A rövid válasz: minden adatkezelési célhoz és marketing csatornához különálló hozzájárulásra van szükség. Ezt a NAIH abban a határozatában tette egyértelművé, amelyben 30 millió forintos bírságot szabott ki egy adatkezelőre, mert az direktmarketing megkeresései során megsértette a jogszerű és átlátható adatkezelés elvét, a célhoz kötöttség elvét, az előzetes tájékoztatás nyújtásának kötelezettségét, valamint nem szerzett be érvényes hozzájárulást az érintettektől, így nem rendelkezett megfelelő jogalappal az adatkezeléshez.

A döntés alapvetően összhangban áll az adatvédelmi hatóság korábbi döntéseivel, de a csatornánkénti hozzájárulás szükségessége most jelenik meg először szektor-semleges elvárásként. Érdemes a döntést alaposabban megvizsgálni azért is, mert a NAIH ebben egyértelműsítette az eddigi direkt marketinggel kapcsolatos gyakorlatát, kifejezetten pontos keretet szabva a hirdetési szakma számára nem csak online, hanem papír alapú és telefonos közvetlen megkeresések esetére is.

I. Az ügy háttere

A Magyar Éremkibocsátó Kft. (az adatkezelő) telefonos, postai és online direktmarketing tevékenységet végez. A hozzájárulások beszerzése tekintetében az érintetteket két csoportra lehet osztani: már meglévő és potenciális ügyfelek csoportjára, amelyek további alcsoportokra bonthatók.

A már meglévő ügyfelek esetén az adatkezelő a hozzájárulás megadását a megrendelések érvényességéhez szükséges aláírással kötötte össze. A potenciális ügyfelek esetén pedig a hozzájárulás beszerzése és az érintetti tájékoztatás akként különbözött, hogy azt milyen csatornán keresztül tették meg (papír alapon, telefonban vagy online).

II. A NAIH legfontosabb megállapításai

A NAIH a következő megállapításokat tette, amelyek általános jelleggel alkalmazandóak lehetnek a direkt marketing területén:

1. Az adatkezelési hozzájárulás elválasztandó a polgári jogi jellegű szerződés megkötésére irányuló „aláírástól”. Ezt a megállapítást már korábban is olvashattuk a NAIH-tól a Magyar Telekom ügyben.
2. Különálló hozzájárulás kell minden adatkezelési célhoz és marketing csatornához. A célonkénti és kapcsolati módonkénti (posta, telefon, e-mail, célzott online hirdetés) külön hozzájárulás lehetősége nemcsak online, hanem minden csatornán beszerezni kívánt hozzájárulás esetén elválasztandó egymástól. Ez a követelmény nem jelenti azt, hogy minden megjelölt célhoz egyszerre ne lehetne hozzájárulni, de az érintettnek biztosítani kell a lehetőséget, hogy egyes célok (csatornák) tekintetében külön adhasson hozzájárulást.
3. „Elektronikus kapcsolattartás” mint általános fogalom használata nem megfelelő különböző online marketing csatornák összevonására. A NAIH szerint az elektronikus kapcsolattartás alá tartozó e-mail és más célzott online hirdetés egymástól különböző cél és csatorna, így azok nem vonhatóak össze egy hozzájárulás alá. Különösen igaz ez arra, hogy az érintett által előre nem látható, akár jövőbeli kapcsolattartási formát is magában foglalhat. Ebben a körben külön kiemeli a NAIH, hogy a Google és Facebook célzott online hirdetésekhez külön hozzájárulást kell adnia az érintetteknek. Felmerül a kérdés, hogy in-app vagy push-üzenetek esetén is fennáll-e a különálló hozzájárulás kérésének kötelezettsége, de ezt a kérdést a hatóság nem vizsgálta.
4. Általános célok („további kedvező ajánlatok fogadása”) közlése nem tekinthető megfelelő tájékoztatásnak. A NAIH szerint a közvetlen üzletszerzés egy ernyőfogalom, amelynek konkrét megvalósítását szükséges megjelölni célként, például saját vagy harmadik személy termékekről szóló hirdetések küldése adott csatornán vagy meghatározott csatornákon. Külön ki kell emelni a szokásostól eltérő, az érintettek által észszerűen nem várt lényeges körülményeket, például a külföldi adatfeldolgozót és annak szerepét az adatkezelés során.
5. „Fokozott tájékoztatási elvárás” érvényesül kiterjedt és számos közreműködő által végzett, nagy számú érintett személyes adatainak közvetlen üzletszerzési célú kezelésével összefüggésben. A NAIH szerint az ilyen adatkezelés nagymértékű kockázatokkal jár, különösen, ha „amúgy is kétes és nehezen átlátható szolgáltatások”, mint a Google vagy Facebook hirdetési platformja is felhasználásra kerül. Tájékoztatás továbbá nem megfelelő, ha az alig olvasható, rendkívül apró betűvel kerül feltüntetésre. A NAIH kiemeli azt is, hogy az adatvédelmi tájékoztatás tartalma a GDPR 13. cikke alapján csak minimum követelmény, de ezen felül minden olyan információ megadása szükséges, amely fontos lehet egy tipikus érintett döntésénél (például, hogy az adatkezelő a saját vagy más vállalat termékeinek a hirdetésében is érdekelt).
6. Nem az érintett feladata a tájékoztatás más forrásból történő beszerzése. Nem megfelelő tehát, ha egy nyomtatott rövid, apróbetűs adatkezelési tájékoztatóban vagy egy telefonos script-ben csupán utalás történik az interneten elérhető adatkezelési tájékoztatóra. Az adatkezelőnek aktív kötelezettsége van a tájékoztatás olyan módon az érintett rendelkezésére bocsátására, amely igazodik az éppen használt kommunikációs csatornához.

III. Konklúzió

A határozat néhány ponton általánosan fogalmaz, így értelmezési kérdéseket vet fel a jogkövetést kialakítani kívánó adatkezelőknek. Ilyen például a „fokozott tájékoztatási elvárás”, e körben részletesebb tájékoztatást vár el a NAIH a GDPR 13. cikkében leírtakhoz képest, de hogy pontosan milyen körben, az nem derül ki a döntésből. Továbbá az sem egyértelmű, hogy a „külföldi” adatfeldolgozó az EU/EGT-n kívüli „külföldinek” vagy Magyarországhoz képest, akár EU/EGT tagállamként is „külföldinek” tekinthető a NAIH fogalomhasználatában.

Összességében viszont a felmerülő kérdéseken túl egyértelműen kiolvasható a határozatból, hogy nem lesz elegendő egy hozzájárulás kérése „közvetlen üzletszerzés” céllal, amennyiben az adatkezelők különböző csatornákon kívánják az érintetteket ajánlataikkal elérni. Fontos azt is kiemelni, hogy a direkt marketing hozzájárulást továbbra is el kell különíteni az érintett egyéb – jellemzően polgári jogi jellegű – jognyilatkozataitól. Fontos fejlemény az is, hogy a különböző csatornákon beszerzett hozzájárulást megelőzően az adott kommunikációs csatornán megfelelő tájékoztatást kell nyújtani az érintetteknek, nem lehet egy egyszerű linkre utalással elintézni a tájékoztatást. Utóbbi különösen a telefonos scriptek kiegészítésének szükségességét jelentheti.

Szerzők: