Орган по защите данных Венгрии: отсутствие надлежащего предварительного информирования при просмотре недвижимости, урегулировании требований и обработке персональных данных для предъявления претензий

Ügyszám: NAIH-1336-12/2023.

Előzmény: NAIH-3772/2022. Tárgy: határozat és végzés

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban:Hatóság) […] kérelmező (a továbbiakban: Kérelmező) 2022.04.13. napján benyújtott kérelme alapján személyes adatok jogalap nélküli tárolása, továbbá adattakarékosság elvének megsértése tárgyában […] -vel (a továbbiakban: Kérelmezett) szemben indult adatvédelmi hatósági eljárásban - melybe a Hatóság a […] -t(a továbbiakban: Ügyfél) ügyfélként bevonta - az alábbi döntéseket hozza:

I. 1. A Hatóság a határozatában a Kérelmező kérelmének részben helyt ad és I.2.1. megállapítja, hogy a Kérelmezett és az Ügyfél megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) 12. cikk (1) bekezdését, mivel nem adott megfelelő előzetes tájékoztatást a Kérelmezőnek, valamint a GDPR 5. cikk (1) bekezdés c) pontját a Kérelmező állampolgárságának, okmányazonosító számának, címének és telefonszámának kezelése vonatkozásában, továbbá I.2.2. megállapítja, hogy a Kérelmezett megsértette a GDPR 5. cikk (2) bekezdését, mivel a Kérelmező személyes adatai kezelésére vonatkozó jogos érdekének elsőbbségét megfelelő érdekmérlegeléssel nem igazolta, továbbá I.3. kötelezi a Kérelmezettet, hogy a jelen határozat véglegessé válásától számított 15 napon belül igazolja, hogy törölte a Kérelmező személyes adatait a követeléskezelési célú nyilvántartásból az [….] Járásbíróság […] számú jogerős ítéletére tekintettel, és csak a jelen adatvédelmi hatósági eljárással összefüggésben kezeli azokat.

II. A Hatóság a határozatában a Kérelmező arra irányuló kérelmét, hogy a Hatóság állapítsa meg a Kérelmező neve, anyja neve, lakcíme, születési helye és ideje vonatkozásában - az [….] Járásbíróság […] számú jogerős ítéletét megelőző időszakra - a Kérelmezett adatkezelése jogellenességét, elutasítja.

III. A Hatóság a végzésében az Ügyfél a franchise szerződés üzleti titokként történő kezelése iránti kérelemének helyt ad.

* * * A jelen határozattal és végzéssel szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. A Hatóság felhívja a Kérelmezett és az Ügyfél figyelmét, hogy a határozat megtámadására nyitva álló keresetindítási határidő lejáratáig, illetve közigazgatási per esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

INDOKOLÁS

I. Az eljárás menete

(1) A Kérelmező kérelmére az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján 2022. 04.14. napján – a hiánypótlási felhívásban írtak teljesítése után - adatvédelmi hatósági eljárás indult. (2) A Hatóság a Kérelmezettet végzésében nyilatkozattételre hívta fel a tényállás tisztázása érdekében, hivatkozással az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 63. §-ra, melyre a Kérelmezett válasza határidőben megérkezett a Hatósághoz. (3) A Hatóság az Ügyfélnek ügyféli jogállást biztosított az Ákr. 10. § (1) bekezdés alapján, melyről a Kérelmezőt és a Kérelmezettet is értesítette, továbbá az Ügyfelet tényállás tisztázása céljából két alkalommal nyilatkozattételre hívta fel. (4) A Hatóság értesítette arról a Kérelmezőt és a Kérelmezettet, továbbá az Ügyfelet, hogy a bizonyítási eljárás befejeződött, és felhívta a figyelmüket arra, hogy nyilatkozatot vagy észrevételt tehetnek. Erre válaszul az értesítettek közül senki sem élt iratbetekintési jogával, és nyilatkozatot az Ügyfél és a Kérelmezett tett, mely után a Hatóság a Kérelmezettet az állítása alátámasztására hívta fel, aminek a Kérelmezett eleget tett.

II. Tényállás tisztázása

II.1. A Kérelmező kérelme és hiánypótlási nyilatkozata (NAIH-3772-1/2022., NAIH-3772- 3/2022., NAIH-3772-5/2022.) (5) A Kérelmező a Hatósághoz 2022. március 16. napján benyújtott kérelmében kérte, hogy a Kérelmezett adatkezelését a Hatóság vizsgálja meg, és állapítsa meg, hogy a Kérelmezett nem nyújtott előzetesen megfelelő tájékoztatást a Kérelmezőnek az adatkezelésről, az adatkezelő személyéről, továbbá kötelezze a Kérelmezettet az adattakarékosság elvének betartására és a szükségtelen adatok törlésére.

1 A közigazgatási per kezdeményezésére a NAIH_KO1 elnevezésű űrlap szolgál: NAIH KO1 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata

A kérelemhez a Kérelmező mellékelte az alábbi dokumentumot másolatban:

- a Kérelmező által 2020.06.05. napján aláírt „megtekintési tanúsítvány”, - [….] részére küldött 2021.09.01. napján kelt törlési kérelem, - [….] Kérelmezőnek írt 2021. szeptember 30. napján kelt levele. (6) A Kérelmező előadta, hogy a Kérelmezett közvetítésével megtekintett egy ingatlant, és emiatt az ingatlanközvetítő kérésére aláírt egy megtekintési tanúsítványt. A dokumentum ugyan tartalmazta az adatkezelési tájékoztatót, ám a Kérelmező álláspontja szerint az nem felel meg a GDPR „7. cikk (2) pontjának, mely kimondja, hogy ha az érintett hozzájárulását olyan írásbeli nyilatkozat keretében adja meg, amely más ügyekre is vonatkozik, a hozzájárulás iránti kérelmet ezektől a más ügyektől egyértelműen megkülönböztethető módon kell előadni, érthető és könnyen hozzáférhető formában, világos és egyszerű nyelvezettel. Az adatkezelési tájékoztató különösen kicsi betűmérettel került feltüntetésre, kis sortávolsággal.” (7) A Kérelmező álláspontja szerint a fentieken túlmenően a Kérelmezett megsértette a GDPR

13. cikk a) pontját, mely kimondja, hogy az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja az adatkezelőnek – és ha van ilyen – az adatkezelő képviselőjének a kilétét, elérhetőségét. A Kérelmező szerint a GDPR ezen előírása ellenére a dokumentumon a Kérelmezett neve sehol sem szerepel, kivéve egy nagyon elmosódott és olvashatatlan pecsétnyomaton. (8) A Kérelmező törlési kérelemmel fordult a Kérelmezetthez, melyre a Kérelmezett jogi képviselője válaszul tájékoztatta 2021. szeptember 30-án, hogy a kérelmet elutasítják, mivel a személyes adatokat követelés érvényesítése céljából történő adatkezelés miatt nem törölhetik. Ezzel a Kérelmező álláspontja szerint a Kérelmezett megsértette a „GDPR 5. cikk c) pontját”, tehát az adattakarékosság elvét, mivel a Kérelmező alábbi személyes adatait tárolja: - név, - anyja neve, - állampolgárság, - lakcím, - azonosító okmány száma, - telefonszám, - e-mail cím, - születési hely és idő. A Kérelmező állítása szerint a követelés érvényesítéséhez a fentiekben felsorolt személyes adatok nem szükségesek, ezért sértette meg a Kérelmezett az adattakarékosság elvét. (9) A Kérelmező az alábbiakat nyilatkozta az E-papíron küldött hiánypótlásban (NAIH-3772- 5/2022.), és az érintetti kérelme tartalmát ismertette, mely az alábbi szöveget tartalmazza az érintetti kérelem vonatkozásában: „Tisztelt [….] !” „[…] Ezúton kérném Önt és T. Ügyfelét, hogy a korábban megadott személyes adataimat törölni szíveskedjenek adatbázisukból, személyes adataim tárolásához adott korábbi hozzájárulásomat ezúton visszavonom. […]” (10) A fenti szöveg a becsatolt dokumentum szerint 2021.09.01. napján kelt. A Kérelmező a törlési kérelmét postai úton küldte meg […] részére ([…].). Állításai alátámasztására a Kérelmező másolatban becsatolta [….] ügyvéd Kérelmezőnek címzett 2021. szeptember 30. napján kelt – válaszlevél tárgyú – levelét (a továbbiakban: Válaszlevél), a feladóvevény és az RL […] azonosítójú kézbesítési igazolás másolatát. A kézbesítési igazolás másolata szerint a küldeményt 2021.09.13. napján vette át [….].

(11) A Válaszlevél egyrészt a Kérelmezett követelését (keletkezését) részletezi, továbbá részben a Kérelmező a személyes adatai kezelésével kapcsolatos. A Kérelmező személyes adatai kezelése vonatkozásában a Válaszlevél az alábbiakat tartalmazza: (12)„[…] A személyes adatait a követelés érvényesítése céljából kezeljük, így az Ön hozzájárulásának visszavonása alapján azt nem töröljük, nem törölhetjük, megjegyzem, hogy levelében éppen Ön jelzi, hogy lakcíme megváltozott, tehát éppen további személyes adatot közöl. […]”

II.2. A Kérelmezett nyilatkozata (NAIH-3772-7/2022.)

(13) A […] egy franchise hálózat, amelyet az Ügyfél üzemeltet. Az egyes franchise partnerek az Ügyféllel kötött franchise szerződés alapján nyitnak […] irodát. A franchise szerződés részletesen szabályozza az egyes franchise partnerek tevékenységét, így az egyes partnerek kötelesek az Ügyfél által meghatározott dokumentumokat, formanyomtatványokat, informatikai rendszert használni, az Ügyfél által meghatározott eljárásrendet követni, ezen túlmenően azonban önálló gazdasági társaságként járnak el. Az egyes ingatlanértékesítők egyéni vállalkozóként vagy a cég munkatársaként végzik a tevékenységüket. (14) A Kérelmező ingatlan vásárlása céljából kereste meg a Kérelmezett irodáját, megtekintett egy ingatlant, aláírta az ezt igazoló megtekintési tanúsítványt. A Kérelmező többször váltott üzenetet a Kérelmezett munkatárásával, később azonban kiderült, hogy közvetlenül felvette a kapcsolatot a tulajdonossal is, és vele adásvételi szerződést kötött, de erről a Kérelmezettet – a megtekintési nyilatkozatban vállaltak ellenére – nem tájékoztatta, így a Kérelmezett az őt megillető kötbérhez nem jutott hozzá. Ezt követően tett a Kérelmezett jogi lépéseket, megbízott egy ügyvédet a szerződésszegés ténye miatt létrejött igény érvényesítésére. Ennek során az ügyvédi iroda kereste meg a Kérelmezőt, és felszólította a megtekintési nyilatkozatban általa is megismert és elfogadott kötbér fizetésére. A Kérelmező a Kérelmezett igényét vitatta, és az ügyvédi irodának küldött levelében kérte a személyes adatai törlését az ügyvédtől és a Kérelmezettől. Az ügyvéd a Válaszlevelében ezt a folyamatban levő eljárásra tekintettel megtagadta. (15) A Kérelmező vonatkozásában a Kérelmezett a következő személyes adatokat kezeli: név, anyja neve, állampolgárság, állandó lakóhely, azonosító okmány típusa és száma, telefonszám, e-mail cím, születési hely és idő, megtekintett ingatlan címe és a megtekintés időpontja. (16) A megtekintési tanúsítványt az ingatlant megtekinteni szándékozó ügyfél minden esetben aláírás előtt elolvassa, értelmezi, szükség esetén magyarázatot kér az abban írtakkal kapcsolatban, majd aláírja. Így tett a Kérelmező is. A tanúsítványon szerepel az adatkezelési tájékoztató, amely megnevezi az adatkezelőket, az adatkezelés célját, és tartalmazza a GDPR-ban meghatározott egyéb elemeket is. A tájékoztató emellett azt is rögzíti, hogy a részletes adatkezelési tájékoztató mely honlapon érhető el. A megtekintési tanúsítványt a Kérelmező megismerhette, elolvasta, aláírta, annak egy példányát megkapta. (17) Az ügyben bírósági eljárás volt folyamatban […] számon. Ennek bizonyítására a Kérelmezett csatolta az […] Járásbíróság 2022. március 21. napján kelt idézését másolatban. (18) A Kérelmezett a nyilatkozata szerint önálló adatkezelő, tehát az Ügyféllel nem közös adatkezelők, ez szerepel az adatkezelési tájékoztatójában is. Az adatkezelés célját és eszközeit az Ügyfél és a Kérelmezett nem közösen határozzák meg. (19) A Kérelmezett ugyanakkor a fentiekkel ellentétben azt is nyilatkozta, hogy a Kérelmezett a tevékenységét az Ügyfél által meghatározottak szerint végzi, és az adatkezelés célját, valamint az adatok körét is az Ügyfél határozza meg. Sőt a Kérelmezett arra is hivatkozott, hogy irányadó az adatkezelésére az Ügyfél honlapján található adatkezelési tájékoztató: […] (a továbbiakban: Adatkezelési tájékoztató). (20) Az érintettek adatait az Ügyfél által biztosított informatikai rendszerben rögzítik, továbbá papír alapon elzártan tárolják. Az ingatlan kereséshez és a megtekintési tanúsítványhoz kapcsolódó adatkezelés tartalmát az Adatkezelési tájékoztató 4.2. és 4.3. pontjai határozzák meg. (21) A megtekintési tanúsítványon szereplő adatok kezelésének célja – a tájékoztatóban írtak szerint – részben az érintett azonosítása, részben a kapcsolattartás, részben szükség esetén az igények érvényesítése. Az állampolgárságra vonatkozó adat kezelése nem indokolt, ezt a jövőben a dokumentumokról és a nyilvántartásából törli a Kérelmezett. (22) Az érintettektől érkező kérelmeket az Adatkezelési tájékoztató 6.1. és 6.2. pontjában írtak szerint kezeli a Kérelmezett, az ilyen kérelmek kezelésében a jogi képviselőik nem vesznek részt. Jelen esetben a Kérelmező levelét azért a jogi képviselője válaszolta meg, mert az érintett azt neki küldte: a Kérelmezetthez, illetve az Ügyfélhez az érintett korábban nem fordult, tájékoztatást, törlést nem kért. Az eljáró jogi képviselő az ügyvédi tevékenységre vonatkozó szabályok szerint az igény érvényesítése céljából kereste meg a Kérelmezőt, aki a jogi képviselőnek válaszolt. A Kérelmezett csatolta a jogi képviselője megbízási szerződése és a meghatalmazása másolatát. (23) A Kérelmezett véleménye szerint a jogi képviselője válaszlevele annyiban pontatlan, hogy nem fejti ki részletesen az adatkezelés célját, az adatkezelési tájékoztató 4.4. és a megtekintési tanúsítványon található tájékoztató d) pontja alapján.

II.3. Az Ügyfél nyilatkozatai (NAIH-3772-14/2022., NAIH-3772-15/2022.)

II.3.1. Az Ügyfél NAIH-3772-14/2022. sz. nyilatkozata (24) Az Ügyfél részletesen bemutatta a Kérelmezett és az Ügyfél között létrejött franchise megállapodást, és külön kiemelte azt, hogy a Kérelmezett nem dönthet szabadon arról, hogy az ingatlanok tulajdonosaival milyen tartalmú megbízási szerződést köt, köteles az Ügyfél által meghatározott formanyomtatványt használni. Ugyanakkor a Kérelmezett önálló üzleti tevékenységet folytat, felkutatja az értékesíthető ingatlanokat és vevőket, önállóan dönt arról, hogy fellép-e igénnyel az ingatlant - a Kérelmezett közreműködésével - megtekintett ügyféllel szemben, indít-e pert. (25) Összegzésként az Ügyfél kiemelte, hogy az Ügyfél által meghatározott rendszerben és dokumentumok szerint a Kérelmezett önálló jogalanyként végzi a tevékenységét, saját felelősségére. (26) A fentiekre hivatkozással az Ügyfél véleménye szerint a Kérelmezett és az Ügyfél közös adatkezelők, és a Kérelmezett a saját ügyfelei tekintetében önálló adatkezelő. (27) Az Ügyfél arról nyilatkozott, hogy a Kérelmezettel kötött franchise szerződése teljes egészében üzleti titok, az részben sem hozható nyilvánosságra. (28) Az Ügyfél nyilatkozatához csatolta az Adatkezelési tájékoztatót, melynek lényege az adatkezelő személye szempontjából az alábbi:

Az adatkezelési tevékenységeket több személy végezheti, melyek az alábbiak:

az Ügyfél, aki a franchise rendszer tulajdonosa és a hálózat üzemeltetője, az úgynevezett „franchise partner”: a franchise hálózat azon tagja, amely az Ügyféllel kötött franchise szerződés alapján irodát üzemeltett és ingatlanközvetítői tevékenységet végez az úgynevezett „al-franchise partner”: a franchise hálózat azon tagja, amely az Ügyfél partnerével szerződéses jogviszonyban áll, és a franchise partner által működtetett irodában ingatlanközvetítői tevékenységet folytat. (29) Az Adatkezelési tájékoztató is rögzíti – a Kérelmezett és az Ügyfél által tett nyilatkozatoknak megfelelően-, hogy az Ügyfél határozza meg az adatkezelés során alkalmazott nyomtatványokat, szerződéseket, az értékesítési folyamatokat, a szerződésszegés esetén követendő eljárást. (30) Az Adatkezelési tájékoztató - a 1.3. pontban - kifejezetten rögzíti az alábbiakat is:

„[…] A fentiek alapján az Adatkezelés célját, eszközeit és szabályait a […] határozza meg. A Partnerek az adatokat az Érintettel kötött szerződés alapján, vagy az Érintett hozzájárulása alapján kezelik, figyelemmel arra, hogy az Érintettel a Partnerek állnak közvetlen kapcsolatban. Figyelemmel arra, hogy az adatkezelés célját és eszközeit az Adatkezelők nem közösen határozzák meg, nem minősülnek közös adatkezelőnek. Az egyes adatkezelők adatkezelése így önálló, ugyanakkor a legtöbb adatkezelési tevékenység az Adatkezelők közös tevékenysége alapján valósul meg, így mind a [….], mind a Partnerek adatkezelőnek minősülnek. […]” (31) Az Adatkezelési tájékoztató a 4.3. pontjában a megtekintési tanúsítvánnyal kapcsolatos adatkezelést is részletezi az alábbiak szerint:

Kezelt adatok körét a megtekintő személy vonatkozásában Adatkezelési tájékoztató 3.4. pont a. és c. alpontja határozzák meg, továbbá rögzíti az Adatkezelési tájékoztató, hogy az adatokat az „Adatkezelő” a jogviszony megszűnésétől számított öt évig őrzi. „Az időtartamot indokolja, hogy a jogviszony megszűnését követően igények érvényesítésére sor kerülhet.” (32) A fentiekkel ellentétben nem a 3.4., hanem a 3.3.pont az, mely a kezelt adatok körét felsorolja adatkezelési célok szerint, mely célok közül a jelen ügyben az alábbi két cél releváns:

- „Azonosításhoz szükséges adatok: családi és utónév; születési név; születési hely és idő; anyja neve; állandó lakcím, ennek hiányában tartózkodási hely, azonosító okmány típusa és száma. Az Adatkezelési tájékoztató a fentiekkel kapcsolatban külön kiemeli, hogy „Az adatok megadása szerződéskötés, egyéb jogviszonyt keletkeztető kapcsolat (pl. megtekintési tanúsítvány aláírása) esetén kötelező, ezek hiányában a szerződés nem köthető meg, figyelemmel arra, hogy az adatok hiányában nem lehetséges a szerződés teljesítése, a szerződésből származó igények érvényesítése.” - „Igényekkel kapcsolatos adatok: Amennyiben az érintett és az Adatkezelők között jogvita alakul ki (így különösen az érintett a díjat nem fizeti meg, vagy az ingatlant a Partnerek által közvetített vevőnek a Partnerek megkerülésével adja el), az Adatkezelők kezelik az igény jogalapjára, természetére vonatkozó adatokat, valamint az igény érvényesítését lehetővé tevő bizonyítékokat.” (33) Az Adatkezelési tájékoztató 4.4.pontja az „Igények, követelések érvényesítése” címet viseli.

Az ebben a részben írtak szerint a leggyakoribb jogvita a „megkerülés”-sel kapcsolatos, amikor az érintettek a Kérelmezettet és az Ügyfelet megkerülve létesítenek jogviszonyt azzal céllal, hogy mentesüljenek díjfizetési kötelezettség alól. Az Adatkezelési tájékoztató szerint a franchise partnerek megbízhatják az Ügyfelet az igény érvényesítésével, ebben az esetben az Ügyfél megbízottként jár el, és közös adatkezelést végeznek. (34) Az Adatkezelési tájékoztató tartalmaz egy részt, melynek címe: „Érdekmérlegelési teszt rövid bemutatása”.

(35) Az Adatkezelési tájékoztató a VI. pontjában az érintetti jogokról is tartalmaz tájékoztatást, azonban végig csak „Adatkezelők”-et említ, tehát nem nevesíti, hogy a korábban említett három közül melyik adatkezelő, tehát nevezetesen az Ügyfélről, vagy a franchise partnerről vagy az al-partnerről van-e szó. II.3.2. Az Ügyfél NAIH-3772-15/2022. sz. nyilatkozata (36) Az Ügyfél ismét kifejtette azt, hogy a Kérelmezett adatkezelő és nem adatfeldolgozó az ingatlanközvetítői tevékenysége során. Az Ügyfél továbbá arról nyilatkozott, hogy nem sok érintetti kérelem érkezik hozzá, csak néhányat kezel évente. Emiatt eddig nem látták szükségesnek a részletes eljárásrend kidolgozását. 2023-ban a jelen eljárás kimenetelétől függetlenül terveznek kidolgozni egy eljárásrendet az érintetti kérelmek kezelésére. (37) Az Ügyfél megküldte a Hatóság részére a megtekintési tanúsítvány elnevezésű formanyomtatványát, melyen a következő személyes adatok feltüntetése szükséges: név, anyja neve, állampolgárság, állandó lakóhely, azonosító okmány típusa és száma, telefon, email, születési hely és idő. (38) A megtekintési tanúsítvány „Adatkezelés” címszó alatt rövid tájékoztatást nyújt arról, hogy a személyes adatokat az „Ingatlanügynökség” (jelen esetben a Kérelmezett) és az Ügyfél kezeli. Felsorolja az adatkezelési célokat, többek között: kapcsolattartás, igények érvényesítése. Arra is utalást tartalmaz a tájékoztató, hogy amennyiben az „Érintett” önkéntesen nem teljesít, akkor az jogi úton érvényesítésre kerül, és ehhez felhasználják a személyes adatait. A tájékoztató az érintetti jogokról is említést tesz, továbbá utal arra, hogy a részletesebb tájékoztató az Ügyfél honlapján található meg, és ehhez megadja annak elérési útvonalát. II.3.3. A Kérelmezett NAIH-1336-6/2023. sz. és NAIH-1336-11/2023. nyilatkozatai (39) A Kérelmezett és a Kérelmező közötti perben [….] Járásbíróság a 2023. január 16-án kelt, a jogi képviselő által 2023. január 31. napján átvett ítéletével a Kérelmezett keresetét elutasította. A Kérelmezett ügyvezetése és tulajdonosai úgy döntöttek, hogy az elsőfokú ítéletet elfogadják, fellebbezést nem terjesztenek elő. Így amennyiben a Kérelmező sem terjeszt elő fellebbezést, az ítélet jogerőre fog emelkedni. Az ítélet jogerőre emelkedését követően, amennyiben a hatósági eljárás további folytatásához nem szükséges, a Kérelmező adatait törlik. (40) A Hatóság a Kérelmezett fenti nyilatkozata nyomán felhívta a Kérelmezettet, hogy igazolja azt, hogy az ítélet jogerőssé vált. A Kérelmezett a Hatósághoz 2023. június 22. napján érkezett nyilatkozatával megküldte […] Járásbíróság […] számú ítéletének másolatát, melyben a bíróság a Kérelmezett, mint felperes keresetét elutasította, továbbá a Kérelmezett másolatban mellékelte […] Járásbíróság […] sz. végzését, melyben [….] Járásbíróság megállapította, hogy a […] számú ítélet 2023. február 16. napján jogerőre emelkedett.

III. Alkalmazott jogszabályi rendelkezések

(41) A GDPR-t kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. A GDPR hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint a GDPR-t az ott megjelölt kiegészítésekkel kell alkalmazni. (42) A GDPR 4. cikk 1. pont alapján „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható; (43) A GDPR 4. cikk 2. pont alapján „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés; (43) A GDPR 4. cikk 7. pont alapján „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja; (44) A GDPR 4. cikk 8. pont alapján „adatfeldolgozó”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel; (44) A GDPR 12. cikk (1)- (6) bekezdései alapján:

(1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (2) Az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. (3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. (45) A GDPR 15. cikk (1) bekezdés alapján:

(1) Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár. (46) A GDPR 26. cikk (1) – (3) bekezdései alapján:

(1) Ha az adatkezelés céljait és eszközeit két vagy több adatkezelő közösen határozza meg, azok közös adatkezelőknek minősülnek. A közös adatkezelők átlátható módon, a közöttük létrejött megállapodásban határozzák meg az e rendelet szerinti kötelezettségek teljesítéséért fennálló, különösen az érintett jogainak gyakorlásával és a 13. és a 14. cikkben említett információk rendelkezésre bocsátásával kapcsolatos feladataikkal összefüggő felelősségük megoszlását, kivéve azt az esetet és annyiban, ha és amennyiben az adatkezelőkre vonatkozó felelősség megoszlását a rájuk alkalmazandó uniós vagy tagállami jog határozza meg. A megállapodásban az érintettek számára kapcsolattartót lehet kijelölni. (2) Az (1) bekezdésben említett megállapodásnak megfelelően tükröznie kell a közös adatkezelők érintettekkel szembeni szerepét és a velük való kapcsolatukat. A megállapodás lényegét az érintett rendelkezésére kell bocsátani. (3) Az érintett az (1) bekezdésben említett megállapodás feltételeitől függetlenül mindegyik adatkezelő vonatkozásában és mindegyik adatkezelővel szemben gyakorolhatja az e rendelet szerinti jogait. (47) A GDPR 28. cikke alapján:

(1) Ha az adatkezelést az adatkezelő nevében más végzi, az adatkezelő kizárólag olyan adatfeldolgozókat vehet igénybe, akik vagy amelyek megfelelő garanciákat nyújtanak az adatkezelés e rendelet követelményeinek való megfelelését és az érintettek jogainak védelmét biztosító, megfelelő technikai és szervezési intézkedések végrehajtására. (2) Az adatfeldolgozó az adatkezelő előzetesen írásban tett eseti vagy általános felhatalmazása nélkül további adatfeldolgozót nem vehet igénybe. Az általános írásbeli felhatalmazás esetén az adatfeldolgozó tájékoztatja az adatkezelőt minden olyan tervezett változásról, amely további adatfeldolgozók igénybevételét vagy azok cseréjét érinti, ezzel biztosítva lehetőséget az adatkezelőnek arra, hogy ezekkel a változtatásokkal szemben kifogást emeljen. (3) Az adatfeldolgozó által végzett adatkezelést az uniós jog vagy tagállami jog alapján létrejött olyan - az adatkezelés tárgyát, időtartamát, jellegét és célját, a személyes adatok típusát, az érintettek kategóriáit, valamint az adatkezelő kötelezettségeit és jogait meghatározó -szerződésnek vagy más jogi aktusnak kell szabályoznia, amely köti az adatfeldolgozót az adatkezelővel szemben. A szerződés vagy más jogi aktus különösen előírja, hogy az adatfeldolgozó: a) a személyes adatokat kizárólag az adatkezelő írásbeli utasításai alapján kezeli - beleértve a személyes adatoknak valamely harmadik ország vagy nemzetközi szervezet számára való továbbítását is -, kivéve akkor, ha az adatkezelést az adatfeldolgozóra alkalmazandó uniós vagy tagállami jog írja elő; ebben az esetben erről a jogi előírásról az adatfeldolgozó az adatkezelőt az adatkezelést megelőzően értesíti, kivéve, ha az adatkezelő értesítését az adott jogszabály fontos közérdekből tiltja; b) biztosítja azt, hogy a személyes adatok kezelésére feljogosított személyek titoktartási kötelezettséget vállalnak vagy jogszabályon alapuló megfelelő titoktartási kötelezettség alatt állnak; c) meghozza a 32. cikkben előírt intézkedéseket;

d) tiszteletben tartja a további adatfeldolgozó igénybevételére vonatkozóan a (2) és (4) bekezdésben említett feltételeket; e) az adatkezelés jellegének figyelembevételével megfelelő technikai és szervezési intézkedésekkel a lehetséges mértékben segíti az adatkezelőt abban, hogy teljesíteni tudja kötelezettségét az érintett III. fejezetben foglalt jogainak gyakorlásához kapcsolódó kérelmek megválaszolása tekintetében; f) segíti az adatkezelőt a 32-36. cikk szerinti kötelezettségek teljesítésében, figyelembe véve az adatkezelés jellegét és az adatfeldolgozó rendelkezésére álló információkat; g) az adatkezelési szolgáltatás nyújtásának befejezését követően az adatkezelő döntése alapján minden személyes adatot töröl vagy visszajuttat az adatkezelőnek, és törli a meglévő másolatokat, kivéve, ha az uniós vagy a tagállami jog az személyes adatok tárolását írja elő; h) az adatkezelő rendelkezésére bocsát minden olyan információt, amely az e cikkben meghatározott kötelezettségek teljesítésének igazolásához szükséges, továbbá amely lehetővé teszi és elősegíti az adatkezelő által vagy az általa megbízott más ellenőr által végzett auditokat, beleértve a helyszíni vizsgálatokat is. Az első albekezdés h) pontjával kapcsolatban az adatfeldolgozó haladéktalanul tájékoztatja az adatkezelőt, ha úgy véli, hogy annak valamely utasítása sérti ezt a rendeletet vagy a tagállami vagy uniós adatvédelmi rendelkezéseket. (48) A GDPR 58. cikk (2) bekezdés b) és d) pontja alapján a felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit. d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel.

(49) A GDPR 77. cikk (1) bekezdés alapján az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál - különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban -, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.

(50) Az Infotv. 38. § (2b) bekezdés alapján a Hatóságnak a (2) bekezdésben a személyes adatok tekintetében meghatározott feladatköre a bírósági döntés meghozatalára irányuló peres és nemperes eljárásokban, az azokra vonatkozó előírások alapján a bíróság által végzett adatkezelési műveletek vonatkozásában nem terjed ki a (3) bekezdésben meghatározott hatáskörök gyakorlására.

(51) Az Infotv. 60. § (1) A személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat.

(52) Az Infotv. 61. § (6) bekezdés alapján a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

(53) Az Infotv. 71. § (1) bekezdés alapján a Hatóság eljárása során - az annak lefolytatásához szükséges mértékben és ideig - kezelheti mindazon személyes adatokat, valamint törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatokat, amelyek az eljárással összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges.

(54) Az üzleti titok védelméről szóló 2018. évi LIV. törvény (a továbbiakban: Üzleti titok) 1. § (1)

bekezdés alapján üzleti titok a gazdasági tevékenységhez kapcsolódó, titkos – egészben, vagy elemeinek összességeként nem közismert, vagy az érintett gazdasági tevékenységet végző személyek számára nem könnyen hozzáférhető-, ennélfogva vagyoni értékkel bíró olyan tény, tájékoztatás, egyéb adat és az azokról készült összeállítás, amelynek a titokban tartás érdekében a titok jogosultja az adott helyzetben általában elvárható magatartást tanúsítja.

IV. Döntés:

IV.1. A Kérelmező Kérelmezettnél tárolt személyes adatai, azokon végzett adatkezelés, adatkezelői és adatfeldolgozói minőség a megtekintési tanúsítványon rögzített adatkezelés vonatkozásában

IV.1.1. Személyes adatok és forrása

(55) Az általános adatvédelmi rendelet 4. cikk 1. pontja szerint a Kérelmező neve, anyja neve, állampolgársága, lakcíme, azonosító okmánya száma, telefonszáma, e-mail címe, születési hely és ideje a Kérelmező személyes adatának minősülnek, amely adatoknak a tárolása, felhasználása az általános adatvédelmi rendelet 4. cikk 2. pontja szerinti adatkezelésnek minősül. (56) A fenti személyes adatok forrása a Kérelmező, mivel ezeket az adatokat az úgynevezett megtekintési nyilatkozaton bocsátotta a Kérelmezett rendelkezésére. A megtekintési nyilatkozat, mint formanyomtatvány használatát az Ügyfél, mint franchise tulajdonos tette kötelezővé a Kérelmezett számára.

IV.1.2. A Kérelmező személyes adatain végzett – jelen eljárásban vizsgált - adatkezelési műveletek

IV.1.3. A Kérelmező IV.1.1. pont szerinti személyes adatai rögzítésével kapcsolatos adatkezelés tekintetében megállapított adatkezelő és adatfeldolgozó

(58) Az adatkezelő fogalmát a GDPR 4. cikk 7. pontja, az adatfeldolgozó fogalmát a GDPR 4.

cikk 8. pontja határozza meg. A GDPR 4. cikk 7. pontja alapján adatkezelő az a természetes vagy jogi személy […], amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza […]. Ugyanezen cikk 8. pontja alapján pedig adatfeldolgozó az a természetes vagy jogi személy […], amely az adatkezelő nevében személyes adatokat kezel. (59) A Kérelmezett adatkezelésére vonatkozó, az Ügyfél által összeállított Adatkezelési tájékoztató is rögzíti – a Kérelmezett és az Ügyfél által tett nyilatkozatoknak megfelelően -, hogy az Ügyfél határozza meg az adatkezelés során alkalmazott nyomtatványokat, szerződéseket, az értékesítési folyamatokat, a szerződésszegés esetén követendő eljárást. Az Adatkezelési tájékoztató – a jelen határozat (30) bekezdésében kifejtettek szerint a 1.3. pontjában - kifejezetten rögzíti azt, hogy az adatkezelés célját, eszközeit és szabályait az Ügyfél határozza meg, ugyanakkor azt is rögzíti, hogy az adatkezelés célját és eszközeit az adatkezelők (tehát a Kérelmezett és az Ügyfél) nem közösen határozzák meg, nem minősülnek közös adatkezelőnek. Az Adatkezelési tájékoztató ugyanis arra hivatkozik, hogy az egyes adatkezelők (jelen esetben a Kérelmezett és az Ügyfél) adatkezelése így önálló, ugyanakkor a legtöbb adatkezelési tevékenység az adatkezelők közös tevékenysége alapján valósul meg.

Kérelmező személyes adatain a

Kérelmezett által követeléskezelés, igényérvényesítés céljából végzett adatkezelés

IV.2.1. Jogos érdek, mint jogalap

(66) A Kérelmezett az Ügyféltől elkülönült jogi személy. Az önálló jogi személyiségéből következik az, hogy a Kérelmezettnek követelése állhat fenn más személyek felé, tehát a Kérelmezett ebben a minőségében adatkezelőnek tekinthető, hiszen mint önálló jogi személy dönthet arról, hogy az adott tartozás érvényesítése érdekében tesz-e lépéseket. Erre a megtekintési tanúsítvány is utal, ugyanis arra hivatkozik, hogy az ingatlanügynökség jogosult arra, hogy az igényérvényesítéssel megbízza az Ügyfelet. Az önálló jogi személyek gazdasági döntései, így az igényérvényesítés is önállóak. Amíg tehát a franchise rendszer azt előírhatja, hogy a franchise rendszer nevét felhasználva hogyan végezze a Kérelmezett az ingatlanközvetítői tevékenységét, a pénzügyei kezelése ettől független. Amíg tehát a megtekintési tanúsítványon rögzített személyes adatok nem kerülnek igényérvényesítés céljából felhasználásra, addig a Kérelmezett adatfeldolgozónak minősül, de amint az igényérvényesítési célból történő adatkezelés megkezdődik, attól az időponttól a Kérelmezett adatkezelővé válik. (67) A fentiek alapján tehát a Kérelmezett ameddig olyan követelést tartott nyilván a Kérelmezővel szemben, mellyel kapcsolatban a Kérelmező nem csatolt be olyan bírósági döntést, mely megállapítaná, hogy az nem áll fenn, a Kérelmezett adatkezelésre vonatkozó jogos érdeke fennállt, különös tekintettel arra is, hogy bírósági eljárás volt folyamatban. A Kérelmező személyes adataihoz – természetes személyazonosító adatok, valamint a követelésre vonatkozó adatok –,és a követelése érvényesítéséhez, valamint az ehhez szükséges adatok kezeléséhez fűződő jogos érdeke, azaz a GDPR 6. cikk (1) bekezdés f) pontja fennállt a Kérelmezővel szemben, mindaddig, ameddig jogerős ítélet nem állapította meg azt, hogy a követelés nem áll fenn. Erre hivatkozással tehát a Kérelmezett a Kérelmező ezen személyes adatait jogszerűen kezelte (tárolta és továbbította a bíróság részére) igénye érvényesítése céljából. (68)A Kérelmezett nyilatkozata szerint a keresete elutasításáról szóló ítélet jogerőre emelkedése után törli a Kérelmező személyes adatait, amennyiben az a jelen hatósági eljáráshoz nem szükséges. Az ítélet jogerőre emelkedése után, igényérvényesítésre hivatkozással már nem, csak jelen hatósági eljárásra hivatkozással a Kérelmezett és az Ügyfél jogos érdekére hivatkozással kezelhetők a Kérelmező személyes adatai. (69) A Kérelmezett a Hatóság felhívására becsatolta a bíróság jogerős ítéletét és a jogerőről szóló végzést a Kérelmezett fennálló követelésére hivatkozással indított perben. Eszerint a bíróság elutasította a Kérelmezett keresetét, tehát emiatt a Kérelmezett az ítélet jogerőre emelkedése után (2023.02.16. napja óta) már követeléskezelési célból jogos érdekére hivatkozással nem kezelheti a Kérelmező személyes adatait. (70) A fentiekre tekintettel a Hatóság a Kérelmező kérelmének helyt adott, és kötelezte a Kérelmezettet a Kérelmező személyes adatainak követelési célú nyilvántartásából való törlésére.

IV.2.2. Érdekmérlegelés

(71) A GDPR (47) preambulumbekezdése alapján a jogos érdek fennállásának megállapításához mindenképpen körültekintően meg kell vizsgálni többek között azt, hogy az érintett érdekei és alapvető jogai elsőbbséget élvezhetnek az adatkezelő érdekével szemben, ha a személyes adatokat olyan körülmények között kezelik, amely során az érintettek nem számítanak további adatkezelésre. Az érdekmérlegelésnek azonban a jelen határozat (70) bekezdésében megállapítottak szerint 2023.02.16. napját követően már nincs relevenciája, tehát az csak a 2023.02.16. napjáig folytatott adatkezelés tekintetében irányadó. (72) A Hatóság megállapítása szerint a Kérelmezett jogos érdekének elsőbbségére vonatkozó nyilatkozata egyrészt nem kifejezetten a Kérelmező személyes adataira vonatkoznak, hanem általánosságban tett a jogos érdekére vonatkozóan nagyon röviden néhány megállapítást, másrészt nem tér ki a GDPR (47) preambulumbekezdésben említett körülményekre sem. A Kérelmezett az érintett érdekeit nem azonosította, és nem vetette azokat össze az adatkezelői érdekkel, továbbá az adatkezelés szükségességének és arányosságának vizsgálata, alátámasztása sem történt meg. A becsatolt Adatkezelési tájékoztató részeként az „Érdekmérlegelési teszt rövid bemutatása” azt hangsúlyozza, hogy ha az érintett önként nem teljesít az adatkezelők igényeit, akkor nincs más mód a cél elérésére, továbbá azt, hogy az igények érvényesítéséhez szükséges személyes adatokat kezeli. (73) A Hatóság megállapítása szerint a Kérelmezett jogos érdekének elsőbbségére vonatkozó nyilatkozata egyrészt nem kifejezetten a Kérelmező személyes adataira vonatkozik, hanem általánosságban tett a jogos érdekére vonatkozóan nagyon röviden néhány megállapítást, másrészt nem tér ki a GDPR (47) preambulumbekezdésben említett körülményekre sem. A Kérelmezett az érintett érdekeit nem azonosította, és nem vetette azokat össze az adatkezelői érdekkel, továbbá az adatkezelés szükségességének és arányosságának vizsgálata, alátámasztása sem történt meg. Tekintettel arra, hogy a Kérelmezett csak általánosságban tett megállapításokat a jogos érdekével kapcsolatban, ezért a Kérelmező vonatkozásában teljesen elmulasztotta az érdekmérlegelés elvégzését, az általánosságban tett megállapításai pedig nem tekinthetők elégségnek, mivel a GDPR (47) preambulumbekezdés követelményeinek az nem tesz eleget. (74) A fentiek miatt megállapítható, hogy a Kérelmezett nem tett eleget a GDPR 5. cikk (2)

bekezdés szerinti kötelezettségének. (75) A Hatóság álláspontja szerint az alábbi személyes adatok vonatkozásában – 2023.02.16.

napjáig - fennállt az adatkezelő jogos érdeke, illetve annak elsőbbsége, mivel jogi igények érvényesítése céljából szükséges személyes adatok köre jogszabályi rendelkezések alapján megállapíthatók az alábbiak szerint:

- A polgári perrendtartásról szóló 2016. évi CXXX. törvény (a továbbiakban: Pp.) 7. § 3. pontja szerint azonosító adatok természetes személy esetén: lakóhely (lakóhely hiányában tartózkodási hely), kézbesítési cím (ha lakóhelytől vagy tartózkodási helytől eltér), születési hely és idő, anyja neve. - A Pp. 170. § (1) bekezdés b) pontja szerint a keresetlevél bevezető részében fel kell tüntetni a felek nevét, perbeli állását, a felperes azonosító adatait, az alperes ismert azonosító adatait, legalább lakóhelyét, továbbá a (2) bekezdés e) pontja alapján a bizonyítékokat, ami a jelen esetben a követelést alátámasztó iratok. Ezt a felsorolást egészíti ki a polgári perben és a közigazgatási bírósági eljárásban alkalmazandó nyomtatványokról szóló 21/2017 (XII.22.) IM rendelet 1. mellékletének 1.4. pontja az alperes születési nevével. - A fizetési meghagyásos eljárásról szóló 2009. évi L. törvény 20. § (1) bekezdés a) pont alapján az adósok személyes adatai közül a fizetési meghagyásos eljárás megindításához szükség van a kötelezett nevére, a Pp. szerinti azonosító adataira, de legalább a lakóhelyére. - A Vht. 11. § (2)-(3) bekezdései határozzák meg, hogy a végrehajtást kérő mely személyes adatokat köteles közölni a végrehajtási kérelem benyújtásakor. Ezen adatok a következők: adós neve, azonosításához szükséges adatok (születési hely, idő, anyja neve), az ügy körülményeitől függően az adós lakóhelye, munkahelye és a végrehajtás alá vonható vagyontárgyának helye, illetve ingatlan-végrehajtás esetén az ingatlannyilvántartási adatok. (76) A Kérelmezett kezelhette 2023.02.16-ig a Kérelmező fentiekben felsorolt személyes adatait követeléskezelési célból, illetve jogi igények érvényesítése céljából, a GDPR 6. cikk (1) bekezdés f) pontra hivatkozással. A Kérelmezett ugyanakkor a fentieken túl a Kérelmező állampolgárságára, e-mailcímére, okmányazonosítójára és a telefonszámára vonatkozó adatokat is kezeli, amelyek a fenti jogszabályok alapján jogi igények érvényesítéséhez sem voltak szükségesek. Az állampolgárságra vonatkozó adat szükségtelenségét a Kérelmezett is elismerte, ugyanis úgy nyilatkozott, hogy az állampolgárságra vonatkozó adat kezelése nem indokolt, ezt a jövőben a dokumentumokról és a nyilvántartásából törli a Kérelmezett. (77) A fentiekre tekintettel a Hatóság az állampolgárság, okmányazonosító, e-mail cím és telefonszám kezelése tekintetében állapítja meg a GDPR 5. cikk (1) bekezdés c) pontjának megsértését, a Kérelmező többi személyes adata tekintetében elutasítja a Kérelmező arra vonatkozó kérelmét, hogy a Hatóság állapítsa meg az adattakarékosság elvének a megsértését. A Hatóság ugyanakkor a Kérelmezettet arra kötelezi, hogy a Kérelmező személyes adatait követeléskezelési célból ne, csupán a jelen adatvédelmi hatósági eljárással összefüggésben kezelje tekintettel [….] Járásbíróság […] számú ítéletére.

IV.3. Előzetes tájékoztatás

(78) A Kérelmezett arra hivatkozott, hogy a megtekintési tanúsítványt az ügyfél minden esetben aláírás előtt elolvassa, értelmezi, szükség esetén magyarázatot kér az abban írtakkal kapcsolatban, majd aláírja, és így tett a Kérelmező is. A tanúsítványon szerepel az adatkezelési tájékoztató, amely megnevezi az adatkezelőket, az adatkezelés célját, és tartalmazza a GDPRban meghatározott egyéb elemeket is. A tájékoztató emellett azt is rögzíti, hogy a részletes adatkezelési tájékoztató mely honlapon érhető el. A megtekintési tanúsítványt a Kérelmező megismerhette, elolvasta, aláírta, annak egy példányát megkapta. (79) A Kérelmező és a Kérelmezett között peres eljárás volt folyamatban. A peres eljárással kapcsolatos adatkezelés vonatkozásában a IV.2.1. pontban a Hatóság megállapította, hogy a jogos érdekre hivatkozott adatkezelés jogszerű volt a Kérelmező meghatározott személyes adatai vonatkozásában a peres eljárás jogerős lezárásáig. (80) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelőnek a személyes adatok megszerzésének időpontjában a tisztességes és átlátható adatkezelés érdekében az érintettek részére részletes tájékoztatást kell nyújtania a GDPR 13. cikk (1) bekezdésében írtakról. (81) A GDPR preambulumbekezdés (39) előírja, hogy az adatkezelésre vonatkozó tájékoztatásnak átláthatónak kell lennie, melyet megfelelő módon elérhetővé kell tenni az érintettek számára (pl. az adatkezelő honlapján) figyelemmel a választott jogalapok esetleges többletfeltételeire. (82) A GDPR 12. cikke határozza meg azon formai követelményeket, amelyekre figyelemmel kell lenniük az adatkezelőknek, amikor az érintetti joggyakorlást lehetővé teszik, biztosítják, ideértve az érintettek előzetes tájékoztatását is. Ez alapján az adatkezelőknek a személyes adatok kezelésére vonatkozó valamennyi információt tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően kell nyújtaniuk. (83) A Kérelmező álláspontja szerint az nem felel meg a GDPR „7. cikk (2) pontjának, mely kimondja, hogy ha az érintett hozzájárulását olyan írásbeli nyilatkozat keretében adja meg, amely más ügyekre is vonatkozik, a hozzájárulás iránti kérelmet ezektől a más ügyektől egyértelműen megkülönböztethető módon kell előadni, érthető és könnyen hozzáférhető formában, világos és egyszerű nyelvezettel. Az adatkezelési tájékoztató különösen kicsi betűmérettel került feltüntetésre, kis sortávolsággal.”

(84) A megtekintési tanúsítványon adott hozzájárulás két külön célra vonatkozik, ugyanis a tájékoztatás szerint az ott felsorolt személyes adatok tekintetében ad hozzájárulást, melyek a megtekintés és igényérvényesítés céljából kezelhetők, amennyiben arra sor kerül. Ahogyan az a Kérelmező esetében is történt. (85) A Hatóság egyetért, hogy a megtekintési tanúsítvány betűmérete meglehetősen kicsi, azonban a weboldal linkje is szerepel rajta, és a megadott linken található adatkezelési tájékoztató betűmérete szokásos. A Hatóság szerint továbbá a megtekintési tanúsítványon a szöveg ömlesztett, nem tagolt, így emiatt az átlátható tájékoztatás követelménye nem teljesül. Az Európai Adatvédelmi Testület 5/2020 Iránymutatása az (EU) 2016/679 rendelet szerinti hozzájárulásról 71. pontja szerint „[…] A kis méretű képernyőkhöz vagy olyan helyzetekhez való alkalmazkodás érdekében, amikor kevés hely van a tájékoztatásra, adott esetben – a felhasználói élmény vagy a terméktervezés túlzott mértékű zavarásának elkerülése érdekében mérlegelhető tájékoztatás ismertetésének többszintű módja.” A Hatóság álláspontja szerint tehát megoldható lehetne akár többszintű tájékoztatással, vagy csupán azzal, hogy az egy oldalas megtekintési tanúsítványt kétoldalassá bővítik az, hogy az megfelelően olvasható legyen. (86) A fentiek miatt a Hatóság megállapítja, hogy a Kérelmezett az igényérvényesítés célból folytatott – önálló - adatkezelése tekintetében nem adott megfelelő tájékoztatást a Kérelmezettnek, ezért megsértette a GDPR 12. cikk (1) bekezdését.

IV.4. A Kérelmező által a Kérelmezett ügyvédjéhez benyújtott törlési kérelem

(87) A Kérelmező a Kérelmezetthez, és a Kérelmezett jogi képviselőjéhez címezve, […]

ügyvédnek (a továbbiakban: Ügyvéd) küldte meg érintetti kérelmet. A Kérelmező a kérelmében az érintetti kérelmére adott választ nem kifogásolta, nem kérte az Ügyvéd adatkezelésnek a vizsgálatát is, ezért a Hatóság azt nem vizsgálta.

IV.5. Üzleti titokról döntés

(88) A Kérelmezett és az Ügyfél között létrejött franchise szerződés közzétételét sem az általános adatvédelmi rendelet, sem az ágazati jogszabályok nem írják elő, ezért emiatt az Ügyfél ezt a saját döntése alapján üzleti titokként kezelheti, tehát ezen vonatkozásban az Ügyfél kérelmének a Hatóság helyt ad, és a Kérelmezett és az Ügyfél között létrejött franchise szerződést üzleti titokként kezeli az Ákr. 27. § (2) bekezdése alapján.

IV.6. A Kérelmező kérelmén túli jogsértések

(89) A jelen ügy a Kérelmező kérelme vonatkozásában a Kérelmező tekintetében került lefolytatásra, az Ügyfél és a Kérelmezett általános gyakorlata tárgyában külön eljárás indulhat hivatalból az észlelt jogsértések miatt.

IV.7. Jogkövetkezmények

(90) A Hatóság a GDPR 58. cikk (2) bekezdés b) pont alapján elmarasztalta a Kérelmezettet és az Ügyfelet, mert megsértették a GDPR 5. cikk (1) bekezdés c) pontját, 12. cikk (1) bekezdését, továbbá elmarasztalta a Kérelmezettet, mert megsértette a GDPR 5. cikk (2) bekezdését.

A Hatóság a GDPR 58. cikk (2) bekezdés d) pontja alapján utasította a Kérelmezettet arra, hogy törölje a Kérelmező I.2. pontban felsorolt személyes adatait, és igazolja a törlés megtörténtét.

(91) A Hatóság túllépte az Infotv. 60/A.§ (1) bekezdése szerinti ügyintézési határidőt, ezért

10.000 Ft, azaz tízezer forint illeti meg a Kérelmezőt – választása szerint – bankszámlára utalással vagy postai utalvánnyal az Ákr. 51. § (1) bekezdés b) pontja alapján.

V. Egyéb kérdések:

(92) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (93) A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * (94) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (95) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (96) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (97) A Hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek. kelt: Budapest, az elektronikus aláírás szerint

Dr. habil. Péterfalvi Attila elnök, c. egyetemi tanár távollétében dr. Bendik Tamás elnökhelyettes