Орган по защите данных Венгрии (NAIH): публикация гомеопатических кейс-стади с персональными данными

(…)

1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu

Ügyszám: NAIH-5386-1/2026.

NAIH-7856/2025.

Tárgy: döntés hivatalból indított adatvédelmi hatósági eljárásban Ügyintéző: […]

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a […] ([…] cégkapu:[…], a továbbiakban: Ügyfél) szemben a […] szaklapban megjelent homeopátiás esettanulmányokban szereplő személyek személyes adataival összefüggő adatkezelésnek a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendeletnek (a továbbiakban: általános adatvédelmi rendelet) való megfelelés vizsgálata tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntést hozza: I.A Hatóság megállapítja, hogy az Ügyfél a […] folyóiratában megjelent „[…]” és „[…]” homeopátiás esettanulmányokban megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontját, a 6. cikk (1) bekezdését, ezért az Ügyfelet elmarasztalja.

II.A Hatóság utasítja az Ügyfelet, hogy a „[…]” esettanulmány újbóli közzététele esetén tegyen intézkedéseket a megfelelő anonimizálás érdekében, valamint „[…]” esettanulmányban törölje az egészügyi dolgozók személyes adatait. A II. pontban előírt intézkedés megtételét az Ügyfélnek a jelen határozat kézhezvételétől számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg. A II. pont szerinti kötelezés nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását.

* * * A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

1 A közigazgatási per kezdeményezésére a NAIH_KO1 elnevezésű űrlap szolgál: NAIH KO1 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. Az űrlap hozzáférhető és letölthető a Hatóság honlapjáról: https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata

INDOKOLÁS

I. Az eljárás menete

(1) Közérdekű bejelentés érkezett a Hatósághoz, melyben a közérdekű bejelentő kifogásolta az Ügyfél adatkezelését a […] homeopátiás orvosi szaklapban publikált homeopátiás esetismertetésekkel kapcsolatban. Mellékletként csatolta a […]-án megjelent „[…]”, valamint […]-én megjelent „[…]” elnevezésű homeopátiás esettanulmányokról szóló cikkeket. Mindkét cikkben szerepelnek az érintettekre vonatkozó személyes adatok (például: kor, tanulmányok, munkahely) és egészségügyi adatok, illetve a „[…]” elnevezésű esettanulmányban az érintett szexuális irányultságára, vallási hovatartozására vonatkozó adatok, a „[…]” elnevezésű cikkben a kezelőorvosnak, az operátornak, a rögzítőnek a személyes adatai is ismertetésre kerülnek. Az orvosi szaklapban megjelent további cikkek előfizetés esetén ismerhetőek meg. (2) A Hatóság áttekintette a „[…]” és a „[…]” elnevezésű homeopátiás esettanulmányokról szóló cikkeket, valamint a […] weboldalt és megállapította, hogy a közérdekű bejelentő által kifogásolt esettanulmányok adatkezelése, és az Ügyfél adatkezelési tevékenységének általános adatvédelmi rendeletnek való megfelelősége további vizsgálatot igényel.

(3) A Hatóság 2025.02.14-én adatvédelmi hatósági eljárás indított az Ügyféllel szemben a homeopátiás esettanulmányban szereplő személyes adatok közzététele, valamint az Ügyfél ezen adatkezelési tevékenységének általános adatvédelmi rendeletnek való megfelelősége tárgyában. A Hatóság 2019. évtől az eljárás megindításáig terjedő időszakot jelölte meg vizsgált időszakként. A közérdekű bejelentő a „[…]” című esettanulmány kapcsán más adatkezelő általi közzétételt is kifogásolt, amely alapján a Hatóság külön adatvédelmi hatósági eljárást folytatott le. (4) A Hatóság a NAIH-7856-3/2025. ügyiratszámú feljegyzésben dokumentálta, hogy 2025.02.05én mentést készített az Ügyfél […] honlapján elérhető adatkezelési tájékoztatójáról. (5) A Hatóság a 2025.02.14. napján kelt, NAIH-7856-1/2025. ügyiratszámú végzésében értesítette az Ügyfelet az adatvédelmi hatósági eljárás megindításáról és a tényállás tisztázása érdekében nyilatkozattételre hívta fel, melyre az Ügyfél 2025.03.12-én kelt, NAIH- 7856-2/2025. ügyiratszámon válaszolt. (6) A Hatóság a 2025.10.21. napján kelt, NAIH-7856-4/2025. ügyiratszámú végzésében értesítette az Ügyfelet a bizonyítási eljárás befejezéséről, nyilatkozattételről, iratbetekintésről, illetve tényállás tisztázásra is felhívta az Ügyfelet. Az Ügyfél 2025.10.31. napján kelt, NAIH- 7856-5/2025. ügyiratszámú beadványban megküldte válaszát, azonban iratbetekintési és nyilatkozattételi jogával nem kívánt élni.

II. Tényállás tisztázása

(7) Az Ügyfél 2025.03.12-én kelt, NAIH-7856-2/2025. sz. válaszlevelében arról tájékoztatta a Hatóságot, hogy a […] folyóirat utoljára […]-ben, összesen 4 lapszámmal, digitális formátumban jelent meg. Ez a 4 digitális lapszám […] címmel nyomtatásban is megjelent. A folyóirat az Ügyfél szűkös anyagi lehetőségei miatt már 2020-tól sem digitális, 2021-től sem nyomtatott évkönyv formában nem jelent meg. (8) A […] folyóiratban megjelent esettanulmányok vonatkozásában az Ügyfél úgy nyilatkozott, hogy azokat a homeopata szakdiplomás szakemberek (orvosok, pszichiáterek) készítették. A folyóirat főszerkesztője hagyta jóvá a beküldött cikkeket. A főszerkesztő kötelezettsége volt, hogy a […] folyóiratban megjelentetendő cikkek és/vagy esettanulmányok vonatkozásában a cikk szerzőjét figyelmeztesse arra, hogy a páciens előzetes hozzájárulásának beszerzése, illetve az illető személy nevének megváltoztatása és lényeges információk kisatírozása nélkül a vonatkozó cikk, esettanulmány nem küldhető be és nem jeleníthető meg. A folyóirat főszerkesztője tehát a szerző felé jelezte, hogy szerezze be a páciens előzetes hozzájárulását a kitalált névvel történő esettanulmány publikálásához. Az Ügyfél nyilatkozata szerint folyóirata ezzel az Európai Szabványügyi Bizottság (European Committee for Standardization, rövidítve CEN) által kiadott – szakemberek által ismert – európai szabványkövetelmény szerint járt el. Az Ügyfél csatolta az erről szóló dokumentumot. (9) Az Ügyfél hangsúlyozta, hogy a folyóiratban csak kitalált névvel szereplő személyekkel kapcsolatos esettanulmányok jelenhettek meg. Az Ügyfél szerint az anonomizálás kérdésében a szerkesztőség kompetenciája csak a homeopata szakember felé irányult, mivel a pácienssel személyes kapcsolatba nem került, annak eredeti nevét nem ismerhette meg, így egy beazonosítható természetes személy adatát nem kezelte. A szerkesztőség ezen felül elfogadta a szakember által eszközölt titkosítás mértékét (név megváltoztatása, adatok kisatírozása). (10) Az Ügyfél szerint esettanulmány akkor kerülhetett be a […] folyóiratának szerkesztőségbe, ha a szakember – azaz a cikk szerzője - és a páciens hozzájáruló nyilatkozatát beszerezte, ezért az Ügyfél nem rendelkezett a vonatkozó adatkezelés céljának és eszközeinek meghatározására, hiszen a közlés során közreműködőként járt el. Az Ügyfél előadta, hogy a folyóirat szerkesztősége tulajdonképpen nem tudhatta, hogy egy vagy több páciens, egyedi, vagy kombinált esetleírásával áll szemben, vagy hogy azok egyedi valós, vagy kitalált, vagy kombinált esetleírások abból a célból, hogy szemléletesen illusztráljanak terápiás, vagy gyógyszerhasználati összefüggéseket. Tehát az Ügyfél […] folyóiratának szerkesztősége a szakember által fontosnak tartott információkat elfogadta, azaz az orvos szakember e tárgyú jelzését elfogadta, azt érdemben nem vizsgálta. Az Ügyfél tehát az olvasó-szerkesztési és tördelési folyamaton kívül a cikkek szakmai tartalmát nem módosította. (11) Az Ügyfél azon kérdésre, meddig kezeli a folyóiratban megjelent homeopátiás esettanulmányokról szóló cikkekben szereplő személyes adatokat, és azon belül a különleges kategóriájú személyes adatokat úgy válaszolt, hogy az esettanulmányok addig elérhetők a felhasználó szakemberek számára, ameddig valaki egyesületi tag és […] előfizető, és ez alapján érvényesen be tud lépni az online felületre. A […] évkönyv példányával rendelkező tag is jogosult elolvasni a megjelent cikkeket.

(12) Az Ügyfél a homeopátiás esettanulmányokról szóló cikkekben szereplő személyes adatokat a Drupal rendszerben, fizetett tárhelyen tárolja. Az Ügyfél szerint a Drupal egy nyílt forráskódú tartalomkezelő rendszer, biztonsági szempontból az egyik legstabilabb és legbiztonságosabb. Az Ügyfél hozzátette, hogy a felhasználónévvel és jelszóval védett Drupal felületen elérhető esettanulmányok homeopatáknak, elsősorban az Ügyfél tagjai számára váltak elérhetővé, akik maguk is homeopátiás szakemberek és mint ilyen szakemberek a szakmai továbbképzésük eszközeként tekintettek a vonatkozó cikkekre, esettanulmányokra. Ezenkívül a cikkekhez az Ügyfél adminisztratív munkatársai is hozzáfértek.

(13) Az esettanulmányokat a szerzők szöveges (MS Word) dokumentum formátumban továbbították az Ügyfél részére, így ezeket ebben a formátumban kezelte az Ügyfél. A cikkek tárolása MS Word formátumban az Ügyfél irodai számítógépen, titkosított mappákban történt. Az Ügyfél válaszához csatolta a Drupal rendszer belépési oldaláról, a cikkeknek az irodai számítógépen titkosított mappában történő tárolásáról, az adminisztrátor által látott Drupal felületről és felhasználói profilról készült képernyőfelvételeket. Az Ügyfél álláspontja szerint az így kezelt adatok védelme megfelel az elvárható, arányos informatikai védelem követelményének.

(14) A […] folyóirat […] összesen megjelent 4 számban 9 esettanulmány (ebből 1 esettanulmány állatgyógyászati és 1 eset, materia medica homeopatiás gyógyszertan kategóriába tartozik) volt olvasható. A 9 esettanulmányból 7 esettanulmány foglalkozik természetes személyek tünetegyütteseivel. Az Ügyfél válaszbeadványához csatolta a 7 esettanulmányt. (15) A […] folyóirat legutóbb […]-ben jelent meg. Az előfizetők száma a […] online folyóiratra 127 fő (ebből 33 fő nem nyitotta meg a cikket), a […] évkönyvre 74 fő, mindkét kiadványra 45 fő. Az Ügyfél összesen 156 főt tekintett előfizetőnek. Mivel 33 fő nem nyitotta meg a folyóiratot, így az Ügyfél állítása szerint a cikkeket ténylegesen 123 fő láthatta. Az Ügyfél jelezte, hogy a folyóirat zárt, homeopátiás szakmai közösség számára volt elérhető és csak néhány külső vásárló tekinthette meg (a […] kiadvány esetében 15 fő volt).

(16) Az Ügyfél jelezte, hogy a […]-es esettanulmányokat a hatósági vizsgálat idejére elérhetetlenné tette a felhasználók számára.

(17) Az Ügyfél a NAIH-7856-5/2025. ügyiratszámú beadványban jelezte, hogy a jelen eljárásban vizsgált „Adatkezelési Tájékoztató v. 1.0” 2018-ban készült, de 2019.01.01.-én került fel a honlapra és a hatálya is 2019.01.01.-től indult. 2025 ápr.11.-től az Ügyfélnek új adatkezelési tájékoztatója van. Az Ügyfél továbbá jelezte, hogy 2025 áprilistól elkészítette az „Adatvédelmi Útmutató Homeopátiás esettanulmányok bemutatásához”, az „Adatkezelési Tájékoztató Homeopátiás esettanulmány közléséhez adott hozzájáruláshoz”, és a „Hozzájáruló Nyilatkozat esettanulmány közzétételéhez” című dokumentumokat. (18) A homeopátiás orvosi módszertan tartalmát illetően az Ügyfél fontosnak tartotta megemlíteni, hogy az anonimizálás mértékének meghatározásakor figyelembe kell venni, hogy a homeopátia egy holisztikus gyógyászati módszer, amely megközelítőleg kettőszáz éves, és így részletesen dokumentált orvostudományi előzménnyel rendelkezik. Mindezen orvosi gyakorlat alapján az esettanulmányok részletessége és fellelt gyógymód között közvetlen kapcsolat áll fenn. Mivel a szerzők homeopátia egyetemi szakdiplomával rendelkező személyek, ezért az Ügyfél nem élt, illetve nem is élhetett kifogással a szakemberek által beküldött esettanulmányok tartalma vonatkozásában. Az Ügyfél indokolása szerint ugyanis a beküldött cikkeknek a kitalált névvel szereplő esetleírások információs tartalmától történő megfosztása, a cikkeket tanulmányozó szakemberek szakmai fejlődését akadályozta volna, hiszen az ismertetett életesemények és a betegség(ek) kialakulása közötti közvetlen összefüggések így értelmezhetetlenné váltak volna. Az Ügyfél álláspontja szerint a kitalált személynévvel készült esetleírás nem értelmezhető úgy, hogy az egy beazonosítható személyre vonatkozó esetleírás lenne, mivel az esetleírásban szereplő életesemények, vagy személyiségjegyek vonatkozásában azokra akár több személy is magára ismerhet. Továbbá az Ügyfél […] folyóiratának szerkesztősége a beküldött cikkek vonatkozásában bízott a szerzők szakértelmében és abban, hogy ők az általunk közölt cikkben foglaltakat a páciens előzetes és kifejezett hozzájárulásával szerezték meg, illetve egyértelművé tette a folyóirat belső oldalán található közlésében, hogy csak kitalált személynevek szerepelhetnek a cikkekben. Az Ügyfél nem volt jogosult orvos szakmai alapon felülvizsgálni a szerzők által beküldött esettanulmányokat a szerző engedélye nélkül, mert ezzel a homeopátia orvostudományi rendszerébe, a betegségek mögött meghúzódó és releváns információk rendszerét bontotta volna meg. (19) A hatósági megkeresését követően az Ügyfél azonnal kezdeményezte egy belső eljárás keretében annak meghatározását, hogy a jövőben esetlegesen megjelenő esettanulmányok vonatkozásában milyen szakmai protokollt kövessen. Ezzel kapcsolatban arra a megállapításra jutott az Ügyfél, hogy mivel a homeopátiára vonatkozó uniós szabvány még a GDPR alkalmazhatóságát megelőzően keletkezett, ezért a szabvány szövege az előzetes tájékoztatás követelményét nem tartalmazza. Azonban az Ügyfél szerint alappal feltételezhető, hogy a homeopátiás orvos és a páciens között kialakult szoros, bizalmi kapcsolat megalapozza azt a következtetést, hogy mivel a páciens tudja, hogy a kezelések során milyen információt osztott meg a kezelőjével, ezért az esettanulmányok publikálása vonatkozásában az előzetes tájékoztatás személyesen, szóbeli formában és/vagy a készült orvosi dokumentáció közös áttanulmányozása formájában történik meg. A hozzájárulás beszerzése pedig ettől elkülönülten, írásos formában valósul meg.

III. Megállapított tényállás

IV. Alkalmazott jogszabályi rendelkezések

(21) Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. (22) Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII.

törvény (a továbbiakban: Infotv.) 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben meghatározott kiegészítésekkel kell alkalmazni. (23) Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. (24) Az Infotv. 38. § (2a) bekezdése alapján az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. (25) Az Infotv. 38. § (3) bekezdés b) pontja értelmében a 38. § (2) és (2a) bekezdés szerinti feladatkörében az e törvényben meghatározottak szerint különösen az érintett kérelmére és hivatalból adatvédelmi hatósági eljárást folytat. (26) Az Infotv. 60/A. § (1) bekezdése alapján az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap. (27) Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat.

(28) Az Infotv. 71. § (2) bekezdése alapján: „A Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja.” (29) Az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 99.

§-a alapján a hatóság – a hatáskörének keretei között – ellenőrzi a jogszabályban foglalt rendelkezések betartását, valamint a végrehajtható döntésben foglaltak teljesítését. (30) Az Ákr. 103. § (1) bekezdése alapján a hivatalbóli eljárásokban e törvénynek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az e fejezetben foglalt eltérésekkel kell alkalmazni. (31) Az általános adatvédelmi rendelet 4. cikk 1. pontja értelmében: „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.” (32) Az általános adatvédelmi rendelet 4. cikk 2. pontja szerint: „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.” (33) Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján: „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.” (34) Az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja értelmében: „A személyes adatok: c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”)”. (35) A GDPR 6. cikk (1) bekezdése alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. (36) Az általános adatvédelmi rendelet 58. cikk (2) bekezdése alapján: „A felügyeleti hatóság korrekciós hatáskörében eljárva:

a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.”

V. Döntés

V.1. Adatkezelő személye

(37) A GDPR 4. cikk 7. pontja alapján adatkezelő lehet bármely szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza. (38) Az Ügyfél a […] folyóiratban megjelent esettanulmányok kapcsán úgy nyilatkozott, hogy a cikkek közlése során közreműködőként járt el. Ennek indoka, hogy a folyóirat szerkesztősége nem tudhatta, hogy a cikkek egyedi valós, vagy kitalált, vagy kombinált esetleírások abból a célból, hogy szemléletesen illusztráljanak terápiás, vagy gyógyszerhasználati összefüggéseket. Tehát az Ügyfél az orvos szakember által fontosnak tartott információkat elfogadta, azt érdemben nem is vizsgálta, továbbá az olvasó-szerkesztési és tördelési folyamaton kívül a cikkek szakmai tartalmát nem módosította.

2https://www.naih.hu/dontesek-adatvedelem-tajekoztatok-koezlemenyek/file/1321-a-nemzetiadatvedelmi-es-informacioszabadsag-hatosag-tajekoztatoja-a-2026-evi-orszaggyulesi-valasztasikampany-adatvedelmi-vonatkozasairol (40) A Hatóság megállapítja, hogy mivel az Ügyfél a jelen eljárásban vizsgált esettanulmányokat, illetve az azokban lévő személyes adatokat nyilvánosságra hozta, azaz saját folyóiratában a cikkeket közzétette, és ezen adatkezelési műveletről önállóan döntött, ezért a GDPR 4. cikk (7) bekezdése értelmében adatkezelőnek minősül.

V.2. Esettanulmányok értékelése

V.2.1. Az érintettek azonosíthatósága

(41) A „[…]” esettanulmányban írtak szerint 2017. szeptemberében egy férfi beteg kereste fel a homeopata orvost, azaz a cikk szerzőjét. A cikk részletesen leírja a páciens pszichés panaszait, ismerteti a páciens szexuális irányultságát, vallási hovatartozását, leírja, hogy hány éves, milyen egyetemi szakon végzett, hogy akkoriban albérletben élt lakótársakkal, és hogy ebben az időszakban a […] dolgozott. (42) A GDPR az azonosíthatóság körében minden objektív tényező együttes vizsgálatát követeli meg, azokat is, amelyek akár közvetve alkalmasak az érintett azonosítására. A GDPR szerint valamely természetes személy azonosíthatóságának meghatározásakor minden olyan módszert figyelembe kell venni, amelyről észszerűen feltételezhető, hogy az adatkezelő vagy más személy a természetes személy közvetlen vagy közvetett azonosítására felhasználhatja.

(43) A 29. cikk alapján létrehozott Adatvédelmi Munkacsoport3 4/2007. sz. véleménye a személyes adat fogalmáról az azonosítás/azonosíthatóság körében a következőket fogalmazza meg. Általában véve egy természetes személyt „azonosítottnak” tekinthetünk, ha személyek egy csoportján belül „elkülönül” a csoport valamennyi egyéb tagjától. Következésképpen a természetes személy akkor „azonosítható” — még ha az azonosításra eddig nem is került sor —, ha ennek megtétele lehetséges (ez a „-ható” képző jelentése). Így a gyakorlatban e második lehetőség az a küszöbfeltétel, amely meghatározza, hogy az információ az azonosíthatóság, mint fogalmi elem körébe tartozik-e.

(44) A Kúria Kfv.lll.37.911/2017/8. számú ítélete szerint „az érintett azonosíthatósága kérdését illetően általánosságban elmondható, hogy annak mértéke, amennyire az azonosításhoz bizonyos adatokra szükség van, az az adott helyzet körülményeitől függ. A természetes személy akkor azonosítható, ha ennek megtétele a rendelkezésre álló adatok és információk alapján lehetséges. Egy természetes személyt közvetlenül azonosítani lehet a neve alapján, vagy közvetett módon például valamely azonosító jele alapján. Egy nagyon gyakori családnév nyilvánvalóan nem elegendő azonosító adat valaki közvetlen azonosításához, például, hogy azonosítsák egy város lakosságából, azonban egy szűkebb csoportot tekintve már azonosítható lehet. Az azonosítást az adott természetes személyre vonatkozó kiegészítő információ is segítheti. Mindig az adott eset körülményeitől függően kell tehát azt megítélni, hogy a természetes személy, akire az azonosító adat vonatkozik, azonosítható-e.”

(45) A Hatóság értékelése szerint mivel Magyarországon kizárólag egyetlen […] működik, és a páciens életkora is meghatározható, továbbá ismert a végzettsége és az, hogy hol dolgozott, az esettanulmány alapján a páciens beazonosíthatóvá vált. Az így közölt adatok alapján a páciens a családtagjai, ismerősei és munkatársai számára beazonosíthatóvá vált. (46) Törekedni kellett volna arra, hogy az esettanulmány kevesebb, a páciens beazonosítására alkalmas adatot közöljön, például az életkort „húszas évei elején járó férfi”-ként, a munkahelyet „budapesti […]ként”, a tanulmányokat pedig „felsőfokú végzettséggel rendelkező személyként” írja le. Ezáltal jobban érvényesülhetett volna a páciens anonimitása. Ez különösen lényeges, 3 Ez a munkacsoport a 95/46/EK irányelv 29. cikke alapján jött létre. Független európai tanácsadó szerv volt adatvédelmi, valamint a magánélet tiszteletben tartásával kapcsolatos kérdésekben.

mivel a tanulmány olyan érzékeny személyes adatokat (pszichés problémák, szexuális irányultság, vallási hovatartozás) is tartalmaz, amelyek bizalmasak, intimek és csak a kezelőorvosra tartoznak, és mások általi megismerésük különösen zavaró és kellemetlen lehet. Ha az esettanulmány célja szakmai tájékoztatás volt, úgy az érintett azonosítására alkalmas konkrét információk közlése nem volt szükséges. (47) A folyóiratban megjelent másik cikkben, a „[…]” elnevezésű esettanulmányban egy daganatos betegségben szenvedő nő esete kerül ismertetésre. A cikk szerzője részletesen leírja az érintett betegséget, egészségügyi kezelését és több egészségügyi dokumentumának másolati példányát is feltünteti. Az esettanulmányban az érintett azonosítására alkalmas információk nem szerepelnek, illetve a beszkennelt dokumentumokon az érintettre vonatozó személyes adatok eltakarásra kerültek. A cikkben azonban több nem megfelelően anonimizált beszkennelt lelet található. A leletek többségén látható az egészségügyi intézmény neve, a vizsgálaton részt vett dolgozók neve és beosztása (kezelő orvos, CT vizsgálat operátor, CT vizsgálat rögzítő). Mivel az érintett több egészségügyi vizsgálaton is részt vett, ezért több kezelőorvos neve is feltüntetésre került, továbbá nevük és beosztásuk több leleten is olvasható. Ugyanígy a CT-vizsgálatokon részt vevő dolgozók (operátorok, rögzítők) neve és beosztása is szerepel a beszkennelt leleteken. Az esettanulmány összesen hat egészségügyi dolgozó személyes adatát érinti. (48) A Hatóság értékelése szerint a „[…]” cikkben a nem megfelelően anonimizált beszkennelt leletek miatt az egészségügyi vizsgálatban részt vevő dolgozók személye egyértelműen beazonosíthatóvá vált mindazok számára, akik hozzáfértek a dokumentumokhoz. Ez azt jelenti, hogy nemcsak a munkatársaik, hanem bárki azonosíthatta őket, mivel a leleteken feltüntetésre került a nevük, a munkahelyük és a munkakörük. A Hatóság szerint egy esettanulmány anonimizálása nem kizárólag a cikkben szereplő páciensre terjed ki, hanem minden olyan személyre is, akit a szerző a betegség ismertetése során megemlít, vagy akinek adatai a hivatkozott iratokban szerepelnek, azaz ha a szerző a cikkben más személyt is megjelenít, akkor azon személyes adatokat is anonimizálni szükséges.

V.2.2. Az adatkezelés jogalapja, az adattakarékosság elve

(49) A „[…]” elnevezésű esettanulmányban a nem megfelelően anonimizált leletek miatt hat egészségügyi dolgozó személyes adata is nyilvánosságra került, a „[…]” című tanulmányban pedig a páciens részletes és pontos életkörülményeinek ismertetése következtében vált beazonosíthatóvá, miközben ezek közzététele nem volt szükséges egyik páciens esetének ismertetéséhez sem. (50) Az Ügyfél nyilatkozata szerint nem volt jogosult felülvizsgálni a szerzők által beküldött esettanulmányokat a szerző engedélye nélkül, mert ezzel a homeopátia orvostudományi rendszerét, a betegségek mögött meghúzódó és releváns információk rendszerét bontotta volna meg. A Hatóság elfogadja ezt a szempontot azzal, hogy az Ügyfélnek a közzétételről hozott döntése során észlelnie kellett volna a vizsgált cikkek anonimizálásának hiányát (a „[…]” esetében a páciens pontos életkorára, munkahelyére, tanulmányára vonatkozó adatokat, a „[…]” cikkben a beszkennelt leleteken szereplő egészségügyi dolgozók teljes nevét, beosztását, munkahelyét), valamint az Ügyfélnek jelezni kellett volna a szerzők felé a cikkek nem megfelelő anonimizálását. Az Ügyfél azonban nem vizsgálta meg ilyen szempontból a cikkeket (ld. határozat 9. bekezdése) és a cikkek hiányos anonimizálásáról elmulasztotta tájékoztatni a cikkek szerzőit.

(51) Hivatkozva a határozat V.1. fejezetében tett megállapításra, miszerint az Ügyfél saját folyóiratában a cikkeket közzétette adatkezelővé vált, az Ügyfélnek a homeopata szakemberek által írt cikkeket az adatkezelői felelőssége keretén belül, anonimizálás szempontjából meg kellett volna vizsgálnia. Ugyanígy az Ügyfélnek gondoskodnia kellett volna arról a „[…]” cikk kapcsán, hogy az egészségügyi dolgozók személyes adatait ne tegye közzé. Azonban az Ügyfél elfogadta a szakember által eszközölt titkosítás mértékét és a vizsgált cikkeket változtatás nélkül közzétette saját folyóiratában. A Hatóság tehát elfogadja az Ügyfél érvelésének azon részét, hogy a tanulmányok módosítására, szakmai szempontú szerkesztésére nincs módja és lehetősége, mert ez a tanulmányokat készítő szakemberek, szerzők felelősségi körébe esik, azonban ez nem jelentheti azt, hogy jogellenesnek tekintendő tartalmakat utánközölhet és ennek során mentesülne az adatkezelői felelősség alól. Tehát az Ügyfélnek intézkedést, jelzést kellett volna tennie a tanulmányokat készítő szakemberek, mint adatkezelők felé a személyes adatok megfelelő anonimizálása tekintetében, illetve elutasíthatta volna a tanulmányok meghatározott tartalommal való közzétételét. (52) A fentiek alapján megállapítható, hogy az Ügyfél saját folyóirata kapcsán adatkezelői minőségben járt el. A nem megfelelően anonimizált esettanulmányok következtében a bennük szereplő érintettek (egészügyi dolgozók, páciens) azonosíthatóvá váltak. Az Ügyfél azonban ezt az anonimizálási hiányt nem észlelte, és nem jelezte az esettanulmány szerzője felé, így az esettanulmányban szereplő beazonosítható érintettek személyes adatait megfelelő jogalap nélkül kezelte. Az Ügyfélnek rendelkeznie kellett volna a közzétételhez szükséges jogalappal.

Mindezek alapján megállapítható, hogy az Ügyfél a nem kellően anonimizált esettanulmány kapcsán, jogalap nélkül közölte a beazonosítható érintettek személyes adatait, ezáltal megsértette a GDPR 6. cikk (1) bekezdését és 5. cikk (1) bekezdésének c/ pontját.

VI. Jogkövetk ezm énye k

(53) A Hatóság a hivatalból indított adatvédelmi hatósági eljárásban az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján megállapítja, hogy az Ügyfél megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontját és a 6. cikk (1) bekezdését. Az Ügyfél gondatlanul követte el a jogsértéseket, szándékosság nem bizonyított. (54) A Hatóság a hivatalból indított adatvédelmi hatósági eljárásban az általános adatvédelmi rendelet 58. cikk (2) bekezdés c) pontja alapján utasítja az Ügyfelet, hogy a „[…]” esettanulmányban gondoskodjon a megfelelő anonimizálásáról, valamint „[…]” esettanulmányban törölje a személyes adatokat.

(55) Mindezek alapján a Hatóság a rendelkező részben foglaltak szerint döntött, a jogkérdés egyedi jellege és az eljárás elhúzódása miatt bírság kiszabásától eltekintett.

VII. Egyéb kérdések

(56) A Hatóság túllépte az Infotv. 60/A.§ (1) bekezdése szerinti ügyintézési határidőt.

(57) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (58) A Hatóság jelen döntése az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A döntés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése és (4) bekezdés d) pontja, illetve a 114. § (1) bekezdése alapján a döntéssel szemben közigazgatási per útján van helye jogorvoslatnak.

* * * (59) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pontjának aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja szerint olyan jogvitában, amelyben a törvényszék kizárólagosan illetékes, a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (60) A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi CXXX.

törvény 604. §-a szerint alkalmazandó, a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló 2023. évi CIII. törvény 19. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

(61) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul.

(62) A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

(63) Ha az előírt kötelezettség teljesítését az Ügyfél megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy az Ügyfél a kötelezettségét határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha az Ügyfél a Hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Kelt: Budapest, az elektronikus aláírás és időbélyeg szerint

Dr. habil. Péterfalvi Attila elnök, c. egyetemi tanár