Hungarian Data Protection Authority (NAIH): processing of a former employee’s bank account details for reimbursement and the related transparency obligation

Ügyszám: NAIH-523-9/2021. Tárgy: kérelmet elutasító határozat

HATÁROZAT A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] kérelmező (a továbbiakban: Kérelmező) 2021. január 11. napján benyújtott kérelme alapján számlaszámának jogellenes kezelése tárgyában a […]-vel (a továbbiakban: Kérelmezett) szemben indult adatvédelmi hatósági eljárásban az alábbi döntést hozza: I. A Hatóság a Kérelmező arra irányuló kérelmét, hogy a Hatóság állapítsa meg az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 16. § (1) és (2) bekezdésének, valamint a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) 6. cikk (1) bekezdésének, 7. cikk (1) bekezdésének, 14. cikk (1) és (2) bekezdésének megsértését, jogellenes adatkezelés esetén a Hatóság kötelezze a Kérelmezettet a jogellenesen kezelt személyes adatok törlésére, elutasítja.

II. A Hatóság hivatalból megállapítja, hogy a Kérelmezett megsértette az általános adatvédelmi rendelet 6. cikk (4) bekezdését, továbbá a 13. cikk (3) bekezdését.

* * * A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

INDOKOLÁS

I. Az eljárás menete

I.1.A Kérelmező kérelmére az Infotv. 60. § (1) bekezdése alapján 2021. január 12. napján adatvédelmi hatósági eljárás indult. I.2.A Hatóság a Kérelmezettet végzésében nyilatkozattételre hívta fel a tényállás tisztázása érdekében, hivatkozással az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 63. §-ra, melyre a Kérelmezett válasza 2021. február 10. napján érkezett meg a Hatósághoz (NAIH-523-3/2021. sz. irat). A Hatóság a Kérelmezett nyilatkozata alapján úgy ítélte meg, hogy a nyilatkozat pontosítása miatt ismét szükséges a Kérelmezettet a tényállás tisztázása érdekében nyilatkozattételre felhívni, továbbá úgy ítélte meg, hogy az ügy adatkezelési körülményeinek feltárásához nélkülözhetetlen kérdések megválaszolásánál a Kérelmezett nem részletezte a Kérelmező által kifogásolt adatkezelési műveleteit és a Kérelmezett tájékoztatása ismeretében újabb körülmények megvizsgálása vált indokolttá, ezért ismét nyilatkozattételre hívta fel a tényállás tisztázása érdekében a 2021. március 11. napján kelt végzésében, melyre a Kérelmezett a Hatósághoz a 2021. március 30-án érkezett levelében küldte meg a nyilatkozatát (NAIH-523-6/2021. sz. irat). I.3. A Hatóság a NAIH-523-7/2021. sz. iratában értesítette arról a Kérelmezőt, hogy a bizonyítási eljárás befejeződött, és erre hivatkozással másolatban továbbította részére a Kérelmezett Hatósághoz küldött nyilatkozatait, továbbá hivatkozással az Ákr. 5. § (1) – (2) bekezdésére, valamint 63. §-ra felhívta arra, hogy küldje meg a Hatóság részére az ismertetett bizonyítékokkal kapcsolatban a nyilatkozatot vagy észrevételét. Erre válaszul a Kérelmező a Hatósághoz 2021. május 5-én érkezett nyilatkozatát küldte (NAIH-523-8/2021.).

II. Tényállás tisztázása

II.1.A Kérelmező a kérelmében az alábbiakat adta elő: A Kérelmezettnél 2019. január 1-jétől 2020. szeptember 13. napjáig állt munkaviszonyban. Compliance officerként foglalkoztatta a Kérelmezett a Kérelmezőt. Munkaviszonyát a Kérelmező kérésére szüntették meg. A Kérelmezőnek a Kérelmezett alkalmazottjaként fizetési számlát kellett nyitnia a Kérelmezettnél, hogy arra utalják a fizetését, így ezt a számlaszámot megadta a Kérelmező a Kérelmezett részére. Az utolsó munkában töltött napján, azaz 2020. szeptember 11. napján a Kérelmező megszüntette a Kérelmezettnél nyitott fizetési számláját. A Kérelmezővel az utolsó munkában töltött napján nem történt meg az elszámolás, és a számlamegszüntetéskor sem utalták vissza a Kérelmező részére, amit korábban jogtalanul levontak a számlájáról. 2020. november 26-án a Kérelmezett 1 958,- Ft-ot utalt a Kérelmezőnek forgalmi jutalék visszatérítése jogcímén az […] -nél meglévő fizetési számlaszámára, annak ellenére, hogy ezt a számlaszámot a Kérelmező sohasem bocsátotta a Kérelmezett rendelkezésére. A Kérelmező szerint ezt az adatát jogtalanul szerezték meg, használták fel, más rendszerből történt tiltott adatszerzés útján. A Kérelmező állítása szerint a Kérelmezettől a jogtalanul megszerzett személyes adata vonatkozásában a Kérelmezett nem tett eleget a tájékoztatási kötelezettségének. A Kérelmező a Kérelmezett fentiekkel kapcsolatos adatkezelésének a vizsgálatát, és adatvédelmi hatósági eljárás lefolytatását, továbbá az alábbiakat kérte a Hatóságtól:

a Hatóság állapítsa meg az Infotv. 16. § (1) és (2) bekezdésének, valamint az általános adatvédelmi rendelet 6. cikk (1) bekezdésének, 7. cikk (1) bekezdésének, 14. cikk (1) és (2) bekezdésének megsértését, jogellenes adatkezelés esetén kötelezze a Kérelmezettet adatvédelmi bírság megfizetésére és a jogellenesen kezelt személyes adatok törlésére. II.2. A Kérelmezett NAIH-523-3/2021. sz. iratban iktatott nyilatkozata szerint: II.2.1. A Kérelmező személyes adatainak forrása: a Kérelmező, mivel a Kérelmező rendelkezése alapján történt az utalás

II.2.2. Adatkezelés jogalapja: GDPR 6. cikk (1) bekezdés c) pont, a Kérelmezettet terhelő jogi kötelezettség. A jogi kötelezettséget a Magyar Nemzeti Bank a 2020. november 5-i – […] végzésében megjelölt jogszabályi rendelkezések jelentik. II.2.3. Adatkezelés célja: a Kérelmezőt megillető visszatérítés teljesítése II.2.4. Adatok tárolásának időtartama: a pénzmosás és terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi LVIII. törvényben (a továbbiakban: Pmt.) 56. § (1) bekezdése, továbbá a Pmt. 57. § (1) bekezdése A Kérelmező 2020. szeptember 13. napjáig állt munkavégzésre irányuló jogviszonyban a Kérelmezettel, a munkabér utalása végett nyitott számlát a Kérelmezettnél. A Kérelmezett utolsó munkában töltött napján, 2020. szeptember 11-én a számlája megszüntetésre került, és - a Kérelmező állításával szemben - az elszámolás ezen a napon megtörtént. Ezt elszámolási bizonylat másolatával igazolta a Kérelmezett. A Kérelmező a számlamegszüntetés előtt maga utalta át a megszüntetésre került bankszámláján lévő összeget az […].-nél vezetett bankszámlájára. A 2019. január 1-jén hatályba lépett, a pénzügyi tranzakciós illetékről szóló 2012. évi CXVI. törvényt módosító 2018. évi XLI. törvény, jelentősen módosította a tranzakciós illetékekre vonatkozó szabályokat. Ez alapján nem keletkeztet pénzügyi tranzakciós illetékfizetési kötelezettséget a magánszemély számlájáról történő átutalás tételenként 20 000 forintot meg nem haladó része. A Kérelmező számára azért kellett visszautalni a 1958 Ft-os összeget, mivel a Magyar Nemzeti Bank a 2020. november 5-i végzésben ([…]. számú) arra kötelezte a Kérelmezettet, hogy november 30-ig valamennyi ügyfél számára utalja vissza a tévesen kiterhelt tranzakciós illetéket. Mivel a Kérelmező esetében a Kérelmezett rendelkezésére állt – a fentiekben kifejtetteknek megfelelően a Kérelmezőtől származó forrásból - az […].-nél vezetett számlaszáma, ezért a Kérelmezett erre teljesítette a visszautalást, tehát a Kérelmezett a Kérelmező állításával ellentétben nem más rendszerből, nem „tiltott adatszerzés” útján szerezte meg a Kérelmező bankszámlaszámát. Ezzel összefüggésben a Pmt. 56. § (1) bekezdésére, továbbá a Pmt. 57. § (1) bekezdésére hivatkozott a Kérelmezett, mely szerint a Kérelmezett bankszámlaszámát is meg kell őriznie az ügylet lezárása után 8 évig. A Kérelmező a Kérelmezettet panaszával nem kereste meg, a Kérelmezett az adatkezelés sérelmezéséről a Hatóság végzéséből szerzett tudomást. II.3. A Kérelmezett NAIH-523-6/2021. sz. iratban iktatott nyilatkozata Az […]. számú MNB végzés „vizsgálat célja” és II. pontjából egyértelműen meg lehetett állapítani, hogy milyen jogi kötelezettségeket írnak elő a Kérelmezett számára. Ezt úgy értékelte a Kérelmezett, hogy egy jogi kötelezettségként értékelhető felügyeleti hatósági döntést előzhet meg, ha visszautalja a jogosulatlanul levont összeget az érintetteknek, többek között a Kérelmezőnek is. Ezt „jogi kötelezettséggel egyenértékű” jogalapnak tekintette a Kérelmezett. A Kérelmezett hivatkozott a GDPR 6. cikk (4) bekezdésére, ezen rendelkezésnek megfelelően a bankszámlaszám kezelésének elsődleges céljával összeegyeztethető módon használta fel a bankszámlaszámot a 2020. november 26-án történt utaláskor, mivel a Kérelmező bankszámla kezelésének elsődleges célja az volt, hogy a Kérelmezőnek bármilyen jogcímen járó pénzösszeget átutalással lehessen teljesíteni. Az, hogy a Kérelmezett a Pmt. miatt is tárolta a Kérelmező bankszámlaszámát, nem azt jelenti, hogy ezen egyetlen adatkezelési célból kezeli azt. Emiatt a Hatóságnak nem csak a Pmt. szerinti adatkezelési vonatkozásában, hanem a Kérelmezett által elsődlegesként megjelelölt adatkezelési cél szempontjából is vizsgálni kell a célhoz kötöttség elve megvalósulását. A Kérelmezett álláspontja szerint az elsődleges cél és a 2020. november 26-án teljesített utaláshoz fűződő cél összeegyeztethető, hiszen mindkettő magában foglalja azt, hogy a Kérelmezett a Kérelmezőnek utalja át a megfelelő összeget. II.4. A Kérelmező a bizonyítási eljárás befejeződésről szóló értesítés kézhezvételét követően küldött nyilatkozatában előadta, hogy a személyes adata jogtalanul levont összeg kiutalása céljából történő kezelésével összefüggésben a Kérelmezett Pmt. 56. § (2) bekezdésére és 57. § (1) bekezdésére való hivatkozása a véleménye szerint nem elfogadható. A hivatkozott rendelkezés szövege szerint a kezelt személyes adatok kizárólag a pénzmosás és terrorizmus finanszírozása megelőzése és megakadályozása érdekében végrehajtandó feladatok céljából, az azok ellátásához szükséges mértékben ismerhetők meg, Pmt.-én kívüli célokra azok nem használhatók.

III. Alkalmazott jogszabályi rendelkezések

A GDPR-t kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. A GDPR hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint a GDPR-t az ott megjelölt kiegészítésekkel kell alkalmazni. A GDPR 6. cikk (1) bekezdés c) pontja alapján a személyes adatok kezelése jogszerű, amennyiben az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges. A GDPR 6. cikk (4) bekezdés alapján ha az adatgyűjtés céljától eltérő célból történő adatkezelés nem az érintett hozzájárulásán vagy valamely olyan uniós vagy tagállami jogon alapul, amely szükséges és arányos intézkedésnek minősül egy demokratikus társadalomban a 23. cikk (1) bekezdésében rögzített célok eléréséhez, annak megállapításához, hogy az eltérő célú adatkezelés összeegyeztethető-e azzal a céllal, amelyből a személyes adatokat eredetileg gyűjtötték, az adatkezelő többek között figyelembe veszi:

a) a személyes adatok gyűjtésének céljait és a tervezett további adatkezelés céljai közötti esetleges kapcsolatokat;

b) a személyes adatok gyűjtésének körülményeit, különös tekintettel az érintettek és az adatkezelő közötti kapcsolatokra;

c) a személyes adatok jellegét, különösen pedig azt, hogy a 9. cikk szerinti személyes adatok különleges kategóriáinak kezeléséről van-e szó, illetve, hogy büntetőjogi felelősség megállapítására és bűncselekményekre vonatkozó adatoknak a 10. cikk szerinti kezeléséről vane szó;

d) azt, hogy az érintettekre nézve milyen esetleges következményekkel járna az adatok tervezett további kezelése;

e) megfelelő garanciák meglétét, ami jelenthet titkosítást vagy álnevesítést is. A GDPR 7. cikk (1) bekezdés alapján ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult.

A GDPR 13. cikk (3) bekezdése alapján, ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról. A GDPR 14. cikk (1) – (2) bekezdés alapján: (1) Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat: a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) az érintett személyes adatok kategóriái;

e) a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat: a) a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; b) ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről; c) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga; d) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; e) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; f) a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e; és g) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. GDPR 17. cikk (1) bekezdés alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll: a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték; b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja; c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezelése ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen; d) a személyes adatokat jogellenesen kezelték; e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell; f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.

A GDPR 17. cikk (3) bekezdése alapján az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:

b)a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából;

A GDPR 58. cikk (2) bekezdés b) pontja alapján a felügyeleti hatóság korrekciós hatáskörében eljárva:

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

A GDPR 77. cikk (1) bekezdés alapján az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban -, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.

Az Infotv. 38. § (2b) bekezdés alapján a Hatóságnak a (2) bekezdésben a személyes adatok tekintetében meghatározott feladatköre a bírósági döntés meghozatalára irányuló peres és nemperes eljárásokban, az azokra vonatkozó előírások alapján a bíróság által végzett adatkezelési műveletek vonatkozásában nem terjed ki a (3) bekezdésben meghatározott hatáskörök gyakorlására.

Az Infotv. 60. § (1) A személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az Infotv. 71. § (1) bekezdés alapján a Hatóság eljárása során - az annak lefolytatásához szükséges mértékben és ideig - kezelheti mindazon személyes adatokat, valamint törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatokat, amelyek az eljárással összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. Az Infotv. 75/A. § alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. A munka törvénykönyvéről szóló 2012. évi I. törvény (a továbbiakban: Mt.) 80. § (1)-(2) bekezdés alapján: (1) A munkavállaló munkaviszonya megszüntetésekor (megszűnésekor) munkakörét az előírt rendben köteles átadni és a munkáltatóval elszámolni. A munkakörátadás és az elszámolás feltételeit a munkáltató köteles biztosítani. (2) A munkaviszony felmondással történő megszüntetésekor legkésőbb az utolsó munkában töltött naptól, egyébként legkésőbb a munkaviszony megszűnésétől számított ötödik munkanapon a munkavállaló részére ki kell fizetni a munkabérét, egyéb járandóságait, valamint ki kell adni a munkaviszonyra vonatkozó szabályban és egyéb jogszabályokban előírt igazolásokat. A Pmt 56. § (1) bekezdés alapján a szolgáltató e törvény szerinti feladata ellátásában közreműködő vezetője, segítő családtagja és foglalkoztatottja az e törvényben, valamint az annak felhatalmazásán alapuló jogszabályban foglalt kötelezettség teljesítése során birtokába jutott személyes adatokat - ideértve a pénzeszköz és vagyon forrására vonatkozó információkat kizárólag a pénzmosás és terrorizmus finanszírozása megelőzése és megakadályozása érdekében végrehajtandó feladatai céljából, az azok ellátásához szükséges mértékben megismerheti és kezelheti. A Pmt 57. § (1) bekezdés alapján szolgáltató - az általa vezetett nyilvántartásban - az e törvényben, valamint az annak felhatalmazásán alapuló jogszabályban foglalt kötelezettség teljesítése során birtokába jutott személyes adatnak nem minősülő adatokat, beleértve az elektronikus azonosítás során birtokába jutott adatokat is, valamint minden egyéb, az üzleti kapcsolattal összefüggésben keletkezett adatot az üzleti kapcsolat megszűnésétől, illetve az ügyleti megbízás teljesítésétől számított nyolc évig köteles megőrizni.

Az Ákr. 10. § (1) bekezdés alapján az ügyfél az a természetes vagy jogi személy, egyéb szervezet, akinek (amelynek) jogát vagy jogos érdekét az ügy közvetlenül érinti, akire (amelyre) nézve a hatósági nyilvántartás adatot tartalmaz, vagy akit (amelyet) hatósági ellenőrzés alá vontak. Az Ákr. 35. § (1) bekezdés alapján a kérelem az ügyfél olyan nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében.

IV. Döntés:

IV.1. Infotv. 16. § (1) és (2) bekezdésének megsértésének megállapítására vonatkozó kérelem

Az általános adatvédelmi rendelet alkalmazandóvá válását követően megváltozott az Infotv. személyes adatok védelmével összefüggő rendelkezéseinek hatálya. Az „Infotv.-nek az Európai Unió adatvédelmi reformjával összefüggő módosításáról, valamint más kapcsolódó törvények módosításáról szóló 2018. évi XXXVIII. törvénnyel (a továbbiakban: Módtv.) kihirdetett - 2018. július 26-ától hatályos 2. §-ának (2) bekezdése rögzíti, hogy a személyes adatoknak az általános adatvédelmi rendelet hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet az Infotv. mely rendelkezéseiben meghatározott kiegészítésekkel kell alkalmazni. Ezek között nem szerepelnek a Kérelmező kérelmében hivatkozott rendelkezések.

Tekintettel arra, hogy a Kérelmező kérelmének ezen része nyilvánvalóan alaptalan, mivel az Infotv. hatályos Kérelmező által megsérteni vélt rendelkezéseit – Infotv. 16. § (1)- (2) bekezdését – a kérelem ezen tárgyát képező adatkezelésre a Kérelmezettnek nem kellett alkalmaznia, ezért a Hatóság a kérelem ezen részét elutasította.

IV.2. Adatkezelés jogalapja és az eredeti céltól eltérő egyéb célból végzett adatkezelés

IV.2.1. A Kérelmezett nyilatkozata szerint a Kérelmező bankszámlaszámának őrzési kötelezettségét a Pmt. 56. § (1) bekezdése, továbbá a Pmt. 57. § (1) bekezdése írja elő, melynek időtartama még nem járt le, tehát a GDPR 6. cikk (1) bekezdés c) pontra hivatkozással kezeli jelenleg is a Kérelmező ezen személyes adatát. A Hatóság ezen jogalapot elfogadta és ezen adatkezelést jogszerűnek tartja. A fentiek alapján tehát a Kérelmező személyes adatának törlése a GDPR 17. cikk (3) bekezdés b) pont miatt nem kérhető. Erre tekintettel a Hatóság elutasította a Kérelmező kérelmének azon részét, hogy utasítsa a Kérelmezettet a bankszámlaszáma törlésére. IV.2.2. Az általános adatvédelmi rendelet 6. cikk (4) bekezdése lehetővé teszi, hogy a személyes adatokat az adatkezelés eredeti céljától eltérő egyéb célból kezelje az adatkezelő, feltéve, hogy az adatkezelés összeegyeztethető az adatkezelés eredeti céljával, amelyre a személyes adatokat eredetileg gyűjtötték. Ebben az esetben az adatkezelőnek több szempontot figyelembe kell vennie, melyek közül az általános adatvédelmi rendelet a 6. cikk (4) bekezdése példálózó felsorolásban kiemeli azokat a körülményeket, amelyek mérlegelését a legfontosabbnak tartja. Jelen ügyben megállapítható, hogy a Kérelmezett az eredeti adatkezelési céltól eltérő egyéb célból is kezelte a Kérelmező bankszámlaszámát. Ezen cél tekintetében alkalmaznia kellett volna az általános adatvédelmi rendelet 6. cikk (4) bekezdésében foglaltakat, és meg kellett volna állapítania, hogy az adatkezelés eredeti és ettől eltérő célja összeegyeztethető-e. A Kérelmezett a Hatósághoz küldött nyilatkozatában hivatkozott arra, hogy ezen rendelkezésnek megfelelően a bankszámlaszám kezelésének elsődleges céljával összeegyeztethető módon használta fel a bankszámlaszámot a 2020. november 26-án történt utaláskor, mivel a Kérelmező bankszámla száma kezelésének elsődleges célja az volt, hogy a Kérelmezőnek bármilyen jogcímen járó pénzösszeget átutalással lehessen teljesíteni. A Hatóság azonban nem ért egyet a Kérelmezett álláspontjával, mivel a Kérelmezett amikor felhasználta a Kérelmező bankszámlaszámát, akkor átutalás teljesítés célból már nem kezelhette azt, mivel 2020. szeptember 13. napján szűnt meg a munkaviszonya a Kérelmezőnek a Kérelmezettel, és az Mt. 80. § (1)–(2) bekezdés alapján az elszámolásnak meg kell történnie, legkésőbb a jogviszony megszűnésétől számított 5 napon belül, mely a Kérelmezett állítása és a becsatolt dokumentumok szerint is megtörtént. Az általános adatvédelmi rendelet 6. cikk (4) bekezdés alapján a mérlegelés időpontjában fennálló adatkezelési célt kell összevetni a jövőben alkalmazandó új céllal, tehát a 2020. november 26-án teljesített utalással összefüggésben az általános adatvédelmi rendelet 6. cikk (4) bekezdése alapján végzett mérlegeléskor már a Pmt. alapján végzett adatkezelése célját kellett alapul vennie, és ezzel összevetnie az átutalási célt. A Kérelmezett arra vonatkozó nyilatkozatában, miszerint a bankszámlaszám kezelésének elsődleges céljával összeegyeztethető módon használta fel a bankszámlaszámot a 2020. november 26-án történt utaláskor, mert a Kérelmező bankszámla száma kezelésének elsődleges célja az volt, hogy a Kérelmezőnek bármilyen jogcímen járó pénzösszeget átutalással lehessen teljesíteni, ellentmondás fedezhető fel, mivel emellett azt is nyilatkozta, hogy „Ahogy a korábbi levelünk 3. kérdésre adott válaszunkban is szerepelt, a Pmt. 56. § (1) bekezdésére és a Pmt. 57. § (1) bekezdésére figyelemmel a […] az utalásokra vonatkozó adatokat – így a Kérelmező […]nél vezetett bankszámlaszámát – 8 évig nem törölheti. Ebből fakadóan a Kérelmezett 2020. november 26-án is rendelkezett a Kérelmező azon számlaszámával, amelyre 2020. szeptember 11-én utalást teljesített.” A fentiek alapján tehát a Kérelmezettnek a Pmt. előírásai alapján végzett adatkezelés célját kellett volna összevetnie az új adatkezelési céllal, azaz a jogosulatlanul levont összeg visszautalásával összefüggő adatkezelési céllal. Nem összeegyeztethető adatkezelési célok esetén pedig az új célú adatkezelés nyilvánvalóan nem végezhető, mivel megfelelő, érvényes jogalap nem áll fenn. A Kérelmezett azonban ezt a mérlegelést nem végezte el, mivel a GDPR 6. cikk (4) bekezdés szerinti mérlegelés elsődleges célját, tehát az átutalás teljesítésekor fennálló „eredeti” adatkezelési célt nem megfelelően azonosította. IV.2.3.Az előző pontban megállapítottak nem zárják ki azt, hogy a Kérelmezett megfelelő jogalappal rendelkezhetett a kifogásolt adatkezelés vonatkozásában, mivel az általános adatvédelmi rendelet 6. cikk (4) bekezdés szerinti mérlegelés megfelelő elvégzése után, attól függetlenül arra a megállapításra is juthat, hogy a pénzügyi tranzakciós illetékről szóló 2012. évi CXVI. törvényt módosító 2018. évi XLI. törvény értelmében jogosulatlanul levont összeg visszautalására jogi kötelezettsége áll fenn, és ezzel összefüggésben az adatkezelésre a jogos érdek megállapítható lehet, és így a visszautalási kötelezettsége teljesítése céljából a Pmt. alapján tárolt személyes adatot a jogosulatlanul levont összeg visszautalása célból kezeli.

A mérlegeléssel érintett két cél tehát jogi kötelezettség teljesítésével van összefüggésben, bár a visszautalás időpontjában fennálló „eredeti” célnál (Pmt. előírása alapján végzett adatkezelésnél), melyet az új céllal kell összevetni, kifejezetten adatkezeléssel összefüggő jogi kötelezettségről van szó, míg a visszautalási kötelezettséggel összefüggő célnál nem az adatkezeléssel összefüggő a jogi kötelezettség, hanem a visszautalási kötelezettségből vezethető le az adatkezeléssel összefüggő jogos érdek, ezért a GDPR 6. cikk (4) bekezdésének rendelkezése alkalmazandó.

A fentiekre tekintettel a Hatóság elutasította a Kérelmező kérelmének arra irányult részét, mely szerint állapítsa meg, hogy a Kérelmezett a Kérelmező bankszámlaszámlájára történő utalással megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését. Továbbá tekintettel arra, hogy a Kérelmezett adatkezelése jogalapjának nem a GDPR 6.cikk (1) bekezdés a) jogalapját jelölte meg, hanem a GDPR 6. cikk (1) bekezdés c) pontját, ezért a Hatóság elutasította a Kérelmező kérelmének arra irányult részét is, hogy állapítsa meg a GDPR 7. cikk (1) bekezdésének megsértését. A Hatóság ugyanakkor hivatalból megállapította, hogy a Kérelmezett a fentiek alapján megsértette az általános adatvédelmi rendelet 6. cikk (4) bekezdésében foglaltakat.

IV.3. Tájékoztatási kötelezettség

IV.3.1.Tájékoztatási kötelezettség a személyes adatok megszerzésének időpontjában A fentiekben megállapítottak szerint a Kérelmező […].-nél vezetett bankszámlája számát a Kérelmező bocsátotta a Kérelmezett rendelkezésére, mivel a Kérelmező utalta át rá az utolsó munkában töltött napján az őt megillető összeget. A tájékoztatási kötelezettséget a fentiekkel összefüggésben a GDPR 13. cikke írja elő. A Hatóság megállapítása szerint a Kérelmezett honlapján elérhető adatkezelési tájékoztató általánosságban tájékoztatást nyújt a GDPR 13. cikk (1) – (2) bekezdésekben előírt adatkezelési körülményekről. A Kérelmezett az adatkezelési tájékoztatójában (a 3.2. pontban) hivatkozott a jogszabályon alapuló adatkezelésre, azaz a GDPR 6. cikk (1) bekezdés c) pontra, továbbá adatmegőrzési idővel összefüggésben a Pmt. 57. § (1) bekezdésre, melyek alapján a Kérelmező személyes adata, azaz a bankszámlaszáma vonatkozásában is adatkezelést végez, továbbá felsorolja, hogy mely személyes adatai vonatkozásában végez adatkezelést, és tájékoztatást nyújt az adattovábbításokkal összefüggésben és az érintetti jogokról is. A Kérelmezett a honlapján közzétett adatkezelési tájékoztatóval, mely a fentieket tartalmazza, eleget tett a Kérelmező személyes adatának, azaz a bankszámlaszámának megszerzése időpontjában fennálló általános jellegű - GDPR 13. cikk (1) – (2) bekezdés szerinti - tájékoztatási kötelezettségének. Tekintettel arra, hogy a Kérelmező személyes adatainak forrása a Kérelmező volt, ezért a GDPR 14. cikk erre az esetre nem alkalmazható, mivel ez abban az esetben írja elő a tájékoztatási kötelezettséget az adatkezelőnek, ha személyes adatokat nem az érintettektől gyűjtötték, emiatt a Hatóság elutasította a Kérelmező arra irányult kérelmét, hogy állapítsa meg a GDPR 14. cikk (1) – (2) bekezdésének sérelmét. A Kérelmezett adatkezelési tájékoztatóján túl a Kérelmező, mint érintett a GDPR 15. cikke alapján további tájékoztatást is kérhetett volna a Kérelmezettől, azonban a Kérelmezett állítása szerint ilyen kérelem nem érkezett hozzá, továbbá a Kérelmező sem csatolt be olyan iratokat, melyek ezt megcáfolhatták volna. IV.3.2. Az eltérő célból végzett adatkezeléssel összefüggő tájékoztatási kötelezettség A Hatóság megállapította, hogy a Kérelmezettnek tájékoztatnia kellett volna a Kérelmezőt a GDPR 6. cikk (1) bekezdés szerinti mérlegelés elvégzése után az új adatkezelési célról és ehhez kapcsolódóan minden releváns információról az általános adatvédelmi rendelet 13. cikk (3) bekezdése alapján. Tekintettel arra, hogy a Kérelmezett elmulasztotta a GDPR 6. cikk (4) bekezdése szerinti mérlegelés elkészítése mellett az új adatkezelési céllal összefüggő tájékoztatási kötelezettségének eleget tenni, ezért a Hatóság hivatalból megállapította, hogy a Kérelmezett megsértette az általános adatvédelmi rendelet 13. cikk (3) bekezdésében foglaltakat.

IV.4. Adatvédelmi bírság kiszabására irányuló kérelem

IV.4.1.A Hatóság elutasította a Kérelmező adatvédelmi bírság kiszabására vonatkozó kérelmét, mivel e jogkövetkezmény alkalmazása a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen – a közérdek érvényesítésének körébe eső - jogkövetkezmény alkalmazása tekintetében a bírságkiszabás vonatkozásában a Kérelmező nem minősül ügyfélnek az Ákr. 10.§ (1) bekezdése alapján, illetve mivel az Ákr. 35.§ (1) bekezdésének nem felel meg, e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető. IV.4.2.A Hatóság ugyanakkor hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében bírság kiszabása nem arányos és nem szükséges, tekintettel arra, hogy a Kérelmezett GDPR jogsértésének megállapítására korábban nem került sor.

IV.5. Jogkövetkezmények

A Hatóság a Kérelmező kérelmét elutasítja és hivatalból az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezettet, mert megsértette az általános adatvédelmi rendelet 6. cikk (4) bekezdését, továbbá a 13. cikk (3) bekezdését.

V. Egyéb kérdések:

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Budapest, 2021. június 6.

Dr. Péterfalvi Attila elnök c. egyetemi tanár