54840-1/2019 A kérelmező (Bank) állásfoglalás iránti kérelemében (Beadvány) a hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény (Hpt.) 68. -ának értelmezése kapcsán fordult az MNB-hez. I. A TÉNYÁLLÁS A Bank a Beadványában foglaltak szerint három, az alábbiakban leírt jogviszony keretében tervezi kielégíteni ügyfelei igényét. 1. Zsákos befizetésre vonatkozó jogviszony (Bank - Banki ügyfél között) A Bank zsákos pénzbefizetésre vonatkozó szolgáltatást nyújtana jogi személy ügyfelek részére (Banki ügyfél) akként, hogy a szerződésben rögzítésre kerül, hogy a zsákos befizetéssel érintett bankjegyeket/érméket tartalmazó zsákokat a Bank a Bank nevében eljáró megbízott (Partner) révén is átveheti. 2. Pénz- és értékszállítási jogviszony (Partner - Partner ügyfele között) A Partner a zsákos befizetésekre jellemző gyakorlata szerinti pénz- és értékszállításra vonatkozó megbízási szerződést kötne az ügyfelével, mely alapján ügyfél köteles a pénzszállítással érintett készpénzt megfelelően csomagolni, és címletjegyzékkel ellátni, melyet a biztonsági tasak (Zsák) külső zsebébe befelé hajtva elhelyez. A címletjegyzéken fel kell tüntetni többek között annak a bankszámlatulajdonosnak a nevét, akinek a számláján a pénzszállítással érintett készpénzt jóvá kell írni, a bankszámlaszámot és a rendeltetési helyet. Partner köteles ügyfelétől (Partner ügyfele) a feladó állomáson átadott készpénzt tartalmazó zsákot átvenni, a zsákok átvételét értékszállítási nyugta aláírásával elismerni, a lezárt zsákot pedig változatlan állapotban átadni Partner ügyfele rendelése szerinti célállomáson a Bank részére és az erről szóló elismervényt a Partner ügyfele részére átvenni a lezárt Zsákok átadásáról. 3. Megbízási jogviszony zsákos befizetés Bankra háruló egyes feladatainak ellátására (Bank - Partner között) A Bank Partnerével, a Banki ügyfél zsákos befizetésre vonatkozó jogviszony szerinti zsákos készpénzbefizetéséhez igazodóan a Bankra háruló egyes feladatainak lebonyolítására kötne szerződést, amelynek keretében a Partner a Bank nevében (i) átveszi a Banki ügyfél megbízásából eljáró Partnertől (tehát gyakorlatilag saját magától) a zsákos befizetés szerinti címletjegyzéket, valamint a lezárt zsákokat, és (ii) amely átvételről a Bank nevében átvételt igazoló bizonylatot állít ki és ad át a Banki ügyfél részére. A tényállás szerint tehát Partner külön-külön jogviszony alapján mind a Banknak, mind a Banki ügyfélnek nyújtana szolgáltatást akként, hogy a Banki ügyfél által a Partner, mint pénzszállító részére átadott, és a Banknak, mint zsákos befizetésre irányuló szolgáltatást nyújtónak szánt lezárt zsákokat a Banki ügyfél nevében eljáró Partner nem közvetlenül a Banknak, hanem a Bank nevében eljáró Partnernek adja át. A Partner tehát egyszerre két entitás képviseletében is eljárna, mivel az (pénz) átadó oldalon a Partner ügyfele (Partner ügyfele) megbízásából és képviseletében jár el, a (pénz) átvevő oldalon pedig Bank megbízásában és képviseletében jár a Partner. A leírt folyamatban, amikor a Partner a Bank megbízásából és képviseletében eljárva átveszi a zsákos befizetéssel érintett bankjegyeket/érméket tartalmazó zsákokat, a Banki ügyfél adataihoz, mint banki ügyféladatokhoz (pl. ügyfél neve, rendelkezése alatt álló pénzeszközök) jut hozzá, mivel minden olyan ügyfél beazonosítását lehetővé tevő adat, amelyre hivatkozással a lezárt zsákokat átadják ügyféladatnak minősül, melyek kezelése nélkülözhetetlen a Partner számára a Bankkal kötött megbízási szerződés teljesítéséhez. A Bank Beadványban utalt a Hpt. 68. (1) bekezdésének rendelkezésére, valamint a magyar jogrendben közvetlenül alkalmazandó GDPR rendelet 1 (GDPR) 4. cikk 1. pontja előírására, amelyek értelemzése kapcsán a Bank az alábbiakban ismertetett kérdést tette fel az MNB számára. II. A JOGKÉRDÉS A Bank a Beadványban arra vonatkozóan kérte az MNB iránymutatását, hogy a Hpt. 68. (1) bekezdésében említett adatkezelés, adatfeldolgozás és adattárolás fogalmakat a GDPR alapján kell-e értelmezni, illetve az adatvédelmi előírások alatt a személyes adatok védelmét szabályozó mindenkori jogszabályokat, tehát jelenleg a GDPR által létrehozott jogi rezsim alapján kell-e érteni, vagy pedig a Hpt.-ben írt fenti fogalmak a Hpt. szabályozási tárgykörébe tartozó többletjelentéssel is bírnak, mely alapján olyan jogi személy ügyfelek adatainak kezelése, feldolgozása, tárolása 1 AZ EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/679 RENDELETE (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet, GDPR rendelet)
esetén is megvalósul a Hpt. 68. szerinti kiszervezés, amelyek esetében személyes adatról, mint GDPR szerinti fogalomról nem lehet szó, ennek nyomán a hatályos adatvédelmi előírások érintettként nem terjednek ki rájuk. Amennyiben a jogi személy adataira nem lenne kiterjeszthető a Hpt. 68. (1) bekezdésében használt adatkezelés, adatfeldolgozás és adattárolás fogalom és az adatvédelmi előírások betartása, úgy a Bank arra vonatkozóan is kérné az MNB álláspontját, hogy a jogi személy ügyfél képviseletében eljáró természetes személy személyes adatainak kezelésé miatt megvalósul-e kiszervezés? III. A BANK ÁLLÁSPONTJA A Bank a tényállásban rögzített három esetkör kapcsán a következő álláspontot képviseli. A Bank által Partnernek a zsákos befizetés Bankra háruló egyes feladatainak ellátására adott megbízás kiszervezett tevékenységnek is tűnhet, mivel az említett tevékenység (i) pénzügyi szolgáltatási tevékenységhez kapcsolódik és (ii) végzése során a fentiekben bemutatottak szerint adatkezelés és adattárolás valósul meg. Ezzel összefüggésben ugyanakkor a Bank azt hangsúlyozta, hogy a Banki ügyfél jogi személy, és mint ilyen rá adatvédelmi előírások sem a korábbi, sem a GDPR 2018. május 25. napi hatálybalépésével bevezetett jelenlegi adatvédelmi rezsim alapján nem vonatkoztak. További kérdésként merült fel, hogy Banki ügyfél képviseletében eljáró természetes személy értékszállítási nyugtán és címletjegyzéken szereplő adatainak kezelésével megvalósul-e a Hpt. 68. (1) pontjában írt kiszervezés fogalmának második eleme (adatkezelés), hiszen ennek hiányában kiszervezésről nem beszélhetünk. A Bank álláspontja szerint, mivel az adatvédelemi kérdések egyértelműen nem tartoznak a Hpt. szabályozási tárgykörébe, ezért a Hpt. 68. (1) bekezdésében szereplő adatkezelés, adatfeldolgozás és adattárolás fogalmak értelmezése során valamennyi jogalkalmazó kizárólag csak a mindenkor hatályos adatvédelmi tárgyú jogszabályokból indulhat ki, ennélfogva a kiszervezett tevékenység is csak abban az esetben valósul meg, ha az azt végző, Bankkal szerződő partner (a tényállás szerinti esetben a Partner) természetes személyek személyes adatait kezeli. Álláspontja szerint ezen az sem változtat, ha a jogi személy ügyfél (Banki ügyfél) nevében eljáró természetes személy adatait kezeli a Bankkal szerződő szolgáltató, mert ügyfélnek a jogi személy minősül. Bár a Hpt. 68. (1) bekezdésének szövege nem említi, hogy mely személyek adatai (bankkal pénzügyi szolgáltatás nyújtására irányuló jogviszonyban levő ügyfél vagy esetleg az ügyfelen kívül bárki más) vonatkozásában kell az adatkezelésnek megvalósulnia, a Bank álláspontja szerint az a meghatározó, hogy a Hpt. szerinti kiszervezés szempontjából ügyfélnek nem a Banki ügyfél képviseletében eljáró természetes személy, hanem a Banki ügyfél tekintendő, amelynek pedig jogi személyként nincsenek személyes adatai a fent írtak szerint. Ezért a Banki ügyfél képviseletében eljáró természetes személy zsákos befizetés értékszállítási nyugtáján és címletjegyzékén szereplő adatainak kezelése nem alapozhat meg Hpt. szerinti kiszervezést. A Bank álláspontjának alátámasztásaként hivatkozott az MNB az honlapján http://alk.mnb.hu/data/cms2103227/penzl 13.pdf link alatt elérhető állásfoglalásra, mely az 1992-es Avtv. vonatkozásában a Bankéhoz hasonló álláspontot fogalmaz meg, nem tér ki azonban a jogi személy képviseletében eljáró természetes személy személyes adatainak kezelése tekintetében felvetett kérdésünkre. IV. A TÉNYÁLLÁS MEGÍTÉLÉSE SZEMPONTJÁBÓL RELEVÁNS JOGSZABÁLYI RENDELKEZÉSEK A Hpt. 6. (1) bekezdés 87. pont a) alpontja szerint pénzforgalmi szolgáltatás a fizetési számlára történő készpénzbefizetést lehetővé tevő szolgáltatás, valamint a fizetési számla vezetéséhez szükséges összes tevékenység, A Hpt. 6. (4) bekezdés c) pontja szerint nem minősül pénzforgalmi szolgáltatásnak a készpénz üzletszerűen folytatott fizikai szállítása, beleértve a begyűjtést, a feldolgozást és a célba juttatást is. A Hpt. 6. (1) bekezdés 90/b) pontja szerint pénzügyi szolgáltatás közvetítése [ ] b) ügynöki tevékenység: pénzügyi intézménnyel kötött megbízási szerződés alapján pénzügyi szolgáltatás, kiegészítő pénzügyi szolgáltatás nyújtásának, 2
ilyen szolgáltatásra irányuló szerződés megkötésének elősegítésére irányuló tevékenység, amelynek során a pénzügyi intézmény kockázatára önállóan kötelezettséget nem vállalnak, szerződést nem kötnek; A Hpt. 6. 58. pontja szerint kiszervezés: ha a pénzügyi intézmény a pénzügyi vagy kiegészítő pénzügyi szolgáltatási tevékenységéhez kapcsolódó vagy jogszabály által végezni rendelt olyan tevékenységét, amelynek során adatkezelés, adatfeldolgozás vagy adattárolás valósul meg, nem önállóan végzi, hanem annak folyamatos vagy rendszeres elvégzésére tőle szervezetileg független személlyel köt szerződést; A Hpt. 68. (1) bekezdése szerint a hitelintézet pénzügyi és kiegészítő pénzügyi szolgáltatási tevékenységéhez kapcsolódó, illetve jogszabály által végezni rendelt olyan tevékenységét, amelynek során adatkezelés, adatfeldolgozás vagy adattárolás valósul meg, az adatvédelmi előírások betartása mellett kiszervezheti. Az adatkezelés tekintetében a Bank által is említett GDPR szerinti definíció 2 mellett az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.) 3. 10. pontja definiálja a GDPR-ral lényegében azonos módon - az adatkezelés fogalmát a következők szerint: Adatkezelés: az alkalmazott eljárástól függetlenül az adaton végzett bármely művelet vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adat további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNS-minta, íriszkép) rögzítése; V. AZ MNB ÁLLÁSPONTJA A Beadvány szerint a Bank nem természetes személy ügyfelei részére biztosítaná, hogy készpénz bevételeiket ún. zsákos befizetéssel juttassák el oly módon, hogy a készpénzt tartalmazó lezárt zsákokat a Bankkal, illetve az ügyféllel és a Bankkal egyaránt szerződéses jogviszonyban álló megbízott Partner, azaz vélhetően egy erre szakosodott pénzszállító cég szállítaná a Bankhoz, a kérdéses tevékenység tehát a készpénznek a Banki ügyféltől való begyűjtése, fizikai szállítása és célba juttatása. A magát a pénzszállítási tevékenységet illetően elsőként az vizsgálandó, hogy (1.) a szolgáltatás a pénzügyi vagy kiegészítő szolgáltatási tevékenység részének tekintendő-e, azaz ügynöki tevékenység, vagy (2.) a pénzügyi vagy kiegészítő pénzügyi szolgáltatási tevékenységéhez kapcsolódó vagy jogszabály által végezni rendelt olyan tevékenységét, amelynek során adatkezelés valósul meg és amelynek folyamatos vagy rendszeres elvégzésére a Bank egy tőle szervezetileg független személlyel köt szerződést, azaz kiszervezett tevékenység. (1.) A IV. pontban említettek szerint pénzforgalmi szolgáltatás a fizetési számlára történő készpénzbefizetést lehetővé tevő szolgáltatás, valamint a fizetési számla vezetéséhez szükséges összes tevékenység. E definíció az MNB értelmezésében azt jelenti, hogy a számlavezető pénzforgalmi szolgáltató valamilyen módon - így különösen bankfiókban, készpénz befizetésre alkalmas ATM útján - biztosítja, hogy ügyfelei készpénzt fizethessenek be a fizetési számlájukra. A készpénznek egy erre megbízott Partner közreműködésével a Banki ügyféltől a számlavezetőhöz történő eljuttatása ugyanakkor az MNB álláspontja szerint nem része a pénzforgalmi szolgáltatásnak, tekintettel arra, hogy a Hpt. 6. (4) bekezdés c) pontja értelmében nem minősül pénzforgalmi szolgáltatásnak a készpénz üzletszerűen folytatott fizikai szállítása, beleértve a begyűjtést, a feldolgozást és a célba juttatást is. Mivel az említettek szerint készpénz üzletszerű begyűjtése és a Bankhoz való beszállítása - függetlenül attól, hogy erre a Bank ad megbízást a Partnernek - nem tekinthető a pénzügyi szolgáltatás részének, így a jogviszony a Ptk. megbízásra, illetve a Hpt. kiszervezésre vonatkozó szabályai szerint kezelendő. (2.) A Hpt. szerint kiszervezésnek minősül, ha a Bank a pénzügyi intézmény a pénzügyi vagy kiegészítő pénzügyi szolgáltatási tevékenységéhez kapcsolódó vagy jogszabály által végezni rendelt olyan tevékenységét, amelynek során 2 I. fejezet, Fogalommeghatározások, 4.cikk 2. adatkezelés : a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés; 3
adatkezelés, adatfeldolgozás vagy adattárolás valósul meg, nem önállóan végzi, hanem annak folyamatos vagy rendszeres elvégzésére tőle szervezetileg független személlyel köt szerződést. A kiszervezés definíciójából 3 kiindulva a kiszervezés lényegi és egyben konjunktív fogalmi elemei a következők: A pénzügyi intézmény a Hpt.-ben meghatározott pénzügyi vagy kiegészítő pénzügyi tevékenységéhez kapcsolódó vagy valamely jogszabály által végezni rendelt tevékenységét szervezheti ki. A tevékenységvégzés során adatkezelés, adatfeldolgozás vagy adattárolás valósul meg, amely tevékenységek vonatkozásában Hpt.-ben rögzített definíció hiányában a hatályos adatvédelmi rendelkezések, így az Infotv. egyes fogalmi elemei tekinthetők irányadónak. A kiszervezés megvalósulásához továbbá szükséges az is, hogy a megbízásnak a tevékenység folyamatos vagy rendszeres végzésére kell szólnia. A fenti fogalmi elemeket illetően az vizsgálandó, hogy az un. zsákos befizetéshez kapcsolódó pénzszállítás olyan, a pénzügyi szolgáltatáshoz tipikusan kapcsolódó tevékenyégnek tekinthető-e, amelynek során a Partner banktitoknak minősülő ügyféladatokhoz juthat a tevékenyégvégzés során. A Beadvány 1.-3. pontjaiban körülírt, a pénzszállítási szolgáltatási nyújtásához kapcsolódó háromszereplős jogviszonyt illetően az MNB azt a véleményt képviseli, hogy a tevékenység abban az esetben éri el a kiszervezés szintjét, ha Bank nevében eljáró Partner úgy veszi át a zsákos befizetéssel érintett Zsákot a Banki ügyféltől, hogy ezáltal banktitoknak minősülő adatok birtokába jut, nevezetesen, ha ismertté vagy hozzáférhetővé válik számára a Banki ügyfél neve, a rendelkezése alatt álló pénzeszköz, illetve az ügyfél egyéb banktitoknak minősülő adata. Ez esetben a pénzszállítást végző Partner egyúttal pénzügyi szolgáltatás hoz kapcsolódó adatkezelést, adattárolást valósít meg, ezért e szolgáltatás csak kiszervezett tevékenyég formájában végezhető a Bank részére. (A megjegyzendő azonban, hogy a viszonyrendszer azon eleme, ahol a Partner köt pénz- és értékszállítási szerződést ügyfelével arra vonatkozóan, az ügyfél által összecsomagolt és címjegyzékkel ellátott Zsákot a címzett hitelintézethez szállítsa, önmagában kívül esik a Hpt., így a kiszervezésre vonatkozó szabályozás körén.) A fentiekből következően ugyanakkor, ha a pénzszállítási tevékenység során a Partner mégsem jutna banktitoknak minősülő adatok birtokába, azaz feladata csupán annyi, hogy a lezárt Zsákot átveszi és azt a rendeltetési helyére szállítja, úgy nem beszélhetünk a Hpt. szerinti kiszervezésről. Összefoglalva, az MNB álláspontja szerint a Beadványban vázolt tényállásban szereplő viszonyrendszert a Banknak a Hpt. vonatkozó előírásainak megfelelően kiszervezett tevékenységként kell kezelni és ennek megfelelően bejelenteni az MNB felé. A kiszervezés tekintetében azonban az MNB nem ért egyet a Bank azon érvelésével, miszerint kiszervezés azért nem valósulhat meg, mert a Bank által hivatkozott adatvédelmi rezsim csak a személyes adatok védelmére vonatkozik és kiszervezés csak akkor jöhet szóba, ha a Bankkal szerződő Partner természetes személyek adatait kezeli. E körben az MNB arra hívja fel a Bank figyelmét, hogy az MNB kiszervezett tevékenyégnek tekint minden olyan ténylegesen adatkezeléssel, adatfeldolgozással vagy adattárolással járó tevékenyéget, amely Banki ügyféladatot, azaz banktitoknak minősülő adatot érint, függetlenül attól, hogy a védett adatok természetes vagy jogi személyek banktitoknak minősülő adatai. A kiszervezés megítélése során az MNB - a Hpt.-ben való definiálás hiányában - az adatvédelmi előírásokat, illetve egyes definíciókat csak az adatkezelés mibenléte és technológiája tekintetében hívja segítségül, függetlenül attól, hogy az Infotv. hatálya csak a természetes személyek adataiknak védelmére terjed ki. Mindezek alapján a Bank konkrét kérdésére az MNB válasza az, hogy a Hpt. 68. (1) bekezdése szerinti kiszervezésnek kell tekinteni minden olyan pénzügyi szolgáltatáshoz kapcsolódó vagy jogszabály által végezni rendelt tevékenységet, amely a Banki ügyfelek adatainak kezelésével, feldolgozásával vagy azok tárolásával jár, függetlenül attól, hogy természetes személy vagy jogi személy ügyfelek adatairól beszélünk, amennyiben a Bank Partnere e tevékenységet folyamatosan vagy rendszeresen végzi a Bank ügyfeleinek részére. Végezetül az MNB felhívja a Bank figyelmét, hogy az ún. zsákos befizetések bonyolítása kapcsán fokozott figyelemmel és körültekintéssel, a pénzmosás megelőzésére vonatkozó szabályok teljes körű figyelembevételével járjon el. *** 3 Hpt. 6. (1) bekezdés 58. pontja 4
Az MNB véleménye nem tekinthető kötelező erejű állásfoglalásnak, a benne foglaltaknak más hatóságra, illetve a bíróságra nézve nincs kötelező tartalma. A jelen állásfoglalás kizárólag a Bank tájékoztatása céljából készült, a benne foglaltak egyéb célok érdekében, továbbá harmadik személyekkel szemben nem használhatóak fel, illetve jogvita eldöntésére nem alkalmazhatóak. Budapest, 2019. február 15. 5