……………………………………………………………………………………………………………………………………………………………. 1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesitajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih. hu

Ügyszám: Előzmény:

NAIH-10362-1/2025. NAIH-2533/2024. NAIH-6610/2023.

Tárgy: döntés kérelemre indult adatvédelmi hatósági eljárásban

Ügyintéző: […]

HATÁROZAT

## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] kérelmező (lakcím: […].; a továbbiakban: Kérelmező) kérelme alapján 2023. július 17. napján az

[…]-vel (székhely:[…].; a továbbiakban: Kérelmezett) szemben a Kérelmező telefonszámadatának jogszerűtlen kezelésével, illetve - a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) szerinti tiltakozási jog tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntést hozza: I. A Hatóság a határozatában a Kérelmező kérelmének helyt ad és megállapítja, hogy a Kérelmezett a Kérelmező telefonszámadatával végzett adatkezelése során gondatlanul megsértette a GDPR 6. cikk (1) bekezdését, a GDPR 5. cikk (2) bekezdését, valamint a GDPR 21. cikk (1) bekezdését.

II. A Hatóság a határozatában a Kérelmezettet a GDPR 5. cikk (2) bekezdés és a GDPR 21. cikk (1) bekezdés szerinti jogsértései miatt

## 1.000.000 Ft, azaz egymillió forint adatvédelmi bírság

megfizetésére kötelezi. Az adatvédelmi bírságot a határozat véglegessé válását követő 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-10362/2025. BÍRS. számra kell hivatkozni.

Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását. A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

## INDOKOLÁS

## I. Az eljárás menete

(1) A Kérelmező kérelmére az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján 2023. július 17. napján adatvédelmi hatósági eljárás indult a Kérelmezettel szemben, miután az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 44. § ra hivatkozással küldött NAIH-6610-2/2023. sz. hiánypótlásra felhívó végzésre a Kérelmező megküldte a kérelméhez szükséges további nyilatkozatot, dokumentumot. (2) A Hatóság a Kérelmezettet az Ákr. 63. §-ra hivatkozással felhívta nyilatkozattételre első alkalommal a NAIH-6610-5/2024. számon iktatott iratban-, melyre a Kérelmezett határidőben válaszolt a NAIH-6610-6/2023. sz.-on iktatott iratban. (3) A Hatóság a tényállás tisztázása érdekében a Kérelmezettet nyilatkozattételre hívta fel második alkalommal - a NAIH-2533-1/2024. számon iktatott iratban -, melyre a Kérelmezett határidőben válaszolt a NAIH-2533-2/2024. számon iktatott iratban. (4) A Hatóság a tényállás tisztázása érdekében a Kérelmezettet nyilatkozattételre hívta fel harmadik alkalommal is - a NAIH-2533-4/2024. számon iktatott iratban -, melyre a Kérelmezett határidőben válaszolt a NAIH-2533-8/2024. számon iktatott iratban. (5) A Hatóság a NAIH-2533-4/2024. sz. végzésben döntött a Kérelmezett által másolatban megküldött dokumentumok üzleti titokként történő kezeléséről, illetve üzleti titokként történő kezelésének elutasításáról. (6) A Hatóság a NAIH-2533-11/2024. és a NAIH-2533-12/2024. számú iratokban értesítette azt ügyfeleket a bizonyítási eljárás befejezéséről, és arról, hogy nyilatkozatot tehetnek. A Kérelmezett élt az iratbetekintési jogával, továbbá nyilatkozattételi jogával egyik ügyfél sem élt.

1 A közigazgatási per kezdeményezésére a NAIH_KO1 elnevezésű űrlap szolgál: NAIH KO1 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. Az űrlap hozzáférhető és letölthető a Hatóság honlapjáról: https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata

II. Tényállás tisztázása II.1. A Kérelmező kérelme (NAIH-6610-1/2023.) és hiánypótlása (NAIH-6610-3/2204. és NAIH- 6610-4/2024.) (7) A Kérelmező 2023. június 30. napján adatvédelmi hatósági eljárást kezdeményezett, és kérte annak megállapítását, hogy a Kérelmezett megsértette az általános adatvédelmi rendelet rendelkezéseit azáltal, hogy a Kérelmező 0670 […] mobiltelefonszámát a hozzájárulása nélkül, kifejezett kérése ellenére, jogosulatlanul tárolta, kezelte és felhasználta. Ezen telefonszámra a Kérelmezőnek használati jogot biztosított egy cég (munkáltatója/foglalkoztatója). (8) A Kérelmező állítása szerint a Kérelmezett a 0670 […] mobiltelefonszámához végrehajtási adatgyűjtés során nem juthatott hozzá, mivel ez egy céges telefonszám. A Kérelmező szerint a Kérelmezett a 0670 […] mobiltelefonszámát a Kérelmező által indított ügyfélszolgálati telefonos egyeztetés során szerezte meg. A Kérelmező kiemelte, hogy 2022. március 28-tól minden telefonos egyeztetés során jelezte a Kérelmezett részére, hogy a céges telefonszámát semmiképp se tárolja el, ugyanakkor a Kérelmezett ügyintézője 2022.06.15-én 9:29-kor ezen a számon felhívta a Kérelmezőt. (9) A kérelemhez a Kérelmező mellékelte az alábbi dokumentumokat másolatban:

- a Kérelmező és a Kérelmezett közötti „2022. 05.12. 12:20 perc” és „2022.06.15. 9:29 perc” hivatkozású telefonbeszélgetések leiratait (mindkét telefonosbeszélgetés a Kérelmező a 0670 […] céges telefonszámán történt), - a Kérelmezett 2022. november 30-ai […]. iktatási számú levele a Kérelmező által tett panasz kivizsgálásának eredményéről. (10) A Kérelmező a NAIH-6610-3/2204. és NAIH-6610-4/2024 ügyiratszámú beadványaiban csatolta 0670 […] -es céges telefonszám munkáltatóval kötött használati megállapodás másolati példányát. (11) A Kérelmező és a Kérelmezett közötti 2022. 05.12. 12:20 perckor folytatott telefonbeszélgetés kivonatának telefonszámadat kezelésére vonatkozó része: „[…] Kérelmezett.: Rendben, köszönöm szépen sikeres az azonosítása. Telefonos elérhetőséget nem látok megjelölve. Szeretne megadni elérhetőséget? Kérelmező: Nem szeretnék megadni telefonos elérhetőséget. Kérelmezett: Jó, folyószámlával kapcsolatos ez a tartozás […]” (12) A Kérelmező és a Kérelmezett közötti 2022. 06.15. 9:29 perckor folytatott telefonbeszélgetés kivonatának telefonszámadat kezelésére vonatkozó része: ˇ”[…] Kérelmezett.: Jó napot kívánok, … vagyok az […].-től telefonálok. Pár percre alkalmas most

Önnek, tudunk egyeztetni? Kérelmező: Alkalmas csak nem adtam meg ezt a telefonszámot egyeztetésre. Kérelmezett.: Tessék? Kérelmező: Alkalmas az időpont csak ezt a számot nem adtam meg egyeztetésre.

Kérelmezett: Igen, igen, ööö mindjárt ezt leegyeztetjük. Először is tájékoztatom, hogy a hívást rögzítjük, a hangfelvételt 5 évig őrizzük meg, kérésére biztosítjuk ennek visszahallgatását. (…)” „[…] Kérelmezett.: Jó rendben köszönöm szépen, igen ez a cím megvan adva. Nekem egy

20-as szám van megadva […]. Kérelmező: Nem adok meg semmilyen elérhetőséget, jó? Kérelmezett.: Viszont ez nem jó ez a telefonszám. Kérelmező: De ezt a telefonszámot, amiről most beszélünk ehhez sem járultam hozzá. Kérelmezett.: Nincsen, nincsen ööö rögzítve kapcsolattartási számként, csak próbáltam valahogy Önt elérni, mert megkaptam a levelet, abban nem adott meg telefonszámot. […]” „[…] Kérelmezett.: Telefonszámot sem ad meg, hogyha bármi ilyen probléma van, hogy el tudjam érni. Kérelmező: Majd én keresem Önöket, tök örülök neki, de jogilag átlépett egy határt és ezért fel is tudnám jelenteni. Tud róla ugye, Call Centert vezettem. Kérelmezett: Uram nincs rögzítve az ügyben a telefonszáma azért próbáltam utolérni, mert láttam, hogy legutoljára erről hívott. Kérelmező: De akkor sincs joga hozzá. De tudja, hogy nincs joga hozzá, tudja! Ezeket a kéretlen dolgokat nem szeretem és nem kérem és nagyon köszönöm az ügyintézést. Kérelmezett.: Nem rögzítem a telefonszámát. […]” (13) A Kérelmezett 2022. november 30-ai […]. iktatási számú levele III. pontja az alábbiakat tartalmazza a Kérelmező telefonszámadatának kezelése elleni tiltakozásával kapcsolatban: „[…] Telefonszámának kezelésére vonatkozó tiltakozást tartalmazó kérelmét Társaságunk az

Általános Adatvédelmi Rendeletben foglaltak szerint megvizsgálta. Társaságunk a vizsgálat eredményeképpen arra a következtetésre jutott, hogy Társaságunk az együttműködési kötelezettségnek, a rendelkezésre álló más kapcsolattartási módon is eleget tud tenni, ezért erre tekintettel Társaságunk, kérelmét teljesítve, telefonszám adatát törölte mindkét ügyben.[…]”

## II.2. A Kérelmezett első nyilatkozata (NAIH-6610-6/2023.)

(14) A Kérelmezett előadta, hogy a Kérelmező tiltakozásának eredményeként a 0670 […]

telefonszámot, mint kapcsolattartási adatot törölte, erről őt a 2022.november 30-án, majd 2023. január 5-én kelt válaszlevelében tájékoztatta és felhívta a Kérelmező figyelmét adatkezelési tájékoztatójának elérhetőségére. Ugyanakkor a Kérelmezett előadta, hogy a Kérelmező telefonszám adatát panaszkezeléssel kapcsolatosan és a telefonos ügyfélszolgálattal folytatott beszélgetések kapcsán továbbra is nyilvántartja. Panaszkezelés céljából az adatok kezelésére a GDPR 6. cikk (1) bekezdés c) pont szerinti jogi kötelezettség, a hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013.évi CCXXXVII. törvény 288. § (2) bekezdésében, illetve a 46/2018. (XII.17.) MNB rendeletben foglaltak szerint kerül sor. A telefonbeszélgetések rögzítésére a GDPR 6. cikk (1) bekezdés f) pontja alapján kerül sor. Az ezzel kapcsolatos érdekmérlegelési tesztet a Kérelmezett mellékelte. (15) A Kérelmezett tájékoztatta a Hatóságot, hogy a kapcsolattartás céljából kezelt telefonszámok esetében a Kérelmezett 2023. május 2-át megelőzően jogos érdek jogalapot alkalmazott. 2023. május 2-től a Kérelmezett a telefonszámokat az első kapcsolatfelvételt követően hozzájárulás alapján kezeli, amennyiben az ügyfél a telefonszám kezeléséhez hozzájárul.

(16) A Kérelmezett is becsatolta másolatban a Kérelmező által megküldött – (11) és (12)

bekezdésekben idézett – leiratokat. Ezekkel kapcsolatban a Kérelmezett előadta, hogy a 2022. június 15-ei telefonbeszélgetés leirata alapján az ügyintéző azért hívta fel a Kérelmezőt, mivel a Kérelmező jelezte, hogy a Kérelmezett által postai úton kiküldött leveleket nem kapta meg. Az ügyintéző a telefonbeszélgetés során a kapcsolattartási elérhetőségeket kívánta egyeztetni a Kérelmezővel. A Kérelmező kapcsolattartási számaként egy 20-as előhívószámú telefonszám volt rögzítve, azonban azon a telefonszámon az ügyintéző nem érte el a Kérelmezőt („nekem egy 20-as szám van megadva, a […]”. Viszont ez nem jó, ez a telefonszám.”-mondja az ügyintéző). Ezt követően hívta az ügyintéző a Kérelmezőt a 70-es számon. (17) A Kérelmezett előadta, hogy a Kérelmező […]28 (folyószámlahitel szerződés) számú ügyében, nem volt rögzítve telefonszám. A […]67 (személyi kölcsönszerződés) számú ügyben két telefonszám került rögzítésre 2015.10.10-én és 2018.02.19-én, melyek az engedményező banktól érkeztek. A Kérelmezett ugyanezen nyilatkozatában előadta, hogy az engedményező banktól kapott két szám került törlésre 2022.novemberében, melyről a Kérelmezőt a […] iktatószámú levélben tájékoztatta. (18) A Kérelmezett nyilatkozott arról, hogy a Kérelmezővel kapcsolatosan nem kezel kapcsolattartás céljából telefonszámot, és csatolta az erről készült képernyőképfelvételeket nyilatkozatához.

## II.3. A Kérelmezett második nyilatkozata (NAIH-2533-2/2024.) és a Hatóság végzése üzleti titokként történő kezelésről (NAIH-2533-4/2024. sz.)

(19) A Kérelmezett a Hatóság kifejezett felhívására előadta, hogy az alábbi dokumentumok üzleti titokként történő kezelését kéri:

• telefonbeszélgetések rögzítésére vonatkozó érdekmérlegelési teszt, • szakrendszerről készített képernyőkép, • követeléskezelés céljából történő telefonszámkezelés, telefonos megkeresésekre és hívásfogadásokra vonatkozó érdekmérlegelési teszt, • adatvédelmi szabályzat, • panaszbejelentések kezelési rendjéről szóló utasítás 15. számú függeléke, • az érintett telefonszámának a kapcsolatfelvétel céljából történő kezelésére vonatkozó érdekmérlegelési teszt. (20) A Hatóság a fentiekben említett dokumentumok közül az alábbiak tekintetében adott helyt az üzleti titokként történő kezelésnek:

• szakrendszerről készített képernyőkép, • panaszbejelentések kezelési rendjéről szóló utasítás 15. számú függeléke. (21) A Kérelmezett által megküldött dokumentumok megfelelősége nem tárgya a jelen eljárásnak.

## II.4. A Kérelmezett harmadik nyilatkozata (NAIH-2533-9/2024.)

(22) A Kérelmezett előadta, hogy 2022.06.15. napján a Kérelmezőt a 0670 […] telefonszámán hívta. A Kérelmezett továbbá előadta, hogy a hivatkozott hívást megelőzte a Kérelmező – a Kérelmezett telefonos ügyfélszolgálatán történt - azon bejelentése, mely szerint a

Kérelmezett postai úton küldött leveleit nem kapta meg. A Kérelmezett szerint az ügyintéző a telefonbeszélgetés során a kapcsolattartási elérhetőséget kívánta egyeztetni a Kérelmezővel annak érdekében, hogy a követeléskezelési folyamat a Kérelmezőre tekintettel negatív következménnyel ne járjon. A Kérelmezett hangsúlyozta, hogy mivel a Kérelmező tiltakozása eredményeképpen – követeléskezelési célból kezelt 0670 […] telefonszámadata törlésre került, ezért ezen adat forrásának rekonstruálása már nem lehetséges. A Kérelmezett ugyanakkor vélelmezi, hogy a korábbi panaszkezelési folyamat során rögzített dokumentációból került felhasználásra. A Kérelmezett továbbá nyilatkozatában jelezte, hogy panaszkezelés céljából továbbra is kezeli a Kérelmező 0670 […] céges telefonszámát. (23) A Kérelmezett a 2022.06.15-én a Kérelmezővel történt telefonbeszélgetéssel kapcsolatban kiemelte, hogy az ügyben egyedi ügyintézői hiba valósult meg, rendszerszintű hiba nem áll fenn, az ügyintéző a Kérelmező érdekeit szem előtt tartva az együttműködési kötelezettség teljesítése érdekében kísérelte meg a kapcsolatfelvételt. A Kérelmezett előadta, hogy olyan személyes adatot kezel, amelyhez a GDPR szerinti megfelelő jogalappal rendelkezik, céltól eltérő telefonszámadat-kezelésre nem került sor, erre vonatkozó eljárásrendet sem alakított ki. (24) A Kérelmezett előadta továbbá, hogy a Kérelmezett ügyintézője által említett, a Kérelmező

0620[…] telefonszámát követeléskezelés céljából, jogos érdek jogalapon kezelte. A 0620[…] telefonszámmal kapcsolatban a Kérelmezett előadta, hogy a Kérelmező adatkezelés elleni tiltakozásának eredményeként a telefonszámadat törlésre került, emiatt az adat forrásának rekonstruálása nem lehetséges. A Kérelmezett vélelmezi, hogy a Kérelmező 0620[…] telefonszáma a követelés engedményezése során került átadásra. (25) A Kérelmezett előadta, hogy a jelen eljárás alapját képező ügy azonos időszakra esik, mint a

2022. április 19. napján kelt NAIH-4783-1/2022. számú határozatban vizsgált adatkezelés. Ebben a határozatban a Hatóság elmarasztalta a Kérelmezettet a telefonszámadat kezelésével kapcsolatos gyakorlata miatt, és megállapította, hogy jogszerűen csak a GDPR 6. cikk (1) bekezdés a) pont alapján kezelhető követeléskezelési célból a telefonszámadat. A Kérelmezett ezt követően átalakította a gyakorlatát, és 2023. május. 2-től csak az első kapcsolatfelvételig (engedményezést követő 180 napig) alkalmazza a GDPR 6. cikk (1) bekezdés f) pont szerinti jogalapot a telefonszámok követeléskezelés céljából történő kezelésére, és ezt követően csak akkor kezeli ezen adatot, ha az érintett ahhoz kifejezetten hozzájárult.

## II.5. A Kérelmezett a NAIH-6610-6/2023. számú nyilatkozatának 3. számú mellékleteként

benyújtott telefonszámadat kezelésére vonatkozó érdekmérlegelési tesztje (kelt: 2021.

## március 30.)

(26) „Az adatkezelés célja tehát az érintettek telefonos megkeresése, telefonhívások fogadása a

[…] az érintettel szemben fennálló követelésének behajtása és érvényesítése, illetve kapcsolattartás céljából szükséges.” (27) „A […], mint adatkezelő jogos érdeke a fennálló követeléseinek érvényesítése, és azok sikeres behajtása, melyhez szükséges az érintett telefonszámának nyilvántartása, illetve telefonos úton történő megkeresése, továbbá a beérkező telefonhívások fogadása, tekintettel arra, hogy azok kezelése nélkül a követeléskezelés nem érné el a célját. Az adatkezelés nélkül a követeléskezelés hatékonysága csökkenhet, a telefonszám hiánya okán elmaradó kapcsolatfelvétel és tájékoztatás hiánya fogyasztói panaszokhoz vezethet, a […] pontos telefonszám adat hiányában akadályozva lenne jogainak érvényesítésében és jogi kötelezettségek teljesítésében is. A követelés érvényesítéséhez pedig szükséges, hogy megfelelő és pontos telefonszám álljon a […] rendelkezésére. A telefonszám hiányában a követeléskezelési folyamat aránytalanul elhúzódhatna, költségessé válna. […]” (28) […] „A telefonszám kezelése nélkül a követeléskezelés folyamata megakadna, sok esetben az érintettekkel történő kapcsolattartás, és ezáltal végeredményben a követelés behajtása nem érné el a célját. Amennyiben ugyanis az érintett ismert lakcímén bizonyítottan nem elérhető (tértivevény „címzett elköltözött”, „cím nem azonosítható”, a „kézbesítés akadályozott”, „címzett ismeret”-ként érkezik vissza), akkor az érintett megkeresése másként nem biztosítható. Megfelelő lakcím adat hiányában a […] nem tudná megkeresni az érintetteket. Fontos kiemelni, hogy sok esetben az érintett szándékosan is meg tudja akadályozni a lakcímen történő felkeresést, azáltal ellehetetlenítené a követelés behajtását.[…]” (29) […] „A telefonon történő kapcsolattartás lehetővé teszi, hogy a követeléskezelési tevékenységben kevésbé jártas, ide vonatkozó kifejezéseket nem ismerő, laikus, - különös tekintettel írni, olvasni nem tudó érintettekre – azonnal testreszabott, érthető tájékoztatást és iránymutatást kapjon. […]” (30) A Kérelmezett a fentieken túl az érdekmérlegelésében hangsúlyozta, hogy a telefonos kapcsolattartás során minden fontos információt az érintettek rendelkezésére bocsát, továbbá a polgári jogban érvényesülő együttműködés kötelezettségét, amely mindkét felet terheli. A Kérelmezett kitért arra is, hogy az együttműködési kötelezettség a kapcsolattartásra is vonatkozik. (31) A Kérelmezett hivatkozott a Magyar Nemzeti Bank (a továbbiakban: MNB) ajánlására és iránymutatásra, és kiemelte, hogy a fogyasztóval szembeni követeléskezelési tevékenységről szóló 2/2019. sz. ajánlásban és a fizetési késedelembe esett lakossági jelzáloghitelek helyreállításáról szóló 1/2016. (III.11.) MNB ajánlásban írtak szerint a telefonon történő megkeresés az MNB által is elfogadott kapcsolattartási mód. A Kérelmezett kiemelte továbbá, hogy a fogyasztóvédelmi elvek alkalmazásáról szóló 10/2016. sz. MNB ajánlás, valamint az azt hatályon kívül helyező 9/2020 MNB ajánlás általában a pénzügyi intézményrendszerrel kapcsolatban fogalmaz elvárásokat, többek között az ügyfelek korrekt tájékoztatását, ami a Kérelmezett álláspontja szerint ugyancsak indokolja a telefonszámadat kezelését, mivel ez elősegíti a hatékony és gyors tájékoztatást, közvetlen kommunikációt. (32) A fentiek után a Kérelmezett azt is hangsúlyozza, hogy mivel ez az adatkezelés követeléskezelés során bevett gyakorlat, ezért a Kérelmezett piaci hátrányba kerülne, ha nem követné ezt. (33) Az érintettek érdekeivel összefüggésben a Kérelmezett kiemeli, hogy ez az adatkezelés az érintett érdekében is áll, mivel az adatkezelés célja az is, hogy megállapodás szülessen a felek között. Ha erre nem kerül sor a „jogi szakasz”-ban, akkor akár végrehajtási eljárás alá is kerülhet, ami hosszadalmas és költséges. A Kérelmezett az érdekmérlegelésében megjegyzi, hogy „az adatkezelés az érintett jogát annyiban érinti hátrányosan, hogy személyes adatai feletti rendelkezési joga korlátozásra kerül. Erre azonban arányosan, a cél eléréséhez szükséges mértékben kerül sor.” (34) A Kérelmezett az érdekmérlegelésében hangsúlyozza azt is, hogy „az érintettek számíthatnak az adatkezelésre, mert az ilyen jellegű adatkezelés szokásosnak tekinthető fennálló tartozás meg nem fizetése esetén.”

(35) A Kérelmezett továbbá kiemelte, hogy az érintett az adatkezeléssel kapcsolatban jogosult a

GDPR-ban nevesített érintetti jogait gyakorolni. Ezzel kapcsolatban az érdekmérlegelés ugyanakkor nem tartalmaz leírást arra vonatkozóan, hogy ilyen esetben mikor kerülhet sor esetlegesen az adat törlésére, az érdekmérlegelés csupán a GDPR rendelkezéseit tartalmazza. (36) Az érdekmérlegelésben a Kérelmezett előadja, hogy „a telefonos megkeresés során jelzi az érintett felé, hogy ha nem szeretné a telefonos kapcsolatfelvételt, akkor szakítsa meg a hívást, és válassza a személyes vagy postai úton történő ügyintézést.”, továbbá az adatkezelés is csak „korlátozott ideig”, 8 évig történik figyelemmel a számvitelről szóló 2000. évi C. törvény 169. § (2) bekezdésére, és a munkavállalói kapcsolatfelvételkor tartózkodnak attól, hogy pszichés nyomást gyakoroljanak az érintettekre.

## II.6. A NAIH-4783-1/2022. számú határozat (kelt: 2022. 04. 19.) és az annak teljesítése során megküldött érdekmérlegelés (kelt: 2022.09.29.)

(37) A Kérelmezett által hivatkozott NAIH-4783-1/2022. számú határozatban a Hatóság megállapította, hogy a Kérelmezett megsértette a GDPR 5. cikk (2) és 6. cikk (1) bekezdését, mert nem megfelelő jogalapra hivatkozással kezelte az érintett személyes adatait, többek között a telefonszámát. A Kérelmezett a határozat teljesítése során értesítette a Hatóságot arról, hogy elkészítette az érdekmérlegelést – többek között – a telefonszámadatok kezelésével összefüggésben, melyet becsatolt és melyre a jelen ügyben is hivatkozott. (38) A Hatóság a Kérelmezett telefonszámadatok követeléskezelés célú adatkezelésére vonatkozó érdekmérlegelésével kapcsolatban az alábbiakat állapította meg, melyről a Kérelmezettet 2022. 09. 29-én a NAIH-4783-14/2022. sz. iratban értesítette:

„Az […] által továbbított érdekmérlegelési teszt szerint a követelésbehajtáshoz szükséges a telefonszám kezelése a jogi eljárások megindításának megelőzése érdekében, a cél az adós teherviselő képességének megállapítása, és az adós számára is elfogadható megoldás kidolgozása is. Amennyiben az adós a hívások mellőzését kéri, visszavonja az ecélú hozzájárulását, az engedményezés során átadott – korábban a hitelfelvétel során megadott és az engedményező által hozzájárulás alapján kezelt - telefonszám a telefonos kapcsolattartásra a továbbiakban nem használható, azt törölni kell, mert a kezelése cél nélkülivé és jogalap nélkülivé vált. A Hatóság nem osztja az […] érdekmérlegelésében leírt álláspontot, ugyanis a GDPR 5. cikk (1) bekezdésének c) pontjában szereplő adattakarékosság elvére figyelemmel az az alapvető kérdés, hogy a telefonszám szükséges-e a követelésbehajtáshoz, vagy sem. Ezzel kapcsolatban az alábbi a Hatóság véleménye:

- A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR) 5. cikk (1) bekezdésének c) pontja alapján a követeléskezeléssel foglalkozó cégek adatkezelése tekintetében csak a követelés érvényesítéséhez elengedhetetlenül szükséges személyes adatok kezelhetők. A telefonszám nem minősül ilyen személyes adatnak.

- Egyrészről nincs olyan ágazati jogszabály, mely részletesen meghatározná a követeléskezelési eljárásban kezelhető/felhasználható személyes adatok körét, az adatok kezelésének, átvételének, továbbításának feltételeit. - A nemperes eljárások kezdeményezésére és lefolytatására, valamint a végrehajtási eljárás lefolytatása során történő adatkezelésre vonatkozóan készített érdekmérlegelésben hivatkozott a fizetési meghagyásos eljárásról szóló 2009. évi L. törvény és a bírósági végrehajtásról szóló 1994. évi LIII. törvény alapján nem szükséges egyik eljárás megindításához sem a telefonszám (és az e-mail cím sem), hiszen ehhez az adós azonosító és lakcím adatai, valamint a követelés fennállását biztosító adatok szükségesek. - Az […] azt állítja az érdekmérlegelésében, hogy a jogos érdek jogalapon kezelt telefonszám szükséges az adóssal szembeni jogi eljárások megindításának megelőzéséhez, vagyis a telefonszám hiányának (és így a telefonos kapcsolattartásnak) egyenes következménye, hogy a cégüknek jogi eljárásokat kell kezdeményezniük. Ezt a Hatóság nem tartja helytállónak, hiszen postai úton is felvehetik a kapcsolatot az adóssal, és ezen úton is megelőzhető a jogi eljárás, arra tekintettel, hogy az esetleges egyezséget dokumentáltan papír alapon szükséges megkötni. Az adatkezelő érdekét mindenképpen megelőzi az adós azon joga, hogy írásbeli – azon belül is a hivatlosnak minősülő postai úton történő - kapcsolattartást válasszon, tehát írásbeli kommunikációt tartson megfelelőnek, ezért tiltakozzon a telefonszám kezelése ellen.“ (39) Mindezek alapján a Hatóság az érdekmérlegelést és a jogos érdek jogalapját nem fogadta el, a határozatot nem tekintette teljesítettnek. Ezután a Kérelmezett arról nyilatkozott 2022.10.11én, hogy a telefonszámok kezelésével kapcsolatos gyakorlatát felülvizsgálja. Ezt a nyilatkozatot a Hatóság a 2023. február 16-án küldött válaszában elfogadta.

## II.7. A megállapított tényállás

(40) A Kérelmező a használója a munkáltatója által előfizetett 0670[…]-as telefonszámnak. Erről megállapodás született a Kérelmező és a munkáltatója között. A Kérelmező a hivatkozott telefonszámot hívta fel a Kérelmezettel való 2022. 06.15-i telefonos kapcsolatfelvétel során. (41) A telefonbeszélgetéseket rögzítő leiratokból megállapítható, hogy a Kérelmező által kezdeményezett 2022. 05.12-i telefonbeszélgetés során a Kérelmezett érdeklődött a jövőbeni telefonos kapcsolattartással kapcsolatban – melyre a Kérelmező válaszul jelezte, hogy nem kíván telefonos elérhetőséget megadni -, a Kérelmezett ennek ellenére 2022. 06.15-án megkereste a Kérelmezőt először a 0620[…]-as, majd a 0670[…]-as telefonszámán. Ezen telefonbeszélgetés során a Kérelmező kijelentette, hogy nem adta hozzájárulását a 0670[…]es telefonszáma kezeléséhez, illetve semmilyen telefonos elérhetőség rögzítéséhez nem járult hozzá. (42) A Kérelmező által tett kijelentések egyértelműen arra irányultak, hogy ne tárolják a telefonszámát és ne használják kapcsolatfelvételre, ez értelmezhető úgy, hogy nem adott hozzájárulást, illetve hogy tiltakozik az adatkezelés ellen. A 2022.06.15-i telefonos leiratban foglaltak a GDPR 21. cikk szerinti tiltakozás jog gyakorlásaként értékelendőek a Kérelmezett által, tehát a Kérelmezettnek a telefonbeszélgetés során elhangzott kérést tiltakozásnak kellett volna tekintenie, mivel a nyilatkozata szerint ebben az időszakban a telefonszámok kapcsolattartási célú kezelését a jogos érdek jogalapjára alapozta.

(43) Az ügyintéző válasza a Kérelmező kéréseire az volt, hogy nem rögzíti a telefonszámot, nincs rögzítve kapcsolattartási szám. A Kérelmezett ezzel kapcsolatban a jelen eljárásban tett nyilatkozatában vélelmezte, hogy a Kérelmező 0670[…] telefonszáma a korábbi panaszkezelési folyamat során rögzített dokumentációból került felhasználásra. (44) A NAIH-6610-1/2023. sz. kérelem melléklete és a NAIH-6610-6/2023. sz. beadvány 5. sz.

melléklete szerinti 2022.06.15-ei telefonbeszélgetés leirataiból megállapítható, hogy a Kérelmező nem kapott tájékoztatást a telefonbeszélgetés során arról, hogy nem a telefonáló által vélelmezett hozzájárulás, hanem jogos érdek alapján kezeli a Kérelmezett a telefonszámokat követeléskezelési célból, sem arról, hogy milyen érintetti jogokat hogyan gyakorolhat a Kérelmező (konkrétan pl. jogos érdek jogalap esetén tiltakozási jog), sem pedig arról, hogy panaszkezelés tekintetében jogi kötelezettség alapján, továbbá hangfelvétel mint bizonyíték megőrzése cél tekintetében jogos érdek jogalapon tárolja, megőrzi – többek között – a telefonszámot a Kérelmezett. Továbbá a Kérelmezett munkatársa a telefonon elhangzottakat nem értékelte tiltakozásként és nem tett ennek megfelelő intézkedéseket. (45) Viszont a Kérelmező telefonszámadatának törlésére került sor, elektronikus úton 2022.11.02án érkezett kérelmezői kérelem nyomán, mivel a Kérelmező ily módon is tiltakozott telefonszámadatának kezelése miatt. A Kérelmezett […] iktatószámú 2022. november 30-án kelt, a Kérelmezőnek küldött válasza szerint a tiltakozást tartalmazó kérelmet megvizsgálták, és a kérelmet teljesítve a telefonszám adatát törölték mindkét ügyben. (46) A Kérelmezett továbbá nyilatkozott a Hatóságnak is arról, hogy a telefonszámot, mint kapcsolattartási adatot törölte, ugyanakkor panaszkezeléssel kapcsolatban és a telefonos ügyfélszolgálattal folytatott beszélgetések kapcsán továbbra is nyilvántartja. A Kérelmezett képernyőkép másolatával igazolta a Hatóság felé, hogy a Kérelmezővel kapcsolatosan nem kezel kapcsolattartás céljából telefonszámot. (47) A Kérelmezett egyik telefonszámadat forrására vonatkozóan sem tudott egyételmű választ adni, mivel a Kérelmező tiltakozása eredményeképpen mindkettő telefonszámadatot 2022. november 30-án törölte rendszeréből. (48) A Kérelmezett a kapcsolattartás céljából kezelt telefonszámok esetében 2023. május 2-át megelőzően jogos érdek jogalapot alkalmazott. A Kérelmező telefonszámai tekintetében is jogos érdekre alapozta a követeléskezelési célú adatkezelését, mindaddig, amíg 2022. november 30-án törölte a Kérelmező telefonszámát a Kérelmező tiltakozása nyomán.

## III. Alkalmazott jogszabályi rendelkezések

(49) A GDPR 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre a GDPR-t kell alkalmazni. (50) A GDPR hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint a GDPR-t az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. (51) A GDPR 4. cikk 1. „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. (52) A GDPR 4. cikk 2. pontja szerint „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés. (53) A GDPR 4. cikk 7. pontja az adatkezelő fogalmát úgy határozza meg, hogy „az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.” (54) A GDPR 5. cikk (2) bekezdés alapján az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). (55) A GDPR 6. cikk (1) bekezdése alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. (56) A GDPR 21. cikk (1) bekezdés szerint az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak. (57) Az Infotv. 38. § (3) bekezdése és 60. § (1) bekezdése alapján a Hatóság az Infotv. 38. § (2) és (2a) bekezdés szerinti feladatkörében a személyes adatok védelméhez való jog érvényesítése érdekében hivatalból adatvédelmi hatósági eljárást folytat.

(58) Az Infotv. 60/A. § (1) bekezdése alapján az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap. (59) Az Infotv. 61. § (1) bekezdés a) pontja alapján a Hatóság a 2. § (2) és (4) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben a GDPR-ben meghatározott jogkövetkezményeket alkalmazhatja. (60) Az Infotv. 75/A. §-a szerint a Hatóság az általános adatvédelmi rendelet 83. cikk (2)–(6)

bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. (61) GDPR 58. cikk (2) bekezdés i) pontja alapján, a felügyeleti hatóság korrekciós hatáskörében eljárva a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. (62) A GDPR 77. cikk (1) bekezdés alapján az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban -, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet. (63) Az általános adatvédelmi rendelet 83. cikk (1) bekezdése szerint valamennyi felügyeleti hatóság biztosítja, hogy az általános adatvédelmi rendelet 83. cikk (4), (5), (6) bekezdésben említett megsértése miatt kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. (64) A GDPR 83. cikk (2) bekezdés alapján a közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;

i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban - ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. (65) Az általános adatvédelmi rendelet 83. cikk (5) bekezdése szerint az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az általános adatvédelmi rendelet 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai az általános adatvédelmi rendelet 12–22. cikknek megfelelően; c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása az általános adatvédelmi rendelet 44–49. cikknek megfelelően; d) az általános adatvédelmi rendelet IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; e) a felügyeleti hatóság általános adatvédelmi rendelet 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az általános adatvédelmi rendelet 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása. (66) A hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013.évi CCXXXVII. törvény 288. § (2)

bekezdés alapján a telefonon történő panaszkezelés esetén a pénzügyi intézmény, független közvetítő és az ügyfél közötti telefonos kommunikációt a pénzügyi intézmény hangfelvétellel rögzíti, és a hangfelvételt öt évig megőrzi. Erről az ügyfelet a telefonos ügyintézés kezdetekor tájékoztatni kell.

## IV. Döntés

## IV.1. A vizsgált adatkezelés és a Kérelmezett adatkezelői minősége

(67) A Hatóság a kérelemre indult adatvédelmi hatósági eljárásban azt vizsgálta, hogy a

Kérelmezett adatkezelése jogszerű volt-e a Kérelmező 0670[…]-es telefonszámadatának kezelése során, továbbá a GDPR-ban nevesített tiltakozási jog biztosítva volt-e. (68) Az általános adatvédelmi rendelet 4. cikk 1. pontja szerint a telefonszámadat az érintett személyes adatának tekintendő, ugyanis a telefonszám hozzá köthető, hívás kezdeményezése, fogadása során vele létesíthető kapcsolat, illetve a jelen esetben a Kérelmezettel való kapcsolatfelvétel során ezt használta, és a személyével egyértelműen kapcsolatba hozható. (69) A GDPR 4. cikk 2. pontja alapján a Kérelmezett által a Kérelmező 0670[…] telefonszámadata vonatkozásában történt hívások, továbbá ezen adatok tárolása is adatkezelés. (70) A Hatóság továbbá megállapította, hogy a Kérelmező személyes adatainak kezelése vonatkozásban a Kérelmezett a GDPR 4. cikk 1. pontja alapján adatkezelő, mivel az adatkezelés céljáról, eszközeiről döntött, így az adatkezelői felelőssége fennáll a GDPR alapján.

IV.2. A

## Kérelmezett adatkezelése

a

## Kérelmező

0670[…]-es telefonszámadatával kapcsolatban

## IV.2.1. Kapcsolattartási célú adatkezelés

(71) A Hatóság a Kérelmezett által hivatkozott NAIH-4783-1/2022. sz. határozatban egyedi ügyben, kérelemre indult eljárásban marasztalta el és szankcionálta bírsággal a Kérelmezettet. A hivatkozott határozatban a Hatóság nem vizsgálta a Kérelmezett telefonszámadatok követeléskezelési célból történő kezelésével kapcsolatos érdekmérlegelését, azt a Kérelmezett a határozat teljesítése során nyújtotta be a Hatósághoz. (72) A Kérelmező többször, igazoltan 2022. 05.12-én egyértelművé tette, hogy nem kíván telefonos kapcsolatfelvételt a Kérelmezett részéről, ennek ellenére a Kérelmezett 2022. 06.15-i telefonos leiratban a 0670[…]-es telefonszámon mégis megkereste a Kérelmezőt. (73) A Hatóság rögzíti, hogy a telefonosbeszélgetés a Kérelmezett ügyintézőjéhez köthető, ugyanakkor a GDPR 4. cikk 7. pontja értelmében a Kérelmezett minősül adatkezelőnek és Kérelmezett az, aki megszervezi az adatkezelés folyamatát és kialakítja annak körülményeit. Az adatkezelő legfontosabb jellemzője az, hogy érdemi döntéshozatali jogkörrel rendelkezik, és felelősséggel tartozik az adatkezelés valamennyi, az általános adatvédelmi rendeletben rögzített kötelezettség teljesítéséért. Mindezek alapján az esettel összefüggő GDPR jogsértés is a Kérelmezett, mint adatkezelő felelősségi körébe esik. (74) A NAIH-4783/2022. sz. határozat teljesítésének ellenőrzése során a NAIH korábban vizsgálta a

Kérelmezett általános adatkezelési gyakorlatát és általánosan a telefonszámok kapcsolattartási célú használatának érdekmérlegelését, és nem fogadta el a jogos érdek elsődlegességét, illetve a jogos érdek jogalapját. Ez a jelen ügyre is irányadó, mivel a vizsgált adatkezelés a jogos érdek jogalap alkalmazásának időszakára esik, és a Kérelmezett 2022. októberében nyilatkozott arról, hogy megváltoztatja az eddigi általános gyakorlatát, majd 2023. május 2-től tért át a hozzájárulás kérésének gyakorlatára. Ebből következően a jogos érdek jogalap alkalmazása jelen ügyben sem jelent megfelelő jogalapot az adatkezelésre, tehát a Kérelmezett jogalap nélküli adatkezelést végzett. A hivatkozott előzmény határozat teljesítésének vizsgálata során a vonatkozó általános, minden érintettre vonatkozó megállapításokat már megtette a Hatóság. Emiatt annak kimondása történik, hogy a jogalap nélküli adatkezelés a Kérelmező érintett tekintetében is megtörtént, mivel a Kérelmezett jogos érdekének elsődlegessége nem áll fenn a kapcsolattartás tekintetében. Azonban e jogsértés megállapításán túl, szankcionálásra és intézkedés elrendelésére nem kerül sor jelen kérelmes ügyben. (75) Megjegyzendő, hogy az általános érdekmérlegeléshez képest az a körülmény is a Kérelmező érdekeinek elsődlegességét erősíti a Kérelmezett érdekeivel szemben, hogy jelen esetben „céges” telefonszámról van szó, tehát munkáltató előfizetésében, munkavállaló használatában lévő számról, mely tekintetben méltányolandó az az érintetti érdek, hogy ne legyen nyilvántartva a telefonszám, mint a Kérelmező elérhetősége. (76) Az ügyben rendelkezésre álló információk alapján látható továbbá, hogy a Kérelmezett nyilatkozatai ellentmondásosak, gyakorlata nem következetes. Ugyanis a Kérelmezett ügyintézője a telefonbeszélgetés során azt válaszolta a Kérelmezőnek, hogy a telefonszáma nincs kapcsolattartási célból rögzítve és azt nem is rögzíti. Ugyanakkor a jogos érdek jogalap alkalmazása miatt erre lehetősége lett volna, de az ügyintéző nem erről adott tájékoztatást, hanem mintha hozzájárulás alapú adatkezelésnek tekintette volna, nem rögzítette a telefonszámadatot. Ezt erősítette meg a Kérelmezett eljárás során tett azon nyilatkozata, hogy az ügyintéző vélhetően a panaszügyintézés dokumentációjából használta fel a telefonszámot. Ezzel ellentétesen a Kérelmezett arról adott tájékoztatást a 2022. november 30-án kelt, a Kérelmezőnek küldött válaszában, hogy a kérelmét teljesítve a telefonszám adatát törölték mindkét ügyben. Ezt a Kérelmezett a Hatóságnak tett nyilatkozatában is megerősítette. Tehát látható, hogy a megtett nyilatkozatok egymással ellentmondásban vannak, mert vagy nem szerepelt telefonszám a követeléskezelési nyilvántartásban, és akkor nem volt mit törölni, vagy pedig mégis volt telefonszám rögzítve, melyet kérésre töröltek. Az ellentmondás feloldása és annak megállapítása, hogy mi a valós, tényleges helyzet, melyik a helyes nyilatkozat, tehát a tényállás további tisztázása már nem lehetséges, mert a telefonszámadatok törlésre kerültek, a nyilvántartás korábbi állapota nem rekonstruálható. Az viszont látható, hogy a Kérelmezett fentiekben részletezett adatkezelési folyamata nem egyértelmű, a Kérelmezőnek és a Hatóságnak adott tájékoztatása nem következetes, hanem önellentmondásokat tartalmaz, ezért az adatkezelésének jogszerűsége e vonatkozásban nem alátámasztott, az adatvédelmi előírásoknak való megfelelése nem bizonyított. (77) A fentiek alapján a Hatóság megállapította, hogy a Kérelmezett megsértette a GDPR 5. cikk (2)

bekezdésében foglalt elszámoltathatóság alapelvét, mely szerint az adatkezelőnek igazolnia kell adatkezelése megfelelőségét. (78)Tekintettel arra, hogy a Kérelmezett az eljárás során képernyőképpel igazolta, hogy a

Kérelmező vonatkozásában már semmilyen telefonszámadatot nem kezel követeléskezelési célból, ezért a Hatóság adat törlésére nem utasította a Kérelmezettet.

## IV.2.2. Telefonbeszélgetéssel összefüggő adatkezelés

(79) A becsatolt dokumentumok szerint a Kérelmezett a […] iktatószámú 2022. november 30-án kelt levelében értesítette a Kérelmezőt, hogy törölte kapcsolattartásként rögzített telefonszámadatát, annak ellenére, hogy a Kérelmező már – a leiratok tanúsága szerint – a 2022.06.15-ei telefonbeszélgetés során egyértelműen jelezte, hogy nem adta hozzájárulását a 0670[…]-es telefonszámadatának kezeléséhez. Mivel a GDPR az érintetti kérelmek előterjesztésével kapcsolatban nem alkalmaz formakényszert, valamint a Kérelmezett 2022.06.15. napján többek között azért kereste meg a Kérelmezőt, hogy követeléskezeléssel kapcsolatban adatokat egyeztessen, mely kapcsolattartási adatok kezelését a Kérelmezett 2023. május 2-át megelőzően jogos érdek jogalapon kezelt, így a Kérelmező által megfogalmazott telefonos kapcsolattartás megtagadása GDPR 21. cikk szerinti érintetti kérelemnek tekintendő a Kérelmezett által. A Hatóság álláspontja szerint 2022.06.15-i telefonos beszélgetés során az ügyintézőnek rögzítenie kellett volna, hogy egy GDPR 21. cikk szerinti érintetti kérelmet nyújtott be a Kérelmező, és erről őt szóban vagy írásban tájékoztatnia kellett volna. (80) Továbbá a Kérelmező a NAIH-6610-1/2023. sz. kérelem melléklete és a NAIH-6610-6/2023. sz.

beadvány 5. sz. melléklete szerinti 2022.06.15-ei telefonbeszélgetés leirataiból megállapítható, hogy nem kapott tájékoztatást arról, hogy nem hozzájárulás, hanem jogos érdek alapján kezeli a Kérelmezett a telefonszámokat követeléskezelési célból, sem arról, hogy milyen érintetti jogokat hogyan gyakorolhat a Kérelmező – konkrétan pl. jogos érdek jogalap esetén tiltakozási jog -, sem pedig arról, hogy jogi kötelezettség alapján, illetve jogos érdek jogalapon tárolja, megőrzi – többek között – a telefonszámot a Kérelmezett. Továbbá a Kérelmezett munkatársa a telefonon elhangzottakat nem értékelte tiltakozásként és nem tett ennek megfelelő intézkedéseket. (81) A Kérelmezett azzal, hogy a 2022.06.15-ei telefonbeszélgetés során a Kérelmező kéréseire adott válaszában sem a jogalapról és az ezzel összefüggő tiltakozási jogról nem tájékoztatta a Kérelmezőt, sem tiltakozási jognak nem tekintette a Kérelmező kérését, hanem csak a Kérelmező későbbi, írásban benyújtott kérelmére válaszolt, megsértette a GDPR 21. cikk (1) bekezdését.

## IV.3. Jogkövetkezmények

(82) A Hatóság megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértések esetében a figyelmeztetés nem arányos szankció, ezért bírság kiszabása szükséges. Azonban a Hatóság a GDPR 6. cikk (1) bekezdésének megsértését nem szankcionálja. (83) A Hatóság a bírság összegének meghatározása során figyelembe vette, hogy a Kérelmezett által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdése szerint az magasabb maximális összegű bírságkategóriába tartozó jogsértésnek minősülnek. (84) A Hatóság figyelembe vette a bírság összegének megállapítása során az Európai Adatvédelmi

Testület 4/2022-es számú iránymutatásában2 (a továbbiakban: Iránymutatás) foglaltakat, amely az általános adatvédelmi rendelet szerinti közigazgatási bírságok kiszabásának számítási szempontjait tartalmazza. Erre tekintettel a bírság összegének meghatározására a következő szempontok alapján került sor:

o Kérelmezett 2023. évi beszámolója alapján árbevétele […] HUF, azaz […] forint volt.

o Kérelmezett 2024. évi beszámolója alapján árbevétele […] HUF, azaz […] forint volt. (85) A Hatóság a bírság összegének meghatározása során az utolsó lezárt év (2024) árbevételét vette alapul. (86) Az általános adatvédelmi rendelet 83. cikk (5) bekezdésében foglaltak alapján a Kérelmezett az elkövetett jogsértések esetén legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal [statikus bírságmaximum], illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb %-át kitevő összeggel sújtható [dinamikus bírságmaximum]; a kettő közül a magasabb összeget kell kiszabni. (87) A Kérelmezett 2024-es árbevételének 4%-a […] HUF, azaz […] forint, amely a jelenlegi

HUF/EUR árfolyam mellett nem haladja meg a rendelet által meghatározott ún. statikus bírságmaximumot, azaz 20.000.000 EUR-nak megfelelő összeget. Mivel a statikus és a dinamikus összegek közül a bírságot az adott esetben kiszabható magasabb kategória

2https://www.edpb.europa.eu/system/files/2024- 01/edpb_guidelines_042022_calculationofadministrativefines_hu_0.pdf alapján kell számolni és ahhoz arányosítani, így a Kérelmezett jelen ügyben legfeljebb 20.000.000 EUR-nak megfelelő közigazgatási bírsággal sújtható. (88) Az Iránymutatás alapján az általános adatvédelmi rendelet 83. cikk (5) bekezdése szerinti bírságkategóriába tartozó azon jogsértések esetén, amelyekre a 20.000.000 EUR-os statikus bírságmaximum irányadó, további vizsgálat tárgyát képezi a vállalkozás bírság összeg meghatározása során figyelembe vett nettó árbevétele, továbbá az elkövetett jogsértés súlya. (89) A Kérelmezett 2024. évi nettó árbevétele alapján […] HUF, azaz […] forint, amely a jelenlegi

HUF/EUR árfolyammal számolva az Iránymutatás által megjelölt 10 millió eurótól legfeljebb 50 millió euróig terjedő forgalommal rendelkező vállalkozások kategóriába esik a vállalkozások gazdálkodási adatainak figyelembevétele kapcsán. (90) A Hatóság az adatvédelmi bírság összegének meghatározása során súlyosbító körülményként vette figyelembe, hogy a Kérelmezett által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek. Súlyosbító körülménynek tekintendő továbbá, hogy a Kérelmezett elmarasztalására már többször sor került a GDPR megsértése miatt. (91) A Hatóság a Kérelmezettel szemben az általános adatvédelmi rendelet megsértése miatt többször szabott ki bírságot:

- NAIH/2020/35/3. sz. határozat: egymillió forint, - NAIH/2020/687/2. sz. határozat: kétmillió forint, - NAIH/2020/2025/2. sz. határozat: ötszázezer forint, - NAIH/2020/2616/9. sz. határozat: ötmillió forint, - NAIH/2020/2760/9. sz. határozat: kétmillió forint. - NAIH/3659/2021/1. sz. határozat: ötmillió forint, - NAIH/4783/2022/1. sz. határozat: egymillió forint, - NAIH/1000/2023/1. sz. határozat: egymillió forint

A fenti ügyekből a Kérelmezett által korábban elkövetett, releváns, alapelvi jellegű (GDPR 5. cikk) jogsértések (GDPR 83. cikk 2) bekezdés e) pont):

NAIH/2020/35/3. sz. határozat, - NAIH/2020/687/2 sz. határozat, - NAIH/2020/2025/2. sz. határozat, - NAIH/2020/2616/9. sz. határozat, - NAIH/2020/2760/9. sz. határozat, - NAIH/3659/2021/1. sz. határozat, - NAIH/4783/2022/1. sz. határozat -NAIH/1000/2023/1. sz. határozat Ezek közül az alapelv megsértését kimondó döntések közül az elszámoltathatóság elvének sérelmét tartalmazza a NAIH/3659/2021/1. sz. határozat; NAIH/4783/2022/1. sz. határozat és a NAIH/1000/2023/1. sz. határozat.

A fenti ügyekből az érintetti jogok megsértésének megállapítása:

- NAIH/2020/687/2 sz. határozat, - NAIH/2020/2025/2. sz. határozat, - NAIH/2020/2616/9. sz. határozat, - NAIH/3659/2021/1. sz. határozat. Ezek közül egyik határozat sem tartalmazza a tiltakozáshoz való érintetti jogosultság sérelmét.

(92) A Hatóság a bírságkiszabás során enyhítő körülményként vette figyelembe az ügyintézési határidő túllépését, az ügyintézés elhúzódását, továbbá azt, hogy a Kérelmező meglehetősen nagy számban hívta fel a Kérelmezettet az eljárás tárgyával összefüggő időszakban.

(93) A Hatóság a bírság kiszabása tekintetében a GDPR 83. cikk 2) bekezdésének a következő rendelkezéseit nem vette figyelembe, mert a tárgyi ügyben nem voltak relevánsak: c) pont, d) pont, f) pont, g) pont, h) pont, és j) pont.

(94) A Hatóság az elkövetett jogsértések, a feltárt tényállás, valamint az adott ügyre vonatkozó súlyosító és enyhítő körülmények alapján jelen ügyben közepes súlyúnak ítélte meg az elkövetett jogsértéseket.

(95) Az Iránymutatás alapján amennyiben a vállalkozás előző évi nettó árbevétele 10 millió eurótól legfeljebb 50 millió euróig terjed, a kiszabható bírság maximális összege a közepes súlyú jogsértések esetén 30.000 – 400 000 EUR-ra csökken.

(96) A bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg.

(97) A kiszabott bírság a jogsértés súlyával arányos, az nem tekinthető túlzónak, a Kérelmezett gazdasági súlyához és a rendelkezésére álló pénzügyi erőforrásokhoz képest alacsony összeg.

(98) A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött. (99) A Hatóság túllépte az Infotv. 60/A.§ (1) bekezdése szerinti ügyintézési határidőt, ezért a Kérelmezőt 10.000 Ft, azaz tízezer forint illeti meg – választása szerint – bankszámlára utalással vagy postai utalvánnyal az Ákr. 51. § (1) bekezdés b) pontja alapján.

## V. Egyéb kérdések

(100) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (101) A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal és a végzéssel szemben közigazgatási per útján van helye jogorvoslatnak.

(102) Az Ákr. 135. §-a szerint a kötelezett a törvényes kamatnak megfelelő mértékű késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget (103) A Polgári Törvénykönyvről szóló 2013. évi V. törvény 6:48. § (1) bekezdése alapján pénztartozás esetén a kötelezett a késedelembe esés időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni.

(104) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (105) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, a digitális államról és digitális szolgáltatások nyújtásának egyes szabályairól szóló 2023. évi CIII. törvény 19. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

(106) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (107) Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el.

(108) Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja.

Budapest, „az elektronikus aláírás és időbélyeg szerint”

Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár