Орган по защите данных Венгрии (NAIH): практика обработки данных при покупке алкогольной продукции

(…)

1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu

Ügyszám: NAIH-3932-5/2024 Tárgy: határozat

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) által az

ALDI MAGYARORSZÁG ÉLELMISZER Élelmiszer Kereskedelmi Betéti Társaság (székhely: 2051 Biatorbágy, Mészárosok útja 2., cégjegyzékszám: 13-06-058506; a továbbiakban: Kötelezett) alkoholtartalmú italok vásárlása kapcsán 2022 nyarán kialakított és azt követően a NAIH-3227-3/2023 ügyszámú döntés véglegessé válásáig terjedő időszakban megvalósított adatkezelési gyakorlatának a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendeletben (a továbbiakban: az általános adatvédelmi rendelet) foglalt előírásoknak való megfelelősége tárgyában hivatalból lefolytatott adatvédelmi hatósági eljárásban (alapügy) NAIH-3227-3/2023 ügyszámon hozott határozat (a továbbiakban: Határozat) 3. pontját megsemmisítő és a Hatóságot e körben új eljárásra kötelező 105.K.701.548/2023/11. számon 2023. november 7. napján hozott, a Hatósággal 2023. december 7. napján közölt fővárosi törvényszéki ítélet (a továbbiakban: Ítélet) alapján NAIH-3932/2024 ügyszámon hivatalból megindított, megismételt adatvédelmi hatósági eljárásában a Hatóság az alábbi döntéseket hozza:

1. A Határozat 1. pontjában megállapított és a Fővárosi Törvényszék által is fenntartott jogsértések alapján, figyelemmel az Ítéletben foglaltakra; a Hatóság Kötelezettet hivatalból kötelezi a jelen határozat véglegessé válásától számított 30 napon belül

80.000.000 Ft, azaz nyolcvanmillió forint adatvédelmi bírság megfizetésére.

2. A Hatóság az információs önrendelkezési jogról és az információszabadságról szóló

2011. évi CXII. törvény (a továbbiakban: Infotv.) 61. § (2) bekezdés a) pontja alapján hivatalból elrendeli a végleges határozatának a Kötelezett azonosító adatainak közzétételével történő nyilvánosságra hozatalát a) a Hatóság honlapján, továbbá b) a Kötelezett honlapjának nyitóoldalán, jól látható és könnyen hozzáférhető helyen, a határozat véglegessé válásától számított 30 napon belül, és ott legyen elérhető legalább 30 napon keresztül. A 2. pont b) alpontjában előírt kötelezettség teljesítését a Kötelezettnek jelen határozat véglegessé válásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A 2. pont b) alpontjában előírt kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását. Az eljárásban eljárási költség nem merült fel. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani elektronikusan1, amely

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki.

Dr. Péterfalvi Attila András azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I.

Előzmények, alapügy

(1) A Hatósághoz több bejelentés is érkezett Kötelezett alkoholtartalmú italok vásárlása kapcsán kialakított új adatkezelési gyakorlatára vonatkozóan. A beadványokban jelentősen eltérő adatkezelési gyakorlatot panaszoltak az egyes üzletekben. A bejelentők állítása szerint kérésre sem adtak át adatkezelési tájékoztatót az érintetteknek, illetve azzal a pénztárosok sem rendelkeztek, így a születési dátum rögzítése kapcsán az adatkezelés jogalapja, időtartama nem volt ismert. Bejelentők tájékoztatása alapján a Kötelezett több településen található boltjában is alkoholtartalmú italok vásárlása esetén – a pénztárnál bemondás alapján, más panasz szerint személyazonosító igazolvány átadására kötelezés útján – rögzítette a vásárló születési idejét. Egy másik panasz szerint nem tudott a pénztáros az adatrögzítés célja és jogalapja kapcsán tájékoztatást adni, a területi vezető pedig azt jelezte az üzletvezetőnek, hogy a személyazonosító igazolvány adatainak rögzítése nem szükséges abban az esetben, ha más módon is megállapítható a vásárló nagykorúsága, ennek tényéről nem tájékoztatták a vásárlókat. Egy bejelentő azt panaszolta, hogy ő maga láthatóan elmúlt 70 éves, azonban mégis igazolnia kellett az életkorát. (2) A fentiek alapján a Hatóság 2022. augusztus 19. napján hivatalból adatvédelmi hatósági eljárást indított annak ellenőrzése érdekében, hogy a Kötelezett által az alkoholtartalmú italok vásárlásával összefüggően kialakított adatkezelési gyakorlata megfelel-e az általános adatvédelmi rendeletben foglalt követelményeknek. (3) Az eljárás során a Hatóság több alkalommal is nyilatkozattételre hívta fel a Kötelezettet a tényállás tisztázása érdekében; valamint az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szerinti, előzetes értesítés nélküli helyszíni szemléket folytatott le a Kötelezett véletlenszerűen kiválasztott két üzletében. (4) A hivatalból megindított adatvédelmi hatósági eljárásban hozott, 2023. március 30.

napján kelt Határozat 1. pontjában a Hatóság megállapította, hogy a Kötelezett megsértette

a) az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontját; b) az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontját; c) az általános adatvédelmi rendelet 6. cikk (1) bekezdését; d) az általános adatvédelmi rendelet 12. cikk (1) bekezdését; e) az általános adatvédelmi rendelet 13. cikk (1) és (2) bekezdéseit; f) az általános adatvédelmi rendelet 32. cikk (1) és (4) bekezdéseit. (5) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontjában foglalt átláthatóság elvének sérelme következett be azáltal, hogy Kötelezett üzleteiben (azaz az adatkezelés helyszínén) az alkoholtartalmú italt vásárolni szándékozó érintettek számára nem volt átlátható az ahhoz kapcsolódó, a Kötelezett által kialakított adatkezelés; annak lényeges körülményeit nem volt az érintetteknek lehetősége megismerni, mert nem volt kihelyezve https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata megfelelő, a tényleges adatkezeléssel kapcsolatos lényeges információkat tartalmazó adatkezelési tájékoztató; továbbá az érintettek és a Hatóság képviselőinek kérésére a Kötelezett munkavállalói még szóban sem tudtak tájékoztatást adni a kapcsolódó adatkezelési tájékoztató internetes elérhetőségéről vagy az adatkezelés lényeges körülményeiről [lásd: a Határozat indokolásának (129) bekezdése]. (6) Az átláthatóság elvének sérelmét jelentette az is, hogy a Kötelezett üzleteiben, valamint az egyes üzleteken belül a kasszáknál is jelentősen eltérő volt az alkoholtartalmú italt vásárolni szándékozó személyek életkorának ellenőrzésével kapcsolatos tényleges adatkezelési gyakorlat, ennek megfelelően az érintettek számára nem volt átlátható az őket érintő adatkezelés [lásd: a Határozat indokolásának (134) bekezdése]. (7) Kötelezett az Ákr. 76. § szerinti értesítésről szóló végzés [NAIH-6989-16/2022 ügyszámú végzés] időpontjáig megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átláthatóság elvét a naplózással megvalósuló adatkezelése kapcsán is azáltal, hogy nem biztosította az adatkezelés átláthatóságát az érintettek számára, mivel 2022. augusztus 4. és 11. közötti időszakban nem nyújtott tájékoztatást az érintettek részére az adatkezelés vonatkozásában; a 2022. augusztus 12. és 31. közötti időszakban a valósággal ellentétes tartalmú tájékoztatást nyújtott az érintetteknek a Weboldalán (https://www.aldi.hu/hu/homepage.html) és az Ákr. 68-69. § szerinti szemlék során üzleteiben is arról a tényről, hogy a kassza minden billentyűjének a leütése (és ezáltal alkoholtartalmú ital vásárlása esetén a vásárlók születési dátuma is) naplózásra került, valamint, hogy ezek a naplófájlok a rögzítést követő 180 napig megőrzésre is kerültek, továbbá azokhoz a Kötelezett által igénybevett adatfeldolgozó is hozzáfér; végezetül, hogy 2022. szeptember 1. napjától az Ákr. 76. § szerinti értesítésről szóló végzés időpontjáig nem módosította Kötelezett a vonatkozó adatkezelési tájékoztatóját, ezáltal továbbra sem tájékoztatta az érintetteket a fent kifejtettekről [lásd: a Határozat indokolásának (141) bekezdése].

pontjában arra kötelezte a Kötelezettet, hogy a) az alkoholtartalmú italok vásárlása esetén az életkor ellenőrzésére irányuló adatkezelési gyakorlatát hozza összhangba az általános adatvédelmi rendelet rendelkezéseivel, valamint az Fgytv. 16/A. § (1) és (4) bekezdéseivel akként, hogy kizárólag kétség esetén ellenőrizze a vásárlók életkorát és annak során adatrögzítést ne végezzen naplófájl szinten sem, valamint módosítsa a vonatkozó adatkezelési tájékoztatóját; b) helyezze ki minden egyes üzletében az ott megvalósuló adatkezelési tevékenységeire vonatkozó, az általános adatvédelmi rendelet 13. cikke szerinti tartalommal összeállított hatályos adatkezelési tájékoztatóját az érintettek számára jól látható helyen, könnyen hozzáférhető formában.

(16) A Hatóság a Határozat 1. pontjában megállapított jogsértések alapján, az adatkezelés jogellenessége miatt a Határozat 3. pontjában a Kötelezettet hivatalból kötelezte a

Határozat véglegessé válásától számított 30 napon belül 95.000.000 Ft, azaz kilencvenötmillió forint adatvédelmi bírság megfizetésére. (17) A Hatóság a Határozat 4. pontjában az Infotv. 61. § (2) bekezdés a) pontja alapján hivatalból elrendelte a végleges Határozatának a Kötelezett azonosító adatainak közzétételével történő nyilvánosságra hozatalát a Hatóság honlapján, továbbá a Kötelezett honlapjának nyitóoldalán, jól látható és könnyen hozzáférhető helyen, a Határozat véglegessé válásától számított 30 napon belül, és ott legyen elérhető legalább 30 napon keresztül.

(18) 2023. április 26. napján a Kötelezett befizette a Hatóság számára a Határozat 3.

pontjában kiszabott 95.000.000 Ft adatvédelmi bírságot [lásd: NAIH-3227-4/2023 ügyszámú irat]. (19) Kötelezett a Hatósághoz 2023. április 28. napján érkezett nyilatkozatában (NAIH-3227ügyszámú nyilatkozat) előadta, hogy a gyakorlatát módosította, a „kasszaszoftverből 2023. április 14. napjával törlésre került az életkor beadását kérő szoftver elem”. Kötelezett a nyilatkozatában tájékoztatta továbbá arról is a Hatóságot, hogy módosításra és közzétételre került az üzletekben végzett adatkezelési tevékenységekről szóló adatkezelési tájékoztató is. (20) A Fővárosi Törvényszéknek címzett keresetében a Kötelezett (mint felperes) a Határozat

1., 3. és 4. pontjainak a megsemmisítését kérte. (21) Ítéletében (NAIH-3932-1/2024 ügyszámú irat) a Fővárosi Törvényszék a Határozat 3.

pontját megsemmisítette, és a Hatóságot (mint alperest) e körben új eljárásra kötelezte. Ezt meghaladóan a Fővárosi Törvényszék a keresetet elutasította. (22) Az Ítélet Indokolásának [41] bekezdése szerint „[…] a bíróság megállapította, hogy az alperes határozata a születési dátum naplófájlban történő megőrzése kapcsán a rendelkező részének 1. pontjában megállapított jogsértések jogalapja, valamint a felperes terhére 95.000.000 forint bírságot kiszabó rendelkezése (3. pont) tekintetében jogszabálysértő. A 3. pont vonatkozásában a határozatot a Kp. 89. § (1) bekezdés b) pontjának alkalmazásával megsemmisítette és az alperest e körben új eljárásra kötelezte. A betekintéssel és bevitellel megvalósított adatkezelés vonatkozásában a felperes a határozat rendelkező részének 1. pont a) és c)-f) alpontjait nem vitatta, így ebben a részben a bíróság a határozatot nem érintette, továbbá a bíróság az 1. pont b) alpontja szerint megállapított jogsértés jogalapja, valamint a határozat nyilvánosságra hozatalát elrendelő 4. pontja tekintetében a keresetet a Kp. 88. § (1) bekezdés a) pontja alapján elutasította. Mindezekre figyelemmel a határozat 1.

pontjának megsemmisítése azért nem volt indokolt, mert abban az alperes a felperes adatkezelését egységként értékelve állapított meg jogsértést, és a betekintéssel és bevitellel megvalósított adatkezelés vonatkozásában az 1. pontban foglalt rendelkezések megsértése attól függetlenül fennáll, hogy a megőrzés tekintetében ugyanezek a megállapítások nem voltak jogszerűek.”.

Megismételt adatvédelmi hatósági eljárás

(25) Az Ítélet alapján 2023. december 7. napján megismételt adatvédelmi hatósági eljárás indult.

(26) Az Ítélettel szemben sem a Hatóság, sem a Kötelezett nem terjesztett elő felülvizsgálati kérelmet (lásd: NAIH-3932-2/2024 ügyszámú irat). (27) Az Ákr. 62. § (3) bekezdése alapján a hatóság által hivatalosan ismert és a köztudomású tényeket nem kell bizonyítani. Erre tekintettel a NAIH-3227/2023 ügyszámon, valamint a NAIH-6989/2022 előzmény ügyszámon keletkezett iratanyag a Hatóság által hivatalosan ismert ténynek minősül. (28) A Hatóság a NAIH-3932-3/2024 ügyszámú, Cégkapun keresztül küldött végzésében értesítette a Kötelezett a megismételt adatvédelmi hatósági eljárásról; valamint tájékoztatta a Kötelezettet arról, hogy az Ítélet által meghatározott körben, a megismételt adatvédelmi hatósági eljárás tárgyában nyilatkozatot tehet. A Hatóság végzését a Kötelezett 2024. március 5. napján töltötte le. (29) Kötelezett nyilatkozata a NAIH-3932-3/2024 ügyszámú végzésre 2024. március 11.

napján érkezett meg e-Papíron a Hatósághoz (NAIH-3932-4/2024 ügyszámú nyilatkozat). Nyilatkozatában a Kötelezett előadta, hogy a NAIH-3932-3/2024 ügyszámú végzésben foglaltakkal egyezően a Kötelezett sem terjesztett elő felülvizsgálati kérelmet az Ítélettel szemben, „a maga részéről az ügy mielőbbi végleges lezárhatóságát is szem előtt tartva”. A nyilatkozatban foglaltak alapján Kötelezett „az alapügy közigazgatási és bírósági szakaszában előterjesztett azon nyilatkozatait, amelyeket a Fővárosi Törvényszék az Ítélet meghozatalához figyelembe vett, továbbra is változatlanul fenntartja”. (30) NAIH-3932-4/2024 ügyszámú nyilatkozatában a Kötelezett kérte, hogy a jelen megismételt adatvédelmi hatósági eljárásban meghozatalra kerülő határozatot a Hatóság az Ítélet Indokolásában foglaltaknak megfelelően alakítsa ki (lásd: az Ítélet Indokolásának [41] és [42] bekezdései). Kérte továbbá a Kötelezett azt is, hogy a Hatóság „a bírság összegének meghatározásánál szíveskedjen figyelembe venni, hogy mivel az Ítélet szerint a születési dátum naplófájlban történő megőrzése nem minősül adatkezelésnek, a jogellenes magatartás időtartama is töredéke az eredetileg megállapítottnak”. Kötelezett kérte továbbá, hogy a Hatóság a határozat indokolásából mellőzze a Kötelezett éves tranzakciószámának „pontos összegszerű megjelölését”. (31) A jelen megismételt adatvédelmi hatósági eljárás során a Hatóság az Ítéletben meghatározottakon túl új bizonyítási eljárást nem folytatott le, valamint új bizonyítékok sem kerültek felhasználásra.

III. Alkalmazott jogforrások

(32) Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre az általános adatvédelmi rendeletet kell alkalmazni. (33) Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján személyes adat azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. (34) Az általános adatvédelmi rendelet 4. cikk 2. pontja alapján adatkezelés a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés. (35) Az általános adatvédelmi rendelet 4. cikk 7. pontja szerint adatkezelő az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja. (36) Az általános adatvédelmi rendelet 31. cikke értelmében az adatkezelő és az adatfeldolgozó, valamint - ha van ilyen - az adatkezelő vagy az adatfeldolgozó képviselője feladatai végrehajtása során a felügyeleti hatósággal - annak megkeresése alapján - együttműködik. (37) Az általános adatvédelmi rendelet 58. cikk (1) – (2) bekezdései értelmében: „(1) A felügyeleti hatóság vizsgálati hatáskörében eljárva:

a) utasítja az adatkezelőt és az adatfeldolgozót, illetve adott esetben az adatkezelő vagy az adatfeldolgozó képviselőjét, hogy számára a feladatai elvégzéséhez szükséges tájékoztatást megadja; b) vizsgálatot folytat adatvédelmi auditok formájában; c) elvégzi a 42. cikk (7) bekezdésének megfelelően kiadott tanúsítványok felülvizsgálatát; d) értesíti az adatkezelőt vagy az adatfeldolgozót e rendelet feltételezett megsértéséről; e) hozzáférést kap az adatkezelőtől vagy az adatfeldolgozótól a feladatainak teljesítéséhez szükséges minden személyes adathoz és minden információhoz; és f) az uniós vagy tagállami eljárásjoggal összhangban hozzáférést kap az adatkezelő vagy az adatfeldolgozó bármely helyiségéhez, ideértve minden adatkezeléshez használt felszerelést és eszközt.

(2) A felügyeleti hatóság korrekciós hatáskörében eljárva:

a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel; e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.” (38) Az általános adatvédelmi rendelet 83. cikk (1) – (5) bekezdései értelmében: „(1) Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. (2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;

i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban - ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. (3) Ha egy adatkezelő vagy adatfeldolgozó egyazon adatkezelési művelet vagy egymáshoz kapcsolódó adatkezelési műveletek tekintetében - szándékosan vagy gondatlanságból - e rendelet több rendelkezését is megsérti, a bírság teljes összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget. (4) Az alábbi rendelkezések megsértése - a (2) bekezdéssel összhangban - legfeljebb 10 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 2%-át kitevő összeggel sújtható; a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelő és az adatfeldolgozó tekintetében a 8., a 11., a 25-39., a 42. és a 43.

cikkben meghatározott kötelezettségek; b) a tanúsító szervezet tekintetében a 42. és 43. cikkben meghatározott kötelezettségek; c) az ellenőrző szervezet tekintetében a 41. cikk (4) bekezdésében meghatározott kötelezettségek; (5) Az alábbi rendelkezések megsértését - a (2) bekezdéssel összhangban - legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelés elvei - ideértve a hozzájárulás feltételeit - az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12-22. cikknek megfelelően; c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44-49. cikknek megfelelően; d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása.” (39) Az Infotv. 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az általános adatvédelmi rendelet 2. cikk (1) bekezdésének hatálya alá nem tartozó adatkezelések vonatkozásában az Infotv. 2. § (4) bekezdésére tekintettel: „Személyes adatoknak a (2) és (3) bekezdés hatálya alá nem tartozó kezelésére a) az általános adatvédelmi rendelet 4. cikkében, II–VI., és VIII–IX. fejezetében, valamint b) az e törvény III–V. és VI/A. Fejezetében, továbbá a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23–24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)–(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52–54. §-ban, az 55. § (1) és (2) bekezdésében, az 56–60. §-ban, a 60/A. § (1)–(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b)

pontjában és (6)–(10) bekezdésében, továbbá a 61/A–61/D. §-ban,, a 62–71. §-ban, a 72. §-ban, a 75. § (1)–(5) bekezdésében és a 75/A. §-ban és az 1. mellékletben meghatározott rendelkezéseket kell alkalmazni.” (40) Az Infotv. 38. § (2) – (2a) bekezdései alapján: „(2) A Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. (2a) Az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja.” (41) Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az Ákr. szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel. (42) Az Infotv. 60/A. § (1) bekezdése alapján az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap, amely határidőbe nem számít bele a tényállás tisztázásához szükséges adatok közlésére irányuló felhívástól az annak teljesítéséig terjedő idő. Az Ákr. 103. § (3) bekezdése értelmében a hivatalbóli eljárásokban az ügyintézési határidőbe csak az eljárás felfüggesztésének időtartama nem számít be. Az eljárási határidők alkalmazására egyebekben az Ákr. 52. §-át kell alkalmazni. (43) Az Infotv. 61. § (1) bekezdése alapján: „(1) Az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság a) a 2. § (2) és (4) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja, így különösen kérelemre vagy hivatalból elrendelheti a jogellenesen kezelt személyes adatok általa meghatározott módon végrehajtandó törlését, illetve átmenetileg vagy véglegesen egyéb módon korlátozhatja az adatkezelést, b) a 2. § (3) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben ba) megállapíthatja a személyes adatok jogellenes kezelésének tényét, bb) elrendelheti a valóságnak nem megfelelő személyes adat helyesbítését, bc) elrendelheti a jogellenesen kezelt személyes adatok zárolását, törlését vagy megsemmisítését, bd) megtilthatja a személyes adatok jogellenes kezelését, be) megtilthatja a személyes adatok külföldre történő továbbítását vagy átadását, bf) elrendelheti az érintett tájékoztatását, ha azt az adatkezelő jogellenesen mellőzte vagy tagadta meg, valamint bg) bírságot szabhat ki, c) az általános adatvédelmi rendelet 41. cikk (1) bekezdésében meghatározott ellenőrzési tevékenységet végző szervezettel szemben az általános adatvédelmi rendelet 41. cikk (5) bekezdésében meghatározott jogkövetkezményeket alkalmazhatja.”

(44) Az Infotv. 61. § (2) bekezdése szerint: „(2) A Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő – nyilvánosságra hozatalát, ha a) a határozat személyek széles körét érinti, b) azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy c) a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja.” (45) Az Infotv. 61. § (3) bekezdése alapján a Hatóság eljárásában figyelmeztetés alkalmazása kizárt, ha a Hatóság a mérlegelésére vonatkozó előírások alapján bírság kiszabásának szükségességét állapítja meg. (46) Az Infotv. 61. § (7) bekezdése értelmében a Hatóság döntésének végrehajtását a döntésben foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a Hatóság foganatosítja. A Hatóság végleges, illetve közigazgatási per esetén a közigazgatási bíróság által jogerősen elbírált döntésében megállapított jogellenes adatkezeléssel érintett adatok – a bíróság, ügyészség vagy a más hatóság eltérő rendelkezése hiányában – nem törölhetők és nem semmisíthetők meg az ezen adatokat érintő büntetőeljárás vagy más hatósági, illetve bírósági eljárás esetén a büntetőeljárás kezdő időpontjától a büntetőeljárásnak a bíróság jogerős ügydöntő határozatával vagy véglegessé vált nem ügydöntő végzésével történő befejezéséig, vagy az ügyészség vagy a nyomozó hatóság további jogorvoslattal nem támadható eljárást megszüntető határozata meghozataláig, továbbá más hatósági, illetve bírósági eljárás esetén ennek kezdő időpontjától a végleges, illetve jogerős befejezéséig. (47) Az Infotv. 71. § (1) bekezdése alapján a Hatóság eljárása során – az annak lefolytatásához szükséges mértékben és ideig – kezelheti mindazon személyes adatokat, valamint törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatokat, amelyek az eljárással összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. (48) Az Infotv. 71. § (2) bekezdése szerint a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja. (49) Az Ákr. 5. § (1) bekezdése alapján az ügyfél az eljárás során bármikor nyilatkozatot, észrevételt tehet. (50) Az Ákr. 6. §-a alapján az eljárás valamennyi résztvevője köteles jóhiszeműen eljárni és a többi résztvevővel együttműködni. Senkinek a magatartása nem irányulhat a hatóság megtévesztésére vagy a döntéshozatal, illetve a végrehajtás indokolatlan késleltetésére. Az ügyfél és az eljárás egyéb résztvevője jóhiszeműségét az eljárásban vélelmezni kell. A rosszhiszeműség bizonyítása a hatóságot terheli. (51) Az Ákr. 13. § (1) – (2) bekezdései alapján, ha törvény nem írja elő az ügyfél személyes eljárását, helyette törvényes képviselője, vagy az általa, illetve törvényes képviselője által meghatalmazott személy, továbbá az ügyfél és képviselője együtt is eljárhat. Jogi személy törvényes képviselőjének eljárása személyes eljárásnak minősül. (52) Az Ákr. 14. §-a alapján a meghatalmazott a képviseleti jogosultságát – ha azt a rendelkezési nyilvántartás nem tartalmazza – köteles igazolni. A meghatalmazást közokiratba vagy teljes bizonyító erejű magánokiratba kell foglalni vagy jegyzőkönyvbe kell mondani. Ha a meghatalmazásból más nem tűnik ki, az kiterjed az eljárással kapcsolatos valamennyi nyilatkozatra és cselekményre. Ha a képviseleti jogosultság visszavonás, felmondás vagy az ügyfél, illetve a meghatalmazott halála miatt megszűnik, a megszűnés a hatósággal szemben a hatóságnak való bejelentéstől, a többi ügyféllel szemben a velük való közléstől hatályos. (53) Az Ákr. 27.-a alapján a hatóság az ügyfél és az eljárás egyéb résztvevője azonosításához szükséges természetes személyazonosító adatokat és az ügyfajtát szabályozó törvényben meghatározott személyes adatokat, továbbá – ha törvény másként nem rendelkezik – az eljárás eredményes lefolytatásához elengedhetetlenül szükséges más személyes adatokat kezeli. A hatóság gondoskodik arról, hogy a törvény által védett titok és törvény által védett egyéb adat (a továbbiakban együtt: védett adat) ne kerüljön nyilvánosságra, ne juthasson illetéktelen személy tudomására, és e védett adatok törvényben meghatározott védelme a hatóság eljárásában is biztosított legyen. A hatóság az eljárása során annak lefolytatásához – jogszabályban meghatározott módon és körben – kezeli azokat a védett adatokat, amelyek eljárásával összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. (54) Az Ákr. 33. § (1) bekezdése alapján az ügyfél az eljárás bármely szakaszában és annak befejezését követően is betekinthet az eljárás során keletkezett iratba. (55) Az Ákr. 33. § (4) bekezdése alapján az iratbetekintés során az arra jogosult másolatot, kivonatot készíthet vagy – kormányrendeletben meghatározott költségtérítés ellenében – másolatot kérhet, amelyet a hatóság kérelemre hitelesít. (56) Az Ákr. 34. §-a értelmében nem lehet betekinteni a döntés tervezetébe. Nem ismerhető meg az olyan irat vagy az irat olyan része, amelyből következtetés vonható le valamely védett adatra vagy olyan személyes adatra, amely megismerésének törvényben meghatározott feltételei nem állnak fenn, kivéve, ha az adat – ide nem értve a minősített adatot – megismerésének hiánya megakadályozná az iratbetekintésre jogosultat az e törvényben biztosított jogai gyakorlásában. A hatóság a kérelem alapján az iratbetekintést biztosítja – az eljárás befejezését követően is –, vagy azt végzésben elutasítja. (57) Az Ákr. 62. § (3) bekezdése szerint a hatóság által hivatalosan ismert és a köztudomású tényeket nem kell bizonyítani. (58) Az Ákr. 77. § (1) – (2) bekezdéseiben foglaltak alapján azt, aki a kötelezettségét önhibájából megszegi, a hatóság az okozott többletköltségek megtérítésére kötelezi, illetve eljárási bírsággal sújthatja. Az eljárási bírság legkisebb összege esetenként tízezer forint, legmagasabb összege - ha törvény másként nem rendelkezik természetes személy esetén ötszázezer forint, jogi személy vagy egyéb szervezet esetén egymillió forint. (59) Az Ákr. 103. § (1) bekezdése alapján a hivatalbóli eljárásokban az Ákr.-nek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az Ákr. VII. fejezetben foglalt eltérésekkel kell alkalmazni. (60) Az Ákr. 104. § (1) bekezdés b) pontja alapján a hatóság az illetékességi területén hivatalból megindítja az eljárást, ha erre bíróság kötelezte. (61) Az Fgytv. 16/A. § (1) bekezdése alapján tilos tizennyolcadik életévét be nem töltött személy részére – a kizárólag orvosi rendelvényre kiadható gyógyszer kivételével alkoholtartalmú italt értékesíteni, illetve kiszolgálni.

(62) Az Fgytv. 16/A. § (4) bekezdése szerint az (1)–(3) bekezdésben meghatározott korlátozás érvényesítése érdekében a vállalkozás vagy annak képviselője kétség esetén felhívja a fogyasztót életkorának hitelt érdemlő igazolására. Az életkor megfelelő igazolásának hiányában a termék értékesítését, illetve kiszolgálását meg kell tagadni.

IV. Ítélet

(63) Ítéletében a Fővárosi Törvényszék a Határozat 3. pontját a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) 89. § (1) bekezdés b)

pontja alapján megsemmisítette és a Hatóságot e körben új eljárásra kötelezte. Ezt meghaladóan a Fővárosi Törvényszék a keresetet elutasította. (64) A Fővárosi Törvényszék az Ítélet Indokolásának [27] bekezdésében kifejtette, hogy a „bíróság megállapította, hogy a vásárlást követően, az adott kasszában a bevitel következtében billentyűleütésként „NNHHÉÉÉÉ” formátumú számsor formájában rögzített és megőrzött születési dátum nem minősült személyes adatnak, mert az érintett azonosítását már nem tette lehetővé. A születési dátum ebben a formában valamennyi billentyűleütéssel együtt bármilyen egyéb, az érintettel összefüggésbe hozható adat nélkül, kizárólag hibaelhárítás és nem az érintett azonosítása céljából került megőrzésre. A születési dátum billentyűleütéssel rögzített számsora a megőrzés során nem a vásárló, mint természetes személy, hanem a vásárlás azonosítását tette lehetővé […] Mindebből következően a születési dátum naplófájlban 180 napig történő megőrzése nem valósított meg adatkezelést”. (65) Az Ítélet Indokolásnak [42] bekezdése értelmében a jelen megismételt adatvédelmi hatósági eljárásban a Hatóságnak arra figyelemmel kell a határozatát meghoznia, hogy a Kötelezett „a születési dátum naplófájlban történő megőrzése körében nem követett el jogsértést”. (66) Ítéletében a Fővárosi Törvényszék hangsúlyozta továbbá azt is (lásd: az Ítélet

Indokolásának [41] bekezdése), hogy a Határozat 1. pontjának megsemmisítése azért nem volt indokolt, mert abban a Hatóság a Kötelezett adatkezelését egységként értékelve állapított meg jogsértést; és a betekintéssel és bevitellel megvalósított adatkezelés vonatkozásában a Határozat 1. pontjában foglalt rendelkezések megsértése attól függetlenül fennáll, hogy a megőrzés tekintetében ugyanezek a megállapítások a Fővárosi Törvényszék szerint „nem voltak jogszerűek”. (67) A fentiek értelmében [lásd: a jelen határozat indokolásának (63) – (66) bekezdéseit]

tehát az ügy összes körülményeire tekintettel a Fővárosi Törvényszék az Ítéletében úgy döntött, hogy – a Határozatban foglaltakkal ellentétben – „a születési dátum naplófájlban 180 napig történő megőrzésével a Kötelezett nem valósított meg adatkezelést”.

V. Jogkövetkezmények

V.1. Adatvédelmi bírság

(68) Az Ítélet Indokolásának [42] bekezdése értelmében a Hatóságnak „Ismételten döntenie kell a betekintéssel, illetve bevitellel megvalósított adatkezelés kapcsán megállapított jogsértések miatt alkalmazandó jogkövetkezményről, azzal, hogy bírság kiszabása esetén annak mértékét a jogsértés terjedelmének szűkebb körét figyelembe véve kell meghatároznia; a naplófájlban történő megőrzéssel összefüggő körülményeket a mérlegelés során ne vegyen figyelembe, és nem értékelheti súlyosító körülményként a kötelező életkor-ellenőrzéssel (betekintés, bevitel) összefüggésben megállapított jogsértés huzamosabb idejét. A bírság összege ezért mindezen körülmények figyelmen kívül hagyásával arányosan kevesebb kell, hogy legyen.”. (69) A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja és a 83. cikk (2) bekezdése szerint a többi intézkedés helyett vagy mellett adatvédelmi bírságot is kiszabhat. (70) Abban a kérdésben, hogy a jelen megismételt adatvédelmi hatósági eljárásban indokolte az adatvédelmi bírság kiszabása, a Hatóság a jogszabályon alapuló mérlegelési jogkörében eljárva döntött, figyelemmel az Infotv. 61. § (1) bekezdés a) pontjára, az Infotv. 75/A. §-ára, valamint az általános adatvédelmi rendelet 83. cikk (2) bekezdésére és az általános adatvédelmi rendelet 58. cikk (2) bekezdésére. A Hatóság mérlegelte az ügy összes körülményét, kiemelt figyelmet fordítva az Ítéletben foglaltakra és megállapította, hogy a jelen megismételt adatvédelmi hatósági eljárásban a figyelmeztetés és az elmarasztalás önmagában se nem arányos, se nem visszatartó erejű szankció lenne, ezért a bírság kiszabása szükséges tekintettel a Kötelezett piaci helyzetére, az általa bevezetett gyakorlat általános és országos jellegére és a jelentős számú érintettre. Jelen esetben a személyes adatok védelme – amely a Hatóság feladata – a lentebb részletezett bírságkiszabási körülmények összessége alapján nem érhető el adatvédelmi bírság kiszabása nélkül. A bírságkiszabás mind a speciális, mind a generális prevenciót is szolgálja, amelynek értelmében a határozat nem csak a Hatóság honlapján, hanem a Kötelezett honlapjának nyitóoldalán, jól látható és könnyen hozzáférhető helyen is közzétételre kerül. (71) A Hatóság a bírság összegének meghatározása során mindenekelőtt figyelembe vette, hogy a Fővárosi Törvényszék az Ítéletében úgy döntött, hogy „a születési dátum naplófájlban 180 napig történő megőrzése nem valósított meg adatkezelést” (lásd: az Ítélet Indokolásának [27] bekezdése); a Kötelezett „a születési dátum naplófájlban történő megőrzése körében nem követett el jogsértést” (lásd: az Ítélet Indokolásának [42] bekezdése). A Hatóság azonban nem tud eltekinteni attól, hogy a Határozatban megállapított további, alapelvi jogsértések még így is az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pontja szerinti magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek, ez alapján a kiszabható bírság maximuma 20 000 000 EUR, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeg, a kettő közül a magasabb összeget kell kiszabni. (72) A Hatóság a Határozatban kiszabott bírság (95.000.000 Ft) összegének megállapításkor a 2021. évi adatokat vette figyelembe, amelyek alapján a Kötelezett értékesítésének nettó árbevétele 2021. évben 315 282 601 000 Ft volt. A Hatóság ugyanakkor azt is figyelembe vette, hogy ehhez képest a Kötelezett adózott eredménye 8 504 878 000 Ft volt ebben az évben [lásd: a Határozat indokolásának (184) bekezdése].

(73) A jelen megismételt adatvédelmi hatósági eljárásban a bírság megállapítása során a jogsértések fennállásának időszakára tekintettel a Hatóság a Kötelezett 2021. évi üzleti évét vette figyelembe.

(74) A 2021. évi adatok alapján a Hatóság számára kötelezően figyelembe veendő

315 282 601 000 Ft összeget alapul véve a bírság jogszabályi maximuma a jelen ügyben 12 611 304 040 Ft. Ehhez képest a jelen határozatban szereplő 80.000.000

Ft adatvédelmi bírság 0,025 %-a Kötelezett értékesítése nettó árbevételének, azaz jelentősen a bírságmaximum alatti összeg.

(75) A Hatóság az adatvédelmi bírság mértékének meghatározásakor az alábbi enyhítő körülményeket vette figyelembe:

- Kötelezett bolti eladó munkakörben foglalkoztatott munkavállalói 2022. szeptember

1. napjától már ismét csak kétség esetén hívják fel a vásárlókat életkoruk hitelt érdemlő igazolására alkoholtartalmú ital vásárlása esetén; amit az Ítélet Indokolásának [39] bekezdése is tartalmaz [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]; - A jogsértés az érintettek személyes adatai kategóriáinak szűk körét érintette, a rögzítés a vásárlók születési dátumára korlátozódott [általános adatvédelmi rendelet 83. cikk (2) bekezdés g) pont]; - A Hatóság értékelte, hogy a Kötelezett által bevezetett intézkedés elsődleges célja a tizennyolcadik életévét be nem töltött személyek védelme (amit az Ítélet Indokolásának [35] bekezdése is megerősített), a fogyasztóvédelmi jogi előírásoknak történő minél teljesebb megfelelés, nem merült fel arra vonatkozó információ, hogy az más jogtalan előny megszerzésére irányult volna [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont]. (76) A Hatóság az adatvédelmi bírság mértékének meghatározásakor – figyelemmel az Ítélet

Indokolásának [42] bekezdésére is – az alábbi súlyosító körülményeket vette figyelembe:

- Kötelezett – az Ítélet Indokolásának [39] bekezdése alapján általa sem vitatottan több jogsértést követett el, többi alapelvi rendelkezést is megsértett, ezért a Hatóság a jogsértések jellegét közepesen súlyosnak ítélte meg, amelynek ekként való értékelése az Ítélet Indokolásának [39] bekezdése alapján még úgy sem okszerűtlen, hogy a Kötelezett gyakorlata a naplófájlban történő megőrzéssel „nem volt jogszerűtlen” [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]; - Az érintettek száma jelentős volt, ahogyan azt az Ítélet Indokolásának [33]

bekezdése is megerősítette [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]; - A jogsértések országos szinten fennálltak [lásd: a Határozat indokolásának (38) és (120) bekezdései], nem eseti jellegűek voltak azáltal, hogy 2022. augusztus 4. és 2022. augusztus 31. közötti időszakban a Kötelezett általános jelleggel írta elő minden egyes alkoholtartalmú italt vásárolni szándékozó személy életkorának kötelező ellenőrzését; amit az Ítélet Indokolásának [33] és [38] bekezdései is megerősítettek [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]; - Az érintettek számára az adatkezelési műveletek huzamosabb ideig átláthatatlanok voltak azáltal, hogy az adatkezelési tájékoztatók nem voltak könnyen hozzáférhetők, több szempontból is hiányos tájékoztatást nyújtottak az érintettek számára; ezt az Ítélet Indokolásának [32] bekezdése is megerősítette [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]; - Az adatkezelés eredményeként egyes 18. életévét betöltött érintetteket Kötelezett akadályozott szerződéskötési jogukban (lásd: NAIH-6989-5/2022 ügyszámú jegyzőkönyv 6. oldal; NAIH-6989-6/2022 ügyszámú jegyzőkönyv 6. oldal); amit az Ítélet Indokolásának [37] bekezdése is megerősít [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]; - A Hatóság a Kötelezettel szemben érkezett több bejelentés alapján észlelte a Kötelezett adatkezelési gyakorlata jogsértő jellegének valószínűségét, amelynek eredménye lett a NAIH-6989/2022 ügyszámon hivatalból indult eljárás; ezt az Ítélet

Indokolásának [34] bekezdése is megerősítette [általános adatvédelmi rendelet 83. cikk (2) bekezdés h) pont]. (77) Az adatvédelmi bírság mértékének meghatározásakor az alábbi körülmények – a Határozat indokolásának (187) bekezdésében foglaltakkal megegyezően – a bírság mértékét nem súlyosbítottak és nem is enyhítették, semleges hatásúak voltak:

- Kötelezett a bizonyítási eljárás befejezését követően helyezte ki a Weboldalára a

2023. január 17. napjától hatályos, a vizsgált adatkezelési műveleteket és címzetteket már teljes körűen ismertető – azonban a kötelező életkor ellenőrzés kapcsán továbbra sem egyértelműen fogalmazó – módosított adatkezelési tájékoztatóját, azonban a megvalósított jogsértés időpontja (2022. augusztus 4. - 31.) óta eltelt időtartamra tekintettel az már nem értékelhető a kár enyhítése érdekében tett intézkedésnek [általános adatvédelmi rendelet 83. cikk (2) bekezdés c) pont]; - Kötelezett a bizonyítási eljárás befejezését követően 2023. január 16. és 17. napján személyes oktatás keretében ismertette az időközben felülvizsgált adatvédelmi dokumentumokat a területi vezetőkkel, akik ezt követően azt a feladatot kapták, hogy legkésőbb 2023. január 31. napjáig cseréljék le valamennyi üzletben az adatvédelmi dokumentumokat, azonban a megvalósított jogsértés időpontja (2022. augusztus 4. - 31.) óta eltelt időtartamra tekintettel az már nem értékelhető enyhítő körülményként [általános adatvédelmi rendelet 83. cikk (2) bekezdés c) pont]; - A Kötelezett adatvédelmi jogsértésének megállapítására az általános adatvédelmi rendelet megsértése miatt már két alkalommal is sor került, azonban ezeket a jogsértéseket a Hatóság a jelen adatvédelmi hatósági eljárásban értékelt adatkezelés vonatkozásában nem tekintette relevánsnak [NAIH-987/2021 ügyszámú (előzmény ügyszám: NAIH/2020/8690) és a NAIH-1044/2021 ügyszámú (előzmény ügyszám: NAIH/2020/2255) adatvédelmi vizsgálati eljárás] [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont]; - A Kötelezett a Hatósággal az eljárás során együttműködő volt, azonban ez a bírói gyakorlat és a Hatóság gyakorlata alapján jogszabályi kötelezettsége, ennek hiánya lehetne súlyosító körülmény. Ezt az Ítélet Indokolásának [36] bekezdése is megerősítette [általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont]. (78) A Hatóság az adatvédelmi bírság mértékének meghatározásakor a Határozatban eredetileg 4 enyhítő; 6 súlyosító, valamint 4 semleges körülményt vett figyelembe [lásd: a Határozat indokolásának (185) – (187) bekezdései]. Az Ítélet Indokolásának [42] bekezdése értelmében a Hatóság a jelen megismételt adatvédelmi hatósági eljárás során már nem értékelte súlyosító körülményként a jogsértés huzamosabb idejét (ami a Határozat indokolása (186) bekezdésének 3. francia bekezdésében volt megtalálható azon további körülmények mellett, melyek szerint a jogsértések országos szinten fennálltak, nem eseti jellegűek voltak). Az Ítélet Indokolásának [42] bekezdése kimondta továbbá azt is, hogy a Hatóság „a naplófájlban történő megőrzéssel összefüggő körülményeket a mérlegelés során ne vegyen figyelembe”. Erre tekintettel azonban a jelen megismételt adatvédelmi hatósági eljárás során a Hatóság az adatvédelmi bírság mértékének meghatározásakor már nem vette figyelembe enyhítő körülményként a Határozat indokolása (185) bekezdésének 2. francia bekezdésében értékelt azon körülményt, mely alapján a Kötelezett nyilatkozata szerint a személyes adatokat tartalmazó naplófájlok kapcsán a kockázatokkal arányos védelmi intézkedéseket alkalmazott [általános adatvédelmi rendelet 83. cikk (2) bekezdés d) pont].

(79) Az Ítélet Indokolásának [30], [31] és [42] bekezdéseire is tekintettel a Hatóság a jelen megismételt adatvédelmi hatósági eljárásban történő bírság kiszabása során a bírság mértékét a jogsértés terjedelmének szűkebb körét figyelembe véve határozta meg; a naplófájlban történő megőrzéssel összefüggő körülményeket a mérlegelés során nem vette figyelembe; és nem értékelte súlyosító körülményként a kötelező életkor-ellenőrzéssel (betekintés, bevitel)

összefüggésben megállapított jogsértés huzamosabb idejét. A Hatóság azonban nem tud eltekinteni attól, hogy a Kötelezett – az Ítélet Indokolásának [39] bekezdése alapján általa sem vitatottan – több jogsértést követett el; több alapelvi rendelkezést is megsértett; továbbá az érintettek száma jelentős volt; valamint a jogsértések országos szinten fennálltak, nem eseti jellegűek voltak.

(80) A fentiek [lásd: a jelen határozat indokolásának (68) – (79) bekezdései] és az eset összes körülménye alapján a Hatóság a Határozatban eredetileg figyelembe vett 6 súlyosító körülményből a jelen megismételt adatvédelmi hatósági eljárás során 1 körülményt (a jogsértés huzamosabb idejét) már nem értékelt súlyosító körülményként, így – noha nem lehet minden egyes jogsértést azonos súlyúnak tekinteni – a Hatóság a Határozatban eredetileg kiszabott bírság (95.000.000 Ft) összegének nagyságrendileg 1/6 részével (15.000.000 Ft) történő csökkentése és így összesen 80.000.000 Ft adatvédelmi bírság kiszabása mellett döntött. A jelen határozatban kiszabott adatvédelmi bírság összege – az Ítélet Indokolásának [42] bekezdésében foglaltakat is szem előtt tartva – arányosan kevesebb lett, mint a Határozatban eredetileg kiszabott bírság.

(81) A fentiek és az eset összes körülménye alapján a Hatóság a rendelkező rész szerinti összegű adatvédelmi bírság kiszabását tartotta arányosnak és visszatartó erejűnek mind a speciális, mind az általános prevenció vonatkozásában, amely összeg továbbra is jelentősen a bírságmaximum alatt van; ugyanakkor a jogsértések súlyával arányban áll, az a 2021. évi árbevételi adatokkal összehasonlítva sem jelenthet aránytalan pénzügyi terhet a Kötelezett számára. Ezen összeg más esetben az egyedi körülmények alapján jelentősen más lehet, nem köti a Hatóságot más ügyben. (82) Kötelezett 2023. április 26. napján befizette a Hatóság számára a Határozat 3. pontjában kiszabott 95.000.000 Ft adatvédelmi bírságot [lásd: NAIH-3227-4/2023 ügyszámú irat]. Erre tekintettel a Hatóság hivatalból intézkedik a Határozatban és a jelen határozatban szereplő adatvédelmi bírság különbözetének a Kötelezett részére történő visszafizetéséről. (83) A jogsértések fennállásának időszakára tekintettel, valamint arra, hogy a Hatóságnak a Határozat meghozatalakor nem kellett még alkalmaznia az Európai Adatvédelmi Testületnek az általános adatvédelmi rendelet szerinti közigazgatási bírságok számításáról szóló 04/2022. számú iránymutatását (a továbbiakban: Iránymutatás), így a Hatóság a jelen megismételt adatvédelmi hatósági eljárás során is mellőzi az abban foglaltak alkalmazását. A Hatóság ugyanakkor megjegyzi azt, hogy az Iránymutatás jelen ügyben történő alkalmazása esetén az adatvédelmi bírság összege jelentősen meghaladná mind a Határozatban, mind a jelen határozatban foglalt bírság összegét.

V.2. A határozat nyilvánosságra hozatala

(84) Az Ítélet Indokolásának [42] bekezdése értelmében a Hatóságnak „Ismételten döntenie kell a betekintéssel, illetve bevitellel megvalósított adatkezelés kapcsán megállapított jogsértések miatt alkalmazandó jogkövetkezményről”.

(85) Az Infotv. 61. § (2) bekezdése értelmében: „A Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő nyilvánosságra hozatalát, ha a) a határozat személyek széles körét érinti, b) azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy c) a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja.” (86) A Hatóság a Határozat 4. pontjában az Infotv. 61. § (2) bekezdés a) pontja alapján hivatalból elrendelte a végleges Határozatának a Kötelezett azonosító adatainak közzétételével történő nyilvánosságra hozatalát a Hatóság honlapján, továbbá a Kötelezett honlapjának nyitóoldalán, jól látható és könnyen hozzáférhető helyen, a Határozat véglegessé válásától számított 30 napon belül, és ott legyen elérhető legalább 30 napon keresztül. (87) Az Ítélet Indokolásának [40] bekezdésében foglaltak alapján a végleges Határozat – Kötelezett és a Hatóság honlapján egyaránt – történő nyilvánosságra hozatalának elrendelése kapcsán a Fővárosi Törvényszék megállapította, hogy a Hatóság e rendelkezését kifejezetten az Infotv. 61. § (2) bekezdés a) pontjára alapította, ami egyértelműen szerepelt a Határozat rendelkező részének 4. pontjában és a Határozat indokolásának (194) bekezdésében is. A Hatóság a nyilvánosságra hozatalt ugyanis nem a bekövetkezett jogsérelem súlyával, hanem azzal indokolta, hogy a Határozat személyek széles körét érintette. Figyelemmel pedig arra, hogy a Kötelezett a kifogásolt adatkezelési gyakorlatát általános jelleggel, országosan, minden üzletére kiterjedően rendelte el, azaz a kifogásolt gyakorlatot a vizsgálat időszakban minden, alkoholtartalmú italt vásárló személy esetében alkalmazni rendelte, kétségtelenül megállapítható, hogy a Határozat a személyek széles körét érintette. Önmagában e körülmény miatt a Hatóság az Infotv. 61. § (2) bekezdés a) pontja alapján elrendelhette a Határozat nyilvánosságra hozatalát. (88) A fentiek alapján a Fővárosi Törvényszék a Határozat nyilvánosságra hozatalát elrendelő 4. pont tekintetében a Kötelezett keresetét a Kp. 88. § (1) bekezdés a) pontja alapján elutasította (lásd: az Ítélet Indokolásának [41] bekezdése). (89) Tekintettel arra, hogy a Kötelezett – az Ítélet Indokolásának [39] bekezdése alapján általa sem vitatottan – több jogsértést követett el, több alapelvi rendelkezést is megsértett, a Hatóság a jogsértések jellegét közepesen súlyosnak ítélte meg, amelynek ekként való értékelése az Ítélet Indokolásának [39] bekezdése alapján még úgy sem volt okszerűtlen, hogy a Kötelezett gyakorlata a naplófájlban történő megőrzéssel „nem volt jogszerűtlen”. Az érintettek száma jelentős volt, a jogsértések a Kötelezett minden üzletére kiterjedően, országos szinten fennálltak, nem eseti jellegűek voltak, továbbá a természetes személyek széles körét érintették.

(90) Mivel a jelen megismételt adatvédelmi hatósági eljárásban hozott határozat szorosan kapcsolódik a Határozathoz, azzal együtt értékelendő, a fentiekre tekintettel [lásd: a jelen határozat indokolásának (84) – (89) bekezdései] – a Határozathoz hasonlóan – a Hatóság az Infotv. 61. § (2) bekezdés a) pontja alapján hivatalból elrendelte a jelen megismételt adatvédelmi hatósági eljárásban hozott végleges határozatának a Kötelezett azonosító adatainak közzétételével történő nyilvánosságra hozatalát nem csak a Hatóság saját honlapján, hanem a Kötelezett honlapjának nyitóoldalán, jól látható és könnyen hozzáférhető helyen, a jelen határozat véglegessé válásától számított legalább 30 napon keresztüli időtartamban.

VI. Egyéb kérdések

(91) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdései határozzák meg, illetékessége az ország egész területére kiterjed. (92) A Hatóság jelen döntése az Ákr. 80. – 81. §-ain és az Infotv. 61. § (1) bekezdésén alapul.

A döntés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, 114. § (1) bekezdése, valamint a 116. § (1) bekezdése alapján a döntéssel szemben közigazgatási per útján van helye jogorvoslatnak. (93) A közigazgatási per szabályait a Kp. határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja szerint olyan jogvitában, amelyben a törvényszék kizárólagosan illetékes, a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (94) A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi

CXXX. törvény 604. §-a szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (95) A Hatóság döntésével szembeni keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1) – (2) bekezdésein alapul. A közigazgatási per illetékének mértékét az illetékről szóló 1990. évi XCIII. törvény (a továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és a 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felelt. (96) Ha az előírt kötelezettsége teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. Az Ákr. 133. § (1) bekezdése értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. § (1) bekezdése értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság döntésének végrehajtását a döntésben foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a Hatóság foganatosítja. Budapest, az elektronikus aláírás és időbélyeg szerint

Dr. habil. Péterfalvi Attila elnök, c. egyetemi tanár