What changed

I.6. A fentieken túl a Kérelmezett tájékoztatta a Hatóságot, hogy nem tud arról nyilatkozni, hogy milyen személyes adatok találhatók az informatikai eszközön, mert „A […] -nak az adatok eszközön való tényleges elhelyezéséről nem állt módjában megbizonyosodni, tekintettel arra, hogy az szükségszerűen az adatok megismeréséhez vezetne, amelyet a […] kizárólag a kérelmező személyes jelenlétében tart jogszerűnek a kérelmező erre irányuló kérésére és hozzájárulására figyelemmel.” A Kérelmezett a Kérelmező munkaviszonyának megszüntetésekor vette vissza a Kérelmező kizárólagos használatára átadott számítógépet hivatkozással a munka törvénykönyvéről szóló 2012. évi I. törvény 80. § (1) bekezdésére, mely alapján a munkavállaló munkaviszonya megszüntetésekor munkakörét az előírt rendben köteles átadni és a munkavállalóval elszámolni. A Kérelmezett nyilatkozata szerint „A […] - nak a kérelmezővel kapcsolatos anomáliát megelőzően nem volt az informatikai eszközök használatára vonatkozó belső szabályzata, ugyanakkor a […] hangsúlyozza, hogy a tulajdonában álló informatikai eszközön történő magáncélú személyes adatkezelést nem engedélyezte és ennek feltételeit – úgy mint a Tisztelt Hatóság tájékoztatójában foglalt, a laptop merevlemezén történő partíció létrehozása – sem teremtette meg.” I.7.A Kérelmező 2019. március 14. napján továbbította a Hatóság részére a 2019. március 01. napján készült jegyzőkönyv (a továbbiakban: Jegyzőkönyv) másolatát, mely a Kérelmező hozzáférési és törlési kérelem teljesítését dokumentálja. A jegyzőkönyv szövege szerint: A kérelmezett IT Irodavezetője a lezárt csomagolásban lévő (a kérelmező személyes adatait tartalmazó) eszközt a Kérelmezett tárgyalótermébe áthozták. A kérelmező jogi képviselője kérésére a Kérelmezett adatvédelmi tisztviselője másolati példányt készített arról a jegyzőkönyvről, mely a számítástechnikai eszköz átvételét követő napon (2018. október 09. napján) történő adatkimentéssel kapcsolatos körülményeket rögzíti, az alábbiak szerint. „A 2018. október 9-én kelt jegyzőkönyv tanúsága szerint azt a kérelmező nem írta alá. Az abban foglalt törlésre irányuló intézkedés azért nem került végrehajtásra, mert a kérelmező megtagadta a jegyzőkönyv aláírását, amely által nem volt felhatalmazása a […] - nak az adatok törlésére, ezért a kérelmező eredeti kérelmét a […] felmondottnak tekintette, amelyben az adatok kimentését és törlését kérte a kérelmező.” A jegyzőkönyvvezető megállapította, hogy az eszköz bélyegzővel ellátott papírja sértetlen, továbbá, hogy a gép felnyitását és bekapcsolását követően megállapítást nyert, hogy […] profiljával volt bekapcsolva a gép. A Kérelmező jogi képviselő az alábbi kérdéseket tette fel a Kérelmezett rendszergazdája részére: „Miért nem jött be a BitLocker ezen a gépen, amikor bekapcsoltuk? - Elképzelhető, hogy azért, mert nem lett kikapcsolva a gép, mivel amikor lehajtják a fedelet, akkor alvó állapotba kerül. Miért […] neve alatti profil jön fel, amikor bekapcsoltuk? - Mert amikor a kérelmező jelenlétében az első adatmentést megkísérelték, domain adminnal végezték, és aki domain adminnal belép, annak a profilját hozza fel. Jelzem, hogy én ezt a gépet akkor láttam utoljára, amikor a fenti adatmentést megkíséreltük.” A Kérelmező állítása szerint a számítógépet eleve bekapcsolt állapotban vitték el az irodájából, 2018. október 8. napján a délelőtti órákban. A Kérelmező és az informatikusok megtekintették a gépen található eseménynaplót (log fájl), amiről az informatikusok kimentik a szükséges adatokat, majd a Kérelmező és a Kérelmezett közösen megállapították, hogy a kérelmező által kért valamennyi személyes adata az érintett eszközről, részére kimentésre került, illetve a Kérelmezett is kimentette saját részére a tevékenységével kapcsolatos adatokat, majd miután az adatoknak az eszközre történő kimentésének folyamata befejeződött, és a Kérelmező által törölni kért személyes adatok visszaállíthatatlanul törlésre kerültek. I.8. A Hatóság hivatkozással a Kérelmező által 2019. március 14. napján küldött Jegyzőkönyvre felhívta a Kérelmezettet arra, hogy küldje meg a Hatóság részére a Kérelmező kizárólagos használatára átadott, majd a Kérelmező munkaviszonyának megszüntetésekor visszavett számítógépről lementett logfájlokat, továbbá tájékoztassa a Hatóságot arról, hogy az egyes azonosítók kihez tartoznak annak megállapítása érdekében, hogy egyértelműen megállapítható legyen, hogy ki és mikor lépett be a számítógépbe. A Hatóság ugyanezen logfájlok becsatolását a Kérelmezőtől is kérte végzésében. A Hatóság annak érdekében kérte be az említett logfájlokat, hogy felderítse azt, hogy a számítástechnikai eszköz visszavétele és az érintetti kérelem teljesítése közötti időszakban beléptek-e abba, illetve használták-e azt. A Kérelmező arra hivatkozott, hogy a logfájlokat nem tudja megküldeni a Hatóság részére, mert az a részére nem került átadásra. A Kérelmezett logfájlok kiadására vonatkozó felhívásra küldött nyilatkozata szerint a Kérelmezett „a saját jogos érdekében másolta ki technikai célokra figyelemmel” a logfájlokat. A Kérelmező érintetti – hozzáférési és törlési - kérelmének teljesítését követően a Kérelmezett úgy ítélte meg, hogy már nem szükséges azok tárolása, ezért törölte azokat. A Hatóság úgy ítélte meg, hogy a Kérelmezett újabb nyilatkozata szükséges, többek között annak tisztázására, hogy mire alapozta azt a feltevést, hogy a továbbiakban már nincs szüksége a logfájlokra, és azokat miért nem csatolta már be az 1. számú nyilatkozatával, melyben az alábbiakkal kapcsolatos felhívásra kellett választ adni és azt alátámasztó bizonyítékokat becsatolni:

Az Ákr. 64. § (2) bekezdés értelmében, ha az ügyfél vagy képviselője más tudomása ellenére az ügy szempontjából jelentős adatot valótlanul állít vagy elhallgat – ide nem értve, ha a tanú nem hallgatható meg vagy a tanúvallomást az Ákr. 66. § (3) bekezdés b) és c) pontjában meghatározott okból megtagadhatja –, eljárási bírsággal sújtható. Az Ákr. 65. § (1) és (2) bekezdése alapján a hatóság, ha a tényállás tisztázása során szükséges, és az az Eüsztv. alapján nem szerezhető be, felhívhatja az ügyfelet okirat vagy más irat bemutatására. Az általános adatvédelmi rendelet 58. cikk (1) bekezdése szerint a felügyeleti hatóság vizsgálati hatáskörében eljárva – egyebek mellett – az adatkezelőtől a feladatai elvégzéséhez szükséges tájékoztatást kérhet, és a felügyeleti hatóság számára az adatkezelő köteles hozzáférést adni a feladatainak teljesítéséhez szükséges minden személyes adathoz és minden információhoz. Az Ákr. 66. § (3) bekezdésének jelen ügyben releváns rendelkezése alapján a nyilatkozattétel akkor tagadható meg, ha az ügyfél nyilatkozatával saját magát vagy hozzátartozóját bűncselekmény elkövetésével vádolná vagy a sajtószabadságról és a médiatartalmak alapvető szabályairól szóló törvény szerinti médiatartalom-szolgáltató (a továbbiakban: médiatartalom-szolgáltató), vagy vele munkaviszonyban vagy munkavégzésre irányuló egyéb jogviszonyban álló személy – a jogviszonya megszűnése után is –, és a nyilatkozatával a számára a médiatartalom-szolgáltatói tevékenységgel összefüggésben információt átadó személy kilétét felfedné. Az Ákr. 77. §-ában foglaltak alapján azt, aki a kötelezettségét önhibájából megszegi, a hatóság az okozott többletköltségek megtérítésére kötelezi, illetve eljárási bírsággal sújthatja. Az eljárási bírság legkisebb összege esetenként tízezer forint, legmagasabb összege – ha törvény másként nem rendelkezik – természetes személy esetén ötszázezer forint, jogi személy vagy egyéb szervezet esetén egymillió forint azzal, hogy az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja és 83. cikke alapján a Hatóság az 58. cikk (1) bekezdésében előírt hozzáférés-biztosítási kötelezettség megsértése esetén legfeljebb 20 000 000 EUR vagy – vállalkozás esetében, ha az magasabb – az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összegű bírsággal sújthatja az adatkezelőt, illetve az adatfeldolgozót az eset összes releváns körülményének mérlegelése alapján.