Орган по защите данных Венгрии (NAIH): нарушение права на удаление, незаконная обработка персональных данных и принципов целевого ограничения, минимизации и прозрачности

Ügyiratszám: NAIH/2019/4424/15. Tárgy: kérelmet elutasító, hivatalból jogsértést és bírságfizetési kötelezettséget megállapító határozat

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt […] és […] kérelmező (a továbbiakban együtt: Kérelmezők) kérelmére a […]-vel (a továbbiakban: Kérelmezett) és a […] -vel (a továbbiakban: Kötelezett) szemben hivatalból indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza. I.A Hatóság a Kérelmezők Kérelmezettel szemben előterjesztett kérelmét elutasítja. I.1. A Hatóság hivatalból megállapítja, hogy a Kötelezett nem tett eleget a Kérelmezők személyes adataik törléséhez való érintetti joguk gyakorlására irányult kérelmének, és a Kérelmezettel jogalap nélküli kezeli a Kérelmezők telefonszám adatait, továbbá a telefonszám adatoknak az adatkezelési hozzájárulás visszavonását követő kezelésével a célhoz kötöttség és az adattakarékosság elvét is megsértette. I.2. A Hatóság hivatalból utasítja a Kötelezettet, hogy teljesítse a Kérelmezőknek a […] és a […] mobiltelefonszámok törlésére irányult kérelmét, és ezeket az adatokat valamennyi nyilvántartásából törölje. Az adattörlés tényét, valamint azt, hogy a törlésről a Kérelmezőket is értesítette, igazolja a Hatóságnak. I.3. A Hatóság hivatalból megállapítja, hogy a Kötelezett megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pont szerinti átlátható adatkezelés elvét.

Az I.2. pontban előírt intézkedések megtételét a Kötelezettnek a határozat véglegessé válásától számított 15 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt igazolnia a Hatóság felé. II. A Hatóság a Kötelezettet az általa végzett jogellenes adatkezelés miatt hivatalból

1.500.000 Ft, azaz egymillió-ötszázezer forint adatvédelmi bírság megfizetésére kötelezi.

A hatósági eljárás során eljárási költség nem merült fel, ezért annak viseléséről nem rendelkezett a Hatóság.

Az adatvédelmi bírságot a bírósági felülvizsgálat kezdeményezésére irányadó keresetindítási határidő lejártát, illetve felülvizsgálat kezdeményezése esetén a bíróság döntését követő 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000

0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2019/4424. BÍRS. számra kell hivatkozni.

Ha a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását.

A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtania elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. A Hatóság felhívja a Kötelezett figyelmét, hogy a határozat megtámadására nyitva álló keresetindítási határidő lejáratáig, illetve közigazgatási per esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

I N D O K O L Á S

I. Az eljárás menete és a tényállás tisztázása

A Kérelmezők 2019. május 21. napján postai úton együttesen előterjesztett kérelmet nyújtottak be, melyben kérték a Kérelmezett adatkezelésének kivizsgálását.

A Kérelmezők erre irányuló kérelmére az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján adatvédelmi hatósági eljárás indult.

A Kérelmezők a Hatóságnál előterjesztett kérelmükben kifogásolták, hogy a Kérelmezett nem válaszolt az érintetti kérelmükre és a törlési kötelezettségének sem tett eleget. A Kérelmezők kérték, hogy a Hatóság állapítsa meg a jogellenes adatkezelés tényét, és utasítsa a Kérelmezettet a Kérelmezők törlési kérelmének teljesítésére.

A kérelemhez a Kérelmezők mellékelték a Kérelmezettnek írt 2018.10.01. napján kelt levelük másolatát, melyben a hozzájárulásuk alapján kezelt telefonszám adataik törlésére irányuló érintetti kérelmet terjesztettek elő, melynek teljesítését a Kérelmezett megtagadta, mivel továbbra is hívásokat kezdeményezett a törölni kért telefonszámokra. A kérelem teljesítésének megtagadásáról a Kérelmezők a Hatósághoz 2019. május 21. napján érkezett nyilatkozatuk szerint tájékoztatást nem kaptak.

A Hatóság a Kérelmezettet a NAIH/2019/4424/4. számú végzésében hívta fel nyilatkozattételre a tényállás tisztázása érdekében hivatkozással az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 63. § -ra. A Kérelmezett a Hatóság felhívásának határidőben eleget tett és a 2019. április 10. napján kelt levelében megküldte a nyilatkozatát (a továbbiakban: Kérelmezett nyilatkozata), valamint az ahhoz csatolt iratmásolatokat.

A Kérelmezők a Kérelmezetthez nyújtották be a törlésre irányuló kérelmüket, de csak a Kötelezettől kaptak levelet a telefonszámaik kezelésével kapcsolatban. A Kérelmezők nyilatkozatából a Hatóság azt állapította meg, hogy az ügyükben a Kérelmezett a Kötelezett nevében jár el, ebből kifolyólag az ügy a Kötelezett jogát, jogos érdekét közvetlenül érinti, ezért a Hatóság az Ákr. 10. § (1) bekezdésére tekintettel ügyféli jogállást biztosított a Kötelezett számára.

A Kötelezett által csatolt iratmásolatokból megállapítható, hogy a Kötelezett Kérelmező I.-vel szemben fennállt követelése engedményezett követelés, az engedményezés 2012. augusztus 3. napján történt, továbbá a Kötelezett 00467065_00120123 hivatkozási számú fizetési felszólításának másolata alapján a Kérelmező II.-vel szemben is próbálták érvényesíteni a követelésüket a Kérelmező I. és Kérelmező II. házassági életközösségére hivatkozással, illetve ezért mindkettejük adatait nyilvántartják. A Kötelezett a Hatóság felhívására adott nyilatkozatához csatolta a közte és a Kérelmezett között 2019. január 02. napján létrejött „Közös Adatkezelői Szerződést” (a továbbiakban: Közös Adatkezelői Szerződés), mely a kérelemmel érintett ügyben kifogásolt adatkezelés időszakában még nem létezett, de a Kötelezett és a Kérelmezett nyilatkozata szerint az a kérelemmel érintett időszakban követett gyakorlatukat követi.

A Kötelezett és Kérelmezett a Közös Adatkezelői Szerződésben hivatkoztak az egymással 2010. január 03. napján kötött függő ügynöki behajtási tevékenységre kötött megbízási szerződésre, és arra, hogy a 2012. július 16. napja óta a Kérelmezett a Kötelezett a hitelintézetekről és pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény szerinti kiemelt közvetítője. A Közös Adatkezelői Szerződés 2.1. pontja szerint: „A […] a közös adatkezelői szerződést a […] által elfogadott adatvédelmi szabályzat, érdekmérlegelési teszt, adatkezelési tájékoztató) szerint végzi.” A Közös Adatkezelői Szerződés 2.2.3. pontja szerint: „Az adatkezelés jogalapját az érdekmérlegelés jogalapja jelenti [GDPR 6. cikk (1) bekezdés f) pont és a GDPR 9. cikk (2) bekezdés f) pont]. A […] a jogalap alkalmazásához szükséges érdekmérlegelési tesztet elvégezte.” A Közös Adatkezelői Szerződés 2.3.4. pontja szerint: „A […] hozzáférést kap a […] által üzemeltetett, az ügyfelek személyes adatait kezelő informatikai rendszerhez. A […] a Megbízási Szerződés megszűnéséig vagy megszüntetéséig biztosít hozzáférést az informatikai rendszerhez.” A Közös Adatkezelői Szerződés 2.4.1. pontja alapján: „Az adatkezelés célja, hogy az adós vonatkozásában rendelkezésre álljanak azon személyes adatok, amelyek a követeléskezelési eljáráshoz, illetve – ennek eredménytelensége esetén – a jogi eljárások megindításához szükségesek.” A Közös Adatkezelői Szerződés 6.1-4. pontjai szerint: „[..] a […] feladata a GDPR 13-14. cikke szerinti előzetes tájékoztatási kötelezettséggel összefüggésben az adatkezelési tájékoztató elkészítése, illetve annak a […] honlapján történő nyilvánosságra hozatala.[…] a […] feladata a GDPR 15-21. cikke szerinti érintetti joggyakorlás esetén a kérelmek megválaszolása, teljesítése. […] Abban az esetben, ha a […] közvetlenül az érintettől kap érintetti joggyakorlással kapcsolatos megkereséseket, a […] ezen megkereséseket köteles haladéktalanul továbbítani a […]-nak. A […] az érintettnek kizárólag a […] írásos hozzájárulása esetén adhat választ a megkeresésre.” A Kötelezett és a Kérelmezett nyilatkozata szerint a nyilvántartásuk alapján csak (2012. augusztus 15. napjától) a […] és (2014. április 2. napjától) a […] telefonszámokat kezelik. Kérelmező I. ezeken a telefonszámokon kezdeményezett telefonhívást a Kötelezett és a Kérelmezett felé, és ezeket az elérhetőségeket adta meg kapcsolattartás céljára és mivel visszahívást kért, ezért a Kötelezett és a Kérelmezett álláspontja szerint hozzájárult ezen személyes adatai tárolásához. A Kötelezett nyilatkozatával elismerte, hogy a Kérelmezett továbbította hozzá a Kérelmezők 2018. október 10. napján kelt érintetti kérelmét a közöttük fennálló adatkezelési gyakorlat alapján, mely gyakorlatot a később 2019. január 2. napján megkötött Közös Adatkezelői Szerződés is rögzített. A Kötelezett és a Kérelmezett egybehangzó nyilatkozata szerint a Kérelmezők telefonszám adatai törlésére vonatkozó kérelmét a Kötelezett az általános adatvédelmi rendelet szerinti határidőben megválaszolta, melynek igazolására becsatolták a Kérelmezőkkel folytatott levelezés másolatát. A Kérelmezetthez küldött érintetti kérelemre a Kötelezett által a Kérelmezőnek küldött válaszleve (a továbbiakban: válaszlevél) az arra vonatkozó tájékoztatást is tartalmazta, hogy a Kötelezett és a Kérelmezett is adatkezelőnek minősülnek, továbbá: „A személyes adatok (név, lakcím, születési hely, idő, anyja neve, telefonos elérhetőség, követeléskezelés során Önnel szemben alkalmazott intézkedések eseménytörténeti bejegyzései, hangfelvételek, pénzügyi adatok) kezelésének célja az érvényesíteni kívánt követelés vonatkozásában az Ön személyének azonosítása, nyilvántartása, más személyektől való megkülönböztetése a követeléskezelési eljárás, panaszkezelés, illetve a követelés érvényesítése érdekében indított jogi (peres és peren kívüli) eljárás során egyaránt, továbbá számviteli kötelezettségek teljesítése.” A válaszlevél szerint az adatkezelés jogalapja egyrészt az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja alapján a Kötelezett jogos érdeke, másrészt az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) és c) pontja alapján a jogszerű engedményezés. A Kötelezett és a Kérelmezett a nyilatkozatukhoz csatolták a Kötelezett által elvégzett, de a Közös Adatkezelői Szerződés alapján a Kérelmezettre is vonatkozó érdekmérlegelést.

A Hatóság felhívására a Kérelmezett és a Kötelezett is arról nyilatkozott, hogy a Kérelmezett nem rendelkezik döntési jogosultsággal arra vonatkozóan, hogy a közösen használt, de a Kötelezett által üzemeltetett úgynevezett […] követeléskezelő rendszerből adatokat töröljön. A Kötelezett nyilatkozata szerint az adatvédelmi tisztviselője az eset összes körülményeinek vizsgálata után dönt az adattörlési kérelemről, és erről, továbbá a kérelem elutasítása esetén az elutasítás indokairól, továbbá a jogorvoslati lehetőségekről értesíti az érintettet. A Hatóság a felhívásában azzal kapcsolatban is felvilágosítást kért a Kötelezettől és a Kérelmezettől, hogy ha Kérelmező nem a Kötelezettnek küldte az érintetti kérelmét, hanem a Kérelmezettnek, akit a korábbi nyilatkozatukban adatkezelőként neveztek meg, akkor miért kezdődött azzal a mondattal a Kérelmező kérelmére küldött válaszlevél, hogy „a […] adatvédelmi tisztviselőjeként, a nevezett cég részére megküldött írásbeli megkeresésben foglaltakkal kapcsolatban – az általános európai adatvédelmi rendelet, továbbiakban GDPR 12. cikkének (3) bekezdésében írt egy hónapos határidőn belül – az alábbiakról tájékoztatom.” A fentiekkel kapcsolatban további kérdést is feltett a Hatóság Kötelezettnek, miszerint hogyan biztosították az átlátható tájékoztatás követelményét a Kérelmezőnek küldött válaszlevelükben, ha levelet a Kötelezett úgy válaszolta meg a saját nevében, hogy az érintett nem is a Kötelezettnek, hanem a Kérelmezettnek küldte azt. A Kötelezett erre a kérdésre adott válasza alapján megítélésük szerint egyértelmű volt a Kérelmező számára, hogy konkrétan milyen és kihez intézett levélre kapott választ, mivel az adatkezelői szerződés hivatkozott pontja alapján valamennyi panaszlevelet a Kötelezett adatvédelmi tisztviselője válaszolja meg, így vélhetően adminisztrációs okból történhetett az, hogy a levél bevezető szövegében a Kötelezettre és nem a Kérelmezettre tettek utalást. A Kötelezett továbbá előadta azt is, hogy a Kérelmezők levelének tartalmából egyértelműen kiderül – a hitelszám feltüntetése alapján -, hogy tisztában voltak a „követelés mibenlétével (jogosult személye, jogosult által kezelt adatok köre)”, továbbá a Hatósághoz küldött levelükben is az adattörlés hiányát sérelmezték. A Kötelezett azt is kiemelte, hogy a kommunikáció folyamatos a Kérelmezőkkel, mivel egy kilenc éve kezelt követelésről van szó, ezért is ismerniük kellett az adatkezelési körülményeket. Kötelezett álláspontja szerint az alábbiakkal tett eleget az átláthatóság követelményének:

válaszlevél egyértelműen azonosította az ügyet, mely vonatkozásában a Kérelmezők panaszt tettek, a válaszlevél postai kézbesítése révén könnyen hozzáférhető volt a Kérelmezők részére, megfogalmazása megítélésük szerint közérthető, világos és egyszerű volt, az adatkezelők kilétéről és az adatkezelés céljáról egyértelmű tájékoztatást kaptak a Kérelmezők, valamennyi, a Kötelezett által küldött levélben feltüntetésre kerül, hogy a Kérelmezett a kötelezett MNB által jóváhagyott kiemelt közvetítője, erről a Kérelmezők panaszát követően küldött egyenlegértesítőben és tájékoztatást küldtek, a válaszlevélhez mellékelt rövidített adatkezelési tájékoztatóban és a jogorvoslati jogról szóló tájékoztatásban.

II. Az ügyben alkalmazandó jogszabályok

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: általános adatvédelmi rendelet) 2. cikk (1) bekezdése szerint a rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak az adatoknak a nem automatizált kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

Az általános adatvédelmi rendelet (47) preambulumbekezdése alapján, ha az adatkezelés jogalapja a jogos érdek, akkor előzetesen érdekmérlegelést kell elvégezni, melynek keretében többek között meg kell határozni a jogos érdeket, az érintettre gyakorolt hatást, továbbá azt, hogy az adatkezelés szükséges, illetve arányos-e, valamint mérlegelni kell, hogy a jogos érdek vagy pedig az érintetti jog-e a magasabb rendű.

Az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja alapján a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon. („célhoz kötöttség”).

Az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pont alapján a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”).

Az általános adatvédelmi rendelet 5. cikk (2) bekezdés alapján az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).

Az általános adatvédelmi rendelet 6. cikk (1) bekezdés alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő

… f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.

Az általános adatvédelmi rendelet 13. cikk (3) bekezdése alapján, ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról.

Az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontja alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja értelmében az adatkezelés jogalapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja.

Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b), c) és i) pont alapján a felügyeleti hatóság korrekciós hatáskörében eljárva:

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét;

i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett.

Az általános adatvédelmi rendelet 17. cikk (3) bekezdés alapján az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:

... e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez. Az általános adatvédelmi rendelet 83. cikk (1) bekezdés alapján valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek.

Az általános adatvédelmi rendelet 83. cikk (2) bekezdés alapján a közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;

b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;

d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések;

f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke;

g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;

i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban - ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés;

j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség.

Az általános adatvédelmi rendelet 18. cikk (2) bekezdés alapján, ha az adatkezelés az (1) bekezdés alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni.

Az általános adatvédelmi rendelet 83. cikk (5) bekezdés alapján az alábbi rendelkezések megsértését - a (2) bekezdéssel összhangban - legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelés elvei - ideértve a hozzájárulás feltételeit - az 5., 6., 7. és 9. cikknek megfelelően;

b) az érintettek jogai a 12-22. cikknek megfelelően. Az Infotv. 2. § (2) bekezdés alapján személyes adatoknak az (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet a III-V. és a VI/A. Fejezetben, valamint a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §-ban, az 55. § (1)-(2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, a 62-71. §-ban, a 72. §-ban, a 75. § (1)-(5) bekezdésében, a 75/A. §-ban és az 1. mellékletben meghatározott kiegészítésekkel kell alkalmazni.

Az Infotv. 61. § (6) bekezdés alapján a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

III. Hatóság döntése

III.1. A Kérelmezők adattörlési kérelme

A Kötelezettnek és a Kérelmezettnek nincs törvényi felhatalmazása a Kérelmezők telefonszám adatainak kezelésére. A Kérelmezők telefonszám adatai kezelésének jogalapja a Kötelezett és a Kérelmezett számára a Kérelmezők 2012.augusztus 15. és a 2014. április 02. napján adott hozzájárulása volt, ezt a Kötelezett és a Kérelmezett is elismerte. Az információs önrendelkezési jog természetéből adódóan az érintetteknek joguk van ahhoz, hogy a hozzájárulásukkal kezelt adatok törlését kérjék. A Kérelmezők 2018.10.10. napján kelt levelükben az kérték, hogy a Kérelmezett a nyilvántartott telefonszámaikat törölje, tehát a telefonszámaik kezeléséhez adott hozzájárulásaikat visszavonták. III.2. Kérelmezett döntési jogosultsága a telefonszámadat kezelése tekintetében A Kötelezett és a Kérelmezett Hatósághoz küldött nyilatkozataik szerint közös adatkezelési tevékenységet folytattak a Kérelmezők által kifogásolt adatkezelés tekintetében. A kérelemmel érintett ügyben a kifogásolt adatkezelés időszakában, tehát a Kérelmezők által benyújtott érintetti kérelem alapján hozott adatkezelői döntés időpontjában a Hatósághoz másolatban továbbított „Közös Adatkezelői Szerződés” még nem létezett, mivel az 2019. január 02. napján kelt. Ennek ellenére a Kötelezett és a Kérelmezett nyilatkozata szerint a szerződés a létrejötte előtti adatkezelési gyakorlatukat tükrözi. A szerződés 6.4. pontja szerint a Kérelmezettnek kötelessége a Kötelezett részére továbbítani az érintetti kérelmeket, csak a Kötelezett írásos hozzájárulása esetén adhat választ a megkeresésre. Az általános adatvédelemi rendelet 26. cikk (3) bekezdés alapján a közös adatkezelői szerződésre vonatkozó megállapodás feltételeitől függetlenül mindegyik adatkezelő vonatkozásában és mindegyik adatkezelővel szemben gyakorolhatja az általános adatvédelmi rendelet szerinti jogait. A Kérelmezett és a Kötelezett nyilatkozatai egyértelműen azt a tényt támasztják alá, hogy Kérelmezők kérelméről nem közösen döntöttek. A Kérelmezett nem rendelkezik jogosultsággal arra vonatkozóan, hogy a közösen használt úgynevezett […] követeléskezelő rendszerből adatokat töröljön, az adattörlésre irányuló érintetti kérelmekről döntsön, illetve a döntéshozatalban részt vegyen. Mindezek alapján az általános adatvédelmi rendelet 4. cikk 7. pontja szerinti fogalommeghatározás alapján a Kötelezett és a Kérelmezett nem minősülnek együttes/párhuzamos - adatkezelőnek, hanem a Kérelmezett adatfeldolgozó. A Hatóság nem állapított meg olyan, a Kérelmezett által adatfeldolgozóként elkövetett jogsértést, mely az általános adatvédelmi rendeletbe ütközne.

A fentiek miatt a Hatóság elutasította a Kérelmezők arra vonatkozó kérelmét, hogy állapítsa meg a Kérelmezett jogellenes adatkezelését és utasítsa a törlési kérelem teljesítésére. III.3.A Kérelmezők érintetti kérelmére küldött válaszlevél és az átláthatóság elve A Kötelezett a Kérelmezetthez érkezett érintetti kérelmet megválaszolta, mely alapján a Kérelmezők telefonszám törlési kérelmét elutasító, 2018. november 08. napján kelt válaszlevelében a Kérelmezőkkel közölte, hogy az általános adatvédelmi rendelet 17. cikk (3) bekezdés e) pontjára hivatkozással nem teljesíti a törlési kérelmet, mivel a személyes adatok kezelése jogi igények előterjesztése, érvényesítése, illetve védelme érdekében szükséges, továbbá a Kötelezett az általános adatvédelmi rendelet 12. cikk (4) bekezdésének megfelelően a törlés iránti kérelem elutasítása elleni bírósági jogorvoslat, továbbá a Hatósághoz fordulás lehetőségéről is adott tájékoztatást.

A Kötelezett nyilatkozata szerint a Kérelmezettel folytatott közös adatkezelés keretében válaszolta meg a Kérelmezetthez érkezett kérelmet. Azonban a válaszlevélben a továbbiakban nem található arra vonatkozó utalás, hogy a Kötelezett a Kérelmezetthez küldött érintetti kérelemre válaszol. A Kérelmezők számára a levélben nem szerepelt semmiféle információ arra nézve, hogy a Kötelezettnek a Kérelmezett továbbította a Kérelmezők érintetti kérelmét. Emiatt a Kérelmezők azt feltételezték, hogy nem kaptak választ a Kérelmezetthez címzett érintetti kérelmükre. A Hatóság álláspontja szerint nem fogadható el a Kötelezett azzal kapcsolatos érvelése, hogy az átlátható tájékoztatás követelményének eleget tettek, mivel adatkezelés szempontjából nem az releváns, hogy a Kérelmezők tisztában voltak-e a követelés mibenlétével (jogosult személye, jogosult által kezelt adatok köre), hanem az, hogy a jogosult megbízottjaként eljáró szervezet telefonszámadatokkal kapcsolatos tevékenységét átlátták-e. A Kérelmezők beadványából és az érintetti kérelmükből is egyértelműen megállapítható, hogy nem voltak tisztában azzal, hogy ki dönt az érintetti kérelmükről. A Kötelezettől kapott válasz még átláthatatlanabbá tette az adatkezelést számukra azzal, hogy a Kötelezett által hivatkozott adminisztrációs hiba miatt nem tüntették fel azt, hogy a kapott válasz a Kérelmezetthez küldött levélre vonatkozik és emiatt a Kérelmezett külön levelet nem küld, mivel ő dönt a kérelmük ügyében. Azzal, hogy a Kérelmezettet, mint adatkezelőt megemlítette a Kötelezett az általa általános tájékoztatóként hivatkozott részben, még átláthatatlanabbá tette a válaszlevelet, mivel amennyiben a Kérelmezett valóban adatkezelő lenne, akkor az adatkezelőre vonatkozó az általános adatvédelmi rendelet 4. cikk 7. pontban írt meghatározásnak megfelelően a Kérelmezők kérelméről önállóan vagy a Kötelezettel dönthetett volna. A Kötelezett azon érvelése sem fogadható el, hogy az átláthatóság követelményének azzal is eleget tett, hogy a Kérelmezőknek küldött leveleken mindig szerepelt és szerepel az, hogy a Kérelmezett a Kötelezett MNB által jóváhagyott közvetítője, mivel ebből nem vonhatnak le következtetéseket a Kérelmezők a Kérelmezett adatkezelői vagy adatfeldolgozói minőségére vonatkozóan. A Kötelezett arra vonatkozó hivatkozása sem helyén való, hogy a válasz tartalmát nem befolyásolta volna az, hogy a Kötelezett vagy a Kérelmezett írja alá, mivel nem az aláíró személye kifogásolható a jelen esetben, hanem az, hogy nem kaptak tájékoztatást arról a Kérelmezők, hogy a válaszlevél a Kérelmezetthez benyújtott kérelemre küldött válasz. Ezen a tényen az sem változtat, hogy a Kötelezett véleménye szerint a Kérelmezőknek tisztában kellett volna lenniük az adatkezelés körülményeivel, tekintettel arra, hogy szerintük „folyamatos volt a kommunikáció” a Kérelmezőkkel a több mint kilenc éve kezelt követelés miatt, mivel az átláthatóságnak az adatkezelés teljes folyamata során érvényesülnie kell. Az átláthatóság követelménye alapján az érintett számára transzperensnek kell lennie, hogy mely személyes adatait, mely adatkezelők, hogyan kezelik, illetve jelen esetben a törlési kérelmét mely cég utasította el, illetve a Kötelezett döntése miatt nem csak a Kötelezett, hanem a Kérelmezett is tovább kezeli a személyes adatát, mivel az adat a Kötelezett nyilvántartásában szerepel, melyhez a Kérelmezettnek hozzáférést biztosít. Tekintettel arra, hogy a Kérelmezők számára a Kötelezett nem nyújtott megfelelő előzetes tájékoztatást a törlési kérelmek elbírálására jogosult adatkezelő kilétéről és a válaszleveléből sem derült ki a Kérelmezők számára az, hogy a Kötelezett válaszlevele a Kérelmezetthez benyújtott érintetti kérelem nyomán hozott adatkezelői intézkedés, a Hatóság megállapította, hogy a Kötelezett megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átlátható adatkezelés elvét.

III.4. A Kérelmező telefonszám adatai kezelésének jogalapja a hozzájárulás visszavonását követően III.4.1. A hozzájáruláson alapuló adatkezelés esetében figyelemmel kell lenni az általános adatvédelmi rendelet 5. cikk 11. pontjára, mely szerint a hozzájárulás egyik fogalmi eleme az önkéntesség, a saját elhatározáson alapuló döntés. Ez az információs önrendelkezési jog azt jelenti, hogy - jogszabályban elrendelt adatkezelések kivételével - személyes adataival mindenki maga rendelkezik, mindenki maga határoz arról, hogy személyes adatait másnak megadja-e, vagy sem, így nem csak a hozzájárulás megadásáról, hanem annak indokolási kötelezettség nélküli visszavonásáról is dönthet. Az általános adatvédelmi rendelet 17. cikk (1) bekezdésének b) pontja alapján a személyes adatokat a hozzájárulás visszavonását követően törölni kell, ha az adatkezelésnek nincs más jogalapja. A Kötelezett az elutasító döntésében a hozzájárulás visszavonását követő adatkezelésének jogalapjaként egyrészt az általános adatvédelmi rendelet 6. cikk (1) bekezdésének f) pontjára hivatkozott, továbbá közölte, hogy az adatkezelés jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükséges, másrészt hivatkozott az általános adatvédelmi rendelet 6. cikk (1) bekezdésének b) és c) pontjára

Az általános adatvédelmi rendelet 17. cikk (3) bekezdésének e) pontja alapján a személyes adatok további megőrzése, kezelése az érintett adattörlési kérelme ellenére jogszerűnek tekinthető az esetben, ha arra jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükség van.

III.4.2. Általános adatvédelmi rendelet 6. cikk (1) bekezdés b) és c) pont szerinti jogalap

III.4.2.1. A Kötelezett adatkezelése nem jogi kötelezettségen alapul, mivel a faktoring tevékenység végzése és az ebből eredő követelésbehajtás nem jogi kötelezettség, hanem a jogosult döntése alapján történik, ezért nem fogadható el a telefonszámadatok kezelésének jogalapjaként az általános adatvédelmi rendelet 6. cikk (1) bekezdés c) pontjára történő hivatkozása.

III.4.2.2. A Hatóság álláspontja szerint az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti jogalap – a szerződéskötést megelőző egyes lépések kivételével – csak akkor alkalmazható, ha az a szerződés teljesítéséhez szükséges, tehát nem lehet kiterjeszteni ezt a jogalapot olyan adatkezelésekre, amelyekre a szerződés érintett általi nemteljesítése miatt előidézett helyzet orvoslása érdekében a szerződő felek rendes együttműködési kötelezettségből fakadó lépéseken túlmutató cselekmények megtételéhez van szükség. A szerződés teljesítése körébe eshetnek még azok a lépések, amikor az adatkezelő, aki a szerződést megkötötte az érintettel tehát aki a szerződésben a másik fél – teljesítési késedelem esetén felszólítja az érintettet a teljesítésre. Azonban az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti szerződéses jogalap már nem vonatkoztatható arra az esetre, ha az engedményes az elmaradt teljesítés miatt az érintettel szembeni követelése végrehajtása érdekében végrehajtási eljárást kezdeményez.

A Polgári Törvénykönyvről szóló 2013. évi V. törvény indokolása szerint a követelések átruházására a tulajdonjog átruházásával azonos logika alapján kerül sor, tehát az engedményezés tulajdonképpen nem más, mint a követelés tulajdonjogának átruházása. Az engedményezéssel a követelés elválik az eredeti jogviszonytól, amelyből az származik, és az engedményes kizárólag a követelés és nem pedig az alapjogviszony vonatkozásában lép az engedményező helyébe. Azáltal, hogy az engedményezéssel a követelés elválik az alapjogviszonytól és az engedményes a követelés jogosultjává válik, a követelés engedményes általi érvényesítése, illetve az ahhoz kapcsolódó adatkezelés, többé már nem azon szerződés teljesítése érdekében történik, amelyből a követelés eredetileg származott, mivel ebben az esetben az engedményesnek nem a saját, hanem az engedményező javára kellene érvényesíteni az engedményezés útján megszerzett követelést. Az engedményezéssel, amennyiben az ellenérték fejében történik, az engedményező kötelezettel szembeni követelése a vételár függvényében teljesen vagy részben megtérül. Az engedményező az ügyféllel szemben fennálló követelésének eladása érdekében más harmadik felet, például követeléskezeléssel foglalkozó céget keres meg, és az ennek érdekében végzett adattovábbítás az engedményező jogos érdekét, nem pedig az alapul fekvő szerződés teljesítését szolgálja, mivel a követelés az engedményezéssel függetlenné válik a szerződéstől.

A fentiek miatt a Kötelezett által hivatkozott általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja sem fogadható el a Kérelmezők telefonszámadata kezelésének jogalapjaként.

III.4.3. A jogos érdek jogalap fennállásának igazolása, érdekmérlegelés

A jogos érdek jogalap fennállását érdekmérlegeléssel kell igazolni az általános adatvédelmi rendelet (47) preambulumbekezdése alapján. A Kötelezett a nyilatkozatához csatolta az általa elvégzett érdekmérlegelést (a továbbiakban: érdekmérlegelés), mely a dokumentum szerint 2018. augusztus 30. napján kelt. Az érdekmérlegelése alapján a Kötelezett megállapította, hogy „társaságunk fentiekben ismertetett jogos érdekei felülmúlják az érintett jogos érdekeit.“ Az adatkezelést a Kérelmezett is a Kötelezett érdekmérlegelése alapján végzi. A Kérelmezők magánéletének védelméhez való joga főszabály szerint megelőzi a Kötelezett gazdasági érdekét. Ezzel szemben a Kötelezett túlértékelte a saját üzleti érdekeit a Kérelmezők magánszférájának védelméhez való jogával szemben. Tekintettel arra, hogy a törölni kért adatok kezelését a Kötelezett számára jogszabály nem írja elő, továbbá megfelelő érdekmérlegelés hiányában a telefonszám adatok az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja alapján nem kezelhetők. A Kötelezett azzal, hogy a Kérelmezők kérelmének nem tett eleget, megsértette az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontját, mert nem biztosította a Kérelmezők törléshez való jogának érvényesülését. A Hatóság megállapította, hogy az érdekmérlegelés nem felel meg az általános adatvédelmi rendelet követelményeinek. A Hatóság a Kötelezett által készített érdekmérlegeléssel kapcsolatosan a saját üzleti érdek túlértékelése mellett az alábbi alapvető hiányosságokat emeli ki: III.4.4.1. Az érdekmérlegelés a kapcsolatfelvételt úgy említi mint az adatkezelő és az érintett közös érdeke, azonban ez a kijelentés azt nem támasztja alá, hogy ehhez feltételenül szükséges a telefonszámok kezelése, mivel a kapcsolatfelvétel írásban is megtörténhet, sőt sok esetben ez a kapcsolatfelvételi mód az ajánlott, tekintettel arra, hogy a telefonhívásokkal ellentétben a postai úton küldött levelek tekinthetők hivatalos értesítésnek a jogi eljárásokban, illetve az érdekmérlegelésben említett részletfizetési megállapodásokat is írásban kötik a felek. III.4.4.2. Az érdekmérlegelés ellentmondásos, mert a 7. oldalon hivatkozik arra, hogy „jogi érvényesítés fogalmába a 29-es Munkacsoport gyakorlata alapján beletartozik a követeléskezelési tevékenység is…”, ezzel ellentétben a 8. oldalon azt hangsúlyozza, hogy „követeléskezelési tevékenység egy önálló, a törvényben szabályozott jogi eljárásoktól független adatkezelés”, ami miatt az érdekmérlegelés szerint a kezelt személyes adatok köre eltérő lehet a követeléskezelési eljárásban és a jogi eljárásokban. Az érdekmérlegelés azonban nem fejti ki részletesen, hogy mi indokolja azt, hogy a követeléskezelés során az érintettek jogai nagyobb mértékben korlátozhatók mint a jogi eljárási szakaszba lépett ügyek adatkezelései esetén.

III.4.4.3. A Hatóság álláspontja szerint a telefonszám jogérvényesítéshez szükségessége indokolatlan, mert a Kérelmezők telefonszámának kezelése a követelés behajtásához és a Kérelmezőkkel történő kapcsolattartáshoz nem elengedhetetlenül szükséges, hiszen a Kötelezett a Kérelmezőkkel történő kapcsolattartásához a Kérelmezők lakcímadatát is kezeli. A hozzájárulás hiányában kezelt telefonszám nem szükséges a Kérelmezőkkel szembeni jogi igények érvényesítéséhez, mivel ahhoz az alábbi személyes adatok szükségesek:

- A polgári perrendtartásról szóló 2016. évi CXXX. törvény (a továbbiakban: Pp.) 7. § 3. pontja szerint azonosító adatok természetes személy esetén: lakóhely (lakóhely hiányában tartózkodási hely), kézbesítési cím (ha lakóhelytől vagy tartózkodási helytől eltér), születési hely és idő, anyja neve. A Pp. 170. § (1) bekezdés b) pontja szerint a keresetlevél bevezető részében fel kell tüntetni a felek nevét, perbeli állását, a felperes azonosító adatait, az alperes ismert azonosító adatait, legalább lakóhelyét. Ezt a felsorolást egészíti ki a polgári perben és a közigazgatási bírósági eljárásban alkalmazandó nyomtatványokról szóló 21/2017 (XII.22.) IM rendelet 1. mellékletének 1.4. pontja az alperes születési nevével. - A fizetési meghagyásos eljárásról szóló 2009. évi L. törvény 20. § (1) bekezdés a) pont alapján az adósok személyes adatai közül a fizetési meghagyásos eljárás megindításához szükség van a kötelezett nevére, a Pp. szerinti azonosító adataira, de legalább a lakóhelyére. - A bírósági végrehajtásról szóló 1994. évi LIII. törvény 11. § (2)-(3) bekezdései határozzák meg, hogy a végrehajtást kérő mely személyes adatokat köteles közölni a végrehajtási kérelem benyújtásakor. Ezen adatok a következők: adós neve, azonosításához szükséges adatok (születési hely, idő, anyja neve), az ügy körülményeitől függően az adós lakóhelye, munkahelye és a végrehajtás alá vonható vagyontárgyának helye, illetve ingatlanvégrehajtás esetén az ingatlan-nyilvántartási adatok. Ezen adatok birtokában a bírósági végrehajtó le tudja folytatni a végrehajtási eljárást.

A fentiek miatt megállapítható, hogy a Kötelezett az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontjának a rendelkezését, azaz az adattakarékosság elvét is megsértette, mivel az adatkezelés alapjául megjelölt célhoz nem szükséges a telefonszámadat kezelése.

III.4.4.4. A Hatóság álláspontja szerint téves az az állítás miszerint a telefonos kommunikáció egyértelműen alkalmas a hatékony és eredményes eljárás biztosítására, mivel ez csak abban az esetben igaz, ha az érintett is a telefonos kommunikációt részesíti előnyben, és emiatt együttműködő magatartást tanúsít a telefonos kapcsolatfelvételekor, tehát önkéntes hozzájárulását adja a telefonszámadata kezeléséhez. Az érintettel történő hatékony együttműködés érdekében az érintettnek lehetővé kell tenni, hogy választhassa az írásbeli kapcsolattartást is, ha nem kíván telefonhívásokat és SMS üzeneteket fogadni. A Hatóság álláspontja szerint az érdekmérlegelésben nincs olyan adatkezelői érdek, mely az érintett magánszférájának védelméhez fűződő jogával szemben elsődlegességet élvezne. Az érdekmérlegelés nem említ olyan adatkezelői érdeket, mely megelőzhetné az érintett magánszférájának védelméhez fűződő jogát, éppen ellenkezőleg, az érdekmérlegelés több helyen hangsúlyozza, hogy elsősorban az érintett érdeke miatt kezelik a telefonszámadatokat, ami nyilvánvalóan nem állja meg a helyét. Mivel a Kötelezett által meghatározott adatkezelési cél nem tekinthető megfelelőnek, elfogadhatónak, ezért emiatt a Kötelezett adatkezelése az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerinti rendelkezést, azaz a célhoz kötöttség elvét is megsértette.

A fentiekre hivatkozással a Hatóság megállapította, hogy a Kötelezett nem hivatkozhat a telefonszámok kezelése tekintetében az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontjára, mivel nem támasztotta alá azt, hogy a telefonszámok kezeléséhez fűződő jogos érdekei miért múlják felül az érintett jogos érdekeit. Így a hozzájárulás visszavonása után nincs az általános adatvédelmi rendelet 6. cikk (1) bekezdésben meghatározott más jogalapja ezen személyes adatok kezelésére, ezért az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontja alapján a telefonszámokat a Kötelezettnek törölnie kell. III.5 Jogkövetkezmények A Hatóság a Kérelmezők Kérelmezettel szemben előterjesztett kérelmét elutasítja és az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján hivatalból elmarasztalja a Kötelezettet, mert az adatkezelési tevékenysége megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) és b) és c) pontját, 17. cikk (1) bekezdését, illetve az általános adatvédelmi rendelet 58. cikk (2) bekezdés c) pont alapján utasítja a Kötelezettet, hogy a […] és a […] mobiltelefonszámok telefonszámokat, valamennyi nyilvántartásából törölje. A Kötelezett az adattörlés tényét, valamint azt, hogy a törlésről a Kérelmezőt is értesítette, igazolja a Hatóságnak. A Hatóság megvizsgálta, hogy indokolt-e a Kötelezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire, valamint arra, hogy a Kötelezett nem első alkalommal sértette meg az általános adatvédelmi rendelet rendelkezéseit (NAIH/2019/2114.), ezért a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértések esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, így bírság kiszabása szükséges A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kötelezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság a bírság kiszabása során az alábbi tényezőket vette figyelembe:

- A jogalap nélküli adatkezelés a Kérelmezők magánszféráját jelentősen érinti, mivel a Kérelmezők hozzájárulásának visszavonása után is rendszeresen telefonhívásokat kaptak, annak ellenére, hogy a Kérelmezők egyértelműen elutasították ezt a kapcsolattartási módot. (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont)

- A jogsértés súlyos, mert érintetti jog (törléshez való jog) gyakorlását érinti, továbbá a Kötelezett az adatkezelésével az általános adatvédelmi rendelet több cikkét is megsértette, köztük alapelvi jogsértést is megvalósított. (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont)

- A jogsérelmet a Kötelezett telefonszámok kezelésével kapcsolatos szándékos magatartása, adatkezelési gyakorlata idézte elő. (általános adatvédelmi rendelet 83. cikk (2) bekezdés b) pont)

- A Kötelezett elmarasztalására az általános adatvédelmi rendelet megsértése miatt már sor került a NAIH/2019/2114/7. sz.határozattal. A Kötelezett több jogsértést követett el, többek között az általános adatvédelmi rendelet 5. cikk (1) bekezdésének a) pontját sértette meg. Ezen jogsértése során a Kötelezett a jelen határozattól eltérően nem az érintetti kérelmek megválaszolásával kapcsolatos döntési jogosultsággal összefüggésben, hanem egyéb adatkezelési körülményekről nem tájékoztatta az érintettet megfelelően. Tehát a Kötelezett a hivatkozott NAIH/2019/2114/7. sz. ügyben tett megállapításokhoz hasonlóan a jelen ügyben is az általános adatvédelmi rendelet ugyanazon rendelkezését sértette meg, azaz nem tett eleget az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja rendelkezésének. Azonban az ugyanezen szabály sérelmét okozó magatartás, tevékenység eltér, ezért az ismétlődést a Hatóság figyelembe vette, de kifejezett súlyosbító körülményként nem értékelte. A Kötelezett a NAIH/2019/2114/7. sz. határozatban foglaltakat megfelelően teljesítette. (általános adatvédelmi rendelet 83. cikk (2) bekezdés e) és i) pont)

- A jogsértés jellege alapján – érintetti jogok sérelme – a kiszabható bírság felső határa az általános adatvédelmi rendelet 83. cikk (5) bekezdés b) pont alapján 20 000 000 EUR, illetve az előző pénzügyi év teljes világpiaci forgalmának legfeljebb 4%-a. (általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pont) - A Kötelezett 2018. évi eredménykimutatása alapján az adózás előtti eredménye 400 000 000 Ft volt. A kiszabott adatvédelmi bírság jelképes összegű és nem lépi túl a kiszabható bírság maximumát. (általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pont) A Hatóság a bírság kiszabása tekintetében az általános adatvédelmi rendelet 83. cikk (2) bekezdésének a következő rendelkezéseit nem vette figyelembe, mert a mérlegelése szerint a tárgyi ügyben nem voltak relevánsak: c) pont, d) pont, f) pont, h) pont és k) pont. A bírságkiszabással a Hatóság speciális prevenciós célja az, hogy ösztönözze a Kötelezettet arra, hogy vizsgálja felül a telefonszám adat kezelésével, továbbá az érintetti kérelmek megválaszolásával és kezelésével kapcsolatos adatkezelési gyakorlatát. A Hatóság a kiszabott bírságösszeg meghatározásakor a sepciális perevenciós cél mellett figyelemmel volt a bírsággal elérni kívánt generálpreventív célra is, mellyel - a Kötelezett újabb jogsértéstől való visszatartása mellett - valamennyi piaci szereplő adatkezelési gyakorlatának a jogszerűség irányába való mozdulását kívánja elérni. Ugyanis a jogos érdek fennállta, mint jogalap nem egy kötetlenül, bármely az adatkezelő érdekében álló esetre, esetkörre alkalmazható szabály, hanem a jogos érdekre történő hivatkozás precíz alátámasztása is szükséges. Hatóság mindenekelőtt figyelembe vette, hogy a Kötelezett által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) és b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek.

IV. Eljárási szabályok

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az egész ország területére kiterjed.

Az Ákr. 112. §-a, és a 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal és a végzéssel szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) - a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §-a alapján a törvényszék hatáskörébe tartozó perben jogi képviselet kötelező.

Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9.§ (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának helyét és idejét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1) - (2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettségek teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettségeket határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kötelezett a Hatóság végleges döntésében foglalt kötelezésének nem tesz eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. § -a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja.

Budapest, 2019. november 11.

Dr. Péterfalvi Attila elnök c. egyetemi tanár