Federal Supreme Court of Hungary: Review of the Legality of the Administrative Act of the Data Protection Authority

[1]

A DOKUMENTUMOT

ELEKTRONIKUS ALÁÍRÁSSAL LÁTTA EL:

FŐVÁROSI TÖRVÉNYSZÉK

3

Fővárosi Törvényszék

Az ügy száma: 106.K.700.570/2019/24. A felperes: Raiffeisen Bank Zrt. (1054 Budapest, Akadémia utca 6.) A felperes képviselője: KPMG Legal Tóásó Ügyvédi Iroda (eljar: Az alperes: Nemzeti Adatvédelmi és Információsszabadság Hatóság (1125 Budapest, Szilágyi Erzsébet fasor 22/C.) Az alperes képviselője: Dudás Hargita Zavodnyik Ügyvédi Iroda (eljár: d-$. Dudás Gábor János ügyvéd, 1036 Budapest, Lajos utca 66.)

A per tárgya: adatvédelmi ügyben hozott, NAIH/2019/3107/7. számú közigazgatási határozat jogszerűségének vizsgálata

Ítélet: A Fővárosi Törvényszék a felperes keresetét elutasítja.

Kötelezi a felperest, hogy 15 nap alatt fizessen meg az alperesnek 100 000 (Százezer) forint perköltséget, valamint az államnak — az illetékügyekben eljáró hatóság külön felhívására — 30 000 (Harmincezer) forint feljegyzett kereseti illetéket.

Az ítélet ellen fellebbezésnek nincs helye. Indokolás A döntés alapjául szolgáló tényállás

A felperesi pénzintézet befektetési szolgáltatási tevékenységet is végez, melynek kapcsán a befektetési vállalkozásokról és az árutőzsdei szolgáltatókról, valamint az általuk végezhető tevékenységek szabályairól szóló 2007. évi CXXXVII. törvény (a továbbiakban: Bszt.)

hatálya alá tartozik. A felperes a befektetési szolgáltatások igénybevételéhez kötelezővé tette minden ügyfél számára a Bszt. 45. § (1) bekezdése szerinti megfelelési teszt kitöltését. A megfelelési tesztben a felperes felméri az ügyfél által ismert szolgáltatásokat, ügyleteket és pénzügyi eszközöket, vizsgálja az ügyfél által korábban végrehajtott ügyletek jellemzőit, megvizsgálja, hogy az ügyfél rendelkezik-e releváns pénzügyi ismeretekkel, szakmai tapasztalattal. A Bszt. 44. §-a szerinti alkalmassági teszt kitöltését a felperes arra az esetre tette kötelezővé ügyfelei számára, ha olyan szerződést kötnek a felperessel, melynek alapján jogosulttá válnak befektetési tanácsadási, vagy portfóliókezelési szolgáltatás igénybevételére.

Az alkalmassági tesztben a felperes felméri az ügyfél befektetési céljait, kockázatviselési íg

[2]

[3]

[4]

[5]

Fővárosi Törvényszék 106.K.700.570/2019/24. 2 hajlandóságát, pénzügyi helyzetét, veszteségviselő képességét, valamint tapasztalatait és ismereteit a szolgáltatásokkal és termékekkel kapcsolatban, ideértve a kockázatok megértésének és értékelésének képességét is. A felperes a befektetési szolgáltatások nyújtására elsőként keretszerződést köt az ügyfeleivel, melynek alapján az ügyfél a keretszerződésbe tartozó bármely szolgáltatást igényelheti egyoldalú jognyilatkozattal. A megfelelési és alkalmassági tesztek a keretszerződés részét képezik, azokat az ügyfelek a keretszerződés megkötésekor töltik ki.

A felperes a befektetési szolgáltatást igénybe vevő lakossági ügyfeleit — alapvetően jövedelmi, illetve vagyoni viszonyaik alapján — három csoportba sorolja: mass, prémium és private kategóriába. A felperes a mass ügyfélcsoport részére nem nyújt sem befektetési tanácsadási, sem portfóliókezelési szolgáltatást, a mass ügyfelekkel ezért csak a megfelelési tesztet tölteti ki. A prémium vagy private ügyfelek részére a felperes befektetési tanácsadással és anélkül is nyújt befektetési szolgáltatást, kizárólag non-advisory szolgáltatás nyújtására azonban nem köt szerződést ezen ügyfelekkel. A prémium és private ügyfelekkel kötött keretszerződés automatikusan elérhetővé teszi részükre az advisory szolgáltatás igénybevételét, ezért a felperes e két ügyfélkör esetében kötelezővé teszi az alkalmassági teszt kitöltését is. A felperes mintegy prémium és mintegy private ügyfele közül 2018. január 3-a és 2019. július 26-a között . prémium és private ügyfél nem kötött advisory tranzakciót.

Az alperesi hatóság 2018. november 28. napján hivatalból vizsgálatot indított a felperes

MiFID-tesztekkel " kapcsolatos általános adatkezelési gyakorlatának vizsgálatára

NAIH/2018/6739/V. ügyszámon. Az alperes a hivatalból indított vizsgálatot 2019. március

26. napján lezárta és ezzel egyidejűleg hivatalból adatvédelmi hatósági eljárást indított a felperes befektetési szolgáltatási tevékenysége során alkalmazott megfelelési és alkalmassági tesztekkel összefüggésben végzett adatkezelésének az általános adatvédelmi rendeletben (az Európai Parlament és a Tanács 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről, a továbbiakban: GDPR) foglalt előírásoknak való megfelelés vizsgálatára.

Az alperes a 2019. november 15. napján kelt, NAIH/2019/3107/7. számú határozatának I.

részében megállapította, hogy a felperes jogalap nélkül kezeli a kizárólag non-advisory szolgáltatást igénybe vevő prémium és private ügyfelek által az alkalmassági tesztben megadott személyes adatokat, továbbá nem nyújt megfelelő tájékoztatást a MiFID kérdőívekben felvett személyes adatok kezeléséről. A határozat II. részében utasította a felperest, hogy a határozat véglegessé válásától számított 60 napon belül törölje azon prémium és private ügyfelek alkalmassági tesztben megadott személyes adatait, akik nem vesznek igénybe a felperestől befektetési tanácsadási, vagy portfóliókezelési szolgáltatást, és alakítsa át a tájékoztatási gyakorlatát olyan módon, hogy az megfeleljen a GDPR 12. és 13.

cikkeiben foglalt követelményeknek. A határozat III. részében a jogellenes adatkezelés miatt a felperest 25 millió forint adatvédelmi bírság megfizetésére kötelezte, a IV. részben pedig elrendelte a határozatnak a felperes azonosító adatainak közzétételével történő nyilvánosságra hozatalát.

A határozat indokolásában rögzítette, hogy a Bszt. 44. § (1) bekezdése alapján befektetési tanácsadás nyújtása, vagy portfóliókezelés hiányában az alkalmassági tesztben megadott személyes adatok kezelése nem jogi kötelezettsége a felperesnek. Megjegyezte, hogy az ügyfélbesorolás, valamint a befektető alapú és befektetés alapú tanácsadás irányelveiről szóló, számú vezérigazgatói utasítás B.3.1. pontja a befektetési tanácsadási és portfólió kezelési szolgáltatást igénybe nem vevő ügyfelek számára csak a megfelelési teszt kitöltését írja elő. Ennek alapján a vezérigazgatói utasítás nem ügyfélkategóriák alapján

[6]

[7]

[8]

Fővárosi Törvényszék 106.K.700.570/2019/24. 3 határolja el, hogy kinek kell megfelelési, illetve alkalmassági tesztet kitöltenie, hanem annak alapján, hogy az ügyfél milyen szolgáltatást vesz igénybe.

A felperes jogos érdekén alapuló adatkezelés vizsgálata során rögzítette, hogy az érdekmérlegelési teszt 2019. január 2-án kelt, a vizsgált időszakra, 2018. május 25. és 2019. január 2. közötti időszakra a felperes nem nyújtott be érdekmérlegelési tesztet. A felperes az érdekmérlegelési tesztben az adatkezelés három célját nevezte meg, mint jogos érdeket. Ezek: a jogi kötelezettségek teljesítése, a befektetők, ügyfelek védelme, illetve a bank prudens működése.

Megállapította, hogy a jogszabályi követelményeknek való megfelelés körében a felperes a

Bszt. 44-46. §-aira, illetve a Bszt. 17/A. §-a szerinti célpiac meghatározási kötelezettségére, míg az állásfoglalásoknak való megfelelés körében a 10/2019. (IV. 15.) és a 25/2018. (VII. 5.)

számú MNB ajánlások, valamint az Európai Értékpapírpiaci Hatóság (ESMA) 35-43-620 és 35-43-1163 számú ajánlások előírásaira hivatkozott. A Bszt. 44.-46. §-ai kapcsán rögzítette, hogy ezek nem írják elő a felperes számára, hogy abban az esetben is töltesse ki az alkalmassági tesztet, ha az ügyfél nem vesz igénybe advisory szolgáltatást. A Bszt. 17/A. §-a kapcsán kifejtette, hogy jogszabály nem állapítja meg a célpiac meghatározásának módszerét.

Előadta, hogy a felperes szerint az alkalmassági tesztben felvett személyes adatok szükségesek a célpiac vizsgálati kötelezettség teljesítéséhez, ezzel szemben rámutatott, hogy az adatkezelő jogos érdeke kizárólag olyan érdek lehet, amely nem jogszabályi kötelezettség, mivel ekkor az adatkezelés alapja nem a jogos érdek, hanem a jogi kötelezettség. Álláspontja szerint a felperes nem definiálta, hogy mit ért célpiac vizsgálat alatt és a termékirányítás alapelveiről szóló, számú vezérigazgatói utasítás sem használja a célpiac vizsgálat fogalmát, ebből kifolyólag az sem azonosítható, hogy a felperes pontosan milyen kötelezettségének és miért ne tudna eleget tenni az adatkezelés hiányában. A vezérigazgatói utasítás szerint a non-advisory szolgáltatás körében az ügyfeleket előzetesen figyelmeztetni kell, hogy adott esetben korlátozott célpiac ellenőrzésre kerül sor a non-advisory tranzakcióra vonatkozóan. Álláspontja szerint a célpiac korlátozott ellenőrzése — alkalmassági teszt kitöltése nélkül — ugyanúgy elvégezhető lenne a prémium vagy private ügyfelek esetében, mint a mass ügyfelek esetében. Hivatkozott arra, hogy egyrészt az ajánlások nem minősülnek jogszabálynak, azok jogi kötelezettséget nem keletkeztetnek; másrészt az ajánlásokból egyébként sem következik, hogy a felperesnek olyan adatokat kellene felvennie az ügyfeleitől, amelyek kifejezetten nem szükségesek az ügyfél által választott szolgáltatás nyújtásához, illetve az azokhoz kapcsolódó jogi kötelezettségek teljesítéséhez.

Az ügyfelek védelme, mint jogos érdek vizsgálata keretében előadta, hogy a felperes szerint az alkalmassági tesztben megadott adatok kezelésével meg tudja védeni az ügyfeleit olyan ügyletek megkötésétől, amelyek nem állnak összhangban kockázatviselési hajlandóságukkal, pénzügyi helyzetükkel, veszteségtűrő képességükkel. Rögzítette, hogy ezzel szemben nem helytálló a felperes érdekmérlegelési tesztben tett megállapítása, miszerint az alkalmassági teszt kitöltése hiányában az ügyfelek nem rendelkeznének kellő információval az egyes megkötni tervezett ügyletekről, mivel a felperes a non-advisory ügyletek esetén is nyújt általános tájékoztatást az ügyfeleknek az általuk választott ügyletekről, valamint azoknak a lehetséges alternatíváiról, amely információszolgáltatás független attól, hogy az ügyfél kitöltötte-e az alkalmassági tesztet. Hivatkozott arra, hogy a vezérigazgatói utasítás

B.4. pontja szerint a célpiac ellenőrzése során nemcsak az ügyfélre vonatkozó adatokat kell figyelembe venni, hanem a termék vonatkozásában meghatározott célpiaci és forgalmazási stratégiát is, amelyben rögzítésre kerül, hogy a termék milyen ügyféltípus számára, milyen forgalmazási csatornán keresztül, milyen kategóriába tartozó ügyfelek részére értékesíthető.

Amennyiben egy prémium vagy private ügyfél kizárólag non-advisory szolgáltatást vesz igénybe, tehát nem kér befektetési tanácsadást, úgy részére csak olyan termék értékesíthető, [9]

[10]

[11]

Fővárosi Törvényszék 106.K.700.570/2019/24. 4 amely a célpiac meghatározás alapján non-advisory szolgáltatás keretében forgalmazható, tehát nem is köthet ügyletet olyan termékre, amely csak advisory szolgáltatás keretében érhető

el. Rámutatott, hogy a felperes sem az érdekmérlegelési tesztben, sem a nyilatkozataiban nem fejtette ki, hogy miért tesz különbséget az ugyanolyan szolgáltatásokat igénybe vevő mass, illetve prémium és private ügyfelek között, mi indokolja, hogy az utóbbi két kategóriába tartozó ügyfelek fokozottabb védelmet kapjanak. Álláspontja szerint az ügyfelek szabad belátására kell bízni, hogy kívánnak-e a jogszabályokban meghatározottnál magasabb szintű védelemben részesülni, vagy nem, és amennyiben igen, akkor dönthetnek úgy, hogy kitöltik az alkalmassági tesztet akkor is, ha egyébként nem vesznek igénybe olyan szolgáltatást, amely miatt ez jogszabály alapján kötelező lenne. A felperes az érdekmérlegelési tesztben nem vizsgálta meg alternatívaként, hogy az ügyfelek érdekeinek védelme céljából kezelhetőke az ügyfelek hozzájárulása alapján azok az adatok, amelyeket a kizárólag non-advisory szolgáltatást igénybe vevő prémium és private ügyfelek adnak meg az alkalmassági tesztben, holott a hozzájárulás alapján történő adatkezelés a magánszférára nézve kevésbé intruzív, mint a bank jogos érdeke alapján kötelezővé tett adatkezelés.

A felperes prudens működése, mint jogos érdek vizsgálata során megállapította, hogy a felperes cégcsoportja által meghatározott prudencia követelmények, illetve a felperes belső biztonsági elvárásainak való megfelelés elvont, általános, pontatlanul meghatározott érdekek és célok, ezért az érintettek számára sem lehet átlátható és világos, hogy a felperes ezen elvárásoknak való megfeleléshez fűződő érdekei ténylegesen megelőzik-e az ügyfelek azon jogát, hogy maguk rendelkezzenek személyes adataik felett. Ha a felperes a Bszt.-ben meghatározott befektetővédelmi követelménynél magasabb védelmi szintet kíván biztosítani, ez méltányolható érdek lehet, ehhez azonban pontosan meg kell határozni a nyújtani kívánt biztonság szintjét, és azt, hogy az hogyan és milyen módon érhető el, és bizonyítania kell azt, hogy ezen érdek érvényesülését hogyan, milyen módon szolgálja az adatkezelés. Álláspontja szerint távoli és eshetőleges veszély az, hogy a felperesbe vetett közbizalom csökkenne, amennyiben a felperes nem kezelné ezeket az adatokat, egy ilyen távoli és eshetőleges veszély elkerülésére való törekvés nem teszi szükségessé a személyes adatok kezelését.

Az érdekmérlegelési teszttel kapcsolatban előadta, miszerint a felperes nem határozta meg, hogy a Bszt. mely rendelkezései alapján, az ügyfelei mely személyes adatait kezeli kötelező jelleggel, és arról hogyan tájékoztatja őket. Megállapította továbbá, hogy a felperes sehol nem nyújtott tájékoztatást a kizárólag non-advisory szolgáltatást igénybe vevő ügyfeleinek arról, hogy az alkalmassági tesztben megadott személyes adataikat a felperes a jogos érdeke alapján kezeli, így azzal sem lehetnek tisztában, hogy tiltakozhatnak az adatkezelés ellen. Mindezek alapján a felperes nem hivatkozhat jogszerűen az adatkezelés jogalapjaként az GDPR 6. cikk

(1) bekezdés f) pontjára, azaz a kizárólag non-advisory szolgáltatást igénybe vevő prémium és private ügyfelei alkalmassági tesztben megadott személyes adatait jogalap nélkül kezeli.

Rögzítette, hogy a felperes az adatkezelés jogalapjaként a GDPR 6. cikk (1) bekezdés b)

pontját is megjelölte, miszerint az adatok szükségesek a befektetési szolgáltatási keretszerződésben foglalt szolgáltatások teljesítéséhez. Ennek kapcsán megállapította, ahhoz, hogy a személyes adatok szerződéses jogalapra hivatkozással kezelhetők legyenek, elengedhetetlen, hogy a szerződés teljesítésének célja és az adatok kezelése között közvetlen és objektív kapcsolat legyen. A szerződés jogalapja nem alkalmazható olyan esetben, amikor az adatkezelésre valójában nem a szerződés, hanem az adatkezelőt terhelő jogi kötelezettség teljesítése miatt van szükség. Álláspontja szerint, mivel a megfelelési és alkalmassági tesztben felvett adatok kezelése a befektetési vállalkozásoknak jogi kötelezettségük a Bszt.-ben meghatározottak szerint, ezért ezen adatok nem a felperes és az ügyfél közti szerződés alapján, annak teljesítése érdekében, hanem a felperesnek a GDPR 6. cikk (1) bekezdés c)

[12]

[13]

[14]

Fővárosi Törvényszék 106.K.700.570/2019/24. 5 pontja, valamint a Bszt. 44. § (1) bekezdése és 45. § (1) bekezdése szerinti jogi kötelezettsége alapján kezelendők.

A MIFID tesztekben felvett személyes adatok kezeléséről nyújtott tájékoztatással összefüggésben megállapította, hogy a felperes különböző dokumentumokban - az Adatvédelmi és Adatkezelési Tájékoztatóban, a MiFID teszteken, a keretszerződésekben, a vizsgált időszakban hatályos Befektetési Üzletszabályzatban és a befektetési szolgáltatásokkal kapcsolatos Ügyféltájékoztatókban - széttagolva, részben átfedő tartalommal nyújtott az ügyfeleknek a személyes adataik kezelésére vonatkozó tájékoztatást. Az Adatvédelmi

Tájékoztató 2. pontjában nyújtott tájékoztatás általános jellegű, abból nem derül ki, hogy konkrétan a befektetési szolgáltatások nyújtása kapcsán a MiFID kérdőívben felvett adatokat melyik jogalapra hivatkozással kezeli a felperes. Az Üzletszabályzat II.6. pontja szerint az adatkezelés jogalapja a felperes jogi kötelezettsége, azonban az alkalmassági tesztekben felvett adatok kezelésének a jogalapjára nem tér ki. Az Ügyféltájékoztató 4. pontja szerint a befektetési tanácsadás és portfóliókezelés esetén a felperes jogszabályi kötelezettsége az adatkezelés, azonban nem derül ki egyértelműen, hogy egyéb szolgáltatások igénybevétele esetén az érintett és a felperes közti szerződés teljesítéséhez, a felperes jogi kötelezettségének teljesítéséhez, vagy a felperes jogos érdekének érvényesítéséhez szükséges a megfelelési teszt kitöltése. A felperes a , MiFID - befektetői kérdőív - Magánszemélyek részére? című dokumentum 1. oldalán arról tájékoztatja az ügyfeleket, hogy a felperes a Bszt.-ben foglalt előzetes tájékozódási kötelezettsége alapján alakította ki a kérdőívet, ebből csak következtetni lehet arra, hogy a Bszt. szerinti kötelezettség nemcsak a kérdőív elkészítésére, hanem az abban foglalt, megadott személyes adatok kezelésére is vonatkozik. Az Adatvédelmi

Tájékoztatóból nem derül ki, hogy konkrétan a MiFID tesztekben megadott személyes adatok kezelésének mi a jogalapja, holott elnevezése alapján elsősorban ezen dokumentumot olvassák el az ügyfelek, ha az adatkezelésről tájékozódni kívánnak. Az Üzletszabályzat 50 oldalas dokumentum, mely tartalmazza, hogy a megfelelési tesztben megadott adatokat a felperes jogszabályi kötelezettség alapján kezeli, és ezt rögzíti az Ügyféltájékoztató az advisory szolgáltatások vonatkozásában. Egyik dokumentum sem tartalmaz azonban olyan tájékoztatást, hogy a non-advisory szolgáltatást igénybe vevő ügyfelek alkalmassági tesztben megadott személyes adatait a felperes jogos érdeke alapján kezeli, illetve nem kerül megnevezésre, hogy mi ez a jogos érdek. Az ügyfelek tájékoztatása széttöredezett, nem ad teljes képet arról, hogy a felperes a személyes adatokat milyen jogalapon kezeli. Az átláthatóság követelményéből következik, hogy a GDPR 13. cikke szerinti tájékoztatás egyértelműen elkülönítésre kerüljön minden egyéb, nem adatvédelemmel kapcsolatos tájékoztatástól. Mindezek alapján a felperes a MiFID kérdőívekben felvett személyes adatok kezeléséről nem átlátható módon nyújt tájékoztatást.

Az adatvédelmi bírság jogalapja vonatkozásában a GDPR 83. cikk (2) bekezdése és az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII.

törvény (a továbbiakban: Infotv.) 75/A. § alapján mérlegelte az ügy összes körülményét, és tekintettel volt arra, hogy a felperes nem első alkalommal sértette meg a GDPR rendelkezéseit. E körben utalt a NAIH/ számú ügyre, melynek során megállapította, hogy a felperes megsértette a GDPR 6. cikk (1) bekezdését, mivel a kérelmező ügyfél személyes adatait jogellenesen, megfelelő jogalap nélkül kezelte. Megállapította, hogy a feltárt jogsértések esetében a figyelmeztetés nem arányos és nem visszatartó erejű szankció, így bírság kiszabása szükséges.

A bírság kiszabása során mindenekelőtt figyelembe vette, hogy a felperes által elkövetett jogsértések a GDPR 83. cikk (5) bekezdés a) és b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek. Súlyosbító körülményként értékelte a GDPR 83. cikk (2) bekezdés a) és k) pontja alapján, hogy a jogsértés folyamatos jellegű, a vizsgált

[15]

[16]

[17]

[18]

[19]

Fővárosi Törvényszék 106.K.700.570/2019/24. 6 időszakban folyamatosan fennállt, továbbá, hogy a jogsértés az ügyfelek nagy számát érintette és a felvett személyes adatok kezeléséről való nem megfelelő tájékoztatás közvetetten akadályozta az ügyfelek tiltakozási jogának gyakorlását, valamint, hogy a tájékoztatás átláthatatlansága súlyos jogsértésnek minősül. Enyhítő körülményként vette figyelembe a GDPR 83. § (2) bekezdés a) pontja alkalmazásával, hogy a felperes jogos érdeke alapján végzett adatkezelésének egyik céljaként, illetve az adatkezeléshez fűződő jogos érdekeként a befektetők védelmének fokozottabb biztosítását jelölte meg, illetve a GDPR 83. § (2)

bekezdés g) pontja szerint, hogy a megállapított adatvédelmi jogsértések szándékosságra utaló körülmény hiányában gondatlan jellegűnek minősülnek. Utalt arra, hogy a NAIH/ számú ügyben eltérő körülmények alapján, a felperes más tevékenységei kapcsán került sor a GDPR azonos rendelkezésének megsértésére, emiatt a korábban elkövetett jogsértés nem minősül relevánsnak a jelen eljárás tárgyával összefüggésben, így azt sem enyhítő, sem súlyosbító körülményként nem értékelte a bírság összegének meghatározása során.

A határozatnak a felperes azonosító adatainak közzétételével történő nyilvánosságra hozatalát az Infotv. 61. § (2) bekezdés a) pontja alapján rendelte el.

A felperes keresete, az alperes védirata

A felperes keresetében a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) 38. § (1) bekezdés a) pontjára, valamint 89. § (1) bekezdés a) pontjára hivatkozással az alperesi határozat megváltoztatását kérte akként, hogy a bíróság állapítsa meg, az alperes jogszabálysértő módon állapította meg, miszerint a felperes jogalap nélkül kezelte a non-advisory szolgáltatást igénybe vevő prémium és private ügyfelek által kitöltendő MiIFID alkalmassági tesztben megadott személyes adatokat és ezért törlési kötelezettsége nem keletkezett és a gyakorlatát sem kell átalakítania. Kérte annak megállapítását is, hogy az alperes jogszabálysértő módon állapította meg, hogy a felperes nem nyújtott megfelelő tájékoztatást a MiFID tesztekben felvett személyes adatok kezeléséről.

Mindezek alapján kérte a 25.000.000.- Ft összegű adatvédelmi bírság törlését. Másodlagosan az alperest terhelő tényállástisztázási kötelezettség elmulasztása miatt a határozat megsemmisítését és az alperes új eljárásra utasítását kérte akként, hogy a megismételt eljárásra a bíróság az alperes számára írja elő az elsődleges kereseti kérelemben foglaltakat.

Kérte továbbá az alperes perköltségben történő marasztalását.

Hangsúlyozta, hogy a MiFID II. irányelv, illetve az azt átültető Bszt. abba az irányba mutat, hogy a befektetők minél több információt kapjanak, hogy számukra minél pontosabb és kedvezőbb egyedi ajánlatok kerüljenek biztosításra, ezáltal pedig pénzügyi érdekeik megfelelő védelemben részesüljenek. A befektetési vállalkozások ennek érdekében vizsgálják az ügyfeleket és megfelelő kategóriákat hoznak létre közöttük, illetve az igényeiknek megfelelő termékeket alakítanak ki számukra. A fenti célok konkrét intézkedéseket várnak el a befektetési vállalkozásoktól, amelyeknek, ha meg akarnak felelni, akkor minél több és pontosabb információval kell rendelkezniük a célzott ügyfélkörről.

Kiemelte, hogy ellentmondásos helyzethez vezet, hogy a befektetési vállalkozásoknak egyszerre kell megvalósítaniuk a teljes körű, minél részletesebb és pontosabb tájékozódást, az ügyfelek befektetési kockázatvállalási hajlandósága, a megfelelő célpiacok meghatározása, az ügyfélkategóriák igényeihez leginkább illeszkedő termékek kialakítása érdekében, egyúttal azonban eleget kell tenniük az adatminimalizálás elvének, és az adatvédelmi hatóság elvárásainak is.

Előadta, hogy alkalmassági teszttel kell meggyőződnie arról, hogy az ügyfél ismeretei és a pénzügyi eszközzel, vagy ügylettel kapcsolatos gyakorlata, kockázatviselő képessége megfelelő-e ahhoz, hogy megalapozott befektetési döntést hozzon, illetve fel kell tárnia a [20]

[21]

[22]

[23]

Fővárosi Törvényszék 106.K.700.570/2019/24. 7 szükséges mértékben az ügyfél jövedelmi helyzetét és befektetési céljait annak érdekében, hogy a körülményeihez igazodó, a veszteségtűrő képességével összhangban álló ügyletet vagy pénzügyi eszközt ajánljon. Mindezek alapján a kötelezettségei nem szűkíthetők le a keretszerződésen alapuló kapcsolat későbbi létszakaszaira, a keretszerződésen alapuló egyedi megbízásokra, mivel a keretszerződés általánosságban lehetővé teszi az ügyfél számára a befektetési tanácsadás igénybevételét. Hivatkozott arra, hogy a befektetési szolgáltatási keretszerződés megkötésével a prémium és private ügyfelek részére automatikusan elérhetővé válik az advisory szolgáltatás, amelyhez az alkalmassági teszt kitöltése a Bszt. 44. § (1)

bekezdése alapján kötelező, ezért az alkalmassági teszt kitöltetése a jogszabályoknak való legteljesebb megfelelést, illetve a befektetők erősebb védelmét szolgálja.

Hangsúlyozta, hogy az alkalmassági teszt adatait az advisory szolgáltatást igénybe vevő ügyfelek kapcsán jogszabályi kötelezettség alapján, szerződés teljesítése alapján és jogos érdek alapján, míg a non-advisory prémium és private ügyfelek tekintetében szerződés teljesítése és jogos érdek alapján, a GDPR 6. cikk (1) bekezdés b), illetve f) pontjára figyelemmel kezeli.

Rögzítette, hogy az alperes a 2019. március 26. napján kelt végzésében kérdéseket intézett hozzá, amelyekre válaszul kifejezetten kérte az alperest arra, hogy egyes felhívásait pontosítsa, részletezze, mivel azoknak maradéktalanul eleget kívánt tenni. Az alperes azonban a kérelmét figyelmen kívül hagyta, arra nem reagált. Hangsúlyozta, hogy az alperes a bekért dokumentumok és vizsgált információk téves, jogszabályokat mellőző értelmezésével, illetve a tényállás tisztázási kötelezettség megsértésével hozta meg határozatát.

A keresetlevélhez F/4. alatt csatolt MNB 25/2018. (VII. 5.) számú ajánlására való hivatkozással kiemelte, hogy azért nem tudná elvégezni a célpiac vizsgálati feladatát alkalmassági teszt lefolytatása nélkül, mert a célpiac vizsgálathoz szükséges az ügyfélkategóriák meghatározása és kockázati besorolása, ugyanis pontosan ez a célpiac vizsgálat lényege. Az alkalmassági tesztben felvett adatok használata feltétlenül szükséges a célpiac vizsgálat lefolytatásához. Állítása szerint ezen folyamatával megfelel a GDPR által elvárt adatminimalizáció követelményének is. Mivel a Bszt. 17/A. § (1) bekezdése szerinti célpiac vizsgálat lefolytatása jogszabályi kötelezettsége, és ennek a vizsgálatnak a lefolytatásához a MiFID tesztekben foglalt adatokat használja fel, a vizsgálat lefolytatása jogos érdekében áll, hiszen ezekkel az adatokkal a célpiac vizsgálati kötelezettségét teljesíti, ráadásul a MiFID tesztek kérdéseit úgy alakította ki, hogy megfeleljenek a célpiac vizsgálatra vonatkozó követelményeknek is. A Bszt. 17/A. § (1)-(2) bekezdésére, valamint 40. § (2)-(3)

bekezdéseire hivatkozással kiemelte, hogy a célpiac vizsgálat egy termék jóváhagyási folyamat, amely több részből áll, és a kialakítás, működtetés, felülvizsgálat, ellenőrzés tevékenységek számos további alfeladatokat foglalnak magukban. Véleménye szerint a Bszt.

hivatkozott rendelkezései és az MNB ajánlásai egyértelművé teszik, hogy az azonosított célpiacot kell meghatározni az egyes pénzügyi eszközök ügyfélkategóriáin belül. Mind a célpiac, mind az ügyfélkategóriák meghatározásához segítséget jelent és szükséges olyan adatok vizsgálata, mint a jövedelem, a befektetési célok, a megtakarítások, az iskolai végzettség, a veszteségtűrő képesség.

Hivatkozott arra, hogy az MNB 25/2018. (VII. 7.) számú ajánlása a termékjóváhagyásra vonatkozó követelményekkel kapcsolatban az ,elvár" kifejezést alkalmazza, ami egyértelművé teszi, hogy melyek azok a megoldások, amelyeket az MNB helyesnek és alkalmazandónak tart. Ezért, még ha az ajánlások nem keletkeztetnek is jogszabályi kötelezettséget, azok a jogos érdekét alapozzák meg. Amennyiben ezeknek nem felelne meg, az számára versenyhátrányt jelentene a többi piaci szolgáltatóval szemben, egyben a felügyeleti hatóság intézkedését is kiválthatná. Az alperes tehát figyelmen kívül hagyja az adatvédelmi szabályokon túl az őt terhelő egyéb jogszabályi kötelezettségeket és nem veszi

[24]

[25]

[26]

[27]

Fővárosi Törvényszék 106.K.700.570/2019/24. 8 figyelembe az egyes ágazati szabályok összeütközését, ennek terhét kizárólag rá, mint adatkezelőre rója.

Az ügyfelek védelme, mint jogos érdek kapcsán kiemelte, hogy a Bszt. 44. §-ában foglalt előzetes tájékozódási kötelezettség nem teljesíthető általános tájékozódás révén, annak minél részletesebbnek és egyediesítettnek kell lennie. Hangsúlyozta, hogy a keretszerződés megkötésétől kezdve a csak non-advisory szolgáltatást igénybe vevő prémium és private ügyfelek részére is bármikor elérhetőek az advisory szolgáltatások, ezért az, hogy egy private vagy egy prémium ügyfél a keretszerződés aláírását követően bizonyos ideig nem vesz igénybe advisory szolgáltatást, nem jelenti azt, hogy a jövőben sem kíván ilyet igénybe venni.

Az is indokolja a részletes tájékozódást, hogy a prémium és private ügyfelek által igénybe vehető termékek köre összetettebb és magasabb kockázatú, mint a mass ügyfelek esetén.

Kiemelte, hogy a bekért információk azt szolgálják, hogy a befektetők védelme érdekében képes legyen az egyes ügyleti megbízások alkalmával tájékoztatást, visszajelzést adni, hogy az adott ügylet, termék mennyire illeszkedik az ügyfél kockázatviselő és teherviselő képességéhez, illetve a termékekkel kapcsolatos információi elegendőek-e az ügylet lebonyolításához, valamint, hogy szolgáltatóként a jogi kötelezettségeinek eleget tudjon tenni, a felügyeleti elvárásoknak meg tudjon felelni. Ezen információkat semmilyen más célra nem használja, kizárólag a jogszabályok, illetve a felügyeleti szervek iránymutatásainak, ajánlásainak való megfelelés érdekében. Állítása szerint az adatkezelését nem az teszi jogszerűvé, hogy az érintettek számára előnyös, hanem az, hogy megfelel a GDPR által lefektetett alapelveknek.

Kiemelte, hogy rendkívül fontos, hogy a keretszerződés aláírásának időpontjában kerüljön kitöltésre a MiIFID alkalmassági teszt, ugyanis a befektetési szolgáltatások sajátossága az azonnali teljesítés szükségessége, gyakran a termék vagy szolgáltatás kedvező feltételei csak rövid ideig elérhetők, rendkívül gyorsan változhatnak. Ezért a prémium és private ügyfelek megfelelő kiszolgálása csak úgy lehetséges, ha az ügyfél utasítása alapján rögtön megtörténik a szolgáltatás nyújtása, ennek előfeltétele az alkalmassági teszt előre kitöltése. Hangsúlyozta azt is, hogy az ügyfelek szabadon dönthetnek arról, hogy kizárólag non-advisory szolgáltatást kívánnak igénybe venni, erre ugyanis bármikor lehetőségük van, ha a mass kategóriában szerződnek. Ebben az esetben nem merül fel a MiIFID alkalmassági teszt kitöltetésének szükségessége. Az ügyfelek tehát a tájékoztatást követően szabadon döntik el, hogy milyen szolgáltatást kívánnak igénybe venni, és hogy kitöltik-e a MiFID alkalmassági tesztet.

A bank prudens működése, mint jogos érdek körében kifejtette, hogy nem távoli és eshetőleges veszély az, hogy a belé vetett közbizalom csökkenne, ha nem végezné el az adatkezelést és nem tartaná szem előtt ügyfelei érdekeit. Amint azt kimutatta, az ügyfelek rendkívül fontosnak tartják érdekeik védelmét és éveken keresztül pereskednek is, ha nem a leginkább nekik megfelelő befektetési szolgáltatást kapták. Kiemelte azt is, hogy a rá irányadó prudenciális követelményeknek teljes egészében megfelel, melyeket az MNB iránymutatásai írnak elő számára.

Sérelmezte, hogy az alperes a határozatában semmivel nem támasztotta alá, hogy az érdekmérlegelési teszttel kapcsolatos elvárásait miből vezette le. Jogszabályi kötelezettség ugyanis nem ír elő olyan tartalmat, melyet az alperes a határozat 70-78. bekezdéseiben rótt fel a számára. Az, hogy a jogos érdek szolgálhat-e az adatkezelés jogalapjául, kizárólag a lefolytatott érdekmérlegelési tesztben foglaltak határozzák meg; az, hogy az adatkezelő adatkezeléssel elért céljához fűződő érdeke meghaladja-e az érintettek alapvető jogaihoz és szabadságainak érvényesüléséhez fűződő jogát. A teszt lefolytatása során arra jutott, hogy az adatkezelés valóban szükséges a jogos érdek érvényesítéséhez, továbbá érdekeivel szemben nem élveznek elsőbbséget az ügyfelek érdekei, vagy alapvető jogai és szabadságai, így a jogos érdek megfelelő jogalapul szolgál az adatkezelésnek.

[28]

[29]

[30]

[31]

[32]

Fővárosi Törvényszék 106.K.700.570/2019/24. 1)

A szerződés teljesítése, mint jogalap kapcsán kiemelte, hogy az adatok a célpiac meghatározásához, a konkrét és megfelelő termék ajánlásához is szükségesek, de ezen túl nyilvánvaló, hogy a konkrét ügyletek, illetve szolgáltatás lebonyolításához is elengedhetetlenek. Téved az alperes, amikor arra hivatkozik, hogy az adatkezelőt terhelő jogi kötelezettség teljesítése miatt van szükség az adatkezelésre, és nem az ügyféllel létrejött szerződés teljesítése érdekében, és ezért a szerződéses jogalap nem alkalmazható, hiszen a két kötelezettség egymástól nem választható el. Mivel a szerződés részévé válnak a MiFID tesztek, ezért az adatok kezelése feltétlenül szükséges a szerződés teljesítéséhez.

A MIFID tesztekben felvett személyes adatok kezeléséről nyújtott tájékoztatás kapcsán előadta, hogy minden szinten az érintettek tudomására hozta az adataik kezelésével kapcsolatos információkat, így az adatvédelmi és adatkezelési tájékoztatóban, a befektetési szolgáltatási üzletszabályzatban, az ügyféltájékoztatóban, emellett a MiFID tesztekben, illetve a keretszerződésben is található utalás az adatkezelést érintő kérdésekre. A GDPR 29. cikke szerinti munkacsoport iránymutatása a 2016/679. rendelet szerinti átláthatóságra rögzíti, hogy az, hogy nem egy dokumentumban található az adatkezelési tájékoztatás, nem teszi jogsértővé a tájékoztatást, sőt mi több, kifejezetten elvárt a több szintű tájékoztató alkalmazása.

Hangsúlyozta, hogy a MiFID tesztek a keretszerződés részét képezik. A keretszerződés aláírásakor és a tesztek kitöltésekor az ügyfelek megfelelő tájékoztatást kapnak az adatkezelés jogalapjáról, illetve arról, hogy hol, milyen formában tudnak utána nézni a későbbiekben az adatkezelési tájékoztatónak. Mindezek alapján jogszabálysértő az alperes azon megállapítása, hogy a tájékoztatási gyakorlata nem felel meg a GDPR rendelkezéseinek.

A bírság kiszabásával kapcsolatban ellentmondásosnak tartotta a határozat 114. bekezdése szerinti megállapítást a 118. bekezdésben foglaltakkal. Míg az előbbi szerint a bírság kiszabása azért szükséges, mert nem első alkalommal sértette meg a GDPR rendelkezéseit utalva itt a NAIH/ számú ügyre -, addig az utóbbi értelmében a két ügyben eltérő körülmények alapján, különböző tevékenységek kapcsán került sor a GDPR ugyanazon rendelkezéseinek megsértésére, ezért a másik ügyben tett megállapítás a jelen eljárás tárgyával összefüggésben nem minősül releváns jogsértésnek, így azt sem enyhítő, sem súlyosító körülményként az alperes nem értékelte. Felhívta a figyelmet arra is, hogy a NAIH/ számú határozatot a Fővárosi Törvényszék a 101.K.700.456/2019/12.

számú ítéletével megsemmisítette, és az alperest új eljárásra és új határozat hozatalára utasította, mely szintén alátámasztja, hogy az alperes a bírság kiszabása során jogszerűtlenül járt el.

Hivatkozott arra, hogy a gyakorlatát a minél teljesebb körű, az ügyfelek igényeihez mind jobban igazodó eljárása érdekében folytatta, így alkalmazta a MiFID alkalmassági tesztek kitöltetését, amely meglehetősen költséges folyamat. Álláspontja szerint természetes, hogy a magas költségek árán kialakított és jogszerűnek tartott gyakorlata hosszabb ideig fennállt, mely körülmény súlyosító körülményként értékelése megalapozatlan. Sérelmezte, hogy az alperes az érintettek nagy számát is súlyosító körülményként értékelte. Véleménye szerint sem önmagában az érintettek konkrét száma, sem annak Magyarország lakosságához vagy a felperes lakossági ügyfeleinek számához viszonyítva nem minősülnek nagy számúnak az érintettek. Előadta, hogy több dokumentum is tartalmaz adatvédelmi rendelkezéseket, tehát minél több helyen igyekezett felhívni az ügyfelek figyelmét az adatkezelési gyakorlatra. A

GDPR 29. cikke szerinti munkacsoport iránymutatása szerint az átláthatóságról készített ajánlás kifejezetten javasolja a több szintű adatvédelmi nyilatkozatok, tájékoztatók használatát, hogy el lehessen kerülni az információ-túlterhelését. Az általa alkalmazott adatvédelmi tájékoztatás ezért súlyosító körülményként nem vehető figyelembe.

Eljárási szabálysértésként az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 3. § (3) bekezdését jelölte meg, utalva arra, hogy amikor kérte, hogy [33]

[34]

[35]

[36]

Fővárosi Törvényszék 106.K.700.570/2019/24. 10 az alperes a feltett kérdéseket pontosítsa, erre az alperes nem reagált, nem fogalmazott meg további kérdéseket, hogy a nyilatkozattételét elősegítse, hanem egyszerűen figyelmen kívül hagyta a kérelmét. Emellett az alperes a MiFID II. irányelvben, valamint az egyéb irányadó jogszabályokban megfogalmazott kötelezettségeket is figyelmen kívül hagyta és nem volt tekintettel a fokozott befektetővédelmi elvárásokra. Kifogásolta, hogy az alperes egyrészről az adatvédelmi szabályokat rendkívül tágan értelmezi, másrészről az egyéb irányadó jogszabályi kötelezettségeket, különösen azok kifejezett célját teljes egészében figyelmen kívül hagyja és nincs figyelemmel az egyes ágazati jogszabályok összeütközésére, ennek terhét kizárólag az adatkezelőre hárítja.

Az alperes a védiratában a felperes keresetének elutasítását és a felperes perköltségben marasztalását kérte. Álláspontja szerint a felperes alaptalanul állítja, hogy a célpiac meghatározásához feltétlenül szükséges az alkalmassági teszt lefolytatása, és az alkalmassági tesztben felvett adatok használata nélkül a célpiac vizsgálata nem végezhető el. Ezzel szemben fenntartotta, hogy nincs olyan jogszabályi előírás, amely kötelezővé tenné az alkalmassági teszt lefolytatását a kizárólag non-advisory szolgáltatást igénybe vevő prémium és private ügyfelek esetében. Hangsúlyozta, hogy a Bszt. 44. § kizárólag befektetési tanácsadás, vagy portfóliókezelés esetén teszi kötelezővé az alkalmassági teszt elvégzését.

Álláspontja szerint az MNB 10/2019. (IV. 15.) számú, a befektetési szolgáltatás nyújtása során irányadó előzetes tájékozódási kötelezettség megfelelő teljesítésének egyes szempontjairól szóló ajánlása egyértelműen rögzíti, hogy az ajánlás adatkezelési, adatvédelmi kérdésekben iránymutatást nem fogalmaz meg és e tekintetben semmilyen elvárást nem tartalmaz, az ajánlásban rögzített felügyeleti elvárások teljesítésével összefüggésben történő adatkezelés kizárólag a mindenkor hatályos adatvédelmi jogszabályi rendelkezések betartásával végezhető. Kiemelte, ez összhangban van a MIFID II. irányelv preambulumában foglaltakkal is. Hivatkozott az Európai Bizottságnak a 2014/65/EU Európai Parlamenti és Tanácsi Irányelvnek a befektetési vállalkozások szervezeti követelményei és működési feltételei, valamint az irányelv alkalmazásában meghatározott kifejezések tekintetében történő kiegészítéséről szóló, 2017/565/EU felhatalmazáson alapuló rendeletére, amely ugyancsak kimondja, hogy a befektetési vállalkozásoknak meg kell felelni a 95/46/EK irányelvnek és a 45/2001/EK rendeletnek. Mindezek alapján rögzítette, a felperest az ágazati szabályozás nem kötelezi arra, hogy a kizárólag non-advisory szolgáltatást igénybe vevő ügyfelek alkalmassági tesztben megadott személyes adatait kezelje, másrészt a személyes adatok kezelése vonatkozásában az általános adatvédelmi szabályok, a GDPR rendelkezései az irányadók.

Utalt arra, a GDPR rendelkezéseit szükségszerűen az Alapjogi Chartában foglalt alapvető jogok fényében, ezért szigorúan kell értelmezni. Megjegyezte, hogy a felperes saját belső szabályozása sem írja elő alkalmassági teszt elvégzését az advisory szolgáltatást igénybe nem vevő ügyfelek esetén, valamint a számú vezérigazgatói utasítás B.3.1. pontja is csak a megfelelési teszt kitöltését követeli meg.

Hangsúlyozta, a felperes állításával szemben az MNB-nek a tőkepiacokon irányadó termékjóváhagyásra vonatkozó követelményekhez kapcsolódó 25/2018. (VI. 5.) ajánlása nem támasztja alá azt, hogy a felperes minden esetben köteles lenne alkalmassági tesztet lefolytatni és annak során a felvett személyes adatokat kezelni, összhangban a Bszt. 17/A. §-ával, amelyből szintén nem következik az adatkezelés szükségessége. Álláspontja szerint az MNB

3/2017. számú válasza irreleváns, mivel az egy ügyfél kérésére történő értékesítés esetére vonatkozik, olyan esetre, amikor van alkalmassági nyilatkozat, amely a jelen esetben nem áll fenn.

Kiemelte, a felperes továbbra sem tudta konkrétumokkal alátámasztani, hogy miért ne tudná elvégezni a célpiac vizsgálatot, miért ne tudná meghatározni a célpiacokat, ha nem töltetné ki az alkalmassági tesztet az advisory szolgáltatást igénybe nem vevő ügyfelekkel. Ezt nem is

[37]

[38]

[39]

[40]

[41]

Fővárosi Törvényszék 106.K.700.570/2019/24. 11 tudja megindokolni a felperes, hiszen a 25/2008. (VII. 5.) számú MNB ajánlás 7. pontja is rögzíti, hogy a célpiac kialakító általi azonosítása elsősorban a termékre vonatkozó elméleti ismereteken és tapasztalatokon alapulhat, ez is alátámasztja, hogy a célpiac azonosításához nem szükséges az alkalmassági teszt kitöltése. A határozatban foglaltakat fenntartotta arra vonatkozóan is, hogy a teszt kitöltésének elmaradása a célpiac ellenőrzését sem akadályozza.

A felperes által hivatkozott versenyhátránnyal és felügyeleti intézkedés kiváltásával összefüggésben utalt az Európai Unió Bírósága C-708/18. számú ítéletére, amelyben az EUB kimondta a jogos érdeken alapuló adatkezelések kapcsán, hogy a személyes adatok kezelőjének az adatkezelést indokoló jogos érdekkel kell rendelkeznie, ezen érdeknek pedig az adatkezelés időpontjában létezőnek és ténylegesnek kell lennie, az nem lehet elméleti ebben az időpontban. Ennek megfelelően elfogadhatatlannak tartotta azt a felperesi érvelést, mely szerint azért kell kitölteni az alkalmassági tesztet és azért kell kezelni a felvett személyes adatokat, mert a prémium és private ügyfelek a keretszerződés alapján a jövőben, egyszer, esetlegesen majd igénybe vehetik az advisory szolgáltatást. Álláspontja szerint ez a felperesi magatartás készletező adatkezelést valósít meg, mivel az általa meghatározott cél egy bizonytalan jövőbeni esemény, amely nem felel meg sem a célhoz kötöttség, sem az adattakarékosság elvének, a GDPR 5. cikk (1) bekezdés b) és c) pontjában foglaltaknak.

Hangsúlyozta, ha a jogalkotó szükségesnek ítélte volna, akkor az alkalmassági tesztet ezekben az esetekben is előírta volna az ügyfelek előzetes tájékoztatása során, azonban ilyen döntést nem hozott.

Véleménye szerint az arányosság biztosítása érdekében az adatkezelő köteles ellenőrizni, hogy van-e alternatívája az adott adatkezelésnek és hogy az adott alternatíva ugyanolyan hatékony-e és esetlegesen kisebb beavatkozással járhat-e, mert amennyiben kisebb beavatkozással járó, ugyanolyan hatékony adatkezelés is választható, abban az esetben az adatkezelőnek azt kell alkalmaznia. A jelen esetben a felperes nem vizsgálta meg alternatívaként, hogy más módon kezelhetők-e kevésbé intruzív módon az érintettek adatai.

Kifogásolta, hogy a felperes semmivel nem támasztotta alá a közbizalom csökkenésével kapcsolatos állítását, erre az általa hivatkozott adatok alkalmatlanok, egyébiránt a közbizalom csökkenése távoli és eshetőleges veszély, amelynek elkerülésére való törekvés nem teszi szükségessé az adatkezelést.

Fenntartotta a határozatában foglaltakat arra vonatkozóan, hogy az érdekmérlegelési tesztben nem került világosan és részletesen kifejtésre, hogy a felperes mit ért belső biztonsági követelményeken, vagy prudenciális követelményeken, így az érintettek számára sem lehet átlátható és világos, hogy a felperes érdekei felülírják azon jogukat, hogy maguk rendelkezzenek személyes adataikról. Az érdekmérlegelési teszt nem támasztja alá, hogy az adatkezelés szükséges a prudens működéshez, hogy miért biztosítható jobban a prudens működés az adatkezelés folytatásával, mint annak hiányában.

Kiemelte, hogy az Európai Unió Bíróságának joggyakorlata során az ítéleteiben azonosította, hogy a GDPR 6. cikk (1) bekezdés f) pontja milyen feltételekhez köti a személyes adatok kezelésének jogszerűségét. E körben hivatkozott a C-13/16. számú ítélet 28. pontjára, a C- 40/17. számú ítélet 95. pontjára, illetve a C-708/18. számú ítélet 40. pontjára. Az ítéletekben az EUB rámutatott, hogy az adatkezelés szükségességére vonatkozó feltételt illetően nem mellőzhető, hogy a személyes adatok védelmének elve alóli kivételeknek és ezen korlátozásainak a feltétlenül szükséges határokon belül kell maradniuk, illetve hogy az adatkezelés szükségességére vonatkozó feltételt az adatok minimalizálására elvvel együttesen kell vizsgálni, mely szerint a személyes adatok gyűjtése és/vagy kezelése célja szempontjából megfelelőnek, relevánsnak és nem túlzott mértékűnek kell lenni. Utalt arra, a felperes nem igazolta, hogy maradéktalanul fennállnak a jogos érdeken alapuló adatkezelés feltételei. Az érdekmérlegelési teszt, illetve a felperes nyilatkozatai nem támasztották alá az adatkezelés

[42]

[43]

[44]

[45]

Fővárosi Törvényszék 106.K.700.570/2019/24. 12 szükségességét, így a felperes nem hivatkozhat jogszerűen az adatkezelés jogalapjaként a jogos érdekre.

A szerződés teljesítése körében hivatkozott a GDPR 29. cikke szerint létrehozott adatvédelmi munkacsoport 6/2014. számú véleményére, amely akként fogalmazott, hogy a szerződéses jogalapot szigorúan kell értelmezni. A jogalap nem alkalmazható olyan helyzetekre, ahol az adatkezelés valójában nem a szerződés teljesítéséhez szükséges, hanem azt az adatkezelő egyoldalúan az érintettre erőlteti. Fenntartotta, hogy kizárólag azok a személyes adatok kezelhetők szerződéses jogalapon, melyek elengedhetetlenek a szerződés teljesítéséhez. E körbe nem sorolhatók a megfelelési és az alkalmassági tesztben foglalt adatok. Álláspontja szerint a keresetben hivatkozott megoldás azt eredményezi, hogy az érintettek számára nyújtott tájékoztatás nem felel meg az átláthatóság elvének, mivel a tájékoztatásnak tömörnek, könnyen. átláthatónak, könnyen hozzáférhetőnek, könnyen érthetőnek kell lennie. Az átláthatóság elvéből következik, hogy az érintett az adatkezelő által kezelt személyes adatok kapcsán külön-külön azonosítani tudja, hogy azok kezelésére milyen jogalapon kerül sor, ezt a felperesnek a vegyes jogalapról történő tájékoztatása nem teszi lehetővé. Fenntartotta, hogy a tájékoztatási kötelezettségének a felperes nem a GDPR 12. és 13. cikkének megfelelően tett eleget. Egyrészt nem adott tájékoztatást az adatkezelés jogalapjáról, és az adatkezeléshez fűződő, az érintettek érdekeihez és alapvető jogaihoz képest elsődleges jogos érdekéről, másrészt tájékoztatási kötelezettségének széttagoltan, töredezetten, több dokumentumban, szétszórtan tett eleget. A jelen esetben az érintettek az érdekmérlegelés tartalmáról nem kaptak tájékoztatást, így az érintettek nem tudnak meggyőződni arról, hogy az adatkezelés valóban arányosan korlátozza-e a jogaikat. Tájékoztatás hiányában az adatalany nem ismeri az adatkezelés körülményeit, annak jogszerű, vagy jogellenes voltát. Utalva az Európai Unió

Bírósága C-201/14. Bara ítélet 33. pontjára, megismételte, hogy a személyes adatok kezelése által érintett személyek tájékoztatása azért is fontos, mert ez alapozza meg az adatokhoz való hozzáférésre és helyesbítésre irányuló joguk, illetve az adatok kezelésével szembeni tiltakozáshoz való joguk gyakorlását.

Kiemelte, hogy az adatvédelmi bírság kiszabásának körében ellentmondás nem áll fenn, a NAIH számú ügyben megállapított jogsértést valóban figyelembe vette a bírság kiszabásának indokoltsága kérdésében, de a hivatkozott 101.K.700.456/2019/12. számú ítélet a határozat meghozatalának időpontjában még nem született meg. Hangsúlyozta, hogy az ítélet nem azt állapította meg, hogy a felperes nem követett el jogsértést, valamint az adatvédelmi bírság kiszabásának csak egyik indoka volt a NAIH/ számú határozat, emellett más körülményeket is mérlegelt. A mérlegelés szempontjairól, azok értékeléséről számot adott, értékelése kapcsán jogszabálysértést nem követett el, a felperes érvelése a bírság kiszabása és annak összege tekintetében is alaptalan.

Fenntartotta, hogy a jogsértés folyamatos jellegű volt a vizsgált időszakban, 2018. május 25.

és 2019. március 26. között folyamatosan fennállt, ezzel összefüggésben nem releváns, hogy a felperes mivel indokolja a jogsértés tanúsítását. Utalt a Fővárosi Törvényszék

2.Kf.650.096/2017/5. számú ítéletére, amely már az 5 hónapos jogsértő gyakorlatot is huzamosnak értékelte és súlyosító körülményként vette figyelembe. Véleménye szerint súlyosító körülmény az is, hogy a jogsértés több ezer főt érint. Előadta, hogy a felperes által hivatkozott 29. cikk szerinti munkacsoport adatvédelmi tisztviselőkkel kapcsolatos iránymutatása nem a bírság, hanem a GDPR 37. cikke körében foglalkozik az érintettek számával, az nem a nagymértékű, illetve nagy számban történő adatkezeléssel kapcsolatos, a GDPR-nak a bírsággal kapcsolatos 83. cikke körében a jogsértéssel érintettek száma bír jelentőséggel.

Állítása szerint a tényállás tisztázási kötelezettségének maradéktalanul eleget tett, a vonatkozó

[46]

[47] [48]

[49]

[50]

[51]

Fővárosi Törvényszék 106.K.700.570/2019/24. 13 jogszabályi rendelkezések helyes értelmezése és alkalmazása alapján helyesen tárta fel az ügyben irányadó releváns tényállást. Kifogásolta, hogy a felperes nem mutatta be, hogy amennyiben az általa hivatkozott jogszabálysértések nem következtek volna be, akkor az mennyiben eredményezett volna számára kedvezőbb döntést.

A bíróság döntése és annak jogi indokai

A bíróság a fenti tényállást a felperes keresetlevele, az alperes védirata, a felek által a per során benyújtott írásbeli beadványok, valamint a rendelkezésre álló közigazgatási iratok alapján állapította meg.

A felperes keresete nem alapos.

A törvényszék az alperes határozatának jogszerűségét eljárási és anyagi jogi szempontból, a

Kp. 85. § (1) bekezdése alapján a kereseti kérelem korlátai között, a Kp. 4. § (1) és (3)

bekezdéseiben, illetve 85. § (2) bekezdésében foglalt rendelkezésre figyelemmel a közigazgatási tevékenység megvalósításának időpontjában fennálló tények alapján vizsgálta.

Az alperes az adatvédelmi bírság kiszabásáról mérlegelési jogkörében döntött, így a Kp. 85. §

(5) bekezdésében foglalt rendelkezés alapján a mérlegelési jogkörben megvalósított közigazgatási cselekmény jogszerűsége körében azt is vizsgálni kellett, hogy az alperes hatáskörét a mérlegelésre való felhatalmazásának keretei között gyakorolta-e, a mérlegelés szempontjai és azok okszerűsége a közigazgatási cselekményt tartalmazó iratból megállapíthatóak-e.

A törvényszék a keresetet — a koronavírus miatt elrendelt veszélyhelyzetre tekintettel, a veszélyhelyzet ideje alatt érvényesülő egyes eljárásjogi intézkedésekről szóló 74/2020. (III.

31.) Korm. rendelet (Veir.) 41. § (1) és (5) bekezdései alapján — tárgyaláson kívül bírálta el.

Tekintettel arra, hogy a felperes a keresetlevelében eljárásjogi jogszabálysértésre is hivatkozott, a törvényszék elsőként azt vizsgálta meg, hogy az alperes az eljárása során elkövetett-e olyan, a döntés érdemére kiható eljárási jogszabálysértést, amely — a Legfelsőbb

Bíróságnak a Kúria által is fenntartott 1/2011. (V. 9.) KK-véleménye szerint — önmagában a határozat hatályon kívül helyezésére ad alapot. Ilyen eljárásjogi jogszabálysértés megállapítása esetén ugyanis az anyagi jogszabálysértések vizsgálatára nem is kerülhet sor.

A felperes eljárási jogszabálysértésként az Ákr. 3. § (3) bekezdésének (helyesen: 3. §-ának)

megsértését jelölte meg, amely alapján a hatóság hivatalból állapítja meg a tényállást, határozza meg a bizonyítás módját és terjedelmét, valamint e törvény keretei között felülvizsgálhatja a saját és a felügyelete alá tartozó hatóság döntését és eljárását. A felperes szerint e rendelkezés a hatóság teljes körű tényállás tisztázási kötelezettségét írja elő, amelyet az alperes azzal sértett meg, hogy nem vette figyelembe a felperes nyilatkozatában foglaltakat, továbbá nem pontosította a felpereshez intézett kérdéseket, noha a felperes ezt kifejezetten kérte. A törvényszék mindenekelőtt rögzíti, hogy az Ákr. hivatkozott rendelkezése a hivatalbóliság elvét fogalmazza meg, és nem a hatóság tényállás tisztázási kötelezettségét írja elő, amelyet valójában az Ákr. 62. §-a szabályoz. A tényállás tisztázási kötelezettség elmulasztása kapcsán továbbá a felperes nem jelölte meg konkrétan, hogy szerinte az alperes milyen bizonyítási cselekményeket mulasztott el elvégezni, vagy milyen bizonyítékokat mellőzött. E körben csak általánosságban hivatkozott arra, hogy az alperes nem vette figyelembe a nyilatkozataiban foglaltakat. Ezzel szemben a törvényszék megállapította, hogy az alperes az eljárása során részletesen elemezte és értékelte mind a felperes által tett nyilatkozatok tartalmát, mind az azokban hivatkozott nemzetközi és magyar pénzügyi felügyeleti állásfoglalások, iránymutatások, ajánlások tartalmát, és határozatában részletesen indokolt magyarázatát adta annak, hogy a felperes nyilatkozataiban foglaltakat miért nem fogadta el az adatkezelés GDPR 6. cikkének megfelelő jogalapjaként, illetve hogy [521]

[53]

[54]

Fővárosi Törvényszék 106.K.700.570/2019/24. 14 a felperes által hivatkozott ajánlások véleménye szerint miért nem támasztják alá a felperes álláspontját. Mindezek alapján a felperes alaptalanul állította, hogy az alperes nem vette figyelembe a nyilatkozataiban foglaltakat. Az a körülmény pedig, hogy az alperes a felperesi nyilatkozatokban foglaltakat nem fogadta el, és az adatkezelés jogalapja kapcsán a felperestől eltérő következtetésre jutott, nem jelenti a tényállás tisztázási kötelezettség elmulasztását. A felperes nem jelölte meg konkrétan, hogy milyen kérdések pontosításának elmaradása és milyen módon hátráltatta az alperes tényállás tisztázási kötelezettségének teljesítését, illetve hogy mindez hogyan hatott ki a döntés érdemére. Konkrét állítások hiányában a felperesi érvelés súlytalan, az alperes tényállás tisztázási kötelezettségének teljesítése e körben nem volt vizsgálható, így az eljárásjogi szabálysértés megállapítására sem kerülhetett sor.

A felek által nem volt vitatott, hogy a felperes az advisory szolgáltatást igénybe nem vevő prémium és private ügyfeleinek az alkalmassági tesztben felvett személyes adatait nem jogszabályi kötelezettsége alapján kezeli, mivel a Bszt. 44. § (1) bekezdése szerint az alkalmassági teszt felvétele csak akkor kötelező, ha az ügyfél befektetési tanácsadási vagy portfóliókezelési szolgáltatást vesz igénybe. A törvényszék kiemeli, hogy a Bszt. 44. § (1)

bekezdése kifejezetten úgy rendelkezik, hogy a befektetési vállalkozás keretszerződés esetében a megbízás végrehajtását megelőzően teljesíti az ügyfélre vonatkozó tájékozódási kötelezettségét, azaz az alkalmassági tesztet ekkor veszi fel. E jogszabályi rendelkezésből egyértelműen következik, hogy az alkalmassági teszt kitöltetésére csak akkor kerülhet sor, ha az ügyfél a megbízási keretszerződés megkötését követően advisory ügylet végrehajtására irányuló konkrét megbízást ad.

A felperes alappal hivatkozott arra, hogy az ügyfelekre vonatkozó minél részletesebb, minél szélesebb körű tájékozódás és adatfelvétel célja az, hogy a befektetési vállalkozások az ügyfeleik számára olyan egyediesített, minél inkább ügyfélre szabott termékeket tudjanak ajánlani, melyek a lehető legtöbb szempont figyelembevételével megfelelnek az adott ügyfél egyéni igényeinek és kockázatviselő képességének. Ez egyidejűleg szolgálja a befektetők védelmét, illetve a befektetési szolgáltatók ahhoz fűződő jogos érdekét, hogy a velük szemben támasztott elvárásoknak mindenben megfeleljenek. Ugyanakkor a törvényszék hangsúlyozza, hogy mind a jogszabályi előírások, mind a felügyeleti hatósági elvárások, ajánlások csak abban az esetben értelmezhetők, ha egy ügyfél ténylegesen olyan szolgáltatást vesz igénybe, olyan ügyletet köt, olyan terméket vásárol, amelynek kapcsán a befektetési szolgáltató a számára a fenti védelmi funkcióját be tudja tölteni. Mindazok az ügyfelek, akik keretszerződést kötnek ugyan a felperessel, de annak alapján később advisory szolgáltatást nem vesznek igénybe tőle, nem szorulnak arra a fokozott védelemre, amelynek biztosításához a felperesnek az alkalmassági tesztben felvett adatokra lenne szüksége. A törvényszék egyetért az alperessel abban, hogy a keretszerződés biztosította elméleti lehetőség az advisory szolgáltatások igénybevételére nem teszi indokolttá az alkalmassági teszt kötelező felvételét a keretszerződés megkötésével egyidejűleg, figyelemmel arra is, hogy a felperes prémium ügyfeleinek mintegy 68,490-a, private ügyfeleinek pedig mintegy 23,596-a nem kötött a vizsgált időszakban advisory tranzakciót. Mindezek alapján az ilyen típusú ügylet megkötésének elméleti lehetősége nem alkalmas a magánszemélyek személyes adatainak kezeléséhez fűződő felperesi jogos érdek alátámasztására, sem a befektetők védelme, sem a felperessel szembeni jogi kötelezettségek teljesítése szempontjából.

A törvényszék egyetért az alperessel abban, hogy semmilyen hátrányt nem jelentene a felperes számára, ha a keretszerződés megkötésekor választási lehetőséget biztosítana a premium és private ügyfélkategóriába sorolt ügyfeleinek arra vonatkozóan, hogy az advisory ügyletek jövőbeni, esetleges megkötése esetére kívánják-e előre kitölteni az alkalmassági tesztet annak ismeretében, hogy az milyen előnyökkel járhat számukra (gyors lebonyolítást igénylő, időszenzitív ügyletek). Amennyiben a felperes csupán az ahhoz hozzájárulást adó

[55]

[56]

Fővárosi Törvényszék 106.K.700.570/2019/24. 15 ügyfelek személyes adatait kezelné, úgy kisebb beavatkozással járó, személyes hozzájáruláson alapuló adatkezelést valósítana meg, amely megfelelne a GDPR 6. cikk (1)

bekezdés a) pontjának. Ezzel szemben a felperes által jogszabályi kötelezettség nélkül bevezetett kötelező adatkezelés - pusztán a célszerűségre történő hivatkozással - nem lehet jogszerű. A törvényszék megjegyzi, hogy a bizonytalan jövőbeni eseményre alapított adatkezelés célszerűsége sem nyer igazolást mindazokban az esetekben, amikor az ügyfelek utóbb nem kötnek advisory ügyletet, amelyhez a felvett adatok kezelésére lett volna szükség.

Nem foghat helyt a felperes azon hivatkozása, miszerint a Bszt. 17/A. §-a szerinti célpiac vizsgálat elvégzéséhez van feltétlenül szüksége az alkalmassági tesztben felvett adatokra.

Rámutat a törvényszék, hogy a célpiac vizsgálat során a befektetési szolgáltatónak a termék oldaláról kell meghatároznia azt a célzott ügyfélkört, amely igényeinek, céljainak, elvárásainak az adott termék a lehető legjobban megfeleltethető. A célpiac meghatározásához nem konkrét ügyfelek egyedi adatai szükségesek, hanem a termék sajátosságaiból kiindulva, a termék oldaláról kell meghatározni azon ügyfelek csoportját, általános jellemzőit, akiknek az adott termék a lehető leginkább megfelel. Adott termék célpiaca, azaz a termék által célzott ügyfelek köre anélkül meghatározható, hogy a szolgáltató a konkrét ügyfeleinek konkrét adatait kezelné. Az ügyfél adataira a szolgáltatónak abban az esetben van szüksége, ha az ügyfél konkrét terméket kíván vásárolni, amelynek kapcsán tisztáznia kell, hogy az ügyfél a termék célpiacába tartozik-e. Ekkor kell összevetni a termék célpiacát az ügyfél jellemzőivel, annak megállapítása végett, hogy azok egymásnak megfelelnek-e. Kiemeli a törvényszék, hogy az adott termék célpiacának meghatározása szempontjából nyilvánvalóan nem lehet szükség olyan ügyfél adatainak kezelésére, aki soha nem vesz az adott termék-kategóriába tartozó terméket. Egy non-advisory szolgáltatás keretében értékesített termék célpiacának meghatározásához pedig nem lehet szükség az alkalmassági tesztben felvett adatokra, mivel a non-advisory termék célpiaca a megfelelőségi tesztben felvett adatokhoz igazodóan állapítható meg. Ebből következően helytállóan állította az alperes, hogy a célpiac korlátozott ellenőrzése alkalmassági teszt hiányában ugyanúgy elvégezhető az advisory szolgáltatást nem vásárló premium és private ügyfelek esetében, mint a mass ügyfelek esetében. E három kategóriába tartozó ügyfelek ugyanis e tekintetben mindaddig azonosan kezelendők, amíg az előbbiek advisory szolgáltatást nem vesznek igénybe. A fokozott befektetővédelem, az azt szolgáló szélesebb körben előírt adatkezelés, továbbá a szintén annak érdekében alkalmazott célpiac vizsgálati eljárás is mind a vásárolt termék típusához, kockázatosságához, összetettségéhez, az egyedi ügylet sajátosságaihoz igazodik, és nem az ügyfél besorolásához, amely a ténylegesen végrehajtott ügyleteitől független. Ennek következtében a célpiac vizsgálati kötelezettség teljesítése sem jogi kötelezettség teljesítéseként, sem ügyfélvédelem, vagy prudens eljárás címen nem alapozza meg a felperes jogos érdekére alapított adatkezelést.

A törvényszék ezt követően áttekintette a felperes keresetében hivatkozott, a tőkepiacon irányadó termékjóváhagyásra vonatkozó követelményekhez kapcsolódó 25/2018. (VII. 5.)

MNB ajánlást (a továbbiakban: ajánlás) a tekintetben, hogy az annak való megfelelés érdekében a felperes jogos érdekébe tartozónak fogadható-e el a felperesi adatkezelés. Az ajánlás 7. pontja szerint a piac — kellő részletességgel történő — azonosítása jogszabályban rögzített kötelezettség. Tekintve, hogy a kialakító rendszerint nem áll közvetlen kapcsolatban a potenciális végső ügyfelekkel, a célpiac kialakító általi azonosítása elsősorban a termékre vonatkozó elméleti ismereteken és tapasztalatokon alapulhat. A 8. pont szerint a potenciális célpiac azonosítására a kialakítónak öt kategóriát javasolt használnia, melyek a következők:

az ügyfelek típusa, ismeretek és tapasztalat, veszteségviselési képesség, kockázattűrés, valamint az ügyfél céljai és igényei. A 11. pont szerint a potenciális célpiac azonosítását a termék jellegét (összetettségét, kockázat/nyereség profilját, likviditását, innovatív jellegét)

figyelembe véve kell elvégezni. A 26. pont szerint a forgalmazónak a tényleges célpiacot kell

[57]

[58]

[59]

Fővárosi Törvényszék 106.K.700.570/2019/24. 16 meghatároznia, figyelembe véve a kialakító által meghatározott potenciális célpiac jelentette korlátokat. A forgalmazónak javasolt a tényleges célpiac meghatározását a saját ügyfélbázisára vonatkozó információkra és ismeretekre alapoznia. A 27. pont szerint ehhez javasolt az ügyfélbázis mélyreható elemzése, melynek során javasolt felhasználni minden észszerűen hasznos és elérhető információt, adatot, amely a rendelkezésére áll, illetve amely befektetési és kiegészítő szolgáltatások révén összegyűjthető. A 33-38. pontok tartalmazzák a célpiac azonosítás kapcsolódását a befektetési szolgáltatásokhoz. A 34. pont kiemeli, hogy a nyújtott szolgáltatások befolyásolják a tényleges célpiac előzetes értékelését, mivel annak mélysége függ az ügyfelekről rendelkezésre álló információk mennyiségétől, ami viszont függ a nyújtott szolgáltatások típusától és az azok nyújtására vonatkozó üzletviteli szabályoktól.

Különösen a befektetési tanácsadásra és a portóliókezelésre igaz, hogy más szolgáltatásokhoz képest több információ megszerzését teszik lehetővé az ügyfelekről. E két szolgáltatás közös jellemzője, hogy a megfelelőségi vagy az execution-only szolgáltatásokhoz képest a befektetők fokozottabb védelmét teszik lehetővé. A 35. pont szerint a forgalmazónak a termékkínálata meghatározásakor ajánlott kiemelten körültekintően eljárnia, ha az általa nyújtott szolgáltatás típusa nem teszi lehetővé számára a célpiac mélyreható elemzését. A 37.

pont szerint figyelembe véve, hogy az ügyfelek számára biztosított védelem szintje csökken, amennyiben a rendelkezésre álló információ nem elegendő a célpiac teljes értékelésének elvégzéséhez, a forgalmazó úgy is dönthet, hogy lehetővé teszi az ügyfelek számára a tanácsadás nélküli tevékenységet, miután figyelmezteti őket arra, hogy nincs módja az ilyen termékekkel való összeegyeztethetőségük teljes körű értékelésére.

A törvényszék a fentiek alapján megállapította, hogy a felperes alaptalanul állította, hogy az ajánlásban foglaltaknak való megfelelés érdekében kezeli azon ügyfelek alkalmassági tesztben felvett adatait, akik nem vesznek igénybe advisory szolgáltatást. Az ajánlás ugyanis az ügyfélnek nyújtott szolgáltatások típusához igazodóan egyértelmű különbséget tesz az adatkezelés köre és mélysége tekintetében, és kifejezetten kiemeli, hogy csak a befektetési tanácsadásra és a portóliókezelésre igaz, hogy más szolgáltatásokhoz képest több információ megszerzését, és így magasabb szintű befektetővédelmet tesznek lehetővé. Az ajánlás tehát a

Bszt. 44. §-ában foglaltakhoz igazodik, ahhoz képest nem ír elő szélesebb körű információszerzési és adatkezelési kötelezettséget. Mindezek alapján a törvényszék alaptalannak találta azt a felperesi hivatkozást is, mely szerint a rá irányadó pénzügyi felügyeleti, illetve adatvédelmi előírások (elvárások) egymással ellentétben állnak, és az adatvédelmi hatóság egyoldalúan csak az adatvédelmi szempontokra volt figyelemmel.

A törvényszék áttekintette a befektetési termékek termékirányítás alapelveiről szóló számú, illetve az ügyfélbesorolás, valamint a befektető alapú és a befektetés alapú tanácsadás irányelveiről szóló számú vezérigazgatói utasításokat, aminek eredményeként egyrészről megállapította, hogy a számú vezérigazgatói utasítás B.3.1. pontja az advisory szolgáltatásokat igénybe nem vevő ügyfelek részére nem írja elő az alkalmassági teszt, csak a megfelelési teszt kitöltését. Másrészről a számú vezérigazgatói utasítás B.4. pontja a célpiaci és forgalmazási stratégia ellenőrzése körében a minimálisan ellenőrizendő adatokat ahhoz igazodóan határozza meg, hogy az ügyfél advisory vagy non-advisory befektetési szolgáltatást vesz igénybe. Kiemeli, hogy a célpiac ellenőrzés korlátozottságára tekintettel a non-advisory szolgáltatás körében az ügyfeleket előzetesen figyelmeztetni kell, hogy adott esetben korlátozott célpiaci ellenőrzésre kerül sor. Mindezek alapján a fenti vezérigazgatói utasítások is a Bszt. 44. §-ának megfelelő előírásokat tartalmaznak, ahhoz képest szélesebb körű információszerzést, adatkezelést, fokozottabb befektetővédelmet nem írnak elő és a felperestől nem várnak el.

A törvényszék ezt követően a felperes szerződés teljesítése jogalapra (GDPR 6. cikk (1) bekezdés b) pontja) történő hivatkozását vizsgálta. A felperes szerint az alkalmassági tesztben

[60]

Fővárosi Törvényszék 106.K.700.570/2019/24. 17 felvett adatok szükségesek a befektetési szolgáltatási keretszerződésben foglalt szolgáltatások teljesítéséhez. Ezzel szemben a törvényszék egyetértett az alperessel abban, hogy egyrészről e jogalap csak akkor állapítható meg, ha a felperesnek konkrét szerződés teljesítéséhez van szüksége meghatározott adatokra, ami nem áll fenn akkor, amikor a keretszerződést kötő ügyfél utóbb nem köt advisory ügyletet. Másrészről, azon ügyfelek esetében, akik a keretszerződés megkötését követően advisory szolgáltatást vesznek igénybe, az alkalmassági teszt kitöltetése a felperes jogszabályi kötelezettsége, ami kizárja a szerződés teljesítése jogalap megállapíthatóságát. Ezzel szemben nem fogadható el az a felperesi érvelés, mely szerint, mivel a MIFID tesztek a keretszerződés részévé válnak, ezért a szerződés teljesítéséhez feltétlenül szükséges a tesztekben felvett adatok kezelése. Amint ugyanis az a korábbiakban kifejtésre került, a keretszerződés megkötéséhez önmagában nem szükséges az alkalmassági teszt kitöltetése, így az abban szereplő adatok kezelése sem.

A törvényszék ezt követően azt vizsgálta, hogy alaposak voltak-e az alperesnek a felperesi érdekmérlegelési teszttel kapcsolatban tett észrevételei. Az érdekmérlegelési teszttel kapcsolatban a törvényszék mindenekelőtt megjegyzi, hogy annak kelte 2019. január 2., tehát a felperes a vizsgált időszakban 2018. május 25-től mintegy 7 hónapig nem rendelkezett érdekmérlegelési teszttel. A tesztben rögzítésre került, hogy a felperes a prémium és private ügyfeleivel minden esetben kötelezően kitölteti az alkalmassági tesztet, noha ilyen jogszabályi kötelezettsége nincs. Ennek céljaként a jogszabályoknak és a jogi előírásoknak való megfelelést, a befektetők védelmét és a prudens működést, jogalapjaként a felperes jogos érdekét jelölte meg. Amint azt a törvényszék a fentiekben kifejtette, a felperes jogos érdeke egyik hivatkozott céllal összefüggésben sem állapítható meg. A teszt 2. pontja szerint a megjelölt cél elérésének nem lehet egyéb módja, ami szintén nem helytálló, mivel amennyiben a felperes az ügyfeleinek választási lehetőséget biztosítana, és csak a hozzájárulást adó prémium és private ügyfelek , többlet-adatait" kezelné, az kisebb alapjog korlátozással járó, azonos hatékonyságú intézkedés lenne. Az arányossági teszt részben a felperes kifejti, hogy az ügyfelek számára az adatkezelés átlátható, mivel az érintetteknek a

Bszt. vonatkozó rendelkezései szerint kötelező jelleggel kell megadni a személyes adataikat, amiről a felperes megfelelően tájékoztatja őket. Ez a megállapítás csak részben, kizárólag az advisory ügyfelekre vonatkozóan igaz. Ugyanígy csak az advisory ügyfelekre nézve helytálló, hogy az adatok megadása a célpiac vizsgálat elvégzése érdekében egyébként is kötelező lenne (arányossági teszt 1. pont), hogy nem jár negatív hatással az adatkezelés az érintettekre nézve, mivel személyes adataikra a célpiac vizsgálat elvégzése miatt egyébként is szükség lenne.

(arányossági teszt 2. pont), illetve hogy az adatkezelés közepes kockázatú, mert nem kerül kezelésre olyan személyes adat, amelyet ne kellene jogszabályi kötelezettség folytán egyébként is az adatkezelő rendelkezésére bocsátani (arányossági teszt 3. pont). Mindemellett a törvényszék kiemeli, hogy önmagában véve értelmezhetetlen egy adatkezelési tevékenység közepes kockázata, ha semmilyen támpont nincs megfogalmazva arra vonatkozóan, hogy mi minősül alacsony vagy magas kockázatú adatkezelésnek. Az arányossági teszt 11. pontja szerint továbbá az érintettek befolyást gyakorolhatnak az adatkezelésre és az azzal szembeni tiltakozási joguk biztosított, míg valójában az ügyfelek nem élhetnek választási lehetőséggel arra vonatkozóan, hogy a felperes csak a jogszabályi kötelezettségének megfelelő személyes adataikat kezelje, vagy azt meghaladó adatkezelést végezzen. Mivel az előző pontok szerinti tájékoztatás alapján az ügyfelek arról értesülnek, hogy adataik felvétele kötelező, ezért nem is szereznek tudomást arról, hogy a többlet-adatkezelés ellen tiltakozhatnának. Az érdekmérlegelés körében (arányossági teszt 13. pont) a felperes rögzíti, hogy az adatkezelés semmilyen negatív hatással nem jár az érintettekre nézve, miközben nagy előnnyel jár a felperesre nézve, és az adatkezelésből az érintetteknek is előnyei származnak. Ezen összegző megállapítás mindazokon a rész-megállapításokon alapul, melyek a fentiek szerint csak

[61]

[62]

Fővárosi Törvényszék 106.K.700.570/2019/24. 18 részben helytállóak. Mindezek alapján a törvényszék megállapította, hogy az alperes alappal fogalmazta meg kételyeit az érdekmérlegelési tesztben foglaltakkal szemben, és helytállóan állapította meg, hogy az abban foglaltak nem alkalmasak az adatkezelés jogalapjának alátámasztására.

A törvényszék ezután a személyes adatok kezelésével kapcsolatban nyújtott felperesi tájékoztatás tömörségét, átláthatóságát, érthetőségét, világosságát, közérthetőségét - mint a

GDPR. 12. cikkében megfogalmazott követelmények érvényesülését - vizsgálta. A felperes e körben elsősorban arra hivatkozott, hogy a több dokumentumban elhelyezett, többszintű tájékoztatás nemhogy nem jogszabályellenes, de kifejezetten megfelel a 2016/679.

rendeletben megfogalmazott átláthatósági követelményeknek. A felperesi tájékoztatással kapcsolatban a törvényszék kiemeli, hogy nem eredményezi a tájékoztatás átláthatatlanságát önmagában az, ha az adatkezelő több dokumentumban helyezi el az adatkezelésre vonatkozó információkat, ebben az esetben azonban a különböző dokumentumokban . szereplő tájékoztatásokból az ügyfelek számára könnyen érthető, átlátható módon kell összeállni egy olyan összképnek, amely a személyes adatok kezelése vonatkozásában tartalmazza a GDPR

13. cikkében foglalt valamennyi információt. Ezekből az ügyfél számára egyértelműen ki kell tűnnie, hogy ki, milyen adatát, milyen időtartamban, milyen jogalapon kezeli, illetve hogy kérheti-e adatainak helyesbítését, törlését, vagy kezelésének korlátozását, valamint hogy tiltakozhat-e az adatok kezelése ellen. A GDPR 13. cikk (2) bekezdés e) pontja értelmében az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet az (1) bekezdésben foglalt információk mellett arról is tájékoztatja, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatot megadni, továbbá hogy milyen lehetséges következményekkel járhat az adatszolgáltatás elmaradása, A törvényszék a felperes

Adatvédelmi és Adatkezelési Tájékoztatójának, a befektetési szolgáltatásokkal kapcsolatos

Ügyféltájékoztatójának, valamint Befektetési Szolgáltatási Üzletszabályzatának áttekintése alapján megállapította, hogy a több dokumentumban elhelyezett tájékoztatások összességükben sem nyújtanak világos, átlátható tájékoztatást arról, hogy a felperes az advisory szolgáltatást igénybe nem vevő prémium és private ügyfelek alkalmassági tesztben felvett személyes adatait nem jogszabályi kötelezettsége, hanem jogos érdeke alapján kezeli, illetve arról, hogy mi ez a jogos érdek. Ennek következtében az érintett ügyfelek nem szereznek tudomást arról sem, hogy személyes adataik megadása nem kötelező, illetve hogy az adatkezelés ellen tiltakozhatnak. Nem foghatott helyt tehát az a felperesi érvelés, mely szerint az ügyfelek szabadon dönthetnek arról, hogy a mass ügyfélkategóriában szerződnek és ekkor nem merül fel az alkalmassági teszt kitöltésének szükségessége. Az ügyfeleknek ilyen okból a mass kategóriába sorolása ugyanis éppen azon a — nem kellően részletezett — tájékoztatáson alapulna, mely szerint a prémium és private ügyfeleknek minden esetben kötelező az alkalmassági teszt kitöltése. Mindezek alapján a felperes alaptalanul állította, hogy a tájékoztatása átlátható és teljes körű a személyes adatok kezelésére vonatkozóan.

Végül a törvényszék az adatvédelmi bírság kiszabásának jogszerűségét vizsgálta meg, melyet a felperes mind jogalapjában, mind összegszerűségében kifogásolt. Az alperes a bírság kiszabása körében a GDPR 83. § (2) bekezdése és az Info tv. 75/A. §-a alapján mérlegelte az ügy összes körülményét, ezen túl figyelemmel volt arra, hogy a felperes nem első alkalommal sértette meg a GDPR rendelkezéseit. Mindezek alapján állapította meg, hogy a feltárt jogsértések esetében a figyelmeztetés nem arányos és nem visszatartó erejű szankció, így bírság kiszabása szükséges. A törvényszéknek hivatalból tudomása van arról, illetve arra a felperes is hivatkozott, hogy az alperes számú határozatát a Fővárosi

Törvényszék a 101.K.700.456/2019/12. számú ítéletével megsemmisítette és az alperest új

[63]

[64]

[65]

[66]

Fővárosi Törvényszék 106.K.700.570/2019/24. 19 eljárás lefolytatására és új határozat hozatalára kötelezte. Ennek következtében a bírság kiszabásának alapjául szolgáló második körülmény - a jogsértés ismételt elkövetése - nem áll fenn. Tekintettel azonban arra, hogy a bírság kiszabásának alapjául nem kizárólag az ismételt jogsértés, hanem az ügy összes körülményének mérlegelése szolgált, a bírság kiszabása az ügy összes körülménye alapján akkor is indokolt, ha a felperes által elkövetett ismételt jogsértés nem állapítható meg.

A kiszabott adatvédelmi bírság mértéke kapcsán a felperes sérelmezte az alperes által figyelembe vett súlyosító körülményeket. Véleménye szerint a jogsértés folyamatos jellege nem értékelhető ilyenként, hiszen természetes, hogy a magas költségek árán kialakított, általa jogszerűnek tartott gyakorlatát fenntartotta. A törvényszék ezzel szemben rámutat, hogy a jogsértés folyamatos jellege kapcsán nincs relevanciája annak, hogy a felperes az adatkezelési és tájékoztatási gyakorlatát jogszerűnek tartotta, sem annak, hogy az eljárás kialakítása költséges volt. A jogsértés folyamatos fennállása objektív tény, amit alátámaszt, hogy az a teljes vizsgált időszakban, 10 hónapon keresztül fennállt, amit a felperes sem vitatott. A felperes szerint az érintett ügyfelek száma sem konkrétan, sem Magyarország lakosságához vagy a felperes lakossági ügyfeleinek számához viszonyítottan nem nagy, ezért ez sem értékelhető súlyosító körülményként. A törvényszék ezzel szemben hangsúlyozza, hogy az érintett ügyfelek száma mind konkrétan ( fő), mind pedig az összes prémium és private ügyfelek számához képest arányaiban jelentős (a prémium ügyfelek 68,496-a, a private ügyfelek 23,590-a). A jogosulatlan adatkezeléssel érintett ügyfelek számát nyilvánvalóan nem

Magyarország lakosságához viszonyítottan, hanem a felperes teljes prémium és private ügyfélköréhez viszonyítottan kell vizsgálni, hiszen az alkalmassági teszt jogszabályi kötelezettség nélküli felvétele őket érintette, és közülük nagy százalékban voltak, akik advisory szolgáltatást nem vettek igénybe, tehát az adatkezelés az ő tekintetükben utólag is jogalap nélkülinek bizonyult. A felperes szerint az általa nyújtott tájékoztatás nem volt átláthatatlan, ezért ez sem lett volna súlyosító körülményként értékelhető. Ezzel szemben a törvényszék a [61] bekezdésben foglaltak alapján megállapította, hogy a felperes tájékoztatása a személyes adatok kezelésére vonatkozóan nem volt átlátható, ezért az alperes ezt is alappal értékelte súlyosító körülményként a felperes terhére. Az alperes tehát mérlegelési jogkörben eljárva hatáskörét a jogszabályi felhatalmazásnak megfelelően gyakorolta, a mérlegelés szempontjai és azok okszerűsége a határozatból megállapítható volt és a felperes által előadottak nem voltak alkalmasak ennek cáfolatára.

Mindezek alapján a törvényszék megállapította, hogy az alperes határozata a kereseti kérelem által vitatott körben nem jogszabálysértő, ezért a felperes keresetét — mint alaptalant — a Kp. 88. § (1) bekezdés a) pontja alapján elutasította.

Záró rész

A felperes pervesztes lett, ezért a Kp. 35. §-a alapján alkalmazandó, a polgári perrendtartásról szóló 2016. évi CXXX. törvény (a továbbiakban: Pp.) 83. § (1) bekezdése alapján köteles az alperes perköltségét megtéríteni. A bíróság az alperes által benyújtott költségjegyzéken felszámított 200.000,- forint perköltséget a 32/2003. (VIII. 22.) IM rendelet 3. § (6) bekezdése alapján mérsékelte, és annak összegét 100.000,- forintban állapította meg figyelemmel arra, hogy a tényleges munkavégzéssel 20 munkaórát látott arányban állónak, tekintettel a beadványok számára, terjedelmére, az ügy bonyolultságára és a tárgyaláson kívüli elbírálás tényére.

A törvényszék a Pp. 102. § (1) bekezdése alapján a pervesztes felperest kötelezte az illetékekről szóló 1990. évi XCIII. törvény (a továbbiakban: Itv.) 62. § (1) bekezdés h) pontja alapján feljegyzett, az Itv. 45/A. § (1) bekezdésében meghatározott 30.000,- Ft tételes kereseti

Fővárosi Törvényszék 106.K.700.570/2019/24. 20 illeték megfizetésére. [671 Az ítélet elleni fellebbezés lehetőségét a Kp. 99. § (1) bekezdésében foglalt rendelkezés zárja ki.

Budapest, 2020. június 11.

dr. Serestyén Katalin s.k. dr. Sík Magdolna s.k. dr. Surányi Katalin s.k. a tanács elnöke előadó bíró bíró