{"check":null,"uid":"7e55c3d92db76f55","title":"Megfelelő cél és jogalap nélkül folytatott adatkezelés","title_generated":false,"country":"Венгрия","organ":"Орган по защите данных Венгрии (NAIH)","kind":"case","kind_name":"Судебная практика","lang":"hu","date":"2021-01-01","summary":"Орган по защите данных Венгрии установил, что банк обрабатывал персональные данные клиента по договору валютного счёта с 2018 по 2019 год без надлежащего правового основания и после достижения цели. Регулятор обязал банк заявить об уничтожении всей документации по расторгнутому договору в течение 15 дней после истока срока на обжалование или решения суда. Штраф не наложен с учётом сотрудничества банка и чрезмерной нагрузки от многократных обращений заявителя.","snippet":"","topics":["Персональные данные"],"status":"ok","error":"","text_len":51406,"versions":2,"url":"https://naih.hu/hatarozatok-vegzesek?download=412:megfelelo-cel-es-jogalap-nelkul-folytatott-adatkezeles&start=100","first_seen":"2026-09-07","last_checked":"2026-09-17 02:24","relevance":"hit","score":201,"query":"","source_key":"naih_hu","verdict":{"relevance":"hit","score":201,"topics":["Персональные данные"],"need_body":3,"authorities":[{"kind":"орган","name":"Nemzeti Adatvédelmi és Információszabadság Hatóság","topic":"Персональные данные"},{"kind":"орган","name":"NAIH","topic":"Персональные данные"},{"kind":"акт","name":"GDPR","topic":"Персональные данные"},{"kind":"акт","name":"2016/679","topic":"Персональные данные"},{"kind":"акт","name":"információs önrendelkezési jogról","topic":"Персональные данные"}],"evidence":[{"topic":"Персональные данные","term":"adatkezel","weak":false,"pos":43,"ctx":"megfelelő cél és jogalap nélkül folytatott adatkezelés орган по защите данных венгрии установил, что банк обрабатывал персональные данные клиент","zone":"название","weight":3},{"topic":"Персональные данные","term":"защит данных","weak":false,"pos":64,"ctx":"megfelelő cél és jogalap nélkül folytatott adatkezelés орган по защите данных венгрии установил, что банк обрабатывал персональные данные клиента по договору валютного","zone":"название","weight":3},{"topic":"Персональные данные","term":"персональн данн","weak":false,"pos":118,"ctx":"kül folytatott adatkezelés орган по защите данных венгрии установил, что банк обрабатывал персональные данные клиента по договору валютного счёта с 2018 по 2019 год без надлежащего правового основани","zone":"название","weight":3},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":195,"ctx":"ől és üzleti titkokkal kapcsolatban előzmény: naih/2019/6534. naih/2020/98/  ## a nemzeti adatvédelmi és információszabadság hatóság (a továbbiakban: hatóság) […]  kérelmező (a továbbiakban:","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatkezel","weak":false,"pos":482,"ctx":"devizaszámla szerződéssel (a továbbiakban: devizaszámla szerződés) összefüggő jogellenes adatkezelés tárgyában 2019. augusztus 29. napján benyújtott kérelme nyomán indult adatvédelmi hatóság","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":564,"ctx":"ellenes adatkezelés tárgyában 2019. augusztus 29. napján benyújtott kérelme nyomán indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:  ## i.1. a hatóság a határozatában a kére","zone":"текст","weight":1},{"topic":"Персональные данные","term":"személyes adat","weak":false,"pos":932,"ctx":"devizaszámla szerződéssel és azzal összefüggő dokumentációval összefüggésben a kérelmező személyes adatait.  ## i.2. a hatóság a határozatában a kérelmező személyes adatai törlésének kötelezésére,","zone":"текст","weight":1},{"topic":"Персональные данные","term":"személyes adat","weak":false,"pos":998,"ctx":"zefüggésben a kérelmező személyes adatait.  ## i.2. a hatóság a határozatában a kérelmező személyes adatai törlésének kötelezésére, az  információs önrendelkezési jogról és az információszabadságr","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":1182,"ctx":"iószabadságról szóló 2011. évi cxii. törvénynek (a továbbiakban: infotv.) az európai unió adatvédelmi reformjával összefüggő módosításáról, valamint más kapcsolódó törvények módosításáról szó","zone":"текст","weight":1},{"topic":"Персональные данные","term":"Nemzeti Adatvédelmi és Információszabadság Hatóság","weak":false,"pos":706,"ctx":"ntetéséről és üzleti titkokkal kapcsolatban Előzmény: NAIH/2019/6534. NAIH/2020/98/  ## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […]  kérelmező (a továbbiakban: Kérelmező) a […] (a továbbiakba","zone":"орган","weight":3},{"topic":"Персональные данные","term":"NAIH","weak":false,"pos":531,"ctx":"трудничества банка и чрезмерной нагрузки от многократных обращений заявителя. ## Ügyszám: NAIH-3145-5/2021. Tárgy: részben helyt adó határozat, végzés eljárás részbeni  megszüntetésérő","zone":"орган","weight":0},{"topic":"Персональные данные","term":"GDPR","weak":false,"pos":2231,"ctx":"zéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet vagy GDPR) 5. cikk (1) bekezdés a), b), d), e), f) pontjának és a (2) bekezdésének megsértésére irá","zone":"акт","weight":0},{"topic":"Персональные данные","term":"2016/679","weak":false,"pos":2160,"ctx":"k szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet vagy GDPR) 5. cikk (1) bekezdés","zone":"акт","weight":0},{"topic":"Персональные данные","term":"információs önrendelkezési jogról","weak":false,"pos":1563,"ctx":"I.2. A Hatóság a határozatában a Kérelmező személyes adatai törlésének kötelezésére, az  információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvénynek (a továbbiakban: Infotv.) a","zone":"акт","weight":0}],"dropped":[{"topic":"Цифровая идентификация и госуслуги","term":"elektronikus ügyintézés","weak":false,"pos":50543,"ctx":"cs.”  a kp. 29. § (1) bekezdése és erre tekintettel a pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi ccxxii. törvény (a tov","why":"одиночное упоминание (нужно 3)"}]},"last_changed":"2026-09-17","meta":{"fileId":"412","slug":"megfelelo-cel-es-jogalap-nelkul-folytatott-adatkezeles","case":"NAIH-3145-5/2021"},"source_url":"https://naih.hu/hatarozatok-vegzesek?download=412:megfelelo-cel-es-jogalap-nelkul-folytatott-adatkezeles&start=100","text":"## Ügyszám: NAIH-3145-5/2021. Tárgy: részben helyt adó határozat, végzés eljárás részbeni\n\nmegszüntetéséről és üzleti titkokkal kapcsolatban Előzmény: NAIH/2019/6534. NAIH/2020/98/\n\n## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […]\n\nkérelmező (a továbbiakban: Kérelmező) a […] (a továbbiakban: Kérelmezett) a Kérelmezővel 2000. szeptember 27. napján kötött devizaszámla szerződéssel (a továbbiakban: devizaszámla szerződés) összefüggő jogellenes adatkezelés tárgyában 2019. augusztus 29. napján benyújtott kérelme nyomán indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:\n\n## I.1. A Hatóság a határozatában a Kérelmező kérelmének részben helyt ad és megállapítja, hogy a Kérelmezett megfelelő jogalap és cél hiányában tárolta 2018. május 25. és\n\n2019. november 8. napja közötti időszakban a devizaszámla szerződéssel és azzal összefüggő dokumentációval összefüggésben a Kérelmező személyes adatait.\n\n## I.2. A Hatóság a határozatában a Kérelmező személyes adatai törlésének kötelezésére, az\n\ninformációs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvénynek (a továbbiakban: Infotv.) az Európai Unió adatvédelmi reformjával összefüggő módosításáról, valamint más kapcsolódó törvények módosításáról szóló 2018. évi XXXVIII. törvénnyel kihirdetett - 2018. július 26-ától hatályos Infotv. 4. § (1) – (4) bekezdésének és 20. § ac) pontja megsértésének megállapítására, a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet vagy GDPR) 5. cikk (1) bekezdés a), b), d), e), f) pontjának és a (2) bekezdésének megsértésére irányuló kérelmét elutasítja.\n\n## I.3.A Hatóság kötelezi a Kérelmezettet, hogy a bírósági felülvizsgálat kezdeményezésére\n\nirányadó keresetindítási határidő lejártát, illetve felülvizsgálat kezdeményezése esetén a bíróság döntését követő 15 napon belül nyilatkozzon arról, hogy a határidőn túl tárolt, már megsemmisített szerződés minden kapcsolódó dokumentációját megsemmisítette.\n\n## II. A Hatóság a végzésével a hatósági eljárást a 2018. május 25. napját megelőző adatkezelések\n\nvizsgálata tekintetében megszünteti.\n\n## III. A Hatóság a végzésével a Kérelmezett anonimizálási/törlési módszertanának, valamint a banki\n\nrendszerek neveinek üzleti titokként való kezelésére irányuló kérelmének helyt ad.\n\n## IV. A Hatóság a végzésével a Kérelmezett konszolidált beszámolójának a Hatóság rendelkezésére\n\nbocsátott részében a Hatóság által üzleti titokként való kezelésére irányuló kérelmét elutasítja. Az I.3. pont szerinti kötelezettség teljesítését a Kérelmezettnek az intézkedés megtételétől számított 15 napon belül kell írásban – az azt alátámasztó bizonyítékok és az esetleges érdekmérlegelés előterjesztésével együtt – igazolnia a Hatóság felé. A kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását.\n\n*** Az I. számú határozattal és a II. végzéssel szemben közigazgatási úton jogorvoslatnak helye nincs, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet elektronikusan, a Hatósághoz kell benyújtani, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A végzéssel szemben előterjesztett keresetlevelet a bíróság egyszerűsített perben tárgyaláson kívül bírálja el. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. A III. és IV. pont szerinti végzéssel szemben nincs helye önálló jogorvoslatnak, az csak az ügy érdemében hozott határozat elleni jogorvoslati kérelemben támadható meg.\n\n## INDOKOLÁS\n\n## I. Az eljárás menete és a tényállás tisztázása\n\nI.1.A Kérelmező 2019. augusztus 29. napján beadványt nyújtott be, melyben adatvédelmi hatósági eljárás lefolytatását kezdeményezte. A Kérelmező a kérelemben előadta, hogy 2000. szeptember 27. napján devizaszámla szerződést kötött a Kérelmezettel. A Kérelmező állítása szerint a Kérelmezett a devizaszámla szerződéssel kapcsolatos személyes adatait jogalap nélkül, a jogszabályban előírt őrzési időn túl, a hozzájárulása nélkül a mai napig kezeli. A Kérelmező kérelméhez mellékelte a devizaszámla szerződés másolatát, melynek 30. pontjára hivatkozott, mely szerint, ha a szerződés aláírásának napját követő 90 napon belül a számlán jóváírás nem történik, a szerződés automatikusan hatályát veszti. A Kérelmező nyilatkozata szerint ezen pont alapján a szerződés 2000. december 27. napján megszűnt, ennek ellenére a Kérelmezett a devizaszámla szerződést még 2017. június 28-ig kétséget kizáróan megőrizte, hiszen annak másolatát a Kérelmezett egy 2017. június 28-i dátumú hivatalos levélben másolatban megküldte a Kérelmező számára. A Kérelmező feltételezése szerint a Kérelmezett a devizaszámla szerződéssel kapcsolatban továbbra is kezeli a Kérelmező személyes adatait, mivel azok törléséről a mai napig nem értesítette a Kérelmezett. A Kérelmező ezen feltételezése dokumentumokkal, egyéb bizonyítékokkal nem került alátámasztásra. A Kérelmező az alábbi dokumentumok másolatát csatolta be:\n\n- Magyar Nemzeti Bank - 2016. december 6. napján kelt – [….] sz. végzése,\n\n- Kérelmezett – 2017. január 13. napján kelt – [….] számú nyilatkozata, - Kérelmezett – 2017. június 28. napján kelt -Kérelmező 2017. május 22-én küldött e-mailjére írt válaszlevele, továbbá a Kérelmezett 2017. július 12. napján kelt válaszlevele, devizaszámlaszerződés. A Kérelmező az alábbiakat kérte a Hatóságtól:\n\n- A Hatóság állapítsa meg, hogy a devizaszámla szerződéssel kapcsolatban, annak 2008.12.27. napját követő megőrzésével megsértette a Kérelmezett „a régi Infotv. 17. § (2) bekezdésének d) pontját és az új Infotv. 20. § ac alpontját”, mivel a devizaszámla szerződést annak ellenére őrizte meg jogellenesen 2017.06.28-ig, illetve a mai napig, hogy az adatkezelés célja megszűnt és a jogszabályban előírt adatkezelési idő 2008-ban lejárt, illetve a Kérelmezettnek az ezzel kapcsolatos adatkezelésre nincs egyéb jogalapja. (a továbbiakban: kérelem 1. pontja) - A Hatóság állapítsa meg, hogy a devizaszámla szerződéssel kapcsolatban, annak 2008.12.27. napját követő megőrzésével megsértette a Kérelmezett „a régi Infotv. és az új Infotv. 4. § (1) - (4) bekezdését, mivel a célhoz kötöttség alapelvét és a hivatkozott jogszabályi rendelkezésben megfogalmazott alapelveket megsértette, és a devizaszámla szerződést „céltól eltérően kezeli a mai napig”, annak ellenére, hogy jogszabályi rendelkezések alapján csak 2008.12. 27-ig kezelhette volna. (a továbbiakban: kérelem 2. pontja) - A Hatóság állapítsa meg a devizaszámla szerződéssel kapcsolatban, hogy annak 2008.12.27. napját követő megőrzésével megsértette a Kérelmezett „a régi Infotv. 5. § (1) bekezdés a)-b) pontját és az új Infotv. 5. § (1) bekezdés a)-b) pontját” azzal, hogy a devizaszámla szerződést annak ellenére őrizte meg jogellenesen, és az ezzel kapcsolatos személyes adatokat kezeli a mai napig, hogy erre jogszabályi felhatalmazása lenne, illetve a Kérelmező a hozzájárulását sem adta ehhez az adatkezeléshez. (a továbbiakban: kérelem 3. pontja) a Hatóság állapítsa meg a devizaszámla szerződéssel kapcsolatban, hogy annak 2008.12.27. napját követő megőrzésével a Kérelmezett megsértette az általános adatvédelmi rendelet 5. cikk 1.A.,1.B.; 1.D.; 1.E.; 1.F és (2) bekezdését azáltal, hogy a célhoz kötöttség alapkövetelményét és a hivatkozott §-okban rögzített kulcsfontosságú alapelveket, mivel a hivatkozott devizaszerződést céltól eltérően kezeli a mai napig és kezelte 2017.06.26-ig holott azt a jogszabályi előírás alapján kizárólag 2008.12.27-ig kezelhette volna. (a továbbiakban: kérelem 4. pontja) - A Hatóság állapítsa meg a devizaszámlaszerződéssel és annak dokumentációjával kapcsolatban, hogy annak 2008.12.27. napját követő megőrzésével megsértette a Kérelmezett az általános adatvédelmi rendelet 6. cikk (1) bekezdés a)-c) pontját azzal, hogy a devizaszámlaszerződést annak ellenére őrizte meg jogellenesen, és az ezzel kapcsolatos személyes adatokat kezeli a mai napig, hogy erre jogszabályi felhatalmazása lenne, illetve a Kérelmező a hozzájárulását sem adta ehhez az adatkezeléshez. (a továbbiakban: kérelem 5. pontja) - A fentiekre hivatkozással a Hatóság kötelezze a Kérelmezettet a devizaszámlaszerződés és dokumentációi megsemmisítésére. (a továbbiakban: kérelem 6. pontja) A Kérelmező kérelmére az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján a NAIH/2019/6534. ügyszámon 2019. augusztus 29. napján adatvédelmi hatósági eljárás indult. A Kérelmező a 2019. szeptember 18. napján kelt, a Hatóság hiánypótlási felhívására adott válaszában előadta, hogy a Kérelmezett által megvalósított feltételezett jogsértéseket alátámasztó tényekkel és bizonyítékokkal kapcsolatban az alábbiakra hivatkozik: A devizaszámla szerződés a 4. oldal 30. pontjában meghatározza, hogy amennyiben a szerződés aláírásának napját követő 90 napon belül a számlán jóváírás nem történik, a devizaszáma szerződés automatikusan hatályát veszti. Tekintettel arra, hogy a számlán szerződés aláírását követő 90 napon belül jóváírásra nem került sor, ezért a szerződés ezen pont alapján 2000.12.27. napján megszűnt. A szerződés megszűnéséről a Kérelmezőnek nincs dokumentuma, mivel a Kérelmezett nem küldött részére ilyen dokumentumot. A Kérelmező csatolta a Kérelmezettől 2017. 06.28. napján kapott válasz mellékleteként küldött szerződésmásolatot, melyen látható a Kérelmezett által felvezetett […]-es kód. A fentieken túl a Kérelmező az alábbi három részkérelemmel egészítette ki a kérelmét, mely nagyrészt egyezett a Kérelmező első beadványában előadottakkal:\n\n- A Hatóság állapítsa meg, hogy a Kérelmezett a devizaszámlaszerződéssel kapcsolatban megsértette az általános adatvédelmi rendelet 5. cikk (1) – (2) bekezdését, mivel a célhoz kötöttség alapelvét és a hivatkozott jogszabályi rendelkezésben megfogalmazott alapelveket megsértette, mivel a devizaszámlaszerződést „céltól eltérően kezeli a mai napig”, annak ellenére, hogy jogszabályi rendelkezések alapján csak 2008.12. 27-ig kezelhette volna. (a továbbiakban: kérelem 7. pontja) - A Hatóság állapítsa meg a devizaszámlaszerződéssel kapcsolatban, hogy annak 2008.12.27. napját követő megőrzésével megsértette a Kérelmezett az általános adatvédelmi rendelet 6. cikk (1) bekezdés a)-c) pontját azzal, hogy a devizaszámlaszerződést annak ellenére őrizte meg jogellenesen, és az ezzel kapcsolatos személyes adatokat kezeli a mai napig, hogy erre jogszabályi felhatalmazása lenne, illetve a Kérelmező a hozzájárulását sem adta ehhez az adatkezeléshez. (a továbbiakban: kérelem 8. pontja) - A fentiekre hivatkozással a Hatóság kötelezze a Kérelmezettet a devizaszámlaszerződéssel kapcsolatosan, továbbá annak dokumentációjával összefüggésben a Kérelmező személyes adatai törlésére, továbbá a Kérelmező korábbi, [….] lakcímének törlésére. (a továbbiakban:\n\n## kérelem 9. pontja)\n\nI.2. A Hatóság az eljárás megindításáról szóló értesítés mellett a tényállás tisztázása érdekében két alkalommal nyilatkozattételre hívta fel a Kérelmezettet, melyekre az alábbi tájékoztatást adta a Kérelmezett: I.2.1. A Kérelmezett 2019. november 8. napján kelt nyilatkozata, melynek üzleti titkokat nem tartalmazó változatát 2020. február 5-i nyilatkozatában küldte meg A Kérelmezett megerősítette a Kérelmező arra vonatkozó feltételezését, hogy a devizaszámla szerződést kezeli (tárolja). A kötelező megőrzési időn túli adatkezelés oka adminisztratív hiba, amely a Kérelmezettnek nem tűnt fel akkor sem, amikor a Kérelmező hozzáférési jogának biztosítása céljából a devizaszámla szerződést másolatban a Kérelmezőnek megküldte. A Kérelmezett az elektronikus úton tárolt adatok törlését automatikusan végzi, a papíralapú szerződések esetében azonban – bár a törlendő szerződések körét automatizmus állítja elő manuális, ügyintéző általi megsemmisítés történik. Elektronikus formában a Kérelmező devizaszámlaszerződését a Kérelmezett nem tárolja, ugyanis a Kérelmezett a magánszemélyek termékdossziéjának szkennelését 2013. végével kezdte meg, több lépcsőben. Arról, hogy a Kérelmező devizaszámlaszerződést csak papíralapon kezeli a Kérelmezett 2017-ben és 2018-ban is tájékoztatta a Kérelmezőt. A devizaszámla szerződés – a devizaszámla szerződés tényén és megkötésének a dátumán kívül nem tartalmaz olyan adatot, amelyet a Kérelmezett a Kérelmező vonatkozásában ne kezelne jogszerűen.\n\nA Kérelmezett a devizaszámla szerződés eredeti, egyetlen példányát 2019. november 8-án megsemmisítette. I.2.2. A Kérelmezett 2020. január 9. napján kelt nyilatkozata A megsemmisítendő szerződések megsemmisítési folyamatban bekövetkezett adminisztratív (ügyintézői) hibára vezethető vissza a Kérelmező devizaszámla szerződésének a megőrzési időn túl történt adatkezelése. A devizaszámla szerződés 2019. november 8. napján megsemmisítésre került. Ez volt a devizaszámlaszerződésből az eredeti, egyetlen példánya. Külön jegyzőkönyvet a törlésről a Kérelmezett nem készített, mert ezzel összefüggésben a NAIH/2019/6534/5. számú végzésre adott válaszlevélben nyilatkozott a Hatóságnak, és mivel az említett levél aláírói hajtották végre a megsemmisítést, ezért nem készítettek erről külön jegyzőkönyvet is. A Kérelmezett a Kérelmező nevére és lakcímére vonatkozó személyes adatait a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 6. cikk (1) bekezdés f) pontja szerinti jogos érdek alapján továbbra is kezeli. A Kérelmezett ezzel kapcsolatban hivatkozott az általános adatvédelmi rendelet (65) preambulumbekezdésére, ami alapján a személyes adatok – a kötelező megőrzési időn túl – további megőrzése jogszerűnek tekinthető többek között, ha az valamely jogi kötelezettségnek való megfelelés és jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükségesek. A Kérelmező előzőekben említett személyes adatait különböző nagyrészt a Kérelmező által kezdeményezett – eljárásokban, jogi igények védelme érdekében kezeli. A Kérelmező devizaszámla szerződéssel kapcsolatos személyes adatainak törlését kezdeményezte, azonban a Kérelmezett folyamatban levő eljárásokra hivatkozással az általános adatvédelmi rendelet 17. cikk (3) bekezdése alapján elutasította. A Kérelmezett kérte a Hatóságtól, hogy a Kérelmezett által alkalmazott anonimizálási/törlési módszertant, valamint a banki rendszereinek a neveit, továbbá a Hatóság rendelkezésére bocsátott konszolidált beszámolóját kezelje üzleti titokként. I.3. A Kérelmező az iratbetekintési jogát gyakorolva kérte a Hatóság NAIH/2019/6534/9. sz. végzésének, továbbá a Kérelmezett 2019. november 8. napján kelt válaszlevelének a másolatát. A kérelmező 2019. november 20-án kelt levelében módosította, kibővítette a kérelme 7-9. pontjait az alábbiak szerint:\n\n-\n\n## „7. sz. hatósági kérelem: Kérem a tisztelt NAIH-t, hogy állapítsa meg, hogy az adatkezelő\n\n[…] a 2000.09.27.-én kötött devizaszámla szerződésemhez kapcsolódó kiegészítő dokumentációk kapcsán (csatolva a 2019.09.18-i beadvány 1.B. és 1. C. mellékleteként), a 2000.09.27.-én kötött devizaszámla szerződésem kapcsán, valamint a devizaszámlaszerződésben szereplő és a […] rendszereiben külön is szereplő régi […] lakcímem, a régi személyi igazolványom száma, a 2000.09.27.-i dátumú devizaszámla száma kapcsán, mint hivatkozott személyes adataim 2008.12.27.-ét követő, illetve 2018.05.25.-ét követő megőrzésével megsértette az adatvédelmi rendelet (2016/679) 5. cikk 1. A., 1.B., 1.C., 1.D, 1.E., 1. F és 2. bekezdését, így különösen a célhoz kötöttség alapkövetelményét és a hivatkozott paragrafusokban rögzített kulcsfontosságú alapelveket, mivel a jelen pontban hivatkozott személyes adataimat, személyes dokumentumaimat céltól eltérően kezeli a mai napig és kezelte 2019.11.08-ig, holott azt jogszabályi előírás alapján kizárólag 2008.12.27.-ig kezelhette volna.” -\n\n## „8.sz. hatósági kérelem: Kérem a tisztelt NAIH-ot, hogy állapítsa meg, hogy az adatkezelő\n\n[…] a 2000.09.27.-én kötött devizaszámla szerződésemhez kapcsolódó kiegészítő dokumentációk kapcsán (csatolva a 2019.09.18.-i beadvány 1.B. és 1.C. mellékleteként), a 2000.09.27.-én kötött devizaszámla szerződésem kapcsán, valamint a devizaszámlaszerződésben szereplő és a […] rendszereiben külön is szereplő a […] rendszereiben külön is szereplő régi […] lakcímem, a régi személyi igazolványom száma, a 2000.09.27.-i dátumú devizaszámla száma kapcsán, mint hivatkozott személyes adataim 2008.12.27.-ét követő, illetve 2018.05.25.-ét követő megőrzésével megsértette az adatvédelmi rendelet (2016/679) 6. cikk 1.A., 1.B., 1.C. bekezdését, mivel a jelen pontban hivatkozott személyes adataimat, személyes dokumentumaimat céltól eltérően kezeli a mai napig és kezelte 2019.11.08-ig, holott azt jogszabályi előírás alapján kizárólag 2008.12.27.ig kezelhette volna.” - „9.sz. hatósági kérelem: Kérem a tisztelt NAIH-t, hogy kötelezze a […]-t a 2000.09.27.-én kötött devizaszámla szerződésemhez kapcsolódó kiegészítő dokumentációk kapcsán (csatolva a 2019.09.18-i beadvány 1.B. és 1. C. mellékleteként), a 2000.09.27.-én kötött devizaszámla szerződésem kapcsán, valamint a devizaszámlaszerződésben szereplő és a […] rendszereiben külön is szereplő régi […] lakcímem, a régi személyi igazolványom száma és a 2000.09.27.-i szerződés szerinti számlaszámom, mint személyes adatom hitelt érdemlő törlésére mind papír alapon és mind digitális alapon, tekintettel arra, hogy ezen személyes adataim adatkezelési ideje lejárt és annak megőrzésére a […]-nak törvényi vagy érintetti felhatalmazás alapján semmilyen jogalapja nincsen.” A Kérelmező iratbetekintési kérelmének a Hatóság helyt adott, és az üzleti titkokat nem tartalmazó iratok másolatának megküldése után a Kérelmező 2019. november 25. napján erre válaszul bizonyítási indítványokat és észrevételeket küldött a Hatóságnak. A Kérelmező valószínűsítette, hogy a Kérelmezett a devizaszámlaszerződést beszkennelte, ezzel összefüggésben a Hatóságtól kérte, hogy hívja fel nyilatkozattételre a Kérelmezettet az alábbiak vonatkozásában (1.sz. bizonyítási indítvány):\n\nmikor szkennelte be a devizaszámlaszerződést, erről a tényről miért nem értesítette a Hatóságot, kezeli-e digitálisan a devizaszámlaszerződést, ha nem kezeli, akkor mikor törölte és azt hogyan tudja hitelt érdemlő módon bizonyítani. A Kérelmező 2020. március 11. napján ismét betekintett a Hatóság székhelyén az eljárás – üzleti titkot nem tartalmazó - irataiba, majd ezután a Hatósághoz 2020.március 29. napján kelt levélben észrevételeket és részben a korábbiakkal megegyező bizonyítási indítványokat, illetve újabb bizonyítási indítványt is előterjesztett. A Kérelmező – a 2019. november 25-i nyilatkozatában - utalt arra, hogy a Kérelmezett egy – a Hatóság előtti – […] számú ügyben azt nyilatkozta, hogy a Kérelmezett a devizaszámla szerződéssel összefüggésben beszkennelte a Kérelmező aláírásmintáját, úgy, hogy a 2000-ben felvett aláírásmintát 2002-ben szkennelte be. Ebből a Kérelmező azt a következtetést vonta le, hogy valószínűsíthetően még mindig tárolja az aláírásmintát a Kérelmezett, továbbá valószínűsíthetően a devizaszámla szerződést is beszkennelte a Kérelmezett abban az időpontban. A Kérelmező a feltételezéseire vonatkozó állításait semmilyen bizonyítékkal nem támasztotta alá. A Kérelmező kérte a Hatóságtól, hogy a Kérelmezettet ismét hívja fel nyilatkozattételre, és kérjen tájékoztatást, arról, hogy mikor szűnt meg a devizaszámla szerződése. (2. sz. bizonyítási indítvány) Továbbá a Kérelmező állítása szerint kizártnak tartja, hogy a Kérelmezett nem szkennelte be a szerződését, mivel a Kérelmezettnél az az általános eljárás, hogy minden szerződést be kell szkennelni. A Kérelmező továbbá kérte a Kérelmezett igazgatósági elnökének meghallgatását abból a célból, hogy nyilatkozzon arról, hogy valóban az az általános eljárásrend a Kérelmezettnél, hogy minden szerződést be kell szkennelni. (3.sz. bizonyítási indítvány) A Kérelmező azt is kérte, hogy a Hatóság kérje be a Kérelmezettől 2017. június- 2019. november közötti időszakra vonatkozóan az irattári kikérésekről szóló nyilvántartását, mivel ezzel igazolható lenne az, hogy a Kérelmezett valóban nem kezeli a Kérelmezett devizaszámla szerződését, hanem elektronikusan tárolja azt (4. sz. bizonyítási indítvány), továbbá a Kérelmező indítványozta azt is ezzel kapcsolatban, hogy Hatóság […]-t is hallgassa meg tanúként (5. sz. bizonyítási indítvány). A Kérelmező kifogásolta az észrevételében, hogy a Kérelmezett semmivel sem bizonyította a devizaszámla szerződés megsemmisítését, csupán nyilatkozott a megsemmisítés tényéről.\n\n## II. Az ügyben alkalmazandó jogszabályi rendelkezések\n\nA természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó adatkezelésre az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben kiegészítésekkel kell alkalmazni.\n\nAz általános adatvédelmi rendelet 4. cikk 1. pont „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.\n\nAz általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pont alapján a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; („célhoz kötöttség”) Az általános adatvédelmi rendelet 6. cikk (1) bekezdése alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:\n\na) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;\n\nb) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;\n\nc) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;\n\ne) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;\n\nf) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.\n\nAz első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.\n\nAz általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontja alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja értelmében az adatkezelés jogalapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja.\n\nAz általános adatvédelmi rendelet 25. cikke: (1) Az adatkezelő a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket - például álnevesítést - hajt végre, amelyek célja egyrészt az adatvédelmi elvek, például az adattakarékosság hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába.\n\n(2) Az adatkezelő megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítására, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek. Ez a kötelezettség vonatkozik a gyűjtött személyes adatok mennyiségére, kezelésük mértékére, tárolásuk időtartamára és hozzáférhetőségükre. Ezek az intézkedések különösen azt kell, hogy biztosítsák, hogy a személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül ne válhassanak hozzáférhetővé meghatározatlan számú személy számára.\n\n(3) A 42. cikk szerinti jóváhagyott tanúsítási mechanizmus felhasználható annak bizonyítása részeként, hogy az adatkezelő teljesíti az e cikk (1) és (2) bekezdésében előírt követelményeket.\n\nAz általános adatvédelmi rendelet 58. cikk (2) bekezdés b), c) és i) pont alapján a felügyeleti hatóság korrekciós hatáskörében eljárva:\n\nb) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;\n\nc) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét;\n\ni) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett.\n\nAz általános adatvédelmi rendelet 83. cikk (1) bekezdés alapján valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek.\n\nAz általános adatvédelmi rendelet 83. cikk (2) bekezdés alapján a közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:\n\na) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;\n\nb) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;\n\nd) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket;\n\ne) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke;\n\ng) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;\n\ni) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban - ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés;\n\nj) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség.\n\nAz Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít.\n\nAz általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) rendelkezéseit kell alkalmazni az Infotv-ben meghatározott eltérésekkel.\n\nAz Ákr. 27. § (2) bekezdés alapján a hatóság gondoskodik arról, hogy a törvény által védett titok és törvény által védett egyéb adat (a továbbiakban együtt: védett adat) ne kerüljön nyilvánosságra, ne juthasson illetéktelen személy tudomására, és e védett adatok törvényben meghatározott védelme a hatóság eljárásában is biztosított legyen.\n\nAz Ákr. 36. § szerint a kérelem az ügyfél olyan írásban vagy személyesen előterjesztett nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében. Az Infotv. 60. (2) bekezdése szerint az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében meghatározott esetben nyújtható be. Az általános adatvédelmi rendelet 77. cikk (1) bekezdése szerint minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti az általános adatvédelmi rendeletet.\n\nAz Ákr 62. § (4) bekezdés alapján a hatóság szabadon választja meg a bizonyítás módját, és a rendelkezésre álló bizonyítékokat szabad meggyőződése szerint értékeli.\n\nAz Ákr. 46. § (1) bekezdés a) pontja alapján a hatóság a kérelmet visszautasítja, ha az eljárás megindításának jogszabályban meghatározott feltétele hiányzik, és e törvény ahhoz más jogkövetkezményt nem fűz, az Ákr. 47. § (1) bekezdés a) pontja alapján pedig a hatóság az eljárást megszünteti, ha a kérelem visszautasításának lett volna helye, annak oka azonban az eljárás megindítását követően jutott a hatóság tudomására.\n\nAz üzleti titok védelméről szóló 2018. évi LIV. törvény (a továbbiakban: Üzleti titok) 1. § (1) bekezdés alapján üzleti titok a gazdasági tevékenységhez kapcsolódó, titkos – egészben, vagy elemeinek összességeként nem közismert, vagy az érintett gazdasági tevékenységet végző személyek számára nem könnyen hozzáférhető-, ennélfogva vagyoni értékkel bíró olyan tény, tájékoztatás, egyéb adat és az azokról készült összeállítás, amelynek a titokban tartás érdekében a titok jogosultja az adott helyzetben általában elvárható magatartást tanúsítja.\n\n## III. Döntés\n\nIII.1. A 2018. május 25-e előtti adatkezelés A Hatóság a kérelmezett adatkezelés vonatkozásában csak a 2018. május 25. napját követő adatkezeléssel összefüggésben tehet megállapításokat, tehát az Ákr. 47. § (1) bekezdés a) pontja alapján a Hatóság a 2018. május 25-e előtti időszak adatkezelésének vizsgálatára – a „régi Infotv. 4. §-a; az 5. §-a és a 17. § (2) bekezdés d) pontja megsértésének megállapítására” - irányuló részében az eljárást megszüntette, mivel a kérelem nem felelt meg az Infotv. 60. § (2) bekezdésben foglalt feltételeknek, hiszen a kérelmezett adatkezelési időszak ezen részében az általános adatvédelmi rendelet még nem volt alkalmazandó, így annak vonatkozásában a Hatóság előtt adatvédelmi hatósági eljárás iránti kérelem alapján nem indítható. III.2. A 2018. május 25-e utáni adatkezelés III.2.1. A Kérelmező kérelmének 1. pontja arra irányult, hogy a Hatóság állapítsa meg, hogy a 2000.09.27-én kötött devizaszámla szerződéssel kapcsolatban, annak 2008.12.27. napját követő megőrzésével megsértette a Kérelmezett „az új Infotv. 20. § ac alpontját”, mivel a devizaszámla szerződést annak ellenére őrizte meg jogellenesen 2017.06.28-ig, illetve a mai napig, hogy az adatkezelés célja megszűnt és a jogszabályban előírt adatkezelési idő 2008-ban lejárt, illetve a Kérelmezettnek az ezzel kapcsolatos adatkezelésre nincs egyéb jogalapja. Az általános adatvédelmi rendelet alkalmazandóvá válását követően szükségképpen megváltozott az Infotv. személyes adatok védelmével összefüggő rendelkezéseinek hatálya. Az „új Infotv.-nek”, azaz az Infotv.-nek - az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvénynek az Európai Unió adatvédelmi reformjával összefüggő módosításáról, valamint más kapcsolódó törvények módosításáról szóló 2018. évi XXXVIII. törvénnyel (a továbbiakban: Módtv.) kihirdetett - 2018. július 26-ától hatályos 2. §-ának (2) bekezdése rögzíti, hogy a személyes adatoknak az általános adatvédelmi rendelet hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet az Infotv. mely rendelkezéseiben meghatározott kiegészítésekkel kell alkalmazni. Ezek között nem szerepelnek a Kérelmező kérelmében hivatkozott rendelkezések.\n\nTekintettel arra, hogy a Kérelmező kérelmének ezen része nyilvánvalóan alaptalan, mivel az Infotv. hatályos Kérelmező által megsérteni vélt rendelkezéseit – Infotv. 20. § ac) pontját – a kérelem ezen tárgyát képező adatkezelésre a Kérelmezettnek nem kellett alkalmaznia, ezért a Hatóság a kérelem ezen részét elutasította. III.2.2. A Kérelmező kérelmének 2. pontja arra irányult, hogy a Hatóság állapítsa meg, hogy a devizaszámla szerződéssel kapcsolatban, annak 2008.12.27. napját követő megőrzésével megsértette a Kérelmezett az „új Infotv. 4. § (1) - (4) bekezdését”, mivel a célhoz kötöttség alapelvét és a hivatkozott jogszabályi rendelkezésben megfogalmazott alapelveket megsértette, és a devizaszámla szerződést „céltól eltérően kezeli a mai napig”, annak ellenére, hogy jogszabályi rendelkezések alapján csak 2008.12. 27-ig kezelhette volna.\n\nAz előző III.2.1. pontban kifejtett indokokra tekintettel a Hatóság ezen nyilvánvalóan alaptalan részét is elutasította, mivel az Infotv. hatályos Kérelmező által megsérteni vélt rendelkezéseit – Infotv.4. §át – a kérelem tárgyát képező adatkezelésre a Kérelmezettnek nem kellett alkalmaznia. III.2.3. A Kérelmező kérelmének 4. pontja arra irányult, hogy a Hatóság állapítsa meg a devizaszámla szerződéssel kapcsolatban, hogy annak 2008.12.27. napját követő megőrzésével a Kérelmezett megsértette az általános adatvédelmi rendelet „5. cikk 1.A.,1.B.; 1.D.; 1.E.; 1.F és (2) bekezdését” azáltal, hogy a célhoz kötöttség alapkövetelményét és a hivatkozott §-okban rögzített kulcsfontosságú alapelveket, mivel a hivatkozott devizaszerződést céltól eltérően kezeli a mai napig és kezelte 2017.06.26-ig holott azt a jogszabályi előírás alapján kizárólag 2008.12.27-ig kezelhette volna. A pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi LIII. törvény 57. § (1) bekezdésében foglalt rendelkezés szerint az üzleti kapcsolattal összefüggésben kezelt személyes adatokat a Kérelmezett 8 évig köteles megőrizni. A számvitelről szóló 2000. évi C. törvény 169. § (2) bekezdése alapján 8 évig kell megőriznie a Kérelmezettnek a szerződéseit, mint számviteli bizonylatokat. A Kérelmezett megerősítette a Kérelmező arra vonatkozó feltételezését, hogy a devizaszámla szerződést a jogszabályban előírt kötelező megőrzési időn túl is kezelte (tárolta). A kötelező megőrzési időn túli adatkezelés oka ügyintézői adminisztratív hiba volt, tehát a Hatóság a Kérelmezett nyilatkozatai alapján megállapította, hogy az adatkezelési folyamata során a Kérelmezett általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontjába ütköző jogellenes adatkezelését a Kérelmezett mulasztása, gondatlansága okozta, tehát a Hatóság részben helyt ad a Kérelmező azon kérelmének, hogy állapítsa meg az általános adatvédelmi rendelet 5. cikkének a sérelmét. A Hatóság álláspontja szerint az ügyintézői hibára vonatkozó érvelés nem mentesíti a Kérelmezettet az adatkezelői felelősség alól, tekintettel arra, hogy az általános adatvédelmi rendelet 4. cikk 7. pontja értelmében a Kérelmezett minősül adatkezelőnek és nem a munkavállalói. A Kérelmezett az, aki megszervezi az adatkezelés folyamatát és kialakítja annak körülményeit, nem pedig az ügyintézők. Az adatkezelő legfontosabb jellemzője az, hogy érdemi döntéshozatali jogkörrel rendelkezik, és felelősséggel tartozik az adatkezelés valamennyi, az általános adatvédelmi rendeletben rögzített kötelezettség teljesítéséért.\n\nAz Adatvédelmi Irányelv 29. cikke szerint létrehozott Adatvédelmi Munkacsoport (a továbbiakban: Adatvédelmi Munkacsoport) az „adatkezelő” és az „adatfeldolgozó” fogalmáról szóló 1/2010. számú véleményében szintén kifejtette, hogy „Végső soron a vállalatot vagy szervet kell felelősnek tekinteni az adatfeldolgozásért és az adatvédelmi jogszabályokból eredő kötelezettségekért, kivéve, ha egyértelmű elemek utalnak arra, hogy egy természetes személy a felelős. […] Azonban az ilyen esetekben is, amikor konkrét természetes személyt neveznek ki, hogy biztosítsa az adatvédelmi elvek betartását vagy hogy személyes adatokat dolgozzon fel, ez a személy nem lesz adatkezelő, hanem annak a jogi személynek (vállalatnak vagy köztestületnek) a nevében jár el, amely adatkezelői minőségében továbbra is felelős az alapelvek megsértése esetén.” Az ügyintéző által végrehajtott téves adatrögzítés ténye tehát nem minősül kimentési oknak, ebben az esetben is az adatkezelő viseli a felelősséget.\n\nMindezek alapján a kötelező megőrzési időn túli jogellenes adatkezelés a Kérelmezett, mint adatkezelő felelősségi körébe esik. Az általános adatvédelmi rendelet 25. cikke megköveteli, hogy az adatkezelő az adatkezelés teljes folyamata során megfelelő technikai és szervezési intézkedéseket hajtson végre annak biztosítására, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek.\n\nA fentiekkel kapcsolatban a Hatóság az általános adatvédelmi rendelet 5. cikkének rendelkezései közül az 5. cikk (1) bekezdés b) pontjának megsértését állapítja meg, a Kérelmező által kért 5. cikk (1) bekezdés a), c), d),e), f) pont és (2) bekezdés rendelkezései megsértése a kötelező őrzési időn túli adatkezeléssel összefüggésben nem állapítható meg, ezért a Hatóság a Kérelmező kérelmének ezen részét elutasítja.\n\nIII.2.4. A Kérelmező kérelmének 4. pontja arra irányult, hogy a Hatóság állapítsa meg a devizaszámla szerződéssel kapcsolatban, hogy annak 2008.12.27. napját követő megőrzésével megsértette a Kérelmezett „az új Infotv. 5. § (1) bekezdés a)-b) pontját” azzal, hogy a devizaszámla szerződést annak ellenére őrizte meg jogellenesen, és az ezzel kapcsolatos személyes adatokat kezeli a mai napig, hogy erre jogszabályi felhatalmazása lenne, illetve a Kérelmező a hozzájárulását sem adta ehhez az adatkezeléshez Az előző III.2.1. pontban kifejtett indokokra tekintettel a Hatóság ezen nyilvánvalóan alaptalan részét is elutasította, mivel az Infotv. hatályos Kérelmező által megsérteni vélt rendelkezéseit – Infotv. 5. §át – a kérelem tárgyát képező adatkezelésre a Kérelmezettnek nem kellett alkalmaznia.\n\nIII.2.5. A Kérelmező kérelmének 5. pontja arra irányult, hogy a Hatóság állapítsa meg, hogy a „Kérelmezett a devizaszámlaszerződés 2008.12.27-ét követő megőrzésével megsértette az általános adatvédelmi rendelet 6. cikk 1.A.; 1.B.; 1.C. bekezdését azáltal, hogy hozzájárulása nélkül kezeli a mai napig”.\n\nA III.2.4. pontban tett megállapításokkal összhangban – miszerint a Kérelmezett megerősítette a Kérelmező arra vonatkozó feltételezését, hogy a devizaszámla szerződést a jogszabályban előírt kötelező megőrzési időn túl is kezelte jogalap nélkül - a Hatóság megállapította, hogy az adatkezelési folyamata során a Kérelmezett az általános adatvédelmi rendelet 6. cikk (1) bekezdését is megsértette.\n\nIII.2.6. A Kérelmező kérelmének 6. pontja arra irányult, hogy a Hatóság kötelezze a Kérelmezettet a devizaszámlaszerződés hitelt érdemlő törlésére.\n\nA devizaszámla szerződés 2019. november 8. napján megsemmisítésre került. Külön jegyzőkönyvet a törlésről a Kérelmezett nem készített, mert ezzel összefüggésben a NAIH/2019/6534/5. ügyszámú végzésre adott válaszlevelében nyilatkozott a Hatóságnak, és tekintettel arra, hogy az említett levél aláírói hajtották végre a megsemmisítést, ezért erről nem készítettek külön jegyzőkönyvet is.\n\nA Hatóság elfogadta a Kérelmezettek törléssel kapcsolatos nyilatkozatát hivatkozással az Ákr. 64. § (1) bekezdésére, mely szerint, ha jogszabály nem zárja ki, az ügyfél a nyilatkozatával pótolhatja a hiányzó bizonyítékot, ha annak beszerzése nem lehetséges.\n\nIII.2.7. A Kérelmező kérelmének 7. és 8. pontja arra irányult, hogy a Hatóság állapítsa meg az általános adatvédelmi rendelet 5. cikk (1)- (2) bekezdésének sérelmét, továbbá a 6. cikk (1) bekezdés a)-c) sérelmét a Kérelmezett adatkezelésével összefüggésben ([…] lakcím, a „régi” személyi igazolvány szám, a Kérelmező 2000.09.27.-i szerződés szerinti számlaszáma)\n\nA Kérelmezett nyilatkozott arról, hogy a devizaszáma szerződés egyetlen példányát megsemmisítette, azonban a Kérelmező arra mutatott rá, hogy a kezdeti beadványához csatolt levélben is jelezte, hogy a Kérelmezett a devizaszámla szerződéssel együtt és ahhoz csatoltan egy „Magánszemély számlatulajdonos törzsadat bejelentése/módosítása” elnevezésű iratot is továbbított a részére, melyen az egyéb adatain kívül a személyi igazolvány száma, számlaszáma és régi lakcíme is feltüntetésre került. A Kérelmezett a Hatóságnak küldött – határidőn túl megőrzött szerződés törlésére vonatkozó – nyilatkozatában arról nem nyilatkozott, hogy ezt a devizaszámla szerződéshez kötődő dokumentumot, melynek megőrzési ideje a számlaszerződés megőrzési idejéhez igazodik, is megsemmisítette.\n\nA Hatóság megállapította, hogy tekintettel arra, hogy a Kérelmező által hivatkozott dokumentum a megőrzési időn túl tárolt szerződéshez kapcsolódik, tehát a Kérelmezett a szerződéssel együtt ezt az iratot is határidőn túl, jogalap nélkül tárolta, mellyel megsértette a GDPR 6. cikk (1) bekezdését, ezért a Hatóság a Kérelmező kérelmének helyt adott. Továbbá tekintettel arra, hogy a Kérelmezett a határidőn túl tárolt szerződés megsemmisítésével együtt nem nyilatkozott a határidőn túl tárolt dokumentáció törléséről is, ezért megsértette a GDPR 5. cikk (2) bekezdését.\n\nIII.2.8. A Kérelmező kérelmének 9. pontja arra irányult, hogy kötelezze a Kérelmezettet a devizaszámlaszerződéssel – valamint az ehhez kapcsolódó dokumentációkkal - kapcsolatosan személyes adatai törlésére, ideértve a Kérelmező korábbi, azaz [….] lakcíme törlésére is.\n\nA Kérelmezett arról nyilatkozott, hogy a határidőn túl tárolt számlaszerződés egyetlen példányát törölte, azonban arról nem nyilatkozott, hogy az ahhoz kapcsolódó adatlapot is törölte.\n\nA III.2.7. pontban leírt indokokra figyelemmel a Hatóság a GDPR 17. cikk (3) bekezdésének c) és e) pontjára hivatkozva a Kérelmező kérelmének jelen részének helyt ad, és utasítja a Kérelmezettet, hogy a határidőn túl tárolt szerződés minden dokumentációját törölje.\n\nIII.3. Üzleti titokként történő kezelés\n\nIII.3.1. A Kérelmezett által alkalmazott anonimizálási/törlési módszertan, banki rendszerek neve\n\nA Kérelmezett anonimizálási/törlési módszertanának, továbbá az általa alkalmazott banki rendszerek nevének közzétételét sem az általános adatvédelmi rendelet, sem az ágazati jogszabályok nem írják elő, ezért emiatt a Kérelmezett ezt a saját döntése alapján üzletei titokként kezelheti, tehát ezen vonatkozásban a Kérelmezett kérelmének a Hatóság helyt ad.\n\nIII.3.2. A Kérelmezett Hatóság rendelkezésére bocsátott konszolidált éves beszámolója\n\nA számvitelről szóló 2000. évi C. törvény (a továbbiakban: Számviteli tv.) 154. § (1) bekezdés alapján minden kettős könyvvitelt vezető köteles az éves beszámolót, illetve az egyszerűsített éves beszámolót, kötelező könyvvizsgálat esetén a könyvvizsgálói záradékot vagy a záradék megadásának elutasítását is tartalmazó független könyvvizsgálói jelentéssel együtt közzétenni.\n\nA fentiekre hivatkozással a Kérelmezett, mint kettős könyvvitelt vezető vállalkozó által a Hatóság rendelkezésére bocsátott konszolidált éves beszámolót a Hatóság nem kezeli üzleti titokként, mivel az a Számviteli tv. alapján nyilvános adat, ezért a Kérelmezett üzleti titokként történő kezelésre vonatkozó kérelmének erre irányuló részét a Hatóság elutasítja.\n\nIII.4. A Kérelmező által előterjesztett – 1., 2., 3., 4., 5. sz. - bizonyítási indítványok\n\nA Kérelmező az 1. sz. indítványában előadott devizaszámla szerződésnek - az aláírásmintájának beszkennelésével egyidejűleg történt beszkennelésére vonatkozó feltételezését csak valószínűsítette, bizonyítékokkal alá támasztani nem tudta, mivel a Kérelmező az aláírásminta beszkenneléséből vonta le azt a következtetést, hogy a Kérelmezett a devizaszerződését is beszkennelte, azonban az aláírásminta beszkenneléséből nem következik a szerződés beszkennelése, továbbá mivel az Ákr. 62. § (4) bekezdés alapján a hatóság szabadon választja meg a bizonyítás módját, és a rendelkezésre álló bizonyítékokat szabad meggyőződése szerint értékeli, ezért erre vonatkozó tényállás tisztázást nem látta indokoltnak. A Kérelmezett - a Kérelmező állításával szemben, amit a Kérelmező bizonyítani nem tudott – azt nyilatkozta, hogy a deviza számla szerződést nem tárolja és nem is tárolta, erről a Kérelmezőt is tájékoztatta 2017-ben és 2018-ban. A kérelmező devizaszámla szerződésének beszkennelésére vonatkozó nyilatkozata csupán egy bizonyítás nélküli állítás.\n\nAz Ákr. 62. § (4) bekezdésére hivatkozással a Hatóság nem látta indokoltnak a Kérelmező 2.sz. számú bizonyítási indítványával összefüggésben a Kérelmezett újabb nyilatkozattételre történő felhívását a Kérelmező által indítványozott körülmények megvizsgálásával összefüggésben, mivel a Kérelmezett elismerte, hogy határidőn túl tárolta a Kérelmező devizaszámla szerződését, tehát emiatt nem indokolt a szerződés megszűnése dátumának vizsgálata.\n\nTovábbá a Kérelmező 1., 3., 4., 5.sz. bizonyítási indítványában írtak, így a Kérelmezett szerződések beszkennelésére vonatkozó általános gyakorlatának vizsgálata sem indokolt, mivel a jelen eljárás kérelemre indult eljárás, nem a Kérelmezett általános gyakorlatát vizsgálja, és az általános gyakorlat vizsgálata az egyedi esetben történtekre nem is feltétlenül ad magyarázatot, mivel a Kérelmezett kifejezetten arról nyilatkozott, hogy a Kérelmező devizaszámla szerződésének tárolásával összefüggésben egyedi, adminisztrációs hiba történt.\n\nIII.5. Jogkövetkezmények\n\nA Hatóság a Kérelmező kérelmének részben helyt ad és az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezettet, mert megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontját és az általános adatvédelmi rendelet 6. cikk (1) bekezdését, amiért megfelelő cél és jogalap nélkül tárolta a devizaszámla szerződést, továbbá mivel a Kérelmezett a GDPR 5. cikk (2) bekezdését megsértette, és ezzel összefüggésben utasította, hogy a határidőn túl tárolt, már megsemmisített szerződéshez kapcsolódó dokumentáció törléséről is nyilatkozzon.\n\nA Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. Abban a kérdésben, hogy indokolt-e az adatvédelmi bírság kiszabása, a Hatóság jogszabályon alapuló mérlegelési jogkörben eljárva döntött, figyelemmel az Infotv. 61. § (1) bekezdés a) pontjára, az Infotv. 75/A. §-ára, valamint az általános adatvédelmi rendelet 58. cikk (2) bekezdésére.\n\nA Hatóság a bírság kiszabásának mellőzésével kapcsolatban az alábbi körülményeket jelentős enyhítő körülményként vette figyelembe:\n\n- A Hatósággal való együttműködés körében azt értékelte, hogy a Kérelmezett a hiba feltárást követően intézkedett a jogalap nélküli adatkezelés megszüntetéséről (általános adatvédelmi rendelet 83. cikk (1) f) pont) - A Kérelmező több összetett, nagyvonalakban ismétlődő, azonban kisebb részletekben eltérő érintetti joggyakorlásra irányuló kérelmet nyújtott be – és nyújt be folyamatosan – a Kérelmezetthez, szinte követhetetlenné téve, hogy melyik kérelme pontosan mire is irányult. Ezen kérelmek sorozatos előterjesztése nehezíti és lassítja a kérelmeinek pontos és megfelelő elbírálását, teljesítését a Kérelmezett részéről. Ezekkel a kérelmekkel összefüggésben a Hatóság előtt 48 db adatvédelmi hatósági és vizsgálatai eljárás indult a Kérelmező kérelmére, panasza alapján, mely szám jól mutatja azt, hogy a Kérelmező a folyamatos érintetti kérelmeivel nagy munkaterhet ró a Kérelmezettre. (általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont)\n\n## IV. Egyéb kérdések\n\nA Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.\n\nA Hatóság jelen döntése az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A döntés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik.\n\nAz Ákr. 112. § (1) bekezdése, 114. § (1) bekezdése és 116. § (1) bekezdése alapján a határozattal szemben és az Ákr. 112. § (2) bekezdés d) pontja, 114. § (1) bekezdése és 116. § (1) bekezdése alapján a végzéssel szemben közigazgatási per útján van helye jogorvoslatnak.\n\nA közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes.\n\nA Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.”\n\nA Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.\n\nA keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. Az egyszerűsített perről, illetve a tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén és a 124. § (5) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Budapest, 2021. június 25.\n\nDr. Péterfalvi Attila elnök c. egyetemi tanár","changes":[{"id":844,"doc_id":10592,"v_from":11273,"v_to":14669,"detected_at":"2026-09-17 02:24:46","added":4,"removed":4,"summary":"--- \n+++ \n-kérelmező (a továbbiakban: Kérelmező)a […] (a továbbiakban: Kérelmezett) a Kérelmezővel 2000. szeptember 27. napján kötött devizaszámla szerződéssel (a továbbiakban: devizaszámla szerződés) összefüggő jogellenes adatkezelés tárgyában 2019. augusztus 29. napján benyújtott kérelme nyomán indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:\n+kérelmező (a továbbiakban: Kérelmező) a […] (a továbbiakban: Kérelmezett) a Kérelmezővel 2000. szeptember 27. napján kötött devizaszámla szerződéssel (a továbbiakban: devizaszámla szerződés) összefüggő jogellenes adatkezelés tárgyában 2019. augusztus 29. napján benyújtott kérelme nyomán indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:\n-c)utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét;\n+c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét;\n-Az Ákr. 27. § (2) bekezdés alapján ahatóság gondoskodik arról, hogy a törvény által védett titok és törvény által védett egyéb adat (a továbbiakban együtt: védett adat) ne kerüljön nyilvánosságra, ne juthasson illetéktelen személy tudomására, és e védett adatok törvényben meghatározott védelme a hatóság eljárásában is biztosított legyen.\n+Az Ákr. 27. § (2) bekezdés alapján a hatóság gondoskodik arról, hogy a törvény által védett titok és törvény által védett egyéb adat (a továbbiakban együtt: védett adat) ne kerüljön nyilvánosságra, ne juthasson illetéktelen személy tudomására, és e védett adatok törvényben meghatározott védelme a hatóság eljárásában is biztosított legyen.\n-A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontjaalapján a Fővárosi Törvényszék kizárólagosan illetékes.\n+A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes."}]}