Article 8 - Protection of personal data
Article 11 - Freedom of expression and information
Key facts of the case:
The first applicant is a publisher. The second, third and fourth applicants are individuals who figured in two publications on the largest family businesses published by the first applicant in 2019. The materials mentioned their name, age, the approximate value of their companies together with the address of their seat, the year of establishment, the source of the wealth and the number of generations involved in the business. The first applicant uncontestably processed these data within the meaning of Article 4 (2) of the GDPR.
The applicants filed a complaint with the respondent data protection authority and alleged the unlawful processing of their personal data. The respondent authority concluded that the first applicant did not process the data based on the correct legal basis and infringed several provisions of the GDPR by having failed to adequately balance the relevant interests and to provide all the necessary information. Consequently, a financial penalty was imposed on the first applicant. The claim of the second, third and fourth applicants aimed at the restriction of the processing and the erasure of their personal data was rejected.
The applicants all challenged the respondent authority’s decision before a court on several different grounds. The first instance court dismissed on the merits the applicants’ petitions. All the applicants appealed before the Supreme Court.
Key legal question raised by the Court:
The Supreme Court examined the legality of the respondent data protection authority’s decision. The most important legal question before the Supreme Court was whether the first applicant processed the data of the second, third and fourth applicants on the correct legal basis and whether the interests were balanced by the first applicant correctly.
Outcome of the case:
The Supreme Court first examined whether the first applicant processed the data of the second, third and fourth applicants on the correct legal basis. The first applicant claimed that the processing was necessary for the performance of its tasks carried out in the public interest as a publisher (or magazine) in accordance with Article 6 (1) e) of the GDPR. The judicial panel opined that the compilation and publication of lists of wealthy families does not constitute an exercise of official authority, nor does it serve a public interest, even if these materials contain information about the use of public financial resources as well. Consequently, the correct legal basis of the processing of data would have been the legitimate interests of the opined in accordance with Article 6 (1) f) of the GDPR.
Secondly, the Supreme Court examined whether the opined adequately balanced the interests or fundamental rights and freedoms of the data subjects as stipulated by Article 6 (1) f) of the GDPR. The Court noted that the opined failed to carry out this duty correctly as it simply listed its own legitimate interests without balancing them against the interests or fundamental rights and freedoms of the data subjects, which make the protection of personal data necessary. The Supreme Court observed that this balancing exercise would not have posed a disproportionate difficulty to the opined as the preparation of the publication took several months. Nevertheless, the Supreme Court emphasized that the data processing did not exceed the necessary and proportionate limitation of the data subjects’ rights to privacy and protection of personal data, as the published information concerned only their business activities, not their private life.
The outcome of the case was that the applicants’ appeals were dismissed, and the decision of the respondent data protection authority confirmed. The Supreme court found that the data processing of the first applicant was partially unlawful and ordered the first applicant to pay a financial penalty. However, the claims aimed at the restriction of the processing and the erasure of the second, third and fourth Applicants’ personal data was dismissed.
[93] The Charter created a common European basis of reference by declaring in its Article 8 (1) – in accordance with Article 16 (1) of TFEU – the right to protection of personal data.
...
[133] According to paragraphs 153 of the preamble of the GDPR Member States law should reconcile the rules governing freedom of expression and information, including journalistic, academic, artistic and or literary expression with the right to the protection of personal data pursuant to this Regulation. The processing of personal data solely for journalistic purposes, or for the purposes of academic, artistic or literary expression should be subject to derogations or exemptions from certain provisions of this Regulation if necessary to reconcile the right to the protection of personal data with the right to freedom of expression and information, as enshrined in Article 11 of the Charter. This should apply in particular to the processing of personal data in the audiovisual field and in news archives and press libraries. Therefore, Member States should adopt legislative measures which lay down the exemptions and derogations necessary for the purpose of balancing those fundamental rights. Member States should adopt such exemptions and derogations on general principles, the rights of the data subject, the controller and the processor, the transfer of personal data to third countries or international organisations, the independent supervisory authorities, cooperation and consistency, and specific data-processing situations. Where such exemptions or derogations differ from one Member State to another, the law of the Member State to which the controller is subject should apply. In order to take account of the importance of the right to freedom of expression in every democratic society, it is necessary to interpret notions relating to that freedom, such as journalism, broadly.
[158] The Supreme Court notes that the first applicant’s argument that the GDPR cannot lower the level of protection granted by Article 8 of the Charter is incorrect, as the Charter protects the right to privacy and especially the personal data. A conflict between fundamental rights must be resolved. In addition, the legitimate interest as a legal basis does not restrict the freedom of the press, as the first applicant can process the data lawfully following adequate procedure. Its activity is not rendered impossible.
[159] According to paragraphs 4 of the preamble of the GDPR, the right to the protection of personal data is not an absolute right; it must be considered in relation to its function in society and be balanced against other fundamental rights, in accordance with the principle of proportionality. This Regulation respects all fundamental rights and observes the freedoms and principles recognised in the Charter as enshrined in the Treaties, in particular the respect for private and family life, home and communications, the protection of personal data, freedom of thought, conscience and religion, freedom of expression and information, freedom to conduct a business, the right to an effective remedy and to a fair trial, and cultural, religious and linguistic diversity.
[160] Every data processing affects the data subject’s right to informational autonomy. It can concern a right or freedom enshrined in the Charter, the TFEU, and the Fundamental law of Hungary. Therefore, it can obviously have an impact on the data subjects’ right to privacy, right to family life, right to respect for one’s home and correspondence, and equally the right to protect one’s good reputation. It follows from this observation that the controller must examine as part of the balancing of interests the potential claims of the data subjects. This is carried out in the course of the preliminary balancing of interests, and it is also to be taken into account that the processing of personal data must be as limited in time as possible and these personal data must be accessible to the smallest group of persons.
[93] A Charta a személyes adatok védelmének deklarálásával közös európai hivatkozási alapot teremtett azáltal, hogy a 8. cikk (1) bekezdése - az EUMSz 16. § (1) bekezdésével egyezően - rögzíti, mindenkinek joga van a rá vonatkozó személyes adatok védelméhez.
[133] A GDPR [153] preambulum bekezdése szerint a tagállamok jogának össze kell egyeztetnie a véleménynyilvánítás és a tájékozódás – ideértve az újságírói, a tudományos, a művészi, illetve az irodalmi kifejezés – szabadságára vonatkozó szabályokat a személyes adatok védelmére vonatkozó, e rendelet szerinti joggal. Helyénvaló, hogy a kizárólag a személyes adatoknak az újságírás, a tudományos, a művészi vagy az irodalmi kifejezés céljából végzett kezelése eltérés tárgyát képezze vagy mentesüljön az e rendelet egyes rendelkezéseiben szereplő követelmények alól, ha ez ahhoz szükséges, hogy a személyes adatok védelméhez való jogot a véleménynyilvánítás szabadságához és tájékozódáshoz való joggal összeegyeztessék, amelyet a Charta 11. cikke biztosít. Ez alkalmazandó különösen a személyes adatok audiovizuális területen, valamint a hírarchívumokban és sajtókönyvtárakban történő kezelésére. Következésképpen a tagállamok jogalkotási intézkedések elfogadásával határozzák meg az ezen alapvető jogok közötti egyensúly érdekében a szükséges kivételeket és eltéréseket. A tagállamok kivételeket és eltéréseket fogadnak el az általános elvek, az érintett jogai, az adatkezelő és adatfeldolgozó, a személyes adatoknak harmadik országokba vagy nemzetközi szervezetek részére történő továbbítása, a független felügyeleti hatóságok, az együttműködés és az egységes alkalmazás, illetve az egyedi adatkezelési helyzetek tekintetében. Ha ezek a kivételek vagy eltérések a tagállamok között különböznek, az adatkezelőre alkalmazandó tagállami jogot kell alkalmazni. A véleménynyilvánítás szabadságához való jog minden demokratikus társadalomban fennálló jelentőségének figyelembevétele érdekében az e szabadsághoz tartozó olyan fogalmakat, mint az újságírás, tágan kell értelmezni.
[158] Megjegyzi a Kúria, az I. rendű felperes azon felülvizsgálati érve, hogy a Charta 8. cikkét kibontó GDPR nem ronthatja le a sajtószabadság védelmi szintjét téves, mivel a Charta a korábban kifejtettek szerint védi a magánélethez való jogot és kiemelten a személyes adatokat. Alapjogok konkurálnak egymással, a kollíziót fel kell oldani. Mindemellett a jogos érdek mint jogalap jelen esetben nem korlátozza a sajtószabadságot, a megfelelő eljárás lefolytatását követően az I. rendű felperesnek lehetősége van jogszerű adatkezelést végeznie. A tevékenysége nem lehetetlenül el.
[159] A GDPR [4] preambulum bekezdés értelmében a személyes adatok védelméhez való jog nem abszolút jog, azt az arányosság elvével összhangban, a társadalomban betöltött szerepének függvényében kell figyelembe venni, egyensúlyban más alapvető jogokkal. Ez a rendelet minden alapvető jogot tiszteletben tart, és szem előtt tartja a Chartában elismert és a Szerződésekben rögzített szabadságokat és elveket, különösen ami a magán‑ és a családi élet, az otthon és a kapcsolattartás tiszteletben tartásához és a személyes adatok védelméhez, a gondolat‑, a lelkiismeret‑ és a vallásszabadsághoz, a véleménynyilvánítás szabadságához és a tájékozódás szabadságához, a vállalkozás szabadságához, a hatékony jogorvoslathoz és a tisztességes eljáráshoz, és a kulturális, vallási és nyelvi sokféleséghez való jogot illeti.
[160] Valamennyi adatkezelés az érintett információs önrendelkezési jogára hatással van, mivel annak körülményeit az adatkezelő alakítja ki. Mind a Chartában, mind az EUMSz-ben, mind pedig Magyarország Alaptörvényében rögzített jogot vagy szabadságot érinthet. Így az egyértelműen hatással lehet az érintettek magánszférához való jogára, a családi élet, az otthon és a kapcsolattartás tiszteletben tartásához való jogára, de ugyanúgy akár a jóhírnév védelméhez fűződő jogra is. Ebből fakadóan az érdekmérlegelés körében az adatkezelőnek fel kell térképeznie, hogy milyen elvárásokat támaszthat az érintett az adatkezeléssel szemben. Ez valósul meg az előzetes érdekmérlegelés során, valamint további figyelembe veendő körülmény, hogy a személyes adatok kezelésére a lehető legrövidebb ideig kerüljön sor és ezen személyes adatokhoz csak a legszűkebb személyi kör férjen hozzá.
