Hungarian Data Protection Authority: clarification of access request and its electronic fulfilment

Ügyszám: NAIH/2019/2215/18.

Tárgy: kérelemnek részben helyt adó határozat

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt […] kérelmező (a továbbiakban: Kérelmező) kérelmére az […] (a továbbiakban: Kérelmezett) szemben indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza: I. A Hatóság a Kérelmező adatvédelmi jogsértések orvoslására irányuló kérelmének részben helyt ad az alábbiak szerint:

I.1. Megállapítja, hogy a Kérelmezett nem segítette elő a Kérelmező hozzáférési jogának a gyakorlását, mivel nem tájékoztatta arról, hogy milyen programmal tudja megnyitni a DVD-n található fájlokat. I.2. Megállapítja, hogy a Kérelmezett megsértette a Kérelmező hozzáférési jogát azáltal, hogy nem adott teljes körű tájékoztatást a Kérelmezőnek a róla kezelt személyes adatokról. II. A kérelmet az I. pontban nem említett részei tekintetében elutasítja, mivel a Kérelmezett nem sértette meg a Kérelmező hozzáférési jogát akkor, amikor

• határidőben teljesítette a Kérelmező hozzáférési joggyakorlásra irányuló kérelmét; • széles körben használt elektronikus formátumban bocsátotta a Kérelmező rendelkezésére az információkat a hozzáférési joggyakorlása keretében; • nem végezte el a Kérelmező azonosítását, mert nem merült fel megalapozott kétsége a kilétét illetően; • a Kérelmező levelezési címeként kezelte a […] címet, a Kérelmező nyilatkozata alapján. III. Utasítja a Kérelmezettet, hogy a határozat véglegessé válásától számított 30 napon belül biztosítson teljes körű, mindenre kiterjedő hozzáférést a Kérelmezőnek a róla kezelt személyes adatokhoz! IV. Hivatalból az I.1. és I.2. pontokban megállapított adatvédelmi jogsértések miatt a Kérelmezettet a jelen határozat véglegessé válásától számított 30 napon belül

500.000 Ft, azaz ötszázezer forint adatvédelmi bírság megfizetésére kötelezi. V.1. Hivatalból megállapítja, hogy az […] nem segítette elő a Kérelmező érintetti joggyakorlását.

V.2. Hivatalból a V.1. pontban megállapított jogsértés miatt az […]-t figyelmeztetésben részesíti.

V É G Z É S

VI. A Hatóság az adatvédelmi hatósági eljárást a Kérelmező vezetékes telefonszámának és mobiltelefonszámának a Kérelmezett általi kezelésének jogszerűségére vonatkozó részében m e g s z ü n t e t i.

VII. A Hatóság az adatvédelmi hatósági eljárást a Kérelmezett sütikkel kapcsolatos adatkezelése jogszerűségének vizsgálata vonatkozásában m e g s z ü n t e t i.

* * * A III. pont szerinti intézkedés megtételét a Kérelmezettnek a határozat véglegessé válásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolni a Hatóság felé. A bírságot a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2019/2215. BÍRS. számra kell hivatkozni. Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg.

A III. pont szerinti kötelezettség, illetve a bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását.

A jelen határozattal és végzéssel szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az eljárás menete és a tényállás tisztázása

(1) I.1. A Kérelmező kérelme 2019. február 19-én érkezett a Hatósághoz.

(2) A Kérelmező a kérelemben előadta, hogy 2018. szeptember 21-én a Kérelmezettnek küldött emailben a hozzáférési jogát kívánta gyakorolni a Kérelmezett által róla kezelt valamennyi személyes adat vonatkozásában. A Kérelmezett adatvédelmi tisztviselője 2018. október 24-én telefonon és e-mailben is felvette a Kérelmezővel a kapcsolatot, és arról tájékoztatta, hogy aznap kapta meg a Kérelmező kérelmét, mivel azt a Kérelmező nem a Kérelmezett részére, nem a Kérelmezett adatkezelési tájékoztatójában található e-mail címre küldte. A Kérelmezett továbbá arról is tájékoztatta a Kérelmezőt, hogy a hozzáférési kérelemére a válaszát postai úton fogja megküldeni a részére. A Kérelmező 2018. október 25-én kelt elektronikus levelében kérte a Kérelmezettől, hogy válaszát elektronikus úton küldje meg.

(3) A Kérelmezett a hozzáférési kérelemre adott válaszát 2018. november 19-i keltezéssel a […] címre – amelyen már évek óta nem lakik – postai úton DVD-n küldte meg. A Kérelmező a DVD-t nem tudta lejátszani, mivel nem rendelkezik ahhoz szükséges eszközzel, továbbá a DVD-n található fájlok közül csak az egyiket tudta kitömöríteni, miután rájött, hogy milyen alkalmazás szükséges a számára ismeretlen fájlformátum megnyitásához. A Kérelmező 2018. november 29én kelt, a Kérelmezettnek címzett levelében kifogásolta továbbá a tájékoztatás terjedelmét, mivel álláspontja szerint a részére a DVD-n megküldött információk nem fednek le minden, a Kérelmezett által róla kezelt adatot. Ezen levelére nyilatkozata szerint a hatósági eljárás iránti kérelme benyújtásának napjáig nem kapott választ.

(4) A Kérelmező adatvédelmi hatósági eljárás iránti kérelmében előadta, hogy 2018. május 25-ét megelőzően telefonon több alkalommal kérte a Kérelmezettől mobiltelefonszáma törlését, amelynek a Kérelmezett nem tett eleget, mivel 2018. október 24-én felvette vele a kapcsolatot ezen a telefonszámon, valamint a hozzáférési kérelme teljesítése keretében a Kérelmezett által átadott adattáblában is szerepelt. (5) A Kérelmező kérelmében kifejtette továbbá, hogy az érintetti kérelme teljesítését megelőzően a Kérelmezett nem azonosította, ami álláspontja szerint sérti az adatbiztonsági követelményeket, így különösen az integritás és bizalmas jelleg elvét. (6) A Kérelmező érintetti minőségében tájékoztatta a Hatóságot, hogy a Kérelmezett Weboldalán nem található tájékoztatás az ott alkalmazott cookie-k jogalapjára vonatkozóan. Kifogásolta továbbá azt is, hogy a Kérelmezett a Weboldalán a cookie-kat akkor is alkalmazza, ha ahhoz nem járul hozzá, valamint nem is ad lehetőséget arra, hogy azok alkalmazását megtiltsa, ugyanis, ha az elfogadó bannert bezárja elfogadás nélkül, akkor is megtörténik az adatkezelés.

(7) A Kérelmező kérelmében kérte a feltételezett jogsértések orvoslását, valamint az az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény 61. § (1) bekezdés a) pontja szerinti jogkövetkezmények alkalmazását.

(8)

I.2. A Hatóság végzéseiben az üggyel kapcsolatban tájékoztatást kért a Kérelmezettől a tényállás tisztázása érdekében.

(9) A Kérelmezett nyilatkozata szerint a Kérelmező adóstársként 2005 óta az ügyfele adóstársi minőségben.

(10) A Kérelmezett azért nem válaszolta meg határidőben a Kérelmező 2018. szeptember 21-én kelt hozzáférési kérelmét, mert azt nem az ő részére és nem az érintetti joggyakorlásra biztosított csatornákon nyújtotta be, hanem az […] részére küldte meg a […] e-mail címre, mivel az adatvédelmi kérelmek benyújtására dedikált […] e-mail cím – amely az […] adatvédelmi tájékoztatójában volt feltüntetve – nem működött, így a Kérelem 2018. október 24-én jutott el a Kérelmezetthez, amelyet írásban egy hónapon belül megválaszolt.

(11) A Kérelmezett adatvédelmi tisztviselője az általános adatvédelmi rendelet (a továbbiakban:

GDPR) (63) preambulumbekezdésére tekintettel telefonon kérte a Kérelmezőt a kérelme pontosítására, mivel a Kérelmezett nagy mennyiségű adatot kezel a Kérelmezőről. A Kérelmezett nyilatkozata szerint a Kérelmező ekkor azt jelezte, hogy hozzáférési joga gyakorlásának keretében másolatot kért valamennyi dokumentumról, amelyet a Kérelmezett vele összefüggésben kezel.

(12) A Kérelmezett adatvédelmi tisztviselője a Kérelmezővel folytatott telefonbeszélgetés során, valamint e-mailben tájékoztatta a Kérelmezőt arról, hogy banktitokvédelmi okból a hozzáférési kérelmére adott válaszát, és az annak alapján szolgáltatott dokumentumokat a levelezési címére, postai úton fogja teljesíteni. A Kérelmező ezt követően, 2018. október 25-én kérte a kérelme elektronikus úton történő teljesítését. A Kérelmezett a Kérelmező ezen kérelmére nem reagált, mivel 2018. október 24-én már tájékoztatta a Kérelmezőt a válaszadás módjáról.

(13) A Kérelmezett a Kérelmező hozzá 2018. október 24-én eljutott kérelmét, amely a Kérelmezett adatvédelmi tisztviselője és a Kérelmezett közti telefonbeszélgetés során pontosításra került, 2018. november 19-én kelt levelében megválaszolta, megadva részére a GDPR 15. cikke által előírt tartalmú tájékoztatást és a Kérelmező rendelkezésére bocsátva azon kért dokumentumok másolatát, amelyek nem sértik mások, így a Kérelmezett jogait. Álláspontja szerint a Kérelmező kérelme nem terjedt ki a hangfelvételek, valamint egyéb dokumentumok másolatának a megküldésére.

(14) A Kérelmezett jogalap hiányában nem végez hangrögzítést, így a Kérelmező és a Kérelmezett adatvédelmi tisztviselője közötti telefonbeszélgetésről a Kérelmezett hangfelvételt nem készített.

(15) Kérelmezett a hitelintézetekre irányadó banktitokvédelmi kötelezettség miatt kizárólag abban az esetben ad ki személyes adatot akár az érintett, akár harmadik személy részére, amennyiben meggyőződik arról, hogy a kérelem az arra jogosulttól származik.

(16) Kérelmezett nyilatkozata szerint megalapozott kétsége merült fel a Kérelmező kilétével kapcsolatban, mivel a Kérelmező sem a kérelmében, sem azt követően nem adta meg a Kérelmezett Adatkezelési tájékoztatójának […] pontja szerinti személyazonosító adatait kizárólag nevét és e-mail címét – a telefonbeszélgetés ellenére sem. Ebből kifolyólag a Kérelmezett nem tudott meggyőződni arról, hogy a Kérelmező ténylegesen az ügyfele, és ő kéri-e a banktitoknak is minőrülő személyes adatai kiadását hozzáférési joga gyakorlásának keretében, ezért banktitokvédelmi okból és a beazonosítás hiányában kizárólag az általa nyilvántartott levelezési címre tudta megküldeni a Kérelmező részére a Kérelmező személyes adatait tartalmazó dokumentációkat.

(17) Kérelmezett arra vonatkozó nyilatkozatában, hogy a Kérelmező kérelme ellenére mi okból nem az e-mail címére való megküldéssel tett eleget a hozzáférési kérelmének, hivatkozott a Magyar Nemzeti Bank informatikai rendszer védelméről szóló 7/2017. (VII.5.) számú ajánlásának 7.4.4. pontjára, amely előírja, hogy kritikus adatok hálózati átvitele során biztosítani kell az adatok bizalmasságát, sértetlenségét és hitelességét, valamint ezen kritériumok teljesülésének ellenőrizhetőségét. Ezzel összhangban a belső elektronikus levelezés használati szabályzata is úgy rendelkezik, hogy „Tilos külső e-mail címre (nem banki, vagy nem bankcsoportba tartozó postafiókra) üzleti titkot, banktitkot, vagy egyébként bizalmas vagy szigorúan bizalmas információt, illetve egyéb belső dokumentumot küldeni.” Ebből kifolyólag a Kérelmezett e-mailen nem jogosult banktitoknak minősülő személyes adatot továbbítani még hozzáférési kérelem esetén sem, amelyről tájékoztatást nyújt az Adatkezelési tájékoztatójának […] pontjában.

(18) A Kérelmezett a 7-Zip programot használja ahhoz, hogy banktitok védelmi okból jelszóval védve tudja megküldeni postai úton az érintettnek a személyes adatait tartalmazó dokumentumot, védve a személyes adatokat a jogosulatlan hozzáféréstől. A DVD-n található két tömörített fájl megnyitható mindkét file együttes kijelölését követően a jobb egérgombbal a 7-Zip tömörítő programot választva. A jelszó megadását követően hozzáférhetővé válnak a dokumentumok. A jelszót 2018. november 21-én kelt levelében küldte meg a Kérelmező lakcímére.

(19) A Kérelmező a Kérelmezett által is beazonosítottan 2017. július 11-én kérte a telefonszáma módosítását, azonban ezen a módosított telefonszámon nem volt elérhető, vagy hangpostára kapcsolt vagy válasz nélkül kicsöngött. Ezt követően a hitelkérelmi dokumentáción szereplő elérhetőségen – azaz a Kérelmező telefonszámán – adategyeztetést kezdeményezett 2018. március 28-án a Kérelmezővel, amely beszélgetés során a Kérelmező megerősítette, hogy az eredetileg megadott telefonszámán érhető el, így azt újra rögzítette a rendszereiben.

(20) A Kérelmező vezetékes telefonszámaként kezelt […] telefonszámot a Kérelmező adta meg a hitelkérelemben 2005. október 27-én, amely kezelésének célja a Kérelmezővel fennálló szerződés teljesítése érdekében történő kapcsolattartás.

(21) A Kérelmező lakcímváltozást nem jelentett be a Kérelmezettnek, ezért a Kérelmezett lakcímeként a […] címet kezeli, amelyet 2018. március 28-án megerősített a Kérelmezett felé.

(22) A Hatóság Kérelmezett a […] honlapon alkalmazott sütikkel kapcsolatos általános adatkezelési gyakorlatának vizsgálatára hivatalból adatvédelmi hatósági eljárást indított 2019. február 26-án a NAIH/2019/3456. ügyszámon.

(23) I.3. A Kérelmezett nyilatkozata, valamint az annak alátámasztására szolgáló iratok alapján megállapítható volt, hogy a Kérelmező 2018. szeptember 21-én a kérelmét nem a Kérelmezetthez, hanem az […] nyújtotta be, ezért a Hatóság az […] részére az eljárásban hivatalból ügyféli jogállást biztosított 2019. április 11-én kelt végzésében, mivel az ügy jogát, jogos érdekét közvetlenül érinti.

(24) Az […] úgy nyilatkozott, hogy a Kérelmező Kérelmezettnek szánt, de […]-nek küldött kérelme

2018. október 16-án került hozzá benyújtásra, melyet 2018. október 24-én továbbított a Kérelmezett […]-hez is kirendelt adatvédelmi tisztviselője részére. (25) 2018. október 24-én a Kérelmezett adatvédelmi tisztviselője telefonon tájékoztatta arról a Kérelmezőt, hogy az […]-nek nem ügyfele, amely telefonbeszélgetés során maga a Kérelmező is jelezte, hogy a Kérelmezetthez szerette volna a kérelmet benyújtani. A Kérelmezett adatvédelmi tisztviselője e-mailben tájékoztatta a Kérelmezőt, hogy kérelmét mely csatornákon keresztül nyújthatja be, valamint arról, hogy a Kérelmezett a Kérelmező kérelmét soron kívül igyekszik teljesíteni.

(26) I.4. A Hatóság a tényállás tisztázása érdekében a NAIH/2019/2215/13. számú végzésében megkereste a Magyar Nemzeti Bankot (a továbbiakban: MNB) a 7/2017. (VII.5.) számú ajánlása 7.4. pontjának megfelelő értelmezése érdekében. Az MNB arról tájékoztatta a Hatóságot, hogy a távadatátvitel bizalmasságát, sértetlenségét és hitelességét elsősorban a pénzügyi intézmények, a biztosítók és a viszontbiztosítók, továbbá a befektetési vállalkozások és az árutőzsdei szolgáltatók informatikai rendszerének védelméről szóló 42/2015. (III.12.) Korm. rendelet 3. § (2) bekezdése írja elő, az MNB ajánlása az ezen rendelkezéssel kapcsolatos jogalkalmazásához ad iránymutatást. Az MNB álláspontja szerint amennyiben a pénzügyi intézmény rajta kívül álló szolgáltató levelező rendszerébe kódolatlan, illetve titkosítatlan adatokat küld, az adatok bizalmassága felett elveszíti a kontrollt, mivel a levél tartalmához a kézbesítés technikai folyamatában érintett minden szolgáltató, illetve a levelezőfiókhoz hozzáféréssel rendelkező személyek is hozzáférhetnek, valamint a csatorna az alkalmazott technológia okán viszonylag egyszerűen lehallgatható. Ebből kifolyólag csak megfelelő titkosítás alkalmazása mellett továbbíthatók banktitoknak minősülő személyes adatok e-mailben.

II. Az ügyben alkalmazandó jogszabályi rendelkezések

A GDPR 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre a GDPR-t kell alkalmazni. A GDPR jelen ügyben releváns rendelkezései a következők: GDPR 12. cikk (2) bekezdés: Az adatkezelő elősegíti az érintett 15–22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15–22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. GDPR 12. cikk (3) bekezdés: Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15–22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. GDPR 12. cikk (4) bekezdés: Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. GDPR 12. cikk (6) bekezdés: A 11. cikk sérelme nélkül, ha az adatkezelőnek megalapozott kétségei vannak a 15–21. cikk szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti.

GDPR 15. cikk (1) bekezdés: Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár. GDPR 15. cikk (3) bekezdés: Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.

GDPR 15. cikk (4) bekezdés: A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait. GDPR 58. cikk (2) bekezdés b), c), i) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. GDPR 83. cikk (1)-(2) és (5) bekezdés a)-b) pont: (1) Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. (2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket: a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege;

c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12–22. cikknek megfelelően. Az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel. Az Infotv. 75/A. § szerint a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

III. Döntés:

III.1. A Kérelmező kérelmének határidőben való teljesítése

(27) A Kérelmező hozzáférési kérelméből egyértelműen kiderült, hogy annak címzettje, nem az […] volt, akinek a kérelmet elküldte, hanem a Kérelmezett: „(…) a GDPR 15. cikk szerinti hozzáférési jogomat kívánom gyakorolni a [Kérelmezett] adatkezelő részéről velem kapcsolatban kezelt személyes adatok tekintetében.” (28) Az […]-nek, mivel nem ő volt a hozzáférési kérelem címzettje, a kérelem nyomán a GDPR szabályai alapján nem kellett intézkedéseket tennie, rá nem volt irányadó az egy hónapos válaszadási határidő, bár a III.1. pontban kifejtettek szerint elvárható lett volna, hogy hamarabb észlelje és az adatvédelmi tisztviselőjének továbbítsa a Kérelmező Kérelmezettnek címzett kérelmét.

(29) Kérelmezetthez, azaz ahhoz az adatkezelőhöz, akinek az adatkezelésével kapcsolatban a Kérelmező a hozzáférési jogát kívánta gyakorolni, a kérelem 2018. október 24-én érkezett meg, amelyről a Kérelmezőt telefonon és e-mailben is tájékoztatta.

(30) A Kérelmezett 2018. november 19-i keltezésű levelében válaszolta meg a Kérelmező hozzáférési kérelmét, a mellékelt DVD-n található fájlok megnyitásához szükséges jelszót pedig 2018. november 21- keltezésű levelében küldte meg a Kérelmező lakcímére.

(31) A Kérelmező 2018. november 29-én a Kérelmezett adatvédelmi tisztviselőjének írt levelében kifogásolta a Kérelmezett által nyújtott tájékoztatás terjedelemét, például hiányolta a befizetéseire és tartozására vonatkozó adatokról történő tájékoztatást. A Kérelmezett ezt egy új hozzáférési joggyakorlásra irányuló kérelemként kezelte, amelyet 2018. december 21-én kelt levelében, azaz egy hónapon belül megválaszolt a Kérelmezőnek, a kért adatokról a Kérelmezőt tájékoztatta.

(32) A fentiek alapján a Kérelmezett nem sértette meg a GDPR 12. cikk (3) bekezdését, mivel a kérelmek hozzá való érkezésétől számított egy hónapon belül tájékoztatta a Kérelmezőt a kérelmei alapján megtett intézkedésekről.

III.2. A hozzáférési kérelem elektronikus úton történő teljesítése

(33) A Kérelmezett 2018. október 24-én kelt elektronikus levelében arról tájékoztatta az érintettet, hogy a hozzáférési joggyakorlásra irányuló kérelmére adott válaszát a Kérelmező levelezési címére fogja megküldeni. A Kérelmező 2018. október 25-én kelt levelében kérte a Kérelmezettől, hogy kérelmét elektronikus formában, az e-mail címére megküldött levélben teljesítse. A Kérelmezett erre a kérelemre nem válaszolt, tekintettel arra, hogy álláspontja szerint az Adatkezelési tájékoztatójának […] pontjában erről tájékoztatja az érintetteket.

(34) A Kérelmezett 2018. október 1-jétől hatályos Adatkezelési tájékoztatójának […] pontja arról tájékoztatja az érintetteket, hogy […] Ebből azonban nem következik egyértelműen az érintettek számára, hogy a Kérelmezett elektronikus levélben nem továbbít külső, nem banki e-mail címre banktitoknak minősülő személyes adatot, ezért a hozzáférési kérelmüket sem teljesíti elektronikus levél útján, hanem csak postai úton. Ebből eredően a Kérelmezettnek tájékoztatnia kellett volna a Kérelmezőt arról, hogy erre irányuló kérelme ellenére miért nem elektronikus úton válaszolja meg a hozzáférési kérelmét. Ennek keretében, mivel a Kérelmező – a Kérelmezett részéről is feltételezhetően – nem ok nélkül kérte a kérelme e-mail útján történő megválaszolását, alternatívaként más, a Kérelmező számára megfelelőbb teljesítési módot – pl. személyes átvétel valamely előzetesen egyeztett bankfiókban – is felajánlhatott volna.

(35) A Kérelmezett DVD-n bocsátotta a Kérelmező rendelkezésére a hozzáférési kérelme teljesítéseként megküldött dokumentumok másolatát. A DVD bár korábban elterjedt tartós adathordozó volt, azonban egyre kevesebben használják adataik tárolására, mivel helyüket átvették az USB-s adathordozók, ebből kifolyólag pedig egyre kevesebb olyan eszköz kerül forgalomba, amely alkalmas a DVD-k lejátszására, sőt az újabb hordozható számítógépek már nem is rendelkeznek CD/DVD meghajtóval. Ebből kifolyólag bizonyos esetekben már gondot okozhat az érintetteknek, ha DVD-n bocsátják a rendelkezésükre a hozzáférési joguk biztosítása keretében a dokumentumaik másolatát, mivel egyáltalán nem biztos, hogy rendelkeznek a lejátszásához szükséges készülékkel. Ebből eredően, ha a hozzáférési jog biztosítására dokumentumok elektronikus formátumban való megküldésével kerül sor, a Kérelmezett részéről a leggondosabb eljárás az, ha nyilatkoztatja az érintettet arról, hogy milyen adathordozó olvasásához rendelkezik megfelelő készülékkel. Különösen igaz ez akkor, ha az érintett a kérelmében vagy az adatkezelővel való kommunikáció során olyan kijelentést tesz, amelyből erre következtetni lehet.

(36) A Hatóság a DVD-k technikai meghaladottságára tekintettel, a jó gyakorlat kialakítása érdekében szükségesnek tartja a Kérelmezett azon gyakorlatának felülvizsgálatát, hogy DVD-n bocsátja az érintettek rendelkezésére a hozzáférési kérelmük teljesítése keretében a dokumentumaik másolatát, különös tekintettel arra, hogy az MNB álláspontja szerint elektronikus levél mellékletként megfelelő eljárással titkosítva – például jelszavazás – továbbíthatók bizalmas iratok és adatok olyan módon, hogy a titkosítás feloldásához szükséges jelszóról az ügyfelet biztonságos, az elektronikus levelezéstől eltérő csatornán tájékoztatják.

(37) A Hatóság a fentieket irányadó jó gyakorlatként fejtette ki, mivel a GDPR 15. cikk (3) bekezdése nem azt mondja ki, hogy ha a kérelmet elektronikus úton nyújtották be, azt elektronikus úton kell megválaszolni, hanem azt, hogy ha a kérelmet elektronikus úton nyújtották be, az információkat elektronikus formátumban kell rendelkezésre bocsátani.

(38) Ebből kifolyólag a Kérelmezett nem sértette meg a GDPR 15. cikk (3) bekezdését azzal, hogy a Kérelmező hozzáférési kérelmet postai úton, de a mellékletként csatolt DVD-n elektronikus formátumban teljesítette.

III.3. A Kérelmező érintetti joggyakorlásának elősegítése

(39) A Kérelmezett DVD-n, 7-Zip programmal tömörítve bocsátotta a Kérelmező rendelkezésére a hozzáférési kérelme teljesítéseként megküldött dokumentumok másolatait.

(40) A 7-Zip program egy ingyenesen letölthető tömörítő program. A Hatóság megfelelőnek tartja a Kérelmezett azon gyakorlatát, hogy olyan programot használ a hozzáférési jog biztosítása keretében megküldendő dokumentumok tömörítésére, és jelszóval való védelmére, amely ingyenesen, bárki számára elérhető. A program a 7z fájlformátumot használja, amelyet a legelterjedtebb tömörítő programok, a WinZip és a WinRAR is felismernek, tehát a 7z kiterjesztésű fájlok ezekkel a programokkal is megnyithatók.

(41) A 7-Zip program azonban nem kerül automatikusan telepítésre egyetlen operációs rendszerrel sem, így nem magától értetődő, hogy a hozzáférést kérő érintett ismeri ezt a programot, rendelkezik ilyen programmal, valamint a kitömörítéshez szükséges ismeretekkel.

(42) A Kérelmezettnek ezért azon levelében, amelyben a DVD-n található fájlokat védő jelszót megküldi a hozzáférést kérő érintetteknek, arról is tájékoztatnia kell őket, hogy a fájlokat mely programmal vagy programokkal tudják megnyitni. Ennek többek között azért is van jelentősége, mert előfordulhat, hogy olyan személy terjeszti elő elektronikus úton a kérelmét, aki nem rendelkezik mélyebb informatikai ismeretekkel, és ezért maguktól nem jönnek rá, hogy milyen programra van szükségük a jelszóval védett fájlok kitömörítéséhez.

(43) A fentiekből kifolyólag a Kérelmezett megsértette a GDPR 12. cikk (2) bekezdését, mivel nem adott a Kérelmező számára megfelelő tájékoztatást arról, hogy hogyan ismerheti meg a DVD-n található, jelszóval védett dokumentumok tartalmát, ahhoz milyen lépések megtétele szükséges.

III.4. A Kérelmező hozzáférési kérelmére adott válasz teljessége

(44) A Kérelmező hozzáférési kérelme szó szerint a következő volt: „Alulírott, […] a GDPR 15. cikk szerinti hozzáférési jogomat kívánom gyakorolni a [Kérelmezett] adatkezelő részéről velem kapcsolatban kezelt személyes adatok tekintetében. Kérem, teljes körben tájékoztassanak valamennyi GDPR szerinti jellemzőről.”

(45) A GDPR 15. cikke alapján az adatkezelőknek teljes körű tájékoztatást kell nyújtaniuk az érintetteknek a személyes adatai kezeléséről. Ez azt jelenti, hogy a tájékoztatásnak ki kell terjednie az adatkezelő minden nyilvántartására és dokumentumára, korlátozás nélkül.

(46) A Kérelmezett nyilatkozata szerint az adatvédelmi tisztviselője a telefonbeszélgetésük során felhívta a Kérelmezőt a hozzáférési kérelme pontosítására a GDPR (63) preambulumbekezdése alapján. Nyilatkozata szerint a pontosítást követően a kérelem a 2018. november 19-én kelt levelében foglaltakra terjedt ki. Ezzel szemben a Kérelmező úgy nyilatkozott, hogy a kérelme pontosítására nem került sor a Kérelmezett adatvédelmi tisztviselőjével folytatott telefonbeszélgetés során. A Kérelmezett az eljárás során nem tudta igazolni, hogy a kérelem pontosítására a Kérelmező részéről sor került.

(47) A Kérelmezett 2018. november 19-én kelt, a Kérelmező hozzáférési kérelmére adott válasza nem terjedt ki többek között a Kérelmező befizetéseire és tartozásra vonatkozó adatokra, a Kérelmező és a Kérelmezett ügyfélszolgálata közötti a Kérelmezett által kezdeményezett – a Kérelmező adóstársának késedelméből eredő tartozás rendezésére irányuló – telefonbeszélgetésekről készült hangfelvételekre, ezen hangfelvételek másolataira, a hitelbírálati dokumentációra. (48) A GDPR 15. cikk (1) bekezdése alapján akkor is tájékoztatni kell az érintettet az adatkezelés tényéről és körülményeiről, ha annak a dokumentumnak a másolata, amelyben a személyes adat kezelése történik, a GDPR 15. cikk (4) bekezdése alapján – akár harmadik személyek személyes adatai, akár az adatkezelő üzleti titka védelme érdekében – nem bocsátható az érintett rendelkezésére. Ebből kifolyólag a Kérelmezettnek tájékoztatnia kellett volna a Kérelmezőt a személyes adatainak a hitelbírálati dokumentumokban való kezeléséről, és ezen dokumentáció általa üzleti titoknak tekintett minőségéből kifolyólag a GDPR 12. cikk (4) bekezdésének megfelelően tájékoztatnia kellett volna a Kérelmezőt a másolatok kiadása megtagadásának okáról.

(49) A Kérelmezett által a Kérelmezőnek 2018. november 19-én kelt levelében nyújtott tájékoztatás nem volt átlátható, mivel bár táblázatos formában megnevezte az adatkezelésének céljait, jogalapjait, valamint az adatkezelés időtartamát, azonban ezek mellett nem tüntette fel, hogy azok pontosan mely személyes adatokra vonatkoznak, így nem egyértelmű, hogy az egyes adatkezelési célokból mely személyes adatokat kezeli a Kérelmezett. (50) A Kérelmezett a fentiekből kifolyólag megsértette a GDPR 15. cikkét, mivel nem adott teljes körű tájékoztatást az általa kezelt személyes adatokról a Kérelmezőnek az erre irányuló kérelme ellenére. A Kérelmezett megsértette továbbá a GDPR 12. cikk (1) bekezdését, mivel az általa nyújtott tájékoztatás nem volt átlátható.

III.5. A Kérelmező azonosítása

(51) A Kérelmező a Kérelmezett által korábban nem kezelt e-mail címről küldte a hozzáférési joggyakorlásra irányuló kérelmét. Tekintettel azonban arra, hogy eredetileg nem a Kérelmezettnek, hanem az […]-nek küldte a kérelmét, és az csak 2018. október 24-én jutott el a Kérelmezetthez, a Kérelmezett a Kérelmező által korábban megadott és nyilvántartásaiban kapcsolattartási célból kezelt mobiltelefonszámán felvette a Kérelmezővel a kapcsolatot. A Kérelmezett a telefonbeszélgetés során nem azonosította a Kérelmezőt az Adatkezelési szabályzatában meghatározott módon, ezért a Hatóság felé 2019. március 18-án kelt válaszában úgy nyilatkozott, hogy megalapozott kétsége merült fel a Kérelmező kilétével kapcsolatban, és ezért küldte az általa nyilvántartott lakcímre a hozzáférési kérelemre adott válaszát.

(52) A fenti nyilatkozatát 2019. május 21-én kelt levelében úgy pontosította, hogy bár nem történt meg a Kérelmező pénzmosás és terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi LIII. törvény szerinti azonosítása, a Kérelmezett adatvédelmi tisztviselője a Kérelmezővel folytatott telefonbeszélgetés során megbizonyosodott arról, hogy a Kérelmező kérelme nem alaptalan, és biztosította kérelme teljesítéséről.

(53) A GDPR 12. cikk (6) bekezdése azon esetekben írja elő kötelezettségként az adatkezelő számára az érintetti jogát gyakorolni kívánó érintett azonosítását, ha a kilétével kapcsolatban megalapozott kétsége merül fel. Az e-mail cím, amelyről a Kérelmező a kérelmet küldte, önmagában valóban nem elegendő a Kérelmező azonosítására, tekintettel arra, hogy azt a Kérelmezett korábban nem kezelte. A Kérelmezett adatvédelmi tisztviselője azonban a Kérelmezővel folytatott telefonbeszélgetés során – amelyet a Kérelmező személyes adataként kezelt már a kérelem benyújtását megelőzően is – a beszélgetés tartalma alapján további személyes adatok megadása nélkül is meggyőződhetett a Kérelmező kilétéről. Erre utal az is, hogy nem szólította fel a Kérelmezőt az Adatkezelési szabályzata […] pontja szerint a személyes adatai kiegészítésére.

(54) A Kérelmezett nem az Adatkezelési tájékoztatójának megfelelően járt el a Kérelmezett azonosítása során, azonban eljárása a GDPR szabályainak megfelelt, mivel a telefonbeszélgetés alapján nem lehetett megalapozott kétsége a Kérelmező kilétét illetően, így pedig nem sértette meg a GDPR 12. cikk (6) bekezdését.

(55) A Hatóság fontosnak tartja megjegyezni, hogy abban az esetben, ha a Kérelmező kilétével kapcsolatban valóban megalapozott kétsége van, akkor az érintetti kérelmet semmilyen módon például lakcímre való megküldéssel – nem kell teljesíteni.

III.6. A Kérelmezett lakcím adatának pontossága

(56) A Kérelmező a Hatóságnak címzett kérelmében előadta, hogy a Kérelmezettnek évekkel ezelőtt adta meg azt a lakcímet, amelyre a Kérelmezett a hozzáférési kérelmére adott válaszát megküldte, amely egyébként változott és már nem aktuális. (57) A Kérelmező nem jelentette be a lakcíme megváltozását a Kérelmezettnek, sőt 2018. márciusában egy telefonbeszélgetés során, adategyeztetés keretében meg is erősítette a Kérelmező munkatársának, hogy ez a levelezési címe. [Ügyintéző: „Nekem itt a […] szerepel mint levelezési cím.” Kérelmező: „Jó lesz az”.]

(58) A fentiek alapján a Kérelmezett nem sértette meg a GDPR 5. cikk (1) bekezdés d) pontja szerinti pontosság elvét, mivel a Kérelmező nem jelentette be az adataiban bekövetkezett változást, így nem is merülhetett fel kétsége a lakcímadat pontosságát illetően.

III.7. A vezetékes telefonszám kezelése

(59) A Kérelmezett által a Kérelmező vezetékes telefonszámaként kezelt […] telefonszámot a Kérelmező adta meg a Kérelmezett részére a 2005. október 25-én kelt, általa zálogköteletti minőségben aláírt hitelkérelemben, amelynek másolatát a Kérelmezett megküldte a Hatóságnak. (60) A hitelkérelem 7. oldala tartalmazott egy olyan mondatot, miszerint „Hozzájárulok, hogy a jelen kölcsönigénylésben az általam közölt adatokat a saját termék bevezetésével és értékesítésével kapcsolatban a továbbiakban kezelje, nyilvántartsa és felhasználja.”

(61) A Kérelmező 2018. március 28-án úgy nyilatkozott a telefonos adategyeztetés során, hogy mobiltelefonszámán kívül nincs más telefonos elérhetősége.

(62) A Hatóság a fenti hozzájárulás érvényességét, valamint a Kérelmező nyilatkozata alapján szükséges intézkedések megtételét vagy azok elmulasztását a jelen adatvédelmi hatósági eljárásban nem vizsgálja, mivel a hozzájárulás megadására, illetve a fenti kérelmezői nyilatkozattételre – amely alapján a Kérelmezettnek kétsége támadhatott volna a vezetékes telefonszám adat pontosságát illetően –, 2018. május 25-ét megelőzően került sor, amikor még nem voltak alkalmazandóak a GDPR rendelkezései.

(63) A fentiekből kifolyólag a vezetékes telefonszám kezelésének jogszerűségére vonatkozó kérelem nem felel meg a GDPR 77. cikk (1) bekezdésében, valamint az Infotv. 60. § (2) bekezdésében foglalt követelményeknek, így ebben a vonatkozásban a Hatóság adatvédelmi hatósági eljárása sem kezdeményezhető, ezért az Ákr. 47. § (1) bekezdés a) pontja alapján a Hatóság az eljárást a kérelem ezen részében megszüntette.

III.8. A Kérelmező mobiltelefonszáma kezelésének jogszerűsége

(64) A Kérelmező telefonon, azonosítását követően 2017. július 11-én kérte a telefonszáma módosítását a Kérelmezettől, azonban a módosított telefonszámon nem volt elérthető, ezért a Kérelmezett a hitelszerződés dokumentációjában található korábbi telefonszámán – amely kezelésének jogszerűségét a Kérelmező vitatja – újból felkereste a Kérelmezőt adategyeztetés céljából 2018. március 28-án, aki ekkor megerősítette, hogy az a mobiltelefonszáma, amelyen a Kérelmező őt felkereste.

(65) Tekintettel arra, hogy a telefonszám módosítása iránti kérelem, a Kérelmezett részéről a korábbi telefonszámon való újbóli kapcsolatfelvétel, valamint a telefonszám megerősítése a Kérelmező részéről általa is elismerten 2018. május 25-e előtt történt, amikor a GDPR még nem volt alkalmazandó, ezért a mobiltelefonszám kezelésének jogszerűségére vonatkozó kérelem nem felel meg a GDPR 77. cikk (1) bekezdésében, valamint az Infotv. 60. § (2) bekezdésében foglalt követelményeknek, így ebben a vonatkozásban a Hatóság adatvédelmi hatósági eljárása sem kezdeményezhető, ezért az Ákr. 47. § (1) bekezdés a) pontja alapján a Hatóság az eljárást a kérelem ezen részében megszüntette.

III.9. A Kérelmezett sütikkel összefüggő adatkezelési gyakorlata

(66) A Hatóság 2019. február 26-ána NAIH/2019/3546. ügyszámon hivatalból adatvédelmi hatósági eljárást indított a Kérelmezett […] weboldalán alkalmazott sütikkel kapcsolatos általános adatkezelési gyakorlatának vizsgálatára, mivel a sütikkel kapcsolatos adatkezelés az adatkezelés természetéből fakadóan elkülönítetten nem hatékony vizsgálni.

(67) A Kérelmezett sütikkel kapcsolatos általános adatkezelésének hivatalbóli vizsgálatával okafogyottá vált ugyanezen adatkezelés vizsgálata a kérelem alapján indult adatvédelmi hatósági eljárásban, mivel a NAIH/2019/3546. számú ügyben hozott döntés valamennyi érintettre ki fog terjedni, így a Kérelmezőre is. Ebből kifolyólag a Hatóság az Ákr. 47. § (1) bekezdés c) pontja alapján az eljárást a kérelem ezen részében megszüntette.

III.10. Az […] által az érintetti joggyakorlás elősegítése

(68) A Kérelmező a hozzáférési joggyakorlásra irányuló kérelmét 2018. szeptember 21-én 10:58 perckor küldte meg a […] e-mail címre, miután az aznap 10:54 perckor kelt, az […] e-mail címre küldött levelének kézbesítése sikertelen volt.

(69) Az érintetti joggyakorlás elősegítése keretében az adatkezelőtől elvárható, hogy létrehozzon és működtessen egy olyan e-mail címet vagy felületet, amely kizárólag az adatvédelmi tárgyú kérelmek, panaszok befogadására szolgál, és amelyek tekintetében biztosított, hogy az oda beérkező kérelmeket az adatkezelő illetékes munkavállalója olyan időben megkapja, és azok alapján a GDPR által meghatározott határidőben tudjon intézkedéseket tenni.

(70) Az […] 2018. május 25-től hatályos adatkezelési tájékoztatójának – amely 2018. szeptember 21-én az […] honlapján elérhető volt – […] pontjában arról tájékoztatta az érintetteket, így a Kérelmezettet is, hogy az adatvédelmi tisztviselő e-mailes elérhetősége az […] e-mail cím. Ez az e-mail cím azonban nem működött, a Kérelmező arra küldött kérelmének kézbesítése sikertelen volt, így azt a […] e-mail címre küldte meg, ami az […] 2018. szeptember 21-én hatályos adatvédelmi tájékoztatója szerint az érintettek személyes adatkezeléssel kapcsolatos jogainak érvényesítésével kapcsolatos kérdéseinek, késéréseinek közlésére szolgál. Tehát ha nem is jutott el a Kérelmező kérelme közvetlenül az […] és a Kérelmezett közös adatvédelmi tisztviselőjéhez – a tájékoztatóban hibásan megadott e-mail cím miatt – az […] munkatársainak fel kellett volna készülnie arra, hogy a […] e-mail címre érkezhetnek adatvédelemi tárgyú kérdések, kérelmek, amelyek észlelésére olyan eljárásrendet kellett volna kidolgoznia, hogy szükség esetén a kérelmek indokolatlan késedelem nélkül eljussanak az ezen kérdésekben illetékes munkavállalókhoz.

(71) A fentiekből kifolyólag az […] megsértette a GDPR 12. cikk (2) bekezdését, mert az adatvédelmi tisztviselő e-mail címének téves megjelölésével hátráltatta a Kérelmező érintetti jogainak gyakorlását.

III. 11. Jogkövetkezmények

(72) A Hatóság a Kérelmező kérelmének helyt ad és a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja Kérelmezettet, mert megsértette a GDPR 12. cikk (2) bekezdését és a GDPR 15. cikkét. (73) A Hatóság a kérelmező kérelmének helyt ad és a GDPR 58. cikk (2) bekezdés c) pontja alapján utasítja a Kérelmezettet, hogy adjon teljes körű, mindenre kiterjedő tájékoztatást a Kérelmezőnek a róla kezelt személyes adatokról.

(74) A Hatóság a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja az […]-t, mert megsértette a GDPR 12. cikk (2) bekezdését.

(75) A Hatóság a GDPR 58. cikk (2) bekezdés c) pontja alapján hivatalból utasítja Kérelmezettet, hogy biztosítson teljes körű, mindenre kiterjedő hozzáférést a Kérelmezőnek a róla kezelt személyes adatokhoz. Ennek keretében a Kérelmezettnek az ügyfélszolgálata és a Kérelmező közti telefonbeszélgetésekről készült hangfelvételeken felismerhetetlenné kell tennie a hívást lebonyolító ügyfélszolgálati munkatárs nevét, azonban a felvételeken más módosítást nem végezhet.

(76) A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire, valamint arra, hogy a Kérelmezett nem első alkalommal sértette meg a GDPR rendelkezéseit […], ezért a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértések esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság a bírság kiszabása során az alábbi tényezőket vette figyelembe:

(77) A Hatóság mindenekelőtt figyelembe vette, hogy a Kérelmezett által elkövetett jogsértések a GDPR 83. cikk (5) bekezdés a) és b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek.

(78) A Hatóság a bírságkiszabás során enyhítő körülményként vette figyelembe:

• a Kérelmezett gondatlanul járt el, amikor nem tájékoztatta teljeskörűen a Kérelmezőt az általa kezelt valamennyi személyes adatáról, ezt támasztja alá az is, hogy amikor a Kérelmező a tartozásáról, befizetéseiről érdeklődött – mint olyan információkról, amelyeket a hozzáférési kérelme kapcsán a Kérelmezett nem bocsátott a rendelkezésére – a Kérelmezett ezen kérelmét is teljesítette;

• a Kérelmezett a hozzáférési kérelemről való tudomásszerzést követően azonnal felvette a kapcsolatot a Kérelmezővel a helyzet tisztázása érdekében;

(79) A bírság kiszabása a fentiek alapján szükséges a Kérelmezett tekintetében, annak ellenére, hogy jelen ügyben egyetlen érintett jogai gyakorlásával összefüggő jogsértésről van szó.

(80) A fentiekre, valamint arra tekintettel, hogy a Kérelmezett 2018. évi konszolidált beszámolója szerinti az adózás előtti eredménye […] millió forint volt, a kiszabott adatvédelmi bírság összege kifejezetten alacsonynak tekinthető és nem lépi túl a kiszabható bírság maximumát.

(81) A bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg.

(82) A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

IV. Egyéb kérdések:

(83) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (84) A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. (85) Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak. (86) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §-a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (87) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (88) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (89) Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2019. június 18.

Dr. Péterfalvi Attila elnök c. egyetemi tanár