Орган по защите данных Венгрии: обработка требования без правового основания и невыполнение запроса на удаление

(…)

1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu

Ügyszám: NAIH-11023-6/2025.

NAIH- 331/2024. NAIH-195/2023.

NAIH-8361/2022. Tárgy: kérelemnek részben helyt adó határozat

Ügyintéző: […]

HATÁROZAT A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] ([…]) ügyvéd által képviselt […] kérelmező ([…].; a továbbiakban: Kérelmező) 2022. november 07.

napján benyújtott kérelme alapján a […] és a […] ügyszám alatt nyilvántartott követeléssel összefüggésben kezelt személyes adatok tekintetében a Kérelmező által előterjesztett - a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) 17. cikk szerinti - törlési kérelmek nemteljesítése tárgyában az […]-vel ([…], a továbbiakban: Kérelmezett) szemben indult adatvédelmi hatósági eljárásban az alábbi döntést hozza: I. A Hatóság a határozatában a Kérelmező kérelmének részben helyt ad, és megállapítja, hogy a Kérelmezett a […] ügyszám alatt nyilvántartott követelés vonatkozásában nem teljesítette a Kérelmező érintetti kérelmét, mellyel gondatlanul megsértette a GDPR

17. cikk (1) bekezdés d) pontját, valamint azzal, hogy a követelése elévülésének jogerős bírósági ítélettel történt megállapítása után 2021. február 25. és 2023. január 11. között követeléskezelési céllal jogalap nélkül kezelte a Kérelmező személyes adatait, gondatlanul megsértette a GDPR 6. cikk (1) bekezdését.

II. A Hatóság a határozatában hivatalból megállapítja, hogy a Kérelmezett gondatlanul megsértette a GDPR 6. cikk (1) bekezdését azzal, hogy azzal, hogy 2018. május 25. és 2021. február 28. között a GDPR 6. cikk (1) bekezdés b) pontra, nem pedig a GDPR 6. cikk (1) bekezdés f) pontra hivatkozással kezelte az engedményezés útján megszerzett, Kérelmezővel szembeni […] és a […] ügyszámok alatt nyilvántartott követeléseket, ezért elmarasztalja a Kérelmezettet. III. A Hatóság a határozatában a Kérelmező arra irányuló kérelmét, hogy a Hatóság kötelezze a Kérelmezettet a jogellenesen kezelt személyes adatok törlésére, elutasítja.

IV. A Hatóság a határozatban a Kérelmezettet az I. pontban megállapított jogellenes adatkezelés miatt

10 000 000 Ft, azaz tízmillió forint adatvédelmi bírság megfizetésére kötelezi.

Az adatvédelmi bírságot a határozat véglegessé válását követő 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-11023/2025. BÍRS. számra kell hivatkozni.

Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását. A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

INDOKOLÁS

I. Az eljárás menete

(1) A Kérelmező – meghatalmazással igazolt képviselője útján benyújtott - kérelmére az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján 2022. november 8. napján adatvédelmi hatósági eljárás indult a Kérelmezettel szemben. (2) A Hatóság a Kérelmezettet végzéseiben három alkalommal nyilatkozattételre hívta fel a tényállás tisztázása érdekében, hivatkozással az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 63. §-ra. A Kérelmezett első válasza 2023. január 3. napján érkezett meg a Hatósághoz (NAIH-195-1/2023. sz. irat; a továbbiakban: a Kérelmezett első nyilatkozata), a Kérelmezett második nyilatkozata 2023. március 10. napján érkezett meg a Hatósághoz (NAIH-195-3/2023. sz. irat; a továbbiakban: a Kérelmezett második nyilatkozata), a Kérelmezett harmadik nyilatkozata 2023. május 11. napján érkezett meg a Hatósághoz (NAIH-195-6/2023. sz. irat; a továbbiakban: a Kérelmezett harmadik nyilatkozata). (3) A Hatóság a NAIH-195-8/2023. sz. végzésével a Kérelmező Kérelmezettel szemben jogosulatlanul kezelt személyes adatok törlése tárgyában indult adatvédelmi hatósági eljárást a Kérelmező […] ügyszám alatt nyilvántartott áruvásárlási kölcsön- és hitelkártya szerződésből eredő tartozásaival kapcsolatban kezelt személyes adatai törlésének elrendelésére irányult kérelme vonatkozásában a nevezett szerződésből eredő követelés elévülésének jogerős bírósági döntéssel történő megállapításáig felfüggesztette és ezzel egyidejűleg felhívta a Kérelmezőt, hogy igazolja, hogy a hivatkozott szerződések vonatkozásában nyilvántartott követelés elévülésének megállapítása iránt a keresetlevelet az illetékes bírósághoz

1 A közigazgatási per kezdeményezésére a NAIH_KO1 elnevezésű űrlap szolgál: NAIH KO1 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. Az űrlap hozzáférhető és letölthető a Hatóság honlapjáról: https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata előterjesztette. A Kérelmező ennek eleget tett, és igazolta, hogy a […] ügyszám alatt nyilvántartott áruvásárlási kölcsön- és hitelkártya szerződésből eredő követelés elévülésének megállapítása iránt keresetlevelet terjesztett elő. A Hatóság a felfüggesztés tényéről a NAIH- 331-2/2024. számú végzésben értesítette a […] Járásbíróságot, amely előtt a peres eljárás folyamatban volt. A […] Járásbíróság erre válaszul a Hatósághoz 2024. november 7-én érkezett iratban értesítést küldött, és megküldte az ügyben hozott […] számú ítéletét, melyre tekintettel a Hatóság a NAIH-331-4/2024. sz. végzésében az eljárás folytatásáról döntött. (4) A Hatóság a NAIH-11023-2/2025. és a NAIH-11023-3/2025. sz. irataiban értesítette arról a Kérelmezőt és a Kérelmezettet, hogy a bizonyítási eljárás befejeződött, iratbetekintési jogukkal élhetnek, és felhívta a figyelmüket arra, hogy nyilatkozatot vagy észrevételt tehetnek. A felhívásra válaszul a Kérelmezett élt az iratbetekintési jogával, melyre válaszul a Hatóság a NAIH-11023-5/2025. sz. végzésben helyt adott. Nyilatkozattételi jogával egyik ügyfél sem élt.

II. Tényállás tisztázása

II.1. A Kérelmező kérelme (NAIH-8361-1/2022. sz. irat)

(5) A Kérelmező a kérelmében előadta, hogy a Kérelmezett a Kérelmező kifejezett kérése ellenére sem törölte a Kérelmező vonatkozásában […] ügyszám alatt nyilvántartott, Kérelmezettre engedményezett, telefonszolgáltatási szerződésből eredő tartozásával és a […] ügyszám alatt nyilvántartott, áruvásárlási kölcsön- és hitelkártya szerződésből eredő tartozással kapcsolatban kezelt személyes adatait. (6) A Kérelmező hivatkozott arra, hogy a […] Törvényszék - mint másodfokú bíróság 2021.

február 25-én kelt, a […] számú jogerős ítéletével megállapította a Kérelmezett által […] ügyiratszám alatt nyilvántartott tartozása elévülését. A Kérelmező álláspontja szerint az elévült követelést a Kérelmezett akkor tarthatná nyilván, ha a Kérelmező mint kötelezett hajlandó lenne a teljesítésre, és legfeljebb a teljesítés időpontjáig, vagy addig, amennyiben jogszabály azt kötelezővé teszi. A Kérelmező előadta, hogy kifejezetten jelezte a Kérelmezett felé, hogy nem áll módjában megfizetni a tartozást, ezért álláspontja szerint a személyes adatait a nyilvántartásból a Kérelmezettnek törölnie kellett volna. (7) A Kérelmező több alkalommal is megkereste a Kérelmezettet a személyes adatainak törlése érdekében. A Kérelmező 2021. december 14-én kelt levelében kifejezetten csak a […] ügyszám alatt nyilvántartott […] Bank Zrt.-vel kötött áruvásárlási kölcsön- és hitelkártya szerződésből eredő tartozásával kapcsolatban hivatkozott az elévülésre, és kérte a személyes adatai törlését. A Kérelmező 2022. szeptember 30. napján kelt levelében a […] ügyszámon nyilvántartott követelésen kívül hivatkozott a […] Törvényszék mint másodfokú bíróság 2021. február 25-én kelt, a […] számú jogerős ítéletre, mely megállapította a Kérelmezett által […]

ügyiratszám alatt nyilvántartott tartozás elévülését, és a Kérelmező kérte a […] ügyszám alatt nyilvántartott, telefonszolgáltatási szerződésből eredő és […]

ügyszám nyilvántartott áruvásárlási kölcsön-és hitelkártya szerződésből eredő tartozásaival kapcsolatban kezelt személyes adatai törlését.. A Kérelmező kifejezett kérése ellenére a Kérelmezett a személyes adatait egyik ügyben sem törölte, és a 2022. január 11. napján kelt levelében, a 2022. szeptember 2. napján és a 2022. október 10. napján kelt levelében sem adott érdemi választ a Kérelmező személyes adatainak törlésére vonatkozó kérelmére. (8) A kérelemhez mellékletként az alábbiak kerültek csatolásra:

jogi képviselői meghatalmazás, továbbá - […] Végrehajtó Iroda előtt […] szám alatt folyamatban volt végrehajtási ügyben […] sorszám alatti végrehajtási jegyzőkönyvnek a másolata, a […] Járásbíróság […] szám alatti ítéletének másolata, a […]Törvényszék […] szám alatti ítéletének másolata, a Kérelmezettnek címzett 2021. augusztus 30. napján kelt levelének másolata, a Kérelmezett 2021. szeptember 30. napján kelt válaszlevelének másolatát, a hitelszerződés felmondásának másolata, az engedményezési értesítő másolata, - Kérelmezett 2021. november 16. napján kelt válaszlevélének másolata, a Kérelmezettnek címzett, 2021. december 14. napján kelt levél másolata, - Kérelmezett 2022. január 11. napján kelt válaszlevélének másolata, a Kérelmezett 2022. szeptember 2. napján kelt válaszlevelének másolata, a Kérelmezettnek címzett 2022. szeptember 30. napján kelt levél és a kézbesítési igazolás másolata, valamint a Kérelmezett 2022. október 10. napján kelt levelének másolata. (9) A Kérelmező kérte a Hatóságot, hogy kötelezze a Kérelmezettet a Kérelmezett által […]

ügyszám alatt és […] ügyszám alatt nyilvántartott tartozásai, valamint az azokhoz tartozó valamennyi személyes adata törlésére.

II.2. A Kérelmezett válasza a Kérelmező érintetti kérelmére (NAIH-8361-1/2022. sz. irat mellékletei)

(10) A Kérelmezett a 2022.01.11. napján kelt levelében előadta a Kérelmező érintetti kérelmére válaszul, hogy a Kérelmező mely személyes adatait milyen célból és milyen jogalapra hivatkozással kezeli. Ezzel kapcsolatban megemlítette a Kérelmezett, hogy követelésbehajtással összefüggésben a GDPR 6. cikk (1) bekezdés f) pontra hivatkozással kezeli a Kérelmező következő személyes adatait: személyazonosító adatok, lakcím, adósságra, illetve annak teljesítésére vonatkozó adatok. Emellett a Kérelmezett arra is hivatkozott, hogy a Kérelmező telefonszámát a GDPR 6. cikk (1) bekezdés a) pont (hozzájárulás) alapján kezeli. Továbbá a Kérelmezett hivatkozott arra is, hogy a Kérelmező azonosítására szolgáló adatait, kapcsolattartási adatait, panaszára vonatkozó adatait panaszkezelési célból a GDPR 6. cikk (1) bekezdés c) pont alapján kezeli. A levélben a Kérelmezett csak a GDPR 6. cikk (1) bekezdés a) pont (hozzájárulás) alapján kezelt személyes adat (telefonszám) vonatkozásában értesítette a Kérelmezőt arról, hogy törli a személyes adatát, a GDPR 6. cikk (1) bekezdés c) és f) pont alapján kezelt személyes adatok vonatkozásában arról értesítette a Kérelmezőt, hogy nem áll módjában a személyes adatokat törölni. (11) A Kérelmezett a 2022. szeptember 2. napján és október 10. napján kelt leveleiben hivatkozott a korábbi levelében írtakra, és azt fenntartotta, ezért a Kérelmező érintetti kérelme vonatkozásában nem nyújtott további tájékoztatást.

II.3. A Kérelmezett nyilatkozatai

II.3.1. A Kérelmezett – Hatósághoz 2023. január 2-án érkezett - első nyilatkozata (NAIH- 195/2023)

II.3.1.1. A Kérelmezett nyilatkozata a […] számú követelés vonatkozásában

(12) A Kérelmezett észlelte, hogy a […] ügyiratszám alatt nyilvántartott tartozásra vonatkozóan nem rendelkezik GDPR 6. cikk (1) bekezdés szerinti jogalappal a személyes adatok kezelésére tekintettel arra, hogy a […] Törvényszék 2021. február 25-én kelt, […] sz. jogerős bírósági döntése alapján a követelés elévült. (13) A Kérelmezett továbbá előadta, hogy a fenti jogellenes adatkezelést adminisztrációs hibából fakadóan nem észlelte korábban. A Kérelmezett tájékoztatta a Hatóságot arról, hogy a felülvizsgálatot követően az ügy kezelését lezárta, és intézkedett a Kérelmező személyes adatainak törlése iránt, és erről a Kérelmezőt is tájékoztatta a 2022. december 20-án kelt levelében. (14) A Kérelmezett – az adatkezelési gyakorlatával összefüggésben - előadta, hogy amennyiben az érintett kérelmére a bíróság az igényérvényesítés összes körülményét megvizsgálva a követelés elévülését megállapítja, abban az esetben a Kérelmezett úgy tekinti, hogy az adatok kezelésének jogalapja megszűnt, a Kérelmezett ilyen esetben az adatkezelést megszünteti, és a kezelt adatokat törli. Az ezzel kapcsolatos eljárásrendet a Kérelmezett másolatban megküldte a Hatóság részére.

II.3.1.2. A Kérelmezett nyilatkozata a […] számú követelés vonatkozásában

(15) A Kérelmezett hivatkozott a Polgári Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.) 6:23. §-ra, miszerint elévült követelést ugyan bírósági eljárásban nem lehet érvényesíteni, azonban ez a szolgáltatás teljesítésére irányuló kötelezettség fennállását nem érinti, valamint arra, hogy az elévülés megállapítására a Hatóságnak az Infotv. alapján nincs hatásköre, melyet a Kérelmezett hivatkozása szerint a NAIH-2727-2/2022. sz. döntés is megállapított. (16) A Kérelmezett továbbá hangsúlyozta, hogy a […] számú követelés vonatkozásában nincs tudomása olyan bírósági döntésről, melyben az elévülést megállapította volna, ezért az ügy úgynevezett nyitott státuszú, a követeléskezelés folyamatban van.

II.3.2. A Kérelmezett – a Hatósághoz 2023. március 10. napján érkezett - második nyilatkozata (NAIH-195-3/2023. sz. irat)

II.3.2.1. […] ügyiratszámú ügyre vonatkozóan

(17) A Kérelmezett előadta, hogy a […] ügyiratszám vonatkozásában 2023. január 11. napján a jogalap nélkül kezelt személyes adatokat törölte (ezt képernyőmentéssel igazolta), és csak az alábbiakat tartja nyilván a törlést követően:

panaszok és válaszok, bírósági döntés (annak alátámasztására, hogy a követelésbehajtási eljárást meg kellett szüntetni és az adatokat törölni kellett), jelen hatósági vizsgálattal összefüggésben kezelt adatok.

(18) A Kérelmezett ezen ügyre vonatkozóan a felülvizsgálatot a Hatóság első megkeresését követően végezte el. A Kérelmezett a felülvizsgálat eredményeképpen észlelte, hogy a bírósági döntés alapján elmulasztotta a szükséges intézkedést: ügy zárása, adattörlés. (19) A Kérelmezett előadta, hogy az adminisztrációs hibával összefüggésben a Kérelmezőt pénzügyi hátrány nem érte, tekintettel arra, hogy a bírósági döntést követően, a bírósági döntésben foglaltak alapján az eljáró végrehajtó csökkentett összegre folytatta a végrehajtási eljárást, a Kérelmező túlfizetésbe nem került.

II.3.2.2. A […] számú követelés vonatkozásában

(20) A Kérelmezett a követelést 2018. május 25-ét követően 2021. február 28-ig a GDPR 6. cikk (1)

bekezdés b) pontjára hivatkozással a Kérelmező és a követelés eredeti jogosultja között fennálló szerződés teljesítése érdekében kezelte, majd 2021. március 1-jétől a Kérelmezett a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek jogalapra tért át szerződés teljesítése helyett, figyelembevéve a Kúria […] számú […]-én hozott ítéletét, valamint a Hatóság ezzel kapcsolatos álláspontját. A Kérelmezett ezzel összefüggésben hangsúlyozta, hogy a jogalapváltásra azért volt szükség, mivel a GDPR alkalmazhatóvá válását követően nem volt egyértelmű álláspont, hatósági állásfoglalás a követeléskezelők által alkalmazható jogalapokról. A Kérelmezett ezzel összefüggésben előadta, hogy a Kérelmezett, valamint a szektorban működő legtöbb követeléskezelő a szerződéses jogalapot találták alkalmazhatónak, tekintettel arra, hogy az adatkezelés célja a követelés megvásárlásakor összetett. A Kérelmezett továbbá kiemelte, hogy amint a követelésbehajtási tevékenységhez kapcsolódó jogalap vonatkozásában kötelező és egyértelmű jogértelmezés született, a Kérelmezett haladéktalanul áttért a jogos érdek jogalapra, illetve érdekmérlegelés keretében dokumentálta a jogalap fennállását.

(21) A Kérelmezett a nyilatkozatához mellékelte az engedményezett követelésekre vonatkozó

2021. február 8-án készült érdekmérlegelését, mely egy általános érdekmérlegelés, tehát nem kifejezetten a Kérelmező személyes adataira vonatkozik. (22) A Kérelmezett előadta, hogy a Kérelmező […] számú követelésével összefüggésben az alábbi személyes adatokat kezeli: Kérelmező személyazonosító adatait (név, születési név, anyja neve, születési hely, születési idő), lakcímét, adósságára, illetve annak teljesítésére vonatkozó adatait (engedményező neve, engedményezett időpontja, eredeti szerződésszám, adósság összege követelés adatai, szerződés lejárta, adósság jogcíme, Kérelmező minősítése, ügyiratszám, befizetésre vonatkozó összeg/dátum), Meghatalmazott személyazonosító adatai (név, székhely).

II.3.3. A Kérelmezett – a Hatósághoz 2023. május 11. napján érkezett - harmadik nyilatkozata

(NAIH-195-6/2023. sz. irat) (23) A Kérelmezett a Hatóság kifejezett felhívására válaszul részletezte az adminisztrációs hibát, amire a korábbi nyilatkozatában hivatkozott. Eszerint a Kérelmezett kiemelte, hogy a Kérelmező 2022.09-30-i panaszának megválaszolásakor hatályban lévő Panaszkezelési szabályzat és Panaszkezelési eljárásrend szerint az ügyintézőknek teljeskörűen kell eljárniuk a panaszok kivizsgálásakor. Az illetékes ügyintéző mulasztást követett el, mert nem észlelte a panasz megválaszolásakor, hogy a korábbi teljes körű válasz kizárólag a Kérelmező […] számú ügyét érintette, így a […] ügy vonatkozásában elmulasztotta az ítélet észlelését és annak értékelését. A Kérelmezett beadványához csatolta a Panaszkezelési szabályzat és Panaszkezelési eljárásrend rövidített változatát.

II.4. A […] Járásbíróság 2024. szeptember 12. napján kelt, […] számú jogerős ítélete a […] számon nyilvántartott követelés vonatkozásában (NAIH-331-3/2024. sz. irat)

(24) A bíróság a Kérelmező keresetét elutasította, és megállapította az ítéletben, hogy a megállapítási kereset feltételei nem állnak fenn, emiatt a […] ügyszám alatt nyilvántartott követelés elévülésének a kérdését a bíróságnak nem kellett vizsgálnia, illetve nem vizsgálhatta. A […] Járásbíróság [...] számú ítélete 2024. október 12. napján vált jogerőssé és végrehajthatóvá.

II.5. A megállapított tényállás

(25) A […] Járásbíróság 2020. október 15. napján kelt, […] szám alatti ítélete szerint a Kérelmezett a Kérelmező két tartozását a […] ügyszám alatt nyilvántartott, telefonszolgáltatási szerződésből eredő követelést 2009. június 4-én, míg a […] ügyszám alatt nyilvántartott, áruvásárlási kölcsön- és hitelkártya szerződésből eredő követelést 2013.október 1-én szerezte meg engedményezés útján. A Kérelmezett 2022. január 11. napján kelt válaszlevele szerint a tartozással kapcsolatban a Kérelmezett a Kérelmező következő személyes adatait kezelte: kötelezett neve, anyja neve, születési hely, születési idő, lakcím, engedményező neve, engedményezés időpontja, engedményezőnél szereplő azonosítószám, adósság összege, követelés adatai, kötelezett minősítése, örökös/szülő/törvényes képviselő/meghatalmazott személyazonosító adatai és lakcíme. Továbbá a Kérelmező azonosítására szolgáló adatait, kapcsolattartási adatait, panaszára vonatkozó adatait panaszkezelési célból a GDPR 6. cikk (1) bekezdés c) pont alapján kezeli. (26) A […] Törvényszék 2021. február 25-én kelt, a […] számú jogerős ítéletével megállapította, hogy a […] ügyszám alatt nyilvántartott tartozás elévült.

(27) A Kérelmező 2022. szeptember 30. napján kelt levelében megkereste a Kérelmezettet és hivatkozott arra, hogy a […] Törvényszék - mint másodfokú bíróság – 2021. február 25-én kelt, […] számú jogerős ítéletével megállapította a Kérelmezett által […] ügyiratszám alatt nyilvántartott tartozása elévülését. A Kérelmezett azonban a Kérelmező kifejezett kérése ellenére nem törölte a Kérelmező vonatkozásában a […] ügyszám alatt nyilvántartott, telefonszolgáltatási szerződésből eredő – Kérelmezettre engedményezett - tartozásával kapcsolatban kezelt személyes adatait és a 2022. október 10. napján kelt levelében sem adott érdemi választ a Kérelmező személyes adatainak törlésére vonatkozó kérelmére. (28) A Kérelmezett ezen ügyre vonatkozóan a felülvizsgálatot a Hatóság első megkeresését követően végezte el. A Kérelmezett a felülvizsgálat eredményeképpen észlelte, hogy a bírósági döntés alapján elmulasztotta a szükséges intézkedést: ügy zárása, adattörlés. Továbbá a Kérelmező panaszának intézésekor az illetékes ügyintéző is mulasztást követett el, mert nem észlelte a panasz megválaszolásakor, hogy a korábbi teljes körű válasz kizárólag a Kérelmező […] számú ügyét érintette, így a […] ügy vonatkozásában elmulasztotta az ítélet észlelését és annak értékelését.

(29) A Kérelmezett elismerte, hogy a […] ügyiratszám alatt nyilvántartott tartozás követeléskezelési célú adatkezelésére vonatkozóan nem rendelkezik GDPR 6. cikk (1) bekezdés szerinti jogalappal.

(30) A Kérelmezett ezt követően az ügy kezelését lezárta és intézkedett a Kérelmező személyes adatainak törlése iránt 2023. január 11. napján, és erről a Kérelmezőt is tájékoztatta a 2022. december 20-án kelt levelében.

(31) A […] számú követelés vonatkozásában a Kérelmezett előadta, hogy mivel tudomása szerint nincs olyan bírósági ítélet, mely az elévülést megállapította volna, ezért a követeléskezelés folyamatban van, és 2018. május 25-ét követően 2021. február 28-ig a GDPR 6. cikk (1) bekezdés b) pontjára hivatkozással, majd ezt követően GDPR 6. cikk (1) bekezdés f) pontra hivatkozással kezeli ezzel összefüggésben a Kérelmező személyes adatait.

(32) Ezen követelés vonatkozásában az eljárás felfüggesztése alatt a […] Járásbíróság 2024.

szeptember 12. napján kelt, […] számújogerős ítélete nem állapította meg a követelés elévülését, arra hivatkozással, hogy a megállapítási kereset feltételei nem állnak fenn.

III. Alkalmazott jogszabályi rendelkezések

(33) A GDPR-t kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. A GDPR hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint a GDPR-t az ott megjelölt kiegészítésekkel kell alkalmazni.

(34) A GDPR (47) preambulumbekezdése alapján az adatkezelő - ideértve azt az adatkezelőt is, akivel a személyes adatokat közölhetik - vagy valamely harmadik fél jogos érdeke jogalapot teremthet az adatkezelésre, feltéve hogy az érintett érdekei, alapvető jogai és szabadságai nem élveznek elsőbbséget, figyelembe véve az adatkezelővel való kapcsolata alapján az érintett észszerű elvárásait. Az ilyen jogos érdekről lehet szó például olyankor, amikor releváns és megfelelő kapcsolat áll fenn az érintett és az adatkezelő között, például olyan esetekben, amikor az érintett az adatkezelő ügyfele vagy annak alkalmazásában áll. A jogos érdek fennállásának megállapításához mindenképpen körültekintően meg kell vizsgálni többek között azt, hogy az érintett a személyes adatok gyűjtésének időpontjában és azzal összefüggésben számíthat-e észszerűen arra, hogy adatkezelésre az adott célból kerülhet sor. Az érintett érdekei és alapvető jogai elsőbbséget élvezhetnek az adatkezelő érdekével szemben, ha a személyes adatokat olyan körülmények között kezelik, amelyek közepette az érintettek nem számítanak további adatkezelésre. Mivel a jogalkotó feladata, hogy jogszabályban határozza meg, hogy a közhatalmi szervek milyen jogalapon kezelhetek személyes adatokat, az adatkezelő jogszerű érdekét alátámasztó jogalapot nem lehet alkalmazni, a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. Személyes adatoknak a csalások megelőzése céljából feltétlenül szükséges kezelése szintén az érintett adatkezelő jogos érdekének minősül. Személyes adatok közvetlen üzletszerzési célú kezelése szintén jogos érdeken alapulónak tekinthető. (35) A GDPR 4. cikk 1. pont alapján „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.

(36) A GDPR 4. cikk 2. pontja alapján „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.

(37) A GDPR 4. cikk 7.pontjai alapján „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;

(38) A GDPR 6. cikk alapján:

(1) A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. (39) A GDPR 12. cikk (1)- (6) bekezdései alapján:

(1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát.

(2) Az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani.

(3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri.

(4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.

(5) A 13. és 14. cikk alapján rendelkezésre bocsátott információkat és a 15-22. és 34. cikk alapján végzett minden tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy - különösen ismétlődő jellege miatt - túlzó, az adatkezelő:

a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségek figyelembevételével észszerű összegű díjat számíthat fel, vagy megtagadhatja a kérelem alapján történő intézkedést. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli.

(6) A 11. cikk sérelme nélkül, ha az adatkezelőnek megalapozott kétségei vannak a 15- 21. cikk szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti. (40) A GDPR 17. cikk alapján:

(1) Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll: a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték; b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja; c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezelés ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen; d) a személyes adatokat jogellenesen kezelték; e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell; f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor. (2) Ha az adatkezelő nyilvánosságra hozta a személyes adatot, és az (1) bekezdés értelmében azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az észszerűen elvárható lépéseket - ideértve technikai intézkedéseket - annak érdekében, hogy tájékoztassa az adatokat kezelő adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését. (3) Az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges: a) a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából; b) a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából; c) a 9. cikk (2) bekezdése h) és i) pontjának, valamint a 9. cikk (3) bekezdésének megfelelően a népegészségügy területét érintő közérdek alapján; d) a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben az (1) bekezdésben említett jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez. (41) A GDPR 58. cikk (2) bekezdés b) és d) pontja alapján a felügyeleti hatóság korrekciós hatáskörében eljárva:

a) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit. b) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel. (42) A GDPR 77. cikk (1) bekezdés alapján az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban -, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet. (43) A GDPR 83. cikk (2) bekezdés alapján a közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban - ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. (44) Az Infotv. 60. § (1) A személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat.

(45) A számvitelről szóló 2000. évi C. törvény (a továbbiakban: Sztv.) 166. § (1) bekezdés szerint számviteli bizonylat minden olyan a gazdálkodó által kiállított, készített, illetve a gazdálkodóval üzleti vagy egyéb kapcsolatban álló természetes személy vagy más gazdálkodó által kiállított, készített okmány (számla, szerződés, megállapodás, kimutatás, hitelintézeti bizonylat, bankkivonat, jogszabályi rendelkezés, egyéb ilyennek minősíthető irat) - függetlenül annak nyomdai vagy egyéb előállítási módjától -, amely a gazdasági esemény számviteli elszámolását (nyilvántartását) támasztja alá. (46) Az Sztv. 169. § (2) bekezdés szerint a könyvviteli elszámolást közvetlenül és közvetetten alátámasztó számviteli bizonylatot (ideértve a főkönyvi számlákat, az analitikus, illetve részletező nyilvántartásokat is), legalább 8 évig kell olvasható formában, a könyvelési feljegyzések hivatkozása alapján visszakereshető módon megőrizni.

(47) A hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013.évi CCXXXVII. törvény 288. § (3)

bekezdés alapján a telefonon történő panaszkezelés esetén a pénzügyi intézmény, független közvetítő a panaszt és az arra adott választ öt évig őrzi meg.

IV. Döntés

IV.1. A Kérelmezett tevékenységének rövid bemutatása és a vizsgált adatkezelés

(48) A Kérelmezett az e-cegjegyzek.hu oldalon elérhető nyilvános cégnyilvántartás alapján többek között követeléskezeléssel (adósságkezeléssel) foglalkozik. és ebből adódóan a Hpt. hatálya alá tartozik. (49) A kérelemre indult adatvédelmi hatósági eljárásban a Hatóság a Kérelmező Kérelmezettnél tárolt […] és […] ügyszám alatt nyilvántartott követeléssel összefüggésben vizsgálja a Kérelmezett adatkezelése GDPR rendelkezéseinek való megfelelőségét.

IV.2. A Kérelmező személyes adatai, adatkezelés, adatkezelői minőség

(50) A Hatóság a Kérelmezett adatkezelése vonatkozásban a követelés elévülését nem vizsgálta, mert ennek megítélése az Infotv. 38. § (2)-(2a) bekezdései alapján nem tartozik a Hatóság hatáskörébe. Ezen kérdés eldöntése bíróság hatáskörébe tartozik (51) A GDPR 4. cikk 1. pontja szerint a Kérelmező azonosító adatai, lakcíme, kapcsolattartási adatai, a vele szemben tartozásként nyilvántartott követelésre vonatkozó adatok a Kérelmező személyes adatainak minősülnek, amely adatoknak a tárolása, felhasználása, továbbítása az általános adatvédelmi rendelet 4. cikk 2. pontja szerinti adatkezelésnek minősül. (52) A GDPR 4. cikk 7. pontja szerinti adatkezelő, aki az ott meghatározottak szerint érdemi döntéshozatali jogkörrel rendelkezik, és egyúttal felelősséggel tartozik az adatkezeléssel kapcsolatos jogszabályi kötelezettségek teljesítéséért. A jelen eljárásban a Kérelmező Kérelmezettnél tárolt személyes adatai vonatkozásában a Kérelmezett minősül adatkezelőnek a GDPR 4. cikk 7. pontja alapján, mivel az adatkezelés célját, eszközeit (jogalapját, időtartamát, érintetti jogok gyakorlásának módját és elbírálásának rendjét, az ehhez szükséges technikai és szervezési intézkedéseit) önállóan határozta meg.

(53) A fentiek miatt a Kérelmezett, mint adatkezelő a GDPR alapján köteles a Kérelmező személyes adatait törölni, ha azok kezelésének a jogalapja már nem áll fenn, továbbá a Kérelmező érintetti kérelmét teljesíteni, a megtett intézkedéseiről tájékoztatni a GDPR 12. cikk (3) bekezdés alapján, vagy a teljesítés elmaradását a GDPR 12. cikk (4) bekezdésének megfelelően indokolni, azaz a részére tájékoztatást nyújtani az érintetti kérelmeivel összefüggésben. (54) Ami a Kérelmezett által hivatkozott adminisztratív hibát illeti, a Hatóság ezzel kapcsolatban az alábbiakra hívja fel a figyelmet: A Hatóság álláspontja szerint a Kérelmezett nem egyszerű tévesztés, elírás miatt kezelte jogalap nélkül a Kérelmező elévült követeléssel összefüggésben személyes adatait, hanem a Kérelmezett – hivatkozva az általa jelen határozat (18) bekezdésében előadottakra mulasztása miatt nem történt meg a követelés lezárásához szükséges intézkedés. Az eljárás során a Kérelmezett Panaszkezelési szabályzat és Panaszkezelési eljárásrendre vonatkozó dokumentum rövidített változatát nyújtotta be, ami azonban nem támasztotta alá a Kérelmezett által hivatkozott adminisztrációs hibát. Tehát az a mulasztás, miszerint a Kérelmezett a követelést nem zárta le és nem tett ennek érdekében intézkedéseket, nem tekinthető adminisztratív hibának.

A Kérelmezett szerint a panasz megválaszoláskor az ügyintézőnek kell teljes körűen eljárnia, így a mulasztás az illetékes ügyintéző oldalán állt fenn. Ez az érvelés azonban nem mentesíti a Kérelmezettet az adatkezelői felelősség alól, tekintettel arra, hogy a GDPR 4. cikk 7. pontja értelmében a Kérelmezett minősül adatkezelőnek. A Kérelmezett az, aki megszervezi az adatkezelés folyamatát és kialakítja annak körülményeit. Az adatkezelő legfontosabb jellemzője az, hogy érdemi döntéshozatali jogkörrel rendelkezik, és felelősséggel tartozik az adatkezelés valamennyi, az általános adatvédelmi rendeletben rögzített kötelezettség teljesítéséért, különösképpen a GDPR 5. cikk (2) bekezdésben rögzített elszámoltathatóság elve alapján képesnek kell lennie annak igazolására, hogy az adatkezelése során a GDPR rendelkezéseinek megfelelően jár el. Mindezek alapján az esettel összefüggő mulasztás is a Kérelmezett, mint adatkezelő felelősségi körébe esik. Ez tehát azt jelenti az adott esetre vetítve, hogy a Kérelmezettnek az adatkezelését úgy kellett volna módosítania, hogy a Kérelmezővel szemben támasztott - bírósági ítélettel megállapított elévült - követeléssel összefüggésben a jogalap nélkül kezelt személyes adatokat a bírósági ítélet jogerőssé válása után haladéktalanul törölje, illetve a Kérelmező érintetti kérelmét a GDPR-ban előírtaknak megfelelően teljesítse.

IV.3. A Kérelmezett elévült tartozással összefüggő adatkezelése ([…] ügyiratszám alatt nyilvántartott követelés)

(55) A Kérelmezett nem cáfolta, sőt a belső vizsgálata során maga is megállapította, hogy jogalap nélkül folytatott a Kérelmező […] ügyiratszám alatt nyilvántartott követelése tekintetében adatkezelést, azt követően is, hogy a követelés tekintetében 2021. február 25-én jogerős bírósági döntés született arról, hogy az elévült, ráadásul a Kérelmező is kifejezetten jelezte a Kérelmezett felé, hogy nem áll módjában ezt a tartozást megfizetni. A Kérelmezett azonban továbbra is kezelte a Kérelmező a […] ügyiratszám alatt nyilvántartott követeléssel kapcsolatos adatait és a felülvizsgálatot csak a Hatósági megkeresés követően végezte el, amelynek eredményeképpen észlelte, hogy a bírósági döntés alapján elmulasztotta a szükséges intézkedést megtenni.

(56) Követeléskezelési célú adatkezelés a GDPR 6. cikk (1) bekezdés f) pontra, tehát jogos érdekre hivatkozással folytatható. Ezzel kapcsolatban a Hatóság már több határozatában 2kifejtette az alábbiakat:

2 Lásd: NAIH-1598/2019., NAIH-3659-2/2021.; NAIH-718-15/2021.; NAIH-2727-2/2022. számú határozatok

A GDPR 6. cikk (1) bekezdés b) pontja szerinti szerződéses jogalap már nem vonatkoztatható arra az esetre, ha az adatkezelő az elmaradt teljesítés miatt az érintettel szembeni követelését követelésbehajtással foglalkozó vállalkozásra engedményezi (azaz a problémát már a szerződésen kívül kívánja megoldani). Ilyenformán a Kérelmezett és a Kérelmező között sem áll fenn szerződéses jogviszony. Az engedményezés keretében történő adatátvétel jogalapja így csak más, tipikusan az engedményes részéről a követelés saját részére történő érvényesítéséhez fűződő jogos érdeke lehet. A Polgári Törvénykönyvről szóló 2013. évi V. törvényhez (a továbbiakban: Ptk.) fűzött indokolás szerint a követelések átruházására a tulajdonjog átruházásával azonos logika alapján kerül sor, tehát az engedményezés tulajdonképpen nem más, mint a követelés tulajdonjogának átruházása. Az engedményezéssel a követelés elválik az eredeti jogviszonytól, amelyből az származik, és az engedményes kizárólag a követelés és nem pedig az alapjogviszony vonatkozásában lép az engedményező helyébe. Azáltal, hogy az engedményezéssel a követelés elválik az alapjogviszonytól és az engedményes a követelés jogosultjává válik, a követelés engedményes általi érvényesítése, illetve az ahhoz kapcsolódó adatkezelés, többé már nem azon szerződés teljesítése érdekében történik, amelyből a követelés eredetileg származott, mivel ebben az esetben az engedményesnek nem a saját, hanem az engedményező javára kellene érvényesíteni az engedményezés útján megszerzett követelést. Az engedményezéssel, amennyiben az ellenérték fejében történik, az engedményező kötelezettel szembeni követelése a vételár függvényében teljesen vagy részben megtérül. Az engedményes a követelés behajtása céljából saját érdekében és saját javára jár el, hiszen az engedményezéssel ő válik a követelés jogosultjává, és a követelés érvényesítése, az adós teljesítésre bírása, valamint az ennek érdekében végzett adatkezelés az ő jogos érdekét, nem pedig az alapul fekvő szerződés teljesítését szolgálja, mivel a követelés az engedményezéssel függetlenné vált a szerződéstől. A Hatóság ebben a körben megjegyzi, hogy a […] Törvényszék […] számú elsőfokú, a jelen hatósági eljáráshoz hasonlóan a követeléskezelés célú engedményezés útján szerzett követelés jogalapjával összefüggésben a Kérelmezettre vonatkozó – a Kúria […]-én hozott ítéletével helybenhagyott – jogerős ítéletében a szerződéses jogalap alkalmazhatósága kapcsán osztotta a Hatóság fentebb kifejtett álláspontját. A […] Törvényszék az Európai Adatvédelmi Testület, 2/2019. számú ajánlásában is megjelenő értelmezést tartotta irányadónak, mely szerint a szerződés teljesítése, mint jogalap szűken értelmezendő és nem terjed ki automatikusan a nemteljesítésből eredő adatkezelésre, illetve hogy csak a fizetési emlékeztető kiküldésével, illetve a szerződés normális menetbe terelésével kapcsolatos adatkezelés eshet a szerződés teljesítése jogalap alá, az eredeti szerződés megszűnését követő, követeléskezelési célú adatkezelésre azonban mindez nem alkalmazható. (57) A GDPR 6. cikk (1) bekezdés f) pont szerinti jogalap esetén azonban az adatkezelő jogos érdekének elsőbbségét a GDPR (47) preambulumbekezdés alapján érdekmérlegeléssel kell alátámasztani. (58) A jelen esetben a Kérelmezett nem vitatta, sőt a belső vizsgálata során maga is megállapította, hogy bírósági ítélettel megállapított elévülés tényére tekintettel a Kérelmezett jogos érdeke nem élvez elsőbbséget a Kérelmező azon érdekével szemben, hogy a Kérelmező személyes adatait ne kezelje a Kérelmezett, és elismerte azt, hogy emiatt GDPR 6. cikk (1) bekezdés szerinti jogalap nélkül kezelte a Kérelmező személyes adatait, mivel azokat a bírósági ítélet jogerőssé válása után közvetlenül, majd azt követően még a Kérelmező kifejezett kérése ellenére sem törölte, hanem követeléskezelési céllal tovább kezelte, és a követeléskezelés céljából azokon csak a Hatóság előtt kezdeményezett adatvédelmi hatósági eljárás megindulása után - 2023. január 11. napját követően – nem folytatott adatkezelést.

(59) A fentiekre és a (25) – (28) bekezdésekben megállapítottakra tekintettel a Kérelmezett megsértette a GDPR 6. cikk (1) bekezdését a Kérelmező […] ügyszám alatt nyilvántartott követeléssel összefüggő követeléskezelési célú adatkezelésével, mivel 2018. május 25.

óta a GDPR 6. cikk (1) bekezdés b) pontra, nem pedig a GDPR 6. cikk (1) bekezdés f)

pontra kezelte az engedményezés útján szerzett követelést, valamint 2021. február 25én kelt, jogerős bírósági ítéletet követően jogalap nélkül továbbra is követeléskezelési céllal kezelte a Kérelmező személyes adatait 2023. január 11-ig.

IV.4. A Kérelmező érintetti kérelme a […] ügyszámú ügyével összefüggésben

(60) A Kérelmező a 2022. szeptember 30. napján kelt levelében megkereste a Kérelmezettet a személyes adatainak törlése érdekében a […] ügyiratszám alatt nyilvántartott tartozása elévülésére hivatkozással. A Kérelmező kifejezett kérése ellenére a Kérelmezett a személyes adatait nem törölte, és a 2022. október 10. napján kelt levelében sem adott érdemi választ a Kérelmező személyes adatainak törlésére vonatkozó kérelmére. (61) A GDPR 17. cikk (1) bekezdés d) pontok alapján a Kérelmezett köteles lett volna a Kérelmező elévült tartozásával összefüggésben követeléskezelés céljából kezelt személyes adatait a Kérelmező kérése alapján törölni. A Kérelmezett azonban a Hatóság megkeresését követően végezte el a […] ügyiratszámú ügyre vonatkozóan a felülvizsgálatot, melynek eredményeképpen észlelte, hogy a 2021. február 25-én hozott jogerős bírósági döntést követően elmulasztotta a követelést lezárni, és ehhez kapcsolódó adatokat törölni. Tehát jelen esetben a Kérelmezett jogellenesen, jogalap nélkül kezelte a Kérelmező elévült tartozásával összefüggő személyes adatait követeléskezelési célból. Ebből következően megállapítható, hogy a GDPR 17. cikk d) pont alapján törlési kötelezettség állt fenn. A Kérelmezett azonban ennek ellenére nem teljesítette a Kérelmező 2022. szeptember 30-ai kérelmét, annak csak a Hatóság megkeresés követően, 2023. január 11. napján tett eleget, ezért megsértette a GDPR 17. cikk (1) bekezdés d) pontját.

IV.5. A GDPR 6. cikk (1) bekezdés c) pont alapján kezelt személyes adatok

(62) A Kérelmezett a Kérelmező személyes adatait az alábbi célokból, az alábbi jogalapra hivatkozással az elévült követelés tekintetében is kezelheti, amely kifejezetten csak tárolást, megőrzést jelent:

az Sztv. 166. § (1) bekezdés és 169. § (1)–(2) bekezdései alapján a személyes adatokat, mint számviteli bizonylatokat az üzleti kapcsolat megszűnésétől, illetőleg az ügyleti megbízás teljesítésétől számított 8 évig nyilvántartja és megőrzi az adatkezelő a GDPR 6. cikk (1) bekezdés c) pont alapján, panaszkezelés célból történő adatkezelés a Hpt. 288. § (3) bekezdése alapján 5 évig a GDPR 6. cikk (1) bekezdés c) pont alapján, jelen eljárással összefüggésben az ügy lezárásáig a GDPR 6. cikk (1) bekezdés f) pont alapján. (63) A GDPR 17. cikk (3) bekezdés b) pont alapján a törlésre irányuló érintetti kérelem a fentiek vonatkozásában nem teljesíthető, mivel a Kérelmezett részére panaszkezelés céljából jelen határozat (25) bekezdésében felsorolt személyes adatok megőrzését –- jogszabály írja elő. (64) A fentiek alapján tehát megállapítható, hogy a Kérelmezett a GDPR 6. cikk (1) bekezdés c)

pontra, tehát jogszabály előírására hivatkozással jogszerűen kezeli a Kérelmező személyes adatait az Sztv. és a Hpt. rendelkezései alapján. (65) A Hpt. és az Szt. azonban csak tárolási kötelezettséget ír elő, a tárolt személyes adatok másra nem használhatók fel.

(66) A Kérelmezett továbbá a Kérelmező GDPR 6. cikk (a) pontja alapján kezelt telefonszámát törölte és arról értesítette a Kérelmezőt, ezzel részben eleget tett a Kérelmező törlési kérelmének. (67) A fenti célból kezelt személyes adatok törlése tekintetében a Hatóság elutasította a Kérelmező törlés elrendelésére irányuló kérelmét. Továbbá tekintettel arra, hogy a Kérelmezett törölte a hozzájárulás alapján kezelt Kérelmező telefonszámadatát, illetve igazolta a Hatóság felé, hogy az adatvédelmi hatósági eljárás alatt törölte a Kérelmező követeléskezelési célból kezelt és korábban nem törölt személyes adatait, ezért ezzel összefüggésben is, okafogyottság miatt elutasította a Kérelmező arra irányuló kérelmét, hogy a Kérelmezettet utasítsa a törlés végrehajtására.

IV.6. A Kérelmezett […] ügyszámú üggyel összefüggő adatkezelése

IV.7. Jogkövetkezmények

(73) A Hatóság a tényállás tisztázása során megállapította, hogy Kérelmezett megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését, valamint 17. cikk (1) bekezdés d) pontját. (74) A Hatóság a GDPR 58. cikk (2) bekezdés b) pont alapján elmarasztalja a Kérelmezettet, mert nem megfelelő jogalapon kezelte a Kérelmező tartozásaival összefüggésben kezelt adatait 2018. május 25. és 2021. február 28. között, ezzel megsértette a GDPR 6. cikk (1) bekezdését. (75) A Hatóság megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. A Hatóság megállapította, hogy a Kérelmezett vonatkozásában a jelen eljárás során feltárt jogsértések közül a rendelkező rész I. pontja esetében a figyelmeztetés sem nem arányos, sem nem visszatartó erejű szankció, így bírság kiszabása szükséges. A Hatóság azonban a rendelkező rész II. pontja szerinti esetre, a GDPR 6. cikk (1) bekezdésének megsértése miatti hivatalbóli megállapítása vonatkozásában bírságot nem szab ki a Kérelmezettre. (76) A Hatóság a kiszabott adatvédelmi bírság összegének megállapítása során figyelembe vette az Európai Adatvédelmi Testület 4/2022-es számú iránymutatásában (a továbbiakban: Iránymutatás)3 foglaltakat, amely az általános adatvédelmi rendelet szerinti közigazgatási bírságok kiszabásának számítási szempontjait tartalmazza. Erre tekintettel a bírság összegének meghatározására a következő szempontok alapján került sor:

(77) A Kérelmezett által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5)

bekezdés a) és b) pontjai szerint a magasabb összegű bírságkategóriába tartozó jogsértéseknek minősülnek, az adatkezelés elveivel kapcsolatosak.

(78) A jogsértés természete (nature of infringement) kapcsán vizsgálandó, hogy milyen érdek védelmét szolgálja a megsértett rendelkezés. A GDPR 17. cikke, miszerint az adatkezelő köteles biztosítani az érintetti jogok gyakorlását, olyan garanciális szabály, melynek betartása nélkül az érintett nincs abban a helyzetben, hogy a személyes adatait érintő adatkezelést ellenőrizze, befolyásolja, és a jelen esetben a Kérelmezett mulasztása ettől fosztotta meg az érintettet. (79) Továbbá súlyosbító körülményként vette figyelembe a Hatóság az alábbiakat:

a. A Kérelmezett jogsértő adatkezelése a Kérelmező magánszféráját jelentősen érintette, mivel a Kérelmező személyes adatait követeléskezelési célból kezelte úgy, hogy jogerős bírósági ítélet állapította meg az elévülést.

b. A Kérelmezett által elkövetett jogsértések következtében a Kérelmező a jogerős bírósági ítélet ellenére olyan helyzetbe került, hogy a peres eljárás után a Kérelmezőnek egy újabb eljárást - azaz a jelen eljárást a Hatóság előtt – kellett megindítania ahhoz, hogy a Kérelmezettel fennálló adatkezelést is érintő jogvitáját véglegesen rendezze, annak ellenére, hogy a Kérelmező levélben is jelezte a jogellenes adatkezelés tényét a Kérelmezett felé. A Kérelmező tehát a peres eljárás lezárása, majd az érintetti kérelmének a benyújtása és végül az adatvédelmi hatósági eljárás kezdeményezése után tudta csak azt elérni, hogy a Kérelmezett által jogellenesen kezelt személyes adatai törlésre kerüljenek.

c. A Hatóság már több ügyben állapított meg jogsértést a Kérelmezett tekintetében, és többször szabott ki bírságot, az alábbiak szerint:

Jogsértés megállapítása és bírság kiszabása:

a) NAIH/2019/1841. sz. határozat (ötszázezer forint), b) NAIH/2020/308. sz. határozat (kettőmillió forint), c) NAIH/2020/152. sz. határozat (egymillió forint), d) NAIH-2021/3957. sz. határozat (egymillió forint) e) NAIH-2021/3975. sz. határozat (egymillió forint) f) NAIH-2022/217. sz. határozat (ötmillió forint) g) NAIH-2022/2727. sz. határozat (tízmillió forint) h) NAIH-2023/558. sz. határozat (tízmillió forint)

Jogsértés megállapítása bírságolás nélkül:

a) NAIH/2019/2566. sz. határozat, b) NAIH/2020/5552 sz. határozat, A fenti ügyekből a GDPR 6. cikk sérelmének megállapítása:

3https://www.edpb.europa.eu/system/files/202401/edpb_guidelines_042022_calculationofadministrativefines _hu_0.pdf

- NAIH/2019/2566. sz. határozat, - NAIH/2020/5552 sz. határozat, - NAIH/2020/152. sz. határozat, - NAIH-2021/3957. sz. határozat, - NAIH-2021/3975. sz. határozat - NAIH-2022/2727. sz. határozat. - NAIH-2022/217. sz. határozat - NAIH-2022/2727. sz. határozat

A fenti ügyekből az érintetti jogok megsértésének megállapítása:

- NAIH/2019/1841. sz. határozat, - NAIH-2021/3957. sz. határozat, - NAIH/2020/308. sz. határozat, - NAIH-2022/2727. sz. határozat, - NAIH/2020/152. sz. határozat. - NAIH-2023/558. sz. határozat Tehát a jelen ügyben a Kérelmezett a hivatkozott GDPR-rendelkezéseket ismétlődően sértette meg, mely kiemelt súlyosbító tényező. (80) Enyhítő körülményekként vette figyelembe a Hatóság az alábbiakat:

d. a Hatóság az Infotv. 60/A.§ (1) bekezdése szerinti százötven napos ügyintézési határidőt jelentősen túllépte, e. a Hatóság az elkövetett jogsértéseket gondatlanságnak tekintette, f. a Kérelmezett a jelen eljárás megindulását követően, a Hatóság utasítása nélkül, önként elvégezte a jogellenesen kezelt személyes adatok törlését, és elismerte a jogsértést, g. a Kérelmezett a fent hivatkozott korábbi határozatokat teljesítette, végrehajtotta, h. a Kérelmezőt nem érte pénzügyi kár, mert a Kérelmezett csökkentett összegre folytatta a végrehajtási eljárást.

(81) Mindezen szempontok alapján a Hatóság arra a megállapításra jutott, hogy a GDPR 6. cikk

(1) bekezdése és a GDPR 17. cikk (1) bekezdése d) pontjának Kérelmezett általi megsértése közepes súlyosságúnak minősül, azaz a bírság számításának kiinduló pontja a maximum kiszabható bírságösszeg 10-20%-a. (82) A Hatóság a bírság kiszabása tekintetében a GDPR 83. cikk 2) bekezdésének a következő rendelkezéseit nem vette figyelembe, mert a tárgyi ügyben nem voltak relevánsak: h) pont, j) pont. (83) A Hatóság figyelembe vette a bírság összegének megállapítása során az Iránymutatásban foglaltakat, amely az általános adatvédelmi rendelet szerinti közigazgatási bírságok kiszabásának számítási szempontjait tartalmazza. Erre tekintettel a bírság összegének meghatározására a következő szempontok alapján került sor:

i. A Kérelmezett a 2023-as évben az értékesítés nettó árbevétele […] HUF, azaz […] forint volt. A kiszabott bírság ezek alapján ezen összeg […]%-a. j. A GDPR 83. cikk (5) bekezdésében foglaltak alapján a Kérelmezett a GDPR 17. cikk és a GDPR 6. cikk (1) bekezdésével összefüggésben elkövetett jogsértései esetén „legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal [statikus bírságmaximum], illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani [dinamikus bírságmaximum], azzal, hogy a kettő közül a magasabb összeget kell kiszabni.”

k. A Kérelmezett 2023-es árbevételének 4%-a […] HUF ([…] forint), amely a jelenlegi HUF/EUR árfolyam mellett nem haladja meg a rendelet által meghatározott ún. statikus bírságmaximumot, azaz 20.000.000 EUR-nak megfelelő összeget, 8.000 MFt-ot. Mivel a statikus és a dinamikus összegek közül a bírságot az adott esetben kiszabható magasabb kategória alapján kell számolni és ahhoz arányosítani, így a Kérelmezett jelen ügyben legfeljebb 20.000.000 EUR-nak megfelelő közigazgatási bírsággal sújtható.

l. A Hatóság által megállapított jogsértések közepes súlyosságúak, ezért a bírságszámítás kezdő összege a GDPR 83. cikk (5) bekezdésben meghatározott jogsértések tekintetében 2-4 millió EUR-ban határozandó meg tekintettel arra, hogy a Kérelmezett 2023. évi nettó árbevételének 4 %-a nem haladta meg a 20 000 000 eurót, azaz a statikus bírságmaximumot.

m. Tekintettel arra, hogy a megállapított jogsértés közepes súlyosságúnak minősül, így a bírság számításának kiinduló pontja a maximum kiszabható bírságösszeg 160 000 – 800 000 EUR (amely 1 EUR=399,02 HUF középárfolyam mellett 63 843 200- 319 216 000 HUF).

n. A bírság kiszabásának általános követelményeire tekintettel, miszerint a bírságnak hatékonynak, az elkövetett jogsértéssel arányosnak kell lennie, valamint az adatvédelmi eljárás során feltárt enyhítő és súlyosbító körülmények miatt a Hatóság a mindösszesen 10 000 000 Ft, azaz tízmillió forint adatvédelmi bírság kiszabása mellett döntött.

o. A fentiekben említett bírságmaximumhoz képest a kiszabott bírság alacsony, ugyanakkor a jogsértés súlyával arányos, az nem tekinthető túlzónak, Kérelmezett gazdasági súlyához és a rendelkezésére álló pénzügyi erőforrásokhoz képest kis összeg.

V. Egyéb kérdések:

(84) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

(85) A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr.

82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * (86) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

(87) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, a digitális szolgáltatások nyújtásának egyes szabályairól szóló 2023. évi CIII. törvény (a továbbiakban: Dáptv.) 19. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

(88) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

(89) Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja.

(90) A Hatóság túllépte az Infotv. 60/A.§ (1) bekezdése szerinti ügyintézési határidőt, ezért 10.000

Ft, azaz tízezer forint illeti meg a Kérelmezőt – választása szerint – bankszámlára utalással vagy postai utalvánnyal az Ákr. 51. § (1) bekezdés b) pontja alapján. Budapest, „az elektronikus aláírás és időbélyeg szerint”

Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár távollétében:

Dr. Bendik Tamás általános elnökhelyettes