{"check":null,"uid":"f679db608aa13837","title":"Mesterséges intelligencia alkalmazásának adatvédelmi kérdései","title_generated":false,"country":"Венгрия","organ":"Орган по защите данных Венгрии (NAIH)","kind":"case","kind_name":"Судебная практика","lang":"hu","date":"2022-01-01","summary":"Регулятор установил, что банк нарушил GDPR при использовании ПО для анализа эмоций и характеристик звонков клиентов без надлежащего правового основания и информирования. Банку предписано прекратить эмоциональный анализ, обеспечить права субъектов данных, ограничить обработку сотрудников необходимым минимумом и провести оценку интересов; срок на исполнение — 60 дней с момента вступления решения в силу. Назначен штраф 250 млн форинтов со сроком уплаты 30 дней; за неисполнение предусмотрена пеня и принудительное исполнение. Решение опубликовано, административное обжалование возможно в столичный суд.","snippet":"","topics":["Персональные данные","Искусственный интеллект"],"status":"ok","error":"","text_len":135807,"versions":2,"url":"https://naih.hu/hatarozatok-vegzesek?download=517:mesterseges-intelligencia-alkalmazasanak-adatvedelmi-kerdesei&start=100","first_seen":"2026-09-07","last_checked":"2026-09-17 02:24","relevance":"hit","score":544,"query":"","source_key":"naih_hu","verdict":{"relevance":"hit","score":544,"topics":["Персональные данные","Искусственный интеллект"],"need_body":8,"authorities":[{"kind":"орган","name":"Nemzeti Adatvédelmi és Információszabadság Hatóság","topic":"Персональные данные"},{"kind":"орган","name":"NAIH","topic":"Персональные данные"},{"kind":"акт","name":"GDPR","topic":"Персональные данные"},{"kind":"акт","name":"2016/679","topic":"Персональные данные"},{"kind":"акт","name":"információs önrendelkezési jogról","topic":"Персональные данные"}],"evidence":[{"topic":"Искусственный интеллект","term":"mesterséges intelligencia","weak":false,"pos":0,"ctx":"mesterséges intelligencia alkalmazásának adatvédelmi kérdései регулятор установил, что банк нарушил gdpr при исполь","zone":"название","weight":3},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":41,"ctx":"mesterséges intelligencia alkalmazásának adatvédelmi kérdései регулятор установил, что банк нарушил gdpr при использовании по для анализа эмоц","zone":"название","weight":3},{"topic":"Персональные данные","term":"gdpr","weak":false,"pos":100,"ctx":"s intelligencia alkalmazásának adatvédelmi kérdései регулятор установил, что банк нарушил gdpr при использовании по для анализа эмоций и характеристик звонков клиентов без надлежащего","zone":"название","weight":3},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":99,"ctx":"naih-85-3/2022 korábbi ügyszám: naih-7350/2021  tárgy: határozat  határozat  ## a nemzeti adatvédelmi és információszabadság hatóság (a továbbiakban: hatóság) a  budapest bank zrt.-vel szembe","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatkezel","weak":false,"pos":499,"ctx":"2018. május 25. és a jelen eljárás megindításának napja között az ügyfél által folytatott adatkezelési gyakorlat tárgyában 2021. szeptember 22. napján hivatalból adatvédelmi hatósági eljárást","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":571,"ctx":"által folytatott adatkezelési gyakorlat tárgyában 2021. szeptember 22. napján hivatalból adatvédelmi hatósági eljárást indított. a hatóság az adatvédelmi hatósági eljárásban az alábbi döntés","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":624,"ctx":"21. szeptember 22. napján hivatalból adatvédelmi hatósági eljárást indított. a hatóság az adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:  ## i. a hatóság hivatalból megállapítja,","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatkezel","weak":false,"pos":787,"ctx":"ság hivatalból megállapítja, hogy az ügyfél vizsgált hangfelvétel-elemzéssel kapcsolatos  adatkezelési gyakorlata megsértette a természetes személyeknek a személyes adatok kezelése tekintetébe","zone":"текст","weight":1},{"topic":"Персональные данные","term":"személyes adat","weak":false,"pos":852,"ctx":"-elemzéssel kapcsolatos  adatkezelési gyakorlata megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint","zone":"текст","weight":1},{"topic":"Искусственный интеллект","term":"mesterség intelligenci","weak":false,"pos":11828,"ctx":"gyintézőnként kaphatnak eddig nem mért adatokat a minőséget illetően.  ## (xiii) a […], a mesterséges intelligencián alapuló beszédjel-feldolgozás segítségével felismeri:  • várakoztatást / csendet / egymás","zone":"текст","weight":1},{"topic":"Искусственный интеллект","term":"mesterséges intelligencia","weak":false,"pos":13904,"ctx":"szerinti idézetek)  „ügyfelünk telefonhívást megelőzően nem kapott tájékoztatást, hogy a mesterséges intelligencia segítségével és egy hangelemző szoftver használatával elemzik a beszélgetést és kíváncsi","zone":"текст","weight":1},{"topic":"Искусственный интеллект","term":"mesterséges intelligencia","weak":false,"pos":14160,"ctx":"céloknak felel meg.  kérdésére választ nem kapott az ügyfélszolgálatostól. kérem ennek a mesterséges intelligencia szoftver adatkezelési tájékoztatást és adatvédelmi szabályokat megkapni. hol található? m","zone":"текст","weight":1},{"topic":"Искусственный интеллект","term":"mesterséges intelligencia","weak":false,"pos":21641,"ctx":"lönös tekintettel az alkalmazott technológia újdonság jellegére, ugyanis a hangfelvételek mesterséges intelligencia segítségével automatizáltan kerülnek elemzésre és a megállapítások is automatizáltan szül","zone":"текст","weight":1},{"topic":"Искусственный интеллект","term":"mesterség intelligenci","weak":false,"pos":30494,"ctx":"tonként, ügyintézőnként kaphatnak eddig nem mért adatokat a minőséget illetően.  a […], a mesterséges intelligencián alapuló beszédjel-feldolgozás segítségével felismeri:  • várakoztatást / csendet / egymás","zone":"текст","weight":1},{"topic":"Искусственный интеллект","term":"mesterség intelligenci","weak":false,"pos":39899,"ctx":"avállaló fejlesztését segítik, ha szükséges, munkajogi hátrány nélkül.  (viii) a szoftver mesterséges intelligenciát nem tartalmaz, automatizált döntést nem hoz. elemzési eredményei kizárólag emberi közremű","zone":"текст","weight":1},{"topic":"Персональные данные","term":"Nemzeti Adatvédelmi és Információszabadság Hatóság","weak":false,"pos":757,"ctx":"gyszám: NAIH-85-3/2022 Korábbi ügyszám: NAIH-7350/2021  Tárgy: határozat  HATÁROZAT  ## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a  Budapest Bank Zrt.-vel szemben (székhely: 1038 Budapest, Vác","zone":"орган","weight":3},{"topic":"Персональные данные","term":"NAIH","weak":false,"pos":675,"ctx":"ие. Решение опубликовано, административное обжалование возможно в столичный суд. Ügyszám: NAIH-85-3/2022 Korábbi ügyszám: NAIH-7350/2021  Tárgy: határozat  HATÁROZAT  ## A Nemzeti Adat","zone":"орган","weight":0},{"topic":"Персональные данные","term":"GDPR","weak":false,"pos":100,"ctx":"s intelligencia alkalmazásának adatvédelmi kérdései Регулятор установил, что банк нарушил GDPR при использовании ПО для анализа эмоций и характеристик звонков клиентов без надлежащего","zone":"акт","weight":0},{"topic":"Персональные данные","term":"2016/679","weak":false,"pos":1683,"ctx":"k szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 5. cikk (1) bekezdés a) és b) p","zone":"акт","weight":0},{"topic":"Персональные данные","term":"információs önrendelkezési jogról","weak":false,"pos":4958,"ctx":"ési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 61.","zone":"акт","weight":0}],"dropped":[{"topic":"Цифровая идентификация и госуслуги","term":"elektronikus aláír","weak":false,"pos":37709,"ctx":"ó kérdéseket tett fel.  ## (9) a hatóság megkeresésére az ügyfél 2021. október 29. napján elektronikusan aláírt elektronikus  levélben érkezett, naih-7350-2/2021 számon iktatott válaszában az alábbi ny","why":"одиночное упоминание (нужно 8)"},{"topic":"Цифровое здравоохранение","term":"egészségügyi adat","weak":false,"pos":43314,"ctx":"tiloszkópiai adat.  ## (18) az általános adatvédelmi rendelet 4. cikk 15. pontja szerint „egészségügyi adat” egy  természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes","why":"одиночное упоминание (нужно 8)"},{"topic":"Цифровое здравоохранение","term":"egészségügyi adat","weak":false,"pos":47006,"ctx":"enetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó szem","why":"одиночное упоминание (нужно 8)"},{"topic":"Цифровое здравоохранение","term":"egészségügyi adat","weak":false,"pos":64769,"ctx":"z érzelem, pszichikai állapot az, amely adott körülmények között biometrikus adatnak vagy egészségügyi adatnak minősülhet. jelen esetben a feltárt tényállás szerint a hangelemzés során nem az érintett","why":"одиночное упоминание (нужно 8)"},{"topic":"Цифровое здравоохранение","term":"egészségügyi adat","weak":false,"pos":64969,"ctx":"et egyedileg azonosító adat jön létre, így a biometrikus adat ezen feltétele hiányzik. az egészségügyi adatnál pedig azon feltétel nem áll fenn, hogy az érintett fizikai vagy mentális egészségügyi áll","why":"одиночное упоминание (нужно 8)"}]},"last_changed":"2026-09-17","meta":{"fileId":"517","slug":"mesterseges-intelligencia-alkalmazasanak-adatvedelmi-kerdesei","case":"NAIH-85-3/2022"},"source_url":"https://naih.hu/hatarozatok-vegzesek?download=517:mesterseges-intelligencia-alkalmazasanak-adatvedelmi-kerdesei&start=100","text":"Ügyszám: NAIH-85-3/2022 Korábbi ügyszám: NAIH-7350/2021\n\nTárgy: határozat\n\nHATÁROZAT\n\n## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a\n\nBudapest Bank Zrt.-vel szemben (székhely: 1038 Budapest, Váci út 193.; a továbbiakban: Ügyfél, vagy egyes idézett szövegekben: Bank) az Ügyfél telefonos ügyfélszolgálata által folytatott telefonbeszélgetések hangfelvételeivel összefüggő, 2018. május 25. és a jelen eljárás megindításának napja között az Ügyfél által folytatott adatkezelési gyakorlat tárgyában 2021. szeptember 22. napján hivatalból adatvédelmi hatósági eljárást indított. A Hatóság az adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:\n\n## I. A Hatóság hivatalból megállapítja, hogy az Ügyfél vizsgált hangfelvétel-elemzéssel kapcsolatos\n\nadatkezelési gyakorlata megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 5. cikk (1) bekezdés a) és b) pontját, 6. cikk (1) bekezdését, 6. cikk (4) bekezdését, 12. cikk (1) bekezdését, 13. cikkét, 21. cikk (1) és (2) bekezdését, 24. cikk (1) bekezdését, 25. cikk (1) és (2) bekezdését.\n\n## II. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján hivatalból utasítja az Ügyfelet, hogy akként módosítsa adatkezelési gyakorlatát, hogy az megfeleljen az\n\náltalános adatvédelmi rendeletnek, azaz a hangelemzés során az érzelmeket ne elemezze, és az adatkezeléssel kapcsolatban az érintetti jogokat megfelelően biztosítsa, különösen, de nem kizárólag a megfelelő tájékoztatás és tiltakozás jogát. Az Ügyfél munkavállalóival kapcsolatban az adatkezelésnek a velük kapcsolatos célok eléréséhez szükségesre kell korlátozódnia, valamint ennek megfelelő tájékoztatást kell nyújtani részükre az értékelési szempontok és következmények megjelölésével. A munkavállalókkal kapcsolatos – eltérő célú – adatkezeléssel kapcsolatos külön érdekmérlegelés ki kell térjen az ezen függelmi viszonyból adódó kiszolgáltatott helyzetre és megfelelő belső garanciákat kell meghatározzon erre tekintettel.\n\n## III. A Hatóság az Ügyfelet hivatalból\n\n## 250 000 000 Ft, azaz kétszázötvenmillió forint adatvédelmi bírság\n\nmegfizetésére kötelezi.\n\nAz II. pontban előírt kötelezettség teljesítését az Ügyfélnek a jelen határozat véglegessé válásától számított 60 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt igazolnia a Hatóság felé. Az adatkezelést kizárólag megfelelő adatkör meghatározása mellett, valós hatásvizsgálat, érvényes jogalap, valamint az érintetti jogok maximális biztosításának igazolásával lehet folytatni, ellenkező esetben az Ügyfélnek a vizsgált adatkezelés megszüntetését kell igazolnia a Hatóság felé a fenti határidőn belül.\n\n## A III. pont szerinti bírságot a jelen határozat véglegessé válásától számított 30 napon belül a\n\nHatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425- 00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a „NAIH-85/2022 BÍRS.” számra kell hivatkozni.\n\nHa az Ügyfél a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése, illetve a fenti II. pont szerinti kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását. A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. Tárgyalás tartását a keresetlevélben lehet kérni. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 61. § (2) bekezdés a) pontja alapján a Hatóság a jelen határozatot közzéteszi a Hatóság honlapján.\n\n## INDOKOLÁS\n\n## I. Az eljárás menete\n\n## I.1. Az Előzmény Ügy\n\n## (1) A Hatóság a NAIH-5161/2021 számú előzmény vizsgálati eljárásban (a továbbiakban: Előzmény\n\nÜgy) panasz alapján az Ügyfél mint pénzintézeti tevékenységet folytató jogi személy azon adatkezelését vizsgálta, hogy az ügyfélszolgálati hívások rögzített hanganyagát automatikusan elemzi, és ezzel kapcsolatban megfelelő tájékoztatást nyújt-e az érintetteknek. Az Ügyfél az elemzés eredményét felhasználva állapítja meg, hogy melyik elégedetlen ügyfelet szükséges visszahívni, ezzel kapcsolatban többek között automatikusan elemzi mind a telefonáló érintett, mind az ügyfélszolgálati munkavállaló érzelmi állapotát és a beszélgetés egyéb jellemzőit. Az Előzmény Ügyben a panaszos az Ügyfél honlapján található egy mondatos, a hangelemzésre utaló tájékoztatás alapján tett fel kérdéseket ezzel kapcsolatban, azonban nem kapott számára kielégítő válaszokat, ezért a Hatósághoz fordult.\n\n## (2) A Hatóság megkeresésére az Ügyfél 2021. július 5. napján érkezett, NAIH-5161-5/2021 szám\n\nalatt iktatott válaszlevelében az alábbi érdemi nyilatkozatokat tette az Előzmény Ügyben, amelyeket a Hatóság a jelen eljárásban is minősített az indokolás III. pontjában:\n\n## (i) A hangelemző alkalmazást (a továbbiakban: Szoftver) 2017.05.26-án vezette be az Ügyfél. A\n\nfejlesztés célja az volt, hogy a közel 180 telefonos munkatárs munkája eredményesebbé váljon, a hívásokat visszahallgató mintegy 20 munkatárs híváskiválasztási eljárásának javítása útján. A visszahallgatások a rendszer használata mellett is véletlenszerű kiválasztás útján történnek, de a hívásokat a Szoftver rangsorolja a Szoftver által megállapított jellemzők alapján. Ezen jellemzők az Ügyfél előtt sem ismertek, azt a szoftver zártan kezeli. A hívás kiértékelésének részletes eredményei, az értékelt szempontok nem ismerhetők meg.\n\n## (ii) A Szoftver célja a minőségellenőrzés professzionálisabbá tétele, az Ügyfél munkavállalóinak\n\negyéni fejlesztése (szakmai és kommunikációs), a folyamatok hatékonyságának javítása és az ügyfélélmény növelése. A rendszer nem tárol semmilyen azonosításra alkalmas egyedi adatot vagy információt az ügyfélről. Az adatokat összevontan elemzik. A program felhasználási területei közé nem tartozik az értékesítési eredmények növelése.\n\n## (iii) Az egyik fő felhasználási terület a hívások minőségellenőrzése (behallgatás): az értékelendő\n\nhívásokat az elemzési csapat válogatja le a behallgatók számára. A leválogatási szempontok közt szerepel a Szoftverből jövő adat is (pl.: elégedetlenség, csalódottság, stb.) Szükség esetén ezek havonta változtatható paraméterek, annak érdekében, hogy a legeredményesebb legyen a minőségbiztosítás, azaz fel tudják tárni a hiányosságokat, lehetséges fejlődési irányokat.\n\n## (iv) A második fő felhasználási terület a panasz és ügyfélelvándorlás megelőzése: havonta előre\n\nmeghatározott számú ügyfelet hívnak fel proaktívan annak érdekében, hogy a panaszt megelőzzék, vagy elejét vegyék a lehetséges ügyfélelvándorlásnak. A rendszerbe kulcsszavakon alapuló keresési feltételek kerültek beállításra, melyek segítenek hatékonyan megtalálni az érintett ügyfeleket. Ez a riport napi szinten futtatható, és a behallgató munkatárs véletlenszerűen, szabadon választ a potenciális hívások közül.\n\n## (v) A harmadik fő felhasználási terület a hatékonyság növelése: csoportvezetők napi szinten\n\nvizsgálják a csapatukra vonatkozóan, mely hívásokban és miért volt az átlagosnál nagyobb az üresjárat (csend/zene) aránya. Ezt kivételes esetben a munkatársak egyéni fejlesztésére, illetve a folyamatok hatékonyságának javítására használják fel.\n\n## (vi) Hiányzik a személyes adat fogalmának kötelező eleme, az adat meghatározott természetes\n\nszemélyhez köthető mivolta. A Szoftver a beszélgetést elemzi, ezért visszahallgatás nélkül (mely pedig egy új adatkezelési folyamat) nem állapítható meg a beszélgetés egyetlen jellemzője sem.\n\n## (vii) Az összesített adatok a szabályozott üzleti folyamatról, a script alapján folytatott\n\nbeszélgetésekről levonható következtetést tesznek csupán lehetővé. A szünetek, üresjáratok hossza még adott ügyintéző esetén sem az egyéni rátermettség indikátora, hanem azt jelzi, munkájához speciális támogatás szükséges. Például akkor, ha nehézkes informatikai rendszer elérés miatti várakozási idő okozza a hosszabb csendet.\n\n## (viii) A Szoftver például hasonlít a forgalomszámláló készülékek, forgalomirányító lámpák\n\nműködéséhez, melyek szintén meghatározzák a forgalomban részt vevő (más módon amúgy azonosítható) természetes személyek kereszteződésen történő áthaladásának sorrendjét, működésüket a gyakorlat mégsem tekinti személyesadat-kezelésnek.\n\n## (ix) Az adatkezelés célja a panaszok és panaszban nem kifogásolt hibás banki ügyintézések\n\nszámának csökkentése, hatékony, udvarias ügyfélkiszolgálás biztosítása az ellenőrzési eljárások hatékonyságának támogatása útján, a fentebb részletezettek szerint. Az adatkezelés jogalapja az Ügyfél adatkezelési célok ismertetése során részletezett jogos érdeke a hatékony, jogszerű telefonos ügyintézés körében. Az adatkezelés időtartama a Szoftveren belül visszahallgatható hangfelvételek tekintetében 45 nap, a Szoftver működésével előállt statisztikák, sorrendbe rendezett híváslisták tekintetében 1 év.\n\n## (x) Azonosítható természetes személyhez köthető profilozást a Szoftver nem végez, a hívásokat\n\na fentiek szerint sorrendbe állítja, illetve hívásforgalmi összesítést, statisztikát készít a hívást bonyolító munkavállalók szerinti bontásban. Automatizált adatkezelési műveletet a hívásokra vonatkoztatva, sorrendbe állítással végez. Az automatizált művelet eredménye a visszahallgatási listába véletlenszerű emberi kiválasztással történő bekerülés esélyének növekedése vagy minimalizálása lehet.\n\n## (xi) […] hangrögzítő működése:\n\nA […] minden hanganyagot alapértelmezés szerint rögzít. Minden este egy automatizmus fut le a hangrögzítő szerverén, ami megsemmisíti az 5 másodperc alatti hívásokat. Alapértelmezés szerint minden hívás 180 nap után törlődik, kivéve azok a hívások, amelyek olyan üzleti címkével rendelkeznek, amelyek a […] felületén az adott kampányhoz tartozó üzleti címke beállítási fülön rendelkeznek a Hosszú távú megőrzés jelzéssel. A […] rendelkezik egy, a hanganalitika számára dedikált szerverrel, ami miatt a napon belüli hívásrögzítések duplikáltan jelennek meg. Egy automatizmus éjszakánként a […] hanganyagait kiveszi a találati listából. Ettől függetlenül a Szoftver belső rendszerében továbbra is meghallgathatók a hívások a rögzítéstől számított 45. napig. A hívások ezt követően nem lesznek meghallgathatóak a Szoftveren belül.\n\n## (xii) A Szoftveren belül a hanganalitikai funkció segítségével a […] ([…]) lehetőség van a […] és\n\na […] - […] hangrögzítő rendszerek hívásainak visszahallgatására és azok elemzésére. Továbbá lehetőség van a […] és […] indított és fogadott hívások monitorálása és kategorizálása különböző minőségi szempontok alapján, amely eredmények segítségével ügyfél specifikus akciókat és visszajelzéseket fogalmazhatunk meg a minőségi ügyfélkiszolgálás, a behajtás és a sales hatékonyság növelés céljából. Az egyes funkcionális management tagok a teljes területükre, területenként ([…]), csoportonként, ügyintézőnként kaphatnak eddig nem mért adatokat a minőséget illetően.\n\n## (xiii) A […], a mesterséges intelligencián alapuló beszédjel-feldolgozás segítségével felismeri:\n\n• várakoztatást / csendet / egymásra beszélést a hangállományokban, • kulcsszavak felismerését és megtalálását a hangállományokban, • detektálja az érzelmi / hangulati elemeket a hangállományokban.\n\n## (xiv) A várakoztatás / csend mérése lehetővé teszi, hogy a terület vezetője beazonosítsa a\n\nhatékonyságot csökkentő tényezőt és akciót indítson akár egyéni, akár területet érintő szinten (pl.: egyéni fejlesztés, területet érintő tréning, folyamatfejlesztés, stb.).\n\n## (xv) A kulcsszó felismerés (általunk kialakított szótár alapján) lehetővé teszi a panaszos ügyfelek\n\nkiszűrését és a churn (felháborodott ügyfél) megelőzést, a tiltott / töltelékszavak kimutatását.\n\n## (xvi) Az érzelmi / hangulati elemek detektálása a hívásokban megmutatja az igazi ügyfélélményt\n\nvagy az ügyfél irritációt.\n\n## (xvii) A Szoftver a saját tárhelyén 45 napig tárolja a hanganyagokat titkosított formában, ezt\n\nkövetően megsemmisíti azokat. A korábban elvégzett hanganyag elemzések ezt követően is visszakereshetők, de ezekből a hívás nem következtethető ki.\n\n## (xvii) Automatizált döntéshozatal egyedi ügyekben, beleértve a személyhez kapcsolt profil\n\nalkotásáról szóló döntést, a Szoftverrel végzett adatkezelés során nem történik. Ezért a GDPR. 22. cikk (2) feltételei nem alkalmazhatók.\n\n## (xix) Az érintetti tájékoztatást az Ügyfél az Üzletszabályzatának 3. fejezete és a Telefonos\n\nügyfélszolgálat és panaszkezelés részletes adatkezelési tájékoztató útján biztosítja, amelyet mellékelt a válaszához. (xx) A Szoftver a bevezetése óta panaszmentesen üzemel.\n\n## (3) A Hatóság megkeresésére az Ügyfél 2021. július 5. napján érkezett, NAIH-5161-5/2021 szám\n\nalatt iktatott válaszlevele mellékleteiben az alábbi érdemi bizonyítékokat szolgáltatta az Előzmény Ügyben, amelyeket a Hatóság a jelen eljárásban is minősített az indokolás III. pontjában:\n\n## (i) […] számú ügyfélpanasszal kapcsolatos belső feljegyzés (szó szerinti idézetek)\n\n„Ügyfelünk telefonhívást megelőzően nem kapott tájékoztatást, hogy a mesterséges intelligencia segítségével és egy hangelemző szoftver használatával elemzik a beszélgetést és kíváncsi lenne, hogy ennek mi a célja és milyen adatkezelési céloknak felel meg.\n\nKérdésére választ nem kapott az ügyfélszolgálatostól. Kérem ennek a mesterséges intelligencia szoftver adatkezelési tájékoztatást és adatvédelmi szabályokat megkapni. Hol található? Mennyire felel ez meg a GDPR -nak?”\n\n„Sajnálom, hogy munkatársunk nem ismerte a vonatkozó adatkezelési tájékoztatást: [hivatkozás intranetes címre]\n\nEzt mellékeld a válaszhoz. Kiemelendő, hogy ?A telefonos ügyfélszolgálat minőségbiztosítási, panasz megelőzési célból jogos érdeken alapuló profilalkotást végez és automatikus döntés útján választja ki azon hívásokat, melyben magasabban képzett banki dolgozó visszahívás útján hárítja el a telefonbeszélgetésben felmerült problémát, panaszt.?\n\nA hivatkozott dokumentum elérhető a https://www.budapestbank.hu/hirdetmenyek/adatkezelesitajekoztatasok címről is. Talán érdemes azt megemlíteni, ha az általános adatkezelési tájékoztatást (Üzletszabályzat 3. fejezete) és az idézett részletes adatkezelési tájékoztatást ügyintézőnk a hívás elején felolvasná, ez legalább 10-15 perccel meghosszabbítaná a panasz, ügyfélkérés előterjesztésének idejét. Ezt ügyfeleink nem fogadnák el. Ezért döntött a Bank írásbeli tájékoztatás alkalmazása mellett.”\n\n## (ii) […] számú ügyfélpanasszal kapcsolatos belső feljegyzés (szó szerinti idézetek, azonos\n\nérintett újabb levelére válasz)\n\n„[…] A szoftver a hangfelvételt […] - a fejlesztő üzleti titkát képező - szempont szerint elemzi. Ezek közül a fejlesztő a beszéd sebességét, hangerejét, hangmagasságát, a beszédszünetek hosszát ismertette példaként. Az elemzés eredményeként nem készül profil, hanem a felvételeket a rendszer napi rangsorba állítja. A sorrend alapja, hogy a vizsgált szempontokból levonható következtetés szerint a telefonáló - bár formális panaszt nem terjesztett elő - elégedetlen volt-e az ügyintézéssel. A rangsor elején szereplő hívásokat magasabb képzettséggel, jogosultsággal rendelkező munkatársunk visszahívja, megkísérelve az elégedetlenség okának orvoslását. A rendszer zárt működéséből következően a Bank sem ismer meg, nem kezel a hívások sorrendjén kívüli adatot. Így adatot nem továbbít, nem tárol, arról további tájékoztatást sem tud biztosítani. A biztonság sérülésének hiányában a rendszer működése nem tekinthető adatvédelmi incidensnek. A látens panaszok feltárása, elhárítása a telefonálók és a Bank közös érdeke. Ez a rendszer működésének alapja. Az előzetes adatkezelési tájékoztatás jelenlegi formájában igazodik a GDPR 12. cikk (1) elvárásaihoz, amely a tájékoztatás tömörségét, átláthatóságát is követelménnyé teszik. Ennek megfelelőségére utal, hogy a tájékoztatást ügyfeleink és nem ügyfél érintettjeink az eltelt több, mint 3 évben nem kifogásolták.”\n\n## (iii) Azonosító: H-407/2018 (Telefonos ügyfélszolgálat és panaszkezelés részletes adatkezelési\n\ntájékoztató tartalma)\n\n## a) Telefonos ügyfélszolgálat kimenő és bejövő hívások (táblázatos formában)\n\nkezelt adatok: név, értesítési, állandó lakcím, levelezési cím, telefonszám (mobil, vezetékes, munkahelyi), e-mail cím, édesanyja neve, születési hely és idő, azonosító okmány szám (szem.ig. sz.; útlevél szám, jogosítvány szám), adott esetben jövedelmi adatok, társkártya tulajdonos, adós, társigénylő, kezes, dologi adós, meghatalmazott személyes adatai (név, születési dátum, anyja neve, személyi azonosító okmány száma stb.), számlaszám, bankkártya szám, hitel cenzúra/ referencia szám stb., biztosítások, hitelek, megtakarítások stb., fizetési számlához, bankkártyákhoz, hitelkártyához kapcsolódó tranzakciók adatai cél: az ügyfél (érintettek) által kezdeményezett telefonhívások kezelése időtartam: „Lásd Üzletszabályzat 3.1.8 pont”\n\njogalap: bejövő hívások esetén szerződéskötés, kimenő hívások esetén „hozzáájulás” (elgépelve)\n\nadatfeldolgozók: n/a b) Telefonos ügyfélszolgálat kimenő és bejövő hívások (táblázatos formában)\n\nkezelt adatok: név, értesítési cím, telefonszám, ügyfélazonosítók (számlaszám, kártyaszám stb.), beérkezési csatorna, bejelentés dátuma, panasz referencia száma, bejelentés típusa, visszatérő panasz-e, panaszkategória, adott esetben reklamált összeg, bejelentés súlyossága, előzménypanaszok azonosítói, panasz részletes leírása, panaszlevél, egyéb csatolmányok, panasz részletes megoldása, adott esetben jóváírt összeg, panasz válaszlevél cél: ügyfél által benyújtott panasz kezelése időtartam: „Lásd Üzletszabályzat 3.1.8 pont”\n\njogalap: szerződéskötés adatfeldolgozók: Adott esetben a kivizsgáláshoz szükséges partnerek (biztosító, hitelközvetítő stb.)\n\n## c) egyéb információk a tájékoztató végén\n\nA hívással, illetve panasszal érintett konkrét termék adatkezelését lásd az adott termék adatlapjánál.\n\nA telefonos ügyfélszolgálat minőségbiztosítási, panasz megelőzési célból jogos érdeken alapuló profilalkotást végez és automatikus döntés útján választja ki azon hívásokat, melyben magasabban képzett banki dolgozó visszahívás útján hárítja el a telefonbeszélgetésben felmerült problémát, panaszt.\n\nAz Ügyfél a hangfelvételről tájékoztatást akkor tud adni, ha a hangfelvételek azonosításához szükséges alábbi adatok valamelyike rendelkezésre áll:\n\n• az érintett banknál rögzített, hívásazonosító szolgáltatást nyújtó telefonszáma, ennek hiányában;\n\n• az érintett által közölt, hívásazonosító szolgáltatást nyújtó telefonszáma;\n\n• az érintett által közölt, a hívás kezdő időpontját legalább 60 perces pontossággal meghatározó időadat.\n\n## (iv) Azonosító: H-526/2020 (Üzletszabályzat, hatályos: 2021.01.10-től, 41 oldal, idézet)\n\n„3.1.8. pont: Ha törvény eltérően nem rendelkezik, az általános adatkezelési időtartam az ügyfélkapcsolat megszűnésétől számított 10 év. Ez az adatkezelési időtartam igazodik az általános polgári jogi igények elévüléséhez, tekintettel az elévülés megszakadására is. Ha az adatkezelés célja esetleges panasz elbírálása, törvény eltérő rendelkezése hiányában az adatkezelés időtartama 1 év. Ilyenek különösen a visszavont vagy, elutasított szolgáltatás iránti igények adatai. Marketing célból – hozzájárulása visszavonásáig – ilyen ügylettel rendelkező érintettet is megkereshet a Bank. A vagyonvédelmi célú képfelvétel őrzési ideje hatvan nap. A panaszkezelési célú hangfelvétel törvényes őrzési ideje 5 év. Az ügyleti megbízást tartalmazó hangfelvételre az általános adatőrzési időtartam irányadó. A Bank az adatkezelés időtartamának elteltével zárolja az Adatokat, ha a zárolás törvényes feltételei és a technikai adottságok ezt lehetővé teszik. Az adatkezelés időtartamát a Bank lerövidítheti, ezzel kapcsolatos felelősségét kizárja.”\n\n## (v) Azonosító: „érdekmérlegelési teszt voicemining.xlsx” (valójában adatvédelmi hatásvizsgálat\n\nadatlap)\n\nadatkezelés rövid leírása: „Szoftveres és tömeges hangelemzés, előre meghatározott tartalmak és kulcsszavak keresése és elemzése, leiratozása. A beszélgetés hangállományában fellelhető érzelmek detektálása (negatív, pozitív).”\n\nszükségesség és arányosság vizsgálat rövid összefoglalója: „Az adatkezelés a beszélgetések visszahallgatási relevancia szerinti rangsorolása érdekében szükséges. A rangsorolás a beszélgetés résztvevőire közvetlen hatással nem rendelkezi. A rangsor alapján végzett visszahallgatás, az ennek eredményeként indított ügyfél (hívó fél) visszahívás új, önálló adatkezelés.”\n\nAz adatvédelmi tisztviselő véleménye, valamint az adatkezelésről született döntés összefoglalása: „Az adatkezelési cél az érintettek jogai, valamint a Bank üzleti érdekei alapján jogszerű, nincs közvetett vagy közvetlen jogi tilalom. Az adatkezelés több okból is magas kockázatú, különös tekintettel az alkalmazott technológia újdonság jellegére, ugyanis a hangfelvételek mesterséges intelligencia segítségével automatizáltan kerülnek elemzésre és a megállapítások is automatizáltan születnek. Az adatok összessége mindkét érintetti csoport szempontjából alkalmas profilalkotásra, illetve scoringra, és ugyan automatizált döntéshozatal nem történik a folyamatban, az adatkezelés az érintettekre joghatással bírhat. A magas kockázatot az adatkezelő a hatásvizsgálatban megjelölt intézkedésekkel mitigálja, így például az automatizált adatkezelés végén humán döntéshozatal történik. Az érintettek joggyakorlása a sztenderd gyakorlat szerint biztosított. A joggyakorlás nem jelent hátrányos következményt az érintettekre nézve. A folyamatban nincs adatfeldolgozó.”\n\n## (vi) Azonosító: „adatvédelmi nyilvántartás kivonat.xlsx” (csak a releváns részek kiemelve)\n\nmegnevezés: hanganyag tárolás cél: Rögzített beszélgetések révén az ügyfél hangja tárolásra kerül. Későbbi panaszok vagy vitás esetek során ez visszahallgatható.\n\njogalapja: Jog, jogos érdek, érdekmérlegelés feldolgozás: nem időtartam: szerződés megszűntétől 10 év\n\n## (4) Hatóság megkeresésére az Ügyfél 2021. augusztus 16. napján érkezett, NAIH-5161-10/2021\n\nszám alatt iktatott válaszlevelében az alábbi érdemi nyilatkozatokat tette az Előzmény Ügyben, amelyeket a Hatóság a jelen eljárásban is minősített az indokolás III. pontjában:\n\n## (i) „Ennek alapján megállapítható, hogy az alkalmazás felhasználásának fő célja a hívásidő\n\nrövidítés elősegítése. A Bank telefonos ügyfélszolgálati kapacitása korlátozott. Ezért a hívásidő rövidítésével biztosítható, hogy a jelentős ügyfél irritációt okozó várakoztatás csökkenjen, szűnjön meg. Ezt a célt a beszélgetésekben tapasztalható szünetek, a várakozási zenehallgatás vizsgálatával éri el a Bank. Ezekben az esetekben a hívásokat munkatársaim statisztikai módszerekkel dolgozzák fel, csak szükség esetén hallgatják vissza. Céljuk, hogy a beszélgetést irányító script-ek hibáit megtalálják, melyek várakozást, zene lejátszást, vagy egymásra beszélést (az ügyintéző és beszélgető partnere egymás szavába vágását) eredményezik. Ilyen esetben az automatikusan sorrendbe rendezett beszélgetések közül visszahallgatásra kijelölteket sem hallgatják meg teljes terjedelemben, hanem a vizsgált szempontok alapján részlegesen. Így a visszahallgató dolgozó az ügyfél azonosító részt nem hallja. Az alkalmazás támogatja ugyanezen szempontok munkatársankénti vizsgálatát is. Ez a teljesítmény alapú bérezés rendszerében segíti a munkavállalót, hogy egyéni hívás eredményességét javítsa, hívásainak időigényét csökkentse.”\n\n## (ii) „A szűrés eredményét bármikor felülbírálhatja a behallgatást végző munkatárs. A Szoftver\n\ncsak egy „étlapot” ad a behallgató számára, ahonnan választhat, de a döntés minden esetben a folyamatot végző kollega hatásköre.”\n\n## (iii) Az operatív munkában használaton kívül került munkavállalói hozzájárulás mellékletet az\n\nÜgyfél hatályon kívül helyezte, mellékelte a hatályosított szabályzatot ([…] - A telefonbeszélgetések rögzítése, visszahallgatása és kezelése bankcsoport szintű utasítás), és a szervezeti változásokat is frissítette a mellékletek racionalizálása mellett.\n\n(iv) A Szoftver nem hívás rögzítő rendszer. Ezt a feladatot a […] és […] rendszerek látják el. Ezekből történik meg a hívások áttöltése a Szoftver rendszerébe. A Szoftver adattartalma a hívás rögzítő rendszerben létrejött hívás azonosító, a hívó/hívott telefonszám, a hívás iránya, időpontja, hossza, az ügyintéző neve, szervezeti egysége, az elemzés időpontja, számszerűsített (%-os) eredményei, a felismert nyelvi elemek alfanumerikus leirata.\n\n## (v) Ügyfélmegtartó vagy panasz megelőző hívások menete:\n\n• Behallgató munkatárs a rendszerben beállított szabályok és kulcsszavak alapján szűrést indít el az általa kiválasztott időszakra.\n\n• A Szoftver listázza a találatokat, tehát azon hívásokat, melyek megfelelnek a szűrési feltételeknek.\n\n• A munkatárs szúrópróbaszerűen választ a javasolt hívások közül, és meghallgatja (tipikusan a Szoftver által jelzett hívásszakaszt). Ha ez igazolja a Szoftver által jelzett körülményt, a teljes hívást célszerű meghallgatni.\n\n• A visszahallgatást követően eldönti, hogy az adott eset nyomán lehetséges-e ügyfélmegtartás vagy panasz megelőzés.\n\n• Ha igen, akkor a banki rendszerekből kikeresve az ügyfél adatait felhívja őt.\n\n## (vi) Hívás szinten is megjeleníthetők a detektált érzelmek. Ezeket lehet összesíteni csoport és\n\nterület szintre, illetve az érzelem erőssége alapján sorba rendezni.\n\n## (vii) A hívások elején nem adnak arról tájékoztatást, hogy használják a Szoftvert vagy hogy\n\nhanganalitikai célú adatkezelést végeznek. Ha bejövő hívásról van szó ([…]), akkor az […] mondja el a hangrögzítést. Kimenő hívás esetén ([…] és […]) a munkatárs tájékoztat a rögzítésről. Amennyiben az ügyfél a szoftver használatára panaszkodik, az ügyintézők tájékoztatják a bejelentés rögzítésének lehetőségéről. Szükség esetén felveszik a panaszt, melyet a panaszkezelési szakterület kivizsgál – szükség szerint az adatvédelmi tisztviselő bevonásával. Megjegyezni kívánjuk, hogy a telefonhívások elején elhangzó szóbeli tájékoztatás gyakorlati lehetőségei erősen korlátozottak. Néhány szavas tájékoztatás szükségképpen félrevezető, az érintettet alaptalanul hátrányos kommunikációs helyzetbe kényszeríti. Részletes, alapos tájékoztatás pedig nem teszi lehetővé a jogszabályi, felügyeleti elvárás szerinti élőhangos kapcsolatfelvétel követelményeinek betartását. A telefonhívások jelentős része ügyfél érdeklődés. Egy fiók nyitvatartási idejére, vagy számla aktuális egyenlegére vonatkozó ügyfél kérés megválaszolása előtt nyújtott részletes tájékoztatás szükségképpen sértené a GDPR 12. cikk (1) bekezdésének a tájékoztatás tömörségére vonatkozó követelményét, mert időbeli terjedelme sokszorosan meghaladná az érdemi ügyintézést, a tulajdonképpeni adatkezelést.\n\n## (viii) A vonal bontáson kívüli tiltakozás lehetőségét technikai adottság zárja ki. Amennyiben\n\nemberi beavatkozással befolyásolható lenne egy teljesedésbe ment hívás elemzés alóli kivonása, az jelentősen torzítaná az elemzés hatékonyságát, hiszen éppen az anomáliákat tartalmazó hívás esetén várható a tiltakozás, ügyintézői beavatkozás. (ix) A tájékoztatást az Ügyfél a https://www.budapestbank.hu/panaszkezeles weboldalon nyújtja.\n\n## (x) Az adatkezelés elsődleges céljának megszűnésével az Ügyfél termelési rendszereiből törli az\n\nadatokat, de a hivatkozott 42/2015. (III. 12.) Korm. rendelet 3. § (3) e) és (4) az Ügyfél kötelezettségévé teszi archívumok, adatmentések, biztonsági másolatok létrehozását, kezelését. Ezek hozzáférési rendje megfelel a GDPR szerinti zárolás fogalmának, ezért ezekről ilyen módon adott tájékoztatást az Ügyfél. Az archív média kezelési rendje pedig az iratkezelési szabályzatban található.\n\n## (xi) A kérdéseken túl a személyes ellenőrzés tapasztalatai közül kiemelésre érdemes, hogy a\n\nhangelemzés érzelmekre vonatkozó jelzései a hangtulajdonságra és a használt kifejezésekre alapítottak, ezért emberi kontroll nélkül hamis eredményeket szolgáltatnak a hívásokról. Másrészt vannak olyan hanggal rendelkező emberek – munkavállalónk is volt ilyen – akinek a hangja mindig elégedetlenséget tükrözött. Ezekre is tekintettel, míg a szünet-beszéd arány, az egymásra beszélés és a beszéd/zene arány viszonylag objektív jellemzői a beszélgetésnek, addig az érzelmi tónus, tehát a tapasztalt elégedetlenség, csalódottság kevésbé megbízható jellemzők. Ezt a rendszer használata során munkatársaim kiemelten figyelembe veszik. (xii) A hívó azonosítására csak akkor kerül sor, ha banki hiba miatt őt kártalanítani szükséges, vagy látens panaszát igyekszik megnyugtatóan rendezni az Ügyfél.\n\n## (5) A Hatóság megkeresésére az Ügyfél 2021. augusztus 16. napján érkezett, NAIH-5161-10/2021\n\nszám alatt iktatott válaszlevele mellékleteiben az alábbi érdemi bizonyítékokat szolgáltatta az Előzmény Ügyben, amelyeket a Hatóság a jelen eljárásban is minősített az indokolás III. pontjában:\n\n## (i) Azonosító: […] (A telefonbeszélgetések rögzítése, visszahallgatása és kezelése bankcsoport\n\nszintű utasítás)\n\n„5. Részletes eljárásrend […]\n\nRögzített beszélgetések visszahallgatása hanganalitika célból:\n\nA Szoftver rendszerében a hanganalitikai szoftver segítségével az […] ([…],[…]) és Panaszkezelésen lehetőség van a […] és a […] hangrögzítő rendszerek hívásainak visszahallgatására és azok elemzésére. Továbbá lehetőség van a behajtás és a […] indított és fogadott hívások monitorálása és kategorizálása különböző minőségi szempontok alapján, amely eredmények segítségével ügyfél specifikus akciókat és visszajelzéseket fogalmazhatunk meg a minőségi ügyfélkiszolgálás, a behajtás és a sales hatékonyság növelés céljából. Az egyes funkcionális management tagok a teljes területükre, területenként ([…]), csoportonként, ügyintézőnként kaphatnak eddig nem mért adatokat a minőséget illetően.\n\nA […], a mesterséges intelligencián alapuló beszédjel-feldolgozás segítségével felismeri:\n\n• várakoztatást / csendet / egymásra beszélést a hangállományokban,\n\n• kulcsszavak felismerését és megtalálását a hangállományokban,\n\n• detektálja az érzelmi / hangulati elemeket a hangállományokban.\n\nA várakoztatás / csend mérése lehetővé teszi, hogy a terület vezetője beazonosítsa a hatékonyságot csökkentő tényezőt és akciót indítson akár egyéni, akár területet érintő szinten (pl.: egyéni fejlesztés, területet érintő tréning, folyamatfejlesztés, stb.).\n\nA kulcsszó felismerés (általunk kialakított szótár alapján) lehetővé teszi a panaszos ügyfelek kiszűrését és a churn (felháborodott ügyfél) megelőzést, a tiltott / töltelékszavak kimutatását.\n\nAz érzelmi / hangulati elemek detektálása a hívásokban megmutatja az igazi ügyfélélményt vagy az ügyfél irritációt.\n\nA Szoftver a saját tárhelyén 45 napig tárolja a hanganyagokat titkosított formában, ezt követően megsemmisíti azokat. A korábban elvégzett hanganyag elemzések ezt követően is visszakereshetőek, de ezekből a hívás nem következtethető ki.”\n\n## (ii) Azonosító: „érdekmérlegelési teszt voicemining_doc.docx”\n\n„2.1. Az adatkezelés meghatározott, kifejezett és jogos célja, összhangban az általános adatvédelmi rendelet 5. cikk (1) bekezdésének b) pontjával: a telefonos ügyintézés során a hívásidő csökkentése, a látens ügyfélpanaszok hatékonyabb szűrése a hívások jellemzőinek elemzése, a hívások visszahallgatási hatékonyságának növelése útján.\n\n2.2. Jogos érdek bemutatása: az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerint az adatkezelés a Bank hatékony, az érintettek joggyakorlásának telefonos ügyintézés keretében történő elősegítésében meghatározott jogos érdekeinek érvényesítéséhez szükséges.\n\n3.1. Az adatkezelés szükségessége a 2.1. pont szerinti céllal összhangban: az hívások adatkezelő általi ellenőrzése, az adatkezelési folyamatok optimalizálása GDPR 5. cikk (1) a) pontja szerinti tisztességes eljárás, valamint ugyanezen bekezdés d) pontja szerinti pontosság biztosítása érdekében szükséges, biztosítva a más úton fel nem tárt hibás ügyintézés orvoslását.\n\n3.2. Az adatkezelés arányossága a 2.1. pont szerinti céllal összhangban, tekintettel az érintett érdekeire, jogaira és szabadságára: a Szoftver segítségével végrehajtott adatkezelési műveleteket a Bank a GDPR 11. cikke szerint végzi, konkrét érintett azonosítása nélkül. A Szoftver használatával előállt listából véletlenszerű kiválasztással visszahallgatott beszélgetés esetén is csak akkor kerül sor az érintett azonosítására, ha visszahívása válik szükségessé.\n\nAz érintettet az adatkezelés kapcsán hátrányos joghatás nem érheti. Előnyös joghatás (panasz orvoslása, jóváírás biztosítása) a lehetséges jogkövetkezmény.\n\nAz arányosságot a Bank úgy biztosítja, hogy a rendszerben előállt adatok megszemélyesítésére csak alacsony statisztikai esély van. Az érintettnek nem kell bizonyosan számolnia azzal, hogy hívásának a rendszer használatából eredő joghatása lesz, erre csekély esély van, tekintettel az adatkezelés céljára is.\n\n3.3. Az adatkezelést helyettesítésére rendelkezésre álló alternatív megoldások: az adatkezelőnek nem áll a rendelkezésére olyan alternatív eszköz, eljárás vagy megoldás, amely segítségével a 2.1. pont szerinti cél megvalósulhat.\n\n3.4. Az adatkezelés elmaradása esetén az adatkezelőt érő (becsült) hátrányok, károk: a beszélgetések hatékonyságának csökkenése, látens panaszok felderítési hatékonyságának csökkenése. Az ennek következtében növekvő hívás lemorzsolódás érintettjei korlátozottan tudják ügyintézéshez – köztük személyes adataik védelméhez – fűződő jogaikat gyakorolni. A látens panaszok felderítési hatékonyságának csökkenése az adatkezelés pontosságát csökkenti, adott esetben vagyoni, jogi hátrányt okozva az érintettnek.\n\n[…] 4.2. Az adatkezelés kedvező és kedvezőtlen hatásai az érintett vonatkozásában: az adatkezelésnek nincs önmagában megvalósuló kedvezőtlen hatása az érintett vonatkozásában.\n\n4.3. Az adatkezelésről kötelezően nyújtott tájékoztatáson túl, az Érintett bármikor tájékoztatást kérhet a Bank által kezelt adatairól, az adatkezelés céljáról, jogalapjáról, időtartamáról. (tájékoztatáshoz való jog, GDPR 12. cikk)\n\n[…] 4.9. Az Érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a kezelése ellen, ideértve a GDPR rendelkezésen alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az Érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.\n\n[…] 6.1. Jogos érdek fennállása: Bank vitathatatlan jogos érdeke, hogy a Szoftver rendszere működésével fejlessze telefonos ügyintézését, derítse fel a látens panaszokat.\n\n6.2. Adatkezelés szükségessége: az adatkezelés céljának elérése érdekében a személyes adatok kezelése nélkülözhetetlen.\n\n6.3. Arányosság értékelése: az érintett információs önrendelkezési joga bizonyos különös esetekben szükséges és arányos módon, az adatkezelés céljával és időtartamával összhangban korlátozható. Az érdekmérlegelési teszt alapján megállapítható, hogy az adatkezelés nem jelent szükségtelen és aránytalan korlátozást az érintett jogaira és szabadságára nézve. Az érintett az adatkezelés ellen tiltakozhat, illetve bármikor élhet az általános adatvédelmi rendelet 12-22. cikkében garantált jogaival.”\n\n(6) A fentiekre tekintettel a Hatóság az Infotv. 55. § (1) bekezdés a) pont ab) alpontja alapján 2021. szeptember 23. napján lezárta az Előzmény Ügyet, és hivatalból megindította a jelen adatvédelmi hatósági eljárást az Ügyfél telefonos ügyfélszolgálata által folytatott telefonbeszélgetések hangfelvételeivel összefüggő, 2018. május 25. és a jelen eljárás megindításának napja között az Ügyfél által folytatott adatkezelési gyakorlat tárgyában.\n\n## I.2. A jelen adatvédelmi hatósági eljárás\n\n## (7) A jelen adatvédelmi hatósági eljárás tárgya az Ügyfél által a telefonos ügyfélszolgálata bejövő\n\nés kimenő hívásai rögzített hangfelvételeinek automatikus elemzésével, és ez alapján a hangfelvételek egy részének visszahallgatásával, majd a visszahallgatott felvételeken szereplő érintettek egy részének visszahívásával összefüggő adatkezelések vizsgálata volt. A Hatóság a fenti tevékenységgel összefüggésben az ügyfélszolgálattal telefonáló harmadik személy érintettek, valamint az Ügyfél telefonos ügyfélszolgálatán dolgozó munkavállaló érintettek személyes adatainak kezelését is vizsgálta.\n\n## (8) A Hatóság az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban:\n\nÁkr.) 76. §-a alapján 2021. szeptember 23. napján felhívta az Ügyfelet, hogy észrevételeket és nyilatkozatot terjeszthet elő a jelen eljárással kapcsolatban, valamint a jelen eljárásban hivatalból figyelembe veendő Előzmény Üggyel kapcsolatban, valamint a telefonos ügyfélszolgálata általi ügyfél-azonosítás és hangfelvétel készítés körülményeit tisztázó kérdéseket tett fel.\n\n## (9) A Hatóság megkeresésére az Ügyfél 2021. október 29. napján elektronikusan aláírt elektronikus\n\nlevélben érkezett, NAIH-7350-2/2021 számon iktatott válaszában az alábbi nyilatkozatokat tette:\n\n## (i) Amennyiben a beszélgetés során az érintetthez kapcsolódó információ (banktitok) kiadása\n\ntörténne, akkor mindig azonosítja az Ügyfél az érintettet egy egyedi telekód kérésével, vagy banki termékekhez tartozó, csak az érintett által ismerhető információk kérésével. Kimenő hívás esetén az Ügyfélnél nyilvántartott telefonszámon hívják az érintettet, és ezen felül a fentiek szerint azonosítják.\n\n## (ii) Kimenő hívás esetén a szóbeli tájékoztatás tartalma: „Jó napot kívánok, XY vagyok, a Bankból\n\ntelefonálok, ZW-t keresem. Tájékoztatom, hogy a beszélgetésünket minőségbiztosítási okból rögzítjük.”\n\n## (iii) Az Ügyfél fenntartja az Előzmény Ügyben tett nyilatkozatait azzal a pontosítással, hogy a\n\nSzoftver lehetővé teszi a rangsorba állított hívás kattintással történő egyedi megtekintését valamint visszahallgatását. Ennek során a rangsorba rendezés paramétere a beszéd diagramján megjelenik. Erre az emberi kontroll biztosítása miatt van szükség, mert pusztán a gépi kiértékelés vezethet téves következtetésre. (Például a csend oka vonalhiba, vagy a hangtónust a gépi elemzés tévesen értékeli elégedetlennek.\n\n## (iv) Az Ügyfél adatkezelési gyakorlata nem változott érdemben 2018. május 25 óta, és a Hatóság\n\nvizsgálata sem tárt fel olyan körülményt, amely a folyamat érdemi átalakítását indokolná. A tájékoztatási gyakorlat felülvizsgálata folyamatban van. Várható, hogy több ponton részletesebb tájékoztatást készít az Ügyfél a vizsgálat hatására.\n\n(v) A hívott fél a vonal bontásával tudja közölni, hogy a felvétel készítéséhez nem járul hozzá. Amennyiben ezt nem teszi, ráutaló magatartással, a beszélgetés megkezdésével ad kifejezett hozzájárulást.\n\n## (vi) A technikai rendszer a hívás kezdetétől rögzít, ebben a résztvevő feleknek nincs befolyásolási\n\nlehetősége.\n\n## (vii) Az Ügyfél munkavállalóinak hangját is figyeli a rendszer. A sorbaállítás szempontjainak\n\nmeghatározásánál beállítható a munkavállaló hangtulajdonságok figyelése. Ezzel a munkavállaló fejlesztését segítik, ha szükséges, munkajogi hátrány nélkül.\n\n(viii) A Szoftver mesterséges intelligenciát nem tartalmaz, automatizált döntést nem hoz. Elemzési eredményei kizárólag emberi közreműködéssel, értelmezéssel hasznosíthatóak.\n\n(ix) A telefonos ügyfélszolgálatot nemcsak ügyfelek veszik igénybe. A havi átlag hívásszám 2021ben 81 500/hó. Éves szinten 1-1,5 millió hívás érintett a hangelemzésben.\n\n## (x) Az Ügyfél mint pénzintézet rendkívül összetett és nagy számú adatkezelést folytat. Ehhez\n\nképest az adatvédelmi panaszok száma rendkívül alacsony, adatvédelmi bírságot eddig nem kapott az Ügyfél.\n\n(xi) Az Ügyfél 2020-as nettó árbevétele 81 002 000 000 Ft volt.\n\n## II. Alkalmazott jogszabályi rendelkezések\n\n## (10) Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján az általános adatvédelmi\n\nrendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.\n\n## (11) Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az Infotv. 2. § (2)\n\nbekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben meghatározott kiegészítésekkel kell alkalmazni.\n\n## (12) Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése\n\nérdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat.\n\n## (13) Az Infotv. 71. § (2) bekezdése alapján a Hatóság az eljárásai során jogszerűen megszerzett\n\niratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja.\n\n## (14) Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult\n\nadatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az Infotv-ben meghatározott eltérésekkel.\n\n## (15) Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján „személyes adat” az azonosított vagy\n\nazonosítható természetes személyre („érintett”) vonatkozó bármely információ. Azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.\n\n## (16) Az általános adatvédelmi rendelet 4. cikk 4. pontja szerint „profilalkotás” a személyes adatok\n\nautomatizált kezelésének bármely olyan formája, amelynek során a személyes adatokat valamely természetes személyhez fűződő bizonyos személyes jellemzők értékelésére, különösen a munkahelyi teljesítményhez, gazdasági helyzethez, egészségi állapothoz, személyes preferenciákhoz, érdeklődéshez, megbízhatósághoz, viselkedéshez, tartózkodási helyhez vagy mozgáshoz kapcsolódó jellemzők elemzésére vagy előrejelzésére használják.\n\n## (17) Az általános adatvédelmi rendelet 4. cikk 14. pontja szerint „biometrikus adat” egy természetes\n\nszemély testi, fiziológiai vagy viselkedési jellemzőire vonatkozó minden olyan sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, ilyen például az arckép vagy a daktiloszkópiai adat.\n\n## (18) Az általános adatvédelmi rendelet 4. cikk 15. pontja szerint „egészségügyi adat” egy\n\ntermészetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról.\n\n## (19) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerint a személyes adatok\n\nkezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”).\n\n## (20) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerint a személyes adatok\n\ngyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon („célhoz kötöttség”).\n\n## (21) Az általános adatvédelmi rendelet 6. cikk (1) bekezdése szerint a személyes adatok kezelése\n\nkizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:\n\na) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;\n\nd) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.\n\n## (22) Az általános adatvédelmi rendelet 6. cikk (4) bekezdése szerint ha az adatgyűjtés céljától eltérő\n\ncélból történő adatkezelés nem az érintett hozzájárulásán vagy valamely olyan uniós vagy tagállami jogon alapul, amely szükséges és arányos intézkedésnek minősül egy demokratikus társadalomban az általános adatvédelmi rendelet 23. cikk (1) bekezdésében rögzített célok eléréséhez, annak megállapításához, hogy az eltérő célú adatkezelés összeegyeztethető-e azzal a céllal, amelyből a személyes adatokat eredetileg gyűjtötték, az adatkezelő többek között figyelembe veszi:\n\na) a személyes adatok gyűjtésének céljait és a tervezett további adatkezelés céljai közötti esetleges kapcsolatokat; b) a személyes adatok gyűjtésének körülményeit, különös tekintettel az érintettek és az adatkezelő közötti kapcsolatokra; c) a személyes adatok jellegét, különösen pedig azt, hogy a 9. cikk szerinti személyes adatok különleges kategóriáinak kezeléséről van-e szó, illetve, hogy büntetőjogi felelősség megállapítására és bűncselekményekre vonatkozó adatoknak a 10. cikk szerinti kezeléséről vane szó; d) azt, hogy az érintettekre nézve milyen esetleges következményekkel járna az adatok tervezett további kezelése; e) megfelelő garanciák meglétét, ami jelenthet titkosítást vagy álnevesítést is. (23) Az általános adatvédelmi rendelet 9. cikk (1) bekezdése szerint a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése – az általános adatvédelmi rendelet 9. cikk (2) bekezdésben írt kivételes eseteken kívül – tilos.\n\n## (24) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerint az adatkezelő megfelelő\n\nintézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát.\n\n## (25) Az általános adatvédelmi rendelet 12. cikk (2) bekezdése szerint az adatkezelő elősegíti az\n\nérintett 15–22. cikk szerinti jogainak a gyakorlását.\n\n## (26) Az általános adatvédelmi rendelet 13. cikke szerint\n\n(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:\n\na) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. (3) Ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról. (4) Az (1), (2) és (3) bekezdés nem alkalmazandó, ha és amilyen mértékben az érintett már rendelkezik az információkkal.\n\n## (27) Az általános adatvédelmi rendelet 21. cikk (1) bekezdése szerint az érintett jogosult arra, hogy\n\na saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.\n\n## (28) Az általános adatvédelmi rendelet 21. cikk (2) bekezdése szerint ha a személyes adatok\n\nkezelése közvetlen üzletszerzés érdekében történik, az érintett jogosult arra, hogy bármikor tiltakozzon a rá vonatkozó személyes adatok e célból történő kezelése ellen, ideértve a profilalkotást is, amennyiben az a közvetlen üzletszerzéshez kapcsolódik.\n\n## (29) Az általános adatvédelmi rendelet 22. cikk (1) bekezdése szerint az érintett jogosult arra, hogy\n\nne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené.\n\n## (30) Az általános adatvédelmi rendelet 24. cikk (1) bekezdése szerint az adatkezelő az adatkezelés\n\njellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése e rendelettel összhangban történik. Ezeket az intézkedéseket az adatkezelő felülvizsgálja és szükség esetén naprakésszé teszi.\n\n## (31) Az általános adatvédelmi rendelet 25. cikk (1) bekezdése szerint az adatkezelő a tudomány és\n\ntechnológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket – például álnevesítést – hajt végre, amelyek célja egyrészt az adatvédelmi elvek, például az adattakarékosság hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába.\n\n## (32) Az általános adatvédelmi rendelet 25. cikk (2) bekezdése szerint az adatkezelő megfelelő\n\ntechnikai és szervezési intézkedéseket hajt végre annak biztosítására, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek. Ez a kötelezettség vonatkozik a gyűjtött személyes adatok mennyiségére, kezelésük mértékére, tárolásuk időtartamára és hozzáférhetőségükre. Ezek az intézkedések különösen azt kell, hogy biztosítsák, hogy a személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül ne válhassanak hozzáférhetővé meghatározatlan számú személy számára.\n\n## (33) Az általános adatvédelmi rendelet 57. cikk (1) bekezdés a) pontja szerint az általános\n\nadatvédelmi rendeletben meghatározott egyéb feladatok sérelme nélkül a felügyeleti hatóság a saját területén nyomon követi és kikényszeríti az általános adatvédelmi rendelet alkalmazását.\n\n## (34) Az általános adatvédelmi rendelet 58. cikk (2) bekezdése szerint a felügyeleti hatóság\n\nkorrekciós hatáskörében eljárva:\n\na) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2)\n\nbekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.\n\n## (35) Az általános adatvédelmi rendelet 83. cikk (1) bekezdése szerint valamennyi felügyeleti hatóság\n\nbiztosítja, hogy az általános adatvédelmi rendelet 83. cikk (4), (5), (6) bekezdésben említett megsértése miatt kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek.\n\n## (36) Az általános adatvédelmi rendelet 83. cikk (2) bekezdése szerint a közigazgatási bírságokat az\n\nadott eset körülményeitől függően az általános adatvédelmi rendelet 58. cikk (2) bekezdésének a)h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:\n\na) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa az általános adatvédelmi rendelet 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az általános adatvédelmi rendelet 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát az általános adatvédelmi rendelet 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy az általános adatvédelmi rendelet 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség.\n\n## (37) Az általános adatvédelmi rendelet 83. cikk (5) bekezdése szerint az alábbi rendelkezések\n\nmegsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:\n\na) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az általános adatvédelmi rendelet 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai az általános adatvédelmi rendelet 12–22. cikknek megfelelően; c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása az általános adatvédelmi rendelet 44–49. cikknek megfelelően; d) az általános adatvédelmi rendelet IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; e) a felügyeleti hatóság általános adatvédelmi rendelet 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az általános adatvédelmi rendelet 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása.\n\n## (38) Az Infotv. 75/A §-a szerint a Hatóság az általános adatvédelmi rendelet 83. cikk (2)–(6)\n\nbekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.\n\n## III. A megállapított tényállás és a Hatóság döntése\n\n## III.1. Az Ügyfél telefonos ügyfélszolgálata által folytatott beszélgetésekről rögzített hangfelvételek elemzésével kapcsolatos adatkezelés leírása\n\n## (39) Az Ügyfél mint pénzintézet telefonos ügyfélszolgálatot működtet. Ennek keretében bizonyos\n\nesetekben jogszabályi kötelezettsége a telefonos ügyfélszolgálattal folytatott beszélgetés rögzítése és megőrzése. A Hatóság jelen eljárása a rögzített hangfájlokon történő további adatfeldolgozási műveletekre fókuszált, nem a hangrögzítésre.\n\n## (40) Az adatkezelő a Szoftverrel történő hangelemzéssel összefüggésben folytatott adatkezelések\n\nesetén mind a döntési jogkör, mind a saját nyilatkozatai alapján az Ügyfél. Egyedül az Ügyfél döntött a Szoftver használatáról és annak felhasználási feltételeit belső szabályzatban rögzítette.\n\n## (41) Valamennyi telefonos ügyfélszolgálati hívás esetén a pár másodperces, nem érdemi hívások\n\nkivételével rögzítésre és tárolásra kerül a hívás hanganyaga az Ügyfél rendszereiben.\n\n## (42) A rögzített hanganyag tartalmazza az Ügyfél telefonos ügyfélszolgálatán dolgozó alkalmazottja\n\nmint érintett, valamint az általa felhívott vagy az Ügyfél telefonos ügyfélszolgálatát felhívó harmadik fél érintett hangját, ezen felül hozzá kapcsoltan egy Ügyfél minden rendszerében egységes egyedi hívás azonosítót, a hívó/hívott telefonszámot, a hívás irányát, időpontját, az ügyintéző nevét, szervezeti egységét.\n\n## (43) Minden este egy automatizmus fut le az Ügyfél hangrögzítő szerverén, ami megsemmisíti az 5\n\nmásodperc alatti hívásokat. A mesterséges intelligencián alapuló beszédjel-feldolgozás segítségével ezen felül automatikusan elemzésre kerül a várakoztatás / csend / egymásra beszélés, a megadott lista szerinti kulcsszavak, valamint a beszélő érzelmi/hangulati állapota. Ez hozzákapcsolható konkrét személyhez, mivel kiszűrhető, ha a Szoftver a munkavállaló érzelmét ismerte fel és nem a hívó félét, amely az alapértelmezett hozzárendelés, amelyet az Ügyfél fenti (4) bekezdés (xi) alpontban megjelölt nyilatkozata támaszt alá. Ugyanezen alpont szerinti nyilatkozat továbbá a NAIH-5161-5/2021 alatt iktatott nyilatkozathoz csatolt technikai „voice képernyők.docx.doc” elnevezésű melléklet alapján az érzelmek felismerésén alapuló rendszer hatékonysága erősen megkérdőjelezhető, mivel nem volt felismerhető érzelem az esetek 91,96 %ban. A Hatóság ezzel kapcsolatban kiemeli, hogy a személyes adat nem annak pontosságától, hanem konkrét személyhez rendeléstől lesz személyes adat. Például egy pontatlanul rögzített és adott beazonosítható érintetthez kötötten tárolt nem valós életkor tárolása ugyanúgy személyesadatkezelés lesz az adott adatkezelő részéről, mintha az adat pontos lenne.\n\n## (44) Az érintettek hangjának és érzelmi/hangulati állapotának elemzése, felhasználása és tárolása\n\nszenzitív jellegű adatkezelésnek minősül. Bár a Hatóság megítélése szerint a konkrét esetben nem az általános adatvédelmi rendelet 9. cikk (1) bekezdése szerinti különleges kategóriájú személyes adatokról van szó, ettől függetlenül ezek kezelése az érintettek privát szféráját érinti.\n\n## (45) A Hatóság abban a körben, hogy a vizsgált adatkezelés során előállított adatok az általános\n\nadatvédelmi rendelet 9. cikk (1) bekezdése szerinti különleges kategóriájú személyes adatoknak minősülnek-e a jelen ügy összes körülménye alapján, az alábbiakat állapította meg. A hangelemzés eredményét képező adatok közül egyedül az érzelem, pszichikai állapot az, amely adott körülmények között biometrikus adatnak vagy egészségügyi adatnak minősülhet. Jelen esetben a feltárt tényállás szerint a hangelemzés során nem az érintettet egyedileg azonosító adat jön létre, így a biometrikus adat ezen feltétele hiányzik. Az egészségügyi adatnál pedig azon feltétel nem áll fenn, hogy az érintett fizikai vagy mentális egészségügyi állapotára érdemi következtetést lehetne levonni a jelen ügy tárgyát képező adatkezelés eredményéből. Ettől függetlenül nem az alkalmazott módszer vagy maga az adat minősége miatt nem állnak fenn a feltételek, így adott esetben más ügyekben azonos körülmények mellett a hasonló adat minősülhet különleges kategóriájú személyes adatnak, ha az egyéb körülmények, további adatokkal összekapcsolás alapján – amely a jelen ügyben nem történt – teljesítik a fenti feltételeket.\n\n## (46) A Szoftver a fentiek alapján a várakoztatás / csend / egymásra beszélés elemzésével értékeli\n\naz Ügyfél telefonos ügyfélszolgálati munkavállalójának teljesítményét, amelyet alapul véve a vezető beosztású munkavállalók az Ügyfél fenti (2) bekezdés (xiv) alpontban megjelölt nyilatkozata szerint egyéni fejlesztés, területet érintő tréning, folyamatfejlesztést rendelhetnek el, és az Ügyfél fenti (4) bekezdés (i) alpontban megjelölt nyilatkozata szerint ez az Ügyfél telefonos ügyfélszolgálati munkavállalójának teljesítménybérezését is befolyásolja.\n\n## (47) A Szoftver a felismert kulcsszavak és érzelmek eredményét is hívásonként az adott híváshoz\n\nkapcsolva tárolja, és a hívások még 45 napig a hangelemző Szoftveren belül is visszahallgathatóak, ezen túl is megmaradnak azonban a hangrögzítő rendszerben. E körben a fenti (3) bekezdés (iii) alpontban megjelölt tartalmú adatkezelési tájékoztató csak visszautal az Üzletszabályzat 3.1.8 pontjára, amely több különböző célú adatkezelés eltérő megőrzési idejét sorolja fel, nem világos és átlátható egy átlagos érintett számára.\n\n## (48) A Szoftver a hívásokról a fentiek alapján sorrendet állít fel, amely egy javaslat arra, hogy melyik\n\nérintettet kellene elsődlegesen visszahívni, melyik panaszos elégedetlenebb. Ezen, az érintettet a hívás időpontjában a Szoftver elemzése alapján jellemző érzelmi, pszichikai állapot leírására irányuló adat is a híváshoz kapcsolva tárolódik a Szoftverben. Ez alapján az Ügyfél vezető állású munkavállalói döntik el, hogy az ügyfélszolgálat kiket hívjon vissza az elégedetlenség kezelése céljából. A Szoftver célja nem az egyes konkrét panaszok kezelése, a telefonon jelzett panasz kezelése a Szoftver működésétől függetlenül minden panasz esetén megtörténik valamilyen módon az ügyfélszolgálat munkatársai által. A visszahívás célja nem a konkrét panasz kezelése, hanem az ügyfél konkrét panasz elviekben történő megoldásától függetlenül fennmaradó elégedetlenségének szűrése és kezelése.\n\n## (49) Az Ügyfél által az Előzmény Ügyben a fenti (2) bekezdés (iii), (iv) és (v) alpontban megjelölt\n\nnyilatkozatai alapján az adatkezelés célja a hívások minőségellenőrzése változtatható paraméterek alapján, a panasz és ügyfélelvándorlás megelőzése, és a hívást bonyolító munkatársak hatékonyságának növelése. Az Ügyfél honlapján az érintetteknek nyújtott, fenti (3) bekezdés (iii) alpontban megjelölt tartalmú adatkezelési tájékoztató eleve nagyon általánosságban fogalmaz ezen adatkezeléssel kapcsolatban, a \"jogos érdeken alapuló profilalkotást végez és automatikus döntés útján választja ki azon hívásokat, melyben magasabban képzett banki dolgozó visszahívás útján hárítja el a telefonbeszélgetésben felmerült problémát, panaszt\" nem tudatja a hangelemzés érdemi módszerét és lényegét, nem fogalmaz világosan. A tájékoztatóban továbbá a minőségbiztosítás és a panasz megelőzés szerepel csak célként, de a fenti, érdemi tájékoztatást nem nyújtó leírás is csak a panasz megelőzésére vonatkozik. Emiatt az adatkezelés létezésével, annak lényegi tartalmával és összes céljával kapcsolatban az érintettek nyilvánvalóan nem lehetnek tisztában, és ezen információt a telefonhívás vagy visszahívás során sem kapják meg.\n\n## (50) Az Ügyfél a fenti adatkezelést azon jogos érdekeire alapozta, hogy az ügyfeleit megtartsa, illetve\n\na belső működésének hatékonyságát növelje. Ezen érdekekkel kapcsolatos – erősen eltérő adatkezelések azonban sem a minimális tájékoztatóban, sem az érdekmérlegelés során nem különültek el, azokat az Ügyfél egybemosva kezelte.\n\n## (51) Bár nem tárgya a jelen eljárásnak, de a Hatóság tényként rögzíti azt, hogy az általános\n\nadatvédelmi rendelet alkalmazandóvá válása előtt, az adatkezelés megkezdésekor hatályos Infotv. 68. § (4) bekezdése alapján az új adatfeldolgozási technológia alkalmazása miatt a vizsgált adatkezelés adatvédelmi nyilvántartásba vétele nem automatikus lett volna. A Hatóság az Ügyfél kérelmére az adatkezelés feltételeit és garanciáit ilyen esetekben egyedileg minősíti, és a Hatóság előzetes jóváhagyása hiányában az Ügyfél nem is kezdhette volna meg az adatkezelést. Mivel ez a jóváhagyási eljárás az Ügyfélnek felróhatóan elmaradt, ezért a Hatóság jelentős késéssel szerzett tudomást erről az adatkezelésről. Ezen felül az Ügyfél által a Hatóságnak megküldött – a fenti (3) bekezdés (vi) pontban megjelölt, az általános adatvédelmi rendelet 30. cikke szerinti hangfelvételekkel kapcsolatos adatkezelési nyilvántartása sem említi a hangfelvétel feldolgozásával kapcsolatos adatkezelést, csak a tárolást.\n\n## III.2. Az általános adatvédelmi rendelet alkalmazása a Szoftverrel folytatott adatkezelésre\n\n## (52) Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján a „személyes adat” minőséghez akár\n\nközvetett azonosíthatóság is elegendő.\n\n## (53) Az általános adatvédelmi rendelet 57. cikk (1) bekezdés a) pontja, valamint 58. cikk (2)\n\nbekezdés b) és d) pontjai, 83. cikk (1), (2) és (5) bekezdése, valamint az Infotv. 75/A §-a alapján a Hatóság hivatalból vizsgálta az eljárása során az Ügyfél általános gyakorlatának jelen ügyre kiható részét. A Hatóság az Infotv. 71. § (2) bekezdése alapján bármely más eljárásban jogszerűen keletkezett iratot, bizonyítékot felhasználhat más eljárásaiban.\n\n## (54) Az Ügyfél azt nyilatkozta 2021. július 5-én érkezett, NAIH-5161-5/2021 szám alatt iktatott\n\nválaszlevelében az Előzmény Ügyben, hogy véleménye szerint a Szoftver nem tárol azonosító adatokat, és a Szoftver által előállított elemzési eredmény a hívó és az ügyfélszolgálati munkatárs érzelmi állapotáról nem személyes adat, mert nem köthető senkihez, továbbá a rendszert a forgalomszámláló készülékek, forgalomirányító lámpák működéséhez hasonlította. Ezt nyilvánvalóan cáfolja az Ügyfél által az Előzmény Ügyben 2021. augusztus 16. napján érkezett, NAIH-5161-10/2021 szám alatt iktatott válaszlevelében írt információ, miszerint az ügyfélszolgálati telefonhívások egy egyedi belső azonosítószámmal vannak ellátva, amely a Szoftveren kívül, de az Ügyfél rendszerein belül összeköthetőek a hívó féllel és az ügyfélszolgálati munkavállalóval is, és ezen egyedi azonosítót pszeudonimként a Szoftver is használja. A következmény alkalmazásakor (például visszahívás, tréningre küldés) ez az összekötés meg is valósul. Egy forgalomszámláló vagy közlekedési lámpa alapján utólag nem lehet visszaazonosítani például a negyedik autót, amely áthaladt előtte és a sofőrt felhívni. A Szoftver egyáltalán nem ezen az elven működik, hanem kifejezett célja az érintett-specifikus intézkedések megtétele érdekében történő működés.\n\n## (55) A fentiek alapján a hívás mindkét szereplője egyértelműen azonosítható az Ügyfél által, amelyet\n\naz Ügyfél a rendszer normál működése során folyamatosan meg is tesz azok vonatkozásában, akiknek a rögzített hívásait visszahallgatják és utána ez alapján adott esetben vissza is hívják, vagy a telefonos ügyfélszolgálaton dolgozó munkavállalót értékelik ez alapján. Amennyiben ezt nem tenné meg az Ügyfél, de meg lenne rá a lehetősége, akkor is személyes adat lenne a Szoftver általi elemzés eredménye mindaddig, amíg visszafordíthatatlanul meg nem szűnik a kapcsolata adott azonosítható érintettekkel.\n\n## (56) A fenti értelmezést erősíti meg többek között az Európai Unió Bíróságának C‑582/14 számú ítélete1 a jelen esettel analóg dinamikus IP címekkel kapcsolatban, amelyek szintén személyes adatok\n\nmindazon adatkezelők vonatkozásában, amelyek jogszerű eszközökkel – akár közvetetten a hatóságok részére továbbítással – hozzáférhetnek ahhoz az információhoz az internetszolgáltatótól, hogy egy IP címhez adott időpontban mely előfizető tartozott. Jelen esetben a szükséges azonosító információ – a pszeudonim azonosítószám összekötése a telefonszám valamint egyéb hívásadatokkal – az Ügyfélnek a saját rendszerein belül áll rendelkezésre, így nem lehet kérdéses az, hogy jogszerű eszköz állt ehhez rendelkezésére. Fontos kiemelni, hogy a bíróság által megjelölt jogszerű eszköz fogalom nem az adatkezelés jogszerűségére, adatvédelmi szabályoknak megfelelőségére vonatkozik, hanem arra, hogy az alkalmazott eszköz nem önmagában jogsértő (mint például egy feketepiaci adatbázis jogsértő eszköz a vele megvalósítandó adatkezeléstől függetlenül). Jogsértő eszközzel eleve nem lehet jogszerű adatkezelést végezni, de jogszerű eszközökkel a többi feltételtől – cél, jogalap stb. – függően lehet jogszerű vagy jogszerűtlen az adatkezelés. Azonosíthatóság hiányában az elemzés eredménye alapján nyilvánvalóan nem tudná az ügyfélszolgálat, hogy kit kell visszahívni, illetve az ügyfélszolgálati munkavállalók sem lennének úgy ellenőrizhetőek, mint ahogyan az Ügyfél saját nyilatkozatai alapján ellenőrzi őket.\n\n## (57) Bár a Hatóság vizsgálata a Szoftver működésére fókuszált, egy ilyen összetett adatkezelés\n\nesetén nem az határozza meg a személyes adat jelleget, hogy egy alrendszeren belül azonosíthatóe az érintett. Az Ügyfélnek jogszerűen rendelkezésére álló valamennyi adatforrást vizsgálni szükséges ahhoz, hogy a közvetlen vagy közvetett azonosíthatóság feltétele fennáll-e. Az álnevesítés (pszeudonim azonosítók használata) adatbiztonságot növelő körülmény, de nem befolyásolja az egyedi azonosító jelleget és a személyes adat minőséget a harmadik személy érintett hívók vonatkozásában. Az Ügyfél telefonos ügyfélszolgálatának munkavállalói vonatkozásában a személyes adat jelleg nem is lehet kérdéses, mivel a nevük is tárolásra kerül az adott hangfelvétel elemzés eredményéhez kapcsolva, amely egy adott hangfelvételhez van kapcsolva. A harmadik személy érintettek vonatkozásában az általános adatvédelmi rendelet 4. cikk 1. pontja a közvetett azonosíthatóságot azonos elbírálás alá helyezi a közvetlen azonosíthatósággal, továbbá az általános adatvédelmi rendelet 4. cikk 5. pontja alapján maga az álnevesített azonosító is személyes adatnak minősül, így az ahhoz kötve tárolt egyéb információ is, amennyiben az azonosító maga adott természetes személyhez köthető. A telefonhívás pedig nem önmagában létezik, amögött egy természetes személy található. A telefonbeszélgetések elején az Ügyfél ügyfélszolgálata mindig azonosítja az érintettet, akivel beszél, így mind a visszahallgatott, mind a potenciálisan visszahallgatható felvételek tartalmazzák az azonosító adatokat. Az, hogy az Ügyfél számára kiderült a saját nyilatkozata szerint az, hogy egyes esetekben a felismert érzelem a saját alkalmazottjáé volt, szintén az egyedi azonosíthatóság lehetőségét igazolja.\n\n## 1 https://curia.europa.eu/juris/document/document.jsf?docid=184668&doclang=HU&cid=1095511\n\n## (58) A fentiek alapján a Szoftver által felismert érzelemi állapot, a csend hossza és a Szoftverben is\n\nhasznált hívásazonosítóhoz és telefonszámhoz köthető adatok mindaddig személyes adatnak minősülnek azok titkosításától vagy álnevesítésétől függetlenül, amíg azok egyes személyekhez köthetőek akár más, az Ügyfél számára jogszerűen elérhető adatok segítségével. A visszahallgatás során az első hallható adat a hangfelvételen mindig a beszélő azonosítása, így a visszahallgatott felvételek esetén még álnevesítés sem áll fenn az adatkezelés ezen pontján. Ez független attól, hogy az összekötést a konkrét esetben megteszi-e az Ügyfél, elegendő, ha jogszerű eszközök állnak a rendelkezésére2. Attól, hogy például a csend hosszából elsősorban nem a hívó félre, hanem az ügyfélszolgálati munkatárs munkájára vonatkozóan vonnak le következtetéseket – amelyek vagy helytállóak az emberi ellenőrzés során vagy nem – még adott esetben az adott munkavállaló személyes adatát képezik az adatkezelés idejére. Az, hogy egy adat utólag tévesnek, pontatlannak bizonyul, még nem teszi kétségessé annak személyes adat jellegét, hiszen bármely – nemcsak valós – adat meghatározott természetes személyhez kötve személyes adatot eredményez.\n\n## (59) A fentiek alapján az általános adatvédelmi rendelet rendelkezései főszabály szerint alkalmazandóak a Szoftver felhasználásával végzett adatkezelésre, és a jelen ügyben nem áll\n\nfenn ezzel ellentétes körülmény.\n\n## III.3. A mesterséges intelligencia alkalmazása a Szoftverben\n\n## (60) Az Ügyfél a jelen eljárásban 2021. október 29. napján érkezett, NAIH-7350-2/2021 szám alatt\n\niktatott válaszlevelében akként nyilatkozott, hogy „a Szoftver mesterséges intelligenciát nem tartalmaz, automatizált döntést nem hoz, elemzési eredményei kizárólag emberi közreműködéssel, értelmezéssel hasznosíthatók.”\n\n## (61) A Szoftverről a nyilvános internetes kereséssel elérhető információkat, az azt fejlesztő cég\n\nhonlapját, a Hatóság által feltett kérdéseket és az ezekre adott válaszokat megvizsgálva a Hatóság az alábbiakat állapította meg. A Szoftver fejlesztésével foglalkozó cég egy, a termékeit több országban forgalmazó magyar vállalkozás. A cég honlapján elérhető leírás szerint: „mesterséges intelligencia és prediktív analitikai megoldásokkal, szoftverfejlesztéssel és ügyfélszolgálati tevékenységekkel kapcsolatos tanácsadással, üzemeltetéssel, projekt és HR menedzsmenttel foglalkozó társaság […].”3 (62) A cég fenti magyar nyelvű weboldalán kiemelt helyen szerepel a Szoftver működésének alapját képező hangelemző platform nevű alkalmazás (a továbbiakban: Platform), amelyről a weboldalon a következő leírást tett közzé a fejlesztője: „A platform egy beszéd és adatelemzésen alapuló átfogó teljesítmény- és minőségmenedzsment megoldás ügyfélszolgálatok számára. Az alkalmazás elemzi az ügyfélszolgálatokon folytatott beszélgetéseket mind ügyfél mind operátor oldalról, felismeri az elhangzott szavakat, a dühös, elégedetlen, csalódott, bizonytalan, semleges vagy elégedett hangulatot valamint az ügyfélkiszolgálás minőségét és a teljesítményt befolyásoló további tényezőket mint például a csend, zene, beszédtempó, hangerő, beszédminőség és intonáció és egyéb minőségi jellemzők. A rendszer az összes beszélgetés feldolgozásával teljes körű belelátást biztosít az ügyfélszolgálatok minőségi és teljesítménymutatóit döntően befolyásoló elemekbe. Hozza ki legtöbbet az ügyfélszolgálatából, csökkentse átlagos hívásidejét, növelje teljesítményét és az ügyfélkiszolgálás színvonalát egyszerre. A fejlett üzleti intelligencia alapú elemzéseken túl aktív,\n\n2 lásd analóg módon az Európai Unió Bíróságának C-582/14 számú ítélete 49. bekezdés: „[…] az elektronikus médiaszolgáltató által a nyilvánosság számára hozzáférhetővé tett internetes honlap valamely személy által történő felkeresésekor az e szolgáltató által rögzített dinamikus IP‑cím az említett szolgáltató tekintetében az e rendelkezés szerinti személyes adatnak minősül, amennyiben jogszerű eszközök állnak a rendelkezésére az érintett személynek az e személy internet‑hozzáférést nyújtó szolgáltatójának rendelkezésére álló további adatok révén történő azonosításához” 3 […]\n\nautomatizált teljesítménymenedzsment támogatással a rendszer segítségével képes lesz az operátori munka hatékonyabbá tételére.”\n\n## (63) A Platformról szóló angol nyelvű tájékoztató oldalon4 szereplő leírás szerint a Platform gépi\n\ntanulást és mesterséges intelligenciát alkalmaz arra, hogy azonosítsa és lemérje a beszédstílusra alapozott érzelmeket, kulcsszavakat és kifejezés-alapú érzelmiés az olyan beszédkarakterisztikákat, mint a beszéd sebessége, hanglejtése és artikuláltsága5. Az oldalon szerepel továbbá a termék működésére vonatkozó, annak fejlesztőjétől származó megállapítás, miszerint egy alaposan betanított neurális hálózat válogatja szét a hangrészleteket három fő kategóriába.6 (64) Ahogyan a hivatkozott leírásokban is szerepel, a Platform kapcsán egyaránt szóba kerül a mesterséges intelligencia, a gépi tanulás és a neurális hálózatok témaköre.\n\n## (65) A mesterséges intelligencia a számítógépek és robotok olyan irányú fejlesztését jelenti, amely\n\nlehetővé teszi, hogy olyan módokon működjenek, amely képes utánozni, illetve meghaladni az emberi képességeket. A mesterséges intelligenciát alkalmazó programok képesek elemezni és szövegkörnyezetbe helyezni az adatokat, hogy információval szolgáljanak, vagy automatikusan kiváltsanak bizonyos eseményeket, emberi beavatkozás nélkül7.\n\n## (66) A gépi tanulás a mesterséges intelligenciához vezető egyik lehetséges út, tulajdonképpen\n\nannak az egyik eszköze. A mesterséges intelligencia ezen részterületén algoritmusokat alkalmaznak olyan módon, hogy azok megtanulják automatikusan felismerni az adatokban jelen lévő mintázatokat és összefüggéseket, majd a tanultakat alkalmazva egyre jobb döntéseket hoznak (illetve egyre jobb döntésekre tesznek javaslatot).8 (67) A neurális hálózatok a gépi tanulás területén belül egy lehetséges megközelítési mód, amely az emberi agyműködés leegyszerűsített sémájára építve igyekszik megoldást nyújtani olyan feladatokra, amelyekkel a hétköznapi algoritmusok nem boldogulnak9. A neurális hálózat egyszerű egységekből – neuronokból – áll, amelyek mindegyike, a valódi idegsejtek mintájára, bejövő jeleket fogad, majd azokat összegezve kimenő jeleket ad. A bejövő jeleket azonban nem ugyanolyan mértékben veszik figyelembe az egyes neuronok a kimenő érték meghatározásához, hanem statisztikai fogalommal leírva – súlyozva. Ennek oka egy példán keresztül szemléltethető a legjobban, miszerint, ha a neurális hálózatot adott esetben ingatlanárak becslésére (előrejelzésére) alkalmazzák, akkor nem ugyanakkora a jelentősége annak, hogy egy ingatlan melyik budapesti kerületben helyezkedik el és milyen a komfortfokozata, mint annak, hogy a 3. vagy éppen a 4. emeleten található-e. Fontos megjegyezni, hogy a neuronok bár számításokat végeznek ugyan, de mégsem processzorok. A fő különbség a kettő között az, hogy amíg a processzorokat programozzák, vagyis egymás után végrehajtandó, lényegében kötött, így önmaga által nem\n\n4 […] 5 „[…] uses Machine Learning and Artificial Intelligence to identify and measure speech style based emotions, keyword, and expressionbased sentiment, and speech characteristics such as speech rate, intonation, articulation, etc.”\n\n## 6 „An extensively trained deep neural network classifies speech segments into three main categories […]”\n\n## 7 Lásd: https://ai.engineering.columbia.edu/ai-vs-machine-learning/ „Artificial Intelligence is the field of developing computers and robots\n\nthat are capable of behaving in ways that both mimic and go beyond human capabilities. AI-enabled programs can analyze and contextualize data to provide information or automatically trigger actions without human interference.”; ezt a megközelítést erősíti meg többek között az Európai Unió jelenleg tervezet fázisban lévő jogalkotási javaslata is: https://eur-lex.europa.eu/legalcontent/HU/TXT/HTML/?uri=CELEX:52021PC0206 8 Lásd: https://ai.engineering.columbia.edu/ai-vs-machine-learning/ „Machine learning is a pathway to artificial intelligence. This subcategory of AI uses algorithms to automatically learn insights and recognize patterns from data, applying that learning to make increasingly better decisions.”\n\n## 9 Lásd bővebben: Az Európai Unió Tanácsa jelentése a mesterséges intelligenciáról, annak főbb képességeiről és tudományos\n\nmódszereiről; publikálva: 2019. április 8. napján; URL: https://digital-strategy.ec.europa.eu/en/library/definition-artificial-intelligence-maincapabilities-and-scientific-disciplines módosítható utasítássorozatot adnak meg neki, amelyek mindig előre meghatározható kimeneti értékekkel járnak, addig a neuronokat – a súlyok értékeinek beállításával – tanítják, így azok a felhasznált algoritmustól függően akár az algoritmus alkalmazója által előre nem ismert értéket is adhatnak eredményül10.\n\n## (68) A fentebb hivatkozott leírások szerint maga a fejlesztő adja meg a tájékoztatást arról, hogy a\n\nPlatform mint szoftvertermék, milyen paramétereket képes azonosítani és értékelni, és hogy ahhoz milyen, a mesterséges intelligencia körébe tartozó informatikai módszereket és megoldásokat alkalmaz.\n\n## (69) A Szoftver alkalmas arra, hogy a call-centerekben dolgozók által fogadott és kezdeményezett\n\nhívásokat előre meghatározott szabályok alapján automatikusan kiértékelje, így például az ún. „üdvözlési szabály” (eredeti szövegben: „greeting rule”) alapján ellenőrizze, hogy a dolgozó megfelelően üdvözölte az ügyfelet, vagy az ún. „vizsgálati szabály”, ami alapján a rendszer képes ellenőrizni, hogy a dolgozó a kellő számú kérdéssel igyekezett-e összegyűjteni az ügyféltől a szükséges információkat.11 (70) A rendszer a telefonos ügyfélszolgálati munkavállalók teljesítményének automatikus értékelése körében képes továbbá arra is, hogy mérje, mennyi idő telik el egy híváson belül a kérdés feltevése és az érdemi válaszadás között a dolgozó hallgatásával (ún. „silence period”), amiből egyértelmű következtetést lehet levonni a munkavállaló tudásszintjére-felkészültségére vonatkozóan.12 (71) A fentiek alapján megállapítható, hogy a Szoftver mesterséges intelligencia használatával személyes adatok automatikus feldolgozását végzi, amelynek az eredménye egyrészről az általa felállított lista a visszahívandók sorrendjéről, másrészt a törlésükig – amely időtartam az Ügyfél Előzmény Ügyben tett nyilatkozatai szerint 45 nap – az egyes hívásokhoz rendelt felismert érzelmek és hangfelvétel jellemzők (pl. szünetek hossza). Az nem feltétele az automatikus adatfeldolgozásnak, hogy a gép hozza meg a döntést is, elég ha az a célja, hogy olyan eredményt állítson elő, amely befolyásolja a döntéshozókat, figyelembe veszik az emberi döntés során, amely itt megvalósul. Ezt erősíti az Ügyfél által az Előzmény Ügyben 2021. július 5. napján érkezett, NAIH-5161-5/2021 szám alatt iktatott válaszlevél mellékletét képező, a fájlnév elnevezése szerint érdekmérlegelés, valójában adatvédelmi hatásvizsgálat dokumentum (azonosító: „érdekmérlegelési teszt voicemining.xlsx”), amely szerint „Az adatkezelés több okból is magas kockázatú, különös tekintettel az alkalmazott technológia újdonság jellegére, ugyanis a hangfelvételek mesterséges intelligencia segítségével automatizáltan kerülnek elemzésre és a megállapítások is automatizáltan születnek. Az adatok összessége mindkét érintetti csoport szempontjából alkalmas profilalkotásra, illetve scoringra, és ugyan automatizált döntéshozatal nem történik a folyamatban, az adatkezelés az érintettekre joghatással bírhat.”.\n\n## (72) A fentiekben kifejtettek miatt a Szoftver segítségével végzett adatkezelésre alkalmazandó az általános adatvédelmi rendelet 21. cikke. Ezen felül az általános adatvédelmi rendelet 4. cikk 4. pontja szerinti profilalkotásra is sor kerül, mivel a rendszer által generált adatokat – a rendszer lényegi\n\nfunkcionalitásából fakadóan – az Ügyfél telefonos ügyfélszolgálati munkavállalóinak munkahelyi teljesítményének monitorozására és értékelésére is használják a (4) bekezdés (i) alpontban megjelölt Ügyfél nyilatkozat és a (66) bekezdésben megjelölt online forrás szerint. Szintén a profilozást támasztja alá az, hogy a kulcsszavak és érzelmek alapján rangsorolják visszahívásra az elégedetlen ügyfeleket, amely tulajdonság megfelel az általános adatvédelmi rendelet 4. cikk 4. pont szerinti személyes jellemző\n\n10 Lásd bővebben: Klein Tamás: Robotjog, vagy emberjog? In: „A mesterséges intelligencia szabályozási kihívásai”, Budapest, 2021, 129. o., továbbá lásd „A Closer Look at Neural Networks”; publikálva: 2019.08.02. napján; URL: https://docs.microsoft.com/enus/archive/msdn-magazine/2019/february/artificially-intelligent-a-closer-look-at-neural-networks 11 […] 12 […]\n\nértékelésének. Szintén a profilalkotás kifejezést használja az Ügyfél fenti (3) bekezdés (i) pontban ismertetett […] számú ügyfélpanasszal kapcsolatos belső feljegyzése, és a fenti (3) bekezdés (iii) c) alpontban ismertetett adatkezelési tájékoztató. Az adatkezelés a természetes személyek érzelmeinek elemzését végző technológián alapul, mely új technológia. Ez az Ügyfél eljárás során tett nyilatkozataival ellentétben ténylegesen fokozott alapjogi veszélyeket idéz elő, így az általános adatvédelmi rendelet 24. és 25. cikkei szerinti kockázatalapú megközelítésnek megfelelően az Ügyfél ezzel kapcsolatos adatkezelői felelőssége is fokozott.\n\n## III.4. A megfelelő tájékoztatás és a tiltakozási jog hiánya\n\n## (73) A hangelemzéssel és érzelmeik automatikus elemzésével és kiértékelésével, valamint az ebből\n\nkövetkező visszahívás lehetőségével kapcsolatban az érintettek semmilyen tájékoztatást nem kapnak szóban a beszélgetés elején.\n\n## (74) Az Ügyfél egyetlen, a Szoftverrel folytatott adatkezelésre utaló, de konkrét információt nem\n\ntartalmazó tájékoztatása az érintettek részére a „Telefonos ügyfélszolgálat és panaszkezelés részletes adatkezelési tájékoztató” azon mondata, amely szerint „A telefonos ügyfélszolgálat minőségbiztosítási, panasz megelőzési célból jogos érdeken alapuló profilalkotást végez és automatikus döntés útján választja ki azon hívásokat, melyben magasabban képzett banki dolgozó visszahívás útján hárítja el a telefonbeszélgetésben felmerült problémát, panaszt.”. Ezen felül az érintettek semmilyen információt nem kapnak arról, hogy konkrétan mely típusú adataikat, milyen módon és hogyan kezelik, hogy érzelmi reakcióikat értékelik. Az általános adatvédelmi rendelet 13. cikkének a jogalapon kívül minden kötelező információja hiányzik, a cél megjelölése pedig nem teljes. Sem a „Telefonos ügyfélszolgálat és panaszkezelés részletes adatkezelési tájékoztató” sem az Üzletszabályzat 3.1.8. pontja nem jelöli meg világosan és egy átlagos érintett számára érthetően az adatkezelés időtartamát.\n\n## (75) A fenti tájékoztatásban megjelölt cél a minőségbiztosítás és a panasz megelőzése. Sem az\n\nügyfélelvándorlás megelőzése, sem a belső hatékonyság növelése nem szerepel az érintettek számára megjelölt célok között.\n\n## (76) Az Ügyfélnek az indokolás fenti (4) bekezdés (vii) és (viii) alpontjaiban kifejtett nyilatkozatai is\n\na fentieket erősítik meg azzal, hogy az Ügyfél tudatában van annak, hogy a vizsgált hangelemzéssel kapcsolatos adatkezeléssel összefüggésben évek óta nem biztosította a megfelelő átlátható és tömör tájékoztatást, valamint a tiltakozási jogot azok kiemelt nehézsége miatt. Ezzel ellentétes az Ügyfél adatkezelési tájékoztatója, amely szerint biztosítja az érintetti jogokat. Az Ügyfél az érdekmérlegelése során többek között az érintetti jogok megfelelő biztosítottságára hivatkozással sorolta be – több okból megalapozatlanul – kockázatmentesnek és sérelemmentesnek az adatkezelést.\n\n## (77) A jogos érdeken alapuló, továbbá az automatizált adatkezeléssel szembeni tiltakozás joga nem\n\naz adatkezelő döntésétől függ, annak biztosítására az Ügyfél köteles az általános adatvédelmi rendelet 21. cikke alapján is. A tiltakozási jog teljes hiánya miatt alapvetően a jelen ügyben mindenképpen fennáll az általános adatvédelmi rendelet 21. cikkének sérelme, de elvi szinten a Hatóság rögzíti, hogy az ügyfélmegtartási célú telefonos agitáció az ügyfélszerzéshez hasonlóan marketing célnak minősül, így ezzel kapcsolatban az általános adatvédelmi rendelet 21. cikk (2) bekezdése szerinti objektív tiltakozási jogot kell biztosítani az érintetteknek, az egyéb célok minőségellenőrzés, belső hatékonyság növelés –tekintetében az általános adatvédelmi rendelet 21. cikk (1) bekezdése szerinti feltételes tiltakozási jog biztosítandó. Többek között emiatt sem megfelelő az érdekmérlegelés során a különböző adatkezelési célok és adatkezelői érdekek egybemosása és együttes értékelése, mivel a végeredmény – és a megfelelő végeredmény eléréséhez teljesítendő feltételek – nem feltétlenül egyeznek meg az egyes célok esetén.\n\n## (78) Bár nem a hozzájárulást jelölte meg jogalapként az Ügyfél, erre is hivatkozott. Ezzel\n\nkapcsolatban a Hatóság megjegyzi, hogy az általános adatvédelmi rendelet szerint csakis megfelelő alapos ismeretek birtokában, szabadon és aktív cselekvéssel adott hozzájárulás lehetne az adatkezelés alapja, amely a szolgáltatás (telefonos ügyfélszolgálat) megtagadása mint jogkövetkezmény mellett kizárt. Ugyanez igaz a munkavállalókra is, függelmi viszonyban főszabály szerint ezen jogalap alkalmazása kizárt, annak teljesen befolyásolástól való mentessége a munkája végzésével kapcsolatban nem elképzelhető. Ugyancsak alapvetően hibás és elfogadhatatlan az Ügyfél azon érvelése, hogy eddig érintetti panasz nem érkezett a vizsgált adatkezeléssel kapcsolatban, ha arról az érintettek érdemben nem is szerezhettek tudomást.\n\n## (79) A fentiek alapján az Ügyfél ügyfélszolgálati hangfelvétel elemzési tevékenységével kapcsolatos adatkezelése a jelen formájában sérti az általános adatvédelmi rendelet 5. cikk (1) bekezdés a)\n\nés b) pontját, 12. cikk (1) bekezdését, 13. cikkét, valamint 21. cikk (1) és (2) bekezdését.\n\n## III.5. A Szoftverrel végzett adatkezelésre vonatkozó érdekmérlegelés minősítése\n\n## (80) A mesterséges intelligencia a fenti III.3. pontban kifejtettek szerinti működési elve általában\n\nnehezen átlátható és követhető. Többek között ezért is különös odafigyelést igényel – nemcsak papíron leírva, hanem ténylegesen megvalósítva – a mesterséges intelligencia használata az adatkezelés során akkor, ha az általános adatvédelmi rendelet szerinti átláthatósági és elszámoltathatósági feltételeknek meg akar felelni az adatkezelő. Ez túlmutat egy átlagos kockázatú adatkezelés esetén irányadó alapértelmezett elvárhatósági szinttől, és – figyelembe véve az általános adatvédelmi rendelet 24. és 25. cikkei szerinti kockázatalapú megközelítést – ennek a nehézségnek a figyelembevételével kell az adatkezelőnek döntést hoznia arról, hogy mikor és mire használja a mesterséges intelligenciát, és ezzel kapcsolatban hogyan biztosítja az átláthatóságot.\n\n## (81) A Szoftverben alkalmazott érzelemelemző és elégedettséget kiértékelő és rögzítő rendszer\n\nhatékonysága az Ügyfél által az Előzmény Ügyben benyújtott műszaki mellékletek (azonosító: „voice képernyők.docx.doc”) alapján viszonylag alacsony. Ez sem erősíti azt, hogy az adott formában megvalósított hangelemzés alkalmas a megjelölt célok elérésére, és használata a jelenlegi formában elkerülhetetlen és arányos korlátozása lenne az érintettek jogainak még akkor is, ha nem úgy mint jelen esetben – az érintetti jogokat megfelelően biztosítaná az Ügyfél. Az Ügyfél érdekmérlegelése ezt semmilyen módon nem vette figyelembe, az érdekmérlegelés időpontjáról vagy felülvizsgálatáról semmilyen információt nem igazolnak az Ügyfél által nyújtott dokumentumok, és az sem derül ki az érdekmérlegelésből, hogy bármilyen rendszeres felülvizsgálat ütemezve lenne annak ellenőrzésére, hogy a Szoftver tényleges működése megfelel-e az elvárásoknak és megfelelően védi-e az érintetti jogokat.\n\n## (82) Az Ügyfél által folytatott hangelemzési tevékenység mesterséges intelligencia alkalmazásával\n\n– különös tekintettel az érintettek érzelmeinek kiértékelése – önmagában is felvet adatvédelmi elvi kérdéseket. A Hatóság 2012-es évi beszámolójában már évekkel ezelőtt rögzítette, hogy „A pénzügyi szektorra jellemző, hogy az új adatkezelési technológiák alkalmazásában élen jár. A bank ügyfélszolgálatával folytatott beszélgetések hanganyagának elemzéséből olyan rejtett információk is kinyerhetők, melyekből következtetni lehet az ügyfél fizetési készségére, képességére. A pszicholingvisztikai jegyeket, valamint a beszéd érzelmi töltését vizsgáló eszközök alkalmazása során azonban nem elegendő az érintett hozzájárulásának formai meglétét vizsgálni. A beszédfeldolgozáson alapuló rangsoroló technológia olyan mértékű beavatkozást jelent a magánszférába, és olyan kockázatokat hordoz, melyeket az érintett a hozzájárulás megadásakor nem képes felismerni, és megítélni azok hatását személyiségi jogaira. A Hatóság felhívta a figyelmet arra, hogy az adatbányászati technológia révén a pénzintézet olyan adatok birtokába kerül, amelyekkel az ügyfél nincs is tisztában, így az ilyen eszközök alkalmazása az érintettet az eljárás alanyából annak tárgyává fokozza le.”13 Ez is azt támasztja alá, hogy mesterséges intelligencia alkalmazása esetén az adatkezelési mód megválasztásának és a garanciáknak, érintetti jogoknak kiemelt jelentősége van. Az álnevesítés – egy belső hangfelvétel azonosító alkalmazása – általában hasznos, de önmagában –főleg a jelen esetben – nem elégséges garancia.\n\n## (83) Az Európai Adatvédelmi Testület és az Európai Adatvédelmi Biztos 5/2021. sz. közös\n\nvéleménye a mesterséges intelligenciára vonatkozó harmonizált szabályok (a mesterséges intelligenciáról szóló jogszabály) megállapításáról szóló európai parlamenti és tanácsi rendeletre irányuló javaslatról az alábbi megállapítást tartalmazza: „Az Európai Adatvédelmi Testület és az Európai Adatvédelmi Biztos úgy véli továbbá, hogy az MI természetes személyek érzelmeinek levezetésére való felhasználása rendkívül nemkívánatos, és azt meg kell tiltani bizonyos jól meghatározott felhasználási esetek – nevezetesen az egészségügyi vagy kutatási célú felhasználás (például betegek, akiknek esetében fontos az érzelmek felismerése) – kivételével, minden esetben megfelelő biztosítékok és természetesen az összes többi adatvédelmi feltétel és korlátozás alkalmazása mellett, ideértve a célhoz kötöttséget is.”14 (84) A fentieken felül a feltárt tényállás és az Ügyfélnek az indokolás fenti (4) bekezdés (vii) és (viii) alpontjaiban kifejtett nyilatkozatai alapján sem a megfelelő előzetes tájékoztatás, sem a tiltakozás nincs biztosítva az adott adatkezelési módnál, így az érintettek jogait az Ügyfél ügyfélszolgálati telefonos hangrögzítéssel előállított felvételeket elemző gyakorlata teljes mértékben kiüresíti.\n\n## (85) Az érdekmérlegelés nem célonként külön történt, hanem minden célt összemos egy\n\nadatkezelésbe. Az adott adatkezelési cél elérésére alkalmasság és arányosság kérdését kellett volna vizsgálni, ehelyett az Ügyfél a mérlegelése során kizárólag a saját – vélt vagy valós – érdekei alapján vizsgálta, hogy arra szükséges és arányos-e az adatkezelés, és még ez is csak formális szempontok szerint történt. Az Ügyfél csak azt állapította meg, hogy az általa elérni kívánt érdeke érvényesítéséhez szükséges az adatkezelés, nem az érintetti jogokkal vetette össze az egyes célok esetén végzett tevékenységének hatását. Az arányosságot, az érintetti oldalt ténylegesen nem vizsgálta, bagatellizálta a jelentős alapjogi kockázatokat. Kifejezetten tényellenesen vette figyelembe a megfelelő tájékoztatás és tiltakozási jog garanciális hatását, amely jogokat a valóságban a rendszer felépítéséből adódóan nem biztosítanak az érintetteknek, teljes mértékben elvonva az érintetti önrendelkezési jogot. Így az érdekmérlegelés eredménye a fentiekben kifejtettek szerint alapvetően téves és félrevezető az alkalmasság és arányosság kérdésében, továbbá nem is azt veti össze egymással, amit kellene. Az, hogy az Ügyfél kevesebb ügyfélszolgálati munkatárs alkalmazásával lássa el a feladatokat, önmagában nem arányos és megfelelő indok az érintettek alapjogainak kiüresítésére, és a Hatóság és az Európai Adatvédelmi Testület által – még megfelelő érintetti jogok biztosítása mellett is – nem kívánatosnak, kiemelt kockázatúnak tartott adatkezelési forma alkalmazására. Az innováció csak akkor szolgálja az emberek javát, ha az megfelelő, hatékony, és erős garanciákkal párosul. Az Ügyfél a fokozott garanciák helyett az ellenkezőjét bizonyította a tényállás tisztázása során a hangelemzéssel kapcsolatban.\n\n## (86) Az adatkezelés megalapozatlan, illetve téves megtervezése és mérlegelése nem minősül az\n\nÜgyfél érdekkörén kívüli, elháríthatatlan oknak, az kizárólag az Ügyfél szándékos cselekménye, amely annak tudatában kezdte meg illetve folytatta az adatkezelést, hogy az alapvető hiányosságokban szenvedett, és az érdekmérlegeléssel nem volt ténylegesen alátámasztva, csak lepapírozva. Az Ügyfél nem igazolta, hogy bármely alternatívát ténylegesen megvizsgált volna. A\n\n13 https://www.naih.hu/eves-beszamolok?download=17:naih-beszamolo-2012-februar\n\n## 14 lásd 35. bekezdés: https://edpb.europa.eu/system/files/2021-10/edpb-edps_joint_opinion_ai_regulation_hu.pdf\n\nhangrögzítés – panaszügyek esetén jogszabályi kötelezettség miatt, egyébként az Ügyfél döntése alapján – nem kikerülhető eleme a telefonos ügyfélszolgálatnak, és jelentős érdeksérelem az, ha a telefonos ügyfélszolgálat nem elérhető annak, aki a hozzá kapcsolódó valamennyi – teljesen nem is megismerhető – adatkezelést nem kívánja elfogadni. Ha az Ügyfél a kötelezően rögzített hangfelvételekkel további adatkezelési műveleteket kíván végezni, azokat elemezni kívánja automata módon új és nem teljesen ismert, kockázatos technológiákkal, akkor meg kell felelnie az általános adatvédelmi rendelet 6. cikk (4) bekezdésének is, mivel az adatgyűjtés céljától eltérő célból kíván személyes adatokat kezelni. Ilyen esetben az, hogy az érintettek számíthatnak-e észszerűen az adatkezelésre és az új adatkezelés az eredeti céllal – jelen esetben a jogszabályi kötelezettség teljesítése miatti beszélgetésrögzítéssel – összhangban van-e, azt az adatkezelő köteles megvizsgálni még az adatkezelés megkezdése előtt, a megfelelő garanciák meglétét pedig folyamatosan köteles biztosítani. Az érintettek érdemi tudomása és választási joga nélkül, egy teljesen más okból rendelkezésre álló hangfelvétel elemzése nem lehet adatvédelmi szempontból jogszerű, ha arról az érintettek érdemben tudomást nem szerezhettek, és a garanciális érintetti jogok hiányoznak, amelyet az Ügyfél tudomása ellenére utóbb sem vett figyelembe, ennek tudatában is folytatta az adatkezelést. Ez igazolja a jogsértés szándékos jellegét. (87) Az Ügyfél döntése alapján a munkavállalóinak a hangja is elemzésre és értékelésre kerül, amelyet az Ügyfél fenti (4) bekezdés (i) alpont szerinti nyilatkozata alapján többek között teljesítménybérezésre is használnak. A munkavállaló érintettek esetén szintén kérdéses, hogy mennyi tényleges tiltakozási lehetőségük lenne a függelmi viszony miatt. Ezen körülményt szintén nem mérlegelte az Ügyfél. A munkavállalók tekintetében a szerződés teljesítésének ellenőrzése, a minőségbiztosítás – a munkajogi szabályokból is adódóan – adott körülmények között megalapozhat bizonyos jogos érdeket. Azonban ezen esetben is kiemelten fontos az alkalmasság és arányosság kérdése, amit többek között az Ügyfél saját, fenti (4) bekezdés (xi) alpontja szerinti nyilatkozata is megkérdőjelez, valamint a garanciák megfelelő rendszere sem biztosított a függelmi viszonyban lévő, így egy harmadik személy érintettnél is kiszolgáltatottabb munkavállalók részére. A nem bizonyíthatóan hatékony és az önrendelkezési jogot mélyen és súlyosan korlátozó érzelem-elemzés a munkavállalók esetén sem támasztható alá észszerű módon. Mivel a munkavállalók esetén kifejezetten az általános adatvédelmi rendelet 4. cikk 4. pontja szerinti, munkahelyi teljesítményhez kötődő profilalkotás is történik, az erre vonatkozó szabályok és garanciák alapos elemzése is szükséges egy új technológiával történő adatkezelés előtt, amelyet az Ügyfél szintén nem tett meg az érdekmérlegelése során.\n\n## (88) A Hatóság abban sem osztja az Ügyfél álláspontját, hogy az érintettek semmilyen sérelmet nem\n\nszenvednek el a vizsgált adatkezeléssel kapcsolatban. Az általános adatvédelmi rendelet a személyes adatok védelméhez fűződő jog védelmét szolgálja, amely az Alaptörvény VI. cikk (3) bekezdése és az Európai Unió Alapjogi Chartája 8. cikk (1) bekezdése alapján alkotmányos alapjognak minősül. Az erre vonatkozó jogszabályokban – így például az általános adatvédelmi rendelet III. fejezetében – meghatározott, az alapjog védelmét szolgáló érintetti jogok szükségtelen korlátozása, ellehetetlenítése közvetlen anyagi veszteség nélkül is jelentős alapjogi sérelmet okoz, és ez jelen esetben nagyszámú érintett vonatkozásában áll fenn. Az Ügyfél nyilatkozata alapján ez évente mintegy 1-1,5 millió hangfelvétellel kapcsolatos adatkezelést jelent.\n\n## (89) A Hatóság az általános adatvédelmi rendelet 22. cikk (1) bekezdés alkalmazhatóságát is\n\nmérlegelte a jelen ügy tárgyát képező adatkezelés vonatkozásában, mivel ez is érinti az Ügyfél által biztosítandó érintetti jogokat. Az Ügyfél ezt is elmulasztotta megtenni az adatkezelés megtervezése során. A teljesen automatizált adatkezelésen alapuló döntés a jelen esetben megvalósul azon érintettek tekintetében, akiket nem választ ki a rendszer visszahívásra illetve nem jelzi az ügyintézői hibát, így ezen esetekben emberi beavatkozás nélküli negatív döntés történik. A munkavállalók esetén a munkateljesítmény értékelése is megvalósul. Ennek ellenére a jelen ügyben a Hatóság azt állapította meg, hogy az általános adatvédelmi rendelet 22. cikk (1) bekezdésének azon feltétele nem valósul meg negatív döntés esetén, hogy joghatás vagy hasonló jelentős mértékű hatás érné a teljesen automatizált adatkezelésen alapuló döntés érintettjeit, mivel esetükben éppen nem történik reakció. Emberi beavatkozás szükséges a további lépések megtételére azon személyek esetén, amelyeket a Szoftver kiválaszt visszahívásra vagy munkajogi ellenőrzésre, így ezeknél a jelentős mértékű hatás megvalósul, de a teljesen automatizált adatkezelésen alapuló döntés feltétele hiányzik. Emiatt a jelen ügyben az ügy összes körülménye alapján a Hatóság nem állapította meg az általános adatvédelmi rendelet 22. cikk (1) bekezdés alkalmazhatóságát, így annak megsértését sem. Azonban kiterjedt automatikus adatkezelés esetén az érdekmérlegelés hiányosságát támasztja alá az, ha az adatkezelő ezt a lehetőséget érdemben nem is mérlegeli, mint azt az Ügyfél is elmulasztotta jelen esetben. (90) A jelen részben kifejtettek alapján az Ügyfél által elvégzett érdekmérlegelés nem ad valós, az általános adatvédelmi rendelet által elvárt elemzésen alapuló eredményt, így az arra alapított jogos érdek elsőbbsége az érintetti jogokkal és szabadságokkal szemben nem állapítható meg az adott adatkezelés során.\n\n## III.6. A Szoftverrel végzett adatkezelés jogszerűsége\n\n## (91) Az érdekmérlegelés érvénytelensége miatt a Hatóság álláspontja szerint a hangfelvételeknek\n\naz Ügyfél által folytatott módon történő automatikus elemzésével kapcsolatban sem az általános adatvédelmi rendelet 6. cikk 1) bekezdés f) pontja szerinti jogalap, sem más általános adatvédelmi rendelet 6. cikk (1) bekezdésében felsorolt jogalap nem áll fenn.\n\n## (92) Az Ügyfél a harmadik személy érintettek vonatkozásában semmilyen garanciát vagy érdemi\n\ntiltakozási jogot nem biztosított eddig, így e tekintetben az érzelmeken kívüli, objektív tényezők (szavak, szünetek) elemzése csak akkor lehetséges, ha megfelelő arányossági és szükségességi mérlegelés alapján a megfelelő garanciák mellett végzi ezen tevékenységet. Amennyiben az érzelmeken kívüli egyéb, tájékoztatásban pontosan megjelölhető tényezők elemzését kívánja végezni az Ügyfél, azt csak az általános adatvédelmi rendeletnek megfelelő garanciák mellett, nem korlátlanul teheti. A mesterséges intelligencia egyik nagy kihívása az átláthatóság biztosításának kérdése, amely jelen esetben teljes mértékben meghiúsult az érintettek felé15.\n\n## (93) A munkavállalóival kapcsolatban az Ügyfél a harmadik személyekhez képest könnyebben tudja\n\nmegalapozni az érzelmeken kívüli, objektív tényezők (szavak, szünetek) elemzését, mivel az ügyfélszolgálati munkakör betöltésével járó kötelezettségek ellenőrzéséhez – a bankszámla vezetéssel ellentétben – adott körülmények között szükséges lehet az ügyfélszolgálati hangfelvételek elemzése. Munkavállalók esetén a tájékoztatás is könnyebb, mint egy betelefonáló harmadik személy esetén, aki adott esetben nem is áll még semmilyen jogviszonyban az Ügyféllel. Az új és kiemelten kockázatos technológia alkalmazása azonban – többek között Magyarország Mesterséges Intelligencia Stratégiájában16 is keretben kiemelt módon – csak nagyon erős garanciák és megfelelő tervezés mellett kerülhet sor, megbízható és emberközpontú módon. Az érintetti jogok kiüresítése nem lehet célja és eredménye a fejlődésnek. A cél eléréséhez arányos mennyiségű és típusú adatok azonosítása alaposabb és ellenőrizhető indokolást igényel az adatkezelés megtervezésekor. Amennyiben innovatív és kevésbé ismert és szabályozott technológiát használ egy adatkezelő, akkor fokozottabb az elvárás, mint a klasszikus technológiák esetén, így a munkavállalók ellenőrzése terén is fokozott garanciáknak és körültekintő tervezésnek kell érvényesülnie. A megfigyelés és profilozás jelen formája – különös tekintettel a munkavállalók\n\n15 lásd 72. bekezdés: az Európai Adatvédelmi Testület és az Európai Adatvédelmi Biztos 5/2021. sz. közös véleménye\n\n## 16 34. oldal, „Az MI működéséhez szükséges hatékony és támogató hazai szabályozási környezet megteremtése és etikai keretrendszer\n\nkialakítása, figyelemmel az EU jogi kereteire.” https://ai-hungary.com/api/v1/companies/15/files/146072/download érzelmeinek elemzésére – számos jogi és etikai kérdést vet fel, amelyeket az Ügyfél nem azonosított és nem kezelt az adatkezelés során.\n\n## (94) A fentiek alapján az Ügyfélnek az ügyfélszolgálati hangfelvételek automatikus elemzésével kapcsolatos adatkezelési gyakorlata a jelen formájában sérti az általános adatvédelmi rendelet\n\n5. cikk (1) bekezdés a) pontját és 6. cikk (1) bekezdését, és 6. cikk (4) bekezdését.\n\n## III.7. Az érintetti jogok rendszerszintű sérülése\n\n## (95) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése alapján az Ügyfél köteles olyan tömör\n\nés érthető módon az adatkezelés megértéséhez minimálisan szükséges információkat nyújtani az érintettek részére, amelyek alapján az érintettek legalább az adatkezelés alapvető mivoltával tisztában vannak. Ezt az Ügyfél sem előzetesen, sem a visszahívások során nem teszi meg, az ügyfélszolgálatát telefonon kereső érintettek pedig semmiből nem sejthetik a hangjuk automatikus elemzését, és nem számíthatnak ésszerűen arra, hogy kérés nélkül visszahívják őket többek között a hangjuk tónusa miatt. Az általános adatvédelmi rendelet 24. cikk (1) bekezdésének megfelelően az adatkezelés újszerű jellege, az érzelmek elemzése és egyéb pszicholingvisztikai elemzések szenzitív jellege, és a többi, fentebb feltárt adatkezelési körülmény alapján az Ügyfél köteles lett volna az adatkezelést akként kialakítani, hogy az maximálisan biztosítsa az érintetti jogokat és szabadságokat, amelyet nyilvánvalóan nem tett meg. Az, hogy erre eddig kevés érintetti panasz érkezett, nem azt erősíti, hogy az érintetteket ez nem zavarta, hanem azt, hogy ésszerűen nem is tudhattak erről, amely önmagában erősen megkérdőjelezi az adatvédelmi megfelelést.\n\n## (96) Az általános adatvédelmi rendelet 12. cikk (2) bekezdése alapján az Ügyfél köteles elősegíteni\n\naz érintetti jogok gyakorlását. A tiltakozási jog olyan alapvető garancia, amelynek hiánya minden más körülménytől függetlenül önmagában sikertelenné tehette volna a jogos érdek elsőbbségének a megállapítását. Nem elegendő a jogos érdek fennállása, annak adott esetben meg kell előznie az érintetti jogokat, amely jelen esetben a megfelelő garanciák teljes hiányában nyilvánvalóan nem állhat fenn. Tekintettel arra, hogy az Ügyfél mérlegelési körébe tartozó és nyilvánvalóan tényellenes körülmény az érintetti jogok biztosítottsága, ez nem tekinthető gondatlan tévedésnek, csakis szándékosan lehet ennyire eltávolodni a tényektől és a mérlegelésben leírt elmélet gyakorlati megvalósulását csak szándékosan lehet figyelmen kívül hagyni évekig, érdemi felülvizsgálat nélkül.\n\n## (97) Az általános adatvédelmi rendelet 25. cikk (1) és (2) bekezdése alapján az Ügyfél köteles lett\n\nvolna a mesterséges intelligenciát alkalmazó automata hangelemzés megkezdése előtt felmérni, hogy az adatkezelés a jelenlegi technikai és társadalmi körülmények között kivitelezhető-e az adatvédelmi szabályok maximális betartása mellett. Az Ügyfél érdekmérlegelése az indokolás fenti (4) bekezdés (vii) és (viii) alpontjaiban megjelölt nyilatkozataival ellentétes, és a feltárt tényállás is a jogszerűtlen állapotot támasztja alá. Az Ügyfél tudta, vagy a jogilag elvárható körültekintés mellett tudhatta volna az adatkezelés megkezdése előtt, hogy milyen módon lehetséges vagy nem lehetséges az érintettek tájékoztatása, valamint a tiltakozási és egyéb érintetti jogok érvényesítése. A fentiek és az általános adatvédelmi rendelet 24. és 25. cikkei alapján az Ügyfél eleve nem dönthetett volna úgy, hogy a hangelemzéses adatkezelést megkezdi ebben a formában.\n\n## (98) Az Ügyfél a Szoftvert még az általános adatvédelmi rendelet alkalmazandóvá válása előtt a\n\n2017-es évben vezette be. A hatásvizsgálat és az érdekmérlegelés szövegéből nem derül ki, hogy azt mikor készítette az Ügyfél, és azokat felülvizsgálta-e bármikor. Az általános adatvédelmi rendeletre utalás önmagában nem jelöli meg a készítés konkrét dátumát. A hatásvizsgálat formailag megfelelő, azonban a tartalma a jelen határozatban kifejtettek szerint nem egyezik a valósággal, az érzelmek elemzésének kérdéskörét érdemben nem rendezi, és ezen hiányosságokat az Ügyfél nyilvánvalóan tudhatta a hatásvizsgálat elkészítésekor, illetve a működés során kötelező rendszeres felülvizsgálat – többek között az általános adatvédelmi rendelet bevezetése miatti felülvizsgálat idején. Ezt alátámasztják az Ügyfél jelen határozatban bemutatott nyilatkozatai.\n\n## (99) A megfelelő tájékoztatás rendszere az általános adatvédelmi rendeletben azt szolgálja, hogy\n\naz érintett tudatában lehessen annak, hogy mely személyes adatait, mely adatkezelő és mely célból, hogyan fogja kezelni. Ez elengedhetetlen ahhoz, hogy olyan helyzetben legyen, hogy érintetti jogait érdemben gyakorolni tudja. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontjára alapított adatkezelés esetén az általános adatvédelmi rendelet (47) bekezdése alapján fokozott tájékoztatási elvárás érvényesül. Eszerint az általános adatvédelmi rendelet 13. cikkében említett speciális információkon túl többlet feltétel többek között, hogy az érintett észszerű elvárása ki kell terjedjen az adott adatkezelésre, arra számítania kell. Megfelelő tájékoztatás hiányában értelemszerűen az érintett nincs olyan helyzetben, hogy érintetti jogait megfelelően gyakorolja, különösen akkor, ha az érdemi jog – a tiltakozás – gyakorlására nincs tényleges lehetősége. A tájékoztatási kötelezettség a fentiekben is kifejtettek szerint nem puszta adminisztratív, „lepapírozási” kötelezettséget jelent az általános adatvédelmi rendeletben. Valamely dokumentum előállítása önmagában nem az adatkezelői kötelezettségek teljesítése, az csak eszköze, rögzítése kell, hogy legyen az érdemi mérlegelés és döntés előkészítésének, döntésnek, és szükséges időközökben azok felülvizsgálatának. Egy új típusú és fokozott kockázatú technológia alkalmazása esetén a rendszeres és érdemi felülvizsgálatra is fokozott elvárás vonatozik. Mind a preambulumban foglaltak, mind az általános adatvédelmi rendelet cikkei eredmény elérését írják elő az adatkezelő kötelezettségeinek meghatározásakor, nem csak egy meghatározott minimális adminisztráció elvégzését az adatkezelő részéről. A tájékoztatás célja, hogy olyan helyzetbe hozza az érintettet, hogy az megfelelő döntési helyzetben legyen az érintetti jogai gyakorlásával kapcsolatban. A Szoftver használatával megvalósuló adatkezelésről, a hangelemzésről semmilyen érdemi információ nem áll az érintettek rendelkezésére, akik telefonon felhívják az Ügyfél ügyfélszolgálatát, vagy akiket az Ügyfél ügyfélszolgálata felhív vagy visszahív. (100) A jogos érdek jogalappal összefüggésben fontos hangsúlyozni, hogy az nem arra szolgál, hogy egyéb lehetőség hiányában az adatkezelő bármikor és bármilyen indokkal az egyéb jogalapok alkalmazhatóságának hiányában, a 6. cikk (1) bekezdés f) ponthoz fordulva kezeljen személyes adatokat. Bár látszólag a legrugalmasabb jogalapnak tűnik, annak alkalmazásával az adatkezelő jelentős felelősséget vállal – nem csak szűk értelemben a személyes adatok kezelésével, hanem az ahhoz kapcsolódó egyéb garanciális kötelezettségek teljesítésének felvállalásával is. Nem „lepapírozásról” van tehát szó itt, hanem érdemi feladatról, mely megállapítás különösen igaz olyan adatkezelések esetében, ahol az adatkezelő bizalmi pozícióban és jelentős erőfölényben van az árintettekkel szemben. A megfelelő garanciák hiányában ugyanis az érintetti jogok sérelmének veszélye olyan mértékű, hogy az érdekmérlegelés eredménye annak valós elvégzése esetén észszerűen csak az lehet, hogy a harmadik fél jogos érdekét felülírják az érintett jogai.\n\n## (101) Nagyon fontos azzal tisztában lennie az adatkezelőknek, hogy nem az érintett, valamint nem\n\na Hatóság feladata és felelőssége egy hatósági eljárás során az adatkezelő helyett az adatkezelés céljának és a jogos érdekeinek azonosítása és indokolása. Azt, hogy milyen célból és milyen jogos érdekei miatt kíván személyes adatot kezelni, az adatkezelőnek kell konkrétan, adat- és célszintre lebontva egyértelműen indokolni, mérlegelni és ennek garanciáit megteremteni. Ezen garanciák kell, hogy biztosítsák többek között azt, hogy az érintett tisztában legyen az adatkezeléssel, és azzal szemben tiltakozni tudjon még az adatkezelést megelőzően, mivel az adatkezelést követően különösen egy rövid ideig tartó vagy egyszeri adatkezelésnél – már kiüresedik a tiltakozási joga, így valójában nem biztosított ezen jog a számára. A jelen ügyben a fentiekben kifejtettek alapján megállapítható, hogy az általános adatvédelmi rendelet (47) preambulumbekezdésében meghatározott előreláthatósági és garanciális feltételek rendszerszinten, az Ügyfél által választott megvalósítási mód miatt nem teljesültek. A megfelelő tájékoztatás és előzetes tiltakozás lehetősége technikailag nem lehet kizárt, csak az Ügyfél által választott megoldás nem tette lehetővé, amellyel az Ügyfél az eljárás során tett, az indokolásban bemutatott nyilatkozatai szerint tisztában van.\n\n## (102) Az érintetti jogok sérülését, csökkentését jelenti az is, hogy az Ügyfél által választott jogos\n\nérdeken alapuló adatkezelés során az érintett hozzájárulására alapuló adatkezelésnél lényegesen rosszabb feltételeket biztosít az Ügyfél. Az érintett hozzájárulása esetén a hozzájárulást az egyes adatkezelési célok tekintetében – például a hangrögzítés az érintett által kezdeményezett panaszkezelés miatt, és az így készült hangfelvétel későbbi elemzése – külön-külön elutasítási ok illetné meg. Mivel a hangfelvétel készítés eleve nem az érintett hozzájárulásán, hanem nagyrészt jogszabályi kötelezettségen alapul, amely eleve jelentősen korlátozza az érintett szabadságát, ezen felül a további adatkezelés tekintetében az Ügyfél egyoldalú döntése alapján az érintettek minden választási lehetőségének elvétele az eleve erősen korlátozó helyzetet csak tovább rontja. Az Ügyfél – többek között – ezen nyilvánvaló tényt is szándékosan figyelmen kívül hagyta a csak papíron elvégzett mérlegelés során, kizárólag a saját üzleti érdekét nézve, amely ellentétes az általános adatvédelmi rendelet által az adatkezelők felé támasztott követelményekkel.\n\n## (103) Az érintetti jogok rendszerszintű sérülését támasztja alá az is, hogy az Előzmény Ügyben az\n\nÜgyfél az adatkezelésről alapvető információkat sem tudott érthetően megadni a panaszos részére, még úgy sem, hogy kifejezetten kérte ezt a panaszos az Ügyfél honlapján elejtett egyetlen általános mondat hatására, amely felkeltette a gyanakvását (lásd fenti (3) bekezdés (iii) c) alpont). Az Ügyfél utólag sem tudta a panaszos számára érthetően és konkrétan leírni, hogy mely célokból, mely adatait, mely jogalappal és hogyan kezeli a hangelemzéssel összefüggésben, csak konkrétumok nélküli általános megállapításokat és hivatkozásokat jelölt meg a válaszában az adatkezelés megfelelőségéről. Az Ügyfél azon védekezése, hogy eddig ilyen kérdés nem merült fel, nem releváns egyrészt azért, mert az általános adatvédelmi rendeletben ilyen szempont nincs az adatkezelői kötelezettségnél, másrészt az érintettek eddigi jelentős információhiánya a fő oka az eddigi érdeklődés hiányának is. Az általános adatvédelmi rendelet 13. cikke szerinti tájékoztatási kötelezettség nem parttalan, annak kifejezett célja az adatkezelő – jelen esetben az Ügyfél adatkezelési műveleteit illetően az érintettekkel szemben fennálló nagy információfölényének kiegyenlítése. Amennyiben egy bonyolult és új technológiájú adatkezelésről van szó, akkor ezen információfölény jellemzően nagyobb mértékű is, mint az ilyen jellemzőkkel nem bíró adatkezelések esetén, így ennek kiegyenlítésére még több figyelmet kellett volna fordítania az Ügyfélnek. Ezt azonban jogszabályi kötelezettsége ellenére az Ügyfél nem tette meg. Ez pedig azt támasztja alá, hogy általában nem felel meg az Ügyfél által tudatosan kialakított rendszer a beépített és alapértelmezett adatvédelem elvének.\n\n## (104) A fentiek alapján az Ügyfélnek az ügyfélszolgálati hangfelvételek automatikus elemzésével kapcsolatos adatkezelési gyakorlata a jelen formájában sérti az általános adatvédelmi rendelet\n\n12. cikk (1) bekezdését, 24. cikk (1) bekezdését, 25. cikk (1) és (2) bekezdését.\n\n## III.8. Jogkövetkezmények\n\n## (105) A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja és 83. cikk (2)\n\nbekezdése szerint a többi intézkedés helyett vagy mellett adatvédelmi bírságot is kiszabhat. Az nem volt kétséges, hogy az általános adatvédelmi rendelet megsértése esetén az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján az adatkezelőt kötelezni szükséges arra, hogy az adatkezelést hozza összhangba az általános adatvédelmi rendelettel. Az adatkezelés jellege miatt a Hatóság a szokásos 30 napos határidő helyett 60 napot állapított meg erre. Ezen felül a Hatóság az irányadó bírói gyakorlatnak megfelelően ilyen esetben a bírság kiszabásánál az általános adatvédelmi rendelet 83. cikk (2) bekezdésében felsorolt szempontok közül az érdemben figyelembe vetteket mutatja be a döntés indokolásában.\n\n## (106) Abban a kérdésben, hogy indokolt-e az adatvédelmi bírság kiszabása, a Hatóság az általános\n\nadatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértések esetében az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja szerinti elmarasztalás nem arányos és visszatartó erejű szankció, ezért bírság kiszabása szükséges. E körben mindenekelőtt azt vette figyelembe a Hatóság, hogy az Ügyfél adatkezelési gyakorlata lényegében teljes egészében figyelmen kívül hagyta a vonatkozó jogi kötelezettségeket, anélkül kezelt személyes adatokat, hogy az adatkezelés jogszerűségének biztosítására bármilyen valós erőfeszítést tett volna, a formális adminisztráción kívül. A jelen esetben a személyes adatok védelme – amely a Hatóság feladata – a lentebb részletezett bírságkiszabási körülmények összessége alapján nem érhető el adatvédelmi bírság kiszabása nélkül. Az Infotv. 75/A § szerinti egyik körülmény sem áll fenn, az Ügyfél nem minősül kis- vagy középvállalkozásnak. A bírságkiszabás mind a speciális, mind a generális prevenciót is szolgálja, amelynek érdekében a határozat a Hatóság honlapján is közzétételre kerül.\n\n## (107) Az adatvédelmi bírság mértékének meghatározásakor a Hatóság enyhítő körülményként vette\n\nfigyelembe az alábbiakat:\n\n## (i) nem közvetlen döntéshozatal történik a Szoftverrel, a mesterséges intelligencia eredményét\n\nhasználják fel, amit emberi felülvizsgálattal korrigálnak (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont)\n\n## (ii) az Ügyféllel szemben a Hatóság még nem állapított meg adatvédelmi jogsértést (általános\n\nadatvédelmi rendelet 83. cikk (2) bekezdés e) pont).\n\n## (108) Az adatvédelmi bírság mértékének meghatározásakor a Hatóság súlyosbító körülményként\n\nvette figyelembe az alábbiakat:\n\n## (i) A jogsértés jellege különösen kirívó, súlyos, az ügy jelentős, az általános adatvédelmi\n\nrendelet több rendelkezését megsértette az Ügyfél. A nagy részben automatizált adatkezelés, az új technológia használata, az általa felvetett társadalmi kérdések a digitális kor kihívásairól, és az ezekre adott adatkezelői válaszok elégtelensége a jelen ügyet az egyedi értékelésen túl elvi szinten is jelentőssé teszik. A jelen ügyben tanúsított adatvédelmi hatósági magatartás számos adatkezelő számos hasonló adatkezelése tekintetében meghatározó lehet a jövőben, amely sok millió magyarországi érintett megbecsülhetetlen számú személyes adatának kezelésére kihathat. (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont)\n\n## (ii) A jogsértés hosszabb ideje, az általános adatvédelmi rendelet alkalmazandóvá válása előtti\n\nidőponttól kezdődően, és az általános adatvédelmi rendelet alkalmazása alatt végig folyamatosan fennállt, és jelenleg is fennáll. (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont)\n\n## (iii) Az Ügyfél adatkezelésének kiterjedtsége és piaci pozíciója, valamint pénzügyi szektorban\n\nfolytatott tevékenysége alapján fokozottabb az elvárás az Ügyféllel szemben, mint egy átlagos adatkezelő esetén, az automatizált adatkezeléssel érintett hangfelvételek száma évente 1-1,5 millió. (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont)\n\n## (iv) Az adatkezelési tevékenység új és kockázatos technológia alkalmazásával történt. A banki\n\nszektor különösen szenzitív terület, a pénzügyi intézmények felelőssége az ügyfelek és általában az érintettek felé kiemelt még a hasonló nagyságrendű, de más területen működő adatkezelőkhöz képest is. A pénzügyi szektorba fektetett bizalommal alapvetően ellentétes olyan technológia nem kellően átgondolt alkalmazása, amely jelentős alapjogi kérdéseket vet fel, és megfelelő garanciák hiányában az érintetti jogokat jelentősen sérti. (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) és d) pontok)\n\n## (v) Az emberi érzelmek mesterséges intelligenciával történő elemzése mind a Hatóság17, mind\n\naz Európai Adatvédelmi Testület, mind az Európai Adatvédelmi Biztos gyakorlata és kifejezett véleménye szerint nagyon kockázatos, és egyes területeken kívül főszabály szerint kerülendő. Ilyen technológia alkalmazása esetén jelentősen erősebb garanciák és érdemibb mérlegelés szükséges, mint amit az Ügyfél a feltárt tényállás alapján tanúsított. (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) és d) pontok)\n\n## (vi) A nyilvánvaló tényekkel ellentétes, csak „lepapírozott” érdekmérlegelés, a súlyos\n\nkockázatok nagymértékű bagatellizálása és figyelmen kívül hagyása az Ügyfél belső anyagaiban és szabályzataiban, érdekmérlegelésében, az érintettekre gyakorolt hatás érdemi vizsgálatának teljes hiánya előre és az adatkezelés során is, a tájékoztatáshoz való jog és tiltakozási jog kiüresítése szándékosságot támaszt alá az adatvédelmi szabályok megkerülésére. Legalább eshetőleges szándék fenn kellett álljon a jogsértésre, véletlenül a fentiek nem valósíthatóak meg. Az Ügyfél a nyilatkozatai alapján tudhatta, hogy a fentiek miatt problémás lehet az adatkezelés, de szándékosan figyelmen kívül hagyta ezen szempontokat az adatkezelésre vonatkozó döntései során, azokat egy fiktív helyzetre alapozva hozta meg szemet hunyva a valóság felett. (általános adatvédelmi rendelet 83. cikk (2) bekezdés b) pont)\n\n## (vii) Az Ügyfél semmit sem tett a tájékoztatáshoz való jog és tiltakozáshoz való jog\n\nérvényesítésére, mivel nyilatkozatai szerint úgy vélte az megvalósíthatatlan, ahelyett, hogy az adatkezelést módosította volna úgy, hogy az általános adatvédelmi rendelet szerinti kötelezettségeit teljesíteni tudja. (általános adatvédelmi rendelet 83. cikk (2) bekezdés c) pont)\n\n## (viii) Az általános adatvédelmi rendelet 24. cikk (1) bekezdése a kockázatalapú megközelítést\n\nírja elő az Ügyfélnek, amelyet az a jelen esetben nem teljesített. A hangfelvételek rögzítése nem kerülhető el az érintettek által, így ilyen esetben ezek bármely további célú felhasználása még szigorúbban ítélendő meg. A telefonos ügyfélszolgálat használatából kizárás olyan, az Ügyfél által egyedüliként kínált alternatíva, amely nem valós választás az érintettek részére, ráadásul az Ügyfél által hívott érintetteknél ez is kérdéses, továbbá megfelelő információ hiányában sincs döntéshelyzetben a legtöbb érintett, amely az általános adatvédelmi rendelet 25. cikke szerinti elvet sértő rendszerszintű problémára vezethető vissza. A mesterséges intelligencia nem megfelelő körültekintéssel történő alkalmazása a korábbi, mesterséges intelligencia nélküli automatizált adatkezelésekhez képest nagyságrendekkel jelentősebb kockázatokat vet fel, amelyeket csakis a legszigorúbb módon lehet értékelni. (általános adatvédelmi rendelet 83. cikk (2) bekezdés d) pont)\n\n## (ix) A konkrét új technológiára irányadó szabályozás még nagyon kezdetleges, így ezt a\n\nmérlegelés során fokozottabb kockázatként kellett volna figyelembe venni, továbbá a konkrét terület szabályozatlanságából adódó erős konkrét garanciák hiányában az Ügyfél kötelezettsége lett volna az általános adatvédelmi rendelet alapján a szokásosnál is erősebb garanciákat alkalmazni, azonban még az átlagos garanciák szintjét sem érte el. (általános adatvédelmi rendelet 83. cikk (2) bekezdés d) pont)\n\n## (x) Az alkalmazott álnevesítés garanciális hatása csekély mértékű volt csak, mivel a\n\ngyakorlatban a Szoftverhez hozzáférő, a felvételeket visszahallgató munkatársak előtt minden alkalommal azonosításra került a hívó fél, mivel a rögzített hívás mindig a személyazonosítással kezdődik, és többek között ez a nyilvánvaló körülmény is valótlanul jelent meg az\n\n17 Lásd az általános adatvédelmi rendelet 35. cikk (4) bekezdése szerint közzétett hatásvizsgálati lista 21. pont: https://www.naih.hu/hatasvizsgalati-lista érdekmérlegelés során, csak papíron létező garanciaként. (általános adatvédelmi rendelet 83. cikk (2) bekezdés d) pont)\n\n(xi) Az adatkezelés olyan személyes adatok rögzítésével és elemzésben felhasználásával járt, mint az érzelmi állapot, az érintett hangja, a trágár szóhasználat, amelyek mélyebben érintik az érintettek privát szféráját, mint egy technikai vagy kapcsolati adat, kezelésük kiemelt figyelmet igényel. (általános adatvédelmi rendelet 83. cikk (2) bekezdés g) pont)\n\n## (xii) A Hatóság csak az Előzmény Ügyben tett panaszbejelentés útján szerzett tudomást az\n\nÜgyfél által végzett, a jelen eljárásban vizsgált adatkezelésről, amely késedelmes tudomásszerzés az Ügyfél fenti (51) bekezdésben részletezett mulasztásából adódott. (általános adatvédelmi rendelet 83. cikk (2) bekezdés h) pont)\n\n## (xiii) Az Ügyfél 2020-as összesített éves nettó árbevétele 81 002 000 000 Ft volt, emiatt egy kis\n\nösszegű bírságnak semmilyen büntető vagy prevenciós hatása nem lenne sem egyedi, sem generális vonatkozásban. (általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont)\n\n## (xiv) Az Ügyfél az adatkezelést kifejezetten közvetett profitszerzési céllal, a belső\n\nköltségcsökkentés és az ügyfelek megtartásával elérhető nyereség érdekében végezte, és ennek jogellenes mértékben alárendelt minden más, jogszabály alapján kötelezően figyelembe veendő szempontot. (általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont)\n\n## (109) A fentiek alapján a Hatóság az adott ügy összes körülménye alapján a rendelkező rész szerinti\n\nösszegű adatvédelmi bírság kiszabását tartotta az eset összes körülménye alapján arányosnak és visszatartó erejűnek.\n\n## IV. Egyéb kérdések\n\n(110) Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Az Infotv. 38. § (2a) bekezdése szerint az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. A Hatóság illetékessége Magyarország egész területére kiterjed.\n\n## (111) Az Ákr. 112. § (1) bekezdése, 114. § (1) bekezdése és 116. § (1) bekezdése alapján a\n\nhatározattal szemben közigazgatási per útján van helye jogorvoslatnak.\n\n* * *\n\n## (112) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a\n\ntovábbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdése szerint a törvényszék előtti közigazgatási perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (113) A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi CXXX. törvény 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul.\n\n## (114) A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény\n\n(továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.\n\n## (115) Ha az előírt kötelezettségek teljesítését az Ügyfél megfelelő módon nem igazolja, a Hatóság\n\núgy tekinti, hogy a kötelezettségeket határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha az Ügyfél a Hatóság végleges döntésében foglalt kötelezésének nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. § -a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2022. február 8.\n\nDr. Péterfalvi Attila elnök c. egyetemi tanára","changes":[{"id":834,"doc_id":10571,"v_from":11253,"v_to":14659,"detected_at":"2026-09-17 02:24:27","added":16,"removed":16,"summary":"--- \n+++ \n-Budapest Bank Zrt.-vel szemben (székhely: 1038 Budapest, Váci út 193.; a továbbiakban: Ügyfél, vagy egyes idézett szövegekben: Bank)az Ügyféltelefonos ügyfélszolgálata által folytatott telefonbeszélgetések hangfelvételeivel összefüggő, 2018. május 25. és a jelen eljárás megindításának napja között az Ügyfél által folytatott adatkezelési gyakorlat tárgyában 2021. szeptember 22. napján hivatalból adatvédelmi hatósági eljárást indított. A Hatóság az adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:\n-\n-## I. A Hatóság hivatalbólmegállapítja, hogy az Ügyfél vizsgált hangfelvétel-elemzéssel kapcsolatos\n+Budapest Bank Zrt.-vel szemben (székhely: 1038 Budapest, Váci út 193.; a továbbiakban: Ügyfél, vagy egyes idézett szövegekben: Bank) az Ügyfél telefonos ügyfélszolgálata által folytatott telefonbeszélgetések hangfelvételeivel összefüggő, 2018. május 25. és a jelen eljárás megindításának napja között az Ügyfél által folytatott adatkezelési gyakorlat tárgyában 2021. szeptember 22. napján hivatalból adatvédelmi hatósági eljárást indított. A Hatóság az adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:\n+\n+## I. A Hatóság hivatalból megállapítja, hogy az Ügyfél vizsgált hangfelvétel-elemzéssel kapcsolatos\n-## (i)„Ennek alapján megállapítható, hogy az alkalmazás felhasználásának fő célja a hívásidő\n+## (i) „Ennek alapján megállapítható, hogy az alkalmazás felhasználásának fő célja a hívásidő\n-## (ii)„A szűrés eredményét bármikor felülbírálhatja a behallgatást végző munkatárs. A Szoftver\n+## (ii) „A szűrés eredményét bármikor felülbírálhatja a behallgatást végző munkatárs. A Szoftver\n-A Szoftver rendszerében a hanganalitikai szoftver segítségével az […] ([…],[…]) és Panaszkezelésen lehetőség van a […]és a […] hangrögzítő rendszerek hívásainak visszahallgatására és azok elemzésére. Továbbá lehetőség van a behajtás és a […] indított és fogadott hívások monitorálása és kategorizálása különböző minőségi szempontok alapján, amely eredmények segítségével ügyfél specifikus akciókat és visszajelzéseket fogalmazhatunk meg a minőségi ügyfélkiszolgálás, a behajtás és a sales hatékonyság növelés céljából. Az egyes funkcionális management tagok a teljes területükre, területenként ([…]), csoportonként, ügyintézőnként kaphatnak eddig nem mért adatokat a minőséget illetően.\n+A Szoftver rendszerében a hanganalitikai szoftver segítségével az […] ([…],[…]) és Panaszkezelésen lehetőség van a […] és a […] hangrögzítő rendszerek hívásainak visszahallgatására és azok elemzésére. Továbbá lehetőség van a behajtás és a […] indított és fogadott hívások monitorálása és kategorizálása különböző minőségi szempontok alapján, amely eredmények segítségével ügyfél specifikus akciókat és visszajelzéseket fogalmazhatunk meg a minőségi ügyfélkiszolgálás, a behajtás és a sales hatékonyság növelés céljából. Az egyes funkcionális management tagok a teljes területükre, területenként ([…]), csoportonként, ügyintézőnként kaphatnak eddig nem mért adatokat a minőséget illetően.\n-(6) A fentiekre tekintettel a Hatóság az Infotv. 55. § (1) bekezdés a) pont ab) alpontja alapján 2021. szeptember 23. napján lezárta az Előzmény Ügyet, és hivatalból megindította a jelen adatvédelmi hatósági eljárást az Ügyféltelefonos ügyfélszolgálata által folytatott telefonbeszélgetések hangfelvételeivel összefüggő, 2018. május 25. és a jelen eljárás megindításának napja között az Ügyfél által folytatott adatkezelési gyakorlat tárgyában.\n+(6) A fentiekre tekintettel a Hatóság az Infotv. 55. § (1) bekezdés a) pont ab) alpontja alapján 2021. szeptember 23. napján lezárta az Előzmény Ügyet, és hivatalból megindította a jelen adatvédelmi hatósági eljárást az Ügyfél telefonos ügyfélszolgálata által folytatott telefonbeszélgetések hangfelvételeivel összefüggő, 2018. május 25. és a jelen eljárás megindításának napja között az Ügyfél által folytatott adatkezelési gyakorlat tárgyában.\n-## 1https://curia.europa.eu/juris/document/document.jsf?docid=184668&doclang=HU&cid=1095511\n+## 1 http"}]}