Ügyiratszám: NAIH/2020/166/5. Tárgy: kérelemnek részben helyt adó határozat Előzmény: NAIH/2019/7637.

## H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt […] kérelmező (a továbbiakban: Kérelmező) meghatalmazással igazolt jogi képviselő útján benyújtott kérelme alapján 2019. október 29. napján adatvédelmi hatósági eljárás indult a Kérelmező személyes adatainak kölcsönszerződéssel összefüggő jogellenes kezelése tárgyában az […] -vel (a továbbiakban: Kérelmezett) szemben. Az ügyben a Hatóság az alábbi döntéseket hozza: I.1. A Hatóság a Kérelmező kérelmének részben helyt ad és I.2. megállapítja, hogy a Kérelmezett jogalap nélkül kezelte a Kérelmező személyes adatait, továbbá megsértette az általános adatvédelmi rendelet célhoz kötöttség elvét. I.3. A Hatóság a Kérelmező kérelmét a Kérelmezett tájékoztatási kötelezettsége megsértésének megállapítására irányuló részében elutasítja. II. A Hatóság a Kérelmezettet az általa végzett jogellenes adatkezelés miatt hivatalból

## 1.000.000 Ft, azaz egymillió forint adatvédelmi bírság

megfizetésére kötelezi.

A hatósági eljárás során eljárási költség nem merült fel, ezért annak viseléséről nem rendelkezett a Hatóság.

Az adatvédelmi bírságot a bírósági felülvizsgálat kezdeményezésére irányadó keresetindítási határidő lejártát, illetve felülvizsgálat kezdeményezése esetén a bíróság döntését követő 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2020/166. BÍRS. számra kell hivatkozni.

Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását.

A határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtania elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30

000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

## I N D O K O L Á S

## I. Az eljárás menete és a tényállás tisztázása

I.1.A Kérelmező meghatalmazással igazolt jogi képviselő […] útján 2019. október 28. napján kérelmet nyújtott be, melyben adatvédelmi hatósági eljárás lefolytatását kezdeményezte, és kérte a Kérelmezett adatkezelésének kivizsgálását, a jogellenes adatkezelés tényének a megállapítását.

A Kérelmező erre irányuló kérelmére az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján adatvédelmi hatósági eljárás indult.

A Kérelmező előadta, hogy semmilyen kölcsönszerződést vagy hitelszerződést nem kötött a Kérelmezettel, ennek ellenére a Kérelmezett nyilvántartásában egy hitelügyletnél adóstársként került rögzítésre, és ezzel összefüggésben jogalap nélkül a Központi Hitelinformációs Rendszerbe (a továbbiakban: KHR) is továbbították a személyes adatait. A Kérelmező akkor szerzett tudomást arról, hogy a személyes adatait jogellenesen kezelik, amikor egy másik pénzintézettel kötött volna kölcsönszerződést, azonban azt visszautasították arra hivatkozással, hogy a személyes adatai a KHR-ben szerepelnek egy kölcsönügylettel kapcsolatban, ezért nem kaphat vagy nem akkora összegű kölcsönt kaphat, amekkorát igényelt. A Kérelmező nyilatkozata szerint ezzel „súlyos erkölcsi károkat okozott” a Kérelmezett a Kérelmezőnek. A Kérelmező panaszt tett a Kérelmezettnél, továbbá tájékoztatást kért 2019. augusztus 30-án a Kérelmezett hajdúböszörményi bankfiókjában, de állítása szerint nem kapott megfelelő tájékoztatást. A Kérelmező az alábbi dokumentumok másolatát csatolta be:

- KHR-ből 2019.08.30. napján lekért „Személy saját hiteljelentés”, - A Kérelmezett a Kérelmezőnek küldött – […] ikt sz. – levele, melyben arról küldött értesítést a Kérelmezett, hogy a KHR-ben a Kérelmezővel összefüggésben nyilvántartott referenciaadatokban történt változást a KHR-t kezelő pénzügyi vállalkozás részére továbbította 2019.10.02. napján. Ebben a levélben az szerepel, hogy a Kérelmezettnél kötött – […] sz. szerződés vonatkozásában a Kérelmező adóstárs. I.2 A Kérelmezett eljárás során tett nyilatkozatai A Hatóság a Kérelmezettet a NAIH/2019/7637/4. számú végzésében hívta fel nyilatkozattételre a tényállás tisztázása érdekében, melyre a Kérelmezett az alábbiakat nyilatkozta. A korábban kezelt személyes adatok forrása a KHR volt. A Kérelmezett a személyes adatokat jogszabályi kötelezettség alapján, a központi hitelinformációs rendszerről szóló 2011. évi CXXII. törvény (a továbbiakban: KHR törvény) 5. § (2) és (7) bekezdése alapján kezelte, az adatkezelés jogalapjául a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: általános adatvédelmi rendelet) 6. cikk (1) bekezdés c) pontja szolgált. A Kérelmező korábban a Kérelmezett ügyfele volt, 2002. december 11-től 2005. február 21- ig tartó időtartamban […] típusú folyószámlával rendelkezett a Kérelmezettnél. A szerződése megszűnése után a szerződésre irányadó megőrzési határidőben jogszerűen tárolta a Kérelmezett a Kérelmező személyes adatait. A Kérelmező első panaszát 2019. szeptember 18-án, a Kérelmezett hajdúböszörményi fiókjában adta elő. A bankfióki ügyintéző rögzítette a panaszt a Kérelmezett központi panaszkezelő rendszerében, amelynek hatására belső vizsgálatot indított a Kérelmezett. A vizsgálat során megállapításra került, hogy a Kérelmező a KHR-ben tévesen volt rögzítve egy hitelszerződéshez, melyet ügyfélszám tévesztés miatt manuális rögzítési hiba okozott. Mivel a Kérelmező a panaszát szóban tette, és az eljárás során fény derült rá, hogy nem a Kérelmezett ügyfele, a hajdúböszörményi ügyintéző 2019. október 10-én telefonon tájékoztatta a lefolytatott eljárás eredményéről és a KHR rendszerből történő törlésről. A Kérelmezett a KHR-be 2019. október 3-án továbbította a Kérelmező adatait, melyről a Kérelmezőt postai úton értesítette. A levél tárgya adatváltozás a KHR-be történő átadása, a levél e körben azokat a változásokat mutatja, amelyekre vonatkozóan a törlés megtörtént. A KHR törvény 17. § (5) bekezdése írja elő az érintett értesítését a KHR-ben történő adatváltozásokról. A levél szerint a […] szerződésszámú szerződéshez kerültek rögzítésre a Kérelmező személyes adatai (neve, születési neve, anyja születési neve, születési helye és ideje, személyazonosító okmány száma, lakcíme, levelezési címe). A Kérelmezett nyilatkozata szerint a Kérelmező ügyfélszáma […] volt, a szerződés valódi adósának az ügyfélszáma […]. A Kérelmezett továbbá arról is nyilatkozott, hogy a Kérelmezőt rögzítették be tévedésből a szerződés valódi adósának a hitelszerződéséhez. A Kérelmezett állítása szerint a Kérelmező kérelmét megfelelően teljesítették, telefonon értesítették a megtett intézkedésekről. A Kérelmezett továbbá becsatolta a Kérelmezőnek küldött – 2019. október 3-án - „Tájékoztatás adatváltozás KHR-be történt átadásról (természetes személyeknek)” tárgyú levelét, melyben arról nyújtott tájékoztatást, hogy „…a törvényi kötelezettségének eleget téve (2011.évi CXXII. törvény – KHR tv. – 15.§ (6) bekezdés) a […] számú szerződésével kapcsolatosan a Központi Hitelinformációs Rendszerben (KHR) nyilvántartott referenciaadataiban történt változást a KHR-t kezelő pénzügyi vállalkozás (BISZ Zrt.) részére 2019-10-02 napján továbbította. Bankunknál lévő […] számú szerződéséről az alábbi adatok szerepelnek a Központi Hitelinformációs Rendszerben. […]” A levélben a továbbiakban a Kérelmező személyes adatai szerepelnek, továbbá a Kérelmező vonatkozásában tévesen rögzített szerződéses adatok, azonban arra nincs utalás a levélben, hogy ezek az adtok tévesek, illetve ezek törlésre kerülnek. A Kérelmező második panasza 2019. október 28-án érkezett a Kérelmezetthez, melyben a Kérelmező 700 000 Ft sérelemdíjat kért a Kérelmezett jogellenes adatkezelésére hivatkozással. A Kérelmező levelére 2019. november 12-én postai úton válaszoltak, melyben ismételten elismerték, hogy hibáztak, ugyanakkor a követelt sérelemdíj összegét túlzónak tartotta a Kérelmezett. A Kérelmezőt ért sérelmet figyelembe véve 200 000 Ft azonnali „kártérítés”-t ítélt meg a Kérelmezett, melyet a Kérelmező számlaszámára átutalt. A Kérelmezett becsatolta a Kérelmező meghatalmazott jogi képviselőjének küldött – 2019. november 12-én kelt – levele másolatát, melyben a téves adatok törlésére irányuló érintetti kérelemmel kapcsolatban az alábbi tájékoztatás szerepelt:

„[…] Panaszát kivizsgáltuk, és kivizsgálásunk eredményeképpen megállapításra került, hogy a panaszában megjelölt adatkezelés adminisztrációs hibából eredően történt, melyet haladéktalanul korrigáltunk miután az a tudomásunkra jutott, így Ügyfelét anyagi kár nem érhette. A javítást követően teljes értékű hitelre jogosult. Az adott ügyletben Ügyfelét nem tartjuk nyilván ügyleti szereplőként, ezt jelen levelünk útján igazoljuk. Itt kívánjuk megjegyezni, hogy a panaszok megválaszolására nyitva álló határidő 30 nap. A kérelem megválaszolásához természetesen a Banknak is meg kell vizsgálnia, hogy az Ügyfél valóban szerepel-e az adott kötelemben, ha pedig nem, akkor hogyan került bele. Ennek kivizsgálása hosszabb időt vesz igénybe, azonban a Bankunk szándékosan nem késlekedett a kivizsgálással és a panasz rendezésével. Miután Ügyfele írásbeli panaszt nem nyújtott be korábban Bankunkhoz, csak szóban jelezte a hajdúböszörményi bankfiókban 2019. szeptember 18-án kifogását, Bankunk nem küldött részére írásbeli választ. A kivizsgálás eredményéről azonban a rendezést követően haladéktalanul tájékoztatta a hajdúböszörményi bankfiók az Ügyfelét.[…]”

## II. Az ügyben alkalmazandó jogszabályok

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: általános adatvédelmi rendelet) 2. cikk (1) bekezdése szerint a rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak az adatoknak a nem automatizált kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

Az általános adatvédelmi rendelet 4. cikk 1. pont „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.

Az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pont alapján a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; („célhoz kötöttség”) Az általános adatvédelmi rendelet 6. cikk (1) bekezdése alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;

b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;

c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;

e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;

f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.

Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.

Az általános adatvédelmi rendelet 15. cikk (1) bekezdés alapján az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár.

Az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontja alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja értelmében az adatkezelés jogalapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja.

Az általános adatvédelmi rendelet 25. cikke: (1) Az adatkezelő a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket - például álnevesítést - hajt végre, amelyek célja egyrészt az adatvédelmi elvek, például az adattakarékosság hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába.

(2) Az adatkezelő megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítására, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek. Ez a kötelezettség vonatkozik a gyűjtött személyes adatok mennyiségére, kezelésük mértékére, tárolásuk időtartamára és hozzáférhetőségükre. Ezek az intézkedések különösen azt kell, hogy biztosítsák, hogy a személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül ne válhassanak hozzáférhetővé meghatározatlan számú személy számára.

(3) A 42. cikk szerinti jóváhagyott tanúsítási mechanizmus felhasználható annak bizonyítása részeként, hogy az adatkezelő teljesíti az e cikk (1) és (2) bekezdésében előírt követelményeket.

Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b), c) és i) pont alapján a felügyeleti hatóság korrekciós hatáskörében eljárva:

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét;

i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett.

Az általános adatvédelmi rendelet 83. cikk (1) bekezdés alapján valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek.

Az általános adatvédelmi rendelet 83. cikk (2) bekezdés alapján a közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;

b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;

d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke;

g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;

i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban - ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés;

j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség.

Az általános adatvédelmi rendelet 18. cikk (2) bekezdés alapján, ha az adatkezelés az (1) bekezdés alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni.

Az általános adatvédelmi rendelet 83. cikk (5) bekezdés alapján az alábbi rendelkezések megsértését - a (2) bekezdéssel összhangban - legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelés elvei - ideértve a hozzájárulás feltételeit - az 5., 6., 7. és 9. cikknek megfelelően;

b) az érintettek jogai a 12-22. cikknek megfelelően. Az Infotv. 2. § (2) bekezdés alapján személyes adatoknak az (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet a III-V. és a VI/A. Fejezetben, valamint a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §-ban, az 55. § (1)-(2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, a 62-71. §-ban, a 72. §-ban, a 75. § (1)-(5) bekezdésében, a 75/A. §-ban és az 1. mellékletben meghatározott kiegészítésekkel kell alkalmazni.

A központi hitelinformációs rendszerről szóló 2011. évi CXXII. törvény (a továbbiakban: KHR törvény) 5. § (2) bekezdés alapján a referenciaadat-szolgáltató a pénzügyi szolgáltatásra vonatkozó szerződés, a befektetési hitel nyújtására vonatkozó szerződés, valamint az értékpapírkölcsönzésre vonatkozó szerződés, továbbá a jogszabályban meghatározott hallgatói hitelszerződés (a továbbiakban együtt: az adatszolgáltatás tárgyát képező szerződés) megkötését követően írásban átadja a KHR részére a) a természetes személynek a melléklet II. fejezetének 1.1 pontja és 1.2 pontjának a)-d) és k) alpontja szerinti referenciaadatait, b) a vállalkozásoknak a melléklet II. fejezetének 2.1 pontja és 2.2 pontja a)-d) és l) alpontja szerinti referenciaadatait.

A KHR törvény 5. § (7) bekezdés alapján az adatszolgáltatás tárgyát képező szerződés megkötését megelőzően a referenciaadat-szolgáltató a KHR-t kezelő pénzügyi vállalkozástól átveszi:

a) természetes személy ügyfél esetében - ha a (3) bekezdés szerinti írásbeli nyilatkozatában ahhoz hozzájárult - a (2) bekezdés szerinti, a melléklet II. fejezetének 1.1 -1.4 és 1.6 pontjai szerinti referenciaadatokat, b) természetes személy ügyfél esetében - ha a (3) bekezdés szerinti írásbeli nyilatkozatában nem járult hozzá adatai lekérdezéséhez - a melléklet II. fejezetének 1.5 pontja szerinti, továbbá a 11-13/A. §-ban foglaltak alapján a KHR-ben nyilvántartott referenciaadatokat [melléklet II. fejezet 1.1, 1.2 pont e)-g) alpont, 1.3-1.4 pont, 1.6 pont], c) vállalkozások esetén a melléklet II. fejezetének 2.1-2.4 pontjai szerinti referenciaadatokat. A KHR törvény 15. § (6) bekezdés alapján a referenciaadat-szolgáltató a 6. § (5) bekezdés szerinti referenciaadatot kivéve, valamennyi e törvény szerinti, a KHR-t kezelő pénzügyi vállalkozás részére történő adatátadását követő legfeljebb öt munkanapon belül írásban tájékoztatja a nyilvántartott természetes személyt az adatátadás megtörténtéről.

## III. Hatóság döntése

III.1.A Kérelmezett adatkezelése

A Kérelmezett a Kérelmező alábbi személyes adatait kezeli a kifogásolt esetben: név, születési név, születési hely és idő, személyazonosító okmány száma, lakcím, ügyfélszám.

A Hatóság a Kérelmezett nyilatkozatai alapján megállapította, hogy az adatkezelési folyamata során a Kérelmezett jogellenes adatkezelését a téves adatrögzítés okozta.

A Kérelmezett nyilatkozata szerint nem szándékos magatartás okozta a jogellenes adatkezelést, hanem adminisztrációs hibára vezethető az vissza. A Hatóság álláspontja szerint ez az érvelés nem mentesíti a Kérelmezettet az adatkezelői felelősség alól, tekintettel arra, hogy az általános adatvédelmi rendelet 4. cikk 7. pontja értelmében a Kérelmezett minősül adatkezelőnek és nem a munkavállalói. A Kérelmezett az, aki megszervezi az adatkezelés folyamatát és kialakítja annak körülményeit, nem pedig az ügyintézők. Az adatkezelő legfontosabb jellemzője az, hogy érdemi döntéshozatali jogkörrel rendelkezik, és felelősséggel tartozik az adatkezelés valamennyi, az általános adatvédelmi rendeletben rögzített kötelezettség teljesítéséért.

Az Adatvédelmi Irányelv 29. cikke szerint létrehozott Adatvédelmi Munkacsoport (a továbbiakban: Adatvédelmi Munkacsoport) az „adatkezelő” és az „adatfeldolgozó” fogalmáról szóló 1/2010. számú véleményében szintén kifejtette, hogy „Végső soron a vállalatot vagy szervet kell felelősnek tekinteni az adatfeldolgozásért és az adatvédelmi jogszabályokból eredő kötelezettségekért, kivéve, ha egyértelmű elemek utalnak arra, hogy egy természetes személy a felelős. […] Azonban az ilyen esetekben is, amikor konkrét természetes személyt neveznek ki, hogy biztosítsa az adatvédelmi elvek betartását vagy hogy személyes adatokat dolgozzon fel, ez a személy nem lesz adatkezelő, hanem annak a jogi személynek (vállalatnak vagy köztestületnek) a nevében jár el, amely adatkezelői minőségében továbbra is felelős az alapelvek megsértése esetén.” Az ügyintéző által végrehajtott téves adatrögzítés ténye tehát nem minősül kimentési oknak, ebben az esetben is az adatkezelő viseli a felelősséget.

Mindezek alapján e határozat szerinti jogsértés a Kérelmezett, mint adatkezelő felelősségi körébe esik. Az általános adatvédelmi rendelet 25. cikke megköveteli, hogy az adatkezelő az adatkezelés teljes folyamata során megfelelő technikai és szervezési intézkedéseket hajtson végre annak biztosítására, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek.

III.2. Az adatkezelés jogalapja

Az iratokból megállapíthatóan a Kérelmező sem az adott ügylettel összefüggésben, sem egyéb ügylettel kapcsolatban nem volt a Kérelmezett adósa, ügyfele, jogviszony nem állt fenn közöttük 2005. február 21-e óta, azaz a folyószámla-szerződése megszűnése óta.

Az ügyfélszám hibás rögzítése okán a Kérelmezett úgy tartotta nyilván a Kérelmező adatait, hogy azok egy másik személy hitelügyletéhez kapcsolódtak, továbbá emiatt a korábbi folyószámaszerződésével összefüggésben a megőrzési kötelezettség lejárta után a Kérelmezett azokat más szerződés teljesítésével kapcsolatos céllal – tévedésből - felhasználta.

A Hatóság megállapította, hogy a Kérelmezett téves adatrögzítése által megvalósított adatkezelésével megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését, mivel nem volt jogalapja az adatkezelésre.

III.3. A célhoz kötöttség elve A Kérelmezett – ügyfélszámot érintő - elírása miatt a Kérelmezőt berögzítette adóstársként tévedésből egy olyan szerződés ügyfélszámához, melyben a Kérelmező nem volt érinett, tehát a Kérelmező személyes adatait egy olyan szerződésben használta fel, melyben a Kérelmező nem szerepelt félként.

A Kérelmező személyes adatai kezelésének eredeti célja a Kérelmező folyószámla-szerződésének teljesítésével, majd a megszűnése után a személyes adatok kötelező tárolásával függött össze. Azzal, hogy a Kérelmező – folyószámla-szerződésével összefüggésben kezelt - személyes adatait egy olyan hitelszerződéshez kapcsolták, melyben a Kérelmező sem adósként, sem egyéb kötelezettként nem szerepel, a Kérelmezett a Kérelmező személyes adatait az adatkezelés eredeti céljától eltérő céllal kezelte. A fentiek miatt a Hatóság megállapította, hogy a Kérelmezett megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontjában írt célhoz kötöttség elvét. III. 4. A Kérelmezett tájékoztatási kötelezettsége III.4.1. A Kérelmező szóbeli panaszának panaszbeadványi minősége A Kérelmező a Kérelmezettnél – a Kérelmező állítása szerint 2019. augusztus 30-án, a Kérelmezett nyilatkozata szerint 2019. szeptember 18-án - szóban előadott panaszában azt kifogásolta, hogy nem adós a Kérelmezett által a KHR-be továbbított szerződéssel kapcsolatban. A Kérelmezett a becsatolt iratok és a nyilatkozata szerint a kifogást fogyasztói panaszbeadványnak minősítette. A panaszában a Kérelmező az adósi minőségével kapcsolatos kifogását fogalmazta meg, továbbá ezzel kapcsolatban semmi utalást nem tett arra nézve, hogy érintetti kérelemmel is fordul a Kérelmezetthez. A Hatóság álláspontja szerint a Kérelmező szóbeli kifogása annak tartalma alapján a fentiek miatt nem minősül érintetti joggyakorlásra irányuló kérelemnek, és ebből következően a Kérelmezőt érintetti minőségében jogsérelem nem érte. A Kérelmező ezen panaszának elbírálásával összefüggésben a Hatóság nem foglalhat állást, mivel a fogyasztói panasz elintézésnek kivizsgálása az Infotv. 38. § (2)-(2a) bekezdése értelmében nem tartozik a hatáskörébe, az a Magyar Nemzeti Bank hatásköre. III.4.2. A Kérelmező érintetti kérelme A Kérelmező második panasza, mely érintetti kérelemnek is minősül, 2019. október 28-án érkezett a Kérelmezetthez. Ebben a Kérelmező sérelemdíjat kért a Kérelmezett jogellenes adatkezelésére hivatkozással. A Kérelmezett 2019. november 12. napján küldött tájékoztatást az érintetti kérelemmel kapcsolatban, melyben az általános adatvédelmi rendelet 12. cikk (1) bekezdésében írtaknak megfelelően egyértelműen tájékoztatja a megtett intézkedésekről a Kérelmezőt. Az általános adatvédelmi rendelet 12. cikk (3) bekezdése alapján egy hónapon belül kell választ adni az érintetti kérelemre, azaz tájékoztatást nyújtani adatkezelőnek a megtett intézkedéseivel kapcsolatban. Tekintettel arra, hogy a Kérelmezett a 2019. október 28-án előterjesztett kérelmet igazoltan 2019. november 12-én megválaszolta az általános adatvédelmi rendelet 12. cikk (1) bekezdésében írtaknak megfelelően, ezért a Hatóság megállapította, hogy a Kérelmezett nem sértette meg az általános adatvédelmi rendelet 12. cikk (3) bekezdésében írtakat. III.5. Jogkövetkezmények

A Hatóság a Kérelmező kérelmének helyt ad és az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezettet az általános adatvédelmi rendelet 6. cikk (1) bekezdése, az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja megsértése miatt. A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság a bírság kiszabása során az alábbi tényezőket súlyosító körülményként vette figyelembe:

- A Kérelmezett jogalap nélküli adatkezelése a Kérelmező magánszféráját jelentősen érintette, mivel a Kérelmező személyes adatait egy olyan szerződéssel kapcsolatban rögzítette, melyben nem is volt adós. Egy természetes személy számára a hitelhez való hozzáférés alapvető egzisztenciális igény. A Kérelmezett belső eljárásrendje nem küszöbölte ki, hogy a Kérelmező, akinek az adatkezelésről tudomása sem volt, az érdekeit súlyosan sértő helyzetbe kerüljön, és neki magának kelljen a jogsértés elhárítása érdekében lépéseket tennie. (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont) - A jogsértés súlyos, mert a Kérelmezett az adatkezelésével az általános adatvédelmi rendelet több cikkét is megsértette, továbbá úgy kezelte a Kérelmező személyes adatait, hogy tévesen a megőrzési kötelezettséggel érintett – passzív státuszban levő adatai aktívan felhasználásra - rögzítésre - kerültek egy másik ügyletben. (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont)

- A Kérelmezett elmarasztalására az általános adatvédelmi rendelet megsértése miatt már sor került a NAIH/2018/5573/6/H. számú határozatában, melyben a Hatóság megállapította, hogy egy jelzáloghitel szerződéssel összefüggésben kezelte egy érintett személyes adatait, és tévedésből kötelezettként jelölte meg a szerződésben, annak ellenére, hogy az érintett nem szerepelt sem félként, sem egyéb kötelezettként abban a szerződésben, melyhez a rendszerében a Kérelmezett őt rögzítette, majd emiatt a kérelmező személyes adatait tévedésből jogellenesen a szerződés adósa rendelkezésére bocsátotta. Ebben az ügyben bírság kiszabására nem került sor. (általános adatvédelmi rendelet 83. cikk (2) bekezdés e) és i) pont) A Hatóság a bírság kiszabása során az alábbi tényezőket enyhítő körülményként vette figyelembe:

- A Kérelmezett jogellenes adatkezelése egy személyt érintett és a hiba észlelése után rövid időn belül orvosolta a helyzetet. (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont). - A Kérelmezett jogellenes adatkezelése nem szándékos magatartására vezethető vissza. (általános adatvédelmi rendelet 83. cikk (2) bekezdés b) pont).

- A Kérelmezett a Kérelmezőt ért sérelmet figyelembe véve 200 000 Ft azonnali „kártérítés”-t ítélt meg, melyet a Kérelmező számlaszámára átutalt. (általános adatvédelmi rendelet 83. cikk (2) bekezdés c) pont)

A jogsértés jellege alapján – adatkezelés elveinek a megsértése – a kiszabható bírság felső határa az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pont alapján 20 000 000 EUR, illetve az előző pénzügyi év teljes világpiaci forgalmának legfeljebb 4%-a. (általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pont) A Kérelmezett 2018. évi eredménykimutatása alapján az adózás előtti eredménye […] millió Ft volt. A kiszabott adatvédelmi bírság nem lépi túl a kiszabható bírság maximumát, mivel az az […] millió Ft 0,00847 %-a. (általános adatvédelmi rendelet 83. cikk (5) bekezdés a) pont) A Hatóság a bírság kiszabása tekintetében az általános adatvédelmi rendelet 83. cikk (2) bekezdésének a következő rendelkezéseit nem vette figyelembe, mert a mérlegelése szerint a tárgyi ügyben nem voltak relevánsak: d) pont, f) pont, h) pont és k) pont. A bírságkiszabással a Hatóság speciális prevenciós célja az, hogy ösztönözze a Kérelmezettet arra, hogy vizsgálja meg az ügyfeleivel kötött szerződésekkel összefüggésben kezelt személyes adatokkal kapcsolatos gyakorlatát. A Hatóság a kiszabott bírságösszeg meghatározásakor a sepciális perevenciós cél mellett figyelemmel volt a bírsággal elérni kívánt generálpreventív célra is, mellyel - a Kérelmezett újabb jogsértéstől való visszatartása mellett - valamennyi piaci szereplő adatkezelési gyakorlatának a jogszerűség irányába való mozdulását kívánja elérni.

## IV. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az egész ország területére kiterjed. Az Ákr. 112. §-a, és a 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdése alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettségek teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettségeket határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kérelmezett a Hatóság végleges döntésében foglalt kötelezésének nem tesz eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. § -a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja.

Budapest, 2020. március 26.

Dr. Péterfalvi Attila elnök c. egyetemi tanár