Hungarian Data Protection Authority (NAIH): violation of closed data processing rules in criminal proceedings

…………………………………………………………………………………………………………………………………………………………..................... 1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu

Tárgy: határozat kérelemre indult adatvédelmi hatósági eljárásban Ügyszám: SZTF-33-1/2024. Előzmény: NAIH-1637/2023., NAIH-5415/2022.

HATÁROZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […]

(született: […], anyja neve: […]; a továbbiakban: Kérelmező1) és […] (született: […], anyja neve: […]; a továbbiakban: Kérelmező2) kérelmére a Budapesti Rendőr-főkapitányság XI.

kerületi Rendőrkapitányság [kézbesítve dr. Terdik Tamás r. vezérőrnagy BRFK rendőrfőkapitány útján (székhely: 1113 Budapest, Bocskai út 90.) (a továbbiakban:

Kérelmezett)] által személyes adatok zártan történő kezelésével kapcsolatos mulasztással összefüggésben folytatott adatvédelmi hatósági eljárásban (a továbbiakban: eljárás) az alábbi döntést hozza:

I. A zárt adatkezeléssel összefüggésben történt jogsértés megállapítására irányuló kérelemnek helyt ad és

I.1. megállapítja az információs önrendelkezési jogról és az információszabadságról szóló

II. Hivatalból elrendeli a végleges határozatnak Kérelmezett, mint adatkezelő azonosító adatainak közzétételével történő nyilvánosságra hozatalát.

III. A Hatóság Kérelmezettet a megállapított jogsértések miatt hivatalból

300.000.-Ft, azaz háromszázezer forint adatvédelmi bírság megfizetésére kötelezi.

A Hatóság 10 000 Ft-ot, azaz tízezer forintot Kérelmező1 és Kérelmező2 részére az ügyintézési határidő túllépése miatt – Kérelmező1 és Kérelmező2 írásban közlendő választása szerint – bankszámlára utalással vagy postai utalvánnyal megfizet. A bírságot a jelen határozat véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425- 00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor az SZTF-33/2024.BÍRS. számra kell hivatkozni. Amennyiben Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A késedelmi pótlékot a Hatóság központosított bevételek beszedési célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla) javára kell megfizetni. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat, a bírság és a késedelmi pótlék végrehajtását. A bírság és a késedelemi pótlék adók módjára történő behajtását a Nemzeti Adó- és Vámhivatal végzi. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügyirataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30.000. Ft, azaz harmincezer forint a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

INDOKOLÁS

I. Eljárás menete, tényállás tisztázása, a megállapított tényállás

[1] Kérelmező1 és Kérelemző2 (a továbbiakban együtt: Kérelmezők) 2022. május 18-án közös kérelmet (a továbbiakban: kérelem) terjesztett elő a Hatóságnál, amelynek lényege szerint 2018. szeptember 24. napján hamis tanúzás miatt feljelentést tettek Kérelmezettnél, egyúttal a Be. 99. §-a alapján kérték az adataik teljeskörű, nevükre is kiterjedő zárt kezelését, tekintettel

1„A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program ( ÁNYK program) alkalmazásával tölthető ki. https://www.naih.hu/kozig-hatarozat-birosagifelulvizsgalata”

arra, hogy a feljelentett személlyel rokoni kapcsolatban állnak, így nyomós érdekük fűződött ahhoz, hogy ne derüljön ki annak ténye, hogy ők a feljelentők. [2] A kérelem szerint 2019 januárjában került sor az ügyben Kérelmező2 tanúkénti meghallgatására, ahol nevezett ismét kérte adatai teljeskörű, nevére is kiterjedő zárt kezelését. [3] Az ügyben 2022. február 22. napján […] számon hozott határozat kézbesítésre került […]

feljelentő, […] gyanúsított, […] meghatalmazott védő, továbbá a Budapest XI. és XXII. kerületi Ügyészség részére. [4] A határozat kézhezvételét követően Kérelmezők a Budapesti Rendőr-főkapitányság adatvédelmi tisztviselőjéhez (a továbbiakban: adatvédelmi tisztviselő) fordultak, hogy tájékoztatást kérjenek arról, hogy a gyanúsított, illetve védője részére valóban megküldésre kerültek-e a személyes adataik. [5] Az adatvédelmi tisztviselő a Kérelmező1-nek címzett, 2022. április 21. napján kelt levelében megállapította az adatvédelmi incidens bekövetkezését, tekintettel arra, hogy a rendőrségi előadó az eljárás során továbbította a nyomozati iratokat a gyanúsított védőjének, amelyen nem kerültek kitakarásra Kérelmező1 adatai, ezáltal a Kérelmezők álláspontja szerint gyanúsított védője, és a gyanúsított is hozzáfértek Kérelmező1 személyes adataihoz. [6] Az adatvédelmi tisztviselő a Kérelmező2-nek címzett, 2022. április 21. napján kelt levélben szintén megállapította az adatvédelmi incidens bekövetkezését, tekintettel arra, hogy az ügyintéző nem takarta ki Kérelmező2 nevét a kivonatolt jegyzőkönyvben, továbbá, hogy a Be. 100. §-a szerinti ügyiratismertetés során megismerhetővé vált Kérelmező2 személyes adata a gyanúsított védője részére, valamint, hogy az eljárást megszüntető határozaton való feltüntetése miatt is hozzáférhetővé vált Kérelmező2 neve mind a gyanúsított, mind a védő részére. [7] A kérelemben foglaltak szerint az adatvédelmi tisztviselő megállapította, hogy az ügy előadója nem biztosította Kérelmezők adatainak zártan történő kezelését azzal, hogy elmulasztotta az adatbiztonsági intézkedés megtételére vonatkozó törvényi kötelezettségét, így a Kérelmezők személyes adatainak harmadik személlyel történő közlésével sérült a személyes adatok védelme, amely adatvédelmi incidenst valósított meg. [8] Kérelmezők a kérelemben kérték a személyüket a zárt adatkezelés elmulasztása folytán ért adatvédelmi incidens adatvédelmi hatósági eljárás keretében történő kivizsgálását és az ennek következtében megvalósult jogosulatlan adattovábbítás tényének és mértékének megállapítását, továbbá a Hatóság tájékoztatását arról, hogy a Kérelmezett bejelentette-e az incidenst a Hatósághoz.

[9] A kérelem alapján a Hatóság az Infotv. 60. § (1) bekezdése szerint a NAIH-5415-5/2022.

számú végzésével adatvédelmi hatósági eljárást indított, melynek keretében az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 63. §-a alapján nyilatkozattételre hívta fel a Kérelmezettet. [10] A Kérelmezett […] számú levelében az incidenssel kapcsolatban tett nyilatkozatának lényege szerint Kérelmezők 2022. március 24. napon benyújtott közös beadványában Kérelmező2 sérelmezi, hogy a […] számú eljárás során, annak ellenére, hogy nevükre is kiterjedő zárt adatkezelést kértek, az eljárást megszüntető határozatban – a határozatot megkapó címzettek között – feltüntetésre került Kérelmező2 mint feljelentő neve. [11] Kérelmezett a beadványban foglaltakat kivizsgálta, és megállapította, hogy Kérelmezők valóban kérték személyes adataik teljeskörű, névre is kiterjedő zártan kezelését, amelyet az ügyintéző elmulasztott, tekintettel arra, hogy a Kérelmező2 tanúvallomásáról készült jegyzőkönyv kivonatán feltüntetésre került Kérelmező2 neve, amely a nyomozati iratok részeként megküldésre került a gyanúsított védője számára, valamint, hogy nem gondoskodott a megküldött nyomozati iratok anonimizálásáról Kérelmező1 vonatkozásában sem, akinek személyes adatai szintén szerepeltek a megküldött nyomozati iratok között, továbbá, hogy a […] számon hozott, eljárást megszüntető határozatban is feltüntetésre került Kérelmező2 mint feljelentő neve. [12] Kérelmezett megállapította, hogy a Be. törvény 99. §-ában foglalt zárt adatkezelésre vonatkozó rendelkezés megsértésével adatvédelmi incidens következett be, hiszen a Kérelmezők személyes adatainak terhelti oldalról történő megismerésével sérült a személyes adatok védelme. [13] A Kérelmezett nyilatkozata szerint: „Az ügy előadója az eljárás megszüntető határozat készítése során arra az álláspontra helyezkedett, hogy a Be. törvény 99. § (10) bekezdés szerint a jogszabály a vádirat, az eljárást felfüggesztő vagy megszüntető határozat és az ügydöntő határozat kivételével tiltja az adatok nyilvánosságra hozatalát – emellett a Be. törvény 363. § (9) bekezdésre visszautalva – a zárt adatkezeléssel érintett személy hozzájárulása nélkül történő továbbítást engedi, ezért az előadó úgy vélte, hogy helyesen járt el.” [14] A Kérelmezett az incidenst nem jelentette be a Hatósághoz, mert nem minősítette kockázatosnak, tekintettel arra, hogy az alapeljárás tárgyául szolgáló hagyatéki eljárás során Kérelmezők és az általuk feljelentett személy rokoni kapcsolatban - unokatestvérek - álltak, ebből kifolyólag korábban megismerték egymás személyes adatait, továbbá a hagyatéki eljárás sajátosságaiból adódóan megismerhették a másik felet érintő vagyoni változásokat is. [15] A Kérelmezett arról tájékoztatta a Hatóságot, hogy a […] számon indult eljárás befejeződött, további nyomozati cselekmények nem kerültek foganatosításra, továbbá, hogy nem jutott olyan információ birtokába, amely szerint a Kérelmezők személyes adataival visszaéltek volna.

[16] A Kérelmezett az adatvédelmi incidens feltárását és annak kivizsgálását követően az alábbi intézkedéseket foganatosította:

• „[…] és […] tájékoztatva lett a kivizsgálás eredményéről. • A büntetőeljárás során irányadó zárt adatkezelésre vonatkozó rendszabályok maradéktalan betartása érdekében a Rendőrkapitányság állományának dokumentált oktatására került sor. • Az adatvédelmi incidens rögzítésre került az adatvédelmi incidensek nyilvántartásában. • Tekintettel arra, hogy az ügy előadója cselekményével elkövette a rendvédelmi feladatokat ellátó szervek hivatásos állományának szolgálati jogviszonyáról szóló 2015. évi XLII. törvény 102. § (1) bekezdés szerint minősülő hanyag munkavégzés fegyelemsértést, ezért nevezettel szemben fegyelmi eljárás elrendelésére került sor. • A jövőbeni hasonló esetek elkerülése érdekében intézkedés történt a személyes adatok zárt kezelésére vonatkozó szabályok gyakorlatban történő alkalmazásának felülvizsgálatára, illetve az eljárási szabályok betartatására.” [17] A Kérelmezett nyilatkozatához az alábbi iratokat csatolta:

⎯ Kérelmezők feljelentése, ⎯ Határozat nyomozás megszüntetéséről, ⎯ Kérelmezők 2022. március 23. napján kelt „Tájékoztatás kérése személyes adatok védelméről” tárgyú beadványa BRFK felé, ⎯ Kérelmező2 tanúkihallgatási jegyzőkönyve, ⎯ Kérelmezők adatvédelmi tisztviselő általi tájékoztatása adatvédelmi incidensről, ⎯ Iratjegyzék.

[18] A Hatóság tisztázni kívánta, hogy a büntetőeljárás során a határozat és a nyomozati iratok anonimizálatlan megküldésén, valamint az iratismertetésen kívül történt-e egyéb jogosulatlan hozzáférést, illetve adattovábbítást eredményező incidens, vagy esetlegesen további személyek is hozzáfértek-e a zártan kezelendő adatokhoz. Ennek okán a Hatóság az Ákr. 63. §-a alapján ismételten nyilatkozattételre hívta fel a Kérelmezettet. [19] A Kérelmezett 2023. május 10. napján kelt, […] számú levelébe foglalt nyilatkozatának lényege szerint a büntetőeljárás során foganatosított egyéb eljárási cselekményeket áttekintették, a keletkezett iratokat átvizsgálták és megállapításra került, hogy a már azonosított incidensen kívül egyéb esetben nem következett be a zárt adatkezelés elmulasztásából adódó jogosulatlan hozzáférést és adattovábbítást eredményező incidens. [20] A Kérelmezett arra vonatkozóan, hogy az incidens előtt mi volt az általános gyakorlat a zárt adatkezelés biztosítását célzó adatvédelmi intézkedések tekintetében, az alábbiakat nyilatkozta: [21] „(…) Az eljárási cselekményt végrehajtó nyomozó hatóság tagja az eljárási cselekményen felhívja az érintett figyelmét a zárt adatkezelés lehetőségére. Az érintett kérésére dönthet, mely adatait kívánja az eljárásban zártan kezelni. Amennyiben az érintett kéri adatai zártan történő kezelését, a hatóság tagja tájékoztatja a zárt adatkezelés rendjéről. Valamennyi eljárási cselekmény lezárását követően jegyzőkönyv készül, melyet az eljárással érintett személy annak átolvasását követően eredeti aláírásával ellát. Tehát az érintett már az aláírt iraton figyelemmel kísérheti, hogy mely adatai kerültek zártan kezelve, illetve melyek azok amelyek láthatóak. A zárt adatkezelés elrendelését követően a nyomozó hatóság az érintett zártan kezelt személyes adatait tartalmazó ügyiratot, illetve bizonyítási eszközt zártan kezeli oly módon, hogy az eredeti ügyiratot papíralapon, zárt és hitelesített borítékban elhelyezve, az ügyiratok között elkülönítve helyezi el, míg a Robotzsaru rendszerben intézkedik az ügyirat kivonatolására. A kivonat készítését követően a zártan kezelt adatok nem kerülnek feltüntetésre. Megjegyezni kívánom, hogy a hivatkozott eljárás során […] tanúkihallgatása során készült jegyzőkönyv aláírásakor […] számára ismert volt, hogy a nevén kívül további adat az iraton nem került feltüntetésre.” [22] A Kérelmezett a zárt adatkezeléssel kapcsolatos incidensek jövőbeni elkerülése érdekében tett intézkedései vonatkozásában az alábbiakat nyilatkozta: [23] „Az adatvédelmi incidens feltárását követően intézkedés történt a személyes adatok zárt kezelésére vonatkozó szabályok gyakorlatban történő alkalmazásának felülvizsgálatára, illetve azok betartatására. A Budapest rendőrfőkapitányának bűnügyi helyettese intézkedett arra, hogy a BRFK valamennyi területi és helyi szerve – dokumentált, jelenléti ív aláírása mellett – oktatás tárgyává tegye a zárt adatkezeléssel kapcsolatos jogszabályok betartatását, továbbá a vezetők eligazítások alkalmával felhívták az érintett állomány figyelmét ezen szabályok maradéktalan betartására.” [24] „A fentieken túlmenően a BRFK Ellenőrzési Szolgálata – Budapest Rendőrkapitánya utasítása alapján – zárt adatkezelés témaellenőrzést végzett – a Be. és a Korm. rendelet2 szabályainak betartása érdekében (…). A végrehajtott ellenőrzés alkalmával hiányosság, észrevétel nem került megállapításra.” [25] A Hatóság azon kérdésére, amely szerint az adatvédelmi incidens megtörténtének megállapítása, az érintettek tájékoztatása, és az incidens nyilvántartásba vétele ellenére miért nem tartotta szükségesnek a Kérelmezett az incidens Hatósághoz történő bejelentését, a Kérelmezett akként nyilatkozott, hogy az általa mellékletként csatolt iratokból (közjegyző által írt végzés, hagyatékátadó végzés, kivonat hagyatékátadó végzésről) egyértelműen kiderült, hogy a feljelentők és a feljelentett rokoni viszonyban állnak egymással, egymás személyes adatait, és a feleket érintő vagyoni változásokat a hagyatéki eljárás során már megismerték, ebből következően a Kérelmezett nem értékelte magas kockázatúnak az incidenst, így azt nem jelentette be a Hatósághoz.

2 a nyomozás és az előkészítő eljárás részletes szabályairól szóló 100/2018. (VI.08.) Korm. rendelet

[26] A fentiek alapján a Hatóság az alábbi tényállást állapította meg:

[27] Kérelmezett előtt 2018. szeptember 24. napján büntetőeljárás indult hamis tanúzás bűntette miatt Kérelmezők feljelentése alapján […] számon. Kérelmezők a 2018. szeptember 20. napján a Budapesti XI. és XXII. kerületi Ügyészségnek benyújtott hamis tanúzás gyanújának bejelentése során, valamint a 2018. szeptember 24. napján kelt feljelentésükben közösen indítványozták adataik zártan történő kezelését. A nyomozás keretében sor került Kérelmező2 tanúkihallgatására 2019. január 09. napján, aki a vonatkozó figyelmeztetéseket, illetve tájékoztatást követően úgy nyilatkozott, hogy kéri adatai zártan történő kezelését. [28] A büntetőeljárást megelőzően egy hagyatéki eljárás is lefolytatásra került, amelynek – a jelen ügyben is érintett - Kérelmezők és az általuk feljelentett személy is részesei voltak, akik között a hagyatéki eljárás során érdekellentét alakult ki. [29] A Kérelmezők az ügy családi vonatkozása miatt kérték Kérelmezettnél az adataik teljeskörű, nevükre is kiterjedő zártan kezelését, mert álláspontjuk szerint nyomós érdekük fűződött ahhoz, hogy ne derüljön fény a kilétükre. [30] A nyomozás során a feljelentett személy gyanúsítotti kihallgatását is foganatosították. A nyomozás iratai 2021. június 18. napján elektronikus úton megküldésre kerültek a gyanúsított védőjének. Annak ellenére, hogy a Kérelmezők kérték adataik zártan történő kezelését a gyanúsított és védője részére átadott iratok – […] számú tanúkihallgatási jegyzőkönyv, a feljelentés – tartalmazták a Kérelmezők adatait, azok nem anonimizálva kerültek átadásra. [31] Kérelmezett a nyomozást a 2022. február 19. napján kelt, […] iktatószámú határozatával mivel a rendelkezésre álló adatok, illetve bizonyítási eszközök alapján nem állapítható meg bűncselekmény elkövetése - megszüntette. E nyomozás megszüntető határozatot, mely a rendelkező részt követően a kézbesítési címzettek között tartalmazta Kérelmező2 nevét és feljelentői minőségét, Kérelmezett megküldte a gyanúsított és védője részére.

II. Alkalmazott jogszabályi rendelkezések

[32] Az Infotv. 2. § (3) bekezdése szerint személyes adatok bűnüldözési, nemzetbiztonsági és honvédelmi célú kezelésére e törvényt kell alkalmazni. [33] Az Infotv. 3. § 2. pontja szerint a személyes adat az érintettre vonatkozó bármely információ. [34] Az Infotv. 3. § 4. pontja szerint bűnügyi személyes adat a büntetőeljárás során vagy azt megelőzően a bűncselekménnyel vagy a büntetőeljárással összefüggésben, a büntetőeljárás lefolytatására, illetve a bűncselekmények felderítésére jogosult szerveknél, továbbá a büntetés-végrehajtás szervezeténél keletkezett, az érintettel kapcsolatba hozható, valamint a büntetett előéletre vonatkozó személyes adat.

[35] Az Infotv. 3. § 9. pontja értelmében adatkezelő az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között – önállóan vagy másokkal együtt az adat kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja. [36] Az Infotv. 3. § 10. pontja értelmében adatkezelés az alkalmazott eljárástól függetlenül az adaton végzett bármely művelet vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adat további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNS-minta, íriszkép) rögzítése. [37] Az Infotv. 3. § 10a. pontja értelmében bűnüldözési célú adatkezelés a jogszabályban meghatározott feladat- és hatáskörében a közrendet vagy a közbiztonságot fenyegető veszélyek megelőzésére vagy elhárítására, a bűnmegelőzésre, a bűnfelderítésre, a büntetőeljárás lefolytatására vagy ezen eljárásban való közreműködésre, a szabálysértések megelőzésére és felderítésére, valamint a szabálysértési eljárás lefolytatására vagy ezen eljárásban való közreműködésre, továbbá a büntetőeljárásban vagy szabálysértési eljárásban megállapított jogkövetkezmények végrehajtására irányuló tevékenységet folytató szerv vagy személy (bűnüldözési adatkezelést folytató szerv) ezen tevékenység keretei között és céljából – ideértve az ezen tevékenységhez kapcsolódó személyes adatok levéltári, tudományos, statisztikai vagy történelmi célból történő kezelését is – (bűnüldözési cél) végzett adatkezelése. [38] Az Infotv. 4. § (1) bekezdése szerint személyes adat kizárólag egyértelműen meghatározott, jogszerű célból, jog gyakorlása és kötelezettség teljesítése érdekében kezelhető. Az adatkezelésnek minden szakaszában meg kell felelnie az adatkezelés céljának, az adatok gyűjtésének és kezelésének tisztességesnek és törvényesnek kell lennie. [39] Az Infotv. 4. § (2) bekezdése szerint csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas. A személyes adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető. [40] Az Infotv. 5. § (1) alapján személyes adat akkor kezelhető, ha a) azt törvény vagy – törvény felhatalmazása alapján, az abban meghatározott körben, különleges adatnak vagy bűnügyi személyes adatnak nem minősülő adat esetén – helyi önkormányzat rendelete közérdeken alapuló célból elrendeli, b) az a) pontban meghatározottak hiányában az az adatkezelő törvényben meghatározott feladatainak ellátásához feltétlenül szükséges és az érintett a személyes adatok kezeléséhez kifejezetten hozzájárult, c) az a) pontban meghatározottak hiányában az az érintett vagy más személy létfontosságú érdekeinek védelméhez, valamint a személyek életét, testi épségét vagy javait fenyegető közvetlen veszély elhárításához vagy megelőzéséhez szükséges és azzal arányos, vagy d) az a) pontban meghatározottak hiányában a személyes adatot az érintett kifejezetten nyilvánosságra hozta és az az adatkezelés céljának megvalósulásához szükséges és azzal arányos.

[41] Az Infotv. 5. § (2) bekezdése szerint különleges adat a) az (1) bekezdés c)-d) pontjában meghatározottak szerint, vagy b) akkor kezelhető, ha az törvényben kihirdetett nemzetközi szerződés végrehajtásához feltétlenül szükséges és azzal arányos, vagy azt az Alaptörvényben biztosított alapvető jog érvényesítése, továbbá a nemzetbiztonság, a bűncselekmények megelőzése, felderítése vagy üldözése érdekében vagy honvédelmi érdekből törvény elrendeli. [42] Az Infotv. 5. § (7) bekezdése szerint a bűnügyi személyes adatok kezelése esetén – ha törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusa ettől eltérően nem rendelkezik – a különleges adatok kezelésének feltételeire vonatkozó szabályokat kell alkalmazni. [43] Az Infotv. 25/I. § (1) bekezdése szerint az adatkezelő és az adatfeldolgozó a kezelt személyes adatok megfelelő szintű biztonságának biztosítása érdekében az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető - így különösen az érintettek különleges adatainak kezelésével járó - kockázatok mértékéhez igazodó műszaki és szervezési intézkedéseket tesz. [44] Az Infotv. 25/I. § (2) bekezdése szerint az (1) bekezdésben meghatározott intézkedések kialakítása és végrehajtása során az adatkezelő és az adatfeldolgozó figyelembe veszi az adatkezelés összes körülményét, így különösen a tudomány és a technológia mindenkori állását, az intézkedések megvalósításának költségeit, az adatkezelés jellegét, hatókörét és céljait, továbbá az érintettek jogainak érvényesülésére az adatkezelés által jelentett változó valószínűségű és súlyosságú kockázatokat. [45] Az Infotv. 25/I. § (3) bekezdés b) pontja szerint az adatkezelő és tevékenységi körében az adatfeldolgozó az (1) bekezdésben meghatározott intézkedésekkel biztosítja az adathordozók jogosulatlan olvasásának, másolásának, módosításának vagy eltávolításának megakadályozását. [46] Az Infotv. 25/I. § (3) bekezdés h) pontja szerint az adatkezelő és tevékenységi körében az adatfeldolgozó az (1) bekezdésben meghatározott intézkedésekkel biztosítja a személyes adatoknak azok továbbítása során vagy az adathordozó szállítása közben történő jogosulatlan megismerésének, másolásának, módosításának vagy törlésének megakadályozását.

[47] Az Infotv. 25/J. § (1) bekezdése szerint az adatkezelő az általa, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt adatokkal összefüggésben felmerült adatvédelmi incidens kapcsán rögzíti az (5) bekezdés a), c) és d) pontja szerinti adatokat, valamint az adatvédelmi incidenst haladéktalanul, de legfeljebb az adatvédelmi incidensről való tudomásszerzését követő hetvenkét órán belül bejelenti a Hatóságnak. [48] Az Infotv. 25/K. § (1) bekezdése szerint, ha az adatvédelmi incidens valószínűsíthetően az érintettet megillető valamely alapvető jog érvényesülését lényegesen befolyásoló következményekkel járhat (a továbbiakban: magas kockázatú adatvédelmi incidens), a nemzetbiztonsági célú adatkezelés kivételével az adatkezelő az érintettet az adatvédelmi incidensről haladéktalanul tájékoztatja. [49] Az Infotv. 61. § (2) bekezdés b) pontja szerint a Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő nyilvánosságra hozatalát, ha azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta. [50] A Be. 99. § (1) bekezdése szerint a bíróság, az ügyészség és a nyomozó hatóság indítványra elrendeli, hogy a sértett, a vagyoni érdekelt és az egyéb érdekelt vagy ezek segítőjének a nevét, születési nevét, születési helyét és idejét, anyja nevét, állampolgárságát, személyazonosító okmányának számát, lakcímét, értesítési címét, tényleges tartózkodási helyét, kézbesítési címét, illetve elektronikus elérhetőségét zártan kezeljék (a továbbiakban: zárt adatkezelés). [51] A Be. 99. § (5) bekezdése szerint a zártan kezelt személyes adatot csak az ügyben eljáró bíróság, ügyészség és nyomozó hatóság kezelheti, és azokat az érintett hozzájárulása nélkül csak a) az ügyben eljáró bíróság, ügyészség és nyomozó hatóság részére, b) az áldozatsegítő szolgálat részére az áldozatsegítéssel kapcsolatos feladatok ellátása, és a pártfogó felügyelői szolgálat részére a közvetítői eljárás lefolytatása céljából, az e feladatok ellátásához elengedhetetlenül szükséges mértékben lehet továbbítani. [52] A Be. 99. § (6) bekezdése szerint a bíróság, az ügyészség és a nyomozó hatóság biztosítja, hogy a zártan kezelt személyes adat az eljárás egyéb adataiból se váljon megismerhetővé. [53] A Be. 99. § (7) bekezdése szerint a zárt adatkezelés elrendelését követően az eljáró bíróság, ügyészség és nyomozó hatóság a) a sértett, a vagyoni érdekelt és az egyéb érdekelt zártan kezelt személyes adatait tartalmazó ügyiratot, illetve bizonyítási eszközt zártan kezeli, b) a sértett, a vagyoni érdekelt és az egyéb érdekelt személyazonosságát az azonosításra alkalmas iratok megtekintésével állapítja meg, illetve c) a zárt adatkezelést – egyes személyes adatok vonatkozásában is – csak a sértett, a vagyoni érdekelt és az egyéb érdekelt beleegyezésével szüntetheti meg. [54] A Be. 99. § (8) bekezdése szerint a (7) bekezdés a) pontja alapján zártan kezelt ügyirat zárt adatkezeléssel nem érintett részének megismerését az általános szabályok szerint kell biztosítani, így különösen az ügyiratról készült olyan kivonattal, amely a zártan kezelt személyes adatokat nem tartalmazza. [55] A Be. 99. § (9) bekezdése szerint a zárt adatkezelés nem akadálya annak, hogy a bíróság, az ügyészség és a nyomozó hatóság, ha az a büntetőeljárási feladatainak teljesítéséhez elengedhetetlen, a zártan kezelt egyes személyes adatokat a büntetőeljárási feladattal közvetlenül érintett ügyiraton feltüntesse és a zárt adatkezeléssel érintett személy hozzájárulása nélkül továbbítsa. [56] A Be. 99. § (10) bekezdése szerint a (9) bekezdés alkalmazása esetén a büntetőeljárási feladat teljesítését követően a vádirat, az eljárást felfüggesztő vagy megszüntető határozat, az ügydöntő határozat és az 560. § (3b) bekezdése szerinti ügyirat kivételével az ilyen ügyiratot a (7) bekezdés a) pontja alapján zártan kell kezelni. [57] A Be. 100. § (1) bekezdése szerint az eljárás ügyiratait a) a terhelt és védője a terhelt gyanúsítotti kihallgatását követően, b) a sértett az őt érintő bűncselekménnyel összefüggésben és c) az egyéb érdekelt és a vagyoni érdekelt az őt érintő körben erre irányuló indítványra ismerheti meg. [58] A Be. 100. § (2) bekezdése alapján az (1) bekezdés szerinti megismerés joga az eljárás valamennyi ügyiratára kiterjed, ideértve a bíróság, az ügyészség és a nyomozó hatóság által beszerzett, illetve a büntetőeljárásban részt vevő személyek által benyújtott, valamint csatolt iratokat és a további bizonyítási eszközöket is. [59] A Be. 100. § (5) bekezdése szerint a megismerés joga nem érinti az eljárás zártan kezelt ügyirataira vonatkozó külön rendelkezéseket, valamint az adatok zártan kezelésének kötelezettségét. [60] A Be. 102. § (1) – (3) bekezdései szerint:

(1) A bíróság, az ügyészség, illetve a nyomozó hatóság az ügyiratok között elkülönítve, zártan kezeli az e törvényben meghatározott ügyiratot. (2) A zártan kezelt ügyiratot az e törvény, valamint az eljáró bíróság, ügyészség eltérő rendelkezése hiányában csak a bíróság, az ügyészség vagy a nyomozó hatóság ismerheti meg. (3) Az ügyirat zárt kezelése esetén a bíróság, az ügyészség, illetve a nyomozó hatóság a) biztosítja, hogy a zártan kezelt ügyirat, illetve annak tartalma az eljárás egyéb ügyirataiból és adataiból ne váljon megismerhetővé, b) az ügyiratok megismerését oly módon biztosítja, hogy az ne eredményezze a zártan kezelt ügyirat megismerését. [61] A Be. 363. § (1) – (7) bekezdései szerint: (1) a határozat bevezető részre, rendelkező részre, indokolásra és záró részre tagolódik. (2) A bevezető rész tartalmazza a) az ügyészség vagy a nyomozó hatóság megnevezését, b) az ügy számát, c) az eljárás alapjául szolgáló bűncselekmény megnevezését, d) az azonosításhoz szükséges adatokkal együtt annak megjelölését, akire a rendelkezés vonatkozik. (3) A rendelkező rész tartalmazza az ügyészség, illetve a nyomozó hatóság döntését, valamint azt, hogy a határozat ellen van-e helye panasznak, illetve felülbírálati indítványnak, és azt az eljárás mely résztvevője, hol és milyen határidőn belül terjesztheti elő. (4) Az indokolás az ügyészség, illetve a nyomozó hatóság által megállapított jelentős tényeket, a határozat alapjául szolgáló jogszabályokat és szükség esetén azok értelmezését, továbbá ezekkel összefüggésben az érdemi rendelkezés magyarázatát tartalmazza. (5) A záró rész tartalmazza a határozathozatal helyének és idejének megfelelő keltezést, továbbá az ügyész, illetve a nyomozó hatóság tagjának nevét és aláírását. (6) Az ügyészség és a nyomozó hatóság a határozatot írásba foglalja. (7) Az ügyészség és a nyomozó hatóság a határozatát jegyzőkönyvbe is foglalhatja, kivéve a személyi szabadságot érintő kényszerintézkedés elrendeléséről vagy megszüntetéséről szóló határozatot. A jegyzőkönyvbe foglalt határozat csak a rendelkező részt és az indokolást tartalmazza. [62] A magánélet védelméről szóló 2018. évi LIII. törvény (a továbbiakban: Mvtv.) 1. § bekezdése alapján mindenkinek joga van ahhoz, hogy magán-és családi életét, otthonát, kapcsolattartását (a továbbiakban együtt: magánélethez való jog) tiszteletben tartsák. [63] Az Mvtv. 8. § (1) bekezdése szerint a magánélet tiszteletben tartásához való jog célja, különösen a névviseléshez való jog, a személyes adatok, a magántitok, a képmás és hangfelvétel, a becsület és a jó hírnév védelme. [64] Az Mvtv. 9. § (1) bekezdése szerint mindenkinek joga van arra, hogy családi életét mint a magánélet közegét, fokozott védelem illesse meg.

*** [65] Az Infotv. 60. § (1) bekezdés szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít. [66] Az Ákr. 7. §-a alapján az adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni.

[67] A kérelemre indult adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az Infotv-ben meghatározott eltérésekkel. [68] Az Ákr. 62. § (1) bekezdése szerint, ha a döntéshozatalhoz nem elegendőek a rendelkezésre álló adatok, a hatóság bizonyítási eljárást folytat le. [69] Az Ákr. 63. §-a szerint, ha a tényállás tisztázása azt szükségessé teszi, a hatóság az ügyfelet nyilatkozattételre hívhatja fel. Az Ákr. 64. § (1) bekezdése szerint, ha jogszabály nem zárja ki, az ügyfél a nyilatkozatával pótolhatja a hiányzó bizonyítékot, ha annak beszerzése nem lehetséges. [70] Az Ákr. 65. § (1) és (2) bekezdése alapján a hatóság, ha a tényállás tisztázása során szükséges, és az az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény alapján nem szerezhető be, felhívhatja az ügyfelet okirat vagy más irat bemutatására. Nem kérhető az ügyféltől szakhatósági állásfoglalás vagy előzetes szakhatósági állásfoglalás csatolása, továbbá az ügyfél azonosításához szükséges adatok kivételével nem kérhető olyan adat, amely nyilvános, vagy amelyet jogszabállyal rendszeresített közhiteles nyilvántartásnak tartalmaznia kell. Ha törvény vagy kormányrendelet másként nem rendelkezik, az ügyfél az iratot másolatban is benyújthatja, ha nyilatkozik arról, hogy az az eredetivel mindenben megegyezik. [71] Az Infotv. 60/A.§ (1) bekezdése alapján az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap, amely határidőbe nem számít bele a tényállás tisztázásához szükséges adatok közlésére irányuló felhívástól az annak teljesítéséig terjedő idő. [72] Az Infotv. 61. § (1) bekezdés b) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (3) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben megállapíthatja a személyes adatok jogellenes kezelésének tényét, elrendelheti a valóságnak nem megfelelő személyes adat helyesbítését, elrendelheti a jogellenesen kezelt személyes adatok zárolását, törlését vagy megsemmisítését, megtilthatja a személyes adatok jogellenes kezelését, megtilthatja a személyes adatok külföldre történő továbbítását vagy átadását, elrendelheti az érintett tájékoztatását, ha azt az adatkezelő jogellenesen tagadta meg, valamint bírságot szabhat ki. [73] Az Infotv. 61. § (4) bekezdése a) pontja szerint a bírság mértéke százezertől húszmillió forintig terjedhet. [74] Az Infotv. 61. § (5) bekezdése alapján a Hatóság annak eldöntésében, hogy indokolt-e az (1)

bekezdés b) pont bg) alpontja szerinti bírság kiszabása, illetve a bírság mértékének megállapítása során az eset összes körülményeit figyelembe veszi, így különösen a jogsértéssel érintettek körének nagyságát, a jogsértés súlyát, a magatartás felróhatóságát, valamint azt, hogy a jogsértővel szemben korábban állapítottak-e meg a személyes adatok kezelésével kapcsolatos jogsértést.

[75] Az Infotv. 71. § (1) bekezdése értelmében a Hatóság eljárása során – az annak lefolytatásához szükséges mértékben és ideig – kezelheti mindazon személyes adatokat, valamint törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatokat, amelyek az eljárással összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. A (2) bekezdés szerint a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja. [76] A határozatra egyebekben az Ákr. 80-81. §-ait kell alkalmazni.

III. Megállapítások, döntés

III.1. A zárt adatkezelés elmulasztásával kapcsolatos megállapítások [77] A Kérelmezett büntetőeljárás során kifejtett álláspontja szerint is megsértette a Be. zárt adatkezelésre vonatkozó rendelkezéseit, amikor a […] számon lefolytatott büntetőeljárás során az ügy előadója a Kérelmező2 tanúvallomását tartalmazó jegyzőkönyv és a […] számon hozott, eljárást megszüntető határozat, valamint a büntetőeljárás egyéb, a Kérelmező1 és Kérelmező2 személyes adatait tartalmazó nyomozati iratainak a terhelt és védője számára biztosított iratmegismerés keretében, nem anonimizált formában történő továbbításával elmulasztotta a Kérelmezők adatainak zártan kezelését, melynek következtében kérelmezők személyes adatait a terhelt és védője megismerték. A tényállás alapján a Hatóság megállapította, hogy a Be. által is előírt védelmi intézkedések elmulasztása miatt bekövetkező adatvédelmi incidens során kérelmezők személyes adatainak jogosulatlan továbbítása valósult meg. Az incidens következtében a gyanúsított védője megismerte, továbbá a gyanúsított is hozzáférhetett a Kérelmezők személyes adataihoz. [78] Eszerint tehát az ügy előadója úgy vélte, hogy az eljárást megszüntető határozaton feltüntethető és így az érintett személy hozzájárulása nélkül továbbítható az egyébként zártan kezelendő név adat. Azonban – ahogyan azt a Be. 99. § (10) bekezdéséhez tartozó kommentár is rögzíti – egyebek mellett az eljárást megszüntető határozathoz is kapcsolódik az „elengedhetetlenség” kritériuma, vagyis, hogy a zártan kezelt adatokat csak az elengedhetetlenül szükséges esetekben és mértékben lehet feltüntetni. Pl. teljes lakcím helyett elegendő a településnév feltüntetése az eljáró bíróság illetékességének megállapítása során, amennyiben az életkor megjelölésének is szerepe van, az is történhet oly módon, hogy a sértett születési ideje nem kerül feltüntetésre. A személyes adatok védelme ugyanis ezekben az esetekben az elengedhetetlenül szükséges mérték szigorú alkalmazásával biztosítható. Jelen esetben azonban a határozat azon része tartalmazta a Kérelmező2 nevét, amely arról rendelkezett, hogy kiknek kell kézbesíteni az iratot. A kézbesítési címzettek határozatba szerkesztve szerepeltetése egyébként önmagában is jogsértő. [79] A Be. 363. §-ának rendelkezései szerint a büntetőeljárásban hozott határozatnak - így az eljárást megszüntető határozatnak – nem kell tartalmaznia azon személyek azonosító adatait, mely személyeknek a határozatot kézbesíteni kell. Azon személy(ek) megjelölését és azonosításhoz szükséges adatait kell a határozat bevezető részének tartalmaznia, akire a rendelkezés vonatkozik. [80] A címzettek nevének határozatban történő feltüntetése eleve sérti a célhoz kötött adatkezelés elvét, hiszen azok szerepeltetése teljességgel szükségtelen, annak mindössze adminisztratív oka lehet. Amennyiben Kérelmező2 nem kérte volna az adatainak zárt kezelését, a Kérelmezettnek akkor is külön kézbesítési záradékon kellett volna szerepeltetnie a címzettek kézbesítési adatait (név, cím). Jelen esetben ezt tovább súlyosbítja azon körülmény, hogy a Kérelmező2 neve zártan kezelendő adat lett volna. [81] Jelen incidens bekövetkezte az incidens idején a szervezeten belüli megfelelő és egységes jogértelmezés hiányát tárta fel. Az eljáró ügyintéző a zárt adatkezelés jogintézményét kiüresítő értelmezést alkalmazott azzal, hogy a Be. 99. § (10) bekezdésében megjelölt iratokban (vádirat, eljárást felfüggesztő vagy megszüntető határozat, ügydöntő határozat) a szükségesség, elengedhetetlenség feltétele nélkül elhagyhatónak tekintette a zárt adatkezelés végrehajtását. [82] Erre utal a Kérelmezettnél alkalmazott azon gyakorlat is, amely során „valamennyi eljárási cselekmény lezárását követően jegyzőkönyv készül, melyet az eljárással érintett személy annak átolvasását követően eredeti aláírásával ellát. Tehát az érintett már az aláírt iraton figyelemmel kísérheti, hogy mely adatai kerültek zártan kezelve, illetve melyek azok, amelyek láthatóak”. Ezen eljárás ugyanis jelen esetben – amikor éppen a név adat megismerésének elkerülése a cél - nem elégséges a zárt adatkezelés biztosítása érdekében, hiszen, még ha az irat tartalma anonimizálásra is került, Kérelmező2 a tanúkihallgatásáról készült jegyzőkönyv aláírásával „kénytelen” feltüntetni a nevét az iraton, amennyiben azonban az jól olvasható, az iratok tanulmányozása során a terhelt számára is megismerhetővé válik. Ebből következően az aláírást is szükséges lenne kitakarni. [83] A Kérelmezett azt is nyilatkozta, hogy Kérelmező2 számára a tanúkihallgatása során készült jegyzőkönyv aláírásakor ismert volt, hogy a nevén kívül további adat az iraton nem került feltüntetésre. Azonban a nevezett jegyzőkönyv első oldalának utolsó bekezdése idézi a Be. 99. (1) bekezdését, amely felsorolja a zártan kezelendő adatok körét - úgymint pl. név -, illetve a jegyzőkönyv 2. oldala tartalmazza a Kérelmező2 azon nyilatkozatát, amely szerint „a figyelmeztetést megértettem, személyes adataim zárt kezelését kérem.” Tekintettel arra, hogy Kérelmező2 nem jelölte meg konkrétan, hogy mely adatai vonatkozásában kéri a zárt adatkezelést, nyilatkozata akként értelmezendő, hogy minden adata, így a neve is védendő. [84] A Kérelmezett [13] bekezdésben idézett nyilatkozatának „emellett a Be. törvény 363. § (9)

bekezdésre visszautalva” fordulata nem értelmezhető, tekintettel arra, hogy a nyilatkozattétel időpontjában hatályos Be. nem tartalmazott – és a jelenleg hatályos Be. sem tartalmaz - a Kérelmezett által hivatkozott 363. § (9) bekezdést.

[85] A fentiekre tekintettel állapította meg a Hatóság az Infotv. 61. § (1) bekezdés ba) alpontja alapján a személyes adatok jogellenes kezelésének tényét az Infotv. 25/I. § (1) bekezdésében és (3) bekezdés b) és h) pontjaiban foglalt adatbiztonsági intézkedések megsértése okán. [86] A Hatóság a kérelemre tekintettel, valamint a tényállás teljeskörű tisztázása érdekében is vizsgálta, és megállapította, hogy jelen ügyben a büntetőeljárásban foganatosított egyéb eljárási cselekmények során a már azonosított incidensen kívül egyéb esetben nem következett be a Kérelmezők személyes adatai zártan történő kezelésének elmulasztásából adódó jogosulatlan hozzáférést és adattovábbítást eredményező incidens, melyet Kérelmezett nyilatkozata alátámasztott. III.2. Az incidens bejelentésének elmulasztása, az incidens kockázatának meghatározása [87] A Kérelmezett az ügyben parancsnoki kivizsgálást rendelt el, melynek eredményeként megállapította az adatvédelmi incidens bekövetkezését. Az incidenst azért nem jelentette be a Hatósághoz, mert álláspontja szerint az nem járt kockázattal a Kérelmezők jogaira nézve, tekintettel arra, hogy a feljelentők (Kérelmezők) és a feljelentett a rokoni kapcsolat miatt, illetve az alapeljárás tárgyául szolgáló hagyatéki eljárás során is ismerhették egymás személyes adatait. [88] A Hatóság nem fogadja el a Kérelmezett azon érvelését, amely szerint az incidens hatása elhanyagolható az érintettekre nézve, mivel a szemben álló felek rokoni kapcsolata miatt egyébként is ismerik egymást, illetve egymás személyes adatait. A Kérelmezők ugyanis éppen az ügy családi vonatkozása miatt kérték kifejezetten a nevükre is kiterjedően a személyes adataik zárt kezelését, mivel álláspontjuk szerint éppen a rokoni kapcsolatok miatt fűződött nyomós érdekük ahhoz, hogy ne derüljön fény a kilétükre. Esetükben a nevük azért volt önmagában védendő adat, hogy azok ne kerüljenek összekapcsolásra a feljelentői minőséggel, hogy a feljelentett ne tudja meg, hogy név szerint kik voltak a feljelentők. A személyes adataik zárt kezelésének elmulasztásával pedig éppen az következett be, amit igyekeztek elkerülni, ezért az incidens sérelmes a számukra. [89] A Kérelmezők a hagyatéki eljárás során érdekellentétben álltak a feljelentett családtaggal. A feljelentők személyének gyanúsított általi megismerése és a büntetőeljárás (mely a feljelentő és feljelentett viszonyában alapvetően is feszültséggel jár) tovább fokozhatja az ellentéteket feljelentő és feljelentett családtagok és akár további családtagok között. A Kérelmezőknek törvény biztosította joguk a zárt adatkezelés kérvényezése, amelynek indokát nem kell külön részletezniük. Azt állították, hogy nyomós érdekük fűződik a kilétük titokban maradásához. Emellett az Mvtv. biztosítja számukra a magánélet tiszteletben tartásához való jogot3. Az Mvtv. 8. § (1) bekezdésében foglalt jelen ügyre vonatkozó rendelkezés értelmében a magánélet tiszteletben tartásához való jog célja a személyes adatok védelme. Az Mvtv. 9. § (1) bekezdése

3 Mvtv. 1. § Mindenkinek joga van ahhoz, hogy magán- és családi életét, otthonát, kapcsolattartását (a továbbiakban együtt: magánélethez való jog) tiszteletben tartsák.

értelmében pedig mindenkinek joga van arra, hogy családi életét mint a magánélet közegét, fokozott védelem illesse meg. A feljelentők kilétének egy rokoni kapcsolatokat érintő hagyatéki eljárásból indult büntetőeljárás során történő felfedése nyilván negatívan hat a családi viszonyok alakulására, ami a családi egység felbomlásához vezethet és családon belüli vitákat, konfliktusokat idézhet elő. Az Infotv. 25/K. § (1) bekezdése alapján az incidens magas kockázatú, ha az valószínűsíthetően az érintettet megillető valamely alapvető jog érvényesülését lényegesen befolyásoló következményekkel járhat. A Hatóság álláspontja szerint jelen ügyben az incidens következtében sérült a Kérelmezők fentebb kifejtett, magánélet védelméhez fűződő joga, amelyet egyébként alapvető jogként az Alaptörvény VI. cikke is védelemben részesít. Mindebből következően megállapítható az incidens magas kockázata. Erre tekintettel pedig a Hatóság álláspontja szerint a Kérelmezettnek az incidenst az Infotv. 25/J. § (1) bekezdése alapán be kellett volna jelentenie a Hatósághoz. Tekintettel arra, hogy a Kérelmezett az incidens bejelentését elmulasztotta, a Hatóság megállapította az Infotv. 25/J. § (1) bekezdésének megsértését. [90] A Hatóság jelen határozatban rámutat arra is, hogy nem egyedi eset a Kérelmezettnél a zárt adatkezelés elmulasztása, valamint a címzettek személyes adatainak a határozatban jogszerű cél nélkül történő feltüntetése. A Hatóság korábban a NAIH-937-1/2023. számú határozatában is megállapította Kérelmezettel szemben ezen jogsértések tényét.

IV. Jogkövetkezmények

[91] A Hatóság az Infotv. 61. § (1) bekezdés ba) alpontja alapján, kérelemre megállapítja a személyes adatok jogellenes kezelésének tényét, tekintettel arra, hogy Kérelmezett az eljárása során a hiányos adatbiztonsági intézkedése okán megsértette az Infotv. 25/I. § (1) bekezdését, valamint a (3) bekezdés b) és h) pontjában foglaltakat, mert elmulasztotta a Kérelmezők személyes adatainak zártan történő kezelését. Egyik esetben az előadó tévesen értelmezte a Be. normaszövegét, mely értelmezés azonban tulajdonképpen kiüresítené a zárt adatkezelés intézményét, hiszen az alapján akkor a vádemelésnél vagy az eljárás megszüntetésénél mindenképpen kiderülnének a zárt adatkezelést kérő személy adatai. A másik esetben azonban nem a normaszöveg téves értelmezése miatt mulasztott, hanem hanyagságból küldte meg nem anonimizált formában a feljelentést, mint nyomozati iratot a gyanúsított védője részére. [92] Ugyancsak az Infotv. 61. § (1) bekezdés ba) alpontja alapján a Hatóság megállapította a személyes adatok jogellenes kezelésének tényét, tekintettel arra, hogy a Kérelmezett megsértette az Infotv. 4. § (1) - (2) bekezdését azzal, hogy jogszerű cél hiányában, szükségtelenül rögzítette a Kérelmező2 nevét a […] számon hozott, eljárást megszüntető határozatban. [93] A Hatóság megállapította az Infotv. 25/J. § (1) bekezdésének megsértését is, tekintettel arra, hogy a Kérelmezett az adatvédelmi incidenst nem jelentette be a Hatósághoz.

[94] Mindezekre tekintettel a Hatóság az Infotv. 61. § (1) bekezdés b) pontjának bg) alpontja alapján a Kérelmezettel szemben adatvédelmi bírság kiszabásáról döntött. A bírságkiszabás mind a speciális, mind a generális prevenciót is szolgálja. A feltárt jogsértésekre tekintettel a Hatóság álláspontja szerint jelen esetben indokolt a bírság kiszabása. [95] A Hatóság a bírság mértékének meghatározásakor enyhítő körülményként értékelte a Kérelmezett incidens bekövetkezte után foganatosított intézkedéseit, úgymint az érintettek incidensről való tájékoztatása, a zárt adatkezeléssel kapcsolatos eljárásrend felülvizsgálata, valamint a jövőbeni hasonló esetek elkerülése érdekében a személyi állomány dokumentált oktatása, és a zárt adatkezeléssel kapcsolatos témaellenőrzés foganatosítása. A Hatóság további enyhítő körülményként értékelte, hogy az incidenssel mindössze 2 személy volt érintett. [96] A Hatóság a bírság mértékének meghatározásakor azonban súlyosbító körülményként vette figyelembe, hogy a Kérelmezett az incidenst nemhogy magas kockázatúnak, de még kockázatosnak sem minősítette, annak ellenére, hogy törvényen alapuló védelmi kötelezettségét szegte meg és ezzel a Kérelmezők családi-és magánéletének védelméhez való jogára gyakorolt lényeges befolyást az incidenssel okozott sérelem. [97] A Hatóság álláspontja szerint amellett, hogy az Infotv. által kiszabható maximális húszmillió forint mindössze 1,5 %-át jelentő bírságösszeget határozott meg, a bírság mértékének meghatározásakor – annak funkciójára és a fokozatosság elvére is figyelemmel – figyelembe vette azt is, hogy a bírságnak kellő erejűnek, érezhető mértékűnek kell lennie ahhoz, hogy a megállapított jogsértés szankcionálásán túl ténylegesen is ösztönözzön a jogszerű magatartásra. [98] A Hatóság az Infotv. 61. § (2) bekezdés b) pontja alapján a határozatnak Kérelmezett azonosító adataival történő nyilvánosságra hozatalát is elrendelte, mivel azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta. [99] A Hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet Kérelmezőknek.

V. Egyéb kérdések

[100] Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. [101] A Hatóság illetékessége az ország egész területére kiterjed.

[102] Az Ákr. 112. §-a, és 116. § (1) bekezdése, valamint a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * [103] A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdés alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. [104] A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perendtartásról szóló 2016. évi CXXX.

törvénynek (a továbbiakban: Pp.) 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési törvény) 9. § (1) bekezdés b) pontja szerint az Ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. [105] A keresetlevél benyújtásának helyét is idejét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1) és (2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (a továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és az Itv. 62. § (1) bekezdés h) pontja alapján mentesíti az eljárást kezdeményező felet. [106] Az Ákr. 132. §-a szerint, ha az ügyfél a Hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény, vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Kelt: Budapest, az elektronikus aláírás szerint

Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár