Cikk letöltése PDF-be

Absztrakt

Jelen tanulmány a „Consent or Pay” (CorP) modell uniós adatvédelmi és versenyjogi megítélését vizsgálja, különös tekintettel az EDPB 8/2024 számú véleményére és az Európai Bizottság Metával szemben hozott határozatára. Fókuszában a felhasználói hozzájárulás önkéntességének, az ingyenes és fizetős szolgáltatási alternatívák egyenértékűségének, valamint a méltányos díjazás feltételeinek elemzése áll. A tanulmány rávilágít, hogy bár a CorP modell önmagában nem jogellenes, a nagy online platformok kontextusában az érvényes hozzájárulás megszerzése jelentős kihívásokat vet fel. A tanulmány következtetése szerint, elengedhetetlen az egységes uniós szabályozási keretrendszer kialakítása a személyes adatok védelmének és a digitális szolgáltatók fenntartható finanszírozásának egyensúlyához.

Bevezetés

Az online tartalomfogyasztás és a közösségimédia-szolgáltatások intenzív használata a szakmai és magánéletünk szerves részévé vált. Az egyszerű és ingyenes hozzáférés meghatározó szerepet játszott, hogy mára a világ lakosságának közel 70%-a jelen van valamilyen közösségi oldalon.[1] Az ingyenesség illúziója mögött ugyanakkor a felhasználók marketingértékkel bíró adattömegének kiaknázása áll. A felhasználók által megosztott és a szolgáltatások használata során gyűjtött adatok összekapcsolására és felhasználására irányuló többirányú szabályozás és hatósági figyelem vezetett a „hozzájárulás vagy fizetés” („Consent or Pay”, „Ok or Pay” továbbiakban: „hozzájárulás vagy fizetés” vagy CorP) modellek elterjedéséhez, amely mind a felhasználók, mind az egyéb stakeholderek (platformszolgáltatók, hirdetők, ágazati érdekképviseleti szervek, jogvédő szervezetek, tagállami és uniós hatóságok, szakemberek stb.) között élénk vitákhoz vezetett az alkalmazhatóságuk és alkalmazásuk feltételeit érintően.

Jelen tanulmány az Európai Adatvédelmi Testület (továbbiakban: Testület vagy EDPB) e témában megfogalmazott, 8/2024. számú véleményét és az Európai Bizottság (továbbiakban: Bizottság vagy EB) Metával[2] szemben hozott bírságkiszabó határozatát, illetve mindkét szervezet által hivatkozott, az Európai Unió Bírósága (továbbiakban: EUB) Bundeskartellamt-ügyben hozott ítéletét vizsgálja meg alaposabban a CorP modellel összefüggő, meghatározó adatvédelmi jogi feltételekre – a fizetős és a marketingcélú nyomon követéssel járó, de ingyenes alternatíva egyenértékűségére, a választás tényleges szabadságára, így az adatkezeléshez való hozzájárulás önkéntességére – fókuszálva.

A CorP modell alkalmazásának követelményeit tárgyaló EUB-ítélet, a hatósági döntések és az EDPB véleménye a hozzájárulás önkéntességének értékelését tekintve, de azon túlmutatóan is számos nyitott kérdést hagytak maguk után. A tanulmányban megfogalmazódó kritikai észrevételek e nyitva hagyott kérdésekre világítanak rá, amelyek megválaszolását a jövőbeli EUB-ítéletektől és a nagy várakozással övezett EDPB útmutatástól várhatjuk.

Így a tanulmányban említésre kerül, hogy a modell adatvédelmi megfelelőségét vizsgálni szükséges a nagy online platformok kontextusán túl, egyéb digitális szolgáltatásokra is, tisztázásra szorul, hogy a díjfizetés milyen feltételek mellett lehet elfogadható és méltányos, figyelembe véve az online szolgáltatások sokféleségét, globalitását és a felhasználók heterogén pénzügyi hátterét. Emellett indokolt lehet útmutatást nyújtani arra is, hogyan biztosítható a userek számára a választást megelőző transzparens, közérthető és hatékony tájékoztatás a digitális térben.

A CorP modell alkalmazhatóságát és feltételeit érintő jogi disputa messze nincs még nyugvóponton.

1. Viselkedésalapú reklámok és a „hozzájárulás vagy fizetés” modell elterjedése

1.1. Viselkedésalapú hirdetések

A viselkedésalapú – az egyének online viselkedésének hosszabb ideig tartó megfigyelésén alapuló[3] – hirdetések megjelentetése az online közösségi hálózatok üzemeltetőinek elsődleges bevételi forrása.[4]

A hirdetések konverziós rátája,[5] találati sikere azon múlik, hogy a hirdetés mennyire releváns, mennyire az adott felhasználó személyes igényeire, feltételezett érdeklődésére szabott. Ehhez a felhasználó online viselkedési szokásairól az adott platformon, illetve a további meglátogatott oldalakon és applikációkban gyűjtött információk és azok elemzése szolgáltat támpontot.

A viselkedésalapú hirdetések alapjául az online aktivitás jellemzőinek (felkeresett weboldalak, ismétlődő webhelylátogatások, megtekintett online tartalmak, megosztott tartalmak, adott terméket vagy szolgáltatást megjelenítő oldalon eltöltött idő, elhelyezett like-ok, interakciók, keresési kulcsszavak stb.) tanulmányozása, adattá alakítása, és az erre épülő részletes felhasználói profil megrajzolása szolgál, ami kiegészülhet a felhasználó által, aktív magatartásával magáról szolgáltatott adatokkal (pl. közösségi oldalon történő regisztráció során megadott információkkal).

A személyre szabott reklámozás hatékonyságát az adott felhasználóról rendelkezésre álló adatok mennyisége alapvetően befolyásolja, így a platformok a felhasználókat szofisztikált módszerekkel arra késztetik, hogy minél többet és aktívabban használják a szolgáltatást, „hiszen az interakciók számának növelése még több hasznos adatot termel, amivel tovább növelhető a viselkedésalapú reklámozás, a mikrotargetálás hatásfoka”.[6]

Az információk összegyűjtésében és elemzésben több szereplő, a meglátogatott weboldalak, applikációk üzemeltetői, de harmadik feles szolgáltatók, például adatkereskedők is részt vesznek.[7]

Az adott felhasználó preferenciáit, ízlését és érdeklődését leíró, illetve a prediktív jellegű, a viselkedési jellemzőkben, online magatartásokban big data elemzéssel megfigyelt mintázatokon, összefüggéseken alapuló személyiségprofiloknál az MI alapú rendszerek kikövetkeztetési képességük révén sokkal hatékonyabbak. Egyszersmind optimális teljesítményük érdekében sokkal adatintenzívebbek is az MI alapú profilozó és ajánló rendszerek,[8] amelyek az adatvédelmi követelménynek való megfelelést (pl. transzparencia, adattakarékosság, szükségesség) kihívások elé állítják.

A viselkedésalapú hirdetések az általános adatvédelmi rendelet (továbbiakban: általános adatvédelmi rendelet vagy GDPR) 5. cikkében meghatározott adatvédelmi alapelveknek – így különösen a jogszerűség,[9] a célhoz kötöttség,[10] a viselkedés nyomon követésén alapuló hirdetések céljából gyűjtött információ mértékére és összekapcsolhatóságára, így az adatkezelés túlzó, túlságosan beavatkozó jellegére tekintettel az adattakarékosság,[11] a megtévesztő vagy manipulatív nyilatkoztatási gyakorlatokra tekintettel méltányosság,[12] továbbá az elszámoltathatóság[13] elvének – való megfelelésének – a CorP modell alkalmazásától függetlenül – sok figyelmet szentelt már az EDPB, és elődje, a 29. cikk szerinti adatvédelmi munkacsoport is.[14]

A felhasználó számára ingyenesen nyújtott online szolgáltatásokat (ideértve a közösségimédia-hálózatokat, kommunikációs szolgáltatásokat, keresőmotor-szolgáltatásokat, streamingszolgáltatásokat, illetve online hírportálokat is), jellemzően a felhasználók online tevékenységének nyomon követésével és adataik felhasználásával járó, őket célzó hirdetési tevékenység finanszírozza. A felhasználói személyes adatok viselkedés alapú hirdetés céljából történő kezelése tehát nem a nyújtott online szolgáltatásokhoz szükséges, hanem azok finanszírozása szempontjából van jelentősége.[15]

1.2. CorP modell megjelenése és elterjedése

A CorP modell lényege, hogy a felhasználóknak választaniuk kell: vagy hozzájárulásukat adják, hogy az általuk megosztott, valamint az online nyomon követéshez alkalmazott sütikkel vagy más hasonló technológiai (ún. tracking) megoldásokkal gyűjtött adataikat a szolgáltató jellemzően viselkedésalapú reklámozás céljára felhasználja, és ez esetben díjfizetés nélkül vehetik igénybe a szolgáltatást, vagy díjat kell fizetniük a szolgáltatás használatáért.

A CorP modell megjelenése szorosan összefügg az ePrivacy irányelvnek az előfizetők és felhasználók végberendezésén történő adattárolásra, illetve az ott tárolt adatokhoz való hozzáférésre vonatkozó, 2009-ben módosított szabályaival (sütik és egyéb követési technológiákra vonatkozó szabályok),[16] de főképp a GDPR alkalmazandóvá válásával, valamint az adatvédelmi hatóságok e rendelkezésekre vonatkozó jogértelmezésével, amelyek szigorú követelményeket határoznak meg a személyes adatok kezeléséhez való felhasználói hozzájárulást illetően.[17]

Az CorP modell elterjedése – amely a 2020-as évek elején főképp a vezető európai elektronikus újságok gyakorlatában jelent meg – közvetlen stratégiai válaszlépésnek tekinthető az egyértelmű módon kifejezett hozzájárulás követelményére és az ún. „sütifalak” alkalmazása tilalmára az EDPB iránymutatásaiban[18] és a tagállami hatóságok gyakorlatában.[19]

Az EDPB az érvényes hozzájárulás követelményével ellentétesnek tartja a sütifalak alkalmazását, tehát ha szolgáltatás (pl. weboldalon megjelenített tartalom) csak akkor érhető el a felhasználó számára, ha hozzájárul a végberendezésén történő adattároláshoz vagy a már tárolt adatokhoz való hozzáféréshez, azaz elfogadja a sütiket. A sütifalnak keresztelt megoldás nem biztosít a felhasználónak valódi választási lehetőséget, ezért a felhasználó hozzájárulása nem önkéntes és érvényes.[20]

A tipikus sütifalakkal ellentétben, amelyek a felhasználóknak az oldalhoz való hozzáféréshez egyetlen lehetőségként a nyomon követéshez való hozzájárulást kínálják, a CorP modellben – amely így tekinthető a sütifalak módosított verziójának is, innen a „cookie paywall” elnevezés[21] – a felhasználók díj fizetése esetén, nyomon követessel nem járó szolgáltatási alternatívát is választhatnak.

1.3. CorP modell megítélése tagállami adatvédelmi hatóságok által

Több európai adatvédelmi hatóság foglalkozott a CorP modell adatvédelmi megfelelőségével.

Az osztrák tagállami adatvédelmi hatóság (DSB) egy 2018-as döntésében arra a megállapításra jutott, hogy a CorP modell alkalmazása a vizsgált hírportál esetében megfelel az önkéntes hozzájárulás feltételeinek.[22] Ugyanakkor 2023-ban a Der Standard online újság CorP modellje kapcsán alkalmazott hozzájárulást jogszerűtlennek találta a DSB, mert a beleegyezés több, eltérő célt kapcsolt össze, így az önkéntességhez szükséges részletezettséget nélkülözte.[23] Ezt a döntést utóbb az Osztrák Szövetségi Közigazgatási Bíróság (BVwG) is jóváhagyta.[24]

Miután a Francia Legfelsőbb Közigazgatási Bíróság (Conseil d’État) 2020 júniusában úgy találta, hogy a francia adatvédelmi hatóság (CNIL) nem alkalmazhat általános tilalmat a sütifalakra,[25] a CNIL 2020 októberében útmutatást bocsátott ki a sütifalakra, miszerint esetről esetre kell megvizsgálni, hogy az alternatívák közötti tényleges választás lehetősége és a hozzájárulás önkéntessége az alkalmazott megoldás sajátosságainak fényében biztosított-e.[26] A CNIL 2022 májusában ismételten iránymutatást fogalmazott meg a CorP modellek használatára, hogy milyen feltételek mentén (pl. valódi és méltányos hozzáférési alternatíva – akár más szolgáltatónál –, a fizetős alternatíva észszerű árazása, célonkénti hozzájárulás követelménye stb.) kell megítélni a nyomon követésre vonatkozó hozzájárulás érvényességét.[27]

A német adatvédelmi hatóságok konferenciájának (DSK) 2023-as döntése értelmében, bizonyos feltételek teljesítése esetén a CorP modellben alkalmazott hozzájárulás a GDPR-ban meghatározott érvényességi kritériumoknak megfelelhet, ezzel összefüggésben a DSK az adatkezelők gyakorlatát orientáló követelményeket fogalmazott meg, mint például a hozzájárulás specifikussága, illetve a fizetős és a hozzájárulással elérhető szolgáltatás érdemi egyenértékűsége.[28]

A dán adatvédelmi hatóság egyedi ügyekben hozott döntéseket követően 2023-ban bocsátott ki iránymutatást a sütifalak alkalmazhatóságára, amelyben a megfelelőség feltételeit a hozzájárulás önkéntességére fókuszálva határozta meg. Az alkalmazott vizsgálati kritériumok között az (1) észszerű és egyenértékű szolgáltatási alternatívák rendelkezésre állása (pl. észszerű díjért cserébe történő hozzáférés); (2) a megfelelő, észszerű árazás mellett nyújtott alternatíva; (3) a szolgáltatáshoz nem szükséges adatkezelések esetén a célonkénti hozzájárulás; (4) fizetős felhasználók adatai kezelésének a szolgáltatás nyújtásához feltétlenül szükségesre való korlátozása szerepelt.[29]

2025 elején az brit adatvédelmi hatóság (ICO) pragmatikus és részletes iránymutatást dolgozott ki a CorP modellt alkalmazó vagy az alkalmazását tervező adatkezelők számára adatvédelmi megfelelésüket támogatandó.[30] Az ICO szerint a CorP modellek megfelelhetnek az adatvédelmi jogszabályoknak, ha az adatkezelő a hozzájárulás önkéntességét és a modell egyéb adatvédelmi követelményeknek való megfelelését dokumentáltan bizonyítani tudja. Az útmutató több szempontot (pl. erőfölény, megfelelő díj, az ingyenes és a fizetős verziók egyenértékűsége, privacy by design) elemez, és esettanulmányok bemutatásával segíti annak a felmérését, hogy a modell konkrét megvalósítása megfelel-e az adatvédelmi követelményeknek. Ez az útmutató alkalmas mércéül szolgálhat az EDPB tervezett „consent or pay” modell útmutatójához,[31] különös tekintettel, hogy a nagy online platformok kontextusában kiadott EDPB-vélemény a CorP modellről a praktikusság és egyértelműség tekintetében messze elmarad a várakozásoktól.

Az osztrák, a francia, a német, a dán és az angol adatvédelmi hatóságok gyakorlata alapján a CorP modell nem önmagába véve jogellenes,[32] az érvényes hozzájárulás feltételeinek teljesülése esetén – különösen a hozzájárulás célok szerinti specifikussága és átláthatósága, az alternatívák egyenértékűsége, továbbá a fizetéssel járó alternatíva méltányos árazása mellett – megfelelhet az adatvédelmi követelményeknek.[33] Ezzel együtt a modell egyes konkrét alkalmazási eseteinek egyedi feltételei miatt az adatvédelmi megfelelésükre vonatkozó tagállami hatósági döntések igen változatos képet mutatnak, és igényelnék a tagállami gyakorlat egységesítését.

1.4. A CorP modell Meta általi bevezetése

A Meta 2023 novemberében a versenyjogi és adatvédelmi követelményeknek való megfelelés érdekében a Facebook és Instagram oldalán bevezette a CorP modellt,[34] amely felfokozta a jogvédő szervezetek aktivitását, így a tagállami adatvédelmi hatóságok a hozzájuk érkezett megkeresések miatt állásfoglalásra kérték az EDPB-t.[35]

A Meta üzleti döntésében az alábbi követelmények játszottak szerepet. Egyrészt EUB jogszerűtlennek minősítette a Meta azon gyakorlatát, hogy a felhasználók személyes adatainak viselkedésalapú reklámozás céljából való felhasználását az online közösségi hálózati szolgáltatás keretében szerződéses, majd jogos érdek jogalapra építette.[36] Másrészt az EDPB – sürgős eljárás keretében hozott kötelező érvényű határozatában – arra utasította az ír adatvédelmi hatóságot, hogy tiltsa meg, hogy a Meta viselkedésalapú hirdetés céljából személyes adatokat szerződés és jogos érdek jogalapon kezeljen az Európai Gazdasági Térségben.[37] Mindezek mellett alkalmazandóvá vált a DMA kapuőrökre vonatkozó magatartási tilalma is az adatok összekapcsolását érintően, amelyről a tanulmány 3. fejezetében lesz szó bővebben. Ezekre tekintettel a Meta számára nem maradt más lehetőség, minthogy visszatérjen a GDPR alkalmazandóvá válása előtt alkalmazott hozzájárulás jogalaphoz a felhasználók személyes adatainak viselkedésalapú reklámozás céljából való felhasználását érintően, amelyet a CorP modell alkalmazásának keretében vezetett be.

A következő fejezetben az EDPB a tagállami adatvédelmi hatóságok megkeresésére kiadott véleményét vizsgálom.

2. Az EDPB CorP véleménye

Az EDPB-t tagállami adatvédelmi hatóságok szólították meg, hogy – tekintettel a kérdés általános, minden tagállamban jelentőséggel bíró jellegére – a GDPR 64. cikkének (2) bekezdése alapján[38] véleményezze a nagy online platformok[39] által bevezetett CorP modellben alkalmazott, a felhasználói személyes adatok viselkedésalapú hirdetések céljából történő feldolgozásához való hozzájárulás érvényességét.

Már az EDPB 2024/2025-ös tervei közt is szerepelt, hogy a CorP modellre vonatkozóan általános iránymutatást készít, amely tágabb adatkezelői körre – azaz nem csupán a nagy online platformokra – vonatkozóan ad eligazítást az általános adatvédelmi rendeletnek való megfelelést elősegítendő.[40] Bár ez az iránymutatás egyelőre nem látott napvilágot, az EDPB aktuális tervei között továbbra is szerepel.[41] Így az EDPB a továbbiakban ismertetett véleményének[42] (továbbiakban: vélemény) a CorP modell kapcsán tett, a hozzájárulás érvényességi feltételeire vonatkozó megállapításai a nagy online platformok és felhasználóik kontextusára korlátozódnak, s bár nem kötelező érvényűek, de a tagállami adatvédelmi hatóságok döntései-
ben meghatározó a szerepük.

2.1. A hozzájárulás önkéntessége

A hozzájárulás érvényességi feltételeinek sorában az EDPB elsőként a hozzájárulás önkéntességének, az autonóm választási lehetőségnek az elengedhetetlen attribútumait járja körbe, amelyek teljesülését és bizonyíthatóságát a konkrét adatkezelés körülményeinek függvényében kell megvizsgálni.[43] A hozzájárulás önkéntességét meghatározó körülmények – mint az egyenlőtlen hatalmi viszonyok, a feltételesség, a részletesség és a kár – részletes tartalmát a GDPR értelmezése során a 29. cikk szerinti adatvédelmi munkacsoport[44] és utódjaként az EDPB[45] alakított ki.

2.1.1. Egyenlőtlen erőviszonyok

A GDPR (43) preambulumbekezdése alapján, a hozzájárulás nem szolgálhat érvényes jogalapként a személyes adatok kezeléséhez, ha az érintett és az adatkezelő között egyértelműen egyenlőtlen erőviszony áll fenn, és ezért – az adatkezelés minden konkrét körülményeit figyelembe véve – nem valószínűsíthető a hozzájárulás önkéntes jellege.

Mivel a vélemény a nagy online platformok hozzájárulás-kérési gyakorlatát vizsgálja, ezek azonosításának szempontjai jelentős korrelációt mutatnak azokkal a kritériumokkal, amelyek az adatkezelő és az érintett közötti egyenlőtlen erőviszony fennállására utalnak, mint a vállalat piaci pozíciója és erőfölénye, a felhasználók száma, az adatkezelés mértéke, a szolgáltatással járó hálózati és bezártsági hatások jelentkezése, a felhasználónak a szolgáltatástól való függése stb.,[46] így a nagy online platformok esetén a felhasználóval szembeni egyenlőtlen hatalmi pozíció valószínűsíthető.

Az EDPB a tagállami adatvédelmi hatóságok megkeresésének megfelelően véleményében kitér az EUB Bundeskartellamt-ügyben hozott ítéletére is, amely az online közösségi hálózatokat üzemeltető szolgáltató erőfölényével kapcsolatban megállapítja, hogy az „önmagában nem zárja ki, hogy az ilyen hálózat felhasználói az általános adatvédelmi rendelet 4. cikkének 11. pontja értelmében véve érvényesen hozzájárulhassanak személyes adataik ezen üzemeltető általi kezeléséhez”, ugyanakkor az erőfölény „fontos tényezőnek minősül annak meghatározása szempontjából, hogy a hozzájárulást ténylegesen érvényesen, és különösen önkéntesen adták-e meg, amit az üzemeltetőnek kell bizonyítania”.[47] Az EUB a GDPR (42) preambulumbekezdésére utalva az üzemeltető erőfölényét olyan körülménynek tekinti, amely „érintheti e felhasználó választási szabadságát, akinek esetleg nem áll módjában a hozzájárulást anélkül megtagadni vagy visszavonni, hogy ez kárára válna”.[48] A Bíróság tehát lényegében vélelmezi az adatkezelő erőfölénye esetén a hozzájárulás kényszerű jellegét, így az adatkezelőnek ilyen esetben az egyedi körülményekre és a tényleges gyakorlatára hivatkozással kell bizonyítania, hogy a hozzájárulását az érintett valóban önkéntesen adja meg.

Az EDPB – utalva a 29. cikk szerinti munkacsoport véleményére – az EUB fenti ítéletét megelőzően kiadott, hozzájárulásról szóló iránymutatásában az EUB fenti álláspontjával egyezően már megfogalmazta, hogy az egyenlőtlen hatalmi viszonyok esetén a hozzájárulás érvényessége szempontjából az érintett valódi választási lehetőségének megléte, a megtévesztés, kényszer vagy egyéb jelentős negatív következmény kockázatának hiánya a döntő.[49] Egyértelműen egyenlőtlen erőviszony fennállása esetén a hozzájárulás csak „kivételes körülmények” esetén használható fel, amennyiben a hozzájárulás megtagadása nem jár káros következménnyel.[50]

Ami a díjfizetésnek a hozzájárulás önkéntességét korlátozó jellegét érinti, az EDPB e korábbi útmutatásában a jelentős többletköltséget – és nem önmagában a díj fizetését – tekintette olyan kockázatnak, amelyet a szabad akarat gyakorlását megkérdőjelező negatív következményként értékelt.[51]

Bár a Testület véleményében nem tesz egyenlőségjelet a káros következmény és a díjfizetés között, de egyértelműen leteszi a voksát, hogy a viselkedésalapú hirdetések nélküli és ingyenes alternatíva alkalmazása tekinthető negatív hatás nélküli – így a választási szabadságot megalapozó – alternatívának a nagy online platformok által viselkedésalapú hirdetésekkel kínált szolgáltatással szemben.[52] Emellett az EDPB nem foglalkozik érdemben azzal, hogy a viselkedésalapú hirdetésekhez való hozzájárulás megtagadásával járó díjfizetés milyen összeg és egyéb feltételek esetén érinti érdemben a felhasználó választási szabadságát, amely a CorP modell kapcsán további vizsgálat tárgyát kell, hogy képezze.

Önmagában az a tény, hogy az EDPB hozzájárulásra vonatkozó általános iránymutatásával szemben e vélemény a nagy online platformok által alkalmazott hozzájárulást vagy díjfizetést megkövetelő modellek összefüggésében született, nem indokolja az elmozdulást, mert mind az iránymutatás, mind e vélemény az adatkezelő erőfölényéből kiindulva elemzi az önkéntes hozzájárulás feltételeit.

2.1.2. Feltételesség elkerülése: valódi választás az egyenértékű alternatívák között

A GDPR 7. cikkének (4) bekezdése értelmében, a hozzájárulás önkéntességének megítélésben jelentős, szinte definitív annak a szerepe, hogy az érintettnek hozzá kell-e járulnia a szerződésszerű szolgáltatáshoz való hozzáférése érdekében a szerződés teljesítéséhez – egyébként objektíve nem szükséges – adatkezelési tevékenységekhez. Ezt a körülményt nevezzük feltételességnek, amely esetén a hozzájárulás szabadságának hiánya vélelmezhető.[53] Az EDPB a 29. cikk szerinti munkacsoport korábbi iránymutatását[54] megismételve a feltételesség elkerüléséhez azt javasolja az adatkezelőknek, hogy valódi választási lehetőséget kínáljanak az érintetteknek a szolgáltatásnak a személyes adatok további célokra történő felhasználásához való hozzájárulást magában foglaló változata, és olyan alternatíva között, amely nem jár az adatok további célokra történő felhasználásához való hozzájárulással, feltéve, hogy az alternatívák valóban egyenértékűek, és ugyanazon adatkezelő kínálja őket.[55]

Az EDPB a feltételességet érintően is kitér az EUB Bundeskartellamt döntésére. A Bíróság a közösségi hálózati szolgáltatás nyújtásához objektíve nem elengedhetetlen adatkezelési műveletekkel – így a szolgáltatás keretében nyújtott tartalom személyre szabásával – kapcsolatban megállapította, hogy „a felhasználóknak jogosultnak kell lenniük, hogy a szerződéskötési folyamat keretében egyedileg megtagadják a szerződés teljesítéséhez nem szükséges konkrét adatkezelési műveletekhez való hozzájárulásukat, anélkül azonban, hogy kötelesek lennének teljes egészében lemondani az online közösségi hálózat üzemeltetője által kínált szolgáltatás igénybevételéről, ami azt jelenti, hogy az említett felhasználónak – adott esetben megfelelő díjazás ellenében – olyan egyenértékű alternatívát ajánlanak fel, amelyhez nem kapcsolódnak ilyen adatkezelési műveletek.”[56]

A Bundeskartellamt ügyben hozott ítéletnek két szempontból is nagy jelentősége van a CorP modell alkalmazhatósága tekintetében:

  • egyrészt, hogy kivételesen ugyan, de egyenlőtlen hatalmi viszonyok esetén is biztosítható a hozzájárulás érvényessége, feltéve, hogy az érintett részére a szolgáltató valódi választási lehetőséget biztosít, és a hozzájárulás megtagadása nem jár káros következménnyel az érintett részére;
  • másrészt, hogy az egyenértékű alternatívák közötti választás követelménye nem zárja ki, hogy valamelyik opció díjfizetéssel járjon.

Erre tekintettel a vélemény is elismeri, hogy a hozzájárulást vagy díjfizetést megkövetelő modellek elvben nem tiltottak, ugyanakkor annak hangsúlyozásával, hogy a viselkedésalapú hirdetéssel járó a szolgáltatás egyedüli alternatívájaként a fizetős opció felkínálása kerülendő, és hogy az adatkezelőknek olyan egyenértékű alternatívát is javasolt biztosítaniuk, amely ingyenes, magyarázat nélkül hagyja az EUB álláspontja és a saját iránymutatása közötti elmozdulást.

A vélemény az EUB által felvázolt „egyenértékű alternatíva” feltételei kapcsán – a hozzájárulásról szóló állásfoglalását lényegében megismételve – azt fogalmazza meg, hogy az alternatív változatnak

  • azonos adatkezelő által kínált alternatív változatnak kell lennie;
  • nem járhat a személyes adatok viselkedésalapú hirdetés céljából történő kezeléséhez való hozzájárulással;
  • funkcionálisan és minőségileg lényegében azonosnak kell lennie, kivéve azt az eltérést, amely közvetlenül abból adódik, hogy az adatkezelő nem kezelhet személyes adatokat viselkedésalapú hirdetések céljából.[57]

2.1.3. Díjfizetés a felhasználót érő kár értékelésének tükrében

A hozzájárulás önkéntességének megítélésében szerepet játszik az is, hogy a felhasználót éri-e kár a hozzájárulás megtagadása vagy visszavonása miatt,[58] a nagy online platformok esetén például olyan formában, hogy ezáltal nem fér hozzá a társadalmi, szakmai vagy magánéletében szignifikáns tartalmat, kapcsolatrendszert és interakciókat jelentő, a bezártsági vagy hálózati hatások miatt meghatározó szerepet betöltő online platform szolgáltatásához.[59]

Az EDPB rámutat, hogy a fent említett károk megelőzésének eszköze, így az önkéntesség feltétele, hogy a fizetendő díj ne akadályozza a felhasználót a szabad választásban,[60] ne kényszerítse őket az adatkezeléshez történő hozzájárulásra, ugyanakkor valószínűsíti, hogy a felhasználót kár éri, „ha a nagy online platformok hozzájárulást vagy díjfizetést megkövetelő modellt alkalmaznak az adatkezeléshez való hozzájárulás megszerzéséhez”.[61]

Amellett, hogy elengedhetetlennek tartja a díjaknak az érintettek választási szabadságára gyakorolt hatását vizsgálni, az EDPB nem zárja ki kategorikusan, hogy a szolgáltatás díjfizetéssel járó változata mellett érvényes hozzájárulás adható, az díjfizetéssel járó opció egyenértékű alternatívának minősülhet.[62] Ugyanakkor az EDPB nem biztosít semmilyen, a gyakorlat orientálására alkalmas támpontot, hogy milyen mértékű vagy milyen szempontok szerint kalkulált díj tekinthető tényleges és egyenértékű alternatívának azon túl, hogy ezt az adatvédelem elveinek – különösen a méltányosság elvének –, az érintettek álláspontjának, a viselkedésalapú hirdetések kevesebb személyes adat kezelésével járó alternatíváinak figyelembevétele mellett esetről esetre kell mérlegelnie az adatkezelőnek.[63]

A felügyeleti hatóságok felülvizsgálhatják a szolgáltató megfelelőségi értékelésének helyességét, beavatkozhatnak és korrekciós intézkedéseket hozhatnak, amennyiben az adatkezelő nem biztosítja elszámoltathatóan a felhasználók hozzájárulásának önkéntességét,[64] de ehhez a vélemény alig biztosít viszonyítási pontot, így felmerül a kérdés, hogy mennyiben alkalmas a GDPR gyakorlati alkalmazásával kapcsolatos konkrét kérdések megválaszolására, az egységes uniós szintű értelmezés kialakítására.

Az EDPB hangsúlyozza, hogy meg kell előzni, hogy „az adatvédelemhez való alapvető jog olyan dologgá változzon, amelynek élvezetéért az érintetteknek fizetniük kell, vagy a gazdagok és jómódúak számára fenntartott prémium szolgáltatássá váljon.”[65]

A felhasználó választási szabadsága, hozzájárulásának önkéntessége, így az adatvédelemhez való alapvető joga abban az esetben kerülhet veszélybe, ha a nagy online platform által alkalmazott díj túlzó mértékű vagy kirekesztő. A CorP modellek kapcsán alkalmazott, a felhasználói személyes adatok viselkedésalapú hirdetések céljából történő feldolgozásához való hozzájárulás szándékolt alternatívája nem a szolgáltatás, funkció megtagadása, mint a sütifalak esetén, hanem a díjfizetéshez kötött elérés. Ebben a körben annak a további – empirikus kutatással is megerősített – kimunkálása szükséges, hogy az érintett döntési szabadságát, így hozzájárulás önkéntességét milyen mértékű díjfizetés korlátozza.

2.1.4. Hozzájárulás specifikussága

A hozzájárulás önkéntességének körében az EDPB kitér továbbá a GDPR (43) preambulumbekezdésében szerepkő követelményre, hogy az adatkezelőnek a nem szorosan összetartozó célok esetén külön-külön hozzájárulást kell kérnie, egyetlen, több különböző célt ötvöző hozzájárulási kérelem az érintett választási szabadságát kétségbe vonja.[66] Ennek a hangsúlyozása azért fontos, mert az osztrák adatvédelmi hatóság a Der Standard online újság CorP modellje kapcsán alkalmazott hozzájárulást a több, elkülönülő adatkezelési célt összekapcsolása miatt tálalta jogszerűtlennek.

2.2. A hozzájárulás érvényességének egyéb feltételei

A hozzájárulás alapjául szolgáló előzetes tájékoztatásnak az érintetteket olyan helyzetbe kell hoznia, hogy tisztán és teljes mértékben átlássák a lehetséges opciók értékét, a kapcsolódó adatkezelési tevékenyégeket és döntésük következményeit. Különösen igaz ez a CorP modell kapcsán alkalmazott, a viselkedésalapú hirdetésekhez történő hozzájárulásra, amely komplex, nehezen átlátható és az érintett magánszféráját mélyen érintő adatkezelésre ad engedélyt.

Így a CorP modell kapcsán az átláthatóság követelményéből fakad – többek közt – annak biztosítása, hogy az „érintett számára egyértelmű legyen, hogy pontosan miért fizetne díjat, és ez milyen hatással lenne az adott adatkezelésre”, illetve, hogy „az érintettek megértsék a profilalkotási folyamatokban alkalmazott technikákat”.[67]

A nagy online platformok felhasználóinak sokfélesége, valamint a viselkedésalapú hirdetések alapjául szolgáló adatkezelési folyamatok összetettsége folytán a megfelelő és könnyen hozzáférhető tájékoztatás kialakítását a szolgáltatóknak körültekintően meg kell tervezniük.[68]

Az EDPB a hozzájárulás konkrét jellegének és egyértelmű kinyilvánításának követelménye kapcsán felhívja a figyelmet a megtévesztő tervezési minták elkerülésére, az adatkezelési célok pontos megfogalmazására, az elkülönülő célok elválasztására, a célonkénti aktív nyilatkozatok szükségességére, és a nagy online platformoknak ezekkel kapcsolatos dokumentációs kötelezettségeire.[69]

A GDPR 7. cikkéből fakadóan a hozzájárulás érvényességéhez a visszavonásának lehetőségét időbeli korlátozás nélkül, egyértelműen feltüntetve, nem megtévesztő módon és ugyanolyan egyszerűen kell biztosítani, mint a megadás folyamata. A GDPR (42) preambulumbekezdéséből és a hozzájárulásról szóló iránymutatás követelményeiből is következik, hogy a megtagadásához hasonlóan a hozzájárulás visszavonása sem járhat károkkal, egyértelmű hátránnyal az érintett számára.[70]

Az adatkezeléshez való hozzájárulás visszavonásának fenti szabályaiból kiindulva érthető a vélemény azon megállapítása, hogy a viselkedésalapú hirdetésekhez történő hozzájárulás visszavonásából nem következik automatikusan a fizetett előfizetés választása. Felmerülhet akár annak a lehetősége is, hogy az érintett nem kívánja továbbra is igénybe venni a szolgáltatást, tehát indokolt, hogy a felhasználó ismét választás elé kerüljön.[71]

Ugyanakkor, ha az önkéntes hozzájárulással összeegyeztethetőnek tekinthető – amire a vélemény is lehetőséget biztosít –, hogy a hozzájáruláson alapuló, hirdetések céljából történő adatkezeléssel járó szolgáltatás egyenértékű alternatívája legyen a díjfizetéssel járó verzió, akkor a korábbi hozzájárulás visszavonása esetén a választást a díjfizetés és a szolgáltatás felmondása között kell biztosítani. A véleményben javasolt, a viselkedésalapú hirdetési célból történő adatkezeléshez való hozzájárulás ismételt felkínálása mint a díjfizetés alternatívája, felhasználó számára feltehetően irritáló lenne.

A felhasználó számára megfelelően áltátható, és az adatai feletti önrendelkezést legjobban támogató verzió, ha egy erre dedikált felületen, megfelelő előzetes tájékoztatás mellett meg tudja jelölni, hogy a szolgáltatás melyik alternatíváját kívánja igénybe venni.

2.3. A véleménnyel kapcsolatos kritikai észrevételek

2.3.1. Trio modell mint alapértelmezett megoldás

A vélemény a tagállami adatvédelmi hatóságok nagy online platformok CorP modelljeit érintő vizsgálatát hivatott egységesíteni,[72] a sok felhasználóval rendelkező, jelentős piaci erővel rendelkező platformok által alkalmazott CorP modellek kontextusában elemzi a hozzájárulás önkéntességét érintő feltételeket,[73] és szolgál a modellek jogszerűségének vizsgálatához szempontokkal.

Ebben a viszonyrendszerben a nagy online platformok felhasználókkal szemben fennálló egyenlőtlen hatalmi pozíciójából kiindulva azzal a vélelemmel él a Testület, „hogy a legtöbb esetben a nagy online platformok nem tudnak majd eleget tenni az érvényes hozzájárulásra vonatkozó követelményeknek, ha csak két egymást kizáró választási lehetőséget biztosítanak a felhasználóknak, a személyes adatok viselkedésalapú hirdetési célú kezeléséhez való hozzájárulást és a díjfizetést.”[74] A nagy online platformok esetén egy harmadik, a díjmentesen felkínált, viselkedésalapú hirdetés nélküli alternatíva fogja majd érdemben befolyásolni a hozzájárulás érvényességének értékelését.[75]

A Testület a szakirodalomban „Trio modellként” is említett megoldást[76] tekinti az érvényes hozzájárulás és a szabad választás zálogának a nagy online platformok esetében, „a szolgáltatás (csak) fizetős alternatívájának felkínálása – amely a viselkedésalapú hirdetési célú adatkezelést is magában foglalja – az adatkezelők számára nem lehet alapértelmezett megoldás”.[77] Az EDPB a nagy online platformoknak azt javasolja a tényleges választási lehetőség biztosítása érdekében, hogy az érintettek számára olyan díjfizetéssel nem járó, egyenértékű alternatívát biztosítsanak, amely például viselkedésalapú hirdetések nélküli – így személyes adatok kezelésére egyáltalán nem vagy kisebb mértékben épülő –, kontextuális[78] vagy általános hirdetéssekkel működik.[79]

Bár a Testület elismeri, hogy a nagy online platformok nem kötelesek minden esetben ingyenes szolgáltatásokat nyújtani, de a vélemény határozottan azt az álláspontot képviseli, hogy az egyenlőtlen erőviszonyokból adódó kiszolgáltatottság feloldásának, a feltételesség elkerülésének és a hátrányok megelőzésének, összességében az önkéntes hozzájárulás bizonyítható eszközének tekinti a viselkedésalapú hirdetések nélküli, ingyenes alternatíva felkínálását.[80]

A vélemény egyik legnagyobb koncepcionális hiányossága, hogy a hozzájárulás érvényességi kritériumainak elemzésekor nem alapozza meg kellő mértékben, hogy a nagy online platformok által alkalmazott CorP modellben a szolgáltatás fizetős alternatívájának, mint egyedüli alternatívának a felkínálása a viselkedésalapú hirdetésekkel járó változat mellett miért nem lehet megfelelő megoldás, ha a szolgáltatási díj – ahogy arra az EUB is utalt – megfelelő mértékű, méltányos, és nem kirekesztő. Ezzel a EDPB – ha nem is helyezkedik nyíltan szembe, de – semmiképp nem oldja fel az ellentmondást sem az EUB Bundeskartellamt-ügyben hozott ítéletében megfogalmazottokkal, amely adott esetben a hozzájárulás alternatívájaként megfelelő díj felszámítását elfogadhatónak tartja,[81] sem az európai adatvédelmi hatóságok CorP modellekkel kapcsolatos határozataiban és útmutatóiban megfogalmazott megfelelőségi követelményekkel.

A CorP modellekkel kapcsolatos konzisztens uniós jogértelmezés és jogalkalmazás hiánya nem szolgálja sem a felhasználók, sem a szolgáltatók érdekeit.[82] Továbbra is szükség mutatkozik, hogy a CorP modell jogszerű alkalmazásának kritériumait az EDPB részletesen kidolgozza az adatkezelők tágabb körére, mint a nagy online platformok. Az EDPB jelen véleményben tett megállapításai, főképp a díjmentes, viselkedésalapú hirdetés nélküli alternatívának a hozzájárulás érvényességének értékelésében betöltött szerepe jelentősen eltérhet, ha nem nagy online platform az adatkezelő.

2.3.2. Méltányos díj

A vélemény másik, sokkal inkább praktikus jellegű mulasztása, hogy egyáltalán nem foglalkozik azzal a kérdéssel, hogy milyen mértékű díj, díjkalkulációs séma és egyéb feltételek mellett lenne biztosítható a hozzájárulás önkéntessége és így érvényessége, hanem azzal a feltételezéssel él, hogy a felhasználót kár éri a nagy online platformok hozzájárulást vagy díjfizetést megkövetelő modellt alkalmazásával.[83] Úgy tűnik, a szabad választást az EDPB lényegében az ingyenes, személyes adatok kezelésével nem vagy jóval kevesebb személyes adat kezelésével járó, kontextuális hirdetésekkel operáló alternatíva felajánlása mellett látja csak garantálhatónak.

Nem lehet figyelmen kívül hagyni annak a piaci realitását, hogy a személyre szabott hirdetések alkalmazása meghatározó jövedelemforrása a nagy online szolgáltatóknak, ettől az általános vagy kontextuális hirdetések által generált bevétel jelentősen elmarad, amely megkérdőjelezheti az ingyenesen nyújtott szolgáltatás fenntarthatóságát.[84]

Elkerülhetetlen, hogy az EDPB a CorP modellről alkotandó, egységes adatvédelmi megközelítést teremtő, és remélhetően versenyjogi és fogyasztóvédelmi szempontokat (pl. árazást, tisztességtelen kereskedelmi gyakorlatokat) is értékelő útmutatásában kialakítsa a vállalkozások finanszírozási szabadsága és a személyes adatok védelme közötti egyensúlyt, mert ahogy az online szolgáltatókat nem lehet arra kötelezni, hogy a szolgáltatásukat ingyen vagy számukra kedvezőtlen feltételek mentén biztosítsák, addig elfogadhatatlannak tűnik, hogy a személyes adatok védelme az Unió Alapjogi Chartájának 8. cikkével[85] ellentétben az online szolgáltatások tehetős felhasználói kiváltságává váljon.

Az európai adatvédelmi hatóságok CorP modellt érintő útmutatói közül az ICO nyújtja a leginkább konkrétnak mondható szempontrendszert a méltányos díj meghatározásához, amikor a kérdéses online szolgáltatás felhasználói bázisa által a személyes adataik felhasználásának elkerüléséhez (lényegében adataik védelméhez) társított értéket nevesíti mértékül, amelyet az adatkezelőnek piackutatással és a tényleges választás monitorozásával kell megerősítenie.[86] Ez a megközelítés – egyéb szempontok értékelése mellett, mint például heterogén felhasználói bázis számára is neutrális mértékű díj, szolgáltató költségstruktúrája – mintaként szolgálhat az EDPB számára is, hogy a méltányos díj meghatározásához milyen vizsgálatot kell elszámoltathatóan igazolniuk a CorP modellt alkalmazni tervező adatkezelőknek.

2.3.3. Tolakodó reklám

Az EDPB a viselkedésalapú hirdetéseket különösen tolakodó reklámnak minősíti[87] az alapjául szolgáló adatkezelések során előálló, az egyének személyes életéről nagyon részletes képet adó profil, továbbá alapvető jogaikra jelentett kockázatok miatt, mint a manipulálás, a megkülönböztetés és a kirekesztés.[88] Érdemes lenne empirikus eszközökkel megvizsgálni, hogy a viselkedésalapú reklámok alapjául szolgáló, vitathatatlanul invazív és összetett kockázatokkal járó adatkezelés relációjában a generális, kontextuális, így valószínűsíthetően jóval kevésbé releváns reklámokat, amely a szolgáltatás használatát, a tartalom élvezetét szintén megszakítja, hogyan értékelik a felhasználók, valóban preferált alternatíva-e számukra.

Ha ugyanis a viselkedésalapú hirdetések nélküli, ingyenes alternatíva nem vonzó opció a userek számára, mert más okokból ugyan, de hasonlóképp tolakodó, akkor a hozzájárulás érvényességének biztosítékaként javasolt „harmadik lehetőség” kétséges, hogy betölti-e ezt a szerepet.

3. Az Európai Bizottság Metával szemben hozott határozata

2025. április 23-án a Bizottság kiszabta az első bírságokat a digitális piacokról szóló rendelet (továbbiakban: DMA)[89] által előírt, 2024 márciusában alkalmazandóvá vált kötelezettségek be nem tartása miatt. Az Apple-lel szemben 500 millió eurós pénzbírság került kiszabásra, míg a Metát érintően 200 millió eurós bírságot állapított meg a Bizottság.[90]

Témánk szempontjából ez utóbbi döntésben[91] foglaltakat érdemes tovább vizsgálni, amelyben a Bizottság arra a megállapításra jutott, hogy a Meta a Facebook és az Instagram környezetben az Unióban alkalmazott CorP modellel megsértette a DMA 5. cikk (2) bekezdésében foglalt magatartási szabályokat. Erre tekintettel a rendelet 29. cikk (1) bekezdés a) pontja alapján a Meta nem-megfeleléséről határozott, és a 30. cikk (1) bekezdés a) és a 31. cikk (1) bekezdés h) pontja alapján bírságot szabott ki vele szemben.[92]

A döntés kontextusát a DMA kapuőrökre vonatkozó magatartási szabályai, illetve az ezeknek való megfelelés érdekében a Meta által bevezetett CorP modell adja. A CorP modell kulcsfontosságú a Meta online hirdetési szolgáltatása (OAS),[93] a Meta Ads sikeréhez, amely mára a Meta globális bevételének több mint 97%-át adja.[94]

Ha a Bizottság a DMA rendelkezéseinek megfelelően – elsősorban kvantitatív szempontok, mint a forgalom, a felhasználók száma, az érintett tagállamok száma alapján – kapuőrnek minősít egy alapvető platformszolgáltatást (CPS)[95] nyújtó vállalkozást, akkor annak a vállalkozásnak ex ante jellegű magatartási szabályoknak kell megfelelnie.[96]

A kapuőrök ugyanis a saját végfelhasználóikról közvetlenül gyűjtött (first party data), valamint a hirdetési szolgáltatásaikat igénybe vevő harmadik felek által, ezek saját szolgáltatásait használó személyekről átadott (third party data) személyes adatok összekapcsolása és felhasználása révén hatalmas mennyiségű adat elemzésére képesek. Erre építve szofisztikált profilalkotásra, tűpontos hirdetési célcsoportok kialakítására és így releváns, személyre szabott, így magas konverzióval kecsegtető hirdetések megjelenítésére képesek, amely az online hirdetési szolgáltatások piacán egyedülálló előnyöket biztosít számukra, és akadályozza más vállalkozások piacra jutását.[97]

Hasonló előnyökre tesznek szert a kapuőrök az alapvető platformszolgáltatások piacán is, ha a végfelhasználóik személyes adatait kombinálják, kölcsönösen felhasználják egyéb, a kapuőr által külön – nem az érintett alapvető platformszolgáltatás támogatása céljából – nyújtott szolgáltatásokból gyűjtött adatokkal.[98]

Erre tekintettel a DMA magatartási tilalmakat fogalmaz meg a kapuőrök számára a végfelhasználói személyes adatok feldolgozását, összekapcsolását és keresztfelhasználását illetően a kapuőr különböző fő platformszolgáltatásai és más szolgáltatásai között, kivéve, ha ehhez előzetes végfelhasználói hozzájárulást szerez.

A Bizottság 2023. szeptember 5-én a DMA 3. cikkének (4) bekezdése alapján kapuőrnek minősítette a Metát,[99] így annak az alapvető platformszolgáltatásai tekintetében eleget kell tennie a DMA-ban, így a 5. cikkének (2) bekezdésében meghatározott kötelezettségeknek.

3.1. A DMA magatartási tilalma

A DMA 5. cikk (2) bekezdése tiltja a kapuőr számára

  • online hirdetési szolgáltatások nyújtása céljából olyan végfelhasználók személyes adatainak kezelését, akik a kapuőr alapvető platformszolgáltatásait igénybe vevő harmadik felek szolgáltatásait veszik igénybe (hirdetési célú felhasználási tilalom);
  • a releváns alapvető platformszolgáltatásokból származó személyes adatok összekapcsolását az általa nyújtott bármely más platformszolgáltatásból vagy további szolgáltatásból, továbbá harmadik fél szolgáltatásából származó személyes adatokkal (összekapcsolási tilalom);
  • a releváns alapvető platformszolgáltatásokból származó személyes adatok felhasználását az általa külön nyújtott egyéb szolgáltatások – például egyéb alapvető platformszolgáltatások – céljára, és fordítva (keresztfelhasználási tilalom).

Ennek megfelelően a Meta a fő platformszolgáltatásaiból (mint például a Facebook és az Instagram közösségi hálózati szolgáltatások (OSN)[100]) származó személyes adatokat fő szabály szerint nem kapcsolhatja össze az általa nyújtott bármely egyéb szolgáltatásból [pl. a Messenger számfüggetlen személyközi hírközlési szolgáltatásból (NIICS)[101] vagy a Marketplace online közvetítő szolgáltatásból (OIS)][102] származó személyes adatokkal, sem pedig harmadik fél által nyújtott szolgáltatásokból származó személyes adatokkal.

Az alapvető platformszolgáltatások és az online hirdetési szolgáltatások piacán a tisztességtelen versenyelőny megakadályozása, illetve a végfelhasználói személyes adatok védelme érdekében a kapuőröknek lehetővé kell tenniük, hogy a végfelhasználók szabadon dönthessenek az ilyen adatkezelések elfogadásáról.

A szabad választás biztosítása érdekében a DMA 5. cikk (2) bekezdése két kumulatív feltételt határoz meg, hogy az alapvető platformszolgáltatásain és a különálló szolgáltatásain átívelő adatkezelési tilalmak alól a kapuőr mentesüljön.[103]

Egyrészt a kapuőrnek a végfelhasználó számára konkrét választási lehetőséget kell felkínálnia az adatok összekapcsolásához való hozzájárulást jelentő szolgáltatása, és az ehhez képest kevésbé személyre szabott, de azzal egyenértékű szolgáltatást biztosító alternatíva között („konkrét választási lehetőség”).

Emellett a végfelhasználó a GDPR követelményeinek[104] megfelelő, érvényes hozzájárulást kell, hogy adjon az adatok ilyen jellegű összekapcsolásához („érvényes hozzájárulás”).

A DMA – bár a „konkrét választási lehetőség” definícióját nem fogalmazza meg – preambulumában a kisebb mértékű személyre szabással járó alternatíva kapcsán kiköti, hogy „az nem lehet eltérő vagy rosszabb minőségű a hozzájáruló végfelhasználóknak nyújtott szolgáltatáshoz képest, kivéve, ha a minőség romlása közvetlenül abból adódik, hogy a kapuőr nem kezelheti az ilyen személyes adatokat, vagy nem tudja beléptetni a végfelhasználókat egy szolgáltatásba.”[105]

3.2. A CorP modell megfelelősége

Az összekapcsolási tilalomnak való megfelelés érdekében a Meta 2023 novemberében bevezette a CorP modellen alapuló szolgáltatását,[106] amely bináris választás elé állítja a EU-ban élő Facebook és Instagram – mint elsődlegesen nem hirdetési jellegű szolgáltatások – felhasználóit, hogy vagy beleegyeznek a személyes adataik célzott online hirdetési szolgáltatások nyújtása érdekében történő összekapcsolásába és kezelésébe („With Ads” opció), vagy havi előfizetési díjat fizetnek a hirdetésmentes verzióért („Subscription for No Ads” opció).[107] A CorP modell bevezetését követően a Facebook és Instagram közösségi platformokat ingyenesen használó személy olyan hirdetésekkel találkozott, amelyeket a Meta a saját maga által nyújtott szolgáltatásokból származó és – a hirdetési szolgáltatásán keresztül – külső honlapokról gyűjtött adatok összekapcsolása révén a felhasználóra szabott.

A Bizottság az eljárás során – amelyben az ír adatvédelmi hatósággal is egyeztetett – arra a következtetésre jutott, hogy a Meta CorP modellje nem felel meg a DMA 5. cikke (2) bekezdésének.

Bár a két kumulatív feltétel egyikének nem teljesítése önmagában is elegendő lenne a nem megfelelés megállapításához,[108] a Bizottság arra a megállapításra jutott, hogy a Meta által alkalmazott CorP modell a két kumulatív feltétel egyikének sem tesz eleget.[109]

A Bizottság egyrészt úgy látta, hogy a Meta a CorP modell alkalmazásával nem kínál a felhasználók számára „specifikus választást”, azaz olyan szolgáltatást, amely kevesebb személyes adatot használ fel, így kevésbé személyre szabott hirdetéseket jelenít meg, de egyébiránt egyenértékű a személyre szabott hirdetésekkel járó szolgáltatással, mert a két választási lehetőség – ingyenes vagy díjfizetéssel járó – eltérő hozzáférési feltételeket foglal magában, így torzítja a választást.[110]

Másrészt a Meta CorP modellje nem felel meg az „érvényes hozzájárulás” feltételének sem, mert nem biztosít kényszermentes választási lehetőséget a felkínált alternatívák között, így „nem teszi lehetővé a végfelhasználók számára, hogy szabadon hozzájáruljanak a személyes adataik személyre szabott hirdetések megjelenítése céljából történő összekapcsolásához”.[111]

3.3. A Bizottság döntésének szempontjai (1): a két kumulatív követelmény összefüggése

A Bizottság nem fogadta el a Meta azon álláspontját, hogy a DMA 5. cikk (2) bekezdésében előírt két kumulatív követelmény valójában a GDPR 4. cikk (11) pontjában foglalt érintetti hozzájárulás két feltételének: a konkrét hozzájárulásnak és az érintett akarata önkéntes kinyilvánításának a megjelenítése, hogy a végfelhasználó számára „konkrét választási lehetőség” felajánlása és a „konkrét hozzájárulás” biztosítása lényegében azonos követelmény.[112]

A Bizottság a DMA szövegének és a 36. preambulumbekezdésben is megnyilvánuló jogalkotói célnak – a versenyző és tisztességes digitális piac biztosításának – az értelmezésre építve hangsúlyozta, hogy a DMA 5. cikk (2) bekezdése szerinti „konkrét választási lehetőség” a GDPR érvényes hozzájárulás követelményétől elkülönülő, a kapuőrökre vonatkozó önálló feltétele a DMA-nak.[113]

Ennek a kérdésnek abból a szempontból van jelentősége, hogy a DMA szabályozása mennyiben támaszkodik a GDPR követelményeire, mennyiben teremt önálló feltételeket, és ezzel összefüggésben az EUB a Bundeskartellamt-ügyben hozott, a fentiekben már említett ítélete mennyiben irányadó a DMA két kritériumára.

3.4. A Bizottság döntésének szempontjai (2): egyenértékűség megítélése

A Meta azt is vitatta, hogy a hozzáférési feltételek (fizetés vs. ingyenesség) relevánsak lennének az egyenértékűség megítélése szempontjából, úgy vélte ugyanis, hogy a szolgáltatás minőségét és funkcióit kell vizsgálni, és ezek alapján a személyre szabott hirdetésekkel, illetve a díjfizetéssel járó alternatíva teljesen ekvivalens.[114]

A Bizottság szerint ugyanakkor az egyenértékűség követelménye nem szűkíthető le a minőségre, minden felhasználói döntést érdemben befolyásoló különbség (ideértve a monetáris díjat is) releváns. Ennek megfelelően, ha a hozzájárulással igénybe vett verzió ingyenes, az alternatívának is azonosnak, tehát ingyenesnek kell lennie.[115]

3.5. A Bizottság döntésének szempontjai (3): hozzájárulás érvényessége

A Bizottság a Meta kapuőr státuszára, méretére, a kapuőr Meta és a végfelhasználó közötti hatalmi aszimmetriára,[116] a Facebook- és Instagram-szolgáltatás a felhasználók életében betöltött meghatározó szerepére,[117] a szolgáltatást jellemző hálózati[118] és bezártsági[119] hatásokra,[120] és ezen körülmények folytán a hozzájárulás megtagadásakor jelentkező tényleges hátrányra (díjfizetés vagy a szolgáltatás elhagyása) építette indokolását,[121] ami a hozzájárulás érvényességét megkérdőjelezi.[122] Nem fogadta el a Meta érveit,[123] hogy a helyettesítő szolgáltatások széles köre, a felhasználók által jellemzően párhuzamosan igénybe vett több szolgáltatás (multi-homing), továbbá a szolgáltatások közötti váltás alacsony költségei miatt a hozzájárulás visszautasítása nem jár érdemi hátránnyal.

A szolgáltató erőfölényes pozíciójából fakadóan a CorP hirdetési modell alkalmazása arra készteti a legtöbb Facebook- és Instagram-végfelhasználót, hogy hozzájáruljon az ingyenes, de személyre szabott hirdetésekkel járó alternatívához, ellenkező esetben kárt szenved előfizetési díj fizetése miatt vagy le kell mondania a szolgáltatásról.[124] A Bizottság szerint, a Metának nemcsak számolnia kellett azzal, de ténylegesen számolt is, hogy a CorP modellel nem teremtett valós, egyenértékű alternatívát, és így nem biztosított „specifikus választást” a személyes adatok összekapcsolásához való hozzájárulással járó szolgáltatásával szemben.[125]

A Bizottság ennek alátámasztására a Meta saját belső dokumentációjára, illetve ennek a CorP modell bevezetésében és az árazási döntésekben is megmutatkozó alkalmazására hivatkozott. Ezek a feljegyzések előre jelezték, hogy a végfelhasználók túlnyomó többsége az ingyenes opciót választja majd, amit a CorP modell bevezetését követő 6 hónappal elkészített felmérések igazoltak is, a díjfizetéssel járó opció rendkívül alacsony, 1% alatti preferenciáját mutatták.[126] Ezek a belső előrejelzések erősen valószínűsítik, hogy a Meta tényleges célja a fizetéses opció bevezetésével nem egy alternatív bevételi forrás megteremtése volt, hanem hogy „az ingyenességéhez hozzászokott felhasználókat abba az irányba terelje, hogy hozzájáruljanak az adataik monetizálásához”.[127]

3.6. A Bizottság döntésének szempontjai (4): díjazás kérdése

A Bizottság úgy látta, hogy a EUB Bundeskartellamt-ügyben hozott ítélete a hozzájárulás GDPR szabályai szerinti érvényességének feltételeiről szól, de nem érinti azt a kérdést, hogy a modell biztosít-e – a DMA 5 cikk (2) bekezdésének megfelelően – kevésbé személyre szabott, de a személyre szabott hirdetésekkel járó szolgáltatással egyenértékű opciót.[128]

A Bizottság döntésében kitért a Bundeskartellamt-ítélet azon követelményére is, hogy „a felhasználóknak jogosultnak kell lenniük arra, hogy […] egyedileg megtagadják a szerződés teljesítéséhez nem szükséges konkrét adatkezelési műveletekhez való hozzájárulásukat, anélkül azonban, hogy kötelesek lennének teljes egészében lemondani az online közösségi hálózat üzemeltetője által kínált szolgáltatás igénybevételéről, ami azt jelenti, hogy az említett felhasználónak – adott esetben megfelelő díjazás ellenében – olyan egyenértékű alternatívát ajánlanak fel, amelyhez nem kapcsolódnak ilyen adatkezelési műveletek”. Az EUB döntését figyelembe véve a Bizottság egyrészt arra a következtetésre jutott, hogy az EUB ítéletéből nem következik, hogy a Meta jogosult lenne díjfizetést kérni a személyre szabott adatkezeléssel nem járó alternatíváért, másrészt, hogy a Meta nem tudta igazolni, hogy a végfelhasználóktól kért havi díjfizetés valóban szükséges lenne a kevésbé személyre szabott, ekvivalens alternatíva biztosításához.[129]

3.7. A Bizottság döntésének szempontjai (5): EDPB-vélemény relevanciája

Miközben a Meta vitatta, hogy a Bizottság jogszerűen, időszerűen és a Meta által végzett adatkezelések egyedi körülményeire tekintettel hivatkozik-e az EDPB korábban részletesen elemzett 08/2024 számú véleményére,[130] a Bizottság a lojális együttműködés kötelezettségére, az EDPB hatáskörére, a vélemény elfogadásának folyamatára és annak relevanciájára hivatkozva, mint érdemi segédletet vette igénybe a véleményt az „érvényes hozzájárulás” követelményének értékeléséhez.[131]

3.8. A Bizottság döntése és a Meta válaszlépései

A fenti szempontokat mérlegelve a Bizottság bírságot szabott ki, és felszólította a Metát, hogy 60 napon belül szüntesse meg a CorP modelljének meg nem felelését, és biztosítson kevésbé személyre szabott, de – többek közt a teljesítményt, a felhasználói élményt és a hozzáférési feltételeket is (ld. díjfizetés) tekintve – valós és egyenértékű alternatívát azon végfelhasználói számára, akik nem kívánnak hozzájárulni személyes adataiknak személyre szabott hirdetések érdekében történő kezeléséhez. A Bizottság az ekvivalencia követelménye kapcsán kimondta, hogy ha a személyre szabott hirdetéseket kínáló verzió ingyenes, a hirdetésmentes alternatíva sem lehet díjköteles.[132]

A Meta a 2024. március 25-én induló vizsgálat alatt folyamatosan egyeztetett a Bizottsággal, majd ennek eredményeképp 2024 novemberében az EU-ban lévő felhasználóknak kínált a Facebook- és Instagram-környezetben bevezetett egy kevésbé személyre szabott hirdetésekre támaszkodó, ingyenes alternatívát a CorP modell keretén belül, és csökkentette a reklámmentes szolgáltatási opció díját,[133] amely változtatás a DMA szabályainak való megfelelését a Bizottság a fentebb ismertetett határozatában még nem értékelt.

Az európai fogyasztók érdekképviseleti szervezete (BEUC) szerint az új modell továbbra sem biztosított szabad hozzájárulást a személyes adatok viselkedésalapú hirdetések céljából történő kezeléséhez, mert a hozzájárulás megadására késztette a felhasználókat az alternatív – kontextuális hirdetésekkel és kevesebb adat kezelésével járó – opció keretében nyújtott szolgáltatás minőségének rontásával.[134]

A Meta a Bizottsággal folytatott további párbeszéd eredményeképp 2025 decemberében elkötelezte magát egy továbbfejlesztett CorP modell 2026. januári bevezetése mellett, amelyet Bizottság pozitívan értékelt, de a módosított verzió fogyasztói fogadtatásának figyelemmel kísérését ígérte.[135]

A 200 millió eurós bírság kiszabása így a DMA vonatkozó szabályainak alkalmazandóvá válásától[136] a 2024 novemberéig tartó – közel 9 hónapos – meg nem felelési időszakára vonatkozik, amikor a Meta bevezette az új „Additional Ads” opciót. A Meta globális árbevételének 10%-ához, a maximálisan kiszabható 15,2 milliárd euróhoz képest[137] mérsékeltnek mondható bírságösszeget a jogsértés súlya mellett az is befolyásolta, hogy az Apple és Meta elleni döntések a DMA alapján elfogadott első meg nem felelési határozatok. Ennek ellenére nem ért senkit váratlanul, hogy a Meta 2025. július 4-én megtámadta a Bizottság határozatát az Európai Törvényszék előtt, és a korábban ismertetett érvekre hivatkozva vitatta a határozat anyagi jogi megállapításait, továbbá az eljárás lebonyolítását is sérelmezte.[138]

3.9. A bizottság döntésével kapcsolatos kritikai észrevételek

A Bizottság határozatát lehet bírálni többféle aspektusból, hogy nem veszi figyelembe a kapuőröknek okozott gazdasági terheket, hogy a DMA törekvésein túl korlátozza a vállalkozás, az üzleti döntések szabadságát, vagy hogy nem számol azzal, hogy a döntése milyen negatív következményekkel jár a Meta hirdetési szolgáltatásait aktívan használó uniós kis- és középvállalkozásoknak.[139] Azonban jelen tanulmány keretei között a szabad választás és az önkéntes hozzájárulás feltételének értékeléséhez kapcsolódó – adatvédelmi szempontból is különösen fontos és egymással összefüggő – szempontot emelnék ki: a DMA 5. cikk (2) bekezdésében szereplő két kumulatív követelmény kapcsolatát és az egyenértékűség értékelését.

A DMA preambuluma[140] úgy fogalmaz, hogy „a kapuőröknek lehetővé kell tenniük, hogy a végfelhasználók szabadon dönthessenek az ilyen adatkezelési és beléptetési gyakorlatok [személyes adataik gyűjtése, összekapcsolása és egyéb kezelése személyre szabott online hirdetések megjelentetése céljából] elfogadásáról (»freely choose to opt-in«), mégpedig olyan módon, hogy kisebb mértékű személyre szabással járó, de egyenértékű alternatívát kínálnak anélkül, hogy az alapvető platformszolgáltatásnak vagy egyes funkcióinak az igénybevételét a végfelhasználó hozzájárulásától tennék függővé.[…] A kisebb mértékű személyre szabással járó alternatíva nem lehet eltérő vagy rosszabb minőségű (»should not be different or of degraded quality«) a hozzájáruló végfelhasználóknak nyújtott szolgáltatáshoz képest, kivéve, ha a minőség romlása közvetlenül abból adódik, hogy a kapuőr nem kezelheti az ilyen személyes adatokat, vagy nem tudja beléptetni a végfelhasználókat egy szolgáltatásba.”

A Bizottság döntésében hosszasan elemzett két kumulatív feltétel közül az első (a személyre szabott hirdetésekkel járó és a kevésbé személyre szabott, de azzal egyenértékű szolgáltatást biztosító alternatíva közötti konkrét választási lehetőség) a DMA preambulumának értelmezése alapján annak a záloga, hogy a végfelhasználók szabadon dönthessenek a személyes adataik kezeléséről, következésképp, ha a személyes adataik kezelésével járó alternatívát választják, akkor azt önkéntesen tegyék. Így a Bizottság helytelenül kezeli a GDPR hozzájárulásra vonatkozó követelményeitől független, autonóm feltételnek.[141] A szabad választás és a hozzájárulás önkéntessége követelményének szoros összefüggését látszik alátámasztani a GDPR 42. preambulumbekezdése is, amely alapján „a hozzájárulás megadása nem tekinthető önkéntesnek, ha az érintett nem rendelkezik valós vagy szabad választási lehetőséggel”.

Ennek fényében vitatható a Bizottság álláspontja, hogy az EUB Bundeskartellamt-ítélete – bár a kapuőrökre vonatkozó DMA magatartási szabályokat valóban nem említi – csak a hozzájárulás érvényessége (a DMA két kumulatív feltétele közül a második) tekintetében lenne releváns, és „nem érinti a Bizottság elemzését, miszerint a Meta CorP reklámmodellje nem ad lehetőséget a végfelhasználóknak az egyenértékű alternatívák közötti konkrét választási lehetőségre.”[142] Az EUB ugyanis ebben a döntésében kifejezetten említi, hogy a felhasználók a szerződés teljesítéséhez nem szükséges, konkrét adatkezelési műveletekhez való hozzájárulásának önkéntessége, szabad döntésük biztosítása adott esetben megfelelő díjazás ellenében nyújtott, személyre szabott hirdetésekkel nem járó, egyenértékű alternatíva felajánlásával képzelhető el.[143]

Másrészt az EUB ezzel a megállapításával amellett is állást foglal, hogy az egyenértékűség követelménye nem zárja ki, hogy az alternatívák díjfizetés tekintetében eltérjenek.

Az egyenértékűség kérdése az EDPB jelen tanulmány 2. fejezetében ismertetett véleményében is megjelenik. Az EDPB megközelítésében a díjfizetéssel járó opció is egyenértékű alternatívaként jelenik meg azzal, hogy az adatkezelőknek az érvényes hozzájárulás biztosítása érdekében egy további, ingyenes alternatíva felkínálása javasolt, amely személyes adatok kezelését kisebb mértékben vagy egyáltalán nem igénylő hirdetésekkel jár.[144]

A Bizottság az EUB fenti ítéletével, az EDPB véleményével és azzal szemben, hogy a díjfizetés tekintetében való eltérést a DMA sem említi, mint az egyenértékűséget kizáró körülményt, arra az álláspontra helyezkedett, hogy az ingyenes és a díjfizetéssel járó alternatíva nem minősülhet egyenértékűnek, így, ha a személyre szabott hirdetéseket mutató szolgáltatás ingyenes, akkor a hirdetésmentes sem lehet díjfizetéshez kötött.[145]

Az a tény, hogy a Facebook- és Instagram-felhasználók az évek alatt hozzászoktak, hogy az online közösségi szolgáltatásokat díjfizetés nélkül használják, és hogy azon személyre szabott hirdetéseket látnak,[146] nem feltétlenül jelenti, hogy ha a szabályozási környezet változását követően a Meta által bevezetett díjfizetéssel járó, de ilyen hirdetésekkel nem járó alternatívával szembesülnek, akkor díjfizetést valódi választást, önkéntes hozzájárulást ellehetetlenítő hátránynak élik meg. Még akkor sem egyértelmű erre következtetni, ha empirikus bizonyítékok állnak rendelkezésre, hogy a személyre szabott hirdetésektől mentes, fizetős opciót elenyésző számú felhasználó választotta.[147] Magyarázatul szolgálhat erre, hogy a fogyasztók ritkán hajlandóak fizetni valamiért, amit korábban ingyen kaptak, de az is, hogy a fogyasztók többsége többre értékeli a releváns hirdetéseket, mint az általános hirdetéseket.[148]

A Bizottság döntésében vitatható módon tesz egyenlőségjelet a felhasználók számára megszokott, személyre szabott hirdetéseket mutató, ingyenes online közösségiplatform-szolgáltatás alternatívájaként a végfelhasználók számára nem attraktív opció (személyre szabott hirdetésektől mentes, de fizetős) felkínálása, és a valós, szabad választási lehetőség hiánya között.[149] A Bizottság egyáltalán nem számol azzal a lehetséges magyarázattal, hogy a felhasználók a személyre szabott hirdetésekben értéket is láthatnak, hanem – a szükséges empirikus alátámasztás nélkül – az ellenkezőjét feltételezi.[150]

A Meta fellebbezése nyomán a Törvényszék feladata lesz, hogy tisztázza a Bizottság megközelítésének fenti aspektusait, rendezze a DMA és a GDPR előírásai közti kapcsolatot, és végső meghatározza a CorP modell jogszerűségét és piaci életképességét az EU-ban.

Befejező gondolatok

Szükségesnek mutatkozik egységes és konzisztens szabályozási keretrendszert alkotni az Unióban a „fizetőfalakat” vagy CorP modelleket érintő adatvédelmi, árazási és transzparenciával összefüggő követelményeket érintően, és a nagy online platformoknál tágabb szolgáltatói körre az online szolgáltatások versenyképes finanszírozási modelljének biztosítása, a kiszámítható üzleti működés és a személyes adatok védelmének egyensúlya érdekében. Ehhez elengedhetetlen az EDPB, az uniós versenyjogi és fogyasztóvédelmi hatóságok szoros együttműködése.[151]

A szabályok megalkotásához a különféle online szolgáltatások felhasználóinak a hirdetések személyre szabásával kapcsolatos preferenciáinak, illetve a hirdetésmentes, illetve viselkedésalapú hirdetésekkel nem járó szolgáltatásokért való fizetési hajlandóságuknak a részletes feltérképezése és elemzése lehetne a megfelelő kiindulási pont. Hasonló empirikus vizsgálatot a CNIL végzett 2024-ben, amely összességében azt mutatta, hogy a személyes adatok gazdasági értékének tudatosulásával párhuzamosan a felhasználók egy része kész anyagi áldozatot hozni a magánélet védelméért, ugyanakkor a többség számára továbbra is az ár marad az elsődleges szempont.[152]

Mivel jelen tanulmányban vizsgált online szolgáltatásoknak magam is felhasználója vagyok, a CorP modell alkalmazását „felhasználói szemmel” az alábbi feltételek mellett látnám elfogadhatónak:

  • transzparens, az egyes opciókkal járó adatkezeléseket, továbbá az opciók jelentette előnyöket (releváns hirdetések, ingyenes elérhetőség) és kockázatokat (privát szférába mélyen behatóló adatkezelés, buborékhatás, manipulálhatóság) felvázoló, világos tájékoztatás;
  • az egyes opciók tekintetében az önrendelkezési jog (pl. bizonyos körbe tartozó vagy különleges személyes adatok felhasználása megtiltásának lehetőségét, célonkénti hozzájárulás) minél explicitebb biztosítása;a
  • felhasználók lehetőségeihez és a szolgáltatás sajátosságaihoz mérten méltányos díj kialakítása a hirdetésmentes opcióra;
  • a „core” szolgáltatás minőségét tekintve egyenértékű opciók biztosítása.

 

* A szerző az ELTE ÁJK Közigazgatási Jogi Tanszékének másodéves doktorandusza, a Magyar Telekom adatvédelmi jogi csapatának vezetője és adatvédelmi tisztviselője.

[1] Global social media statistics (2026_April) [2026.05.20].

[2] Meta Platforms Inc., korábban Facebook Inc. néven megismert, USA székhelyű, digitális szolgáltató konglomerátum. A vállalat tulajdonában és üzemeltetésében van többek között a Facebook, az Instagram és a WhatsApp.

[3] A 29. cikk alapján létrehozott adatvédelmi munkacsoport (WP29) a viselkedésalapú online reklámról szóló 2/2010 véleménye (WP171) 5.

[4] Oza, Harnil: How Social Media Apps Make Money? Complete Guide [2026.05.20].

[5] A konverziós arány olyan mutató, amely azt méri, hogy egy adott marketingtevékenység során hány látogató vagy érdeklődő végez el egy kívánt cselekvést. Forrás: Dávid Ádám: A konverziós arány kiszámítása és növelése [2026.05.20].

[6] Bartal Iván: Hogyan óvjuk a személyi autonómiánkat a digitális térben? [2026.05.20].

[7] EDPB 8/2020 iránymutatása a közösségi média felhasználóinak megcélzásáról (3)

[8] Bartal Iván: Hogyan óvjuk a személyi autonómiánkat a digitális térben?

[9] EDPB 2/2019 iránymutatása a személyes adatoknak a GDPR 6. cikk (1) bekezdésének b) pontja szerinti kezeléséről az érintettek részére nyújtott online szolgáltatások összefüggésében (52–53., 56.).

[10] EDPB 4/2019. iránymutatása a 25. cikk szerinti beépített és alapértelmezett adatvédelemről (72.)

[11] EDPB 8/2020 iránymutatás (10).

[12] EDPB 8/2020 iránymutatás (11–16., 58.),
EDPB 03/2022 iránymutatása a közösségimédia-platformok interfészein előforduló megtévesztő tervezési megoldásokról (103., 115.)

[13] EDPB 8/2020 iránymutatás (90.).

[14] WP29. 2/2010 vélemény.; WP29 06/2014 véleménye az adatkezelő 95/46/EK irányelv 7. cikke szerinti jogszerű érdekeinek fogalmáról (WP217), 18.; WP29 iránymutatása az automatizált döntéshozatallal és a profilalkotással kapcsolatban (wp251rev.01), 14.

[15] EDPB 2/2019 iránymutatás. (52–53);. C-252/21. Meta Platforms v Bundeskartellamt. ECLI:EU:C:2023:537. (102.).

[16] Az Európai Parlament és a Tanács 2002/58/EK irányelve (elektronikus hírközlési adatvédelmi irányelv vagy ePrivacy irányelv) 5. cikk (3) bekezdése, amely a szolgáltatás nyújtásához elengedhetetlen adattárolás és hozzáférés esetein túl – például marketing célból – az érintett előfizető előzetes hozzájárulását követeli meg.

[17] Yücedağ, Nafiye – Öztürk, Elif Beyza Akkanat – Aşıkoğlu, Şehriban İpek: Pay or Consent Models in Europe: Already Outdated or an Overlooked Crisis in Freely Given Consent? ISSN: 2666-139X [2026.05.20] 338.

[18] EDPB 5/2020. iránymutatása a hozzájárulásról (38., 41., 84.), EDPB. 8/2020 iránymutatás (73.).

[19] Yücedağ–Öztürk–Aşıkoğlu i. m. 339.

[20] EDPB 5/2020 iránymutatás (39–41.).

[21] Pók László: Németország: Sütimentes
böngészés előfizetésért cserébe? Lehetséges! [2026.05.20].

[22] Republik Österreich Datenschutzbehörde (2018.11.30.) DSB-D122.931/0003-DSB/2018.

[23] Yücedağ–Öztürk–Aşıkoğlu i. m. 343.

[24] NOYB News: Court decides „Pay or Okay” on DerStandard.at is illegal [2026.05.20].

[25] CNIL (2020.06.19.) Cookies et autres traceurs: le Conseil d’État rend sa décision sur les lignes directrices de la CNIL [2026.05.20].

[26] Bereczki Tamás: Sütihelyzet Franciaországban – Változóban a „cookie-wall” szabályozói megítélése? [2026.05.20].

[27] CNIL (2022.05.16.) Cookie walls : la CNIL publie des premiers critères d’évaluation [2026.05.20].

[28] Datenschutzkonferenz (2023.03.22.) Bewertung von Pur-Abo-Modellen auf Website [2026.05.20].

[29] Pók László: Sütiből van a kerítés? [2026.05.20].

[30] ICO (2025) https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/online-tracking/consent-or-pay/ [2026.05.20].

[31] EDPB Work Programme 2026–2027. 3.

[32] Loba, Wilem: Advertising cookies: The ICO raises the question on „Consent or Pay” models. [2026.05.20].

[33] Yücedağ–Öztürk–Aşıkoğlu i. m. 342.

[34] META Newsroom (2024.11.12.) Facebook and Instagram to Offer Subscription for No Ads in Europe.

[35] EDPB 2024/08 véleménye az érvényes hozzájárulásról a nagy online platformok által alkalmazott, hozzájárulást vagy díjfizetést megkövetelő modellekkel összefüggésben 3.

[36] C-252/21. Meta Platforms v Bundeskartell-amt. ECLI:EU:C:2023:537. (102–104. és 116–118.).

[37] EDPB a norvég felügyeleti hatóság által a Meta Platforms Ireland Ltd-re vonatkozó végleges intézkedések elrendelése tekintetében kért 01/2023. kötelező erejű döntése (315–316. és 324–324.).

[38] Bármely felügyeleti hatóság kérheti, hogy a Testület vizsgáljon meg általános érvényű, vagy egynél több tagállamban hatással bíró ügyet, és bocsásson ki róla véleményt.

[39] A digitális szolgáltatásokról szóló (EU) 2022/2065 rendelet (DSA) 3. cikk i) pont által meghatározott online platform fogalomból kiindulva a Testület a véleményben számba veszi azokat a kritériumokat, amelyek eseti alapon történő értékelése alapján nagy online – így a vélemény hatálya alá tartozó – platformról beszélhetünk, mint a platform felhasználóinak száma, a szolgáltató piaci pozíciója, a szolgáltatás nyújtásával járó adatkezelés mértéke. Természetesen ideérti a kapuőrnek minősülő platformszolgáltatókat is, amelyeket a digitális piacokról szóló (EU) 2022/1925 rendelet 3. cikk (1) bekezdése határoz meg.

[40] EDPB Work Programme 2024–2025. 2.

[41] EDPB Work Programme 2026–2027. 3.

[42] EDPB 2024/08 vélemény.

[43] EDPB 2024/08 vélemény (71.).

[44] WP29. 2/2010 vélemény.

[45] EDPB 5/2020 iránymutatás.

[46] EDPB 2024/08 vélemény (100–112.).

[47] C-252/21. Meta Platforms v Bundeskartellamt (154.).

[48] C-252/21. Meta Platforms v Bundeskartellamt (148.).

[49] EDPB 5/2020 iránymutatás (24.).

[50] EDPB 5/2020 iránymutatás (46.).

[51] EDPB 5/2020 iránymutatás (24.).

[52] EDPB 2024/08 vélemény (98.).

[53] EDPB 5/2020 iránymutatás (34.).

[54] WP29. 2/2010 vélemény. 10.

[55] EDPB 5/2020 iránymutatás (37–38.).

[56] C-252/21. Meta Platforms v Bundeskartellamt (102., 150.)

[57] EDPB 2024/08 vélemény (120–122. és 127.).

[58] GDPR (42) preambulumbekezdés.

[59] EDPB 2024/08 vélemény (87–92.).

[60] EDPB 2024/08 vélemény (85.).

[61] EDPB 2024/08 vélemény (95.).

[62] EDPB 2024/08 vélemény (134.).

[63] EDPB 2024/08 vélemény (131–132.).

[64] EDPB 2024/08 vélemény (137.).

[65] EDPB 2024/08 vélemény (132.).

[66] EDPB 2024/08 vélemény (139–140.).

[67] EDPB 2024/08 vélemény (145., 150–151.).

[68] EDPB 2024/08 vélemény (157–158.).

[69] EDPB 2024/08 vélemény (164–168)

[70] EDPB 5/2020 iránymutatás (37)

[71] EDPB 2024/08 vélemény (172)

[72] EDPB 2024/08 vélemény (33)

[73] EDPB 2024/08 vélemény (70)

[74] EDPB 2024/08 vélemény (179)

[75] EDPB 2024/08 vélemény (181)

[76] Yücedağ–Öztürk–Aşıkoğlu i. m.. 349.

[77] EDPB 2024/08 vélemény (73.).

[78] Ez esetben a weboldal az aktuális témája, a megtekintett tartalom alapján jelenít meg a szövegkörnyezethez illő hirdetéseket (pl. receptblog esetén konyhai eszköz hirdetéseket), és nem a felhasználó, látogató böngészési előzményeit követi.

[79] EDPB 2024/08 vélemény (74.)

[80] EDPB 2024/08 vélemény (76.).

[81] C-252/21. Meta Platforms v Bundeskartellamt (148.).

[82] IAB Europe: IAB Europe Sends Feedback Paper to the EDPB after the Stakeholder Event Regarding the ‚Consent or Pay’ Models [2026.05.20]

[83] EDPB 2024/08 vélemény (95.).

[84] IAB Europe: IAB Europe Sends Feedback Paper to the EDPB after the Stakeholder Event Regarding the ‚Consent or Pay’ Models [2026.05.20].

[85] Az Európai Unió Alapjogi Chartája (2007/C 303/01) 8. cikk (1) bekezdés: Mindenkinek joga van a rá vonatkozó személyes adatok védelméhez.

[86] ICO (2025) Consent or pay guidance 28.

[87] EDPB. 2024/08 vélemény (21.); EDPB. 5/2020 iránymutatás (56.).

[88] EDPB. 8/2020 iránymutatás (9–18.).

[89] Az Európai Parlament és a Tanács (EU) 2022/1925 rendelete.

[90] Európai Bizottság (EC) Press corner: Commission finds Apple and Meta in breach of the Digital Markets Act [2026.05.20].

[91] EC. Case DMA.100055 – Meta – Article 5.2. C (2025) 2091. [2026.05.20].

[92] EC. Case DMA.100055 – Meta – Article 5.2. (7., 360–361.).

[93] Online Advertising Service, mint a Meta Ads.

[94] EC. Case DMA.100055 – Meta – Article 5.2. (4.).

[95] Core Platform Service.

[96] Gönczöl Tünde – Teleki Lóránt: A digitális kapuőrök az ex ante szabályozás, a versenyjog és az adatvédelem kereszttüzében [2026.05.20] 248.

[97] DMA (36) preambulumbekezdés és EC. Case DMA.100055 – Meta – Article 5.2. (66., 69–74.).

[98] DMA (36) preambulumbekezdés.

[99] EC. C(2023) 6105 határozatának az összefoglalója.

[100] Online Social Network.

[101] Number-Independent Interpersonal Communication Service.

[102] Online Intermediation Service.

[103] EC. Case DMA.100055 – Meta – Article 5.2. (33.).

[104] GDPR 4 (11) cikk és 7. cikk, (42) és (43) preamulumbekezdés.

[105] DMA (37) preambulumbekezdés.

[106] EC Press corner: Commission finds Apple and Meta in breach of the Digital Markets Act [2026.05.20].

[107] EC. Case DMA.100055 – Meta – Article 5.2. (77.).

[108] EC. Case DMA.100055 – Meta – Article 5.2. (83.).

[109] EC. Case DMA.100055 – Meta – Article 5.2. (7., 84.).

[110] EC. Case DMA.100055 – Meta – Article 5.2. (88–90.).

[111] EC. Case DMA.100055 – Meta – Article 5.2. (179., 202., 271.).

[112] EC. Case DMA.100055 – Meta – Article 5.2. (44–45.).

[113] EC. Case DMA.100055 – Meta – Article 5.2. (56–61.).

[114] EC. Case DMA.100055 – Meta – Article 5.2. (113–114.).

[115] EC. Case DMA.100055 – Meta – Article 5.2. (367.).

[116] EC. Case DMA.100055 – Meta – Article 5.2. (180–184.).

[117] EC. Case DMA.100055 – Meta – Article 5.2. (190., 197., 245.).

[118] Egy közösségimédia-platform értéke a felhasználó számára az ismerősei számával nő, a platformváltással a felhasználó elveszítheti a felépített kapcsolatait.

[119] A közösségimédia-platform felhasználói idővel függővé válhatnak egy adott platformtól, ezáltal a platformváltás nehézkessé, költségessé vagy társasági szempontból hátrányossá válhat.

[120] EC. Case DMA.100055 – Meta – Article 5.2. (184–188.).

[121] EC. Case DMA.100055 – Meta – Article 5.2. (189–190., 201.).

[122] EC. Case DMA.100055 – Meta – Article 5.2. (202.).

[123] EC. Case DMA.100055 – Meta – Article 5.2. (210., 216.).

[124] EC. Case DMA.100055 – Meta – Article 5.2. (183., 189.).

[125] EC. Case DMA.100055 – Meta – Article 5.2. 94–98.).

[126]EC. Case DMA.100055 – Meta – Article 5.2. (95–97.

[127] Bartal Iván: Lehet személyre szabott reklámoktól mentes ingyenes Facebook és Instagram? – Az uniós adatvédelmi testület szerint problémás a consent or pay üzleti modell [2026.05.20].

[128] EC. Case DMA.100055 – Meta – Article 5.2. (102.).

[129] EC. Case DMA.100055 – Meta – Article 5.2. (105–108.).

[130] EC. Case DMA.100055 – Meta – Article 5.2. (217., 222., 226.).

[131] EC. Case DMA.100055 – Meta – Article 5.2.) (227–237.).

[132] EC. Case DMA.100055 – Meta – Article 5.2. (365., 367.).

[133] META Newsroom:Facebook and Instagram to Offer Subscription for No Ads in Europe [2026.05.20].

[134] BEUC: Consumer groups red card Meta’s latest pay-or-consent policy [2026.05.20].

[135] EC News: Meta commits to give EU users choice on personalised ads under Digital Markets Act – Digital Markets Act (DMA) [2026.05.20].

[136] 2024. március 7-től 2024. november 11-ig tartó időszakot érintett a Bizottság nem megfelelésről szóló döntése.

[137] Barczentewicz, Mikołaj: How will the EU DMA „pay or consent” decision impact Meta’s business? [2026.05.20].

[138] Action brought on 4 July 2025 – Meta Platforms v Commission (C/2025/5214).

[139] Barczentewicz i. m.

[140] DMA (36) és (37) preambulumbekezdés.

[141] EC. Case DMA.100055 – Meta – Article 5.2. (103., 170.).

[142] EC. Case DMA.100055 – Meta – Article 5.2. (104.).

[143] C-252/21. Meta Platforms v Bundeskartellamt (150.).

[144] EDPB. 2024/08 vélemény (181.).

[145] EC. Case DMA.100055 – Meta – Article 5.2. (367.).

[146] EC. Case DMA.100055 – Meta – Article 5.2. (93.).

[147] EC. Case DMA.100055 – Meta – Article 5.2. (95.).

[148] Kantar Media: Optimisation over reform/Understanding EU consumers’ perception and knowledge of the ad-funded internet and related privacy rights issues 18. [2026.05.20].

[149] EC. Case DMA.100055 – Meta – Article 5.2. (93., 98., 124.).

[150] EC. Case DMA.100055 – Meta – Article 5.2. (93., 220–221).

[151] Drouard, Etienne – Kurochkina, Olga – Schlich, Rémy: Is Pay or Consent a choice under GDPR? [2026.05.20].

[152] CNIL: Les Français sont-ils prêts à payer pour des services en ligne sans publicité ciblée? [2026.05.20].