Hungarian Data Protection Authority: Scope of the right of access

Ügyszám: NAIH/2019/3990/ Tárgy: érdemi döntés kérelemre indult adatvédelmi hatósági eljárásban; áttételt elrendelő végzés

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt […] kérelmező (a továbbiakban: Kérelmező) kérelmére (a továbbiakban: Kérelem) a […] (a továbbiakban: Kérelmezett) szemben indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza: I. A Hatóság a Kérelmező Kérelmének részben helyt ad az alábbiak szerint:

I.1. Megállapítja, hogy a Kérelmezett nem tájékoztatta a Kérelmezőt az alábbi, érintetti joggyakorlásra irányuló kérelmei beérkezésétől számított egy hónapon belül a kérelmei nyomán megtett intézkedésekről, valamint az intézkedések elmaradásának okairól,

• amikor a Kérelmező 2019. január 11-én és február 19-én kelt, a Kérelmezett által róla kezelt valamennyi kamerafelvétel tételes felsorolására vonatkozó hozzáférési kérelmére csak a 2019. április 4-i válaszlevelében adott teljeskörű választ; • a Kérelmező fényképfelvételek vonatkozásában előterjesztett adatkezelés korlátozása iránti kérelme kapcsán; • a fiókvezetői feljegyzések kezelésének korlátozása tárgyában előterjesztett kérelme kapcsán. I.2. Megállapítja, hogy a Kérelmezett megsértette a Kérelmező hozzáférési jogát azáltal, hogy

• a 2018. november 14-e és 2019. március 6-a között készült kamerafelvételekről nem adott másolatot a Kérelmezőnek a felvételeken található védett adatok és információk kitakarásával, ide nem értve a 2019. január 14-én, az […] bankfiókban készült kamerafelvételt; • nem bocsátotta a Kérelmező rendelkezésére a […] számlája első három havi, valamint 2013. júliusa és novembere közötti időszakra vonatkozó számlakivonatait; • nem adott tájékoztatást a Kérelmezőnek a személyes adatainak a fiókvezetői feljegyzésekkel összefüggésben való kezeléséről; • a fiókvezetői feljegyzések másolatát nem bocsátotta a Kérelmező rendelkezésére az azokban található védett adatok és információk kitakarásával; I.3. Megállapítja, hogy a Kérelmezett megsértette a Kérelmező adatkezelés korlátozásához való jogát azzal, hogy a 2019. január 14-én, a budapesti […] bankfiókban készült felvételt a Kérelmezett már nem kezeli, holott a Kérelmező kérte ezen felvétel kezelésének a korlátozását. II. A Hatóság a Kérelmet az I., III. és V. pontban nem említett részei tekintetében elutasítja, mivel

• a Kérelmezett eleget tett a válaszadási kötelezettségének akkor, amikor a korábbi válaszaihoz hasonló tartalommal a kérelem beérkezésétől számított egy hónapon belül megválaszolta a Kérelmező szerződései eltűnései kapcsán előterjesztett kérelmeit, ebből kifolyólag pedig újabb válasz adására nem kötelezhető; • a Kérelmezett megfelelően tájékoztatta a Kérelmezőt arról, hogy valamennyi róla készült kamerafelvételt a Kérelmező adatkezelés korlátozása iránti kérelmei alapján, azoknak megfelelően kezeli, így ezen információ ismételt megadására értelmetlen kötelezni a Kérelmezettet; • a Kérelmező azon kérelme, hogy a Hatóság kötelezze a Kérelmezettet pontosabb válaszadásra a kamerafelvételek kezelése kapcsán, illetve a kamerafelvételek pontos időintervallumának megadására, túlzó;

• a Kérelmezett egy hónapon belül megválaszolta a Kérelmező kamerafelvételek másolatának kiadására irányuló, 2019. február 19-én kelt hozzáférési kérelmét; • a Kérelmezett a Kérelmező kérelmének benyújtását megelőzően már megkísérlete a Kérelmező rendelkezésére bocsátani a róla készült kamerafelvételek másolatát tartalmazó adathordozót, azonban azt a Kérelmező nem vette át, • a Kérelmezett megfelelően és határidőben tájékoztatta a Kérelmezőt mind a 2019. január 11-én, mind a 2019. március 10-én kelt, kamerafelvételek korlátozása iránti kérelme kapcsán az azok alapján megtett intézkedésekről; • a 2018. december 3-án a […] bankfiókban tett látogatásáról nem készült kamerafelvétel, így az érintetti jogai sem sérülhettek; • a 2019. január 14-én a budapesti […] bankfiókban készült kamerafelvétel a másolatra kiadására irányuló kérelem Kérelmezetthez való benyújtásakor már nem állt a Kérelmezett rendelkezésére; • a Kérelmező már rendelkezik azzal az információval, hogy a Kérelmezett a Kérelmező kérelmére hány évre zárolja a kamerafelvételeket; • a Kérelmezett egy hónapon belül megválaszolta a Kérelmezőnek a […] által felvett jegyzőkönyvek kapcsán előterjesztett hozzáférési joggyakorlásra irányuló kérelmét, így a Hatóság nem utasítja újabb válaszadásra a Kérelmezettet; • nem sérült a Kérelmező hozzáférési joga akkor, amikor a Kérelmezett a személyes adatának nem minősülő jegyzőkönyvek kapcsán nem tett eleget a Kérelmező érintetti joggyakorlás iránti kérelmeinek; • a Kérelmezett eleget tett a Kérelmező azon kérelmének, hogy a […] folytatott beszélgetéseinek másolatát tartalmazó adathordozó mellé mellékeljen olyan listákat, amelyek tartalmazták a beszélgetések kezdetét, időtartamát és a beszélgetések egyedi azonosítóját; • a Kérelmezett a közjegyzői válaszban már a Kérelmező rendelkezésére bocsátotta a fényképfelvételek másolatát; • a Kérelmezettnek nincs olyan kötelezettsége, amely alapján tájékoztatnia kellene a Kérelmezőt arról, hogy a fényképfelvétel pontosan mikor, melyik bankfiókban készült róla; • a Kérelmezett rendelkezik megfelelő céllal és jogalappal a fényképfelvételek kezelésére; • a fényképfelvételek kapcsán nem álltak fenn az adatkezelés korlátozásának GDPR-ban meghatározott feltételei; • a Kérelmezett egy hónapon belül válaszolt a Kérelmező […] számláját érintő hozzáférési joggyakorlásra irányuló kérelmére; • a […] számlaszerződés, a számlanyitási dokumentáció másolata nem áll a Kérelmezett rendelkezésére, így a Kérelmezett ezen dokumentáció Kérelmező részére való átadására való kötelezésétől nem várható eredmény; • a […] számlára vonatkozó ÁSZF, a kapcsolódó hirdetmények, szerződésminták nem minősülnek személyes adatnak, így azok kapcsán érintetti jogok sem gyakorolhatók; • a Kérelmezett egy hónapon belül tájékoztatta arról a Kérelmezőt, hogy mivel a fiókvezetői feljegyzéseket nem tekinti a Kérelmező személyes adatának, a kérelme alapján nem tesz intézkedéseket; • a Kérelmezett a fiókvezetői feljegyzéseket jogszerűen – megfelelő célból és jogalappal – kezeli; • a fiókvezetői feljegyzések vonatkozásában nem álltak fenn az adatkezelés korlátozásának jogszabályi feltételei, így ezen kérelemnek a Kérelmezettnek nem kellett eleget tennie. III. A Hatóság az eljárást az alábbi részekben végzésével megszünteti, mivel

• a Hatóság már érdemben elbírálta a Kérelmező azon kérelmét, amely a hozzáférési joga sérelmének megállapítására irányult az egyes, Kérelmezettel kötött szerződései eltűnésének körülményeiről való tájékoztatás elmaradása kapcsán; • a Kérelmező szerződéseinek eltűnéséről való tudomásszerzésre 2018. május 25-e előtt került sor, így ezen incidens Kérelmezett általi kezelése a GDPR alapján nem vizsgálható; • a Kérelmező által a szerződései eltűnése kapcsán felvetett bizonyos kérdések nem minősülnek a Kérelmező személyes adatának és nem állapítható meg kétséget kizáróan az ügyben hatáskörrel és illetékességgel rendelkező hatóság;

• az, hogy a fényképfelvételek kinek az utasítására készültek el, illetve, hogy mikor adott a Kérelmező számára a fényképfelvételek kezeléséről tájékoztatást a Kérelmezett, nem minősülnek a Kérelmező személyes adatának és nem állapítható meg kétséget kizáróan az ügyben hatáskörrel és illetékességgel rendelkező hatóság; • a fényképfelvételek továbbítására a GDPR alkalmazandóvá válását megelőzően, 2017. június 30-án került sor. IV. A Hatóság utasítja a Kérelmezettet, hogy a határozat véglegessé válásától számított 30 napon belül

• adjon másolatot a Kérelmezőnek a […] számlája első három havi, valamint 2013. júliusa és novembere közötti időszakra vonatkozó számlakivonatairól; • adjon tájékoztatást a Kérelmezőnek a személyes adatainak a fiókvezetői feljegyzésekkel összefüggésben való kezeléséről; • adjon másolatot a Kérelmezőnek a fiókvezetői feljegyzésekről olyan módon, hogy azokon a harmadik személyek, valamint az üzleti titoknak minősülő adatok kitakarásra kerülnek! V. A Hatóság az ügyet végzésével a […] számlaszerződés másodpéldányának szerződéskötéskor a Kérelmező részére való átadására vonatkozó részében átteszi a Magyar Nemzeti Bankhoz. VI. Hivatalból az I.1. és I.2. pontban megállapított jogsértések miatt a Kérelmezettet a jelen határozat véglegessé válásától számított 30 napon belül

500.000 Ft, azaz ötszázezer forint adatvédelmi bírság megfizetésére kötelezi.

* * * Az IV. pont szerinti intézkedések megtételét a Kérelmezettnek a határozat véglegessé válásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A bírságot a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2019/3990. BÍRS. számra kell hivatkozni. Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg.

A IV. pont szerinti kötelezettség, illetve a bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását.

A jelen határozattal és eljárást megszüntető végzéssel szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. Az áttételt elrendelő végzéssel szemben nincs helye önálló jogorvoslatnak, az csak az ügy érdemében hozott határozat, ennek hiányában az eljárást megszüntető végzés elleni jogorvoslati kérelemben támadható meg.

I N D O K O L Á S

I. Az eljárás menete és a tényállás tisztázása

(1) I.1. A Kérelmező 2019. április 23-án nyújtotta be a Kérelmét a Hatósághoz.

(2) A Kérelmező a kérelemben előadta, hogy 2019. január 11-én, 2019. február 13-án, 2019. február 19-én és 2019. március 10-én panaszbeadványokat és érintetti joggyakorlásra irányuló kérelmeket (a továbbiakban együttesen: kérelmek) nyújtott be a Kérelmezetthez, azonban ezen kérelmeire nem kapott választ, illetve nem elégedett a kapott válaszokkal.

(3) A Kérelmező a Hatóság hiánypótlási felhívására a 2019. július 18-án tett nyilatkozatában pontosította a Kérelmét, a döntéshozatal során a Hatóság ezen pontosított Kérelmet vette alapul.

(4) A Kérelmező a 2019. január 11-i kérelme 3. pontjában pénzügyi panaszként előterjesztve kifogásolta, hogy a Kérelmezett kezeléséből eltűnt a 2013. […] kelt USD és HUF számlaszerződése, a VISA bankkártyaszerződése, valamint az E-banking szerződése. Ezzel összefüggésben tájékoztatást kért a Kérelmezettől a szerződések eltűnésének részleteiről, annak időpontjáról, az eltűnés észleléséről, dokumentálásáról. Ezen kérelmét szintén panaszként 2019. február 13-án újból előterjesztette. A 2019. március 10-én kelt kérelme 12.a) pontjában a HUF számlaszerződése és a VISA bankkártyaszerződése kapcsán ismételten arról kért tájékoztatást, hogy ezen szerződéseket megtalálta-e a Kérelmezett, illetve azok eltűntek-e. Emellett kérte az ezen szerződések kapcsán a Kérelmezett által 2013 decemberében használt szerződésminta másolatát, illetve tájékoztatást arról, hogy mi volt ezen szerződések tartalma.

(5) A Kérelmező a 2019. január 11-i és március 10-i kérelmeiben tájékoztatást kért arról, hogy a Kérelmezett milyen kamerafelvételeket kezel róla, azok pontosan hol és mikor – ideértve az időintervallumot is – készültek, illetve azokat az ő adatkezelés korlátozására vonatkozó kérelme vagy a jogos érdeke alapján kezeli a Kérelmezett. Ezen kérelmét megismételte a 2019. február 19-én kelt kérelmében is, kiegészítve azzal, hogy a Kérelmezett jelölje meg a kamerafelvételek vonatkozásában az adatkezelés korlátozása iránti kérelmeinek napját is, illetve kérte valamennyi róla kezelt kamerafelvétel másolatának a rendelkezésére bocsátását.

(6) A Kérelmező a 2019. január 11-én kelt kérelmében hat darab – 2018. november 14. és 2019. január 10. között –, a Kérelmezett bankfiókjaiban működő biztonsági kamerák által készített, őt ábrázoló kamerafelvétel kezelésének korlátozását kérte a Kérelmezettől öt évre, továbbá ezen hat kamerafelvétel megtekintésének biztosítását, és az azokról készült másolat kiadását. A Kérelmező a fentiekkel mindenben megegyező kérelmet nyújtott be 2019. március 10-én újabb hat darab 2019. január 14. és 2019. március 6. között készült kamerafelvétel vonatkozásában.

(7) A Kérelmező 2019. január 11-i kérelmében kérte a Kérelmezettől, hogy adjon másolatot a […] által 2018. november 14. és 2019. január 11. között felvett jegyzőkönyvekről, amelyek a Kérelmezett bankfiókjaiban történt ügyintézési kísérleteihez kapcsolódnak. Ezen jegyzőkönyvekkel összefüggésben tájékoztatást kért az adatkezelés jogalapjáról, céljáról és időtartamáról, továbbá kérte az eredeti példányba való betekintést is.

(8) A Kérelmező a 2019. március 10-i kérelmében kérte a Kérelmezett […]-vel 2013. november 25. és 2019. március 10-e közti időszakban folytatott beszélgetésekről készült hangfelvételek másolatát, azoknak az adathordozón időrendi sorrendbe való rendezését, továbbá egy listát, amelyen fel van tüntetve a beszélgetés dátuma, annak pontos kezdete, a beszélgetés időtartama, az ügyintéző neve, valamint a beszélgetés egyedi azonosítója.

(9) Kérelmező 2019. március 10-én kelt kérelmében előadta, hogy a Kérelmezett a 2017. június 30-án kelt körlevelében több fényképet küldött körbe róla, de a Kérelmezett 2019. február 8-án kelt válasza mellékleteként csak egyetlen képet csatolt, így tájékoztatást kért arról, hogy ezen körlevélben hány fényképet küldött körbe róla a Kérelmezett, továbbá kérte ezen fényképek másolatát elektronikusan és papír alapon is. Tájékoztatást kért továbbá arról, hogy a fénykép mely napon, ki által, kinek az utasítására, milyen célból és jogalapon, hogyan és hol készült. Kérte továbbá a Kérelmezett nyilatkozatát arra vonatkozóan, hogy a képmása kezeléséről mikor és milyen formában tájékoztatta őt a Kérelmezett, illetve, ha nem történt ilyen tájékoztatás, mi ennek elmaradásának oka. Kérte továbbá ezen fényképfelvételek kezelésének öt évre való korlátozását.

(10) A Kérelmező 2019. március 10-i kérelmében vitatta, hogy kötött volna a Kérelmezettel általa […]-nak nevezett számlaszerződést, ezért kérte ezen számlaszerződés és a számla első három havi, illetve 2013 júliusa és novembere közti időszakra vonatkozó kivonatának másolatát, valamint ezen banki termék 2013-ban hatályos ÁSZF-jét. Ezen számlával összefüggésben tájékoztatást kért továbbá arról, hogy a Kérelmezett az irattárában tárolja-e a számlaszerződést, azt átadta-e neki – az átadás tényének igazolásával –, illetve ő azt aláírta-e, ismeri-e a Kérelmezett a számlaszerződés tartalmát. Kérte, hogy amennyiben a Kérelmezett ismeri a számlaszerződés tartalmát, arról tájékoztassa. Kérte továbbá az ezen számla kapcsán 2000-ben használt szerződésminta másolatát.

(11) A Kérelmező szintén a 2019. március 10-én kelt kérelmében kérte, hogy a Kérelmezett a fióklátogatásaival, az azok kapcsán a Kérelmezett alkalmazottai által leadott riasztásokkal összefüggésben 2016. március 1. és 2019. március 7. közötti időszakban készült fiókvezetői feljegyzések másolatát bocsássa a rendelkezésére. Kérte a tájékoztatását arról, hogy mely napokról, mely bankfiókban való megjelenésével összefüggésben készült fiókvezetői feljegyzés, és összesen hány darab ilyen feljegyzés készült. Tájékoztatást kért továbbá a fiókvezetői feljegyzések kezelésének céljáról, jogalapjáról, időtartamáról, továbbá kérte ezen feljegyzések kezelésének korlátozását öt évre.

(12) A Kérelmező a Hatósághoz intézett Kérelmében kérte, hogy a Hatóság állapítsa meg a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR) rendelkezéseinek megsértését, mivel a Kérelmezett nem vagy csak késedelmesen tett eleget az érintetti joggyakorlásra irányuló kérelmeinek, továbbá kérte a hozzáférési és adatkezelés korlátozásához való joga sérelmének megállapítását, továbbá kérte, hogy a Hatóság kötelezze a Kérelmezettet a 2019. január 11-i, február 13-i, február 19-i és március 10-i kérelmében foglaltak teljesítésére. A Kérelmező kérelmére az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján a NAIH/2019/3990. ügyszámon adatvédelmi hatósági eljárás indult.

(13) I.2. A Kérelmezett a Kérelmező hozzáférési joggyakorlásra és adatkezelés korlátozása iránti kérelmeire

2019. február 8-án közjegyző útján (a továbbiakban: közjegyzői válasz), 2019. március 13-án és április 4-én kelt leveleiben adott választ.

(14) A Hatóság végzéseiben két alkalommal kért tájékoztatást a Kérelmezettől az üggyel kapcsolatban a tényállás tisztázása érdekében. A Kérelmezett tényállástisztázó végzésekre adott válaszait, illetve a Kérelmezőnek adott válaszait a Hatóság a Döntés részben az egyes kérelmek kapcsán ismerteti a könnyebb áttekinthetőség érdekében.

(15) I.3. A Hatóság a NAIH/2019/1859. számú adatvédelmi hatósági eljárásban a Kérelmező Kérelmezetthez

2018. június 14-én, augusztus 22-én és november 5-én benyújtott hozzáférési joggyakorlásra irányuló kérelmeit bírálta el. A Hatóság az ügyben a NAIH/2019/1859/13. számon határozatot hozott, amelyben több olyan kérdést is elbírált, amelyek relevánsak a jelen eljárás szempontjából, így az abban a határozatban tett megállapításaira a Hatóság az indokolásban több alkalommal is hivatkozik. A korábban már elbírált, a jelen ügy szempontjából is releváns kérdések a következők: a Kérelmező szerződéseinek eltűnéséről való tájékoztatása; a Kérelmező fióklátogatásairól készült kamerafelvételek másolatának kiadása; a […] által a bankfiókba való kiszállásról készült jegyzőkönyvek személyes adat jellege. A Kérelmező a Hatóság NAIH/2019/1859/13. számú határozatával szemben keresetet nyújtott be, így annak bírósági felülvizsgálatára közigazgatási per van folyamatban a Fővárosi Törvényszék előtt a […] számon.

II. Az ügyben alkalmazandó jogszabályi rendelkezések

A GDPR 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre a GDPR-t kell alkalmazni. A GDPR jelen ügyben releváns rendelkezései a következők: GDPR 4. cikk 1. pont: „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. GDPR 5. cikk (1) bekezdés b) pont: A személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség); GDPR 6. cikk (1) bekezdés c) pont: A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: c)az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; GDPR 12. cikk (3) bekezdés: Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15–22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. GDPR 12. cikk (4) bekezdés: Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. GDPR 12. cikk (5) bekezdés: A 13. és 14. cikk szerinti információkat és a 15–22. és 34. cikk szerinti tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az adatkezelő, figyelemmel a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségekre: (…) b) megtagadhatja a kérelem alapján történő intézkedést. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli. GDPR 15. cikk (1) bekezdés: Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár. GDPR 15. cikk (3) bekezdés: Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.

GDPR 15. cikk (4) bekezdés: A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait. GDPR 18. cikk (1) bekezdés b) és c) pont: Az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül: b) az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását; c) az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez. GDPR 58. cikk (2) bekezdés b), c), g) és i) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; i)a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. GDPR 83. cikk (1)-(2) és (5) bekezdés a)-b) pont: (1) Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. (2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket: a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően;

b) az érintettek jogai a 12–22. cikknek megfelelően. Az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Infotv. 38. § (2)-(2a) bekezdései: A Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. (2a) Az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel. Az Infotv. 75/A. § szerint a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. A hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény (a továbbiakban: Hpt.) 288. § (3) bekezdése: A pénzügyi intézmény és a független közvetítő a panaszt és az arra adott választ öt évig őrzi meg, és azt a Felügyelet kérésére bemutatja.

III. Döntés:

III.1. A Kérelmező szerződései eltűnésének körülményeiről való tájékoztatás (16) A Kérelmező a Kérelmében kérte a hozzáférési joga sérelmének megállapítását a szerződések eltűnésének körülményeiről való tájékoztatás elmaradása miatt.

(17) 2019. január 11-ét megelőzően több alkalommal kért tájékoztatást a Kérelmezettől a négy eltűnt szerződése vonatkozásában, legutóbb 2018. június 14-én. A Hatóság ezen 2018. júniusi kérelmet összevetette a jelen eljárásban vizsgált kérelmekkel és arra a megállapításra jutott, hogy azok tartalma szinte szóról-szóra azonos.

(18) A Hatóság a Kérelmező 2018. június 14-én kelt kérelmében foglaltakat a NAIH/2019/1859/13. számon hozott határozatában már megvizsgálta, amelyben megállapította, hogy nem sérült a Kérelmező hozzáférési joga akkor, amikor a Kérelmezett nem tájékoztatta őt a szerződések eltűnésének olyan körülményeiről, amelyről maga sem rendelkezik információval.

(19) A Kérelmező tájékoztatást kért arról is, hogy a Kérelmezett megtalálta-e a vitatott négy szerződését, mivel álláspontja szerint a Kérelmezett által a Fővárosi Törvényszék előtt a […] számon folyamatban lévő perben tett azon kijelentése, miszerint „az alperes [a Kérelmezett] a jelen perben nem tett olyan nyilatkozatot, miszerint azok [a […] kelt HUF bankszámlaszerződés és […] bankkártyaszerződés] ne állnának az alperes [a Kérelmezett] rendelkezésére”, akként értelmezhető, hogy a Kérelmezett a szerződéseket megtalálta. A Hatóság a döntéshozatal során elsősorban az ügyfelek előtte tett nyilatkozatait veszi figyelembe, és nem kötik az ügyfelek más eljárásban tett nyilatkozatai. A Kérelmezett a közjegyzői válasz 3. pontjában arról tájékoztatta a Kérelmezőt, hogy a szerződések ismeretlen körülmények között és meg nem határozható időpontban váltak elérhetetlenné, így a Hatóság ezen konkrét nyilatkozatot tekinti a döntéshozatal során irányadónak.

(20) A fentiek alapján a Hatóság az eljárást az eltűnt szerződések vonatkozásában a Kérelmező hozzáférési joga sérelmére vonatkozó részében megszünteti az Ákr. 47. § (1) bekezdés a) pontja és a 46. § (1)

bekezdés b) pontja alapján, mivel a kérdést korábban már érdemben elbírálta és a kérelem tartalma, valamint az irányadó jogi szabályozás nem változott.

(21) A Kérelmező álláspontja szerint a szerződések eltűnése adatvédelmi incidensnek minősül, amelyek kezeléséhez kapcsolódóan a Kérelmezett nem teljesítette a kötelezettségeit. Ennek kapcsán a Hatóság a 2018. március 14-én kelt, NAIH/2018/218/9/V. ügyszámú iratában megállapította, hogy a Kérelmezett a Kérelmező eltűnt négy szerződése vonatkozásában megsértette az akkor hatályos Infotv. 7. § (2) és (3) bekezdésében támasztott adatbiztonsági követelményeket, mivel nem őrizte meg ezeket a szerződéseket a pénzmosás és terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi CXXXVI. törvény 28. § és 28/A. § szerinti nyolc évig.

(22) A szerződések eltűnése okozta incidens kezelése GDPR alapján nem vizsgálható, mivel a szerződések eltűnése, valamint az arról való Kérelmezett általi tudomásszerzés 2018. május 25-e előtt történt. Ebben az időpontban a GDPR még nem volt alkalmazandó, ezért a Kérelmezett vonatkozó incidenskezelésének vizsgálatára vonatkozó kérelem nem felel meg a GDPR 77. cikk (1) bekezdésében, valamint az Infotv. 60. § (2) bekezdésében foglalt követelményeknek, így ebben a vonatkozásban a Hatóság adatvédelmi hatósági eljárása sem kezdeményezhető, ezért az Ákr. 47. § (1) bekezdés a) pontja alapján a Hatóság az eljárást a kérelem ezen részében megszüntette.

(23) A Kérelmező a szerződések eltűnése kapcsán számos olyan kérdést is feltett, amelyek túlterjeszkednek a hozzáférési jog gyakorlásának keretein, mivel azok olyan információkra vonatkoznak, amelyek nem képezik a Kérelmező személyes adatát, és amelyekről – ha az alkalmazandó lenne az incidens kapcsán – még a GDPR 34. cikke alapján sem kellene tájékoztatást nyújtani a Kérelmezőnek. Ezen kérdések a következők: eljutottak-e a szerződései a Kérelmezett irattárába vagy a fiókban maradtak; honnan tűntek el a szerződések; szándékosan tűntette-e el a szerződéseket a Kérelmezett; ha leselejtezték, akkor kinek az utasítása alapján, hol és milyen körülmények között. Ezen kérdéseken túlmenően a HUF bankszámlaszerződésre és a VISA bankkártyaszerződésre vonatkozóan 2013 decemberében használt szerződésminta sem a Kérelmező személyes adata, ahogyan arról a Kérelmezett is tájékoztatta. Ebből kifolyólag a Hatóság megállapítja, hogy ezen kérdések vizsgálatára nem rendelkezik hatáskörrel és a hatáskörrel és illetékességgel rendelkező szerv kiléte nem állapítható meg kétséget kizáróan, így az eljárást ebben a részében megszünteti.

(24) A Kérelmező a szerződései eltűnésével kapcsolatban kérte a Hatóságtól, hogy állapítsa meg, hogy a Kérelmezett nem válaszolt a kérelmeire, illetve kérte a Kérelmezett válaszadásra kötelezését. A Hatóság megvizsgálta a Kérelmezett válaszleveleit és megállapította, hogy a Kérelmezett a GDPR rendelkezéseinek megfelelően, az ott előírt határidőn belül megválaszolta a Kérelmező szerződései eltűnésével kapcsolatos kérelmeit: 2019. február 8-án kelt közjegyzői válasz 3. pont; 2019. március 13-án kelt válasz 2. pont; 2019. április 4-én kelt válasz 12.a) pont. A Hatóság álláspontja szerint a Kérelmezett megfelelően járt el, amikor a 2019. március 13-án és április 4-én kelt válaszában csak visszautalt a korábbi, 2019. február 8-án kelt közjegyzői válasz tartalmára, mivel ezen válaszok ismételt kérelmekre születtek, amelyek tekintetében a Kérelmezett a GDPR 12. cikk (5) bekezdés b) pontja alapján jogosult lett volna megtagadni a válaszadást. Ebből kifolyólag a Hatóság elutasítja a kérelmező válaszadás elmaradása tényének megállapítására és válaszadásra kötelezésre vonatkozó kérelmét, mivel a kérelmezett a GDPR 12. cikk (3) bekezdésével és 15. cikk (1) bekezdésével összhangban járt el.

III.2. A Kérelmezett kamerafelvételekkel kapcsolatos adatkezelése A Kérelmező tájékoztatása a kamerafelvételek kezeléséről (25) A Kérelmező kérte, hogy a Hatóság állapítsa meg, a Kérelmezett azon hozzáférési joggyakorlásra irányuló kérelmére, amely arra irányult, hogy mely fióklátogatásairól készült kamerafelvételeket kezeli, késve válaszolt.

(26) A Kérelmezett 2019. április 4-én kelt válaszában adott első alkalommal teljes listát arról a Kérelmezőnek, hogy mely kamerafelvételeket kezeli róla, mivel a közjegyzői válasz csak azon felvétekre terjedt ki, amelyeknek korlátozását 2019. január 11-én kérte. Ebből kifolyólag a Hatóság megállapítja, hogy a Kérelmezett a Kérelmező 2019. január 11-én és február 19-én kelt kérelmei vonatkozásában megsértette a GDPR 12. cikk (3) bekezdését, mivel késedelmesen, a GDPR-ban meghatározott egy hónapon túl tájékoztatta a Kérelmezőt teljeskörűen a kezelt kamerafelvételek köréről, azonban még azt megelőzően, hogy a jelen adatvédelmi hatósági eljárás megindult volna.

(27) A Kérelmezett áprilisi válaszának II. 3.) pontjában úgy fogalmazott, hogy „A kamerafelvételek zárolására vonatkozó kérelmét a rendelkezésre álló felvételek tekintetében teljesítettük.” A Kérelmezett a válasz II.7.) pontjában felsorolta valamennyi felvételt, amelyek kezelését 2018. augusztusa óta korlátozta a Kérelmező erre irányuló kérelmeire. A Hatóság álláspontja szerint a fentiekből egyértelműen kitűnik, hogy a Kérelmezett valamennyi felvételt a Kérelmező „zárolási kérelmei” alapján kezeli. A Hatóság szerint az adatkezelés jogalapjáról való tájékoztatás nem csak akkor lehet megfelelő, ha az adatkezelő kifejezetten úgy fogalmaz, hogy „az adatkezelés jogalapja a hozzájárulás, szerződés teljesítése, stb.”, hanem megfelelő az is, ha az adatkezelés jogalapja a megfogalmazásból egyértelműen megállapítható, mint a fenti esetben. Ebből kifolyólag a Kérelmezett ebben a formában megfelelően, a GDPR 15. cikk (1)

bekezdésével összhangban tájékoztatta a Kérelmezőt arról, hogy az ő adatkezelés korlátozása iránti kérelmei alapján kezeli a felvételeket. A Hatóság ebből kifolyólag elutasítja a Kérelmező azon kérelmét, amelyben kérte, hogy a Hatóság kötelezze a Kérelmezettet annak megjelölésére, hogy a róla készült kamerafelvételek adatkezelése mely esetekben alapul az adatkezelés korlátozása iránti kérelmén és mely esetekben a Kérelmezett jogos érdeke alapján.

(28) A Kérelmező hozzáférési joggyakorlásra irányuló kérelmei kiterjedtek arra is, hogy a Kérelmezett által kezelt kamerafelvételek percre pontosan mikor készültek, illetve a Kérelmező mikor kérte azok kezelésének korlátozását. A Kérelmezett a Kérelmező ezen kérelmeire nem adott választ. A Hatóság álláspontja szerint ez a kérelem túlzó, tekintettel arra, hogy a Kérelmező pontosan tisztában van vele, hogy mikor és milyen időintervallumra vonatkozóan nyújtott be a róla a Kérelmezett bankfiókjaiban készült kamerafelvételek kezelésének korlátozására vonatkozó kérelmet. A hozzáférési jog célja, hogy az érintettek ellenőrizni tudják azt, hogy a személyes adataik kezelése folyamatban van-e és ha igen, akkor annak mik a körülményei, de ez az ellenőrzési jogosultság nem egyenlő az adatkezelő olyan adatok és információk vonatkozásában való számonkérésével, amelyekkel az érintett rendelkezik, az érintett maga generált. Ebből kifolyólag a Hatóság megállapítja, hogy a Kérelmezett nem sértette meg a Kérelmező GDPR 15. cikke szerinti hozzáférési jogát, amikor nem tájékoztatta a kezelt felvételek pontos időintervallumáról és a Kérelmező adatkezelés korlátozása iránti kérelmeinek napjáról, tekintettel arra, hogy valamennyi felvételt a Kérelmező által előterjesztett adatkezelés korlátozása iránti kérelmekben meghatározottak alapján és annak megfelelően kezeli. A Hatóság ebből kifolyólag elutasítja a Kérelmező azon kérelmét, amely arra irányult, hogy a Hatóság kötelezze a Kérelmezettet pontosabb válaszadásra a kezelt kamerafelvételek pontos időintervallumának megadására.

A kamerafelvételekhez való hozzáférés (29) A Kérelmező korábban a 2018. november 5-ig terjedő időszakra vonatkozóan kérte a Kérelmezettől a róla kezelt valamennyi kamerafelvétel másolatának kiadását, amelyet a Kérelmezett minden alkalommal közjegyzői válasz 1.b.3) pont, 2019. április 4-én kelt válasz II.5. pontja – megtagadott.

(30) A Kérelmezett a Kérelmező 2019. február 19-i, a kamerafelvételek másolatának kiadására irányuló kérelmére 2019. március 10-én kelt levelében adott választ, melyben visszautalt a közjegyzői válasz 1.b.3) pontjára, tehát a Kérelmezett a GDPR 12. cikk (3) bekezdésében meghatározott határidőn belül elbírálta a Kérelmező másolat kiadására vonatkozó kérelmét, mivel a közjegyzői válasz ezen pontja valamennyi a Kérelmezett által kezelt kamerafelvételre alkalmazandó. Ebből kifolyólag a Hatóság elutasítja a Kérelmező annak megállapítására irányuló kérelmét, hogy a Kérelmezett késve válaszolta meg a kamerafelvételek másolatának kiadására vonatkozó kérelmét.

(31) A Hatóság a NAIH/2019/1859/13. számú határozatában már megállapította, hogy a Kérelmezett megsértette a GDPR 15. cikk (3) bekezdését, amikor a rendelkezésére álló kamerafelvételek másolatát nem bocsátotta a Kérelmező rendelkezésére, a felvételeken található védett adatok és információk kitakarásával. Ezzel összhangban a Hatóság megállapítja, hogy a Kérelmezett megsértette a Kérelmező GDPR 15. cikke szerinti hozzáférési jogát, amikor a 2018. november 14-e és 2019. március 6-a között készült kamerafelvételekről nem adott másolatot a Kérelmezőnek a felvételeken található védett adatok és információk kitakarásával.

(32) A Hatóság a NAIH/2019/1859/13. számú határozatában kötelezte a Kérelmezettet, hogy adjon másolatot a Kérelmezőnek a kamerafelvételekről olyan módon, hogy azokon a harmadik személyek, valamint az üzleti titoknak minősülő adatok kitakarásra kerülnek.

(33) A Hatóság ezen felszólítását a Kérelmező megkísérelte teljesíteni, amelyről a Hatóságot és a Kérelmezőt 2019. július 5-én kelt levelében tájékoztatta. A Kérelmezett a kamerafelvételek másolatát tartalmazó adathordozót megküldte a Kérelmezőnek a 2019. július 5-én kelt levelének mellékleteként, azonban ezt a küldeményt a Kérelmező nem vette át, az 2019. július 26-án visszaérkezett a Kérelmezetthez. A Kérelmezett újból megkísérelte a küldeményt a Kérelmezőhöz eljuttatni 2019. október 9-én kelt levele mellékleteként, amelyet a Kérelmező 2019. október 22-én a hatósághoz érkezett nyilatkozata szerint átvett (NAIH/2019/1859/29).

(34) A Kérelmezett a Hatóságnak címzett leveléhez mellékelte a kamerafelvételeket tartalmazó adathordozók könyvtárstruktúráját, amelyből megállapítható, hogy az adathordozókon mely bankfiókban készült mely felvételek találhatók meg. Az átadott adathordozókon nem csak a 2018. november 5-ig készült felvételek találhatók meg, hanem azok is, melyek kezelésének korlátozását és azokról másolat kiadását a Kérelmező 2019. január 11. és 2019. március 10-e között kérte. Az adathordozón található felvételek két kivételtől eltekintve – 2018. december 3-án […] bankfiókban és 2019. január 14-én a Budapest, […] bankfiókban készült kamerafelvételek – maradéktalanul megegyeznek a Kérelmező által korlátozni kért felvételekkel. Az nem róható fel a Kérelmezettnek, hogy a Kérelmező nem vette át a kamerafelvételeket tartalmazó adathordozót.

(35) 2018. december 3-án a 11:51-12:39 időintervallumban, a szegedi […] bankfiókban technikai okból nem készült kamerafelvétel, tehát ilyen formában adatkezelés sem valósult meg. Az érintetti jogok, azok gyakorlása csak akkor értelmezhető, ha van adatkezelés, amely azonban a konkrét esetben nem volt.

Ebből kifolyólag a Kérelmezett nem sértette meg a Kérelmező GDPR 15. cikk (3) bekezdése szerinti másolat kiadásához való jogát ezen el nem készült kamerafelvétel vonatkozásában, mivel nem volt olyan adat, amelyről másolat adható lett volna.

(36) A 2019. január 14-én az […] bankfiókban készült kamerafelvétel kezelését a Kérelmezett korlátozta, azonban amikor a Hatóság NAIH/2019/1859/13. számú határozatában foglalt kamerafelvételek másolatának a Kérelmező rendelkezésére bocsátására vonatkozó kötelezettségének eleget kívánt tenni, és maszkolni akarta a felvételt, akkor derült ki, hogy a fájl, amelynek tartalmaznia kellett volna a korlátozni kért kamerafelvételt, bár fájlrendszer szinten minden szükséges attribútummal rendelkezik, de magát a felvételt technikai hiba folytán nem tartalmazza. Ebből kifolyólag a Kérelmezett ezen felvétel vonatkozásában sem sértette meg a Kérelmező GDPR 15. cikk (3) bekezdése szerinti másolat kiadásához való jogát, mivel nincs olyan személyes adat, amelyről másolat adható lett volna.

(37) A Kérelmező kérte a Hatóságtól, hogy kötelezze a Kérelmezettet a róla kezelt kamerafelvételek másolatának kiadására, azonban ezen kérelmét a Hatóság elutasítja, mivel a Kérelmezett a 2019.

július 18-án kelt Kérelmének benyújtását megelőzően már megkísérelte a rendelkezésére bocsátani a kamerafelvételek másolatát, az azonban a Kérelmezőnek felróható okból hiúsult meg.

A kamerafelvételek kezelésének korlátozása (38) A Kérelmező a 2018. november 14-e és március 6-a közti időszakban a következő tizenkét kamerafelvétel vonatkozásában kérte a Kérelmezettől az adatkezelés korlátozását, továbbá, hogy az adatkezelés korlátorzásáról (zárolásról) a Kérelmezett írásban haladéktalanul tájékoztassa:

• 2018. 11. 14. 08:51-09:36; Budapest, […] bankfiók • 2018. 11. 29. 11:03-11:32; Szeged, […] bankfiók • 2018. 12. 03. 11:51-12:39; Szeged, […] bankfiók • 2018. 12. 06. 12:47-13:27; […] bankfiók • 2019. 01. 10. 12:08-12:49; […] bankfiók • 2019. 01. 10. 14:51-15:22 és 15:24-15:36; Budapest, […] bankfiók • 2019. 01. 14. 10:21-10:50; Budapest, […] bankfiók • 2019. 01. 14. 12:24-15:57; Budapest, […] bankfiók • 2019. 01. 31. 14:43-16:00; Szeged, […] bankfiók

• 2019. 02. 22. 13:32-13:58; Budapest, […] bankfiók • 2019. 03. 01. 11:39-12:20; Budapest, […] bankfiók • 2019. 03. 06. 11:30-11:43 és 12:57-13:15; Budapest, […] bankfiók (39) A Kérelmező Kérelmében kérte a Hatóságtól, hogy állapítsa meg, hogy a Kérelmezett ezen kérelmeire hiányosan, késve és jogsértően válaszolt, aminek eredményeként sérült a hozzáférési joga és az adatkezelés korlátozásához való joga.

(40) A Kérelmező az első hat kamerafelvétel vonatkozásában 2019. január 11-én kelt levelében nyújtotta be a Kérelmezőhöz az adatkezelés korlátozására vonatkozó kérelmét, amelyre a Kérelmezett a közjegyzői válasz 1.b.3) pontjában 2019. február 8-án válaszolt. A Kérelmezett válasza a Kérelmező kérelmével együtt vizsgálandó, amelyből egyértelműen kitűnik, hogy a Kérelmezett végrehajtotta a Kérelmező adatkezelés korlátozására vonatkozó kérelmét egy kivétellel. Ha a közjegyzői válasz 1.b.3) pontja nem a Kérelmező adatkezelés korlátozása iránti kérelmére reagálna, úgy a Kérelmezettnek nem lett volna kötelessége arról tájékoztatni a Kérelmezőt, hogy a 2018. december 3-án Szegeden készült kamerafelvétel nem áll a rendelkezésére.

(41) A Kérelmezett a Kérelmező 2019. március 10-én kelt kérelmének 4. pontjában foglalt adatkezelés korlátozása iránti kérelmével kapcsolatban a 2019. április 4-én kelt válaszának II.3. pontjában tájékoztatta, miszerint „A kamerafelvételek zárolására” vonatkozó kérelmét a rendelkezésre álló felvételek tekintetében teljesítettük.” Ebből kifolyólag a Kérelmezett a GDPR 12. cikk (3) bekezdésének megfelelően és a GDPR-ban meghatározott határidőn belül tájékoztatta a Kérelmezőt mindkét adatkezelés korlátozása iránti kérelme kapcsán az azok alapján megtett intézkedésekről.

(42) A Hatóság ezzel összefüggésben megjegyzi, hogy a Kérelmezett kamerafelvételek kezelésének korlátozására irányuló kérelme nem tartalmazott egyúttal hozzáférési joggyakorlásra irányuló kérelmet is, mivel az érintetti kérelmek alapján megtett adatkezelői intézkedésekről való tájékoztatás – „erről a zárolásról legyenek kedvesek írásban haladéktalanul tájékoztatni” – nem a GDPR 15. cikke, hanem a GDPR 12. cikk (3)-(4) bekezdése szerinti kötelezettség, amelynek a Kérelmezett eleget tett. Ebből kifolyólag a Hatóság elutasítja a Kérelmező kamerafelvételek kezelésének korlátozásával kapcsolatban a hozzáférési joga sérelmének megállapítására irányuló kérelmét.

(43)

Tekintettel az (35) bekezdésben foglaltakra nem sérült a Kérelmező GDPR 18. cikke szerinti adatkezelés korlátozásához való joga, mivel nem keletkezett olyan kamerafelvétel, amely a tárgyát képezhette volna a korlátozásnak.

(44)

A 2019. január 14-én a budapesti […] bankfiókban készült felvétel kapcsán sérült a Kérelmező GDPR

18. cikke szerinti adatkezelés korlátozásához fűződő joga, mivel a személyes adatot tartalmazó felvételt a Kérelmezett már nem kezeli, a zárolt állomány nem tartalmazza a felvétel másolatát, az eredeti felvétel pedig törlődött.

(45) A Kérelmező adatkezelés korlátozásához való joga sérelmének megállapítására irányuló kérelme a többi felvétel vonatkozásában nem értelmezhető, mivel a kamerafelvételek korlátozását a Kérelmezett a Kérelmező kérelmeinek megfelelően végrehajtotta, azaz a GDPR 18. cikk (1) bekezdés c) pontjának megfelelően járt el.

(46) A Kérelmező kérte a Hatóságot, hogy kötelezze a Kérelmezettet az arról való tájékoztatásra, hogy hány évre korlátozta az általa kért felvételek kezelését. A Kérelmező 2019. január 11-i kérelmének 4. pontja és 2019. március 10-i kérelmének 4. pontja nem tartalmaztak arra vonatkozó kérelmet, hogy a Kérelmezett adjon tájékoztatást arról, hogy hány évre korlátozza a Kérelmező által megjelölt kamerafelvételek kezelését, így arról a Kérelmezett külön nem is tájékoztatta a Kérelmezőt, csupán az adatkezelés korlátozására irányuló kérelmének teljesítéséről. Az adatkezelés korlátozásának időtartamáról való tájékoztatásra akkor lett volna szükség, ha a Kérelmezett a kérelemtől eltérő időtartamra teljesíti azt.

(47) A Kérelmezett a NAIH/2019/1859/4. alszámon iktatott, 2019. március 12-én kelt nyilatkozatának 1.1.e pontjában úgy nyilatkozott, hogy 2018. júliusától eleget tesz a Kérelmező öt évre szóló adatkezelés korlátozása iránti kérelmének. Ezen irat nyilvános, a Kérelmező számára is megismerhető változata a NAIH/2019/1859/8. alszámon került iktatásra, amelyet a Kérelmező személyes iratbetekintés keretében 2019. április 15-én megismert, illetve arról másolatot készített az iratbetekintésről készült, a Kérelmező által is aláírt jegyzőkönyv tanúsága szerint. Ebből kifolyólag a Kérelmezőnek tisztában kell lennie azzal, hogy a Kérelmezett a kérelmeinek megfelelően öt évre korlátozza az általa megjelölt kamerafelvételek kezelését. Ebből kifolyólag a Hatóság a Kérelmező arra irányuló kérelmét, hogy a Hatóság kötelezze a Kérelmezettet tájékoztatás adására arra vonatkozóan, hogy az adatkezelés korlátozása iránti kérelmét hány évre teljesítette, elutasítja, mivel a Kérelmező már rendelkezik ezen információval.

III.3. A […] által felvett jegyzőkönyvekhez való hozzáférés (48) A Kérelmező a […] által felvett jegyzőkönyvek kapcsán azt kérte a Hatóságtól, hogy állapítsa meg, a Kérelmezett ezen kérelmére nem válaszolt, és ily módon sérült a hozzáférési joga. Kérte továbbá a Kérelmezett arra való kötelezését, hogy adjon választ a fenti kérelmére és ezzel teljesítse a hozzáférési kérelmét, valamint ennek keretében kötelezze a Kérelmezettet a jegyzőkönyvek másolatának a rendelkezésére bocsátására.

(49) A Kérelmezett 2019. február 8-án kelt közjegyzői válaszának 1.b.2) pontjában megválaszolta a Kérelmező hozzáférési joggyakorlásra irányuló kérelmét, melyben arról tájékoztatta a Kérelmezőt, hogy a jegyzőkönyvek a helyszíni kiszállás jogosságának igazolására szolgálnak, az nem tartalmaz személyes adatokat, így azokról nem áll módjában másolatot adni a Kérelmezőnek.

(50)

Ez alapján a Hatóság elutasítja a Kérelmező válaszadás elmulasztásának megállapítására és a Kérelmezett válaszadásra kötelezésére irányuló kérelmét, mivel a Kérelmezett megválaszolta a Kérelmező kérelmét. A Hatóság leszögezi, hogy a válaszadás megtörténtének tényét nem befolyásolja a válasz tartalma, illetve, hogy azzal egyetért-e a Kérelmező. (51) A Kérelmező 2018. június 14-i, augusztus 22-i és november 5-i kérelmében már kért tájékoztatást arról, hogy a […] által a kiszállásokról felvett jegyzőkönyvek kapcsán mi a Kérelmezett adatkezelésének jogalapja, célja, az adatkezelés időtartama, illetve már kért másolatot a 2018. november 5-ig keletkezett jegyzőkönyvekről. (52) A Hatóság a Kérelmező fenti kérelmeit korábban már megvizsgálta, és a NAIH/2019/1859/13. számú határozatában megállapította, hogy nem sérült a Kérelmező hozzáférési joga akkor, amikor a Kérelmezett nem tájékoztatta a […] által felvett jegyzőkönyvek kezelésének jogalapjáról, céljáról és időtartamáról, valamint nem adott azokról másolatot és nem biztosított az eredeti dokumentumokba betekintést, mivel azok nem tartalmazzák a Kérelmező személyes adatait, a jegyzőkönyvek nem irányulnak személyes adat felvételére, azokban nem kerül megnevezésre az a személy, akinek a magatartása miatt szükség volt a […] eljárására, ugyanis az a cél, amely okból a jegyzőkönyvek készülnek, nem teszi a Kérelmezett számára szükségessé az érintettek azonosítását.

(53) A kérelem tartalma a fentiekhez képest érdemben nem változott, mivel a Kérelmező a korábbiakhoz képest csak kiterjesztette azt az időszakot, amelynek vonatkozásában hozzáférési jogát kívánta gyakorolni a jegyzőkönyvek kapcsán. A Hatóság fenntartja a NAIH/2019/1859/13. számú határozatában foglaltakat, azaz megállapítja, hogy nem sérült a Kérelmező GDPR 15. cikke szerinti hozzáférési joga, tekintettel arra, hogy a jegyzőkönyvek nem tartalmazzák a Kérelmező személyes adatait. Ebből kifolyólag a Hatóság elutasítja a Kérelmező arra irányuló kérelmét, hogy kötelezze a Kérelmezettet olyan válasz adására, amely tartalmazza a jegyzőkönyvek kezelésének jogalapját, célját és időtartamát. Tekintettel arra, hogy a jegyzőkönyvek nem tartalmazzák a Kérelmező személyes adatait, a Hatóság elutasítja a Kérelmező jegyzőkönyvek másolatának kiadatására vonatkozó kérelmét is.

III.4. A hangfelvételekhez való hozzáférés (54) A Kérelmezett arról tájékoztatta a Hatóságot, hogy a Kérelmező […]-vel 2013. november 25. és 2019.

március 26. közti időszakban folytatott beszélgetései másolatát tartalmazó adathordozót (a továbbiakban: DVD) megküldte a Kérelmezőnek a 2019. április 4-én kelt levelének mellékleteként, valamint azt jegyzőkönyv kíséretében személyesen is át kívánta adni a Kérelmezőnek 2019. május 16-án, amikor megjelent ezen hangfelvételek és a kamerafelvételek megismerése céljából a Kérelmezett székhelyén, azonban az adathordozó átvételét a Kérelmezett megtagadta. (55) Ezen adathordozó másolatát (a továbbiakban: DVD) a Kérelmezett 2019. július 31-én kelt levelének mellékleteként megküldte a Hatóság részére.

(56) A Kérelmező a […]-vel folytatott beszélgetések kapcsán azt kérte a Hatóságtól, hogy állapítsa meg, hogy a Kérelmezett hiányosan és jogsértően válaszolt a kérelmére, mivel nem küldött a részére a hangfelvételek másolatát tartalmazó adathordozó mellé egy listát, amely tartalmazza a beszélgetés dátumát, kezdetét, időtartamát, az ügyintéző nevét és a beszélgetés egyedi azonosítóját.

(57) A Hatóság áttekintette a hangfelvételeket tartalmazó DVD-n a […] mappában található fájlokat. A […] mappa nyolc almappát tartalmaz (2013; 2014; 2015; 2016; 2017; 2018; 2019; 52018294), valamint egy Excel fájlt (fájlnév: […]_[…]_2013_2018, a továbbiakban: táblázat). A táblázat 2013 és 2019 között évek szerinti bontásban tartalmazza az alábbiakat: a hívás kezdő és befejező dátuma; a hívás időtartama; bejövő vagy kimenő hívás; a telefonszám, amelyet a […] hívott vagy amelyről a […]-t hívták és a Segment ID, ami a hívás egyedi azonosítója, valamint két további adatkör (Participant Station; Segment UCID), amelyeknek a Kérelmező kérelme szempontjából nincs jelentősége. A Segment ID szerepel a hangfájlok elnevezésében azok sorszáma után – amely a hangfelvételek időrendi sorrendjét jelöli –, tehát a Segment ID alapján azonosítható a felvétel és ismerhetők meg annak paraméterei a táblázatból (58) Az 52018294 elnevezésű mappa két almappát – 2015; 2016 – tartalmaz és egy táblázatot ([…]_52018294_2013_2018; a továbbiakban: táblázat2). A táblázat2 tartalmazza fájlonkénti bontásban a hívás kezdő időpontját, időtartamát másodpercben (pl. a 20150909_1819_1_6192550771766133894_1_47 hívás időtartama 11 perc, 49 másodperc volt, ami megfelel a táblázatban szereplő 709 másodpercnek) és a hívás irányát (bejövő vagy kimenő).

(59) A fentiek alapján a Hatóság megállapítja, hogy a Kérelmezett időrendbe rendezte a DVD-n a hangfájlokat a Kérelmező kérelmének megfelelően, valamint a Kérelmező rendelkezésére bocsátotta a hangfelvételeket tartalmazó listákat, amelyek tartalmazzák a beszélgetések dátumát, annak pontos kezdetét, időtartamát és a beszélgetés egyedi azonosítóját. A táblázatok nem tartalmazzák a hívást fogadó vagy indító ügyintézők nevét, azonban az nem is minősül a Kérelmező személyes adatának, és nem szükséges a nyújtott tájékoztatás átláthatósághoz. Ebből kifolyólag a Hatóság megállapítja, hogy a Kérelmezett eleget tett a Kérelmező kérelmének, így elutasítja a Kérelmező jelen határozat (56) bekezdése szerinti kérelmeit.

III.5. A 2017. június 30-án kelt fióki körlevélben található fényképfelvételekhez való hozzáférés (60) A Kérelmező a 2017. június 30-án kelt körlevélhez mellékelt fényképei kapcsán kérte a Hatóságot, hogy állapítsa meg a következőket:

• a Kérelmezett nem válaszolt a kérelmére, így sérült a hozzáférési joga és az adatkezelés korlátozásához való joga; • a Kérelmezett a fényképfelvételeket jogalap és cél nélkül továbbította 2017. június 30-án a különböző bankfiókok vezetőinek; • a fényképeket a Kérelmezett megfelelő cél nélkül kezeli; • a fényképeket a Kérelmezett törvényi felhatalmazás és hozzájárulása hiányában kezeli róla. (61) A Kérelmező kérte továbbá, hogy a Hatóság kötelezze a Kérelmezettet

• a fényképfelvételekkel kapcsolatos kérelmei teljeskörű megválaszolására; • a fényképfelvételek másolatának kiadására; • tájékoztatás adására arra vonatkozóan, hogy teljesítette-e a Kérelmező fényképfelvételek korlátozására vonatkozó kérelmét, és ennek keretében adjon tájékoztatást arról, hogy a fényképfelvételek törlését hány évig mellőzi a kérelme alapján. A Kérelmezett által a fényképfelvételekkel kapcsolatban nyújtott tájékoztatás (62) A Kérelmezett kérelmére tájékoztatta a Kérelmezőt, hogy két darab fényképet küldtek róla a körlevélben, azonban a két fénykép egy fájlban szerepel. Ezen képek másolatát a közjegyzői válasz mellékleteként már a Kérelmező rendelkezésére bocsátotta. Ebből kifolyólag a Hatóság elutasítja a Kérelmező Kérelmezett másolatkiadásra való kötelezésére irányuló kérelmét, mivel a fényképfelvételek másolatát a Kérelmezett még azelőtt a rendelkezésére bocsátotta, hogy a Hatóság eljárását kezdeményezte volna.

(63) A Kérelmezett a közjegyzői válasz 1.b.5) pontjában már tájékoztatta a Kérelmezőt, hogy a fényképfelvételek elkészítésének és azoknak a bankfiókokba való továbbítására a jogos érdeke alapján a pénzügyi- és kiegészítő pénzügyi, illetve befektetési- és kiegészítő befektetési szolgáltatási tevékenység zavartalanságának biztosítása céljából került sor. A Kérelmezett ugyanebben a pontban adott tájékoztatást a Kérelmezőnek arról, hogy a fényképfelvételek a Kérelmezett bankfiókjaiban elhelyezett kamerák által rögzített felvételekből származnak. A Kérelmezett a válaszában azonban nem tért ki arra, hogy mikor és mely bankfiókban készült a felvétel. A GDPR 15. cikk (1) bekezdés g) pontja abban az esetben írja elő az adatkezelő számára, hogy az érintettet a hozzáférési joggyakorlás keretében tájékoztassa a személyes adatai forrására vonatkozó minden elérhető információról, ha az adatot nem az érintettől gyűjtötte. A kamerafelvételeken az érintettek képmása minden esetben tőlük származik, fogalmilag kizárt, hogy a kamerafelvételen szereplő képmás ne az érintettől származzon. Ebből kifolyólag a Kérelmezettnek a GDPR alapján nincs olyan kötelezettsége, amely alapján tájékoztatnia kellene a Kérelmezőt arról, hogy a felvétel pontosan mikor, melyik bankfiókban készült.

(64) Az, hogy a fényképfelvételek készítésére, pontosabban a fényképfelvétel kamerafelvételről való elkészítésére kinek az utasítására kerül sor, továbbá, hogy mikor kapott a Kérelmező korábban tájékoztatást a fényképfelvételek kezeléséről, nem minősül a Kérelmező személyes adatának, az nem vele kapcsolatba hozható adat, abból a Kérelmező nem azonosítható, így arra nem terjed ki a GDPR 15. cikke szerinti hozzáférési joga, arról a Kérelmezettnek nem kellett tájékoztatnia. Ebből kifolyólag a Hatóság megállapítja, hogy ezen kérdések vizsgálatára nem rendelkezik hatáskörrel és a hatáskörrel és illetékességgel rendelkező szerv kiléte nem állapítható meg kétséget kizáróan, így az eljárást ebben a részében megszünteti.

A fényképfelvételek továbbításának jogszerűsége (65) A Kérelmezett a fényképfelvételeket 2017. június 30-án továbbította egyes bankfiókjai igazgatóinak. Ebben az időpontban a GDPR még nem volt alkalmazandó, ezért a fényképfelvétel továbbításának jogszerűségére vonatkozó kérelem nem felel meg a GDPR 77. cikk (1) bekezdésében, valamint az Infotv. 60. § (2) bekezdésében foglalt követelményeknek, így ebben a vonatkozásban a Hatóság adatvédelmi hatósági eljárása sem kezdeményezhető, ezért az Ákr. 47. § (1) bekezdés a) pontja alapján a Hatóság az eljárást a kérelem ezen részében megszüntette.

A fényképfelvételek kezelésének célja és jogalapja (66) A Kérelmezett úgy nyilatkozott, hogy a két fényképfelvételt a Hpt. 288. § (3) bekezdésében előírt jogi kötelezettsége alapján kezeli, mivel az a Kérelmező panaszára adott válasz részét képezi. Az adatkezelésének célja szintén ezen jogi kötelezettségének a teljesítése, azaz annak igazolása, hogy a hozzá beérkezett panaszt a jogi előírásoknak megfelelően kezelte és megválaszolta.

(67) Tekintettel továbbá a Hatóság és az MNB előtt a Kérelmező által kezdeményezett eljárásokra, a felvételek felhasználásra kerülhetnek jogi igények előterjesztése, érvényesítése és védelme céljából, melynek jogalapja a Kérelmezett jogos érdeke. A Hatóság álláspontja szerint a Kérelmezettnek jogos érdeke fűződik ahhoz, hogy az egyes, Kérelmező által kezdeményezett adatvédelmi hatósági eljárások során állításai alátámasztása, a Kérelmező kérelmei teljesítésének megtörténte igazolása céljából kezelje a Kérelmezőnek küldött válaszait, illetve annak mellékleteit, az abban szereplő valamennyi személyes adattal együtt, mivel ennek hiányában nem állna rendelkezésére minden olyan információ és adat, amely szükséges jogai, érdekei védelméhez.

(68) A Hatóság a fentiek alapján megállapítja, hogy a fényképfelvételeket a Kérelmezett jogszerűen megfelelő céllal és jogalappal – kezeli, mivel annak kezelését a megfelelő panaszkezelés megtörténtének igazolása céljából Hpt. 288. § (3) bekezdése írja elő számára, azaz az adatkezelés jogalapja a GDPR 6. cikk (1) bekezdés c) pontja.

(69) A fényképfelételek Kérelmezett jogi érdekei védelme céljából való kezelésének jogalapja a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdeke. Ebből kifolyólag a Kérelmezett rendelkezik megfelelő célokkal és jogalapokkal a fényképfelvételek kezelésére, így a Hatóság elutasítja a Kérelmező fényképfelvételek cél és jogalap nélküli kezelésének megállapítására irányuló kérelmét.

(70) A Hatóság felhívja a Kérelmező figyelmét, hogy a panaszolt, Kérelmezett által végzett adatkezelésre a GDPR, nem pedig az Infotv. rendelkezései irányadók, így az adatkezelés nem csak jogi kötelezettség (törvényi felhatalmazás) alapján vagy az érintett hozzájárulásának birtokában lehet jogszerű, hanem a GDPR 6. cikk (1) bekezdésében foglalt valamennyi esetben.

A fényképfelvétel kezelésének korlátozása (71) A Kérelmezett nem tájékoztatta arról a Kérelmezőt, hogy teljesítette-e a fényképfelvételek vonatkozásában a Kérelmező adatkezelés korlátozása iránti kérelmét, nem tájékoztatta a kérelem alapján megtett intézkedésekről vagy az intézkedések elmaradásának okairól. Ebből kifolyólag a Kérelmezett megsértette a GDPR 12. cikk (3)-(4) bekezdését, mivel nem válaszolt a Kérelmező kérelmére.

(72) A Kérelmezett nem korlátozta a fényképfelvételek kezelését, mivel annak GDPR 18. cikk (1) bekezdése szerinti feltételei nem állnak fenn.

(73) A GDPR 18. cikke szerint az érintettek négy esetben kérhetik a személyes adataik kezelésének korlátozását. Ebből a konkrét kérelem kapcsán a GDPR 18. cikk (1) bekezdés b) és c) pontjai lehetnek relevánsak.

(74) A Kérelmezett adatkezelés korlátozása iránti kérelmében előadta, hogy jogellenesnek tartja a fényképfelvételek kezelését, de jogi igényei érvényesítése érdekében kéri azok törlésének a mellőzését. Ezen kérelem a GDPR 18. cikk (1) bekezdés b) pontja szerinti kérelem, amely teljesítésének azonban előfeltétele, hogy a személyes adat kezelése, amely adat kezelésének az érintett a korlátozását kéri, jogellenes legyen. A Hatóság megállapította, hogy a fiókvezetői feljegyzések kezelése nem jogellenes, így a GDPR 18. cikk (1) bekezdés b) pontja alapján a Kérelmezett nem köteles korlátozni a fiókvezetői feljegyzések kezelését.

(75) A GDPR 18. cikk (1) bekezdés c) pontja akkor alkalmazható, ha az adatkezelőnek már nincs szüksége a személyes adatokra az adatkezelés céljából, azonban az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez. Tekintettel azonban arra, hogy a Kérelmezettnek szüksége van a fiókvezetői feljegyzések kezelésére azok kezelésének – igényérvényesítés – céljából, így a Kérelmezett a GDPR ezen pontja alapján sem köteles eleget tenni a Kérelmező adatkezelés korlátozása iránti kérelmének.

(76)

A fentiekből kifolyólag a Hatóság megállapítja, hogy a Kérelmezett nem sértette meg a Kérelmező

GDPR 18. cikke szerinti adatkezelés korlátozásához való jogát, amikor nem korlátozta ezen fényképfelvételek kezelését, mivel annak GDPR szerinti feltételei nem álltak fenn.

III.6. […] számlaszerződésekkel kapcsolatos hozzáférési kérelem (77) A Kérelmezett a […] számlával kapcsolatban a 2019. március 10-én kelt kérelmében kérte, hogy a Hatóság állapítsa meg, a Kérelmezett nem válaszolt a hozzáférési joggyakorlásra irányuló kérelmére, ezzel megsértve a hozzáférési jogát. Kérte továbbá, hogy a Hatóság kötelezze a Kérelmezettet a hozzáférési kérelme teljesítésére, valamint a szerződése és a számlakivonatok másolatának rendelkezésére bocsátására (első három havi, valamint 2013. július-november közötti számlakivonatok).

(78) A […] számlájával kapcsolatban a Kérelmezett 2019. április 4-én kelt válaszában tájékoztatta a Kérelmezőt, hogy a […] számú […] számla nyitásának dátuma […], a számlazárás dátuma […]

(79) A Kérelmezett nyilatkozata szerint a számlanyitási dokumentum nem áll a rendelkezésére, az feltehetőleg az eredeti példányban át nem adható számladokumentációkkal volt együtt kezelve. Ezen számlanyitási dokumentáció eltűnésének körülményei, annak időpontja ismeretlenek a Kérelmezett előtt.

(80) A Kérelmezett a közjegyzői válaszban csatolta a megtakarítási számla utolsó havi kivonatának másolatát, a megtakarítási számla számlazárási dokumentumának másolatát, illetve egy 2013. […] kelt „készpénzbefizetés ügyfél számlára” elnevezésű tranzakciós bizonylatot. Tájékoztatta továbbá a Kérelmezőt, hogy részére a Magyar Nemzeti Bank […] számú határozatában megjelölt bankszámlakivonatokat bocsátotta a rendelkezésére, és további bankszámlakivonatok megküldésének kötelezettsége nem áll fenn vele szemben.

(81) A Kérelmezett tájékoztatta továbbá a Kérelmezőt, hogy nincs olyan jogszabályi kötelezettsége, amely alapján köteles lenne a Kérelmező rendelkezésére bocsátani „biankó szerződéstervezetet” vagy szerződésmintát. A Kérelmezett elérhetővé teszi általános szerződési feltételeit és üzletszabályzatát, archív állománnyal is. Ezen túlmenően csak fennálló ügyfélkapcsolatban köteles az Üzletszabályzat és az ÁSZF átadására is. A Hpt. 271. § (1a) bekezdése szerint a Kérelmezettnek az internetes honlapján a módosítást megelőzően hatályos üzletszabályzatát öt évig kell elérhetővé tennie.

(82) A fentiek alapján megállapítható, hogy a Kérelmezett a GDPR-ban meghatározott határidőn belül válaszolt a Kérelmező hozzáférési joggyakorlásra irányuló kérelmére, tehát nem sértette meg a GDPR 12. cikk (3), illetve (4) bekezdését.

(83) Az MNB a […] számú határozatának a Kérelmezett által hivatkozott IV.3.3.1. és IV.3.3.2. pontjaiban a Kérelmező USD devizanemű lakossági devizaszámlája és HUF devizanemű lakossági bankszámlája kivonatainak Kérelmező rendelkezésére bocsátását vizsgálta, azaz az abban foglaltak nem jelentik azt, hogy a Kérelmezettnek a Kérelmezővel kötött további szerződései vonatkozásában ne állna fenn bankszámlakivonat rendelkezésre bocsátásra vonatkozó kötelezettsége.

(84) A számlakivonatok a Kérelmező személyes adatának minősülnek, így a Hatóság megállapította, hogy a

Kérelmezett megsértette a GDPR 15. cikk (3) bekezdését, amikor megtagadta a […] számla első három havi, valamint 2013. júliusa és novembere közötti kivonatainak a Kérelmező rendelkezésére bocsátását.

(85) A Kérelmezett a Kérelmezőt tájékoztatta arról, hogy a számlanyitási dokumentáció, szerződés nem áll a rendelkezésére, ebből kifolyólag a Hatóság nem is tudja kötelezni a Kérelmezettet a másolat Kérelmező rendelkezésére bocsátására. A Kérelmező kérelme megalapozatlan, hiszen már azt megelőzően értesült arról, hogy a szerződés nem áll a Kérelmezett rendelkezésére – a Kérelmezett 2019. április 4-én kelt válaszlevelét április 10-én vette át – mielőtt kérte a Hatóságtól 2019. július 18-án kelt Kérelmében a Kérelmezett másolat adására való kötelezését. Ebből kifolyólag a Hatóság elutasítja a Kérelmező ezen kérelmét, mivel a Hatóság intézkedésétől – Kérelmezett felszólítása a szerződés másolatának rendelkezésére bocsátására – nem várható eredmény, hiszen lehetetlen cél teljesítésére irányulna a kötelezés.

(86) Egy adott banki termékre vonatkozó ÁSZF, a kapcsolódó hirdetmények, szerződésminták nem minősülnek személyes adatnak, hiszen azok nem azonosított vagy azonosítható természetes személyekre vonatkozó információk, nem is képezhetik adatkezelés tárgyát, így azok kapcsán a hozzáférési jog sem gyakorolható. Az ezen dokumentumokhoz való hozzáférés biztosítását a pénzügyi ágazati jogszabályok rendezik, ahogyan arra a válaszában a Kérelmezett is hivatkozott. Ebből kifolyólag a Kérelmezett nem sértette meg a Kérelmező GDPR 15. cikke szerinti hozzáférési jogát, amikor nem bocsátotta a rendelkezésére a fenti dokumentumokat.

(87) Az, hogy a Kérelmezett átadta-e a szerződéskötéskor a Kérelmezettnek a szerződés másodpéldányát, illetve, hogy ő azt aláírta-e, továbbá a szerződés tartalma szintén nem adatvédelmi kérdés. A szerződések átadását, annak az ügyféllel való aláíratását nem az adatvédelmi tárgyú jogszabályok, hanem a pénzügyi ágazati jogszabályok szabályozzák – Hpt. 279. § (1) bekezdés –, így az azzal kapcsolatos kérdések, kérelmek sem az adatvédelmi jog keretén belül értelmezendők, azok esetleges elmaradása adatvédelmi szempontból nem szankcionálható. Ebből kifolyólag a Hatóság az Ákr. 17. §-a alapján az ügy számlaszerződés másodpéldányának átadására vonatkozó részét átteszi az MNB-hez.

III.7. A fiókvezetői feljegyzésekhez való hozzáférés (88) A Kérelmezett arról tájékoztatta a Kérelmezőt 2019. április 4-én kelt levelének 13. pontjában, hogy a nevét, valamint a fióklátogatásaira vonatkozó adatokat kezeli – amelyről korábban is tájékoztatta már –, amelynek ténye a folyamatban levő polgári peres és egyéb eljárásokból a Kérelmező előtt is ismert. A fiókvezetők a megfelelő jelentéstételi folyamatok szerint tájékoztatást adnak a fiókban történtekről, ezek írott formában belső ügyviteli dokumentumoknak minősülnek, amelyek a Kérelmezett álláspontja szerint, nem minősülnek a Kérelmezett személyes adatának.

(89) A Kérelmezett Hatóságnak adott tájékoztatása szerint a feljegyzések a Kérelmező nevét vagy monogramját minden esetben tartalmazzák, továbbá a fiókvezetők által észlelt eseményeket írják le. A Kérelmezett álláspontja szerint a tájékoztatási kötelezettsége csupán arra vonatkozik, hogy a Kérelmező mely adatait kezeli ebben a tárgykörben, milyen célból, milyen jogalapon, azonban az nem terjed ki a belső ügyviteli célból készült dokumentumokhoz való hozzáférés biztosítására. A fióklátogatásra vonatkozó adatokat a Kérelmezett panaszkezelési és igényérvényesítési célból kezeli és azokat különböző hatósági és bírósági eljárásokban használja fel. Az adatkezelés jogalapja a panaszkezelés esetén jogi kötelezettség teljesítése, egyebekben a jogos érdeke.

(90) A fiókvezetői feljegyzések kapcsán a Kérelmező kérte, hogy a Hatóság állapítsa meg, hogy a Kérelmezett nem válaszolt a hozzáférési kérelmére; törvényi felhatalmazás és a hozzájárulása hiányában kezeli a személyes adatait a feljegyzésekben; nem válaszolt az adatkezelés korlátozása iránti kérelmére. Kérte továbbá, hogy a Hatóság kötelezze a hozzáférési és adatkezelés korlátozása iránti kérelme megválaszolására a Kérelmezettet; kötelezze az adatkezelés korlátozása iránti kérelme végrehajtására, illetve ezen fiókvezetői feljegyzések másolatának a rendelkezésére bocsátására.

A hozzáférési joggyakorlásra és az adatkezelés korlátozására irányuló érintetti kérelmek megválaszolása (91) A Kérelmezett megválaszolta a Kérelmező érintetti joggyakorlásra irányuló kérelmét, amikor a GDPR 12.

cikk (4) bekezdésének megfelelően tájékoztatta arról, hogy mivel álláspontja szerint a feljegyzések nem a személyes adatai, így a hozzáférési és adatkezelés korlátozása iránti kérelem alapján nem tesz intézkedéseket.

(92) A Kérelmezett tévesen tájékoztatta arról a Kérelmezőt, hogy a fiókvezetői feljegyzések nem a személyes adatai, mivel mindegyik rá vonatkozó feljegyzésben szerepel a neve vagy a monogramja, ami alapján a feljegyzések Kérelmezőre vonatkozó részei a Kérelmező személyes adatának minősülnek, hiszen az alapján azonosítható. Ebből kifolyólag a Kérelmezett megsértette a Kérelmező GDPR 15. cikke szerinti hozzáférési jogát, amikor nem tájékoztatta arról a Kérelmezőt, hogy hány darab fiókvezetői feljegyzés született a fióklátogatásaival kapcsolatban, azok mely napon, mely fiókban készültek, mi ezen feljegyzések kezelésének célja, jogalapja és időtartama. A Hatóság kötelezi a Kérelmezettet, hogy ezen adatokról adjon tájékoztatást a Kérelmezőnek.

(93) Az adatkezelő a GDPR 12. cikk (5) bekezdése szerinti esetekben, valamint a GDPR 15. cikk (4) bekezdése alapján tagadhatja meg a másolatadásra vonatkozó kérelem teljesítését. A Kérelmezett az eljárás során ezek egyikére sem hivatkozott, és nem igazolta, hogy a fiókvezetői feljegyzések másolatának a Kérelmező rendelkezésére bocsátása hátrányosan érinti mások jogait és szabadságait, csupán ezen feljegyzések belső ügyviteli dokumentum jellegére hivatkozott, amelytől azonban az abban foglaltak nem vesztik el személyes adat jellegüket. Ebből kifolyólag a Kérelmezett megsértette a Kérelmező GDPR 15.

cikk (3) bekezdése szerinti másolathoz való jogát, amikor nem adott részére másolatot ezen fiókvezetői feljegyzésekből, figyelemmel az azokban található védett adatokra és információkra. A

Hatóság kötelezi a Kérelmezettet, hogy bocsássa a Kérelmező rendelkezésére a fiókvezetői feljegyzések olyan másolatát, amelyek nem tartalmaznak védett adatokat és információkat.

A fiókvezetői feljegyzések kezelésének célja és jogalapja (94) A Kérelmezett nyilatkozata szerint a fiókvezetői feljegyzések kapcsán az adatkezelésének jogalapja a jogos érdeke, célja pedig az igényérvényesítés.

(95) A Kérelmezettnek érdekében áll, hogy tudomást szerezzen az egyes bankfiókokban történő nem szokványos, az általános munkamenettől eltérő eseményekről, az azt előidéző személy kilétéről, illetve, hogy milyen intézkedéseket tett a fiókvezető a helyzet megszüntetése, kezelése érdekében. Erre azért van szükség, mert adott esetben a személy, akinek a megjelenése, fellépése zavart okoz a bankfiók napi működésében, olyan magatartást is tanúsíthat, amely szabálysértésnek vagy bűncselekménynek minősülhet, vagy megalapozza a Kérelmezett valamely polgári jogi, például kártérítés iránti igényét. A cselekmény leírása, illetve a cselekmény következtében tett fiókvezetői intézkedések leírása pedig azért is szükséges, mivel ha például a fiókvezetők a munkamenet megzavarását követően átállnak az ügyfelek bankfiókba egyesével történő beengedésére, az ügyfélpanaszokhoz vezethet, amelyeket a Kérelmezettnek a helyzet ismertetésével – az azt előidéző személy kilétének felfedése nélkül – meg kell válaszolnia panaszt tevő ügyfeleinek.

(96) A Hatóság rendelkezésére bocsátott fiókvezetői feljegyzésekben kizárólag a Kérelmező neve vagy monogramja szerepel, a bankfiókban való megjelenésének ténye, a bankfiókban ez alapján tett intézkedések, és csak esetenként a Kérelmező által tanúsított magatartás leírása. Ebből kifolyólag megállapítható, hogy a feljegyzésekben valóban csak azon adatokat rögzítik a fiókvezetők, amelyek szükségesek a bankfiókban történt események megismeréséhez és a Kérelmezett jogos érdekének érvényesítéséhez.

(97) A Kérelmezettnek és a Kérelmezőnek az elmúlt években számos jogvitás ügye volt egymással, különböző bíróságok, illetve hatóságok előtt (a Kérelmező például 2019-ben a jelen határozat meghozataláig több, mint tíz darab adatvédelmi hatósági eljárást kezdeményezett a Hatóságnál a Kérelmezettel szemben). Ebből kifolyólag a Kérelmezettnek rendelkeznie kell a Kérelmező fióklátogatásaival kapcsolatos információkkal, amelyeket a fiókvezetői feljegyzések is tartalmaznak, mivel azokat bizonyítékként fel tudja használni a különböző bírósági és hatósági eljárásokban igényérvényesítési célból. A Hatóság megjegyzi, hogy a Kérelmezett ugyanebből a célból – saját maga által is elismerten – hangfelvételeket készít a fióklátogatásai során, amely sokkal szélesebb körben korlátozza a Kérelmezett munkatársainak, a Kérelmezettnél biztonsági szolgálatot ellátó személyek információs önrendelkezési jogát, mint a fiókvezetői feljegyzések a Kérelmező személyes adatai védelméhez való jogát.

(98)

A fentiekből kifolyólag a Hatóság megállapítja, hogy a fiókvezetői feljegyzéseket a Kérelmezett jogszerűen kezeli, mivel annak jogalapja a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdeke, célja pedig az igényérvényesítés, amely a GDPR 5. cikk (1) bekezdés b) pontja szerinti jogszerű cél. A Hatóság felhívja a Kérelmező figyelmét, hogy a Kérelmezett általa panaszolt adatkezelésére a GDPR, nem pedig az Infotv. rendelkezései irányadók, így az adatkezelés nem csak jogi kötelezettség (törvényi felhatalmazás) alapján vagy az érintett hozzájárulásának birtokában lehet jogszerű, hanem a GDPR 6. cikk (1) bekezdésében foglalt valamennyi esetben.

A fiókvezetői feljegyzések kezelésének korlátozása (99) A GDPR 18. cikke szerint az érintett négy esetben kérheti a személyes adatai kezelésének korlátozását. Ebből a konkrét kérelem kapcsán a GDPR 18. cikk (1) bekezdés b) és c) pontjai lehetnek relevánsak.

(100) A Kérelmezett adatkezelés korlátozása iránti kérelmében előadta, hogy jogellenesnek tartja a fiókvezetői feljegyzések kezelését, de jogi igényei érvényesítése érdekében kéri azok törlésének a mellőzését. Ezen kérelem a GDPR 18. cikk (1) bekezdés b) pontja szerinti kérelem, amely teljesítésének azonban előfeltétele, hogy a személyes adat kezelése, amely adat kezelésének az érintett a korlátozását kéri, jogellenes legyen. A Hatóság az előző pontban megállapította, hogy a fiókvezetői feljegyzések kezelése nem jogellenes, így a GDPR 18. cikk (1) bekezdés b) pontja alapján a Kérelmezett nem köteles korlátozni a fiókvezetői feljegyzések kezelését.

(101) A GDPR 18. cikk (1) bekezdés c) pontja akkor alkalmazható, ha az adatkezelőnek már nincs szüksége a személyes adatokra az adatkezelés céljából, azonban az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez. Tekintettel azonban arra, hogy a Kérelmezettnek szüksége van a fiókvezetői feljegyzések kezelésére azok kezelésének – igényérvényesítés – céljából, így a Kérelmezett a GDPR ezen pontja alapján sem köteles eleget tenni a Kérelmező adatkezelés korlátozása iránti kérelmének.

(102) A fentiekből kifolyólag a Hatóság megállapítja, hogy a Kérelmezett nem sértette meg a Kérelmező

GDPR 18. cikke szerinti adatkezelés korlátozásához való jogát, amikor nem korlátozta ezen fiókvezetői feljegyzések kezelését, mivel annak GDPR szerinti feltételei nem álltak fenn.

III.8. Jogkövetkezmények

(103) A Hatóság a Kérelmező kérelmének helyt ad és a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezettet, mert megsértette a GDPR 12. cikk (3) és (4) bekezdését, a GDPR 15. cikk (1) és (3) bekezdését, valamint a GDPR 18. cikk (1) bekezdés c) pontját. (104) A Hatóság a GDPR 58. cikk (2) bekezdés c) pontja alapján utasítja a Kérelmezettet, a jelen határozat rendelkező részének IV. pontja szerint teljesítse a Kérelmező érintetti joggyakorlásra vonatkozó kérelmeit.

(105) A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire, valamint arra, hogy a Kérelmező nem első alkalommal sértette meg a GDPR rendelkezéseit, ezért a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértések esetében ez elmarasztalás se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges.

(106) A Hatóság a bírság kiszabása során az alábbi tényezőket vette figyelembe:

(107) A Hatóság mindenekelőtt figyelembe vette, hogy a Kérelmezett által elkövetett jogsértések a GDPR 83.

cikk (5) bekezdés b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek, mivel azok az érintetti jogok sérelmével jártak.

(108) A Hatóság a bírságkiszabás során az alábbi körülményeket enyhítő körülményként vette figyelembe:

• a feltárt jogsértések kizárólag a Kérelmezőt érintik, a jogsértések nem folyamatos jellegűek és megfelelő intézkedésekkel orvosolhatók [GDPR 83. cikk (2) bekezdés a) pont];

• a Hatóság – különösen a jelen határozat rendelkező részének I.1. pontjában megállapított jogsértések kapcsán – figyelembe vette, hogy a Kérelmező folyamatosan (kéthetente, havonta) nyújt be a Kérelmezetthez érintetti joggyakorlásra irányuló kérelmeket, amelyek minden esetben több pontból állnak, sokszor ismétlései korábbi kérelmeinek, vagy azokhoz képest csak kis eltérést tartalmaznak, és a kérelmek az esetek túlnyomó többségében több különböző adatkezelést érintenek, ezen körülmények pedig jelentősen, és a Hatóság által is elismerten megnehezítik a Kérelmezett számára a Kérelmező nagyszámú érintetti kérelmeinek pontos, mindenre kiterjedő megválaszolását. Ebből kifolyólag a jelen határozat rendelkező részének I.1. pontjában megállapított jogsértések mind gondatlan jogsértésnek minősülnek [GDPR 83. cikk (2) bekezdés b) és k) pont];

• a 2019. január 14-én, a budapesti […] bankfiókban készült felvétel kezelésének korlátozását a Kérelmező kérelme alapján a Kérelmezett végre kívánta hajtani, a fájlt lementette, tehát a technikai hibából adódó jogsértés gondatlan jogsértésnek minősül [GDPR 83. cikk (2) bekezdés b) pont];

• a 2018. november 14. és 2019. március 3-a között készült kamerafelvételek kapcsán a Hatóság figyelembe veszi, hogy a NAIH/2019/1859/13. számú határozatban foglaltaknak megfelelően, még a jelen határozat meghozatala előtt önkéntesen, erre irányuló külön hatósági felszólítás hiányában eljuttatta a Kérelmező számára a jelen eljárásban kért kamerafelvételek védett adatot nem tartalmazó másolatát, azaz intézkedést tett a jogsérelem orvoslására és megfelelt a Hatóság által korábban ugyanabban a tárgyban hozott intézkedésének [GDPR 83. cikk (2) bekezdés c) és i) pont].

(109) A Hatóság a bírságkiszabás során súlyosbító körülményként vette figyelembe:

• a Kérelmezett maga is elismerte, hogy a Kérelmező fióklátogatásairól készült fiókvezetői feljegyzések a Kérelmező személyes adatának minősülnek, azok másolatának a Kérelmező rendelkezésére bocsátását azonban szándékosan megtagadta [GDPR 83. cikk (2) bekezdés b) pont];

• a Hatóság a NAIH/2019/1859/13. számú határozatában már elmarasztalta a Kérelmezettet a Kérelmező érintetti joggyakorlásra irányuló kérelmeinek nem megfelelő elbírálásáért, illetve érintetti jogainak a megsértéséért [GDPR 83. cikk (2) bekezdés e) pont].

(110) A Hatóság figyelembe vette továbbá, hogy a megállapított adatvédelmi jogsértések nem érintik a személyes adatok különleges kategóriáit [GDPR 83. cikk (2) bekezdés g) pont], továbbá, hogy a jogsértésről a Kérelmező panasza alapján szerzett tudomást. [GDPR 83. cikk (2) bekezdés h) pont]. Ez utóbbi körülményt azért nem értékelte súlyosbító körülményként a Hatóság, mivel a jogsértés kapcsán az adatkezelőnek nincs a Hatósághoz való bejelentési kötelezettsége a GDPR szerint, mint az incidensek esetében.

(111) A Hatóság a bírságkiszabás során nem tartotta relevánsnak a GDPR 83. cikk (2) bekezdés d), f), j) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem is értelmezhetők.

(112) A Kérelmezett 2018. évi konszolidált beszámolója szerinti az adózás előtti eredménye […] millió forint volt, a kiszabott adatvédelmi bírság összege kifejezetten alacsonynak tekinthető és nem lépi túl a kiszabható bírság maximumát.

(113) A bírság kiszabása a fentiek alapján szükséges a Kérelmezett tekintetében, annak ellenére, hogy jelen ügyben egyetlen érintett jogai gyakorlásával összefüggő jogsértésről van szó.

(114) A bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg.

(115) A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

IV. Egyéb kérdések:

(116) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (117) A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82.

§ (1) bekezdése alapján a közlésével véglegessé válik. (118) Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak. (119) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §-a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (120) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (121) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (122) Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2019. december 20.

Dr. Péterfalvi Attila elnök c. egyetemi tanár