Vissza az összes hírhezI. Tényállás
A Hatósághoz érkezett fogyasztói megkeresések arról számoltak be, hogy kéretlen levelet kaptak a vállalkozástól, amely teljes körű, ingyenes egészségügyi állapotfelmérésre szóló meghívót tartalmazott. A levélben volt egy ún. „egészségmegőrző lap” is, amelynek kitöltésével és az egészségnap szervezőjének való átadással vállalták, hogy ingyenesen végzik el a meghívottakon a meghívóban szereplő szűrővizsgálatokat, és egyéb kisebb értékű ajándékot is kapnak, emellett nyereményjátékban is részt vehetnek. A nyomtatványon a személyes adatokon kívül az érintett egészségi állapotára- így különösen betegségeire, és az általa szedett gyógyszerekre- vonatkozó különleges adatok megadására hívták fel az érintetteket, azonban az adatok kezelésének módjáról, céljáról, jogalapjáról a megismerésre jogosultak köréről, így azinformációs önrendelkezési jogról és az információszabadságról 2011. évi CXII. törvény az (továbbiakan: Infotv.) 20. § (1) és (2) bekezdéseiben foglaltakról semmilyen tájékoztatást nem adtak. Azon rövid, apró betűs értesítés volt csak feltüntetve, hogy az „érintettek személyes adatait abból a célból használjuk, hogy a későbbieken kedvező ajánlatokkal megkeressük őket.” A meghívottak figyelmét a nyomtatványon felhívták azonban arra is, hogy amennyiben a termékbemutatón részt kívánnak venni, hozza magával a személyi igazolványát is.
II. A Hatóság eljárása – először a cég elérhetetlennek bizonyult
A Hatóság a bejelentések alapján megkereste a vállalkozást, és tájékoztatás nyújtására szólította fel az adatkezelésével kapcsolatban. A vállalkozás ügyvezetője előadta, hogy a panaszosok adatait „szórólap terjesztése közben” jegyezték fel. Megjegyezte azt is, hogy termékbemutató során senkitől nem kérnek személyi azonosító igazolványt, a meghívottak figyelmét csak azért hívják fel, mivel ha valaki banki hitelt szeretne felvenni a termék megvásárlásához, akkor ez az okmány a szerződés megkötéséhez szükséges. Tájékoztatása szerint nem kezelik a résztvevők személyes adatait, és azokat nem is továbbítják. Mivel az ügyvezető nem adott teljes körű felvilágosítást az adatkezelés folyamatáról, és lényeges elemeiről, ezért a Hatóság részéről újbóli megkeresésre volt szükség. A megkeresett azonban a kitűzött határidőig nem adott tájékoztatást az adatkezelés folyamatáról, módjáról. A leírtakra figyelemmel a Hatóság adatvédelmi hatósági eljárás kezdeményezéséről döntött az Infotv. 60. § (1) és (4) bekezdése alapján a vállalkozás termékbemutatók tartására vonatkozó általános adatkezelési gyakorlatával, valamint az egészségnapok, termékbemutatók során birtokába került személyes és különleges adatok kezelésével kapcsolatban. Az eljárás megindításáról szóló végzésben a Hatóság felhívta a vállalkozást a kérdések megválaszolására az üggyel kapcsolatban, azonban a kitűzött határidőig a vállalkozás nem válaszolt a Hatóság végzésére sem.
A Hatóság később arról is értesült, hogy a Székesfehérvári Törvényszék Cégbírósága 2014 októberében elrendelte a cég kényszertörlési eljárás keretében történő törlését, mivel több hatóságtól is érkezett olyan bejelentés, hogy a bejelentett székhelyén nem érhető el, valós gazdasági tevékenységet pedig valószínűsíthetően nem folytat. Közben a vállalkozásnál az ügyvezető személye is megváltozott, akinek címére a Hatóság közvetlenül kísérelte meg kézbesíteni a cég adatkezelésére vonatkozó kérdéseket tartalmazó korábbi végzést. A visszaérkezett tértivevény szerint a végzést a címzett átvette, arra azonban a megadott határidőn túl sem válaszolt.
III. A termékbemutatót szervező cég nyilatkozata
Ezért a Hatóság a meghallgatáson tanúként idézte a korábbi ügyvezetőt, figyelemmel arra, hogy az ő ügyvezetése alatt fejtette ki a vállalkozás a tényleges gazdasági tevékenységet. Nyilatkozata szerint a meghívókat név nélkül dobták be a postaládákba, csak akkor címezték meg azokat név szerint, ha doktori címmel rendelkező személyt is találtak, azért, hogy orvosok is eljöjjenek a rendezvényre. Szerinte a vállalkozás nem tartotta nyilván, hogy mennyi szórólapot dobott be, és a címekről adatbázist nem hozott létre.
Nem volt tudomása arról, hogy a meghívók második oldalain lévő különleges adatok megadását is kérte a vállalkozás. A meghívókkal kapcsolatos kereskedelmi ügyintézést ugyanis a kereskedelmi igazgató intézte. A Hatóság tanúként idézte a meghallgatásra a kereskedelmi igazgatót, aki elmondta, hogy a termékbemutatókat és a termékértesítést ő szervezte, az előadásokat is ő tartotta. A kérdőívekkel kapcsolatban arról nyilatkozott, hogy a meghívót és az egészségügyi adatok megadását kérő kérdőíveket ő fogalmazta meg, és állította össze. A kérdőíveket nem volt kötelező kitölteni, a kérdőívek alapján a hallgatóságra jellemző betegségek szerint próbálta meg az előadás témáját terelni. A kitöltött kérdőíveket az előadás végén megsemmisítették, azokat nem kezelték tovább. A meghívottakat az egészségügyi adataik vonatkozásában semmilyen formában nem tájékoztatták. Elmondta továbbá, hogy a meghívottak nevét és elérhetőségeit nem tárolták, adatbázist nem hoztak létre. A meghívón szereplő rövid tájékoztatással kapcsolatban kifejtette, hogy azt egy másik szórólapból ollózta össze, a rajta szereplő szöveggel ellentétben a megjelentek adatait direkt marketing célra nem használták fel.
IV. A Hatóság megállapításai
A Hatóság a leírtakra figyelemmel határozatában megállapította, hogy a termékbemutatóval egybekötött termékértékesítési tevékenység a hagyományostól eltérő kereskedelmi formák egyike, ahol a fogyasztók több tekintetben is fokozott védelmet igényelnek. A vállalkozás a lézerterápiás termék forgalmazásával foglalkozik, amelyeket termékbemutató keretében értékesít. A vállalkozás köti meg a szerződéséket, és állítja ki a számlát, és a fogyasztói szavatossági jogok érvényesüléséért is felelősséggel tartozik. A fogyasztók adatait is a vállalkozás kezeli, ezért őt terheli a tájékoztatási kötelezettség az adatkezeléssel kapcsolatban. Megállapítható volt tehát, hogy a kötelezett határozza meg az adatkezelés célját, annak folyamatát, azaz adatkezelőnek minősül. A Hatóság megállapította azt is, hogy az előadás iránt érdeklődő a meghívón feltüntetett időpontban és helyszínen történő megjelenésével jelzi részvételi szándékát. Az első kapcsolatfelvétel a vállalkozás részéről történt a meghívók postázása során. A fogyasztók postaládáiba bedobott meghívók hátoldalán egy kérdőív szerepelt, melyen igen sok betegséggel kapcsolatos kérdésre várt választ a vállalkozás. A kérdések például arra vonatkoztak, hogy az érintett milyen betegségben szenved, milyen gyógyszereket szed. Ezek az adatok különleges adatoknak minősülnek, figyelemmel arra, hogy az érintettek egészségi állapotára vonatkozó személyes adatok körét kimerítik. A termékbemutatókon a meghívókon szereplő, egészségügyi adatokat tartalmazó kérdőíveket a meghívottakkal kitöltették, így egészségügyi adatok kezelése történt - ezt a meghallgatáson a tanú is megerősítette. Az egészségügyi és hozzájuk kapcsolódó személyes adatok kezeléséről és a védelméről szóló 1997. évi XLII. törvény 4. §-a (2) bekezdés a ) –zs) pontja pedig taxatíve felsorolja, hogy milyen célból lehet egészségügyi és személyazonosító adatott kezelni, ez a felsorolás azonban nem tartalmazta a vállalkozás tevékenységi körét. Az adatkezelés jogalapját illetően a Hatóság megállapította, hogy annak jogalapja csak az érintett hozzájárulása lehet. Az Infotv. rögzíti azt is, hogy különleges adat csak akkor kezelhető, ha ahhoz az érintett írásban hozzájárul. A hozzájárulást pedig akkor lehet megadottnak tekinteni, ha az önkéntes elhatározáson, valamint megfelelő tájékoztatáson alapul, határozott, félreérthetetlen, továbbá azt az érintett előzetesen adta meg, vagyis, ha valódi választási lehetőség áll az érintett rendelkezésére, és megfelelően tájékoztatták az adatkezelés céljáról, jogalapjáról, és annak körülményeiről.
Mivel azonban a kérdőíveken megadni kért személyes adatok kezelésével kapcsolatban az érintettek nem kaptak megfelelő tájékoztatást, az adatkezeléshez való hozzájárulást nem tekinthető megadottnak. A vállalkozás a kérdőíven különleges adatok megadását kérte a meghívottaktól, azonban arra vonatkozó semmilyen tájékoztatást nem adott, hogy az így összegyűjtött adatokat milyen célból kéri, illetve, hogy a továbbiakban azokat hogyan kezeli, és dolgozza fel. A szórólapon a rendezvényt „szűrővizsgálat”, „állapotfelmérés” megnevezéssel tünteti fel, ám azt, hogy a rendezvény és az adatkezelés célja valójában termékértékesítés a fogyasztó számára nem derült ki. Így nem értesült a rendezvény és az ahhoz kapcsolódó adatkezelés valódi céljáról. A leírtakra tekintettel megállapítható volt, hogy a vállalkozás tevékenysége gyógyászati célú termék értékesítésében merült ki, de ezen felül nem végzett olyan tevékenységet, ami indokolttá tenné, hogy a fogyasztók egészségügyi állapotával is tisztában legyen. Az adatkezelés célja tehát egyrészt nem volt meghatározható, másrészt az adatkezelés is szükségtelen volt. Ezen kívül a meghívón szereplő apró betűs rész, amely szerint „az érintettek személyes adatait abból a célból használjuk, hogy a későbbiekben kedvező ajánlatokkal megkeressük őket” nem teljesítette a hozzájárulás fogalmát, ugyanis az apró betűs tájékoztatóval nem valósult meg az érintettek tájékoztatása. A tájékoztatásnak minden esetben ugyanis jól láthatónak, feltűnőnek és minden részletre kiterjedőnek kell lennie.
Az adatvédelmi hatósági eljárás eredményeként egyértelműen megállapítható volt, hogy a vállalkozás nem tett eleget az információs önrendelkezési jogról és az információszabadságról 2011. évi CXII. törvény foglalt tájékoztatási kötelezettségének, ezért felhívta a tájékoztatási gyakorlatának átalakítására, és 500.000 Ft adatvédelmi bírság megfizetésére kötelezte.
