Hungarian Data Protection Authority: right to erasure concerning default data in the Central Credit Information System

Ügyszám: NAIH-260-5/2022. Előzmény: NAIH-7862/2021.

Tárgy: határozat

HATÁROZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] kérelmező (a továbbiakban: Kérelmező) követeléssel összefüggő jogalap nélküli adatkezelés és érintetti kérelem nem megfelelő teljesítése tárgyában [...] ügyvéd, mint meghatalmazással igazolt képviselő (a továbbiakban: Ügyvéd) útján benyújtott kérelme alapján hatósági eljárás indult a […] (a továbbiakban: Kérelmezett) adatkezelésének vizsgálata tárgyában, mely eljárásban a Hatóság az alábbi döntéseket hozza:

I. A Hatóság határozatában a Kérelmező kérelmének helyt ad, és

II. megállapítja, hogy a Kérelmezett megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet)

- 6. cikk (1) bekezdését, - 17. cikk (1) bekezdés d) pontját és - 12. cikk (4) bekezdését. III. A Hatóság utasítja a Kérelmezettet, hogy közigazgatási per kezdeményezésére irányadó keresetindítási határidő lejártát, illetve közigazgatási per kezdeményezése esetén a közigazgatási per megszűnését követő 5 napon belül a Kérelmező jogalap nélkül kezelt személyes adatait (mulasztási adatait) törölje a Központi Hitelinformációs Rendszerből. IV. A Hatóság a határozatában a Kérelmezettet hivatalból az általa végzett jogellenes adatkezelés miatt

1.000.000 Ft, azaz egymillió forint adatvédelmi bírság megfizetésére kötelezi.

Az adatvédelmi bírságot a közigazgatási per kezdeményezésére irányadó keresetindítási határidő lejártát, illetve közigazgatási per kezdeményezése esetén a bíróság döntését követő 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104

0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-260/2022. BÍRS. számra kell hivatkozni.

Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását. Az III. pontban előírt intézkedések megtételét a Kérelmezettnek az intézkedések megtételétől számított 8 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt igazolnia a Hatóság felé. A Hatóság felhívja a Kérelmezett figyelmét arra, hogy a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg. A határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az eljárás menete

I.1. A Kérelmező meghatalmazással igazolt jogi képviselője útján 2021. október 20. napján az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése szerinti adatvédelmi hatósági eljárást kezdeményezett, és kérte, hogy a Kérelmezett által jogellenesen a Központi Hitelinformációs Rendszerbe (a továbbiakban: KHR) továbbított személyes adatai törlését rendelje a Hatóság. A Hatóság a NAIH-7862-1/2021. számú végzésében hívta fel a Kérelmezőt hiánypótlásra, melyre a válasz 2021. november 9. napján érkezett (NAIH-7862-3/2021. iktatószámon), ezért a hiánypótlásra tekintettel az adatvédelmi hatósági eljárás 2021. november 10. napján indult. I.2. A Hatóság a Kérelmezettet a NAIH-7862-4/2021. számú végzésében értesítette az eljárás megindításáról, és hívta fel első alkalommal nyilatkozattételre a tényállás tisztázása érdekében hivatkozással az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 62. § (1) bekezdésére. A Hatóság felhívására a Kérelmezett határidőben megküldte a válaszát, és csatolta az állításait alátámasztó dokumentumok másolatát. I.3. A Hatóság a NAIH-260-2/2022. és a NAIH-260-3/2022. számú végzéseiben értesítette a Kérelmezettet és a Kérelmezőt arról, hogy a bizonyítási eljárás befejeződött és nyilatkozattételi jogával, továbbá iratbetekintési jogával élhet. A Hatóság végzésére sem a Kérelmező, sem a Kérelmezett nem nyilatkozott.

II. Tényállás tisztázása

1 A közigazgatási per kezdeményezésére a NAIH_KO1 elnevezésű űrlap szolgál: NAIH KO1 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki.

II.1. A Kérelmező kérelme és csatolt mellékletei A Kérelmező törlésre irányuló érintetti kérelmet nyújtott be a Kérelmezetthez, azonban a Kérelmezett annak teljesítését elutasította. A Kérelmező továbbá előadta azt, hogy a KHR szerint a „mulasztás” adatok dátuma 2009.03.18. napja, azonban ennek a dátumnak a felvitele 2019.03.08. napján történt. A Kérelmező állítása szerint a mulasztási adatok csak a bekövetkezésüktől számított 10 évig szerepelhetnek a KHR-ben, ennek ellenére azok továbbra is a KHR-ben szerepelnek. A Kérelmező állítása szerint a Kérelmezett felé fennálló követelése elévült. A kérelemhez a Kérelmező az állításai alátámasztására a Kérelmezett 2021. március 2. napján érkezett törlési kérelmére írt 2021.március 10. napján kelt - IKT-2021/WO/2/5703. iktatószámú levelét -, továbbá a KHR rendszerből – 2021. február 04. napján - lekért Személy Saját Hiteljelentést csatolta másolatban. Az IKT-2021/WO/2/5703. iktatószámú levél az alábbiakat tartalmazta az érintetti kérelem vonatkozásában: „ […] Tekintettel arra, hogy Ügyfelének a fenti szerződésből eredően, jelenleg is aktív mulasztása áll fenn, Társaságunknak nem áll módjában törölni mulasztását a Központi Hitelinformációs Rendszerből. Amennyiben Ügyfele vállalja a fenti tartozás tőkerészének, tehát 1.568.769, - Forintnak egyösszegben történő megfizetését, Társaságunk a tartozást megtérültnek tekinti és haladéktalanul intézkedik a mulasztás KHR-ben történő passziválása iránt.” 2021. február 04. napján lekért Személy Saját Hiteljelentés szerint a Kérelmezett, mint referenciaadat-szolgáltató […] KHR azonosítójú, Kérelmező felé fennálló követeléssel összefüggésben 2009.03.18. napi kezdettel 2019.03.08. napján kerültek mulasztási adatok rögzítésre. II.2. A Kérelmezett nyilatkozata A Kérelmező alábbi személyes adatait kezeli a Kérelmezett:

név, születési név, anyja neve, születési helye és ideje, lakcíme, telefonszáma. A Kérelmezett állítása szerint a tartozására vonatkozó adatok önmagukban nem személyes adatok, mivel például kizárólag a szerződésszámból, vagy a tartozás összegéből a Kérelmező harmadik személy számára nem válik azonosíthatóvá, azonban a KHR rendszerbe történő adattovábbítás során ezen adatok is feltöltésre kerülnek, így a fenti személyes adatokkal együttesen kvázi személyes adatokká válnak. A fenti személyes adatokat a Kérelmezett a követelés jogelőd általi engedményezése óta kezeli. Az engedményezés 2018. március 1. napján történt a [...] és a Kérelmezett között. A Kérelmezett adatkezelésének célja a követelés Kérelmezővel szembeni érvényesítése, jogalapja a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR) 6. cikk (1) bekezdés f) pontja, tehát a Kérelmezett követelés érvényesítésével kapcsolatos jogos érdeke.

A Kérelmezett jogszabályi kötelezés alapján, tehát a GDPR 6. cikk (1) bekezdés c) pont alapján is végez adatkezelést. Ezzel kapcsolatban a Kérelmezett a központi hitelinformációs rendszerről szóló 2011. évi CXXII. törvény (a továbbiakban: KHR törvény és Khrtv.) 8. § (1) bekezdésre hivatkozott. A Kérelmezett Kérelmezővel szembeni követelése a Kérelmező és a [...] között 2007. március 2. napján létrejött pénzügyi lízing szerződésből ered. Tekintettel arra, hogy a Kérelmező a fizetési kötelezettségének nem tett eleget, a jogelőd a szerződést 2009. március 18. napján kelt levelével azonnali hatállyal felmondta. A Kérelmező a felmondó levelet saját kezűleg 2009. március 28. napján vette át. A Kérelmező a felmondó levélben megjelölt 2.354.621,- forint, illetve annak járulékai erejéig fennálló tartozását a mai napig nem teljesítette, így a Kérelmező mulasztása jelenleg is fennáll. A Kérelmezett állításai alátámasztására a kölcsönszerződés és a felmondó levél másolatát is mellékelte. A Kérelmezett hivatkozott arra, hogy a KHR törvény két főbb alanyt különít el a KHR rendszerrel kapcsolatos kötelezettségek szempontjából: referenciaadat-szolgáltató és a KHR-t kezelő pénzügyi vállalkozás. Ez utóbbi alatt a BISZ Zrt. értendő. A Kérelmező jogi képviselője útján 2021. március 2. napján kelt kérelmével fordult a Kérelmezetthez, és kérte a mulasztási adatainak KHR-ból való törlését. A Kérelmezett a 2021. március 10. napján kelt válaszlevelében kifejtette, hogy a Kérelmezőnek tartozása áll fenn a Kérelmezettel szemben. A tartozás, annak összegére tekintettel okot ad arra, hogy a KHR rendszerben a mulasztási adatok szerepeljenek. A Kérelmező a személyes adatai KHR-ből történő törlésére vonatkozó kérelmét a Kérelmezett azért utasította el, mert azon túl, hogy a törlés jogszabályi feltételei nem állnak fenn, hiszen a Kérelmező mulasztása jelenleg is fennáll, a törlésre ebben az esetben kizárólag a KHR törvény 8. § (4) bekezdése adna alapot. Törlési jogosultsága, illetve kötelezettsége a KHR törvény rendelkezései alapján nem a Kérelmezettnek, hanem a BISZ Zrt.-nek van, így az egyes KHR törvényben rögzített határidők – többek között a KHR törvény 11. § (1) bekezdése szerinti határidő – betartása is a BISZ Zrt. kötelezettsége. A Kérelmezett a KHR törvényből eredő kötelezettségek vonatkozásában kizárólag referenciaadat-szolgáltató. A KHR törvény 11. § (1) bekezdése szabályozza azon adatok körét, amelyet a Kérelmezett köteles átadni a BISZ Zrt. részére, azonban a törlési jog a Kérelmezettet nem illeti meg. A Kérelmezőnek, mint jogi képviselővel eljáró félnek, a jogi képviselet miatt pontosan kellett volna tudnia, hogy az esetleges törlési kérelme érdemi elbíráláshoz mely szervhez, mely „jogorvoslattal“ kell fordulnia, ehelyett e-mailben fordult a Kérelmezetthez úgy, hogy a Kérelmezett törlési joggal nem rendelkezik. Ezzel összefüggésben a Kérelmezett megjegyezte, hogy jogi képviselővel szemben a Kérelmezettet jogorvoslati kötelezettség nem terheli, a Kérelmező jogi képviselőjének kizárólag a KHR törvényt kellett volna tanulmányoznia a megfelelő jogorvoslat gyakorlása érdekében. A Kérelmezett Hatósághoz küldött válaszában hivatkozott a KHR törvény 6. § (1), (5) bekezdésére, 7. § (1), (2), (3) bekezdésére, 8. § (1), (2), (4) bekezdésére, 11. § (1) bekezdésére, 15. § (3) bekezdésére. A KHR nyilvántartásba a referenciaadatok feltöltését a követelés korábbi jogosultjának a felszámolója, mint referenciaadat-szolgáltató végezte el. A [...] korábbi jogosult a refernciaadatszolgáltatási kötelezettségének a Kérelmezettre engedményezett követelések tekintetében a felszámolása előtt nem tett eleget. Az engedményezéskor a Kérelmezett jelezte az akkor már felszámolás alatt álló [...] felszámolója felé, hogy az engedményezésre tekintettel az egyes követelések tekintetében a referencia-adatszolgáltató személyében bekövetkező változás átvezetése is szükséges a KHR nyilvántartásban. Ekkor derült ki, hogy bár kötelező lenne, a referencia-adatok nem szerepelnek a KHR nyilvántartásban. A jogelőd ezt a problémát – a Kérelmezett jelzésére – észlelve, valamennyi érintett ügyfél számára levelet küldött, tájékoztatást adva arra vonatkozóan, hogy a szükséges adatok a BISZ Zrt. részére átadásra kerülnek, így pótolja a mulasztást, kivéve, ha az adott ügyfél a tartozását megfizeti a Kérelmezett részére. A Kérelmező a Kérelmezetthez küldött levelében az elévülésre nem hivatkozott. A Kérelmezett ezzel összefüggésben megjegyzi, hogy a KHR törvényben nem szerepel az elévülés szó. A jelen követelés elévülésére – az alapjául szolgáló szerződés keltére tekintettel - a Polgári törvénykönyvről szóló 1959. IV. törvény (régi Ptk.) rendelkezéseit kell alkalmazni. A régi Ptk. 325. § (1) bekezdés alapján az elévült követelést bírósági úton nem lehet érvényesíteni, de a követelés nem szűnik meg. A Kérelmező tartozása tehát esetleges elévülés esetén is fennmarad, melyről a Kérelmezett KHR törvény szerinti referenciaadatot köteles szolgáltatni. A Kérelmezett azt is kifejtette, hogy a követelését addig nem tartja elévültnek, amíg ennek ellenkezőjét bíróság nem állapítja meg. Egy követelés kizárólag akkor tekinthető elévültnek, ha azt a bíróság jogerős ítéletével megállapította. Jelen esetben erre nem került sor. Elévülés vizsgálatára a BISZ Zrt.-nek sincs jogosultsága.

III. Alkalmazandó jogszabályi előírások

Az általános adatvédelmi rendelet 2. cikk (1) bekezdése szerint a rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak az adatoknak a nem automatizált kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.

Az általános adatvédelmi rendelet (47) preambulumbekezdése alapján, ha az adatkezelés jogalapja a jogos érdek, akkor előzetesen érdekmérlegelést kell elvégezni, melynek keretében többek között meg kell határozni a jogos érdeket, az érintettre gyakorolt hatást, továbbá azt, hogy az adatkezelés szükséges, illetve arányos-e, valamint mérlegelni kell, hogy a jogos érdek vagy pedig az érintetti jog-e a magasabb rendű.

Az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja alapján a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon. („célhoz kötöttség”).

Az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pont alapján a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”).

Az általános adatvédelmi rendelet 5. cikk (2) bekezdés alapján az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).

Az általános adatvédelmi rendelet 6. cikk (1) bekezdés alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

[…]

c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; […]

Az általános adatvédelmi rendelet 12. cikk (1) – (4) bekezdései alapján: (1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát.

(2) Az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani.

(3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri.

(4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. Az általános adatvédelmi rendelet 17. cikk (1) bekezdés d) pontja alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha a személyes adatokat jogellenesen kezelték.

Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b), c) és i) pont alapján a felügyeleti hatóság korrekciós hatáskörében eljárva:

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. A GDPR 17. cikk (3) bekezdés az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges: a) a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából; b) a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából; c) a 9. cikk (2) bekezdése h) és i) pontjának, valamint a 9. cikk (3) bekezdésének megfelelően a népegészségügy területét érintő közérdek alapján; d) a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben az (1) bekezdésben említett jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez. Az általános adatvédelmi rendelet 83. cikk (1) bekezdés alapján valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek.

Az általános adatvédelmi rendelet 83. cikk (2) bekezdés alapján a közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;

b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;

d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke;

g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;

i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban - ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés;

j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség.

Az általános adatvédelmi rendelet 18. cikk (2) bekezdés alapján ha az adatkezelés az (1) bekezdés alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni.

Az általános adatvédelmi rendelet 83. cikk (5) bekezdés alapján az alábbi rendelkezések megsértését - a (2) bekezdéssel összhangban - legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelés elvei - ideértve a hozzájárulás feltételeit - az 5., 6., 7. és 9. cikknek megfelelően;

b) az érintettek jogai a 12-22. cikknek megfelelően. Az Infotv. 2. § (2) bekezdés alapján személyes adatoknak az általános adatvédelmi rendelet hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet a III-V. és a VI/A. Fejezetben, valamint a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N.

§-ban, az 51/A. § (1) bekezdésében, az 52-54. §-ban, az 55. § (1)-(2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, a 62-71. §-ban, a 72. §-ban, a 75. § (1)-(5) bekezdésében, a 75/A. §-ban és az 1. mellékletben meghatározott kiegészítésekkel kell alkalmazni.

Az Infotv. 61. § (6) bekezdés alapján a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

Az Infotv. 75/A. § alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

A Polgári Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.) 6:193. §-a szerint: (1) A jogosult a kötelezettel szembeni követelését másra ruházhatja át. (2) A követelés átruházással való megszerzéséhez az átruházásra irányuló szerződés vagy más jogcím és a követelés engedményezése szükséges. Az engedményezés az engedményező és az engedményes szerződése, amellyel az engedményes az engedményező helyébe lép. (3) Az engedményezéssel az engedményesre szállnak át a követelést biztosító zálogjogból és kezességből eredő jogok, valamint a kamatkövetelés is. A Ptk. 6:196. §-a értelmében az engedményező köteles az engedményest a követelés érvényesítéséhez szükséges tájékoztatással ellátni, és köteles a birtokában lévő, a követelés fennállását bizonyító okiratokat az engedményesnek átadni. Khrtv. 1. § alapján központi hitelinformációs rendszerben (a továbbiakban: KHR) nyilvántartott adatok kezelésének célja a hitelképesség megalapozottabb megítélése, valamint a felelős hitelezés feltételei teljesítésének és a hitelezési kockázat csökkentésének előmozdítása az adósok és a referenciaadat-szolgáltatók biztonságának érdekében. A Khtv. 2. § (1) bekezdés f) pontja szerint a referenciaadat-szolgáltató:

1. a pénzügyi szolgáltatások legalább egyikét végző pénzügyi intézmény, pénzforgalmi intézmény, elektronikuspénz-kibocsátó intézmény, biztosító, közraktár. Khrtv. 5. § (2) bekezdés alapján a referenciaadat-szolgáltató a pénzügyi szolgáltatásra vonatkozó szerződés, a befektetési hitel nyújtására vonatkozó szerződés, valamint az értékpapírkölcsönzésre vonatkozó szerződés, továbbá a jogszabályban meghatározott hallgatói hitelszerződés (a továbbiakban együtt: az adatszolgáltatás tárgyát képező szerződés) megkötését követően írásban átadja a KHR részére A Khrtv. 5. § (5) bekezdése szerint a KHR-t kezelő pénzügyi vállalkozás a KHR-be történő adattovábbítás céljából kizárólag a referenciaadat-szolgáltató által átadott referenciaadatot veheti át, és a KHR-ből kizárólag az általa kezelt referenciaadatot adhatja át a referenciaadatszolgáltatónak. Az adatkérési igényben megjelölt nyilvántartott személyre vonatkozó referenciaadaton kívül a KHR-ből a referenciaadat-szolgáltató részére egyéb adat nem adható át. A KHR-ből a Diákhitel Központ Zrt. részére - a 15. § (8) bekezdésében foglaltakon kívül referenciaadat nem adható át. A Khrtv. 5. § (6) bekezdése szerint a KHR adatkezelése automatizált módon történik. A referenciaadat-szolgáltatók által megküldött, az azonos természetes személyekre vonatkozó referenciaadatok a KHR-ben a referenciaadat-szolgáltató általi adatátvétel céljából összekapcsolhatók.

A Khrtv. 6. § (3) bekezdése szerint az e törvényben foglalt feltételek fennállása esetén a referenciaadat-szolgáltató - az ügyfélvédelmi szabályok figyelembevételével - öt munkanapon belül köteles az általa kezelt referenciaadatokat a KHR-t kezelő pénzügyi vállalkozás részére írásban átadni. A határidő számításának kezdete a) az 5. § (2) bekezdésében meghatározott szerződések megkötésének időpontja, b) a 11. § (1) bekezdésében és a 14. § és 14/B. §-ban meghatározott időtartam letelte, A Khrtv. 7. § (1) bekezdése szerint a 11. és 14. §-ban foglalt rendelkezések alkalmazása során a lejárt és meg nem fizetett tartozás összegének és időtartamának számítását abban az esetben is folyamatosan kell végezni, ha az adatszolgáltatás tárgyát képező szerződésből eredő követelés egy másik referenciaadat-szolgáltató részére átruházásra kerül. A Khrtv. 8. § (1) bekezdése szerint a KHR-t kezelő pénzügyi vállalkozás - a (3)-(4) bekezdésben, valamint a 9. §-ban foglalt kivétellel - a referenciaadatokat a (2) bekezdésben meghatározott időponttól számított öt évig kezeli. Az öt év letelte után, illetve a 9. § szerinti további adatkezeléshez való hozzájárulás visszavonása esetén a KHR-t kezelő pénzügyi vállalkozás a referenciaadatokat véglegesen és vissza nem állítható módon törli. A Khrtv. 8. § (2) bekezdése szerint az (1) bekezdésben meghatározott határidő számításának kezdete:

a) a 11. § szerinti esetben, ha a tartozás nem szűnt meg, a 11. § (1) bekezdés szerinti adatátadás időpontjától számított ötödik év vége. Khrtv. 9. § (1) bekezdés alapján a KHR-t kezelő pénzügyi vállalkozás az 5. § (2) bekezdés a) pontja szerint kapott adatokat a szerződéses jogviszony megszűnését követően - a (2) bekezdésben foglalt kivétellel - egy munkanapon belül véglegesen és vissza nem állítható módon törli.

Khrtv. 11. § (1) bekezdés alapján a referenciaadat-szolgáltató a KHR-t kezelő pénzügyi vállalkozás részére írásban átadja annak a természetes személynek a melléklet II. fejezetének 1.1-1.2 pontja szerinti referenciaadatait, aki az adatszolgáltatás tárgyát képező szerződésben vállalt fizetési kötelezettségének oly módon nem tesz eleget, hogy a lejárt és meg nem fizetett tartozásának összege meghaladja a késedelembe esés időpontjában érvényes legkisebb összegű havi minimálbért és ezen minimálbérösszeget meghaladó késedelem folyamatosan, több mint kilencven napon keresztül fennállt. Khrtv. II. számú melléklet: II. A központi hitelinformációs rendszerben az ügyfelekről nyilvántartható adatok 1. Természetes személyekkel kapcsolatban nyilvántartható adatok: 1.1. Azonosító adatok: a) név, b) születési név, c) születési idő, hely, d) anyja születési neve, e) személyi igazolvány (útlevél) szám vagy egyéb, a személyazonosság igazolására a polgárok személyi adatainak és lakcímének nyilvántartásáról szóló 1992. évi LXVI. törvény szerint alkalmas igazolvány száma, f) lakcím, g) levelezési cím, h) elektronikus levelezési cím.

1.2. Az adatszolgáltatás tárgyát képező szerződés adatai: a) a szerződés típusa és azonosítója (száma), b) a szerződés megkötésének, lejáratának, megszűnésének időpontja, c) ügyféli minőség (adós, adóstárs), d) a szerződés összege és devizaneme, valamint a törlesztés módja és gyakorisága, e) a 11. § (1) bekezdésében meghatározott feltételek bekövetkezésének időpontja, f) a 11. § (1) bekezdésében meghatározott feltételek bekövetkezésekor fennálló lejárt és meg nem fizetett tartozás összege, g) a lejárt és meg nem fizetett tartozás megszűnésének módja és időpontja, h) a követelés másik referenciaadat-szolgáltató részére történő átruházására, perre utaló megjegyzés, i) előtörlesztés ténye, ideje, az előtörlesztett összeg és a fennálló tőketartozás összege, pénzneme, j) fennálló tőketartozás összege és pénzneme, k) a szerződéses összeg törlesztő részletének összege és devizaneme. Khrtv. 22. § (2)-(3) bekezdés: (2) A referenciaadat-szolgáltató az e törvény hatálybalépésétől számított száznyolcvan napon belül átadja a KHR-t kezelő pénzügyi vállalkozás részére a fennálló szerződéseinek természetes személy ügyfeleire vonatkozó, a melléklet II. fejezet 1.1-1.2 pontja szerinti referenciaadatokat. A KHR-t kezelő pénzügyi vállalkozás az e bekezdés alapján kapott adatokat a 9. §-ban meghatározott időpontig kezeli. (3) A (2) bekezdés nem érinti a referenciaadat szolgáltatók azon kötelezettségét, hogy a 11-14/B. § szerinti referenciaadatokat a KHR-t kezelő pénzügyi vállalkozás részére a törvény hatálybalépésétől átadja. A hitelintézetekről és a pénzügyi vállalkozásokról szóló 1996. évi CXII. törvény (a továbbiakban: régi Hpt.) – 2009. I.9.- 2009.V.2. között hatályos időállapot – 130/A. § (9) bekezdés alapján a referenciaadat-szolgáltató haladéktalanul köteles az általa kezelt referenciaadatokat a KHR-t kezelő pénzügyi vállalkozás részére átadni. A referenciaadat-szolgáltató adatátadási kötelezettsége a már átadott referenciaadatok módosulása esetén is fennáll, ha azokról tudomása van. Régi Hpt. 130/C. § (1) bekezdés alapján a referenciaadat-szolgáltató a KHR-t kezelő pénzügyi vállalkozás részére átadja annak a természetes személynek a 3. számú melléklet II. fejezetének 1.1-1.2 pontja szerinti referenciaadatait, aki a 3. § (1) bekezdésének b)-c) és e)-f) pontjában foglalt pénzügyi szolgáltatásra vonatkozó szerződésben, valamint a külön jogszabályban meghatározott hallgatói hitelszerződésben vállalt fizetési kötelezettségének oly módon nem tesz eleget, hogy a lejárt és meg nem fizetett tartozásának összege meghaladja a késedelembe esés időpontjában érvényes legkisebb összegű havi minimálbért és ezen minimálbérösszeget meghaladó késedelem folyamatosan, több mint kilencven napon keresztül fennállt. Régi Hpt. 130/I. § (1) bekezdés és (2) bekezdés a) pont: (1) A KHR-t kezelő pénzügyi vállalkozás - a (3)-(4) bekezdésben foglalt kivétellel - a referenciaadatokat a (2) bekezdésben meghatározott időponttól számított öt évig kezeli. Az öt év letelte után a KHR-t kezelő pénzügyi vállalkozás a referenciaadatokat véglegesen és vissza nem állítható módon törli. (2) Az (1) bekezdésben meghatározott határidő számításának kezdete: a) a késedelmes tartozás megszűnésének időpontja a 130/C. § szerinti esetben. Ákr. 27. § (3) bekezdés alapján a hatóság az eljárása során annak lefolytatásához jogszabályban meghatározott módon és körben - kezeli azokat a védett adatokat, amelyek eljárásával összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. Az általános adatvédelmi rendelet 77. cikk (1) bekezdése szerint minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti az általános adatvédelmi rendeletet. Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Ugyanezen § (2a) bekezdése szerint az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít. Az Infotv. 60. § (2) bekezdése szerint az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében meghatározott esetben nyújtható be. Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az Infotv-ben meghatározott eltérésekkel.

IV. A Hatóság döntése

IV.1. Követelés elévülésének kérdése

A Kérelmező állítása szerint a Kérelmezett által a Kérelmezővel szemben behajtani kívánt követelés már elévült, a Kérelmezett azonban ezt vitatta, és arra hivatkozott, hogy a Ptk. 6:23. § (4) bekezdés alapján az elévülést a bírósági vagy hatósági eljárásban nem lehet hivatalból figyelembe venni. Jelen eljárásban a Hatóság a Kérelmezett adatkezelése vonatkozásában a követelés elévülését nem vizsgálta, mert ennek megítélése az Infotv. 38. § (2)-(2a) bekezdései alapján nem tartozik a Hatóság hatáskörébe. Ezen kérdés eldöntése bírósági hatáskörbe tartozik. A Kérelmezett olyan követelést tart nyilván a Kérelmezővel szemben, mellyel kapcsolatban a Kérelmező nem csatolt be olyan bírósági döntést, mely megállapítaná, hogy az nem áll fenn, tehát a Kérelmezett által nyilvántartott követelésre tekintettel az adatkezelésre vonatkozóan a jogos érdek fennállhat.

IV.2.A Kérelmező személyes adatai, adatkezelés, Kérelmezett adatkezelői minősége

IV.2.1. A Kérelmező KHR-ban tárolt személyes adatai Az általános adatvédelmi rendelet 4. cikk 1. pontja szerint a Kérelmező Kérelmezett felé fennálló tartozásával kapcsolatban a KHR-ben tárolt adatok – ideértve mind a szerződéses alapadatokat, mind a mulasztási adatokat – a Kérelmező személyes adatának minősülnek, amely adatoknak a KHR-t kezelő pénzügyi vállalkozás részére történő átadása az általános adatvédelmi rendelet 4. cikk 2. pontja szerinti adatkezelésnek minősül. A fentiek miatt a jelen esetben is az általános adatvédelmi rendelet rendelkezései alkalmazandóak, amelyeket az abban foglaltak szerint megengedett nemzeti szabályozással együtt kell értelmezni. Ugyanúgy, ahogy az adott adatkezelésekre vonatkozó valamennyi hazai jogszabályi rendelkezést, jelen esetben a Khrtv. kapcsolódó rendelkezéseit is az általános adatvédelmi rendelettel összhangban, annak szabályait nem lerontva szükséges értelmezni. A KHR-ban tárolt adatok két külön csoportot képeznek:

mulasztási adatok és szerződéses alapadatok és statikus törlesztési adatok.

IV.2.2. A Kérelmezett, mint adatkezelő A Khrtv. 2. § (1) bekezdés f) pont 1. alpontja alapján a Kérelmezett referenciaadat-szolgáltatónak minősül. A Khrtv. 5. § (6) bekezdés alapján a KHR adatkezelése automatizált módon történik, tehát amennyiben az átadott referenciaadat tekintetében módosítás szükséges, abban az esetben a módosult adatokat a referenciaadat-szolgáltatónak kell átadnia a KHR-t kezelő pénzügyi intézménynek (BISZ Zrt.), mely azt automatikusan átveszi. Bár a KHR-ben nyilvántartott személyes adatok kapcsán a BISZ Zrt. és a Kérelmezett is végez bizonyos adatkezelési tevékenységet, azonban ezek a KHR-ben elérhető adatok eltérő adatkezelési műveleteit érintik. A Khrtv. 5. § (5) bekezdése alapján a KHR-be az adatok továbbítása, töröltetése, illetőleg azok jogszerűsége és pontossága kapcsán a Kérelmezett a felelős személy, így a Kérelmező által kifogásolt adatkezelés vonatkozásában a Kérelmezett tekintendő adatkezelőnek.

IV.3. KHR-ben kezelt adatok törlése

A Kérelmező a Kérelmezettnek írt 2021.03.02. napi érintetti kérelmében csak a mulasztási adatok törlését kérte. IV.3.1. A Kérelmezőnek az adatok törlésére vonatkozó kérelme megítéléséhez azt kellett a Hatóságnak megvizsgálnia, hogy az adatok kezelése megfelelő céllal és az általános adatvédelmi rendelet szerinti valamely jogalap alapján történik-e. Az általános adatvédelmi rendelet 17. cikk (1) bekezdés d) pont alapján az érintett kérésére az adatkezelő indokolatlan késedelem nélkül törli a rá vonatkozó személyes adatot, ha a személyes adatokat jogellenesen kezelték. Az általános adatvédelmi rendelet 17. cikk (3) bekezdés felsorolja azokat az eseteket, amikor az általános adatvédelmi rendelet 17. cikk (1) bekezdése nem alkalmazható. Ezen esetek közül az egyik, az általános adatvédelmi rendelet 17. cikk (3) bekezdés b) pontja szerinti eset az, amikor a személyes adat kezelését jogszabály írja elő. IV.3.2. Mulasztási adatok Az engedményezés alapján a Khr. tv. 7. § (3) bekezdés értelmében a Kérelmezett átvevő referenciaadat-szolgáltatónak minősül a Kérelmező felé fennálló követelés tekintetében. Ez a lejárt és meg nem fizetett tartozás összegének és időtartamának számítását nem szakítja meg, tehát folyamatosan kell az adatok tárolásával kapcsolatos számítást végezni a Khr. tv. 7. § (1) bekezdés alapján. Amennyiben az adós fizetési késedelembe esik, úgy a Khrtv. 11. § (1) bekezdésében foglalt feltételek fennállása esetén kerülhet sor a mulasztási adatok KHR-be való továbbítására, azaz ennek eredményeként kerülhet az adós az ún. negatív listára. A Khrtv. 8. § (1) és (2) bekezdése határozza meg, hogy a mulasztási adatok mennyi ideig kezelhetők a KHR-ben. Eszerint a referenciaadatokat főszabályként a 8. § (2) bekezdésben meghatározott időponttól számított öt évig lehet a KHR-ben kezelni. Az öt év letelte után a BISZ Zrt. – a referenciaadat-szolgáltató kezdeményezésére – a referenciaadatokat véglegesen és vissza nem állítható módon törli. Ha azonban a tartozás nem szűnt meg, az adatátadás időpontjától számított ötödik év végétől kell számítani a KHR-ben történő adatkezelés 5 éves időtartamát, ami tehát összességében ebben az esetben azt jelenti, hogy a referenciaadat-szolgáltató általi átadástól számított 10 éves időtartamig lehet a KHR-ben kezelni a természetes személyekre vonatkozó, meg nem fizetett tartozásra vonatkozó referenciaadatokat, amennyiben a tartozás nem szűnt meg időközben. A Hatóság részéről – korábbi, a jelen üggyel hasonló tárgyú NAIH-4833/2021. számon indult ügyében - jogértelmezési kérdésként merült fel az, hogy abban az esetben, ha az adatok megküldését az eredetileg kötelezett személy helyett csak az engedményes (jelen esetben a Kérelmezett jelzése alapján az engedményező felszámolója) teljesíti, akkor mely időponttól szükséges számítani a Khrtv. 8. § (1)-(2) bekezdésében jelzett határidőket, tekintettel arra, hogy a KHR-ben való adatkezelés időtartamát a Khrtv. az adatátadás napjától rendeli számítani. A NAIH-4833/2021. számú ügyben a Hatóság megkeresésére a Magyar Nemzeti Bank (a továbbiakban: MNB) úgy nyilatkozott, hogy az ügyfélvédelmi szabályok érvényesülése érdekében a határidőt azzal a felvetéssel szükséges számítani, hogy az adatok a Khrtv. 6. § (3) bekezdése szerinti határidőben átadásra kerültek, azaz az adatkezelés időtartama nem hosszabbodhat meg egy referenciaadat-szolgáltató mulasztása miatt. A Kérelmező […]-val kötött, […] KHR azonosító számú szerződésének felmondásakor – 2009. március 18. napján – a KHR-be való adattovábbítást előíró Khrtv. még nem volt hatályos, az 2011. szeptember 26-án került kihirdetésre, és a 21. §-a szerint a kihirdetését követő 15. napon, 2011. október 11-én lépett hatályba. A Khrtv. hatálybalépését megelőzően is létezett már központi hitelinformációs rendszer, melynek szabályait a régi Hpt. tartalmazta. A régi Hpt. 130/C. §-a szerint a természetes személyek személyes adatai csak abban az esetben kerültek továbbításra a KHR-be, ha mulasztásba estek, és a tartozás összege elérte a késedelembe esés időpontjában érvényes legkisebb havi minimálbért, és ez a késedelem folyamatosan, több mint kilencven napon keresztül fennállt. A régi Hpt. 130/A. (9) bekezdése szerint a referenciaadat-szolgáltató haladéktalanul köteles volt az általa kezelt referenciaadatot a KHR-t kezelő pénzügyi vállalkozás részére átadni. A régi Hpt. fenti rendelkezéseiből kifolyólag a Kérelmező […] KHR azonosító számú szerződésével kapcsolatos mulasztási adatokat a […]-nek legkésőbb a szerződés felmondásakor – haladéktalanul – továbbítania kellett volna a régi Hpt. szerinti KHR-be. A Khrtv. 22. § (3) bekezdése úgy rendelkezik, hogy a referenciaadat-szolgáltatók a Khrtv. hatálya alá tartozó szerződések mulasztási adatait a törvény hatálybalépésétől kötelesek átadni. Azaz a Kérelmező – jelen ügy tárgyát képező – szerződése kapcsán 2011. október 11-én állt be a követelés akkori jogosultjának adatátadási kötelezettsége. A Khrtv. 22. § (6) bekezdése továbbá azt is rögzítette, hogy a Khtv. hatálybalépésekor a régi Hpt. szerinti KHR-ben kezelt, az e törvény alapján a KHRben nyilvántartandó adatokat a KHR-ben kell kezelni.

A Hatóság álláspontja az, hogy azon mulasztási adatoknak a KHR-ben történő kezelésének időtartamára, amelyek már a Khrtv. hatálybalépésekor is szerepeltek a régi Hpt. szerinti KHRben, a Khrtv. rendelkezéseit kell alkalmazni, mivel 2011. október 11-ével a régi Hpt. KHR-re vonatkozó rendelkezései hatályukat vesztették, másrészt a természetes személyek szerződéseivel kapcsolatos mulasztási adatokra vonatkozó adatmegőrzési idő a Khrtv. szabályai szerint az érintettekre nézve kedvezőbb, mint a régi Hpt.-ben. Tekintettel a fentiekre, a Khrtv. 8. § (2) bekezdés a) pontja szerinti határidő kezdetének napja figyelemmel a régi Hpt. 130/A. § (9) bekezdésére – legkésőbb a Kérelmező és a […] közötti szerződés felmondásának napja, azaz 2009. március 18-a volt annak ellenére, hogy a Kérelmezett kérésére a […] felszámolását végző felszámoló ténylegesen csak 2019.03.08. napján továbbította a BISZ Zrt.-nek a szerződéssel kapcsolatos adatokat, így a mulasztási adatokat is. Ebből kifolyólag 2019. március 18. napjáig szerepelhettek volna a KHR-ben a Kérelmező […] KHR azonosító számú szerződésével kapcsolatban fennálló mulasztás adatai, azaz ezzel a nappal a személyes adatok kezelésére vonatkozó jogi kötelezettség megszűnt. Ebből kifolyólag a Kérelmezett 2019. március 19. napjától jogellenesen, jogalap nélkül szerepelteti ezeket a személyes adatokat a KHR-ben, mivel a mulasztási adatok KHR-ben való feltüntetésére, kezelésére vonatkozó jogi kötelezettsége 2019. március 18. napján megszűnt, és további jogalap alkalmazása a KHR-ben való adatkezelés kapcsán nem lehetséges. Emiatt a Hatóság megállapította, hogy a Kérelmezett megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését. Továbbá tekintettel arra, hogy a Kérelmezettnek a Kérelmező […] KHR azonosító számú szerződése vonatkozásában a KHR-ban szereplő mulasztási adatokkal kapcsolatban törlési kötelezettsége áll fenn, ezért a Kérelmezettnek a Kérelmező érintetti kérelmét teljesítenie kellett volna, ennek elmulasztása miatt a Kérelmezett a GDPR 17. cikk (1) bekezdés d) pontját megsértette.

IV.3.3. Szerződéses alapadatok és statikus adatok A Khrtv. szabályai nem egyértelműek a tekintetben, hogy a Khrtv. 8. § (1) és (2) bekezdés a) pontja által meghatározott adatkezelési időtartam elteltével a referenciaadat-szolgáltatónak kizárólag a mulasztásra vonatkozó adatokat vagy a szerződésre vonatkozó valamennyi adatot törölnie kell-e. A Khrtv. 8. § (2) bekezdés a) pontja kizárólag a mulasztási adatokra vonatkozóan határozza meg az adatkezelés időtartamát, mivel úgy fogalmaz, hogy a „11. § szerinti esetben”, azaz ez a rendelkezés a további szerződéses adatok vonatkozásában nem irányadó. Ebből kifolyólag a szerződéses alapadatok – ideértve az adós természetes személyazonosító adatait és lakcím adatait is – és a statikus törlesztési adatok törlésére a Khrtv. 9. § (1) bekezdése alkalmazandó, mely úgy rendelkezik, hogy az 5. § (2) bekezdés a) pontja szerint átadott adatok a szerződéses jogviszony megszűnését követően törlendők. Azaz a mulasztási adatok a 8. § (1) és (2) bekezdés a) pontja alapján azoknak a KHR-be való továbbításától számított tíz évig kezelhetők a KHR-ben, míg a szerződéses alapadatok csak akkor törölhetők, ha a felek között a szerződéses jogviszony megszűnt. Ebből kifolyólag – figyelemmel a Magyar Nemzeti Bank által a Hatóságnak hasonló tárgyú – NAIH-4833/2021. számú ügyben - ügyben adott állásfoglalásában foglaltakra is – a Hatóság megállapítja, hogy a Kérelmezett a Kérelmezővel szemben fennálló követelése miatt követelése miatt „negatív események” , tehát mulasztási adatok nélkül ezek az adatok a KHR-ben tovább kezelhetők, és kezelendők az általános adatvédelmi rendelet 6. cikk (1) bekezdés, valamint a Khrtv. 5. § (2) bekezdése és 9. § (1) bekezdése alapján. IV.3.4. A Kérelmező törlési kérelme Az előző pontokban leírtakra tekintettel a Hatóság a Kérelmező KHR-ben szereplő […] KHR azonosító számú szerződésével kapcsolatos mulasztási adatok törlésére irányuló kérelmének helyt adott. IV. 3.5. A Kérelmezett Kérelmező érintteti (törlési) kérelmére adott válasza

A Kérelmező 2021. március 2. napján érkezett törlési kérelmére a Kérelmezett 2021. március 10. napján kelt levelében küldött tájékoztatást a kérelem elutasításának indokairól, tehát a GDPR 12. cikk (3) bekezdésében előírt egy hónapos határidőn belül tájékoztatást nyújtott az érintetti kérelem elutasításáról.

A Hatóság a Kérelmezett azon álláspontját nem fogadja el, hogy a jogi képviselővel eljáró kérelmezők érintetti kérelmét másként kell elbírálni, mint a jogi képviselő nélküli kérelmezők érintetti kérelmét, tekintettel arra, hogy a GDPR ilyen rendelkezést nem tartalmaz. Emiatt – a GDPR 12. cikk (1) bekezdés rendelkezése alapján - a Kérelmezett érintetti kérelem elutasítása esetén ugyanarról köteles tájékoztatni az érintetteket minden esetben. Továbbá a GDPR ilyen irányú rendelkezése hiánya miatt a törlési kérelem benyújtása esetén nem követelheti meg a Kérelmezett, hogy jogszabályi hivatkozás szerepeljen azzal összefüggésben, hogy a KHR törvény mely rendelkezésére alapján köteles a törlést végrehajtani, ugyanis a Kérelmezettnek törlési kérelem benyújtása esetén minden esetben jogszabályi hivatkozással kell - megindokolnia azt, hogy miért nem teljesíti a törlési kérelmet. Ez azt is jelenti, hogy a Kérelmezettnek igazolnia kell az adatkezelése jogalapját a GDPR 12. cikk (4) bekezdése alapján, mivel az érintettek számára csak így láthatók át az adatkezelési műveletek és azok körülményei. Enélkül az érintettek nem tudják mérlegelni a helyzetüket és jogi lehetőségeiket.

Tekintettel arra, hogy a Kérelmezett a Kérelmező törlési kérelmére küldött válaszában nem indokolta meg, hogy a kérelem teljesítését mely jogszabályi rendelkezésre hivatkozással tagadta meg, ezért a Hatóság megállapította, hogy megsértette a GDPR 12. cikk (4) bekezdését.

IV.4. Jogkövetkezmények

IV.4.1. A Hatóság a Kérelmező kérelmének helyt adott, és a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezettet, mert megsértette a GDPR 6. cikk (1) bekezdését, a GDPR 17. cikk (1) bekezdés d) pontját és a GDPR 12. cikk (4) bekezdését. IV.4.2. A Hatóság a Kérelmezettet a GDPR 58. cikk (2) bekezdés c) pont alapján utasítja, hogy a a Kérelmező jogalap nélkül kezelt mulasztási adatait a KHR-ből törölje. IV.4.3. A Hatóság hivatalból megvizsgálta, hogy a megállapított jogsértések miatt indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges, amelyet a Hatóság jogszabályon alapuló mérlegelési jogkörben eljárva határozott meg.

A Hatóság a bírság kiszabása során az alábbi tényezőket súlyosító tényezőként vette figyelembe:

1. A Kérelmezett által elkövetett jogsértések a GDPR 83. cikk (5) bekezdés a) és b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek, érintetti joggal és alapelvvel kapcsolatosak. 2. A jogsértés súlyos, mivel a Kérelmező érdekét jelentősen befolyásolta amiatt, hogy a jogellenesen nyilvántartott mulasztási adatok hátrányosan érinthetik a hitelképesség vizsgálatát, ezért nagy jelentősége lehet az érintett egzisztenciája szempontjából. A Hatóság álláspontja szerint az egyén pénzügyi lehetőségeit – akár csak potenciálisan korlátozó jogellenes adatkezelés kiemelkedő tárgyi súllyal bír. (GDPR 83. cikk (2) bekezdés a) pont) 3. A jogellenes adatkezelés hosszú időn keresztül, 2019. március 19. napjától áll fenn. (GDPR 83. cikk (2) bekezdés a) pont)

4. A jogalap nélküli adatkezelés által okozott jogsérelmet a Kérelmezett súlyosan gondatlan magatartása idézte elő, mely a KHR törvény rendelkezéseinek nem megfelelő értelmezéséből adódott. A gondatlanság súlyosságát alátámasztja, hogy a Kérelmező törlési kérelme, majd az adatvédelmi hatósági eljárás megindítására vonatkozó kérelme sem ösztönözte arra, hogy az adatkezelésének jogszerűségét felülvizsgálja. (GDPR 83. cikk (2) bekezdés b) pont)

A Hatóság a bírság kiszabása során az alábbi tényezőket enyhítő tényezőként vette figyelembe:

1. A Hatóság korábban a Kérelmezettet a GDPR rendelkezéseinek megsértése miatt még nem marasztalta el. (GDPR 83. cikk (2) bekezdés e) pont) 2. Nem merült fel információ, hogy a Kérelmezőnek ténylegesen kára keletkezett volna. (GDPR 83. cikk (2) bekezdés c) pont)

3. A feltárt jogsértés kizárólag a Kérelmezőt érinti, de ez a kérelmes eljárás sajátossága. (GDPR 83. cikk (2) bekezdés a) pont)

A Hatóság által figyelembe vett egyéb szempontok:

1. A Kérelmező által törölni kért személyes adatok pénzügyi adatok és nem minősülnek különleges személyes adatoknak. (GDPR 83. cikk (2) bekezdés g) pont) 2. A Hatóság figyelembe vett továbbá, hogy a Kérelmezett 2020. évi beszámolója alapján az adózás előtti eredménye […] Ft volt. A kiszabott adatvédelmi bírság nem lépi túl a kiszabható bírság maximumát. (GDPR 83. cikk (5) bekezdés a) pont) A bírságkiszabással a Hatóság speciális prevenciós célja az, hogy ösztönözze a Kérelmezettet arra, hogy vizsgálja felül az adatkezelési gyakorlatát és a jövőben biztosítva legyen a személyes adatok védelméhez való jog érvényesülése. A Kérelmezett által elkövetett jogsértések a GDPR 83. cikk (5) bekezdés a) és b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek. A jogsértések jellege alapján a kiszabható bírság felső határa a GDPR 83. cikk (5) bekezdés b) pont alapján 20 000 000 EUR, illetve az előző pénzügyi év teljes világpiaci forgalmának legfeljebb 4%-a. A Hatóság a bírság kiszabása tekintetében a GDPR 83. cikk (2) bekezdésének a következő rendelkezéseit nem vette figyelembe, mert a tárgyi ügyben nem voltak relevánsak: d), f), h), i), j), k) pontok. A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

V. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az egész ország területére kiterjed.

Az Ákr. 112. §-a, és a 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal és a végzéssel szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9.§ (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának helyét és idejét a Kp. 39. § (1) bekezdése határozza meg. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr.

133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. kelt: Budapest, az elektronikus aláírás szerint

Dr. Péterfalvi Attila elnök távollétében:

Dr. Szabó Endre Győző elnökhelyettes