Lex Digitales Digital economy regulation trends monitor

← back to the document

What changed

Zárt adatkezelés szabályainak megsértése büntetőeljárás során · редакция 1 → 2 · зафиксировано 2026-09-17 02:24 · +8 −8 lines

…………………………………………………………………………………………………………………………………………………………..................... 1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu
## I.1. megállapítja az információs önrendelkezési jogról és az információszabadságról szóló
2011. évi CXII. törvény (a továbbiakban: Infotv.)61. § (1) bekezdés ba) alpontja alapján, hogy a Kérelmezett megsértette az Infotv.25/I. § (1) bekezdésének és (3) bekezdés b) és h) pontját. I. 2. Megállapítja, hogy a Kérelmezett megsértette az Infotv. 25/J. § (1) bekezdését. I.3. Megállapítja az Infotv. 61. § (1) bekezdés ba) alpontja alapján, hogy a Kérelmezett megsértette az Infotv. 4. § (1) – (2) bekezdését.
2011. évi CXII. törvény (a továbbiakban: Infotv.) 61. § (1) bekezdés ba) alpontja alapján, hogy a Kérelmezett megsértette az Infotv. 25/I. § (1) bekezdésének és (3) bekezdés b) és h) pontját. I. 2. Megállapítja, hogy a Kérelmezett megsértette az Infotv. 25/J. § (1) bekezdését. I.3. Megállapítja az Infotv. 61. § (1) bekezdés ba) alpontja alapján, hogy a Kérelmezett megsértette az Infotv. 4. § (1) – (2) bekezdését.
## II. Hivatalból elrendeli a végleges határozatnak Kérelmezett, mint adatkezelő azonosító
adatainak közzétételével történő nyilvánosságra hozatalát.
## III. A HatóságKérelmezettet a megállapított jogsértések miatt hivatalból
## III. A Hatóság Kérelmezettet a megállapított jogsértések miatt hivatalból
## 300.000.-Ft, azaz háromszázezer forint adatvédelmi bírság
[9] A kérelem alapján a Hatóság az Infotv. 60. § (1) bekezdése szerint a NAIH-5415-5/2022.
számú végzésével adatvédelmi hatósági eljárást indított, melynek keretében az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 63. §-a alapján nyilatkozattételre hívta fel a Kérelmezettet. [10] A Kérelmezett […] számú levelében az incidenssel kapcsolatban tett nyilatkozatának lényege szerintKérelmezők 2022. március 24. napon benyújtott közös beadványában Kérelmező2 sérelmezi, hogy a […] számú eljárás során, annak ellenére, hogy nevükre is kiterjedő zárt adatkezelést kértek, az eljárást megszüntető határozatban – a határozatot megkapó címzettek között – feltüntetésre került Kérelmező2 mint feljelentő neve. [11] Kérelmezett a beadványban foglaltakat kivizsgálta, és megállapította, hogy Kérelmezők valóban kérték személyes adataik teljeskörű, névre is kiterjedő zártan kezelését, amelyet az ügyintéző elmulasztott, tekintettel arra, hogy a Kérelmező2 tanúvallomásáról készült jegyzőkönyv kivonatán feltüntetésre került Kérelmező2 neve, amely a nyomozati iratok részeként megküldésre került a gyanúsított védője számára, valamint, hogy nem gondoskodott a megküldött nyomozati iratok anonimizálásáról Kérelmező1 vonatkozásában sem, akinek személyes adatai szintén szerepeltek a megküldött nyomozati iratok között, továbbá, hogy a […] számon hozott, eljárást megszüntető határozatban is feltüntetésre került Kérelmező2 mint feljelentő neve. [12] Kérelmezett megállapította, hogy a Be. törvény 99. §-ában foglalt zárt adatkezelésre vonatkozó rendelkezés megsértésével adatvédelmi incidens következett be, hiszen a Kérelmezők személyes adatainak terhelti oldalról történő megismerésével sérült a személyes adatok védelme. [13] A Kérelmezett nyilatkozata szerint: „Az ügy előadója az eljárás megszüntető határozat készítése során arra az álláspontra helyezkedett, hogy a Be. törvény 99. § (10) bekezdés szerint a jogszabály a vádirat, az eljárást felfüggesztő vagy megszüntető határozat és az ügydöntő határozat kivételével tiltja az adatok nyilvánosságra hozatalát – emellett a Be. törvény 363. § (9) bekezdésre visszautalva – a zárt adatkezeléssel érintett személy hozzájárulása nélkül történő továbbítást engedi, ezért az előadó úgy vélte, hogy helyesen járt el.” [14] A Kérelmezett az incidenst nem jelentette be a Hatósághoz, mert nem minősítette kockázatosnak, tekintettel arra, hogy az alapeljárás tárgyául szolgáló hagyatéki eljárás során Kérelmezők és az általuk feljelentett személy rokoni kapcsolatban - unokatestvérek - álltak, ebből kifolyólag korábban megismerték egymás személyes adatait, továbbá a hagyatéki eljárás sajátosságaiból adódóan megismerhették a másik felet érintő vagyoni változásokat is. [15] A Kérelmezett arról tájékoztatta a Hatóságot, hogy a […] számon indult eljárás befejeződött, további nyomozati cselekmények nem kerültek foganatosításra, továbbá, hogy nem jutott olyan információ birtokába, amely szerint a Kérelmezők személyes adataival visszaéltek volna.
számú végzésével adatvédelmi hatósági eljárást indított, melynek keretében az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 63. §-a alapján nyilatkozattételre hívta fel a Kérelmezettet. [10] A Kérelmezett […] számú levelében az incidenssel kapcsolatban tett nyilatkozatának lényege szerint Kérelmezők 2022. március 24. napon benyújtott közös beadványában Kérelmező2 sérelmezi, hogy a […] számú eljárás során, annak ellenére, hogy nevükre is kiterjedő zárt adatkezelést kértek, az eljárást megszüntető határozatban – a határozatot megkapó címzettek között – feltüntetésre került Kérelmező2 mint feljelentő neve. [11] Kérelmezett a beadványban foglaltakat kivizsgálta, és megállapította, hogy Kérelmezők valóban kérték személyes adataik teljeskörű, névre is kiterjedő zártan kezelését, amelyet az ügyintéző elmulasztott, tekintettel arra, hogy a Kérelmező2 tanúvallomásáról készült jegyzőkönyv kivonatán feltüntetésre került Kérelmező2 neve, amely a nyomozati iratok részeként megküldésre került a gyanúsított védője számára, valamint, hogy nem gondoskodott a megküldött nyomozati iratok anonimizálásáról Kérelmező1 vonatkozásában sem, akinek személyes adatai szintén szerepeltek a megküldött nyomozati iratok között, továbbá, hogy a […] számon hozott, eljárást megszüntető határozatban is feltüntetésre került Kérelmező2 mint feljelentő neve. [12] Kérelmezett megállapította, hogy a Be. törvény 99. §-ában foglalt zárt adatkezelésre vonatkozó rendelkezés megsértésével adatvédelmi incidens következett be, hiszen a Kérelmezők személyes adatainak terhelti oldalról történő megismerésével sérült a személyes adatok védelme. [13] A Kérelmezett nyilatkozata szerint: „Az ügy előadója az eljárás megszüntető határozat készítése során arra az álláspontra helyezkedett, hogy a Be. törvény 99. § (10) bekezdés szerint a jogszabály a vádirat, az eljárást felfüggesztő vagy megszüntető határozat és az ügydöntő határozat kivételével tiltja az adatok nyilvánosságra hozatalát – emellett a Be. törvény 363. § (9) bekezdésre visszautalva – a zárt adatkezeléssel érintett személy hozzájárulása nélkül történő továbbítást engedi, ezért az előadó úgy vélte, hogy helyesen járt el.” [14] A Kérelmezett az incidenst nem jelentette be a Hatósághoz, mert nem minősítette kockázatosnak, tekintettel arra, hogy az alapeljárás tárgyául szolgáló hagyatéki eljárás során Kérelmezők és az általuk feljelentett személy rokoni kapcsolatban - unokatestvérek - álltak, ebből kifolyólag korábban megismerték egymás személyes adatait, továbbá a hagyatéki eljárás sajátosságaiból adódóan megismerhették a másik felet érintő vagyoni változásokat is. [15] A Kérelmezett arról tájékoztatta a Hatóságot, hogy a […] számon indult eljárás befejeződött, további nyomozati cselekmények nem kerültek foganatosításra, továbbá, hogy nem jutott olyan információ birtokába, amely szerint a Kérelmezők személyes adataival visszaéltek volna.
[16] A Kérelmezett az adatvédelmi incidens feltárását és annak kivizsgálását követően az alábbi intézkedéseket foganatosította:
[32] Az Infotv. 2. § (3) bekezdése szerint személyes adatok bűnüldözési, nemzetbiztonsági és honvédelmi célú kezelésére e törvényt kell alkalmazni. [33] Az Infotv. 3. § 2. pontja szerint a személyes adat az érintettre vonatkozó bármely információ. [34] Az Infotv. 3. § 4. pontja szerint bűnügyi személyes adat a büntetőeljárás során vagy azt megelőzően a bűncselekménnyel vagy a büntetőeljárással összefüggésben, a büntetőeljárás lefolytatására, illetve a bűncselekmények felderítésére jogosult szerveknél, továbbá a büntetés-végrehajtás szervezeténél keletkezett, az érintettel kapcsolatba hozható, valamint a büntetett előéletre vonatkozó személyes adat.
[35] Az Infotv. 3. § 9. pontja értelmében adatkezelő az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között – önállóan vagy másokkal együtt az adat kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja. [36] Az Infotv. 3. § 10. pontja értelmében adatkezelés az alkalmazott eljárástól függetlenül az adaton végzett bármely művelet vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adat további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNS-minta, íriszkép) rögzítése. [37] Az Infotv. 3. § 10a. pontja értelmében bűnüldözési célú adatkezelés a jogszabályban meghatározott feladat- és hatáskörében a közrendet vagy a közbiztonságot fenyegető veszélyek megelőzésére vagy elhárítására, a bűnmegelőzésre, a bűnfelderítésre, a büntetőeljárás lefolytatására vagy ezen eljárásban való közreműködésre, a szabálysértések megelőzésére és felderítésére, valamint a szabálysértési eljárás lefolytatására vagy ezen eljárásban való közreműködésre, továbbá a büntetőeljárásban vagy szabálysértési eljárásban megállapított jogkövetkezmények végrehajtására irányuló tevékenységet folytató szerv vagy személy (bűnüldözési adatkezelést folytató szerv) ezen tevékenység keretei között és céljából – ideértve az ezen tevékenységhez kapcsolódó személyes adatok levéltári, tudományos, statisztikai vagy történelmi célból történő kezelését is – (bűnüldözési cél) végzett adatkezelése. [38] Az Infotv. 4. § (1) bekezdése szerint személyes adat kizárólag egyértelműen meghatározott, jogszerű célból, jog gyakorlása és kötelezettség teljesítése érdekében kezelhető. Az adatkezelésnek minden szakaszában meg kell felelnie az adatkezelés céljának, az adatok gyűjtésének és kezelésének tisztességesnek és törvényesnek kell lennie. [39] Az Infotv. 4. § (2) bekezdése szerint csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas. A személyes adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető. [40] Az Infotv. 5. §(1) alapján személyes adat akkor kezelhető, ha a) azt törvény vagy – törvény felhatalmazása alapján, az abban meghatározott körben, különleges adatnak vagy bűnügyi személyes adatnak nem minősülő adat esetén – helyi önkormányzat rendelete közérdeken alapuló célból elrendeli, b) az a) pontban meghatározottak hiányában az az adatkezelő törvényben meghatározott feladatainak ellátásához feltétlenül szükséges és az érintett a személyes adatok kezeléséhez kifejezetten hozzájárult, c) az a) pontban meghatározottak hiányában az az érintett vagy más személy létfontosságú érdekeinek védelméhez, valamint a személyek életét, testi épségét vagy javait fenyegető közvetlen veszély elhárításához vagy megelőzéséhez szükséges és azzal arányos, vagy d) az a) pontban meghatározottak hiányában a személyes adatot az érintett kifejezetten nyilvánosságra hozta és az az adatkezelés céljának megvalósulásához szükséges és azzal arányos.
[35] Az Infotv. 3. § 9. pontja értelmében adatkezelő az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között – önállóan vagy másokkal együtt az adat kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja. [36] Az Infotv. 3. § 10. pontja értelmében adatkezelés az alkalmazott eljárástól függetlenül az adaton végzett bármely művelet vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adat további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNS-minta, íriszkép) rögzítése. [37] Az Infotv. 3. § 10a. pontja értelmében bűnüldözési célú adatkezelés a jogszabályban meghatározott feladat- és hatáskörében a közrendet vagy a közbiztonságot fenyegető veszélyek megelőzésére vagy elhárítására, a bűnmegelőzésre, a bűnfelderítésre, a büntetőeljárás lefolytatására vagy ezen eljárásban való közreműködésre, a szabálysértések megelőzésére és felderítésére, valamint a szabálysértési eljárás lefolytatására vagy ezen eljárásban való közreműködésre, továbbá a büntetőeljárásban vagy szabálysértési eljárásban megállapított jogkövetkezmények végrehajtására irányuló tevékenységet folytató szerv vagy személy (bűnüldözési adatkezelést folytató szerv) ezen tevékenység keretei között és céljából – ideértve az ezen tevékenységhez kapcsolódó személyes adatok levéltári, tudományos, statisztikai vagy történelmi célból történő kezelését is – (bűnüldözési cél) végzett adatkezelése. [38] Az Infotv. 4. § (1) bekezdése szerint személyes adat kizárólag egyértelműen meghatározott, jogszerű célból, jog gyakorlása és kötelezettség teljesítése érdekében kezelhető. Az adatkezelésnek minden szakaszában meg kell felelnie az adatkezelés céljának, az adatok gyűjtésének és kezelésének tisztességesnek és törvényesnek kell lennie. [39] Az Infotv. 4. § (2) bekezdése szerint csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas. A személyes adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető. [40] Az Infotv. 5. § (1) alapján személyes adat akkor kezelhető, ha a) azt törvény vagy – törvény felhatalmazása alapján, az abban meghatározott körben, különleges adatnak vagy bűnügyi személyes adatnak nem minősülő adat esetén – helyi önkormányzat rendelete közérdeken alapuló célból elrendeli, b) az a) pontban meghatározottak hiányában az az adatkezelő törvényben meghatározott feladatainak ellátásához feltétlenül szükséges és az érintett a személyes adatok kezeléséhez kifejezetten hozzájárult, c) az a) pontban meghatározottak hiányában az az érintett vagy más személy létfontosságú érdekeinek védelméhez, valamint a személyek életét, testi épségét vagy javait fenyegető közvetlen veszély elhárításához vagy megelőzéséhez szükséges és azzal arányos, vagy d) az a) pontban meghatározottak hiányában a személyes adatot az érintett kifejezetten nyilvánosságra hozta és az az adatkezelés céljának megvalósulásához szükséges és azzal arányos.
[41] Az Infotv. 5. §(2) bekezdése szerint különleges adat a) az (1) bekezdés c)-d) pontjában meghatározottak szerint, vagy b) akkor kezelhető, ha az törvényben kihirdetett nemzetközi szerződés végrehajtásához feltétlenül szükséges és azzal arányos, vagy azt az Alaptörvényben biztosított alapvető jog érvényesítése, továbbá a nemzetbiztonság, a bűncselekmények megelőzése, felderítése vagy üldözése érdekében vagy honvédelmi érdekből törvény elrendeli. [42] Az Infotv. 5. § (7) bekezdése szerint a bűnügyi személyes adatok kezelése esetén – ha törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusa ettől eltérően nem rendelkezik – a különleges adatok kezelésének feltételeire vonatkozó szabályokat kell alkalmazni. [43] Az Infotv. 25/I. § (1) bekezdése szerint az adatkezelő és az adatfeldolgozó a kezelt személyes adatok megfelelő szintű biztonságának biztosítása érdekében az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető - így különösen az érintettek különleges adatainak kezelésével járó - kockázatok mértékéhez igazodó műszaki és szervezési intézkedéseket tesz. [44] Az Infotv. 25/I. § (2) bekezdése szerint az (1) bekezdésben meghatározott intézkedések kialakítása és végrehajtása során az adatkezelő és az adatfeldolgozó figyelembe veszi az adatkezelés összes körülményét, így különösen a tudomány és a technológia mindenkori állását, az intézkedések megvalósításának költségeit, az adatkezelés jellegét, hatókörét és céljait, továbbá az érintettek jogainak érvényesülésére az adatkezelés által jelentett változó valószínűségű és súlyosságú kockázatokat. [45] Az Infotv. 25/I. § (3) bekezdés b) pontja szerint az adatkezelő és tevékenységi körében az adatfeldolgozó az (1) bekezdésben meghatározott intézkedésekkel biztosítja az adathordozók jogosulatlan olvasásának, másolásának, módosításának vagy eltávolításának megakadályozását. [46] Az Infotv. 25/I. § (3) bekezdés h) pontja szerint az adatkezelő és tevékenységi körében az adatfeldolgozó az (1) bekezdésben meghatározott intézkedésekkel biztosítja a személyes adatoknak azok továbbítása során vagy az adathordozó szállítása közben történő jogosulatlan megismerésének, másolásának, módosításának vagy törlésének megakadályozását.
[41] Az Infotv. 5. § (2) bekezdése szerint különleges adat a) az (1) bekezdés c)-d) pontjában meghatározottak szerint, vagy b) akkor kezelhető, ha az törvényben kihirdetett nemzetközi szerződés végrehajtásához feltétlenül szükséges és azzal arányos, vagy azt az Alaptörvényben biztosított alapvető jog érvényesítése, továbbá a nemzetbiztonság, a bűncselekmények megelőzése, felderítése vagy üldözése érdekében vagy honvédelmi érdekből törvény elrendeli. [42] Az Infotv. 5. § (7) bekezdése szerint a bűnügyi személyes adatok kezelése esetén – ha törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusa ettől eltérően nem rendelkezik – a különleges adatok kezelésének feltételeire vonatkozó szabályokat kell alkalmazni. [43] Az Infotv. 25/I. § (1) bekezdése szerint az adatkezelő és az adatfeldolgozó a kezelt személyes adatok megfelelő szintű biztonságának biztosítása érdekében az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető - így különösen az érintettek különleges adatainak kezelésével járó - kockázatok mértékéhez igazodó műszaki és szervezési intézkedéseket tesz. [44] Az Infotv. 25/I. § (2) bekezdése szerint az (1) bekezdésben meghatározott intézkedések kialakítása és végrehajtása során az adatkezelő és az adatfeldolgozó figyelembe veszi az adatkezelés összes körülményét, így különösen a tudomány és a technológia mindenkori állását, az intézkedések megvalósításának költségeit, az adatkezelés jellegét, hatókörét és céljait, továbbá az érintettek jogainak érvényesülésére az adatkezelés által jelentett változó valószínűségű és súlyosságú kockázatokat. [45] Az Infotv. 25/I. § (3) bekezdés b) pontja szerint az adatkezelő és tevékenységi körében az adatfeldolgozó az (1) bekezdésben meghatározott intézkedésekkel biztosítja az adathordozók jogosulatlan olvasásának, másolásának, módosításának vagy eltávolításának megakadályozását. [46] Az Infotv. 25/I. § (3) bekezdés h) pontja szerint az adatkezelő és tevékenységi körében az adatfeldolgozó az (1) bekezdésben meghatározott intézkedésekkel biztosítja a személyes adatoknak azok továbbítása során vagy az adathordozó szállítása közben történő jogosulatlan megismerésének, másolásának, módosításának vagy törlésének megakadályozását.
[47] Az Infotv. 25/J. § (1) bekezdése szerint az adatkezelő az általa, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt adatokkal összefüggésben felmerült adatvédelmi incidens kapcsán rögzíti az (5) bekezdés a), c) és d) pontja szerinti adatokat, valamint az adatvédelmi incidenst haladéktalanul, de legfeljebb az adatvédelmi incidensről való tudomásszerzését követő hetvenkét órán belül bejelenti a Hatóságnak. [48] Az Infotv. 25/K. § (1) bekezdése szerint, ha az adatvédelmi incidens valószínűsíthetően az érintettet megillető valamely alapvető jog érvényesülését lényegesen befolyásoló következményekkel járhat (a továbbiakban: magas kockázatú adatvédelmi incidens), a nemzetbiztonsági célú adatkezelés kivételével az adatkezelő az érintettet az adatvédelmi incidensről haladéktalanul tájékoztatja. [49] Az Infotv. 61. § (2) bekezdés b) pontja szerint a Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő nyilvánosságra hozatalát, ha azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta. [50] A Be. 99. § (1) bekezdése szerint a bíróság, az ügyészség és a nyomozó hatóság indítványra elrendeli, hogy a sértett, a vagyoni érdekelt és az egyéb érdekelt vagy ezek segítőjének a nevét, születési nevét, születési helyét és idejét, anyja nevét, állampolgárságát, személyazonosító okmányának számát, lakcímét, értesítési címét, tényleges tartózkodási helyét, kézbesítési címét, illetve elektronikus elérhetőségét zártan kezeljék (a továbbiakban: zárt adatkezelés). [51] A Be. 99. § (5) bekezdése szerint a zártan kezelt személyes adatot csak az ügyben eljáró bíróság, ügyészség és nyomozó hatóság kezelheti, és azokat az érintett hozzájárulása nélkül csak a) az ügyben eljáró bíróság, ügyészség és nyomozó hatóság részére, b) az áldozatsegítő szolgálat részére az áldozatsegítéssel kapcsolatos feladatok ellátása, és a pártfogó felügyelői szolgálat részére a közvetítői eljárás lefolytatása céljából, az e feladatok ellátásához elengedhetetlenül szükséges mértékben lehet továbbítani. [52] A Be. 99. § (6) bekezdése szerint a bíróság, az ügyészség és a nyomozó hatóság biztosítja, hogy a zártan kezelt személyes adat az eljárás egyéb adataiból se váljon megismerhetővé. [53] A Be. 99. § (7) bekezdése szerint a zárt adatkezelés elrendelését követően az eljáró bíróság, ügyészség és nyomozó hatóság a) a sértett, a vagyoni érdekelt és az egyéb érdekelt zártan kezelt személyes adatait tartalmazó ügyiratot, illetve bizonyítási eszközt zártan kezeli, b) a sértett, a vagyoni érdekelt és az egyéb érdekelt személyazonosságát az azonosításra alkalmas iratok megtekintésével állapítja meg, illetve c) a zárt adatkezelést – egyes személyes adatok vonatkozásában is – csak a sértett, a vagyoni érdekelt és az egyéb érdekelt beleegyezésével szüntetheti meg. [54] A Be. 99. § (8) bekezdése szerint a (7) bekezdés a) pontja alapján zártan kezelt ügyirat zárt adatkezeléssel nem érintett részének megismerését az általános szabályok szerint kell biztosítani, így különösen az ügyiratról készült olyan kivonattal, amely a zártan kezelt személyes adatokat nem tartalmazza. [55] A Be. 99. § (9) bekezdése szerint a zárt adatkezelés nem akadálya annak, hogy a bíróság, az ügyészség és a nyomozó hatóság, ha az a büntetőeljárási feladatainak teljesítéséhez elengedhetetlen, a zártan kezelt egyes személyes adatokat a büntetőeljárási feladattal közvetlenül érintett ügyiraton feltüntesse és a zárt adatkezeléssel érintett személy hozzájárulása nélkül továbbítsa. [56] A Be. 99. § (10) bekezdése szerint a (9) bekezdés alkalmazása esetén a büntetőeljárási feladat teljesítését követően a vádirat, az eljárást felfüggesztő vagy megszüntető határozat, az ügydöntő határozat és az 560. § (3b) bekezdése szerinti ügyirat kivételével az ilyen ügyiratot a (7) bekezdés a) pontja alapján zártan kell kezelni. [57] A Be. 100. § (1) bekezdése szerint az eljárás ügyiratait a) a terhelt és védője a terhelt gyanúsítotti kihallgatását követően, b) a sértett az őt érintő bűncselekménnyel összefüggésben és c) az egyéb érdekelt és a vagyoni érdekelt az őt érintő körben erre irányuló indítványra ismerheti meg. [58] A Be. 100. § (2) bekezdése alapján az (1) bekezdés szerinti megismerés joga az eljárás valamennyi ügyiratára kiterjed, ideértve a bíróság, az ügyészség és a nyomozó hatóság által beszerzett, illetve a büntetőeljárásban részt vevő személyek által benyújtott, valamint csatolt iratokat és a további bizonyítási eszközöket is. [59] A Be. 100. § (5) bekezdése szerint a megismerés joga nem érinti az eljárás zártan kezelt ügyirataira vonatkozó külön rendelkezéseket, valamint az adatok zártan kezelésének kötelezettségét. [60] A Be. 102. § (1) – (3) bekezdései szerint:
[67] A kérelemre indult adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az
Infotv-ben meghatározott eltérésekkel. [68] Az Ákr. 62. § (1) bekezdése szerint, ha a döntéshozatalhoz nem elegendőek a rendelkezésre álló adatok, a hatóság bizonyítási eljárást folytat le. [69] Az Ákr. 63. §-a szerint, ha a tényállás tisztázása azt szükségessé teszi, a hatóság az ügyfelet nyilatkozattételre hívhatja fel. Az Ákr. 64. § (1) bekezdése szerint, ha jogszabály nem zárja ki, az ügyfél a nyilatkozatával pótolhatja a hiányzó bizonyítékot, ha annak beszerzése nem lehetséges. [70] Az Ákr. 65. § (1) és (2) bekezdése alapján a hatóság, ha a tényállás tisztázása során szükséges, és az az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény alapján nem szerezhető be, felhívhatja az ügyfelet okirat vagy más irat bemutatására. Nem kérhető az ügyféltől szakhatósági állásfoglalás vagy előzetes szakhatósági állásfoglalás csatolása, továbbá az ügyfél azonosításához szükséges adatok kivételével nem kérhető olyan adat, amely nyilvános, vagy amelyet jogszabállyal rendszeresített közhiteles nyilvántartásnak tartalmaznia kell. Ha törvény vagy kormányrendelet másként nem rendelkezik, az ügyfél az iratot másolatban is benyújthatja, ha nyilatkozik arról, hogy az az eredetivel mindenben megegyezik. [71] Az Infotv. 60/A.§ (1) bekezdése alapján az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap, amely határidőbe nem számít bele a tényállás tisztázásához szükséges adatok közlésére irányuló felhívástól az annak teljesítéséig terjedő idő. [72] Az Infotv. 61. § (1) bekezdés b) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (3) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben megállapíthatja a személyes adatok jogellenes kezelésének tényét,elrendelheti a valóságnak nem megfelelő személyes adat helyesbítését, elrendelheti a jogellenesen kezelt személyes adatok zárolását, törlését vagy megsemmisítését, megtilthatja a személyes adatok jogellenes kezelését, megtilthatja a személyes adatok külföldre történő továbbítását vagy átadását, elrendelheti az érintett tájékoztatását, ha azt az adatkezelő jogellenesen tagadta meg, valamintbírságot szabhat ki. [73] Az Infotv. 61. § (4) bekezdése a) pontja szerint a bírság mértéke százezertől húszmillió forintig terjedhet. [74] Az Infotv. 61. § (5) bekezdése alapján a Hatóság annak eldöntésében, hogy indokolt-e az (1)
Infotv-ben meghatározott eltérésekkel. [68] Az Ákr. 62. § (1) bekezdése szerint, ha a döntéshozatalhoz nem elegendőek a rendelkezésre álló adatok, a hatóság bizonyítási eljárást folytat le. [69] Az Ákr. 63. §-a szerint, ha a tényállás tisztázása azt szükségessé teszi, a hatóság az ügyfelet nyilatkozattételre hívhatja fel. Az Ákr. 64. § (1) bekezdése szerint, ha jogszabály nem zárja ki, az ügyfél a nyilatkozatával pótolhatja a hiányzó bizonyítékot, ha annak beszerzése nem lehetséges. [70] Az Ákr. 65. § (1) és (2) bekezdése alapján a hatóság, ha a tényállás tisztázása során szükséges, és az az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény alapján nem szerezhető be, felhívhatja az ügyfelet okirat vagy más irat bemutatására. Nem kérhető az ügyféltől szakhatósági állásfoglalás vagy előzetes szakhatósági állásfoglalás csatolása, továbbá az ügyfél azonosításához szükséges adatok kivételével nem kérhető olyan adat, amely nyilvános, vagy amelyet jogszabállyal rendszeresített közhiteles nyilvántartásnak tartalmaznia kell. Ha törvény vagy kormányrendelet másként nem rendelkezik, az ügyfél az iratot másolatban is benyújthatja, ha nyilatkozik arról, hogy az az eredetivel mindenben megegyezik. [71] Az Infotv. 60/A.§ (1) bekezdése alapján az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap, amely határidőbe nem számít bele a tényállás tisztázásához szükséges adatok közlésére irányuló felhívástól az annak teljesítéséig terjedő idő. [72] Az Infotv. 61. § (1) bekezdés b) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (3) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben megállapíthatja a személyes adatok jogellenes kezelésének tényét, elrendelheti a valóságnak nem megfelelő személyes adat helyesbítését, elrendelheti a jogellenesen kezelt személyes adatok zárolását, törlését vagy megsemmisítését, megtilthatja a személyes adatok jogellenes kezelését, megtilthatja a személyes adatok külföldre történő továbbítását vagy átadását, elrendelheti az érintett tájékoztatását, ha azt az adatkezelő jogellenesen tagadta meg, valamint bírságot szabhat ki. [73] Az Infotv. 61. § (4) bekezdése a) pontja szerint a bírság mértéke százezertől húszmillió forintig terjedhet. [74] Az Infotv. 61. § (5) bekezdése alapján a Hatóság annak eldöntésében, hogy indokolt-e az (1)
bekezdés b) pont bg) alpontja szerinti bírság kiszabása, illetve a bírság mértékének megállapítása során az eset összes körülményeit figyelembe veszi, így különösen a jogsértéssel érintettek körének nagyságát, a jogsértés súlyát, a magatartás felróhatóságát, valamint azt, hogy a jogsértővel szemben korábban állapítottak-e meg a személyes adatok kezelésével kapcsolatos jogsértést.
bekezdésre visszautalva” fordulata nem értelmezhető, tekintettel arra, hogy a nyilatkozattétel időpontjában hatályos Be. nem tartalmazott – és a jelenleg hatályos Be. sem tartalmaz - a Kérelmezett által hivatkozott 363. § (9) bekezdést.
[85] A fentiekre tekintettel állapította meg a Hatóság az Infotv. 61. § (1) bekezdés ba) alpontja alapján a személyes adatok jogellenes kezelésének tényét az Infotv.25/I. § (1) bekezdésében és (3) bekezdés b) és h) pontjaiban foglalt adatbiztonsági intézkedések megsértése okán. [86] A Hatóság a kérelemre tekintettel, valamint a tényállás teljeskörű tisztázása érdekében is vizsgálta, és megállapította, hogy jelen ügyben a büntetőeljárásban foganatosított egyéb eljárási cselekmények során a már azonosított incidensen kívül egyéb esetben nem következett be a Kérelmezők személyes adatai zártan történő kezelésének elmulasztásából adódó jogosulatlan hozzáférést és adattovábbítást eredményező incidens, melyet Kérelmezett nyilatkozata alátámasztott. III.2. Az incidens bejelentésének elmulasztása, az incidens kockázatának meghatározása [87] A Kérelmezett az ügyben parancsnoki kivizsgálást rendelt el, melynek eredményeként megállapította az adatvédelmi incidens bekövetkezését. Az incidenst azért nem jelentette be a Hatósághoz, mert álláspontja szerint az nem járt kockázattal a Kérelmezők jogaira nézve, tekintettel arra, hogy a feljelentők (Kérelmezők) és a feljelentett a rokoni kapcsolat miatt, illetve az alapeljárás tárgyául szolgáló hagyatéki eljárás során is ismerhették egymás személyes adatait. [88] A Hatóság nem fogadja el a Kérelmezett azon érvelését, amely szerint az incidens hatása elhanyagolható az érintettekre nézve, mivel a szemben álló felek rokoni kapcsolata miatt egyébként is ismerik egymást, illetve egymás személyes adatait. A Kérelmezők ugyanis éppen az ügy családi vonatkozása miatt kérték kifejezetten a nevükre is kiterjedően a személyes adataik zárt kezelését, mivel álláspontjuk szerint éppen a rokoni kapcsolatok miatt fűződött nyomós érdekük ahhoz, hogy ne derüljön fény a kilétükre. Esetükben a nevük azért volt önmagában védendő adat, hogy azok ne kerüljenek összekapcsolásra a feljelentői minőséggel, hogy a feljelentett ne tudja meg, hogy név szerint kik voltak a feljelentők. A személyes adataik zárt kezelésének elmulasztásával pedig éppen az következett be, amit igyekeztek elkerülni, ezért az incidens sérelmes a számukra. [89] A Kérelmezők a hagyatéki eljárás során érdekellentétben álltak a feljelentett családtaggal. A feljelentők személyének gyanúsított általi megismerése és a büntetőeljárás (mely a feljelentő és feljelentett viszonyában alapvetően is feszültséggel jár) tovább fokozhatja az ellentéteket feljelentő és feljelentett családtagok és akár további családtagok között. A Kérelmezőknek törvény biztosította joguk a zárt adatkezelés kérvényezése, amelynek indokát nem kell külön részletezniük. Azt állították, hogy nyomós érdekük fűződik a kilétük titokban maradásához. Emellett az Mvtv. biztosítja számukra a magánélet tiszteletben tartásához való jogot3. Az Mvtv. 8. § (1) bekezdésében foglalt jelen ügyre vonatkozó rendelkezés értelmében a magánélet tiszteletben tartásához való jog célja a személyes adatok védelme. Az Mvtv. 9. § (1) bekezdése
[85] A fentiekre tekintettel állapította meg a Hatóság az Infotv. 61. § (1) bekezdés ba) alpontja alapján a személyes adatok jogellenes kezelésének tényét az Infotv. 25/I. § (1) bekezdésében és (3) bekezdés b) és h) pontjaiban foglalt adatbiztonsági intézkedések megsértése okán. [86] A Hatóság a kérelemre tekintettel, valamint a tényállás teljeskörű tisztázása érdekében is vizsgálta, és megállapította, hogy jelen ügyben a büntetőeljárásban foganatosított egyéb eljárási cselekmények során a már azonosított incidensen kívül egyéb esetben nem következett be a Kérelmezők személyes adatai zártan történő kezelésének elmulasztásából adódó jogosulatlan hozzáférést és adattovábbítást eredményező incidens, melyet Kérelmezett nyilatkozata alátámasztott. III.2. Az incidens bejelentésének elmulasztása, az incidens kockázatának meghatározása [87] A Kérelmezett az ügyben parancsnoki kivizsgálást rendelt el, melynek eredményeként megállapította az adatvédelmi incidens bekövetkezését. Az incidenst azért nem jelentette be a Hatósághoz, mert álláspontja szerint az nem járt kockázattal a Kérelmezők jogaira nézve, tekintettel arra, hogy a feljelentők (Kérelmezők) és a feljelentett a rokoni kapcsolat miatt, illetve az alapeljárás tárgyául szolgáló hagyatéki eljárás során is ismerhették egymás személyes adatait. [88] A Hatóság nem fogadja el a Kérelmezett azon érvelését, amely szerint az incidens hatása elhanyagolható az érintettekre nézve, mivel a szemben álló felek rokoni kapcsolata miatt egyébként is ismerik egymást, illetve egymás személyes adatait. A Kérelmezők ugyanis éppen az ügy családi vonatkozása miatt kérték kifejezetten a nevükre is kiterjedően a személyes adataik zárt kezelését, mivel álláspontjuk szerint éppen a rokoni kapcsolatok miatt fűződött nyomós érdekük ahhoz, hogy ne derüljön fény a kilétükre. Esetükben a nevük azért volt önmagában védendő adat, hogy azok ne kerüljenek összekapcsolásra a feljelentői minőséggel, hogy a feljelentett ne tudja meg, hogy név szerint kik voltak a feljelentők. A személyes adataik zárt kezelésének elmulasztásával pedig éppen az következett be, amit igyekeztek elkerülni, ezért az incidens sérelmes a számukra. [89] A Kérelmezők a hagyatéki eljárás során érdekellentétben álltak a feljelentett családtaggal. A feljelentők személyének gyanúsított általi megismerése és a büntetőeljárás (mely a feljelentő és feljelentett viszonyában alapvetően is feszültséggel jár) tovább fokozhatja az ellentéteket feljelentő és feljelentett családtagok és akár további családtagok között. A Kérelmezőknek törvény biztosította joguk a zárt adatkezelés kérvényezése, amelynek indokát nem kell külön részletezniük. Azt állították, hogy nyomós érdekük fűződik a kilétük titokban maradásához. Emellett az Mvtv. biztosítja számukra a magánélet tiszteletben tartásához való jogot3. Az Mvtv. 8. § (1) bekezdésében foglalt jelen ügyre vonatkozó rendelkezés értelmében a magánélet tiszteletben tartásához való jog célja a személyes adatok védelme. Az Mvtv. 9. § (1) bekezdése
3 Mvtv. 1. § Mindenkinek joga van ahhoz, hogy magán- és családi életét, otthonát, kapcsolattartását (a továbbiakban együtt: magánélethez való jog) tiszteletben tartsák.
## IV. Jogkövetkezmények
[91] A Hatóság az Infotv. 61. § (1) bekezdés ba) alpontja alapján, kérelemre megállapítja a személyes adatok jogellenes kezelésének tényét, tekintettel arra, hogy Kérelmezett az eljárása során a hiányos adatbiztonsági intézkedése okán megsértetteaz Infotv.25/I. § (1) bekezdését, valamint a (3) bekezdés b) és h) pontjában foglaltakat, mert elmulasztotta a Kérelmezők személyes adatainak zártan történő kezelését. Egyik esetben az előadó tévesen értelmezte a Be. normaszövegét, mely értelmezés azonban tulajdonképpen kiüresítené a zárt adatkezelés intézményét, hiszen az alapján akkor a vádemelésnél vagy az eljárás megszüntetésénél mindenképpen kiderülnének a zárt adatkezelést kérő személy adatai. A másik esetben azonban nem a normaszöveg téves értelmezése miatt mulasztott, hanem hanyagságból küldte meg nem anonimizált formában a feljelentést, mint nyomozati iratot a gyanúsított védője részére. [92] Ugyancsak az Infotv. 61. § (1) bekezdés ba) alpontja alapján a Hatóság megállapította a személyes adatok jogellenes kezelésének tényét, tekintettel arra, hogy a Kérelmezett megsértette az Infotv. 4. § (1) - (2) bekezdését azzal, hogy jogszerű cél hiányában, szükségtelenül rögzítette a Kérelmező2 nevét a […] számon hozott, eljárást megszüntető határozatban. [93] A Hatóság megállapította az Infotv. 25/J. § (1) bekezdésének megsértését is, tekintettel arra, hogy a Kérelmezett az adatvédelmi incidenst nem jelentette be a Hatósághoz.
[91] A Hatóság az Infotv. 61. § (1) bekezdés ba) alpontja alapján, kérelemre megállapítja a személyes adatok jogellenes kezelésének tényét, tekintettel arra, hogy Kérelmezett az eljárása során a hiányos adatbiztonsági intézkedése okán megsértette az Infotv. 25/I. § (1) bekezdését, valamint a (3) bekezdés b) és h) pontjában foglaltakat, mert elmulasztotta a Kérelmezők személyes adatainak zártan történő kezelését. Egyik esetben az előadó tévesen értelmezte a Be. normaszövegét, mely értelmezés azonban tulajdonképpen kiüresítené a zárt adatkezelés intézményét, hiszen az alapján akkor a vádemelésnél vagy az eljárás megszüntetésénél mindenképpen kiderülnének a zárt adatkezelést kérő személy adatai. A másik esetben azonban nem a normaszöveg téves értelmezése miatt mulasztott, hanem hanyagságból küldte meg nem anonimizált formában a feljelentést, mint nyomozati iratot a gyanúsított védője részére. [92] Ugyancsak az Infotv. 61. § (1) bekezdés ba) alpontja alapján a Hatóság megállapította a személyes adatok jogellenes kezelésének tényét, tekintettel arra, hogy a Kérelmezett megsértette az Infotv. 4. § (1) - (2) bekezdését azzal, hogy jogszerű cél hiányában, szükségtelenül rögzítette a Kérelmező2 nevét a […] számon hozott, eljárást megszüntető határozatban. [93] A Hatóság megállapította az Infotv. 25/J. § (1) bekezdésének megsértését is, tekintettel arra, hogy a Kérelmezett az adatvédelmi incidenst nem jelentette be a Hatósághoz.
[94] Mindezekre tekintettel a Hatóság az Infotv. 61. § (1) bekezdés b) pontjának bg) alpontja alapján a Kérelmezettel szemben adatvédelmi bírság kiszabásáról döntött. A bírságkiszabás mind a speciális, mind a generális prevenciót is szolgálja. A feltárt jogsértésekre tekintettel a Hatóság álláspontja szerint jelen esetben indokolt a bírság kiszabása. [95] A Hatóság a bírság mértékének meghatározásakor enyhítő körülményként értékelte a
Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár