Lex Digitales Digital economy regulation trends monitor

← back to the document

What changed

Jogalap nélküli hozzáférés az EESZT rendszeréhez és hozzáférési kérelem nemteljesítése · редакция 1 → 2 · зафиксировано 2026-09-17 02:22 · +5 −5 lines

Ügyszám: NAIH-273-7/2026. Előzmény: (NAIH-11669/2025.) (NAIH-13152/2024.) Tárgy: kérelemnek részben helyt adó határozat
## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt [...]
## (a továbbiakban: Kérelmező) a[...]-vel (cégjegyzékszám: […]; képviseletében eljár: [...] ügyvezető; a továbbiakban: Kérelmezett) szemben benyújtott, 2024. november 6. napján teljessé
## (a továbbiakban: Kérelmező) a [...]-vel (cégjegyzékszám: […]; képviseletében eljár: [...] ügyvezető; a továbbiakban: Kérelmezett) szemben benyújtott, 2024. november 6. napján teljessé
vált kérelme nyomán indult adatvédelmi hatósági eljárásban a Hatóság az alábbi döntéseket hozza:
I. A Hatóság a Kérelmező arra irányult kérelmének, hogy a Hatóság figyelmeztesse és marasztalja el a Kérelmezettet azért, mert az adatkezelése sérti a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) rendelkezéseit, részbenhelyt ad és elmarasztalja a Kérelmezettet, mert megsértette a GDPR5. cikk (2) bekezdését, a 6. cikk (1) bekezdését és a GDPR9. cikk (2)bekezdését és a GDPR 12. cikk (2) bekezdését. II. A Hatóság a Kérelmező arra irányult kérelmének, hogy a Hatóság állapítsa meg, hogy a Kérelmezett nem teljesítette a hozzáférési kérelmét és kötelezze a hozzáférési kérelem teljesítésére, helyt ad és elmarasztalja a Kérelmezettet, mert megsértette a GDPR15. cikk (1) bekezdését.
I. A Hatóság a Kérelmező arra irányult kérelmének, hogy a Hatóság figyelmeztesse és marasztalja el a Kérelmezettet azért, mert az adatkezelése sérti a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) rendelkezéseit, részben helyt ad és elmarasztalja a Kérelmezettet, mert megsértette a GDPR 5. cikk (2) bekezdését, a 6. cikk (1) bekezdését és a GDPR 9. cikk (2) bekezdését és a GDPR 12. cikk (2) bekezdését. II. A Hatóság a Kérelmező arra irányult kérelmének, hogy a Hatóság állapítsa meg, hogy a Kérelmezett nem teljesítette a hozzáférési kérelmét és kötelezze a hozzáférési kérelem teljesítésére, helyt ad és elmarasztalja a Kérelmezettet, mert megsértette a GDPR 15. cikk (1) bekezdését.
III.
23. 2023.05. [...] 24. 2023.05. [...] 25. 2023.05. [...] 26. 2023.06. [...] 27. 2023.06. [...] 28. 2023.07. [...] 29. 2023.07. [...] 30. 2023.07. [...] 31. 2023.08. [...] 32. 2023.12. [...] 33. 2024.01. [...] 34. 2024.01. [...] 35. 2024.01. [...] 36. 2024.03. [...] 37. 2024.04. [...] 38. 2024.04. [...] 39. 2024.05. [...] 40. 2024.05. [...] 41. 2024.06. [...] 42. 2024.06. [...] 43. 2024.06. [...] 44. 2024.07. [...] 45. 2024.07. [...] 46. 2024.08. [...] 47. 2024.08. [...] (2) A Kérelmező 2024. szeptember 5. napján kelt levelében hozzáférési kérelemmel fordult a Kérelmezetthez, melyben az alábbi kérdéseket, illetve kéréseket terjesztette elő: „1. A 2023.01. [...] és 2024.09. [...] szerinti időszakban folyamatban volt-e az Ön részéről személyes adataim kezelése? 2. Jelenleg van-e folyamatban olyan adatkezelés, amely a személyes adataimat érinti? 3. Az 1. és 2. pontok szerinti időszakban ki volt a személyes adataim kezelője, adatkezelő minőségben? 4. Az 1. és 2. pontok szerinti időszakban adatkezelő mely személyes adataimat kezelte? Kérem, jelölje meg a személyes adatok kategóriáit. 5. Az 1. és 2. pontok szerinti időszakban mi volt a személyes adataim kezelésének célja? 6. Az 1. és 2. pontok szerinti időszakban mi volt a személyes adataim kezelésének jogalapja? 7. Az 1. és 2. pontok szerinti időszakban kivel közölte a személyes adataimat, ki volt a címzettje az adatoknak? 8. Mennyi volt az 1. és 2. pontok szerinti időszakban az adataim tárolásának időtartama és hol tárolták azokat? 9. Kérem, nevezze meg az adatvédelmi tisztviselőjét és adja meg elérhetőségét! 10. Jelölje meg, honnan lehet elektronikusan letölteni az adatkezelő adatvédelmi tájékoztatóját, amely az Érintetteket tájékoztatja. Amennyiben nem tölthető le, kérem, küldje meg emailben a következő email címre: [...]”. A Magyar Posta kézbesítési igazolása szerint a levelet 2024. szeptember 9. napján a Kérelmezett átvette, azonban válaszlevelet nem küldött. A Kérelmező kifogásolta továbbá, hogy több alkalommal közbeszéd tárgyát képezték olyan, az ő egészségi állapotára vonatkozó információk, amelyekről a Kérelmezőn és a Kérelmező kezelőorvosán túl – a Kérelmező állítása szerint - kizárólag a Kérelmezettnek volt tudomása. Következésképpen kérte a Hatóságtól, hogy: állapítsa meg, hogy a Kérelmezett nem teljesítette a Kérelmező hozzáférési kérelmét és ezzel megsértette az általános adatvédelmi rendelet 15. cikk (1) bekezdés szerinti tájékoztatáshoz való jogát (1. kérelem); kötelezze a Kérelmezettet arra, hogy a Kérelmező részére adjon az általános adatvédelmi rendelet 15. cikk (1) bekezdés szerinti tájékoztatást a Kérelmezett által kezelt személyes adatairól (2. kérelem); figyelmeztesse és marasztalja el a Kérelmezettet azért, mert az adatkezelése sérti az általános adatvédelmi rendelet rendelkezéseit, különösen a célhoz kötöttség, a jogszerűség, tisztességes eljárás, és átláthatóság elvét (3. kérelem); utasítsa a Kérelmezettet, hogy a Kérelmezővel kapcsolatos adatkezelési műveleteit hozza összhangba az általános adatvédelmi rendelet rendelkezéseivel (4. kérelem); tiltsa meg a Kérelmezővel kapcsolatos adatkezelést (5. kérelem); szabjon ki a Kérelmezettel szemben közigazgatási bírságot, figyelemmel arra, hogy a jogellenes adatkezelés egészségügyi adatokkal összefüggésben, jogellenes célból, hosszú ideig és rendszeresen, az általános adatvédelmi rendelet többszörös megsértésével történt (6. kérelem). A Kérelmező a NAIH-13152-3/2025. számú hiánypótlásra felhívó végzésre válaszul megküldte [...] háziorvos [...] igazolását arról, hogy a Kérelmező 2023. január [...] napjától az ő praxisába tartozik. Emellett megküldte két személy 2024. november 4. napján kelt nyilatkozatát, melyekben előadják a következőt: „nyilatkozom, hogy 2023-2024 évben [...] településen hallottam olyan lakossági megnyilvánulásokat, melyek [...] egészségügyi állapotával voltak kapcsolatosak.” A Hatóság az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 62. § (1) bekezdése, a 63. §-a és a 65. § (1)-(2) bekezdése alapján a tényállás tisztázása érdekében a NAIH-13152-6/2024. számú végzésben nyilatkozattételre és iratok becsatolására hívta fel a Kérelmezettet. A Kérelmezett a 2024. december 19. napján kelt válaszlevelében a következőket adta elő. [...] a betegellátást végzi, két asszisztens kollégája pedig adatrögzítési teendőket lát el. Ez a gyakorlatban úgy történik, hogy a rendelési idő kezdetén [...] 2 darab számítógépen belép az EESZT rendszerbe, ahova azt követően az asszisztensek a szükséges adatokat rögzítik. Az EESZT eléréséhez a MedMax elnevezésű orvosi szoftvert használják. A program sajátossága, hogy amikor a rendelést elkezdik, egy úgynevezett „rendelés nézet” elnevezésű felületet kell megnyitni. A „rendelés nézet” a pácienslistával indul, amely listán piros szín jelzi azon betegeket, akik már nincsenek a praxisban. Ilyenkor a kurzor valamelyik beteg nevén van, ezt nem irányítják. A szoftver belép az EESZT felületre. Valóban átvett 2024. szeptember 9. napján a Kérelmezőtől egy megkeresést, melyben a Kérelmező arról kért tájékoztatást, hogy a praxisból való kikerülését követően hogyan kezelte az adatait. A Kérelmezett ennek a megkeresésnek nem tulajdonított jelentőséget, mert amióta a Kérelmező háziorvost váltott, a Kérelmezett – az állítása szerint - nem kezelte az adatait. Következésképpen a hozzáférési kérelemre nem válaszolt. [...] nyilatkozata szerint a betegei adatait mindig az orvosi teendők ellátása érdekében kezelte és kezeli, a praxisába nem tartozó személyek adatait nem nézte meg, a tudomása szerint erre informatikai lehetőség sincs, mivel egy adott személy elektronikus egészségterét csak a kezelő szakorvosa és a saját háziorvosa láthatja - és ezektől eltérő utasítást az adatrögzítő asszisztenseinek sem adott soha. Amennyiben a Kérelmező EESZT felületére valóban az ő kódjával történt belépés, az az álláspontja szerint kizárólag informatikai/szoftverhasználati hiba miatt történhetett. Előadta, hogy mivel nem kérdezett le adatokat, így azokat nem is továbbította. A Hatóság a NAIH-11669-1/2025. számú végzésében felhívta a Kérelmezőt, hogy az adatkezelési napló bejegyzéseinek részleteiről készített képernyőmentések megküldésével ismertesse, hogy az egészségügyi adatait milyen jogalapon kérdezte le és ismerte meg a Kérelmezett az EESZT rendszerében a tárgyi időpontokban. A Kérelmező a 2025. július 21. napján küldött válaszlevelében foglaltakkal teljesítette a Hatóság felhívásában foglaltakat és megküldte a kért képernyőmentések másolatát. A Hatóság a NAIH-11669-3/2025. számú végzésében felhívta a Kérelmezettet arra, hogy támassza alá azon állítását – naplófájlok megküldésével – , hogy valamennyi tárgyi lekérdezést informatikai/szoftverhasználati hiba okozott; nyilatkozzon arról, hogy a hivatkozott hiba érintett-e más személyeket - amennyiben igen, nyilatkozzon azok részleteiről, valamint hogy küldje meg az asszisztensei által tett azon nyilatkozatokat, hogy nem tekintettek be a Kérelmező EESZT felületébe a megjelölt időpontokban sem az utasítására, sem saját döntés nyomán. A Kérelmezett 2025. augusztus 25. napján küldött válaszlevelet. Előadta, hogy [...] Város Önkormányzatával háziorvosi feladatok ellátásra kötött szerződését 2025. február 28. napján felmondta, melynek nyomán az asszisztensek munkaviszonya is megszüntetésre került, valamint a MedMax orvosi szoftver használatára vonatkozó szerződést is felmondta. Adminisztrációs terhekre hivatkozással nem küldte meg a Hatóság által kért naplófájlokat. Megismételte azon állítását, hogy soha nem adott utasítást az asszisztensei számára a Kérelmező EESZT portáljába való betekintésre, és ennek alátámasztására mellékelte az asszisztensek – [...] és [...] - 2025. augusztus 19. napján kelt, megegyező tartalmú nyilatkozatait:
„Előadom, hogy az EESZT hozzáférések tekintetében [...] Kérelmező személy adataihoz kapcsolódóan a megjelölt időpontokban, sem más időpontokban nem kaptam semmilyen utasítást [...] betegellátást végző orvostól arra vonatkozóan, hogy a Kérelmező adatait megtekintsem. Kijelentem, hogy csak és kizárólag olyan betegek törzsadatlapjába végeztem orvosi utasításra betekintést, aki a rendelésen megjelent, vagy egyéb okok miatt utókövetés volt szükséges. Jelen nyilatkozatban foglaltak valóságtartalmáért teljes felelősséggel tartozom.” Kifejtette, hogy a korábbi levelében hivatkozotthiba fennálltát nem tudja alátámasztani, azt mindössze feltételezi. Nincsen tudomása arról, hogy a feltételezett informatikai hiba a Kérelmező adatain túl más személy adatait is érintette volna. A Hatóság a NAIH-273-1/2026. számú végzésében megkereste a PROFIX Computer Számítástechnikai Kft.-t, mint a Kérelmezett által használt MedMax orvosi program szolgáltatóját annak érdekében, hogy adjon tájékoztatást arról, hogy a Kérelmezett esetében a MedMax program használata során informatikai hiba fennállását észlelték-e a tárgyi időpontokban, illetve amennyiben igen, nyújtson tájékoztatást a hiba részleteiről. A PROFIX Computer Számítástechnikai Kft. a 2025. február 5. kelt válaszlevelében előadta, hogy sem a felsorolt, sem más napokon nem észleltek informatikai hibát a Kérelmezett esetében a MedMax program használata során. Előadták, hogy az EESZT-vel a kommunikáció a MedMax programban csak felhasználói kezdeményezésre történhet. Az EESZT-be történő bejelentkezéshez szükséges a felhasználó személyi igazolványa vagy mobiltelefonja, nélkülük a program nem tud az EESZT-hez kapcsolódni. A bejelentkezést követően a felhasználó választja ki, hogy a beteg mely EESZT-ben tárolt adatát kérdezi le. A programba történő belépést követően az EESZT autentikációhoz az adatok bekérése csak abban az esetben történik meg, ha a felhasználó olyan műveletet kezdeményez, amelyhez szükséges EESZT kapcsolatot létrehozni. Az adatbázisban lévő egyéb tevékenységeket logolják, a pontos EESZT kommunikációt azonban nem tárolják, ehhez az adatbázishoz nem férnek hozzá tekintettel arra, hogy a MedMax program nem felhő alapú, hanem helyi számítógépekre telepített adatbázis. Ennek következtében nincsen lehetőségük arra, hogy lekérdezzék, ki volt a kérdéses időpontokban bejelentkezve a felhasználó számítógépébe és milyen tevékenységeket végzett. A Hatóság a NAIH-273-2/2026. számú végzésben megkereste a Belügyminisztériumot, mint az EESZT-t működtető hatóságot annak tisztázása céljából, hogy a Kérelmezett esetében az EESZT használata során informatikai hiba fennállását észlelték-e a tárgyi időpontokban, illetve amennyiben igen, tájékoztassa a Hatóságot a hiba részleteiről. A Belügyminisztérium a 2026. február 9. napján érkezett válaszlevelében tájékoztatta a Hatóságot, hogy a megkeresésben megjelölt napokon nem történt az EESZT rendszerét érintő olyan adatvédelmi incidens, informatikai hiba, amely a tárgyi megkeresésben jelzett, rendellenes (tényleges ellátó oldali felhasználói beavatkozás nélküli és/vagy az érintett digitális önrendelkezési nyilatkozatában foglalt korlátozó rendelkezést felülíró) lekérdezési műveletek végrehajtását eredményezte volna. A kifogásolt lekérdezési műveletek nem az EESZT nem üzemszerű működése, EESZT informatikai rendszerének meghibásodása, technológiai biztonsági rés vagy üzemeltetési emberi erőforrás probléma miatt állt elő. A Hatóság az Ákr. 76. §-a alapján a Kérelmezőt a NAIH-273-5/2026. számú végzésben, illetve a Kérelmezettet a NAIH-273-6/2026. számú végzésben tájékoztatta arról, hogy a tényállás tisztázása befejeződött és a feltárt bizonyítékokat az iratbetekintés szabályainak figyelembevételével megismerhetik és további bizonyítási indítványokat tehetnek. A Hatóság végzését a Kérelmező és a Kérelmezett is átvette 2026. február 26. napján, azonban határidőn belül és azon túl sem élt egyikük sem iratbetekintési, valamint nyilatkozattételi jogával.
„Előadom, hogy az EESZT hozzáférések tekintetében [...] Kérelmező személy adataihoz kapcsolódóan a megjelölt időpontokban, sem más időpontokban nem kaptam semmilyen utasítást [...] betegellátást végző orvostól arra vonatkozóan, hogy a Kérelmező adatait megtekintsem. Kijelentem, hogy csak és kizárólag olyan betegek törzsadatlapjába végeztem orvosi utasításra betekintést, aki a rendelésen megjelent, vagy egyéb okok miatt utókövetés volt szükséges. Jelen nyilatkozatban foglaltak valóságtartalmáért teljes felelősséggel tartozom.” Kifejtette, hogy a korábbi levelében hivatkozott hiba fennálltát nem tudja alátámasztani, azt mindössze feltételezi. Nincsen tudomása arról, hogy a feltételezett informatikai hiba a Kérelmező adatain túl más személy adatait is érintette volna. A Hatóság a NAIH-273-1/2026. számú végzésében megkereste a PROFIX Computer Számítástechnikai Kft.-t, mint a Kérelmezett által használt MedMax orvosi program szolgáltatóját annak érdekében, hogy adjon tájékoztatást arról, hogy a Kérelmezett esetében a MedMax program használata során informatikai hiba fennállását észlelték-e a tárgyi időpontokban, illetve amennyiben igen, nyújtson tájékoztatást a hiba részleteiről. A PROFIX Computer Számítástechnikai Kft. a 2025. február 5. kelt válaszlevelében előadta, hogy sem a felsorolt, sem más napokon nem észleltek informatikai hibát a Kérelmezett esetében a MedMax program használata során. Előadták, hogy az EESZT-vel a kommunikáció a MedMax programban csak felhasználói kezdeményezésre történhet. Az EESZT-be történő bejelentkezéshez szükséges a felhasználó személyi igazolványa vagy mobiltelefonja, nélkülük a program nem tud az EESZT-hez kapcsolódni. A bejelentkezést követően a felhasználó választja ki, hogy a beteg mely EESZT-ben tárolt adatát kérdezi le. A programba történő belépést követően az EESZT autentikációhoz az adatok bekérése csak abban az esetben történik meg, ha a felhasználó olyan műveletet kezdeményez, amelyhez szükséges EESZT kapcsolatot létrehozni. Az adatbázisban lévő egyéb tevékenységeket logolják, a pontos EESZT kommunikációt azonban nem tárolják, ehhez az adatbázishoz nem férnek hozzá tekintettel arra, hogy a MedMax program nem felhő alapú, hanem helyi számítógépekre telepített adatbázis. Ennek következtében nincsen lehetőségük arra, hogy lekérdezzék, ki volt a kérdéses időpontokban bejelentkezve a felhasználó számítógépébe és milyen tevékenységeket végzett. A Hatóság a NAIH-273-2/2026. számú végzésben megkereste a Belügyminisztériumot, mint az EESZT-t működtető hatóságot annak tisztázása céljából, hogy a Kérelmezett esetében az EESZT használata során informatikai hiba fennállását észlelték-e a tárgyi időpontokban, illetve amennyiben igen, tájékoztassa a Hatóságot a hiba részleteiről. A Belügyminisztérium a 2026. február 9. napján érkezett válaszlevelében tájékoztatta a Hatóságot, hogy a megkeresésben megjelölt napokon nem történt az EESZT rendszerét érintő olyan adatvédelmi incidens, informatikai hiba, amely a tárgyi megkeresésben jelzett, rendellenes (tényleges ellátó oldali felhasználói beavatkozás nélküli és/vagy az érintett digitális önrendelkezési nyilatkozatában foglalt korlátozó rendelkezést felülíró) lekérdezési műveletek végrehajtását eredményezte volna. A kifogásolt lekérdezési műveletek nem az EESZT nem üzemszerű működése, EESZT informatikai rendszerének meghibásodása, technológiai biztonsági rés vagy üzemeltetési emberi erőforrás probléma miatt állt elő. A Hatóság az Ákr. 76. §-a alapján a Kérelmezőt a NAIH-273-5/2026. számú végzésben, illetve a Kérelmezettet a NAIH-273-6/2026. számú végzésben tájékoztatta arról, hogy a tényállás tisztázása befejeződött és a feltárt bizonyítékokat az iratbetekintés szabályainak figyelembevételével megismerhetik és további bizonyítási indítványokat tehetnek. A Hatóság végzését a Kérelmező és a Kérelmezett is átvette 2026. február 26. napján, azonban határidőn belül és azon túl sem élt egyikük sem iratbetekintési, valamint nyilatkozattételi jogával.
## II. Tényállás
Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. Az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. A 13. és 14. cikk alapján rendelkezésre bocsátott információkat és a 15-22. és 34. cikk alapján végzett minden tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy - különösen ismétlődő jellege miatt - túlzó, az adatkezelő: a) a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségek figyelembevételével észszerű összegű díjat számíthat fel, vagy b) megtagadhatja a kérelem alapján történő intézkedést. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli.
Az általános adatvédelmi rendelet (63) preambulumbekezdése alapján az érintett jogosult, hogy hozzáférjen a rá vonatkozóan gyűjtött adatokhoz, valamint arra, hogy egyszerűen és észszerű időközönként, az adatkezelés jogszerűségének megállapítása és ellenőrzése érdekében gyakorolja e jogát. Ez magában foglalja az érintett jogát arra, hogy az egészségi állapotára vonatkozó személyes adatokhoz - mint például a diagnózis, a vizsgálati leletek, a kezelőorvosok véleményei, valamint a kezeléseket és a beavatkozásokat tartalmazó egészségügyi dokumentációk - hozzáférjen. Ezért minden érintett számára biztosítani kell a jogot arra, hogy megismerje különösen a személyes adatok kezelésének céljait, továbbá ha lehetséges, azt, hogy a személyes adatok kezelése milyen időtartamra vonatkozik, a személyes adatok címzettjeit, azt, hogy a személyes adatok automatizált kezelése milyen logika alapján történt, valamint azt, hogy az adatkezelés - legalább abban az esetben, amikor az profilalkotásra épül - milyen következményekkel járhat, továbbá hogy minderről tájékoztatást kapjon. Ha lehetséges, az adatkezelő távoli hozzáférést biztosíthat egy biztonságos rendszerhez, amelyen keresztül az érintett a saját személyes adataihoz közvetlenül hozzáférhet. Ez a jog nem érintheti hátrányosan mások jogait és szabadságait, beleértve az üzleti titkokat vagy a szellemi tulajdont, és különösen a szoftverek védelmét biztosító szerzői jogokat. Ezek a megfontolások mindazonáltal nem eredményezhetik azt, hogy az érintettől minden információt megtagadnak. Ha az adatkezelő nagy mennyiségű információt kezel az érintettre vonatkozóan, kérheti az érintettet, hogy az információk közlését megelőzően pontosítsa, hogy kérése mely információkra vagy mely adatkezelési tevékenységekre vonatkozik. Az általános adatvédelmi rendelet 15. cikke szerint: (1) Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár. Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozóan a 46. cikk szerinti megfelelő garanciákról. Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri. A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait. (32) Az Elektronikus Egészségügyi Szolgáltatási Térrel kapcsolatos részletes szabályokról szóló 39/2016. (XII. 21.) EMMI rendelet értelmében: 9. §(1) EESZT szolgáltatás kizárólag a szolgáltatás igénybevételéhez szükséges jogosultsággal rendelkező felhasználó által, annak azonosítását követően vehető igénybe. (2) Az azonosítás a) szervezeti felhasználó esetében a működtető által meghatározott tulajdonságokkal rendelkező elektronikus tanúsítvánnyal, b) természetes személy ágazati felhasználó esetében a működtető által meghatározott többtényezős hitelesítést alkalmazó azonosítás igénybevételével, c) érintett esetében a működtető által biztosított elektronikus felületen, a Kormány által kötelezően biztosított azonosítási szolgáltatás útján történik. (3) A működtető az ágazati felhasználó (2) bekezdés a) vagy b) pontja szerinti azonosítását követően az EESZT minden egyes szolgáltatásának használatát megelőzően ellenőrzi, hogy az ágazati felhasználó a) jogosult-e a szolgáltatás használatára, b) jogosult-e a csatlakozott adatkezelő vagy annak szervezeti egysége nevében az adott szolgáltatás vonatkozásában eljárni, c) megfelel-e az adott szolgáltatás igénybevételére vonatkozó speciális feltételeknek, valamint d) jogosult-e az önrendelkezési nyilvántartás adatait is figyelembe véve az adat megismerésére. (33) Az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló 1997. évi XLVII. törvény (a továbbiakban: Eüak.) 3. § f) kezelést végző orvos: az egészségügyről szóló 1997. évi CLIV. törvény 3. § b) pontja szerinti kezelőorvos; g) betegellátó: a kezelést végző orvos, az egészségügyi szakdolgozó, az érintett gyógykezelésével kapcsolatos tevékenységet végző egyéb személy, a gyógyszerész;
Az általános adatvédelmi rendelet (63) preambulumbekezdése alapján az érintett jogosult, hogy hozzáférjen a rá vonatkozóan gyűjtött adatokhoz, valamint arra, hogy egyszerűen és észszerű időközönként, az adatkezelés jogszerűségének megállapítása és ellenőrzése érdekében gyakorolja e jogát. Ez magában foglalja az érintett jogát arra, hogy az egészségi állapotára vonatkozó személyes adatokhoz - mint például a diagnózis, a vizsgálati leletek, a kezelőorvosok véleményei, valamint a kezeléseket és a beavatkozásokat tartalmazó egészségügyi dokumentációk - hozzáférjen. Ezért minden érintett számára biztosítani kell a jogot arra, hogy megismerje különösen a személyes adatok kezelésének céljait, továbbá ha lehetséges, azt, hogy a személyes adatok kezelése milyen időtartamra vonatkozik, a személyes adatok címzettjeit, azt, hogy a személyes adatok automatizált kezelése milyen logika alapján történt, valamint azt, hogy az adatkezelés - legalább abban az esetben, amikor az profilalkotásra épül - milyen következményekkel járhat, továbbá hogy minderről tájékoztatást kapjon. Ha lehetséges, az adatkezelő távoli hozzáférést biztosíthat egy biztonságos rendszerhez, amelyen keresztül az érintett a saját személyes adataihoz közvetlenül hozzáférhet. Ez a jog nem érintheti hátrányosan mások jogait és szabadságait, beleértve az üzleti titkokat vagy a szellemi tulajdont, és különösen a szoftverek védelmét biztosító szerzői jogokat. Ezek a megfontolások mindazonáltal nem eredményezhetik azt, hogy az érintettől minden információt megtagadnak. Ha az adatkezelő nagy mennyiségű információt kezel az érintettre vonatkozóan, kérheti az érintettet, hogy az információk közlését megelőzően pontosítsa, hogy kérése mely információkra vagy mely adatkezelési tevékenységekre vonatkozik. Az általános adatvédelmi rendelet 15. cikke szerint: (1) Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár. Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozóan a 46. cikk szerinti megfelelő garanciákról. Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri. A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait. (32) Az Elektronikus Egészségügyi Szolgáltatási Térrel kapcsolatos részletes szabályokról szóló 39/2016. (XII. 21.) EMMI rendelet értelmében: 9. § (1) EESZT szolgáltatás kizárólag a szolgáltatás igénybevételéhez szükséges jogosultsággal rendelkező felhasználó által, annak azonosítását követően vehető igénybe. (2) Az azonosítás a) szervezeti felhasználó esetében a működtető által meghatározott tulajdonságokkal rendelkező elektronikus tanúsítvánnyal, b) természetes személy ágazati felhasználó esetében a működtető által meghatározott többtényezős hitelesítést alkalmazó azonosítás igénybevételével, c) érintett esetében a működtető által biztosított elektronikus felületen, a Kormány által kötelezően biztosított azonosítási szolgáltatás útján történik. (3) A működtető az ágazati felhasználó (2) bekezdés a) vagy b) pontja szerinti azonosítását követően az EESZT minden egyes szolgáltatásának használatát megelőzően ellenőrzi, hogy az ágazati felhasználó a) jogosult-e a szolgáltatás használatára, b) jogosult-e a csatlakozott adatkezelő vagy annak szervezeti egysége nevében az adott szolgáltatás vonatkozásában eljárni, c) megfelel-e az adott szolgáltatás igénybevételére vonatkozó speciális feltételeknek, valamint d) jogosult-e az önrendelkezési nyilvántartás adatait is figyelembe véve az adat megismerésére. (33) Az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló 1997. évi XLVII. törvény (a továbbiakban: Eüak.) 3. § f) kezelést végző orvos: az egészségügyről szóló 1997. évi CLIV. törvény 3. § b) pontja szerinti kezelőorvos; g) betegellátó: a kezelést végző orvos, az egészségügyi szakdolgozó, az érintett gyógykezelésével kapcsolatos tevékenységet végző egyéb személy, a gyógyszerész;
## 5. § (1) Az egészségügyi ellátó hálózaton belül az egészségügyi és személyazonosító adat
IV.1. EESZT-be való betekintés (3. kérelem)
Az EESZT-ben rögzített orvosi dokumentációban foglalt egészségügyi adatok a különleges személyes adatok körébe tartoznak a GDPR 4. cikk 15. pontja, valamint a 9. cikk (1) bekezdése alapján. A GDPR 4. cikk 2. pontjában foglalt, adatkezelés fogalommeghatározása szerint adatkezelésnek minősül a személyes adatokat érintő lekérdezés és betekintés. Tekintettel arra, hogy a Kérelmezett nyilatkozata szerint az asszisztensei is hozzáféréssel rendelkeztek a háziorvosi szoftverhez, és a munkavállalók utasításokkal történő ellátása a munkáltató felelőssége, a Hatóság felhívta a Kérelmezettet annak tisztázására is, hogy a kifogásolt lekérdezéseket az asszisztensek végezték-e. A Kérelmezett által 2025. augusztus 19. napján küldött levél, valamint az ahhoz csatolt asszisztensi nyilatkozatok szerint az asszisztensek sem hajtották végre a panaszolt lekérdezéseket. A Kérelmező által az EESZT adatkezelési naplójában elérhető bejegyzések részleteiről küldött képernyőmentések alapján egyértelműen megállapítható, hogy a Kérelmezett végezte a lekérdezéseket, és ezzel ellentétes körülmény fennálltát – informatikai hiba vagy asszisztensi lekérdezés – a Kérelmezett semmivel nem támasztotta alá. Ezek alapján a Hatóság megállapította, hogy a Kérelmezett a Kérelmező EESZT-jébe való betekintéssel a GDPR hatálya alá tartozó adatkezelést végzett és viselnie kell az adatkezelői felelősségeket. Az egészségügyi adatok kezeléséhez a GDPR 6. cikk (1) bekezdésében szabályozott valamely jogalap mellett a GDPR 9. cikk (2) bekezdésében meghatározott valamely jogalap fennállása is szükséges. A magyar jogi szabályozásban ezt a keretet az Eüak., valamint az Eütv. pontosítja. Az Eüak. 5. § szerint az egészségügyi ellátó hálózaton belül az egészségügyi és személyazonosító adat kezelésére – amennyiben e törvény másként nem rendelkezik – jogosulta betegellátó, az intézményvezető, valamint az adatvédelmi tisztviselő. A fogalom-meghatározás értelmében a betegellátó a kezelőorvos, így az a korábbi háziorvos, aki már nem vesz részt a beteg ellátásában, nem minősül kezelőorvosnak – kivéve, ha az Eütv. 129. § (3) bekezdés alapján felkérték a közreműködésre, de ennek fennállására a Kérelmezett nem hivatkozott. Aki nem minősül kezelőorvosnak, az a fent idézett szerint nem jogosult az érintett egészségügyi adatának kezelésére.
Az EESZT-ben rögzített orvosi dokumentációban foglalt egészségügyi adatok a különleges személyes adatok körébe tartoznak a GDPR 4. cikk 15. pontja, valamint a 9. cikk (1) bekezdése alapján. A GDPR 4. cikk 2. pontjában foglalt, adatkezelés fogalommeghatározása szerint adatkezelésnek minősül a személyes adatokat érintő lekérdezés és betekintés. Tekintettel arra, hogy a Kérelmezett nyilatkozata szerint az asszisztensei is hozzáféréssel rendelkeztek a háziorvosi szoftverhez, és a munkavállalók utasításokkal történő ellátása a munkáltató felelőssége, a Hatóság felhívta a Kérelmezettet annak tisztázására is, hogy a kifogásolt lekérdezéseket az asszisztensek végezték-e. A Kérelmezett által 2025. augusztus 19. napján küldött levél, valamint az ahhoz csatolt asszisztensi nyilatkozatok szerint az asszisztensek sem hajtották végre a panaszolt lekérdezéseket. A Kérelmező által az EESZT adatkezelési naplójában elérhető bejegyzések részleteiről küldött képernyőmentések alapján egyértelműen megállapítható, hogy a Kérelmezett végezte a lekérdezéseket, és ezzel ellentétes körülmény fennálltát – informatikai hiba vagy asszisztensi lekérdezés – a Kérelmezett semmivel nem támasztotta alá. Ezek alapján a Hatóság megállapította, hogy a Kérelmezett a Kérelmező EESZT-jébe való betekintéssel a GDPR hatálya alá tartozó adatkezelést végzett és viselnie kell az adatkezelői felelősségeket. Az egészségügyi adatok kezeléséhez a GDPR 6. cikk (1) bekezdésében szabályozott valamely jogalap mellett a GDPR 9. cikk (2) bekezdésében meghatározott valamely jogalap fennállása is szükséges. A magyar jogi szabályozásban ezt a keretet az Eüak., valamint az Eütv. pontosítja. Az Eüak. 5. § szerint az egészségügyi ellátó hálózaton belül az egészségügyi és személyazonosító adat kezelésére – amennyiben e törvény másként nem rendelkezik – jogosult a betegellátó, az intézményvezető, valamint az adatvédelmi tisztviselő. A fogalom-meghatározás értelmében a betegellátó a kezelőorvos, így az a korábbi háziorvos, aki már nem vesz részt a beteg ellátásában, nem minősül kezelőorvosnak – kivéve, ha az Eütv. 129. § (3) bekezdés alapján felkérték a közreműködésre, de ennek fennállására a Kérelmezett nem hivatkozott. Aki nem minősül kezelőorvosnak, az a fent idézett szerint nem jogosult az érintett egészségügyi adatának kezelésére.
A Kérelmezett általi lekérdezések adatkezelési jogalapjaként „Kezelőorvos általi lekérdezés” látható az EESZT bejegyzések részleteiben. A Kérelmező és a Kérelmezett nyilatkozata is egybehangzó a tekintetben, hogy a Kérelmezett a kifogásolt lekérdezések idejében már nem volt a Kérelmező kezelőorvosa. Az elszámoltathatóság elvének értelmében a Kérelmezettet, mint adatkezelőt terheli annak bizonyítása, hogy adatkezelése megfelel a GDPR 5. cikk (1) bekezdésében foglalt, a személyes adatok kezelésére vonatkozó elveknek. A Hatóság a NAIH-11669-1/2025. számú végzésében ismételten felhívta a Kérelmezettet a lekérdezések jogalapjának igazolására, azonban a Kérelmezett azokat nem tudta megjelölni. Nyilatkozatában az informatikai hiba fennállását a Kérelmezett egy lehetőségként vetette fel, amely felvetését maga nem tudta igazolni. Az informatikai hiba fennállta bizonyítása érdekében a Hatóság a Kérelmezettől be kívánta szerezni azokat a naplófájlokat, amelyek tanúsíthatták volna esetleges informatikai hiba megtörténtét, azonban a Kérelmezett a Hatóság ezen kérését nem teljesítette. Az informatikai hiba fennállta bizonyítása érdekében a Hatóság a NAIH-273-1/2026. számú végzésében a PROFIX Computer Számítástechnikai Kft.-t, mint a Kérelmezett által használt MedMax orvosi program szolgáltatóját, a NAIH-273- 2/2026. számú végzésében pedig a Belügyminisztériumot, mint az EESZT-t működtető hatóságot megkereste annak tisztázása érdekében, hogy a tárgyi időpontokban fennállt-e informatikai/szoftverhasználati hiba a Kérelmezett esetében a rendszerek használata során. Mindkét megkeresett előadta, hogy semmilyen informatikai vagy szoftverhasználati hiba nem állt fenn.
Dr. habil. Péterfalvi Attila, elnök, c. egyetemi tanár