A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) 2026. május 26-án közzétett határozatában 50 millió forint összegű adatvédelmi bírságot szabott ki a Mediaworks Hungary Zrt.-vel szemben, amiért a cégcsoport három hírportálján (Origó, Magyar Nemzet, Ripost) közzétette egy olyan interaktív térkép elérhetőségét, amelyen közel kétszázezer ember személyes és politikai véleményre utaló különleges adatai voltak hozzáférhetők. 

1. A tényállás: mi történt?

A Tisza Párt szimpatizánsait érintő adatlopási ügyet vélhetően nem kell részletesen bemutatni (lásd a korábbi posztomat a témáról). Ennek egyik kiemelten fontos eleme tekintetében, a Tisza Párt szimpatizánsainak bűncselekménnyel megszerzett adatait (név, lakcím, telefonszám, e-mail-cím, lakcím geolokációs koordinátája) kereshetővé tévő interaktív térkép elérhetőségének közlése miatt hozott most határozatot a NAIH. Az adatokat ugyan nem a hírportálok szerezték meg, és a térképet sem a megbírságolt hírportálok készítették, de a térkép elérhetőségének közzétételével sokkal súlyosabbá tették az érintetteket érintő potenciális hátrányt. 

A Mediaworks Hungary Zrt. azonnal, a térkép megjelenésének napján (2025. november 7.) három cikket is megjelentetett három különböző hírportálján. Az Origó és a Magyar Nemzet a térképre mutató közvetlen linket tettek közzé, míg a Ripost egy, a térkép URL-címét tartalmazó képet osztott meg. Mindhárom cikk gyakorlatilag közvetlen hozzáférést biztosított közel kétszázezer ember érzékeny (politikai véleményre is utaló) adataihoz.

A Hatóság már korábban, 2025. november 6-án közleményt adott ki, amelyben kifejezetten felhívta a médiaszolgáltatók figyelmét arra, hogy a kiszivárgott adatbázisra való hivatkozás, illetve a személyes adatokat nyilvánosságra hozó honlapra mutató link közlése is jogellenes adatkezelésnek minősülhet. A Mediaworks tehát a Hatóság figyelmeztetése ellenére döntött a linkek közzététele mellett – sőt, saját cikkeiben idézte is a NAIH közleményének releváns megállapításait.

2. A megállapított jogsértések

A Hatóság két fő jogsértést állapított meg:

1. A GDPR 6. cikk (1) bekezdésének megsértése: jogalap nélküli adatkezelés. A Mediaworks nem rendelkezett megfelelő jogalappal ahhoz, hogy a térképre mutató link (illetve a térkép nevét tartalmazó kép) közzétételével hozzáférést biztosítson az érintettek személyes adataihoz. A cég a sajtószabadságra és jogos érdekre hivatkozott, de a Hatóság megállapította, hogy közel kétszázezer ember privát adataihoz – név, lakcím, telefonszám, e-mail, geolokációs koordináta – való hozzáférés biztosítása messze túlmutat a közügyekről való tájékoztatás keretein.
2. A GDPR 9. cikk (1) bekezdésének megsértése: különleges adatok jogellenes kezelése. A térkép alapján következtetni lehetett az érintettek politikai véleményére, ami a GDPR szerinti különleges személyes adatnak minősül. Ilyen adatok kezelése főszabályként tilos, és a Mediaworks nem tudta igazolni, hogy a GDPR 9. cikk (2) bekezdése szerinti bármely kivétel alkalmazható lenne, amely a különleges adatok kezelését jogszerűen lehetővé tette volna.

A Hatóság a jogsértést szándékosnak minősítette. Ennek alapja az volt, hogy a Mediaworks bizonyíthatóan ismerte a NAIH korábbi vonatkozó közleményét (sőt, az érintett cikkekben, illetve külön tudósításban kifejezetten idéztek ebből a közleményből), amelyben a hatóság kifejezetten jogszerűtlennek nyilvánította az ilyen típusú linkmegosztást. Ennek ellenére döntöttek úgy, hogy közzéteszik a térkép elérhetőségét.

3. A bírság meghatározásánál figyelembe vett szempontok

A Hatóság számos súlyosító körülményt azonosított:

• Szándékosság: A Mediaworks a NAIH figyelmeztetése és a vonatkozó adatvédelmi követelmények ismeretében cselekedett.
• Az érintettek rendkívül magas száma: Közel kétszázezer személy személyes és különleges adatait érintette a jogsértés.
• Különleges adatok érintettsége: Politikai véleményre utaló különleges adatok is hozzáférhetővé váltak, ami fokozott kockázatot jelent.
• Kiszolgáltatott érintettek: Az adatok nem az érintettek szabad akaratából kerültek nyilvánosságra, hanem bűncselekmény útján.
• Politikailag felfokozott időszak: A közzététel az országgyűlési választások előtt öt hónappal történt, ami fokozta a zaklatás, megfélemlítés és társadalmi megbélyegzés kockázatát.
• Korábbi elmarasztalások: A Hatóság korábban is többször bírságolta már a Mediaworkst adatvédelmi jogsértések miatt, köztük különleges adatokat érintő ügyekben is.
• Nagyszámú bejelentés: Több mint háromszáz érintett fordult a Hatósághoz.
• Médiatevékenység mint fő profil: A Hatóság elvárhatónak tartotta, hogy egy hivatásos médiaszolgáltató fokozottan ismerje és alkalmazza az adatvédelmi szabályokat.

A Hatóság néhány enyhítő körülményt is azonosított:

• Rövid jogsértési időtartam: A Mediaworks az Origó és a Magyar Nemzet cikkéből legkésőbb 1-2 órán belül eltávolította a linket, a Ripost esetében is még aznap este módosította a képet. 
• A térkép elérhetetlenné vált: november 9-én a térkép maga is hozzáférhetetlenné vált, ami csökkentette a következmények súlyát.
• Egyedi olvasók korlátozott száma: A linkek rövid elérhetőségi ideje miatt az olvasóknak csak egy része találkozhatott a működő hivatkozással.

Egyéb (semleges) körülmények:

• Az együttműködés a Hatósággal nem haladta meg a jogszabályi kötelezettséget.
• Nem érkezett bizonyítható kár bejelentése egyetlen érintettől sem.

4. A bírság mértéke, egyéb jogkövetkezmények 

Az 50 millió forint összegű bírság a Mediaworks 2024. évi nettó árbevételének (70,28 milliárd forint) mindössze 0,07%-át teszi ki, ami messze elmarad a GDPR szerinti 20 millió eurós vagy az árbevétel 4%-os maximumtól. A Hatóság emellett megtiltotta a térkép elérhetőségének ismételt közzétételét, és elrendelte a határozat nyilvánosságra hozatalát is.

5. Tanulságok 

• A sajtószabadság nem jelenti azt, hogy más alapvető jogok teljességgel felülírhatók. A Hatóság egyértelművé tette, hogy a közérdeklődésre számot tartó eseményről való tudósítás nem jelent korlátlan felhatalmazást személyes adatok nyilvánosságra hozatalára. Az ügyről úgy is lehetetett tájékoztatni (ahogy ezt számos, felelős sajtóorgánum megtette), hogy nem osztottak meg olyan linket vagy információt, amelyen keresztül a személyes adatok közvetlenül elérhetők. 
• A közvetett hozzáférés is adatkezelés. Nem szükséges az adatokat közvetlenül a cikkben közölni ahhoz, hogy az adatkezelői felelősség megállapítható legyen. Egy link vagy akár egy kép, amelyről leolvasható egy URL-cím, ugyanúgy megalapozza az adatkezelői minőséget.
• A "mindenki más is megtette" nem védekezés. A Mediaworks arra hivatkozott, hogy a térkép már korábban nyilvánosan elérhető volt. A Hatóság ezt kategorikusan elutasította: az, hogy bűncselekmény útján szerzett adatokat más is nyilvánosságra hozta, semmilyen módon nem ad jogalapot a további terjesztésre.
• Hatósági figyelmeztetés figyelmen kívül hagyása: szándékosság. Ha egy adatkezelő egy felügyeleti hatóság nyilvános közleményében foglalt figyelmeztetés ellenére cselekszik, magatartása nem minősülhet puszta gondatlanságnak.
• Érdekmérlegelés elvégzése nélkülözhetetlen. A jogos érdekre alapított adatkezelés csak akkor jogszerű, ha az adatkezelő előzetesen, precíz és dokumentált érdekmérlegelést végez. A Mediaworks ezt nem tette meg.

6. Kritikai észrevételek: mennyire volt szigorú a Hatóság?

Az 50 millió forintos bírság első ránézésre magas összegnek tűnhet a magyar adatvédelmi gyakorlatban – a Hatóság maga is elismerte, hogy ez meghaladja a médiaszolgáltatókkal szembeni korábbi szankciókat. A jogsértés súlyához képest azonban a bírság még így is visszafogottnak értékelhető:

• A maximumhoz képest elhanyagolható mérték. A kiszabott összeg a Mediaworks árbevételének mindössze 0,07%-a, ami a GDPR által lehetővé tett 4%-os (vagy 20 millió eurós) plafon töredéke. Egy szándékos, különleges adatokat érintő, közel kétszázezer embert érintő jogsértés esetében – ahol a Hatóság előzetes figyelmeztetését is figyelmen kívül hagyták – jogosan merülhet fel a kérdés, hogy a bírság valóban betölti-e visszatartó szerepét.
• A szándékosság értékelése. A Hatóság ugyan megállapította a szándékosságot, és azt súlyosbító körülményként értékelte, de a végső bírságösszegben ez nem tükröződik markánsan. 
• Az érintettek számának súlya. Közel kétszázezer ember adatának közvetlen hozzáférhetővé tétele – egy politikailag felfokozott, választások előtti időszakban, ahol az érintettek sem maguk hozták nyilvánosságra adataikat – rendkívül súlyos ügy. A potenciális következmények (zaklatás, megfélemlítés, munkahelyi hátrányok, stb.) a fizikai biztonságot is veszélyeztethették. Ezzel együtt a bírság szintje inkább a közepesen súlyos jogsértésekre jellemző mértéket közelíti.
• Korábbi elmarasztalások hatása. Bár a Hatóság figyelembe vette, hogy a Mediaworkst korábban is többször bírságolták – több esetben különleges adatok kapcsán (!) is –, ez sem eredményezett drasztikusabb szankciót. Ez felvethet kérdéseket arról, hogy az ismételt jogsértők számára valóban elrettentő erejű-e az alkalmazott bírságpolitika.
• Az enyhítő körülmények relatív súlya. A rövid jogsértési időtartam (1-2 óra) kétségtelenül lehet enyhítő tényező, de egy országos médiaportálon ennyi idő alatt is rengetegen férhettek hozzá a tartalomhoz (a Hatóság maga is megállapította: "[..] az Origo a „gemiusAudience” szolgáltatás adatait alapul véve az öt legolvasottabb hírportál között volt 2025. november 7-én mind a „Views”, mind a „Visits” adatok tekintetében, míg a Magyar Nemzet a tizenegyedik legolvasottabb hírportál volt ugyanezen szempontokat alapul véve ezen időszakban."). Emellett a térkép pár napon belüli elérhetetlenné válása sem a Mediaworks érdeme, hanem külső tényező volt.

Összességében a határozat jogi megállapításai, a Mediaworks egyértelmű elmarasztása fontos jelzések, jelzik a média szolgáltatók fokozott felelősségét. A bírság mértéke azonban – figyelembe véve a szándékosságot, az érintettek magas számát, a különleges adatok érintettségét és a korábbi elmarasztalásokat – inkább a mérsékelt hatósági megközelítést tükrözi, semmint egy valóban elrettentő szankciót. Ez már csak azért is kiemelten fontos szempont, mert az ügyben érintett adatkezelés a magyarországi demokratikus működés és a politikai jogok szabad gyakorlása ellen intézett alattomos támadást. Ahogy a korábbi posztomban írtam: 

Ha ebben a százezreket közvetlenül, de valójában mindannyiunkat érintő ügyben az adatvédelmi intézményrendszer rosszul vizsgázik, az nagyon komoly bizalomvesztéshez vezethet és hosszú távú, súlyos következményekkel járhat az adatvédelmi jogkövetés, az adatvédelmi követelmények figyelembevétele, az adatvédelmi tudatosság alakulása kapcsán.  A NAIH-nak kulcsszerepe lehet abban, hogy az adatvédelem iránti bizalmat, a tudatosságot erősítse ezen ügy kapcsán is, ehhez azonban az kell, hogy a kikerült adatokkal bármilyen visszaélést elkövetőkkel szemben, legyenek azok médiaszolgáltatók vagy "megmondó emberek", határozottan és gyorsan fellép (alkalmazva akár az ideiglenes intézkedésre vonatkozó jogosítványait a jogsértő tartalmak eltávolítására).