What changed

[22] Az Európai Unió Bírósága a C-6/64 Costa v. E.N.E.L. ügyben alakította ki a közösségi jog elsőbbségének az elvét, mely szerint az Európai Unió intézményei által alkotott jog beépül a tagállamok jogrendszerébe, amelyek kötelesek azt tiszteletben tartani, és az uniós jog a tagállamok nemzeti joga felett áll, elsőbbséget élvez azok felett. [23] A GDPR 2. cikk (1) bekezdése szerint e rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. [24] Figyelemmel az uniós jog elsőbbségének az elvére, valamint a GDPR fenti tárgyi hatályára, a perbeli esetben a felperes adatkezelésére kötelező jelleggel alkalmazandó jogszabály a GDPR. Így függetlenül attól, hogy a felperes adatkezelésére kiterjed a Haktv., valamint az Info tv. hatálya, az alperesnek elsődlegesen a GDPR szabályait kellett alkalmaznia az eljárása során. [25] A GDPR 4. cikk 12. pontja szerint „adatvédelmi incidens”: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi. [26] Tekintettel arra, hogy a felek között nem volt vitatott, hogy a panaszos igénylőlapja kikerült a nyilvánosságra, önmagában azzal, hogy az igénylőlap eljutott a sajtóhoz, megvalósult az adatvédelmi incidens a GDPR fenti rendelkezése értelmében. Mivel a jogszabály a felperesre telepíti az adat őrzésének a kötelezettségét, ha az adat kikerül, akkor nincs relevanciája annak, hogy az adat hogyan kerülhetett a sajtóhoz, az alperesnek így nem kellett bizonyítania, hogy ki volt az elkövető és milyen módon került ki az adat a felperestől. A tényállás kellően tisztázott volt, így az alperes nem sértette meg az Ákr. 62. §-át. Mivel a felperes felelőssége objektív jellegű, így önmagában az, hogy az adat eljutott a sajtóhoz, és nem ismerte fel az adatvédelmi incidenst, megalapozza a felperes felelősségét az adatvédelmi incidensért. [27] A GDPR 33. cikk (5) bekezdése szerint az adatkezelő nyilvántartja az adatvédelmi incidenseket, feltüntetve az adatvédelmi incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket. E nyilvántartás lehetővé teszi, hogy a felügyeleti hatóság ellenőrizze az e cikk követelményeinek való megfelelést. [28] Mivel a felperes nem ismerte fel az adatvédelmi incidenst, így – általa is elismerten – nem készített róla nyilvántartást. Erre figyelemmel az alperes helytállóan állapította meg, hogy a felperes megsértette a GDPR 33. cikk (5) bekezdését. [29] A GDPR 33. cikk (1) bekezdése alapján az adatvédelmi incidenst az adatkezelő indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, bejelenti az 55. cikk alapján illetékes felügyeleti hatóságnak, kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés nem történik meg 72 órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló indokokat is. [30] A periratok alapján megállapítható, hogy a felperes – nyilatkozata szerint – 2019. február 13án tudomást szerzett arról, hogy az igénylőlap megjelent a sajtóban, így onnantól számított 72 órán belül kellett volna bejelentenie az adatvédelmi incidenst az alperes felé, erre azonban nem került sor és a késedelem indokát sem igazolta. Az alperes helyesen mutatott rá, hogy a bejelentési kötelezettség alóli kivétel szűken értelmezendő, és az egészségügyi szolgáltatás igénylése tényének kiszivárgása, valamint az igénylőlap sajtó általi megjelentetése önmagában kockázattal jár a panaszos magánszférájára nézve, így a bejelentés alóli kivétel nem volt alkalmazható. Mindezek alapján az alperes jogszerűen állapította meg, hogy a felperes nem tett eleget az incidensbejelentési kötelezettségének. [31] Az Info tv. 25/A. § (1) bekezdése szerint az adatkezelő az adatkezelés jogszerűségének biztosítása érdekében az adatkezelés összes körülményéhez, így különösen céljához, valamint az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető kockázatokhoz igazodó műszaki és szervezési intézkedéseket tesz. Ugyanezen jogszabályhely (3) bekezdése kimondja, hogy ha az adatkezelő adatvédelmi tisztviselő kijelölésére köteles, az (1) bekezdésben meghatározott intézkedések részeként az adatkezelő belső adatvédelmi és adatbiztonsági szabályzatot alkot meg és alkalmaz. Az Info tv. 25/L. § (1) bekezdés a) pontja alapján a felperes adatvédelmi tisztviselő kijelölésére köteles, és erre sor is került. [32] A GDPR 24. cikk (1) bekezdése szerint az adatkezelő az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése e rendelettel összhangban történik. Ugyanezen jogszabályhely (2) bekezdése szerint, ha az az adatkezelési tevékenység vonatkozásában arányos, az (1) bekezdésben említett intézkedések részeként az adatkezelő megfelelő belső adatvédelmi szabályokat is alkalmaz. A GDPR 32. cikk (1) bekezdése is kimondja, hogy az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja. [33] A fenti rendelkezések fényében és figyelemmel arra, hogy a felperes egészségügyi intézményként nagy számban kezel a GDPR 9. cikke szerinti különleges adatokat, mindenképpen arányosnak tekinthető a felperes adatkezelési tevékenységéhez képest a belső adatvédelmi szabályzat megkövetelése. Az adatbiztonság biztosítása érdekében, még ha nem is külön szabályzatként, de legalább az adatvédelmi szabályzat részeként mindenképpen le kell szabályozni a belső incidens-kezelési folyamatokat. Ennek segítségével az adatkezelő észlelni és kezelni tudja az incidenseket, előre meghatározott szempontrendszer szerint értékelni tudja, hogy milyen kockázattal jár az incidens a természetes személyek jogaira és szabadságaira nézve, és ezek alapján meg tudja határozni, hogy az incidens-kezeléshez milyen szükséges lépéseket kell megtennie, és azokért ki a felelős. [34] A felperes által sem vitatottan a perbeli incidens megtörténtekor nem rendelkezett incidenskezelési szabályzattal. Ezáltal – ahogy azt az alperes helyesen állapította meg – egyrészt a GDPR fenti rendelkezéseit, másrészt honvédelmi célú adatkezelést folytató adatkezelőként az Info tv. 25/A. § (1) és (3) bekezdéseit is megsértette. [35] A felperes jogsértésére figyelemmel a perbeli esetben az Info tv. 61. § (1) bekezdés a) pontja folytán alkalmazandó GDPR 58. cikk (2) bekezdésében írt jogkövetkezmények alkalmazására a jogszabályi rendelkezésekkel összhangban került sor. Mind a GDPR 58. § (2) bekezdés i) pontjából, közelebbről pedig a GDPR 83. cikk (2) bekezdéséből egyértelműen az következik, hogy a tagállami felügyeleti hatóságok mérlegelésétől kell függenie mind a bírság kiszabásának, mind pedig annak, hogy a kiszabott bírság milyen mértékű, és hogy a tagállami felügyeleti hatóságok, így az alperes mérlegelését e körben csak a GDPR 83. cikk szerinti rendelkezések korlátozzák. A hatóság a körülmények mérlegelése alapján jogszerűen dönthet úgy, hogy az első alkalommal elkövetett jogsértés esetén sem figyelmeztetést, hanem bírság szankciót alkalmaz. Az adott ügyben az alperes a határozatában megfelelően megindokolta, hogy miért tartotta szükségesnek a felperessel szemben figyelmeztetés helyett bírság kiszabását, a törvényszék álláspontja szerint az alperes a figyelembe vett szempontok alapján okszerűen jutott arra a következtetésre, hogy a bírságkiszabás feltételei fennálltak. [36] Annak eldöntésében, hogy egy adott ügyben szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság konkrét összegének megállapítására vonatkozóan a GDPR széleskörű mérlegelési jogkört biztosít az alperesnek. E mérlegelési jogkör gyakorlásához iránymutatást ad a GDPR (148) és (150) preambulumbekezdése, valamint a GDPR 83. cikk (2) bekezdése, amely példálózó jelleggel felsorolja a hatóság által figyelembe veendő szempontokat, súlyosbító és enyhítő tényezőket. A mérlegelési jogkörben hozott határozatrész jogszerűségét pedig a közigazgatási bíróságnak a Kp. 85. § (5) bekezdésében foglaltak mentén kell vizsgálnia, vagyis, hogy a közigazgatási szerv hatáskörét a mérlegelésre való felhatalmazásának keretei között gyakorolta-e, a mérlegelés szempontjai és azok okszerűsége a határozatból megállapíthatóak-e. [37] A törvényszék álláspontja szerint az alperes az adott ügyben releváns körülményeket megfelelően értékelte, mérlegelte, s erről a határozatában a megfelelő jogszabályi hivatkozásokkal számot is adott, a határozat indokolásából a mérlegelés szempontjai megállapíthatók és abból a mérlegelés okszerűsége is kitűnik. Kirívó okszerűtlenséget a törvényszék nem tudott azonosítani és ilyet a felperes sem jelölt meg. Azt, hogy egyetlen személyt érintett az incidens, az alperes a határozat tanúsága szerint a bírságkiszabás körében figyelembe vette. Mivel a fentebb kifejtettek miatt a felperesnek a jogsértésért való felelőssége objektív jellegű, így sem a felróhatóságnak, sem a gondatlanságnak, illetve azok hiányának nem volt relevanciája a bírságkiszabás körében. Az alperes helyesen vette figyelembe a bírságkiszabás körében a felperesnél előfordult másik incidenst, mivel nem az számít, hogy a másik jogsértés mikor következett be, hanem a jogsértés ismétlődésének a ténye, amely fokozott adatbiztonsági kockázatot rejt magában. Összességében, a törvényszék álláspontja szerint a felperessel szemben kiszabott bírság közepesen súlyos összeg, semmiképpen sem minősíthető eltúlzottnak, figyelemmel arra, hogy a GDPR 83. cikk (4) bekezdés a) pontja a tárgybeli jogsértésre akár 10.000.000 euró, illetve az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 2%-át kitevő – s a kettő közül a magasabb összegű bírság kiszabását teszi lehetővé, amelyet az Info tv. 61. § (4) bekezdés b) pontja költségvetési szerv esetében százezertől 20 millió forintig terjedő összegben maximalizál. [38] A fentiek alapján a törvényszék megállapította, hogy az alperes jogszerű döntést hozott, mely okból a törvényszék a felperes keresetét a Kp. 88. § (1) bekezdés a) pontja alapján, mint alaptalant, elutasította.