Hungarian Data Protection Authority: transfer of personal data in response to a lawyer's request

(…)

1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu

Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-167- /2021. Előzmény: NAIH/2020/7449. Tárgy: kérelemnek részben helyt adó határozat Ügyintéző: […]

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] Ügyvédi Iroda

([…], ügyintéző ügyvéd […], a továbbiakban: Képviselő) által képviselt […] kérelmezőnek (a továbbiakban: Kérelmező) személyes adatai kezelésének jogszerűsége tárgyában benyújtott, 2020. október 14. napján érkezett kérelme, továbbá 2021. június 1. napján módosított kérelme nyomán a […] (székhely:[…], cégjegyzékszám: […], a továbbiakban: Kérelmezett) kérelmezettel szemben indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza. A Hatóság határozatában a Kérelmező által előterjesztett kérelemnek részben helyt ad.

I. Megállapítja, hogy a Kérelmezett megfelelő jogalap nélkül továbbította a Kérelmező személyes adatait (nevét, tartozásának összegét, az egyes részteljesítések dátumát és összegét) a Kérelmezettel megbízási jogviszonban nem álló, megkereső ügyvédnek, ezzel megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: GDPR ) 6. cikk (1) bekezdését. II. Ezt meghaladóan a Hatóság a kérelmet elutasítja.

III. A Hatóság az I. pontban megállapított jogsértés miatt a Kérelmezettet figyelmeztetésben részesíti.

Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az eljárás menete

A Kérelmező 2020. október 5. napján adatvédelmi hatósági eljárás lefolytatása iránti kérelmet terjesztett elő. A Hatóság a tényállás tisztázása érdekében 2020. november 30. napján kelt végzésében tényállás tisztázásra hívta fel a Kérelmezettet (NAIH/2020/7449/2. alszámú irat). A Kérelmezett a Hatóság tényállástisztázó végzésében foglalt kérdésekre 2020. december 17. napján

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program ( ÁNYK program) alkalmazásával tölthető ki.

kelt nyilatkozatában reagált (NAIH/2020/7449/3. alszámú irat). A Hatóság kérelmezetti nyilatkozatban foglaltak kapcsán két alkalommal megkereste a Budapest Környéki Törvényszéket (a továbbiakban: Törvényszék) annak tisztázása érdekében, hogy a jelen adatvédelmi hatósági eljárás tárgyát képező személyes adatok releváns ténynek minősülnek-e a Törvényszék előtt […] számon folyamatban lévő, […] felperes és […] alperes (jelen adatvédelmi eljárás kérelmezője) között folyamatba lévő perben (NAIH-167-2/2021., NAIH-167-3/2021. alszámú irat). A Budapest Környéki Törvényszék a Hatóság megkeresésére 2021. február 21. napján válaszolt (NAIH- 167-4/2021. alszámú irat). A Hatóság az ügyben megkereste a Törvényszék előtt […] számon folyamatban lévő perben felperes […] és jogi képviselőjét, […] ügyvédet (NAIH-167-5/2021., NAIH-167-6/2021. alszámú irat). A Hatóság megkeresésére […] ügyvéd ügyfele, […] képviseletében is válaszolt NAIH-167-7/2021., alszámú irat). A Hatóság 2021. április 20. napján kelt végzésében képviselője útján Kérelmezőt és a Kérelmezettet iratbetekintési jog gyakorlásának lehetőségére hívta fel (NAIH-167-8/2021., NAIH-167-9/2021., alszámú irat). Iratbetekintési jogát mindkét fél gyakorolta, a Hatóság az ügyiratokat a Kérelmező képviselőjének és a kérelmezettnek megküldte (NAIH-167-15/2021., NAIH-167-16/2021. alszámú irat). Az iratbetekintési jog gyakorlását követően a Kérelmező képviselője útján 2021.06.01. napján nyilatkozatot terjesztett elő, amelyet - annak tartalma alapján - a Hatóság a kérelem módosításának tekintett (NAIH-167-17/2021. alszámú irat). A Hatóság a módosított kérelemre tekintettel tájékoztatta a Kérelmezettet jelen adatvédelmi hatósági eljárás tárgyának változásáról, mely a módosított kérelem nyomán a Kérelmező személyes adatainak illetéktelen harmadik személy részére történt átadásán túlmenően arra is kiterjedt, hogy a Kérelmezett megfelelő jogalapon tartja-e nyilván a Kérelmezővel szemben fennálló hátralékos követelését (NAIH- 167-18/2021. alszámú irat). A Kérelmezett az iratbetekintési jog gyakorlását és a módosított kérelemről való tájékoztatását követően nyilatkozatot terjesztett elő (NAIH-167-19/2021. alszámú irat, NAIH-167-20/2021. alszámú irat).

II. A tényállás tisztázása

(1) A Kérelmező a Hatóság által 2020. október 14. napján érkeztetett kérelmében (a továbbiakban:

kérelem) az alábbiakat adta elő.

(2) A Kérelmező és [...] között peres eljárás van folyamatban a Budapest Környéki Törvényszék előtt.

(3) [...] jogi képviselője, [...] ügyvéd megkereste a Kérelmezettet 2020. júniusában, hogy nyilatkozzon arról, hogy a Kérelmező mint magánszemély a Kérelmezett részére milyen pénzügyi teljesítéseket eszközölt 2005 és 2007 között.

(4) A Kérelmezett a megkeresésben foglaltaknak eleget tett, a Kérelmezett főkönyvelője igazolást állított ki arról, hogy a Kérelmező 16.500.000,- Ft összeget fizetett ki a Kérelmezettnek, az igazoláshoz mellékelte az egyes részteljesítéseket is tartalmazó kimutatást.

(5) A kiállított igazolást [...] ügyvéd felhasználta a Budapest Környéki Törvényszék előtt

21.P.29.317/2009. sz.-on vagyonközösség megosztása és egyéb kötelem tárgyában folyamatban lévő peres eljárásban (a továbbiakban: vagyonmegosztási per).

(6) A Kérelmező jogi képviselője a beadvány kézhezvételét követően 2020. augusztus 4. napján írásban kereste meg a Kérelmezettet, milyen felhatalmazás alapján szolgáltatták ki a Kérelmezőre vonatkozó adatokat illetéktelen harmadik fél részére.

(7) A Kérelmezett 2020. augusztus 17. napján kelt válaszlevelében nem jelölte meg, hogy az adatkiadás milyen jogszabályi rendelkezésen alapult. Rögzítésre került, hogy [...] jogi képviselője ismerte az egyezség feltételeit, a megkeresés pontosan idézte annak tartalmát, továbbá a Kérelmezett nem továbbított jogosulatlanul adatot harmadik személy részére, csupán a hivatkozott egyezséggel kapcsolatban a rá nézve releváns kérdésben közölt valóságnak megfelelő tényt.

(8) A Kérelmező álláspontja szerint a Kérelmezett megsértette az általános adatvédelmi rendelet 6.

cikk (1) bekezdését azzal, hogy [...] ügyvéd részére átadta a Kérelmező fizetési teljesítésére vonatkozó adatokat tartalmazó igazolást.

(9) A Kérelmező álláspontja szerint erre a Kérelmező hozzájárulásának hiányában a Kérelmezett nem volt jogosult, az adatokból következtetés vonható le a Kérelmező gazdasági helyzetére, amely a Kérelmező személyes adatának minősül, továbbá az általános adatvédelmi rendelet 6. cikk (1) bekezdésében megjelöl egyik adatkezelési jogalap sem áll fenn. (10) A Kérelmező kérte, hogy a Hatóság

1. állapítsa meg a jogellenes adatkezelés tényét, 2. szabjon ki bírságot a Kérelmezettel szemben.

(11) A Kérelmezett nyilatkozata szerint i. az adatkezelés célja kintlévőség kezelés, az adatkezelő felé keletkezett tartozások behajtásával kapcsolatos adatkezelés, adattárolás, ii. az adatkezelés jogalapja az adatkezelő jogos érdeke a GDPR 6. cikk (1) bekezdés f) pontja alapján, iii. az adatkezelés tervezett ideje az érintett jogosnak ítélt tiltakozásáig vagy a tartozás kiegyenlítéséig, iv. kezelt adatok köre: név, születési idő, anyja neve, lakhely, v. a Kérelmező adatait a társaság székhelyén nyomtatott formában tárolja, ügyviteli rendszerben nem tárolja, vi. az adatvédelmi kérdésekben az ügyvezető igazgató, ügyvédi megkeresések esetén a társaság tulajdonosa jár el az ügyvezető utasítására, vii. a társaság tulajdonosa az ügyvezető tájékoztatása mellett adott utasítást a társaság főkönyvelőjének [...] ügyvéd megkeresésének teljesítésére, viii. bírósági megkeresést a Kérelmezett befizetéseivel kapcsolatban nem kapott, ix. a Kérelmezett úgy mérlegelte az adatkérést, miszerint [...] tisztában volt a Kérelmező és a Kérelmezett között 2005-ben kötött megállapodás tartalmával (a Kérelmező és a Kérelmezett között 2005. június 10. napján létrejött, a Fővárosi Bíróság által jóváhagyott egyezség: a továbbiakban egyezség) a Kérelmező és [...] között folyamatban lévő vagyonmegosztási eljárás során a Kérelmezett ugyanezeket az adatokat szolgáltatná a bíróság számára, x. az igazolás mellékletét képező „Átutalások a [...]-nek“ dokumentumot papír alapon, a Kérelmezővel fennálló ügy papír alapú dokumentációjában tárolja a társaság székhelyén, korlátozott hozzáféréssel (NAIH/2020/7449/3 alszámú irat). (12) A Törvényszék a Hatóság megkeresésére adott válaszában tájékoztatta a Hatóságot, hogy az egyezség létrejötte és az egyezség alapján teljesített tölesztőrészletek összege és teljesítésük időpontja a perbeli jogvita érdemi megítélésére vonatkoznak (NAIH-167-4/2021. alszámú irat 2. oldal utolsó bekezdés). (13) [...] ügyvéd a Hatóság megkeresésére adott válaszában kifejtette, hogy a vagyonmegosztási perben lényeges kérdés, hogy valamelyik házas fél a különvagyoni adósságának teljesítése érdekében közös vagyont használt-e fel, illetve közös vagyon terhére eszközölt-e különvagyoni kifizetés teljesítését. Tekintettel arra, hogy felperes indítványozta a vagyonmegosztási per alperesének (jelen adatvédelmi hatósági eljárás kérelmezőjének) meghallgatását a hitelösszegek felhasználása körében, továbbá kérte az alperes birtokában lévő ezzel kapcsolatos iratok bíróság felé történő benyújtását, azonban az alperes ezt nem teljesítette, szükségszerű volt a [...] vezető tisztségviselőjének megkeresése, a Kérelmező által vállalt fizetési kötelezettség tényének, annak teljesítési módjának, összegének és időpontjának a Törvényszék tudomására hozása. Ebben a körben hivatkozott az őt mint felperest terhelő, a polgári perrendtartásról szóló 1952. évi III. törvény (a továbbiakban: régi Pp.) 164. §-a szerinti bizonyítási kötelezettség teljesítésére (NAIH- 167-7/2021. alszámú irat 1. oldal utolsó bekezdés, 2. oldal 4-5. bekezdés, 3. oldal 5., 7-8. bekezdés). (14) A Kérelmező képviselője által 2021. június 1. napján előterjesztett záró nyilatkozat szerint i. nem vitás, hogy a „Kérelmezettnek a Kérelmezővel szemben“ (helyesen: a Kérelmezőnek a Kérelmezettel szemben) tartozása állt fenn, melyre vonatkozóan a felek egyezséget kötöttek, és az egyezség alapján a tartozás 2007. január 25. napján kiegyenlítésre került, azaz 2007. január 25. napjától kezdődően a Kérelmezettnek nincs fennálló és határlékos követelése a Kérelmezővel szemben, ii. a Kérelmezett által csatolt adatkezelési tájékoztató 2.10. pontja rendelkezik a kintlévőség kezeléssel kapcsolatos adatok tárolásáról, mely szerint az adatok kezelésének határideje az érintett tiltakozásáig vagy a tartozás kiegyenlítéséig szól, iii. mivel a tartozás kiegyenlítésre került, a Kérelmezett a tartozás kiegyenlítését követő 13 évvel nem jogosult kezelni a kérelmező adatait, iv. az adatkezelési tájékoztató 2.8. pontja rögzíti, hogy az adatkezelés jogalapja lehet az egyedi szerződések kezelése. E körben az adatkezelési tájékoztató tartalmazza, hogy „az Adatkezelő egyedi, pénzügyi, kereskedelmi megállapodásokat köt speciális igények, vitás esetek kezelésére.“ Ebbe a körben a kezelt adatok köre a tartozás, megegyezés tárgya, v. az adatkezelési tájékoztató 9. pontja rögzíti, hogy a megismert adatokat az adatkezelő a 8. pontban megjelölt adatfeldolgozók kivételével harmadik személynek nem adja át. Sem [...], sem a nevében eljáró [...] ügyvéd nem tartozik az adatkezelési tájkoztató 8. pontjában meghatározott adatfeldolgozói körbe, kívülálló harmadik személyek, akiknek a részére sem a GDPR sem a Kérelmezett adatvédelmi szabályzata alapján nem volt jogszerű a kért adatok kiadása (NAIH-167-17/2021. alszámú irat). (15) A Kérelmezett 2021. június 8. napján kelt nyilatkozatában az alábbiakat adta elő:

i. [...] ügyvéd a Törvényszékhez benyújtott, 2020. július 07-i keltezésű beadványában már hivatkozik az általa korábban becsatolt egyezségre is. ii. [...] ügyvédnek a Hatósághoz benyújtott, 2021. április 7. napján kelt beadványa alapján megállapítható, hogy a kérelmezett által szolgáltatott adatok a Törvényszék előtt folyó eljárásban okirati bizonytékként szolgáltak és arra nézve nincs információ, hogy a Kérelmező az egyezség bizonyítékként való felhasználását kifogásolta volna. iii. [...] ügyvéd a beadványában rögzíti, hogy a Kérelmező mint alperes a felperes által bizonyítási indítványként megtett felhívásoknak nem tett eleget, ezért bizonyítási indítványt terjesztett elő az adott jogügylet tekintetében tanúkénti meghallgatás érdekében, illetve arról, hogy a tanúmeghallgatás mellőzhető, ha a szükséges iratok rendelkezésre bocsátása megtörténik és az a Törvényszék felé benyújtásra kerülhet. iv. [...] ügyvéd nyilatkozata szerint az egyezség tartalmának megfelelő teljesítés tisztázása a Kérelmező volt házastársa GDPR 6. cikk d) pontja szerinti létfontosságú érdekei védelmét, illetve az f) pont szerinti jogos érdekei érvényesítését szolgálta, az adatkezelés pedig a c) pont szerinti bizonyítási kötelezettség teljesítése körében történt. v. [...] ügyvéd a Kérelmezett ügyvezetőjéhez címzett, 2020. június 24. napján kelt megkeresésében tájékoztatta a Kérelmezettet a Kérelmező és volt házastársa között folyamatban lévő peres eljárásról és a Kérelmezett kilátásba helyezett tanúkénti meghallgatásáról, illetve a tanúzást mellőzhető irat benyújtásáról. A megkeresés az egyezség tartalmának pontos ismeretére utalt, annak elemei szó szerinti idézésével. vi. Az egyezséget a Fővárosi Bíróság 4.P.631.262/2005/2. sz. végzésével jóváhagyta, a jóváhagyó végzés 2006. február 14. napján jogerőssé és végrehajthatóvá vált. vii. Hivatkozott a régi Pp. 190. § (3) bekezdésére, 193. §-ára.2

2 régi Pp. 190. § (3) Ha az okirat olyan személy birtokában van, aki a perben nem vesz részt, az utóbbi személyt tanúként kell kihallgatni s a viii. Rámutatott, hogy a Kérelmezett a tanú meghallgatása alóli mentesülés érdekében szolgáltatott az őt érintő közokirattal kapcsolatban a valóságnak megfelelő adatokat. Álláspontja szerint az a körülmény, hogy a bíróság a perben nem kötelezte a Kérelmezettet biznyításra, nem értékelhető úgy, hogy a Kérelmezettet is érintő okirat bizonyítékként való felhasználásáról való tudomásszerzés alapján történt adatközlés jogszabályba ütközne. ix. A Kérelmezett álláspontja szerint a bírósági eljárásban felhasznált azon okirattal kapcsolatos adatszolgáltatás, melynek egyik alanya a Kérelmezett, nem sértheti az egyezség másik alanyának személyes adatok védelméhez fűződő jogait, mivel a Kérelmezett jogos érdeke az általa kötött egyezség bizonytékként való felhasználására tekintettel a valós teljesítés feltárása. x. A Kérelmezett adatkezelése a GDPR 6. cikk (1) bekezdés b), c) és f) pontja alapján jogszerű volt (NAIH-167-19/2021. alszámú irat). (17) A Kérelmezett - módosított kérelemre tekintettel tett -, 2021. június 16. napján kelt nyilatkozata szerint a Kérelmezőnek az egyezségi megállapodás alapján van meg nem fizetett, lejárt tartozása. Nem felel meg a valóságnak, hogy a tartozás 2007. január 25. napján kiegyenlítésre került, a tartozás nem szűnt meg, csak a kérelmező szüntette be a törlesztést 2007. január 25. napja után. A Kérelmező eljárása ellentétes az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 6. § (1), (2) bekezdésében foglaltakkal (NAIH-167-20/2021. alszámú irat).

III. Alkalmazandó jogszabályi előírások

A GDPR 2. cikk (1) bekezdése alapján jelen adatkezelésre a GDPR-t kell alkalmazni. A GDPR jelen ügyben releváns rendelkezései a következők: A GDPR 4. cikk 1. pontja szerint személyes adat az „azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ […]” GDPR 4. cikk 2. „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés, továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés; GDPR 4. cikk 6. „nyilvántartási rendszer”: a személyes adatok bármely módon - centralizált, decentralizált vagy funkcionális vagy földrajzi szempontok szerint - tagolt állománya, amely meghatározott ismérvek alapján hozzáférhető; GDPR 4. cikk 7. „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja; GDPR 6. cikk (1) bekezdés: A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;

kihallgatás során kötelezni kell az okirat bemutatására. 193. § Olyan tényállásra vonatkozóan, amely okirattal bizonyítható, a bíróság az egyéb bizonyítást mellőzheti.

e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. A GDPR 58. cikk (2) bekezdése szerint „A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;”

A GDPR 77. cikk (1) szerint „Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál - különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban -, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.”

A GDPR hatálya alá tartozó adatkezelésre az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.)2. § (2) bekezdése szerint a GDPR-t az ott megjelölt rendelkezésekben kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (2) bekezdése szerint adatvédelmi hatósági eljárás megindítása iránti kérelem a GDPR 77. cikk (1) bekezdésében meghatározott esetben nyújtható be. Az Infotv. 60. § (1) bekezdése szerint „a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít”. A GDPR eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az Infotv.-ben meghatározott eltérésekkel. Infotv. 61. § (1) a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság a GDPR hatálya alá tartozó adatkezelési műveletekkel összefüggésben a GDPR-ban meghatározott jogkövetkezményeket alkalmazhatja. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b), c) és d) pontjai alapján a felügyeleti hatóság korrekciós hatáskörében eljárva elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendeletszerinti jogai gyakorlására vonatkozó kérelmét; utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel. Az Infotv 75/A. §-a szerint a Hatóság a GDPR 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – a GDPR 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Ákr. 51. § Ha a hatóság b) az ügyintézési határidőt túllépi - és függő hatályú döntés meghozatalának nem volt helye az eljárás lefolytatásáért illetéknek vagy díjnak megfelelő összeget, ennek hiányában tízezer forintot megfizet a kérelmező ügyfélnek, aki mentesül az eljárási költségek megfizetése alól is.

III. A Hatóság döntése során figyelembe vett bizonyítékok és azok értékelése:

IV. Megállapítások

IV.1. A Kérelmező személyes adatai

(20) A kérelem K/2 mellékletét képező, 2020. július 2. napján kelt igazolás (a továbbiakban: igazolás) tartalmazza a Kérelmező nevét és az általa tartozás törlesztése címén a Kérelmezett cég számlájára fizetett összeget (16.500.000,- Ft). Az igazolás mellékletét képező „Átutalások a […]-nek” megnevezésű táblázatban (a továbbiakban: táblázat) szereplő összesített összegnek (16.500.000,- Ft) az igazoláson szereplő összeggel való összevetését követően megállapítható, hogy a két összeg egyezik, a táblázatban szereplő részteljesítések összege az igazoláson szereplő összegnek feleltethető meg. Az igazolás tartalmazza a Kérelmező nevét, ebből fakadóan az egyes részteljesítések időpontja és összege is a Kérelmezőhöz köthető személyes adat, a GDPR 4. cikk 1. pontja szerinti személyes adat.

IV.2. Nyilvántartási rendszer

(21) A kérelem K/5. számú mellékletét képező Kérelmezetti nyilatkozat szerint „A […]. (…) a hivatkozott egyezséggel kapcsolatban a rá nézve releváns kérdésben közölt valóságnak megfelelő tényt.” (22) A Kérelmezett nyilatkozata szerint i. „a Kérelmező adatait a társaság székhelyén nyomtatott formában tárolja. A Kérelmező adatait ügyviteli rendszerében nem tárolja.” ii. „Az igazolás mellékletét képező „Átutalások a […].-nek” dokumentumot papír alapon a Kérelmezővel fennálló ügy papír alapú dokumentációjában tárolja a társaság székhelyén, korlátozott hozzáféréssel.” (NAIH/2020/3. alszámú irat, 2., 5. oldal) (23) A Hatóság megállapítja, hogy a táblázat strukturált módon tartalmazza a Kérelmezett részére történt átutalások dátumát és az egyes dátumokhoz tartozó forint összegeket, ez utóbbiakat összesítve is rögzíti. A dokumentum egy - a Kérelmezői befizetéseket tartalmazó - táblázat nyomtatott változata, amely kézi „pipálásokat”, továbbá a 2006.02.15. és a 2006.02.22. dátumú tétel esetén kézzel tett „bank” megjegyzést tartalmaz. Abból a tényből, hogy […] ügyvéd 2020. június 24. napján kelt megkeresését a Kérelmezett teljesítette, az a következtetés vonható le, hogy a befizetések időpontja és a befizetések összege a Kérelmezőhöz kapcsolhatóan kereshető volt, az eredményes keresés következtében vált lehetővé az ügyvédi megkeresés teljesítése, és a Kérelmezetti nyilatkozat szerinti, „valóságnak megfelelő tények közlése”. A Hatóság rámutat, hogy ügyviteli rendszeren kívül tárolt, strukturált táblázat függetlenül attól, hogy részben számítógépből nyomtatott, részben kézírással kiegészített - a GDPR 4. cikk 6. pontja szerinti tagolt állományú nyilvántartási rendszernek minősül.

IV.3. Az adatkezelői pozíció

(24) A Kérelmezett nyilatkozata szerint „A Kérelmezettnél az adatvédelmi kérdésekben az ügyvezető igazgató, mint adatvédelmi manager és a Kérelmezett tulajdonosa hoz döntéseket. A Napi operatív kérdésekben a Kérelmezett ügyvezetője, míg a jogi területeken, hatósági vagy ügyvédi megkeresések esetén […] tulajdonos jár el az ügyvezető utasítására.” „[…] a Kérelmezett ügyvezetőjének tájékoztatása mellett adott utasítást […] megkeresésének teljesítésére.” (25) Az igazolás fejléce tartalmazza a Kérelmezett jogi személy cégnevét és székhelyét, az igazolást aláíró – az adattovábbítás időpontjában Kérelmezettel munkaviszonyban állt - főkönyvelő aláírása mellett a Kérelmezett céges bélyegzőlenyomatát. (26) A (24)-(25) bekezdésekben foglaltak alapján a Hatóság megállapítja, hogy a Kérelmezett a GDPR 4. cikk 7. pontja szerinti önálló adatkezelő, az adatkezelés célját (az ügyvédi megkeresés teljesítése) és eszközeit (a Kérelmező befizetései időpontjának és összegének továbbítása, igazolás kiállítása a befizetések összegéről, az ügyvédi megkeresés teljesítésére vonatkozó utasítás adása a Kérelmezett főkönyvelőjének) önállóan határozta meg.

IV.4. Az adatkezelési tevékenység és annak jogalapja

IV.4.1. Az adattovábbítás (27) A Kérelmezett azzal, hogy […] megkeresésére az igazolást kiállította és továbbította, a GDPR 4. cikk 2. pontja szerinti, adatkezelésnek minősülő adattovábbítási műveletet végzett. Az adattovábbításra, mint adatkezelési tevékenységre megfelelő jogalappal azonban nem rendelkezett, mert a megkereső a Kérelmezettel megbízási jogviszonyban nem álló - ügyvéd nem esik abba az adatfeldolgozói körbe, akiknek a Kérelmező személyes adatait jogszerűen továbbíthatta volna az adatkezelési tájékoztatójának 8. pontja alapján. (28) A Kérelmezett álláspontja szerint a bírósági eljárásban felhasznált azon okirattal kapcsolatos adatszolgáltatás, melynek egyik alanya a Kérelmezett, nem sértheti az egyezség másik alanyának személyes adatok védelméhez fűződő jogait, mivel a Kérelmezett jogos érdeke az általa kötött egyezség bizonyítékként való felhasználására tekintettel a valós teljesítés feltárása. A Hatóság álláspontja szerint azonban az adattovábbításra a Kérelmezett jogos érdekeinek érvényesítéséhez nem volt szükség, mert a Törvényszék előtt folyamatban lévő per tárgya a Kérelmező és volt házastársa közötti vagyonmegosztás, amely perben a Kérelmezett nem peres fél. A Hatóság itt kíván rámutatni, hogy a Kérelmezett azon szándéka, hogy az igazolás becsatolásával a Kérelmezett munkavállalója mentesüljön a tanúzási kötelezettség alól, nem feleltethető meg a GDPR 6. cikk (1) bekezdés f) pont szerinti - a kérelmezetti saját - jogos érdeknek, mert a tanúbizonyítás elrendeléséről a bíróság dönt, amennyiben a felek erre vonatkozóan bizonyítási indítványt terjesztenek elő. Az adattovábbítás harmadik személy (a vagyonmegosztási per felperese) jogos érdeke alapján pedig azért volt jogszerűtlen a megkereső ügyvéd felé, mert az adattovábbítás nem a megfelelő „csatornán” keresztül történt, a becsatolt igazolást az eljáró bíróság felhívására csatolhatta volna jogszerűen a Kérelmezett a peres eljárásban. (29) Az adattovábbítás tekintetében i. a Kérelmezett a Kérelmezőtől származó hozzájáruló nyilatkozattal nem rendelkezik, ii. az adattovábbításra az egyezségben foglaltak teljesítéséhez nem volt szükség, iii. az adattovábbításra a Kérelmezett adatkezelő jogi kötelezettsége teljesítéséhez nem volt szükség, mert a Kérelmezett nyilatkozata alapján a Törvényszéktől adatszolgáltatásra nem kapott felhívást, iv. az adattovábbítás sem a Kérelmező, sem volt házastársának létfontosságú érdeke (élete, testi épsége, egészsége) miatt nem volt szükséges, v. a Kérelmezett adatkezelő közhatalmi jogosítvánnyal nem rendelkezik, a Kérelmezett a GDPR 6. cikk (1) bekezdésében meghatározott egyik jogalappal sem rendelkezik. IV.4.2. Az adattárolás (30) A Kérelmező azt a tényt, hogy a Kérelmező a tartozást kiegyenlítette és Kérelmezőnek nincs a Kérelmezettel szemben 2007. január 25. napja óta fennálló hátralékos követelése, kizárólag jelen adatvédelmi eljárásban állította (NAIH-167-17/2021. alszámú irat), a kérelem K/4 melléklete (a Kérelmezett 2021. augusztus 4. napján kelt megkeresése) szerint csupán az adattovábbítás jogalapjával összefüggésben kért tájékoztatást a Kérelmezettől.

(31) A Kérelmezett nyilatkozata szerint a Kérelmezőnek van meg nem fizetett, lejárt tartozása. „Nem felel meg a valóságnak a Kérelmező azon állítása, hogy a Kérelmező Kérelmezettel szembeni tartozása, melyre nézve a felek egyezséget kötöttek, 2007. január 25. napján kiegyenlítésre került. A valóság az, hogy a tartozás csak részben került kiegyenlítésre, a tartozás nem szűnt meg, csak a Kérelmező a törlesztést szüntette be 2007. január 25. után.” (NAIH-167-20/2021. alszámú nyilatkozat). (32) Tekintettel arra, hogy a Kérelmezett nyilatkozata alapján a Kérelmezőnek jelenleg is van lejárt, meg nem fizetett tartozása, azt a Kérelmezett jogszerűen tartja nyilván, jogszerű adatkezelési célból (kintlévőség kezelés), jogszerű - a GDPR 6. cikk (1) bekezdés f) pontja szerinti - adatkezelői jogos érdek jogalapon, az általa becsatolt érdekmérlegelési teszttel is alátámasztottan.

IV.5. A kérelem elutasított része

(33) A Hatóság elutasította a Kérelmező adatvédelmi bírság kiszabására vonatkozó kérelmét, mivel e jogkövetkezmény alkalmazása a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen – a közérdek érvényesítésének körébe eső - jogkövetkezmény alkalmazása tekintetében a bírságkiszabás vonatkozásában a Kérelmező nem minősül ügyfélnek az Ákr. 10.§ (1) bekezdése alapján, illetve mivel az Ákr. 35.§ (1) bekezdésének nem felel meg, e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető. (34) A Hatóság ugyanakkor hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv.75/A. §a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében bírság kiszabása nem arányos és nem szükséges, tekintettel arra, hogy a Kérelmezett GDPR jogsértésének megállapítására korábban nem került sor. (35) A Törvényszéknek a Hatóság részére adott tájékoztatása szerint az egyezség létrejötte, az egyezség alapján teljesített törlesztőrészletek összege és teljesítésük időpontja a vagyonjogi per tárgyát képező jogvita érdemi megítélésére vonatkoznak (NAIH-167-4/2021. alszámú irat). (36) A Törvényszék tájékoztatásából fakadóan az egyezség létrejötte, az egyezség alapján teljesített törlesztőrészletek összege és teljesítésük időpontja releváns tényeknek minősülnek a vagyonjogi per eldöntése szempontjából. (37) Figyelemmel a Törvényszék által adott tájékoztatásban foglaltakra, továbbá Kérelmezett által hivatkozott, a régi Pp. bizonyítást érintő rendelkezéseire (164. §, 190. § (3) bekezdés, 193. §), a Kérelmezett részéről […] ügyvéd felé teljesített megkeresés során a Kérelmező személyes adatai megfelelő jogalap nélkül történt továbbításával a Kérelmező személyes adataihoz fűződő joga olyan csekély fokban sérült, hogy a jogsértés megállapításán túlmenően a Hatóság kizárólag a figyelmeztetés szankciójának kiszabását tartotta indokoltnak.

V. Jogkövetkezmények:

V.1. A Hatóság a Kérelmező kérelmének részben helyt ad és a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja Kérelmezettet, mert megsértette a GDPR 6. cikk (1) bekezdését. Abban a kérdésben, hogy indokolt-e az adatvédelmi bírság kiszabása, a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés arányos és visszatartó erejű szankció, ezért bírság kiszabása nem szükséges. A Hatóság álláspontja szerint a jelen esetben a figyelmeztetés azért arányos és visszatartó erejű szankció, mert a Kérelmezett korábban nem sértette meg a GDPR rendelkezéseit, a megállapított jogsértés nem érinti személyes adatok különleges kategóriáit, a Kérelmezett által jogalap nélkül továbbított személyes adatok a Törvényszék előtt folyamatban lévő vagyonmegosztási perben a jogvita érdemi megítélésére vonatkoznak.

A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

V.2. A Hatóság az eljárás során túllépte az Infotv. 60/A § (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek.

VI. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. A határozat az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Budapest, 2021. augusztus 27. „ ” Dr. Péterfalvi Attila elnök c. egyetemi tanár