A közszereplőkre vonatkozó adatok nyilvános forrásokból származtak

A magazin a kiadványai összeállításakor a cégnyilvántartás nyilvánosan elérhető adataira, a beszámolók, illetve a honlapok adataira, illetve ezek alapján megbecsült információkra támaszkodott. A közzétett adatok jellemzően az adott vállalkozásra és nem az érintett személyére vonatkoztak, e kettő között azonban nyilvánvaló kapcsolat áll fenn. A közzétett adatok között szerepelt az érintettek teljes neve, családneve és gazdasági helyzetére vonatkozó adatok. A közléssel összefüggésben annak is jelentősége volt, hogy az érintettek közszereplőnek minősülnek-e. Ezzel összefüggésben a NAIH arra mutatott rá, hogy a közszereplői státuszt a hazai, illetve nemzetközi jogi gyakorlat alapján esetről-esetre kell vizsgálni. Megállapította, hogy nem hagyható figyelmen kívül az a körülmény, hogy az érintett személyek néhány év alatt állami támogatásoknak, közpénzeknek a következtében piacvezetővé váltak. Ennek következtében számolniuk kellett azzal, hogy a közélet szegmensének is aktív alakítójává válnak, s az ezzel együtt járó értékeléseket és bírálatokat viselniük szükséges.

A GDPR minden adatkezelésre kiterjed

A hatóság kiindulópontként megállapította, hogy a gazdasági tevékenységből származó vagyonnak, gazdasági társaság értékének bemutatása a véleménynyilvánítás szabadsága körébe tartozik. A bárki számára elérhető nyilvántartások és a cégek nyilvános közléseinek, beszámolóinak részét képező adatok közlése, terjesztése ugyanis nem sérti a célhoz kötött adatkezelés elvét. Az adott természetes személyekre vonatkozó bármely adat azonban személyes adatnak minősül. A személyes adatokat megjelentető sajtótermék pedig adatkezelőnek minősül. A személyes adatok megjelentetésével összefüggésben így az adatvédelemre vonatkozó szabályrendszert érvényesíteni szükséges. Ezzel összefüggésben a két legfontosabb körülmény az adatkezelés megfelelő jogalapja, illetve az érintetti jogok megfelelő biztosítása.

A gazdasági újságírás közérdek, a gazdaglista azonban nem az

A GDPR kiemelt védelmet biztosít az újságírásnak és a sajtószabadságnak. Erre tekintettel a hatóság megállapította, hogy a gazdasági újságírás keretében kezelt személyes adatok jogalapja jellemzően a közérdek, mely a közügyek átláthatóságához, jogügyletek bemutatásához kapcsolódik. Ezzel szemben a gazdaglistáknak ilyen többletértéke nincsen. Ebből az is következik, hogy az adatkezelés jogalapja az érintettek hozzájárulása vagy jogos érdek lehetnek. Jogos érdek jogalap esetén az un. jogos érdek tesztet el kell végezni.

Az általános adatvédelmi rendelet (47) preambulum-bekezdése alapján, ha az adatkezelés jogalapja a jogos érdek, akkor előzetesen érdekmérlegelést kell elvégezni, melynek keretében többek között meg kell határozni a jogos érdeket, az érintettre gyakorolt hatást, továbbá azt, hogy az adatkezelés szükséges, illetve arányos-e, valamint mérlegelni kell, hogy a jogos érdek vagy pedig az érintetti jog-e a magasabb rendű. Az adatkezelésre tehát csak akkor kerülhet sor, ha az adatkezelő előzetesen elvégzi az érdekmérlegelési tesztet és a teszt eredményeképpen az adatkezelő vagy harmadik fél jogos érdeke felülmúlja az érintettet az adatkezelés révén érő esetleges hátrányokat. Az előbbiekben bemutatott érdekmérlegelés során kell az adatkezelőnek mérlegelnie többek között azt, hogy az érintett közszereplő-e (ha igen, akkor ez a NAIH szerint az adatkezelő adatkezeléshez fűződő érdekét erősíti), illetve hogy a kérdéses újságírói tevékenység oknyomozó jellegű-e (ez megint csak erősíti a NAIH szerint az adatkezeléshez fűződő érdeket), vagy csak a pletykaéhség kielégítését szolgálja (ebben az esetben a személyes adatok védelméhez fűződő érdek a NAIH szerint erősebb). UArra is rámutatott a hatóság, hogy sikeres az érdekmérlegelés, amennyiben az adott cikk a közpénzből juttatott támogatásokról szól, és egyébként közérdekből nyilvános adatokat (pl. cégadatokat) tartalmaz.

A hatóság megállapította, hogy jelen esetben érdekmérlegelés a fentieknek megfelelően nem történt azaz, az adatkezelő nem vizsgálta és dokumentálta érdekei elsőbbségét.

Elmaradt az adatkezelési tájékoztatás, valamint az érintetti jogok gyakorlására felhívás is

A hatóság megállapította, hogy a kiadványban megjelenő személyek számának csekély voltára tekintettel előzetes és konkrét adatkezelési tájékoztatás nyújtása lett volna elvárható. A tájékoztatás részeként az adatkezelés céljáról, jogalapjáról, az érintett személyes adatok kategóriájáról, a jogos érdekről, az érintetteket megillető jogokról, a személyes adatok forrásáról, illetve a profilalkotás jelentőségéről tájékoztatást kellett volna nyújtani. Az érintetti jogokon belül kifejezett jelentősége lett volna a jogos érdek jogalaphoz kapcsolódó tiltakozás jogának és a panasztétel jogának. Ez a tájékoztatás azonban elmaradt, sőt az adatkezelő az érintettek kifejezett kérésére sem nyújtott tájékoztatást, így azok hozzáférési joga is sérült. Ezen jogsértések együttesére tekintettel történt az adatvédelmi bírság kiszabása. 

Dr. Kéri Ádám

ügyvéd