Pf.20387/2025/5 – Fővárosi Ítélőtábla

(1)és

(5)bekezdésének megfelelően nem csak érintetti joggyakorlás sérelme esetén lehet bírósághoz fordulni, hanem bármely esetben, ha a személyes adatok kezelésére irányadó tagállami vagy európai uniós jogszabályok sérültek. II. A felperes választhat, hogy az Infotv. 23. §

(5)bekezdésében meghatározott, személyes adatok jogellenes kezelése miatti megállapítási, illetve egyéb igények közül melyeket érvényesíti és melyeket nem, illetve ezekből milyen valódi keresethalmazatot alkot. Nem kizárt egyedül a megállapítási igény érvényesítése, ahogy az sem, hogy a felperes megállapítási igény nélkül csak bizonyos jogkövetkezményeket kérjen. III. Amennyiben azt lehet megállapítani, hogy a személyes adatok kezelése már azért jogellenes, mert az adatkezelő nem rendelkezik valamely, a GDPR 6. cikk

(1)bekezdésében meghatározott jogalappal, akkor az az adatkezelés értelemszerűen sérti a GDPR valamennyi egyéb rendelkezését, így az alapelveket is, hiszen a jogalap nélküli adatkezelés semmiképpen nem felelhet meg a GDPR 5. cikk

(1)bekezdésében felsorolt alapelveknek sem. Az Infotv. 23. §

(5)bekezdésének megfelelően a bíróságnak a jogsértést kell megállapítania, vagyis azt az alperesi tevékenységet, amely a jogsértést okozta. Tehát ha a bíróság megállapítja az adatkezelés esetén a jogsérelem tényét azért, mert az adatkezelés jogalapja nem áll fenn, akkor a hatékony bírósági jogorvoslathoz szükségtelen a bírósági ítélet megállapító részében azt kifejezni, hogy az egyben a GDPR egyéb rendelkezéseit – köztük az alapelveket – is sérti, hiszen a jogalap hiányából következik a teljes adatkezelés minden mozzanatára kiterjedő jogszerűtlenség. Fővárosi Ítélőtábla Az ügy száma: 9.Pf.20.387/2025/5-II. A felperes: felperes felperes címe A felperes képviselője: dr. Pető Márk ügyvéd ügyvéd címe Az alperes: Miniszterelnöki Kabinetiroda 1014 Budapest, Színház utca

1. Az alperes képviselője: Dudás Hargita Zavodnyik Ügyvédi Iroda (ügyintéző: dr. Dudás Gábor János ügyvéd) ügyvéd címe1 A per tárgya: jogellenes adatkezelés megállapítása Fővárosi Ítélőtábla 9.Pf.20.387/2025/5-II 2 Az elsőfokú bíróság: Fővárosi Törvényszék A fellebbezéssel támadott határozat száma: 17.P.22.206/2024/
2. A fellebbezést benyújtó fél: felperes és alperes Ítélet A Fővárosi Ítélőtábla az elsőfokú bíróság ítéletét részben megváltoztatja, és elutasítja a felperesnek azt a megállapítási keresetét, mely szerint az alperes a kereset tárgyát képező emailek felperesnek történő megküldésekor a felperes e-mail címét mint személyes adatát nem a meghatározott célokkal összeegyeztethető módon kezelte és ezzel megsértette a GDPR
3. cikk

(1)bekezdés b) pontja szerinti célhoz kötöttség elvét. Az alperes elsőfokú perköltség fizetési kötelezettségét mellőzi, és megállapítja, hogy az elsőfokú eljárásban felmerült költségeiket a felek maguk viselik. Egyebekben az elsőfokú bíróság ítéletét helybenhagyja. Megállapítja, hogy a peres felek a másodfokú eljárásban felmerült költségeiket is maguk viselik. Az eljárás illetékmentes. Az ítélet ellen fellebbezésnek nincs helye. Indokolás [1] A felperes végleges keresetében kérte, a bíróság állapítsa meg, hogy [2] az alperes megsértette az Európai Parlament és a Tanács 2016/679 (EU) rendelete (GDPR) 5. cikk

(1)bekezdés a) pontja szerinti jogszerűség, tisztességes eljárás és átláthatóság elvét, amikor 2021 januárjában a felperes vakcinainfo.gov.hu oldalon történt regisztrációjakor nem adott megfelelő tájékoztatást arról, hogy milyen célból kezeli a felperes személyes adatait; [3] az alperes a GDPR

1. cikkébe ütköző módon jogalap nélkül kezelte a felperes e-mail címét mint személyes adatát, amikor olyan témakörökben küldött neki
2. január 8-án, Fővárosi Ítélőtábla 9.Pf.20.387/2025/5-II 3 február 3-án, február 24-én, március 25-én, március 28-án, március 31-én, április 12-én, május 27-én, június 1-jén,
3. március 24-én, április 6-án, május 10-én és június 6-án tájékoztató e-maileket, melyekre a felperesnek a GDPR
4. cikk

(1)bekezdés a) pontja szerinti hozzájárulása nem terjedt ki; [4] az alperes azzal a magatartásával, hogy a regisztrációkor nem határozta meg egyértelműen az adatkezelés célját, illetve a fenti e-mailek kiküldésekor a felperes e-mail címét mint személyes adatát nem a meghatározott célokkal összeegyeztethető módon kezelte, megsértette a GDPR 5. cikk

(1)bekezdés b) pontja szerinti célhoz kötöttség elvét. [5] Kérte, hogy a bíróság az alperest tiltsa el a további jogsértéstől, vagyis attól, hogy a felperes vakcinainfo.gov.hu oldalon megadott adatait a járványhelyzethez, illetve a vakcinákhoz nem kapcsolódó véleménykérés, tájékoztatás, elektronikus levél küldése vagy más kapcsolattartás céljából is kezelje. [6] Kérte, hogy a bíróság kötelezze az alperest 10.000 forint sérelemdíj megfizetésére. [7] Kérte, hogy a bíróság az ítéletet az adatkezelő adatainak közzétételével hozza nyilvánosságra. [8] A keresetét a GDPR 5. cikk

(1)bekezdés

1. a)és
2. b)pontjára, 6. cikk

(1)bekezdésére, valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) 23. §

(1),

(5)és

(6)bekezdésére alapította. [9] Az alperes ellenkérelmében a kereset elutasítását kérte. [10] Az elsőfokú bíróság ítéletével megállapította, hogy az alperes a GDPR 6. cikk

(1)bekezdésébe ütköző módon, jogalap nélkül kezelte a felperes e-mail címét mint személyes adatát, amikor olyan témakörökben küldött neki

1. január 8-án,
2. február 3-án,
3. február 24-én,
4. március 25-én,
5. március 28-án,
6. március 31-én,
7. április 12-én,
8. május 27-én,
9. június 1-én,
10. március 24-én,
11. április 6-án,
12. május 10-én és
13. június 6-án tájékoztató e-maileket, melyekre a felperes GDPR.
14. cikk

(1)bekezdés a) pontja szerinti hozzájárulása nem terjedt ki. [11] Megállapította, hogy az alperes azzal a magatartásával, hogy a fenti e-mailek felperesnek történő megküldésekor a felperes e-mail címét mint személyes adatát nem a meghatározott célokkal összeegyeztethető módon kezelte, megsértette a GDPR 5. cikk

(1)bekezdés b) pontja szerinti célhoz kötöttség elvét. [12] Az alperest eltiltotta attól, hogy a felperes vakcinainfo.gov.hu oldalon megadott adatait a járványhelyzethez, illetve a vakcinákhoz nem kapcsolódó véleménykérés, tájékoztatás, elektronikus levél küldése vagy más kapcsolattartás céljából is kezelje. Fővárosi Ítélőtábla 9.Pf.20.387/2025/5-II [13] 4 Ezt meghaladóan a bíróság a keresetet elutasította. [14] Elrendelte, hogy az alperes – az alperes azonosító adatainak közzétételével és a személyes adatok anonimizálásával – hozza nyilvánosságra az ítéletet a vakcinainfo.gov.hu internetes oldalon legalább 60 napig. [15] Kötelezte az alperest, hogy fizessen meg a felperesnek 19.812 forint perköltséget. [16] Indokolásában megállapította, hogy a GDPR 2. cikk

(1)bekezdése értelmében az alperes adatkezelése a GDPR hatálya alá tartozik. A keresettel érvényesített jog elbírálásakor a GDPR szabályait, valamint az Infotv. 2. §

(2)bekezdésében taxatíven meghatározott rendelkezéseit kell alkalmazni. A GDPR

1. cikk
2. pontjának megfelelően az alperes a felperes e-mail címét mint személyes adatát kezelte, így az alperes adatkezelőnek, a felperes pedig érintettnek minősül. [17] Az alperes ellenkérelmében elsődlegesen arra hivatkozott, hogy az Infotv.
3. §

(1)bekezdése szerinti keresettel a felperes csak akkor érvényesíthet igényt, ha azt lehet megállapítani, hogy korábban a GDPR 13-

1. cikke szerinti valamely érintetti jogát eredménytelenül próbálta meg érvényesíteni. Ezzel szemben az elsőfokú bíróság kiemelte, a GDPR
2. cikk

(1)bekezdése úgy szól, hogy a rendelkezésre álló közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül minden érintett hatékony bírósági jogorvoslatra jogosult, ha megítélése szerint a személyes adatai e rendeletnek nem megfelelő kezelése következtében megsértették a rendelet szerinti jogait. A GDPR 79. cikk

(1)bekezdésének végrehajtásához szükséges rendelkezés az Infotv. 2. §

(2)bekezdése folytán alkalmazandó Infotv.

1. §-a. Sem a GDPR
2. cikk

(1)bekezdése, sem az Infotv. 23. §

(1)bekezdése nem követeli meg, hogy a felperes, mintegy előzetes eljárásként, az érintetti jogait az adatkezelőnél a keresetindítás előtt érvényesítse, hanem kifejezetten akként rendelkezik, hogy az érintett a személyes adatainak bármely, a GDPR-nak nem megfelelő kezelése esetén bírósághoz fordulhat, megteremtve ezzel az érintettek számára a hatékony bírósági jogorvoslatot. Minderre tekintettel a perbeli igények érvényesítésére a felperes jogosult volt. [18] A felperes által érvényesített igények tartalmára figyelemmel a bíróságnak elsőként abban a kérdésben kellett határoznia, hogy a felperes hozzájárulása kiterjedt-e a perben sérelmezett adatkezelésre, vagyis arra, hogy az alperes a felperes e-mail címét a járványhelyzettől eltérő tartalmú e-mailek küldésére is felhasználja. Ezáltal lehetséges állást foglalni arról, hogy az alperes rendelkezett-e a GDPR 6. cikk

(1)bekezdés a) pontja szerinti, a felperes hozzájárulásán alapuló adatkezelésre feljogosító jogalappal. A felperes másik két megállapítási keresetében sérelmezett alperesi magatartás ennek a függvénye. A GDPR 6. cikk

(1)bekezdés a) pontja értelmében a személyes adatok kezelése akkor és annyiban jogszerű, amennyiben az érintett hozzájárulását adta a személyes adatainak egy vagy több konkrét célból történő kezeléséhez. A vakcinainfo.gov.hu oldalon, ahol a felperes az adatait megadta, a regisztrációkor az érintettek két, egymástól elkülöníthető alperesi adatkezeléshez járultak hozzá két „checkbox” bejelölésével. Az első adatkezelés esetén kizárólag ahhoz járultak hozzá, hogy az alperes a megadott adataikat összegyűjtse és átadja a Nemzeti Egészségbiztosítási Alapkezelő (NEAK) részére. A perbeli vita tárgyát a második adatkezelés képezi, ezért ez utóbbi esetében a bíróságnak azt kellett vizsgálnia, hogy a második adatkezeléshez megadott felperesi hozzájárulás mire terjedt ki. A GDPR

1. cikk
2. pontja Fővárosi Ítélőtábla 9.Pf.20.387/2025/5-II 5 határozza meg az érintett hozzájárulásának a fogalmát. Ez az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez. A hozzájárulást tehát megfelelő tájékoztatásnak kell megelőznie, ez szükséges ugyanis ahhoz, hogy az érintett megalapozott döntést tudjon hozni. Mivel a személyes adatokat az érintettől gyűjtötték, a tájékoztatás akkor megfelelő, ha az tartalmazza a GDPR
3. cikk

(1)és

(2)bekezdésében foglaltakat, így többek között a GDPR 13. cikk

(1)bekezdés c) pontjának megfelelően a személyes adatok tervezett kezelésének a célját. Ezen túl a GDPR 12. cikk

(1)bekezdése értelmében a megfelelő tájékoztatásnak tömörnek, átláthatónak, érthetőnek, illetve világosan és közérthetően megfogalmazottnak kell lennie. Minderre tekintettel az elsőfokú bíróság vizsgálta az adatkezelést megelőzően megadott valamennyi tájékoztatást: a honlapon található szöveget, valamint a kattintással elérhető adatkezelési tájékoztató tartalmát. A honlapon az szerepel, hogy: „Ha regisztrál, valamint jóváhagyja a további kapcsolattartást, akkor Ön elsőként kap tájékoztatást a vakcinával kapcsolatos információkról és a további lépésekről”. Ebből egyértelműen az állapítható meg, hogy a további kapcsolattartás kizárólag a vakcinával kapcsolatos információkról szól. Ezzel ellentétes következtetés az elsőfokú bíróság álláspontja szerint az adatkezelési tájékoztatóból sem vonható le. Az adatkezelési tájékoztató elején általános jellegű tájékoztatás található, majd az külön kitér az első, majd a második adatkezeléssel kapcsolatos információk közlésére, végül mindkét adatkezelésre kiterjedően az érintetti jogokat és a jogorvoslati tájékoztatást részletezi. Ebből a szerkezetből az következik, hogy az okirat elején található általános tájékoztatás mindkét adatkezeléssel kapcsolatos információ közlésére szolgál. Itt rögzítette az alperes „a honlap” célját, eszerint a honlap célja, hogy az alperes kormányzati kommunikációs feladatkörében eljárva tájékoztatást nyújtson a koronavírus elleni védőoltás igénylésének lehetőségéről és lehetőséget biztosítson az oltás igénylésére. Ezt követően, szintén az általános részben, az alperes az adatkezelés célját is kifejezetten rögzítette. Eszerint az adatkezelés célja az, hogy az érintettek tájékoztatást kaphassanak és jelezhessék igényüket a koronavírus elleni védőoltással kapcsolatban az alperes útján a NEAK részére annak érdekében, hogy az hatékonyan közreműködjön a koronavírus elleni védőoltás megszervezésében. Az adatkezelés céljának a szövegbeli elhelyezéséből és tartalmából az következik, hogy az mindkét adatkezelésre kiterjed, hiszen tájékoztatásról is rendelkezik, amely az első adatkezelésnek nem is képezte részét. Összességében tehát az alperes a honlap célja szövegrészben és az adatkezelés céljának meghatározásakor is kizárólag a koronavírus elleni védőoltással kapcsolatos tájékoztatásban határozta meg az adatkezelés célját. Az adatkezelési tájékoztató kifejezetten második adatkezelésre vonatkozó része a tájékoztatást jelöli még meg célként. Azonban az iratnak ez a része semmit nem tartalmaz arról, hogy az alperes mivel kapcsolatos tájékoztatás céljából kívánja a felperes személyes adatait kezelni, azaz az adatkezelés konkrét célját a második adatkezelésről szóló külön tájékoztatás egyáltalán nem tartalmazza. Mindezek együttes értékelésével az elsőfokú bíróság arra a következtetésre jutott, hogy a második adatkezelés tekintetében a felperes az e-mail címe mint személyes adata kezeléséhez kizárólag a koronavírus elleni védőoltással kapcsolatos tájékoztatás céljából járult hozzá, ettől eltérő tartalmú tájékoztatás céljából történő adatkezelésre a hozzájárulás nem terjedt ki, figyelemmel arra, hogy ennek semmiféle pontos, egyértelmű célja nem lett megadva. A cél pontos megjelölését a GDPR

(39)preambulum bekezdése is megkívánja, és ez következik az Európai Unió Bírósága (EUB) C-77/

1. számú eseti döntésében foglaltakból is. Mindezek alapján az alperes a sérelmezett adatkezelésre, azaz a keresetben sérelmezett e-mailek kiküldésére nem rendelkezett hozzájárulással a felperestől. Az elsőfokú bíróság megjegyezte, hogy a témában keletkezett Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) állásfoglalása a bíróságot nem köti, az abban kifejtettekkel pedig az elsőfokú bíróság nem Fővárosi Ítélőtábla 9.Pf.20.387/2025/5-II 6 értett egyet. Minderre tekintettel a GDPR
2. cikk

(1)bekezdés a) pontjára alapított jogsértés megállapítása iránti kereset alapos. [19] Emellett a felperes a másik két kereseti kérelmében az adatkezelés GDPR

1. cikkben írt két alapelve, a tisztesség és a célhoz kötöttség sérelme megállapítását kérte. Azzal érvelt, hogy az alapelvek megsértésének megállapítása többlettényállási elem nélkül nem lehetséges. Ugyanakkor a GDPR
2. cikk

(1)bekezdéséből és az Infotv. 23. §

(1)bekezdéséből ilyen jellegű korlátozás nem olvasható ki. Az adatkezelés jogszerűsége magában foglalja a megfelelő jogalap meglétén túl az alapelveknek és egyes más alapvető jelentőségű rendelkezéseknek történő megfelelést is. [20] A felperes a harmadik keresete második részében azt állította, hogy az alperes megsértette a célhoz kötöttség elvét, amikor a felperes e-mail címét nem a meghatározott célokkal összeegyeztethető módon kezelte. A GDPR 5. cikk

(1)bekezdés b) pontja értelmében a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azokat nem lehet a célokkal össze nem egyeztethető módon kezelni. Mivel az alperes nem a meghatározott célokkal (a koronavírus elleni védőoltással kapcsolatos tájékoztatás) összeegyeztethető módon kezelte a felperes e-mail címét, amikor teljesen más tartalmú tájékoztatást küldött, megsértette a GDPR 5. cikk

(1)bekezdés b) pontjában meghatározott célhoz kötöttség elvét is, ezért a bíróság a jogsértés tényét az Infotv. 23. §

(5)bekezdése alapján ebben az esetben is megállapította. [21] A felperes az első keresetében a GDPR 5. cikk

(1)bekezdés a) pontja szerinti jogszerűség, tisztességes eljárás és átláthatóság elvének megsértését állította amiatt, hogy az alperes a vakcinaregisztrációkor nem adott megfelelő tájékoztatást arról, milyen célból kezeli a személyes adatát. A harmadik kereset első része pedig megint csak annak megállapítására irányult, hogy a célhoz kötöttség elve azért sérült, mert az alperes a regisztrációkor nem határozta meg egyértelműen az adatkezelés célját. Ezzel szemben a további keresetek a ténybeli alapját éppen az képezte, hogy a felperes a koronavírussal kapcsolatos tájékoztatáson kívül más tájékoztatás céljából történő adatkezeléshez nem járult hozzá, és a bíróság, a fentiek szerint, ezt is állapította meg. Minderre tekintettel más tartalmú tájékoztatás nem is képezte az adatkezelés célját, ezért arról az adatkezelés megkezdésekor a felperest nem kellett tájékoztatni, vagy azt meghatározni, függetlenül attól, hogy utóbb az alperes jogalap nélkül eltérő célból is kezelte a felperes adatait. Minderre tekintettel az elsőfokú bíróság a felperes első keresetét és a harmadik keresetének első részében foglalt megállapítási igényt elutasította. [22] Az alperes kifogásolta, hogy az Infotv. 23. §

(5)bekezdés alapján önálló megállapítási keresetet nem lehet előterjeszteni. Az elsőfokú bíróság rámutatott, hogy a felperes nem is ezt tette, hanem eltiltást és sérelemdíjat is érvényesített. Egyébként pedig az Infotv. 23. §

(5)bekezdésének az Alaptörvény

1. cikkének megfelelő értelmezése alapján a félnek sem a jogsértés megállapítását, sem a további jogkövetkezmények alkalmazását nem kell kötelezően kérnie. Így a Pp.
2. §

(1)bekezdése szerinti rendelkezési elvnek megfelelően előterjeszthet akár csak megállapítási keresetet, akár megállapítási kereset nélkül egyéb jogkövetkezmény alkalmazása iránti keresetet, akár ezeket valódi halmazatban. Fővárosi Ítélőtábla 9.Pf.20.387/2025/5-II 7 [23] A felperes a megállapítási keresetekkel valódi halmazatban az Infotv. 23. §

(5)bekezdés c) pontja alapján kérte az alperes eltiltását a további jogsértéstől. Az alperes ellenkérelmében arra hivatkozott, hogy ez valójában a Polgári Törvénykönyvről szóló 2013. évi V. törvény (Ptk.) 2:51. §-ában foglalt igény, márpedig az az Infotv. 23. §

(5)bekezdése alapján nem érvényesíthető. Az Infotv. 23. §

(5)bekezdés c) pontja úgy rendelkezik, hogy a felperes kérelmére a bíróság az adatkezelőt az érintett jogai érvényesülésének biztosítására pontosan meghatározott magatartás tanúsítására kötelezi. Tehát az igény korlátját csak az képezi, hogy a kért magatartásnak az érintett jogai érvényesülését kell biztosítania. Az érintett jogai azonban nemcsak a GDPR 13-22. cikke szerinti érintetti jogok, hanem a GDPR szabályrendszere által az érintettet megillető bármely jog. Ez következik a GDPR 79. §

(1)bekezdéséből is, amely alapján az érintett a GDPR bármely rendelkezésének megsértése esetén bírósághoz fordulhat. Ezzel ellentétes jogértelmezés az érintettet a hatékony jogorvoslati lehetőségtől fosztaná meg. A GDPR 5. cikk

(1)bekezdés b) pontja szerinti célhoz kötöttség elvéből következően a felperesnek joga van ahhoz, hogy személyes adatát, e-mail címét az alperes ne kezelje az adatok gyűjtése során meghatározott célokkal össze nem egyeztethető módon. Ezért a felperes mint érintett jogát biztosítja az, ha a bíróság ettől az alperest eltiltja. Minderre tekintettel az elsőfokú bíróság az Infotv. 23. §

(5)bekezdés c) pontja szerinti igénynek is helyt adott. [24] A felperes az Infotv. 23. §

(5)bekezdése alapján sérelemdíj iránti igényt is előterjesztett, megsértett személyiségi jogként a Ptk. 2:

1. § e) pontja szerinti személyes adatok védelméhez fűződő személyiségi jogot jelölte meg. Azzal érvelt, hogy a kéretlen levelek száma jelentős, és az alperes közhatalmi szerv, így a felek között egyenlőtlen viszony áll fenn, továbbá hogy az alperes a felperes kiszolgáltatott helyzetét, a járványhelyzet okozta egzisztenciális nyomást kihasználva szerezte meg a személyes adatait, az üzenetei pedig politikai propagandatermékek voltak, amelyeket a felperes nem kívánt önszántából elolvasni. Ennek következtében a felperes bizalma megrendült az államgépezet működésében, ami fokozta a kiszolgáltatottság érzését. Bár az Infotv.
2. §

(5)bekezdésében írt sérelemdíj igény előterjesztésére feljogosító rendelkezés a Ptk. 2:

1. §-ától elkülönült jogalap, ez nem jelenti azt, hogy az Infotv.
2. §

(5)bekezdésére alapított sérelemdíj igénynek ne lenne ugyanúgy feltétele személyiségi jogok sérelmének bekövetkezése, ugyanis az Infotv. 23. §

(5)bekezdése a Ptk. 2:52. §

(1)bekezdésében rögzítettektől eltérő szabályozást nem tartalmaz. Az alperes ezért helyesen érvelt azzal, hogy az adatvédelmi szabályokat sértő magatartás nem feltétlenül jár együtt személyiségi jogi jogsérelemmel is, azaz nem eredményezi automatikusan azt, hogy a jogsérelem olyan mértékű tiltott beavatkozás az érintett magánszférájába, amely egyúttal a személyes adatok védelméhez való személyiségi jog sérelmét is jelenti. A felperes kéretlenül kapott 13 darab e-mailt, ez azonban nem jelent olyan súlyos beavatkozást a magánszférájába, ami személyiségi jogi jogsérelmet eredményezne. Az EUB C-456/22. számú döntésében kifejtettek szerint a GDPR 82. cikk

(1)bekezdésével ellentétes az olyan nemzeti szabályozás vagy gyakorlat, amely a rendelet megsértésével okozott nem vagyoni kár minősítése céljából küszöbértéket állapít meg, az érintettnek azonban bizonyítania kell, hogy az általa elszenvedett következmények olyan kárnak (jelen esetben nem vagyoni sérelemnek) minősülnek, amely különbözik a rendelet rendelkezéseinek egyszerű megsértésétől. A felperes által állított sérelmek azonban az elsőfokú bíróság álláspontja szerint nem a jogsértés következményeinek, hanem pusztán a jogsértés körülményeinek a leírását tartalmazzák, az állami szervek felé bekövetkezett bizalomvesztés pedig nem a felperest ért konkrét sérelem. Az elsőfokú bíróság tehát nem azt követelte meg a felperestől, hogy valamilyen súlyossági küszöböt érjen el a sérelem, hanem azt állapította meg, hogy a felperes valójában a jogsértést magát jelölte meg nem vagyoni sérelemként, egyebet nem. Fővárosi Ítélőtábla 9.Pf.20.387/2025/5-II 8 [25] Az Infotv. 23. §

(6)bekezdésének megfelelően a bíróság az ítélet nyilvánosságra hozatalát akkor rendelheti el, ha az ítélet személyek széles körét érinti, ha az adatkezelő, illetve adatfeldolgozó közfeladatot ellátó szerv, vagy ha a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja. Jelen esetben ezek a feltételek fennállnak, ezért az elsőfokú bíróság az ítélet közzétételét elrendelte. [26] A felperes és az alperes a perköltség megítélését a 32/2003. (VIII. 22.) IM rendelet (IM rendelet) alapján kérte. Az elsőfokú bíróság 13 munkaórát fogadott el mindkét félnek, így a 3. §

(3)bekezdése szerinti 6.000 forint óradíjat figyelembe véve mindkét félnek 99.060 forint áfát is tartalmazó ügyvédi munkadíj jár. A felperes öt keresetet terjesztett elő, ebből három tekintetében lett pernyertes, ezért a pernyertességének arányát az elsőfokú bíróság 60%-ban határozta meg. Ennek megfelelően igényt tarthat a kiszámított ügyvédi munkadíj 60%-ára, míg az alperes a 40%-ára, a fizetendő perköltséget a két összeg különbözete adja. [27] Az ítélet ellen a felperes és az alperes is terjesztett elő fellebbezést. [28] A felperes fellebbezésében kérte, hogy az ítélőtábla az elsőfokú bíróság ítéletét változtassa meg akként, hogy teljes keresetének adjon helyt. [29] Hangsúlyozta, a keresetében azt állította, hogy az alperes tájékoztatása az adatkezelésről nem volt egyértelmű, nem derült ki belőle, hogy milyen témákban kívánják felhasználni a megadott személyes adatait. Egyetért az elsőfokú bíróságnak azzal a megállapításával, hogy az adatkezelési cél a honlap és az adott élethelyzet kontextusa alapján csak a koronavírussal kapcsolatos tájékoztatásra terjedhetett ki. Ez azonban nem azért van így, mert ez a cél világosan szerepelt a tájékoztatóban, éppen ellenkezőleg. Az adatkezelési tájékoztató második adatkezelésről szóló része nem határozta meg konkrétan, hogy milyen témában kíván adatot kezelni az alperes. Tehát a felperes észlelte, hogy az adatkezelési tájékoztatóban megjelölt koronavírussal kapcsolatos tájékoztatáson kívüli cél túl általános és visszaélésekre is lehetőséget ad. Ennek tudatában, egzisztenciális kényszerhelyzetben mégis úgy döntött, hogy megadja az e-mail címét, mert az volt az egyetlen módja annak, hogy hozzájusson a járványról és az akkor még nem elérhető vakcinákról szóló tájékoztatáshoz. A felperes álláspontja szerint éppen ez teszi tisztességtelenné az adatkezelést, hogy egy válsághelyzetben nem kellően konkrét és egyértelmű tájékoztatás mellett kellett döntenie a személyes adatainak megadásáról. A jogsértés tehát nem abban áll, hogy nem tájékoztatták előre az adatkezelés későbbi eltérő céljáról, hanem abban, hogy az adatkezelési cél többféleképpen értelmezhető és homályos volt, ezért később hivatkozási alapul szolgálhatott olyan üzenetek küldésére, amelyekhez a felperes nem járult hozzá. A felperes álláspontja szerint az, hogy az adatkezelés jogalapja és a célhoz kötöttség elve sérült, nem zárja ki annak megállapítását, hogy az adatkezelés tisztességtelen is volt, éppen ellenkezőleg, a tisztességtelenség aligha állapítható meg anélkül, hogy valamely más alapelv, például a jogalap vagy a célhoz kötöttség is ne sérülne. A tisztességtelenség azt jelenti, hogy az adatkezelés nem csak jogsértő, hanem erkölcsileg is elítélendő. Az alperes kihasználta az érintettek kiszolgáltatottságát és olyan helyzetet teremtett, amelyet később visszaélésekre használt. Tehát nincs ellentmondás a felperes két állítása között, hogy az alperes a Fővárosi Ítélőtábla 9.Pf.20.387/2025/5-II 9 tájékoztatások alapján kizárólag a járvánnyal kapcsolatos kommunikációt végezhetett volna, és hogy az alperesi tájékoztatás nem volt konkrét és egyértelmű. [30] Emellett a felperes nem ért egyet az elsőfokú bíróság sérelemdíjjal kapcsolatos döntésével sem. Hivatkozott azokra a körülményekre, amelyek a személyiségi jogi sérelmét megalapozzák: a felek közötti egyenlőtlen viszony, az egzisztenciális nyomás és kiszolgáltatottság érzet, valamint hogy a leírt események miatt a felperes bizalma megrendült az állami szervek működésében. Emellett hangsúlyozta, hogy a sérelemdíj funkciója kettős, a sértett kompenzálása mellett célja a jogsértő megbüntetése és az ezzel okozott sérelem megtorlása is, nincs akadálya annak, hogy a bíróság mérlegelési szempontként értékelje a sérelemdíj mértékének meghatározása során annak visszatartó erejét. [31] Az alperes fellebbezési ellenkérelmében az ítélet felperesi fellebbezéssel érintett részének helybenhagyását kérte. [32] Hangsúlyozta, minden ténybeli alapot nélkülöz, hogy a felperes egzisztenciálisan kiszolgáltatott és alárendelt helyzetben volt. Ezt bizonyítja az a körülmény is, hogy a felperes a járványhelyzet végével nem vonta vissza az adott hozzájárulását az adatkezeléshez és annak korlátozását nem kérte, pedig ekkor már saját hivatkozása alapján sem lehetett kiszolgáltatott helyzetben. Az adatkezelés célja az emberek kormányzati intézkedésekkel kapcsolatos tájékoztatása volt, így fel sem merülhet, hogy a kommunikáció címzettje alárendelt vagy kiszolgáltatott helyzetben lenne. Abból, hogy a felperes közel két és fél év alatt a megküldött 13 e-mail hatására sem kérte az adatainak törlését vagy az adatkezelés korlátozását, az következik, hogy a felperes valójában az adatkezeléssel egyetértett. Semmilyen bizonyítás nem folyt arról, hogy a felperes bizalma kifejezetten a sérelmezett alperesi adatkezelés miatt rendült volna meg az állami szervek működésében. Emellett iratellenes az az álláspont is, hogy a felperes kizárólag az adatkezelési hozzájárulás folytán juthatott volna a járványhelyzettel kapcsolatos információkhoz, hiszen köztudomású tény, hogy Magyarországon minderről nem csak a kormány és annak szervei, hanem a média szereplői is folyamatos tájékoztatást nyújtottak. Miután nem bizonyított a felperes egzisztenciális kiszolgáltatottsága és alárendelt helyzete, így nem minősülhet az alperesi adatkezelés a GDPR 5. cikk

(1)bekezdés a) pontja szerint tisztességtelennek sem. Emellett kiemelte, hogy a kétszeres értékelés tilalmára is figyelemmel az adatkezelési alapelvek megsértése egymásból nem következhet, így az alperes adatkezelésének tisztességtelensége nem állapítható meg önmagában azért, mert esetlegesen sértette a célhoz kötöttség elvét. Továbbra is hivatkozott arra, hogy az alapelvi jogsérelem megállapítása csak megfelelő többlettényállási elem megléte esetén kérhető, ilyenre azonban a felperes nem hivatkozott. Amennyiben az alperes előzetes tájékoztatása nem lett volna megfelelő, az nem az alapelvek sérelmét, hanem a GDPR 13. és 14. cikkeinek valamely tételes rendelkezését sértette. Emellett előadta, a felperes a fellebbezésében továbbra is összemossa az adatvédelmi és a személyiségi jogi jogsértések lehetséges jogkövetkezményeit. Az adatvédelmi jogsértés nem eredményezi egyben a személyhez fűződő jogok megsértését is. [33] A felperes észrevételeiben hivatkozott a GDPR

(32)preambulum bekezdésre, mely szerint a hallgatás vagy nem-cselekvés nem minősül hozzájárulásnak. Tehát az ál-önkéntes hozzájárulás alapján megkezdett adatkezelés jogellenességét nem orvosolja, ha az érintett a Fővárosi Ítélőtábla 9.Pf.20.387/2025/5-II 10 későbbiekben passzív magatartást tanúsít és nem él azonnal egyes érintetti jogokkal. Semmiképpen nem lehet az érintetti joggyakorlás elmaradásából arra következtetni, hogy a felperes az adatkezeléssel egyetértett. Emellett hangsúlyozta, a felperes nem a médiából, hanem a kormánytól kívánt tájékozódni az oltásregisztrációval kapcsolatban. Az pedig, hogy érzékelte, ha hozzájárul az adatkezeléshez, fennáll a veszélye, hogy a járvánnyal kapcsolatos híreken kívül ismeretlen tartalmú kéretlen leveleket is kaphat, nem az átláthatóságot igazolja, hanem azt, hogy a felperes egzisztenciális nyomás alatt, valójában nem önként adta meg a hozzájárulását az adatkezeléshez. Az alperes által hivatkozott kétszeres értékelés tilalma büntetőjogi alapelv, amely a polgári jog területén közvetlenül nem alkalmazható. Semmi nem zárja ki, hogy egy adatkezelés egyszerre több jogsértést is megvalósítson. [34] Az alperes fellebbezésében az elsőfokú bíróság ítéletének megváltoztatását kérte akként, hogy az ítélőtábla a felperes keresetét teljes egészében utasítsa el. [35] Fenntartotta azt az álláspontját, miszerint a GDPR 79. cikke és az Infotv. 23. §

(5)bekezdésének értelmezéséből az következik, hogy az Infotv. 23. §

(5)bekezdése nem terjesztette ki a GDPR

1. cikkének a tárgyi hatályát, hanem kizárólag a bírósághoz fordulás hazai részletszabályait adta meg. A GDPR 77-
2. cikkei alapján pedig azt lehet megállapítani, hogy a tagállami felügyeleti hatóságok és bíróságok hatásköre nem azonos. A GDPR
3. cikke szerint a felügyeleti hatóságok eljárását az érintett akkor kérheti, ha megítélése szerint megsértették a rendeletet, ezzel szemben a GDPR
4. cikkének rendelkezése szerint az érintett akkor fordulhat bírósághoz, ha megsértették az e rendelet szerinti jogait. Ebből az következik, hogy a GDPR bármely rendelkezése megsértésének kivizsgálására nem a bíróságok, hanem a felügyeleti hatóságok rendelkeznek általános hatáskörrel. A bíróság hatásköre ennél szűkebb és kizárólag a GDPR III. fejezetében szabályozott érintetti jogok megsértését eredményező adatkezelésekre terjed ki, ilyen pedig jelen esetben nem volt. Emellett hangsúlyozta, a GDPR
5. és
6. cikkei nem az érintettek jogait, hanem az adatkezelő kötelezettségeit szabályozzák, így az nem az érintett joga, hanem az adatkezelő kötelezettsége, hogy a személyes adatokat célhoz kötötten és megfelelő jogalappal kezelje. [36] Nem értett egyet azzal, hogy az alperes a személyes adatokat hozzájárulás hiányában kezelte volna. Az elsőfokú bíróság tévesen értelmezte az alperes által adott adatkezelési tájékoztatás tartalmát és így szükségképpen téves a levont következtetése is. Tévesen vette figyelembe az adatkezelési tájékoztató honlapra, illetve NEAK részére történő adattovábbításra vonatkozó részeit, mivel ezek nem a perbeli adatkezelésre irányadó információk. Azt nem vitatta, hogy a „regisztráció oltásra” menüpontban található tájékoztatás figyelembe vehető, azonban a perbeli adatkezeléssel kapcsolatos tájékoztatás értelmezése körében a tájékoztatónak kizárólag erre az adatkezelésre vonatkozó része értékelhető, a NEAK részére történő adattovábbítással és a honlappal kapcsolatos tájékoztatások nem. A „regisztráció oltásra” menüpont és az adatkezelési tájékoztató hírlevél küldéséről szóló részei összevetése alapján pedig az állapítható meg, hogy a két közlés nem ellentmondásos, hanem több-kevesebb kapcsolatban áll egymással. Az érintettek hozzájárulásuk esetén az oltásra regisztrálnak, valamint külön hozzájárulásuk esetén a járványhelyzettel kapcsolatban is kaphatnak kormányzati hírlevelet az alperestől, de nem csak ebben a kérdésben. Így iratellenes és téves az elsőfokú bíróságnak az az értelmezése, hogy a felperes hozzájárulása kizárólag az oltással és a járványhelyzettel kapcsolatos hírlevelekre terjedt volna ki. Emellett hangsúlyozta, hogy valamennyi e-mailben szerepelt tájékoztatás az érintetti jogok gyakorlásának módjáról, és az alperes külön felhívta a figyelmet a hírlevélről Fővárosi Ítélőtábla 9.Pf.20.387/2025/5-II 11 történő leiratkozás lehetőségére. Ennek ellenére a felperes egyetlen esetben sem küldött az alperesnek semmilyen, a GDPR szerinti adatkezelési művelet elvégzésére irányuló kérelmet vagy utasítást. Ebből okszerűen csak az következhet, hogy a felperes az adatkezeléssel eredetileg egyetértett, és azt csak jelen per során, utóbb kifogásolja. Okszerűtlen az is, hogy az elsőfokú bíróság nem vette figyelembe a NAIH állásfoglalását sem. [37] Ugyanezen okból jogsértő az is, hogy az elsőfokú bíróság a célhoz kötöttség sérelmét is megállapította. Kiemelte, hogy generálklauzula megsértése miatt, többlettényállási elem nélkül nem lehetséges jogsértés, felhívta a Fővárosi Törvényszék 103.K.702.330/2023/
7. számú döntését. [38] Az alperes továbbra is hivatkozott arra, hogy az Infotv.
8. §

(5)bekezdése, annak helyes értelmezése szerint, a jogsértés megállapítása és a jogkövetkezmények alkalmazása között egyértelműen konjunktív kapcsolatot létesít. Így sem önálló megállapítási keresetet, sem a jogkövetkezmények alkalmazása iránti önálló keresetet nem lehet előterjeszteni. Emellett fenntartotta azt is, hogy az eltiltás mint jogkövetkezmény nem sorolható az Infotv. 23. §

(5)bekezdés a)-c) pontjában írt esetkörök egyikébe sem. Egyébként pedig az eltiltás foganatosítása esetén az alperes a felperes e-mail címét a továbbiakban semmilyen célra nem lenne képes használni, így semmilyen hírlevelet nem tudna a felperesnek küldeni. Ezért a GDPR 17. cikk

(1)bekezdés

1. a)esetleg
2. d)pontja alapján azt törölnie kellene, a törlést azonban éppen a bíróság ítélete akadályozná meg. Amennyiben pedig a bíróság osztja azt az alperesi álláspontot, hogy az eltiltás a jelen perben nem kérhető, akkor a sérelemdíj iránti igény elutasításra figyelemmel a felperes keresete kiüresedik, hiszen önmagában a jogsértés megállapítása iránti kereset előterjesztése a fentiek szerint nem lehetséges. [39] A felperes fellebbezési ellenkérelmében az alperes fellebbezésének elutasítását kérte. [40] Hangsúlyozta, a GDPR nem tiltja meg a tagállamoknak, hogy bármely rendelkezésének sérelme esetére megteremtsék a bírói felülbírálat lehetőségét, így az Infotv. 23. §-a semmiképpen nem ellentétes a közösségi joggal. Ez egyébként a GDPR

(4)preambulum bekezdésében írt jogalkotói céllal is ellentétes lenne, amely a személyes adatok védelmének szélesítését hangsúlyozza. Az adatkezelés jogszerűségének vizsgálata az EUB gyakorlata alapján magában foglalja a megfelelő jogalap meglétén túl az alapelveknek és egyes más alapvető jelentőségű rendelkezéseknek történő megfelelést is. Az elsőfokú bíróság helyesen állapította meg, hogy a felperes hozzájárulása csak a koronavírus elleni védőoltással kapcsolatos tájékoztatásokra terjedt ki. A további, konkrétumok nélküli puszta tájékoztatás mint adatkezelési cél túl általános, nem felel meg a konkrét meghatározottság követelményének, így ilyen célból történő adatkezeléshez adott hozzájárulás sem történhetett meg. Miután az alperes nem az adatkezelés egyedül meghatározott céljából írt e-maileket a felperesnek, ezért a célhoz kötöttség sérelme is megállapítható. Az elsőfokú bíróság helyesen jutott arra a következtetésre, hogy az eltiltás mint jogkövetkezmény az elsőfokú ítéletben írt indokok alapján alkalmazható. [41] A felperes fellebbezése nem megalapozott, az alperes fellebbezése kisebb mértékben megalapozott. Fővárosi Ítélőtábla 9.Pf.20.387/2025/5-II 12 [42] A Fővárosi Ítélőtábla az elsőfokú bíróság döntésével és annak indokaival is lényegében egyetértett, az pusztán kisebb pontosításra szorul. [43] Az alperes fellebbezésében fenntartotta azt a hivatkozását, hogy a GDPR 79. cikke és az Infotv. 23. §

(5)bekezdése alapján bírósági igényérvényesítésre csak érintetti joggyakorlást követően, annak sérelme esetén kerülhet sor. Ezzel szemben az ítélőtábla teljes mértékben egyetértett az elsőfokú bíróság ítéletének [32] bekezdésében írtakkal. Az alperesi érvekre reagálva az ítélőtábla kiemeli, az Infotv. 23. §

(1)bekezdése nem terjeszti ki a GDPR

1. cikkének tárgyi hatályát, ugyanakkor a GDPR
2. cikke nem is tartalmaz utalást arra, hogy a bírósághoz fordulás joga, így a hatékony bírósági jogorvoslathoz való jog kizárólag az érintetti jogok megsértése esetén illetné meg a felperest. Ezzel szemben akként fogalmaz, hogy az érintett a személyes adatai e rendeletnek nem megfelelő kezelése következtében bekövetkezett rendelet szerinti jogok sérelme esetén fordulhat bírósághoz. Tehát a
3. cikk nyelvtani értelmezéséből nem következik az alperes által hivatkozott szűkítő értelmezés, és az nem feleltethető meg a GDPR céljának sem, amely a

(6),

(7)és

(10)preambulumbekezdéseknek megfelelően a természetes személyek adatai magas szintű védelmének biztosítása, amelyet a jogok hatósági és bírósági kikényszeríthetősége támogat. Az ítélőtábla kiemeli, hogy az EUB C-132/21. számú ítélete is azt tartalmazza, hogy a felügyeleti hatóságok és a bíróságok előtti jogorvoslatok párhuzamosan, egymástól függetlenül gyakorolhatóak, és ezek között semmiféle sorrend vagy kapcsolat nem áll fenn ([35] és [37] bekezdés). Tehát önmagában abból, hogy a felügyeletnek milyen hatáskörei vannak, nem következik az, hogy a bíróságnak ne lehetne ugyanolyan széles hatásköre. Az EUB ítélet [42] bekezdése pedig azt hangsúlyozza, hogy mindez összhangban áll a GDPR

(10)és

(11)preambulumbekezdésében meghatározott céllal. Az EUB kimondta ([46] és [47] bekezdés), hogy a párhuzamos és egymástól független jogorvoslatok gyakorlásának részletes eljárásjogi szabályait a tagállamok határozzák meg azzal azonban, hogy ezek nem veszélyeztethetik a rendelet által biztosított jogok hatékony érvényesülését és hatékony védelmét. Ennek megfelelően az Infotv. 23. §

(1)bekezdése a GDPR

1. cikkével összhangban határozza meg, hogy az érintett bármely, a rendeletben biztosított jogának sérelme miatt bírósághoz fordulhat. [44] Mind az alperes, mind a felperes vitatta, hogy az elsőfokú bíróság a felperessel közölt, az adatkezelési hozzájárulás alapját képező tájékoztatás tartalmát helyesen értelmezte volna. Az alperes álláspontja szerint abból helyes értelmezés mellett egyértelműen kiderül, hogy a járványhelyzetről szóló tájékoztatáson túl a felperes ahhoz is megadta a hozzájárulását, hogy az alperes egyéb, pontosabban meg nem határozott témájú e-maileket is küldjön számára. A felperes pedig arra hivatkozott, hogy a tájékoztatóból álláspontja szerint kiderül az, hogy más témában is küldhet e-maileket az alperes, azonban ezen egyéb tájékoztatási cél meghatározása annyira pontatlan, hogy az az egyéb témájú e-mailek küldését egyszerre teszi jogalap nélkülivé, továbbá sérti a célhoz kötöttség és a tisztesség követelményét is. Mindezzel szemben az ítélőtábla teljes mértékben egyetért azzal, ahogy az elsőfokú bíróság az ítélete indokolásának [38]-[41] bekezdéseiben az alperes által a honlapon, illetve az adatkezelési tájékoztatóban foglaltak tartalmát egymással összevetve értelmezte. A honlap tartalmából egyértelműen az derül ki, hogy minden kapcsolattartás kizárólag a vakcinával kapcsolatos információkról szóló tájékoztatást szolgál, és az adatkezelési tájékoztatóból se derül ki más. Fővárosi Ítélőtábla 9.Pf.20.387/2025/5-II 13 Az adatkezelési tájékoztató szerint a „hozzájárulok, hogy későbbi kapcsolattartás céljából a megadott kapcsolattartási adataimat visszavonásomig kezeljék az adatkezelési tájékoztatóban foglaltak szerint” gombra kattintással az érintett további kapcsolattartás, véleménykérés, tájékoztatás, elektronikus levél küldése céljából járul hozzá az adatkezeléshez. Az ítélőtábla osztja az elsőfokú bíróság álláspontját abban, hogy ezek nem adatkezelési célok, hanem adatkezelési magatartások. A kapcsolat létrehozására irányuló lehetséges magatartások rögzítésén túlmutató, konkrét adatkezelési cél a tájékoztatónak ebben a részében nincs megjelölve. Ebből két dolog következhet, de mind a kettő ugyanoda vezet. Vagy az, hogy a második checkbox kipipálásával a felperes olyan adatkezeléshez járult hozzá, amellyel kapcsolatban semmilyen cél nincs megjelölve, vagy – ahogy az elsőfokú bíróság értelmezte –, hogy az adatkezelési tájékoztató első hat bekezdése mindkét típusú adatkezelésre vonatkozik, így mindkét checkbox kipipálása esetére megjelöli az adatkezelési célt, ez pedig az érintettek koronavírus elleni védőoltással kapcsolatos tájékoztatása és az ezzel kapcsolatos igénybejelentés. Az elsőfokú bíróság indokolásának [37] és [40] bekezdése helyesen vezeti le, hogy csak az előzetes tájékoztatásban megjelölt célú adatkezeléshez lehet hozzájárulni, és a hozzájárulás csak ezen, konkrét célhoz kötött adatkezelés esetén teremt a GDPR
2. cikk

(1)bekezdés a) pontja szerinti jogalapot az adatkezelésre. Ebből pedig az következik, hogy egyik lehetséges értelmezés esetén sem áll fenn a hozzájárulás mint adatkezelési jogalap. A második checkbox kipipálásával kapcsolatos részben egyáltalán semmilyen adatkezelési cél nincs, pusztán adatkezelési műveletek találhatók, így ha csak ezt a részt kell figyelembe venni, akkor az nem tartalmaz olyan konkrét cél, amelyhez hozzájárulhatott volna a felperes, ilyen módon a hozzájárulás és így az adatkezelési jogalap hiányzik. Amennyiben pedig – ahogy az elsőfokú bíróság értelmezte – az adatkezelési tájékoztató első hat bekezdése mindkét checkbox kipipálása esetére irányadó szabályokat tartalmaz, akkor ezen közös szabályok között a 6. bekezdésben megtalálható az adatkezelés célja, amely így a második checkbox kipipálása esetén is irányadó. Tehát más célú adatkezelés esetén megint csak hiányzik a GDPR 6. cikk

(1)bekezdés a) pontja szerinti jogalap. Az ítélőtábla a két lehetőség közül az elsőfokú bíróság értelmezésével ért egyet, így az az álláspontja, hogy a második checkbox kipipálását követő tájékoztató részt együtt kell értelmezni a teljes adatkezelési tájékoztató első hat bekezdésében foglalt általános szabályokkal. Mindebből az a következtetés vonható tehát le, hogy a felperes a hozzájárulását megadta az adatkezeléshez, de kizárólag a koronavírus elleni védőoltással kapcsolatos tájékoztatás és igénybejelentés céljából. Az ítélőtábla kiemeli, hogy – az alperes hivatkozásával ellentétben – nem az elsőfokú bíróság volt az, aki összemosta a két különböző célú adatkezelést, hanem maga az alperes, aki az adatkezelési tájékoztatót homályosan és az átlagember számára nehezen értelmezhetően fogalmazta meg. Minderre tekintettel helyes volt az elsőfokú bíróságnak az a döntése, hogy minden egyéb célból történő adatkezelés, így a felperes e-mail címének mint személyes adatának felhasználása más témájú kéretlen levelek küldésére a GDPR 6. cikk

(1)bekezdés a) pontjába ütköző, jogalap nélküli adatkezelés volt. [45] Az alperes a fellebbezésében hivatkozott arra, hogy a felperes utóbb nem kérte az adatai törlését, illetve a hírlevélről nem iratkozott le, ezért a hozzájárulása megállapítható. Ezzel kapcsolatban azonban az ítélőtábla egyetért a felperes érvelésével. A GDPR

(32)preambulumbekezdése teljesen egyértelművé teszi, hogy a hallgatás vagy nem-cselekvés nem minősül hozzájárulásnak. Tehát az, hogy a felperes a pert megelőzően nem tiltakozott az adatai kezelése ellen, nem teszi az eredetileg hozzájárulás nélküli adatkezelést utóbb mégis jogszerűvé. Fővárosi Ítélőtábla 9.Pf.20.387/2025/5-II 14 [46] Az alperes kifogásolta, hogy az elsőfokú bíróság nem vette figyelembe a témában készült NAIH állásfoglalást. Az ítélőtábla – az elsőfokú bírósággyal egyezően – rámutat, hogy a NAIH állásfoglalás a bíróságot nem köti. Azt pedig mind az első-, mind a másodfokú bíróság megindokolta, hogy a NAIH állásfoglalásban foglaltakkal miért nem ért egyet, hiszen a teljes ítélet indokolása erről szól. [47] Az elsőfokú bíróság az alapelvek, a célhoz kötöttség, illetve a tisztességtelenség sérelmére alapított kereseteknek részben helyt adott, részben pedig azokat elutasította, ezt mind a két fél eltérő érveléssel támadta. Az ítélőtábla az alapelvek megsértésére alapított felperesi kereseteket elutasította, azonban nem a felek által megjelölt indokokra figyelemmel. Az ítélőtáblának az az álláspontja, hogy amennyiben azt lehet megállapítani, hogy egy adott adatkezelés már azért jogellenes, mert az adatkezelő nem rendelkezik valamely, a GDPR 6. cikk

(1)bekezdésében meghatározott jogalappal, akkor az az adatkezelés értelemszerűen sérti a GDPR valamennyi egyéb rendelkezését, így az alapelveket is, hiszen a jogalap nélküli adatkezelés semmiképpen nem felelhet meg a GDPR 5. cikk

(1)bekezdésében felsorolt alapelveknek sem. Az Infotv. 23. §

(5)bekezdésének megfelelően a bíróságnak a jogsértést kell megállapítania, vagyis azt az alperesi tevékenységet, amely a jogsértést okozta. A jogsértés oka pedig alapvetően a felperesi hozzájárulás hiánya volt. Tehát ha a bíróság megállapítja a jogsérelem tényét azért, mert az adatkezelés jogalapja nem áll fenn, akkor a hatékony bírósági jogorvoslathoz szükségtelen a bírósági ítélet megállapító részében azt is kifejezni, hogy az adatkezelés egyben a GDPR egyéb rendelkezéseit is sérti, hiszen a jogalap hiányából következik a teljes adatkezelés minden mozzanatára kiterjedő jogszerűtlenség. [48] Az ítélőtábla rámutat, hogy a felperes fellebbezésének a tisztesség sérelmével kapcsolatos érvelése éppen az elsőfokú bíróság döntésének helyességét, illetve a másodfokú bíróság megállapítási keresettel kapcsolatos álláspontját támasztja alá. A felperes azt adta elő, hogy azt észlelte az adatkezelési tájékoztatóból, hogy lehetséges, hogy egyéb célból is kívánnak számára tájékoztatót küldeni, mint a koronavírussal kapcsolatos tájékoztatás, ezt azonban teljes bizonyossággal nem tudta megállapítani. Ebből viszont éppen az következik, hogy a felperes ezen homályos, meg nem határozott célból történő adatkezeléshez nem adta a hozzájárulását. Tehát a felperes által a tisztességtelenség körében hivatkozott bizonytalanságokat valójában már korábban, nem az adatkezelési alapelv, hanem az adatkezelési jogalap fennállása körében kell értékelni, és az általa előadottak a jogalap hiányához vezetnek a perbeli, hozzájárulásán alapuló adatkezelés esetén. [49] Az alperes előadta, hogy álláspontja szerint az Infotv. 23. §

(5)bekezdése alapján csak úgy lehet igényt érvényesíteni, ha a felperes a megállapítás mellett egyidejűleg egyéb jogkövetkezményeket is kér. Az ítélőtábla egyetértett az elsőfokú ítélet [47] bekezdésében foglaltakkal, mely szerint az Infotv. 23. §

(5)bekezdésének szövegezéséből nem következik, hogy az ott írt különböző jogkövetkezmények közül a felperes ne választhatná meg szabadon, hogy melyiket kéri a perben, illetve milyen módon alkot ezek között halmazatot. Ezzel együtt az ítélőtábla rámutat, nem egészen érthető, hogy az alperes miért hivatkozik ellenkérelemként Fővárosi Ítélőtábla 9.Pf.20.387/2025/5-II 15 arra a kifogásra, hogy a felperes nem kérhet külön megállapítást jogkövetkezmények alkalmazása nélkül, miután ilyet a felperes jelen perben nem is tett. [50] Az alperes kifogásolta az elsőfokú bíróság eltiltásról hozott rendelkezését, az ítélőtábla azonban ebben a kérdésben is egyetértett az elsőfokú bíróság indokolásának [50] bekezdésében írtakkal, az Infotv. 23. §

(5)bekezdés c) pontjában foglalt meghatározás lehetővé teszi az eltiltásról hozott rendelkezést. [51] A sérelemdíjat elutasító rendelkezést a felperes fellebbezte, aki hangsúlyozta, hogy előadta azokat a hátrányokat, amelyek miatt a nem vagyoni sérelem és így a személyiségi jogának a megsértése megállapítható. Az ítélőtábla a sérelemdíj kérdésében is egyetért az elsőfokú bíróság indokaival, hangsúlyozva, hogy az adatvédelmi jogszabályok sérelme nem jelenti automatikusan a személyiségi jogok sérelmét is, így nem alapoz meg automatikusan sérelemdíj iránti igényt. Az elsőfokú bíróság az [55] bekezdésben helyesen hívta fel az EUB C-456/

1. számú döntését, mely szerint az érintettnek a GDPR szerinti nem vagyoni kár igényléséhez bizonyítania kell, hogy az általa elszenvedett következmények olyan kárnak minősülnek, amely különbözik a rendelet rendelkezéseinek egyszerű megsértésétől. Az ítélőtábla egyetért azzal, hogy a felperes által a jogsértés miatt elszenvedett következmény 13 kéretlen kormányzati e-mail fogadása volt. Ez valóban a felperest ért kellemetlenségnek minősül, azonban az ítélőtábla álláspontja szerint 13 – nem bántó vagy gyalázkodó tartalmú – e-mail fogadása objektíve nem alkalmas a felperes személyiségének lényegét érintő behatás előidézésére akkor sem, ha a felperes a helyzetet szubjektíve sérelmesnek és bizalmat rombolónak élte meg. [52] Minderre tekintettel a Fővárosi Ítélőtábla az elsőfokú bíróság ítéletét a Pp.
2. §

(2)bekezdésének megfelelően kisebb mértékben megváltoztatta, abból mellőzte a célhoz kötöttség elvének sérelmével kapcsolatos megállapítást, miután a jogalap fennállásának hiányára tekintettel az alapelvi sérelem külön megállapítása a hatékony bírósági jogorvoslathoz nem szükséges. Egyebekben pedig az elsőfokú bíróság ítéletét helybenhagyta. [53] Az első- és másodfokú eljárásban végül a felperes három megállapítási keresetből egyben pernyertes lett, a jogkövetkezmények közül pedig az eltiltásra és az ítélet közzétételére kötelezés tekintetében pernyertes, a sérelemdíj iránti igényre pedig pervesztes. Ezért az ítélőtábla a felek pervesztességének-pernyertességének arányát az első- és másodfokú eljárásra is irányadóan, mérlegeléssel 50-50%-ban állapította meg. Miután a felek mind az első-, mind a másodfokú eljárásban az IM rendelet 3. §

(3)bekezdése alapján kérték az ügyvédi munkadíj megállapítását és egyező mértékű munkaórát is számítottak fel, ezért az ítélőtábla a Pp. 83. §

(2)bekezdésének megfelelően akként rendelkezett, hogy a peres felek a költségeiket mindkét fokon maguk viselik. [54] Az eljárás az illetékekről szóló 1990. évi XCIII. törvény (Itv.) 57. §

(1)bekezdés o) pontja alapján illetékmentes. Fővárosi Ítélőtábla 9.Pf.20.387/2025/5-II 16 Budapest,

1. május
2. Dr. Hőbl Katalin s. k. a tanács elnöke Dr. Szabó Csilla s. k. k. előadó bíró Dr. Istenes Attila s. bíró