Hungarian Data Protection Authority (NAIH): Employer’s review of employee’s e-mail and devices

Ügyszám: NAIH/2019/769/ Tárgy: Kérelemnek részben (NAIH/2018/5997/H.) helyt adó határozat

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] által képviselt […]; a továbbiakban: Kérelmező) kérelmére, a […] által képviselt […]; a továbbiakban:

Kötelezett) a Kérelmező e-mail-fiókja és számítástechnikai eszközei áttekintésével és ellenőrzésével összefüggő adatkezelését érintő, 2018. november 7. napján indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza: I. A Hatóság

HATÁROZATÁBAN

1) a Kérelmező kérelmének ré szben hely t ad és megállapítja, hogy a Kötelezett a tisztességes adatkezelés elvébe ütközően kezelte a Kérelmező személyes adatait e-mail-fiókja áttekintése és ellenőrzése vonatkozásában, továbbá az ezen ellenőrzéssel összefüggő adatkezelésről jogellenesen nem nyújtott előzetes tájékoztatást;

2) a Hatóság utasítja a Kötelezettet arra, hogy a jelen határozat véglegessé válásától számított 15 napon belül a Kérelmező bevonásával és tájékoztatásával vizsgálja felül, hogy a Kérelmező e-mailfiókja sérelmezett, Kötelezett általi áttekintése és ellenőrzése során mely – a munkavégzéssel össze nem függő (magáncélú) – személyes adatait, levelezéseit ismerte meg, illetve tárolta, és azokat törölje azzal, hogy a jelen határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok kezelését korlátozni kell oly módon, hogy azok nem törölhetők, illetve nem semmisíthetők meg, ugyanakkor a tároláson és a közigazgatási perben a bíróság általi felhasználáson kívül más módon nem használhatók fel; ennek során a Kötelezett köteles lehetővé tenni, a kizárólag magáncélú adatokról a Kérelmező saját céljára másolatot készítsen, továbbá a nem törölt adatok vonatkozásában az adatkezelésről a Kérelmezőt megfelelően tájékoztatni;

3) A Hatóság hivatalból megállapítja, hogy a Kötelezett a Kérelmező e-mail-fiókja ellenőrzésével összefüggő adatkezelése során az elszámoltathatóság alapelvi követelményét megsértve nem tett megfelelő technikai, szervezési intézkedéseket, annak érdekében, hogy az általa, a munkavállalók számára biztosított e-mail-fiókok és számítástechnikai eszközök használatával összefüggésben, valamint ennek ellenőrzése során biztosítsa a személyes adatok védelmét, és nem gondoskodott az érintettek megfelelő tájékoztatásáról;

4) A Hatóság hivatalból utasítja a Kötelezettet arra, hogy a a jelen határozat véglegessé válásától számított 30 napon belül megfelelő, a tisztességes adatkezelés alapelvi követelményével összhangban álló technikai, szervezési intézkedések megtételével gondoskodjon a munkavállalók számára biztosított e-mail-fiókok és számítástechnikai eszközök használatával összefüggésben a személyes adatok védelméről, alkossa meg az ehhez szükséges belső szabályokat és gondoskodjon az érintettek megfelelő tájékoztatásáról, ennek keretében biztosítsa, hogy az e-mailfiókok, számítástechnikai eszközök ellenőrzésére vonatkozó belső szabályozás, és az ellenőrzésre vonatkozó megfelelő tájékoztató megalkotásával végezze a munkavállalók e-mail-fiókjainak, számítástechnikai eszközeinek az ellenőrzését.

5) A Hatóság elutasítja a kérelem arra irányuló részét, hogy a Hatóság állapítsa meg azt, hogy a Kötelezett jogellenesen ellenőrizte a Kérelmező rendelkezésére bocsátott laptopját és telefonját.

6) A Hatóság hivatalból utasítja a Kötelezettet arra, hogy a jelen határozat véglegessé válásától számított 15 napon belül a Kérelmező bevonásával és tájékoztatásával vizsgálja meg azt, hogy a Kérelmező által visszaszolgáltatott laptop és telefon a Kérelmező mely személyes adatait tartalmazza, és azokat, amelyek kezelésére, a munkaviszony időközbeni megszüntetésére is tekintettel legitim céllal, illetve jogalappal már nem rendelkezik – ideértve mindenekelőtt a munkavégzéssel össze nem függő célból kezelt (magáncélú) adatokat – törölje azzal, hogy a jelen határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig az ilyen adatok kezelését korlátozni kell oly módon, hogy azok nem törölhetők, illetve nem semmisíthetők meg, ugyanakkor a tároláson és a közigazgatási perben a bíróság általi felhasználáson kívül más módon nem használhatók fel; ennek során a Kötelezett köteles lehetővé tenni, a kizárólag magáncélú adatokról a Kérelmező saját céljára másolatot készítsen, továbbá a nem törölt adatok vonatkozásában az adatkezelésről a Kérelmezőt megfelelően tájékoztatni. 7) A Hatóság a kérelem adatvédelmi bírság kiszabására vonatkozó részét elutasítja, ugyanakkor a Kötelezettet hivatalból

1 000 000, azaz egymillió forint adatvédelmi bírság megfizetésére kötelezi.

* * * Az adatvédelmi bírságot a határozat véglegessé válását követő 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2019/769 BÍRS. számra kell hivatkozni. Ha a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, a fenti számlaszámra késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A Kötelezettnek jelen határozat fenti I. 2) I. 4) és I. 6) pontjaiban előírt kötelezettségek teljesítését jelen határozat közlésétől számított 30 napon belül kell írásban – az azokat alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A bírság és a késedelmi pótlék, illetve az előírt kötelezettségek nem teljesítése esetén a Hatóság megindítja a határozat végrehajtását. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

II. A Hatóság végzéssel elrendeli 10 000 Ft-nak, azaz tízezer forintnak a Kérelmező részére való megfizetését az ügyintézési határidő túllépése miatt – választása szerint – bankszámlára utalással vagy postai utalvánnyal.

* * * A jelen II. pont szerinti végzéssel szemben nincs helye önálló jogorvoslatnak, az csak az ügy érdemében hozott határozat elleni jogorvoslati kérelemben támadható meg.

INDOKOLÁS

I. Tényállás, előzmények

I. 1. A Kérelmező jogi képviselőjén keresztül 2018. szeptember 21. napján kérelmet nyújtott be a Hatósághoz, amelyben előadta, hogy 2017. szeptember 25. napjától munkaviszonyban állt a Kötelezettel, mely azonban rendes felmondással megszüntette munkaviszonyát 2018. július 18. napjától. A Kérelmező azt kifogásolta, hogy betegség miatti keresőképtelenségének időtartama alatt (a 2018. május 23. napját követő napokon) az ő távollétében íróasztalát és számítástechnikai hozzáféréseit, eszközeit, valamint e-mail-fiókját ellenőrizték, a dokumentumok fizikai elhelyezkedését megváltoztatták, továbbá mindezen ellenőrzésről fényképeket is készítettek, mely – álláspontja szerint – jogosulatlan adatkezelést és hozzáférést eredményezett. A Kérelmező kérte a Hatóságot, hogy állapítson meg jogsértést, szólítsa fel az adatkezelőt a jogsérelem orvoslására, illetve jogsértés feltételeinek fennállása esetén szabjon ki bírságot. Kérte továbbá a Hatóságot, hogy tiltsa meg az adatkezelőnek a hozzáférhetővé vált személyes adatok kezelését, tárolását és továbbítását. A Hatóság az adatvédelmi hatósági eljárás megindításáról végzésében értesítette a Kötelezettet, és a tényállás tisztázása érdekében nyilatkozattételre hívta fel. I. 2. A Kérelmező és a Kötelezett nyilatkozatai és az általuk becsatolt irati bizonyítékok alapján a Kérelmező betegség miatti keresőképtelenségének 2018. május 23. napjától kezdődő időtartama alatt a Kérelmező 2018. május 25. napján telefonon felhívta a helyettesítését ellátó munkatársát és kifejezetten megkérte arra, hogy keressen meg a Kérelmező asztalán található dokumentumot és az annak elintézéséhez szükséges intézkedéseket tegye meg. A Kötelezett – miután a helyettesítést végző munkatárs a kérdéses dokumentum és az íróasztal állapota alapján számos elintézetlen iratot talált – a Kérelmező távollétében – ugyanezen napon, majd 2018. május 30. napján is – az íróasztalát és az irodájában fellelhető, a Kötelezett tulajdonát képező számítástechnikai eszközeit átvizsgálta. A Kötelezett az ezen eszközökön keresztül hozzáférhető egyes, a munkavégzéssel összefüggő szoftvereket, alkalmazásokat, rendszereket, köztük különösen a Kérelmező e-mailfiókját […] ellenőrizte1. A Kötelezett az ellenőrzésről fényképeket is készített, amelyeket utóbb, egy 2018. június 18-i keltezésű jegyzőkönyv, és az abban foglaltakon alapuló, ugyanezen a napon kelt, a Kérelmezőnek címzett felmondás készítéséhez is felhasznált. A kérdéses email-fiók a Google Inc által nyújtott szolgáltatás keretében létrehozott vállalati email-fiók volt, amelynek adminisztrátori jogosultságával a Kötelezett rendelkezett.

1 Bár a Kötelezett az eljárás során tett későbbi, 2019. február 12. napján kelt nyilatkozatában az ellenőrzés tényét vitatja, ennek ellentmond a csatolt, tartalmában a felek által nem vitatott jegyzőkönyv tartalma, a Kérelmező, illetve a Kötelezett korábbi nyilatkozatai, amelyek szerint az ellenőrzés ténye megállapítható.

A Kötelezett nyilatkozata szerint az e-mail-fiók és a számítástechnikai eszközök áttekintése, ellenőrzése során kiemelt figyelmet fordítottak a személyes adatok védelmére, ezért a fokozatosság elvét betartva először az e-mail feladóját és tárgyát vizsgálták, majd a stratégiai szempontból fontosnak ítélt e-maileket nyitották meg és kezdték meg az azonnali intézkedést a károk elkerülése, illetve enyhítése érdekében. Az ellenőrzést rendszergazdai feladatokat ellátó és úgynevezett külsős munkatársak végezték. Az ellenőrzés eredményét az igazgató elnök is megismerte. A Kötelezett a fentiek során megváltoztatta a kérdéses e-mail-fiókhoz való hozzáférést biztosító jelszót, és megszüntette a Kérelmezőnek a munkahelyi szerverről elérhető minden dokumentumhoz, illetve az általa napi szinten használt integrált vállalatirányítási rendszerhez való hozzáférési lehetőségét. Az ellenőrzést követően a Kérelmező a munkahelyi email-fiókjához a továbbiakban nem fért hozzá aktívan: a nála lévő laptopon a korábbi leveleit olvasni még tudta, de az új beérkező leveleit már nem látta, és annak használatával e-mailt sem tudott írni. A Kötelezett utasítására a Kérelmező a keresőképtelenség miatti távollétét követő első munkanapján a Kötelezettnek visszaadta a szintén a Kötelezett tulajdonát képező telefont és laptopot, amely eszközökön a Kérelmező állítása szerint tárolt, az alábbiakban részletezett személyes adatok saját eszközre történő másolására, illetve azok törlésére nem került sor. A Kérelmező nyilatkozata szerint magáncélra is használta a rendelkezésére bocsátott számítástechnikai eszközöket, valamint az e-mail-fiókját, és ezért a Kötelezett által megismert, illetve birtokába került eszközökön lévő adatok között állítása szerint szerepeltek a Kérelmező LinkedIn-fiókjához való hozzáféréshez szükséges adatok, telefonszámok, üzenetek és híváslisták, böngészési előzmények, webhasználati és helyadatok. A Kérelmező nyilatkozata szerint továbbá a laptopon megtalálható volt a Kérelmező személyi okmányainak másolata (személyi igazolvány, lakcímkártya), internethasználattal összefüggésben rögzített adatai, továbbá egyes oldalakhoz tartozó felhasználói nevei és jelszavai (például Díjnet), valamint utóbbiakkal összefüggésben az adott oldal személyes fiókjai és adattartalmai (például teljes háztartás komplett rezsiköltsége számlával, forgalommal, befizetési adatokkal). Ezekhez az adatokhoz a Kérelmező nyilatkozata szerint az eszközhöz hozzáférő bármely személy is hozzáférhetett, így – a Kérelmező nyilatkozata szerint – például képes lehetett arra, hogy nevében bárkinek levelet küldjön vagy, hogy belépjen a személyes LinkedIn profiljába. Arra az eljárás során nem merült fel adat, hogy a Kötelezett ténylegesen hozzáfért volna ezekhez a laptopon tárolt adatokhoz, illetve a Hatóság előtt a kérdéses adathordozó pontos adattartalma nem ismert. A Kötelezett nyilatkozata szerint nincs tudomása arról, hogy a Kérelmező az eszközökön személyes adatokat tárolt volna, és vitatta, hogy a fenti ellenőrzés során személyes adatokat ismert volna meg. A Kérelmező – a Kötelezett által nem vitatott – nyilatkozata szerint a Kérelmezőt nem tájékoztatták arról, hogy távolléte alatt áttekintik számítástechnikai eszközeit. Csak azt követően kapott egy smst a céges telefonjára, amikor a jelszava megváltoztatásával kizárták az e-mail-fiókjából. Az e-mail-fiók, a Kötelezett által rendelkezésre bocsátott laptop, illetve a telefon használatának szabályozására a Kötelezettnél írásos szabályzat, tájékoztató nem állt rendelkezésre. A Kérelmező nyilatkozata szerint ezen eszközök magánhasználata nem volt tiltott. A Kötelezett ezzel szemben arra hivatkozott, hogy a Kérelmezővel szóban, a munkába lépésekor, illetve vezetői értekezleten közölték, hogy magáncélra nem használhatja az eszközöket, ugyanakkor a puszta nyilatkozaton túl ezt semmivel nem támasztotta alá. A Kérelmező az ellenőrzésről (az irodájában, illetve az irodai számítógépén található dokumentumok átvizsgálásáról) előzetesen nem kapott tájékoztatást, így ennek hiányában nem volt módja arra, hogy a nem munkavégzési célú személyes adatait saját eszközre másolhassa, illetve azokat törölhesse, töröltethesse. Így tájékoztatás hiányában a felmondáshoz kapcsolódó jegyzőkönyvön kívüli egyéb dokumentum hiányában nem ismert számára, hogy az ellenőrzést milyen körben és milyen módon végezték, az milyen adatok megismerésével és esetleges tárolásával járt együtt, milyen szabályok és metódus alapján ellenőrizték a rendelkezésére bocsátott e-mail-fiók tartalmát, mi történt a visszakért laptopon és a telefonon tárolt adatokkal, miként jogairól és jogorvoslati lehetőségeiről sem kapott előzetesen tájékoztatást. A Kötelezett nyilatkozata szerint elsődlegesen nem ellenőrzési célból, hanem – eredendően a Kérelmező kifejezett kérelmére – a kieső munkatárs feladatai ellátása folyamatosságának biztosítása miatt került sor az e-mail-fiók és a számítástechnikai eszközökhöz való hozzáférésre, és csak a Kérelmező helyettesítése során észlelt hiányosságok miatt történt meg azok átvizsgálása 2018. május 25. és május 30. napján. A Kötelezett ennek indokaként az integritás kockázatot, valamint a Kötelezett gazdasági érdekeit jelölte meg, tekintettel arra, hogy a Kérelmező mulasztása miatt a Kötelezettet súlyos pénzügyi és jogkövetkezmények fenyegették, amelyek elhárítása, illetve hatásainak mérséklése a Kötelezett haladéktalan lépéseinek megtételét tette szükségessé. A Kötelezett nyilatkozata szerint az eszközök áttekintésének jogszerűségét támasztja alá az is, hogy az eszközök és az e-mail-fiók a Kötelezett tulajdonában állnak, és mint tulajdonost megilleti ezek ellenőrzésének a joga. Az ellenőrzés jogalapjaként a Kötelezett a Munka Törvénykönyvéről szóló 2012. évi I. törvény (a továbbiakban: Mt.) 8. § (1) bekezdésére, a 11. § (1) bekezdésére, a 17. § (1)-(2) bekezdésére, a Polgári Törvénykönyvről szóló 2013. évi V. törvény (a továbbiakban: Ptk.) 5:22. §-ára, valamint a munkaszerződés egyes pontjaira, és jogos érdekére hivatkozott. A Kötelezett azonban annak igazolására, hogy jogos érdeke elsőbbséget élvezett-e a munkavállaló érdekeivel és alapvető jogaival szemben, a Hatóság részére nem mutatott be formális, előzetesen elvégzett érdekmérlegelési tesztet. A Kötelezett a munkahelyi ellenőrzés részletes szabályait meghatározó belső szabályzattal nem rendelkezett, és a munkavállalók helyettesítésének rendjére vonatkozó szabályzat sem állt rendelkezésre.

II. Alkalmazott jogszabályi rendelkezések

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: általános adatvédelmi rendelet) 2. cikk (1) bekezdése alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít. Az Infotv. 60. § (2) bekezdése alapján az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében, valamint a 22. § b) pontjában meghatározott esetben nyújtható be.

Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) rendelkezéseit kell alkalmazni az Infotv.-ben meghatározott eltérésekkel. Az általános adatvédelmi rendelet 99. cikk (2) bekezdése értelmében az általános adatvédelmi rendeletet 2018. május 25. napjától kell alkalmazni. Az általános adatvédelmi rendelet (39) preambulumbekezése szerint: „[…] A személyes adatkezelés konkrét céljainak mindenekelőtt explicit módon megfogalmazottaknak és jogszerűeknek, továbbá már a személyes adatok gyűjtésének időpontjában meghatározottaknak kell lenniük. […]” Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján: „„személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.” Az általános adatvédelmi rendelet 4. cikk 2. pontja értelmében: „„adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.” Az általános adatvédelmi rendelet 4. cikk 7. pontja szerint: „„adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.” Az általános adatvédelmi rendelet 4. cikk 10. pontja alapján: „„harmadik fél”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak.” Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) és b) pontja értelmében: „A személyes adatok: a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”).” Az általános adatvédelmi rendelet 5. cikk (2) bekezdése szerint: „Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).” Az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) és f) pontja alapján: „A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.” Az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdése értelmében: „(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét: a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.” Az általános adatvédelmi rendelet 24. cikke szerint: „(1) Az adatkezelő az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése e rendelettel összhangban történik. Ezeket az intézkedéseket az adatkezelő felülvizsgálja és szükség esetén naprakésszé teszi. (2) Ha az az adatkezelési tevékenység vonatkozásában arányos, az (1) bekezdésben említett intézkedések részeként az adatkezelő megfelelő belső adatvédelmi szabályokat is alkalmaz.

(3) A 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmushoz való csatlakozás felhasználható annak bizonyítása részeként, hogy az adatkezelő teljesíti kötelezettségeit.” Az általános adatvédelmi rendelet 25. cikk alapján: „(1) Az adatkezelő a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket – például álnevesítést – hajt végre, amelyek célja egyrészt az adatvédelmi elvek, például az adattakarékosság hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába. (2) Az adatkezelő megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítására, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek. Ez a kötelezettség vonatkozik a gyűjtött személyes adatok mennyiségére, kezelésük mértékére, tárolásuk időtartamára és hozzáférhetőségükre. Ezek az intézkedések különösen azt kell, hogy biztosítsák, hogy a személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül ne válhassanak hozzáférhetővé meghatározatlan számú személy számára. (3) A 42. cikk szerinti jóváhagyott tanúsítási mechanizmus felhasználható annak bizonyítása részeként, hogy az adatkezelő teljesíti az e cikk (1) és (2) bekezdésében előírt követelményeket.” Az általános adatvédelmi rendelet 58. cikk (2) bekezdése értelmében: „A felügyeleti hatóság korrekciós hatáskörében eljárva: a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.” Az általános adatvédelmi rendelet 83. cikk (2) és (5) bekezdése szerint: „[…] (2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. […] (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12–22. cikknek megfelelően; c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44–49. cikknek megfelelően; d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása. […]” Az általános adatvédelmi rendelet 88. cikk (1) és (2) bekezdése szerint továbbá: „[…] (1) A tagállamok jogszabályban vagy kollektív szerződésekben pontosabban meghatározott szabályokat állapíthatnak meg annak érdekében, hogy biztosítsák a jogok és szabadságok védelmét a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelése tekintetében, különösen a munkaerő-felvétel, a munkaszerződés teljesítése céljából, ideértve a jogszabályban vagy kollektív szerződésben meghatározott kötelezettségek teljesítését, a munka irányítását, tervezését és szervezését, a munkahelyi egyenlőséget és sokféleséget, a munkahelyi egészségvédelmet és biztonságot, a munkáltató vagy a fogyasztó tulajdonának védelmét is, továbbá a foglalkoztatáshoz kapcsolódó jogok és juttatások egyéni vagy kollektív gyakorlása és élvezete céljából, valamint a munkaviszony megszüntetése céljából. (2) E szabályok olyan megfelelő és egyedi intézkedéseket foglalnak magukban, amelyek alkalmasak az érintett emberi méltóságának, jogos érdekeinek és alapvető jogainak megóvására, különösen az adatkezelés átláthatósága, vállalkozáscsoporton vagy a közös gazdasági tevékenységet folytató vállalkozások ugyanazon csoportján belüli adattovábbítás, valamint a munkahelyi ellenőrzési rendszerek tekintetében. […]” Az Infotv. 75/A. §-a alapján: „A Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.” Az Mt. 11. § (1)-(2) bekezdése értelmében: „(1) A munkáltató a munkavállalót csak a munkaviszonnyal összefüggő magatartása körében ellenőrizheti. A munkáltató ellenőrzése és az annak során alkalmazott eszközök, módszerek nem járhatnak az emberi méltóság megsértésével. A munkavállaló magánélete nem ellenőrizhető. (2) A munkáltató előzetesen tájékoztatja a munkavállalót azoknak a technikai eszközöknek az alkalmazásáról, amelyek a munkavállaló ellenőrzésére szolgálnak.” Az Mt. 8. § (1) bekezdése szerint: „A munkavállaló a munkaviszony fennállása alatt – kivéve, ha erre jogszabály feljogosítja – nem tanúsíthat olyan magatartást, amellyel munkáltatója jogos gazdasági érdekeit veszélyeztetné.” Az Mt. 17. § (1)-(2) bekezdése alapján: „(1) A munkáltató a 15–16. §-ban meghatározott jognyilatkozatait általa egyoldalúan megállapított belső szabályzatban vagy egyoldalúan kialakított gyakorlat érvényesítésével (a továbbiakban együtt: munkáltatói szabályzat) is megteheti. (2) A munkáltatói szabályzatot közöltnek kell tekinteni, ha azt a helyben szokásos és általában ismert módon közzé teszik.” A Ptk. 5:22. §-a értelmében: „A tulajdonos jogosult a dolgot használni és a dolog hasznait szedni; viseli a dologgal járó terheket és a dologban beállott azt a kárt, amelynek megtérítésére senkit sem lehet kötelezni.”

III. Döntés

III. 1. Általános megjegyzések Az általános adatvédelmi rendelet fogalommeghatározásai alapján a munkahelyi e-mail-fiók, továbbá a munkavállaló rendelkezésére bocsátott laptop, illetve telefon adattartalma személyes adatnak, a személyes adaton elvégzett bármely művelet pedig adatkezelésnek minősül. Ettől elkülönülő kérdés, hogy a személyes adatok, illetve az adatkezelés kizárólag a munkavégzéssel, annak céljaival függ össze, vagy magáncélból történik, amely az adatkezelő személyének, illetve az adatkezelés jogszerűségének megítélésekor bírhat jelentőséggel. Jelen ügyben a becsatolt dokumentumok alapján megállapítható, hogy a Kérelmező használatában lévő, számára a Kötelezett által biztosított eszközöket – az úgynevezett „céges e-mail-fiókot” is ideértve – a Kérelmező magáncélra is használta. Abban az esetben, amikor a munkavállaló használja az e-mail-fiókot, számítástechnikai eszközöket – függetlenül attól, hogy a munkáltató egyébként megtiltja vagy engedélyezi a magáncélú használatot – a munkáltató által biztosított eszközökben, rendszerekben tárolt személyes adatok tekintetében maga is adatkezelési tevékenységet végez.

Amennyiben az adatkezelés a munkavégzéssel összefügg, annak érdekében történik, a munkavállaló lényegében a munkáltató mint adatkezelő nevében jár el, és e tevékenysége mint adatkezelői tevékenység is a munkáltatónak tudható be. Az, hogy ez az adatkezelés a munkavállalón kívüli személyek vonatkozásában mennyiben jogszerű, egy ettől függetlenül elbírálandó kérdés, az esetleges jogszerűtlenségért való felelősség pedig függ attól, hogy a munkáltató mint adatkezelő által eszközölt szükséges és megfelelő technikai, szervezési intézkedések munkáltató általi be nem tartásáról vagy ezen intézkedések hiányából fakad azzal, hogy a harmadik személyek tekintetében a vonatkozó polgári jogi szabályok szerint alapvetően a munkáltató felelős. A munkavállaló saját személyes adatai vonatkozásában addig, ameddig az adatkezelés a munka végzésével összefüggésben történik, az adatkezelés jogalapja mindenekelőtt a munkaszerződés. Az adatkezelő a munkáltató, a munkavállaló pedig érintett, és az adatkezelést ennek megfelelően kell megítélni. Abban az esetben ugyanakkor, amikor a munkavállaló a munkáltató által biztosított eszközökön és rendszerekben a munka végzésével össze nem függő – magáncélú – tevékenységet is folytat és ennek kapcsán a saját és a legtöbb esetben más harmadik személyek személyes adatait kezeli, már nem ilyen egyértelmű a helyzet. Ebben az esetben ugyanis az adatkezelés célját nem a munkáltató határozza meg, hanem a munkavállaló, aki ezáltal adott esetben maga is adatkezelővé válik a harmadik személyek személyes adatai tekintetében a munkavégzésével semmilyen módon össze nem függő adatkezelés vonatkozásában. Ő dönt a személyes adatnak a rendszerbe, eszközre kerüléséről, és amíg a birtokában, rendelkezése alatt van az eszköz, addig dönthet annak törléséről, egyéb felhasználásáról. Ugyanakkor ezen személyes adatok tekintetében is – különösen a „céges e-mail-fiók” esetében – a rendszer működtetése továbbra is a munkáltató feladata és hatásköre, és a személyes adatokat tároló eszköz feletti rendelkezési jogát sem veszíti el a munkáltató, aki a magáncélú adatok tekintetében ezért adatkezelő marad. A munkáltató adatkezelői minősége már csak azért sem kérdőjelezhető meg ebben az esetben, mert még, ha látszólag kifejezett engedélyén és tudtán kívül kerülnek is az általa, a saját maga által elhatározott adatkezelésekhez alkalmazott rendszerekbe más adatkezeléssel összefüggésben személyes adatok, azok egyrészt ténylegesen a saját adatkezelései tekintetében is eljáró személyek révén kerülnek oda. Másrészt, mivel az adatkezelés körülményei folytán ténylegesen lehetőség van olyan személyes adatok kezelésére a rendszerében, amelyek az általa kontrollált célból történő adatkezeléssel semmilyen kapcsolatot valójában nem mutatnak2, a saját adatkezelése vonatkozásában szükséges követelmények teljesítése keretében végzett minden adatkezelési tevékenysége szükségszerűen kiterjed ezen adatokra is (mindenekelőtt tárolja azokat), és a saját adatkezelése jogszerűsége biztosításához elengedhetetlen feladatai ellátása keretében hozzáfér ezen személyes adatokhoz. Ez a következtetés akkor is igaz, ha a munkáltató kifejezetten kizárja az eszközei magáncélú használatát, mivel az adatkezelés mibenléte és az adatkezelői minőség alapvetően ténykérdés (így a vonatkozó rendelkezés csak a felelősség kérdésében vezethet eltérő eredményre). Emellett ebben az esetben az ilyen tilalom betartásának ellenőrzése ténylegesen ugyanolyan adatkezelési műveletekkel jár – különösen, ha nem tartják be a szabályt –, mint, ha ilyen rendelkezést nem is tett volna munkáltató. Abban az esetben pedig, ha a munkavállaló – értelemszerűen elvárhatóan csak akkor, ha a munkáltató a magáncélú használatot is engedi – kifejezetten tájékoztatja a munkáltatót

2 Ami egy munkahelyi e-mailfiók vagy mobiltelefon esetében szinte soha nem zárható ki, munkaeszközként biztosított egyéb számítástechnikai eszköz esetében pedig bár elvárható lenne, az esetek többségében előfordulhat, arra elvárhatóan számítania kell a munkáltatónak.

arról, hogy milyen adatok vonatkozásában milyen magáncélú adatkezelést folytat az adott rendszerben/eszközön, a munkáltató adatkezelői minősége csak akkor nem tűnik megkérdőjelezhetőnek, ha biztosítani tudja az ilyen adatkezelések teljes mértékű elkülönülését a saját adatkezelésétől, ideértve azt is, hogy az azzal érintett személyes adatok fölött semmilyen módon nem rendelkezik (például azok tárolásáról, megismeréséről csak a munkavállaló dönthet) Ilyen teljes elkülönítés hiányában a munkáltató minden esetben adatkezelőnek tekintendő az általános adatvédelmi rendelet 4. cikk 7. pontja értelmében. Megjegyzendő még, hogy amíg a munkavállaló tekintetében az is előfordulhat, hogy az ilyen, a rendszerben valójában kizárólag az ő magánérdekéből, azaz magáncélból tárolt adatok kezelése mint kizárólag személyes vagy otthoni tevékenység keretében végzett adatkezelés – kívül esik az általános adatvédelmi rendelet alkalmazási körén, a munkáltató esetén ez nem fordulhat elő. Az ilyen esetekben tehát egy igen sajátos együttes adatkezelési helyzet áll elő, amely esetben a munkáltató mindenképpen adatkezelőnek minősül, a munkavállaló pedig – jogi értelemben legalábbis – nem feltétlenül. A fentiek mellett fontos továbbá, hogy a munkáltató és a munkavállaló közötti jogviszonyból adódóan a munkáltatóé az adatkezelés jogszerűségéért való elsődleges felelősség, hiszen az ő számára állnak elsődlegesen rendelkezésre azok az eszközök (belső szabályozási és technikai operatív intézkedések), amelyekkel ez biztosítható. Így az ő felelőssége e helyzet felismerése, és megfelelő munkáltatói intézkedésekkel ennek kezelése, így közös adatkezelés esetén az adatkezelés részleteiről való megállapodás, az adatkezeléssel összefüggő felelősségi viszonyoknak a szabályozása is (lényegében az általános adatvédelmi rendelet 26. cikkének megfelelően). Erre még akkor is szükség van, ha a munkáltató megtiltja az általa biztosított eszközök magáncélú használatát, hiszen ennek a kötelezettségnek az ellenőrzése, illetve az ezen tilalomnak nem megfelelő munkavállalók esetében tényszerűen ekkor is előállhat a fentiek szerinti helyzet. Az más kérdés, hogy a felelősség az adatkezelésért értelemszerűen másként alakul egy ilyen helyzetben, mint amikor hallgatólagosan vagy kifejezetten megengedett az adatkezelés. Végezetül alapvető fontosságú, hogy amennyiben a munkavállaló magáncélú személyes adatai vonatkozásában a munkáltató adatkezelőnek minősül, nem jelenti egyúttal azt is, hogy az ilyen célból kezelt személyes adatok kezelése a részéről minden esetben jogszerű, hiszen ha a munkáltató oldalán nem azonosítható ezen adatok kezelésének semmilyen jogszerű célja, illetve a 6. cikk (1) bekezdése szerinti jogalapja, akkor az ilyen adatok kezelése nem lesz jogszerű, a munkáltató részéről az ilyen személyes adatok nem kezelhetők. A jogalap nélküli adatkezelésnek elsődlegesen az az általános jogszerű következménye, hogy a munkáltató – amint értesül ezen adatok kezelésének tényéről – megszünteti azok kezelését, azaz törli ezeket a rendszeréből, az általa biztosított eszközökről. A jelen ügyhöz hasonló helyzetben ugyanakkor az adatok törlése mint adatkezelési művelet – különösen ha a munkavállaló ténylegesen közös adatkezelőnek lenne tekinthető az adott esetben – csak a munkavállaló érdekeinek figyelembe vételével, és mindenekelőtt az adatkezelés tisztességességére vonatkozó követelménynek a betartásával valósítható meg jogszerűen. A munkáltatónak mint adatkezelőnek e vonatkozásban mindenekelőtt tájékoztatnia kell a munkavállalót a tervezett adatkezelési műveletről és lehetőséget kell biztosítania számára, hogy az adatok kezelését (törlését) kontrollálhassa, és – ha a kérdéses adatok törlése esetén azok a munkavállaló számára a továbbiakban már nem lennének elérhetők – a munkáltató által nem kezelhető adatokat a maga számára saját eszközre mentse. Értelemszerűen a munkáltató jogszerű adatkezelése alá eső adatok vonatkozásában – éppen a munkáltatót mint adatkezelőt terhelő kötelezettségek, így különösen az adatbiztonsági követelmények miatt – az ilyen adatmentést pedig a munkáltatónak joga és kötelezettsége felügyelni annak érdekében, hogy az valóban csak a magáncélból kezelt adatokra korlátozódjon. Egy olyan eljárás és mechanizmus kialakítása és megvalósítása szükséges tehát, ahol lehetőség szerint mindkét fél kontrollálja az adatok „szétválogatásának” folyamatát, és ennek során az általa jogszerűen nem kezelhető adatokat csak az adat e minőségének megállapításához, a folyamat ellenőrzéséhez legszükségesebb körre korlátozódjon.3 A fentiek fényében kell megítélni azon munkavállaló személyes adatainak a munkáltatója általi kezelését is, aki – amellett hogy munkahelyi célból használja az adott eszközt – magáncélból is igénybe veszi a munkáltatója által biztosított e-mail-fiókot, munkaeszközöket. Az ilyen helyzetekben az adatkezelés jogszerűségét, az adatvédelmi követelményeknek való megfelelőségét e tekintetében a fentieknek megfelelően kell megítélni. Minderre tekintettel a munkáltatónak mindenekelőtt egy belső szabályzatot célszerű megalkotnia az e-mail-fiókok, számítástechnikai eszközök használatának, ellenőrzésének szabályairól. Ezzel ugyanis meg lehet előzni azt, illetve csökkenteni lehet annak lehetőségét, hogy a munkavállalók (és adott esetben más, a magánjellegű levelezésben szereplő érintettek) személyes adatait is kezelje a munkáltató. A belső szabályzatban többek között az alábbiakra szükséges kitérni:

használható-e magáncélokra az e-mai fiók, illetve számítástechnikai eszköz4, az e-mail-fiókról, számítástechnikai eszközökön lévő állományokról biztonsági másolat készítésének és megőrzésének a szabályozására, illetve arra, hogy mikor kerül sor az emailek és állományok végleges törlésére, az e-mail-fiók és számítástechnikai eszközök használata ellenőrzésének részletes szabályaira. A magáncélú levelezés, illetve használat belső szabályzatban megvalósuló tiltása ugyanakkor egy objektív követelményt jelent az adatkezelő munkatársaira nézve, azonban a munkatárs részére üzenetet küldő harmadik személyekre nézve – a belső levelezést leszámítva – nem terjed ki a szabályzat hatálya, így bármikor magáncélú, az adott munkavégzéssel, munkáltatói tevékenységgel össze nem függő személyes adatokat tartalmazó levél érkezhet a munkatárs elektronikus levélfiókjába. Az adatkezelés megvalósulását ugyanis – az általános adatvédelmi rendelet személyes adat fogalmából eredően – nem az irat tárgya, hivatalos vagy magáncélú jellege, hanem annak tényleges tartalma határozza meg, az érintett neve, címe, azonosítására alkalmas adata, és az eljárás során megadott egyéb adatai bármely iratban, így a levelezésben is előfordulhatnak. Erre is tekintettel a nem magáncélú, hanem a kifejezetten munkavégzési célú levelek is tartalmaznak személyes adatot. Tekintettel arra, hogy sem a rendszert működtető adatkezelő, sem a rendszert használó munkavállaló által nem határolható el kétséget kizáróan minden esetben a levél tartalmának jellege a levelezés tartalmának vizsgálata nélkül, így nem zárható ki, hogy a rendszer nem csak munkavégzési célból szükséges és elengedhetetlen körben kezeljen személyes adatokat.

3 Ha a munkáltató kifejezetten megengedi a magáncélú használatot, mint adatkezelő akkor is csak akkor lesz jogszerű az adatkezelés a részéről, ha ennek az általános adtavédelmi rendelet 6. cikk (1) bekezdése szerinti megfelelő jogszerű alapja van. Pusztán az ilyen engedély ugyanakkor önmagában nem elegendő, ehhez szükséges a munkavállaló megfelelő tájékoztatása, az ilyen adatkezelés részleteinek pontos, a munkavállalóval konszenzusos alapon, tényleges megállapodás formájában való rendezése – attól is függően, hogy csal a munkavállaló adatairól vagy általa harmadik személyek adatainak kezeléséről is szó van-e.

4 A vizsgált időszakban hatályos Mt. nem tartalmazott erre vonatkozó szabályt, azonban a 2019. április 26. napjától hatályos Mt. 11/A. § (2) bekezdése szerint a munkavállaló a munkáltató által a munkavégzéshez biztosított számítástechnikai eszközt kizárólag a munkaviszony teljesítése érdekében használhatja – eltérő megállapodás hiányában.

A magáncélú használatot tiltó belső szabályok megszegése esetén – a munkatárs e tekintetben megállapítható felróható magatartásától függetlenül – a munkatárs és harmadik személy személyes adatainak kezelése ténylegesen megvalósul, egy objektív helyzet következik be az adatkezelőnél és az általa igénybevett adatfeldolgozónál egyaránt, ezzel az adatkezelési jogviszony létrejön, az abból eredő kötelezettségek az adatkezelőt terhelik. III. 2. A munkavállaló rendelkezésére bocsátott e-mail-fiókhoz való hozzáférés III. 2. 1. Az adatkezelés célja Jelen ügyben két, egymástól elválasztandó cél jelenik meg: az egyik a munkafolyamatok folytonosságának biztosítására irányul, amelynek célja, hogy a távollévő munkavállaló feladatait el lehessen látni, és ebből következően a helyettese a helyettesítés idejére használja e-mail-fiókját, számítástechnikai eszközeit, azokban az adott feladat ellátásához szükséges mértékben kereshet és használhat dokumentumokat. Ebben az esetben a helyettesítendő munkavállaló teljesítményét nem értékelik, nem tekintik át, mely feladatát, hogyan látta el, ennek a célja pusztán az, hogy a távolléte miatt a munkafolyamatok ne szakadjanak meg. A távollévő munkavállaló helyettesítése esetében a helyettesítést jellemzően egy másik munkavállaló látja el, a munka folyamatosságának biztosítása érdekében, mely a munkavégzéshez kötődő feladatok ellátására irányul, és tekintettel arra is, hogy ennek során a munkáltató nem végez – a folyamatosan fennálló tároláson kívüli – új adatkezelési műveletet a munkavállaló személyes adatain, a helyettesítendő munkavállaló magánszférájára nézve nincs közvetlen hatással. Ebben az esetben a munkavállaló helyettese mintegy teljesítési segédként jelenik meg. Abban az esetben azonban – mint ahogyan jelen ügyben is történt –, ha a feladatok el nem végzése dokumentálásra kerül, és az a helyettesítendő munkavállalóra nézve valamilyen számonkéréssel jár, az túlmutat a helyettesítésen és a helyettesítendő munkavállaló munkavégzésének ellenőrzését jelenti. Ezen, a helyettesítési céltól elkülönülő, kifejezetten a munkavállaló munkaviszonyból fakadó kötelezettségei teljesítésének ellenőrzésére irányuló, a munkavállaló személyes adatainak kezelésével együtt járó tevékenység lényege, hogy akár a helyettes észlelése alapján, akár más okból átvizsgálják a munkavállaló e-mail-fiókját, számítástechnikai eszközeit, és azt ellenőrzik, hogy az adott feladatot elvégezte-e a munkavállaló, és amennyiben igen, milyen módon. Ennek a végeredménye a munkavállaló teljesítményének bizonyos szintű értékelése és annak vizsgálata, hogy a munkavállaló hogyan teljesítette munkaviszonyból fakadó kötelezettségeit, melynek munkajogi következménye is lehet. Ennek az ellenőrzésnek is meg kell felelnie az adatvédelmi követelményeknek. Az ellenőrzéssel összefüggő adatkezelés esetében kiemelt figyelmet kell fordítani a célhoz kötött adatkezelés elvén és a szükségesség-arányosság követelményén túl valamennyi érintett magánszférájára is, hiszen adott esetben különféle, a munkaviszonyhoz nem kapcsolódó személyes adat is a munkáltató tudomására juthat, illetve vele munkaviszonyban nem álló személyek személyes adatait is megismerheti. Jelen ügyben a Kötelezett az ellenőrzés indokaként az integritás kockázatot, valamint a Kötelezett gazdasági érdekeit jelölte meg, tekintettel arra, hogy a Kérelmező mulasztása miatt a Kötelezettet súlyos pénzügyi és jogkövetkezmények fenyegették, amelyek elhárítása, illetve hatásainak mérséklése a Kötelezett haladéktalan lépéseinek megtételét tette szükségessé. A Hatóság ezen indokok, illetve a Kötelezettet mint munkáltatót az Mt. 11. § (1) bekezdése alapján megillető ellenőrzési jogosultságából adódóan is szükséges és arányos legitim adatkezelési célnak ismeri el a Kérelmező ellenőrzését. Ebből következően a Kötelezett ebből a szempontból nem sértette meg az általános adatvédelmi rendelet rendelkezéseit. III. 2. 2. Az adatkezelés jogalapja A vizsgált időszakban hatályos Mt. 42. § (2) bekezdés a) pontja értelmében a munkaszerződés alapján a munkavállaló köteles a munkáltató irányítása szerint munkát végezni. Ezzel összhangban a jogalkotó az Mt. 52. § (1) bekezdés b) és c) pontjában a munkavállaló alapvető kötelességeként határozta meg azt, hogy a munkavállaló köteles munkaideje alatt a munkáltató rendelkezésére állni és munkáját az általában elvárható szakértelemmel és gondossággal, a munkájára vonatkozó szabályok, előírások, utasítások és szokások szerint végezni. E kötelezettségek megtartása végett a jogalkotó az Mt. 11. § (1) bekezdésében lehetőséget biztosít arra, hogy a munkáltató a munkavállalót a munkaviszonnyal összefüggő magatartása körében ellenőrizze. Ez a jogosultság szükségszerűen együtt járhat személyes adatok kezelésével. Az ellenőrzés jogalapjaként a Kötelezett az Mt. 8. § (1) bekezdésére, a 11. § (1) bekezdésére, a 17. § (1)-(2) bekezdésére, a Ptk. 5:22. §-ára, valamint a munkaszerződés egyes pontjaira, és jogos érdekére hivatkozott. Azon jogalapokat, amelyekre hivatkozással személyes adatok kezelése jogszerű lehet, az általános adatvédelmi rendelet 6. cikk (1) bekezdése taxatív módon sorolja fel. Noha az általános adatvédelmi rendelet 88. cikke a foglalkoztatással összefüggő adatkezelések vonatkozásában a nemzeti jogalkotók számára – a rendelkezésben meghatározott keretek között – szabályozási lehetőséget biztosítanak, ezen nemzeti jogalkotási intézkedések a 6. cikk (1) bekezdésében meghatározott jogalapok körét nem bővíthetik. Ebből fakadóan az adatkezelő az általános adatvédelmi rendelet 6. cikk (1) bekezdés a)-f) pontjában meghatározott jogalapok valamelyikére alapozhatja adatkezelésének jogszerűségét, ezen jogszerűségi feltételek teljesülésének hiányában – pusztán valamely nemzeti jogi rendelkezés – az adatkezelés jogszerűségének alátámasztására nem elégséges, még akkor sem, ha maga az általános adatvédelmi rendelet egyes adatvédelmi jogalapok vonatkozásában kifejezetten megköveteli a nemzeti jogalkotói intézkedést.5 A Ptk. 5:22. §-a mindezek mellett azért sem minősülhet az adatkezelés jogszerűségét megalapozó szabálynak, mivel az a tulajdonjog kapcsán a használatról, hasznok szedéséről, terhek viseléséről és veszélyviselésről rendelkezik. Az Mt. 8. § (1) bekezdése az előbbiekben jelzetteknek megfelelően szintén nem teremthet önálló jogalapot adatkezelésre, mivel azt az általános magatartási követelményt tartalmazza, hogy a munkavállaló a munkaviszony fennállása alatt nem tanúsíthat olyan magatartást, amellyel munkáltatója jogos gazdasági érdekeit veszélyeztetné. Továbbá az Mt. 17. § (1)-(2) bekezdése sem alkalmazható az adatkezelés jogalapjaként, mivel ezen rendelkezések a munkáltatói szabályzatról rendelkeznek. A munkaszerződéssel mint jogalappal összefüggésben a Hatóság álláspontja szintén az, hogy az nem teremt jogalapot az e-mail-fiókok ellenőrzésével együttjáró adatkezelésre, mivel az általános adatvédelmi rendeletet megelőzően hatályos adatvédelmi irányelv6 29. cikke alapján létrehozott

5 Vö. pl: általános adatvédelmi rendelet 6. cikk (3) bekezdés.

6 A személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló 95/46/EK európai parlamenti és tanácsi irányelv

Adatvédelmi Munkacsoport7 6/2014. számú, az adatkezelő 95/46/EK irányelv 7. cikke szerinti jogszerű érdekeinek fogalmáról szóló véleménye8 – melyben írtak az általános adatvédelmi rendelet alkalmazási időszakában is értelmezésül szolgálhatnak – is azt tartalmazza a szerződéses jogalapról – jelen esetben munkaszerződés –, hogy ezt a jogalapot nem lehet kiterjesztően értelmezni. A szerződéses jogalap nem vonatkozik olyan helyzetekre, ahol az adatkezelés valójában nem a szerződés teljesítéséhez szükséges, hanem azt az adatkezelő egyoldalúan az érintettre erőlteti. Az e-mail-fiókok ellenőrzésével összefüggő adatkezelés önmagában nem minden esetben szükséges a munkaszerződés teljesítéséhez, és nem is megállapodás eredménye (különösen, ha munkahelyi ellenőrzésről az adott munkahelyen belső szabályzat, egyéb, jogszabályokon kívüli munkaviszonyra vonatkozó szabály nem vonatkozik), így tehát ennek a jelen ügyben tárgyalt adatkezelésnek nem lehet a jogalapja a munkaszerződés. Mindez azonban nem jelenti azt, hogy a Kötelezettnek nem volt jogalapja a Kérelmező e-mailfiókjának ellenőrzésére, e következtetés önmagában abból sem vonható le szükségszerűen, hogy az adatkezelő az adatkezelést mely, az általános adatvédelmi rendelet 6. cikk (1) bekezdésében meghatározott jogalapra alapozta. Ahogyan az Adatvédelmi Munkacsoport az érdekmérlegelési tesztre irányadóan, de a megfelelő jogalap meghatározása vonatkozásában is releváns módon hangsúlyozta, „mint ahogy az adatvédelem egyéb létfontosságú aspektusának (például az adatkezelő azonosítása vagy a cél meghatározása) esetében is történik, az adatkezelő kijelentése mögött meghúzódó valóság számít”.9 Itt jegyzendő meg azonban az is, hogy már önmagában az, ha az adatkezelő az adatkezelést megelőzően nem megfelelően azonosította az adatkezelés jogalapját, szükségszerűen vezethet az általános adatvédelmi rendelet 6. cikkében meghatározottakon túli rendelkezéseiben rögzített, az adatkezelőt terhelő kötelezettségek betartása tekintetében mulasztására, vagy nem megfelelő teljesítésére és így e jogsértés tekintetében bármely, az általános adatvédelmi rendeletben meghatározott jogkövetkezmény alkalmazására. A munkavállaló munkavégzésének a munkáltató általi ellenőrzésének céljából végzett adatkezelés esetében az adatkezelés jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogos érdek jogalapja lehet, amelynek értelmében személyes adat abban az esetben kezelhető, ha az adatkezelés az adatkezelő jogszerű érdekének érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé. Mivel a vitatott adatkezelést a Kötelezett jogszabály, az Mt. által is kifejezetten lehetővé tett, ilyen módon a jogalkotó által is elismert jogos érdek, a munkáltatói ellenőrzés keretében hajtotta azt végre, és az ezen ellenőrzéshez, valamint az ehhez szükséges személyes adatok megismeréséhez fűződő jogos érdekének fennállta a jogi szabályozásból és nyilatkozataiból, és az azokat alátámasztó okirati bizonyítási eszközökből (pl. a munkahelyi ellenőrzésről készült jegyzőkönyv és fényképfelvételek) a Kötelezettet súlyos pénzügyi és egyéb jogkövetkezmények fenyegették, amelyek elhárítása, illetve hatásainak mérséklése a Kötelezett haladéktalan lépéseinek megtételét tette szükségessé adódóan megállapítható. Tekintettel arra, hogy a Hatóság által az eljárás során megismert adatok alapján a Kérelmező oldalán nem azonosíthatóak olyan érdekek, amelyek elsőbbséget élveznének a Kötelezett jogos

7 Az Adatvédelmi Munkacsoport az általános adatvédelmi rendelet alkalmazásának kezdőnapját megelőzően az adatvédelemmel, valamint a magánélet védelmével kapcsolatos kérdésekkel foglalkozó, független európai tanácsadó szerv volt, helyébe az Európai Adatvédelmi Testület lépett.

8 A 6/2014. számú vélemény az alábbi linkről érhető el: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_hu.pdf

9 A 6/2014. számú vélemény Elszámoltathatóság és átláthatóság című III. 3. 5. pontja (47. oldal)

érdekével szemben, figyelemmel arra is, hogy a Hatóság rendelkezésére álló adatok alapján a Kötelezett az ellenőrzés során betartotta a fokozatosság elvét, és nem merült fel adat arra nézve, hogy az ellenőrzés céljához feltétlenül szükséges körön túl bármilyen magáncélú személyes adat megismerésére ténylegesen sor került volna. Ezzel kapcsolatban ugyanakkor a Hatóság kiemelten fontosnak tartja hangsúlyozni, hogy abból, hogy jelen ügyben az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogalap fennálltát – az ügy sajátos és egyedi körülményei összességének értékelése alapján – egy az adatkezelő által előzetesen írásban lefektetett részletes érdekmérlegelési teszt hiányában is megállapíthatónak tartotta, semmilyen módon nem következik, hogy az adatkezelőknek – az általános adatvédelmi rendelet 5. cikk (2) bekezdés szerinti, lényegében az adatkezelő objektív felelősségét és fokozott gondossági követelményét megfogalmazó elszámoltathatóság alapelvi követelményéből is fakadóan – ne lenne felelőssége az ilyen jogalapon folytatott adatkezelések esetében a jogalap fennálltához szükséges feltételek meglétét előzetesen, és az adatkezelés fennállta során folyamatosan is ellenőrizni. Mivel pedig az elszámoltathatóság elvéből következően annak igazolása, hogy az adatkezelés jogszerűségének feltételei folyamatosan fennállnak, az adatkezelő felelőssége, csak akkor bízhat alappal bármely adatkezelő abban, hogy minden tekintetben megfelel az adatkezelés jogi követelményeinek, ha ezen igazolási kötelezettségének is eleget tud tenni, és a Hatóság, eljáró bíróság, illetve – jellemzően az általános adatvédelmi rendelet 21. cikkében rögzített tiltakozási jog gyakorlása esetén – az érintett számára is tételesen, kellő bizonyosságot nyújtó módon be tudja mutatni e feltételek fennálltát. Mindezen túl, az adott jogalap tekintetében szükséges mérlegelés és annak dokumentálása hiányában az adatkezelő értelemszerűen az adatkezeléssel összefüggésben őt terhelő számos kötelezettségnek (pl. az érintetteket megillető jogok gyakorlásának biztosítása, az adatvédelmi hatásvizsgálat elvégzése stb.) sem tud maradéktalanul eleget tenni, ami az érintettek jogaira nézve súlyos sérelemmel járhat, és ennek megfelelően súlyos szankciót vonhat maga után. Minderre tekintettel a Hatóság szükségesnek tartja az ezen mérlegeléssel kapcsolatos elvárásokat röviden összefoglalni. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerint akkor lehet jogszerű az adatkezelés, ha az adatkezelés az adatkezelő jogszerű érdekének érvényesítéséhez szükséges, és ezt az érdeket nem előzi meg az érintettek valamely személyes adatok védelmét megkövetelő érdeke vagy alapvető joga és szabadsága. Az adatkezelő tehát akkor jár el a kellő gondossággal, ha a jogos érdek jogalapjára alapított adatkezelés megkezdését megelőzően elvégzi például a 6/2014. számú véleményben ismertetett érdekmérlegelést, melynek során azonosítja adatkezelő, a saját (vagy harmadik személy) jogos érdekét, valamint a súlyozás ellenpontját képező adatalanyi, a jelen ügyhöz hasonló esetekben – munkavállalói érdeket, érintett alapjogot, és csak akkor kezdi meg, illetve folytatja az adatkezelést, ha a két érdek súlyozása alapján meg állapítja, az érintett érdeke a saját érdekét nem előzi meg.10 Ezen érdekmérlegelés során mindig az adott eset konkrét tényei alapján – és nem elvont formában –, az érintettek észszerű elvárásait is figyelembe véve kell eljárni. A jogos érdek jogalapja általánosan vonatkozik az adatkezelő által érvényesítendő (bármilyen) jogszerű érdekre, ez az általános rendelkezés azonban kifejezetten egy kiegészítő mérlegelés elvégzését igényli, amely szerint mérlegelni kell az adatkezelő – vagy az adatokat megkapó harmadik fél, vagy felek – jogszerű érdekeit és az érintettek érdekeit vagy alapvető jogait.11 Mindebből, illetve az általános adatvédelmi rendelet (39) preambulumbekezdéséből is következően az e-mail-fiókok ellenőrzése vonatkozásában a munkáltatónak már előzetesen az adatkezelést megelőzően pontosan meghatározott adatkezelési céllal kell rendelkeznie az e-mail-fiók ellenőrzésére. Ezen célnak (ami egyben az érvényesítendő érdeknek is megfeleltethető a legtöbb

10 A 6/2014. számú vélemény A 7. cikk f) pontja: jogszerű érdekek című III. 3. pontja (25. oldal)

11 A 6/2014. számú vélemény Következtetések című IV. 1. pontja (53. oldal)

esetben) ténylegesnek és valósnak, a munkáltató tevékenységéhez, piaci helyzetéhez és a munkavállalók munkaköréhez igazodóaknak kell lenniük. Ezen túlmenően a munkáltatónak az email-fiók használatának konkrét ellenőrzése előtt közölnie kell a munkavállalókkal, hogy az adott esetben milyen érdeke miatt kerül sor a munkáltatói intézkedésre, egyúttal a tiltakozási jogról is tájékoztatást kell adnia. Mivel – az arányosság, az adattakarékosság elvéből is adódóan – az ezen a jogalapon való adatkezelés esetén is csak az adott célhoz feltétlenül szükséges adatkör kezelése lehet jogszerű, és mivel a kezelt adatok köre, típusa és terjedelme az érdekmérlegelés során összemérendő érdekek súlyára is kihathat, a 6/2014. számú véleménnyel összhangban az ilyen adatkezelést a fokozatosság elvére figyelemmel lépcsőzetes ellenőrzési rendszer szerint szükséges megvalósítani, és az érdekek mérlegelését is ilyen módon kel elvégezni. Egy ilyen megközelítés esetén ugyanis az érintett magánszférájába való beavatkozás vonatkozásában csak fokozatosan elnehezülő adatkezelés esetén a megfelelő garanciák biztosításával kellően érvényesülhet a személyes adatok védelme, illetve az a követelmény, hogy az ellenőrzés minél kisebb mértékben érintse a munkavállalók magánszféráját. Így például az ellenőrzés első lépéseként az e-mail cím és a levél tárgyának az ellenőrzése is elegendő lehet, hiszen bizonyos esetekben már pusztán az e-mail cím felépítéséből és az e-mail tárgyából is lehet látni azt, hogy az magáncélú e-mail cím lesz, és ezért nem szükséges megismerni az e-mail tartalmát. Különösen fontos ez abban az esetben, ha a munkáltató a belső szabályzatban engedélyezi, hogy a munkavállalók a „céges e-mail-fiókot” személyes célból is használják, hiszen ekkor a munkavállalók a szabályzattal összhangban magánjellegű leveleket küldhetnek mások számára, vagy fogadhatnak másoktól. Emellett, ha például a munkáltató nem engedélyezi az e-mail-fiók magáncélú használatát, és az ellenőrzés pusztán arra terjed ki, hogy megállapítsa azt, hogy a munkavállalók betartották-e ezt a munkáltatói rendelkezést, akkor szintén elegendő az email címének és tárgyának megtekintése, és nem szükséges a levél tartalmának megismerése, hiszen munkajogi jogkövetkezményeket már ezen tény megállapítása alapján is alkalmazhat a munkavállalókkal szemben. A magánjellegű levelekkel kapcsolatban szükséges kiemelni azt is, hogy az ilyen e-mailek tartalmát a munkáltató főszabály szerint nem jogosult megismerni, arra csak rendkívül nyomós okból, kivételes esetben kerülhet sor. A kialakult adatvédelmi gyakorlat szerint a munkáltató rendes körülmények között nem jogosult az e-mail-fiókban tárolt magánjellegű e-mailek tartalmát ellenőrizni még akkor sem, ha az ellenőrzés tényéről előzetesen a munkavállalókat tájékoztatta. Az ellenőrzést ekkor a munkavállalók személyes adataik védelméhez való joga, illetve azoknak a nem munkavállaló harmadik személyeknek a személyes adataik védelméhez való joga – továbbá más személyiségi joga, így elsősorban a magántitokhoz és a levéltitokhoz való joga – korlátozza, akik az e-mailt a munkavállalóknak küldték vagy tőlük azt kapták. Ezt követően kerülhet sor az e-mail-fiók használatának következő szintje szerinti, részletesebb ellenőrzésére, azonban itt is ügyelni kell a fokozatosságra, illetve arra, hogy milyen információk állnak a munkáltató rendelkezésére a konkrét jogsértéssel kapcsolatban, ugyanis ezek az információk befolyásolhatják az ellenőrzés fókuszát, menetét. Tekintettel azonban arra, hogy a jelen ügyben feltárt adatok alapján a Kötelezett fentiekben ismertetettek szerint jogszerű érdekei érvényesítése céljából, tényszerűen a fokozatosság elvét betartva az adott helyzetben észszerűen elvárható módon csak a szükséges adatokra korlátozva folytatta le az ellenőrzését, és nem merült fel adat arra nézve, hogy az érintett magánszférájába, a munkavégzéssel össze nem függő magáncélú adatok körére is kiterjedően folytatta volna le az ellenőrzést, a Hatóság az eset összes körülményei alapján igazoltnak látta az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogalap fennálltát. Ettől függetlenül ugyanakkor a Kötelezett – nem kis részben éppen a fentiekben ismertetett érdekmérlegelés pontos lefolytatása hiányában – az általános adatvédelmi rendelet számos garanciális szabályát megsértette az alábbiak szerint.

III. 2. 3. A tisztességes adatkezelés követelménye A Kötelezett nyilatkozata szerint, mivel az e-mail-fiók az ő tulajdonában áll, bármikor ellenőrizheti annak tartalmát. A Kérelmező az ellenőrzésről előzetesen nem kapott tájékoztatást, így ennek hiányában nem volt módja arra, hogy az ellenőrzésnél jelen legyen, a nem munkavégzési célú személyes adatait törölje, töröltesse vagy azokról maga számára másolatot készítsen. Még ha tényszerűen igaz is, hogy az email fiók, és a munkahelyi számítógép a Kötelezett tulajdonában, illetve rendelkezése alatt áll, ezért annak ellenőrzését anélkül is meg tudja valósítani, hogy ahhoz a Kérelmezett bármilyen közrehatása szükséges lenne, ez nem jelenti, hogy az ilyenfajta ellenőrzés jogszerű is lenne. A munkahelyi ellenőrzéssel összefüggő adatkezelésnél ugyanis a tisztességes adatkezelés elvéből – a fentebb ismertetett adatkezelési viszonyokból adódóan is – egy olyan követelmény is származik, hogy az ellenőrzés során főszabályként biztosítani kell a munkavállaló jelenlétét. Az adatkezelés tisztességes volta a jogszerűséget is magában foglaló követelmény, az érintett információs önrendelkezési jogának, és ezen keresztül magánszférájának, emberi méltóságának tiszteletben tartását jelenti: az érintett nem válhat kiszolgáltatottá az adatkezelővel, sem más személlyel szemben. Az adatalany mindvégig alanya kell, hogy maradjon a személyes adatok kezelésével járó folyamatnak, és nem válhat annak puszta tárgyává. A munkavállaló jelenléte nélküli ellenőrzés ezért alapvetően ellentétes a tisztességes adatkezelés elvével, mivel a munkavállalót puszta tárgyként, irányítható eszközként kezeli. A munkavállaló előzetes tájékoztatása és – személyes, vagy ha ez nem biztosítható, meghatalmazottja, képviselője – jelenléte az ellenőrzésnél azért is szükséges, mert a munkavállaló és harmadik személyek különböző személyes adatai lehetnek benne a levelezőrendszerben, amelyek kezelésére a munkáltató – a személyes adat e jellege ellenőrzésén túl – nem jogosult. Ha az ellenőrzés során a munkavállaló – képviselője, meghatalmazottja – jelen van, és jelezheti valamely személyes adatot tartalmazó e-mail tartalmának megtekintése előtt, hogy az magáncélú személyes adatokat tartalmaz, akkor ezzel biztosítható, hogy a munkáltató ne sértse meg ezt a tilalmat. Az ellenőrzés körülményeitől függően ugyanakkor elképzelhetőek olyan helyzetek, amikor a munkavállaló személyes jelenléte objektív okokból nem biztosítható. A Hatóság – a főszabálytól eltérően – egyes rendkívüli esetekben ezért elfogadhatónak tartja azt is, ha a munkavállaló nincs jelen, például azonnali intézkedést igénylő esetekben, vagy betegállományban lévő munkavállaló esetében sürgős intézkedési szükség esetén. Ebben az esetben is azonban egyrészt tájékoztatást kell nyújtani a munkavállaló számára a tervezett munkáltatói intézkedésről, másrészt lehetőséget kell biztosítani számára arra is, hogy ha ő nem is tud jelen lenni, helyette meghatalmazottja vagy képviselője legyen jelen az ellenőrzésnél. Amennyiben ezen megelőző intézkedések – előzetes tájékoztatás és a munkavállaló vagy meghatalmazottja, képviselője jelenlétének biztosítása ellenére a munkavállaló nem érhető el vagy nem jelenik meg sem személyesen, sem képviselője útján, akkor távollétében, független harmadik személy alkalmazásával is hozzá lehet férni az e-mailfiókjához, számítástechnikai eszközeihez az ellenőrzés, illetve az azonnali intézkedések végrehajtása érdekében. Ilyen esetben is meg kell ugyanakkor mindent tenni annak érdekében, hogy az ellenőrzés körülményei olyan módon legyenek rögzítve (adott esetben az ellenőrzés eredményében nem érdekelt személyek mint hitelesítő személyek jelenléte mellett vagy más megfelelő módon), hogy annak pontos menete, az annak során megismert adatok köre, azaz a ténylegesen elvégzett adatkezelési műveletek, és azok jogszerűsége utólag ellenőrizhető legyen az elszámoltathatóság elvéből is következően. Ezen fenti követelményeknek azonban a Kötelezett nem tett eleget, mert nem tett semmilyen intézkedést sem annak érdekében, hogy a Kérelmező előzetesen tudomást szerezzen az ellenőrzésről, sem annak érdekében, hogy az ellenőrzésen való jelenlétének lehetőségét biztosítsa.

A Hatóság álláspontja szerint a Kötelezettnek ez a magatartása az adatkezelés tisztességességét sérti, hiszen a Kérelmezőnek így nem volt lehetősége a saját – és adott esetben a levelezésekben érintett más, harmadik személyek – személyes adatainak védelme érdekében eljárva jelezni a Kötelezettnek a levelek magáncélú, személyes jellegét. A Kötelezett így kontroll nélkül férhetett hozzá a Kérelmező – és adott esetben harmadik személyek – személyes adataihoz. A Kérelmező tudomása nélküli, a Kötelezett nyilatkozata szerinti bármikor elrendelhető ellenőrzés tehát ellentétes a tisztességes adatkezelés elvével. Mindebből következően a Hatóság a Kérelmező jelenléte lehetőségének biztosítása érdekében tett lépések hiánya miatt megállapítja, hogy a Kötelezett adatkezelése nem felelt meg a tisztességes adatkezelés elvének, megsértve ezzel az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontját. III. 2. 4. A megfelelő előzetes tájékoztatás követelménye és az átláthatóság elve Ahhoz, hogy az adatkezelés jogszerű és átlátható legyen, további követelmény, hogy a munkáltatónak előzetesen részletes tájékoztatást kell biztosítania a munkavállalók számára általánosságban az ellenőrzés lehetőségéről, illetve a konkrét áttekintés, ellenőrzés előtt is, ezért a Hatóság hivatalból vizsgálta az adatkezelésről való tájékoztatás meglétét is. A tájékoztatásban a munkáltatónak ki kell térnie az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdés szerinti adatkezelési körülményeire, azok közül kiemelt figyelmet fordítva arra, hogy:

milyen célból, milyen munkáltatói érdekek miatt kerülhet sor az e-mail-fiók és a számítástechnikai eszközök ellenőrzésére (általános adatvédelmi rendelet 13. cikk (1) bekezdés c) és d) pont), a munkáltató részéről ki, milyen módon végezheti az ellenőrzést (általános adatvédelmi rendelet 13. cikk (1) bekezdés a) pont mint az adatkezelő nevében ellenőrzést folytató képviselője), milyen szabályok szerint kerülhet sor ellenőrzésre (fokozatosság elvének betartása) és mi az eljárás menete, (általános adatvédelmi rendelet 13. cikk (1) bekezdés c) pont), milyen jogai és jogorvoslati lehetőségei vannak a munkavállalónak az e-mail-fiók és a számítástechnikai eszközök ellenőrzésével együtt járó adatkezeléssel kapcsolatban (általános adatvédelmi rendelet 13. cikk (2) bekezdés b) és d) pont). Az általános tájékoztatáson túlmenően lehetőleg a konkrét ellenőrzés előtt is tájékoztatni kell a munkavállalót arról, hogy milyen munkáltatói érdek miatt és milyen célból kerül sor az adatkezelésre. A Kötelezett az előbb kifejtettekkel ellentétben semmilyen tájékoztatást nem nyújtott a Kérelmező számára az adatkezelésről. Mindezek alapján a Hatóság megállapítja, hogy a Kötelezett, mivel nem nyújtott előzetesen tájékoztatást az adatkezelésről és az azzal kapcsolatos információkról, megsértette az általános adatvédelmi rendelet 13. cikkét. Tekintettel továbbá arra, hogy az általános adatvédelmi rendelet (60) preambulumbekezdése értelmében az átlátható és a fent hivatkozott tisztességes adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljairól, továbbá minden olyan információról, amelyek a tisztességes és átlátható adatkezelés biztosításához szükségesek, mely követelménynek a Kötelezett nem tett eleget, megsértette az általános adatvédelmi rendelet 5. cikk. (1) bekezdés a) pontja szerinti átláthatóság elvét is. III. 2. 5. Megfelelő technikai, szervezési intézkedések A Hatóság, mivel általánosságban a munkavállalói és a kérelmezői e-mail-fiókok és azok általános ellenőrzésével szorosan összefügg az azokra vonatkozó megfelelő szabályozás és az adatvédelmi követelményeknek való megfelelés biztosítása, hivatalból vizsgálta ezzel összefüggésben az általános adatvédelmi rendelet szerinti megfelelő technikai, szervezési intézkedéseknek való megfelelést a Kötelezettnél. A Hatóság rendelkezésére álló információk alapján – a vizsgált időszakban – a Kötelezett nem rendelkezett semmilyen belső szabályzattal az általa a munkavállalók rendelkezésére bocsátott e-mail-fiókok, számítástechnikai eszközök használatára és ellenőrzésére, az ezen eszközökön tárolt adatok kezelésére vonatkozóan. Az adatkezelés munkáltató általi szabályozása, az adatkezelési műveletek rögzítése mint megfelelő technikai, szervezési intézkedés azért szükséges, mert az adatkezelések tervezésétől azok folytatásán át a célok megvalósulásáig tett valamennyi lényegi lépés – így többek között az adatkezelés időtartamának, a személyes adatok kezelésére vonatkozó törlési, illetve felülvizsgálati határidők megállapításának – adminisztrálását, dokumentálását is magában foglalja, és egyben az adatvédelmi követelményeknek való megfelelés igazolására való képességet feltételezi. Ezen elv a gyakorlatban – többek között – az adatkezelők számára az általános adatvédelmi rendeletben előírtaknak megfelelő szabályzatok, eljárásrendek szakszerű rögzítését irányozza elő. A megfelelő technikai, szervezési intézkedések magukban foglalják a beépített és alapértelmezett adatvédelem teljesülését is, vagyis azt, hogy az elvek és az adatvédelmi követelmények érvényesülését garanciák beépítésével segíti elő az adatkezelő. Noha a nem rendszeres, hanem azonnali, ad hoc ellenőrzéseknél, mint jelen ügyben is, nem várható el, hogy a konkrét egyedi esetre is előzetes részletes belső szabályozás készüljön, az mindenképpen elvárható, hogy az ilyen ad hoc ellenőrzések lehetőségével számolva előzetesen dokumentálásra, szabályozásra kerüljön, hogy az ilyen ellenőrzéseket miként kell lefolytatni, az adott ellenőrzés során kinek, milyen hozzáférése lehet az ellenőrzéssel érintett munkavállaló számítástechnikai eszközeihez, e-mail-fiókjaihoz annak érdekében, hogy a munkavállalók világos, egyértelmű, a jelenlétükre is kiterjedő információkkal rendelkezzenek. Tekintettel arra, hogy a Kötelezett nem rendelkezett sem ténylegesen, sem szabályzat szintjén az e-mail-fiókok használatáról, az e-mailek tartalmának általános, illetve egyedi ellenőrzéséről, annak érdekében, hogy biztosítsa az adatvédelmi elvek érvényesülését, nem tette meg a szükséges megfelelő technikai, szervezési intézkedéseket, megsértette az általános adatvédelmi rendelet 24- 25. cikkét mind a munkavállalók, mind a Kérelmező vonatkozásában. III. 3. A Kérelmező rendelkezésére bocsátott laptopon és telefonon végzett ellenőrzés jogellenességének megállapítására irányuló kérelem elutasítása A Hatóság elutasítja a kérelem arra irányuló részét, hogy a Hatóság állapítsa meg azt, hogy a Kötelezett jogellenesen ellenőrizte a Kérelmező rendelkezésére bocsátott laptopját és telefonját, mivel nem merült fel adat arra vonatkozóan, hogy a Kötelezett ténylegesen hozzáfért ezen eszközökön a Kérelmező személyes adataihoz. Mindazonáltal – arra tekintettel, hogy a kérdéses adathordozók a feltárt adatok szerint a Kötelezett birtokába kerültek – a Hatóság hivatalból rendelkezett a kérdéses adathordozókon tárolt adatok sorsának az általános adatvédelmi rendelettel összhangban való rendezésének szükségességéről. III. 4. Elszámoltathatóság követelménye A Kötelezett az eljárásban nem igazolta, hogy a Kérelmező e-mail fiókjának ellenőrzését megelőzően bármilyen, az adatkezeléssel kapcsolatos technikai, szervezési intézkedést tett volna, ideértve az előzőekben kifejtetteknek megfelelő érdekmérlegelés előzetes elvégzését is. A Kötelezett ugyan azonosította jogos érdekét és a jelen eljárásban az adott adatkezelés szükségessége is igazolást nyert, azonban az adatkezelőnek az adatkezelésért viselt objektív felelősségéhez igazodó gondos adatkezelésből fakadó kötelezettségei mellőzésével összességében jogsértő módon valósította meg az adatkezelését. Ezzel a magatartásával megsértette az általános adatvédelmi rendelet 5. cikk (2) bekezdésében meghatározott elszámoltathatóság alapelvi követelményét is. III. 5. Szankcionálás A Hatóság elutasította a Kérelmezőnek a bírság kiszabására vonatkozó kérelmét, mivel e jogkövetkezmény alkalmazása a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen – a közérdek érvényesítésének körébe eső jogkövetkezmény alkalmazása tekintetében a bírságkiszabás vonatkozásában a Kérelmező nem minősül ügyfélnek az Ákr. 10. § (1) bekezdése alapján, illetve – mivel az Ákr. 35. § (1) bekezdésének nem felel meg, e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető. A Hatóság mindazonáltal hivatalból megvizsgálta, hogy indokolt-e a Kötelezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes releváns körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, mert a kérelem tárgyát képező egyedi ellenőrzés mint adatkezelés során a Kötelezett lényegében minden adatkezelőre háruló kötelezettségét megszegte, és a feltárt tényállás során a munkavégzéssel összefüggő adatkezeléssel kapcsolatban általában is negligálta az általános adatvédelmi rendeletből fakadó kötelezettségeit ezért bírság kiszabása szükséges. A bírságkiszabással a Hatóság speciális prevenciós célja az, hogy ösztönözze a Kötelezettet arra, hogy adatkezelési tevékenységét tudatosan folytassa, és az érintetteket ne tárgyként, hanem valóban jogosultként kezelje, biztosítva az ebből eredő jogaik, az adataik kezelése feletti kontrol gyakorlásához szükséges információkat, egyéb feltételeket. Általában pedig szükséges valamennyi hasonló helyzetben lévő adatkezelő számára világossá tenni, hogy a személyes adatok kezelése fokozott tudatosságot igényel, nem lehet e téren a józan belátásra hagyatkozva bármilyen proaktív intézkedések megtétele nélkül működni, gondatlanul bízva abban, hogy nem származik hátrány a személyes adatok ténylegesen kontrollálatlan kezeléséből. Az ilyen hanyag magatartás az érintettek jogait teljes mértékben figyelmen kívül hagyja, és mint ilyen, lényegében emberi méltóságukat csorbítja, és mint ilyen, nem maradhat szankcionálatlanul. A Hatóság a bírság összegének meghatározása során figyelembe vette, hogy a Kötelezett által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek. A Hatóság a bírság összegének meghatározása során az alábbi releváns tényezőket vette továbbá figyelembe:

súlyosító körülményként, hogy a Kötelezett a jogsértő magatartása folytán az érintetti jogok gyakorlását jelentősen megnehezítette, a Kötelezett jogsértése kifejezetten szándékosnak nem tekinthető ugyan, de súlyosan gondatlannak minősül, enyhítő körülményként, hogy Kötelezett elmarasztalására az általános adatvédelmi rendelet megsértése miatt még nem került sor, enyhítő körülményként, hogy az ellenőrzés mint azonnali intézkedés, a Kötelezettet fenyegető károk elkerülése, illetve enyhítése érdekében szükséges volt, enyhítő körülményként, hogy a Hatóság rendelkezésére álló információk alapján a Kötelezett az ellenőrzés során a Kérelmező magánéletével kapcsolatos érzékeny információkat nem ismert meg, további enyhítő körülményként, hogy a Kérelmező maga is jelentősen közrehatott abban, hogy a munkavégzési céllal rendelkezésére bocsátott eszközökön, e-mail-fiókban az e céllal össze nem egyeztethető célú adatkezelés folyhatott anélkül, hogy az eltérő célból tárolt személyes adatok egymástól egyszerűen különválogathatóak lettek volna. A Kötelezett 2018. évi nettó árbevétele 1.651,94 millió forint volt, így a kiszabott adatvédelmi bírság nem lépi túl a kiszabható bírság maximumát. A Hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százhúsz napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek.

IV. Egyéb kérdések:

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. A határozat az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * Az Ákr. 135. § (1) bekezdés a) pontja szerint a kötelezett a törvényes kamatnak megfelelő mértékű késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget. A Ptk. 6:48. § (1) bekezdése alapján pénztartozás esetén a kötelezett a késedelembe esés időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni. A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban:

Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettsége teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2019. október 15. Dr. Péterfalvi Attila elnök c. egyetemi tanár