Орган по защите данных Венгрии: обработка номера телефона и исполнение запроса о доступе коллектором

………………………………………………………………………………………………………… 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH- 3833- 10/2021. Tárgy: kérelemnek részben helyt adó határozat

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt […]

kérelmező (lakcím: […]; a továbbiakban: Kérelmező) személyes adatainak a […] (székhelye: […];

adószáma: […]; a továbbiakban: Kérelmezett) általi jogellenes kezelése tárgyában benyújtott, a Hatósághoz 2021. március 30-án érkezett, 2021. május 7-én teljessé vált kérelme nyomán indult adatvédelmi hatósági eljárásban a Hatóság az alábbi döntéseket hozza:

1. A Hatóság a Kérelmező kérelmének részben helyt ad, és megállapítja, hogy a Kérelmezett megsértette az általános adatvédelmi rendelet (a továbbiakban: GDPR) 15. cikk (1) bekezdését.

2. A Hatóság elutasítja a Kérelmező telefonszáma jogellenes kezelésének megállapítására irányuló kérelmét.

3. A Hatóság elutasítja a Kérelmező telefonszáma törlésének elrendelésére irányuló kérelmét.

4. A Hatóság a Kérelmező kérelmének részben helyt ad, és utasítja a Kérelmezettet a Kérelmező hozzáférési kérelmének teljeskörű teljesítésére.

5. A Hatóság hivatalból megállapítja, hogy a Kérelmezett megsértette a GDPR 12. cikk (2)

bekezdését.

* * * A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az eljárás menete

(1) A Kérelmező képviselője útján – […] (székhelye: […]; a továbbiakban: Képviselő) – postai úton benyújtott adatvédelmi hatósági eljárás iránti kérelme 2021. március 30-án érkezett a Hatósághoz. (2) Tekintettel arra, hogy a kérelem nem felelt meg az Infotv. 60. § (5) bekezdésben foglalt valamennyi követelménynek, illetve nem tartalmazta a Képviselőnek adott meghatalmazás eredeti példányát, ezért a Hatóság a NAIH-3833-2/2021. számú, 2021. április 13-án kelt végzésében hiánypótlásra hívta fel a Kérelmezőt.

(3) A Kérelmező hiánypótlási felhívásra adott nyilatkozata – amellyel csak részben tett eleget a hiánypótlási felhívásban foglaltaknak – 2021. április 27-én érkezett a Hatósághoz. A kiegészített kérelem szerint a Kérelmező kérte, hogy a Hatóság állapítsa meg, a Kérelmezett jogalap nélkül kezeli a telefonszámát, és ezen jogsérelem orvoslása érdekében utasítsa a telefonszám törlésére. A Kérelmező kérte továbbá, hogy a Hatóság állapítsa meg a Kérelmező hozzáférési jogának sérelmét, és utasítsa a Kérelmezettet a 2021. január 25-én kelt hozzáférési kérelme teljesítésére. A Kérelmező ezen túlmenően kérte, hogy a feltételek fennállása esetén a Hatóság szabjon ki adatvédelmi bírságot, és amennyiben a Hatóság marasztaló határozatot hoz, úgy azt hozza nyilvánosságra. (4) A Képviselő a meghatalmazása eredeti példányát postai úton nyújtotta be a Hatósághoz, amelyet a Hatóság 2021. május 5-én vett át. Ezen túlmenően szintén a hiánypótlási felhívásra hivatkozással a Kérelmező képviselője a Hatósághoz 2021. május 7-én érkezett leveléhez csatolta egy, a jogsértést alátámasztó bizonyítékot. (5) A Hatóság 2021. május 17-én kelt, a NAIH-3833-7/2021. számú végzésében értesítette a Kérelmezettet az adatvédelmi hatósági eljárás megindításáról, valamint a tényállás tisztázása érdekében nyilatkozattételre hívta fel. (6) A Kérelmezett nyilatkozata e-Papír szolgáltatás használatával 2021. június 4-én érkezett a Hatósághoz. (7) A Hatóság a NAIH-3833-9/2021. végzésében a tényállás tisztázása keretében felhívta a Képviselőt, hogy nyújtson be olyan meghatalmazást, amely megfelel az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 14. § (1) bekezdésében és polgári perrendtartásról szóló 2016. évi CXXX. törvény 594. § b) pontjában foglalt követelményeknek. A megfelelő formában kiállított meghatalmazást tartalmazó levelet a Hatóság 2021. augusztus 16-án vette át. (8) A Kérelmezett nyilatkozata, illetve az általa csatolt dokumentumok alapján a Hatóság az Ákr. 25. § (1) bekezdés b) pontja alapján 2021. szeptember 2-án kelt, NAIH-3833-11/2021. számú végzésében megkereséssel fordult a [hírközlési szolgáltatóhoz]. A [hírközlési szolgáltató] a Hatóság felhívásának eleget tett, nyilatkozata 2021. szeptember 16-án érkezett a Hatósághoz. (9) A Képviselő 2021. szeptember 3-án e-mailben érdeklődött az ügy állásáról. (10) A Hatóság a 2021. szeptember 29-én kelt, NAIH-3833-14/2021. és NAIH-3833-15/2021. számú végzéseiben értesítette a Kérelmezőt és a Kérelmezettet, hogy a bizonyítási eljárást befejezte, tájékoztatta őket, hogy gyakorolhatják az iratbetekintési jogukat, illetve további bizonyítási indítványokat tehetek. A Kérelmezett 2021. október 4-én iratbetekintési kérelemmel fordult a Hatósághoz, amelynek a Hatóság 2021. október 12-én kelt, NAIH-3833-17/2021. számú végzésével iratmásolatok útján – az iratbetekintési jogot a személyes adatok védelmére tekintettel korlátozva – eleget tett. A Kérelmezett 2021. október 25-én kelt nyilatkozata szerint további bizonyítási indítványt az ügyben nem kívánt tenni.

II. Tényállás

(11) Az adatvédelmi hatósági eljárás iránti kérelmében a Kérelmező előadta, hogy a [Társaság] a vele szemben fennálló követeléseit a [Követeléskezelő].-re engedményezte 2017. […]-án, aki azt egy 2017. […]-én létrejött engedményezési szerződés alapján tovább engedményezte a Kérelmezettre. Az engedményezésről a Kérelmezett és a [Követeléskezelő] 2018. […]-án közösen, 2018. […]-án kiállított engedményezési értesítőben értesítették a Kérelmezőt – aki ezt a Kérelmezetthez tett nyilatkozata szerint nem kapta meg –, majd ezt követően 2019. január 31-én kelt levelében a Kérelmezett teljesítésre hívta fel a Kérelmezőt. (12) A Kérelmezett 2020. december 11-én éves egyenlegközlő levél megküldésével tájékoztatta a Kérelmezőt arról, hogy vele szemben lejárt esedékességű követelést tart nyilván. (13) A Kérelmező 2020. december 29-én – az általa csatolt hívásrészletező szerint – 11:15-kor a levél kapcsán felhívta a Kérelmezettet számkijelzés tiltása mellett, és magát a Kérelmezett levelén feltüntetett ügyszámmal, illetve a négy természetes személyazonosító adatával azonosította – a beszélgetésről készült hangfelvétel Kérelmezett által csatolt leirata alapján –, majd ezt követően a Kérelmezett munkatársa ismeretlen okból bontotta a hívást.

(14) Ezt követően a Kérelmezett felszólító levelében is megjelölt +[…] telefonszámra bejövő hívás érkezett 2020. december 29-én 11:19-kor a +[x] telefonszámról, egy a Kérelmezett számára ismeretlen személytől. A Kérelmezett hívások bonyolítása és rögzítése során használt rendszere kijelezte és rögzítette a hívás során a hívó fél telefonszámát, amelyet a rendszerről készült képernyőmentéssel igazolt. A hívást az ügyfélszolgálat nem tudta fogadni, így azt konkrét követeléshez, adóshoz kapcsolni nem lehetett, így pedig a telefonszám követeléskezelési rendszerben való rögzítésére sem került sor. A telefonszámot azért rögzítették a Kérelmezett rendszerei, hogy a telefonos kommunikációt sikertelenül kezdeményező felet ugyanezen a telefonszámon vissza tudja hívni.

(15) A Kérelmezett a nyilvántartott követelések kötelezettjeivel történő együttműködés követelményére figyelemmel, valamint a panaszok kezelésével kapcsolatos kötelezettségek teljesítése érdekében a Kérelmezett egyik ügyintézője 2020. december 30-án 12:54-kor visszahívást kezdeményezett a +[x] telefonszámra. A hívás sikeres volt, a hívást a hívott fél fogadta. A Kérelmezett ügyintézője bemutatkozott, elmondta, hogy a Kérelmezett nevében telefonál, és hogy „volt erről a számról egy nem fogadott hívásunk.” A telefont felvevő hölgy erre azt válaszolta, hogy „biztos a férjem telefonált”, de a beszélgetés során további, a férje beazonosítására alkalmas adatot nem közölt, azt a Kérelmezett ügyintézője nem is kért, így a telefonszám ezen beszélgetés után sem volt konkrét adóshoz köthető.

(16) 2020. december 30-án 13:39-kor újabb, ismeretlen számról indított hívás futott be a Kérelmezetthez. A Kérelmező már azonosítását megelőzően úgy nyilatkozott, hogy „tegnap hívtam ezt a számot, meg is mondom mikor, 11 óra 19 perckor, ennek a hangfelvételét kérném szépen.”, majd megismételte, hogy „a kedves kolléganő rám dobta a telefont, ezt a beszélgetést azonnal kérem, és megkérdezem, hogy honnan tudnak egy […] számról.” A Kérelmező utóbbi kérdésére a Kérelmezett ügyintézője tájékoztatta, hogy a rendszerben a Kérelmezőnél nem szerepel telefonszám. A Kérelmező hivatkozott az aznapi 12:54 perckor történt hívásra, azonban a Kérelmezett munkavállalója a Kérelmezőre vonatkozó nyilvántartásban nem látott ilyen kimenő hívást a megadott időpontban, ezért azt ígérte a Kérelmezőnek, hogy utánanéz, majd tett egy megjegyzést, miszerint „telefonszámot egyébként nyilvános tudakozóból szoktuk”. A Kérelmezett nyilatkozata szerint ez egy általános jellegű egyébként téves – tájékoztatás volt, mivel a Kérelmezett nyilatkozata szerint 2018. május 25-e óta nem gyűjt az adósokhoz telefonszámot nyilvános adatbázisokból, tudakozóból.

(17) A Kérelmező a beszélgetés során később úgy fogalmazott, hogy „honnan tudnak egy olyan számot, ami nem létezik és ami magán kézben van, ami a tudakozóban nincs benne? Honnan vesznek elő egy olyan számot?” Ezt követően a Kérelmezett munkatársa arról a tájékoztatta a Kérelmezőt, hogy „most nézem, a kolleganő olyanokat hívott, akiktől volt nem fogadott hívásunk, azokat a számokat hívta. (…) Arról a számról kellett, hogy legyen nem fogadott hívás.”, ez utóbbi állítást azonban a Kérelmező vitatta arra hivatkozva, hogy ő a számkijelzés tiltása mellett telefonált, így az ügyintéző által adott tájékoztatást nem fogadta el.

(18) A Kérelmezett tájékoztatta a Hatóságot, hogy sem a fenti hívás idején nem szerepelt, sem utóbb nem került rögzítésre a Kérelmezett követeléskezelési rendszerében a +[x] telefonszám a Kérelmező telefonszámaként, ezt a követeléskezelési nyilvántartásról készült képernyőmentéssel is alátámasztotta.

(19) Ezt követően 2021. január 25-én kelt levelében – amelyet a Kérelmezett 2021. február 2-án vett át – a Képviselő felvette a kapcsolatot a Kérelmezettel, amelyben arról kért tájékoztatást, hogy a Kérelmezett a Kérelmező adatait „honnan és milyen jogon szerezt[e] meg illetve használt[a].” A levélben kifejtésre került, hogy a Kérelmező a Kérelmezett adatkezeléséhez nem adta kifejezett és tájékozott hozzájárulását és kérte, hogy „amennyiben Önöknek rendelkezésre áll Ügyfelünk hozzájáruló nyilatkozata, vagy az, hogy az engedményező ismerte és Önöknek átengedte Ügyfelünk adatainak kezelését, azt kérem, hogy bocsássák rendelkezésünkre.” Ezen túlmenően tájékoztatást kért arról a GDPR 15. cikkére hivatkozással, hogy a Kérelmezett a Kérelmező személyes adatait milyen címzettek felé továbbította, és kérte, hogy a Kérelmezett adjon tájékoztatást az adatkezelés céljáról és jogalapjáról. A Képviselő a leveléhez egy Németországban kiállított, de felül nem hitelesített meghatalmazást csatolt.

(20) A Kérelmezett ennek kapcsán kifejtette, hogy álláspontja szerint a GDPR 12. cikk (6) bekezdése alapján az érintetti jogok gyakorlásának előfeltétele, hogy az érintett személyazonosságának igazolása megfelelően megtörténjen. A csatolt meghatalmazást a felülhitelesítés hiánya miatt érvénytelennek tekintette, illetve álláspontja szerint a Képviselő jogi képviselet ellátására nincs feljogosítva. Ennek kapcsán hivatkozott arra is, hogy a Hatóság sem fogadta el a Képviselő által benyújtott, a Kérelmező által Németországban aláírt meghatalmazást annak alaki és tartalmi hiányosságai miatt. A Kérelmezett a kellően alá nem támasztott képviseleti jog miatt nem válaszolt a hozzáférési kérelemre, azonban 2021. március 17-én kelt levelében tájékoztatta a Kérelmezőt arról, hogy a személyes adatait a [Társasággal] szemben keletkezett, a Kérelmezett által engedményezés útján megszerzett fennálló tartozás érvényesítése érdekében kezeli. A leveléhez mellékelte az engedményezési nyilatkozatok másolatát is, illetve a tartozás részleteit összefoglaló táblázatot.

(21) A Kérelmező azon állításával kapcsolatban, hogy a hívószámát annak ellenére kezelhette a Társaság, hogy ő a hívószám kijelzését letiltotta, a Kérelmezett hivatkozott a [hírközlési szolgáltató] ÁSZF-jének […] pontjára, továbbá a nyilvános elektronikus hírközlési szolgáltatáshoz kapcsolódó adatvédelmi és titoktartási kötelezettségre, az adatkezelés és a titokvédelem különleges feltételeire, a hálózatok és a szolgáltatások biztonságára és integritására, a forgalmi és számlázási adatok kezelésére, valamint az azonosító kijelzésre és hívásátirányításra vonatkozó szabályokról szóló 4/2012. (I. 24.) NMHH rendelet 9. §-ra, amely szerint a hívószám kijelzése a telefonszámmal rendelkező előfizető rendelkezése alatt áll. Azon hívás során, amelynek során a hívó fél a hívószám kijelzését saját készülékén engedélyezte, a hívószámnak a hívott féllel való közlését a szolgáltatója részére engedélyezte. Hivatkozott továbbá arra, hogy álláspontja szerint a Kérelmező csak állította, de semmilyen módon nem igazolta, hogy valamennyi, az általa megjelölt telefonszámról a Kérelmezett felé kezdeményezett hívás esetében megtiltotta a telefonszámának kijelzését.

(22) A +[x] telefonszám kezelésével kapcsolatban a Hatóság szükségesnek tartja rögzíteni, hogy a Kérelmező a 2020. december 30-án 13:39-kor indított hívás során több alkalommal tett olyan kijelentéseket, hogy „nincs telefonomon”, „Önök kerestek egy olyan számon, ami nem is az enyém”, „Kerestek, de egy nem létező telefonszámon”, „honnan tudnak egy olyan számot, ami nem létezik”, „Önök hívtak egy olyan hetvenes számot, ami nem én vagyok.” Ezen nyilatkozatok, valamint a hívószám kijelzésének megtiltásával kapcsolatos ellenkező álláspontok tisztázása érdekében a Hatóság megkereséssel fordult a [hírközlési szolgáltatóhoz]. A [hírközlési szolgáltató] arról tájékoztatta a Hatóságot, hogy a +[x] hívószám előfizetője a Kérelmező, a vonatkozó előfizetői szerződés köztük 2017. […]-én jött létre.

(23) A hívószám kijelzése kapcsán úgy nyilatkozott, hogy mivel a hívószám kijelzésének tiltására hívásonként is lehetőségük van az előfizetőknek, ezért kizárólag log fájlok alapján lehetséges annak megállapítása, hogy a hívó fél a konkrét hívás esetében letiltotta-e a hívószám kijelzését. A Kérelmezett monitoring rendszerei a részletes signaling naplókat maximum 60 napig tárolják, míg a historikus hívásadat naplókat legfeljebb 45 napig tárolják. Ebből kifolyólag a [hírközlési szolgáltató] nem tudott információval szolgálni arról, hogy a +[x] telefonszámról 2020. december 29-én 11:19-kor indított hívás során a hívószám kijelzése letiltásra került-e.

III. Alkalmazott jogszabályok

GDPR 12. cikk (2) bekezdés: Az adatkezelő elősegíti az érintett 15–22. cikk szerinti jogainak a gyakorlását. GDPR 12. cikk (4) bekezdés: Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.

GDPR 12. cikk (6) bekezdés: A 11. cikk sérelme nélkül, ha az adatkezelőnek megalapozott kétségei vannak a 15–21. cikk szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti. GDPR 15. cikk (1) bekezdés: Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár. GDPR 58. cikk (2) bekezdés b), c), g) és i) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. Az Infotv. 2. § (2) bekezdés: Személyes adatoknak az (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet a III-V. és a VI/A. Fejezetben, valamint a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §ban, az 55. § (1)-(2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, a 62-71. §-ban, a 72. §-ban, a 75. § (1)-(5) bekezdésében, a 75/A. §-ban és az 1. mellékletben meghatározott kiegészítésekkel kell alkalmazni.

Az Infotv. 60. § (1) és (2) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít. Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel. Az adatvédelmi hatósági eljárás megindítása iránti kérelem a GDPR 77. cikk (1) bekezdésében meghatározott esetben nyújtható be. A nyilvános elektronikus hírközlési szolgáltatáshoz kapcsolódó adatvédelmi és titoktartási kötelezettségre, az adatkezelés és a titokvédelem különleges feltételeire, a hálózatok és a szolgáltatások biztonságára és integritására, a forgalmi és számlázási adatok kezelésére, valamint az azonosító kijelzésre és hívásátirányításra vonatkozó szabályokról szóló 4/2012. (I. 24.) NMHH rendelet 9. § (1) bekezdés: A számfüggő személyközi hírközlési szolgáltatást nyújtó szolgáltatónak ingyenesen biztosítania kell az előfizető írásbeli kérelme alapján a) a hívó felhasználónak, hogy hívásonként letilthassa az azonosítója kijelzését a hívott készüléken; b) a hívó előfizetőnek, hogy előfizetői hozzáférési pontonként letilthassa az azonosítója kijelzését a hívott készüléken; c) a hívó felhasználónak, hogy hívásonként - a b) pontban meghatározott letiltás ellenére - lehetővé tegye azonosítója kijelzését a hívott készüléken; d) a hívott előfizetőnek, hogy készülékén a hívó azonosítója ne jelenjék meg; e) a hívott előfizetőnek, hogy megtagadja azon hívások fogadását, amelyek esetében a hívó az azonosítója kijelzését letiltotta.

IV. Döntés

IV.1. A Kérelmező telefonszáma kezelésének jogszerűsége (24) A Kérelmező az adatvédelmi hatósági eljárás iránti kérelmében kérte, hogy a Hatóság állapítsa meg, hogy a Kérelmezett jogellenesen, jogalap nélkül kezeli a telefonszámát, és a Hatóság rendelje el a jogellenesen kezelt telefonszám törlését. (25) A Kérelmező telefonszámának kezelésével kapcsolatban az eljárás során ellentmondás volt a felek között, hogy ahhoz milyen forrásból jutott hozzá a Kérelmezett, mivel a Kérelmező úgy nyilatkozott, hogy minden hívás során rejtett számról hívta a Kérelmezettet, míg a Kérelmezett nyilatkozata szerint a 2020. december 29-én 11:19:19-kor indított hívás során a számkijelzés aktív volt, így a számot a hívások lebonyolítására szolgáló rendszere rögzíteni tudta. A Kérelmezett ezen állítását a telefonhívások bonyolítására használt rendszeréről készült képernyőképpel is alátámasztotta, amely szerint a fenti időpontban volt egy nem fogadott hívása a Kérelmezettnek a +[x] telefonszámról.

(26) Azt, hogy 2020. december 29-én a Kérelmező telefonszámáról kétszer is indítottak hívást a Kérelmezett felé, a Kérelmező által csatolt hívásrészletező is alátámasztja, másrészről a Kérelmezett által csatolt, a Kérelmező és a Kérelmezett munkatársa között 2020. december 30án történt beszélgetés leirata szerint maga a Kérelmező is azt mondta, hogy „tegnap hívtam ezt a számot, meg is mondom mikor, 11 óra 19 perckor”. (27) A Hatóság álláspontja szerint a Kérelmezett helytállóan hivatkozott arra, hogy a Kérelmező a hívószám minden hívás során való letiltása kapcsán csak állításokat fogalmazott meg, azonban azt semmilyen módon nem támasztotta alá. Pusztán a jogsértés feltételezése, annak állítása önmagában nem elegendő jogsértés valószínűsítéséhez, a Kérelmezőt terhelő bizonyítási kötelezettség teljesítéséhez. A Hatóságnak a kérelemre indult hatósági eljárásban a kérelmet az abban foglalt tartalommal és indokok alapján kell elbírálnia, a jogsérelem valószínűsítése a kérelmezőt terheli. Ebből kifolyólag, valamint a Kérelmezett által csatolt bizonyíték alapján a Hatóság a tényállást akként állapítja meg, hogy a Kérelmező 2020. december 29-én 11:19-kor nem rejtett számról hívta a Kérelmezettet, akinek a rendszere így a +[x] számot rögzíteni tudta. (28) A +[x] szám rögzítésére azonban csak annak érdekében került sor, hogy azt a Kérelmezett vissza tudja hívni, tekintettel arra, hogy a hívást fogadni nem tudta. Hangsúlyozandó, hogy a Kérelmezett a telefonszámot nem tudta a Kérelmezőhöz kapcsolni, hiszen a korábbi beszélgetés során – 2020. december 29. 11:15 – a hívószáma kijelzésének tiltása mellett telefonált a Kérelmező. Azaz a szám rögzítésére nem a Kérelmező személyes adataként került sor, és azt a másnapi visszahívás során sem tudta a Kérelmezőhöz kapcsolni a Kérelmezett tekintettel arra, hogy a beszélgetés során a Kérelmező azonosítására alkalmas információ nem hangzott el. A fenti telefonszám még a Kérelmező 2021. január 25-én kelt hozzáférési kérelme alapján sem volt hozzá köthető, mivel abban sem a telefonszám, sem a hívások időpontja nem szerepelt, a kapcsolatot közte és a telefonszám között a Hatóság adatvédelmi hatósági eljárásról való értesítése teremtette meg. (29) A Kérelmezett ebből kifolyólag, sem 2020. december 30-án, sem a hozzáférési kérelem benyújtásának időpontjában nem kezelte a +[x] telefonszámot a Kérelmező telefonszámaként, és az a Hatóság megkeresését követően sem került rögzítésre a Kérelmező elérhetőségi adataként. (30) A Kérelmezett a telefonszámot – nem a Kérelmezőhöz kötötten, nem a Kérelmező telefonszámaként – a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdeke alapján rögzítette. A jogos érdeke az, hogy az ügyfélszolgálatát hatékonyan tudja működtetni, továbbá, hogy meg tudjon felelni a hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény 288. §-a szerinti azon kötelezettségének, hogy a telefonon való panasztétel és tájékoztatás valamennyi ügyfél részére biztosított legyen azáltal, hogy minden beérkező nem fogadott hívás esetén visszahívja a hívószámot. Az adatkezelés célja is kizárólag arra korlátozódott, hogy a telefonos kommunikációt sikertelenül kezdeményező hívó felet ugyanezen számon visszahívja, ez az adatkezelési cél pedig nem tette szükségessé az érintett azonosítására alkalmas módon való adatkezelést. (31) A fentiekből kifolyólag a Hatóság megállapítja, hogy a telefonszám előző bekezdésben meghatározott célból és jogalapon való kezelése jogszerű volt, más célból és jogalapon pedig, a Kérelmezőhöz rendelten a Kérelmezett nem kezelte a Kérelmező telefonszám adatát. IV.2. A Kérelmező hozzáférési jogának biztosítása (32) A Kérelmező az adatvédelmi hatósági eljárásban kérte, hogy a Hatóság marasztalja el a Kérelmezettet, mivel az nem tett eleget a 2021. január 25-én kelt hozzáférési kérelmének, és kérte, hogy a Hatóság kötelezze a Kérelmezettet annak teljesítésére.

(33) A hozzáférési kérelemben a kérelmező a személyes adatai forrásáról, a személyes adatai kezelésének céljáról és jogalapjáról, valamint az esetleges címzettek személyéről kért tájékoztatást a Kérelmezettől, illetve kérte, hogy „amennyiben Önöknek rendelkezésre áll Ügyfelünk hozzájáruló nyilatkozata, vagy az, hogy az engedményező ismerte és Önöknek átengedte Ügyfelünk adatainak kezelését, azt kérem, hogy bocsássák rendelkezésünkre.” Az utóbbi dokumentum alatt feltehetőleg az engedményezési értesítő értendő, bár a kérelem megfogalmazása nem kellően egyértelmű. (34) A Kérelmezett nem a Képviselő részére válaszolta meg a kérelmet – mivel álláspontja szerint a Képviselő a rendelkezésére álló dokumentumok alapján nem volt jogosult a Kérelmező képviseletének ellátására – hanem a Kérelmező lakcímére küldött egy tájékoztató levelet. Ezen levélben tájékoztatta a Kérelmezőt a személyes adatai forrásáról (a Társaság), a személyes adatai kezelésének céljáról (vele szemben fennálló, lejárt követelés érvényesítése), ennek kapcsán utalt rá, de explicite nem írta le, hogy az adatkezelés jogalapja a követelés érvényesítéséhez fűződő jogos érdeke. A levélhez mellékelte a Kérelmező tartozásainak részletezését, illetve az engedményezésről szóló értesítők másolatát. Ez utóbbiak a Hatóság álláspontja szerint megfeleltethetők a hozzáférési kérelemben foglalt, az előző bekezdésben idézett módon körülírt dokumentumoknak. (35) A Hatóság álláspontja szerint a fentiekkel a Kérelmezett nem teljeskörűen, de részben teljesítette a Kérelmező hozzáférési kérelmét, abból az adatkezelés bizonyos körülményei már megismerhetők voltak, míg mások hiányoztak belőle: a Kérelmezett által nyújtott tájékoztatás kizárólag a követeléskezelési célú adatkezelésre vonatkozott, a válaszban nem tért ki például a panaszkezelési célú adatkezelésre, továbbá az adatkezelés célját és jogalapját nem személyes adatonként határozta meg összhangban az átláthatóság követelményével, illetve elmulasztotta tájékoztatni a Kérelmezőt az esetleges címzettek személyéről. (36) A Kérelmezett a hozzáférési kérelem nemteljesítése kapcsán arra hivatkozott, hogy álláspontja szerint a Képviselő a hozzáférési kérelem benyújtásakor nem rendelkezett érvényes képviseleti jogosultsággal, így a kérelmet nem fogadhatta el a Kérelmezőtől származónak, így pedig a GDPR 12. cikk (6) bekezdése alapján nem teljesíthette a kérelmet. A Hatóság ezt az érvelést nem tartja elfogadhatónak, mivel a GDPR 12. cikk (6) bekezdése úgy rendelkezik, hogy amennyiben az adatkezelőnek megalapozott kétsége van az érintetti kérelmet benyújtó természetes személy kilétével kapcsolatban, úgy az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti, erre azonban nem került sor, a Kérelmezett nem jelezte sem a Kérelmező, sem a Képviselő felé, hogy vitatja a Képviselő képviseleti jogosultságát. Ezzel kapcsolatban a Hatóság megjegyzi, hogy az érintetti jogok nem csak jogi képviselő, hanem a Polgári Törvénykönyvről szóló 2013. évi V. törvény 6:11. §-a szerinti bármely képviselő útján gyakorolhatók. Abban azonban helytállónak tartja a Hatóság a Kérelmezett álláspontját, hogy a csatolt meghatalmazásban maga a Képviselő hivatkozik az ügyvédi tevékenységről szóló 2017. évi LXXVIII. törvény 34. §-ra, illetve arra, hogy jogi képviseletet lát el, így a meghatalmazásnak meg kell felelnie a saját maga által támasztott követelményeknek. (37) A Hatóság álláspontja szerint nem a Kérelmező kiléte kapcsán merült fel kétsége a Kérelmezettnek, hanem a Képviselő képviseleti jogosultsága kapcsán – ezt támasztja alá az is, hogy a megkeresésre részben válaszolt a Kérelmezett, és azt a Kérelmező lakcímére postázta – így ezen kétségéről a GDPR 12. cikk (2) bekezdése alapján kellett volna tájékoztatnia a Kérelmezőt és a Képviselőt. A GDPR 12. cikk (2), (4) és (6) bekezdéseiből is kiolvasható az a jogalkotói szándék, hogy amennyiben az adatkezelő álláspontja szerint az érintetti kérelem teljesítésének valamilyen akadálya van – nem megfelelően igazolt kilét, nem kellően pontos vagy egyértelmű kérelem – úgy erről az okról az érintett tájékoztatnia kell annak érdekében, hogy a teljesítés gátját képező körülményeket el tudja hárítani, és megtehesse a szükséges intézkedéseket ahhoz, hogy a kérelme teljesíthető legyen. A fentiek alapján a Hatóság megállapítja, hogy a Kérelmezett megsértette a GDPR 12. cikk (2) bekezdését, amikor a képviseleti joggal kapcsolatos kétségeiről nem tájékoztatta az érintettet, és nem hívta fel a képviseleti jog kétséget kizáró igazolására. (38)

A fentiek alapján a Hatóság megállapítja továbbá, hogy a Kérelmezett megsértette a Kérelmező GDPR 15. cikk (1) bekezdése szerinti hozzáférési jogát, amikor a hozzáférési kérelmére nem adott teljeskörű választ, mivel a teljes kérelem teljesíthető lett volna a Kérelmező lakcímére megválaszolva, függetlenül a Képviselő képviseleti jogosultságának fennálltától. IV.3. Jogkövetkezmények (39)

A Hatóság megállapítja, hogy a Kérelmezett megsértette a GDPR 12. cikk (2) bekezdését és a 15. cikk (1) bekezdését, és ezért a Kérelmező kérelmének helyt adva a GDPR 58. cikk (2)

bekezdés b) pontja alapján elmarasztalja. (40)

A Hatóság elutasítja a Kérelmező azon kérelmét, hogy kötelezze a Kérelmezettet a telefonszáma törlésére, tekintettel arra, hogy a telefonszámot a Kérelmezett a telefonszámot nem kezeli követeléskezelési célból a Kérelmező kapcsolattartási adataként, az a követeléskezelési nyilvántartásban nem szerepel. (41)

A Hatóság a Kérelmező kérelmére a GDPR 58. cikk (2) bekezdés c) pontja alapján utasítja a Kérelmezettet a Kérelmező hozzáférési kérelmének a jelen határozat IV.2. pontjának megfelelő, minden személyes adatra és adatkezelési célra kiterjedő módon való teljesítésére. (42)

A Hatóság a Kérelmező adatvédelmi bírság kiszabására, illetve a határozat nyilvánosságra hozatalára irányuló kérelmét elutasítja. Ennek oka egyrészt, hogy mivel e jogkövetkezmények alkalmazása a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen, a közérdek érvényesítésének körébe eső jogkövetkezmények alkalmazása tekintetében a bírságkiszabás és a határozat nyilvánosságra hozatala vonatkozásában – a Kérelmező nem minősül ügyfélnek az Ákr. 10.§ (1) bekezdése alapján, így e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető.

(43) Abban a kérdésben, hogy indokolt-e az adatvédelmi bírság kiszabása, a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében nincs szükség adatvédelmi bírság kiszabására, elegendő intézkedés a jogsértés megállapítása és a Kérelmezett kötelezése a Kérelmező hozzáférési kérelmének teljesítésére. (44) A Hatóság azért tartja elegendőnek a jogsértő adatkezelés miatt a Kérelmezett elmarasztalását, mert korábban még nem sértette meg a GDPR rendelkezéseit, a megállapított jogsértés nem érinti személyes adatok különleges kategóriáit. Ezen túlmenően a Kérelmezett csak részben nem tett eleget a Kérelmező hozzáférési kérelmének, így a kérelem nem megfelelő teljesítése által okozott jogsérelem csekély jelentőségűnek tekinthető. (45) A fentiekből kifolyólag a Hatóság a rendelkező részben foglaltak szerint döntött.

V. Egyéb kérdések

(46) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

(47) A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. (48) Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal és a megszüntető végzéssel szemben közigazgatási per útján van helye jogorvoslatnak. (49) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (50) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (51) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. (52) A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Budapest, 2021. november 10.

Dr. Péterfalvi Attila elnök c. egyetemi tanár