Орган по защите данных Венгрии (NAIH): требования к защите данных при сборе подписей

Ügyszám: NAIH/2019/5062/5 dr. Hadházy Ákos Ányos részére országgyűlési képviselő Budapest Széchenyi rakpart 19. Tisztelt Képviselő Úr! Amint arról a Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) korábban tájékoztatta, bejelentés érkezett a Hatósághoz, amelyben a beadványozó dr. Hadházy Ákos Ányos országgyűlési képviselőnek (1358 Budapest, Széchenyi rakpart 19.; hadhazy.akos@parlament.hu; a továbbiakban: Adatkezelő) az Európai Ügyészséghez csatlakozás kikényszerítésére vonatkozó aláírásgyűjtésével kapcsolatos adatkezelését kifogásolta. A Hatóság köszönettel megkapta a NAIH/2019/5062/2. ügyiratszámú kérdésekkel kapcsolatos tájékoztatását.

A) Ön a Hatóság megkeresésére az alábbiakról tájékoztatta a Hatóságot:

1. Az Adatkezelő az aláírásgyűjtéssel kapcsolatosan az érintettek teljes nevét, címét és opcionálisan 2. Az érintettek teljes nevét, címét, a kapcsolattartási elérhetőségként megadott e-mail-címét és telefonszámát hozzájárulás jogalapján kezeli. A megadott adatokat abban az esetben, ha az érintett megadott e-mail és/vagy telefonos kapcsolattartási elérhetőséget, az érintett hozzájárulásának visszavonásáig kezeli, amennyiben nem adott meg kapcsolattartási célból adatokat, az adatokat a gyűjtés befejezése (2019. május 30.) után 3 hónapig kezeli. 3. Az Adatkezelő az érintettek által megadott személyes adatokat az Európai Ügyészséghez való csatlakozás elősegítésére, illetve amennyiben erre a telefonos és/vagy e-mail elérhetőség megadásával az érintett engedélyt adott, politikai célú kapcsolattartásra kívánta felhasználni. Az adatokat a munkatársak vagy olyan természetes és jogi személyek ismerhetik meg, akiket az Adatkezelő politikai kapcsolattartást segítő vagy informatikai feladatra szerződéses formában megbízott. Az adatok tárolása törlésük előtt fizikai formában (papír, kézírás), 24 órás biztonsági szolgálat, tűzriasztó rendszer és kamerarendszer felügyelete alatt, többszörösen elzárt helyen történik. Az adatokat feldolgozás után táblázatos (.csv) formátumban jelenleg a Mailchimp rendszerében tárolja az Adatkezelő, továbbá szintén .csv formátumban biztonsági másolatot tart a Sync.com weboldalon. 4. A közjegyzővel történő hitelesítés az 1 millió aláírás elérésekor történt volna meg. A kapcsolattartási adatok hitelesítése a kapcsolattartásra megadott adatok alapján történő személyes kapcsolatfelvétel során történt a személyazonosság igazolásával. A kapcsolattartásba beleegyezését nem adó érintettek adatait véletlenszerűen ellenőrizték. Közjegyzővel nem történt szerződéskötés, ezért nem történt közjegyző általi adatkezelés. 5. „Kapcsolattartási adatként” az érintettek címét, telefonszámát, e-mail címét és teljes nevét tárolja az Adatkezelő. A kapcsolattartáshoz a név és a cím a személyre szóló, területileg is releváns tájékoztatás nyújtására szolgál, az e-mail-cím az írásbeli dokumentumok és a nagyobb közönségnek egyszerre szóló üzenetek átadását célozza, a telefonszám a személyre szóló, sürgős vagy időben közeli eseményekről való tájékoztatást, valamint a számítógéppel nem rendelkező állampolgárok elérésére szolgál. Ön azt nyilatkozta, hogy ezek mind megfelelnek az adatkezelés, a kapcsolattartás céljának, valamint segítenek a pontosság és naprakészség követelményének betartásában, hiszen ha az egyik adat olvashatatlannak vagy hibásnak bizonyul, akkor egy másik kapcsolattartási módon lehet kérni a helyesbítést, illetve a többféle adat megadásának lehetősége a kapcsolattartási módok egyéni preferenciáihoz való alkalmazkodást teszik lehetővé az adatkezelő számára. A „kapcsolattartási adatként” kezelt személyes adatok tárolása a Mailchimp rendszerében .csv formátumban, a Sync.com oldalon .csv formátumban történik. A papíralapú ívek tárolása azok megsemmisítéséig 24 órás biztonsági szolgálat, tűzriasztó-rendszer és kamerarendszer felügyelete alatt, többszörösen elzárt helyen történik. 6. Az Adatkezelő által előadottak szerint az adatbázisokhoz csak az azt használó vagy karbantartásához elengedhetetlen, adatfeldolgozói szerződéssel rendelkező szakértői, illetve szűk munkatársi kör fér hozzá többfaktoros azonosítással, ezért jelenleg nem naplózzák a hozzáférést. Az érintettek által megadott személyes adatok titkosított csatornákon, a biztonsági adatátvitelre szolgáló SSL webprotokoll által védve jutnak el az Adatkezelőhöz és továbbítódnak az Adatkezelő hírlevélilletve felhőszolgáltatójához. Speciális biztonsági programokat használnak és rendszeres biztonsági ellenőrzéseket végeznek. Ezen felül az Adatkezelő nyilatkozata szerint megbízható szerverszolgáltatót használ, ahol a kimenő kapcsolatok naplózva vannak az esetleges betörések visszakövetésére. A legfrissebb technológiákat használják, valamint rendszeres biztonsági mentéseket végeznek. Magyarországon kívül csak biztonságos és megfelelő szintű adatvédelemmel, illetve tanúsító mechanizmussal rendelkező 3. ország GDPR kompatibilis szolgáltatásait veszi igénybe (USA: EU-USA Privacy Shield, Kanada). Adatátíró- és mentő perifériák használatát szigorúan korlátozzák, az ilyen adatokat titkosítással védi. A már nem szükséges adatokat és adathordozókat 2 tanú által felügyelve semmisíti meg. 7. A kitöltött aláírásgyűjtő ívek https://europaiugyeszsegert.hu/feltoltes/ oldalon történő feltöltésekor kötelezően megadandó e-mail-cím vagy telefonszám kezelésének jogalapja – az adatkezelési tájékoztatóban megfogalmazottak szerint – az érintett hozzájárulása. Az adatkezelés célja a kapcsolattartás, beleértve a téves vagy olvashatatlan feltöltésekből eredő adatok pontosítására és kijavítására tett kéréseket. Ezen adatokat az Adatkezelő az érintett hozzájárulásának visszavonásáig kezeli. Az adatkezelési tájékoztatóban az adatkezelés időtartama résznél pontosítás történt: az egyértelműsítés érdekében minden, az internetes adatkezelési tájékoztatóra mutató linket tartalmazó, szövegének tartalma szerint a kapcsolattartásba vagy az adatkezelési tájékoztatóba checkboxos beleegyezést kívánó mező beikszelése a megadott adatoknak hozzájárulás visszavonásáig történő kezelésébe való beleegyezést jelent. Ezek a mezők korábban is erre a tájékoztatóra mutattak és a hozzájárulás visszavonásáig tették lehetővé az adatkezelést, de a pontosabb és egyértelműbb tájékoztatás céljából változott a nevük, amit az adatkezelési tájékoztatóbeli megfogalmazás nem követett azonnal. 8. A politikai pártok ugyanazzal a kérdéssel, de különálló adatkezelőként, saját, különálló adatkezelési tájékoztatóval vettek részt a gyűjtésben. A pártok aláírásgyűjtését tekintve az Adatkezelő nyilatkozata szerint írásbeli szerződésekkel és adatkezelői illetékességgel nem rendelkezik, ezért ezzel kapcsolatos részletekről tájékoztatást adni nem tud. 9. Az adatgyűjtés 2018. július 19-től, az előregisztrációtól 2019. május 30-ig tartott. A regisztrációs és feltöltési felületek bezárása megtörtént.

10. Az Adatkezelő csatolta az adatkezelés során igénybe vett adatfeldolgozókkal kötött szerződések másolati példányait.

B) A válaszlevelében írtak áttekintése után a Hatóság az ügyben az alábbi álláspontot alakította ki:

I. Az Adatkezelő a „Csatlakozzunk az Európai Ügyészséghez!” elnevezésű kezdeményezés támogatására szolgáló íven az érintettek alábbi személyes adatait gyűjtötte: név, cím (irányítószám, város, lakcím), e-mail elérhetőség, telefonszám, aláírás. A GDPR fogalommeghatározásai alapján a név, aláírás, lakcím, e-mail elérhetőség és a telefonszám az érintett személyes adatának1, az adatokon elvégzett bármely művelet, így például az adatok gyűjtése, rögzítése, tárolása adatkezelésnek2 minősül. A GDPR rendelkezései alapján az adatkezelés jogszerűségéhez számos követelményt kell teljesíteni. Ezek közül kiemelt szerepe van a GDPR 5. cikk (1) bekezdés a) és b) pontjában foglalt jogszerűség, tisztességes eljárás és átláthatóság valamint a célhoz kötöttség elvének. Ezen túlmenően az adatkezelőnek a GDPR 6. cikk (1) bekezdésével összhangban álló jogalappal kell rendelkeznie az adatkezeléshez. A GDPR 9. cikke rendelkezik továbbá a személyes adatok különleges kategóriáinak kezeléséről. Ezek közé tartoznak a politikai véleményre utaló személyes adatok is, amelyek kezelését a rendelet főszabályként tiltja, illetve szigorú feltételektől teszi függővé. Ezen különleges kategóriájú személyes adatok többek között abban az esetben kezelhetőek, ha az érintett kifejezett hozzájárulását adta azok egy vagy több konkrét célból történő kezeléséhez. Az Adatkezelő a Hatóságnak küldött válaszában az érintettek hozzájárulását jelölte meg az adatkezelés jogalapjaként, továbbá az ív hátoldalán szereplő Adatvédelmi tájékoztatóban is az érintettek hozzájárulására hivatkozik. A GDPR 6. cikk (1) bekezdés a) pontja értelmében a személyes adatok kezelése jogszerű, ha az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez. A GDPR 4. cikkének 11. pontja kimondja, hogy az érintett hozzájárulása az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez. Az ív adatgyűjtésre szolgáló oldalán az alábbi tájékoztató szöveg szerepel: „Adatkezelési tájékoztató – A tájékoztatót aláírásommal elfogadom”, míg az ív hátoldalán lévő Adatvédelmi tájékoztató szövege szerint „Az adatkezelés jogalapja az Ön jelen tájékoztató megismerését követően kifejezett hozzájárulása.”. Ahhoz, hogy az adatkezelő a hozzájárulás jogalapjára jogszerűen hivatkozhasson, a hozzájárulás valamennyi fogalmi elemének meg kell felelnie a rá vonatkozó követelményeknek. Az Adatvédelmi Irányelv 29. cikke alapján létrehozott Adatvédelmi Munkacsoport hozzájárulásról szóló WP259 számú iránymutatásában kifejtettek is megerősítik, hogy a nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet a szabályos hozzájárulás előfeltétele. Az érintettnek kifejezett

1 GDPR 4. cikk 1. pont: „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. 2 GDPR 4. cikk 2. pont: „adatkezelés: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.” GDPR 4. cikk 7. pont: „adatkezelő: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.”

hozzájárulásról szóló nyilatkozatot kell tennie. A hozzájárulás kifejezett voltáról való meggyőződés nyilvánvaló módja a hozzájárulás írásbeli nyilatkozatban történő kifejezett megerősítése lenne. Ahhoz, hogy az érintett az akaratát konkrétan kinyilváníthassa az szükséges tehát, hogy az adatkezelő az adatkezelési tevékenységekhez kapcsolódó hozzájárulás megszerzésével összefüggő információkat egyértelműen elkülönítse a más kérdésekre vonatkozó információktól. A GDPR (42) preambulumbekezdése is kimondja, hogy az adatkezelőnek előre megfogalmazott hozzájárulási nyilatkozatról kell gondoskodnia, melyet érthető és könnyen hozzáférhető formában kell rendelkezésre bocsátania, nyelvezetének pedig világosnak és egyértelműnek kell lennie, és nem tartalmazhat tisztességtelen feltételeket. A Hatóság álláspontja szerint csupán az, hogy az érintett az aláírásgyűjtő íven megadja a kért adatokat, nem tekinthető az érintett akaratának konkrét, egyértelmű kinyilvánításának, továbbá az Adatvédelmi tájékoztató aláírással történő „elfogadása” sem tekinthető a személyes adatok felhasználásához való hozzájárulásra irányuló megerősítést félreérthetetlenül kifejező cselekedetnek. Az érintettnek nem a tájékoztatót kell „elfogadnia”, hanem a tájékoztatás alapján az adatkezeléshez kell hozzájárulnia, az adatkezeléshez történő hozzájárulásáról kell kifejezetten nyilatkoznia. A hozzájáruláshoz tehát szorosan kapcsolódik a tájékoztatás, az érintett ugyanis a megfelelő információk birtokában tudja meghozni azon döntését, hogy beleegyezését adja-e az őt érintő személyes adatok kezeléséhez. A tájékoztatással kapcsolatban az érintettől esetlegesen olyan nyilatkozat várható el, hogy annak tartalmát megismerte, az abban foglaltakat tudomásul vette, szerepe tehát abban merül ki, hogy a hozzájárulás tájékozottságát bizonyíthatja.

A hozzájárulás azáltal, hogy annak fentiekben kifejtett módon történő megadása nem az érintettek akaratának egyértelmű és konkrét kinyilvánítása, nem tekinthető az adatkezelés érvényes jogalapjának, az Adatkezelő érvényes jogalap nélkül kezeli az érintettek személyes adatait, megsértve ezáltal a GDPR 6. cikkét. Mivel ezen adatok a személyes adatok különleges kategóriái közé tartoznak, és azok kezelésére többek között abban az esetben van lehetősége az

adatkezelőnek, ha ahhoz az érintett kifejezett hozzájárulását adta, az adatkezelés sérti a GDPR 9. cikk (1) bekezdését is. II. A GDPR 5. cikk (1) bekezdés b) pontja rendelkezik a célhoz kötött adatkezelés elvéről, mely szerint személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azokat nem kezelhetik ezekkel a célokkal össze nem egyeztethető módon. II.1. Az ív Adatvédelmi tájékoztatójában foglaltak szerint az adatkezelés célja a név, lakcím és aláírás esetében a támogató aláírások összegyűjtése és azoknak az aláíró választópolgárok közös petíciójaként történő benyújtása közjegyző számára. Amennyiben kapcsolattartási adat (telefonszám, e-mail-cím) is megadásra került, az Adatvédelmi tájékoztató szerint valamennyi adat – a telefonszám és/vagy e-mail-címen felül a név, lakcím és aláírás – kezelésének célja, hogy az adatkezelő az országgyűlési képviselői tevékenységével összefüggésben az érintett számára a megadott elérhetőségeken tájékoztatást nyújtson. Az Adatkezelő a Hatóságnak adott válaszában ezzel kapcsolatban akként nyilatkozott, hogy az érintettek adatait az Európai Ügyészséghez való csatlakozás elősegítésére gyűjtötte és a közjegyzővel történő hitelesítés az 1 millió aláírás elérésekor történt volna meg. Az adatkezelés céljának megjelölésére vonatkozóan előadta továbbá, hogy az érintettek adatait amennyiben erre a telefonos és/vagy e-mail elérhetőségük megadásával engedélyt adtak, akkor politikai célú kapcsolattartásra használja fel. A Hatóság a vizsgálat során megállapította, hogy az ív adatgyűjtésre szolgáló oldalán az egyes gyűjtendő adatköröknél külön jelzés vagy felhívás nem volt arra vonatkozóan, hogy az adott személyes adat megadása kötelező a kezdeményezés támogatásának érvényességéhez, vagy az adat megadása opcionális, és gyűjtésére a kezdeményezés támogatásától eltérő, más adatkezelési célból – jelen esetben kapcsolattartási célból – kerül sor. Az aláírásgyűjtő íven telefon és/vagy e-mail elérhetőség megadása – figyelembe véve, hogy az íven külön felhívás nincs arra vonatkozóan, hogy ezen adatok megadása nem kötelező – nem tekinthető egyrészt a személyes adatok felhasználásához való hozzájárulásra irányuló megerősítést félreérthetetlenül kifejező cselekedetnek, másrészt nem tekinthető az eredeti adatkezelési célon túl a személyes adatok kapcsolattartási célból történő kezeléséhez való hozzájárulásnak is. A GDPR (32) preambulumbekezdése kimondja, hogy ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan külön meg kell adni. Amennyiben az adatkezelő nem kísérli meg, hogy minden egyes célhoz külön-külön hozzájárulást kérjen, hiányzik a döntés szabadsága. A Hatóság álláspontja szerint az érintettek személyes adatai kezelésének jogszerűsége akkor állapítható meg, ha az érintett a személyes adatainak valamennyi adatkezelési célból történő kezeléséhez külön járulhatott hozzá. II.2. Az aláírásgyűjtés időtartama alatt lehetőség volt a kitöltött aláírásgyűjtő íveknek a https://europaiugyeszseget.hu/feltoltes/ oldalon keresztül történő feltöltésére is. A feltöltés során, illetve annak sikeres megtörténtéhez kötelezően megadandók voltak az alábbi személyes adatok: név (vezetéknév és keresztnév), e-mail-cím, megye, település, telefon, valamint kötelező volt az Adatkezelési tájékoztató elfogadása. Az Adatkezelési tájékoztatóban foglaltak szerint az adatkezelés célja az Európai Ügyészséget támogatókkal való kapcsolatfelvétel és kapcsolattartás, valamint az érintetteknek az Európai Ügyészséget támogató tevékenységekről, rendezvényekről, megmozdulásokról, és aláírásgyűjtésekről történő értesítése. Az Adatkezelő a Hatóságnak adott válaszában az adatkezelés jogalapjaként az érintettek hozzájárulását jelölte meg, az adatkezelés céljaként pedig a kapcsolattartást, illetve azt, hogy a megadott kapcsolattartási adatok segítségével lehetőség nyílik arra is, hogy a téves vagy olvashatatlan feltöltésekből eredő adatok pontosítását és kijavítását kérjék. Megállapítható tehát, hogy az ívek online feltöltésekor megadott személyes adatok kezeléséhez a hozzájárulásukat a fentiek szerint az érintettek azáltal adták meg, hogy a kötelezően kitöltendő mezőkben megadták a személyes adataikat és az Adatkezelési tájékoztató melletti checkboxot bejelölték. Ív feltöltésére tehát mindaddig nem volt lehetőség, ameddig a kért személyes adatokat a feltöltő személy nem adta meg, illetve a checkboxot nem jelölte be. A GDPR 4. cikk 11. pontjában foglaltak szerint az érvényes hozzájárulás egyik legfontosabb eleme az önkéntesség. A GDPR (42) preambulumbekezdése ezzel kapcsolatban kimondja, hogy a hozzájárulás megadása nem tekinthető önkéntesnek, ha az érintett nem rendelkezik valós vagy szabad választási lehetőséggel, és nem áll módjában a hozzájárulás anélküli megtagadása vagy visszavonása, hogy ez kárára válna. A (43) preambulumbekezdésben foglaltak szerint továbbá a hozzájárulás nem tekinthető önkéntesnek, ha nem tesz lehetővé külön-külön hozzájárulást a különböző adatkezelési műveletekhez, noha az adott esetben megfelelő. Az Adatvédelmi Munkacsoport a hozzájárulásról szóló WP259 számú iránymutatásában az önkéntesen adott hozzájárulással kapcsolatban megállapította, hogy a „szabad” elem azt feltételezi, hogy az érintettek valódi választási lehetőséggel és rendelkezési joggal rendelkeznek. Főszabályként a GDPR előírja, hogy amennyiben az érintettnek nincs valódi választási lehetősége, hozzájárulásra kényszerítve érzi magát, vagy negatív következményei lesznek, ha nem adja hozzájárulását, akkor a hozzájárulás nem érvényes. A Hatóság megállapította, hogy az ívek online feltöltése során az adatok megadása nem tekinthető egyúttal az érintett hozzájárulásának ahhoz, hogy adatait kapcsolattartás céljából kezelje az adatkezelő, az adatok megadása nélkül – vagyis a hozzájárulás megtagadása esetén – ugyanis nem volt lehetőség arra, hogy az érintett az aláírásgyűjtő ívet az oldalon keresztül töltse fel. Az adatkezelés jogszerűségéhez önálló, érvényes jogalapra van szükség valamennyi önálló célból történő adatkezeléshez, tehát mind a kezdeményezés támogatásának céljából, mind a kapcsolattartási célból történő adatkezeléshez. Az érintettek valamennyi adatkezelési célból történő adatkezeléshez való hozzájárulásának – a fent kifejtettek szerint – hiányoznak azon legfontosabb fogalmi elemei, amelyek megléte szükséges ahhoz, hogy a hozzájárulás, vagyis az adatkezelés jogalapja érvényes legyen. Hiányzik az érintett akaratának önkéntes, konkrét, megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel beleegyezését adja személyes adatai kezeléséhez.

A Hatóság álláspontja szerint tehát az Adatkezelő érvényes jogalap nélkül kezeli az érintettek személyes adatait, – mind az aláírásgyűjtő íven történő adatgyűjtések során, mind a kapcsolattartási célból történő adatgyűjtések során – megsértve ezáltal a GDPR 6. cikkét. Mivel ezen adatok a személyes adatok különleges kategóriái közé tartoznak, és azok kezelésére többek között abban az esetben van lehetősége az adatkezelőnek, ha ahhoz az érintett kifejezett hozzájárulását adta, az adatkezelés sérti a GDPR 9. cikk (1) bekezdését is. III. Az érvényes hozzájárulás fontos fogalmi eleme, hogy a hozzájárulás kérését megfelelő tájékoztatás előzze meg. A megfelelő előzetes tájékoztatás ugyanis szükséges ahhoz, hogy az érintettek tisztában legyenek azzal, hogy konkrétan mibe egyeznek bele, hogy ismerjék az adatkezelés részleteit és gyakorolhassák a hozzájárulásuk visszavonásához való jogukat. Ennek hiányában a hozzájárulás, vagyis az adatkezelés jogalapja érvénytelen lesz. A GDPR 5. cikk (1) bekezdés a) és b) pontja, valamint ezzel összefüggésben a (39) preambulumbekezdés kimondja továbbá, hogy a természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik és fogják kezelni. Az átláthatóság elve vonatkozik az érintetteknek az adatkezelés céljairól való tájékoztatására is. A személyes adatkezelés konkrét céljainak explicit módon megfogalmazottaknak és jogszerűeknek, továbbá már a személyes adatok gyűjtésének időpontjában meghatározottaknak kell lenniük. A GDPR 13. cikke határozza meg, hogy melyek azok az információk, amelyekről az érintetteket tájékoztatni kell az adatok megszerzésének időpontjában. III.1. Az aláírásgyűjtő íven történő tájékoztatás az adatkezelés körülményeiről A Hatóság a vizsgálata során megállapította, hogy az aláírásgyűjtő ívhez tartozó adatkezelési tájékoztatóban az Adatkezelő – a fentiekben kifejtettek szerint – az érintetteket nem tájékoztatta megfelelően az adatkezelés jogalapjáról és céljáról. A személyes adatok címzettjeinek megjelölésével kapcsolatban a Hatóság megállapította, hogy az Adatkezelési tájékoztatóban az érintetteket arról tájékoztatták, hogy az Adatkezelő az aláírásgyűjtő íveket legkésőbb 2019. május 31-én átnyújtja közjegyzőnek, tehát az összegyűjtött támogató aláírások számától függetlenül. A Hatóság megkeresésére az Adatkezelő ezzel szemben úgy nyilatkozott, hogy a közjegyzővel történő hitelesítés az 1 millió aláírás elérésekor történt volna meg, és tekintettel arra, hogy a megfelelő számú támogató aláírás összegyűjtése nem sikerült, így nem történt szerződéskötés közjegyzővel, tehát nem történt közjegyző általi adatkezelés. A Hatóság álláspontja szerint a címzettekről történő tájékoztatás tehát abban az esetben lett volna teljes, ha az érintettek tájékoztatást kaptak volna arról, hogy az ívek és az azon szereplő személyes adatok közjegyzőnek történő átadására csak abban az esetben kerül sor, ha a megfelelő számú aláírás összegyűjtése sikerül, illetve tájékoztatást kaptak volna arról, hogy a közjegyzőnek történő benyújtást követően mi történt volna az ívekkel és így a rajta szereplő személyes adatokkal. A tájékoztatóban ennélfogva arra vonatkozóan sem volt információ, hogy nem elegendő számú aláírás összegyűjtése esetén mi fog történni az ívekkel és a rajta szereplő valamennyi személyes adattal.

Az Adatkezelő a Hatóságnak adott válaszában tájékoztatást adott az általa igénybe vett adatfeldolgozókról, az ívhez tartozó Adatvédelmi tájékoztatóban azonban az adatfeldolgozók igénybevételéről nem tájékoztatták az érintetteket. Nem tájékoztatták az érintetteket továbbá arról sem, hogy az Adatkezelő által megbízott aktivisták adatfeldolgozónak minősülnek-e, vagy sem. Nem világos továbbá, hogy kik értendők az Adatkezelő munkatársai, illetve a „stáb” alatt, nem tudni, hogy az Adatkezelő milyen jogviszonyban áll ezen személyekkel, kik milyen feladatokat látnak el az adatkezelés során. A kezdeményezés támogatására gyűjtött személyes adatok tárolásának időtartamára vonatkozóan az Adatvédelmi tájékoztatóban csak az az információ szerepelt, hogy az aláírásgyűjtő ívek közjegyzőnek történő benyújtását követően az adatokat a közjegyző a petíció szerinti kezdeményezés mérlegelését követően törölni köteles. Arra vonatkozóan azonban nem volt információ, hogy amennyiben az ívek mégsem kerülnek a közjegyző részére benyújtásra, mikor kerül sor azok törlésére.

A Hatóság megállapította, hogy a fentiekben részletezettek alapján az Adatkezelő – az aláírásgyűjtő ív Adatkezelési tájékoztatójában - nem nyújtott az érintetteknek tájékoztatást az adatkezelés valamennyi lényeges körülményéről, ezáltal megsértette a GDPR 13. cikkében foglaltakat. III.2. Az ívek online feltöltése során megadandó adatok kezelésével kapcsolatos tájékoztatás Az online feltöltés során megadandó személyes adatok kezelésének jogalapjáról és céljáról történő tájékoztatással kapcsolatban a Hatóság megállapította, hogy az Adatkezelő Hatóságnak adott válaszában foglaltak – miszerint a Feltöltés oldalon linkelt Adatkezelési tájékoztatóban megfogalmazott jogalap a hozzájárulás – ellentmondanak az Adatkezelési tájékoztató valós tartalmával, a tájékoztatóban ugyanis az adatkezelés jogalapja nem került megjelölésre, csupán arról tájékoztatják az érintetteket, hogy álláspontjuk szerint mi az adatkezelés célja. Az adatkezelés időtartamáról történő tájékoztatással kapcsolatban a Hatóság a vizsgálat során megállapította, hogy a tájékoztatóban foglaltak szerint az ívek online feltöltése során megadott személyes adatokat az aláírásgyűjtési akció végéig fogják kezelni, konkrét időpont azonban erre vonatkozóan nem volt megjelölve, így nem egyértelmű az érintettek számára, hogy adataikat az Adatkezelő meddig fogja kezelni. A tájékoztató szerint továbbá amennyiben az űrlapon az Adatkezelő politikai tevékenységével kapcsolatos hírlevélre feliratkozás is megtörtént, az adatokat a hozzájárulás visszavonásáig kezelik. A Hatóság a vizsgálat során megállapította, hogy az online feltöltés során kötelezően kitöltendő űrlapon nem szerepelt olyan lehetőség, ahol hírlevélre lehetett feliratkozni, ennélfogva az ívek online feltöltése egyúttal a hírlevélre feliratkozást is jelenthette, amely célból történő adatkezeléshez az érintettek emiatt nem tudták a hozzájárulásukat külön megadni. A Hatóság a vizsgálat során észlelte, hogy a https://europaiugyeszseget.hu/adatkezelesi-tajekoztato/ oldalon elérhető Adatkezelési tájékoztatóban a tartalmát tekintve több alkalommal – 2019. július 16-án és 2019. augusztus 31-én is – módosítás történt, amelyek közül a 2019. július 16-i módosításról az Adatkezelő a Hatóságnak adott válaszában tájékoztatást is adott. Ezek a módosítások azonban egyrészt a vizsgált adatkezelési időszakot követően történtek, másrészt olyan tartalmú módosítás nem történt, amely a Hatóság megállapításain változtatott volna.

Az Adatkezelő a vizsgált időszakban tehát nem nyújtott az érintetteknek egyértelmű, megfelelő és valós tájékoztatást az ívek weboldalon keresztül történő feltöltése során megadott személyes adatok kezelésének valamennyi lényeges körülményéről, megsértve ezáltal a GDPR 5. cikk (1)

bekezdés a) pontját, 5. cikk (2) bekezdését és a 13. cikk (1)-(2) bekezdését.

IV. Az adatkezelés jogalapjának érvényessége A GDPR 4. cikk 11. pontjának fogalommeghatározása szerint az érintett hozzájárulása az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez. A hozzájárulás tehát akkor tekinthető az adatkezelés érvényes jogalapjának, ha annak valamennyi feltétele fennáll. A hozzájárulás érvényességének egyik legfontosabb összetevője az érintett akaratának önkéntessége, külső befolyástól való mentessége, amely akkor valósul meg, ha valódi választási lehetőség áll az érintett rendelkezésére. Amennyiben a hozzájárulás következményei aláássák az egyén választási szabadságát, a hozzájárulás nem minősül önkéntesnek, és ezáltal érvényes hozzájárulásnak.

Az érintett akaratának konkrét, egyértelmű, nyilatkozat vagy megerősítést félreérthetetlenül kifejező cselekedet útján történő kinyilvánításának követelménye egyfelől azt jelenti, hogy a hozzájárulásnak aktív magatartásnak kell lennie, másfelől az egyértelmű, kifejezett hozzájárulás egyben célhoz rendelt hozzájárulás is: meghatározott, konkrét adatkezelési célhoz adott hozzájárulásnak tekinthető. Főszabály szerint az adatok más adatkezelési célra nem használhatóak fel. A hozzájárulás valamennyi fogalmi eleme akkor érvényesülhet teljeskörűen, ha a hozzájárulás kérését megfelelő tájékoztatás előzte meg. A megfelelő tájékoztatás az, amelyen keresztül az érintettek megismerik a személyes adataikra vonatkozó adatkezelést, és a tájékoztatáson keresztül tud az információs önrendelkezési jog érvényesülni: az az adatkezelés lehet jogszerű, amelynek körülményei az érintettek előtt maradéktalanul ismertek. Az érintett előzetes tájékoztatásának követelményét a GDPR 13. cikke részletezi.

A Hatóság álláspontja szerint a fenti I., II. és III. pontokban kifejtettek következtében az érintettek adatkezeléshez történő hozzájárulásának hiányoznak a legfontosabb fogalmi elemei, amelyek megléte szükséges ahhoz, hogy az adatkezelés jogalapja, azaz jelen esetben a hozzájárulás érvényes legyen. Az Adatkezelő érvényes jogalap nélkül kezeli az érintettek személyes adatait, megsértve ezáltal a GDPR 6. cikkét. V. A GDPR 28. cikk (1) bekezdése szerint ha az adatkezelést az adatkezelő nevében más végzi, az adatkezelő kizárólag olyan adatfeldolgozókat vehet igénybe, akik vagy amelyek megfelelő garanciákat nyújtanak az adatkezelés e rendelet követelményeinek való megfelelését és az érintettek jogainak védelmét biztosító, megfelelő technikai és szervezési intézkedések végrehajtására. Az Adatkezelő nyilatkozata szerint az általa gyűjtött személyes adatokat feldolgozás után táblázatos (.csv) formátumban a Mailchimp rendszerében tárolják, továbbá szintén táblázatos (.csv) formátumban biztonsági másolatokat tartanak a Sync.com-on. Előadta továbbá, hogy az adatbázisokhoz csak az azt használó vagy karbantartáshoz elengedhetetlen, adatfeldolgozói szerződéssel rendelkező szakértői, illetve szűk munkatársi kör fér hozzá többfaktoros azonosítással, a hozzáférés azonban jelenleg nincs naplózva. Az érintettek által megadott személyes adatok titkosított csatornákon, a biztonságos adatátvitelre szolgáló SSL webprotokoll által védve jutnak el az Adatkezelőhöz és továbbítódnak a hírlevél- illetve felhő-szolgáltatókhoz. Az aláírásgyűjtő ívhez tartozó Adatvédelmi tájékoztató nem tett említést adatfeldolgozók igénybevételéről, csupán a https://europaiugyeszseget.hu oldalon elérhető Adatkezelési tájékoztatóban kerültek felsorolásra az Adatkezelő által adatfeldolgozókként igénybe vett társaságok. A tájékoztató szerint az érintettek adataihoz a külön felsorolt adatfeldolgozókon kívül az Adatkezelő stábtagjai és munkatársai férhetnek hozzá, arra vonatkozó írásbeli dokumentumot azonban, amelyben rendelkeztek az aktivisták által ellátandó feladatokról, tevékenységekről, felelősségükről, nem nyújtott be az Adatkezelő.

Az Adatkezelő webtárhely szolgáltatás biztosításával a DotRoll Kft.-t (székhely: 1148 Budapest, Fogarasi út 3-5.) bízta meg, amely a weboldalon elérhető Adatkezelési tájékoztató szerint a rendszergazdai és rendszerfejlesztési feladatok végrehajtásához további adatfeldolgozót is igénybe vesz, a MICROWARE HUNGARY Kft.-t (székhely: 1148 Budapest, Fogarasi út 3-5.). Az Adatkezelő a Hatóság megkeresésére megküldte a DotRoll Kft-vel kötött, dátum nélküli Adatfeldolgozói Megállapodás másolatát. A megállapodásban foglaltak szerint a DotRoll Kft. feladata az Adatkezelő által végzett adatkezeléshez a technikai infrastruktúra biztosítása, weboldal tárolás, megjelenítés, email szolgáltatás és ezek heti rendszerességű, biztonsági mentése. Internetes marketing szolgáltatások biztosításával a The Rocket Science Group LLC-t (a továbbiakban: Mailchimp) bízta meg az Adatkezelő, és a Hatóságnak címzett válaszához mellékelte a Mailchimp-pel kötött Megállapodásának részét képező, aláírásokat nem tartalmazó adatkezelési függelék másolatát. Az abban foglaltak szerint a Mailchimp e-mail szolgáltató, automatizálási és értékesítési platformot, illetve egyéb kapcsolódó szolgáltatásokat biztosít. Az Adatkezelő az Adatkezelési tájékoztató szerint továbbá adatfeldolgozóként veszi igénybe a Sync.com Inc.-t (a továbbiakban: Sync.com) is. Az Adatkezelő által csatolt, a kettejük között létrejött – 2019. június 27-i keltezésű – GDPR-adatkezelési függelék másolatában foglaltak szerint a Sync.com Inc. által végzett adatkezelés kizárólag fióklétesítéskor keletkező személyes információkat és egyéb kapcsolattartási adatokat, illetve a szolgáltatás során biztosított személyes és titkosított adatokat foglal magában. Átadáskor a személyes adatokat és az Adatkezelő által átadott egyéb adatokat az SSL/TLS alkalmazásával titkosítják. A Sync.com Inc. nem kezel titkosítás nélkül fájladatokat, fájlmetaadatokat, titkosítási kulcsokat vagy jelszavakat, hacsak az Adatkezelő nem utasítja arra. Az Adatkezelő titkosított adatai mindig végpontok közötti titkosítást alkalmaznak, és úgy vannak tárolva, hogy a Sync.com Inc. ne férhessen hozzájuk olvasható formátumban, illetve ne tudja megosztani azokat harmadik felekkel. A Hatóság a https://europaiugyeszseget.hu/ weboldalt áttekintve megállapította, hogy a beszkennelt és aláírt aláírásgyűjtő íveket a honlapon az erre rendelkezésre álló felületen keresztül lehetett feltölteni. A honlap rendelkezik SSL certifikációval, vagyis az adatok titkosított csatornán keresztül jutottak el az Adatkezelőhöz. A Mailchimp a hivatalos weboldal leírásai alapján 2 faktoros azonosítást biztosít a felhasználóknak, valamint több egyéb biztonsági eljárást is alkalmaz (pl. brute force elleni védelem). A Sync.com szintén 2 faktoros azonosítást alkalmaz a hivatalos weboldala szerint, továbbá végponttitkosítással védi a felhőszolgáltatást igénybe vevő felhasználók adatait.

Az Adatkezelő által igénybe vett, külföldön bejegyzett adatfeldolgozókkal kapcsolatban a Hatóság megállapította, hogy ezen külföldi társaságok (Mailchimp, Sync.com) által nyújtott szolgáltatásokkal kapcsolatban – a honlapjukon lévő többféle biztonsági/titkosítási eljárást részletező leírás alapján – adatbiztonsági hiányosság nem merült fel.

A Hatóság megjegyzi ugyanakkor, hogy harmadik országban letelepedett cégek által nyújtott szolgáltatások (többek között a személyes adatok felvételére, tárolására, rendszerezésére, valamint felhasználására történő) igénybe vétele – különösen politikai véleményre utaló személyes adatok kezelésével összefüggésben – nagyobb adatvédelmi kockázatot jelent, ezért a Hatóság azt tartja jó gyakorlatnak, ha az adatkezelés során elsődlegesen a hasonló szolgáltatásokat nyújtó európai uniós cégeket választják, csökkentve ezáltal az adatvédelmi kockázatokat. A GDPR 5. cikk (2) bekezdése rendelkezik az elszámoltathatóság elvéről, amelynek értelmében az adatkezelő felelős azért, hogy a személyes adatok kezelése az adatkezelési alapelvek betartásával történjen, és ezt igazolni is tudja. Elengedhetetlen követelmény a korlátozott hozzáférést megengedő nyilvántartások esetében annak ellenőrzése, hogy a személyes adatokhoz csak a jogosultsági felhatalmazással rendelkező személy, csak releváns ügyintézés kapcsán férjen hozzá.

Azáltal, hogy az adatbázisokhoz történő hozzáférés nincs naplózva, az Adatkezelő megsértette a GDPR 5. cikk (2) bekezdését, mivel nem tudja megfelelően bizonyítani, igazolni, hogy az adatokhoz ténylegesen ki és mikor fért hozzá, történt-e illetéktelen hozzáférés.

Az adatkezelés során megsértette továbbá a GDPR 13. cikkében foglaltakat is, mivel az általa igénybe vett adatfeldolgozókról az aláírásgyűjtés során az ívek Adatvédelmi tájékoztatójában nem nyújtott tájékoztatást. Az aktivisták által történő aláírásgyűjtéssel kapcsolatban a Hatóság továbbá felhívja a figyelmet arra, hogy akinek az adatkezelő az aláírásgyűjtő ívet az aláírások gyűjtése céljából kiadta, arra irányuló szerződés esetén adatfeldolgozónak minősül, aki az adatkezelő utasítása szerint jár el. Amennyiben az adatfeldolgozó az adatkezelő utasításától eltérően jár el, és maga határozza meg az adatkezelés céljait és eszközeit, ezen adatkezelés tekintetében a GDPR alapján adatkezelőnek kell tekinteni, az adatkezelési műveletekért e minőségében tartozik felelősséggel. C) A fentiekre tekintettel a Hatóság a GDPR 58. cikk (2) bekezdés g) pontja, valamint az Infotv.

Üdvözlettel:

Dr. Péterfalvi Attila elnök c. egyetemi tanár

3 Infotv. 56. § (1) „Ha a Hatóság a személyes adatok kezelésével, illetve a közérdekű adatok vagy a közérdekből nyilvános adatok megismeréséhez fűződő jogok gyakorlásával kapcsolatos jogsérelem vagy annak közvetlen veszélye fennállását megalapozottnak tartja, az adatkezelőt a jogsérelem orvoslására, illetve annak közvetlen veszélye megszüntetésére szólítja fel.“. 4 Infotv. 56. § (2) „Az adatkezelő – egyetértése esetén – haladéktalanul megteszi az (1) bekezdés szerinti felszólításban megjelölt szükséges intézkedéseket, és a megtett intézkedéseiről, illetve – egyet nem értése esetén – álláspontjáról a felszólítás kézhezvételétől számított harminc napon belül írásban tájékoztatja a Hatóságot.”