1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu

Ügyszám: NAIH-4375-2/2024. Előzmény: NAIH-3942/2023.

## Tárgy: kérelmet elutasító határozat

és eljárást megszüntető végzés

## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] kérelmező (a továbbiakban: Kérelmező) 2023. március 10. napján benyújtott kérelme alapján az

## […]-vel (a továbbiakban: Kérelmezett) szemben indult adatvédelmi hatósági eljárásban az alábbi

döntéseket hozza:

## I. A Hatóság a határozatában a Kérelmező

érintetti kérelmei Kérelmezett általi teljesítésének kötelezésére, továbbá bankkártyájának Kérelmező lakcímére történő postázásával összefüggő jogellenes adatkezelés megállapítására irányuló kérelmét elutasítja.

## II. A Hatóság a végzésében a kérelemnek

a Kérelmező személyes adatainak aláírópad segítségével történő rögzítésének, és az így rögzített személyes adatok tárolásának, továbbá a Kérelmező személyazonosságának igazolására benyújtott és jogszabályi kötelezettség alapján arról készült másolat, a Kérelmező Központi Hitelinformációs Rendszerrel kapcsolatos nyilatkozatával összefüggő adatkezelés jogellenességének megállapítására irányuló részében, továbbá - a kártérítés megállapítására irányuló részében, valamint abban a részében, hogy a Kérelmező által küldött, a Hatósághoz 2022. november 2. napján érkezett beadványában feltett kérdéseket a Hatóság továbbítsa a Kérelmezetthez, az eljárást megszünteti. A jelen határozattal és végzéssel szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a határozattal szemben keresetlevélben jelezni kell. Az eljárást megszüntető végzéssel szemben benyújtott keresetlevelet a Fővárosi Törvényszék egyszerűsített perben, tárgyaláson kívül bírálja el. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a

1 A közigazgatási per kezdeményezésére a NAIH_KO1 elnevezésű űrlap szolgál: NAIH KO1 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. Az űrlap hozzáférhető és letölthető a Hatóság honlapjáról: https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata.

per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

## INDOKOLÁS

## I. Az eljárás menete

(1) A Kérelmező az információs önrendelkezési jogról és az információszabadságról szóló 2011.

évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján 2022. október 20. napján adatvédelmi hatósági eljárás kezdeményezése iránti kérelmet terjesztett elő a Kérelmezettel szemben, mely kérelmét 2022. november 2.napján kiegészítette. (2) A Hatóság a Kérelmezőt az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 44. § alapján hiánypótlásra szólította fel, melynek a Kérelmező határidőben, 2023. március 10. napján részben tett eleget. (3) A Hatóság végzésében nyilatkozattételre hívta fel a Kérelmezettet a tényállás tisztázása érdekében, az Ákr. 63. §-ra hivatkozással, melyre a Kérelmezett válasza 2023. május 04. napján érkezett meg a Hatósághoz (NAIH-3942-4/2023.sz. iratban). (4) A Hatóság a Kérelmezettet másodszor is nyilatkozattételre hívta fel a tényállás tisztázása érdekében, mivel további körülmények megvizsgálása vált indokolttá. A Kérelmezett a Hatóság második felhívására is határidőben, 2023. június 23. napján megküldte a nyilatkozatát a Hatósághoz (NAIH-3942-6/2023. sz. iratban). (5) A Hatóság a Kérelmezőt és a Kérelmezettet arról értesítette, hogy a bizonyítási eljárás befejeződött, és felhívta a figyelmüket arra, hogy nyilatkozatot vagy észrevételt tehetnek, a Kérelmezett és a Kérelmező is élt az iratbetekintési jogával, nyilatkozattételi jogával azonban csak a Kérelmező élt.

## II. Tényállás tisztázása

II.1. A Kérelmező kérelme és a hiánypótlása (NAIH-8098-1/2022., NAIH-8098-2/2022., NAIH- 8098-4/2022., NAIH-3942-2/2023. sz. iratban):

(6) A Kérelmező 2022. október 20. napján kérelmet nyújtott be a Hatósághoz, amelyben a

Kérelmezett adatkezelését kifogásolta. A Kérelmező a kérelmében előadta, hogy egy kézzel írt kérelmet (a továbbiakban: Kérvény) nyújtott be személyesen a Kérelmezett egyik fiókjában ([…]). A Kérvény a Kérelmező telefonszáma és - a Kérelmezőt idézve – a „fizikai cím jellegű” adatainak kezelésével volt kapcsolatban, továbbá a Kérelmező kérte a Kérelmezettől, hogy a kétfaktoros azonosításhoz generált kódot is titkosított e-mailben küldjék ki, ne a telefonszámára. A Kérelmező előadta, hogy azért nem nyújtotta be e-mailben a Kérvényt a Kérelmezetthez, mert attól tartott, hogy arra biztosan nem titkosított e-mailben fog válaszolni. A Kérelmező arról nem tudott nyilatkozni, hogy postai úton esetleg kapott-e választ a Kérelmezettől, de ő nem is így kérte, és ha kapott postai úton választ, akkor az „rossz kezekbe került”. A Kérelmező előadta, hogy a Kérvény benyújtásakor arról egy lepecsételt fénymásolatot kapott. A Kérelmező azonban a lepecsételt irat másolatát nem nyújtotta be a Hatósághoz, hanem a Kérvény szövegét gépelt formában tartalmazta. (7) A Kérelmező előadta, hogy a Kérelmezett lakossági ügyfele, bankszámlával és bankkártyával rendelkezik. (8) A Kérelmező 2022. november 2. napján beadványához kiegészítést küldött, amelyben kérte a

Hatóságot, hogy továbbítsa kérelmét a Kérelmezett felé és „ügyelje fel, hogy a Bank ezeket is dolgozza fel!” (9) A Kérelmező a következő kérésekkel fordult a Hatósághoz a 2022. október 20. napján érkezett kérelme alapján:

a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: GDPR és általános adatvédelmi rendelet) 83. cikke szerinti bírság kiszabása, (1. sz. kérelem) a Hatóság kötelezze a Kérelmezettet a Kérvény tartalmának megfelelő „GDPR alapú kérések” végrehajtására, (2.sz. kérelem) a Kérelmezett nyújtson tájékoztatást arról, hogy az elektronikus aláírópadok milyen (biometrikus) adatokat gyűjtenek be, továbbá kérte az ezekről történő tájékoztatás megjelenítését a Bank adatkezelési tájékoztatóiban, (3. sz. kérelem) a Hatóság derítse ki, hogy a KHR nyilatkozat aláírása miért akkor történt, amikor a Kérelmező a bankkártyáját letiltatta, illetve új bankkártyát igényelt, (4. sz. kérelem) a Hatóság tiltsa el a Kérelmezettet az elektronikus aláírópadok használatától, azon eset kivételével, amikor az ügyfél annak használatát kifejezetten kéri, (5. sz. kérelem) az általános adatvédelmi rendelet 82. cikk (1) bekezdése alapján 100.000 Ft kártérítés kifizetését kéri a Kérelmezettől a „technikai vádakkal való előállásba (riport előállítása, beküldése) és a korrektív adminisztratív lépések megtételébe (pl. kipostázott bankkártya letiltása) befektetett idő” miatt, (6.sz. kérelem) a Hatóság vizsgálja meg az aláírópadok esetében mit jelent az auditált kifejezés, „tekintettel arra, hogy ilyen állítások milyen biztonsági hiedelmet válthatnak ki az ügyfelekből”, (7.sz. kérelem) - a Hatóság folytasson le adatvédelmi hatósági eljárást a Kérelmezett személyi igazolvány és lakcímkártya fénymásolási gyakorlatának a 2017. évi LIII. törvény a pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló törvény hatályba lépése előtti időszakra vonatkozóan, tekintettel arra, hogy a Kérelmezett a Kérelmező személyi igazolványát és lakcímkártyáját lefénymásolta, (8. sz. kérelem) - annak vizsgálata, hogy a Kérelmezett az eSzemélyi-csipekkel – a Kérelmező szavait használva – „nem bűvölődik”-e, (9. sz. kérelem) - annak vizsgálata, hogy „nem számít-e súlyos adatvédelmi mulasztásnak”, hogy a bankkártya száma fel van tüntetve a bankkártyán, továbbá a Hatóság szólítsa fel a Kérelmezettet arra, hogy ne postázza a bankkártyát, és ne használja a postacímét. (10. sz.

## kérelem)

(10) A Kérelmező a Hatósághoz a 2022. november 2. napján érkezett beadványában kérte a

## Hatóságot, hogy továbbítsa kérelmét a Kérelmezett felé (11. kérelem), melyben a

következő kérdéseket tette fel:

- Elfogadható-e biztonsági szempontból a felhasználói jelszavak 8 karakterben történő maximalizálása? - Kérte, hogy a Hatóság ellenőrizze, hogy a Kérelmezett lefolytatott-e adatvédelmi hatásvizsgálatot az elektronikus aláírópadok használatával kapcsolatban, a GDPR 35. cikkének megfelelően. - Kérte a Kérelmezettől, hogy a GDPR 15. cikk (1)-(3) bekezdéseinek megfelelő tájékoztatást adja meg. - Élni kíván a GDPR 21. cikk (1)-(2) és (6) bekezdései szerinti tiltakozáshoz való jogával. - Kérte a Banktól a GDPR 19. cikk szerint a Kérelmezett és egyéb értesítendő „entitások” listáját. - Kérte a Kérelmezettel, a […] és partnereivel kapcsolatos, az őt érintő adatvédelmi incidensekről történő tájékoztatást.

(11) A Kérelmező a fentieken túl további kérelmeket is megfogalmazott, azonban azok a Hatóság megítélése szerint a Kérelmezett általános gyakorlatának vizsgálatára irányultak, továbbá a hivatkozott jogsértésekre vonatkozó állítások nem kerültek alátámasztásra. Emiatt a Hatóság a NAIH-3942-1/2023. sz. végzésében hiánypótlásra hívta fel a Kérelmezőt. (12) A Kérelmező a hiánypótlási nyilatkozatában megjelölte, hogy mely kérelmei vonatkoznak a

Kérelmezett általános gyakorlatára, és egy videófelvételt küldött, melyben az érintetti kérelme (törlési jog és tiltakozás a postázás célú felhasználással szemben), továbbá a Bank pecsétje is látható. (13) A „bankkártya rossz helyre való postázása”-ra és a 4. sz. kérelmében kifogásolt KHR nyilatkozatára vonatkozó kérelmével kapcsolatban nem adta elő a Kérelmező konkrétan, hogy milyen egyéni jogsérelem érte, továbbá nem is bizonyította, csak arra hivatkozott, hogy „független tanúval” bizonyított állítás, de sem a tanú nevét, sem elérhetőségét nem hozta a Hatóság tudomására. (14) A Kérelmező az elektronikus aláírópadokkal kapcsolatban is az aggályait fejezte ki, és ezzel összefüggésben előadta, hogy 2022.09.19-én ügyet intézett a Kérelmezettnél. Ekkor több dokumentumot írt alá az aláírópadon, azonban azokat nem olvasta végig, helyette inkább olyan kérdéseket tett fel a Kérelmező, amiből azt lehet megítélni, hogy ennek használata opcionális-e. A Kérelmező úgy érezte, hogy a Kérelmezett ügyintézője nem biztos, hogy értette a kérdéseit, de további kérdések után az ügyintéző egyértelmű igent mondott, és azt is elmondta, hogy az aláírópad például a toll állását is rögzíti. A Kérelmező állítása szerint másnap utánanézett ennek az adatkezelésnek, és a Kérelmezett honlapján ([…]) talált ezzel kapcsolatban tájékoztatást, ami szerint az aláírópad használata önkéntes. A Kérelmező szerint az aláírópadok használata azért aggályos, mert biometrikus adatokat gyűjtenek az alkalmazásuk során.

## II.2. A Kérelmezett nyilatkozata

(15) A hatósági eljárásban az Ákr. 62. § alapján tényállástisztázás céljából nyilatkozattételre felhívott Kérelmezett a 2023. május 4. napján érkezett nyilatkozatában az alábbiakat adta elő. (16) A Kérelmező 2022. január 28-án kézzel írt kérelmet adott le a Kérelmezett […] fiókjában. A kérelemben a Kérelmező nem tüntette fel a nevén kívül semmilyen azonosító adatát. A bankfiók munkatársai szerint a Kérelmező zavart volt az ügyintézés során, beazonosítani nem engedte magát, így csupán a kézzel írt kérelem állt a Kérelmezett rendelkezésére. A kérelem alapján a bankfiók panaszt rögzített […] számon […] névvel. A Kérelmezett Panaszkezelési Osztálya felismerte, hogy a kérelem adatvédelmi tárgyú, így megkereste az Adatvédelmi Osztályt. A Kérelmezett nem tudta pusztán név alapján beazonosítani a Kérelmezőt. Tekintettel arra, hogy a Kérelmező beazonosítatlan maradt, így a Kérelmezett az ügyben eljárni, választ adni nem tudott. Ennek oka az volt, hogy […] nevű ügyfele nincs a Kérelmezettnek, de a Kérelmező kézírását a beadvány kivizsgálásában részt vevő valamennyi személy így olvasta. Mivel olvashatatlan volt a Kérelmező kézzel írt neve, más adatot nem adott meg, beazonosítani nem engedte magát, így a Kérelmezett nem tudott reagálni a beadványra. (17) A Kérelmezett által másolatban megküldött, jelen határozat (16) bekezdésében részletezett beadvány a Kérelmező által említett, jelen határozat (6) bekezdésében Kérvényként hivatkozott kérelem szerint a Kérelmező kérte a telefonszáma törlését, illetve ennek kezelésére adott hozzájárulását vonta vissza, továbbá tájékoztatta a Kérelmezettet, hogy ezen telefonszámadata már nem is létezik. A Kérelmező továbbá tiltakozott a postacíme (lakcíme) kezelése ellen, mivel véleménye szerint ezen típusú postázás nem biztonságos. Ezentúl a Kérelmező kérte „ […] partnereinek és egyéb értesítendő entitásainak a listáját”. (18) 2023. március 9. napján a Kérelmezett újabb panaszt vett nyilvántartásba ([…]), amelyben a

Kérelmező kérte, hogy 2022. július 8. napján a […] fiókban rögzített, személyes adatait tartalmazó adatlapját a Kérelmezett küldje meg neki. A Kérelmező adatai helyesek voltak, a Kérelmezett be tudta azonosítani, válaszként a kért dokumentumokat a Kérelmezett megküldte a Kérelmezőnek. (19) A Kérelmezett arról nyilatkozott, hogy a Kérelmező által a Hatósághoz videofelvételben küldött érintetti kérelemről nincs tudomása.

(20) A Kérelmezett másolatban csatolta a Kérelmező kézzel írt levele, továbbá 2 db reklamációs jegyzőkönyv ([…]) és a banki válasz ([…]) másolatát. (21) A Hatóság a 2023. június 16. napján kelt végzésében ismét nyilatkozattételre hívta fel a

Kérelmezettet, mivel az adatkezelő válasza alapján a Hatóság úgy ítélte meg, ezen felhívására a Kérelmezett válasza 2023. június 23. napján érkezett meg a Hatósághoz. A Kérelmezett az alábbiakat nyilatkozta. (22) A Kérelmezett nem vesz fel jegyzőkönyvet arról, ha az ügyfél nem engedi magát azonosítani, arra nincs szüksége. (23) A kérelemben szereplő PGP kulcson keresztül a Kérelmezett nem próbálta meg az azonosítást elvégezni. A Kérelmező által kézzel írt nyilvános kulcs több betűje összetéveszthető, egy olvashatatlan karaktersorozat. A Kérelmezett úgy ítélte meg, hogy előzetes azonosítás nélkül adatvédelmi kockázatot jelent a Kérelmező kézzel írt karaktersorozat alapján történő megkeresése. Ezt támasztja alá az, hogy a Kérelmezett a Kérelmező kézzel írt nevét sem tudta elolvasni. (24) A Kérelmezettnek a néven kívül további adatokra van szüksége az azonosítás elvégzéséhez.

A Kérelmezett a PGP technológiát nem alkalmazza. II.3. A Kérelmező nyilatkozata a bizonyítási eljárás befejezéséről szóló tájékoztatás, valamint az iratbetekintés után (NAIH-3942-12/2023. és NAIH-3942-12/2023. sz. iratok)

(25) A Kérelmező nem ért egyet a Kérelmezett azon állításával, hogy a Kérelmező lemondott az

AES technológiájú titkosítás alkalmazásáról. A Kérelmező szerint ez az állítás azért nem fogadható el, mert a Kérelmező ezidáig nem is tudta, hogy a Kérelmezett ilyen titkosítást alkalmaz. A Kérelmező a kétfaktoros azonosításról mondott le, az ellen tiltakozott. Ráadásul a Kérelmező szerint mivel a Kérelmezett arra hivatkozott, hogy a Kérelmező csak leadott egy papírt és távozott, akkor felmerül a kérdés, hogyan lehetett szó titkosítási technológiákról, tehát hogyan mondhatott le róla a Kérelmező. (26) A Kérelmező továbbá előadta, hogy a Kérvény egy olyan PGP kulcsot tartalmaz, amiből az email címe visszafejthető, illetve kiolvasható, tehát a Kérelmezett azon állítása, hogy nem tudta azonosítani a Kérelmezőt, emiatt sem elfogadható. (27) A Hatóság a NAIH-3942-3/2023. sz. végzésében a Kérelmezőnek csak az azonosító adatait tüntette fel, a Kérelmező által benyújtott kérelem benyújtásának dátumát nem. A Kérelmezett ennek ellenére a válasznyilatkozatában hivatkozott a Kérelmező által 2022.01.28-án benyújtott kérelemre, ráadásul úgy, hogy a Kérelmezőnek volt egy másik kérelme is (ami időrendben a régebbi volt, azaz 2023.03.09-ei, valamint tartalmazta a Kérelmező azonosító adatait), és úgy, hogy a Hatóság nem is többes számban hivatkozott a kérelmekre. (28) A Kérelmező kifogásolta, hogy a Hatóság azt írta a bizonyítási eljárás befejezéséről szóló végzésében, hogy a Kérelmező sem a tanú nevét, sem az elérhetőségét nem hozta a Hatóság tudomására. A Kérelmező arra hivatkozott, hogy a tanú neve és sz.ig.száma rajta van a tanúpapír alján ([…] csatolmányai). Ez a tanú egyrészt a Kérelmező bankkártyájának állandó lakcímére történő postázásával kapcsolatban (ami ellen a Kérelmező tiltakozott) tanúskodott, másrészt az elektronikus aláírópadokkal kapcsolatos gyakorlatról is. (29) A Kérelmező arra hivatkozott, hogy a Kérelmezett valótlanságot állít azzal kapcsolatban, hogy nem engedte magát beazonosítani, ugyanis a Kérelmező bemutatta a személyi igazolványát a Kérelmezett ügyintézőjének. Ezt a Kérelmező állítása szerint tanúval is tudja bizonyítani, ugyanis a kérelem leadásakor magával vitt egy tanút. A Kérelmező arra is hivatkozott, hogy az, hogy a Kérelmezett a személyi igazolvány bemutatása után a személyazonosság ellenőrzésével kapcsolatban mit rögzített, nem a Kérelmező felelőssége.

## II.4. A Kérelmezett nyilvánosan elérhető üzletszabályzata ([…])

(30) A hivatkozott üzletszabályzat a lakossági bankszámlákról, betétekről és a folyószámlahitelekről II.4.2.2.a.pontja alapján a Kérelmezett kezeli az érintettek levelezési címét kapcsolattartási célból.

## II.5. A Kérelmezett nyilvánosan elérhető adatkezelési szabályzata ([…])

(31) A hivatkozott adatkezelési szabályzat 4.2. és 5.1. pontjaiból levezethető, hogy a Kérelmezett a GDPR 6. cikk (1) bekezdés b) pontjára hivatkozással kezeli a Kérelmező levelezési címét, mivel az a szerződéskötés és -teljesítés során a Kérelmezett birtokába jutott, és azt kapcsolattartási célból kezeli.

## III. Alkalmazott jogszabályi rendelkezések

(32) A GDPR 2. cikk (1) bekezdése alapján a GDPR-t kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. A GDPR hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint a GDPR-t az ott megjelölt kiegészítésekkel kell alkalmazni. (33) A GDPR 4. cikk 1. pont alapján „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. (34) A GDPR 4. cikk 2. pontja alapján „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés. (35) A GDPR 4. cikk 7. pontja alapján: 7. „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja; (36) A GDPR 4. cikk 14. pontja alapján a „biometrikus adat”: egy természetes személy testi, fiziológiai vagy viselkedési jellemzőire vonatkozó minden olyan sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, ilyen például az arckép vagy a daktiloszkópiai adat. (37) A GDPR 9. cikk (1) – (2) bekezdései alapján: (1) A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos. (2) Az (1) bekezdés nem alkalmazandó abban az esetben, ha: a) az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával.

(38) A GDPR 12. cikk (1)- (6) bekezdései alapján:

(1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (2) Az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. (3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. (4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. (5) A 13. és 14. cikk alapján rendelkezésre bocsátott információkat és a 15-22. és 34. cikk alapján végzett minden tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy - különösen ismétlődő jellege miatt túlzó, az adatkezelő: - a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségek figyelembevételével észszerű összegű díjat számíthat fel, vagy - megtagadhatja a kérelem alapján történő intézkedést. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli. (6) A 11. cikk sérelme nélkül, ha az adatkezelőnek megalapozott kétségei vannak a 15-21. cikk szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti.

(39) A GDPR 16. cikk alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatkezelés célját, az érintett jogosult arra, hogy kérje a hiányos személyes adatok - egyebek mellett kiegészítő nyilatkozat útján történő - kiegészítését. (40) A GDPR 17. cikk alapján: (1) Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:

a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték;

b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja;

c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezelés ellen, és * nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen;

d) a személyes adatokat jogellenesen kezelték; e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell;

f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.

(2) Ha az adatkezelő nyilvánosságra hozta a személyes adatot, és az (1) bekezdés értelmében azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az észszerűen elvárható lépéseket - ideértve technikai intézkedéseket - annak érdekében, hogy tájékoztassa az adatokat kezelő adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését. (3) Az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:

a) a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából;

b) a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából;

c) a 9. cikk (2) bekezdése h) és i) pontjának, valamint a 9. cikk (3) bekezdésének megfelelően a népegészségügy területét érintő közérdek alapján;

d) a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben az (1) bekezdésben említett jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez. (41) A GDPR 21. cikk alapján: (1) Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.

(2) Ha a személyes adatok kezelése közvetlen üzletszerzés érdekében történik, az érintett jogosult arra, hogy bármikor tiltakozzon a rá vonatkozó személyes adatok e célból történő kezelése ellen, ideértve a profilalkotást is, amennyiben az a közvetlen üzletszerzéshez kapcsolódik. (3) Ha az érintett tiltakozik a személyes adatok közvetlen üzletszerzés érdekében történő kezelése ellen, akkor a személyes adatok a továbbiakban e célból nem kezelhetők. (4) Az (1) és (2) bekezdésben említett jogra legkésőbb az érintettel való első kapcsolatfelvétel során kifejezetten fel kell hívni annak figyelmét, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni. (5) Az információs társadalommal összefüggő szolgáltatások igénybevételéhez kapcsolódóan és a 2002/58/EK irányelvtől eltérve az érintett a tiltakozáshoz való jogot műszaki előírásokon alapuló automatizált eszközökkel is gyakorolhatja. (6) Ha a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően tudományos és történelmi kutatási célból vagy statisztikai célból kerül sor, az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból tiltakozhasson a rá vonatkozó személyes adatok kezelése ellen, kivéve, ha az adatkezelésre közérdekű okból végzett feladat végrehajtása érdekében van szükség. (42) A GDPR 58. cikk (2) bekezdés b) és d) pontja alapján a felügyeleti hatóság korrekciós hatáskörében eljárva: a) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit. b) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel.

(43) A GDPR 77. cikk (1) bekezdés alapján az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál - különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban -, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.

(44) Az Infotv. 38. § (2b) bekezdés alapján a Hatóságnak a (2) bekezdésben a személyes adatok tekintetében meghatározott feladatköre a bírósági döntés meghozatalára irányuló peres és nemperes eljárásokban, az azokra vonatkozó előírások alapján a bíróság által végzett adatkezelési műveletek vonatkozásában nem terjed ki a (3) bekezdésben meghatározott hatáskörök gyakorlására.

(45) Az Infotv. 60. § (1) bekezdés alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. (46) Az Infotv. 60. § (5) bekezdés alapján a (2) bekezdésben meghatározott esetben a kérelem az általános közigazgatási rendtartásról szóló törvényben meghatározottakon túl tartalmazza a) a feltételezett jogsértés megjelölését, b) a feltételezett jogsértést megvalósító konkrét magatartás vagy állapot leírását, c) a feltételezett jogsértést megvalósító adatkezelő, illetve adatfeldolgozó azonosításához szükséges, a kérelmező rendelkezésére álló adatokat, d) a feltételezett jogsértéssel kapcsolatos állításokat alátámasztó tényeket és azok bizonyítékait, továbbá e) a megjelölt jogsértés orvoslása iránti döntésre vonatkozó határozott kérelmet. (47) Az Infotv. 71. § (1) bekezdés alapján a Hatóság eljárása során - az annak lefolytatásához szükséges mértékben és ideig - kezelheti mindazon személyes adatokat, valamint törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatokat, amelyek az eljárással összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. (48) Az Infotv. 75/A. § alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6)

bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. (49) Az Ákr. 17. §-a szerint a hatóság a hatáskörét és illetékességét az eljárás minden szakaszában hivatalból vizsgálja. Ha valamelyik hiányát észleli, és kétséget kizáróan megállapítható az ügyben illetékességgel rendelkező hatóság, az ügyet átteszi, ennek hiányában a kérelmet visszautasítja vagy az eljárást megszünteti. (50) Az Ákr. 35. § (1) bekezdés alapján a kérelem az ügyfél olyan nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében. (51) Az Ákr. 47. § (1) bekezdés a) pont alapján a hatóság az eljárást megszünteti, ha a kérelem visszautasításának lett volna helye, annak oka azonban az eljárás megindítását követően jutott a hatóság tudomására. (52) Az Ákr. 46. § (1) bekezdés a) pont alapján a hatóság a kérelmet visszautasítja, ha az eljárás megindításának jogszabályban meghatározott feltétele hiányzik, és e törvény ahhoz más jogkövetkezményt nem fűz. (53) Az Ákr. 62. § (4) bekezdés alapján a hatóság szabadon választja meg a bizonyítás módját, és a rendelkezésre álló bizonyítékokat szabad meggyőződése szerint értékeli. (54) A pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló

2017. évi LIII. törvény (a továbbiakban: Pmt.) 7. § (8) bekezdés a)-b) pontjai alapján: A pénzmosás és a terrorizmus finanszírozása megelőzése és megakadályozása, az e törvényben meghatározott kötelezettségek megfelelő teljesítése, az ügyfél-átvilágítási kötelezettség teljes körű végrehajtása, valamint a felügyeleti tevékenység hatékony ellátása céljából a szolgáltató a személyazonosság igazoló ellenőrzése érdekében a) a b) pontban meghatározott eset kivételével, a (2) bekezdésben meghatározott adatokat tartalmazó, a (3) bekezdés alapján bemutatott okiratról – ideértve az okiratban feltüntetett valamennyi személyes adatot –, a lakcímet igazoló hatósági igazolvány személyi azonosítót igazoló oldala kivételével másolatot készít, vagy b) a (2) bekezdésben meghatározott adatok vonatkozásában a (3) bekezdés alapján elvégzett közhiteles nyilvántartásból történő adatlekérdezés eredményét rögzíti és nyilvántartja. (55) A Magyar Nemzeti Bankról szóló 2013. évi CXXXIX. törvény (a továbbiakban: MNB tv.) 39. § (1) bekezdés c) pontja alapján, ha törvény eltérően nem rendelkezik, az MNB a 4. § (9) bekezdésben meghatározott feladatkörében ellátja a hitelintézetekről és a pénzügyi vállalkozásokról szóló törvény hatálya alá tartozó szervezetek, személyek és tevékenységek felügyeletét.

## IV. Döntés:

## IV.1. A Kérelmező Kérelmezett által tárolt személyes adatai, adatkezelői minőség és a vizsgálat tárgya

(56) A Kérelmező azonosító adatai, a Kérelmező bankszámlájával összefüggő adatok, információk, a Kérvény tartalma az általános adatvédelmi rendelet 4. cikk 1. pontja szerint a Kérelmező személyes adatainak minősülnek, amely adatoknak a tárolása, felhasználása, továbbítása az általános adatvédelmi rendelet 4. cikk 2. pontja szerinti adatkezelésnek minősül. (57) A fentiek alapján tehát a Hatóság álláspontja, hogy a Kérelmezett a Kérelmező személyes adatainak kezelése vonatkozásában a GDPR 4. cikk 7. pont szerinti önálló adatkezelőnek tekinthető, mivel önálló adatkezelési célja van és az adatkezelési körülményekkel kapcsolatos érdemi döntéseket maga határozza meg.

## IV.2. A Kérvény (2. sz. kérelem)

(58) Az eljárás tárgya e tekintetben annak vizsgálata volt, hogy a Kérvény az általános adatvédelmi rendeletben írtaknak megfelelően került-e teljesítésre/megválaszolásra a Kérelmezett részéről, továbbá a teljesítés elmaradását megfelelően indokolta-e a Kérelmezett. (59) A Kérvény a Kérelmező GDPR 17. cikk (1) bekezdés b) szerinti törlési kérelmét, továbbá

GDPR 21. cikk szerinti tiltakozáshoz való jogának gyakorlását tartalmazza, továbbá hivatkozik a GDPR 16. cikkére, és ezzel összefüggésben arra, hogy a lakcíme nem postázási cím, arra ne küldjenek küldeményt, mert nem biztonságos. (60) Az érintettet a GDPR 17. cikk (1) bekezdés b) pont alapján megilleti az a jog, hogy a személyes adatainak törlését kérje az adatkezelőtől, ha visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja. Emellett az érintettnek joga van ahhoz, hogy a GDPR 21. cikke alapján tiltakozzon a személyes adatai kezelése ellen, valamint a GDPR 16. cikk alapján a személyes adatai helyesbítését kérheti. (61) Az adatkezelő az érintetti kérelmeket, így a fenti bekezdésben említett érintetti jogok gyakorlására irányuló kérelmeket a GDPR 12. cikk rendelkezéseinek megfelelően köteles teljesíteni vagy a teljesítés megtagadását indokolni. (62) A GDPR 12. cikk (2) bekezdése rendelkezik arról, hogy az adatkezelőnek elő kell segíteni az érintetti jog gyakorlását, és ezen jogok gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. A jelen esetben a Kérelmezett arra hivatkozott, hogy nem tudta azonosítani a Kérelmezőt, mivel utóbbi neve nem volt olvasható, ezért nem válaszolt a Kérelmező érintetti kérelmére. A Hatóság álláspontja szerint ez amiatt elfogadható, mert a Kérelmező Kérelmezetthez benyújtott érintetti kérelme a Kérelmező nem egyértelműen kiolvasható nevén kívül más személyes adatot nem tartalmazott. A Kérvény nem tartalmazta a Kérelmező azonosító adatait, bankszámlaszámát vagy egyéb banki azonosítóját, továbbá e-mail címét, továbbá postai címét sem, ami alapján a Kérelmezett egyértelműen beazonosíthatta volna a Kérelmezőt. A Hatóság nem osztja a Kérelmező azon álláspontját, mely szerint nem okozhatott olyan nagy nehézséget a Kérelmező azonosítása, ha a Kérelmezett a Hatóság megkeresésére már be tudta azonosítani a Kérelmezőt, annak ellenére, hogy a Hatóság a NAIH-3942-3/2023. számú felhívásában nem írta meg, hogy mikor nyújtotta be a Kérvényt, melyre nem kapott választ. A Hatóság ezzel azért nem ért egyet, mert a Hatóság a Kérelmezettnek írt felhívásában leírta az érintetti kérelem benyújtásának módját, időpontját, körülményeit, amivel a Kérelmezett már egyértelműen azonosítani tudta, hogy kihez kapcsolódik az érintetti kérelem, amelynek a benyújtóját a Kérelmezett a korábbiakban nem tudta azonosítani. A Hatóság elfogadta a Kérelmezett azon érvelését, hogy a Kérelmező személyazonossága vonatkozásában kétsége támadt, és mivel a Kérelmező neve nem volt egyértelműen feltüntetve a Kérvényen, ráadásul elérhetőség sem, ezért a Kérelmezett nem tudta azonosítani a kérelmet benyújtó személyt, tehát a Kérelmezőt. (63) A Hatóság továbbá a Kérelmező azon hivatkozását, hogy a Kérelmezett a Kérvényen feltüntetett általános kulcs alapján is be tudta volna azonosítani, sem fogadta el. A hivatkozott titkosítási módszer - a PGP, vagyis "Pretty Good Privacy" - úgy működik, hogy ha pl. valaki szeretné, hogy titkosított levelet küldjenek neki, akkor megadja a saját nyilvános titkosító kulcsát (ez látható a Kérvényben), amivel a másik fél az elküldendő üzenetet titkosítja, majd elküldi az érintettnek az e-mail címére. Az így kapott, titkosított üzenetet ezután – az e-mail címzettje, és jó esetben csakis az e-mail címzettje- a saját privát kulcsával vissza tudja fejteni. Viszont az egész folyamathoz szükséges az is, hogy ezen a nyilvános kulcson kívül megkapja az e-mail küldője a másik fél e-mail címét, anélkül nem tud neki küldeni semmit. A Kérvényben tehát nem egy titkosított e-mail cím szerepel, hanem egy nyilvános titkosító kulcs, amivel önmagában nem lehet emailt küldeni, ha nem tudta a Kérelmezett, hogy mi az érintett e-mail címe, márpedig ez nem szerepelt a Kérvényben. (64) A Hatóság véleménye szerint az érintetti kérelem teljesítését nemcsak az adatkezelőnek kell elősegítenie, hanem az érintettnek is együttműködőnek kell lennie, és azonosítását lehetővé kell tennie. Az érintett együttműködése nélkül az adatkezelő a GDPR 12. cikk (2) bekezdésében említett kivételre hivatkozhat, tehát ezzel bizonyíthatja azt, hogy az érintettet nem állt módjában azonosítani. A jelen esetben a Kérelmező azonosítását különösen nehezítette az, hogy a rosszul olvasható nevén kívül semmilyen más adatát nem tüntette fel, amivel az azonosítását elősegíthette volna, tehát a Kérelmezett a GDPR 12. cikk (6) bekezdésben írtakat nem alkalmazhatta, ugyanis nem állt a módjában az, hogy a Kérelmező személyazonosságának megerősítéséhez további információkat kérjen. (65) A Hatóság a fentiek miatt azt állapította meg, hogy a Kérelmezett nem sértette meg a

Kérelmező érintetti kérelmei vonatkozásában a GDPR 12. cikk (1) – (4) bekezdése rendelkezéseit, ezért arra sem utasíthatja, hogy teljesítse a Kérelmező érintetti kérelmeit, így a Kérelmező erre vonatkozó kérelmét a Hatóság elutasította.

## IV.3. A Kérelmezett – aláírópadok, eSzemélyi chipek használatára és a személyazonosító igazolvány és lakcímigazolvány fénymásolására vonatkozó - általános gyakorlatának és a

Kérelmező személyes adatait érintő vizsgálatára irányuló kérelem (3.,5., 8. és 9. sz.

## kérelem)

(66) A Kérelmezett általános gyakorlatának vizsgálata a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen – a közérdek érvényesítésének körébe eső jogkövetkezmény alkalmazása tekintetében a Kérelmező nem minősül ügyfélnek az Ákr. 10. § (1) bekezdése alapján. Mivel ez a kérelem az Ákr. 35. § (1) bekezdésének sem felel meg, e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető. (67) A Kérelmező személyes adatai vonatkozásában az aláírópadok használatának vizsgálatára irányult eljárást a Hatóság megszünteti az alábbiak miatt. Az eljárást a Hatóság a Kérelmező kérelmére indította az általános adatvédelmi rendelet 77. cikk (1) bekezdése alapján és az Infotv. 60. § (1) bekezdés alapján. A kérelemre indult adatvédelmi hatósági eljárás olyan eljárás, mely eljárásban a Hatóság a Kérelmező saját személyes adatait érintő jogsértéseket vizsgálja, és dönt azok megalapozottságáról elsősorban a Kérelmező által előadott tények és bizonyítékok alapján. Ezen eljárás sajátossága, hogy nem a Hatóság akarata alapján kerül sor az eljárás megindítására, hanem az ügyfél saját elhatározásából fordul a Hatósághoz. A kérelemre induló eljárásban a Kérelmezőnek kell elsődlegesen az általa állított jogsértésekre vonatkozó tényeket, illetve a megfelelő bizonyítékokat előadni. Ezt erősíti meg az Infotv. 60. § (5) bekezdése, továbbá a GDPR 77. cikk (1) bekezdése is, mely szerint ilyen esetben „az érintett megítélése szerint” történt jogsértés. Az Infotv. 60. § (5) bekezdés d) pont szerint a kérelemnek feltételezett jogsértéssel kapcsolatos állításokat alátámasztó tényeket és azok bizonyítékait is tartalmaznia kell. A kérelemre induló eljárásban tehát a kérelem megalapozottságát szolgáló iratokat, egyéb bizonyítékokat elsődlegesen a Kérelmezőnek kell bemutatnia és a Hatóság nem kötelezhető a kérelem alátámasztására. (68) Az aláírópadok adott esetben valóban alkalmasak arra, hogy az általános adatvédelmi rendelet 4. cikk 14. pont szerinti biometrikus adatokat is rögzítsenek, úgy mint az írás sebessége, vagy az aláíró toll nyomása, stb. Emiatt az általános adatvédelmi rendelet 9. cikk (1) bekezdése és a (2) bekezdés a) pont alapján csak abban az esetben használhatók, ha ahhoz az érintett a hozzájárulását adja. (69) A Kérelmező azon nyilatkozata, hogy nem olvasta el az aláírópad használata előtt a dokumentumokat, csupán az ügyintézőt kérdezgette, nem elfogadható. Ugyanis a hozzájárulás, amit az érintett az aláírásával ad, az arra vonatkozik, ami az aláírt dokumentumokban szerepel, nem arra, amit szóban beszél meg az ügyintézővel. A Kérelmező csupán az aláírópadok használatával összefüggő feltételezéseit, aggályait sorolta fel, valamint arra hivatkozott, hogy miről beszélgetett az ügyintézővel, miközben hozzájárulását az általa át nem olvasott tájékoztatás elfogadásával adta meg, azzal kapcsolatban azonban nem adta elő az aggályait. (70) Mivel a Kérelmező kérelme a Kérelmezőt ért adatvédelmi jogsértést alátámasztó információt a hiánypótlási felhívás ellenére sem tartalmaz az aláírópadok használata vonatkozásában, az Infotv. 60. § (5) bekezdés d) pontja és az Ákr. 47. § (1) bekezdés a) pontja alapján a Hatóság a rendelkező részben foglaltak szerint megszüntette az eljárást a Kérelmezett Kérelmező személyes adatainak aláírópad segítségével történő rögzítése, és az így rögzített személyes adatok tárolása vonatkozásában.

(71) A Kérelmezettet az okmánymásolattal kapcsolatos adatkezelés vonatkozásában a Pmt.

rendelkezései kötik, tehát az a Pmt. 7. § (8) bekezdés a) pontjában meghatározott esetben köteles az ügyfelei személyazonosító igazolványát és lakcímigazolványának meghatározott oldalát lefénymásolni. Tekintettel arra, hogy a Kérelmező a Kérelmezett ezen adatkezelése vonatkozásában sem fogalmazott meg konkrét jogsértést, csupán ezt a fajta adatkezelést sérelmezte, ezért a Hatóság az Infotv. 60. § (5) bekezdés d) pontja és az Ákr. 47. § (1) bekezdés a) pontja alapján a Hatóság a rendelkező részben foglaltak szerint megszüntette az eljárást ezen kérelem vonatkozásában is.

## IV.4. A Kérelmező bankkártyájának állandó lakcímére történt postázása, rossz címre

történő postázása, továbbá bankkártyaszám feltüntetése a bankkártyán (10. sz.

## kérelem)

IV.4.1. Bankkártya állandó lakcímre történő postázása (72) A Kérelmező lakcímadatának tárolására a Kérelmezett a GDPR 6. cikk (1) bekezdés b)

pontja alapján jogalappal rendelkezik, ugyanis a Kérelmező a Kérelmezett ügyfele, számlaszerződése van a Kérelmezettnél, tehát ezen szerződés teljesítéséhez ezen adat kezelése szükséges, ez törlési/tiltakozási kérelem benyújtása esetén sem törölhető. (73) A fentiekkel összhangban megállapítható, hogy a Kérelmezettnek a Kérelmező lakcímadatának, mint levelezési címnek a kezelésére megfelelő jogalapja van, mégpedig a GDPR 6. cikk (1) bekezdés b) pontja, tehát a szerződés teljesítésével összefüggésben (jelen esetben bankszámlaszerződéssel és bankkártya szerződéssel összefüggésben). A szerződés teljesítéséhez tartozik bankkártya postázása is. (74) A fentiek miatt a Hatóság álláspontja szerint a bankkártya a Kérelmező lakcímére történő postázása, tehát a lakcímadat ezen célból történő felhasználása adatvédelmi szempontból nem kifogásolható, tehát a Hatóság a Kérelmező arra irányult kérelmét, hogy a Hatóság állapítsa meg ezen adatkezelés jogellenességét, elutasítja. IV.4.2. Bankkártyaszám feltüntetése a bankkártyán (75) A bankkártyaszám a nevéből is következően a bankkártyához kapcsolódik. A bankkártyaszám, mint a Kérelmező bankkártyájának a száma a GDPR 4. cikk 1. pont alapján személyes adat. Annak a kérdése azonban, hogy a pénzügyi intézmények által használt bankkártyák a fizetési eszközökre vonatkozó ágazati jogszabályoknak eleget tesznek-e, nem a Hatóság hatásköre vizsgálni. A Kérelmező azon felvetése, hogy „nem számít-e súlyos adatvédelmi mulasztásnak” a Kérelmezett gyakorlata a bankkártyaszám bankkártyán történő feltüntetése, a Kérelmezett gyakorlatára utal, mellyel kapcsolatos vizsgálat kezdeményezése nem kérelem alapján, hanem hivatalból, a Hatóság döntése alapján történhet. A jelen határozat (66) bekezdésében megállapítottak alapján tehát a Kérelmezett általános gyakorlatának vizsgálata a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen – a közérdek érvényesítésének körébe eső jogkövetkezmény alkalmazása tekintetében a Kérelmező nem minősül ügyfélnek az Ákr. 10. § (1) bekezdése alapján. Mivel ez a kérelem továbbá az Ákr. 35. § (1) bekezdésének sem felel meg, e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető. A Hatóság jelenleg nem tartja indokoltnak ezen adatkezelés hivatalból történő vizsgálatát.

## IV.5. A Kérelmező KHR-es nyilatkozata aláírásának időpontja (4. sz. kérelem)

(76) A Kérelmező kérelmében előadottak ezen rész tekintetében sem valószínűsítettek jogellenes adatkezelést, emiatt a Hatóság többek között a hiánypótlásban ezen állítás vonatkozásában is felhívta a Kérelmezőt, hogy állításait támassza alá. A Kérelmező azonban ezen állítása vonatkozásában nem csatolt be dokumentumokat, továbbá az általa kifogásolt adatkezelési műveletet sem részletezte úgy, mellyel jogellenes adatkezelést valószínűsített volna. (77) Tekintettel arra, hogy a Kérelmező a Kérelmezett ezen adatkezelése vonatkozásában sem fogalmazott meg konkrét jogsértést, csupán ezt a fajta adatkezelést sérelmezte, ezért a Hatóság az Infotv. 60. § (5) bekezdés d) pontja és az Ákr. 47. § (1) bekezdés a) pontja alapján a Hatóság a rendelkező részben foglaltak szerint megszüntette az eljárást ezen kérelem vonatkozásában is.

## IV.6. Bírság kiszabására irányuló kérelem (1. sz. kérelem)

(78) A Kérelmezett bírság fizetésére való kötelezése a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen – a közérdek érvényesítésének körébe eső jogkövetkezmény alkalmazása tekintetében a Kérelmező nem minősül ügyfélnek az Ákr. 10. § (1) bekezdése alapján. Mivel ez a kérelem továbbá az Ákr. 35. § (1) bekezdésének sem felel meg, e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető.

## IV.7. Kártérítés iránti kérelem és a Kérelmező által 2022. november 2. napján küldött

beadványban feltett kérdések Kérelmezetthez történő továbbítása (6. és 11. sz.

## kérelem)

(79) A kártérítés általános szabályait a Polgári Törvénykönyvről szóló 2013. évi V. törvény szabályozza, és az Infotv. 38. § (2) és (2a) bekezdése alapján a kártérítési felelősség és annak mértékének megállapítása nem tartozik a Hatóság hatáskörébe, ennek eldöntésére csak a bíróság jogosult, emiatt a Hatóság a Kérelmező kártérítés megállapítására irányuló kérelme tekintetében az eljárást az Ákr. 47. § (1) bekezdés a) pont alapján megszünteti. (80) A Hatóság az Infotv. 38. § (2) és (2a) bekezdése alapján jár el, ami alapján nincs hatásköre arra, hogy a Kérelmező által - a jelen határozat (10) bekezdésében részletezett - Kérelmezetthez intézett kérdéseket a Kérelmezetthez továbbítson. A Hatóság továbbá ezen kérelmeket – az aláírópadra vonatkozót kivéve - nem tekintette bizonyítási indítványnak, mivel azok egyrészt érintetti joggyakorlásra vonatkoznak, illetve a „felhasználói jelszavak” kritériumaira, mely utóbbinak vizsgálatát nem is kérte a Kérelmező a Hatóságtól, másrészt ha kérte volna azt a Hatóság, mint általános gyakorlatot a jelen határozat (57) bekezdésében kifejtettek miatt nem is vizsgálta volna. Az aláírópadokra vonatkozó kérdést pedig, mint esetleges bizonyítási indítvány azért utasította el a Hatóság, mert az aláírópadra vonatkozó általános gyakorlatot a Hatóság a Kérelmezett vonatkozásában a jelen eljárásban nem vizsgálta.

## IV.8. Jogkövetkezmények

(81) A Hatóság túllépte az Infotv. 60/A.§ (1) bekezdése szerinti ügyintézési határidőt, ezért

10.000 Ft, azaz tízezer forint illeti meg a Kérelmezőt – választása szerint – bankszámlára utalással vagy postai utalvánnyal az Ákr. 51. § (1) bekezdés b) pontja alapján.

## V. Egyéb kérdések:

(82) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (83) A határozat az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az

Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak. Az Ákr. 112. § (1) bekezdése és (2) bekezdés d) pontja, illetve az Ákr. 114. § (1) bekezdése alapján a végzéssel szemben önálló jogorvoslatnak van helye közigazgatási per útján.

* * * (84) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (85) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (86) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (87) A Hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forint illeti meg a Kérelmezőt. Budapest, „az elektronikus aláírás és időbélyeg szerint”

Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár