Орган по защите данных Венгрии (NAIH): обработка персональных данных, косвенно идентифицирующих субъекта

Ügyszám: NAIH-384-7/2022. Tárgy: kérelmet elutasító határozat

Előzmény: NAIH-7818/2021.

HAT ÁRO ZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] kérelmező (a továbbiakban: Kérelmező 1) és […] (a továbbiakban: Kérelmező 2) (a továbbiakban együtt: Kérelmezők) […] ügyvéd (a továbbiakban: Ügyvéd) meghatalmazással igazolt jogi képviselő útján 2021. október 19. napján benyújtott kérelme alapján a Kérelmezők személyes adatait tartalmazó 1999. október 28. napján kelt megállapodással kapcsolatos jogellenes adatkezelés tárgyában a […] Zrt.-vel (a továbbiakban: Kérelmezett) szemben indult adatvédelmi hatósági eljárásban az alábbi döntést hozza: I.1. A Hatóság a Kérelmezők arra irányuló kérelmét, hogy a Hatóság állapítsa meg, hogy a Kérelmezett megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) 6. cikk (1) bekezdését, jogellenes adatkezelés esetén a Hatóság kötelezze a Kérelmezettet a jogellenesen kezelt személyes adatok törlésére, elutasítja.

I.2. A Hatóság hivatalból m e g á l l a p í t j a , hogy a Kérelmezett megsértette a GDPR 5. cikk (2) bekezdését, a GDPR 14. cikk (1) – (2) bekezdését, továbbá a GDPR 12. cikk (4) bekezdését.

I.3. A Hatóság hivatalból kötelezi a Kérelmezettet, hogy a bírósági felülvizsgálat kezdeményezésére irányadó keresetindítási határidő lejártát, illetve felülvizsgálat kezdeményezése esetén a bíróság döntését követő 15 napon belül igazolja a Kérelmezők felé, hogy mely GDPR szerinti jogalapra hivatkozással végzi a személyes adataik tekintetében az adatkezelést, és amennyiben jogos érdekre hivatkozik, abban az esetben jelölje meg, hogy miért fűződik jogos érdeke a Kérelmezők az indokolás IV.1. pontjában meghatározott személyes adatainak kezeléséhez és ezen érdek a Kérelmezők alapvető jogaival szemben elsőbbséget élvez-e, valamint a GDPR 14. cikk (2) bekezdésének b) pontja alapján tájékoztassa a Kérelmezőket, hogy milyen célból és milyen jogos érdek miatt szükséges személyes adataik kezelése, ezen érdek a Kérelmezők alapvető jogaival szemben mi alapján élvez elsőbbséget, valamint tájékoztassa a Kérelmezőket az őket megillető tiltakozási jogról, valamint arról, hogy azt hogyan gyakorolhatja, amennyiben jogos érdekre hivatkozással folytat adatkezelést, továbbá küldje meg a Hatóság részére a Kérelmezők személyes adatainak kezelésével összefüggésben készített érdekmérlegelését, ha jogos érdekre hivatkozással végzi az adatkezelést!

I.4. A Hatóság hivatalból kötelezi a Kérelmezettet, hogy amíg nem tesz eleget az I.3. pontban foglalt kötelezésnek, addig korlátozza a Kérelmezők fenti körbe tartozó személyes adatainak a kezelését. Az I.3. - I.4. pont szerinti kötelezettség teljesítését a Kérelmezettnek az intézkedés megtételétől számított 15 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt igazolnia a Hatóság felé. A kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását. A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. A Hatóság felhívja a Kérelmezett figyelmét, hogy a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg!

INDOKOLÁS

I. Az eljárás menete

I.1.A Kérelmezők kérelmére az Infotv. 60. § (1) bekezdése alapján 2021. október 20. napján adatvédelmi hatósági eljárás indult a Kérelmezettel szemben. I.2.A Hatóság a Kérelmezettet végzésében nyilatkozattételre hívta fel a tényállás tisztázása érdekében, hivatkozással az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 63. §-ra, melyre a Kérelmezett válasza 2021. november 18. napján érkezett meg a Hatósághoz (NAIH-7818-3/2021. sz. irat). I.3. A Hatóság a NAIH-384-2/2022. sz. iratában értesítette arról a Kérelmezőket hogy a bizonyítási eljárás befejeződött, és erre hivatkozással felhívta őket arra, hogy élhetnek iratbetekintési és nyilatkozattételi jogukkal. A Kérelmezők nem küldtek ezzel kapcsolatban nyilatkozatot a Hatósághoz.

II. Tényállás tisztázása

II.1.A Kérelmezők a kérelmükben előadták, hogy a Kérelmezett jogosulatlan adatkezelést végez az alábbiak miatt. A Kérelmezők 1999. október 18. napján megállapodást kötöttek […] (a továbbiakban: Tulajdonostársak) az osztatlan közös tulajdonban álló […] hrsz alatt nyilvántartott, természetben a […] ingatlan használatával kapcsolatban.

1 A közigazgatási per kezdeményezésére a NAIH_KO1 elnevezésű űrlap szolgál: NAIH KO1 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki.

A Tulajdonostársak és a Kérelmezők megállapodása alapján a Kérelmezett térítés ellenében antennát helyezett el a Kérelmezők hozzájárulása és engedélye nélkül a megnevezett ingatlan tetőrészén. A Kérelmezők állítása szerint a Tulajdonostársak a Kérelmezett rendelkezésére bocsátották a Kérelmezők és a Tulajdonostársak között létrejött megállapodást, mely tartalmazza a Kérelmezők személyes adatait. A Kérelmezett ezt a megállapodást tárolja, továbbá felhasználta a Tulajdonostársakkal kötött szerződésével összefüggésben, a Kérelmezők azonban erről nem kaptak külön – az általános adatvédelmi rendeletben előírt megfelelő - tájékoztatást, csupán egy ügyvédi felszólításra írt válaszlevelében hivatkozott rá a Kérelmezett. A Kérelmezők csak ebből a levélből szereztek tudomást arról, hogy a személyes adataikat a Kérelmezett kezeli. A Kérelmezők a fentiekkel kapcsolatban az alábbiakat kérték a Hatóságtól:

állapítsa meg a jogellenes adatkezelés tényét, kötelezze a Kérelmezettet a jogellenesen kezelt személyes adatok törlésére, rendelkezzen bírság kiszabásáról. A Kérelmezők az állításaik alátámasztására az alábbi dokumentumokat csatolták be másolatban:

a Kérelmezett „válasz ügyvédi felszólításra” tárgyú – 2021.09.01. napján kelt válaszlevele, az Ügyvéd a Kérelmezők képviseletében írt – 2021. 08.09. napján kelt – felszólító levele, a Kérelmezők és a Tulajdonostársak 1999. október 28. napján kelt megállapodása az osztatlan közös tulajdonban álló ingatlan használatáról. II.2. A Kérelmezett NAIH-7818-3/2021. sz. iratban iktatott nyilatkozata szerint: A Hatóság felhívására a Kérelmezett határidőben megküldte a válaszát, és dokumentumokat csatolt a nyilatkozata alátámasztására. A Kérelmezett birtokában van a Tulajdonosársak által 1999. október 18. napján kötött megállapodás másolata (a továbbiakban: Másolat). A Kérelmezett szerint a Kérelmezők személyes adatait nem kezeli. A Másolat 2020.06.30. napjával, jogutódlás következtében került a [...] Zrt.-től a Kérelmezett birtokába, amikor a Másolaton a Kérelmezett anonimizálta [....] kívüli társtulajdonosok alábbi személyes adatait:

teljes név, anyja neve, születés helye, időpontja, lakcím, a Másolat 2. oldalának jobb alsó sarkában további személyes adatokat tartalmazó rész. A Kérelmezett a nyilatkozata alátámasztására csatolta a Másolatról készült másolati példányt. Az Ügyvéd 2021. október 11. napján kelt, a Kérelmezetthez 2021. október 18. napján beérkezett levélben a Kérelmezők jogi képviselejőként adattörlési kérelmet terjesztett elő, melyre a Kérelmezett a GDPR 12. cikk (3) bekezdésében meghatározott egy hónapos válaszadási határidőn belül tájékoztatta a Kérelmezők jogi képviselőjét. A Kérelmezett másolatban mellékelte a hivatkozott válaszlevelét állításai alátámasztására. A Kérelmezett a Kérelmezők személyes adatait harmadik személyek részére nem továbbította.

III. Alkalmazott jogszabályi rendelkezések

A GDPR-t kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. A GDPR hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint a GDPR-t az ott megjelölt kiegészítésekkel kell alkalmazni. A GDPR (47) preambulum bekezdés alapján az adatkezelő - ideértve azt az adatkezelőt is, akivel a személyes adatokat közölhetik - vagy valamely harmadik fél jogos érdeke jogalapot teremthet az adatkezelésre, feltéve hogy az érintett érdekei, alapvető jogai és szabadságai nem élveznek elsőbbséget, figyelembe véve az adatkezelővel való kapcsolata alapján az érintett észszerű elvárásait. Az ilyen jogos érdekről lehet szó például olyankor, amikor releváns és megfelelő kapcsolat áll fenn az érintett és az adatkezelő között, például olyan esetekben, amikor az érintett az adatkezelő ügyfele vagy annak alkalmazásában áll. A jogos érdek fennállásának megállapításához mindenképpen körültekintően meg kell vizsgálni többek között azt, hogy az érintett a személyes adatok gyűjtésének időpontjában és azzal összefüggésben számíthat-e észszerűen arra, hogy adatkezelésre az adott célból kerülhet sor. Az érintett érdekei és alapvető jogai elsőbbséget élvezhetnek az adatkezelő érdekével szemben, ha a személyes adatokat olyan körülmények között kezelik, amelyek közepette az érintettek nem számítanak további adatkezelésre. Mivel a jogalkotó feladata, hogy jogszabályban határozza meg, hogy a közhatalmi szervek milyen jogalapon kezelhetnek személyes adatokat, az adatkezelő jogszerű érdekét alátámasztó jogalapot nem lehet alkalmazni, a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. Személyes adatoknak a csalások megelőzése céljából feltétlenül szükséges kezelése szintén az érintett adatkezelő jogos érdekének minősül. Személyes adatok közvetlen üzletszerzési célú kezelése szintén jogos érdeken alapulónak tekinthető.

A GDPR 4. cikk 1. pontja szerint „személyes adat: az azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.”

A GDPR 4. cikk 2. pontja szerint „adatkezelés: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.”

A GDPR 4. cikk 7. pontjának értelmében „adatkezelő: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.”

A GDPR 5. cikk (2) bekezdés alapján az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).

A GDPR 6. cikk (1) bekezdés értelmében a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;

b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;

c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;

e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;

f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.

A GDPR 12. cikk (4) bekezdés alapján ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. GDPR 17. cikk (1) – (3) bekezdései alapján (1) Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll: a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték; b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja; c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezelése ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen; d) a személyes adatokat jogellenesen kezelték; e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell; f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor. (3) Az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges: a) a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából; b) a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából; c) a 9. cikk (2) bekezdése h) és i) pontjának, valamint a 9. cikk (3) bekezdésének megfelelően a népegészségügy területét érintő közérdek alapján; d) a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben az (1) bekezdésben említett jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez.

A GDPR 77. cikk (1) bekezdés alapján az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban -, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.

A GDPR 58. cikk (2) bekezdés alapján a felügyeleti hatóság korrekciós hatáskörében eljárva:

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel;

Az Infotv. 60. § (1) A személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az Infotv. 71. § (1) bekezdés alapján a Hatóság eljárása során - az annak lefolytatásához szükséges mértékben és ideig - kezelheti mindazon személyes adatokat, valamint törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatokat, amelyek az eljárással összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. Az Infotv. 75/A. § alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Az Ákr. 10. § (1) bekezdés alapján az ügyfél az a természetes vagy jogi személy, egyéb szervezet, akinek (amelynek) jogát vagy jogos érdekét az ügy közvetlenül érinti, akire (amelyre) nézve a hatósági nyilvántartás adatot tartalmaz, vagy akit (amelyet) hatósági ellenőrzés alá vontak. Az Ákr. 35. § (1) bekezdés alapján a kérelem az ügyfél olyan nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében.

IV. Döntés:

IV.1. Kérelmezők személyes adatainak kezelése

A Kérelmezett állítása szerint a jogelődjétől vette át a Kérelmezők és a Tulajdonostársak között létrejött megállapodást, melyet a Kérelmezett ezt követően anonimizált, tehát – álláspontja szerint - nem kezeli a Kérelmezők személyes adatait. A Hatóság a Kérelmezett és a Kérelmezők nyilatkozata és az általuk másolatban becsatolt anonimizált megállapodásból, továbbá a Kérelmezők részére küldött „Válasz ügyvédi felszólításra” levélből megállapította, hogy a Kérelmezett nyilatkozata ellentmondásos, mivel kezeli a Kérelmezők alábbi – GDPR 4. cikk 1. pont szerinti - személyes adatait:

a. azt a tényt, hogy a Kérelmezők osztatlan közös tulajdonnal rendelkeznek […] hrsz alatt nyilvántartott, természetben a […] ingatlanon, b. azt a tényt, hogy 1999. október 28-án a Tulajdonostársakkal a fent nevezett ingatlan hasznosításával összefüggésben megállapodtak, mely szerint a Kérelmezők kizárólagos használatába kerül „a bejárattól balra eső 2 ajtós, 2 férőhelyes 61 m2 alapterületű garázs”. Az a. és b. pont szerinti személyes adatok tárolását, mely a GDPR 4. cikk 2. pont alapján adatkezelésnek minősül, a Kérelmezők által becsatolt a Kérelmezett által az Ügyvédnek küldött 2021.09.01. napján kelt „Válasz ügyvédi felszólításra” tárgyú levele támasztja alá, mely az alábbiakat tartalmazza: „[…] és […], illetve ügyfelünk, [….] és felesége tulajdonában lévő ingatlan valóban osztatlan közös tulajdonban van, nem társasházi lakás. Az ügyfelei és ügyfelünk között 1999. október 28.

napján kötött megállapodás rendelkezik a […] „kivett lakóház, udvar” megnevezésű ingatlan használatáról, mely szerint [….] és felesége kizárólagos használatába kerül a felülépítménynek az épülettel szemben állva és az utcafontról nézve, a közös tűzfaltól balra eső épületrésze és ezen túlmenően a közös bejáró feletti elkerített terület, valamint ezen épületrészhez tartozó kerítéssel ellátott kert is.” A fentiek alapján tehát annak ellenére, hogy a Kérelmezett állítása szerint a Kérelmezők és a Tulajdonostársak között létrejött megállapodást a Kérelmezett anonimizálta, a Kérelmezett a Kérelmezők a. és b. pont szerinti személyes adatait továbbra is kezeli, ugyanis tárolja azokat. 1999. október 28-án a Tulajdonostársak és a Kérelmezők az ingatlanuk hasznosításával összefüggésben megállapodtak, mely szerint a Kérelmezők kizárólagos használatába kerül „a bejárattól balra eső 2 ajtós, 2 férőhelyes 61 m2 alapterületű garázs”. A GDPR 4. cikk 1. pont alapján ugyanis személyes adat az azonosított természetes személyre vonatkozó információ. Ez esetben a Kérelmezők az azonosított természetes személyek, az információ pedig az, hogy az ingatlanukkal összefüggésben megállapodtak a Tulajdonostársakkal arról, hogy a Kérelmezők kizárólagos használatába kerül „a bejárattól balra eső 2 ajtós, 2 férőhelyes 61 m2 alapterületű garázs”.

IV.2. Adatkezelés célja és jogalapja

A Hatóság felhívta arra a Kérelmezettet, hogy amennyiben kezeli a Kérelmezők személyes adatait, akkor igazolja azoknak célját és jogalapját. A Kérelmezett arra hivatkozva, hogy nem kezeli a Kérelmezők személyes adatait, nem igazolta a személyes adatok kezelésének célját és jogalapját. A GDPR 5. cikk (2) bekezdésében megfogalmazott „elszámoltathatóság” elve írja elő, hogy az adatkezelőnek képesnek kell lennie annak igazolására, hogy az adatkezelése megfelel a GDPR rendelkezéseinek, tehát azt, hogy adatkezelése jogszerű. Ez alól a kötelezettsége alól az adatkezelőt az sem menti fel, ha abban a tévedésben van, hogy nem kezel személyes adatokat, mivel az adatkezelő felelős az adatkezelése megszervezésért. Az adatkezelő legfontosabb jellemzője az, hogy érdemi döntéshozatali jogkörrel rendelkezik, és felelősséggel tartozik az adatkezelés valamennyi, az általános adatvédelmi rendeletben rögzített kötelezettség teljesítéséért. A GDPR 6. cikk (1) bekezdése írja elő azt, hogy mely jogalapok alapján végezhető adatkezelés, melyek közül a Kérelmezett egyet sem igazolt. Ez azonban nem feltétlenül jelenti azt, hogy a Kérelmezők személyes adatainak kezelésére semmiféle jogalapja nincs, mivel a jogszerűen végzett tevékenysége keretében – jogelődjétől - jutott hozzá egy bérleti szerződésben meghatározott, a Kérelmezők és Társtulajdonosok közös tulajdonát képező ingatlan vonatkozásában a Kérelmezők személyes adataihoz, és a tevékenységével (a bérleti szerződéssel) összefüggésben hivatkozhat a Kérelmező személyes adatai tárolásával kapcsolatban jogszabályi előírásra vagy jogos érdekére, utóbbi esetben ha azt a GDPR (47) preambulum bekezdésben előírtak szerint megfelelő érdekmérlegeléssel alátámasztja. A Kérelmezett és a Társtulajdonosok ugyanis bérleti szerződést kötöttek, melyre a Kérelmezők és a Társtulajdonosok közötti megállapodás és a bérleti szerződés alapján az ingatlanra telepített antenna-állomás felszerelése miatti jogvitákra is figyelemmel kellett/kell lenniük. Tekintettel arra, hogy a Kérelmezett nem jelölte meg az adatkezelése célját és jogalapját, illetve nem igazolta azt, a Hatóság hivatalból megállapította, hogy a Kérelmezett megsértette a GDPR 5. cikk (2) bekezdését.

IV.3. Adatkezeléssel kapcsolatos tájékoztatás és érintetti kérelem

IV.3.1.Tekintettel arra, hogy a Kérelmezők személyes adatait nem a Kérelmezőktől szerezte meg a Kérelmezett, hanem a jogelődjétől, ezért az adatkezelés tényéről a GDPR 14. cikk alapján tájékoztatást kellett volna a Kérelmezettnek nyújtania. Tekintettel arra, hogy ennek nem tett eleget, ezért megsértette a GDPR 14. cikk (1) – (2) bekezdését. IV.3.2. A Kérelmezők és a Kérelmezett is hivatkozott arra, hogy a személyes adataik törlését kérték a Kérelmezettől, azonban a Kérelmezett arra hivatkozott az érintetti kérelemre adott válaszban, hogy nem kezeli azokat. Törlésre irányuló érintetti kérelem teljesítésének megtagadása esetén az érintettet a GDPR 12. cikk (4) pont alapján indokolással ellátott levélben kell erről tájékoztatni, az indokolásban meg kell jelölni azt, mi alapján került visszautasításra a kérelem, ha jogszabály kötelező előírása miatt nem törölhető, akkor annak megjelölésével, ha jogos érdek fennállása a törlés akadálya, akkor a jogos érdeket kell megjelölni. Tekintettel ara, hogy a Kérelmezett téves tájékoztatást adott az érintetti kérelemre, amikor arra hivatkozott a törölni kért személyes adatokat nem kezeli, ezért nem tett eleget a GDPR 12. cikk (4) bekezdése szerinti kötelezettségének.

IV.4.Jogellenes adatkezelés megállapítására és személyes adatok törlésének elrendelésére vonatkozó kérelem

A IV.2. pontban írtakra tekintettel a Hatóság elutasította a Kérelmezők kérelmének arra irányult részét, mely szerint állapítsa meg a Hatóság, hogy a Kérelmezett a Kérelmezők személyes adatait jogellenesen kezeli, továbbá azt, hogy a Kérelmezők személyes adatai törlésére utasítsa a Kérelmezettet. Ehelyett a Hatóság arra utasította a Kérelmezettet, hogy igazolja a Kérelmezők felé az adatkezelése jogalapját a Kérelmezők az indokolás IV.3. pontjában meghatározott személyes adatainak kezelése vonatkozásában, továbbá ha jogos érdekre hivatkozik, akkor azt, hogy ezen érdek a Kérelmezők alapvető jogaival szemben elsőbbséget élvez-e, valamint jogos érdekre történő hivatkozása esetén a GDPR 14. § (2) bekezdésének b) pontja alapján tájékoztassa a Kérelmezőket, hogy milyen célból és milyen jogos érdek miatt szükséges személyes adataik kezelése, ezen érdek a Kérelmezők alapvető jogaival szemben mi alapján élvez elsőbbséget, valamint tájékoztassa a Kérelmezőket az őket megillető tiltakozási jogról, valamint arról, hogy azt hogyan gyakorolhatják.

IV.5. Adatvédelmi bírság kiszabására irányuló kérelem

IV.5.1.A Hatóság elutasította a Kérelmezők adatvédelmi bírság kiszabására vonatkozó kérelmét, mivel e jogkövetkezmény alkalmazása a Kérelmezők jogát vagy jogos érdekét közvetlenül nem érinti, számukra a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen – a közérdek érvényesítésének körébe eső - jogkövetkezmény alkalmazása tekintetében a bírságkiszabás vonatkozásában a Kérelmezők nem minősülnek ügyfélnek az Ákr. 10.§ (1) bekezdése alapján, illetve mivel az Ákr. 35.§ (1) bekezdésének nem felel meg, e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető. IV.5.2.A Hatóság ugyanakkor hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében bírság kiszabása nem arányos és nem szükséges, tekintettel arra, hogy a Kérelmezett GDPR jogsértésének megállapítására korábban nem került sor és az okozott jogsérelem csekély jelentőségű, mivel - amint a Hatóság a fentiekben már kifejtette - a megállapított jogsértés nem feltétlenül jelenti azt, hogy a Kérelmezők személyes adatainak kezelésére semmiféle jogalapja nincs, mivel a jogszerűen végzett tevékenysége keretében – jogelődjétől - jutott hozzá egy bérleti szerződésben meghatározott, a Kérelmezők és Társtulajdonosok közös tulajdonát képező ingatlan vonatkozásában a Kérelmezők személyes adataihoz, és a tevékenységével (a bérleti szerződéssel) összefüggésben hivatkozhat erre.

IV.6. Jogkövetkezmények

IV.6.1. A Hatóság a Kérelmezők kérelmét elutasítja és hivatalból a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezettet, mert megsértette a

- GDPR 5. cikk (2) bekezdését, - GDPR 14. cikk (1) – (2) bekezdést, továbbá - GDPR 12. cikk (4) bekezdését. A Hatóság a GDPR 58. cikk (2) bekezdés g) pontjának megfelelően hivatalból elrendelte az alábbiakat:

a Kérelmezett igazolja a Kérelmezők felé, hogy mely GDPR szerinti jogalapra hivatkozással végzi a személyes adataik tekintetében az adatkezelést, és amennyiben jogos érdekre hivatkozik, abban az esetben jelölje meg, hogy miért fűződik jogos érdeke a Kérelmezők az indokolás IV.1. pontjában meghatározott személyes adatainak kezeléséhez és ezen érdek a Kérelmezők alapvető jogaival szemben elsőbbséget élveze, valamint a GDPR 14.cikk (2) bekezdésének b) pontja alapján a Kérelmezett tájékoztassa a Kérelmezőket, hogy milyen célból és milyen jogos érdek miatt szükséges személyes adataik kezelése, ezen érdek a Kérelmezők alapvető jogaival szemben mi alapján élvez elsőbbséget, valamint tájékoztassa a Kérelmezőket az őket megillető tiltakozási jogról, valamint arról, hogy azt hogyan gyakorolhatja, amennyiben jogos érdekre hivatkozással folytat adatkezelést, továbbá IV.6.2. Tekintettel arra, hogy a Hatóság túllépte az Infotv. 60/A.§ (1) bekezdése szerinti ügyintézési határidőt, ezért 10.000 Ft, azaz tízezer forint illeti meg a Kérelmezőket – választásuk szerint – bankszámlára utalással vagy postai utalvánnyal az Ákr. 51. § (1) bekezdés b) pontja alapján.

V. Egyéb kérdések:

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. A Hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek. kelt: Budapest, az elektronikus aláírás szerint

Dr. Péterfalvi Attila elnök c. egyetemi tanár