What changed

Ügyszám: NAIH/2019/3107/7.

alkalmazni. A GDPR jelen ügyben releváns rendelkezései a következők:

kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12–22. cikknek megfelelően.

rendelkezésekben foglalt kiegészítésekkel kell alkalmazni.

## Infotv. 61. § (6) bekezdés: A határozat megtámadására nyitva álló keresetindítási határidő

cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

gazdasági tevékenység keretében, pénzügyi eszközre vonatkozóan végzett a) megbízás felvétele és továbbítása, b) megbízás végrehajtása az ügyfél javára, c) sajátszámlás kereskedés, d) portfóliókezelés, e) befektetési tanácsadás, f) pénzügyi eszköz elhelyezése az eszköz (értékpapír vagy egyéb pénzügyi eszköz) vételére vonatkozó kötelezettségvállalással (jegyzési garanciavállalás), g) pénzügyi eszköz elhelyezése az eszköz (pénzügyi eszköz) vételére vonatkozó kötelezettségvállalás nélkül, és h) multilaterális kereskedési rendszer működtetése, i) szervezett kereskedési rendszer működtetése.

Bszt. 44. § (1) bekezdése alapján, ha befektetési tanácsadási vagy portfóliókezelési szolgáltatást nyújt az ügyfelének. Befektetési tanácsadás nyújtása vagy portfóliókezelés hiányában azonban az alkalmassági tesztben megadott személyes adatok kezelése már nem a Bank jogi kötelezettsége, így a premium és private ügyfelei alkalmassági tesztben megadott adatait a Bank a jogos érdeke alapján kezeli.

(34) Ezen jogos érdek érvényesítésére hivatkozással végzett adatkezelés kapcsán a Hatóság kiemeli, hogy az ügyfélbesorolás, valamint a befektető-alapú és befektetés alapú tanácsadás irányelveiről szóló […] számú vezérigazgatói utasítás B.3.1. pontja szerint a Bank a befektetési tanácsadási és portfóliókezelési szolgáltatást igénybe nem vevő ügyfelek számára csak a megfelelési teszt kitöltését írja elő. A fenti vezérigazgatói utasítás nem aszerint határolja el, hogy melyik ügyfélnek kell megfelelési és melyik ügyfélnek alkalmassági és megfelelési tesztet is kitöltenie, hogy mass, premium vagy private kategóriába tartozik, hanem, hogy milyen szolgáltatást vesz igénybe.

(66) A Hatóság álláspontja szerint, ha a Bank a Bszt.-ben támasztott befektetővédelmi követelményeknél magasabb szinten kívánja biztosítani az ügyfelei védelmét, az méltányolható érdek lehet, azonban ahhoz pontosan meg kell határoznia a nyújtani kívánt biztonság szintjét, azt, hogy az hogyan és milyen módon érhető el, és bizonyítania kell, hogy ezen érdek érvényesülését hogyan és milyen módon szolgálja az adatkezelés. A Bank az érdekmérlegelési teszt szükségességi részében nem támasztotta alá, hogy az adatkezelés szükséges a prudens működése biztosításához, és miért biztosítható az adatkezelés folytatásával jobban a prudens működés, mint az adatkezelés hiányában.

(68) Az, hogy a Bankba vetett közbizalom csökkenne, amennyiben a Bank nem kezelné a kizárólag advisory szolgáltatást igénybe vevő premium és private besorolású ügyfelei alkalmassági tesztben megadott személyes adatait, távoli és eshetőleges veszély, amelynek elkerülésére való törekvés nem teszi szükségessé a személyes adatok kezelését.

Dr. Péterfalvi Attila elnök c. egyetemi tanár