Megtévesztő magatartás, elégtelen tájékoztatás
„Az adatvédelmi jogi megfelelés szempontjából alapvető követelmény, hogy a kampánnyal érintett természetes személyek egyértelmű és jól érthető tájékoztatást kapjanak arról, hogy milyen alapon, milyen célból és hogyan használják adataikat” – magyarázza Bartal Iván ügyvéd. ”Ezen felül az általános adatvédelmi rendelet (GDPR) további konkrét tartalmi követelményeket is meghatároz az adatvédelmi tájékoztatókkal kapcsolatban. Lényeges továbbá, hogy a kampányokat lebonyolító cégek tevékenysége is összhangban legyen a tájékoztatóban foglaltakkal, azaz ha például azt kommunikálják a címzettek felé, hogy a megkeresésük célja piackutatás, akkor az adataikat valóban erre, és ne más célra (marketing) használják.”
A jogsértő magatartás következménye: bírság
Mivel a hatóság szerint lényegében piackutatásnak álcázott marketing tevékenységet folytatott, az Amplifon az adatkezelés céljával kapcsolatban mind a Belügyminisztériumot, mind az érintett személyeket megtévesztette, az adatkezelés jogalapját nem megfelelően határozta meg, és a kampányok során használt tájékoztató anyagaik sem feleltek meg a GDPR rendelkezéseinek. Az adatvédelmi hatóság így ítélte meg, hogy az ügy körülményeire figyelemmel a figyelmeztetés nem elegendő szankció, ezért bírságot szabott ki.
A bírság kiszabása során a hatóság súlyosbító körülményként vette figyelembe, hogy az Amplifon a GDPR több alapvető fontosságú alapelvét is megszegte, az érintettek száma is többszázezerre rúgott, és az aktivitásokkal megcélzott érintetti kör többnyire az idősebb korosztályhoz tartozott, akik kevésbé tudják megítélni személyes adataik kezelésének jogszerűségét, és az egészségük érdekében könnyebben befolyásolhatóak. Az ügyben a GDPR alapján kiszabható bírság felső határa az érintett vállalkozások előző éves pénzügyi forgalmának 4 százaléka, vagy 20 millió euro volt, és a hatóság ennek figyelembevételével állapította meg a kiszabott bírság összegét.
