10 milliós NAIH-bírság: mit tanít egy behajtási ügy az adatmegőrzésről és a törlési kérelmekről

A behajtási ügy: mi történt valójában

A NAIH-11023-6/2025 számú határozat egy olyan esetet dolgoz fel, amely elsőre egyszerű adminisztratív mulasztásnak tűnhet, valójában azonban rendszerszintű adatvédelmi hibát tár fel. Egy követeléskezeléssel foglalkozó társaság éveken át próbálta behajtani egy magánszemély tartozását. A történet fordulópontja az volt, hogy egy bíróság jogerősen megállapította: a követelés elévült, vagyis azt jogszerűen többé nem lehet érvényesíteni. Az adós ezt követően a bírósági ítélet másolatával együtt törlési kérelmet nyújtott be a céghez, hivatkozva arra, hogy a rá vonatkozó személyes adatok kezelésének a jogalapja megszűnt.

A cég azonban nem reagált a kérelemre, és a nyilvántartásában az adós adatai továbbra is aktív behajtási státuszban maradtak. A NAIH vizsgálata során derült ki, hogy a bírósági döntés és a törlési kérelem egyaránt megérkezett a társasághoz, csak nem vezetett a kezelt adatok felülvizsgálatához vagy törléséhez. A cég a hatóság előtt úgy próbálta magyarázni a mulasztást, hogy az egy konkrét munkatárs egyszeri, adminisztratív hibája volt, nem pedig a működés általános problémája.

Miért nem fogadta el a NAIH az "adminisztratív hiba" védekezést

A NAIH határozatában világosan leszögezte, hogy egy vállalat vezetése nem háríthatja a felelősséget egyetlen alkalmazottra, ha a probléma valójában abból fakad, hogy nem létezett olyan belső folyamat, amely biztosította volna a bírósági ítéletek nyomon követését és a hozzájuk kapcsolódó ügyek lezárását. A hatóság szerint egy egyedi emberi mulasztás legfeljebb magyarázhatja, hogyan csúszott át egyetlen eset a rendszeren, de nem menti fel a társaságot az alól, hogy ilyen eseteket rendszeresen és automatikusan ki kellene szűrnie.

Más szóval: ha egy vállalatnál nincs olyan eljárás, amely a bírósági döntéseket vagy az elévülési határidőket összeköti az adatkezelési folyamatokkal, akkor a hiba nem a munkatársé, hanem a szervezeté. A NAIH ezt a megközelítést azért hangsúlyozta ki, mert a "egy ember hibázott" típusú védekezés gyakori a hasonló ügyekben, miközben a mögöttes probléma szinte mindig a kontrollrendszer hiánya.

A jogalap tévedése: a 6. cikk (1) bekezdés b) és f) pontja, valamint az érdekmérlegelési teszt

A határozat egyik legfontosabb eleme a jogalap kérdése. A társaság a behajtási tevékenységét a GDPR 6. cikk (1) bekezdés b) pontjára, tehát a szerződés teljesítésére alapozta. A NAIH ezt elutasította, és rámutatott, hogy a behajtási tevékenység jogalapja valójában a 6. cikk (1) bekezdés f) pontja szerinti jogos érdek, mivel az adós és a behajtó cég között nincs olyan élő szerződéses jogviszony, amelynek teljesítése indokolná az adatkezelést, miután a követelés elévült.

A jogos érdeken alapuló adatkezelésnek azonban van egy komoly ára: a GDPR 6. cikkéből és a 4. cikk fogalommeghatározásaiból következően a vállalatnak dokumentált érdekmérlegelési tesztet kell végeznie és megőriznie, amely bemutatja, hogy a saját jogos érdeke miért élvez elsőbbséget az érintett jogaival és szabadságaival szemben. Egy általános adatkezelési tájékoztató önmagában nem elegendő. A NAIH szerint a társaság sem az elévülés utáni adatkezelést, sem magát az érdekmérlegelést nem tudta dokumentumokkal alátámasztani, ami önmagában is súlyosbító körülménynek számított.

Megőrzés versus törlés: számviteli és panaszkezelési adatok a behajtási adatokkal szemben

A határozat gondosan elkülöníti egymástól a különböző célú adatkezeléseket. A behajtás céljából kezelt személyes adatokat, tehát azokat, amelyek kifejezetten az aktív követelésérvényesítést szolgálják, a GDPR 17. cikke szerint törölni kell, amint a jogalap megszűnik, például elévülés vagy érvényes törlési kérelem esetén. Ezzel szemben más adatok jogszerűen tovább megőrizhetők, ha azokra külön jogszabály kötelezi a céget.

A NAIH konkrétan két ilyen esetet emelt ki. A számviteli törvény nyolcéves bizonylat-megőrzési kötelezettséget ír elő, a panasztörvény pedig öt éves megőrzést követel meg a panaszokkal kapcsolatos iratokra. Ezek az adatok tehát nem törölhetők a behajtási cél megszűnésével egyidejűleg, mert önálló, jogszabályi eredetű megőrzési kötelezettség vonatkozik rájuk. A hiba pontosan ott történt, hogy a cég nem választotta szét a kétféle adatkört: a behajtási célú adatokat úgy kezelte, mintha azok is a hosszú távú, jogszabályi megőrzés alá tartoznának, miközben azoknak valójában a jogalap megszűnésekor törlődniük kellett volna.

A tágabb 2026-os tanulság: a vállalat mérete nem mentesít

A NAIH 2026-ban is következetesen alkalmazza a GDPR szankciórendszerét, függetlenül a vállalat méretétől. Téves az az elterjedt feltételezés, hogy a mikro- vagy kisvállalkozások automatikusan mentesülnének a bírságok alól. A bírság összegének meghatározásakor a hatóság több szempontot vizsgál együttesen: a jogsértés súlyát és időtartamát, az érintett adatok érzékenységét, az érintettek számát, a vállalat együttműködési készségét a vizsgálat során, valamint azt, hogy rendelkezett-e már a jogsértés előtt is megfelelő adatvédelmi dokumentációval.

Ez a szemlélet azt üzeni minden vállalkozásnak, mérettől függetlenül, hogy a GDPR-megfelelés nem egyszeri feladat, hanem folyamatos rendszerműködtetés kérdése. Egy jól dokumentált, előre kialakított folyamat a hatósági eljárás során is enyhítő körülményként számíthat, míg annak hiánya, ahogy ebben az ügyben is látható volt, önmagában súlyosbítja a jogsértés megítélését.

Gyakorlati lépések a hasonló hibák elkerülésére

A határozatból levonható tanulságok gyakorlati lépésekké alakíthatók. Először is érdemes élesen elválasztani a behajtási célú személyes adatokat a jogszabály alapján kötelezően megőrzendő adatoktól, lehetőleg már a nyilvántartási vagy iratkezelési rendszer szintjén, hogy a két kategória ne keveredjen. Másodszor célszerű olyan automatikus jelzőmechanizmust kialakítani, amely a bírósági ítéleteket és egyezségeket összeköti az adott ügy lezárásával, hogy egy elévülést megállapító döntés ne maradhasson észrevétlen a rendszerben. Harmadszor pedig minden jogos érdeken alapuló adatkezeléshez, így a behajtáshoz is, dokumentált érdekmérlegelési tesztet kell készíteni és naprakészen tartani, nem csupán egy általános adatkezelési tájékoztatót. Ezek a lépések nem csupán a hatósági bírság kockázatát csökkentik, hanem alapvetően hozzájárulnak ahhoz is, hogy az érintettek jogai, köztük a törléshez való jog, valóban érvényesülhessenek a gyakorlatban.