BH 2022.7.189 A GDPR 6. cikk (1) bekezdés e) pontjában foglalt jogalap szerint akkor lehet jogszerűnek tekinteni az adatkezelést, ha az közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges. A sajtó tevékenységének és ezáltal a sajtótermékeknek a sokszínűsége okán az ezen jogalapnak való megfelelést nem lehet általánosságban a sajtó tevékenységére értelmezni, hanem azt mindig konkrétan, a személyes adatok kezelésére vonatkozó elvek érvényre juttatása mellett szükséges vizsgálni [Magyarország Alaptörvénye VI. cikk (1), (3) bek., IX. Cikk (1)-(2), (4) bek., 28. cikk; 2011. évi CXII. törvény (Infotv.) 26. § (2) bek., 60/A. § (6) bek.; 2010. évi CIV. törvény (Smtv.) 10. §].

A felülvizsgálat alapjául szolgáló tényállás

[1] Az I. rendű felperes a Forbes Magazin 2015 augusztusában megjelent "Legnagyobb magyar családi vállalkozások" összeállításában szerepeltette első alkalommal a II-IV. rendű felperesi családot.

[2] Ezt követően a 2019 szeptemberében megjelent legnagyobb családi vállalkozásokat tartalmazó kiadvány online és nyomtatott változatában (a továbbiakban: Adatkezelés 1.) szerepelt az érdekeltségükbe tartozó cég és a család, majd a 2019 decemberében megjelent 50 leggazdagabb magyart tartalmazó kiadvány nyomtatott és online változatában (a továbbiakban: Adatkezelés 2.) a II. rendű felperes.

[3] Az Adatkezelés 1. során a nyomtatott változatban megjelenésre került a család neve, az érdekeltségükben álló vállalkozás neve, a vállalkozás becsült értéke, központja, alapításának éve, valamint a vállalkozásban érdekelt generációk száma. Az online kiadványból a Fővárosi Törvényszék döntésének következtében eltávolításra került a család neve, helyette a vállalkozás tulajdonosa kifejezés olvasható. Sem az online, sem a nyomtatott változatban a II-IV. rendű felperesek teljes neve nem került feltüntetésre.

[4] Az Adatkezelés 2. során a nyomtatott változatban a II. rendű felperes került nevesítésre, továbbá életkora, becsült vagyonának összege, a vagyon forrása. Megjelent az MNB növekedési kötvényprogramjának célját leíró keretes szócikk, amely szintén tartalmazta II. rendű felperes nevét és a kibocsátás volumenét.

[5] Az I. rendű felperes az Adatkezelés 1. és Adatkezelés 2. során a II-IV. rendű felperesek vonatkozásában a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, az Európai Parlament és a Tanács (EU) 2016. április 27-i 2016/679 rendelete (a továbbiakban: GDPR) 4. cikk 2. pontja szerint adatkezelést végzett.

[6] Előzetesen az I. rendű felperes tájékoztatta a II-IV. rendű felpereseket az adatkezelésről, visszajelzést kért az általa mellékelt módszertani számítások szerint végzett vagyonbecslés pontosságáról.

[7] A II-IV. rendű felperesek a személyes adataik kezelése ellen írásban tiltakoztak, a sajtótermékekben történő megjelenésük mellőzését, adataik törlését kérték, amelyet az I. rendű felperes nem teljesített.

[8] Az ennek nyomán kérelemre indult eljárásban az alperes 2020. július 23-án kelt NAIH/2020/1154/9. számú határozatában megállapította, hogy az I. rendű felperes azzal, hogy az Adatkezelés 1. és Adatkezelés 2. során folytatott adatkezeléssel összefüggésben az érdekmérlegelést nem megfelelően végezte el, és saját, illetve harmadik fél jogos érdekeiről, valamint annak a II-IV. rendű felperesek érdekeivel való összemérésének eredményéről előzetesen nem tájékoztatta a II-IV. rendű felpereseket, megsértette a GDPR 6. cikk (1) bekezdés f) pontját.

[9] Azzal, hogy az I. rendű felperes az Adatkezelés 1. és Adatkezelés 2. tekintetében nem nyújtott megfelelő tájékoztatást az adatkezelés valamennyi lényeges körülményéről és a II-IV. rendű felperesek személyes adatok kezelése elleni tiltakozáshoz való jogáról, továbbá a II-IV. rendű felperesek érintetti joggyakorlására irányuló kérelmeire adott válaszaiban nem nyújtott tájékoztatást a jogérvényesítési lehetőségekről, megsértette az GDPR 5. cikk (1) bekezdés a) pontját, az 5. cikk (2) bekezdését, a 12. cikk (1) és (4) bekezdését, 14. cikkét, 15. cikkét és a 21. cikk (4) bekezdését.

[10] Az alperes a jogellenes adatkezelés miatt az I. rendű felperest elmarasztalta és utasította a tájékoztatási kötelezettségről, valamint az érdekmérlegelés során figyelembe vett fennálló érdekekről, az érdekmérlegelés eredményéről, a tiltakozáshoz való jogról és a jogérvényesítési lehetőségről szóló tájékoztatás pótlására. Kimondta, hogy amennyiben az I. rendű felperes a jövőbeni tervezett adatkezelések során a jogos érdeket mint jogalapot kívánja felhasználni, akkor a jogszabályoknak megfelelően és a határozatában foglaltak figyelembevételével végezzen érdekmérlegelést, beleértve a tiltakozást követő második, egyedi érdekmérlegelést is. Arra is kötelezte az I. rendű felperest, hogy alakítsa át az előzetes tájékoztatással kapcsolatos gyakorlatát.

[11] Az alperes az adatvédelmi bírság kiszabására vonatkozó kérelmet elutasította, ugyanakkor a megállapított jogsértések miatt hivatalból 2 000 000 forint adatvédelmi bírság megfizetésére kötelezte az I. rendű felperest. Egyidejűleg elutasította a II-IV. rendű felperesek kérelmének azon részét, hogy rendelje el az adatkezelés korlátozását, személyes adataik törlését és az I. rendű felperes személyes adataik kezelésétől való eltiltását. A II-IV. rendű felpereseknek az ideiglenes intézkedéssel történő adatkezelési korlátozás és a személyes adatok közzétételére vonatkozó eltiltás iránti kérelmét szintén elutasította.

[12] Döntése jogi indokaként felhívta a GDPR [47], [60], [65], [67] és [153] preambulum bekezdéseit, a 2. cikk (1) bekezdését, a 4. cikk (1) bekezdés 1-2., 4. és 6-7. pontjait, 5. cikkét, a 6. cikk (1) bekezdését, 12. cikkét, 14. cikkét, a 15. cikk (1) bekezdését, 16-17. cikkeit, a 18. cikk (1)-(2) bekezdéseit, a 21. cikk (1)-(4) bekezdéseit, a 77. cikk (1) bekezdését, a 83. cikk (1)-(2) és (5)-(7) bekezdéseit, a 85. cikk (1)-(2) bekezdéseit. Megjelölte az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 1. §-át, a 3. § 6. pontját, a 27. § (3) bekezdését, a 38. § (2) bekezdését, a 60. § (1)-(2) bekezdéseit, a 61. § (1) bekezdését, a 75/A. §-át; az Alaptörvény VI. cikk (1) és (3) bekezdéseit, a IX. cikk (1)-(2) és (4) bekezdéseit; a magánélet védelméről szóló 2018. évi LIII. törvény (a továbbiakban: Mvtv.) 1-2. §-ait, a 8. § (1)-(2) bekezdéseit, 9. §-át; az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 17. §-át és a 47. § (1) bekezdés a) pontját; a cégnyilvánosságról, a cégbírósági eljárásról és végelszámolásról szóló 2006. évi V. törvény (a továbbiakban: Ctv.) preambulumát, 10. § (1)-(2) bekezdéseit, a 24. § (1) bekezdés b), f) és h) pontjait, a 27. § (3) bekezdés a) és e) pontjait; az állami vagyonról szóló 2007. évi CVI. törvény (a továbbiakban: Vagyon.tv.) 5. §-át; a sajtószabadságról és a médiatartalmak alapvető szabályairól szóló 2010. évi CIV. törvény (a továbbiakban: Smtv.) 4. § (3) bekezdését, 10. §-át és 13. §-át; a Polgári Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.) 2:44. §-át. Hivatkozott az emberi jogok és az alapvető szabadságok védelméről szóló, Rómában, 1950. november 4-én kelt Egyezmény és az ahhoz tartozó nyolc kiegészítő jegyzőkönyv kihirdetéséről szóló 1993. évi XXXI. törvénnyel kihirdetett Emberi Jogok Európai Egyezménye 8. cikkére és a 10. cikk (1) bekezdésére, a Büntető Törvénykönyvről szóló 2012. évi C. törvény (a továbbiakban: Btk.) 459. § (1) bekezdés 12. pontjára. Felhívta az Alkotmánybíróság 3145/2018. (V. 7.) AB határozata indokolásának [31]-[32], [46] és [48] bekezdéseit, a 165/2011. (XII. 20.), a IV/1368/2018. és a IV/316/2019. számú AB határozatokat, az Európai Unió Bíróságának (a továbbiakban: EUB) C-73/07., C-345/17. számú ítéleteit, valamint az Emberi Jogok Európai Bírósága (a továbbiakban: EJEB) 13778/88. 1999., 21980/93. 1999. és 931/13. 2017. számú döntéseit.