában. 7. A Kérelmezett megküldte továbbá a közte és a Kérelmező között 2015. április 30. napján létrejött feltöltőkártyás szolgáltatásra vonatkozó előfizetői szerződés másolati példányát, melynek tanúsága szerint a Kérelmező abban nem járult hozzá ahhoz, hogy a Kérelmezett az előfizetői adatai közül a nevét, állandó lakcímét és hívószámát közzétegye a Kérelmezett által fenntartott és az országos tudakozóban. A Kérelmezett nyilatkozata szerint a nyilvántartásában rögzített adatok alapján ezt követően a Kérelmező által elmulasztott éves adategyeztetés miatt az elektronikus hírközlési szolgáltatásokról szóló 2003. évi C. törvény (a továbbiakban: Eht.) 134. § nyilatkozata szerint (1a), valójában (10a) bekezdés d) pontja alapján a Kérelmezett köteles volt a Kérelmezővel kötött előfizetői szerződést azonnali hatállyal felmondani. Tekintettel arra, hogy az éves adategyeztetés elmulasztása miatt a felmondás megtörtént, a Kérelmező csupán újraszerződést követően tarthatta meg a hívószámát, ezért 2018. június 12. napján újraszerződött a Kérelmezettel, mely esetben az általa adott nyilatkozatok is módosításra kerültek. A Kérelmezett nyilatkozata szerint az újra-szerződés telefonos csatornán ([…]) történt, amikor is az érvényes folyamatnak megfelelően csak az adatok egyeztetése, valamint a hozzájárulások bekérése – ideértve a Kérelmező személyes adatainak a tudakozóban történő közzétételre vonatkozó hozzájárulását – történik. A Kérelmezett ügyintézőjének a Kérelmező válaszai alapján kellett az újra-szerződés folyamata szerint szükséges adategyeztetést elvégeznie, illetve a nyilatkozatokat bekérnie, majd a hívószámot reaktiválni a Kérelmező számára. Az újra-szerződés folyamatában szerződés nem került kiküldésre és aláírásra a felek által, figyelemmel arra, hogy az előfizetői szerződés az Eht. által lehetővé tett módon, ráutaló magatartással jött létre, mely folyamatban az előfizető a szerződéses nyilatkozatát a SIM kártya aktiválásával, és a szolgáltatás használatba vételével mint ráutaló magatartással teszi meg. Az újra-szerződéskor megadásra került a telefonkönyvi hozzájárulás is a Kérelmező részéről. A Kérelmezett nyilatkozata szerint az újra-szerződés időpontjában hatályban lévő, azonban jelenleg már hatályon kívül helyezett, az elektronikus hírközlési előfizetői szerződések különös szabályairól szóló 2/2015. (III. 30.) NMHH rendelet 25. § (1) bekezdése alapján a Kérelmezett a telefonos ügyfélszolgálattal folytatott hívásokról szóló hangfelvételeket a felvétel időpontjától számítva 2 évig őrizte, így a Kérelmező újra-szerződését érintő hangfelvétel már törlésre került, ezért a hozzájárulás alátámasztására a Kérelmezett megküldte az újra-szerződésről nyilvántartott rendszeradatokról készített képernyőképet.

III. Alkalmazott jogszabályi rendelk ezése k

Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre az általános adatvédelmi rendeletet kell alkalmazni. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság erre irányuló kérelemre adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel. Az Infotv. 60. § (2) bekezdése alapján: „Az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében, valamint a 22. § b) pontjában meghatározott esetben nyújtható be.” Az általános adatvédelmi rendelet 77. cikk (1) bekezdése értelmében: „Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.”

Az általános adatvédelmi rendelet 6. cikk (1) bekezdése szerint: „A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.” Az általános adatvédelmi rendelet 7. cikk (3) bekezdése alapján: „Az érintett jogosult arra, hogy hozzájárulását bármikor visszavonja. A hozzájárulás visszavonása nem érinti a hozzájáruláson alapuló, a visszavonás előtti adatkezelés jogszerűségét. A hozzájárulás megadása előtt az érintettet erről tájékoztatni kell. A hozzájárulás visszavonását ugyanolyan egyszerű módon kell lehetővé tenni, mint annak megadását.” Az általános adatvédelmi rendelet 12. cikk (1)-(6) bekezdései értelmében: „(1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (2) Az adatkezelő elősegíti az érintett 15–22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15–22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. (3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15–22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. (4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával (5) A 13. és 14. cikk szerinti információkat és a 15–22. és 34. cikk szerinti tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az adatkezelő, figyelemmel a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségekre: a) észszerű összegű díjat számíthat fel, vagy b) megtagadhatja a kérelem alapján történő intézkedést. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli. (6) A 11. cikk sérelme nélkül, ha az adatkezelőnek megalapozott kétségei vannak a 15–21. cikk szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti.” Az általános adatvédelmi rendelet 17. cikke szerint: „(1) Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll: a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték; b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja; c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezelés ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen; d) a személyes adatokat jogellenesen kezelték; e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell; f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor. (2) Ha az adatkezelő nyilvánosságra hozta a személyes adatot, és az (1) bekezdés értelmében azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az észszerűen elvárható lépéseket – ideértve technikai intézkedéseket – annak érdekében, hogy tájékoztassa az adatokat kezelő adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését. (3) Az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges: a) a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából; b) a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából; c) a 9. cikk (2) bekezdése h) és i) pontjának, valamint a 9. cikk (3) bekezdésének megfelelően a népegészségügy területét érintő közérdek alapján; d) a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben az (1) bekezdésben említett jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez.” Az általános adatvédelmi rendelet 24. cikke alapján: „(1) Az adatkezelő az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése e rendelettel összhangban történik. Ezeket az intézkedéseket az adatkezelő felülvizsgálja és szükség esetén naprakésszé teszi. (2) Ha az az adatkezelési tevékenység vonatkozásában arányos, az (1) bekezdésben említett intézkedések részeként az adatkezelő megfelelő belső adatvédelmi szabályokat is alkalmaz. (3) A 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmushoz való csatlakozás felhasználható annak bizonyítása részeként, hogy az adatkezelő teljesíti kötelezettségeit.”

Az általános adatvédelmi rendelet 25. cikke értelmében: „(1) Az adatkezelő a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket – például álnevesítést – hajt végre, amelyek célja egyrészt az adatvédelmi elvek, például az adattakarékosság hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába. (2) Az adatkezelő megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítására, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek. Ez a kötelezettség vonatkozik a gyűjtött személyes adatok mennyiségére, kezelésük mértékére, tárolásuk időtartamára és hozzáférhetőségükre. Ezek az intézkedések különösen azt kell, hogy biztosítsák, hogy a személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül ne válhassanak hozzáférhetővé meghatározatlan számú személy számára. (3) A 42. cikk szerinti jóváhagyott tanúsítási mechanizmus felhasználható annak bizonyítása részeként, hogy az adatkezelő teljesíti az e cikk (1) és (2) bekezdésében előírt követelményeket.” Az általános adatvédelmi rendelet 58. cikk (2) bekezdése szerint: „A felügyeleti hatóság korrekciós hatáskörében eljárva: a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.” Az általános adatvédelmi rendelet 83. cikk (2) és (5) bekezdése alapján: „[…] (2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. […] (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12–22. cikknek megfelelően; c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44–49. cikknek megfelelően; d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása.” Az Infotv. 75/A. § értelmében: „a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.” Az Eht. 134. § (10a) bekezdés d) pontja szerint: „Az előfizetői szerződés megszűnik továbbá a felek közös megegyezésével, figyelemmel a 127. § (4) bekezdésére és azzal a feltétellel, hogy a ráutaló magatartással kötött előfizetői szerződést ráutaló magatartással, kifejezett szóbeli vagy írásos nyilatkozattal, a szóban kötött előfizetői szerződést kifejezett szóbeli vagy írásos nyilatkozattal, míg az írásban kötött előfizetői szerződést kifejezett írásos nyilatkozattal szüntethetik meg a felek.”

Az elektronikus hírközlési előfizetői szerződések különös szabályairól szóló 2/2015. (III. 30.) NMHH rendelet 25. § (1) bekezdése alapján: „A telefonos ügyfélszolgálatra érkező előfizetői panaszról és hibabejelentésről a szolgáltató köteles hangfelvételt készíteni, amelyet visszakereshető módon – a 22. § (7) bekezdésében foglalt eset kivételével – a bejelentés időpontjától számítva 2 évig köteles megőrizni.”

IV. Dönté s

IV. 1. A Kérelmező személyes adatainak törlésére irányuló kérelmek 1. A Kérelmező kérte személyes adatainak (neve, lakcíme, telefonszáma) a Kérelmezett online tudakozójából való törlését több alkalommal. Először 2021 áprilisának közepén a Kérelmezett online felületén kezdeményezte a törlést, mely technikai probléma miatt nem vezetett eredményre, mivel a Kérelmezett valamennyi rendszerét érintő automatikus törlési folyamat nem futott le megfelelően, így nem kerültek törlésre a Kérelmező személyes adatai a tudakozóból. Ezt követően 2021. május 2. napján kezdeményezte a Kérelmező a törlést, mely panaszként került rögzítésre, azonban ekkor a panasz egyszeri, kezelői hiba miatt nem megfelelően került rögzítésre a Kérelmezett belső nyilvántartásában, és a panasz indokolatlanul lezárásra került, így az online tudakozóban továbbra is elérhetőek maradtak a Kérelmező személyes adatai. A Kérelmező harmadik alkalommal 2021. június 25. napján kezdeményezte a személyes adatai online tudakozóból való törlését, tekintettel arra, hogy a 2021. május 2-i kérelmére nem kapott választ és személyes adatai továbbra is elérhetőek maradtak. A Kérelmezett ezen harmadik – szintén panaszként kezelt – kérelemre törölte az online tudakozóból a Kérelmező személyes adatait 2021. július 5. napján. 2. A Kérelmezett nyilatkozata és az általa megküldött, a tudakozóban való szerepeltetés módosítását tartalmazó folyamatleírás szerint a személyes adatok tudakozóban történő megjelenítését az érintett tudja szabályozni, a nyilvánosságra hozatal az érintett hozzájárulásán alapul. Ezt támasztja alá a Kérelmezett honlapján elérhető általános szerződési feltételeinek adatkezelési tájékoztatóról szóló 3. számú mellékletének 35-36. pontja1 is. A Kérelmezett tehát – általa elismerten is – a hozzájárulás jogalapjára alapozza a személyes adatok online tudakozóban történő megjelenítését, nyilvánossá tételét. A hozzájárulásnak az általános adatvédelmi rendelet szerinti definíciója szerint megfelelő tájékoztatáson kell alapulnia, önkéntesnek kell lennie és az érintett akaratának konkrét, egyértelmű, nyilatkozat vagy megerősítést félreérthetetlenül kifejező cselekedet útján történő kinyilvánításának kell lennie. Hozzájáruláson alapuló adatkezelés esetében az érintett jogosult arra, hogy hozzájárulását bármikor visszavonja. A Hatóság rendelkezésére álló nyilatkozatok és iratok alapján a Kérelmező és a Kérelmezett között 2015. április 30. napján létrejött feltöltőkártyás szolgáltatásra vonatkozó előfizetői szerződés értelmében a Kérelmező nem járult hozzá ahhoz, hogy a Kérelmezett az előfizetői adatai közül a nevét, állandó lakcímét és hívószámát közzétegye a Kérelmezett által fenntartott és az országos tudakozóban. A 2018. június 12. napján létrejött újra-szerződéskor azonban – a Kérelmezett nyilatkozata szerint – a Kérelmező által adott nyilatkozatok módosításra kerültek, a nyilvántartás szerint megadásra került a telefonkönyvi hozzájárulás is a Kérelmező részéről, és ezért szerepeltek a Kérelmező személyes adatai a tudakozóban.

1 […]

Ugyanakkor a Hatóság álláspontja szerint mindez a hozzájárulás megadását, annak önkéntességét, és azt, hogy a Kérelmező nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelezte, hogy beleegyezését adja az őt érintő személyes adatok nyilvánosságra hozásához, a Kérelmezett által előadottak, és az általa becsatolt, az újraszerződésről nyilvántartott rendszeradatokról készített képernyőkép nem támasztják alá. Azok csupán azt igazolják, hogy a nyilvántartás Kérelmezőt érintő részében a rendszeradatoknál bejelölésre került az a mező, mely szerint személyes adatai megjelenhetnek az online tudakozóban. Az általános adatvédelmi rendelet 7. cikk (1) bekezdése értelmében hozzájáruláson alapuló adatkezelés esetében az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult. A Kérelmezett által megküldött, az újraszerződésről nyilvántartott rendszeradatokról készített képernyőkép azonban, a felek által aláírt szerződés hiányában nem igazolja azt, hogy a hozzájárulást a Kérelmező maga adta volna meg. Az általános adatvédelmi rendelet 5. cikk (2) bekezdése szerinti elszámoltathatóság követelményéből következően az adatkezelő felelős az adatvédelmi alapelveknek való megfelelésért, és képesnek kell lennie e megfelelés igazolására. Ez alapján az adatkezelő köteles úgy dokumentálni és nyilvántartani az adatkezelést, hogy annak jogszerűsége utólag bizonyítható legyen. Tekintettel arra, hogy a fentiek értelmében nem bizonyítható, hogy a Kérelmezőtől származó önkéntes nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet következtében került bejelölésre a Kérelmező rendszeradatainál a személyes adatai online tudakozóban történő nyilvánosságra hozatalára vonatkozó mező, a Hatóság megállapítja, hogy a Kérelmezett nem képes az adatvédelmi alapelveknek való megfelelés igazolására ezen adatkezelés tekintetében, ezért megsértette az általános adatvédelmi rendelet 5. cikk (2) bekezdés szerinti elszámoltathatóság alapelvét. Ebből következően az sem bizonyított, hogy a Kérelmező valóban hozzájárult volna személyes adatainak a Kérelmezett online tudakozójában történő nyilvánosságra hozatalához, azaz, hogy a nyilvánosságra hozatalhoz a Kérelmezett rendelkezett volna megfelelő jogalappal, a Hatóság megállapítja, hogy a Kérelmezett az általános adatvédelmi rendelet 6. cikk (1) bekezdését megsértve, jogalap nélkül hozta nyilvánosságra a Kérelmező személyes adatait az online tudakozójában. 3. A Kérelmezett panasznak minősítette a Kérelmező telefonon rögzített kérelmeit, a Hatóság álláspontja szerint azok érintetti joggyakorlásra, a Kérelmező személyes adatai törlésére irányuló kérelmeknek minősültek, mivel kifejezetten személyes adatai törlését kérte a Kérelmezett online tudakozójából. A Hatóság ennek megfelelően a személyes adatok törlésére vonatkozó szabályok teljesülését vizsgálta. Az általános adatvédelmi rendelet az érintetti jogok között szabályozza a személyes adatok törléséhez való jogot. Ez alapján – tekintettel arra, hogy a Kérelmezett a nyilatkozatában és az általános szerződési feltételeinek adatkezelési tájékoztatóról szóló 3. számú mellékletének 35. pontja szerint az online tudakozóban elérhető személyes adatok kezelésének jogalapjaként az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontja szerinti hozzájárulás jogalapját jelölte meg – az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontja szerint az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja. Jelen ügyben a hozzájárulás egyes fogalmi elemei érvényesülésének vizsgálata nélkül is megállapítható, hogy a Kérelmezett – a nyilatkozata és a nyilvántartási rendszere alapján – a hozzájárulásos jogalap alapján kezelte és hozta nyilvánosságra online tudakozójában a Kérelmező személyes adatait a 2018. június 12-i újraszerződést követően. A fentiek szerint a Hatóság megállapította, hogy nem bizonyított, hogy a Kérelmező valóban hozzájárult volna személyes adatainak a Kérelmezett online tudakozójában történő nyilvánosságra hozatalához, mely tény azonban csak jelen eljárás során került feltárásra. A Kérelmező személyes adatai törlésére irányuló kérelmeinek előterjesztésekor a Kérelmezett abban a tudatban volt, hogy a Kérelmező hozzájárulása alapján hozta nyilvánosságra személyes adatait, és a Kérelmező e hozzájárulása visszavonását kéri. A Kérelmezett ezért a Kérelmező kérelmére az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontja alapján volt köteles törölni a kérelmezői személyes adatokat a tudakozóból. A személyes adatok törlésével kapcsolatos információk megadásának módjával kapcsolatban az adatkezelői kötelezettségeket az általános adatvédelmi rendelet 12. cikke részletezi. Megállapítható, hogy a Kérelmező először 2021 áprilisában vonta vissza személyes adatai kezelésére vonatkozó hozzájárulását és kezdeményezte azok törlését a Kérelmezett online tudakozójából, amelyre technikai, illetőleg ügyintézői hibák miatt csupán 2021. július 5. napján került sor, már az adatvédelmi hatósági eljárást, illetőleg a Kérelmezett hatósági eljárásról való tudomásra jutását követően. A Kérelmező a 2021. május 2-i telefonos megkeresése alkalmával egy, azt megelőző körülbelül két héttel korábbi időpontban kezdeményezte elektronikus úton személyes adatai törlését az online tudakozóból. Ugyanakkor ezen információk alapján is megállapítható, hogy a határidőt túllépve, több, mint két hónap elteltével került sor a Kérelmező személyes adatainak törlésére, anélkül, hogy ennyi idővel meghosszabbította volna a teljesítésre irányadó határidőt, illetőleg, hogy tájékoztatást nyújtott volna a kérelem alapján hozott intézkedésekről. Ha a Kérelmező telefonon keresztül nem jelezte volna a problémáját két alkalommal is, a Kérelmezett nem tett volna intézkedést az érintetti kérelem teljesítése érdekében. Ebből következően a Hatóság megállapítja, hogy a Kérelmezett nem tett eleget a Kérelmező személyes adatai törlésére irányuló kérelmének, megsértve ezzel az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontját. A technikai hiba, illetőleg az ügyintézői hiba nem mentesíti a Kérelmezettet az adatkezelői felelősség alól. 4. A Hatóság továbbá figyelemmel a fenti, 3. pontban tett azon megállapításra, mely szerint, bár a Kérelmezett panasznak minősítette a Kérelmező telefonon rögzített kérelmeit, azok érintetti joggyakorlásra, a Kérelmező személyes adatai törlésére irányuló kérelmeknek minősültek, hivatalból vizsgálta az általános adatvédelmi rendelet 12. cikk (2) bekezdésének érvényesülését mint az érintetti jogok – jelen ügyben a személyes adatok törlése iránti kérelem – teljesítésének biztosítását előíró rendelkezést. Ez alapján ugyanis az adatkezelő köteles elősegíteni az érintett érintetti jogainak a gyakorlását. Ezzel ellentétes a Kérelmezett jelen ügy szerinti azon magatartása, mely szerint a Kérelmező személyes adatai törlésére irányuló kérelmeket panaszként rögzítette. A Kérelmezett számára egyértelmű kellett, hogy legyen az, hogy a Kérelmező kérelmei kapcsán az általános adatvédelmi rendelet szerint kell eljárnia, mivel a Kérelmező egyértelműen arra hivatkozott, hogy az online tudakozóból a személyes adatai törlését kéri – melyet megelőzött egy saját maga által, a Kérelmezett online felületén kezdeményezett elektronikus törlési program –, nem pedig más, a Kérelmezett által nyújtott szolgáltatásával szembeni panaszt fogalmazott meg.

Mindezek alapján a Hatóság hivatalból megállapítja, hogy a Kérelmezett megsértette az általános adatvédelmi rendelet 12. cikk (2) bekezdését, mivel nem segítette elő a Kérelmező személyes adatai törlését. IV. 2. A kérelem részbeni elutasítása A Kérelmezett 2021. július 5. napján törölte a Kérelmező személyes adatait az online tudakozóból. A személyes adatok törlését a Kérelmezett a Hatóságnak is megküldött 2021. július 19. napján kelt, […] számú levelében igazolta vissza a Kérelmező részére. A Hatóság a tudakozó oldalát áttekintve megállapította, hogy a Kérelmező személyes adatai már valóban nem érhetőek el a nyilvános tudakozóban. A Hatóság ebből következően, bár a Kérelmező kérte a Hatóságot, hogy szólítsa fel a Kérelmezettet személyes adatainak igazolt módon történő haladéktalan törlésére a nyilvános tudakozóból, a Hatóság a kérelmet ebben a vonatkozásban elutasítja, mivel az okafogyottá vált.

V. Jogkövet kezmé nyek

A Hatóság határozatában az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján a Kérelmező kérelmére elmarasztalta a Kérelmezettet azért, mert online tudakozójából nem törölte a Kérelmező kérelmére annak személyes adatait, megsértve ezzel az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontját. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján hivatalból elmarasztalta a Kérelmezettet azért is, mert az általános adatvédelmi rendelet 5. cikk (2) bekezdés szerinti elszámoltathatóság követelményét sértve nem bizonyította, hogy a Kérelmező valóban hozzájárult volna személyes adatainak a Kérelmezett online tudakozójában történő nyilvánosságra hozatalához. A Hatóság ebből következően hivatalból elmarasztalta a Kérelmezettet azért is, mert az általános adatvédelmi rendelet 6. cikk (1) bekezdését megsértve, jogalap nélkül hozta nyilvánosságra a Kérelmező személyes adatait az online tudakozójában. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján hivatalból elmarasztalta a Kérelmezettet azért, mert nem segítette elő a Kérelmező személyes adatai törlését azzal, hogy panaszként rögzítette a Kérelmező telefonon előterjesztett kérelmeit, megsértve ezzel az általános adatvédelmi rendelet 12. cikk (2) bekezdését, mivel nem segítette elő a Kérelmező személyes adatai törlését. A Hatóság megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértések esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság a bírság összegének meghatározása során mindenekelőtt figyelembe vette, hogy a Kérelmezett által elkövetett jogsértés az általános adatvédelmi rendelet 83. cikk (5) bekezdés b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősül. A Hatóság az adatvédelmi bírság összegének meghatározása során súlyosító körülményként vette figyelembe, hogy a Kérelmező aktív közreműködése, összesen háromszori kérése után került sor az online tudakozóból személyes adatai törlésére [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont];

a Kérelmező személyes adatai hosszú időn keresztül, 2018. június 12. napjától 2021. július 5. napjáig voltak jogalap nélkül elérhetőek az online tudakozóban [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont];

a Kérelmező személyes adatai nyilvánossá váltak [általános adatvédelmi rendelet 83. cikk (2) bekezdés g) pont];

a Kérelmezett több jogsértést követett el, [általános adatvédelmi rendelet 83. cikk (2) bekezdés d) pont];

a Kérelmezett által elkövetett jogsértések súlyos gondatlanságból származó technikai és ügyintézési hibákból eredtek [általános adatvédelmi rendelet 83. cikk (2) bekezdés b) pont];

a Hatóság egy alkalommal elmarasztalta már a Kérelmezettet az általa elkövetett adatvédelmi jogsértés – érintetti jog, az általános adatvédelmi rendelet 16. cikk szerinti helyesbítési jog megsértése – miatt ([…] ügyiratszámú határozat) [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont]. A Hatóság az adatvédelmi bírság összegének meghatározása során enyhítő körülményként vette figyelembe, hogy a Kérelmezett bruttó 5.000 forint kompenzációt ajánlott fel a Kérelmezőnek az őt ért kellemetlenség enyhítése érdekében [általános adatvédelmi rendelet 83. cikk (2) bekezdés c) pont];

a Kérelmezett az adatvédelmi hatósági eljárás hatására törölte a Kérelmező személyes adatait az online tudakozójából [általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont];

a Hatóság túllépte az ügyintézési határidőt [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont]. A Hatóság a Kérelmezettel szemben kiszabott adatvédelmi bírság megállapítása során nem tartotta relevánsnak az általános adatvédelmi rendelet 83. cikk (2) bekezdés h), i) és j) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem értelmezhetők. A Kérelmezett 2020. évi értékesítés nettó árbevétele nagyságrendileg 284.000,00 millió forint volt, így a kiszabott adatvédelmi bírság a kiszabható bírság maximumához képest távoli.

VI. Egyéb kérdése k

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. A Hatóság jelen döntése az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A döntés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése és (4) bekezdés d) pontja, illetve a 114. § (1) bekezdése alapján a döntéssel szemben közigazgatási per útján van helye jogorvoslatnak.

Az Ákr. 135. §-a szerint a kötelezett a törvényes kamatnak megfelelő mértékű késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget. A Polgári Törvénykönyvről szóló 2013. évi V. törvény 6:48. § (1) bekezdése alapján pénztartozás esetén a kötelezett a késedelembe esés időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni. A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pontjának aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja szerint olyan jogvitában, amelyben a törvényszék kizárólagosan illetékes, a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi CXXX. törvény 604. §-a szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Ha az előírt pénzfizetési kötelezettség teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kérelmezett a Hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. A Hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek – választása szerint – bankszámlára utalással vagy postai utalvánnyal. Kelt: Budapest, 2022. március 2. Dr. Péterfalvi Attila elnök c. egyetemi tanár