Орган по защите данных Венгрии (NAIH): требования к информированию и принцип подотчётности

Ügyszám: NAIH-718-15/2021. Előzmény: NAIH/2020/4187. NAIH/2019/7850.

Tárgy: kérelemnek részben helyt adó határozat

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] (a továbbiakban: Kérelmező I.) kérelmező és […] (a továbbiakban: Kérelmező II.) kérelmező (a továbbiakban: Kérelmezők) kérelme alapján a Kérelmezők személyes adatait érintő engedményezéssel összefüggő jogellenes adatkezeléssel kapcsolatosan a […]-vel (továbbiakban: Kérelmezett I.), a […] -vel (a továbbiakban: Kérelmezett II.) és az […]-vel (a továbbiakban: Kérelmezett III.) (a továbbiakban együtt: Kérelmezettek) szemben indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza.

I.1. A Hatóság határozatában a Kérelmezők kérelmének részbe n helyt a d, és megállapítja, hogy a Kérelmezett II. és a Kérelmezett III. nem adtak megfelelő tájékoztatást a Kérelmezők személyes adatainak kezelésével összefüggésben, ezzel megsértették a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR) 12. cikk (1) bekezdését. I.2. A Hatóság hivatalból m e g á l l a p í t j a , hogy a Kérelmezettek megsértették a GDPR 5. cikk (2) bekezdését, mert nem igazolták az adatkezelésük jogalapját.

I.3. A Hatóság hivatalból kötelezi a Kérelmezett II-t, hogy a jelen határozat véglegessé válásától számított 15 napon belül I.3.1. adjon tájékoztatást a Kérelmezőknek a GDPR 14. cikk (1)- (2) bekezdésében írtaknak megfelelően, továbbá igazolja a Kérelmezők felé, ha jogos érdeke fűződik az engedményezésre hivatkozással megszerzett személyes adatainak kezeléséhez és ezen érdek a Kérelmezők alapvető jogaival szemben elsőbbséget élvez, I.3.2. törölje a Kérelmezők nyilvántartott személyes adatai (neve és születési neve, anyja neve, születési helye és ideje, címe, tartozására vonatkozó adatok) közül azokat, amelyeknél megfelelő jogalapot nem igazol, és a jogos érdekét sem igazolja a I.3.1. pontban írtaknak megfelelően, I.3.3.a GDPR 14. cikk (2) bekezdésének b) pontja alapján tájékoztassa a Kérelmezőket, hogy milyen jogos érdeke miatt szükséges személyes adatai követeléskezelési célú kezelése, ezen érdek a Kérelmező alapvető jogaival szemben mi alapján élvez elsőbbséget, valamint tájékoztassa a Kérelmezőt az őt megillető tiltakozási jogról, valamint arról, hogy azt hogyan gyakorolhatja!

I.4. A Hatóság hivatalból kötelezi a Kérelmezett II-t, hogy amíg nem tesz eleget az I.3. pontban foglalt kötelezésnek, addig korlátozza a Kérelmezők személyes adatainak követeléskezelési célú kezelését.

I.5. A Hatóság a kérelemnek a Kérelmezett I. jogellenes adatátadásának megállapítására irányuló részét elutasítja.

II. A Hatóság a végzésében a Kérelmezett I. általános szerződési feltételeinek betartására vonatkozó kérdéskörben az eljárást megszünteti.

III. Tekintettel arra, hogy túllépte az ügyintézési határidőt, a Hatóság akként rendelkezik, hogy - 10.000 Ft-ot, azaz tízezer forintot a Kérelmezőknek – írásban megjelölendő választása szerint bankszámlára utalással vagy postai utalvánnyal megfizet.

A határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. A Hatóság felhívja a Kérelmezett II. figyelmét, hogy a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg!

I N D O K O L Á S

I. Az eljárás menete

I.1. A Kérelmezők a Hatósághoz 2019. november 07. napján érkezett kérelmükben adatvédelmi hatósági eljárás lefolytatását kezdeményezték, és kérték a Kérelmezettek adatkezelésének kivizsgálását. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság előtt az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indult. I.2. A Hatóság hiánypótlásra hívta fel a Kérelmezőket a NAIH/2019/7850/2. és 3. végzéseiben, majd az erre adott válaszok alapján elutasította a Kérelmezők személyes adatai zárt kezelésére benyújtott kérelmét. I.3. A személyes adatok zárt kezelésére vonatkozó kérelem elutasítása miatt a Hatóság nyilatkozattételre hívta fel a Kérelmezőket arra vonatkozóan, hogy a személyes adataik zártan kezelésére vonatkozó kérelmük elutasításáról szóló végzésre tekintettel az adatvédelmi hatósági eljárás lefolytatására vonatkozó kérelmét fenntartják-e, és amennyiben nem tartják fenn, abban az esetben nyilatkozzanak a kérelmük visszavonásáról. A Hatóság arról is tájékoztatta a Kérelmezőket, hogy amennyiben nem nyilatkoznak a kérelmük visszavonásáról, abban az esetben az eljárást az adatik zárt kezelése nélkül folytatja le. A Hatóság mivel a Kérelmezők nem vonták vissza a kérelmüket, ezért az eljárást a Kérelmezők adatai zárt kezelése nélkül folytatta le az eljárást.

I.4. A hatósági eljárásban a Hatóság a Kérelmezetteket nyilatkozattételre hívta fel a tényállás tisztázása érdekében. I.5. Az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 76. § alapján a Hatóság a bizonyítási eljárás befejezését követően értesítette a Kérelmezőket és a Kérelmezetteket arról, hogy - az iratokba való betekintés szabályai figyelembevételével megismerhetik a bizonyítékokat, és további bizonyításra irányuló indítványt terjeszthessenek elő. A Hatóság a Kérelmező I. és a Kérelmezettek kérelmére másolatban megküldte a bizonyítékokat, melyek áttekintése után a Kérelmező I. és a Kérelmezettek nyilatkozatokat és indítványokat tettek.

II. Tényállás tisztázása

II.1. A Kérelmezők a kérelmükben előadták, hogy a Kérelmezett I. a Kérelmezőkkel szemben fennálló követelését a Kérelmezett II.- re átruházta. A Kérelmezett III. a Kérelmezett II. meghatalmazottjaként jár el. A Kérelmezők állítása szerint Kérelmezett I. jogellenesen adta át a Kérelmezők személyes adatait Kérelmezett II.-nek, mivel a Kérelmezett I. üzletszabályzata kimondja, hogy „A szerződés felmondását követően a bank átadhatja az ügyletet külső követeléskezelő partner részére. A bank partnere kizárólag a MNB felé bejelentett ügynöki tevékenység végzésére jogosult jogi személy lehet.” Ennek ellenére a Kérelmezett I. engedményezési szerződést kötött 2018. december 05. napján a Magyar Nemzeti Bank (a továbbiakban: MNB) engedélyével nem rendelkező Kérelmezett II.-vel, aki meghatalmazta Kérelmezett III.-t. A Kérelmezők állítása szerint a meghatalmazásra hivatkozott adatátadás azért is jogellenes, mivel a Kérelmezett III. nem jogi képviselő, illetve pénzügyi tevékenységet sem végezhet a Kérelmezők tudomása szerint. A Kérelmezők a kérelem szerint sérelmezték, hogy a személyes adataikat tartalmazó iratok átadásáról sem kaptak értesítést, továbbá azt, hogy a Kérelmezett I. nem követeléskezelési engedéllyel rendelkező külső partnerének adta át a követelését, és ezzel a Kérelmezők személyes adatait, továbbá sérelmezték, hogy a követelést megvásárló magánszemély, a Kérelmezett II. a személyes adatait továbbította a Kérelmezett III.-nak, továbbá álláspontjuk szerint a Kérelmezett III. továbbra is kezeli a személyes adataikat. Ezen utóbbi állításukat semmivel sem támasztották alá a Kérelmezők. A fentiekkel kapcsolatban kérték a Kérelmezők a jogellenes adatkezelés megállapítását, a Kérelmezettek elmarasztalását, kérték, hogy a Hatóság szólítsa fel a Kérelmezetteket a jogsérelem megszüntetésére. A kérelemben írtak szerint az MNB (2018. június 20. napján hozott […] számú) határozatában azonnali hatállyal megtiltotta, hogy a Kérelmező III. az MNB engedélye nélkül követelésvásárlási és pénzügyi tevékenységet végezzen. A Kérelmezők az állításaik alátámasztására az engedményezéssel kapcsolatos dokumentumok másolatait csatolták be:

a Kérelmezett I. által kiállított 2018.02.05.napján kelt „Jogutódlási nyilatkozat” a Kérelmezett I. és Kérelmezett II. között, a Kérelmező I. Kérelmezett I.-nek 2019.február 22-én kelt „Kifogás engedményes szerződés ellen” tárgyú levele. II.2.A hatósági eljárásban a Hatóság a Kérelmezetteket nyilatkozattételre hívta fel a tényállás tisztázása érdekében, melyre a Kérelmezettek az alábbiak szerint nyilatkoztak: II.3.1. A Kérelmezett I. nyilatkozata:

A Kérelmezett I. nyilatkozatából és a másolatban csatolt iratokból megállapítható, hogy a Kérelmezett I. a Kérelmezőkkel szemben – „2003.02.07-én kelt hitelből eredő” – követelését a 2018.12.05-én megkötött engedményezési szerződés keretében értékesítette a Kérelmezett II. részére, melyről a Kérelmezőket a 2018.12.07. napján kelt levelében értesítette az „értesítés követelésértesítéséről” tárgyú leveleiben. A Kérelmezők több alkalommal nyújtottak be panaszt, melyekre a Kérelmezett I. válaszolt és kifejtette az engedményezéssel kapcsolatos álláspontját. Ezzel kapcsolatban a Kérelmezett I. becsatolta a Kérelmező I.-nek küldött – 2019. március 25-i és 2019. decemberi tájékoztató levelét, melyekben előadta, hogy a Kérelmezők által kifogásolt engedményezés a Kérelmezett I. részéről szabályszerűen lett lebonyolítva, mivel a Kérelmezett I. nem üzletszerű pénzügyi szolgáltatás keretében vásárolta a Kérelmezett I.-től a követelést, tehát nem tartozik a tevékenysége a hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013. évi CCXXVII. törvény 3. § (1) bekezdés l) pont hatálya alá. A Kérelmezett I. hivatkozott a Magyar Nemzeti Bank ajánlására is, mely részletezi, hogy mely esetben üzletszerű a követelésvásárlás. A Kérelmezett I. ebben a levelében kifejti azt is, hogy a Kérelmezett I. üzleti döntése körébe, mérlegelésébe esik az, hogy eldöntse, hogy a felmondott hitelekkel összefüggő követeléseket miként érvényesíti, azaz adósságbehajtással foglalkozó céget bíz meg, vagy engedményezi azt. A fentiek alapján a Kérelmezett I. és a Kérelmezett II. között létrejött engedményezési szerződés érvényes, a hatályos jogszabályoknak megfelelően került megkötésre és joghatás kiváltására alkalmas. Ezen szerződésre hivatkozással a Kérelmezett I. átadta a Kérelmezett II. részére a követelés vonatkozásában keletkezett iratokat. A Kérelmezett I. tájékoztatta a Kérelmező I.-et, hogy amennyiben az engedményezés jogszerűségével kapcsolatban kifogása van, akkor a Magyar Nemzeti Bankhoz fordulhat panasszal. A továbbiakban a tartozással kapcsolatban a Kérelmezők az új jogosulttól kaphatnak felvilágosítást, ezért a felmerülő kérdéseikkel a Kérelmezett II.-t keressék meg. A Kérelmezett I. becsatolta Kérelmezett II. 2018.12.05. napján kelt nyilatkozatának a másolatát is, melyben a Kérelmezett II. nyilatkozott, hogy nem végez üzletszerű követelésvásárlási tevékenységet. A Kérelmezett I. a Kérelmezők által kezdeményezett – az engedményezési szerződés érvénytelenségével kapcsolatos peres eljárással összefüggésben előadta, hogy a Kérelmezők ezzel kapcsolatos első keresetét a Pesti Központi Bíróság elutasította, melyet fellebbezéssel megtámadtak a Kérelmezők, a másodfokon eljáró bíróság azonban helyben hagyta az első fokú bíróság keresetet elutasító döntését Ezt követően a Kérelmezők ismét keresetet nyújtottak be, melyet […] végzésével a Fővárosi Törvényszék visszautasított, azonban a Kérelmezők ismét keresetet nyújtottak be. A Hatóság NAIH/2020/4187/4. számú végzésében kifejezetten arra is felhívta a Kérelmezett I.-et, hogy nyilatkozzon arról, hogy a Kérelmezett II. részére milyen jogalapra hivatkozással történt az adatátadás az engedményezés során. Ezzel kapcsolatban a Kérelmezett I. előadta, hogy üzletszerű követelésvásárlás nem valósult meg, a követelés egy magánszemély részére került engedményezésre. A Kérelmezett I.-nek, mint hitelt nyújtó pénzintézetnek jogszerű érdeke fűződik a követelése érvényesítéséhez, ezen igényét a 2013. évi V. törvény rendelkezései igazolják, különös tekintettel a Ptk. 6:1.§ (1) bekezdésben foglalt rendelkezésre, „a kötelem kötelezettség a szolgáltatás teljesítésére és jogosultság a szolgáltatás teljesítésének követelésére.” II.3.2. A Kérelmezett II. nyilatkozata: A Kérelmezett II. 2020. november 10-i nyilatkozata szerint a Kérelmezők részéről panasz nem érkezett a Kérelmezett II. részére, a Kérelmezett II.-nek panasznyilvántartási kötelezettsége nincs. A Kérelmezők csupán olyan megkeresésekkel fordultak a Kérelmezett II.-höz 2019. szeptember 28-án és november 10-én, melyekben a kölcsönügylettel kapcsolatos elszámolást és olyan dokumentumokat kértek a Kérelmezett II.-től, melyekkel a Kérelmezett II. szerint a Kérelmezőknek rendelkeznie kellett, és melyeket a Kérelmezett II. bekért a Kérelmezett I.-től és a Kérelmezők rendelkezésére bocsátott 2019. december 12-én. A Kérelmezett II. a Kérelmezők alább személyes adatait kezeli:

- Kérelmezők neve és születési neve, - Kérelmezők anyja neve, - Kérelmezők születési helye és ideje, - Kérelmezők címe, - Kérelmezők tartozására vonatkozó adatok. A Kérelmezett II. által kezelt fent említett személyes adatok forrása a Kérelmezett I., ennek alátámasztására a Kérelmezett II. becsatolta a 2018.12.05. napján kelt „Jogutódlási Nyilatkozat” másolatát. A Hatóság a NAIH/2020/4187/5. számú végzésben arra is kifejezetten felhívta a Kérelmezett II.-t, hogy nyilatkozzon arról, hogy mely jogalapra hivatkozással kezeli a Kérelmezők személyes adatait. Erre válaszul a Kérelmezett II. arról nyilatkozott, hogy „engedményezés jogalapján” történt az adatátadás, és hivatkozott a Ptk. 6:193. § - 6:198. § rendelkezéseire, a Kérelmezett II. az adatkezelése GDPR szerinti jogalapját nem jelölte meg. A Kérelmezett III. a Kérelmezett II. meghatalmazása alapján járt el, ez alapján értesítette a Kérelmezőket az engedményezéssel kapcsolatban, utóbb ezt a meghatalmazást a Kérelmezett II. visszavonta, mert a Kérelmezett III. a Kérelmezőkkel szemben fennálló követelés érvényesítésében nem jutott eredményre. Adatfeldolgozói szerződést is kötött a Kérelmezett II. és a Kérelmezett III., melyet nem, csak annak megszüntetését küldte meg másolatban a Hatóságnak. A Kérelmezett III. nem vette meg a Kérelmezőkkel szembeni követelést, tehát ezt a Kérelmezők valótlanul állítják a keresetükben. Állításai alátámasztására a Kérelmezett II. becsatolta a Kérelmezett III.-mal 2018. december 13-án kötött megbízási szerződést, továbbá az ezzel összefüggő meghatalmazást másolatban, mely alapján az alábbiakra volt jogosult a Kérelmezett III.:

betekinthet a követeléssel kapcsolatos iratokba, megismerheti az ezzel kapcsolatos iratokat, személyesen és írásban felkeresheti az érintetteket, közreműködhet az adósság rendezése érdekében kötött megállapodások előkészítésében, megkötésében, közreműködhet az adósság fedezetéül szolgáló ingatlan értékesítésében, közreműködhet az adósok ellen indított végrehajtási eljárásokban a megállapodások létrehozásában, ingó- és ingatlan árveréseken. A Kérelmezett II. által hivatkozott adatfeldolgozói szerződés megszüntetése 2018. december 13án létrejött adatfeldolgozói szerződésre hivatkozik, és rendelkezik arról, hogy a Kérelmezett III. köteles átadni a Kérelmezett II.-nek „rábízott adatokkal” kapcsolatos dokumentumokat. A követelés érvényesítésére indított végrehajtási eljárás felfüggesztésre került, mivel a Kérelmezők a Pesti Központi Kerületi Bíróságon az engedményezési szerződés érvénytelensége megállapítása iránt ismét 2020.06.19.napján keresetet nyújtottak be a Kérelmezett I.-vel és a Kérelmezett II.-vel szemben, miután 2019. december 4-én a bíróság már elutasította egyszer a keresetüket a […] számú döntésével, mellyel szemben fellebbezést is benyújtottak. A keresetükben arra hivatkoztak, hogy az engedményezési szerződés színlelt és semmis, továbbá jó erkölcsökbe ütköző. II.3.3. A Kérelmezett III. 2020. november 20. napján kelt nyilatkozata:

A Kérelmezett III.-hoz a Kérelmezők nem fordultak panasszal az üggyel összefüggésben. A Kérelmezett III. a Kérelmezett II.-vel 2018. december 13-án kötött szerződést, mely alapján arra kapott megbízást, hogy felvegye a kapcsolatot a Kérelmezőkkel. A kapcsolatfelvétel célja az volt, hogy „az engedményezéssel kapcsolatos szükséges információk és körülmények ismertetése megfelelő szakmaisággal történjen.” A Kérelmezett III. a Kérelmezett II. nevében járt el adatfeldolgozói minőségben. Ennek alátámasztására becsatolta a Kérelmezett II.-vel 2018. december 13-án küldött adatfeldolgozói szerződése másolatát, mely szerint az annak 1. sz. mellékletében felsorolt feladatokat láthatja el. Az 1. sz. melléklet a 2018. december 13-án kötött megbízási szerződés, továbbá az ezzel összefüggő meghatalmazás, mely alapján az alábbiakra volt jogosult a Kérelmezett III.:

betekinthet a követeléssel kapcsolatos iratokba, megismerheti az ezzel kapcsolatos iratokat, személyesen és írásban felkeresheti az érintetteket, közreműködhet az adósság rendezése érdekében kötött megállapodások előkészítésében, megkötésében, közreműködhet az adósság fedezetéül szolgáló ingatlan értékesítésében, közreműködhet az adósok ellen indított végrehajtási eljárásokban a megállapodások létrehozásában, ingó- és ingatlan árveréseken. A Kérelmezők azon állítása helytálló, hogy a Kérelmezett III. nem jogi képviselő, de nem is ebben szerepben járt el, továbbá pénzügyi tevékenység végzésére sem jogosult, de nem is végzett pénzügyi tevékenységet. A Kérelmezett III. feladata az volt, hogy a Kérelmezőket felvilágosítsa, hogy az ingatlanjaik vonatkozásában mit jelent az engedményezés, továbbá az, ha nem teljesítik a fennálló tartozásukat. A Kérelmezett III. az engedményezésről küldött értesítést a Kérelmezőknek, melyet másolatban megküldött a Hatóság részére is. Ebben arról tájékoztatta a Kérelmezett III. a Kérelmezőket, hogy a fennálló tartozást a Kérelmezett III. mint meghatalmazott részére fizethetik meg, továbbá vele köthetnek megállapodást tartozásrendezésre. Arról is tartalmazott tájékoztatást a levél, hogy amennyiben nem működnek együtt a Kérelmezők a Kérelmezett III.-mal, abban az esetben a tartozást bírósági végrehajtási eljárás útján érvényesítik. Személyes egyeztetés során tájékoztatta a Kérelmezett III. a Kérelmezőket az adataik kezelésével összefüggésben. II.4.A bizonyítási eljárás befejezése után a Kérelmezők rendelkezésére bocsátott iratmásolatok alapján a Kérelmező I. alábbi észrevételeket tette megismételve a Kérelmezők kérelmében és a hiánypótlásban előadottakat is: A Kérelmezett I. Hatóságnak küldött válaszleveleiben nem talál utalást az alábbiakra:

hogyan adhatta át a személyes adataikat egy magánszemélynek, aki nem rendelkezik „semmiféle MNB követelésvásárlási engedéllyel”, miközben a Kérelmezett I.-et köti banktitok a vele kötött kölcsönszerződés vonatkozásában, továbbá a honlapján az alábbi olvasható: „A szerződés felmondását követően a bank átadhatja az ügyletet külső követeléskezelő partner részére. A bank partnere kizárólag az MNB felé bejelentett ügynöki tevékenység végzésére jogosult személy lehet.” a Kérelmezett I. aláíratott egy titoktartási nyilatkozatot a Kérelmezett II.-vel, aki ezt „felrúgva” megbízási szerződést kötött a Kérelmezett III.-mal és átadta a Kérelmezők személyes adatait. A Kérelmező I. ismét hivatkozott arra, hogy véleménye szerint a Kérelmezett II. követelésvásárlásakor megvalósult az üzletszerűség.

A Kérelmező I. hivatkozott arra, hogy a kezébe került egy devizahiteles iratai, melyből megállapította, hogy az ő ügyében is ugyanúgy jártak el a Kérelmezettek, tehát ugyanúgy egy magánszemély vásárolta meg a követelést, aki ugyanúgy a Kérelmezett III.-mal kötött megbízási szerződést. Kifogásolja továbbá a Kérelmező I., hogy ellentmondásos a Kérelmezett III. nyilatkozata, mert a személyes adataikat nem csak az ingatlan értékesítésével összefüggésben kezelte, a csatolt dokumentumok is azt tartalmazzák, hogy a tartozást is felé kell rendezni. A Kérelmező I. az alábbi kérdéseket tette fel:

- A Kérelmezett III. „milyen jogcímen, milyen alapon vett részt a követelésvásárlásban?” - Milyen képviseletet látott el a Kérelmezett III. a követelésvásárlás során? Ezt milyen ellenérték fejében látta el? Milyen adatokat ismert meg a Kérelmezett III. a követelésvásárlást megelőzően? A Kérelmező I. kifogásolta, hogy a Hatóság helyszíni ellenőrzés keretében nem vizsgálta a Kérelmezettek kifogásolt adatkezelését. II.5. A bizonyítási eljárás befejezése után a Kérelmezettek rendelkezésére bocsátott iratmásolatok alapján a Kérelmezettek alábbi észrevételeket tették megismételve a korábban előadottakat is: II.5.1.Kérelmezett II.: Fenntartotta a korábban előadott nyilatkozatokat. A Kérelmezett II. csak olyan személyes adatokat kezelt a Kérelmezők vonatkozásában, melyeket a Kérelmezők szolgáltattak a kölcsönügylettel összefüggésben, illetve amely adatokat az engedményező a Ptk. 6:148. § (1) bekezdés és Ptk. 6:196. § alapján köteles volt átadni a Kérelmezett II.-nek, mint engedményesnek. Ezek az alábbiak:

- Kérelmezők azonosító adatai (név, születési adatok, anyja neve, lakcím), közjegyző által készített okiratok. II.5.2.Kérelmezett III.: A Kérelmezők hamis színben tüntetik fel a Kérelmezett III.-at, mivel a 2018-ban közzétett MNB határozat 2014-es vizsgálat eredménye, a Kérelmezők azonban úgy hivatkozzák, mintha folyamatosan jogsértést követne el a Kérelmezett III. Téves az a megközelítés, hogy a meghatalmazás csak jogi képviselet ellátására szűkíthető le. A meghatalmazás alapján a Kérelmezett III. feladata az volt, hogy segítse az ügyfeleket, mely tevékenység a honlapjáról is megismerhető. A meghatalmazás nem terjedt ki jogi képviselet ellátására és pénzügyi tevékenység végzésre. Az adatfeldolgozói szerződés pontosan meghatározta, hogy mely feladatokat láthatta el a Kérelmezett III., és ez alapján egyértelműen meghatározott, hogy mely személyes adatok kezelését látták el.

III. Alkalmazandó jogszabályi előírások

A GDPR 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre a GDPR-t kell alkalmazni. A GDPR hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint a GDPR-t az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. GDPR 4. cikk 1. pontja alapján „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható; GDPR 4. cikk 7. pontja alapján „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja; GDPR 4. cikk 8. pontja alapján „adatfeldolgozó”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel; GDPR 4. cikk 11. pont alapján „az érintett hozzájárulása”: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez;

A GDPR (47) preambulumbekezdése alapján, ha az adatkezelés jogalapja a jogos érdek, akkor előzetesen érdekmérlegelést kell elvégezni, melynek keretében többek között meg kell határozni a jogos érdeket, az érintettre gyakorolt hatást, továbbá azt, hogy az adatkezelés szükséges, illetve arányos-e, valamint mérlegelni kell, hogy a jogos érdek vagy pedig az érintetti jog-e a magasabb rendű.

A GDPR 5. cikk (1) bekezdés a) pont alapján a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”);

A GDPR 5. cikk (2) bekezdés alapján az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). A GDPR 6. cikk (1) bekezdése alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. A GDPR 7. cikk (1) bekezdés alapján ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult. A GDPR 12. cikk (1) bekezdés alapján az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. A GDPR 14. cikk (1) – (2) bekezdése alapján:

(1) Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat:

a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;

b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;

c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;

d) az érintett személyes adatok kategóriái;

e) a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;

f) adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozás.

(2) Az (1) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat:

a)a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

b)ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről;

c) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga;

d)a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;

e) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;

f) a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e; és g)a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

(3) Az adatkezelő az (1) és (2) bekezdés szerinti tájékoztatást az alábbiak szerint adja meg:

a)a személyes adatok kezelésének konkrét körülményeit tekintetbe véve, a személyes adatok megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül;

b)ha a személyes adatokat az érintettel való kapcsolattartás céljára használják, legalább az érintettel való első kapcsolatfelvétel alkalmával; vagy c) ha várhatóan más címzettel is közlik az adatokat, legkésőbb a személyes adatok első alkalommal való közlésekor.

(4) Ha az adatkezelő a személyes adatokon a megszerzésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról.

(5) Az (1)–(4) bekezdést nem kell alkalmazni, ha és amilyen mértékben:

a) az érintett már rendelkezik az információkkal;

b)a szóban forgó információk rendelkezésre bocsátása lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne, különösen a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, a 89. cikk (1) bekezdésében foglalt feltételek és garanciák figyelembevételével végzett adatkezelés esetében, vagy amennyiben az e cikk (1) bekezdésében említett kötelezettség valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezen adatkezelés céljainak elérését. Ilyen esetekben az adatkezelőnek megfelelő intézkedéseket kell hoznia – az információk nyilvánosan elérhetővé tételét is ideértve – az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében;

c) az adat megszerzését vagy közlését kifejezetten előírja az adatkezelőre alkalmazandó uniós vagy tagállami jog, amely az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik; vagy d)a személyes adatoknak valamely uniós vagy tagállami jogban előírt szakmai titoktartási kötelezettség alapján, ideértve a jogszabályon alapuló titoktartási kötelezettséget is, bizalmasnak kell maradnia.

A GDPR 21. cikk (1) bekezdés alapján az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.

A GDPR 21. cikk (4) bekezdés alapján az (1) és (2) bekezdésben említett jogra legkésőbb az érintettel való első kapcsolatfelvétel során kifejezetten fel kell hívni annak figyelmét, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni. A GDPR 77. cikk (1) bekezdése szerint minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti A GDPR-t. GDPR 58. cikk (2) bekezdés b), d) és i) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Ugyanezen § (2a) bekezdése szerint a GDPR-ban a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében a GDPR-ban és e törvényben meghatározottak szerint a Hatóság gyakorolja. Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság hivatalból adatvédelmi hatósági eljárást indíthat.

Az Infotv. 60. § (2) bekezdése szerint az adatvédelmi hatósági eljárás megindítása iránti kérelem a GDPR 77. cikk (1) bekezdésében meghatározott esetben nyújtható be. Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben a GDPR-ban meghatározott jogkövetkezményeket alkalmazhatja. A GDPR 58. cikk (2) bekezdés b) pontja szerint a felügyeleti hatóság elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit, illetve ugyanezen bekezdés d) pontja értelmében a felügyeleti hatóság korrekciós hatáskörében eljárva utasítja az adatkezelőt, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel. Az Infotv. 61. § (6) bekezdés alapján az adatvédelmi hatósági eljárásban a kérelmezőt költségmentesség illeti meg, a Hatóság előlegezi az olyan eljárási költséget, amelynek előlegezése a kérelmezőt terhelné. A GDPR eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az Infotv-ben meghatározott eltérésekkel. Az Ákr. 10. § (1) bekezdés alapján az ügyfél az a természetes vagy jogi személy, egyéb szervezet, akinek (amelynek) jogát vagy jogos érdekét az ügy közvetlenül érinti, akire (amelyre) nézve a hatósági nyilvántartás adatot tartalmaz, vagy akit (amelyet) hatósági ellenőrzés alá vontak. Az Ákr. 17. § alapján a hatóság a hatáskörét és illetékességét az eljárás minden szakaszában hivatalból vizsgálja. Ha valamelyik hiányát észleli, és kétséget kizáróan megállapítható az ügyben illetékességgel rendelkező hatóság, az ügyet átteszi, ennek hiányában a kérelmet visszautasítja vagy az eljárást megszünteti. Az Ákr. 36. § szerint a kérelem az ügyfél olyan írásban vagy személyesen előterjesztett nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében. Az Ákr. 47. § (1) bekezdés a) pontja kimondja, hogy a hatóság az eljárást megszünteti, ha a kérelem visszautasításának lett volna helye, annak oka azonban az eljárás megindulását követően jutott a hatóság tudomására. Az Ákr. 51. § (1) bekezdés b) pont alapján ha a hatóság az ügyintézési határidőt túllépi, az eljárás lefolytatásáért fizetendő illetéknek vagy az illetékekről szóló törvény szerinti közigazgatási hatósági eljárásokért, vagy igazgatási jellegű szolgáltatások igénybevételért fizetett igazgatási szolgáltatási díjnak (a továbbiakban: díj) megfelelő összeget, ennek hiányában tízezer forintot megfizet a kérelmező ügyfélnek, aki mentesül az eljárási költségek megfizetése alól is. Az Ákr. 62. § (4) bekezdése alapján a hatóság szabadon választja meg a bizonyítás módját, és a rendelkezésre álló bizonyítékokat szabad meggyőződése szerint értékeli. Az Infotv. 75/A. § alapján a Hatóság a GDPR 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt a GDPR 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Az Infotv. 71. § (2) bekezdés alapján a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja.

A Magyar Nemzeti Bankról szóló 2013. évi CXXXIX. törvény (a továbbiakban: MNB tv.) 39. § (1) bekezdés c) pontja alapján, ha törvény eltérően nem rendelkezik, az MNB a 4. § (9) bekezdésben meghatározott feladatkörében ellátja a hitelintézetekről és a pénzügyi vállalkozásokról szóló törvény hatálya alá tartozó szervezetek, személyek és tevékenységek felügyeletét. Az MNB tv. 42. § d) pontja szerint az MNB a 4. § (9) bekezdésében meghatározott feladatkörében ellenőrzi a 39. §-ban meghatározott törvények hatálya alá tartozó személyek és szervezetek működésére és tevékenységére vonatkozó, a feladatkörébe tartozó hazai jogszabályi rendelkezések és európai uniós jogi aktusok betartását és az MNB által hozott határozatok végrehajtását. A hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013.évi CCXXVII. törvény (a továbbiakban: Hpt.) 161. § (1) bekezdés c) pont alapján banktitok csak akkor adható ki harmadik személynek, ha a pénzügyi intézmény érdeke ezt az ügyféllel szemben fennálló követelése eladásához vagy lejárt követelése érvényesítéséhez szükségessé teszi. A Polgári Törvénykönyvről szóló 2013. évi V. törvény (továbbiakban: Ptk.) 6:193. § (1) bekezdése értelmében a jogosult a kötelezettel szembeni követelését másra ruházhatja át. Ugyanezen § (2) bekezdése alapján engedményezés az engedményező és az engedményes szerződése, amellyel az engedményes az engedményező helyébe lép. A Ptk. 6:196. § alapján az engedményező köteles az engedményest a követelés érvényesítéséhez szükséges tájékoztatással ellátni, és köteles a birtokában lévő, a követelés fennállását bizonyító okiratokat az engedményesnek átadni.

IV. A Hatóság döntése

IV.1. Engedményezés és a Kérelmezettek tevékenységének, követelésvásárlásának jogszerűsége

IV.1.1. A Kérelmezők az engedményezés jogszerűségét vitatják, továbbá ezzel összefüggésben kifogásolták azt, hogy a Kérelmezett I. magánszemély részére engedményezte a tartozásukat, és erre hivatkozással banktitkot sértett, továbbá a GDPR 6. cikk (1) bekezdése rendelkezését is megsértette, valamint kifogásolták, hogy a Kérelmezett II. engedély nélkül engedélyköteles üzletszerű követelésvásárlási tevékenységet folytat, valamint a Kérelmezett III. olyan követeléskezelési tevékenységet folytat, amire nem rendelkezik engedéllyel. Jelen eljárásban a Hatóság a Kérelmezett I. és Kérelmezett II. adatkezelése vonatkozásában az engedményezés, továbbá a tevékenység végzésük, követelésvásárlásuk jogszerűségét nem vizsgálta, valamint a Kérelmezett I. által elkövetett banktitkok megsértésére sem tett megállapításokat, mert ezek megítélése az Infotv. 38. § (2)-(2a) bekezdései alapján nem tartozik a Hatóság hatáskörébe. Az engedményezés jogszerűségének megítélése bírósági hatáskör, a Kérelmezettek tevékenységének engedélykötelességére, általuk elkövetetett esetleges banktitok megsértésére vonatkozó vizsgálattal kapcsolatos eljárás sem a Hatóság hatáskörébe, hanem a Magyar Nemzeti Bank hatáskörbe tartozik. IV.1.2. A Kérelmezett I. és a Kérelmezett II. nyilatkozatából az állapítható meg, hogy olyan követelést tart nyilván a Kérelmezett II. a Kérelmezőkkel szemben, mellyel kapcsolatban az eljárás során egyik fél sem csatolt be olyan bírósági döntést, mely megállapítaná, hogy nem áll fenn, továbbá az engedményezés jogszerűtlen volt, ezért a Kérelmezett II.-nek elvileg jogos érdeke fűződhet a Kérelmezők személyes adatainak kezeléséhez, továbbá végrehajtható okiratán alapján végrehajtási eljárás folyik a Kérelmezett II. kérelmére a Kérelmezővel szemben. A fentieken túl olyan határozat sem jutott a Hatóság tudomására, melyben a Magyar Nemzeti Bank megállapította, hogy a Kérelmezettek a Kérelmezők által kifogásolt adatkezeléssel összefüggésben jogellenes pénzügyi tevékenységet, követelésvásárlást folytatnának. A Kérelmezők tartozásának engedményezésére 2018. december 13-án került sor, és a Kérelmezők az ezzel kapcsolatos adatátadást, tájékoztatási kötelezettség megsértését kifogásolták. A Kérelmezők által hivatkozott Magyar Nemzeti Bank 2018. június 1. napján kelt döntése ([…].), mely a Kérelmezett III.-at elmarasztalta a tevékenységével összefüggésben, nem erre az időszakra vonatkozott.

IV. 2. A Kérelmezettek engedményezéssel összefüggő adatkezelésének, adatátadásának jogalapja és a tájékoztatási kötelezettségük teljesítése

IV.2.1. Adatátadás jogalapja A Kérelmezett I. a Kérelmezők személyes adatai továbbítása jogalapjaként hivatkozott a Polgári Törvénykönyvről szóló 2013. évi V. törvény (továbbiakban: Ptk.) 6:193.§-ára és a Ptk. 6:196.§-ára is. A Ptk. Kérelmezett I. által hivatkozott 6:193. §-a az engedményezés fogalmát tartalmazza, mely az adattovábbítás jogalapjaként nem értelmezhető. A Ptk. 6:196. §-a értelmében azonban az engedményező köteles a birtokában lévő, a követelés fennállását bizonyító – az adós személyes adatait tartalmazó – okiratokat a Kérelmezett II.-nek átadni. Ez azonban nem minősül olyan jogi kötelezettségnek, amely önálló jogalapot teremtene, mivel ahhoz az Infotv. 5.§ (3) bekezdésére tekintettel a jogszabálynak rendeznie kellene az adatkezelés körülményeit is. Mindebből következően tehát a Kérelmezett I. által hivatkozott jogszabályi rendelkezések nem minősülnek a Kérelmezők személyes adatai továbbítása megfelelő jogalapjának. Ez azonban nem jelenti azt, hogy a Kérelmezők tartozásának fennállását bizonyító személyes adatok átadására a Kérelmezett I.-nek nem volt semmiféle jogalapja, mivel a Ptk. által lehetővé tett engedményezés mellett a hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013.évi CCXXVII. törvény (a továbbiakban: Hpt.) 161. § (1) bekezdés c) pontja is lehetőséget biztosít a pénzügyi intézménynek arra, hogy banktitkot adjon ki harmadik személy részére, ha érdeke ezt az ügyféllel szemben fennálló követelése eladásához vagy lejárt követelése érvényesítéséhez szükségessé teszi. Tehát a jogalkotó a jogos érdek deklarálása mellett az adat-, illetve iratátadás szükségességét is elismerte. A Ptk. 6:193. § (1) bekezdése értelmében a jogosult a kötelezettel szembeni követelését másra ruházhatja át. Ugyanezen § (2) bekezdése alapján engedményezés az engedményező és az engedményes szerződése, amellyel az engedményes az engedményező helyébe lép. A fentiekre figyelemmel a Kérelmezett I. tévesen megjelölt jogalap helyett az adattovábbítása jogalapjaként a GDPR 6. cikk (1) bekezdés f) pont szerinti jogos érdek jogalapra kellett volna hivatkoznia. Ennek alátámasztására azonban el kellett volna végeznie az érdekmérlegelést, azaz meg kellett volna pontosan neveznie az adattovábbítás célját, a továbbított személyes adatokat, azt hogy mely személyes adatok továbbítása mennyiben szükséges. A Kérelmezett I.-nek továbbá össze kellett volna vetnie a saját adatkezelése, adattovábbítása által megvalósuló érdekét az érintettek, adósok, kezesek jogaival és érdekeivel, az azok közötti súlyozást is el kellett volna végeznie, továbbá saját érdekének az érintettek jogaival és érdekeivel szembeni elsőbbséget igazolnia kellett volna. Az elszámoltathatóság elve alapján az adatkezelőknek az adatkezelés teljes folyamata során úgy kell megvalósítaniuk az adatkezelési műveleteket, hogy képesek legyenek az adatvédelmi szabályoknak való megfelelés bizonyítására. Az elszámoltathatóság elve, tehát nem csak általában, folyamatszinten értelmezhető, az valamennyi konkrét adatkezelési tevékenység, egy konkrét érintett személyes adatai vonatkozásában is érvényesül. Jelen ügyben az adatkezelés, illetve a Kérelmezők személyes adatai továbbításának megfelelő jogalap megjelölése és annak alapján az adattovábbítás szükségességének a Kérelmezők érdekével való igazolható összemérésének hiányában a Kérelmezett I. nem tett eleget a GDPR 5. cikk (2) bekezdése szerinti elszámoltathatóság elvének. IV.2.2. A Kérelmezők kifogásolták azt is, hogy a Kérelmezett I. magánszemély részére engedményezte a velük szemben fennálló követelést, és nem követeléskezeléssel foglalkozó cégnek adta azt át. A Kérelmezők hivatkoztak arra, hogy a Kérelmezett II. honlapján az olvasható, hogy csak követeléskezelésre engedéllyel rendelkező partnerei részére adja át az adósok követelését. Ez a tájékoztatás a Kérelmezett I. Kérelmezőnek nyújtott tájékoztatása szerint sem az engedményezésre szólt, hanem arra az esetre, ha a követelést a Kérelmezett I. nem ruházza át, csak annak kezelésével megbíz egy másik céget, és a Kérelmezett I. azt is hangsúlyozta a Kérelmezőnek küldött tájékoztatásában, hogy az üzleti mérlegelési kérdésébe tartozik az engedményezéssel kapcsolatos döntése. A Hatóságnak a IV.1. pontban írtak alapján nem hatásköre azt megítélni, hogy az általános szerződési feltételeiben írtakat betartja-e, ezért ezt a kérdést nem vizsgálta az eljárásában, ezért ezzel összefüggésben az eljárását az Ákr. 47. § (1) bekezdés a) pontja alapján megszüntette. IV. 2.3.A Kérelmezett II. adatkezelésnek jogalapja A becsatolt iratokból megállapítható, hogy a Kérelmezett II. engedményezés alapján kezeli a Kérelmezők személyes adatait, tehát mint adatkezelő jár el. A Kérelmezett II. a Hatóság felhívása ellenére nem jelölte meg egyértelműen, hogy a GDPR mely jogalapja alapján kezeli a Kérelmezők személyes adatait jelenleg is. Ez azonban nem feltétlenül jelenti azt, hogy a Kérelmezők személyes adatainak kezelésére semmiféle jogalapja nincs, mivel a jogszabály által lehetővé tett engedményezés keretében jutott hozzá a Kérelmezők személyes adataihoz – természetes személyazonosító adatok, valamint a követelésre vonatkozó adatok –, és a jogszerűen megszerzett követelés érvényesítéséhez, valamint az ehhez szükséges, a Kérelmezett II. által (I.5.1. pontban) hivatkozott adatok (Kérelmezők személyes adatai, közjegyző által készített okiratok) kezeléséhez fűződő jogos érdeke fennállta a jogi szabályozásból adódóan elvileg megállapítható, azonban a jogos érdek jogalap fennállását érdekmérlegeléssel kell igazolni a GDPR (47) preambulumbekezdése alapján. Tekintettel arra, hogy a Hatóság felhívása ellenére ezt nem igazolta, ezért a Kérelmezett II. megsértette a GDPR 5.cikk (2) bekezdését. IV.2.4. Tájékoztatási kötelezettség A becsatolt iratokból az is megállapítható, hogy a Kérelmezők tájékoztatást kaptak az engedményezés megtörténtéről a Kérelmezett I.-től, majd a Kérelmezett III.-tól, mint a Kérelmezett II. megbízottjától, azonban ez a tájékoztatás nem feleltethető meg a GDPR szerinti tájékoztatásnak. A GDPR 12. cikk (1) bekezdés alapján a GDPR 14. cikk (1)-(2) bekezdése szerinti adatkezelési körülményekről a személyes adatok megszerzését követően a Kérelmezett II.-nek a Kérelmezők személyes adatainak megszerzésekor tájékoztatást kellett volna nyújtania a Kérelmezők személyes adatainak kezelésének körülményeiről. Azonban a becsatolt iratokból megállapítható, hogy a Kérelmezett II. még a megbízottja útján sem adott GDPR-nak megfelelő tájékoztatást a Kérelmezők személyes adatainak kezeléséről, mert a Kérelmezett II. által hivatkozott levél, melyet a Kérelmezett III., mint megbízott küldött a Kérelmezőknek nem tartalmazott adatkezelési tájékoztatást. A fentiek alapján a Hatóság megállapította, hogy a Kérelmezett II. megsértette a GDPR 12. cikk (1) bekezdését, mert nem adott tájékoztatást a Kérelmezőknek az engedményezésre hivatkozással megszerzett személyes adatok kezelésének körülményeiről.

IV.3. A Kérelmezett III. adatkezelése

IV.3.1. A Kérelmezett III. adatkezelői minősége A Kérelmezett II. és a Kérelmezett III. nyilatkozatai szerint a Kérelmezett III. a Kérelmezett II. megbízottjaként kezelte a Kérelmezők személyes adatait, és ezen megbízása alapján adatfeldolgozónak minősült. A Kérelmezett III. által a Hatósághoz küldött adatfeldolgozói szerződés 1. számú mellékletében szereplő feladatok ellátására veszi igénybe a Kérelmezett II. a Kérelmezett III.-at. A szerződés 1. sz. melléklete valójában az „Adatfeldolgozás leírása” mellékletében van. Ebben az szerepel, hogy az adatkezelés célja „Adatfeldolgozó a Megbízó részére meghatalmazási ügylet keretében történő adatkezelés.”, továbbá a kezelt személyes adatok megjelölése ([…] és […] kölcsönszerződéshez kapcsolódó engedményezési dokumentumban szereplő személyes adat). A Kérelmezett III. által becsatolt meghatalmazás („megbízás”) dokumentum tartalmazza, hogy a Kérelmezett III.-nek a Kérelmezett II. meghatalmazást ad arra, hogy a […] és […] kölcsönszerződéshez kapcsolódó követelések érvényesítése iránti eljárásokban a Kérelmezett II. nevében és helyett eljárjon, szükséges jognyilatkozatokat megtegye és a szerződéseket megkösse, ennek keretében betekinthet a követeléssel kapcsolatos iratokba, megismerheti az ezzel kapcsolatos iratokat, személyesen és írásban felkeresheti az érintetteket, közreműködhet az adósság rendezése érdekében kötött megállapodások előkészítésében, megkötésében, közreműködhet az adósság fedezetéül szolgáló ingatlan értékesítésében, közreműködhet az adósok ellen indított végrehajtási eljárásokban a megállapodások létrehozásában, ingó- és ingatlan árveréseken. Az adatkezelési szerződés tehát nem tartalmazott részletes leírást arra vonatkozóan, hogy a Kérelmezett III. pontosan milyen eszközöket alkalmazzon a megbízás teljesítése során, továbbá a meghatalmazásban található fenti felsorolás nem tekinthető részletes utasításnak, mivel ezek közül a Kérelmezett III. szabad belátása szerint választhatott, hogy melyiket tartja célravezetőnek, tehát az adatkezelés eszközeit szabadon választhatta ki, továbbá az egyes feladatai teljesítésében is önállóan dönthetett, tehát a Hatóság állápontja szerint a Kérelmezett III. a Kérelmezők személyes adatainak kezelésével összefüggésben nem volt GDPR 4. cikk 8. pont szerinti adatfeldolgozónak tekinthető. Ehhez ugyanis az kellett volna, hogy a Kérelmezett II. meghatározza lépésről lépésre, hogy milyen tartalmú leveleket küldhet a Kérelmezőknek, illetve miről egyeztethet velük. A Hatóság - Kérelmezett III. önálló adatkezelői minőségével kapcsolatos - álláspontját támasztja alá az is, hogy a Kérelmezett III. a Kérelmezőknek írt levele is azt a tájékoztatást tartalmazta, hogy a Kérelmezett III.-nál fizetheti, rendezheti a tartozást, illetve nála kezdeményezhet megállapodáson alapuló tartozásrendezést. Sem az adatfeldolgozói szerződés, sem a megbízással kapcsolatos dokumentumok nem részletezik, hogy a Kérelmezett III. hogyan készítse elő az esetleges tartozásrendezést, ahhoz milyen személyes adatok rendelkezésre bocsátását kérje (jövedelmi adatok, stb.), továbbá végrehajtási eljárás megindítása után a megállapodások megkötése során, az árverések során milyen feladataival kapcsolatban milyen személyes adatok kezelésre jogosult, és milyen adatkezelési műveleteket hajtson azokon végre. A Kérelmezett II. és a Kérelmezett III. között létrejött megbízási jogviszonyban a Kérelmezett feladatainak túl általános megfogalmazása, a Kérelmezett III. által követendő eljárásrend (és ezzel szorosan összefüggő adatkezelési körülmények) részletes meghatározásának hiánya miatt a Kérelmezett III. adatkezelőnek tekinthető.

A fentiekre hivatkozással a GDPR 4. cikk 7. pontja szerinti meghatározásból kiindulva a Kérelmezett III. önálló adatkezelőnek azért tekinthető, mivel az adatkezelési körülményekkel kapcsolatos érdemi döntéseket maga határozza meg, erre vonatkozóan a Kérelmezett II.-től nem kapott előzetesen részletes utasítást a becsatolt dokumentumok tanúsága szerint, tekintettel arra, hogy a „követelések érvényesítése iránti eljárás”, mint adatkezelés cél nagyon tág meghatározás, és ennek végrehajtása nagyon sok alternatív megoldást takar. IV.3.2. A Kérelmezett III. adatkezelésének jogalapja és tájékoztatási kötelezettsége Az egyes adósságbehajtással foglalkozó cégek adatátvételének jogalapja különböző lehet, attól függően, hogy az alapkövetelés jogosultja maga, vagy jogi képviselő útján próbálja érvényesíteni a követelést vagy engedményezi a követelést. Az engedményezési és a megbízási jogcím között az a lényeges különbség, hogy míg a megbízás esetén a követelés behajtása a megbízó nevében folyik, addig engedményezés esetén a behajtó cég, vagy ügyvédi iroda saját nevében szólítja fel a fogyasztót/ügyfelet teljesítésére. A Kérelmezett III. nyilatkozata szerint nem foglalkozott adósságbehajtással, mivel erre a tevékenységre nem rendelkezik megfelelő engedéllyel. A Hatóság a IV.1. pontban kifejtette, hogy ennek megítélése nem hatásköre, mivel erre a Magyar Nemzeti Bank rendelkezik hatáskörrel, azonban tekintettel arra, hogy a IV.3.1. pontban kifejtettek miatt a Kérelmezett III. nem tekinthető adatfeldolgozónak, ezért megfelelő jogalappal kellett rendelkeznie a Kérelmezők személyes adatainak kezelésekor. Hasonlóan a Kérelmezett II. adatkezeléséhez itt is csak a GDPR 6. cikk (1) bekezdés f) pont szerinti jogalap lenne alkalmazható, azonban azt a GDPR (47) preambulumbekezdésének megfelelően érdekmérlegeléssel kellett volna alátámasztani. Ennek a Kérelmezett III. nem tett eleget, ezzel megsértette a GDPR 5. cikk (2) bekezdés szerinti elszámoltathatóság elvét. Tekintettel arra, hogy a Kérelmezett III. adatkezelőnek minősült a Kérelmezők személyes adatainak kezelésével összefüggésben, ezért a Kérelmezett III. -nak is fennállt a GDPR 14. cikk (1)-(2) bekezdésekkel összefüggő tájékoztatási kötelezettsége. A GDPR 12. cikk (1) bekezdés alapján az adatkezelő a 14. cikk (1)- (2) bekezdése szerinti adatkezelési körülményekről a személyes adatok megszerzését követően a Kérelmezett II. a Kérelmezők személyes adatainak megszerzésekor tájékoztatást kellett volna nyújtania a Kérelmezők személyes adatainak kezelésének körülményeiről. Azonban a becsatolt iratokból megállapítható, hogy a Kérelmezett III. nem adott GDPR-nak megfelelő tájékoztatást a Kérelmezők személyes adatainak kezeléséről, mert a Kérelmezett II. által hivatkozott levél, melyet a Kérelmezett III., mint megbízott küldött a Kérelmezőknek nem tartalmazott adatkezelési tájékoztatást. A fentiek alapján a Hatóság megállapította, hogy a Kérelmezett III. is megsértette a GDPR 12. cikk (1) bekezdését, mert nem adott tájékoztatást a Kérelmezőknek a megbízási tevékenyégének végzésére hivatkozással megszerzett személyes adatok kezelésének körülményeiről.

IV.4. Jogkövetkezmények

IV.4.1.A Hatóság a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezetteket, mert megsértették a GDPR 5. cikk (2) bekezdését, továbbá a Kérelmezett II.-t és a Kérelmezett III.-at, mivel megsértették a GDPR 12. cikk (1) bekezdését. IV.4.2.A Hatóság a GDPR 58. cikk (2) bekezdés g) pontjának megfelelően hivatalból elrendelte:

a Kérelmezők személyes adatai kezelésének korlátozását, amíg Kérelmezett II. nem igazolja adatkezeléshez fűződő jogos érdekének az elsőbbségét a Kérelmezők jogaival és érdekeivel szemben, mivel az eljárás során nem igazolta a Hatóság felé, hogy a fenti érdekek közti mérlegelést, ellensúlyozást elvégezte, a Kérelmezők azon személyes adatainak törlését, melyekkel kapcsolatban a GDPR 6. cikk (1) bekezdés f) pont állapítható meg jogalapként, azonban a Kérelmezett II. az ezzel kapcsolatos adatkezeléssel összefüggésben a jogos érdekét érdekmérlegeléssel nem támasztotta alá, hogy a GDPR 14. § (1) –(2) alapján, és külön kiemelten a GDPR 14. cikk (2) bekezdésének b) pontja alapján tájékoztassa a Kérelmezett II. a Kérelmezőket arról, hogy milyen jogos érdeke miatt szükséges személyes adataik kezelése, ezen érdek a Kérelmezők alapvető jogaival szemben mi alapján élvez elsőbbséget, valamint tájékoztassa a Kérelmezőket az őt megillető tiltakozási jogról, valamint arról, hogy azt hogyan gyakorolhatja, annak érdekében, hogy az adatai feletti kontrollt a Kérelmezők megfelelően gyakorolhassák.

A Hatóság az eljárás során túllépte az Infotv. 60/A. § (1) bekezdése szerinti százhúsz napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján külön-külön tízezer forintot fizet a Kérelmezőknek – Kérelmezők írásban megjelölendő választása szerint – bankszámlára utalással vagy postai utalvánnyal.

V. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az egész ország területére kiterjed.

Az Ákr. 112. §-a, és a 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal és a végzéssel szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9.§ (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának helyét és idejét a Kp. 39. § (1) bekezdése határozza meg. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja.

Budapest, 2021. május 18.

Dr. Péterfalvi Attila elnök c. egyetemi tanár