Орган по защите данных Венгрии (NAIH): непредоставление видеозаписей

Ügyszám: NAIH/2019/1859

Tárgy: kérelemnek részben helyt adó határozat

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt […] ([…]) kérelmező (a továbbiakban: Kérelmező) kérelmére a […] ([…]) (a továbbiakban: Kérelmezett) szemben indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza: I. A Hatóság a Kérelmezett hozzáférési és adatkezelés korlátozásához való joga sérelmének megállapítására irányuló kérelmének részben helyt ad az alábbiak szerint:

I.1. Megállapítja, hogy a Kérelmezett nem tájékoztatta a Kérelmezőt az érintetti joggyakorlásra irányuló kérelmei beérkezésétől számított egy hónapon belül a kérelmei nyomán megtett intézkedésekről, valamint az intézkedések elmaradásának okairól. I.2. Megállapítja, hogy a Kérelmezett megsértette a Kérelmező hozzáférési jogát azáltal, hogy

• nem bocsátotta a Kérelmező rendelkezésére a kamerafelvételek olyan másolatát, amelyeken a harmadik személyek és az üzleti titoknak minősülő információk kitakarásra kerültek; • nem jelölte meg a Kérelmező kérelmére a pontos jogszabályi hivatkozásokat, amelyekre hivatkozással megőrizte és kezeli a Kérelmező személyes adatait; • nem tájékoztatta a Kérelmezőt arról, hogy személyes adatai kezelése folyamatban van-e nála a […], a […] és a […] által felvett jegyzőkönyvekben; • nem adott a Kérelmező számára másolatot a 2017. június 30-án kelt körlevélről. I.3. Megállapítja, hogy a Kérelmezett megsértette a Kérelmező adatkezelés korlátozásához való jogát azzal, hogy az erre irányuló kérelme ellenére a Kérelmezett a jogi igények előterjesztéséhez szükséges időn belül törölt legalább három kamrafelvételt. II. A kérelmet az I. pontban nem említett részei tekintetében elutasítja, mivel a Kérelmezett nem sértette meg a Kérelmező hozzáférési jogát akkor, amikor

• nem került sor a kamerafelvételek Kérelmező általi megtekintésére, valamint a hangfelvételek visszahallgatására, mivel annak elmaradása neki nem felróható; • nem készített listát az általa kezelt hangfelvételekről a Kérelmező által meghatározott tartalommal; • nem adott újabb tájékoztatást a Kérelmezőnek a hangfelvételekre vonatkozó, általános adatkezelési gyakorlatáról; • nem tájékoztatta a Kérelmezőt a szerződései eltűnésének körülményeiről az erre vonatkozó információk hiányában; • nem biztosított a […], a […], a […] és a […] által felvett jegyzőkönyvek eredeti példányaiba betekintést, valamint nem adott azokról másolatot.

III. Hivatalból utasítja a Kérelmezettet, hogy a határozat véglegessé válásától számított 30 napon belül

• adjon másolatot a Kérelmezőnek a kamerafelvételekről olyan módon, hogy azokon a harmadik személyek, valamint az üzleti titoknak minősülő adatok kitakarásra kerülnek; • adjon másolatot a Kérelmezőnek a 2017. június 30-án kelt körlevélről, illetve annak üzleti titkot és harmadik személyek személyes adatait nem tartalmazó kivonatáról! IV. Hivatalból a jogellenes adatkezelés miatt a Kérelmezettet a jelen határozat véglegessé válásától számított 30 napon belül

700.000 Ft, azaz hétszázezer forint adatvédelmi bírság megfizetésére kötelezi.

* * * A III. pont szerinti intézkedések megtételét a Kérelmezettnek a határozat véglegessé válásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt igazolnia a Hatóság felé. A bírságot a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2019/1859. BÍRS. számra kell hivatkozni. Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg.

A III. pont szerinti kötelezettség, illetve a bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását.

A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az eljárás menete és a tényállás tisztázása

(1)

I.1. A Kérelmező 2019. január 15-én kérelmet nyújtott be a Magyar Nemzeti Bankhoz, amely áttétel útján 2019. február 1-jén érkezett a Hatósághoz.

(2) A Kérelmező a kérelemben előadta, hogy 2018 június 14-én, 2018. augusztus 22-én és 2018. november 5-én érintetti joggyakorlásra irányuló kérelmeket (a továbbiakban együttesen: kérelmek) nyújtott be a Kérelmezetthez, azonban ezen kérelmeire nem, vagy csak részben kapott választ.

(3) A Kérelmező kérelmei összetettek voltak, egyes kérelmek ismétlődtek, illetve nagyon hasonlóak voltak a különböző érintetti joggyakorlásra irányuló kérelmekben.

(4) A Kérelmező a 2018. június 14-én kelt kérelmében tájékoztatást kért arról, hogy a Kérelmezett milyen kamerafelvételeket kezel róla, azok pontosan hol és mikor készültek, illetve azokat az ő adatkezelés korlátozására vonatkozó kérelme vagy a jogos érdeke alapján kezeli a Kérelmezett. Ezen kérelmét megismételte a 2018. augusztus 22-én és november 5-én kelt kérelmeiben is. A Kérelmező 2018. augusztus 22-én kelt kérelmében négy, november 5-én kelt kérelmében tizenegy kamerafelvétel vonatkozásában kívánt élni az adatkezelés korlátozásához való jogával, és kérte, hogy a Kérelmezett ezen felvételeket ne törölje, azokat öt évre zárolja.

(5) A Kérelmező a 2018. június 14-i kérelmében kérte a Kérelmezett Telecenterével 2013. november 25. és 2018. június 14-e közti időszakban folytatott beszélgetésekről készült hangfelvételek másolatát, továbbá egy listát, amelyen fel van tüntetve a beszélgetés dátuma, annak pontos kezdete, a beszélgetés időtartama, az ügyintéző neve, valamint a beszélgetés egyedi azonosítója. Ezen kérelmét további kérelmeiben kiterjesztette a 2018. augusztus 22ig, majd a november 5-ig tartó időszakra. A 2018. június és augusztusi kérelmében kérte ezen felvételek a Kérelmezett bankfiókjában történő meghallgatását is. A 2018. június 14-i kérelmében a fentiekkel megegyező – ide nem értve a felvételek bankfiókban történő meghallgatását – kérelmet terjesztett elő a Kérelmezett központi számával 2015. szeptember 1. és 2018. június 14. között folytatott beszélgetésekről készült hangfelvételek, valamint négy, a Kérelmezett üzletkötőivel folytatott beszélgetésről készült hangfelvétel vonatkozásában.

(6) Kérelmező júniusi kérelmében tájékoztatást kért a privátbanki hívásokról készült hangfelvételek kezelésének céljáról, jogalapjáról, az adatkezelés időtartamáról, az adatfeldolgozó nevéről, címéről, az adatkezeléssel összefüggő tevékenységéről, az esetleges továbbításuk céljáról és jogalapjáról, valamint az adatkezelés minden további körülményéről, ideértve az esetleges adatvédelmi incidenseket.

(7) A Kérelmező 2018. június 14-én kelt kérelmében kérte a 2013. november 23. és 2016. november 30. közötti pénztárbefizetési bizonylatainak másolatát, valamint az azokba való betekintést. Tájékoztatást kért továbbá arról, hogy a Kérelmezett a pénztárbefizetési bizonylatokat milyen jogszabályi rendelkezés alapján, milyen célból, mennyi ideig őrzi meg.

(8) A Kérelmező álláspontja szerint eltűnt a Kérelmező irattárából a 2013. december 3-án kelt USD és HUF számlaszerződése, a VISA bankkártyaszerződése, valamint az E-banking szerződése. Ezzel összefüggésben tájékoztatást kért a Kérelmezettől a szerződések eltűnéséről, annak észleléséről, dokumentálásáról, időpontjáról.

(9) A Kérelmező 2018. június 14-én kelt kérelmében tájékoztatást kért a személyes adatai kezelésének jogalapjáról – ideértve kötelező adatkezelés esetén az adatkezelést előíró jogszabályhely pontos megjelölését, továbbá az adatkezelés időtartamát –, és kérte, hogy amennyiben a Kérelmezett hozzájárulása alapján kezeli valamely személyes adatát, annak alátámasztására küldje meg részére a hozzájárulást igazoló dokumentum másolati példányát. Ezzel összefüggésben jelezte a Kérelmezettnek, hogy visszavonja a hozzájárulását, ha valamely személyes adata vonatkozásában az lenne a Kérelmezett adatkezelésének jogalapja, és kéri ezen adatainak törlését a tájékoztatás megadását követően. Tájékoztatást kért továbbá a Kérelmezett által kezelt személyes adatai forrásáról, arról, hogy személyes adatai kezelésében mely adatfeldolgozók vesznek részt, ők milyen célból és milyen formában fértek hozzá a személyes adataihoz.

(10) A Kérelmező 2018. júniusi kérelmében kérte a Kérelmezettől, hogy adjon másolatot a […], a […], a […] és a […] által 2016. április 12. és 2018. június 14. között felvett jegyzőkönyvekről, amelyek a Kérelmezett bankfiókjaiban történt ügyintézéseihez kapcsolódnak. Ezen jegyzőkönyvekkel összefüggésben tájékoztatást kért az adatkezelés jogalapjáról, céljáról és időtartamáról. A […] által felvett jegyzőkönyvek vonatkozásában kérte az eredeti példányba való betekintést is. 2018. augusztusi és novemberi kérelmeiben a […] által felvett jegyzőkönyvek vonatkozásában megismételte a fenti kérelmeit, kiterjesztve azt a 2018. augusztus 22-ig, majd a 2018. november 5-ig keletkezett jegyzőkönyvekre.

(11) Kérelmező 2018. június 14-én kelt kérelmében másolatot, valamint az eredeti példányokba való betekintést kért a Kérelmezett által a 2016. február 5-e és 2018. június 14-e között a fiókhálózatnak küldött azon utasításokról, amelyek szerint vele szemben meg kell tagadni a bankfióki ügyintézést. Ezen kérelmét 2018. novemberi kérelmében kiterjesztette a 2018. november 5-ig tartó időszakra, továbbá másolatot kért a 2017. június 30-án a Kérelmezett által a fiókhálózatnak eljuttatott körlevélben található, őt ábrázoló fényképről. A fényképpel kapcsolatban tájékoztatást kért a fénykép forrásáról, illetve kérte a fénykép törlését.

(12) Kérelmező 2018. június 14-i kérelmében másolatot kért továbbá a Kérelmezett által kezelt aláírásmintájáról, valamint a 2013. december 2-án kelt személyi kölcsönszerződéséhez kapcsolódóan az adósminősítést tartalmazó dokumentumról. Tájékoztatást kért továbbá arról, hogy a fenti személyi kölcsönszerződésével összefüggésben benyújtott jövedelemigazolását a Kérelmezett mikor semmisítette meg.

(13) A Kérelmező fenti kérelmeire a Kérelmezett 2018. december 18-án reagált, amelyben arról tájékoztatta a Kérelmezőt, hogy kéréseinek feldolgozása folyamatban van, azonban tekintettel a hangfelvételek hatalmas mennyiségére, valamint a visszaállításukhoz kapcsolódó technikai lehetőségekre a türelmét kéri. Továbbá arról is tájékoztatta a Kérelmezőt, hogy kamerafelvételekbe való betekintés kapcsán időpontot fog egyeztetni vele, valamint a korábban megválaszolt kérdések egy része tekintetében fenntartja, hogy azok ismétlődő jellege miatt azokra nem ad újabb választ, azonban ebben a válaszában nem jelölte meg pontosan, hogy itt mely kérelmekre gondolt.

(14) A Kérelmező a Hatósághoz intézett kérelmében kérte, hogy a Hatóság állapítsa meg a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR) rendelkezéseinek megsértését, mivel a Kérelmezett nem vagy csak késedelmesen tett eleget az érintetti joggyakorlásra irányuló kérelmeinek, továbbá kérte a hozzáférési és adatkezelés korlátozásához való joga sérelmének megállapítását, illetve – ha az fennáll – a jogellenes adatkezelés tényének, valamint az adatpontosság elve sérelmének megállapítását. A Kérelmező kérelmére az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján a NAIH/2019/1859. ügyszámon adatvédelmi hatósági eljárás indult.

(15) I.2. A Hatóság végzésében az üggyel kapcsolatban tájékoztatást kért a Kérelmezettől a tényállás tisztázása érdekében.

(16) Kérelmezett úgy nyilatkozott, hogy a Kérelmező kérelmeit elbírálta, azonban a Kérelmezővel kapcsolatos tevékenységek ellátását végző szervezet folyamati hibája miatt a válasz megküldésére határidőben nem került sor. Ennek oka, hogy a Fővárosi Ítélőtábla 32.Pkf.25.077/2018/2. számú, 2018. február 14-én kelt végzésében ideiglenes intézkedésként kötelezte a Kérelmezőt, hogy a Kérelmezett és a Kérelmező közötti jogvita jogerős eldöntéséig tartózkodjon a Kérelmezett részére olyan tartalmú írásbeli nyilatkozatok peren kívüli megküldésétől, melyek a felek közötti korábbi szerződéses viszonnyal kapcsolatosak.

(17) A Kérelmező által előterjesztett adatvédelmi tárgyú kérelmek azonban nem voltak összefüggésben a korábbi szerződéses jogviszonnyal, ezért azokra a Fővárosi Ítélőtábla ideiglenes intézkedése nem terjed ki, a Kérelmezett azonban nem tett különbséget az intézkedés hatálya alá tartozó és nem tartozó kérelmek között 2018. novemberéig. (18) Kérelmezett 2019. február 8-án közjegyző útján válaszolt a Kérelmező adatvédelmi tárgyú kérelmeire.

(19) Kérelmezett a 2019. február 8-án kelt válaszában tájékoztatta a Kérelmezőt arról, hogy mely kamerafelvételeket kezeli róla. Ezt a nyilatkozatát 2019. április 4-én kiegészítette azzal, hogy a február 9-én kelt válaszának megfogalmazása nem volt szerencsés, az abban megjelölt felvételek azok, amelyekbe a betekintést az ott felajánlott időpontokban tudta volna teljesíteni a Kérelmezőnek. Azonban ezen túlmenően is kezel a Kérelmezőről kamerafelvételeket a Kérelmező adatkezelés korlátozása iránti kérelmei alapján. Ezen felvételekről a 2019. április 4-én kelt levelében tájékoztatta a Kérelmezőt.

(20) A Kérelmezett a Kérelmező kamerafelvételek másolatának rendelkezésére bocsátására irányuló kérelmét megtagadta, mivel azok üzleti titkot, valamint harmadik személyek képmását is tartalmazzák. A kamerafelvételek megtekintésére két alternatív időpontot ajánlott fel a Kérelmezőnek a 2019. február 8-án kelt válaszában, azonban azok a Kérelmezőnek nem voltak megfelelőek, azokon nem jelent meg.

(21) A Kérelmező a kamerafelvételekre vonatkozóan előterjesztett adatkezelés korlátozása iránti érintetti kérelmeivel kapcsolatosan a Kérelmezett arról tájékoztatta a Hatóságot, hogy 2018. júliusa előtt alkalmazott gyakorlata szerint – figyelemmel a személy- és vagyonvédelmi, valamint a magánnyomozói tevékenység szabályairól szóló 2005. évi CXXXIII. törvény (a továbbiakban: Szvtv.) 2018. júniusában hatályos rendelkezésére – hatósági megkeresés hiányában az adatkezelés korlátozása iránti kérelmet követő harminc nap elteltével törölte a kamerafelvételeket. (22) A fenti gyakorlatán 2018. júliusában változtatott a Kérelmezett, azaz teljesíti a Kérelmező kamerafelvételek kezelésének öt évre történő korlátozására irányuló kérelmeit. A Kérelmező öt fióklátogatása esetében, melyet követően kérte a kamerafelvételek kezelésének korlátozását a Kérelmezettől, azonban nem készült vagy nem volt visszaállítható a felvétel, így ezek vonatkozásában nem teljesítette a Kérelmező zárolási kérelmét.

(23) Kérelmezett februári válaszában arról tájékoztatta a Kérelmezőt, hogy a Kérelmezettel folytatott beszélgetéseinek visszaállítása a 2013. november 25. és 2018. november 5-e közötti időszakra folyamatban van, azok visszahallgatását biztosítja a Kérelmezőnek, illetve átadja azok másolatát a felvételek visszahallgatását követően.

(24) A hangfelvételek visszahallgatására és a kamerafelvételek megtekintésére azonban nem került sor, mivel a Kérelmezett által 2019. február 25-re, illetve március 4-re biztosított időpontok a Kérelmezőnek nem voltak megfelelőek, azokon nem jelent meg, amelyet előzetesen jelzett a Kérelmezett felé. A Kérelmezett elfogadta a Kérelmező által felajánlott 2019. április 11-i időpontot, azonban azon sem jelent meg a Kérelmező. A Kérelmezett a székhelyéről való belépés módjáról 2019. április 4-én kelt levelében tájékoztatta a Kérelmezőt. Kérelmező a távolmaradását azzal indokolta, hogy elérte telefonon azt, a Kérelmezett székhelyén szolgálatot teljesítő biztonsági őrt, akit a Kérelmezett megbízott a hangfelvételek visszahallgatásának és a kamerafelvételekbe való betekintés lebonyolításával, aki állítása szerint úgy nyilatkozott, hogy kamerafelvételek nem, csak hangfelvételek állnak a rendelkezésére, és nem rendelkezik listával arról, hogy mely felvételek visszahallgatására, megtekintésére kerül majd sor. Emellett a biztonsági őr tájékoztatta a Kérelmezőt arról, hogy a Kérelmezett székhelyén történő megjelenésekor alá kell írnia egy nyilatkozatot, amelyet a Kérelmező sérelmesnek talált, ezért úgy döntött, hogy nem jelenik meg a Kérelmezett székhelyén a felvételek megismerése érdekében.

(25) A felvételek 2019. április 11-én történő visszahallgatásának és megtekintésének elmaradása kapcsán a Kérelmezett arról tájékoztatta a Hatóságot, hogy a Bank megtette a szükséges előkészületeket az érintetti joggyakorlás biztosítására, előkészítette az erre a célra alkalmas helyiséget, számítástechnikai eszközöket, a kért hang- és kamerafelvételeket, valamint biztosította a szükséges személyi felvételeket, így a meghallgatás/megtekintés minden feltétele adott volt.

(26) A Kérelmező által kifogásolt nyilatkozat a banki épületben tartózkodás szabályait tartalmazza, amely a „Bankfióki tartózkodás szabályairól” szóló hirdetmény a Kérelmezett központi épületeinek látogatóira is vonatkozó szabályokat tartalmaz, amelyek közül a legfontosabbakat ismertették volna a Kérelmezővel a nyilatkozatban, mivel a biztonsági szabályok elfogadása és betartása feltétele a banki épültben tartózkodásnak.

(27) A Kérelmezett a hangfelvételek visszahallgatása és a kamerafelvételek megtekintése biztosításának érdekében elfogadta a Kérelmező által felajánlott 2019. május 13-i dátumot.

(28) A Kérelmezett 2019. április 4-én kelt levelének mellékleteként megküldte a Kérelmezőnek a 2013 november 25. és 2019. március 26. között keletkezett hangfelvétek másolatát. A hangfelvétekre vonatkozó általános tájékoztatást legutóbb 2018. május 24-én adott a Kérelmezőnek.

(29) A készpénzbefizetési pénztárbizonylatok másolatát a Kérelmezett mellékelte a Kérelmezőnek adott, 2019. február 8-án kelt válaszához, valamint azokat megküldte a Hatóságnak is. 2018. május 24-én kelt levelében tájékoztatta a Kérelmezőt a fenti bizonylatok megőrzését előíró jogszabályi rendelkezésekről.

(30) A Kérelmezett a Kérelmező eltűnt, eredeti példányban nem fellelhető szerződéseivel kapcsolatban arról tájékoztatta a Hatóságot, hogy 2017. júniusában a Kérelmező rendelkezésére bocsátotta a valamennyi szerződése másolatát, és azokon kívül más papír alapú dokumentumot nem kezel. A Kérelmezett 2019. április 4-én kelt levelében – nyilatkozata szerint ismételten – tájékoztatta a Kérelmezőt, hogy a szerződések ismeretlen körülmények között és meg nem határozható időpontban váltak elérhetetlenné. A Kérelmezőnek írt válaszában a Kérelmezett felhívta a Kérelmezett figyelmét, hogy a szerződések fellelhetőségét a Fővárosi Törvényszék előtt […] ügyszámon folyamatban lévő perben a per tárgyává tette – amelyet a Kérelmező által becsatolt, a fenti ügyszámú perben készült előkészítő iratok és tárgyalási jegyzőkönyv is alátámasztanak – így ezen kérelme megválaszolására a panaszügyintézés keretében nem köteles.

(31) A Kérelmezett nyilatkozata szerint 2018. május 24-én kelt levelében tájékoztatta a Kérelmezőt a róla kezelt személyes adatok köréről, valamint a személyes adatait érintő adatátadásokról. Ennek alátámasztására mellékelte a fenti levelet.

(32) A Kérelmezett válaszában arról tájékoztatta a Kérelmezőt, hogy a vagyonvédelmi feladatokat ellátó szolgáltatók által felvett jegyzőkönyvek a helyszíni kiszállás igazolására szolgálnak, kitöltésük a Bank és a vagyonvédelmi szolgáltatók között elszámolás miatt szükséges, ezért azokban ügyfél adatokat nem rögzítenek. A fióki riasztásra kiérkező vagyonőrök ráadásul nem igazoltathatják azt a személyt, akinek a magatartása miatt a fiókból a riasztást leadták, az adatait nem jegyezhetik fel. Ebből kifolyólag a jegyzőkönyvek belső ügyviteli célú dokumentumok, amelyek nem minősülnek a Kérelmező személyes adatának. A Kérelmezett ezzel szemben a Hatóságnak úgy nyilatkozott, hogy 2017 októberében tájékoztatta arról a Kérelmezőt, hogy a […] az általa foganatosított cselekményekről jegyzőkönyvet készít, és a Kérelmezettnek elemi érdeke lehet, hogy tudja kivel szemben kellett a […]-nek eljárnia, így a személyes adatait a Kérelmezett kezel(het)i.

(33) A Kérelmezett válaszában megküldte a Kérelmezőnek a 2017. június 30-án kelt fióki körlevélben található fényképének másolatát, amely a Kérelmezett egyik fiókjában üzemeltett kamerarendszer által készített felvételből származik, amelyet a Kérelmezett korlátozott érintetti kör – fiókvezetők, korlátozott számban – számára tett elérhetővé jogos érdeke alapján. Ezzel összefüggésben a Kérelmezett úgy nyilatkozott a Hatóságnak, hogy 2017. október 5-én kelt levelében tájékoztatta a Kérelmezőt arról, hogy nem alkalmaz riasztási körlevelet, amely alapján a pánikriasztást kell leadnia a fióki alkalmazottaknak, ha ügyintézés céljából megjelenik a Kérelmezett bankfiókjában. Szintén ebben a levelében arról is tájékoztatta a Kérelmezőt, hogy igényérvényesítési célból, valamint jogi kötelezettségének teljesítése és jogos érdekének érvényesítése céljából tudnia kell, hogy kivel szemben kellett a bankfiókjaiban fellépni.

(34) A Kérelmezett válaszához mellékelte a Kérelmező általa kezelt aláírásmintájának a másolatát, amelyet 2002. december 7-én rögzített.

II. Az ügyben alkalmazandó jogszabályi rendelkezések

A GDPR 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre a GDPR-t kell alkalmazni. A GDPR jelen ügyben releváns rendelkezései a következők: GDPR 4. cikk 1. pont: „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. GDPR 12. cikk (3) bekezdés: Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15–22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. GDPR 12. cikk (4) bekezdés: Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. GDPR 12. cikk (5) bekezdés: A 13. és 14. cikk szerinti információkat és a 15–22. és 34. cikk szerinti tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az adatkezelő, figyelemmel a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségekre: (…) b) megtagadhatja a kérelem alapján történő intézkedést. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli. GDPR 15. cikk (1) bekezdés: Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;

d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár. GDPR 15. cikk (3) bekezdés: Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.

GDPR 15. cikk (4) bekezdés: A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait. GDPR 18. cikk (1) bekezdés c) pont: Az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül: c) az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez. GDPR 58. cikk (2) bekezdés b), c), g) és i) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; i)a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. GDPR 83. cikk (1)-(2) és (5) bekezdés a)-b) pont: (1) Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. (2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket: a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege;

c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12–22. cikknek megfelelően. Az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel. Az Infotv. 75/A. § szerint a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Az üzleti titok védelméről szóló 2018. évi LVI. törvény 1. § (1) bekezdés: Üzleti titok a gazdasági tevékenységhez kapcsolódó, titkos - egészben, vagy elemeinek összességeként nem közismert vagy az érintett gazdasági tevékenységet végző személyek számára nem könnyen hozzáférhető, ennélfogva vagyoni értékkel bíró olyan tény, tájékoztatás, egyéb adat és az azokból készült összeállítás, amelynek a titokban tartása érdekében a titok jogosultja az adott helyzetben általában elvárható magatartást tanúsítja.

III. Döntés:

III.1. A Kérelmező kérelmének késedelmes teljesítése

(35) A Kérelmező az érintetti joggyakorlásra irányuló kérelmeit 2018. június 14-én, augusztus 22-én és november 5-én nyújtotta be a Kérelmezettnek. A Kérelmezett első alkalommal 2019. december 18-án kelt levelében reagált a Kérelmező által előterjesztett kérelmekre, azonban abban a Kérelmező egyetlen kérelmét sem válaszolta meg érdemben, illetve nem nevezte meg, hogy pontosan mely kérelmek kapcsán tagadja meg az intézkedést azok ismétlődő jellege miatt, így ezen válasza nem tekinthető a GDPR 12. cikk (5) bekezdése b) pontja szerinti kérelem alapján történő intézkedés megtagadásának.

(36) A Kérelmezett a kérelmekre érdemben a 2019. február 8-án kelt közjegyzői okiratba foglalt nyilatkozatában válaszolt. Ezt megelőzően nem tájékoztatta a Kérelmezőt arról, valamint a Hatóság felé sem nyilatkozott úgy, hogy tekintettel a kérelmek összetettségére és számára további két hónappal meghosszabbítja a GDPR általános szabályként előírt egy hónapos válaszadási határidőt. Ebből kifolyólag a fenti kérelmeket a beérkezésüktől számított egy hónapon belül teljesítenie kellett volna, vagy igazolnia kellett volna, hogy a Kérelmező által benyújtott kérelmek túlzóak, különösen ismétlődő jellegük miatt, mivel ebben az esetben sor kerülhetett volna a kérelem alapján történő intézkedés megtagadására.

(37) Az utolsó, 2018. november 5-i kérelem és a Kérelmezett válaszának kelte között több, mint három hónap telt el, ebből kifolyólag a Kérelmezett mindhárom vizsgált kérelem vonatkozásában megsértette a GDPR 12. cikk (3) és (4) bekezdését, mivel nem tájékoztatta a Kérelmezőt a kérelem beérkezésétől számított egy hónapon belül a kérelmei nyomán hozott intézkedésekről, valamint az intézkedés elmaradásának okairól. Ezen mulasztását a Kérelmezett is elismerte a 2019. március 12-én kelt nyilatkozatában.

III.2. A Kérelmező hozzáférési jogának sérelme

III.2.1. A kamerafelvételekhez való hozzáférés (38) A Kérelmezett 2019. februári, áprilisi és májusi válaszában tájékoztatta a Kérelmezőt, hogy mely fióklátogatásairól készült kamerafelvételeket kezeli, azok hol és mikor készültek. A Kérelmezett májusi válaszában tájékoztatta a Kérelmezőt arról, hogy valamennyi felvételt az ő zárolási, azaz adatkezelés korlátozása iránti kérelme alapján kezeli. Ez azonban a korábbi válaszlevelei alapján is feltételezhető volt, mivel a Kérelmező 2019. január 11-én kelt, a Kérelmezettnek címzett kérelmében kifejezetten a Kérelmezett februári válaszlevelében felsorolt kamerafelvételek vonatkozásában kérte az adatkezelés korlátozását. Ezt támasztja alá a Kérelmezett válaszának azon fordulata is, hogy „A 2018. (kettőezer-tizennyolc) év december 03. (harmadik) napján […] Bankfiók, 11:51-12:39 felvétel technikai okok miatt nem áll a Bank rendelkezésére.” A 2019. áprilisi válaszában is arról tájékoztatta a Kérelmezőt, hogy „Azon fióklátogatásai, melyek esetében felvétel rendelkezésre állt, a zárolási kérelmét végrehajtottuk.”

(39) A Kérelmezettnek nem felróható, hogy az általa biztosított időpontokban – amelyek közül a 2019.

április 11-i időpontot maga a Kérelmező ajánlotta – a Kérelmező nem jelent meg. A Kérelmezett előzetesen tájékoztatta a Kérelmezőt a székhelyére való belépés módjáról, illetve arról, hogy várni fogják a H portán. A Kérelmező egy olyan személy szóbeli nyilatkozatára hivatkozva nem jelent meg a Kérelmezett székhelyén, aki az ügyről érdemi információval nem rendelkezett, képviseleti jogosultság hiányában nyilatkozatot nem tehetett a Kérelmezett nevében. Mivel a Kérelmező nem jelent meg személyesen a Kérelmezett székhelyén, így önhibájából nem is győződhetett meg róla, hogy milyen felvételeket készített elő megtekintésre, visszahallgatásra a Kérelmezett.

(40) A Kérelmező arra irányuló kérelme, hogy a felvételek megtekintésének lebonyolítására a Kérelmezett jelöljön ki egy személyt a compliance és panaszkezelés területéről nem értelmezhető a GDPR szerinti hozzáférési kérelemként. A Kérelmezett a GDPR szabályai alapján nem kötelezhető arra, hogy a Kérelmező által kért személy vagy személyek jelenlétében biztosítsa számára a felvételekbe való betekintést, illetve a felvételek visszahallgatását, ez a Kérelmezettnél felmerülő munkaszervezési, feladatelosztási kérdés. (41) A fentiekből kifolyólag a Kérelmezett nem sértette meg a GDPR 15. cikk (1) bekezdését, mivel az általa nyújtott tájékoztatás kiterjedt valamennyi, a Kérelmező által kért körülményre, a felvételek megtekintésének elmaradása pedig neki nem volt felróható, az a Kérelmező magatartására vezethető vissza.

(42) A kamerafelvételeken, amelyek kiadását a Kérelmező kérte, harmadik személyek – Kérelmezett munkavállalói, ügyfelei, megbízottjai – is szerepelnek, azaz a felvételek az ő képmásukat, valamint további személyes adataikat is tartalmazza. A felvételek továbbá a Kérelmezett nyilatkozata szerint az üzleti titkának minősülnek. (43) Még ha az érintett magánszemélyek a felvételen nem vagy nem minden esetben ismerhetők is fel, azon arcuk kivehetően nem szerepel, a felvétel tartalmazhat egyéb olyan személyes adatokat, amely alapján az érintettek felismerhetők, illetve azonosíthatók (testalkat, mozgás, különös ismertető jegyek, stb.), így az adatvédelemre vonatkozó szabályok ebben az esetben is figyelembe veendők.

(44) A felvételekbe való betekintés biztosítása más típusú hozzáférést biztosít a személyes adatokhoz, illetve az üzleti titokhoz, mint az azt tartalmazó felvétel másolatának a Kérelmező rendelkezésre bocsátása. A betekintés – tekintettel arra, hogy a Kérelmező jelen volt a kamerafelvétel készítése során, és így személyesen is találkozott a felvételeken látható harmadik személyekkel – kisebb mértékben korlátozza a felvételen látható harmadik személyek személyes adataik védelméhez való jogát – különösen akkor, ha kitakarásra kerülnek a felvételeken –, mint a felvételek másolatának Kérelmező részére való átadása.

(45) A Kérelmezett nyilatkozatai szerint a betekintés során sem ismerhetné meg a Kérelmező az eredeti, módosítás nélküli felvételeket, csak azokat, amelyeken már a védendő adatok és információk kitakarásra kerültek. A kitakarás keretében a Kérelmezettnek arra is lehetősége van, hogy harmadik személyek személyes adatain túl azon információkat kitakarja, amelyek álláspontja szerint az üzleti titkát képezik. Az üzleti titkot képező információk kitakarásával a felvételek elvesztik az üzleti titok jellegüket, mivel önmagában a Kérelmező bankfiókban való mozgása nem tekinthető üzleti titoknak, mivel ezen információ semmiféle vagyoni értékkel nem bír. A bankfiókok ügyfélforgalom számára nyitva álló részének a berendezése, az ügyfélteret figyelő kamerák elhelyezése szintén nem minősül üzleti titoknak, mivel az az érintett gazdasági tevékenységet végzők számára is könnyen hozzáférhető információ. (46) A fentiekből kifolyólag – mivel a felvételeken található védett adatok és információk Kérelmező általi megismerése megakadályozható a felvételek megfelelő kitakarásával – ezért a Kérelmezett megsértette a GDPR 15. cikk (3) bekezdését, amikor a kitakart felvételek másolatát nem bocsátotta a Kérelmező rendelkezésére.

III.2.2. A hangfelvételekhez való hozzáférés (47) A Hatóság a Kérelmező hangfelvételekre vonatkozó kérelmeit – Telecenter, privát banki hívások, a Kérelmező által treasury hívásoknak nevezett hívások – egységesen vizsgálja. (48) A hangfelvételek visszahallgatására a Kérelmezett ugyanazon időpontokat biztosította a Kérelmező számára, mint a kamerafelvételek megtekintésére, azonban arra a fentiekben foglaltak szerint nem került sor. A Hatóság kamerafelvételek megtekintése kapcsán tett megállapításai irányadók a hangfelvételek visszahallgatására is.

(49) A Kérelmezett a hangfelvételek másolatát 2013-ig visszamenőleg 2019. április 4-én kelt leveléhez mellékelten megküldte a Kérelmező számára, amelyet a Kérelmező 2019. április 10én vett át.

(50) A fentiekből kifolyólag a Kérelmezett nem sértette meg a GDPR 15. cikk (3) bekezdését, mivel a Kérelmező rendelkezésére bocsátotta a hangfelvételekről készült másolatokat. (51) A Kérelmező a hangfelvételek másolatának rendelkezésére bocsátása mellett kért egy listát, amelyen általa támasztott szempontrendszer alapján kérte a hangfelvételek felsorolását, rendszerezését. A hatósági eljárás során nem merült fel arra vonatkozó információ, hogy ilyen listával a Kérelmezett rendelkezne, az érintetti hozzáférési joggyakorlás keretében pedig az adatkezelő a rendelkezésére álló adatokról, információkról való tájékoztatásra köteles, és nem kötelezhető arra, hogy olyan adatokat állítson elő, generáljon, amelyekkel egyébként nem rendelkezik. Az adatkezelő nem köteles a személyes adatokkal való további műveletek elvégzésére az érintetti joggyakorlás keretén belül. (52) Ebből kifolyólag a Kérelmezett nem sértette meg a Kérelmező GDPR 15. cikke szerinti hozzáférési jogát azzal, hogy nem készített listát a Kérelmező által kért tartalommal a hangfelvételekről, és nem adta át azt a Kérelmezőnek.

(53) A Kérelmező azon kérelme, hogy a Kérelmezett adjon tájékoztatást részére a privátbanki telefonhívások kapcsán a rögzített hívások során készült hangfelvételekre vonatkozó adatkezelési körülményekről, nem kifejezetten a közte és a Kérelmezett között zajlott beszélgetésekről készült hangfelvételekre vonatkozott, hanem a Kérelmezett általános gyakorlatára. Tekintettel arra, hogy a hozzáférési jog keretén belül az érintett arról kaphat tájékoztatást, hogy személyes adatai kezelése folyamatban van-e, és ha folyamatban van, annak mik a körülményei, ezért az nem terjed ki a kizárólag az adatkezelő általános adatkezelési gyakorlatáról való tájékoztatásra. Ezzel összefüggésben a Hatóság megjegyzi, hogy a Kérelmezett honlapján elérhető a Kérelmezett 2018. május 25-től hatályos adatkezelési tájékoztatója, amelynek VII.3. pontjában tájékoztatja az érintetteket a hangfelvételek kezelésével összefüggő gyakorlatáról. Ezen túlmenően a Kérelmezett 2017. május 26-án és 2018. május 24-én kelt levelében – a Hatóság felé is igazoltan – korábban már tájékoztatta a Kérelmezőt a hangfelvételekre vonatkozó általános adatkezelési gyakorlatáról.

(54) A fentiekből kifolyólag a Kérelmezett nem sértette meg a Kérelmező GDPR 15. cikke szerinti hozzáférési jogát, amikor nem adott ismételt tájékoztatást a Kérelmezőnek a hangfelvételekre vonatkozó általános adatkezelési gyakorlatáról, tekintettel arra, hogy ez a kérelem a hozzáférési joggyakorlás keretében nem értelmezhető, valamint az arra való válaszadást a GDPR 12. cikk (5) bekezdés b) pontja alapján jogszerűen tagadhatta meg.

III.2.3. A Kérelmező szerződései eltűnésének körülményeiről való tájékoztatás (55) A Hatóság a 2018. március 14-én kelt, NAIH/2018/218/9/V. ügyszámú iratában megállapította, hogy a Kérelmezett a Kérelmező eltűnt négy szerződése vonatkozásában megsértette az akkor hatályos Infotv. 7. § (2) és (3) bekezdésében támasztott adatbiztonsági követelményeket, mivel nem őrizte meg ezeket a szerződéseket a pénzmosás és terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi CXXXVI. törvény 28. § és 28/A. § szerinti nyolc évig.

(56) A Kérelmezett 2017. november 27-én kelt levelében – amelyet a Hatóság a NAIH/2017/164/62/V. ügyszámon iktatott – arról tájékoztatta a Hatóságot, hogy a 2017. június 28-án kelt levelében mindazon szerződéseket megküldte a Kérelmezőnek, amelyek a rendelkezésére álltak. Az érintett joggyakorlását csak azon dokumentumok tekintetében nem tette lehetővé, amelyet már nem kezelt a kérelem időpontjában. A négy szerződés eltűnését adminisztratív hibával magyarázta.

(57) A Kérelmezett arról tájékoztatta a Kérelmezőt, hogy a szerződések eredeti példánya ismeretlen körülmények között és meg nem határozható időpontban váltak elérhetetlenné.

(58) A Hatóság ezen tárgyban folytatott eljárásai során nem jutott a Hatóság tudomására olyan információ, amely alapján arra lehetne következtetni, hogy a Kérelmezett bármilyen további információval rendelkezne a szerződések eltűnésének körülményeiről.

(59) Tekintettel arra, hogy a Kérelmezett nem rendelkezik információval a szerződések eltűnésének körülményeiről – amelyről a Kérelmezőt is tájékoztatta – nem köteles a tárgyban további tájékoztatást nyújtani a Kérelmezőnek. Ahogyan azt a Hatóság a jelen határozatában már kifejtette, az adatkezelő az érintett hozzáférési kérelme teljesítésének keretében nem köteles új adatokat előállítani, mivel a hozzáférési jog arra biztosít lehetőséget, hogy az érintett átlássa, hogy az adatkezelő milyen adatokat, hogyan kezel róla. Ebből kifolyólag a Kérelmezett nem sértette meg a GDPR 15. cikkét, amikor nem nyújtott további – rendelkezésére nem álló információkat a szerződések eltűnéséről a Kérelmezőnek.

III.2.4. Tájékoztatás a Kérelmező személyes adatai kezelésének jogalapjáról, időtartamáról, személyes adatai forrásáról, az adatfeldolgozók személyéről (60) A Kérelmezett legutóbb 2018. május 24-én kelt levelében adott tájékoztatást a Kérelmezőnek arról, hogy jogszabályi megőrzési kötelezettsége alapján a köztük fennállt szerződések megszűnésétől számított nyolc évig – a pénzmosás és terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi LIII. törvény és a számvitelről szóló 2000. évi C. törvény alapján – pontosan mely személyes adatait kezeli, azokat mely szerződéseivel összefüggésben bocsátotta a Kérelmező a rendelkezésére, valamint tájékoztatta az adattovábbítás címzettjeiről és adatfeldolgozók személyéről, megjelölve az adatátadás célját is.

(61) A Kérelmezett 2018. május 24-én kelt válaszában adott tájékoztatás, bár a GDPR 2018. május

25-i alkalmazandóvá válását megelőzően kelt, tartalmában megfelel a GDPR által támasztott követelményeknek, továbbá a Kérelmezett számára a Kérelmező adatainak kezelését előíró jogszabályok vonatkozó rendelkezései, illetve az adatkezelés természete változatlanok maradtak.

(62) Ebből kifolyólag a Kérelmezett jogszerűen tagadta meg a válaszadást a Kérelmező 2018. június

14-én kelt, fenti adatokra vonatkozó kérelmére a GDPR 12. cikk (5) bekezdés b) pontja alapján, mivel az ismétlődő volt, és azt a Kérelmezett korábban már megválaszolta.

(63) A Kérelmező 2018. június 14-i kérelme azonban kiterjedt arra is, hogy a Kérelmezett amennyiben adatkezelésének jogalapja jogi kötelezettség teljesítése – nevezze meg az adatkezelést előíró pontos jogszabályhelyet, amely kérelemnek nem felelt meg a 2018. május 24-én kelt levélben nyújtott tájékoztatás.

(64) Ebből kifolyólag a Hatóság megállapítja, hogy a Kérelmezett megsértette a GDPR 15. cikk (1)

bekezdését azzal, hogy nem jelölte meg a Kérelmező kérelmére a pontos jogszabályi hivatkozásokat, amelyekre hivatkozással megőrizte és kezeli a Kérelmező személyes adatait.

III.2.5. A Kérelmezettnél biztonsági szolgálatot ellátó vállalkozások által felvett jegyzőkönyvekhez való hozzáférés (65) A Hatóság a NAIH/2018/218/9/V. ügyszámú iratában – amelyet a Kérelmező is megkapott a NAIH/2018/218/10/V. iktatási számon – megállapította, hogy a korábban […] a kiszállásairól készít jegyzőkönyvet, azonban az nem irányul személyes adatok felvételére – azaz nem szerepelnek benne a Kérelmező személyes adatai –, az a helyszíni kiszállás igazolására szolgál. Ezt a Kérelmezett jegyzőkönyvmásolatokkal jelen eljárásban is igazolta.

(66) A Kérelmezett nyilatkozatához mellékelt, a […], a […] és a […] által felvett jegyzőkönyvek alapján megállapítható, hogy azok sem szolgálnak személyes adatok felvételére, azokban nem kerül megnevezésre az a személy, akinek a magatartása miatt szükség volt ezen vállalkozások eljárására, így az nem tartalmazza a Kérelmező személyes adatait. (67) Ebből kifolyólag a Hatóság megállapítja, hogy a Kérelmezett nem sértette meg a Kérelmező

GDPR 15. cikke szerinti hozzáférési jogát azzal, hogy nem tájékoztatta a Kérelmezőt a fenti biztonsági szolgálatok által felvett jegyzőkönyvek kezelésének jogalapjáról, céljáról és időtartamáról, valamint nem adott azokról másolatot és nem biztosított az eredeti dokumentumokba betekintést, mivel azok nem tartalmazzák a Kérelmező személyes adatait.

III.2.6. Fióki körlevelekhez való hozzáférés (68) A Kérelmezett kizárólag a 2017. június 30-án kelt, a Kérelmezett központja által egyes fiókvezetőknek címzett levél létét ismerte el, amelynek mellékletét képező fénykép másolatát a Kérelmező rendelkezésére bocsátotta, azonban a levél másolatát nem, pedig annak kiadására is kiterjedt a Kérelmező kérelme.

(69) Ezen túlmenően a Hatóság jelen és korábbi eljárásai során nem merült fel arra utaló bizonyíték, hogy a Kérelmező által riasztási körlevélnek nevezett levelek, dokumentumok léteznek a 2017. június 30-án kelt levél kivételével. A Kérelmezett több alkalommal is arról tájékoztatta a Kérelmezőt, hogy ilyen körlevelek nem kerülnek alkalmazásra.

(70) A fentiekből kifolyólag a Hatóság megállapítja, hogy a Kérelmező megsértette a GDPR 15. cikk (3) bekezdését, amikor nem adott másolatot a Kérelmezőnek –- az általa is elismerten létező – 2017. június 30-án kelt körlevélről, illetve annak kivonatáról, figyelemmel arra, hogy abból az üzleti titoknak minősülő adatokat jogosult kitakarni. A körlevél eredeti példányába való betekintés kapcsán a Hatóság megjegyzi, hogy amennyiben egy dokumentumról az adatkezelő – jelen esetben a Kérelmezett – másolatot ad az érintettnek, azzal a lehető legteljesebb mértékben biztosítja a hozzáférési jogát, tehát a másolat kiadásán túl a GDPR rendelkezései alapján nem köteles az eredeti dokumentumokba betekintést biztosítani, hacsak erre külön jogszabály nem kötelezi.

III.3. A Kérelmező adatkezelés korlátozása iránti kérelmeinek teljesítése

(71) A Kérelmező új felvételekre vonatkozó zárolási kérelmet 2018. június 14-én kelt levelében nem terjesztett elő, csak megerősítette korábbi igényeit, az nem tekintendő új érintetti joggyakorlásra irányuló kérelemnek. Ebből kifolyólag a Hatóság a 2018. augusztus 22-én és november 5-én előterjesztett kérelmében meghatározott kamerafelvételek vonatkozásában vizsgálja az adatkezelés korlátozására vonatkozó kérelmének a Kérelmezett általi teljesítését.

(72) A Kérelmező számos, a Kérelmezettnek címzett panaszában és kérelmében hivatkozik arra, hogy adatvédelmi tárgyú pert kíván indítani a Kérelmezettel szemben a jövőben, így alapos okkal feltételezhető, hogy a kamerafelvételek jogi igényei előterjesztéséhez szükségesek.

(73) A Kérelmezett a 2018. június 26-án a […] bankfiókban, június 28-án a […] bankfiókban, június

29-én a […] bankfiókban készült kamerafelvételek kezelését az akkor hatályos Szvtv. előírásainak megfelelően harminc napra korlátozta, majd hatósági megkeresés hiányában törölte a kamerafelvételeket.

(74) Az Szvtv. szabályait a GDPR-ra tekintettel kell értelmezni. Bár a 2018 júniusában hatályos Szvtv.

31. § (6) bekezdése előírta, hogy hatósági megkeresés hiányában az adatkezelés korlátozása alá eső felvételt hatósági megkeresés hiányában a törlés mellőzésére irányuló kérelemtől számított harminc nap elteltével törölni kell. A GDPR azonban nem rendelkezik az adatkezelés korlátozása alá eső személyes adatok őrzésének idejéről, azt nem korlátozza a kérelem elbírálásától számított harminc napra.

(75) A GDPR előírásai a magyar jogalanyokra 2018. május 25-től közvetlenül alkalmazandók, kivéve azokat, amelyek teljes körű alkalmazásához, végrehajtásához az egyes tagállamok nemzeti jogszabályaiban előírt további rendelkezések szükségesek. Emellett a GDPR bizonyos korlátozott – körben lehetőséget ad a tagállamoknak kiegészítő vagy ahhoz képest meghatározott irányban eltérő szabályok megalkotására, azonban az érintetti jogok gyakorlása nem esik ebbe a körbe, ezért az Szvtv. 31. § (6) bekezdésének előírásai 2018. május 25-ét követően nem voltak alkalmazhatók.

(76) A fenti felvételek vonatkozásában a Kérelmezett megsértette a GDPR 18. cikk (1) bekezdését, mivel ezen felvételek kezelésének korlátozását – általa is elismerten – nem hajtotta végre a jogi igények előterjesztéséhez szükséges ideig.

(77) A Kérelmezett a Hatóságnak tett nyilatkozatában nem nevezte meg, hogy melyek voltak a Kérelmező azon fióklátogatásai, amelyekről nem készültek felvételek, és melyek voltak azok, amelyek esetében a felvételek nem voltak visszaállíthatók. Ezen felvételek kapcsán a Kérelmező adatkezelés korlátozásához való jogának és egyúttal a GDPR 18. cikk (1) bekezdésének sérelme csak azon felvételek kapcsán állapítható meg, amelyek nem voltak visszaállíthatók, mivel azon esetekben, amikor nem készült a fióklátogatásról kamerafelvétel, nem valósult meg adatkezelés, így annak kapcsán érintetti jogok sem gyakorolhatók.

III. 4. Jogkövetkezmények

(78) III.4.1. A Hatóság a Kérelmező kérelmének helyt ad és a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezettet, mert megsértette a GDPR 12. cikk (3) és (4) bekezdését, a GDPR 15. cikk (1) és (3) bekezdését, valamint a GDPR 18. cikk (1) bekezdését. (79) A Hatóság a GDPR 58. cikk (2) bekezdés c) pontja alapján hivatalból utasítja a Kérelmezettet, hogy adjon másolatot a Kérelmezőnek a 2017. június 30-án kelt fióki körlevélről, figyelemmel az üzleti titok védelmére. (80) III.4.2. A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire, valamint arra, hogy a Kérelmező nem első alkalommal sértette meg a GDPR rendelkezéseit, ezért a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértések esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság a bírság kiszabása során az alábbi tényezőket vette figyelembe:

(81) A Hatóság mindenekelőtt figyelembe vette, hogy a Kérelmezett által elkövetett jogsértések a GDPR 83. cikk (5) bekezdés b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek, mivel azok az érintetti jogok sérelmével jártak.

(82) A Hatóság a bírságkiszabás során az alábbi körülményeket vette figyelembe:

• a Kérelmezett gondatlanul járt el, amikor nem válaszolt határidőben a Kérelmező érintetti joggyakorlásra irányuló kérelmeire, mivel ezen kérelmekre is irányadónak tekintette a Fővárosi Ítélőtábla […]. számú, 2018. február 14-én kelt végzésében elrendelt ideiglenes intézkedést, melyben a Fővárosi Ítélőtábla kötelezte a Kérelmezőt, hogy a Kérelmezett és a Kérelmező közötti jogvita jogerős eldöntéséig tartózkodjon a Kérelmezett részére olyan tartalmú írásbeli nyilatkozatok peren kívüli megküldésétől, melyek a felek közötti korábbi szerződéses viszonnyal kapcsolatosak;

• a Kérelmezett a kamerafelvételekre vonatkozó adatkezelés korlátozása iránti kérelmek kapcsán figyelembe vette a 2018. júniusában hatályos Szvtv. rendelkezéseit, amelynek összhangja 2019. áprilisáig nem volt biztosított a GDPR-ral, ezen jogalkotói mulasztás pedig jogbizonytalanságot okozott az adatkezelők, így a Kérelmezett számára is;

• a Kérelmezett a jogsértés orvoslása érdekében a teljesítési határidő lejártát követően nagyrészt eleget tett a Kérelmező érintetti joggyakorlásra irányuló kérelmeinek;

• a Kérelmezett 2016-ban és 2017-ben már megküldte a Kérelmezőnek a Kérelmezettel folytatott beszélgetéseiről készült hangfelvételek másolatát a 2013. és 2016. szeptember 26. és a 2017. május 1. és augusztus 30. közötti időintervallumokból, így azok késedelmes átadása nem okozott jelentős jogsérelmet a Kérelmező számára;

• a Kérelmező több összetett, nagyvonalakban ismétlődő, azonban kisebb részletekben eltérő érintetti joggyakorlásra irányuló kérelmet nyújtott be – és nyújt be folyamatosan – a Kérelmezetthez, szinte követhetetlenné téve, hogy melyik kérelme pontosan mire is irányult. Ezen kérelmek sorozatos előterjesztése nehezíti a kérelmeinek pontos és megfelelő elbírálását, teljesítését a Kérelmezett részéről. Emellett a Kérelmező magatartása miatt maradt el a Kérelmezett székhelyén a kamerafelvételekbe való betekintés, valamint a hangfelvételek visszahallgatása. A Kérelmező tehát a Kérelmezettel szembeni magatartásával megnehezíti az érintetti joggyakorlásra irányuló kérelmeinek a Kérelmező általi elbírálását.

(83) A bírság kiszabása a fentiek alapján szükséges a Kérelmezett tekintetében, annak ellenére, hogy jelen ügyben egyetlen érintett jogai gyakorlásával összefüggő jogsértésről van szó.

(84) A fentiekre, valamint arra tekintettel, hogy a Kérelmezett 2017. évi konszolidált beszámolója szerinti az adózás előtti eredménye [~50 milliárd] forint volt, a kiszabott adatvédelmi bírság összege kifejezetten alacsonynak tekinthető és nem lépi túl a kiszabható bírság maximumát.

(85) A bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg.

(86) A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

IV. Egyéb kérdések:

(87) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (88) A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. (89) Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

(90) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §-a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (91) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (92) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (93) Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2019. május 31.

Dr. Péterfalvi Attila elnök c. egyetemi tanár