Hungarian Data Protection Authority: lawfulness of processing personal data in the context of assignment of a claim

Tárgy: kérelem elutasítása és végzés határidő túllépéssel összefüggésben

Ügyszám: NAIH/2020/1507. Ügyintéző:

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] és […]

(lakóhely: […]) kérelmezők (a továbbiakban: Kérelmezők) kérelmére […] -vel (székhely: […]) (a továbbiakban: Kérelmezett) szemben indult adatvédelmi hatósági eljárásban az alábbi döntést hozza: I.1. A Hatóság határozatában a Kérelmezők személyes adatainak törlésére irányuló kérelmét elutasítj a.

I.2. A Hatóság hivatalból megállapítja, hogy a Kérelmezett a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR) 6. cikk (1) bekezdésének b) pontjára hivatkozással jogszerűen nem kezelheti a Kérelmezőknek a kérelemmel érintett személyes adatait.

I.3. A Hatóság hivatalból kötelezi a Kérelmezettet, hogy a bírósági felülvizsgálat kezdeményezésére irányadó keresetindítási határidő lejártát, illetve felülvizsgálat kezdeményezése esetén a bíróság döntését követő 15 napon belül igazolja a Kérelmező felé, ha jogos érdeke fűződik a Kérelmező személyes adatainak követeléskezelési célú kezeléséhez és ezen érdek a Kérelmező alapvető jogaival szemben elsőbbséget élvez, valamint a GDPR 14. § (2) bekezdésének b) pontja alapján tájékoztassa a Kérelmezőt, hogy milyen jogos érdeke miatt szükséges személyes adatai követeléskezelési célú kezelése, ezen érdek a Kérelmező alapvető jogaival szemben elsőbbséget élvez-e, valamint tájékoztassa a Kérelmezőt az őt megillető tiltakozási jogról, és arról, hogy azt hogyan gyakorolhatja! Amennyiben a jogos érdeket igazolni nem tudja, törölje ezen adatokat! I.4. A Hatóság hivatalból kötelezi a Kérelmezettet, hogy amíg nem tesz eleget az I.3. pontban foglalt kötelezésnek, addig korlátozza a Kérelmezők személyes adatainak követeléskezelési célú kezelését. II. Tekintettel arra, hogy túllépte az ügyintézési határidőt, a Hatóság végzésében akként rendelkezik, hogy 10.000 Ft-ot, azaz tízezer forintot a Kérelmezőnek – írásban megjelölendő választása szerint – bankszámlára utalással vagy postai úton megfizet.

* * * Az I.3.-I.4. pont szerinti kötelezettség teljesítését a Kérelmezettnek az intézkedés megtételétől számított 8 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt igazolnia a Hatóság felé. A kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását. Az I. pont szerinti határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

A Hatóság felhívja a Kérelmezettek figyelmét, hogy a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg! A II. pont szerinti végzéssel szemben nincs helye önálló jogorvoslatnak, az csak az ügy érdemében hozott határozat elleni jogorvoslati kérelemben támadható meg.

I N D O K O L Á S

I. Az eljárás menete és a tényállás tisztázása

I.1. A Kérelmezők 2019. január 15-én kérelmet nyújtottak be a Pest Megyei Főügyészséghez, melyben személyes adataiknak a Kérelmezettnél való törlésére irányuló intézkedések megtételét kérték. A kérelem a Pest Megyei Főügyészségtől áttétel útján 2019. január 30-án érkezett a Hatósághoz. A Kérelmezők által előadottak szerint „a rég elévült, jogilag rendezett adósság újbóli követelése” indokolatlan, ezért kérték, hogy a Hatóság rendelje el a Kérelmezett által nyilvántartott adataik törlését. A Kérelmezők kérelmére az Infotv. 60. § (1) bekezdése alapján NAIH/2019/1591. ügyszámon adatvédelmi hatósági eljárás indult.

I.2. A Hatóság végzéseiben az üggyel kapcsolatban tájékoztatást kért a Kérelmezettől a tényállás tisztázása érdekében.

A Kérelmezett 2019. március 19-én kelt válaszlevelében előadta, hogy a Kérelmezőkkel szemben fennálló […] számú számlaszámmal jelölt kölcsönügyletből eredő […] ügyszám alatt nyilvántartott követelést 2013. július 08. napján engedményezéssel vásárolta meg […]-től, és ettől az időponttól kezdődően kezeli a Kérelmezők személyes adatait, és adatkezelésének célja a Kérelmezőkkel szemben fennálló követelés érvényesítése.

A Kérelmezett válaszában úgy nyilatkozott, hogy a GDPR 6. cikk (1) bekezdés b) pontja alapján, szerződéses jogalapon, és a GDPR 6. cikk (1) bekezdés f) pontja, azaz jogos érdek alapján kezeli a Kérelmezők személyazonosító adatait (név, születési név, anyjuk neve, születési hely, születési idő), lakcímüket, adósságukra, illetve annak teljesítésére vonatkozó adatokat (adósság összege, követelés adatai (tőke, kamat, költség, díj)), az adósság jogcímét, jogviszonyukra vonatkozó adatokat, az ügyletazonosítót és az ügyiratszámot.

A Kérelmezett 2019. március 19-én kelt válaszleveléhez mellékelte a Borsod-Abaúj-Zemplén Megyei Főügyészség megkeresésére adott 2019. február 11-én kelt válaszát, amelynek tanúsága szerint a Kérelmezett az engedményezés keretében átvett iratokat folyamatban lévő nyomozati eljárás során védekezéséhez felhasználja, ugyanis Kérelmezők a Pest Megyei Főügyészséghez benyújtott, onnan a Borsod-Abaúj-Zemplén Megyei Főügyészséghez továbbított beadványukban azt sérelmezték, hogy a Kérelmezett zaklatja őket egy olyan tartozás miatt, mely rég elévült és jogilag rendezett. A Kérelmezett válaszában előadta, hogy a Kérelmezők beadványukhoz olyan, […]-től származó levelet csatoltak, amely egy másik, […] ügyszámú hitelszerződésnek, és nem a Kötelezett által engedményezéssel megszerzett követelés elévülésére vonatkozik. Az […] ügyiratszámú hitelszerződésről nyilatkozata szerint nincsen tudomása. A fenti válaszlevélből kiderül továbbá, hogy az […] a nem teljesítésre való tekintettel 1996. április 30án felmondta a Kérelmezőkkel kötött hitelszerződést, majd tárgyi követeléseit a szerződés felmondását követően 2001. január 11-én engedményezte az […]-re. A Kérelmezett álláspontja szerint a Kérelmezőkkel szemben fennálló követelés a Polgári Törvénykönyvről szóló 1959. évi IV. törvény (a továbbiakban: Ptk.) 327. § (1) és (2) bekezdése alapján nem évült el. A Kérelmezett jelezte, hogy az […] követeléskezelési nyilvántartása szerint a Kérelmezők 2012. július 19-én fizetési ígéretet tettek az adósság rendezésére, ezzel elismerve a tartozás fennállását. A Kérelmezett követeléskezelési nyilvántartásának tanúsága szerint a Kérelmezett 2014. március 24-től kezdve minden évben küldött fizetésre való felszólítás tárgyában levelet a Kérelmezőknek. A Kérelmezett 2019. március 19-én kelt válaszleveléhez csatoltan megküldte követeléskezelési és panaszkezelési nyilvántartásának másolatát a […] számú számlaszámmal jelölt kölcsönügyletből eredő […] ügyszámú követeléssel kapcsolatban, amelynek tanúsága szerint a Kérelmezett 2014. március 24-én küldte meg a Kérelmezők részére az adósság rendezésére vonatkozó első felszólító levelet. A Kérelmezett 2019. március 19-én kelt válaszleveléhez csatoltan megküldte a GDPR 30. cikk (1) bekezdése szerinti nyilvántartásának másolatát, amelynek tanúsága szerint a Kérelmezett „jogszabályi kötelezettségének teljesítése érdekében” a számvitelről szóló 2000. évi C. törvény (a továbbiakban: Sztv.) alapján nyolc évig kezeli a Kérelmezők engedményezés keretében átvett személyes adatait.

A Hatóság NAIH/2019/1591/5. sz. végzésében felhívta a Kérelmezettet arra, hogy küldje meg annak a szerződésnek a másolatát, amelyre a szerződéses jogalapra hivatkozással az adatkezelését alapozza.

A Kérelmezett 2019. április 23-án kelt válaszlevelében úgy nyilatkozott, hogy a szerződés, amelynek teljesítéséhez álláspontja szerint szükséges a Kérelmező személyes adatainak kezelése, az engedményező, azaz az […]. és a Kérelmezők közötti kölcsönszerződés. Kérelmezett beadványához mellékelte a […] eredeti kölcsönszámú kölcsönszerződés másolatát, amely szerződésre alapozza a GDPR 6. cikk (1) bekezdés b) pontja szerinti adatkezelését. A kölcsönszerződésből származó részletfizetési kötelezettség elmulasztásából eredő követelés képezte a tárgyát az […] és a Kérelmezett közötti engedményezési szerződésnek, így Kérelmezett úgy tekinti, hogy ennek teljesítése körében jogosult a személyes adatok kezelésére és a követelések érvényesítésére a Kérelmezőkkel szemben. A Kérelmezett nyilatkozata szerint a Kérelmezők részére kizárólag írásbeli fizetési felszólítást küldött, őket sem személyesen, sem telefonon egyetlen alkalommal sem keresték meg. A Kérelmezett mind a 2019. március 19-én kelt, mind a 2019. április 23-án kelt válaszlevelében jelezte, hogy a Kérelmezők az engedményezés óta eltelt időben sem szóban, sem írásban nem tettek panaszt a személyes adataik kezelése ellen. A Kérelmezett a Hatóság NAIH/1591/8. ügyiratszámú végzésére küldött válaszában akként nyilatkozott, hogy 2018 május 25. napját megelőzően „a Kérelmezők részére közvetlenül nem nyújtott előzetes tájékoztatást”, tájékoztatási kötelezettségének az adatkezelési tájékoztató nyilvánosságra hozatalával – a Kérelmezett székhelyén való kifüggesztésével és az internetes honlapján az üzletszabályzat részeként való közzétételével - tett eleget, hiszen csoportos engedményezés keretében a Kérelmezetthez jutott nagyobb számú követelés adósainak pontos címe és elérhetősége a Kérelmezett általi adatkezelés megkezdése előtt a Kérelmezett számára nem volt ismert.

II. Az ügyben alkalmazandó jogszabályi rendelkezések

A Hatóság eljárása során a jogalkotásról szóló 2010. évi CXXX. törvény (a továbbiakban: Jat.) 15. § (1) bekezdés a) és (2) bekezdés a) pontjára figyelemmel az adatkezelés jogszerűségét az eljárás tárgyát képező adatkezelési műveletek megvalósításának időszakában hatályos jogszabályi rendelkezések alapján vizsgálta, és – mivel az alapul fekvő anyagi jogi kötelezettségtől az nem elválasztható – ugyanezen szabályok alkalmazásával döntött a megállapított jogkövetkezményekről. A Hatóság eljárására vonatkozó eljárási szabályok tekintetében ugyanakkor – a Jat. 15. § (1) bekezdés b) pontjára figyelemmel – az eljárás megindításakor hatályos rendelkezések az alkalmazandók. A GDPR jelen ügyben releváns rendelkezései a következők: GDPR (44) preambulumbekezdés: Az adatkezelés jogszerűnek minősül, ha arra valamely szerződés vagy szerződéskötési szándék keretében van szükség. A GDPR 14. § (2) bekezdése: Az (1) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat: b) ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről. GDPR 6. cikk (1) bekezdés b) és f) pont: A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: […] b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; […] f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. GDPR 17. cikk (1) bekezdés: Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll: a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték; b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja; d) a személyes adatokat jogellenesen kezelték. GDPR 17. cikk (3) bekezdés b) pont: Az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges: b) a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából;

e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez. GDPR 58. cikk (2) bekezdés b) és d) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; d) utasítja az adatkezelőt vagy adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel Az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni.

Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Ugyanezen § (2a) bekezdése szerint a GDPR-ban a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében a GDPR-ban és e törvényben meghatározottak szerint a Hatóság gyakorolja.

Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít.

Az Infotv. 60. § (2) bekezdése szerint az adatvédelmi hatósági eljárás megindítása iránti kérelem a GDPR 77. cikk (1) bekezdésében meghatározott esetben nyújtható be.

Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja szerint a felügyeleti hatóság elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit, illetve ugyanezen bekezdés d) pontja értelmében a felügyeleti hatóság korrekciós hatáskörében eljárva utasítja az adatkezelőt, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel.

Az Infotv. 2018. május 25-ét megelőzően, a Kérelmezett adatkezelésének megkezdésekor hatályos 20. § (2) bekezdése: Az érintettet az adatkezelés megkezdése előtt egyértelműen és részletesen tájékoztatni kell az adatai kezelésével kapcsolatos minden tényről, így különösen az adatkezelés céljáról és jogalapjáról, az adatkezelésre és az adatfeldolgozásra jogosult személyéről, az adatkezelés időtartamáról, arról, ha az érintett személyes adatait az adatkezelő a 6. § (5) bekezdése alapján kezeli, illetve arról, hogy kik ismerhetik meg az adatokat. A tájékoztatásnak ki kell terjednie az érintett adatkezeléssel kapcsolatos jogaira és jogorvoslati lehetőségeire is. Sztv. 166. § (1) bekezdés: Számviteli bizonylat minden olyan a gazdálkodó által kiállított, készített, illetve a gazdálkodóval üzleti vagy egyéb kapcsolatban álló természetes személy vagy más gazdálkodó által kiállított, készített okmány (számla, szerződés, megállapodás, kimutatás, hitelintézeti bizonylat, bankkivonat, jogszabályi rendelkezés, egyéb ilyennek minősíthető irat) függetlenül annak nyomdai vagy egyéb előállítási módjától -, amely a gazdasági esemény számviteli elszámolását (nyilvántartását) támasztja alá. Sztv. 169. § (2) bekezdés: A könyvviteli elszámolást közvetlenül és közvetetten alátámasztó számviteli bizonylatot (ideértve a főkönyvi számlákat, az analitikus, illetve részletező nyilvántartásokat is), legalább 8 évig kell olvasható formában, a könyvelési feljegyzések hivatkozása alapján visszakereshető módon megőrizni. A GDPR eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) rendelkezéseit kell alkalmazni az Infotv-ben meghatározott eltérésekkel. Az Ákr. 36. § szerint a kérelem az ügyfél olyan írásban vagy személyesen előterjesztett nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében. Az Ákr. 62. § (4) bekezdése alapján a hatóság szabadon választja meg a bizonyítás módját, és a rendelkezésre álló bizonyítékokat szabad meggyőződése szerint értékeli. Az Infotv. 75/A. § alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

III. Döntés

Jelen eljárásban a Hatóság a Kérelmezett adatkezelése vonatkozásában a követelés fennállását és jogosságát nem vizsgálta, mert ennek megítélése az Infotv. 38 (2)-(2a) bekezdései alapján nem tartozik a Hatóság hatáskörébe. Ezen előkérdés eldöntése bírósági hatáskörbe tartozik. Tekintettel arra, hogy a Kérelmezett olyan követelést tart nyilván a Kérelmezőkkel szemben, mellyel kapcsolatban a Kérelmezők nem csatoltak be olyan bírósági döntést, mely megállapítaná, hogy az nem áll fenn, ezért a Kérelmezett által nyilvántartott követelésre tekintettek a jogos érdek elvileg fennállhat. A Kérelmezőknek az adatok törlésére vonatkozó kérelme megítéléséhez mindenekelőtt azt kellett a Hatóságnak megvizsgálnia, hogy a törléshez a GDPR 17. cikkében foglalt feltételek teljesülnek-e, azaz mindenekelőtt azt, hogy az adatok kezelése megfelelő céllal és a GDPR szerinti valamely megfelelő jogalap alapján történik-e, illetve – ha az adatkezelésnek nem lenne megfelelő jogalapja – azt, hogy nem áll-e fenn a GDPR 17. cikkének (3) bekezdése szerinti kivételi esetek valamelyike. A Kérelmezett nyilatkozataiból, és az azokhoz csatolt iratokból megállapítható, hogy Kérelmezett egy időben több adatkezelési célból kezeli a Kérelmezők személyes adatait.

III.1. Kérelmezett adatkezelésének jogalapjai

III.1.1. Követelésbehajtási célból kezelt adatok Kérelmezett nyilatkozata szerint adatkezelésének jogalapja az […] és a Kérelmezők közötti szerződés teljesítése, mivel azokból eredtek azok a követelések, amelyeket az […] -től engedményezés útján megszerzett.

A Hatóság megállapítása szerint a GDPR 6. cikk (1) bekezdés b) pontja szerinti jogalap – a szerződéskötést megelőző egyes lépések kivételével – csak akkor alkalmazható, ha az a szerződés teljesítéséhez szükséges, tehát nem lehet kiterjeszteni ezt a jogalapot olyan adatkezelésekre, amelyekre a szerződés érintett általi nemteljesítése miatt előidézett helyzet orvoslása érdekében a szerződő felek rendes együttműködési kötelezettségből fakadó lépések megtételéhez van szükség. A szerződés teljesítése körébe eshetnek még azok a lépések, amikor az adatkezelő, aki a szerződést megkötötte az érintettel – tehát aki a szerződésben a másik fél – teljesítési késedelem esetén felszólítja az érintettet a teljesítésre. Azonban a GDPR 6. cikk (1) bekezdés b) pontja szerinti szerződéses jogalap már nem vonatkoztatható arra az esetre, ha az adatkezelő az elmaradt teljesítés miatt az érintettel szembeni követelését követelésbehajtással foglalkozó vállalkozásra engedményezi (azaz a problémát már a szerződésen kívül kívánja megoldani). Ilyenformán a Kérelmezett és a Kérelmezők között már szerződéses jogviszony nem áll fenn. Ráadásul a követelés alapjául szolgáló kötelezettséget keletkeztető eredeti hitelszerződés már 1996-ben megszüntetésre került. Az engedményezés keretében történő adatátvétel jogalapja így csak más, tipikusan az engedményes részéről a követelés saját részére történő érvényesítéséhez fűződő jogos érdeke lehet. A Ptk.-hoz fűzött indokolás szerint a követelések átruházására a tulajdonjog átruházásával azonos logika alapján kerül sor, tehát az engedményezés tulajdonképpen nem más, mint a követelés tulajdonjogának átruházása.

Az engedményezéssel a követelés elválik az eredeti jogviszonytól, amelyből az származik, és az engedményes kizárólag a követelés és nem pedig az alapjogviszony vonatkozásában lép az engedményező helyébe. Azáltal, hogy az engedményezéssel a követelés elválik az alapjogviszonytól és az engedményes a követelés jogosultjává válik, a követelés engedményes általi érvényesítése, illetve az ahhoz kapcsolódó adatkezelés, többé már nem azon szerződés teljesítése érdekében történik, amelyből a követelés eredetileg származott, mivel ebben az esetben az engedményesnek nem a saját, hanem az engedményező javára kellene érvényesíteni az engedményezés útján megszerzett követelést. Az engedményezéssel, amennyiben az ellenérték fejében történik, az engedményező kötelezettel szembeni követelése a vételár függvényében teljesen vagy részben megtérül. Az engedményes a követelés behajtása céljából saját érdekében és saját javára jár el, hiszen az engedményezéssel ő válik a követelés jogosultjává, és a követelés érvényesítése, az adós teljesítésre bírása, valamint az ennek érdekében végzett adatkezelés az ő jogos érdekét, nem pedig az alapul fekvő szerződés teljesítését szolgálja, mivel a követelés az engedményezéssel függetlenné vált a szerződéstől.

Mivel a Kérelmezett engedményezés útján szerezte meg a Kérelmezőkkel szembeni követelést, valamint azzal együtt a Kérelmezők személyes adatait, és ezáltal a követelés jogosultjává vált, adatkezelésének jogalapja nem lehet a GDPR 6. cikk (1) bekezdés b) pontja szerinti szerződéses jogalap.

Ez azonban nem feltétlenül jelenti azt, hogy a Kérelmezők személyes adatainak kezelésére semmiféle jogalapja nincs, mivel jogszabály által lehetővé tett követelésvásárlási tevékenysége keretében jutott hozzá a Kérelmezők személyes adataihoz – természetes személyazonosító adatok, valamint a követelésre vonatkozó adatok –, és a jogszerűen megszerzett követelések érvényesítéséhez, valamint az ehhez szükséges fenti adatok kezeléséhez fűződő jogos érdekének fennállta a jogi szabályozásból adódóan elvileg megállapítható. III.1.2. Jogi kötelezettség teljesítése céljából kezelt adatok Az Sztv. 169. § (2) bekezdése alapján a könyvviteli elszámolást közvetlenül és közvetetten alátámasztó számviteli bizonylatot legalább 8 évig kell olvasható formában, a könyvelési feljegyzések hivatkozása alapján visszakereshető módon megőrizni. Számviteli bizonylatnak minősül az Sztv. 166. § (1) bekezdése alapján például az a szerződés, a megállapodás, amely a gazdasági esemény számviteli elszámolását támasztja alá. A Hatóság az engedményezi szerződés másolata alapján megállapította, hogy ugyan Kötelezett válaszában a Kérelmezők személyes adatai kezelésének jogalapjaként nem hivatkozott a GDPR 6. cikk (1) bekezdésének c) pontjára, azonban az Sztv. 169. § (2) bekezdésére tekintettel a Kötelezett a Kérelmezők személyes adatait tartalmazó számviteli bizonylatok őrzése vonatkozásában kötelező adatkezelést végez. III.1.3. Jogi igények védelme érdekében kezelt adatok A Kérelmezett által a kérelemhez csatolt Borsod-Abaúj-Zemplén Megyei Főügyészség megkereséséből kiderül, hogy a Kérelmezők személyes adatainak Kérelmezett általi kezelésére a Kérelmezett jogi igényének védelméhez szükség van. A kérelem előterjesztése az elbírására hatáskörrel vagy illetékességgel rendelkező bíróság vagy hatóság előtt a Kérelmezett jogos érdeknek minősül.

III.2. A Kérelmezők adattörlési kérelme

A Kérelmezők Kérelmezték a Hatóságtól, hogy rendelje el az indokolatlanul kezelt személyes adataik törlését.

III.2.1. A GDPR 17. cikk (3) bekezdésének b) pontja alapján az adatkezelő törlési kötelezettsége nem érvényesül abban az esetben, ha az adatkezelés a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése céljából szükséges.

Az […] és a Kérelmezett között létrejött engedményezi szerződés, és a Kérelmezők engedményezés keretében átvett személyes adatait tartalmazó okmányok számviteli bizonylatnak minősülnek, amelyeket a Kérelmezettnek az Sztv. előírásai szerint nyolc évig meg kell őriznie. A számviteli bizonylatokban található személyes adatok kezelésének jogalapja a GDPR 6. cikk (1) bekezdés c) pontja, így azok a Kérelmező kérelmére sem törölhetők a GDPR 17. cikk (3) bekezdés b) pontjának megfelelően. A Hatóság a csatolt iratok tanúsága alapján megállapította, hogy a GDPR 6. cikk (1) bekezdés c) pontja alapján a kötelező adatkezelés körébe eső adatok köre megegyezik a követeléskezelési célból kezelt adatok körével. III.2.2. Az adatkezelés az érintett törlési kérelme ellenére is jogszerűnek tekinthető, amennyiben az adatkezelő jogos érdekének védelme miatt szükség van. A kérelem előterjesztése az elbírására hatáskörrel vagy illetékességgel rendelkező bíróság vagy hatóág előtt olyan jogos érdeknek minősül, amely megalapozza a törléshez való jog legitim korlátozását.

Tekintettel a folyamatban lévő nyomozati eljárásra, a GDPR 17. cikk (3) bekezdésének e) pontja alapján a személyes adatok további megőrzése, kezelése az érintett adattörlési kérelme ellenére jogszerűnek tekinthető.

III.2.3. A fentiek alapján a GDPR 17. cikk (3) bekezdésének b) és e) pontjával, valamint a GDPR 6. cikk (1) bekezdésének f) pontjával összhangban elutasítja a Kérelmezők kérelmének azon részét, hogy kötelezze a Kérelmezettet a személyes adataik törlésére.

III.3. A Kérelmezett előzetes tájékoztatási kötelezettsége

Az érintett az előzetes, megfelelő tájékoztatás alapján képes felismerni azt, hogy az adott adatkezelés milyen hatással van az információs önrendelkezési jogára és a magánszférájára. Az érintettek a tájékoztatáson keresztül ismerhetik meg a személyes adataikra vonatkozó adatkezelést, illetve ezáltal érvényesülhet az információs önrendelkezési joguk. Megfelelő tájékoztatás hiányában az adatkezelő oldalán olyan információs erőfölény alakulhat ki, amelynek felhasználásával az érintett jogai, érdekei sérülhetnek.

Az érintettnek a követeléskezelés során is alapvető joga, hogy a személyes adatainak kezelését nyomon követhesse. Fontos követelmény, hogy az adósok az első kapcsolatfelvétel alkalmával kapjanak megfelelő tájékoztatást. Fentiek alapján tehát az érintett adatainak a követeléskezelő szervezet saját követelésének céljára való felhasználása csupán akkor tekinthető jogszerűnek, ha erről az érintett előzetes tájékoztatást kapott. A megfelelő tájékoztatás létfontosságú eleme annak elérhetősége. Az adatkezelés körülményeiről való tájékoztatást közvetlenül kell az egyénekhez eljuttatni, tehát fontos, hogy az adósok az első kapcsolatfelvétel alkalmával írásban kapjanak megfelelő tájékoztatást az őket érintő adatkezelés egyes körülményeiről. Az semmi esetre sem elegendő, ha az információ csupán elérhető valahol (a követeléskezelő szervezet internetes honlapján vagy a székhelyén kifüggesztve). Mivel az adatkezelés előzménye korábbi, 2018. május 25-ét megelőző idővel kezdődően végzett adatkezelés, ezért a Kérelmezettnek jelen ügy vonatkozásában az első kapcsolatfelvétel alkalmával, tehát a 2014. március 24-én küldött felszólító levélben kellett volna az Infotv.-nek a felszólítás időpontjában hatályban volt 20. § (2) bekezdése alapján tájékoztatni a Kérelmezőket az adatkezelés jogalapjáról és az adatkezeléssel kapcsolatos jogaikról.

III. 4. Jogkövetkezmények

A Hatóság a GDPR 58. cikk (2) bekezdésének b) pontja alapján hivatalból elmarasztalja a Kérelmezettet, mert megsértette a GDPR 6. cikk (1) bekezdésének b) pontját. A Hatóság a GDPR 58. cikk (2) bekezdés g) pontjának megfelelően hivatalból elrendeli a Kérelmező személyes adatai kezelésének korlátozását, amíg Kérelmezett nem igazolja a követeléskezelési célú adatkezeléshez fűződő jogos érdekének az elsőbbségét a Kérelmező jogaival és érdekeivel szemben, mivel az eljárás során ezt nem igazolta a Hatóság felé. A Kérelmezett követeléskezelési célú adatkezelésének szükségességét alapvetően a követelés fennállása alapozhatná meg, ez azonban a Kérelmező által vitatott. A Kérelmezettnek ezért meg kell vizsgálnia, hogy a vitatott követelés fennáll-e, nem évült-e el, tekintettel arra, hogy az adatkezelése jogszerűségének megítélése ezen előkérdéstől függ. Amennyiben a követelés fennáll, a Hatóság annak érdekében, hogy a Kérelmezett adatkezelésének jogszerűtlensége miatt az adatai feletti kontrollt a Kérelmező megfelelően gyakorolhassa – hivatalból kötelezte a Kérelmezettet, hogy a GDPR 14. § (2) bekezdésének b) pontja alapján tájékoztassa a Kérelmezőt, hogy milyen jogos érdeke miatt szükséges személyes adatai követeléskezelési célú kezelése, ezen érdek a Kérelmező alapvető jogaival szemben elsőbbséget élvez-e, valamint tájékoztassa a Kérelmezőt az őt megillető tiltakozási jogról, valamint arról, hogy azt hogyan gyakorolhatja. Amennyiben a követelés nem áll fenn, törölje azon adatokat, melyek megőrzésére nincs jogszabályi kötelezettsége.

IV. Egyéb kérdések:

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. Az Ákr. 133. §a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. A hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százhúsz napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek.

Budapest, 2020. február „ 6 ”

Dr. Péterfalvi Attila elnök c. egyetemi tanár