What changed

1. megállapítja, hogy Ügyfél megsértette

1.1. az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 4. § (1)-(2) bekezdésében foglalt célhoz kötött adatkezelés elvét és az Infotv. 23.§ (2) bekezdésében foglalt elszámoltathatóság elvét, továbbá az Infotv. 5. § (1) bekezdését; 1.2. az Infotv. 25/A.§ (1) bekezdését, valamint a (2) bekezdés a) és b) pontjait; továbbá az Infotv. 25/I. § (1) bekezdését, valamint a (3) bekezdés a), b), c) pontjában foglalt adatbiztonsági intézkedési kötelezettségeket; 1.3. az Infotv. 25/E. §. (1) bekezdés j) és k) pontjaiban foglaltakat, a 25/E. § (3) bekezdését, továbbá az Infotv. 25/F § (1) bekezdés a)-e) pontjaiban foglaltakat és a (4) bekezdését; 1.4. az Infotv. 25/J § (1) bekezdését és a 25/K. § (1) bekezdését; 2. ezért megtiltja a jelen határozatban megállapított jogellenes adatkezelési gyakorlat folytatását;

A Polgármester e videofelvétel közzétételét megelőzően, a facebook.com oldalon közzétett és általa tett felhívás szerint arra próbálta rábírni az elkövetőt, hogy önként jelentkezzen a Rendőrségnél, különben közzéteszi a felvételt. E felhívásában szó szerint az alábbiakat közölte: „Édes egy komám, ha a térfigyelő alatt pergeted a mézet, a következőt kockáztatod: ha két napon belül nem jelentkezel a rendőrségen, akkor felkerül az internetre a kézimunkádról a full-HD felvétel”. (https://mandiner.hu/video/2022/08/kerepes-hev-maszturbalas-video-ferfi-jelentkezes-full-hd-pergetia-mezet; https://telex.hu/belfold/2022/08/17/maszturbalas-onkielegites-kerepes-hev-polgarmester) (7) A vizsgálati eljárásban beszerzett adatok alapján megállapítható volt, hogy a közterületi térfigyelő rendszerről szóló Kerepes Város Önkormányzat Képviselő-testületének 19/2016. (IX. 30.) önkormányzati rendelete 4. § (1) bekezdése szerint az önkormányzat a közterületi térfigyelő rendszer kezelésével az Ügyfél közterület-felügyeletét bízta meg. (8) Az a tény, hogy a Polgármester a térfigyelő kamerarendszer felvételeivel rendelkezik, alátámasztotta a Hatóság (5) bekezdésben rögzített megállapítását, mert a közterületi kamerák felvételeinek kezelését érintő, továbbra is fennálló jogsérelmet feltételezett. Mindezekre figyelemmel az Ügyfél közterületi térfigyelő rendszerrel megvalósuló adatkezelésének jogszerűsége tárgyában folytatott vizsgálati eljárást a Hatóság lezárta és e tárgyban megindította jelen adatvédelmi hatósági eljárást.

## Kérdésre elmondta, hogy nem polgármesteri feladat a kamerafelvételek alapján történő hivatalos eljárások kezdeményezése, illetve feljelentés megtétele; így ezzel kapcsolatban semmilyen feladata nincs Polgármesternek. Előadta, hogy a Polgármester semmilyen kamerafelvételhez nem fér hozzá. Arra a kérdésre, hogy mikor ismert meg ilyen felvételeket és

személyükről. Tanú 2 elmondta, hogy nem rendelkezik, illetve korábban sem rendelkezett közvetlen hozzáféréssel, vagy távoli eléréssel a kamerarendszerhez, az teljesen zárt rendszer. Nem tudott arra vonatkozóan nyilatkozni, hogy a felvételeken ki és mi alapján végez műveleteket (pl.: arc kitakarása).

pontos forrása mely adathordozó, vagy eszköz volt. Ennélfogva arról sem tudott nyilatkozni, hogy az adathordozóval, vagy más eszközzel a felvételek feltöltését követően mi történt, az hol található a meghallgatás időpontjában. Tanú 2-nek arról sem volt tudomása, hogy rajta kívül felhasználta-e még valaki a vonatkozó felvételeket. Arról sem tudott nyilatkozni, hogy a facebook.com közösségi oldalon közzétett felvételek esetében ki, mikor, mely eszközön végezte el a ”maszkolást”, utólagos képszerkesztést. A „Szervusz” elnevezésű facebook oldal kezelőjéről úgy nyilatkozott, hogy az a korábbi alpolgármester, […]. Az oldal pedig a kerepesi Fidesz kommunikációs felülete, amihez a Polgármesternek semmi köze nincs és nem is volt. Tanú 2 emlékei szerint a szemétlerakással kapcsolatos közterületi kamerafelvétel vonatkozásában a Polgármester tett feljelentést, de már nem emlékszik. Tanú 2 jogi képviselője közbevetette, hogy lehetséges, hogy a közterület felügyelet tette meg a feljelentést. Tanú 2 kérdésre előadta, hogy nincs jogosultsága belépni a kameraszobába. Nem tudott nyilatkozni, hogy mely cég építette ki a kamerarendszert, mivel legalább 10 éves az. Az elmúlt években – Tanú 2 szerint – a Testőr Kft. üzemeltette a kamerarendszert, jelenleg pedig a Falcon-Pool Kft. üzemelteti. Tanú 2-nek nem volt ismerete arról, hogy milyen video fájlokat és milyen célból tárolnak Ügyfél szerverének Ecsi elnevezésű mappájában, továbbá arról sem, hogy ki fér hozzá a mappához; ezt a mappát Tanú 2 nem használta. Arra a kérdésre, hogy a polgármesteri Facebook oldalon közzétett tartalmakat ki tölti fel, ki dönt arról milyen tartalmakat/felvételeket osszanak ott meg úgy nyilatkozott, hogy arról nem kifejezetten Polgármester dönt. Előfordult, hogy utólag szembesült azzal, hogy mi lett közzé téve; arra továbbra sem kívánt válaszolni, hogy kik töltik fel a tartalmakat.

felvételek készítésekor és tárolásba helyezésekor a Jegyző – a válasz szerint – még nem töltötte be a jelenlegi tisztségét. Ezen felvételek már nem találhatók meg, a belső vizsgálatot követően ezen video fájlokat törölték 2023. február 28. napján. A válasz szerint a felvételeket csak a közterület-felügyelet munkatársai ismerték meg. Állítását a nyilatkozatán túl egyéb módon (a tényleges megtekintéseket, mentéseket, stb. tanúsító dokumentummal) igazolni nem tudta. […] foglalkoztatási jogviszonyt igazoló szerződését (amely beosztását is tartalmazza) megküldte Ügyfél, kinevezésének napja 2021. október 21. napja volt, a jogviszonya azóta is fennáll. (35) Jelen adatvédelmi hatósági eljárás során a Hatóság mindösszesen három alkalommal szabott ki eljárási bírságot Ügyféllel szemben az alábbiak szerint: A Hatóság a NAIH-7398-14/2023. iktatószámú végzésével Ügyféllel szemben háromszázezer forint eljárási bírságot szabott ki, mivel Ügyfél – a Hatóság megállapítása szerint – a szemle eredményes lefolytatását akadályozta. Ügyfél a Hatóság végzésével szemben keresetlevelet nyújtott be a Fővárosi Törvényszékhez, melynek eredményeképpen a bíróság a Hatóság végzését megsemmisítette. A Hatóság a NAIH-507-4/2023. iktatószámú végzésével Ügyféllel szemben háromszázötvenezer forint eljárási bírságot szabott ki, mivel Ügyfél – a Hatóság megállapítása szerint – önhibájából fakadóan a tényállás tisztázását akadályozta azzal, hogy a tényállás tisztázó végzésre – a meghosszabbított határidő ellenére – határidőben nem válaszolt. Ügyfél a Hatóság végzésével szemben keresetlevelet nyújtott be a Fővárosi Törvényszékhez. A Fővárosi Törvényszék a támadott végzést megsemmisítette és új eljárás lefolytatására kötelezte a Hatóságot. A Hatóság NAIH-507- 31/2023. számon – az új eljárása keretében – kettőszázötvenezer forint eljárási bírságot szabott ki Ügyféllel szemben. A Hatóság a NAIH-507-21/2023. iktatószámú végzésével Ügyféllel szemben ötszázezer forint eljárási bírságot szabott ki, mivel Ügyfél – a Hatóság megállapítása szerint – önhibájából fakadóan a tényállás tisztázását akadályozta azzal, hogy a tényállás tisztázó végzésre – a meghosszabbított határidő ellenére – határidőben nem válaszolt teljes körűen. Ügyfél a Hatóság e végzésével szemben is keresetlevelet nyújtott be a Fővárosi Törvényszékhez.

(45) Az Infotv. 3.§ 26. pontja szerint adatvédelmi incidens: az adatbiztonság olyan sérelme, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisülését, elvesztését, módosulását, jogosulatlan továbbítását vagy nyilvánosságra hozatalát, vagy az azokhoz való jogosulatlan hozzáférést eredményezi.

(46) Az Infotv. 4. § (1) bekezdése szerint személyes adat kizárólag egyértelműen meghatározott, jogszerű célból, jog gyakorlása és kötelezettség teljesítése érdekében kezelhető. Az adatkezelésnek minden szakaszában meg kell felelnie az adatkezelés céljának, az adatok gyűjtésének és kezelésének tisztességesnek és törvényesnek kell lennie. Ugyanezen szakasz (2) bekezdése értelmében csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas; a személyes adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető. A (3) bekezdés szerint a személyes adat az adatkezelés során mindaddig megőrzi e minőségét, amíg kapcsolata az érintettel helyreállítható. Az érintettel akkor helyreállítható a kapcsolat, ha az adatkezelő rendelkezik azokkal a technikai feltételekkel, amelyek a helyreállításhoz szükségesek. A (4a) bekezdés szerint az adatkezelés során arra alkalmas műszaki vagy szervezési így különösen az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisülésével vagy károsodásával szembeni védelmet kialakító – intézkedések alkalmazásával biztosítani kell a személyes adatok megfelelő biztonságát.

(47) Az Infotv. 5. § (1) alapján személyes adat akkor kezelhető, ha a) azt törvény vagy - törvény felhatalmazása alapján, az abban meghatározott körben, különleges adatnak vagy bűnügyi személyes adatnak nem minősülő adat esetén - helyi önkormányzat rendelete közérdeken alapuló célból elrendeli, b) az a) pontban meghatározottak hiányában az az adatkezelő törvényben meghatározott feladatainak ellátásához feltétlenül szükséges és az érintett a személyes adatok kezeléséhez kifejezetten hozzájárult, c) az a) pontban meghatározottak hiányában az az érintett vagy más személy létfontosságú érdekeinek védelméhez, valamint a személyek életét, testi épségét vagy javait fenyegető közvetlen veszély elhárításához vagy megelőzéséhez szükséges és azzal arányos, vagy d) az a) pontban meghatározottak hiányában a személyes adatot az érintett kifejezetten nyilvánosságra hozta és az az adatkezelés céljának megvalósulásához szükséges és azzal arányos.

(53) Az Infotv. 25/F. § (1) bekezdése alapján a személyes adatokkal elektronikus úton végzett adatkezelési műveletek jogszerűségének ellenőrizhetősége céljából az adatkezelő és az adatfeldolgozó automatizált adatkezelési rendszerben (a továbbiakban: elektronikus napló) rögzíti a) az adatkezelési művelettel érintett személyes adatok körének meghatározását, b) az adatkezelési művelet célját és indokát, c) az adatkezelési művelet elvégzésének pontos időpontját, d) az adatkezelési műveletet végrehajtó személy megjelölését, e) a személyes adatok továbbítása esetén az adattovábbítás címzettjét.

(4) Az adatkezelői és az adatfeldolgozói nyilvántartásban, valamint az elektronikus naplóban rögzített adatokat a kezelt adat törlését követő tíz évig kell megőrizni. (54) Az Infotv. 25/I. § (1) bekezdése rögzíti, hogy az adatkezelő és az adatfeldolgozó a kezelt személyes adatok megfelelő szintű biztonságának biztosítása érdekében az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető – így különösen az érintettek különleges adatainak kezelésével járó – kockázatok mértékéhez igazodó műszaki és szervezési intézkedéseket tesz. A (2) bekezdés szerint az (1) bekezdésben meghatározott intézkedések kialakítása és végrehajtása során az adatkezelő és az adatfeldolgozó figyelembe veszi az adatkezelés összes körülményét, így különösen a tudomány és a technológia mindenkori állását, az intézkedések megvalósításának költségeit, az adatkezelés jellegét, hatókörét és céljait, továbbá az érintettek jogainak érvényesülésére az adatkezelés által jelentett változó valószínűségű és súlyosságú kockázatokat. A (3) bekezdés szerint az adatkezelő és tevékenységi körében az adatfeldolgozó az (1) bekezdésben meghatározott intézkedésekkel biztosítja a) az adatkezeléshez használt eszközök (a továbbiakban: adatkezelő rendszer) jogosulatlan személyek általi hozzáférésének megtagadását, b) az adathordozók jogosulatlan olvasásának, másolásának, módosításának vagy eltávolításának megakadályozását, c) az adatkezelő rendszerbe a személyes adatok jogosulatlan bevitelének, valamint az abban tárolt személyes adatok jogosulatlan megismerésének, módosításának vagy törlésének megakadályozását, d) az adatkezelő rendszerek jogosulatlan személyek általi, adatátviteli berendezés útján történő használatának megakadályozását, e) azt, hogy az adatkezelő rendszer használatára jogosult személyek kizárólag a hozzáférési engedélyben meghatározott személyes adatokhoz férjenek hozzá, f) azt, hogy ellenőrizhető és megállapítható legyen, hogy a személyes adatokat adatátviteli berendezés útján mely címzettnek továbbították vagy továbbíthatják, illetve bocsátották vagy bocsáthatják rendelkezésére, g) azt, hogy utólag ellenőrizhető és megállapítható legyen, hogy mely személyes adatokat, mely időpontban, ki vitt be az adatkezelő rendszerbe, h) a személyes adatoknak azok továbbítása során vagy az adathordozó szállítása közben történő jogosulatlan megismerésének, másolásának, módosításának vagy törlésének megakadályozását, i) azt, hogy üzemzavar esetén az adatkezelő rendszer helyreállítható legyen, valamint j) azt, hogy az adatkezelő rendszer működőképes legyen, a működése során fellépő hibákról jelentés készüljön, továbbá a tárolt személyes adatokat a rendszer hibás működtetésével se lehessen megváltoztatni.

(55) Az Infotv. 25/J. § (1) bekezdése szerint az adatkezelő az általa, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt adatokkal összefüggésben felmerült adatvédelmi incidens kapcsán rögzíti az (5) bekezdés a), c) és d) pontja szerinti adatokat, valamint az adatvédelmi incidenst haladéktalanul, de legfeljebb az adatvédelmi incidensről való tudomásszerzését követő hetvenkét órán belül bejelenti a Hatóságnak.

(56) Az Infotv. 25/K. § (1) Ha az adatvédelmi incidens valószínűsíthetően az érintettet megillető valamely alapvető jog érvényesülését lényegesen befolyásoló következményekkel járhat (a továbbiakban: magas kockázatú adatvédelmi incidens), a nemzetbiztonsági célú adatkezelés kivételével az adatkezelő az érintettet az adatvédelmi incidensről haladéktalanul tájékoztatja.

A Kftv. 7/A. § (1) bekezdése szerint a felügyelet a felvétel kezelése során köteles megtenni az ahhoz szükséges szervezési, technikai és egyéb adatbiztonsági intézkedéseket, hogy az érintett személy személyes adatait, így különösen magántitkait és magánéletének körülményeit illetéktelen személy tudomására jutásától megóvja. A felügyeletnek biztosítani kell továbbá, hogy a felvételen szereplő személy – a felvétel törlésének időpontjáig – megtekinthesse a róla készült felvételt.

A Kftv. 8. § (1) bekezdése szerint, ha a települési önkormányzatnál közterület-felügyelet vagy közterület-felügyelő nem működik, a 7. § (3) bekezdésében meghatározott képfelvevőt a jegyző, vagy a képviselő-testület által kijelölt, a települési önkormányzat alkalmazásában álló köztisztviselő is üzemeltetheti és kezelheti.

(61) Az Infotv. 61. § (2) bekezdése szerint a Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő – nyilvánosságra hozatalát, ha a határozat személyek széles körét érinti, azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja.

(65) Az Ákr. 104. § (1) bekezdés a) pont szerint a hatóság az illetékességi területén hivatalból megindítja az eljárást, ha az eljárás megindítására okot adó körülmény jut a tudomására, ugyanezen § (3) bekezdése szerint a hivatalbóli eljárás az első eljárási cselekmény elvégzésének napján kezdődik, megindításáról az ismert ügyfelet a hatóság értesíti.

(70) Az Ibtv. 7. §-a az elektronikus információs rendszerek biztonsági osztályba sorolásának feltételeiről rendelkezik. bekezdése értelmében az Ibtv. hatálya kiterjed a helyi önkormányzatok képviselőtestületének hivatalaira. (71) Az Ibtv. 11. § (1)-a szerint a szervezet vezetője köteles gondoskodni az elektronikus információs rendszerek védelméről a következők szerint:

a) biztosítja az elektronikus információs rendszerre irányadó biztonsági osztály tekintetében a jogszabályban meghatározott követelmények teljesülését, b) biztosítja a szervezetre irányadó biztonsági szint tekintetében a jogszabályban meghatározott követelmények teljesülését, c) az elektronikus információs rendszer biztonságáért felelős személyt nevez ki vagy bíz meg, f) meghatározza a szervezet elektronikus információs rendszerei védelmének felelőseire, feladataira és az ehhez szükséges hatáskörökre, felhasználókra vonatkozó szabályokat, illetve kiadja az informatikai biztonsági szabályzatot, g) gondoskodik az elektronikus információs rendszerek védelmi feladatainak és felelősségi köreinek oktatásáról, saját maga és a szervezet munkatársai információbiztonsági ismereteinek szinten tartásáról, h) rendszeresen végrehajtott biztonsági kockázatelemzések, ellenőrzések, auditok lefolytatása révén meggyőződik arról, hogy a szervezet elektronikus információs rendszereinek biztonsága megfelel-e a jogszabályoknak és a kockázatoknak, i) gondoskodik az elektronikus információs rendszer eseményeinek nyomon követhetőségéről, j) biztonsági esemény bekövetkezésekor minden szükséges és rendelkezésére álló erőforrás felhasználásával gondoskodik a biztonsági eseményre történő gyors és hatékony reagálásról, és ezt követően a biztonsági események kezeléséről, k) ha az elektronikus információs rendszer létrehozásában, üzemeltetésében, auditálásában, karbantartásában vagy javításában közreműködőt vesz igénybe, gondoskodik arról, hogy az e törvényben foglaltak szerződéses kötelemként teljesüljenek, * l) ha a szervezet az adatkezelési vagy az adatfeldolgozási tevékenységhez közreműködőt vesz igénybe, gondoskodik arról, hogy az e törvényben foglaltak szerződéses kötelemként teljesüljenek, m) felelős az érintetteknek a biztonsági eseményekről és a lehetséges fenyegetésekről történő haladéktalan tájékoztatásáért, n) megteszi az elektronikus információs rendszer védelme érdekében felmerülő egyéb szükséges intézkedéseket.