Hungarian Data Protection Authority: disclosure of a minor’s health data in national broadcast

………………………………………………………………………………………………………… ……… 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-68- /2021 (NAIH/2020/6450)

Tárgy: kérelemnek helyt adó határozat

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság)

kérelmező (szül:………….., a továbbiakban Kérelmező) törvényes képviselője ……….(a továbbiakban: Képviselő) által benyújtott kérelmére a ………..-vel (…………. a továbbiakban: Kérelmezett) szemben adatainak jogellenes nyilvánosságra hozatala tárgyában a ……………c. műsor 2020. ………..-án sugárzott műsorában elhangzott információkkal kapcsolatban indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

I. A Kérelmező kérelmének helyt ad és megállapítja, hogy a Kérelmezett megfelelő jogalap hiányában hozta nyilvánosságra a Kérelmező személyes és a személyes adatok különleges kategóriájába tartozó egészségügyi adatait, ezzel megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) 5. cikk (1) bekezdés a), b), c) pontját, a 6. cikk (1) bekezdését, a 9. cikk (1)-(2) bekezdését, valamint a 21. cikk (1) bekezdését.

II. Utasítja a Kérelmezettet, hogy jelen határozat véglegessé válásától számított 15 (tizenöt)

napon belül törölje a Kérelmezőről kezelt adatokat.

III. A jogellenes adatkezelés miatt a Kötelezettet a jelen határozat véglegessé válásától számított

30 napon belül

5 000 000 Ft, azaz ötmillió forint adatvédelmi bírság megfizetésére kötelezi.

* * * A II. pontban előírt intézkedés végrehajtásáról ,az intézkedés megtételétől számított 15 napon belül az azt alátámasztó bizonyítékok csatolásával együtt - értesítenie kell a Hatóságot. A bírságot a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-68/2021. BÍRS. számra kell hivatkozni. Ha a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg.

A II. pont szerinti kötelezettség, illetve a III. pont szerinti bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását.

A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan,1 amely azt az ügy irataival együtt továbbítja a bíróságnak. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. Az Infotv. 61. § (6) bekezdése értelmében a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

I N D O K O L Á S

I. Az eljárás menete és a tényállás tisztázása

A Kérelmező törvényes képviselője útján 2020. …………..-án kérelmet nyújtott be a Hatósághoz, amelyben előadta, hogy a …………..c. műsorának 2020. ……………-i adásában „…………….” címmel sugárzott műsorban elhangzott az az információ, hogy a Kérelmező rossz …………….használata következtében égési sérülést szenvedett, ami testének 40%-át érintette, valamint, hogy kórházban több napig altatták, válságos állapotban volt, intenzív osztályon kezelték, lélegeztetőgépen volt és gyomorszondán keresztül táplálták. A riportban elhangzik, hogy az eset [település megnevezése]……………történt, videofelvétel, illetve képfelvétel jelent meg az utcáról, illetve a társasházról, ahol laknak, valamint bemutatásra került egy szomszéddal készített interjú is. A riport végén elhangzik a gyermek keresztneve. A kérelem szerint a Kérelmezett a Kérelmező családját is megkereste az esettel kapcsolatban, de a Kérelmező családja kifejezetten közölte, hogy az interjútól elzárkózik, és nem kívánják, hogy bármilyen információ megosztásra kerüljön a családjukról. A műsorban is elhangzik az a tény, hogy a Kérelmező családja nem kívánt nyilatkozni. A baleset során a Képviselő az ismerőseinek a privát facebook profilján beszámolt arról, hogy milyen a Kérelmező állapota és mik történtek vele a kórházban, így a Kérelmezett feltehetően onnan szerzett tudomást az esetről. Külön felháborodását fejezte ki azzal kapcsolatban, hogy a privát oldalon megjelent információkat elferdítve és a nagyobb szenzációkeltés reményében kiszínezve adták tovább a riportban. A Kérelmező kérte a Hatóságtól, hogy állapítsa meg a jogsértést, és kötelezze a Kérelmezettet, hogy a Kérelmezőről általa kezelt összes személyes adatot törölje. A Hatóság a kérelem hiányainak pótlására szólította fel a Kérelmezőt, melyben kérte közölni a feltételezett jogsértéssel kapcsolatos állításokat alátámasztó tényeket és azok bizonyítékait, ennek keretében felhívta, hogy nyilatkozzon arról, az adatkezeléssel, vagy a műsor sugárzása előtt a tervezett adatkezeléssel szemben éltek-e tiltakozással, amennyiben igen, mikor és milyen módon. A hiánypótlási felhívásra adott válaszában a Kérelmező a következőket hozta a Hatóság tudomására. 2020. …………….-án 9:41 perckor a Képviselő az alábbi messenger üzenetet kapta: „Kedves…………! A …………műsorából keresem. Szeretnénk rövid anyagot készíteni a fiúk szomorú balesetéről. Nyilatkozna nekünk a témában? Vagy akár ………….fiával együtt? Mi itt a 1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program ( ÁNYK program) alkalmazásával tölthető ki.

szerkesztőségben nagyon szorítunk …………t. Várom válaszát, köszönettel, ……….., riporter, …………, +36…………” A Képviselő a Hatóságnak tett nyilatkozata szerint a fenti üzenetet a fia súlyos állapota miatt és a tragédia sokk hatására nem olvasta, mivel egész nap az intenzív osztályon tartózkodott a fia mellett. 2020. ………….án 9:42 perckor a Kérelmező testvére az alábbi messenger üzenetet kapta: „Kedves………..! A ……….műsorából kereslek. Szeretnénk rövid anyagot készíteni a fiúk szomorú balesetetekről. Nyilatkoznál nekünk a témában? itt a szerkesztőségben nagyon szorítunk…………... Várom válaszod, köszönettel, …………, riporter, …………., +36……………” 2020. …………….-án 17:33 perckor az utóbbi üzenet címzettje, a Kérelmező testvére az alábbi választ küldte a megkeresésre: „Kedves………..! Köszönjük szépen a megkeresést! Jelenleg nem vagyunk olyan állapotba, hogy tudnánk nyilatkozni és családilag is átbeszéltük, és nem szeretnénk, ha megjelenne sehol! Köszönjük szépen!............” A kérelem hiányainak pótlása után a Hatóság az ügyben az az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.). 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indított. A Hatóság az adatvédelmi hatósági eljárás megindításáról értesítette a Kérelmezettet, egyidejűleg a tényállás tisztázása érdekében tájékoztatást kért a Kérelmezettől az adatkezelés körülményeiről, így arról, hogy milyen forrásból álltak rendelkezésére a műsorban elhangzott információk a Kérelmezővel kapcsolatban, kitérve a kórházi kezelésre vonatkozó adatokra is; mi volt a személyes és a személyes adatok különös kategóriájának minősülő adatok nyilvános közlésének jogalapja, különös tekintettel arra, hogy a riportban elhangzik az az információ, hogy a Kérelmező nem kíván az üggyel kapcsolatban nyilatkozni, illetve „messenger” üzenetben előzetesen tiltakoztak az információk nyilvános megjelenése ellen; mi volt az adatok nyilvánosságra hozatalának célja; a riport elkészítése és nyilvános közlése milyem okból és mennyiben egyeztethető össze a Kérelmező személyes adatainak védelméhez fűződő jogával, amellyel a Kérelmező egyértelműen élni kívánt, amikor elzárkózott az interjú készítésétől; illetve hogyan látják biztosítottnak a személyes adatok védelméhez fűződő jogot, ha a Kérelmezőről közölt részinformációk alapján a Kérelmező azonosítható.

A Kérelmezett válaszában az Infotv. 51/§. § (2) bekezdésére tekintettel kérte az eljárás megszüntetését, mivel a Kérelmező az adatkezelő előtti kötelező eljárást elmulasztotta.

A Kérelmezett által az ügy érdemében adott tájékoztatás szerint tájékoztatásuk az Országos Mentőszolgálat (a továbbiakban: OMSZ) szóvivőjének hivatalos tájékoztatásán és a …………….Önkéntes Tűzoltó Egyesület (a továbbiakban: Tűzoltó Egyesület) hivatalos közösségi oldalán 2020. …………napján megjelent bejegyzésen alapult.

Az Smtv. 6. § (1) bekezdésében foglaltak alapján az információt adó magánszemély felfedésére nem kötelezhetőek.

Az Alaptörvény IX. cikk (2) bekezdése és az Smtv. 13. §-a alapján mint médiatatalom szolgáltatónak a Kérelmezettnek a tájékoztatási kötelezettsége körében feladata közérdeklődésre számot tartó, vagy a közvélemény figyelmét problémára felhívó, nevelő célzatú tartalmakat tárni a nyilvánosság elé.

Nyilatkozatuk szerint nem volt tudomásuk arról, hogy a Kérelmező messenger üzenetet küldött volna, és a messenger üzenet nem is tekinthető hivatalos kapcsolatfelvételnek, mert az adással, riportokkal kapcsolatos megkereséseket postai úton és a …………….@......hu címen fogadja, azonban tudomásuk szerint a Kérelmező sem az adást megelőzően, sem az adást követően nem küldött levelet vagy egyéb megkeresést részükre. Amennyiben a Kérelmező előzetes tiltakozását jelzi, úgy a médiatartalom átszerkesztésére lett volna lehetőség, azonban a Kérelmező sem előre, sem utólag nem kereste a Kérelmezettet ilyen tárgyú kéréssel, ezért a médiatartalom módosítására nem volt lehetőség.

A balesettel kapcsolatos információkat az OMSZ és a Tűzoltó Egyesület hozta nyilvánosságra, a híradással az Alaptörvényben és az Smtv-ben rögzített tájékoztatási kötelezettségüknek tettek eleget. A tájékoztatás alkalmas volt arra, hogy a ……………balesetveszélyességére felhívja a figyelmet, ezáltal, megakadályozza, hogy több ilyen baleset történjen.

Álláspontjuk szerint a híradás nem sértette a Kérelmező személyes adatainak védelméhez fűződő jogát, mivel a Kérelmező nem volt felismerhető, a Kérelmező keresztneve alapján legfeljebb az őt ismerő személyek ismerhetik fel, akik a Kérelmező adatait egyébként is ismerik.

Nyilatkozatuk szerint vitatják, hogy a Kérelmező egyértelműen elzárkózott volna az interjú készítésétől, a Kérelmezőtől nem kaptak tiltakozását kifejező üzenetet, a Kérelmező sajnálatos módon olyan súlyosan megsérült a balesetben, hogy nyilatkozni vélhetően nem is tudott volna.

Ismét rögzítették, hogy a Kérelmező nem volt beazonosítható, szűk környezete számára pedig ismertek az elhangzott adatok. A Kérelmező lakókörnyezetét a Tűzoltó Egyesület bejegyzésében is nyilvánosságra hozta, önmagában az épület és az utca képi megjelentése nem minősül személyes adatnak. Amennyiben a médiatartalommal kapcsolatban bármilyen személyiségi jogi, vagy adatvédelmi probléma felmerül, társaságuk a sérelmezett fél megkeresésének megvizsgálását követően az esetleges jogsértő állapotot megszünteti, azonban jelen híradás tekintetében erre lehetőségük sem volt.

Előadták továbbá, hogy a sérelmezett hírblokk mindösszesen egy alkalommal került adásba, a hírblokk a Kérelmezett honlapján sem elérhető. Álláspontjuk szerint személyes adatot nem kezelnek, a Hatóság kötelezése esetén pedig a Kérelmezőre vonatkozó valamennyi információt törlik.

A fenti nyilatkozat alapján a Hatóság az OMSZ-t és a Tűzoltó Egyesületet ügyfélként bevonta, és nyilatkozatukat várta azon kérdésekben, hogy pontosan milyen tartalmú bejegyzést tettek közzé az esettel kapcsolatban, vagy hoztak a ........tudomására, illetve milyen tartalmú információkat tettek közzé a Kérelmező egészségügyi intézményben történt kórházi kezelésével kapcsolatban.

A Tűzoltó Egyesület válaszában bemutatta, miszerint az eseménnyel kapcsolatban 2020. ..................:01 perckor a következő üzenetet jelenítették meg a közösségi oldalukon:

„Kigyulladt egy társasáz tetőszerkezete a ...........utcában. Az esethez a ............és ................hivatásos és a ...............öntkéntes tűzoltó egységek vonultak. Személyi sérülés nem történt.

Frissítés: Helyi lakos kezdte meg a tetőszerkezet oltását. A gyors reagaálásnak köszönhetően szerencsére nem gyulladt be a szigetelés, de sajnos nem úsztuk meg személyi sérülés nélkül. Két fiatal fiú kezében lobbant be egy gyúlékony anyag, ami nemcsk a környező bútorokra és falakra terjedt szét, de egyikük nagy kiterjedésű égési sérüléseket szerzett. Őt az ..............mentőszolgálat ellátta és kórházba szállította.“

Bejegyzésükhöz a kárhelyszínen, a káresemény idejében rendelkezésükre álló információkat használták. Az eseményről sem a fenti bejegyzés megjelenítése előtt, sem azt követően semmilyen formában nem közöltek további tájékoztatást, és ezzel kapcsolatban megkeresését nem kaptak. A bejegyzés képeit az egyesület helyszínen tartózkodó beavatkozó önkéntes tűzoltó tagja készítette, azok használatára nem kért és ennek megfelelően nem kapott engedélyt egyik magyarországi sajtóorgánum sem.

A bejegyzésben utcaképek, a tűzoltó jármű és személyek képei, és a ház külső képei láthatóak.

Az OMSZ a nyilatkozatában ismertette, hogy a .................c. műsor 2020.............. napján kelt megkeresésében milyen tartalmú nyilatkozatot adott, ami az alábbi:

„Esetkocsit riaszttottunk, két fiút találtunk a helyszínen. Az egyikük könnyebb sérülést, felszínes bőrpírt, elsőfokú égést szenvedett, a másikuk azonban súlyos, testfelületének kürülbelül a negyven százalékára kiterjedő másod, harmadfokú égéseket. Ennek megfelelően őt a helyszínen ellátták a mentők, és mindkettőjüket speciális égési osztályra szállították.“

Ezen túlmenően az OMSZ nem adott tájékoztatást sem a.............., sem harmadik személyek részére. Az ellátottak személyes adatait, a helyszín címét és a sérülteket fellelő gyógyintézet megnevezését a ............-nek adott információk nem tartalmazták.

Válaszukban kifejtették továbbá, hogy az OMSZ által az egyes ellátási eseményekről a nyilvánosság felé adott tájékoztatás minden esetben (ahogyan a fenti esetben is) a Mentőszolgálat közfeladatainak ellátásához kapcsoldóik. Ezáltal annak elsődleges célja az állampolgárok egészségtudatosságának növelése, felhívva a figyelmet az egyes balesetek veszélyeire, azoknak az egyén egészségére, vagy akár életére gyakorolt negatív hatásaira, valamint más következményeire, elősegítve ezzel a hasonló balesetek megelőzését. Céluk mindemellett a Mentőszolgálat mint egészségügyi közfeladatot ellátó intézmény feladatairól, tevékenységéről történő általános tájékoztatás.

A tényállás további tisztázása érdekében a Hatóság a Kérelmezett nyilatkozatát kérte arról, hogy a kérelemhez mellékelt – a Képviselőnek, valamint a Kérelmező testvérének küldött – „messenger” üzenetek feladója, ..............a Kérelmezett alkalmazásában állt-e a vizsgált időszakban, illetve mi az eljárásrendjük a riportokban szereplő magánszemélyeknek a rájuk vonatkozó tartalom közlésének engedélyezése vagy elutasítása körében tett nyilatkozataik teljesítése során.

A Kérelmezett a nyilatkozában arról tájékoztatta a Hatóságot, hogy a megnevezett riporter a vizsgált időszakban a munkavállalójuk volt, azonban a privát közösségi oldalán folytatott beszélgetéseket nem ellenőrzik, így a Kérelmező részére megküldött megkeresés és az arra adott válasz előttük nem volt ismert.

Munkatársaikat az Smtv. alapján szerkesztői és újságírói szabadság illeti meg, a riporterek a tényfeltárás és a médiatartalom megszerkesztése, így a nyilatkozatok felhasználása során is ezen szakmai szabadság alapján jogosultak eljárni. A Magyar Újságírói Etikai Kódex 2.1 pontja alapján az újságírót megilleti a tájékozódáshoz való jog, amely során jogosult információgyűjtésre.

A magánszemélyek nyilatkozatainak beszerzésére, a hozzájárulások rögzítésére általános eljárásrendet rögzítő belső szabályzattal nem rendelkeznek, a riportok készítése során a munkavállalók az Újságírói Etikai Kódex szabályait és jogszabályi előírásokat kötelesek betartani. Az Smtv. 15. § (1) bekezdésében foglalt jogszabályi előírást, amely szerint a nyilvános közlésre szánt nyilatkozat tartalma nem változtatható meg, a médiatartalom szerkesztése során a munkatársak kötelesek betartani.

Médiatartalmanként változó, hogy az érintett magánszemélyek nyilatkozatainak rögzítése mely formában történik, a nyilatkozat felhasználásának módja – riportként, vagy csak utalásként arra, hogy egyesektől ezt az információt kaptuk – elsődlegesen az információforrás rendelkezési jogától, illetve az eset egyedi körülményeitől függ. A hozzájárulást a nyilatkozatot tevő személyek leggyakrabban ráutaló magatartással adják meg, amennyiben az érintett a nyilatkozattételt elutasítja, úgy legfeljebb tájékoztatják a nézőket, hogy az érintett nem kívánt az ügyben nyilatkozni.

A Kérelmezett előadta továbbá, hogy tekintettel arra, hogy a médiaszolgáltató Alaptörvényben is rögzített joga és kötelezettsége a tájékoztatás, a közérdeklődésre számot tartó, vagy a közvélemény számára fontos tájékoztatás esetén a sajtó nem köteles valamennyi érintett hozzájárulását kérni ahhoz, hogy az adott kérdéshez, történéshez kapcsolódó tájékoztatási kötelezettségét teljesítse. A sajtószabadság és a tájékoztatáshoz való jog ellehetetlenülését jelentené, ha a sajtóterméket csak valamennyi érintett hozzájárulása esetén – pl. egy bűncselekmény sorozat feltárásánál – lehetne közzétenni, amely a magánszemélyek tájékozódásához való jogát is sértené.

A Kérelmezett ismét kifejtette, hogy a sérelmezett médiatartalomban az Alaptörvényben és az Smtv-ben foglalt tájékoztatási kötelezettségüknek tettek eleget, amely során felhívták a közvélemény figyelmét egy balesetveszélyes helyzetre, és a tartalomban a Kérelmező nem volt azonosítható. A Kérelmező a válaszadás napjáig nem jelezte a társaságnak, hogy a médiatartalommal kapcsolatban személyiségi jogi, vagy adatvédelmi problémája merült fel, így lehetőségük sem volt az általa sérelmezett médiatartalmat megvizsgálni, az esetleges jogvitát békés úton rendezni.

2020…………. -án … és …..között került a ……..c. adásába "………….." címmel az alábbi riport:

A hírműsor műsorvezetője által mondott bevezető szöveg:

"[...] aki a barátjával együtt ………..égett meg……... A két fiatal rossz ………….t használt, ezért az a kezükben felrobbant. Az egyik fiú testének a 40 %-a megégett, több napig altatták, hogy ne legyenek óriási fájdalmai. A fiú most már jobban van, még vizsgálják, hogy pontosan mi történhetett."

Ezt követően a ház külső képe, a kert és az utca egy részlete, a kertben és az utcán álló több gépkocsi, és a tűzeset okozta kár bemutatása látható. A riport szerint "Itt okozott tüzet két fiatal srác ………..". A megnevezett, nyilatkozó szomszéd a tűzoltás körülményeiről beszél, és "fiúk"-at említ.

A riport folytatása szerint "a két fiatal közül az egyikük súlyosan megégett", majd ezt követi az OMSZ szóvivőjének tájékoztatása a fent idézett tartalommal.

A híradás folytatásában elhangzik: "Úgy tudjuk, a súlyos sérült a kórházba szállítása után több napig válságos állapotban volt, intenzív osztályon kezelték, lélegeztetőgépen volt és gyomorszondán keresztül táplálták, közben pedig folyamatosan altatták, hogy ne legyenek fájdalmai. Hogy mi okozta a balesetet, azt jelenleg is vizsgálják. Információink szerint a két fiatal nem a megfelelő ………….használta a…………, ezért robbanhatott be a ……….még a kezükben. Kerestük a családot, de egyelőre nem szerettek volna nyilatkozni. Úgy tudjuk, [sérült keresztneve] ma lekerült a lélegeztetőgépről, és a gyomorszondát is hamarosan eltávolítják róla".

A riport alatt az utcát és a ház külső képeit mutatják.

A ……….2020. ……….-i adásának interneten elérhető változatában a vizsgált riport nem szerepel, az adásnak a 2020. ………..-án …….perc és ………..perc között sugárzott, kifogásolt híradást tartalmazó része eltávolításra került2.

II. Alkalmazandó jogszabályi előírások

A GDPR 2. cikk (1) bekezdése alapján jelen adatkezelésre a GDPR-t kell alkalmazni. A GDPR jelen ügyben releváns rendelkezései a következők: (26) Az adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell. Az álnevesített személyes adatok, amelyeket további információ felhasználásával valamely természetes személlyel kapcsolatba lehet hozni, azonosítható természetes személyre vonatkozó adatnak kell tekinteni. Valamely természetes személy azonosíthatóságának meghatározásakor minden olyan módszert figyelembe kell venni ideértve például a megjelölést -, amelyről észszerűen feltételezhető, hogy az adatkezelő vagy más személy a természetes személy közvetlen vagy közvetett azonosítására felhasználhatja. Annak meghatározásakor, hogy mely eszközökről feltételezhető észszerűen, hogy egy adott természetes személy azonosítására fogják felhasználni, az összes objektív tényezőt figyelembe kell venni, így például az azonosítás költségeit és időigényét, számításba véve az adatkezeléskor rendelkezésre álló technológiákat, és a technológia fejlődését. Az adatvédelem elveit ennek megfelelően az anonim információkra nem kell alkalmazni, nevezetesen olyan információkra, amelyek nem azonosított vagy azonosítható természetes személyre vonatkoznak, valamint az olyan személyes adatokra, amelyeket olyan módon anonimizáltak, amelynek következtében az érintett nem vagy többé nem azonosítható. Ez a rendelet ezért nem vonatkozik az ilyen anonim információk kezelésére, a statisztikai vagy kutatási célú adatkezelést is ideértve. (39) A személyes adatok kezelésének jogszerűnek és tisztességesnek kell lennie. [...] A személyes adatoknak a kezelésük céljára alkalmasaknak és relevánsaknak kell lenniük, az adatok körét pedig a célhoz szükséges minimumra kell korlátozni. Ehhez pedig biztosítani kell különösen azt, hogy a személyes adatok tárolása a lehető legrövidebb időtartamra korlátozódjon. Személyes adatok csak abban az esetben kezelhetők, ha az adatkezelés célját egyéb eszközzel észszerű módon nem lehetséges elérni. [...]. A GDPR 4. cikk 1. pontja szerint „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható; GDPR 4. cikk 2. „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés, továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés; GDPR 4. cikk 7. „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja; GDPR 4. cikk 15. „egészségügyi adat”: egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról;

A GDPR 5. cikk (1) bekezdés a) pontja szerint „a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”)” Az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja alapján személyes adat csak meghatározott, egyértelmű és jogszerű célból gyűjthető, és ezekkel a célokkal össze nem egyeztethető módon nem kezelhető („célhoz kötöttség”), a c) pontja alapján a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”); Az általános adatvédelmi rendelet 6. cikk (1) bekezdése alapján személyes adat kizárólag akkor és annyiban kezelhető jogszerűen, ha legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány 21 gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. 8. cikk (1) Ha a 6. cikk (1) bekezdésének a) pontja alkalmazandó, a közvetlenül gyermekeknek kínált, információs társadalommal összefüggő szolgáltatások vonatkozásában végzett személyes adatok kezelése akkor jogszerű, ha a gyermek a 16. életévét betöltötte. A 16. életévét be nem töltött gyermek esetén, a gyermekek személyes adatainak kezelése csak akkor és olyan mértékben jogszerű, ha a hozzájárulást a gyermek feletti szülői felügyeletet gyakorló adta meg, illetve engedélyezte.

GDPR 9. cikk A személyes adatok különleges kategóriáinak kezelése (1) A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.

(2) Az (1) bekezdés nem alkalmazandó abban az esetben, ha: a) az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával;

b) az adatkezelés az adatkezelőnek vagy az érintettnek a foglalkoztatást, valamint a szociális biztonságot és szociális védelmet szabályozó jogi előírásokból fakadó kötelezettségei teljesítése és konkrét jogai gyakorlása érdekében szükséges, ha az érintett alapvető jogait és érdekeit védő megfelelő garanciákról is rendelkező uniós vagy tagállami jog, illetve a tagállami jog szerinti kollektív szerződés ezt lehetővé teszi;

c) az adatkezelés az érintett vagy más természetes személy létfontosságú érdekeinek védelméhez szükséges, ha az érintett fizikai vagy jogi cselekvőképtelensége folytán nem képes a hozzájárulását megadni;

d) az adatkezelés valamely politikai, világnézeti, vallási vagy szakszervezeti célú alapítvány, egyesület vagy bármely más nonprofit szervezet megfelelő garanciák mellett végzett jogszerű tevékenysége keretében történik, azzal a feltétellel, hogy az adatkezelés kizárólag az ilyen szerv jelenlegi vagy volt tagjaira, vagy olyan személyekre vonatkozik, akik a szervezettel rendszeres kapcsolatban állnak a szervezet céljaihoz kapcsolódóan, és hogy a személyes adatokat az érintettek hozzájárulása nélkül nem teszik hozzáférhetővé a szervezeten kívüli személyek számára;

e) az adatkezelés olyan személyes adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott;

f) az adatkezelés jogi igények megállapításához, érvényesítéséhez, illetve védelméhez szükséges, vagy amikor a bíróságok igazságszolgáltatási feladatkörükben járnak el;

g) az adatkezelés jelentős közérdek miatt szükséges, uniós jog vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő;

h) az adatkezelés megelőző egészségügyi vagy munkahelyi egészségügyi célokból, a munkavállaló munkavégzési képességének felmérése, orvosi diagnózis felállítása, egészségügyi vagy szociális ellátás vagy kezelés nyújtása, illetve egészségügyi vagy szociális rendszerek és szolgáltatások irányítása érdekében szükséges, uniós vagy tagállami jog alapján vagy egészségügyi szakemberrel kötött szerződés értelmében, továbbá a (3) bekezdésben említett feltételekre és garanciákra figyelemmel;

i) az adatkezelés a népegészségügy területét érintő olyan közérdekből szükséges, mint a határokon át terjedő súlyos egészségügyi veszélyekkel szembeni védelem vagy az egészségügyi ellátás, a gyógyszerek és az orvostechnikai eszközök magas színvonalának és biztonságának a biztosítása, és olyan uniós vagy tagállami jog alapján történik, amely megfelelő és konkrét intézkedésekről rendelkezik az érintett jogait és szabadságait védő garanciákra, és különösen a szakmai titoktartásra vonatkozóan;

j) az adatkezelés a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból szükséges olyan uniós vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő;

GDPR 17. cikk A törléshez való jog („az elfeledtetéshez való jog”)

(1) Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:

a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték;

b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja;

c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezelés ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen;

d) a személyes adatokat jogellenesen kezelték; e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell;

f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.

(2) Ha az adatkezelő nyilvánosságra hozta a személyes adatot, és az (1) bekezdés értelmében azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az észszerűen elvárható lépéseket - ideértve technikai intézkedéseket - annak érdekében, hogy tájékoztassa az adatokat kezelő adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését.

(3) Az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:

a) a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából; b) a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából;

c) a 9. cikk (2) bekezdése h) és i) pontjának, valamint a 9. cikk (3) bekezdésének megfelelően a népegészségügy területét érintő közérdek alapján;

d) a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben az (1) bekezdésben említett jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez. GDPR 14. cikk Rendelkezésre bocsátandó információk, ha a személyes adatokat nem az érintettől szerezték meg (1) Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat:

a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) az érintett személyes adatok kategóriái; e) a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozás.

(2) Az (1) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat:

a) a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

b) ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről;

c) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga;

d) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;

e) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; f) a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e; és g) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

Az általános adatvédelmi rendelet 21. cikk (1) bekezdése alapján az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak. Az általános adatvédelmi rendelet 85. cikk (1) bekezdése értelmében a tagállamok jogszabályban összeegyeztetik a személyes adatok e rendelet szerinti védelméhez való jogot a véleménynyilvánítás szabadságához és a tájékozódáshoz való joggal, ideértve a személyes adatok újságírási célból, illetve tudományos, művészi vagy irodalmi kifejezés céljából végzett kezelését is. Az általános adatvédelmi rendelet 85. cikk (2) bekezdése értelmében a személyes adatok újságírási célból, illetve tudományos, művészi vagy irodalmi kifejezés céljából végzett kezelésére vonatkozóan a tagállamok kivételeket vagy eltéréseket határoznak meg a II. fejezet (elvek), a III. fejezet (az érintett jogai), a IV. fejezet (az adatkezelő és az adatfeldolgozó), az V. fejezet (a személyes adatok harmadik országokba vagy nemzetközi szervezetek részére történő továbbítása), a VI. fejezet (független felügyeleti hatóságok), a VII. fejezet (együttműködés és egységesség) és a IX. fejezet (az adatkezelés különös esetei) alól, ha e kivételek vagy eltérések szükségesek ahhoz, hogy a személyes adatok védelméhez való jogot össze lehessen egyeztetni a véleménynyilvánítás szabadságához és a tájékozódáshoz való joggal. Az általános adatvédelmi rendelet (65) preambulum-bekezdése alapján […] a személyes adatok további megőrzése jogszerűnek tekinthető, ha az a véleménynyilvánítás és a tájékozódás szabadságához való jog gyakorlása, valamely jogi kötelezettségnek való megfelelés, illetőleg közérdekből végzett feladat végrehajtása vagy az adatkezelőre ruházott közhatalmi jogosítvány 30 gyakorlása miatt, vagy a népegészségügy területét érintő közérdekből, közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, vagy jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükséges. Az általános adatvédelmi rendelet (153) preambulum-bekezdése alapján [a] tagállamok jogának össze kell egyeztetnie a véleménynyilvánítás és a tájékozódás – ideértve az újságírói, a tudományos, a művészi, illetve az irodalmi kifejezés – szabadságára vonatkozó szabályokat a személyes adatok védelmére vonatkozó, e rendelet szerinti joggal. Helyénvaló, hogy a kizárólag a személyes adatoknak az újságírás, a tudományos, a művészi vagy az irodalmi kifejezés céljából végzett kezelése eltérés tárgyát képezze vagy mentesüljön az e rendelet egyes rendelkezéseiben szereplő követelmények alól, ha ez ahhoz szükséges, hogy a személyes adatok védelméhez való jogot a véleménynyilvánítás szabadságához és tájékozódáshoz való joggal összeegyeztessék, amelyet a Charta 11. cikke biztosít. Ez alkalmazandó különösen a személyes adatok audiovizuális területen, valamint a hírarchívumokban és sajtókönyvtárakban történő kezelésére. Következésképpen a tagállamok jogalkotási intézkedések elfogadásával határozzák meg az ezen alapvető jogok közötti egyensúly érdekében a szükséges kivételeket és eltéréseket. A tagállamok kivételeket és eltéréseket fogadnak el az általános elvek, az érintett jogai, az adatkezelő és adatfeldolgozó, a személyes adatoknak harmadik országokba vagy nemzetközi szervezetek részére történő továbbítása, a független felügyeleti hatóságok, az együttműködés és az egységes alkalmazás, illetve az egyedi adatkezelési helyzetek tekintetében. Ha ezek a kivételek vagy eltérések a tagállamok között különböznek, az adatkezelőre alkalmazandó tagállami jogot kell alkalmazni. A véleménynyilvánítás szabadságához való jog minden demokratikus társadalomban fennálló jelentőségének figyelembevétele érdekében az e szabadsághoz tartozó olyan fogalmakat, mint az újságírás, tágan kell értelmezni.

Magyarország Alaptörvénye (2011. április 25.) IX. cikk (2): Magyarország elismeri és védi a sajtó szabadságát és sokszínűségét, biztosítja a demokratikus közvélemény kialakulásához szükséges szabad tájékoztatás feltételeit.

A sajtószabadságról és a médiatartalmak alapvető szabályairól szóló 2010. évi CIV. törvény (a továbbiakban: Smtv.) szerint:

(3) A sajtószabadság gyakorlása nem valósíthat meg bűncselekményt vagy bűncselekmény elkövetésére való felhívást, nem sértheti a közerkölcsöt, valamint nem járhat mások személyiségi jogainak sérelmével.

2:11. § [A korlátozottan cselekvőképes kiskorú] Korlátozottan cselekvőképes az a kiskorú, aki a tizennegyedik életévét betöltötte és nem cselekvőképtelen. 2:12. § [A korlátozottan cselekvőképes kiskorú jognyilatkozata] (1) A korlátozottan cselekvőképes kiskorú jognyilatkozatának érvényességéhez - ha e törvény eltérően nem rendelkezik - törvényes képviselőjének hozzájárulása szükséges. Ha a korlátozottan cselekvőképes kiskorú cselekvőképessé válik, maga dönt függő jognyilatkozatainak érvényességéről. (2) A korlátozottan cselekvőképes kiskorú a törvényes képviselőjének közreműködése nélkül a) tehet olyan személyes jellegű jognyilatkozatot, amelyre jogszabály feljogosítja; b) megkötheti a mindennapi élet szokásos szükségleteinek fedezése körébe tartozó kisebb jelentőségű szerződéseket;

c) rendelkezhet munkával szerzett jövedelmével, annak erejéig kötelezettséget vállalhat; d) köthet olyan szerződéseket, amelyekkel kizárólag előnyt szerez; és e) ajándékozhat a szokásos mértékben. 2:14. § [A cselekvőképtelen kiskorú jognyilatkozata] (1) A cselekvőképtelen kiskorú jognyilatkozata semmis; nevében a törvényes képviselője jár el. 2:43. § [Nevesített személyiségi jogok] A személyiségi jogok sérelmét jelenti különösen b) a személyes szabadság, a magánélet, a magánlakás megsértése; e) a magántitokhoz és a személyes adatok védelméhez való jog megsértése; 2:54. § [A személyiségi jogok érvényesítése] (1) A személyiségi jogokat személyesen lehet érvényesíteni. (2) A korlátozottan cselekvőképes kiskorú és a cselekvőképességében részlegesen korlátozott személy a személyiségi jogai védelmében önállóan felléphet. A cselekvőképtelen személyiségi jogainak védelmében törvényes képviselője léphet fel. 4:161. § [A gyermek törvényes képviselete] (1) A szülői felügyeletet gyakorló szülők joga és kötelezettsége, hogy gyermeküket személyi és vagyoni ügyeiben képviseljék. A GDPR hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint a GDPR-t az ott megjelölt rendelkezésekben kiegészítésekkel kell alkalmazni.

Az Infotv. 2. § (2) bekezdése szerint „Személyes adatoknak az (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet a III-V. és a VI/A. Fejezetben, valamint a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §-ban, az 55. § (1)-(2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, a 62-71. §-ban, a 72. §-ban, a 75. § (1)-(5) bekezdésében, a 75/A. §-ban és az 1. mellékletben meghatározott kiegészítésekkel kell alkalmazni”.

Infotv. 51/A. § (2) A Hatóságnál az érintett bejelentéssel vizsgálatot kezdeményezhet a 22. § a) pontjában meghatározott esetben. A bejelentésben az érintett feltünteti az annak alátámasztására szolgáló adatokat, hogy a 14. §-ban meghatározott jogainak az adatkezelőnél történő érvényesítését megkísérelte.

Az Infotv. 60. § (2) bekezdése szerint adatvédelmi hatósági eljárás megindítása iránti kérelem a GDPR 77. cikk (1) bekezdésében meghatározott esetben nyújtható be.

A GDPR 77. cikk (1) szerint „Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál - különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban -, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.”

Az Infotv. 60. § (1) bekezdése szerint „a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít”. A GDPR eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) rendelkezéseit kell alkalmazni az Infotv.-ben meghatározott eltérésekkel. Az Infotv. 61. § (1) a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság a GDPR hatálya alá tartozó adatkezelési műveletekkel összefüggésben a GDPR-ban meghatározott jogkövetkezményeket alkalmazhatja. A GDPR 58. cikk (2) bekezdése szerint „A felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel;” Az Infotv 75/A. §-a szerint a Hatóság a GDPR 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt a GDPR 58. cikkével összhangban - elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Az általános adatvédelmi rendelet 83. cikk (1) bekezdése alapján valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. Az általános adatvédelmi rendelet 83. cikk (2) bekezdése alapján a közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket: a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint 27 k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. Az általános adatvédelmi rendelet 83. cikk (5) bekezdése alapján az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12-22. cikknek megfelelően. Az általános adatvédelmi rendelet 83. cikk (7) bekezdése alapján a felügyeleti hatóságok 58. cikk (2) bekezdése szerinti korrekciós hatáskörének sérelme nélkül, minden egyes tagállam megállapíthatja az arra vonatkozó szabályokat, hogy az adott tagállami székhelyű közhatalmi vagy egyéb, közfeladatot ellátó szervvel szemben kiszabható-e közigazgatási bírság, és ha igen, milyen mértékű. Az Infotv. 61. § (1) bekezdés bg) pontja alapján az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság bírságot szabhat ki.

III. A Hatóság döntése során figyelembe vett bizonyítékok és azok értékelése:

A Hatóság eljárása annak eldöntésére irányult, hogy a Kérelmezett jogszerűen hozta-e nyilvánosságra a balesetben érintett kiskorú Kérelmező személyes és személyes adatok különleges kategóriájának minősülő egészségügyi adatait.

A tudósításban foglalt személyes adatoknak a sajtónyilvánosság útján való közlése a GDPR fogalom-meghatározása alapján adatkezelésnek minősül. Adatkezelő aki az adatokat nyilvános műsorsugárzás útján nyilvánosságra hozza, jelen esetben a Kérelmezett.

III.1. A Kérelmezettnek az eljárás megszüntetésére irányuló kérelme

A Kérelmezett az Infotv. 51/§. § (2) bekezdésére tekintettel kérte az eljárás megszüntetését, mivel a Kérelmező az adatkezelő előtti kötelező eljárást elmulasztotta.

A GDPR 2. cikk (1) bekezdése alapján jelen adatkezelésre a GDPR-t kell alkalmazni. Az Infotv. 2. § (2) bekezdés alapján az Infotv. 51/A. § (2) bekezdése a GDPR hatálya alá tartozó adatkezelésekre nem alkalmazandó. Tehát az Infotv. 51/A. § (2) bekezdésben foglalt előzetes jogérvényesítés hiánya nem zárja ki az adatvédelmi hatósági eljárást a vizsgált esetben. Erre figyelemmel a Hatóság az eljárás megszüntetését mellőzte. III.2. Az érintett azonosíthatósága A tényállás szerint történt egy baleset, amelyről elsőként a Tűzoltó Egyesület számolt be a facebook posztjában. Képet közölt a házról és környékéről, megjelölve a települést nevét, az utcát, az érintettre pedig mint „fiatal fiú“-ra utal. A sérültekről közelebbi, azonosításra alkalmas információt nem közölt.

A Tűzoltó Egyesület által a közösségi oldalon közöltek esetében a helyszín megjelölése egyértelmű, az érintett magánszemélyekről elhangzik, hogy "két fiatal fiú", azonban ezen felül egyéb adat nem olvasható, így az érintettek lehetséges körét nem szűkíti le olyan mértékben, hogy abból az azonosítás egyértelműen lehetséges legyen (pl. valaki vendégként, rokonként is tartózkodhatott volna a helyszínen). A bejegyzés alapján az azonosítás lehetősége azok szűk körében állhat fenn a környéken lakók vonatkozásában, akik az esetről egyéb információval rendelkeztek, ami alapján a bejegyzéshez tudták kötni a baleset alanyát.

A műsorban az OMSZ által adott információk sem a baleset helyszínére, sem a sérültekre vonatkozóan nem tartalmaztak azonosításra alkalmas adatokat, az OMSZ áltat tett nyilatkozat önmagában nem alkalmas az érintett azonosítására.

A Tűzoltó Egyesület és az OMSZ tehát a tűzesetről és a mentési eseményről számolt be. Ezen információk közlésén felül a Kérelmezett tudósítása során a műsorban elhangzottak adatok a keresztnevén nevezett érintettnek a mentési eseményt követő kórházi kezeléséről, az érintett egészségi állapotáról az egészségügyi intézményben történt kezelése alatt. Ez utóbbi információk forrását a Kérelmezett az Smtv. vonatkozó szabályára hivatkozva nem fedte fel, azonban az OMSZ és a Tűzoltó Egyesület nyilatkozata alapján egyértelmű, hogy azok forrása nem a két szervezet volt, hanem egy magánszemély.

Nem helytálló tehát a Kérelmezett azon kijelentése, amely szerint az adatokat nem a Kérelmezett, hanem az OMSZ hozta nyilvánosságra, amikor a balesetről beszámolt.

A Tűzoltó Egyesület és az OMSZ adatkezelése vonatkozásában a Hatóság megállapítást nem tesz, mert az eljárás iránti kérelem a Kérelmezett adatkezelése jogszerűsége megítélését kérelmezte, továbbá mert a Hatóság következetes gyakorlata a sajtóhíradásokban megjelenő személyes adatokkal kapcsolatban az, hogy az adott híradásnak az Smtv. 21. § (1) bekezdéséből fakadóan önmagában kell megfelelnie az adatkezelési követelményeknek. Az Smtv. 21. § (1) bekezdésében foglaltak szerint a médiatartalom-szolgáltató a jogszabályok keretei között önállóan dönt a médiatartalom közzétételéről, és felelősséggel tartozik e törvényben foglaltak megtartásáért. Tehát az, hogy egy sajtótermék, vagy szervezet közöl egy személyes vagy különleges adatot, nem mentesíti az azt forrásként használó, és utánközlő másik médiumot az alól, hogy megvizsgálja, valóban közölhető-e azonos tartalommal az átvett cikk, hír, vagy információ. Egy korábban megjelent tartalom nem mentesíti az utánközlést megvalósító adatkezelőt attól, hogy saját adatkezelését jogszerűen végezze. A tartalomszolgáltató a tudósítás részleteinek a saját médiatartalmán keresztüli nyilvánosságra hozatala során önálló adatkezelőnek minősül és az adatkezelésének jogszerűségét minden más adatkezelőtől függetlenül kell megítélni, így a Kérelmezettét is.

A Kérelmezett szerint a Kérelmező nem volt azonosítható, csak a környezete számára.

A GDPR 4. cikk 1. pont szerint „azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható”.

A Kérelmezett vitatta, hogy a kérelmező azonosítható módon került megjelenítésre, majd elismerte, hogy a szűkebb környezete számára a híradás alapján felismerhető. Elmondása szerint „a Kérelmező keresztneve alapján legfeljebb az őt ismerő személyek ismerhetik fel, akik a Kérelmező adatait egyébként is ismerik.”

A GDPR az azonosíthatóság körében minden objektív tényező együttes vizsgálatát követeli meg, azokat is, amelyek akár közvetve alkalmasak az érintett azonosítására. A GDPR szerint valamely természetes személy azonosíthatóságának meghatározásakor minden olyan módszert figyelembe kell venni, amelyről észszerűen feltételezhető, hogy az adatkezelő vagy más személy a természetes személy közvetlen vagy közvetett azonosítására felhasználhatja.

A 29. cikk alapján létrehozott Adatvédelmi Munkacsoport3 4/2007. sz. véleménye a személyes adat fogalmáról az azonosítás/azonosíthatóság körében a következőket fogalmazza meg. Általában véve egy természetes személyt „azonosítottnak” tekinthetünk, ha személyek egy csoportján belül „elkülönül” a csoport valamennyi egyéb tagjától. Következésképpen a természetes személy akkor „azonosítható” – még ha az azonosításra eddig nem is került sor –, ha ennek megtétele lehetséges (ez a „-ható” képző jelentése). Így a gyakorlatban e második lehetőség az a küszöbfeltétel, amely meghatározza, hogy az információ az azonosíthatóság, mint fogalmi elem körébe tartozik-e.

A Kúria Kfv.III.37.911/2017/8. számú ítélete szerint „az érintett azonosíthatósága kérdését illetően általánosságban elmondható, hogy annak mértéke, amennyire az azonosításhoz bizonyos adatokra szükség van, az az adott helyzet körülményeitől függ. A természetes személy akkor azonosítható, ha ennek megtétele a rendelkezésre álló adatok és információk alapján lehetséges. Egy természetes személyt közvetlenül azonosítani lehet a neve alapján, vagy közvetett módon például valamely azonosító jele alapján. Egy nagyon gyakori családnév nyilvánvalóan nem elegendő azonosító adat valaki közvetlen azonosításához, például, hogy azonosítsák egy város lakosságából, azonban egy szűkebb csoportot tekintve már azonosítható lehet. Az azonosítást az adott természetes személyre vonatkozó kiegészítő információ is segítheti. Mindig az adott eset körülményeitől függően kell tehát azt megítélni, hogy a természetes személy, akire az azonosító adat vonatkozik, azonosítható-e. „ A Hatóság álláspontja szerint, ha az érintettről elhangzik olyan mértékű információ, amely a személyét egyértelművé teheti bizonyos, akár szűkebb kör számára, őt azonosítottnak kell tekinteni. Olyan magánszemély, aki nem szélesebb értelemben vett közszerepelő, politikus, 3 Ez a munkacsoport a 95/46/EK irányelv 29. cikke alapján jött létre. Független európai tanácsadó szerv volt adatvédelmi, valamint a magánélet tiszteletben tartásával kapcsolatos kérdésekben.

médiaszemélyiség, a kulturális-, társadalmi-, sportélet közismert alakja, vagy egyéb, egy helyi közösség számára szélesebb körben ismert személy, stb. – maga általában csak az ismerősök, barátok, rokonok, kollégák, iskolatársak stb. tehát a személyes ismerősök számára azonosítható, ha annak keresztnevét és lakóhelyét ismerik.

A Hatóság álláspontja szerint a riport az összes elhangzott információval együttesen és összességében alkalmas volt arra, hogy azt végig nézve egyes nézők számára az érintett azonosítható legyen. A lakóház és környezete bemutatásával együtt a gyermek keresztnevének és a fiatal korosztályba tartozásának közlése, majd az az információ, hogy "a család nem kívánt nyilatkozni", együttesen egyértelművé tették, hogy a híradás alanya az adott házban élő család. [megnevezett településen] a bemutatott házhoz és családhoz kapcsolható [keresztnév] nevű fiatal, mint információk összessége egyértelműen azonosítja az őt ismerők előtt.

Lényegében a Kérelmezett is elismerte, hogy a híradásból az érintett felismerhető, amikor az azonosításra képesek körét szűkítette azokra, „akik az adatait egyébként is ismerik.”

Az azonosításra képesek köre azonban nem releváns, ha az adatkezelőnek sem ismerete, sem ráhatása nincs arra, hogy biztosan csak olyan személyek számára közöljön adatokat – jelen esetben nyilvános közlés útján –, akik azzal már eleve jogszerűen rendelkeznek.

Megállapítást nyert tehát, hogy azonosítható érintettről szólt a híradás, és az ő egészségi állapotára vonatkozó számos egészségügyi adat került közlésre. Azonosítható érintett adatainak kezelésére, nyilvánosságra hozatalára pedig megfelelő adatkezelési céllal és jogalappal kell rendelkezni.

III.3. Az adatkezelés célja

A Kérelmezett az adatkezelés céljaként a közvélemény tájékoztatását, mint közérdekű feladat végrehajtását jelölte meg, hivatkozva az Alaptörvényre – amely a személyes adatok védelméhez való jog mellett a sajtószabadságot és a sajtó sokszínűségét is védi – és az Smtv. 13. §-ára.

Magyarország Alaptörvénye a személyes adatok védelméhez való jogot, a sajtószabadságot és a véleménynyilvánítás szabadságát is az alapvető jogok között nevesíti, így a sajtószabadság és a véleménynyilvánítás szabadsága, mint alkotmányos alapjog érvényesítésének a személyes adatok védelméhez fűződő alkotmányos alapjog védelmével együtt kell megvalósulnia. Az Mvtv. alapján a magánélethez való jog csak más alapvető jog érvényesülése vagy valamely alkotmányos érték védelme érdekében, a feltétlenül szükséges mértékben, az elérni kívánt céllal arányosan, a magánélethez való jog lényeges tartalmának és az emberi méltóságnak a tiszteletben tartásával korlátozható. Az Mvtv. 8. § (1)-(2) bekezdései alapján a magánélet tiszteletben tartásához való jog célja többek között a személyes adatok védelme.

Tehát az általános elvárás a sajtó részéről feladata teljesítése során a tájékoztatási kötelezettség biztosításával egyidejűleg a magánélet és a személyiségi jogok védelmét szem előtt tartó egyensúly fenntartása.

A Hatóság álláspontja szerint ezen elvekhez illeszkedik, és annak érvényesülését biztosítja a célhoz kötött adatkezelés alapelvi rendelkezése. A GDPR (39) preambulumbekezdése szerint személyes adatok csak abban az esetben kezelhetők, ha az adatkezelés célját egyéb eszközzel észszerű módon nem lehetséges elérni.

Ebből kifolyólag az adatkezelőknek elsősorban azt kell mérlegelniük, hogy az általuk elérni kívánt célok megvalósításához szükség van-e személyes adatok kezelésére. Amennyiben a cél csak személyes adatok kezelésével érhető el, annak folyamatát az adattkarékosság elvére figyelemmel úgy kell kialakítani, hogy a lehető legkevesebb személyes adat kezelésére kerüljön sor, a lehető legrövidebb ideig.

Az általános adatvédelmi rendelet 5. cikke tartalmazza azon fő alapelveket, amelyeket a személyes adatok kezelése során figyelembe kell venni, és amelyeknek folyamatosan érvényesülniük kell az adatkezelés során. Ilyen alapelv többek között a jogszerűség, tisztességes eljárás és átláthatóság, a célhoz kötöttség, az adattakarékosság, a pontosság és a korlátozott tárolhatóság elve [5. cikk (1) bekezdés a)-e) pont]. Az elszámoltathatóság elvéből [5. cikk (2) bekezdés] fakadóan az adatkezelő felelős az adatvédelmi alapelveknek való megfelelésért, amellett képesnek kell lennie e megfelelés igazolására is. Ennek megfelelően az adatkezelőnek tudni kell igazolnia azt, hogy a személyes adatokat milyen célból kezeli, illetve azt is, hogy ezen adatkezelési célból miért tekinthető elengedhetetlenül szükségesnek a személyes adatok kezelése, emellett meg kell tennie minden észszerű intézkedést annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul törölje vagy helyesbítse, továbbá köteles úgy dokumentálni és nyilvántartani az adatkezelést, hogy annak jogszerűsége utólag is bizonyítható legyen.

A Hatóság álláspontja az, hogy az Alaptörvénnyel és az Mvtv-vel összhangban a sajtónak az adatkezelési tevékenysége körében minden esetben vizsgálnia kell azt, hogy a megjelenített, nyilvánosságra hozott személyes adat feltétlenül szükséges-e a cél eléréséhez – jelen esetben az eseményről történő tájékoztatáshoz – vagy a tájékoztatás eléri a célját az adatok nyilvánosságra hozatala nélkül.

A hírközlő szolgáltatónak általában mérlegelnie kell a híradás előtt, hogy a tartalomban személyes adatok közlése feltétlenül szükséges-e a tájékoztatási cél eléréséhez. E körben a közszereplőket mérsékeltebb védelem illeti meg, azonban a Hatóság a közszereplőkkel kapcsolatos híradások adatvédelmi szempontjait e helyütt nem elemzi, mert jelen esetben egyértelműen nem közszereplő magánszemély adatai volt a közlés tárgya.

Ha a mérlegelés során arra a következtetésre jut, hogy a személyes adatok közlése nélkül is alkalmas a híradás a cél elérésére, akkor azt a személyes adatok közlése nélkül kell megvalósítani.

Tekintettel arra, hogy jelen esetben a híradás nem egy meghatározott személyről szólt, amikoris nyilvánvalóan elengedhetetlen az azonosított megjelenítése, hanem az eseményről, az arról való tájékoztatás a Hatóság álláspontja szerint megvalósulhatott volna olyan formában, hogy az érintett azonosítására alkalmas információkat nem közölnek. A települést nem nevezik meg, az épületet illusztráció formájában mutatják, a sérült keresztnevét nem közlik. Az érintett azonosítását lehetővé tevő információk közlése semmilyen plusz információval nem szolgált a híradás közérdekű célja tekintetében.

A Kérelmező álláspontja szerint „a riport akkor szolgálhatott volna bármilyen közérdekű célt, ha megemlítették volna, milyen termék okozta a sérülést, annak érdekében, hogy felhívják az emberek figyelmét annak veszélyességére, azonban az adatközlés középpontjában nem a figyelemfelhívás állt, hanem a Kérelmező története, állapota. Ezen felül a történteket elferdítve közölték, mivel a baleset nem ……….közben történt. A gyerekek rendeltetésszerűen használták a………... A tanulság az lenne a történetből, hogy a ………..napsütésben nem látszódik. Ez sajnos nincs feltüntetve a használati utasításban sem. Mivel a ……….nem látták, az egyik fiú hozzá akart önteni még……….., hogy aztán meggyújtsák. Mivel az már égett, a flakonban „visszaégett” ………..és kirobbant belőle, pont a Kérelmezőre. Ha a Kérelmezett célja a korrekt tájékoztatás és figyelemfelhívás lett volna, akkor a …………használatának veszélyére hívja fel a figyelmet és nem egy kiskorú és kiszolgáltatott gyermek balesetéből generál szenzációt”.

A Kérelmezett nyilatkozata szerint a híradással felhívták a közvélemény figyelmét egy balesetveszélyes helyzetre, a tájékoztatás alkalmas volt arra, hogy a …………..balesetveszélyességére rámutasson, ezáltal megakadályozza, hogy több ilyen baleset történjen.

A Hatóság ugyanakkor osztja a kérelemben fejt kifejtetteket, miszerint a híradás nem volt teljes mértékben alkalmas a megjelölt közérdekű feladat betöltésére sem, nem tartalmazott semmilyen érdemi információt a hasonló balesetek elkerülése érdekében, nem minősült figyelemfelhívásnak a balesetet okozó szer alkalmazásának veszélyeivel kapcsolatban. Azon közlésen kívül, hogy a sérült „nem megfelelő”, illetve „rossz” ………….használt semmilyen egyéb, a hasonló balesetek megelőzését szolgáló közérdekű információ nem hangzott el, nem derült ki, mi számít „rossz”……………., mi volt az a használati mód, amely a balesetet okozta, hogyan lenne elkerülhető egy hasonló baleset, és lényegében a híradás jelentős részében a sérült egészségi állapotának részletezése állt.

Noha a Hatóságnak ebben az eljárásban nem az a szerepe, hogy minősítse a híradást, a Kérelmezett hivatkozása miatt ezt a fenti mértékig elemezte, ugyanakkor annak közérdekűsége sem mentené fel a Kérelmezettet az adatkezelői felelősség alól az azonosítható érintettről szóló híradás tekintetében.

Fentiek alapján a Hatóság megállapítja, hogy a Kérelmezett adatkezelése megsértette a GDPR 5. cikk (1) bekezdés b) és c) pontjában foglalt célhoz kötöttség és adattakarékosság alapelvi rendelkezéseit. III.4.. Az adatkezelés jogalapja Ha az előzőkben kifejtett szempontok alapján mérlegelve az adatkezelő arra a megállapításra jut, hogy az adatkezelés célja, a közvélemény tájékoztatása nem érhető el személyes adatok nyilvánosságra hozatala nélkül, az adatkezelőnek az általános adatvédelmi rendelet 6. cikkével összhangban álló jogalappal kell rendelkeznie az adatkezelésre. Ennek érdekében tudnia kell igazolnia, hogy az érintett hozzájárulása alapján, vagy mely jogszabályi rendelkezés szerint kezeli/kezelte a személyes adatokat, vagy, hogy az adatkezelés szükséges az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez, és az adatkezelés arányosan korlátozza az érintett személyes adatok védelméhez fűződő jogát. A Kérelmezett konkrét, GDPR-nak megfelelő jogalapot nem jelölt meg a nyilatkozatában, hanem általában hivatkozott a sajtónak az Smtv-ben lefektetett tájékoztatási kötelezettségére. A Hatóság álláspontja szerint az újságírásra, mint közérdekű tevékenységre való hivatkozás általánosságban nem fogadható el az adatkezelés jogalapjaként. Ennek oka, hogy az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja szerinti jogalap valamilyen jogszabály által ilyennek minősített közfeladathoz kapcsolódó adatkezelési tevékenységhez fűződhet. Az újságírás ugyan közérdekű tevékenység, de nem közfeladat (az általános adatvédelmi rendelet szóhasználatában közérdekű feladat). Az újságírás kivételét a GDPR 85. cikke rendezi, amely meglehetősen nagy szabadságot ad a tagállamoknak a személyes adatoknak a rendelet szerinti védelméhez való jog és a véleménynyilvánítás szabadságához, valamint a tájékozódáshoz való jogok határvonalainak konkrét meghatározása tekintetében. A magyar jogalkotó azonban az újságírás tekintetében nem határozott meg kivételt vagy mentesülést a GDPR-ban – így a 6. cikk (1) bekezdés f) pontjában foglalt kötelezettségek alól. Az újságírói tevékenységet maga az általános adatvédelmi rendelet sem a 6. cikk (1) bekezdés e) pontja szerinti jogalap körébe sorolja. Ezt támasztja alá, hogy a 17. cikk (3) bekezdés b) pontja pontosan követi a 6. cikk (1) bekezdés e) pontjában is használt fogalmakat [illetve az uniós jogalkotó a 17. cikk (3) bekezdés b) pontjában lényegében összevonta az egymáshoz egyébként is közel álló 6. cikk (1) bekezdés c) és e) pontja szerinti jogalapokat]. A véleménynyilvánítással kapcsolatos adatok törlésének mellőzhetőségét azonban nem ez a pont, hanem a 17. cikk (3) bekezdés a) pontja tartalmazza. Mindebből az következik, hogy általában az újságírással kapcsolatos valamennyi adatkezelés ami nem hozzájáruláson alapul – az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogos érdek jogalapon történhet meg. A jogalap alkalmazásának megerősítését tartalmazza a Fővárosi Törvényszék 105.K.706.638/2020/10. sz. ítélete. Az általános adatvédelmi rendelet (47) preambulum-bekezdése alapján, ha az adatkezelés jogalapja a jogos érdek, akkor előzetesen érdekmérlegelést kell elvégezni, melynek keretében többek között meg kell határozni a jogos érdeket, az érintettre gyakorolt hatást, továbbá azt, hogy az adatkezelés szükséges, illetve arányos-e, valamint mérlegelni kell, hogy a jogos érdek vagy pedig az érintetti jog-e a magasabb rendű. Jogos érdeken alapuló adatkezelésre tehát csak akkor kerülhet sor, ha az adatkezelő előzetesen elvégzi az érdekmérlegelési tesztet és a teszt eredményeképpen az adatkezelő vagy harmadik fél jogos érdeke felülmúlja az érintettet az adatkezelés révén érő esetleges hátrányokat. Az érdekmérlegelési teszt egy három lépcsős folyamat, melynek során azonosítani kell az adatkezelő jogos érdekét, valamint a súlyozás ellenpontját képező adatalanyi érdeket és az érintett alapjogot, végül a súlyozás elvégzése alapján meg kell állapítani, hogy kezelhető-e a személyes adat. Mindezek alapján – hozzájárulás hiányában – az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontjára való hivatkozás akkor lehet megfelelő, és így az adatkezelés akkor lehet jogszerű, ha az érdekmérlegelési teszt konklúziója az, hogy az adatkezelő vagy harmadik fél jogos érdeke elsőbbséget élvez az érintett jogos érdekével, személyes adatok védelméhez fűződő jogával szemben, és az érintetti jogok korlátozása arányban áll az adatkezelő vagy harmadik fél e korlátozás által – érvényesülő jogos érdekével. Ezen érdekmérlegelés során kell az adatkezelőnek mérlegelnie többek között például azt, hogy az érintett közszereplő-e (ha igen, akkor ez az adatkezelő adatkezeléshez fűződő érdekét erősíti), illetve hogy a kérdéses újságírói tevékenység oknyomozó jellegű-e (ez megint csak erősíti az adatkezeléshez fűződő érdeket), vagy csak a pletykaéhség kielégítését szolgálja (ebben az esetben a személyes adatok védelméhez fűződő érdek erősebb). A Kérelmezett hivatkozott arra, hogy az érintett hozzájárulásának beszerzése sok esetben például bűncselekményekről való tudósítás során – ellehetetlenítené a feladat elvégzését. Erre a fent kifejtettek érvényesek, tehát nem minden esetben kell, hogy hozzájáruláson alapuljon a tudósítás, azonban az érdekek mérlegelése elkerülhetetlen. A Kérelmezett mindezekből eredően köteles volt a GDPR 6. cikk (1) bekezdés f) pontja szerinti érdekmérlegelési teszt elvégzésére, mert az érintett hozzájárulásával nem rendelkezett. A Kérelmezett a vizsgált adatkezelés során érdekmérlegelést nem igazolt, illetve érdekmérlegelésre nem hivatkozott. A Kérelmezett adataira vonatkozó egyedi érdekmérlegelést nem végzett, nem mérlegelte, mennyiben szolgálja az adatkezelő érdekeit a súlyos egészségi állapotban lévő érintettről híradás közlése az érintett érdekeivel szemben, különös tekintettel arra, hogy az érintett kiskorú.

Jelen vizsgált esteben ugyanakkor a megfelelő joglap általános követelményén felüli lényeges szempont, hogy egészségügyi adat kezelése, nyilvánosságra hozatala estében az adatkezelésnek a 6. cikk szerinti, megfelelő jogalap mellett a 9. cikk szerinti kivételnek is meg kell felelnie.

Így még megfelelően mérlegelt jogos érdek szerinti jogalap mellett is figyelembe kell venni a 9. cikk rendelkezéseit.

A 9. cikk (2) bekezdés b), h), i) pontja alapján jogszabályban előírt adatkezelések, és az f) pontja szerinti jogi igények előterjesztése és bírósági adatkezelések nem relevánsak, ezek melletti egyéb jogalapok tekintetében a 9. cikk (2) bekezdés g) pontjában foglaltaknak a fent kifejtettek alapján nem felelne meg az Smtv. szerinti általános kötelezettségre történő hivatkozás, mivel a hazai jog nem rendelkezik az adatkezelés konkrét részleteiről és garanciáiról, az nem ír elő az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket.

A 9. cikk (2) bekezdés c) pontjára való hivatkozás amiatt kizárt, mert a Kérelmező egészségügyi adatainak nyilvánosságra hozatalához történő hozzájárulást jogszerűen megtehető Képviselő nem volt sem jogilag, sem fizikailag cselekvőképtelen.

A 9. cikk (1) bekezdés e) pontja szerinti, az érintett által kifejezetten nyilvánosságra hozott adatokra való hivatkozás pedig jelen esetben nem hivatkozható, mert az érintett nem hozta kifejezetten a nagy nyilvánosság számára elérhetővé az egészségügyi adatait.

Az, hogy a híradás érintettje, illetve jelen esetben a Képviselő a szűk ismerettségi körrel zárt körben bizonyos adatokat megosztott, nem jelentett jogalapot arra, hogy ugyanezen adatokat a médiatartalom-szolgáltató nyilvános sugárzás útján a teljes nézőközönség elé tárja.

Az országos elérésű médiatartalom szolgáltatónak ugyanis nincs ráhatása arra, hogy az általa közölt információk – köztük jelen esetben egészségügyi adatok – csak és kizárólag olyan személyek számára váljanak ismertté, akik az érintettet azonosítani tudják, és a közölt információval egyébként már rendelkeznek. Ellenkező esetben a híradás alanyát azonosítani képes nézők olyan egészségügyi adatok közlését hallják, amelyek megismerésére az érintett kifejezett hozzájárulásával nem rendelkeznek. Erre vonatkozóan bizonyítási eljárást sem lehet lefolytatni, nem lehetséges összehasonlítani a posztot olvasók és híradást megismerők körét.

A Kérelmezett műsorának a 2020. év ………. hetére vonatkozó nézettsége az elérhető információk szerint ……………fő volt4.

A Kérelmezett tehát a Kérelmező személyes és különleges adatai nyilvános közlésére megfelelő jogalappal nem rendelkezett, ezzel megsértette a GDPR 6. cikk (1) bekezdését és a 9. cikk (1)-(2) bekezdését.

A híradás a nem közszereplő magánszemély személyi körülményeire, illetve egészségi állapotára vonatkozó adatokat közölt indokolt cél és jogalap nélkül, amely a Hatóság szerint az érintett magánszférájának sérelmét okozta.

A magánélet védelme nem csupán az uniós és a hazai jogalkotás fényében, hanem Magyarország egyéb nemzetközi kötelezettségvállalásai alapján is vizsgálandó. Az Emberi Jogok Európai Bírósága (a továbbiakban: EJEB) több döntésében is állást foglalt a véleménynyilvánítás szabadsága és a magánélet védelme közötti jogok viszonyában.

„Hétköznapi”, nem közszereplő személyre vonatkozóan a Sciacca v. Italy (50744/99) ügyben a magánélet határainak körét jelöli ki, és kimondta, hogy az érintett „átlagember” státusza kibővíti azt a zónát, amely a magánélet körébe eshet. A Von Hannover vs. Germany (59320/00) ügyben kifejti, hogy egy személynek milyen jogos elvárása lehet a magánéletének védelme és tiszteletben tartása iránt, és rögzíti, hogy a magánélet fogalma magában foglalja a személy testi és lelki integritását. Az Emberi Jogok Európai Egyezménye 8. cikkében foglalt magán- és családi élet tiszteletben tartásához való jog által biztosított garancia az egyén személyiségének fejlődését hivatott biztosítani külső beavatkozás nélkül, ennek körében egy személynek „jogos elvárása” a magánéletének védelme és tiszteletben tartása. A Biriuk v. Lithuania (23373/03) ügyben kifejtette, hogy a magánélet védelmének egyensúlyban kell lennie az Egyezmény 10. cikkében biztosított véleménynyilvánítás szabadságával. Bár a nyilvánosságnak joga van a tájékoztatáshoz, ami alapvető jog egy demokratikus társadalomban, és amely bizonyos különleges körülmények között akár a közszereplők magánéletének vonatkozásaira is kiterjedhet, a vizsgálat ügyben nem ilyennek volt tekintendő, mert a kialakult helyzet nem tartozott semmilyen politikai vagy nyilvános vita körébe, a közzétett információk kizárólag az érintett magánéletének részleteire vonatkoznak, így a két jog egyensúlya nem volt biztosított. A Bíróság vizsgálta azt is, hogy létezik-e olyan közérdek, amely igazolja az érintettel kapcsolatos egészségügyi információk közzétételét. A Bíróság az ügyben nem talált ilyen jogos érdeket, amikor a kiadvány fő célja a sajtótermék eladásainak növelése volt. A Bíróság álláspontja szerint éppen az ellenkezője áll fenn: az egészségügyi adatok titkosságának tiszteletben tartása kulcsfontosságú nemcsak a beteg magánéletének védelme, hanem az illető személynek az orvosi szakmába és általában az egészségügyi szolgáltatásokba vetett bizalmának fenntartása szempontjából is.

III.5. Az érintett tiltakozása

Jelen eset annyiban tér el a köztájékoztatási feladat teljesítése -személyes adat közölhetőségének mérlegelésének viszonyában, hogy nem önmagában a műsor közlőjének kellett megítélnie, mely személyes adatot közölhet és milyen jogalapon, hiszen a jogalap mérlegeléséhez plusz információként rendelkezésére állt az érintett előzetes tiltakozása is.

A GDPR 21. cikk (1) bekezdése szerint az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen.

Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.

A Hatóság fenti okfejtése szerint a híradásban szereplő adatok közlésének jogalapja hozzájárulás híján a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek lehet, amellyel szemben a rendelet lehetővé teszi a tiltakozást.

A GDPR 14. cikk (1) bekezdés c) pontja úgy rendelkezik, hogy ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat: c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja. A (2) bekezdés értelmében az (1) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat: b) ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről; c) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, […]

Noha az érintett, illetve családja nem a Kérelmezett által a 14. cikk alapján adott tájékoztatás alapján szerzett tudomást az adatkezelésről – bár a tájékoztatás a Kérelmezett kötelessége lett volna –, amely során a 14. cikk (2) bekezdés c) pont szerint a tiltakozás jogát is tudomására hozták volna, a Kérelmező családja nyilvánvaló tiltakozást fogalmazott meg az üzenetében.

A Hatóság értelmezésében a „bármikor” kitétel minden olyan esetre vonatkozik, amikor az érintett kinyilváníthatja az akaratát, adott esetben akkor is, amikor a tényleges adatkezelés – itt nyilvánosságra hozatal – még nem valósult meg, de az érintett tudomással bír az adatkezelő szándékáról.

A Kérelmező hozzátartozója által küldött üzenet a hozzájárulás meg nem adásán felül a Hatóság álláspontja szerint egyértelmű tiltakozásnak minősül, a megfogalmazása másként nem értelmezhető – „nem szeretnénk, ha megjelenne sehol” – tudván a megkérdezett személy részéről, hogy országos elérésű médiatartalom-szolgáltató felkérésére válaszol.

A Kérelmezett nem mutatott fel olyan kényszerítő erejű jogos érdeket, amely indokolta volna azt, hogy az előzetes tiltakozás ellenére mégis indokolt volt az érintettről az azonosításra alkalmas adatokat közölni úgy, hogy a híradás célja maradéktalanul elérhető lett volna enélkül is. A Hatóság itt ismét utalni kíván arra, hogy egészségügyi adat nyilvánosságra hozatalához a jogalapon felüli, 9. cikk szerinti követelményeknek is eleget kell tenni.

A Hatóság megállapítása szerint ezzel a Kérelmezett megsértette a GDPR 21. cikk (1) bekezdését, amikor a Kérelmező helyett nyilatkozó által tett, de nyilvánvalóan a Kérelmezőre vonatkozó információk kezelése elleni tiltakozásnak nem tett eleget.

Ezen pontban szükséges megjegyezni, hogy különösen aggályos a Kérelmezett nyilatkozata a tekintetben, amely szerint az érintett nem zárkózott el egyértelműen az interjú készítésétől, hiszen olyan súlyosan megsérült a balesetben, hogy nyilatkozni vélhetően nem is tudott volna.

Amennyiben fizikailag cselekvőképtelen állapotú érintettről készülnek híradást adni, aki sem hozzájárulást, sem tiltakozást nem tud megfogalmazni, nem lehet az adatkezelést arra alapítani, hogy az érintett úgysem tudja szándékát kifejezni, mivel ez ellentétes a tisztességes adatkezelés GDPR 5. cikk (1) bekezdés a) pontjában foglalt alapelvi rendelkezésével.

A Ptk. a 2:43 § e) pontjában személyiségi jogként nevesíti a személyes adatok védelmét. A Ptk. 2:54. § (1) bekezdése szerint a személyiségi jogokat személyesen lehet érvényesíteni, amelyet tehát az érintett maga gyakorolhat, illetve a Ptk. 2:14. §-a alapján a kiskorú nevében a törvényes képviselője járhat el, így a gyermek adatainak kezeléséhez való hozzájárulást és egyéb jognyilatkozatot ő teheti. Korlátozottan cselekvőképes kiskorú jognyilatkozatához is szükséges a törvényes képviselő hozzájárulása, a Hatóság álláspontja szerint a Ptk. 2:12. § (2) bekezdés szerinti kivétel a GDPR 8. cikk (1) bekezdése alá nem tartozó adatkezeléshez való hozzájárulásra nem értendő.

Állapotánál fogva cselekvőképtelen személy hozzájáruló nyilatkozatot tenni nem tud, illetve az ilyen állapotban tett nyilatkozat semmis, míg kiskorú személy esetében minden esetben a törvényes képviselő nyilatkozata alapján kell eljárni.

A Kérelmezett hivatkozott az Újságírói Etikai Kódexre a magánszemélyek nyilatkozatainak beszerzésére vonatkozóan, a riportok készítése során a munkavállalók az Újságírói Etikai Kódex szabályait és jogszabályi előírásokat kötelesek betartani.

Az Etikai Kódex 3.1.3. pontja szerint „Etikai vétséget követ el, aki fiatalkorúak személyiségi jogait sérti. Akkor is megállapítható az újságíró etikai felelőssége, ha a fiatalkorú törvényes képviselője hozzájárult a nyilvánossághoz. […] Fokozottan ügyelni kell a bármilyen betegségben szenvedő védelmére, jogaira.”

A szerkesztőnek tehát ezen szakmai szabály alapján is tudomással kellett bírnia a fiatalkorú érintett hozzájárulásának beszerzésének követelményéről, különös tekintettel a betegségben szenvedők védelmére vonatkozó kitételre is.

Mindemellett a kiskorú adataira vonatkozó jognyilatkozat megtételére a törvényes képviselő jogosult, amely a szülői felügyeletet gyakorló szülőt jelenti, így nem tekinthető jogszerűnek és tisztességesnek a testvér nyilatkozatát kérni a megjelenítéssel kapcsolatban. De ha már a szerkesztő annak a nyilatkozatát próbálta beszerezni, a nyilvánosságra hozatalra vonatkozó tiltakozását mindenképpen figyelembe kellett volna venni.

A tiltakozási jogot ilyen esetben nem lehet megkerülni azzal, hogy a törvényes képviselő nyilatkozata hiányában a további megkeresett válaszadó nyilatkozatát az adatkezelő figyelmen kívül hagyja. Jelen esetben nyilvánvaló volt, hogy a megkeresett családtag a család egésze nevében válaszolt, a „családilag” fordulat nyilvánvalóan azt takarja, hogy a nyilatkozatban a törvényes képviselő akarata is megjelent.

A Hatóság álláspontja szerint az újságírói függetlenség biztosítása az adatkezelőként eljáró médiatartalom-szolgáltatót nem mentesíti az alól, hogy megfelelő eljárásrendet dolgozzon ki az olyan esetekre, amelyben magánszemélyek adatainak kezelésére kerül sor. Jelen esetben az újságíró/szerkesztő birtokában volt az előzetes tiltakozásnak, az adatkezelőnek minősülő Kérelmezett azonban arról nem szerzett tudomást. Az adatkezelő felelőssége a megfelelő eljárásrend kialakítása és a munkavállalók képzése e tárgyban.

Az adatkezelés érintettjének nem kötelessége tudni, hogy melyik az a hivatalos kommunikációs csatorna, amelyen keresztül nyilatkozatot terjeszthet elő, különösen annak fényében, hogy jelen esetben az adatkezelő munkatársa nem ezen a csatornán kereste fel a Kérelmező hozzátartozóit a nyilatkozatukat kérve.

A Hatóság álláspontja szerint a szerkesztői szakmai szabadsággal érvelés nem mentesíti a Kérelmezettet az adatkezelői felelősség alól, tekintettel arra, hogy a GDPR 4. cikk 7. pontja értelmében a Kérelmezett minősül adatkezelőnek. A Kérelmezett az, aki megszervezi az adatkezelés folyamatát és kialakítja annak körülményeit. Az adatkezelő legfontosabb jellemzője az, hogy érdemi döntéshozatali jogkörrel rendelkezik, és felelősséggel tartozik az adatkezelés valamennyi, az általános adatvédelmi rendeletben rögzített kötelezettség teljesítéséért.

Az Adatvédelmi Munkacsoport az „adatkezelő" és az „adatfeldolgozó" fogalmáról szóló 1/2010. számú véleményében szintén kifejtette, hogy „Végső soron a vállalatot vagy szervet kell felelősnek tekinteni az adatfeldolgozásért és az adatvédelmi jogszabályokból eredő kötelezettségekért, kivéve, ha egyértelmű elemek utalnak arra, hogy egy természetes személy a felelős. [...] Azonban az ilyen esetekben is, amikor konkrét természetes személyt neveznek ki, hogy biztosítsa az adatvédelmi elvek betartását vagy hogy személyes adatokat dolgozzon fel, ez a személy nem lesz adatkezelő, hanem annak a jogi személynek (vállalatnak vagy köztestületnek) a nevében jár el, amely adatkezelői minőségében továbbra is felelős az alapelvek megsértése esetén." A szerkesztői „hiba" ténye tehát nem minősül kimentési oknak a tiltakozás figyelmen kívül hagyása során sem, ebben az esetben is az adatkezelő viseli a felelősséget.

Mindezek alapján az esettel összefüggő jogsértés is a Kérelmezett, mint adatkezelő felelősségi körébe esik. A GDPR 25. cikke megköveteli, hogy az adatkezelő az adatkezelés teljes folyamata során megfelelő technikai és szervezési intézkedéseket hajtson végre annak biztosítására, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek, illetve az érintetti jogérvényesítést biztosítsa.

Mivel a Kérelmezett a kijelentése szerint nem rendelkezik a magánszemélyek nyilatkozatainak beszerzését, a hozzájárulások rögzítését szabályozó belső eljárásrenddel vagy szabályzattal, így a GDPR 25. cikke szerinti szervezési intézkedések hiányában fordulhatott elő az, hogy a Kérelmező előzetes tiltakozásáról az adatkezelő nem szerzett tudomást, noha az erre vonatkozó nyilatkozat egyik munkatársuk birtokában volt.

A gyermek mindenek felett álló érdekét a magyar jogrendszer egésze fokozott védelemben részesíti. Az az adatkezelő, aki gyermekre vonatkozó adatot kezel, a tevékenysége során fokozott figyelemmel kell eljárjon úgy az adatkezelése egésze – célja, jogalapja, érintetti jogérvényesítés, stb. –, mint az egyes eljárási, szervezési intézkedései során.

III.6. Az adatok törlése

Összességében tehát megállapítást nyert, hogy a tudósítás egésze alapján a kiskorú Kérelmező azonosítható volt, róla a Kérelmezett az egészségügyi állapotára vonatkozó adatokat hozott megfelelő jogalap nélkül nyilvánosságra, a híradás céljának eléréséhez azonban az ő személyének azonosítása nem volt elengedhetetlen, illetve a nyilvánosságra hozatalra vonatkozó tiltakozást sem vette figyelembe, ezáltal a Kérelmezett megsértette a GDPR 5. cikk (1) bekezdés a), b), c) pontját, a 6. cikk (1) bekezdését, a 9. cikk (1)-(2) bekezdését, valamint a 21. cikk (1) bekezdését. Ennek következményeként a Hatóság korrekciós jogkörében eljárva elrendelte az adatok törlését.

A Hatóság megállapításai értelmében a személyes adatok kezelése az adatkezelés céljának eléréséhez nem volt szükséges, így az adatok törlése nem esik a 17. cikk (3) bekezdés a) pontja szerinti kivétel körébe.

Válaszában a Kérelmezett maga is vállalta az adatok törlését a Hatóság kötelezése alapján.

IV. Jogkövetkezmények:

IV.1. A Hatóság a Kérelmező kérelmének részben helyt ad és a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja Kérelmezettet, mert megsértette a 5. cikk (1) bekezdés a), b), c) pontját, a 6. cikk (1) bekezdését, a 9. cikk (1)-(2) bekezdését, valamint a 21. cikk (1) bekezdését.

A Hatóság a GDPR 58. cikk (2) bekezdés c) pontja alapján utasítja Kérelmezettet, hogy törölje a jogalap nélkül kezelt adatokat.

IV.2. A Hatóság megvizsgálta, hogy indokolt-e a Kötelezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés nem arányos és visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság mindenekelőtt figyelembe vette, hogy a Kérelmezett által elkövetett jogsértések a GDPR 83. cikk (5) bekezdés b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősül, mivel az az adatkezelés elveinek és érintetti jog sérelmével járt. A Hatóság a bírságkiszabás során az alábbi körülményeket bírságnövelő körülményként értékelte:

• a jogsértés súlyosnak minősül, mert az adatkezelés kifejezett előzetes tiltakozás ellenére kiskorú érintettre vonatkozó személyes adatot érintett [GDPR 83. cikk (2) bekezdés a) pont]; • a Kérelmezett nem rendelkezik a magánszemélyekre vonatkozó híradásokat rendező adatkezelési szabályzattal, így fordulhatott elő, hogy az előzetes érintetti tiltakozásról a Kérelmezett nem szerzett tudomást [GDPR 83. cikk (2) bekezdés d) pont]; • a megállapított adatvédelmi jogsértés a személyes adatok különleges kategóriáit érinti [GDPR 83. cikk (2) bekezdés g) pont]; A Hatóság a bírságkiszabás során az alábbi körülményeket bírságcsökkentő körülményként értékelte:

gondatlanságra utaló körülmény, amely szerint rosszul mérték fel, egy érintett azonosíthatósága milyen körülményektől függ [GDPR 83. cikk (2) bekezdés b) pont a Kérelmezett a honlapjáról még bármilyen hatósági cselekmény megtétele előtt eltávolította a kifogásolt tartalmat, és az más forrásból sem lelhető fel nyilvánosan [GDPR 83. cikk (2) bekezdés c) pont]; a Kérelmezett első alkalommal sértette meg a GDPR rendelkezéseit, korábban releváns jogsértést nem követett el, amely enyhítő körülmény és amely az Infotv. 75/A. § alapján is figyelembe veendő [GDPR 83. cikk (2) bekezdés e) pont

A Hatóság figyelembe vette továbbá, hogy

• a jogsértés egyetlen személyt érintett [GDPR 83. cikk (2) a) pont] • a Kötelezett eleget tett a Hatóság felé fennálló együttműködési kötelezettségének [GDPR 83. cikk (2) bekezdés f) pont] • A Kötelezett 2019. évi beszámolója szerinti nettó árbevétele ……….……..ft5, a kiszabott adatvédelmi bírság ennek 0,01.. %-a [GDPR 83. cikk (5) bekezdés].

A Hatóság a bírságkiszabás során nem tartotta relevánsnak a GDPR 83. cikk (2) bekezdés h), i), j), k) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem értelmezhetők.

A bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg. A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

IV.3. A Hatóság az eljárás során túllépte az Infotv. 60/A § (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek.

V. Egyéb kérdések

A Hatóság a GDPR 57. cikk (1) bekezdés e) pontja alapján tájékoztatást ad, hogy a személyes adatok védelméhez való jog megsértése esetén fennáll a Ptk. 2:43. § és a 2:52. §-a alapján sérelemdíj megfizetése érdekében a bírósághoz fordulás lehetősége.

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

A határozat az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

A Hatóság tekintettel arra, hogy túllépte az ügyintézési határidőt, 10.000, - Ft, - azaz tízezer forintot fizet meg a Kérelmezőnek – választása szerint – bankszámlára utalással vagy postai utalvánnyal.

A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettségek teljesítését a kötelezett ügyfél megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettségeket határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja.

Budapest, 2021. június 18.

Dr. Péterfalvi Attila elnök c. egyetemi tanár