Ügyszám: NAIH/2020/193/8. Tárgy: Kérelemnek részben helyt
(NAIH/2019/8019.) adó határozat
A Nemzeti Adatvédelmi és Információszabadság Hatósághoz (a továbbiakban: Hatóság) 2019.
november 18. napján érkezett kérelmében […] Kérelmező az […] Kérelmezett adatkezelését
kifogásolta. A Hatóság a Kérelmező kérelmére a 2019. november 19. napján személyes adatok
jogellenes kezelése tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:
I. A Hatóság
HATÁROZATÁBAN
a Kérelmező kérelmének részben helyt ad, és
1) megállapítja, hogy a Kérelmezett nem törölte, illetve nem helyesbítette a Kérelmező
ideiglenes lakáscímét a Kérelmező 2018. szeptember 25. napján kelt kérelme alapján.
Ezzel a Kérelmezett megsértette a természetes személyeknek a személyes adatok
kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról,
valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet
(a továbbiakban: általános adatvédelmi rendelet) 16. cikkét, 17. cikk (1) bekezdésének
a) pontját, valamint az általános adatvédelmi rendelet 5. cikk (1) bekezdés d) pontját.
2) megállapítja, hogy a Kérelmezett nem nyújtott tájékoztatást a Kérelmező 2018.
szeptember 25. napján kelt ideiglenes lakáscímének törlésére irányuló kérelmére tett
intézkedésekről. Ezzel a Kérelmezett megsértette az általános adatvédelmi rendelet 12.
cikk (1)-(4) bekezdését.
3) megállapítja, hogy a Kérelmezett a Kérelmező megfelelő tájékoztatása és hozzájárulása
nélkül, megfelelő jogalap hiányában továbbította személyes adatait az […] részére. Ezzel
a Kérelmezett megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését és
13. cikkét.
II. A Hatóság határozatában a Kérelmezettet hivatalból
600 000 Ft, azaz hatszázezer forint
adatvédelmi bírság
megfizetésére kötelezi.
III. A Hatóság
VÉGZÉSÉBEN
1) megszünteti az adatvédelmi hatósági eljárást a kérelem azon részében, amely szerint
a Hatóság utasítsa a Kérelmezett arra, hogy a Kérelmező valóságnak megfelelő
személyes adatait tartsa nyilván;
2) elrendeli 10 000 Ft-nak, azaz tízezer forintnak a Kérelmező részére való megfizetését
az ügyintézési határidő túllépése miatt – választása szerint – bankszámlára utalással
vagy postai utalvánnyal.
2
***
Az adatvédelmi bírságot jelen határozat véglegessé válásától számított 30 napon belül a Hatóság
központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000
Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell
megfizetni. Az összeg átutalásakor a NAIH/2020/193. BÍRS. számra kell hivatkozni.
Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, a fenti
számlaszámra késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat,
amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik
meg.
Az adatvédelmi bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a
határozat végrehajtását.
Jelen döntés I., II. pontja szerinti határozattal és a jelen döntés III. pontja szerinti végzéssel szemben
közigazgatási úton jogorvoslatnak nincs helye, de azok a közléstől számított 30 napon belül a
Fővárosi Törvényszékhez címzett keresetlevéllel önállóan, külön-külön közigazgatási perben
megtámadhatók. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy
irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni
kell. A végzés ellen előterjesztett keresetlevelet a bíróság egyszerűsített perben tárgyaláson kívül
bírálja el. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati
eljárás illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti
eljárásban a jogi képviselet kötelező.
INDOKOLÁS
I. Az eljárás menete és a tényállás tisztázása
I. 1. A Kérelmező 2019. november 18. napján érkezett levelében kérelemmel fordult a Hatósághoz,
mely szerint egyrészt azt kifogásolta, hogy volt munkáltatója, a Kérelmezett, a […] számú ingatlant
ideiglenes lakáscímeként tartja nyilván annak ellenére, hogy az 1999 júniusában megszűnt.
A Kérelmező – nyilatkozata szerint – több alkalommal is jelezte a Kérelmezettnek, hogy megszűnt
az ideiglenes lakáscíme, ezért – álláspontja szerint – a Kérelmezettnek több alkalommal is
lehetősége lett volna ennek az adatnak a törlésére. A Kérelmező nyilatkozata szerint először 1999
nyarán, ideiglenes lakáscímének tényleges megszűnésekor jelezte a változást. Ezt követően a
Kérelmezettnél 2007. június 1. napján jogutódlásra került sor és ezzel összefüggésben a Kérelmező
jogviszonyában változás következett be, így a Kérelmező álláspontja szerint ekkor is törölnie kellett
volna a Kérelmezettnek a megszűnt ideiglenes lakáscímét. A Kérelmező nyilatkozata szerint
továbbá 2014 márciusától kezdve, a részére engedélyezett gépkocsi használatára vonatkozó
megállapodás, és annak évenkénti megújításai során is tudomása volt a Kérelmezettnek a
Kérelmező ideiglenes lakáscímének megszűnéséről, így ekkor is törölnie kellett volna ezt az adatot.
A Kérelmező ezt követően egy 2016. szeptember 27. és 28. napján, gázmérők ellenőrzésével
kapcsolatos elektronikus levelezés során is jelezte a Kérelmezett munkatársának, […], hogy
megszűnt korábbi ideiglenes lakáscíme.
A Kérelmező a 2018. szeptember 25. napján, a Kérelmezett vezérigazgatójának küldött elektronikus
levelében szintén jelezte – további más, nem adatvédelmi vonatkozású panasza mellett –, hogy
3
megszűnt a korábbi ideiglenes lakáscíme. Ezen levele szerint hivatkozott a 2016. szeptember 27.
és 28. napján, a Kérelmezettel folytatott, a gázmérők ellenőrzésével kapcsolatos elektronikus
levelezésére, mely szerint elmondta, hogy 1999 júniusában elköltözött a […] szám alatti ingatlanból,
mely tényt be is jelentette a Kérelmezett személyzeti osztályának.
A Kérelmező kérelmében másrészt azt is kifogásolta, hogy hozzájárulása nélkül továbbította
személyes adatait a Kérelmezett az […] felé.
A Kérelmező kérte a Hatóságtól, hogy állapítsa meg, hogy a Kérelmezett jogsértést követett el
személyes adatai nyilvántartásával összefüggésben, és utasítsa a Kérelmezett arra, hogy a
Kérelmező valóságnak megfelelő személyes adatait tartsa nyilván. A Kérelmező kérte továbbá, hogy
a Hatóság állapítsa meg, hogy a Kérelmezett jogsértést követett el személyes adatai […] részére
hozzájárulása nélkül történő továbbításával összefüggésben.
I. 2. A Hatóság az adatvédelmi hatósági eljárás megindításáról végzésében értesítette a
Kérelmezettet, és a tényállás tisztázása érdekében nyilatkozattételre és adatközlésre hívta fel.
A Kérelmezett nyilatkozata szerint a munka törvénykönyvéről szóló 2012. évi I. törvény (a
továbbiakban: Mt.) 6. § (4) bekezdése általános magatartási szabályként előírja, hogy a
munkaviszonyban a felek kötelesek egymást minden olyan tényről, adatról, körülményről vagy ezek
változásáról tájékoztatni, amely a munkaviszony létesítése, valamint az Mt.-ben meghatározott
jogok gyakorlása és kötelezettségek teljesítése szempontjából lényeges. A Kérelmezett szerint
ebből következően a Kérelmező feladata, hogy Kérelmezett részére bármilyen adatváltozást
bejelentsen. A Kérelmezett munkaügyi nyilvántartásai szerint azonban a Kérelmező nem jelentette
be az ideiglenes lakáscíme megszűnését a Kérelmezett mint munkáltató felé, ezért e változás nem
került átvezetésre, ideiglenes lakáscíme nem került törlésre. A Kérelmező által előadottakra
figyelemmel azonban – a Hatóság megkeresését követően – a Kérelmezett intézkedett a Kérelmező
ideiglenes lakáscíme munkaügyi nyilvántartásaiból történő törléséről 2020. január 17. napján.
A Kérelmező 2016. szeptember 27. napján és 2018. szeptember 25. napján, e-mailen keresztül
küldött levelei kapcsán a Kérelmezett azt nyilatkozta, hogy levelezőrendszerének naplófájlja 90 nap
után automatikusan törlődik, ezért ezek alapján nem tudja a Kérelmező által hivatkozott e-maileket
visszakeresni. A kérdéses e-mailekre akkor tudna a Kérelmezett rákeresni, ha a Kérelmező a
címzetteket megadja, azonban, amennyiben ezen címzettek már kiléptek a Kérelmezettől, akkor a
postafiókjuk is törlésre került. Ezzel kapcsolatban dokumentum nem áll a Kérelmezett
rendelkezésére.
A Kérelmezett nyilatkozata szerint a Kérelmező nevét, adóazonosító jelét, anyja nevét, születési
helyét és idejét, valamint állandó lakóhelyét továbbította az […] részére, annak interneten elérhető
felületén keresztül, 2018. október 12. napján.
A Kérelmezett nyilatkozata szerint az adattovábbítás oka az volt, hogy 2018-ban a béren kívüli
juttatásokra vonatkozó adózási szabályok megváltoztak, amelynek következtében a Széchenyi
Pihenő Kártya (a továbbiakban: SZÉP Kártya) juttatáson kívül minden más cafeteria adózása
megemelkedett. Ennek következtében várható volt, hogy a SZÉP Kártyával addig nem rendelkező
munkavállalók a jövőben ezt a juttatást fogják igénybe venni. A tárgyi félévben a SZÉP Kártya
igénylésére vonatkozó szabályok is megváltoztak. A korábbi, a Széchenyi Pihenő Kártya
kibocsátásának és felhasználásának szabályairól szóló 55/2011. (IV. 12.) Korm. rendelet alapján a
munkáltató feladata volt a SZÉP Kártyák megrendelése, azonban az új, a Széchenyi Pihenő Kártya
kibocsátásának és felhasználásának szabályairól szóló 76/2018. (IV. 20.) Korm. rendelet alapján
már a munkavállaló kellett, hogy a pénztárszolgáltatóval közvetlenül szerződjön. Az adattovábbítás
időpontjában azonban ennek az ügymenete körül számos bizonytalanság volt, még működtek a
korábbi rendszerek, a végleges eljárásrendek pénztárszolgáltatói oldalon azonban még nem
4
kerültek kialakításra. Az […] levelében 2018. december 13. napján például arról tájékoztatta a
Kérelmezettet, hogy „Január 4-ig a megszokott módon tudnak új munkavállalókat rögzíteni a
Portálon, és meg tudják rendelni számukra a kártyát. Szerződéses ajánlatot kiküldeni már csak
azoknak a munkavállalóknak tudunk, akiket 2018. december 28-ig rögzítettek és e-mail címet is
megadnak hozzájuk.” A hivatkozott és a hasonló korábbi tájékoztatásokból az következett a
Kérelmezett részére, hogy a zökkenőmentes átállás érdekében a munkavállalóit a SZÉP Kártya
igénylési folyamatban segíteni kell.
A Kérelmezett nyilatkozata szerint az adatkezelés célja az volt, hogy a Kérelmezett a SZÉP
Kártyával addig nem rendelkező munkavállalók tekintetében az igénylési folyamatot megindítsa. Ez
a gyakorlatban azt jelentette, hogy a pénztárszolgáltató által kért személyes adatokat a
pénztárszolgáltató internetes felületére a Kérelmezett feltöltötte a saját fiókján keresztül és ennek
alapján egy igénylőlapot generált, amelyet a munkavállalóknak átadott. Ez képezte a Kérelmező
személyes adatainak továbbítását. A Kérelmezett a Kérelmező személyes adatait nem kezelte az
igénylési folyamat megtörténtét követően ezen célból.
A Kérelmezett nyilatkozata szerint a tárgyi időszakban a Kérelmezett várakozása az volt, hogy a
SZÉP Kártyával nem rendelkező munkavállalói ezt a juttatást fogják választani a jövőben. A SZÉP
Kártya igénylésére vonatkozó jogszabályok abban az időpontban megváltoztak, és a
pénztárszolgáltatói oldalon az új szabályokra való átállás és technikai ügyintézés körül számos
bizonytalanság volt. Amennyiben a Kérelmezett a munkavállalók részére semmilyen segítséget nem
nyújtott volna, úgy a munkavállalók egyáltalán nem, vagy aránytalan erőfeszítések árán tudták volna
a SZÉP Kártyát határidőben megigényelni. A Kérelmezett részéről jogos érdekként merült fel, hogy
ezt a béren kívüli juttatást zökkenőmentesen biztosítsa 2019. január 1. napjával a munkavállalói
részére, a munkavállalók felől pedig, hogy az ügyintézést megkönnyítsék az oldalukon. Erre
figyelemmel döntött a Kérelmezett úgy, hogy a fentiek szerint jár el.
A Kérelmezett nyilatkozata szerint a folyamatot a Kérelmezett Humán Ügyfélszolgálata végezte,
amely osztály munkatársainak a munkavállalókkal közvetlen és napi szintű kapcsolata van. A SZÉP
Kártyával, valamint a béren kívüli juttatásokkal kapcsolatos változásokról továbbá központi
kommunikáció is történt a munkavállalók irányában. Ezen kívül a folyamatról és a folyamattal
kapcsolatban a Kérelmezettnél megszokott módon bármely időpillanatban jogosultak voltak a
munkavállalók a Humán Ügyfélszolgálat felé kérdéseiket feltenni, panaszaikat jelezni, vagy a
folyamatba történő bevonásukkal szemben tiltakozni.
A Kérelmezett nyilatkozata szerint a munkavállalókat megillető érintetti jogokat a Kérelmezett
általános munkavállalói tájékoztatója tartalmazza, amely jelen adatkezelésre is vonatkozik.
A Kérelmezett annak ellenére, hogy jogos érdekére hivatkozott a béren kívüli juttatás
zökkenőmentes biztosítása miatt, azt is nyilatkozta, hogy az igénylőlap legenerálását követően az
igénylő munkavállalók az igénylőlapot és az adatkezelési hozzájáruló nyilatkozatot megkapták,
aláírták, amellyel közvetlen tájékoztatást is kaptak a SZÉP Kártya igénylésével összefüggésben. Ez
alapján tehát a Kérelmezett részben a hozzájárulás jogalapjára is alapozta az adattovábbítást.
A Kérelmezett nyilatkozata szerint a Kérelmező személyes adatainak továbbítására 2018. október
12. napján került sor. A Kérelmezett az […] interneten elérhető felületéről kinyomtatott […] SZÉP
Kártya főkártya igénylőlapra és adatkezelési hozzájáruló nyilatkozatra a Kérelmező aláírását is be
kívánta szerezni, azonban a nyilatkozat aláírása nem történt meg, figyelemmel arra, hogy a
Kérelmező munkaviszonya a Kérelmezettel 2018. december 19. napjával megszűnt.
A Kérelmezett nyilatkozata szerint a Kérelmező által kifogásolt eljárás a jogszabályi változások miatti
implementációs időszakban történt egyszeri intézkedés volt, amelyet követően jelenleg valamennyi
5
munkavállalónak a SZÉP Kártya igénylését az azóta kialakított és működő csatornákon keresztül
önállóan kell intéznie.
A Kérelmezett álláspontja szerint továbbá az adatkezelés nem járt jelentős hatással az érintettekre
nézve, így a Kérelmezőre sem, mivel egyszeri lépést jelentett (az igénylőlap generálása) és a
Kérelmezett részéről csak az igénylőlap generálásáig tartott, amelyet követően a Kérelmezett a
személyes adatokat ebből a célból nem kezelte tovább. Az adatkezelés továbbá az érintettek
érdekében történt, a szerződéskötési folyamatot az érintetteknek kellett befejeznie, továbbá az
adattovábbítás a piacon jóhírnévvel rendelkező pénzügyi intézmény részére történt és jelen esetet
nem számítva panasz nem érkezett a Kérelmezetthez ezzel kapcsolatban.
A Kérelmezett nyilatkozata szerint továbbá nyilvántartása szerint – amely 2012. év előtti adatokat
nem tartalmaz – a Kérelmező 2012. január 1. napjától 2018. december 18. napjáig részesült
cafeteria juttatásban.
A Kérelmezett nyilatkozata szerint továbbá a SZÉP Kártya igénylőlap elkészítése során, illetve a
munkába járása költségei Kérelmezett általi megtérítésére vonatkozó megállapodáson is a
Kérelmező állandó lakcíme került feltüntetésre, melyet a Kérelmezett minden munkavállalóról
nyilvántart.
II. Alkalmazott jogszabályi rendelkezések
Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre
az általános adatvédelmi rendeletet kell alkalmazni.
Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a
továbbiakban: Infotv.) 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott
megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni.
Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése
érdekében a Hatóság erre irányuló kérelemre adatvédelmi hatósági eljárást indít és hivatalból
adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az általános közigazgatási
rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-
ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel.
Az Infotv. 60. § (2) bekezdése alapján: „Az adatvédelmi hatósági eljárás megindítása iránti kérelem
az általános adatvédelmi rendelet 77. cikk (1) bekezdésében, valamint a 22. § b) pontjában
meghatározott esetben nyújtható be.”
Az általános adatvédelmi rendelet 77. cikk (1) bekezdése értelmében: „Az egyéb közigazgatási vagy
bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy
felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett
jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes
adatok kezelése megsérti e rendeletet.”
Az általános adatvédelmi rendelet 4. cikk 10. pontja szerint: „„harmadik fél”: az a természetes vagy
jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az
érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő
vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást
kaptak.”
6
Az általános adatvédelmi rendelet 4. cikk 11. pontja alapján: „„az érintett hozzájárulása”: az érintett
akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása,
amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi,
hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez.“
Az általános adatvédelmi rendelet 5. cikk (1) bekezdés d) pontja értelmében: „A személyes adatok:
d) pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell
tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat
haladéktalanul töröljék vagy helyesbítsék („pontosság”).”
Az általános adatvédelmi rendelet 12. cikk (1)-(4) bekezdései szerint: „(1) Az adatkezelő megfelelő
intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére
vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti
minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan
és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ
esetében. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat
is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon
igazolták az érintett személyazonosságát.
(2) Az adatkezelő elősegíti az érintett 15–22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2)
bekezdésében említett esetekben az adatkezelő az érintett 15–22. cikk szerinti jogai gyakorlására
irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem
áll módjában azonosítani.
(3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől
számított egy hónapon belül tájékoztatja az érintettet a 15–22. cikk szerinti kérelem nyomán hozott
intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát,
ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az
adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon
belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást
lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri.
(4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de
legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az
intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely
felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.”
Az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) és f) pontja alapján: „A személyes adatok
kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő
kezeléséhez;
[…]
f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez
szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei
vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé,
különösen, ha az érintett gyermek.”
Az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdése értelmében: „(1) Ha az érintettre
vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok
megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk
mindegyikét:
a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;
b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;
c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik
fél jogos érdekei;
7
e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;
f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet
részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának
léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második
albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése,
valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való
hivatkozás.
(2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok
megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést
biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja:
a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam
meghatározásának szempontjairól;
b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz
való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen
személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról;
c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló
adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely
nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;
d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról;
e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen
alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes
adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás
elmaradása;
f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a
profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra
vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre
nézve milyen várható következményekkel bír.”
Az általános adatvédelmi rendelet 16. cikke szerint: „Az érintett jogosult arra, hogy kérésére az
adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat.
Figyelembe véve az adatkezelés célját, az érintett jogosult arra, hogy kérje a hiányos személyes
adatok – egyebek mellett kiegészítő nyilatkozat útján történő – kiegészítését.”
Az általános adatvédelmi rendelet 17. cikk (1) bekezdése alapján: „Az érintett jogosult arra, hogy
kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat,
az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan
késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:
a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más
módon kezelték;
b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a)
pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más
jogalapja;
c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezelése ellen, és nincs elsőbbséget
élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az
adatkezelés ellen;
d) a személyes adatokat jogellenesen kezelték;
e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi
kötelezettség teljesítéséhez törölni kell;
f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal
összefüggő szolgáltatások kínálásával kapcsolatosan került sor.”
Az általános adatvédelmi rendelet 17. cikk (3) bekezdése értelmében: „Az (1) és (2) bekezdés nem
alkalmazandó, amennyiben az adatkezelés szükséges:
8
a) a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából;
b) a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog
szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi
jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából;
c) a 9. cikk (2) bekezdése h) és i) pontjának, valamint a 9. cikk (3) bekezdésének megfelelően a
népegészségügy területét érintő közérdek alapján;
d) a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és
történelmi kutatási célból vagy statisztikai célból, amennyiben az (1) bekezdésben említett jog
valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy
e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez.”
Az általános adatvédelmi rendelet 23. cikk (1) bekezdése szerint: „Az adatkezelőre vagy
adatfeldolgozóra alkalmazandó uniós vagy tagállami jog jogalkotási intézkedésekkel korlátozhatja a
12–22. cikkben és a 34. cikkben foglalt, valamint a 12–22. cikkben meghatározott jogokkal és
kötelezettségekkel összhangban lévő rendelkezései tekintetében az 5. cikkben foglalt jogok és
kötelezettségek hatályát, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok
lényeges tartalmát, valamint az alábbiak védelméhez szükséges és arányos intézkedés egy
demokratikus társadalomban:
a) nemzetbiztonság;
b) honvédelem;
c) közbiztonság;
d) bűncselekmények megelőzése, nyomozása, felderítése vagy a vádeljárás lefolytatása, illetve
büntetőjogi szankciók végrehajtása, beleértve a közbiztonságot fenyegető veszélyekkel szembeni
védelmet és e veszélyek megelőzését;
e) az Unió vagy valamely tagállam egyéb fontos, általános közérdekű célkitűzései, különösen az
Unió vagy valamely tagállam fontos gazdasági vagy pénzügyi érdeke, beleértve a monetáris, a
költségvetési és az adózási kérdéseket, a népegészségügyet és a szociális biztonságot;
f) a bírói függetlenség és a bírósági eljárások védelme;
g) a szabályozott foglalkozások esetében az etikai vétségek megelőzése, kivizsgálása, felderítése
és az ezekkel kapcsolatos eljárások lefolytatása;
h) az a)–e) és a g) pontban említett esetekben – akár alkalmanként – a közhatalmi feladatok
ellátásához kapcsolódó ellenőrzési, vizsgálati vagy szabályozási tevékenység;
i) az érintett védelme vagy mások jogainak és szabadságainak védelme;
j) polgári jogi követelések érvényesítése.”
Az általános adatvédelmi rendelet 58. cikk (2) bekezdése alapján: „A felügyeleti hatóság korrekciós
hatáskörében eljárva:
a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési
tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit;
b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette
e rendelet rendelkezéseit;
c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti
jogai gyakorlására vonatkozó kérelmét;
d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben
meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel;
e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről;
f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is;
g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok
helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2)
bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel
vagy amelyekkel a személyes adatokat közölték;
9
h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően
kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a
tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek;
i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az
e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és
j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás
felfüggesztését.”
Az általános adatvédelmi rendelet 83. cikk (2) és (5) bekezdése alapján: „[…]
(2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének
a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor,
hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének
megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:
a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés
jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk
elszenvedett kár mértéke;
b) a jogsértés szándékos vagy gondatlan jellege;
c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése
érdekében tett bármely intézkedés;
d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25.
és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket;
e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések;
f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak
enyhítése érdekében folytatott együttműködés mértéke;
g) a jogsértés által érintett személyes adatok kategóriái;
h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy
az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen
részletességgel;
i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban
– elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó
intézkedéseknek való megfelelés;
j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott
magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz;
valamint
k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a
jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült
veszteség.
[…]
(5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000
EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes
éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül
a magasabb összeget kell kiszabni:
a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően;
b) az érintettek jogai a 12–22. cikknek megfelelően;
c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő
továbbítása a 44–49. cikknek megfelelően;
d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek;
e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti
vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be
nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása.”
Az Infotv. 75/A. § értelmében: „a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6)
bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen
azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió
10
kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a
jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban
az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.”
A Széchenyi Pihenő Kártya kibocsátásának és felhasználásának szabályairól szóló 55/2011. (IV.
12.) Korm. rendelet 3. § (2) bekezdése szerint: „Az intézmény a munkáltató megrendelése alapján,
munkavállalónként személyes elektronikus utalvány nyilvántartást nyit, amelyen naprakészen vezeti
az SZJA törvény 71. § (1) bekezdés c) pontjában meghatározott jogcímeken juttatott munkáltatói
támogatások egyenlegét.”
A Széchenyi Pihenő Kártya kibocsátásának és felhasználásának szabályairól szóló 76/2018. (IV.
20.) Korm. rendelet 2. § (1) bekezdése alapján: „A személyi jövedelemadóról szóló 1995. évi CXVII.
törvény (a továbbiakban: Szja tv.) 71. § (1) bekezdése szerinti munkáltatói juttatást (a továbbiakban:
Széchenyi Pihenő Kártya juttatás) a pénzforgalmi szolgáltató a munkavállalóval kötött, pénzforgalmi
szolgáltatás nyújtására irányuló keretszerződés alapján nyitott és vezetett, olyan korlátozott
rendeltetésű fizetési számlán írja jóvá, amelyen lévő pénzeszközök kizárólag az e rendeletben
meghatározott célokra használhatók fel. A korlátozott fizetési számlának csak egy természetes
személy lehet a tulajdonosa.”
III. Döntés
III. 1. A Kérelmező ideiglenes lakáscímének nyilvántartása
Az általános adatvédelmi rendelet 5. cikk (1) bekezdés d) pontja szerinti adatpontosság elvéből
következően a személyes adatoknak pontosnak és szükség esetén naprakésznek kell lenniük. Az
adatkezelőnek minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés
céljai szempontjából pontatlan személyes adatokat haladéktalanul törölje vagy helyesbítse.
Az általános adatvédelmi rendelet az érintetti jogok keretében szabályozza a helyesbítéshez,
valamint a törléshez való jogot. Ez alapján az általános adatvédelmi rendelet 16. cikke szerint az
érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá
vonatkozó pontatlan személyes adatokat, míg az általános adatvédelmi rendelet 17. cikk (1)
bekezdése határozza meg, hogy mely esetben köteles az adatkezelő az érintett személyes adatait
törölni, így többek között akkor, amikor a személyes adatokra már nincs szükség abból a célból,
amelyből azokat gyűjtötték vagy más módon kezelték.
A személyes adatok helyesbítésével és törlésével összefüggő adatkezelői kötelezettségeket az
általános adatvédelmi rendelet 12. cikke határozza meg.
Az általános adatvédelmi rendelet 23. cikk (1) bekezdése határozza meg továbbá azon eseteket,
melyek fennállása esetén korlátozható a személyes adatok helyesbítéséhez, illetve törléséhez való
jog, valamint az általános adatvédelmi rendelet 17. cikk (3) bekezdése speciálisan azon eseteket,
amelyek fennállásakor a személyes adatok törlésére vonatkozó szabályok nem alkalmazhatóak.
Jelen ügyben a Kérelmező kérelmében több, köztük 2018. május 25. napja előtti dátumot is
megjelölt, amikor jelezte a Kérelmezett felé, hogy megszűnt ideiglenes lakáscíme. A kérelem ezen
részei olyan érintetti kérelmeket érintenek, amelyekre 2018. május 25. napja előtt, az általános
adatvédelmi rendelet alkalmazásának kezdőnapját megelőzően került sor, és ezért e kérelmekre az
általános adatvédelmi rendelet szabályai nem alkalmazhatóak. A kérelem ezen részei nem felelnek
meg ugyanis az Infotv. 60. § (2) bekezdésében foglalt feltételeknek, hiszen a sérelmezett érintetti
joggyakorlások időszakában az általános adatvédelmi rendelet még nem volt alkalmazandó, így
azok vonatkozásában a Hatóság adatvédelmi hatósági eljárása iránti kérelem sem nyújtható be,
11
illetőleg e kifogásolt érintetti joggyakorlások vonatkozásában az általános adatvédelmi rendelet
rendelkezéseinek való megfelelés vizsgálatára a Hatóságnak nincs jogosultsága a jelen adatvédelmi
hatósági eljárás keretében.
A Kérelmező 2018. május 25. napját, az általános adatvédelmi rendelet alkalmazásának
kezdőnapját követően benyújtott levelével kapcsolatban a Hatóság álláspontja a következő:
A Kérelmező 2018. szeptember 25. napján, a Kérelmezett vezérigazgatójának küldött elektronikus
levelében – többek között – azt jelezte, hogy megszűnt a korábbi ideiglenes lakáscíme, visszautalva
a 2016. szeptember 27. napján küldött levelére is, melyben szintén jelezte ezt. A Kérelmező ezen
levelét megküldte a Hatóságnak is. Ettől eltérően a Kérelmezett azt nyilatkozta, hogy munkaügyi
nyilvántartásai alapján a Kérelmező nem jelentette be az ideiglenes lakáscíme megszűnését a
Kérelmezett mint munkáltató felé, ezért a változás nem került átvezetésre, illetve az ideiglenes
lakáscímet nem törölték.
Mindezek alapján és a Hatóság rendelkezésére álló elektronikus levél tartalma alapján
megállapítható, hogy a Kérelmező a 2018. szeptember 25. napján, a Kérelmezett
vezérigazgatójának küldött elektronikus levele, bár több más, nem adatvédelmi tárgyú témát is
érintett, abban bejelentette ideiglenes lakáscímének a megszűnését a Kérelmezett felé, a levél
tartalma alapján a Kérelmezettnek törölnie vagy helyesbítenie kellett volna a Kérelmező ezen
személyes adatát, tekintettel arra, hogy nem állt fenn olyan körülmény, amely alapján korlátozható
lett volna a Kérelmező személyes adata törléséhez, helyesbítéséhez való joga, vagy az ezekre
vonatkozó szabályok ne lehettek volna alkalmazhatóak. Mindebből következően a Hatóság
megállapítja, hogy a Kérelmezett az általános adatvédelmi rendelet szabályaival ellentétesen nem
törölte a Kérelmező ideiglenes lakáscímét, illetve nem helyesbítette ezen, róla nyilvántartott
személyes adatot, megsértve ezzel az általános adatvédelmi rendelet 16. cikkét, 17. cikk (1)
bekezdésének a) pontját, valamint a pontatlan személyes adat kezelésével az általános adatvédelmi
rendelet 5. cikk (1) bekezdés d) pontja szerinti adatpontosság elvét.
III. 2. A Kérelmező ideiglenes lakáscímének törlésére irányuló kérelme alapján tett intézkedések
Az általános adatvédelmi rendelet 12. cikk (1)-(4) bekezdései tartalmazzák azokat az adatkezelői
kötelezettségeket, intézkedéseket, amelyeket az érintetti kérelmek beérkezése és teljesítése
kapcsán az adatkezelőknek meg kell tenniük.
A Hatóság vizsgálta a Kérelmező 2018. szeptember 25. napján, a Kérelmezett vezérigazgatójának
küldött elektronikus levele tekintetében az ideiglenes lakáscímének törlése iránti kérelmével
összefüggésben azt, hogy a Kérelmezett milyen intézkedéseket tett meg az általános adatvédelmi
rendelet 12. cikk (1)-(4) bekezdésére tekintettel. A Kérelmező ebben a levelében jelezte – többek
között – a Kérelmezett felé, hogy megszűnt a korábbi ideiglenes lakáscíme. A Kérelmezett a
Kérelmező ezen levelére azonban nem nyújtott semmilyen tájékoztatást.
Erre tekintettel a Hatóság megállapítja, hogy mivel a Kérelmezett nem nyújtott határidőben
semmilyen tájékoztatást a Kérelmező 2018. szeptember 25. napján küldött, személyes adata
törlésére irányuló kérelme alapján hozott intézkedéseiről, megsértette az általános adatvédelmi
rendelet 12. cikk (1)-(4) bekezdését.
A Hatóság felhívja a Kérelmezett figyelmét arra, hogy megfelelő belső folyamatokat kell kialakítania
az érintetti jogok gyakorlásának biztosítása érdekében, és a Kérelmezett mint adatkezelő
vezetőjének is tudnia kell, hogy milyen adatkezelői tennivalók, kötelezettségek terhelik az érintetti
kérelmek, jelzések esetén a szervezetet, tekintettel arra, hogy a Kérelmezett minősül adatkezelőnek
és nem az egyes szervezeti egységei.
12
III. 3. A Kérelmező valóságnak megfelelő személyes adatainak nyilvántartása
A Kérelmező kérelmében kérte a Hatóságot, hogy utasítsa a Kérelmezett arra, hogy a Kérelmező
valóságnak megfelelő személyes adatait tartsa nyilván.
A Kérelmezett nyilatkozata szerint a Hatóság adatvédelmi hatósági eljárásáról való tudomásszerzést
követően intézkedett a Kérelmező ideiglenes lakáscíme munkaügyi nyilvántartásaiból történő
törléséről 2020. január 17. napján, mely törlést a Kérelmezett jegyzőkönyv megküldésével igazolt.
Ebből következően a Kérelmező kérelmének ebben a vonatkozásában intézkedés megtételére már
nincs szükség, ezért a Hatóság az Ákr. 47. § (1) bekezdés c) pontja alapján az eljárást megszüntette,
mivel az eljárás ebben a vonatkozásban okafogyottá vált.
III. 4. A Kérelmező személyes adatainak továbbítása
1. A Kérelmezett nyilatkozata szerint a Kérelmező nevét, adóazonosító jelét, anyja nevét, születési
helyét és idejét, valamint állandó lakóhelyét továbbította az […] részére, annak interneten elérhető
felületén keresztül, 2018. október 12. napján abból a célból, hogy a SZÉP Kártya igénylésére
vonatkozó jogszabályi változásokra tekintettel megkönnyítse, illetve megkezdje a munkavállalók és
a Kérelmező SZÉP Kártya igénylését.
A Széchenyi Pihenő Kártya kibocsátásának és felhasználásának szabályairól szóló 76/2018. (IV.
20.) Korm. rendelet alapján 2019. január 1. napjától a SZÉP Kártyák megrendeléséhez a
munkavállalónak kell a pénztárszolgáltatóval közvetlenül szerződést kötni, szemben az azt
megelőző időszakkal, amikor a munkáltató feladata volt a SZÉP Kártyák megrendelése.
2. A Kérelmezett az adattovábbítás jogalapjaként a jogos érdek jogalapját jelölte meg, ennek
keretében arra hivatkozott, hogy az ő részéről jogos érdekként merült fel, hogy ezt a béren kívüli
juttatást zökkenőmentesen biztosítsa 2019. január 1. napjával a munkavállalói részére, a
munkavállalók felől pedig, hogy az ügyintézést megkönnyítsék az oldalukon.
A Hatóság álláspontja szerint ugyanakkor a jogos érdek jogalapjára akkor lehet alapozni
adatkezelést, ha az adatkezelés az adatkezelő vagy egy harmadik fél, nem pedig az érintettek jogos
érdekeinek érvényesítéséhez szükséges. Az általános adatvédelmi rendelet 4. cikk 10. pontja
szerinti harmadik fél fogalmából következően az érintett nem minősül harmadik félnek, ezért
érdekében erre a jogalapra nem lehet hivatkozni.
Ebből következően a Kérelmező – és ezzel együtt a Kérelmezett többi munkavállalója – mint érintett
esetében tehát ez a jogalap nem volt alkalmazható. Ezen kívül a Kérelmezett által jogos érdeknek
minősített körülmény, hogy megkönnyítse a munkavállalók oldaláról az ügyintézést, a Hatóság
álláspontja szerint nem tekinthető adatkezelői jogos érdeknek, az szintén a munkavállalók mint
érintettek érdekeként jelenik meg.
A Hatóság álláspontja szerint a Kérelmezett SZÉP Kártya igénylésével összefüggő
adatkezelésének, illetve adattovábbításának jogalapja az érintett, illetve – a Kérelmező esetében –
a Kérelmező hozzájárulása lehetett volna.
A Kérelmezett, bár jogos érdekére hivatkozott, hogy zökkenőmentesen biztosítsa a béren kívüli
juttatást, azt is nyilatkozta, hogy az igénylőlap legenerálását követően az igénylő munkavállalók az
igénylőlapot és az adatkezelési hozzájáruló nyilatkozatot megkapták, aláírták, amellyel közvetlen
13
tájékoztatást is kaptak a SZÉP Kártya igénylésével összefüggésben. Ez alapján tehát a Kérelmezett
részben a hozzájárulás jogalapjára is alapozta az adattovábbítást, azonban nem megfelelően.
A hozzájárulásnak az általános adatvédelmi rendelet szerinti definíciója értelmében megfelelő
tájékoztatáson kell alapulnia, önkéntesnek, továbbá olyan konkrét, egyértelmű akaratnyilvánításnak
kell lennie, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet
útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez. Hangsúlyozandó,
hogy mindennek az érintett, illetve jelen ügyben a Kérelmező vonatkozásában kell fennállni, és csak
az érintett – a Kérelmező – tud személyes adatai kezeléséhez hozzájárulni, helyette más, mint jelen
esetben a Kérelmezett nem, mivel ebben az esetben már nem lehet érintetti hozzájárulásról
beszélni.
A hozzájárulás önkéntessége kapcsán megállapítható, hogy a kialakult adatvédelmi gyakorlat
szerint munkaviszonyban főszabályként nem értelmezhető a hozzájárulás önkéntessége a
munkáltató és a munkavállaló közötti alá-fölérendeltségi viszonyból adódóan, mivel számos esetben
amennyiben a munkavállaló a hozzájárulását megtagadja, ez anyagi vagy nem anyagi természetű
hátrányt okozhat neki. Az érintett hozzájárulására mint jogalapra ezért a munkahelyi adatkezelések
esetében csak kivételesen lehet hivatkozni, alapvetően akkor, amikor egyértelmű, hogy az
adatkezelés során feltétel nélküli „előnyöket” szerez a munkavállaló, és nem érheti őt semmilyen
hátrány az adatkezelés megtagadása esetén. Ebből következően jelen adatkezelés, illetve
adattovábbítás jogalapja a Kérelmező hozzájárulása lehetett volna, a Kérelmező mint érintett
ugyanis maga dönthetett volna arról, hogy a juttatást igénybe veszi vagy sem. Amennyiben a
Kérelmező nem járult volna hozzá személyes adatai ilyen célú kezeléséhez, továbbításához úgy a
juttatást ugyan nem kapta volna meg, azonban ezen kívül hátrány nem érte volna a jogviszonyával
összefüggésben.
Mindebből következően tehát a Hatóság álláspontja szerint a Kérelmezett 2019. január 1. napja előtt
a Kérelmező hozzájárulása alapján továbbíthatta volna személyes adatait az […] részére,
függetlenül attól, hogy az igénylést végső soron a Kérelmezettnek mint munkáltatónak kellett
rendeznie. 2019. január 1. napját követően, amikor az […] már közvetlenül az érintett
munkavállalóval köti meg a vonatkozó szerződést, a Kérelmezettnek már ilyen szerepe sincs, hiszen
az adatkezelési jogviszony az érintett és az […] között jön létre.
Mindezek alapján a Hatóság megállapítja, hogy a Kérelmezett nem megfelelő jogalap alapján
továbbította a Kérelmező személyes adatait 2018. október 12. napján az […] részére, megsértve
ezzel az általános adatvédelmi rendelet 6. cikk (1) bekezdését.
3. A Kérelmező személyes adatainak továbbításáról szóló tájékoztatás kapcsán megállapítható,
hogy a Kérelmezett által megküldött adatkezelési tájékoztató – ahogyan maga a Kérelmezett is
nyilatkozta – egy általános munkavállalói tájékoztató, amelyben azonban nem különül el, nem jelenik
meg önálló adatkezelési célként a munkavállalók, illetve a Kérelmező számára nyújtott juttatásokkal
kapcsolatos adatkezelés. Több adatkezelési cél esetén azonban minden egyes adatkezelési célról,
minden egyes adatkezelésről külön-külön tájékoztatni kell az érintetteket.
A Kérelmezett hivatkozott továbbá belső levelezésre, amely alapján tájékoztatta a munkavállalókat
és a Kérelmezőt a SZÉP Kártya igényléséről, illetve annak változásairól.
Ezek a tájékoztatók valóban tájékoztatást jelentettek a juttatás igénybevételére vonatkozó
megváltozott eljárásrendről, azonban nem tekinthetőek az általános adatvédelmi rendelet 13. cikke
szerinti adatkezelési tájékoztatásnak, mivel az ott meghatározott információk egyikéről sem
nyújtanak tájékoztatást.
14
Mindezek alapján a Hatóság megállapítja, hogy a Kérelmezett a Kérelmező vonatkozásában nem
nyújtott megfelelő tájékoztatást az adatkezelésről, megsértve ezzel az általános adatvédelmi
rendelet 13. cikkét.
III. 5. Szankcionálás
1. A Hatóság a Kérelmező kérelmének részben helyt ad, és az általános adatvédelmi rendelet 58.
cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezettet, mivel a jelen határozat III. 1.
pontjában írtak alapján megsértette az általános adatvédelmi rendelet 16. cikkét, 17. cikk (1)
bekezdésének a) pontját, valamint az általános adatvédelmi rendelet 5. cikk (1) bekezdés d) pontját
azzal, hogy nem törölte a Kérelmező ideiglenes lakáscímét, illetve nem helyesbítette ezen, róla
nyilvántartott személyes adatot.
Ugyanakkor tekintettel arra, hogy jelen határozat III. 3. pontja alapján a Kérelmezett a Hatóság
adatvédelmi hatósági eljárásáról való tudomásszerzést követően intézkedett a Kérelmező
ideiglenes lakáscíme munkaügyi nyilvántartásaiból történő törléséről, a Kérelmező kérelmének
ebben a vonatkozásában intézkedés megtételére nincs szükség, ezért a Hatóság nem utasította a
Kérelmezettet a Kérelmező érintetti joggyakorlásra irányuló kérelmének teljesítésére, hanem az Ákr.
47. § (1) bekezdés c) pontja alapján az eljárást megszüntette.
A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján elmarasztalja
továbbá a Kérelmezett, mivel a jelen határozat III. 2. pontjában részletezettek szerint megsértette
az általános adatvédelmi rendelet 12. cikk (1)-(4) bekezdését azzal, hogy nem nyújtott tájékoztatást
a Kérelmező ideiglenes lakáscímének törlésére irányuló kérelmére tett intézkedésekről.
A Hatóság továbbá a Kérelmező kérelmének részben helyt ad, és az általános adatvédelmi rendelet
58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezettet, mivel a jelen határozat III. 4.
pontjában írtak alapján megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését és 13.
cikkét azzal, hogy a Kérelmező megfelelő tájékoztatása és hozzájárulása nélkül, megfelelő jogalap
hiányában továbbította személyes adatait az […] részére
2. A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság
kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az
Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét és megállapította, hogy a jelen
eljárás során feltárt jogsértések esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű
szankció, ezért bírság kiszabása szükséges.
3. A Hatóság a bírság összegének meghatározása során mindenekelőtt figyelembe vette, hogy a
Kérelmező lényegében két külön kérelemmel fordult a Hatósághoz. Az egyik kérelme ideiglenes
lakáscíme személyes adata Kérelmezett általi nyilvántartásával, illetve helyesbítésével, törlésével,
a másik a személyes adatai […] részére történő továbbításával függ össze.
A Hatóság mindkét kérelem kapcsán figyelemben vette, hogy a Kérelmezett által elkövetett
jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés b) pontja szerint a magasabb
összegű bírságkategóriába tartozó jogsértésnek minősülnek.
A Hatóság mindkét kérelem kapcsán enyhítő körülményként vette figyelembe, hogy a Kérelmezett
által elkövetett jogsértés miatt a Kérelmezőt nem érte kár [általános adatvédelmi rendelet 83. cikk
(2) bekezdés a) pont].
15
A Hatóság mindkét kérelem kapcsán enyhítő körülményként vette figyelembe, hogy a Kérelmezett
elmarasztalására az általános adatvédelmi rendelet megsértése miatt még nem került sor [általános
adatvédelmi rendelet 83. cikk (2) bekezdés e) pont].
4. A Hatóság a Kérelmező ideiglenes lakáscíme helyesbítésével, törlésével kapcsolatos kérelme
tekintetében súlyosító körülményként vette figyelembe, hogy a Kérelmező három alkalommal – ezek
közül egy alkalommal az általános adatvédelmi rendelet alkalmazásának időszakában – is jelezte a
Kérelmezettnek, hogy megszűnt ideiglenes lakáscíme [általános adatvédelmi rendelet 83. cikk (2)
bekezdés k) pont].
A Hatóság a Kérelmező ideiglenes lakáscíme helyesbítésével, törlésével kapcsolatos kérelme
tekintetében enyhítő körülményként vette figyelembe, hogy a Kérelmezett az adatvédelmi hatósági
eljárás megindításáról való tudomásszerzését követően törölte nyilvántartásaiból a Kérelmező
ideiglenes lakáscímét [általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont].
A Hatóság a Kérelmező ideiglenes lakáscíme helyesbítésével, törlésével kapcsolatos kérelme
tekintetében további enyhítő körülményként vette figyelembe, hogy az adatkezelés a Kérelmező
egyetlen személyes adatát érintette. [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont].
A Hatóság a Kérelmező ideiglenes lakáscíme helyesbítésével, törlésével kapcsolatos kérelme
tekintetében a bírságkiszabás megállapítása során nem tartotta relevánsnak az általános
adatvédelmi rendelet 83. cikk (2) bekezdés b), c), d), g), h), i), j) pontja szerinti körülményeket, mivel
azok a konkrét ügy kapcsán nem értelmezhetők.
5. A Hatóság a Kérelmező személyes adatai […] részére történő továbbításával kapcsolatos
kérelme tekintetében enyhítő körülményként vette figyelembe, hogy az adattovábbítás a Kérelmező
és a munkavállalók érdekében történt, egy bizonytalan jogszabályi környezetben, így anyagi hátrány
nemhogy nem érte őket, hanem a Kérelmezett éppen a munkavállalói érdekérvényesítést kívánta
előmozdítani [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) és k) pont].
A Hatóság a Kérelmező személyes adatai […] részére történő továbbításával kapcsolatos kérelme
tekintetében a bírságkiszabás megállapítása során nem tartotta relevánsnak az általános
adatvédelmi rendelet 83. cikk (2) bekezdés b), c), d), f), g), h), i), j) pontja szerinti körülményeket,
mivel azok a konkrét ügy kapcsán nem értelmezhetők.
6. A Kérelmezett 2019. évi árbevétele nagyságrendileg 20.000 millió forint volt, így a kiszabott
adatvédelmi bírság a kiszabható bírság maximumához képest távoli.
IV. Egyéb kérdések:
A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország
egész területére kiterjed.
A Hatóság jelen döntése az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A döntés az
Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1)
bekezdés és (4) bekezdés d) pontja, illetve a 114. § (1) bekezdése alapján a döntéssel szemben
közigazgatási per útján van helye jogorvoslatnak.
***
Az Ákr. 135. §-a szerint a kötelezett a törvényes kamatnak megfelelő mértékű késedelmi pótlékot
köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget.
16
A Ptk. 6:48. § (1) bekezdése alapján pénztartozás esetén a kötelezett a késedelembe esés
időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki
alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni.
A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a
továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével
szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a)
pontjának aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1)
bekezdés b) pontja szerint olyan jogvitában, amelyben a törvényszék kizárólagosan illetékes, a jogi
képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási
cselekmény hatályosulására halasztó hatálya nincs.
A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi CXXX. törvény
604. §-a szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános
szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi
képviselője elektronikus kapcsolattartásra kötelezett.
A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás
tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A
közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban:
Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1)
bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.
Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy
tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kérelmezett
a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság
határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a
értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést
hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet
vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az
állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában
foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy
abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság
foganatosítja.
Budapest, 2020. július 23.
Dr. Péterfalvi Attila
elnök
c. egyetemi tanár