Орган по защите данных Венгрии (NAIH): обработка персональных данных в рассылках

Ügyszám: NAIH-1091-10/2022. Előzmény: NAIH-6936/2021.

Tárgy: jogsértést megállapító határozat

F

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a [...]vel (a továbbiakban: Ügyfél) szemben marketing célú adatkezelésének, és érintetti joggyakorlás teljesítésére vonatkozó gyakorlatának a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendeletnek (a továbbiakban: GDPR és általános adatvédelmi rendelet) - 2018.05.25-2021.09.01. közötti időszakban - való megfelelésének vizsgálatára hivatalból indult adatvédelmi hatósági eljárásban az alábbi döntést hozza. I.1. A Hatóság m e g á l l a p í t j a , hogy az Ügyfél megsértette:

a GDPR 6. cikk (1) bekezdését, mivel közvetlen üzletszerzési célból jogalap nélkül kezelt személyes adatokat, a GDPR 7. cikk (1) bekezdését és a GDPR 5. cikk (2) bekezdését, mivel nem tudta igazolni az érintettek személyes adatai közvetlen üzletszerzési célú kezeléséhez adott hozzájárulását, továbbá az adatkezeléshez fűződő jogos érdekét sem, a GDPR 12. cikk (1) bekezdését, mivel nem adott átlátható és érthető tájékoztatást, a GDPR 15. cikk (1) bekezdését és 17. cikk (1) bekezdését, a GDPR 12. cikk (1) – (4) bekezdését, mivel az előírt határidőben nem, illetve csak az eljárás hatására teljesítette a közvetlen üzletszerzési célból kezelt személyes adatok törlésére irányuló érintetti kérelmeket […] (e-mail cím: […]; a továbbiakban: Érintett 1) és […] (e-mail cím: […] ; a továbbiakban: Érintett 2) esetében, továbbá az Érintett 2 hozzáférési kérelmére nem válaszolt.

I.2. A Hatóság kötelezi az Ügyfelet az alábbiakra:

írásban adjon tájékoztatást az Érintetteknek az érintetti kérelmeik teljesítésével összefüggésben, továbbá adatkezelési műveleteit hozza összhangba az általános adatvédelmi rendelet rendelkezéseivel azáltal, hogy átalakítja a közvetlen üzletszerzési gyakorlatát és megfelelő jogalap alapján és az általános adatvédelmi rendelet vonatkozó szabályainak megtartásával kezeli azokat, továbbá az e-mail címek megszerzése előtt adjon egyértelmű tájékoztatást az érintetteknek, és ennek ismeretében kérje kifejezett hozzájárulásukat a marketing célú adatkezeléshez is, amennyiben hozzájárulás alapján kezeli azokat. I.3. A Hatóság az Ügyfelet az általa végzett jogellenes adatkezelés miatt hivatalból

500.000 Ft, azaz ötszázezer forint adatvédelmi bírság megfizetésére kötelezi. Az I.2. - I.3. pont szerinti kötelezettség teljesítését az Ügyfélnek az intézkedés megtételétől számított 15 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt igazolnia a Hatóság felé. A kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását.

Az adatvédelmi bírságot a közigazgatási per kezdeményezésére irányadó keresetindítási határidő lejártát, illetve közigazgatási per esetén a bíróság döntését követő 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-1091/2022. BÍRS. számra kell hivatkozni.

Ha az Ügyfél a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását. A határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az eljárás menete

I.1. Az Érintettek panaszai alapján NAIH/2020/147. számon és NAIH/2019/7264. számon az általános adatvédelmi rendelet 57. cikk (1) bekezdés f) pontja és az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 38. § (3) bekezdés a) pontja alapján vizsgálati eljárás indult a Hatóság előtt. I.2. A Hatóság az Infotv. 55. § (1) bekezdés ab) pont alapján a NAIH/2020/1247. és a NAIH/2020/147. számú vizsgálati eljárásait lezárta, és az Infotv. 60. § (1) bekezdése alapján hivatalból adatvédelmi hatósági eljárást indított az Ügyféllel szemben. I.3. A Hatóság felhívására az Ügyfelet a NAIH-6936-1/2021., NAIH-6936-3/2021. és a NAIH- 1091-1/2022. számú végzésében hívta fel nyilatkozattételre tényállás tisztázása céljából. I.4. A Hatóság a NAIH-1091-1/2022. számú végzésében 150.000 forint eljárási bírság megfizetésére kötelezte az Ügyfelet, továbbá nyilatkozattételre hívta fel, mivel a Hatóság NAIH- 6936-1/2021. számú felhívására, továbbá NAIH-6936-3/2021. számú ismételt felhívására az adatkezelési körülmények feltárásához nélkülözhetetlen kérdések megválaszolását elmulasztotta. Az Ügyfél az eljárási bírságfizetési és nyilatkozattételi kötelezettségének azt követően tett eleget, hogy a Hatóság a határidő-hosszabbítási kérelmét a NAIH-1091-3/2022. számú végzésével elutasította. I.5. A Hatóság a NAIH/2020/147. számú és a NAIH/2019/7264. számú vizsgálati ügyek

1 A közigazgatási per kezdeményezésére a NAIH_KO1 elnevezésű űrlap szolgál: NAIH KO1 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki.

panaszosai részére az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 10. § (1) bekezdése alapján ügyféli jogállást biztosított a NAIH-1091-2/2022. és a NAIH-1091-8/2022. számú végzéséekben és felhívta őket, hogy nyilatkozattételi és iratbetekintési jogukat gyakorolhatják. Az ügyfélként bevont panaszosok a Hatóság végzéseit átvették, de a megadott határidőn belül nem tettek nyilatkozatot.

II. Tényállás tisztázása

II.1. Előzmények II.1.1. NAIH/2020/147. számú vizsgálati ügy A Hatósághoz 2019. október 4. napján panasz érkezett, melyben […] (e-mail cím: […] ; a továbbiakban: Érintett 1) az Ügyfél adatkezelését kifogásolta, mivel 2019. március 12. napján kérelmet terjesztett elő az […] e-mail címre, hogy töröljék a […] e-mail címét és minden adatát az Ügyfél nyilvántartásából, mert az adatkezeléshez az Érintett 1 nem járult hozzá. A kérelmét az Ügyfél azonban nem teljesítette, továbbra is kéretlen leveleket küldött az Érintett 1 e-mail címére. Az Érintett 1 másolatban továbbította a Hatóság részére az Ügyfélnek 2019. március 12. napján küldött érintetti kérelmét. A Hatóság az ügyben az általános adatvédelmi rendelet 57. cikk (1) bekezdés f) pontja és az Infotv. 38. § (3) bekezdés a) pontja alapján kérelemre vizsgálati eljárást indított NAIH/2019/7219. számon az Ügyfél marketing célú adatkezelésével összefüggésben. A NAIH/2020/1247. számú felhívásával kereste meg az Ügyfelet, mely felhívást az Ügyfél meghatalmazottja a tértivevény tanúsága szerint 2020. január 31. napján átvett. Tekintettel arra, hogy az Ügyfél a Hatóság felhívására nem válaszolt, ezért a Hatóság ismét nyilatkozattételre hívta fel az Ügyfelet. A Hatóság ismételt felhívását az Ügyfél meghatalmazottja a tértivevény tanúsága szerint 2020. május 12. napján átvette, azonban arra a Hatóságnak nem válaszolt. II.1.2. NAIH/2019/7264. számú vizsgálati ügy A fenti vizsgálati eljárással párhuzamosan a Hatóság előtt NAIH/2019/7264. számon is vizsgálati eljárás indult az Ügyféllel szemben az általános adatvédelmi rendelet 57. cikk (1) bekezdés f) pontja és az Infotv. 38. § (3) bekezdés a) pontja alapján, mivel [….] (e-mail cím: […] ; a továbbiakban: Érintett 2) is az Ügyfél adatkezelését kifogásolta. Az Érintett 2 a hozzáférési joga alapján – elektronikus úton, az […] címre küldött levelében tájékoztatást kért az Ügyféltől a kezelt személyes adataival összefüggésben, továbbá kérte a személyes adatai törlését 2019.03.20. napján miután kapott egy direkt marketing tárgyú e-mailt 2019.03.12. napján. Az érintetti jogai alapján benyújtott kérelmekre Érintett 2 mai napig nem kapott választ az Ügyféltől, azonban a törlési kérelme ellenére 2019.10.03., 2019.10. 07. napján, majd 2020. május 11-én és 2020. október 31. napján újabb direkt marketing tárgyú e-mailt kapott az Ügyféltől. A Hatóság a fentiekkel összefüggésben először – hivatkozással az Infotv. 54. § (1) bekezdés a) és c) pontjára - a NAIH/2020/147/2. számú felhívásával kereste meg az Ügyfelet, mely felhívást az Ügyfél meghatalmazottja a tértivevény tanúsága szerint 2020. január 10. napján átvett. Tekintettel arra, hogy az Ügyfél a Hatóság felhívására nem válaszolt, ezért a Hatóság a NAIH/2020/1247/4. számú felhívásban (ismételt felhívás) ismét nyilatkozattételre szólította fel, mely ismételt felhívást az Ügyfél meghatalmazottja a tértivevény tanúsága szerint 2020. május 12. napján átvett, azonban arra sem válaszolt az Ügyfél. II.1.3. Vizsgálati ügyek lezárása, adatvédelmi hatósági eljárás indítása

Tekintettel arra, hogy az Ügyfél a Hatóság NAIH/2020/1247. és NAIH/2020/147. számú vizsgálati eljárásaiban küldött felhívásaira nem válaszolt, és emiatt az volt feltételezhető, hogy az adatkezelése továbbra is sérti az Érintett 1 és az Érintett 2 (a továbbiakban együtt: Érintettek), továbbá más érintettek általános adatvédelmi rendeletben meghatározott jogait, továbbá a bejelentésekben foglaltak az általános adatvédelmi rendelet megsértését valószínűsítették, a Hatóság az Infotv. 55. § (1) bekezdés ab) pont alapján a NAIH/2020/1247. és a NAIH/2020/147. számú vizsgálati eljárásait (a továbbiakban: előzmény vizsgálati ügyek) lezárta, és az Infotv. 60. § (1) bekezdése alapján 2021. szeptember 1-jén hivatalból adatvédelmi hatósági eljárást indított az Ügyféllel szemben a közvetlen üzletszerzési célú általános adatkezelési gyakorlatának és érintetti kérelmek teljesítésének vizsgálatát érintően. II.2.A Hatóság felhívására az Ügyfél - a NAIH-6936-1/2021. számú és a NAIH-6936-3/2021. számú végzésekre küldött válaszaiban – az alábbi tájékoztatást nyújtotta: Az Ügyfél minden foglalás esetében azt kéri, hogy a vendég elektronikus úton kérjen árajánlatot arra az időszakra, melyre szállást kíván foglalni. Azzal, hogy az Érintettek ennek tudatában elektronikus úton foglalták le a szállást, - az Ügyfél álláspontja szerint - ezzel egyidejűleg elfogadták azt, hogy az elektronikus levelüket az Ügyfél megkapta, így az elektronikus leveleik címéhez hozzáfért, és ezzel az elektronikus levelező program „adatbankjába” bekerültek. Emiatt az Érintettek kaptak a szállodai körlevélből, aminek a végére az Ügyfél nyilatkozata szerint minden esetben odaírják, hogy ha nem kíván az Ügyféltől körlevelet kapni, akkor jelezze, és törlik a nyilvántartásból. A Hatóság ezzel kapcsolatban megállapította, hogy ez ellentmond az előzmény vizsgálati ügyekben az Érintettek által becsatolt, az Ügyfél által a részükre küldött levelek tartalmával, ugyanis azokban nem volt arra utalás a levélben, hogyan töröltethetik a személyes adataikat az Érintettek. Az Ügyfél továbbá hivatkozott arra is, hogy mivel az Érintettek az Ügyfél honlapján keresztül keresték fel az Ügyfél szállodáját, és azon keresztül foglaltak, ezért az azon található általános szerződési feltételeket (ÁSZF) elfogadták. Az Ügyfél ügyvezetője előadta, hogy utasításba adta, hogy töröljék a leiratkozókat a levelezőlistából, azonban valami miatt ez az Érintettek esetében elmaradt, valószínűleg a COVID-19 járvány miatti munkaerőhiány miatt, ezért az Érintettek személyes adatainak törlésére nem került sor. Az Ügyfél tevékenységének újraindításakor pótolták a mulasztást, és törölték az Érintettek személyes adatait a nyilvántartásából. Az Ügyfél vitatja, hogy közvetlen üzletszerzési célból kezelte az Érintettek személyes adatait. Véleménye szerint az, hogy a levelezési program automatikusan elmenti azoknak az elektronikus levelezési címét, akik már küldtek a részükre elektronikus levelet, nem minősül adatkezelésnek, sőt adatbázisnak sem. Amennyiben a Hatóság mégis úgy tekinti, hogy ez adatkezelés, abban az esetben az elektronikus levelezési címen kívül mást adatot nem tárol. Az Ügyfél előadta, hogy telefonon keresztül nem végez marketing tevékenységet. Az Ügyfél továbbá azt az észrevételt tette, hogy véleménye szerint mivel az eljárás az Érintettek bejelentése alapján indult, ezért az nem tekinthető hivatalból indult eljárásnak. Más hivatalok kérelemre, vagy bejelentés alapján nem kezdeményeznek hivatalból eljárást. Az Ügyfél a Hatóság felhívására az alábbiakat csatolta be:

- 2 db köremailjének a szövege, mely ajánlatot tartalmaz az Ügyfél által üzemeltetett hotelben történő szállásfoglalásra, hozzá tartozó ellátásra és egészségügyi szolgáltatásokra. Az e-mailek a szolgáltatások árát is tartalmazzák, továbbá 2 db e-mail esetében a levél alján olvasható tájékoztatás az e-mailről történő leiratkozással kapcsolatban.

- Ügyfél által becsatolt, 2021.évre vonatkozó Általános Szerződési Feltételek, mely a 20. pontjában adatvédelem kapcsolatos rendelkezések találhatók „Fogyasztói érdekvédelem, adatvédelem” címszó alatt. II.3.Az Ügyfél honlapján […] található adatkezelési tájékoztató 4. pontja az alábbiakat tartalmazta a vizsgált időszakban a marketing célú adatkezeléssel összefüggésben a „hírlevélre való feliratkozással kapcsolatos adatkezelés” címszó alatt: „Cégünk hírlevél útján tartja a kapcsolatot vendégeivel, akiknek a figyelmébe ajánlja szolgáltatásait, a működésével kapcsolatos újdonságokról, akciókról tájékoztatja. A személyes adatok kezelője: […] Kft.

Az adatkezelés célja: kapcsolattartás a potenciális szállóvendégekkel

Az adatkezelés jogalapja: az érintett hozzájárulása – GDPR 6. cikk (1) bekezdés a) pont.

A jogos érdek megjelölése: a partnerekkel, szállóvendégekkel kialakított üzleti kapcsolatos fenntartása, fejlesztése

A kezelt személyes adatok köre: név, e-mail cím

Az adatkezelés időtartama: cégünk a hírlevelekről való leiratkozásig kezeli az e-mail címeket. […]” II.5. A Hatóság a NAIH-1091-1/2022. számú végzésében az Ügyfelet 150.000 Ft eljárási bírság megfizetésére kötelezte, továbbá ismételten felhívta nyilatkozattételre tekintettel arra, hogy az Ügyfél a magatartásával az Ákr.-ben és a GDPR-ban előírt együttműködési és adatszolgáltatási kötelezettségét megszegte, mivel a Hatóság többszöri felhívása ellenére nem adott teljes körű tájékoztatást. A Hatóság fenti végzésére válaszul az Ügyfél jogi képviselője az alábbiakról nyilatkozott: Az adatvédelmi fogalmak nem teljes ismerete miatt félreértelmezés miatt az ügyvezető tévesen nyilatkozott az üzletszerzési célból való adatkezelésről. Az Ügyfél valóban küldött a szállóvendégeknek akciókat ismertető levelet, amelyet azonban nem tartottak tiltott adatkezelésnek. Az ÁSZF kifogásolt bekezdését az Ügyfél törölni fogja. Az Ügyfél nem volt tisztában a tevékenysége adatvédelmi vonatkozásával, jogalapnak „az egyszerű reklámtevékenységet tartották”. Az érintettek a szállodába való bejelentkezéskor adták meg az e-mail címüket arra vonatkozó szóbeli kérdés után, hogy küldhetnek-e nekik akciókról tájékoztató értesítéseket. Az e-mail címek a kötelezően előírt szállodai nyilvántartásokban szerepelnek, külön lista ezekről nem készült. Ha a vendég a szálloda honlapján foglalja le a szobát, úgy az e-mail címe a beérkező levelek között rögzül. A vizsgált időszakban kb. 600 levelet küldött az Ügyfél szállóvendégeknek. Az Ügyfél mellékletben csatolta a levelezésre használt programot, elnevezését és arról nyilatkozott, hogy általa nem ismert okokból az ott tárolt e-mail címek törlődtek a rendszerből. Az Ügyfél nyilatkozata szerint az Érintett 1-et szóban tájékoztatta az Ügyfél a törlésről, aki ezt tudomásul vette. Az Ügyfélél az Érintett 2-t is szóban tájékoztatta a törlésről. Az Ügyfél dokumentumokkal nem tudta igazolni, hogy az Érintettek a szállodája vendégei voltak, mivel az erre vonatkozó adatok technikai okokból törlődtek a nyilvántartásából.

III. Alkalmazandó jogszabályi előírások

A GDPR 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre a GDPR-t kell alkalmazni.

Az Infotv. 55. § (1) bekezdés alapján a Hatóság a vizsgálat hivatalból történő megindításától vagy a bejelentés érkezését követő naptól számított két hónapon belül ab) a vizsgálatot lezárja, és a 60. § szerinti adatvédelmi hatósági eljárást indít. Az Infotv. 60. § (1) bekezdés alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. A GDPR hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint a GDPR-t az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. GDPR 4. cikk 1. pontja alapján „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható; A GDPR 4. cikk 2. pontja alapján „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés; GDPR 4. cikk 7. pontja alapján „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja; GDPR 4. cikk 11. pont alapján „az érintett hozzájárulása”: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez; A GDPR (44) preambulumbekezdése alapján az adatkezelés jogszerűnek minősül, ha arra valamely szerződés vagy szerződéskötési szándék keretében van szükség. A GDPR (47) preambulumbekezdése alapján az adatkezelő - ideértve azt az adatkezelőt is, akivel a személyes adatokat közölhetik - vagy valamely harmadik fél jogos érdeke jogalapot teremthet az adatkezelésre, feltéve hogy az érintett érdekei, alapvető jogai és szabadságai nem élveznek elsőbbséget, figyelembe véve az adatkezelővel való kapcsolata alapján az érintett észszerű elvárásait. Az ilyen jogos érdekről lehet szó például olyankor, amikor releváns és megfelelő kapcsolat áll fenn az érintett és az adatkezelő között, például olyan esetekben, amikor az érintett az adatkezelő ügyfele vagy annak alkalmazásában áll. A jogos érdek fennállásának megállapításához mindenképpen körültekintően meg kell vizsgálni többek között azt, hogy az érintett a személyes adatok gyűjtésének időpontjában és azzal összefüggésben számíthat-e észszerűen arra, hogy adatkezelésre az adott célból kerülhet sor. Az érintett érdekei és alapvető jogai elsőbbséget élvezhetnek az adatkezelő érdekével szemben, ha a személyes adatokat olyan körülmények között kezelik, amelyek közepette az érintettek nem számítanak további adatkezelésre. Mivel a jogalkotó feladata, hogy jogszabályban határozza meg, hogy a közhatalmi szervek milyen jogalapon kezelhetek személyes adatokat, az adatkezelő jogszerű érdekét alátámasztó jogalapot nem lehet alkalmazni, a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. Személyes adatoknak a csalások megelőzése céljából feltétlenül szükséges kezelése szintén az érintett adatkezelő jogos érdekének minősül. Személyes adatok közvetlen üzletszerzési célú kezelése szintén jogos érdeken alapulónak tekinthető.

A GDPR 5. cikk (1) bekezdés a) pont alapján a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”);

A GDPR 5. cikk (1) bekezdés b) pont alapján személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztet-hetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”);

A GDPR 5. cikk (2) bekezdés alapján az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). A GDPR 6. cikk (1) bekezdése alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. A GDPR 7. cikk (1) bekezdés alapján ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult. A GDPR 12. cikk (1) – (4) bekezdései alapján: (1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (2) Az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. (3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. (4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. A GDPR 15. cikk (1) bekezdés alapján az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; A GDPR 17. cikk (1) bekezdése alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll: a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték; b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja; c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezelés ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen; d) a személyes adatokat jogellenesen kezelték; e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell; f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor. A GDPR 17. cikk (3) bekezdése alapján az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges: […] b) a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából; […]

A GDPR 21. cikk (1) bekezdés alapján az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.

A GDPR 21. cikk (4) bekezdés alapján az (1) és (2) bekezdésben említett jogra legkésőbb az érintettel való első kapcsolatfelvétel során kifejezetten fel kell hívni annak figyelmét, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni. A GDPR 77. cikk (1) bekezdése szerint minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti a GDPR-t. GDPR 58. cikk (2) bekezdés b), d) és i) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Ugyanezen § (2a) bekezdése szerint a GDPR-ban a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében a GDPR-ban és e törvényben meghatározottak szerint a Hatóság gyakorolja. Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság hivatalból adatvédelmi hatósági eljárást indíthat. Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben a GDPR-ban meghatározott jogkövetkezményeket alkalmazhatja. A GDPR eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) rendelkezéseit kell alkalmazni az Infotv-ben meghatározott eltérésekkel. Az Ákr. 10. § (1) bekezdés alapján az ügyfél az a természetes vagy jogi személy, egyéb szervezet, akinek (amelynek) jogát vagy jogos érdekét az ügy közvetlenül érinti, akire (amelyre) nézve a hatósági nyilvántartás adatot tartalmaz, vagy akit (amelyet) hatósági ellenőrzés alá vontak. Az Ákr. 80. § (1) bekezdés alapján a döntés határozat vagy végzés. A hatóság - a (4) bekezdésben meghatározott kivétellel - az ügy érdemében határozatot hoz, az eljárás során hozott egyéb döntések végzések. Az Infotv. 75/A. § alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Az Infotv. 71. § (2) bekezdés alapján a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja.

IV. A Hatóság döntése

A Hatóság a tényállás tisztázás során az előzmény ügyeket az Infotv. 71. § (2) bekezdés alapján bizonyítékként használta fel.

IV.1. Az Ügyfél tevékenysége és adatkezelői minősége

Az Ügyfél főtevékenysége a cégnyilvántartás adatai szerint szállodai szolgáltatás, egyéb tevékenysége többek között üdülési, egyéb átmeneti-szolgáltatás, éttermi, mozgó vendéglátás. A Hatóság megállapította, hogy a vizsgált adatkezeléssel érintett ügyben a fentiekben említett tevékenységével összefüggésben az adatkezelése célját és eszközeit az Ügyfél önállóan határozza meg, ezért a GDPR 4. cikk 7. pontja alapján önálló adatkezelő. IV.2. Elektronikus levélcím, mint személyes adat és tárolása, mint adatkezelés

A GDPR 4. cikk 1. pontja alapján az elektronikus levélcím magánszemély vonatkozásában személyes adatnak minősül. A GDPR 4. cikk 2. pontja alapján adatkezelésnek minősül a személyes adatokon végzett bármely művelet vagy műveletek összessége, tehát azzal, hogy az Ügyfél tárolja, felhasználja, köremaileket küld az adott címre, adatkezelést végez.

IV.3. A közvetlen üzletszerzési célú adatkezelés és jogalapja

IV.3.1. Érintettek tájékoztatása

Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelőnek a személyes adatok megszerzésének időpontjában a tisztességes és átlátható adatkezelés érdekében az érintettek részére részletes tájékoztatást kell nyújtania a GDPR 13. cikk (1) bekezdésében írtakról. A GDPR preambulumbekezdés (39), továbbá a GDPR 5. cikk (1) bekezdés a) pontja előírja, hogy az adatkezelésre vonatkozó tájékoztatásnak átláthatónak kell lennie, melyet megfelelő módon elérhetővé kell tenni az érintettek számára (pl. az adatkezelő honlapján), figyelemmel a választott jogalapok esetleges többletfeltételeire. A GDPR 12. cikke határozza meg azon formai követelményeket, amelyekre figyelemmel kell lenniük az adatkezelőknek, amikor az érintetti joggyakorlást lehetővé teszik, biztosítják, ideértve az érintettek előzetes tájékoztatását is. Ez alapján az adatkezelőknek a személyes adatok kezelésére vonatkozó valamennyi információt tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően kell nyújtaniuk. Ezt megfelelő módon elérhetővé kell tenni az érintettek számára (pl. az adatkezelő honlapján) figyelemmel a választott jogalapok esetleges többletfeltételeire. Az Ügyfél arra hivatkozott, hogy az ÁSZF-t olvasták el az Érintettek és azt fogadták el, tehát ezzel a személyes adataik kezeléséhez is hozzájárultak. A 95/46/EK irányelv 29. cikke alapján létrehozott Adatvédelmi Munkacsoport által elfogadott, a GDPR alkalmazását és értelmezését elősegítő, az átláthatóságról szóló iránymutatás (a továbbiakban: Iránymutatás) szerint is az adatkezelőknek a GDPR-ban előírt tájékoztatást „tömör, átlátható, érthető és könnyen hozzáférhető” módon kell nyújtaniuk. „Ezt a tájékoztatást egyértelműen el kell különíteni az egyéb, nem adatvédelemmel kapcsolatos tájékoztatástól, például a szerződéses rendelkezésektől vagy általános szerződési feltételektől.” (Iránymutatás 8. pontja) A „könnyen hozzáférhető” kritériumnak abban az esetben tesz eleget az adatkezelő az Iránymutatásban írtak szerint, ha úgy helyezi el a honlapon a tájékoztatót, hogy az érintettnek azt ne kelljen keresgélnie és például „Adatvédelem”, „Adatvédelmi tájékoztató” vagy „Adatvédelmi nyilatkozat” címszó alatt egy kattintással elérje. (Iránymutatás 11. pontja) Az átlátható tájékoztatás követelményének abban a tekintetben is eleget kell tennie az adatkezelőnek, hogy a személyes adatok kezelésének a célja és a jogalapja tájékoztatóban egyértelműen kerüljön meghatározásra, tehát kerülni kell az „elvont” vagy „kétértelmű” kifejezések használatát. A Hatóság megállapítása szerint az Ügyfél által hivatkozott ÁSZF adatkezeléssel kapcsolatban nem tartalmazott, és nem tartalmaz rendelkezéseket, mivel - ahogyan a neve is mutatja - az az általános szerződési feltételekről szól. Az Ügyfél honlapján az adatkezelési tájékoztatója megtalálható volt, melyet a Hatóság megvizsgált, és azt állapította meg, hogy a hírlevelekkel kapcsolatosan az adatkezeléssel összefüggésben két külön jogalapot is megemlít, a GDPR 6. cikk (1) bekezdés a) és f) pontját. A GDPR 6. cikk (1) bekezdés a) pontját kifejezetten hivatkozta az Ügyfél, a jogos érdeket pedig emellett megjelölte, nem, mint kifejezetten jogalapot, hanem a jogos érdekét („a partnerekkel, szállóvendégekkel kialakított üzleti kapcsolatos fenntartása, fejlesztése”) nevesítette. Ez azonban így nem elfogadható, mert ha GDPR 6. cikk (1) bekezdés a) pontra hivatkozással végzi az adatkezelést, akkor felesleges és egyben megtévesztő jogos érdekre hivatkoznia. Az Ügyfélnek választania kell a két jogalap közül, tekintettel arra, hogy az egyes jogalapok más és más feltételeket követelnek meg, ahogyan az a fentiekben kifejtésre került. Amennyiben az Ügyfél az adatkezelés megkezdése előtt kijelöl egy jogalapot, akkor következetesen az egész adatkezelési folyamatát ahhoz kell igazítania, ami a jelen esetben azt jelenti, hogy hozzájárulásra alapított adatkezelésnél a jogos érdekre hivatkozás nem elfogadható. Az Ügyfél által megjelölt cél sem került megfelelően megállapításra, mivel hírlevél küldésnek nem a „kapcsolattartás a potenciális szállóvendégekkel” a célja, hanem tájékoztatás aktuális ajánlatokról, tehát közvetlen üzletszerzés a tényleges cél. Azzal, hogy az Ügyfél a cél és jogalap tekintetében sem adott egyértelmű tájékoztatást, a Hatóság álláspontja szerint az Ügyfél megsértette a GDPR 12. cikk (1) bekezdését, mivel nem adott egyértelmű tájékoztatást sem az általa hivatkozott ÁSZF-ben, sem a honlapján található adatkezelési tájékoztató útján.

IV.3.2. Érintetti hozzájárulás és jogos érdek, mint az adatkezelés jogalapjai

A GDPR 6. cikk (1) bekezdés szabályozza a jogalapokat, így többek között az érintetti hozzájárulást és a jogos érdeket.

IV.3.2.1. A közvetlen üzletszerzési célú adatkezelés az érintettek hozzájárulásával, tehát a GDPR 6. cikk (1) bekezdés a) pontja alapján is végezhető. A GDPR 6. cikk (1) bekezdés a) pontja alapján marketing célú adatkezelés esetében alapvető feltétel a GDPR 4. cikk 11. pont alapján, hogy az érintettek megfelelő információval rendelkezzenek az adatkezelési körülményekkel összefüggésben a hozzájárulás megadásával kapcsolatos döntésük meghozatala előtt, továbbá egyértelműen nyilvánítsák ki a hozzájárulásukat. Az, hogy megfelelő információval kell rendelkezniük az érintetteknek azt jelenti, hogy a részükre adott tájékoztatásnak egyértelműnek és világosnak kell lennie, továbbá a tájékoztatásnak a GDPR 13. cikk szerinti tartalommal kell rendelkeznie. A további követelmény, miszerint az érintetteknek egyértelműen kell a hozzájárulásukat kinyilvánítani, azt jelenti, hogy konkrétnak kell lennie, tehát kifejezetten meghatározott céllal összefüggő adatkezelésre kell vonatkoznia. A III.3.2. pont miatt a GDPR 4. cikk 11. pontjában írt azon feltétel, hogy a hozzájárulásnak megfelelő tájékoztatáson kell alapulnia nem érvényesülhetett, ugyanis a jogalap tekintetében az érintettek részére ellentmondásos tájékoztatást nyújtott az Ügyfél. Az Ügyfél arról nem nyilatkozott, hogy a hírlevélre történő feliratkozás esetleg járt-e bármilyen előnnyel, mivel az eljárás kezdetén tagadta a marketing célú adatkezelést, annak ellenére, hogy a honlapján található adatkezelési tájékoztató erről is kifejezetten rendelkezik. Későbbi, az Ügyfél jogi képviselője által a Hatóságnak nyújtott tájékoztójában elismerte, hogy „[…]Valóban küldött a kft. régi és elégedett szállóvendégeknek akciókat ismertető levelet,…[…]”.

A Hatóság megjegyzi, hogy a 95/46/EK irányelv 29. cikke alapján létrehozott Adatvédelmi Munkacsoport által elfogadott WP259 szám alatt kibocsátott iránymutatás szigorú követelményeket támaszt a szabad akarat érvényesülésére, ezért ha a hírlevélre feliratkozás valamilyen előnyt nyújt, akkor egyedileg meg kell vizsgálni, hogy az az előny mennyiben befolyásolja az önkéntességet. Az előny juttatása semmiképpen sem korlátozhatja az érintettek GDPR szerinti jogait (leiratkozás, törléshez való jog). Ez tehát azt jelenti, hogy az akciók nem kizárólagosan a hírlevélre feliratkozottaknak szólhatnak. A Hatóság továbbá megállapította, hogy azon a felületen, ahol a foglalás leadható volt, annak ellenére, hogy az adatkezelési tájékoztató a hozzájárulás jogalapot jelölte a marketing célú adatkezeléssel összefüggésben, nem helyezett el külön checkbox-ot a direkt marketing célú adatkezeléshez, pedig ez önálló cél, és a hozzájárulást célonként külön-külön kell beszerezni. A fentiek alapján tehát a Hatóság megállapította, hogy a GDPR 6. cikk (1) bekezdés a) pont szerinti jogalap nem áll fenn, mivel nincs GDPR 4. cikk 11. pont szerinti hozzájárulása az Ügyfélnek a közvetlen üzletszerzési célú adatkezeléséhez. IV.3.2.2. Az Ügyfél a honlapján a GDPR 6. cikk (1) bekezdés a) pont mellett jogos érdekre is hivatkozott a 4. pontban az alábbiak szerint: „ […] Az adatkezelés jogalapja: az érintett hozzájárulása – GDPR 6. cikk (1) bekezdés a) pont.

A jogos érdek megjelölése: a partnerekkel, szállóvendégekkel kialakított üzleti kapcsolatok fenntartása, fejlesztése […]” A fentiekre az Ügyfél azonban a Hatósághoz küldött nyilatkozatában nem hivatkozott, és a Hatóság kifejezett felhívása ellenére sem jelölt meg jogalapot a marketing célú adatkezeléssel összefüggésben, mivel eleinte vitatta, hogy ilyen adatkezelést végez, csak a Hatóság többszöri felhívására küldött nyilatkozatában ismerte el azt az Ügyfél jogi képviselője. Az Ügyfél nyilatkozatában ellentmondásként értékelhető, amikor arra hivatkozott, hogy az érintettek a szállodába való bejelentkezéskor adták meg az e-mail címüket arra vonatkozó szóbeli kérdés után, hogy küldhetnek-e nekik az akciókról tájékoztató értesítésket, majd arra is hivatkozott, hogy az e-mail címek a „kötelezően előírt szállodai nyilvántartásokban szerepelnek”. Ez alapján tehát a közvetlen üzletszerzés célú adatkezelést jelölte meg egyik adatkezelési célnak, majd arra hivatkozott, hogy kötelezően előírt nyilvántartásokban szereplnek az e-mail címek, tehát megőrzési kötelezettség teljesítése lenne a másik cél, azonban ezen nyilvántartásokra vonatkozó jogszabályokat meg sem jelölte. További ellentmondás, hogy arról is nyilatkozott, hogy végül törölte az Ügyfél az e-mail címeket, illetve az összes e-mail cím törlődött a nyilvántartásából, tehát ez ellentmond az esetleges megőrzési kötelezettséggel. Amennyiben az Ügyfélnek valóban lenne olyan kötelezettsége, hogy az e-mail címeket is megőrizze, akkor azokat az e-mail címeket csak a megőrzési kötelezettsége teljesítése érdekében kezelheti, közvetlen üzletszerzési célból, tehát hírlevelek küldése céljából nem kezelhetné, ha az Ügyfél GDPR szerinti hozzájárulását, vagy a jogos érdekét ezen vonatkozásban megfelelően nem tudja igazolni, továbbá ezek esetben akkor sem, ha az Ügyfél kéri, hogy ne küldejenek a részére a továbbiakban hírleveleket. Amennyiben jogos érdekre hivakozással végez közvetlen üzletszerzési célból adatkezelést az Ügyfél, abban az esetben a GDPR (47) preamblumbekezdése alapján azt érdekmérlegeléssel kell alátámasztania. Az Ügyfél honlapján a jogos érdekre is hivatkozik, mely elfogadható lehet egy érdekmérlegelés birtokában, azonban azt nem csatolta be az Ügyfél, és nem is hivatkozott arra. Az adatkezelő felelős az általa végzett adatkezelés jogszerűségéért. A GDPR 6. cikk (1) bekezdés f) pontja szerinti jogalap természetéből fakadóan azon adatkezelőnek, aki jogos érdekre hivatkozik, pontosan meg kell tudni jelölnie, hogy egy konkrét személyes adat kezelését az adatkezelő mely jogos érdeke alapozza meg, és ezen érdekre tekintettel miért szükséges az adatkezelés, egyben igazolnia, bizonyítania is tudnia kell, hogy az elsőbbséget élvez az érintett jogos érdekével, személyes adatok védelméhez fűződő jogával szemben. A Hatóság ezzel összefüggésben kiemeli azt, hogy marketing célból történő adatkezelés speciális jellegű. Erre utal a GDPR 21. cikk (2) bekezdése, miszerint az érintett bármikor tiltakozhat a rá vonatkozó személyes adatok közvetlen üzletszerzés céljából történő kezelése ellen, és ha így tett, akkor a személyes adatok e célból a továbbiakban nem kezelhetők. Ilyenkor az adatkezelőnek tehát nincs mérlegelési lehetősége arra vonatkozóan, hogy törli-e a személyes adatokat vagy sem, amelyek kezelése ellen az érintett tiltakozott.

A IV.3.2.1. és IV.3.2.2. pontokban írtak miatt a Hatóság megállapította, hogy jogellenesen kezelte az Ügyfél az Érintettek, továbbá a többi vendége személyes adatait, mellyel megsértette a GDPR 6. cikk (1) bekezdését, ugyanis sem GDPR 4. cikk 11. pont szerinti hozzájárulást nem igazolta a Hatóság felé, sem pedig a jogos érdekét nem támasztotta alá érdekmérlegeléssel.

IV.3.3. Elszámoltathatóság elve, hozzájárulás és jogos érdek igazolásának hiánya

Az adatkezelés jogszerűségének elengedhetetlen feltétele, hogy annak megfelelő jogalapja legyen. A GDPR 6. cikke rendelkezik a személyes adatok kezelésének lehetséges jogalapjairól, azaz azon esetekről, amikor egy adatkezelés jogszerű lehet, amennyiben az általános adatvédelmi rendelet többi rendelkezésének megfelel, ilyen jogalap lehet – többek között – az érintett hozzájárulása. A GDPR nem tartalmaz megkötést a hozzájárulás megvalósulási formájára vonatkozóan, csak az érvényességéhez szükséges követelményeket – önkéntes, konkrét, megfelelő tájékoztatáson alapuló, egyértelmű akaratkinyilvánítás, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez – határozza meg. A GDPR 7. cikk (1) bekezdése alapján ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléshez hozzájárult. Amennyiben tehát az adatkezelés jogalapja a GDPR 6. cikk (1) bekezdés a) pontja szerinti hozzájárulás, úgy az adatkezelőnek tudnia kell bizonyítani, hogy érvényes hozzájárulást szerzett az érintettől, az érintett az adatkezeléshez hozzájárulását adta. A Hatóság kifejezett felhívása ellenére sem csatolt be az Ügyfél olyan dokumentumot, mely alátámasztaná, hogy az érintettek az adatkezeléshez a hozzájárulásukat adták, tehát ezzel megsértette a GDPR 7. cikk (1) bekezdését. A GDPR 6. cikk (1) bekezdés f) pont alkalmazásának, tehát a jogos érdekre hivatkozással végzett adatkezelésnek a feltétele, hogy a jogos érdeke elsőbbségét az Ügyfél a GDPR (47) preambulum bekezdésének megfelelően érdekmérlegeléssel igazolja. Az Ügyfél azonban az érdekmérlegelését nem továbbította a Hatóság részére, mellyel megsértette a GDPR 5. cikk (2) bekezdését, azaz „elszámoltathatóság” elvét.

IV.3.4. Érintetti kérelmek teljesítése

IV.3.4.1. Személyes adatok törlése és tiltakozás a szeméyles adatok kezelése ellen

A GDPR 6. cikk (1) bekezdés f) pontja szerinti adatkezelés esetén az érintett a GDPR 21. cikk (2) bekezdése szerinti jogával élhet, tehát tiltakozhat a személyes adatai kezelése ellen. A GDPR 6. cikk (1) bekezdés a) pont szerinti jogalapra történő adatkezelés esetén pedig az érintett visszavonhatja az adatkezeléshez adott hozzájárulását.

A hatósági eljárást megelőző vizsgálati eljárásokban az Érintettek arról nyilatkoztak, hogy tiltakoztak a személyes adataik kezelése ellen, és a hírlevelekről le szerettek volna iratkozni. Ezt alátámasztották becsatolt dokumentumokkal. Az Érintettek hírlevélről történő leiratkozását az Ügyfél sem vonta kétségbe, ezt elismerte az adatvédelmi hatósági eljárásban a Hatósághoz küldött nyilatkozatában. Az érintetti kérelmekre az adatkezelő a GDPR 12. cikk (1)-(3) bekezdései alapján főszabály szerint egy hónapon belül köteles átlátható és érthető tájékoztatást nyújtani, illetve teljesíteni azokat, vagy a teljesítésük elmaradása esetén a teljesítés elmaradásának okáról tájékoztatást nyújtani. A GDPR 12. cikk (4) bekezdés alapján ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. Az Ügyfél nyilatkozata szerint az Ügyfél a COVID-19 (koronavírus) járvány miatt kialakult helyzet miatt vélhetően adminisztrációs hiba miatt nem válaszolt. A GDPR 4. cikk 7. pontja alapján adatkezelő az a természetes vagy jogi személy […], amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza […]2. A Hatóság álláspontja szerint az adminisztrációs hibára vonatkozó érvelés nem mentesíti az Ügyfelet az adatkezelői felelősség alól, tekintettel arra, hogy a GDPR 4. cikk 7. pontja értelmében az Ügyfél minősül adatkezelőnek. Az Ügyfél az, aki megszervezi az adatkezelés folyamatát és kialakítja annak körülményeit. Az adatkezelő legfontosabb jellemzője az, hogy érdemi döntéshozatali jogkörrel rendelkezik, és felelősséggel tartozik az adatkezelés valamennyi, az általános adatvédelmi rendeletben rögzített kötelezettség teljesítéséért. Azokban az esetekben, amikor konkrét természetes személyt neveznek ki, hogy biztosítsa az adatvédelmi elvek betartását vagy hogy személyes adatokat dolgozzon fel, ez a személy nem lesz adatkezelő, hanem annak a jogi személynek (vállalatnak vagy köztestületnek) a nevében jár el, amely adatkezelői minőségében továbbra is felelős az alapelvek megsértése esetén.

Az Ügyfél úgy nyilatkozott, hogy mulasztása után eleget tett az Érintettek kérelmének, és törölte az elektronikus levélcímeket. Azonban az Ügyfél a Hatóság kifejezett felhívása ellenére sem csatolt be az olyan dokumentumot, mely alátámasztaná ezt a nyilatkozatát, tehát azt, hogy az Érintetteket a GDPR 12. cikkének megfelelően tájékoztatta az érintetti kérelmük teljesítéséről. A Hatósághoz küldött nyilatkozatában csak arra hivatkozott az Ügyfél, hogy az Érintett 1-gyel „beszélt”, ez azonban nem felel meg a GDPR 12. cikk (1) bekezdése és a GDPR 5. cikk (2) bekezdése rendelkezéseinek sem, az Érintett 2-t pedig nem is említette. A GDPR 17. cikk (1) bekezdés b), c), d) pontok alapján az Ügyfél köteles az érintettek e-mail címeit törölni az érintettek kérése alapján, mivel abban az esetben is törölni kell, ha visszavonják hozzájárulásukat, vagy jogos érdekre hivatkozással kezelt e-mail cím esetében tiltakozik ellene és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, továbbá akkor is a személyes adatokat jogellenesen kezelték. A jelen esetben a Hatóság megállapította, hogy az Ügyfél jogellenesen, jogalap nélkül kezelte az érintettek e-mail címeit, ezért a GDPR 17. cikk d) pont alapján törlési kötelezettség áll fenn. Tekintettel arra, hogy az Érintettek jelezték, hogy nem szeretnének a továbbiakban hírleveleket kapni, ezért ez alapján automatikusan végre kellett volna az Ügyfélnek a törlést.

2GDPR 4. cikk 7. „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;

A fentiek miatt a Hatóság megállapította, hogy az Ügyfél megsértette a GDPR 12. cikk (1) – (4) bekezdését, mivel nem teljesítette az Érintettek törlési kérelmét. Az Ügyfél csak az adatvédelmi hatósági eljárás megindulása után törölte a marketing célból kezelt személyes adatokat, tehát a jelen esetben automatikus törlési kötelezettséget jelentő érintetti kérelmek benyújtását követően is hosszú időn keresztül kezelte (tárolta és felhasználta) a személyes adatokat. Továbbá nem igazolta azt, hogy a törlés megtörténte után erről értesítette az írásban az Érintetteket, csupán nyilatkozatot küldött erről.

IV.3.4.2. Hozzáférési kérelem

Érintett 2 által kezdeményezett vizsgálati eljárás iratai szerint Érintett 2 hozzáférési kérelmet is benyújtott az Ügyfélhez 2019.03.20. napján. Az érintetti joga alapján benyújtott kérelemre Érintett 2 nem kapott választ az Ügyféltől.

Az érintettek a GDPR 15. cikk (1) alapján jogosultak tájékoztatást kérni a személyes adataik kezeléseinek körülményeiről, így a 15. cikk (1) bekezdés g) pont alapján a személyes adataik forrásáról is.

Az Ügyfél a Hatóság kifejezett felhívása ellenére sem nyilatkozott az Érintett 2 által benyújtott hozzáférési kérelmének teljesítésnek elmaradásáról, annak okáról, továbbá azt sem támasztotta alá az Ügyfél, hogy ezt a kérelmet teljesítette, annak ellenére, hogy a GDPR 5. cikk (2) bekezdés szerinti elszámoltathatóság elve alapján erre köteles lenne.

Az érintetti kérelmekre, így a GDPR szerinti hozzáférési kérelmekre is az adatkezelő a GDPR 12. cikk (1)-(3) bekezdései alapján főszabály szerint egy hónapon belül köteles átlátható és érthető tájékoztatást nyújtani, illetve teljesíteni azokat, vagy a teljesítésük elmaradása esetén a teljesítés elmaradásának okáról tájékoztatást nyújtani.

Tekintettel arra, hogy az Ügyfél nem igazolta azt, hogy az Érintett 2 hozzáférési kérelmét teljesítette, ezért a Hatóság megállapította, hogy ezzel összefüggésben is megsértette a GDPR 12. cikk (1) – (4) bekezdése rendelkezését.

IV.3.5. Az Ügyfél észrevétele szerint a jelen eljárás megindításának nem lett volna helye, illetve azt meg kell volna szüntetni miután törölte az Érintettek személyes adatait.

Tekintettel arra, hogy az Ügyfél a Hatóság NAIH/2020/1247. és NAIH/2020/147. számú vizsgálati eljárásaiban küldött felhívásaira nem válaszolt, és emiatt az is feltételezhető volt, hogy az adatkezelése továbbra is sértheti az Érintettek általános adatvédelmi rendeletben meghatározott jogait, továbbá a bejelentésekben foglaltak az általános adatvédelmi rendelet megsértését valószínűsíttették, a Hatóság az Infotv. 55. § (1) bekezdés ab) pont alapján a NAIH/2020/1247. és a NAIH/2020/147. számú vizsgálati eljárásait lezárta, és az Infotv. 60. § (1) bekezdése alapján hivatalból adatvédelmi hatósági eljárást indított az Ügyféllel szemben a közvetlen üzletszerzési célú általános adatkezelési gyakorlatának és érintetti kérelmek teljesítésének vizsgálatát érintően. A fentiekről a Hatóság az Ügyfelet a NAIH-6936-1/2021. számú végzésében is tájékoztatta, tehát ott is kiemelte, hogy az adatvédelmi hatósági eljárás megndítására az Infotv. 55. § (1) bekezdés ab) pontja és az Infotv. 60. § (1) bekezdése alapján került sor. A hivatalból indított adatvédelmi hatósági eljárás előzménye tehát a bejelentések alapján indult vizsgálat eljárás volt, mely az Ügyfél együttműködésének hiánya miatt eredménytelenül zárult. Sem az Ákr., sem az Infotv. nem tartalmaz olyan rendelkezést, hogy az eljárást az Ügyfél által hivatkozott ok miatt meg kell szüntetni.

IV.4. Jogkövetkezmények

A Hatóság a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja az Ügyfelet, mert megsértette:

a GDPR 6. cikk (1) bekezdését, a GDPR 5. cikk (2) bekezdését, a GDPR 7. cikk (1) bekezdését, a GDPR 12. cikk (1) – (4) bekezdését és a GDPR 15. cikk (1) bekezdését, továbbá 17. cikk (1) bekezdését. A Hatóság mindenekelőtt figyelembe vette, hogy az Ügyfél által elkövetett jogsértések a GDPR 83. cikk (5) bekezdés a) és b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek.

A Hatóság a bírság kiszabása során az alábbi súlyosító tényezőket vette figyelembe:

- A tájékoztatás hiányával összefüggő jogsértés, továbbá az ehhez kapcsolódó jogalap nélküli adatkezelés az Ügyfél adatkezelési gyakorlatával függ össze, és régóta fennáll, mivel az Ügyfél Érintettek felé fennálló jogsértése 2019-ben küldött érintetti kérelmek óta állt fenn, és az Ügyfél honlapján található információk, továbbá az Ügyfél nyilatkozata alapján az állapítható meg, hogy közben nem változtatott gyakorlatán, és az Ügyfél nyilatkozata szerint kb. 600 levelet küldött a vizsgált időszakban a szállóvendégeinek. (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont). - Az Ügyfél nem tanúsított együttműködő magatartást az adatvédelmi hatósági eljárás során sem, mert a Hatóság kifejezett felhívása ellenére nem nyilatkozott minden - a tényállás tisztázása szempontjából – fontos körülményről, mellyel a tényállás tisztázást megnehezítette, ezért több felhívást kellett küldeni a részére.(általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont)

A Hatóság a bírság kiszabása során az alábbi enyhítő tényezőket vette figyelembe:

- Az Ügyfél elmarasztalására az általános adatvédelmi rendelet megsértése miatt még nem került sor. (általános adatvédelmi rendelet 83. cikk (2) bekezdés e) és i) pont) - A Hatóság a bírság kiszabása során jele enyhítő körülményként vette figyelembe, hogy a Hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százötven napos ügyintézési határidőt. (GDPR 83. cikk (2) bekezdés k) pont) A jogsértés jellege alapján – adatkezelés elveinek a megsértése – a kiszabható bírság felső határa az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pont alapján 20 000 000 EUR, illetve az előző pénzügyi év teljes világpiaci forgalmának legfeljebb 4%-a. (általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pont) Az Ügyfél 2021. évi eredménykimutatása alapján az adózás előtti eredménye 5 942 000 Ft volt. A Hatóság a kiszabott bírságösszeg meghatározásakor a speciális perevenciós cél mellett figyelemmel volt a bírsággal elérni kívánt generálpreventív célra is, mellyel – az Ügyfél újabb jogsértéstől való visszatartása mellett - valamennyi piaci szereplő adatkezelési gyakorlatának a jogszerűség irányába való mozdulását kívánja elérni. Ugyanis a jogalap megfelelő megjelölése és igazolása, továbbá az érintetti jogok érvényesülése alapvető követelmény, melyet az adatkezelőknek minden esetben megfelelően igazolniuk kell, továbbá gyakorlásukat elős kell segíteniük.

V. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az egész ország területére kiterjed.

Az Ákr. 112. §-a, és a 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal és a végzéssel szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9.§ (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának helyét és idejét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1) - (2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettsége teljesítését az Ügyfél megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. kelt: Budapest, az elektronikus aláírás szerint

Dr. Péterfalvi Attila elnök c. egyetemi tanár