A Fővárosi Törvényszék K.704375/2021/6. számú határozata adatvédelem tárgyában. [2010. évi CIV. törvény (Smtv.) 13. §] Bírók: Barsi-Fodor Bea, Huber Gábor, Nagy Péter

Fővárosi Törvényszék

Az ügy száma: 105.K.704.375/2021/6.

A felperes: Felperes neve

(Felperes címe)

A felperes képviselője: dr. Hüttl Tivadar ügyvéd

(Felperesi képviselő címe)

Az alperes: Nemzeti Adatvédelmi és Információszabadság Hatóság

(1055 Budapest, Falk Miksa utca 9-11.)

Az alperes képviselője: Dudás Hargita Zavodnyik Ügyvédi Iroda

(Alperesi képviselő címe,

eljáró ügyvéd: dr. Dudás Gábor János)

A per tárgya: adatvédelmi közigazgatási jogvita (NAIH/2020.......2.)

Í T É L E T

A bíróság az alperes 2020. július 23. napján kelt NAIH/2020.......2. számú határozata 1.2. pontjának az adatkezelést indokoló kényszerítő erejű jogos okok felperes általi bizonyításának hiányát, és ezért az általános adatvédelmi rendelet 21. cikk (1) bekezdésének felperes általi megsértését megállapító rendelkezésrészeit, az 1.3.2. pontjának a tiltakozást követő második, egyedi érdekmérlegelés végzésére utasító rendelkezésrészt, valamint a határozat 3. pontját megsemmisíti, és az alperest az adatvédelmi bírság vonatkozásában új eljárásra kötelezi. Ezt meghaladóan a keresetet elutasítja.

A peres felek költségeiket maguk viselik.

Az ítélet ellen fellebbezésnek nincs helye.

I n d o k o l á s

A döntés alapjául szolgáló tényállás

[1] A felperes kiadásában megjelent az 50 leggazdagabb magyart tartalmazó 2019 januári Adatkezelés 1 (a továbbiakban: Adatkezelés 1) kiadvány nyomtatott változatában a perben nem álló személy és személy1 (a továbbiakban: kérelmezők) neve, életkora, becsült vagyonuk, és a becsült vagyon alapja, valamint az alperes NAIH/2020.......2. számú határozatának 4. oldalán idézett szócikk, az online változatban a kérelmezők neve, vagyonuk becsült összege és módosított arcképe, valamint a kérelmezők érdekeltségébe tartozó cégcsoport tevékenységéről egy mondat. A legnagyobb családi vállalkozásokat tartalmazó Adatkezelés 1 2019. szeptemberében (a továbbiakban: Adatkezelés2) nyomtatott és online módon megjelent kiadványában a kérelmezők családi neve (személyek), az érdekeltségükbe tartozó cégcsoport neve, annak becsült értéke, központjának városa, a cégcsoport alapításának éve, és az érdekelt generációk száma, valamint az alperes NAIH/2020.......2. számú határozatának 4-5. oldalain idézett szócikkek jelentek meg. A kérelmezők és a felperes között a kiadványokban megjelent adatkezelés tekintetében több, az alperes NAIH/2020.......2. számú határozatának 36-37. oldalain ismertetett levélváltások történtek 2018. augusztus és 2019. november között. A kérelmezők egyebek mellett 2019. július 19-én is tiltakoztak a személyükre vonatkozó adatkezelés ellen a felperesnél, és az adatok törlését kérték. A felperes a kérelmezőknek írt leveleiben a tiltakozást nem fogadta el, és a kiadványokat publikálta.

[2] A kérelmezők az alpereshez 2019. október 31-én benyújtott kérelmükben (a továbbiakban: kérelem) a nevük, vagyonuk és családnevük (személyek) szerepeltetéséhez kapcsolódó adatkezelési műveletek - különösen adatbázis-építés, listázás, nyilvánosságra hozatal -, valamint előzetes tájékoztatás elmaradása miatt vizsgálati eljárást; személyes adataik jogsértő kezelése, valamint a felpereshez intézett tiltakozási és törlési kérelmeik elutasítása miatt adatvédelmi hatósági eljárást kezdeményeztek a felperes kiadásában megjelenő Adatkezelés 1 magazinnal kapcsolatban.

Az alperes határozata

[3] Az alperes a 2020. július 23-én kelt NAIH/2020.......2. számú határozatával részben helyt adott a kérelemnek.

[4] Megállapította, hogy a felperes azzal, hogy az Adatkezelés 1-hez és az Adatkezelés 2-höz kapcsolódó adatkezelés kapcsán nem megfelelően végezte el az érdekmérlegelést, és a saját, illetve a harmadik fél (nyilvánosság) jogos érdekeiről, valamint ezek a kérelmezők érdekeivel való összemérésének eredményéről előzetesen nem tájékoztatta a kérelmezőket, megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló 2016/679 EU rendelet (a továbbiakban: GDPR) 6. cikk (1) bekezdés f) pontját.

[5] Megállapította, hogy a felperes azzal, hogy nem nyújtott megfelelő tájékoztatást a kérelmezők részére az adatkezelés valamennyi lényeges körülményéről és a személyes adatok kezelése elleni tiltakozáshoz való jogáról, továbbá, hogy a tudomására jutott információk ellenére a tiltakozást követően nem bizonyította, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek a kérelmezők érdekeivel, jogaival és szabadságaival szemben, valamint azzal, hogy a kérelmezők érintetti joggyakorlásra irányuló kérelmeire adott válaszaiban nem nyújtott tájékoztatást a jogérvényesítési lehetőségekről, megsértette a GDPR 5. cikk (1) bekezdés a) pontját, 5. cikk (2) bekezdését, 12. cikk (1) és (4) bekezdését, 14. cikkét és 21. cikk (1) és (4) bekezdését.

[6] Harmadrészt a jogellenes adatkezelés miatt a felperest elmarasztalta, egyúttal utasította, hogy teljesítse a kérelmezők felé fennálló, az adatkezeléssel kapcsolatos tájékoztatási kötelezettségét, beleértve az érdekmérlegelés során figyelembe vett, a felperes és a kérelmezők oldalán fennálló érdekekről és az érdekmérlegelés eredményéről szóló tájékoztatást, valamint a tiltakozáshoz való jogról és a jogérvényesítési lehetőségekről szóló tájékoztatást is. Előírta, hogy amennyiben a felperes a jövőbeni tervezett adatkezelések során a jogos érdeket mint jogalapot kívánja használni, akkor a jogszabályoknak megfelelően és a határozatban foglaltak figyelembe vételével végezzen érdekmérlegelést, beleértve a tiltakozást követő második egyedi érdekmérlegelést is. Kötelezte a felperest, hogy a hatályos jogszabályok és a határozatban foglaltak szerint alakítsa át előzetes tájékoztatással kapcsolatos gyakorlatát.

[7] Elutasította a kérelem azon részét, amely arra vonatkozott, hogy az alperes utasítsa a felperest a kérelmezők adatkezelés elleni tiltakozásra és a személyes adataik törlésére irányuló kérelmei teljesítésére, valamint, hogy véglegesen tiltsa el a felperest a kérelmezők személyes adatainak kezelésétől.

[8] A jogsértések miatt a felperest 2.500.000 forint adatvédelmi bírság megfizetésére kötelezte.

[9] A jogsértés megállapítására irányuló kérelem 2018. május 25. napja előtti adatkezelést érintő része tekintetében az adatvédelmi hatósági eljárást végzéssel megszüntette arra hivatkozással, hogy erre az időszakra nézve a GDPR nem alkalmazandó. Az ügyintézési határidő túllépése miatt végzéssel 10.000 forintnak a kérelmezők részére történő megfizetéséről rendelkezett.