Орган по защите данных Венгрии (NAIH): обработка персональных данных, связанных с уступленным требованием, и запрос на удаление

Ügyszám: NAIH-4783-1/2022. Tárgy: határozat és megszüntető végzés

Előzmény: NAIH-5700/2021.

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] kérelmező (a továbbiakban: Kérelmező) kérelme alapján 2021. június 22. napján az […] (a továbbiakban: Kérelmezett 1) és az […] (a továbbiakban: Kérelmezett 2) (a továbbiakban együtt:

Kérelmezettek) hitelszámla nyitásával, követeléssel összefüggő engedményezéssel, továbbá érintetti kérelemmel összefüggő tájékoztatási kötelezettség teljesítésével kapcsolatos jogellenes adatkezelése tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

I. 1. A Hatóság a határozatában a Kérelmező kérelmének a Kérelmezett 1 2018. május 25. napját követő adatkezelése jogellenességének megállapítására irányuló részében részben helyt ad és

I.2. megállapítja, hogy a Kérelmezett 1 megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet)

- 5. cikk (1) bekezdés a) pontját, - 6. cikk (1) bekezdését és - 12. cikk (1) bekezdését, továbbá, hogy a Kérelmezett 2 megsértette a GDPR 5. cikk (2) bekezdését.

I.3. A Hatóság hivatalból kötelezi a Kérelmezett 1-et, hogy a jelen határozat véglegessé válásától számított 15 napon belül

I.3.1. tájékoztassa a Kérelmezőt az érintetti kérelmével összefüggésben, mellyel kapcsolatban a Kérelmezett 1 nem tett eleget az átlátható tájékoztatás követelményének.

I.3.2. igazolja a Kérelmező felé a telefonszámadata […] és a levelezési címe [….]

személyes adatai kezelésének jogalapját, és

I.3.3. törölje a Kérelmező I.3.2. pont szerinti személyes adatait, amelynél megfelelő jogalapot nem igazolt.

I.4. A Hatóság hivatalból kötelezi a Kérelmezett 2-t, hogy a jelen határozat véglegessé válásától számított 15 napon belül

I.4.1. igazolja a Hatóság felé, ha jogos érdeke fűződik a Kérelmező személyes adatainak követeléskezelési célú kezeléséhez és ezen érdek a Kérelmező alapvető jogaival szemben elsőbbséget élvez, és I.4.2. törölje a Kérelmező azon személyes adatait, amelynél megfelelő jogalapot nem igazolt, és a jogos érdekét sem igazolja az I.4.1. pontban írtaknak megfelelően.

I.5. A Hatóság hivatalból kötelezi a Kérelmezett 2-t, hogy amíg nem tesz eleget az I.4. pontban foglalt kötelezésnek, addig korlátozza a Kérelmező jogos érdekre hivatkozással kezelt személyes adatainak követeléskezelési célú kezelését, továbbá a Kérelmezett 1-et, hogy amíg nem tesz eleget az I.3. pontban foglalt kötelezésnek, addig korlátozza a Kérelmező telefonszám adata és levelezési címe kezelését.

II. A Hatóság a végzésében a Kérelmező személyes adatainak a 2018. május 25. napját megelőző időszakban jogellenes végzett kezelésének megállapítására vonatkozó részében, továbbá azon részében, hogy utasítsa a Kérelmezetteket a Kérelmező vagyoni és nem vagyoni kárának megtérítésére, és állapítsa meg a személyes adataival történt visszaélést, az eljárást megszünteti.

III. A Hatóság határozatában a Kérelmezett 1-t az általa végzett jogellenes adatkezelés miatt hivatalból

2.000.000 Ft, azaz kétmillió forint adatvédelmi bírság megfizetésére kötelezi.

IV. A Hatóság határozatában a Kérelmezett 2-t az általa végzett jogellenes adatkezelés miatt hivatalból

1.000.000 Ft, azaz egymillió forint adatvédelmi bírság megfizetésére kötelezi.

A hatósági eljárás során eljárási költség nem merült fel, ezért annak viseléséről nem rendelkezett a Hatóság.

Az adatvédelmi bírságot a közigazgatási per kezdeményezésére irányadó keresetindítási határidő lejártát, illetve közigazgatási per kezdeményezése esetén a bíróság döntését követő 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-5700/2021. BÍRS. számra kell hivatkozni.

Ha a Kérelmezettek a bírságfizetési kötelezettségüknek határidőben nem tesznek eleget, késedelmi pótlékot kötelesek fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását.

V. Tekintettel arra, hogy a Hatóság túllépte az ügyintézési határidőt, 10.000 Ft, azaz tízezer forint illeti meg a Kérelmezőt – választása szerint – bankszámlára utalással vagy postai utalvánnyal.

Az I.3. pont szerinti kötelezettség teljesítését a Kérelmezett 1-nek, továbbá az I.4. szerinti kötelezettségét a Kérelmezett 2-nek az intézkedés megtételétől számított 15 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását. Az I., III., IV. pont szerinti határozattal, továbbá a II. pont szerinti végzéssel szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. A határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

INDOKOLÁS

I. Az eljárás menete

I.1. A Kérelmező kérelmére az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján 2021. június 22. napján adatvédelmi hatósági eljárás indult.

I.2. A Hatóság a Kérelmezettet 1-et a NAIH-5700-2/2021. számú végzésében értesítette az eljárás megindításáról és első alkalommal nyilatkozattételre hívta fel a tényállás tisztázása érdekében, hivatkozással az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 63. §-ra, melyre a Kérelmezett 1 válasza 2021. augusztus 3. napján érkezett meg a Hatósághoz (NAIH-5700-4/2021. sz. irat). A Hatóság a Kérelmezettet 2-t a NAIH-5700-3/2021. számú végzésében értesítette az eljárás megindításáról és első alkalommal nyilatkozattételre hívta fel a tényállás tisztázása érdekében, hivatkozással az Ákr. 63. §-ra, melyre a Kérelmezett 2 válasza 2021. augusztus 25. napján érkezett meg a Hatósághoz (NAIH-5700-5/2021. sz. irat). A Kérelmezett 1-et a Hatóság a NAIH-5700-6/2021. számú végzésében második alkalommal is nyilatkozattételre hívta fel, mivel a Kérelmezett 1 az ügy adatkezelési körülményeinek feltárásához szükséges nélkülözhetetlen kérdések megválaszolásánál nem részletezte a Kérelmező által kifogásolt adatkezelési műveleteit. A Hatóság felhívására határidőben továbbította a Kérelmezett 1 a válaszait, azonban a Hatóságnak ismét, tehát harmadszor is nyilatkozattételre kellett felhívnia (NAIH-5700-9/2021. számú végzésben), mivel a válaszokat nem az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvényben (a továbbiakban: Eüsztv.) előírt módon továbbította, és a válaszai alapján további kérdések merültek fel.

I.3. A Hatóság a NAIH-5700-11/2021. sz. iratában értesítette arról a Kérelmezőt, hogy a bizonyítási eljárás befejeződött. A Hatóság erről szóló végzését a tértivevény tanúsága szerint Kérelmező 2021.12.02.napján vette át, tehát a nyilatkozattételre megadott határidő 2021.12.10. napján telt le. A Kérelmező a Hatósághoz 2021. december 13. napján érkezett - 2021. december 9. napján kelt – levelében tett észrevételt, nyilatkozatokat.

II. Tényállás tisztázása

II.1. A Kérelmező a Hatósághoz 2021. június 21. napján benyújtott kérelmében előadta, hogy a Kérelmezettek jogosulatlan adatkezelést végeznek/végeztek hitelszámla nyitásával, követeléssel összefüggő engedményezéssel, továbbá érintetti kérelemmel összefüggő tájékoztatási kötelezettség teljesítésével összefüggően. A Kérelmező az alábbiakat kérte a Hatóságtól:

a Kérelmezettek adatkezelésének a vizsgálatát, és adatvédelmi hatósági eljárás lefolytatását, a jogellenes adatkezelés megállapítását 2015. március 21. napra visszamenőleg, 1 A közigazgatási per kezdeményezésére a NAIH_KO1 elnevezésű űrlap szolgál: NAIH KO1 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki.

jogellenes adatkezelés megállapítása esetén kötelezze a Kérelmezetteket a Kérelmező személyes adatainak törlésére, továbbá a Kérelmező vagyoni és nem vagyoni kárának megtérítésére, jogellenesen továbbított személyes adatok törlésének elrendelését a Kérelmezett 2-nél, úgy, hogy annak jogellenes továbbításának napjára visszaható, azaz 2016. március 8. napi hatállyal tiltsa meg a Hatóság a személyes adatok jogellenes kezelését, és továbbítását, rendelje el a Hatóság azon címzettek értesítését, akikkel vagy amelyekkel a személyes adatokat közölték, illetve amely eljárásokban felhasználták, továbbá a Hatóság rendelje el a jogellenesen továbbított személyes adatok felhasználásával indított eljárások Kérelmezett 2 általi visszavonását, amennyiben a Hatóság a jogsértést figyelembe véve indokoltnak látja, adatvédelmi bírság megfizetésére kötelezze a Kérelmezetteket.

II.1.1. A Kérelmező szerint a Kérelmezett 1-vel 2005.08.31. napján közjegyzői okiratba foglalt kölcsönszerződést (a továbbiakban: kölcsönszerződés) kötött a […] számú hitelszámla megnyitásáról, ezen hitelszámla kapcsán a Kérelmező hozzájárulását adta a személyes adatai kezeléséhez. A Kérelmezett 1 ezt a hitelszámlát 2015.03.21. napján megszüntette, és a Kérelmező „nevében” és személyes adatai felhasználásával, továbbá azt a szerződésben rögzített zálogkötelezettek személyes adatait is felhasználva a [….] számú új – 2015.03.21. napján nyitott számlához kapcsolta. A Kérelmezett 1 2016.03.08. napján az újonnan nyitott, […] számú hitelszámlán nyilvántartott tartozást engedményezte a Kérelmezett 2-re, és a Kérelmező ezzel kapcsolatos személyes adatait továbbította a Kérelmezett 2-nek, […] közjegyzőnek és a […].-nek.

II.1.2. A Kérelmező állítása szerint a Kérelmezett 2 az alábbi harmadik személyeknek továbbította a személyes adatait, az alábbi eljárásokkal összefüggésben:

Címzett neve és címe

Eljárások ügyszáma

[….] […]. […] közjegyző […] […] Végrehajtó Irodája [….] […] Végrehajtói Irodája […] […] [….]

II.1.3. A Kérelmező 2021. május 27. napján adatvédelmi incidens bejelentés tárgyú kérelemmel fordult a Kérelmezett 1-hez (adatvédelmi osztályához, adatvédelmi felelőséhez), és kérte a személyes adatai felhasználásával létrehozott [….] számla nyitásáról szóló, a Kérelmező által aláírt bankszámla szerződést vagy kölcsönszerződést, és ezekhez kapcsolódó személyes adatok kezeléséhez adott hozzájárulást (ha léteznek ilyen dokumentumok) másolatban küldjék meg a részére, ezek hiányában a Kérelmező azt kérte, hogy töröljék visszamenőleg a személyes adatait, és erről az engedményest értesítsék. A Kérelmező azt is sérelmezte, hogy a Kérelmezett 1 panaszkezelési tanácsadója, tehát nem az adatvédelmi felelőse arról tájékoztatta a Kérelmezőt a 2021.06.09. napján kelt válaszlevelében, hogy az új hitelszámla létrehozásával kapcsolatos „adatátadás” jogszabályi felhatalmazás alapján történt, adatvédelmi incidens nem történt, mivel a Kérelmező beleegyezése, személyes megjelenése, személyazonosítása nélkül új bankszámlaszerződés megkötésére nem került sor. A Kérelmezett 1 válaszlevelében hivatkozott a Kérelmezővel folytatott levelezésére, azonban a Kérelmező nyilatkozata szerint annak a tárgya a megszűnt hitelszámla megszűnéséről és megszűnéskori egyenlegéről való igazolás kérése, melyet a Kérelmezett 2 végül nem teljesített. A Kérelmezett 1 nem nevesítette a válaszlevelében, hogy mely jogszabály alapján került sor az új hitelszámla megnyitására, a Kérelmező csak feltételezi, hogy az egyes fogyasztói kölcsönszerződések devizanemének módosulásával és a kamatszabályokkal kapcsolatos kérdések rendezéséről szóló 2014. évi LXXVII. törvény (a továbbiakban: Forintosítási törvény). A Kérelmezett 1 csak azokat a jogszabályokat jelölte meg, melyek alapján az adatok továbbításra kerülnek a Központi Hitelinformációs Rendszerbe vagy az engedményeshez, továbbá a Hpt. 161. § (1) bekezdésére hivatkozott, mely alapján banktitok kiadható harmadik személynek az ott meghatározott esetben. A Kérelmező álláspontja szerint a Forintosítási törvény és más törvény sem teszi kötelezővé, sem pedig lehetővé a hitelszámla számának egyoldalú módosítását, avagy új hitelszámla nyitását, csupán az eredeti szerződés szerinti hitelszámla nyilvántartott tartozás pénznemének módosítását, azaz annak átváltását. A Kérelmező a korábbi számla megnyitásakor ahhoz nem adott hozzájárulást, hogy további, újabb számlát nyissanak a Kérelmező nevében.

II.1.4. A Kérelmező a kérelmében kifogásolta a Kérelmezett 1 „adattörlési eljárásrendjét” is, mivel az érintetti kérelmét az Adatvédelmi Osztályhoz és adatvédelmi tisztviselőhöz intézte, azonban azt nem juttatták el hozzá, és egyszerű panaszként kezelték. Állításai alátámasztására a Kérelmező az alábbi dokumentumokat csatolta be másolatban:

kölcsönszerződés, - […] számú új – 2015.03.21. napján nyitott - számlához kapcsolódó engedményezési értesítő, - Kérelmezett 1-nek küldött adattörlési kérelem, - Kérelmezett 1 válasza a Kérelmező adattörlési kérelmére. II.2. A Hatóság a Kérelmezett 1-et a NAIH-5700-2/2021., NAIH-5700-6/2021. és NAIH-5700- 9/2021. számú végzésével tényállástisztázás érdekében nyilatkozattételre hívta fel, melyre a Kérelmezett 1 az alábbiakat nyilatkozta:

A Kérelmezett 1 táblázatot küldött a Hatóság részére a Kérelmezett 1 által a Kérelmezővel kapcsolatban kezelt személyes adatokról, továbbá másolatban továbbította a Kérelmező követeléskezelési és panaszkezelési dokumentációját.

A Kérelmezett 1 a jelen hatósági eljárásban kifogásolt adatkezelési tevékenysége során a […] számú és a […] számú megszűnt hitelszámlákkal összefüggésben az alábbi adatokat kezeli: Jogviszony kezdete és vége:

- [….] számú számlával összefüggésben: 2005.08.31-2015.03.21. - […] számú számlával összefüggésben: 2005.08.31-2016.03.08. Kezelt személyes adatok: név, születési név, anyja születési neve, születési hely, születési dátum, állampolgárság, személyazonosító okmány száma és típusa, lakcímet igazoló hatósági igazolvány száma, állandó lakcím, levelezési cím, mobil telefon, számlaszám. Adatok megőrzésének ideje a szerződés megszűnésétől számított 8 év. A szerződés megszűnése 2015. 03.21. Adatmegőrzésre vonatkozó jogalap a 2017. évi LIII. törvény (a továbbiakban: Pmt.) 56. § (2) bekezdés, 57. § (1) bekezdés az alábbi adatok esetében:

név, születési név, anyja születési neve, születési hely, születési dátum, állampolgárság, személyazonosító okmány száma és típusa, lakcímet igazoló hatósági igazolvány száma, állandó lakcím, számlaszám. Adatmegőrzésre vonatkozó jogalap a számvitelről szóló 2000. évi C. törvény (a továbbiakban: Számviteli törvény) 169. § (2) bekezdése az alábbi adatok esetében:

név, születési név, anyja születési neve, születési hely, születési dátum, állampolgárság, személyazonosító okmány száma és típusa, lakcímet igazoló hatósági igazolvány száma, állandó lakcím, levelezési cím, mobil telefon, számlaszám. Adatmegőrzésre vonatkozó jogalap a Ptk. 6:22. § (1) bekezdés az alábbi adatok esetében:

levelezési cím […], mobil telefon [….]. A Kérelmezett 1 nyilatkozata szerint:

A Kérelmező 2021.05.27-i levelében személyes adataira vonatkozó törlési kérelmet terjesztett elő. A Kérelmezett 1-nek a törlési kérelmet nem állt módjában teljesíteni, ezért közérthető módon erről tájékoztatta a Kérelmezőt, és a levelében utalt az adatkezelési tájékoztatóira, és utalt ezek internetes elérhetőségére. Ezek a tájékoztatók részletes tájékoztatást nyújtanak – többek között – a kötelező megőrzést előíró jogszabályokról.

A Kérelmező részére a hitelt a Kérelmezett1 és a […] nyújtották, a közös adatkezelésre vonatkozó megállapodásuk alapján a kérelmek megválaszolása a Kérelmezett 1 feladata, a Kérelmezett 1 minden megküldött levelében utal arra, hogy […] nevében jár el.

Az új hitelszámla nyitás jogalapja az egyes fogyasztói kölcsönszerződések devizanemének módosulásával és a kamatszabályokkal kapcsolatos kérdések rendezéséről szóló 2014. évi LXXVII. törvény. A Magyar Nemzeti Bank elnökének a fogyasztói kölcsönszerződések érvénytelen szerződéses kikötéseire tekintettel szükséges elszámoláshoz, valamint a fogyasztói kölcsönszerződések módosulásához kapcsolódó fogyasztóvédelmi rendelkezésekről szóló 58/2014. (XII.17) MNB rendelet mellékletei tartalmazzák a forintosított szerződések mintáját. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) forintosítás időpontjában hatályos volt 6. § (5) bekezdése alapján, ha a személyes adat felvételére az érintett hozzájárulásával került sor, az adatkezelő a felvett adatokat törvény eltérő rendelkezéseinek hiányában a rá vonatkozó jogi kötelezettség teljesítése céljából, további külön hozzájárulás nélkül, valamint az érintett hozzájárulásának visszavonását követően is kezelhette. A korábbi devizahitelek forintosítására közjegyzői okiratba foglalás nélkül a törvény erejénél fogva került sor. A szerződések szövege a törvény szövegének megfelelően módosult. A jogszabályoknak megfelelően elvégzett forintosítás következtében a devizában felszámított kamatot, díjat, jutalékot és költséget is forintkövetelésre váltó, forint devizanemű konstrukció jött létre, melyhez a banki infrastruktúrában új számla, ezáltal új számlaszám kapcsolódik. Ez a technikai jelleg az oka annak, hogy az ügyfél forintosított devizahiteléhez új számla került megnyitásra. Az adatkezelés célja a forintosítást követően is a jelzáloghitel teljesítése. A Kérelmezett 1 azt is igazolta, hogy 2015-ben 4 alkalommal tájékoztatta a Kérelmezőt az új számlaszámon nyilvántartott követelésről, még az engedményezés előtt.

II.3. A Hatóság a Kérelmezett 2-t a NAIH-5700-3/2021. számú végzésével tényállástisztázás érdekében nyilatkozattételre hívta fel, melyre a Kérelmezett 2 az alábbiakat nyilatkozta és az alábbiakat csatolta:

A Kérelmezett 2 megküldte a Kérelmező Kérelmezett 2 által kezelt személyes adatai táblázatát. A táblázat a jelenleg alkalmazott jogalapokat rögzíti. 2021. április 1-jét megelőzően a követeléskezelési célú adatkezelés jogalapja a GDPR 6. cikk (1) bekezdés b) pontja volt, a Kérelmezett 2 jogalapváltására tekintettel azonban a 2021. április 1-jét követően az engedményezés útján megvásárolt követelések érvényesítéséhez kapcsolódó egyes követeléskezelési célú adatkezelések a GDPR 6. cikk (1) bekezdés f) pontja, tehát jogos érdekre hivatkozással történnek. A Kérelmezett 2 továbbította a Hatóság részére a Kérelmező követeléskezelési és panaszkezelési dokumentációját. A Kérelmezett 2 nyilatkozata szerint a Kérelmezőtől a Kérelmezett 2-höz nem érkezett adatvédelmi tárgyú érintetti megkeresés, továbbá a Kérelmezővel szemben fennálló követelés tekintetében nincs folyamatban bírósági eljárás. A Kérelmezett 2 a Kérelmező személyes adatainak továbbításával kapcsolatban egy táblázatot küldött a Hatósághoz, melyben felsorolta, hogy mely szervezeteknek mikor, milyen célból, mely jogalapra hivatkozással továbbította a Kérelmező személyes adatait, az alábbiak szerint: A Kérelmezett 2 hivatkozott ugyanazon harmadik személyekre, melyeket a Kérelmező is megjelölt a kérelmében, mint a Kérelmező személyes adatainak címzettje. Megjelölte az adattovábbítás célját, jogalapját, továbbá időpontját, melyek minden esetben 2018. május 25. napját megelőző időpontok voltak. A 2018. május 25. napját megelőző és követő közjegyző, végrehajtó, kormányhivatal földhivatali osztálya, továbbá a [….] részére történt adattovábbítások követeléskezelési célból (ezen belül végrehajtási záradék kibocsátása, végrehajtási eljárás lefolytatása, központi hitelinformációs rendszerben adatkezelés, jelzálog átjegyzése céljából) történtek.

II.4. A Kérelmező Hatósághoz 2021. december 13. napján érkezett nyilatkozatában a kérelmében előadottakat ismételte meg és az alábbiakkal egészítette ki:

II.4.1. Részletesen kifejtette, és levezette, hogyan számította ki azt, hogy véleménye szerint a Kérelmezettek miért 14.737.370, - Ft kárt okoztak a Kérelmezőnek, majd kérte, hogy ennek megfizetésére kötelezze a Kérelmezetteket a Hatóság. II.4.2. A Kérelmező úgy fogalmazott, hogy a személyes adataival visszaélést valósítottak meg.

II.4.3. A Kérelmező kifejtette, hogy a Kérelmezett 2 adattovábbítása harmadik személyek felé csak akkor lett volna jogszerű, ha vagy az eredeti, kölcsönszerződésben foglalt hitelszámlán fennálló tartozást vásárolta volna meg, vagy a Kérelmezett 2 az újonnan nyitott hitelszámlához kérte volna Kérelmezőtől a személyes adatai kezeléséhez történő hozzájárulását. Kérte a Kérelmező, hogy elsősorban a 2018. május 25. napját követő adattovábbításokat vizsgálja a Hatóság. A Kérelmező emellett kifejtette, hogy álláspontja szerint annak vizsgálatához, hogy 2018. május 25. napját követő adattovábbítások jogszerűen történtek-e, szükséges annak vizsgálata is, hogy jogszerű volt-e a 2015.03.21. napi – Kérelmező hozzájárulása nélkül történt számlanyitás. A fentiekkel összefüggésben a Kérelmező előadta, hogy álláspontja szerint, ha a Kérelmezett 1 „adatkapcsolása jogalap nélküli volt, akkor ugyanezen adatokat a Kérelmezett 2 sem kezelhette volna jogszerűen”, ehhez a Kérelmező hozzájárulását kellett volna beszereznie. A Kérelmező véleménye szerint a „követelésérvényesítés célú adattovábbítás is csak akkor jogszerű, ha az átvett adatoknak a felvétele, adatkapcsolása, kezelése is jogszerű volt a Kérelmezett 1 által”.

II.4.4. A Kérelmező kifogásolta, hogy a Kérelmezett 1 nem csatolt érdekmérlegelést, mely az adatkezelésével kapcsolatos jogos érdeket alátámasztaná.

II.4.5. A Kérelmező továbbá a zálogkötelezettek személyes adatai törlésének elrendelését is kérte. Tekintettel arra, hogy ez új kérelemnek minősül, ezért erről a Hatóság az ezen kérelem nyomán indult eljárásban, tehát a NAIH-347/2022. számú eljárásban dönt.

II.4.6. A Kérelmezettek által nyújtott tájékoztatások ismeretében a Kérelmezettek adatkezelési gyakorlatát elemezte abból a szempontból, hogy az mennyire felel meg a GDPR rendelkezéseinek, és ezzel összefüggésben kifogásolta azt, hogy a Kérelmezett 2 2021. április 1. napját megelőzően a GDPR 6. cikk (1) bekezdés b) pontjára hivatkozott a követeléskezelési célú adatkezelésével összefüggésben, majd a GDPR 6. cikk (1) bekezdés f) pontra tért át.

II.4.7. A Kérelmező kifogásolta, hogy a Kérelmezett 1 2021. június 9. napján kelt adattörlési kérelmet elutasító válaszlevelében nem megfelelő tájékoztatást nyújtott, mivel nem jelölt meg olyan a jogszabályt, illetve jogszabályhelyet, mely a kötelező adatkezelését alátámasztaná.

III. Alkalmazott jogszabályi rendelkezések

A GDPR-t kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. A GDPR hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint a GDPR-t az ott megjelölt kiegészítésekkel kell alkalmazni. GDPR 4. cikk 1. pont alapján „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható GDPR 4. cikk 2. pont alapján „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés. GDPR 4. cikk 7. pontja alapján „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja; A GDPR 5. cikk (1) bekezdése (1) bekezdés a) pont alapján személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); A GDPR 5. cikk (2) bekezdés alapján az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). A GDPR 6. cikk (1) bekezdés: c) pontja alapján a személyes adatok kezelése jogszerű, amennyiben az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges. f) pontja alapján a személyes adatok kezelése jogszerű, amennyiben az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. A GDPR 12. cikk (1), (3), (4) bekezdései szerint: (1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. (4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. A GDPR 15. cikk (3) bekezdés alapján az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri. GDPR 17. cikk (1) bekezdés alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll: a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték; b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja; c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezelése ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen; d) a személyes adatokat jogellenesen kezelték; e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell; f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.

A GDPR 17. cikk (3) bekezdés alapján az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:

b) a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából;

e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez.

A GDPR 21. cikk (1) bekezdés alapján az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.

A GDPR 77. cikk (1) bekezdés alapján az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban -, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.

A GDPR 58. cikk (2) bekezdés b) pontja alapján a felügyeleti hatóság korrekciós hatáskörében eljárva:

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is;

i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett;

Az Ákr. 17. §-a alapján a hatóság a hatáskörét és illetékességét az eljárás minden szakaszában hivatalból vizsgálja. Ha valamelyik hiányát észleli, és kétséget kizáróan megállapítható az ügyben illetékességgel rendelkező hatóság, az ügyet átteszi, ennek hiányában a kérelmet visszautasítja vagy az eljárást megszünteti. Az Ákr 46. § (1) bekezdés alapján a hatóság a kérelmet visszautasítja, ha a) az eljárás megindításának jogszabályban meghatározott feltétele hiányzik, és e törvény ahhoz más jogkövetkezményt nem fűz. Az Ákr 47. § (1) bekezdés alapján a hatóság az eljárást megszünteti, ha a) a kérelem visszautasításának lett volna helye, annak oka azonban az eljárás megindítását követően jutott a hatóság tudomására.

Az Infotv. 38. § (2b) bekezdés alapján a Hatóságnak a (2) bekezdésben a személyes adatok tekintetében meghatározott feladatköre a bírósági döntés meghozatalára irányuló peres és nemperes eljárásokban, az azokra vonatkozó előírások alapján a bíróság által végzett adatkezelési műveletek vonatkozásában nem terjed ki a (3) bekezdésben meghatározott hatáskörök gyakorlására.

Az Infotv. 60. § (1) bekezdés alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat.

Az Infotv. 61. § (1) bekezdés alapján az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság a) a 2. § (2) és (4) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben a GDPR-ben meghatározott jogkövetkezményeket alkalmazhatja, b) a 2. § (3) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben ba) megállapíthatja a személyes adatok jogellenes kezelésének tényét, bb) elrendelheti a valóságnak nem megfelelő személyes adat helyesbítését, bc) elrendelheti a jogellenesen kezelt személyes adatok zárolását, törlését vagy megsemmisítését, bd) megtilthatja a személyes adatok jogellenes kezelését, […] bg) bírságot szabhat ki, Az Infotv. 71. § (1) bekezdés alapján a Hatóság eljárása során - az annak lefolytatásához szükséges mértékben és ideig - kezelheti mindazon személyes adatokat, valamint törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatokat, amelyek az eljárással összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. Az Infotv. 75/A. § alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Az Infotv. 61. § (5) bekezdés alapján a Hatóság annak eldöntésében, hogy indokolt-e az (1) bekezdés b) pont bg) alpontja szerinti bírság kiszabása, illetve a bírság mértékének megállapítása során az eset összes körülményeit figyelembe veszi, így különösen a jogsértéssel érintettek körének nagyságát, a jogsértés súlyát, a magatartás felróhatóságát, valamint azt, hogy a jogsértővel szemben korábban állapítottak-e meg a személyes adatok kezelésével kapcsolatos jogsértést. Az Infotv. (6) bekezdés alapján a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg. A számvitelről szóló 2000. évi C. törvény (a továbbiakban: Számviteli törvény) 169. § (1)–(2) bekezdés alapján: (1) A gazdálkodó az üzleti évről készített beszámolót, az üzleti jelentést, valamint az azokat alátámasztó leltárt, értékelést, főkönyvi kivonatot, továbbá a naplófőkönyvet, vagy más, a törvény követelményeinek megfelelő nyilvántartást olvasható formában legalább 8 évig köteles megőrizni. (2) A könyvviteli elszámolást közvetlenül és közvetetten alátámasztó számviteli bizonylatot (ideértve a főkönyvi számlákat, az analitikus, illetve részletező nyilvántartásokat is), legalább 8 évig kell olvasható formában, a könyvelési feljegyzések hivatkozása alapján visszakereshető módon megőrizni. A Számviteli törvény 166. § (1) bekezdés alapján számviteli bizonylat minden olyan a gazdálkodó által kiállított, készített, illetve a gazdálkodóval üzleti vagy egyéb kapcsolatban álló természetes személy vagy más gazdálkodó által kiállított, készített okmány (számla, szerződés, megállapodás, kimutatás, hitelintézeti bizonylat, bankkivonat, jogszabályi rendelkezés, egyéb ilyennek minősíthető irat) - függetlenül annak nyomdai vagy egyéb előállítási módjától -, amely a gazdasági esemény számviteli elszámolását (nyilvántartását) támasztja alá. A pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2007. évi CXXXVI. törvény (a továbbiakban: régi Pmt.) 7. § (1) bekezdése, 28. § (1) bekezdése alapján: 7. § (1) A szolgáltató köteles a 6. § (1) bekezdésében meghatározott esetben az ügyfelet, annak meghatalmazottját, a rendelkezésre jogosultat, továbbá a képviselőt azonosítani és személyazonosságának igazoló ellenőrzését elvégezni. (2) A szolgáltató az azonosítás során legalább az alábbi adatokat köteles rögzíteni: a) természetes személy aa) családi és utónevét (születési nevét), ab) lakcímét, ac) állampolgárságát, ad) azonosító okmányának típusát és számát, ae) külföldi esetében a magyarországi tartózkodási helyet; b) jogi személy vagy jogi személyiséggel nem rendelkező szervezet ba) nevét, rövidített nevét, bb) székhelyének, külföldi székhelyű vállalkozás esetén magyarországi fióktelepének címét, bc) cégbírósági nyilvántartásban szereplő jogi személy esetén cégjegyzékszámát, egyéb jogi személy esetén a létrejöttéről (nyilvántartásba vételéről, bejegyzéséről) szóló határozat számát vagy nyilvántartási számát. A régi Pmt. 28. § (1) bekezdés alapján a szolgáltató - az általa vezetett nyilvántartásban - a 7-10. §-ban és a 17. §-ban foglalt kötelezettség teljesítése során birtokába jutott adatot, okiratot, illetve annak másolatát, valamint a 23. §-ban meghatározott bejelentés és adatszolgáltatás teljesítését, valamint az ügyleti megbízás teljesítésének a 24. § szerinti felfüggesztését igazoló iratot, illetve azok másolatát az adatrögzítéstől, a bejelentéstől (felfüggesztéstől) számított nyolc évig köteles megőrizni. A 6. § (1) bekezdésének a) pontja alapján birtokába jutott adat, okirat, illetve a másolat megőrzési határideje az üzleti kapcsolat megszűnésekor kezdődik. A Polgári Törvénykönyvről szóló 2013. évi V. törvényhez (a továbbiakban: Ptk.) 6:22. § [Elévülés] (1) Ha e törvény eltérően nem rendelkezik, a követelések öt év alatt évülnek el. (2) Az elévülés akkor kezdődik, amikor a követelés esedékessé válik. (3) Az elévülési idő megváltoztatására irányuló megállapodást írásba kell foglalni. (4) Az elévülést kizáró megállapodás semmis.

IV. Döntés:

IV.1. Adatkezelés jogszerűségét befolyásoló előkérdések, továbbá a Kérelmezettek 2018.

május 25. napját megelőző adatkezelése

IV.1.1. A Hatóság hatásköre kizárólag a GDPR szabályainak és az Infotv. vonatkozó rendelkezéseinek betartására terjed ki, az elszámolásra, forintosításra, számlanyitásra vonatkozó ágazati jogszabályok megsértésének vizsgálata a Magyar Nemzeti Bank hatáskörébe tartozó kérdés, emiatt a Hatóság az eljárása során ezen szabályok betartását hatáskör hiányában nem vizsgálta.

IV.1.2. A Kérelmezett 1 2015.03.21. napján nyitotta a Kérelmező által kifogásolt hitelszámlát és 2016.03.08. napján engedményezte a követelést a Kérelmezett 2-re. A Kérelmező által kifogásolt adattovábbítások, melyek a Kérelmezett 2-höz köthetők, 2018. május 25-e előtt történtek. A 2018. május 25. napját megelőző időszak vizsgálatára irányuló kérelem nem felel meg az Infotv. 60. § (2) bekezdésben foglalt feltételeknek, hiszen a kérelmezett adatkezelési időszak ezen részében a GDPR még nem volt alkalmazandó, így a Hatóság ezen időszak vizsgálatára kérelemre induló adatvédelmi hatósági eljárást nem folytathat le. A fentieknek megfelelően a jelen eljárásban a Hatóság a Kérelmezettek adatkezelése vonatkozásában csak a 2018. május 25. napját követő adatkezeléssel összefüggésben tett megállapításokat, az ezt megelőző időszak adatkezelését a tényállás tisztázásához vette figyelembe.

IV.1.3. A IV.1.2. pontban írtak miatt az Ákr. 47. § (1) bekezdés a) pontja alapján a Hatóság a kérelemnek a 2018. május 25-e előtti időszak adatkezelésének vizsgálatára irányuló részében az eljárást megszüntette.

IV.2. Vagyoni és nem vagyoni kár megtérítésére kötelezés

A Kérelmező kérelmében kérte, hogy a Hatóság kártérítés, sérelemdíj megfizetésére kötelezze a Kérelmezetteket.

A Hatóság az Infotv. 38. § (2a) bekezdése alapján a GDPR-ban a részére megállapított feladat és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében a GDPR-ban és az Infotv.-ben meghatározottak szerint gyakorolja. Sem az Infotv., sem a GDPR 58. cikke nem ad felhatalmazást a Hatóságnak arra, hogy a Kérelmező kártérítési, továbbá sérelemdíj iránti igényének jogosságáról döntsön. Ebben a kérdésben való döntés az Infotv. 38. § (2)-(2a) bekezdései alapján nem tartozik a Hatóság hatáskörébe, mivel ez bírósági hatáskörbe tartozik. A Polgári Törvénykönyvről szóló 2013. évi V. törvény 1:6. §-a értelmében a sérelemdíj megállapítása iránti igények érvényesítése bírósági hatáskörbe tartozik. A kártérítési igény polgári per keretében, bírósági úton érvényesíthető igény, amelynek mind jogosságáról, mind összegszerűségéről a hatáskörrel és illetékességgel rendelkező bíróság dönthet. A fentiekre tekintettel a Hatóság a kérelem arra vonatkozó részében az eljárását, mely azzal kapcsolatban indult, hogy a Hatóság utasítsa a Kérelmezetteket a Kérelmező vagyoni és nem vagyoni kárának megtérítésére, az Ákr. 17. § alapján megszüntette.

IV.3. Személyes adattal való visszaélés

A Kérelmező által hivatkozott jogsértés, tehát a személyes adattal visszaélés a Büntető Törvénykönyvről szóló 2012. évi C. törvény 219. § alapján bűntettnek, illetve vétségnek minősül, mellyel kapcsolatos nyomozati hatáskörrel a rendőrség rendelkezik, és az ezzel kapcsolatos büntetőjogi felelősséget büntetőbíróság állapíthatja meg, tehát a Hatóság a Kérelmező azon kérelmét, hogy a személyes adattal való visszaélést állapítsa meg, elutasította, mivel annak eldöntésében nem rendelkezik hatáskörrel. A fentiekre tekintettel a Hatóság a kérelem arra vonatkozó részében az eljárását, mely azzal kapcsolatban indult, hogy a Hatóság állapítsa meg a Kérelmező személyes adataival történt visszaélést, az Ákr. 17. § alapján megszüntette.

IV.4. Adatkezelő személye és az adatkezelés

IV.4.1. Kérelmezett 2, mint adatkezelő

A Kérelmezett 2 főtevékenysége a cégnyilvántartás adatai szerint követeléskezelési tevékenység. A Hatóság megállapította a Kérelmezett 2 nyilatkozatai alapján, hogy a vizsgált adatkezeléssel érintett ügyben a fentiekben említett tevékenységével összefüggésben az adatkezelése célját és eszközeit a Kérelmezett 2 önállóan határozza meg, ezért a GDPR 4. cikk 7. pontja alapján adatkezelő a Kérelmező személyes adatai kezelésével összefüggésben.

IV.4.2. Kérelmezett 1, mint adatkezelő

A Kérelmezett 1 nyilatkozata szerint a Kérelmezőnek a hitelt az […]-vel együtt nyújtották, egy együttműködési keretszerződés alapján. A keretszerződéshez kapcsolódó tevékenységükre vonatkozóan a Kérelmezett 1 és az […] a közös adatkezelésről is megállapodott. Az erről szóló megállapodást a Kérelmezett 1 továbbította a Hatóság részére. Ez alapján az érintetti kérelmek megválaszolása a Kérelmezett 1 feladata. A jelen eljárásban a Kérelmező által hivatkozott érintetti kérelmet a Kérelmezett 1 részére címezte, melyet a Kérelmezett 1 válaszolt meg, tehát ebben az esetben nem az […] adatkezelésével összefüggésben nyújtott be a Kérelmező érintetti kérelmet. A Kérelmezett 1 által hivatkozott közös adatkezelésre vonatkozó megállapodást figyelembevéve a Kérelmezett 1 volt köteles a Kérelmező részére tájékoztatást nyújtani az érintetti kérelmével összefüggésben.

IV.4.3. Személyes adat és adatkezelés

A Kérelmező felé fennálló követeléssel kapcsolatos adatok és ezzel összefüggésben őrzött, a követelést alátámasztó dokumentumokban szereplő adatok személyes adatnak minősülnek a GDPR 4. cikk 1. pontja alapján, továbbá ezen személyes adatok őrzése, felhasználása, továbbítása adatkezelés a GDPR 4. cikk 2. pont alapján.

IV.5. Kérelmezett 1 érdekmérlegelésének hiányával kapcsolatos kifogások

Az engedményezés utáni adatmegőrzési kötelezettségre vonatkozóan a Számviteli törvény (személyes adatokat is tartalmazó bizonylatmegőrzési), továbbá a régi Pmt. ír elő kötelezettségeket a Kérelmezett 1 számára. Ezek alapján a Kérelmezett 1-nek a Számviteli törvény 169. § (2) bekezdés, továbbá a – a Kérelmezett 1 és a Kérelmező közötti üzleti kapcsolat fennállása alatt hatályban volt - régi Pmt. 7. § és 28. § (1) bekezdése alapján jogszabályon alapuló megőrzési kötelezettsége van, tehát a Kérelmezett 1 2018. május 25. napja óta a GDPR 6. cikk (1) bekezdés c) pontra, tehát jogi kötelezettség teljesítésére hivatkozással kezeli a Kérelmező személyes adatait. Ez azonban csak megőrzést jelent, és emiatt ezen személyes adatok nem szerepelhetnek egy aktív nyilvántartásban, tehát nem használhatók fel a megőrzési célon kívüli más célra. Amennyiben mégis szükségesnek tartja a Kérelmezett 1 valamilyen célból ezen személyes adatok felhasználását, akkor érdekmérlegelést kell erről becsatolnia. A Kérelmezett 1 érdekmérlegelésének vizsgálata a jogszabályi kötelezettségre hivatkozással kezelt személyes adatokkal összefüggésben az eljárásban szükségtelen volt. A fentiek alapján tehát a Kérelmezett 1 az általa kezelt személyes adatok vonatkozásában nem hivatkozott a GDPR 6. cikk (1) bekezdés f) pontra, emiatt a Kérelmezett 1 érdekmérlegelésének vizsgálata a határozathozatal során nem történt meg. A Hatóság a határozata rendelkező részében, azaz az I.3-I.4. pontokban utasította arra a Kérelmezett 1-t, hogy igazolja a jogalapját. Ez azt jelenti, hogy ha a GDPR 6. cikk (1) bekezdés f) pontra hivatkozik valamely személyes adat kezelésével összefüggésben, akkor annak vonatkozásában a GDPR (47) preambulum bekezdés alapján érdekmérlegeléssel kell igazolnia hivatkozott jogalap jogszerűségét. A Hatóság ebben az esetben a határozat végrehajtásának ellenőrzése keretében fogja megvizsgálni azt, hogy az érdekmérlegelés, melyre a Kérelmezett 1 hivatkozik, elfogadható-e.

IV.6. Követeléskezelési célú adatkezelés a Kérelmezett 2 által és a Kérelmezett 2 által végrehajtott jogalapváltás

A Kérelmezett 2 az engedményezés időpontjától (2016.03.08. napjától) 2021.03.31-ig a GDPR 6. cikk (1) bekezdés b) pontra hivatkozással folytatta az engedményezésből származó követeléseivel összefüggésben a követeléskezelési célú adatkezelését. Ez a jogalap azonban ilyen célú adatkezelés esetében nem elfogadható az alábbiak miatt: A Hatóság megállapítása szerint a GDPR 6. cikk (1) bekezdés b) pontja szerinti jogalap – a szerződéskötést megelőző egyes lépések kivételével – csak akkor alkalmazható, ha az a szerződés teljesítéséhez szükséges, tehát nem lehet kiterjeszteni ezt a jogalapot olyan adatkezelésekre, amelyekre a szerződés érintett általi nemteljesítése miatt előidézett helyzet orvoslása érdekében a szerződő felek rendes együttműködési kötelezettségből fakadó lépéseken túlmutató cselekmények megtételéhez van szükség. A szerződés teljesítése körébe eshetnek még azok a lépések, amikor az adatkezelő, aki a szerződést megkötötte az érintettel – tehát aki a szerződésben a másik fél – teljesítési késedelem esetén felszólítja az érintettet a teljesítésre. Azonban a GDPR 6. cikk (1) bekezdés b) pontja szerinti szerződéses jogalap már nem vonatkoztatható arra az esetre, ha az adatkezelő az elmaradt teljesítés miatt az érintettel szembeni követelését követelésbehajtással foglalkozó vállalkozásra engedményezi (azaz a problémát már a szerződésen kívül kívánja megoldani). Ilyenformán az adatkezelő és az érintett között szerződéses jogviszony nem áll fenn. Az engedményezés keretében történő adatátvétel jogalapja így csak más, tipikusan az engedményes részéről a követelés saját részére történő érvényesítéséhez fűződő jogos érdeke lehet. A Polgári Törvénykönyvről szóló 2013. évi V. törvényhez (a továbbiakban: Ptk.) fűzött indokolás szerint a követelések átruházására a tulajdonjog átruházásával azonos logika alapján kerül sor, tehát az engedményezés tulajdonképpen nem más, mint a követelés tulajdonjogának átruházása.

Az engedményezéssel a követelés elválik az eredeti jogviszonytól, amelyből az származik, és az engedményes kizárólag a követelés és nem pedig az alapjogviszony vonatkozásában lép az engedményező helyébe. Azáltal, hogy az engedményezéssel a követelés elválik az alapjogviszonytól és az engedményes a követelés jogosultjává válik, a követelés engedményes általi érvényesítése, illetve az ahhoz kapcsolódó adatkezelés, többé már nem azon szerződés teljesítése érdekében történik, amelyből a követelés eredetileg származott, mivel ebben az esetben az engedményesnek nem a saját, hanem az engedményező javára kellene érvényesíteni az engedményezés útján megszerzett követelést. Az engedményezéssel, amennyiben az ellenérték fejében történik, az engedményező kötelezettel szembeni követelése a vételár függvényében teljesen vagy részben megtérül. Az engedményes a követelés behajtása céljából saját érdekében és saját javára jár el, hiszen az engedményezéssel ő válik a követelés jogosultjává, és a követelés érvényesítése, az adós teljesítésre bírása, valamint az ennek érdekében végzett adatkezelés az ő jogos érdekét, nem pedig az alapul fekvő szerződés teljesítését szolgálja, mivel a követelés az engedményezéssel függetlenné vált a szerződéstől. A Kérelmezett 1 Kérelmező felé fennálló követelése engedményezésre került a Kérelmezett 2 részére. Mivel a Kérelmezett 2 engedményezés útján szerezte meg a Kérelmezővel szembeni követeléseket, valamint annak velejárójaként a Kérelmező személyes adatait, és ezáltal a követelések jogosultjává vált, adatkezelésének jogalapja nem lehet a GDPR 6. cikk (1) bekezdés b) pontja szerinti szerződéses jogalap. A Hatóság ebben a körben megjegyzi, hogy a Fővárosi Törvényszék […] számú elsőfokú, a jelen hatósági eljáráshoz hasonlóan a követeléskezelés célú engedményezés útján szerzett követelés jogalapjával összefüggésben – a Kúria 2020. szeptember 14-én hozott ítéletével helybenhagyott jogerős ítéletében a szerződéses jogalap alkalmazhatósága kapcsán osztotta a Hatóság fentebb kifejtett álláspontját. A Fővárosi Törvényszék az Európai Adatvédelmi Testület, 2/2019. számú ajánlásában is megjelenő értelmezést tartotta irányadónak, mely szerint a szerződés teljesítése, mint jogalap szűken értelmezendő és nem terjed ki automatikusan a nemteljesítésből eredő adatkezelésre, illetve hogy csak a fizetési emlékeztető kiküldésével, illetve a szerződés normális menetbe terelésével kapcsolatos adatkezelés eshet a szerződés teljesítése jogalap alá, az eredeti szerződés megszűnését követő, követeléskezelési célú adatkezelésre azonban mindez nem alkalmazható. A fentiek alapján Kérelmezett 2 nem megfelelő jogalapra hivatkozással kezelte a Kérelmező személyes adatait, mellyel megsértette a GDPR 5. cikk (2) bekezdését. Ez azonban nem feltétlenül jelenti azt, hogy a Kérelmező személyes adatainak kezelésére semmiféle jogalapja nincs, mivel a jogszerűen végzett, jogszabály által lehetővé tett követelésvásárlási tevékenysége keretében jutott hozzá a Kérelmező személyes adataihoz – természetes személyazonosító adatok, valamint a követelésre vonatkozó adatok –, és a jogszerűen megszerzett követelések érvényesítéséhez, valamint az ehhez szükséges fenti adatok kezeléséhez fűződő jogos érdeke fennállta a jogi szabályozásból adódóan elvileg megállapítható. Az tehát, hogy a Kérelmezett 2 korábban tévesen hivatkozott a GDPR 6. cikk (1) bekezdés b) pontra, nem alapozza meg a törlési kötelezettségét, mivel a GDPR 6.cikk (1) bekezdés szerinti valamely jogalap fennállása esetén jogszerű az adatkezelés, akkor is, ha azt korábban tévesen nem megfelelően azonosította az adatkezelő.

A fentiek miatt a Kérelmezett 2 a jogalapváltás mellett döntött, mely nem ütközik a GDPR rendelkezéseibe, tekintve azt, hogy egy korábban tévesen alkalmazott jogalapról tért át egy olyan jogalapra, mely megfelelő érdekmérlegelés esetén a GDPR rendelkezéseivel összhangban áll. IV.7. Engedményezés jogellenessége miatti jogszerűtlen adatkezelés megállapítására, továbbá erre hivatkozással a Kérelmező Kérelmezett 2 által kezelt személyes adatai törlésének elrendelésére vonatkozó kérelem A Kérelmező a kérelmében arra hivatkozott, hogy véleménye szerint a Kérelmezett 1 és a Kérelmezett 2 közötti engedményezés nem volt jogszerű, mivel a hozzájárulása nélkül megnyitott hitelszámlára hivatkozott követelést értékesítette a Kérelmezett 1, ezért a Kérelmező kérte, hogy az engedményezéssel átadott személyes adatok törlésén túl a Hatóság rendelje el azt is, hogy a Kérelmezett 2 értesítsen minden olyan személyt, szervezet, mely részére a Kérelmező személyes adatait továbbította, ezek az adatkezelők töröljék a Kérelmező személyes adatait, továbbá az adattovábbítás alapján indult eljárásaikat szüntessék meg a Kérelmezővel szemben. A Hatóság a hitelszámla nyitásával kapcsolatos adatkezelési körülményeket és a hitelszámlára hivatkozottan fennálló követeléssel összefüggő engedményezés jogszerűségét, mint a Kérelmezett 2 adatkezelésének előkérdését sem vizsgálta. Mivel az eljárás során egyik fél sem csatolt be olyan Magyar Nemzeti Bank vagy bírósági döntést, mely a hitelszámla nyitás vagy az engedményezés jogszerűtlenségét állapítaná meg, ezért a Kérelmezetteknek a követelésük behajtásához, hitelszámla nyitásához szükséges személyes adatok kezeléséhez fűződő jogszerű érdeke fűződhet. A Kérelmezett 2 a nyilatkozata szerint 2021.04.01. napjától a követeléskezelési célú adatkezelést a GDPR 6. cikk (1) bekezdés f) pontra, tehát jogos érdekre hivatkozással végzi, melynek keretében harmadik személyek részére személyes adatot is továbbíthat a hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény 161. § (1) bekezdés c) pontja alapján, mely szerint a banktitok kiadható harmadik személynek, ha a pénzügyi intézmény érdeke ezt az ügyféllel szemben fennálló követelése eladásához vagy lejárt követelése érvényesítéséhez szükségessé teszi. A Kérelmezett 2 az engedményezési szerződés alapján a Kérelmezővel szemben fennálló követelés jogosultjává vált, a követelés érvényesítéséhez, valamint az ehhez szükséges személyes adatok kezeléséhez fűződő jogos érdekének fennállta a jogi szabályozásból adódóan elvileg megállapítható. Tehát ezen adatkezelési cél jogszerűnek minősül és a Kérelmezővel szembeni követelés érvényesítéshez szükséges személyes adatokat, így – többek között – a Kérelmező a nevét, lakcímadatát, természetes személyazonosító adatait, követelést alátámasztó iratokat (többek között a szerződést, folyószámlakivonatokat) a GDPR 6. cikk (1) bekezdés f) pont szerinti jogos érdeke alapján e célból továbbíthatta a Kérelmezett 2. A Kérelmező hivatkozott arra is, hogy a Kérelmezett 2 harmadik személyeknek továbbította a személyes adatait. A Kérelmezett 2 nyilatkozata szerint ez követeléskezelési céllal történt, melyre a GDPR 6. cikk (1) bekezdés f) pont szerinti jogalap alkalmazható, tehát addig, ameddig bírósági döntés nem születik arról, hogy az engedményezés nem volt jogszerű, és emiatt a Kérelmezett 2nek nem áll fenn követelése a Kérelmezővel szemben, a jogellenes adatkezelés a Kérelmezett 2 adatkezelésének tekintetében nem állapítható meg. A GDPR 6. cikk (1) bekezdés f) pont alkalmazásának továbbá az is feltétele, hogy a jogos érdeke elsőbbségét a Kérelmezett 2 érdekmérlegeléssel igazolja. A Kérelmezett 2 azonban az érdekmérlegelését nem továbbította a Hatóság részére, mellyel megsértette a GDPR 5. cikk (2) bekezdését, azaz „elszámoltathatóság” elvét. A GDPR 17. cikk (3) bekezdés e) pontja alapján a törléshez való jog GDPR 17. cikk (1) és (2) bekezdésben felsorolt esetei nem alkalmazhatók, amennyiben az adatkezelés jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükséges.

A fentiekre tekintettel a Hatóság elutasította a Kérelmező arra vonatkozó kérelmét, hogy utasítsa a Kérelmezett 2-t a Kérelmező személyes adatai törlésére, mivel elsősorban arra kötelezte a Kérelmezett 2-t, hogy ezen személyes adatok kezelésével összefüggésben érdekmérlegeléssel igazolja a Kérelmezett 2 jogos érdekeinek elsőbbségét, ennek hiányában törölje ezen személyes adatokat, továbbá kötelezte a Kérelmezett 2-t, hogy ezen időtartamra ezen személyes adatok követeléskezelési célú adatkezelését korlátozza.

IV. 8. Érintetti kérelem megválaszolása Kérelmezett 1 által

IV.8.1. Határidő és megválaszolás eljárás rendje (választ író személye és érintetti kérelemként való kezelés)

IV.8.1.1. A GDPR 12. cikk (3) bekezdés alapján az adatkezelőnek az érintettet indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatnia kell a kérelme nyomán hozott intézkedéseiről. Szükség esetén ez a határidő további két hónappal meghosszabbítható. A GDPR 12. cikk (1) bekezdés alapján az adatkezelőnek megfelelő intézkedéseket kell hozni annak érdekében, hogy az érintetti kérelemre vonatkozó tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni. A Kérelmező a csatolt mellékletek és a Kérelmező, továbbá a Kérelmezett 1 nyilatkozata szerint 2021. május 27. napján fordult érintetti kérelemmel a Kérelmezett 1-hez, melyre a Kérelmezett 1 2021. június 9. napján kelt levelében válaszolt, tehát a GDPR-ban előírt egy hónapos határidőt betartotta.

IV.8.1.2. A Kérelmező kifogásolta, hogy a Kérelmezett 1 adatvédelmi tisztviselőjének, illetve

Adatvédelmi Osztályának küldte a levelét, azonban a Kérelmezőnek nem az adatvédelmi tisztviselő, illetve az Adatvédelmi Osztály válaszolt, hanem panaszkezelési tanácsadó válaszolta azt meg. A Kérelmező által mellékelt válaszlevelet az ügyfélszolgálati vezető tanácsadó [….] és a panaszkezelési tanácsadó írta alá. A Kérelmezett 1 cégkivonata szerint […] cégjegyzésre jogosult a Kérelmezett 1 ügyeiben. A GDPR nem írja azt elő, hogy az adatkezelőknek küldött érintetti kérelmet az adatvédelmi tisztviselőnek kell megválaszolni, sőt azt sem, hogy arra csak egy úgynevezett adatvédelmi osztály jogosult. Ezen feladat ellátására az adatkezelő belső eljárásrendjéhez tartozik, melyről jogosult dönteni. Amennyiben tartalmilag megfelelő választ ad az adatkezelő nevében aláírásra jogosult az érintetti kérelemmel összefüggésben, abban az esetben ez az eljárás nem kifogásolható, mivel az adatkezelő belső eljárásrendje határozza meg, hogy az érintetti kérelmeket, illetve esetleg egyes érintetti kérelmeket az adatkezelő mely szervezeti egysége válaszolja meg, és mely aláírásra jogosult személy írja azt alá.

IV.8.1.3. A Kérelmező kifogásolta azt, hogy a kérelmét nem érintetti kérelemként, hanem panaszként kezelték. Ahogyan a IV.8.1.2. pontban is megállapította a Hatóság, az adatkezelő belső eljárásrendjéhez tartozik, melyről jogosult dönteni, hogy az érintetti kérelmeket adott esetben a panasz bejelentésekkel is foglalkozó szervezeti egysége, vagy ügyintézője válaszolja meg, vagy ez csak és kizárólagosan az adatvédelmi osztályának a feladatköréhez tartozik. Minden esetben azonban a kérelem megválaszolásának a GDPR rendelkezései alapján kell megtörténnie, tehát függetlenül attól, hogy mely belső szervezeti egysége szövegezi meg a válaszlevelet. A 2021. június 9. napján küldött válaszlevélben foglaltak szerint a kérelmet személyes adatok, iratok visszamenőleges törlésére irányuló kérelemként bírálta el a Kérelmezett 1 és a GDPR 12.

cikk (4) bekezdésének megfelelően tájékoztatta a jogorvoslati lehetőségekről is a Kérelmezőt. A fentiek miatt megállapítható, hogy érintetti kérelemként kezelték a Kérelmező 2021. május 27. napján írt „Adatvédelmi incidens bejelentése” tárgyú kérelmét.

IV.8.1. A Kérelmező [….] számú számla nyitásáról szóló, a Kérelmező által aláírt szerződés hozzáférésére irányuló kérelem

A Kérelmező az érintetti kérelmében úgy fogalmazott, hogy bocsássák a rendelkezésére a Kérelmező […] számú számla nyitásáról szóló, a Kérelmező által aláírt szerződés másolatát, „ha mégis történt ilyen”. A Kérelmezett 1 a hozzáférési kérelemre adott válaszában hivatkozott a korábbi tájékoztatásaira, melyeket a Kérelmezőnek küldött és melyekben arról értesítette, hogy a […] számon nyilvántartott követelés nem szűnt meg, annak csak a pénzneme változott meg, és ezt új számlaszámon, azaz a [….] számon kezeli tovább a Kérelmezett 1, és közölte a Kérelmezővel, hogy „az Ön beleegyezése, személyes megjelenése és személyazonosítása, hozzájárulása nélkül új bankszámlaszerződés megkötésére nem került sor.” Ebből kifolyólag a Kérelmezett 1 nem sértette meg a Kérelmező GDPR 15. cikk (3) bekezdés szerinti hozzáférési jogát, mert nem készült olyan irat, amelyről másolat adható lett volna.

IV.8.2. A Kérelmező Kérelmezett 1 által kezelt személyes adatainak törlésére irányuló kérelme

Személyes adatot csak meghatározott célból, az ahhoz szükséges mértékben és ideig lehet kezelni, ezért azokat törölni kell akkor, ha azokra már nincs szükség a gyűjtésük vagy kezelésük céljából. Amennyiben az adatkezelés hozzájáruláson alapult, és ezt az érintett visszavonta, abban az esetben a GDPR 17. cikk (1) bekezdés b) pont alapján az adatkezelőnek törölni kell a személyes adatokat, ha az adatkezelésnek nincs más jogalapja. A GDPR 17. cikk (3) bekezdés b) pont alapján az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából. A hozzájárulás visszavonásához hasonlóan az érintett GDPR 21. cikk szerinti tiltakozásához való jogának gyakorlása is törlési kötelezettséget eredményez. Ilyen esetben az adatkezelő csak kényszerítő erejű jogos indokok alapján kezelheti tovább a személyes adatokat. A Kérelmező által csatolt érintetti kérelmében a [….] számú hitelszámlával összefüggésben tárolt személyes adatok törlését kérte a Kérelmező a Kérelmezett 1-től, továbbá azt, hogy a Kérelmezett 2-t, mint engedményest is értesítse a Kérelmezett 1, és utasítsa a törlésre. A Kérelmezett 1 nem megfelelően indokolta a törlési kérelem elutasítását, mert csupán arra hivatkozott a Kérelmezőnek adott válaszában, hogy a személyes adatok átadása jogszabály felhatalmazása alapján történt, és példálózóan felsorolt ilyen kötelezettséget előíró jogszabályt. A Kérelmezett 1 tehát csak az adatátadással kapcsolatos jogszabályokról tájékoztatta a Kérelmezőt, azonban arról, hogy jelenleg milyen személyes adatokat tárol, azokat milyen célból, milyen jogalapra hivatkozással meddig őrzi meg semmilyen tájékoztatást sem nyújtott, annak ellenére, hogy a Hatósághoz küldött nyilatkozatában táblázatban felsorolta a személyes adatokat, melyeket jelenleg is tárol a Pmt. 56. § (2) bekezdés, 57. § (1) bekezdés és a Számviteli törvény 169. § (2) bekezdése alapján, és a Ptk. 6:22. § (1) bekezdés alapján. A Hatóság nem ért egyet a Kérelmezett 1 azon állításával, hogy azzal megfelelő tájékoztatást nyújtott, hogy a levelében utalt az adatkezelési tájékoztatóra és annak helyére. A Kérelmezett 1 álláspontja szerint ezek a tájékoztatók részletes tájékoztatást nyújtanak – többek között – a kötelező megőrzést előíró jogszabályokról. A törlési kérelem elutasítását indokolni köteles az adatkezelő a GDPR 12. cikk (4) bekezdése értelmében. Ez az indokolás pedig azt jelenti, hogy a törlési kérelem előterjesztésének időpontjában kezelt személyes adatok kezelését előíró jogszabályt a kezelt személyes adatokkal együtt meg kell jelölni, és nem elegendő egy közzétett adatkezelési tájékoztatóra utalni, mivel ez a Kérelmezőre vonatkozó, személyre szabott átlátható tájékoztatás követelményének nem felel meg. A Hatóság megállapítása szerint a Kérelmezett 1 nem törölheti a Kérelmező jelenleg tárolt azon személyes adatait a GDPR 17. cikk (3) bekezdés b) pont miatt, mely személyes adatokat a Számviteli törvény 169. § (2) bekezdés, továbbá a régi Pmt. 7. § és 28. § (1) bekezdése alapján jogszabályon alapuló megőrzési kötelezettsége van. A Kérelmezett 1 Hatósághoz küldött nyilatkozatával ellentétben tehát nem a Pmt.-re, hanem a régi Pmt.-re kell hivatkozni az ügyfélátvilágítással kapcsolatos megőrzési kötelezettségére vonatkozó adatkezelésével összefüggésben, tekintettel arra, hogy a kölcsönszerződést 2005.08.31. napján kötötték és a régi Pmt. 2007. december 14. napjától hatályos 6. § (1) bekezdése alapján ügyfél-átvilágítást kell végezni az ott meghatározott esetekben. Ezzel szemben a Pmt. ügyfélátvilágítást előíró szabályai 2017. június 26. napján léptek hatályba, tehát azt követően, hogy a Kérelmezett 1 a Kérelmezővel szemben fennálló követelését 2016.03.08. napján engedményezte Kérelmezett 2-re. A régi Pmt. 7. § és a 28. § (1) bekezdése a Kérelmezett 1 részére a Kérelmező alábbi személyes adatai megőrzését írja elő 8 éves időtartamra:

családi és utónevét (születési nevét), lakcímét, állampolgárságát, azonosító okmányának típusát és számát. A fentieken túl az engedményezés utáni adatmegőrzési (személyes adatokat is tartalmazó bizonylatmegőrzési) kötelezettségre vonatkozóan a Számviteli törvény 169. § tartalmaz rendelkezéseket, mely szerint a Kérelmezett 1, mint a Számviteli törvény szerinti gazdálkodó az üzleti évről készített beszámolót, az üzleti jelentést, valamint az azokat alátámasztó leltárt, értékelést, főkönyvi kivonatot, továbbá a naplófőkönyvet, vagy más, a törvény követelményeinek megfelelő nyilvántartást olvasható formában legalább 8 évig köteles megőrizni. Ez alapján a Kérelmezett 1 az engedményezéssel összefüggően, a követelést alátámasztó iratokat köteles megőrizni a Számviteli törvény előírásai alapján 2016. március 8. napjától számított 8 évig. A Kérelmezett 1 azonban a Kérelmező személyes adatainak kezelését bemutató táblázatában két személyes adat (mobil telefonszám és levelezési cím) esetében a Ptk. 6:22. § (1) bekezdésre hivatkozott, mint adatmegőrzést előíró jogszabályra, és ez alapján 8 évig őrzi meg ezeket a személyes adatokat. A Ptk. hivatkozott rendelkezése azonban nem ír elő adatmegőrzési kötelezettséget. A hivatkozott személyes adatok az engedményezést követően csak abban az esetben őrizhetők meg, ha a fentiekben részletezett Számviteli törvényben és a Pmt.-ben előírt adatmegőrzési kötelezettség alá eső iratok részei, olyan iratok részei, melyek jogi igények érvényesítéséhez lehetnek szükségesek (az engedményezéssel kapcsolatos esetleges jogvita esetén), és azt a Kérelmezett alá is tudja támasztani, azonban a Kérelmezett 1 nem erre hivatkozott ezek közül egyikre sem, ezért ezen személyes adatok kezelésével megsértette a GDPR 6. cikk (1) bekezdését. A GDPR 17. cikk (1) bekezdése alapján az érintett kérésére az adatkezelő indokolatlan késedelem nélkül köteles törölni a rá vonatkozó személyes adatokat, ha az érintett visszavonja a hozzájárulását és az adatkezelésnek nincs más jogalapja. A GDPR 17. cikk (3) bekezdése sorolja fel azokat az eseteket, amikor a hozzájárulás visszavonása esetén sem törölhető a személyes adat. Ezek közül a jelen esetben a GDPR 17. cikk (3) bekezdés e) pontja alkalmazandó, mely szerint a GDPR 17. cikk (1)- (2) bekezdése szerinti törléshez való jog nem alkalmazandó, ha a személyes adatok jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükséges. A fentiekre tekintettel a Hatóság elutasította a Kérelmező arra vonatkozó kérelmét, hogy utasítsa a Kérelmezett 1-et a Kérelmező személyes adatai törlésére, a Kérelmező 1 a telefonszámadata és a levelezési cím adata esetében feltételesen utasította el a törlésre irányuló kérelmet, ugyanis ezen személyes adatok törlését abban az esetben rendelte el, ha a Kérelmezett 1 nem tudja azt igazolni, hogy azokat a GDPR 6. cikk (1) bekezdés szerinti megfelelő jogalap alapján kezeli. A Hatóság továbbá hivatalból megállapította azt, hogy a Kérelmezett 1 a Kérelmezőt nem tájékoztatta megfelelően a jelenleg kezelt és nem törölhető személyes adatairól, és ezzel megsértette a GDPR 12. cikk (1) bekezdését és a GDPR 5. cikk (1) bekezdés a) pontját. A Kérelmezett 1 ugyanakkor azzal nem követett el GDPR-ral kapcsolatos jogsértést, hogy a Kérelmezett 2-t nem utasította a Kérelmező személyes adatai törlésére, és nem tájékoztatta a Kérelmező kérelméről, mivel a Kérelmezett 1 és a Kérelmezett 2 külön adatkezelő, melyek nem adhatnak egymásnak utasítást, továbbá a benyújtott érintetti kérelmekkel összefüggésben tájékoztatási kötelezettségük sem áll fenn egymás irányába, mivel önálló adatkezelőknek minősülnek. Amennyiben a Kérelmező a Kérelmezett 2 által tárolt személyes adataival kapcsolatban is érintetti kérelmet kívánt benyújtani, abban az esetben külön a Kérelmezett 2-nek is ezzel kapcsolatos levelet kellett volna küldenie.

IV.9. A Kérelmező által előterjesztett bizonyítási indítvány, miszerint a Hatóság vizsgálja a Kérelmezett 2 2018. május 25. napját követő adattovábbításait

Az Ákr. 62. § (4) bekezdés alapján a hatóság szabadon választja meg a bizonyítás módját, és a rendelkezésre álló bizonyítékokat szabad meggyőződése szerint értékeli, ezért az erre vonatkozó tényállás tisztázást nem látta indokoltnak, mivel a Kérelmező ebben a körben csak általánoságban valószínűsítette a Kérelmezett 2 jogellenes adatkezelését, semmilyen konkrét bizonyítékot nem csatolt ezzel kapcsolatban.

Ez tulajdonképpen a Kérelmezett 2 gyakorlatának vizsgálatát jelentené, tekintve azt, hogy a Kérelmező nem jelölt meg olyan konkrét adattovábbítást, melyet 2018. május 25. napját követően úgy sérelmezett volna, hogy az azzal összefüggő jogellenességet valószínűsíti. A Kérelmező ugyanis a kérelmében, majd a 2021. december 13-án érkezett nyilatkozatában felsorolta az adatkezelőket, melyek részére a személyes adatokat továbbította. A felsorolt adatkezelők között közjegyzők, végrehajtói irodák, [….] Földhivatali Osztálya, továbbá a […] olvasható. Az adatátadással érintett szervek a folyamatban lévő jogi eljárások során részesültek adatátadásban (közjegyző, végrehajtó, a végrehajtási jogot bejegyző földhivatal). Ezeknek az adatkezelőknek a tevékenysége is a jogi eljárás része.

A közjegyző fizetési meghagyás kibocsátása és a végrehajtó a végrehajtási cselekmények foganatosítása és a végrehajtási kényszer alkalmazása során közhatalmat gyakorol, ezen közhatalmi jogosítványok gyakorlása keretében végzett feladataik ellátása során folytatott adatkezelés, továbbá a végrehajtás foganatosítása során a végrehajtó által elrendelt végrehajtást foganatosító intézkedések során végzett adatkezelések a GDPR 6. cikk (1) bekezdés e), illetve c) pontja szerinti kötelező adatkezelésnek minősülnek.

Tekintettel arra, hogy a Hatóság a határozat IV.7. pontjában elutasította a Kérelmezett 2 követeléscélú adatkezelése jogszerűtlenségének megállapítását, ezért a Kérelmezett 2 követeléscélú adatkezelése keretében végzett adattovábbítások, tehát ezzel összefüggésben közjegyzőknek, végrehajtóknak, hatóságoknak, és a központi hitelinformációs rendszer részére is jogszerűek, ezért a Hatóság a Kérelmező ezek vizsgálatára irányult bizonyítási indítványát elutasította.

IV.10. Jogkövetkezmények

IV.10.1. A Hatóság a Kérelmező kérelmének részben helyt adott, és a GDPR 58. cikk (2)

bekezdés b) pontja alapján elmarasztalja a Kérelmezett 1-t, mert megsértette a GDPR

- 5. cikk (1) bekezdés a) pontját, - 6. cikk (1) bekezdését, - 12. cikk (1) bekezdését, továbbá a Kérelmezett 2-t, mert megsértette a GDPR 5. cikk (2) bekezdését.

IV.10.2. A Hatóság a Kérelmezett 1-t a GDPR 58. cikk (2) bekezdés c) pont alapján utasítja tájékoztassa a Kérelmezőt az érintetti kérelmével összefüggésben, mellyel kapcsolatban a Kérelmezett 1 nem tett eleget az átlátható tájékoztatás követelményének, igazolja a Kérelmező felé a telefonszámadata és a levelezési címe személyes adatai kezelésének jogalapját, törölje a Kérelmező I.3.2. pont szerinti személyes adatait, amelynél megfelelő jogalapot nem igazolt.

IV.10.3. A Hatóság a Kérelmezett 2-t a GDPR 58. cikk (2) bekezdés c) pont alapján utasítja igazolja a Hatóság felé, ha jogos érdeke fűződik a Kérelmező személyes adatainak követeléskezelési célú kezeléséhez és ezen érdek a Kérelmező alapvető jogaival szemben elsőbbséget élvez, és igazolás hiányában törölje a Kérelmező azon személyes adatait, amelynél megfelelő jogalapot nem igazolt, továbbá amíg nem tesz eleget a fenti kötelezésnek, addig korlátozza a Kérelmező fenti körbe tartozó személyes adatainak követeléskezelési célú kezelését.

IV.10.4. A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezett 1 jogsértése adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság a bírság kiszabása során az alábbi tényezőket súlyosító körülményként vette figyelembe:

- A jogsértés súlyos, mert a Kérelmezett 1 az adatkezelésével a Kérelmező érintetti jogát sértette meg, úgy, hogy érintetti kérelmére nem adott átlátható tájékoztatást az elutasítás okával összefüggésben, tehát a jelenlegi adatkezelése céljáról, jogalapjáról. (GDPR 83. cikk (2) bekezdés a) pont) - A Kérelmezett 1 jogellenes adatkezelése szándékos, az adatkezelési gyakorlatából ered, mivel nem hivatkozott adminisztrációs tévedésre a GDPR 12. cikk (1) bekezdésével összefüggésben, hanem kifejezetten azt hangsúlyozta, hogy megfelelő tájékoztatást nyújtott a Kérelmezőnek (GDPR 83. cikk (2) bekezdés b) pont).

- A Kérelmezett 1 elmarasztalására az általános adatvédelmi rendelet megsértése miatt már sor került a NAIH/2020/687/2. számú határozatban, melyben a Hatóság megállapította többek között a GDPR 5. cikk (1) bekezdés a) pontjának a sérelmét is. Ebben a határozatban a Hatóság a Kérelmezett 1-et 2.000.000 Ft, azaz kétmillió forint adatvédelmi bírság megfizetésére kötelezte. (GDPR 83. cikk (2) bekezdés e) és i) pont)

A Hatóság a bírság kiszabása során enyhítő körülményként vette figyelembe, hogy a Hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százötven napos ügyintézési határidőt. (GDPR 83. cikk (2) bekezdés k) pont) A jogsértés jellege alapján – adatkezelés elveinek és érintetti jog a megsértése – a kiszabható bírság felső határa az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pont alapján 20 000 000 EUR, illetve az előző pénzügyi év teljes világpiaci forgalmának legfeljebb 4%-a. (GDPR 83. cikk (5) bekezdés a) pont) A Kérelmezett 1 eredménykimutatása alapján az adózás előtti eredménye [….] millió Ft volt. (GDPR 83. cikk (5) bekezdés a) pont) A kiszabott bírság nem éri el a bírságmaximumot, attól jelentősen elmarad. A Hatóság a bírság kiszabása tekintetében a GDPR 83. cikk (2) bekezdésének a következő rendelkezéseit nem vette figyelembe, mert a mérlegelése szerint a tárgyi ügyben nem voltak relevánsak: c) pont, d) pont, f) pont, g) pont, h) pont, j) pont.

IV.10.5. A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezett 2 jogsértése adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság a bírság kiszabása során az alábbi tényezőket súlyosító körülményként vette figyelembe:

- A jogsértés súlyos, mert a Kérelmezett 2 az adatkezelése jogalapját nem igazolta a Hatóság felé (GDPR 83. cikk (2) bekezdés a) pont) A Hatóság mindenekelőtt figyelembe vette, hogy a Kérelmezett 2 által elkövetett jogsértés az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértéseknek minősülnek. A Hatóság a bírság kiszabása során enyhítő körülményként vette figyelembe, hogy a Hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százötven napos ügyintézési határidőt. (GDPR 83. cikk (2) bekezdés k) pont) A Hatóság a bírság kiszabása tekintetében a GDPR 83. cikk (2) bekezdésének a következő rendelkezéseit nem vette figyelembe, mert a mérlegelése szerint a tárgyi ügyben nem voltak relevánsak: a) pont, c) pont ,d) pont, f) pont, g) pont, h) pont, i) pont, j) pont. A Kérelmezett 2 2020. évi beszámolója alapján az adózás előtti eredménye […] Ft volt. A kiszabott adatvédelmi bírság nem lépi túl a kiszabható bírság maximumát. (GDPR 83. cikk (5) bekezdés a) pont)

IV.10.6. A Hatóság tekintettel arra, hogy túllépte az Infotv. 60/A.§ (1) bekezdése szerinti ügyintézési határidőt, ezért 10.000 Ft-ot, azaz tízezer forintot a Kérelmezőnek – választása szerint – bankszámlára utalással vagy postai utalvánnyal megfizet az Ákr. 51. § (1) bekezdés b) pontja alapján.

V. Egyéb kérdések:

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Ha az előírt kötelezettségük teljesítését a Kérelmezettek megfelelő módon nem igazolják, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítették. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. A Hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek. kelt: Budapest, az elektronikus aláírás szerint

Dr. Péterfalvi Attila elnök távollétében:

Dr. Szabó Endre Győző elnökhelyettes