Орган по защите данных Венгрии (NAIH): обеспечение прав субъектов, не являющихся клиентами

Ügyszám: NAIH-924-10/2021 Korábbi ügyszám: NAIH/2020/8890 Ügyintéző:

Tárgy: határozat

HATÁROZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt

………………………… (lakcím: ………………………; postacíme: ……………………………………………) kérelmezőnek (a továbbiakban: Kérelmező) 2020.

december 18. napján a Magyar Telekom Nyrt. (székhely: 1097 Budapest, Könyves Kálmán körút

36.) kérelmezettel szemben (a továbbiakban: Kérelmezett) személyes adatok jogellenes kezelése tárgyában benyújtott kérelme alapján adatvédelmi hatósági eljárás indult. A Hatóság az adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

bekezdés d) pontját, és a Kérelmezett fenti adatkezeléssel összefüggő általános gyakorlata sérti az általános adatvédelmi rendelet 12. cikk (2) bekezdését és 25. cikk (2) bekezdését.

3. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján hivatalból utasítja a Kérelmezettet, hogy akként módosítsa adatkezelési gyakorlatát, hogy ügyféli státusztól függetlenül az érintetti jogok gyakorlásához alapértelmezetten ne legyen szükséges olyan többlet feltétel, amely szükségtelen a kérelem teljesíthetőségének megítéléséhez, jogellenesen korlátozva az érintetti joggyakorlás lehetőségét, különös tekintettel a kapcsolati email címekre.

4. A Hatóság a Kérelmezettet hivatalból

10 000 000 Ft, azaz tízmillió forint adatvédelmi bírság megfizetésére kötelezi.

Az 3. pontban előírt kötelezettség teljesítését a Kötelezettnek a jelen határozat véglegessé válásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt igazolnia a Hatóság felé.

Az 4. pont szerinti bírságot a jelen határozat véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425- 00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a „NAIH-924/2021 BÍRS.” számra kell hivatkozni.

Ha a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése, illetve a fenti 3. pont szerinti kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását. A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. Tárgyalás tartását a keresetlevélben lehet kérni. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 61. § (2) bekezdés c) pontja alapján a Hatóság a jelen határozatot a Kérelmező azonosító adatainak anonimizálásával teszi közzé a Hatóság honlapján.

INDOKOLÁS

I. A tényállás megállapítása és az eljárás menete

I.1. Tényállás

A Kérelmező 2020. december 18. napján kérelmet nyújtott be a Hatósághoz, amelyben előadta, hogy a Kérelmezettől 2020. november 13-án kéretlen elektronikus levelet kapott az ……………………… email fiókjába, mivel feltehetően egy harmadik személy tévesen adta meg az ………………………… címet (amelyet a gmail szolgáltatás azonosnak tekint minden a @jel előtti ponttal elválasztott változattal). Emiatt Kérelmező 2020. november 13-án az ugyfelszolgalat@telekom.hu email címre küldött az ………………………….. email címről kérést az ő tulajdonában lévő email cím törlésére, megjelölve, hogy nem a Kérelmezett ügyfele. Mivel 2020. november 17-én és 2020. november 24-én ismét kéretlen elektronikus leveleket kapott a Kérelmezettől, a Kérelmezett pedig 2020. november 20-án sablon válaszában bejelentkezést igénylő hírlevél leiratkozási hivatkozást küldött a Kérelmezőnek, ezért a Kérelmező kérését 2020. november 24-én megismételte, kérve a törlés megtörténtének visszaigazolását, ismét jelezve, hogy nem leiratkozni szeretne a hírlevélről, hanem az email címe teljes törlését kéri a Kérelmezett részéről. Ezt követően 2020. december 8-án Kérelmező ismét kéretlen elektronikus levelet kapott a Kérelmezettől, amely miatt 2020. december 11-én ismét kérte az email címe törlését. Erre a korábbi válasz megismétlését kapta a hírlevélről leiratkozási lehetőségről. A ………………………………… számú tájékoztatásra adott válaszában Kérelmező megjelölte, hogy a leiratkozási hivatkozás bejelentkezési oldalra irányítja, ahol – mivel nem ügyfél – nem tud továbblépni. A Kérelmezett ügyfélszolgálatának 2020. december 12-i válasza ismét a leiratkozást ajánlotta megoldásként, azt állítva, hogy ahhoz nem szükséges bejelentkezés a kéretlenül kapott emailben található hivatkozás használata esetén. A kérelem benyújtását követően 2021. január 15-én Kérelmező ismét kéretlen hírlevelet kapott a Kérelmezettől. A Hatóság a Kérelmezett által küldött alábbi email leiratkozási hivatkozásokat megvizsgálta, és azok nem leiratkozási, hanem bejelentkezési képernyőre (https://www.telekom.hu/telekomfiok/belepes?0&successUrl=/telekomfiok/telekom-profil) irányítanak át.

I.2. Az eljárás menete

A Kérelmező a Hatóságnak 2020. december 18. napján benyújtott kérelmében adatvédelmi hatósági eljárás megindítását, és ennek keretében a Kérelmezett fenti e-mail cím törlésére kötelezését kérte. A Hatóság az alábbi tényállás tisztázó kérdéseket tette fel a Kérelmezett részére: (i) Milyen okból nem teljesítette a Kérelmező 2020. november 13-án, 2020. november 24-én, és 2020. december 11-én előterjesztett, email címe törlésére irányuló érintetti joggyakorlási kérelmeit?

(ii) A fenti 2020. december 11-én előterjesztett kérelem elbírálása mely szervezeti egységéhez tartozik? Válaszát támassza alá szabályzatokkal!

(iii) Mi alapján javasolt a törlés helyett leiratkozást, a törlési és leiratkozási kérelmet a gyakorlatában milyen módon különbözteti meg? Válaszát támassza alá szabályzatokkal!

(iv) Milyen okból nem működik a leiratkozás hivatkozás a Kérelmezőnek küldött emaileken, az miért egy bejelentkező oldalra irányítja őt?

(v) A Kérelmező törlendő e-mail címe mely adatbázisokban szerepel, és mely szervezeti és logikai módszerekkel biztosítja, hogy törlési kérelem esetén az e-mail cím azok mindegyikéből törlésre kerüljön, ideértve a gmail.com domain nevű vagy hasonló elv szerint működő címek esetén azok csak a pont helyzetében vagy hiányában különböző variációit? Válaszát támassza alá szabályzatokkal!

(vi) Mivel az adatvédelmi hatósági eljárás során a Hatóság jogsértés megállapítása esetén hivatalból adatvédelmi bírságot szabhat ki, ezért mutasson be minden olyan lényeges tényt és körülményt, amelynek az esetleges bírságkiszabás során jelentősége lehet, többek között a legutolsó közzétett beszámolója szerinti teljes éves világpiaci forgalma értékét a beszámolóval alátámasztva!

A Hatóság megkeresésére a Kérelmezett 2021. február 19-én érkezett levelében az alábbi érdemi nyilatkozatokat tette:

(i) Az ……………………….. címet egy ügyfelük adta meg tévesen saját elektronikus kapcsolattartási címeként. Emiatt az ezen email címre küldött hírlevelekbe nem olyan leiratkozási hivatkozást adtak meg, amely bárki által használható, hanem a leiratkozási hivatkozás a fiókba történő kötelező belépést követően a leiratkozásra szolgáló felületre visz a fiókon belül, így csak az előfizető által használható a leiratkozásra.

(ii) Az ügyfélszolgálaton belül egy speciális ügyek csoport foglalkozik az általános adatvédelmi rendelet szerinti érintetti kérelmekkel.

(iii) Az ügyintéző kollégájuk nem ismerte fel azt, hogy jelen esetben nem egy ügyfelüknek szükséges technikai segítséget nyújtani, mivel az email cím megegyezett egy ügyfelük email címével, ezért nem továbbította a Kérelmező kérelmeit a speciális ügyek csoportnak.

(iv) A speciális ügyek csoport tudomással bír a Gmail szolgáltatás fent részletezett működési sajátosságáról, amely miatt az ………………………. és az ……………………………. email címek azonos fiókhoz tartoznak, és ennek megfelelően válaszolják meg az érintetti kérelmeket.

(v) A Kérelmező által kért adattörlést a Hatóság megkeresését követően végrehajtották.

(vi) Kérelmezett álláspontja szerint sem a harmadik fél ügyfél téves adatszolgáltatása, sem a Gmail levelezőrendszer sajátossága nem tartozik a Kérelmezett felelősségi körébe, így nem értékelhető a Kérelmezett terhére.

(vii) Kérelmezett a belső Ügyintézői kézikönyvét akként egészítette ki, hogy még nagyobb hangsúly legyen a törlési és más adatvédelmi jellegű kérelmek megfelelő elintézésén, valamint megvizsgálja a további lépések lehetőségét.

(viii) A Kérelmezett véleménye szerint a Kérelmezőt ért kellemetlenség olyan egyedi eset, amelynek gyökere a harmadik fél ügyfél téves adatszolgáltatása és a Gmail levelezőrendszer sajátossága, amelyekre a Kérelmezettnek nincs ráhatása, és nincs tudomása arról, hogy ezen probléma más személyt is érintene, a Kérelmezőt pedig semmilyen anyagi vagy jogi hátrány nem érte. A Hatóság általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 76. §-a szerinti megkeresésére a Kérelmező iratbetekintést kért, amelyről a Hatóság külön végzésben intézkedett. Egyebekben a Kérelmező azt nyilatkozta, hogy 2021. január 18. és 2021. január 19. napján kapott még emaileket a Kérelmezettől, azt követően nem. A Hatóság az Ákr. 76. §-a alapján 2021. március 25-én felhívta a Kérelmezettet, hogy észrevételeket és nyilatkozatot terjeszthet elő a jelen eljárással kapcsolatban, valamint a jelen eljárásban hivatalból figyelembe veendő NAIH/2018/4939/V, NAIH/2019/192, NAIH/2019/5205, NAIH/2020/4999, NAIH/2020/6469 ügyekkel kapcsolatban. A Hatóság Ákr. 76. § szerinti megkeresésére a Kérelmezett a lenti II. pontban részletezett előzmény ügyek vonatkozásában azt nyilatkozta, hogy azok jelentős különbséget mutatnak a jelen ügyhöz képest, mivel az érintetti kör különböző, a téves kapcsolattartói adat rögzítése más okra vezethető vissza, és különböző érintetti jogok érvényesítésére került sor az ügyekben. Nyilatkozata szerint elszigetelt, egyedi esetekben fordult elő olyan hiba, amely miatt a panaszosok nem tudták érvényesíteni az igényeiket. A Kérelmezett a belső kézikönyve (Magic Book) módosításakor is figyelembe veszi az egyedi tapasztalatokat, és az ügyfélszolgálatosoknak készült tananyag külön hangsúlyt fektet az érintetti jogok gyakorlására. Az ügyekben a hasonlóság az egyedi ügyintézői tévedések, a követendő eljárástól való eltérés volt, amely jogosulatlan adatkezeléshez és az érintetti kérelmek nem megfelelő elintézéséhez vezetett. Kérelmezett véleménye szerint a NAIH/2020/4999 számú ügyben tett hatósági megállapítás, amely szerint „A rendelkezésre álló információk alapján nem a megfelelő technikai, szervezési intézkedések hiánya tette lehetővé az előzmény eljárásokban a hozzájárulás adat jogosulatlan módosulását.” a nem ügyfél (nem előfizető) érintettek hozzájárulásai kezelésével kapcsolatban is fennállnak, azaz nem rendszerszintű hibára vezethetők vissza. A leiratkozás Telekom fiókos bejelentkezéshez kötése tekintetében Kérelmezett azt nyilatkozta, hogy arra azért van szükség, mivel néhány esetben egy kapcsolati adat több személyhez is köthető, így a megfelelő előfizetés azonosítása csak az adattal nem lehetséges, meg szükséges határozni az előfizető személyét is. A Kérelmezett nyilatkozata szerint az egyedi hibák kiküszöbölésére és azok orvoslására folyamatosan lépéseket tesz, amelyek szükségességét elismeri.

II. A jelen ügy tárgyával összefüggésbe hozható előzmény ügyek (a továbbiakban: előzmény ügyek)

II.1. NAIH/2018/4939/V A NAIH/2018/4939/V számú vizsgálati ügyben a panaszos azt sérelmezte, hogy a Kérelmezett harmadik személy ügyfele tévesen a panaszos mobiltelefonszámát adta meg kapcsolati adatként a Kérelmezettel kötött szerződéshez, és a Kérelmezett emiatt a panaszosnak több alkalommal küldött szöveges üzeneteket és indított azonosító nélküli hívásokat harmadik személy szerződésével kapcsolatban. A Kérelmezett a panaszos kérelme ellenére ezen kapcsolati adatot nem törölte és nem korlátozta annak használatát. A Kérelmezett egyedi ügyintézői hibára hivatkozott, valamint azt nyilatkozta, hogy az ügyintézői figyelmét ismét felhívta az érintetti kérelmek megfelelő kezelésére, fejleszti az eljárását. Mivel a Kérelmezett a kapcsolati adatot a Hatóság tényállás tisztázó levelének kézhezvételét követően törölte, adatvédelmi hatósági eljárás megindítása nem volt szükséges, így a Hatóság a vizsgálatot megszüntette, és megállapította, hogy a törlési kérelem korábbi nem teljesítésével a Kérelmezett megsértette az általános adatvédelmi rendelet 12. cikk (2)-(4) bekezdését és 17. cikk (1) bekezdés d) pontját. II.2. NAIH/2019/192 A NAIH/2019/192 számú vizsgálati ügyben a panaszos online szerződéskötése során hibásan rögzítette a panaszos nyilatkozatát, amely a marketing megkeresésekre vonatkozott. A Kérelmezett ügyintézője tévesen tájékoztatta úgy a panaszost, hogy aláírt nyilatkozat szükséges a marketing hozzájárulás megváltoztatásához, olyan feltételekhez kötötte az email cím marketing célú kezelésének abbahagyását, amelyet a panaszos számára túlzó volt, és ennek hiányában megtagadta a panaszos kérelmét, hogy az email címét ne kezeljék marketing célokból. A Hatóság a kéretlen üzenetek küldését nem vizsgálja, az a Nemzeti Média- és Hírközlési Hatóság feladat- és hatásköre, a Hatóság az email cím adatkezelési jogszabályoknak megfelelőségét és az általános adatvédelmi rendelet szerinti érintetti jogok érvényesülését vizsgálta az ügyben. Mivel a Kérelmezett azt nyilatkozta (utólag nem valósan), hogy a marketing célú megkereséshez hozzájárulás beállítást a Hatóság tényállás tisztázó levelének kézhezvételét követően törölte, adatvédelmi hatósági eljárás megindítása nem volt szükséges a rendelkezésre álló információk szerint, így a Hatóság a vizsgálatot megszüntette, és megállapította, hogy az érintetti kérelem korábbi nem teljesítésével a Kérelmezett megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés d) pontja szerinti pontosság elvét, az általános adatvédelmi rendelet 13. cikke szerinti megfelelő tájékoztatás követelményét, valamint a jogalap nélküli marketing célú adatkezelés miatt az általános adatvédelmi rendelet 6. cikkét, valamint hogy az általános adatvédelmi rendelet 12. cikk (2) bekezdése és 24. cikk (1) bekezdése alapján az adatkezelő felelős az adatkezelés megfelelőségéért, amelyet az általános adatvédelmi rendelet 5. cikk (2) bekezdés alapján köteles bármikor igazolni tudni. A Kérelmezett arról is tájékoztatta a Hatóságot, hogy a rendszereiben a fentiekhez hasonló egyedi adminisztratív hibák kiküszöbölésére változtatásokat hajtott végre 2018. májustól. II.3. NAIH/2019/5205 (NAIH/2020/2679) A NAIH/2019/5205 számú vizsgálati ügy azért indult, mivel a fenti II.2. pontban részletezett ügyben tett nyilatkozata ellenére a Kérelmezett ismét marketing emailt küldött a II.2. pont szerinti panaszos email címére, és a panaszos a beállításaiban azt tapasztalta, hogy a marketing hozzájárulás be van jelölve, pedig panaszos azt nem változtatta meg. A Kérelmezett nyilatkozata szerint a hiba okát nem sikerült megtalálni, valószínűleg egyedi ügyintézői hiba miatt nem került mentésre a korábbi ügyben jelzett változtatás a marketing beállításokban. Emiatt a Kérelmezett ismételten intézkedett a marketing célú email cím kezelés tiltásáról, és ezt a Hatóság felhívására a rendszeréből származó képernyőmentésekkel igazolta. Mivel a Kérelmezett a jogsértést a Hatóság tényállás tisztázó levelének kézhezvételét követően törölte, adatvédelmi hatósági eljárás megindítása nem volt szükséges, így a Hatóság a vizsgálatot megszüntette, és megállapította, hogy Kérelmezett ismételten megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés d) pontja szerinti pontosság elvét, az általános adatvédelmi rendelet 13. cikke szerinti megfelelő tájékoztatás követelményét, valamint a jogalap nélküli marketing célú adatkezelés miatt az általános adatvédelmi rendelet 6. cikkét, valamint hogy az általános adatvédelmi rendelet 12. cikk (2) bekezdése és 24. cikk (1) bekezdése alapján az adatkezelő felelős az adatkezelés megfelelőségéért, amelyet az általános adatvédelmi rendelet 5. cikk (2) bekezdés alapján köteles bármikor igazolni tudni. II.4. NAIH/2020/4999 A fenti II.2. és II.3. ügyek miatt a Hatóság NAIH/2020/4999 számon hatósági ellenőrzést indított a Kérelmezett közvetlen üzletszerzéssel kapcsolatos hozzájárulások kezelésének általános gyakorlata jogi megfelelőségének tárgyában, különösen az általános adatvédelmi rendelet 32. cikke szerinti követelményeknek megfelelés ellenőrzésére. Az ügyben nem merült fel azzal kapcsolatos tény, vagy körülmény, hogy a Kérelmezettnél a közvetlen üzletszerzéssel kapcsolatos hozzájárulások kezelésével kapcsolatos intézkedés hiányossága állna fent. A rendelkezésre álló információk alapján nem a megfelelő technikai, szervezési intézkedések hiánya tette lehetővé az előzmény eljárásokban a hozzájárulás adat nem kívánt módosulását. II.5. NAIH/2020/1773 A NAIH/2020/1773 számú konzultációs ügyben az érintett az általános adatvédelmi rendelet 57. cikk (1) bekezdés e) pontja alapján arról kérte a Hatóság tájékoztatását, hogy milyen érintteti jogokat gyakorolhat akkor, ha a Kérelmezett akként kezeli az e-mail címét, mintha ügyfelük lenne, kéretlen üzeneteket kap a Kérelmezettől olyan szerződésekre hivatkozással, amelyeket nem ő kötött, és ezen emailekről nem tud leiratkozni. A Hatóság tájékoztatta az érintettet az általános adatvédelmi rendelet 17. cikke szerinti törlési jogáról és az általános adatvédelmi rendelet 12. cikk (3)-(4) bekezdése szerinti adatkezelői kötelezettségekről.

III. Alkalmazott jogszabályi rendelkezések

Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben meghatározott kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az Infotv. 71. § (2) bekezdése alapján a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja.

Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az Infotv-ben meghatározott eltérésekkel. Az Ákr. 36. § szerint a kérelem az ügyfél olyan írásban vagy személyesen előterjesztett nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében. Az Infotv. 60. § (2) bekezdése szerint az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet hatálya alá tartozó adatkezelések esetén 77. cikk (1) bekezdésében meghatározott esetben nyújtható be. Az általános adatvédelmi rendelet 77. cikk (1) bekezdése szerint minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti az általános adatvédelmi rendeletet. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés d) pontja szerint a személyes adatoknak pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság”). Az általános adatvédelmi rendelet 6. cikk (1) bekezdése szerint a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. Az általános adatvédelmi rendelet 12. cikk (2) bekezdése szerint az adatkezelő elősegíti az érintett 15–22. cikk szerinti jogainak a gyakorlását. Az általános adatvédelmi rendelet 12. cikk (3) bekezdése szerint az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15–22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri.

Az általános adatvédelmi rendelet 12. cikk (3) bekezdése szerint ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. Az általános adatvédelmi rendelet 17. cikk (1) bekezdés d) pontja szerint az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha a személyes adatokat jogellenesen kezelték. Az általános adatvédelmi rendelet 25. cikk (2) bekezdése szerint az adatkezelő megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítására, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek. Ez a kötelezettség vonatkozik a gyűjtött személyes adatok mennyiségére, kezelésük mértékére, tárolásuk időtartamára és hozzáférhetőségükre. Ezek az intézkedések különösen azt kell, hogy biztosítsák, hogy a személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül ne válhassanak hozzáférhetővé meghatározatlan számú személy számára. Az általános adatvédelmi rendelet 57. cikk (1) bekezdés a) pontja szerint az általános adatvédelmi rendeletben meghatározott egyéb feladatok sérelme nélkül a felügyeleti hatóság a saját területén nyomon követi és kikényszeríti az általános adatvédelmi rendelet alkalmazását. Az általános adatvédelmi rendelet 58. cikk (2) bekezdése szerint a felügyeleti hatóság korrekciós hatáskörében eljárva:

a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit;

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét;

d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel;

e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről;

f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is;

g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték;

h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek;

i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését. Az általános adatvédelmi rendelet 83. cikk (1) bekezdése szerint valamennyi felügyeleti hatóság biztosítja, hogy az általános adatvédelmi rendelet 83. cikk (4), (5), (6) bekezdésben említett megsértése miatt kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. Az általános adatvédelmi rendelet 83. cikk (2) bekezdése szerint a közigazgatási bírságokat az adott eset körülményeitől függően az általános adatvédelmi rendelet 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;

b) a jogsértés szándékos vagy gondatlan jellege;

c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;

d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa az általános adatvédelmi rendelet 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket;

e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések;

f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke;

g) a jogsértés által érintett személyes adatok kategóriái;

h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;

i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az általános adatvédelmi rendelet 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés;

j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát az általános adatvédelmi rendelet 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy az általános adatvédelmi rendelet 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. Az általános adatvédelmi rendelet 83. cikk (5) bekezdése szerint az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az általános adatvédelmi rendelet 5., 6., 7. és 9. cikknek megfelelően;

b) az érintettek jogai az általános adatvédelmi rendelet 12–22. cikknek megfelelően;

c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása az általános adatvédelmi rendelet 44–49. cikknek megfelelően;

d) az általános adatvédelmi rendelet IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek;

e) a felügyeleti hatóság általános adatvédelmi rendelet 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az általános adatvédelmi rendelet 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása. Az Infotv. 75/A §-a szerint a Hatóság az általános adatvédelmi rendelet 83. cikk (2)–(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Magyarország Alaptörvénye VI. cikk (3) bekezdése szerint mindenkinek joga van személyes adatai védelméhez, valamint a közérdekű adatok megismeréséhez és terjesztéséhez. Az Európai Unió Alapjogi Chartája 8. cikk (1) bekezdése szerint mindenkinek joga van a rá vonatkozó személyes adatok védelméhez.

IV. A Hatóság döntése

IV.1. Az egyéni jogsértés megítélése

A Kérelmezett a Hatóság tényállás tisztázó végzésének kézhezvételét követően törölte a Kérelmező email cím adatát az adatbázisából, emiatt a törlésre kötelezésre irányuló kérelem teljesítése lehetetlenné vált. A Kérelmezett nem rendelkezett az általános adatvédelmi rendelet 6. cikk (1) bekezdése szerinti egyik jogalappal sem a Kérelmező email címével kapcsolatban, és az erről történő tudomásszerzés – a Kérelmező többszöri kifejezett jelzése – ellenére nem tett eleget az általános adatvédelmi rendelet 5. cikk (1) bekezdés d) pont szerinti kötelezettségének, a kétségen kívül helytelen adat törlését a Kérelmezőtől várta el, aki ráadásul – a Kérelmezett érdekkörébe eső okból – erre objektív okból nem is volt képes. Az email cím esetén a rendelkezésre jogosult könnyen azonosítható, mivel az megjelenik a levelezésben feladóként, így nem volt olyan körülmény, amely az érintetti kérelem alapján a hiba javításának mellőzését indokolta volna. A Kérelmezett a Kérelmező érintetti kérelmét érdemben nem válaszolta meg, a nem ügyfél érintett által igénybe nem vehető leiratkozási hivatkozásra történő utalás – többször változatlanul ismételt sablonszöveggel – nem minősül az általános adatvédelmi rendelet 12. cikk (3) és (4) bekezdések szerinti teljesítésnek, vagy megfelelően indokolt elutasító válasznak. Az általános adatvédelmi rendelet 17. cikk (1) bekezdés d) pontja alapján a Kérelmezett köteles lett volna a Kérelmező kérelmére a kapcsolati adatot haladéktalanul törölni, azonban ezt többszöri kérés ellenére sem tette meg, és csak akkor teljesítette a Kérelmező törlési kérelmét, amikor a Hatóság jelen eljárásáról tudomást szerzett, amely nélkül a törlés nem történt volna meg.

A fentiek miatt a Hatóság a rendelkező rész szerint döntött a törlésre irányuló egyéni kérelem tekintetében, valamint azzal kapcsolatban hivatalból megállapította az általános adatvédelmi rendelet 5. cikk (1) bekezdés d) pontja, 6. cikk (1) bekezdése, 12. cikk (2), (3) és (4) bekezdése, valamint a 17. cikk (1) bekezdés d) pontja sérelmét a Kérelmezett vonatkozásában.

IV.2. Az általános gyakorlat szerepe az egyéni jogsértés tekintetében

(i) A Kérelmezett érintetti jogok gyakorlásával kapcsolatos eljárási rendje a kapcsolati adatok tekintetében

Az általános adatvédelmi rendelet 57. cikk (1) bekezdés a) pontja, valamint 58. cikk (2) bekezdés b) és d) pontjai, 83. cikk (1), (2) és (5) bekezdése, valamint az Infotv. 75/A §-a alapján a Hatóság hivatalból vizsgálta az eljárása során a Kérelmezett általános gyakorlatának jelen ügyre kiható részét. A Hatóság az Infotv. 71. § (2) bekezdése alapján bármely más eljárásban jogszerűen keletkezett iratot, bizonyítékot felhasználhat más eljárásaiban. A feltárt tényállás szerint a Kérelmezett a kapcsolati adatok (telefonszám, email cím) rögzítése esetén semmilyen módon nem ellenőrzi az adott kapcsolati adat feletti ellenőrzési jogosultságot, illetve ha a – személyes adatnak minősülő – kapcsolati adatot nem az arra jogosult adja meg, nem kér semmilyen igazolást arról, hogy a kapcsolati adat (telefonszám, email) jogosultja ahhoz hozzájárult-e. Az általános adatvédelmi rendelet 6. cikk (1) szerinti jogalap meglétét az adatkezelő az adatkezelés minden szakaszában köteles biztosítani. Például egy egyszeri kód megadásának megkövetelése, melyet SMS-ben vagy emailen az adott telefonszámra illetve email címre küld, az összes Kérelmezőhöz hasonló esetet megelőzheti, és egy nagy hírközlési szolgáltató esetén ez semmiképpen nem aránytalan kötelezettség. A Kérelmezett minősül adatkezelőnek és köteles eleget tenni az általános adatvédelmi rendelet szerinti adatkezelői kötelezettségeknek, ezen kötelezettséget részben sem háríthatja át egyes ügyintézőire, és azok egyéni hibáira, vagy más harmadik személyekre akik a személyes adat forrásai. Az adatkezelő csak olyan személyes adatot kezelhet, amelynek forrása jogszerű, ha erről semmilyen észszerű módon nem győződik meg, akkor a felelősség alól nem mentesülhet. A Kérelmezett eljárása nem segítette elő a Kérelmező érintetti joggyakorlását, tőle szükségtelen és adott esetben lehetetlen – feltétel, egy harmadik személy Telekom fiókjába bejelentkezés teljesítését követelte meg jelen ügyben többször a Kérelmezőtől. A Kérelmező általános gyakorlata, hogy a Telekom fiókhoz rendelt email címre küldött üzenetekben a leiratkozási hivatkozás egy bejelentkező oldalra visz, közvetlen leiratkozás nem lehetséges.

(ii) A jelen ügy hasonlóságai az előzmény ügyekkel

A jelen ügy és az előzmény ügyek egyes, Kérelmezett által kiemelt részei eltérnek egymástól, azonban az azonosság az alábbi, jelen ügy érdemét érintő releváns részletekben fennáll. A Kérelmezett jelen ügyben és az egyéni előzmény ügyekben is közös gyakorlata az, hogy a hírlevél feliratkozáskor semmilyen igazolást nem kér az adott telefonszám vagy email cím helyességéről, így akár a harmadik személy ügyfél, akár a Kérelmezett hibájából előfordulhat, hogy téves kapcsolati adatot rögzít. A téves rögzítést követően a téves adat javítása, törlése az egyéni előzmény ügyekben nem volt lehetséges az érintett által, aki a telefonszám vagy email cím jogosultja. A jelen ügyben is amiatt indult adatvédelmi hatósági eljárás, mivel a Kérelmező nem tudta az email cím törlését maga megtenni, mert olyan feltételt – bejelentkezés a Telekom fiókba – követelt meg a Kérelmezett, amelyet lehetetlen volt teljesíteni, és többszöri kérés ellenére ezt a Hatóság eljárását megelőzően a Kérelmezett nem orvosolta. A fent részletezett körülmények együttese vezetett ahhoz, hogy a Kérelmező – és a NAIH/2018/4939/V, NAIH/2019/192, és NAIH/2019/5205, NAIH/2020/1773 ügy érintettjeinek általános adatvédelmi rendelet szerinti jogai sérültek.

(iii) A Kérelmezett fenti kérdéskörben tett releváns nyilatkozatainak mérlegelése

A Kérelmezett eljárás során tett nyilatkozataival ellentétben a fenti pontokban részletezett körülmények nem minősülnek a Kérelmezett érdekkörén kívüli, elháríthatatlan oknak, azokat a Kérelmezett ténylegesen és hatékonyan befolyásolni tudta volna mind az adatfelvételi, mind a törlési eljárás esetén. A Hatóság megítélése szerint a Kérelmezett állításaival ellentétben a Kérelmező jogsérelmének közvetlen indoka nem az volt, hogy egy harmadik személy tévesen a Kérelmező kapcsolati adatát adta meg a Kérelmezett felé, és nem is a Gmail rendszer működési sajátossága – amelynek ismeretét a Kérelmezett kifejezetten elismerte jelen ügyben 2021. február 19-én érkezett levelében. A Kérelmezett megfelelő gyakorlata mindezek ellenére biztosíthatta volna a Kérelmező – és az előzmény ügyek érintettjeinek – érintetti jogait. Az adatfelvételkor a kapcsolati adat megerősítése – és ennek hiányában automatikus törlése nemzetközileg bevett gyakorlat, és a Kérelmezetthez hasonló típusú és nagyságú telekommunikációs szolgáltatótól fokozottan elvárható. A Kérelmezett azon érvelése, hogy a bejelentkezés nélküli kapcsolati adat törlését az adott kapcsolati adat használatával azért nem engedi, mert egyes kapcsolati adatok több fiókhoz tartoznak, szintén nem helytálló. Egyrészt amennyiben több előfizetőhöz tartozik egy adat (például email cím, kapcsolati telefonszám), és az adott kapcsolati adat felett rendelkezésre jogosult nem előfizető törlést kér, akkor azt főszabály szerint – konkrétan megnevezett előfizető hiányában minden fiókból törölni szükséges, különösen ha annak indoka kifejezetten az, hogy az adat feletti rendelkezésre jogosult nem járult hozzá az adat használatához. Ezen felül például amennyiben bejelentkezést nem igénylő leiratkozási hivatkozást helyez el egy hírlevélben, és azt több fiók nevében küldi egy email címre, akkor lehet több leiratkozási hivatkozást elhelyezni, amelyek csak egy-egy fiók tekintetében törlik az email címet (bár amennyiben mint a jelen ügyben jogosulatlan személy adta meg a kapcsolati címet, ennek sincs relevanciája). A fentiek alapján egyértelmű, hogy technikailag nincs akadálya annak, hogy bejelentkezés nélkül is megoldódhassanak a tévesen megadott kapcsolati adat törlések az érintettek kérelmére, emiatt a kizárólag Kérelmezett döntésén alapuló korlátozás volt az, amely mind a jelen ügyben, mind az egyéni előzmény ügyekben szükségtelen és jogellenes személyes adatkezeléshez vezetett. A Kérelmezett által hivatkozott, NAIH/2020/4999 számú ügyben tett hatósági döntés III. pontjának utolsó bekezdése kifejezetten kimondta, hogy „A jelen hatósági ellenőrzés kizárólag az Ügyfélnek a közvetlen üzletszerzéssel kapcsolatos hozzájárulások kezelésével kapcsolatos gyakorlata jogszabályi megfelelőségét, az adatkezelés egy szűk keresztmetszetét vizsgálta, és nem minősül az Ügyfél fentieken túlmutató általános adatkezelési gyakorlata jóváhagyásának, auditálásának, vagy megfelelősége tanúsításának.”. Az érintetti jogok általános érvényesülését a Hatóság a NAIH/2020/4999 számú ügyben nem vizsgálta, arra megállapítást nem tett, azon eljárás tárgya kifejezetten a hozzájárulásokat kezelő adatbázis adatbiztonsági megfelelése volt, hogy abban jogosulatlan személy tudott-e a hozzájárulás tényén észrevétlenül módosítani. Emiatt a Kérelmezett jelen eljárás hivatalbóli részének tárgyát képező, jelen határozatban részletezett adatkezelési gyakorlata tekintetében nem hivatkozhatott alappal a NAIH/2020/4999 számú ügyben tett megállapításokra, azok a jelen ügy megállapításait nem érintik. A Hatóság abban sem osztja a Kérelmezett álláspontját, hogy a Kérelmező – és a hasonló ügyekben érintett személyek – semmilyen vagyoni vagy jogi sérelmet nem szenvednek el. Az általános adatvédelmi rendelet a személyes adatok védelméhez fűződő jog védelmét szolgálja, amely az Alaptörvény VI. cikk (3) bekezdése és az Európai Unió Alapjogi Chartája 8. cikk (1) bekezdése alapján alkotmányos alapjognak minősül. Az erre vonatkozó jogszabályokban – így például az általános adatvédelmi rendelet III. fejezetében – meghatározott, az alapjog védelmét szolgáló érintetti jogok szükségtelen korlátozása, adminisztratív akadályokkal történő ellehetetlenítése közvetlen anyagi veszteség nélkül is alapjogi sérelmet okoz. A Kérelmezett adatrögzítésen és érintetti joggyakorlás gyakorlati megvalósíthatóságán kívüli egyéb nyilatkozatai, valamint a Kérelmezett belső oktatóanyagainak a fenti kérdéseket nem megoldó többszöri módosítása a Hatóság által a fentiekben vizsgált gyakorlatot érdemben nem befolyásolta, így azokat a Hatóság a Kérelmezett érdekében nem tudta figyelembe venni.

(iv) A Kérelmezett vizsgált gyakorlatának jogellenessége

Az általános adatvédelmi rendelet 12. cikk (2) bekezdése alapján a Kérelmezett az érintetti jogok gyakorlását elősegíteni köteles, ezzel szemben mind a kapcsolati adatok rögzítésének, mind a javítás vagy törlés ügyfélen kívüli személy általi kérésének eljárása a Kérelmezett gyakorlatában önmagában hordozza elvi szinten és gyakorlatban is az érintetti jogok sérelmének lehetőségét, amely számos előzmény ügyben bizonyítást nyert. A Hatóság a II. pontban részletezettek szerint többször megállapította az általános adatvédelmi rendelet 12. cikkének Kérelmezett általi megsértését kapcsolati adattal összefüggő érintetti joggyakorlás nem teljesítése miatt. A Kérelmezettel kapcsolatban felmerült probléma a fentiekben kifejtettek szerint már többször előfordult a Kérelmezettnél, és a Kérelmezett többszöri korábbi nyilatkozata ellenére sem szűnt meg az előzmény ügyek és jelen ügy által bizonyítottan. Ezen felül a Kérelmezett sem az előzmény ügyek, sem a jelen eljárás során nem igazolta a gyakorlata olyan módosítását, amely a jelen IV:2. pontban megjelölt problémákra tényleges megoldást jelentene. Emiatt megállapítható az általános adatvédelmi rendelet 25. cikk (2) bekezdésének sérelme is, mivel a Kérelmezett a kizárólag saját döntési jogkörébe tartozó eljárásait akként határozta meg, olyan szervezeti megoldásokat alkalmazott, hogy azokban benne van az érintetti jogsérelem valós veszélye akár a Kérelmezett akár harmadik személy általi adattévesztés esetén, és több esetben be is következett a valós jogsérelem. A fentiek miatt a Hatóság a rendelkező rész szerint az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapította, hogy a Kérelmezett érintetti jogok érvényesítésével kapcsolatos általános gyakorlata sérti az általános adatvédelmi rendelet 12. cikk (2) bekezdését és 25. cikk (2) bekezdését, és az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján utasította a jogsértő gyakorlat általános adatvédelmi rendelettel történő összhangba hozására.

IV.3. Az adatvédelmi bírság

A Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése szerint a többi intézkedés helyett vagy mellett adatvédelmi bírságot is kiszabhat. A Hatóság az irányadó bírói gyakorlatnak megfelelően ilyen esetben a bírság kiszabásnál az általános adatvédelmi rendelet 83. cikk (2)

bekezdésében felsorol szempontok közül az érdemben figyelembe vetteket mutatja be a döntés indokolásában. A Kérelmezett óriási mértékben kezel személyes adatokat, milliós nagyságrendű érintett ügyfele és – mint a jelen ügy és a II. pontban részletezett ügyek is mutatják – meg nem határozható számú nem ügyfél érintett személyes adatát kezeli, összesített éves bevétele a 2020-as beszámolója szerint pedig 524 131 000 000 Ft, azaz ötszázhuszonnégymilliárd-százharmincegymillió forint volt 2020-ban. Ezen felül az általános adatvédelmi rendelet Kérelmezett általi megsértését nem első alkalommal állapította meg a Hatóság, nem egy alkalommal érdemben összefüggő tárgyban. A Kérelmezett többször jelezte, hogy lépéseket tesz a jövőbeni hasonló esetek elkerülése érdekében, azonban a nem ügyfél érintettek részére továbbra sem biztosított könnyen és felesleges adminisztráció nélküli, az adatbiztonsághoz szükséges minimum feltételek mellett gyakorolható törlési jogot. Hosszú ideje alkalmazott, többször problémát okozó és indokolatlan megoldás, hogy az ügyfelek által tévesen megadott kapcsolati adatot egyes esetekben akkor is csak az ügyfél tudja kijavítani, ha az érintett éppen a panaszolt kapcsolati adaton keresztül kéri a törlést, valamint a döntés ilyen nyilvánvaló eseteket rosszul megítélő ügyintézőkre hárul. Sem a kapcsolati adat megadását követően közvetlenül, sem később nem biztosít hatékony eszközt a Kérelmezett az érintetteknek a törlés elintézésére (például bárki által használható hivatkozással stb.). Mindez azt támasztja alá, hogy a személyes adatok védelme – amely a Hatóság feladata – nem érhető el adatvédelmi bírság kiszabása nélkül. Az Infotv. 75/A § szerinti egyik enyhítő körülmény sem áll fenn, mivel a Kérelmezett nem KKV és nem is először sérti meg az általános adatvédelmi rendeletet. A bírságkiszabás mind a speciális, mind a generális prevenciót is szolgálja, amelynek érdekében a határozat a Hatóság honlapján is közzétételre kerül, a Kérelmező azonosító adatainak anonomizálása mellett. Az adatvédelmi bírság mértékének meghatározásakor a Hatóság enyhítő körülményként vette figyelembe, hogy (a) a Kérelmezett a Hatóság megkeresését követően még az eljárás lezárása előtt törölte a Kérelmező jogszerűtlenül kezelt személyes adatát, (b) a probléma gyökere harmadik személy téves adatszolgáltatása volt (azonban a tudomásszerzést követően a probléma hatékony megoldása már a Kérelmezett kötelezettsége lett volna az általános adatvédelmi rendelet 25. cikke alapján, amelynek elmaradása miatt szükséges a bírság, nem önmagában a téves adat miatt), (c) a jogsértés jellege, súlyossága közepesen jelentős az egyedi esetben (az általános adatvédelmi rendelet 25. cikkén kívüli jogsértések tekintetében), (d) a jogsértés időtartama az egyedi esetben nem volt jelentős, (e) a jogsértés által érintett személyes adat csak kapcsolati adat volt, nem érintett szenzitív adatot, (f) a belső szabályok kialakítása nem szándékos adatvédelmi jogsértés elkövetésére irányult. Az adatvédelmi bírság mértékének meghatározásakor a Hatóság súlyosbító körülményként vette figyelembe, hogy (a) a jogsértést előidéző belső eljárási probléma hosszabb ideje fennáll, és az általános adatvédelmi rendelet 25. cikk szerinti kötelezettség megsértésére vezethető vissza, (b) a Kérelmezett a korábbi hasonló ügyekben tett vállalásai és a Hatóság korábbi megállapításai ellenére a problémát megszüntető tényleges megoldást a mai napig nem dolgozott ki, a megoldási kísérletei a probléma érdemét, a törlési jog könnyű és felesleges adminisztráció nélküli gyakorlásának kérdését nem érintették, különösen figyelembe véve az érintettek azon jogos igényét, hogy fiók regisztráció és egyéb felesleges adminisztráció nélkül, a tényleges adat feletti rendelkezési jog bemutatásával tudjanak eljárni, (c) a Kérelmezett adatkezelésének kiterjedtsége és piaci pozíciója alapján elvárható lenne a Kérelmezettől, hogy ne egyes ügyintézői egyedi és felügyelet nélküli döntésétől függjön az érintetti jogok gyakorolhatósága, különösen, ha az érintett számára sokkal egyszerűbb technikai megoldással is biztosítani lehet a tévesen megadott adat törlését, (d) az online is elérhető pénzügyi beszámolója szerint 2020-ban Kérelmezett gazdasági egységének 524 131 000 000 Ft, azaz ötszázhuszonnégymilliárd-százharmincegymillió forint éves bevétele volt, így nagyon kis mértékű bírságnak semmilyen büntető vagy prevenciós hatása nem lenne. A fentiek alapján a Hatóság a rendelkező rész szerint a maximálisan kiszabható összeg kb. négy tízezredének (0,04%) megfelelő összegű adatvédelmi bírság kiszabását tartotta az eset összes körülménye alapján arányosnak és visszatartó erejűnek a Kérelmezett vonatkozásában.

V. Egyéb kérdések

Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Az Infotv. 38. § (2a) bekezdése szerint az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. A Hatóság illetékessége Magyarország egész területére kiterjed. Az Ákr. 112. § (1) bekezdése, 114. § (1) bekezdése és 116. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdése szerint a törvényszék előtti közigazgatási perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi CXXX. törvény 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettségek teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettségeket határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kötelezett a Hatóság végleges döntésében foglalt kötelezésének nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. § -a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2021. június 18.

Dr. Péterfalvi Attila elnök c. egyetemi tanár