Hungarian Data Protection Authority (NAIH): information on video surveillance in a bank branch

(…)

1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu

Ügyszám: NAIH-688-2/2024. Előzmény: NAIH-7301/2023.

Tárgy: Határozat és végzés

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […]

kérelmezőnek (a továbbiakban: Kérelmező) a Hatósághoz 2023. augusztus 15-én érkezett, és 2023.

szeptember 5-én kiegészített kérelmére a [….] Zrt.-vel (a továbbiakban: Kérelmezett) szemben a Kérelmezett által a […] szám alatti bankfiókjában üzemeltetett kamerarendszer útján megvalósuló adatkezelésről való tájékoztatás hiánya, az adatvédelmi tisztviselő elérhetősége, valamint az érintetti kérelme késedelmes teljesítése, továbbá hivatalból a Kérelmezett által a bankautomatákkal rendelkező összes bankfiókjában üzemeltetett kamerarendszerek útján megvalósuló adatkezelésről való tájékoztatás gyakorlata tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

I. A Hatóság a határozatában a Kérelmező kérelmének részben helyt ad, és megállapítja, hogy a Kérelmezett – a Kérelmező személyes adatai kezelésével összefüggésben a […] szám alatti bankfiókjában üzemeltetett kamerarendszer vonatkozásában - megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, az Európai Parlament és a Tanács 2016/679. számú rendelete (a továbbiakban: GDPR) 13. cikk (1) és (2) bekezdését, és a Kérelmezett megsértette a GDPR 12. cikk (3) bekezdését.

II. A Hatóság a határozatában hivatalból megállapítja, hogy a Kérelmezett a bankautomatákkal rendelkező összes bankfiókja vonatkozásában megsértette a GDPR 13. cikk (1) és (2)

bekezdését.

III. A Hatóság a határozatában Kérelmező azon kérelmeit, hogy a Hatóság utasítsa a Kérelmezettet az adatvédelmi tisztviselő elérhetőségének módosítására, állapítsa meg a GDPR 5. cikk (1) bekezdése a) pontjának sérelmét, továbbá állapítsa meg a Kérelmező érintetti jogainak sérelmét, elutasítja.

IV. A Hatóság a határozatában a II. pontban megjelölt jogsértések miatt a Kérelmezettet hivatalból

60 000 000 Ft, azaz hatvanmillió forint adatvédelmi bírság megfizetésére kötelezi, amelyet a jelen határozat véglegessé válásától számított 30 napon belül köteles teljesíteni.

V. A Hatóság a végzésében az eljárást a Kérelmező azon kérelme vonatkozásában, hogy a Hatóság kötelezze a Kérelmezettet a GDPR 13. cikke szerinti tájékoztató közzétételére, megszünteti. VI. A Hatóság a végzésében a Kérelmezett által másolatban a Hatóság rendelkezésére bocsátott – […]- gal kötött – megbízási szerződés üzleti titokként történő kezelésére irányuló kérelmének helyt ad.

* * * A bírságot a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-688/2024. BÍRS. számra kell hivatkozni. Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását, a bírság és a késedelmi pótlék adók módjára történő behajtását. A bírság és a késedelemi pótlék adók módjára történő behajtását a Nemzeti Adó- és Vámhivatal végzi. A jelen határozattal és végzéssel szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak.1 A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. Az eljárást megszüntető végzéssel szemben benyújtott keresetlevelet a Fővárosi Törvényszék egyszerűsített perben, tárgyaláson kívül bírálja el. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az előzmények és a kérelem

(1) A Kérelmező adatvédelmi hatósági eljárás iránti kérelme 2023. augusztus 1-jén érkezett a Hatósághoz, amelyben előadta, hogy aznap délután 16:50 és 17:00 között a Kérelmezett […] szám alatti bankfiókjában található automatáját kívánta használni készpénzbefizetésre. A befizetés során az automata meghibásodott, a készpénzt elnyelte, azonban az összeg a Kérelmező számláján egyenlegként nem jelent meg. (2) A Kérelmező azonnal bejelentést tett telefonon a Kérelmezett ügyfélszolgálatán, ahol a panaszát rögzítették. Ezen túlmenően szerette volna megnézni a bankautomatánál üzemelő elektronikus megfigyelőrendszer útján megvalósuló adatkezelésről szóló adatkezelési tájékoztatót, hogy ki tudja kérni az esetről készült kamerafelvételeket. (3) A Kérelmező előadta, hogy a bankfiók bejárati ajtaján kihelyezett piktogram szerint a kamerákra vonatkozó adatkezelési tájékoztatót a bankfiók ügyfélterében lehet megtekinteni, azonban

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál. Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. Az űrlap hozzáférhető és letölthető a Hatóság honlapjáról: https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata ebben az időpontban a bankfiók már zárva volt, azaz a tájékoztatót, és abból az adatvédelmi tisztviselő elérhetőségét nem volt lehetősége megismerni. (4) A Kérelmező hazaérve a […] oldalon található adatkezelési tájékoztatóból kívánt információhoz jutni a bankfiókokban megvalósuló kamerás adatkezelésről, azonban abban nem talált erre vonatkozó információt. A Kérelmező álláspontja szerint ebből kifolyólag a Kérelmezett nem tett eleget a GDPR 13. cikke szerinti tájékoztatási kötelezettségének, és emiatt sérült a GDPR 5. cikk (1) bekezdés a) pontja szerinti átláthatóság alapelve is. (5) A Kérelmező előadta továbbá, hogy a Kérelmezett adatkezelési tájékoztatójában az adatvédelmi tisztviselő elérhetőségeként az […] e-mail cím került feltüntetésre, amely véleménye szerint egy központi e-mail cím. A Kérelmező aggályosnak tartja, hogy az adatvédelmi tisztviselővel egy központi e-mail címen lehet felvenni a kapcsolatot, már csak azért is, mert az érintetti joggyakorláshoz meg kell adnia a személyes adatait, amelyeket így arra jogosultsággal nem rendelkező munkavállalók is megismerhetnek.

(6) A Kérelmező a fentiekre tekintettel kérte a Hatóságtól, hogy állapítsa meg a Kérelmezett általi jogsértéseket, azokért marasztalja el, szabjon ki a Kérelmezettel szemben adatvédelmi bírságot, valamint kötelezze a Kérelmezettet a GDPR 13. cikke szerinti tájékoztató megfelelő közzétételére, valamint az adatvédelmi tisztviselő elérhetőségének módosítására. (7) A Hatóság a NAIH-7301-4/2023. számú végzésében értesítette a Kérelmezettet arról, hogy vele szemben a Kérelmező kérelme alapján adatvédelmi hatósági eljárás indult, és a tényállás tisztázása érdekében nyilatkozattételre hívta fel. A Kérelmezett nyilatkozata 2023. szeptember 7-én érkezett meg a Hatósághoz.

(8) A Kérelmező a Hatósághoz 2023. szeptember 5-én érkezett beadványában kiegészítette az adatvédelmi hatósági eljárás iránti kérelmét. Ebben előadta, hogy 2023. augusztus 1-jén 19:26kor e-mailben, a […] e-mail címről az [….] e-mail címre érintetti kérelmet nyújtott be. Ebben kérte a Kérelmezett ügyfélszolgálatával aznap folyatott két telefonbeszélgetésről készült hangfelvételek másolatának és a […] szám alatti bankfiók előterében található bankautomata kamerafelvételei másolatának a rendelkezésére bocsátását, megjelölve, hogy 16:50 és 17:10 között tartózkodott az előtérben. A Kérelmező kifejtette, hogy a befizetés előzményeiről, a befizetés megtörténtéről, valamint az automata által kiírt hibaüzenetekről is szeretné kérni a kamerafelvételeket. Kérte továbbá, hogy a Kérelmezett a kamerafelvételeket mindaddig ne törölje, amíg azt az összeget, amit az automata a befizetés során elnyelt, vissza nem utalja a Kérelmezett a számlájára. (9) A Kérelmező a kiegészített kérelemben előadta, hogy álláspontja szerint az érintetti kérelmei teljesítésére a Kérelmezettnek rendelkezésére álló egy hónapos határidő 2023. szeptember 3án lejárt, azonban a Kérelmezett sem a kamerafelvételeket, sem a hanganyagokat nem küldte meg a részére.

(10) Erre tekintettel kérte, hogy a korábbiakban benyújtott kérelemben foglaltakon felül állapítsa meg a Hatóság, hogy a Kérelmezett megsértette az érintetti jogait, és a kérelmeire nem adott határidőben választ. Kérte továbbá, hogy a Hatóság az adatvédelmi hatósági eljárás keretében szabjon ki adatvédelmi bírságot az adatkezelőre. (11) A Hatóság a NAIH-7301-9/2023. sz. végzésében a Kérelmezettet ismét nyilatkozattételre hívta fel az általános gyakorlata vonatkozásában, illetve ezzel egyidejűleg arról is értesítette, hogy a bizonyítási eljárás befejeződött, és nyilatkozatot tehet, valamint élhet iratbetekintési jogával. A Kérelmezett nyilatkozatának beérkezése után a Hatóság a Kérelmezőt is értesítette a kérelme vonatkozásában a bizonyítási eljárás befejezéséről, és arról, hogy nyilatkozatot tehet, valamint élhet iratbetekintési jogával. Sem a Kérelmezett, sem a Kérelmező nem élt az iratbetekintési és nyilatkozattételi jogával a bizonyítási eljárás befejezését követően.

II. Tényállás

Kamerás adatkezelésről való tájékoztatás (12) A Kérelmezett tájékoztatta a Hatóságot a korábbi gyakorlatáról, miszerint a bankfiók ajtajára egy piktogram került kihelyezésre, mely arról tájékoztatta a látogatókat, hogy kamerafelvétel készül és az adatkezeléssel kapcsolatos további tájékoztatás a várakozó zónában érhető el.

(13) A várakozó zóna alatt, az ügyfelek fogadására és kiszolgálására szolgáló bankfióki ügyfélteret, területet kell érteni, mely a bankfiók nyitvatartási idejében van nyitva, azon kívül zárva van, oda belépni nem lehet.

(14) A Hatóság eljárásának hatására, tehát a Hatóság tényállástisztázás céljából küldött végzése kézhezvétele után a Kérelmezett felülvizsgálta a gyakorlatát, és az Európai Adatvédelmi Testületnek a személyes adatok videoeszközökkel történő kezeléséről szóló 3/2019. számú iránymutatása (a továbbiakban: Iránymutatás) szerinti első és második szintű tájékoztatást alakított ki.

(15) A Kérelmezett NAIH-7304-4/2023. számú felhívásra küldött nyilatkozata (a továbbiakban: Első nyilatkozat) szerint az első szintű tájékoztatás az Iránymutatás által javasolt tartalommal és formában a bankfiókok bejárati ajtajára kerül kihelyezésre 2023. szeptember 6-tól folyamatosan, míg a második szintű az ügyéltérben az eddigivel megegyező helyen papíralapon, továbbá a Kérelmezett honlapján elektronikusan érhető el 2023. szeptember 6-tól. A […] szám alatti bankfiókon az első szintű tájékoztatás 2023. szeptember 6-án, soron kívül lecserélésre került.

(16) A Kérelmezett a nyilatkozatához mellékelte az új, Iránymutatásnak megfelelő piktogramot, a […]. szám alatti bankfiók bejáratáról készült képfelvételt - melyen már az új első szintű tájékoztatás látható -, és az ügyféltérről készült áttekintő és közeli képfelvételeket, melyek a frissített második szintű tájékoztatást mutatják be. A Kérelmezett szintén mellékelte a 2023. szeptember 5-ig hatályban volt, illetve az új 2023. szeptember 6-án hatályba lépett adatkezelési tájékoztatóját is.

(17) A Kérelmezett arról tájékoztatta a Hatóságot, hogy a 2023. szeptember 6. előtti időszakban a kamerarendszer alkalmazásával kapcsolatos adatkezelési tájékoztató elektronikus formában nem volt elérhető, csak papíralapon a bankfiókokban, de 2023. szeptember 6-tól már elektronikusan is elérhetővé tette a honlapján az „Adatkezelés” címszó alatt: [….]

(18) A Kérelmezett a Hatóság NAIH-7301-9/2023. sz. tényállástisztázás céljából történő felhívásra válaszul (a továbbiakban: Harmadik nyilatkozat) előadta, hogy azon tájékoztatási gyakorlatát, amely szerint a bankfiókok bejáratán kizárólag a kamerás adatkezelésre felhívó piktogram került kihelyezésre, maga a tájékoztató pedig csak a várakozótérben volt hozzáférhető 2022. január 20. napjától alkalmazta. 2022. január 20. napját megelőzően a Kérelmezett a kamerás adatkezelésre vonatkozó tájékoztatóját a bankfiókok bejáratára kifüggesztve helyezte el.

(19) A fentieken túl a Kérelmezett a Harmadik nyilatkozatában előadta, hogy a bankfiókok előterébe az ott elhelyezett bankautomatákhoz van lehetőség nem a Kérelmezett által kibocsátott bankkártya használatával is belépni a bankfiókok nyitvatartási idején kívül. A Kérelmezett rendelkezik adatokkal arról, hogy 2022. január 20-a és 2023. szeptember 5. napja között, nyitvatartási időn kívül összesen [….] fő használta a bankfiókok előterében elhelyezett bankautomatákat. A Kérelmezett bankfiókjai előterében elhelyezett bankautomatáit 2023. augusztus 1- és 2023. szeptember 1. között, nyitvatartási időn kívül hozzávetőlegesen [….] fő használta. A Kérelmezett ezekkel az adatokkal kapcsolatban megjegyezte, hogy csak a Kérelmezett ügyfelei tekintetében tud arra vonatkozóan adatot előállítani, hogy a kérdéses időszakban hány fő használta a Kérelmezett bankautomatáit. Azon személyek esetében, akik nem a Kérelmezett ügyfelei és használták ezeket a bankautomatákat, arra vonatkozó információja van a Kérelmezettnek, hogy az automatákat hány alkalommal használták. Ezzel kapcsolatban úgy számolt a Kérelmezett, hogy minden ilyen használat 1 főt jelent.

(20) A Kérelmezett a Harmadik nyilatkozatában továbbá azt is előadta – a Hatóság kifejezett kérdésére -, hogy 2023.szeptember 5. napján [….] darab olyan bankfiókkal rendelkezett, ahol a bankfiók előterében, a várakozótérben különállóan ATM-ek, bankautomaták kerültek elhelyezésre. Az ilyen bankfiókok száma 2022. január 20. napja és 2023. szeptember 5. napja között, valamint 2023. szeptember 5. napját követően a 2023. szeptember 5. napján fennálló számmal megegyező, azaz […] darab volt.

(21) A Kérelmezett a Harmadik nyilatkozatában tájékoztatást nyújtott arról, hogy azt a gyakorlatát, hogy a bankfiókok bejáratán kizárólag a kamerás adatkezelésre felhívó piktogram került kihelyezésre, maga a tájékoztató pedig csak a várakozótérben volt hozzáférhető, 2022. január 20. napjától alkalmazta. 2022. január 20. napját megelőzően a Kérelmezett a kamerás adatkezelésre vonatkozó tájékoztatóját a bankfiókok bejáratára helyezte el.

Az adatvédelmi tisztviselő elérhetősége (22) A Kérelmezett az adatvédelmi tisztviselő elérhetőségeként közzétett […] e-mail címmel kapcsolatban előadta, hogy azt a Kérelmezett üzemelteti, és a kezelését a Kérelmezett 100%os tulajdonában álló [….] (a továbbiakban: Cég) végzi. A Kérelmezett és a Cég 2012. november 19-én megbízási szerződést kötöttek, mely alapján a Cég a kérelmezett függő kiemelt közvetítőjeként jár el a hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény (a továbbiakban: Hpt.) szabályai szerint.

(23) A Cég szerződés szerinti tevékenysége a Hpt. 3. § (1) bekezdés i) pontja alá tartozó, a 6. § (1) bekezdés 90. a) pontjában, valamint a 10. § (1) aa) pontjában definiált függő kiemelt közvetítői tevékenységnek minősül és ennek értelmében a Cég a Kérelmezett nevében, javára és kockázatára, pénzügyi szolgáltatás, kiegészítő szolgáltatás nyújtásának, szolgáltatásra irányuló szerződés megkötésének elősegítésére irányuló tevékenységet végez, ideértve a Kérelmezett nevében, javára és kockázatára történő kötelezettségvállalást vagy a szerződés megkötését is.

(24) A Kérelmezett részéről a szerződés tárgyát képező tevékenység a Cég igénybevételével történő végzéséhez a Hpt. 14. § (1) bekezdés h) pontja értelmében a Magyar Nemzeti Bank (a továbbiakban: MNB) engedélye szükséges. A szükséges engedélyt az MNB […] számú határozatában bocsátotta ki.

(25) A Cég megbízása kiterjed többek között panaszkezelési tevékenység folytatására is, ennek tartalmát és a részletes feladatleírást a Kérelmezett és a Cég közti megbízási szerződés 7. számú melléklete tartalmazza, amelyet a Kérelmezett a Hatóság rendelkezésére bocsátott, azzal, hogy kérte a megbízási szerződés üzleti titokként való kezelését.

(26) A Kérelmezett a Cég által végzett panaszkezelési tevékenységen belül kiemelte, hogy a Cég rögzíti az erre szolgáló rendszerben a Kérelmezett ügyfelei és minden, a Kérelmezettel pénzügyi szolgáltatások és/vagy befektetési szolgáltatási tevékenység nyújtására irányuló üzleti kapcsolatban nem álló személyek írásban érkezett panaszait; fogadja a Kérelmezett felé benyújtott szóbeli panaszokat; telefonon kapcsolatot tart a panaszos ügyfelekkel; biztosítja a panaszok kivizsgálását a Kérelmezett által meghatározott szabályozás és a vonatkozó jogszabályok mentén az összes vonatkozó körülmény figyelembevételével úgy eljárva, hogy a lehetőségekhez mérten elkerülje a pénzügyi fogyasztói jogvita kialakulását; a törvényi határidő betartása mellett írásban közli a panaszossal a panasz kivizsgálásának eredményét. A válasz tartalmazza a döntés indokolását, a lehetséges jogorvoslati lehetőségeket, valamint a döntés alapját képező szabályzatok, egyéb dokumentumok hivatkozását és elérhetőségét. A Kérelmezett a fentiekben a panasz alatt az adatvédelmi kérelmeket is érti.

(27) Az [….] email címre beérkező adatvédelmi tárgyú bejelentéseket, adatvédelmi kérelmeket, adatvédelemmel kapcsolatos, vagy az adatvédelmi tisztviselőnek címzett emaileket (összefoglalóan a továbbiakban: adatvédelmi kérelem) a Cég Contact Center nevű szervezeti egysége fogadja és kezdi meg a feldolgozásukat.

(28) Az érkeztetést követően a tartalmuk alapján adatvédelmi kérelemnek minősülő bejelentések továbbításra kerülnek, a Kérelmezett adatvédelmi kérelmeket kezelő munkatársához, vagy a Cég Központi panasz és hibakezelési szervezetének dedikált munkatársaihoz. Az adatvédelmi kérelmekre a válaszokat ezek a munkavállalók készítik el, az adatvédelmi kérelem típusosságának megfelelően. Amennyiben az adatvédelmi kérelem tartalma indokolja, a válasz elkészítésébe a Kérelmezett és a Cég adatvédelmi tisztviselője is bevonásra kerül.

(29) A Kérelmezett és a Cég adatvédelmi tisztviselője rendszeresen, az említett szervezetek bevonásával, negyedévente ellenőrzi az adatvédelmi kérelmek kezelését és a válaszok minőségét.

(30) A munkafolyamatokba bevont munkavállalók tevékenységüket a vonatkozó szabályzat és munkafolyamat alapján végzik (ezeket a Kérelmezett nyilatkozatához mellékelte). A postai úton, telefonon, vagy személyes bejelentésen alapuló és érkező adatvédelmi kérelmeket, adatvédelemmel kapcsolatos, vagy az adatvédelmi tisztviselőnek címzett levelekkel, hívásokkal, személyes bejelentésekkel kapcsolatos eljárásrend ugyanaz, mint a fentebb írtak.

(31) A munkafolyamatok végzésébe bevont munkavállalók munkaszerződésük alapján titoktartásra kötelezettek, a munkaszerződésük alapján jogosultak a személyes adatokhoz hozzáférni, azokat kezelni a GDPR és a Hpt. előírásainak betartása mellett a személyes adatok, a banktitok és más jogszabály alapján védett titok védelme érdekében. Az adatvédelmi kérelmeket tehát az arra kijelölt szervezetben dolgozó munkavállalók kezelik, a folyamatok feletti szakmai kontrollt pedig az adatvédelmi tisztviselő gyakorolja.

(32) A Kérelmezett annak kapcsán, hogy állápontja szerint hogyan érvényesülnek nála a 29. cikk szerinti Adatvédelmi Munkacsoport adatvédelmi tisztviselőkkel kapcsolatos, WP243 rev.01 számú iránymutatásának 2.6. pontjában megfogalmazott követelmények, kifejtette, hogy több különböző csatornát – levelezési cím, személyesen bármely bankfiókban, e-mail ([…]) és telefon – is biztosít arra, hogy az érintettek könnyen és közvetlenül tudjanak az adatvédelmi tisztviselőhöz fordulni.

(33) Az érintetti megkeresések, adatvédelmi kérelmek magas száma és összetettsége miatt (2020: 2259 db; 2021: 1699 db; 2022: 1580 db) a Kérelmezett álláspontja szerint nem lehetséges az, hogy mindegyiket az adatvédelmi tisztviselő közvetlenül kezelje és válaszolja meg, ezért kerültek kijelölésre a Kérelmezett és a […] szervezeti egységei. Ezen szervezeti egységek működése felett az adatvédelmi tisztviselő közvetlen szakmai kontrollt gyakorol.

(34) A Kérelmezett véleménye szerint a kialakított folyamatok megfelelő módon biztosítják az érintettek joggyakorlását. Az adatvédelmi tisztviselő elérhetetlensége miatt, tudomásuk szerint eddig nem érkezett adatvédelmi kérelem, panasz vagy jelzés a Kérelmezetthez, és emiatt az érintettek jogaik gyakorlásában nem voltak korlátozva.

A Kérelmező érintetti kérelmeinek kezelése (35) A Kérelmező érintetti kérelmeivel kapcsolatban a Kérelmezett arról tájékoztatta a Hatóságot, hogy a Kérelmező 2023.08.01. 17:22-kor tette első panaszát a telefonos ügyfélszolgálaton, ami [….] iktatószámon került rögzítésre, majd szintén a telefonos ügyfélszolgálaton újabb panaszt tett 2023.08.01. 17:51-kor, ami az előző panaszhoz került rögzítésre kiegészítésként. A Kérelmező 2023.08.01. 19:27-kor a Kérelmezett központi e-mailcímre is megírta a panaszát, ami a korábbi panaszaihoz került rögzítésre, majd 2023.08.01. 19:43-kor újabb emailt küldött a Kérelmezett központi e-mail címére, ami szintén a korábbi panaszaihoz került rögzítésre.

(36) A Kérelmező a 2023.08.01. 19:27-kor tett e-mailes panasz kiegészítésében kérte a telefonon tett panaszainak hangfelvételeit, továbbá a befizetéssel kapcsolatos kamerafelvételek másolatának a rendelkezésére bocsátását.

(37) A Kérelmezett előadta, hogy a Kérelmező – telefonon és e-mailben előadott - panaszait egyrészt pénzügyi panaszként, másrészt adatvédelmi kérelemként értékelte és kezelte. Tekintettel arra, hogy a Kérelmező jelezte, hogy nagyösszegű befizetés jóváírásának elmaradása nem várt helyzetet teremtett számára, ezért a Kérelmezett ezen probléma megoldását priorizálta, és sürgősségi megoldással 2023. augusztus 4-én jóváírta a befizetett összeget a Kérelmező számláján, amelyről 2023. augusztus 4-én kelt válaszlevelében tájékoztatta is a Kérelmezőt. A Kérelmezett ezen válaszában kizárólag a jóváírással kapcsolatos információkról nyújtott tájékoztatást a Kérelmezőnek.

(38) A Kérelmező 2023. augusztus 15-én 13:02-kor újabb kérelmet nyújtott be az […] email címre, amelyben többek között újból kérte a hangfelvételek és a kamerafelvételek rendelkezésre bocsátását.

(39) A Kérelmezett 2023. szeptember 5-én korlátozta a kamerafelvételek kezelését, és ezen a napon postára adta a kért hanganyagokat és kamerafelvételt tartalmazó adathordozót, amelyet a Kérelmező 2023. szeptember 7-én vett át.

II. Alkalmazott jogszabályok

(40) A GDPR 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre a GDPR-t kell alkalmazni. (41) GDPR 12. cikk (1) bekezdés: Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (42) GDPR 12. cikk (3) bekezdés: Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15–22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. (43) GDPR 12. cikk (4) bekezdés: Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. (44) GDPR 13. cikk (1) bekezdés: Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét: a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. (45) GDPR 13. cikk (2) bekezdés: Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja:

a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;

d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.13. cikk (1) bekezdés: Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét: (46) GDPR 15. cikk (3) bekezdés: Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri. (47) GDPR 18. cikk (1) bekezdés c) pont: Az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül:

c) az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; (48) GDPR 37. cikk (7) bekezdés: Az adatkezelő vagy az adatfeldolgozó közzéteszi az adatvédelmi tisztviselő nevét és elérhetőségét, és azokat a felügyeleti hatósággal közli. (49) GDPR 58. cikk (2) bekezdés b), c) és i) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva:

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; a) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett;

(50) GDPR 77. cikk (1) bekezdés: Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet. (51) GDPR 83. cikk (2): A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;

d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. (52) GDPR 83. cikk (5) bekezdés b) pont: Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az érintettek jogai a 12–22. cikknek megfelelően; (53) Az Infotv. 2. § (2) bekezdés: Személyes adatoknak az (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet a III-V. és a VI/A. Fejezetben, valamint a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §-ban, az 55. § (1)-(2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, a 62-71. §-ban, a 72. §ban, a 75. § (1)-(5) bekezdésében, a 75/A. §-ban és az 1. mellékletben meghatározott kiegészítésekkel kell alkalmazni.

(54) Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel.

(55) Infotv. 75/A. §: A Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

(56) Az üzleti titok védelméről szóló 2018. évi LIV. törvény (a továbbiakban: Üzleti titok tv.) 1. § (1) bekezdés alapján üzleti titok a gazdasági tevékenységhez kapcsolódó, titkos - egészben, vagy elemeinek összességeként nem közismert vagy az érintett gazdasági tevékenységet végző személyek számára nem könnyen hozzáférhető -, ennélfogva vagyoni értékkel bíró olyan tény, tájékoztatás, egyéb adat és az azokból készült összeállítás, amelynek a titokban tartása érdekében a titok jogosultja az adott helyzetben általában elvárható magatartást tanúsítja.

(57) Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel.

(58) Ákr. 10. § (1) bekezdés: Ügyfél az a természetes vagy jogi személy, egyéb szervezet, akinek (amelynek) jogát vagy jogos érdekét az ügy közvetlenül érinti, akire (amelyre) nézve a hatósági nyilvántartás adatot tartalmaz, vagy akit (amelyet) hatósági ellenőrzés alá vontak.

(59) Ákr. 47. § (1) bekezdés c) pont: A hatóság az eljárást megszünteti, ha c) az eljárás okafogyottá vált.

III. Döntés

III.1. Az eljárás tárgya (60) A Hatóság egyrészt a Kérelmező kérelme alapján a Kérelmező személyes adatai vonatkozásában vizsgálta a Kérelmezett kamerás adatkezeléssel kapcsolatos jogsértő tájékoztatását és a Kérelmező ezzel kapcsolatos érintetti kérelme teljesítését, továbbá emellett a Hatóság a Kérelmezett összes – ATM-mel rendelkező - bankfiókjára kiterjedően a Kérelmezett kamerás adatkezelésre vonatkozó tájékoztatási gyakorlatát is vizsgálta. III.2. Az érintettek tájékoztatása a kamerarendszer útján megvalósuló adatkezelésről (61) A Kérelmezett a nyilatkozata szerint a bankfiókok esetében a kamerarendszer útján megvalósuló adatkezelés kapcsán egységes gyakorlatot alkalmazott, így a Hatóság e tekintetben általánosan teszi meg a megállapításait, nem kizárólag a […] szám alatti bankfiók vonatkozásában.

(62) A kamerarendszer útján megvalósuló adatkezelés esetén az adatkezelőknek a GDPR 13. cikkének megfelelő tájékoztatást kell nyújtaniuk az érintettek számára a személyes adataik kezeléséről. (63) A GDPR 13. cikk (1)-(2) bekezdései a tájékoztatás megadásának időpontjával kapcsolatban úgy fogalmaznak, hogy az ott felsorolt információkat az adatkezelőnek a személyes adatok megszerzésének időpontjában kell az érintettek rendelkezésére bocsátania. (64) Az Iránymutatás 7.1.1. pontja szerint a tájékoztatást úgy kell kihelyezni, hogy az érintett a megfigyelt területre való belépés előtt könnyen felismerhesse a megfigyelés körülményeit. Ezen túlmenően az Iránymutatás meghatározza az első szintű tájékoztatás követelményeit is. Az Iránymutatás 114. bekezdése szerint az első szintű tájékoztatásnak (figyelmeztető tábla) általában a legfontosabb információkat kell tartalmaznia, így például az adatkezelés céljaira, az adatkezelő kilétére és az érintett jogainak meglétére vonatkozó részletes tudnivalókat, valamint az adatkezelés legnagyobb hatásaival kapcsolatos információkat. Ide tartozhatnak például az adatkezelő (vagy harmadik fél) jogos érdekei és (adott esetben) az adatvédelmi tisztviselő elérhetőségei. Emellett utalni kell a részletesebb, második szintű tájékoztatásra, valamint elérhetőségének helyére és módjára.

(65) A Kérelmezett nyilatkozata és az általa csatolt képfelvételek szerint 2023. szeptember 6-a előtt a bankfiókok bejáratán elhelyezett matrica kizárólag a kamerás adatkezelés tényére figyelmeztetett, illetve arról tájékoztatott, hogy „az adatkezeléssel kapcsolatos tájékoztató a várakozó zónában megtekinthető”. (66) A kamerás adatkezelésre figyelmeztető piktogram tehát semmilyen további információt nem tartalmazott az adatkezelésre vonatkozóan, abból az adatkezelő kiléte, az adatvédelmi tisztviselő elérhetősége, az adatkezelés célja, jogalapja, az adatkezelés időtartama, és az érintetteket az adatkezeléssel összefüggésben megillető jogok nem voltak megismerhetők, azaz a Kérelmezett nem teljesítette az Iránymutatás szerinti első szintű tájékoztatás követelményeit. (67) A várakozási zóna alatt a Kérelmezett tájékoztatása szerint a bankfiók ügyféltere értendő, azaz az a terület, ahova az érintettek nyitvatartási időn kívül nem tudnak belépni. A Kérelmezett nyilatkozata szerint 2023. szeptember 6-a előtt a Kérelmezett honlapján a kamerarendszer útján megvalósuló adatkezelésről szóló tájékoztatója a honlapján nem volt elérhető, és ilyen tájékoztatót a Hatóság sem talált az eljárás kezdetekor a Kérelmezett honlapján. (68) Mindebből az következik, hogy a bankfiókok nyitvatartási idején kívül a Kérelmezett által végzett kamerás adatkezelésről szóló tájékoztató nem volt hozzáférhető az érintettek számára, holott bankkártyájuk használatával az ATM-mel rendelkező (mindösszesen […] db) bankfiókok előterébe a fiók nyitvatartási idején kívül is be tudtak lépni, és az ott elhelyezett bankautomatákat tudták használni, melynek során róluk kamerafelvétel is készült. Ebből kifolyólag 2023. szeptember 6-ig a Kérelmezett nem teljesítette a tájékoztatási kötelezettségét a bankfiókok előterét nyitvatartási időn kívül felkereső érintettek vonatkozásában tekintettel arra, hogy a személyes adatok gyűjtésének időpontjában az érintettek számára nem volt hozzáférhető a személyes adataik kamerarendszer útján megvalósuló adatkezelésről szóló tájékoztatás, azaz ezen időszakban nem ismerhették meg a személyes adataik kezelésének körülményeit. Mindezek alapján a Hatóság megállapítja, hogy a Kérelmezett megsértette a GDPR 13. cikk (1)-(2) bekezdését, amikor nem tette hozzáférhetővé a kamerás adatkezelésről szóló tájékoztatóját a bankfiókok nyitvatartási idején kívül az érintettek számára. III.3. Az adatvédelmi tisztviselő elérhetősége (69) A GDPR az adatvédelmi tisztviselő elérhetőségével összefüggésben nem tartalmaz részletes rendelkezéseket. A GDPR 37. cikk (7) bekezdése szerint az adatkezelő vagy az adatfeldolgozó közzéteszi az adatvédelmi tisztviselő nevét és elérhetőségét. A GDPR 13. cikk (1) bekezdése, valamint a 14. cikk (1) bekezdése pedig szintén az érintett rendelkezésére bocsátandó információként nevesíti az adatvédelmi tisztviselő elérhetőségét. (70) Az adatvédelmi tisztviselő elérhetőségének kérdésével valamennyivel részletesebben foglalkozik a 29 cikk szerinti Adatvédelmi Munkacsoport adatvédelmi tisztviselőkkel kapcsolatos WP243 rev.01 számú iránymutatásának 2.6. pontja. Eszerint a GDPR 37. cikk (7) bekezdése azt a célt szolgálja, hogy az érintettek (a szervezeten belül és kívül) és a felügyeleti hatóságok könnyen és közvetlenül tudjanak fordulni az adatvédelmi tisztviselőhöz, anélkül, hogy kapcsolatba kellene lépniük a szervezet más részével. (71) Az adatvédelmi tisztviselőkkel kapcsolatos iránymutatás szerint az adatvédelmi tisztviselő elérhetőségének olyan információkat kell tartalmazni, amelyek révén az érintettek és a felügyeleti hatóságok könnyen el tudják érni az adatvédelmi tisztviselőt (levelezési cím, erre a célra fenntartott telefonszám és/vagy erre a célra fenntartott e-mail cím). Adott esetben a nyilvánosság tájékoztatása céljából más kommunikációs eszközök is alkalmazhatók, például egy erre a célra fenntartott forródrót vagy a szervezet honlapján az adatvédelmi tisztviselőhöz vezető kapcsolatfelvételi űrlap. (72) A Kérelmezett a honlapján az adatvédelmi tisztviselő elérhetőségeként az […] e-mail címet jelölte meg, valamint a központi ügyfélszolgálati telefonszámot, amelyek nem kizárólag az adatvédelmi tárgyú kérelmek, hanem a pénzügyi panaszok fogadására is szolgálnak. A kérelmek megfelelő beazonosítását követően azonban a Kérelmezett és a Cég erre dedikált szervezeti egységei és munkavállalói válaszolják meg az adatvédelmi tárgyú kérelmeket, illetve amennyiben azt a kérelem tartalma indokolja, a válasz elkészítésébe a Kérelmezett és a Cég adatvédelmi tisztviselője is bevonásra kerül. Emellett a Kérelmezett és a Cég adatvédelmi tisztviselője rendszeresen, negyedévente ellenőrzi az adatvédelmi kérelmek kezelését, és a válaszok minőségét. (73) A Hatóság itt tartja szükségesnek megjegyezni, hogy a GDPR 39. cikke határozza meg az adatvédelmi tisztviselő minimum feladatait, amelyek között azonban nem szerepel az érintetti kérelmek kezelése, megválaszolása, azaz bár érthető az igény az érintettek részéről, hogy a kérelmükkel közvetlenül az adatvédelmi tisztviselő foglalkozzon, az adatkezelő ezt nem köteles biztosítani, erre irányuló a GDPR-ból fakadó kötelezettsége nincs. Továbbá az sem hagyható figyelmen kívül, hogy egy olyan szervezet esetén, ahol tömegével történik ügyféladatok kezelése, és ebből kifolyólag nagy számú érintetti kérelem érkezik be az adatkezelőhöz, nem is várható el, hogy minden egyes kérelemmel külön az adatvédelmi tisztviselő foglalkozzon. Az adatkezelőnek csupán azt kell biztosítania, hogy a GDPR 12. cikk (3)-(4) bekezdései szerinti határidőben, a GDPR szabályainak megfelelően legyenek kezelve az érintetti kérelmek. (74) A Kérelmező kérelmének a Kérelmezett eleget tett, annak teljesítését nem befolyásolta, hogy azt nem tudta közvetlenül az adatvédelmi tisztviselő részére eljuttatni, azaz őt nem érte joghátrány abból, hogy a kérelmeit a Kérelmezett […] e-mail címen kellett benyújtania. (75) Ebből kifolyólag a Hatóság a Kérelmezett adatvédelmi tisztviselője elérhetőségének közzététele kapcsán jogsértést nem állapít meg, és a Kérelmező vonatkozó kérelmeit – jogsértés megállapítása, marasztalás, utasítás az adatvédelmi tisztviselő elérhetőségének módosítására – elutasítja. III.4. A Kérelmező érintetti kérelmeinek kezelése (76) A Kérelmező 2023. augusztus 1-jén, 19:26-kor kelt, a […] e-mail címről az […] e-mail címre küldött elektronikus levelében kérte a Kérelmezett telefonos ügyfélszolgálatával folytatott két telefonbeszélgetése hanganyagának a rendelkezésére bocsátását. Ezen kívül kérte a […] szám alatti bankfiók külső helyiségében található bankautomata kamerafelvételeinek is a rendelkezésére bocsátását, megadva, hogy mettől meddig tartózkodott az ügyféltérben. Emellett kérte, hogy a Kérelmezett a kamerafelvételeket mindaddig ne törölje, amíg az automata által elnyelt összeg jóváírásra nem kerül a bankszámláján.

(77) A Kérelmezett 2023. augusztus 4-én kelt válaszlevelében kizárólag a Kérelmező pénzügyi panaszával foglalkozott, az adatvédelmi kérelmeire ezen levelében nem reagált. A Kérelmezett nyilatkozata szerint a Kérelmező ezért 2023. augusztus 15-én 13:02-kor újabb kérelmet nyújtott be az […] email címre, amelyben többek között újból kérte a hangfelvételek és a kamerafelvételek rendelkezésre bocsátását.

(78) A Kérelmezett 2023. szeptember 5-én korlátozta a kamerafelvételek kezelését, és ezen a napon postára adta a kért hanganyagokat és kamerafelvételt tartalmazó adathordozót, amelyet a Kérelmezett 2023. szeptember 7-én vett át.

(79) A Kérelmező a fentiek szerint a GDPR 15. cikk (3) bekezdése szerinti másolathoz való jogát, illetve a kamerafelvételek vonatkozásában a GDPR 18. cikk (1) bekezdés c) pontja szerinti, az adatkezelés korlátozásához való jogát kívánta gyakorolni. A GDPR 12. cikk (3) bekezdése szerint az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15–22. cikk szerinti kérelem nyomán hozott intézkedésekről.

(80) A Kérelmező 2023. augusztus 1-jén nyújtotta be e-mailben az érintetti kérelmeit a Kérelmezetthez, aki azokat végül 2023. szeptember 5-én teljesítette. A Hatóság álláspontja szerint a Kérelmező érintetti kérelme – tekintettel arra, hogy azt munkaidőn túl nyújtotta be a Kérelmezetthez – 2023. augusztus 2. napjával tekinthető a Kérelmezetthez beérkezettnek, azaz azt 2023. szeptember 2-ig kellett volna a Kérelmezettnek megválaszolnia. Ebből kifolyólag a Hatóság megállapítja, hogy a Kérelmezett megsértette a GDPR 12. cikk (3) bekezdését, amikor késedelmesen tett eleget a Kérelmező másolat kiadása és adatkezelés korlátozása iránti kérelmének.

(81) Mindazonáltal a késedelem ellenére a Hatóság álláspontja szerint nem sérültek a Kérelmező érintetti jogai, mivel a késedelem pusztán három nap volt, és ez nem befolyásolta a Kérelmező kérelmeinek teljesíthetőségét, a Kérelmezett a Kérelmező valamennyi érintetti kérelmének eleget tett, így a késedelemből a Kérelmezőt a késedelem tényén kívül további sérelem nem érte. A Hatóság az érintetti jogok sérelmének vizsgálata során továbbá azt is figyelembe vette, hogy a Kérelmezett még az előtt teljesítette a Kérelmező érintetti kérelmeit, hogy tudomást szerzett volna arról, hogy a Kérelmező e kérdésekre is kiterjesztette a hatósági eljárás iránti kérelmét, azaz a teljesítésre a Hatóság közrehatása nélkül került sor.

III.5. A Kérelmező adatvédelmi bírság kiszabására vonatkozó kérelme (82) A Hatóság elutasítja a Kérelmező adatvédelmi bírság kiszabását is kérte, azonban e jogkövetkezmény alkalmazása a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen, a közérdek érvényesítésének körébe eső jogkövetkezmény alkalmazása tekintetében – a bírságkiszabás vonatkozásában – a Kérelmező nem minősül ügyfélnek az Ákr. 10.§ (1) bekezdése alapján, így e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető.

III.6. Az eljárás megszüntetése (83) A Kérelmező kérte, hogy a Hatóság kötelezze a Kérelmezettet a GDPR 13. cikke szerinti tájékoztató közzétételére.

(84) A Kérelmezett a Hatóság erre irányuló kötelezése nélkül átalakította a kamerás adatkezeléssel összefüggő tájékoztatási gyakorlatát, a tájékoztatót hozzáférhetővé tette a honlapján, illetve módosította az első szintű tájékoztatást is, így az adatkezeléssel összefüggő legelemibb információk már a bankfiókok bejáratánál elhelyezett tájékoztató táblákról is megismerhetők.

(85) Ebből kifolyólag a Kérelmező ezen kérelme kapcsán az eljárás okafogyottá volt, így a Hatóság az eljárást ebben a körben az Ákr. 47. § (1) bekezdés c) pontja alapján megszünteti.

III.7. A Kérelmező GDPR 5. cikk (1) bekezdés a) pontjának sérelmének megállapítására irányuló kérelme (86) Tekintettel arra, hogy a Hatóság a megfelelő tájékoztatás hiánya miatt a GDPR 13. cikk sérelmét megállapította, ami az adatkezelés átláthatatlanságát is magában foglalja, a GDPR

13. cikk sérelme mellett a GDPR 5. cikk (1) bekezdés a) pontjának a sérelme nem állapítható meg külön olyan tényállási elem nélkül, mely a GDPR 13. cikk sérelme megállapítása körében nem került értékelésre.

(87) A fentiek miatt a Hatóság a Kérelmező azon kérelmét, hogy állapítsa meg a GDPR 5. cikk (1) bekezdés a) pontjának a sérelmét, elutasította.

III.8. Üzleti titokként kezelésről döntés (88) A Kérelmezett és a Cég között létrejött megbízási szerződés részletes tartalma vonatkozásában a Kérelmezettet az érintettek, és így a Kérelmező irányában tájékoztatási kötelezettség nem terheli, ezért ennek tartalmának üzleti titokként történő kezelése a GDPR rendelkezéseibe nem ütközik, kivéve azt, hogy a Cég panaszkezeléssel összefüggésben adatfeldolgozó, mivel azzal kapcsolatban a Kérelmezettet a Kérelmező felé a GDPR 13. cikk (1) bekezdés e) pont alapján tájékoztatási kötelezettség terheli. Emiatt a rendelkező részben említett dokumentum vonatkozásában a Kérelmezett kérelmének a Hatóság az Ákr. 27. § (2) bekezdése alapján helyt ad azzal, hogy a tényállás tisztázáshoz szükséges dokumentumrész azon része, mely a panaszkezelést menetét általánosságban leírja a határozatban ismertetve került, mivel az ezzel kapcsolatos eljárás menetét az érintettek ismerhetik, így a Kérelmező is ismerheti.

A dokumentum tartalmának üzleti titokként történő kezelése nem azt jelenti, hogy a Hatóság a döntésében nem hivatkozhat az üzleti titkot tartalmazó dokumentumra, hanem, hogy annak teljes egészében való megismerését arra jogosulatlanok számára nem teszi lehetővé. III.9. Jogkövetkezmények (89)

A Hatóság megállapítja, hogy a Kérelmezett megsértette a GDPR 12. cikk (3) bekezdését, és a 13. cikk (1) és (2) bekezdését. (90) Az Infotv. 75/A. § alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

(91) E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire és az adatkezelés természetére, a Hatóság megállapította, hogy a GDPR 13. cikk (1)-(2) bekezdéseinek megsértése kapcsán a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért a Hatóság hivatalból bírság kiszabása mellett döntött az Infotv. 61. § (1) bekezdés a) pontjára figyelemmel a GDPR 58. cikk (2) bekezdés i) pontja alapján. (92) A Hatóság a GDPR 12. cikk (3) bekezdésének megsértéséért nem tartja szükségesnek adatvédelmi bírság kiszabását tekintettel arra, hogy a Kérelmezett csak három nappal lépte túl a rendelkezésére álló határidőt, a Kérelmező kérelmének eleget tett, azaz érdemi joghátrány a késedelem miatt a Kérelmezőt nem érte. Tekintettel arra, hogy ebben a tekintetben a Hatóság nem látta indokoltnak a bírság kiszabását, ezért nem vizsgálta azt, hogy a jogsértés gondatlan vagy szándékos volt-e. (93) A Hatóság a GDPR 13. cikk (1)-(2) bekezdéseinek megsértéséért kiszabott adatvédelmi bírság összegének megállapítása során figyelembe vette az Európai Adatvédelmi Testület 4/2022-es számú iránymutatásában (a továbbiakban: Iránymutatás)2 foglaltakat, amely a GDPR szerinti közigazgatási bírságok kiszabásának számítási szempontjait tartalmazza. A GDPR 13. cikk (1)- (2) bekezdéseinek megsértéséért kiszabott adatvédelmi bírság összegének megállapítására a következő szempontok alapján került sor:

a. A Kérelmezett által elkövetett jogsértések – a hozzáférési és az adatkezelés korlátozásához való jog megsértése – a GDPR 83. cikk (5) bekezdés b) pontja szerint a magasabb összegű bírságkategóriába tartozó, súlyosabb jogsértésnek minősülnek.

b. A jogsértés súlyosságának meghatározásához a Hatóság az alábbi szempontokat vette figyelembe.

a. A jogsértés természete (nature of infringement) kapcsán vizsgálandó, hogy milyen érdek védelmét szolgálja a megsértett rendelkezés. A konkrét ügyben a Hatóság a GDPR 13. cikk (1) és (2) bekezdéseinek sérelmét állapította meg. A GDPR 13. cikke szerinti tájékoztatáshoz való jog azt hivatott biztosítani, hogy az érintettek a személyes adataik kezelésének megkezdése előtt vagy legkésőbb azzal egyidejűleg megismerhessék a személyes adataik kezelésének legfontosabb körülményeit, így biztosítva számukra, hogy dönthessenek arról, hogy kívánják-e személyes adataik kezelését, illetve, világos és átlátható legyen számukra, hogy hogyan történik a személyes adataik kezelése az adatkezelő által. A Hatóság a fentieket a jogsértés súlyosságának meghatározása körében mint a jogsértés súlyosságát növelő tényezőt veszi figyelembe.

b. Az adatkezelés természetét, azaz, annak földrajzi kiterjedését, az adatkezelés kockázatos voltát, az érintettre gyakorolt negatív hatását, valamint az érintett és az adatkezelő közti viszonyt is értékelni szükséges. A megállapított jogsértést a Kérelmezett a Magyarország területén kifejtett tevékenysége körében követte el, az minden – ATM-mel rendelkező -bankfiókját érintette. A Kérelmezett bankfiókjaiban a kamerarendszer útján megvalósuló adatkezelési tevékenység nem tekinthető magas kockázatúnak. A Hatóság álláspontja szerint a jogsértés eredményeként az érintetteket hátrány érhette, ahogyan a Kérelmezőt is érte. A Hatóság a jogsértést nem kizárólag a Kérelmező vonatkozásában állapítja meg, hanem valamennyi olyan személy vonatkozásában, akik tekintetében a Kérelmezett nem tett eleget a tájékoztatási kötelezettségének. A Kérelmezett nyilatkozata alapján a jogsértő állapot fennállása alatt (2022. január 20-2023. szeptember 5.) hozzávetőlegesen […] fő használta a Kérelmezett bankfiókjainak előterében elhelyezett bankautomatákat nyitvatartási időn kívül, tehát nagyszámú érintettről van szó. A jogsértéssel érintett személyek tipikusan a Kérelmezett bankkártyával rendelkező ügyfelei, illetve más pénzintézetnél bankkártyával rendelkező természetes személyek voltak, akik a bankkártyájuk használatával be tudtak

2 Guidelines 04/2022 on the calculation of administrative fines under the GDPR (Version 2.0.). Online: https://edpb.europa.eu/system/files/2023-06/edpb_guidelines_042022_calculationofadministrativefines_en.pdf lépni a bankfiókok előterébe nyitvatartási időn kívül is. A vizsgált adatkezeléssel összefüggésben elmondható, hogy az érintett ügyfél minden szempontból kiszolgáltatott helyzetben van, hiszen ha nincs más személy jelen az előtérben, akkor tanúja sincs az őt ért sérelem igazolására, és az egyetlen hiteles bizonyíték (kamerafelvétel) a Kérelmezettnél van, aki lehet ellenérdekű fél is. A Hatóság véleménye szerint a Kérelmezettnek a tájékoztatás során nagyon nagy körültekintéssel kellene eljárnia, hogy az ügyfele a kérelemmel érintett hasonló eset előfordulása esetén (amikor valószínűleg pánikba is esik) tudja, hogy kihez fordulhat. A Hatóság a fentiek alapján a jogsértés súlyosságát növelő tényezőként értékeli az adatkezelés természetét, az érintettekre gyakorolt hatását és az érintettek és az adatkezelő közti viszonyt. A Hatóság a jogsértés súlyosságát növelő tényezőként értékeli az érintettek számát, mivel ugyan az igaz, hogy a kérelemmel érintett ügy speciális, ugyanis nem minden esetben fordul elő hasonló helyzet, de minél több az érintett, annál nagyobb valószínűséggel fordulhatnak elő ilyen vagy hasonló helyzetek, amikor az érintett nem várt helyzettel találkozik a készpénzfelvétele során, amivel kapcsolatban csak a kamerafelvételekre, mint egyetlen bizonyítékra tud támaszkodni.

c. A Kérelmezett tevékenysége elsődlegesen nem személyes adatok kezelésére irányul, az nem tekinthető a fő tevékenységének, azonban a szolgáltatásai nyújtásához, valamint különböző jogszabályi előírások teljesítéséhez elengedhetetlen számára a személyes adatok széles körű kezelése, és emiatt kifejezetten nagy számban kezel személyes adatokat, ideértve azt is, hogy a bankfiókjaiban széles körben üzemeltet kamerarendszereket, így ez a jogsértés súlyosságát növelő tényezőként veendő figyelembe.

d. Vizsgálandó továbbá, hogy mennyi ideig állt fenn vagy mennyi ideje áll fenn a jogsértés. Ahogyan azt a Hatóság már a b) pontban kifejtette a Kérelmezett nyilatkozata alapján a kamerás adatkezelésekkel kapcsolatos tájékoztatási gyakorlatát 2023. szeptember 6. napjával alakította át, azaz ezt megelőzően még a korábbi, a Hatóság által a fentiekben jogsértőnek kimondott tájékoztatási gyakorlatát folytatta. Azaz 2022. január 20. és 2023. szeptember 6. között a tájékoztatási gyakorlata jogellenes volt, azaz a jogsértés huzamosabb ideig fennállt, ami a jogsértés súlyosságát növelő tényező.

e. A Hatóság álláspontja szerint a Kérelmezett a kamerás adatkezeléssel összefüggő tájékoztatási gyakorlata kialakítása során súlyosan gondatlanul járt el, figyelemmel arra, hogy csupán a Kérelmező panasza alapján észlelte a tájékoztatási gyakorlata jogsértő voltát, valamint arra, hogy az Iránymutatás 2020. január 30-án került elfogadásra, így a GDPR szabályait és követelményeit részletesebben kibontó, a jó gyakorlatok kialakítását segítő dokumentum már több éve hozzáférhető volt a Kérelmezett számára, ennek ellenére 2022. január 20. napját követően nem megfelelő gyakorlatot alkalmazott, és nem alakította át a tájékoztatási gyakorlatát. Ezen körülmény a jogsértés súlyosságát növelő tényezőként került figyelembevételre.

f. A jogsértés súlyosságának megállapításánál a Hatóság figyelembe veszi továbbá, hogy a jogsértés nem érinti személyes adatok különleges kategóriáit.

Ez a körülmény a jogsértés súlyosságát csökkentő tényezőként került figyelembevételre.

g. Mindezen szempontok alapján – bár a jogsértés természetét tekintve súlyosabb jogsértésnek minősül – a Hatóság arra a megállapításra jutott, hogy a GDPR 13. cikk (1)-(2) bekezdéseinek Kérelmezett általi megsértése közepes súlyúnak minősül, azaz a bírság számításának kiinduló pontja a maximum kiszabható bírságösszeg 10-20%-a. (94) A Hatóság a bírságkiszabás során az alábbi körülményeket súlyosító körülményként értékelte:

a. A Kérelmezett már több alkalommal megsértette a GDPR rendelkezéseit, ebből három ügyben került sor bírság kiszabására [NAIH/2019/363/H (ötszázezer forint); […..] ([…]); NAIH-359/2023 (kétmillió forint).

A Hatóság előtt a Kérelmezettel szemben lefolytatott eljárások közül a […]. számú határozatában megállapított, a GDPR 13. cikk (1) bekezdés c) és d) pont sérelme tekinthető relevánsnak a jelen eljárás szempontjából tekintettel arra, hogy a konkrét ügyben a Kérelmezett által az érintetteknek nyújtott tájékoztatás nem terjedt ki valamennyi, a GDPR 13. cikk (1) bekezdése szerinti információra, továbbá az ott megállapított jogsértés nem a kamerás adatkezelésre vonatkozott, hanem a […] összefüggő adatkezelésre a megsértett GDPR rendelkezések részbeni egyezősége miatt ezen jogsértés a jelen eljárás szempontjából releváns jogsértésnek tekinthető. [GDPR 83. cikk (2) bekezdés e) pont]

(95) A Hatóság a bírságkiszabás során az alábbi körülményt enyhítő körülményként értékelte:

a. A Kérelmezett külön erre irányuló hatósági felhívás nélkül, a jelen eljárás megindításáról szóló végzés kézhezvételét követően intézkedéseket tett a tájékoztatási gyakorlata átalakítására, elkezdte alkalmazni az Iránymutatás által ajánlott tájékoztatási gyakorlatot – első és második szintű tájékoztatás – valamint a bankfiókok várakozó terén kívül a honlapján is elérhetővé tette az Adatvédelem fül alatt a kamerás adatkezelésről szóló tájékoztatóját. Mindezek alapján a Kérelmezett külön felhívás nélkül lépéseket tett annak érdekében, hogy a jogsértő tájékoztatási gyakorlatát megszüntesse és azt összhangba hozza a GDPR rendelkezéseivel. [GDPR 83. cikk (2) bekezdés k) pont]

b. A Kérelmezett jóváírta a Kérelmezett bankszámláján a bankautomata által elnyelt pénzösszeget, elhárította a kárát, és a Hatóságnak más – hasonló – káresetről nincs tudomása. [GDPR 83. cikk (2) bekezdés k) pont]

(96) A Hatóság a bírságkiszabás során a GDPR 83. cikk (2) bekezdés h) pontját semleges körülményként értékeli, az i) és j) pontja szerinti körülményeket pedig nem tartotta relevánsnak, mivel azok a konkrét ügy kapcsán nem értelmezhetők. (97) A bírság összegének meghatározására a következő szempontok alapján került sor:

a. A Hatóság kizárólag a GDPR 13. cikk (1)-(2) bekezdéseinek megsértése miatt szab ki adatvédelmi bírságot a jelen ügyben a Kérelmezettel szemben. A Hatóság álláspontja szerint a Kérelmezett a jogsértést egy szankcionálandó magatartással valósította meg, azaz a bírság teljes összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget.

b. A Kérelmezett 2022. évi nettó árbevétele – az Opten céginformációs szolgáltatás szerint […] Ft, azaz […] forint volt. A kiszabott bírság a nettó árbevétel […] %-a.

c. A GDPR 83. cikk (5) bekezdésében foglaltak alapján a Kérelmezett az elkövetett jogsértések esetén „legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal [statikus bírságmaximum], illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani [dinamikus bírságmaximum], azzal, hogy a kettő közül a magasabb összeget kell kiszabni.”

d. A Kérelmezett 2022. évi nettó árbevételének 4 %-a […] Ft – azaz […] forint, amely 1 EUR=386,8 HUF középárfolyam mellett3 [….] EUR-nak, azaz […] eurónak felel meg, amely meghaladja a GDPR 83. cikk (5) bekezdése által meghatározott statikus bírságmaximumot, azaz a 20 000 000 EUR-nak megfelelő összeget. Mivel a statikus és a dinamikus összegek közül a bírságot az adott esetben kiszabható magasabb kategória alapján kell számolni és ahhoz arányosítani, így a Kérelmezett a jelen ügyben legfeljebb […] Ft-nak – […] forintnak – megfelelő bírsággal sújtható tekintettel arra, hogy a 20 000 000 euró a fenti árfolyamon számolva [….] Ft-nak – azaz [….] forintnak – felel meg, és ezek közül a Kérelmezett nettó árbevételének a 4%-a a magasabb összeg, azaz a dinamikus maximum tekintendő a kiszabható bírság maximumának.

e. A Hatóság által megállapított jogsértések súlya közepes, ezért a bírságszámítás kezdő összege az előző évi nettó árbevétel 0,4-0,8%-ban határozandó meg tekintettel arra, hogy a Kérelmezett 2022. évi nettó árbevétele meghaladta az 500 millió eurót. Tekintettel erre a jogsértés súlya alapján meghatározott kiinduló bírságösszeg további szempontok alapján – a vállalkozás árbevételének figyelembevételével – tovább nem módosítandó tekintettel arra, hogy a Kérelmezett esetében ez a szempont már a dinamikus bírságmaximum meghatározásánál érvényesítésre került.

f. Tekintettel arra, hogy a megállapított jogsértés közepes súlyúnak minősül, így a bírság számításának kiinduló pontja a maximum kiszabható bírságösszeg 10-20%-a. A Kérelmezett 2022. évi nettó árbevételének 0,4%-a […] Ft, azaz […] forint, 0,8 %-a [….] Ft, azaz […] forint.

g. A Hatóság a (84) bekezdés szerinti enyhítő körülményt jelentős enyhítő körülményként értékeli tekintettel arra, hogy a Kérelmezett a jogsértő állapotot saját döntése alapján, az arra irányuló külön hatósági felhívás nélkül megszüntette. Erre, valamint a bírság kiszabásának általános követelményeire tekintettel, miszerint a bírságnak hatékonynak, az elkövetett jogsértéssel arányosnak kell lennie, a Hatóság a Kérelmezett 2022. évi nettó árbevételének 0,4%-nál alacsonyabb összegű bírság kiszabását tartja indokoltnak.

h. A Hatóság mindezek alapján 60 000 000 Ft, azaz hatvanmillió forint adatvédelmi bírság kiszabása mellett döntött. (98) A bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg. (99) Mindezek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

3https://www.mnb.hu/arfolyamtablazat?deviza=rbCurrencyActual&devizaSelected=EUR&datefrom=2024.02.06.&datetill=2024.+02.+06.&order=1

IV. Egyéb kérdések

(100) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (101) A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. (102) Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal és a megszüntető végzéssel szemben közigazgatási per útján van helye jogorvoslatnak.

(103) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (104) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (105) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (106) Ha az előírt kötelezettségük teljesítését a Kérelmezettek megfelelő módon nem igazolják, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítették. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja.

Budapest, „az elektronikus aláírás és időbélyeg szerint”

Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár