Hungarian Data Protection Authority: unlawful disclosure of an audio recording and unlawful processing of a minor’s personal and special category data

………………………………………………………………………………………………………… 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-1743- /2021 Tárgy: kérelemnek helyt adó határozat

H AT ÁROZ AT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt […] kérelmező (a továbbiakban: Kérelmező) kiskorúságára tekintettel képviseletében: […] (lakcím:

[…], a továbbiakban: Képviselő) által […] (lakcím: […]) (a továbbiakban: Kérelmezett) szemben benyújtott -, a Hatósághoz 2021. január 28. napján érkezett – jogosulatlan adatkezelés tárgyú kérelme nyomán indult adatvédelmi hatósági eljárásban a Hatóság az alábbi döntéseket hozza: I. A Hatóság a Kérelmező kérelmének helyt ad és

1) elmarasztalja a Kérelmezettet, tekintettel arra, hogy a Kérelmező személyes adatait és különleges személyes adatait a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: GDPR) 5. cikk (1) bekezdés a) pont szerinti tisztességes adatkezelés, a GDPR 5. cikk (1) bekezdés b) pont szerinti célhoz kötöttség elvét és az 5. cikk (1) bekezdés c) pont szerinti adattakarékosság elvét, továbbá a GDPR 6. cikkét és 9. cikkét megsértve jogellenesen kezelte, amikor az adatokat a harmadik személyek számára hozzáférhetővé tette;

2) megtiltja a Kérelmezettnek a felvétel harmadik személyekkel - akár online felületen, akár más módon - történő közlését;

3) kötelezi a Kérelmezettet, hogy azon címzetteket, akik számára e-mail útján a felvétel továbbításra, ezáltal pedig a Kérelmező személyes és különleges személyes adatai közlésre kerültek, értesítse a felvétel törlésének szükségességéről. A Kérelmezettnek az intézkedés megtörténtét hitelt érdemlően igazolnia kell a Hatóság felé, a jelen határozat véglegessé válását követő 30 napon belül.

II. A Hatóság az I. pontban megállapított jogsértések miatt a Kérelmezettet hivatalból figyelmeztetésben részesíti. A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az eljárás menete

(1) A Kérelmező képviseletében a Képviselő a Hatósághoz január 28-án érkezett levelében adatvédelmi hatósági eljárás iránti kérelmet nyújtott be a Kérelmezettel szemben, amelyben sérelmezte, hogy a Kérelmezett titokban készített, majd egy Facebook csoportban közzétett egy felvételt egy beszélgetésről, amelyen a Kérelmező személyes és különleges adatainak minősülő információk hangoztak el. (2) A Kérelmező az ügy kivizsgálására, a jogsértés feltárására, a Kérelmezett jogsértéstől való eltiltására, valamint a Kérelmezettel szemben a törvényes jogkövetkezmények alkalmazására kérte a Hatóságot. (3) A Hatóság a 2021. március 5-én kelt, NAIH-1743-2/2021. számú végzésében a Kérelmezőt kérelme hiányosságainak pótlására hívta fel, amelynek a Kérelmező 2021. március 17-én a Hatóság részére megküldött levelében és az ahhoz csatolt mellékletekkel részben eleget tett. (4) A Hatóság megállapította, hogy a képernyőmentés részlete nem alkalmas a kifogásolt adatkezelés bizonyítására, ezért a 2021. április 14-én kelt, NAIH-1743-4/2021. számú végzésében felhívta a Képviselőt, hogy a végzés kézhezvételétől számított 8 napon belül küldje meg a Hatóság részére a felvétel megosztását igazoló képernyőmentést.

(5) A Kérelmező a fenti számú végzés 2021. április 16-i átvételét követően, április 26-án postára adott és a Hatósághoz április 27-én érkezett leveléhez csatolt adathordozóval eleget tett a Hatóság végzésében foglaltaknak. (6) A Hatóság 2021. május 13-án kelt, NAIH-1743-6/2021. számú végzésében felhívta a Kérelmezettet, hogy a végzés kézhezvételétől számított tizenöt napon belül adjon tájékoztatást a felvétel Facebook csoportban való megosztásának céljáról és jogalapjáról, valamint arról, hogy ennek során kik ismerték meg a Kérelmező személyes és különleges személyes adatait, továbbá, hogy sor került-e a felvétel e-mailen történő megküldésére is, ki(k)nek, milyen célból és milyen jogalappal.

(7) A Kérelmezett 2021. június 2-án megküldte a NAIH-1743-6/2021. számú végzésben foglalt kérdésekre adott válaszait, melyekkel kapcsolatban a Hatóság által a NAIH-1743-9/2021. számú végzésben kért pontosításnak 2021. június 14-én e-papír szolgáltatáson keresztül küldött levelében eleget tett. (8) A Hatóság 2021. június 25-én a Kérelmezettet, valamint a Kérelmezőt értesítette, hogy az adatvédelmi hatósági eljárásban a bizonyítási eljárás befejeződött, és felhívta figyelmüket az iratbetekintési, valamint a további bizonyítási indítványok előterjesztésére vonatkozó jog gyakorlásának lehetőségére. (9) A Képviselő 2021. július 2-án jelezte, hogy élni kíván iratbetekintési jogával. A Hatóság a NAIH-1743-14/2021. számú végzésében a Képviselő által előterjesztett iratbetekintési kérelemnek korlátozottan, az általa meg nem ismerhető személyes adatok kitakarása mellett helyt adott, és a megadott postai címre megküldte a nem a Kérelmezőtől származó és nem a Kérelmező részére megküldött iratok másolati példányait.

(10) További iratbetekintési kérelem vagy bizonyítási indítvány a Hatósághoz nem érkezett.

II. Tényállás

(11) A Hatósághoz 2021. január 28. napján érkezett kérelemben a Kérelmező kifogásolta, hogy. a Kérelmezővel kapcsolatos – az óvodavezető által jelzett – probléma megbeszélése céljából szerveztek egy találkozót, amelyen a Képviselő és az óvodavezető mellett részt vett a Kérelmezett is, aki az egyik óvodai csoporttárs édesanyja. A kérelemben foglaltak szerint Kérelmezett a megbeszélés első 46 percéről mobiltelefonjával titokban videofelvételt készített, amely inkább hangfelvételnek tekinthető, mivel a felvétel készítésekor az eszköz a zsebében volt, így az csak hangot rögzített. A Kérelmező előadta, hogy Kérelmezett „a hangfelvételt feltöltötte a Facebook közösségi oldalra egy, az óvodai szülők számára létrehozott csoport oldalára, vagyis azt a nyilvánosság számára közvetlenül hozzáférhetővé tette,”. A kérelemben foglaltak szerint a felvételen a Kérelmező személyes és különleges személyes adatainak minősülő információk hangzanak el, ennek ellenére a Kérelmezett a Kérelmező személyét illetően nem kérte a Képviselő – azaz Kérelmező törvényes képviselője – hozzájárulását a hangfelvétel készítéséhez, továbbá sem az elkészítése tényéről, sem annak felhasználásáról, vagyis nyilvánosságra hozataláról nem tájékoztatta a Képviselőt. (12) A Kérelmező álláspontja szerint a Kérelmezett megsértette az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 4. § (1) bekezdését, 5. § (1) bekezdés b) pontját, (2) bekezdés a) pontját, továbbá a 14. § a) pontját, ezért az adatkezelése jogellenes. A Kérelmező kérte a Hatóságot, hogy vizsgálja ki az ügyet, tárja fel a jogsértést, és tiltsa el az jogsértő adatkezelőt a további jogsértéstől, valamint vele szemben alkalmazza a törvényes jogkövetkezményeket.

(13) A Kérelmező a kérelméhez csatolt egy darab adathordozó eszközt, amelyen megtalálható egy, képi megjelenítést csupán első másodperceiben tartalmazó, azonban természetes személyeket nem ábrázoló videófelvétel, amelyen a kérelemben ismertetett beszélgetés hallható. A pendrive-on található továbbá két Word dokumentum, melyek közül az egyiken feltételezhetően a Kérelmező és a Kérelmezett között zajlott online beszélgetés, míg a másikon valószínűsíthetően az érintett óvodai csoportba járó gyermekek szülei közötti online beszélgetés került rögzítésre, gépelt formában. (14) A Képviselő a Hatóság hiánypótlási felhívására válaszolva pontosította kérelmét, miszerint gyermeke személyes és különleges személyes adatainak kezelését sérelmezi, valamint megadta a Hatóság által kért személyes adatokat és a kérelemben hivatkozott Facebook csoportra vonatkozó információkat. A levélhez csatolásra került a kifogásolt felvétel közzétételének igazolását célzó képernyőmentés részlete, valamint a […] elnevezésű Facebook csoportot ábrázoló képernyőmentés. (15) A Kérelmező egy újabb pendrive megküldésével – az azon található képernyőmentésekkel – igazolta a szóban forgó felvétel több személy által használt Facebook csoportban való közzétételét, annak időpontját és a közzétevő személyét, valamint annak tényét, hogy a csoportban a felvételen hallható beszélgetéssel kapcsolatos diskurzus olvasható.

(16) A Kérelmezett a Hatóság felhívására előadta, hogy a hanganyag 2021. január 21-én készült, amelynek oka az volt, hogy egy ilyen beszélgetésen szakmai indokok is elhangzanak, amit később nehezen tud felidézni. A Kérelmezett kifejtette, hogy nem volt rossz szándéka, és ezen a beszélgetésen lett világos számára, hogy a gyerekek veszélyben vannak, és sem az óvodavezető, sem a Képviselő nem kívánnak érdemi lépéseket tenni. A Kérelmezett előadta továbbá, hogy tudomása szerint rajta kívül egy szülő sem volt tisztában azzal, hogy „egy súlyos idegrendszeri problémával küzdő kisgyerek jár a csoportba”, és féltette a gyerekeket. Állítása szerint ezért tette közzé a hanganyagot 2021. január 22-én 5 óra 12 perckor az óvodások szülei – összesen 23 fő által használt messenger csoportban. Hangsúlyozta, hogy a célja a tájékoztatás volt, és hogy akkor döbbent rá, hogy ezt így nem lett volna szabad, amikor az óvodavezető a közzététel napján 10 óra 7 perckor írt neki, hogy távolítsa el a felvételt, mert nem járult hozzá. A Kérelmezett ezért 10 óra 15 perckor eltávolította a felvételt a csoportból. A Kérelmezett álláspontja szerint, mivel a közzététel időpontjában sok szülő dolgozik, és a felvétel nagyon kevés ideig volt elérhető, „szinte senki nem tudta meghallgatni.” A Kérelmezett a nyilatkozata alapján a felvételt is rögtön törölte a beszélgetésből. A Kérelmezett továbbá idézte a csoportban történt beszélgetéseket, valamint nyilatkozatához csatolta is az ezt igazoló képernyőfotókat.

(17) A Hatóságnak a felvétel e-mailen történő megküldésének jogalapjára vonatkozó kérdésére válaszolva a Kérelmezett beismerte, hogy nem volt joga elküldeni a felvételt annak, aki kérte, és ismét kiemelte, hogy nem ártó szándékkal tette, hanem a gyerekek érdekében. Előadta továbbá, hogy a felvételt csak annak küldte el, aki kérte a szülők közül. (18) A Kérelmezett pontosított nyilatkozatában megnevezte azt a három személyt, akiknek a felvétel e-mail útján megküldésre került.

(19) A Hatóság a rendelkezésére álló információk alapján megállapította, hogy a kérelem tárgyát képező felvételen hallható a Képviselő, a Kérelmezett és az óvodavezető közötti beszélgetés.

(20) A beszélgetés során többek között elhangzanak a Kérelmezőre vonatkozó következő információk: a neve ([…]), a lakhelye, az, hogy nem tartozik az adott óvodai körzethez, valamint az a magánszféra különösen érzékeny területét érintő megállapítás is, miszerint a családjában a közelmúltban három haláleset is történt. Hallható továbbá a felvételen számos olyan információ, amely a Kérelmező magatartását, viselkedésbeli problémáit hivatott bemutatni, legyen az akár egy konkrét konfliktus említése, vagy a probléma fennállásának időtartama. (21) Ezenfelül a hangfelvételen a Kérelmező egészségi állapotára vonatkozó következő információk is hallhatók: […]hoz járnak vele; „[…] ható” gyógyszert szed; […]vizsgálata lesz ([…] probléma miatt); heti két alkalommal fejlesztésre jár, valamint a vele kapcsolatos, betegség tényére utaló kijelentések (pl. a Kérelmezett által a Képviselőhöz intézett megállapítás: „Nem látom rajtad azt, hogy elismernéd, hogy […].”).

(22) A felvétel közzététele egy olyan chat csoportban történt, amelynek tagjai a Kérelmező által is látogatott óvodai csoportba járó gyermekek szülei. A felvételre mutató link közzétételére a felvételen hallható beszélgetés másnapján, azaz 2021. január 22-én került sor, és a messenger csoportból való törlése is aznap megtörtént.

III. Alkalmazott jogszabályok

A GDPR 2. cikk (1) bekezdése: E rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

GDPR 2. cikk (2) bekezdés c) pont: „E rendelet nem alkalmazandó a személyes adatok kezelésére, ha azt természetes személyek kizárólag személyes vagy otthoni tevékenységük keretében végzik;”

GDPR 4. cikk 1. pont: „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható; GDPR 4. cikk 2. pont: „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.

GDPR 4. cikk 15. pont: „„egészségügyi adat”: egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról;”

GDPR 5. cikk (1) bekezdés a) pont: „a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”);”

GDPR 5. cikk (1) bekezdés b) pont: „a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”);”

GDPR 5. cikk (1) bekezdés c) pont: a személyes adatoknak „az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”);”

GDPR 6. cikk (1) bekezdés: A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;

d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. (3) Az (1) bekezdés c) és e) pontja szerinti adatkezelés jogalapját a következőknek kell megállapítania: a) az uniós jog, vagy b) azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik. Az adatkezelés célját e jogalapra hivatkozással kell meghatározni, illetve az (1) bekezdés e) pontjában említett adatkezelés tekintetében annak szükségesnek kell lennie valamely közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához. Ez a jogalap tartalmazhat az e rendeletben foglalt szabályok alkalmazását kiigazító rendelkezéseket, ideértve az adatkezelő általi adatkezelés jogszerűségére irányadó általános feltételeket, az adatkezelés tárgyát képező adatok típusát, az érintetteket, azokat a jogalanyokat, amelyekkel a személyes adatok közölhetők, illetve az ilyen adatközlés céljait, az adatkezelés céljára vonatkozó korlátozásokat, az adattárolás időtartamát és az adatkezelési műveleteket, valamint egyéb adatkezelési eljárásokat, így a törvényes és tisztességes adatkezelés biztosításához szükséges intézkedéseket is, ideértve a IX. fejezetben meghatározott egyéb konkrét adatkezelési helyzetekre vonatkozóan. Az uniós vagy tagállami jognak közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal. GDPR 9. cikk:

A személyes adatok különleges kategóriáinak kezelése

(1) A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos. * (2) Az (1) bekezdés nem alkalmazandó abban az esetben, ha: a) az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával; b) az adatkezelés az adatkezelőnek vagy az érintettnek a foglalkoztatást, valamint a szociális biztonságot és szociális védelmet szabályozó jogi előírásokból fakadó kötelezettségei teljesítése és konkrét jogai gyakorlása érdekében szükséges, ha az érintett alapvető jogait és érdekeit védő megfelelő garanciákról is rendelkező uniós vagy tagállami jog, illetve a tagállami jog szerinti kollektív szerződés ezt lehetővé teszi; c) az adatkezelés az érintett vagy más természetes személy létfontosságú érdekeinek védelméhez szükséges, ha az érintett fizikai vagy jogi cselekvőképtelensége folytán nem képes a hozzájárulását megadni; d) az adatkezelés valamely politikai, világnézeti, vallási vagy szakszervezeti célú alapítvány, egyesület vagy bármely más nonprofit szervezet megfelelő garanciák mellett végzett jogszerű tevékenysége keretében történik, azzal a feltétellel, hogy az adatkezelés kizárólag az ilyen szerv jelenlegi vagy volt tagjaira, vagy olyan személyekre vonatkozik, akik a szervezettel rendszeres kapcsolatban állnak a szervezet céljaihoz kapcsolódóan, és hogy a személyes adatokat az érintettek hozzájárulása nélkül nem teszik hozzáférhetővé a szervezeten kívüli személyek számára; e) az adatkezelés olyan személyes adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott; f) az adatkezelés jogi igények megállapításához, érvényesítéséhez, illetve védelméhez szükséges, vagy amikor a bíróságok igazságszolgáltatási feladatkörükben járnak el; * g) az adatkezelés jelentős közérdek miatt szükséges, uniós jog vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő; h) az adatkezelés megelőző egészségügyi vagy munkahelyi egészségügyi célokból, a munkavállaló munkavégzési képességének felmérése, orvosi diagnózis felállítása, egészségügyi vagy szociális ellátás vagy kezelés nyújtása, illetve egészségügyi vagy szociális rendszerek és szolgáltatások irányítása érdekében szükséges, uniós vagy tagállami jog alapján vagy egészségügyi szakemberrel kötött szerződés értelmében, továbbá a (3) bekezdésben említett feltételekre és garanciákra figyelemmel; i) az adatkezelés a népegészségügy területét érintő olyan közérdekből szükséges, mint a határokon át terjedő súlyos egészségügyi veszélyekkel szembeni védelem vagy az egészségügyi ellátás, a gyógyszerek és az orvostechnikai eszközök magas színvonalának és biztonságának a biztosítása, és olyan uniós vagy tagállami jog alapján történik, amely megfelelő és konkrét intézkedésekről rendelkezik az érintett jogait és szabadságait védő garanciákra, és különösen a szakmai titoktartásra vonatkozóan; j) az adatkezelés a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból szükséges olyan uniós vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő; (3) Az (1) bekezdésben említett személyes adatokat abban az esetben lehet a (2) bekezdés h) pontjában említett célokból kezelni, ha ezen adatok kezelése olyan szakember által vagy olyan szakember felelőssége mellett történik, aki uniós vagy tagállami jogban, illetve az arra hatáskörrel rendelkező tagállami szervek által megállapított szabályokban meghatározott szakmai titoktartási kötelezettség hatálya alatt áll, illetve olyan más személy által, aki szintén uniós vagy tagállami jogban, illetve az arra hatáskörrel rendelkező tagállami szervek által megállapított szabályokban meghatározott titoktartási kötelezettség hatálya alatt áll.

(4) A tagállamok további feltételeket - köztük korlátozásokat - tarthatnak hatályban, illetve vezethetnek be a genetikai adatok, a biometrikus adatok és az egészségügyi adatok kezelésére vonatkozóan. GDPR 58. cikk (2) bekezdés: A felügyeleti hatóság korrekciós hatáskörében eljárva:

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit.

f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is;

g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2)

bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; GDPR 77. cikk (1) bekezdés: Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet. Az Infotv. 2. § (2) bekezdés: Személyes adatoknak az (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet a III-V. és a VI/A. Fejezetben, valamint a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §-ban, az 55. § (1)-(2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, a 62-71. §-ban, a 72. §-ban, a 75. § (1)-(5) bekezdésében, a 75/A. §-ban és az 1. mellékletben meghatározott kiegészítésekkel kell alkalmazni.

Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít.

Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel.

Infotv. 75/A. §: A Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

IV. Döntés

(23) A felvétellel végzett adatkezelés két különböző adatkezelési műveletből állt. Az első művelet a felvétel rögzítése, míg a második művelet a felvétel közlése volt, ez utóbbi pedig két különböző formában is megvalósult, amikor a Kérelmezett először a csoportban osztotta meg a felvételt, majd pedig e-mailen küldte el állítása – és a becsatolt bizonyíték szerint három személy számára. Mindkét művelet, tehát a felvétel rögzítése és közlése is adatkezelésnek minősül a GDPR 4. cikk 2. pontja szerinti fogalommeghatározás alapján.

IV.1 A felvétel közlésével kapcsolatos adatkezelés (24) A Hatóság megállapította, hogy a GDPR 4. cikk 1. pontja szerinti személyes adatnak minősülnek a hangfelvételen elhangzó, a Kérelmezőre vonatkozó következő információk: a neve ([…]), a lakhelye, az, hogy nem tartozik az adott óvodai körzethez; a családjában a közelmúltban három haláleset történt; a Kérelmező magatartását, viselkedésbeli problémáját bemutató információk.

(25) Megállapításra került továbbá az is, hogy a GDPR 4. cikk 15. pontja szerinti egészségügyi adatnak – és ebből fakadóan a GDPR 9. cikk (1) bekezdése alapján különleges személyes adatnak – minősülnek a Kérelmezőről elhangzott azon kijelentések, miszerint […]hoz járnak vele, „[…]” gyógyszert szed, […]vizsgálata lesz […] problémája van, heti két alkalommal fejlesztésre jár, valamint, hogy az arra vonatkozó utalások, hogy beteg.

(26) A Kérelmezett a két adatkezelési művelet tekintetében különböző adatkezelési célokat jelölt meg. A Kérelmezett nyilatkozata alapján a felvétel abból a célból készült, hogy a későbbiekben felidézhesse a beszélgetésen elhangzottakat, a közlés pedig a többi szülő azaz a közlés címzettjeinek – tájékoztatása céljából történt.

(27) A felvétel rögzítésével kapcsolatban a Hatóság megállapította, hogy az mindaddig, amíg tisztán magáncélt szolgál, azaz, ahogyan arra a Kérelmezett is hivatkozott, a beszélgetésen elhangzottak felidézését segíti a Kérelmezett számára, addig a felvétel elkészítése az úgynevezett „háztartási adatkezelés” kategóriájába tartozik, és a GDPR – a 2. cikk (2) bekezdés c) pontja értelmében – nem alkalmazandó rá. Emellett azonban nem hagyható figyelmen kívül, hogy a felvétel titokban való elkészítése – figyelemmel a megbeszélés témájának érzékenységére – etikai szempontból aggályos és nem elfogadható.

(28) Abban a pillanatban azonban, ahogy a Kérelmezett a közte és a Képviselő, valamint az óvodavezető között létrejött beszélgetést tartalmazó felvételt további személyek számára hozzáférhetővé tette - ezáltal megismerhetővé téve a Kérelmező személyes és különleges személyes adatait -, a rögzítést jellemző magánjelleg, vagyis a Kérelmezett által is hangsúlyozott, kizárólagosan saját érdek megszűnt. Ebből fakadóan a Hatóság álláspontja szerint a felvétel megosztása túlmutat a GDPR alkalmazása alóli kivételt jelentő háztartási adatkezelés fogalmán.

(29) A Hatóság a felvétel megosztása, mint adatkezelési művelet tekintetében a Kérelmezett által megjelölt cél – vagyis a többi szülő tájékoztatása a Kérelmezővel kapcsolatos beszélgetésen elhangzottakról – vonatkozásában az alábbiakat állapította meg. A beszélgetés a fő témájában érintett két személy részvételével, az óvodavezető segítségével, tehát három személy között, zárt körben zajlott, és bár elhangoztak más gyerekekkel kapcsolatos konfliktusok és általános problémák is, kiindulópontja a Kérelmezett gyermeke és a Kérelmező közötti konfliktus volt. Maga a Kérelmezett is a következők szerint fogalmazott a csatolt messenger beszélgetésben: „Hétfő délután, a fiammal történő újabb incidens után újabb szülői panasszal éltem az óvoda vezetőjénél.” […] „Tegnapi nap […] kezdeményezésére, leültünk az óvodavezetőjével együtt megbeszélni a dolgokat.” A Képviselő szándéka szerint is a gyermeke és a Kérelmezett gyermeke közötti konfliktus rendezése céljából kettejük között létrejött beszélgetésen elhangzottakról az összes szülő tájékoztatása nem tekinthető a GDPR szerinti jogszerű célnak.

(30) A megjelölt cél jogszerűtlenségén túl a Hatóság megállapította, hogy amennyiben a többi szülő a kizárólagosan őket érintő, általános, lényegi információkról egy szóbeli beszélgetés keretében értesül, az – ugyancsak háztartási jellegénél fogva – nem minősül a GDPR szerinti adatkezelésnek, így adatvédelmi szempontból nem kifogásolható. (31) A felvétel ilyen módon történő megosztása viszont szükségtelen mértékű beavatkozás volt az érintett, vagyis a Kérelmező magánszférájába azzal, hogy a személyes és különleges személyes adatai ezáltal hozzáférhetővé váltak több személy számára. (32) A fentieken túl az online felületen történt közlés a Hatóság álláspontja szerint azért sem megfelelő módja ebben az esetben az információk átadásának, mivel magában hordozza annak a lehetőségét és veszélyét, hogy a link – illetve e-mailes megküldés esetén a fájl birtokában a címzett személy továbbíthatja más személyeknek is a felvételt.

(33) Figyelemmel a fentiekre, a Kérelmezett a felvétel megosztásával megsértette a GDPR 5. cikk (1) bekezdés b) pontja szerinti célhoz kötöttség elvét, valamint a GDPR 5. cikk (1) bekezdés c) pontjában foglalt adattakarékosság elvét.

IV.2 Az adatkezelés jogalapja (34) A fentiek alapján a Kérelmezettnek a Kérelmező személyes adatainak harmadik személyekkel történt megosztását eredményező tevékenysége a GDPR hatálya alá tartozik, mely esetben az adatkezelés jogszerűségének feltétele valamely, a GDPR 6. cikk (1) bekezdésében szabályozott jogalap fennállása.

(35) Emellett a különleges személyes adatok kezelése főszabály szerint tilos. A különleges személyes adatok jogszerűen csak akkor kezelhetők, ha a GDPR 6. cikk (1) bekezdésében meghatározott valamely jogalap mellett a GDPR 9. cikk (2) bekezdés szerinti körülmény is fennáll, amely kivételt enged a különleges adatok kezelésének tilalma alól.

(38) Fentiekre tekintettel a Hatóság a Kérelmező kérelmének helyt adva a GDPR 58. cikk (2) bekezdés f) pontja alapján megtiltotta Kérelmezettnek a hangfelvétel harmadik személyek részére történő továbbítását.

IV.3. A tisztességes adatkezelés elve (39) Az adatkezelés tisztességes volta az adatkezelést meghatározó elv, az érintett magánszférájának, emberi méltóságának tiszteletben tartását jelentő követelmény. A tisztességes adatkezelés elve értelmében az érintett nem válhat kiszolgáltatottá az adatkezelővel vagy más személlyel szemben.

(40) A Kérelmezőről a törvényes képviselőjével történt beszélgetésről, a Képviselő tudta nélkül készült felvétel, amikor a Kérelmezett a jelenlévők tájékoztatása nélkül titokban, a zsebébe rejtve használta a felvevő eszközt. Tette ezt egy olyan beszélgetés rögzítése céljából, amely során a Képviselő, vagyis a kiskorú Kérelmező édesanyja a rögzítésről mit sem sejtve gyermekéről számos, a magánszféráját érzékenyen érintő, valamint egészségi állapotára vonatkozó információt megosztott a beszélgetés másik két résztvevőjével. Tekintettel arra, hogy a Képviselő a felvétel elkészítéséről nem tudott, és az adott körülmények között nem is számíthatott rá, így tiltakozni sem tudott ellene.

(41) A találkozó létrejöttének célja eleve az volt, hogy a Kérelmező és a Kérelmezett gyereke között zajlott konfliktusok és egyéb problémák miatt kialakult helyzetről beszéljenek, és igyekezzenek arra közösen megoldást találni. A Kérelmezett tehát annak tudatában vette fel a beszélgetést a legelejétől kezdve, hogy annak középpontjában a Kérelmező viselkedésével kapcsolatos problémák és azok háttere lesz.

(42) Ezenfelül a Kérelmezett a beszélgetés során több alkalommal hangsúlyozta, valamint kérdéseivel, illetve megjegyzéseivel erősíteni igyekezett, hogy a Kérelmező beteg. Példaként szolgál a jelenségre a felvételen hallható azon párbeszéd, amikor a Kérelmezett Képviselőhöz intézett mondatára, miszerint „Nem látom rajtad azt, hogy elismernéd, hogy […].” a Képviselő úgy kezdi válaszát, hogy „Elismerem,”. Emellett a beszélgetés során többször is megtörténik a Kérelmező szembeállítása a többi óvodással, mint egészséges gyerekekkel. A Kérelmezett a saját gyermekét is ilyen kontextusban említi, közvetetten utalva a Kérelmező beteg voltára: „Nekem jogom van védeni az egészséges gyerekemet.”

(43) A Kérelmezett tehát nemcsak a beszélgetés apropójával volt tisztában, hanem a beszélgetésen elhangzottak érzékeny voltának ismeretében, - mint annak aktív résztvevője és alakítója - osztotta meg a felvételt harmadik személyekkel.

(44) A felvételen a Kérelmezőre vonatkozóan szenzitív, különleges adatok, valamint a viselkedésére való utalások hangzottak el. Az adattovábbítás alkalmas volt arra, hogy a Kérelmező személyének megítélését a mikrokörnyezetében, az óvodás társai szüleinek körében hátrányosan befolyásolja.

(45) A fentiek alapján a Hatóság megállapítja, hogy a Kérelmezett megsértette a GDPR 5. cikk (1) bekezdés a) pontja szerinti tisztességes adatkezelés elvét, mert egy olyan helyzetben döntött a Kérelmező számára kellemetlen, őt az óvodástársaival szemben hátrányosan feltüntető, az ő betegségét előtérbe helyező, és őt a többiektől megkülönböztető beszélgetést tartalmazó felvétel továbbítása mellett, amikor egyáltalán nem lett volna szükség személyes és különleges személyes adatok kezelésére.

IV.4. A Hatóság egyéb megállapításai (46) A Kérelmező álláspontja szerint a Kérelmezett megsértette az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 4. § (1) bekezdését, 5. § (1) bekezdés b) pontját, (2) bekezdés a) pontját, továbbá a 14. § a) pontját, ezért az adatkezelése jogellenes.

(47) A Hatóság mindenekelőtt rámutat, hogy az általános adatvédelmi rendelet alkalmazandóvá válását követően szükségképpen megváltozott az Infotv. személyes adatok védelmével összefüggő rendelkezéseinek hatálya. Az „új Infotv.-nek”, azaz az Infotv.-nek - az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvénynek az Európai Unió adatvédelmi reformjával összefüggő módosításáról, valamint más kapcsolódó törvények módosításáról szóló 2018. évi XXXVIII. törvénnyel (a továbbiakban: Módtv.) kihirdetett - 2018. július 26-ától hatályos 2. §-ának (2) bekezdése rögzíti, hogy a személyes adatoknak az általános adatvédelmi rendelet hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet az Infotv. mely rendelkezéseiben meghatározott kiegészítésekkel kell alkalmazni. Ezek között nem szerepelnek a Kérelmező kérelmében hivatkozott rendelkezések.

(48) A fentiek alapján, figyelemmel a GDPR 2. cikkében foglalt rendelkezésekre, a jelen ügy szerinti adatkezelésre a GDPR-t kell alkalmazni. IV.5. Jogkövetkezmények (49) A Hatóság a Kérelmező kérelmének helyt adva a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezettet, mert megsértette a GDPR 5. cikk (1) bekezdés a), b) és c) pontjában, 6. cikkében, valamint 9. cikkében foglaltakat. (50) A Hatóság helyt adva a Kérelmező kérelmének, a jogsértés megszüntetése és a személyes adatok védelmének helyreállítása érdekében a GDPR 58. cikk (2) bekezdés f) pontjában foglalt hatásköre alapján megtiltja a felvétel - akár online felületen, akár más módon történő – közlését, és utasítja a Kérelmezettet, hogy a jövőben tartózkodjon az ilyen magatartástól. (51) A Hatóság továbbá a GDPR 58. cikk (2) bekezdés g) pontjában foglaltak alapján utasítja a Kérelmezettet, hogy a felvétel törlésének szükségességéről értesítse azon címzetteket, akik számára e-mail útján a felvétel továbbításra került. (52) A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés arányos és visszatartó erejű szankció, ezért bírság kiszabása nem szükséges. (53) A Hatóság döntésénél figyelembe vette, hogy a Kérelmezett magánszemély, és az eset összes körülménye alapján feltételezhetően bírság kiszabása nélkül elérhető, hogy maradéktalanul teljesítse a Hatóság döntését és biztosítsa a Kérelmező személyes adatainak védelmét. A Hatóság kifejezetten ellenőrizni fogja a jelen határozat teljesítését, és nemteljesítés esetén eljárási bírságot szabhat ki, vagy újabb adatvédelmi hatósági eljárást indíthat. Újabb adatvédelmi jogsértés megállapítása esetén a jogkövetkezmények megállapításakor a jelen jogsértést, mint előzményt fokozott súllyal veszi majd figyelembe.

V. Egyéb kérdések

(54) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (55) A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. (56) Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal és a megszüntető végzéssel szemben közigazgatási per útján van helye jogorvoslatnak. (57) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (58) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (59) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (60) Ha az előírt kötelezettsége teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2021. szeptember 23.

Dr. Péterfalvi Attila elnök c. egyetemi tanár