Ügyszám: NAIH/2020/308. Tárgy: kérelemnek részben helyt adó határozat Előzmény ügyszám: NAIH/2019/6157.

## H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] kérelmező (a továbbiakban: Kérelmező) az […] (a továbbiakban: Kérelmezett) 2019. július 5-én kelt hozzáférési joga gyakorlására irányuló kérelmének nem megfelelő teljesítése tárgyában 2019. augusztus 6-án benyújtott kérelme nyomán indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

## I. A Hatóság a Kérelmező kérelmének helyt ad és megállapítja, hogy a Kérelmezett nem megfelelően

teljesítette a 2019. július 5-én kelt hozzáférési joga gyakorlására irányuló kérelmét és ezzel megsértette a Kérelmező hozzáférési jogát.

II. A Hatóság utasítja a Kérelmezettet, hogy a határozat véglegessé válásától számított 30 napon belül biztosítson hozzáférést a Kérelmezőnek a hozzáférési kérelemben megjelölt személyes adataihoz, ide nem értve azokat az adatokat, amelyekhez a Kérelmező hozzáférést kért, azonban nem minősülnek a személyes adatának. III. A Hatóság a kérelmet a Kérelmező személyes adatának nem minősülő adatok vonatkozásában elutasítja. IV. A Hatóság hivatalból az I. pontban megállapított jogsértés miatt a Kérelmezettet a jelen határozat véglegessé válásától számított 30 napon belül

2.000.000 Ft, azaz kétmillió forint adatvédelmi bírság megfizetésére kötelezi.

* * * Az II. pont szerinti intézkedés megtételét a Kérelmezettnek a határozat véglegessé válásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A bírságot a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2020/308.BÍRS. számra kell hivatkozni. Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A II. pont szerinti kötelezettség, illetve a bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását. A jelen határozattal és eljárást megszüntető végzéssel szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke

30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

## I N D O K O L Á S

## I. Az eljárás menete és a tényállás tisztázása

## I.1. A Kérelmező a Hatósághoz 2019. augusztus 6. napján érkezett kérelmében adatvédelmi hatósági

eljárás megindítását kezdeményezte a Kérelmezettel szemben.

A kérelem szerint a Kérelmezett nem teljesítette a 2019. július 5-én kelt és a Kérelmezett által 2019. július 10-én átvett hozzáférési joggyakorlásra irányuló kérelmében foglaltakat, a kért adatokhoz nem biztosított számára hozzáférést.

A hozzáférési kérelemben a Kérelmező arról kért tájékoztatást a Kérelmezettől, hogy történt-e adatvédelmi incidens, illetve helyesbítés a […] nyilvántartási számú ügylethez kapcsolódóan kezelt személyes adataival összefüggésben.

A Kérelmező előadta, hogy álláspontja szerint a személyes adatai vonatkozásában adatvédelmi incidens történt, mivel a Kérelmezett által kezelt „adatok olyan módon módosultak, amelyeket az érintett nem lát át, nem látja az érintett az adatkezelés következetességét és jogszerűségét, az adatkezelő nyilvántartása és az érintett saját nyilvántartása nem egyezik meg ugyanazon időpontokra vetítve”, valamint „az adatkezelő nyilvántartásában tárolt adatok nem következetesek és nem alkotnak zárt logikai egységet és nagy mértékben valószínűsíthető, hogy a nyilvántartott adatok között ellentmondás áll fenn; az adatkezelő ugyanarra az időpontra vonatkozóan legalább egy esetben ellentmondó adatokat, információkat közölt az érintettel.”

A Kérelmező tájékoztatást kért továbbá arról, hogy a 2014. szeptember 30-án kelt […] elnevezésű dokumentumot, valamint a 2014. december 9-én 14:26 perckor a […] e-mail címről küldött azon tájékoztatást, miszerint a részletfizetési megállapodás felbontásra került, milyen személyes adatok alapján küldték meg a részére.

A Kérelmező a hozzáférési kérelme 3. pontjában azt kérte a Kérelmezettől, hogy küldje meg részére a nyilvántartásában szereplő adatok közül az általa teljesített befizetések minden egyes adatát a nyilvántartás szerinti terjedelemben, valamint az általa teljesített befizetések által érintett bankkivonatok másolatát. Emellett kérte két általa teljesített befizetés – […] – pénzügyi és számviteli elszámolását minden közvetlen és közvetett tranzakciós tételre és adatra kiterjedően.

A Kérelmező a kérelmében kérte, hogy a 3. pont szerinti hozzáférési kérelmét a Kérelmezett minden részletre kiterjedően teljesítse, és tartalmazza az alábbi adatokat: fizetési művelet azonosítói, fizetés típusa, összeg, költségviselő, tényleges fizető, kedvezményezett, kedvezményezett számlája, tényleges kedvezményezett, jogcím, közlemény.

A hozzáférési kérelmére a Kérelmezett 2019. július 16-án kelt levelében válaszolt, melyben tájékoztatást adott a […] számon nyilvántartott követelés engedményezéséről, általánosságban az adatkezelés céljáról, a kezelt személyes adatok kategóriáiról, az adatkezelés jogalapjáról, a címzettekről, a személyes adatok kezelésének, tárolásának időtartamáról, az automatizált döntéshozatalról, valamint az érintetti jogokról, valamint a jogérvényesítési lehetőségekről.

A Kérelmező álláspontja szerint a 2019. július 16-án kelt, a hozzáférési kérelmére a Kérelmezett által küldött válaszlevél csak általánosságokat tartalmaz, de nem ad választ a kérelemben megfogalmazott konkrét kérésekre, kérdésekre.

A Kérelmező a Hatóságtól a jogsértés megállapítását kérte, illetve hogy kötelezze a Kérelmezettet a hozzáférési kérelmének teljesítésére, az abban kért személyes adatai kiadására.

A Kérelmező 2019. augusztus 6-án érkezett kérelmére az Infotv. 60. § (1) bekezdése alapján a NAIH/2019/6157. ügyszámon 2019. augusztus 7-én adatvédelmi hatósági eljárás indult.

## I.2. A Hatóság a tényállás tisztázása érdekében nyilatkozattételre hívta fel a Kérelmezettet, amely

felhívásnak a Kérelmezett 2019. november 28-án kelt válaszlevelével tett eleget, miután 2019. november 15-én kelt levelében a válaszadásra biztosított határidő 15 nappal való meghosszabbítását kérte.

A Kérelmezett tájékoztatta a Hatóságot, hogy a Kérelmező és a Kérelmezett között adatigénylés teljesítése tárgyában per volt folyamatban, amelyben elsőfokon a Fővárosi Törvényszék a […] számon 2018. április 11-én hozott ítéletet. A per tárgya a Kérelmező 2016. február 12-én kelt tájékoztatás iránti kérelmének teljesítése volt. Ezen tájékoztatási kérelem kapcsán a Hatóság a NAIH/2016/2347/2/V. számon adta ki állásfoglalását, miszerint a Kérelmező kérelmének a Kérelmezett eleget tett. Ezen állásfoglalással összhangban a Fővárosi Törvényszék a Kérelmező keresetét elutasította. A Kérelmező a Fővárosi Törvényszék határozatával szemben fellebbezést nyújtott be. A Fővárosi Ítélőtábla másodfokú bíróságként az elsőfokú döntést helybenhagyta a 2018. augusztus 30-án kelt […] számú ítéletével. A Kérelmezett mindkét ítéletet mellékelte a válaszleveléhez.

A Kérelmezett hivatkozott a polgári perrendtartásról szóló 2016. évi CXXX. törvény (a továbbiakban: Pp.) 360. § (1) bekezdésére, azaz anyagi jogerő terjedelmére, miszerint az ítélet jogereje kizárja, hogy ugyanabból a tényalapból származó ugyanazon jog iránt ugyanazok a felek egymás ellen új keresetet indíthassanak, vagy az ítéletben már elbírált jogot egymással szemben egyébként vitássá tehessék. A Kérelmezett álláspontja szerint a hozzáférési kérelem 3. pontjában megfogalmazott kérések vonatkozásában – a NAIH/2019/6157/4. számú végzés indokolása szerinti sorrendben az 5-7. kérdések – megállapítható a res iudicata, mivel azok polgári per keretében jogerősen elbírálásra kerültek.

A Kérelmezett elismerte, hogy – adminisztrációs hibából adódóan – a 2019. július 16-án kelt válaszában nem tért ki egyértelműen minden, a Kérelmező által feltett kérdés megválaszolására. A Kérelmezett felülvizsgálta a Kérelmezőnek küldött válaszát, amelyet kiegészített és pótlólag, a Hatósághoz intézett nyilatkozatával egyidejűleg megküldött a Kérelmező részére. Ezt a kiegészítő válaszlevelet, valamint a Kérelmező befizetéseiről készült összefoglaló táblázatot (a továbbiakban: kimutatás) mellékelte a nyilatkozatához. A kimutatás tartalmazza a Kérelmező által befizetett összeget, a befizetés típusát, a befizetés és a könyvelés dátumát, a megjegyzéseket, illetve hogy a befizetés a tőkére vagy a kamatra került elszámolásra.

A Kérelmezett előadta, hogy a […] számon nyilvántartott követeléssel összefüggésben a Kérelmezőről kezelt személyes adatokat érintően nem történt adatvédelmi incidens, illetve adathelyesbítés.

A Kérelmezett tájékoztatta a Hatóságot, hogy a 2014. szeptember 30. napján kelt felszólító levél az engedményezett követelés kezeléséhez szükséges személyes adatok felhasználásával került megküldésre a Kérelmező részére, amelyeket a Kérelmezővel szembeni követelés engedményezése során a […] bocsátott a rendelkezésére. Ezen levelet a Kérelmezett amiatt küldte a Kérelmezőnek, mert 2014 szeptemberében a Kérelmező nem teljesített a Kérelmezett felé, holott a részletfizetési megállapodás rögzítette, hogy bármely részlet elmaradása esetén a fennálló teljes tartozás egy összegben esedékessé válik. A Kérelmezett 2014. november 11-én kelt levelében, valamint 2014. december 9-én kelt elektronikus levelében tájékoztatta a Kérelmezőt arról, hogy a részletfizetési megállapodás felbontásra került a fizetési késedelme miatt. A Kérelmező maga bocsátotta a Kérelmezett rendelkezésére az e-mail címét kapcsolattartási célból.

A Kérelmezetthez érkező befizetések nem azonnal kerülnek az egyes ügyeknél nyilvántartásba vételre, annak feldolgozása hosszabb időt vesz igénybe, így fordulhatott elő, hogy a Kérelmezett 2014. december 8-án teljesített befizetése az elektronikus levél 2014. december 9-én való kiküldésekor még nem volt látható.

Tekintettel arra, hogy a Kérelmező a részletfizetési megállapodástól eltérően, de a fizetési kötelezettségét teljes mértékben teljesítette, így a […] számú ügyet a Kérelmezett 2018. április 27-én lezárta, amelyről a Kérelmezőt 2018. május 2-án kelt igazolásával értesítette.

1.3. A Kérelmező a Kérelmezett kiegészített válaszának kézhezvételét követően újabb nyilatkozatot intézett a Hatósághoz, mivel álláspontja szerint a Kérelmezett válasza továbbra is hiányos. Nyilatkozata szerint a Kérelmezett válasza csak három számozott oldalból állt, ahhoz a Kérelmezett nem csatolt mellékletet, holott a levél szövegében hivatkozik rá: „Jelen tájékoztató levelünk 1. számú mellékleteként küldjük azt a kimutatást, amely tartalmazza azt, hogy mely napokon és milyen összegben teljesített befizetést Társaságunk felé.”

## II. Az ügyben alkalmazandó jogszabályi rendelkezések

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR) 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre a GDPR-t kell alkalmazni.

A GDPR jelen ügyben releváns rendelkezései a következők:

GDPR 15. cikk: (1) Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár.

(3) Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.

(4) A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait. GDPR 58. cikk (2) bekezdés b), c) és i) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit. c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. GDPR 77. cikk (1) bekezdés: Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.

GDPR 83. cikk (1)-(2) és (5) bekezdés a)-b) pont: (1) Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. (2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket: a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: b) az érintettek jogai a 12-22. cikknek megfelelően. Az Infotv. 2. § (2) bekezdés: Személyes adatoknak az (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet a III-V. és a VI/A. Fejezetben, valamint a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §ban, az 55. § (1)-(2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, a 62-71. §-ban, a 72. §-ban, a 75. § (1)-(5) bekezdésében, a 75/A. §-ban és az 1. mellékletben meghatározott kiegészítésekkel kell alkalmazni.

Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel.

Infotv. 75/A. §: A Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel.

Pp. 360. § (1) bekezdés: A keresettel és az ellenkövetelés fennállta tekintetében érdemben elbírált beszámítással érvényesített jog tárgyában hozott ítélet jogereje kizárja, hogy ugyanabból a tényalapból származó ugyanazon jog iránt ugyanazok a felek - ideértve azok jogutódait is - egymás ellen új keresetet indíthassanak, vagy az ítéletben már elbírált jogot egymással szemben egyébként vitássá tehessék.

## III. Döntés

## III.1. A Kérelmező hozzáférési jogának és az átlátható adatkezelés elvének sérelme

A Kérelmező 2019. július 5-én kelt hozzáférési kérelme nem általános jellegű volt, abban konkrét, egymástól jól elkülöníthető kérdéseket fogalmazott meg a személyes adatai kezelésével kapcsolatban. A Kérelmezett 2019. július 16-án kelt válaszlevele azonban a Kérelmező személyes adatainak kezelése vonatkozásában az engedményezésről szóló tájékoztatást kivéve semmilyen, kifejezetten a Kérelmező személyes adatai kezelésére vonatkozó információt nem tartalmazott, a Kérelmező kérelmére a Kérelmezett egy sablonizált választ adott. A válaszlevél 2. pontjában például a Kérelmezett arról tájékoztatta a Kérelmezőt, hogy a személyes adatait elsősorban követelés érvényesítése céljából kezeli, holott a nyilatkozata szerint a Kérelmező teljesítette a fizetési kötelezettségét és az […] számú ügyet 2018. április 27-én lezárta, tehát a Kérelmezővel szembeni követelése megszűnt, így fogalmilag kizárt, hogy követelésérvényesítési célból kezelje a Kérelmező személyes adatait.

A hozzáférési kérelmek adatvédelmi követelményeknek megfelelő módon való teljesítéséhez nem elegendő a formai alapon megadott, releváns információk nélküli válasz. A hozzáférési jog gyakorlása következtében az adatkezelők oldalán megjelenő tájékoztatási kötelezettség nem egy adminisztrációs kötelezettség, amely sablonizálva teljesíthető. A hozzáférési kérelmek teljesítése során az adatkezelőknek az információkat a konkrét érintettekre szabva, egyéniesítve és az érintettek által feltett kérdéseket érdemben mérlegelve kell az érintettek rendelkezésére bocsátaniuk. Ennek hiányában az érintettek nem kapnak világos képet a személyes adataik kezeléséről, az nem válik számukra átláthatóvá.

A Kérelmezett 2019. július 16-i válaszában a Kérelmező által a hozzáférési kérelmében megfogalmazott kérdéseire nem adott választ, amelyet a 2019. november 28-án kelt nyilatkozatában maga is elismert: „A Levélre Társaságunk 2019. július 16. napján kelt irata szerint küldte meg válaszát, amelyben adminisztrációs hibából adódóan – a Társaság nem tért ki egyértelműen minden az Ügyfél által feltett kérdés megválaszolására.” A Hatóság álláspontja szerint ez a nyilatkozat annyiban nem helytálló, hogy a Kérelmezett a Kérelmező által feltett egyetlen kérdésre sem adott választ a 2019. július 16-án kelt levelében.

A fentiekből kifolyólag a Hatóság megállapítja, hogy a Kérelmezett megsértette a GDPR 15. cikkét, amikor nem adott érdemi, konkrét válaszokat a Kérelmező hozzáférési kérelmére a hatósági megkeresést megelőzően, amely által sérült a Kérelmező hozzáférési joga.

## III.2. A Kérelmezett 2019. november 28-án kelt válaszának értékelése

a) A Kérelmezett a Hatósághoz visszaérkezett tértivevény tanúsága szerint 2019. október 31-én szerzett tudomást arról, hogy a Hatóság a Kérelmező kérelmére adatvédelmi hatósági eljárást indított. Ezt követően felülvizsgálta a Kérelmező hozzáférési kérelmére adott válaszát és 2019. november 28-án kelt levelében törekedett a hozzáférési kérelemben feltett kérések megválaszolására.

A Hatóság megjegyzi, hogy a Kérelmező azon kérdése, hogy a 2014. szeptember 30-án és 2019. december 9-én kelt levelek milyen személyes adatok alapján kerültek megküldésre a részére nehezen értelmezhető, mivel az vonatkozhat az elérhetőségi adatokra, illetve az akkor még fennállt tartozására vonatkozó adatokra is. Figyelemmel azonban a hozzáférési kérelem harmadik pontjára, amely a tartozás alakulására és egyéb tranzakciós adatokra vonatkozik, a Kérelmezett válasza ezen kérdések vonatkozásában megfelelőnek tekinthető.

A Hatóság álláspontja szerint az incidensről, az adathelyesbítésről, valamint az arról való tájékoztatás, hogy a 2014. szeptember 30-án és 2019. december 9-én kelt leveleket milyen személyes adatok alapján küldte meg a Kérelmezett a Kérelmezőnek, megfelelnek a GDPR rendelkezéseinek, azaz ezen kérdések vonatkozásában a Kérelmezett orvosolta a mulasztását.

b) A res iudicata kérdése

Az anyagi jogerő az ítélet joghatása. A Pp. 360. §-hoz fűzött kommentár szerint az anyagi jogerő legfontosabb joghatása, hogy az ítélet a perbe vitt jogviszony körében a feleket megillető jogokat és az őket terhelő kötelezettségeket véglegesen meghatározza.

A Fővárosi Törvényszék és a Fővárosi Ítélőtábla által lefolytatott polgári per tárgya a Kérelmező 2016. február 12-én, augusztus 31-én és október 6-án kelt tájékoztatás iránti kérelmeinek teljesítése, az azok alapján a Kérelmezett által a Kérelmező rendelkezésére bocsátott adatok megfelelősége volt. A Kérelmező számára a tájékoztatási jogot az Infotv. rendelkezései biztosították.

A Fővárosi Törvényszék ítéletében megállapította, hogy a felperesi – azaz a Kérelmező általi adatigénylés pontos tartalmának meghatározására csak a perben, a Kérelmező kereseti kérelmében került sor. Ezt követően felsorolta azt a hét adatkört, amelyet a Kérelmező a kereseti kérelmében konkrétan megnevezett: „a követelés analitikájához kapcsolódó számviteli nyilvántartások tételei; a követelés nyilvántartásának időbeli egyenlege jogcímenkénti időbeli összetételre lebontva; a követelésre befizetett összegek elszámolása módjának, módszerének, idejének meghatározása; a befizetésből mekkora mértékben került sor tőkére, kamatra és díjra elszámolásra; a kamaton belül a közölt adat megosztása a késedelmi vagy ügyleti kamatként történő elszámolás szerint; a banki kivonatokon szereplő, az átutalás jogcímét tartalmazó adattartalom közlését; a megjelölt adatokon túl egyéb adatok felperesről alperes nyilvántartásában szerepelnek-e vagy sem.”

A Fővárosi Törvényszék megállapította, hogy „a felperes kereset benyújtását megelőzően alperesnek megküldött adatigénylést tartalmazó kérelmek, illetőleg a perben felperes által megjelölt tartalom egymással, illetőleg az alperesi adatközléssel megfeleltethető nem volt, mivel per megindulását megelőző három adatigénylés pontos tartalma a perben előadottakhoz képest meghatározva nem volt.”

A Fővárosi Törvényszék kiemelte, hogy a Kérelmező csupán a perben teljesítette a Hatóság NAIH/2016/2347/2/V. ügyszámú állásfoglalása szerinti javaslatát, hogy konkrét kérdéssel forduljon a Kérelmezetthez, így a fenti hét adatkör megismerésére vonatkozó igény a perben már nem volt figyelembe vehető, ezért a Fővárosi Törvényszék jogsértést nem állapított meg.

A Fővárosi Ítélőtábla a Fővárosi Törvényszék ítéletét helybenhagyta, mivel az abban foglalt döntés helyes volt.

A Pp.-hez fűzött kommentár (a továbbiakban: kommentár) szerint az ítélt dolog negatív hatása, hogy az adott igény további vitatását kizárja. Az ítélt dolog csak annak a jogvitának az újbóli elbírálását akadályozza, ahol mind a felek, mind a ténybeli alap, mind az elbírált jogviszony azonos, tehát ha ezek egyike nem áll fenn, úgy a res iudicata hatás nem érvényesül.

A kommentár szerint a jogerő, azon belül is a tényazonosság nem terjed ki a jogviszony létrejötte után keletkezett tényekre, amelyekre új keresetet lehet alapítani.

A Hatóság álláspontja szerint a Kérelmező 2019. július 5-én kelt hozzáférési kérelme nem a korábbi, a bíróság által elbírált tájékoztatási kérelmek megismétlése, hanem új, konkrétabb, tartalmilag a korábbiakkal nem egyező kérelem, ezért a per tárgyát képező tájékoztatási kérelmek és a jelen adatvédelmi hatósági eljárás tárgyát képező hozzáférési kérelem között nem áll fenn azonosság, így az ítélt dolog joghatásának feltételeként szolgáló tényazonosság nem áll fenn. Ennek körében a Hatóság kiemeli, hogy maga a Fővárosi Törvényszék is rögzítette ítéletének indokolásában, hogy a Kérelmező jogosult újabb, konkrét tájékoztatási kérelem benyújtására, illetve annak nem megfelelő teljesítése esetén jogosult ismételten bírósághoz fordulni: amennyiben a Kérelmező az „általa a perben igényelt további 7 fajta adatnak az alperesi kiadását továbbra is igényli, úgy nincs elzárva attól, hogy a perben meghatározott határozottsággal megjelölve ismételten az Infotv.14. § a) pont szerinti tájékoztatás kérés benyújtásával érvényesítse az igényét. Amennyiben az alperes az Infotv. 15. § (1) bekezdésében írtak szerint nem teljesíti a perben megjelölt konkrét adatok kiadására vonatkozó felperesi ismételt tájékoztatási kérelmet, úgy ebben az esetben a felperes alappal fordulhat a bírósághoz (…).”

A fentiekből kifolyólag a Hatóság a Kérelmezett ítélt dologra való hivatkozását nem tartja elfogadhatónak, mivel a Kérelmező 2019. július 5-én kelt hozzáférési kérelmében megfogalmazottak és a Fővárosi Törvényszék, valamint a Fővárosi Ítélőtábla által elbírált kérelmek tartalma tekintetében nem áll fenn tényazonosság, így a jelen hatósági eljárás tárgyát képező hozzáférési kérelem kapcsán nem érvényesülnek az ítélt dologhoz kapcsolódó joghatások, így pedig arra hivatkozással nem tagadható meg a Kérelmező hozzáférési kérelmének teljesítése.

Ebből kifolyólag a Hatóság megállapítja, hogy a Kérelmezett a 2019. november 28-én kelt válaszában a tartozás alakulására és egyéb tranzakciós adatokra vonatkozó kérdések tekintetében nem orvosolta a jogsértést és ezen adatok vonatkozásában a Kérelmező hozzáférési jogának sérelme továbbra is fennáll, megsértve ezzel a GDPR 15. cikkét.

## III.3. A Kérelmező által kért adatok személyes adat minősége

A Kérelmező a hozzáférési kérelme 3. pontjában azt kérte a Kérelmezettől, hogy küldje meg részére a nyilvántartásában szereplő adatok közül az általa teljesített befizetések minden egyes adatát a nyilvántartás szerinti terjedelemben, valamint az általa teljesített befizetések által érintett bankkivonatok – feltehetően bankszámlakivonatokat kell érteni alatta – másolatát. Emellett kérte két általa teljesített befizetés – […] – pénzügyi és számviteli elszámolását minden közvetlen és közvetett tranzakciós tételre és adatra kiterjedően.

A Kérelmező a kérelmében kérte, hogy a 3. pont szerinti hozzáférési kérelmét a Kérelmezett minden részletre kiterjedően teljesítse, és tartalmazza az alábbi adatokat: fizetési művelet azonosítói, fizetés típusa, összeg, költségviselő, tényleges fizető, kedvezményezett, kedvezményezett számlája, tényleges kedvezményezett, jogcím, közlemény.

A Kérelmező kérelmei annyiban ellentmondanak egymásnak, hogy a befizetések adatait egyszer a Kérelmezett nyilvántartása szerinti terjedelemben kéri, míg máskor részletes, a tranzakciókra vonatkozó adatok rendelkezésére bocsátását is kéri.

Tekintettel arra, hogy a Kérelmező hatósági eljárás iránti kérelmében azt is kérte a Hatóságtól, hogy kötelezze a Kérelmezettet a hozzáférési kérelmében megjelölt adatok rendelkezésére bocsátására, ezért a Hatóságnak vizsgálnia kell, hogy a kért adatok a Kérelmező személyes adatai-e, mivel ezen adatok személyes adat jellege előfeltétele annak, hogy a Hatóság jogszerűen kötelezhesse azok kiadására a Kérelmezettet.

A Kérelmező hozzáférési kérelméhez mellékelt, „A napközbeni átutalási megbízás szabványa” című dokumentum szerint a pénzintézetek elektronikus szolgáltatásuk keretében bővített adattartalmú forint átutalási lehetőséget biztosíthatnak az ügyfeleiknek. Az ügyfelek elektronikus átutalási megbízásainak bővített adattartalma elősegíti a fizetések nyilvántartásokban történő egyeztetését, a fizetési megbízások ügyféltől ügyfélig történő automatizálását.

A dokumentum 5. oldalán kerül kifejtésre, hogy mi minősül a fizetési művelet azonosítójának. Eszerint „a fizetési művelethez, tehát a megbízáshoz két azonosítót rendelhet hozzá a kezdeményező (átutaló). A <a megbízás azonosító> kizárólag a megbízó és az átutaló bankja közötti viszonyban alkalmazandó, de a művelettel kapcsolatos további üzenetekben újrafelhasználható egyedi azonosító. A <végponttól végpontig azonosító> a kezdeményező/átutaló saját műveleti azonosítója, ami végigkíséri a műveletet az összes feldolgozási lépésben és a visszautasításokon is. Az azonosító elsősorban egyeztetésre, visszakeresésre használható, illetve bizonyos feladatok elvégzését is hozzá lehet kötni a felek megállapodása alapján. (…) A <végponttól végpontig azonosító> kitöltésének elmaradása esetén a fizetési láncban NOTPROVIDED (nem adták meg) adatot fogja a bank továbbítani, ami a későbbi egyeztetések szempontjából kedvezőtlen.”

A fenti leírás alapján a megbízás azonosítóval a Kérelmezett nem rendelkezhet, mivel az csak a Kérelmező és a bankja közötti viszonyban alkalmazandó, erre tekintettel pedig ehhez nem tud hozzáférést biztosítani a Kérelmezőnek. A Kérelmezett akkor rendelkezhet a Kérelmező által indított átutalások végponttól végpontig azonosítójával, amennyiben ilyet megadott az átutalási megbízást adó Kérelmező az átutalás indításakor, ennek hiányában a Kérelmezett sem rendelkezhet vele.

A fizetési művelet azonosítói elsősorban magára a fizetési műveletre vonatkoznak, azok nem a Kérelmezőt, hanem a fizetési műveletet azonosítják. Közvetetten azonban magára a megbízást indító személyre is vonatkozhatnak, mivel az átutalást ő indította, az azonosítóval ellátott tranzakció az ő pénzügyi helyzetét érinti.

A Hatóság álláspontja szerint a Kérelmező befizetései vonatkozásában a személyes adatának minősül az, hogy ki teljesítette a befizetést, a befizetés összege, típusa, a befizetés és befizetés könyvelésének időpontja, a kedvezményezett megnevezése, a jogcím (amennyiben megadásra került), illetve átutalás esetén a befizetés közlemény rovatában feltüntetett információk, és – amennyiben a Kérelmező az átutalás indításakor adott meg ilyet – a tranzakció végponttól végpontig azonosítója, valamint, hogy a befizetés mire került elszámolásra: tőkére, díjra, kamatra.

A Kérelmezett azon bankszámlakivonatainak másolata, amelyek tartalmazzák a Kérelmező által teljesített befizetéseket is, teljes egészükben – valamennyi befizetés és kifizetés vonatkozásában –nem minősülnek a Kérelmező személyes adatának, hiszen azok csak a konkrét befizetése vonatkozásában tartalmaznak vele kapcsolatba hozható adatokat, így a bankszámlakivonat többi részének megismerésére nem jogosult, az csak minden más – nem a Kérelmező befizetésére vonatkozó információk és adatok kitakarásával bocsátható a rendelkezésére.

A Kérelmező nem határozta meg egyértelműen, hogy pontosan milyen adatokat ért […] és […] befizetések pénzügyi és számviteli elszámolása alatt.

A számviteli szabályozás célja, hogy vállalkozások vagyoni, pénzügyi és jövedelmi helyzetéről és azok alakulásáról objektív információk álljanak rendelkezésre. Az egyes befizetések nem személyhez kötötten kerülnek feltüntetésre, „elszámolásra” a számvitelről szóló törvény szerinti mérlegben és eredménykimutatásban, hanem a további befizetésekkel és bevételekkel együttesen, azokkal összevontan. Ebből kifolyólag a befizetések számviteli szabályok szerinti elszámolásuk során elvesztik a személyes adat jellegüket, mivel többé már nem köthetők egyetlen konkrét személyhez. Ezek alapján a befizetések számviteli elszámolása nem minősül a Kérelmező személyes adatának, mivel ezek az információk nem hozhatók vele kapcsolatba.

A fentiekből kifolyólag a Kérelmező csak a személyes adatainak minősülő adatokat jogosult megismerni a GDPR 15. cikke szerinti hozzáférési joga alapján.

## III.4. Jogkövetkezmények

## III.4.1. A Hatóság a Kérelmező kérelmének helyt ad és a GDPR 58. cikk (2) bekezdés b) pontja alapján

megállapítja, hogy a Kérelmezett megsértette a GDPR 15. cikkét, amikor nem válaszolt érdemben a Kérelmező hozzáférési kérelmére.

III.4.2. A Hatóság kötelezi a Kérelmezettet, hogy teljesítse a Kérelmező hozzáférési kérelmének 3. pontjában foglalt kéréseket a határozat III.3. pontjában foglaltak figyelembevételével.

A Kérelmezett a Kérelmező tartozásairól készült kimutatást megküldte a Hatóság részére, azonban azt a Kérelmező a nyilatkozata szerint nem kapta meg annak ellenére, hogy a Kérelmezett hivatkozik arra a 2019. november 28-án kelt válaszlevelében. A Hatóság ezt az állítást alátámasztottnak látja, mivel a Kérelmező megküldte a Hatóság részére a Kérelmező válaszlevelének másolatát, amely nem tartalmazott mellékletet. Ezen túlmenően a Kérelmezett a Hatóságnak címzett 2019. november 28-án kelt nyilatkozatához a Kérelmezőnek írt felülvizsgált válaszlevelet az 5. számú mellékletként csatolta, míg a kimutatást pedig önállóan, a 9. számú mellékletként, így a Hatóság álláspontja szerint az nem képezte részét a Kérelmezőnek küldött, felülvizsgált válaszlevélnek.

A Kérelmezett által előállított kimutatás megfelelő módja lehet a Kérelmező hozzáférési kérelme teljesítésének bizonyos kiegészítések mellett. A Hatóság felhívja a Kérelmezettet a kimutatás tartalmának felülvizsgálatára, mivel a kimutatás szerint a […] és […] közötti befizetések kivételével minden befizetés könyvelésre került a befizetés napján, holott a Kérelmezett mind a Hatóságnak címzett nyilatkozatában, mind a Kérelmezettnek küldött, 2019. november 28-án kelt levelében úgy nyilatkozott, hogy „a követelések rendezése érdekében teljesített befizetések Társaságunk nyilvántartó rendszerében nem azonnal kerülnek az adott ügyben nyilvántartásba vételre, annak feldolgozása hosszabb időt vesz igénybe. Így fordulhatott elő, hogy a Társaságunk […] napján küldött levelekor az Ügyfél […] napján teljesített befizetése még nem volt látható.” Ebből kifolyólag a Kérelmezett nyilatkozata és a kimutatás között ellentmondás feszül.

Amennyiben a Kérelmezett a befizetés könyvelése és befizetés nyilvántartásba vétele alatt nem ugyanazt a tevékenységet érti, úgy a Hatóság álláspontja szerint a hozzáférési kérelemre adott válaszában ezen fogalmak meghatározására is ki kell térnie, valamint ebben az esetben ki kell egészítenie a kimutatást a nyilvántartásba vétel napjával.

## III.4.3. A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság

kiszabása.

E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire, valamint arra, hogy a Kérelmezett nem első alkalommal sértette meg a GDPR rendelkezéseit, ezért a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges.

A Hatóság mindenekelőtt figyelembe vette, hogy a Kérelmezett által elkövetett jogsértés a GDPR 83. cikk (5) bekezdés b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősül, mivel az egy érintetti jog sérelmével járt.

A Hatóság a bírságkiszabás során az alábbi körülményeket súlyosbító körülményként értékelte:

• a Kérelmezett a jelen hatósági adatvédelmi eljárásról való tudomásszerzést követően sem járt el elég körültekintően a hozzáférési kérelemre adott válasza felülvizsgálata során, és nem adott tájékoztatást a Kérelmezőnek a befizetéseivel összefüggő tranzakciós adatokról [GDPR 83. cikk (2) bekezdés k) pontl; • a Kérelmezett tevékenysége nagy részben személyes adatok kezelésére épül, nagy számú természetes személy személyes adatát kezeli, így a Hatóság álláspontja szerint a Kérelmezettől elvárható, hogy a hozzáférési joggyakorlásra irányuló kérelmeket a GDPR előírásainak megfelelően kezelje, azokra konkrét, az adott érintett személyes adatai kezelésére vonatkozó választ adjon [GDPR 83. cikk (2) bekezdés k) pont].

A Hatóság a bírságkiszabás során az alábbi körülményeket enyhítő körülményként értékelte:

• a feltárt jogsértés kizárólag a Kérelmezőt érinti, a jogsértés nem folyamatos jellegű és megfelelő intézkedésekkel orvosolható [GDPR 83. cikk (2) bekezdés a) pont]; • a Kérelmezett a Hatóság megkeresését követően felülvizsgálta a Kérelmező hozzáférési kérelmére adott válaszát és részben eleget tett a Kérelmező hozzáférési kérelmének [GDPR 83. cikk (2) bekezdés c) pont].

A Hatóság figyelembe vette továbbá, hogy

• a Kérelmezett korábban nem követett el releváns, a jelen ügyben megállapítotthoz hasonló jogsértést [GDPR 83. cikk (2) bekezdés e) pont]; • a Kérelmezett eleget tett a Hatóság felé fennálló együttműködési kötelezettségének [GDPR 83. cikk (2) bekezdés f) pont];

• a Kérelmező által kért adatok pénzügyi adatok, amelyek a felek jogvitájával kapcsolatosak; a megállapított adatvédelmi jogsértések nem érintik a személyes adatok különleges kategóriáit [GDPR 83. cikk (2) bekezdés g) pont]; • A Kérelmezett 2018. évi beszámolója szerinti az adózás előtti eredménye […] forint, tárgyévi eredménye pedig […] forint volt, a kiszabott adatvédelmi bírság összege a Kérelmezett adózás előtti eredményének […] %-a [GDPR 83. cikk (5) bekezdés].

A Hatóság a bírságkiszabás során nem tartotta relevánsnak a GDPR 83. cikk (2) bekezdés b), d), h), i), j) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem értelmezhetők.

A bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg.

A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

## IV. Egyéb kérdések:

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

A jelen döntések az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapulnak. A határozat és a végzés az Ákr. 82. § (1) bekezdése alapján a közlésükkel véglegessé válnak. Az Ákr. 112. §-a és a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

***

A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §-a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Budapest, 2020. január 22.

Dr. Péterfalvi Attila elnök c. egyetemi tanár