Орган по защите данных Венгрии: предоставление аудиозаписи с ограничением использования со ссылкой на коммерческую тайну

Ügyszám: NAIH-55-11/2022. Tárgy: határozat és megszüntető végzés

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […]

kérelmező (a továbbiakban: Kérelmező) kérelme alapján 2022. január 04. napján a […]

(továbbiakban: Kérelmezett) ellen a Kérelmezett által érintetti kérelem nem megfelelő teljesítése tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

I. 1. A Hatóság a határozatában a Kérelmező kérelmének részben helyt ad és megállapítja, hogy a Kérelmezett megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) 12. cikk (2) és (3) bekezdéseit.

I.2. A Hatóság végzésével az eljárást az arra vonatkozó részében, mely a Kérelmező azon kérelmére indult, hogy a Kérelmezett és más adatkezelők által kezelt hangfelvételek és egyéb személyes adatok rendelkezésre bocsátására irányuló hozzáférési kérelmek teljesítésével (átadásával) összefüggő gyakorlatukkal kapcsolatos iránymutatást bocsásson ki, továbbá a gyakorlat átalakítására kötelezze, megszünteti.

II. A Hatóság határozatában a Kérelmezettet az I.1. pontban megállapított jogsértés miatt hivatalból

2.000.000 Ft, azaz kétmillió forint adatvédelmi bírság megfizetésére kötelezi.

A hatósági eljárás során eljárási költség nem merült fel, ezért annak viseléséről nem rendelkezett a Hatóság.

Az adatvédelmi bírságot a közigazgatási per kezdeményezésére irányadó keresetindítási határidő lejártát, illetve közigazgatási per kezdeményezése esetén a bíróság döntését követő 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-55/2022. BÍRS. számra kell hivatkozni.

Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását. A határozattal és a végzéssel szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

INDOKOLÁS

I. Az eljárás menete

I.1. A Kérelmező kérelmére az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján 2022.01.04. napján adatvédelmi hatósági eljárás indult, miután a Hatóság NAIH-8606-2/2021. számú hiánypótlási felhívására 2022. január 03. napján megküldte a nyilatkozatát.

I.2. A Hatóság a Kérelmezettet a NAIH-55-2/2022. számú végzésében értesítette az eljárás megindulásáról és első alkalommal nyilatkozattételre hívta fel a tényállás tisztázása érdekében, hivatkozással az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 63. §-ra, melyre a Kérelmezett válasza 2022. március 17. napján érkezett meg a Hatósághoz (NAIH-55-3/2022. sz. irat).

I.3. A Hatóság a NAIH-55-5/2022. sz. és a NAIH-55-7/2022. sz. irataiban értesítette arról a Kérelmezettet és a Kérelmezőt, hogy a bizonyítási eljárás befejeződött. A Hatóság végzésére válaszul a Kérelmezett arról tájékoztatta a Hatóságot, hogy élni kíván az iratbetekintési jogával, de nem nyilatkozott a megadott határidő alatt. A Kérelmezett élt iratbetekintési jogával, és a Hatóság egyszerű másolatban megküldte a részére az eljárás iratanyagát.

II. Tényállás tisztázása

II.1. A Kérelmező 2021. november 23-án adatvédelmi hatósági eljárás iránti kérelmet nyújtott be, melyben előadta, hogy hangfelvétel másolatának rendelkezésre bocsátását kérte a Kérelmezettől, azonban azt csak 1,5 hónap után 2 panasz megtételét követően kapta volna meg, akkor, ha aláír egy olyan átvételi elismervényt, amiben igazolja, hogy az abban megadott hangfelvételt veszi át, azonban arra nem adott a Kérelmezett lehetőséget, hogy erről meggyőződhessen, továbbá kötelezettséget vállal arra, hogy a jogi képviselőjén kívül senkinek sem „mutatja” meg a felvételt. A Kérelmező szerint ez utóbbi ellehetetlenítette volna azt, hogy panaszt nyújtson be a bankfelügyeletnek, úgy, hogy a kért hanganyagot is mellékeli, továbbá álláspontja szerint a Kérelmezett visszadátumozta az átvételi jegyzőkönyvet, hogy látszólag megfeleljen az „adatszolgáltatási kötelezettségé”-nek. A hangfelvételt a Kérelmező több mint két hónapja, 2021. szeptember 7. napján kérte a Kérelmezettől telefonos ügyfélszolgálaton keresztül, rögzített vonalon, azonban azt a kérelme benyújtásának napjáig nem kapta meg, annak ellenére, hogy a Kérelmezett az érintetti kérelem teljesítésével kapcsolatos határidő meghosszabbításáról sem értesítette. A Kérelmező az alábbiakat kérte a Hatóságtól:

1 A közigazgatási per kezdeményezésére a NAIH_KO1 elnevezésű űrlap szolgál: NAIH KO1 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki.

vizsgálja ki és határozza meg a Kérelmezett, továbbá más cégek számára, hogy az adatkezelő a személyes adatok kiadása során (például, de nem kizárólag hangfelvétel esetén) annak felhasználhatóságát és átvételi lehetőségét milyen mértékben korlátozhatja (például igazolni kell, hogy mit vett át anélkül, hogy meggyőződhetett volna arról), utasítsa a Kérelmezettet arra, hogy az „adatszolgáltatás” határidejét tartsa be, határozza meg, hogy üzleti titokra hivatkozva milyen mértékben korlátozható a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) és más törvények alapján kikért személyes adat (ideértve a hanganyagot is).

II.2. A kérelemhez és a hiánypótlásában a Kérelmező mellékelte az alábbi dokumentumokat másolatban:

a Kérelmezett 2021.09.08. napján kiállított és tanúk aláírásával ellátott „Átvételi elismervénye”, melyet a Kérelmező nem írt alá, a Kérelmezett bankfiókjában 2021.11.10. napján és 2021.10.21. napján tett panaszáról készült jegyzőkönyv, a Kérelmezett 008152/01/2021. ikt. számú és 006354/1/2021. ikt.számú, Kérelmezőnek címzett levele, - 2 db 2021.07.31. napján kelt „Eseti forint átutalások részletes visszaigazolása” dokumentum, - Kérelmező számlatörténete. A Kérelmező által becsatolt átvételi elismervény a hanganyag korlátozott felhasználhatósággal kapcsolatban az alábbiakat tartalmazta: „[…] A jelen átvételi elismervény aláírásával egyúttal elismerem, hogy a [….] jelen elismervény útján tájékoztat arról a tényről, hogy az adathordozókon található hanganyag a […] üzleti titkát képezi, valamint arról, hogy a […] kifejezetten nem járul hozzá ahhoz, hogy az adathordozókon lévő hanganyagot engem a hanganyagokkal kapcsolatos panaszügyben képviselő jogi képviselőimön kívül harmadik személyek részére átadjam. Kötelezem magam arra, hogy az ügyben eljáró jogi képviselőimmel a jelen titoktartási szabályokat ismertetem. Kötelezettséget vállalok arra, hogy az adathordozókon található, a […] üzleti titkát képviselő információkat fokozott gondossággal őrzöm, minden szükséges intézkedést megteszek annak érdekében, hogy azokhoz jogosulatlanul harmadik személy ne férhessen hozzá Jelen átvételi elismervény aláírásával tudomásul veszem, hogy amennyiben a […] üzleti titkának megőrzésére vonatkozó kötelezettségemnek nem teszek eleget, azért kártérítési felelősséggel tartozom.” A Kérelmező nyilatkozata szerint a Kérelmezett a hanganyagot 2021. november 22. napján kelt (008152/01/2021. ikt számú) levelével küldte meg a részére. A Kérelmező az alábbiakat nyilatkozta a határozott kérelmének előterjesztésére szóló felhívással kapcsolatban:

a Hatóság marasztalja el a Kérelmezettet a kérelemhez csatolt átvételi elismervény használata miatt, kötelezze a Hatóság a Kérelmezettet, hogy az átvételi elismervényben csak az átvétel tényéről kelljen nyilatkozni, kötelezze a Hatóság a Kérelmezettet arra, hogy amit átad, az ellenőrizhető legyen, marasztalja el a Hatóság a Kérelmezettet az „adatszolgáltatási kötelezettsége megsértése miatt” annak „határidejére, minőségére és teljességére” vonatkozó előírások be nem tartása miatt, kötelezze a Hatóság a Kérelmezettet bírság megfizetésére a jogellenes adatkezelése miatt.

II.3. A Hatóság a Kérelmezettet végzésével a tényállás tisztázása érdekében nyilatkozattételre hívta fel, melyre a Kérelmezett az alábbiakat nyilatkozta és az alábbiakat csatolta: A Kérelmező 2021. szeptember 07. napján nyújtotta be (telefonbeszélgetés során terjesztette elő) a hozzáférési kérelmét a Kérelmezetthez, azonban azt csak 2021. november 21. napján teljesítette a Kérelmezett. A Kérelmezett állítása szerint a kérelem beérkezését követően azonnal megkezdte az intézkedést a hanganyag kiadása érdekében, a központi részlege értesítette a csepeli fiókját, azonban az vélhetően egyedi adminisztrációs hiba miatt nem értesítette a Kérelmezőt arról, hogy a hangfelvételt átveheti. A Kérelmező 2021. október 21-én jelezte ismét a problémáját, és egyúttal panaszt is tett. A panaszkivizsgálás keretében a panaszkezelő terület kérte a csepeli fiókot, hogy hívja fel a Kérelmezőt és tájékoztassa arról, hogy a hangfelvételt a csepeli fiókban átveheti. A fiók a Kérelmezőt 2021.11.10. napján 13:37 perckor rögzített telefonhívásban értesítette az átvétel lehetőségéről. A Kérelmező 2021. november 10. napján megjelent a fiókban a hanganyag átvétele céljából, azonban azt végül nem vette át a Kérelmező Hatósághoz küldött kérelmében előadott okok miatt. A fiókban ezzel kapcsolatban a Kérelmező panaszt tett, a panasz kivizsgálásával kapcsolatban 2021. november 12. napján küldött küldeményben értesítették. A hanganyagot 2021. november 22. napján postázta a Kérelmezett a Kérelmező részére. A Kérelmezett tájékoztatta a Hatóságot arról, hogy módosította a hanganyag személyes átadására használatos nyomtatványa szövegét. A Kérelmezett a fenti állításai alátámasztására becsatolta a Kérelmező kérelmével, panaszával kapcsolatos dokumentációt, és a vonatkozó eljárásrendjét. A Kérelmezett a fentieken túl azt adta elő, hogy az átvételi elismervény alkalmazásával az volt a célja, hogy egyrészt hitelt érdemlő módon legyen képes annak bizonyítására, hogy az érintetti kérelmet teljesítette, továbbá, tájékoztatta az érintettet arról, hogy „hanganyagot nem hozhatja nyilvánosságra és a felvételt kizárólag az adatkezelővel folytatott jogvita rendezése során használhatja fel.”

III. Alkalmazott jogszabályi rendelkezések

A GDPR-t kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. A GDPR hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint a GDPR-t az ott megjelölt kiegészítésekkel kell alkalmazni. GDPR 4. cikk 1. pont alapján „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható GDPR 4. cikk 2. pont alapján „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.

GDPR 4. cikk 7. pontja alapján „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja; A GDPR 5. cikk (1) bekezdése (1) bekezdés a) pont alapján személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); A GDPR 5. cikk (2) bekezdés alapján az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). A GDPR 12. cikk (1) - (4) bekezdései szerint: (1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (2) Az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. (3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. (4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. A GDPR 15. cikk (3) bekezdés alapján az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.

A GDPR 77. cikk (1) bekezdés alapján az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban -, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.

A GDPR 58. cikk (2) bekezdés b) pontja alapján a felügyeleti hatóság korrekciós hatáskörében eljárva:

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is;

i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett;

Az Ákr 46. § (1) bekezdés alapján a hatóság a kérelmet visszautasítja, ha a) az eljárás megindításának jogszabályban meghatározott feltétele hiányzik, és e törvény ahhoz más jogkövetkezményt nem fűz. Az Ákr 47. § (1) bekezdés alapján a hatóság az eljárást megszünteti, ha a) a kérelem visszautasításának lett volna helye, annak oka azonban az eljárás megindítását követően jutott a hatóság tudomására.

Az Infotv. 38. § (2b) bekezdés alapján a Hatóságnak a (2) bekezdésben a személyes adatok tekintetében meghatározott feladatköre a bírósági döntés meghozatalára irányuló peres és nemperes eljárásokban, az azokra vonatkozó előírások alapján a bíróság által végzett adatkezelési műveletek vonatkozásában nem terjed ki a (3) bekezdésben meghatározott hatáskörök gyakorlására.

Az Infotv. 60. § (1) bekezdés alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az Infotv. 60. § (2) bekezdés alapján az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében, valamint a 22. § b) pontjában meghatározott esetben nyújtható be.

Az Infotv. 61. § (1) bekezdés alapján az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság a) a 2. § (2) és (4) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben a GDPR-ben meghatározott jogkövetkezményeket alkalmazhatja, b) a 2. § (3) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben ba) megállapíthatja a személyes adatok jogellenes kezelésének tényét, bb) elrendelheti a valóságnak nem megfelelő személyes adat helyesbítését, bc) elrendelheti a jogellenesen kezelt személyes adatok zárolását, törlését vagy megsemmisítését, bd) megtilthatja a személyes adatok jogellenes kezelését, […] bg) bírságot szabhat ki, Az Infotv. 71. § (1) bekezdés alapján a Hatóság eljárása során - az annak lefolytatásához szükséges mértékben és ideig - kezelheti mindazon személyes adatokat, valamint törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatokat, amelyek az eljárással összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. Az Infotv. 75/A. § alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Az Infotv. 61. § (5) bekezdés alapján a Hatóság annak eldöntésében, hogy indokolt-e az (1) bekezdés b) pont bg) alpontja szerinti bírság kiszabása, illetve a bírság mértékének megállapítása során az eset összes körülményeit figyelembe veszi, így különösen a jogsértéssel érintettek körének nagyságát, a jogsértés súlyát, a magatartás felróhatóságát, valamint azt, hogy a jogsértővel szemben korábban állapítottak-e meg a személyes adatok kezelésével kapcsolatos jogsértést. Az Infotv. (6) bekezdés alapján a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg. Az üzleti titok védelméről szóló 2018. évi LIV. törvény (a továbbiakban: Üzleti titok tv.) 1. § (1) bekezdés alapján üzleti titok a gazdasági tevékenységhez kapcsolódó, titkos - egészben, vagy elemeinek összességeként nem közismert vagy az érintett gazdasági tevékenységet végző személyek számára nem könnyen hozzáférhető -, ennélfogva vagyoni értékkel bíró olyan tény, tájékoztatás, egyéb adat és az azokból készült összeállítás, amelynek a titokban tartása érdekében a titok jogosultja az adott helyzetben általában elvárható magatartást tanúsítja.

IV. Döntés:

IV.1. Személyes adat és adatkezelés

A Kérelmezővel folytatott telefonbeszélgetés rögzített hanganyaga személyes adatnak minősül a GDPR 4. cikk 1. pontja alapján, és ezen személyes adatok őrzése, felhasználása adatkezelés a GDPR 4. cikk 2. pont alapján.

IV.2. Adatkezelő személye

A Hatóság megállapította a Kérelmezett nyilatkozatai alapján, hogy a vizsgált adatkezeléssel összefüggésben az adatkezelése célját és eszközeit a Kérelmezett önállóan határozza meg, ezért a GDPR 4. cikk 7. pontja alapján adatkezelő a Kérelmező személyes adatai kezelésével összefüggésben.

IV. 3. Érintetti kérelem késedelmes teljesítése

A GDPR 15. cikk (3) bekezdés alapján az érintett jogosult arra, hogy az adatkezelés tárgyáról másolatot kérjen. A Kérelmező ezzel a jogával élve nyújtotta be a hozzáférési kérelmét a Kérelmezetthez 2021. szeptember 07. napján (telefonbeszélgetés során terjesztette elő), a kérelmét azonban csak 2021. november 21. napján teljesítette a Kérelmezett. A Kérelmezett arra is hivatkozott, hogy a GDPR szerinti 3 hónapos (1 hónap+2 hónap) határidőt nem lépte túl az érintetti kérelem teljesítése során. A Kérelmezett azonban nem igazolta a Hatóság felé, hogy meghosszabbította az alapesetben érvényes 1 hónapos határidőt, és erről tájékoztatta a Kérelmezőt, tekintve azt, hogy a késedelme nem a sok érintetti kérelem beérkezésére, vagy a Kérelmező érintetti kérelmének nehezen teljesíthetőségére volt visszavezethető, hanem a Kérelmezett nyilatkozata szerint adminisztrációs hiba történt. A GDPR 12. cikk (3) bekezdés alapján legfeljebb egy hónapon belül kellett volna teljesítenie a Kérelmezettnek a kérelmet, indokolt esetben ezt a határidőt további egy hónappal meghosszabbíthatta volna, azonban erről tájékoztatnia kellett volna a Kérelmezőt.

A Kérelmezett állítása szerint a kérelem beérkezését követően azonnal megkezdte az intézkedést a hanganyag kiadása érdekében, a központi részlege értesítette a csepeli fiókját, azonban az vélhetően egyedi adminisztrációs hiba miatt nem értesítette a Kérelmezőt arról, hogy a hangfelvételt átveheti. A Hatóság álláspontja szerint az ügyintézői hibára vonatkozó érvelés nem mentesíti a Kérelmezettet az adatkezelői felelősség alól, tekintettel arra, hogy az általános adatvédelmi rendelet 4. cikk 7. pontja értelmében a Kérelmezett minősül adatkezelőnek és nem a munkavállalói. A Kérelmezett az, aki megszervezi az adatkezelés folyamatát és kialakítja annak körülményeit, nem pedig az ügyintézők. Az adatkezelő legfontosabb jellemzője az, hogy érdemi döntéshozatali jogkörrel rendelkezik, és felelősséggel tartozik az adatkezelés valamennyi, az általános adatvédelmi rendeletben rögzített kötelezettség teljesítéséért.

Az Adatvédelmi Irányelv 29. cikke szerint létrehozott Adatvédelmi Munkacsoport (a továbbiakban: Adatvédelmi Munkacsoport) az „adatkezelő” és az „adatfeldolgozó” fogalmáról szóló 1/2010. számú véleményében szintén kifejtette, hogy „Végső soron a vállalatot vagy szervet kell felelősnek tekinteni az adatfeldolgozásért és az adatvédelmi jogszabályokból eredő kötelezettségekért, kivéve, ha egyértelmű elemek utalnak arra, hogy egy természetes személy a felelős. […] Azonban az ilyen esetekben is, amikor konkrét természetes személyt neveznek ki, hogy biztosítsa az adatvédelmi elvek betartását vagy hogy személyes adatokat dolgozzon fel, ez a személy nem lesz adatkezelő, hanem annak a jogi személynek (vállalatnak vagy köztestületnek) a nevében jár el, amely adatkezelői minőségében továbbra is felelős az alapelvek megsértése esetén.” Az ügyintéző által végrehajtott téves adatrögzítés ténye tehát nem minősül kimentési oknak, ebben az esetben is az adatkezelő viseli a felelősséget.

A GDPR 12. cikk (3) bekezdés szerinti határidőt betartva a Kérelmezettnek 2021. október 07. napján kellett volna a Kérelmező rendelkezésére bocsátania a hanganyagot, azonban elmulasztotta azt. A Kérelmező 2021. október 21. napján telefonbeszélgetés ismételten előterjesztette a kérelmét, és panaszt is tett amiatt, hogy a kérelmét még nem teljesítette a Kérelmezett. Ennek ellenére is csak 2021. november 10. napján lett volna lehetősége átvennie a Kérelmezőnek a hanganyagot, ugyanis ekkor értesítették telefonon keresztül arról, hogy átveheti a hanganyagot.

Mindezek alapján az érintetti kérelem teljesítésével összefüggő mulasztás a Kérelmezett, mint adatkezelő felelősségi körébe esik, emiatt megállapítható, hogy a Kérelmezett megsértette a GDPR 12. cikk (3) bekezdését.

IV.4. Érintetti jog gyakorlásának akadályozása

IV.4.1. Kérelmező érintteti joga 2021. november 10. napján, tehát a GDPR-ban előírt 1 hónapos határidőn túl, teljesítette volna a Kérelmezett a Kérelmező érintetti kérelmét, azonban a Kérelmező akkor megtagadta a hanganyag átvételét, mert egy olyan átvételi elismervényt kellett volna aláírnia, amivel a hanganyag felhasználását korlátozták volna, ugyanis arra kellett volna kötelezettséget vállalnia, hogy a jogi képviselőjén kívül senkinek sem „mutatja” meg a felvételt. A Kérelmező továbbá amiatt sem vette át a hanganyag másolatát, mivel állítása szerint nem győződhetett meg arról, hogy valóban azt adják-e át a részére. Az érintetti kérelem teljesítésének megtagadására az adatkezelőnek a GDPR 12. cikk (2) és (5) bekezdéseiben írt esetekben van lehetősége. A GDPR 12. cikk (2) bekezdése előírja a Kérelmezettnek, hogy segítse elő az érintetti jogok gyakorlását. Ezen rendelkezés szerint az adatkezelő csak akkor tagadhatja meg az érintetti jog gyakorlására irányuló kérelem teljesítését, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. A GDPR rendelkezései szerint tehát az érintetti kérelem teljesítését – a személyazonosításon kívül - nem lehet különféle feltételek teljesítéséhez kötni, tehát ez alapján nem lehet arra kényszeríteni, hogy az átvétel tényét bizonyító irat aláírásán kívül bármivel kapcsolatos nyilatkozatot tegyen. Az pedig, hogy a személyes adatokat tartalmazó másolat nem használható fel például hatósági eljárás kezdeményezésére, vagy esetlegesen bírósági eljárásban, ellentétes nem csak a GDPR rendelkezéseivel, hanem hatósági és bírósági eljárási szabályokkal, tehát az Ákr és a polgári perrendtartásról szóló 2016. évi CXXX. törvény bizonyítással kapcsolatos rendelkezéseivel is. Azon információk, melyekkel kapcsolatban az érintett a hozzáférési jogát gyakorolhatja, így például a banki ügyintézővel folytatott telefonbeszélgetése nem minősülhetnek üzleti titoknak tekintettel arra, hogy azokat az érintettek, így a Kérelmező már megismerte, mivel vele folyt a beszélgetés, továbbá utólag az általános adatvédelmi rendelet szerint jogosult másolatban beszerezni a Kérelmezettől, márpedig a Üzleti titok tv. 1. § (1) bekezdés alapján üzleti titok a gazdasági tevékenységhez kapcsolódó, titkos egészben, vagy elemeinek összességeként nem közismert vagy az érintett gazdasági tevékenységet végző személyek számára nem könnyen hozzáférhető -, ennélfogva vagyoni értékkel bíró olyan tény, tájékoztatás, egyéb adat és az azokból készült összeállítás, amelynek a titokban tartása érdekében a titok jogosultja az adott helyzetben általában elvárható magatartást tanúsítja. A GDPR 15. cikk (4) bekezdés tartalmaz egy olyan rendelkezést, hogy a hozzáférési kérelem úgy teljesíthető, hogy az mások jogait és szabadságait ne érintse hátrányosan. A Kérelmezett azonban nem igazolta azt, hogy ez az eset e jelen esetben fennállna. Az nem is képzelhető el, hogy ügyfeleknek ügyintézésre fenntartott telefonszámot tárcsázva a Kérelmezett az üzleti titkait osztja meg az érintettekkel, a banki ügyfelekkel. Jelen esetben sem ez történt, mivel a Kérelmező számlaügyintézéssel kapcsolatban folytatott telefonbeszélgetést a Kérelmezett ügyintézőjével. A beszélgetés a Kérelmező személyes adatait is tartalmazza (hang+elhangzottak), mely felett a Kérelmezett nem bír korlátlan rendelkezési joggal. A Kérelmezett Hatóságnak írt válaszában az szerepel, hogy a hangfelvételen szereplő adatok tartalmától függően bank- vagy értékpapír titoknak minősülnek, azonban mivel ezek a Kérelmező banktitkai, a Kérelmezővel szemben azokat nem kell védeni. A GDPR 12. cikk (5) bekezdése szerinti esetben csak akkor lehet megtagadni az érintetti kérelem teljesítését, ha egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó. A megalapozatlan vagy túlzó jelleg bizonyítása az adatkezelőt terheli. A jelen ügyben a Kérelmezett erre nem hivatkozott, és nem is támasztotta alá, hogy ez az eset állna fenn. Jelen esetben ugyan 2021. november 10. napján nem ez volt az elsődleges akadálya az érintetti kérelem teljesítésének, a Hatóság ugyanakkor kiemeli azt, hogy az érintett ragaszkodhat annak ellenőrzéséhez, hogy valóban azt a hanganyagot kapja-e meg, amellyel kapcsolatban az átvételi elismervényt aláírja, tehát ezt lehetővé kell tennie az adatkezelőnek. Amennyiben ezt nem teszi lehetővé, akkor az átvételi elismervény aláírását nem kérheti az érintettől. A Kérelmezett végül a hanganyag korlátozott felhasználhatóságáról szóló nyilatkozat aláírása nélkül 2021. november 22-én postai úton küldte meg a Kérelmező részére a hanganyagot. A Hatóság nem ért egyet a Kérelmezett azon álláspontjával sem, hogy az átvételi elismervénnyel elérhette azt a célt, hogy „hanganyagot nem hozhatja nyilvánosságra és a felvételt kizárólag az adatkezelővel folytatott jogvita rendezése során használhatja fel.”, ugyanis egyrészt ilyen nyilatkozat a GDPR szerint nem követelhető az érintettől, másrészt az átvételi elismervény nem így volt megfogalmazva, mivel úgy szólt, hogy csak az érintett „jogi képviselői” ismerhetik meg azokat, tehát az alapján még a hatóságok és a bíróságok sem. A Hatóság a fentiek alapján megállapította, hogy a Kérelmezett azzal, hogy a hanganyag kiadását annak a jelen ügyben foglalt tartalommal történő, felhasználását korlátozó nyilatkozat megtételétől tette függővé, megállapítható, hogy nem tett eleget a GDPR 12. cikk (2) bekezdés szerinti kötelezettségének, tehát megsértette azt. IV.4.2. Érintetti jog alapján benyújtott kérelmek teljesítésével kapcsolatos gyakorlat vizsgálata és arra vonatkozó kérelmek

A Kérelmezett és más adatkezelők általános gyakorlatának vizsgálata nem indokolt, mivel a jelen eljárás kérelemre indult eljárás, nem a Kérelmezett és más adatkezelők általános gyakorlatát vizsgálja, és a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen vonatkozásában a Kérelmező nem minősül ügyfélnek az Ákr. 10. § (1) bekezdése alapján. Az adatkezelők általános gyakorlatának vizsgálata a Hatóság mérlegelése alapján induló hivatalból induló adatvédelmi hatósági eljárásban lehetséges, tehát kérelemre az nem indítható, mivel abban az eljárásban nem a Kérelmező érintetti jogainak érvényesülését vizsgálja a Hatóság. A fentiek miatt a Hatóság megszünteti az Ákr. 46. § (1) bekezdés a) pont és 47. § alapján az eljárást abban a részben, melyben, a Kérelmező arra vonatkozóan terjesztett elő kérelmet, hogy Kérelmezett és más adatkezelők hanganyagokra vonatkozó érintetti kérelmek teljesítésére vonatkozó általános gyakorlat vizsgálja, valamint hogy a Hatóság kötelezze a Kérelmezettet és más adatkezelőket az általános gyakorlatuk megváltoztatására. A Kérelmező kérelme ezen vonatkozásában ugyanis Infotv. 60. § (2) bekezdésében írtaknak nem felel meg, ugyanis erre vonatkozóan eljárás kezdeményezésére nem jogosult a Kérelmező, mivel ez nem tartozik a GDPR 77. cikk (1) bekezdése szerinti esetbe, tekintettel arra, hogy a Kérelmező a saját személyes adatai sérelme esetén kezdeményezhet eljárás.

A Hatóság a fentieken túl kiemeli azt, hogy a Kérelmezett kötelezése ezzel kapcsolatban azért sem indokolt, mert a Kérelmezett az eljárás során tájékoztatta a Hatóságot arról, hogy a nem megfelelő adatkezelési gyakorlatát módosította, és az átvételi nyilatkozaton túl a Kérelmezőtől már nem követel arra vonatkozóan nyilatkozatot, hogy a Kérelmező tudomásul veszi az átadott hanganyag korlátozott felhasználhatóságát.

IV.5. Bírság kiszabására vonatkozó kérelem

Az adatvédelmi bírság jogkövetkezmény alkalmazása a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen – a közérdek érvényesítésének körébe eső - jogkövetkezmény alkalmazása tekintetében a Kérelmező nem minősül ügyfélnek Ákr. 10.§ (1) bekezdése alapján, illetve, mivel az Ákr. 35.§ (1) bekezdésének nem felel meg, e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen részei kérelemként nem értelmezhetők.

IV.6. Jogkövetkezmények

IV.6.1. A Hatóság a Kérelmező kérelmének részben helyt adott, és a GDPR 58. cikk (2) bekezdés

b) pontja alapján elmarasztalja a Kérelmezettet, mert megsértette a GDPR 12. cikk (2) és (3) bekezdéseit.

IV.6.2. A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezett jogsértése miatt adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság a bírság kiszabása során az alábbi tényezőket súlyosító körülményként vette figyelembe:

- A jogsértés súlyos, mert a Kérelmezett az adatkezelésével a Kérelmező érintetti jogát sértette meg, úgy, hogy érintetti kérelmére késve reagált, majd akadályozta az érintetti jog gyakorlását. (GDPR 83. cikk (2) bekezdés a) pont) - A Kérelmezett jogellenes adatkezelése súlyosan gondatlan, mivel a hozzáférési jog teljesítése a hanganyag korlátozott felhasználására vonatkozó nyilatkozat megtétele vonatkozásában elkövetett jogsértése a gyakorlatából ered, tekintettel arra, hogy egy sablon átvételi elismervény nyomtatványt alkalmazott (GDPR 83. cikk (2) bekezdés b)

és d) pont). A Hatóság a bírság kiszabása során az alábbi tényezőket enyhítő körülményként vette figyelembe:

- A Kérelmezett elmarasztalására az általános adatvédelmi rendelet megsértése miatt még nem került sor. (GDPR 83. cikk (2) bekezdés e) és i) pont) - A Kérelmezett felismerve súlyosan gondatlan adatkezelési gyakorlatát, még a határozathozatal előtt – külön hatósági jelzés nélkül - megváltoztatta azt. (GDPR 83. cikk (2) bekezdés k) és f) pont)

- A Kérelmezett a kért hanganyagot a Kérelmezőnek postázta. (GDPR 83. cikk (2) bekezdés c) pont) A jogsértés jellege alapján – adatkezelés elveinek és érintetti jog a megsértése – a kiszabható bírság felső határa az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pont alapján 20 000 000 EUR, illetve az előző pénzügyi év teljes világpiaci forgalmának legfeljebb 4%-a. (GDPR 83. cikk (5) bekezdés a) pont) A Kérelmezett eredménykimutatása alapján az adózás előtti eredménye a 2021. évben […] millió Ft volt. (GDPR 83. cikk (5) bekezdés a) pont) A kiszabott bírság nem éri el a bírságmaximumot, attól jelentősen elmarad. A Hatóság a bírság kiszabása tekintetében a GDPR 83. cikk (2) bekezdésének a következő rendelkezéseit nem vette figyelembe, mert a mérlegelése szerint a tárgyi ügyben nem voltak relevánsak: g) pont, h) pont, j) pont.

V. Egyéb kérdések:

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettségét határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. kelt: Budapest, az elektronikus aláírás szerint

Dr. Péterfalvi Attila elnök c. egyetemi tanár