Hungarian Data Protection Authority (NAIH): Fulfilling an access request and legal professional privilege

…………………………………………………………………………………………………………………………………………………………... 1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu

Ügyiratszám: NAIH-186-2/2024 Tárgy: kérelemnek részben helyt Előzmény Ügyiratszám: NAIH-2104/2023 adó határozat Ügyintéző:

HATÁROZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt

[…] (a továbbiakban: Kérelmező) a Hatósághoz 2023. január 26. napján benyújtott kérelmére

[…] (a továbbiakban: Kérelmezett) Kérelmezettel szemben hozzáférési jog megsértése tárgyában adatvédelmi hatósági eljárás indult. A Hatóság a fenti adatvédelmi hatósági eljárásban az alábbi döntéseket hozza: A Hatóság

1. a Kérelmező kérelmének részben helyt ad, és megállapítja, hogy a Kérelmezett nem megfelelő tájékoztatást adott a Kérelmezőnek, ezzel megsértve a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679/EU rendelet (a továbbiakban: általános adatvédelmi rendelet vagy GDPR) 15. cikk (1) bekezdését, egyebekben a Kérelmező kérelmét elutasítja;

INDOKOLÁS

I.

Az eljárás menete

(1) A Kérelmező ügyfélkapun keresztül 2023. január 27. napján kérelmet nyújtott be a Hatósághoz (NAIH-2104-1/2023), melyben előadta, hogy hozzáférési jogát a Kérelmezett megsértette, mert mind a mai napig nem kapott választ a Kérelmezettnek postai úton megküldött, 2022. december 16. napján kelt hozzáférési kérelmében foglaltakra. A Kérelmező

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16.) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. Az űrlap az alábbi linkről érhető el: https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata a kérelméhez mellékletként csatolta a Kérelmezettnek megküldött levelének, valamint a levél postai feladását igazoló feladóvevénynek a másolatát. (2) A Kérelmező kérte a Hatóságot, hogy állapítsa meg a jogsértést a Kérelmező hozzáférési joga gyakorlására irányuló kérelmével kapcsolatosan, továbbá, hogy a Hatóság kötelezze a Kérelmezettet arra, hogy a Kérelmező részére adjon a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: „GDPR” vagy „általános adatvédelmi rendelet”) 15. cikk (1) bekezdés szerinti, megfelelő tartalmú tájékoztatást a Kérelmező Kérelmezett által kezelt személyes adatairól. (3) A Hatóság NAIH-2104-2/2023 ügyiratszámú végzésében felhívta a Kérelmezettet arra, hogy a tényállás tisztázása érdekében adjon tájékoztatást a végzésben foglaltakról. (4) A Hatóság felhívására a Kérelmezett 2023. március 7. napján előterjesztett nyilatkozatában (NAIH-2103-3/2023) előadta, hogy mint gyakorló ügyvédet az ügyvédi tevékenységről szóló 2017. évi LXXVIII. törvény (a továbbiakban: Üttv.) 9. § -a szerint titoktartási kötelezettség terheli. Ez a titoktartási kötelezettség abszolút, és az üggyel kapcsolatos minden adatra kiterjed. A Kérelmezett hivatkozott az általános adatvédelmi rendelet 14. cikk (5) bekezdésének d) pontjára, mely értelmében nem kell az érintett rendelkezésére bocsátani az adatkezeléssel összefüggő információkat, ha a személyes adatoknak valamely uniós jog vagy tagállami jogban előírt szakmai titoktartási kötelezettség alapján – ideértve a jogszabályon alapuló titoktartási kötelezettséget is – bizalmasnak kell maradnia. A Kérelmezett kiemelte, hogy a Kérelmező soha nem volt ügyfele, hanem az ellenérdekű fél volt. A Kérelmezett álláspontja szerint a fenti jogszabályi rendelkezésből az következik, hogy a Kérelmezővel szemben őt nem terheli tájékoztatási kötelezettség, másképp megfogalmazva a Kérelmezőnek nincs hozzáférési joga. Mindezek miatt a Kérelmező kérelme – a Kérelmezett álláspontja szerint – teljes egészében alaptalan. (5) A Kérelmezett előadta továbbá, hogy a Kérelmező hozzáférési kérelme 2022. december 19. napján érkezett hozzá. A levélben foglaltakra a Kérelmezett 2023. január 7. napján kelt levelében adott választ, azonban a levél „nem kereste” jelzéssel érkezett vissza hozzá. Ezt követően a levelet a Kérelmezőnek a Kérelmező e-mail címére is elküldte. (6) A Kérelmezett a titoktartási kötelezettségére hivatkozva nem adott teljeskörű választ arra, hogy a Kérelmező mely személyes adatait, milyen célból, meddig kezeli. A Kérelmezett a személyes adatok kezelésének jogalapjaként az általános adatvédelmi rendelet 6. cikk (1) bekezdés c) és f) pontjait jelölte meg, a személyes adatok kezelésének kezdő időpontjaként pedig 2019. január 9. napját. (7) Tekintettel arra, hogy a Kérelmezett a Hatóság felhívására nyilatkozatában előadta, hogy a sikertelen postai kézbesítést követően a Kérelmező részére e-mailben is elküldte a Kérelmező hozzáférési kérelmére adott válaszát, azonban ezt az állítását bizonyítékkal nem támasztotta alá, a tényállás megállapítása érdekében a Hatóság NAIH-2104-4/2023 ügyiratszám alatti végzésében felhívta a Kérelmezettet, hogy küldje meg a Kérelmezőnek a postai sikertelen kézbesítést követően írt e-mail másolatát. (8) A Kérelmezett a Hatósághoz 2023. április 11. napján beérkezett, NAIH-2104-5/2023 ügyiratszám alatt iktatott nyilatkozatában előadta, hogy a Kérelmező 2022. november 29. napján az […] e-mail címről intézett hozzá elektronikus levelet, melyre tekintettel a Kérelmezett a hozzáférési kérelemre adott válaszát is erre a Kérelmező által használt e-mail címre küldte el. A Kérelmezett a nyilatkozatához mellékletként csatolta a fenti e-mail másolatát annak bizonyítására, hogy a Kérelmező által használt e-mail címre küldte meg a levelét, továbbá a Hatóság felhívásának eleget téve csatolta annak az e-mailnek a másolatát is, amelyben a hozzáférési kérelemre adott válaszát a postai sikertelen kézbesítést követően elküldte a Kérelmezőnek. (9) A Hatóság 2021. május 14-én az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 76. §-a alapján nyilatkozattételre és észrevételek megtételére hívta fel a Kérelmezőt (NAIH-2104-6/2023. sz. végzés) és a Kérelmezettet (NAIH- 2104-7/2023. sz. végzés) a bizonyítás lezárása előtt. (10) A Kérelmező a Hatóság Ákr. 76. § szerinti felhívására iratbetekintést követően a Hatósághoz 2023. május 2. napján beérkezett 2104-12/2023 sz. alatti nyilatkozatában az alábbi észrevételeket tette:

i. A Kérelmezettet mint gyakorló ügyvédet az Üttv. 9. §-a szerint titoktartási kötelezettség terheli, azonban ez nem vonatkozik olyan személyes adatokra, amelyeket az adatok gazdája beleegyezésével kell kiadnia. ii. A Kérelmezett tévesen hivatkozott a jelen ügyben az általános adatvédelmi rendelet 14. cikk (5) bekezdésének d) pontjára. iii. Az ügyvédi tevékenység kapcsán nem számít, hogy a Kérelmező ellenérdekű féle, a lényeg, hogy a Kérelmezett kezeli-e a személyes adatait vagy sem. iv. Volt egy polgári per és számtalan olyan más eset is, ahol a Kérelmezett a Kérelmező személyes adatait kezelte és erről nem adott tájékoztatást. v. A Kérelmezett az általános adatvédelmi rendelet 4. cikk 7. pontja szerinti adatkezelőnek minősül. A Kérelmezőnek hozzáférési joga van az általa kezelt személyes adatokhoz. vi. A Kérelmező bizonyítási indítványként kérte figyelembe venni, hogy a Kérelmezett által küldött és hivatkozott postai küldemény téves címre lett elküldve és ezért nem tudta átvenni. A Kérelmező álláspontja szerint a Kérelmezett pontosan tudta a Kérelmező lakcímét, ezért a téves küldés feltételezi a Kérelmezett rosszhiszeműségét. vii. A Kérelmezett szándékosan nem említi meg a jövedelmi viszonyai kapcsán, hogy az ügyvédi tevékenységből származó jövedelme nem annyi, mint a nyugdíja, hanem jóval több. Erre tekintettel a Kérelmező kérte az Ákr. 64. §-át alkalmazni. A Kérelmező hivatkozott az Ákr. 64. § (2) bekezdésére. (11) A Kérelmezett a Hatóság Ákr. 76. § szerinti felhívására iratbetekintést követően a Hatósághoz 2013. május 10. napján beérkezett 2104-14/2023 sz. alatti nyilatkozatában az alábbi észrevételeket tette:

i. A Kérelmezett fenntartotta és megismételte azt a védekezését, hogy a jelen ügyben irányadó az általános adatvédelmi rendelet 14. cikke (5) bekezdésének d) pontja, eszerint a Kérelmezőnek nincs hozzáférési joga, következésképpen azt nem is lehet megsérteni. ii. A Kérelmezett előadta, hogy őt mint ügyvédet jogszabálynál fogva titoktartási kötelezettség terheli, emiatt alkalmazandó az általános adatvédelmi rendelet 14. cikk (5) bekezdésének d) pontja. iii. A fentiekre tekintettel a Kérelmezett álláspontja szerint elvi éllel merül fel azon tétel kimondásának szükségessége, hogy az ügyvéd által képviselt fél ellenérdekű felével szemben nem terheli tájékoztatási kötelezettség. (12) Tekintettel arra, hogy mind a Kérelmező mind a Kérelmezett az iratbetekintési joguk gyakorlását követően újabb nyilatkozatokat tettek, az eljárásban további kérdések tisztázása vált szükségessé, ezért a Hatóság a tényállás tisztázása érdekében további tájékoztatást kért a Kérelmezettől az adatkezelés körülményei vonatkozásában (NAIH-2104-15/2023 sz. végzés). (13) A Hatóság felhívására a Kérelmezett előadta az alábbiakat (NAIH-2104-16/2023 sz. alatt iktatott nyilatkozat). (14) A Kérelmezőre vonatkozó adatok két ügyben szerepelnek, egy polgári peres eljárásban és egy polgári jogi igénnyel kapcsolatos eljárásban. A polgári peres eljárás kapcsán kezelt adatok vonatkozásában a Kérelmezett a Hatóság felhívására megjelölte a GDPR 23. cikk (1) bekezdés j) pontját, míg a polgári jogi igénnyel kapcsolatos peren kívüli eljáráshoz kapcsolódóan kezelt személyes adatok vonatkozásában a GDPR. 23. cikk (1) bekezdés i) és j) pontját. Az adatkezelés jogszerűsége vonatkozásában a Kérelmezett az általános adatvédelmi rendelet 6. cikk (1) bekezdés c); e) és f) pontját jelölte meg. Az előbbi eljárás 2019. október 28. napján, az utóbbi 2022. november 29. napján zárult le. (15) A Kérelmezett a Kérelmező személyes adatainak forrása vonatkozásában pontosította a korábbi nyilatkozatában foglaltakat. (16) Nyilatkozott továbbá a Kérelmezett, hogy álláspontja szerint azok az iratok, amelyekben a Kérelmező személyes adatai szerepelnek, nem minősülnek az Üttv. 13. § (3) bekezdése szerinti védekezés céljából készült iratnak. (17) A Kérelmezett ismételten hivatkozott az Üttv. 9. § (1) bekezdésére, amely szerint ügyvédi titoknak minősül minden olyan tény, információ és adat, amelyről az ügyvédi tevékenység gyakorlója e tevékenysége gyakorlása során szerzett tudomást. A Kérelmezett előadta, hogy „a szakirodalom egységes abban, hogy a hangsúly a „minden” szón van, ebből következően mindegy, hogy az adat, tény a megbízóra vagy másra, akár az ellenérdekű félre vonatkozik.” (18) A Hatóság azon felhívására, hogy a Kérelmezett indokolja meg, hogy a Kérelmező esetében az alábbi információk milyen okból minősülnek ügyvédi titoknak:

i. az érintett személyes adatok kategóriái;

ii. azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják;

iii. a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

iv. az arról való tájékoztatás, hogy az érintett kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;

v. az érintettnek valamely felügyeleti hatósághoz címzett panasz benyújtásának jogáról adott tájékoztatás;

vi. az általános adatvédelmi rendelet 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár, a Kérelmezett az alábbiakat adta elő.

(19) A (17) bekezdés i. pontja vonatkozásában a Kérelmezett előadta, hogy Kérelmező személyes adatai egyidejűleg tények és személyes adatok és a Kérelmezettnek mint ügyvédnek feltétel nélkül titokként kell ezeket kezelnie. (20) A Kérelmezett előadta továbbá a (17) bekezdés ii. pontja vonatkozásában, hogy álláspontja szerint abszurd lenne, ha a perindítás előtt az alperest külön tájékoztatnák arról, hogy az adatai a keresetlevélben szerepelni fognak. (21) A Kérelmezett a (17) bekezdés iii. pontja vonatkozásában előadta, hogy „egy peres ügyben nem lehet tudni, meddig fog tartani, és ráadásul ügyvédi szempontból egy peres ügy a jogerős ítélettel egyáltalán nem biztos, hogy befejeződik, mert szervesen ide kapcsolódik az esetleges bírósági végrehajtási eljárás, amelynek időtartama semmilyen módon nem becsülhető. Más oldalról befolyásolhatják az időtartamot az iratkezelési szabályzatokban meghatározott minimális selejtezési idők.” (22) A Kérelmezett a (17) bekezdés iv. pontja vonatkozásában előadta, hogy „az itt felvetett kérdés szerintem nem az ügyvédi titoknak történő minősítés kérdése, hanem a kérdés valójában az, hogy az érintett – tehát esetünkben az ügyvéd megbízónak ellenérdekű fele élhet-e azzal, hogy kérje az adatainak helyesbítését, törlését, vagy tiltakozhat az ilyen adatok kezelése ellen. Csak arra tudok sorozatosan hivatkozni, hogy maga a GDPR 14. cikk (5) bekezdésének d) pontja zárja ki azt, hogy ilyen jogokkal élhessen az ellenérdekű fél. Az ellenkező értelmezés arra a teljesen lehetetlen helyzetre vezetne, hogy az ellenérdekű fél ad absurdum az adatai törlését kéri, melynél fogva meghiúsítja a megbízó fél alapvető jogának: a jogos igényének az érvényesítését. De felfoghatjuk úgy is, hogy a jogok, jogos érdekek összemérésének az eredménye: a jogos érdek – akár peres úton való érvényesítése erősebb, mint az ellenérdekű félnek az adatkezeléshez fűződő érdeke.” (23) A Kérelmezett a (17) bekezdés v. pontja vonatkozásában előadta, hogy „a panaszjogra vonatkozó tájékoztatás követelménye sem ügyvédi titok önmagában, de mégis teljesen képtelen helyzetet eredményezne a gyakorlatban. Feltéve, de meg nem engedve: minden felszólítás (pl. kölcsöntartozás vagy kártérítés fizetésére való ügyvédi felszólítás) előtt vagy a polgári per megindítása előtt (vagy a per alatt?) tájékoztatni kellene a címzettet vagy az alperest, hogy panasszal élhet az adatkezelő hivatásos jogi képviselőjével szemben? Azt gondolom, hogy az igényérvényesítés, mint jogszerű érdek felülírja a panaszjogra vonatkozó tájékoztatáshoz való érdeket.” (24) A Kérelmezett a (17) bekezdés vi. pontja vonatkozásában előadta, hogy álláspontja szerint az automatizált döntéshozatal és a profilalkotás a jelen ügy szerinti helyzetben fel sem merülhet. (25) A Kérelmezett továbbá ismételten hivatkozott a GDPR 14. cikk (5) bekezdésére, mely álláspontja szerint konkrét rendelkezést tartalmaz arra nézve, hogy a titoktartásra kötelezett adatkezelővel szemben az érintettet hozzáférési jog nem illeti meg, az Üttv. 9. §-a értelmében pedig az ügyvéd titoktartásra kötelezett személy. Hivatkozott továbbá arra a Kérelmezett, hogy mivel a GDPR 15. cikk (1) bekezdés e) pontja értelmében az érintett akár az adat törlését is nemcsak kérheti, de egyenes követelheti is, ennek a rendelkezésnek az alkalmazása teljességgel ellehetetleníti a megbízó jogos igényének az érvényesítését. Ebben az összevetésben – a Kérelmezett álláspontja szerint – a megbízó jogi érdekének az érvényesítése megelőzi az érintett hozzáférési jogosultságát. (26) A Kérelmezett a Kérelmező azon hivatkozására, miszerint a postai küldeményt azért nem tudta átvenni, mert annak a címzése téves volt, és a feladó rosszhiszeműségét állította, az alábbiakat nyilatkozta. A Kérelmező 2022. december 16-án kelt levelét tartalmazó borítékot már az eljárásban becsatolta a Kérelmezett. A Kérelmező címe a borítékon olvasható […]-nek is. A posta a levelet „nem kereste” jelzéssel küldte vissza, nem pedig „címzett ismeretlen”, „elköltözött” vagy „cím nem azonosítható” jelzéssel. Ezért küldte meg a Kérelmezett a válaszát elektronikusan a Kérelmező részére. Mindezek mellett a Kérelmező a peres eljárásában a 2022. évben teljesen különböző címeket (egyszer egy […], egyszer egy […] címet) jelölt meg. Ennek alátámasztására a Kérelmezett mellékletként csatolta a két boríték másolatát. A Kérelmezett előadta, hogy a fentiekre tekintettel az eljárása jóhiszemű volt. (27) A Kérelmezett tájékoztatta a Hatóságot, hogy a peres eljárásban az ügyvédi megbízás és tényvázlat, az elsőfokú ítélet, a bíróság kijavító végzése, a bírósági határozatok jogerősségét megállapító végzések, továbbá az alperes pénzügyi teljesítésére és annak az ügyfél részére történt kifizetésére vonatkozó banki tranzakciós lapok kivételével az összes irat selejtezésre került. A peren kívüli eljárásban a selejtezhetőségi időtartam nem telt el.

(28) A Kérelmezett 2023. november 21. napján iratbetekintési kérelmet terjesztett elő a Hatóság felé, amely kérelemnek a Hatóság a NAIH-186-1/2024 ügyiratszámú végzéssel és annak mellékleteivel tett eleget.

(29) A Kérelmező a Hatóság által a NAIH-2104-24/2023 ügyiratszámon iktatott nyilatkozatában egyfelől arra kérte a Hatóságot, hogy vegye figyelembe döntése meghozatala során több korábbi állásfoglalását. Mindezek mellett a Kérelmező arra is kérte a Hatóságot, hogy nyilatkoztassa a Kérelmezettet a NAIH-2104-19/2023 ügyiratszámú végzés (27) bekezdésében említett iratselejtezés körülményeiről, valamint vegye figyelembe döntése meghozatala során, hogy a Kérelmezett a hivatkozott korai iratselejtezéssel megsértette az Üttv. és az ügyvédi tevékenység gyakorlásával összefüggő iratok megőrzéséről szóló 16/2018. (XI.26.) MÜK szabályzat (a továbbiakban: MÜK szabályzat) rendelkezéseit. II.

Az ügyben alkalmazandó jogszabályi rendelkezések

(30) Az általános adatvédelmi rendelet 2. cikk (1) bekezdése szerint az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. (31) Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. (32) Az Infotv. 2. § (3) bekezdése alapján személyes adatok bűnüldözési, nemzetbiztonsági és honvédelmi célú kezelésére az általános adatvédelmi rendelet helyett az Infotv-t kell alkalmazni. (33) Az Infotv. 3. § 10a pontja alapján „bűnüldözési célú adatkezelés” a jogszabályban meghatározott feladat- és hatáskörében a közrendet vagy a közbiztonságot fenyegető veszélyek megelőzésére vagy elhárítására, a bűnmegelőzésre, a bűnfelderítésre, a büntetőeljárás lefolytatására vagy ezen eljárásban való közreműködésre, a szabálysértések megelőzésére és felderítésére, valamint a szabálysértési eljárás lefolytatására vagy ezen eljárásban való közreműködésre, továbbá a büntetőeljárásban vagy szabálysértési eljárásban megállapított jogkövetkezmények végrehajtására irányuló tevékenységet folytató szerv vagy személy ezen tevékenység keretei között és céljából – ideértve az ezen tevékenységhez kapcsolódó személyes adatok levéltári, tudományos, statisztikai vagy történelmi célból történő kezelését is – végzett adatkezelése. (34) Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. (35) A hatósági eljárás lefolytatására az Ákr. 7. § (1) bekezdése alapján az Ákr. rendelkezéseit kell alkalmazni. (36) Az Ákr. 10. § (1) bekezdés szerint ügyfél az a természetes vagy jogi személy, egyéb szervezet, akinek (amelynek) jogát vagy jogos érdekét az ügy közvetlenül érinti, akire (amelyre) nézve a hatósági nyilvántartás adatot tartalmaz, vagy akit (amelyet) hatósági ellenőrzés alá vontak. (37) Az Ákr. 35. § (1) bekezdés szerint a kérelem az ügyfél olyan nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében. (38) Az általános adatvédelmi rendelet 2. cikk (2) bekezdése szerint az általános adatvédelmi rendelet nem alkalmazandó a személyes adatok kezelésére, ha azt az uniós jog hatályán kívül eső tevékenységek során végzik, vagy a tagállamok az EUSZ V. címe 2.

fejezetének hatálya alá tartozó tevékenységek során végzik, vagy természetes személyek kizárólag személyes vagy otthoni tevékenységük keretében végzik, vagy az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzik, ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését. (39) Az általános adatvédelmi rendelet 2. cikk (3) bekezdése szerint az általános adatvédelmi rendelet nem alkalmazandó a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelésére. (40) Az általános adatvédelmi rendelet 4. cikk 1. pontja szerint „személyes adat” azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ. (41) Az általános adatvédelmi rendelet 4. cikk 2. pontja szerint „adatkezelés” a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége. (42) Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján adatkezelő az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza. (43) Az általános adatvédelmi rendelet 12. cikk (3) bekezdése alapján az adatkezelő az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15–22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. (44) Az adatkezelő az általános adatvédelmi rendelet 14. cikke szerinti tájékoztatást köteles megadni az érintettek részére, amennyiben a személyes adatokat nem közvetlenül az érintettektől gyűjti. Az általános adatvédelmi rendelet 14. cikk (1) bekezdése alapján ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat: a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) az érintett személyes adatok kategóriái; e) a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozás. Az (1) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat: a) a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; b) ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről; c) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga; d) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; e) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; f) a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e; és g) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. (45) Az általános adatvédelmi rendelet 14. cikk (5) bekezdés d) pontja szerint a 14. cikk szerinti kötelezettség nem áll fenn, ha a személyes adatoknak valamely uniós vagy tagállami jogban előírt szakmai titoktartási kötelezettség alapján, ideértve a jogszabályon alapuló titoktartási kötelezettséget is, bizalmasnak kell maradnia. (46) Az általános adatvédelmi rendelet 15. cikk (1) bekezdés szerint az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái;

c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár. (47) Az általános adatvédelmi rendelet 15. cikk (4) bekezdés szerint a személyes adatok másolatának igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait. (48) Az általános adatvédelmi rendelet 16. cikke szerint az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatkezelés célját, az érintett jogosult arra, hogy kérje a hiányos személyes adatok - egyebek mellett kiegészítő nyilatkozat útján történő kiegészítését. (49) Az általános adatvédelmi rendelet 17. cikk (1) bekezdése szerint az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:

a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték; b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja; c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezelés ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen; d) a személyes adatokat jogellenesen kezelték; e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell; f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor. A (2) bekezdés szerint ha az adatkezelő nyilvánosságra hozta a személyes adatot, és az (1) bekezdés értelmében azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az észszerűen elvárható lépéseket - ideértve technikai intézkedéseket - annak érdekében, hogy tájékoztassa az adatokat kezelő adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését. A (3) bekezdés szerint az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:

a) a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából;

b) a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából; c) a 9. cikk (2) bekezdése h) és i) pontjának, valamint a 9. cikk (3) bekezdésének megfelelően a népegészségügy területét érintő közérdek alapján; d) a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben az (1) bekezdésben említett jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez. (50) Az általános adatvédelmi rendelet 21. cikke (1) bekezdése szerint az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak. A (2) bekezdés szerint ha a személyes adatok kezelése közvetlen üzletszerzés érdekében történik, az érintett jogosult arra, hogy bármikor tiltakozzon a rá vonatkozó személyes adatok e célból történő kezelése ellen, ideértve a profilalkotást is, amennyiben az a közvetlen üzletszerzéshez kapcsolódik. A (3) bekezdés szerint a az érintett tiltakozik a személyes adatok közvetlen üzletszerzés érdekében történő kezelése ellen, akkor a személyes adatok a továbbiakban e célból nem kezelhetők. A (4) bekezdés szerint az (1) és (2) bekezdésben említett jogra legkésőbb az érintettel való első kapcsolatfelvétel során kifejezetten fel kell hívni annak figyelmét, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni. Az (5) bekezdés szerint az információs társadalommal összefüggő szolgáltatások igénybevételéhez kapcsolódóan és a 2002/58/EK irányelvtől eltérve az érintett a tiltakozáshoz való jogot műszaki előírásokon alapuló automatizált eszközökkel is gyakorolhatja. A (6) bekezdés a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően tudományos és történelmi kutatási célból vagy statisztikai célból kerül sor, az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból tiltakozhasson a rá vonatkozó személyes adatok kezelése ellen, kivéve, ha az adatkezelésre közérdekű okból végzett feladat végrehajtása érdekében van szükség.

(51) Az általános adatvédelmi rendelet 23. cikk (1) bekezdés szerint az adatkezelőre vagy adatfeldolgozóra alkalmazandó uniós vagy tagállami jog jogalkotási intézkedésekkel korlátozhatja a 12-22. cikkben és a 34. cikkben foglalt, valamint a 12-22. cikkben meghatározott jogokkal és kötelezettségekkel összhangban lévő rendelkezései tekintetében az 5. cikkben foglalt jogok és kötelezettségek hatályát, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát, valamint az alábbiak védelméhez szükséges és arányos intézkedés egy demokratikus társadalomban: a) nemzetbiztonság; b) honvédelem; c) közbiztonság; d) bűncselekmények megelőzése, nyomozása, felderítése vagy a vádeljárás lefolytatása, illetve büntetőjogi szankciók végrehajtása, beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését; e) az Unió vagy valamely tagállam egyéb fontos, általános közérdekű célkitűzései, különösen az Unió vagy valamely tagállam fontos gazdasági vagy pénzügyi érdeke, beleértve a monetáris, a költségvetési és az adózási kérdéseket, a népegészségügyet és a szociális biztonságot; f) a bírói függetlenség és a bírósági eljárások védelme; g) a szabályozott foglalkozások esetében az etikai vétségek megelőzése, kivizsgálása, felderítése és az ezekkel kapcsolatos eljárások lefolytatása; h) az a)-e) és a g) pontban említett esetekben - akár alkalmanként - a közhatalmi feladatok ellátásához kapcsolódó ellenőrzési, vizsgálati vagy szabályozási tevékenység; i) az érintett védelme vagy mások jogainak és szabadságainak védelme; j) polgári jogi követelések érvényesítése. (52) Az általános adatvédelmi rendelet 55. cikk (3) bekezdés szerint a felügyeleti hatóságok hatásköre nem terjed ki a bíróságok által igazságügyi feladataik ellátása során végzett adatkezelési műveletek felügyeletére. (53) Az általános adatvédelmi rendelet 58. cikk (2) bekezdés c) pontja szerint a Hatóság utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az általános adatvédelmi rendelet szerinti jogai gyakorlására vonatkozó kérelmét. (54) Az általános adatvédelmi rendelet 77. cikk (1) bekezdés szerint egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet. (55) Az Infotv. 60. § (2) bekezdése alapján az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet hatálya alá tartozó adatkezelések esetén az általános adatvédelmi rendelet 77. cikk (1) bekezdésében meghatározott esetben nyújtható be. (56) Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja. (57) Az Infotv. 75/A. §-a alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)– (6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

(58) Az Üttv. 9. § (1) bekezdése szerint ügyvédi titoknak minősül minden olyan tény, információ és adat, amelyről az ügyvédi tevékenység gyakorlója e tevékenysége gyakorlása során szerzett tudomást. (59) Az Üttv. 9. § (2) bekezdése szerint ha az Üttv. eltérően nem rendelkezik, az ügyvédi tevékenység gyakorlója köteles az ügyvédi titkot megtartani. E titoktartási kötelezettség kiterjed az ügyvédi titkot tartalmazó iratra vagy más adathordozóra is. (60) Az Üttv. 9. § (3) bekezdése szerint az ügyvédi tevékenység gyakorlója az ügyvédi titokról való tanúvallomás tételét és adatszolgáltatás teljesítését bármely hatósági és bírósági eljárásban köteles megtagadni, kivéve, ha a titoktartási kötelezettsége alól felmentést kapott az ügyvédi titokról rendelkezni jogosulttól, azzal, hogy – a 12. § (4) bekezdésében meghatározott kivétellel – a védőként megismert ügyvédi titokról való tanúvallomás tételre és adatszolgáltatás teljesítésére felmentés érvényesen nem adható. (61) Az Üttv. 9. § (4) bekezdése szerint az ügyvédi tevékenység gyakorlójának titoktartási kötelezettsége független az ügyvédi tevékenység folytatására létrejött jogviszony fennállásától, és az ügyvédi tevékenység gyakorlásának a befejezése vagy a jogviszony megszűnése után is határidő nélkül fennmarad. (62) Az Üttv. 12. § (1) bekezdés szerint az ügyvédi titokkal az ügyfél vagy jogutódja jogosult rendelkezni. (63) Magyarország Alaptörvénye Q) cikk (3) bekezdés első mondata alapján Magyarország elfogadja a nemzetközi jog általánosan elismert szabályait. (64) A 2007. december 13-án aláírt Lisszaboni Szerződést elfogadó kormányközi konferencia zárónyilatkozatához csatolt, az uniós jog elsőbbségéről szóló 17. nyilatkozat értelmében „az Európai Unió Bírósága állandó ítélkezési gyakorlatának megfelelően a Szerződések és a Szerződések alapján az Unió által elfogadott jogi aktusok az említett ítélkezési gyakorlat által megállapított feltételek szerint a tagállamok jogával szemben elsőbbséget élveznek.” (65) Az Európai Bíróság (jelenleg: az Európai Unió Bírósága) a Flaminio Costa kontra E.N.E.L. ügyben 1964. július 15. napján meghozott precedens értékű ítélete megerősítette az Európai Gazdasági Közösség (EGK) (jelenleg: Európai Unió (EU)) jogának elsőbbségét az uniós tagállamok nemzeti jogaival szemben. Az ítélet a közösségi jog (ma: uniós jog) általános elvét, az uniós jog elsőbbségét állapítja meg, így garantálva, hogy az Unió joga elsőbbséget élvez a tagállamok nemzeti jogával szemben. Az elsőbbség elve biztosítja, hogy az uniós jog az Unió egész területén egységesen védi a polgárokat. (66) Az Európai Unió Bíróságának következetes gyakorlata [2018. december 4-i ítélet, C- 378/17, 38. bekezdés] a tagállami jogalkalmazókra, így a bíróságokra és más állami szervekre az alábbi kötelezettséget rója: „Amint azt a Bíróság több alkalommal kimondta, ezen, az uniós joggal ellentétes nemzeti jogszabályok alkalmazásának mellőzésére vonatkozó kötelezettség nemcsak a nemzeti bíróságokat terheli, hanem az uniós jogot hatáskörének keretei között alkalmazni hivatott minden állami szervet is, ideértve a közigazgatási hatóságokat (lásd ebben az értelemben: 1989. június 22 i Costanzo ítélet, 103/88, EU:C:1989:256, 31. pont; 2003. szeptember 9 i CIF ítélet, C 198/01, EU:C:2003:430, 49. pont; 2010. január 12 i Petersen ítélet, C 341/08, EU:C:2010:4, 80. pont; 2017. szeptember 14 i The Trustees of the BT Pension Scheme ítélet, C 628/15, EU:C:2017:687, 54. pont).

III.

Döntés

1. Az uniós jog elsőbbsége

(67) Az EGK-Szerződésről (ma: az Európai Unióról szóló szerződés és az Európai Unió működéséről szóló szerződés) szóló előzetes döntéshozatalában a Bíróság az alábbiakat tisztázta: (i) A szokásos nemzetközi szerződésektől eltérően az EGK-Szerződés olyan európai jogrendszert hozott létre, amely a tagállamok jogrendszerének szerves részét képezi, és a tagállamokra nézve kötelező érvényű. (ii) Az EGK létrehozásával a tagállamok a szerződésből eredő jogokat és kötelezettségeket nemzeti jogrendszerükből az EGK jogrendszerébe helyezték át, saját szuverenitásukat korlátozták, és olyan joganyagot alkottak meg, amely állampolgáraikra és magukra nézve egyaránt kötelező érvényű. (iii) Ebből következik, hogy ha a tagállamok az uniós jognak ellentmondó nemzeti jogszabályokat fogadnának el, azzal magának az Uniónak a jogalapját kérdőjeleznék meg. Amennyiben mégis így tesznek, az érintett ország nemzeti bíróságain az uniós jognak elsőbbséget kell élveznie a nemzeti joggal szemben (más szóval felül kell írnia azt). (68) A későbbiekben a Bíróság ítélkezési gyakorlatában (ld. a Bíróság 1964. július 15i ítélete a Flaminio Costa kontra E.N.E.L. 6–64. sz. ügyben) pontosította az elsőbbség elvének hatályát. Az elv minden kötelező erejű uniós jogi aktusra érvényes, az elsődleges jogra (vagyis a szerződésekre), a másodlagos jogra (irányelvekre, rendeletekre, határozatokra stb.) és az EUB ítélkezési gyakorlatára egyaránt. Minden nemzeti jogi aktusra érvényes, függetlenül azok jellegétől (törvények, rendeletek, határozatok, körlevelek stb.), illetve attól, hogy a tagállam végrehajtó vagy jogalkotó hatalmi ága bocsátotta-e ki; abban az esetben is, ha e jogi aktusokat a szóban forgó uniós jogi aktus után fogadták el (Amministrazione delle Finanze kontra Simmenthal SpA, 1978); beleértve a nemzeti alkotmánynak az uniós joggal ellentétes rendelkezéseit is (Internationale Handelsgesellschaft mbH kontra Einfuhr- und Vorratsstelle für Getreide und Futtermittel, 1970 és Wünsche Handelsgesellschaft kontra Németország, 1984, az úgynevezett Solange I és Solange II ítélet). (69) Az Európai Unió működéséről szóló szerződést elfogadó kormányközi konferencia zárónyilatkozatához csatolt nyilatkozatban, amely az uniós jog elsőbbségéről szól, a konferencia emlékeztetett arra az elvre, hogy az uniós jog elsőbbséget élvez a nemzeti joggal szemben és hangsúlyozta, hogy ez az uniós jog egyik alapelve, annak ellenére is, hogy a szerződés nem tartalmazza. (70) Emellett az Európai Unió Bíróságának következetes gyakorlata [2018. december 4-i ítélet, C-378/17, 38. bekezdés] a tagállami jogalkalmazókra, így a bíróságokra és más állami szervekre, valamint a Nemzeti Adatvédelmi és Információszabadság Hatóságra az alábbi kötelezettséget rója: „Amint azt a Bíróság több alkalommal kimondta, ezen, az uniós joggal ellentétes nemzeti jogszabályok alkalmazásának mellőzésére vonatkozó kötelezettség nemcsak a nemzeti bíróságokat terheli, hanem az uniós jogot hatáskörének keretei között alkalmazni hivatott minden állami szervet is, ideértve a közigazgatási hatóságokat (lásd ebben az értelemben: 1989. június 22 i Costanzo ítélet, 103/88, EU:C:1989:256, 31. pont; 2003. szeptember 9 i CIF ítélet, C 198/01, EU:C:2003:430, 49. pont; 2010. január 12 i Petersen ítélet, C 341/08, EU:C:2010:4, 80. pont; 2017. szeptember 14 i The Trustees of the BT Pension Scheme ítélet, C 628/15, EU:C:2017:687, 54. pont). (71) Tekintettel a fentiekre, amennyiben az Üttv. és az általános adatvédelmi rendelet rendelkezései között ellentét merül fel, ez az ellentét csak látszólagos, azt az uniós jog elsőbbségének elve feloldja akként, hogy az általános adatvédelmi rendeletet rendeli alkalmazni a tagállami jogszabály – azaz az Üttv. – rendelkezései ellenében.

(72) Az általános adatvédelmi rendelet 2. cikk (1) bekezdése és az Infotv. 2. § (2) bekezdése alapján a személyes adatok kezelésére főszabály szerint az általános adatvédelmi rendelet alkalmazandó. Uniós rendelettől a tagállami jog kizárólag az uniós rendeletben meghatározott mértékben térhet el, és az ott szabályozott kérdésekben kizárólag az uniós rendelet által engedett mértékben hozhat kiegészítő szabályozást. (73) Az ügyvédi tevékenységgel kapcsolatos adatkezelésre az általános adatvédelmi rendelet 2. cikk (2) bekezdése, valamint az általános adatvédelmi rendelet 2. cikk (3) bekezdése szerinti kivételek egyike sem áll fenn, így arra az általános adatvédelmi rendelet alkalmazandó. (74) Az általános adatvédelmi rendelet 4. cikk 1., 2. és 7. pontja alapján más személy személyes adatán bármely művelet elvégzése az ügyvéd által adatkezelésnek minősül, amelyre alkalmazandóak az általános adatvédelmi rendelet, valamint az Infotv.-nek az Infotv. 2. § (2) bekezdésében meghatározott rendelkezései. (75) Az általános adatvédelmi rendelet 55. cikk (3) bekezdése kizárólag a bíróságokat veszi ki a Hatóság hatásköre alól, és kizárólag igazságügyi feladataik ellátása során végzett adatkezelési műveletek tekintetében. Ez nem érinti azt, hogy az általános adatvédelmi rendelet anyagi jogi szabályai a bíróságokra is irányadóak akár igazságügyi feladataik ellátása során, akár azon kívül, azonban az általános adatvédelmi rendelet 55. cikk (3) bekezdése szerinti tevékenység tekintetében azt nem a Hatóság, hanem bíróság jogosult vizsgálni. Ezen kívül az általános adatvédelmi rendelet nem tartalmaz más, a Hatóság általános hatáskörét tárgyi hatállyal szűkítő rendelkezést, és a tagállami jog részére sem ad eltérési lehetőséget erre. (76) A 22/1994. (IV 16.) AB határozat kifejtette, hogy az ügyvédi foglalkozás elsősorban az igazságszolgáltatáshoz és a jogalkalmazáshoz kapcsolódó tevékenység. Az igazságszolgáltatásban védőként, vagy jogi képviselőként való közreműködése alkotmányos követelmény és az eljárási törvények kötelező előírása. Az ügyvéd (a jogi képviselő) eljárásjogi státusát és helyzetét törvény szabályozza, eljárásbeli jogait és kötelességeit ugyancsak törvény írja elő. Az ügyvéd tevékenységét és feladatait tehát nem lehet önmagában megítélni és önmagában szabályozni, hanem csak annak az eljárásjogi rendszernek függvényében, amelyben tevékenysége, feladata magának a rendszernek része és amely rendszerből, a rendszer munkamegosztásából következik a foglalkozás sajátképpenisége. A foglalkozás sajátossága tehát az igazságszolgáltatás és jogalkalmazás rendszeréből folyik azon túl, hogy az igazságszolgáltatáshoz és jogalkalmazáshoz kapcsolódik. Az ügyvédi foglalkozásgyakorlás szabályai közjogi tartalmú, illetve vonatkozású normák. (77) A fentiek alapján megállapítható, hogy az ügyvédek általában az általános adatvédelmi rendelet hatálya alá tartozó adatkezelést végeznek, amelyet a Hatóság felügyel. Az általános szabályokat egyes specifikus jogszabályok egészítik ki mint az Üttv., azonban a fent kifejtettek alapján ezek csak az uniós jog által engedett mértékben térhetnek el az általános adatvédelmi rendelettől. (78) Az Infotv. 2. § (3) bekezdése és az Infotv. 3. § 10a pontja alapján büntetőeljárásban vagy szabálysértési eljárásban jogszabály alapján közreműködőként végzett adatkezelés tekintetében nem az általános adatvédelmi rendelet, hanem az Infotv. rendelkezései irányadóak – amelynek felügyeletét szintén a Hatóság látja el –, azonban a jelen ügyben ilyen jellegű adatkezelés a Kérelmezett és a Kérelmező vonatkozásában nem áll fenn.

(79) Az Európai Adatvédelmi Testület az adatkezelő és az adatfeldolgozó általános adatvédelmi rendelet szerinti fogalmáról szóló 7/2020 számú iránymutatásának 27. pont szerinti példája kifejezetten az ügyvédek adatkezelése vonatkozásában az alábbiakat rögzíti: Az ügyvédi tevékenység során „e feladat elvégzéséhez az ügyvédi irodának az üggyel kapcsolatos személyes adatokat kell kezelnie. A személyes adatok kezelésének oka az ügyvédi irodának arra vonatkozó megbízatása, hogy az ügyfelet a bíróság előtt képviselje. Ez a megbízás azonban nem kifejezetten a személyes adatok kezelésére irányul. Az ügyvédi iroda jelentős mértékben függetlenül jár el, például annak eldöntése során, hogy milyen információkat vegyen igénybe és azokat hogyan használja fel, hiszen az ügyfél társaság nem ad utasításokat a személyes adatok kezelésére vonatkozóan. A társaság jogi képviselőjeként ellátott feladat teljesítése során végzett adatkezelés tehát az ügyvédi iroda funkcionális szerepéhez kapcsolódik, így az ezen adatkezelés tekintetében adatkezelőnek tekintendő.” (80) A Magyar Ügyvédi Kamara Elnökségének az adatkezelői témakörben kiadott 1/2019. (IV.15.) számú szakmai álláspontja is kifejti, miszerint az ügyvéd tevékenységének ellátása során az általános adatvédelmi rendelet szempontjából elsődlegesen – kivéve, ha az ügyvéd és a megbízója közötti megállapodásából vagy esetlegesen egyéb kivételes körülményből más nem következik – önálló adatkezelőnek, és nem adatfeldolgozónak vagy közös adatkezelőnek minősül, mivel az ügyvédi adatkezelés céljait és eszközeit elsődlegesen az ügyvédekre vonatkozó jogszabályok és MÜK szabályzat határozzák meg. (81) Az adatkezelői minőség megállapítása szempontjából nem releváns az, hogy a Kérelmező a Kérelmezett ügyfele, vagy az ellenérdekű fél-e. A fent kifejtetteknek megfelelően ugyanis az adatkezelő meghatározásakor az általános adatvédelmi rendelet, nem pedig az Üttv. rendelkezései az irányadóak. Az ügyvéd az ügyvédi feladatainak ellátása során az ellenérdekű fél személyes adatainak birtokába jut. Az általános adatvédelmi rendelet 4. cikk 2. pontja értelmében a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így például a gyűjtés, rögzítés, rendszerezés, tárolás, lekérdezés, betekintés, felhasználás, közlés, törlés, adatkezelésnek minősül. (82)

A fentiek alapján megállapítható, hogy a Kérelmezett önálló adatkezelői minősége fennáll a vizsgált adatkezelés tekintetében. Ebből következően a Kérelmezettet terhelik az általános adatvédelmi rendelet szerinti adatkezelési kötelezettségek, köztük az érintetti (hozzáférési) kérelmek megfelelő elbírálása is.

3. Az általános adatvédelmi rendelet 14. cikk (5) bekezdés d) pontjának és a 15. cikk szerinti hozzáférési jognak a viszonya

(83) A Kérelmezett akként nyilatkozott, hogy az általános adatvédelmi rendelet 14. cikk (5) bekezdés d) pontja konkrét rendelkezést tartalmaz arra nézve, hogy a titoktartásra kötelezett adatkezelővel szemben az érintettet hozzáférési jog nem illeti meg, az Üttv. 9. §-a értelmében pedig az ügyvéd ilyen, titoktartásra kötelezett személy. (84) Tekintettel arra, hogy a Kérelmezett a nyilatkozatai alapján a GDPR 13. és 14. cikke szerinti előzetes tájékoztatáshoz való jog és a GDPR 15. cikke szerinti hozzáférési jog között nem tesz különbséget, a Hatóság a két jogintézmény közötti különbségekre és az eltérő szabályozásra az alábbiak szerint mutat rá. (85) Az általános adatvédelmi rendelet két jól elkülöníthető típusú tájékoztatási kötelezettséget ír elő az adatkezelők számára.

(86) Az általános adatvédelmi rendelet 13. és 14. cikkei az előzetes, általános tájékoztatási kötelezettség szabályait tartalmazzák. Az általános adatvédelmi rendelet 13. cikke alkalmazandó arra az esetre, ha a személyes adatok forrása az érintett. Az általános adatvédelmi rendelet 14. cikke alkalmazandó arra az esetre, ha a személyes adatok forrása nem az érintett. Ezen jog független az érintett kérésétől, és minden érintettet megillet. (87) A tájékoztatáshoz való jog az érintettek számára azt biztosítja, hogy már a személyes adatok megszerzésének időpontjában megismerhessék a személyes adataik kezelésével kapcsolatos körülményeket, valamint az adatkezelés hatókörét és következményeit. Azaz a megfelelő tájékoztatáshoz való jog a GDPR 13-14 cikkek alapján azt határozza meg, hogy az adatkezelőnek milyen előzetes, általános tájékoztatást kell adnia az érintett részére az adatkezelő által végzett adatkezeléssel kapcsolatban. A megfelelő tájékoztatáshoz való jog egy passzív jog, amely alapján az adatkezelő külön kérés nélkül köteles információt szolgáltatni az adatkezeléssel kapcsolatban, és ezt akár a tájékoztatás nyilvánosságra hozásával is megteheti. Ennek az általános tájékoztatónak a vizsgálata általában az adatkezelő általános adatkezelési gyakorlata vizsgálatának keretében történik. (88) A jelen ügyben az általános adatvédelmi rendelet 14. cikk (5) bekezdés d) pontja és az Üttv. 9. § (2) bekezdése alapján a Kérelmezett előzetes, általános tájékoztatási kötelezettsége nem állt fenn a Kérelmezővel szemben, így ezzel kapcsolatban a Kérelmezett nem sérthette meg az általános adatvédelmi rendelet rendelkezéseit. A Kérelmező azonban az általános adatvédelmi rendelet 15. cikk (1) bekezdése szerinti hozzáférési kérelemmel fordult a Kérelmezett felé, melyet a Kérelmezett nem teljesített az ügyvédi titoktartási kötelezettségére hivatkozással. A megfelelő tájékoztatáshoz való passzív joggal szemben az érintettnek az általános adatvédelmi rendelet 15. cikke szerinti hozzáférési joga szolgálja azt a célt, hogy az érintett – erre irányuló kérése esetén – a saját személyes adatainak konkrét kezeléséről kapjon tájékoztatást a jogszerű adatkezelés és annak ellenőrzése érdekében. Következésképpen az érintettnek a hozzáférési jogot aktívan kell gyakorolnia, és az adatkezelő ennek keretében részletesebb és személyre szabott információt köteles szolgáltatni, kizárólag az érintett részére. (89) Az általános adatvédelmi rendelet 15. cikk (1) bekezdése alapján az érintett jogosult egyéni, célzott információkat kérni az adatkezelőtől, amelyek az alábbiak: (i) folyamatban van-e adatkezelés; (ii) a kezelt konkrét személyes adatokhoz hozzáférés (tájékoztatás a konkrét adatról, nemcsak azok kategóriáiról); (iii) az általános adatvédelmi rendelet 15. cikk (1) bekezdésben felsorolt körülmények (többek között az adatkezelés célja és a célhoz kapcsolódóan jogalapja, a személyes adatok kategóriái stb.). (90) Az általános adatvédelmi rendelet 15. cikke szerinti hozzáférési jog vonatkozásában nem alkalmazandó az általános adatvédelmi rendelet 14. cikk (5) bekezdés d) pontja szerinti kivétel, azaz a Kérelmező a hozzáférési jogát abban az esetben is jogosult gyakorolni, amennyiben az általános adatvédelmi rendeletben az előzetes tájékoztatáshoz való jogra vonatkozó rendelkezések nem alkalmazandóak arra tekintettel, hogy a személyes adatoknak valamely uniós vagy tagállami jogban előírt szakmai titoktartási kötelezettség alapján, ideértve a jogszabályon alapuló titoktartási kötelezettséget is, bizalmasnak kell maradnia. (91) Az általános adatvédelmi rendelet 15. cikk szerinti tájékoztatást az adatkezelő utólag, az érintett kifejezett kérelmére köteles biztosítani. Annak korlátja egyrészt, hogy a GDPR 15. cikk (4) bekezdés alapján a másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait, másrészt az GDPR 23. cikke határoz meg a hozzáférési jog vonatkozásában korlátozásokat. Ismételten kiemeli azonban a Hatóság, hogy a Kérelmezett által megjelölt 14. cikk (5) bekezdés d) pontja nem jelenti a hozzáférési jog korlátját, tekintettel arra, hogy a hivatkozott jogszabályi rendelkezés a titoktartási kötelezettségre vonatkozó kivételt egyértelműen az általános adatvédelmi rendelet 14. cikkének (1)-(4) bekezdésére és nem a 15. cikkre rendeli alkalmazni. (92) A Kérelmezett nyilatkozataiból megállapítható, hogy a Kérelmezett az érintett előzetes tájékoztatáshoz való jogát és hozzáférési jogát nem különíti el egymástól. Így például 2023. augusztus 8. napján kelt NAIH-2104-16/2023 szám alatt iktatott nyilatkozatában a Hatóság azon felhívására, hogy a Kérelmezett indokolja meg, hogy a hozzáférési jog keretében a GDPR 15. cikk (1) bekezdés f) pontja alapján megadandó tájékoztatást a valamely felügyeleti hatósághoz címzett panasz benyújtásának jogáról miért az ügyvédi titok körébe esik, a Kérelmezett az alábbiakat adta elő: „A panaszjogra vonatkozó tájékoztatás sem ügyvédi titok önmagában, de mégis képtelen helyzetet eredményezne a gyakorlatban. Feltéve, de meg nem engedve: minden felszólítás (p. kölcsöntartozás vagy kártérítés fizetésére vonatkozó ügyvédi felszólítás) vagy polgári per megindítása előtt (vagy a per alatt?) tájékoztatni kéne a címzettet vagy az alperest, hogy panasszal élhet az adatkezelő hivatásos jogi képviselőjével szemben?” (93) A fent kifejtettek alapján a Kérelmezett álláspontjával szemben azonban a hozzáférési jog nem azt jelenti, hogy minden adatkezelési művelet előtt tájékoztatni kellene az érintettet többek között a panaszjogáról, hanem a hozzáférési jog egy utólagos, az érintett kifejezett kérelmére történő tájékoztatási kötelezettséget ír elő meghatározott tartalommal.

4. Az érintett hozzáférési joga

(94) Tekintettel arra, hogy a fent kifejtetteknek megfelelően az általános adatvédelmi rendelet 15. cikkében rögzítettek korlátját nem képezi a 14. cikk (5) bekezdés d) pontja, a Hatóság a GDPR 15. cikke vonatkozásában fennálló két korlátozó rendelkezés alkalmazhatóságát vizsgálta. (95) Egyrészt az általános adatvédelmi rendelet 23. cikke határoz meg a hozzáférési jog vonatkozásában korlátozásokat, másrészt a 15. cikk (4) bekezdés alapján a másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait. (96) A Hatóság a GDPR 23. cikke vonatkozásában vizsgálta, hogy a GDPR 23. cikk (1) bekezdésben felsorolt érdekek védelméhez szükséges és arányos-e a 15. cikk rendelkezéseinek korlátozása. (97) A Kérelmezett a Hatóság felhívására nyilatkozott, hogy egyrészt a Kérelmezőre vonatkozó adatokat egy polgári peres, másrészt egy polgári jogi igénnyel kapcsolatos peren kívüli eljárással kapcsolatban kezeli. A peres eljáráshoz kapcsolódóan kezelt adatok vonatkozásában a Kérelmezett hivatkozott a GDPR 23. cikk (1) bekezdés j) pontjára, azaz a korlátozás polgári jogi követelések érvényesítése érdekében szükséges. A polgári jogi igénnyel kapcsolatos peren kívüli eljárás vonatkozásában a Kérelmezett a GDPR 23. cikk (1) bekezdésének i) és j) pontjait jelölte meg, azaz a korlátozás a megbízó jogainak védelme és a polgári jogi követelések érvényesítése érdekében szükséges. (98) A GDPR 23. cikk (1) bekezdése szerinti korlátozás azonban nem jelent általános korlátozást a GDPR 15. cikke tekintetében. Az általános adatvédelmi rendelet 15. cikke a GDPR 23. cikk (1) bekezdésében felsorolt érdekek védelmében, a szükséges és arányos mértékben korlátozható, amennyiben a korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát. Következésképpen a személyes adatok védelméhez való jog egy olyan alapjog, amelyet harmadik személy – a Kérelmezett ügyfele – nem vonhat el teljesen a Kérelmezőtől, és az általános adatvédelmi rendelet 23. cikke alapján az érintettek jogait tagállami jog is csak arányosan és szükségszerű mértékben korlátozhatja, nem üresítheti ki. Az ezzel ellentétes tagállami szabályozás nem alkalmazható. (99) Következésképpen a Hatóság vizsgálta, hogy a GDPR 15. cikke milyen mértékben alkalmazandó a GDPR 23. cikk (1) bekezdés i) és j) pontjaiban meghatározott érdekek védelmének figyelembe vételével, azaz, hogy a Kérelmezett ügyfelének a jelen ügyben van-e olyan konkrét jogos érdeke, amely szükségessé tenné annak az információnak a visszatartását, hogy mely személyes adatokat (név stb.), milyen célból (stb.) kezel egy harmadik személyről. Ellenkező esetben az Üttv-nek az általános adatvédelmi rendelet szerinti jogokat teljesen kiüresítő értelmezése sértené az általános adatvédelmi rendelet 23. cikkét. E vonatkozásban a Hatóság rámutat, hogy a közhatalmat gyakorló és adatvédelmi ellenőrzést végrehajtó állami szervként a Hatóság nem mondhat le arról az igényéről, hogy minden olyan írásban vagy elektronikusan rögzített információ kapcsán meggyőződjön az adatkezelés jogszerűségéről, amely magyarországi adatkezeléshez kapcsolódik. Ellenkező esetben egy parttalan hivatkozási alappal ki lehetne vonni az adatkezeléseket az adatok védelmét szolgáló jogszabályok hatálya, végső soron pedig az ellenőrzés lehetősége alól. Egy ilyen érvelés könnyen beláthatóan járna együtt a személyes adatok védelme gyengítésének a lehetőségével. A Magyarország Alaptörvényében biztosított általános adatvédelmi ellenőrző, jogvédő szerep kizárólag törvényi szintű szabályok révén korlátozható. (100) A Hatóság elfogadta a Kérelmezett Üttv. 9. § (1) bekezdése szerinti ügyvédi titokra mint a 23. cikk szerinti tagállami korlátozó intézkedésre történő hivatkozást a GDPR 15. cikk (1) bekezdés b) c) és g) pontjai (azaz az érintett személyes adatok kategóriái; azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; valamint az adatok forrására vonatkozó minden elérhető információ; ha az adatokat nem az érintettől gyűjtötték), valamint a (2) és (3) bekezdés tekintetében. Amennyiben ugyanis egy ügyben az eljáró ügyvéd az ellenérdekű félnek a fenti – ügyvédi titok körébe tartozó – információkról tájékoztatást, valamint az általa kezelt adatokról másolatot adna, az ténylegesen kihatással lehetne a polgári jogi követelések érvényesítésével kapcsolatos vagy más jogi eljárások kimenetelére, és veszélyeztethetné az általános adatvédelmi rendelet 23. cikkének (1) bekezdésében meghatározott védendő érdekek (így különösen a 23. cikk (1) bekezdés f); i) és j) pontja) érvényesülését. E vonatkozásban a Hatóság álláspontja szerint nincsen jelentősége annak, hogy azon eljárások, amelyekhez kapcsolódóan a Kérelmezett kezelte, illetve kezeli a Kérelmező személyes adatait, már lezárultak, tekintettel arra, hogy a Kérelmezett ügyfelének jogai és szabadságai védelme érdekében továbbra is korlátozható a GDPR 15. cikke szerinti hozzáférési jog. Ahhoz, hogy az ügyvédek ügyfelei érdemben gyakorolhassák a jogi képviselet igénybe vételéhez való jogukat, biztosítani kell számukra azt, hogy azon adatok, tények, információk, amelyeket a megbízott ügyvédjük tudomására hoztak, illetve amelyekről az ügyvéd a tevékenysége gyakorlása folyamán mástól tudomást szerzett, bizalmasnak maradjanak. A Kérelmezett ügyfelének ezen érdeke védelmében került sor a GDPR 23. cikk (1) bekezdés i) pontja alapján a Kérelmező hozzáférési joga fentiek szerinti korlátozására. (101) Tekintettel azonban arra, hogy azon eljárások, amelyek vonatkozásában a Kérelmezett kezelte a Kérelmező személyes adatait, már lezárultak, az adatkezelés céljairól nyújtandó tájékoztatás (GDPR 15. cikk (1) bekezdés a) pont) nem tartozik az ügyvédi titok körébe, ugyanis a lezárt eljárásokhoz kapcsolódó személyes adatok további kezelésének célját a Kérelmezett önállóan határozza meg, így ezek nem olyan információk, amelyekről az ügyvéd a tevékenysége gyakorlása során szerzett tudomást.

(102) A GDPR 15. cikk (1) bekezdés további pontjai, azaz a d), e), f) és h) pontjai tekintetében az Üttv. 9. § (1) bekezdése szerinti ügyvédi titokra mint a 23. cikk szerinti tagállami korlátozó intézkedésre történő hivatkozás nem fogadható el. Emellett annak kérdéséről is köteles tájékoztatni a Kérelmezőt a Kérelmezett, hogy a személyes adatainak kezelése folyamatban van-e. E vonatkozásban a Hatóság rámutat, hogy maga a Kérelmezett nyilatkozott arról (NAIH-2104-16/2023 szám alatt iktatott nyilatkozat 3. oldala) a GDPR 15. cikk (1) bekezdés e) pontja szerinti, az érintett személyes adatainak helyesbítésének, törlésének vagy kezelése korlátozásának lehetőségéről szóló tájékoztatás vonatkozásában, hogy „az itt felvetett kérdés szerintem nem az ügyvédi titoknak történő minősítés kérdése.” Ugyanígy nyilatkozott a Kérelmezett a panaszjoggal (GDPR 15. cikk (1) bekezdés f) pont) kapcsolatos tájékoztatás kapcsán is: „a panaszjogra vonatkozó tájékoztatás követelménye nem ügyvédi titok önmagában”. (103) A Kérelmezett a fenti nyilatkozatai ellenére a Kérelmezőnek a hozzáférési joga keretében nyújtandó tájékoztatást teljes egészében megtagadta az ügyvédi titokra történő hivatkozással. (104) A Hatóság a Kérelmezett NAIH-2104-16/2023 szám alatt iktatott nyilatkozatának 3. oldalán foglaltakra tekintettel a GDPR. 15. cikk (1) bekezdés d), e), f) és h pontjai vonatkozásában az alábbiakra mutat rá.

- A GDPR 15. cikk (1) bekezdés d) pontja értelmében az érintett jogosult arra, hogy tájékoztatást kapjon a személyes adatok tárolásának tervezett időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól. A Kérelmezett e vonatkozásban előadta, hogy egy peres ügyben nem lehet tudni, meddig fog tartani, ráadásul az ügyvéd szempontjából az ügy nem biztos, hogy a jogerős ítélettel befejeződik. Emellett befolyásolhatják az időtartamot a minimális selejtezési idők is. A Hatóság rámutat, hogy a GDPR 15. cikk (1) bekezdés d) pontja értelmében nem csak abban az esetben köteles az adatkezelő az érintettnek tájékoztatást adni, amennyiben előtte ismert az adatkezelés végső időpontja, ugyanis ha az erről való tájékoztatás nem lehetséges, az időtartam meghatározásának szempontjairól kell tájékoztatnia az érintettet. - A GDPR 15. cikk (1) bekezdés e) pontja értelmében az érintett jogosult arra, hogy tájékoztatást kapjon arról a jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen. A helyesbítéshez való jogot a GDPR 16. cikke, a törléshez való jogot a 17. cikk, a tiltakozáshoz való jogot a 21. cikk szabályozza. Következésképpen az érintett helyesbítéshez, törléshez és tiltakozáshoz való joga ezen jogszabályi rendelkezések keretén belül értelmezendőek, nem pedig korlátlanul. A Kérelmezett által hivatkozott azon eset bekövetkezését, hogy az ellenérdekű fél az adatai törlését kéri, amely meghiúsítja a megbízó fél jogos igényének az érvényesítését, a GDPR 17. cikk (4) bekezdésének d) pontja zárja ki. Következésképpen a Kérelmezettnek a Kérelmezőt a GDPR 16., 17. és 21. cikkei szerinti helyesbítéshez, törléshez és tiltakozáshoz való jogról megfelelően tájékoztatnia kellett volna, mely tájékoztatás megadása nem azt jelenti, hogy a Kérelmezettnek minden esetben korlátok nélkül törölnie kéne a Kérelmező személyes adatait egy esetleges törlési kérelem esetén. - A GDPR 15. cikk (1) bekezdés f) pontja értelmében az érintett jogosult arra, hogy tájékoztatást kapjon a valamely felügyeleti hatósághoz címzett panasz benyújtásának jogáról. A Kérelmezett állításával szemben ez nem egy előzetes tájékoztatási kötelezettséget jelent az adatkezelő részéről, hanem utólagosan, az érintett kifejezett kérelmére kell az érintett a hozzáférési joga keretében tájékoztatni a panaszjogról. - A GDPR 15. cikk (1) bekezdés h) pontja értelmében az érintettet tájékoztatni kell a GDPR 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal tényéről, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információkról, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár. (105) A fent kifejtettek az ügyvéd általános működéséhez kapcsolódó és egyéb technikai információk, melyeket a Kérelmezett egyoldalúan mint adatkezelő volt köteles meghatározni az adatkezelés megkezdése előtt, még azt megelőzően, hogy a jelenlegi konkrét ügyfelével megbízást létesített volna. (106) A Hatóság a fentiek alapján megállapította, hogy a Kérelmezett Kérelmezőnek megküldött tájékoztatása nem volt megfelelő, mivel az általános adatvédelmi rendelet 15. cikk a), d) e), f) és h) pontjai szerinti tájékoztatás megadása helyett a Kérelmező hozzáférési kérelmét az általános adatvédelmi rendelet 14. cikk (5) bekezdés d) pontjára és az Üttv. 9. §ára hivatkozással, az ügyvédi titoktartási kötelezettségére tekintettel nem teljesítette.

(107) A fentiekre, így különösen arra való tekintettel, hogy az általános adatvédelmi rendelet 15. cikke szerinti hozzáférési jog vonatkozásában nem alkalmazandó az általános adatvédelmi rendelet 14. cikk (5) bekezdés d) pontja szerinti kivétel, a Hatóság a rendelkező rész szerint megállapította az általános adatvédelmi rendelet 15. cikk (1) bekezdésének sérelmét, és az általános adatvédelmi rendelet 58. cikk (2) bekezdés c) pontja alapján utasította a Kérelmezettet arra, hogy a Kérelmező érintetti kérelmét – a

GDPR 15. cikk (1) bekezdés a), d), e), f) és h) pontjai, illetve az adatkezelés folyamatban léte tekintetében – válaszolja meg. (108) A Kérelmező sérelmezte azt is, hogy 2022. december 16. napján kelt és a Kérelmezett részére megküldött hozzáférési kérelemére a Kérelmezett nem válaszolt az általános adatvédelmi rendelet szerinti határidőben. A Hatóság ezzel kapcsolatban megállapította, hogy a Kérelmezett a válaszát a Kérelmező részére határidőben megküldte, azonban a Kérelmező lakcímeként a […] számot tüntette fel […] szám helyett, melyre tekintettel a Kérelmező részére nem volt kézbesíthető a levél. Ezt követően azonban a Kérelmezett a Kérelmező által igazoltan használt […] e-mail címre 2023. február 11. napján elküldte a válaszát elektronikus levélben. Mindezekre tekintettel a Hatóság az általános adatvédelmi rendelet 12. cikk (3) bekezdésének sérelmét nem látta megállapíthatónak.

(109) A Kérelmező korábbi állásfoglalások figyelembevételére irányuló javaslatával kapcsolatosan a Hatóság rögzíti, hogy a Hatóság valamennyi döntése meghozatala alkalmával a szükséges mértékben figyelembe veszi az eddigi joggyakorlatát és korábbi döntéseit, jogértelmezését. Mindazonáltal ez nem jelenti azt, hogy a Hatóság kötve lenne a korábbi jogértelmezéséhez, állásfoglalásai nem rendelkeznek abszolút kötőerővel, valamint a Hatóságnak mindig az adott ügy egyedi tényállásával összevetve kell értelmeznie a jogszabályokat, esetlegesen teret adva jogi álláspontjának részletezésére, pontosítására, fejlesztésére is. Ebből következően az ügy egyedi tényállása alapján nem feltétlenül lehetséges minden esetben a Hatóság korábbi döntéseiben és állásfoglalásaiban foglaltakat ténylegesen figyelembe venni. (110) A Kérelmezőnek a selejtezéssel kapcsolatos nyilatkoztatási kérelmével, valamint az Üttv. és a MÜK szabályzat rendelkezései megsértésének a döntés során történő figyelembevételére irányuló kérelmével kapcsolatosan a Hatóság álláspontja, hogy a Kérelmezett jelen ügyben hivatkozott iratselejtezésének, valamint az iratok selejtezésére vonatkozó gyakorlatának vizsgálata nem képezi jelen adatvédelmi hatósági eljárás tárgyát. Mindezek mellett az Infotv. 38. § (2) bekezdésével összhangban a Hatóság nem rendelkezik hatáskörrel annak vizsgálatára, hogy a Kérelmezett megsértette-e az Üttv. és a MÜK szabályzat nem adatvédelmi vonatkozású rendelkezéseit.

(111) A Hatóság amennyiben jogsértést állapít meg az adatvédelmi hatósági eljárásban, az általános adatvédelmi rendeletben és az Infotv-ben meghatározott jogkövetkezményeket alkalmazhatja. Ezek közé tartozik az adatvédelmi bírság is, melyekről a Hatóság az általános adatvédelmi rendeletben biztosított szabad mérlegelése alapján önállóan, vagy más jogkövetkezmény mellett hivatalból dönt. (112) Abban a kérdésben, hogy indokolt-e az adatvédelmi bírság kiszabása, a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során nem szükséges adatvédelmi bírság kiszabása. A Hatóság mérlegelésébe tartozó megítélése szerint a személyes adatok védelméhez fűződő jog sérelmének orvoslása bírság kiszabása nélkül is lehetséges a jelen ügyben a tájékoztatás pótlásával. Ezt támasztja alá az is, hogy a Kérelmezettel szemben adatvédelmi jogsértést a Hatóság eddig még nem állapított meg. (113) A Hatóság felhívja továbbá a Kérelmezett figyelmét, hogy az általános adatvédelmi rendelet hatályba lépése óta több mint öt év telt el, így – különösen az ügyvédi tevékenységez gyakorlók részéről – nem elfogadható az, hogy nem ismerik és nem alkalmazzák az általános adatvédelmi rendelet rendelkezéseit, így az ügyvédi titokra hivatkozva teljes egészében megtagadják az érintettek hozzáférési kérelmének teljesítését. A Hatóság kiemeli, hogy továbbra is gyakoriak az ügyvédi tevékenységet gyakorlók körében észlelt, az általános adatvédelmi rendelet rendelkezéseinek be nem tartásával kapcsolatos jogsértések. A Hatóság rámutat, hogy az adatvédelmi hatósági eljárásban bírság kiszabásának is helye van, és a jövőben feltárt hasonló jogsérelem esetén a GDPR 83. cikkére tekintettel fontolóra veszi adatvédelmi bírság kiszabását is.

6. Egyéb kérdések

(114) Jelen határozat az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közléssel véglegessé válik. Az Ákr. 112. §-a, a 116. § (1) bekezdése és a (4) bekezdés d) pontja, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak. (115) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége Magyarország egész területére kiterjed.

* * * (116) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. (117) A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó közigazgatási perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel polgári perrendtartásról szóló 2016. évi CXXX. törvény (a továbbiakban: Pp.) 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselőjeelektronikus kapcsolattartásra kötelezett. (118) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A határozattal kapcsolatban a tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. (119) A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. (120) Ha az előírt kötelezettség teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kérelmezett a Hatóság végleges döntésében foglalt kötelezésének nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. § -a értelmében a végrehajtást az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Kelt: Budapest, az elektronikus aláírás és időbélyeg szerint

Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár