Hungarian Data Protection Authority: Issuance of a copy of medical documentation

……………………………………………………………………………………...…………… 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-4137-8/2022 (NAIH-4935/2021)

Tárgy: kérelmet elutasító, hivatalból bírságot kiszabó határozat

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] (lakcím: […]; a továbbiakban: Kérelmező) meghatalmazott képviselője […] ügyvéd ([…]#cegkapu) által 2021. május 13-án […] szülész-nőgyógyász szakorvossal egyéni vállalkozói székhely: […]; továbbiakban: Kérelmezett) szemben a Kérelmező egészségügyi dokumentációjához való hozzáférés tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

I. A Hatóság határozatában

I.1. a Kérelmező kérelmeit elutasítja.

I.2. A Hatóság hivatalból megállapítja, hogy a Kérelmezett megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 5. cikk (1) bekezdés a) pontját, a 12. cikk (2) bekezdését, és a 13. cikk (1) bekezdés a)-b) pontját. I.3. Az I.2. pontban megállapított jogsértések miatt a Hatóság a Kérelmezettet

600 000 Ft, azaz hatszázezer forint adatvédelmi bírság megfizetésére kötelezi.

II. A Hatóság végzésben megszünteti az eljárás azon részét, amely arra irányult, hogy a Hatóság állapítsa meg a Ptk. 2:51. § (1) bekezdés a) pontjának megsértését. Az adatvédelmi bírságot a jelen határozat véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-4137/2022. BÍRS. számra kell hivatkozni.

Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg.

Az I.3. pont szerinti bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását.

A jelen határozattal és végzéssel szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan,1 amely azt az ügy irataival együtt továbbítja a bíróságnak. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az eljárás menete:

I.1. A Kérelmező 2021. május 13-án kérelmet nyújtott be a Hatósághoz, amelyben előadta, hogy 2021. január 15-én feladott ajánlott levélben képviselője útján kérte a Kérelmezettől a 2020. január 1. és 2020. szeptember 20. napja közé eső keletkezett, várandósgondozására vonatkozó teljes egészségügyi dokumentációja kiadását. 2021. március 4-én tértivevényes küldeményként feladott levelében megismételte kérelmét, a kérelmeket a […] rendelő […] postacímre küldve. A tértivevénnyel feladott kérelme „nem kereste” jelzéssel érkezett vissza hozzá. A Kérelmezettől választ nem kapott, a Kérelmezett dokumentumok másolatát nem biztosította. A Kérelmező a feladott leveleiben kérte a Kérelmezett által magán szülész-nőgyógyászati ellátás alatt a várandósgondozása során – akár a […] rendelőben, akár helyileg máshol keletkezett, elektronikus rendszerben vagy azon kívül tárolt teljes egészségügyi dokumentációját, ide értve a beleegyező nyilatkozatot, betegtájékoztatót, képalkotó felvételeket, szakértői véleményt, a Kérelmezővel történő írásos/elektronikus kommunikációt. A Kérelmező kérte a Hatóságot, hogy állapítsa meg a jogsértést, az Eütv. 24. §-ának megsértését a Ptk. 2:51. § (1) bekezdés a) pontja alapján, kötelezze a Kérelmezettet a Kérelmező iratkiadás iránti kérelmének teljesítésére, valamint a Kérelmezettel szemben szabjon ki bírságot. I.2. A Kérelmező kérelmére az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján NAIH-4935/2021. ügyszámon 2021. május 14-én adatvédelmi hatósági eljárás indult. A Hatóság a tényállás tisztázása érdekében 2021. június 7-én nyilatkozat-tételre szólította fel a Kérelmezett. I.3. A Kérelmezett jogi képviselője […] egyéni ügyvéd ([…]#cegkapu) ügyfele – mint valamennyi egészségügyi dolgozó – leterheltsége okán a NAIH-4935-4/2021. számra iktatott, 2021. július 14-én kelt levelében a válaszadási határidő harminc nappal történő meghosszabbítását kérte, amelyet a Hatóság 2021. július 29-én kiadott végzésében engedélyezett. I.4. A Kérelmezett válasza a tényállást tisztázó felhívásra 2021. augusztus 11-én érkezett és NAIH-4935-6/2021. számon került iktatásra.

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program ( ÁNYK program) alkalmazásával tölthető ki.

I.5. A Hatóságnak a tényállás további tisztázása érdekében kelt végzése NAIH-4935-7/2021. számon 2021. szeptember 21-én került kiküldésre, azt a Kérelmezett 2021. október 4-én vette át. I.6. A Kérelmezett válasza ezen felhívásra 2021. október 18-án érkezett, NAIH-4935-8/2021. iktatószámon. I.7. A NAIH-4935-9/2021. számon 2021. október 27-én postázott és a Kérelmező által 2021. november 2-án átvett végzésében a Hatóság a Kérelmező nyilatkozatát kérte a felsorolt kérdések megválaszolásával és dokumentumok megküldésével. I.8. A Kérelmező 2021. november 5-én érkezett nyilatkozata NAIH-4935-10/2021. számon került iktatásra. I.9. A Hatóság a tényállás további tisztázását látta szükségesnek, ennek érdekében NAIH- 4935-11/2021. számon 2021. november 18-án küldött végzést a Kérelmezett részére, ami 2021. december 6-án került átvételre. I.10. A Kérelmezett a végzésre 2021. december 23-án érkezett levelében válaszolt, és a Hatóság NAIH-4935-12/2021. számra iktatta. I.11. A Hatóság az eljárást a Kérelmezett általános gyakorlatának vizsgálatával kiegészítette, erről a Kérelmezettet 2022. március 28-án kiadott és általa 2022. április 11-én átvett végzésében értesítette, egyúttal újabb nyilatkozat-tételre szólította fel. I.12. A Kérelmezett NAIH-4137-2/2022. számon nyilvántartott válasza 2022. április 27-én érkezett. I.13. Az eljáró ügyintéző NAIH-4137-3/2022. számú feljegyzése 2022. május 4-én kelt. I.14. A Hatóság 2022. május 26-án értesítette az ügyfeleket, hogy a bizonyítási eljárást befejezte és az ügyfelek az eljárás iratait megismerhetik. A Hatóság a Kérelmező kérelmére 2022. június 9-én megküldte az eljárás során keletkezett, nem tőle származó és nem részére küldött valamennyi irat másolatát a védett adatok megismerhetetlenné tételével.

II. A tényállás tisztázása

II.1. A Kérelmezett jogi képviselője útján adott eső válaszában a következőket adta elő: A rendelése helyszíneként működő […] rendelő fantázianév, a rendelés céljául szolgáló helyiséget szóbeli megállapodás alapján bérli […] szülész-nőgyógyász szakorvostól, amely jogviszonyra vonatkozó dokumentumot csatolni nem tud. A páciense adatai kezelésére vonatkozó adatkezelőnek a Kérelmezett minősül, az érintetti kérelmek előterjesztésének lehetőségét az egyéni vállalkozói székhelyén – […] – biztosítja, ahogyan az adatkezelési tájékoztatója és az egyéni vállalkozói nyilvántartás tartalmazza. A vizsgált hozzáférési kérelemmel kapcsolatban arról adott tájékoztatást, hogy a kérelem címzési helyén sok más orvossal együtt rendszeresen nyújt egészségügyi szolgáltatást, azonban ott csak orvosi rendelési tevékenységet végez, és az adminisztráció érdekében a helyszínen senkit nem foglalkoztat. Az érintetti kérelmeket nem kapta meg, azokra válaszolni sem tudott. A nyilatkozat szerint továbbá a Kérelmezett egészségügyi és orvosi feladatokat lát el mind a […] Oktatókórházban, mind magánpraxis keretében. Az utóbbi időszakban tetőző koronavírus járvány a Kérelmezettől is fokozott erőfeszítést kívánt meg a betegek szakszerű és megfelelő ellátása érdekében, a leterheltség okán kénytelen volt teendőit priorizálni, így elsődlegesen, orvosi esküjének megfelelően valamennyi kapacitását a betegek ellátására fordította. Ezen körülmények miatt fordulhatott elő, hogy a megfelelő adminisztrációval szemben a betegek ellátására helyezte a hangsúlyt, így – minden igyekezete ellenére, általa is elismerten – tevékenységében előfordulhattak kisebb adminisztrációs hiányosságok. Az adatkezelésére vonatkozó szabályzatai másolatát a válaszhoz csatolta. II.2. A Hatóságnak a tényállás tisztázása során küldött következő végzésben feltett kérdések megválaszolása során a Kérelmezett előadta, miszerint a Hatóságnak a […] rendelőbe címzett levele úgy került kézbesítésre, hogy a kapcsolódó értesítőt egy ott rendelő másik kollégától kapta meg, aki látván, hogy hivatalos iratról van szó, jóhiszeműen átvette a postán. A Kérelmezett az adatkezelésekkel kapcsolatos megkereséseket nem ezen a címen fogadja, mivel a rendelés helyén mindössze egy helyiséget bérel a rendelési idő időtartamára, így ott a megkeresések fogadását biztosítani nem tudja. Az asszisztenssel megbízási jogviszonyban áll, az ő feladata az időpont adása telefonos megkeresés alapján, a rendelésen nincs jelen. A helyiség bérlésén kívül a bérbeadóval más megállapodása nincs, az adott címen nincs közös adminisztráció. A pácienseket az adatkezelésről az Adatkezelési tájékoztatóban foglaltak útján informálja, amely a honlapján ([…]) is megtalálható, illetve a rendelés idején a rendelés helyszínén is elérhető. Az adatkezelési tájékoztatónak a Kérelmező általi megismerését nem tudja igazolni. A Kérelmezett a Hatóság felhívására amelyben a Hatóság a Kérelmező dokumentációjának azt a részét kérte, amelyen az első adatfelvétel történt, ill. amelyen hivatalos aláírás van – átvizsgálta a nyilvántartásait, azonban a Kérelmezettre vonatkozó dokumentációt nem talált. Az adminisztrációs hiányosság okaként a korábban is előadott, koronavírus járvány okozta leterheltséget hivatkozta, amely szerint a betegek megfelelő egészségügyi ellátására, illetve a járvány elleni küzdelemre fordította véges kapacitásait, és egy ilyen orvosilag és emberileg nehéz helyzetben úgy ítélte meg, hogy az adminisztráció másodlagos fontosságú. Mindezek ellenére az adminisztráció és a dokumentálás fontosságával tisztában van, és sajnálatát fejezte ki a mulasztás miatt. II.3. A Hatóság a Kérelmezőt felhívta nyilatkozatételre, illetve a várandósgondozásikiskönyve másolatának csatolására, amelyben az adatkezelőre vonatkozó információk ellátás időpontja, ellátást végző egészségügyi szolgáltató megnevezése, orvos pecsétje, stb. – láthatóságát kellett biztosítani. Ezt a Kérelmező megküldte, a nyilatkozata további részében pedig tájékoztatta a Hatóságot, hogy mely időpontokban ([…].) végezte a Kérelmezett a várandósgondozását magánrendelés keretében a […] rendelőben. Előadta, hogy ezen találkozások alkalmával ultrahang vizsgálatok is készültek, melyek adatai a várandósgondozási kiskönyvben, tollal írva, aláírva és lepecsételve kerültek rögzítésre. […]én a […] Kórházban fogadta őt a Kérelmezett, a vizsgálat eredménye ambuláns lapon került rögzítésre. […]-én a […] utcai rendelőben állapította meg, hogy a magzatnak már nincs szívhangja. A Kérelmező nyilatkozata szerint a Kérelmezett a vizsgálatok, UH vizsgálatok eredményeit, illetve a következő találkozási alkalmak, kontroll időpontjait a várandós gondozási könyvben rögzítette, aláírásával, pecsétjével ellátta. A Kérelmező csatolta az Elektronikus Egészségügyi Szolgáltatási Térből (EESZT) lekérdezett dokumentációját, amelyben a fent megjelölt, magánrendelési alkalmak során keletkezett adatok, leletek nem találhatóak. Nyilatkozta továbbá, hogy a várandósgondozása során, a Kérelmezett magánrendelése keretében végzett vizsgálatokról, UH vizsgálatokról leletet, vizsgálati eredményt sem papír alapon, sem elektronikus formában nem kapott, a varratszedés után a Kérelmezett a számára elérhetetlen lett, kapcsolatba vele semmilyen formában nem tudott lépni, üzeneteire nem válaszolt, telefonhívásait nem fogadta. II.4. A Hatóság további felhívására a Kérelmezett előadta, hogy a betegek adatait az eljárás során már megküldött „Állapotfelmérő lap Páciensek részére” dokumentum útján rögzíti, amelyet papír alapon tart nyilván. (A Hatóság megjegyzi, hogy ez a dokumentum nem került a Hatóság részére megküldésre.) A betegdokumentációt a székhelyén tárolja, ez az adatkezelés helye, illetve szükség esetén feltölti az EESZT rendszerébe. Elektronikus nyilvántartást nem vezet. A Hatóság felhívására átvizsgálta a nyilvántartásait, azonban a Kérelmező vonatkozásában dokumentáció nem szerepel. A Kérelmező vizsgálati eredményeit a várandósgondozási könyvben rögzítette, ahogyan ezt más esetekben is tette. A dokumentációs hiányosságok okaként a már korábban kifejtett, járványhelyzet okozta nehézségeket hivatkozta, és kérte a Hatóságot ennek megértésére, hogy az eset körülményeinek mérlegelése során erre legyen tekintettel. A Hatóság kérésére csatolta […] osztályvezető főorvos által aláírt igazolást, amelyben a főorvos tanúsítja, hogy a Kérelmezett az osztályon megnövekedett betegellátásban intenzíven részt vesz, valamint a korábban sem kevés ügyeletszáma is jelentősen megnövekedett. II.5. A Kérelmezett a Hatóság következő végzésében arra a kérdésre, hogy – figyelemmel a 2021. december 21-i nyilatkozatára, amely szerint elektronikus nyilvántartást nem vezet elektronikus nyilvántartás híján hogyan tesz eleget az EESZT-ben történő rögzítési kötelezettségének válaszul előadta, miszerint pontosítva a korábbi nyilatkozatát, az EESZTbe történő kötelező jellegű elektronikus adatfeltöltésen túl egyéb elektronikus nyilvántartást nem vezet. Ennél fogva álláspontja szerint nincs ellentmondás az Adatkezelési tájékoztató 6.1.4. pontja és a 2021. december 21-én kelt nyilatkozata szerinti valós gyakorlata között az adatok elektronikus nyilvántartására vonatkozóan. A korábbi válaszában írt „szükség esetén” megfogalmazás alatt azt érti, hogy az adatot akkor tölti fel az EESZT-be, amennyiben jogszabály kötelező jelleggel előírja. A Hatóság azon kérdésére, hogy az Elektronikus Egészségügyi Szolgáltatási Térrel kapcsolatos részletes szabályokról szóló 39/2016. (XII. 21.) EMMI rendelet 19. § (2) bekezdés szerinti előírásnak milyen módon és esetekben tesz eleget, nem adott választ. Megküldte az „Állapotfelmérő lap Páciensek részére” c. dokumentum mintát, nyilatkozott arról, hogy a már megküldött Adatkezelési tájékoztatója előtti tájékoztatóját 2020. januárjától alkalmazta – ennek másolatát is csatolta – amely tájékoztatót a honlapján tette elérhetővé, továbbá a rendeléskor a rendelés helyszínén is elérhető volt, valamint nyilatkozott arról, hogy 2020-ban 68 beteget, 2021-ben 196 beteget látott el magánrendelés keretében, amelyből származó bevétele 2020-ban 1.220.000, - Ft, 2021-ben 3.962.000,- Ft volt, az erre vonatkozó adóbevallás kivonatát is mellékelte.

III. Az ügyben alkalmazandó jogszabályi rendelkezések:

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó adatkezelésre Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben kiegészítésekkel kell alkalmazni. Az általános adatvédelmi rendelet

4. cikk 1. pontja alapján „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;

4. cikk 15. pontja szerint „egészségügyi adat”: egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról;

4. cikk 2. pontja alapján „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;

4. cikk 7. pontja alapján „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;

Az általános adatvédelmi rendelet 5. cikke szerint:

(1) A személyes adatok:

a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”);

b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”);

c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”);

d) pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság”);

e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”);

f) kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”). (2) az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). Az általános adatvédelmi rendelet 12. cikke értelmében (1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát.

(2) Az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani.

(3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri.

(4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. Az általános adatvédelmi rendelet 13. cikke alapján: Rendelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik (1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:

a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei;

b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; Az általános adatvédelmi rendelet 15. cikke alapján:

(3) Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.

(4) A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait

Az általános adatvédelmi rendelet 39. cikke szerint: Az adatvédelmi tisztviselő feladatai (1) Az adatvédelmi tisztviselő legalább a következő feladatokat ellátja: a) tájékoztat és szakmai tanácsot ad az adatkezelő vagy az adatfeldolgozó, továbbá az adatkezelést végző alkalmazottak részére az e rendelet, valamint az egyéb uniós vagy tagállami adatvédelmi rendelkezések szerinti kötelezettségeikkel kapcsolatban;

b) ellenőrzi az e rendeletnek, valamint az egyéb uniós vagy tagállami adatvédelmi rendelkezéseknek, továbbá az adatkezelő vagy az adatfeldolgozó személyes adatok védelmével kapcsolatos belső szabályainak való megfelelést, ideértve a feladatkörök kijelölését, az adatkezelési műveletekben részt vevő személyzet tudatosság-növelését és képzését, valamint a kapcsolódó auditokat is; * c) kérelemre szakmai tanácsot ad az adatvédelmi hatásvizsgálatra vonatkozóan, valamint nyomon követi a hatásvizsgálat 35. cikk szerinti elvégzését; * d) együttműködik a felügyeleti hatósággal; és e) az adatkezeléssel összefüggő ügyekben - ideértve a 36. cikkben említett előzetes konzultációt is - kapcsolattartó pontként szolgál a felügyeleti hatóság felé, valamint adott esetben bármely egyéb kérdésben konzultációt folytat vele.

(2) Az adatvédelmi tisztviselő feladatait az adatkezelési műveletekhez fűződő kockázat megfelelő figyelembevételével, az adatkezelés jellegére, hatókörére, körülményére és céljára is tekintettel végzi.

Az egészségügyről szóló 1997. évi CLIV. törvény (Eütv.) vonatkozó rendelkezései: 3. § f) egészségügyi szolgáltató: a tulajdoni formától és fenntartótól függetlenül minden, egészségügyi szolgáltatás nyújtására és az egészségügyi államigazgatási szerv által kiadott működési engedély alapján jogosult egyéni egészségügyi vállalkozó, jogi személy vagy jogi személyiség nélküli szervezet; Az Eütv. 26. § (2) bekezdése kimondja, hogy a beteg - amennyiben ezt egészségi állapota lehetővé teszi - köteles az ellátásában közreműködő egészségügyi dolgozókkal képességei és ismeretei szerint az alábbiak szerint együttműködni:

a) tájékoztatni őket mindarról, amely szükséges a kórisme megállapításához, a megfelelő kezelési terv elkészítéséhez és a beavatkozások elvégzéséhez, így különösen minden korábbi betegségéről, gyógykezeléséről, gyógyszer vagy gyógyhatású készítmény szedéséről, egészségkárosító kockázati tényezőiről.

Az Eütv. 24. § (1) A beteg jogosult a róla készült egészségügyi dokumentációban foglaltakat - a 135. §-ban foglaltak figyelembevételével - megismerni.(2) A betegnek a rá vonatkozó személyes adataival kapcsolatos jogaira a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) szóló, 2016. április 27-i (EU) 2016/679 európai parlamenti és tanácsi rendelet, és az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló törvény rendelkezései irányadóak.

(3) A beteg jogosult a) a fekvőbeteg-gyógyintézetből történő elbocsátásakor a 137. § a) pontja szerinti zárójelentést kapni, b) a 137. § b) pontjában foglaltak szerint a járóbeteg-szakellátási tevékenység befejezésekor ambuláns ellátási lapot kapni.

35/B. § (1) Az EESZT-hez engedélyezett informatikai rendszere útján csatlakozásra köteles a) az egészségügyi szolgáltatás nyújtására az egészségügyi államigazgatási szerv által kiadott működési engedély alapján jogosult egészségügyi szolgáltató, aki finanszírozási jelentés benyújtására vagy elektronikus adatszolgáltatásra kötelezett, b) a gyógyszertár, c) az állami mentőszolgálat, d) a miniszter által rendeletben meghatározott államigazgatási szerv és egyéb szervezet, e) az ártámogatási szerződéssel rendelkező gyógyászatisegédeszköz-forgalmazó. (2) Az egészségügyi ellátóhálózatba tartozó, az (1) bekezdés alá nem tartozó adatkezelők az EESZT-hez a miniszter rendeletében meghatározott feltételekkel csatlakozhatnak.

Az Elektronikus Egészségügyi Szolgáltatási Térrel kapcsolatos részletes szabályokról szóló 39/2016. (XII. 21.) EMMI rendelet értelmében

2. § (1) Az Eüak. 35/B. § (1) bekezdés d) pontja szerint az EESZT-hez informatikai rendszer útján csatlakozásra köteles államigazgatási szervek:

a) a Nemzeti Egészségbiztosítási Alapkezelő, b) az Emberi Erőforrások Minisztériuma, c) a Nemzeti Népegészségügyi Központ, d) az Országos Gyógyszerészeti és Élelmezés-egészségügyi Intézet. (1a) Az Eüak. 35/B. § (1) bekezdés d) pontja szerinti csatlakozásra köteles egyéb szervezet az Eüak. 35/B. § (1) bekezdés a) pontja hatálya alá nem tartozó, orvosi vagy fogorvosi feladatra irányuló működési engedéllyel rendelkező egészségügyi szolgáltató.

22. § (1) A csatlakozással kapcsolatos kötelezettségét f) a 2. § (1a) bekezdése szerinti egészségügyi szolgáltató 2020. január 1-jéig köteles teljesíteni.

19. § (1) Az EESZT útján nyilvántartott és a 4. mellékletben meghatározott egészségügyi dokumentumokra vonatkozó adatszolgáltatási kötelezettség keretében a csatlakozott adatkezelő a) a működtető által közzétett technikai követelményeknek megfelelő módon továbbítja a dokumentumokat, vagy b) a működtető által közzétett technikai követelményeknek való megfelelés esetén a dokumentumoknak a csatlakozó adatkezelő egészségügyi informatikai rendszeréből való közvetlen elérését lehetővé tevő hivatkozás továbbításával biztosítja.

(2) A dokumentumok továbbítására vonatkozó, e §-ban meghatározott adatszolgáltatási kötelezettséget a) betegnek átadott dokumentum esetén a dokumentum betegnek való átadását, b) betegnek át nem adott dokumentum esetén a dokumentum jóváhagyását, c) az EESZT nyilvántartásába már továbbított dokumentum esetében annak megváltozását követően azonnal, de legkésőbb a 4. mellékletben az egyes dokumentumok vonatkozásában meghatározott időtartamon belül kell teljesíteni.

(3) Az egészségügyi dokumentumok nyilvántartásából a működtető az Eüak. 4. § (1) bekezdés a)-d) pontjában meghatározott célból kizárólag az adat megismerésére jogosult ágazati felhasználó számára biztosít hozzáférést az érintettre vonatkozó egészségügyi dokumentumhoz.

4. melléklet a 39/2016. (XII. 21.) EMMI rendelethez

Egészségügyi dokumentumok nyilvántartása

A B

Dokumentum típusa Határidő Dokumentum továbbítása

3 Az Eütv. 137. § b) pontja szerinti ambuláns lap

1 óra kötelező

A várandósgondozásról szóló 26/2014. (IV. 8.) EMMI rendelet:

A Polgári Törvénykönyvről szóló 2013. évi V. törvény (Ptk.) 2:51. § [Felróhatóságtól független szankciók] (1) Akit személyiségi jogában megsértenek, a jogsértés ténye alapján - az elévülési időn belül - az eset körülményeihez képest követelheti a) a jogsértés megtörténtének bírósági megállapítását; Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít. Az Infotv. 60. § (2) bekezdése alapján az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében meghatározott esetben nyújtható be. Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) rendelkezéseit kell alkalmazni az Infotv-ben meghatározott eltérésekkel.

Az Ákr. 17. §-a szerint a hatóság a hatáskörét és illetékességét az eljárás minden szakaszában hivatalból vizsgálja. Ha valamelyik hiányát észleli, és kétséget kizáróan megállapítható az ügyben illetékességgel rendelkező hatóság, az ügyet átteszi, ennek hiányában a kérelmet visszautasítja vagy az eljárást megszünteti.

Az Ákr. 35. § (1) bekezdése szerint a kérelem az ügyfél olyan nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében. Az Ákr. 35. § (3) bekezdése szerint az ügyfél kérelmével a tárgyában hozott döntés véglegessé válásáig rendelkezhet.

Az Ákr. 62. § (4) bekezdése szerint a hatóság szabadon választja meg a bizonyítás módját, és a rendelkezésre álló bizonyítékokat szabad meggyőződése szerint értékeli.

IV. A Hatóság döntése során figyelembe vett bizonyítékok és azok értékelése:

IV.1. A Hatóság a kérelemben foglaltaknak megfelelően azt vizsgálta, hogy a Kérelmezett jogszerűen járt-e el a Kérelmező magánrendelés keretében végzett egészségügyi ellátása során keletkezett egészségügyi dokumentáció kiadására irányult hozzáférési kérelme elbírálása során, és köteleznie kell-e a Kérelmezettet a Kérelmező hozzáférési kérelmének teljesítésére. Az igényelt dokumentáció a Kérelmező várandósgondozását érinti, amely várandósság a magzat elhalásával végződött. A Hatóság hivatalból vizsgálta továbbá a Kérelmezett általános adatkezelési gyakorlatát. IV.2. Az adatkezelés ténye, az adatkezelő személye Az általános adatvédelmi rendelet fogalom-meghatározása alapján az érintett egészségére és az egészségügyi ellátására vonatkozó adat személyes adatnak, azon belül a személyes adatok különleges kategóriáját képező adatnak, a személyes adaton elvégzett bármely művelet pedig adatkezelésnek minősül. Az általános adatvédelmi rendelet 4. cikk 7. pontja szerinti adatkezelő, aki az ott meghatározottak szerinti érdemi döntéshozatali jogkörrel rendelkezik – az adatkezelés célját és eszközeit tagállami jog is meghatározhatja –, és egyúttal felelősséggel tartozik az adatkezeléssel kapcsolatos jogszabályi kötelezettségek teljesítéséért. Így többek között az adatkezelőnek eleget kell tennie az érintettek joggyakorlására vonatkozó igényének [általános adatvédelmi rendelet 12-23. cikk].

A Kérelmezett nyilatkozata szerint a betegek adatait az „Állapotfelmérő lap Páciensek részére” dokumentum útján rögzíti, amelyet papír alapon tart nyilván. A betegdokumentációt a székhelyén tárolja, ez az adatkezelés helye, illetve szükség esetén feltölti az EESZT rendszerébe. Elektronikus nyilvántartást nem – illetve a jogszabály által kötelezően előírt adatfeltöltés kivételével nem – vezet.

Az általános adatvédelmi rendelet 2. cikk (1) bekezdése szerint a rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak az adatoknak a nem automatizált kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. Az adatkezelés fogalmát a 4. cikk 2. pontja határozza meg. Az általános adatvédelmi rendelet (15) preambulum-bekezdése szerint a természetes személyek védelme a személyes adatok automatizált eszközök útján végzett kezelése mellett a manuális kezelésére is vonatkozik, ha a személyes adatokat nyilvántartási rendszerben tárolják vagy kívánják tárolni. Olyan iratok, illetve iratok csoportjai, és azok borítóoldalai, amelyek nem rendszerezettek meghatározott szempontok szerint, nem tartoznak a rendelet hatálya alá. E rendelkezésekből az alábbiak következnek.

Az általános adatvédelmi rendelet a manuálisan végzett adatkezelések tekintetében tartalmaz megszorító rendelkezést. A kézi, azaz nem automatizált (más kifejezéssel: papír alapú) adatkezelések esetében a rendelet hatálya csak azokra az adatokra terjed ki, amelyek valamely nyilvántartási rendszer részei, vagy amelyek kezelése nyilvántartási céllal történik.

Azt, hogy mi minősül nyilvántartási rendszernek, a GDPR 4. cikk 6. pontja határozza meg, amely szerint nyilvántartási rendszer a személyes adatok bármely módon – centralizált, decentralizált vagy funkcionális vagy földrajzi szempontok szerint – tagolt állománya, amely meghatározott ismérvek alapján hozzáférhető. A nyilvántartás fogalma tehát tágan értelmezhető, annak minősülhet bármilyen jegyzék, lista, amelyben az adatok bármilyen szempont szerint kereshetők, illetve csoportosításra kerülnek.

A leírtakra tekintettel a Kérelmezett által a betegei adatairól a magánegészségügyi ellátás során papír alapon, manuálisan vezetett nyilvántartásra az általános adatvédelmi rendelet alkalmazandó. Ezen nyilvántartás vezetése az általános adatvédelmi rendelet 4. cikk 2. pontja értelmében adatkezelésnek, e tevékenység tekintetében a Kérelmezett az általános adatvédelmi rendelet 4. cikk 7. pontja értelmében adatkezelőnek minősül.

Az eljárásban felmerült egyéb intézmények és személyek közül a „[…] rendelő” nem jogi személy, így adatkezelőnek sem minősíthető, a rendelő helyiségét a Kérelmezettnek bérbe adó […] az adatkezelésben nem vesz részt, így adatkezelőnek sem tekintendő. Továbbá a Kérelmezett által a közfinanszírozott ellátás során a végzett tevékenység nem volt a kérelem tárgya, tehát a Kérelmezettnek a […] Oktatókórházban végzett tevékenysége során keletkezett dokumentumokra az eljárás nem tejed ki, így az intézmény sem tekintendő az eljárásban adatkezelőnek.

IV.3. A hozzáférési kérelem kezelése Az általános adatvédelmi rendelet 12. cikk (2) bekezdésében foglaltak értelmében az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 15. cikk rendelkezik a hozzáférés jogának részleteiről, ezen belül a 15. cikk (3) bekezdés az adatok másolatára való jogosultságot állapítja meg. Ahogyan fent megállapításra került, az egészségügyi szolgáltatás nyújtása körében a betegek tekintetében általánosan, és jelen ügyben is […] egyéni vállalkozó minősül adatkezelőnek, mint egészségügyi szolgáltató, aki az érintett betegek személyes és egészségügyi adatait az általa végzett ellátás során papír alapon, és a kötelező adatfeltöltés tekintetében elektronikusan dokumentálja, az adatkezelői minőség tényét a Kérelmezett nyilatkozata is rögzíti. A Kérelmezett 2020-as dátumú Adatkezelési tájékoztatója a bevezetőben foglaltak szerint „[…] egyéni vállalkozó (székhely: […]; adószám: […]; orvosi nyilvántartási szám: […]; egyéni vállalkozói nyilvántartási szám: […]) (a továbbiakban: Orvos) adatkezelési tevékenységéhez kapcsolódó legfőbb előírásokat”, míg a 2021-es dátumú Adatkezelési tájékoztatója a bevezetőben foglaltak szerint „[…] egyéni vállalkozó (székhely: […]; adószám: […]; orvosi nyilvántartási szám: […]; egyéni vállalkozói nyilvántartási szám: […]) (a továbbiakban: Orvos) adatkezelési tevékenységéhez kapcsolódó legfőbb előírásokat” részletezi. Mindkét tájékoztató a 9. pontjában rendelkezik az érintetti jogok biztosításának módjáról, a 9.1. pontjában a hozzáféréshez való jog gyakorlását taglalja. A szabályzat ezen pontban nem rendelkezik a kérelmek előterjesztésének módjáról, címéről, amely az általános adatvédelmi rendelet 12. cikk (1) bekezdésében foglalt követelménynek nem felel meg. Mindkét tájékoztató 10. pontja szerint adatvédelmi tisztviselő […], cím: […]; e-mail: […]; és magyarázatként található, miszerint „adatvédelmi problémákkal vagy kérdésekkel a fenti adatvédelmi tisztviselőhöz fordulhatsz”. Ebből azonban a Hatóság álláspontja szerint nem következik, hogy az érintetti kérelmeket is ily módon kell az adatkezelőhöz eljuttatni, illetve az általános adatvédelmi rendelet 39. cikkében foglaltak szerint sem feladata az adatvédelmi tisztviselőnek az érintetti kérelmek nyomán tett intézkedések biztosítása. A Kérelmező az állami egészségügyi ellátás mellett a Kérelmezettet a […] rendelő […] alatti címen kereste fel több alkalommal a várandósgondozás keretében, a magán-egészségügyi szolgáltatást ezen a helyen vette igénybe. Érintetti hozzáférési kérelmeit ezen címre juttatta el két alkalommal, címzettként az ott rendszeresen szolgáltatást nyújtó Kérelmezettet megjelölve.

A Kérelmezett nyilatkozata szerint a hozzáférési kérelmet azért nem teljesítette, mert a kérelemről nem szerzett tudomást. A kérelemről azért nem szerzett tudomást, mert a magánrendelése helyére címzett, ajánlott, majd tértivevényes formában postázott küldeményeket nem vette át. Az általános adatvédelmi rendelet 5. cikk (2) bekezdés szerint az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). Jelen vizsgált esetben a Kérelmezett a nyilatkozatában foglaltak szerint nem tudta igazolni, hogy a Kérelmező az adatkezelési tájékoztatót megismerte, így a Kérelmező nem volt birtokában annak az információnak, mi az őt ellátó szolgáltató vállalkozói székhelyének címe, ahol egyébként az adatvédelmi tisztviselőt kereshette volna. A Kérelmezett honlapján a „Kapcsolat” menüpontban a hatósági eljárás megindításának időpontjában a „Rendelés helye: […] rendelő - […].” megjelölés szerepelt egyedüli címként, így a Kérelmező ebből a forrásból sem szerezhetett tudomást az igények előterjesztésének helyéről.

A Kérelmező által csatolt várandósgondozási könyv másolata sem tartalmazza a Kérelmezett vállalkozói székhelyének, mint az adatvédelmi problémák, kérdések, vagy kérelmek fogadását jelentő cím megjelölését. Azt, hogy a Kérelmező ismerhette az érintetti kérelmek előterjesztésének címét és módját, a Kérelmezett nem tudta igazolni, a rendelés helyére eljuttatott kérelem fogadását pedig nem biztosította.

A Hatóság álláspontja szerint az érintettnek nem kell tudomással bírnia arról, hogy az egészségügyi szolgáltató jogilag milyen formában működik, a vállalkozói székhelye megegyezik-e a rendelés helyével. Ha az érintett a kérelmek előterjesztésének címéről kifejezett és igazolható tájékoztatást nem kap, életszerű, és nem kifogásolható, ha a kérelmet arra a címre juttatja el, ahol az orvost rendszeresen felkereste az orvosi ellátás céljából.

A joggyakorlás elősegítésére vonatkozó adatkezelői kötelességbe beletartozik, hogy az adatkezelőnek együtt kell működnie az érintettel, emellett az általános adatvédelmi rendelet szerint nincs lehetősége az adatkezelőnek, hogy korlátozza az érintettnek az érintetti jogának előterjesztésének módját.

Amennyiben az érintettel igazolható módon megismertetett adatkezelési tájékoztató tartalmazza az érintetti kérelmek előterjesztésének címét, abban az esetben az adatkezelő hivatkozhat arra, hogy segítette az érintetti jogok érvényesülését. Amennyiben nem tartalmazza, vagy a tájékoztatót az érintett nem ismerte meg, szervezési intézkedésekkel kell segítenie az érintettet a kérelme megfelelő fogadása érdekében.

A Hatóság fenti megállapításainak értelmében tehát nem volt biztosított az érintetti jogok hatékony gyakorlásának lehetősége a Kérelmező vonatkozásában, ezzel a Kérelmezett megsértette az általános adatvédelmi rendelet 12. cikk (2) bekezdését és a 13. cikk (1) bekezdés a-b) pontját. A Hatóság 2022. május 4-én elvégzett ellenőrzése alapján megállapította, hogy a Kérelmezett honlapjára az eljárás megindítása után felkerült a levelezési/igénybejelentési címeként a vállalkozói székhelycím. IV.4. Az egészségügyi dokumentáció vezetése, a Kérelmezett adatainak kezelése

Az általános adatvédelmi rendelet az adatkezelő és adatkezelés fogalmának meghatározásakor egyértelműen rögzíti, hogy adatkezelőnek az tekintendő, aki személyes adatot kezel. Az adatkezelés tárgyára vonatkozó érintetti kérelmek teljesítését az általános adatvédelmi rendelet 12. cikke az adatkezelői tevékenységet végző szerv vagy személy kötelezettségévé teszi. A Kérelmezett 2020-as Adatkezelési tájékoztatója 6.1.4. pontja az alábbiakat tartalmazza: „6.1.4.Az orvosi szolgáltatás nyújtása során keletkező releváns adatok kezelése: Az orvosi szolgáltatás nyújtása során keletkező releváns adatok Adatkezelő zárt informatikai algoritmussal védett rendszerében kerülnek rögzítésre, amelyhez kizárólag a 8.1 pontban meghatározott személyek rendelkeznek hozzáférési jogosultsággal. Amennyiben az adott adatok papír alapon kerülnek rögzítésre, abban az esetben azokat Adatkezelő biztonságtechnikai szempontból megfelelően zárható épületben található helyiségben, rendszerezetten őriz, és ahhoz csak a 8.1 pontban meghatározott személyek rendelkeznek hozzáférési jogosultsággal. Adatkezelő fenntartja magának a jogot arra, hogy az adatokat rögzítő papír alapú dokumentumról digitálisan másolatot is készítsen. Ilyen esetekben az adatok Adatkezelő zárt, informatikai algoritmussal védett rendszerében kerülnek rögzítésre, amelyhez kizárólag a 8.1 pontban meghatározott személyek rendelkeznek hozzáférési jogosultsággal.

A jogszabály által előírt adatokat Adatkezelő Páciens „Várandósgondozási könyvében” is rögzíti. ” A Kérelmezett 2021-s Adatkezelési tájékoztatója 6.1.4. pontja eképpen rendelkezik: „6.1.4.Az orvosi szolgáltatás nyújtása során keletkező releváns adatok kezelése: Az orvosi szolgáltatás nyújtása során keletkező releváns adatok Adatkezelő zárt informatikai algoritmussal védett rendszerében kerülnek rögzítésre, amelyhez kizárólag a 8.1 pontban meghatározott személyek rendelkeznek hozzáférési jogosultsággal. Amennyiben az adott adatok papír alapon kerülnek rögzítésre, abban az esetben azokat Adatkezelő biztonságtechnikai szempontból megfelelően zárható épületben található helyiségben, rendszerezetten őriz, és ahhoz csak a 8.1 pontban meghatározott személyek rendelkeznek hozzáférési jogosultsággal. Adatkezelő fenntartja magának a jogot arra, hogy az adatokat rögzítő papír alapú dokumentumról digitálisan másolatot is készítsen. Ilyen esetekben az adatok Adatkezelő zárt, informatikai algoritmussal védett rendszerében kerülnek rögzítésre, amelyhez kizárólag a 8.1 pontban meghatározott személyek rendelkeznek hozzáférési jogosultsággal. A fentiek mellett Adatkezelő – jogszabályi kötelezettségének eleget téve – a jogszabály meghatározott adatokat EESZT-ben is rögzíti. […] A jogszabály által előírt adatokat Adatkezelő Páciens „Várandósgondozási könyvében” is rögzíti. ” A Kérelmezett nyilatkozata szerint azonban a nyilvántartásában a Kérelmező vonatkozásában dokumentáció nem szerepel. A Kérelmezőről sem az „Állapotfelmérő lap” nem lelhető fel, és a vizsgálati eredményeit is elmulasztotta a nyilvántartásában adminisztrálni. A Kérelmező vizsgálati eredményeit csak a Kérelmező várandósgondozási kiskönyvében rögzítette.

A Kérelmezett a várandósgondozás során a Kérelmező ellátásával kapcsolatban sem elektronikus, sem papír alapú dokumentációt nem hozott létre, a Kérelmező ellátásáról adatot az EESZT-be nem továbbított, miközben a várandósgondozási könyv tanúsága szerint a Kérelmező részére az ott feltüntetett időpontokban egészségügyi szolgáltatást nyújtott. A vizsgálatok során keletkezett adatokat, a vizsgálatok eredményét a Kérelmezett a várandósgondozási könyvben rögzítette, amely dokumentum a várandós saját kezelésében van, ezen felül a vizsgálat végén a Kérelmező nyilatkozata szerint a Kérelmezett leletet nem adott, és az adatokat nem továbbította az EESZT rendszerébe. A Kérelmező által az EESZT rendszerből letöltött dokumentumok között a Kérelmezett magánrendelése során, a megadott vizsgálati időpontokban keletkezett dokumentáció nem szerepelt. A Kérelmezett nyilatkozata ezzel egybehangzóan tartalmazza, hogy a Kérelmezőről a nyilvántartásában semmilyen adat, dokumentum nem fellelhető. Az érintetti jogok, azok gyakorlása csak akkor értelmezhető, ha van adatkezelés, amely azonban a konkrét esetben nem volt. Ebből kifolyólag a Kérelmezett nem sértette meg a Kérelmező GDPR 15. cikk (3) bekezdése szerinti másolat kiadásához való jogát ezen be nem jegyzett betegadatok vonatkozásában, mivel a Kérelmezett által vezetett „Állapotfelmérő lap Páciensek részére” papír alapú nyilvántartásban nem volt olyan adat, amelyről másolat adható lett volna és nincs olyan egyéb adat sem, melynek kiadására utasítható lenne.

Ezen okból nem állapítható meg az Eütv. 24. §-ban foglaltak megsértése – amely szakasz az általános adatvédelmi rendelet szabályait rendeli alkalmazni az egészségügyi dokumentációhoz való hozzáférés és másolat-adás tekintetében. Ebből kifolyólag a Hatóság a Kérelmező arra irányuló kérelmét, hogy a Hatóság kötelezze a Kérelmezettet az egészségügyi adatait tartalmazó dokumentáció másolatának kiadására elutasítja, mivel – a dokumentáció vezetésének hiányában – a Kérelmezett nem rendelkezik ilyen adatokat tartalmazó dokumentumokkal.

A Hatóság az általános adatvédelmi rendeletnek való megfelelést vizsgálhatja, a Ptk. 2:51. § (1) bekezdés a) pontjában foglaltak megállapítására nem rendelkezik hatáskörrel, ezért a kérelem erre irányuló részében az eljárást az Ákr. 17. §-a alapján végzésben megszünteti. IV.5. A Kérelmezett dokumentációs gyakorlatára vonatkozó megállapítások A Kérelmezett adatkezelési tájékoztatója a jelen esetből kifolyólag nem fedi a valós gyakorlatot, mert a tájékoztatójában kijelenti, miszerint papír alapú nyilvántartást vezet, elektronikus nyilvántartást saját döntése alapján hoz létre, a jogszabályi kötelezettségének az elektronikus adattovábbítási körben eleget tesz, mindezek mellett történik meg a várandósgondozási könyvben történő bejegyzés is. A Kérelmezett az adatkezelési tájékoztatóban úgy fogalmaz, hogy az adatokat a várandósgondozási könyvbe is bejegyzi, ami egyben azt is jelenti, hogy tudatában van annak, hogy az adatokat más formában is rögzítenie kell, és a betegeit is erről a gyakorlatról tájékoztatja. Ezzel ellentétesen a tényállás felderítése során a Kérelmezőre vonatkozó adatkezelésre utaló információ nem merült fel, a Kérelmezőre vonatkozó adatkezelés létét nem lehetett igazolni. Továbbá ellentmondásos nyilatkozatot tett a Kérelmezett jelen eljárásban akkor, mikor előbb kijelentette, hogy elektronikus nyilvántartást nem vezet, később a kötelező adatfeltöltést igénylő esetekben elismerte az elektronikus adatkezelés tényét. Nem nyilatkozott azonban részletesen arról, mely esetekben tesz eleget az elektronikus adattovábbítási kötelezettségének, mi számít szükséges esetnek. A Kérelmezett tehát a Hatóság felé tett nyilatkozatát is módosította, ami az adatkezelését alapjában érintő érdemi adatkezelési körülményre vonatkozott, ezáltal a Hatóság számára is nehezítette a valós gyakorlata feltárását. Ahogyan a Hatóság számára, úgy az érintettek számára sem átlátható a Kérelmezett gyakorlata. Mindezen körülmények összessége alapján a Hatóság megállapítja, hogy a Kérelmezett az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontjában előírt átláthatóság alapelvi követelményének érvényesülését nem biztosította, és a Kérelmezett az adatkezelése jogszerűségét nem tudta maradéktalanul igazolni. A Kérelmezett úgy nyilatkozott, miszerint a koronavírus veszélyhelyzet okán adódó szakmai többletfeladatai miatt az adminisztrációt másodlagos fontosságú feladatnak ítélte meg, emiatt működésében elfordulhattak adminisztrációs mulasztások. A Kérelmezett maga is úgy fogalmaz, hogy „bizonyos esetekben” fordultak elő mulasztások, ami a Hatóság értelmezésében nem kizárólag egy személyt érintettségét jelenti. A Hatóság álláspontja az adminisztratív feladatokkal kapcsolatban az, hogy a koronavírus veszélyhelyzet okán adódó egyes többletfeladatok eredményezhetik bizonyos adatkezelési dokumentációs kötelezettség biztosításának halasztását, ez azonban nem jelentheti a szakmai előírások szerint a betegekről/páciensekről vezetendő, az Eütv-ben előírt dokumentációs kötelezettség teljes körű negligálását, tehát az egészségügyi dokumentáció vezetésének teljes elhagyását. A Kérelmezett dokumentációs kötelezettsége teljesítésével kapcsolatos gyakorlata a Kérelmező adatainak kezelésére és jogaira kihatással volt, mivel az érintetti joggyakorlással szorosan összefüggésben van és azt lehetetlenné tette, így a Hatóság ezen okból a tényállás tisztázása során megvizsgálta a kérdéskört. A várandósgondozásban részt vevő szervek és személyek felé a várandósgondozási könyvbe teendő bejegyzési kötelezettséget a 26/2014. (IV. 8.) EMMI rendelet előírja abból a célból, hogy a várandós ellátását végző szervek (szakorvos, háziorvos, védőnő, szülésznő) részére a gondozási folyamat információit egy dokumentum foglalja össze. Ezen előírás teljesítése azonban a Hatóság álláspontja szerint nem jelenti az Eütv. 137. § b) pont szerinti lelet kiadásának, és a 39/2016. (XII. 21.) EMMI rendelet 19. § (2) bekezdés szerinti, a magánszolgáltató 2020. január 1-jét követő kötelező csatlakozását követően az EESZT rendszerébe történő adatszolgáltatási kötelezettségnek, mint adatkezelői előírásnak a mellőzését. A Hatóság álláspontja szerint az egészségügyi dokumentáció jogszabály által előírt vezetése a koronavírus veszélyhelyzet alatt nem tekinthető háttérbe szorítható kötelezettségnek. Bármely érintettet kezelő orvos számára elengedhetetlen a betegre vonatkozó kezelési előzmény, kórtörténet tanulmányozása az Eütv. 77. § (3) bekezdése szerinti elvárható gondosság és a szakmailag megalapozott eljárása érdekében, amely abban az esetben nem biztosítható, ha az érintett a kezeléséről előírt dokumentációt nem kapja meg, így azt esetlegesen a későbbiekben más orvos részére továbbítani sem tudja. Az Eütv. 26. § (2) bekezdése a beteg kötelezettségeként is nevesíti a kórtörténetről és kórelőzményről való tájékoztatást, amelynek a beteg nem tud teljes körűen eleget tenni, amennyiben az ellátásáról a megfelelő dokumentációval nem rendelkezik. Várandósgondozás esetén az anya és a magzat életére és egészségére vonatkozó adatok képezik az egészségügyi dokumentáció tárgyát. Jelen esetben a magánrendelés során keletkezett adatok teljes körű rögzítésének elmaradásával a tragédiához vezető folyamatok dokumentálása szenvedett hiányt, amire vonatkozóan a Kérelmező nem tudta az érintetti jogait gyakorolni és nem jutott a birtokába fontos egészségügyi adatainak. Az, hogy a Kérelmezett, mint egészségügyi szolgáltató a rá kötelezően alkalmazandó szakmai szabályoknak megfelelően járt-e el, amikor a várandósgondozás kapcsán a várandósgondozási kiskönyvben tett bejegyzéseken kívül semmilyen dokumentációt nem vezetett, az ellátott Kérelmező részére az ellátási események végén leletet nem adott, illetve a leleteket nem továbbította az EESZT rendszerébe, nem a Hatóság hatásköre elbírálni.

Ezen kérdés vizsgálatát a Kérelmezett egészségügyi dokumentáció vezetése kötelezettségének, és az ehhez kapcsoló jogszabályi előírások teljesítésének ellenőrzését – a Hatóság hivatalból kezdeményezi a NEAK-nál.

IV.6. A Hatóság elutasította a Kérelmező adatvédelmi bírság kiszabására vonatkozó kérelmét, mivel e jogkövetkezmény alkalmazása a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen a közérdek érvényesítésének körébe eső jogkövetkezmény alkalmazása tekintetében a bírságkiszabás vonatkozásában a Kérelmező nem minősül ügyfélnek az Ákr. 10. § (1) bekezdése alapján. Mivel az Ákr. 35. § (1) bekezdésének nem felel meg, e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető. A Hatóság az adatvédelmi bírság kiszabása iránti kérelem kapcsán – az általános adatvédelmi rendelet (148) és (150) preambulum-bekezdése, 58. cikke és 83. cikk (2) bekezdése alapján – továbbá rámutat, hogy a felügyeleti Hatóság – az adott eset körülményeitől függően – hivatalból maga jogosult mérlegelési jogkörében dönteni a személyes adatok védelme érdekében az adatkezelővel/adatfeldolgozóval szemben alkalmazandó hatékony, arányos és visszatartó erejű intézkedésről, illetve ezek helyett vagy mellett szankció, így a közigazgatási bírság kiszabásának szükségességéről, és kiszabása esetén annak mértékéről.

V. Jogkövetkezmények:

V.1. A Hatóság a Kérelmező kérelmeit elutasította, hivatalból állapított meg jogsértést, és a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja Kérelmezettet, mert megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontját, a 12. cikk (2) bekezdését, és a 13. cikk (1) bekezdés a)-b) pontját. V.2. A Hatóság a Kérelmezőnek a bírság kiszabása iránti kérelme elutasítása mellett hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása a megállapított jogsértések miatt. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés nem arányos és visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság mindenekelőtt figyelembe vette, hogy a Kérelmezett által elkövetett jogsértés az általános adatvédelmi rendelet 83. cikk (5) bekezdés b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősül, mivel az az alapelvi rendelkezés és az érintetti jog sérelmével járt. A Hatóság álláspontja szerint az, hogy a rendelés helyén az egyébként ott rendszeresen szolgáltatást nyújtó adatkezelő szervezési intézkedések révén (postai átirányítás, küldemény helyszíni átvételére megbízás adása, könyvelt küldemény kézbesítési értesítőjének továbbítása részére, stb.) biztosítsa a részére érkező érintetti levelek átvételét, nem függtek a koronavírus veszélyhelyzet okozta nehézségektől, mivel az intézkedés nem kívánt rendszeres tevékenységet, és nem okozta az adatkezelő mindennapi feladatainak növekedését. Ebből következően a Hatóság a bírság összegének megállapításakor a Kérelmezett által előadott, megnövekedett munkateherre vonatkozó körülményeket ezen jogsértésnél nem vette figyelembe. A Hatóság a bírságkiszabás során az alábbi körülményeket bírságnövelő körülményként értékelte:

• a jogsértés súlyosnak minősül, mert a Kérelmezett az érintetti joggyakorlást nehezítette, akadályozta, illetve nem biztosította. A személyes adatok védelme a magánszféra kontextusában értelmezendő. Különös súllyal esik latba azoknak az adatoknak a védelme és törvényes kezelése, amelyek a magánszféra különösen is érzékeny területére esnek. A várandósság, a magzat elvesztése és ennek körülményei olyan mélyen és érzékenyen kötődnek a magánszférához, amelyet a jog sem hagy figyelmen kívül.[GDPR 83. cikk (2) bekezdés a) pont]; • az adatok hiánya az érintett esetleges további jogérvényesítési lehetőségeit is korlátozza [GDPR 83. cikk (2) bekezdés a) pont]; • a jogsértés jelen eljárásban egy személy esetén nyert igazolást, ugyanakkor az adatkezelési tájékoztatásra vonatkozó megállapítások a Kérelmezett általános gyakorlatát érintik [GDPR 83. cikk (2) a) pont] • súlyos gondatlanságra utal az, hogy a Kérelmezett az érintetti jogérvényesítést megfelelő gyakorlati intézkedésekkel nem biztosította [GDPR 83. cikk (2) bekezdés b) pont]; • a megállapított adatvédelmi jogsértés a személyes adatok különleges kategóriáit érintő joggyakorlásra volt kihatással [GDPR 83. cikk (2) bekezdés g) pont];

A Hatóság a bírságkiszabás során az alábbi körülményeket bírságcsökkentő körülményként értékelte:

• a Kérelmezett honlapján a levelezési/igénybejelentési címeként már szerepel a vállalkozói székhelyének címe • a Kérelmezett első alkalommal sértette meg adatvédelmi hatósági eljárásban megállapítottan a GDPR rendelkezéseit, korábban releváns jogsértést nem követett el [GDPR 83. cikk (2) bekezdés e) pont]. • a COVID-veszélyhelyzet időszakot [GDPR 83. cikk (2) bekezdés k) pont]. • a Hatóság a számára előírt eljárási határidőt túllépte

- A Hatóság figyelembe vette továbbá

• hogy a Kötelezett együttműködő volt abban, hogy a végzésekre határidőben választ adott, ugyanakkor ellentmondásos nyilatkozataival a tényállás feltárását nehezítette [GDPR 83. cikk (2) bekezdés f) pont] • a Kérelmezett által közölt bevételi adatait. A bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg. A bírság a kiszabható maximális bírságösszeg 0,007 %-a. A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött. V.3. A Hatóság az eljárás során túllépte az Infotv. 60/A § (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján 10.000, - Ft, - azaz tízezer forint illeti meg a Kérelmezőt – választása szerint – bankszámlára utalással vagy postai utalvánnyal.

VI. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

A határozat az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, 116. § (1)

bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettségek teljesítését a kötelezett ügyfél megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettségeket határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja.

Kelt: Budapest, az elektronikus aláírás szerint

Dr. Péterfalvi Attila elnök c. egyetemi tanár