Egy adós kérelmet nyújtott be a NAIH-hoz, melyben adatvédelmi hatósági eljárás lefolytatását kezdeményezte, és kérte a Kötelezett adatkezelésének kivizsgálását, a jogellenes adatkezelés tényének a megállapítását, továbbá kérte a Hatóságtól, hogy utasítsa a Kötelezettet a kért személyes adat törlésére, tiltsa el a Kötelezettet a jövőbeni jogsértő magatartástól, továbbá kérte a Kötelezettel szemben a bírságot is magában foglaló szankció megállapítását.

A behjató cég vagy bank (a határozatból nem derül ki a válaszlevélben tájékoztatta a kérelmező adóst, hogy „Mindaddig amíg a tartozás nem kerül rendezésre Társaságunk jogosult az Adós egyéb elérhetőségein is – akár személyesen, akár telefonon vagy írásban – felvenni a kapcsolatot az Adóssal Társaságunk jogos érdekeinek érvényesítése, azaz a tartozás behajtása vagy a gépkocsi birtokbavétele érdekében.” 

A Kötelezett nyilatkozata szerint a Kérelmező (adós) elektronikus elérhetőségét nem, csak a telefonszám adatait kezeli, a kezelésének jogalapja a hozzájárulás. A vezetékes telefonszámot és a mobiltelefonszámot pedig a Kérelmező a 2008. 09. 11. napján aláírt „Kölcsönkérelmi adatlap”-on adta meg. A beható cég nyilatkozata szerint az adatkezelés jogalapja a cég jogos érdeke, továbbá „A nyilvántartásba vétel célja egyrészt a kölcsön elbírálásakor az adatok valódiságának ellenőrzése, továbbá a szerződés során a kapcsolattartás, másrészt a későbbiek során a szerződés nem – vagy nem szerződésszerű teljesítés esetére az ügyfél tájékoztatása a tartozás összegéről és a mulasztás jogkövetkezményéről.” 

A Hatóság döntése

1. Kérelmező adattörlési kérelme: a Kötelezettnek nincs törvényi felhatalmazása a Kérelmező telefonszám adatainak kezelésére. A Kérelmező telefonszám adatai kezelésének jogalapja a Kötelezett számára a Kérelmező 2008. szeptember 11-én adott hozzájárulása volt, ezt a Kötelezett is elismerte. Az információs önrendelkezési jog természetéből adódóan az érintettnek joga van ahhoz, hogy a hozzájárulásával kezelt adatok törlését kérje. A Kérelmező 2019. január 28-án kelt levelében az kérte, hogy a Kötelezett minden egyéb, esetlegesen nyilvántartott telefonszámát törölje, tehát a telefonszámai kezeléséhez adott hozzájárulását visszavonta.

2. A Kérelmező telefonszám adatai kezelésének jogalapja a hozzájárulás visszavonását követően:  a hozzájáruláson alapuló adatkezelés esetében figyelemmel kell lenni az általános adatvédelmi rendelet 5. cikk 11. pontjára, mely szerint a hozzájárulás egyik fogalmi eleme az önkéntesség, a saját elhatározáson alapuló döntés. Ez az információs önrendelkezési jog azt jelenti, hogy - jogszabályban elrendelt adatkezelések kivételével - személyes adataival mindenki maga rendelkezik, mindenki maga határoz arról, hogy személyes adatait másnak megadja-e, vagy sem, így nem csak a hozzájárulás megadásáról, hanem annak indokolási kötelezettség nélküli visszavonásáról is dönthet. Az általános adatvédelmi rendelet 17. cikk (1) bekezdésének b) pontja alapján a személyes adatokat a hozzájárulás visszavonását követően törölni kell, ha az adatkezelésnek nincs más jogalapja. 

3. A Hatóság álláspontja szerint a Kérelmező telefonszámainak kezelése a követelés behajtásához és a Kérelmezővel történő kapcsolattartáshoz nem elengedhetetlenül szükséges, hiszen a Kötelezett a Kérelmezővel történő kapcsolattartáshoz egyéb elérhetőségi adatait is kezeli. A Kérelmező lakcímadatának kezelése a telefonszámának törlését követően is biztosítja a kapcsolattartás lehetőségét. A Kérelmező a Kötelezetthez intézett adattörlési kérelmében kifejezetten azt kérte, hogy őt a postai címén kívül más fórumon ne keressék. Ha telefonszám a telefonos kapcsolattartásra a továbbiakban nem használható, akkor a kezelése cél nélkülivé válik.

A Hatóság a bírság kiszabása során az alábbi tényezőket vette figyelembe:

-  A jogalap nélküli adatkezelés a Kötelezett magánszféráját jelentősen érinti, és az ezzel okozott jogsérelmet a Kötelezett szándékos magatartása, adatkezelési gyakorlata idézte elő.

-  A jogsértés súlyos, mert érintetti jog (törléshez való jog) gyakorlását érinti, továbbá a Kötelezett az adatkezelésével az általános adatvédelmi rendelet több cikkét is megsértette, köztük alapelvi jogsértést is megvalósított.

-  A bírságkiszabással a Hatóság speciális prevenciós célja az, hogy ösztönözze a Kötelezettet arra, hogy vizsgálja felül a telefonszám adat kezelésével kapcsolatos adatkezelési gyakorlatát.

-  A Hatóság a kiszabott bírságösszeg meghatározásakor a sepciális perevenciós cél mellett figyelemmel volt a bírsággal elérni kívánt generálpreventív célra is, mellyel - a Kötelezett újabb jogsértéstől való visszatartása mellett - valamennyi piaci szereplő adatkezelési gyakorlatának a jogszerűség irányába való mozdulását kívánja elérni. Ugyanis a jogos érdek fennállta, mint jogalap nem egy kötetlenül, bármely az adatkezelő érdekében álló esetre, esetkörre alkalmazható szabály, hanem a jogos érdekre történő hivatkozás precíz alátámasztása is szükséges.