Lex Digitales Digital economy regulation trends monitor

← back to the document

What changed

Adatlekérdezés polgármesteri hivatalnál · редакция 1 → 2 · зафиксировано 2026-09-17 02:25 · +2 −2 lines

## Ügyszám: NAIH/2019/3417/
## I. A Hatóság a határozatában a Kérelmező kérelmének részben helyt ad és megállapítja, hogy a Kérelmezett a Kérelmező személyes adatait a GDPR 5. cikk (1) bekezdés
b) pontja szerinti célhoz kötöttség elvét megsértve jogellenesen kezelte, amikor az adatokat a személyiadat- és lakcímnyilvántartásból lekérdezte és megtekintette. II. A Hatóság hivatalból megállapította, hogy a Kérelmezett megsértette a GDPR 24. cikk (1) bekezdését, mert rendelet alkalmazandóvá válásától a személyiadat- és lakcímnyilvántartásból történő lekérdezésekkel kapcsolatosan nem foganatosított adatbiztonsági intézkedéseket. III. A Hatóság hivatalból elrendeli jelen határozatnyilvánosságra hozatalát a Hatóság honlapján. IV. A Hatóság a Kérelmező kérelmének a személyes adatai jogellenes adatkezelése megtiltására irányuló részében indult adatvédelmi hatósági eljárást végzéssel megszünteti. V. A Hatóság tekintettel arra, hogy túllépte az ügyintézési határidőt, 10.000 Ft-ot, azaz tízezer forintot a Kérelmezőnek – választása szerint – bankszámlára utalással vagy postai utalvánnyal megfizet. A Hatóság az I.-III. pontban foglalt határozatával és a IV.-V. pontban foglalt végzésével szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A kizárólag az eljárást megszüntető végzéssel szembeni perben a bíróság az egyszerűsített per szabályai szerint jár el. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.
b) pontja szerinti célhoz kötöttség elvét megsértve jogellenesen kezelte, amikor az adatokat a személyiadat- és lakcímnyilvántartásból lekérdezte és megtekintette. II. A Hatóság hivatalból megállapította, hogy a Kérelmezett megsértette a GDPR 24. cikk (1) bekezdését, mert rendelet alkalmazandóvá válásától a személyiadat- és lakcímnyilvántartásból történő lekérdezésekkel kapcsolatosan nem foganatosított adatbiztonsági intézkedéseket. III. A Hatóság hivatalból elrendeli jelen határozat nyilvánosságra hozatalát a Hatóság honlapján. IV. A Hatóság a Kérelmező kérelmének a személyes adatai jogellenes adatkezelése megtiltására irányuló részében indult adatvédelmi hatósági eljárást végzéssel megszünteti. V. A Hatóság tekintettel arra, hogy túllépte az ügyintézési határidőt, 10.000 Ft-ot, azaz tízezer forintot a Kérelmezőnek – választása szerint – bankszámlára utalással vagy postai utalvánnyal megfizet. A Hatóság az I.-III. pontban foglalt határozatával és a IV.-V. pontban foglalt végzésével szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A kizárólag az eljárást megszüntető végzéssel szembeni perben a bíróság az egyszerűsített per szabályai szerint jár el. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.
INDOKOLÁS
## III. Döntés
III. 1. A Kérelmezett tevékenysége A Kérelmezett által sérelmezett tevékenység a személyes adatainak a személyiadat- és lakcímnyilvántartásból 33 alkalommal történt lekérdezése volt. A GDPR 4. cikk 2. pontja szerint adatkezelésnek minősül a személyes adatokat nyilvántartó közhiteles elektronikusan kezelt hatósági nyilvántartásba való betekintés, a nyilvántartásból való lekérdezés. A rendelkezésre álló információk alapján megállapításra került, hogy a személyiadat- és lakcímnyilvántartásból 2018. október 30. és 2019. április 4. napja között történt lekérdezések közvetlenül nem a Kérelmező adataira irányultak. A Kérelmezett ügyintézője a személyiadat- és lakcímnyilvántartásban a Kérelmező adatait azért tekintette meg, mert a lekérdezései alkalmával megadott Vhr. 22. § (1) bekezdése szerinti keresési ismérvnek, a lakcím adatnak a Kérelmező is megfelelt, ezért a találati listában a Kérelmező személyes adatai is megjelenítésre kerültek. III. 2. A Kérelmező személyes adatai lekérdezésének célja és jogalapja 2.1. A GDPR alapján fontos, hogy az adatkezelési cél jogszerű legyen, jog gyakorlását vagy kötelezettség teljesítését szolgálja. Az adatkezelésnek az adatkezelési folyamat minden szakaszában illetve minden adatkezelési műveletet tekintve meg kell felelnie ennek a célnak. A Kérelmezett az eljárás során tett első nyilatkozata szerint közérdekű bejelentés alapján vizsgálatot folytatott le, mert a 2019. őszi […] polgármesteri választás befolyásolása céljából többen lakcímet létesítettek a községben. Ezért, 2018. október 30. és 2019. február 4. napja között 33 alkalommal kérdezte le a nevezett […] ingatlan és egyben a Kérelmező személyes adatait a személyiadat- és lakcímnyilvántartásból. A Panasztv.4. §-a értelmében közérdekű bejelentéssel bárki fordulhat a közérdekű bejelentéssel összefüggő tárgykörben eljárásra jogosult szervhez. A Hatóság a Törzsadattárban végzett lekérdezés, illetve a […] Közös Önkormányzati Hivatal Alapító Okirata alapján megállapította, hogy […] község nem a Kérelmezett, hanem […] Közös Önkormányzati Hivatal illetékességi területe alá tartozik, tehát a […] ingatlanokat érintő közérdekű bejelentések ügyében nem illetékes. Mivel a Hatóság megállapította, hogy a Kérelmezett ügyintézője az illetékességi területén kívül eső település esetében kérdezett le a hatósági nyilvántartásból személyes adatokat, ezért a tényállás tisztázása céljából újabb nyilatkozattételre hívta fel a Kérelmezettet. A Hatóság második megkeresésére válaszolva a Kérelmezett már azt a választ adta, hogy „a megkeresésében közölt napokon a Települési Szolgáltató Rendszerhez hozzáférési jogosultsággal rendelkező ügyintéző hajtott végre a lakcímre történt keresést”. A belső vizsgálata során kiderített tényeket a válaszleveléhez mellékelt jegyzőkönyv tartalmazta, mely szerint az ügyintéző azt nyilatkozta, hogy - a „TSZR rendszerben lakcímre történő keresést hajtottam végre, személyre történt keresést nem. Hivatalbóli ügy nem volt, jogalapja sem volt”. A lekérdezésnek valójában a […] településen terjedő azon tavalyi szóbeszéd valóságtartalmának ellenőrzése volt a célja, hogy polgármester, ha kell bejelent sok személyt a nagybátyjához azért, hogy ő nyerje meg a 2019. évi önkormányzati polgármester választást. A GDPR 6. cikk (1) bekezdése alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben az ott felsorolt jogalapok egyike fennáll.
III. 1. A Kérelmezett tevékenysége A Kérelmezett által sérelmezett tevékenység a személyes adatainak a személyiadat- és lakcímnyilvántartásból 33 alkalommal történt lekérdezése volt. A GDPR 4. cikk 2. pontja szerint adatkezelésnek minősül a személyes adatokat nyilvántartó közhiteles elektronikusan kezelt hatósági nyilvántartásba való betekintés, a nyilvántartásból való lekérdezés. A rendelkezésre álló információk alapján megállapításra került, hogy a személyiadat- és lakcímnyilvántartásból 2018. október 30. és 2019. április 4. napja között történt lekérdezések közvetlenül nem a Kérelmező adataira irányultak. A Kérelmezett ügyintézője a személyiadat- és lakcímnyilvántartásban a Kérelmező adatait azért tekintette meg, mert a lekérdezései alkalmával megadott Vhr. 22. § (1) bekezdése szerinti keresési ismérvnek, a lakcím adatnak a Kérelmező is megfelelt, ezért a találati listában a Kérelmező személyes adatai is megjelenítésre kerültek. III. 2. A Kérelmező személyes adatai lekérdezésének célja és jogalapja 2.1. A GDPR alapján fontos, hogy az adatkezelési cél jogszerű legyen, jog gyakorlását vagy kötelezettség teljesítését szolgálja. Az adatkezelésnek az adatkezelési folyamat minden szakaszában illetve minden adatkezelési műveletet tekintve meg kell felelnie ennek a célnak. A Kérelmezett az eljárás során tett első nyilatkozata szerint közérdekű bejelentés alapján vizsgálatot folytatott le, mert a 2019. őszi […] polgármesteri választás befolyásolása céljából többen lakcímet létesítettek a községben. Ezért, 2018. október 30. és 2019. február 4. napja között 33 alkalommal kérdezte le a nevezett […] ingatlan és egyben a Kérelmező személyes adatait a személyiadat- és lakcímnyilvántartásból. A Panasztv. 4. §-a értelmében közérdekű bejelentéssel bárki fordulhat a közérdekű bejelentéssel összefüggő tárgykörben eljárásra jogosult szervhez. A Hatóság a Törzsadattárban végzett lekérdezés, illetve a […] Közös Önkormányzati Hivatal Alapító Okirata alapján megállapította, hogy […] község nem a Kérelmezett, hanem […] Közös Önkormányzati Hivatal illetékességi területe alá tartozik, tehát a […] ingatlanokat érintő közérdekű bejelentések ügyében nem illetékes. Mivel a Hatóság megállapította, hogy a Kérelmezett ügyintézője az illetékességi területén kívül eső település esetében kérdezett le a hatósági nyilvántartásból személyes adatokat, ezért a tényállás tisztázása céljából újabb nyilatkozattételre hívta fel a Kérelmezettet. A Hatóság második megkeresésére válaszolva a Kérelmezett már azt a választ adta, hogy „a megkeresésében közölt napokon a Települési Szolgáltató Rendszerhez hozzáférési jogosultsággal rendelkező ügyintéző hajtott végre a lakcímre történt keresést”. A belső vizsgálata során kiderített tényeket a válaszleveléhez mellékelt jegyzőkönyv tartalmazta, mely szerint az ügyintéző azt nyilatkozta, hogy - a „TSZR rendszerben lakcímre történő keresést hajtottam végre, személyre történt keresést nem. Hivatalbóli ügy nem volt, jogalapja sem volt”. A lekérdezésnek valójában a […] településen terjedő azon tavalyi szóbeszéd valóságtartalmának ellenőrzése volt a célja, hogy polgármester, ha kell bejelent sok személyt a nagybátyjához azért, hogy ő nyerje meg a 2019. évi önkormányzati polgármester választást. A GDPR 6. cikk (1) bekezdése alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben az ott felsorolt jogalapok egyike fennáll.
A GDPR 6. cikk (3) bekezdése azt írja elő, hogy az (1) bekezdés c) és e) pontja szerinti adatkezelés (a továbbiakban együttesen: kötelező adatkezelés) jogalapját tagállami vagy uniós jognak kell megállapítania. Ezt a rendelkezést egészíti ki az Infotv. 5. § (3) bekezdése azzal, hogy az adatkezelés jogalapját megállapító tagállami jogszabálynak törvénynek vagy törvény felhatalmazása megalkotott önkormányzati rendeletnek kell lennie, figyelemmel az Alaptörvény I. cikk (3) bekezdésében foglaltakra is. A Hatóság megállapította, hogy a Kérelmezett megsértette a GDPR 5. cikk (1) bekezdés b) pontját, mert a Kérelmező személyes adatait jogszerű cél nélkül kezelte. Ugyanis a Kérelmező ügyintézője az Nytv. 21. § a) pontja alapján csak abban az esetben végezhetett volna „TSZR rendszerben lakcímre történő keresést”, ha az a Kérelmezett törvényben meghatározott feladata ellátásához szükséges. A Kérelmezett ügyintézője azonban a lekérdezést nem az önkormányzati feladatainak ellátásával összefüggésben, hanem abból a célból végezte, hogy a lakóhelyén a választás tisztaságát kétségbe vonó információkat alátámassza, melyek megalapozhatják a közigazgatás rendje elleni bűncselekmények esetleges fennállását is. 2.2. A Kérelmezett az egyik ügyintézőjének jogosulatlan és felhatalmazás nélküli cselekményével indokolta a 2018. október 30. és 2019. április 4. napja között történt lekérdezéseket. A Hatóság álláspontja szerint ez az érvelés nem mentesíti a Kérelmezettet az adatkezelői felelősség alól, tekintettel arra, hogy a GDPR 4. cikk 7. pontja értelmében a Kérelmezett minősül adatkezelőnek és nem a munkavállalói. A Kérelmezett az, aki megszervezi az adatkezelés folyamatát és kialakítja annak körülményeit, nem pedig az ügyintézők. Az adatkezelő legfontosabb jellemzője az, hogy érdemi döntéshozatali jogkörrel rendelkezik, és felelősséggel tartozik az adatkezelés valamennyi, a GDPR-ban rögzített kötelezettség teljesítéséért. Az Adatvédelmi Irányelv 29. cikke szerint létrehozott Adatvédelmi Munkacsoport (a továbbiakban: Adatvédelmi Munkacsoport) az „adatkezelő” és az „adatfeldolgozó” fogalmáról szóló 1/2010. számú véleményében szintén kifejtette, hogy „Végső soron a vállalatot vagy szervet kell felelősnek tekinteni az adatfeldolgozásért és az adatvédelmi jogszabályokból eredő kötelezettségekért, kivéve, ha egyértelmű elemek utalnak arra, hogy egy természetes személy a felelős. […] Azonban az ilyen esetekben is, amikor konkrét természetes személyt neveznek ki, hogy biztosítsa az adatvédelmi elvek betartását vagy hogy személyes adatokat dolgozzon fel, ez a személy nem lesz adatkezelő, hanem annak a jogi személynek (vállalatnak vagy köztestületnek) a nevében jár el, amely adatkezelői minőségében továbbra is felelős az alapelvek megsértése esetén.” Az ügyintéző által jogosulatlanul végzett lekérdezés és betekintés ténye tehát nem minősül kimentési oknak, ebben az esetben is az adatkezelő viseli a felelősséget. Mindezek alapján e határozat szerinti jogsértés a Kérelmezett, mint adatkezelő felelősségi körébe esik. A GDPR 24. cikk (1) bekezdése kimondja, hogy az adatkezelőnek megfelelő intézkedéseket kell végrehajtania annak érdekében, hogy biztosítsa a személyes adatoknak a GDPR-ral való összhangban végzett kezelését. Az Nytv. 30. § (1) bekezdése ugyanezt a kötelezettséget állapítja meg a jegyző, mint hivatalvezető esetében is. A Kérelmezett nyilatkozata szerint a jogosulatlan lekérdezésekről való tudomásvételt követően olyan intézkedést hozott, mely a nyilvántartásokból történt összes adatlekérés céljának és jogalapjának naplózását követeli meg. A Hatóság ebből kifolyólag megállapította, hogy a Kérelmezett jelen ügyet megelőzően nem intézkedett megfelelően, hogy a hozzáférési jogosultsággal bíró alkalmazottjai kizárólag a munkakörüknek megfelelően, a jogszabályok által meghatározott célból és jogalappal, a hatáskörük és illetékességük szerinti eljárások lefolytatásához, rendeltetésszerűen használják az adatbázisokat. Vagyis, a Kérelmezett az elégséges intézkedések meghozatalának hiányával nem előzte meg, hanem teret hagyott arra, hogy az ügyintézői akár öncélúan, saját használatra, megfelelő jogalap nélkül is lekérdezhessenek a nyilvántartásokból.
Dr. Péterfalvi Attila elnök c. egyetemi tanár