........................................................................................................................................................................................................................................................................

1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-279-7/2022. Tárgy: jogsértést megállapító és (NAIH-8159/2021.) kérelmet elutasító határozat

## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […]

kérelmezőnek (lakcím: […]; a továbbiakban: Kérelmező) a Hatósághoz 2021. november 2.

## napján érkezett kérelmére, a […] apartman, illetőleg annak üzemeltetője, […] (a továbbiakban:

## Kérelmezett) által a Kérelmező személyazonosító igazolványáról készített fényképek

készítésével összefüggő adatkezelést érintően indult, továbbá a Kérelmezett által a vendégei személyazonosító igazolványáról készített fényképek általános adatkezelési gyakorlatának vizsgálatára hivatalból kiterjesztett adatvédelmi hatósági eljárásban az alábbi döntéseket hozza. I. A Hatóság

HATÁROZAT ÁBAN I.1. elutasítja a Kérelmező kérelmét abban a részében, mely szerint a Hatóság állapítsa meg, hogy a Kérelmezett jogalap nélkül fényképeket készített a Kérelmező személyazonosító igazolványáról;

## I.2. elutasítja a Kérelmező kérelmét abban a részében, mely szerint a Hatóság kötelezze a

Kérelmezettet a Kérelmező személyazonosító igazolványáról készített fényképek törlésére a Kérelmezett magáneszközén;

## I.3. hivatalból elmarasztalja a Kérelmezettet azért, mert nem nyújtott megfelelő tájékoztatást

a szálláshely-szolgáltatás igénybe vételével, illetőleg a foglalással kapcsolatos adatkezelésről – beleértve az okmányok beolvasását is –, megsértve ezzel a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 13. cikk (1)-(2) bekezdését;

## I.4. hivatalból utasítja a Kérelmezettet arra, hogy készítsen megfelelő és átlátható, az

általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdése szerinti összes információt tartalmazó adatkezelési tájékoztatót. II. A Hatóság

VÉGZÉSÉBEN megszünteti az eljárást abban a részében, hogy a Hatóság, a Kérelmező kérelmére rendelje el a Kérelmezett által folytatott, a vendégek személyazonosító igazolványának lefényképezésével összefüggő gyakorlat megszüntetését.

* * *

## Az I.4. pontban előírt intézkedés megtételét a Kérelmezettnek jelen döntés véglegessé válásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyíték

előterjesztésével együtt – igazolnia a Hatóság felé.

Az előírt kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását. Jelen döntésekkel szemben közigazgatási úton jogorvoslatnak nincs helye, de azok a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadhatók. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak A bíróság a végzéssel szemben egyszerűsített perben, tárgyaláson kívül jár el. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

## INDOKOLÁS

## I. Az eljárás menete

A Kérelmező a Hatósághoz 2021. november 2. napján érkezett beadványában kérelemmel fordult a Hatósághoz, mely szerint a Kérelmezettnél töltött 2021. október 29. és október 31. napja közötti szállása alkalmakor azt tapasztalta, hogy nem megfelelő a személyazonosító okmányok kezelése, mivel a Kérelmező és utastársa személyazonosító igazolványáról saját telefonnal fényképet készítettek. A Kérelmező álláspontja szerint ez általános gyakorlat a Kérelmezettnél. A Kérelmező kérte, hogy a Hatóság kötelezze a Kérelmezettet a Kérelmező személyazonosító igazolványáról készített fényképek törlésére a Kérelmezett magáneszközén, továbbá, hogy rendelje el ezen gyakorlat megszüntetését.

## II. A tényállás tis ztázása

1. A Hatóság 2021. december 16. napján, NAIH-8159-6/2021. ügyiratszámon tényállás tisztázó végzést bocsátott ki, melyben a Kérelmezettet értesítette az adatvédelmi hatósági eljárás megindulásáról és nyilatkozattételre hívta fel. 2. A Kérelmezett mint a […] apartman – magánszálláshely – üzemeltetője 2021. december 22. napján iktatott levelével válaszolt a Hatóság végzésére. A Kérelmezett nyilatkozata szerint a Kérelmezőt és férjét a szállás elfoglalása előtt személyazonosító okmányok átadására kérte adatrögzítés céljából. Szóban tájékoztatta őket arról, hogy az okmányok rögzítésre fognak kerülni, melyhez a saját mobiltelefonját használta beolvasás céljából. A Kérelmezett nyilatkozata szerint fotó nem készült – általánosságban sem készít –, hanem okmányolvasás történt a Nemzeti Turisztikai Adatszolgáltató Központ (a továbbiakban: NTAK) részére, mivel a turisztikai térségek fejlesztésének állami feladatairól szóló 2016. évi CLVI. törvény (a továbbiakban: Turizmus tv.) ezt kötelezettségként írja elő. Nyilatkozata szerint 2018. május 25. napjától 2019. november 26. napjáig manuálisan, regisztrációs könyv vezetésével rögzítették a vendégadatokat, akkor is személyi igazolvány, illetőleg útlevél alapján. 2019. november 26. napján azonban regisztrációs kötelezettséget írt elő a NTAK, ekkortól már informatikai eszközön rögzítették az adatokat, kézi bevitellel 2021. január 1. napjáig. Jelenleg okmányolvasással történik az adatbevitel. Az okmányolvasó szoftver telepítése kizárólag telefonra lehetséges az esetükben. Az okmányokról másolat nem készül, azokat nem tárolják, hanem a szoftver segítségével továbbítják a Vendég Információs Zárt Adatbázis (a továbbiakban: VIZA) rendszerébe. A Kérelmezett megküldött a Hatóság részére egy adatkezelési tájékoztatót, amely a Vendégem szálláshelykezelő szoftver felhasználóinak – így neki is – szól, azonban nyilatkozata szerint nem rendelkezik olyan adatkezelési tájékoztatóval, amely tartalmazza a vendégek személyazonosító igazolványának leolvasását, mivel a Turizmus tv. módosítása kötelezően előírja az okmányolvasást. A Kérelmezett hivatkozott továbbá a https://vizainfo.hu/ oldalon elérhető információkra, melyeket követve járt el. Ezek alapján: „2021. január 1-jén hatályba lépett a turisztikai térségek fejlesztésének állami feladatairól szóló 2016. évi CLVI. törvény módosítása, amely kötelezi a szálláshely-szolgálatót, hogy a szálláshely-szolgáltatást igénybe vevők törvényben meghatározott adatait a Kormány által kijelölt tárhelyszolgáltató által biztosított tárhelyen rögzítse a törvényben meghatározott célból. A Kormány által kijelölt tárhelyszolgáltató a Magyar Turisztikai Ügynökség (MTÜ). A törvénymódosítással bevezetett tárhely feladatait a Vendég Információs Zárt Adatbázis (VIZA) rendszer látja el. A VIZA egy többszörös, aszimmetrikus titkosítással védett informatikai rendszer, amelyben 2021. szeptember 1-jétől a magyarországi szálláshelyen megszálló minden vendég törvényben meghatározott személyes adatait titkosított módon tárolják. A szálláshelyszolgáltató a vendégek adatait a tudomására jutást követő első év utolsó napjáig kezeli, a VIZA rendszer legfeljebb két éven keresztül őrzi meg az oda beküldött adatokat. Az adatokban célzottan és kizárólag a rendőrség végezhet keresést, bűnmegelőzési és bűnüldözési feladatainak ellátásához. A VIZA célja, hogy az érintett és mások jogainak, biztonságának és tulajdonának védelme, továbbá harmadik országbeli állampolgárok és a szabad mozgás és tartózkodás jogával rendelkező személyek tartózkodására vonatkozó rendelkezések betartásának ellenőrzése megvalósulhasson, azaz a VIZA elsődleges célja a közrend, a közbiztonság, az államhatár rendjének, az érintett és mások jogainak, biztonságának és tulajdonának védelmének elősegítése. Az MTÜ térítésmentesen biztosítja a VENDÉGEM alkalmazást az olyan szálláshelyszolgáltatóknak, akik legfeljebb 8 szobát 16 férőhellyel hasznosítanak szálláshelyként. Bővebb információért, kérjük, látogasson el a VENDÉGEM alkalmazás információs oldalára, az info.vendegem.hu-ra. A hatályos törvények szerint Magyarországon életkortól függetlenül, minden polgárnak kötelező rendelkeznie személyazonosságát igazoló hatósági igazolvánnyal (személyazonosító igazolvány, útlevél vagy kártyaformátumú vezetői engedély), tehát már az újszülötteknek is. A jogszabályok alapján az adatok rögzítése minden igénybe vevő vendégre vonatkozóan egyformán kötelező, így sem életkor, sem más változó – pl. a szolgáltatás után fizetendő díj, kedvezmények, a tartózkodás hossza, rokoni kapcsolat az igénybe vevővel alapján az adatok rögzítésétől eltekinteni nem lehet. A szálláshely-szolgáltatást igénybe vevő 14. életévét betöltött vendég a személyi azonosításra alkalmas okmányát a szálláshely-szolgáltatónak az adatok rögzítése céljából bemutatja. Az okmány bemutatásának hiányában a szálláshely-szolgáltató a szálláshely-szolgáltatást megtagadja.”

A Kérelmezett a https://info.vendegem.hu/gyakori-kerdesek oldalon elérhető információkra is hivatkozott, melyek szerint: „Az okmányokat nem lefényképezni, hanem a mobilapplikáció okmányolvasóján keresztül kell beolvasni róla az adatokat. Fotót készítésével az okmányolvasási feladat nem végezhető el! Az okmányolvasóval az okmány mindkét oldalát be kell olvasni. Erre a rendszer fel is hívja a figyelmet az okmány olvasása közben. Az okmányolvasó használata jogszabályi előírás. A VENDÉGEM szoftverhez nem kell és nem is lehet önálló okmányolvasó készüléket csatlakoztatni, mert a VENDÉGEM mobilalkalmazás rendelkezik önálló okmányolvasó modullal.”

## III. Alkalmazott jogszabályi rendelk ezése k

Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre az általános adatvédelmi rendeletet kell alkalmazni. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság erre irányuló kérelemre adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel. Az Infotv. 60. § (2) bekezdése alapján: „Az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében, valamint a 22. § b) pontjában meghatározott esetben nyújtható be.” Az általános adatvédelmi rendelet 77. cikk (1) bekezdése értelmében: „Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.” Az általános adatvédelmi rendelet 4. cikk 1. pontja szerint: „„személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.” Az általános adatvédelmi rendelet 4. cikk 2. pontja alapján: „„adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.” Az általános adatvédelmi rendelet 6. cikk (1) bekezdése értelmében: „A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.” Az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdése szerint: „(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét: a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.”

Az általános adatvédelmi rendelet 58. cikk (2) bekezdése alapján: „A felügyeleti hatóság korrekciós hatáskörében eljárva: a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.” Az általános adatvédelmi rendelet 83. cikk (2) és (5) bekezdése értelmében: „[…] (2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket: a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. […] (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12–22. cikknek megfelelően; c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44–49. cikknek megfelelően; d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása.” Az Infotv. 75/A. § szerint: „a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.” A Turizmus tv. 9/H. § (1)-(2) bekezdése alapján: „(1) A szálláshely-szolgáltató – az érintett és mások jogainak, biztonságának és tulajdonának védelme érdekében, továbbá harmadik országbeli állampolgárok és a szabad mozgás és tartózkodás jogával rendelkező személyek tartózkodására vonatkozó rendelkezések betartásának ellenőrzése céljából a bejelentkezéskor a szálláshelykezelő szoftver útján a Kormány rendeletében kijelölt tárhelyszolgáltató által biztosított tárhelyen rögzíti a) a szálláshely-szolgáltatást igénybe vevő családi és utónevét, születési családi és utónevét, születési helyét és idejét, nemét, állampolgárságát valamint anyja születési családi és utónevét, b) a szálláshely-szolgáltatást igénybe vevő személyazonosításra alkalmas okmányának, illetve útiokmányának azonosító adatait, harmadik országbeli állampolgár esetében a vízum vagy tartózkodási engedély számát, a beutazás időpontját és helyét, valamint c) a szálláshely-szolgáltatás címét, a szálláshely igénybevételének kezdő és várható, valamint tényleges befejező időpontját. (2) A szálláshely-szolgáltatást igénybe vevő az (1) bekezdés b) pontja szerinti okmányt a szálláshely-szolgáltatónak az adatok rögzítése céljából bemutatja. Az okmány bemutatásának hiányában a szálláshely-szolgáltató a szálláshely-szolgáltatást megtagadja. Nem kell rögzíteni azt az adatot, amelyet az (1) bekezdés b) pontja szerinti okmány nem tartalmaz.” A turisztikai térségek fejlesztésének állami feladatairól szóló törvény végrehajtásáról szóló 235/2019. (X. 15.) Korm. rendelet (a továbbiakban: végrehajtási rendelet) 2. § 9. pontja értelmében: „okmányolvasó: a személyazonosság igazolására alkalmas okmányon feltüntetett, a Turizmus tv. 9/H. § (1) bekezdés a) és b) pontjában meghatározott adatok gépi beolvasására alkalmas eszköz.” A végrehajtási rendelet 14/C. § (2) bekezdése szerint: „A szálláshely-szolgáltató a Turizmus tv. 9/H. § (1) bekezdés a) és b) pontja szerinti adatokat a szálláshelykezelő szoftverben az okmányolvasón keresztül rögzíti. Azokat az adatokat, amelyek rögzítése az okmányolvasón keresztül nem lehetséges, a szálláshely-szolgáltató manuális adatbevitel útján rögzíti a szálláshelykezelő szoftverben.” A végrehajtási rendelet 14/C. § (9) bekezdése alapján: „Ha az okmányolvasó a személyazonosság igazolására alkalmas okmány adatai mellett az okmányról képi adatot is rögzít, a szálláshelykezelő szoftver az okmány képi adatát – a (2) bekezdés szerinti adatoknak a szálláshelykezelő szoftverbe történő rögzítését követően – haladéktalanul törli.”

## IV. Dönté s

IV.1. A személyazonosság igazolására alkalmas okmány beolvasása Az általános adatvédelmi rendelet fogalommeghatározásai alapján a Kérelmező – illetőleg valamennyi szálláshely-szolgáltatást igénybe vevő érintett – okmánya, azon rögzített adatai személyes adatnak, a személyes adatokon elvégzett bármely művelet, az okmány, valamint az azon rögzített személyes adatok beolvasása pedig adatkezelésnek minősül. Személyes adatok kezelése esetén az általános adatvédelmi rendelet rendelkezései alapján az adatkezelés jogszerűségéhez számos követelményt kell teljesíteni. Az általános adatvédelmi rendelet 5. cikke tartalmazza azon fő alapelveket, amelyeket a személyes adatok kezelése során figyelembe kell venni, és amelyeknek folyamatosan érvényesülniük kell az adatkezelés során. Ilyen alapelv többek között a célhoz kötött adatkezelés elve. Az elszámoltathatóság elvéből fakadóan az adatkezelő felelős az adatvédelmi alapelveknek való megfelelésért, emellett képesnek kell lennie e megfelelés igazolására is. Ennek megfelelően az adatkezelőnek tudni kell igazolnia azt, hogy a személyes adatokat milyen célból kezeli, illetve azt is, hogy ezen adatkezelési célból miért tekinthető elengedhetetlenül szükségesnek a személyes adatok kezelése, továbbá köteles úgy dokumentálni és nyilvántartani az adatkezelést, hogy annak jogszerűsége utólag is bizonyítható legyen. Ezen kívül az adatkezelőnek az általános adatvédelmi rendelet 6. cikkével összhangban álló jogalappal kell rendelkeznie az adatkezeléshez, és tudnia kell igazolni, hogy az adott jogalap alapján kezeli (jogszerűen) a személyes adatokat, továbbá, hogy az adatkezelés szükséges és arányosan korlátozza az érintett személyes adatok védelméhez fűződő jogát. Jelen ügyben – és általánosságban is – két jogszabály, a Turizmus tv. és annak végrehajtási rendelete írja elő a szálláshely-szolgáltatók számára azt, hogy az érintett és mások jogainak, biztonságának és tulajdonának védelme érdekében, továbbá harmadik országbeli állampolgárok és a szabad mozgás és tartózkodás jogával rendelkező személyek tartózkodására vonatkozó rendelkezések betartásának ellenőrzése céljából a bejelentkezéskor szálláshelykezelő szoftver útján a Kormány rendeletében kijelölt tárhelyszolgáltató által biztosított tárhelyen rögzítsék a szálláshely-szolgáltatást igénybe vevő családi és utónevét, születési családi és utónevét, születési helyét és idejét, nemét, állampolgárságát valamint anyja születési családi és utónevét, továbbá személyazonosításra alkalmas okmányának, illetve útiokmányának azonosító adatait. Ezen adatokat a szálláshelyszolgáltató a szálláshelykezelő szoftverben az okmányolvasón keresztül köteles rögzíteni. Tehát a két jogszabály határozza meg az adatkezelés célját és írja elő az adatkezelést kötelezettségként minden szálláshely-szolgáltató számára, az adatkezelés ezért az általános adatvédelmi rendelet 6. cikk (1) bekezdés c) pontja szerinti jogi kötelezettség jogalapján alapul. A Kérelmezett ennek megfelelően kérte a Kérelmezőt, hogy a szállás elfoglalása előtt adja át részére a személyi okmányokat a személyes adatok rögzítése céljából, majd a saját mobiltelefonját használva elvégezte a beolvasást és a rögzítést a Kormány rendeletében kijelölt tárhelyszolgáltató által biztosított tárhelyen, azaz a VIZA rendszerébe, fénykép készítése nélkül. Mindezt a https://vizainfo.hu/gyik oldalon elérthető tájékoztató szerint megtehette a mobiltelefonjával, illetőleg az arra telepített alkalmazással is. Mindezek alapján a Hatóság megállapítja, hogy a Kérelmezett a Turizmus tv.-ben és annak végrehajtási rendeletében előírtaknak megfelelően járt el a Kérelmező – továbbá valamennyi szálláshely-szolgáltatást igénybe vevő – esetében, amikor okmányolvasó használatával beolvasta és a VIZA-rendszerbe rögzítette a személyazonosításra alkalmas okmánya, illetve útiokmánya azonosító adatait. A Kérelmezett sem a Kérelmező, sem más érintett esetében nem készített fényképet saját telefonjával a személyazonosító okmányokról és az azokon rögzített személyes adatokról, ezért nem is őriz ilyen fényképeket, tehát nem kezeli a törölni kért személyes adatokat. A Hatóság ezért fényképkészítés és -őrzés hiányában elutasítja a kérelmet, abban a részében, mely szerint a Hatóság állapítsa meg, hogy a Kérelmezett jogalap nélkül fényképeket készített a Kérelmező személyazonosító igazolványáról. A Hatóság továbbá a fentiek miatt – fényképek hiányában – elutasítja a kérelmet abban a részében is, mely szerint a Hatóság kötelezze a Kérelmezettet a Kérelmező személyazonosító igazolványáról készített fényképek törlésére a Kérelmezett magáneszközén. IV.2. Tájékoztatás személyazonosság igazolására alkalmas okmány beolvasásáról Ahhoz, hogy az adatkezelés jogszerű legyen további feltétel, hogy arról az adatkezelő megfelelő, átlátható tájékoztatást nyújtson. A tájékoztatásra vonatkozó szabályokat az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdése tartalmazza. Az előzetes tájékoztatás körében az adatkezelőnek arra kell törekednie, hogy az érintett minél teljesebb és átfogóbb képet kapjon személyes adatai kezeléséről, mivel az érintettnek kizárólag így van lehetősége felmérni azt, hogy egy adott adatkezelés milyen hatással van a magánszférájára. Az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdései azt tartalmazzák, hogy az adatkezelőknek minimálisan mely adatkezelési körülményekről kell tájékoztatniuk az érintetteket, ez azonban nem jelenti korlátját annak, hogy az adatkezelő ennél pontosabb tájékoztatást adjon. A Kérelmezett által megküldött adatkezelési tájékoztatóval kapcsolatban a Hatóság megállapítja, hogy az részben tartalmaz információkat a szálláshely-szolgáltatás igénybe vételével, illetőleg a foglalással kapcsolatos adatkezelésről, azonban az adatkezelés célját és Turizmus tv. és annak végrehajtási rendelete szerinti jogalapját nem tartalmazza megfelelően, az okmányolvasásról, az okmányon rögzített személyes adatok kezeléséről és a VIZArendszerbe történő adatrögzítésről pedig egyáltalán nem rendelkezik. A Kérelmezett adatkezelési tájékoztatójának olyan információkat is tartalmaznia kell, amelyek alapján az érintett egyértelműen tudomást szerez arról, hogy a szálláshely-szolgáltatás igénybevételével összefüggésben kötelező megadnia személyes adatait, amelyek rögzítésre kerülnek a VIZA-rendszerbe is. Tekintettel arra, hogy a Kérelmezett az adatkezelésre vonatkozó információkról, így például az okmányok beolvasásáról és a VIZA-rendszerbe történő adattovábbításról nem nyújtott az általános adatvédelmi rendeletnek megfelelő tájékoztatást, sem a Kérelmezőnek, sem más érintettnek, megsértette az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdését.

A Kérelmezettnek arról is tájékoztatást kell nyújtania – a személyes adatok megszerzésének időpontjában –, hogy a Turizmus tv. és annak végrehajtási rendelete által előírt jogi kötelezettség miatt, a Turizmus tv. 9/H. § (1) bekezdés szerinti célból rögzítenie kell a szálláshely-szolgáltatást igénybe vevő családi és utónevét, születési családi és utónevét, születési helyét és idejét, nemét, állampolgárságát valamint anyja születési családi és utónevét, továbbá személyazonosításra alkalmas okmányának, illetve útiokmányának azonosító adatait, azokat be kell olvasnia és továbbítania, rögzíteni a VIZA-rendszerbe. A Hatóság megjegyzi továbbá, hogy a Kérelmezett tájékoztatójában a Hatóság elérhetőségi adatai között tévesen szerepel a székhelyének, valamint a postacímének megjelölése. Ezek helyesen: 1055 Budapest, Falk Miksa utca 9-11.; 1363 Budapest, Pf.: 9. IV.3. Az eljárás megszüntetése A Kérelmező azon kívül, hogy kérte, a Hatóság kötelezze a Kérelmezettet a személyazonosító igazolványokról készített fényképek törlésére a Kérelmezett magáneszközén, kérte, hogy rendelje el ezen gyakorlat megszüntetését. Az általános adatvédelmi rendelet 77. cikk (1) bekezdése alapján minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál, Magyarországon a Hatóságnál, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti az általános adatvédelmi rendeletet. A Kérelmező jelen esetben azon kívül, hogy az adatkezelés érintettjeként kérelemmel fordult a Hatósághoz, általánosságban is kérte a Kérelmezett által folytatatott adatkezelési gyakorlat megszüntetését. Az általános adatvédelmi rendelet, az Ákr. és az Infotv. szabályainak együttes alkalmazásából következően azonban általános adatkezelési gyakorlat vizsgálatára, megszüntetésére adatvédelmi hatósági eljárást érintett nem kezdeményezhet, csak a rá vonatkozó személyes adatok kezelésének vizsgálatára. A Hatóság a IV.1. pontban leírtakra tekintettel nem kívánta az eljárást hivatalból folytatni, ezért a fentiekre tekintettel a rendelkező részben foglaltak szerint döntött és az Ákr. 47. § (1) bekezdés a) pontja és a 46. § (1) bekezdés a) pontja alapján az eljárást az adatkezelési gyakorlat megszüntetését érintően megszüntette.

## V. Jogkövet kezmé nyek

A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján hivatalból elmarasztalja a Kérelmezettet azért, mert nem nyújtott megfelelő tájékoztatást a szálláshelyszolgáltatás igénybe vételével, illetőleg a foglalással kapcsolatos adatkezelésről – beleértve az okmányok beolvasását is –, megsértve ezzel az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdését. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján hivatalból utasítja a Kérelmezettet arra, hogy készítsen megfelelő és átlátható, az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdése szerinti összes információt tartalmazó adatkezelési tájékoztatót.

## VI. Egyéb kérdése k

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. A Hatóság jelen döntése az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A döntés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése és (4) bekezdés d) pontja, illetve a 114. § (1) bekezdése alapján a döntéssel szemben közigazgatási per útján van helye jogorvoslatnak. A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pontjának aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja szerint olyan jogvitában, amelyben a törvényszék kizárólagosan illetékes, a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi CXXX. törvény 604. §-a szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Ha az előírt kötelezettség teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettségét határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kérelmezett a Hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2022. március 11. Dr. Péterfalvi Attila elnök c. egyetemi tanár