Орган по защите данных Венгрии (NAIH): практика обработки персональных данных Raiffeisen Bank Zrt. при оказании инвестиционных услуг

Ügyszám: NAIH/2019/3107/7.

Tárgy: Határozat

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt a Raiffeisen

Bank Zrt.-vel (székhelye: 1054 Budapest, Akadémia utca 6.; adószám: 10198014-4-44., a továbbiakban: Bank) szemben hivatalból indult adatvédelmi hatósági eljárásban, amelyben a Hatóság a Bank MiFID-kérdőívekkel kapcsolatos általános adatkezelési gyakorlatát vizsgálta, a Hatóság az alábbi döntéseket hozza: I. Megállapítja, hogy a Bank (1) jogalap nélkül kezeli a kizárólag non-advisory szolgáltatást igénybe vevő premium és private ügyfelek által az alkalmassági tesztben megadott személyes adatokat; (2) nem nyújt megfelelő tájékoztatást a MiFID-kérdőívekben felvett személyes adatok kezeléséről. II. Utasítja a Bankot, hogy a jelen határozat véglegessé válásától számított 60 napon belül (1) törölje azon premium és private ügyfelek alkalmassági tesztben megadott személyes adatait, akik nem vesznek igénybe a Banktól befektetési tanácsadási vagy portfóliókezelési szolgáltatást; (2) alakítsa át a tájékoztatási gyakorlatát olyan módon, hogy az megfeleljen a GDPR 12. és 13.

cikkeiben foglalt követelményeknek! III. A jogellenes adatkezelés miatt a Bankot a jelen határozat véglegessé válásától számított 30 napon belül

25.000.000 Ft, azaz huszonötmillió forint adatvédelmi bírság megfizetésére kötelezi. IV. Elrendeli a határozatnak a Bank azonosító adatainak közzétételével történő nyilvánosságra hozatalát.

* * * A bírságot a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2019/3107. BÍRS. számra kell hivatkozni. Ha a Bank a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg.

A II. pont szerinti kötelezettség, illetve a III. pont szerinti bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását.

A határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

A II. pontban előírt intézkedések végrehajtásáról az intézkedések megtételétől számított 8 napon belül – az azt alátámasztó bizonyítékok csatolásával együtt - értesítenie kell a Hatóságot. A Banknak bizonyítékként csatolnia kell a törlések tényét és informatikai körülményeit teljes körűen dokumentáló jegyzőkönyv(ek)et, valamint nyilatkozatot arra vonatkozóan, hogy a nevezett adatok/adatbázisok összes példányát törölték. A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az eljárás menete és a tényállás tisztázása

(1) A Hatóság 2018. november 28-án hivatalból vizsgálatot indított a Bank MiFID-kérdőívekkel kapcsolatos általános adatkezelési gyakorlatának vizsgálatára a NAIH/2018/6739/V. ügyszámon. A Hatóság a hivatalból indított vizsgálati eljárást 2019. március 26-án lezárta és ezzel egyidejűleg hivatalból adatvédelmi hatósági eljárást indított a Bank befektetési szolgáltatási tevékenysége során alkalmazott megfelelési és alkalmassági tesztekkel (a továbbiakban együttesen: MiFID-teszt vagy MiFID-kérdőív) összefüggésben végzett adatkezelésének az általános adatvédelmi rendeletben (a továbbiakban: GDPR) foglalt előírásoknak való megfelelésének vizsgálatára. A Hatóság a jelen adatvédelmi hatósági eljárás során figyelembe vette a Bank NAIH/2018/6739/V. számú eljárásban tett nyilatkozatát is.

(2) A vizsgált időszak 2018. május 25-től az eljárás megindításának napjáig, 2019. március 26-ig tart.

(3) A Bank a 2018. december 15-én kelt válaszában (NAIH/2018/6739/3/V.) úgy nyilatkozott, hogy a vizsgált adatkezelési tevékenységével kapcsolatban nem végez határokon átnyúló adatkezelést. Ezt a nyilatkozatát a 2019. május 31-én kelt válaszában megerősítette, miszerint a Bank az adatkezelő a vizsgált adatkezelés kapcsán, így maga hozza a döntéseket az adatkezelések céljával, jogalapjával és a jogi megfeleléssel kapcsolatosan.

(4) A Bank arról tájékoztatta a Hatóságot, hogy 2018. január 3-tól életbe a lépett a MiFID II szabályozás – az Európai Parlament és Tanács 2014/65/EU irányelve a pénzügyi eszközök piacairól, valamint a 2002/92/EK irányelv és a 2011/61/EU irányelv módosításáról –, amelyet a magyar jogrendszerbe a befektetési vállalkozásokról és az árutőzsdei szolgáltatókról, valamint az általuk végezhető tevékenységek szabályairól szóló 2007. évi CXXXVII. törvény (a továbbiakban: Bszt.) implementált. A szigorú befektetővédelmi szabályok miatt a bankcsoport megváltoztatta korábbi gyakorlatát és a befektetési szolgáltatások igénybevételéhez kötelezővé tette minimum a Bszt. 45. § (1) bekezdése szerinti megfelelési teszt kitöltését.

(5) A megfelelési tesztben a Bank felméri az ügyfél által ismert szolgáltatásokat, ügyeleteket és pénzügyi eszközöket, vizsgálja az ügyfél által korábban végrehajtott ügyletek jellemzőit, megvizsgálja, hogy az ügyfél rendelkezik-e releváns pénzügyi ismerettel vagy szakmai tapasztalattal, annak érdekében, hogy valóban a számára megfelelő ügylettel vagy pénzügyi eszközzel kapcsolatos szolgáltatást nyújtson.

(6) A Bszt. 44. §-a szerinti alkalmassági teszt kitöltését a Bank csak akkor teszi kötelezővé az ügyfelei vagy leendő ügyfelei számára (a továbbiakban együttesen: ügyfél), ha olyan szerződést kötnek a Bankkal, amelynek alapján jogosulttá válnak befektetési tanácsadási vagy portfóliókezelési szolgáltatás igénybevételére.

(7) A Bank az alkalmassági tesztben méri fel az ügyfél befektetési céljait, kockázatviselési hajlandóságát, pénzügyi helyzetét, veszteségviselő képességét, valamint tapasztalatait és ismereteit a szolgáltatások, termékek természetével kapcsolatosan, ideértve a kapcsolódó kockázatok megértésének és értékelésének képességét is.

(8) A Bank a befektetési szolgáltatások nyújtására elsőként keretszerződést köt az ügyfeleivel. A keretszerződés alapján a keretszerződésbe tartozó bármely szolgáltatást igényelheti az ügyfél egyoldalú jognyilatkozatával. Ezen szolgáltatás igénybevételére vonatkozó nyilatkozatát az ügyfél írásban és rögzített vonalas szóbeli csatornán is megteheti.

(9) A keretszerződés megkötésekor az ügyfél személyesen veszi fel a kapcsolatot a Bankkal, így ekkor kerül sor a személyes egyeztetést, jelenlétet igénylő tájékoztatók átadására, jognyilatkozatok megtételére, kérdőívek – köztük a MiFID-tesztek – kitöltésére. Ebből kifolyólag bármely, a keretszerződés hatálya alatt álló jogviszonyból származó jogi kötelezettség teljesítésére, melynek elvégzésére később nincs mód, vagy annak elvégzése esetleg a körülmények miatt később lehetetlen, ekkor kell sor kerüljön.

(10) A megfelelési és alkalmassági teszt a keretszerződés részét képezi, mivel azok szükségesek a keretszerződés alá tartozó bizonyos jogviszonyokhoz kapcsolódó jogi kötelezettség teljesítéséhez.

(11) A Bank […] óta nem nyújt úgynevezett […] szolgáltatást, kizárólag […] és […] szolgáltatást.

Erről […] ülésén született döntés, valamint azt tartalmazza az ügyfélbesorolás, valamint a befektető-alapú és befektetés-alapú tanácsadás irányelveiről szóló […] számú vezérigazgatói utasítás B.2.2.1.1. pontja is.

(12) Az execution-only szolgáltatás alatt a Bszt. 5. § (1) bekezdés a) és b) pontjában meghatározott szolgáltatások értendők, – megbízás felvétele és továbbítása, illetve megbízás végrehajtása az ügyfél javára – melyek tárgya nem komplex termék.

(13) Non-advisory szolgáltatás keretében a Bank az ügyfelei számára az általa kínált termékkel kapcsolatban tájékoztatást nyújt, a lehetséges befektetési alternatívákról információt szolgáltat anélkül, hogy az ügyfélnek konkrét termék kifejezett ajánlására sor kerülne. A Bank a lehetséges befektetési alternatívák legfőbb előnyeiről, hátrányairól, kockázatairól, díjairól és jutalékairól tájékoztatja az ügyfelet, általános tájékoztatást ad a termékekről, bemutatja a teljes termékpalettát, amelyből az ügyfél választja ki a vásárolni kívánt terméket és dönt a megbízás megadásáról, a Bank részéről konkrét ügylet megkötésére vonatkozó javaslat nem hangozhat el.

(14) Advisory szolgáltatás keretében különböző eszköztípusok szűkebb körű elemzésére kerül sor figyelemmel az ügyfél kockázatviselő képességére. A befektetési tanácsadás során jellemzően konkrét termékek személyre szóló ajánlására kerül sor.

(15) Advisory tranzakció akkor jön létre, ha a tanácsadást követően az ügyfél a Bank által ajánlott konkrét ügylet megkötése mellett dönt. Non-advisory tranzakciónak minősülnek azok az ügyletek, amikor az advisory szolgáltatás keretében igénybe vett tanácsadást követően a tanácsadás során ajánlott ügylettől eltérő tranzakció végrehajtását kéri az ügyfél, illetve a non-advisory szolgáltatás keretében az általános tanácsadást követően az ügyfél által kért tranzakció végrehajtása.

(16) A Bank a befektetési szolgáltatást igénybe vevő lakossági ügyfeleit három csoportba sorolja:

mass, premium és private kategóriába. Az ügyfélkategória megváltoztatására az ügyfél választása szerint – és bizonyos vagyoni, jövedelmi feltételek fennállása mellett – bármikor sor kerülhet a meglévő jogviszony megszüntetésével és az új jogviszonyra vonatkozó szerződés megkötésével.

(17) A Bank a mass ügyfélcsoport részére nem nyújt sem befektetési tanácsadási, sem portfóliókezelési szolgáltatást, így az ezen ügyfélcsoportba tartozó ügyfelekkel nem tölteti ki az alkalmassági, csak a megfelelési tesztet.

(18) A Bank bizonyos jövedelmi vagy vagyoni feltételek fennállása esetén az ügyfél választása szerint szerződik a premium vagy private banking ügyfélkiszolgálást tartalmazó szolgáltatásra. Az ezen kategóriákba tartozó ügyfelek előnyökben részesülnek a mass kategóriához képest, különböző kedvezményeket kapnak, például személyesebb kiszolgálást – saját kapcsolatartójuk van –, tanácsadás igénybevételének a lehetőségét. A két szegmens között is jelentős különbség van az igénybe vehető termékek körét tekintve: a private szegmensbe tartozó ügyfelek részére szélesebb a befektetési alapok kínálata, az advisory befektetések skálája, a Bank lehetőséget biztosít számukra, hogy telefonon keresztül vegyenek igénybe pénzügyi tervezést, befektetési tanácsadást vagy megbízást adjanak, ezen túlmenően igénybe vehetnek portfóliókezelési szolgáltatást, elérhető számukra a lombardhitel, a Platina hitelkártya, illetve egyéb kényelmi, kiegészítő szolgáltatásokban részesülnek, többek között lehetőséget kapnak a bankfiókon kívüli tárgyalásra.

(19) A Bank a premium és private ügyfelkategóriákba tartozó ügyfelek részére egyaránt befektetési tanácsadással (advisory) és anélkül is nyújt befektetési szolgáltatást, azonban kizárólag non-advisory szolgáltatás nyújtására az ezen kategóriába tartozó ügyfelekkel nem köt szerződést, mivel a befektetési szolgáltatási keretszerződés megkötésekor automatikusan elérhetővé válik részükre az advisory szolgáltatás igénybevétele. Az alkalmassági teszt hiányában az ügyfelek részére befektetési tanácsadás, illetve portfóliókezelési szolgáltatás nem nyújtható. A befektetési tanácsadás része a mindennapi ügyféltárgyalásoknak, így ahhoz, hogy a Bank a private és premium ügyfelei számára a szegmensüknek megfelelő szolgáltatást nyújthassa – azaz bármikor befektetési tanácsadást adhasson – indokolt az alkalmassági teszt szerződéskötéskor történő kitöltése. Ebből kifolyólag a Bank ezen két ügyfélkör esetén szükségesnek tartja az alkalmassági teszt kitöltését. Ennek oka, hogy a Bank álláspontja szerint életszerűtlen, hogy az ügyfélnek akkor kelljen befáradnia egy bankfiókba az alkalmassági teszt kitöltése céljából, amikor már igénybe kívánja venni a befektetési tanácsadási vagy portfóliókezelési szolgáltatást.

(20) A Bank lehetővé tesz a MiFID-tesztek honlapon való kitöltését, amelyet a banki referens a kitöltött kérdőív azonosítószáma alapján tud elérni a Bank rendszeréből.

(21) A Banknak 2018. május 31-én […] private és […] premium, 2018. december 28-án […]

private és […] premium ügyfele volt. 2018. január 3. és 2019. július 26-a között […] private és […] premium ügyfél nem kötött advisory tranzakciót. Ebben a számban azok az ügyfelek is szerepelnek, akiknek a részére a Bank nyújtott befektetési tanácsadási szolgáltatást, azonban az ügyfél nem a Bank által ajánlott konkrét tranzakció végrehajtását kérte.

(22) Az alkalmassági és megfelelési tesztekben felvett személyes adatok kezelésének célja, hogy a Bank a befektetők védelme érdekében képes legyen az ügyleti megbízások alkalmával tájékoztatást, visszajelzést adni az ügyfélnek arról, hogy az adott ügylet mennyire illeszkedik a kockázatviselő, teherviselő képességébe, illetve a termékkel kapcsolatos ismeretei mennyire elegendők az ügylet lebonyolításához. További cél, hogy a Bank a jogi kötelezettségeinek, köztük célpiac vizsgálati kötelezettségének és a felügyeleti elvárásoknak – MNB, ESMA ajánlások, amelyek a befektetők védelmét, a pénzintézetek prudens működését írják elő – és a cégcsoportja előírásainak meg tudjon felelni.

(23) A célpiac vizsgálat elvégzésének kötelezettségét a Bszt. 17/A. §-a, valamint a Bszt. 40. § (2)-(3) bekezdése írja elő a Bank számára.

(24) A MiFID kérdőívekben felvett személyes adatok kezelésének összetett jellegére, annak különböző céljaira és a szabályozásból fakadó jogalapbeli eltérésekre tekintettel a Bank több jogalapra való hivatkozással kezeli az ügyfelek megfelelési és alkalmassági tesztben megadott adatait. Az adatkezelés jogalapja részben a Bank jogi kötelezettségének teljesítése, részben a Bank jogos érdekének érvényesítése, részben az ügyfelekkel kötött szerződés teljesítése. A Bank jogos érdekének igazolására szolgáló érdekmérlegelési tesztet benyújtotta a Hatóságnak.

(25) A Bank referense a MiFID-teszt személyes kitöltésekor szóban tájékoztatja az ügyfelet a MiFID-teszt lényegéről és céljáról, illetve magán a nyomtatványon is található egy rövid tájékoztató. A MiFID-teszt honlapon való kitöltésekor a Bank a honlapon nyújt tájékoztatást. A MiFID-tesztekben felvett személyes adatok kezelésével kapcsolatban a Bank a honlapján található Adatvédelmi és adatkezelési tájékoztatóban nyújt tájékoztatást, valamint a nem kifejezetten adatvédelmi szempontú MiFID Ügyféltájékoztatóban. Kifejezetten a MiFID tesztekben megadott személyes adatok kezelésével kapcsolatban önálló tájékoztatót nem készített, mivel álláspontja szerint nincs erre vonatkozó jogszabályi kötelezettsége.

(26) A Bank a szerződéskötés előtt az ügyfél rendelkezésére bocsátja a befektetési szolgáltatásokkal kapcsolatosan meghirdetett feltételeket, tájékoztatókat, amelyek a Bank honlapján is elérhetőek. A befektetési szolgáltatások és kiegészítő szolgáltatások nyújtásáról szóló keretszerződésben a Bank egyértelműen az ügyfelek tudomására hozza, és az ügyfelek a keretszerződés aláírásával elismerik, hogy a jogszabályba előírt előzetes tájékoztatást a Bank a honlapján adja meg részükre. A Banknak befektetési vállalkozásként kellő időben kell tájékoztatást nyújtania az ügyfelei részére annak érdekében, hogy az ügyfeleknek kellő idejük legyen a tájékoztatás megértésére és megalapozott döntések meghozatalára. A befektetési szolgáltatások nyújtására vonatkozó ágazati jogszabályok nem írják elő a befektetési vállalkozások számára, hogy meggyőződjenek arról, hogy az Ügyfelek valóban megismerték a tájékoztatás tartalmát.

(27) Ezen túlmenően a Bank a MiFID II. hozta változásokról a szerződött ügyfeleit levélben értesítette 2017. decemberében, amely szintén elérhető a Bank honlapján. Ezen tájékoztató levél arra is kitért, hogy a megújuló MiFID-teszt alkalmas arra, hogy a Bank lefolytassa a célpiac vizsgálatot.

II. Az ügyben alkalmazandó jogszabályi rendelkezések

A GDPR 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre a GDPR-t kell alkalmazni. A GDPR jelen ügyben releváns rendelkezései a következők:

GDPR 6. cikk (1) bekezdés a), b), c), f) pont és (3) bekezdés: A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;

b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. (3) Az (1) bekezdés c) és e) pontja szerinti adatkezelés jogalapját a következőknek kell megállapítania: a) az uniós jog, vagy b) azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik. Az adatkezelés célját e jogalapra hivatkozással kell meghatározni, illetve az (1) bekezdés e) pontjában említett adatkezelés tekintetében annak szükségesnek kell lennie valamely közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához. Ez a jogalap tartalmazhat az e rendeletben foglalt szabályok alkalmazását kiigazító rendelkezéseket, ideértve az adatkezelő általi adatkezelés jogszerűségére irányadó általános feltételeket, az adatkezelés tárgyát képező adatok típusát, az érintetteket, azokat a jogalanyokat, amelyekkel a személyes adatok közölhetők, illetve az ilyen adatközlés céljait, az adatkezelés céljára vonatkozó korlátozásokat, az adattárolás időtartamát és az adatkezelési műveleteket, valamint egyéb adatkezelési eljárásokat, így a törvényes és tisztességes adatkezelés biztosításához szükséges intézkedéseket is, ideértve a IX. fejezetben meghatározott egyéb konkrét adatkezelési helyzetekre vonatkozóan. Az uniós vagy tagállami jognak közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal.

GDPR 12. cikk (1) bekezdés: Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát.

GDPR 13. cikk (1)-(2) bekezdés: Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét: a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdés f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;

f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

GDPR 58. cikk (2) bekezdés b), d) és i) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett;

GDPR 83. cikk (1)-(2) és (5) bekezdés a)-b) pont: (1) Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. (2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket: a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;

b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12–22. cikknek megfelelően.

Az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni.

Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel. Infotv. 61. § (2) bekezdés a) pont: A Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő – nyilvánosságra hozatalát, ha a határozat személyek széles körét érinti.

Infotv. 61. § (6) bekezdés: A határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

Az Infotv. 75/A. § szerint a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6)

bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58.

cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

Bszt. 5. § (1) bekezdés: Befektetési szolgáltatási tevékenységnek minősül a rendszeres gazdasági tevékenység keretében, pénzügyi eszközre vonatkozóan végzett a) megbízás felvétele és továbbítása, b) megbízás végrehajtása az ügyfél javára, c) sajátszámlás kereskedés, d) portfóliókezelés, e) befektetési tanácsadás, f) pénzügyi eszköz elhelyezése az eszköz (értékpapír vagy egyéb pénzügyi eszköz) vételére vonatkozó kötelezettségvállalással (jegyzési garanciavállalás), g) pénzügyi eszköz elhelyezése az eszköz (pénzügyi eszköz) vételére vonatkozó kötelezettségvállalás nélkül, és h) multilaterális kereskedési rendszer működtetése, i) szervezett kereskedési rendszer működtetése.

Bszt. 17/A. § (1)-(2) bekezdés: Az ügyfelek számára történő értékesítés céljából pénzügyi eszközöket kialakító befektetési vállalkozás az egyes pénzügyi eszközök jóváhagyására és a meglévő pénzügyi eszközök jelentős kiigazításainak jóváhagyására szolgáló folyamatot (a továbbiakban: termék-jóváhagyási folyamat) tart fenn, működtet, és elvégzi annak felülvizsgálatát, mielőtt pénzügyi eszközt hoz forgalomba vagy forgalmaz ügyfelek részére. (2) A termék-jóváhagyási folyamat meghatározza a végső ügyfelek azonosított célpiacát az egyes pénzügyi eszközök ügyfél-kategóriáin belül, és biztosítja, hogy az adott azonosított célpiac valamennyi releváns kockázatának értékelése megtörténjen, és a tervezett forgalmazási stratégia az azonosított célpiacnak megfelelő legyen.

Bszt. 44. § (1), (2) bekezdés: Az a befektetési vállalkozás, amely befektetési tanácsadási vagy portfóliókezelési tevékenységet végez, e tevékenysége keretében a (2) bekezdésben foglaltak szerint a szerződés megkötését vagy keretszerződés esetében a megbízás végrehajtását megelőzően a) meggyőződik arról, hogy a leendő szerződő fél, illetve az ügyfél ismeretei és a szerződés vagy megbízás tárgyát képező pénzügyi eszközzel vagy ügylettel kapcsolatos gyakorlata, kockázatviselő képessége megfelelő-e ahhoz, hogy megalapozott befektetési döntést hozzon, és b) a szerződésben foglaltak teljesítése érdekében szükséges mértékben feltárja a leendő szerződő fél, illetve az ügyfél jövedelmi helyzetét és befektetési céljait, annak érdekében, hogy a körülményeihez igazodó, veszteségviselési képességével összhangban álló, valamint a befektetési elvárásai megvalósítására alkalmas ügyletet vagy pénzügyi eszközt ajánljon. (2) Az (1) bekezdésben meghatározott tájékozódás (a továbbiakban: alkalmassági teszt) keretében a befektetési vállalkozás értékeli a befektetési tanácsadási tevékenysége vagy portfóliókezelési tevékenysége keretében kínált szolgáltatásának a Bizottság (EU) 2017/565 felhatalmazáson alapuló rendelete 54. és 55. cikkében meghatározottaknak történő megfelelését.

Bszt. 45. § (1) bekezdés: Az a befektetési vállalkozás, amely a 44. § (1) bekezdésében nem említett befektetési szolgáltatási tevékenységet végez, a szerződés megkötését vagy keretszerződés esetén a megbízás végrehajtását megelőzően - a (3) bekezdésben meghatározott kivétellel - a leendő szerződő féltől és az ügyféltől nyilatkozatot kér a) a szerződésben foglalt ügylet lényegével, b) az ügyletben érintett pénzügyi eszköz jellemzőivel, és c) különösen ezek kockázataival kapcsolatos ismereteiről és tapasztalatairól, annak megítélése érdekében, hogy a befektetési vállalkozás valóban a számára megfelelő ügylettel vagy pénzügyi eszközzel kapcsolatos szolgáltatást nyújtsa. (2) Az (1) bekezdésben foglalt ismeret és tapasztalat értékelése (a továbbiakban: megfelelési teszt) során a befektetési vállalkozás a Bizottság (EU) felhatalmazáson alapuló rendelete 55. és 56. cikkében meghatározottaknak megfelelően jár el.

Bszt. 46. § (1) bekezdés: Ha a befektetési vállalkozás a 45. § (1) bekezdésében meghatározott információ alapján úgy ítéli meg, hogy a szerződésben foglalt pénzügyi eszköz vagy ügylet nem megfelelő a leendő szerződő fél vagy az ügyfél számára, erre felhívja a leendő szerződő fél, illetőleg az ügyfél figyelmét. (2) Ha a leendő szerződő fél vagy az ügyfél nem adja meg a 45. § (1) bekezdésében meghatározott információt vagy a megadott információt a befektetési vállalkozás elégtelennek tartja, felhívja a leendő szerződő fél, illetőleg az ügyfél figyelmét arra, hogy ebben az esetben nem képes a szerződésben foglalt pénzügyi eszköz vagy ügylet megfelelőségét megállapítani. (3) Az (1) és (2) bekezdésben foglalt figyelmeztetés egységesített formátumban is kiadható.

III. Döntés:

III.1. Az adatkezelés jogalapja

III.1.1. Jogi kötelezettség teljesítése (28) A Bank nyilatkozata szerint a MiFID-kérdőívekben felvett személyes adatokat részben a jogi kötelezettsége alapján kezeli.

(29) A MiFID-tesztek alkalmazásának kötelezettségét a Bszt. ültette át a magyar jogba. A Bszt. 44.

§ (1) bekezdése szerint a befektetési vállalkozás köteles kitöltetni az alkalmassági tesztet az ügyfelével, amennyiben a részére befektetési tanácsadást nyújt vagy portfóliókezelést végez.

(30) A Bszt. 45. § (1) bekezdése pedig úgy rendelkezik, hogy a befektetési vállalkozásnak ki kell töltetnie az ügyfeleivel a megfelelési tesztet, ha bármilyen, a befektetési tanácsadástól és portfóliókezeléstől különböző szolgáltatást nyújt az ügyfeleinek. A Bszt. a 45. § (3) bekezdésében a megfelelési teszt kitöltése alól is enged kivételeket.

(31) A Bank valamennyi ügyfelével kitölteti a megfelelési tesztet, mivel nem nyújt a Bszt. 45. § (3)

bekezdésének hatálya alá tartozó execution only szolgáltatást az ügyfeleinek. Ebből kifolyólag valamennyi befektetési szolgáltatást igénybe vevő ügyfelével – függetlenül attól, hogy mass, premium vagy private kategóriába tartoznak – kiölteti a megfelelési tesztet, amely a GDPR 6. cikk (1) bekezdése szerinti jogi kötelezettsége.

(32) Az alkalmassági tesztben megadott személyes adatok kezelése a Bank jogi kötelezettsége a

Bszt. 44. § (1) bekezdése alapján, ha befektetési tanácsadási vagy portfóliókezelési szolgáltatást nyújt az ügyfelének. Befektetési tanácsadás nyújtása vagy portfóliókezelés hiányában azonban az alkalmassági tesztben megadott személyes adatok kezelése már nem a Bank jogi kötelezettsége, így a premium és private ügyfelei alkalmassági tesztben megadott adatait a Bank a jogos érdeke alapján kezeli.

III.1.2. A Bank jogos érdekén alapuló adatkezelés (33) A Bank nyilatkozata szerint a kizárólag non-advisory szolgáltatást igénybe vevő premium vagy private ügyfelek által az alkalmassági tesztben megadott személyes adatokat a Bank a jogos érdeke alapján kezeli.

(34) Ezen jogos érdek érvényesítésére hivatkozással végzett adatkezelés kapcsán a Hatóság kiemeli, hogy az ügyfélbesorolás, valamint a befektető-alapú és befektetés alapú tanácsadás irányelveiről szóló […] számú vezérigazgatói utasítás B.3.1. pontja szerint a Bank a befektetési tanácsadási és portfóliókezelési szolgáltatást igénybe nem vevő ügyfelek számára csak a megfelelési teszt kitöltését írja elő. A fenti vezérigazgatói utasítás nem aszerint határolja el, hogy melyik ügyfélnek kell megfelelési és melyik ügyfélnek alkalmassági és megfelelési tesztet is kitöltenie, hogy mass, premium vagy private kategóriába tartozik, hanem, hogy milyen szolgáltatást vesz igénybe.

(35) A Bank elvégezte a jogos érdekének alátámasztására szolgáló érdekmérlegelést, melynek alátámasztására megküldte a Hatóságnak az általa elvégzett érdekmérlegelési tesztet. Az érdekmérlegelési teszt 2019. január 2-án kelt. A Kérelmezett a 2018. május 25. és 2019. január 2-a közötti időszakra nem nyújtott be érdekmérlegelési tesztet a jogos érdekének alátámasztása céljából.

(36) A továbbiakban a Hatóság a Bank jogos érdeken alapuló adatkezelését vizsgálja, azt, hogy van-e a Banknak jogos érdeke, illetve annak érvényesítéséhez szükséges-e az adatkezelés, továbbá, hogy ténylegesen elsőbbséget élvez-e a Bank jogos érdeke az érintettek érdekeivel, alapvető jogaival és szabadságaival szemben.

(37) A Bank az érdekmérlegelési tesztben a jogos érdekén alapuló adatkezelésének három célját nevezte meg, ami felfogható az általa azonosított jogos érdeknek is, különösen azért, mert a Bank egyszer sem nevezte meg explicite azt a jogos érdeket, amelynek érvényesítéséhez szükségesnek tartja az adatkezelést.

Jogi kötelezettség teljesítése mint jogos érdek (38) A Bank jogos érdekén alapuló adatkezelésének célja az érdekmérlegelési teszt szerint a jogszabályoknak, PSZÁF, MNB és ESMA ajánlásoknak való megfelelés, a befektetők/ügyfelek védelme, valamint a prudens működés biztosítása.

(39) A konkrét jogszabályi követelmények, amelyeknek való megfelelést a Bank a jogos érdekének tekinti a következők: a Bszt. 44-46. § szerinti, a megfelelési és alkalmassági teszteken keresztül megvalósuló előzetes tájékozódási kötelezettséget előíró jogszabályi rendelkezések, továbbá a Bszt. 17/A. § szerinti célpiac meghatározási kötelezettséget előíró rendelkezései.

(40) Az állásfoglalásoknak való megfelelés alatt a Bank az MNB és az Európai Értékpapír-piaci

Hatóság (a továbbiakban: ESMA) ajánlásainak való megfelelést érti. A Bank a jogos érdeke alapján folytatott adatkezeléssel a 10/2019. (IV.15.) és 25/2018. (VII.5.) számú MNB ajánlásoknak, valamint az ESMA35-43-620 és az ESMA35-43-1163 ajánlások előírásainak kíván megfelelni. A tőkepiacokon irányadó termékjóváhagyásra vonatkozó követelményekhez kapcsolódóan kibocsátott 25/2018. (VII.5.) MNB ajánlás közzétételével biztosítja az MNB az ESMA35-43-620. számú, a termékirányításra vonatkozó MiFID II követelményekről szóló iránymutatásnak való megfelelést, míg a befektetési szolgáltatás nyújtása során irányadó előzetes tájékozódási kötelezettség megfelelő teljesítésének egyes szempontjairól szóló 10/2019. (IV.15.) számú MNB ajánlás közzétételével az ESMA35-43-1163 számú, a MiFID II szerinti alkalmassági követelmények bizonyos szempontjairól kiadott iránymutatásnak való megfelelést biztosítja. Tehát a Bank által hivatkozott két MNB és két ESMA ajánlás párba állítható, azok tartalma lényegileg megegyezik. A Bank nem jelölte meg pontosan, hogy az ajánlások mely részeinek való megfeleléshez tartja szükségesnek az advisory szolgáltatást igénybe nem vevő premium vagy private ügyfelek által az alkalmassági tesztben megadott személyes adatok kezelését.

(41) A Hatóság szükségesnek tartja leszögezni, hogy az ajánlások nem minősülnek jogszabálynak, azok jogi kötelezettséget nem keletkeztethetnek.

(42) A Bszt. 44-46. §-ai nem írják elő a Bank számára, hogy abban az esetben is töltesse ki az ügyfelével az alkalmassági tesztet, ha az ügyfél nem vesz igénybe olyan szolgáltatást, amelynek nyújtásához az alkalmassági tesztben foglalt adatok szükségesek. Maga a Bszt. is úgy rendelkezik a 44. § (1) bekezdésében, hogy befektetési tanácsadási vagy portfóliókezelési tevékenysége keretében az ezen szolgáltatásra irányuló megbízás végrehajtását megelőzően kell az alkalmassági tesztben meggyőződnie az ügyfele Bszt. 44. § (1) bekezdés a) és b) pontjában meghatározott ismereteiről, körülményeiről, preferenciáiról. Tehát az alkalmassági teszt kitöltését megelőzően az ügyfélnek kezdeményeznie kell, hogy a Bank nyújtson részére befektetési tanácsadást vagy végezzen számára portfóliókezelést. A Bszt. 45. §-a a megfelelési tesztre vonatkozik, amelyet a Bank jogi kötelezettsége alapján valamennyi ügyfelével kitöltet, míg a Bszt. 46. §-a azt szabályozza, hogy milyen eljárást kell követnie a Banknak, ha a megfelelési teszt alapján a szerződésben foglalt pénzügyi eszköz vagy ügylet nem megfelelő az ügyfél számára, vagy az ügyfél nem tölti ki vagy elégtelenül tölti ki a megfelelési tesztet. Ezen jogszabályi rendelkezésekből nem következik olyan kötelezettség, ami szerint a Banknak az advisory szolgáltatást igénybe nem vevő ügyfeleivel is ki kellene töltetnie az alkalmassági tesztet, amit maga a Bank is elismert az érdekmérlegelési teszt bevezetőjében, miszerint „explicit jogszabályi kötelezettség nélkül is kitölteti az Ügyfeleivel a megfelelési tesztet és az alkalmassági tesztet”.

(43) A Bszt. 17/A. §-a írja elő a befektetési vállalkozások, így a Bank számára is, hogy termékjóváhagyási folyamatot tartson fenn, működtessen. A termék-jóváhagyási folyamat eredményeként kerül meghatározásra egy termék célpiaca, azaz, hogy milyen kategóriába tartozó (lakossági/szakmai ügyfél vagy elfogadható partner), milyen preferenciájú ügyfelek számára lehet ideális az adott termék (pozitív célpiac), és melyek azok az ügyfélcsoportok, akik számára egyáltalán nem ajánlott (negatív célpiac). Sem a Bszt., sem a Bank által az érdekmérlegelési tesztben egyébként nem hivatkozott a befektetési vállalkozás által alkalmazandó termékjóváhagyási folyamatról szóló 16/2017. (VI. 30.) NGM rendelet nem határozza meg a célpiac meghatározásának módszerét, ehhez ad iránymutatást az ESMA35- 43-620 ajánlás. A 10/2019. (IV.15.) számú MNB ajánlás nem vehető figyelembe, tekintettel arra, hogy azt az MNB 2019. április 15-én bocsátotta ki, alkalmazását pedig 2019. május 15-től várja el az érintett pénzügyi szervezetektől, míg a jelen adatvédelmi hatósági eljárásban a vizsgált időszak vége 2019. március 26.

(44) A Bank az érdekmérlegelési teszt II.1. pontjában rögzíti, hogy a premium és private ügyfelektől az alkalmassági tesztben felvett személyes adatok kezelése szükséges ahhoz, hogy a célpiac vizsgálat elvégzési kötelezettségének eleget tegyen. Álláspontja szerint, ha az adatkezelés elmaradna, úgy nem tudna eleget tenni a jogszabályi kötelezettségének.

(45) Amennyiben egy adatkezelés ahhoz szükséges, hogy az adatkezelő a jogszabályi kötelezettségeinek eleget tegyen, a rá vonatkozó jogszabályi előírásoknak megfeleljen, úgy az adatkezelésének a jogalapja a GDPR 6. cikk (1) bekezdés c) pontja szerinti jogi kötelezettsége. Az adatkezelő jogos érdeke kizárólag olyan érdek lehet, amely nem jogszabályi vagy szerződéses kötelezettségből ered, mivel ezekben az esetekben az adatkezelés nem a jogos érdek érvényesítését, hanem a jogi kötelezettség vagy a szerződés teljesítését szolgálja.

(46) A Bank nem definiálta, hogy mit ért célpiac vizsgálat alatt: azt a termék-jóváhagyási folyamatot, melynek eredményeként meghatározza a termék célpiacát, vagy a célpiac ellenőrzését, vagyis annak vizsgálatát, hogy az ügyfél beleesik-e annak a terméknek a negatív vagy pozitív célpiacába, amelyre megbízást kíván adni. A termékirányítás alapelveiről szóló V-6/2018. számú vezérigazgatói utasítás sem használja a célpiac vizsgálat fogalmát, ehelyett célpiac meghatározásról és célpiac ellenőrzésről beszél. Ebből kifolyólag az sem azonosítható, hogy a Bank pontosan mely kötelezettségének nem tudna eleget tenni az adatkezelés hiányában.

(47) A Bank nem fejtette ki és nem indokolta meg, hogy miért nem tudna eleget tenni a célpiac vizsgálati kötelezettségének, miért nem tudná meghatározni az általa előállított és forgalmazott termékek célpiacát vagy a célpiac ellenőrzését elvégezni, ha a premium vagy private kategóriába tartozó, advisory szolgáltatást igénybe nem vevő ügyfelekkel nem töltetné ki az alkalmassági tesztet.

(48) A Bank bizonyos termékek kapcsán csak forgalmazó, míg más termékek esetében előállító és forgalmazó. Mindkét esetben fennáll a célpiac meghatározási kötelezettsége. Az ESMA35-43- 620 ajánlás 34-37. pontjai szerint forgalmazóként a tényleges célpiacot kell meghatározni, és a célpiac meghatározásakor figyelembe kell venni, hogy a forgalmazó milyen ügyféltípusnak nyújt befektetési szolgáltatásokat, tehát a döntését többek között a saját ügyfélbázisára vonatkozó meglévő információkra és ismeretekre kell alapoznia. Ehhez fel kell használnia minden észszerűen hasznos és elérhető információt és adatot, amely a rendelkezésére áll, illetve amely befektetési és kiegészítő szolgáltatások révén összegyűjthető.

(49) Az ESMA35-43-620 ajánlás fenti pontjaiban foglaltakból azonban nem következik, hogy a Banknak kötelezettsége lenne olyan adatok felvétele az ügyfeleitől, amelyek kifejezetten nem szükségesek az ügyfél által választott szolgáltatás nyújtásához, valamint az ezen szolgáltatáshoz kapcsolódóan előírt jogi kötelezettségek teljesítéséhez. Az ajánlások semmilyen esetben nem írhatják felül a jogszabályi rendelkezéseket, és azok értelmezése nem vezethet olyan eredményre, amely jogszabállyal ellentétes vagy jogszabályból nem vezethető le.

(50) A […] vezérigazgatói utasítás B.4. pontja előírja, hogy az értékesítési pontokon a Banknak rendelkeznie kell egy olyan folyamattal, amelynek a segítségével az ügyfél egyedi kérését ellenőrizni lehet még a tranzakció megkötése előtt az adott pénzügyi eszközre vagy termékcsoportra vonatkozó pozitív – és esetlegesen negatív – Célpiaci és Forgalmazási Stratégiával szemben. Ez a folyamat nem más, mint a célpiac ellenőrzése. A vezérigazgatói utasítás szerint az ügyfélnek nyújtott befektetési szolgáltatás típusától függ (advisory vagy nonadvisory), hogy minimálisan mely adatokat kell ellenőriznie a Banknak. Amennyiben az ügyfél befektetési tanácsadással nem járó szolgáltatást kíván igénybe venni, úgy a Banknak csak azt kell ellenőriznie, hogy az ügyfél, aki a megbízást kívánja adni lakossági, szakmai ügyfél vagy elfogadható partner, valamint, hogy milyen ismeretekkel, tapasztalatokkal rendelkezik (amelyről az ügyfél a megfelelési tesztben nyilatkozik). A vezérigazgatói utasítás előírja továbbá azt is, hogy a non-advisory szolgáltatás körében az ügyfeleket előzetesen figyelmeztetni kell, hogy adott esetben korlátozott célpiaci ellenőrzésre kerül sor a tanácsadás nélküli szolgáltatás keretében végrehajtott tranzakciók esetében.

(51) Ez azt is jelenti egyúttal, hogy a célpiac ellenőrzésének elvégzését nem akadályozza az, hogyha a premium vagy private kategóriába tartozó ügyfél nem tölti ki az alkalmassági tesztet, mivel az korlátozottan, de elvégezhető, ahogyan azt teszi a Bank a kizárólag megfelelési tesztet kitöltő, mass ügyfélkategóriába tartozó ügyfelei vonatkozásában is.

(52) A fentiek alapján a Bank által hivatkozott jogszabályi rendelkezések és ajánlások önmagukban nem írnak elő olyan jogi kötelezettséget a Bank számára, amelynek teljesítéséhez szükséges a kizárólag non-advisory szolgáltatást igénybe vevő premium és private ügyfelek által az alkalmassági tesztekben megadott személyes adatok kezelése. Ezen túlmenően pedig a Bank nem igazolt olyan további, a hivatkozott jogszabályi rendelkezésekből és ajánlásokból eredő jogos érdeket, amelynek érvényesítéséhez szükséges lenne a vizsgált adatkezelés.

A befektetők, ügyfelek védelme mint jogos érdek (53) A Bank álláspontja szerint az, hogy az advisory szolgáltatást igénybe nem vevő premium és private ügyfelek által az alkalmassági tesztben megadott személyes adatokat kezeli, azt a célt is szolgálja, hogy „az egyes ügyfeleinek csak és kizárólag olyan szolgáltatásokat nyújtson, amelyek összhangban vannak az adott ügyfél speciális igényeivel és esetleges teherbíró képességével, ezáltal pedig megnövekedjen az átláthatóság, erősödjön a bizalom a befektetési szolgáltatásokban és a Bankban.”

(54) A Bank álláspontja szerint a kizárólag non-advisory szolgáltatást igénybe vevő premium vagy private ügyfelek által az alkalmassági tesztben megadott adatok kezelésével meg tudja védeni az ügyfeleit az olyan ügyletek megkötésétől, amelyek nem állnak összhangban a kockázatviselési hajlandóságukkal, valamint így tud a pénzügyi helyzetüknek, veszteségtűrő képességüknek leginkább megfelelő terméket javasolni.

(55) A Bank álláspontja szerint az érintettekre nézve „nagyon komoly hátrányokkal járna” az adatkezelés elmaradása, mivel a Bank az alkalmassági tesztekben megadott adatok hiányában nem nyújtaná azt a biztonságot, amely elvárható lehet a befektetési szolgáltatások igénybevétele esetében. Az adatkezelés hiányában az ügyfelek nem rendelkeznének információval az egyes megkötni tervezett ügyletekről, így pedig az ügyfelek bizonyos szegmense sokkal kitettebb lenne az egyes befektetési kockázatoknak.

(56) A Hatóság álláspontja szerint nem helytálló a Bank azon, érdekmérlegelési tesztben tett megállapítása, hogy az alkalmassági teszt kitöltésének hiányában az ügyfelek nem rendelkeznének kellő információval az egyes megkötni tervezett ügyletekről, mivel a Bank nyilatkozata szerint a non-advisory ügyletek esetén is nyújt általános tájékoztatást az ügyfeleknek az általuk választott ügyletekről, valamint azoknak a lehetséges alternatíváiról, amely információszolgáltatás független attól, hogy az ügyfél kitöltötte-e az alkalmassági tesztet, mivel a mass ügyfélcsoportnak kizárólag ilyen szolgáltatást nyújt.

(57) Ezen túlmenően a Banknak a termékirányítás alapelveiről szóló […] vezérigazgatói utasítás

B.4. pontja szerint a célpiac ellenőrzése során nem csak az ügyfélre vonatkozó adatokat kell figyelembe vennie, hanem a termék vonatkozásában meghatározott célpiaci és forgalmazási stratégiát is, amelyben rögzítésre kerül, hogy a termék milyen ügyféltípus számára (lakossági, szakmai ügyfél vagy elfogadható partner), milyen forgalmazási csatornán (execution only, nonadvisory, advisory), mely kategóriába tartozó ügyfelek részére értékesíthető. Ha egy premium vagy private ügyfél kizárólag non-advisory szolgáltatást veszt igénybe, tehát nem kér befektetési tanácsadást, úgy részére csak olyan termék értékesíthető, amely a célpiac meghatározás alapján non-advisory szolgáltatás keretében forgalmazható, tehát nem is köthet ügyletet olyan termékre, amely csak advisory szolgáltatás keretében érhető el.

(58) A Hatóság nem vitatja, hogy amennyiben az ügyfelek kitöltik az alkalmassági tesztet, úgy több adat fog a Bank rendelkezésére állni az ügyfeleiről, ideértve a pénzügyi helyzetükre, veszteségviselő képességükre, befektetési céljaikra, a befektetés időtartamára, a kockázatviselő hajlandóságukra vonatkozó személyes adatokat. Ezen adatok birtokában pontosabban és teljeskörűen elvégezhető a célpiac ellenőrzés, illetve a Bank az ügyfél számára legmegfelelőbb termékekről nyújthat tájékoztatást. Tekintve, hogy a befektetővédelmi intézkedések célja az ügyfelek védelme a számukra nem megfelelő ügyletek megkötésétől, ezért az elsősorban nem a Bank, hanem az ügyfelek érdekeit szolgálja.

(59) A jogszabályok meghatározzák azt a védelmi szintet, amelyet a befektetési szolgáltatóknak így a Banknak is – biztosítaniuk kell az ügyfeleik védelme érdekében. A Bank részéről túlterjeszkedő, paternalista döntés, hogy a jogszabályok által megkövetelt védelmi szintnél kötelezően magasabb védelmi szintet biztosít a kizárólag non-advisory szolgáltatást igénybe vevő premium vagy private ügyfelei részére. A Bank sem az érdekmérlegelési tesztben, sem a nyilatkozataiban nem fejtette ki, hogy miért tesz különbséget az ugyanolyan szolgáltatásokat igénybe vevő mass, premium és private ügyfelek között, mi indokolja az utóbbi két kategóriába tartozó ügyfelek fokozottabb védelmének – és alkalmassági tesztben megadandó személyes adataik kezelésének – szükségességét.

(60) A fentiek nem jelentik azt, hogy a Bank nem biztosíthat a jogszabályokban előírtnál magasabb védelmi szintet, amelyhez további, a jogszabályok által elő nem írt adatok kezelése szükséges, azonban azt is le kell szögezni, hogy önmagában az, hogy egy adatkezelés az érintett számára előnyös vagy előnyökkel járhat, még nem teszi jogszerűvé az adatkezelést.

(61) A Hatóság álláspontja szerint az ügyfelek szabad belátására kell bízni, hogy kívánnak-e a jogszabályban meghatározottnál magasabb szintű védelemben – előnyben – részesülni, vagy nem. Amennyiben igen, úgy a premium és private ügyfelek dönthetnek úgy, hogy kitöltik az alkalmassági tesztet akkor is, ha egyébként nem vesznek igénybe olyan szolgáltatást a Banktól, amely miatt az szükséges lenne, így biztosítva az információs önrendelkezési joguk érvényesülését.

(62) A Bank az érdekmérlegelési tesztben nem vizsgálta meg alternatívaként, hogy az ügyfelek érdekeinek védelme céljából kezelhetők-e az ügyfelek hozzájárulása alapján azok az adatok, amelyeket a kizárólag non-advisory szolgáltatást igénybe vevő premium és private ügyfelek adnak meg az alkalmassági tesztben, holott a hozzájárulás alapján történő adatkezelés – ha a hozzájárulás valamennyi követelménye teljesül – a magánszférára nézve kevésbé intruzív, mint a Bank jogos érdeke alapján kötelezővé tett adatkezelés.

A Bank prudens működése mint jogos érdek (63) Az érdekmérlegelési tesztben foglaltak szerint a Bank „igyekszik különös figyelmet fordítani arra is, hogy minden esetben a lehető legteljesebb mértékben megfeleljen a jogszabályoknak, illetve az azok mögött megbúvó jogalkotói szándék elvárásainak is. Ennek keretein belül pedig bizonyos esetekben explicit jogszabályi kötelezettség nélkül is, a befektetők érdekeit szem előtt tartva igyekszik olyan védelmi mechanizmusokat beépíteni a működésébe, amely elősegíti a felelős, prudens operációt.”

(64) A Bank nyilatkozata szerint nem tudna megfelelni a cégcsoportja által meghatározott belső prudencia követelményeknek, továbbá nem tudná a saját befektetési szolgáltatásait olyan módon nyújtani, amely megfelelne a saját biztonsággal kapcsolatos elvárásainak, ha nem kezelné a kizárólag non-advisory szolgáltatást igénybe vevő private és premium kategóriába tartozó ügyfelei alkalmassági tesztben megadott személyes adatait. Ha a Bank nem végezné az adatkezelést, úgy kevésbé védené a saját ügyfelei érdekeit, ezáltal pedig a belévetett közbizalom is nagyban csökkenne.

(65) A Bank cégcsoportja által meghatározott prudencia követelményeknek és a Bank belső biztonsági elvárásainak való megfelelés mind elvont, általános, pontatlanul meghatározott érdekek és célok. Az érdekmérlegelési tesztben nem került világosan és részletesen kifejtésre, hogy a Bank mit ért belső biztonsági követelmények vagy prudencia követelmények alatt, ami pedig azzal is jár, az érintettek számára sem lehet átlátható és világos, hogy a Bank ezen elvárásoknak való megfeleléshez fűződő érdekei ténylegesen felülírják-e azt a jogukat, hogy maguk rendelkezzenek a személyes adataik felett.

(66) A Hatóság álláspontja szerint, ha a Bank a Bszt.-ben támasztott befektetővédelmi követelményeknél magasabb szinten kívánja biztosítani az ügyfelei védelmét, az méltányolható érdek lehet, azonban ahhoz pontosan meg kell határoznia a nyújtani kívánt biztonság szintjét, azt, hogy az hogyan és milyen módon érhető el, és bizonyítania kell, hogy ezen érdek érvényesülését hogyan és milyen módon szolgálja az adatkezelés. A Bank az érdekmérlegelési teszt szükségességi részében nem támasztotta alá, hogy az adatkezelés szükséges a prudens működése biztosításához, és miért biztosítható az adatkezelés folytatásával jobban a prudens működés, mint az adatkezelés hiányában.

(68) Az, hogy a Bankba vetett közbizalom csökkenne, amennyiben a Bank nem kezelné a kizárólag advisory szolgáltatást igénybe vevő premium és private besorolású ügyfelei alkalmassági tesztben megadott személyes adatait, távoli és eshetőleges veszély, amelynek elkerülésére való törekvés nem teszi szükségessé a személyes adatok kezelését.

(69) A fentiek alapján a Bank nem támasztotta alá az érdekmérlegelési tesztben, hogy a prudens működése biztosításához, illetve a cégcsoportja által támasztott követelményeknek való megfeleléshez miért szükséges az, hogy a kizárólag non-advisory szolgáltatást igénybe vevő premium és private ügyfelei alkalmassági tesztben megadott személyes adatait kezelje.

Az érdekmérlegelési teszttel kapcsolatos egyéb észrevételek (70) A Bank az érdekmérlegelési teszt „Arányossági teszt” részében megállapította, hogy az adatkezelés az érintettek számára átláthatóan történik, mivel az érintetteknek a Bszt. vonatkozó rendelkezései szerint kötelező jelleggel kell a Bank rendelkezésére bocsátaniuk a személyes adataikat, amelyről a Bank megfelelően tájékoztatja őket, így pedig számíthatnak az adatkezelésre. Ezen túlmenően a Bank szerint a célpiac vizsgálat érdekében az érintetteknek egyébként is meg kellene adniuk az alkalmassági tesztben megadott személyes adataikat a Banknak, ezért nem alkalmaz önálló kérdőívet, hanem a tesztben megadott adatokat használja erre a célra.

(71) A Bank itt nem határozta meg, hogy a Bszt. mely rendelkezései alapján, az ügyfelei mely személyes adatait kezeli kötelező jelleggel, és arról hogyan tájékoztatja őket. Az adatkezelésről nyújtott tájékoztatás átláthatóságát és megfelelőségét a Hatóság a jelen határozat III.2. pontjában vizsgálta. Önmagában az, hogy egyes esetekben a Bank adatkezelésének jogalapja a jogi kötelezettsége teljesítése, még nem teszi előre láthatóvá a Bank más jogalapokon végzett adatkezelését.

(72) A Bank az érdekmérlegelési tesztben, illetve az eljárás során tett nyilatkozataiban egyszer sem fejtette ki, hogy pontosan miért is van szüksége a célpiac vizsgálat elvégzése érdekében olyan személyes adatok kezelésére, amelyek kezelését egyébként a Bszt. kifejezetten nem írja elő számára. Ennek levezetése hiányában sem az adatkezelés szükségessége, sem annak arányossága nem alátámasztott.

(73) Az érdekmérlegelési teszt III.3. pontja szerint a kizárólag non-advisory szolgáltatást igénybe vevő premium és private ügyfelek alkalmassági tesztben megadott személyes adatinak kezelése az ügyfelekre nézve közepes kockázattal jár. Ennek kapcsán a Bank nem határozta meg a skálát, amelyen közepes kockázatúként azonosította az adatkezelést, nem hozott példákat arra, hogy milyen adatkezelést tekint alacsony vagy magas kockázatúnak, ezek hiányában pedig az adatkezelés kockázati besorolása nem megalapozott, így a kockázati besorolás megfelelősége nem ítélhető meg.

(74) Az érdekmérlegelési teszt III.11. pontja szerint az adatkezelés arányosságát támassza alá, hogy az érintetti jogok gyakorlása biztosított, a IV.1. pont szerint pedig az érintettek bármikor élhetnek a tiltakozáshoz való jogukkal.

(75) A Bank az Adatvédelmi tájékoztató 8. pontjában nyújt tájékoztatást az érintetti jogokról. A tiltakozáshoz való jog kapcsán kifejti, hogy a tiltakozáshoz való jog bármikor gyakorolható, „ha jogos érdek a jogalap (…), kivéve ha kényszerítő erejű jogos okok indokolják az adatkezelést, amik elsőbbséget élveznek az érintett jogaival szemben vagy jogi igények előterjesztéséhez, érvényesítéséhez, védelméhez kapcsolódnak.”

(76) Ahogyan azt a jelen határozat (96) bekezdésében a Hatóság kifejtette, a Bank sehol nem nyújtott tájékoztatást a kizárólag non-advisory szolgáltatást igénybe vevő ügyfeleinek arról, hogy az általuk az alkalmassági tesztben megadott személyes adataikat a jogos érdeke alapján kezeli, így azzal sem lehetnek tisztában, hogy tiltakozhatnak az adatkezelés ellen, így pedig az adatkezelés arányosságának vizsgálatakor figyelembe vett egyik szempont nem teljesül.

(77) A fentieken túlmenően a Bank az eljárás során tett nyilatkozataiban arra is hivatkozott, hogy életszerűtlen lenne, ha a premium és private ügyfeleivel a keretszerződés megkötésekor csak az alkalmassági tesztet töltetné ki, mivel a részükre való befektetési tanácsadás nyújtása a mindennapi ügyvitel részét képezi. A Bank ezen érvelése magában az érdekmérlegelési tesztben nem jelent meg, de a Hatóság fontosnak tartja rögzíteni, hogy kényelmi szempontok önmagukban nem tesznek jogszerűvé egy adatkezelést, ha a nyújtott szolgáltatás igénybevételéhez nincs szükség a kezelt személyes adatokra.

(78) A fentiek alapján a Hatóság megállapítja, hogy a Bank az adatkezelés általa megjelölt jogos érdekeinek érvényesítéséhez való szükségességét az érdekmérlegelési tesztben, valamint az eljárásban tett egyéb nyilatkozataival nem támasztotta alá, ennek hiányában pedig nem hivatkozhat jogszerűen az adatkezelés jogalapjaként a GDPR 6. cikk (1) bekezdés f) pontjára, azaz a kizárólag non-advisory szolgáltatást igénybe vevő ügyfelei alkalmassági tesztben megadott személyes adatait jogalap nélkül kezeli.

III.1.3. Szerződés teljesítése (79) A Bank a 2019. május 31-én kelt nyilatkozatában a GDPR 6. cikk (1) bekezdés c) és f) pontja szerinti jogalapon túl a MiFID-kérdőívekben felvett személyes adatok kezelésének jogalapjaként a GDPR 6. cikk (1) bekezdés b) pontját is megjelölte, miszerint ezen adatok szükségesek a befektetési szolgáltatási keretszerződésben és/vagy Treasury keretszerződésben foglalt szolgáltatások teljesítéséhez.

(80) Ezzel kapcsolatban a Hatóság megjegyzi, hogy a Bank a szerződésre mint jogalapra a MiFIDtesztekben felvett személyes adatok kezelése kapcsán csak a fenti nyilatkozatában hivatkozott, az érdekmérlegelési tesztben vagy a különböző tájékoztatóiban (Adatvédelmi tájékoztató; Befektetési üzletszabályzat, Ügyféltájékoztató) nem.

(81) Kizárólag azok a személyes adatok kezelhetők szerződéses jogalapra hivatkozással, amelyek elengedhetetlenek a szerződés teljesítéséhez, azaz az adatok kezelése és a szerződés teljesítésének célja között közvetlen és objektív kapcsolatnak kell lennie. Az ügyfelek által a befektetési szolgáltatások igénybevételére irányuló keretszerződés keretein belül adott megbízások végrehajtásához – a Bszt.-ben foglalt befektetővédelmi szabályok hiányában nem lennének szükségesek a megfelelési és alkalmassági tesztben foglalt adatok, mivel például ahhoz, hogy az ügyfél számára a Bank megvegyen egy értékpapírt, ahhoz nem kell tudnia, hogy mi a legmagasabb iskolai végzettsége.

(82) A szerződés jogalapja nem alkalmazható olyan esetekben, amikor az adatkezelésre valójában nem a szerződés, hanem az adatkezelőt terhelő jogi kötelezettség teljesítése miatt van szükség.

(83) A megfelelési és alkalmassági tesztben felvett adatok kezelése a befektetési vállalkozásoknak a jogi kötelezettségük a Bszt.-ben meghatározottak szerint, melynek célja a befektetővédelem, azaz annak biztosítása, hogy az ügyfélnek a befektetési vállalkozás csak olyan terméket kínáljon eladásra vagy olyan terméket adjon el, amely többek között megfelel az ügyfél preferenciáinak, teherviselő képességének és kockázatvállalási hajlandóságának.

(84) A fentiekből kifolyólag a megfelelési és alkalmassági tesztekben felvett személyes adatok nem a Bank és az ügyfél közötti szerződés alapján, annak teljesítése érdekében kezelhetők, hanem a Bank GDPR 6. cikk (1) bekezdés c) pontja, valamint a Bszt. 44. § (1) bekezdése és 45. § (1) bekezdése szerinti jogi kötelezettsége alapján kezelendők.

(85) A III.1. pontban tett megállapításokat összefoglalva a Hatóság megállapítja, hogy a Bank nem rendelkezik jogalappal a kizárólag non-advisory szolgáltatást igénybe vevő ügyfelek által az alkalmassági tesztben megadott személyes adatok kezelésére, ezzel pedig megsértette a GDPR 6. cikk (1) bekezdését.

III.2. A MiFID tesztekben felvett személyes adatok kezeléséről nyújtott tájékoztatás (86) A Bank különböző dokumentumokban nyújt tájékoztatást az érintetteknek a MiFIDkérdőívekben felvett személyes adatok kezeléséről. A Hatóság a Bank által nyújtott tájékoztatás vizsgálata során a Bank nyilatkozata alapján az Adatvédelmi és Adatkezelési Tájékoztatókat (a továbbiakban: Adatvédelmi tájékoztató), a MiFID-teszteken található tájékoztatást, a Bank által alkalmazott keretszerződéseket, a 2018. január 1. és 2019. április 22. között hatályos Befektetési Üzletszabályzatot (a továbbiakban: Üzletszabályzat) és a Bank által nyújtott befektetési szolgáltatásokkal kapcsolatos ügyféltájékoztatót (a továbbiakban: Ügyféltájékoztató) vette figyelembe.

(87) A vizsgált időszakban a Banknak két hatályos Adatvédelmi tájékoztatója volt, az első 2018.

május 25-én lépett hatályba, a második váltva a korábbit, 2018. július 10-én. Ez az utóbbi 2019. június 17-ig volt hatályos. Mind a jelenleg, mind a korábban hatályos Adatvédelmi tájékoztatók elérhetők a Bank honlapján.

(88) A Bank több dokumentumban, széttagolva, nem azonos – de részben átfedő – tartalommal nyújt tájékoztatást a MiFID-kérdőívekben felvett személyes adatok kezeléséről, tehát a különböző dokumentumokban található információk mind relevánsak.

(89) A két különböző időállapotú Adatvédelmi tájékoztató egyforma tájékoztatást tartalmaz a MiFIDtesztekben felvett személyes adatok kezeléséről, ezért azokat a Hatóság egységesen, egy dokumentumként kezeli.

(90) A Bank az Adatvédelmi tájékoztatóban nyújt tájékoztatást többek között az adatkezelés jogalapjáról, az adatkezelés céljáról, a kezelt adatok köréréről. A Befektetési Üzletszabályzat II.6. pontjában található tájékoztatás részben adatvédelmi tárgyú, abban meghatározásra kerül az adatkezelés célja és a MiFID-tesztekben felvett adatok köre részben konkrétan, részben általánosan meghatározva.

Tartalmi követelmények

Tájékoztatás az adatkezelés jogalapjáról (91) A GDPR 13. cikk (1) bekezdés c) pontja alapján, ha a személyes adatokat az érintettől gyűjtik az adatkezelőnek tájékoztatnia kell az érintetteket az adatkezelés jogalapjáról. A GDPR 13. cikk (1) bekezdés d) pontja szerint pedig, ha az adatkezelés a GDPR 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekéről is tájékoztatni kell az érintetteket.

(92) A Bank az Adatvédelmi tájékoztató 2. pontjában nyújt tájékoztatást az adatkezelés jogalapjáról. A Bank arról tájékoztatja az érintetteket, hogy „A Bank által nyújtott szolgáltatásokkal összefüggő adatkezelések általában vegyes jogalapúak, azaz egyaránt tartalmaznak szerződéses kapcsolatra jellemző, jogszabályi, valamint érdekmérlegeléses és az Ügyfél, illetve egyéb érintettek hozzájárulásán alapuló adatkezelési felhatalmazásokat.” Ezt követően a Bank az Adatvédelmi tájékoztatóban összefoglalja az általa alkalmazott jogalapok lényegét, azonban ezen meghatározások általános jellegűek, azokból nem derül ki, hogy konkrétan a befektetési szolgáltatások nyújtása kapcsán, a MiFID-kérdőívekben felvett személyes adatokat melyik jogalapra hivatkozással kezeli a Bank.

(93) Az Üzletszabályzat II.6. pontjában Az Ügyfél termékismeretének és kockázatviselő képességének vizsgálata címszó alatt rögzíti, hogy „A Bank a Bszt.-ben foglalt kötelezettségének megfelelően befektetési szolgáltatás nyújtását megelőzően az Ügyféltől nyilatkozatot kér a szerződésben foglalt ügylet lényegével, az ügyletben érintett pénzügyi eszköz jellemzőivel, és különösen ezek kockázataival kapcsolatos ismereteiről és tapasztalatairól (a továbbiakban: megfelelési teszt) (…).” A megfelelési tesztekben az érintettek által megadott személyes adatok kezelésének jogalapja tehát az Üzletszabályzat szerint a Bank jogi kötelezettsége, azonban az alkalmassági tesztekben felvett adatok kezelésének a jogalapjára nem tér ki.

(94) Az Ügyféltájékoztató 4. pontja szerint „A Bszt. előírásai alapján a Bank köteles befektetési tanácsadási, valamint portfóliókezelési szolgáltatás nyújtását megelőzően tájékozódni az Ügyfél vagy az Ügyfél képviseletében eljáró személy pénzügyi eszközökkel kapcsolatos ismereteiről, kockázatviselő képességéről, jövedelmi helyzetéről és befektetési céljairól. Ezen információkat az Ügyfél az ún. Alkalmassági és Megfelelési teszt kitöltése során hozhatja a Bank tudomására (…). Befektetési tanácsadáson valamint portfóliókezelési szolgáltatáson kívüli egyéb befektetési szolgáltatások és kiegészítő szolgáltatások igénybevételéhez legalább a Megfelelési teszt kitöltése szükséges az Ügyfél részéről.” Az Ügyféltájékoztatóban tehát a Bank úgy tájékoztatja az érintetteket, hogy befektetési tanácsadás és portfóliókezelés esetén jogszabályi kötelezettsége kezelni az alkalmassági és megfelelési tesztben felvett személyes adatokat. Az Ügyféltájékoztatóból azonban nem derül ki egyértelműen, hogy a befektetési tanácsadástól és portfóliókezeléstől eltérő szolgáltatások igénybevételére irányuló jogviszonyok esetén az érintett és a Bank közötti szerződés teljesítéséhez, a Bank jogi kötelezettségének teljesítéséhez vagy a Bank jogos érdekének érvényesítéséhez szükséges a Megfelelési teszt kitöltése.

(95) A Bank a MiFID – Befektetői kérdőív – Magánszemélyek részére című dokumentum első oldalán, mind az alkalmassági, mind a megfelelési tesztet megelőzően, közvetlenül az azonosító adatok rubrikát követően tájékoztatja az érintetteket, hogy „a Bszt.-ben fogalt előzetes tájékozódási kötelezettsége alapján, ügyfelei számára az alábbi kérdőívet alakította ki.” Ebből a megfogalmazásból csak következtetni lehet arra, hogy a Bszt. szerinti kötelezettség nem csak a kérdőívek elkészítésére, hanem az abban megadott személyes adatok kezelésére is vonatkozik.

(96) A fentiekkel szemben a Bank Hatósághoz intézett nyilatkozatai, valamint az érdekmérlegelési tesztben foglaltak szerint a megfelelési tesztben felvett személyes adatok kezelésének a jogalapja minden ügyfélkategória és szolgáltatástípus esetén a Bank jogi kötelezettségének teljesítése, míg az alkalmassági tesztben felvett személyes adatok kezelésének jogalapja csak akkor a jogi kötelezettsége, ha nyújt advisory szolgáltatást, ennek hiányában pedig a Bank jogos érdeke.

(97) Az Adatvédelmi tájékoztatóból egyáltalán nem derül ki, hogy konkrétan a MiFID-tesztekben megadott személyes adatok kezelésének mi a jogalapja, holott elnevezése alapján az érintettek elsősorban ezen dokumentumot olvassák el, ha tájékozódni szeretnének a Bank által végzett adatkezelésről. Az Üzletszabályzat már tartalmazza, hogy a megfelelési tesztben megadott adatokat a Bank jogszabályi kötelezettsége alapján kezeli, és ugyanezt rögzíti az alkalmassági és megfelelési teszt vonatkozásában az Ügyféltájékoztató az advisory szolgáltatások (befektetési tanácsadás és portfóliókezelés) vonatkozásában. Egyik dokumentum sem tartalmaz azonban olyan tájékoztatást, miszerint a premium vagy private ügyfélkategóriába tartozó, kizárólag non-advisory szolgáltatást igénybe vevő ügyfeleknek az alkalmassági tesztben megadott személyes adatait a Bank jogos érdeke alapján kezeli, illetve nem kerül megnevezésre, hogy mi ez a jogos érdek.

(98) Ebből kifolyólag a Bank megsértette a GDPR 13. cikk (1) bekezdés c) és d) pontját, mivel nem adott tájékoztatást arról, hogy az adatkezelés bizonyos esetekben a jogos érdeke érvényesítéséhez szükséges és nem nevezte meg, hogy mi ez a jogos érdek.

Formai követelmények (99) A GDPR 12. cikke határozza meg azon formai követelményeket, amelyekre figyelemmel kell lenniük az adatkezelőknek, amikor az érintetti joggyakorlást lehetővé teszik, biztosítják, ideértve az érintettek előzetes tájékoztatását is. Ez alapján az adatkezelőknek a személyes adatok kezelésére vonatkozó valamennyi információt tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően kell nyújtaniuk.

(100) A Bank több szinten, több dokumentumban nyújt tájékoztatást a MiFID-tesztekben megadott személyes adatok kezeléséről. Az Adatvédelmi tájékoztató csak általános jellegű tájékoztatást tartalmaz, abból nem derül ki, hogy milyen jogalapon és milyen célból kezeli a Bank a MiFIDtesztekben megadott személyes adatokat.

(101) A MiFID-tesztekben felvett személyes adatok kezelésének jogalapjáról négy különböző dokumentumban szétszórtan található tájékoztatás, különböző tartalommal. Az ilyen módon nyújtott tájékoztatás túlságosan széttöredezett, és a Bank az érintettekre hárítja azt a feladatot, hogy a különböző dokumentumokban található, az adatkezelés jogalapjára vonatkozó kirakós darabkákat összeillesszék és az így kapott – hiányos – képből megértsék, hogy a Bank a megfelelési és alkalmassági tesztben megadott személyes adataikat milyen jogalapon kezeli.

(102) Hasonlóan járt el a Bank az adatkezelés céljáról való tájékoztatás során is. Az Adatvédelmi tájékoztató 3. pontja szerint „Azt, hogy adott esetben a Bank pontosan milyen célból, illetve célokból kezeli az érintett adatait, a Bank és Ügyfél közötti szerződéses kapcsolatra irányadó szerződéses feltételek – a vonatkozó Üzletszabályzat, a termékre, illetve szolgáltatásra irányuló szerződési feltételek és az Ügyféllel megkötött konkrét szerződések, illetve a mindezekhez kapcsolódó nyilatkozatok és tájékoztatók – tartalmazzák, határozzák meg.”

(103) Az Adatvédelmi tájékoztató nem tartalmaz konkrét adatkezelési célokat, példálózó felsorolást ad, úgy mint „a Bank és az ügyfél között létrejött szolgáltatási szerződés teljesítése, végrehajtása, a szerződés alapján vállalt szolgáltatás nyújtása”; „a Bank vagy a Bankkal kapcsolatban álló harmadik felek jogos érdekeinek érvényesítése s védelme”; „egyéb, általában jogszabályon alapuló adatkezelési kötelezettségek teljesítése”, stb. Az Üzletszabályzat II.6. és az Ügyféltájékoztató 4. pontjában már meghatározásra kerül, hogy az alkalmassági és megfelelési tesztekben felvett személyes adatok kezelésének célja.

(104) Az Üzletszabályzat egy ötven oldalas dokumentum, amely nem tartalmaz adatvédelmi vonatkozású fejezetet vagy pontot, hanem a vizsgált adatkezelés szempontjából is releváns információk a Szolgáltatások általános feltételei című fejezetben kerültek elhelyezésre a II.6. pontban Az Ügyfél termékismeretének és kockázatviselő képességének vizsgálata cím alatt.

(105) Az Ügyféltájékoztató egy rövid összefoglalást ad a Bank által nyújtott befektetési szolgáltatásokról, azonban kifejezetten az sem tartalmaz adatvédelmi pontot vagy fejezetet, ebben a dokumentumban a vizsgált adatkezelés szempontjából releváns rendelkezések az Ügyfél kockázatviselő képességének, piaci ismereteinek felmérése cím alatt találhatók.

(106) Az átláthatóság követelményéből következik az az elvárás, hogy a GDPR 13. cikke szerinti tájékoztatás egyértelműen elkülönítésre kerüljön minden egyéb, nem adatvédelemmel kapcsolatos tájékoztatástól, pl. szerződéses rendelkezésektől.

(107) A MiFID-kérdőívekben felvett személyes adatok kezeléséről a Bank nem átlátható módon nyújt tájékoztatást, mivel az Adatvédelmi tájékoztató, amelynek elnevezése alapján elsődlegesen tartalmaznia kellene a személyes adatok kezelésével összefüggő információkat, túlságosan általános, abból nem ismerhetők meg a konkrét adatkezelés körülményei. Pontosabb információkat az Üzletszabályzat és az Ügyféltájékoztató tartalmaznak, holott az Ügyféltájékoztató célja, hogy a Bank egy általános, rövid, könnyen érthető tájékoztatás adjon az ügyfeleinek az általa nyújtott befektetési szolgáltatásokkal kapcsolatos egyes ügyféli jogokról, illetve a Bankot terhelő kötelezettségekről. Az Üzletszabályzat pedig az általános szolgáltatási és szerződési feltételeket tartalmazza, amelyektől nem különülnek el az adatvédelmi tárgyú információk.

(108) A fentiekből kifolyólag a Bank a MiFID-kérdőívekben felvett személyes adatok kezeléséről nyújtott tájékoztatás során megsértette a GDPR 12. cikk (1) bekezdését, mivel az általa nyújtott tájékoztatás nem felel meg az átláthatóság követelményének.

III. 6. Jogkövetkezmények (109) A Hatóság a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Bankot, mert megsértette a GDPR 6. cikk (1) bekezdését, a 12. cikk (1) bekezdését és a 13. cikk (1) bekezdését.

(110) A Hatóság a GDPR 58. cikk (2) bekezdés d) pontja alapján utasítja a Bankot, hogy törölje azon premium és private ügyfelek alkalmassági tesztben megadott személyes adatait, akik nem vesznek igénybe a Banktól befektetési tanácsadási vagy portfóliókezelési szolgáltatást; és alakítsa át a tájékoztatási gyakorlatát olyan módon, hogy az megfeleljen a GDPR 13. cikkében foglalt követelményeknek. (111) A Hatóság megvizsgálta, hogy indokolt-e a Bankkal szemben adatvédelmi bírság kiszabása.

E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire, valamint arra, hogy a Kötelezett nem első alkalommal sértette meg a GDPR rendelkezéseit (NAIH/2019/2074.), ezért a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértések esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, így bírság kiszabása szükséges.

(112) A NAIH/2019/2074/22. számú határozatában a Hatóság megállapította, hogy a Bank megsértette a GDPR 6. cikk (1) bekezdését, mivel a kérelmező ügyfél személyes adatait – a pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi LIII. törvény 7. § (2) bekezdésében, valamint a számvitelről szóló 2000. évi C. törvény 169. § (2) bekezdésében meghatározott, megőrzési kötelezettséggel érintett személyes adatok kivételével – 2018. május 25. napjától kezdődően jogellenesen, megfelelő jogalap nélkül kezelte.

(113) A Hatóság a bírság kiszabása során az alábbi tényezőket vette figyelembe:

(114) A Hatóság mindenekelőtt figyelembe vette, hogy a Bank által elkövetett jogsértések a GDPR

83. cikk (5) bekezdés a) és b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek.

(115) A Hatóság a bírságkiszabás során súlyosbító körülményként vette figyelembe, hogy

• a jogsértés folyamatos jellegű, az a vizsgált időszakban folyamatosan fennállt [GDPR 83. cikk (2) bekezdés a) pont]; • a jogsértés az érintettek nagy számát érinti [GDPR 83. cikk (2) bekezdés a) pont]:

o a MiFID-kérdőívekben felvett személyes adatok kezeléséről nyújtott nem megfelelő tájékoztatással elkövetett jogsértés a Bank valamennyi befektetési szolgáltatást igénybe vevő ügyfelét érinti, akiknek a száma 2018. május 31-én […], 2018. december 28-án […] fő volt; o a jogalap nélküli adatkezeléssel érintettek száma pontosan nem meghatározható, mivel a Bank nem azt rögzíti, hogy milyen szolgáltatást vett igénybe az ügyfele, hanem hogy milyen ügyletet kötött, de 2018. január 1-jétől összesen […] ügyfél volt, aki jogosult advisory szolgáltatást igénybe venni, de nem kötött advisory ügyletet. Ebből kifolyólag a jogsértéssel érintettek száma feltehetőleg […] fő. • a MiFID-kérdőívekben felvett személyes adatok kezeléséről való nem megfelelő tájékoztatás közvetetten akadályozta azon ügyfelek tiltakozási jogának gyakorlását, akiknek az alkalmassági tesztben felvett személyes adatait a Bank a jogos érdeke alapján kezelte, mivel a Bank sehol nem nyújtott tájékoztatást részükre a személyes adataik kezelésének jogalapjáról [GDPR 83. cikk (2) bekezdés k) pont]; • a MiFID-kérdőívekben felvett személyes adatok kezeléséről való tájékoztatás átláthatatlansága súlyos jogsértésnek minősül, mivel abban olyan speciális szakmai kérdésekhez kapcsolódó adatkezelésről kellene a Banknak információval ellátnia az érintetteket, melyekhez az átlagos érintett más forrásból nem férhet hozzá, ezáltal a befektetési szolgáltatások nyújtásához kapcsolódóan végzett adatkezelésről való tájékoztatásnak kiemelt jelentősége van [GDPR 83. cikk (2) bekezdés k) pont].

(116) A Hatóság enyhítő körülményként vette figyelembe, hogy a Bank jogos érdeke alapján végzett adatkezelésének egyik céljaként, illetve az adatkezeléshez fűződő jogos érdekeként a befektetők védelmének fokozottabb biztosítását jelölte meg [GDPR 83. cikk (2) bekezdés a) pont].

(117) A Hatóság figyelembe vette továbbá, hogy a megállapított adatvédelmi jogsértések szándékosságra utaló körülmények hiányában gondatlan jellegűnek minősülnek [GDPR 83. cikk (2) bekezdés b) pont], valamint nem érintik a személyes adatok különleges kategóriáit [GDPR 83. cikk (2) bekezdés g) pont].

(118) A Hatóság mind a […] számú, mind a jelen ügyben megállapította a GDPR 6. cikk (1)

bekezdésének sérelmét, azonban a két ügyben eltérő körülmények alapján, a Bank különböző tevékenységei kapcsán került sor a GDPR ugyanazon rendelkezése sérelmének megállapítására. Ebből kifolyólag a Hatóság vizsgálta a Bank által korábban elkövetett jogsértést, azonban az a jelen eljárás tárgyával összefüggésben nem minősül releváns jogsértésnek, így azt sem enyhítő, sem súlyosbító körülményként nem értékelte a Hatóság a bírságösszeg meghatározása során. [GDPR 83. cikk (2) bekezdés e) pont].

(119) A Hatóság a bírságkiszabás nem tartotta relevánsnak a GDPR 83. cikk (2) bekezdés c), d), f), h), i), j) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem is értelmezhetők.

(120) A Kötelezett 2018. évi konszolidált beszámolója szerinti az adózás előtti nyeresége 27 598 millió forint, adózás utáni nyeresége pedig 24 056 millió forint volt, azaz a bírság összege nem éri el a Kötelezett adózás előtti nyereségének egy ezrelékét. A kiszabott adatvédelmi bírság összege nem lépi túl a kiszabható bírság maximumát.

(121) A bírság kiszabása a fentiek alapján szükséges a Bank tekintetében speciálisan, illetve a hasonló adatkezelést végzők tekintetében generálisan a további hasonló jogsértések megelőzése érdekében.

(122) A bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg.

(123) A Hatóság az Infotv. 61. § (2) bekezdés a) pontja alapján elrendeli a határozat Bank azonosító adatainak közzétételével történő nyilvánosságra hozatalát, mivel a határozat személyek széles körét érinti.

(124) A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

IV. Egyéb kérdések:

(125) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (126) A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. (127) Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak. (128) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §-a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (129) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (130) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (131) Ha az előírt kötelezettsége teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2019. november 15.

Dr. Péterfalvi Attila elnök c. egyetemi tanár