Что изменилось

Ügyszám: Előzmény:

d) annak ellenőrizhetőségét és megállapíthatóságát, hogy mely személyes adatokat, mikor és ki vitte be az automatikus adatfeldolgozó rendszerekbe;

III.

III.1. A kérelem tartalma, a hatósági eljárás tárgya A kérelemben a Kérelmezők azt kifogásolták, hogy a személyes adataik Adatkezelő általi kezelése során megvalósult adatvédelmi incidenst az Adatkezelő nem minősítette ekként, és azzal összefüggésben nem teljesítette kötelezettségeit, így például nem jelentette be azt a Hatóságnak. A Hatóság, a kérelem elbírálása érdekében, az eljárás során megvizsgálta, hogy a vizsgált eset megvalósított-e a Kérelmezők személyes adataira vonatkozóan adatvédelmi incidenst, és amennyiben igen, azzal kapcsolatban teljesítette-e ez Adatkezelő a számára a GDPR által előírt kötelezettségeket. A Kérelmezők általánosságban az incidens esetén fennálló kötelezettségek Adatkezelő általi teljesítésének hiányát kifogásolták, így a Hatóság a GDPR 33-34. cikkében foglaltak szerint folytatta le az adatvédelmi vizsgálatot a kérelem keretei között. A Hatóság nem vizsgálta azt, hogy az Intézetvezető általi hozzáférések időpontjában az Adatkezelő teljesítette-e a MedSolution és eMedSolution rendszerekkel összefüggésben végrehajtott adatkezelésre vonatkozóan az akkor hatályban lévő jogszabályokban fennálló, a személyes adatok biztonságának garantálására irányuló kötelezettségeit, illetve meghozta-e és alkalmazta-e a tőle elvárható intézkedéseket. A Hatóság, annak vizsgálatára, hogy ezekre a jelenleg is használt rendszerekre vonatkozóan megfelelő technikai és intézkedések vannak-e érvényben az Adatkezelőnél az adatbiztonság garantálására, a jelen eljárástól elkülönülten, hivatalból indíthat vizsgálati vagy hatósági eljárást. A Hatóság emellett nem vizsgálta jelen eljárásban azt sem, hogy az Intézetvezető elkövetett-e jogellenes adatkezelést a Kérelmezők személyes adataihoz való hozzáféréssel, tárolásával, illetve harmadik személyekkel való közlésével. Ennek vizsgálata során az Intézetvezető minősülne adatkezelőnek, mivel ezen adatkezelés (például a lekérdezett adatok tárolása, közlése) célját, és körülményeit ő maga határozta meg. Tekintettel arra, hogy a Kérelmezők kérelme kizárólag az Adatkezelő adatvédelmi incidenssel kapcsolatos kötelezettségeinek teljesítésére vonatkozott, a Hatóság jelen eljárása csak ennek vizsgálatára terjedt ki. III.2. Adatkezelő kiléte A Kérelmezők kérelmükben a Szegedi Tudományegyetemet jelölték meg, mint Kérelmezett adatkezelőt, amelyet a Kérelmezett válaszaiban nem vitatott. Az esettel érintett MedSolution, illetve eMedSolution rendszerekben történő adatkezelés vonatkozásában tehát a Kérelmezett minősül adatkezelőnek. III.3. Adatvédelmi incidens bekövetkezése Az Adatkezelő az eljárás során azt nyilatkozta, hogy az eset nem valósított meg adatvédelmi incidenst, ezzel kapcsolatban hivatkozott arra is, hogy az eljárásuk helyességét támasztotta alá a Hatósággal 2019. április 8-án folytatott konzultáció is, ahol „megerősítést kapott” a Hatóság részéről jelenlévőktől, hogy „az esemény nem adatvédelmi incidens volt.” A Hatóság hangsúlyozza, hogy a megbeszélés általános adatvédelmi kérdésekre terjedt ki, azon a Hatóság a konkrét esettel kapcsolatban hivatalos álláspontot nem alakított ki. Az ennek során, a körülmények pontos ismerete nélkül megfogalmazott vélemény nem minősül a Hatóság hivatalos álláspontjának, a GDPR 5. cikk (2) bekezdése, illetve 24. cikke alapján az adatkezelő felelős az adatkezelésre vonatkozó elveknek való megfelelésért, illetve a megfelelés igazolásáért, valamint olyan intézkedéseket kell hoznia, amelyek alkalmasak arra, hogy biztosítsa és bizonyítsa azt, hogy az adatkezelés a GDPR-ban foglaltaknak megfelelően történik. Az Intézetvezető általi hozzáférésekre a GDPR alkalmazandóvá válása, 2018. május 25. előtt került sor (a naplófájlokat tartalmazó táblázat tanúsága alapján 2016. június és 2017. október közötti időszakban), arról az Adatkezelő a Kérelmezők 2018. augusztus 28-án kelt panasza alapján szerzett tudomást. „Amikor az adatkezelő egyéntől, médiaszervezettől vagy más forrásból először értesül esetleges adatvédelmi incidensről, vagy saját maga észlel biztonsági incidenst, rövid vizsgálatot folytathat annak megállapítása érdekében, hogy valóban sérültek-e adatok.”1 Az Adatkezelőnek akkor kell megállapítania, hogy adatvédelmi incidens következett-e be, amikor ezzel kapcsolatos információ jut tudomására. A vizsgált ügyben az Adatkezelőnek tehát a Kérelmezők jelzését követően kellett megállapítania, hogy történt-e adatvédelmi incidens. Annak vizsgálata során, hogy történt-e adatvédelmi incidens, a GDPR 4. cikk 12. pontjából kell kiindulni, amely szerinti a „biztonság sérülése” esetén lehet adatvédelmi incidens bekövetkezését megállapítani, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.2 A biztonság sérülése körében a Hatóság arra a kérdésre fókuszált, hogy az Adatkezelőtől elvárható volt-e olyan adatbiztonsági intézkedés meghozatala, amely megakadályozta volna az Intézetvezető általi jogosulatlan hozzáférést, vagy ilyen jogosulatlan hozzáférésről megfelelő időben jelzést küldött volna az Adatkezelő számára. Ha ugyanis ilyen intézkedés nem volt elvárható az Adatkezelőtől, akkor nem beszélhetünk a "biztonság sérüléséről", illetve ennek hiányában pedig adatvédelmi incidensről, és kizárólag az Intézetvezető jogellenes adatkezelését lehetne vizsgálni. Amennyiben elvárható erre irányuló adatbiztonsági intézkedés az Adatkezelőtől, akkor viszont megállapítható a "biztonság sérülése", melyből az következik, hogy az Intézetvezető tevékenységével megvalósuló eset az Adatkezelő adatkezelése során megvalósuló adatvédelmi incidensnek minősül. Szükséges azt a sajátosságot is rögzíteni, hogy az Adatkezelőtől elvárható adatbiztonsági intézkedések esetében a 2016. június és 2017. október közötti időszakban hatályos Infotv. rendelkezéseit kell alkalmazni. Ennek oka az, hogy a Kérelmezők által megküldött, naplófájlokat tartalmazó táblázat tanúsága alapján az Intézetvezető 2016. június és 2017. október közötti időszakban fért hozzá a MedSolution, illetve eMedSolution rendszerben a Kérelmezők személyes adataihoz. Ezért az adatbiztonsági követelmények tekintetében az Infotv. ebben az időszakban hatályos rendelkezéseit, illetve az ezen időszakban fennálló egyéb – például ágazati jogszabályban megállapított, a 29-es Munkacsoport3 iránymutatásaiban, véleményeiben, illetve a Hatóság ezen időszakban keletkezett döntéseiben megfogalmazott adatvédelmi követelményeket kell vizsgálni.

Az Infotv. adatbiztonságra vonatkozó rendelkezései magas szintű adatbiztonságot követeltek meg az adatkezelőktől, amely intézkedésekkel nem csak az Infotv.-nek, hanem más jogszabályoknak való megfelelést is biztosítania kellett az adatkezelőknek. Ez azért lényeges az Adatkezelő esetében, mivel egészségügyi szolgáltatónak minősül, ezért az egészségügyi adatok kezelése tekintetében az Eüaktv.-re is figyelemmel kell lennie. Ez utóbbi, 6. §-ában megerősíti az Infotv. adatbiztonságra vonatkozó rendelkezéseit, és külön hangsúlyozza ennek fontosságát az egészségügyi adatok tekintetében. Ahogy azt a Hatóság 2013. november 7.-én kelt, NAIH-559-26/2013/H. számú határozatában az Infotv. 7. § (6) bekezdését illetően megfogalmazta, " [az adatkezelőktől] – tekintettel gazdasági súlyukra és arra, hogy több mint 50 ezer érintett személyes adatát kezelték – elvárható volt, hogy ennek a kikötésnek úgy tesznek eleget, hogy a rendelkezésre álló adatbiztonsági technikák közül a leghatékonyabbat alkalmazzák." Ezen túlmenően a Hatóság ugyanezen határozatában kimondta azt is, hogy "meg kell említeni azt a nemzetközi gyakorlatban is számon kért elvárást, amely szerint az ügyek elbírálása során tekintettel kell lenni az érintette elvárásaira, várakozásaira személyes adataik (magánszférájuk) védelmével kapcsolatban." A Hatóság régóta következetes álláspontja szerint általános elvárás az adatkezelőkkel szemben, hogy az adatbiztonság szintjének meghatározása során figyelemmel legyenek gazdasági súlyukra, illetve az érintettek számára, az érintettek elvárásaira és várakozásaira. A korábban hivatkozott ügyben a Hatóság hangsúlyozta, hogy külön nyomatékot ad a megfelelő adatbiztonsági intézkedéseknek az is, hogy ennek hiányában az adatkezelő felelős lehet az adatvédelmi incidensben: "az adatbiztonsági intézkedések hiányossága révén adatvédelmi jogi értelemben tehát egyértelműen megragadható az adatkezelő jogellenes közrehatása abban, hogy az egyébként szintén jogellenes hackertámadás elérje célját, és a személyes adatok nyilvánosságra kerüljenek."4 A 29-es Munkacsoport 3/2014. számú véleményében kiemeli annak fontosságát, hogy az adatkezelők proaktívak legyenek és megfelelően tervezzék meg az adatbiztonsági intézkedéseiket, és hangsúlyozza azt, hogy az adatkezelőknek értékelni kell az adatkezelés kockázatait, és ezekre tekintettel kell meghozniuk a szükségesnek tartott adatbiztonsági intézkedéseket. Figyelemmel tehát az Adatkezelőre vonatkozó jogszabályokra, a Hatóság gyakorlatára, és a 29-es Munkacsoport véleményére, az Adatkezelőtől elvárható (volt), hogy a rendszerrel összefüggő adatkezelésre vonatkozó adatbiztonsági intézkedések megtervezése, alkalmazása során figyelemmel legyen az alábbiakra:

## Jogkövetkezmények

6 34909/2018. számú Alapító Okirat

Dr. Péterfalvi Attila elnök c. egyetemi tanár