Hungarian Data Protection Authority: free provision of the first copy of medical documentation

……………………………………………………………………………………...…………… 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-3849-16/2022 (Előzmény: NAIH/7409/2020, NAIH-2861/2021) Tárgy: kérelemnek részben helyt adó határozat, eljárást részlegesen megszüntető végzés A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] ([…]; a továbbiakban: Kérelmező) kérelmére a […] (székhely: […]; cégjegyzékszám: […]; a továbbiakban: Kérelmezett1) és […] Zrt-vel ([…]; cégjegyzékszám: […]; a továbbiakban: Kérelmezett2) szemben betegbiztosítási szerződés kapcsán kezelt adatok másolatának kiadása tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

I. A Hatóság határozatában

I.1. Kérelmező kérelmének részben helyt ad és megállapítja, hogy a Kérelmezett2 jogszerű indok nélkül tagadta meg a Kérelmező hozzáférési kérelme egy részének térítésmentes teljesítését. Ezzel a Kérelmezett2 megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 15. cikk (3) bekezdését.

I.2. Az I.1. pontban megállapított jogsértés miatt a Hatóság utasítja a Kérelmezett2-t, hogy a Kérelmező részére a […]-rendszerben el nem érhető szakorvosi leletei másolatát a határozat kézhez vételét követő 15 napon belül díjmentesen biztosítsa! I.3. A Hatóság hivatalból megállapítja, hogy a Kérelmezett2 a hozzáférési kérelem kezelése során megsértette az általános adatvédelmi rendelet 12. cikk (4) bekezdését. A Kérelmezett2-nek az I.2. pontban előírt intézkedés végrehajtásáról, az intézkedés megtételétől számított 30 napon belül – az azt alátámasztó bizonyítékok csatolásával együtt értesítenie kell a Hatóságot. Az I.2. pont szerinti kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását.

II. A Hatóság végzésében

II.1. megszünteti a Kérelmezett1-el szemben indult adatvédelmi hatósági eljárást,

II.2. megszünteti a kérelemnek azon részében indult eljárást, amely arra irányult, hogy a Hatóság utasítsa a Kérelmezett2-t a belső szabályzatok módosítására, és vizsgálja ki, hogy bárkitől korábban ilyen jogcímen kértek-e be díjat. II.3. elutasítja a Kérelmezőnek a költségei megtérítésére irányuló kérelmét. Az I. pont szerinti határozattal és a II. pont szerinti végzéssel szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. Az I. pont szerinti határozattal kapcsolatban a tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A II. pont szerinti végzéssel szemben a bíróság egyszerűsített perben tárgyaláson kívül jár el. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az eljárás menete:

I.1. A Kérelmező 2020. október 13-án kérelmet nyújtott be a Hatósághoz, a kérelem hiányait a Hatóság felhívására 2020. október 29-én pótolta.

A Kérelmező kérte a Hatóságot a kérelemben előadott eset kivizsgálására, annak megítélésére, hogy a „[…]” jogosan kíván-e díjat felszámítani a kért személyes adatokra vonatkozóan, kérte, hogy jogsértés megállapítása esetén utasítsa a „[…]”-t arra, hogy az adatokat térítésmentesen szolgáltassa ki részére, utasítsa a „[…]”-t a belső szabályzatok módosítására, valamint utasítsa a „[…]”-t, hogy vizsgálja ki, bárkitől korábban ilyen jogcímen kértek-e be díjat. I.2.A Kérelmező kérelmére az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján NAIH/2020/7409. ügyszámon 2020. október 30-án adatvédelmi hatósági eljárás indult. A Hatóság az eljárás során NAIH/2020/7409/5. számú, 2020. november 19-én kelt végzésében a Kérelmezett1-et, a megnevezett adatkezelőt értesítette az eljárás megindulásáról és a tényállás tisztázása céljából nyilatkozattételre hívta fel. I.3. A végzésre a Kérelmezett1 2020. december 7-én érkezett levelében válaszolt.

I.4. A Kérelmező két alkalommal benyújtott érdeklődésére a Hatóság 2020. június 7-én kelt, NAIH- 2861-3/2021. számú levelében tájékoztatta az ügy állásáról.

I.5. A tényállás tisztázása érdekében a Hatóság a Kérelmezett1 részére NAIH-2861-4/2021. számon 2021. június 15-én újabb végzést küldött.

I.6. A Kérelmező 2021. július 1-jén (NAIH-2861-5/2021) kérte a Hatóság tájékoztató levelének postai úton történő kézbesítését, amelynek a Hatóság eleget tett (NAIH-2861- 6/2021).

I.7. A NAIH-2861-4/2021. sz. végzésre a Kérelmezett1 2021. július 7-én válaszolt NAIH- 2861-7/2021. számon iktatott levelében.

I.8. A NAIH-2861-8/2021. számú végzésében a Hatóság a Kérelmezett2-nek ügyféli jogállást biztosított, egyben a tényállás tisztázása érdekében nyilatkozat-tételre szólította fel. A NAIH- 2861-9/2021. számú végzésben a Kérelmezőt, NAIH-2861-10/2021. sz. végzésében a Kéremezett1-et értesítette az ügyfél bevonásáról.

I.9. A NAIH-2861-11/2021. számon iktatott levélben 2021. augusztus 5-én érkezett a Kérelmezett2 válasza.

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program ( ÁNYK program) alkalmazásával tölthető ki.

I.10. A NAIH-2861-12/2021. számú, 2021. szeptember 9-én küldött végzésében a Hatóság újabb, a tényállás tisztázására irányuló végzést küldött a Kérelmezett2-nek.

I.11. A Kérelmezett2 nyilatkozata 2021. szeptember 30-án érkezett és NAIH-2861-13/2021. számon került iktatásra.

I.12. A Hatóság az ügyfeleket az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 76. §-a alapján értesítette a bizonyítási eljárás befejéséről, és arról, hogy tényállás tisztázása során feltárt bizonyítékokat az iratbetekintés szabályainak figyelembevételével megismerhetik és további bizonyítási indítványokat tehetnek (NAIH- 3849-1-2022, NAIH-3849-2/2022, NAIH-3849-3/2022). A Kérelmező személyes iratbetekintést kért (NAIH-3849-4/2022), az iratbetekintésen 2022. április 12-én megjelent (NAIH-3849-8/2022), a Kérelmezett1 és Kérelmezett2 részére a Hatóság – kérelmükre – az iratbetekintési joguknak gyakorlását az eljárás során keletkezett, nem tőlük származó és nem a részükre megküldött valamennyi irat másolatának megküldésével biztosította (NAIH- 3849-9/2022, NAIH-3849-10/2022).

I.13. A Kérelmező 2022. május 3-án érkezett levelében tett észrevételt a megismert iratok alapján, egyben a keletkezett költségei megtérítéséről való hatósági döntést is kérelmezett (NAIH-3849-11/2022).

I.14. A Kérelmezett1 2022. május 13-án érkezett levelében tett észrevételt (NAIH-3849- 12/2022), a Kérelmezett2 pedig 2022. május 16-án érkezett levelében nyilatkozott (NAIH- 3849-13/2022).

I.15. A Hatóság NAIH-3849-14/2022. sz. végzésében felhívta a Kérelmezőt az eljárás során felmerült költségei igazolására, a Kérelmező válasza 2022. május 30-án érkezett (NAIH- 3849-15/2022).

II. Tényállás

II.1. Az adatvédelmi hatósági eljárás iránti kérelmében a Kérelmező előadta, hogy a Kérelmezett1 jogszerűen felmondta a Kérelmező betegbiztosítási szerződését. Ennek ismeretében a Kérelmező kérte a Kérelmezett1-től a róla kezelt minden személyes adat és lelet kiadását, első elektronikus levelében 2020. július 17-én, majd a kérése pontosításával 2020. augusztus 12-én. Ez utóbbi levél pontos tartalma: ”Minden leletemet és minden rólam tárolt személyes információt ki szeretnék kérni, hogy tovább tudjam vinni. Igazából eddig erre nem volt szükség, mert mindig Önökhöz jártam és így a múlt béli adatok elérhetőek voltak az aktuális vizsgálatok során és így esetleges tendenciák, változások jól nyomon követhetőek voltak. De akkor ennek most vége, ezért más orvoshoz megyek, akkor szeretném magammal vinni az egész múltat.” A hozzáférési kérelemmel kapcsolatos levelezést […].hu végződésű e-mail címmel rendelkező munkatárssal ([…]@[…].hu) folytatta. A Kérelmezett1 ezen kérelemre a 30 napos válaszadási határidőn belül érdemben a hozzáférés teljesítésével nem válaszolt, a Kérelmező 2020. szeptember 24-i és 2020. szeptember 30-i érdeklődését követően 2020. szeptember 30-án „a személyes adatokra, orvosi anyagokra vonatkozó kérelemmel kapcsolatban” a „Call Center”-hez irányította a Kérelmezőt. A Kérelmező 2020. október 5-én a […]@[…].hu címen érdeklődött a kezelt adatokra és iratokra vonatkozó hozzáférés lehetőségéről, arról, hogy „hogyan kaphatok információt a rólam tárolt adatokról, hogyan kaphatok információt visszamenőleg minden leletről, vizsgálatról, meddig és milyen formában kötelesek a rólam tárolt adatokat tárolni, mikor és milyen formában törlik az adatokat, kérhetem-e az adataim törlését, milyen belső az ügyfelek által elérhető szabályzatok szólnak erről, és pontosan kivel kell felvenni a kapcsolatot egy ilyen elváláskor”. A Kérelmezett2 adatvédelmi tisztviselője, aki egyben a Kérelmezett1 adatvédelmi tisztviselője is 2020. október 7-én elküldött válaszában tájékoztatta a Kérelmezőt arról, hogy a biztosítási szerződéssel kapcsolatban a Kérelmezett1 róla általánosságban milyen adatokat kezel, megjelölve az adatkezelés jogszabályi és egyéb alapját, tájékoztatta az adatkezelés időtartamáról, az adatok törlésének idejéről, az Adatkezelési Tájékoztató elérhetőségéről, és a biztosítási szerződéssel kapcsolatos érintetti jogairól. A Kérelmezett2 adatkezelésével kapcsolatban tájékoztatta a Kérelmezőt az egészségügyi szolgáltatás során történő adatkezelés jogalapjáról, az adatok kezelésének időtartamáról, illetve arról, hogy a szolgáltató az adatokat a törvényben előírt kötelező időtartam (adatfelvételtől számított 30 év) alatt nem törölheti, az elektronikus és papír alapú tárolási módról, illetve a kötelező őrzési időt követő adatmegsemmisítési formákról. A leletei másolatával kapcsolatban azt a tájékoztatást adta, miszerint azokat, a korábban telefonban közöltek szerint leletenként egyezer ft-os díj ellenében szolgáltatja ki, hivatkozva az általános adatvédelmi rendelet 15. cikk (3) bekezdésére, melynek értelmében a leletmásolatokért a […] jogosult díjat felszámítani, tehát azon leletek ismételt kiadásáért, amelyet a Kérelmező korábban már megkapott. A Kérelmező 2020. október 20-án jelezte, hogy álláspontja szerint az adatok másolatára ingyen lenne jogosult. Az adatvédelmi tisztviselő aznap adott válaszában megismételte a véleményét, miszerint a leleteket a törvény alapján a szolgáltatónak kell őriznie, az első leletmásolatot a beteg a vizsgálat alkalmával megkapja, az adatkérés további másolatnak minősül, így az általános adatvédelmi rendelet alapján díjköteles. Válaszul a Kérelmező egyet nem értését fejezte ki a díj felszámításával kapcsolatban, az adatvédelmi tisztviselő erre reagálva tájékoztatta őt, hogy álláspontjuk változatlan, és azt fenntartják. Tekintettel arra, hogy a Kérelmező több mint tíz évig volt a Kérelmezett2 ügyfele, az adatszolgáltatás díja a Kérelmező tájékoztatása szerint összességében százezer forintot meghaladó összeget tenne ki. A Kérelmező szerint az általános adatvédelmi rendelet 15. cikk (3) bekezdése az adatok első másolatának díjmentességét rögzíti, ennek értelmében a Kérelmezett a hozzá benyújtott kérelemben foglalt adatok díjmentes szolgáltatására lenne köteles. A Kérelmező a kérelem végén a Kérelmezett1-et nevesítette székhelycímmel, illetve megnevezte azt az adatvédelmi tisztviselőt, akivel levelezést folytatott. II.2. A Kérelmezett1 a 2020. december 7-én érkezett válaszlevelében tett nyilatkozatában kifejtette, hogy a Kérelmező részére kizárólag egészségbiztosítási szolgáltatást nyújt, egészségügyi szolgáltatást finanszírozó tevékenységet folytat. Ügyfelei adatait csak e körben kezeli, a Bit. rendelkezéseire figyelemmel kizárólag egészségbiztosítási jogviszonnyal kapcsolatban, különösen a szolgáltatási igények elbírálása céljából. A válasz szerint a Kérelmező 2020. július 17. napján fordult e-mailben a biztosítási ügyekben eljáró kapcsolattartóhoz, aki határidőn belül válaszolt, pontosítást kérve. A pontosításból kiderült, hogy a Kérelmezőnek nem a biztosító által kezelt adatokra van szüksége, hanem kórelőzményére, azaz egészségügyi dokumentációjára, abból a célból, hogy azt más orvoshoz továbbvihesse. Ezt követően a kapcsolattartó sajnos nem válaszolt a megkeresésre, miszerint a biztosító a dokumentációt nem tudja kiadni, mivel azzal nem rendelkezik. A válaszadás elmaradása összefüggésben állt a koronavírus járványnak a gazdaságra gyakorolt hatásával, amely a biztosító működését is érintette, amely során több munkavállaló munkaviszonya megszüntetésre került, működését pedig minimálisra korlátozta. A Kérelmezett1 adatvédelmi tisztviselője 2020. október 5. napján értesült a megkeresésről, amikor a Kérelmező azt az egészségügyi szolgáltató Kérelmezett2 […]@[…].hu email címére is megküldte, tekintettel arra, hogy az adatvédelmi tisztviselő azonos személy mindkét kérelmezettnél, azonban a kérelmezettek jogilag elkülönült, eltérő (biztosítási és egészségügyi szolgáltatási) tevékenységet folytató és különböző tulajdonosi háttérrel rendelkező jogalanyok. Az adatvédelmi tisztviselő két nappal később részletes tájékoztatást nyújtott mindkét kérelmezett nevében. A Kérelmezett1 jelezte, hogy gondot fordít a munkavállalói adatvédelmi ismereteinek növelésére, kötelező oktatás és tesztelés keretében, valamint az adatvédelmi tisztviselő is részletes visszajelzést adott a kapcsolattartónak arról, hogy hogyan kellett volna eljárnia és miről kellett volna tájékoztatnia az ügyfelet, annak érdekében, hogy a jövőben hasonló eset nem fordulhasson elő. A válasz szerint tehát nincs a Kérelmezett1 birtokában a Kérelmezőre vonatkozó egészségügyi dokumentáció, azt a Kérelmezett2 kezeli. II.3. A Kérelmezett1 2021. július 7-én érkezett nyilatkozata szerint a Kérelmezett2 a Kérelmezett1-el kötött szerződés alapján ügyfélszolgálati szolgáltatást nyújt a Kérelmezett1nek, a Kérelmezett1 ügyfelei vonatkozásában. A megnevezett – a Kérelmezővel levelezést folytató – munkatárs a Kérelmezett2 munkavállalója volt a megjelölt időszakban, és a megnevezett kapcsolattartási cím – […]@[…].hu – elsődlegesen a Kérelmezett2, másodlagosan a Kérelmezett1 kapcsolattartási címe volt. Ismételten rögzítette, hogy mivel a Kérelmező az egészségügyi dokumentációjára tartott igényt, és azt nem a Kérelmezett1 őrzi, ezért nem tett eleget a személyes adatokra és adatmásolatokra vonatkozó kérelemnek. II.4. A Hatóság a válaszok ismeretében az eljárásba a Kérelmezett2-t ügyfélként vonta be 2021. július 22-én. Utóbb a beérkezett nyilatkozatok és a kérelem ismételt értelmezése után a Hatóság arra a következtetésre jutott, hogy a kérelem a tartalmában, mivel átfogó néven a „[…]”-rel szemben kezdeményezett eljárást, egyúttal a Kérelmezett2-t is jelentette. A kérelemben székhelycímmel nevesített adatkezelő a Kérelmezett1 és annak adatvédelmi tisztviselője volt, azonban, mivel az adatvédelmi tisztviselő egyben a Kérelmezett2 adatvédelmi tisztviselője is, és a kérelem általánosan a […] megnevezést tartalmazta, a Hatóság úgy értékelte, hogy a kérelem a Kérelmezett2-t is megjelölte, még ha a pontos cégadatokat nem is tartalmazta és megfogalmazása ebben a tekintetben nem volt egyértelmű. Ennek okán jelen eljárásban a […] Zrt. szintén kérelmezettnek (Kérelmezett2) minősül. A Kérelmezett2 a 2021. augusztus 5-én érkezett válaszlevelében a következőket fejtette ki. Megjelölte a kezelt adatok körét, amely az egészségügyi szolgáltatás során keletkezett dokumentációt jelenti, ambuláns lapok, diagnosztikai vizsgálatok leletei, laboreredmények, stb. A Kérelmezett1 által hivatkozott szerződést, amely alapján ügyfélszolgálati tájékoztatást nyújtanak a Kérelmezett1-nek az ügyfeleik vonatkozásában, üzleti titokra hivatkozással nem küldte meg. A Kérelmezett2 nyilatkozata szerint a […].hu végződésű e-mail címek egy része kizárólag a Kérelmezett2 által használt cím (ilyen pl. a […]@[…].hu), más része kizárólag a Kérelmezett1-hez rendelt, általa használt cím. Ezeken kívül vannak olyan e-mail címek, amelyekhez olyan személyek férhetnek hozzá, akik egyidejűleg mindkét kérelmezett munkavállalói (pl. […]@[…].hu), vagy a Kérelmezett2 olyan munkavállalói, akik a

Kérelmezett1 részére látnak el pl. ügyfélszolgálati feladatokat a köztük fennálló szerződés alapján. Utóbbi két csoportba tartozó személyek a Kérelmezett2 munkavállalójaként eljárva kizárólag a Kérelmezett2 által kezelt adatokhoz, míg a Kérelmezett1 munkavállalójaként/képviseletében eljárva csak a Kérelmezett1 által kezelt adatokhoz férhetnek hozzá, munkakörük ellátáshoz szükséges mértékben, titoktartási kötelezettségvállalás mellett. A két kérelmezett az egymás által kezelt adatokhoz nem fér hozzá. A Kérelmezett2 a hozzáférési kérelmet 2020. október 5-én kapta meg a Kérelmezőtől. A korábbi kérelmek nem jutottak el a Kérelmezett2-höz, minden bizonnyal azért, mert azt a Kérelmező a Kérelmezett1-hez juttatta el, akinek a képviseletében eljáró munkavállaló nem továbbította azt a Kérelmezett2, illetve megfelelő szervezeti egysége részére. Ebben közrejátszott az is, hogy az érintett időszakban a Kérelmezett1 tevékenysége, működése jelentősen csökkent a koronavírus járvány és az akkor hatályos hatósági korlátozások miatt. A Kérelmezett2 a leletmásolatok kiadására vonatkozó eljárási protokollt bemutatta, az ezt szabályozó dokumentumot csatolta. Nyilatkozata szerint a Kérelmezőnek a másolatokra vonatkozó kérelmét akként teljesítette és teljesíti, hogy ingyenesen folyamatos elérést biztosít az általa működtetett […] Online ([…]) felülethez, amelyen minden páciens számára elérhetőek egyedi felhasználónév és jelszó útján a Kérelmezett2 által nyújtott egyes egészségügyi szolgáltatások leletei, így a laborvizsgálatok leletei, továbbá meghatározott diagnosztikai vizsgálatok leletei (MRI, CT, stb). A Kérelmező ugyanakkor egészségügyi dokumentációjáról további másolat kiadását kérte, amellyel kapcsolatban a Kérelmezett2 tájékoztatta őt a leletmásolatok kiadásának díjáról. Mivel ezt a Kérelmező nem fizette meg, ezért a Kérelmezett2 külön nem bocsátotta rendelkezésére a leletmásolatokat. A díj felszámításának jogalapja kérdésében akként foglalt állást, miszerint az az általános adatvédelmi rendelet 15. cikk (3) bekezdésén alapul. Ezzel összefüggésben hivatkozta az Eütv. 137. §-át, amely alapján a szolgáltató az ellátás befejezésekor köteles zárójelentést, illetve ambuláns ellátási lapot (leletet) a páciens rendelkezésére bocsátani. Álláspontja szerint ez az átadott lelet már másolati példánynak minősül, mivel az eredeti példányt a szolgáltató az Eüak. 30. §-a alapján az ott meghatározott ideig köteles őrizni. Ezek alapján tehát a Kérelmezett2 az ellátás befejezésekor a leletmásolatot a páciens rendelkezésére bocsátja. Másrészt olyan vizsgálatok esetén, amikor a lelet nem azonnal keletkezik, azokat – különösen a laborvizsgálatok eredményei, vagy MRI, CT (diagnosztikai) vizsgálat kiértékelését tartalmazó leletek – a Kérelmezett2 minden ügyfele számára saját felhasználónévvel és jelszóval elérhető elektronikus felületre ([…]) feltöltve bocsátja páciensei rendelkezésére. Hangsúlyozta, hogy a […]-felület és az azon lévő leletek folyamatosan hozzáférhetőek az ügyfelek számára, több évre visszamenőleg. A Kérelmezett2 az első leletmásolatért nem számított fel külön díjat. Amikor a Kérelmező hozzá fordult leletmásolat kiadás iránti igénnyel, akkor további másolatok kiadását kérte, ezen további másolatok kiadásáért pedig a Kérelmezett2 a fentiek szerint jogosult volt díjat felszámítani. Az érintettek tájékoztatásával kapcsolatban bemutatta az adatkezelési tájékoztatónak a társaság honlapján való elérhetőségét, az érintetti joggyakorlással kapcsolatos szabályozását, amely szerint az érintett „kérheti a kezelt személyes adatairól készült másolat kiadását, elektronikus vagy más (különösen papír) formátumban, melynek ellenértékeként a vonatkozó jogszabályban biztosított lehetőséggel élve – a […] (az adminisztratív költségekre figyelemmel, arányos) észszerű mértékű díjat számíthat fel. A tájékoztatásra vonatkozó kérelmet a […] mások jogainak (különösen az üzleti titok és a szellemi alkotások védelméhez való jog) tiszteletben tartásával teljesíti”. A Hatóság NAIH-2861-12/2021. számú tényállás-tisztázó végzésére válaszolva a Kérelmezett2 csatolta a Kérelmezett1-el kötött azon szerződés másolatát, amely alapján ügyfélszolgálati tájékoztatást nyújtanak a Kérelmezett1 ügyfeleinek. Tájékoztatást adott továbbá arról, hogy a nyilvántartásukban szereplő adatok szerint a Kérelmező rendelkezik a […]-rendszerben történt regisztrációval, a regisztráció időpontja 2011. 12. 05. napja volt. A felhasználási feltételeket tartalmazó tájékoztatót akkor papír alapon adták át az érintetteknek, amelyek átvételét aláírásukkal igazolták, ezzel egyidejűleg kapták meg a hozzáféréshez szükséges jelszó egyik felét (melynek másik felét az érintettek adták meg), azaz a regisztráció feltétele a felhasználási feltételek elfogadása volt. A 2011-ben használt […] regisztrációs tájékoztató minta már nem áll rendelkezésére, figyelemmel arra, hogy azt több mint 5 évvel ezelőtt átdolgozta, és az az archívumukban sem lelhető fel, mivel azt az elévülési ideig (aláírástól számított 5 évig) őrizte. Mindezek mellett a Kérelmező által mintegy 10 évvel ezelőtt aláírt tájékoztató sem áll rendelkezésükre. A jelenleg elérhető tájékoztatót csatolta. Nyilatkozata szerint a […]-rendszerben tárolt dokumentáció az érintettek ellátása során keletkezett egészségügyi dokumentáció egy jelentős részét lefedi, így a rendszeren keresztül folyamatosan, több évre visszamenőleg elérhetőek a Kérelmező számára a laborvizsgálati leletek, úgy, mint az MRI, UH és röntgen vizsgálatok leletei. A rendszerben nem érhetőek el a szakorvosi vizsgálatokról készült egyéb leletek. Végezetül a Hatóság kérdésére azt a tájékoztatást adta, hogy az érintett valamennyi, a […]rendszerben tárolt vizsgálati eredményt tartalmazó egészségügyi dokumentumot saját részre, saját adathordozóra bármikor letöltheti, lementheti, a letöltött fájlt pedig kinyomtathatja. II.5. Az iratbetekintést követően tett észrevételében a Kérelmező előadta, hogy a Kérelmezett2 az ő részére korábban nem fejtette ki, hogy mit jelent az, hogy a kért iratok egy része elektronikusan elérhető, illetve mennyire várható el egy magánszemélytől, hogy akár órákon keresztül nyomkodjon egy felületet az adatok kinyerése érdekében. Kétségét fejezte ki azzal kapcsolatban, hogy jogosan hivatkozott-e a Kérelmezett2 a COVID időszakra a megkésett válaszok tekintetében, álláspontja szerint a szolgáltatónak a COVID ellátásoktól függetlenül ki kell építeni az adminisztrációs hátterét és a törvényi előírásoknak megfelelő adatszolgáltatási rendszerét, amely költségeit minden bizonnyal beépítik az áraikba. Felhívta a Hatóság figyelmét a Kérelmezett2 2020. évre közzétett beszámolójában szereplő […] adózott eredményére, illetve kifejtette, hogy milyen módon kell a társaságnak kezelni a GDPR szerinti kérdéseket, amennyiben az adott tisztségviselő nem volt COVID-os, nem látja a késedelmes válaszok és a COVID közötti közvetlen kapcsolatot, miközben az általa fizetendő díj kiszámítására volt kapacitásuk a COVID mellett is. Véleménye szerint a Kérelmezett2-nél a GDPR incidensekkel kapcsolatos folyamatok szervezetlenek. Érdekesnek tartotta továbbá, hogy a Hatóság részére üzleti titokra hivatkozással nem került kiadásra a Kérelmezettek között fennálló szerződés. Reményét fejezte ki a Hatóság részéről a megfelelő bírság kiszabására, mivel érdemes szem előtt tartani, hogy egy rendszerbeli jogellenes viselkedésről van szó, és az egészségügyi szolgáltatóknak kimondottan komoly hangsúlyt kellene helyezniük a GDPR kérdésekre és az azzal kapcsolatos kötelezettségeikre. Végezetül kérte, hogy amennyiben lehetséges, elmarasztaló határozat esetén a Hatóság kötelezze a Kérelmezett2-t a nála felmerült költségek megtérítésére.

II.6. A Kérelmezett1 az eljárás iratai alapján tett nyilatkozatában összefoglalta a Kérelmező által küldött kérelem fogadásának körülményeit és az arra adott választ, és elismerte, hogy a Kérelmező az eljáró ügyintézőtől nem az irányadó jogszabályi határidőben kapott választ, de ő emiatt szóbeli figyelmeztetésben részesült, továbbá az adatvédelmi tisztviselő egyéni oktatást is kapott. Rögzítette továbbá, hogy a kérelem nem a Kérelmezett1 által kezelt adatokra irányult, így kérte a Hatóságtól, hogy állapítsa meg, a Kérelmezett1 nem követett el jogsértést, zárja le vele szemben az eljárást, illetve jogsértés megállapítása esetén mellőzze a bírság kiszabását figyelemmel az enyhe jogsértésre, az egy fő érintettre, a felróhatóság jellegére, a Kérelmezett1 által megtett orvosló intézkedésekre, a Hatósággal való együttműködésre, és arra, hogy a Hatóság a Kérelmezett1-el szemben korábban nem folytatott eljárást. II.7. A Kérelmezett2 a nyilatkozatában megismételte a korábban általa előadottakat a dokumentáció másolatáért felszámítandó díjjal kapcsolatban, előadta a […]-rendszerről már ismertetett tudnivalókat is, és összefoglalta, miszerint álláspontja szerint a Kérelmezett igénye a „további másolat”-ra irányult az Eüak. és a […]-rendszerben való folyamatos hozzáférés okán. Kérte a Hatóságtól, hogy állapítsa meg, a Kérelmezett2 nem követett el jogsértést, zárja le vele szemben az eljárást, illetve a jogsértés esetleges megállapítása esetén is mellőzze a bírság kiszabását, figyelemmel az érintettek számára (egy fő), az esetleges felróhatóság jellegére, a Hatósággal való együttműködésre, és arra, hogy a Kérelmezett2-vel szemben a Hatóság korábban nem folytatott eljárást. II. 8. A Hatóság hiánypótlási felhívására a Kérelmező a felmerült költségeivel kapcsolatban úgy nyilatkozott, miszerint „külsős költségei” nem merültek fel, csak saját 20-25 munkaórája, amelyben az üggyel foglalkozott.

III. Az ügyben alkalmazandó jogszabályi rendelkezések

Az általános adatvédelmi rendelet) hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben kiegészítésekkel kell alkalmazni. Az általános adatvédelmi rendelet

4. cikk 1. pontja alapján: „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;

4. cikk 2. pontja alapján: „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;

4. cikk 7. pontja alapján: „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;

4. cikk 15.pontja szerint: „egészségügyi adat”: egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról; Az általános adatvédelmi rendelet (35) preambulum-bekezdése értelmében: Az egészségügyi személyes adatok közé tartoznak az érintett egészségi állapotára vonatkozó olyan adatok, amelyek információt hordoznak az érintett múltbeli, jelenlegi vagy jövőbeli testi vagy pszichikai egészségi állapotáról. Ide tartoznak az alábbiak: a természetes személyre vonatkozó olyan személyes adatok, amelyeket az egyénnek a 2011/24/EU európai parlamenti és tanácsi irányelvben említett egészségügyi szolgáltatások céljából történő nyilvántartásba vétel, vagy ilyen szolgáltatások nyújtása során gyűjtöttek, a természetes személy egészségügyi célokból történő egyéni azonosítása érdekében hozzá rendelt szám, jel vagy adat, valamely testrész vagy a testet alkotó anyag - beleértve a genetikai adatokat és a biológiai mintákat is - teszteléséből vagy vizsgálatából származó információk, és bármilyen, például az érintett betegségével, fogyatékosságával, betegségkockázatával, kórtörténetével, klinikai kezelésével vagy fiziológiai vagy orvosbiológiai állapotával kapcsolatos információ, függetlenül annak forrásától, amely lehet például orvos vagy egyéb egészségügyi dolgozó, kórház, orvostechnikai eszköz vagy in vitro diagnosztikai teszt. Az általános adatvédelmi rendelet (63) preambulum-bekezdése alapján: „Az érintett jogosult, hogy hozzáférjen a rá vonatkozóan gyűjtött adatokhoz, valamint arra, hogy egyszerűen és észszerű időközönként, az adatkezelés jogszerűségének megállapítása és ellenőrzése érdekében gyakorolja e jogát. Ez magában foglalja az érintett jogát arra, hogy az egészségi állapotára vonatkozó személyes adatokhoz - mint például a diagnózis, a vizsgálati leletek, a kezelőorvosok véleményei, valamint a kezeléseket és a beavatkozásokat tartalmazó egészségügyi dokumentációk - hozzáférjen. Ezért minden érintett számára biztosítani kell a jogot arra, hogy megismerje különösen a személyes adatok kezelésének céljait, továbbá ha lehetséges, azt, hogy a személyes adatok kezelése milyen időtartamra vonatkozik, a személyes adatok címzettjeit, azt, hogy a személyes adatok automatizált kezelése milyen logika alapján történt, valamint azt, hogy az adatkezelés - legalább abban az esetben, amikor az profilalkotásra épül - milyen következményekkel járhat, továbbá hogy minderről tájékoztatást kapjon. Ha lehetséges, az adatkezelő távoli hozzáférést biztosíthat egy biztonságos rendszerhez, amelyen keresztül az érintett a saját személyes adataihoz közvetlenül hozzáférhet. Ez a jog nem érintheti hátrányosan mások jogait és szabadságait, beleértve az üzleti titkokat vagy a szellemi tulajdont, és különösen a szoftverek védelmét biztosító szerzői jogokat. Ezek a megfontolások mindazonáltal nem eredményezhetik azt, hogy az érintettől minden információt megtagadnak. Ha az adatkezelő nagy mennyiségű információt kezel az érintettre vonatkozóan, kérheti az érintettet, hogy az információk közlését megelőzően pontosítsa, hogy kérése mely információkra vagy mely adatkezelési tevékenységekre vonatkozik.” Az általános adatvédelmi rendelet (171) preambulum-bekezdése szerint ”E rendelet hatályon kívül helyezi a 95/46/EK irányelvet. Az e rendelet alkalmazásának időpontja előtt megkezdett adatkezelést e rendelet hatálybalépésének időpontjától számított két éven belül összhangba kell hozni e rendelettel. Ha az adatkezelés a 95/46/EK irányelv szerinti hozzájáruláson alapul és az érintett az e rendeletben foglalt feltételekkel összhangban adta meg hozzájárulását, nem kell ismételten az érintett engedélyét kérni ahhoz, hogy az adatkezelő e rendelet alkalmazási időpontját követően is folytathassa az adatkezelést. A 95/46/EK irányelv alapján a Bizottság által hozott határozatok, valamint a felügyeleti hatóságok által kiadott engedélyek hatályban maradnak mindaddig, amíg módosításukra, felváltásukra vagy hatályon kívül helyezésükre sor nem kerül. ” Az általános adatvédelmi rendelet 12. cikke alapján:

(1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát.

(2) Az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani.

(3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri.

(4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.

(5) A 13. és 14. cikk alapján rendelkezésre bocsátott információkat és a 15-22. és 34. cikk alapján végzett minden tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy - különösen ismétlődő jellege miatt túlzó, az adatkezelő:

a) a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségek figyelembevételével észszerű összegű díjat számíthat fel, vagy b) megtagadhatja a kérelem alapján történő intézkedést. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli. Az általános adatvédelmi rendelet 15. cikke értelmében: „Az érintett hozzáférési joga (1) Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:

a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;

d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;

f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ;

h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár.

(2) Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozóan a 46. cikk szerinti megfelelő garanciákról.

(3) Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.

(4) A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait.”

Az általános adatvédelmi rendelet 25. cikke szerint (1) Az adatkezelő a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket - például álnevesítést - hajt végre, amelyek célja egyrészt az adatvédelmi elvek, például az adattakarékosság hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába.

(2) Az adatkezelő megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítására, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek. Ez a kötelezettség vonatkozik a gyűjtött személyes adatok mennyiségére, kezelésük mértékére, tárolásuk időtartamára és hozzáférhetőségükre. Ezek az intézkedések különösen azt kell, hogy biztosítsák, hogy a személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül ne válhassanak hozzáférhetővé meghatározatlan számú személy számára. (3) A 42. cikk szerinti jóváhagyott tanúsítási mechanizmus felhasználható annak bizonyítása részeként, hogy az adatkezelő teljesíti az e cikk (1) és (2) bekezdésében előírt követelményeket. Az általános adatvédelmi rendelet 58. cikke alapján: (2) A felügyeleti hatóság korrekciós hatáskörében eljárva:

a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit;

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét;

d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel;

Az általános adatvédelmi rendelet 83. cikke szerint:

„(1) Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek.

(2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;

b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;

d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket;

e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke;

g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;

i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban - ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés;

j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség”. Az egészségügyről szóló 1997. évi CLIV. törvény (a továbbiakban: Eütv.) vonatkozó rendelkezései:

„24. § (1) A beteg jogosult a róla készült egészségügyi dokumentációban foglaltakat - a 135. §-ban foglaltak figyelembevételével - megismerni. (2) A betegnek a rá vonatkozó személyes adataival kapcsolatos jogaira a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) szóló, 2016. április 27-i (EU) 2016/679 európai parlamenti és tanácsi rendelet, és az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló törvény rendelkezései irányadóak.

(3) A beteg jogosult a) a fekvőbeteg-gyógyintézetből történő elbocsátásakor a 137. § a) pontja szerinti zárójelentést kapni, b) a 137. § b) pontjában foglaltak szerint a járóbeteg-szakellátási tevékenység befejezésekor ambuláns ellátási lapot kapni.”

„137. § Az egészségügyi szolgáltató a) több résztevékenységből álló, összefüggő ellátási folyamat végén vagy fekvőbeteggyógyintézeti ellátást követően az ellátás adatait összefoglaló zárójelentést, b) járóbeteg-szakellátási tevékenység befejezésekor, a beteg ellátásával és gyógykezelésével kapcsolatos összefoglaló adatokat tartalmazó ambuláns ellátási lapot készít és - a 14. § (1) bekezdésében foglalt eset kivételével - azt a betegnek átadja.” Az Eüak. 2019. IV. 25-ig hatályos 7. § (3) bekezdése szerint Az érintett jogosult tájékoztatást kapni a gyógykezeléssel összefüggésben történő adatkezelésről, a rá vonatkozó egészségügyi és személyazonosító adatokat megismerheti, az egészségügyi dokumentációba betekinthet, valamint azokról - saját költségére - másolatot kaphat.

Az Eütv. 2019. XII. 31-ig hatályos szabályi értelmében 24. § (1) A beteg jogosult megismerni a róla készült egészségügyi dokumentációban szereplő adatait, illetve joga van ahhoz, hogy - a 135. §-ban foglaltak figyelembevételével - egészségügyi adatairól tájékoztatást kérjen. (2) Az egészségügyi dokumentációval az egészségügyi szolgáltató, az abban szereplő adattal a beteg rendelkezik. (3) A beteg jogosult a) a gyógykezeléssel összefüggő adatainak kezeléséről tájékoztatást kapni, b) a rá vonatkozó egészségügyi adatokat megismerni, c) az egészségügyi dokumentációba betekinteni, valamint azokról kivonatot vagy másolatot készíteni vagy saját költségére másolatot kapni, Az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló 1997. évi XLVII. törvény (a továbbiakban: Eüak.) alapján: „7. § (3) Az érintettnek az (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) 15. cikk (3) bekezdésében meghatározott, az adatkezelés tárgyát képező személyes adatok minden további másolatért miniszteri rendeletben meghatározott költségelemek alapján díjat kell fizetni.”

„30. § (1) Az egészségügyi dokumentációt - a képalkotó diagnosztikai eljárással készült felvételek, az arról készített leletek, valamint a (7) bekezdés kivételével - az adatfelvételtől számított legalább 30 évig, a zárójelentést legalább 50 évig kell megőrizni. A kötelező nyilvántartási időt követően gyógykezelés vagy tudományos kutatás érdekében amennyiben indokolt - az adatok továbbra is nyilvántarthatók. Ha a további nyilvántartás nem indokolt - a (3) bekezdés kivételével - a nyilvántartást meg kell semmisíteni.

(2) Képalkotó diagnosztikai eljárással készült felvételt az annak készítésétől számított 10 évig, a felvételről készített leletet a felvétel készítésétől számított 30 évig kell megőrizni. ”

„35/K. § (1) A csatlakozott adatkezelő köteles az EESZT útján a működtető részére a miniszter által rendeletben meghatározott tartalmi és formai követelményeknek megfelelő módon - az egészségügyi dokumentáció megismerésére jogosultaknak a 4. § (1) és (2) bekezdésében meghatározott célból az érintett dokumentumokhoz az EESZT útján való hozzáférés érdekében megküldeni az egészségügyi ellátás során keletkezett dokumentumokat.

(2) A csatlakozott adatkezelő az (1) bekezdés szerinti kötelezettségét úgy is teljesítheti, hogy miniszteri rendeletben meghatározott módon az EESZT rendelkezésére bocsátja az egészségügyi dokumentációnak az egészségügyi szolgáltató rendszerében található elérési útját, ha a műszaki követelményeknek való megfelelést a miniszter rendeletében meghatározottak szerint tanúsítás igazolja.”

A biztosítási tevékenységről szóló 2014. évi LXXXVIII. törvény (Bit.) 135. § (1) bekezdés szerint: „A biztosító vagy a viszontbiztosító jogosult kezelni ügyfeleinek azon biztosítási titoknak minősülő adatait, amelyek a biztosítási szerződéssel, annak létrejöttével, nyilvántartásával, a szolgáltatással összefüggnek. Az adatkezelés célja csak a biztosítási szerződés megkötéséhez, módosításához, állományban tartásához, a biztosítási szerződésből származó követelések megítéléséhez szükséges, vagy az e törvény által meghatározott egyéb cél lehet.”

Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Ugyanezen § (2a) bekezdése szerint Az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. Az Infotv. 60. § (1) bekezdése szerint: „a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít”. Az Infotv. 60. § (2) bekezdése alapján: „az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében meghatározott esetben nyújtható be”. Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az Infotv-ben meghatározott eltérésekkel. Az Ákr. 35. § (1) bekezdése szerint: „a kérelem az ügyfél olyan nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében”. Az Ákr. 46. § (1) bekezdés a) pontja szerint a Hatóság a kérelmet visszautasítja, ha az eljárás megindításának jogszabályban meghatározott feltétele hiányzik, és e törvény ahhoz más jogkövetkezményt nem fűz. Az Ákr. 47. § (1) bekezdés a) pontja szerint a Hatóság az eljárást megszünteti, ha a kérelem visszautasításának lett volna helye, annak oka azonban az eljárás megindítását követően jutott a hatóság tudomására. Az Ákr. 103. § (4) bekezdésének értelmében „ha a hatóság a hivatalbóli eljárásban az ügyintézési határidő kétszeresét túllépi, a jogsértés tényének megállapításán és a jogellenes magatartás megszüntetésére vagy a jogszerű állapot helyreállítására kötelezésen túl egyéb jogkövetkezményt nem alkalmazhat. Ez esetben ugyanazon ügyféllel szemben, ugyanazon ténybeli és jogi alapon nem indítható új eljárás”. Az Ákr. 62. § (4) bekezdése szerint a hatóság szabadon választja meg a bizonyítás módját, és a rendelkezésre álló bizonyítékokat szabad meggyőződése szerint értékeli.

Az Ákr. 124. §-a értelmében eljárási költség mindaz a költség, ami az eljárás során felmerül.

Az Ákr. 129. §-a szerint (1) Az eljárási költséget a hatóság összegszerűen határozza meg, és dönt a költség viseléséről, illetve a megelőlegezett költség esetleges visszatérítéséről.

(2) Az eljárási költség összegét az azt alátámasztó bizonyítékok figyelembevételével kell megállapítani.

1. az illeték, 2. az igazgatási szolgáltatási díj, 3. az ügyfél megjelenésével kapcsolatos költség, 4. az ügyfél képviseletében eljáró személy megjelenésével kapcsolatos költség, 5. a tanú és a hatósági tanú költségtérítése, 6. a szakértői díj,

7. az iratbetekintési jog gyakorlásával kapcsolatos költség, 8. a fordítási költség, 9. a tolmácsolási költség, 10. az ügyfél, valamint az eljárás egyéb résztvevője részéről felmerült levelezési, dokumentumtovábbítási költség,

11. a végrehajtási költség, 12. az eljárásban közreműködő rendőrségnél felmerült költség, 13. a szemle, a zár alá vétel, valamint a szakértői eljárás jogszerű lefolytatásával összefüggésben felmerülő kártalanítás összege,

14. a tényállás tisztázásához szükséges, az eljáró hatóság által végzett műszeres (laboratóriumi vagy más speciális eszköz használatát igénylő) vizsgálat azon költsége, amelyet az illeték vagy az igazgatási szolgáltatási díj nem tartalmaz,

15. az egyes hatósági intézkedésekkel kapcsolatban felmerült költség, 16. egyéb, az eljárással összefüggésben felmerült pénzkiadás.

IV. Döntés

A Kérelmező annak megítélésére kérte a Hatóságot, hogy a „[…]” jogosan kívánt-e díjat felszámítani a kért személyes adatokra vonatkozóan, kérte, hogy jogsértés megállapítása esetén a Hatóság utasítsa a „[…]”-t arra, hogy az adatokat térítésmentesen szolgáltassa ki részére, utasítsa a „[…]”-t a belső szabályzatok módosítására, valamint utasítsa a „[…]”-t, hogy vizsgálja ki, bárkitől korábban ilyen jogcímen kértek-e be díjat. IV.1. Az adatkezelő személyének megállapítása Elsőként annak megítélése szükséges, hogy a Kérelmező egészségügyi adatait tartalmazó dokumentációnak ki a kezelője, ki tehát az, aki a hozzáférési kérelem teljesítésére kötelezett. Az egészségügyi dokumentációban szereplő adatok személyes adatnak, és egészségügyi adatnak minősülnek az általános adatvédelmi rendelet 4. cikk 1. és 15. pontja szerint. A 4. cikk 7. pontja szerinti adatkezelő pedig, aki az ott meghatározottak szerinti érdemi döntéshozatali jogkörrel rendelkezik, és egyúttal felelősséggel tartozik az adatkezeléssel kapcsolatos jogszabályi kötelezettségek teljesítéséért. Így többek között az adatkezelőnek eleget kell tennie az érintettek joggyakorlásának [általános adatvédelmi rendelet 12-23. cikk], az adatkezelést megelőzően az adatkezelés lényeges körülményeiről tájékoztatnia kell az érintetteket [általános adatvédelmi rendelet 13-14 cikk].

Ezen feltételeknek jelen vizsgálat esetében a Kérelmezett2 tesz eleget, a Kérelmező egészségügyi dokumentációját ő kezeli, ennek megfelelően az érintetti hozzáférés biztosítása és másolat-adási kötelezettség is őt terheli. A Kérelmezett1 ezen adatok tekintetében adatkezelőnek nem minősül.

A Kérelmező személyes adatait tartalmazó leleteket a Kérelmezett1 nem kezel, illetve a hozzáférési kérelem fogadása a – IV. 2. pontban részletezettek szerint – a Kérelmezett2 által történt, így a Hatóság az eljárásnak a Kérelmezett1 adatkezelésére irányuló részét megszüntette, mert a kérelem nem a Kérelmezett1 adatkezelését érintette. IV.2 A hozzáférési kérelem kezelése Az adatkezelési tevékenység részét képezi a dokumentációra vonatkozó hozzáférési kérelem fogadása és az annak nyomán tett intézkedések, így a Hatóság ennek megvalósulását is vizsgálta. Noha a kérelem nem közvetlenül a hozzáférési kérelem teljesítési módjának ellenőrzésére irányult, azonban a leletmásolatért fizetendő díj jogszerűsége vizsgálatának része annak feltárása, hogy a Kérelmezett2 miként jutott oda, hogy a másolat biztosítása keretében a díj felszámításáról is döntsön.

A Kérelmező a kérelmét a betegbiztosítási szerződés felmondása okán a Kérelmezett1-hez, mint a vele szerződött biztosítóhoz nyújtotta be. A Kérelmezett1 2021. július 7-én kelt nyilatkozata szerint az ügyfélszolgálat részéről választ adó munkavállaló a Kérelmezett2 munkavállalója volt a hozzáférési kérelem benyújtása idején, aki a Kérelmezettek közötti szerződés folytán a Kérelmezett1 ügyfelei részére is tájékoztatást nyújtott. A Kérelmezett1 nyilatkozata szerint a munkavállaló e-mail címe elsődlegesen a Kérelmezett2, másodlagosan a Kérelmezett1 egyik kapcsolattartási címe is volt. A Kérelmező 2020. július 17-én eljuttatott hozzáférési kérelmére a Kérelmezett2 ezen munkatársa 2020. augusztus 12-én válaszolt, ebben a kérelem pontosítását kérte, amelyet a Kérelmező megadott, majd ezt követően a Kérelmező háromszori érdeklődésre 2020. szeptember 30-án tovább irányította őt a Call centerhez. A Kérelmező 2020. október 5-én maga kereste meg az adatvédelmi tisztviselőt, aki mindkét Kérelmezett adatvédelmi tisztviselője egyben. A Hatóság részére csatolt szerződés 6.1. pontja szerint a megállapodás 2015. május 31-ig maradt hatályban, illetve az abban foglaltak szerint automatikusan meghosszabbodott, majd a 2017. március 31-ét követő hosszabbítást írásbeli megállapodással kellett megkötni. Ilyen további megállapodást a Kérelmezett2 nem csatolt, így a dokumentum vonatkozó tartalmát mivel az a rendelkezésre álló adatok alapján nem hatályos – a Hatóság nem értékelte, helyette az eljárásban tett nyilatkozatokat vette figyelembe. E nyilatkozatok szerint a megnevezett ügyfélszolgálati munkatárs kötelessége lett volna a kérelmet továbbítani a megfelelő szervezeti egység felé, főként miután a kérés pontosítása után észlelte, hogy a kérelem érdemi tartalma nem a biztosítási jogviszony során keletkezett adatokra, hanem az egészségügyi dokumentációra, tehát a Kérelmezett2 által kezelt adatokra irányult. Az adatkezelés érintettjének nem szükséges ismernie a gazdasági társaságok közötti jogviszonyokat, az érintetti kérelmek fogadására szolgáló elérhetőségre eljuttatott levele nyomán teendő szervezési intézkedések biztosítása az adatkezelő feladata. Az adatkezelő az, aki megszervezi az adatkezelés folyamatát és kialakítja annak körülményeit. Az adatkezelő legfontosabb jellemzője az, hogy érdemi döntéshozatali jogkörrel rendelkezik, és felelősséggel tartozik az adatkezelés valamennyi, az általános adatvédelmi rendeletben rögzített kötelezettség teljesítéséért.

Az Adatvédelmi Munkacsoport az „adatkezelő" és az „adatfeldolgozó" fogalmáról szóló 1/2010. számú véleményében szintén kifejtette, hogy „Végső soron a vállalatot vagy szervet kell felelősnek tekinteni az adatfeldolgozásért és az adatvédelmi jogszabályokból eredő kötelezettségekért, kivéve, ha egyértelmű elemek utalnak arra, hogy egy természetes személy a felelős. [...] Azonban az ilyen esetekben is, amikor konkrét természetes személyt neveznek ki, hogy biztosítsa az adatvédelmi elvek betartását vagy hogy személyes adatokat dolgozzon fel, ez a személy nem lesz adatkezelő, hanem annak a jogi személynek (vállalatnak vagy köztestületnek) a nevében jár el, amely adatkezelői minőségében továbbra is felelős az alapelvek megsértése esetén." Az ügyintézői hiba esetében is az adatkezelő viseli a felelősséget.

Bár a nyilatkozat szerint a munkavállaló e-mail címe a Kérelmezett1 egyik kapcsolattartási címe is volt, a munkavállaló a Kérelmezett2 alkalmazottja volt, a munkavállaló megfelelő utasításokkal való ellátása a Kérelmezett2 kötelezettsége volt.

Mindezek alapján az esettel összefüggő jogsértés is a Kérelmezett2, mint adatkezelő felelősségi körébe esik. A GDPR 25. cikke megköveteli, hogy az adatkezelő az adatkezelés teljes folyamata során megfelelő technikai és szervezési intézkedéseket hajtson végre annak biztosítására, hogy az érintetti jogérvényesítési kérelmek kezelése során az érintetti jogérvényesítést biztosítsa.

A Kérelmező 2020. július 17-i és 2020. augusztus 12-én pontosított kérelmére a Kérelmezett2 egy hónapon belül nem válaszolt, az intézkedés elmaradása az általános adatvédelmi rendelet 12. cikk (4) bekezdésébe ütközött, és ezzel megsértette a Kérelmező hozzáférési jogát is. IV.3. A másolatokért felszámítandó díj A Kérelmezett2 díjfizetéshez kötötte a kért egészségügyi dokumentáció másolatának biztosítását, a Hatóság a kérelemnek megfelelően ennek jogszerűségét vizsgálta. A Kérelmezett2 nyilatkozatához mellékelt Lelet kiadás c. dokumentum szerint: ”3.1.3 Díjak Minden olyan esetben ingyenes az első leletkikérés (akár papíralapon, akár röntgenfelvétel adathordozón), amikor az adott vizsgálatra vonatkozóan az ügyfél nem kapta korábban kézhez a leletet, vagy az nincs elérhetővé téve a […] online felületén. Azoknál a vizsgálatoknál, ahol a leletet korábban már kézhez kapta (pl. szakorvosi vizsgálat végén az orvos által kiadott vizsgálati eredmény), fizetnie kell az ügyfélnek a leletmásolatért (ld. részletesen 3.2 pontban). 3.2 Leletmásolat kérése 3.2.1 Díja Amikor az ügyfél olyan vizsgálatról kér leletkiadást, amelyekre vonatkozóan a leletet korábban már kézhez kapta (papíron vagy röntgenfelvételt adathordozón) vagy a […] felületen regisztrált és ott elérhető volt számára akkor a korábban kiadott leletek újbóli kiadásáért adminisztrációs díjat kell fizetnie. A digitális röntgenfelvételek kiadásakor azok CD-re írásáért másolási díjat számítunk fel. Az ügyfelet előzetesen tájékoztatjuk a befizetendő összegről, és a díj befizetése után juttatjuk el részére a kért dokumentációt. Az ügyfelet tájékoztatni kell személyes átvételi igény esetén, hogy amennyiben a kért leletmásolatokat az ügyfél kiértesítésétől számított 30 napon belül nem veszi át, az előre befizetett adminisztrációs díjat nem térítjük vissza.” Az általános adatvédelmi rendelet kifejezetten az adatkezelés érintettje jogainak gyakorlását részletezi. Ennek keretében mondja ki a 15. cikkben, hogy az érintett jogosult az adataihoz hozzáférni, és mondja ki a 15. cikk (3) bekezdésében, hogy az érintetti kérelemre kiadott adatok első másolata díjmentes, majd a további másolatokért számítható fel költség. A Hatóság álláspontja az, hogy az ágazati jogszabály, jelen esetben az Eütv. alapján a szolgáltató kötelességeként fennálló leletkiadás független az általános adatvédelmi rendeletben rögzített érintetti joggyakorlástól, a leletnek az ágazati előírás alapján történt kézhez vétele semmilyen formában nem minősül adatvédelmi érintetti joggyakorlásnak. Így amikor az érintett, az egyébként akár birtokában lévő leletről az adatkezelőtől első alkalommal másolatot kér, az adatkezelő az érintetti joggyakorlás során nem hivatkozhat arra, hogy a lelet az adatalany részére az ágazati előírás alapján már kiadásra került. A Hatóság álláspontja szerint nem lehet az általános adatvédelmi rendelet további másolatra vonatkozó rendelkezését hivatkozni, és az ágazati szabály alapján kiadott leletet már eleve másolatnak tekinteni arra hivatkozással, hogy a lelet eredeti példányát a szolgáltató köteles az Eüak. alapján őrizni – így a beteg a lelet kézhezvételekor eleve már másolatot kap, tehát az újabb példány már „további másolatnak” minősül –, mivel a lelet ily módon történő, és a beteg részére egyébként első alkalommal történő biztosítása az ágazati előírás szerinti kötelezettség teljesítése, és nem az adatkezelés érintettjének biztosított jogérvényesítés során történt cselekmény. A beteg tehát az ellátás végén jogosult az Eütv. alapján kézhez venni a betegségéről, kezeléséről kiállított dokumentumot, az ambuláns lapot, vagy a zárójelentést, ennek biztosításával a szolgáltató az egészségügyi szolgáltatókra vonatkozó speciális előírásnak tesz eleget. A szolgáltató ezen kötelezettségét és a beteg ezen jogát az Eütv. azonos megfogalmazással rögzíti. Amennyiben az érintett ezt követően kíván az adatkezelőtől az általános adatvédelmi rendelet 15. cikke alapján hozzáférést gyakorolni, és ezúton a személyes adatait tartalmazó dokumentációról másolatot igényelni, akkor az adatkezelőnek az általános adatvédelmi rendelet érintetti joggyakorlásra vonatkozó szabályainak megfelelően kell eljárnia, és a teljesítés lehetőségét vagy korlátait vizsgálnia, ekkor azonban az Eütv. vonatkozó szabályai már nem relevánsak. Az adatkezelő egészségügyi szolgáltatónak a hozzáférési kérelem teljesítésekor azt kell vizsgálnia, hogy az érintett azonos adattartalomra vonatkozóan nyújtott-e már be kérelmet, és a költség meghatározását vagy a költségmentességet ennek alapján megítélni. Az általános adatvédelmi rendelet 15. cikk (3) bekezdésének megfogalmazása szerint az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Mivel a következő mondat szerint a további másolatokért kérhető díj, az első – adatkezelés érintettje által történt érintetti joggyakorlás során kért – másolat ebből következően díjmentes. Mivel a Kérelmező a betegbiztosítási szerződése megszűnését követően, az általános adatvédelmi rendelet kötelező alkalmazása óta első ízben nyújtott be az adatai másolatára vonatkozó igényt, a Kérelmezett2 az adatok másolatának költségmentes biztosítására lett volna köteles. A másolat biztosításának módja tekintetében szükséges elemezni a hozzáférési jog szabályozását.

Az általános adatvédelmi rendelet alkalmazása előtti szabályozás szerint az érintett az Eütv-ben a betegjogi cím alatt részletezett módon és az Eüak-ban foglaltak alapján volt jogosult az egészségügyi dokumentáció másolatának igénylésére – és ez a rendelkezés is elkülönült attól, hogy az ellátás végén az ambuláns lapot, zárójelentést egyébként kézhez vette –, és ettől függetlenül illették meg az Infotv-ben szabályozott adatkezelési érintetti jogok a tájékoztatásra vonatkozóan. Az Infotv. az érintett tájékoztatása során nem írta elő a kezelt adatok másolata kiadásának kötelezettségét, míg az egészségügyi ágazati szabályozás ezt biztosította az érintett részére. Az általános adatvédelmi rendelet szabályainak hazai jogharmonizációja során a jogalkotó egybe terelte az eddigi ágazati szabályt és az általános adatvédelmi rendelet által biztosított hozzáférési és másolatkérési jogot, így a dokumentációról való másolat biztosítása során kizárólag az általános adatvédelmi rendelet szabályai alkalmazandóak. Ezt indokolta, hogy az általános adatvédelmi rendelet (63) preambulum-bekezdése is megfogalmazza, miszerint a hozzáférési jog „magában foglalja az érintett jogát arra, hogy az egészségi állapotára vonatkozó személyes adatokhoz - mint például a diagnózis, a vizsgálati leletek, a kezelőorvosok véleményei, valamint a kezeléseket és a beavatkozásokat tartalmazó egészségügyi dokumentációk – hozzáférjen”.

A hazai egészségügyi tárgyú szabályozás módosításával az egészségügyi dokumentáció esetében a másolat kérése nem csupán az adatkezelés jogszerűségének ellenőrzéseként, hanem kvázi betegjogként jelenik meg. Ez utóbbi azért lényeges, mert a hozzáférési jog gyakorlója gyakorolhatja e jogát az általános hozzáférési cél okán, tehát hogy valamely adatkezelési körülmény jogszerűségéről meggyőződjön, ugyanakkor egészségügyi dokumentáció esetében – az ágazati szabály hatályon kívül helyezésével – a dokumentáció másolatának igénylésekor az igénylés célja általában nem az adatkezelésnek az ellenőrzése, hanem az érintettnek a rá vonatkozó adatoknak, iratoknak a birtokba vétele, ami betegjogként fogalmazódik meg. Éppen ezért a Hatóság álláspontja szerint az egészségügyi dokumentációhoz való hozzáférés biztosítása, többféleképpen teljesíthető, figyelembe véve az adatkérés, mint hozzáférés lehetséges célját. Az egészségügyi szolgáltató köteles a törvényben meghatározott adatokat, leleteket, eredményeket az Elektronikus Egészségügyi Szolgáltatási Térbe (EESZT) feltölteni, amely az állam által üzemeltetett rendszer. Az EESZT rendszeréhez minden érintett külön eljárásrend és intézkedés útján férhet hozzá, mivel a hozzáférés a Kormányablaknál történő személyes megjelenéssel kezdeményezett azonosítási szolgáltatás útján lehetséges. A Hatóság álláspontja szerint bármely egészségügyi szolgáltató a hozzáférés teljesítésekor hivatkozhat arra, tájékoztathatja az érintettet arról, hogy a kért iratok az érintett számára ebből a forrásból elérhetőek. A Hatóság álláspontja ugyanakkor az, hogy ez a lehetőség kizárólag akkor áll fenn, ha a szolgáltató meggyőződik arról, hogy az érintett rendelkezik az EESZT-hez való hozzáféréssel, az általa igényelt iratok ott maradéktalanul elérhetőek, valamint az érintett az EESZT útján való hozzáférést az erre irányuló tájékoztatás után nem kifogásolja. Amennyiben az érintett ezen tájékoztatás ellenére papír alapú másolatot kér, a másolat kiadását nem lehet részére megtagadni, mivel az általános adatvédelmi rendelet 12. cikk (3) bekezdésének utolsó monda szerint az érintett kérhet mást is, mint a kérelem elektronikus úton való teljesítését. Az általános adatvédelmi rendelet (63) preambulum-bekezdése rögzíti, miszerint ”ha lehetséges, az adatkezelő távoli hozzáférést biztosíthat egy biztonságos rendszerhez, amelyen keresztül az érintett a saját személyes adataihoz közvetlenül hozzáférhet”. A Hatóság álláspontja szerint jelen vizsgált esetben az egészségügyi dokumentációnak a Kérelmezett2 […] rendszere – mint általa üzemeltetett rendszer – útján történő elérhetősége, a hozzáférés teljesítése fenti követelményeinek figyelembe vételével nem kifogásolható. Mindemellett azonban, ha felmerül, és a hozzáférési kérelemből kitűnik, hogy az érintett kifejezetten azért kéri az egészségügyi szolgáltatótól a másolatot, mert kétsége merül fel valamely dokumentum valamely adatával szemben, tehát nem a dokumentációt érintő, az előzőkben részletezett betegjogát kívánja gyakorolni, hanem kifejezetten a szolgáltató birtokában lévő iratot kérvényezi, számára a másolat közvetlenül biztosítandó, hiszen ekkor a hozzáférés gyakorlásának célja a fent idézettek szerint az adatkezelés jogszerűségének ellenőrzése, amelynek során az adatkezelőnek a birtokában lévő adatról kell másolatot biztosítania. Az előzőkben kifejtett, a hozzáférés céljának megítélése kizárólag a hozzáférés teljesítésének módja keretében releváns, és az nem érinti az általános adatvédelmi rendeletben foglalt egyéb követelmények érvényesülését, mint az első másolat költségmentességének biztosítása, vagy a 12. cikkben foglalt intézkedések megtétele.

Jelen ügyben a feltárt tényállás szerint a Kérelmező a teljes egészségügyi dokumentációját kérelmezte abból a célból, hogy azt más szolgáltató igénybevételekor annak bemutathassa, a megfogalmazása szerint „minden leletemet és minden rólam tárolt személyes információt ki szeretnék kérni, hogy tovább tudjam vinni. Igazából eddig erre nem volt szükség, mert mindig Önökhöz jártam és így a múlt béli adatok elérhetőek voltak az aktuális vizsgálatok során és így esetleges tendenciák, változások jól nyomon követhetőek voltak. De akkor ennek most vége, ezért más orvoshoz megyek, akkor szeretném magammal vinni az egész múltat.”. A kérés részletezéséből kitűnik, hogy a Kérelmező célja nem az adatkezelés jogszerűségének ellenőrzése volt esetleges további érintetti jogok – helyesbítés, törlés gyakorlása érdekében, hanem az előadottak a Hatóság álláspontja szerint azt jelentik, hogy ebben az esetben az adatkérés célja a másolatnak a saját birtokába kerülése, mint betegjognak a gyakorlása volt. A Kérelmezett2 a dokumentáció elérésének biztosítására saját elektronikus rendszerrel rendelkezik, amely rendszerbe a Kérelmező regisztrációval rendelkezik, ahhoz saját jelszóval hozzáfér, a rendszerből bizonyos adatok, dokumentumok letölthetőek, és a kinyert adatok nyomtatása sem korlátozott, amely az általános adatvédelmi rendelet (63) preambulumbekezdésében vázolt teljesítési módnak eleget tesz. A fentieknek megfelelően a Hatóság a Kérelmezőnek a […] rendszerben elérhető adatait a hozzáférés tekintetében teljesítettnek minősíti. Ezen adatkör a Kérelmezett2 nyilatkozata alapján a laborvizsgálati leletek, az MRI, UH és röntgen vizsgálatok leletei. Amennyiben a Kérelmező által gyakorlandó hozzáférés korlátja az, hogy a rendszerhez technikai okok miatt nem fér hozzá (példának okáért jelszavát kellő időben nem frissítette), ebben az esetben a Kérelmezett2-nek megfelelő segítséget kell nyújtani a Kérelmező részére az adatai elérése érdekében. Továbbá a fent kifejtettek alapján, ha a rendszerben való elérés ellenére a Kérelmező a dokumentumok másolatát igényelné, részére azt az általános adatvédelmi rendelet idézett szabálya szerint térítésmentesen biztosítani kell. A Kérelmezett2 nyilatkozata szerint a […] rendszerben nem érhetőek el a Kérelmező szakorvosi vizsgálatairól készült egyéb leletek. Ezen adatok tekintetében a Kérelmezett2 a másolat kiadására köteles, amit ezidáig nem teljesített a Kérelmező részére. A fent kifejtettek értelmében – mivel a Kérelmező az általános adatvédelmi rendelet 2018. május 25-ét követő alkalmazása óta első alkalommal nyújtott be érintetti hozzáférési kérelmet az iratokra vonatkozóan – ezen iratok biztosítására díj felszámítása nélkül köteles, akár elektronikus, akár papír formátumban. A fentiekre tekintettel a Hatóság a határozat rendelkező részének I.1. pontja szerint megállapította az általános adatvédelmi rendelet 15. cikk (3) bekezdésének sérelmét, és az I.2 pontban az általános adatvédelmi rendelet 58. cikk (2) bekezdés c) pontja alapján utasította a Kérelmezettet arra, hogy a Kérelmező érintetti kérelmét az indokolásban kifejtetteknek megfelelően teljesítse. IV.4. A Kérelmezett2 szabályzatának és egyéb érintettekkel kapcsolatos gyakorlata vizsgálata a Kérelmező kérelme alapján A Kérelmező kérelmének egy része arra irányult, hogy a Hatóság utasítsa a Kérelmezett2-t a belső szabályzatok módosítására, és vizsgálja ki, hogy bárkitől korábban ilyen jogcímen kértek-e be díjat.

A kérelem ezen részei nem minősülnek érintetti kérelemnek, így erre vonatkozó kérelmes eljárás sem folytatható. Az adatkezelőnek az általános adatkezelési gyakorlata a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen – a közérdek érvényesítésének körébe eső eljárás tekintetében a Kérelmező nem minősül ügyfélnek az Ákr. 10. § (1) bekezdése alapján, illetve – mivel az Ákr. 35. § (1) bekezdésének nem felel meg, e vonatkozásban kérelem benyújtásának nincs helye. A fentiekre tekintettel a Hatóság a rendelkező rész szerint a kérelem ezen általános gyakorlatra irányuló részében az Ákr. 46. § (1) bekezdés a) pontja és az Ákr. 47. § (1) bekezdés a) pontja alapján megszüntette az eljárást. IV. 5. A költségek viselése A Hatóság az Ákr. alapján az általa folytatott eljárás során felmerült költségek viseléséről rendelkezhet, ilyet a Kérelmező nem igazolt, így az ügyre fordított saját óráinak megtérítése iránti kérelme végzéssel elutasításra került.

V. Jogkövetkezmények:

V.1. A Hatóság a Kérelmező kérelmének részben helyt ad és a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja Kérelmezett2-t, mert megsértette az általános adatvédelmi rendelet 12. cikk (4) bekezdését és a 15. cikk (3) bekezdését.

A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés c) pontja alapján utasítja Kérelmezett2-t, hogy díjmentesen teljesítse a Kérelmező hozzáférési kérelmét a Kérelmezett2 rendszerében el nem érhető adatok vonatkozásában.

V.2. A Hatóság megvizsgálta, hogy indokolt-e a Kérelmezett2-vel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a bírság kiszabása lenne szükséges, és a Kérelmezett által elkövetett jogsértés az általános adatvédelmi rendelet 83. cikk (5) bekezdés b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősül, mivel az az érintetti jog sérelmével járt. A bírság kiszabása indokolt lenne figyelemmel arra is, hogy a jogsértés különleges adatot érintett, a Kérelmezett eljárása az érintetti joggyakorlást nehezítette oly módon, hogy az a Kérelmezőre anyagi terhet rótt volna, a Kérelmezett az érintetti jogérvényesítést szabályozott módon korlátozta, a GDPR 15. cikk (3) bekezdésébe ütköző díjszabás a rendszeres gyakorlatát jelenti a leletkiadási szabályzat 2019. 06. 12-i hatálybalépése óta, és az érintetti hozzáférési kérelemnek a jogsértéssel megállapított módon való teljesítése a Kérelmezett2nek többezer forintos bevételt eredményezett volna. Ugyanakkor, mivel a Hatóság az Infotv-ben meghatározott eljárási határidőt jelentősen túllépte, illetve a Kérelmezettet általános adatvédelmi rendelet megsértése miatt nem marasztalta el a jelen határozat keltéig, a bírság kiszabásától eltekint. A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött. V.3. A Hatóság az eljárás során túllépte az Infotv. 60/A § (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján 10.000, - Ft, - azaz tízezer forint illeti a Kérelmezőt – választása szerint – bankszámlára utalással vagy postai utalvánnyal.

VI. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

A döntés az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat és a végzés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. § (1) és (2) bekezdése, valamint 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a rendelkező rész I. pont szerinti határozattal és a rendelkező rész II. pont szerinti végzéssel szemben közigazgatási per útján van helye jogorvoslatnak.

A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettségek teljesítését a kötelezett ügyfél megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettségeket határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja.

Kelt Budapest, az elektronikus aláírás szerint

Dr. Péterfalvi Attila elnök c. egyetemi tanár