A hatóság megállapította, hogy a kiadó három internetes hírportálja megfelelő jogalap nélkül tette közzé annak a honlapnak az elérhetőségét, amely egy interaktív térképen keresztül csaknem kétszázezer, a Tisza Párthoz köthető érintett személyes és különleges adatát hozta nyilvánosságra.
A NAIH 2026. május 19-én hozott határozatának előzménye, hogy 2025. november 7-én egy ismeretlen személy olyan honlapot hozott nyilvánosságra, amelyen egy interaktív térkép segítségével bárki kereshetett a Tisza Párthoz köthető érintettek adatai között. A felületen közel kétszázezer ember neve, lakcíme, telefonszáma, e-mail-címe, valamint a lakcímük geolokációs koordinátája vált megismerhetővé. Mivel az adatokat egy politikai párthoz kapcsoltan publikálták, a térkép alapján következtetést lehetett levonni az érintettek politikai véleményére is, ami az általános adatvédelmi rendelet (GDPR) értelmében különleges adatnak minősül.
A Mediaworks még a honlap indulásának napján, 2025. november 7-én három hírportálján (Origo, Magyar Nemzet, Ripost) olyan cikkeket jelentetett meg, amelyek hozzáférést biztosítottak a jogsértő adatbázishoz. Az Origo és a Magyar Nemzet közvetlen hivatkozást (linket) helyezett el a szövegben, míg a Ripost a térkép URL-címét tartalmazó képpel illusztrálta az írását.
A Mediaworks az eljárás során azzal védekezett, hogy a közzététel a GDPR szerinti jogos érdek jogalapján alapult. Érvelésük szerint a sajtó- és véleménynyilvánítás szabadsága, valamint a nyilvánosság tájékoztatása indokolta a lépést, mivel a Tisza Párt adatkezelési botrányai széles körű közérdeklődésre számot tartó közéleti vitát képeztek, és az adatbázisban szereplők maguk is e vita résztvevői.
A NAIH azonban elutasította ezt az érvelést. A hatóság hangsúlyozta: a jogos érdek jogalapjának alkalmazásához három együttes feltételnek (a jogos érdek fennállása, az adatkezelés szükségessége és arányossága) kell teljesülnie, ám a Mediaworks esetében már az első, a jogszerű jogos érdek sem volt megállapítható.
A Hatóság kimondta: egy politikai párt szimpatizánsainak tömeges név-, lakcím-, telefon- és e-mail-listája, valamint geolokációs koordinátái nem minősülnek közérdeklődésre számot tartó eseménynek, így az ezekhez való hozzáférés biztosítása sem tekinthető a nyilvánosság jogszerű tájékoztatásának.
