A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) nemrégiben nyilvánosságra hozott határozata (NAIH-359-10/2026) 25 millió Ft-os bírságot állapított meg egy transznemű személy személyes és különleges adatainak jogellenes nyilvánosságra hozatala miatt. 

1. Mi történt? – A tényállás rövid összefoglalása

A blikk.hu oldalon két cikk jelent meg, amelyek egy transznemű személy nyugellátásával kapcsolatos peres eljárásról tudósítottak. A cikkek nem csupán a per lényegét mutatták be, hanem az érintett személy számos személyes adatát is közölték: jelenlegi és korábbi keresztneveit, részletes életrajzi adatokat (korábbi munkahely, munkába állás időpontja), testi adottságaira vonatkozó leírásokat, a nemi megerősítő beavatkozásra utaló információkat, valamint két fényképet is. Az érintett személy (a Kérelmező) a tárgyaláson kifejezetten tiltakozott a fényképezés és neve közzététele ellen, a cikk ezt maga is idézi: „kérem, ne fotózzanak, és a nevemet se írják ki." Ennek ellenére a Blikk munkatársa két fényképet is készített, köztük egy hátulról készült felvételt, amelynek elkészültét az érintett nem is észlelhette.

A Kérelmező jogi képviselője két alkalommal is kérte a Blikk szerkesztőségétől e-mailben az adatok és fényképek eltávolítását, azonban egyetlen választ sem kapott, és a cikkek változatlan formában elérhetőek maradtak. A Kérelmező végül a NAIH-hoz fordult, amely 2025 márciusában hivatalos eljárást indított. A Blikk Kft. csak a hatóság tényállás-tisztázó végzésének kézhezvételét követően törölte a cikkeket teljes terjedelmükben. 

2. Milyen jogsértéseket állapított meg a hatóság?

A NAIH három fő jogsértést állapított meg: 

• Személyes adatok jogalap nélküli nyilvánosságra hozatala (GDPR 6. cikk (1) bekezdés f) pont): A Blikk arra hivatkozott, hogy a cikkek közérdeklődésre számot tartó ügyről tudósítottak, és az érintett személy az adatok alapján nem volt azonosítható, tehát szerintük adatkezelés sem valósult meg. A NAIH azonban ezt az érvelést egyértelműen elutasította. A Hatóság megállapította, hogy bár az érintett teljes neve helyett monogramot használtak és az arcát kitakarták a fényképeken, a cikkekben szereplő információk összessége – a korábbi és jelenlegi keresztnév, a háromtagú monogram, az életrajzi adatok, a jellegzetes testi adottságok leírása és a fényképek – alkalmas volt az érintett azonosítására. A hatóság rámutatott: a közérdeklődésre számot tartó ügy érdemi tartalma közölhető lett volna az érintett személyes adatainak nyilvánosságra hozatala nélkül is. A Blikk érdekmérlegelési tesztet sem végzett, mert saját szubjektív megítélése alapján nem tekintette az adatközlést adatkezelésnek.
• Különleges adatok jogellenes kezelése (GDPR 9. cikk (1) bekezdés): A NAIH gyakorlata szerint a transzneműségre vonatkozó adat egészségügyi adatnak, azaz különleges személyes adatnak minősül, mivel a nemváltoztatás pszichés okból, orvosi diagnózis alapján történik, és kihatással van az érintett egészségi állapotára, szexuális életére és mentális állapotára is.* A különleges adatok kezelése a GDPR 9. cikk (1) bekezdése szerint főszabály szerint tilos, és jogos érdekre mint jogalapra különleges adat esetében nem lehet hivatkozni, ha nem áll fenn a 9. cikk (2) bekezdésében felsorolt valamely kivétel. Ilyen kivétel jelen esetben nem volt megállapítható.

• A törlési kérelem figyelmen kívül hagyása (GDPR 12. cikk (4) bekezdés): A harmadik – hivatalból megállapított – jogsértés az volt, hogy a Blikk a Kérelmező törlési kérelmeit teljesen figyelmen kívül hagyta. A Kérelmezett maga is elismerte, hogy a törlési kérelmek „adminisztratív hiba" miatt nem kerültek döntési kompetenciával rendelkező személy elé, és semmilyen, a GDPR 12. cikke szerinti intézkedést nem tett: nem teljesítette a kérelmet, illetve nem értesítette az érintettet a nemteljesítés okáról.

3. Hogyan határozta meg a Hatóság a bírság összegét?

A NAIH 25 millió forint összegű adatvédelmi bírságot szabott ki. A bírság meghatározásánál a hatóság az Európai Adatvédelmi Testület 4/2022-es iránymutatásának módszertanát alkalmazta, és az alábbi súlyosító és enyhítő körülményeket vette figyelembe.

Súlyosító körülmények:

• A Blikk különleges személyes adatot hozott nyilvánosságra megfelelő jogalap nélkül.
• Az érintetti törlési kérelmet figyelmen kívül hagyta, arra semmilyen választ nem adott.
• A Kérelmező által elszenvedett kár jelentős, mivel a különleges adat nyilvánosságra kerülése utólag nem orvosolható.
• A jogsértés szándékos volt, a tájékoztatás az érintett azonosítható adatainak nyilvánosságra hozatala nélkül is megvalósítható lett volna.
• A Hatóság rosszhiszeműnek értékelte, hogy az érintett - cikkben is olvasható - tiltakozása ellenére készítettek és tettek közzé róla fényképet.
• Továbbá a Blikk nem első alkalommal sértette meg a GDPR rendelkezéseit (lásd NAIH-2853-1/2022. számú határozat).

Enyhítő körülmények:

• A Blikk a NAIH eljárása során önkéntesen, teljes terjedelmükben törölte a cikkeket.
• A jogsértés egyetlen személyt érintett. 
• A Kérelmezett (Blikk) intézkedést hozott a jövőre nézve annak érdekében, hogy az érintetti kérelmek a megfelelő döntéshozóhoz kerüljenek.

4. A bírság elhelyezése a skálán: mennyire volt szigorú a Hatóság?

A IndaNext Hungary Kft. (a Blikk Kft. jogutódja) 2024-es nettó árbevétele mintegy 12,1 milliárd forint volt, ami alapján a GDPR szerinti bírságmaximum az előző évi forgalom 4%-a, azaz körülbelül 484 millió forint volt. Az Iránymutatás módszertana szerint a vállalkozás árbevételi kategóriája és a „jelentős súlyú" jogsértés besorolás alapján a kiszabható bírság sávja 60 000 eurótól (kb. 21,5 millió Ft) 2 000 000 euróig (kb. 718 millió Ft) terjedt. A végül kiszabott 25 millió forint tehát gyakorlatilag a sáv aljára esik, amit a Hatóság maga is rögzített a határozatban: a bírság "nagyjából a kiszabható minimum összeggel [...] egyezik meg." 

A bírság a kiszabható sáv legalsó tartományában mozog, ugyanakkor fontos rögzíteni, hogy jelen esetben egyetlen személyt érintő adatkezelésről volt szó, amely kapcsán a 25 millió Ft-os bírságösszeg már elég tekintélyesnek tekinthető. 

A hatóság kifejezetten szándékosnak minősítette a jogsértést, ami a GDPR bírságkiszabási szempontrendszerében az egyik súlyosító elem. A rosszhiszeműség megállapítása (az érintett tiltakozása ellenére, hátulról készített fénykép közzététele) szintén súlyosbító körülmény, amelynek a bírság összegében is tükröződnie kell.

Érdemes kiemelni, hogy a Blikk visszaeső jogsértő – korábban is megállapítottak vele szemben GDPR-jogsértést (NAIH-2853-1/2022) –, ami szintén a bírság növelése irányába ható tényező. 

A határozat az adatvédelmi elveket következetesen alkalmazza, alaposan indokolt, és egyedi ügyre vonatkozik, és a Blikk korábbi megbírságolására tekintettel fokozatosnak is tekinthető (a bírság összegét tekintve is). Arra a kérdésre pedig, hogy valódi visszatartó erővel rendelkezik-e, a jövő adja majd meg a választ.

5. Tanulságok – Mire érdemes figyelni?

Az ügy több fontos gyakorlati tanulságot is hordoz:

• Az "anonimizálás" nem egyenlő a monogram használatával és az arc kitakarásával. A NAIH ismét világossá tette, hogy az azonosíthatóságot az összes rendelkezésre álló információ alapján kell megítélni, és ha a közölt adatelemek kombinációja lehetővé teszi az érintett beazonosítását – akár közvetett módon is –, akkor személyes adatkezelésről van szó ("[...] az egyes adatdarabok kombinációja az anonimitást ténylegesen megszüntette", lásd határozat (33) pont).
• A "közérdeklődésre számot tartó ügy" nem korlátlan felhatalmazás a sajtó által történő adatkezelésre. A sajtó tájékoztatási kötelezettsége nem jelenti, hogy bármilyen személyes adat szabadon felhasználható a tudósítás "színesítése" céljából. Az érdemi tartalom közölhető lett volna az érintett adatai nélkül is. Ha az adatkezelő megítélése szerint a közléshez érdemben szükséges a személyes adat nyilvánosságra hozatala, akkor megfelelő jogalapot kell biztosítani az adatkezeléshez, amennyiben pedig ez a jogos érdek, akkor érdekmérlegelési tesztet kell végezni. (Lásd erre vonatkozóan a Mediaworks-öt érintően hozott elmarasztaló határozatot is, amelyben a NAIH 50 millió Ft-os bírságot szabott ki.)
• A törlési (és egyéb érintetti joggyakorlásra irányuló) kérelmeket komolyan kell venni. Egy szervezet nem hivatkozhat arra, hogy a kérelem "nem jutott el a döntéshozóhoz". A GDPR 12. cikk (4) bekezdése kifejezetten előírja, hogy ha az adatkezelő nem tesz intézkedéseket a kérelem kapcsán, arról legkésőbb egy hónapon belül tájékoztatnia kell az érintettet.
• A különleges adatok kezeléséhez a GDPR 6. cikke mellett a 9. cikk (2) bekezdése szerinti kivétel fennállása is szükséges. A transzneműségre vonatkozó adat egészségügyi adatnak minősül, és kezelése a GDPR 9. cikke alapján fokozott védelmet élvez, így a jogos érdek fennállása (ha érdekmérlegelési teszttel alátámasztva, ez igazolt is lenne) önmagában nem lenne elegendő, a 9. cikk (2) bekezdése szerinti kivétel fennállása szintén szükséges (lásd határozat (80)-(81) pontok). Ez természetesen vonatkozik minden különleges adatnak minősülő adatkategóriára.