What changed

## I. 1. A Hatóság a határozatában a Kérelmező kérelmének részben helyt ad és

## I.2.1. megállapítja, hogy a Kérelmezett és az Ügyfél megsértette

a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) 12. cikk (1) bekezdését, mivel nem adott megfelelő előzetes tájékoztatást a Kérelmezőnek, valamint a GDPR 5. cikk (1) bekezdés c) pontját a Kérelmező állampolgárságának, okmányazonosító számának, címének és telefonszámának kezelése vonatkozásában, továbbá I.2.2. megállapítja, hogy a Kérelmezett megsértette a GDPR 5. cikk (2) bekezdését, mivel a Kérelmező személyes adatai kezelésére vonatkozó jogos érdekének elsőbbségét megfelelő érdekmérlegeléssel nem igazolta, továbbá I.3. kötelezi a Kérelmezettet, hogy a jelen határozat véglegessé válásától számított 15 napon belül igazolja, hogy törölte a Kérelmező személyes adatait a követeléskezelési célú nyilvántartásból az [….] Járásbíróság […] számú jogerős ítéletére tekintettel, és csak a jelen adatvédelmi hatósági eljárással összefüggésben kezeli azokat.

* * * A jelen határozattal és végzéssel szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. A Hatóság felhívja a Kérelmezett és az Ügyfél figyelmét, hogy a határozat megtámadására nyitva álló keresetindítási határidő lejáratáig, illetve közigazgatási per esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

1 A közigazgatási per kezdeményezésére a NAIH_KO1 elnevezésű űrlap szolgál: NAIH KO1 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata

(57) A megtekintési tanúsítványon feltüntetett adatok rögzítése, tárolása és azok továbbítása is az általános adatvédelmi rendelet 4. cikk 2. pontja alapján adatkezelésnek tekinthető. A jelen adatvédelmi hatósági eljárásban a Hatóság külön megvizsgálta ezen személyes adatok rögzítésével, és külön ezen személyes adatok Kérelmezett által követeléskezelési célból történő továbbításával kapcsolatos adatkezelést. Az utóbbi adatkezelési művelet tekintetében a IV.2. pontban tett a Hatóság megállapításokat.

(60) A Hatóság véleménye szerint a fenti tájékoztatás meglehetősen ellentmondásos, továbbá az is ellentmondásos, hogy az Ügyfél határoz meg minden formanyomtatványt, tehát a Kérelmezettnek abba nincs beleszólása, ugyanakkor mégis önálló adatkezelő minden tekintetben. (61) Az Európai Adatvédelmi Testület 07/2020. sz. iránymutatása (a továbbiakban: Iránymutatás), mely az adatkezelő és az adatfeldolgozó GDPR szerinti fogalmáról szól, továbbá részletezi azt, hogy mely esetben beszélhetünk közös adatkezelésről. Az Iránymutatás 3. oldalán a közös adatkezelés lényegének összefoglalásával kapcsolatban a következő olvasható: „[…] Fontos szempont, hogy az adatkezelés nem lehetséges két fél részvétele nélkül abban az értelemben, hogy az egyes felek által végzett adatkezelések elválaszthatatlanok, azaz kibogozhatatlanul összekapcsolódnak. A közös részvételnek magában kell foglalnia egyrészt a célok, másrészt az eszközök meghatározását. […]” (62) A Kérelmezett nem tekinthető önálló adatkezelőnek, ugyanakkor a Kérelmezett és az Ügyfél közös adatkezelőnek sem tekinthető a megtekintési tanúsítvánnyal összefüggő adatkezelés tekintetében, mivel az Ügyfél határozta meg annak az adattartamát, továbbá az Ügyfél által elkészített Adatkezelési tájékoztatóban írtak szerint történik azzal kapcsolatban az adatkezelés. Ez következik a franchise rendszer működési elveiből is, ugyanis ennek keretében a Kérelmezett tevékenységének minden aspektusát – és ahhoz kapcsolódó adatkezelést – részletesen szabályoznak. A franchise rendszer keretében használt dokumentumok, így a megtekintési tanúsítvány is utalást tartalmaz a franchise rendszerre, tehát arra, hogy az Ügyfél által meghatározottak szerint folytatják a tevékenységüket a partnerek. A megtekintési tanúsítvány formanyomtatvány az Ügyfél nevét, és logóját tartalmazza, a franchise partnerek neve csak annyiban szerepel rajta, hogy az ügyfél arról nyilatkozik, hogy XY Ingatlanügynökség közvetítésével szerzett tudomást az ingatlanról. A megtekintési tanúsítvány nem jogszabályok által előírt dokumentum, annak kialakítása, tartalma kizárólag az adatkezelő, jelen esetben az Ügyfél döntése. (63) A (NAIH-3772-7/2022.sz. irat mellékleteként) becsatolt franchise szerződés 11.6. pontja alapján az Ügyfél törölhet adatokat rendszeréből, melyhez a Kérelmezettnek hozzáférést biztosít, és melybe a Kérelmezett adatokat vihet fel. (64) Az Iránymutatás 4. oldalán a következők is olvashatók: „[…]Az adatfeldolgozónak való minősítésnek két alapvető feltétele van: az adatkezelőtől elkülönült szervezet, és az adatkezelő nevében kezeli a személyes adatokat. Az adatfeldolgozó az adatkezelő utasításaitól eltérő módon nem dolgozhatja fel az adatokat. Az adatkezelő utasításai továbbra is bizonyos fokú mérlegelési lehetőséget adnak arra vonatkozóan, hogy miként képviselhetők a legjobban az adatkezelő érdekei, ami lehetővé teszi az adatfeldolgozó számára, hogy a legmegfelelőbb technikai és szervezési intézkedéseket válassza ki. […]” A Kérelmezett tulajdonképpen az Ügyfél nevében kezeli az adatokat, mivel azokkal kapcsolatban semmilyen adatkezelői döntést nem hozhat, kivéve a megbízási díj behajtásáról való döntést. Erről ugyanis a Kérelmezett döntött, és továbbította az ügyvédjének a Kérelmező személyes adatait a követelése érvényesítése érdekében. A Kérelmezett tehát a díjat a saját nevében érvényesíti, ez a Kérelmezett követelése. A jelen esetben az elkülönült szervezet, mint kritérium is fennáll, mivel az Ügyfél és a Kérelmezett két külön jogi személy. Ebben a tekintetben tehát a Kérelmezett jelen esetben önálló adatkezelő. Ez azonban nem minden esetben van így az Adatkezelési tájékoztató 4.4. pontjában, a jelen határozat (33) bekezdésében írtak alapján. (65) A fentiek miatt a Hatóság az Ügyfelet adatkezelőnek, a Kérelmezettet adatfeldolgozónak tekinti a Kérelmező megtekintési tanúsítványon rendelkezésre bocsátott adatai kezelése, rögzítése tekintetében, azon időszak vonatkozásában, amíg a Kérelmezett az adatok további, egyéb célú felhasználásáról önállóan nem dönt, tehát követeléskezelési célból nem kezeli azokat. Ezen személyes adatokon végzett további adatkezelési művelet, azaz ezen személyes adatok követeléskezelési célú kezelése (tárolása, továbbá […] Járásbíróságra történő továbbítása – peres eljárással összefüggésben -) más megítélés alá esik a IV.2. pontban kifejtetteknek megfelelően. IV.2. A