Hungarian Data Protection Authority (NAIH): unlawful processing of personal data in debt collection and failure to comply with a data subject request

Ügyszám: NAIH-2727-2/2022. Tárgy: kérelemnek részben helyt adó határozat és megszüntető végzés Előzmény: NAIH-5732/2021. A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] kérelmező (a továbbiakban: Kérelmező) kérelme alapján (a továbbiakban: kérelem) az […]-vel (a továbbiakban: Kérelmezett) szemben követeléskezeléssel összefüggő jogalap nélküli adatkezelés és érintetti kérelem nem megfelelő teljesítése tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

I. 1.A Hatóság a határozatában a Kérelmező kérelmének a Kérelmezett 2018. május 25. napját követő adatkezelése jogellenességének megállapítására irányuló részében részben helyt ad és

I.2. megállapítja, hogy a Kérelmezett megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) 5. cikk (1) bekezdés a) és b) pontját, a GDPR 5. cikk (2) bekezdését, a GDPR 6. cikk (1) bekezdését, a GDPR 12. cikk (1) és (4) bekezdését, a GDPR 13. cikkét, és a GDPR 15. cikk (3) bekezdését. II. A Hatóság a Kérelmező kérelmének arra vonatkozó részét, hogy a döntését az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 61. § (2) bekezdése alapján tegye közzé elutasítja.

III.A Hatóság a végzésében a Kérelmező személyes adatainak jogellenes kezelése megállapítására vonatkozó kérelmére indult eljárást a 2018. május 25. napját megelőző időszak vonatkozásában, továbbá a személyes adatai törlése vonatkozásában megszünteti.

IV. A Hatóság a határozatában a Kérelmezettet hivatalból az általa végzett jogellenes adatkezelés miatt

10.000. 000 Ft, azaz tízmillió forint adatvédelmi bírság megfizetésére kötelezi.

Az adatvédelmi bírságot a bírósági felülvizsgálat kezdeményezésére irányadó keresetindítási határidő lejártát, illetve felülvizsgálat kezdeményezése esetén a bíróság döntését követő 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-5732/2021. BÍRS. számra kell hivatkozni.

Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását.

V. A Hatóság tekintettel arra, hogy túllépte az ügyintézési határidőt, végzéssel elrendeli a Hatóság részéről 10.000 Ft, azaz tízezer forint megfizetését a Kérelmezőnek – írásban megjelölendő választása szerint – bankszámlára utalással vagy postai utalvánnyal.

* * * Az I. , II. és IV. határozattal, továbbá a III. végzéssel szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A végzéssel szembeni perben a bíróság egyszerűsített perben jár el. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

INDOKOLÁS

I. Az eljárás menete

I.1.A Kérelmező kérelmére az Infotv. 60. § (1) bekezdése alapján 2021. június 24. napján adatvédelmi hatósági eljárás indult. A kérelem nem tartalmazta a Kérelmező által hivatkozott hangfelvételt, ami alátámasztja, hogy érintetti kérelemmel fordult a Kérelmezetthez, továbbá a Kérelmező nem fejtette ki, hogy a Kérelmezett milyen formában (írásban vagy telefonon) utasította el a Kérelmező érintetti kérelmét, továbbá az elutasítás tényét sem támasztotta alá, továbbá a hivatkozott követelés elévülését megállapító bírósági döntést sem csatolta a kérelméhez a Kérelmező, ezért a Hatóság a NAIH-5732-2/2021. számú végzésében hiánypótlásra hívta fel, melynek a Kérelmező a NAIH- 5732-2/2021. számon iktatott iratban tett eleget. I.2.A Hatóság a Kérelmezettet a NAIH-5732-4/2021. számú végzésében értesítette az eljárás megindításáról és első alkalommal nyilatkozattételre hívta fel a tényállás tisztázása érdekében, hivatkozással az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 63. §-ra, melyre a Kérelmezett válasza 2021. augusztus 16. napján érkezett meg a Hatósághoz (NAIH-5732-5/2021. sz. irat). A Hatóság a Kérelmezett nyilatkozata alapján úgy ítélte meg, hogy a nyilatkozat pontosítása miatt ismét szükséges a Kérelmezettet a tényállás tisztázása érdekében nyilatkozattételre felhívni, továbbá az ügy adatkezelési körülményeinek feltárásához nélkülözhetetlen kérdések megválaszolásánál a Kérelmezett nem részletezte a Kérelmező által kifogásolt adatkezelési műveleteit és újabb körülmények megvizsgálása vált indokolttá, ezért ismét nyilatkozattételre hívta fel a tényállás tisztázása érdekében a 2021.szeptember 10. napján kelt végzésében, melyre a Kérelmezett a Hatósághoz a 2021. szeptember 24. napján érkezett levelében küldte meg a nyilatkozatát (NAIH-5732-9/2021. sz. irat).

A Kérelmezett a válaszában a korábbi nyilatkozataihoz képest ellentmondásos nyilatkozatokat tett, továbbá nem részletezte a Kérelmező személyes adatai törlésének módját, ezért a Hatóság a 2021. október 14. napján kelt végzésében harmadszor is nyilatkozattételre hívta fel a Kérelmezettet. (NAIH-5732-10/2021.) A Kérelmezett erre a felhívásra megadott határidő utolsó napján kelt levelében határidő hosszabbítási kérelemmel fordult a Hatósághoz, melyben a határidő 15 nappal történő meghosszabbítását kérelmezte, azonban a kérelmét nem indokolta. A Hatóság a határidő-hosszabbítás iránti kérelemnek részben helyt adott úgy, hogy 9 napos határidő-hosszabbítást engedélyezett. A Kérelmezett azonban 2021.11.15. napján, tehát 11 napos késedelemmel teljesítette a felhívást, és arra hivatkozott, hogy a Hatóság határidőhosszabbítás iránti kérelemnek részben helyt adó végzése 2021.11.10. napján került kézbesítésre a Kérelmezettnek. I.3. A Hatóság a NAIH-5732-15/2021. sz. iratában értesítette arról a Kérelmezőt, hogy a bizonyítási eljárás befejeződött. A Hatóság erről szóló végzését a tértivevény tanúsága szerint Kérelmező 2021.11.25. napján vette át, tehát a nyilatkozattételre megadott határidő 2021.12.03. napján telt le. A Kérelmező a Hatóság részére nem küldött nyilatkozatot.

II. Tényállás tisztázása

II.1.A Kérelmező a kérelmében és a hiánypótlásában az alábbiakat adta elő: II.1.1.A Kérelmező a kérelmében az alábbiakat kérte: - a Kérelmezett adatkezelésének kivizsgálását, - a jogellenes adatkezelés megállapítását, - a jogellenesen kezelt adatok törlését, - az adatkezelő utasítását arra, hogy az adatkezelési műveleteit hozza összhangba az adatvédelmi rendelkezésekkel, - vizsgálja meg a Kérelmezett adatkezelési gyakorlatát, különösen a „valós célhoz kötött” adatkezelés tekintetében, továbbá - a Kérelmezettel szemben hozott döntését az Infotv. 61. § (2) bekezdés alapján hozza nyilvánosságra. II.1.2. A kérelemhez a Kérelmező mellékelte az alábbi dokumentumokat/képernyőmentést másolatban:

kimenő hívásról képernyőfelvétel ([…] számra), a Kérelmezett 2021.06.11. napján kelt tájékoztatás és fizetési felszólítás tárgyú levele, hiánypótlás keretében a Kérelmezett [….] számú levele, melyben értesíti a Kérelmezőt, hogy lezárja a Kérelmező ügyét, és a Kérelmezőhöz, mint ügyleti szereplőhöz kapcsolható személyes adatokat 3 munkanapon belül törli, ugyanakkor a hagyatékátadó végzés másolatát jogszabály által előírt nyilvántartási kötelezettség miatt megőrzi. A Kérelmező a fentieken túl hiánypótlás keretében a Kérelmezettel 2021.07.15. napján 18:03-kor folytatott telefonbeszélgetés hanganyagát csatolta be. Ezt a hangfelvételt a Kérelmező készítette, és ebben kérte a Kérelmezettet, hogy a korábban (2021.06.23-án) készített hangfelvételt küldje meg a részére. A Kérelmező továbbá ebben a hangfelvételben utalt arra, hogy a korábbi telefonhívás során törlésre irányuló érintetti kérelmet is benyújtott, és kérdezte, hogy ez alapján milyen indokkal nem törlik a személyes adatait, az ügyintéző azonban ezzel kapcsolatosan nem talált utalást a nyilvántartásában, és arra hivatkozott, hogy írásban kell az érintetti kérelmeket benyújtani. A Kérelmezett ügyintézője nem tudott a Kérelmező azon kérdésére tájékoztatást nyújtani, hogy milyen jogszabályi vagy egyéb rendelkezés alapján nem tesznek eleget az érintetti kérelmeknek, csak abban az esetben, ha az írásban érkezik. A hangfelvétel elején az ügyintéző a Kérelmező személyes adatai közül az anyja születési nevének, továbbá a Kérelmező születési helyének, idejének rendelkezésre bocsátását kérte, melyet a Kérelmező a későbbiekben felrótt, mivel megkérdőjelezte, hogy ez miért szükséges.

A hangfelvétel tanúsága szerint a fentieken túl a Kérelmezett és a Kérelmező a követelés jogosságáról, érvényesíthetőségéről beszélt. A Kérelmező hivatkozott arra, hogy az örökség nem fedezi az örökhagyó tartozásait, a Kérelmező pedig, mint örökös nem tartozik helytállni az örökhagyó tartozásaiért, ha az örökség értékét a tartozások meghaladják. A Kérelmező szerint ezt a Kérelmezettnek, mint követeléskezeléssel foglalkozó társaságnak tudnia kell. A Kérelmező továbbá azt is felrótta a Kérelmezettnek, hogy elévülési időn belül nem érvényesítette a követelést, és most próbálja azt behajtani, jogtalanul. II.1.3. A Kérelmező a Hatósághoz küldött kérelmében részletezte a panaszolt adatkezelést az alábbiak szerint: A Kérelmező előadta, hogy a Kérelmezett 2015.12.07-én vásárolt meg egy követelést, melyet a Kérelmezőtől „öröklés” jogcímén követel. A Kérelmező 2021.06.23-án kézhez kapott, a Kérelmezettnél […] ügyszámon nyilvántartott felszólítást követően, 11:58 perckor telefonon tájékoztatta a Kérelmezettet az alábbi tényekről, melyekről a Kérelmezettnek tudomása volt:

az eredeti kötelezett 2013-ban elhunyt, 100.000 Ft alatti vagyonnal, 300.000 Ft feletti temetési költséggel, az örökösök pedig kizárólag a hagyaték erejéig felelnek, valamint arról, hogy amennyiben lett is volna hagyaték (a tartozást meghaladóan), a követelés elévült, így bírósági úton nem érvényesíthető, a Kérelmezőnek nem áll szándékában a követelés megfizetése bírósági úton kívül. A Kérelmező arra is hivatkozott a kérelmében, hogy tájékoztatta a Kérelmezettet arról, hogy a követelése érvényesítésére irányuló lehetősége megszűnt, és felhívta a Kérelmezett figyelmét arra, hogy erről a Kérelmezettnek tudomása van (hiszen a Kérelmező adatait kizárólag a hagyatéki végzés megismerése tette lehetővé), valamint kérte a kezelt személyes adatai törlését. A Kérelmező állítása szerint a Kérelmezett a Kérelmező érintetti kérelmét indokolás nélkül elutasította. A Kérelmezett ügyintézője kijelentette, hogy az adatokat továbbra is kezelni fogja, és megkísérelt további adatokat gyűjteni a Kérelmezőről. A Kérelmező hivatkozott arra is, hogy a Kérelmezett követelése már elévült, tehát a fennálló követelésre hivatkozással adatkezelést már nem végezhetne a Kérelmező személyes adatai vonatkozásában, azonban ezzel kapcsolatban bírósági döntést nem csatolt a kérelméhez. A Kérelmező szerint a Kérelmezett a követelés megvásárlását követően tökéletesen tudatában volt annak, hogy a követelést bírósági úton nem érvényesítheti. A Kérelmezett nyilvánvalóan nem véletlenül nem érvényesítette a követelést az engedményezés óta eltelt 5 évben. A Kérelmező állítása szerint az adatkezeléssel kapcsolatban éppen ebben nyilvánul meg a jogsértés: a Kérelmezett az idők végezetéig zaklathatja a Kérelmezőt, hiszen a Kérelmezett maga dönt arról, hogy bírósági eljárást nem indít az elévülési időn belül. A kérelmezetti adatkezelés tehát nyilvánvalóan jogellenes, hiszen az adatkezelés célja (jogos érdek érvényesítése) még az elévülést megelőzően sem állt fenn. Ebből egyenesen következik, hogy a jogos érdek érvényesítéséhez kapcsolódó, származékos adatkezelés (kapcsolattartási célból, ügyfél azonosítási célból) sem lehet törvényes és tisztességes. A Kérelmező hivatkozott továbbá arra is, hogy az a magatartás ahogyan a Kérelmezett az érintetti megkeresést 2021. július 15-én készült hangfelvétel tanúsága alapján kezeli (vagyis pontosabban negligálja, mivel a szóbeli érintetti jelzéseket nem is rögzíti), nyilvánvalóan ellentétes az adatvédelmi rendelkezésekkel. A Kérelmező a Kérelmezetthez intézett telefonhívása során külön hivatkozott arra, hogy a Kérelmezett a sérelmezett adatkezeléssel a Kérelmező gyászfolyamatát rossz irányba befolyásolta, ugyanis a Kérelmezett felszólító levele felzaklatta éppen akkor, amikor a gyászban megnyugodott.

II.2. A Kérelmezett NAIH-5732-5/2021.sz. iratban iktatott nyilatkozata szerint: A Kérelmezett az ügyet – a Hatóság felhívása alapján – az engedményezés időpontjától kezdődőn felülvizsgálta, és az alábbiakat állapította meg: Az […] 2015. december 07. napján engedményezte a követelést a Kérelmezettre. A Kérelmező a […] számú jogerős hagyatékátadó végzés (a továbbiakban: hagyatékátadó végzés) alapján [….] törvényes örököseként került a Kérelmezett nyilvántartásába rögzítésre 2016. szeptember 20. napján. A Kérelmezett adminisztrációs hiba miatt indított behajtási eljárást a Kérelmezővel szemben. A Kérelmezett hagyatéki ügyintézésre vonatkozó eljárása szerint, amennyiben egy jogerős hagyatékátadó végzésben feltüntetett hagyatéki vagyon értékének összege alacsonyabb, mint a hagyaték megszerzéséhez fűződő költségek, úgy a Kérelmezett haladéktalanul intézkedik az ügylezárásról. Sajnálatos módon az ügy lezárása a Kérelmező ügyében nem történt meg. Az ügy felülvizsgálata alapján megállapítást nyert, hogy a Kérelmező szóban előadott kifogása teljes mértékben megalapozott volt, és a Kérelmezett telefonos operátor munkatársa mulasztott, amikor nem vette fel a Kérelmező által előadottakat szóbeli panaszként, ehelyett írásban kérte megküldeni a kifogást. A Kérelmező írásban nem kereste meg a Kérelmezettet. A fentiek miatt a Kérelmezett az ügy kezelését lezárta, és a Kérelmezőt, mint ügyleti szereplőt és kapcsolódó személyes adatait vissza nem állítható módon törölte a nyilvántartásából. A Kérelmezett értesítette a Kérelmezőt az ügy lezárásáról, továbbá arról, hogy mint ügyleti szereplő minden személyes adatát törli, erről 3 munkanapon belül intézkedik, a hagyatékátadó végzés másolatát a Kérelmezett ugyanakkor megőrzi tekintettel a jogszabály által meghatározott nyilvántartási kötelezettségére. A Kérelmezőnek küldött értesítés másolatát, továbbá a törlés megtörténtét igazoló képernyőmentést a Kérelmezett továbbította a Hatóság részére. A Kérelmezett tájékoztatása szerint elévülés esetén az alábbiak szerint jár el: A Polgári Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.) 6:23. §-a akként rendelkezik, hogy elévült követelést ugyan bírósági eljárásban nem lehet érvényesíteni, azonban ez a szolgáltatás teljesítésére irányuló kötelezettség fennállását nem érinti. Az elévült követeléshez tehát a Ptk. jogokat kapcsol, mely jogok a Kérelmezett, mint jogosult által gyakorolhatók, illetve az elévülés tényét hivatalból sem lehet figyelembe venni. Amennyiben az érintett kérelmére bíróság az igényérvényesítés összes körülményét megvizsgálva a követelés elévülését megállapítja, abban az esetben a Kérelmezett az adatkezelést megszünteti és a kezelt adatokat törli. II.3. A Kérelmezett NAIH-5732-9/2021. sz. iratban iktatott nyilatkozatában az alábbi tájékoztatást nyújtotta: A Kérelmező korábban kezelt személyes adataira vonatkozóan az adatok nyomtalan törlésére tekintettel a Kérelmezettnek nem áll módjában pontos tájékoztatást nyújtani, a Kérelmezett általánosságban tud nyilatkozni, hogy a kötelezettek személyazonosító, valamint elérhetőségi adatait kezeli. A hagyatékátadó végzést, és ezzel együtt az abban feltüntetett személyes adatokat (Kérelmező neve, születési helye és ideje, anyja neve) a Kérelmezett a hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény 258. §-ára tekintettel jogi kötelezettség alapon, a GDPR 6. cikk (1) bekezdés c) pontra hivatkozással kezeli. A Kérelmezett nem rendelkezik a Kérelmezővel folytatott beszélgetés hanganyagával, mivel a Kérelmezett a hagyatékátadó végzésében feltüntetett személyes adatokon kívül a Kérelmező minden személyes adatát törölte, mivel az ügyletet lezárta a fentiekben hivatkozottak szerint.

A Kérelmezett továbbá iratokkal alátámasztva arra hivatkozott, hogy az [….]-től vásárolt követelése, melyben […] törvényes örököseként került a Kérelmezett nyilvántartásába rögzítésre a Kérelmező, nem évült el az adminisztrációs hiba észleléséig tekintettel arra, hogy a régi Ptk. alapján elévülést megszakító cselekménynek minősül a követelés teljesítésére irányuló írásbeli felszólítás, továbbá a kötelezett tartozás elismerése, a követelés megegyezéssel történő módosítása és bírói úton történő érvényesítése. II.4. A Kérelmezett NAIH-5732-13/2021. sz. iratban iktatott nyilatkozatában a Kérelmezett az alábbi tájékoztatást nyújtotta: A Kérelmező személyes adatainak törlésére 2021. augusztus 11-én került sor. A Hatóság arra vonatkozó kérésére, hogy küldje meg a Kérelmezővel folytatott telefonbeszélgetések hangfelvételének másolatát, tekintettel arra, hogy azokat a panaszkezelési szabályzata (8/2020. (X.01.) sz.) 8.2. pontja alapján 5 évig megőrzi, az alábbiakat válaszolta a Kérelmezett: A Kérelmezett a Hatósághoz küldött első válasziratában rögíztette, hogy a telefonos operátor munkatárs mulasztott, mikor a Kérelmező szóban előadott kifogása nem került szóbeli panaszként felvételre, ehelyett a Kérelmezőtől írásban kérte megküldeni panaszát. Tekintettel arra, hogy a Kérelmezett nyilvántartásában nem volt fellelhető olyan hangfelvétel, amely a Kérelmezővel összefüggésben szóbeli panaszként került rögzítésre, valamint írásban sem került benyújtásra, a Kérelmezett nem gondoskodott a jogszabály által meghatározott panasz megőrzéséről. A Kérelmezett arról is nyilatkozott, módosítva a korábbi végzésre a Kérelmező személyes adatainak kezelésével kapcsolatban adott válaszát, hogy mivel jogszabályi kötelezettsége a nyilvántartási rendszeréről biztonsági másolatot készíteni, ezért a Kérelmező személyes adatait biztonsági mentésként továbbra is őrzi. Ezekhez a személyes adatokhoz a hozzáférés korlátozott, és a biztonsági mentés biztosításán kívül más célra nem használható. A biztonsági mentés készítési kötelezettséget a pénzügyi intézmények, a biztosítók és a viszontbiztosítók, továbbá a befektetési vállalkozások és az árutőzsdei szolgáltatók informatikai rendszerének védelméről szóló 42/2015. (III.12.) Korm. rendelet (a továbbiakban: Kormányrendelet) 5/B. § d) pontja írja elő a Kérelmezett részére. A Kérelmezett a felhívásra megadott határidő utolsó napján kelt levelében határidő hosszabbítási kérelemmel fordult a Hatósághoz, melyben a határidő 15 nappal történő meghosszabbítását kérelmezte, azonban a kérelmét nem indokolta. A Hatóság figyelembe vette, hogy a Kérelmezett korábban nem mulasztott határidőt. A Hatóság álláspontja szerint ugyanakkor a határidőhosszabbítási kérelem nem megfelelően alátámasztott, mivel a Kérelmezett nem jelölte meg a kérelme indokait, továbbá amiatt sem, hogy a Hatóság harmadszori felhívására amiatt volt szükség, mert a Kérelmezett a korábbi felhívásokat nem válaszolta meg teljeskörűen, illetve helyenként ellentmondásos is volt a nyilatkozata. A fentiek miatt a Hatóság a határidő 15 napos meghosszabbítását túlzónak tekintette, mivel a Kérelmezett nem jelölt meg olyan indokot, ami egyértelműen meggátolta volna abban, hogy 2021.11.05. napjáig teljesítse a végzésben írtakat. A Hatóság a határidő-hosszabbítás iránti kérelemnek részben helyt adott úgy, hogy 9 napos határidő-hosszabbítást engedélyezett. A Kérelmezett azonban 2021.11.15. napján, tehát 11 napos késedelemmel teljesítette a felhívást, és arra hivatkozott, hogy a Hatóság határidő-hosszabbítás iránti kérelemnek részben helyt adó végzése 2021.11.10. napján került kézbesítésre a Kérelmezettnek, úgy, hogy abban a Hatóság arról rendelkezett, hogy a nyilatkozattételre teljesítési határidejét 2021.11.05. napjáig hosszabbította meg. II.5. A Hatóság megtekintette a Kérelmezett honlapján elérhető adatkezelési tájékoztatóját, melyben az alábbiak olvashatók:

II.5.1. Követelésbehajtással összefüggésben a személyes adatokat a Kérelmezett elsődlegesen a GDPR 6. cikk (1) bekezdés f) pontra hivatkozással kezeli. II.5.2. Hangrögzítés során megvalósuló adatkezeléssel összefüggésben az alábbiakat tartalmazza A Kérelmezett adatkezelési tájékoztatója különválasztja a követelésbehajtás területén megvalósuló adatkezelést (11. pont) és a hitelezési tevékenységgel összefügésben megvalósuló telefonbeszélgetés (12. pont) adatkezelését. A követelésbehajtással összefüggésben célként többek között a következők kerültek rögzítésre: követeléskezeléssel összefüggő egyeztetések, jognyilatkozatok, kérelmek (pl.: részletfizetési megállapodás) dokumentálása, az adatkezelő elszámoltathatóságának biztosítása, jogi igények előterjesztése, védelme, érvényesítéshez kapcsolódó bizonyíthatóság biztosítása mindkét fél számára. Az adatkezelés jogalapja GDPR 6. cikk (1) bekezdés f) pontja követelésbehajtással összefüggésben. Az adatkezelés időtartama a polgári törvénykönyvről szóló 2013. évi V. tv. (a továbbiakban: Ptk.) elévülésre vonatkozó 6.21-6.25. § alapján került meghatározásra (az elévülési idő 5 év). A Kérelmezett a Hpt. 288. § szerinti panaszmegőrzésre csak a hitelezési tevékenységével kapcsolatban folytatott telefonbeszélgetéseknél hivatkozik.

III. Alkalmazott jogszabályi rendelkezések

A GDPR-t kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. A GDPR hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint a GDPR-t az ott megjelölt kiegészítésekkel kell alkalmazni. A GDPR 5. cikk (1) bekezdés a) és b) pontja szerint: A személyes adatok: a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”); A GDPR 5. cikk (2) bekezdése alapján az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). A GDPR 6. cikk (1) bekezdés: c) pontja alapján a személyes adatok kezelése jogszerű, amennyiben az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges. f) pontja alapján a személyes adatok kezelése jogszerű, amennyiben az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.

A GDPR 12. cikk (1)-(6) bekezdései szerint: (1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (2) Az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. (3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. (4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. (5) A 13. és 14. cikk alapján rendelkezésre bocsátott információkat és a 15-22. és 34. cikk alapján végzett minden tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy - különösen ismétlődő jellege miatt - túlzó, az adatkezelő: a) a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségek figyelembevételével észszerű összegű díjat számíthat fel, vagy b) megtagadhatja a kérelem alapján történő intézkedést. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli. (6) A 11. cikk sérelme nélkül, ha az adatkezelőnek megalapozott kétségei vannak a 15-21. cikk szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti. A GDPR 15. cikk (3) bekezdés alapján az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri. GDPR 17. cikk (1) bekezdés alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll: a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték; b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja;

c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezelése ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen; d) a személyes adatokat jogellenesen kezelték; e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell; f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor. A GDPR 17. cikk (3) bekezdés alapján az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:

b) a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából;A GDPR 21. cikk (1) bekezdés alapján az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.

A GDPR 77. cikk (1) bekezdés alapján az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban -, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.

A GDPR 58. cikk (2) bekezdés b) pontja alapján a felügyeleti hatóság korrekciós hatáskörében eljárva:

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett;

Az Ákr. 17. §-a alapján a hatóság a hatáskörét és illetékességét az eljárás minden szakaszában hivatalból vizsgálja. Ha valamelyik hiányát észleli, és kétséget kizáróan megállapítható az ügyben illetékességgel rendelkező hatóság, az ügyet átteszi, ennek hiányában a kérelmet visszautasítja vagy az eljárást megszünteti. Az Ákr 46. § (1) bekezdés alapján a hatóság a kérelmet visszautasítja, ha a) az eljárás megindításának jogszabályban meghatározott feltétele hiányzik, és e törvény ahhoz más jogkövetkezményt nem fűz. Az Ákr 47. § (1) bekezdés alapján a hatóság az eljárást megszünteti, ha a) a kérelem visszautasításának lett volna helye, annak oka azonban az eljárás megindítását követően jutott a hatóság tudomására.

Az Infotv. 38. § (2b) bekezdés alapján a Hatóságnak a (2) bekezdésben a személyes adatok tekintetében meghatározott feladatköre a bírósági döntés meghozatalára irányuló peres és nemperes eljárásokban, az azokra vonatkozó előírások alapján a bíróság által végzett adatkezelési műveletek vonatkozásában nem terjed ki a (3) bekezdésben meghatározott hatáskörök gyakorlására.

Az Infotv. 60. § (1) bekezdés alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat.

Az Infotv. 61. § (1) bekezdés alapján az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság a) a 2. § (2) és (4) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben a GDPR-ben meghatározott jogkövetkezményeket alkalmazhatja, b) a 2. § (3) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben ba) megállapíthatja a személyes adatok jogellenes kezelésének tényét, bb) elrendelheti a valóságnak nem megfelelő személyes adat helyesbítését, bc) elrendelheti a jogellenesen kezelt személyes adatok zárolását, törlését vagy megsemmisítését, bd) megtilthatja a személyes adatok jogellenes kezelését, […] bg) bírságot szabhat ki, Az Infotv. 71. § (1) bekezdés alapján a Hatóság eljárása során - az annak lefolytatásához szükséges mértékben és ideig - kezelheti mindazon személyes adatokat, valamint törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatokat, amelyek az eljárással összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. Az Infotv. 75/A. § alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Az Infotv. 61. § (2) bekezdés alapján a Hatóság elrendelheti határozatának - az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő - nyilvánosságra hozatalát, ha a) a határozat személyek széles körét érinti, b) azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy c) a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja. Az Infotv. 61. § (5) bekezdés alapján a Hatóság annak eldöntésében, hogy indokolt-e az (1) bekezdés b) pont bg) alpontja szerinti bírság kiszabása, illetve a bírság mértékének megállapítása során az eset összes körülményeit figyelembe veszi, így különösen a jogsértéssel érintettek körének nagyságát, a jogsértés súlyát, a magatartás felróhatóságát, valamint azt, hogy a jogsértővel szemben korábban állapítottak-e meg a személyes adatok kezelésével kapcsolatos jogsértést. A számvitelről szóló 2000. évi C. törvény (a továbbiakban: Számviteli törvény) 169. § (1)–(2) bekezdés alapján: (1) A gazdálkodó az üzleti évről készített beszámolót, az üzleti jelentést, valamint az azokat alátámasztó leltárt, értékelést, főkönyvi kivonatot, továbbá a naplófőkönyvet, vagy más, a törvény követelményeinek megfelelő nyilvántartást olvasható formában legalább 8 évig köteles megőrizni. (2) A könyvviteli elszámolást közvetlenül és közvetetten alátámasztó számviteli bizonylatot (ideértve a főkönyvi számlákat, az analitikus, illetve részletező nyilvántartásokat is), legalább 8 évig kell olvasható formában, a könyvelési feljegyzések hivatkozása alapján visszakereshető módon megőrizni. A Számviteli törvény 166. § (1) bekezdés alapján számviteli bizonylat minden olyan a gazdálkodó által kiállított, készített, illetve a gazdálkodóval üzleti vagy egyéb kapcsolatban álló természetes személy vagy más gazdálkodó által kiállított, készített okmány (számla, szerződés, megállapodás, kimutatás, hitelintézeti bizonylat, bankkivonat, jogszabályi rendelkezés, egyéb ilyennek minősíthető irat) - függetlenül annak nyomdai vagy egyéb előállítási módjától -, amely a gazdasági esemény számviteli elszámolását (nyilvántartását) támasztja alá. A Hpt. 288. § (1) bekezdés alapján a pénzügyi intézmény és a független közvetítő biztosítja, hogy az ügyfél a pénzügyi intézmény és a független közvetítő magatartására, tevékenységére vagy mulasztására vonatkozó panaszát szóban (személyesen, telefonon) vagy írásban (személyesen vagy más által átadott irat útján, postai úton, telefaxon, elektronikus levélben) közölhesse. A panaszkezelésre vonatkozó szabályokat alkalmazni kell arra a személyre is, aki szolgáltatás igénybevétele céljából lép kapcsolatba pénzügyi intézménnyel, független közvetítővel, de a szolgáltatást nem veszi igénybe. A Hpt. 7. § (1) bekezdés alapján pénzügyi intézmény a hitelintézet és a pénzügyi vállalkozás. A Hpt. 9. § (1) bekezdés alapján pénzügyi vállalkozás a) az a pénzügyi intézmény, amely - a 3. § (1) bekezdés d) és e) pontjában, valamint a 8. § (2) bekezdésében meghatározott tevékenység kivételével -, egy vagy több pénzügyi szolgáltatást, vagy fizetési rendszer működtetését végzi, és A Hpt. 3. § (1) bekezdés alapján pénzügyi szolgáltatás a következő tevékenységek üzletszerű végzése forintban, devizában vagy valutában:

…. l) követelésvásárlási tevékenység. A Hpt. 67/A. § (1) bekezdés alapján a pénzügyi szolgáltatói tevékenység - a kiegészítő pénzügyi szolgáltatás kivételével - végzésére csak olyan informatikai rendszer felhasználásával kerülhet sor, amely biztosítja a rendszerelemek zártságát, és megakadályozza az informatikai rendszerhez történő jogosulatlan hozzáférést, valamint észrevétlen módosítását. Az informatikai rendszernek meg kell felelnie az általános információbiztonsági zártsági követelményeknek is. Ennek érdekében a hitelintézetnek adminisztratív, fizikai és logikai intézkedésekkel biztosítania kell az általános információbiztonsági zártsági követelmények teljesülését. Kormányrendelet 5/B. § d) pont alapján az informatikai rendszer megfelel a Hpt. 67/A. § (1) bekezdésében, a Bszt. 12. § (12)-(14) bekezdésében, az Fsztv. 12/A. §-ában és a Bit. 94. § (4)- (6) bekezdésében foglalt, a rendszerelemek zártságával, az informatikai rendszerhez történő jogosulatlan hozzáférés és észrevétlen módosítás megakadályozásával kapcsolatos, valamint az általános információbiztonsági zártsági követelményeknek, ha az élesüzemi rendszer adatmentési és visszaállítási rendje biztosítja a rendszer biztonságos visszaállítását, továbbá a mentés-visszaállítás a vonatkozó szabályzat szerinti gyakorisággal és dokumentáltan tesztelt.

IV. Döntés:

IV.1. A 2018. május 25. napját megelőző adatkezelés

Az […] 2015. december 07. napján engedményezte a követelést a Kérelmezettre. A Kérelmező a […] számú jogerős hagyatékátadó végzés (a továbbiakban: hagyatékátadó végzés) alapján […] törvényes örököseként került a Kérelmezett nyilvántartásába rögzítésre 2016. szeptember 20. napján. A fentiek ellenére a Hatóság azonban csak 2018. május 25. napját követő adatkezelés vonatkozásában vizsgálta a Kérelmezettet az alábbiak miatt: A jelen eljárásban a Hatóság a Kérelmezett adatkezelése vonatkozásában csak a 2018. május 25. napját követő adatkezeléssel összefüggésben tett megállapításokat, tehát az Ákr. 47. § (1) bekezdés a) pontja alapján a Hatóság a kérelemnek a 2018. május 25-e előtti időszak adatkezelésének vizsgálatára irányuló részében az eljárást megszüntette, mivel a kérelem nem felelt meg az Infotv. 60. § (2) bekezdésben foglalt feltételeknek, hiszen a kérelmezett adatkezelési időszak e részében az általános adatvédelmi rendelet még nem volt alkalmazandó, így a Hatóság kérelemre induló adatvédelmi hatósági eljárást nem folytathat le.

IV.2. Követelés elévülésének kérdése

A Kérelmező állítása szerint a Kérelmezett által vele szemben behajtani kívánt követelés már elévült, a Kérelmezett azonban ezt vitatta, és arra hivatkozott, hogy a Ptk. 6:23. § (4) bekezdés alapján az elévülést a bírósági vagy hatósági eljárásban nem lehet hivatalból figyelembe venni. Jelen eljárásban a Hatóság a Kérelmezett adatkezelése vonatkozásában a követelés elévülését nem vizsgálta, mert ennek megítélése az Infotv. 38. § (2)-(2a) bekezdései alapján nem tartozik a Hatóság hatáskörébe. Ezen előkérdés eldöntése bírósági hatáskörbe tartozik. A Kérelmezett olyan követelést tartott nyilván a Kérelmezővel szemben, mellyel kapcsolatban a Kérelmező nem csatolt be olyan bírósági döntést, mely megállapítaná, hogy az nem áll fenn, tehát a Kérelmezett által nyilvántartott követelésre tekintettel az adatkezelésre vonatkozóan a jogos érdek elvileg fennállhat.

IV.3. Adatkezelő személye

A Kérelmezett főtevékenysége a cégnyilvántartás adatai szerint követeléskezelési tevékenység. A Hatóság megállapította a Kérelmezett nyilatkozatai alapján, hogy a vizsgált adatkezeléssel érintett ügyben a fentiekben említett tevékenységével összefüggésben az adatkezelése célját és eszközeit a Kérelmezett önállóan határozza meg, ezért a GDPR 4. cikk 7. pontja alapján adatkezelő a Kérelmező személyes adatai kezelésével összefüggésben. A Hatóság álláspontja szerint az adminisztrációs hibára vonatkozó hivatkozás nem mentesíti a Kérelmezettet az adatkezelői felelősség alól, tekintettel arra, hogy a GDPR 4. cikk 7. pontja értelmében a Kérelmezett minősül adatkezelőnek. A Kérelmezett az, aki megszervezi az adatkezelés folyamatát és kialakítja annak körülményeit. Az adatkezelő legfontosabb jellemzője az, hogy érdemi döntéshozatali jogkörrel rendelkezik, és felelősséggel tartozik az adatkezelés valamennyi, az általános adatvédelmi rendeletben rögzített kötelezettség teljesítéséért.

Az Adatvédelmi Irányelv 29. cikke szerint létrehozott Adatvédelmi Munkacsoport (a továbbiakban: Adatvédelmi Munkacsoport) az „adatkezelő” és az „adatfeldolgozó” fogalmáról szóló 1/2010. számú véleményében szintén kifejtette, hogy „Végső soron a vállalatot vagy szervet kell felelősnek tekinteni az adatfeldolgozásért és az adatvédelmi jogszabályokból eredő kötelezettségekért, kivéve, ha egyértelmű elemek utalnak arra, hogy egy természetes személy a felelős. […] Azonban az ilyen esetekben is, amikor konkrét természetes személyt neveznek ki, hogy biztosítsa az adatvédelmi elvek betartását vagy hogy személyes adatokat dolgozzon fel, ez a személy nem lesz adatkezelő, hanem annak a jogi személynek (vállalatnak vagy köztestületnek) a nevében jár el, amely adatkezelői minőségében továbbra is felelős az alapelvek megsértése esetén.”

A Kérelmezett a panaszolt esettel összefüggésben két egymástól függetlenül megvalósult adminisztrációs hibára is hivatkozott. Az egyik adminisztrációs hiba a Kérelmezővel szembeni követelésbehajtási eljárás megindításával kapcsolatos, a másik adminisztrációs hiba a telefonos operátor által elkövetett mulasztás, aminek következtében a Kérelmező telefonhívását nem kezelték panaszként, illetve érintetti kérelemként. A két egymástól függetlenül megvalósult „adminisztrációs hiba” nagyfokú mulasztást jelent, mivel amennyiben első esetben megtörtént az adminisztrációs hiba, abban az esetben az lenne az életszerű, hogy a Kérelmező első jelzése, tehát a 2021.június 23-i telefonhívása nyomán ennek kijavítása érdekében intézkednek, azonban ezt nem tették meg, sőt még a Kérelmező második telefonhívásakor (2021.július 15-én) sem jelezték a Kérelmezőnek, hogy kivizsgálják ezt az esetet, mert adminisztrációs hibára utalnak a körülmények.

A behajtási eljárás indítása egy belső döntés, egy folyamat elindítása, mely több személy feladatellátását és kiadmányozott levél készítését, továbbá kiküldését feltételezi, mely miatt ez nagyfokú mulasztásként és gondatlanságként értékelhető.

IV.4. A Kérelmező személyes adatainak kezelése

IV. 4.1. Követeléskezelési célú adatkezelés

A Kérelmezett elismerte, hogy tévedésből és a követeléskezelési tevékenységének folyamatait leíró szabályzataival ellentétesen kezelte követeléskezelési célból a Kérelmező személyes adatait, mivel a Kérelmezőt örökösként rögzítette ügyleti szereplőként, adósként a nyilvántartásában, annak ellenére, hogy az öröksége nem fedezte az örökhagyó tartozásait, és ez alapján sem a Ptk. alapján, és ezzel egyezően a Kérelmezett belső szabályzatai alapján sem lehet az örököstől a tartozás megfizetését követelni. A Kérelmezett az engedményezési szerződés alapján az adóssal, illetve a jogutódaival (örököseivel) szemben fennálló követelés jogosultjává vált, a követelés érvényesítéséhez, valamint az ehhez szükséges személyes adatok kezeléséhez fűződő jogos érdekének fennállta elviekben a jogi szabályozásból adódóan megállapítható, illetve az adatkezelési cél jogszerűnek minősül. A GDPR 5. cikk (1) bekezdés b) pontja az adatkezelés elvei között kimondja, hogy a személyes adatok gyűjtése jogszerű célból történhet, és azok nem kezelhetők e céllal össze nem egyeztethető módon. A Kérelmezett által az adós lakóhelye szerint illetékes önkormányzattól 2016.09.20. napján beszerzett hagyatékátadó végzésből – melyben a Kérelmező örökösként kerül megnevezésre egyértelműen kiderül, hogy a tartozások összege meghaladja az aktív vagyon összegét. Ennek ellenére a végzés kézhezvételét követően fizetési felszólításokat küldött a Kérelmezőnek a Kérelmezett a tartozás rendezése céljából. A Ptk. 7:96.§ (1) bekezdése értelmében az örökös a hagyatéki tartozásért a hagyaték tárgyaival és azok hasznaival felel a hitelezőknek, ezért a Hatóság álláspontja szerint a Kérelmezett a Kérelmező személyes adatait jogszerűtlenül kezelte követeléskezelési célból, és ezzel megsértette a GDPR 5. cikk (1) bekezdés b) pontját a GDPR hatályba lépéstől, azaz 2018. május 25-e napjától a Kérelmező személyes adatai törlésének napjáig, azaz 2021. augusztus 21. napjáig. A Kérelmezett nyilatkozata szerint 2021. augusztus 21. napján kerültek törlésre a Kérelmező követeléskezelési célból kezelt személyes adatai, miután észlelte, hogy adminisztrációs tévedés miatt nem zárták le az ügyet. A Hatóság ugyanakkor a tényállásból azt állapította meg, hogy nem a Kérelmezett észlelte az adminisztrációs hibát, hanem a Kérelmező jelezte azt a Kérelmezettnek két telefonhívás alkalmával is, illetve adatvédelmi hatósági eljárást is kezdeményezett emiatt a Hatóságnál, tehát a Kérelmezett figyelmét a Kérelmező felhívta arra, hogy vele szemben a Ptk. alapján nem lehet a hivatkozott követeléssel kapcsolatban behajtási eljárást folytatni. Ennek ellenére mégis csak a Hatóság végzésének kézhezvételét követően tett lépéseket a Kérelmezett az adatkezelés vizsgálatára, ugyanis a Kérelmezett 2021. augusztus 11-én kelt levelében azt nyilatkozta, hogy „Társaságunk a T. Hatóság felhívása alapján az ügyet az engedményezés időpontjától kezdődően felülvizsgálta, és az alábbiakat állapította meg. […] Az ügy felülvizsgálata alapján megállapítást nyert, hogy a Kérelmező szóban előadott kifogása teljes mértékben megalapozott volt és Társaságunk telefonos operátor munkatársa mulasztott, amikor nem vette fel a Kérelmező által előadottakat szóbeli panaszként, ehelyett írásban kérte megküldeni a kifogását. […] A fenti vizsgálat eredményeképpen Társaságunk az érintett ügy kezelését lezárta és a Kérelmezőt, mint ügyleti szereplőt és kapcsolódó személyes adatait vissza nem állítható módon törölte a nyilvántartásából.”

IV.4.2. A Kérelmező személyes adatai követeléskezelési célú adatkezelésének jogalapja

A Kérelmezett adatkezelési tájékoztatója szerint követeléskezelési célú adatkezelést a GDPR 6. cikk (1) bekezdés f) pontra, tehát jogos érdekre hivatkozással végez. A IV.4.1. pontban megállapítottak miatt fel sem merülhet a Kérelmezett követeléscélú adatkezeléséhez fűződő jogos érdekének elsőbbsége a Kérelmező jogaival és érdekeivel szemben, tehát a GDPR 6. cikk (1) bekezdés f) pontjára ebben az esetben nem hivatkozhatott. Ezen adatkezelési cél tekintetében a Kérelmezett a GDPR 6. cikk (1) bekezdésében meghatározott szerződéses jogalappal (GDPR 6. cikk (1) bekezdés b) pont) sem rendelkezett, tekintettel arra, hogy a Kérelmezett, mint engedményes követeléskezelési célból történő adatkezelésénél csak a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogalap lehet elfogadható. A Kúria Kf.V.39.291/2020/5. számú 2020. szeptember 14-én hozott ítéletével helybenhagyott jogerős ítéletében a szerződéses jogalap alkalmazhatósága kapcsán osztotta a Hatóság ezen álláspontját. A Fővárosi Törvényszék az Európai Adatvédelmi Testület, 2/2019. számú ajánlásában is megjelenő értelmezést tartotta irányadónak, mely szerint a szerződés teljesítése, mint jogalap szűken értelmezendő és nem terjed ki automatikusan a nemteljesítésből eredő adatkezelésre, illetve hogy csak a fizetési emlékeztető kiküldésével, illetve a szerződés normális menetbe terelésével kapcsolatos adatkezelés eshet a szerződés teljesítése jogalap alá, az eredeti szerződés megszűnését követő, követeléskezelési célú adatkezelésre azonban mindez nem alkalmazható. A GDPR 6. cikk (1) bekezdésében meghatározott további jogalapok, tehát az a) pont a hozzájárulás , c) pont a jogi kötelezettség hiánya miatt nem alkalmazható, a GDPR 6. cikk (1) bekezdés e) pontra pedig a Kérelmezett egyáltalán nem hivatkozhat, tekintettel arra, hogy nem közérdekű tevékenységet végez, továbbá nem rendelkezik közhatalmi jogosítvánnyal. A fentiek alapján megállapítható, hogy a Kérelmezett a GDPR hatályba lépéstől, azaz 2018. május 25-e napjától a Kérelmező személyes adatai törlésének napjáig, azaz 2021. augusztus 21. napjáig követeléskezelési célból jogellenes adatkezelést végzett, tehát megsértette a GDPR 6. cikk (1) bekezdését.

IV. 4.3.Jogszabály által előírt megőrzési kötelezettség

IV. 4.3.1. Hagyatékátadó végzés

A hagyatékátadó végzést, és ezzel együtt az abban feltüntetett személyes adatokat (Kérelmező neve, születési helye és ideje, anyja neve) a Kérelmezett a hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény (a továbbiakban: Hpt.) 258. §-ára tekintettel jogi kötelezettség alapon, a GDPR 6. cikk (1) bekezdés c) pontra hivatkozással kezeli. A Hpt. 258. § (1) bekezdés alapján a pénzügyi intézmény az üzletszerű tevékenységre vonatkozó nyilvántartásait magyar nyelven - a magyar számvitelre vonatkozó jogszabályok előírásainak betartásával - a felügyeleti és a jegybanki ellenőrzésre is alkalmas módon vezeti. A számvitelről szóló 2000. évi C. törvény (a továbbiakban: Sztv.) 166. § (1) bekezdés és 169. § (1)–(2) bekezdései alapján a személyes adatokat az üzleti kapcsolat megszűnésétől, illetőleg az ügyleti megbízás teljesítésétől számított 8 évig nyilvántartja és megőrzi az adatkezelő. A GDPR 17. cikk (3) bekezdés b) pont alapján a törlésre irányuló érintetti kérelem nem teljesíthető, ha a személyes adatok kezelését jogszabály írja elő. A fentiek alapján tehát megállapítható, hogy a Kérelmezett a GDPR 6. cikk (1) bekezdés c) pontra, tehát jogszabály előírására hivatkozással jogszerűen kezeli a hagyatékátadó végzést (és azon a Kérelmező személyes adatait).

A jogszabály azonban csak tárolási kötelezettséget ír elő, a tárolt személyes adatok másra nem használhatók fel.

IV.4.3.2. Hangfelvétel

A Kérelmezett az adatkezelési tájékoztatója szerint az érintettekkel folytatott telefonbeszélgetéseket rögzíti és megőrzi a Ptk. szerint meghatározott elévülési időtartam alatt. A Kérelmezett arra hivatkozott, hogy a Kérelmezővel összefüggésben ilyen hanganyag nem áll rendelkezésére. Az tényként fogadható el, hogy a Kérelmező a Kérelmezettel folytatott telefonbeszélgetést, mivel a Kérelmezett a NAIH-5732-4/2021. számú végzésre küldött nyilatkozatában arra hivatkozott, hogy a Hatóság felhívása alapján az ügyet felülvizsgálták, és megállapították, hogy a Kérelmezett adminisztrátora hibázott, mert a Kérelmező szóbeli panaszát nem vette nyilvántartásba panaszként. Ebből az a következtetés vonható le, hogy a Kérelmezett a felülvizsgálata során, melyet a Hatóság végzése miatt folytatott le, meghallgatta a tárolt hangfelvételt, és az alapján vont le következtetéseket, tehát létezett hangfelvétel, mely a Kérelmező és a Kérelmezett beszélgetését rögzítette. Ezt támasztja alá az is, hogy a Kérelmezett ügyintézője a 2021. július 15-i hívás során megjegyezte: „Úgy látom, hogy 06.23-án egyeztetett velünk korábban, a kollégával, akkor ezt a felvételt szeretné kikérni.” A fentiek miatt tehát megállapítható, hogy a Kérelmezett a jelen adatvédelmi hatósági eljárásról történt tudomásszerzése után törölt olyan hanganyagot, melynek megőrzése az eljárás szempontjából, különös tekintettel az elszámoltathatóság elvére indokolt lett volna, és emiatt a GDPR 6. cikk (1) bekezdés f) pontja alapján jogalappal is rendelkezett volna. Emellett egyéb célból is indokolt lett volna megőriznie, hiszen ha a felülvizsgálat során megállapította, hogy panasz is elhangzott a beszélgetés során, akkor a Hpt. 288. § is előír ilyen megőrzési kötelezettséget. A Kérelmezővel folytatott telefonbeszélgetés hanganyagának megőrzéséről való nem gondoskodás azért is ellentmondásos, mert maga a Kérelmezett is elismerte, hogy a Kérelmező az első telefonbeszélgetés alkalmával panaszt is megfogalmazott, melyet – a Kérelmezett hivatkozása szerint az alkalmazottja mulasztása miatt – nem bírált el. Az ilyen „panaszok” érintetti kérelemként történő besorolása különböző szempontok figyelembevételével történhet. A Kérelmező azt állította, hogy érintetti kérelmet nyújtott be a Kérelmezetthez, ennek megállapítása miatt is szükséges lett volna a kérdéses hanganyagot megőrizni, a későbbiekben annak bizonyítása érdekében, hogy a Kérelmezett jogszerűen minősítette-e az adott panaszt úgy, hogy az nem érintetti kérelem. A telefonbeszélgetés hanganyagának megőrzéséről való nem gondoskodás tulajdonképpen törlést takar, mivel ismert a Kérelmezett telefonbeszélgetésekkel kapcsolatos adatkezelése az adatkezelési tájékoztatójából, és tekintve azt, hogy az alapján minden az érintettek által a Kérelmezett ügyfélszolgálata felé kezdeményezett telefonbeszélgetést automatikusan rögzít (erre a hívás során a gépi hang is felhívja a figyelmet), ezért a Kérelmezővel folytatott telefonbeszélgetéseket is rögzítenie kellett. A Kérelmezett a Kérelmezővel folytatott telefonbeszélgetés hanganyagának megőrzéséről nem gondoskodott, nem vizsgálta meg, hogy a GDPR 5. cikk (2) bekezdése alapján köteles-e megőrizni, és mindezt úgy tette, hogy a törlés időpontjában már a jelen adatvédelmi hatósági eljárás folyamatban volt, tehát mindenféleképpen számítania kellett a Kérelmezettnek arra, hogy a Kérelmező érintetti kérelmeivel el kell tudnia számolni a Hatóság felé. A Hatóság a fentiek miatt megállapította, hogy azzal, hogy a Kérelmezővel folytatott telefonbeszélgetéseket törölte, és így nem tudta a Hatóság felhívására a Hatóság részére megküldeni, megsértette a GDPR 5. cikk (2) bekezdését. A Hatóság továbbá itt megemlíti azt, hogy a Kérelmezett, mint követelésvásárlással is foglalkozó pénzügyi intézmény a Hpt. 288. § alapján is köteles megőrizni a követelésbehajtással összefüggésben érkezett panaszokat, tehát a Kérelmezett adatkezelési tájékoztatója ezzel kapcsolatban téves, mivel csak a hitelintézeti tevékenységével összefüggésben hivatkozik a Hpt. 288. § szerinti panasz megőrzési kötelezettségére. A Hpt.-ben előírt kötelezettségek teljesítésének elmulasztásával, tehát a megőrzési kötelezettség megsértésével kapcsolatban megállapításokat a Hatóság nem tehet, mert az a pénzügyi fogyasztóvédelmi feladatokat is ellátó Magyar Nemzeti Bank hatáskörébe tartozik. A Hatóság ugyanakkor a Kérelmezett téves tájékoztatást tartalmazó adatkezelési tájékoztatójával kapcsolatban megállapította, hogy a Kérelmezett megsértette a GDPR 12. cikk (1) bekezdését és a GDPR 13. cikkét is.

IV. 5. Érintetti kérelmek

A GDPR 12. cikk (1) bekezdés alapján az adatkezelőnek megfelelő intézkedéseket kell hozni annak érdekében, hogy az érintetti kérelemre vonatkozó tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni.

IV.5.1. Szóban is teljesíthető érintetti kérelem

A Kérelmezett által a Hatóság részére megküldött 4/2020. (05.06.) számú Adatkezelési eljárásrend telefonos behajtási szakértők részére elnevezésű dokumentum 5.1. pontja szerint ha az érintett általánosan tiltakozik minden adatának kezelése, a követelés fennállása ellen, akkor az ügyintézőnek elsősorban érvelni szükséges a követelés fennállása mellett a nyilvántartásban szereplő adatok segítségével, hogy a Kérelmezett megfelelő jogalappal rendelkezik a személyes adatok kezelésével összefüggésben, és tájékoztatni kell az érintettet, hogy a Kérelmezett a személyes adatokat milyen jogalapon kezeli. Amennyiben az érvelés nem vezet eredményre, abban az esetben szükséges intézkedni minden olyan törléséről, ami a felületen elvégezhető. Az egyéb felületen nem elvégzett töröltetni kívánt adatok vonatkozásában tájékoztatható az érintett, hogy a panasza kivizsgálásra kerül és írásban tájékoztatják a kérelme elbírálásáról. A GDPR nem zárja ki, hogy az érintetti kérelemre szóban adjanak tájékoztatást, ugyanis a GDPR 12. cikk (1) bekezdése erről külön rendelkezik. Ennek ellenére a Kérelmezőnek a telefonhívások során azt a tájékoztatást adták az operátorok, hogy a törlési kérelmét írásban kell benyújtania. Mivel a GDPR az érintetti kérelmek előterjesztésével kapcsolatban nem alkalmaz formakényszert, ezért erre a Kérelmezett sem jogosult, és azzal, hogy a rögzített telefonbeszélgetés során előterjesztett érintetti kérelem befogadását formai okokra hivatkozással visszautasította, megsértette a GDPR 12. cikk (1) bekezdését.

IV.5.2. Személyes adatok törlése és hozzáférési kérelem

A hozzájárulás visszavonásához hasonlóan az érintett GDPR 21. cikk szerinti tiltakozásához való jogának gyakorlása is törlési kötelezettséget eredményez. Ilyen esetben az adatkezelő csak kényszerítő erejű jogos indokok alapján kezelheti tovább a személyes adatokat. A Kérelmező állítása szerint a telefonbeszélgetéskor kapott tájékoztatást, hogy a kérelmét elutasítja az ügyintéző, és ahhoz ragaszkodik, hogy az érintetti kérelmét írásban nyújtsa be a Kérelmezetthez. A Kérelmezett nem bocsátotta a Hatóság rendelkezésére a Kérelmezővel folytatott telefonbeszélgetéseket, arra hivatkozva, hogy ilyeneket nem tárol, ugyanakkor a Kérelmező a Kérelmezett ügyintézőjével 2021. 07.15. napján folytatott telefonbeszélgetésről hangfelvételt készített. Ebben a hangfelvételben szó esik a korábbi, 2021.06.20. napján folytatott telefonbeszélgetésről, és annak során benyújtott érintetti kérelemről, mellyel kapcsolatban a Kérelmező ügyintézője arról tájékoztatja a Kérelmezőt, hogy az érintetti kérelmeket írásban kell benyújtani. Ez azonban csak a törlési kérelemre vonatkozik, mert a Kérelmező ebben a beszélgetésben a 2021.06.20. napján folytatott beszélgetés hanganyagának rendelkezésre bocsátását kérte. Az ügyintéző az ehhez szükséges adategyeztetés után, arról tájékoztatta, hogy küldeni fogják. Tekintettel arra, hogy a Hatóságnak a hivatkozott 2021.06.20. napján készült hanganyag hiánya miatt a Kérelmező által hivatkozott tiltakozási és törlési kérelmének a teljesítését nem állt módjában megvizsgálni, azzal kapcsolatban megállapításokat nem tett.

A kért hanganyagot azonban nem küldték meg a Kérelmezőnek, annak ellenére, hogy adategyeztetés, azonosítás történt és a telefonos ügyintéző rögzítette a kérést, ezzel a Kérelmezett megsértette a Kérelmező GDPR 15. cikk (3) bekezdés szerinti hozzáférési jogát, mivel egyáltalán nem válaszolt arra, és így nem is indokolta a Kérelmezett azt, hogy mi az oka annak, hogy a Kérelmező hozzáférési kérelmét nem teljesíti, a GDPR 12. cikk (4) bekezdését is megsértette. A Kérelmezett azt nyilatkozta, hogy a Kérelmezett munkavállalója (telefonos operátora) mulasztást követett el, mert nem rögzítette a Kérelmező panaszát, ehelyett írásban kérte megküldeni a kifogást. A Hatóság álláspontja szerint nem fogadható el kimentési okként az emberi mulasztás, mert a Kérelmezett adatkezelőként felelős a tevékenységi körébe tartozó munkafolyamatok gondos megszervezéséért, amely magában foglalja az érintetti kérelmek érkeztetését, határidőben történő megválaszolását és ezek ellenőrzését is.

IV.6. Az átláthatóság elve

A Kérelmezett az adatvédelmi hatósági eljárás során elismerte a NAIH-5732-13/2021. számú válaszlevelében, hogy biztonsági másolatban őrzi a Kérelmező személyes adatait, erről azonban nem tájékoztatta a Kérelmezőt a 2021.08.10.napján kelt levelében, csak a törlésről és a hagyatékátadó végzés őrzéséről. A Hpt. 67/A. § (1) bekezdése a pénzügyi szolgáltatók által használt informatikai rendszerekkel szemben támaszt követelményeket, amelyeket a pénzügyi intézmények informatikai rendszerének védelméről szóló kormányrendelet 5/B. §-a fejt ki részletesebben, azaz meghatározza, hogy a Hpt.-ben előírt követelményeknek milyen módon kell megfelelniük a pénzügyi vállalkozásoknak. Az egyik ilyen kritérium, hogy az élesüzemi rendszer adatmentési és visszaállítási rendje biztosítsa a rendszer biztonságos visszaállítását, ehhez pedig szükséges, hogy a rendszerről biztonsági mentések készüljenek. A biztonsági mentések, másolatok készítése előfeltétele az informatikai rendszer biztonságos működésének, valamint a Kérelmezett követelésvásárlási tevékenysége folytatásának, ebből kifolyólag a biztonsági mentésekben található személyes adatok vonatkozásában az adatkezelés jogalapja a GDPR 6. cikk (1) bekezdés c) pontja szerinti kötelezettség. A Kérelmezett biztonsági másolatokra, azok kezelésére vonatkozó szabályzata nem nyilvános az érintettek számára, így a Kérelmező számára sem. A Kérelmezett nem tájékoztatta a Kérelmezőt arról, hogy a biztonsági mentésben még szerepelnek a személyes adatai, milyen esetekben kerülhet sor a biztonsági mentések felhasználására, illetve mikor törli véglegesen ezeket a mentéseket a Kérelmezett. Ez azonban nem elfogadható, mert az adatkezelés teljes folyamata során érvényesülnie kell a GDPR 5. cikk (1) bekezdés a) pontjában rögzített átláthatóság elvének, tehát az érintettet az adatkezelés tényéről, és azzal kapcsolatos fontos adatkezelési körülményekről minden esetben tájékoztatni kell. A fentiek miatt a Kérelmezett megsértette a GDPR 5. cikk (1) bekezdés a) pontjában foglalt átláthatóság elvét.

IV.7. Határidő- hosszabbítási kérelemmel kapcsolatban tett kérelmezetti észrevételek

A Hatóság kiemeli azt, hogy az Ákr. nem rendelkezik kifejezetten a határidő-hosszabbítási kérelem elbírálásával összefüggésben, és így nem rendelkezik arról sem, hogy bizonyos esetekben azt kötelező megadni. Tekintettel arra, hogy a Kérelmezett nem is indokolta, hogy miért kér határidőhosszabbítást, ezért alapvetően nem számíthatott arra, hogy a kérelmének a Hatóság helyt ad, továbbá a Kérelmezett azt csak magának róhatja fel, hogy a határidőhosszabbítási kérelmet a felhívás teljesítésre megállapított határidő utolsó napján írta meg. A Hatóság álláspontja szerint amennyiben valamilyen méltányolható körülmény miatt nem tudja az adatkezelő teljesíteni a felhívásban kérteket, azt a körülmény pontos feltüntetésével köteles a Hatóság tudomására hozni.

IV.8. A Kérelmezettel szembeni döntés nyilvánosságra hozatalával kapcsolatos kérelem

A Hatóság elutasította a Kérelmező a Kérelmezettel szembeni döntés nyilvánosságra hozatalával kapcsolatos kérelmét, mivel e jogkövetkezmény alkalmazása a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen – a közérdek érvényesítésének körébe eső - jogkövetkezmény alkalmazása tekintetében a Kérelmező nem minősül ügyfélnek az Ákr. 10.§ (1) bekezdése alapján, illetve mivel az Ákr. 35.§ (1) bekezdésének nem felel meg, e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető.

IV.9. Jogkövetkezmények

IV.9.1. A Hatóság a Kérelmező kérelmének részben helyt adott, és a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezettet, mert megsértette: - a GDPR 5. cikk (1) bekezdés a) és b) pontját, - a GDPR 5. cikk (2) bekezdését, - a GDPR 6. cikk (1) bekezdését, - a GDPR 12. cikk (1) és(4) bekezdését, - a GDPR 13. cikkét és - a GDPR 15. cikk (3) bekezdését. III.9.2. A fenti jogsértések miatt jogkövetkezmény megállapítása vált szükségessé, amelyet a Hatóság jogszabályon alapuló mérlegelési jogkörben eljárva határozott meg. A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges.

A Hatóság a bírság kiszabása során az alábbi tényezőket súlyosító tényezőként vette figyelembe:

1. A jogsértés súlyos, mert a Kérelmezett több alapelvi jogsértést is megvalósított. (GDPR 83. cikk (2) bekezdés a) pont)

2. A jogsértés súlyos, mivel a Kérelmező érdekszféráját jelentősen érintette amiatt, hogy olyan követelést próbált rajta a Kérelmezett behajtani, melynek teljesítésére a Ptk. 7:96. § (1) bekezdés alapján nem köteles. A jogsértés súlyosságát külön fokozza az a tény, hogy a Kérelmező elhunyt hozzátartozójával kapcsolatos gyászfolyamatát nehezítette a Kérelmezett azzal, hogy a Kérelmezőnek egy olyan üggyel kellett foglalkoznia, amit már joggal tekintett lezártnak, tekintve a Ptk. ezzel kapcsolatos rendelkezéseit. A Kérelmező a Kérelmezetthez intézett telefonhívásában külön hivatkozott arra, hogy a Kérelmezett jogellenes adatkezelése a Kérelmező gyászfolyamatát rossz irányba befolyásolta, ugyanis a Kérelmezett felszólító levele felzaklatta éppen akkor, amikor a gyászban megnyugodott. A Kérelmezettnek felróható okból a Kérelmezőnek többször kellett jeleznie a Kérelmezett felé, hogy az általa hivatkozott célból (követeléskezelés) a Kérelmező személyes adatait jogszerűen nem kezelheti. (GDPR 83. cikk (2) bekezdés a) pont) 3. A jogellenes adatkezelés hosszú időn keresztül (2018. május 25-e és 2021. augusztus 11. napjáig, a jogellenesen kezelt személyes adatok törléséig) állt fenn. (GDPR 83. cikk (2) bekezdés a) pont)

4. A jogalap nélküli adatkezelés által okozott jogsérelmet a Kérelmezett részben szándékos magatartása idézte elő, mivel a GDPR 5. cikk (2) bekezdése szerinti kötelezettségének teljesítése az általa hivatkozott telefonos operátori mulasztásra nem vezethető vissza. (GDPR 83. cikk (2) bekezdés b) pont) 5. A Kérelmezett a Kérelmezővel folytatott telefonbeszélgetéseket törölte, munkavállalói hibára hivatkozott a felelősségvállalása helyett, ezek miatt megállapítható, hogy nem működött együtt a Hatósággal. (GDPR 83. cikk (2) bekezdés f) pont) 6. A Hatóság korábban már többször elmarasztalta a Kérelmezettet a GDPR rendelkezéseinek megsértése miatt az alábbiak szerint:

- a GDPR 12. cikk (2) bekezdés, és tájékoztatása során a GDPR 5. cikk (1)

bekezdés a) pontja megsértése miatt a NAIH/2019/1841. számú határozatban, ugyancsak a GDPR 5. cikk (1) bekezdés a) pontjának megsértése miatt a NAIH- 3957-1/2021., illetve a GDPR 15. cikk megsértése miatt a NAIH/2020/308. számú határozatban, továbbá

- a GDPR 6. cikk (1) bekezdés megsértése miatt is már sor került a Kérelmezett elmarasztalására a NAIH/2019/2566/8., a NAIH/2020/5552., NAIH/2020/152/2. és a NAIH-3957-1/2021. számú határozatokban, mivel a követeléskezelési célú adatkezelését nem megfelelő jogalapra hivatkozással végezte.

A Hatóság itt külön kiemeli, hogy a NAIH/2019/1814. számú határozatban megállapított

GDPR 5. cikk (1) bekezdés a) ponthoz kapcsolódó jogsértés ugyanígy a biztonsági mentésről elmulasztott tájékoztatásról szól, tehát a Hatóság kifejezetten emiatt már elmarasztalta a Kérelmezettet korábban.

A NAIH/2019/2566/8. számú és a NAIH/2020/5552. számú határozatokban nem került sor bírságkiszabásra, míg a NAIH/2020/152/2. számú határozatban 1.000.000,- forint adatvédelmi bírság kiszabására került sor, továbbá a NAIH-3957-1/2021. számú határozatban is 1.000.000, - Ft, a NAIH/2019/1841. számú határozatban 500.000 Ft, a NAIH/2020/308. számú határozatában 2.000.000 Ft adatvédelmi bírság megfizetésére kötelezte a Kérelmezettet a Hatóság. (GDPR 83. cikk (2) bekezdés e) és i) pont) Tekintettel arra, hogy a Kérelmezett a GDPR ugyanazon rendelkezéseit már többször, a GDPR 5. cikk (1) bekezdés a) pont esetében pedig egynél több, számszerűsítve három esetben sértette meg a fentiekben részletezettek szerint, ezért a Hatóság ezt a visszatérő jogsértő magatartást, továbbá azt a tényt, hogy a jelen eljárásban a GDPR nyolc rendelkezésének megsértését állapította meg, kiemelt súllyal vette figyelembe a bírságkiszabásánál, és erre tekintettel a Kérelmezettel szemben korábban kiszabott adatvédelmi bírságoknál jelentősen nagyobb összegű bírság kiszabása mellett döntött. A Kérelmezett 2020. évi beszámolója alapján az adózás előtti eredménye […] Ft volt. A kiszabott adatvédelmi bírság nem lépi túl a kiszabható bírság maximumát. (GDPR 83. cikk (5) bekezdés a) pont) A bírságkiszabással a Hatóság speciális prevenciós célja az, hogy ösztönözze a Kérelmezettet arra, hogy vizsgálja felül az adatkezelési gyakorlatát és a jövőben biztosítva legyen a személyes adatok védelméhez való jog érvényesülése. A Kérelmezett által elkövetett jogsértések a GDPR 83. cikk (5) bekezdés a) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek. A jogsértések jellege alapján a kiszabható bírság felső határa a GDPR 83. cikk (5) bekezdés a) és b) pont alapján 20 000 000 EUR, illetve az előző pénzügyi év teljes világpiaci forgalmának legfeljebb 4%-a. A Hatóság a bírság kiszabása tekintetében a GDPR 83. cikk (2) bekezdésének a következő rendelkezéseit nem vette figyelembe, mert a tárgyi ügyben nem voltak relevánsak: c), d), g), h), j), k) pontok.

V. Egyéb kérdések:

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §-a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. A Hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek. kelt: Budapest, 2022. február 11.

Dr. Péterfalvi Attila elnök c. egyetemi tanár