Hungarian Data Protection Authority: storage and document search in archived mailboxes of a former employee

Ügyszám: NAIH/2019/51/11. Tárgy: Kérelemnek helyt adó határozat (NAIH/2018/4986/H.)

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt […] a továbbiakban: Kérelmező a […] továbbiakban: Kötelezett által, személyes adatai jogellenes kezelése tényének megállapítására, személyes adatai törlésének elrendelésére, illetve személyes adatai jogellenes kezelésének megtiltására irányuló kérelmére indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza: I. A Hatóság

HATÁROZATÁBAN 1) a Kérelmező kérelmének helyt ad és megállapítja, hogy a Kötelezett a korlátozott tárolhatóság elvét sértve tárolja a Kérelmező magánlevelezéseit, továbbá a tisztességes adatkezelés elvébe ütközően, megfelelő tájékoztatás nélkül, a célhoz kötött adatkezelés elvébe ütközően, megfelelő jogalap hiányában végzett dokumentumkeresést archivált e-mail-fiókjaiban. 2) A Hatóság megtiltja a Kötelezett számára, hogy tárolja a Kérelmező magánlevelezéseinek archívumát és utasítja a Kötelezettet arra, hogy a jelen határozat véglegessé válásától számított 15 napon belül a Kérelmező bevonásával és tájékoztatásával vizsgálja felül, hogy a Kérelmező archivált során mely – a munkavégzéssel össze nem függő (magáncélú) – személyes adatait, levelezéseit ismerte meg, illetve tárolta, és azokat törölje azzal, hogy a jelen határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok kezelését korlátozni kell oly módon, hogy azok nem törölhetők, illetve nem semmisíthetők meg, ugyanakkor a tároláson és a közigazgatási perben a bíróság általi felhasználáson kívül más módon nem használhatók fel. Ennek során a Kötelezett köteles lehetővé tenni, hogy a kizárólag magáncélú adatokról a Kérelmező saját céljára másolatot készítsen, továbbá köteles a nem törölt adatok vonatkozásában az adatkezelésről a Kérelmezőt megfelelően tájékoztatni.

3) A Hatóság hivatalból megállapítja, hogy a Kötelezett a Kérelmező archivált e-mail-fiókjaiban történő dokumentumkereséssel összefüggő adatkezelése során az elszámoltathatóság alapelvi követelményét megsértve nem tett megfelelő technikai, szervezési intézkedéseket, annak érdekében, hogy az általa, a munkavállalók számára biztosított e-mail-fiókok használatával, archiválásával összefüggésben biztosítsa a személyes adatok védelmét, és nem gondoskodott az érintettek megfelelő tájékoztatásáról, megsértve ezzel együtt az átláthatóság elvét is.

4) A Hatóság hivatalból utasítja a Kötelezettet arra, hogy a jelen határozat véglegessé válásától számított 30 napon belül megfelelő, a tisztességes adatkezelés alapelvi követelményével összhangban álló technikai, szervezési intézkedések megtételével gondoskodjon a munkavállalók számára biztosított e-mail-fiókok használata, archiválása, illetve az archivált tartalmakban történő dokumentumkeresések során a személyes adatok védelméről, alkossa meg az ezekhez szükséges belső szabályokat és gondoskodjon az érintettek megfelelő tájékoztatásáról. Ennek keretében biztosítsa, hogy az e-mail-fiókok tárolására, archiválására, az archivált adatokban történő keresésre vonatkozó belső szabályozás, és az ezekre vonatkozó megfelelő tájékoztató megalkotásával tárolja, archiválja a munkavállalók e-mail-fiókjait és végezzen azokban dokumentumkeresést.

5) A Hatóság a Kötelezettet hivatalból

500 000 Ft, azaz ötszázezer forint adatvédelmi bírság megfizetésére kötelezi.

* * * Az adatvédelmi bírságot a határozat véglegessé válását követő 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2019/51. BÍRS. számra kell hivatkozni. Ha a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, a fenti számlaszámra késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A Kötelezettnek jelen határozat fenti I. 2) és I. 4) pontjaiban előírt kötelezettségek teljesítését jelen határozat közlésétől számított 30 napon belül kell írásban – az azokat alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A bírság és a késedelmi pótlék, illetve az előírt kötelezettségek nem teljesítése esetén a Hatóság megindítja a határozat végrehajtását. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

II. A Hatóság végzéssel elrendeli 10 000 Ft-nak, azaz tízezer forintnak a Kérelmező részére való megfizetését az ügyintézési határidő túllépése miatt – választása szerint – bankszámlára utalással vagy postai utalvánnyal.

* * * A jelen II. pont szerinti végzéssel szemben nincs helye önálló jogorvoslatnak, az csak az ügy érdemében hozott határozat elleni jogorvoslati kérelemben támadható meg.

INDOKOLÁS

I. Az eljárás menete, a tényállás tisztázása

I. 1. A Kérelmező 2018. július 27. napján kérelmet nyújtott be a Hatósághoz, amelyben előadta, hogy a […] igazgatójaként […] napjáig állt az intézmény élén. A munkáltatói jogokat az Állami Egészségügyi Ellátó Központ főigazgatója gyakorolta felette. E jogviszonya megszűnését követően, 2018. július 2. napján a kórház egyik jelenlegi munkavállalóján keresztül tudomására jutott, hogy engedélye nélkül – a 2017. április 1. napja előtt keletkezett kórházi elektronikus levelezése tudomása szerint törölt, valójában inaktivált fiókjai […] visszaállítását rendelte el a […] jogutódja, a […] jelenlegi vezetése. 2018. július 3. napján a jelenlegi orvos-igazgatóval történt telefonos beszélgetés során az orvos-igazgató elismerte a Kérelmezőnek, hogy utasítást adott az e-mailfiókok helyreállítására. Ezen levelezések visszaállítása során a Kérelmező egykori e-mail-fiókjait aktiválták, mert kerestek egy dokumentumot. A Kérelmező kifogásolta, hogy ennek során a fiókokban bármelyik dokumentumához hozzáférhettek, bármely személyes adatát megismerhették, tekintettel arra, hogy magánlevelezéseit is azokon bonyolította le, ez engedélyezett is volt számára. Így a fiókok tartalmaztak például magáncélú levelezéseket, banki adatokat, fizetésre vonatkozó adatokat, baráti kapcsolatokra vonatkozó adatokat, a Kérelmező pénzügyei intézésére vonatkozó levelezéseket, a bankszámlaszámát, pin-kódjait, egészségi állapotára vonatkozó adatokat, valamint a tőle egészségügyi segítséget kérő személyekre vonatkozó információkat. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján az érintett erre irányuló kérelmére adatvédelmi hatósági eljárás indult. Mivel a kérelem nem tartalmazta a feltételezett jogsértéssel kapcsolatos állításokat alátámasztó tényeket és azok bizonyítékait, valamint a megjelölt jogsértés orvoslása iránti döntésre vonatkozó határozott kérelmet, a Hatóság végzésében hiánypótlásra hívta fel a Kérelmezőt, aki ennek eleget tett, és kérte a személyes adatai jogellenes kezelése tényének megállapítását, a személyes adatai zárolásának, törlésének vagy megsemmisítésének elrendelését, illetve a személyes adatai jogellenes kezelésének megtiltását. A Hatóság a tényállás tisztázása érdekében továbbá nyilatkozattételre is felszólította a Kérelmezőt, aki válaszlevelében azt nyilatkozta, hogy a […] korábbi igazgatójaként az e-mailek megőrzése érdekében a MailStore e-mail archiváló rendszer bevezetését rendelte el, mivel többször előfordult, hogy elkeveredtek az elektronikus levelek. Ebbe a rendszerbe az igazgatóság levelezéseit archiválták – köztük a Kérelmező által használt […] és […] fiók levelezéseit –, melynek két kezelője volt, akik oktatást kaptak annak használatáról. Külön szabályozás a rendszer működéséről nem készült a szűk érintetti kör miatt, ezért annak jellemzőiről csupán szóbeli tájékoztatás hangzott el. A Kérelmezőnek – nyilatkozata szerint – megállapodás alapján lehetősége volt jogviszonyának megszűnésétől számított további egy hónapig használni a […] e-mail-fiókját, ezt követően törölték a fiókot. A […] e-mail-fiókját jogviszonyának megszűnése napján, 2017. március 31. napján inaktiválták. A Kérelmező nyilatkozata szerint annyi információval rendelkezett, hogy e-mail-fiókjai törlésre kerülnek, arról azonban nem kapott tájékoztatást, hogy jogviszonyának megszűnését követően mi történik a fiókok tartalmával, és arról – bár ő rendelte el az archiváló rendszer bevezetését – sem volt információja, hogy a törlés nem azt jelenti, hogy véglegesen, helyreállíthatatlanul történik meg az e-mail-fiókok törlése, hanem azokat inaktiválják. I. 2. A Hatóság az adatvédelmi hatósági eljárás megindításáról értesítette a Kötelezettet, és a tényállás tisztázása érdekében öt alkalommal hívta fel nyilatkozattételre, illetve adatközlésre. A Kötelezett nyilatkozata szerint a Kérelmező által megjelölt e-mail címek intézményi e-mail címek, illetve fiókok, melyen az a tény, hogy a munkáltató engedélyezte a magáncélú használatukat is, nem változtat, ezért teljességgel kizárt a személyes adatok védelméhez való jog megsértése. A Kötelezett nyilatkozata szerint lehetőséget biztosítottak arra, hogy a Kérelmező a jogviszonyának megszűnésekor törölhesse magáncélú levelezéseit, személyes adatait, illetve legalább egy hónappal korábban tudta jogviszonya megszűnésének időpontját, így volt alkalma arra, hogy postafiókjait karbantartsa. Továbbá kérésére postafiókjait a jogviszonya megszűnését követően is használhatta. A Kötelezett ennek határidejéről nem nyilatkozott, ugyanakkor a Kérelmező szerint erre a jogviszony megszűnését követően egy hónapig volt lehetősége.

A Kötelezett nyilatkozata szerint a Kérelmező által megjelölt e-mail címek közül a […] jelenleg is használatos, csupán elnevezése változott meg, aktualizálva és utalva a jogutód intézmény elnevezésére […], tekintettel arra, hogy 2017. március 31. napjával jogutódlás történt, melynek következményeként a jogelőd […] megszűnt, és jogutódja a […] lett. A Kötelezett további nyilatkozata szerint postafiók-visszaállítás nem történt, hanem az archívumban egy szerződéses partner által elkészített jogi anyagot kerestek, amelynek során dokumentum lementésére nem került sor. A keresésről jegyzőkönyv, feljegyzés nem készült. A Kötelezett nyilatkozata szerint a Kérelmezővel fennálló foglalkoztatási jogviszony időtartama alatt a munkavállalók az e-mail-fiókok használatáról külön tájékoztatást nem kaptak, azonban az informatikai biztonsági szabályzat tartalmazta a vonatkozó szabályokat. Ezen szabályok olyan magatartási szabályokat jelentenek, mint például, hogy a levelek nem képviselhetnek a hatályos magyar jogszabályokba ütköző magatartásformát, a levelek nem sérthetik mások becsületét, emberi jogait, faji, nemzetiségi hovatartozását, vallási, politikai világnézetét. A levelek tartalma nem sérthet meg szerzői és szomszédos jogokat, a levelek nem ronthatják az intézmény hírnevét, megítélését, nem terjeszthetnek róla szándékosan valótlan információkat, illetve a levelezés nem veszélyeztetheti a hálózati infrastruktúra működését. Tilos továbbá kéretlen leveleket, hirdetéseket küldeni, tilos levélbombák, levelezési láncok küldése, illetve továbbküldése. Tilos a levelek fejlécének megváltoztatása, hamis levelek küldése. Tilos a levelezési címet olyan kereskedelmi listára feltenni, amelyről az intézmény levelező rendszerét e-mail szeméttel (spam) terhelik meg. A Kötelezett továbbá azt nyilatkozta, hogy a munkaviszonyok megszűnésekor a munkahelyi postafiókok azonnal inaktiválásra kerülnek, kivéve, ha a munkavállaló kéri, hogy használata a munkaviszonya megszűnését követően is lehetséges legyen, és erre főigazgatói engedélyt kap. A Kötelezett nyilatkozata szerint az elektronikus postafiók inaktiválása azt jelenti, hogy a fiók a továbbiakban nem él, tartalmát archiválják. A teljes lebonyolított, változtatásmentes fióktartalom tekinthető archívumnak, ebben történt a dokumentumkeresés. Magának a postafióknak az inaktiválása azonban a már lebonyolított és archivált levélforgalomra nincs hatással. A Kötelezett nyilatkozata szerint az igazgatósági postafiókok biztonsági mentése céljából a Kérelmező mint korábbi igazgató által megrendelt MailStore e-mail archiváló rendszert használják. Ebben a rendszerben lett beállítva a […] és a […] e-mail-fiókokban történt levelezések mentése. Az archiválás zárt folyamaton belül történik egységes adatbázismentésként olyan módon, hogy az archívumhoz a közvetlen hozzáférés lehetősége nem biztosított a felhasználóknak. A MailStore rendszerben archivált e-mailek a postafiók inaktiválása után is elérhetőek maradnak, az archivált leveleknek nincs definiált archiválási ideje. Az archivált tartalomból csak külön hozzáféréssel rendelkező felhasználó tud eltávolítani leveleket. A MailStore rendszer bevezetésének célja az adatbiztonság növelése volt, kizárólag az igazgatósági levelezések archiválása érdekében. Az archiválásba ténylegesen bevont postafiókok kis számára tekintettel – a Kérelmező két e-mail postafiókján kívül még két fiók mentésére került sor – minden érintett szóbeli értesítést kapott az informatikai osztályvezetőtől, illetve minden érintett tisztában volt azzal is, hogy a fiókok tartalma korlátlan ideig megőrzésre kerül. A MailStore rendszer pontos használatát mindenki számára oktatták akként, hogy a rendszergazda minden érintett számítógépén megmutatta, hogyan kell az archívumban keresni, illetve onnan a véletlenül törölt vagy elkeveredett leveleket visszatölteni. A Kötelezett nyilatkozata szerint továbbá a postafiók a Kérelmező munkaviszonyával összefüggésben létrehozott munkaeszköz volt. A munkaeszköz mint a Kérelmező munkavégzéséhez szükséges feltétel biztosítása, a munkáltató feladata a Munka Törvénykönyvéről szóló 2012. évi I. törvény (a továbbiakban: Mt.) 51. § (1) bekezdése alapján. Ennek megfelelően a postafiókok archiválásának jogalapja a Kérelmezővel kötött munkaszerződés és az annak alapján biztosított, munkavégzéshez szükséges feltétel.

A Kötelezett nyilatkozata szerint az archívumban történő keresést az intézmény szervezeti és működési szabályzata szerinti főigazgató-helyettese rendelte el, szóban, melyre 2018. július 18. napján került sor, és harminc percet vett igénybe. A nyilatkozat szerint a keresés célzottan, feladó és levél tárgya szerint történt, melyről a Kérelmezőt nem tájékoztatták, arra munkáltatói jogkörben került sor. A két postafiók archívumaiban történő keresés az intézmény főigazgatósága titkárságának számítógépén történt, a MailStore rendszer webes felületét használva. A keresésnél az intézmény főigazgatóságáról az orvosigazgató és egy másik munkatárs, illetve az intézmény informatikai főosztályáról szintén egy munkatárs volt jelen. A keresett e-mailt azonban nem találták meg az archívumban, ezért nem történt dokumentummentés. I. 3. A nyilatkozatok alapján megállapítható, hogy a MailStore archiváló rendszer bevezetését a Kérelmező mint korábbi igazgató rendelte el. A Kötelezett ebbe a rendszerbe archiválta a Kérelmező két, magáncélra is használt e-mail-fiókjának tartalmát, majd ebben az archívumban történt dokumentumkeresés az Mt. 11. §-ában írtak figyelembe vételével, a Kérelmezővel kötött munkaszerződés mint a Kötelezett által hivatkozott jogalap alapján, a Kérelmező előzetes tájékoztatása, illetve jelenléte hiányában, jogviszonya 2017. március 31. napján történt megszűnését követő évben, 2018. július 18. napján. A munkavállalói e-mail-fiókok használatáról a Kötelezett által hivatkozott informatikai biztonsági szabályzat szerint azon túl, hogy engedélyezett volt a magáncélú használatuk, illetve meghatározott bizonyos, levelezésekre vonatkozó alapelveket, magatartási szabályokat, a munkavállalók személyes adatainak kezelése, illetve az e-mail-fiókok ellenőrzése és azzal összefüggő adatkezelés vonatkozásában semmilyen információt nem tartalmaz. A Kérelmező a dokumentumkeresésről nem kapott tájékoztatást a Kötelezettől, csupán a Kötelezett egyik munkavállalójának értesítése alapján szerzett erről tudomást. A Kérelmező rendelte meg az archiváló rendszert, azonban a megrendelésről szóló, a Hatóság rendelkezésére álló dokumentum alapján egyértelműen nem állapíthatók meg a rendszer pontos jellemzői, illetve hogy abból ténylegesen lehet-e törölni vagy sem elektronikus levelezéseket.

II. Az eljárás során a Hatóság által megvizsgált dokumentumok:

a […] informatikai biztonsági szabályzata (2014. 11. 01.)

a […] informatikai biztonsági szabályzata (2017. 09. 15.)

a MailStore archiváló rendszer megrendeléséről szóló dokumentumok a kérelmező által használt e-mail-fiókok MailStore rendszerben archivált levelezései

III. Alkalmazott jogszabályi rendelkezések

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: általános adatvédelmi rendelet) 2. cikk (1) bekezdése alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. Az Infotv. 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít.

Az Infotv. 60. § (2) bekezdése alapján az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében, valamint a 22. § b) pontjában meghatározott esetben nyújtható be. Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) rendelkezéseit kell alkalmazni az Infotv.-ben meghatározott eltérésekkel. Az általános adatvédelmi rendelet 99. cikk (2) bekezdése értelmében az általános adatvédelmi rendeletet 2018. május 25-től kell alkalmazni. Az általános adatvédelmi rendelet 4. cikk 1. pontja szerint: „„személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.” Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján: „„adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.” Az általános adatvédelmi rendelet 5. cikk (1) bekezdés e) pontja értelmében: „A személyes adatok: a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”); e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”).” Az általános adatvédelmi rendelet 5. cikk (2) bekezdése szerint: „Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).” Az általános adatvédelmi rendelet 6. cikk (1) bekezdése alapján: „A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;

d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.” Az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdése értelmében: „(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét: a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.” Az általános adatvédelmi rendelet 21. cikk (1) bekezdése szerint: „Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.” Az általános adatvédelmi rendelet 26. cikke alapján: „(1) Ha az adatkezelés céljait és eszközeit két vagy több adatkezelő közösen határozza meg, azok közös adatkezelőknek minősülnek. A közös adatkezelők átlátható módon, a közöttük létrejött megállapodásban határozzák meg az e rendelet szerinti kötelezettségek teljesítéséért fennálló, különösen az érintett jogainak gyakorlásával és a 13. és a 14. cikkben említett információk rendelkezésre bocsátásával kapcsolatos feladataikkal összefüggő felelősségük megoszlását, kivéve azt az esetet és annyiban, ha és amennyiben az adatkezelőkre vonatkozó felelősség megoszlását a rájuk alkalmazandó uniós vagy tagállami jog határozza meg. A megállapodásban az érintettek számára kapcsolattartót lehet kijelölni. (2) Az (1) bekezdésben említett megállapodásnak megfelelően tükröznie kell a közös adatkezelők érintettekkel szembeni szerepét és a velük való kapcsolatukat. A megállapodás lényegét az érintett rendelkezésére kell bocsátani. (3) Az érintett az (1) bekezdésben említett megállapodás feltételeitől függetlenül mindegyik adatkezelő vonatkozásában és mindegyik adatkezelővel szemben gyakorolhatja az e rendelet szerinti jogait.” Az általános adatvédelmi rendelet 32. cikk (1) bekezdés c) pontja értelmében: „Az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja, ideértve, többek között, adott esetben: fizikai vagy műszaki incidens esetén az arra való képességet, hogy a személyes adatokhoz való hozzáférést és az adatok rendelkezésre állását kellő időben vissza lehet állítani.” Az általános adatvédelmi rendelet 58. cikk (2) bekezdése szerint: „A felügyeleti hatóság korrekciós hatáskörében eljárva: a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.” Az általános adatvédelmi rendelet 83. cikk (2), (5) és (7) bekezdése alapján: „[…]

(2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket: a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. […] (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12–22. cikknek megfelelően; c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44–49. cikknek megfelelően; d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása. […] (7) A felügyeleti hatóságok 58. cikk (2) bekezdése szerinti korrekciós hatáskörének sérelme nélkül, minden egyes tagállam megállapíthatja az arra vonatkozó szabályokat, hogy az adott tagállami székhelyű közhatalmi vagy egyéb, közfeladatot ellátó szervvel szemben kiszabható-e közigazgatási bírság, és ha igen, milyen mértékű.” Az általános adatvédelmi rendelet 88. cikk (1) és (2) bekezdése szerint értelmében: „[…] (1) A tagállamok jogszabályban vagy kollektív szerződésekben pontosabban meghatározott szabályokat állapíthatnak meg annak érdekében, hogy biztosítsák a jogok és szabadságok védelmét a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelése tekintetében, különösen a munkaerő-felvétel, a munkaszerződés teljesítése céljából, ideértve a jogszabályban vagy kollektív szerződésben meghatározott kötelezettségek teljesítését, a munka irányítását, tervezését és szervezését, a munkahelyi egyenlőséget és sokféleséget, a munkahelyi egészségvédelmet és biztonságot, a munkáltató vagy a fogyasztó tulajdonának védelmét is, továbbá a foglalkoztatáshoz kapcsolódó jogok és juttatások egyéni vagy kollektív gyakorlása és élvezete céljából, valamint a munkaviszony megszüntetése céljából. (2) E szabályok olyan megfelelő és egyedi intézkedéseket foglalnak magukban, amelyek alkalmasak az érintett emberi méltóságának, jogos érdekeinek és alapvető jogainak megóvására, különösen az adatkezelés átláthatósága, vállalkozáscsoporton vagy a közös gazdasági tevékenységet folytató vállalkozások ugyanazon csoportján belüli adattovábbítás, valamint a munkahelyi ellenőrzési rendszerek tekintetében. […]” Az Infotv. 75/A. §-a szerint: „A Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.” Az Infotv. 61. § (4) bekezdés b) pontja alapján: „A bírság mértéke százezertől húszmillió forintig terjedhet, ha az adatvédelmi hatósági eljárásban hozott határozatban kiszabott bírság megfizetésére kötelezett költségvetési szerv, az általános adatvédelmi rendelet 83. cikke szerint kiszabott bírság esetén.”

IV. Döntés

IV. 1. Általános megállapítások Az általános adatvédelmi rendelet fogalommeghatározásai alapján a munkavállaló rendelkezésére bocsátott munkahelyi e-mail-fiók adattartalma személyes adatnak, a személyes adaton elvégzett bármely művelet pedig adatkezelésnek minősül. Ettől elkülönülő kérdés, hogy a személyes adatok, illetve az adatkezelés kizárólag a munkavégzéssel, annak céljaival függ össze, vagy magáncélból történik, amely az adatkezelő személyének, illetve az adatkezelés jogszerűségének megítélésekor bírhat jelentőséggel. Jelen ügyben a nyilatkozatok és a becsatolt dokumentumok alapján megállapítható, hogy a Kérelmező használatában lévő, számára a Kötelezett által biztosított úgynevezett „céges e-mailfiókokat” a Kérelmező magáncélra is használta, azok magáncélú használata engedélyezett is volt számára. Abban az esetben, amikor a munkavállaló használja az e-mail-fiókot – függetlenül attól, hogy a munkáltató egyébként megtiltja vagy engedélyezi a magáncélú használatot – az abban tárolt személyes adatok tekintetében maga is adatkezelési tevékenységet végez. Amennyiben az adatkezelés a munkavégzéssel összefügg, annak érdekében történik, a munkavállaló lényegében a munkáltató mint adatkezelő nevében jár el, és e tevékenysége mint adatkezelői tevékenység is a munkáltatónak tudható be. Az, hogy ez az adatkezelés a munkavállalón kívüli személyek vonatkozásában mennyiben jogszerű, egy ettől függetlenül elbírálandó kérdés, az esetleges jogszerűtlenségért való felelősség pedig függ attól, hogy a munkáltató mint adatkezelő által eszközölt szükséges és megfelelő technikai, szervezési intézkedések munkáltató általi be nem tartásáról vagy ezen intézkedések hiányából fakad azzal, hogy a harmadik személyek tekintetében a vonatkozó polgári jogi szabályok szerint alapvetően a munkáltató felelős. A munkavállaló saját személyes adatai vonatkozásában addig, ameddig az adatkezelés a munka végzésével összefüggésben történik, az adatkezelés jogalapja munkaviszony esetében mindenekelőtt a munkaszerződés, és az adatkezelést ennek megfelelően kell megítélni. Abban az esetben azonban, mint jelen ügyben is, amikor közérdekű feladatot ellátó, vagy közhatalmat gyakorló szervről, adatkezelőről van szó, az adatkezelés jogalapja ezen adatkezelés esetében az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja szerinti jogalap, amely szerint a személyes adatok kezelése akkor jogszerű, ha az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges. Abban az esetben ugyanakkor, amikor a munkavállaló a munkáltató által biztosított e-mail-fiókban a munka végzésével össze nem függő – magáncélú – tevékenységet is folytat és ennek kapcsán a saját és a legtöbb esetben más harmadik személyek személyes adatait kezeli, már nem ilyen egyértelmű a helyzet. Ebben az esetben ugyanis az adatkezelés célját nem a munkáltató határozza meg, hanem a munkavállaló, aki ezáltal adott esetben maga is adatkezelővé válik a harmadik személyek személyes adatai tekintetében a munkavégzésével semmilyen módon össze nem függő adatkezelés vonatkozásában. Ő dönt a személyes adatnak az e-mail-fiókba kerüléséről, és amíg a birtokában, rendelkezése alatt van a fiók, addig dönthet annak törléséről, egyéb felhasználásáról. Ugyanakkor ezen személyes adatok tekintetében is a rendszer működtetése továbbra is a munkáltató feladata és hatásköre, és a személyes adatokat tároló e-mail-fiók feletti rendelkezési jogát sem veszíti el a munkáltató, aki a magáncélú adatok tekintetében ezért adatkezelő marad. Ugyanígy adott esetben a munkavégzéssel összefüggő elektronikus levelek biztonsága érdekében az is munkáltatói döntés eredménye és a munkáltató adatkezelői minőségét támasztja alá, hogy a munkavállalói e-mail-fiók teljes tartalmát – beleértve a magáncélú leveleket is – egységes adatbázisként archiválja és tárolja a munkáltató. A munkáltató adatkezelői minősége azért sem kérdőjelezhető meg ebben az esetben, mert a magáncélú használat kifejezett engedélyezésével és tudomása alapján valósul meg és ennek következtében kerülnek, kerülhetnek az általa, a saját maga által meghatározott célú adatkezelésekhez alkalmazott e-mail-fiókba más, munkavállalói célú adatkezeléssel összefüggésben személyes adatok, melyek egyrészt ténylegesen a saját adatkezelései tekintetében is eljáró személyek révén kerülnek oda. Másrészt, mivel az adatkezelés körülményei folytán ténylegesen lehetőség van olyan személyes adatok kezelésére az e-mail-fiókban, amelyek az általa kontrollált célból történő adatkezeléssel semmilyen kapcsolatot valójában nem mutatnak – ami egy munkahelyi e-mail-fiók vagy mobiltelefon esetében szinte soha nem zárható ki, munkaeszközként biztosított egyéb számítástechnikai eszköz esetében pedig bár elvárható lenne, az esetek többségében előfordulhat, arra elvárhatóan számítania kell a munkáltatónak –, a saját adatkezelése vonatkozásában szükséges követelmények teljesítése keretében végzett minden adatkezelési tevékenysége szükségszerűen kiterjed ezen adatokra is (mindenekelőtt tárolja azokat), és a saját adatkezelése jogszerűsége biztosításához elengedhetetlen feladatai ellátása keretében hozzáfér ezen személyes adatokhoz. Megjegyzendő még, hogy amíg a munkavállaló tekintetében az is előfordulhat, hogy az ilyen, az email-fiókban valójában kizárólag az ő magánérdekéből, azaz magáncélból tárolt adatok kezelése mint kizárólag személyes vagy otthoni tevékenység keretében végzett adatkezelés – kívül esik az általános adatvédelmi rendelet alkalmazási körén, a munkáltató esetén ez nem fordulhat elő. Az ilyen esetekben tehát egy igen sajátos együttes adatkezelési helyzet áll elő, amely esetben a munkáltató mindenképpen adatkezelőnek minősül, a munkavállaló pedig – jogi értelemben legalábbis – nem feltétlenül.

A fentiek mellett fontos továbbá, hogy a munkáltató és a munkavállaló közötti jogviszonyból adódóan a munkáltatóé az adatkezelés jogszerűségéért való elsődleges felelősség, hiszen az ő számára állnak elsődlegesen rendelkezésre azok az eszközök (belső szabályozási és technikai operatív intézkedések), amelyekkel a jogszerűség biztosítható. Így az ő felelőssége e helyzet felismerése, és megfelelő munkáltatói intézkedésekkel ennek kezelése, így közös adatkezelés esetén az adatkezelés részleteiről való megállapodás, az adatkezeléssel összefüggő felelősségi viszonyoknak a szabályozása is (lényegében az általános adatvédelmi rendelet 26. cikkének megfelelően). Végezetül alapvető fontosságú, hogy az a tény, hogy a munkavállaló magáncélú személyes adatai vonatkozásában a munkáltató adatkezelőnek minősül, nem jelenti egyúttal azt is, hogy az ilyen célból kezelt személyes adatok kezelése a részéről minden esetben jogszerű, hiszen ha a munkáltató oldalán nem azonosítható ezen adatok kezelésének semmilyen jogszerű célja, illetve a 6. cikk (1) bekezdése szerinti jogalapja, akkor az ilyen adatok tároláson kívüli kezelése nem lesz jogszerű, a munkáltató részéről az ilyen személyes adatok nem használhatóak. A jogalap nélküli adatkezelésnek elsődlegesen az az általános jogszerű következménye, hogy a munkáltató – amint értesül ezen adatok kezelésének tényéről – megszünteti az ilyen adatok kezelését, azaz törli ezeket az e-mail-fiókból. A jelen ügyhöz hasonló helyzetben ugyanakkor az adatok törlése mint adatkezelési művelet – különösen ha a munkavállaló ténylegesen közös adatkezelőnek lenne tekinthető az adott esetben – csak a munkavállaló érdekeinek figyelembe vételével, és mindenekelőtt az adatkezelés tisztességességére vonatkozó követelménynek a betartásával valósítható meg jogszerűen. A munkáltatónak mint adatkezelőnek e vonatkozásban mindenekelőtt tájékoztatnia kell a munkavállalót a tervezett adatkezelési műveletről és lehetőséget kell biztosítania számára, hogy az adatok kezelését (törlését) kontrollálhassa, és – ha a kérdéses adatok törlése esetén azok a munkavállaló számára a továbbiakban már nem lennének elérhetők – a munkáltató által nem kezelhető adatokat a maga számára saját eszközre mentse. Értelemszerűen a munkáltató jogszerű adatkezelése alá eső adatok vonatkozásában – éppen a munkáltatót mint adatkezelőt terhelő kötelezettségek, így különösen az adatbiztonsági követelmények miatt – az ilyen adatmentést pedig a munkáltatónak joga és kötelezettsége felügyelni annak érdekében, hogy az valóban csak a magáncélból kezelt adatokra korlátozódjon. Egy olyan eljárás és mechanizmus kialakítása és megvalósítása szükséges tehát, ahol lehetőség szerint mindkét fél kontrollálja az adatok „szétválogatásának” folyamatát, és ennek során az általa jogszerűen nem kezelhető adatok csak az adat e minőségének megállapításához, a folyamat ellenőrzéséhez legszükségesebb körére korlátozódjon.1 A fentiek fényében kell megítélni azon munkavállaló személyes adatainak a munkáltatója általi kezelését is, aki – amellett hogy munkahelyi célból használja az e-mail-fiókot – magáncélból is igénybe veszi a munkáltatója által biztosított e-mail-fiókot. Az ilyen helyzetekben az adatkezelés jogszerűségét, az adatvédelmi követelményeknek való megfelelőségét e tekintetben a fentieknek megfelelően kell megítélni.

1 Ha a munkáltató kifejezetten megengedi a magáncélú használatot mint adatkezelő, abban az esetben is csak akkor lesz jogszerű az adatkezelés a részéről, ha ennek az általános adtavédelmi rendelet 6. cikk (1) bekezdése szerinti megfelelő jogszerű alapja van. Pusztán az ilyen engedély ugyanakkor önmagában nem elegendő, ehhez szükséges a munkavállaló megfelelő tájékoztatása, az ilyen adatkezelés részleteinek pontos, a munkavállalóval konszenzusos alapon, tényleges megállapodás formájában való rendezése – attól is függően, hogy csak a munkavállaló adatairól vagy általa harmadik személyek adatainak kezeléséről is szó van-e.

IV. 2. A magáncélú leveleket tartalmazó e-mail archívumok IV. 2. 1. Általános megjegyzések A Kérelmező kifogásolta, hogy a 2017. április 1. napján megszűnt jogviszonyát követő évben, 2018 júliusában – hozzájárulása nélkül – a 2017. április 1. napja előtt keletkezett kórházi elektronikus levelezése inaktivált e-mail-fiókjai visszaállítását rendelte el korábbi munkahelyének jelenlegi vezetése, mert kerestek egy dokumentumot. A Kérelmező nyilatkozata szerint a fiókokban az ő és más személyek személyes adatait és magáncélú levelezéseit ismerhette meg a Kötelezett. Jelen ügyben két adatkezelési műveletről van szó. Az egyik a Kérelmező magáncélú leveleit tartalmazó e-mail-fiókok archívumainak tárolása, a másik az archívumokban történő keresés. A Kérelmező kérelmében alapvetően az archivált e-mail-fiókjaiban történő keresést kifogásolta, azonban tekintettel arra, hogy a két adatkezelési művelet egymással összefügg, a keresés, megtekintés, nem valósulhatott volna meg az e-mailek-fiókok tárolása nélkül, ezért a Hatóság vizsgálta az elektronikus levelek megőrzésének jogszerűségét is. A Kötelezett által a Hatóság részére megküldött archivált e-mail-fiókok tartalmának áttekintése során a Hatóság megállapította, hogy a Kérelmező által használt e-mail-fiókok, a levelezései, a Kérelmező számos magáncélú levelezéseit (például többek között családjára vonatkozóan családfák, illetve baráti levelezések) is tartalmazták, így a Kötelezett a Kérelmező e-mail-fiókjai archiválásával a Kérelmező ezen magáncélú levelekben található személyes adatait is tárolta és jelenleg is tárolja, illetve azokban keresést végzett. IV. 2. 2. Az adatkezelés célja és jogalapja A Kötelezett az elektronikus postafiókok archiválásának céljaként az adatbiztonság növelésére hivatkozott, melyet a Hatóság általában megfelelő, legitim adatkezelési célnak ismer el, mivel a hivatali működéshez, munkavégzéshez szükséges bizonyos munkavégzéssel összefüggő dokumentumokat megőriznie és esetleges adatbiztonsági probléma esetén helyreállítania kell a munkafolyamatok folytonosságának biztosítása érdekében. A Hatóság elfogadhatónak tartja adott esetben a munkavállalók magáncélra is használt e-mail-fiókjai tartalmának tárolását azon okból, hogy a hivatali működéshez, munkavégzéshez szükséges dokumentumokat megőrizze a Kötelezett a munkafolyamatok folytonosságának biztosítása érdekében, meghatározott ideig, azonban ehhez megfelelő jogalappal kell rendelkeznie, és különbséget kell tenni a levelek tartalma között aszerint, hogy azok a munkavégzéssel függnek össze, vagy magánjellegű e-mailekről van szó. Ezen célokból a munkaviszony fennállta alatt mind a munkavégzési, mind a magáncélú levelezések esetében az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja szerinti jogalap teszi lehetővé biztonsági mentések készítését – az információbiztonsági szabályokra is tekintettel –, mely jogalap szerint a személyes adatok kezelése jogszerű lehet akkor is, ha az adatkezelés közérdekű – vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett – feladat végrehajtásához szükséges. A munkaviszony megszűnése után szintén ezen célból és jogalap alapján archiválhatók, kezelhetők az elektronikus levelek. A kifejezetten magánjellegű levelezéseket azonban tekintettel arra is, hogy azok kezelése a munkáltató oldaláról nem lehet szükséges semmilyen szempontból, főszabály szerint nem lehet archiválni. A Hatóság abban az esetben fogadná el ezen levelezések puszta tárolását – minden más adatkezelési műveletet kizárva – biztonsági mentési célból, ha a munkavégzési célú és a magáncélú levelek egységes adatbázisként történő mentése következtében a magáncélú levelek leválogatása aránytalanul nagy, észszerűtlen erőfeszítést igényelne a munkáltató részéről. Ennek indokoltságát, szükségességét azonban a munkáltatónak kell bizonyítania. A munkáltatónak továbbá a rendszer működéséről megfelelően tájékoztatnia kell a munkavállalókat, megjelölve számukra azt – többek között –, hogy milyen időközönként kerül sor biztonsági mentésre a rendszerben, biztosítva ezzel például számukra azt, hogy a mentés előtt ténylegesen törölni tudják magánlevelezéseiket. A Kötelezett mindezzel szemben azonban a Kérelmező e-mail-fiókjai archiválásának jogalapjaként a Kérelmezővel kötött munkaszerződést jelölte meg. Azon jogalapokat, amelyekre hivatkozással személyes adatok kezelése jogszerű lehet, az általános adatvédelmi rendelet 6. cikk (1) bekezdése taxatív módon sorolja fel. Noha az általános adatvédelmi rendelet 88. cikke a foglalkoztatással összefüggő adatkezelések vonatkozásában a nemzeti jogalkotók számára – a rendelkezésben meghatározott keretek között – szabályozási lehetőséget biztosít, ezen nemzeti jogalkotási intézkedések a 6. cikk (1) bekezdésében meghatározott jogalapok körét nem bővíthetik. Ebből fakadóan az adatkezelő az általános adatvédelmi rendelet 6. cikk (1) bekezdés a)-f) pontjában meghatározott jogalapok valamelyikére alapozhatja adatkezelésének jogszerűségét, ezen jogszerűségi feltételek teljesülésének hiányában – pusztán valamely nemzeti jogi rendelkezés – az adatkezelés jogszerűségének alátámasztására nem elégséges, még akkor sem, ha maga az általános adatvédelmi rendelet egyes adatvédelmi jogalapok vonatkozásában kifejezetten megköveteli a nemzeti jogalkotói intézkedést.2 A Hatóság álláspontja szerint a munkaszerződésre mint jogalapra azért nem lehet hivatkozni, mivel az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti, úgynevezett szerződéses jogalap akkor alkalmazható, ha az adatkezelés a szerződés teljesítéséhez szükséges. Az általános adatvédelmi rendeletet megelőzően hatályos adatvédelmi irányelv3 29. cikke szerint létrehozott Adatvédelmi Munkacsoport4 az adatkezelő 95/46/EK irányelv 7. cikke szerinti jogszerű érdekeinek fogalmáról szóló 6/2014. számú véleményében5 – melyben írtak az általános adatvédelmi rendelet alkalmazási időszakában is értelmezésül szolgálhatnak – továbbá akként fogalmazott a III. 2. 2. pontjában, hogy a szerződéses jogalapot szigorúan kell értelmezni. A jogalap nem alkalmazható olyan helyzetekre, ahol az adatkezelés valójában nem a szerződés teljesítéséhez szükséges, hanem azt az adatkezelő egyoldalúan az érintettre erőlteti. Ebből következően jelen ügyben tehát az archivált e-mail-fiókok tárolásának jogalapjaként a Kötelezett nem hivatkozhat a munkaszerződésre, mivel a szerződés teljesítéséhez ezen adatkezelés nem szükséges. Mindez azonban nem jelenti azt, hogy a Kötelezettnek ne lehetne jogalapja a Kérelmező archivált e-mail-fiókjai tárolására. E következtetés önmagában abból sem vonható le szükségszerűen, hogy az adatkezelő az adatkezelést mely, az általános adatvédelmi rendelet 6. cikk (1) bekezdésében meghatározott jogalapra alapozta.

2 Vö. pl.: általános adatvédelmi rendelet 6. cikk (3) bekezdés.

3 A személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló 95/46/EK európai parlamenti és tanácsi irányelv

4 Az Adatvédelmi Munkacsoport az általános adatvédelmi rendelet alkalmazásának kezdőnapját megelőzően az adatvédelemmel, valamint a magánélet védelmével kapcsolatos kérdésekkel foglalkozó, független európai tanácsadó szerv volt, helyébe az Európai Adatvédelmi Testület lépett.

5 A 6/2014. számú vélemény az alábbi linkről érhető el: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_hu.pdf

Itt jegyzendő meg azonban az is, hogy már önmagában az, ha az adatkezelő az adatkezelést megelőzően nem megfelelően azonosította az adatkezelés jogalapját, szükségszerűen vezethet az általános adatvédelmi rendelet 6. cikkében meghatározottakon túli rendelkezéseiben rögzített, az adatkezelőt terhelő kötelezettségek betartása tekintetében mulasztására, vagy nem megfelelő teljesítésére és így e jogsértés tekintetében bármely, az általános adatvédelmi rendeletben meghatározott jogkövetkezmény alkalmazására. A fentiek alapján tehát a közfeladatot ellátó szervek esetében az adatkezelés jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja szerinti jogalap lehet, melynek értelmében a személyes adatok kezelése akkor jogszerű, ha az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges. Mivel a vitatott adatkezelést a Kötelezett a Kérelmező jogviszonyának fennállása alatt közfeladatot ellátó szervként az iratkezelési, információbiztonsági szabályok betartása érdekében hajtotta végre, az e-mail-fiókok egységes adatbázisként történő, meghatározott ideig történő tárolásának szükségessége a jogi szabályozásból és nyilatkozataiból adódóan megállapítható. Ebből következően a Kötelezett rendelkezhet jogalappal az e-mail-fiókok teljes archívumainak megőrzésével összefüggő adatkezelés tekintetében – beleértve ebbe mind a magáncélú, mind a munkavégzési célú e-maileket –, mely az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja szerinti jogalap. Ugyanakkor ez a tárolás nem jelent korlátlan ideig történő adatmegőrzést. Az ezzel ellentétes gyakorlat ugyanis az egységes adatbázisban lévő személyes adatok tekintetében cél nélküli, készletező adatkezeléshez vezet, amely a célhoz kötött adatkezelés elvét, valamint a következő pontban részletezett korlátozott tárolhatóság elvét is sérti. Ezen kívül az iratkezelési szabályok alapján a munkavégzéssel összefüggő elektronikus dokumentumokat sem email-fiókokban lehet tárolni, hanem ezen szabályoknak megfelelően elektronikus iktatórendszerben, vagy papír alapon, iktatva, iratanyagként kell megőrizni. IV. 2. 3. A korlátozott tárolhatóság elve Figyelembe veendő tehát az is, hogy az időtartam megjelölése nélküli, korlátlan megőrzési idő úgynevezett készletező adatkezeléshez vezet, amely ellentétes a korlátozott tárolhatóság elvével. Ez következik az általános adatvédelmi rendelet (39) preambulumbekezdéséből is, mely szerint a személyes adatok tárolása a lehető legrövidebb időtartamra korlátozódhat, és ennek biztosítása érdekében az adatkezelőnek tényleges törlési vagy rendszeres felülvizsgálati határidőket kell megállapítania. Ilyen határidőket a Kötelezett azonban nem határozott meg informatikai biztonsági szabályzatában. A Hatóság rendelkezésére álló, a MailStore archiváló rendszer megrendeléséről szóló dokumentumok azonban akként fogalmaznak, hogy „nincs több elveszített e-mail” és „a MailStore Server teljesen megszünteti az adatvesztés kockázatát”. Azaz a rendszer – az abból történő manuálisan végzett törlést leszámítva – korlátlan ideig megőrzi az archivált e-mailtartalmakat, melyet alátámasztanak a Kötelezett által megküldött, a Kérelmező levelezéseit a vizsgált időszakban is tartalmazó állományok. Ez a fajta tárolás pedig a korlátozott tárolhatóság elvével ellentétes adatkezelésnek minősül. Az a Kötelezett által hivatkozott körülmény, mely szerint lehetőséget biztosítottak a Kérelmezőnek postafiókja karbantartására, a Kérelmező vonatkozásában egyfajta enyhítő körülményként értékelendő, azonban általánosságban nem mentesíti a Kötelezettet a rendszeres időközönkénti tényleges törlési kötelezettsége alól, illetve azon körülmény alól, hogy korlátlan ideig tárolta a Kérelmező és adott esetben az érintett további munkavállalók személyes adatait tartalmazó magáncélú levelezéseit a rendszer vizsgált időszak szerinti beállításai alapján. A Kötelezett nyilatkozata szerint továbbá a Kérelmezőnek nincs sem hozzáférése, sem ráhatása az archívumokra.

Minderre tekintettel a Hatóság megállapítja, hogy a Kérelmező magánlevelezései konkrét határidő nélküli megőrzésével a Kötelezett megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés e) pontja szerinti korlátozott tárolhatóság elvét. IV. 2. 4. Megfelelő technikai, szervezési intézkedések Ezen túlmenően a Hatóság, mivel általánosságban a munkavállalói és a kérelmezői e-mail-fiókok és azok tartalmának archiválásával szorosan összefügg az azokra vonatkozó megfelelő szabályozás és az adatvédelmi követelményeknek való megfelelés biztosítása, vizsgálta ezzel összefüggésben az általános adatvédelmi rendelet szerinti megfelelő technikai, szervezési intézkedéseknek való megfelelést. A Hatóság rendelkezésére álló információk alapján – a vizsgált időszakban, 2018. május 25. napjától az adatvédelmi hatósági eljárás megindulásának időpontjáig, 2018. július 28. napjáig – a Kötelezett nem rendelkezett belső szabályzattal az e-mail-fiókok és azok tartalmának archiválására vonatkozóan. Az adatkezelés belső dokumentumban történő szabályozása, az adatkezelési műveletek rögzítése azért szükséges, mert az adatkezelések tervezésétől azok folytatásán át a célok megvalósulásáig tett valamennyi lényegi lépés – így többek között az adatkezelés időtartamának, a személyes adatok kezelésére vonatkozó törlési, illetve felülvizsgálati határidők megállapításának – adminisztrálását, dokumentálását is magában foglalja, és egyben az adatvédelmi követelményeknek való megfelelés igazolására való képességet feltételezi. Ezen elv a gyakorlatban – többek között – az adatkezelők számára az általános adatvédelmi rendeletben előírtaknak megfelelő szabályzatok, eljárásrendek szakszerű rögzítését irányozza elő. A megfelelő technikai, szervezési intézkedések magukban foglalják a beépített és alapértelmezett adatvédelem teljesülését is, vagyis azt, hogy az elvek és az adatvédelmi követelmények érvényesülését garanciák beépítésével segíti elő az adatkezelő. Tekintettel arra, hogy a Kötelezett nem rendelkezett sem ténylegesen, sem szabályozás szintjén az e-mailek tartalmának megőrzéséről, illetve nem állapított meg tényleges törlési, valamint rendszeres felülvizsgálati határidőket, annak érdekében, hogy biztosítsa az adatvédelmi elvek érvényesülését, nem tette meg a szükséges megfelelő technikai, szervezési intézkedéseket, megsértve ezzel az általános adatvédelmi rendelet 24-25. cikkét mind a munkavállalók, mind a Kérelmező vonatkozásában. A Hatóság álláspontja szerint a Kötelezettnek egy belső szabályzatot célszerű megalkotnia a munkavállalók rendelkezésére bocsátott e-mail-fiókok használatának szabályairól. A belső szabályzatban többek között az alábbiakra szükséges kitérni:

használhatók-e magáncélra ezek az e-mail-fiókok6, ezen e-mail-fiókokról biztonsági másolat készítésének és megőrzésének, inaktiválásuk szabályozására, illetve arra, hogy mikor kerül sor az e-mailek végleges törlésére, az e-mail-fiókok használata ellenőrzésének, áttekintésének részletes szabályaira, azt ki és milyen módon hajthatja végre a szervezeten belül, milyen jogai vannak az érintett munkavállalónak az eljárás során.

6 A vizsgált időszakban hatályos Mt. nem tartalmazott erre vonatkozó szabályt, azonban a 2019. április 26. napjától hatályos Mt. 11/A. § (2) bekezdése szerint a munkavállaló a munkáltató által a munkavégzéshez biztosított számítástechnikai eszközt kizárólag a munkaviszony teljesítése érdekében használhatja – eltérő megállapodás hiányában.

IV. 2. 5. A Kötelezett adatkezelői felelőssége A Kötelezett hivatkozott arra, hogy a Kérelmezőnek tudomása volt a rendszer működéséről, mivel azt vezetőként korábban ő rendelte meg. A Hatóság álláspontja szerint ezen körülmény alapján elvárható lett volna a Kérelmezőtől az is, hogy felmérje a rendszer adatvédelmi vonatkozásait. Figyelembe veendő ugyanakkor, hogy az Adatvédelmi Munkacsoport az „adatkezelő” és az „adatfeldolgozó” fogalmáról szóló 1/2010. számú véleményében7 – melyben írtak az általános adatvédelmi rendelet alkalmazási időszakában szintén értelmezésül szolgálhatnak –, annak III. 1. c) pontjában kifejtette, hogy az adatkezelésért, az adatvédelmi szabályokból eredő kötelezettségekért az adatkezelő felelős. Ez alól kivétel, amikor egyértelműen egy természetes személy felelőssége állapítható meg azzal, hogy ilyen esetben is, például, amikor konkrét természetes személyt neveznek ki, hogy biztosítsa az adatvédelmi elvek betartását, ez a személy nem lesz adatkezelő, hanem annak a jogi személynek a nevében jár el, amely adatkezelői minőségében továbbra is felelős az alapelvek megsértése esetén. Figyelembe veendő továbbá az a körülmény, hogy a Kérelmező több, mint egy éve nem töltötte be az igazgatói tisztséget, amikor az e-mail-fiókjainak archivált tartalmát ellenőrizték, továbbá, hogy abban az időszakban is más töltötte már be ezt a pozíciót, amikor az általános adatvédelmi rendeletnek való megfeleléshez szükséges intézkedéseket tették. A Hatóság a hasonló esetek elkerülése érdekében mindenekelőtt megfelelő intézkedésnek tartja, ha munkáltató részletesen tájékoztatja a munkavállalókat az archiválásról és annak szabályairól. A Hatóság elfogadhatónak tartja továbbá, ha a megszűnő foglalkoztatási jogviszonyok esetén a munkáltató az érintett munkavállaló számára lehetőséget biztosít arra, hogy törölje magáncélú levelezéseit az általa használt e-mail-fiókokból. A Hatóság álláspontja szerint ez a törlés megvalósítható az érintett munkavállaló utolsó munkanapján a munkáltatói jogkör gyakorlója, a munkavállaló szervezeti egységének vezetője, vagy a szervezetben döntésre jogosult más munkavállaló jelenlétében, elkerülve azt, hogy adott esetben olyan dokumentumok is törlésre kerüljenek, amelyek nem a munkavállaló magáncélú adatai. A jogszerűség érdekében a Hatóság javasolja ezen törlési folyamatról jegyzőkönyv vezetését. Minderről a Hatóság álláspontja szerint a munkáltatónak belső szabályzatot kell alkotnia annak érdekében, hogy az elszámoltathatóság elve alapján igazolni tudja, hogy minden szükséges intézkedést megtett a megszűnt munkaviszonyú érintett személyes adatainak védelme érdekében. Amennyiben a munkáltató mindezen intézkedései ellenére a munkavállaló nem él törléshez való jogával a jogviszony megszűnését követő észszerű határidőn belül, és ezt a munkáltató igazolni tudja, a munkáltatót nem terheli felelősség. A Hatóság mindezek mellett javasolja azt is, hogy amennyiben magáncélra is használhatók az e-mail-fiókok, azokban különálló mappát hozzanak létre a magáncélú levelezésekre, kizárva azokat a biztonsági mentések alól, és egyúttal lehetővé téve adott esetben a munkaviszony megszűnése után azok érintett számára hozzáférhetővé tételét, illetve tényleges törlését. IV. 3. A magáncélú leveleket tartalmazó e-mail-archívumokban történő keresés IV. 3. 1. Az adatkezelés célja és jogalapja A Kötelezett a Kérelmező archivált e-mail-fiókjaiban történő keresés céljaként a munkaviszony során keletkezett hivatalos dokumentumok megtalálására hivatkozott, az Mt. 11. §-ában foglaltak tiszteletben tartása mellett, míg jogalapjaként az érintett munkaviszonyát megalapozó munkaszerződést jelölte meg.

7 Az 1/2010. számú vélemény az alábbi linkről érhető el: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp169_hu.pdf

A Hatóság a Kötelezett által megjelölt adatkezelési célt megfelelő, legitim adatkezelési célnak ismeri el, mivel a hivatali működéshez, munkavégzéshez szükséges dokumentumokat, azok elkeveredése esetén, a Kötelezettnek minden szükséges lépést meg kell tennie azok megtalálása érdekében, biztosítva ezzel a munkafolyamatok folytonosságát. Az e-mail-fiókokban történő dokumentumkereséssel összefüggő adatkezeléssel kapcsolatban a Hatóság álláspontja az, hogy, mint minden adatkezelés, így jelen esetben a Kérelmező magáncélú leveleit tartalmazó e-mail-fiókokban történő dokumentumkeresésekkel összefüggő adatkezelés esetében is, a Kötelezettnek megfelelő jogalappal kell rendelkeznie. Ebben az esetben a Kötelezettnek az intézkedései során be kellett tartania az adatvédelmi követelményeket. Jelen határozat IV. 2. 2. pontjában tett megállapításokra tekintettel a Kötelezett által hivatkozott munkaszerződésre a dokumentumkeresés kapcsán szintén nem lehet jogalapként hivatkozni, mivel az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti jogalap akkor alkalmazható, ha az adatkezelés a szerződés teljesítéséhez szükséges. Jelen ügyben azonban a dokumentumkereséssel összefüggő adatkezelés – a foglalkoztatási jogviszony megszűnésére is tekintettel – a munkaszerződés teljesítéséhez nem szükséges, így ezen jogalapra a Kötelezett nem hivatkozhat. Mindez azonban – ahogyan az archivált e-mail-fiókok tárolása esetében sem – nem jelenti azt, hogy a Kötelezettnek ne lehetett volna jogalapja a Kérelmező archivált e-mail-fiókjaiban történő, munkavégzéssel összefüggő levelek keresésre, mivel közfeladatot ellátó szervként az iratkezelési, információbiztonsági szabályokból és nyilatkozataiból adódóan az adatkezelés a közérdekű feladatai végrehajtásához való szükségessége megállapítható. Ebből következően a Kötelezett rendelkezett jogalappal az e-mail-fiókok archívumaiban történő, munkavégzési célú levelekben történő kereséssel összefüggő adatkezelés tekintetében, mely az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja szerinti jogalap. Ugyanakkor mindez a Kérelmező e-mail-fiókjaiban található, kizárólag munkavégzéssel összefüggő leveleire vonatkozik. A Kérelmező magánlevelezéseiben történő keresésre – mivel azok nem kapcsolódnak a foglalkoztatási jogviszonyhoz – a Kötelezett nem jogosult jogszerű adatkezelési cél és megfelelő jogalap hiányában. Ebből következően a Hatóság megállapítja, hogy a Kötelezett a Kérelmező kifejezetten magánjellegű leveleit is tartalmazó e-mail-fiókjaiban történő kereséssel megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontját és az általános adatvédelmi rendelet 6. cikkét. IV. 3. 2. A tisztességes adatkezelés követelménye A Kötelezett nyilatkozata szerint az archívumokban történő keresést az intézmény szervezeti és működési szabályzata szerinti főigazgató-helyettese rendelte el, szóban. A nyilatkozat szerint a keresés célzottan, feladó és levél tárgya szerint történt, melyről a Kérelmezőt nem tájékoztatták, arra munkáltatói jogkörben került sor. A keresésnél az intézmény főigazgatóságáról az orvosigazgató és egy másik munkatárs, illetve az intézmény informatikai főosztályáról szintén egy munkatárs volt jelen. A keresett e-mailt azonban nem találták meg az archívumban, ezért nem történt dokumentummentés. Minderre tekintettel a Kérelmező nem lehetett jelen a dokumentumkeresésnél, és így nem volt módja arra, hogy a nem munkavégzési célú leveleit törölje, töröltesse vagy azokról maga számára másolatot készítsen.

Még ha tényszerűen igaz is, hogy az email-fiók a Kötelezett tulajdonában, illetve rendelkezése alatt áll, ezért annak áttekintését, egy abban történő esetleges dokumentumkeresést anélkül is meg tud valósítani, hogy ahhoz a Kérelmező bármilyen közrehatása szükséges lenne, ez nem jelenti, hogy az ilyenfajta e-mail-fiók áttekintés és abban történő dokumentumkeresés jogszerű is lenne. Ezen adatkezelésnél ugyanis a tisztességes adatkezelés elvéből – a fentebb ismertetett adatkezelési viszonyokból adódóan is – egy olyan követelmény is származik, hogy az e-mail-áttekintése során főszabályként biztosítani kell a munkavállaló jelenlétét. Az adatkezelés tisztességes volta a jogszerűséget is magában foglaló követelmény, az érintett információs önrendelkezési jogának, és ezen keresztül magánszférájának, emberi méltóságának tiszteletben tartását jelenti: az érintett nem válhat kiszolgáltatottá az adatkezelővel, sem más személlyel szemben. Az adatalany mindvégig alanya kell, hogy maradjon a személyes adatok kezelésével járó folyamatnak, és nem válhat annak puszta tárgyává. A munkavállaló jelenléte nélküli e-mail-fiók áttekintés alapvetően ellentétes a tisztességes adatkezelés elvével, mivel a munkavállaló magánszférájába való behatolásnak minősül. A munkavállaló előzetes tájékoztatása és – személyes, vagy ha ez nem biztosítható, meghatalmazottja, képviselője – jelenléte az e-mail-fiók áttekintése, illetve a dokumentumkeresés során azért is szükséges, mert a munkavállaló és harmadik személyek különböző személyes adatai lehetnek benne a levelezőrendszerben, amelyek kezelésére a munkáltató – a személyes adat e jellege ellenőrzésén túl – nem jogosult. Ha az e-mail-fiók áttekintés és dokumentumkeresés során a munkavállaló – képviselője, meghatalmazottja – jelen van, és jelezheti valamely személyes adatot tartalmazó e-mail tartalmának megtekintése előtt, hogy az magáncélú leveleket tartalmaz, akkor ezzel biztosítható, hogy a munkáltató ne sértse meg ezt a tilalmat. Az e-mail fiók áttekintésének körülményeitől függően ugyanakkor elképzelhetőek olyan helyzetek, amikor a munkavállaló személyes jelenléte objektív okokból nem biztosítható. A Hatóság – a főszabálytól eltérően – egyes rendkívüli esetekben ezért elfogadhatónak tartja azt is, ha a munkavállaló nincs jelen, például azonnali intézkedést igénylő esetekben, vagy volt munkavállaló esetén. Ebben az esetben is azonban egyrészt tájékoztatást kell nyújtani a munkavállaló számára a tervezett munkáltatói intézkedésről, másrészt lehetőséget kell biztosítani számára arra is, hogy ha ő nem is tud jelen lenni, helyette meghatalmazottja vagy képviselője legyen jelen. Amennyiben ezen megelőző intézkedések – előzetes tájékoztatás és a munkavállaló vagy meghatalmazottja, képviselője jelenlétének biztosítása – ellenére a munkavállaló nem érhető el vagy nem jelenik meg sem személyesen, sem képviselője útján, akkor távollétében, független harmadik személy alkalmazásával is hozzá lehet férni az e-mail-fiókjához az azonnali intézkedések végrehajtása érdekében. Ilyen esetben is meg kell ugyanakkor mindent tenni annak érdekében, hogy az e-mailfiók áttekintésének körülményei olyan módon legyenek rögzítve, hogy annak pontos menete, az annak során megismert adatok köre, azaz a ténylegesen elvégzett adatkezelési műveletek, és azok jogszerűsége utólag ellenőrizhető legyen – az elszámoltathatóság elvéből is következően. Ezen fenti követelményeknek azonban a Kötelezett nem tett eleget, mert, bár nyilatkozata szerint célzottan, a levél tárgyára keresve keresték a dokumentumot, nem tett semmilyen intézkedést sem annak érdekében, hogy a Kérelmező előzetesen tudomást szerezzen az archivált e-mail-fiókjaiban történő dokumentumkeresésről, sem annak érdekében, hogy ekkor a jelenlétének lehetőségét biztosítsa. A Hatóság álláspontja szerint a Kötelezettnek ez a magatartása az adatkezelés tisztességességét sérti, hiszen a Kérelmezőnek így nem volt lehetősége a saját – és adott esetben a levelezésekben érintett más, harmadik személyek – személyes adatainak védelme érdekében eljárva jelezni a Kötelezettnek a levelek magáncélú, személyes jellegét. A Kötelezett így kontroll nélkül férhetett hozzá a Kérelmező – és adott esetben harmadik személyek – magáncélú levelezéseihez. A Kérelmező tudomása nélküli archivált e-mail-fiókjaiban történő dokumentumkeresés tehát ellentétes a tisztességes adatkezelés elvével.

Mindebből következően a Hatóság a Kérelmező jelenléte lehetőségének biztosítása érdekében tett lépések hiánya miatt megállapítja, hogy a Kötelezett adatkezelése nem felelt meg a tisztességes adatkezelés elvének, megsértve ezzel az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontját. IV. 3. 3. A megfelelő előzetes tájékoztatás követelménye és az átláthatóság elve Ahhoz, hogy az adatkezelés jogszerű és átlátható legyen, további követelmény, hogy a munkáltatónak előzetesen részletes tájékoztatást kell biztosítania a munkavállalók számára általánosságban az e-mail fiók adott esetben történő áttekintésének lehetőségéről, illetve a konkrét áttekintés, dokumentumkeresés előtt is, ezért a Hatóság vizsgálta a tájékoztatás meglétét is. A tájékoztatásban a munkáltatónak ki kell térnie az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdés szerinti adatkezelési körülményeire, azok közül kiemelt figyelmet fordítva arra, hogy:

milyen célból, milyen munkáltatói érdekek miatt kerülhet sor az e-mail-fiók áttekintésére (általános adatvédelmi rendelet 13. cikk (1) bekezdés c) és d) pont), a munkáltató részéről ki, milyen módon végezheti az áttekintést (általános adatvédelmi rendelet 13. cikk (1) bekezdés a) pont mint az adatkezelő nevében az áttekintést folytató képviselője), milyen szabályok szerint kerülhet sor az adatkezelésre (fokozatosság elvének betartása) és mi az eljárás menete (általános adatvédelmi rendelet 13. cikk (1) bekezdés c) pont), milyen jogai és jogorvoslati lehetőségei vannak a munkavállalónak az adatkezeléssel kapcsolatban (általános adatvédelmi rendelet 13. cikk (2) bekezdés b) és d) pont). Az általános tájékoztatáson túlmenően lehetőleg a konkrét intézkedés előtt is tájékoztatni kell a munkavállalót arról, hogy milyen munkáltatói érdek miatt kerülhet sor az adatkezelésre. A Kötelezett az előbb kifejtettekkel ellentétben azonban semmilyen tájékoztatást nem nyújtott a Kérelmező számára az adatkezelésről. Mindezek alapján a Hatóság megállapítja, hogy a Kötelezett, mivel nem nyújtott előzetesen sem általánosságban, sem a konkrét esetben a Kérelmező e-mail-fiókjainak közvetlen áttekintése és a dokumentumkeresés előtt tájékoztatást az adatkezelésről és az azzal kapcsolatos információkról, megsértette az általános adatvédelmi rendelet 13. cikkét. Tekintettel továbbá arra, hogy az általános adatvédelmi rendelet (60) preambulumbekezdése értelmében az átlátható és a fent hivatkozott tisztességes adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljairól, továbbá minden olyan információról, amelyek a tisztességes és átlátható adatkezelés biztosításához szükségesek, mely követelménynek a Kötelezett nem tett eleget, megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átláthatóság elvét is. IV. 4. Az elszámoltathatóság követelménye A Kötelezett az eljárásban nem igazolta, hogy a Kérelmező archivált e-mail-fiókjainak áttekintését megelőzően bármilyen, az adatkezeléssel kapcsolatos technikai, szervezési intézkedést tett volna, ideértve az előzőekben kifejtetteknek megfelelően az e-mail-fiókok tárolását is. A Kötelezett az archiválásra és a dokumentumkeresésre tekintettel ugyan az adatkezelések szükségességét igazolta, azonban az adatkezelőnek az adatkezelésért viselt objektív felelősségéhez igazodó gondos adatkezelésből fakadó kötelezettségei mellőzésével összességében jogsértő módon valósította meg az adatkezeléseit. Ezzel a magatartásával megsértette az általános adatvédelmi rendelet 5. cikk (2) bekezdésében meghatározott elszámoltathatóság alapelvi követelményét is.

IV. 5. Szankcionálás A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kötelezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése, az Infotv. 61. § (4) bekezdés b) pontja és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes releváns körülményét, és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, mert a kérelem tárgyát képező archivált e-mailfiókok tárolása és azokban történő dokumentumkeresések mint adatkezelések során a Kötelezett számos adatkezelőre háruló kötelezettségét megszegte, ezért bírság kiszabása szükséges. A bírságkiszabással a Hatóság speciális prevenciós célja az, hogy ösztönözze a Kötelezettet arra, hogy adatkezelési tevékenységét tudatosan folytassa, és az érintetteket ne tárgyként, hanem valóban jogosultként kezelje, biztosítva az ebből eredő jogaik, a személyes adataik kezelése feletti kontroll gyakorlásához szükséges információkat, egyéb feltételeket. Általában pedig szükséges valamennyi hasonló helyzetben lévő adatkezelő számára világossá tenni, hogy a személyes adatok kezelése fokozott tudatosságot igényel, nem lehet e téren a józan belátásra hagyatkozva bármilyen proaktív intézkedések megtétele nélkül működni, gondatlanul bízva abban, hogy nem származik hátrány a személyes adatok ténylegesen kontrollálatlan kezeléséből. Az ilyen hanyag magatartás az érintettek jogait figyelmen kívül hagyja, és mint ilyen, nem maradhat szankcionálatlanul. A Hatóság a bírság összegének meghatározása során mindenekelőtt figyelembe vette, hogy a Kötelezett által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) és b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek. A Hatóság a bírság összegének meghatározása során súlyosbító körülményként vette figyelembe, hogy az archivált e-mail-fiókok tárolása – benne a Kérelmező magáncélú levelezéseivel – hosszú ideje, a Kérelmező foglalkoztatási jogviszonyának megszűnésétől, 2017. április 1. napjától tart, mely időtartamból a Hatóság az általános adatvédelmi rendelet alkalmazásának kezdőnapjától, a 2018. május 25. napjától kezdődő időszakot vette figyelembe [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont].

A Hatóság enyhítő körülményként vette figyelembe, hogy

1. a Kötelezett elmarasztalására az általános adatvédelmi rendelet megsértése miatt még nem került sor [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont];

2. bár az adatkezelésért, az adatvédelmi szabályokból eredő kötelezettségekért a Kötelezett mint adatkezelő felelős, ugyanakkor a Kérelmező mint korábbi igazgató döntött az e-maileket archiváló rendszer bevezetéséről, így elvárható lett volna tőle a rendszer jellemzőinek ismerete [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont];

3. a Kérelmező foglalkoztatási jogviszonyának megszűnésekor lehetősége lett volna postafiókjait karbantartani, törölni személyes levelezéseit, személyes adatait, tekintettel arra, hogy legalább egy hónappal korábban tudta jogviszonya megszűnésének időpontját, továbbá a jogviszonyának megszűnését követően egy hónapig még hozzáfért e-mailfiókjaihoz, így ezen időszak alatt is lépéseket tehetett volna magánlevelezései törlése érdekében [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont];

4. a Hatóság túllépte az ügyintézési határidőt [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont].

A Hatóság figyelembe vette továbbá, hogy a megállapított adatvédelmi jogsértések szándékosságra utaló körülmények hiányában gondatlan jellegűnek minősülnek [általános adatvédelmi rendelet 83. cikk (2) bekezdés b) pont]. A Hatóság figyelembe vette azt is, hogy az inaktivált e-mail-fiókokban személyes adatok különleges kategóriái is megtalálhatóak voltak, azonban azokkal a Kötelezett a dokumentumkeresés célzott jellegére tekintettel műveleteket nem végzett [általános adatvédelmi rendelet 83. cikk (2) bekezdés g) pont]. A Hatóság a bírságkiszabás nem tartotta relevánsnak a GDPR 83. cikk (2) bekezdés c), d), f), h), i), j) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem is értelmezhetők. A Kötelezett 2018. évi konszolidált beszámolója szerinti saját működési bevételeinek összege nagyságrendileg 1,3 milliárd forint volt. A kiszabott adatvédelmi bírság jelképes összegű és nem lépi túl a kiszabható bírság maximumát. A Hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százhúsz napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek.

V. Egyéb kérdések:

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. A határozat az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * Az Ákr. 135. § (1) bekezdés a) pontja szerint a kötelezett a törvényes kamatnak megfelelő mértékű késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget. A Ptk. 6:48. § (1) bekezdése alapján pénztartozás esetén a kötelezett a késedelembe esés időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni. A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettsége teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2019. december 11. Dr. Péterfalvi Attila elnök c. egyetemi tanár