GDPR

Hogy a GDPR megöli-e, azt nem tudom. A NAIH mindenesetre két, milliós nagyságrendű bírságot is kiszabott a Forbes magazinra (illetve a Mediarey Hungary Services Zártkörűen Működő Részvénytársaságra). A bírságok elsődleges oka a Forbes “gazdaglistái”, illetve a listázás nyomán indult adatvédelmi eljárás megállapításai, miszerint a kiadó jogsértően járt el. A döntés bíróság előtt megtámadható.

A NAIH/2020/1154/9 ügyszámú határozat 2.000.000 forint (szerintem tartalmilag hibásan ezt az összeget a “Kötelezettnek” kell megfizetnie, akinek személye azonban nem definiált a határozatban, ellentétben a “Kérelmezettel”), a NAIH/2020/838/2 ügyszámú határozata pedig 2.500.000 forint bírság kiszabását tartalmazza. Mivel a két határozat terjedelme összesen több, mint 100 oldal ezért a részletes bemutatását mellőzve szeretném kiemelni az adatvédelmi hatóság útmutatását a gazdasági és oknyomozó újságírók részére.

Noha a határozatok több ponton is hangsúlyozzák, hogy az adatvédelmi hatóság a konkrét ügyeket vizsgálva jutott a jogsértést megállapító eredményre, de a véleményem szerint van legalább egy pont, amiben általánosságban is irányt kíván mutatni a joggyakorlat számára.

Mielőtt erre rátérnék, szeretném még azt is kiemelni, hogy az adott ügyek kapcsán a közszereplő státuszától, családi vállalkozás fogalmától, a nyilvános adatbázisok célhoz kötöttségétől kezdve az adatkezelés számtalan aspektusa meg lett vizsgálva, és a bírság nem kizárólag a lent részletesebben bemutatott okból került kiszabásra.

A NAIH szerint a gazdasági újságírásra mint közérdekű tevékenységre való hivatkozás az adatkezelések vonatkozásában sem fogadható el jogalapként. Ennek oka, hogy az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja szerinti jogalap valamilyen jogszabály által ilyennek minősített közfeladathoz kapcsolódó adatkezelési tevékenységhez fűződhet.

A gazdasági újságírás ugyan közérdekű tevékenység, de nem közfeladat (az általános adatvédelmi rendelet szóhasználatában közérdekű feladat), mint ahogyan az újságíró sem tekinthető közfeladatot ellátó személynek (vö. a Büntető Törvénykönyvről szóló 2012. évi C. törvény 459. § (1) bekezdés 12. pontja).

Mindebből az következik, hogy a vizsgált adatkezelések, az ezekhez hasonló „gazdaglisták”, illetve általában a gazdasági újságírással kapcsolatos valamennyi adatkezelés – ami nem hozzájáruláson alapul az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogos érdek jogalapon történhet meg.

Az általános adatvédelmi rendelet (47) preambulum-bekezdése alapján, ha az adatkezelés jogalapja a jogos érdek, akkor előzetesen érdekmérlegelést kell elvégezni, melynek keretében többek között meg kell határozni a jogos érdeket, az érintettre gyakorolt hatást, továbbá azt, hogy az adatkezelés szükséges, illetve arányos-e, valamint mérlegelni kell, hogy a jogos érdek vagy pedig az érintetti jog-e a magasabb rendű.

Jogos érdeken alapuló adatkezelésre tehát csak akkor kerülhet sor, ha az adatkezelő előzetesen elvégzi az érdekmérlegelési tesztet és a teszt eredményeképpen az adatkezelő vagy harmadik fél jogos érdeke felülmúlja az érintettet az adatkezelés révén érő esetleges hátrányokat.

Ezen érdekmérlegelés során kell az adatkezelőnek mérlegelnie többek között azt, hogy az érintett közszereplő-e (ha igen, akkor ez az adatkezelő adatkezeléshez fűződő érdekét erősíti), illetve hogy a kérdéses újságírói tevékenység oknyomozó jellegű-e (ez megint csak erősíti az adatkezeléshez fűződő érdeket), vagy csak a pletykaéhség kielégítését szolgálja (ebben az esetben a személyes adatok védelméhez fűződő érdek erősebb). Úgyszintén sikeres az érdekmérlegelés, amennyiben az adott cikk a közpénzből juttatott támogatásokról szól, és egyébként közérdekből nyilvános adatokat (pl. cégadatokat) tartalmaz.

Az érdekmérlegelési tesztet megfelelően dokumentálni kell az elszámoltathatóság elve alapján, az érintetteket pedig az általános adatvédelmi rendelet alapján megfelelően tájékoztatni kell az adatkezelő jogos érdekéről, függetlenül attól, hogy a személyes adatokat az érintettektől gyűjtik, vagy azokat nem az érintettől szerezték meg.

A NAIH szerint a konkrét esetben az érdekmérlegelést nem megfelelően végezték el, valamint ezzel összefüggésben nem nyújtott megfelelő előzetes tájékoztatást sem az érintett részére és álláspontjáról csak a jogi képviselőjének küldött válaszleveleiben tájékoztatta.

Az érdekmérlegelés kapcsán ki kell emelni azt is, hogy az, hogy egy adatkezelés milyen szempontból és milyen mértékben érint(het) hátrányosan egy érintettet, nem általánosítható, mert az adatalanyok és a körülményeik minden esetben különbözőek, tehát ez egy szubjektív értékítélet, ami azt jelenti, hogy ugyanazt az adatkezelést, melyet egyik esetben elfogadhatónak tart az egyik adatalany, egy másik esetben egy másik adatalany sérelmesnek találhat.

A cikkhez ITT lehet hozzászólni. Ha tetszett, ne maradj le a következőről:

 

Ajánlott tartalom