Hungarian Data Protection Authority (NAIH): access to life insurance contract data

………………………………………………………………………………………………………… 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu

Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-1248-8/2023. Tárgy: Határozat, végzés Előzmény ügyszám: NAIH-6478/2022.

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a […] ([…] székhelye: […]; a továbbiakban: Képviselő) által képviselt […] kérelmezőnek (lakcíme: […]; a továbbiakban: Kérelmező) a Hatósághoz 2022. július 23-án érkezett kérelmére adatvédelmi hatósági eljárás indult a […]-vel szemben (székhelye: […]; a továbbiakban: Kérelmezett). A Kérelmező elhunyt édesanyja által kötött tőkemegtakarítási életbiztosítási szerződés adataihoz való hozzáférés nem megfelelő biztosítása tárgyában indult adatvédelmi hatósági eljárásban a Hatóság az alábbi döntéseket hozza:

I.

A Hatóság a Kérelmező kérelmére megállapítja, hogy a Kérelmezett megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) szóló 2016/679 számú európai parlamenti és a tanácsi (EU) rendelet (a továbbiakban: GDPR) 15. cikk (1) bekezdését. II. A Hatóság hivatalból megállapítja, hogy a Kérelmezett megsértette a GDPR 5. cikk (1)

bekezdés c) pontja szerinti adattakarékosság elvét. III. A Hatóság hivatalból utasítja a Kérelmezettet, hogy minden szakrendszeréből, továbbá levelező rendszeréből törölje a Kérelmező által a rendelkezésére bocsátott […] számú teljes hagyatékátadó végzést a jelen határozat véglegessé válásától számított 15 napon belül!

IV. A Hatóság a Kérelmezettet az I. és II. pontban megállapított jogsértés miatt figyelmeztetésben részesíti.

V É GZÉ S

A Hatóság az eljárást a Kérelmező azon kérelme vonatkozásában, hogy a Hatóság kötelezze a Kérelmezettet a hozzáférési kérelme teljesítésére, megszünteti. A Hatóság figyelmezteti Kérelmezettet, hogy a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

A II. pontban előírt intézkedést a Kérelmezettnek a jelen határozattal szembeni jogorvoslati határidő leteltét követő 15 napon belül kell megtennie, és annak megtételét haladéktalanul – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A jelen határozattal és végzéssel szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. 1 A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A végzéssel szembeni perben a bíróság egyszerűsített perben, tárgyaláson kívül jár el. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az ügy előzményei, az eljárás tárgya

(1) A Kérelmező adatvédelmi hatósági eljárás iránti kérelme 2022. július 23-án érkezett a Hatósághoz. A Kérelmező a kérelmében előadta, hogy édesanyja […] (születési helye, ideje: […]; születési neve: […]) […] elhunyt, a hagyatékátadó végzés alapján a hagyaték végrendelet alapján átadásra került a végrendeleti örökösnek, azaz a Kérelmezőnek. (2) A Kérelmező ezt követően szerzett tudomást az elhunyt és a Kérelmezett között 2010. március 1-jével létrejött […] jelű […] Életbiztosítási szerződésről. Az egyösszegű, […] forint biztosítási díj megfizetésére 2010. február 9-én került sor az örökhagyó […] számú, […] Banknál vezetett számlájáról.

(3) A Kérelmező ezen tőkemegtakarítási életbiztosításról való tudomásszerzést követően megkereste a […] Bankot, akitől azt a tájékoztatást kapta, hogy a biztosítási összegnek megfelelő összeg nem került jóváírásra a szerződésben kifizetési számlaként megjelölt számlára. (4) A Kérelmező ezt követően felvette a kapcsolatot a Kérelmezettel. 2021. március 3-án írásban, levélben kért tájékoztatást arról, hogy mi lett a befizetett összeg sorsa. Ezen kérelméhez többek között mellékelte a befizetést igazoló számlakivonatot, amelyen szerepelt az ajánlatszám is, továbbá a hagyatékátadó végzés közjegyző által elkészített kivonatát. A Kérelmezett 2021. március 5-én kelt levelében arról tájékoztatta a Kérelmezőt, hogy az örökhagyó bankszámlájáról a […] befizető azonosítóval – ez a szám szerepel a Kérelmezett nyilvántartásában ajánlatszámként is – 2010. február 9-én levont összeghez kapcsolódó biztosítási szerződés 30 napon beüli felmondás miatt megszüntetésre került. Emellett tájékoztatta a Kérelmezőt arról, hogy a szerződés vonatkozásában a megállapított adatmegőrzési határidő eltelt, az adatkezelés célja megszűnt az adott szerződés

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál. Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. Az űrlap hozzáférhető és letölthető a Hatóság honlapjáról: https://www.naih.hu/kozighatarozat-birosagi-felulvizsgalata vonatkozásában, így a Kérelmezett a szerződéssel kapcsolatban beazonosításra alkalmas személyes adatokat nem tart nyilván. (5) A szerződésben kifizetési számlaként megjelölt, […] Banknál vezetett bankszámla 2009. december 24. és 2010. május 21. közti kivonatai szerint a szerződés felmondás miatti megszűnését követően nem került erre a számlára visszautalásra a biztosítási összeg. (6) A Kérelmező 2021. április 6-án a […] e-mail címről a […] e-mail címre küldött levelében újból tájékoztatást kért az édesanyja által befizetett szerződéses összeg sorsáról. Ebben előadta, hogy az édesanyja halála után talált egy „[…] banki papírt, amelyen olyan összeg szerepelt, amelyről nem volt tudomásunk.” Ezt követően nyilatkozata szerint felkereste a […] Bankot, aki megerősítette, hogy az édesanyja számlájáról átutalásra került […] forint a Kérelmezett részére, azonban a pénz számlára való visszaérkezésének nincs nyoma, ezért kérte a Kérelmezettet, hogy vizsgálja ki, hogy az édesanyja által felmondott szerződésből visszajáró biztosítási díjnak mi lett a sorsa. (7) A Kérelmezett 2021. április 15-én tájékoztatta, hogy csak abban az esetben tud érdemi információval szolgálni, ha csatolja a hagyatékátadó végzést, amely felhívásnak a Kérelmező 2021. június 10-én csak részben tett eleget, azaz nem csatolta a teljes hagyatékátadó végzést, csupán annak egy részét, amely tartalmazta a hagyatékátadó végzést kiállító közjegyző adatait, a végzés számát, a dátumot, amelyen az elhunyt végrendelete kelt, azt, hogy végrendeleti örökösként a Kérelmezőt jelölte meg, valamint azon közjegyzői megállapítást, hogy a végrendeletet alakilag aggálymentesnek tekintette, illetve, hogy az örökhagyó végrendelete teljes, abban minden ingó és ingatlan vagyonáról rendelkezett, továbbá, hogy a Kérelmező mint végrendeleti örökös kérte a hagyaték átadását a végrendelet szerint saját részére. (8) A Kérelmező ezen 2021. június 10-én kelt levélben megjelölte a biztosítási összeg Kérelmezett részére való átutalásának napját, összegét, a kötvényszámot –[…]– és az ügyszámot –[…]–, valamint, hogy a Kérelmezettől kapott tájékoztatás szerint a szerződés a kötvény átvételétől számított 30 napon belül a Kérelmező édesanyja általi felmondással megszűnt, azonban a biztosítási összeg visszautalásának nem találta nyomát egyik számlavezető banknál sem. (9) Kérelmezett 2021. június 23-án kelt levelében ismételten tájékoztatta a teljes hagyatékátadó végzés megküldésének szükségességéről a Kérelmezőt, valamint általánosságban tájékoztatta arról, hogy amennyiben a szerződés megszűnésétől számított 8 év már eltelt, amely az adatok megőrzésére megállapított határidő, az adatkezelés célja megszűnt. Az adatkezelési cél megszűnését követően a korábban kezelt adatok beazonosítható módon már nem szerepelnek a Kérelmezett nyilvántartásában, így a kért adatok előállítására és megküldésére nincs lehetősége. A Kérelmező 2021. július 4-én bocsátotta a Kérelmezett rendelkezésére a teljes hagyatékátadó végzést. (10) A Kérelmezett 2021. július 7-én kelt levelében arról tájékoztatta a Kérelmezőt, hogy a […] számú szerződés a kötvény kézhezvételétől számított 30 napon belüli felmondással 2010. március 22. napjával megszűnt, azonban a Kérelmező által kért adatokkal nem rendelkezik, mert a szerződés megszűnésétől számítva nyolc év eltelt.

(11) A Képviselő a Kérelmező nevében 2021. november 16-án és 2022. március 23-án ismételten megkeresésekkel fordult a Kérelmezetthez, amelyekben tájékoztatást kért arról, hogy mi lett a Kérelmező édesanyja által befizetett biztosítási összeg sorsa. Hangsúlyozta, hogy a Kérelmező a Bit. szerint érdekeltnek minősül mivel a felmondott tőkemegtakarítási életbiztosítási szerződében ő került megjelölésre haláleseti kedvezményezettként. (12) A Kérelmezett 2021. november 30-án és 2022. április 14-én kelt levelében megerősítette korábbi nyilatkozatát, valamint, hogy a kifizetés módjáról és célhelyéről nem tud tájékoztatást adni. (13) A Kérelmező a Kérelmezett válaszában foglaltakkal szemben azt feltételezte, hogy a Kérelmezett kezel adatokat a Kérelmező néhai édesanyjának szerződésével összefüggésben, mivel a hagyatékátadó végzés alapján beazonosította az örökhagyót, és a Kérelmezőt az örökhagyó örökösének tekintette, továbbá tájékoztatást tudott adni a szerződés számáról, valamint a szerződés megszűnésének pontos dátumáról is. Ebből kifolyólag a Kérelmező azzal a feltevéssel él, hogy a szerződéssel kapcsolatos pénzügyi, tranzakciós adatok is a Kérelmezett rendelkezésére állnak. (14) A Kérelmező feltételezett jogsértésként az öröklés megnyílása előtt keletkezett adatra vonatkozó, az Infotv. 14. § b) pontja szerinti hozzáférési joga sérelmét jelölte meg. (15) A Kérelmező kérte, hogy a Hatóság kötelezze a Kérelmezettet az általa kért adatok szolgáltatására – mikor, milyen módon, milyen számlára került visszafizetésre a biztosítási díj –, a hozzáférési kérelem teljesítésére.

II. Tényállás

(16) A Kérelmező édesanyja és a Kérelmezett között 2010. március 1-jével létrejött egy […] jelű […] Életbiztosítási szerződés. Az egyösszegű, […] forint, biztosítási díj megfizetésére 2010. február 9-én került sor az örökhagyó […] számú, […] Banknál vezetett számlájáról. A […] számú biztosítási kötvény szerint az életbiztosítási szerződést önálló foglalkozás vagy üzleti tevékenysége körén kívül megkötő természetes személy szerződő a szerződés létrejöttét igazoló kötvény kézhezvételétől számított 30 napon belül a hat hónapot meghaladó tartamú életbiztosítási szerződést írásbeli nyilatkozattal – indokolás nélkül – felmondhatja. A […] jelű […] életbiztosítás különös feltételei elnevezésű dokumentum 12. pontja szerint a Kérelmezett az „Életbiztosítási Általános Szerződési Feltételei 2. §-ában rögzített felmondás esetén amennyiben a felmondási kérelem a kockázatviselés kezdete előtt érkezik be a biztosítóhoz - a biztosító a befizetett biztosítási díjnak a felmondással kapcsolatos adminisztrációs költségek fedezetére visszatartott 4000 forinttal csökkentett összegét fizeti vissza a szerződő részre.” (17) A […] életbiztosításhoz tartozó adatlap szerint a kockázatviselés kezdete 2010. március 22. napja volt. Megjelölésre került rajta továbbá, hogy a szerződés meghiúsulása esetén a befizetett díj visszautalása a Kérelmező édesanyjának […] Banknál vezetett […] számú számlájára történjen. A Kérelmező édesanyja a szerződést 2010. március 22. napjával felmondta a Kérelmezett tájékoztatása szerint.

(18) A Kérelmezett arról tájékoztatta a Hatóságot, hogy a Kérelmező által, a 2021. március 3-án kelt levelében rendelkezésre bocsátott ajánlatszám alapján a befektetési egységhez kötött életbiztosítási szerződések nyilvántartására szolgáló szerződésnyilvántartó rendszerben megtalálhatóak voltak a biztosítási szerződés egyes adatai, amely alapján a Kérelmezett 2021. március 5-én azt a tájékoztatást adta a Kérelmező részére, hogy a hivatkozott ajánlatszámhoz tartozó biztosítási szerződés a szerződéskötéstől számított 30 napon belül felmondással megszüntetésre került. A Kérelmezett az ajánlatszám alapján a szerződésnyilvántartó rendszerben megtalált életbiztosítási szerződésen nem tudta beazonosítani a szerződő személyt, azaz a Kérelmező édesanyját, mivel a szerződő személye már anonimizálásra került 2020. szeptember 19-én a csatolt log file szerint (NAIH-1248-3/2023. irat melléklete), a nyilvántartó rendszerben a név mezőben az szerepel, hogy „maszkolt ügyfél”, illetve több személyes adat is anonimizálásra került, azaz random/statikus/null érték adatokkal módosításra kerültek, így a szerződés beazonosítására kizárólag az ajánlatszám alapján került sor. Az anonimizálást követően a szerződésnyilvántartó rendszer továbbra is tartalmazza a szerződő nem teljes címét –[…]–, az ajánlatszámot, a szerződő azonosítóját, azaz az ügyfélszámot, a biztosítási díj összegét, pénznemét és a szerződő születési idejét – […] – amely maszkolt, nem valós adat a Kérelmezett nyilatkozata szerint is, mivel a hagyatékátadó végzés szerint a Kérelmező édesanyja […] született. (19) A Kérelmezett „szerződésre történő szolgáltatás nyilvántartására szolgáló” […] rendszerében a szerződésről nyilvántartott adatokból látható volt, hogy a szerződés az ügyfél által gyakorolt, a szerződéskötéstől számított harminc napon belül felmondásra került és a befizetett díj – az adminisztrációs és kötvényesítési költségekre a szerződési feltételek alapján elszámolt 4000 Ft levonását követően – 2010. március 22-én átutalásra került a […] számú, […] Banknál vezetett bankszámlára. Ebben a nyilvántartásban is anonimizálásra került a Kérelmező édesanyjának neve, de tartalmazza a kárszámot, az ügyfélazonosítót, a szerződés számát, a szerződés típusát, és befizetett biztosítási díj visszafizetésére vonatkozó adatokat. (20) A Központi Ügyféltörzsben az ügyfélazonosító számra keresve az ügyfél nevénél „bN Maszkolt pd Ügyfél NULL” adat szerepel, az anyja nevénél „Maszkolt Anya”, a születési helyénél […], születési idejeként „[…]”, születési nevénél „iT Maszkolt do Ügyfél”, állandó lakcímként pedig „[…]”. A Kérelmezett a születési hely és idő adattal kapcsolatban előadta, hogy azok nem valós, módosított adatok, amelyeket maszkolásnál alkalmaz. Ez a nyilatkozat csak részben helytálló, mert a hagyatékátadó végzés szerint a Kérelmezett édesanyjának születési helye ténylegesen […] volt. (21) A Kérelmezett elismerte, hogy munkatársa nem megfelelően járt el, amikor a Kérelmező által 2021. március 3-án benyújtott, a közjegyző által kiállított, a hagyatékátadó végzésről készített kivonatra tekintettel sem bocsátotta a rendelkezésére a kért információt. A Kérelmezett nyilatkozata szerint 2023. január 16-án a Kérelmezőt tájékoztatta a biztosítási összeg visszautalásának napjáról, és a címzett számlaszámról. Ennek alátámasztására mellékelte a Kérelmezőnek írt levele másolatát. (22) A Kérelmezett arról tájékoztatta a Hatóságot, hogy a kifizetésekkel kapcsolatos adatok nyilvántartása a […] rendszerben történik oly módon, hogy a személyazonosításra alkalmas adatok anonimizálásra kerülnek az adatmegőrzési határidő – 8 év – elteltét követően, a kifizetési adatok azonban nem kerülnek anonimizálásra, azok ezt követően is láthatók. (23) A Kérelmezett az anonimizálási gyakorlatával összefüggésben arról tájékoztatta a Hatóságot, hogy az ügyfelei adatait a Központi Ügyféltörzs rendszerében tárolja. A […] alkalmazás a Központi Ügyféltörzsből kéri le a működéséhez szükséges ügyfél adatokat (pl. név, születési dátum, cím, telefonszám), így az anonimizálást a Központi Ügyféltörzsben végzi el a Kérelmezett. (24) A biztosítási szerződések esetében abban az esetben kerül sor az anonimizálásra természetes személy ügyfelek esetén, ha már legalább 8 éve megszűnt minden olyan szerződés, melyen bármilyen szerepkörben (szerződő, biztosított, kedvezményezett) szerepel; már legalább 8 éve 0 Ft a kártartaléka minden olyan kárnak, amelyen bármilyen szerepkörben (biztosított, károsult, megbízott) szerepel, illetve már legalább 8 éve nincs olyan nyitott kár, melyen bármilyen szerepkörben szerepel; a szerződéshez kötődő utolsó járadék kifizetés legalább 8 éve történt; a szerződésen a szerződés-törlés bejegyzésének dátuma legalább 2 hónapja történt; a szerződő nincs munkavállalói kapcsolatban a [Kérelmezettel] és az ügyfél adatai korábban még nem lettek leválogatva anonimizálásra. (25) Amennyiben ezek feltételek mindegyike teljesül, a Központi Ügyféltörzsben leválogatásra kerülnek az anonimizálandó személyes, ügyfelet azonosító adatok, majd továbbításra kerülnek az anonimizálást elvégző rendszernek. Az anonimizáláshoz a [Kérelmezett] több eljárást is alkalmaz úgy, mint rögzítettérték helyettesítés (az új értékek statikus adatok lesznek); automatikus értéklétrehozás (reguláris kifejezések segítségével új random értékek); adatmezők null értékkel történő feltöltése. (26) A Kérelmező személyes adatainak anonimizálásáról készült log fájlt a Kérelmezett a Hatóság rendelkezésére bocsátotta.

III. Alkalmazott jogszabályok

(27) A GDPR 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre a GDPR-t kell alkalmazni. (28) GDPR (26) preambulumbekezdés: Az adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell. Az álnevesített személyes adatok, amelyeket további információ felhasználásával valamely természetes személlyel kapcsolatba lehet hozni, azonosítható természetes személyre vonatkozó adatnak kell tekinteni. Valamely természetes személy azonosíthatóságának meghatározásakor minden olyan módszert figyelembe kell venni – ideértve például a megjelölést –, amelyről észszerűen feltételezhető, hogy az adatkezelő vagy más személy a természetes személy közvetlen vagy közvetett azonosítására felhasználhatja. Annak meghatározásakor, hogy mely eszközökről feltételezhető észszerűen, hogy egy adott természetes személy azonosítására fogják felhasználni, az összes objektív tényezőt figyelembe kell venni, így például az azonosítás költségeit és időigényét, számításba véve az adatkezeléskor rendelkezésre álló technológiákat, és a technológia fejlődését. Az adatvédelem elveit ennek megfelelően az anonim információkra nem kell alkalmazni, nevezetesen olyan információkra, amelyek nem azonosított vagy azonosítható természetes személyre vonatkoznak, valamint az olyan személyes adatokra, amelyeket olyan módon anonimizáltak, amelynek következtében az érintett nem vagy többé nem azonosítható. Ez a rendelet ezért nem vonatkozik az ilyen anonim információk kezelésére, a statisztikai vagy kutatási célú adatkezelést is ideértve. (29) A GDPR (27) preambulumbekezdése szerint a GDPR-t nem kell alkalmazni az elhunyt személyekkel kapcsolatos személyes adatokra, az elhunyt személyek személyes adatainak kezelését a tagállamok szabályozhatják. (30) GDPR (64) preambulumbekezdés: Az adatkezelő minden észszerű intézkedést megtesz a hozzáférést kérő érintett személyazonosságának megállapítására, különösen az online szolgáltatásokkal és az online azonosítókkal összefüggésben. Az adatkezelő nem őrizheti meg a személyes adatokat kizárólag abból a célból, hogy a lehetséges kérelmeket meg tudja válaszolni. (31) GDPR 11. cikk: (1) Ha azok a célok, amelyekből az adatkezelő a személyes adatokat kezeli, nem vagy már nem teszik szükségessé az érintettnek az adatkezelő általi azonosítását, az adatkezelő nem köteles kiegészítő információkat megőrizni, beszerezni vagy kezelni annak érdekében, hogy pusztán azért azonosítsa az érintettet, hogy megfeleljen e rendeletnek.

(2) Ha az e cikk (1) bekezdésében említett esetekben az adatkezelő bizonyítani tudja, hogy nincs abban a helyzetben, hogy azonosítsa az érintettet, erről lehetőség szerint őt megfelelő módon tájékoztatja. Ilyen esetekben a 15–20. cikk nem alkalmazandó, kivéve, ha az érintett abból a célból, hogy az említett cikkek szerinti jogait gyakorolja, az azonosítását lehetővé tevő kiegészítő információkat nyújt. (32) GDPR 12. cikk (6) bekezdés: A 11. cikk sérelme nélkül, ha az adatkezelőnek megalapozott kétségei vannak a 15–21. cikk szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti. (33) GDPR 15. cikk (1) bekezdés: Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:

a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;

f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár.

(34) GDPR 58. cikk (2) bekezdés g) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva:

g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték;

(35) GDPR 77. cikk (1) bekezdés: Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.

(36) Az Infotv. 2. § (2) bekezdés: Személyes adatoknak az (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet a III-V. és a VI/A. Fejezetben, valamint a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §-ban, az 55. § (1)-(2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, a 62-71. §-ban, a 72. §ban, a 75. § (1)-(5) bekezdésében, a 75/A. §-ban és az 1. mellékletben meghatározott kiegészítésekkel kell alkalmazni.

(37) Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel.

(38) Infotv. 61. § (1) bekezdés a) pont: Az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság a) a 2. § (2) és (4) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja, így különösen kérelemre vagy hivatalból elrendelheti a jogellenesen kezelt személyes adatok általa meghatározott módon végrehajtandó törlését, illetve átmenetileg vagy véglegesen egyéb módon korlátozhatja az adatkezelést, (39) Infotv. 61. § (6) bekezdés: A határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

(40) Infotv. 75/A. §: A Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

(41) Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel.

(42) Az Ákr. 47. § (1) bekezdés c) pontja szerint a hatóság az eljárást megszünteti, ha az eljárás okafogyottá vált.

(43) A biztosítási tevékenységről szóló 2014. évi LXXXVII. törvény (a továbbiakban: Bit.) 143. § (4) bekezdés: Az elhunyt személlyel kapcsolatba hozható adatok tekintetében az érintett jogait az elhunyt örököse, illetve a biztosítási szerződésben nevesített jogosult is gyakorolhatja.

(44) A számvitelről szóló 2000. évi C. törvény (a továbbiakban: Sztv.) 169. § (1)–(2) bekezdés alapján:

(1) A gazdálkodó az üzleti évről készített beszámolót, az üzleti jelentést, valamint az azokat alátámasztó leltárt, értékelést, főkönyvi kivonatot, továbbá a naplófőkönyvet, vagy más, a törvény követelményeinek megfelelő nyilvántartást olvasható formában legalább 8 évig köteles megőrizni.

(2) A könyvviteli elszámolást közvetlenül és közvetetten alátámasztó számviteli bizonylatot (ideértve a főkönyvi számlákat, az analitikus, illetve részletező nyilvántartásokat is), legalább 8 évig kell olvasható formában, a könyvelési feljegyzések hivatkozása alapján visszakereshető módon megőrizni.

(45) Az Sztv. 166. § (1) bekezdés alapján számviteli bizonylat minden olyan a gazdálkodó által kiállított, készített, illetve a gazdálkodóval üzleti vagy egyéb kapcsolatban álló természetes személy vagy más gazdálkodó által kiállított, készített okmány (számla, szerződés, megállapodás, kimutatás, hitelintézeti bizonylat, bankkivonat, jogszabályi rendelkezés, egyéb ilyennek minősíthető irat) - függetlenül annak nyomdai vagy egyéb előállítási módjától -, amely a gazdasági esemény számviteli elszámolását (nyilvántartását) támasztja alá.

IV. Döntés

IV.1. A Kérelmező azonosítása és az adattakarékosság elve (46) A GDPR 12. cikk (6) bekezdése előírja az adatkezelők számára, hogy ha megalapozott kétségük van a 15–21. cikk szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti. (47) A konkrét ügyben a Kérelmező nem a saját, hanem az elhunyt édesanyja személyes adatai vonatkozásában kívánta gyakorolni a számára a Bit. 143. § (4) bekezdésében biztosított hozzáférési jogot. Ez azonban azt is eredményezte, hogy nem volt elegendő a saját személyazonosságának igazolása, hanem a Bit. 143. § (4) bekezdésének megfelelően azt is igazolnia kellett, hogy ő az elhunyt örököse vagy a biztosítási szerződésben nevesített jogosult.

(48) Ennek alátámasztására a 2021. március 3-án kelt, a Kérelmezettnek küldött leveléhez mellékelte a hagyatékátadó végzés közjegyző által elkészített kivonatát, amely egyértelműen tartalmazta, hogy a Kérelmező az elhunyt örököse, és a Kérelmezett 2021. március 5-én kelt levelében sem tájékoztatta arról a Kérelmezőt, hogy ne tudta volna azonosítani. (49) Ezzel szemben a Kérelmező 2021. április 6-án kelt levelére válaszul a Kérelmezett 2021. április 15-én kelt levelében ezt figyelmen kívül hagyta és felhívta a Kérelmezőt a hagyatékátadó végzés csatolására, amelynek a Kérelmező nem tett eleget, és a 2021. június 10-én csak egy, a teljes hagyatékátadó végzésből kifotózott részt bocsátott a Kérelmezett rendelkezésére, aki azt azonban nem fogadta el. A Kérelmező végül 2021. július 4-én bocsátotta a Kérelmezett rendelkezésére a teljes hagyatékátadó végzést. (50) A teljes hagyatékátadó végzés számottevően több adatot tartalmaz, mint a kivonat a hagyaték tárgyai tekintetében. A kivonat kizárólag az […].-vel szembeni, a Kérelmező által megörökölt követelésekre vonatkozó információkat tartalmazza, míg a teljes végzés más pénzintézettel szembeni követeléseket, valamint egy, a hagyaték tárgyát képező ingatlant is nevesít. A Hatóság álláspontja szerint a Kérelmező személyes adatának minősül az, hogy mit örökölt az édesanyja halála után, mi képezte a részére átadott hagyaték tárgyát. Ez azonban a Kérelmezett számára nem releváns információ, felé kizárólag az örökösi minőség igazolására volt szükség. (51) A Kérelmezett […] számú vezérigazgatói utasítással kihirdetett adatvédelmi szabályzata 15.5.9.5. pontja szerint „Az örökösként történő adatkéréshez szükséges az örökösi minőség igazolása jogerős hagyatéktátadó végzéssel vagy öröklési bizonyítvánnyal. (…) A becsatolt hagyatékátadó végzésben vagy öröklési bizonyítványban szereplő adatok tekintetében a biztosítónak csak azon adatokra van szüksége, amiből az örökösi státusz megállapítható így, a harmadik személyekre vonatkozó adatok kitakarása szükséges, amelyre az ügyfél figyelmét fel kell hívni.” Ezzel azonos szabályt tartalmazott a Kérelmezett 2019. november 18. és 2021. május 13. között hatályban volt adatvédelmi szabályzata 15.5.9.5. pontja is. (52) A Kérelmezett a 2023. június 12-én kelt nyilatkozatában (NAIH-1245-5/2023) kifejtette, hogy csak azon adatokra van szüksége, amiből az örökösi státusz megállapítható, így ilyen esetekben nem szükséges a teljes hagyatékátadó végzés benyújtása, hanem elegendő az örökösi minőség igazolására a közjegyző által készített kivonat is. Ebből kifolyólag a Kérelmezett ügyintézői hiba miatt kérte a Kérelmezőtől a teljes hagyatékátadó végzés benyújtását azt követően is, hogy a közjegyző által kiállított kivonatot a Kérelmező már 2021 márciusában a Kérelmezett rendelkezésére bocsátotta. (53)

Mindezek alapján a Hatóság hivatalból megállapította, hogy a Kérelmezett megsértette a GDPR 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elvét, amikor az azonosításhoz és a hozzáférési jog gyakorlására való jogosultság igazolásához olyan személyes adatok megadását – teljes hagyatékátadó végzésben található, a hagyatékra vonatkozó minden információs – is kérte, amelyek a cél eléréséhez nem voltak szükségesek. IV.2. A hozzáférési kérelem teljesítése (54) A Bit. 143. § (3) bekezdése úgy rendelkezik, hogy a Bit. alkalmazásában az elhunyt személyhez kapcsolódó adatok kezelésére a személyes adatok kezelésére vonatkozó jogszabályi rendelkezések az irányadók. A Bit. 143. § (4) bekezdése szerint az elhunyt személlyel kapcsolatba hozható adatok tekintetében az érintett jogait az elhunyt örököse, illetve a biztosítási szerződésben nevesített jogosult is gyakorolhatja. (55) A Bit. 143. § (3) bekezdése tehát nem tartalmaz megkülönböztetést az elhunyt személy személyes adataival kapcsolatban gyakorolható érintetti jogok tekintetében, a hozzáférés kapcsán nem fogalmaz meg szigorúbb szabályokat úgy, mint az Infotv. 25. § (1) bekezdése, azaz ahhoz képest speciális szabálynak tekinthető.

(56) Ebből kifolyólag a Kérelmező jogosult volt az elhunyt édesanyja személyes adatai vonatkozásában hozzáférési jogot gyakorolni, amelyet az örökösi minőség igazolását követően a Kérelmezett sem vitatott.

(57) A Kérelmező által több alkalommal benyújtott hozzáférési kérelem teljesítése kapcsán az okozta a problémát, hogy a Kérelmező édesanyjának természetes személyazonosító adatait a Kérelmezett részben – ide nem értve a születési helyet – anonimizálta vagy nem valós adatokkal írta felül, azaz azok alapján a Kérelmező édesanyja a Kérelmezettnél rendelkezésre álló információk felhasználásával nem volt azonosítható, amelyet a Kérelmezett nyilvántartási rendszereiről készült képernyőmentések is igazolnak. (58) A Kérelmező azonban a személyesen 2021. március 5-én benyújtott kérelméhez mellékelte az édesanyja […] Banknál vezetett számlájának kivonatát, amelyről a biztosítási összeget a Kérelmezettnek átutalta. Ezen átutalás közleményében feltüntetésre került az ajánlat száma, amely alapján a Kérelmező édesanyja és az általa kötött szerződés adatai között a kapcsolat újból létrejött, azaz a Kérelmező a GDPR 11. cikk (2) bekezdésének megfelelően olyan kiegészítő információt nyújtott, amely alapján az édesanyja a biztosítási szerződés vonatkozásában azonosíthatóvá vált. (59) Tekintettel arra, hogy a kapcsolat a Kérelmező édesanyja és a szerződéses adatok között helyreállítható volt, ezért a Kérelmezett által a személyes adatok felülírására elvégzett művelet nem tekinthető anonimizálásnak, kizárólag álnevesítésnek, hiszen a GDPR (26) preambulumbekezdése szerint a személyes adatok akkor tekinthetők anonimizáltnak, ha az alapján az érintett – többé – nem azonosítható. (60) Tekintettel arra, hogy a Kérelmező édesanyja a Kérelmező által szolgáltatott információ alapján azonosíthatóvá, a szerződéses adatok pedig hozzá köthetővé váltak, ezért a Kérelmezettnek a Kérelmező örökösi minőségének igazolását követően a Kérelmező rendelkezésére kellett volna bocsátania a […] rendszerében fellelhető, a biztosítási díj Kérelmezett általi visszafizetésére vonatkozó információkat. Ebből kifolyólag a Hatóság hivatalból megállapította, hogy a Kérelmezett megsértette a GDPR 15. cikk (1) bekezdését. IV.3. Az eljárás megszüntetése (61) A Hatóság az eljárást a Kérelmező kérelme vonatkozásában, amely arra irányult hogy a Hatóság kötelezze a Kérelmezettet az általa kért adatok szolgáltatására – mikor, milyen módon, milyen számlára került visszafizetésre a biztosítási díj – és a hozzáférési kérelem teljesítésére, megszünteti az Ákr. 47. § (1) bekezdés c) pontja alapján. (62) Az Ákr. 47. § (1) bekezdés c) pontja szerint a Hatóság az eljárást megszünteti, ha az eljárás okafogyottá vált. Tekintettel arra, hogy a Kérelmezett a Kérelmező kérelmének az eljárás során eleget tett, és a szerződéses összeg kiutalására vonatkozó információkról 2023. január 16-án kelt levelében tájékoztatta, ezért az eljárás folytatására okot adó körülmény ezen kérelem vonatkozásában már nem áll fenn. IV.4. A határidő túllépés jogkövetkezményei (63) Az Infotv. 60/A. § (1) bekezdése szerint az adatvédelmi hatósági eljárásban az ügyintézési idő 150 nap. A jelen adatvédelmi hatósági eljárásban a Kérelmező kérelme 2022. szeptember 6-án vált teljessé, azaz alkalmassá arra, hogy az alapján eljárás legyen lefolytatható, így a jelen eljárás kezdő napja 2022. szeptember 7-e volt. Az ügyintézési határidő – figyelembe véve, hogy az Infotv. 60/A. § (1) bekezdése alapján az ügyintézési határidőbe nem számít bele a tényállás tisztázásához szükséges adatok közlésére irányuló felhívástól az annak teljesítéséig terjedő idő – 2023. március 16-án járt le. (64) Az Ákr. 51. § b) pontja szerint, ha a hatóság az ügyintézési határidőt túllépi, az eljárás lefolytatásáért fizetendő illetéknek vagy díjnak megfelelő összeget, ennek hiányában tízezer forintot megfizet a kérelmező ügyfélnek, aki mentesül az eljárási költségek megfizetése alól is. Ebből kifolyólag, mivel a Hatóság eljárása illeték-és díjmentes, a Kérelmezőt tízezer forint illeti meg – írásban megjelölendő választása szerint – bankszámlára utalással vagy postai utalvány útján. IV.5. Jogkövetkezmények (65) A Hatóság a Kérelmező kérelmére megállapítja, hogy a Kérelmezett megsértette a GDPR 15. cikk (1) bekezdését. A Hatóság hivatalból megállapítja, hogy a Kérelmezett megsértette a GDPR 5. cikk (1) bekezdés c) pontját. A megállapított jogsértések miatt a Hatóság a Kérelmezettet az Infotv. 75/A. §-a szerint figyelmeztetésben részesíti. (66) A Hatóság az Infotv. 61. § (1) bekezdés a) pontja és a GDPR 58. cikk (2) bekezdés g) pontja alapján hivatalból elrendeli a teljes hagyatékátadó végzés törlését, mert annak kezelése sérti az adattakarékosság elvét. (67) Az Infotv. 75/A. § alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

(68) A Hatóság a jelen ügyben megállapított jogsértések miatt nem tartja szükségesnek adatvédelmi bírság kiszabását a következők szerint: a Kérelmezett első alkalommal sértette meg a GDPR rendelkezéseit, továbbá az eljárás során intézkedett a Kérelmező hozzáférési kérelmének teljesítéséről, és a kért adatokat 2023. január 16-án kelt levelében a rendelkezésére bocsátotta, azaz megtette a szükséges lépéseket a jogsértés orvoslására. Emellett az okozott jogsértések gondatlan jellegűek és ügyintézői hibákra vezethetők vissza, valamint kizárólag a Kérelmező vonatkozásában kerültek megállapításra. (69) Mindezek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

V. Egyéb kérdések

(70) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (71) A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. (72) Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal és a megszüntető végzéssel szemben közigazgatási per útján van helye jogorvoslatnak.

(73) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (74) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (75) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A bíróság egyszerűsített perben tárgyaláson kívüli történő eljárása a Kp. 124. § (2) bekezdés c) pontján és a Kp. 124. § (5) bekezdésén alapul. (76) A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (77) Ha az előírt kötelezettségük teljesítését a Kérelmezettek megfelelő módon nem igazolják, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítették. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja.

Budapest, 2023. október 24.

Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár