Hungarian Data Protection Authority: processing of a telephone number used by an individual

Ügyszám: NAIH/2020/2555. Tárgy: kérelemnek részben helyt adó határozat,

Előzmény: NAIH/2019/3261. eljárást részben megszüntető végzés

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] kérelmező (a továbbiakban: Kérelmező) kérelmére a […] -vel (a továbbiakban: Kötelezett) szemben a Kérelmező használatában levő telefonszám, továbbá a Kérelmező lakcímadatának és e-mail címének jogellenes kezelése tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza: I. A Hatóság a határozatában a Kérelmező kérelmének arra irányuló részében, hogy a Hatóság állapítsa meg a […] telefonszám jogellenes kezelését helyt ad és megállapítja, hogy a Kötelezett nem tett eleget a pontosság elvében megfogalmazott kötelezettségének, továbbá a Kötelezett megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését. II. A Hatóság határozatában a Kérelmező kérelmének arra irányuló részét, hogy a Hatóság állapítsa meg a Kérelmező lakcímadatának, továbbá e-mail címének jogellenes kezelését elutasítja. III. A Hatóság a Kötelezettet hivatalból az általa végzett jogellenes adatkezelés miatt

300.000 Ft, azaz háromszázezer forint adatvédelmi bírság megfizetésére kötelezi.

Az adatvédelmi bírságot a bírósági felülvizsgálat kezdeményezésére irányadó keresetindítási határidő lejártát, illetve felülvizsgálat kezdeményezése esetén a bíróság döntését követő 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2019/3261. BÍRS. számra kell hivatkozni.

Ha a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását, a bírság és a késedelmi pótlék adók módjára történő behajtását. A bírság és a késedelemi pótlék adók módjára történő behajtását a Nemzeti Adó- és Vámhivatal végzi. IV. A Hatóság a végzésében a Kérelmező telefonszáma törlésének elrendelésére irányuló részében indult adatvédelmi hatósági eljárást megszünteti.

V. A Hatóság tekintettel arra, hogy túllépte az ügyintézési határidőt, 10.000 Ft-ot, azaz tízezer forintot a Kérelmezőnek – választása szerint – bankszámlára utalással vagy postai utalvánnyal megfizet. A hatósági eljárás során eljárási költség nem merült fel, ezért annak viseléséről nem rendelkezett a Hatóság.

A Hatóság I., II., III. pontban foglalt határozatával és a IV., V. pontban foglalt végzésével szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

INDOKOLÁS

I. Az eljárás menete és a tényállás tisztázása

A Kérelmező 2019. március 29. napján beadványt nyújtott be, melyben adatvédelmi hatósági eljárás lefolytatását kezdeményezte. A kérelemben előadottak szerint a Kötelezett megbízottja által 2019.02.12. napján került kézbesítésre egy […] ügyiratszámú fizetési felszólítás a Kérelmező lakcímére. A dokumentumot a Kérelmező férje vette át, aki tájékoztatta a képviselőt arról, hogy a felszólítás címzettje több éve életvitelszerűen külföldön tartózkodik. A Kérelmező férje tájékoztatta arról is a képviselőt, hogy szkennelve, e-mailben el tudja az adós számára küldeni a felszólítást, más lehetőség nem áll rendelkezésre. A fentiekben említett dokumentum átvételének napján a Kérelmező telefonon beszélt a dokumentumot átadó, a Kötelezettet képviselő személlyel, akivel a Kérelmező közölte, hogy a követelést maximum 2-3 napon belül ki fogja egyenlíteni a megadott számlaszámra és a pénzösszeget a Kérelmező fogja személyesen befizetni. A Kötelezett megbízottja a telefonos megbeszélés alkalmával nem közölte a Kérelmezővel azt, hogy a telefonos beszélgetés, illetve a neve és a telefonszáma rögzítésre kerül-e, és arról sem tájékoztatta, hogy esetleg a későbbiekben ügyfélként fogják kezelni. A Kérelmező a Kötelezett által követelt tartozást 2019. 02.13-án befizette. A Kérelmező 2019.02.15én kapott a Kötelezettől egy SMS értesítést a telefonjára, amelyben az […] iktatószámra hivatkozva tartozást közöltek, amelynek elmaradása esetén végrehajtást helyeztek kilátásba. Ezt követően több SMS váltás történt, amelyben a Kérelmező jelezte a befizetés megtörténtét, azonban erre újabb és újabb felszólítások érkeztek. Az SMS-ek szövegei az adós nevét nem tartalmazták, és a megszólításban sem neveztek meg konkrét személyt. A kérelemhez a Kérelmező az alábbi iratokat mellékelte másolatban:

a Kötelezett 2019.01.31. napján […]-nak , […] sz. címre írt levele, - […] részére a Kérelmező által 2019.02.13. napján teljesített befizetés befizetési pénztárbizonylata, a [..] telefonszámra a Kötelezettől érkezett fizetési felszólítás és levelezés (2019. február 15., 16., 26., március 13. napja), […] panaszkezelési szabályzata, - Kérelmező által [..] e-mail címre – 2019. február 16. napján - küldött személyes adatai törlésére vonatkozó érintetti kérelme, mellékelve az ezzel kapcsolatos -érintetti kérelmét tartalmazó - pdf nyomtatvány, - 2019. 02.16. napján a Kérelmező férje részére kiállított meghatalmazás, mely szerint eljárhat a Kérelmező nevében a Kötelezett [..] számú ügyeiben. A kérelem tartalma nem felelt meg az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) Infotv. 60. § (5) bekezdésben előírtaknak, ezért a Hatóság hiánypótlásra hívta fel a Kérelmezőt, melynek a Kérelmező határidőben eleget tett. A Kérelmező előadta, hogy az általa kifogásolt „SMS feladójaként a […] szerepel”, továbbá tájékoztatta a Hatóságot arról, hogy az általa használt […] telefonszám a […] előfizetéséhez tartozik, melyet képviselőként a Kérelmező jogosult használni. Állítását a […] számlájának másolatával igazolta. A Kérelmező továbbá becsatolt egy olyan számlamásolatot is, mely szerint a […] mint számlaadó továbbszámlázta a telefondíjat a Kérelmező számára. A Kérelmező a nyilatkozatában kérte, hogy a Hatóság állapítsa meg a Kötelezett jogellenes adatkezelésének tényét, és utasítsa a Kötelezettet a személyes adatai (telefonszám, e-mail cím, lakcím) törlésére. A Hatóság felhívására a Kötelezett nyilatkozott, hogy a Kérelmező személyes adatait nem kezeli, csak a sérelmezett telefonszámot rögzítették a nyilvántartásukban, melyet a Kérelmező közölt a Kötelezettel azzal együtt, hogy mivel az adós tartósan külföldön tartózkodik, ezért ezen a telefonszámon tudják probléma esetén elérni őt, mint kapcsolattartót. A […] telefonszámot a Kötelezett a rendszerében nem a Kérelmezőhöz, hanem az ügyfeléhez, azaz az általa behajtani kívánt követelés adósához rögzítette, aki a Kérelmezőtől eltérő személy. A Kérelmező a Kötelezetthez 2019. február 16. napján küldött levelet, melyben adatkezelési tájékoztatást kért és kérte a személyes adatai törlését. A Kötelezett nyilatkozata szerint a sérelmezett telefonszámot 2019.03.23. napján törölték a rendszerükből. A Kötelezett azon nyilatkozatát, miszerint a telefonszámot nem a Kérelmezővel összefüggésben tárolta, támasztja alá a Kötelezett […] telefonszámra küldött SMS üzeneteinek másolata is, mivel abban nincs utalás a Kérelmező nevére, csak egy iktatószámra, mely az ügyfele ügyének azonosítására szolgál. A Kötelezett által becsatolt iratok tanúsága szerint az SMS üzenetekben szereplő ügyazonosító nem a Kérelmező, hanem a Kérelmező rokonának […] ügyéhez köthető. Mivel a Kötelezett úgy nyilatkozott, hogy a „sérelmezett telefonszám – mint kapcsolattartásra Kérelmező által megadott szám – a rendszerünkben az Ügyfélhez került rögzítésre”, ezért a Hatóság felhívta a Kötelezettet arra, hogy hangfelvétellel vagy egyéb módon igazolja a Kérelmező hozzájárulásának fennálltát a törlés megtörténtéig tartó időszakra vonatkozóan. A Kötelezett a Hatóság felhívására nem tudta igazolni a rendszerében rögzített telefonszámmal kapcsolatos érintetti hozzájárulás meglétét.

II. Az ügyben alkalmazandó jogszabályok

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: általános adatvédelmi rendelet) 2. cikk (1) bekezdése szerint a rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak az adatoknak a nem automatizált kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít.

Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) rendelkezéseit kell alkalmazni az Infotv-ben meghatározott eltérésekkel.

Az Ákr. 36. § szerint a kérelem az ügyfél olyan írásban vagy személyesen előterjesztett nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében. Az Infotv. 60. (2) bekezdése szerint az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében meghatározott esetben nyújtható be. Az általános adatvédelmi rendelet 77. cikk (1) bekezdése szerint minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti az általános adatvédelmi rendeletet.

Az Ákr. 47. § (1) bekezdés c) pont alapján a hatóság az eljárást megszünteti, ha az eljárás okafogyottá vált.

Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.

Az általános adatvédelmi rendelet 4. cikk 2. pontja alapján „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.

Az általános adatvédelmi rendelet 5. cikk (1) bekezdés d) pontja alapján a személyes adatoknak pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság”).

Az általános adatvédelmi rendelet 11. cikk (2) bekezdés alapján ha az e cikk (1) bekezdésében említett esetekben az adatkezelő bizonyítani tudja, hogy nincs abban a helyzetben, hogy azonosítsa az érintettet, erről lehetőség szerint őt megfelelő módon tájékoztatja. Ilyen esetekben a 15-20. cikk nem alkalmazandó, kivéve, ha az érintett abból a célból, hogy az említett cikkek szerinti jogait gyakorolja, az azonosítását lehetővé tevő kiegészítő információkat nyújt.

Az általános adatvédelmi rendelet 12. cikk (2) bekezdés alapján az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani.

Az általános adatvédelmi rendelet 12. cikk (3) bekezdés alapján az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri.

Az általános adatvédelmi rendelet 15. cikk (1) bekezdés alapján az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:

a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;

d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;

f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ;

h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár.

Az Infotv. 38. § (2) bekezdés alapján a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése.

Az Ákr. 27. § (1) bekezdés alapján a hatóság jogosult az ügyfél és az eljárás egyéb résztvevője természetes személyazonosító adatainak és az ügyfajtát szabályozó törvényben meghatározott személyes adatok, továbbá - ha törvény másként nem rendelkezik - a tényállás tisztázásához elengedhetetlenül szükséges más személyes adatok megismerésére és kezelésére. A kérelemre induló eljárásban vélelmezni kell, hogy a kérelmező ügyfél a tényállás tisztázásához szükséges személyes adatok - ideértve a különleges adatokat is - kezeléséhez hozzájárulást adott.

III. Döntés:

III.1. A […] telefonszám személyes adatként történt kezelésének kérdése A Kérelmező nyilatkozata alapján a […] telefonszám előfizetője nem a Kérelmező, hanem a [..], a Kérelmező viszont a használója ennek a telefonszámnak. Az általános adatvédelmi rendelet 2. cikk (1) bekezdés alapján a rendelet olyan adatkezelésre, adatfeldolgozásra terjed ki, amely természetes személy adataira vonatkozik.

A nemzetiségek jogairól szóló 2011. évi CLXXIX. törvény 2. § 2. pont alapján […] jogi személyiséggel rendelkező szervezet, tehát az előfizetési szerződéséhez kapcsolódó telefonszám alapján közvetlen módon nem természetes személy azonosítható. Tekintettel arra azonban, hogy a jogi személy által előfizetett telefonszám a Kérelmezőhöz köthető, mivel képviselőként ő a használója, hívás kezdeményezése és fogadása során közvetlenül vele létesíthető kapcsolat, illetve jelen esetben a Kérelmezettel való kapcsolatfelvétel során ezt a telefonszámot használta és a személyével egyértelműen kapcsolatba hozható, így az ő személyes adatának tekinthető az általános adatvédelmi rendelet 4. cikk 1. pontja alapján. III.2. Pontosság elve Az adatkezelő intézkedéseinek elő kell segítenie a pontosság elvének érvényesülését, és meg kell akadályoznia a pontatlan adatok felhasználását. A fentiekre figyelemmel a Kérelmező használatában levő telefonszámnak, a Kötelezett ügyfele telefonszámaként történt rögzítése és az ügyfélnek címzett sms-ek a Kérelmező telefonszámára való küldése nem volt az általános adatvédelmi rendelet 5. cikk (1) bekezdés d) pontja alapján jogszerű, mivel a Kötelezett munkatársa az adat rögzítésekor tudta, hogy az általa rögzített telefonszám nem az ügyfeléé és nem az ügyfél az adat forrása. A Hatóság a Kérelmező és a Kötelezett nyilatkozataiból megállapította, hogy a Kérelmező telefonszámának a Kötelezett ügyfele adataként való rögzítésére anélkül került sor, hogy a Kérelmező a Kötelezett ügyfelének képviseletében való eljárásra, nyilatkozattételre jogosult lett volna, ugyanis a Kérelmező eljárását lehetővé tevő meghatalmazással nem rendelkezett. A fentiek alapján a Hatóság megállapította, hogy a Kötelezett megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés d) pontját. III.3. A Kérelmező személyes adatának kezeléséhez szükséges megfelelő tájékoztatáson alapuló, egyértelmű, önkéntes és konkrét hozzájárulás meglétének bizonyítása Az általános adatvédelmi rendelet (32) preambulumbekezdés a hozzájáruláson alapuló adatkezeléshez előírja, hogy az egyértelmű megerősítő cselekedettel, önkéntes, konkrét, tájékoztatáson alapuló hozzájárulással történjen, melyet az adatkezelőnek az általános adatvédelmi rendelet 7. cikk (1) bekezdése, továbbá 5. cikk (2) bekezdése alapján igazolnia is tudnia kell. A Kötelezett munkatársa a Kérelmező személyes adatának gyűjtésekor (vele folytatott telefonbeszélgetés során) tudatában volt annak, hogy a Kérelmező személyes adatát kezeli, gyűjti, ezért a személyes adat felvételéhez hozzájárulást kellett volna kérnie a Kérelmezőtől, és ezen jogalap fennálltát utólag tudnia kellett volna bizonyítani. Azonban a Kötelezett – a Hatóság felhívása ellenére - nem bocsátott a Hatóság rendelkezésére olyan hanganyagot vagy dokumentumot, mellyel alátámasztotta volna a hozzájárulás meglétét. Így az általános adatvédelmi rendelet (32) preambulumbekezdésben és a 7. cikkben előírt követelményeknek történt megfelelést nem igazolta a törlés megtörténtéig tartó időszakra vonatkozóan. A fentiek alapján a Hatóság megállapította, a Kötelezett nem igazolta azt, hogy a Kérelmező személyes adatának kezeléséhez rendelkezett a Kérelmező hozzájárulásával, tehát hozzájárulás jogalap hiányában rögzítette a rendszerében a telefonszámot, amivel megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését. III.4. A Kérelmező Kötelezetthez benyújtott hozzáférési és adattörlési kérelme

A Kérelmező a hozzáférési és az adattörlési kérelmét is 2019. február 16. napján nyújtotta be a Kötelezetthez. A Kötelezett az általános adatvédelmi rendelet 12. cikk (3) bekezdésben meghatározott határidőn belül, az általános adatvédelmi rendelt 15. cikk (1) bekezdésének megfelelően 2019. március 07-én elektronikus úton tájékoztatta arról, hogy a nevén nem tartanak nyilván követelést és a hivatkozott számú ügyről harmadik személynek nem nyújthat tájékoztatást. A Kötelezett által becsatolt iratok tanúsága szerint az SMS üzenetekben szereplő ügyazonosító nem a Kérelmező, hanem a Kérelmező rokonának […] ügyéhez köthető. A Kérelmező a Kötelezett nyilvántartásában ügyfélként és meghatalmazottként sem szerepelt. Az általános adatvédelmi rendelet 12. cikk (2) bekezdése alapján az adatkezelő az érintett adattörlési kérelmének teljesítését megtagadhatja, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. A Kötelezett az eljárás során akként nyilatkozott, hogy nem volt abban a helyzetben, hogy a Kérelmezőt a nyilvántartásában azonosítsa, így a törlési kérelmét csak az azonosítását lehetővé tevő kiegészítő információ 2019. március 07-én történt közlését követően teljesítette. Tekintettel arra, hogy a Kötelezett a pontosság elvét megsértve a Kérelmező használatában levő telefonszámot az ügyfeléhez rögzítette, ezért a Kérelmező törlési kérelmét nem tudta a kiegészítő információk közlése nélkül teljesíteni, mivel nem tudta azonosítani. A kiegészítő információk rendelkezésére bocsátása után törölte a Kötelezett a személyes adatot a nyilvántartásából. A fentiekből kifolyólag a Kötelezett nem sértette meg az általános adatvédelmi rendelet 15. cikk (1) bekezdését, mivel a kapcsolattartási célból közölt telefonszám adatot nem a Kérelmezőre vonatkozó személyes adatként kezelte, azonban a - III.2. pontban tett megállapításokra figyelemmel – a Kötelezettnek észlelnie kellett volna, hogy nem az ügyfele adatairól van szó, hanem olyan személy adatairól, aki nem adósként került kapcsolatba a Kötelezettel. Az általános adatvédelmi rendelet 11. cikk (2) bekezdésben írtakat a Kötelezett betartotta, továbbá a pontatlan adatot a nyilvántartásából törölte. III.5. A telefonszám törlésének kötelezésére irányuló kérelem A Hatóság a kérelemnek a telefonszám törlésére irányuló részében az Ákr. 47. § (1) bekezdés c) pontja alapján az eljárást megszünteti, mivel az eljárás okafogyottá vált, a Kötelezett a kifogásolt adatkezelést már nem folytatja. A telefonszám a Kötelezett nyilatkozata és nyilvántartása képernyőképének tanúsága szerint 2019. 03.23-án, tehát az adatvédelmi hatósági eljárás megindulását megelőzően törlésre került. III.6. Kérelmező lakcím és e-mail cím adatának jogellenes kezelése A Kötelezett nyilatkozata szerint a Kérelmező személyes adatai közül kizárólag a […] telefonszámot rögzítette a nyilvántartásában. A Kérelmező nyilatkozata és az általa becsatolt képernyőmentések és a Kötelezettel folytatott kizárólag elektronikus úton történt – levelezésből azt állapította meg a Hatóság, hogy a Kötelezett kizárólag a Kérelmező telefonszámadatát kezelte jogellenesen, mivel nem a Kérelmezőnek címezte a fizetési felszólítást, hanem a közös lakcímre korábban bejelentett ügyfelének. Ezt támasztja alá a Kérelmező azon nyilatkozata is, miszerint a Kérelmező férje átvette a Kötelezett ügyfelének címzett levelet, és az átvételi igazolásra „sógor” megjegyzést tüntetett fel, továbbá jelezte, hogy a Kötelezett ügyfele életvitelszerűen külföldön él. A Kötelezett és Kérelmező nyilatkozataiból, továbbá a Kérelmező állításait alátámasztó képernyőmentésekből az állapítható meg, hogy ezt követően az ügyfele tartozásával kapcsolatban kizárólag SMS-ben küldött értesítést a Kötelezett a Kérelmező részére. A Kérelmező e-mail címére a becsatolt iratok tanúsága szerint a Kötelezett csak a Kérelmező érintetti kérelmeire küldött válaszleveleket. A fentiek alapján a Hatóság megállapította, hogy a Kérelmező lakcímadatát és e-mail címét nem kezelte jogellenesen a Kötelezett. III.7. Jogkövetkezmények A Hatóság a Kérelmező kérelmének részben helyt ad és az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kötelezettet, mert az adatkezelési tevékenysége megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés d) pontját és az általános adatvédelmi rendelet 6. cikk (1) bekezdését. A fenti jogsértések miatt jogkövetkezmény megállapítása vált szükségessé, amelyet a Hatóság jogszabályon alapuló mérlegelési jogkörben eljárva határozott meg. A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kötelezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság a bírság kiszabása során az alábbi tényezőket vette figyelembe:

- A jogsértés közepesen súlyos, mert a Kötelezett alapelvi jogsértést is megvalósított a jogellenes adatkezelésével. (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont)

- A jogalap nélküli adatkezelés által okozott jogsérelmet a Kötelezett gondatlan magatartása, adatkezelési gyakorlata idézte elő. (általános adatvédelmi rendelet 83. cikk (2) bekezdés b) pont)

- A Hatóság enyhítő körülményként értékelte azt, hogy a Kötelezett a hatósági eljárás kezdeményezése előtt, a Kérelmező kérelmére – a szükséges azonosítás után – törölte a telefonszámát a rendszeréből. (általános adatvédelmi rendelet 83. cikk (2) bekezdés c) pont)

- A Kötelezett elmarasztalására az általános adatvédelmi rendelet megsértése miatt még nem került sor. (általános adatvédelmi rendelet 83. cikk (2) bekezdés e) és i) pont)

- A Kötelezett 2018. évi eredménykimutatása alapján az adózás előtti eredménye 23 000 000 Ft volt. A kiszabott adatvédelmi bírság nem lépi túl a kiszabható bírság maximumát.

- A bírságkiszabással a Hatóság speciális prevenciós célja az, hogy ösztönözze a Kötelezettet arra, hogy vizsgálja felül az adatrögzítési, telefonszámadat kezelési gyakorlatát.

A Kötelezett által elkövetett jogsértés az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősül. A jogsértés jellege alapján a kiszabható bírság felső határa az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pont alapján 20 000 000 EUR, illetve az előző pénzügyi év teljes világpiaci forgalmának legfeljebb 4%-a.

A Hatóság a bírság kiszabása tekintetében az általános adatvédelmi rendelet 83. cikk (2) bekezdésének a következő rendelkezéseit nem vette figyelembe, mert a tárgyi ügyben nem voltak relevánsak: d) pont, f) pont, g), h) pont, j) pont és k) pont. A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

IV. Egyéb kérdések:

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §-a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettségek teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettségeket határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kötelezett a Hatóság végleges döntésében foglalt kötelezésének nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. § -a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. A hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százhúsz napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek.

Az Ákr 46. § (1) bekezdés a) pont alapján a hatóság a kérelmet visszautasítja, ha az eljárás megindításának jogszabályban meghatározott feltétele hiányzik, és e törvény ahhoz más jogkövetkezményt nem fűz.

Az Ákr. 47. § (1) bekezdés a) pontja kimondja, hogy a hatóság az eljárást megszünteti, ha a kérelem visszautasításának lett volna helye, annak oka azonban az eljárás megindulását követően jutott a hatóság tudomására.

Budapest, 2020. március 9.

Dr. Péterfalvi Attila elnök c. egyetemi tanár