Hungarian Data Protection Authority (NAIH): violation of data subject rights and information obligation

Ügyszám: NAIH-158-3/2021. Előzmény: NAIH/2019/2805. NAIH/2020/303

Tárgy: kérelemnek részben helyt adó határozat

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] (a továbbiakban: Kérelmező) követeléskezeléssel összefüggően személyes adatai jogellenes kezelése tárgyában benyújtott kérelme alapján hatósági eljárás indult a […] (a továbbiakban: Kérelmezett 1), valamint a […] (a továbbiakban: Kérelmezett 2) (a továbbiakban együtt: Kérelmezettek) adatkezelésének vizsgálata tárgyában, mely eljárásban a Hatóság a Kérelmezett 1 jogutódjával, a […]-vel (a továbbiakban: Jogutód) és a Kérelmezett 2-vel szemben az alábbi döntéseket hozza: I.1. A Hatóság határozatában a Kérelmező kérelmének részben helyt ad, és megállapítja, hogy Kérelmezett 1 nem teljesítette a Kérelmező 2018. december 12. napján, továbbá a 2019. február 18. napján kelt érintetti kérelmeivel kapcsolatos válaszadási kötelezettségét, mellyel megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: általános adatvédelmi rendelet) 12. cikk (1)-(3) bekezdését, továbbá az általános adatvédelmi rendelet 21. cikk (1) bekezdését.

I.2. A Hatóság hivatalból kötelezi a Jogutódot, hogy a jelen határozat véglegessé válásától számított 15 napon belül tájékoztassa a Kérelmezőt az érintetti kérelmeivel összefüggésben, melyekkel kapcsolatban a Kérelmezett 1 a tájékoztatási kötelezettségét elmulasztotta teljesíteni. I.3. A Hatóság a határozatában a Kérelmezett 1 által a Kérelmezett 2 részére a Kérelmező személyes adatainak jogellenes adattovábbítására és a Kérelmező személyes adatai Kérelmezett 1 és Kérelmezett 2 általi jogellenes kezelésének megállapítására, a Kérelmező személyes adatainak Kérelmezett 1 és Kérelmezett 2 általi törlésére irányuló, továbbá a Jogutód által megfelelő jogalapra hivatkozva kezelt személyes adatok törlésére vonatkozó kérelmét elutasítja.

II. A Hatóság a Jogutódot a Kérelmezett 1 által végzett jogellenes adatkezelés miatt hivatalból

500.000 Ft, azaz ötszázezer forint adatvédelmi bírság megfizetésére kötelezi.

A hatósági eljárás során eljárási költség nem merült fel, ezért annak viseléséről nem rendelkezett a Hatóság.

Az adatvédelmi bírságot a bírósági felülvizsgálat kezdeményezésére irányadó keresetindítási határidő lejártát, illetve felülvizsgálat kezdeményezése esetén a bíróság döntését követő 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2020/303. BÍRS. számra kell hivatkozni.

Ha a Jogutód a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását.

III. A Hatóság tekintettel arra, hogy túllépte az ügyintézési határidőt, 10.000 Ft-ot, azaz tízezer forintot a Kérelmezőnek – választása szerint – bankszámlára utalással vagy postai utalvánnyal megfizet.

A határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az eljárás menete és a tényállás tisztázása

I.1.A Kérelmező a Hatósághoz 2019. március 13-án postai úton érkezett beadványában előadta, hogy álláspontja szerint személyes adatait a Kérelmezett 1 – a Kérelmező [...] számú személyi kölcsönből eredő tartozásának engedményezésekor – jogellenesen továbbította a Kérelmezett 2 felé. A Kérelmező a kérelméhez csatolta a 2018.december 12. napján kelt - Kérelmezett 1-nek címzett - „Nyilatkozat“ nevű levelének, továbbá annak feladását igazoló belföldi tértivevény másolatát, illetve a 2019. február 18. napján küldött levelének, és annak feladását igazoló tértivevény másolatát, továbbá a Kérelmezett 1 [...] iktató sz. levelét, mely 2019. február 5-én kelt. A csatolt levelek szerint a Kérelmező tiltakozott az ellen, hogy a személyes adatait harmadik személyeknek továbbítsa a Kérelmezett 1. A 2018. december 12. napján kelt kérelem az alábbiak szerint fogalmazott: „[...] A visszavonás az ahhoz tartozó [...]-as számlaszámú szerződésre is vonatkozik. A nyilatkozatomban megtiltom, hogy személyi adataim „HARMADIK“ személyek részére kiadkák. [...]“ A 2019. február 18-án írt „Kifogás“ elnevezésű beadvány az alábbiakat tartalmazta: „Kifogással élek a 2019.02.05-én készült tájékoztatással kapcsolatban ...“ [...] Önök megsértették az adatkezelés törvényeit... Megtiltom a személyes adatataim kiadását [...]“

A Kérelmezett [...] iktató sz. tájékoztató levele, mely 2019. február 5-én kelt, a Kérelmezett 1 által a Kérelmező felé fennálló összes követelésre hivatkozott. A Kérelmező kérelmére az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján 2019. március 14-én adatvédelmi hatósági eljárás indult. A Hatóság a NAIH/2019/2805/2. számú végzésében az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 44. §-ra hivatkozással felhívta a Kérelmezőt, hogy a kérelem hiányait pótolja. A Kérelmező Hatósághoz postai úton 2019. április 5-én érkezett válaszában kérte a Kérelmezettek jogellenes adatkezelése tényének megállapítását, illetve hogy a Hatóság a Kérelmezett 2-t kötelezze a személyes adatai törlésére. A Kérelmező által becsatolt a [...] Bíróság [....] számú – követelés vitatása tárgyában született – ítéletének indokolása szerint a Kérelmezett 1 jogelődje ([...]) és a Kérelmező között a kölcsönszerződés 2007. szeptember 19. napján jött létre. A Kérelmező becsatolta továbbá – többek között – az „Engedményezési Nyilatkozat“-ot, amely szerint 2019. január 22-én került sor az engedményezésre a Kérelmezettek között, továbbá a követeléssel kapcsolatos egyéb iratokat, többek között a Kérelmező által 2007. szeptember 6. napján aláírt úgynevezett „[...] Személyi Kölcsön igénylőlap és szerződés“ dokumentum másolatát, mely az alábbi személyes adatokat tartalmazza a Kérelmező vonatkozásában:

családi és utóneve, születési helye és ideje igényelt kölcsönösszeg, futamidő, hiteligénylés célja, - „demográfiai“ adatok (családi állapot, ingatlan bentlakás jogcíme, legmagasabb iskolai végzettség), munkahelyi adatok, jövedelmi adatok, hiteltartozások (ennél a rovatnál nem szerepelnek adatok), folyósított kölcsönre vonatkozó adatok. I.2.1.A Hatóság a Kérelmezett 2-t a NAIH/2019/2805/7. számú végzésében értesítette az eljárás megindításáról és hívta fel első alkalommal nyilatkozattételre a tényállás tisztázása érdekében. A Kérelmezett 2 válaszlevelében arról tájékoztatta a Hatóságot, hogy a Kérelmező személyes adataihoz Kérelmezett 1-től jutott hozzá. Azon adatokat, amelyek nem voltak szükségesek az adatkezelési cél elérése érdekében, törölte. Adatkezelésének jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdésének f) pontja, azaz a Kérelmezett 2 jogos érdeke, az adatkezelés célja pedig a követelés érvényesítése. A Kérelmezett 2 nyilatkozata szerint „[....] által a [...]-val megkötött engedményezési szerződésből eredő követelések érvényesítése képezi a [...] jogos érdekét, amelyet az alábbi jogszabályi rendelkezések alapoznak meg:

az engedményezés tekintetében a Polgári Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.) 6:193-6:198. § (régi Ptk. hatálya alá tartozó ügyletek vonatkozásában a régi Ptk. 328. §-331.§), valamint a Ptk. 7:96. § rendelkezéseinek megfelelően a követelés érvényesítése, a hitelintézetekről és pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény (a továbbiakban: Hpt.) 159-166/A. §, külön kiemelve a Hpt. 161. § (1) bekezdés c) pontját, illetve a Hpt. 288. § (régi Hpt. 50-55.§, illetve 215/B.§), továbbá a Magyar

Nemzeti Bank elnökének 28/2014. (VII.23.) rendeletében foglalt rendelkezések szerinti banktitok és személyes adatok átadása, végül a számvitelről szóló 2000. évi C. törvény 169. § rendelkezései a számviteli bizonylatok körében.“ A követelés érvényesítése érdekében a Kérelmezett 2 a következő adatokat tartja nyilván a Kérelmező vonatkozásában: az érintett azonosításához szükséges adatok (név, születési név, születési hely és idő, anyja neve, lakcíme, levelezési címe), a kölcsönszerződésre vonatkozó adatok (szerződési feltételek, összeg, futamidő, törlesztőrészlet), követelés összegszerűségével összefüggő adatok (teljesítés, fennálló tartozás, kamatkövetelés, eljárási költségek), követelés érvényesítésével összefüggő adatok (felmondás időpontja, követelés-érvényesítési eljárások, eljárási költségek). A Kérelmezett 2 továbbá arról is nyilatkozott, hogy észlelte, hogy a követelés megvásárlásakor a Ptk. 6:196. § rendelkezéseinek megfelelő iratádaskor a Kérelmezett 1-től a konkrét ügyben átvett iratok a követeléskezelés végzéséhez nem szükséges egyéb személyes adatokat is tartalmaztak. Az iratanyag áttekintését követően az adatkezelés céljához nem szükséges személyes adatokat törölte a Kérelmezett 2. I.2.2.Tekintettel arra, hogy Kérelmezett 2 arra hivatkozott, hogy adatkezelésének jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdésének f) pontja, azonban érdekmérlegelési tesztet nem csatolt válaszához, a Hatóság a NAIH/2019/2805/13. számú végzésében felhívta, hogy nyilatkozzon, végzett-e érdekmérlegelést, és amennyiben végzett, küldje meg ennek másolatát, továbbá igazolja azt is, hogy mikor készült, valamint igazolja, hogy az általános adatvédelmi rendelet 14. cikke szerinti információkat teljeskörűen a Kérelmező rendelkezésére bocsátotta. A Kérelmezett 2 a Hatósághoz 2019. július 22-én érkezett válaszában arról tájékoztatta a Hatóságot, hogy készített érdekmérlegelést, melyet a válaszhoz csatoltan megküldött, továbbá mellékelte a Kérelmező részére küldött tájékoztató leveleket, melyekben megjelölte az adatkezelési tájékoztatója elérhetőségét is. I.2.3.A Hatóság a NAIH/2019/2805/8. ügyiratszámú végzésében Kérelmezett 1-et értesítette az eljárás megindításáról és felhívta arra, hogy közölje, a Kérelmező mely személyes adatait és milyen jogalap alapján adta át a Kérelmezett 2-nek, és küldje meg az engedményezésről szóló szerződés másolatát. A Kérelmezett 1 arról tájékoztatta a Hatóságot, hogy a […] számú személyi kölcsönszerződésre vonatkozóan az alább felsorolt adatcsoportokba tartozó személyes adatok kerültek átadásra Kérelmezett 2 részére: érintett azonosításához szükséges adatok, iskolai végzettségre vonatkozó adatok, jövedelmi helyzetre vonatkozó adatok, kölcsön felvételének célja, igényelt kölcsön szerződéses feltételei, a fennálló követelés összegszerűségével összefüggő adatok, peres eljárással kapcsolatos adatok, kapcsolattartási adatok. A Kérelmezett 1 tájékoztatta továbbá a Hatóságot, hogy a fenti adatok a Kérelmezett 2 részére történt átadásának jogalapja a Ptk. 6:193. § (1) bekezdése és 6:196. §-a volt. I.2.4. A Hatóság a NAIH/2019/2805/15. számú végzésében újabb nyilatkozattételre hívta fel a Kérelmezett 2-t tényállás tisztázása céljából. A Hatóság felhívására a Kérelmezett 2 2020. január 9. napján kelt levelében az alábbiakról tájékoztatta a Hatóságot: A követelés engedményezését követően a Kérelmező a Kérelmezett 2-höz - a Kérelmezett 2 megállapítása szerint – csak egy érintetti kérelmet nyújtott be 2019. február 21. napján, melyben a Kérelmező az engedményezés jogszerűségét vitatta. A Kérelmező egyéb levelei (2019. március 22., 2019. augusztus 15.), illetve a Kérelmezővel – 2019. március 19. napján - folytatott telefonbeszélgetés nem érintetti kérelmek voltak, hanem Kérelmező tartozására vonatkozó kérdések, megállapodási nyilatkozat, illetve kifogás volt, melyben elállásra, illetve elévülésre hivatkozott a Kérelmező. A Kérelmezett 2 nyilatkozata szerint polgári peres eljárás van folyamatban a Kérelmező által vitatott követelés érvényesítésének tárgyában, melyben jogerős ítélet még nem születetett, az adós fellebbezése folytán a peres eljárás jelenleg a […] Törvényszék, mint másodfokú bíróság előtt [….] szám alatt van folyamatban. I.2.5. A Hatóság a NAIH/2020/303. számú végzésében újabb nyilatkozatra hívta fel a Kérelmezett 1-et, melyre Kérelmezett 1 az alábbi tájékoztatást nyújtotta: A Kérelmezett 1 csatolta a 2018. május 25. napja utáni időszakra vonatkozó panaszkezelési dokumentációját, és előadta, hogy a Kérelmező közel 50 panaszt nyújtott be a Kérelmezett 1hez, melyek némelyike több tíz oldal terjedelmű, bizonyos esetekben a kérelem zavarossága és önismétlése rendkívül megnehezítette a Kérelmezett 1 munkatársainak a munkáját, a Kérelmező egyes igényeinek teljes körű kezelését. A Kérelmezett 1 kapcsolattartási adatként a Kérelmező lakcímét és telefonszámát ([…]) adta át a Kérelmezett 2-nek. A Kérelmezett 1 továbbá kiemelte, hogy a Ptk. 6:196. § alapján kötelesek voltak a személyi kölcsönnel összefüggő adatátadásra, mivel ez alapján a követelés fennállását bizonyító okiratokat az engedményező köteles az engedményesnek átadni. A Kérelmezett 1 álláspontja szerint a Kérelmező 2019. december 13. napján átvett beadványát, panaszként iktatták, abban általános adatvédelmi rendelet szerinti érintetti kérelmet nem állapítottak meg. A Kérelmezett 1 továbbá kérte figyelembe venni az alábbiakat:

- A Kérelmezett 1 telefonon keresztül nem vette fel a kapcsolatot a Kérelmezővel. - A szerződésben – melynek integráns része maga a hitelkérelem is, azzal egyetlen egységet képez – valóban megjelentek például az iskolai végzettségre, hitelcélra, stb…vonatkozó adatok, de a szerződés a peres eljárásban olyan alapvető bizonyíték, melynek engedményezése során történő átadástól – a Kérelmezett 1 álláspontja szerint – még erre vonatkozó ügyfélkérelem esetén sem tekinthetett volna el a Kérelmezett 1 a Ptk. 6:196. § rendelkezései alapján. - Az engedményező és az engedményes a szövetkezeti hitelintézetek integrációjáról szóló 2013. évi CXXXV. törvény által létrehozott szövetkezeti hitelintézeti integráció tagja. Ennek megfelelően az adatátadás nem független harmadik fél felé történt, így az esetlegesen szükségessé váló lépéseket a felek összehangoltan, az érintett érdekeit szem előtt tartva tudnák végrehajtani, ezzel is csökkentve az érintett jogaira és szabadságaira vonatkozó esetleges kockázatot. I.2.6. A Hatóság a NAIH/2020/303/5. számú végzésében ismét nyilatkozatra hívta fel a Kérelmezett 1-et, melyre a Jogutód az alábbi tájékoztatást nyújtotta: A Kérelmezett 2 részére történt adatátadás papír alapon és elektronikus formában történt. Papír alapon a következő dokumentumok kerültek átadásra: személyi kölcsön igénylőlap, a [….] számú fogyasztási hitelszerződés, a követelés érvényesítésével összefüggő dokumentáció, továbbá peres eljáráshoz kapcsolódó iratanyag. Elektronikus úton a Kérelmezett 2 részére a Kérelmezett 1 az igénylőlapot, a személyi kölcsön szerződést, behajtási folyamat során keletkezett ügyféllevelezést (felmondás előtti és utáni felszólító levelek, a szerződés felmondásáról szóló értesítés), valamint a peres eljárás során keletkezett dokumentumokat adta át. A Kérelmezett 1 az engedményezési folyamathoz szükséges adatokat egy excel táblázatban is továbbította az alábbi adatkörök szerint:

kötelezett azonosításához szükséges adatok, kölcsönszerződésre vonatkozó adatok, követeléssel és annak összegével kapcsolatos adatok. A Kérelmezett 1 engedményezést követő adatkezelésével összefüggésben a Jogutód az alábbi tájékoztatást nyújtotta: Digitalizált formában a következő adatköröket kezeli:

- A pénzmosás a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi LIII. törvény (a továbbiakban: Pmt.) 57. §-a szerinti adatok, dokumentumok, üzleti kapcsolattal összefüggésben keletkezett iratok, az azokban szereplő adatok (cél: a Pmt. 57. §-a szerinti megőrzési kötelezettség teljesítése, amennyiben az adott dokumentum számviteli bizonylatnak is minősül, úgy a Számviteli törvény 169. §-ában előírt megőrzési kötelezettség teljesítése; jogalap: jogi kötelezettség teljesítése, általános adatvédelmi rendelet 6. cikk (1) bekezdés c) pont). Kezelt adatkörök:

1. Pmt.7-11.§-ában meghatározott, érintett azonosításához szükséges adatok; 2. iskolai végzettségre, jövedelmi és gazdasági helyzetre vonatkozó adatok, családi állapot; 3. igényelt kölcsön feltételei, kölcsönszerződésre vonatkozó adatok; 4. követeléssel, és annak összegszerűségével, érvényesítésével összefüggő adatok. - A hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény (a továbbiakban: Hpt.) 288. §-a szerinti, a panaszkezelés során kezelt személyes adatok (a cél: panaszkezelésre vonatkozó jogszabályi kötelezettségnek való megfelelés; jogalap: jogi kötelezettség teljesítése, általános adatvédelmi rendelet 6. cikk (1) bekezdés c) pont). Kezelt adatkörök: 1. érintett panaszaiban foglalt személyes adatok; 2.a Kérelmezett 1 válaszaiban rögzített személyes adatok.

- Jogi eljárással összefüggésben kezelt adatok (cél: jogi igények előterjesztése, érvényesítése és védelme; jogalap: jogos érdek, általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pont: Kezelt adatkörök:

1. peres eljárás során keletkezett iratanyagban (így különösen beadványokban, végzésekben és más bírósági döntésekben) szereplő személyes adatok. I.2.7. A Hatóság a NAIH/2020/303/4. számú végzésében ismét nyilatkozatra hívta fel a Kérelmezett 2-t, melyre a Kérelmezett 2 az alábbi tájékoztatást nyújtotta: Az adatátadás papír alapon, továbbá digitálisan (és excel táblázatban) történt. Papír alapon átadott dokumentumok:

igénylőlap és személyi kölcsön szerződés, peres eljárás iratanyagai, követelés érvényesítésével összefüggő dokumentumok (pl. felszólító levelek). Excel táblában az alábbi adatok kerültek átadásra:

adós neve, telefonszáma, szerződésszám, fennálló tartozás összege, ügyszám, kötelezetti azonosító, felmondás dátuma, - KHR azonosító.

Digitalizált formában átadott adatok:

igénylőlap és személyi kölcsön szerződés, követelés érvényesítésével összefüggő dokumentumok, peres eljárás dokumentumai. I.2.8. A Hatóság az I.2.6. pontban leírtak alapján az eljárása során észlelte a cégnyilvántartás elektronikusan közzétett adatainak megtekintésével, hogy a Kérelmezett 1 a […] -ba történt beolvadással megszűnt 2019. október 31. napján, és ez alapján a jogutódlás tényét a NAIH/2020/303/10. számú végzésével megállapította. A fentiekre hivatkozással a NAIH/2020/303/11. számú végzésében a Hatóság a Jogutódot a tényállás tisztázása érdekében nyilatkozattételre hívta fel, melyre válaszul a Jogutód az alábbi tájékoztatást nyújtotta: A Jogutód fenntartja a nyilatkozatait és a jogelődje által tett nyilatkozatokat az alábbiakkal egészíti ki: A Kérelmezett 1, mint jogelőd a Polgári Törvénykönyvről szóló 2013. évi V. törvényre (a továbbiakban: Ptk.), illetve az abban foglalt átadási kötelezettségre hivatkozott, azonban nem jelölt meg konkrétan általános adatvédelmi rendelet szerinti jogalapot, mely a Jogutód álláspontja szerint az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja, figyelemmel arra, hogy az engedményező és az engedményezési szerződés megkötését követően a Kérelmezett 2 oldalán is felmerülnek olyan jogos érdekek, melyek az adatátadást megalapozzák. A Ptk. rendelkezései az érdekmérlegelés során figyelembevételre kerültek, ugyanakkor ezen szabályok nem eredményezik, hogy az engedményezéshez kapcsolódó adatátadás jogi kötelezettség lenne. Papír alapon az […] személyi kölcsön igénylőlap és szerződés elnevezésű dokumentáció részeként, az azzal szervesen összefüggő (ügyfél) Azonosítási adatlap került átadásra az engedményes részére, amely tartalmazza a Kérelmező által megadott mobiltelefonszámot, továbbá elektronikus úton is átadásra került a Kérelmező telefonszáma a Kérelmezett 2 részére. Ezen dokumentáció a 2016. augusztus 24. napján a Jogutód jogelődje és a Kérelmező között indult perben benyújtásra kerültek, így azok az akkor még folyamatban lévő peres irat részét képezték. A Jogutód álláspontja szerint a kölcsönszerződés és az ahhoz kapcsolódó Azonosítási adatlap a peres eljárás folyamán felhasznált releváns dokumentum, mely esetben tiltakozás esetén is kényszerítő erejű jogos érdeke lett volna a Kérelmezett1-nek a Kérelmezett 2 részére történő átadására. A Jogutód az ügy elbírálása során az alábbi körülmények figyelembevételét kérte:

- A Kérelmező eddig körülbelül 50 panaszt nyújtott be, amelyek esetenként nehezen értelmezhető, legtöbbször ismétlődő mondatokat tartalmaztak, ezzel nehezítve a Kérelmező egyes igényeinek teljesítését, - A Kérelmező által benyújtott és a Kérelmezett 1 által 2018. december 13. napján átvett panaszként iktatott dokumentum három sor, mely nem, illetve nehezen értelmezhető utalást tartalmazott arra vonatkozóan, hogy harmadik személyek részére ne kerüljenek átadásra a Kérelmező adatai. A Jogutód álláspontja szerint a Hatósághoz benyújtott kérelemben megjelölt [….] számú személyi kölcsön szerződéssel összefüggésben a Kérelmezett 1-hez érintetti kérelem nem érkezett be, tekintettel arra, hogy a panasz a [….] számú jelzálogkölcsönre, valamint a […] számú lakossági bankszámlára vonatkozó tiltakozást tartalmazott, így az, a személyi kölcsönnel összefüggő adatátadás tárgyában nem értelmezhető. A panasz a következőket tartalmazza:

„[…].[…] szám alatti lakos nyilatkozatomban megtiltom, hogy a […]-as számla számú szerződésre is vonatkozik. A nyilatkozatomban megtiltom, hogy személyi adataim „HARMADIK” személy részére kiadják.” - Az adatátadással kapcsolatban a Jogutód hangsúlyozta, hogy az engedményező és az engedményes is egy cégcsoporthoz tartozik, így az átadás nem egy független harmadik fél felé történt, így az esetlegesen szükségessé vált intézkedéseket a két fél összehangoltan, az érintett érdekeit szem előtt tartva tudták végrehajtani, ezzel is csökkentve az érintett jogaira és szabadságaira vonatkozó esetlegesen felmerülő kockázatot. A fentiekkel összhangban a Jogutód felhívta az engedményest arra, hogy a Kérelmező telefonszámát kapcsolattartási adatként ne kezelje, arra hívást ne kezdeményezzen (mely tiltás természetesen nem vonatkozik a bejövő hívások fogadására). - A Kérelmező által vitatott követelés fennállásával kapcsolatos polgári perrel kapcsolatban a Jogutód tájékoztatta a Hatóságot, hogy az illetékes Törvényszék elutasította a Kérelmező fellebbezését, így a Kérelmező pervesztessé vált. Állítása alátámasztására a Jogutód becsatolta a […] Törvényszék, mint másodfokú bíróság […]. számú ítéletét.

I.2.9.A Kérelmező a Hatóság NAIH/2020/303/10. számú végzésére a „Végzés megváltoztatása” tárgyú levelében az alábbiakat adta elő: „1/Az eljárás során a Hatóság nem vizsgálta a feljelentésemben a 2018.12.10-én a […] 2018.12.13-án átvette a […] számú szerződésre vonatkozó adattal összefüggő Nyilatkozatot.” A fentieken túl az „összeolvadás” megállapított időpontját kifogásolta, továbbá véleménye szerint a folytonosság a követelése tekintetében a beolvadással megszűnt. A Kérelmező kérte továbbá a Követeléskezelő által tárolt adatai azonnali törlését elrendelni, továbbá az „[…] részére történt adatátadást is törvénytelennek tartja, de erre vonatkozóan semmilyen iratot nem csatolt be. A Kérelmező a Hatósághoz 2020. december 14. napján „Észrevétel” tárgyú levelében a jogutódlás megállapított időpontját kifogásolta, mivel álláspontja szerint az átvétel nem 2018. április 16-án, hanem 2018. április 9-én történt, és ezzel kapcsolatban egy cégbizonyítványt is becsatolt arra vonatkozóan, hogy a Kérelmezett 1-re vonatkozó változás időpontja 2018. április 16-a, de a bejegyzés 2018. április 18-án történt. Az „[….] számú személyi kölcsön”, valamint a […] számú jelzálogszerződése sem került felmondásra, továbbá a fennálló követelését is vitatja.

II. Alkalmazandó jogszabályi előírások

Az általános adatvédelmi rendelet 2. cikk (1) bekezdése szerint a rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak az adatoknak a nem automatizált kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.

Az általános adatvédelmi rendelet (47) preambulumbekezdése alapján, ha az adatkezelés jogalapja a jogos érdek, akkor előzetesen érdekmérlegelést kell elvégezni, melynek keretében többek között meg kell határozni a jogos érdeket, az érintettre gyakorolt hatást, továbbá azt, hogy az adatkezelés szükséges, illetve arányos-e, valamint mérlegelni kell, hogy a jogos érdek vagy pedig az érintetti jog-e a magasabb rendű.

Az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja alapján a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon. („célhoz kötöttség”).

Az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pont alapján a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”).

Az általános adatvédelmi rendelet 5. cikk (2) bekezdés alapján az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).

Az általános adatvédelmi rendelet 6. cikk (1) bekezdés alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő

… f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.

Az általános adatvédelmi rendelet 13. cikk (3) bekezdése alapján, ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról.

Az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontja alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja értelmében az adatkezelés jogalapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja.

Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b), c) és i) pont alapján a felügyeleti hatóság korrekciós hatáskörében eljárva:

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét;

i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett.

Az általános adatvédelmi rendelet 17. cikk (3) bekezdés alapján az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:

(…)

e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez. Az általános adatvédelmi rendelet 83. cikk (1) bekezdés alapján valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek.

Az általános adatvédelmi rendelet 83. cikk (2) bekezdés alapján a közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;

b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;

d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke;

g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;

i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban - ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés;

j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség.

Az általános adatvédelmi rendelet 18. cikk (2) bekezdés alapján ha az adatkezelés az (1) bekezdés alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni.

Az általános adatvédelmi rendelet 83. cikk (5) bekezdés alapján az alábbi rendelkezések megsértését - a (2) bekezdéssel összhangban - legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelés elvei - ideértve a hozzájárulás feltételeit - az 5., 6., 7. és 9. cikknek megfelelően;

b) az érintettek jogai a 12-22. cikknek megfelelően. Az Infotv. 2. § (2) bekezdés alapján személyes adatoknak az általános adatvédelmi rendelet hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet a III-V. és a VI/A. Fejezetben, valamint a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §-ban, az 55. § (1)-(2) bekezdésében, az 56-60.

§-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, a 62-71. §-ban, a 72. §-ban, a 75. § (1)-(5) bekezdésében, a 75/A. §-ban és az 1. mellékletben meghatározott kiegészítésekkel kell alkalmazni.

Az Infotv. 61. § (6) bekezdés alapján a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

Az Infotv. 75/A. § alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

A Polgári Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.) 6:193. §-a szerint: (1) A jogosult a kötelezettel szembeni követelését másra ruházhatja át. (2) A követelés átruházással való megszerzéséhez az átruházásra irányuló szerződés vagy más jogcím és a követelés engedményezése szükséges. Az engedményezés az engedményező és az engedményes szerződése, amellyel az engedményes az engedményező helyébe lép. (3) Az engedményezéssel az engedményesre szállnak át a követelést biztosító zálogjogból és kezességből eredő jogok, valamint a kamatkövetelés is. A Ptk. 6:196. §-a értelmében az engedményező köteles az engedményest a követelés érvényesítéséhez szükséges tájékoztatással ellátni, és köteles a birtokában lévő, a követelés fennállását bizonyító okiratokat az engedményesnek átadni. A Hpt. 85. § (1)-(2) bekezdése szerint: (1) A hitelintézet rendszeresen értékeli és minősíti eszközeit (befektetett pénzügyi eszközeit, követeléseit, értékpapírjait, illetve pénzeszközeit és készleteit) vállalt kötelezettségeit, valamint egyéb kihelyezéseit. (2) A hitelintézet – a hatályos jogszabályok és a szokásos banküzemi gyakorlat keretei között mindent megtesz az esedékes, illetve lejárt követelése behajtására. A Hpt. 99. § (1) bekezdése értelmében a hitelintézet a kihelyezésről történő döntés előtt meggyőződik a szükséges fedezetek, biztosítékok meglétéről, valós értékéről és érvényesíthetőségéről. A döntés alapjául szolgáló iratokat az ügyletre vonatkozó szerződéshez és a leszámítolt váltóhoz csatolja. A Hpt. 161. § (1) bekezdés c) pontja alapján banktitok csak akkor adható ki harmadik személynek, ha a pénzügyi intézmény érdeke ezt az ügyféllel szemben fennálló követelése eladásához vagy lejárt követelése érvényesítéséhez szükségessé teszi. A Hpt. 258. § (1) bekezdése értelmében a pénzügyi intézmény az üzletszerű tevékenységre vonatkozó nyilvántartásait magyar nyelven – a magyar számvitelre vonatkozó jogszabályok előírásainak betartásával – a felügyeleti és a jegybanki ellenőrzésre is alkalmas módon vezeti.

Ákr. 27. § (3) bekezdés alapján a hatóság az eljárása során annak lefolytatásához jogszabályban meghatározott módon és körben - kezeli azokat a védett adatokat, amelyek eljárásával összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. Az általános adatvédelmi rendelet 77. cikk (1) bekezdése szerint minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti az általános adatvédelmi rendeletet.

Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Ugyanezen § (2a) bekezdése szerint az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít. Az Infotv. 60. § (2) bekezdése szerint az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében meghatározott esetben nyújtható be. Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az Infotv-ben meghatározott eltérésekkel.

A pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2007. évi CXXXVI. törvény (a továbbiakban: régi Pmt.) 7. § (1) bekezdés alapján a szolgáltató köteles a 6. § (1) bekezdésében meghatározott esetben az ügyfelet, annak meghatalmazottját, a rendelkezésre jogosultat, továbbá a képviselőt azonosítani és személyazonosságának igazoló ellenőrzését elvégezni.

(2) A szolgáltató az azonosítás során legalább az alábbi adatokat köteles rögzíteni: a) természetes személy aa) családi és utónevét (születési nevét), ab) lakcímét, ac) állampolgárságát, ad) azonosító okmányának típusát és számát, ae) külföldi esetében a magyarországi tartózkodási helyet; b) jogi személy vagy jogi személyiséggel nem rendelkező szervezet ba) nevét, rövidített nevét, bb) székhelyének, külföldi székhelyű vállalkozás esetén magyarországi fióktelepének címét, bc) cégbírósági nyilvántartásban szereplő jogi személy esetén cégjegyzékszámát, egyéb jogi személy esetén a létrejöttéről (nyilvántartásba vételéről, bejegyzéséről) szóló határozat számát vagy nyilvántartási számát. 28. § (1) A szolgáltató - az általa vezetett nyilvántartásban - a 7-10. §-ban és a 17. §-ban foglalt kötelezettség teljesítése során birtokába jutott adatot, okiratot, illetve annak másolatát, valamint a 23. §-ban meghatározott bejelentés és adatszolgáltatás teljesítését, valamint az ügyleti megbízás teljesítésének a 24. § szerinti felfüggesztését igazoló iratot, illetve azok másolatát az adatrögzítéstől, a bejelentéstől (felfüggesztéstől) számított nyolc évig köteles megőrizni. A 6. § (1) bekezdésének a) pontja alapján birtokába jutott adat, okirat, illetve a másolat megőrzési határideje az üzleti kapcsolat megszűnésekor kezdődik. A számvitelről szóló 2000. évi C. törvény (a továbbiakban: Számviteli törvény)169. § (1) –(2) bekezdés alapján: (1) A gazdálkodó az üzleti évről készített beszámolót, az üzleti jelentést, valamint az azokat alátámasztó leltárt, értékelést, főkönyvi kivonatot, továbbá a naplófőkönyvet, vagy más, a törvény követelményeinek megfelelő nyilvántartást olvasható formában legalább 8 évig köteles megőrizni. (2) A könyvviteli elszámolást közvetlenül és közvetetten alátámasztó számviteli bizonylatot (ideértve a főkönyvi számlákat, az analitikus, illetve részletező nyilvántartásokat is), legalább 8 évig kell olvasható formában, a könyvelési feljegyzések hivatkozása alapján visszakereshető módon megőrizni. A Számviteli törvény 166. § (1) bekezdés alapján számviteli bizonylat minden olyan a gazdálkodó által kiállított, készített, illetve a gazdálkodóval üzleti vagy egyéb kapcsolatban álló természetes személy vagy más gazdálkodó által kiállított, készített okmány (számla, szerződés, megállapodás, kimutatás, hitelintézeti bizonylat, bankkivonat, jogszabályi rendelkezés, egyéb ilyennek minősíthető irat) - függetlenül annak nyomdai vagy egyéb előállítási módjától -, amely a gazdasági esemény számviteli elszámolását (nyilvántartását) támasztja alá. A 2007. szeptember 19. napján hatályos a pénzmosás megelőzéséről és megakadályozásáról szóló 2003. évi XV. törvény (a továbbiakban: Pmt.) 3. § (1) bekezdés alapján a szolgáltató az ügyféllel történő üzleti kapcsolat létesítésekor köteles az ügyfél, annak meghatalmazottja, a rendelkezésre jogosult, továbbá a képviselő azonosítását elvégezni. A Pmt. 5. § (1) bekezdés alapján a szolgáltató az azonosítás során az alábbi adatokat köteles rögzíteni: a) természetes személy 1. családi és utónevét (születési név), amennyiben van, házassági nevét, 2. lakcímét, 3. születési helyét, idejét, 4. állampolgárságát, 5. anyja születési nevét, 6. az azonosító okmányának típusát és számát, 7. külföldi természetes személy esetében az 1-6. pontban meghatározott adatok közül az azonosító okmány alapján megállapítható adatokat, valamint a magyarországi tartózkodási helyet. A Pmt. 10. § (1) bekezdés alapján a szolgáltató a 3. §-ban, az 5. § (7) bekezdésében, továbbá a 6. § (2) bekezdésében foglalt kötelezettség teljesítése során birtokába jutott adatokat, okiratokat, illetve azok másolatait, valamint a 8. § (1) bekezdése szerinti kötelezettség teljesítését igazoló iratokat, illetve azok másolatait az adatrögzítéstől, illetve a bejelentéstől számított tíz évig köteles megőrizni, a 3. § (1) bekezdése alapján birtokába jutott adatok, okiratok, illetve azok másolatainak megőrzési határideje az üzleti kapcsolat megszűnésekor kezdődik.

III. A Hatóság döntése

A Hatóság jelen eljárásban a Kérelmezettek adatkezelése vonatkozásában a 2018. május 25. napját megelőzően végzett adatkezeléseket és előterjesztett érintetti kérelmek elbírálását nem vizsgálta. Ennek oka, hogy ezen adatkezelésekre az általános adatvédelmi rendelet alkalmazásának kezdőnapját megelőzően került sor, és ezért azokra az általános adatvédelmi rendelet szabályai nem alkalmazhatóak, így azok vonatkozásában a Hatósághoz adatvédelmi hatósági eljárása iránti kérelem sem nyújtható be, ezért a kifogásolt adatkezelések vonatkozásában az általános adatvédelmi rendelet rendelkezéseinek való megfelelés vizsgálatára nincs lehetőség kérelemre indult adatvédelmi hatósági eljárás keretében. A Hatóság továbbá hatásköre hiányában nem vizsgálhatta a kölcsönszerződés érvénytelenségének kérdését, a követelés fennállását és jogosságát, valamint az engedményezés jogszerűségét, mert az Infotv. 38. § (2)-(2a) bekezdései alapján ennek megítélése sem tartozik a Hatóság hatáskörébe. Ezen előkérdés eldöntése bírósági hatáskörbe tartozik, mellyel kapcsolatban a Jogutód és a Kérelmező is nyilatkozott arról, hogy a peres eljárás megszűnt, továbbá az ezzel kapcsolatos […]Törvényszék, mint másodfokú bíróság […] számú ítélet másolatát is becsatolta a Jogutód, mely ítélet szerint a Kérelmező, mint alperes fellebbezését elutasította és az 1. fokú bíróság arra vonatkozó ítéletét, hogy a kölcsönszerződés érvényesen létrejött helybenhagyta. A kölcsönszerződés a Kérelmező elállása előtt a Kérelmezett 1 általi felmondás folytán megszűnt, ezért az attól való elállás fogalmilag kizárt. A Kérelmezett 1 cégbejegyzési változására vonatkozó észrevételeinek vizsgálata, mely szerint a Kérelmező kifogásolja, hogy az átvétel nem 2018. április 16-án, hanem 2018. április 9-én történt, az Infotv. 38. § (2)-(2a) bekezdései alapján nem tartozik a Hatóság hatáskörébe, továbbá ez a kérdés a jelen esetben az adatkezelés előkérdését sem érintik, mivel a jelen eljárásban a Hatóság a Kérelmezettek adatkezelése vonatkozásában csak a 2018. május 25. napját, azaz általános adatvédelmi rendelet hatálybalépést követő adatkezeléssel összefüggésben tett megállapításokat. Fentiekre figyelemmel a Hatóság jelen adatvédelmi hatósági eljárásban kizárólag azt vizsgálta, hogy a Kérelmező személyes adatainak kezelésre 2018. május 25-ét követően az általános adatvédelmi rendelet rendelkezéseinek megfelelően került-e sor.

III.1.A Kérelmezettek adatkezelői minősége

A Hatóság a becsatolt iratokból megállapította, hogy a Kérelmezett 1 a Kérelmezett 2 részére engedményezési szerződéssel átruházta a Kérelmező felé fennálló követelését. A követelése engedményezésével a Kérelmezett 1 követelése megszűnt, tehát ezt követően követeléskezelési céllal nem is kezelhette a Kérelmező személyes adatait. A Kérelmezett 2 az engedményezési szerződéssel a Kérelmező személyes adatainak kezelése vonatkozásában az általános adatvédelmi rendelet 4. cikk 7. pont szerinti adatkezelővé vált, mivel az adatkezelés célját és eszközeit is a Kérelmezett 2 lett jogosult és kötelezett meghatározni. A fentiek alapján tehát megállapítható, hogy a Kérelmező tartozásának kezelésével kapcsolatos személyes adatok vonatkozásában a Kérelmezettek külön adatkezelők, ezért nem fogadható el a Kérelmezett 1 azon álláspontja, miszerint mivel „az engedményező és az engedményes a szövetkezeti hitelintézetek integrációjáról szóló 2013. évi CXXXV. törvény által létrehozott szövetkezeti hitelintézeti integráció tagja, és ennek megfelelően az adatátadás nem független harmadik fél felé történt, így az esetlegesen szükségessé váló lépéseket a felek összehangoltan, az érintett érdekeit szem előtt tartva tudná végrehajtani, ezzel is csökkentve az érintett jogaira és szabadságaira vonatkozó esetleges kockázatot”. A Hatóság álláspontja szerint az adatvédelmi jogsértés súlyosságát nem befolyásolja a Kérelmezett 1 által előzőekben említett tény, mivel az adatvédelmi relevanciával nem rendelkezik, hogy a Kérelmezettek, mint külön adatkezelők gazdaságilag milyen integráció részei, tekintettel arra, hogy az általános adatvédelmi rendelet nem tesz különbséget az adatkezelők között arra hivatkozással, hogy milyen gazdasági kapcsolatban állnak egymással.

III.2. A Kérelmezett 1 adatkezelése

Az átalános adatvédelmi rendelet 4. cikk 2. pontja alapján az adattovábbítás is adatkezelésnek minősül. A Hatóság megállapította a becsatolt iratokból, hogy 2019.01.22. napján a Kérelmezett 1 a Kérelmezett 2-re engedményezte a Kérelmező felé fennálló követelését. Az engedményezésre hivatkozással a Polgári Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.) 6:196. § alapján az alábbi adatok kerültek átadásra: érintett azonosításához szükséges adatok, iskolai végzettségre vonatkozó adatok, jövedelmi helyzetre vonatkozó adatok, kölcsön felvételének célja, igényelt kölcsön szerződéses feltételei, a fennálló követelés összegszerűségével összefüggő adatok, peres eljárással kapcsolatos adatok, kapcsolattartási adatok. A Kérelmezett 1 tájékoztatta a Hatóságot arról, hogy a fenti adatok Kérelmezett 2 részére történő átadásának alapja a Ptk. 6:193. § (1) bekezdése és 6:196. §-a volt. A Jogutód ezt azzal egészítette ki, hogy a Kérelmezett 1 adatátadására az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja adott jogalapot. A pénzintézetek esetében az adattovábbításra a hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény 161. § (1) bekezdés c) pontja alapján kerülhet sor, mely szerint a banktitok kiadható harmadik személynek, ha a pénzügyi intézmény érdeke ezt az ügyféllel szemben fennálló követelése eladásához vagy lejárt követelése érvényesítéséhez szükségessé teszi.

A fentiek alapján tehát engedményezés esetén is az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontra, azaz az adatkezelő jogos érdekére hivatkozással átadhatók voltak a személyes adatok harmadik személynek, így a Kérelmezett 2-nek is, tehát az ilyen célú adatátadás az általános adatvédelmi rendelet rendelkezései alapján nem tekinthető jogellenes adatkezelésnek. A Hatóság tehát megállapította, hogy a Kérelmezett 1 az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja alapján megfelelő jogalappal rendelkezett a Kérelmező egyes személyes adatainak átadására, azonban a Hatóság álláspontja szerint a Kérelmezett 1 a Kérelmezett 2 részére olyan személyes adatokat is átadott, melyek nem szükségesek az igényérvényesítéséhez, mivel azok nem tartoznak a követelés fennállását bizonyító adatok körébe. Ezek az alábbi személyes adatok:

a Kérelmező iskolai végzettségére vonatkozó adatok, a Kérelmező jövedelmi helyzetére vonatkozó adatok, a Kérelmező telefonszáma, hitelfelvétel „célja”. A Hatóság álláspontja szerint a Kérelmezett 1 azon állítása azonban elfogadható indokként a fenti adatátadásra, hogy az igénylőlap és a kölcsönszerződés elnevezésű irat a követelés fennállását bizonyító okiratnak és a Számviteli törvény 166. § (1) bekezdése alapján számviteli bizonylatnak minősül, melyből a Számviteli törvény 169.§ (6) bekezdése értelmében nem törölhetők adatok. A Ptk. az engedményezőnek írja elő meghatározott iratok átadását, azonban az engedményes természetesen dönthet úgy, hogy az átadott iratokból meghatározott adatokat töröl, megsemmisít, ahogyan az a jelen esetben is történt. A fentiek alapján a Hatóság megállapította, hogy a Kérelmezett 1 által átadott, bizonylaton szereplő személyes adatok közül a telefonszám, a Kérelmező jövedelmi helyzetére vonatkozó adatok, az iskolai végzettséggel, továbbá a hitelfelvétel céljával kapcsolatos adatok átadása a követelés fennállásának bizonyításához nem voltak szükségesek, de a kötelezően átadandó szerződési dokumentum részét képezte, ezért azzal, hogy ezeket az adatokat a Kérelmezett 1 a dokumentumból nem törölte és továbbította a Kérelmezett 2-nek, nem sértette meg az általános adatvédelmi rendelet 6. cikk (1) bekezdését. A 2007. szeptember 17. napján aláírt nyomtatvány nem is a Kérelmezett 1 nyomtatványa volt, hanem az engedményesé, azaz az […]-é. Tekintettel arra, hogy a Kérelmezett 1-re engedményezett követelés fennállását ez a nyomtatvány bizonyította, ezért a Kérelmezett 1 tekintetet nélkül arra, hogy az olyan személyes adatokat is tartalmazott, melyek a követelés fennállásának bizonyításához nem szükségesek, ennek ellenére a Kérelmezett 1 az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontját és c) pontját nem sértette meg ezen adatok kezelésével, mivel a kötelezően átadandó szerződési dokumentum részét képezték, mely dokumentum elválaszthatatlanul tartalmazta ezeket a személyes adatokat.

III.3. A Kérelmezett 2 adatkezelése

A követelés érvényesítése érdekében a Kötelezett 2 az alábbi adatokat tartja nyilván a Kérelmező vonatkozásában: az érintett azonosításához szükséges adatok (név, születési név, születési hely és idő, anyja neve, lakcíme, levelezési címe), a kölcsönszerződésre vonatkozó adatok (szerződési feltételek, összeg, futamidő, törlesztőrészlet), követelés összegszerűségével összefüggő adatok (teljesítés, fennálló tartozás, kamatkövetelés, eljárási költségek), követelés érvényesítésével összefüggő adatok (felmondás időpontja, követelés-érvényesítési eljárások, eljárási költségek). Ezeket az adatokat a Kérelmezett 2 az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja, azaz jogos érdekre hivatkozással kezeli, továbbá hivatkozott ágazati jogszabályi rendelkezésekre is az adatkezelésével összefüggésben. A fenti személyes adatok tehát eltérnek a Kérelmezett 1 által átadott személyes adatoktól, mivel a fentiek között nem szerepelnek a Kérelmező iskolai végzettségére vonatkozó adatok, a Kérelmező jövedelmi helyzetére vonatkozó adatok, a követelés „célja”, továbbá a Kérelmező telefonszáma, mivel a Kérelmezett 2 arról nyilatkozott a Hatóságnak, hogy azokat az adatokat, melyek megítélése szerint nem voltak szükségesek a követeléskezeléséhez, törölte. A Hatóság a III.2. pontban tett megállapításokra hivatkozással a Kérelmezett 2 adatkezelésével összefüggésben megállapította, hogy a Kérelmezett 2 nem sértette meg az általános adatvédelmi rendelet 6. cikk (1) bekezdését, mivel az általa kezelt adatok jogalapjaként elfogadható az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja, azaz a követeléskezeléshez fűződő jogos érdeke, melyet érdekmérlegelés becsatolással igazolt, továbbá azzal, hogy az igényérvényesítéséhez nem szükséges adatokat törölte, az általános adatvédelmi rendelet 5. cikk (1) bekezdése c) pontja szerinti adattakarékosság elvének megfelelően járt el.

III.4. A Kérelmező levelének érintetti kérelmi minősége és a Kérelmezett 1 ezzel összefüggő tájékoztatási kötelezettségének elmulasztása

A Kérelmező a kérelméhez csatolta a 2018. december 12. napján kelt - Kérelmezett 1-nek címzett - „Nyilatkozat“ nevű levelének, továbbá annak feladását igazoló belföldi tértivevény másolatát, illetve a 2019. február 18. napján küldött levelének, és annak feladását igazoló tértivevény másolatát. A csatolt levelek szerint a Kérelmező tiltakozott az ellen, hogy a személyes adatait harmadik személyeknek továbbítsa a Kérelmezett 1. A Kérelmezett 1 a fentiekkel ellentétben azonban úgy nyilatkozott, hogy a Kérelmező nagy mennyiségben érkezett beadványait nem értékelték érintetti kérelemnek, ezért érintetti kérelemre nem is válaszolt. Ugyanakkor azt is elismerte a Kérelmezett 1, hogy a nagy számú beadvány nagy munkaterhet jelentett a Kérelmezett 1-nek, melynek értelmezése sem volt egyszerű az ismétlődések miatt. A Kérelmező tértivevény másolattal igazolta, hogy megküdte a Kérelmezett 1-nek a 2018. december 12. napján, továbbá a 2019. február 18. napján kelt leveleit, melyek egyértelműen érintetti kérelmet is tartalmaztak, mivel ezekben tiltakozott a személyes adatai kezelése ellen. Az általános adatvédelmi rendelet 21. cikk (1) bekezdés alapján a Kérelmező személyes adatai kezelése elleni tiltakozását tartalmazó érintetti kérelme nyomán a Kérelmezett 1 a Kérelmező nem minden személyes adatát kezelhette volna, csak azokat, melyekkel kapcsolatban bizonyítja, hogy az adatkezelést kényszerítő erejű jogos indokok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak. A fentiek alapján a Kérelmezett 1-nek tájékoztatnia kellett volna a Kérelmezőt az általános adatvédelmi rendelet 12. cikk (3) bekezdése alapján az érintetti kérelem nyomán hozott intézkedéseiről. A Kérelmezett 1 nyilatkozata szerint nem szándékos magatartás okozta azt, hogy nem válaszolt a Kérelmező érintetti kérelmeire, hanem ez a mulasztás arra vezethető vissza, hogy a Kérelmező nagy számban nyújtott be kérelmeket, melyeknek besorolása is gondot okozott. A Hatóság álláspontja szerint ez az érvelés nem mentesíti a Kérelmezett 1-et az adatkezelői felelősség alól, tekintettel arra, hogy az általános adatvédelmi rendelet 4. cikk 7. pontja értelmében a Kérelmezett 1 minősül adatkezelőnek. A Kérelmezett 1 az, aki megszervezi az adatkezelés folyamatát és kialakítja annak körülményeit. Az adatkezelő legfontosabb jellemzője az, hogy érdemi döntéshozatali jogkörrel rendelkezik, és felelősséggel tartozik az adatkezelés valamennyi, az általános adatvédelmi rendeletben rögzített kötelezettség teljesítéséért.

Az Adatvédelmi Irányelv 29. cikke szerint létrehozott Adatvédelmi Munkacsoport (a továbbiakban: Adatvédelmi Munkacsoport) az „adatkezelő” és az „adatfeldolgozó” fogalmáról szóló 1/2010. számú véleményében szintén kifejtette, hogy „Végső soron a vállalatot vagy szervet kell felelősnek tekinteni az adatfeldolgozásért és az adatvédelmi jogszabályokból eredő kötelezettségekért, kivéve, ha egyértelmű elemek utalnak arra, hogy egy természetes személy a felelős. […] Azonban az ilyen esetekben is, amikor konkrét természetes személyt neveznek ki, hogy biztosítsa az adatvédelmi elvek betartását vagy hogy személyes adatokat dolgozzon fel, ez a személy nem lesz adatkezelő, hanem annak a jogi személynek (vállalatnak vagy köztestületnek) a nevében jár el, amely adatkezelői minőségében továbbra is felelős az alapelvek megsértése esetén.” Az érintetti kérelmek nem megfelelő besorolásának ténye tehát nem minősül kimentési oknak, ebben az esetben is az adatkezelő viseli a felelősséget.

Mindezek alapján e határozat szerinti jogsértés a Kérelmezett 1, mint adatkezelő felelősségi körébe esik. Az általános adatvédelmi rendelet 12. cikk (2) bekezdése megköveteli, hogy az adatkezelő segítse elő az érintett jogainak gyakorlását, és csak abban az esetben tagadhatja meg az érintetti jogok gyakorlására irányuló kérelem teljesítését, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. Amennyiben az adatkezelőnek nem volt egyértelmű, hogy a Kérelmező kérelme mire irányul, abban az esetben indokolt lehet rákérdezni, pontosítást kérni, de arra hivatkozással, hogy az adatkezelő számára nem egyértelmű egy kérelem, az nem maradhat megválaszolatlanul.

Az általános adatvédelmi rendelet 12. cikk (1) bekezdésében írtaknak megfelelően a Kérelmezett 1-nek egyértelműen tájékoztatnia kell a megtett intézkedésekről a Kérelmezőt. Az általános adatvédelmi rendelet 12. cikk (3) bekezdése alapján egy hónapon belül kell választ adni az érintetti kérelemre, azaz tájékoztatást nyújtani adatkezelőnek a megtett intézkedéseivel kapcsolatban vagy a kérelem elutasításával összefüggésben, tehát ez alapján az általános adatvédelmi rendelet 21. cikk (1) bekezdés alapján benyújtott érintetti kérelem nyomán hozott intézkedésiről. A Hatóság nem ért egyet a Jogutód által előadott azon állásponttal, hogy a Kérelmező által benyújtott és a Kérelmezett 1 által 2018. december 13. napján átvett panaszként iktatott dokumentum három sor, mely nem, illetve nehezen értelmezhető utalást tartalmazott arra vonatkozóan, hogy harmadik személyek részére ne kerüljenek átadásra a Kérelmező adatai. A Jogutód álláspontja szerint a Hatósághoz benyújtott kérelemben megjelölt […] számú személyi kölcsön szerződéssel összefüggésben a Kérelmezett 1-hez érintetti kérelem nem érkezett be, tekintettel arra, hogy a panasz a [….] számú jelzálogkölcsönre, valamint a […] számú lakossági bankszámlára vonatkozó tiltakozást tartalmazott, így az, a személyi kölcsönnel összefüggő adatátadás tárgyában nem értelmezhető. A Hatóság azért nem ért egyet ezzel az állásponttal, mert a Kérelmező nem csak 2018. december 13-án nyújtott be érintetti kérelmet, melyet a Kérelmező másolatban a Hatóságnak is továbbított. Továbbá a Kérelmező a 2018. december 10. napján kelt kérelme az alábbiak szerint fogalmazott: „[...] A visszavonás az ahhoz tartozó [...]-as számlaszámú szerződésre is vonatkozik. A nyilatkozatomban megtiltom, hogy személyi adataim „HARMADIK“ személyek részére kiadkák. [...]“ A Kérelmező 2019. február 18-án írt „Kifogás“ elnevezésű beadványa az alábbiakat tartalmazta: „Kifogással élek a 2019.02.05-én készült tájékoztatással kapcsolatban ...“ [...] Önök megsértették az adatkezelés törvényeit... Megtiltom a személyes adatataim kiadását [...]“

A Kérelmezett 1 [....] iktató sz. tájékoztató levele, mely 2019. február 5-én kelt, a Kérelmezett 1 által a Kérelmező felé fennálló összes követelésre hivatkozott, tehát emiatt a Kérelmező 2019. február 18-án írt beadvány is az összes követeléssel kapcsolatban kezelt személyes adatra vonatkozott. A fentiekben idézett kérelmekben egyértelműen megfogalmazásra került a személyes adatok kezelése elleni tiltakozása, tehát egyértelmű, hogy az általános adatvédelmi rendelet szerinti érintetti kérelemként, és nem panaszbaedványként kellett volna azt a Kérelmezett 1-nek kezelnie. A Hatóság megállapította a fentiek alapján, hogy a Kérelmezett 1 megsértette az általános adatvédelmi rendelet 12. cikk (1)-(3) bekezdését, mivel nem válaszolt a Kérelmező érintetti kérelmeire, továbbá ezzel az általános adatvédelmi rendelet 21. cikk (1) bekezdését is megsértette a Kérelmezett 1.

III.5. A Kérelmezett 1 és a Jogutód engedményezés utáni adatkezelése, továbbá a Kérelmező adattörlési kérelme

III.5.1.A Jogutód nyilatkozatában megjelölte, hogy a Kérelmezett 1 milyen célból, mely jogalapra hivatkozással a Kérelmező mely személyes adatait kezelte, illetve a Jogutód ez alapján kezeli. A Hatóság álláspontja szerint a Pmt. rendelkezéseire hivatkozás az alábbi személyes adatok kezelése esetén nem jelent jogalapot:

1. iskolai végzettségre, jövedelmi és gazdasági helyzetre vonatkozó adatok, családi állapot;

2. igényelt kölcsön feltételei, kölcsönszerződésre vonatkozó adatok; 3. követeléssel, és annak összegszerűségével, érvényesítésével összefüggő adatok. A becsatolt iratok – [….] sz. ítélet - szerint a szerződést 2007. szeptember 19-én kötötte a Kérelmező a Kérelmezett 1 jogelődjével, az „Engedményezési Nyilatkozat” és a Kérelmezettel nyilatkozata szerint 2019. január 22-én történt az engedményezés. A szerződéskötés dátumára tekintettel alkalmazandó 2007. szeptember 19. napján hatályos a pénzmosás megelőzéséről és megakadályozásáról szóló 2003. évi XV. törvény (a továbbiakban: Pmt.) 5. § (1) bekezdés alapján a szolgáltató az azonosítás során az alábbi adatokat köteles rögzíteni: a) természetes személy 1. családi és utónevét (születési név), amennyiben van, házassági nevét, 2. lakcímét, 3. születési helyét, idejét, 4. állampolgárságát, 5. anyja születési nevét, 6. az azonosító okmányának típusát és számát, 7. külföldi természetes személy esetében az 1-6. pontban meghatározott adatok közül az azonosító okmány alapján megállapítható adatokat, valamint a magyarországi tartózkodási helyet. A Kérelmezett 1, illetve a Jogutód a kölcsönszerződés megkötésekor hatályban volt Pmt. 10. § (1) bekezdése alapján a Pmt. 3. §-ban foglalt kötelezettség teljesítése során a birtokába jutott személyes adatokat az üzleti kapcsolat megszűnésétől számított 10 évig köteles megőrízni. A fentiek alapján tehát a Kérelmező iskolai végzettségére, jövedelmi helyzetére, családi állapotára vonatkozó személyes adatok, továbbá az igényelt kölcsön feltétele és a követeléssel, igényérvényesítéssel összefüggő személyes adatok sem kezelhetők a Pmt. rendelkezéseire hivatkozással, mivel a Pmt. ilyen adatmegőrzési kötelezettséget nem ír elő, és emiatt Hatóság a fentiekre hivatkozással megállapítja, hogy a Kérelmezett 1 jogalap nélkül, jogellenesen kezelte és a Jogutód jogellenesen kezeli a Kérelmező ezen személyes adatait. A Kérelmezett 1 arra hivatkozott, hogy a Pmt. által elő nem írt személyes adatokat azért tárolja, mert a megőrzési kötelezettség alá eső dokumentum részét képezi, elfogadható lehet, és ezzel kapcsolatos álláspontját a Hatóság a határozat III.2. pontjában kifejtette. Tekintettel arra, hogy a becsatolt iratok szerint a Kérelmező által 2007. szeptember 6. napján aláírt úgynevezett „[...] Személyi Kölcsön igénylőlap és szerződés“ dokumentum alapján fennnálló követelését a Kérelmezett 1 2019.01.22. napján engedményezte, tehát erre vonatkozóan a Pmt.-ben előírt okiratmegőrzési kötelezettség fennáll, továbbá emelett a Számviteli törvény 169. § (1) bekezdés is elő bizonylatmegőrzési kötelezettséget, ezért nem jogalap nélkül kezeli az abban található személyes adatokat. A fentiekre hivatkozással a Kérelmező iskolai végzettségére, jövedelmi helyzetére, családi állapotára vonatkozó személyes adatai vonatkozásában is a Kérelmező törlés elrendelése iránti kérelmét elutasítja. III.5.2.A Hpt. 288. §-a szerinti, a panaszkezelés során kezelt személyes adatok vonatkozásában az általános adatvédelmi rendelet 6. cikk (1) bekezdés c) pont szerinti jogalap, továbbá a jogi eljárással összefüggésben kezelt adatok tekintetében az általános adatvédelmi rendelet 6. cikk (1) bekezdés c) pontja szerinti jogalap elfogadható, ezért a Hatóság ezekre hivatkozással kezelt személyes adatokkal összefüggésben elutasította a Kérelmező törlés iránti kérelmét.

III.6. A Kérelmező részéről benyújtott bizonyítási indítványok és észrevételek

Az Ákr. 62. § (4) bekezdés alapján a hatóság szabadon választja meg a bizonyítás módját, és a rendelkezésre álló bizonyítékokat szabad meggyőződése szerint értékeli, ezért az alábbiakra vonatkozó tényállás tisztázást nem látta indokoltnak.

III.6.1. A Kérelmező állítása szerint a „1/Az eljárás során a Hatóság nem vizsgálta a feljelentésemben a 2018.12.10-én a [….] 2018.12.13-án átvette a [….] számú szerződésre vonatkozó adattal összefüggő Nyilatkozatot.” A Hatóság a Kérelmező állításával ellentétben vizsgálta a hivatkozott érintetti kérelmet, melyre a határozat III.4. pontja utal, és ezzel kapcsolatban a határozat megállapításokat is tartalmaz. III.6.2. A Kérelmezett 1 átalakulásával kapcsolatos észrevétel A Kérelmező nyilatkozata szerint: „2/ Téves a […] Nyilatkozata, hogy 2019. október 31-én szűnt meg az […]-vel az összeolvadás. 4./Az 1. már nem létező cég a beolvadással mindenféle folytonosság megszűnt, tehát a folytonosság nem áll fenn.” A Hatóság a jelen ügyben nem említette azt, hogy a Kérelmezett1 úgy nyilatkozott, hogy az […]val összeolvadt, mivel a jelen ügyben releváns szerkezeti átalakulás a Kérelemezett 1-et és a Jogutódot érintette. Ebben a körben a Hatóság a NAIH/2020/303/10. számú végzésében állapította meg a jogutódlást, melyről a Kérelmezőt is értesítette. A végzés arról is tartalmazott kioktatást, hogy a végzés ellen közigazgatási úton jogorvoslatnak nincs helye, az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben támadható meg a Hatósághoz elektronikus úton benyújtott keresetlevéllel. A Kérelmező a Fővárosi Törvényszékhez benyújtott keresettel a végzéssel szemben nem élt jogorvoslattal. III.6.3. „Tisztázni kérem, hogy a 2018.évben a […], miért adta ki az adataim a Követeléskezelőnek, a követeléskezelő törvénytelenül adta ki az […].-nek.”

A Kérelmező NAIH/2020/303/10. számú – Kérelmezett 1 és Jogutód közötti jogutódlást megállapító - végzésére hivatkozással küldött a Hatósághoz 2020. október 21-én érkezett „végzés megváltoztatása” tárgyú iratában írt fenti „bizonyítási indítványa” nem értelmezhető bizonyítási indítványként, mivel a hatósági eljárás tárgya Kérelmezett 1 Kérelmezett 2 részére történt átadása, továbbá a Kérelmező érintetti kérelmei teljesítése volt. Ennek a kérdésnek a megvizsgálása csak a Kérelmező részéről előterjesztett újabb hatósági kérelemben történhet.

A Kérelmező a Hatósághoz 2020. december 14-én érkezett „Észrevétel” tárgyú levelében is kifogásolta a fent nevezett követeléskezelő részére történt adatátadást.

A Kérelmező által becsatolt iratok szerint (Kérelmezett 2 2019. október 24. napján írt levele) a […] arról tájékoztatta a Kérelmezőt, hogy a korábbi elnevezése […] és a Kérelmezett 2 megbízásából adatfeldolgozóként folytatja a követeléskezelési tevékenységét.

A pénzintézetek esetében az adattovábbításra a hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény 161. § (1) bekezdés c) pontja alapján kerülhet sor, mely szerint a banktitok kiadható harmadik személynek, ha a pénzügyi intézmény érdeke ezt az ügyféllel szemben fennálló követelése eladásához vagy lejárt követelése érvényesítéséhez szükségessé teszi. Az egyes adósságbehajtással foglalkozó cégek adatátvételének jogalapja különböző lehet, attól függően, hogy az alapkövetelés jogosultja maga, vagy jogi képviselő útján próbálja érvényesíteni a követelést vagy engedményezi a követelést. Az engedményezési és a megbízási jogcím között az a lényeges különbség, hogy míg a megbízás esetén a követelés behajtása a szolgáltató nevében folyik, addig engedményezés esetén a behajtó cég, vagy ügyvédi iroda saját nevében szólítja fel a fogyasztót/ügyfelet teljesítésére. Az általános adatvédelmi rendelet 4. cikk 8. pontja alapján az adatfeldolgozó az adatkezelést az adatkezelő nevében végzi, erre figyelemmel az adatkezelési jogosultsága a megbízójáéhoz igazodik, ezért a Hatóság megállapította, hogy a Kérelmező személyes adatainak a Kérelmezett 2 által az adatfeldolgozója, azaz a […] részére (korábbi elnevezése […]) történt átadása a GDPR 4. cikk 10. pontja szerint nem minősül harmadik félnek történt adattovábbításnak, tehát a Kérelmezett 2 az adatfeldolgozója részére történt adatátadással nem sértette meg az általános adatvédelmi rendelet előírásait.

III.7. Jogkövetkezmények

A Hatóság a Kérelmező kérelmének részben helyt ad és

- az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezett 1 adatkezelése miatt a Jogutódot, mert megsértette az általános adatvédelmi rendelet 12. cikk (1)-(3) bekezdését, továbbá az általános adatvédelmi rendelet 21. cikk (1) bekezdését, és

- az általános adatvédelmi rendelet 58. cikk (2) bekezdés g) pontjának megfelelően elrendelte a Kérelmező érintetti kérelmeinek megfelelő megválaszolását. A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezett 1 adatkezelése miatta a Jogutóddal szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges.

A Hatóság a bírság kiszabása során az alábbi tényezőket súlyosbító körülményként vette figyelembe:

- A jogsértés súlyos, mert a Kérelmezett 1 az adatkezelésével a Kérelmező érintetti jogát sértette meg, úgy, hogy két érintetti kérelmére sem adott választ a Kérelmezőnek (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont) - A Kérelmezett 1 jogellenes adatkezelése szándékos, az adatkezelési gyakorlatából ered, mivel nem különböztette meg a panaszügyintézést és az érintetti joggyakorlást, (általános adatvédelmi rendelet 83. cikk (2) bekezdés b) pont). A Kérelmezett 1 adatkezelése miatt a Jogutód elmarasztalására az általános adatvédelmi rendelet megsértése miatt már sor került a NAIH/2020/2546/15. számú határozatban, melyben a Hatóság megállapította, hogy a Kérelmezett 1, továbbá a Jogutód az általános adatvédelmi rendelet 6. cikk (1) bekezdését megsértve, jogalap nélkül tárol személyes adatokat, azonban az a jelen eljárásban nem releváns, tekintettel arra, hogy a Hatóság a jelen eljárásban a GDPR nem ezen rendelkezésének a megsértését állapította meg. (általános adatvédelmi rendelet 83. cikk (2) bekezdés e) és i) pont) A jogsértés jellege alapján – adatkezelés elveinek és érintetti jog a megsértése – a kiszabható bírság felső határa az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pont alapján 20 000 000 EUR, illetve az előző pénzügyi év teljes világpiaci forgalmának legfeljebb 4%-a. (általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pont) A Jogutód 2019. évi eredménykimutatása alapján az adózás előtti eredménye – […] millió Ft volt. (általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pont) A kiszabott bírság nem éri el a bírság maximumot, attól jelentősen elmarad. A Hatóság a bírság kiszabása tekintetében az általános adatvédelmi rendelet 83. cikk (2) bekezdésének a következő rendelkezéseit nem vette figyelembe, mert a mérlegelése szerint a tárgyi ügyben nem voltak relevánsak: c) pont, f) pont, h) pont és k) pont.

IV. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az egész ország területére kiterjed.

Az Ákr. 112. §-a, és a 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal és a végzéssel szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi

CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9.§ (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának helyét és idejét a Kp. 39. § (1) bekezdése határozza meg. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. A hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százhúsz napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek. Budapest, 2021. május 11.

Dr. Péterfalvi Attila elnök c. egyetemi tanár