Adatvédelmi panasz benyújtása a NAIH-hoz kaszinó ellen
Ez az útmutató azoknak szól, akiknek személyes adatait egy online kaszinó a GDPR-ral ellentétesen kezeli: nem ad ki másolatot a KYC-dokumentumokról, nem törli a fiókot, vagy kérés nélkül küld marketingüzeneteket. Bemutatjuk, mikor és milyen formában lehet a Nemzeti Adatvédelmi és Információszabadság Hatósághoz fordulni, miben tér el a vizsgálati eljárás és az adatvédelmi hatósági eljárás, és mi a teendő, ha a szervező nem magyar, hanem külföldi engedély alapján működik. A határidőket és a benyújtási módokat a NAIH saját tájékoztatóiból ellenőriztük.
Mikor illetékes a NAIH egy kaszinó ügyében
A NAIH a személyes adatok kezelését felügyeli, a szerencsejáték-szervezés szabályait viszont nem: egy elmaradt kifizetés vagy egy vitatott bónuszfeltétel a szervezőhöz, a békéltető testülethez vagy a Szabályozott Tevékenységek Felügyeleti Hatóságához (SZTFH) tartozik. Adatvédelmi ügy akkor keletkezik, ha a kaszinó a játékos adataival bánik jogellenesen.
Tipikus példa, hogy a szervező az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR) 15. cikke szerinti hozzáférési kérelemre nem válaszol, a 17. cikk szerinti törlési kérelmet indoklás nélkül elutasítja, vagy a hozzájárulás visszavonása után is küld promóciós e-maileket. Ide tartozik az is, ha a KYC során bekért iratokat a szervező a szükségesnél hosszabb ideig vagy más célra használja.
Fontos korlát, hogy a pénzmosás elleni szabályok és a szerencsejáték-jog megőrzési kötelezettséget írhat elő, ezért a törlési kérelem jogszerű elutasítása nem minden esetben jogsértés.
Magyar és külföldi engedélyes szervező
A magyar engedéllyel működő szervező esetében a NAIH közvetlenül jár el. Ha a kaszinó egy másik uniós tagállamban rendelkezik tevékenységi központtal, a GDPR 56. cikke szerinti egyablakos rendszerben főszabályként az ottani felügyeleti hatóság a fő felügyeleti hatóság; a panasz ilyenkor is benyújtható a NAIH-nál, amely azt a társhatóságokkal együttműködve továbbítja. Unión kívüli szervezőnél a végrehajtás lehetősége bizonytalan, és ezt a hatóság sem tudja előre garantálni.
A panasz menete lépésről lépésre
Az alábbi sorrend a NAIH által közzétett benyújtási szabályokon és a GDPR érintetti jogokra vonatkozó rendelkezésein alapul; az első lépést a hatósághoz fordulás előtt érdemes lezárni.
- 1. lépés
Érintetti kérelem a kaszinó adatvédelmi tisztviselőjének
A hozzáférési, helyesbítési vagy törlési kérelmet írásban, a felhasználói fiókhoz kötött e-mail-címről kell elküldeni, a GDPR megfelelő cikkére hivatkozva, a kérelem pontos tárgyával és a fiók azonosítójával. - 2. lépés
A válaszadási határidő kivárása
A GDPR 12. cikk (3) bekezdése szerint az adatkezelő egy hónapon belül köteles válaszolni; összetett ügyben ez további két hónappal meghosszabbítható, de a hosszabbításról és annak okáról az első hónapban tájékoztatnia kell. - 3. lépés
A bizonyítékok rendezett összegyűjtése
Meg kell őrizni a kérelem másolatát, a küldés igazolását, a szervező válaszát vagy annak hiányát, valamint a jogsértést mutató e-maileket, képernyőképeket és az adatkezelési tájékoztató akkori változatát. - 4. lépés
Az eljárástípus kiválasztása
A vizsgálati eljárás bejelentésre, az adatvédelmi hatósági eljárás kérelemre indul. Utóbbi kötelező erejű határozattal zárul, és csak érintett kérheti, közérdekű bejelentő nem. - 5. lépés
Benyújtás ePapíron, postán vagy személyesen
A NAIH tájékoztatása szerint eljárás e-mailben nem kezdeményezhető. Elektronikusan az ePapír szolgáltatáson, postán teljes bizonyító erejű magánokiratban az 1363 Budapest, Pf. 9. címre lehet benyújtani. - 6. lépés
Hiánypótlás és a döntés követése
Ha a hatóság adatokat kér, a válaszig eltelt idő nem számít bele az ügyintézési határidőbe. A határozat ellen közigazgatási per indítható, a vizsgálat lezárása ellen ilyen jogorvoslat nincs.
Vizsgálat vagy hatósági eljárás: a két út
Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) két külön utat ismer, és a kettő eredménye jelentősen eltér egymástól.
Az Infotv. 52. § (1) bekezdése szerint „a Hatóságnál bejelentéssel bárki vizsgálatot kezdeményezhet” arra hivatkozással, hogy személyes adatok kezelésével kapcsolatban jogsérelem következett be, vagy annak közvetlen veszélye fennáll. A NAIH tájékoztatója szerint a vizsgálati eljárás határideje a bejelentést követő naptól számított két hónap, és a bejelentőnek azonosított személynek kell lennie. A vizsgálat jellemzően felszólítással zárul, amely nem kikényszeríthető kötelezés.
Az adatvédelmi hatósági eljárás ezzel szemben kérelemre indul, ügyintézési határideje a NAIH közlése szerint százötven nap, és az eljárás a kérelem megérkezésének napján kezdődik; a határozatban a hatóság kötelezheti az adatkezelőt, és bírságot is kiszabhat. Mindkét eljárásnál igaz, hogy a tényállás tisztázásához kért adatok közléséig eltelt idő nem számít bele a határidőbe, így a valós átfutás a hiánypótlás gyorsaságától is függ.
Egy kifizetést visszatartó kaszinónál, amely közben a KYC-iratokat sem adja ki, rendszerint a hatósági eljárás a célszerűbb.
A két eljárás összevetése a gyakorlatban
A táblázat a NAIH által közzétett eljárási szabályok alapján veti össze a két utat azokban a szempontokban, amelyek egy kaszinóval szembeni panasznál a leginkább számítanak.
Vizsgálati eljárás | Adatvédelmi hatósági eljárás |
|---|---|
| Bejelentésre indul, bárki kezdeményezheti | Kérelemre indul, csak az érintett kérheti |
| Határidő: két hónap | Határidő: százötven nap |
| Felszólítással zárul, nem kikényszeríthető | Határozattal zárul, kötelezés és bírság is lehet |
| A lezárás ellen nincs bírósági jogorvoslat | A határozat bíróság előtt megtámadható |
Mit tartalmazzon a beadvány
A NAIH csak olyan beadványt tud érdemben kezelni, amelyből kiderül, ki panaszkodik, kire és milyen adatkezelés miatt. Postai benyújtásnál a beadványnak tartalmaznia kell a családi és utónevet, a születési nevet, az anyja születési nevét, a születési helyet és időt; ePapíron az azonosítást az ügyfélkapus belépés biztosítja.
A kaszinóra vonatkozó részben szerepeljen a szervező cégneve és székhelye, ahogy az adatkezelési tájékoztatóban áll, mert a márkanév és az üzemeltető gyakran eltér. Ugyanígy érdemes megnevezni azt az engedélyt, amelyre a szervező hivatkozik, de csak úgy, ahogy az oldalon vagy a hatósági nyilvántartásban ténylegesen szerepel.
A beadvány érdemi része írja le időrendben a kérelmet, a választ vagy annak elmaradását, és jelölje meg, melyik GDPR-cikk sérült. Hatósági eljárás esetén a kérelemnek azt is tartalmaznia kell, milyen döntést kér a kérelmező: például az adatok kiadására vagy törlésére való kötelezést.
Amit nem kell csatolni: a teljes játéktörténetet vagy a banki kivonatokat, ha azok a jogsértéshez nem kapcsolódnak.
Benyújtási módok és határidők egy helyen
| Szempont | Vizsgálati eljárás | Hatósági eljárás | Jogalap | Megjegyzés |
|---|---|---|---|---|
| Indítás | Bejelentés | Kérelem | Infotv. 52. §, 60. § | E-mailben nem lehet |
| Ki indíthatja | Bárki, azonosítottan | Csak az érintett | Infotv. | Névtelen bejelentés nem elég |
| Ügyintézési határidő | Két hónap | Százötven nap | NAIH tájékoztató | Hiánypótlás ideje kívül esik |
| Elektronikus benyújtás | ePapír | ePapír | NAIH tájékoztató | Ügyfélkapus azonosítás |
| Postai benyújtás | 1363 Budapest, Pf. 9. | 1363 Budapest, Pf. 9. | NAIH tájékoztató | Teljes bizonyító erejű magánokirat |
| Szervező válaszideje | Egy hónap | Egy hónap | GDPR 12. cikk (3) | Két hónappal hosszabbítható |
Gyakori buktatók és párhuzamos panaszutak
A leggyakoribb buktató az, ha a panasz a pénzügyi vitát és az adatvédelmi sérelmet egy beadványba keveri. A NAIH nem dönt arról, jár-e a nyeremény, így az ilyen részekre a beadvány nem kap érdemi választ, és ez az adatvédelmi rész kezelését is lassíthatja.
A kifizetési vitát a szervező panaszkezelésén, majd a magyar engedélyes szervezőnél a békéltető testületen vagy az SZTFH-n keresztül lehet érvényesíteni; a két eljárás párhuzamosan is futhat. Külföldi engedélyes szervezőnél az engedélyt kiadó hatóság panaszrendje az irányadó, amelyet az adott hatóság saját oldalán kell ellenőrizni.
A GDPR 79. cikke a hatósági úttól függetlenül bírósági jogorvoslatot is biztosít az adatkezelővel szemben, és a 82. cikk alapján kártérítés is követelhető; ez azonban már perköltséggel jár, és általában ügyvédi segítséget igényel.
Végül: a jelentős önkorlátozó nyilatkozattal vagy a játékosvédelmi nyilvántartással kapcsolatos adatkezelés is adatkezelés, ezért ha egy szervező ezeket az adatokat nem a szabályok szerint kezeli, az a NAIH elé vihető, a játékosvédelmi kötelezettség megszegése pedig az SZTFH elé.
Kapcsolódó fogalmak
Gyakori kérdések a NAIH-panaszról
Kell fizetni a NAIH-panaszért?
A vizsgálati eljárás és az érintett által kezdeményezett adatvédelmi hatósági eljárás a NAIH tájékoztatói szerint illetékmentes; díj egyes külön eljárásokban, például engedélyezési ügyekben merül fel.
Beküldhető a panasz e-mailben?
Nem. A NAIH kifejezetten jelzi, hogy eljárás e-mailben nem kezdeményezhető; ePapíron, postán teljes bizonyító erejű magánokiratban vagy személyesen lehet benyújtani.
Panaszt tehetek külföldi engedélyes kaszinó ellen?
Igen, a panasz a NAIH-nál benyújtható. Uniós tevékenységi központ esetén az ottani hatóság jár el fő felügyeleti hatóságként, a NAIH pedig együttműködik vele.
Visszaszerzi a NAIH a nyereményemet?
Nem. A NAIH kizárólag az adatkezelés jogszerűségéről dönt; a kifizetési vita a szervezőhöz, a békéltető testülethez vagy az engedélyt kiadó szerencsejáték-hatósághoz tartozik.
Van határidő a panasz benyújtására?
A NAIH-eljárások megindítására külön jogvesztő határidőt az általunk áttekintett tájékoztatók nem írnak elő, de a bizonyítékok miatt célszerű a szervező válaszideje után nem sokat várni.
További információk az online kaszinókról
A beérkező olvasói kérdésekben a leggyakoribb hiba, hogy a panasz a kaszinóhoz intézett írásos kérelem nélkül érkezik a hatósághoz. Ezért elsőként mindig azt nézzük, van-e dátummal igazolható érintetti kérelem; enélkül a NAIH nehezen tudja megállapítani, hogy a szervező megtagadta a jog gyakorlását.