Cikk letöltése PDF-be

Absztrakt

A tanulmány az Európai Unió Bíróságának Inteligo Media ügyben hozott ítélete alapján vizsgálja a „soft opt-in” szabály uniós és magyar jogi jelentőségét. Bemutatja, hogy az ePrivacy irányelv 13. cikk (2) bekezdése önálló, kimerítő jogalapot teremt a meglévő ügyfeleknek küldött, saját hasonló termékeket vagy szolgáltatásokat népszerűsítő elektronikus levelekhez, ezért e körben a GDPR 6. cikke szerinti külön jogalap nem követelhető meg. Elemzi a freemium modellekre kiterjesztett értékesítés-fogalmat, a magyar átültetés hiányosságait, a NAIH és az NMHH hatásköri megosztását, valamint a vertikális közvetlen hatály, a horizontális hatály hiánya és az állami kárfelelősség gyakorlati következményeit.

Az adatvezérelt digitális gazdaságban egyre nagyobb jelentősége van, hogy a személyes adatok – különösen az elektronikus elérhetőségi adatok – miként használhatók fel közvetlen üzletszerzési célokra. E kérdés metszéspontjában a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről szóló (EU) 2016/679 általános adatvédelmi rendelet (a továbbiakban: GDPR), és az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról és a magánélet védelméről szóló 2002/58/EK európai parlamenti és tanácsi irányelv (a továbbiakban: ePrivacy irányelv) viszonya áll. Az Európai Unió Bírósága (a továbbiakban: EUB vagy Bíróság) C-654/23. számú Inteligo Media-ügyben[1] hozott ítélete e viszonyt a freemium modellek sajátosságaira figyelemmel pontosította. Az ítélet megállapításai a tagállami jogrendszerek – így különösen a magyar jog – sajátosságai miatt mélyreható és összetett dogmatikai, hatásköri, európai jogi és polgári jogi implikációkat vetnek fel.

1. A GDPR és az ePrivacy irányelv dogmatikai viszonyrendszere: A lex specialis elve

A közvetlen üzletszerzés céljából küldött elektronikus üzenetek adatvédelmi megítélésének kiindulópontja annak megértése, hogy a GDPR és az ePrivacy irányelv miként viszonyul egymáshoz. A GDPR 95. cikke, valamint a (173) preambulumbekezdése kifejezetten rögzíti, hogy a rendelet nem róhat további kötelezettségeket a természetes vagy jogi személyekre azon kérdésekkel kapcsolatban, amelyek vonatkozásában ezen személyek az ePrivacy irányelvben megállapított, azonos célkitűzésekkel bíró különös kötelezettségek hatálya alá tartoznak. Ez a rendelkezés az európai jogban jól ismert lex specialis derogat legi generali (a különös szabály lerontja az általános szabályt) elvének normatív kifejeződése.[2]

Az ePrivacy irányelv „Nem kívánt tájékoztatás” című 13. cikkének (1) bekezdése rögzíti azt az általános fő szabályt, amely szerint az automatizált hívórendszerek, faxok és elektronikus levelek (e-mailek) közvetlen üzletszerzési célból történő használata kizárólag az ahhoz előzetesen hozzájáruló („opt-in”) előfizetők vonatkozásában lehetséges. Ugyanezen cikk (2) bekezdése azonban megfogalmaz egy kivételt, az úgynevezett „soft opt-in” szabályt. E kivétel értelmében, ha egy természetes vagy jogi személy egy termék vagy szolgáltatás értékesítése során megszerzi ügyfelei elektronikus elérhetőségi adatait, ezeket az adatokat felhasználhatja saját, hasonló termékeivel vagy szolgáltatásaival kapcsolatos közvetlen üzletszerzési célra. Ennek szigorú feltétele, hogy az ügyfelek számára egyértelműen, kifejezetten, díjmentesen és egyszerű módon lehetőséget kell biztosítani az adatok ilyen célú felhasználása elleni tiltakozásra (opt-out), méghozzá már az adatok gyűjtésének időpontjában, majd minden egyes üzenet küldésekor.

A jogalkalmazói gyakorlatban – beleértve a tagállami adatvédelmi hatóságokat[3] és a jogirodalmat[4] is – az Inteligo Media-ítéletig uralkodó volt az a kiterjesztő értelmezés, amely szerint a „soft opt-in” követelményeinek teljesítése önmagában csak az ágazati szabályoknak való megfelelést biztosítja. E felfogás szerint a személyes adatok kezeléséhez ezenfelül a GDPR 6. cikk (1) bekezdése alapján önálló jogalapot is meg kellett állapítani, tipikusan a jogos érdeket. El kellett végezni továbbá a kapcsolódó érdekmérlegelési tesztet is. Ezt a jelentős adminisztratív terhet jelentő kettős igazolási kényszert a Bíróság a C-654/23. számú ügyben radikálisan felülírta.

2. A C-654/23. sz. Inteligo Media-ügy tényállási háttere és az előzetes döntéshozatali eljárás

2.1. A tényállás és a romániai alapeljárás

Az ügy alapjául szolgáló jogvita Romániában, a bukaresti ítélőtábla (Curtea de Apel București) előtt indult. Az alapeljárás felperese, az Inteligo Media SA az avocatnet.ro nevű online jogi sajtókiadvány üzemeltetője, amelynek deklarált célja a laikus nagyközönség mindennapi tájékoztatása a romániai jogszabály-módosításokról. A társaság 2018 júliusában vezetett be egy „Prémiumszolgáltatás” elnevezésű, többszintű (freemium) előfizetési rendszert. A platform működési logikája szerint a regisztráció nélküli, anonim felhasználók havonta legfeljebb hat cikket tekinthettek meg ingyenesen. Az ingyenes kvóta kimerítése után a további tartalmak (havonta plusz két cikk) eléréséhez a felhasználóknak egy ingyenes fiókot kellett létrehozniuk, ami a szolgáltatási szerződési feltételek elfogadását is magában foglalta.

Az ingyenes regisztrációval a felhasználók automatikusan feliratkoztak egy „Personal Update” elnevezésű napi hírlevélre is, amely az előző nap jogszabályi változásainak összefoglalóját és a platformon található teljes cikkekre mutató hiperhivatkozásokat tartalmazta. A regisztrációs űrlapon a társaság biztosított egy jelölőnégyzetet (checkbox), amellyel a felhasználó jelezhette, ha nem kérte a hírlevelet (opt-out mechanizmus). A hírlevelekben szintén szerepelt egy leiratkozási („LEMONDÁS”) gomb. A hírlevélben elhelyezett linkekre kattintva a felhasználók a platformra jutottak, ahol a havi ingyenes kvótájuk kimerítését követően a rendszer felkínálta számukra a korlátlan hozzáférést és teljes körű hírlevelet biztosító, fizetős „Prémiumszolgáltatás” megvásárlásának lehetőségét.

A román nemzeti adatvédelmi felügyeleti hatóság (ANSPDCP) 2019. szeptember 26-án szabálysértési jegyzőkönyvet vett fel, és mintegy 9000 euró (42 714 RON) összegű közigazgatási bírságot szabott ki az Inteligo Mediával szemben. A hatóság határozata arra az álláspontra helyezkedett, hogy a társaság a hírlevelek kiküldésével megsértette a GDPR 5. cikk (1) bekezdés a) és b) pontját, a 6. cikk (1) bekezdés a) pontját (hozzájárulás hiánya), valamint a 7. cikkét. Az ANSPDCP érvelése szerint a társaság nem rendelkezett a felhasználók kifejezett, előzetes hozzájárulásával (opt-in) a hírlevelek küldéséhez, és az eredetileg csupán a regisztráció (a szerződés teljesítése) céljából felvett e-mail-címeket a céghatározat értelmében a gyűjtés eredeti céljával összeegyeztethetetlen módon, közvetlen üzletszerzési célra használta fel.

Az Inteligo Media a bírsághatározat megsemmisítése iránt keresetet indított. Arra hivatkozott, hogy az ePrivacy irányelvet átültető román törvény, az 506/2004. sz. törvény 12. cikkének (2) bekezdése alapján a hírlevélküldés a „soft opt-in” kivétel folytán jogszerű volt. Álláspontja szerint ezért a GDPR hozzájárulásra vonatkozó szigorú szabályai nem alkalmazandók. A több fokon megjárt eljárás végén a bukaresti ítélőtábla felfüggesztette az eljárást, és öt kérdést terjesztett az EUB elé. Ezek lényegében a „szolgáltatás értékesítése”, a „közvetlen üzletszerzési cél”, valamint a GDPR és az ePrivacy irányelv viszonyának értelmezésére irányultak.

2.2. A főtanácsnoki indítvány: az adat mint ellenszolgáltatás és a digitális árucikk koncepciója

A Bíróság eljárásában kiemelkedő jelentőségű volt Maciej Szpunar főtanácsnok 2025. március 27-én ismertetett indítványa,[5] amely rendkívül progresszív, a digitális piac gazdasági realitásait tükröző jogértelmezést vázolt fel. A főtanácsnok az elemzését a GDPR és az ePrivacy irányelv dogmatikai viszonyának tisztázásával kezdte. Hangsúlyozta, hogy az ePrivacy irányelv „soft opt-in” kivétele egy önálló és kimerítő jogalapot képez. Érvelése szerint az ePrivacy irányelv 13. cikk (2) bekezdése átfogóan szabályozza az adatkezelés feltételeit és céljait. Kiterjed az adatgyűjtés módjára is, vagyis arra, hogy az adatokat az értékesítés során szerezték meg. Emellett az érintett jogait is rendezi, különösen az ingyenes és egyszerű opt-out lehetőséget. Ebből a főtanácsnok azt a következtetést vonta le, hogy e speciális norma teljes és elégséges jogalapot biztosít az elektronikus levelezéshez. Ezért a GDPR 6. cikke szerinti további jogalapok vizsgálata redundáns és szükségtelen.

A főtanácsnoki indítvány legforradalmibb eleme a „termék vagy szolgáltatás értékesítése során” kitétel értelmezése volt. A hagyományos polgári jogi dogmatika szerint az értékesítés (adásvétel) fogalmi eleme a vételár, azaz a pénzbeli ellenszolgáltatás megfizetése. Ebből a klasszikus megközelítésből kiindulva az adatvédelmi hatóságok (köztük korábban a francia CNIL is a Brico Privé-ügyben)[6] úgy érveltek, hogy az ingyenes regisztráció, a freemium modellek nem minősülnek értékesítésnek, ha nem történt termékértékesítés vagy szolgáltatásnyújtás, így az e során gyűjtött adatokra nem alkalmazható a „soft opt-in” kivétel.

Szpunar főtanácsnok arra hívta fel a figyelmet, hogy a modern információs társadalomban a személyes adatok de facto árucikként vagy ellenszolgáltatásként is funkcionálhatnak. Ebből következően az adatgyűjtés akkor is megvalósulhat „értékesítés során”, ha a felhasználó pénzbeli ellenszolgáltatás helyett a személyes adatait adja meg egy számára értékes áru vagy szolgáltatás ellenében.[7] Amikor a felhasználó ingyenesen regisztrál egy platformon, és e-mail-címe megadásáért cserébe tartalomhoz fér hozzá, valójában gazdasági tranzakciót hajt végre. Bár az „értékesítés” fogalma hagyományosan díjfizetést feltételez, az uniós jog teleologikus értelmezése indokolttá teszi a közvetett díjazás figyelembevételét is. Ellenkező esetben a kivétel a jelenlegi digitális ökoszisztémában nagyrészt elveszítené gyakorlati jelentőségét.

Végül a főtanácsnok kitért a „hasonló termékek vagy szolgáltatások” feltételére is. Kifejtette, hogy egy online sajtókiadvány esetében a hírlevél (mint ingyenes, tájékoztató szolgáltatás) és a teljes, korlátlan hozzáférést biztosító előfizetés (mint fizetős szolgáltatás) hasonló termékeknek tekinthetők.[8] Mindkettő ugyanazon alapvető fogyasztói igényt elégíti ki: a jogi és szakmai információkhoz való hozzáférést biztosítja. Az ingyenes hírlevél tulajdonképpen egy közvetlen belépési pont, egy promóciós csatorna a fizetős szolgáltatás felé, így a kettő közötti funkcionális kapcsolat kellően szoros, hogy a hasonlósági kritérium teljesüljön.

3. Az Európai Unió Bíróságának ítélete: A „soft opt-in” mint önálló, kimerítő jogalap

Az EUB 2025. november 13-án meghozott ítéletében (C-654/23) teljes mértékben magáévá tette a főtanácsnok érvelését, és három fundamentális kérdésben nyújtott kötelező erejű iránymutatást, amely átrendezi a tagállami adatvédelmi hatóságok eddigi gyakorlatát.

3.1. A közvetlen üzletszerzés teleologikus fogalma

A Bíróságnak először abban a kérdésben kellett állást foglalnia, hogy a hírlevél (amely napi jogszabályi változások összefoglalóját tartalmazza) egyáltalán „közvetlen üzletszerzési célból” történő közlésnek minősül-e az ePrivacy irányelv 13. cikke értelmében, tekintettel annak jelentős információs és szerkesztői tartalmára. Az Inteligo Media ugyanis részben azzal védekezett, hogy kommunikációja elsődlegesen tájékoztató jellegű, és nem klasszikus reklám.

Az EUB ítéletének 41–45. pontjaiban kimondta, hogy az ePrivacy irányelv nem ad pontos definíciót a közvetlen üzletszerzésre, azonban a korábbi ítélkezési gyakorlat (például a StWL Städtische Werke Lauf a.d. Pegnitz-ügy, C-102/20)[9] rávilágít, hogy minden olyan közlés idetartozik, amely kereskedelmi célra irányul és egyénileg célozza meg a fogyasztót. Az EUB pragmatikus megközelítést alkalmazott: a közlés információs tartalma nem mentesíti azt a direkt marketing minősítés alól, ha a funkcionális célja egyértelműen az, hogy az érintett felhasználókat a sajtókiadó által biztosított fizetős tartalomhoz való hozzáférésre ösztönözze. Mivel a hírlevél linkjei a platformra irányították a felhasználókat, ahol a havi ingyenes keret kimerítése után a rendszer fizetős előfizetést kínált fel, az elektronikus levél a fizetős tartalom értékesítésének promócióját szolgálta, így közvetlen üzletszerzési célt valósított meg.

3.2. Az „értékesítés során” történő adatmegszerzés kitágítása

A második kulcsfontosságú megállapítás az adatmegszerzés kontextusára, az értékesítés fogalmára vonatkozott. Az ítélet 53–57. pontjaiban az EUB elemezte az ePrivacy irányelv 13. cikk (2) bekezdésében szereplő „termék vagy szolgáltatás értékesítése során” feltételt. A Bíróság megállapította, hogy bár az értékesítés fogalmilag magában foglalja az ellenszolgáltatást (díjazást), a 2000/31/EK irányelvvel (Elektronikus kereskedelemről szóló irányelv) és az EUB korábbi joggyakorlatával (pl. McFadden-ügy, C-484/14[10]) összhangban egy gazdasági tevékenység keretében nyújtott szolgáltatás díját nem feltétlenül az adott szolgáltatás közvetlen igénybevevője fizeti meg azonnal, pénzben.

Az olyan ingyenes szolgáltatás nyújtása, mint az ingyenes cikkolvasás és a hírlevél-feliratkozás, elsősorban a szolgáltató fizetős tartalmának népszerűsítésére irányuló reklámcélokat szolgál, és e tevékenység költségeit a vállalkozás de facto beépíti a fizetős előfizetések árába. Így a Bíróság szerint az olyan ügylet is, amelynek keretében a vállalkozás egy ingyenes fiók létrehozásakor szerzi meg az elektronikus elérhetőségi adatokat (amely fiók a teljes előfizetéses rendszer előszobája), kimeríti az ePrivacy irányelv 13. cikk (2) bekezdése értelmében vett „szolgáltatás értékesítése során” történő adatmegszerzés fogalmát. Ezzel az EUB jogilag legitimálta a freemium modellekben történő adatgyűjtést a „soft opt-in” alkalmazásának kontextusában.

3.3. A lex specialis elv megerősítése és a GDPR-jogalapok kizárása

Az ítélet legátfogóbb hatású, a tagállami gyakorlatot alapjaiban megváltoztató része az adatkezelés jogalapjával kapcsolatos. A második előzetes döntéshozatali kérdésre adott válaszában (ítélet 64–69. pont) a Bíróság kategorikusan kimondta: amennyiben az adatkezelő egy felhasználó e-mail-címét ahhoz használja, hogy az ePrivacy irányelv 13. cikk (2) bekezdése szerinti nem kívánt (de a kivétel folytán jogszerű) tájékoztatást küldjön, akkor a GDPR 6. cikk (1) bekezdésében előírt feltételek nem alkalmazandók.

A Bíróság érvelésének alapját a GDPR 95. cikke adta. E rendelkezés tiltja további kötelezettségek megállapítását ott, ahol az ePrivacy irányelv már különös kötelezettségeket rögzít. Mivel az ePrivacy irányelv 13. cikk (2) bekezdése önmagában, kimerítő jelleggel szabályozza az adatkezelés feltételeit, a célokat és az érintettek jogait, a jogszerűség e rendelkezés alapján közvetlenül megállapítható. Ebből következően nincs jogszerű lehetőség, hogy a vállalatok ezeket az eseteket a GDPR szerinti jogos érdek kategóriájára építsék. Ugyanebből következően az ehhez kapcsolódó érdekmérlegelési teszt elvégzése sem szükséges. A közvetlen üzletszerzési célú adatkezelés ebben az esetben nem alapulhat a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdeken. Ennek oka az, hogy az ePrivacy irányelv e körben kizárja e jogalap alkalmazását. Sem a 13. cikk (1) bekezdése szerinti hozzájárulási követelmény, sem a 13. cikk (2) bekezdése szerinti „soft opt-in” feltételrendszer nem írható felül egy jogos érdek teszttel. Az EUB döntése ezzel lezárt egy éveken át tartó jogalkalmazási vitát, és jelentősen csökkentette a digitális szolgáltatókra nehezedő bizonytalanságot.

4. Az ePrivacy irányelv hibás magyarországi átültetése és ennek következményei

Míg az Európai Unió Bíróságának ítélete uniós szinten megteremtette a dogmatikai tisztánlátást, Magyarország viszonylatában rávilágított egy rendkívül súlyos jogalkotási hiányosságra, ami az elektronikus direkt marketing kommunikációk szabályozásával kapcsolatos. Az európai uniós jogrendszerben az irányelvek (így az ePrivacy irányelv is) sajátossága, hogy a tagállamokat csak az elérendő célokat illetően kötelezik, a forma és az eszközök megválasztását a nemzeti hatóságokra bízzák. Ez a gyakorlatban azt jelenti, hogy az irányelvek rendelkezéseit a nemzeti jogalkotónak kell átültetnie a hazai jogrendszerbe. A magyar jogalkotó ezen kötelezettségének azonban az ePrivacy irányelv 13. cikk (2) bekezdése vonatkozásában hosszú éveken át hibásan, illetve hiányosan tett eleget.[11]

A „soft opt-in” szabályozás eredetileg létezett a magyar jogban, mivel a 2007. évi XCIV. törvény 10. §-ával korábban bevezették.[12] Ez a rendelkezés mindazonáltal az Elkertv.-ben rövid életű, csupán 2007. augusztus 5. és 2008. augusztus 31. között hatályos rendelkezés volt, mivel a vonatkozó szakaszt a 2008. évi XLVII. törvény 41. §-ával kilenc hónapos átmenet biztosításával hatályon kívül helyezték. A hatályon kívül helyezés indoka,[13]> mint az a jogszabály indokolásából kiderül, hogy a magyar jogalkotó nyilvánvalóan félreértelmezte az európai uniós adatvédelmi és ePrivacy-szabályok EU Bíróság által utóbb megerősített teljes harmonizációs jellegét,[14] és úgy tekintette, hogy az irányelvi szabályoktól egy magasabb védelmi szintet biztosító nemzeti standard létrehozásával szigorúbb irányban eltérhet. Ennélfogva megállapítható, hogy a magyar jogalkotó mulasztása a „soft opt-in” rendelkezések átültetése tekintetében 2008. augusztus 31. napja óta, azaz lassan két évtizede folyamatosan fennáll. Sem az EU Bíróság uniós adatvédelmi jog teljes harmonizációs jellegét kimondó 2011-es ASNEF/FECEMD döntése, a GDPR 2018-as alkalmazandóvá válása, a GDPR hazai végrehajtási rendelkezéseinek elfogadása és a szakmai szervezetek folyamatos jelzései sem eredményeztek változást ebben a helyzetben, holott az elavult és ekként mostohán kezelt reklámszabályozás felülvizsgálatára számos esetben lett volna lehetőség.

4.1. A magyar szabályozási keret merevsége és az Eht., Elkertv. és a Grt. rendelkezései

A közvetlen üzletszerzési célú elektronikus kommunikációt Magyarországon alapvetően a következő törvények harmonizált (illetve harmonizálni hivatott) szabályai keretezik: az elektronikus hírközlésről szóló 2003. évi C. törvény (Eht.), a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló 2008. évi XLVIII. törvény (Grt.), valamint az elektronikus kereskedelmi szolgáltatások, valamint az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről szóló 2001. évi CVIII. törvény (Elkertv.).

Az Eht. 162. § (1) bekezdés a) pontja úgy rendelkezik, hogy „az emberi beavatkozás nélküli, automatizált hívórendszer vagy előfizetői kapcsolat létrehozására szolgáló más automatizált eszköz az előfizető tekintetében csak akkor alkalmazható közvetlen üzletszerzés, tájékoztatás, piackutatás céljára, ha ehhez az előfizető előzetesen hozzájárult”. Ugyanezen szakasz (2) bekezdése hozzáteszi, hogy tilos közvetlen üzletszerzés, tájékoztatás, közvélemény- vagy piackutatás, valamint a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló Grt. 6. §-ának hatálya alá nem tartozó közvetlen üzletszerzés, illetve egyéb, a Grt. szerinti reklámnak nem minősülő tájékoztatás céljából olyan előfizetővel kapcsolatot kezdeményezni, aki úgy nyilatkozott, hogy nem kíván ilyen kapcsolatfelvételt fogadni. Lényeges, hogy az Eht. ezen rendelkezéseibe a jogalkotó az ePrivacy irányelv 13. cikk (1) bekezdésének szigorú, előzetes hozzájáruláson alapuló (opt-in) szabályát implementálta, sőt azt túlterjeszkedően a „tájékoztatási célra” is kiterjesztette.[15]

Ezt meghaladóan a Grt. 6. § (1) bekezdése rögzíti: ha külön törvény eltérően nem rendelkezik, reklám természetes személynek, mint reklám címzettjének közvetlen megkeresése módszerével (közvetlen üzletszerzés), így különösen elektronikus levelezés vagy azzal egyenértékű más egyéni kommunikációs eszköz útján kizárólag akkor közölhető, ha ahhoz a reklám címzettje előzetesen egyértelműen és kifejezetten hozzájárult.

A Grt. 6. § (2) bekezdése további követelményekhez köti a hozzájárulás megadását, mivel a hozzájárulásnak kötelező eleme a név feltüntetése, mivel az Alkotmánybíróság a 48/B/2009. AB számú határozatban rámutatott, hogy ennek révén kapcsolható konkrét személyhez a közvetlen megkereséshez való hozzájárulás.[16] Másrészről, amennyiben a reklám, amelyre a hozzájárulás vonatkozik, csak meghatározott életkorú személyek számára közölhető, úgy annak tartalmaznia kell a hozzájáruló személy születési helyét és idejét, továbbá azoknak a személyes adatoknak a körét, amelyek kezeléséhez a nyilatkozó hozzájárul, valamint a hozzájárulás önkéntes és a megfelelő tájékoztatás birtokában történő kifejezését is.

A Grt. 6. § (4) bekezdése ugyan biztosít egy enyhébb, „opt-out” (tiltakozási jogon alapuló) mechanizmust, de ez kizárólag az ún. címzett reklámküldeményekre[17] (tehát a hagyományos, postai úton kézbesített papíralapú levelekre) vonatkozik, az elektronikus levelezésre nem.

Mindezek mellett az Elkertv. 14. §-a az elektronikus hirdetéseket a Grt. rendelkezéseire hivatkozással szabályozza, egyben az (1) bekezdés a beszédcélú telefonhívásokat kizárja a szabályozása köréből, míg az (5) bekezdése engedélykérő elektronikus üzenetek[18] és a gazdasági reklámnak nem minősülő elektronikus hirdetések (például bizonyos társadalmi célú tájékoztatások) esetében[19] szintén megköveteli az egyértelmű, előzetes hozzájárulás megszerzését.

A hazai jogszabályok elemzése alapján tehát megállapítható, hogy a magyar jog jelenleg egyáltalán nem ismeri és nem biztosítja az e-mail alapú, meglévő ügyfélkapcsolaton nyugvó „soft opt-in” lehetőséget. Ez a jogalkotói mulasztás nem csupán az uniós jog harmonizációs kötelezettségének megsértését jelenti, hanem versenyhátrányt okoz a magyar joghatóság alatt működő vállalkozásoknak, hiszen – európai versenytársaikkal ellentétben – a hazai törvények betűje szerint minden egyes elektronikus reklámüzenethez (még a saját, meglévő vásárlóiknak küldött, hasonló terméket ajánló üzenetekhez is) előzetes, kifejezett hozzájárulást kell(ene) kérniük.

4.2. Hatásköri dualizmus és intézményi implikációk: A NAIH és az NMHH párhuzamos jogkörgyakorlása

Az Inteligo Media-ítélet által megerősített lex specialis elv nem csupán az anyagi jogi normák szintjén, hanem a magyar hatósági eljárások és hatáskörök tekintetében is alapvető átrendeződést indukál. A digitális kommunikáció felett a magyar közigazgatásban elsősorban két szerv rendelkezik: a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) mint a GDPR betartatásáért felelős általános adatvédelmi felügyeleti szerv, valamint a Nemzeti Média- és Hírközlési Hatóság (NMHH), amely az Eht. és Elkertv. rendelkezései alapján a hírközlési és elektronikus reklámszabályok betartását ellenőrzi.

A NAIH korábbi jogalkalmazói gyakorlata az elektronikus hírlevélküldés jogszerűségének megítélésénél – összhangban a korábbi uniós szintű bizonytalansággal – a GDPR 6. cikk (1) bekezdésének szigorú feltételrendszerét vette alapul. A hatóság több határozatában [vö. NAIH-6737-1/2024 (NAIH-2900/2023, NAIH-636/2022, NAIH-9230/2021)] is vizsgálta az ügyfélkapcsolatok során küldött üzenetek jogalapját, és hiányosságok esetén adatvédelmi bírságot szabott ki.

Az EUB ítélete értelmében, ha egy adatkezelés az ePrivacy irányelv, és ezáltal az Elkertv. hatálya alá tartozik, a GDPR 6. cikke nem alkalmazható. Magyarországon ebből az következik, hogy a közvetlen üzletszerzési célú elektronikus üzenetküldés jogalapjának ellenőrzése és szankcionálása az NMHH hatáskörébe tartozik. Az NMHH a Grt. 6. §-ában foglalt rendelkezéseket megsértő elektronikus hirdetéseket a kéretlen elektronikus hirdetéssel kapcsolatos felügyeleti eljárás keretében vizsgálja.[20] Vizsgálata e körben a Grt. 6. §-a szerinti jogalapra, valamint az Elkertv. 14/B. §-a szerinti adatszolgáltatási kötelezettségre korlátozódhat.

Ez a hatásköri elkülönülés ugyanakkor nem jelenti azt, hogy a vállalatok kikerülnének az adatvédelmi hatóság látóköréből az e-mail-marketing során. Míg az üzenetküldés ePrivacy-oldali jogszerűségét az NMHH vizsgálja, a személyes adatok kezelésének minden egyéb, a GDPR-ban meghatározott aspektusa továbbra is a NAIH felügyelete alatt marad. Ennek megfelelően a NAIH vizsgálhatja különösen azt, hogy a vállalatok a regisztráció vagy a vásárlás pillanatában megfelelő, világos és közérthető adatkezelési tájékoztatást nyújtanak-e (GDPR 13–14. cikk); biztosítják-e az e-mail-címlisták és a kapcsolódó rendszerek megfelelő technikai és szervezési védelmét (GDPR 32. cikk); ténylegesen lehetővé teszik-e az érintetti jogok, így különösen a hozzáféréshez, helyesbítéshez, törléshez és tiltakozáshoz való jog gyakorlását (GDPR 15–21. cikk); valamint tiszteletben tartják-e a célhoz kötöttség és adattakarékosság elvét (GDPR 5. cikk), vagyis nem használják-e fel a „soft opt-in” keretében gyűjtött adatokat az eredeti céllal össze nem egyeztethető további célokra.

A jogalap tekintetében rögzíteni kell, hogy az ePrivacy irányelv 13. cikk (2) bekezdése kizárólag az elektronikus levél megküldésére vonatkozóan mentesít a GDPR 6. cikk (1) bekezdésének alkalmazása alól. A megnyitási arányokat vagy kattintásokat mérő követőpixelek, valamint a paraméterezett URL-ek használata már nem e szabály hatálya alá tartozik. Ezek a technológiák a végberendezéshez való hozzáférésnek minősülnek az Európai Adatvédelmi Testület (EDPB) 2/2023. számú iránymutatása[21] értelmében, ezért az ePrivacy irányelv 5. cikk (3) bekezdése, magyar jogban pedig az Elkertv. 13/A. § (4) bekezdése irányadó ezekre. Fő szabály szerint ezért külön hozzájárulás szükséges alkalmazásukhoz. A pixelek útján megszerzett személyes adatok további kezelése ugyanakkor már a GDPR hatálya alá esik. E körben a NAIH jogosult vizsgálni a további adatkezelési műveletek jogszerűségét, így különösen a jogalapot, a profilozást és az érintetti jogok érvényesülését.[22] Az ilyen műveletek tehát érvényes jogalapot igényelnek, és szigorúan tiszteletben kell tartani az érintett profilozás elleni, GDPR 21. cikk (2) bekezdése szerinti abszolút tiltakozási jogát is. Ezt a szigorodó szabályozási trendet jól mutatja a francia adatvédelmi hatóság (CNIL) 2025-ös ajánlástervezete[23] is, amely a követőpixelek alkalmazására vonatkozó hozzájárulási rezsim független az e-mail küldésének jogalapjától; ezért a pixelekhez kapcsolódó hozzájárulást a címzettől a különálló célok szerint, önállóan és specifikus módon kell beszerezni.

A magyar vállalkozásoknak tehát egy kettős, párhuzamos hatósági ellenőrzési mátrixra kell felkészülniük, ahol az e-mail-küldés jogszerűségének formális alapjait az NMHH, míg a mögöttes adatkezelési folyamatok tisztaságát, biztonságát és az ePrivacy irányelv 5. cikk (3) bekezdése szerinti technikai hozzáférési szabályokat meghaladó[24] további adatkezelések jogszerűségét a NAIH jogosult górcső alá venni.

5. Az uniós jog közvetlen hatályának elve a hazai joggyakorlatban

A magyar jogalkotás hiányossága (azaz az ePrivacy irányelv „soft opt-in” kivételének a Grt.-be/ Elkertv-be történő át nem ültetése) egy alapvető európai jogdogmatikai konfliktust generál a magyar jogalkalmazásban. Kérdésként merül fel, hogy egy magyar vállalat hivatkozhat-e az EUB Inteligo-ítéletére és az ePrivacy irányelv megengedő szabályára a magyar hatóságokkal vagy magánszemélyekkel szemben, ha a magyar törvény betűje (Grt. és Elkertv. hatályos szabályai) kifejezetten tiltják a hozzájárulás nélküli e-mail-küldést.

A probléma feloldásának kulcsa az uniós irányelvek közvetlen hatályának (direct effect) doktrínájában rejlik. Főszabály szerint az irányelvek nem alkalmazhatók közvetlenül a tagállamokban, hiszen azok átültetésre várnak. Az Európai Unió Bírósága azonban a Van Duyn (C-41/74. sz.)[25] ügyben, majd a későbbi ítélkezési gyakorlatában (így C-148/78. sz. Ratti-ügyben)[26] kidolgozta a vertikális közvetlen hatály elvét. Eszerint, ha egy tagállam elmulasztja az irányelv határidőre történő átültetését, vagy azt hibásan ülteti át, a tagállam nem hivatkozhat saját mulasztására a magánszemélyekkel (vagy vállalatokkal) szemben. Következésképpen az érintettek közvetlenül hivatkozhatnak az irányelv rendelkezéseire a tagállammal és annak szerveivel szemben, amennyiben az adott rendelkezés kellően egyértelmű, pontos és feltétel nélküli.

Az ePrivacy irányelv 13. cikk (2) bekezdésében foglalt „soft opt-in” kivétel maradéktalanul megfelel a közvetlen hatály ezen szigorú konjunktív feltételeinek. A norma egyértelműen meghatározza az alkalmazás feltételeit (adatgyűjtés termék/szolgáltatás értékesítése során), a megengedett felhasználást (saját, hasonló termék reklámozása), és az ahhoz kötődő biztosítékokat (egyértelmű, egyszerű, ingyenes tiltakozási lehetőség a rögzítéskor és minden üzenetnél). A rendelkezés nem igényel további végrehajtási intézkedést, és önmagában is alkalmazható.

5.1. A vertikális közvetlen hatály gyakorlati alkalmazása Magyarországon

A vertikális közvetlen hatály elvének köszönhetően a magyar vállalkozások nem teljesen védtelenek az állami hatóságokkal szemben. Amennyiben egy vállalat Magyarországon bevezeti a „soft opt-in” modellt (minden európai uniós feltételt betartva), és emiatt az NMHH a Grt. 6. § (1) bekezdésének és az Elkertv. rendelkezéseinek megsértése (hozzájárulás hiánya) miatt eljárást indít és bírságot szab ki, a vállalat a közigazgatási határozat bírósági felülvizsgálata során (például a Fővárosi Törvényszék előtt) adott esetben sikerrel hivatkozhat az ePrivacy irányelv „soft opt-in” szabályaira.

A magyar bíróság az uniós jog elsőbbsége alapján ilyen esetben köteles figyelmen kívül hagyni az uniós normával ellentétes, hiányos magyar szabályozást (Grt. 6. §, Elkertv. 14. §), és a vállalat adatkezelését jogszerűnek kell minősítenie az irányelv vertikális közvetlen hatálya alapján. Az irányelv tehát az állammal és szerveivel szemben hatékony védőpajzsként szolgálhat a szankciók elkerülésére.

5.2. A horizontális közvetlen hatály hiánya és a magánjogi jogviták kockázatai

Míg a vertikális relációban az irányelv védelmet nyújt, a magánfelek közötti (horizontális) jogviszonyokban a helyzet drasztikusan eltér, és ez jelenti a legfőbb üzleti kockázatot a hazai vállalatok számára. Az EUB a Marshall- (152/84. sz.)[27] és a Faccini Dori- (C-91/92. sz.)[28] ügyekben hozott alapvető fontosságú ítéleteiben kategorikusan kizárta az irányelvek horizontális közvetlen hatályát. A Bíróság érvelése szerint az irányelv csak a címzett tagállamra ró kötelezettséget, ezért önmagában nem keletkeztethet kötelezettséget egy magánszeméllyel szemben, és egy magánfél nem hivatkozhat egy át nem ültetett irányelvre egy másik magánféllel szembeni perben. Az állam a saját hibás átültetésének következményeit pedig nem háríthatja át az érintettekre, különösen előnyök (bírságbevételek) szerzése végett.[29]

A horizontális közvetlen hatály hiánya a gyakorlatban súlyos kockázatot jelenthet. Képzelhető például, hogy egy magyar e-kereskedelmi vállalkozás a „soft opt-in” szabályaira támaszkodva reklámlevelet küld egy korábbi vásárlójának. A címzett ezt kéretlen reklámnak tekinti, és nem hatósági eljárást kezdeményez, hanem személyiségi jogi pert indít, adott esetben sérelemdíjat követelve. Ilyen esetben a vállalkozás a perben közvetlenül nem hivatkozhat arra, hogy az ePrivacy irányelv a „soft opt-in” levélküldést megengedi, ha a Grt. 6. §-a előzetes, kifejezett hozzájárulást követel meg. A bíróság a jogvitát a hatályos belső jog alapján bírálja el. Ez a vállalkozás számára számottevő peres kockázatot eredményez, mivel a vállalat magánjogi perekben jelentős kiszolgáltatottsággal szembesül a jogalkotói mulasztás miatt.

5.3. A Francovich-elv és az állami kárfelelősség érvényesítése a magyar bíróságok előtt

A fenti igazságtalan helyzet feloldására az európai jogfejlődés egy különleges jogorvoslati mechanizmust hozott létre: a tagállami kárfelelősség intézményét, amelyet az EUB az 1991-es Francovich és Bonifaci- (C-6/90. és C-9/90. sz. egyesített ügyek)[30], majd a későbbi Brasserie du Pêcheur- (C-46/93. és C-48/93. sz.)[31] ítéleteiben dolgozott ki.

A Francovich-elv kimondja, hogy az uniós jogrendszer hatékonysága sérülne, ha az állampolgárok és a vállalatok nem kaphatnának kártérítést, amikor jogaik a tagállam uniós jogba ütköző mulasztása miatt sérülnek.[32] Következésképpen a tagállam – jelen esetben a magyar állam – kártérítési felelősséggel tartozik a magánszemélyeknek (beleértve a jogi személyeket, vállalatokat is) okozott azon károkért, amelyek egy irányelv átültetésének elmulasztásából vagy nem megfelelő átültetéséből erednek.[33]

A kártérítési felelősség megállapításához a hazai (magyar) bíróságok előtt indított perben három szigorú konjunktív feltételnek kell teljesülnie:

  1. A megsértett uniós jogszabály célja, hogy a magánszemélyekre jogokat ruházzon:[34] Az ePrivacy irányelv 13. cikk (2) bekezdése egyértelműen jogot biztosít a vállalkozások számára a meglévő ügyféladatok közvetlen üzletszerzési célú, kedvezőbb feltételek melletti felhasználására.
  2. A tagállami kötelezettségszegés kellően súlyos: Egy irányelv teljes átültetésének évtizedeken át tartó, az uniós joggyakorlat (lásd Inteligo Media-ügy) ellenére is fenntartott elmulasztása az EUB gyakorlata szerint kimeríti a kellően súlyos kötelezettségszegés fogalmát.[35]
  3. Közvetlen okozati összefüggés a mulasztás és a kár között: A vállalatnak bizonyítania kell, hogy a kára (például a fogyasztónak a polgári perben kifizetett sérelemdíj, a perköltségek, vagy a hírlevélkampány leállítása miatti igazolható elmaradt haszon) egyenes következménye, hogy a magyar jog nem tartalmazta az irányelv által biztosított kivételt.[36]

Bár a jogintézmény elvben megvédi a vállalatokat, a gyakorlatban egy Francovich-alapú kártérítési per a magyar állammal szemben rendkívül hosszadalmas, bonyolult bizonyítási eljárást igénylő és költséges folyamat. Ezért a vállalatok számára ez csupán végső menedék (ultima ratio) lehet, nem pedig a napi marketingstratégia alapja.

6. A „soft opt-in” jogszerű alkalmazásának gyakorlati feltételrendszere

Tekintettel az uniós ítélkezési gyakorlat által megnyitott lehetőségekre, valamint a hazai jogrendszerben rejlő kockázatokra, a magyarországi vállalatoknak rendkívül precíz, a jogszabályoknak minden apró részletében megfelelő compliance stratégiát kell kidolgozniuk, ha az Inteligo Media-döntésre figyelemmel a „soft opt-in” modellt kívánják alkalmazni és erre kívánnak támaszkodni, mivel az ePrivacy irányelv 13. cikk (2) bekezdése, kiegészítve a EDPB iránymutatásaival, egy szigorú, kumulatív kritériumrendszert állít fel a „soft opt-in” jogszerűségéhez.

6.1. A kontextus: adatmegszerzés egy termék vagy szolgáltatás értékesítése során

A vállalatnak az e-mail-címet közvetlenül a felhasználótól kell megszereznie, valamilyen ügylet keretében.[37] Ez azt jelenti, hogy a vállalkozás és az ügyfél termék vagy szolgáltatás értékesítésére már szerződést kötöttek egymással, melyet az Inteligo Media-ítélet fényében tágan lehet értelmezni. Ennek értelmében a hagyományos (pénzügyi fizetéssel járó) webshopos vásárlásokon túl idetartoznak a „freemium” modellek is: ingyenes fiókregisztráció, ingyenes próbaidőszak igénybevétele, vagy olyan hírlevélre történő feliratkozás, amely mögött a szolgáltató üzleti (későbbi konverziós) célja húzódik meg. Lényeges korlát azonban, hogy az adatoknak közvetlenül az ügyféltől kell származniuk; vásárolt adatbázisokra, nyílt forrásból (pl. cégjegyzék, weboldalak) gyűjtött (scraped) e-mail-címekre, vagy nyereményjátékokat aggregáló harmadik felektől kapott adatokra a „soft opt-in” nem alkalmazható.

6.2. A tárgy: saját, hasonló termékek vagy szolgáltatások marketingje

A megszerzett elérhetőségeket a vállalat kizárólag a saját (hasonló) termékeinek vagy szolgáltatásainak népszerűsítésére használhatja.[38] Tilos az adatok átadása leányvállalatoknak, cégcsoporton belüli más entitásoknak, vagy üzleti partnerek reklámjainak a kiküldése.[39] A „hasonló termék” fogalmát az EUB tágan értelmezi (pl. az ingyenes jogi összefoglaló és a fizetős jogi adatbázis hasonlóak), de a határok nem végtelenek. A termékek vagy szolgáltatások hasonlóak, ha egymással felcserélhetőek, ugyanazon vagy hasonló szükségletet vagy célt szolgálnak, vagy ha kiegészítő termékekről van szó. Ha egy felhasználó egy elektronikai webshopban mobiltelefont vásárol, számára a „soft opt-in” keretében jogszerűen küldhető telefontokokat vagy okosórákat reklámozó hírlevél. Ha azonban ugyanez a cégcsoport életbiztosítások értékesítésébe is belekezd, ezen termékek reklámozása az eredeti elektronikai vásárlás alapján már nem fogadható el hasonlónak.

6.3. A tiltakozás (opt-out) felkínálása a gyűjtés pillanatában

A legkritikusabb gyakorlati feltétel a technikai implementáció.
A vállalatnak a regisztrációs vagy fizetési folyamat (checkout) során, az elektronikus elérhetőségi adat rögzítésekor, egyértelmű és jól észlelhető módon tájékoztatnia kell a felhasználót, hogy az elektronikus levelezési címét a későbbiekben hasonló termékek vagy szolgáltatások reklámozására fogják használni, és azonnal, ingyenesen fel kell kínálni az egyszerű tiltakozás lehetőségét.[40] Ez a gyakorlatban általában egy üres (nem előre bejelölt) jelölőnégyzetet (checkbox) jelent, amely mellett a következőhöz hasonló szöveg áll: „Nem kérek a jövőben a vásárlásomhoz hasonló termékekkel/szolgáltatásokkal kapcsolatos ajánlatokat.” Ha a felhasználó ezt bejelöli (vagyis tiltakozik), a vállalat nem használhatja a „soft opt-in” jogalapot. E tájékoztatásnak el kell különülnie a cég Általános Szerződési Feltételeinek (ÁSZF) apró betűs szövegétől.

6.4. A folyamatos leiratkozási lehetőség biztosítása

Az adatfelvételt követően minden egyes elektronikus reklámlevélben jól látható és működő leiratkozási linket kell elhelyezni. A leiratkozásnak díjmentesnek és egyszerűnek[41] kell lennie. Nem köthető például jelszavas bejelentkezéshez vagy további nyilatkozatok megtételéhez. Nem elegendő pusztán, ha a címzettet a Grt. 6. § (7) bekezdésének megfelelően tájékoztatják arról a címről vagy egyéb elérhetőségről, ahol a tiltakozási igényét bejelentheti. A gyakorlatban közvetlen leiratkozási link biztosítása indokolt.

6.5. A visszamenőleges bevezetés tilalma és a jogalapváltás kockázata

A magyar vállalatok számára a legvonzóbb lépés az lenne, ha az Inteligo Media-ítéletre hivatkozva a meglévő, inaktív, vagy a hírlevélre korábban fel nem iratkozó ügyfeleiknek azonnal elkezdenének reklámokat küldeni a „soft opt-in” alapján. Ez az eljárás azonban súlyos megfelelési kockázatot hordoz, mivel GDPR jogszerű, tisztességes és átlátható adatkezelés elveibe ütköző tevékenység lenne, amelyet pedig – a lentebb kifejtettekre figyelemmel – az adatvédelmi hatóság már vizsgálhatna.

Az Európai Adatvédelmi Testület 05/2020. számú iránymutatása a hozzájárulásról egyértelművé teszi, hogy az adatkezelők nem módosíthatják utólagosan az adatkezelés jogalapját.[42] Ha egy magyar cég egy korábbi ügyfelétől a Grt./Elkertv. szigorú szabályait követve kifejezett hozzájárulást (opt-in) kért a hírlevélhez a vásárláskor, de az ügyfél ezt megtagadta, a cég most nem küldhet neki hírlevelet arra hivatkozva, hogy az ePrivacy irányelv szerint ez mégis jogszerű lenne „soft opt-in” alapján.

Ennek oka, hogy a korábbi adatgyűjtési folyamat során a vállalkozás nem a „soft opt-in” szerinti tiltakozási jogot kínálta fel, hanem a hozzájárulás megadását kérte. Márpedig a gyűjtés pillanatában biztosított egyszerű opt-out lehetőség a „soft opt-in” alkalmazásának önálló feltétele. Ha a korábbi adatfelvételek technológiailag és jogilag sem feleltek meg az ePrivacy irányelv 13. cikk (2) bekezdésében előírt követelményeknek, a „soft opt-in” mechanizmus egy meglévő ügyfélbázisra utólagosan nem húzható rá. Ezt az új, rugalmasabb rendszert kizárólag a jövőre nézve lehet bevezetni, a weboldal, az ÁSZF, és az adatkezelési tájékoztató teljes körű átalakítását követően, a frissen érkező ügyfelek és regisztrálók tekintetében.

6.6. A transzparencia és a GDPR további követelményeinek teljesítése

Bár a jogalap kérdése kikerült a NAIH közvetlen fókuszából, a hatóság által elvárt GDPR szerinti transzparencia és elszámoltathatóság fontossága megnőtt. A vállalat adatkezelési tájékoztatójában éles különbséget kell tenni az általános, nem ügyfeleknek szóló direkt marketing [ahol továbbra is a GDPR 6. cikk (1) bekezdés a) pontja szerinti hozzájárulás és a Grt. 6. § az irányadó], és a meglévő ügyfeleknek szóló, a saját, hasonló termékeket népszerűsítő kommunikáció között. Utóbbi esetben a tájékoztatónak kifejezetten hivatkoznia kell az ePrivacy irányelv 13. cikk (2) bekezdésére, mint önálló jogalapra.

Szintén itt említendő, hogy megnyitáskövető pixeleket és az egyéni linkkövetést a „soft opt-in” alapján küldött levél nem tartalmazhat. Hacsak a felhasználó kifejezetten, egy független folyamat során nem járult hozzá az analitikához és a végberendezése nyomon követéséhez (opt-in), a „soft opt-in” alapján küldött kommunikációkat szigorúan nyomkövető technológiák nélkül kell továbbítani.

A magyar vállalatoknak továbbá erős informatikai naplózási rendszereket kell kiépíteniük, hogy egy esetleges adatvédelmi hatósági vagy elektronikus reklámfelügyeleti hatósági eljárás során másodperc alapú pontossággal bizonyítani tudják: az adott e-mail-cím egy konkrét tranzakció, vagy freemium regisztráció során került a rendszerbe, a felhasználó ott és akkor megkapta az opt-out lehetőséget, és azzal nem élt. Az elszámoltathatóság műszaki feltételei nélkül a vállalat védtelen marad az esetleges hatósági eljárásokban.

7. Összegző megállapítások, de lege ferenda javaslatok és a Digitális Omnibus csomag jelentősége

Az Európai Unió Bíróságának C-654/23. számú Inteligo Media-ítélete mérföldkő az európai adatvédelmi és hírközlési jog fejlődésében. A Bíróság egyértelművé tette, hogy a digitális gazdaság adatalapú tranzakciói (freemium modellek) is megalapozhatják az ePrivacy irányelv szerinti „soft opt-in” kivétel alkalmazását. A döntés dogmatikailag is tiszta helyzetet teremtett a lex specialis derogat legi generali elv alkalmazásával, kimondva, hogy az ePrivacy irányelv kimerítő szabályozása kizárja a GDPR szerinti további jogalapok megkövetelését a meglévő ügyfeleknek küldött, hasonló termékeket reklámozó elektronikus üzenetek esetében.

Magyarország vonatkozásában az ítélet ráirányította a figyelmet az uniós jogharmonizáció súlyos hiányosságaira. A jelenlegi hazai szabályozás továbbra is kizárólag az előzetes hozzájáruláson alapuló logikát követi, ami nyílt konfliktusban áll az uniós irányelv által biztosított mozgástérrel. A hazai vállalatok a vertikális közvetlen hatály elvére hivatkozva elvben mentesülhetnek a hatósági szankciók alól. A magánszemélyekkel szembeni jogvitákban azonban a horizontális közvetlen hatály hiánya miatt továbbra is jelentős peres és kártérítési kockázatokkal kell számolniuk. E kockázatokat legfeljebb a Francovich-típusú állami kárfelelősségi igények enyhíthetik.

A jogbiztonság helyreállítása és a magyar digitális vállalkozások európai versenyképességének biztosítása érdekében a magyar jogalkotó azonnali beavatkozása szükséges (de lege ferenda). Az Országgyűlésnek haladéktalanul módosítania kell a Grt. 6. §-át, illetőleg az Elkertv. szabályait, az ePrivacy irányelv 13. cikk (2) bekezdésében foglalt „soft opt-in” kivétel szó szerinti hazai jogba történő ismételt beemelésével.

Amíg a jogalkotói lépés nem történik meg, a hazai e-kereskedelmi és digitális szolgáltató szektor számára a „soft opt-in” stratégia óvatos, kizárólag jövőbe mutató, az adatvédelmi és informatikai biztonsági feltételeket (opt-out felkínálása a kasszánál/regisztrációnál, pontos tájékoztatás) maradéktalanul betartó alkalmazása az egyetlen racionális út a modern európai adatvédelmi keretrendszer előnyeinek kiaknázására.

A szabályozási környezet megértéséhez röviden utalni kell az Európai Bizottság által 2025. november 19-én előterjesztett Digitális Omnibusz (Digital Omnibus) javaslatcsomagra[43] is. A tervezet a digitális szabályozási környezet – így többek között a GDPR és az ePrivacy irányelv – célzott módosítására irányul az európai versenyképesség erősítése és az adminisztratív terhek csökkentése érdekében. Ennek keretében a végberendezésekhez való hozzáférésre és az azokon történő adattárolásra, vagyis a sütikre és hasonló nyomkövető technológiákra vonatkozó szabályozás egy részét az ePrivacy irányelvből a GDPR-ba emelné át, új 88a. és 88b. cikk beiktatásával, reagálva az úgynevezett hozzájárulási fáradtság jelenségére.

A Digitális Omnibusz javaslatcsomag nem érinti az ePrivacy irányelv 13. cikkét, vagyis a közvetlen üzletszerzésre és a „soft opt-in” kivételre vonatkozó szabályozást. Ebből következően az Inteligo Media-ügyben kialakított jogértelmezés a javaslat elfogadása esetén is irányadó maradhat. A tervezet emellett nem oldaná fel azt az alapelvet sem, hogy a végberendezéshez való hozzáférés fő szabály szerint továbbra is hozzájárulást igényel. Ennek megfelelően a hozzájárulás nélküli e-mailes nyomon követésre sem teremtene új jogalapot. A hatásköri keretek pontosítása ugyanakkor hozzájárulhat a jelen tanulmányban tárgyalt intézményi megosztás további tisztulásához és a jogbiztonsághoz.

 

* Liber Ádám a BLB Legal irodavezető partner ügyvédje, elsősorban adatvédelmi, információbiztonsági, IT- és szellemi tulajdonjogi kérdésekkel foglalkozik.

** Bereczki Tamás adatvédelmi jogra, kiberbiztonsági jogra és digitalizációs, technológiai ügyekre szakosodott ügyvéd, a BLB Legal Ügyvédi társulás partnere, valamint a Li-Ber Consulting információbiztonsággal foglalkozó cég ügyvezetője.

[1] EU Bíróság ítélete (első tanács), 2025. november 13.; Inteligo Media SA kontra Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP); C-654/23 https://eur-lex.europa.eu/legal-content/HU/TXT/HTML/?uri=CELEX:62023CJ0654; lehívás: 2026.02.21.

[2] Esztervári Adrienn: Az elektronikus hírközlési adatvédelmi irányelv hazai átültetésének sajátosságai és dilemmái – 2024/2. (83.), 12.

[3] Vö. UK ICO – When can we rely on legitimate interests? – „If e-privacy laws do not require consent, legitimate interests may well be appropriate. Based on the current legislation (PECR), and depending on the outcome of your three-part test, legitimate interests may be appropriate for ‘solicited’ marketing (ie marketing proactively requested by the individual), or for unsolicited marketing in the following circumstances: … Emails/text messages to individuals – obtained using ‘soft opt-in’” https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/lawful-basis/legitimate-interests/when-can-we-rely-on-legitimate-interests/; lehívás: 2026.02.21; A német DSK álláspontja szerint: „Wenn E-Mail-Adressen unmittelbar von den betroffenen Personen im Rahmen einer Vertragsbeziehung (Bestandskunden) erhoben wurden, überwiegen schutzwürdige Interessen der betroffenen Person nach Art. 6 Abs. 1 UAbs. 1 lit. f DS-GVO in der Regel dann nicht, wenn die in § 7 Abs. 3 UWG enthaltenen Vorgaben für elektronische Werbung eingehalten werden.” In Orientierungshilfe der Auf-
sichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung unter Geltung der Datenschutz-Grundverordnung (DS-GVO)”; Stand: Februar 2022; 1.4.1 Nutzen der E-Mail-Adressen von Bestandskunden; p. 6; https://www.datenschutzkonferenz-online.de/media/oh/OH-Werbung_Februar%202022_final.pdf; lehívás: 2026.02.21; CNIL – La prospection commerciale par courrier électronique; 04 février 2022 – szintén jogos érdekre hivatkozik a hozzájárulás alóli kivételként – https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-electronique; lehívás: 2026.12.21. és lásd az Európai Adatvédelmi Testület 1/2024. szám alatt kiadott, a GDPR 6. cikk (1) bekezdés (f) pontjával kapcsolatos iránymutatásának (tervezet) 120. sarokpontját.

[4] Email me not: direct marketing, GDPR and ePrivacy Regulation by Pierre Dewitte (@PiDewitte) – 20 November 2018; KU Leuven, CiTip; A balance of interests – https://www.law.kuleuven.be/citip/blog/email-me-not-direct-marketing-gdpr-and-eprivacy-regulation/; lehívás: 2026.02.21.

[5] Maciej Szpunar, Opinion of Advocate General, Inteligo Media SA v ANSPDCP, Case C‑654/23, ECLI:EU:C:2025:213, delivered on 27 March 2025.

[6] Commission nationale de l’informatique et des libertés (CNIL), Határozat a Brico Privé társaság ellen, Délibération n° SAN-2021-008, 2021. június 14., közzétéve: 2021. június 17., elérhető: https://www.legifrance.gouv.fr/jorf/id/JORFTEXT00-0043676185, lehívás: 2026.02.21.

[7] Vö. Szpumar főtanácsnoki indítványának 45. sarokpontja.

[8] Vö. Szpumar főtanácsnoki indítványának 46. sarokpontja.

[9] Judgment of the Court (Third Chamber) of 25 November 2021, StWL Städtische Werke Lauf a.d. Pegnitz GmbH v eprimo GmbH, Case C-102/20, ECLI:EU:C:2021:954, CELEX: 62020CJ0102.

[10] Judgment of the Court (Third Chamber) of 15 September 2016, Tobias Mc Fadden v Sony Music Entertainment Germany GmbH, Case C-484/14, ECLI:EU:C:2016:689, CELEX: 62014CJ0484.

[11] Esztervári Adrienn: Az elektronikus hírközlési adatvédelmi irányelv hazai átültetésének sajátosságai és dilemmái – 2024/2. (83.), 15–16.

[12] Elkertv. Régi (2008. augusztus 31 előtt hatályos) 14. § (9) bek. „Ha az elektronikus hirdető az igénybe vevő kapcsolattartásra szolgáló elektronikus levelezési címéhez egy áru vagy szolgáltatás értékesítése során jogszerűen jut hozzá, ugyanez az elektronikus hirdető felhasználhatja ezeket az adatokat saját hasonló áruinak vagy szolgáltatásainak hirdetésére. Az elektronikus hirdető ez esetben köteles biztosítani, hogy az igénybe vevő az elektronikus hirdetés megküldését ingyenesen, korlátozás és indokolás nélkül megtilthassa. A megtiltás lehetőségére egyértelműen és feltűnő módon fel kell hívni az igénybe vevő figyelmét mind a kapcsolattartói adatok gyűjtésekor, mind a későbbiekben, az egyes elektronikus hirdetések megküldésekor.”

[13] A 2008. évi XLVII. törvény indokolása kiemelte „Egyetlen érdemi változásként az Ektv. 14. §-a (9) bekezdésének hatályon kívül helyezését lehetne értékelni, ugyanakkor belátható, hogy e kivételnek tűnő szabály megtartása nem indokolt, hiszen a személyes adatok kezeléséhez mindenképpen az illető hozzájárulása szükséges, és ezért érdemben a Grt.-javaslatbeli általános szabály alkalmazása nem jelent érdemben többletterhet a jelenlegi szabályokhoz képest.”

[14] Vö. Az Európai Unió Bírósága (harmadik tanács) 2011. november 24-i ítélete, Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) és Federación de Comercio Electrónico y Marketing Directo (FECEMD) kontra Administración del Estado, C-468/10. és C-469/10. sz. egyesített ügyek, ECLI:EU:C:2011:777, CELEX: 62010CJ0468.

[15] Ibid., 15. oldal.

[16] Ennek kirtikáját lásd: Liber Ádám – Az Alkotmánybíróság direkt marketing határozata; 2011.02.27 https://www.dataprivacy.hu/?p=511, lehívás: 2026.02.22.

[17] Vö. Grt. 6. § (9) E § alkalmazásában címzett reklámküldemény: kizárólag hirdetést, üzletszerzési vagy reklámanyagot tartalmazó – egyszerre legalább 500 címzett részére feladott, a címzett neve, címe, és az üzenet jellegét nem módosító adat kivételével azonos tartalmú – a postai szolgáltatásokról szóló törvény szerinti, ott önállóan nem nevesített postai küldemény.

[18] Vö. Elkertv. 14. § (2) bek. „Elektronikus hirdetésnek minősül az olyan közlés is, amelynek célja kizárólag a Grt. 6. §-ának (1) bekezdésben előírt hozzájárulás kérése.”

[19] Elkertv. 14. § (1) bek. (b) pont „társadalmi cél megvalósításához kapcsolódó, reklámnak nem minősülő tájékoztatás”.

[20] Vö. Elkertv. 16/A. § (3) bekezdése; lásd https://nmhh.hu/tart/report/96/Keretlen_hirdetes_bejelentese

[21] EDPB Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive Version 2.0 Adopted on 7 October 2024; 3.1 URL and pixel tracking.

[22] Vö. 5/2019. számú vélemény az elektronikus hírközlési adatvédelmi irányelv és az általános adatvédelmi rendelet közötti kölcsönhatásról, különösen az adatvédelmi hatóságok illetékessége, feladatai és hatásköre tekintetében, 75. pont.

[23] CNIL, Projet de recommandation relative aux pixels de suivi dans les courriers électroniques, 2025, 10–11. o.; https://www.cnil.fr/sites/cnil/files/2025-06/projet_de_recommandation_pixels_de_suivi.pdf; lehívás: 2026. március 27.

[24] Az Elkertv. eljárási szabályai – így például a 16/E. § – kifejezetten csak a kéretlen elektronikus hirdetésekkel (14/B. §) és a Grt. 6. §-ával kapcsolatos felügyeletet utalják az NMHH hatáskörébe. Az Elkertv. 13/A. §-a [így annak (4) bekezdése] érvényesítésére nem jelöl ki magyar hatóságot, így az NMHH-nak ehhez nincs hatásköre. Emellett a NAIH a EDPB 5/2019. számú véleményére figyelemmel nem tudja közvetlenül érvényesíteni az ePrivacy irányelv 5. cikk (3) bekezdését átültető nemzeti rendelkezéseket. Megállapítható, hogy ezért az
Elkertv. adatvédelmi szabályainak hatósági érvényesítése nem biztosított Magyarországon, ami végrehajtási vákuumot okoz. A NAIH joggyakorlata csak tud „túllépni” ezen a szűk mezsgyén, hogy nem magát a süti elhelyezését bünteti, hanem az elhelyezést követően megvalósuló utólagos adatkezelést (például az IP-címek, vagy a felhasználói viselkedés profilozását). Az Európai Bizottság is felismerte ezt a tarthatatlan és széttöredezett hatásköri helyzetet. Éppen ezért a 2025 novemberében bemutatott Digitális Omnibusz (Digital Omnibus) rendelettervezet egyik legjelentősebb reformja, hogy a végberendezéshez való hozzáférésre (így a sütikre és követőpixelekre) vonatkozó szabályozást kiveszi az ePrivacy irányelv alól, és közvetlenül a GDPR-ba emeli át egy új, 88a. cikk formájában. Amint az Omnibusz csomagot elfogadják, a nyomkövetők elhelyezése vitathatatlanul és kizárólagosan a GDPR hatálya alá fog tartozni, így a NAIH teljes és megkérdőjelezhetetlen hatáskörrel fog rendelkezni a teljes folyamat felett, feleslegessé téve az NMHH-val és a lex specialis elvvel kapcsolatos jelenlegi hatásköri anomáliákat.

[25] Judgment of the Court (4 December 1974), Yvonne van Duyn v Home Office, Case 41/74, ECLI:EU:C:1974:133, ECR 1974, 1337, CELEX: 61974CJ0041.

[26] Judgment of the Court (5 April 1979), Criminal proceedings against Tullio Ratti, Case 148/78, ECLI:EU:C:1979:110, ECR 1979, 1629, CELEX: 61978CJ0148.

[27] Judgment of the Court (26 February 1986), M. H. Marshall v Southampton and South-West Hampshire Area Health Authority (Teaching), Case 152/84, ECLI:EU:C:1986:84, ECR 1986, 723, CELEX: 61984CJ0152.

[28] Judgment of the Court (14 July 1994), Paola Faccini Dori v Recreb Srl, Case C-91/92, ECLI:EU:C:1994:292, ECR 1994, I-3325, CELEX: 61992CJ0091.

[29] Marshall, 47. pont.

[30] Judgment of the Court (19 November 1991), Andrea Francovich and Danila Bonifaci and Others v Italian Republic, Joined Cases C-6/90 and C-9/90, ECLI:EU:C:1991:428, ECR 1991, I-5357, CELEX: 61990CJ0006.

[31] Judgment of the Court (5 March 1996), Brasserie du Pêcheur SA v Bundesrepublik Deutschland and The Queen v Secretary of State for Transport, ex parte Factortame Ltd and Others, Joined Cases C-46/93 and C-48/93, ECLI:EU:C:1996:79, ECR 1996, I-1029, CELEX: 61993CJ0046.

[32] Francovich, 33–37. pontok.

[33] Vö. Francovich, 46. pont és Brasserie, 36. pont

[34] Francovich, 40. pont „…the result prescribed by the directive should entail the grant of rights to individuals.”; Brasserie, 51. pont: „…the rule of law infringed must be intended to confer rights on individuals…”

[35] Brasserie, 51. pont: „…the breach must be sufficiently serious…”; Brasserie, 55. pont: „the decisive test […] ‘manifestly and gravely disregarded the limits on its discretion’.”; Brasserie, 56. pont: felsorolja a mérlegelhető tényezőket (szabály világossága, mérlegelési mozgástér, felróhatóság jellege stb.); Brasserie, 57. pont: „…sufficiently serious if it has persisted despite a judgment […] or settled case-law…”

[36] Francovich, 40. pont (3. feltétel): „…the exis-
tence of a causal link …”; Brasserie, 51. pont: „…a direct causal link…”; Brasserie, 65. pont: „it is for the national courts to determine whether there is a direct causal link…”.

[37] Vö. ePrivacy irányelv 13. cikk (2) bek. „elektronikus levelezés céljából megszerzi ügyfeleitől elektronikus elérhetőségi adataikat egy termék vagy szolgáltatás értékesítése során”.

[38] Vö. ePrivacy irányelv 13. cikk (2) bek. „ezeket az elektronikus elérhetőségi adatokat felhasználhatja saját hasonló termékeivel vagy szolgáltatásaival kapcsolatos közvetlen üzletszerzési célra”.

[39] Vö. ePrivacy irányelv 13. cikk (2) bek. „ugyanaz a természetes vagy jogi személy […] felhasználhatja”.

[40] Vö. ePrivacy irányelv 13. cikk (2) bek. „egyértelműen és kifejezetten lehetőséget biztosít arra, hogy […] az elektronikus elérhetőségi adatok ilyen célú felhasználása ellen egyszerű módon tiltakozással élhessenek”.

[41] Vö. ePrivacy irányelv 13. cikk (2) bek. utolsó fordulata: „az elektronikus elérhetőségi adatok ilyen célú felhasználása ellen díjmentes és egyszerű módon tiltakozással élhessenek”.

[42] Vö. EDPB Guidelines 05/2020 on consent under Regulation 2016/679 Version 1.1 Adopted on 4 May 2020 – 6. fejezet 121–123. bekezdések: „the controller cannot swap from consent to other lawful bases”; „it is not allowed to retrospectively utilise the legitimate interest basis in order to justify processing, where problems have been encountered with the validity of consent.”

[43] Digital Omnibus Regulation Proposal; https://digital-strategy.ec.europa.eu/en/library/digital-omnibus-regulation-proposal; lehívás: 2026.02.21.