Орган по защите данных Венгрии: незаконная обработка персональных данных, нарушение прав на доступ и исправление

Tárgy: kérelemnek részben helyt adó határozat, megszüntető végzés Ügyiratszám: NAIH/2020/4365. NAIH/2019/1516 NAIH/2018/6769/H A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt […] (a továbbiakban: Kérelmező) személyes adatai jogellenes kezelése, hozzáféréshez, helyesbítéshez és törléshez való jogának […] (a továbbiakban: I. r. kérelmezett) és […] (a továbbiakban: II. r. kérelmezett) (a továbbiakban együtt: Kérelmezettek) által történt megsértésének megállapítására irányult kérelmére indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza.

I.1.1. A Hatóság a határozatában a Kérelmező kérelmének az I. r. kérelmezett jogellenes adatkezelésének megállapítására vonatkozó részének részben helyt ad és I.1.2. megállapítja, hogy az I. r. kérelmezett adatkezelési tevékenysége megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: általános adatvédelmi rendelet) 5. cikk (1) bekezdés b) és c) pontját, 5. cikk (2) bekezdését, 15. cikk (1) és (3) bekezdését. I.1.3. utasítja az I. r. kérelmezettet a Kérelmező 2018. július 25-én írt érintetti kérelmének teljesítésére, az abban foglalt azon kérdésekkel kapcsolatos tájékoztatás nyújtására, melyeket a válaszlevelében nem válaszolt meg, és melyek utólag, a követeléskezeléssel kapcsolatos adatkezelés lezárta után – a hivatkozott további adatkezelési célok alapján – még rendelkezésre álló adatok alapján megválaszolhatók. I.1.4. Az. I. r. kérelmezettet az általa végzett jogellenes adatkezelés miatt a Hatóság hivatalból jelen határozat véglegessé válásától számított 30 napon belül

1.000. 000 Ft, azaz egymillió forint adatvédelmi bírság megfizetésére kötelezi.

I.2.1. A Hatóság a határozatában a kérelem a II.r. kérelmezettet jogellenes adatkezelésének megállapítására vonatkozó részének részben helyt ad és I.2.2. megállapítja, hogy a II. r. kérelmezett adatfeldolgozói minőségén túlterjeszkedve nyújtott nem megfelelő tájékoztatást a Kérelmezőnek, mellyel megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontját. I.2.3. A II.r. kérelmezettet az adatfeldolgozói minőségén túlterjeszkedve nyújtott nem megfelelő tájékoztatása miatt a Hatóság hivatalból jelen határozat véglegessé válástól számított 30 napon belül

500.000 Ft, azaz ötszázezer forint adatvédelmi bírság megfizetésére kötelezi. I.3. A kérelem arra irányuló részét, hogy a Hatóság állapítsa meg a helyesbítéshez való jog a Kérelmezettek általi megsértését, továbbá a jogalap nélküli adatkezelésüket egy jogerős bírósági döntésre hivatkozással olyan követelésekre vonatkozóan is, melyekről a bíróság az ítéletében nem döntött a Hatóság elutasítja.

II. A Hatóság a végzésével a hatósági eljárást a 2018. május 25. napját megelőző adatkezelések vizsgálata tekintetében megszünteti.

III. A Hatóság tekintettel arra, hogy túllépte az ügyintézési határidőt, 10.000 Ft-ot, azaz tízezer forintot a Kérelmezőnek – választása szerint – bankszámlára utalással vagy postai utalvánnyal megfizet.

Az I.1.3. pontban előírt intézkedések megtételét az I. r. kérelmezettnek az intézkedés megtételétől számított 15 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt igazolnia a Hatóság felé, így a Kérelmezőnek adott tájékoztatásnak (teljes terjedelemben) és az annak feladását igazoló postakönyvmásolatnak a Hatóság részére való megküldésével.

A bírságot a bírósági felülvizsgálat kezdeményezésére irányadó keresetindítási határidő lejártától számított 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2019/1516. BÍRS. számra kell hivatkozni.

Ha a Kérelmezettek a bírságfizetési kötelezettségüknek határidőben nem tesznek eleget, késedelmi pótlékot kötelesek fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását, a bírság és a késedelmi pótlék adók módjára történő behajtását. A bírság és a késedelemi pótlék adók módjára történő behajtását a Nemzeti Adó- és Vámhivatal végzi.

A Hatóság felhívja a Kérelmezettek figyelmét, hogy a határozat megtámadására nyitva álló keresetindítási határidő lejáratáig, illetve közigazgatási per esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

A Hatóság I. pontban foglalt határozatával, továbbá a II. és a III. pontban foglalt végzésével szemben közigazgatási úton jogorvoslatnak nincs helye, de azok a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadhatók. A veszélyhelyzet a keresetindítási határidő folyását nem érinti. A keresetlevelet a Hatósághoz kell benyújtania elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az eljárás menete és a tényállás tisztázása

A Kérelmező meghatalmazott útján a Hatósághoz 2018. november 8. napján benyújtott kérelmében személyes adatai követeléskezeléssel kapcsolatos jogellenes kezelése, hozzáférési joga, helyesbítéshez való joga megsértése, továbbá érintetti kérelmére kapott nem megfelelő tájékoztatás miatt adatvédelmi hatósági eljárás megindítását kezdeményezte a Kérelmezettekkel szemben. Az I. r. kérelmezett vállalkozások lejárat előtt vásárolt követeléseit szedi be a saját kockázatára, így járt el a Kérelmező ügyében is. A II. r. kérelmezett a Kérelmező személyes adatainak kezelése tekintetében az I. r. kérelmezett adatfeldolgozója. Az engedményezők, azaz a […] (a továbbiakban: Szolgáltatók) szerződéses ügyfele az […] ingatlanban (a továbbiakban: fogyasztási hely) tulajdoni hányaddal rendelkező személy (a továbbiakban: Fogyasztó) volt. A fogyasztási helyen a Kérelmező is tulajdoni hányaddal rendelkezett, azonban ott sohasem élt életvitelszerűen, azt a Fogyasztó és más személyek használták, és vették igénybe a Szolgáltatók szolgáltatásait. A Fogyasztó elhalálozása után a Szolgáltatók felé fennálló tartozások behajtását végző Kérelmezettek a Kérelmezőt szólították fel a hátralékok befizetésére. A Kérelmező több ízben panaszt tett emiatt a Kérelmezetteknél, érintetti jogát gyakorolva kért helyesbítést és tájékoztatást a követelések jogalapjával kapcsolatban, valamint kérte a követelések jogosságának igazolását. Ezzel kapcsolatban a Kérelmező egy 2018. július 25-én kelt érintetti kérelmet csatolt be, melyet az I. r. kérelmezettnek és a II.r. kérelmezettnek címzett. A becsatolt érintetti kérelemre az I.r. kérelmezett válasza röviden adott tájékoztatást általánosságban arról, hogy a behajtási eljárásának megalapozottságával, jogszerűségével kapcsolatos kifogások előterjesztésére, illetve orvoslására (az adatkezelési kérdéseken túlmenően) nem az általános adatvédelmi rendelet 12-20. cikkei szerinti eljárás keretében van lehetőség, hanem bírósági, hatósági eljárásban. Az I.r. kérelmezett a Kérelmezőt tájékoztatta továbbá arról, hogy adatkezelésével kapcsolatos, jelen tájékoztatáson túli részletszabályokat a belinkelt adatkezelési tájékoztatóban talál. A Kérelmező szerint az I.r. kérelmezett – 2018. augusztus 17-én küldött levelében, melyet másolatban a kérelméhez mellékelt - ellentmondásos tájékoztatást adott a személyes adatai kezelésének jogalapjával kapcsolatban, továbbá a követeléseket igazoló dokumentumokat a kérése ellenére sem bocsátotta a rendelkezésére. A Kérelmező a kérelmében hivatkozott a – 2018.06.28-án - személyesen benyújtott érintetti kérelmére, melyben kimutatást kért a követelésbehajtás dátumainak és összegeinek vonatkozásában, melyet az I.r. kérelmezett a rendelkezésére bocsátott 1 105 Ft adminisztratív díj kiszámlázásával egyidejűleg. A díjat a Kérelmező megfizette. A Kérelmező a Kérelmezettekkel folytatott eredménytelen levelezés és a jogtalanul követelt díjhátralék miatt eladta a fogyasztási hellyel kapcsolatos tulajdoni hányadát. A Kérelmező a tulajdoni hányada értékesítése után is kapott a fizetési kötelezettséggel kapcsolatos értesítést, melyben már az új tulajdonos szerepelt, mint adós, de téves cím volt feltüntetve a levélen. A Kérelmező által becsatolt - 2018. 07. 26. napján kelt – számlamásolaton […] lakóhelyeként […] volt feltüntetve, annak ellenére, hogy az nem […], hanem a Kérelmező lakcíme. A Kérelmező a kérelméhez mellékelte a Kérelmezettekkel és a Szolgáltatókkal folytatott levelezése, a panaszokkal kapcsolatos jegyzőkönyvek, a követeléssel kapcsolatos peres eljárásban, illetve a fogyasztási hellyel összefüggő hagyatéki eljárásban keletkezett iratok, továbbá a lakcímét és a tartózkodási helyét igazoló iratok, a nem hiteles tulajdoni lap, a fogyasztási hellyel kapcsolatos adásvételi szerződés másolatát.

A Kérelmező kérelmére az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján adatvédelmi hatósági eljárás indult.

A Hatóság az I.r. kérelmezettet nyilatkozattételre hívta fel tényállás tisztázása érdekében, melyre az I.r. kérelmezett határidőben megküldte a 2018. december 11-én kelt nyilatkozatát (a továbbiakban: 1. sz. nyilatkozat), és az azt alátámasztó iratok másolatát.

A Hatóság újabb nyilatkozattételre hívta fel az I.r. kérelmezettet, aki arra is határidőben – a 2018. február 19-én kelt levelében - válaszolt (a továbbiakban: 2. számú nyilatkozat). Az I.r. kérelmezett 1. számú nyilatkozata szerint a Kérelmező személyes adataira vonatkozó, a követelés érvényesítéshez kapcsolódó adatkezelése 2014.02.24-2018.07.12. között állt fenn. A követelés érvényesítéséhez kapcsolódó adatkezelés jogalapja az Infotv. 5. § (1) bekezdés b) pontja, majd az általános adatvédelmi rendelet 6. cikk (1) bekezdése volt. Az adatok forrásai: KEKKH, TAKARNET, NAV végrehajtáshoz kapcsolódó adatszolgáltatása volt. Az ügyfélkapcsolathoz kapcsolódó adatkezelés jogszabályi kötelezettség teljesítése céljából folyó adatkezelés. Az adatkezelés időtartama a levél megválaszolását követő 5 év. Az adatkezelés jogalapja az Infotv. 5. § (1) bekezdés b) pontja, majd az általános adatvédelmi rendelet 6. cikk (1) bekezdése, továbbá a fogyasztóvédelemről szóló 1997. évi CLV. törvény 17/A. § (1) bekezdése, az adatok forrása az érintett közlése. Adatvédelemmel kapcsolatos kérelem megválaszolásához kapcsolódóan az I.r. kérelmezett a kérelem megválaszolását követő 5 évig kezeli a személyes adatokat. Az adatkezelés célja jogszabályi kötelezettség teljesítése, jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdése, illetve 12-20. cikkei, az adatok forrása az érintett közlése. Jelen eljáráshoz kapcsolódó adatkezelés jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdése, időtartama az eljárás lezárását követő 5 év, az adatok forrása a Hatóság. A kezelt személyes adatok az I.r. kérelmezett 1. sz. nyilatkozata szerint a következők: név, anyja neve, lakcím, adóazonosító (a hulladékdíj adók módjára történő behajtásához szükséges), fizető azonosító (belső számlázási azonosító), a személyi igazolványszám, mely adatkezelés célja az évekkel ezelőtti, már felhagyott gyakorlat szerint az ügyfélazonosítás megtörténtének igazolása volt. Az I.r. kérelmezett az 1. sz. nyilatkozatában előadta, hogy 2018. 06. 28. napján bruttó 1.105 Ft-ot „Adatszolgáltatási díj-Kimutatás” szolgáltatásra hivatkozással kiszámláztak, melynek „célja hátralékegyeztetés volt, nem pedig a Kérelmezőnek a GDPR 15. cikk szerinti hozzáférési jogának gyakorlására irányult, [..]”

Az I.r. kérelmezett becsatolta a Kérelmező – 2018. július 25-én kelt - tájékoztatást kérő levelére – 2018. augusztus 17. napján - küldött válaszának másolatát, melyben követelés érvényesítési adatkezelési cél mellett jogos érdeket tüntetett fel jogalapként. A 2018. augusztus 17. napján küldött tájékoztatás mellékletét képező Excel táblázat szerint a követelések érvényesítéseként megjelölt adatkezelési céllal kezelt adatok a következők: név, lakcím, anyja neve, születési idő, születési hely, fizető azonosító és adóazonosító. A levélben tájékoztatták a Kérelmezőt arról is, hogy az I.r. kérelmezett adatkezelési tájékoztatója a […] linken érhető el. Az I.r. kérelmezett 1. számú nyilatkozatában előadta, hogy a Kérelmező általános adatvédelmi rendelet 15. cikk szerinti hozzáférési jogát nem korlátozták, mert álláspontja szerint „a bíróság/hatósági eljárásokban már elbírált, vagy folyamatban lévő kérdések tekintetében történő egyeztetés/ panasz/kifogásolás nem a GDPR 15. cikke szerinti eljárás keretében terjeszthető elő, az nem arra tartozik.” Az I.r. kérelmezett a Hatóság felhívására becsatolta a Kérelmező panaszkezelési dokumentációjának másolatát is, így többek között a 2018. 06.21. napján kelt P/18/023390/0006. és a 2018.07.03. napján kelt P/18/023390/0004. sorszámú panaszfelvétel jegyzőkönyvei másolatát, és az azokra küldött FAKT-86411/2-2018, FAKT-76895/2-2018 és FAKT-92031/2-2018 iktatószámú levelek másolatát is. Az I.r. kérelmezett 2. számú nyilatkozata szerint a követelés nyilvántartásához kapcsolódó 2014. 02.24.-2018.07.12. között fennállt adatkezelés célja a követelés érvényesítése volt. Az adatkezelés jogalapja az Infotv. 6. § (1) bekezdés b) pontja, majd az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja volt. Az I.r. kérelmezett az érdekmérlegelési tesztjét a Hatóság felhívására nem küldte meg, nyilatkozata szerint „Az adatszolgáltatást teljesítő szerveknél az eddigi gyakorlat szerint elég megjelölni a jogos érdeket, a GDPR nem tartalmaz olyan előírást, mely szerint érdekmérlegelési tesztet kell végezni, hatásvizsgálatot pedig ezen az adatkezelési szinten nem kell elvégezni.” Az I.r. kérelmezett 2. számú nyilatkozatában előadta azt is, hogy a Kérelmező részére 2018. 06. 28. napján kiszámlázott bruttó 1.105 Ft a hátralékegyeztetési céllal kért dokumentummásolatok adminisztrációs költsége a hatályos szabályzatuk rendelkezésein alapul. Ezzel kapcsolatban az I.r. kérelmezett kiemelte, hogy a hozzáféréshez kapcsolódó érintetti jog főszabály szerint ingyenesen gyakorolható, azonban az általános adatvédelmi rendelet rendelkezései alapján túlzó és ismétlődő adatkérés esetén díjat számolhatnak fel. Az I.r. kérelmezett szerint „Jelen esetben azért került alkalmazásra díj, mert a kimutatás útján olyan adatra vonatkozott a másolat kérés, amely már az érintett rendelkezésére állt, azokat korábban megkapta (több alkalommal is, pl. felszólító levelei mellékleteként, kivonatosan a terhelési összesítőkön.” A nyilatkozata alátámasztására, miszerint nem minden esetben számítanak fel adminisztrációs költséget, az I.r. kérelmezett becsatolta a Kérelmező hozzáférési kérelmére 2018.08.17-én megküldött válaszukat, melyet díjmenetesen teljesítettek. Az I.r. kérelmezett 1. sz. nyilatkozatai szerint „A 2018. 08.01. napján kelt, […] nevére kiállított terhelési összesítő valóban a […] fogyasztási cím helyett a […] címre került megküldésre, mely esetben elismerten egyedi ügyintézői hiba történt a Társaságunk részéről (a korábbi adatokhoz képest csupán a név került módosításra, a bemutatási cím nem). Ezt a hibát Kérelmező a 2018.08.11-én kelt és 2018.08.15-én a Társaságunkhoz eljutatott levélben jelezte, melynek következtében elvégeztük a szükséges korrekciót, és erről tájékoztattuk a kérelmezőt 2018.09.10én kelt levelünkben.” Állításai alátámasztására az I.r. kérelmezett csatolta a terhelési összesítőt, a bejelentés és a válaszleve másolatát.

Az I.r. kérelmezett 2. sz. nyilatkozata szerint a II.r. kérelmezett adatfeldolgozóként járt el a Kérelmező által kifogásolt adatkezelés tekintetében. A nyilatkozata alátámasztására becsatolta a Kérelmezettek között fennálló kiemelt közvetítői szerződés, továbbá az adatfeldolgozói szerződés másolatát. A Hatóság a II.r. kérelmezettet is nyilatkozattételre hívta fel adatfeldolgozói minőségével és az esetleges adatkezelési tevékenységével kapcsolatban. A II.r. kérelmezett tájékoztatta a Hatóságot arról, hogy a Kérelmezővel összefüggő személyes adatok kezelése tekintetében semmilyen önálló döntési jogosultsággal nem rendelkezik, tevékenységét adatfeldolgozóként látja el. A Kérelmező adatai 2014. február 24. napján kerültek a II.r. kérelmezett informatikai rendszerébe. A Kérelmező nevét és lakcímét a hatósági ügy miatt kezeli a II.r. kérelmezett, más személyes adatot nem tart nyilván. Nyilatkozata szerint 2018. augusztus 17. napján válaszolt a II.r. kérelmezett a Kérelmező érintetti kérelmére, a válaszleve másolatát becsatolta. A válaszlevél első mondatában adatkezelőként említi a II.r. kérelmezettet, az alábbiak szerint: „Ön […] meghatalmazottjaként eljárva kérelmet nyújtott be a Társaságunkhoz (a továbbiakban: „Adatkezelő”)…”. Ugyanezen levél utolsó mondata szerint azonban adatfeldolgozói minőségben járt el a Kérelmező ügyében.

II. Az ügyben alkalmazandó jogszabályok

Az általános adatvédelmi rendelet 2. cikk (1) bekezdése szerint a rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak az adatoknak a nem automatizált kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

Az általános adatvédelmi rendelet (47) preambulumbekezdése alapján, ha az adatkezelés jogalapja a jogos érdek, akkor előzetesen érdekmérlegelést kell elvégezni, melynek keretében többek között meg kell határozni a jogos érdeket, az érintettre gyakorolt hatást, továbbá azt, hogy az adatkezelés szükséges, illetve arányos-e, valamint mérlegelni kell, hogy a jogos érdek vagy pedig az érintetti jog-e a magasabb rendű.

Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.

Az általános adatvédelmi rendelet 4.cikk 8. pontja alapján „adatfeldolgozó”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel.

Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pont alapján a személyes adatok: a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”);

Az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja alapján a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon. („célhoz kötöttség”).

Az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pont alapján a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”).

Az általános adatvédelmi rendelet 5. cikk (2) bekezdése alapján az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).

Az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pont alapján a személyes adatok kezelése jogszerű, amennyiben az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.

Az általános adatvédelmi rendelet 16. cikk alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat.

Az általános adatvédelmi rendelet 17. cikk (1) bekezdés d) pontja alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha a személyes adatokat jogellenesen kezelték.

Az általános adatvédelmi rendelet 28. cikk alapján az adatfeldolgozó által végzett adatkezelést az uniós jog vagy tagállami jog alapján létrejött olyan – az adatkezelés tárgyát, időtartamát, jellegét és célját, a személyes adatok típusát, az érintettek kategóriáit, valamint az adatkezelő kötelezettségeit és jogait meghatározó –szerződésnek vagy más jogi aktusnak kell szabályoznia, amely köti az adatfeldolgozót az adatkezelővel szemben. A szerződés vagy más jogi aktus különösen előírja, hogy az adatfeldolgozó: a) a személyes adatokat kizárólag az adatkezelő írásbeli utasításai alapján kezeli – beleértve a személyes adatoknak valamely harmadik ország vagy nemzetközi szervezet számára való továbbítását is –, kivéve akkor, ha az adatkezelést az adatfeldolgozóra alkalmazandó uniós vagy tagállami jog írja elő; ebben az esetben erről a jogi előírásról az adatfeldolgozó az adatkezelőt az adatkezelést megelőzően értesíti, kivéve, ha az adatkezelő értesítését az adott jogszabály fontos közérdekből tiltja;

Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b), c) és i) pont alapján a felügyeleti hatóság korrekciós hatáskörében eljárva:

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét;

i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett.

Az általános adatvédelmi rendelet 17. cikk (3) bekezdés c) alapján az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükséges. Az általános adatvédelmi rendelet 15. cikk (1) bekezdés alapján az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár. Az általános adatvédelmi rendelet 12. cikk (5) bekezdés a) pont alapján a 13. és 14. cikk szerinti információkat és a 15-22. és 34. cikk szerinti tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy - különösen ismétlődő jellege miatt - túlzó, az adatkezelő, figyelemmel a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségekre észszerű összegű díjat számíthat fel. Az általános adatvédelmi rendelet 15. cikk (3) bekezdése alapján az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri. Az általános adatvédelmi rendelet 28. cikk (3) bekezdés e) pont alapján az adatfeldolgozó által végzett adatkezelést az uniós jog vagy tagállami jog alapján létrejött olyan - az adatkezelés tárgyát, időtartamát, jellegét és célját, a személyes adatok típusát, az érintettek kategóriáit, valamint az adatkezelő kötelezettségeit és jogait meghatározó -szerződésnek vagy más jogi aktusnak kell szabályoznia, amely köti az adatfeldolgozót az adatkezelővel szemben. A szerződés vagy más jogi aktus különösen előírja, hogy az adatfeldolgozó az adatkezelés jellegének figyelembevételével megfelelő technikai és szervezési intézkedésekkel a lehetséges mértékben segíti az adatkezelőt abban, hogy teljesíteni tudja kötelezettségét az érintett III. fejezetben foglalt jogainak gyakorlásához kapcsolódó kérelmek megválaszolása tekintetében. Az általános adatvédelmi rendelet 28. cikk (3) bekezdés g) pontja alapján az adatfeldolgozó által végzett adatkezelést az uniós jog vagy tagállami jog alapján létrejött olyan - az adatkezelés tárgyát, időtartamát, jellegét és célját, a személyes adatok típusát, az érintettek kategóriáit, valamint az adatkezelő kötelezettségeit és jogait meghatározó -szerződésnek vagy más jogi aktusnak kell szabályoznia, amely köti az adatfeldolgozót az adatkezelővel szemben. A szerződés vagy más jogi aktus különösen előírja, hogy az adatfeldolgozó az adatkezelési szolgáltatás nyújtásának befejezését követően az adatkezelő döntése alapján minden személyes adatot töröl vagy visszajuttat az adatkezelőnek, és törli a meglévő másolatokat, kivéve, ha az uniós vagy a tagállami jog az személyes adatok tárolását írja elő.

Az általános adatvédelmi rendelet 58. cikk (2) bekezdés c) pontja alapján a felügyeleti hatóság korrekciós hatáskörében eljárva utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) és i) pontja alapján a felügyeleti hatóság korrekciós hatáskörében eljárva elmarasztalja az adatkezelőt vagy adatfeldolgozót, ha adatkezelési tevékenysége megsértette a rendelet rendelkezéseit, illetve a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. A közigazgatási bírság kiszabására vonatkozó feltételeket az általános adatvédelmi rendelet 83. cikke tartalmazza. Az Infotv. 75/A. § -a szerint a Hatóság az általános adatvédelmi rendelet 83. cikk (2) – (6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 28. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. A fogyasztóvédelemről szóló 1997. évi CLV. törvény (a továbbiakban: Fgy.) 1. § (2) bekezdése alapján e törvény hatálya nem terjed ki a pénzügyi közvetítőrendszer felügyeletével kapcsolatos feladatkörében eljáró Magyar Nemzeti Bank (a továbbiakban: MNB) által felügyelt tevékenységet folytató szervezeteknek, személyeknek MNB által felügyelt tevékenységére (a továbbiakban: pénzügyi szolgáltatási tevékenység). A hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény 288. § (2) bekezdés alapján telefonon történő panaszkezelés esetén a pénzügyi intézmény, független közvetítő és az ügyfél közötti telefonos kommunikációt a pénzügyi intézmény hangfelvétellel rögzíti, és a hangfelvételt öt évig megőrzi. Erről az ügyfelet a telefonos ügyintézés kezdetekor tájékoztatni kell. Az ügyfél kérésére biztosítani kell a hangfelvétel visszahallgatását, továbbá térítésmentesen - kérésének megfelelően - huszonöt napon belül rendelkezésére kell bocsátani a hangfelvételről készített hitelesített jegyzőkönyvet vagy a hangfelvétel másolatát. A víziközmű-szolgáltatásról szóló 2011. évi CCIX. törvény (a továbbiakban: Vksztv.) 2. § 6. pontja alapján felhasználó: a víziközmű-szolgáltatást e törvény szerinti szerződéses jogviszony keretében vagy a 31/A. § (1) bekezdésében meghatározott ideiglenes szolgáltatás időtartama alatt a víziközmű-szolgáltató előzetes hozzájárulásával ténylegesen igénybe vevő természetes vagy jogi személy, jogi személyiséggel nem rendelkező szervezet, aki (amely) a víziközmű-szolgáltatásba bekapcsolt ingatlan használója, és sorban mögötte az ingatlan tulajdonosa. A hulladékról szóló CCXXXV. törvény (a továbbiakban: Hgt.) 38. § (1) és (2) bekezdése alapján: (1) Az ingatlanhasználó a hulladékgazdálkodási közszolgáltatás ellátásához szükséges feltételeket a közszolgáltató részére biztosítja, és a közszolgáltatást igénybe veszi. (2) Az ingatlanhasználó a hulladékgazdálkodási közszolgáltatás ellátásáért hulladékgazdálkodási közszolgáltatási díjat fizet az e törvényben, valamint a hulladékgazdálkodási közszolgáltatási díj megállapításáért felelős miniszter (a továbbiakban: miniszter) rendeletében meghatározott feltételek szerint. A Hgt. 2. § 34. pont alapján ingatlanhasználó: az ingatlan birtokosa, tulajdonosa, vagyonkezelője, valamint a társasház és a lakásszövetkezet, aki (amely) a hulladékgazdálkodási közszolgáltatást e törvény szerinti szerződéses jogviszony keretében kötelező jelleggel igénybe veszi és akinek (amelynek) a közszolgáltató rendszeres időközönként rendelkezésére áll.

A Hgt. 52. § (5) bekezdés alapján közös tulajdonban álló ingatlan esetében az egy háztartásban életvitelszerűen élő tulajdonosok, a közös használatban álló ingatlan esetében az életvitelszerűen élő használók, illetve birtokosok felelőssége egyetemleges.

III. Hatóság döntése

III.1. Vizsgált adatkezelési időszak A Kérelmező által kifogásolt adatkezelés 2014.02.24-2018.07.12. között állt fenn. Az Ákr. 47. § (1) bekezdés a) pontja alapján a Hatóság az adatvédelmi hatósági eljárást a 2018. május 25. napját megelőzően végzett adatkezelés vizsgálatára irányuló részében megszüntette, mivel a kérelem nem felelt meg az Infotv. 60. § (2) bekezdésben foglalt feltételeknek, hiszen a kérelmezett adatkezelési időszak ezen részében az általános adatvédelmi rendelet még nem volt alkalmazandó, így annak vonatkozásában kérelemre a Hatóság előtt adatvédelmi hatósági eljárás nem indítható. A jelen eljárásban a Hatóság a kérelmezett adatkezelés vonatkozásában csak a 2018. május 25. és 2018. július 12. közötti időszak vonatkozásában tett megállapításokat. III.2. A II.r. kérelmezett kifogásolt adatkezelése, nem megfelelő tájékoztatása és intézkedése érintetti kérelem teljesítése során A Kérelmező a kérelmében a II.r. kérelmezett adatkezelését is kifogásolta, mert álláspontja szerint hiányos, ellentmondó és valóságnak nem megfelelő tájékoztatást kapott. A Hatóság a fentiekre hivatkozással a I.r. kérelmezettet külön nyilatkozattételre hívta fel. Az I.r. kérelmezett által becsatolt dokumentumok szerint az általános adatvédelmi rendelet 4. cikk 8. pontja alapján a II.r. kérelmezett adatfeldolgozóként járt el a Kérelmező által kifogásolt adatkezelés tekintetében, mert az adatkezelés eszközeit és céljait nem önállóan határozza meg és az I.r. kérelmezett megbízása alapján járt el. Az I.r. kérelmezett által – a Hatóság felhívására – becsatolt 2018. május 25. napján létrejött „Belső adatfeldolgozási keretszerződés” elnevezésű dokumentum az általános adatvédelmi rendelet 28. cikk (3) bekezdés szerinti adatfeldolgozói szerződésnek minősül. Emellett az I.r. kérelmezett által becsatolt - 2015. december 17. napján létrejött - „Megbízási szerződés pénzügyi szolgáltatások közvetítésére” elnevezésű dokumentum is alátámasztja az I.r. Kérelmezett arra vonatkozó állítását, hogy a II.r. kérelmezett, mint adatfeldolgozó járt el a Kérelmező követeléskezelési ügyével összefüggő adatkezelés során. A II.r. kérelmezett fennálló szerződésekként hivatkozik a 2. számú nyilatkozatában a fenti dokumentumokra. A II.r. kérelmezett is megerősítette az I.r. kérelmezett azon nyilatkozatát, miszerint a Kérelmező személyes adataival kapcsolatban mint adatfeldolgozó járt el, mert az adatkezeléssel kapcsolatban semmilyen önálló döntési jogosultsággal nem rendelkeztek. A Hatóság megállapította, hogy ellentmondás fedezhető fel a Hatóság felhívására az I.r. kérelmezett által megküldött 2018. 05.25. napján és 2019. 01. 18. napján készült Adatkezelési Tájékoztató (a továbbiakban: I.r. kérelmezett adatkezelési tájékoztatói) és a Kérelmezettek adatfeldolgozói minőséggel kapcsolatos nyilatkozata között. Az I.r. kérelmezett adatkezelési tájékoztatójában a II.r. kérelmezett nem szerepel, mint adatfeldolgozó, mert adatfeldolgozóként a 6. oldalon felsorol 3 céget, melyek közül egyik sem az I.r. kérelmezett. Továbbá a II.r. kérelmezettet csak mint „Hpt. 10. § (1) bekezdésének a) pontja szerinti közvetítő”-ként említi az Adatvédelmi Tájékoztatóban és megjegyzi a következő bekezdésben, hogy a „Fenti felsorolás nem teljes körű, a […] fenntartja a jogot további adatkezelő igénybevételére, melynek személyéről legkésőbb az adatkezelés megkezdésekor ad egyedi módon tájékoztatást.” A Hatósághoz a II.r. kérelmezett által továbbított, a Kérelmező érintetti kérelmére a II.r. kérelmezett által 2019. március 27. napján küldött e-mail szövege is ellentmondásos tekintettel arra, hogy az első mondatban adatkezelőként hivatkozik a II.r. kérelmezettre, míg az utolsó mondatában arra utal, hogy adatfeldolgozói minőségben jár el. A Hatóság felhívására becsatolt 2018. augusztus 17. napján kelt Belső adatfeldolgozási keretszerződés (a továbbiakban: szerződés) 13. pontja az alábbiak szerint rendelkezik: „13.1.Az Adatfeldolgozó köteles együttműködni az Adatkezelővel a jelen Szerződés szerinti feldolgozással kapcsolatos kérdésekben. Ebben a körben haladéktalanul tájékoztatja az Adatkezelőt, ha bármilyen tájékoztatás iránti igényt, reklamációt kap az adattulajdonosoktól, így különösen a személyes adatok helyesbítésére, törlésére vagy zárolására vonatkozó igényeket, illetve a GDPR harmadik fejezete alapján gyakorolt érintetti jogokról. 13.2. Az Adatfeldolgozó a hozzá érkezett 10.1 pontban hivatkozott megkeresésekre nem válaszolhat, ez az Adatkezelő joga kivéve, ha erre jogszabály, hatósági vagy bírósági határozat kötelezi.” A fentiek alapján megállapítható, hogy a II. r. kérelmezettnek nem lett volna feladata az érintetti kérelmek megválaszolása, mert az az adatkezelőt terheli úgy, hogy ehhez adatfeldolgozóként megadja a szükséges segítséget, ennek ellenére a II.r. kérelmezett válaszlevelet küldött a Kérelmezőnek az érintetti kérelmére, ahelyett, hogy a szerződés fenti rendelkezéseit betartva, azt az I.r. kérelmezettnek továbbította volna, ezzel túlterjeszkedett az adatfeldolgozói minőségén. Az általános adatvédelmi rendelet szerinti megfelelő tájékoztatásért az adatkezelő, azaz az I.r. kérelmezett felel, mellyel az általános adatvédelmi rendelet 5. cikk (2) bekezdés alapján neki kell elszámolnia. A II.r. kérelmezett - 2019. március 27-i - levelének melléklete szerint a II.r. kérelmezett a személyes adatokat a „kérelem megválaszolása+5 év” időtartamig tárolja, „Adatkezelő adatvédelmi tisztviselője a kérelem elintézés és nyilvántartás vezetése céljából”. Tekintettel arra, hogy az emailben „Adatkezelő”-ként is hivatkoztak a II.r. kérelmezettre, ezért a Kérelmezőnek küldött válasz nem egyértelmű abból a szempontból sem, hogy jelen esetben az I.r. kérelmezett vagy a II.r. kérelmezett tárolja a kérelem megválaszolása+5 évig a személyes adatokat. Tekintettel arra, hogy a II.r. kérelmezett tájékoztatása félrevezető és ellentmondásos, mivel adatkezelőként és adatfeldolgozóként is hivatkozik a II.r. kérelmezettre, ezért a Hatóság megállapította, hogy az adatfeldolgozói minőségén túlterjeszkedve nyújtott tájékoztatásával a II.r. kérelmezett megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átláthatóság elvét. III.3.1. A Kérelmező I.r. kérelmezettnek 2018. július 25-én írt hozzáférési kérelme A Kérelmező érintetti kérelmét a II.r. kérelmezett is megválaszolta, ugyanazon a napon, mint az I. r. kérelmezett, azaz 2018. augusztus 17. napján, és ugyanaz a személy küldte meg a levelet, aki az I.r. kérelmezett adatvédelmi tisztviselőjeként […] is válaszolt a Kérelmezőnek, ebben az esetben az I.r. kérelmezettet tüntette fel a neve alatt az e-mailben.

A Kérelmező 2018. július 25-én írt levelére az I.r. kérelmezett az általános adatvédelmi rendelet 12. cikk (3) bekezdésében meghatározott határidőn belül 2018. augusztus 17-én válaszolt. Az I.r. kérelmezett 1. számú nyilatkozata alapján „adatkezelési tájékoztatási igény”-nek nevezte az érintetti kérelmet, melyet másolatban becsatolt az arra adott válaszával együtt. A becsatolt érintetti kérelem 9 oldal, mely a II. pontjában 13 alpontban (i-xiii.) sorolja fel a Kérelmező kérdéseit. Az I.r. kérelmezett erre adott válasza rövid, egy egyoldalas Excel táblázatban feltüntetve ad tájékoztatást általánosságban a kezelt adatok köréről, az adatkezelés idejéről, az adatkezelés céljáról, jogalapjáról és az adatfeldolgozókról, külön pontokban „a követelés nyilvántartásához kapcsolódó adatkezelés”, a „követelés érvényesítéséhez kapcsolódó adatkezelés”, az „ügyfélkapcsolat” és az „adatvédelemmel kapcsolatos kérelem elintézése” esetét részletezve. A Hatóság megállapította, hogy a Kérelmező alábbi kérdéseire nem kapott átlátható tájékoztatást az I.r. kérelmezettől:

1. NAV felé inkasszó kezdeményezése céljából hány alkalommal történt a Kérelmező adatainak továbbítása? (II. pont iv. alpontja) 2. A NAV felé inkasszó kezdeményezése céljából történt adattovábbítás során a követelésbehajtás folyamatában mekkora összegekre és mikor történt adattovábbítás? (II. pont V. alpontja) 3. Milyen keltezéssel történtek meg a Kérelmező fenti ingatlan viszonylatában történt adatainak módosításai (helyesbítés/pontosítás)? (II. pont vii. alpontja) 4. Milyen jogalapon történt meg az adatok helyesbítésére/pontosítására vonatkozó törekvés elutasítva és ezekre vonatkozó dokumentáció átvételéhez és iktatáshoz a dokumentumok másolási kötelezettségének érintettre hárítása? (II. pont viii. alpontja) 5. Panaszkezelés során a panasztételben foglaltak elutasításának szempontjai, beleértve az adatkezelő jogos érdeke mellett szóló érdekmérlegelés eredményét! (II. pont x. alpontja) 6. A Kérelmező fenti ingatlan viszonylatában megkezdődött, módosult és befejeződött adatkezelésének vonatkozásában milyen adatbázis/adatforrás (dokumentáció) állt a Szolgáltató rendelkezésére (ezek másolati példánya)? (II. pont xi. alpontja) 7. Mivel az adatokat nem a Kérelmezőtől gyűjtötték, az előbbi pontban megjelölt információt tartalmazó dokumentáció/ vagy az adatainak fenti ingatlannal kapcsolatos, nem neki címzett szolgáltató követelések összekapcsolása a Kérelmező adataival milyen módon/logikai/érdek/eljárásmód alapján történt? (Erre vonatkozó dokumentáció másolati példányát az adatforrás keletkezésének megjelölésével kérjük rendelkezésre bocsátani. (II. pont xii. alpontja) Az érintettek hozzáférési joga a személyes adatokon végzett műveletek átláthatóságát szolgálja, ily módon pedig elősegíti az általános adatvédelmi rendelet 5. cikk (1) bekezdés e) pontjában foglalt tisztességes adatkezelés elvének érvényesülését. Az I.r. kérelmezett a válaszlevelében arról tájékoztatta a Kérelmezőt, hogy a behajtási eljárásának megalapozottságával, jogszerűségével kapcsolatos kifogásainak előterjesztésére, illetve orvoslására (az adatkezelési kérdéseken túlmenően) nem az általános adatvédelmi rendelet 12- 20. cikkei szerinti eljárás keretében van lehetőség, hanem bírósági, hatósági eljárásban. Tájékoztatta továbbá arról, hogy adatkezelésével kapcsolatos, jelen tájékoztatáson túli részletszabályokat a belinkelt Adatkezelési Tájékoztatóban talál. A tájékoztató azonban a Kérelmező konkrét ügyében végzett adatkezelési folyamatáról nem tartalmaz olyan információkat, melyek tájékoztatást nyújtanának az érintett személyes adataival végzett műveletekről.

Az általános adatvédelmi rendelet 15. cikke szerint az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy az adatkezelő kezeli-e a személyes adatait, és amennyiben igen, akkor arra is jogosult, hogy a kezelt személyes adatairól, valamint az adatkezelésre vonatkozó információkhoz is hozzáférést kapjon. Az általános adatvédelmi rendelet 15. cikk (3) bekezdése úgy rendelkezik, hogy az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja, mivel így valósítható meg a személyes adatokhoz a tényleges és a legteljesebb hozzáférés. Az I.r. kérelmezett ezen kötelezettségei elmulasztása miatt az érintett számára nem biztosította az őt érintő adatkezelési folyamat átláthatóságát. A kért információk hiányában az érintett nem ismerhette meg az adatkezelés körülményeit, annak jogszerű vagy jogellenes voltát, ezzel az I.r. kérelmezett megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontjában foglalt átláthatóság elvét. Tekintettel arra, hogy az I.r. kérelmezett által a Kérelmezőnek küldött Excel táblázatban nyújtott tájékoztatása tartalmilag nem kielégítő, mivel nem konkrétan a Kérelmező kérdéseire adott választ, és a válaszadás elmaradásának okáról sem tájékoztatta az érintettet, ezért a Hatóság megállapítja, hogy az I.r. kérelmezett megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontját, továbbá a Kérelmező általános adatvédelmi rendelet 15. cikkében szabályozott hozzáféréshez való jogát, és nem tett eleget az általános adatvédelmi rendelet 12. cikk (4) bekezdése szerinti kötelezettségének sem, azáltal, hogy a Kérelmező tájékoztatást kérő levelének 8 kérdésére nem nyújtott tájékoztatást, és nem indokolta meg a válaszadás elmaradását sem. III.3.2. Kérelmező személyes adatai másolatára vonatkozó kérelme Az általános adatvédelmi rendelet 15. cikk (3) bekezdése alapján adminisztratív költségen alapuló, észszerű mértékű díj csak akkor számítható fel, ha az érintett további másolati példányt kér az adatkezelés tárgyát képező személyes adatairól. Az I.r. kérelmezett 2. számú nyilatkozata szerint „Jelen esetben azért került alkalmazásra díj, mert a kimutatás útján olyan adatra vonatkozott a másolat kérés, amely már az érintett rendelkezésére állt, azokat korábban megkapta (több alkalommal is, pl. felszólító levelei mellékleteként, kivonatosan a terhelési összesítőkön).” Az általános adatvédelmi rendelet 15. cikk (3) bekezdése csak abban az esetben alkalmazható, ha az érintett már korábban a hozzáférési jogát gyakorolva másolatot kért az I.r. kérelmezettől, azonban jelen ügyben a Kérelmező első ízben gyakorolta ezen, általános adatvédelmi rendeletben biztosított jogát. A fentiek alapján az I.r. kérelmezett nyilatkozatából az állapítható meg, hogy arra hivatkozással számított fel bruttó 1 105 Ft adminisztratív költséget 2018.06.28-án, hogy ezeket az adatokat már korábban megküldte a fizetési felszólítások mellékleteként vagy kivonatosan a terhelési összesítőkön, ezért álláspontja szerint ismétlődő volt az adatkérés. A Hatóság álláspontja szerint ez nem megfelelő indok a díj felszámítására, mert a korábban megküldött kimutatások nem a Kérelmező érintetti jogainak gyakorlásával voltak kapcsolatosak, ezért a Hatóság megállapítja, hogy a díj felszámításával az I.r. kérelmezett megsértette az általános adatvédelmi rendelet 12. cikk (2) bekezdése szerinti kötelezettségét, mely szerint az érintetti jogok gyakorlást elő kell segítenie, az adminisztratív költség indokolatlan felszámításával az I.r. kérelmezett azonban az érintett jogainak gyakorlását akadályozta. Az I.r kérelmezett az 1. számú nyilatkozata alátámasztására becsatolta a Kérelmező részére 2018.08.17-én megküldött hozzáférési jog gyakorlása keretében tett megkeresésre adott válaszát, melyet díjmentesen teljesített. A becsatolt irat adatkezelési tájékoztató másolata volt, tehát nem érintetti adatokat tartalmazott. A Hatóság álláspontja szerint az I.r. kérelmezett érvelése nem fogadható el, mert az, ha egy később benyújtott érintetti kérelmet díjmenetesen teljesítenek nem teszi jogszerűvé a korábbi költségszámítást, ráadásul jelen esetben a hivatkozott később benyújtott érintetti kérelemre adott válasz általános jellegű volt, csak az adatvédelmi tájékoztató másolatát továbbították a Kérelmező részére. III.4. Jogalap III.4.1. Szolgáltatókra vonatkozó ágazati jogszabályokban meghatározott helytállási felelősségre történő hivatkozás Az I.r. kérelmezett a Hatóságnak küldött 1. számú nyilatkozatában hivatkozott a közműszolgáltatások ágazati jogszabályainak rendelkezéseire is, így a Vksztv. 2. § 6. pont és a Hgt.38. § (1)-(2) bekezdésére, továbbá a Hgt. 2. § (1) bekezdésére és a Hgt. 52. § (5) bekezdésére is, mellyel azzal kapcsolatos adatkezelési gyakorlatát kívánta alátámasztani, hogy a tulajdonosok felelősségi helyzete az ágazati jogszabályok rendelkezéseitől függ. A Hatóság álláspontja szerint az I.r. kérelmezett érvelése adatkezelési jogalapként nem fogadható el tekintettel arra, hogy az I.r kérelmezett nem tartozik a hivatkozott ágazati jogszabályok hatálya alá. Az I. r. kérelmezett vásárolt követelések behajtásával foglalkozik, tehát az engedményezés során átvett, a követelésbehajtáshoz szükséges személyes adatokat jogos érdekre hivatkozással kezelheti, az átvett adatokon felüli személyes adatok gyűjtéséhez külön jogalap igazolása szükséges. A Hatóság megállapította a Kérelmező által becsatolt, a Szolgáltatók által küldött – 2018. július 30. és 2018. 08. 24. napján kelt - levelek másolatából, hogy a Szolgáltatók, melyek az I.r. kérelmezett által hivatkozott ágazati jogszabályok (Vksztv. és Hgt.) hatálya alá tartoznak, nem tartották nyilván a Kérelmező személyes adatait, tehát ezeknek az adatoknak a forrásai nem a Szolgáltatók voltak. Az I.r. kérelmezett a Hatóság részére küldött nyilatkozatában is megerősítette, hogy a követeléskezeléssel kapcsolatos adatok forrása: KEKKH, TAKARNET, NAV végrehajtáshoz kapcsolódó adatszolgáltatása. Az ezen forrásokból szerzett személyes adatokat az I.r. kérelmezett a rá vonatkozó jogi kötelezettség teljesítésére hivatkozással gyűjtötte és kezelte. III.4.2. Jogos érdek és érdekmérlegelés A […] linken elérhető 2018. 05. 25. napjától hatályos adatkezelési tájékoztató 3.1. pontjában „vásárolt követelések” címszó alatt szabályozza a követelések érvényesítésével kapcsolatos adatkezelési célt is. Ennél a pontnál azonban adatkezelés jogalapjaként jogi kötelezettség teljesítését jelölte meg az I.r. kérelmezett, emellett ágazati jogszabályi felsorolást is tartalmaz a jogalapra hivatkozás, az alábbiak szerint:

számvitelről szóló 2000.évi C. törvény 169. § (2) bekezdés, a hitelintézetkről és a pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény (a továbbiakban: Hpt.) 3. § (1) bekezdésének l) pontja és 161. § (1) bekezdés c) pontja, a központi hitelinformációs rendszerről szóló 2011.évi CXII. törvény. A számvitelről szóló 2000.évi C. törvény 169. § (2) bekezdésére és a központi hitelinformációs rendszerről szóló 2011.évi CXII. törvényre történt hivatkozás a követelések érvényesítése adatkezelési célnál nem helytálló, mert számvitelről szóló 2000.évi C. törvény 169. § (2) bekezdés nem követelések érvényesítésével kapcsolatos adatkezelési célt fogalmaz meg. A központi hitelinformációs rendszerről szóló 2011.évi CXII. törvény hivatkozás pedig nem elegendő a jogalap megjelölésénél, mert pontos jogszabályi rendelkezés nélkül ez nem elfogadható. A Hatóság megállapítása szerint a Hpt. 161. § (1) bekezdés c) pontja nem tekinthető a személyes adatok továbbítására vonatkozó önálló jogalapnak, tekintettel arra, hogy e jogszabályi rendelkezés nem kötelező adatkezelést tartalmaz, csupán lehetőséget biztosít a pénzügyi intézménynek arra, hogy banktitkot adjon ki harmadik személy részére, ha érdeke ezt az ügyféllel szemben fennálló követelése eladásához vagy lejárt követelése érvényesítéséhez szükségessé teszi. Ez azonban nem minősül olyan jogi kötelezettségnek, amely önálló jogalapot teremtene, mivel ahhoz az Infotv. 5. § (3) bekezdésére tekintettel a jogszabálynak rendeznie kellene az adatkezelés körülményeit is. Ehelyett a Hpt. 161. § (1) bekezdés c) pontja a jogos érdeken alapuló adatkezelésnél az adatkezelői jogos érdek, illetve az adatkezelés céljának meghatározását jelenti, melyhez az adatkezelőnek szükséges elvégeznie az érdekmérlegelés további lépéseit is. Mindebből következően tehát az I.r. kérelmezett által hivatkozott jogszabályi rendelkezések nem minősülnek a Kérelmező személyes adatai továbbítása megfelelő jogalapjának, különös tekintettel arra is, hogy nem is bank, hanem közüzemi szolgáltatók voltak az engedményezők. A Hatóság a fentiekben említett adatkezelési tájékoztató vizsgálata során megállapította, hogy az érdekmérlegelést a 3.1 pontjában, követelések nyilvántartása címszó alatt felsorolt adatkezelési célok vonatkozásában nem tartalmaz. Az I.r. kérelmezett a Kérelmező tájékoztatást kérő érintetti kérelmére - 2018. augusztus 17. napján - adott válaszában a jogos érdeket jelölte meg a követelés-érvényesítéssel kapcsolatos jogalapként, azonban az erre vonatkozó érdekmérlegelést a Hatóság felhívása ellenére sem csatolta be arra hivatkozva, hogy az általános adatvédelmi rendelet nem írja elő az elkészítését. Az adatkezelő felelős az általa végzett adatkezelés jogszerűségéért. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogalap természetéből fakadóan az adatkezelőnek, aki ezen jogalapra hivatkozik pontosan meg kell tudni jelölnie, hogy egy konkrét személyes adat kezelését az adatkezelő mely jogos érdeke alapozza meg, és ezen érdekre tekintettel miért szükséges az adatkezelés, egyben igazolnia, bizonyítania is tudnia kell, hogy az elsőbbséget élvez az érintett jogos érdekével, alapvető jogaival és szabadságaival szemben.

Az adatkezelés jogalapjaként megjelölt jogalap és annak alapján az adatkezelés szükségességének és az érintett érdekével való igazolható összemérésnek a hiányában az I.r. kérelmezett nem tett eleget az általános adatvédelmi rendelet 5. cikk (2) bekezdése szerinti elszámoltathatóság elvének. Az I.r. kérelmezett Hatóság felhívására küldött nyilatkozatai szerint az adatkezelés jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdése követelés érvényesítéséhez, ügyfélkapcsolathoz, adatvédelemmel kapcsolatos, továbbá a jelen eljáráshoz kapcsolódó adatkezelés esetén is. Az I. r. kérelmezett a Hatóság felhívására adott nyilatkozataiban nem pontosította az adatkezelés jogalapját. Az általa megjelölt, az általános adatvédelmi rendelet 6. cikk (1) bekezdés sorolja fel az alkalmazható jogalapokat, melyek közül egyidejűleg csak egy rendelhető egy adatkezelési célhoz. Az I.r. kérelmezett azonban egy célnál több jogalapot is megjelölt. Az I.r. kérelmezett ezzel megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pont szerinti átláthatóság elvét. III.4.3. Budapesti XVIII. és XIX. Kerületi Bíróság [...] számú ítélete és az adatkezelés jogalapja Az I.r. kérelmezett által becsatolt Budapesti XVIII. és XIX. Kerületi Bíróság [...] ítélete szerint a bíróság a Kérelmező, mint alperes ellen 77.157 Ft díjtartozás és járulékai megfizetése iránt indított perben az I.r. kérelmezett felperesi keresetét elutasította.

A bíróság döntése 77.157 Ft díjtartozás és járulékai megfizetése iránt indított perben víz használatával kapcsolatos közüzemi díj és kéményseprési díj tekintetében kimondta, hogy az I. r. kérelmezett sem jogalapjában, sem összegszerűségében nem igazolta a követelését. Az I.r. kérelmezett 1. sz. nyilatkozta azt tartalmazta, hogy „álláspontunk szerint adott esetben egy fogyasztási időszak tekintetében született jogerős elutasító bírósági ítélet csupán az érintett időszak vonatkozásában bírhat adattörlési kötelezettséggel, ott is csupán csak abban az esetben, ha már a rendkívüli jogorvoslatokra nyitva álló határidők is elteltek, mivel addig az adatkezelés jogalapja fennáll“. Az I.r. kérelmezett 2. sz. nyilatkozata szerint a bírósági ítélet 2017. 12.05. napján emelkedett jogerőre. „ Az ítélet közvetlen következtében adatkezelésre vonatkozó intézkedést Társaságunk Kérelmezővel szemben nem foganatosított, [..]“ A fentiek alapján - a kérelemben előadottakkal ellentétben - a követelések fennállásának megállapítása bírósági hatáskör, és az adatkezelés jogszerűsége megállapításának előkérdését képezi, ezért az Infotv. 38. § (2)-(2a) bekezdés szerint nem tartozik a Hatóság a feladat- és hatáskörébe. Mivel a hivatkozott ítélet meghatározott összegű és meghatározott időre kiszámlázott követelések tekintetében tartalmaz döntést, ezért abból az nem vezethető le, hogy emiatt az I.r. kérelmezett a Kérelmezővel szemben fennálló összes követelése tekintetében amiatt végez jogellenes adatkezelést, mert jogalap nélkül követeli az I.r. kérelmezettől a tényleges fogyasztó által megfizetni elmulasztott díjakat. A Hatóság nem ért egyet az I.r. kérelmezett azon álláspontjával, miszerint az adatkezelés jogalapja mindaddig fennáll a követelések tekintetében, ameddig bíróság ítéletében ki nem mondja azt, hogy a követelésnek nincs jogalapja, mert jogalap nélküli adatkezelés fennálló követelések tekintetében is megvalósulhat. Jelen esetben azon követelések esetében is megállapítható a jogalap nélküli adatkezelés, melyeknél nem született bírósági határozat a követelés fennállása tekintetében, mert az I.r. kérelmezett 1. sz. nyilatkozatában hivatkozott ágazati jogszabályok kötelező adatkezelést nem írnak elő számára. A követelésbehajtási célú adatkezelés esetében a jogos érdek fennállta a jogi szabályozásból adódóan elvileg megállapítható. A fentiekre tekintettel a Hatóság a Kérelmező azon kérelmét elutasítja, hogy a Hatóság állapítsa meg a Kérelmezettek jogalap nélküli adatkezelését egy jogerős bírósági döntésre hivatkozással olyan követelésekre vonatkozóan is, melyekről a bíróság az ítéletében nem döntött a Hatóság . III.4.4. Elszámoltathatóság

Az I.r. kérelmezett nem vetette össze a saját adatkezelése által megvalósítható érdekét a Kérelmező jogaival és érdekeivel, az azok közti súlyozást nem végezte el, továbbá saját érdekének a Kérelmező jogaival és érdekeivel szembeni elsőbbségét nem igazolta. Különösen nem igazolta az I.r. kérelmezett azt, hogy konkrétan a Kérelmező vonatkozásában ténylegesen mely adatok kezelése szükséges, továbbá azt, hogy ez az adatkezelés a Kérelmezőnek a személyes adatai védelméhez fűződő érdekével és alapvető jogaival, szabadságaival szemben arányban áll. Az elszámoltathatóság elve alapján az adatkezelőknek az adatkezelés teljes folyamata során úgy kell megvalósítaniuk az adatkezelési műveleteket, hogy képesek legyenek az adatvédelmi szabályoknak való megfelelés bizonyítására. Az elszámoltathatóság elve, tehát nem csak általában, folyamat szinten értelmezhető, az valamennyi konkrét adatkezelési tevékenység, egy konkrét érintett személyes adatai kezelésének vonatkozásában is érvényesül.

Az adatkezelő felelős az általa végzett adatkezelés jogszerűségéért. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogalap természetéből fakadóan azon adatkezelőnek, aki ezen jogalapra hivatkozik, pontosan meg kell tudni jelölnie, hogy egy konkrét személyes adat kezelését az adatkezelő mely jogos érdeke alapozza meg, és ezen érdekre tekintettel miért szükséges az adatkezelés, egyben igazolnia, bizonyítania is tudnia kell, hogy az elsőbbséget élvez az érintett jogos érdekével, személyes adatok védelméhez fűződő jogával szemben. A jogos érdek jogalap fennállását érdekmérelegeléssel kell igazolni az általános adatvédelmi rendelt (47) preambulumbekezdése alapján is. Az általános adatvédelmi rendelet 5. cikk (2) bekezdése alapján az I.r. kérelmezettnek tudnia kell igazolnia azt, hogy az általános adatvédelmi rendeletben írtaknak megfelel az adatkezelése, tehát a jelen esetben azt, hogy elvégezte az érdekmérlegelést. Tekintettel arra, hogy az I.r. kérelmezett nem igazolta – a Hatóság felhívására sem – azt, hogy elvégezte az általános adatvédelmi rendeletben előírt érdekmérlegelést, ezért a Hatóság megállapítja, hogy az I.r. kérelmezett megsértette az általános adatvédelmi rendelet 5. cikk (2) bekezdését. III.5. Helyesbítéshez való jog követeléskezelési céllal folytatott adatkezelés tekintetében Az I. r. kérelmezett által adminisztrációs hibaként hivatkozott pontatlan személyes adatot a Kérelmező a 2018.08.11-én kelt és 2018.08.15-én a II.r. kérelmezetthez eljutatott levélben jelezte, melynek következtében az I.r. kérelmezett elvégezte a szükséges korrekciót, és erről tájékoztatta a Kérelmezőt a 2018.09.10-én kelt levelében. A Hatóság megállapította, hogy az I.r. kérelmezett az adattovábbítás végrehajtásával és az erről határidőben történt tájékoztatással az általános adatvédelmi rendelet 16. cikkében és az általános adatvédelmi rendelet 12. cikk (3) bekezdésében foglalt kötelezettségeinek eleget tett. III.6. Célhoz kötöttség és az adattakarékosság elvének megsértése A […] linken elérhető, 2018. 05. 25. napjától hatályos adatkezelési tájékoztató 3.1. pontjában a vásárolt követelések nyilvántartásánál felsorolt célokat nem külön-külön tüntette fel úgy, hogy célonként nem külön-külön jelölte meg az adatkezelés jogalapját, a kezelt adatok körét és az adatkezelés időtartamát. Adatkezelési célként az I.r. kérelmezett az alábbiakat jelölte meg: „A követelések nyilvántartása, az adósok egymástól való megkülönböztetése, a követelések érvényesítése, egyedi fizetési megállapodások kötése, részletfizetés biztosítása, késedelmes fizetés esetén kamatok felszámítása és számviteli kötelezettség teljesítése, továbbá adatszolgáltatások teljesítése, befizetések azonosítása, nyilvántartása.” A Hatóság álláspontja szerint a követelések nyilvántartása, érvényesítése, adósok egymástól való megkülönböztetése, követelések érvényesítése, egyedi fizetési megállapodások kötése, részletfizetés biztosítása, késedelmes fizetés esetén kamatok felszámítása értelmezhető részcélként is a követeléskezeléssel kapcsolatban, azonban a számviteli kötelezettség teljesítése, továbbá adatszolgáltatások teljesítése olyan különálló cél, mely nem kezelhető az előbbiekkel együtt. Az utóbbi kettő célnál a kezelt adatok köre és az adatkezelés időtartama is eltérő. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja alapján a személyes adatok gyűjtése egyértelmű és jogszerű célból történhet. Ez azt jelenti, hogy az adatkezelés megkezdése előtt konkrétan meg kell nevezni az adatkezelési célt, és ennek megfelelően felmérni, hogy ahhoz mely személyes adatok szükségesek, ezt pedig egyértelműen kell megfogalmazni. Ezt a követelményt csak célonként lehet teljesíteni, több cél fennállása esetén a célokhoz kapcsolódó adatkezelési körülményeket külön-külön kell értékelni, és egyértelműen célokra lebontva kell ismertetni. A fentiekre hivatkozással a Hatóság megállapította, hogy az I.r. kérelmezett azzal, hogy az egymástól eltérő és külön kezelendő célokat együtt tüntette fel, és a kezelt adatok körét, valamint az adatkezelés időtartamát sem választotta szét ezeknél a céloknál, megsértette a „jogszerűség, tisztességes eljárás és átláthatóság „elvét, azaz az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontját és 12. cikk (1) bekezdését. III.7. Jogkövetkezmények A Hatóság a Kérelmező kérelmének részben helyt ad és az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezetteket, mert az I.r. kérelmezett adatkezelési tevékenysége megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) és c) pontját, 5. cikk (2) bekezdését, 15. cikk (1) és (3) bekezdését, és a II.r. kérelmezett adatkezelési tevékenysége megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontját. A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettek szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság a bírság kiszabása során az alábbi tényezőket vette figyelembe:

- A megállapított jogellenes adatkezelés a Kérelmező magánszféráját jelentősen érintette, tekintettel arra is, hogy emiatt döntött úgy, hogy értékesíti a tulajdoni hányadát (általános adatvédelmi rendelet 83. cikk (1) bekezdés a) pont)

- A jogellenes adatkezelés a Kérelmezettek szándékos magatartásával, adatkezelési gyakorlatával áll összefüggésben (általános adatvédelmi rendelet 83. cikk (1) bekezdés b) pont)

- A jogsértés súlyos, mert a II.r. kérelmezett adatkezelésével az általános adatvédelmi rendelet több cikkét is megsértette, köztük alapelvi jogsértést is megvalósított és az általános adatvédelmi rendelet alapvető rendelkezését nem tartotta be azzal, hogy érdekmérlegelés nélkül hivatkozott jogos érdekre (általános adatvédelmi rendelet 83. cikk (1) bekezdés a) pont)

- A bírságkiszabással a Hatóság speciális prevenciós célja az, hogy ösztönözze a Kérelmezetteket arra, hogy vizsgálják felül a követeléskezeléssel kapcsolatos adatkezelési gyakorlatot, különös tekintettel az érdekmérlegelésre (általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont)

- A Hatóság a kiszabott bírságösszeg meghatározásakor a speciális perevenciós cél mellett figyelemmel volt a bírsággal elérni kívánt generálpreventív célra is, mellyel - az I.r. kérelmezett újabb jogsértéstől való visszatartása mellett - valamennyi piaci szereplő adatkezelési gyakorlatának a jogszerűség irányába való mozdulását kívánja elérni. Ugyanis a jogos érdek fennállta, mint jogalap nem egy kötetlenül, bármely az adatkezelő érdekében álló esetre, esetkörre alkalmazható szabály, hanem a jogos érdekre történő hivatkozás precíz alátámasztása is szükséges, mellyel el kell tudnia számolnia az adatkezelőnek (általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont) - A Kérelmezettek elmarasztalására az általános adatvédelmi rendelet megsértése miatt még nem került sor, továbbá a Kérelmezettek a jogsértés feltárása során együttműködő magatartást tanúsítottak, melyet a Hatóság enyhítő körülményként értékelt (általános adatvédelmi rendelet 83. cikk (2) bekezdés e) és i) pont) - A Hatóság egyéb enyhítő körülményként értékelte a Hatóság határidőidő-túllépését (általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont)

- Az I.r. kérelmezett 2018. évi adózás előtti eredménye 837 000 ezer Ft volt, a II.r. kérelmezett 2017. évi adózás előtti eredménye 890 000 ezer Ft volt. A kiszabott adatvédelmi bírság jelképes összegű és nem lépi túl a kiszabható bírság maximumát. - A Hatóság a bírság kiszabása tekintetében az általános adatvédelmi rendelet 83. cikk (2) bekezdésének a következő rendelkezéseit nem vette figyelembe, mert a tárgyi ügyben nem voltak relevánsak: c), pont d) pont, f) pont, g), pont, h) pont, j) pont. Az I.r. kérelmezett által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) és b) pontja szerint, a II.r. kérelmezett által elkövetett jogsértés az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) és b) pontjai szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek. A jogsértések jellege alapján – adatkezelés elveinek és az érintetti jogok sérelme – a kiszabható bírság felső határa az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) és b) pontjai alapján 20 000 000 EUR, illetve az előző pénzügyi év teljes világpiaci forgalmának legfeljebb 4%-a.

IV. Eljárási szabályok

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az egész ország területére kiterjed.

Az Ákr. 112. §-a, és a 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal és a végzéssel szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdése alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9.§ (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. Az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 112. §a, 16. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal és a végzéssel szemben közigazgatási per útján van helye jogorvoslatnak.

A keresetlevél benyújtásának helyét és idejét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1) - (2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Az Ákr. 135. § (1) bekezdés a) pontja szerint a kötelezett a törvényes kamatnak megfelelő mértékű késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget.

A Polgári Törvénykönyvről szóló 2013. évi V. törvény 6:48. § (1) bekezdése alapján pénztartozás esetén a kötelezett a késedelembe esés időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni.

Ha az előírt kötelezettségek teljesítését a Kérelmezettek megfelelő módon nem igazolják, a Hatóság úgy tekinti, hogy a kötelezettségeket határidőben nem teljesítették. Az Ákr. 132. §-a szerint, ha a Kérelmezettek a Hatóság végleges döntésében foglalt kötelezésének nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. § -a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. A hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százhúsz napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek.

Az Ákr 46. § (1) bekezdés a) pont alapján a hatóság a kérelmet visszautasítja, ha az eljárás megindításának jogszabályban meghatározott feltétele hiányzik, és e törvény ahhoz más jogkövetkezményt nem fűz.

Az Ákr. 47. § (1) bekezdés a) pontja kimondja, hogy a hatóság az eljárást megszünteti, ha a kérelem visszautasításának lett volna helye, annak oka azonban az eljárás megindulását követően jutott a hatóság tudomására. Budapest, 2020. május 28. Dr. Péterfalvi Attila elnök c. egyetemi tanár