A héten 50 millió forint összegű adatvédelmi bírságot szabott ki a Mediaworks Hungary Zrt.-vel szemben a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), arra tekintettel, hogy a cégcsoport három hírportálján (Origó, Magyar Nemzet, Ripost) közzétette a Tisza Párt szimpatizánsainak megszerzett adatait (név, lakcím, telefonszám, e-mail-cím, lakcím geolokációs koordinátája) kereshetővé tévő interaktív térkép elérhetőségét.

Az 50 millió Ft-os bírság soknak tűnhet, ugyanakkor az ügy kapcsán számos olyan tényező is felmerül (kezdve az érintettek nagy számától, a politikai véleményre utaló adat, mint különleges adat érintettségéig), amelyek kapcsán felvetődik a kérdés: valójában sok vagy kevés a most kiszabott adatvédelmi bírság? Az alábbiakban a bírságösszeg meghatározását járom körül.    

1. A jogsértés(ek) azonosítása és jellemzői

1.1 A Hatóság két jogsértést állapított meg a Mediaworks Hungary Zrt. ("Mediaworks") terhére:

• GDPR 6. cikk (1) bekezdésének megsértése (jogalap nélküli adatkezelés): A Mediaworks nem rendelkezett megfelelő jogalappal ahhoz, hogy a térképre mutató link (illetve a térkép nevét tartalmazó kép) közzétételével hozzáférést biztosítson az érintettek személyes adataihoz. A cég a sajtószabadságra és jogos érdekre hivatkozott, de a Hatóság megállapította, hogy közel kétszázezer ember privát adataihoz – név, lakcím, telefonszám, e-mail, geolokációs koordináta – való hozzáférés biztosítása messze túlmutat a közügyekről való tájékoztatás keretein.
• GDPR 9. cikk (1) bekezdésének megsértése (különleges adatok jogellenes kezelése): A térkép alapján következtetni lehetett az érintettek politikai véleményére, ami a GDPR szerinti különleges személyes adatnak minősül. Ilyen adatok kezelése főszabályként tilos, és a Mediaworks nem tudta igazolni, hogy a GDPR 9. cikk (2) bekezdése szerinti bármely kivétel alkalmazható lenne, amely a különleges adatok kezelését jogszerűen lehetővé tette volna.

1.2 A GDPR alapján vizsgálandó szempontok 

A GDPR 83. cikk (2) bekezdése alapján, annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

• a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke (83. cikk (2) bekezdés a) pont);
• a jogsértés szándékos vagy gondatlan jellege (83. cikk (2) bekezdés b) pont);
• az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés (83. cikk (2) bekezdés c) pont);
• az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket (83. cikk (2) bekezdés d) pont);
• az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések (83. cikk (2) bekezdés e) pont);
• a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke (83. cikk (2) bekezdés f) pont);
• a jogsértés által érintett személyes adatok kategóriái (83. cikk (2) bekezdés g) pont);
• az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel (83. cikk (2) bekezdés h) pont);
• ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés (83. cikk (2) bekezdés i) pont);
• az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz (83. cikk (2) bekezdés j) pont); valamint
• az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség (83. cikk (2) bekezdés k) pont).

A fenti szempontok értékelését a NAIH is elvégezte a határozatában (lásd a határozat IV.2. pontját). (A Hatóság a 83. cikk (2) bekezdés c), d), i) és j) pontja szerinti körülményeket nem tartotta relevánsnak, mivel azok a konkrét ügy kapcsán nem értelmezhetők. Lásd a határozat (115) pontját.)  

a) A jogsértés jellege, súlyossága és időtartama

A jogsértés egyszeri, de több csatornán párhuzamosan végrehajtott cselekmény volt, amelyet a Hatóság egy koherens, kapcsolódó magatartásként értékelt. A Hatóság a jogsértést magas súlyúnak minősítette. Az időtartam tekintetében a térkép elérhetősége a a három portálon némileg eltérő volt (az első cikkben 1 óra 42 percig, a másodikban legfeljebb 1 óra 13 percig, a harmadikban pedig legalább 4 óra 22 percig volt elérhető a térkép), mivel a cikkek még aznap módosításra kerültek és kikerült belőlük a térképre mutató link.

Az adatkezelési tevékenység közel kétszázezer érintettre terjedt ki, akik jórészt a Tisza Párt támogatói, szimpatizánsai voltak, és akiknek személyes adatai egy korábbi adatvédelmi incidens következtében kerültek nyilvánosságra. Az érintettek kiszolgáltatott helyzetben voltak, mivel nem önként hozták nyilvánosságra adataikat.

b) A jogsértés szándékos vagy gondatlan jellege

A Hatóság megállapította, hogy a jogsértést az adatkezelő szándékosan követte el, figyelemmel arra is, hogy a cikkek publikálása előtti napon (!) a Hatóság közleményben hívta fel a médiaszolgáltatók figyelmét arra, hogy a kiszivárgott adatbázisra való hivatkozás, illetve a személyes adatokat nyilvánosságra hozó honlapra mutató link közlése is jogellenes adatkezelésnek minősülhet. Erről a közleményről az érintett hírportálok be is számoltak, sőt, saját cikkeikben idézték is a NAIH közleményének releváns megállapításait és ennek ellenére döntöttek linkek közzététele mellett.

c) Az elszenvedett kár enyhítése érdekében tett bármely intézkedés

A Hatóság ezt nem tartotta relevánsnak, hiszen kár bekövetkezéséről nem szerzett a Hatóság tudomást. 

A Hatósághoz - a határozat szerint - ugyan nem érkezett bizonyítható kárra vonatkozó bejelentés, ugyanakkor a potenciális kár rendkívül jelentős (lásd az alábbi g) pont kapcsán is): célzott zaklatás, megfélemlítés, társadalmi megbélyegzés, munkahelyi vagy családi hátrányok, személyes biztonság veszélye, a szabad politikai véleménynyilvánítás csorbulása, különösen tekintettel az országos parlamenti választások előtt öt hónappal fennálló erőteljes politikai polarizációra.

d) Az adatkezelő felelősségének a mértéke

A Hatóság ezt a pontot sem értékelte relevánsnak, vélhetően amiatt, mert a GDPR-ban ezzel összefüggésben hivatkozott cikkek alapvetően adatbiztonsági jellegűek, amelyek jelen ügyben (a térképekre mutató linkek közzététele) nem alkalmazandóak. 

e) Korábban elkövetett releváns jogsértések

A Hatóság súlyosbító körülményként értékelte, hogy a Mediaworks-öt korábban elkövetett releváns jogsértések miatt már elmarasztalta és több alkalommal adatvédelmi bírságot szabott ki vele szemben. A korábbi ügyekről a határozatból nem sok minden derül ki, mert a konkrétumokat a Hatóság kitakarta a dokumentumban (lásd a határozat (107) pontját). Az viszont kiderül a határozatból, hogy a korábban bírsággal szankcionált jogsértések három esetben különleges adatok kezelését is érintették. A Mediaworks tehát mindenképpen visszaeső, ráadásul a különleges adatok kezelése tekintetében járt el visszatérőn jogellenesen.

Ha a 2023-ban anonimizáltan közzétett határozat valóban a Mediaworks-öt érinti, ahogy az alappal feltételezhető, akkor a most megállapított 50 millió Ft-os bírság nagyságrendjét más megvilágításba helyezheti, hogy 2023-ban, egyetlen személy érintettsége esetében is 10 millió Ft-ot szabott ki a NAIH.* Ehhez képest 200 ezer főt érintő ügyben, különleges adatok (politikai vélemény) vonatkozásában az 50 millió Ft nem látszik olyan óriási ugrásnak.... 

f) Az együttműködés mértéke

A Hatóság ezt a szempontot semleges körülményként értékelte, mivel ez az együttműködés mértéke nem haladta meg a jogszabályokban foglalt kötelezettségeket. (Lásd határozat (112) pont.)

g) Érintett személyes adatok kategóriái

A jogsértések magas súlyosságát támasztotta alá - ahogy azt a Hatóság is megállapította -, hogy a jogsértések az érintettek magánszférára vonatkozó személyes adataira (név, e-mail cím, telefonszám, lakcím, lakcím geolokációs koordinátája), valamint politikai véleményre utaló különleges adatukra terjedt ki (lásd határozat (104) pontja.). A politikai vélemény kapcsán rögzíti a NAIH (lásd határozat (104) pont, kiemelések tőlem), hogy 

Utóbbi adat az általános adatvédelmi rendelet 9. cikk (1) bekezdése alapján különleges személyes adatnak minősül, ezért annak kezelése magasabb kockázattal jár az érintettek számára. Az érintettek magánszférára vonatkozó adatainak – különösen a lakcímüknek és a lakcímükre vonatkozó helymeghatározó adatoknak –, valamint a politikai véleményükre utaló adataiknak a terjesztése ugyanis figyelembe véve a Cikkek közzététele időpontjában – az országos parlamenti választások előtt öt hónappal – fennálló erőteljes politikai polarizációt számos potenciális negatív következménnyel járhat az érintettekre nézve (célzott zaklatás, társadalmi megbélyegzés, hátrányos megkülönböztetés, megfélemlítés, munkahelyi vagy családi konfliktusok, hátrányok, személyes biztonság veszélye, szabad politikai véleménynyilvánítás csorbulása), így a Hatóság úgy értékelte, hogy a pártot támogató érintettek személyes adatainak jogellenes hozzáférhetővé tétele – azon túlmenően, hogy az a 9. cikk (1) bekezdése alapján egyébként is különleges személyes adatokat érintett -, magas súlyosságú jogsértésnek minősül amiatt is, mivel az egy politikailag felfokozott, választások előtti időszakban történt meg.

h) A felügyeleti hatóság tudomásszerzése a jogsértésről

A Hatóság szintén súlyosító körülményként értékelte, hogy a Hatósághoz több mint háromszáz adatvédelmi hatósági eljárás iránti kérelem érkezett az érintettektől.

[i) és j) pontok - nem relevánsak]  

k) Egyéb súlyosbító vagy enyhítő tényezők

A Hatóság az "egyéb" kategóriába sorolható súlyosbító vagy enyhítő tényezőket a bírság összegének meghatározása során nem vett figyelembe. (Lásd a határozat (114) pontja.)

2. A bírság kiszabásának módszertana

A Hatóság - ahogy ezt magában a határozatban is rögzítette (lásd a határozat (98) pontját) - az Európai Adatvédelmi Testületnek az általános adatvédelmi rendelet szerinti közigazgatási bírságok kiszámításáról szóló 4/2022. számú iránymutatására (a továbbiakban: Bírság Iránymutatás) támaszkodott a bírságolás kapcsán.  

Az iránymutatás alapján az alábbi lépések szükségesek a bírságkiszabás kapcsán:

1. lépés: Az adatkezelési műveletek azonosítása és a GDPR 83. cikk (3) bekezdésének alkalmazása

Az EDPB iránymutatása szerint elsőként meg kell határozni, hogy egy vagy több szankcionálható magatartásról van-e szó.

2. lépés: A kiindulási összeg meghatározása

Kategorizálás a GDPR 83. cikk (4)–(6) bekezdése alapján

A GDPR 6. cikk és 9. cikk megsértése a 83. cikk (5) bekezdés a) pontja szerinti magasabb bírságkategóriába tartozik, amelynek felső határa 20 millió euró vagy a vállalkozás éves árbevételének 4%-a, attól függően, hogy melyik a magasabb. 

Ahogy fentebb láttuk - a Mediaworks árbevétele alapján - az alkalmazandó jogszabályi felső határ a 20 millió euró. 

A jogsértés súlyossága

Az EDPB iránymutatása szerint a súlyosságot alacsony, közepes vagy magas szintre kell besorolni. A jelen ügyben a releváns tényezők értékelése egyértelműen MAGAS súlyosságra utal. Az iránymutatás szerint, magas súlyossági szint esetén a kiindulási összeg a jogszabályi felső határ 20–100%-a, azaz 4 millió – 20 millió euró. 

Tekintettel a rövid időtartamra és a - hatósági eljárásban - bizonyított kár hiányára (amelyek a magas szinten belül a sáv alsó felébe pozicionálják az ügyet), a kiindulási összeg az 1. lépésben - az iránymutatás logikáját követve - 6–10 millió euró körül lenne meghatározható.

Kiigazítás a vállalkozás forgalma alapján

A Mediaworks árbevétele (2024-es adat) 70,28 milliárd Ft (kb. 196 millió EUR-nak feleltethető meg mostani HUF/EUR árfolyamon) a 100–250 millió euró közötti sávba esik. E sávban az iránymutatás a kiindulási összeg 15–50%-ára történő kiigazítást javasol. 

Mivel a Mediaworks árbevétele inkább a sáv felső tartományában helyezkedik el (~196M a 100–250M sávban), a kiigazítási szorzó a sáv közepénél magasabban határozható meg, azaz kb. 35–45%.  

Kalkuláció (illusztratív):

• 1. lépés kiindulási összeg: 8 millió EUR (a magas szint alsó-középső tartományában),
  2. lépés kiigazítás: 8M × 40% = 3 200 000 euró kiigazított kiindulási összeg,

Az EDPB táblázata szerint a 83. cikk (5) bekezdés, magas súlyosság, 100–250M EUR forgalom kategóriában a kiindulási összeg tartománya 600 ezer – 10 millió euró.  A korrigált kiindulási összegként meghatározott 3,2 millió euró e tartományba esik, azaz megfelel az iránymutatásnak.

3. lépés: Súlyosbító és enyhítő körülmények

Az EDPB iránymutatása szerint a kiindulási összeg meghatározása után értékelni kell a további súlyosbító és enyhítő körülményeket. A súlyosbító és enyhítő körülmények összevetése alapján a nettó hatás: a korábbi jogsértések és a szándékosság súlyosbító jellege részben ellensúlyozza a rövid időtartamot, de a gyors korrekciónak is jelentős enyhítő hatása van. Az összesített hatás nagyjából ±0 és +20% közötti emelést indokolhat.

Kalkuláció: 3 200 000 euró × 1,15 (konzervatív nettó emelés) ≈ 3 680 000 euró

4. lépés: Jogszabályi maximum ellenőrzése

A kiszámított összeg (kb. 3,2–3,7 millió euró között) messze az alkalmazandó 20 millió eurós jogszabályi maximum alatt marad, ezért nincs szükség felülről történő korrekcióra a maximum elérése miatt.

5. lépés: Hatékonyság, arányosság és visszatartó erő

Az EDPB iránymutatása szerint a végső összeget ellenőrizni kell a hatékonyság, arányosság és visszatartó erő hármas követelménye szempontjából:

• Hatékonyság: A bírságnak ténylegesen szankcionálnia kell a jogsértést.  
• Arányosság: A bírságnak arányban kell állnia a jogsértés súlyával, de nem lehet túlzott az adatkezelő gazdasági helyzetéhez képest. 
• Visszatartó erő: A bírságnak elegendőnek kell lennie ahhoz, hogy a bírsággal érintett adatkezelőt és más piaci szereplőket elrettentse hasonló jogsértéstől. 

Egy több, mint 70 milliárd Ft (kb. 196 millió euró) éves forgalmú vállalkozás esetében a 3–4 millió euró közé eső összeg az árbevétel kb. 1,5–2%-át tenné ki. 

3. A NAIH által ténylegesen kiszabott bírság

3.1 A kiindulási bírság összeg 

Ahogy fent láttuk, a NAIH a bírságszámítás kiindulási összegének meghatározásakor - a GDPR-ban és a Bírság Iránymutatásban foglaltak szerint - a Mediaworks Hungary Zrt. 2024. évi konszolidált nettó árbevételét vette alapul (lásd határozat (117) pontja),amely 70.279.652.000 Ft volt. A GDPR 83. cikk (5) bekezdése szerinti 4%-os bírságmaximum alapján ez 2.811.186.080 Ft (kb. 7,85 millió EUR), ami alatta marad a statikus 20 millió eurós felső határnak, így a 20 millió eurós felső határ az alkalmazandó a jelen ügyben.

3.2 A módosító tényezők értékelése

Röviden összefoglalva a Hatóság az alábbi tényezőket értékelte a végső bírságösszeg meghatározásánál:

Súlyosító körülmények:

Enyhítő körülmények:

3.3. Hatékonyság, arányosság, visszatartó erő vizsgálata 

E körben a NAIH az alábbiakat rögzíti (kiemelések tőlem): 

(118) [...] Ebből következően az Ügyfél számára nem jelent aránytalan terhet a megállapított bírság összege, ugyanakkor a kiszabott bírság az Ügyféllel szemben a jelen határozat meghozatalát megelőzően megállapított közigazgatási bírságok összegére is figyelemmel a jogsértések súlyához igazodóan arányos és visszatartó erejű. A kiszabott bírság továbbá ösztönző erővel bír arra, hogy a jövőben fokozott figyelemmel legyen adatkezelési tevékenységeire, azokat az általános adatvédelmi rendelet rendelkezéseivel összhangban végezze és a jövőben tartózkodjon a hasonló jogsértésektől.
(119) A Hatóság – az általános adatvédelmi rendelet 83. cikk (1) bekezdésére tekintettel – a bírság arányossága körében figyelembe vette azt is, hogy az Ügyfélhez hasonlóan médiaszolgáltatási tevékenységet végző adatkezelőkkel szemben korábban mekkora összegű bírságot szabott ki. A Hatóság megállapítja, hogy jelen ügyben a jogsértés magas súlyára és a súlyosító körülményekre tekintettel – emellett figyelembe véve az enyhítő körülményeket is – az ötvenmillió forint összegű bírság nem tekinthető kirívónak vagy eltúlzottnak a korábbi határozatai esetében megállapított bírságösszegekhez képest (a Hatóság médiaszolgáltatókkal szemben […] már több alkalommal szabott ki tízmillió forint összegű bírságot).

A Hatóság sokkal inkább azt igyekezett igazolni a fentiek alapján, hogy semmiképpen nem eltúlzott a bírság. Ugyanakkor az eset számos súlyosító körülménye alapján, különös tekintettel arra, hogy a demokratikus működés, a sajtó jogszerű működése kapcsán alapvető fontosságú érdekek védelme merült fel az ügy kapcsán, erősen megkérdőjelezhető, hogy az arányosság elve megvalósult-e jelen ügyben. Korábban egyetlen személyt érintő ügyben is szabott ki a Hatóság 10 millió Ft-os bírságot, akkor miképpen lehet arányos a 200 ezer érintett, különleges adatának jogellenes kezelése kapcsán a csupán ötszörös szorzó? Ráadásul a Hatóság a saját figyelmeztetését tudatosan figyelmen kívül hagyó, kirívóan jogsértő magatartást sem szankcionálta elég határozattan, rossz üzenetet küldve ezáltal az adatkezelők széles körének.    

Visszatartó erőről is nehezen beszélhetünk, ha az elérhető adatok alapján az látszik, hogy a Mediaworks - szándékosan - több alkalommal követett el adatvédelmi jogsértést, egyes esetekben (mint például a jelen ügyben is) kifejezetten politikai motivációval a háttérben. Láthatóan a tízmilliós adatvédelmi bírságok nem igazán tartották vissza a Mediaworks-öt az újabb jogsértések elkövetésétől.   

3.4 A végleges bírságösszeg 

A NAIH végül 50.000.000 Ft (kb. 139.677 EUR) bírságot szabott ki, ami az éves nettó árbevétel 0,07%-a.

4. A NAIH által kiszabott bírság értékelése

Az EDPB módszertanának következetes alkalmazása esetén, a súlyosító és enyhítő körülmények egyensúlyba hozása alapján - véleményem szerint - a bírságösszeg-tartományt magasabban kellett volna meghatározni, kilépve a tízmilliós sávból, inkább a 100–500 millió Ft közé eső sávba emelve, még akkor is, ha egyes enyhítő körülményeket (pl. rövid időtartam és a kár bizonyítottságának hiánya) nagy súllyal vett figyelembe a Hatóság, hiszen 

• nagyon súlyos, szándékos jogsértésről van szó, 
• nagyszámú érintettel, 
• különleges adatokra (politikai vélemény) vonatkozóan, 
• a demokratikus joggyakorlást érintő ügyben, 
• kiélezett politikai környezetben.  

A Bírság Iránymutatás figyelembevételével kalkulált összeg, még jelentős mérséklés esetén is messze a ténylegesen kiszabott bírság (50 millió Ft) felett lenne, az eltérés többszörös. Természetesen vannak szempontok, amelyek a Bírság Iránymutatás alapján kalkulált összeg lefelé történő korrigálása mellett szólnak, így különösen:

• A NAIH  médiaszolgáltatókkal kapcsolatos gyakorlata: A Hatóság maga is hivatkozott arra, hogy médiaszolgáltatókkal szemben korábban már több alkalommal szabott ki 10 millió Ft összegű bírságot, és az 50 millió Ft ehhez képest ötszörös emelést jelent. 
• A magyar bírságkiszabási szint általános jellemzői: A NAIH bírságolási gyakorlata az európai átlaghoz képest hagyományosan alacsonyabb szinten mozog. Ritka az 50 millió Ft-ot meghaladó bírság (lásd alább), a NAIH által kiszabott eddigi legmagasabb bírság 250 millió Ft volt 2022-ben (NAIH-85/2022). 

Az eddig Magyarországon kiszabott magasabb összegű adatvédelmi bírságok az alábbiak szerint alakultak: 

A fenti összehasonlításból is kitűnik, hogy a Mediaworks tekintetében kiszabott 50 millió Ft bírság ugyan a hazai gyakorlat felső sávjában helyezkedik el, de a jogsértés objektív súlyához (szándékosság, kb. 200.000 érintett, különleges adat, politikai kontextus, demokratikus joggyakorlással szembeni akció, korábbi elmarasztalások, NAIH korábbi közleményének kifejezett figyelmen kívül hagyása) képest mégis túlzottan mérsékelt.