What changed

Helyiérdekű Vasút Zártkörűen Működő Részvénytársaság; székhely: 1091 Budapest, Üllői út 131., cégjegyzékszám: 01-10-045551, adószám: 13834492-2-44, meghatalmazott képviselője: […] adatvédelmi tisztviselő) mint jogutód kötelezettel szemben (a továbbiakban: Kötelezett) a jogelőd MÁV-HÉV Zrt. (a továbbiakban: Kötelezett jogelődje)

és azok környékén elhelyezett és üzemeltetett kamerákkal megvalósuló adatkezelés különösen a hangrögzítési gyakorlata – az általános adatvédelmi rendeletnek és a vonatkozó jogszabályi rendelkezéseknek történő megfelelése tárgyában 2024. november

## 26. napján hivatalból indított adatvédelmi hatósági eljárásában az alábbi döntéseket

2011. évi CXII. törvény (a továbbiakban: Infotv.) 61. § (2) bekezdés a) és c) pontja alapján hivatalból elrendeli a végleges Határozatának a Kötelezett és Kötelezett jogelődje azonosító adatainak közzétételével történő nyilvánosságra hozatalát a) a Hatóság honlapján, továbbá b) a Kötelezett weboldalának nyitóoldalán, jól látható és könnyen hozzáférhető helyen, a Határozat véglegessé válásától számított 30 napon belül, és ott legyen elérhető legalább 30 napon keresztül.

Amennyiben a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A 4. pontban és az 5. pontban előírt kötelezettségek teljesítését a Kötelezettnek jelen határozat véglegessé válásától számított 60 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A 4. pontban és az 5. pontban előírt kötelezettségek nem teljesítése, az adatvédelmi bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a Határozat, a bírság és a késedelmi pótlék végrehajtását. Az eljárásban eljárási költség nem merült fel. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani elektronikusan,1 amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

(1) A Kötelezett jogelődje 2020. november 30-tól az alábbi időpontoktól kezdve, egészen 2024. november 27-ig, azaz 3 nap híján 4 éven keresztül az alábbi HÉVállomásokon, HÉV-megállóhelyeken telepített kamerarendszerekkel kamerás megfigyelést végzett, annak során kép- és hangrögzítést folytatott. [ld.: NAIH- 13678-4/2024. ügyiratszámú nyilatkozat (2. pontja)].

hangfelvétel készítésének lehetősége, tehát hangfelvétel készítése és kezelése a 2023. április 26-i hatályú Szsztv. 8. § (2) bekezdés a) pontja szerinti, azaz a 8. § (5) bekezdése szerinti helyszíneken nem volt a jogszabály alapján lehetséges. Ezen rendelkezést az Európai Unió adatvédelmi reformjának végrehajtása érdekében szükséges törvénymódosításokról szóló 2019. évi XXXIV. törvény 109. § (1) bekezdése állapította meg. A módosító törvény 109.-110. §-hoz fűzött indokolása szerint az Szsztv. módosítására a közlekedés területén általánosan alkalmazott megfigyelés és felvételkészítés szabályozásának az általános adatvédelmi rendelettel való összhangjának biztosítása érdekében volt szükség. Az Szsztv. meghatározza azon szolgáltatók és adatkezelési célok körét, melyek közérdekből, kötelező adatkezelési jogcímen képfelvételt készíthetnek és ezen adatok körét kezelik. Emellett nincs akadálya annak, hogy nem közérdekű tevékenységet végző személyszállítási szolgáltató – vagy a kötelező adatkezelésre egyébként kijelölt szolgáltató, ha éppen nem közérdekű szolgáltatási tevékenységet lát el – képfelvételt készítsen a járművén és a hozzá kapcsolódó infrastruktúra területén akkor, ha az adatkezelését más jogszerű, de nem a személyszállítási szolgáltatásokról szóló törvényben meghatározott adatkezelési jogcímre hivatkozva, érvényes jogalappal alakítja ki. A módosítással érintett rendelkezés lényegében 2019. április 26-tól volt hatályos egészen 2024. december 31-ig, azaz hangfelvétel készítésére és kezelésére az Szsztv. 8. § (2) bekezdése szerinti esetekben az Szsztv. nem határozott meg közfeladatot és nem adott jogszabályi lehetőséget 2019. április 26-tól 2024. december 31-ig. (26) 2023. június 26-tól az Szsztv. 8. §-ában foglalt rendelkezéseket az egyes közlekedési tárgyú törvények módosításáról szóló 2023. évi XL. törvény 57. §-a módosította, ugyanis a kamerafelvételek tárolásának időtartamára vonatkozó új rendelkezéseket állapított meg a kamerafelvétel törvényben meghatározott esetekben történő felhasználása, valamint a kamerafelvétel rendelkezésre bocsátására irányuló kérelem beérkezése esetére. Az Szsztv. továbbra is főszabályként írja elő azt, hogy a kamerafelvételt a rögzítést követő 16. napon törölni kell. Amennyiben azonban a kamerafelvétel felhasználása a törvényben foglalt esetekben a szolgáltató által indított vizsgálat keretében szükséges, úgy a kamerafelvétel e vizsgálat végéig megőrizhető. Abban az esetben, ha a kamerafelvétel rendelkezésre bocsátására bíróság vagy hatóság megkeresést küld, úgy a szolgáltató köteles a kamerafelvételt haladéktalanul a megkereső részére továbbítani, majd a továbbítást követő 90. napon törölni, kivéve, ha annak a szolgáltató által megindított vizsgálatban történő felhasználására továbbra is szükség van, vagy ha az érintett olyan kérelmet terjesztett elő, amelyben kérte, hogy a szolgáltató a kamerafelvételt ne törölje. Abban az esetben, ha a szolgáltató a vizsgálata eredményeként bírósági vagy hatósági eljárást kezdeményezett, úgy a kamerafelvételt a bírósági vagy hatósági eljárást lezáró határozat jogerőre emelkedéséről vagy véglegessé válásáról történő értesítés kézhezvételét követő 16. napon szükséges törölni. Az említett 2023. június 26-i Szsztv. módosítás továbbra sem tette lehetővé a hangfelvétel készítését. (27) 2025. január 1-jével az Szsztv. 8. § (2) bekezdés záró szövegrészében a „képfelvételt,”

➢ Az átalakulás miatt jogutóddal megszűnt MÁV-HÉV Zrt. (1097 Budapest,

Budapest, Üllői út 131.; cégjegyzékszám: 01 10 045551) cégkivonata (2025. október 20-án a https://ceginfo.hu/ weboldalról a Hatóság által lekérve.). ➢ A Kötelezett jogelődje és a Kötelezett 2024. január 1. – 2024. december 31.

(2025. október 20-án a https://ceginfo.hu/ weboldalról a Hatóság által lekérve.). ➢ A Kötelezett jogelődjének és a Kötelezettnek a 2024. január 1. – 2024.

(139) A HÉV-megállóhelyeken, illetve a HÉV-állomásokon a Kötelezett jogelődje egy egységes, kétnyelvű (magyar-angol nyelvű) adatkezelési tájékoztató kivonatot [ld.: NAIH-13200-2/2024. sz. nyilatkozathoz csatolt 3. sz. melléklet] helyezett ki, amely kamera piktogramot és „Kamerával megfigyelt terület” címet tartalmazott jól olvasható módon, a cím és az ábra hangrögzítésre nem utalt. Az adatkezelés céljai között a tájékoztató ugyan rögzítette, hogy kép- és hangfelvételt készít, de az egészen apró betűs, alig látható volt, külön nem volt hangsúlyozva, kiemelve. Ezt az egyfajta tájékoztatót helyezte ki a Kötelezett jogelődje valamennyi HÉV-megállóhelyen és HÉVállomáson, holott az adatkezelés eltérő volt, hiszen 19 helyszínen volt hangrögzítést is végző kamerarendszer [lásd jelen Határozat (1) és (8) bekezdései]. A Kötelezett jogelődje által a HÉV-állomásokon és HÉV-megállóhelyeken közzétett adatkezelési tájékoztató kivonat szerint a kezelt adatok köre a következő volt: „A kezelt személyes adatok típusa: a vasútállomáson a közforgalom számára nyitva álló helyre, a megállóhelyre, valamint a személyszállító vasúti járművek belterébe belépő személyeknek a képfelvételeken látszódó arcképmása és egyéb, a megfigyelőrendszer által rögzített személyes adatai.” (ld. Régi Adatkezelési Tájékoztató 5. pontja) Tehát az egyrészt nem emelte ki a hangot, másrészt nem tett különbséget annak kapcsán, hogy a járművek belterébe lépő személyek vonatkozásában milyen típusú adatkezelés valósul meg. Ezt támasztja alá az Utasítás 4.2.2.3. pontja is, amely az alábbiakat rögzítette: „A Társaság a vasútállomáson a közforgalom számára nyitva álló helyen, a jegy- és bérletértékesítő berendezéseken, a megállóhelyen, valamint a személyszállító vasúti járművek belterében elektronikus biztonságtechnikai megfigyelést folytathat, rögzített képfelvételt készíthet, és kezelheti a rögzített képfelvételeket.” A Kötelezett jogelődje az Utasításban megemlítette a járművek belterében végezhető megfigyelést, amelyre az Szsztv. alapján Kötelezett jogelődje jogosult volt, azonban ilyen jellegű megfigyelést nem végzett, azaz a megfigyelés hatókörének bemutatását nem szűkítette le a tényleges adatkezelési műveletekre. Mindezeket alátámasztja Kötelezett jogelődjének nyilatkozata is (ld.: NAIH-13200-2/2024; I.3. pontja), ugyanis a testkamerákkal végzett adatkezelést nem különítette el 2024. szeptember 5-ig külön adatkezelési tájékoztatóban, és azt követően is a testkamerákkal végzett adatkezelési tájékoztató tartalmazott olyan helyeken történő adatkezelési tevékenységekre, helyszínekre történő utalást, amelyek nem képezték a testkamerákkal végzett adatkezelések tárgyát a Szsztv. 8. § (3) bekezdése alapján. „Tévesen (téves szövegezés miatt) a vasútállomáson a közforgalom számára nyitva álló helyen, a megállóhelyen, valamint a személyszállító vasúti járművek belterében, a vasútállomáson és megállóhelyen elektronikus biztonságtechnikai rendszeren keresztül történő adatkezelést is tárgyává teszi, ugyanakkor ez a 2020. november 3. dátummal ellátott adatkezelési tájékoztató tárgya, amelynek kibocsátására a 30/2020. (VI.16.) VIG sz. utasításra (kivonat 2. sz. mellékletként csatolva) tekintettel került sor.” A járművek belterében kizárólag testkamerák útján folyt adatkezelés, amely adatkezelést azonban a Hatóság nem vizsgálta jelen adatvédelmi hatósági eljárásban. A járművek belterében külön kamerák nem kerültek elhelyezésre. Az Adatkezelési Tájékoztató kivonata [ld.: NAIH-13200-2/2024. sz. nyilatkozathoz csatolt 3. sz. melléklet] a 4. pontjában a kezelt adatok körében felsorolta a járműveken tartózkodó személyekről készült felvételt is, amely 2024. szeptemberéig így nem a valóságnak megfelelő tájékoztatásnak minősült. Mindezeket a Kötelezett NAIH-1589- 3/2025. ügyiratszámon iktatott nyilatkozatának 2. pontja is alátámasztja. (140) Az adatkezelés célját a Régi Adatkezelési Tájékoztató 1. pontja határozta meg: „Az elektronikus biztonságtechnikai rendszer által folytatott megfigyelés, valamint a rendszer által rögzített, személyes adatokat tartalmazó kép- és hangfelvétel készítésének, tárolásának célja fentiekben meghatározott területeken található berendezések, a személyszállító vasúti járművek, továbbá az utasok és a szolgáltató munkavállalói és megbízottai életének, személyének, testi épségének és vagyontárgyaik védelme.” A cél kapcsán tehát ismét visszautalt a járművek belterének megfigyelésére is, noha ott hangrögzítés nem valósult meg.

hozzáférhető tájékoztatás követelményének sérelme a 2020. november 30-tól 2024.

## (186) Az általános adatvédelmi rendelet 35. cikkének (1) bekezdése szerinti adatvédelmi hatásvizsgálatot a Kötelezett jogelődje a kép- és hangrögzítés kapcsán nem készített (ld.: NAIH-13678-4/2024. ügyiratszámú nyilatkozat 8. pontja), holott a kép- és hangrögzítést érintően az adatkezelést már az általános adatvédelmi rendelet alkalmazandóvá válását követően kezdte meg kialakítani és folytatni. A szabályozás mind az általános adatvédelmi rendelet 35. cikk (3) bek. c) pontja szerint, mind a Hatóság hatásvizsgálati listája kapcsán kógens, nyilvános helyek nagymértékű, módszeres megfigyelése esetén adatvédelmi hatásvizsgálatot kell lefolytatni. A 2025. január 1-je előtt hatályos Szsztv. 8. § (2) és a 8. § (5) bekezdéséhez

(212) Az első, 2025. januárjától hatályos adatkezelési tájékoztató adatfeldolgozóként jelölte meg a MÁV Szolgáltató Központ Zártkörűen Működő Részvénytársaságot az eljárás során vizsgált kamerás adatkezelés vonatkozásában. A Hatóság kérte a Kötelezettől, hogy csatolja be az adatkezelő Kötelezett és az adatfeldolgozó között létrejött hatályos szolgáltatási szerződést, és hogy nyilatkozzon, hogy a képfelvételek vagy kép- és hangfelvételek hol kerülnek tárolásra (ld.: NAIH-1589-2/2025. ügyiratszámú végzés, kiadmányozása: 2025. március 5.). A Kötelezett tájékoztatta a Hatóságot (NAIH-1589- 3/2025. ügyiratszám), hogy a MÁV Szolgáltató Központ Zrt. nem lát el a tárgyi eljárásban érintett kamerás megfigyeléssel összefüggő feladatokat, vagyis a Kötelezett képfelvételeivel vagy kép- és hangfelvételeivel kapcsolatban nem végez és soha nem is végzett feladatokat, ezért a hivatkozott honlapon található adatkezelési tájékoztató ezen pontját a Kötelezettnek módosítania szükséges. A Kötelezett a fentiekre tekintettel kérte a Hatóságot, hogy a szolgáltatási szerződés becsatolásának szükségességétől tekintsen el. Az első adatkezelési tájékoztató tehát téves információt tartalmazott az adatkezelés címzettje vonatkozásában, amely tájékoztató – a 2025. márciusában közzétett, már javított adatkezelési tájékoztató elérhetővé tétele ellenére – ugyanakkor továbbra is elérhető maradt a Kötelezett webes tárhelyén, az bizonyítás lezárultakor is széles körben használt internetes keresőprogramokkal elérhető, olvasható maradt a https://www.mavcsoport.hu/sites/default/files/upload/page/adatkezelesi_tajekoztato_ka meras_megfigyeles_2025.01.01.pdf címen.

## (220) A Hatóság az adatkezelés jellegét és az elszenvedett kár mértékét semlegesnek

tekintette, mivel egyrészt az eljárás során nem merült fel adat arra vonatkozóan, hogy valamely természetes személy az adatkezelés jogellenességét vélelmezve, felismerve az adatkezelés ellen tiltakozott volna, ha arról értesül, másrészt a Kötelezett jogelődje aszerint nyilatkozott, hogy érintetti joggyakorlás a kamerás megfigyelés tekintetében nem fordult elő 2020. november 30-tól 2024. november 13-ig (ld.: NAIH-13200-1/2024. ügyiratszámú nyilatkozat 6. pontja). Az érintetteknek nem is feltétlenül lehetett tudomásuk arról, hogy nem csak kép-, hanem hangfelvétel rögzítése is történik egyes HÉV-állomásokon, illetve HÉV-megállóhelyeken, illetve melyek ezek az állomások [lásd a Határozat VI.1. pontja]. Másrészt az eljárás során nem merült fel adat arra vonatkozóan, hogy a jogellenes adatkezelés hatására az érintetteket érintő fizikai, anyagi vagy nem vagyoni kár bekövetkezett-e, azonban igazolhatóan volt arra is példa, lásd a Hatóság Kerepes város területén működő közterületi térfigyelő rendszer kamerafelvételeivel kapcsolatos adatkezelés jogszerűségének vizsgálata tárgyában hozott határozatát (NAIH-507- 32/2023. https://www.naih.hu/hatarozatok-vegzesek/file/906-kerepesi-kozteruletiterfigyelo-rendszer-adatkezelese), annak kapcsán a jelen Határozat (227) bekezdését.

## (221) Az adatkezelés területi hatókörét illetően megállapítható, hogy Budapest, illetve

(228) Mindezen szempontok alapján a Hatóság arra a megállapításra jutott, hogy a Kötelezett jogelődje által elkövetett jogsértések közepes súlyosságúnak minősülnek, mivel a Kötelezett jogelődje több jogsértést követett el, több alapelvi rendelkezést is megsértett [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]. (229) A Bírság Iránymutatás 4.2.4. pontja szerint az alkalmazandó felső határ 10-20%-ában kell meghatározni a bírságösszeg további számításához szükséges kiindulási összeget. Ez a konkrét esetben a 20 millió euró maximális bírságösszeg kapcsán 2 millió és 4 millió euró közötti kiinduló bírságösszeget jelent, amely nagyságrendileg 773 920 000 (hétszázhetvenhárommillió-kilencszázhúszezer) forinttól 1 547 840 000 egymilliárdötszáznegyvenhétmillió-nyolcszáznegyvenezer) forintig terjedő összeg, a Magyar Nemzeti Bank 2025. december 17-i napi középárfolyamán érvényes EUR/HUF árfolyamon (386,96) számolva. (230) A Bírság Iránymutatás 4.3 pontja értelmében azonban, annak érdekében, hogy a bírság hatékony, arányos és visszatartó erejű legyen, a jogsértés súlyossága alapján számított kiindulási összeg az adatkezelő éves árbevételének figyelembevételével módosítható. Tekintettel arra, hogy a Kötelezett jogelődjének 2024. évi nettó árbevétele nem haladta meg az 50 millió eurót, a bírságszámítás alapja a kiindulási összeg 1,5-10 %-a, azaz 30 000 - 400 000 euró, tehát nagyságrendileg 11.608.800 forint (azaz tizenegymillióhatszáznyolcezer-nyolcszáz forint) és 154.784.000 forint (azaz százötvennégymillió-hétszáznyolcvannégyezer forint) közötti összeg, a Magyar Nemzeti Bank 2025. december 17-i napi középárfolyamán érvényes EUR/HUF árfolyamon (386,96) számolva.