Орган по защите данных Венгрии (NAIH): обработка данных в связи с приобретением требований без лицензии

Ügyszám: NAIH/2019/1598/ Tárgy: Kérelemnek részben helyt adó határozat

HAT ÁRO ZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a […] Kérelmezők kérelmére, az […] Kötelezett adatkezelését érintő, 2019. február 1. napján indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza: I. A Hatóság a kérelem jogellenes adatkezelés megállapítására vonatkozó részének helyt ad és megállapítja, hogy a Kötelezett nem megfelelő jogalap alapján, jogszerűtlen adatkezelési célból és a jogszerű adatkezelés követelményével ellentétesen kezeli a Kérelmezők személyes adatait a jogosulatlanul végzett követelésvásárlási tevékenységével összefüggésben.

II. A Hatóság a Kötelezettet az általa végzett jogellenes adatkezelés miatt elmarasztalja, elrendeli a Kérelmezők személyes adatai kezelésének korlátozását, valamint megtiltja, hogy a Kötelezett követeléskezelési célból felhasználva kezelje azokat, ide nem értve a vele szemben indított hatósági eljárásokkal összefüggésben történő felhasználásukat.

III. A Hatóság a kérelem adatvédelmi bírság kiszabására vonatkozó részét elutasítja, ugyanakkor hivatalból

1.000.000 Ft, azaz egymillió forint adatvédelmi bírság megfizetésére kötelezi. Az adatvédelmi bírságot a bírósági felülvizsgálat kezdeményezésére irányadó keresetindítási határidő lejártát, illetve felülvizsgálat kezdeményezése esetén a bíróság döntését követő 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2019/1598 BÍRS. számra kell hivatkozni. Ha a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, a fenti számlaszámra késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását. A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

INDO KO LÁS

I. Az eljárás menete és a tényállás tisztázása

I. 1. A Kérelmezők azt kifogásolták, hogy banki hitelt vettek fel a […] Bank elnevezésű pénzügyi intézménytől, azonban a Bankkal fennálló követelést a Kötelezett vásárolta meg, és a követelés átadásával a Kérelmezők személyes adatai is átadásra kerültek. A Kérelmezők álláspontja szerint a Kötelezett jogosulatlanul kezeli személyes adataikat, mivel nem volt engedélye követeléskezelési tevékenységre. A Kérelmezők az ügyben a Magyar Nemzeti Bankhoz (a továbbiakban: MNB) fordultak […], mely piacfelügyeleti eljárást indított, és […] határozatában megállapította, hogy a Kötelezett az MNB engedélye nélküli követelésvásárlási pénzügyi tevékenységet folytatott. A Kérelmezők álláspontja szerint az MNB eljárásának eredményeként megállapításra került az is, hogy a Kötelezett a személyes adataikhoz is jogosulatlanul fért hozzá. A Kérelmezők kérték a Hatóságot, hogy marasztalja el a Kötelezettet, mivel jogosulatlanul kezelte személyes adataikat, tiltsa meg azt, hogy a Kötelezett kezelje személyes adataikat, továbbá, hogy szabjon ki közigazgatási bírságot. A Kérelmezők kérelmére az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján adatvédelmi hatósági eljárás indult. I. 2. A Hatóság az adatvédelmi hatósági eljárás megindításáról végzésében értesítette a Kötelezettet, és a tényállás tisztázása érdekében nyilatkozattételre hívta fel. A Kötelezett határidőben nyilatkozatot tett, mely szerint egyrészt a Bankkal kötött kölcsönszerződésből eredő tartozást engedményezési eljárás alapján szerezte meg. Másrészt nyilatkozata szerint, mivel a Kérelmezők személyes adatainak felvételére az érintettek hozzájárulásával került sor, ezért az adatkezelő a felvett személyes adatokat törvény eltérő rendelkezésének hiányában a rá vonatkozó jogi kötelezettség teljesítése céljából további külön hozzájárulás nélkül, valamint az érintett hozzájárulásának visszavonását követően is kezelheti. Ezen kívül nyilatkozata szerint 2018. május 25. napjától a Kötelezett adatkezelési szabályzata szerint kezeli az érintettek személyes adatait, az azt megelőző időszakban azonban nem létezett előírás arra vonatkozóan, hogy milyen módon kell az érintettek személyes adatait kezelni. A Kötelezett nem válaszolt azonban a Hatóság által feltett azon kérdésekre, hogy 2018. május 25. napját, illetve 2019. január 8. napját követően mely személyes adatait kezeli a Kérelmezőknek, milyen célból és milyen jogalap alapján, továbbá nem küldte meg a Kérelmezők személyes adatait tartalmazó nyilvántartás másolati példányát. Tekintettel tehát arra, hogy a Kötelezett ugyan határidőben nyilatkozatot tett, azonban a Hatóság által feltett kérdésekre nem válaszolt, és a kért dokumentumokat nem küldte meg, a Hatóság az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 64. § (2)

bekezdése és a 77. § (1) bekezdése, továbbá a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 58. cikk (2) bekezdés i) pontja és 83. cikke alapján ötvenezer forint eljárási bírság megfizetésére, valamint ismételten nyilatkozattételre kötelezte a Kötelezettet. A Hatóság ismételt felhívására válaszolva a Kötelezett azt nyilatkozta, hogy a Kérelmezők Bankkal kötött kölcsönszerződésből eredő tartozását mint követelést a 2014. március 21. napján kötött […] ügyszámú közjegyzői okiratban foglaltak szerint vásárolta meg, engedményezési eljárás során. Nyilatkozata szerint 2018. május 25-ét és az MNB határozatának keltét, 2019. január 8. napját követően jelenleg is az engedményezési szerződésben szereplő személyes adatait – név, születési név, születési hely és idő, anyja neve, lakcím, kölcsön összege, biztosítékként felajánlott ingatlan kezeli a Kérelmezőknek, az adatkezelési szabályzatának megfelelően. Az engedményezési szerződést – és a hozzá kapcsolódó más iratokat – dossziéban lefűzve, zárt szekrényben tárolja. Ezen engedményezési szerződésen kívül a Kötelezett, tekintettel arra, hogy a Kérelmezők eljárást kezdeményeztek többek között a Nemzeti Adó- és Vámhivatalnál, az MNB-nél, a Magyar Bírósági Végrehajtói Karnál, a hatáskörrel és illetékességgel rendelkező bíróságnál, rendőrségnél, illetve földhivatalnál, az ezen szervek eljárásai során keletkezett okiratokat – melyek csupán a Kérelmezők engedményezési szerződésben szereplő személyes adatait tartalmazza – is a dossziéban lefűzve tárolja. A Kötelezett nyilatkozata szerint más olyan papír alapú, illetve elektronikus nyilvántartással nem rendelkezik, ahol a Kérelmezők személyes adatait tárolná. A Kötelezett további nyilatkozata szerint, mivel a Kérelmezők személyes adatainak felvételére az érintettek hozzájárulásával került sor, az adatkezelő a felvett személyes adatokat törvény eltérő rendelkezésének hiányában a rá vonatkozó jogi kötelezettség teljesítése céljából további külön hozzájárulás nélkül, valamint az érintett hozzájárulásának visszavonását követően is kezelheti. I. 3. Tekintettel arra, hogy az MNB rendelkezik a Hatóság adatvédelmi hatósági eljárásának lefolytatásához szükséges adattal, irattal, mely a tényállás pontos felderítéshez szükséges, ezért a Hatóság az Ákr. 25. § (1) bekezdésének b) pontja alapján megkereséssel fordult az MNB felé. Az MNB válaszlevelében arról tájékoztatta a Hatóságot, hogy egy bejelentés alapján megindult és lefolytatott piacfelügyeleti eljárásában 2019. január 8. napján hozott […] határozatában megállapította, hogy a Kötelezett 2014. […] és 2015. […] között az MNB engedélyéhez kötött követelésvásárlási pénzügyi szolgáltatási tevékenységet engedély nélkül végezte, és erre tekintettel az MNB eltiltotta e tevékenység végzésétől, továbbá piacfelügyeleti bírságot szabott ki a Kötelezettel szemben. Az MNB határozata szerint a Kérelmezőket érintő engedményezési szerződés megkötésére is ebben az engedély nélküli időszakban, 2014. március 21. napján került sor. Az MNB határozata 2019. január 11. napján vált véglegessé, azzal szemben a Kötelezett nem élt jogorvoslattal. Az MNB tájékoztatta továbbá a Hatóságot arról, hogy – hatáskör hiányában – nem vizsgálta az engedély nélkül végzett követelésvásárlási tevékenység polgári jogi vetületeivel kapcsolatos jogkérdéseket, illetve arról, hogy a […] Főügyészségen ismeretlen tettes ellen feljelentést tett a Büntető Törvénykönyvről szóló 2012. évi C. törvény – elkövetéskor hatályos – 408. § a) pontjába ütköző – és aszerint minősülő – jogosulatlan pénzügyi tevékenység bűntett elkövetésének gyanúja miatt.

II. Alkalmazott jogszabályi rendelkezések

Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. Az Infotv. 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít. Az Infotv. 60. § (2) bekezdése alapján az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében, valamint a 22. § b) pontjában meghatározott esetben nyújtható be. Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az Infotv.-ben meghatározott eltérésekkel. Az általános adatvédelmi rendelet 99. cikk (2) bekezdése értelmében az általános adatvédelmi rendeletet 2018. május 25. napjától kell alkalmazni. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) és b) pontja szerint: „A személyes adatok: a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”).” Az általános adatvédelmi rendelet 6. cikk (1) bekezdés a), b) c) és f) pontja alapján: „A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.” Az általános adatvédelmi rendelet 17. § (1) bekezdése értelmében: „Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll: a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték;

b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja; c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezeléseó ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen; d) a személyes adatokat jogellenesen kezelték; e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell; f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.” Az általános adatvédelmi rendelet 17. cikk (3) bekezdés e) pontja szerint: „Az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges: e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez.” Az általános adatvédelmi rendelet 58. cikk (2) bekezdése alapján: „A felügyeleti hatóság korrekciós hatáskörében eljárva: a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.” Az általános adatvédelmi rendelet 83. cikk (1)-(2) bekezdései és (5) bekezdés a)-b) pontjai értelmében: „(1) Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. (2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket: a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege;

c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. […] (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12–22. cikknek megfelelően; […]” Az Infotv. 75/A. § szerint: „A Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.” A hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény (a továbbiakban: Hpt.) 6. § (1) bekezdés 60. pontja alapján: „követelésvásárlási tevékenység: követelésnek – a kötelezett kockázatának átvállalásával vagy anélkül történő – megszerzése, megelőlegezése (ideértve a faktoringot és a forfetírozást is), valamint leszámítolása, függetlenül attól, hogy a követelés esedékességének nyilvántartását és a kintlévőségek beszedését ki végzi.” A számvitelről szóló 2000. évi C. törvény (a továbbiakban: Sztv.) 166. § (1) bekezdés értelmében: „Számviteli bizonylat minden olyan a gazdálkodó által kiállított, készített, illetve a gazdálkodóval üzleti vagy egyéb kapcsolatban álló természetes személy vagy más gazdálkodó által kiállított, készített okmány (számla, szerződés, megállapodás, kimutatás, hitelintézeti bizonylat, bankkivonat, jogszabályi rendelkezés, egyéb ilyennek minősíthető irat) – függetlenül annak nyomdai vagy egyéb előállítási módjától –, amely a gazdasági esemény számviteli elszámolását (nyilvántartását) támasztja alá.” Az Sztv. 169. § (2) bekezdése szerint: „A könyvviteli elszámolást közvetlenül és közvetetten alátámasztó számviteli bizonylatot (ideértve a főkönyvi számlákat, az analitikus, illetve részletező nyilvántartásokat is), legalább 8 évig kell olvasható formában, a könyvelési feljegyzések hivatkozása alapján visszakereshető módon megőrizni.”

III. Döntés

A Kérelmezők és a Kötelezett nyilatkozatai, valamint az MNB megkeresése alapján megállapítható, hogy a Kötelezett az MNB engedélyéhez kötött követelésvásárlási pénzügyi szolgáltatási tevékenységet engedély nélkül végezte, és ezen engedély nélkül végzett tevékenysége keretében jutott hozzá a Kérelmezők személyes adataihoz egy 2014. március 21. napján kötött engedményezési szerződés alapján. A Kötelezett továbbá az engedményezési szerződésen túl a más hatósági eljárásokban keletkezett okiratok tárolásával – a Kérelmezők azokban szereplő személyes adatai tárolásával – is kezeli jelenleg a Kérelmezők szintén az engedményezési szerződésben szereplő személyes adatait. A Hatóság jelen eljárásban a Kötelezett 2018. május 25. napját megelőzően végzett adatkezelése vonatkozásában nem tett megállapításokat, mivel ezen időszak adatkezelése nem tárgya az eljárásnak. A Hatóság továbbá, bár az MNB megállapította azt, hogy a Kötelezett az MNB engedélyéhez kötött követelésvásárlási pénzügyi szolgáltatási tevékenységet engedély nélkül végezte és erre tekintettel az MNB eltiltotta a tevékenység végzésétől, – az MNB-hez hasonlóan – hatásköre hiányában nem vizsgálta az engedély nélkül végzett követelésvásárlási tevékenység polgári jogi vetületeivel kapcsolatos jogkérdéseket, így a Kötelezett és a Bank között létrejött engedményezési szerződés érvényessége, érvénytelensége kérdését sem. III. 1. A Kötelezett adatkezelésének jogalapja III. 1. 1. A Kötelezett nyilatkozata szerint a követelésvásárlási tevékenységével összefüggő adatkezelésének jogalapja egyrészt a közte és a Bank között létrejött engedményezési szerződés teljesítése, másrészt, mivel a Kérelmezők személyes adatainak felvételére hozzájárulásuk alapján került sor, az adatkezelő a felvett személyes adatokat törvény eltérő rendelkezésének hiányában a rá vonatkozó jogi kötelezettség teljesítése céljából további külön hozzájárulás nélkül, valamint az érintett hozzájárulásának visszavonását követően is kezelheti. A Hatóság megállapítása szerint az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti jogalap azonban csak akkor alkalmazható, ha az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél. Tehát nem lehet kiterjeszteni ezt a jogalapot egyrészt olyan adatkezelésekre, amelyekben az érintett nem fél, másrészt – a szerződéskötést megelőző egyes lépések kivételével – olyan adatkezelésekre, amelyekre a szerződés érintett általi nemteljesítése miatt előidézett helyzet orvoslása érdekében a szerződő felek rendes együttműködési kötelezettségből fakadó lépések megtételéhez van szükség. A szerződés teljesítése körébe eshetnek még azok a lépések, amikor az adatkezelő, aki a szerződést megkötötte az érintettel – tehát aki a szerződésben a másik fél – teljesítési késedelem esetén felszólítja az érintettet a teljesítésre. Azonban az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti szerződéses jogalap már nem vonatkoztatható arra az esetre, ha az adatkezelő az elmaradt teljesítés miatt az érintettel szembeni követelését követelésbehajtással foglalkozó vállalkozásra engedményezi (azaz a problémát már a szerződésen kívül kívánja megoldani). Az engedményezés keretében történő adatátvétel jogalapja így csak más, tipikusan az engedményes részéről a követelés saját részére történő érvényesítéséhez fűződő jogos érdeke lehet.

A Polgári Törvénykönyvről szóló 2013. évi V. törvényhez (a továbbiakban: Ptk.) fűzött indokolás szerint a követelések átruházására a tulajdonjog átruházásával azonos logika alapján kerül sor, tehát az engedményezés tulajdonképpen nem más, mint a követelés tulajdonjogának átruházása. Az engedményezéssel a követelés elválik az eredeti jogviszonytól, amelyből az származik, és az engedményes kizárólag a követelés és nem pedig az alapjogviszony vonatkozásában lép az engedményező helyébe. Azáltal, hogy az engedményezéssel a követelés elválik az alapjogviszonytól és az engedményes a követelés jogosultjává válik, a követelés engedményes általi érvényesítése, illetve az ahhoz kapcsolódó adatkezelés, többé már nem azon szerződés teljesítése érdekében történik, amelyből a követelés eredetileg származott, mivel ebben az esetben az engedményesnek nem a saját, hanem az engedményező javára kellene érvényesíteni az engedményezés útján megszerzett követelést. Az engedményezéssel, amennyiben az ellenérték fejében történik, az engedményező kötelezettel szembeni követelése a vételár függvényében teljesen vagy részben megtérül. Az engedményes a követelés behajtása céljából saját érdekében és saját javára jár el, hiszen az engedményezéssel ő válik a követelés jogosultjává, és a követelés érvényesítése, az adós teljesítésre bírása, valamint az ennek érdekében végzett adatkezelés az ő jogos érdekét, nem pedig az alapul fekvő szerződés teljesítését szolgálja, mivel a követelés az engedményezéssel függetlenné vált a szerződéstől. Mivel a Kötelezett engedményezés útján szerezte meg a Kérelmezőkkel szemben fennálló követeléseket, valamint azok velejárójaként a Kérelmezők személyes adatait, és ezáltal a követelések jogosultjává vált, ezen adatkezelésének jogalapja nem lehet az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti szerződéses jogalap. A Hatóság megjegyzi továbbá, hogy ezen jogalap engedményezésnél nem csak jelen ügyben, hanem a fent részletezettek miatt elvi szinten is kizárt. A […] ügyszámú közjegyzői okirat tanúsága szerint azt a szerződést, amelyből a Kötelezettre engedményezett követelés származik, a Bank felmondta és a Kérelmezőkkel szemben 2011-ben végrehajtási eljárást kezdeményezett, majd a Kérelmezők tartozását 2014-ben a Kötelezettre engedményezte. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja alapján történő adatkezelés előfeltétele – amennyiben nem a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéről van szó –, hogy létezzen, valamint érvényes és hatályos legyen a szerződés, amelynek teljesítésére hivatkozással az adatkezelés történik. A Kötelezett azonban olyan szerződés teljesítésére hivatkozással végezte a Kérelmezők személyes adatainak kezelését, amely szerződés megszűnt, azaz nem alkalmas joghatás kiváltására. Ebből kifolyólag a Kötelezett akkor sem hivatkozhatott volna jogszerűen az adatkezelése jogalapjaként az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontjára, ha egyébként az lenne az adatkezelésének a megfelelő jogalapja. III. 1. 2. Nem lehet továbbá a Kötelezett követelésvásárlással összefüggő adatkezelésének jogalapja a korábban hatályos Infotv. azon rendelkezése sem, amely szerint, ha az érintettek személyes adatainak felvételére hozzájárulásuk alapján került sor, az adatkezelő a felvett személyes adatokat törvény eltérő rendelkezésének hiányában a rá vonatkozó jogi kötelezettség teljesítése céljából további külön hozzájárulás nélkül, valamint az érintett hozzájárulásának visszavonását követően is kezelheti. Ennek egyik oka, hogy a Kötelezett nem a Kérelmezők hozzájárulása alapján vette fel személyes adataikat – a hozzájárulás jogalapja a fent kifejtettek szerint nem is alkalmazható –, hanem a Bankkal kötött engedményezési szerződésre tekintettel. Ezen kívül olyan rá vonatkozó kifejezett jogi kötelezettséget sem jelölt meg, amely alapján kezelhetné a Kérelmezők személyes adatait. Másrészt figyelembe kell venni, hogy 2018. május 25. napjától a személyes adatok kezelésére az általános adatvédelmi rendeletet kell alkalmazni az Infotv. 2. § (2) bekezdésében megjelölt rendelkezésekben meghatározott kiegészítésekkel. Így a személyes adatok kezelésének jogalapja tekintetében is az általános adatvédelmi rendelet szabályai alkalmazandók. Ebből következően 2018. május 25. napját követően Infotv. szerinti jogalapra jogszerűen nem lehet hivatkozni. A fentiek alapján a Kötelezett megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését, mivel nem megfelelő jogalapra hivatkozással kezelte a Kérelmezők személyes adatait a jogosulatlanul végzett követeléskezelési tevékenységével összefüggésben. A Hatóság megjegyzi, hogy ahogyan a III. 1. 1. pont alatt is bemutatta, a személyes adatok átvételének jogalapjaként az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogos érdek jogalapja elvileg alkalmazható lett volna – megfelelően elvégzett érdekmérlegelés alapján – azonban a Kötelezett ilyet nem végzett, csupán utalt rá a korábban hatályos Infotv. 6. § (5) bekezdésének hivatkozásával, és e körben jelölte meg tévesen az érintett hozzájárulását mint jogalapot. III. 1. 3. Ez azonban nem jelenti azt, hogy a Kötelezettnek a Kérelmezők személyes adatainak kezelésére semmiféle jogalapja nincs, más adatkezelési célokból. Ezek a Hatóság jelen eljárásának tárgyát kifejezetten nem képező, de figyelembe vett más adatkezelési célok a különféle hatóságok eljárásával függnek össze, mint például a Nemzeti Adó- és Vámhivatal, az MNB, a Magyar Bírósági Végrehajtói Kar, a hatáskörrel és illetékességgel rendelkező bíróság, rendőrség, illetve földhivatal eljárásaival. Az ezen szervek eljárásai során keletkezett okiratok – melyek a Kötelezett nyilatkozata szerint a Kérelmezők engedményezési szerződésben szereplő személyes adatait tartalmazzák tárolása a Kötelezett jogi igényeinek előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükséges. Ebből következően, figyelemmel az általános adatvédelmi rendelet 17. cikk (3) bekezdés e) pontjára mint a személyes adatok törlésének egyik korlátjára, ezen célokból tárolhatja a Kötelezett a Kérelmezők személyes adatait, és az azokat tartalmazó okiratokat, így ezen adatkezelési célokra tekintettel a személyes adataik nem törölhetőek. Ezeken kívül jogi kötelezettsége a Kötelezettnek magának az engedményezési szerződésnek a megőrzése is – a benne foglalt kérelmezői személyes adatokkal. Az Sztv. alapján a szerződést mint a könyvviteli elszámolást közvetlenül és közvetetten alátámasztó számviteli bizonylatot legalább 8 évig kell olvasható formában, a könyvelési feljegyzések hivatkozása alapján visszakereshető módon megőrizni. III. 2. A Kötelezett adatkezelésének jogszerűsége és célja A Kötelezett az engedményezési szerződés alapján a Kérelmezőkkel szemben fennálló követelések jogosultjává vált, és a követelések érvényesítése, az adósok teljesítésre bírása érdekében, annak céljából kezeli személyes adataikat. Önmagában ezen adatkezelési cél jogszerűnek minősül. Tekintettel azonban arra, hogy az MNB piacfelügyeleti eljárásában 2019. január 8. napján hozott, és 2019. január 11. napján véglegessé vált […] számú határozatában megállapította, hogy a Kötelezett 2014. […] és 2015. […] között a Kérelmezőket érintően is engedély nélkül végezte a Hpt. 6. § (1) bekezdés 60. pontja szerinti követelésvásárlási tevékenységet, mely miatt el is tiltotta e tevékenység végzésétől, a Hatóság álláspontja szerint e jogellenesen végzett tevékenységgel összefüggő adatkezelés és annak célja is jogellenes. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) és b) pontja az adatkezelés elvei között kimondja, hogy a személyes adatok kezelését jogszerűen kell végezni, illetve, hogy a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azok nem kezelhetők e célokkal össze nem egyeztethető módon.

Tekintettel tehát arra, hogy a Kötelezett a követelésvásárlási tevékenységet jogellenesen végezte, a Hatóság álláspontja szerint a Kérelmezők személyes adatait is jogellenesen kezeli ezen adatkezelési célból, megsértve ezzel az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) és b) pontját. Ugyanakkor a Kötelezett a vele szemben indult hatósági eljárások során keletkezett iratokban szereplő kérelmezői személyes adatokat jogszerűen kezelheti az általános adatvédelmi rendelet 17. cikk (3) bekezdés e) pontjára tekintettel, emiatt a Hatóság ezen személyes adatok törlését határozatában nem rendelte, hanem helyette korlátozza a Kérelmezők személyes adatainak kezelését.

IV. Jogkövetkezmények

A Hatóság a Kérelmezők kérelmének részben helyt ad és az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kötelezettet, mert megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) és b) pontját, valamint az általános adatvédelmi rendelet 6. cikk (1) bekezdését azzal, hogy a jogszerű és a célhoz kötött adatkezelés elvét megsértve, megfelelő jogalap nélkül kezeli a Kérelmezők személyes adatait a jogosulatlanul végzett követeléskezelési tevékenységével összefüggésben. A Hatóság a jogosulatlan követeléskezeléssel összefüggő adatkezelés tekintetében az általános adatvédelmi rendelet 58. cikk (2) bekezdés f) pontja alapján korlátozza a Kérelmezők személyes adatainak kezelését és megtiltja, hogy a Kötelezett követelésvásárlási tevékenységgel összefüggésben kezelje azokat. A Hatóság elutasítja a Kérelmezők adatvédelmi bírság kiszabására vonatkozó kérelmét, mivel e jogkövetkezmény alkalmazása a Kérelmezők jogát vagy jogos érdekét közvetlenül nem érinti, számukra a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen – a közérdek érvényesítésének körébe eső jogkövetkezmény alkalmazása tekintetében a bírságkiszabás vonatkozásában a Kérelmezők nem minősülnek ügyfélnek az Ákr. 10. § (1) bekezdése alapján, illetve – mivel az Ákr. 35. § (1) bekezdésének nem felel meg, e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető. A Hatóság mindazonáltal hivatalból megvizsgálta, hogy indokolt-e a Kötelezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság a bírság kiszabása során az alábbi tényezőket vette figyelembe: A Kötelezett által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek. A Hatóság a bírságkiszabás során az alábbi körülményeket vette figyelembe:

• A Kötelezett szándékosan járt el, amikor az MNB engedélyéhez kötött követelésvásárlási pénzügyi szolgáltatási tevékenységet engedély nélkül végezte, és ennek során kezelte a Kérelmezők személyes adatait.

• A Kötelezett azzal, hogy a Hatóság NAIH/2019/1598/5. számú végzésére nem nyújtott megfelelő tájékoztatást, az Ákr.-ben és az általános adatvédelmi rendeletben előírt együttműködési és adatszolgáltatási kötelezettségét is – neki felróhatóan – megszegte. A Kötelezett ezen adatszolgáltatási kötelezettségének nem teljesítésével nehezítette a tényállás feltárását, és további eljárási cselekmény foganatosítását tette szükségessé.

• A Kötelezett elmarasztalására az általános adatvédelmi rendelet megsértése miatt még nem került sor. A Hatóság súlyos jogsértésnek értékelte, hogy a Kötelezett jogszerűtlenül követeléskezelési célból kezeli a Kérelmezők személyes adatait. A bírság kiszabása szükséges a Kötelezett tekintetében speciálisan, illetve a hasonló adatkezelést végzők tekintetében generálisan a további jogsértések megelőzése érdekében. A fentiekre, valamint arra tekintettel, hogy a Kötelezett 2017. évi beszámolója szerinti nettó árbevétele nulla forint volt, a kiszabott adatvédelmi bírság alacsony összegű és nem lépi túl a kiszabható bírság maximumát. A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

V. Egyéb kérdések:

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

A határozat az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * Az Ákr. 135. § (1) bekezdés a) pontja szerint a kötelezett a törvényes kamatnak megfelelő mértékű késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget. A Ptk. 6:48. § (1) bekezdése alapján pénztartozás esetén a kötelezett a késedelembe esés időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni. A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettsége teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2019. június 3. Dr. Péterfalvi Attila elnök c. egyetemi tanár