What changed

## 51/A. § (1) bekezdése alapján NAIH-5481/2021. számon vizsgálatot indított, amelynek

Az Infotv. 2. § (3) bekezdése szerint személyes adatok bűnüldözési, nemzetbiztonsági és honvédelmi célú kezelésére e törvényt kell alkalmazni. Az Infotv. 3. § 2. pontja szerint a személyes adat az érintettre vonatkozó bármely információ Az Infotv. 3. § 3. értelmében különleges adat a személyes adatok különleges kategóriáiba tartozó minden adat, azaz a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok. Az Infotv. 3. § 3b. pontja szerint biometrikus adat az egy természetes személy fizikai, fiziológiai vagy viselkedési jellemzőire vonatkozó olyan, sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, mint például az arckép vagy a daktiloszkópiai adat. Az Infotv. 3. § 4. pontja szerint bűnügyi személyes adat a büntetőeljárás során vagy azt megelőzően a bűncselekménnyel vagy a büntetőeljárással összefüggésben, a büntetőeljárás lefolytatására, illetve a bűncselekmények felderítésére jogosult szerveknél, továbbá a büntetés-végrehajtás szervezeténél keletkezett, az érintettel kapcsolatba hozható, valamint a büntetett előéletre vonatkozó személyes adat. Az Infotv. 3. § 9. pontja értelmében adatkezelő az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között – önállóan vagy másokkal együtt az adat kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja. Az Infotv. 3. § 9a. pontja alapján közös adatkezelő az az adatkezelő, aki vagy amely törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között - az adatkezelés céljait és eszközeit egy vagy több másik adatkezelővel közösen határozza meg, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket egy vagy több másik adatkezelővel közösen hozza meg és hajtja végre vagy hajtatja végre az adatfeldolgozóval. Az Infotv. 3. § 10. pontja értelmében adatkezelés az alkalmazott eljárástól függetlenül az adaton végzett bármely művelet vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adat további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNS-minta, íriszkép) rögzítése. Az Infotv. 3. § 10a. pontja értelmében bűnüldözési célú adatkezelés a jogszabályban meghatározott feladat- és hatáskörében a közrendet vagy a közbiztonságot fenyegető veszélyek megelőzésére vagy elhárítására, a bűnmegelőzésre, a bűnfelderítésre, a büntetőeljárás lefolytatására vagy ezen eljárásban való közreműködésre, a szabálysértések megelőzésére és felderítésére, valamint a szabálysértési eljárás lefolytatására vagy ezen eljárásban való közreműködésre, továbbá a büntetőeljárásban vagy szabálysértési eljárásban megállapított jogkövetkezmények végrehajtására irányuló tevékenységet folytató szerv vagy személy (bűnüldözési adatkezelést folytató szerv) ezen tevékenység keretei között és céljából – ideértve az ezen tevékenységhez kapcsolódó személyes adatok levéltári, tudományos, statisztikai vagy történelmi célból történő kezelését is – (bűnüldözési cél) végzett adatkezelése. Az Infotv. 3. § 11. pontja szerint adattovábbítás az adat meghatározott harmadik személy számára történő hozzáférhetővé tétele. Az Infotv. 3. § 17. pontja szerint az adatfeldolgozás az adatkezelő megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által végzett adatkezelési műveletek összessége. Az Infotv. 3. § 18. pontja értelmében adatfeldolgozó az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között és feltételekkel – az adatkezelő megbízásából vagy rendelkezése alapján személyes adatokat kezel; Az Infotv. 4. § (1) bekezdése szerint személyes adat kizárólag egyértelműen meghatározott, jogszerű célból, jog gyakorlása és kötelezettség teljesítése érdekében kezelhető. Az adatkezelésnek minden szakaszában meg kell felelnie az adatkezelés céljának, az adatok gyűjtésének és kezelésének tisztességesnek és törvényesnek kell lennie. Ugyanezen szakasz (2) bekezdése értelmében csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas. A személyes adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető.

Az Infotv. 5. § (1) alapján személyes adat akkor kezelhető, ha a) azt törvény vagy - törvény felhatalmazása alapján, az abban meghatározott körben, különleges adatnak vagy bűnügyi személyes adatnak nem minősülő adat esetén - helyi önkormányzat rendelete közérdeken alapuló célból elrendeli, b) az a) pontban meghatározottak hiányában az az adatkezelő törvényben meghatározott feladatainak ellátásához feltétlenül szükséges és az érintett a személyes adatok kezeléséhez kifejezetten hozzájárult, c) az a) pontban meghatározottak hiányában az az érintett vagy más személy létfontosságú érdekeinek védelméhez, valamint a személyek életét, testi épségét vagy javait fenyegető közvetlen veszély elhárításához vagy megelőzéséhez szükséges és azzal arányos, vagy d) az a) pontban meghatározottak hiányában a személyes adatot az érintett kifejezetten nyilvánosságra hozta és az az adatkezelés céljának megvalósulásához szükséges és azzal arányos.

Az Infotv. 5.§ (7) bekezdése szerint a bűnügyi személyes adatok kezelése esetén – ha törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusa ettől eltérően nem rendelkezik – a különleges adatok kezelésének feltételeire vonatkozó szabályokat kell alkalmazni. Az Infotv. 25/A. § (1) bekezdése rögzíti, hogy az adatkezelő az adatkezelés jogszerűségének biztosítása érdekében az adatkezelés összes körülményéhez, így különösen céljához, valamint az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető kockázatokhoz igazodó műszaki és szervezési intézkedéseket tesz, ideértve indokolt esetben az álnevesítés alkalmazását. Ezeket az intézkedéseket az adatkezelő rendszeresen felülvizsgálja és szükség esetén megfelelően módosítja. Az Infotv. 25/B. § (1) bekezdése szerint ha törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusa a közös adatkezelők által végzett adatkezeléssel összefüggő kötelezettségek teljesítésével, így különösen az érintett jogainak érvényesítésével, valamint ezen kötelezettségek teljesítésének elmulasztásával kapcsolatos felelősségük megoszlását nem, vagy nem teljeskörűen határozza meg, azt – a rájuk irányadó jogi kötelezettségek által nem szabályozott mértékben – a közös adatkezelők a közöttük írásban létrejött és nyilvánosságra hozott megállapodásban határozzák meg. Az Infotv. 25/C. § (1) bekezdése alapján adatfeldolgozóként kizárólag olyan személy vagy szervezet járhat el, aki vagy amely megfelelő garanciákat nyújt az adatkezelés jogszerűségének és az érintettek jogai védelmének biztosítására alkalmas műszaki és szervezési intézkedések végrehajtására. Ezen garanciákat az adatkezelés megkezdését megelőzően az adatfeldolgozó igazolja az adatkezelő számára. Az Infotv. 25/D. § (1) bekezdése értelmében az adatkezelő és az adatfeldolgozó közötti jogviszony részletes tartalmát az e törvényben, valamint az Európai Unió kötelező jogi aktusában meghatározott keretek között jogszabály vagy az adatkezelő és az adatfeldolgozó között írásban létrehozott szerződés – ideértve az elektronikus úton létrehozott szerződést is – határozza meg. Az adatkezelő által az adatfeldolgozónak adott utasítások jogszerűségéért az adatkezelő felel.

Az Infotv. 25/F. § (1) bekezdése alapján a személyes adatokkal elektronikus úton végzett adatkezelési műveletek jogszerűségének ellenőrizhetősége céljából az adatkezelő és az adatfeldolgozó automatizált adatkezelési rendszerben (a továbbiakban: elektronikus napló) rögzíti a) az adatkezelési művelettel érintett személyes adatok körének meghatározását, b) az adatkezelési művelet célját és indokát, c) az adatkezelési művelet elvégzésének pontos időpontját, d) az adatkezelési műveletet végrehajtó személy megjelölését, e) a személyes adatok továbbítása esetén az adattovábbítás címzettjét.

(4) Az adatkezelői és az adatfeldolgozói nyilvántartásban, valamint az elektronikus naplóban rögzített adatokat a kezelt adat törlését követő tíz évig kell megőrizni. Az Infotv. 25/I. § (3) bekezdés szerint az adatkezelő és tevékenységi körében az adatfeldolgozó az (1) bekezdésben meghatározott intézkedésekkel biztosítja a) az adatkezeléshez használt eszközök (a továbbiakban: adatkezelő rendszer) jogosulatlan személyek általi hozzáférésének megtagadását, b) az adathordozók jogosulatlan olvasásának, másolásának, módosításának vagy eltávolításának megakadályozását, c) az adatkezelő rendszerbe a személyes adatok jogosulatlan bevitelének, valamint az abban tárolt személyes adatok jogosulatlan megismerésének, módosításának vagy törlésének megakadályozását, d) az adatkezelő rendszerek jogosulatlan személyek általi, adatátviteli berendezés útján történő használatának megakadályozását, e) azt, hogy az adatkezelő rendszer használatára jogosult személyek kizárólag a hozzáférési engedélyben meghatározott személyes adatokhoz férjenek hozzá, f) azt, hogy ellenőrizhető és megállapítható legyen, hogy a személyes adatokat adatátviteli berendezés útján mely címzettnek továbbították vagy továbbíthatják, illetve bocsátották vagy bocsáthatják rendelkezésére, g) azt, hogy utólag ellenőrizhető és megállapítható legyen, hogy mely személyes adatokat, mely időpontban, ki vitt be az adatkezelő rendszerbe, h) a személyes adatoknak azok továbbítása során vagy az adathordozó szállítása közben történő jogosulatlan megismerésének, másolásának, módosításának vagy törlésének megakadályozását, i) azt, hogy üzemzavar esetén az adatkezelő rendszer helyreállítható legyen, valamint j) azt, hogy az adatkezelő rendszer működőképes legyen, a működése során fellépő hibákról jelentés készüljön, továbbá a tárolt személyes adatokat a rendszer hibás működtetésével se lehessen megváltoztatni. A Kftv. 7. § (3) bekezdése szerint a felügyelet közterületen, közbiztonsági, illetve bűnmegelőzési célból, bárki számára nyilvánvalóan észlelhető módon képfelvevőt helyezhet el, és felvételt készíthet. A képfelvevő elhelyezéséről, valamint a képfelvevővel megfigyelt közterület kijelöléséről a felügyelet előterjesztésére a képviselő-testület dönt. (4) A képfelvevőt a felügyelet üzemelteti és kezeli. A felügyelet a képfelvevők elhelyezéséről és a képfelvevők által megfigyelt közterületről tájékoztatja a rendőrséget, valamint ezeket az adatokat a felügyeletet működtető önkormányzat polgármesteri hivatalának honlapján közzéteszi. (5) A képfelvevő által megfigyelt területre belépő személyek tájékoztatását elősegítő módon figyelemfelhívó jelzést, ismertetést kell elhelyezni a képfelvevők elhelyezéséről, az adatkezelés tényéről. A Rendőrségről szóló 1994. évi XXXIV. törvény (a továbbiakban: Rtv.) 42. § (2) bekezdése szerint a rendőrség közterületen, ahol az közbiztonsági, bűnmegelőzési, illetve bűnüldözési célból igazolhatóan szükséges, bárki számára nyilvánvalóan észlelhető módon képfelvevőt helyezhet el és felvételt készíthet. Az Infotv. 60.§ (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az Infotv. 60/A.§ (1) bekezdése alapján az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap. Az Ákr. 7. és 8. § alapján az adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit az Infotvben meghatározott eltérésekkel kell alkalmazni. Az Ákr. 103. § (1) bekezdése alapján a hivatalból indult hatósági eljárásban az Ákr-nek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az Ákr. VII. fejezetében foglalt eltérésekkel kell alkalmazni. Az Ákr. 104. § (1) bekezdés a) pont szerint a hatóság az illetékességi területén hivatalból megindítja az eljárást, ha az eljárás megindítására okot adó körülmény jut a tudomására, ugyanezen § (3) bekezdése szerint a hivatalbóli eljárás az első eljárási cselekmény elvégzésének napján kezdődik, megindításáról az ismert ügyfelet a hatóság értesíti. Az Infotv. 61. § (1) bekezdés b) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (3) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben megállapíthatja a személyes adatok jogellenes kezelésének tényét, elrendelheti a valóságnak nem megfelelő személyes adat helyesbítését, elrendelheti a jogellenesen kezelt személyes adatok zárolását, törlését vagy megsemmisítését, megtilthatja a személyes adatok jogellenes kezelését, megtilthatja a személyes adatok külföldre történő továbbítását vagy átadását, elrendelheti az érintett tájékoztatását, ha azt az adatkezelő jogellenesen tagadta meg, valamint bírságot szabhat ki. Az Infotv. 61. § (4) bekezdése a) pontja szerint a bírság mértéke százezertől húszmillió forintig terjedhet. Az Infotv. 61.§ (5) bekezdése alapján a Hatóság annak eldöntésében, hogy indokolt-e az (1) bekezdés b) pont bg) alpontja szerinti bírság kiszabása, illetve a bírság mértékének megállapítása során az eset összes körülményeit figyelembe veszi, így különösen a jogsértéssel érintettek körének nagyságát, a jogsértés súlyát, a magatartás felróhatóságát, valamint azt, hogy a jogsértővel szemben korábban állapítottak-e meg a személyes adatok kezelésével kapcsolatos jogsértést. Az Infotv. 61. § (2) bekezdése szerint a Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő – nyilvánosságra hozatalát, ha a határozat személyek széles körét érinti, azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja. Az Infotv. 71. § (1) bekezdése értelmében a Hatóság eljárása során – az annak lefolytatásához szükséges mértékben és ideig – kezelheti mindazon személyes adatokat, valamint törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatokat, amelyek az eljárással összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. A (2) bekezdés szerint a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja. A határozatra egyebekben az Ákr. 80.és 81. §-át kell alkalmazni.

Az adatkezelő törvényi fogalma alapján az adatkezelői minőség ismérve, hogy adatkezelő az, aki önállóan vagy másokkal együtt az adat kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja. Az adatkezelésre vonatkozó döntések körébe tartozik például annak elhatározása, hogy egy szervezet adatkezelést fog végezni. Ugyanígy az arra vonatkozó döntések is, hogy a térfigyelő kamerákkal mely területeket figyeljék meg, milyen kamerarendszert használjanak, milyen időtartamban kezelik az adatokat, kik jogosultak az adatokhoz hozzáférésre, milyen adatbiztonsági intézkedéseket alkalmaznak, igénybe vesznek-e és pontosan milyen tevékenységi körben adatfeldolgozót. Adatkezelésre vonatkozó döntés továbbá maga az adatkezelési műveletek végrehajtása és az érintetti joggyakorlással kapcsolatos adatkezelői kötelezettségek teljesítése is. Ügyfél1 jegyzőkönyvbe foglalt nyilatkozata(i), valamint a Hatóság rendelkezésére bocsátott dokumentumokban, így az adatkezelési tájékoztatóban; továbbá a Siófok város közigazgatási területén elhelyezett közterületi képfelvevők elhelyezésének kijelöléséről szóló előterjesztésben; a Siófok város közigazgatási területén elhelyezett képfelvevők számának változásáról, a 145/2013. önkormányzati határozat módosításával szóló előterjesztésben; továbbá a Siófok város közigazgatási területén elhelyezett közterületi képfelvevők elhelyezésének kijelöléséről szóló előterjesztésben foglaltak; valamint az adatkezelő rendszer, a Hatóság eljáró tagjai által a helyszínen is megtekintett eszközei és körülményei azt tanúsítják, hogy Ügyfél 1 egyértelműen adatkezelője az eljárás tárgyát képező közterületi térfigyelő rendszernek. Az Kftv. rendelkezéseinek megfelelően a Városőrség (közterület-felügyelet) javaslatára az önkormányzat döntött ugyanis a térfigyelő rendszer, vagyis az adatkezelés megkezdéséről, annak eszközeiről illetőleg a meglévő rendszer egyes elemeinek kicseréléséről, fejlesztéséről, további kamerákkal, egyéb eszközökkel történő bővítéséről. Végrehajtotta, illetőleg az adatfeldolgozóval végrehajtatta – az adatkezelésre, a térfigyelő rendszer beüzemelésére vonatkozó döntéseket. A közterület-felügyelet feladatait ellátó, adatkezelőként törvényben kijelölt Városőrség (Ügyfél 1 szervezeti egységeként) tényleges adatkezelési műveleteket végez, mint például a felvételek esetenként történő megtekintése, visszanézése, mentése, átadása az arra jogosult szerveknek.

az elszámoltathatóság és adatbiztonság követelményét az is, hogy a közterületfelügyelők (a helyszíni szemle időpontját megelőző időszakban pedig Ügyfél 2 általi tevékenységet végző személyek is) azonos loginnal lépnek be a rendszerbe; egyedileg nem rögzül, hogy ki lépett be és végzett adatkezelési műveleteket a rendszerben. Az adatkezelési tevékenységet végző személyek köre kizárólag a szolgálati beosztás alapján szűkíthető le a belépők körére. A Hatóság rámutat arra, hogy az Infotv. 25/I. § (3) bekezdés c) és e) pontjában foglalt adatbiztonsági intézkedések érvényesülése, valamint az Infotv. 25/F. §-ában foglalt elektronikus naplóra vonatkozó rendelkezéseknek való megfelelés érdekében, amennyiben a különböző adatkezelők vagy az egyes adatkezelők alkalmazásában álló különböző felhasználók az adatkezeléssel kapcsolatos feladatellátásuk függvényében eltérő adatkezelési tevékenységet jogosultak ellátni, akkor az eltérő jogosultságuknak megfelelő hozzáférési jogosultság beállítása szükséges. Az egyes felhasználók számára beállított különböző adatkezelési műveletekre vonatkozó jogosultságokról pedig naprakész nyilvántartást kell vezetni. Ilyen nyilvántartást sem Ügyfél 1 sem Ügyfél 2 nem tudott a Hatóság rendelkezésére bocsátani. A Hatóság megállapította, hogy az Infotv. 25/F. § (4) bekezdésében foglalt kötelezettség, miszerint az adatkezelői és az adatfeldolgozói nyilvántartásban, valamint az elektronikus naplóban rögzített adatokat a kezelt adat törlését követő tíz évig kell megőrizni, nem teljesülhet, hiszen a felhasználók tevékenysége – Ügyfél 1 és Ügyfél 3 nyilatkozata szerint – 30 napig tekinthető meg. E törvénysértő gyakorlat – a Bűnügyi irányelv 4. cikk (4) bekezdésben rögzített elszámoltathatóság elvének sérelmével – az adatkezelés Hatóság általi ellenőrzésének ellehetetlenülését eredményezte a tekintetben, hogy ügyfelek tevékenysége nem dokumentált, így sem az, sem pedig a nyilatkozataiban foglaltak nem ellenőrizhetőek a jogszabálynak megfelelően. A Hatóság felhívja a figyelmet, hogy e vonatkozásban az Infotv. 75. § (6) bekezdése szerinti mentesülési szabály nem alkalmazható, figyelemmel arra, hogy a jelen eljárásban vizsgált automatizált adatkezelési rendszert nem 2016. május 06-át megelőzően hozták létre. A közterületi kamerarendszer korszerűsítésére, továbbfejlesztésére, egységes videomenedzsment rendszer kialakítására 2020.06.16. napján kötött vállalkozói szerződés alapján került sor. Ügyfél 1 és Ügyfél 3 nyilatkozata szerint e rendszerben végzett felhasználói tevékenység naplózása gyári beállítás szerint 30 nap, mely azonban átállítható nagyobb intervallumra is. A Hatóság megállapította, hogy Ügyfél 3 munkavállalója megsértette az Infotv. 25/D. § (3) bekezdés a) pontját – mely szerint az adatfeldolgozó tevékenysége során kizárólag az adatkezelő írásbeli utasítása alapján jár el – azzal, hogy adatkezelők tudta és utasítása nélkül szerepkörök módosítását, törlését és létrehozását végezte el a Hatóság Ügyfél 1 székhelyén végzett helyszíni szemléjének befejezése és Ügyfél 2 székhelyén végzett helyszíni szemléjének megkezdése közötti időszakban.