Hungarian Data Protection Authority (NAIH): Processing of special personal data in the course of a chamber’s ethical procedure

(…)

1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-535-8/2021 Előzmény: NAIH/2020/4008 Ügyintéző:

Tárgy: kérelemnek részben helyt adó határozat

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt […]

kérelmezőnek ([…]a továbbiakban: Kérelmező) 2020. május 19. napján érkezett kérelme nyomán indult, a […] ([…], a továbbiakban: […]), továbbá a […] ([…], a továbbiakban: […]), a […] ([…], a továbbiakban: […]), valamint a Magyar Orvosi Kamara Országos Etikai Bizottságával (1068 Budapest, Szondi u. 100., a továbbiakban:

MOK EOB) szemben folytatott, a kérelmező személyes adatai kezelésének jogszerűsége, továbbá az adatkezelés körülményeiről való tájékoztatás adásának elmulasztása tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza. A Hatóság határozatában a Kérelmező által előterjesztett kérelemnek részben helyt ad.

I. Megállapítja, hogy a […] a Kérelmező személyes adatainak kezelésével összefüggésben megsértette a

6. cikk (1) bekezdését, a GDPR 9. cikk (1) bekezdését, a GDPR 12. cikk (4) bekezdését, a GDPR 13. cikk (1) bekezdés c) pontját és (2) bekezdés e) pontját, és kötelezi a […]-t, hogy jelen végzés véglegessé válásától számított 15 napon belül intézkedjen az E- 8/8/2020 ügyszámon folyamatban volt eljárás során kezelt kérelmezői személyes adatok továbbítása iránt a papír alapon tárolt teljes iratanyag másolatának […] részére történő megküldése által. II. Kötelezi a […]-t, hogy jelen végzés véglegessé válásától számított 15 napon belül intézkedjen az E- 8/8/2020 ügyszámon folyamatban volt eljárás során kezelt kérelmezői személyes adatok továbbítása iránt a papír alapon tárolt teljes iratanyag másolatának […] részére történő megküldése által. III. Ezt meghaladóan a kérelem jogellenes adatkezeléstől való eltiltásra, valamint bírság kiszabására vonatkozó részét elutasítja.

IV. A Hatóság megállapítja, hogy a […] által az elfogultsági bejelentés, kijelölési kérelem elbírálásához kapcsolódó, a Kérelmező személyes adataival (ebben a körben egészségügyi adataival) összefüggésben végzett adatkezelési tevékenysége nem volt jogszerűtlen.

V. A Hatóság megállapítja, hogy a […] által lefolytatott etikai eljárás során a Kérelmező személyes adataival (ebben a körben egészségügyi adataival) összefüggésben végzett adatkezelési tevékenysége nem volt jogszerűtlen. VI. Tekintettel arra, hogy a Hatóság túllépte az ügyintézési határidőt, a Kérelmezőt 10.000, - Ft, - azaz tízezer forint illeti meg.

*** Az I. és II. pontban előírt intézkedés megtételét a […]-nek és a […]-nek az intézkedés megtételétől számított 8 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé, a […]-nek szóló átirat és az annak feladását igazoló postakönyvmásolatnak a Hatóság részére való megküldésével.

A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. A Hatóság felhívja a […] és a […] figyelmét, hogy a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg!

I N D O K O L Á S

I.

Az eljárás menete

A Kérelmező 2020.05.19. napján adatvédelmi hatósági eljárást lefolytatása iránti kérelmet terjesztett elő. A Hatóság a tényállás tisztázása érdekében 2020.06.19. napján kelt végzésében nyilatkozattételre hívta fel a […]-t. A […] a nyilatkozattételre nyitva álló határidő lejárta előtt egy nappal a végzésben foglaltak megválaszolására - elnökségi ülés összehívásának szükségességére hivatkozva, ennek érdekében megtett intézkedései igazolása nélkül - további 30 nap határidőt kért, mely kérelmet a Hatóság 2020.07.23. napján kelt végzésében elutasított. A […] a Hatóság tényállástisztázó végzésében foglalt kérdésekre 2020.07.28. napján kelt nyilatkozatában reagált (NAIH/2020/4008/6. alszámú irat). A Hatóság 2020.09.22. napján kelt végzéseiben a […]-t, a […]-t, a […]-t az adatvédelmi hatósági eljárásba ügyfélként bevonta és a tényállás tisztázása érdekében nyilatkozattételre hívta fel (NAIH/2020/4008/8-10. alszámú iratok). A […] a 9. alszámú tényállástisztázó végzésben foglaltakra 2020.10.08. napján kelt nyilatkozatában adott választ (NAIH/2020/4008/13. alszámú irat). A […] a 10. alszámú tényállástisztázó végzésben foglaltakra 2020.10.05. napján kelt nyilatkozatában adott választ (NAIH/2020/4008/14. alszámú irat). A […] a 8. alszámú tényállástisztázó végzésben foglaltakra 2020.10.09. napján kelt nyilatkozatában adott választ (NAIH/2020/4008/15. alszámú irat). A Hatóság 2021.01.15. napján kelt végzésében a Kérelmezőt, a […]-t, a […]-t, a […]-t, a […]-t iratbetekintési jog gyakorlásának lehetőségére hívta fel, iratbetekintési jogát egyikük sem kívánta gyakorolni. A […] 2021.01.21. napján kelt nyilatkozatában az eljárás során korábba tett nyilatkozatait változatlanul fenntartotta, így azt az álláspontját is, hogy a […] nem önálló jogalany, ezért kérdéses az eljárásba ügyfélként történt bevonása.

II.

A tényállás tisztázása

A kérelem szerint a Kérelmező a […] (a továbbiakban: […]) […] tisztségét látja el, ami mellett a […] (a továbbiakban: […]) vezeti . Utóbbi minőségében rendszeresen végez egészségügyi ellátási tevékenységet.

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program ( ÁNYK program) alkalmazásával tölthető ki.

A Kérelmező 2020.02.29. és 2020.03.07. napja közötti időszakban magánúton külföldön tartózkodott […]. 2020.03.20. napján olyan egészségügyi tünetet észlelt magán, ami miatt óvatosságból COVID-19 vírus tesztelésre jelentkezett. A teszt eredménye pozitív lett, ezért karanténba vonult. A Kérelmező nagy sajtóérdeklődés miatt 2020.03.22. napján […] közleményt (a továbbiakban: […] közlemény) adott ki, melyet a […] honlapján is közzétett2. A […] közlemény a […] hírarchívumában jelenleg is elérhető, a Hatóság általi utolsó letöltés: 2021.03.22. A […] (a továbbiakban: […]) 2020.03.23. napján kelt közleményében (a továbbiakban: […] közlemény)3 arról értesítette a közvéleményt, hogy a […] hivatalból és azonnali hatállyal eljárást indít a […] […] szemben. A közleményben konkrétan megnevezték azokat az etikai vétségeket, amelyek miatt az eljárás kezdeményezését indokoltnak tekintették ([…] Etikai Kódexe II.1.15., II.4.1., II.4.2. pont). A közlemény jelen határozat kiadmányozásának időpontjában a […] honlapján nem érhető el. A […] nevében annak elnöke 2020.03.31. napján kelt, […] sz. végzésben adatszolgáltatásra hívta fel a Kérelmezőt. A felhívásnak és az adatszolgáltatási kötelezettségnek a jogalapját az egészségügyben működő szakmai kamarákról szóló 2006. évi XCVII. törvény (a továbbiakban: Ektv.) 23. § (5) bekezdésére, továbbá az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 63. §, 105. § (1)-(2) bekezdéseire, hatáskörét és illetékességét az Ektv. 20. §, 21. § (1) bekezdésére alapította. A Kérelmező a felhívásban foglaltaknak 2020.04.08. napján kelt nyilatkozatával eleget tett, egyben kérte az Ákr. 104. § (3)-(4) bekezdéseiben foglalt tartalmú értesítés részére történő megadását az […]. A […] 2020.04.21. napján kelt válaszában (a továbbiakban: válaszlevél) arról tájékoztatta a Kérelmezőt, hogy az Ákr. 104. §-a szerinti értesítést abban az esetben küldik meg részére, ha az […] vele szemben eljárást indít. A Kérelmező álláspontja szerint a […] felhívásában megjelölt nyilatkozattételi jog és adatszolgáltatási kötelezettség alanya az Ákr. szerint az ügyfél, az ügyfél minőséghez pedig elengedhetetlen, hogy legyen az Ákr. hatálya alá tartozó ügy. Ilyen ügy hiányában ügyfél nem létezik, így őt megillető jogok és kötelezettségek sem. Ennek megfelelően a […] válaszlevelében felhívott, Ákr. 62. §-a szerinti tényállástisztázási kötelezettség alkalmazása létező eljáráshoz kötött, eljárás hiányában nincs tényállás tisztázási hatáskör. A Kérelmező álláspontja szerint a […] a fentiek miatt jogszerűen nem kötelezhette volna az Ákr. szerinti adatszolgáltatás teljesítésére annak elmulasztása esetére szóló jogkövetkezmények terhével, kizárólag önkéntes adatszolgáltatásra hívhatta volna fel, amely esetben lehetősége lett volna megtagadni az adatszolgáltatást a […] részére megadott személyes és egészségügyi adatai tekintetében. A Kérelmező véleménye szerint a […] adatkezelésének jogalapja nem felel meg a GDPR előírásainak, az adatok gyűjtése jogszerűtlenül történt, mivel etikai eljárás nem volt folyamatban, így az Ákr. vagy egyéb jogszabály nem írta elő az adatkezelést. A […] az Ektv.-ben meghatározott feladata ellátása érdekében csak a Kérelmező hozzájárulásával kezelhette volna a kérelmező személyes adatait, a hozzájárulásnak azonban önkéntesnek, megfelelő tájékoztatáson alapulónak kellett volna lennie. A Kérelmező állította, hogy az általa közzétett […] közleményben kizárólag azt hozta nyilvánosságra, hogy […] tartózkodott 2020.03.08. napjáig és hogy pozitív lett a koronavírus tesztje. A […] felhívására szolgáltatott adatok köre azonban mind a magáncélú úttal, mind pedig a Kérelmező egészségügyi állapotával, az általa végzett egészségügyi tevékenységgel kapcsolatban sokkal bővebb volt a […] közleményben megadott adatkörnél, továbbá az adatkezelés jogalapjával kapcsolatban kifejezetten megtévesztő tájékoztatást kapott a […]-től, az adatkezelés egyéb körülményeiről pedig semmilyen tájékoztatást nem kapott. A Kérelmező álláspontja szerint a […] fenti eljárása megsértette a GDPR adatkezelés jogalapjára, az adatkezeléssel kapcsolatos információk rendelkezésre bocsátásának kötelezettségére vonatkozó előírásait. A Kérelmező kérte, hogy a Hatóság indítson adatvédelmi hatósági eljárást, állapítsa meg, hogy az adatkezelő jogellenesen gyűjtötte az adatait, az adatkezeléssel kapcsolatos információkat nem bocsátotta a Kérelmező rendelkezésére, ezért tiltsa el az adatkezelőt a jogellenes adatkezeléstől és szabjon ki adatvédelmi bírságot.

2 […] 3 […]

III. Az ügyben alkalmazandó jogszabályi rendelkezések

A GDPR 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre a GDPR-t kell alkalmazni. A GDPR jelen ügyben releváns rendelkezései a következők: GDPR 4. cikk 1. pont „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható; GDPR 4. cikk 2. pont „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés; GDPR 4. cikk 6. pont „nyilvántartási rendszer”: a személyes adatok bármely módon - centralizált, decentralizált vagy funkcionális vagy földrajzi szempontok szerint - tagolt állománya, amely meghatározott ismérvek alapján hozzáférhető; GDPR 4. cikk 7. pont: „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja; GDPR 4. cikk 15. pont: „egészségügyi adat”: egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról; GDPR 6. cikk (1) bekezdés: A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. GDPR 9.cikk (1) bekezdés: (1) A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos. (2) Az (1) bekezdés nem alkalmazandó abban az esetben, ha:

a) az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával;

b) az adatkezelés az adatkezelőnek vagy az érintettnek a foglalkoztatást, valamint a szociális biztonságot és szociális védelmet szabályozó jogi előírásokból fakadó kötelezettségei teljesítése és konkrét jogai gyakorlása érdekében szükséges, ha az érintett alapvető jogait és érdekeit védő megfelelő garanciákról is rendelkező uniós vagy tagállami jog, illetve a tagállami jog szerinti kollektív szerződés ezt lehetővé teszi;

c) az adatkezelés az érintett vagy más természetes személy létfontosságú érdekeinek védelméhez szükséges, ha az érintett fizikai vagy jogi cselekvőképtelensége folytán nem képes a hozzájárulását megadni;

d) az adatkezelés valamely politikai, világnézeti, vallási vagy szakszervezeti célú alapítvány, egyesület vagy bármely más nonprofit szervezet megfelelő garanciák mellett végzett jogszerű tevékenysége keretében történik, azzal a feltétellel, hogy az adatkezelés kizárólag az ilyen szerv jelenlegi vagy volt tagjaira, vagy olyan személyekre vonatkozik, akik a szervezettel rendszeres kapcsolatban állnak a szervezet céljaihoz kapcsolódóan, és hogy a személyes adatokat az érintettek hozzájárulása nélkül nem teszik hozzáférhetővé a szervezeten kívüli személyek számára;

e) az adatkezelés olyan személyes adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott;

f) az adatkezelés jogi igények megállapításához, érvényesítéséhez, illetve védelméhez szükséges, vagy amikor a bíróságok igazságszolgáltatási feladatkörükben járnak el;

g) az adatkezelés jelentős közérdek miatt szükséges, uniós jog vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő;

h) az adatkezelés megelőző egészségügyi vagy munkahelyi egészségügyi célokból, a munkavállaló munkavégzési képességének felmérése, orvosi diagnózis felállítása, egészségügyi vagy szociális ellátás vagy kezelés nyújtása, illetve egészségügyi vagy szociális rendszerek és szolgáltatások irányítása érdekében szükséges, uniós vagy tagállami jog alapján vagy egészségügyi szakemberrel kötött szerződés értelmében, továbbá a (3) bekezdésben említett feltételekre és garanciákra figyelemmel;

i) az adatkezelés a népegészségügy területét érintő olyan közérdekből szükséges, mint a határokon át terjedő súlyos egészségügyi veszélyekkel szembeni védelem vagy az egészségügyi ellátás, a gyógyszerek és az orvostechnikai eszközök magas színvonalának és biztonságának a biztosítása, és olyan uniós vagy tagállami jog alapján történik, amely megfelelő és konkrét intézkedésekről rendelkezik az érintett jogait és szabadságait védő garanciákra, és különösen a szakmai titoktartásra vonatkozóan;

j) az adatkezelés a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból szükséges olyan uniós vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő;

GDPR 13. cikk Rendelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik (1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:

a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás.

(2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása;

f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. GDPR 31. cikk Az adatkezelő és az adatfeldolgozó, valamint - ha van ilyen - az adatkezelő vagy az adatfeldolgozó képviselője feladatai végrehajtása során a felügyeleti hatósággal - annak megkeresése alapján - együttműködik.

GDPR 58. cikk (2) bekezdés b), c) és i) pont: A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel; GDPR 99. cikk (2) bekezdés: Ezt a rendeletet 2018. május 25-től kell alkalmazni. Az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel.

Az Infotv. 61. § (6) bekezdése szerint a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg. Az Infotv. 71. § (2) bekezdés: A Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja.

Ákr. 22. § [A kizárás általános szabálya] Az ügy elintézésében nem vehet részt az a személy, akitől nem várható el az ügy tárgyilagos megítélése. Ákr. 23. § (5) Az ügy elintézéséből kizárt az a hatóság, amelynek vezetőjével szemben kizárási ok merül fel.

Ákr. 24. § (4) Ha a kizárási ok a hatósággal szemben merül fel, a kizárási okot a hatóság a felügyeleti szerv számára bejelenti. A felügyeleti szerv dönt a hatóság kizárásáról, egyúttal - jogszabály eltérő rendelkezése hiányában - rendelkezik az ügyben eljáró másik, az eljárásból kizárt hatósággal azonos hatáskörű hatóság kijelöléséről.

Ákr. 27. § [Az adatkezelés szabályai] (1) A hatóság az ügyfél és az eljárás egyéb résztvevője azonosításához szükséges természetes személyazonosító adatokat és az ügyfajtát szabályozó törvényben meghatározott személyes adatokat, továbbá - ha törvény másként nem rendelkezik - az eljárás eredményes lefolytatásához elengedhetetlenül szükséges más személyes adatokat kezeli. (2) A hatóság gondoskodik arról, hogy a törvény által védett titok és törvény által védett egyéb adat (a továbbiakban együtt: védett adat) ne kerüljön nyilvánosságra, ne juthasson illetéktelen személy tudomására, és e védett adatok törvényben meghatározott védelme a hatóság eljárásában is biztosított legyen. (3) A hatóság az eljárása során annak lefolytatásához - jogszabályban meghatározott módon és körben - kezeli azokat a védett adatokat, amelyek eljárásával összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. Az Ákr. 63. §-a szerint, ha a tényállás tisztázása azt szükségessé teszi, a hatóság az ügyfelet nyilatkozattételre hívhatja fel. Ákr. 104. § (3) A hivatalbóli eljárás az első eljárási cselekmény elvégzésének napján kezdődik, megindításáról az ismert ügyfelet a hatóság értesíti. Az értesítés csak akkor mellőzhető, ha a) az eljárás megindítása után a hatóság nyolc napon belül dönt, vagy az eljárást megszünteti, b) azt honvédelmi, nemzetbiztonsági, közbiztonsági okból törvény kizárja, vagy c) az az eljárás sikerét meghiúsítaná. (4) Az értesítés tartalmazza a) az ügy tárgyát és számát, az eljárás megindításának napját és az ügyintézési határidőt, az ügyintézési határidőbe nem számító időtartamokat, az ügyintéző nevét és hivatali elérhetőségét, és b) az ügyféli jogokra és kötelezettségekre vonatkozó tájékoztatást. Az egészségügyben működő szakmai kamarákról sz 2006. évi XCVII. törvény (a továbbiakban: Ektv.) 20. § A szakmai kamara etikai vétség gyanúja esetén etikai eljárást folytat le. E törvény alkalmazásában etikai vétség: a) a 2. § c) pontja szerinti etikai kódexben foglalt szabályok vétkes megszegése, b) az alapszabályban, illetőleg a szakmai kamara más belső szabályzatában foglalt vagy a választott tisztségből eredő kötelezettségnek a vétkes megszegése. Ektv. 21. § (1) Etikai ügyben első fokon annak a területi szervezetnek az etikai bizottsága jár el, amelynél az etikai eljárás megindulásakor az eljárás alá vont tag szakmai kamarai tagsági jogviszonya fennáll. Több - eltérő területi szervezeti tagsággal rendelkező - kamarai tag érintettsége esetén az az etikai bizottság jár el, amely elsőként állapítja meg a panaszüggyel érintett valamelyik kamarai tag ügyében a területi illetékességét. (2) A munkaviszonyban, közalkalmazotti, közszolgálati, kormányzati szolgálati, igazságügyi alkalmazotti szolgálati jogviszonyban álló (a továbbiakban együtt: foglalkoztatott) kamarai tag által elkövetett etikai vétség gyanúja esetén a területi szervezet etikai bizottsága a munkáltatót írásban értesíti. A munkáltató az álláspontjáról, valamint a megtett intézkedéséről a kamarát köteles 30 napon belül, de legkésőbb - ha annak külön törvény szerint helye van - a fegyelmi eljárás lefolytatására irányadó határidő lejártát követő 5 napon belül tájékoztatni. Ektv. 22. § (1) Az etikai eljárást az etikai vétség gyanújáról való tudomásszerzés esetén hivatalból kell megindítani. Az etikai eljárás megindításáról - ha az eljárás panaszbejelentés alapján indult - az eljárás megindításával egyidejűleg írásban értesíteni kell a panaszost is. Ektv. 23. § (5) Az etikai eljárásra - e törvény eltérő rendelkezése hiányában - a közigazgatási hatósági eljárás általános szabályairól szóló törvény rendelkezéseit kell megfelelően alkalmazni azzal, hogy a) nem alkalmazhatók a törvénynek aa) ab) eljárási költség viselésére, ac) költségmentességre, ad) vonatkozó rendelkezései, továbbá b) az ügyintézési határidő negyvenöt nap.

Ektv. 24. § (1) Az elsőfokú etikai eljárásban a bizonyítási eljárás keretében tárgyalás tartása kötelező. (2) Kizárási okot a fellebbezésre jogosult az eljárás bármely szakaszában bejelenthet. A kizárási okot az etikai bizottság elnökének, a területi szervezet etikai bizottsága elnökével szembeni kizárási okot az országos etikai bizottság elnökének, az országos etikai bizottság elnökével szembeni kizárási okot az országos elnökség elnökének kell bejelenteni, aki döntést hoz az eljárásból való kizárás tárgyában.

IV. Döntés

(1) A Hatóság jelen eljárásban azt vizsgálta, hogy a […], a […], a […], a […] adatkezelőnek minősülnek-e, az általuk folytatott adatkezelési tevékenység a GDPR hatálya alá tartozik-e, továbbá a Kérelmező személyes adatainak kezelésére a GDPR rendelkezéseinek megfelelően került-e sor. (2) A Hatóság döntését a) a kérelem és mellékletei, b) a […] által előterjesztett NAIH/2020/4008/6. és NAIH/2020/4008/12. alszámú nyilatkozat, c) a [… 2020.02.01. napjától hatályos Szervezeti és Működési Szabályzata (a továbbiakban: […]

SZMSZ), d) a […] 2011.10.25. napján kelt Működési Szabályzata, Ügyrendje (a továbbiakban: […] Ügyrend), e) a […] 2018.11.24-i módosításokkal egységes szerkezetbe foglalt Alapszabálya (a továbbiakban:

[…] Alapszabály), f) a […] 2018.11.24-i módosításokkal egységes szerkezetbe foglalt Etikai Kódexe, g) a […] iratkezelési szabályzata (hatálybalépés dátuma: 2019. március 13.) h) a […] 2020.04.30. napján kelt, […]. kijelölő végzése (a továbbiakban: kijelölő végzés), i) a […] 2020.03.31. napján kelt, […] részére megküldött, kizárási okot bejelentő átirata, j) a […] 2020.03.24. napján megtartott etikai bizottsági ülésen hozott, 9. és 10. sz. határozatának kivonata, k) a [...] 2020.03.31. napján kelt, […] iktatószámú végzése, l) a […] 2020.03.24. napján kelt, […] iktatószámú átirata panaszbejelentés továbbításáról a […] részére, m) a […] 2020.03.24. napján kelt, […] iktatószámú tájékoztatása a panaszosnak, n) a […] 2020.06.10. napján kelt, […] számú, etikai eljárásban hozott, 2020.06.12. napján írásba foglalt határozata, o) a […] ügyrendje, p) a […] Szervezeti és Működési Szabályzata (a továbbiakban: […] SZMSZ), q) a […] által előterjesztett NAIH/2020/4008/14. alszámú nyilatkozat és mellékletei, r) a […] által előterjesztett NAIH/2020/4008/15. alszámú nyilatkozat és mellékletei, s) a […] által előterjesztett NAIH/2020/4008/13. alszámú nyilatkozat és mellékletei alapján hozta meg.

IV. A […] és a […] adatkezelése

IV.1. A […] és a […] adatkezelői pozíciója

(3) A […] Alapszabály 24.b) pontja szerint a […] területi szervezete jogi személy. Az Alapszabály 25.a)

pontja alapján a területi szervezet illetékességi területén képviseli a […]-ot, 25.m) pontja alapján etikai bizottságot működtet, a kamarai törvényben és külön jogszabályban meghatározott esetekben tagjaival szemben etikai eljárást folytat. (4) A […] Alapszabály 29.b) pontja akként rendelkezik, hogy az etikai bizottság a területi szervezet tagjait érintő ügyekben, a vonatkozó jogszabályokra, az Etikai Kódexben foglaltakra alapozva hozza meg határozatait, és a törvényben, továbbá a közigazgatási hatósági eljárás és szolgáltatás általános szabályairól szóló törvényben (Ket.) foglaltak szerint jár el első fokon. (5) A […] SZMSZ 2.2. és 2.5. pontja szerint a […] […] megyében képviseli a […]-t. A […] önálló jogi személy. (6) A […] SZMSZ 8.1. pontja szerint az etikai bizottság feladata a területi szervezet tagjait érintő, etikai vétség gyanúját felvető ügyekben elsőfokú etikai eljárások lefolytatása.

6-5. (VI.10.) számú határozatában megállapította, hogy a Kérelmező etikai vétséget nem követett el. (10) Az Ektv. 20. §-a szerint etikai vétség gyanúja esetén az etikai eljárást a szakmai kamara folytatja le, az

Ektv. 21. § (1) bekezdése az eljárási cselekmények tekintetében az etikai bizottságra helyezi az érdemi döntések - ebben a körben az eljárást indító alakszerű végzés, továbbá az etikai eljárást lezáró alakszerű határozat – meghozatalát az Ákr. rendelkezéseinek megfelelő alkalmazásával. (11) A […] SZMSZ 1.2. pontja alapján az etikai bizottság elnökét kiadmányozási jog illeti meg az etikai bizottság feladatkörébe tartozó ügyekkel kapcsolatos határozatok, egyéb ügyiratok és levelezés tekintetében. (12) A […] 2020. május 19. napján kelt, […] részére az ügyiratok felterjesztése kapcsán írt levele szerint „etikai vétség gyanúja miatt a tényállás tisztázása érdekében nyilatkozattételre hívta fel […]. A nyilatkozatételre történő felhívást követően […] kizárási okot jelentett be (…).”4 (13) A […] 2020.07.28. napján kelt nyilatkozata szerint az adatkezeléssel kapcsolatos eszközök és célok meghatározásával kapcsolatos döntéseket a konkrét döntések függvényében a […] mindenkori elnöke, elnöksége vagy küldöttgyűlése jogosult meghozni, szükség szerint az adatvédelmi tisztviselő bevonásával (NAIH/2020/4008/6. alszámú irat 15. pont). A […] 2021. január 21. napján kelt nyilatkozatában jelen eljárásba ügyféként történő bevonását kérdésesnek tartotta, mert álláspontja szerint a […] nem önálló jogalany, nem természetes és jogi személy, továbbá semmilyen szempontból nem minősül egyéb szervezetnek sem (NAIH-535-6/2020 alszámú irat utolsó bekezdés). (14) A Hatóság álláspontja szerint az adatkezelés célját és eszközeit a konkrét esetben a magyar tagállami jog, az Ektv. határozza meg az Ákr. szabályainak megfelelő alkalmazásával: történt-e […] szakmai szabályszegés, megvalósult-e […] Etikai Kódexbe ütköző magatartás. Magát az adatkezelőt is az Ektv. 21. § (1) bekezdése határozza meg. A GDPR 4. cikk 7. pontja alapján adatkezelő bármely egyéb szerv lehet, ebből következően területi szervezet etikai bizottsága is.

(15) A Hatóság az adatkezelés céljának és eszközeinek meghatározásával kapcsolatban a IV.1.(13)

bekezdésben meghatározott nyilatkozattal szemben a IV.1.(3)-(10) bekezdéseiben felsorolt okirati bizonyítékokban foglaltakat fogadta el. Mindezek alapján az adatgyűjtés és adattovábbítás mint

GDPR 4. cikk 2. pontjában meghatározott adatkezelési tevékenység tekintetében a […] a GDPR szerint önálló adatkezelőnek minősül: a […] SZMSZ 8.5. pontja szerint az etikai bizottságnak, illetve tagjainak, az egyedi ügyekben lefolytatott etikai eljárás során sem irányítási, sem felügyeleti jogkörrel, sem az adott szervbe tisztségviselő-választási jogkörrel rendelkező szerv nem adhat utasítást, vagyis a […] önállóan határozta meg az adatkezelés eszközeit, amelyek az etikai eljárás során feltett kérdésekben, a nyilatkozattételre felhívó, alakszerű végzésben, annak önálló kiadmányozásában, valamint a Kérelmező által a végzésben feltett kérdésekre adott válasz saját – […]-t feltüntető - érkeztető bélyegzővel történt érkeztetésével, iktatásával, továbbá az etikai eljárás iratanyagának a […] részére történő továbbításában öltöttek testet.

(16) A Hatóság a […] NAIH/2020/4008/6 alszámon érkeztetett nyilatkozata és a […] NAIH/2020/4008/14 alszámú nyilatkozata és mellékletei alapján megállapította, hogy a […] csatolta első alkalommal a […]

eljárása során keletkezett iratanyagot, ebből fakadóan az etikai eljárás iratainak tárolása mint adatkezelési tevékenység tekintetében a […] és a […] közös adatkezelők.

IV.2 A kezelt adatok köre, a […] és a […] által végzett adatkezelési tevékenység

(17) A Kérelmező által közzétett […] közlemény szerint „[…]” (18) A […] 2020.03.31. napján kelt, […] iktatószámú végzésében feltett kérdések az alábbiak voltak:

a) A 2020. február 1.-2020. március 15 közötti időszakban pontosan mettől meddig és mely országok, mely tartományában tartózkodott külföldön? b) Tudomása szerint milyen járványügyi intézkedések kerültek kiadásra a […] és különösen a […]

működését illetően 2020 évben a kiutazását megelőzően illetve hazatértét követően? c) A 2020. február 1.- 2020. március 15. közötti időszakban a külföldi utazásról történt hazatérést követően megjelent kormányrendeletek, illetve a […] és különösen a […] tekintetében kiadott

4 NAIH/2020/4008/15 alszámú irat Ü/9. melléklet, kezdőirat.

helyi szabályozó eszközök (körlevelek, utasítások, stb.) alapján miért nem látta szükségesnek a […] való tartózkodást? d) […] milyen intézkedéseket tett [] 2020. február 01. napja után? e) Hazatérése után mely napokon, milyen […]i tevékenységet végzett? f) A felsőlégúti tünetek megjelenése és a COVID-19 fertőzöttség tesztelésre jelentkezése között mennyi idő telt el? g) Jelezték-e munkatársai, hogy tünetei vannak, amelyek miatt nem kellene dolgoznia? h) Felsőlégúti megbetegedése tüneteinek megjelenésekor milyen óvintézkedéseket tett […]? i) Tudomása szerint hány embernek kellett COVID-19 tesztelésen átesnie megbetegedése kapcsán? j) Tudomása szerint hány […]i munkatársnak kellett karanténba vonulnia megbetegedése kapcsán? (19) Kérelmező a 2020.04.09. napján kelt, a […] részére megküldött és a […] által 2020.04.16. napján érkeztetett nyilatkozatában a feltett kérdésekre válaszolva egyebek mellett megadta, hogy […] közötti időszakban […] tartózkodott, […] régióban, továbbá hogy […] tünetként […] jelentkezett, ami semmilyen egyéb tünettel nem járt és nem haladta meg […] tüneteinek súlyosságát (NAIH/2020/4008/6 alszámú irat melléklete, 1.a., 1.f. pont). (20) […] akként nyilatkozott, hogy a Kérelmező különleges személyes adatát nem kezeli, továbbá sem a vizsgálattal érintett […], sem környezete, sem betegellátó munkája vonatkozásában nem tekintett be medikai adatbázisokba, harmadik személytől vagy szervtől sem kért betekintésen alapuló adatszolgáltatást. A Kérelmező saját, nyilvánosan, a közvélemény számára tett nyilatkozatában foglaltakon (mint tényen) túl semmilyen egészségügyi adatot nem kezelt (NAIH/2020/4008/6. alszámú irat 5. és 11. pont). (21) A […] akként nyilatkozott, hogy a Kérelmező különleges személyes adatát nem kezeli, továbbá sem a vizsgálattal érintett […], sem környezete, sem betegellátó munkája vonatkozásában nem tekintett be medikai adatbázisokba, harmadik személytől vagy szervtől sem kért betekintésen alapuló adatszolgáltatást. A Kérelmező saját, nyilvánosan, a közvélemény számára tett nyilatkozatában foglaltakon (mint tényen) túl semmilyen egészségügyi adatot nem kezelt (NAIH/2020/4008/14. alszámú irat 5. és 11. pont). (22) A […] 2020.10.05. napján kelt nyilatkozata szerint „A Kérelmezett előtt […] szám alatt folyamatban volt eljárás iratainak a […] részére történt továbbítását követően irattárban, másolatban tárolja. Kérelmezett jelenleg az eljárás iratait elektronikus formában nem tárolja.” (NAIH/2020/4008/12. alszámú irat) (23) A […] 2020.10.05. napján kelt nyilatkozata szerint „A Kérelmezett előtt […] szám alatt folyamatban volt eljárás iratainak a […] részére történt továbbítását követően irattárban, másolatban tárolja. Kérelmezett jelenleg az eljárás iratait elektronikus formában nem tárolja.” (NAIH/2020/4008/14. alszámú irat) (24) A Hatóság a […] közleményben foglaltak, a […] 2020.03.31. napján kelt, […] iktatószámú végzésében feltett kérdések és az azokra adott válaszok összevetésével megállapította, hogy a Kérelmező által adott válaszok a személyes adatai bővebb körét tartalmazták, mert a […] közlemény kizárólag azt tartalmazta, hogy a kérelmező […] tartózkodott 2020.03.08. napjáig és hogy pozitív lett a koronavírus tesztje. Ehhez képest többlet információ a kérelmező külföldi tartózkodása kezdetének időpontja, valamint a következő, különleges személyes adatnak (egészségügyi adatnak) minősülő adatok: a pozitív tesztet megelőző egészségi állapota, tünetei és azok jelentkezésének időpontja (NAIH/2020/4008 irat 2. melléklet 1.a., 1.f. pont). A […] 2020.03.31. napján kelt, […] iktatószámú végzése kiadmányozásakor a GDPR 4. cikk 2. pontjába meghatározott adatkezelési műveletek között szereplő gyűjtést végezte. (25) A […] és a […] (22) és (23) bekezdésben megjelölt nyilatkozatai alapján a Hatóság megállapította, hogy az […] szám alatt folyamatban volt eljárás iratait mindkét vizsgálat alá vont adatkezelő jelen határozat kiadmányozásának időpontjában is kezeli, az iratokat papír alapon, másolatban tárolja. (26) A Hatóság itt kíván rámutatni, hogy az egészségügyi adat minőséget nem önmagában az adat forrása határozza meg, vagyis az, hogy egészségügyi adatbázisból, ambuláns lapról, zárójelentésről, ezen dokumentumokat tartalmazó elektronikus nyilvántartó rendszerből való lekérés eredménye-e az adat, hanem az, hogy maga az adat egy természetes személy testi egészségi állapotára, számára nyújtott egészségügyi szolgáltatásra vonatkozik és a természetes személy azonosítható. Az egészségügyi adatot tartalmazó irat a GDPR 4. cikk 6. pontja szerinti nyilvántartási rendszer részét képezi, mert iktatószámot […] kapott a […] egységes iratkezelési szabályzata szerint, melynek hatálya a […] valamennyi szervezeti egységére és ott bármilyen jogviszonyban munkát végzőkre terjed ki.5

5 NAIH/2020/4408/6 irat és NAIH/2020/4408/14 irat melléklete, […] Iratkezelési szabályzat 2.1.1. pont

IV.3. Az adatkezelés jogalapja

(27) A […] az adatkezelés jogalapjaként a GDPR 6. cikk c) pontját (a kamarai törvényben foglalt feladatok ellátása, jogi kötelezettség teljesítése) jelölte meg elsődleges jogalapként (NAIH/2020/4408/6. alszámú irat 5. pont 3. bekezdés, 11. pont). (28) A […] az adatkezelés jogalapjaként a GDPR 6. cikk c) pontját (a kamarai törvényben foglalt feladatok ellátása, jogi kötelezettség teljesítése) jelölte meg elsődleges jogalapként (NAIH/2020/4408/14. alszámú irat 5. pont 3. bekezdés, 11. pont). (29) Mindkét vizsgálat alá vont adatkezelő akként nyilatkozott, hogy „a nyilvános hírforrásokból (pl.[…]6, illetve a kérelmező saját nyilvános közleményéből ([…] közlemény), illetve a Kérelmezetthez érkezett panaszbeadványból értesült a történtekről, amely összességébe felvethette […] etikai vétség gyanúját, amely gyanú tisztázása volt a nyilatkozat bekérése.” (30) A […] által előterjesztett, NAIH/220/4008/6 alszámú irat mellékletét képezi a […] 2020.03.24. napján megtartott etikai bizottsági ülésen hozott, 9. és 10. sz. határozatának kivonata. A kivonat írásba foglalásának dátuma 2020.03.25. (31) A 9. számú EB határozat szerint: „Az Etikai Bizottság kizárási okot jelent be a […] felé, a függelmi kapcsolat fennállása következtében. Az Etikai Bizottság egyben kéri a […], mint másodfokon eljáró felügyeleti szervet, hogy az ügy kivizsgálására jelöljön ki más azonos hatáskörű szervet.” (32) A 10. számú EB határozat szerint: „Az Etikai Bizottság a […] Etikai Kódexének II.4. 1), 2) pontjai, valamint II.1.3. 15) pontja alapján írásbeli nyilatkozattételre kéri fel […].” (33) A 10. számú EB határozat alapján nyilatkozattételre történő felhívásban szereplő kérdések meghatározása jelen határozat IV.2.(18) bekezdés a)-j) pontjaiban felsorolt kérdésekkel megegyezően történt. (34) A határozatok számozásából az a következtetés vonható le, hogy az alacsonyabb számozású 9.

számú EB határozat a kizárási ok bejelentéséről időben korábban született, mint a 10. számú EB határozat, mely a nyilatkozattételre történő felhívásról és a felteendő kérdésekről dönt.

(35) A Hatóság álláspontja szerint a […] tévesen azonosította az őt terhelő jogi kötelezettséget a következők miatt: az önmagával szemben fennálló, az Ákr. 22. § és 23. § (5) bekezdése szerinti kizáró ok észlelését követően jogszerűen érdemi eljárási cselekmény foganatosításába nem bocsátkozhatott volna, ebben a körben nem hozhatott volna döntést sem a kérelmező nyilatkozattételre történő felhívásáról, sem a kérelmező részére felteendő kérdésekről, mert a kizárási ok észlelését követően - a kizárási ok bejelentését és az iratok felterjesztését leszámítva - semmilyen eljárási jogosultsága, kamarai törvényben meghatározott feladata az etikai eljárással összefüggésben nem volt. Eljárási jogosultság hiányában az adatkezelésnek nincsen jogszerű jogalapja és célja.

(36) A […] azzal, hogy a kizárási ok bejelentéséről szóló 9. számú EB határozat meghozatalát

(2020.03.24.) követően, 2020.03.31. napján kelt […] iktatószámú végzésében nyilatkozattételre hívta fel a Kérelmezőt, megsértette a GDPR 6. cikkét és 9. cikk (1) bekezdését, mert a kizárási ok észlelése és bejelentéséről hozott EB határozat meghozatalát követően személyes adatokat (utazás kezdő időpontja, pontos helyszíne), egészségügyi adatokat (a Kérelmező pozitív tesztet megelőző egészségügyi állapota, tünetei jelentkezésének időpontja, tünetei) jogszerűen nem gyűjthetett volna.

(37) A kizárási ok bejelentését követően az ügyiratok tárolása addig volt jogszerű, amig a […] kijelölte az eljáró új etikai bizottságot és erről a […] értesült. Az erről való tudomásszerzést követően az ügyiratokat továbbítani kellet a kijelölt […]-nek. Az ügyiratok továbbítására a NAIH/2020/408/15 irat 9. melléklete szerint 2020. május 19. napján került sor, ezt az időpontot követően az etikai eljárás ügyiratainak tárolására a […] és a […] megfelelő jogalappal nem rendelkezik.

IV.4. Az adatkezeléssel kapcsolatos információk rendelkezésre bocsátása

(38) A Kérelmező a […]-hez írt, 2020. április 9. napján kelt beadványában válaszolt az adatkezelő által feltett kérdésekre (a továbbiakban: kérelmezői válasz). (39) A kérelmezői válasz 1.a), 1.b), 1.d), 1.i) és 1.j) pontjában tájékoztatást kért a […]-től, hogy a megadott válaszban közölt adat az etikai eljárás tárgyát képező szabályszegés szerinti tényállás megítéléséhez milyen okból minősül szükségesnek. A Hatóság megállapítása szerint ez tartalmát tekintve az adatkezelés céljára vonatkozó tájékoztatás kérésnek minősül.

6 Hatóság általi utolsó letöltés: 2021.03.22.

(40) A […] 2020. április 21. napján kelt válasza szerint a felhívásban feltett kérdések célja, „hogy a Bizottság a lehető legteljesebb mértékben eleget tegyen az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény 62. §-ban meghatározott tényállástisztázási kötelezettségének (…).” (41) A Hatóság megállapítja, hogy a […] 2020. április 21. napján kelt válasza formális volt, az nem feleltethető meg a GDPR 13. cikk (1) bekezdése szerinti, adatkezelőt terhelő, információk rendelkezésre bocsátási kötelezettség teljesítésének. (42) Ebben körben a Hatóság megvizsgálta a […] NAIH/2020/4008/6 alszámon iktatott beadványához melléklet adatvédelmi szabályzatokat (2018.05.25. napján kelt adatvédelmi szabályzat a […] honlapjával összefüggésben, […] 2018.08.31.napján kelt adatvédelmi szabályzat) azonban egyik sem tartalmaz konkrét tájékoztatást arra nézve, hogy az Etikai Bizottság által folytatott etikai eljárás során kezelt adatok tekintetében mi az adatkezelés célja.

(43) A IV.4.(38)-(42) bekezdésekben foglaltak alapján a […] azzal, hogy a Kérelmező sorozatos kérése ellenére a 2020. április 21. napján kelt válaszában megtévesztő tájékoztatást adott az Etikai Bizottság által folytatott eljárás folyamatban létéről, továbbá nem adott tájékoztatást az adatkezeléssel kapcsolatos információkról - ebben a körben konkrétan az adatkezelés céljáról

-, megsértette a GDPR 13. cikk (1) bekezdésének c) pontját és (2) bekezdésének e) pontját.

(44) Azzal, hogy a […] által adott válasz nem tartalmazta felügyeleti hatósághoz történő panasz benyújtási jogra, valamint bírósági jogorvoslati jogra való kioktatást, a […] megsértette a GDPR

12. cikk (4) bekezdését.

V. A MOK OEB adatkezelése

(45) A […]-hez a Kérelmező COVID-19 fertőzöttségét rögzítő dokumentum a […] által 2020. április 7. napján

[…] számon érkeztetett, a […] 2020. március 31. napján kelt kizárási okot bejelentő beadványa. A beadvány mellékletét képezte a […] 2020. március 31. napján kelt, nyilatkozattételre felhívó végzése. (46) A […] a NAIH/2020/4008/13 alszámon iktatott nyilatkozata 3.1.d) pontja szerint szerint a Kérelmező személyes adatai között a COVID-fertőzöttséget, mint különleges adatot kezeli. Az egészségügyi adatot csak a […]-hez benyújtott, kizárási ok bejelentést tartalmazó kérelem, valamint a Kérelmező jogi képviselője által benyújtott elfogultsági kifogás tartalmazta, ez az adat a kérelem elbírálásához szükségtelen volt. (47) A […] az adatkezelés céljaként az elfogultsági bejelentés, kijelölési kérelem elbírálását jelölte meg. (48) A […] akként nyilatkozott, hogy a COVID-fertőzöttség mint különleges adat csak a kérelem elbírálása érdekében a […] elnökéhez felterjesztett iratanyagokon szerepel, ilyen adat a kijelölési kérelem elbírálásához szükségtelen volt. A különleges adat […] általi kezelése csupán a ([…]) EB általi felterjesztés következményeként valósult meg (NAIH/2020/4008/13 alszámú irat 3.1., 3.2, 3.3 pontok). (49) A […] a kijelölő végzésének indokolásában rögzíti, hogy „Az Etikai Bizottság elfogultsági bejelentésében, valamint a panaszlott 2020. április 9-i keltű elfogultsági bejelentésében foglaltak önmagukban megalapozzák a kizárás megállapítását és másik eljáró etikai szerv kijelölését.”7, amely a Hatóság álláspontja szerint arra enged következtetni, hogy a Kérelmező covid-fertőzöttsége nem volt releváns adat a kizárás megállapítása és másik etikai szerv kijelölése során. (50) A Hatóság a […] nyilatkozata, valamint a […] előtt […] ügyszámon folyamatban volt ügy iratanyaga alapján megállapította, hogy a […] a Kérelmező covid-fertőzöttségét mint különleges adatot a […]-hez felterjesztett iratanyag tartalmazta, amely egységet képez.

(51) A Hatóság megállapítja, hogy a MOK OEB jogosult és köteles volt az etikai eljárás lefolytatására a […] elfogultsági bejelentése miatt másik etikai bizottságot kijelölni, ebből fakadóan a GDPR

6. cikk (1) bekezdés e) pontja szerinti jogalapon, jogszerű célból (elfogultsági bejelentés, kijelölési kérelem elbírálása) jogszerűen kezelte a részére a […] által megküldött előzményi iratanyagot az abban foglalt valamennyi személyes adattal - így a Kérelmező egészségi állapotára vonatkozó különleges adatokkal - együtt. Az egészségügyi adatok kezelése a GDPR

9. cikk (2) bekezdés e) pontja alapján nem volt jogszerűtlen, azokat a Kérelmező nyilvánosságra hozta.

VI. A […] adatkezelése

7 NAIH/2020/4008/13 alszámú irat, […] 2020.04.30. napján kelt, E/110-3/2020. kijelölő végzés 2. oldal 3. bekezdés (52) A […] ügyrendje szerint az EB feladata az Ekt. VI. fejezetében foglalt felelősségi szabályok és a Ket.

III. fejezetének vonatkozó szabályai szerint etikai eljárás lefolytatása, valamint a Ket. IV. fejezet vonatkozó rendelkezései szerinti határozat hozatala. Az EB etikai vétség gyanúja esetén etikai eljárást folytat le. Etikai vétség a […] Etikai Kódexben fogalt szabályok vétkes megszegése, valamint a […] alapszabályában, illetőleg a szakmai kamara más belső szabályzatában foglalt, vagy a választott tisztségből eredő kötelezettség vétkes megszegése (NAIH/2020/4008/15 alszámú irat Ü/1. melléklet I.6. pont, V.1. pont). (53) A […]-t a […] jelölte ki 2020.04.30. napján kelt, […] kijelölő végzésével „az etikai ügyben az eljárásra”. (54) Az ügyiratokat és a kijelölő végzést a […] 2020. május 19. napján kelt átiratával küldte meg a […]-nek, az iratokat 2020. május 25. napján érkeztették. A […] az Ektv. 20. § (1) bekezdésében foglalt rendelkezésen alapuló feladat- és hatáskörében eljárva folytatta le az etikai eljárást a Kérelmezővel szemben, melynek tárgya annak megállapítása volt, hogy a Kérelmező 2020. február 29-március 7. között megejtett magáncélú utazása során, illetve azt követően COVID-19 vírusfertőzés tényének megállapításáig megvalósított-e etikai felelősséget megalapozó magatartást. Az etikai eljárás lefolytatására az Ekt. 23. § (5) bekezdése alapján az Ákr. rendelkezéseit kell az Ekt.-ban foglalt eltérésekkel alkalmazni (NAIH/2020/4408/15. alszámú irat 1. pont). (55) A […] tudomása szerint az etikai eljárás a Kérelmezővel szemben felmerült, köztudomású (sajtóban megjelent), illetve állampolgári bejelentésben hivatkozott, etikai vétség gyanúját felvető adatok, információk alapján indult meg. (56) A […] nyilatkozatában kiemelte, hogy amennyiben a […] Területi Szervezete tudomást szerez a hatálya alá tartozó […] etikai vétség gyanúját felvető magatartásról, az Ektv. 20. § (1) bekezdésének első mondata alapján „a szakmai kamara etikai vétség gyanúja esetén etikai eljárást folytat le”, mérlegelési lehetőség nélkül, törvény erejénél fogva köteles megindítani az etikai eljárást, vagyis hivatalból megindult etikai eljárásban került sor – a kizárási indítvány alapján – az Ákr. 24. § (4) bekezdésének megfelelően a […] kijelölésére. (57) Az Ákr. rendelkezései szerint így a […]-nek jogszabályi kötelezettsége volt a […] illetékességi kijelölése alapján a (már folyamatban lévő) etikai eljárás lefolytatása, egyúttal az eljárással összefüggésben számára megküldött iratokban szereplő, Kérelmezővel, mit érintettel összefüggő személyes adatok megismerése és további kezelése. Ennek az adatkezelési jogosultságnak az általános jogszabályi alapját az Ákr. 27. § (1) bekezdése teremti meg, amely szerint az ügyfél és az eljárás egyéb résztvevője azonosításához szükséges természetes személyazonosító adatokat és az ügyfajtát szabályozó törvényben meghatározott személyes adatokat, továbbá - ha törvény másként nem rendelkezik - az eljárás eredményes lefolytatásához elengedhetetlenül szükséges más személyes adatokat kezeli. (58) A […] nyilatkozata szerint mindez azt jelenti, hogy az etikai eljárás során a törvény által biztosított közhatalmi jogosítványa gyakorlásának keretében végzett feladatának végrehajtása érdekében kezelte az eljárás során tudomására jutott valamennyi személyes adatot, illetve kezeli jelenleg is a GDPR 6. cikk (1) bekezdés e) pontja szerinti jogalapon. (59) A […] kiemelte, hogy az etikai eljárás lefolytatása során kizárólag az előzményi iratokban szereplő, érintettel összefüggésbe hozható személyes adatokat ismerte meg, illetve kezelte, külön semmilyen további személyes adat megadására nem szólította fel a Kérelmezőt. (60) Nyilatkozatában a […] hangsúlyozta, hogy az általa lefolytatott etikai eljárás tárgyát a Kérelmező által elkapott betegség, illetve a betegség tényével esetlegesen összefüggő etikai vétségek felderítése képezte. A Kérelmező egészségügyi adata (betegségének ténye) sajtónyilvánosságot kapott, melynek tényét a Kérelmező elismerte, ezen információk alapján merült fel az etikai vétség gyanúja. Az említettek miatt az etikai vétség kérdésében történő, jogilag és tényszerűen megalapozott etikai határozat meghozatalához elengedhetetlen volt a Kérelmező egészségügyi adatának, mint különleges személyes adatnak a kezelése. (61) A […] álláspontja szerint e körben az adatkezelés jogalapját megteremti a GDPR 9. cikk (2) bekezdés i) pontja, mivel az adatkezelés népegészségügy területét érintő olyan közérdekből szükséges, mint az egészségügyi ellátás magas színvonalának és biztonságának biztosítása. Ezen felül, mivel a betegség tényét a Kérelmező nyilvánosan elismerte, így az egészségügyi adat kezelésének jogalapját a GDPR 9. cikk (2) bekezdés e) pontja is megteremti (NAIH/2020/4006/15 alszámú irat 1., 3. pontja). (62) A […] nyilatkozatában felhívta a Hatóság figyelmét arra a körülményre hogy az előtte folyamatban volt etikai eljárásban a Kérelmező jogi képviselővel járt el, aki az eljárás során számos nyilatkozatot terjesztett elő, amely segítette a tényállás felderítését, azonban szintén tartalmazta a Kérelmező jelen adatvédelmi hatósági eljárással érintett személyes adatait, ezek tekintetében a GDPR 6. cikk (1) bekezdés a) pontja szerinti érintetti hozzájárulást jelölte meg az adatkezelés jogalapjaként (NAIH/2020/4006/15 alszámú irat 3. pontja).

(63) A […] 2021.06.10. napján kelt, […] számú, etikai eljárásban hozott, 2020.06.12. napján írásba foglalt határozatában megállapította, hogy a Kérelmező etikai vétséget nem követett el. (64) A […] az etikai eljárások fizikai dokumentációját egymástól elkülönítve tárolja, míg az elektronikus dokumentumokat jelszóval védett számítógépen, az egyes eljárásokat elkülönítve tárolja.

(65) A Hatóság megállapítja, hogy a […] a Kérelmezővel szemben a […] kijelölő végzése alapján jogosult és köteles volt az etikai eljárás lefolytatására, ebből fakadóan a GDPR 6. cikk (1) bekezdés e) pontja szerinti jogalapon (ráruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtása) jogszerűen kezelte a részére a […] által megküldött előzményi iratanyagot az abban foglalt valamennyi személyes adattal együtt. A Kérelmező egészségi állapotára vonatkozó különleges adatok tekintetében a GDPR 9. cikk (2) bekezdés g) pontja, a közérdekből lefolytatandó kamarai etikai eljárás teremti meg az adatkezelés jogalapját az Ákr. 27. § (1) és (3) bekezdésére bekezdésére is figyelemmel.

VII. A rendelkező rész I. pontjának indokolása

(66) A […] tévesen azonosított jogalapon, eljárási jogosultság nélkül gyűjtötte a Kérelmező személyes adatait és egészségügyi adatát, a jogosulatlanul gyűjtött adatokat tartalmazó iratanyagot másolatban jelen határozat kiadmányozásakor is kezeli (tárolja), a kizárási indítvány elbírálásához szükségtelenül továbbította a Kérelmező különleges személy adatait a […] részére ezért a Hatóság a IV.1., IV.2., IV.3. és IV.4. pontban foglaltak alapján megállapította a GDPR 6. cikk (1) bekezdése, a GDPR 9. cikk (1) bekezdése, a GDPR 12. cikk (4) bekezdése, a GDPR 13. cikk (1) bekezdés c) pontjának és (2) bekezdés e) pontjának megsértését. (67) Tekintettel arra, hogy jogosulatlanul gyűjtött személyes adatok tárolására jogszerűen nem kerülhet sor, ezért a Hatóság kötelezte a […]-t az […] folyamatban volt eljárás során kezelt kérelmezői személyes adatok továbbítására a papír alapon tárolt teljes iratanyag másolatának […] részére történő megküldése által.

VIII. A rendelkező rész II. pontjának indokolása

(68) A […] jelen határozat kiadmányozásának időpontjában is tárolja a […] által tévesen azonosított jogalapon, eljárási jogosultság nélkül gyűjtött, Kérelmezőre vonatkozó személyes adatokat és egészségügyi adatát. (69) Tekintettel arra, hogy jogosulatlanul gyűjtött személyes adatok tárolására jogszerűen nem kerülhet sor, ezért a Hatóság kötelezte a […]-t a […] ügyszámon folyamatban volt eljárás papír alapon tárolt teljes iratanyag másolatának az etikai eljárás lefolytatására jogosult […] részére történő megküldésére.

IX. A rendelkező rész III. pontjának indokolása (elutasított kérelmek)

(70) Figyelemmel arra, hogy sem a […], sem a […] a Kérelmező személyes adatait a jelen adatvédelmi hatósági eljárás tárgyát képező etikai eljárással összefüggésben - jelen határozat kiadmányozásának időpontjában - az iratmásolatok tárolásán túl nem kezeli, a jelen határozat rendelkező részének I. és II. pontja szerinti kötelezéseken túlmenően további eltiltásról a Hatóságnak nem kellett rendelkeznie. (71) A Hatóság bírság kiszabását azért nem tartotta indokoltnak, mert a feltárt tényállás alapján egyértelműen megállapítható volt, hogy tévesen azonosított jogalapon, saját eljárásának és annak jogszabályi kereteinek téves azonosításával, gondatlanságból történt a Kérelmező személyes adatainak gyűjtése a nyilatkozattételre történő felhívó végzés kiadmányozásával.

X. Jogkövetkezmények (jogellenesen tárolt iratok megküldése az eljárásra jogosult szervnek, bírság kiszabásának mellőzése)

(72) A Hatóság a Kérelmező kérelmének részben helyt ad és a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja i. a […]-t, mert megsértette a GDPR 6. cikk (1) bekezdését, a GDPR 9.cikk (1) bekezdését, a GDPR 12. cikk (4) bekezdését, a GDPR 13. cikk (1) bekezdés c) pontját és (2) bekezdés e) pontját, ii. a […]-t, mert jogalap nélkül tárolja az E-8/8/2020 számon folyamatban volt eljárás iratait másolatban. (73) A Hatóság a GDPR 58. cikk (2) bekezdés c) pontja alapján utasítja a […]-t és a […-t, hogy a jogellenesen tárolt iratanyag másolatát továbbítsa az etikai eljárás lefolytatására jogosultsággal rendelkező […]-nek, valamint a továbbítás megtörténtének tényét igazolják a Hatóság felé a […]-nek címzett tájékoztatás és az annak postára adását igazoló postakönyvmásolat megküldésével. (74) A Hatóság hivatalból megvizsgálta, hogy indokolt-e a […]-szel, a […]-vel szemben adatvédelmi bírság kiszabása. (75) E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. A Hatóság mindenekelőtt figyelembe vette i. a Hatóság még nem állapította meg korábban a GDPR megsértését az adatkezelők tekintetében, ii. a […] és a […] által elkövetett jogsértések gondatlan jellegét, vagyis alapvetően téves jogértelmezésüket saját eljárásuk jogszabályi kereteit, az egészségügyi adat mibenlétét és lehetséges forrását illetően, iii. bár megtévesztő módon jártak el, ez a Hatóság mérlegelése alapján nem érte el azt a mértéket, hogy bírságot kelljen kiszabni, a határozat enélkül is eléri célját, iv. a szóban forgó adatkezelés köre tekintetében azt, hogy az E-8/8/2020 számon folyamatban volt eljárás iratait kizárólag másolatban, papír alapon tárolja mindkét adatkezelő.

XI. A rendelkező rész IV. pontjának indokolása

(76) Figyelemmel arra, hogy a […] jelen határozat indokolásának V. pontjában foglaltak szerint jogszerűan járt el a […] elfogultsági bejelentése miatt a […] kijelölése során, a Kérelmező személyes adatait megfelelő jogalappal és céllal kezelte, a Hatóság a rendelkező rész IV. pontjában foglaltak szerint döntött.

XII. A rendelkező rész V. pontjának indokolása

(77) Tekintettel arra, hogy […] jelen határozat indokolásának VI. pontjában foglaltak szerint jogszerűen járt el az általa lefolytatott etikai eljárás során, a Kérelmező személyes adatait megfelelő jogalappal és céllal kezelte, a Hatóság a rendelkező rész V. pontjába foglaltak szerint döntött.

XIII. A rendelkező rész VI. pontjának indokolása

(78) A Hatóság az eljárás során túllépte az Infotv. 60/A § (1) bekezdése szerinti százötven napos ügyintézési határidőt, amely 2020. október 16. napján lejárt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek, a Kérelmező választása szerint bankszámlára utalással vagy postai utalvánnyal.

XIV. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

** * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdése szerint a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettsége teljesítését a […] és a […] megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a Hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja.

Budapest, 2021. június 2.

Dr. Péterfalvi Attila elnök c. egyetemi tanár