What changed

1 A közigazgatási per kezdeményezésére a NAIH_KO1 elnevezésű űrlap szolgál: NAIH KO1 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. Az űrlap hozzáférhető és letölthető a Hatóság honlapjáról: https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata (6) A Hatóság a NAIH-7724-4/2025. számú iratban újabb tényállás tisztázásra hívta fel az Ügyfél 1-et és értesítette a bizonyítási eljárás befejezéséről, és arról, hogy nyilatkozatot tehet. Az Ügyfél1 tényállás tisztázásra adott válaszát 2025.10.21-én kelt, NAIH-7724-9/2025. sz. beadványban adta meg. Az Ügyfél1 továbbá élt az iratbetekintési jogával (NAIH-7724- 10/2025. számú jegyzőkönyv), továbbá nyilatkozattételi jogával (NAIH-7724-12/2025. számú beadvány).

2 NAIH-7724-3/2025. és a NAIH-7724-16/2025. sz. beadványok érintett hozzájárulása a GDPR 6. cikk (1) bekezdés a) pontja alapján, amelyet az érintett az űrlap elküldése előtt az adatkezelési tájékoztató elfogadására rendelkezésre álló mező megjelölésével ad meg.

6 NAIH-7724-3/2025. sz. beadvány 7 NAIH-7724-4/2025. és a NAIH-7724-8/2025. számú végzések 8 NAIH-7724-16/2025. sz. beadvány kötelezővé tenni. A Homeopata orvos, mint szakorvos kizárólag a saját pácienseivel kapcsolatos adatkezelési feladatokat lát el, így megítélésük szerint hatásvizsgálat elvégzése nem volt indokolt és kötelező, erre tekintettel arra nem került sor. (20) A személyes adatok nyilvántartására vonatkozóan a Felek előadták, hogy a Homeopata orvos által használt számítógépen történik, és minden beteg számára, annak nevével megjelölt MsWord file készül, amelyben a kezeléséhez kötődő minden adat tárolásra kerül. A Weboldalon keresztül megadott adatokhoz az Ügyfél1 szerint a Homeopata orvos, illetve az ügyvezető férhet hozzá, a Homeopata orvos szerint kizárólag ő férhet hozzá. (21) A Felek arra a kérdésre vonatkozóan9 hogy milyen jogviszonyban állnak és hogyan oszlanak meg az adatkezelési feladatok közöttük, egybehangzóan úgy nyilatkoztak, hogy a Homeopata orvos az Ügyfél1 kültagja és munkavállalója. A Homeopata orvos egészségügyi tevékenységét az Ügyfél1 tagjaként az egészségügyi tevékenység végzésének egyes kérdéseiről szóló 2003. évi LXXXIV. törvény 11. §-ában foglaltak szerint az Ügyfél1 nevében és felelősségére végzi. Az Ügyfél1 szerint a hivatkozott törvényi rendelkezés alapján az egészségügyi dolgozó jogosult a megfelelő engedély birtokában társas vállalkozás tagjaként, a társas vállalkozás nevében és felelősségére egészségügyi tevékenységet végezni és erre tekintettel az Ügyfél1 minősül adatkezelőnek, hiszen a Homeopata orvos tevékenységét társas vállalkozás keretében végzi és így a páciensek az Ügyfél1-gyel kerülnek jogviszonyba. Ugyanakkor az Eüak. 5. § (1) bekezdésének a) pontja az Eüak. tárgyi hatálya alá tartozó egészségügyi és személyazonosító adatok kezelésének feladatát a betegellátóra, azaz a Homeopata orvosra dedikálja. A Felek előadták, hogy az egészségügyi tevékenységhez kapcsolódó valamennyi adatkezelési feladatot (így különösen, de nem kizárólag a páciensekkel való kapcsolatfelvétel és kapcsolattartás, a terápiát megelőzően és a terápia során megadott, illetve tudomására jutott adatok rögzítése és tárolása) a Homeopata orvos látja el, valamint az Ügyfél1 nevében szintén az orvos végzi a számlázással kapcsolatos feladatokat is, azonban ez feladatellátási kérdés, és nem teszi a Homeopata orvost önálló adatkezelővé. A Felek a beadványukhoz csatolták a Homeopata orvos működési engedélyével összefüggő határozatot. Az Országos Kórházi Főigazgatóság által vezetett orvosi működési nyilvántartás szerint pszichoterápia szakképesítési nyilvántartási számmal a Homeopata orvos rendelkezik. (22) Az Ügyfél1 megjegyezte10, hogy homeopátiás és terápiás kezelésekhez kötődően írásos szerződések nem készülnek, tekintettel arra, hogy ilyen kötelezettséget jogszabály nem ír elő. (23) A vizsgált időszakban az adatkezelés összesen 889 személyt érintett. Évenkénti bontásban:

9 NAIH-7724-15/2025. és a NAIH-7724-16/2025. sz. beadványok

10 NAIH-7724-3/2025. sz. beadvány

11 NAIH-7724-15/2025. és a NAIH-7724-16/2025. sz. beadványok

12 NAIH-7724-15/2025. és a NAIH-7724-16/2025. sz. beadványok esettanulmányokat egy nemzetközi pályázat során gyűjtötték össze és válogatták ki, az esettanulmány alkalmasságát és közölhetőségét egy szerkesztőbizottság állapította meg. A Homeopata orvos hozzátette13, hogy a hatósági eljárás megindításáról való tudomásszerzést követően a kérdéses esettanulmányt eltávolította a weboldalról.

(29) A homeopátiás és pszichoterápiás kezelések nyújtása mint egészségügyi szolgáltatás végzése illetve a kifejezetten ezzel kapcsolatos adatkezelés nem tárgya a jelen eljárásnak, mivel jelen ügyben kizárólag a Honlappal összefüggésbe hozható adatkezelések (kapcsolatfelvétel, személyes adatok megküldése, kérdőív kitöltése, tájékoztatás, esettanulmány közzététele) képezik a vizsgálat tárgyát. (30) A kis- és középvállalkozásokról, fejlődésük támogatásáról szóló 2004. évi XXXIV. törvény alapján mikrovállalkozásnak minősül az a vállalkozás, amelynek összes foglalkoztatotti létszáma 10 főnél kevesebb, és éves nettó árbevétele vagy mérlegfőösszege legfeljebb 2 millió eurónak megfelelő forintösszeg. Mivel az Ügyfél1 2024-ben […] főt foglalkoztatott, de árbevétele nem haladta meg a 2 millió eurós küszöböt, a jogszabály szerint mikrovállalkozásnak minősül.

13 NAIH-7724-16/2025. sz. beadvány feljegyzés mellékleteként 2025.01.30-ai mentés szerint, a továbbiakban: Tájékoztató) néven található adatvédelmi tájékoztatás 2021 áprilisában készült el, és az eljárás megindulásáig változatlan formában volt elérhető. Tehát ezen Tájékoztató tartalmazta az Ügyfél1 által adott tájékoztatást a vizsgált időszakban (2021.04.15.-2025.02.11.), ez a tájékoztatás ez alatt az időszak alatt folyamatos volt és nem változott. Ebből következően a Hatóság a Tájékoztatót elemezte, több időállapot vizsgálatára nem volt szükség, mert a Tájékoztató a vizsgált 4 év adatvédelmi tájékoztatását tartalmazta. (32) A Honlapot és a „Kapcsolat” menüpontját áttekintve megállapítható, hogy kapcsolatfelvétel során az érintettnek a nevét, e-mail címét, a megkeresés tárgyát és üzenetét kell megadnia. A kapcsolatfelvételhez a Tájékoztató elfogadása szükséges, a jelölőnégyzet bejelölésével. Ugyanezen menüpont biztosítja az érintettnek a homeopátiás kezelés miatti kapcsolatfelvételt, és az ehhez kapcsolódó kérdőívek letöltését is. (33) A homeopátiás kezelést megelőzően az érintettnek két kérdőívet kell kitöltenie: egy […]

(51) Általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontja értelmében: „A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez”. (52) Általános adatvédelmi rendelet 9. cikk (1) bekezdés értelmében: „A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.” Általános adatvédelmi rendelet 9. cikk (2) bekezdés a) pontja értelmében: „Az (1) bekezdés nem alkalmazandó abban az esetben, ha: a) az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával.” (53) Az általános adatvédelmi rendelet 13. cikke szerint: „(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét: a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

(87) Az email-es levelező rendszerek adatvédelmi kockázata, hogy alapértelmezésben csak átviteli titkosítást (TLS) alkalmaznak: az üzenet a szerverek közötti úton titkosítva van, de nem végponttól végpontig. A levelezőrendszer szerverein a levelek olvasható formában tárolódhatnak, így azokhoz a szolgáltató rendszergazdái vagy automatizált rendszerei hozzáférhetnek. Ez különösen aggályos, ha egészségügyi, és ezen belül is különösen érzékeny intim információkról van szó, mint jelen esetben a kitöltött kérdőívek megküldése esetén. A végponttól végpontig titkosított küldés (például S/MIME vagy kliensoldali titkosítás) ugyanis nem alapértelmezett funkció az email-es levelezőrendszerek esetében, hanem ez a funkció csak külön tanúsítvány kiváltásával biztosítható. Jelen esetben az érintetteknek nincs lehetősége más, adatbiztonsági szempontból megfelelőbb módon rendelkezésre bocsátani a homeopátiás esetfelvételhez kapcsolódó kérdőíveket, mivel a Honlapon csak a […] e-mail címre történő adattovábbítás szerepel.

14 NAIH-7724-7/2025. sz. szóló feljegyzésben.