Орган по защите данных Венгрии (NAIH): незаконная обработка данных о членстве судей в ассоциации

Ügyszám: NAIH/2019/2472/ Tárgy: kérelemnek helyt adó határozat

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) két érintett természetes személy (a továbbiakban: Kérelmező I. és Kérelmező II.) kérelmére a Budapest Környéki Törvényszékkel (1146 Budapest, Thököly út 97-101.) (a továbbiakban: Kérelmezett) szemben a Kérelmezők egyesületi tagságával kapcsolatos adatoknak a listázása és a 2019. február 22-i vezetői értekezlet részvevői részére való továbbítása miatt indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza.

I. A Kérelmező I. és a Kérelmező II. kérelmének részben helyt ad és megállapítja, hogy a Kérelmezett a Kérelmező I. és a Kérelmező II. személyes adatait a GDPR 5. cikk (1) bekezdés b) pont szerinti célhoz kötöttség elvét és a GDPR 6. cikkét megsértve jogellenesen kezelte, amikor az adatokat a tagdíjlevonástól eltérő célból egy külön listán legyűjtötte, és harmadik személyek számára hozzáférhetővé tette.

II. Kötelezi a Kérelmezettet, hogy jelen határozat véglegessé válásától számított 15 (tizenöt) napon belül a továbbított adatok törlésének szükségességéről értesítse mindazon személyeket, akik a 2019. február 22-i rendkívüli vezető értekezleten részt vettek, és a lista törlésére vonatkozó felszólításáról korábban nem értesültek.

III. A jogellenes adatkezelés megtiltására irányuló kérelem vonatkozásában a Hatóság az eljárást

VÉGZÉSSEL megszünteti.

IV. A Hatóság a Kérelmezők bírság kiszabása iránt előterjeszett kérelmét elutasítja, és hivatalból az

I. pontban megjelölt jogellenes adatkezelés miatt a Kérelmezettet jelen határozat véglegessé válásától számított 30 napon belül

3.000.000 Ft, azaz hárommillió forint adatvédelmi bírság megfizetésére kötelezi.

V. A Hatóság hivatalból elrendeli jelen határozatnak a Kérelmezett azonosító adatainak közzétételével történő nyilvánosságra hozatalát a Hatóság honlapján. A II. pontban előírt intézkedések megtételét a Kérelmezettnek az intézkedés megtételétől számított 15 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A bírságot a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2019/2472. BÍRS. számra kell hivatkozni. Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg.

A II. pont szerinti kötelezettség nem teljesítése, illetve a bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását. A Hatóság felhívja a Kérelmezett figyelmét arra, hogy a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az eljárás menete és a tényállás tisztázása

A Kérelmező I. és Kérelmező II. 2019. március 19-én kérelmet nyújtott be a Hatósághoz, amelyben előadták, hogy 2019. február 22-én 10 óra 30 perckor dr. Gerber Tamás, a Budapest Környéki Törvényszék elnöke rendkívüli vezetői értekezletet tartott a törvényszék 1146 Budapest, Thököly út 97-101. szám alatti épületében, amelyen 14 járásbíróság elnöke vagy elnökhelyettese, továbbá a törvényszék kollégiumvezetői vettek részt. Az értekezleten dr. Gerber Tamás arról tájékoztatta a jelenlévőket, hogy ő az előző nappal kilépett a Magyar Bírói Egyesületből (a továbbiakban: MABIE vagy Egyesület), és azt kérte a vezetőktől, hogy beszéljenek a törvényszék és járásbíróságok bíráival, hogy ők is fontolják meg a kilépést. Ennek érdekében átadott egy nyomtatott listát a MABIE Pest Megyei Alapszervezetének tagjairól. A lista – 51 bíró esetében – a szolgálati hely, bíró neve mellett a bíró adóazonosító jelét is tartalmazta, illetve szerepeltek rajta a „levonás” és „jogcíme elnevezése” oszlopok, amelyekben a „kamarai tagdíj” szöveg van feltüntetve. A listát a bírák bérnyilvántartási adatain végzett szűrés útján állították elő, és ennek eredményeként a lista a Budapest Környéki Törvényszék területén szolgálatot teljesítő, MABIE-tagsággal rendelkező bírák adatait tartalmazta, és ezeket az adatokat dr. Gerber Tamás az érintettek tudta és hozzájárulása nélkül osztotta meg a bírósági vezetőkkel. A Hatósághoz benyújtott kérelmek nem tartalmazták a Kérelmezők azonosításához szükséges adatokat és a megjelölt jogsértés orvoslása iránti döntésre vonatkozó határozott kérelmet, ezért a Hatóság a Kérelmezőket ezen hiányok pótlására hívta fel. A Kérelmezők a Hatóság hiánypótlási felhívásának eleget tettek, az azonosításhoz szükséges adataik közlésével egyidejűleg kérelmükben a Hatóságtól a jogsértés kivizsgálását, a jogellenes adatkezelés tényének megállapítását, a jogellenes adatkezelés megtiltását kérték. Kérelmezők kérték továbbá a jogsértés miatt bírság kiszabását kérte. Kérelmezők továbbá megfontolásra ajánlották, hogy a Hatóság az Infotv. 70. § (1) szerinti büntető-, valamint fegyelmi eljárást kezdeményezzen dr. Gerber Tamással szemben Kérelmezők kérték továbbá személyes adataik zártan kezelését, Kérelmező II. megküldte az értekezleten kiosztott, 51 fő adatait tartalmazó lista másolatát. Az eljárásban vizsgált lista adattartalma a következő:

• „Szervezeti egység megnevezése” oszlopban pl. BKT P. K-M. Koll. Polg. I. fokú szakág, Monori Járásbíróság, BKT Büntető Kollégium, stb. megnevezések

• „Név” oszlopban 51 fő neve, • „Adóazonosító jel” oszlopban minden sorban az adóazonosító jelek, • „Levonás/le(vonás jogcíme)” oszlopban minden sorban a „86790”-es szám, • „Jogcím elnevezése” oszlopban minden sorban a „kamarai tagdíj” megjelölés. A Kérelmező I. által csatolt, a MABIE-hez való belépéskor aláírt „Belépési nyilatkozat” szerint a tag vállalja, „hogy az Egyesület részére megállapított tagdíjat 20….. hónap 01. napjától rendszeresen megfizetem, hozzájárulok, hogy azt az illetményemből levonják. Tudomásul veszem, hogy a tagdíj összegével a személyi jövedelemadóm alapját csökkenthetem.” A nyilatkozat tartalmazza az érintett azonosításához szükséges adatokat (név, születési hely, idő, anyja neve, lakcím, beosztás), valamint a MABIE mint jogosult megnevezését. A Hatóság az ügyben az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében az érintettek erre irányuló kérelmére adatvédelmi hatósági eljárást indított, és elrendelte a Kérelmezők adatainak zártan kezelését. A Hatóság az adatvédelmi hatósági eljárás megindításáról értesítette a Kérelmezettet, egyidejűleg a tényállás tisztázása érdekében tájékoztatást kért a Kérelmezettől az eset körülményeiről. A Kérelmezett által adott tájékoztatás szerint a listán szereplő adatok legyűjtésére vonatkozó kérést törvényszéki elnöki minőségében dr. Gerber Tamás adta ki, annak megállapítására, hogy a törvényszéken az Egyesületnek hány tagja van, és a vezetők közül kik a tagjai. Az adószámok kigyűjtésére a kérés nem vonatkozott, ez az adat irreleváns volt. A listát a Gazdasági Hivatal készítette, tekintettel arra, hogy az egyesületi tagok illetményéből a törvényszék vonja le és utalja a tagdíjat. A listán szereplő adatokat a Budapest Környéki Törvényszék kezeli. Az egyesületi tagok adatait nem külön adatbázisban tárolják, de – mint azt jelezte – az egyesületi tagok kérésére a tagdíjat a törvényszék által folyósított illetményből a törvényszék vonja le és utalja ki, így információval rendelkezik arról, kik kérték ezt. A lista megsemmisítésre került a vezetői értekezletet követően. A listát dr. Gerber Tamás csupán abból a célból ismerte meg, hogy a vezetők, akik ebben nem voltak biztosak, meg tudjanak győződni arról, hogy MABIE tagként tartják-e őket nyilván. A listát a rendkívüli vezetői értekezlet résztvevői tekintették meg, arról dr. Gerber Tamásnak nincsen tudomása, hogy közülük mindenki megtekintette-e. A vezetői értekezleten a jelenléti ív szerint dr. Gerber Tamás, valamint 18 járásbírósági elnök és kollégiumvezető vett részt. Közülük 8 fő adata szerepel az 51 főt tartalmazó listán. A törvényszék elnöke tehát tudomást szerzett 8 vezető érdek-képviseleti tagságának tényéről, valamint 43 egyéb, a törvényszéken szolgálatot teljesítő bíró érdek-képviseleti tagságának tényéről. A közléssel az értekezleten az elnök mellett részt vett 18 fő vezető pedig tudomást szerzett 51 bíró érdek-képviseleti tagságra vonatkozó adatáról. (Értelemszerűen a 8 fő vezető a saját tagságára vonatkozó adatát is megismerte.) Több vezető az általa vezetett járásbíróságon szolgálatot teljesítő bíró ezen adatához jutott. Az adatokat tartalmazó lista az értekezleten papír alapon kiosztásra került. A szétosztás tényét bizonyítja az a – lentebb részletezett – e-mail, amelyben dr. Gerber Tamás a kiosztott lista megsemmisítésére kéri fel a résztvevőket. A Hatóság a tényállás tisztázása érdekében tájékoztatást kért a Kérelmezettől arról, hogy Dr. Gerber Tamás mikor és milyen tartalmú utasítást adott az értekezleten részt vett, és a listát megkapó bírósági vezetőknek a MABIE-tag bírák adatait tartalmazó lista kezelésére vonatkozóan. A Kérelmezett a végzésre válaszolva úgy nyilatkozott, hogy a lista kezelésére vonatkozóan semmilyen utasítást nem adott, egyúttal megküldte a Hatóság által kért e-mail másolatát. E szerint a következő tartalmú e-mailt 2019. február 26-án 08.12-kor dr. Gerber Tamás feladóként 17 személy részére küldte meg: „a február 22-én megtartott rendkívüli vezetői értekezleten átadott, a MABIEtagok névsorát tartalmazó listát kérem, hogy nyilvánosságra ne hozza, azt szíveskedjen megsemmisíteni!“ A Kérelmezett közfeladatot ellátó szerv.

II. Alkalmazandó jogszabályi előírások

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) 2. cikk (1) bekezdése alapján jelen adatkezelésre a GDPR-t kell alkalmazni. A GDPR jelen ügyben releváns rendelkezései a következők: GDPR 4. cikk 2. „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés, továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés; GDPR 4. cikk 7. adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja; GDPR 4. cikk 9. címzett”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Azon közhatalmi szervek, amelyek egy egyedi vizsgálat keretében az uniós vagy a tagállami joggal összhangban férhetnek hozzá személyes adatokhoz, nem minősülnek címzettnek; az említett adatok e közhatalmi szervek általi kezelése meg kell, hogy feleljen az adatkezelés céljainak megfelelően az alkalmazandó adatvédelmi szabályoknak; GDPR 10. „harmadik fél”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak; GDPR 5. cikk (1) A személyes adatok:

a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”);

b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztet-hetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”);

c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”);

d) pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság”);

e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”);

f) kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”).

(2) Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).

GDPR 6. cikk (1) A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;

b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;

c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;

e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;

f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. GDPR 6. cikk (4) Ha az adatgyűjtés céljától eltérő célból történő adatkezelés nem az érintett hozzájárulásán vagy valamely olyan uniós vagy tagállami jogon alapul, amely szükséges és arányos intézkedésnek minősül egy demokratikus társadalomban a 23. cikk (1) bekezdésében rögzített célok eléréséhez, annak megállapításához, hogy az eltérő célú adatkezelés összeegyeztethető-e azzal a céllal, amelyből a személyes adatokat eredetileg gyűjtötték, az adatkezelő többek között figyelembe veszi:

a) a személyes adatok gyűjtésének céljait és a tervezett további adatkezelés céljai közötti esetleges kapcsolatokat;

b) a személyes adatok gyűjtésének körülményeit, különös tekintettel az érintettek és az adatkezelő közötti kapcsolatokra;

c) a személyes adatok jellegét, különösen pedig azt, hogy a 9. cikk szerinti személyes adatok különleges kategóriáinak kezeléséről van-e szó, illetve, hogy büntetőjogi felelősség megállapítására és bűncselekményekre vonatkozó adatoknak a 10. cikk szerinti kezeléséről van-e szó;

d) azt, hogy az érintettekre nézve milyen esetleges következményekkel járna az adatok tervezett további kezelése;

e) megfelelő garanciák meglétét, ami jelenthet titkosítást vagy álnevesítést is. GPR 13. cikk (3) Ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról.

GDPR 9 cikk (1) A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.

(2) Az (1) bekezdés nem alkalmazandó abban az esetben, ha: a) az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával; d) az adatkezelés valamely politikai, világnézeti, vallási vagy szakszervezeti célú alapítvány, egyesület vagy bármely más nonprofit szervezet megfelelő garanciák mellett végzett jogszerű tevékenysége keretében történik, azzal a feltétellel, hogy az adatkezelés kizárólag az ilyen szerv jelenlegi vagy volt tagjaira, vagy olyan személyekre vonatkozik, akik a szervezettel rendszeres kapcsolatban állnak a szervezet céljaihoz kapcsolódóan, és hogy a személyes adatokat az érintettek hozzájárulása nélkül nem teszik hozzáférhetővé a szervezeten kívüli személyek számára; Az egyesülési jogról, a közhasznú jogállásról, valamint a civil szervezetek működéséről és támogatásáról szóló 2011. évi CLXXV. törvény (Civil tv.)

2. § 6. civil szervezet: b) a Magyarországon nyilvántartásba vett egyesület - a párt, a szakszervezet és a kölcsönös biztosító egyesület kivételével -, A Civil tv. 15. § (3) bekezdése szerint az egyesület tagnyilvántartása nem nyilvános.

A Polgári Törvénykönyvről szóló 2013. évi V. törvény (Ptk.) 3:67. § (2) bekezdése szerint a tagok személyére vonatkozó adatok nem nyilvánosak. A bíróságok szervezetéről és igazgatásáról szóló 2011. évi CLXI. törvény (a továbbiakban: Bszi.)

GDPR 77. cikk (1) Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál - különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban -, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.

A GDPR hatálya alá tartozó adatkezelésre az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.). 2. § (2) bekezdése szerint a GDPR-t az ott megjelölt rendelkezésekben kiegészítésekkel kell alkalmazni. 60. § (2) bekezdése szerint adatvédelmi hatósági eljárás megindítása iránti kérelem a GDPR 77. cikk (1) bekezdésében meghatározott esetben nyújtható be. Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít. A GDPR eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) rendelkezéseit kell alkalmazni az Infotv.-ben meghatározott eltérésekkel. Infotv. 61. § (1) a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság a GDPR hatálya alá tartozó adatkezelési műveletekkel összefüggésben a GDPR-ban meghatározott jogkövetkezményeket alkalmazhatja. A GDPR 83. cikk (2) bekezdése szerint a közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket: a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban - ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. A GDPR 83. cikk (7) bekezdése alapján a felügyeleti hatóságok 58. cikk (2) bekezdése szerinti korrekciós hatáskörének sérelme nélkül, minden egyes tagállam megállapíthatja az arra vonatkozó szabályokat, hogy az adott tagállami székhelyű közhatalmi vagy egyéb, közfeladatot ellátó szervvel szemben kiszabható-e közigazgatási bírság, és ha igen, milyen mértékű. Az Infotv. 61. § (4) bekezdés b) pontja szerint a bírság mértéke százezertől húszmillió forintig terjedhet, ha az adatvédelmi hatósági eljárásban hozott határozatban kiszabott bírság megfizetésére kötelezett költségvetési szerv.

Az Infotv. 61. § (2) bekezdése szerint a Hatóság elrendelheti határozatának - az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő - nyilvánosságra hozatalát, ha a határozat személyek széles körét érinti azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja. Az Infotv 75/A. §-a szerint a Hatóság a GDPR 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – a GDPR 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Infotv. 61. § (6) A határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

Az Infotv. 61. § (2) bekezdése szerint a Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő – nyilvánosságra hozatalát, ha a határozat személyek széles körét érinti, azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja.

III. A Hatóság döntése

A Hatóság eljárása a lista adatainak a bírák bérnyilvántartási adatait tartalmazó adatbázisból történő kigyűjtésének, kezelésének és továbbításának vizsgálatára irányult. Mivel a kérelmezetti nyilatkozat szerint az adóazonosító jel lekérdezésére az utasítás nem vonatkozott, az gondatlanságból szerepelt a leválogatott listán, ezért annak lekérdezésének körülményeit (célját, jogalapját, stb.) a Hatóság külön nem, de a kezelt adatkör részeként vizsgálta. A Hatóság megállapítása szerint a vizsgált ügyben adatkezelőnek a Kérelmezett minősül, mivel a leválogatásra vonatkozó utasítást dr. Gerber Tamás törvényszéki elnöki minőségében adta ki, az értekezletet e minőségében hívta össze, majd az adatokat a jelenlévők részére e minőségében továbbította.

III.1. Az egyesületi tagságra vonatkozó adatok lekérdezése

Noha a lista a „kamarai tagdíj” megnevezést tartalmazza, bírói kamara mint intézmény hiányában az adat – a kérelmezetti nyilatkozat szerint is – a MABIE-tagságra vonatkozik. A MABIE Alapszabálya szerint: „2. § Az Egyesület önkormányzati elven működő, általános és szakmai, valamennyi bíró, bírósági titkár (továbbiakban: bíró) érdekeit képviselő, munkavállalói érdekképviseleti érdekvédelmi és érdekérvényesítő civilszervezet. […] 3. § Az Egyesület célja a bírói függetlenség védelme, a bírói jogalkalmazás színvonalának és feltéleinek feltételeinek fejlesztésével a jogállamiság teljesebbé tétele, a bírói hivatás megfelelő társadalmi elismertetése, erősítése, a bírák élet- és munkakörülményeinek folyamatos javítása, a bírói igazgatási és önkormányzati testületek hatékony és demokratikus működésének támogatása, fejlesztése. […]” A MABIE az alapszabályban megfogalmazottak szerint szakszervezeti célú egyesületnek tekinthető, az egyesületi tagságra vonatkozó adat ennek megfelelően személyes adatok különleges kategóriájába tartozó adatnak minősül. A GDPR a különleges adat fogalmát nem használja, de a 9. cikk (1) bekezdésében felsoroltakat mint a személyes adatok különleges kategóriáit jelöli meg (a határozatban a közérthetőség kedvéért a különleges adat fogalmat használjuk), és annak kezelésének fő szabály szerinti általános tilalmát rögzíti azzal, hogy a 9. cikk (2) bekezdésében felsorolt esetekben meghatározott feltételekkel mégis lehetőséget ad az ilyen adatok kezelésére. E feltételek a GDPR 6. cikke szerinti követelmények mellett érvényesülnek, és szükségesek ahhoz, hogy az adatkezelést jogszerűnek lehessen tekinteni. A 9. cikk (2) bekezdésének szóba jöhető pontjai mindenekelőtt az a) pont (érintett hozzájárulása), illetve a d) pont, amely szerint nem tilos a különleges adat kezelése, ha az valamely politikai, világnézeti, vallási vagy szakszervezeti célú alapítvány, egyesület vagy bármely más nonprofit szervezet megfelelő garanciák mellett végzett jogszerű tevékenysége keretében történik, azzal a feltétellel, hogy az adatkezelés kizárólag az ilyen szerv jelenlegi vagy volt tagjaira, vagy olyan személyekre vonatkozik, akik a szervezettel rendszeres kapcsolatban állnak a szervezet céljaihoz kapcsolódóan, és hogy a személyes adatokat az érintettek hozzájárulása nélkül nem teszik hozzáférhetővé a szervezeten kívüli személyek számára. Mivel a megállapított tényállás alapján a tagok meghatározott szempont szerint leválogatott névsorának előállítása majd felhasználása nem a MABIE adatkezelési tevékenysége körébe esik, így a nem merült fel a GDPR 9. cikk (2) bekezdés d) pontjának alkalmazhatósága sem. A MABIE tagoknak a tagdíj illetményükből levonására vonatkozó hozzájáruló nyilatkozat a tartalma alapján a foglalkoztatónak adott adatkezelési hozzájárulási rendelkezésnek tekinthető. A tagdíj átutalására vonatkozó – jogszabályon alapuló – megbízás csak a MABIE adatkezelési tájékoztatójában szereplő nyilatkozatmintában megjelölt adatok felhasználásával teljesíthető. A fent kifejtettek szerint maga az érdekvédelmi egyesületi tagság ténye különleges adat, így a Kérelmezett azáltal, hogy a munkavállaló illetményéből az egyesületi tagdíjat levonja, az érdekvédelmi egyesületi tagságra vonatkozó különleges adatot kezel. Az érintetti hozzájárulás terjedelme tehát a foglalkoztató tekintetében a tagdíj levonására terjed ki, a tag egyesületi tagdíját a Bírósági Gazdasági Hivatal a fizetésből levonja és az Egyesülethez továbbítja. A Kérelmezett az érdek-képviseleti tagságra vonatkozó adatot a tagdíj levonása érdekében kezeli. Ugyanakkor ez a felhatalmazás nem jelenti azt, hogy a díjlevonás érdekében kezelt adatok más célra is felhasználhatók lennének. Bármely adatkezelés jogszerűségének megítélésével kapcsolatban a GDPR alapelvi rendelkezéseit minden esetben figyelembe kell venni, így különösen a rendelet 5. cikk (1) bekezdés b) pontjában megfogalmazott célhoz kötött adatkezelés elvét. E szerint személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és az adatok kezelése is csak e céllal összeegyeztethető módon valósulhat meg. Ezen elv figyelembevételével a Kérelmezett mint munkáltató adatkezelőként köteles arra, hogy az általa a munkavállalókról megismert adatokat a vonatkozó adatvédelmi szabályokkal összhangban kezelje, és mindenekelőtt biztosítsa, hogy egy-egy adatot a munkaszervezetén belül is csak az ismerhesse meg, aki arra jogosultként az adott adatkezelési cél megvalósításában szükségszerűen részt vesz. A Hatóság álláspontja szerint ennek megfelelően egyrészt az érdekképviseleti tagságra vonatkozó adatokat kizárólag a munkáltató szervezetén belül bérszámfejtéssel foglalkozók ismerhetik meg, és a munkáltatónak megfelelő szervezési és technikai intézkedésekkel kell gondoskodnia arról, hogy ezen adatokhoz mások – akár a vezető – megfelelő jogszerű cél hiányában ne férhessenek hozzá. Másrészt az adatok a hozzájárulástól eltérő célra nem használhatóak. Az érdek-képviseleti tagság ténye az érintett különleges adata, amely adattal való rendelkezés az érintett alapvető joga.

Noha Alapszabálya szerint a MABIE a Ptk. és a Civil tv. alapján működik, így a Civil tv. 2. § 6. b) pontja alapján nem szakszervezetnek minősül, a Hatóság álláspontja szerint az egyesület tagját az érdekvédelmi szervezeti tagságra vonatkozó adatra a GDPR 9. cikk (2) bekezdésében foglalt védelem illeti meg, így az érintettől erre vonatkozó adat közlése – kivéve, ha erre külön jogszabály kötelezi – nem követelhető a munkáltató által, erre vonatkozó adat az érintett hozzájárulásának hiányában a munkáltató részéről nem ismerhető meg.

A Ptk. 3:67. § (2) bekezdése és a Civil tv. 15. § (3) bekezdése szerint az egyesület tagnyilvántartása, a tagok személyére vonatkozó adatok nem nyilvánosak, így a munkáltató ezen forrásból nem ismerheti meg a tagságra vonatkozó tényt, erre is figyelemmel a GDPR-ban foglalt egyéb jogalap kell a tagságra vonatkozó adat megismeréséhez.

A Kérelmezetti nyilatkozat szerint a listán szereplő adatok legyűjtésére vonatkozó kérést törvényszéki elnöki minőségében dr. Gerber Tamás adta ki, annak megállapítására, hogy a törvényszéken az Egyesületnek hány tagja van, és a vezetők közül kik a tagjai. A vizsgált esetben külön adatkezelési művelet volt az egyesületi tagságra vonatkozó adat meghatározott szempont szerinti leválogatása, amely a jogszabályi előírás teljesítése – tagdíj levonása – érdekében történő adatkezeléstől eltérő adatkezelési célt valósított meg, így erre vonatkozóan külön jogalap szükségeltetett volna az alábbiak okán. A GDPR a 6. cikk (4) bekezdésében lehetővé teszi, hogy a személyes adatokat az adatkezelés eredeti céljától eltérő egyéb célból kezelje az adatkezelő, feltéve, hogy az adatkezelése összeegyeztethető az adatkezelés eredeti céljával, amelyre a személyes adatokat eredetileg gyűjtötték. Ebben az esetben az adatkezelőnek több szempontot is figyelembe kell vennie, amelyek között a GDPR 6. cikk (4) bekezdésében példálózó felsorolásban kiemeli azokat a körülményeket, amelyek mérlegelését a legfontosabbnak tartja. Tehát a személyes adatoknak a gyűjtésük eredeti céljától eltérő egyéb célból történő kezelése csak akkor megengedett, ha az adatkezelés összeegyeztethető az adatkezelés eredeti céljaival. Ellenkező esetben szükség van attól a jogalaptól eltérő, külön jogalapra, mint amely lehetővé tette a személyes adatok gyűjtését. Jelen ügyben megállapítható, hogy a Kérelmezett az eredeti adatkezelési céltól – tagdíj levonása eltérő egyéb célból kezelte/kérdezte le az érdekképviseleti tagságra vonatkozó adatot. Ezen cél tekintetében alkalmaznia kellett volna a GDPR 6. cikk (4) bekezdésében foglaltakat, és meg kellett volna állapítani, hogy az adatkezelés eredeti és ettől eltérő céljai összeegyeztethetőek-e. A vizsgált esetben a Kérelmezettnek figyelembe kellett volna vennie azt, hogy az érintettek és az adatkezelő közötti kapcsolat a munkaviszonyban alá-fölérendeltségi (GDPR 6. cikk (4) b) pont), valamint azt, hogy a lekérdezés személyes adatok különleges kategóriáját érinti (GDPR 6. cikk (4) bekezdés c) pont), illetve mérlegelnie kellett volna, hogy az adatkezelés milyen következményekkel jár az érintettre (GDPR 6. cikk (4) bekezdés d) pont), ebben a körben figyelembe véve a fent kifejtettet, miszerint a munkavállalótól nem kérhető a szakszervezeti célú egyesületi tagságra vonatkozó adatnak a közlése. Amennyiben ezen szempontok alapján a Kérelmezett arra a következtetésre jutott volna, hogy összeegyeztethető az új céllal az adatkezelése, abban az esetben az új adatkezelési célról és ehhez kapcsolódóan minden releváns információról a Kérelmezőket és az egyéb érintetteket a GDPR 13. cikk (3) bekezdése alapján tájékoztatnia kellett volna. Nem összeegyeztethető adatkezelési cél esetén pedig az új célú adatkezelés nyilvánvalóan nem végezhető, mivel megfelelő, érvényes jogalap nem áll fenn. A felsorolt körülmények mérlegelésével az adatkezelő – ahogyan a Hatóság is – arra a következtetésre jutott volna, hogy az egyesületi tagságra vonatkozó adat abból a célból, amire felhasználni szándékozott, nem lett volna lekérdezhető. Mivel az adatgyűjtés céljától eltérő célból történő adatkezelés nem az érintett hozzájárulásán vagy valamely uniós vagy tagállami jogon alapult (GDPR 6. cikk (4) bek.), illetve a Kérelmezett a megkívánt mérlegelést nem végezte el, a lekérdezés során kapott adatok kezelésének nem volt a GDPR 6. cikk (1) bekezdésnek megfelelő jogalapja. Noha a jogos érdeken alapuló adatkezelés (GDPR 6. cikk (1) f) pont) nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre, jelen esetben nem a közhatalmi feladat ellátása során végzett adatkezelés a vizsgálat tárgya. A Kérelmezett által előadottak szerint a leválogatás célja az volt, hogy „a vezetők, akik ebben nem voltak biztosak, meg tudjanak győződni arról, hogy MABIE tagként tartják-e őket nyilván”. Az érintett részéről annak az információnak a megszerzése, hogy ő maga tagja-e az érdekképviseleti egyesületnek, nyilvánvalóan nem az a módja, hogy az adatot az ő tudta nélkül a munkáltatói jogkört gyakorló felettes lekérdezi azt az egyébként más célból kezelt állományból, más tagok adataival együtt. Ezt az információt minden érintett maga meg tudja tudakolni közvetlenül az Egyesületnél, illetve a bérszámfejtésről kapott iratból maga meg tud győződni a tényről. A Hatóság álláspontja szerint tehát a fent kifejtett eredeti céllal nem összeegyeztethető, ha a munkáltatói jogkör gyakorlója a bérszámfejtéshez használt adatbázisból más célú felhasználás érdekében érdek-képviseleti tagságra vonatkozó lekérdezésre vonatkozó utasítást ad, és a lekérdezett adatokat listába szedve kezeli. Az adóazonosító jel a kérelmezetti nyilatkozat szerint „véletlenül” került feltüntetésre az érdekképviseletre vonatkozó adatok mellett. Ennek az adatnak a listán való kezelésének tehát nyilvánvalóan nem volt igazolható célja, így a feltüntetés és továbbítás jogellenessége egyéb vizsgálat nélkül is kimondható. A Hatóság mindezek alapján megállapítja, hogy a Kérelmezett által végrehajtott azon adatkezelés, amely során dr. Gerber Tamás az érdek-képviseleti tagságra és az adóazonosító jelre vonatkozó adatot kérdezett le a tagdíjnak a munkabérből történő levonása érdekében kezelt adatok közül, sem igazolható céllal, sem megfelelő jogalappal nem rendelkezett. Ezzel a Kérelmezett megsértette a GDPR 5. cikk (1) bekezdés b) pontját és a 6. cikk (1) bekezdését.

III.2. Az egyesületi tagságra vonatkozó adatok továbbítása

A jogszerűtlenül végzett lekérdezést követően dr. Gerber Tamás az érdek-képviseleti tagságra vonatkozó adatokat és az adóazonosító jelet közölte a vezetői értekezleten részt vevő vezetőkkel. A Hatóság megállapítása szerint ez az adatkezelés szintén az eredeti céltól eltérőnek minősül, így a fent kifejtett jogszerű cél és külön jogalap ennek az adatkezelésnek szintén követelménye lett volna. A Bisz. 118. § (1) bekezdése szerint a törvényszék elnöke felettese a járásbíróságok elnökeinek, a járásbíróságok elnökei felettesei a járásbíróságon szolgálatot teljesítő bíráknak. A Kérelmezett ezen adatkezelésnek semmilyen igazolható célját nem jelölte meg. A leválogatás céljaként megjelölt indok, amely szerint egyes vezetők kíváncsiak voltak a maguk tagságának tényére – még ha volt is esetleg ilyen kérés –, semmiképpen nem igazolja azt a célt, hogy az értekezleten részt vevő, és egyúttal a listán szereplő 8 fő adatain felül a további 43 személy adatának közlése másokkal miért volt indokolt. A listán szereplő adatok közlésére mint külön adatkezelési célra tehát a Kérelmezettnek nem volt megfelelő jogalapja. Ahogyan a lekérdezésre, a közlésre sem rendelkezett érintetti hozzájárulással (GDPR 6. cikk (1) a) pont) a Kérelmezők vonatkozásában, ahogyan azt nem rendelte el uniós vagy tagállami jog sem, így a 6. cikk (4) bekezdésben foglalt feltételeknek kellett volna megfelelnie az adattovábbításnak is. Szükséges ugyanakkor azt is jelezni, hogy mivel különleges adatokról volt szó, a GDPR 9. cikkének is meg kellett volna felelnie az adatkezelésnek, amire tekintettel jelen esetben csak az érintett hozzájárulásával kerülhetett volna sor az adatkezelésre. A III. 1. pontban kifejtett külön adatkezelési cél alkalmazásához megkívánt mérlegelés elvégzését az adatkezelő ezen adatkezelési cél alkalmazásához sem igazolta. Amennyiben a Kérelmezett vizsgált adatkezelésének elsődleges célja az adatok továbbítása volt, aminek érdekében történt az adatok leválogatása, az adatkezelőnek e tekintetben változatlanul meg kellett volna felelnie a fent kifejtett követelményeknek. A Hatóság mindezek alapján megállapítja, hogy a Kérelmezett által végrehajtott azon adatkezelés, amely során dr. Gerber Tamás az érdek-képviseleti tagdíjnak az illetményből történő levonás érdekében kezelt állományából leválogatott adatokat harmadik személyekkel közölte, sem igazolható céllal, sem megfelelő jogalappal nem rendelkezett. A címzettek az adatok megismerésére nem voltak jogosultak. A Kérelmezett ezáltal megsértette a GDPR 5. cikk (1) bekezdés b) pontját és a 6. cikk (1) bekezdését. Mindezek alapján a Kérelmezők adatainak vonatkozásában megállapítható, hogy a Kérelmező I. érdek-képviseleti tagságra vonatkozó adatát és adóazonosító jelét 19, az értekezleten részt vett személy jogellenesen ismerte meg, közöttük a Kérelmező I. munkáltatói jogkörének gyakorlója. A Kérelmező II. érdek-képviseleti tagságra vonatkozó adatát és adóazonosító jelét 18, az értekezleten részt vett másik személy jogellenesen ismerte meg. III.3. A Kérelmezettnek a nyilatkozata szerint nincs tudomása arról, hogy a listát ki tekintette meg, ugyanakkor az nyomtatott formában a résztvevők birtokába került. Dr. Gerber Tamás 2019. február 26-án 08.12-kor 17 személynek küldte meg azt az e-mailt, amelyben a lista törlésére kéri fel a címzetteket. A 17 címzett közül az értekezlet jelenléti ívén nem szerepel 3 fő, valamint a jelenléti íven szereplők közül 4 fő nem szerepel az e-mail címzettjei között. Megállapítható tehát, hogy a Kérelmezett nem pontosan azokat kérte fel az adatok törlésére, akiknek azok a birtokába kerültek, és vannak olyan, az értekezleten részt vettek, akik a Kérelmezett törlésre vonatkozó kéréséről nem értesültek. Mindezekre tekintettel rendelte el a Hatóság hivatalból a határozat rendelkező részének II. pontjában az adatok törlésére vonatkozó intézkedés megtételét minden olyan személy vonatkozásában, aki az értekezleten részt vett, de a lista törlésére vonatkozó felszólítást korábban nem kapott.

III.4. A Hatóság a jogellenes adatkezelés megtiltására irányuló kérelem vonatkozásában az eljárást megszünteti, mivel az eljárás okafogyottá vált, a Kérelmezett a kifogásolt adatkezelést már nem folytatja. A lista a Kérelmezett nyilatkozata szerint az értekezlet után törlésre került, a Kérelmezett a leválogatott adatokat már nem kezeli.

III.5. A Kérelmezők megfontolásra ajánlották a Hatóságnak az Infotv. 70. § (1) szerint büntető-, illetve fegyelmi eljárás kezdeményezését a Kérelmezett elnökével szemben. Mivel erre vonatkozó javaslatát mindkét Kérelmező a Hatóságnak címzett kérelmeitől jól elkülönítve egyfajta javaslatként fogalmazta meg, a Hatóság e tárgyban a döntés mellőzte. Megjegyzi ugyanakkor a Hatóság, hogy a kérdéses eljárások megindítása a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag e vonatkozásban a Kérelmező nem minősül ügyfélnek az Ákr. 10. § (1) bekezdése alapján, illetve mivel az Ákr. 35. § (1) bekezdésének nem felel meg – e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető.

III.6. A Hatóság megállapította, hogy a Kérelmezett – azáltal, hogy jogalap nélkül, céltól eltérően kezelte a Kérelmezettek érdek-képviseleti tagságra vonatkozó adatát, valamint adóazonosító jelét, illetve ezen adatokat jogalap nélkül más személyekkel közölte – megsértette a GDPR 5. cikk (1) bekezdés b) pontját, a 6. cikk (1) bekezdését. A Hatóság a Kérelmezők kérelmének részben helyt ad, és a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezettet. A Hatóság a GDPR 58. cikk (2) bekezdés g) pontja alapján utasítja a Kérelmezettet, hogy a továbbított adatok törléséről gondoskodjon azon személyek tekintetében is, aki az adatok törlésére vonatkozó kérelméről korábban nem értesültek. A Hatóság elutasította a Kérelmezőknek a bírság kiszabására vonatkozó kérelmét, mivel e jogkövetkezmény alkalmazása a Kérelmezők jogát vagy jogos érdekét közvetlenül nem érinti, számukra a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet. Ebből kifolyólag ezen – a közérdek érvényesítésének körébe eső – jogkövetkezmény alkalmazása tekintetében a bírságkiszabás vonatkozásában a Kérelmezők nem minősülnek ügyfélnek az Ákr. 10. § (1) bekezdése alapján, illetve, mivel az Ákr. 35. § (1) bekezdésének nem felel meg, e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető. A Hatóság mindazonáltal hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján hivatalból mérlegelte az ügy összes releváns körülményét, és megállapította, hogy a feltárt jogsértések esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, mert a Hatóság álláspontja szerint a Kérelmezett által elkövetett jogsértés súlyosnak minősül, ezért a bírság kiszabása szükséges a Kérelmezett tekintetében speciálisan, illetve a hasonló adatkezelést végzők tekintetében generálisan a további jogsértések megelőzése érdekében. A Kérelmezett költségvetési szerv, a bírság kiszabását az Infotv. 61. § (4) bekezdése teszi lehetővé. A Hatóság az alábbi tényezőket tekintette a bírság kiszabására is kiható módon relevánsnak: A jogsértés

• a GDPR alapelvi rendelkezését érintette • a személyes adatok különleges kategóriájára vonatkozóan • közhatalmi szerv által • szándékosan elkövetve történt, és • utóbb nem orvosolhatóan, mivel az adatokat 19 személy megismerte. A Hatóság enyhítő körülményként értékelte a Kérelmezett által tett azon intézkedést, amellyel – még a hatósági eljárás megindulta előtt – a közölt adatok törlésére kérte fel a címzettek egy részét. Annak ellenére, hogy jelen ügyben két érintettel összefüggő jogsértésről van szó, a jogellenes adatkezelés további 49 személyt is érintett, akik az eljárásban kérelmezőként nem szerepeltek, így a bírság összege erre tekintettel került megállapításra. A kiszabott adatvédelmi bírság nem lépi túl a kiszabható bírság maximumát, mértéke a költségvetési szervre kiszabható bírság mindössze 15 %-a. A bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva hozta meg. III.7. A Hatóság az Infotv. 61. § (2) bekezdés a) és c) pontja alapján a határozatnak az adatkezelő, vagyis a Kérelmezett azonosító adatainak közzétételével történő nyilvánosságra hozatalát azért rendelte el, mert a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja. A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

IV. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. A határozat az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A végzés az Ákr. 47. § (1) c) pontján alapul. A határozat és a végzés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak. A végzéssel szemben az Ákr. 112. §-a, és 116. § (1) és (3) bekezdés d) pontja, illetve az Ákr. 114. § (1) bekezdése alapján önálló jogorvoslatnak van helye közigazgatási per útján.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Ha az előírt kötelezettségek teljesítését a kötelezett ügyfél megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettségeket határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2019. július 17. Dr. Péterfalvi Attila elnök c. egyetemi tanár