NAIH-Ügyszám: NAIH/2020/1154/9, Előzmény: NAIH/2019/8402- “gazdaglisták” –adatvédelem
Kivonat
A Nemzeti Adatvédelmi és Információszabadság Hatóság előtt […] kérelmezőknek a Mediarey Hungary Services Zártkörűen Működő mint Kérelmezettel szemben, a Kérelmezett kiadásában megjelenő Forbes Magazin (a továbbiakban: Forbes) nyomtatott és elektronikus kiadványaihoz kapcsolódó jogellenes – 50 leggazdagabb magyart tartalmazó kiadványának nyomtatott és online változata- adatkezelés ügyében.
Hasonló „gazdaglisták”, illetve általában a gazdasági újságírással kapcsolatos valamennyi adatkezelés – ami nem hozzájáruláson alapul – az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogos érdek jogalapon történhet meg.
Jogos érdeken alapuló adatkezelésre tehát csak akkor kerülhet sor, ha az adatkezelő előzetesen elvégzi az érdekmérlegelési tesztet és a teszt eredményeképpen az adatkezelő vagy harmadik fél jogos érdeke felülmúlja az érintettet az adatkezelés révén érő esetleges hátrányokat.
Ezen érdekmérlegelés során kell az adatkezelőnek mérlegelnie többek között azt, hogy az érintett közszereplő-e (ha igen, akkor ez az adatkezelő adatkezeléshez fűződő érdekét erősíti), illetve hogy a kérdéses újságírói tevékenység oknyomozó jellegű-e (ez megint csak erősíti az adatkezeléshez fűződő érdeket), vagy csak a pletykaéhség kielégítését szolgálja (ebben az esetben a személyes adatok védelméhez fűződő érdek erősebb). Úgyszintén sikeres az érdekmérlegelés, amennyiben az adott cikk a közpénzből juttatott támogatásokról szól, és egyébként közérdekből nyilvános adatokat (pl. cégadatokat) tartalmaz.
Az információszabadságnak és az információs önrendelkezési jognak egymásra tekintettel kell érvényesülnie, így figyelembe kell venni, hogy az adatok nyilvánossága nem sérti-e aránytalanul a magánszférához való jogot. Jelen ügy kapcsán mindazonáltal megállapítható, hogy a Kérelmezett által folytatott adatkezelések és az azokon alapuló nyilvános közlések tartalma nem a Kérelmezők magán- vagy családi életével, hanem az érdekeltségükbe tartozó vállalkozás tevékenységével, illetve az abból származtatható gazdasági eredményekkel kapcsolatosak. Egyértelműen megállapítható, hogy az ebben a körben kezelt adatoknak, valamint a közléseknek nem a Kérelmezők családi- és magánéletéhez, hanem a gazdasági-üzleti életben elért eredményeihez van köze.
A Hatóság álláspontja szerint a Kérelmezett által megjelölt jogos érdek elfogadható Adatkezelés 1 és Adatkezelés 2 esetében is, azonban a Kérelmezett azzal, hogy az érdekmérlegelést nem megfelelően végezte el, illetve a saját, illetve a nyilvánosság jogos érdekeiről, valamint a Kérelmezők érdekeivel való összemérésének eredményéről előzetesen nem tájékoztatta a Kérelmezőket, megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontját, valamint az általános adatvédelmi rendelet 5. cikk (2) bekezdése szerinti elszámoltathatóság elvét Adatkezelés 1 és Adatkezelés 2 vonatkozásában is.
Ugyan megállapítható, hogy a listák megjelenése előtt a Kérelmezett (újságíróin keresztül) mindig felvette a kapcsolatot a Kérelmezőkkel és tájékoztatta őket, hogy a Kérelmezett szerepeltetni kívánja őket az adott listán, valamint megküldte számukra az alkalmazott módszertan rövid leírását és a módszertan alapján történő érték-, illetve vagyonbecslést tartalmazó excel táblát, továbbá
biztosította a Kérelmezők számára, hogy észrevételeket tegyenek, illetve szükség esetén pontosítsák az adatokat, a Kérelmezett ezzel nem megfelelően tett eleget az előzetes tájékoztatás követelményének, ugyanis nem adott tájékoztatást az adatkezelés céljáról és jogalapjáról, az adatkezelő vagy harmadik fél jogos érdekéről és az érdekmérlegelés eredményéről, a profilalkotás várható következményeiről, a Kérelmezőket megillető valamennyi érintetti jogról és a Kérelmezők panasztételi jogáról sem.
Mivel a Kérelmezett nem nyújtott megfelelő előzetes tájékoztatást a Kérelmezők részére, a Hatóság megállapítja, hogy a Kérelmezett megsértette az általános adatvédelmi rendelet 14. cikkét.
Az általános adatvédelmi rendelet 13-14. cikke szerinti előzetes tájékoztatást és 15. cikke alapján az érintett kérésére nyújtott tájékoztatást meg kell különböztetni egymástól. Míg a 13-14. cikk szerinti tájékoztatás arra szolgál, hogy az érintett általános, átfogó képet kapjon a személyes adatai kezeléséről, addig a 15. cikk szerinti hozzáférési jog célja kifejezetten az, hogy az érintett konkrétan a saját személyes adatainak kezeléséről kapjon tájékoztatást az adatkezelés jogszerűségének megállapítása és ellenőrzése érdekében.
Amennyiben az adatkezelés közérdekű, vagy az adatkezelő vagy harmadik személy jogos érdeke alapján történik, az érintettek az általános adatvédelmi rendelet 21. cikke alapján tiltakozhatnak személyes adataik kezelése ellen. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.
Az általános adatvédelmi rendelet 21. cikk (4) bekezdése szerint az adatkezelő köteles az érintettek figyelmét kifejezetten felhívni az őket megillető tiltakozáshoz való jogra legkésőbb az első kapcsolatfelvétel alkalmával, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni.
A Kérelmezőkkel, illetve a Kérelmezők érdekeltségében álló vállalkozással kapcsolatos adatok Kérelmezett általi kezelése (beleértve a közzétételt is) azon kivételek közé tartozik, amelyek esetében a törléshez való jog nem érvényesülhet (és a személyes adatokra vonatkozó törlési kérelem jogszerűen tagadható meg) az általános adatvédelmi rendelet 17. cikk (3) bekezdés a) pontja alapján, tekintettel arra, hogy ezen adatok kezelése a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog biztosítása céljából szükséges.