Hungarian Data Protection Authority (NAIH): processing of health data in connection with the termination of a civil servant’s employment relationship and refusal of access thereto

……………………………………………………………………………………...…………… 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-3414-12/2021 Tárgy: kérelemnek részben helyt adó határozat

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt […] kérelmező ([…]; a továbbiakban: Kérelmező) által a […] ([…]., a továbbiakban: Kérelmezett) szemben a Kérelmező személyes adataihoz való hozzáférés tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

I. A Hatóság Kérelmező kérelmének részben helyt ad és megállapítja, hogy a Kérelmezett jogszerű indok nélkül tagadta meg a Kérelmező hozzáférési kérelmének teljesítését. Ezzel a Kérelmezett megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 12. cikk (4) bekezdését és 15. cikk (3) bekezdését.

II. A Hatóság a Kérelmező kérelmének részben helyt ad és megállapítja, hogy a Kérelmezett nem adott a Kérelmező jogviszonya megszűnésével kapcsolatban kezelt adatokra vonatkozó teljes körű tájékoztatást, ezzel megsértette az általános adatvédelmi rendelet 14. cikkét.

III. A Hatóság utasítja a Kérelmezettet, hogy adjon a Kérelmező részére a jogviszonya megszűnésével kapcsolatban kezelt adatokra vonatkozó teljes körű tájékoztatást, hogy az adatokat milyen címzetti kör ismerte meg, ismerheti meg és azokat a Kérelmezett milyen jogcímen, hogyan és meddig kezeli, figyelemmel a közszolgálati jogviszonya megszűnése idején hatályos jogszabályokra.

IV. A Hatóság utasítja a Kérelmezettet, hogy teljesítse Kérelmező hozzáférési kérelmét másolat formájában a Kérelmező berendelési kérelme és az arra adott válasz vonatkozásában.

V. A Hatóság elutasítja a Kérelmező azon kérelmét, hogy a Hatóság állapítsa meg, miszerint a Kérelmezett megsértette a Kit. 173. §-át, a 175. § (3) bekezdését, a 177. § (3) bekezdés d) pontját, és a Kérelmezőnek az adatkezelés korlátozásához való jogát.

VI. A Hatóság elutasítja a Kérelmező azon kérelmét, hogy a Hatóság állapítsa meg, miszerint az adatokat a Kérelmezett jogellenesen továbbította a Közszolgálati Döntőbizottság részére.

VII. A Hatóság elutasítja a Kérelmező azon kérelmét, hogy utasítsa a Kérelmezettet

a) tartós külszolgálati és kormányzati szolgálati jogviszonya megszűnésével kapcsolatban keletkező valamennyi, személyes és különleges, ideértve az egészségügyi adatokat tartalmazó iratok részére mint érintett részére történő megküldésére, b) különösen, de nem kizárólagosan adja ki részére a 2020. március 24. napján […]ból érkezett […] számú scriptament iratot, valamint […], […] és […] levélváltását tartalmazó, a Kérelmező közszolgálati jogviszonya megszüntetésére vonatkozó, azt közvetlenül megelőző e-mailjeit, amelyre a Személyügyi Főosztály hivatkozik a 2020. március 31-i keltezésű iratban. VIII. Az I. és II. pontban megállapított jogsértés miatt a Hatóság a Kötelezettet a jelen határozat véglegessé válásától számított 30 napon belül

600 000 Ft, azaz hatszázezer forint adatvédelmi bírság megfizetésére kötelezi. A III. és IV. pontban előírt intézkedés végrehajtásáról, az intézkedés megtételétől számított 15 napon belül – az azt alátámasztó bizonyítékok csatolásával együtt - értesítenie kell a Hatóságot. A bírságot a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-3414/2021. BÍRS. számra kell hivatkozni. Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg.

A III. és IV. pont szerinti kötelezettség, illetve a VIII. pont szerinti bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását.

A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan,1 amely azt az ügy irataival együtt továbbítja a bíróságnak. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. Az Infotv. 61. § (6) bekezdése értelmében a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

I N D O K O L Á S

I. Az eljárás menete és a tényállás tisztázása:

I.1. A Kérelmező 2021. március 11-én kérelmet nyújtott be a Hatósághoz, amelyben előadta, hogy 2018. július 25. napjától kezdődően a Kérelmezett állományában Magyarország

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program ( ÁNYK program) alkalmazásával tölthető ki.

Nagykövetségén […]-ban teljesített tartós külszolgálatot mint […] attasé. A Kérelmezett 2020. március 26. napján kelt határozatával, 2020. március 24. napjára visszamenőleges hatállyal a kihelyezése visszavonásával megszüntette tartós külszolgálati és kormányzati jogviszonyát. A Kérelmezett vonatkozó döntése ellen a Kérelmező a Közszolgálati Döntőbizottságnál (a továbbiakban: KD) 2020. április 21. napján panaszt terjesztett elő, amelyben részletesen kifejtette és megindokolta, miért tartja jogszerűtlennek a Kérelmezett döntését. A KD eljárása során a Kérelmezett olyan, kizárólag a Kérelmezett által használt és ismert belső iratot tárt fel, amely a Kérelmező személyes adatai mellett különleges – egészségi állapotára vonatkozó – adatokat is tartalmazott, és amelyek létezéséről egyáltalán nem rendelkezett tudomással. A Kérelmező a panaszeljárás során felhasznált dokumentumot a kérelemhez mellékelte. Az irat 2020. március 31-én kelt, „[…] berendelési ügye” címet viseli. Ennek tartalma szerint „a táviratban jelezte – amelyet később telefonon is megerősített –, hogy a kolléga 03.23-án furcsa mentális zavarodottságról tett tanúbizonyságot, azt fejtegette a nagykövetségi kollégáknak, hogy a koronavírus egy mesterséges intelligencia által működtetett globális támadás és mindannyian veszélyben vagyunk. Az id. ügyvivő ezt telefonon jelezte […] főov. úrnak.[…] Elmesélte, hogy a kolléga nagyon zavarodott volt, földön kívüliek támadásának vélte a koronavírust. Azt taglalta a kollégáknak, hogy először a repülőjáratok, aztán a tömegközlekedés fog leállni, aztán az internet és a telefon és mindenki meg fog halni, mert az idegenek elpusztítják a Földet. Ezt ők nem fogják a feleségével és a gyerekével ott […]ban megvárni, inkább hazajön a családjával a szüleihez, mert itthon a szerettei körében szeretne meghalni. Azt kérte id. ügyvivő asszonytól, hogy erről a támadásról értesítsék a Magyar Kormányt és Miniszterelnök Urat is, mert tudniuk kell arról, mi vár a világra. […] Azt mondja, vállalja tettei következményeit, de ő maga sem tudja, mi történt kint vele. A félelem és a kétségbeesés késztette arra, hogy hazautazzon, azt mondta, hogy tisztában van azzal, hogy szüksége van egy pszichológus szakember segítségére, elmondása szerint most tisztult ki a fejében a kép és nem tudja megmagyarázni a történteket.” Ezen belső irat kivonata úgy került becsatolásra, hogy a Kérelmező nem ismerte a dokumentum teljes tartalmát, és arról sem volt tudomása, hogy a Kérelmezett ezt az eljárásban bizonyítékként kívánja felhasználni. Emellett a Kérelmezett a hivatali e-mailjeihez való hozzáféréséről is letiltotta, ezzel korlátozva a jogorvoslathoz való jogát és személyes adataihoz való hozzáférését. A Kérelmező a KD eljárása során többször kérte a KD-t, hogy szólítsa fel a Kérelmezettet a teljes irat kiadására, ám ezt a kérést a KD indokolás nélkül mellőzte. Erre vonatkozó dokumentumokat a Kérelmező a kérelemhez nem csatolt. A Kérelmező álláspontja szerint ennek eredményeként nem volt lehetősége megismerni a KD és a Kérelmezett által róla kezelt adatokat. A kérelem szerint a Kérelmezett nem tájékoztatta a Kérelmezőt arról, hogy jogviszonya megszüntetése után milyen további adatokat kezel a jogviszonyával összefüggésben és mennyi ideig. Álláspontja szerint ezzel a Kérelmezett megsértette az előzetes tájékoztatáshoz való jogát. Ezt követően külön, közvetlenül a Kérelmezetthez címzett e-mailben is kérte a Kérelmező az iratmásolat részére történő kiadását (2020. szeptember 2-án és 2020. szeptember 11-én), de azt a Kérelmezett két alkalommal (2020. szeptember 9-én és 2020. szeptember 14-én), álláspontja szerint megfelelő indokolás nélkül megtagadta. A Kérelmezett hivatkozott a Kit. 115. § (2) bekezdésére, a 175. § (3) bekezdés a) pontjára, a 177. § (3) bekezdésére, illetve hivatkozott az általános adatvédelmi rendelet 15. cikk (4) bekezdésére, ami alapján a köztük folyamatban lévő jogvitás eljárásban a Kérelmezett „jogait hátrányosan érintheti” a másolat kiadása. A Kérelmező a levelezés másolatát a kérelméhez csatolta. Eredménytelen egyeztetések után a Kérelmező keresetet nyújtott be a Fővárosi Törvényszékre a KD határozatának bírósági felülvizsgálata érdekében, amely per jelen eljárásra vonatkozó kérelem benyújtásakor [...] ügyszámon folyamatban volt. A bíróság az eljárás során kötelezte a Kérelmezettet a fent bemutatott irat teljes terjedelmű kiadására, így az teljes terjedelmében hozzáférhetővé vált a Kérelmező számára. Emellett ekkor derült ki, hogy a Kérelmezett más belső iratokat is készített, amelyekről a Kérelmezőnek nem volt tudomása, azokat részére nem küldték meg, ugyanakkor a Kérelmező álláspontja szerint ezen iratok alapján szüntette meg kormányzati szolgálati jogviszonyát a Kérelmezett. Ennek révén nem volt lehetősége megfelelő mértékben tájékozódni a jogviszonya megszüntetésének indokairól, tovább arról sem, hogy a Kérelmezett milyen iratokat kezel róla. Álláspontja szerint a Kérelmezett jogsértő módon nem tájékoztatta a személyes iratai kapcsán az iratok létezéséről, és a Kérelmezett által kezelt adatok köréről sem. A Kérelmezett a vonatkozó iratok kiadását részére külön, többszöri kérése ellenére megtagadta és a KD-vel tudomása és engedélye nélkül megosztotta. A Kérelmezett a Fővárosi Törvényszék által elrendelt kötelező kiadást követően további háttériratokat és számára ismeretlen adatokat gyűjtött és kezelt, amelyekkel kapcsolatban nem volt lehetősége érintetti jogait gyakorolni. Kérelmező álláspontja szerint mindezekkel a Kérelmezett megsértette a GDPR 12-15. cikkeit, a Kit. 173., 175. § (3) bekezdése és 177. § (3) bekezdés d) pontjait, valamint az az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény 14. § a), b) és d) pontjait. A Kérelmező kérte a Hatóság eljárását a jogsértés orvoslásában, és kérte a Hatóságot, hogy kötelezze a Kérelmezettet a) Tartós külszolgálati és kormányzati szolgálati jogviszonya megszűnésével kapcsolatban keletkező valamennyi, személyes és különleges, ideértve az egészségügyi adatokat tartalmazó iratok részére mint érintett részére történő megküldésére, és a vonatkozó adatokkal kapcsolatos teljeskörű adatvédelmi tájékoztató igazolható módon történő nyújtására; b) Különösen, de nem kizárólagosan adja ki részére a 2020. március 24. napján […]ból érkezett […] számú scriptamnet iratot, valamint […], […] és […] levélváltását tartalmazó, a Kérelmező közszolgálati jogviszonya megszüntetésére vonatkozó, azt közvetlenül megelőző e-mailjeit, amelyre a Személyügyi Főosztály hivatkozik a 2020. március 31-i keltezésű iratban. c) Fentiek mellett adjon külön tájékoztatást, hogy a fenti iratokat és egyéb ügyben keletkezett, számára nem ismertetett iratokat, adatokat milyen címzetti kör ismerte meg, ismerheti meg és azokat a Kérelmezett milyen jogcímen, hogyan és meddig kezeli, figyelemmel a közszolgálati jogviszonya megszűnése idején hatályos jogszabályokra. Álláspontja szerint fentiek teljesítése elengedhetetlen, hogy további jogait (különösen, de nem kizárólagosan jogorvoslati joga, törléshez való joga, stb.) gyakorolni tudja. Súlyosan jogsértőnek tartja, hogy a munkavédelemhez, munkahelyi stresszhelyzethez kapcsolódó és végül a kormányzati szolgálati jogviszony megszűnéséhez vezető adatokat csak mintegy „véletlenül” ismerhette csak meg.

A Kérelmező kérte a Hatóságot, hogy akként szólítsa fel a Kérelmezettet, hogy más kormánytisztviselők, munkavállalók személyes adatait nem tartalmazó (redaktált) változatát küldje meg az adatszolgáltatás teljesítése során. A Kérelmező kérelmére az Infotv. 60. § (1) bekezdése alapján NAIH/2021/3414. ügyszámon 2021. március 12-én adatvédelmi hatósági eljárás indult. I.2. Az eljárás során a Hatóság végzésében nyilatkozattételre szólította fel a Kérelmezettet a tényállás tisztázása érdekében. A Kérelmezett válaszában kifejtette, miszerint álláspontja szerint nem kezel a Kérelmezőről egészségi állapotára vonatkozó személyes adatot a jogviszonya megszűnésével összefüggésben. Ennek igazolására hivatkozta az általános adatvédelmi rendelet 4. cikk 15. pontjában rögzített fogalom-meghatározást, a (35) és (53) preambulum-bekezdést, illetve az egészségügyről szóló 1997. évi CLIV. törvény (Eütv.) 3. §-ának fogalom-meghatározását. Fentiek tükrében megítélésük szerint Magyarország […] Nagykövetségének ideiglenes ügyvivője jelentésében szereplő „furcsa mentális zavarodottságról tett tanúbizonyságot” kijelentése nem vonható az egészségügyi adatok fogalomkörébe, figyelemmel arra, hogy ez egy empirikus megállapításon alapuló vélemény, amely mindenfajta orvosi szakvéleményt vagy megállapítást nélkülöz. Álláspontja szerint a Kérelmezett munkavállalói esetében kizárólag a Kérelmezettel szerződéses jogviszonyban álló egészégügyi szolgáltató (foglalkozás-egészségügyi orvos) jogosult egészségügyi állapotra vonatkozó adatokat kezelni. Kiemelte továbbá, hogy az általános adatvédelmi rendelet 14. cikk (5) bekezdése szerint az (1)-(4) bekezdést nem kell alkalmazni, ha és amilyen mértékben az érintett már rendelkezik az információkkal. Véleménye szerint a Kérelmező pedig nyilvánvalóan rendelkezik az információkkal, tekintettel arra, hogy a berendelési kérelme az érintett irat, amelyet saját maga szerkesztett és juttatott el a Kérelmezetthez, továbbá a berendelési ügyének összefoglaló feljegyzése, amelyet a Fővárosi Törvényszék […] számú ügyben keletkezett jegyzőkönyvében foglalt kötelezettségének eleget téve osztott meg a Kérelmezett. A Kérelmezett kezeli továbbá a Kérelmező jogviszonyának megszűnési okiratát, az általa is aláírt értesítő okiratot (amellyel szintén rendelkezik a Kérelmező), a feladási igazolást a megszüntető okirat kézbesítéséről, valamint a Személyügyi Főosztály berendelő táviratát, amelyet jelen válaszához mellékletként csatolt. A Kérelmező adatainak továbbítása a Közszolgálati Döntőbizottság részére nyilatkozata szerint a Közszolgálati Döntőbizottságról szóló 69/2019. (IV. 4.) Korm. rendelet 11. § (2) bekezdésében foglaltak teljesítése érdekében történt, célja a Kérelmező által indított eljárásban a Kérelmezett érdekeinek védelme, képviselete volt. A Kérelmezett Közszolgálati Döntőbizottság előtt tett nyilatkozata alapján „a kormányzati igazgatási szerv érdeke, melyet nem tehet félre, s köteles védeni, hogy a közszolgálatra vonatkozó jogszabályokat és belső szervezeti szabályokat tiszteletben tartó kormánytisztviselők álljanak alkalmazásában. Emellett megjegyezzük, nem várható el, hogy egy, a hivatali utat megszegő, téves, mások megbotránkoztatására, megtévesztésére alkalmas információkat közlő dolgozójával a kormányzati igazgatási szerv fenntartsa a jogviszonyt, a károk megelőzése érdekében csak az azonnali cselekvés lehetett a megoldás. Az M1 szám alatt csatolt, a Személyügyi Főosztályon készült háttéranyag szerint, panaszos olyan megjegyzéseket tett a […] nagykövetségünk diplomata értekezletén, melyek már önmagukban alkalmasak arra, hogy bizonyítsák, miért volt szükséges azonnal megszüntetni panaszos külszolgálatát a kormányzati igazgatási szerv zavartalan működésének fenntartása érdekében”. A Hatóság kérdésére a Kérelmezett előadta továbbá, hogy a Kérelmező ügyének iratait a munkáltatói jogkört gyakorló közigazgatási államtitkár, a szakmai irányítást gyakorló helyettes államtitkárok, valamint funkcionális feladatellátásuk körében a Személyügyi Főosztály és – a későbbi eljárások okán – a Jogi Főosztály feladatkörükben érintett munkatársai ismerték meg. A kormányzati szolgálati jogviszony megszűnését tartalmazó okirat rendelkezik a jogorvoslati lehetőségekről, egyebekben a Fővárosi Törvényszék […] számú ítéletében is elismerten a Kérelmező jogviszonya nem megszüntetésre került, hanem a külszolgálatából való hazarendelés következtében a kihelyező okiratban foglalt határozott idő lejártával törvény erejénél fogva szűnt meg. Figyelemmel arra, hogy a kommunikáció a Kérelmezett és a Kérelmező között az állomáshely engedély nélküli elhagyása után is folytatódott, a Kérelmező ismeretében volt a jogviszony megszűnéséhez vezető folyamatnak, az azzal összefüggő adatkezelésnek, tekintettel arra is, hogy ezzel kapcsolatos gondolatait nagy plénum előtt adta elő. Végezetül a Kérelmezett tájékoztatta a Hatóságot arról, hogy – mint a fentiekből kitűnik – a Kérelmező több eljárást is indított a Kérelmezett ellen, alapvetően jogviszonya megszűnését kifogásolva. A Fővárosi Törvényszék […] számú elsőfokú ítéletében osztotta a Kérelmezett álláspontját, mikor kifejezte, a „a bíróság szerint sem volt elvárható, hogy egy mentálisan saját magát szinte munkaképtelennek leíró diplomata kirendelését a munkáltató fenntartsa, hiszen a kiküldött diplomaták magát a Magyar Államot képviselik a kiküldetés helyszínén, ezáltal az általuk tanúsított esetleges negatív magatartás, vagy nem megfelelő munkavégzés is az ország negatív megítélését vonhatja maga után. A jogalkotó pontosan ezért tartja fenn a munkáltató esetében a visszahívás mérlegelési lehetőségét, melyet minden kihelyezett (így a felperes) kihelyező okirata egyértelműen tartalmaz”. A Kérelmező érdeklődésére a Hatóság tájékoztatta őt az ügy állásáról, az általa 2021. augusztus 26-án küldött elektronikus levélben megadott ideiglenes lakcímére feladott könyvelt küldeményben, azonban a kézbesítési igazolás 2021. szeptember 28-án „nem kereste” jelzéssel érkezett vissza a Hatósághoz. 2021. november 5-én a Hatóság ismét tájékoztatást küldött a Kérelmező állandó lakcímére címzett levélben, a levél 2021. november 10-én és 2021. november 17-én történt kézbesítési kísérlet után 2021. november 25-én „nem kereste” jelzéssel érkezett vissza a Hatósághoz.

II. Az ügyben alkalmazandó jogszabályi rendelkezések

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó adatkezelésre az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben kiegészítésekkel kell alkalmazni. Az általános adatvédelmi rendelet

4. cikk 1. pontja alapján: „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;

4. cikk 2. pontja alapján: „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;

4. cikk 7. pontja alapján: „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;

4. cikk 11. pont: „az érintett hozzájárulása”: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez.

4. cikk 15.pontja szerint: „egészségügyi adat”: egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról; Az általános adatvédelmi rendelet (35) preambulum-bekezdése értelmében: Az egészségügyi személyes adatok közé tartoznak az érintett egészségi állapotára vonatkozó olyan adatok, amelyek információt hordoznak az érintett múltbeli, jelenlegi vagy jövőbeli testi vagy pszichikai egészségi állapotáról. Ide tartoznak az alábbiak: a természetes személyre vonatkozó olyan személyes adatok, amelyeket az egyénnek a 2011/24/EU európai parlamenti és tanácsi irányelvben említett egészségügyi szolgáltatások céljából történő nyilvántartásba vétel, vagy ilyen szolgáltatások nyújtása során gyűjtöttek, a természetes személy egészségügyi célokból történő egyéni azonosítása érdekében hozzá rendelt szám, jel vagy adat, valamely testrész vagy a testet alkotó anyag - beleértve a genetikai adatokat és a biológiai mintákat is - teszteléséből vagy vizsgálatából származó információk, és bármilyen, például az érintett betegségével, fogyatékosságával, betegségkockázatával, kórtörténetével, klinikai kezelésével vagy fiziológiai vagy orvosbiológiai állapotával kapcsolatos információ, függetlenül annak forrásától, amely lehet például orvos vagy egyéb egészségügyi dolgozó, kórház, orvostechnikai eszköz vagy in vitro diagnosztikai teszt.

Az általános adatvédelmi rendelet (53) preambulum-bekezdése szerint: A különleges kategóriába tartozó, magasabb szintű védelmet igénylő személyes adatokat kizárólag abban az esetben lehet az egészséggel kapcsolatos célokból kezelni, ha az az említett céloknak a természetes személyek és a társadalom egészének érdekében történő eléréséhez szükséges, különösen az egészségügyi és szociális szolgáltatások és rendszerek irányításának összefüggésében, beleértve azt is, amikor az irányító és központi nemzeti egészségügyi hatóságok a következő célokból végzik az ilyen adatok kezelését: minőségellenőrzés, információkezelés, valamint az egészségügyi és szociális rendszer általános országos és helyi felügyelete, továbbá az egészségügyi és szociális ellátás, a határokon átnyúló egészségügyi ellátás, valamint a népegészség-védelem folytonosságának biztosítása, nyomonkövetési és riasztási célok, a közérdekű archiválás céljából, tudományos és történelmi kutatási vagy statisztikai célból közérdekű célt szolgáló uniós vagy tagállami jog alapján, illetve a népegészség területén közérdekből készített tanulmányok céljából. Ebből kifolyólag a sajátos adatkezelési szükségletek tekintetében ebben a rendeletben harmonizált feltételeket kell meghatározni az egészségügyi személyes adatok különleges kategóriáinak kezelésére vonatkozóan, különösen azt illetően, ha ezen adatok kezelését bizonyos egészséggel kapcsolatos célokból olyan személyek végzik, akikre jogszabályban megállapított szakmai titoktartási kötelezettség vonatkozik. Az uniós vagy tagállami jogban rendelkezni kell olyan célzott és megfelelő intézkedésekről, amelyek a természetes személyek alapvető jogainak és személyes adatainak védelmére irányulnak. A tagállamok további feltételeket - például korlátozásokat - tarthatnak hatályban, illetve vezethetnek be a genetikai adatok, a biometrikus adatok és az egészségügyi adatok kezelésére vonatkozóan. Ez azonban nem akadályozhatja a személyes adatok Unión belüli szabad áramlását azokban az esetekben, amikor az említett feltételek az ilyen adatok határokon átnyúló kezelésére vonatkoznak. Az általános adatvédelmi rendelet (60) preambulum-bekezdése értelmében: „A tisztességes és átlátható adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljairól. Az adatkezelő olyan további információt is az érintett rendelkezésére bocsát, amelyek a tisztességes és átlátható adatkezelés biztosításához szükségesek, figyelembe véve a személyes adatok kezelésének konkrét körülményeit és kontextusát. […]” Az általános adatvédelmi rendelet (61) preambulum-bekezdése alapján: „Az érintettre vonatkozó személyes adatok kezelésével összefüggő tájékoztatást az adatgyűjtés időpontjában kell az érintett részére megadni, illetve ha az adatokat nem az érintettől, hanem más forrásból gyűjtötték, az ügy körülményeit figyelembe véve, észszerű határidőn belül kell rendelkezésre bocsátani. Ha a személyes adatok jogszerűen közölhetőek más címzettel, a címzettel történő első közléskor arról az érintettet tájékoztatni kell. Ha az adatkezelő a személyes adatokat a gyűjtésük eredeti céljától eltérő célból kívánja kezelni, a további adatkezelést megelőzően az érintettet erről az eltérő célról és minden egyéb szükséges tudnivalóról tájékoztatnia kell. Ha az adatkezelő nem tud tájékoztatást nyújtani az érintett részére a személyes adatok eredetéről, mivel azok különböző forrásokból származnak, általános tájékoztatást kell adni.” Az általános adatvédelmi rendelet (63) preambulum-bekezdése értelmében: „Az érintett jogosult, hogy hozzáférjen a rá vonatkozóan gyűjtött adatokhoz, valamint arra, hogy egyszerűen és észszerű időközönként, az adatkezelés jogszerűségének megállapítása és ellenőrzése érdekében gyakorolja e jogát. Ez magában foglalja az érintett jogát arra, hogy az egészségi állapotára vonatkozó személyes adatokhoz - mint például a diagnózis, a vizsgálati leletek, a kezelőorvosok véleményei, valamint a kezeléseket és a beavatkozásokat tartalmazó egészségügyi dokumentációk - hozzáférjen. Ezért minden érintett számára biztosítani kell a jogot arra, hogy megismerje különösen a személyes adatok kezelésének céljait, továbbá ha lehetséges, azt, hogy a személyes adatok kezelése milyen időtartamra vonatkozik, a személyes adatok címzettjeit, azt, hogy a személyes adatok automatizált kezelése milyen logika alapján történt, valamint azt, hogy az adatkezelés - legalább abban az esetben, amikor az profilalkotásra épül - milyen következményekkel járhat, továbbá hogy minderről tájékoztatást kapjon. Ha lehetséges, az adatkezelő távoli hozzáférést biztosíthat egy biztonságos rendszerhez, amelyen keresztül az érintett a saját személyes adataihoz közvetlenül hozzáférhet. Ez a jog nem érintheti hátrányosan mások jogait és szabadságait, beleértve az üzleti titkokat vagy a szellemi tulajdont, és különösen a szoftverek védelmét biztosító szerzői jogokat. Ezek a megfontolások mindazonáltal nem eredményezhetik azt, hogy az érintettől minden információt megtagadnak. Ha az adatkezelő nagy mennyiségű információt kezel az érintettre vonatkozóan, kérheti az érintettet, hogy az információk közlését megelőzően pontosítsa, hogy kérése mely információkra vagy mely adatkezelési tevékenységekre vonatkozik.” Általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pont szerint : „A személyes adatok: a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”);

b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”)”.

Az általános adatvédelmi rendelet 6. cikk (1) bekezdése szerint „a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a)az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b)az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d)az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e)az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre”. Az általános adatvédelmi rendelet 12. cikke alapján: (1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát.

(2) Az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani.

(3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri.

(4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.

(5) A 13. és 14. cikk alapján rendelkezésre bocsátott információkat és a 15-22. és 34. cikk alapján végzett minden tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy - különösen ismétlődő jellege miatt túlzó, az adatkezelő:

a) a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségek figyelembevételével észszerű összegű díjat számíthat fel, vagy b) megtagadhatja a kérelem alapján történő intézkedést. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli. Általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdés: „(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét: a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.” Az általános adatvédelmi rendelet 14. cikke szerint:

(1) Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat:

a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei;

b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) az érintett személyes adatok kategóriái;

e) a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozás.

(2) Az (1) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat:

a) a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

b) ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről;

c) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga;

d) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;

e) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; f) a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e; és g) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

(3) Az adatkezelő az (1) és (2) bekezdés szerinti tájékoztatást az alábbiak szerint adja meg:

a) a személyes adatok kezelésének konkrét körülményeit tekintetbe véve, a személyes adatok megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül;

b) ha a személyes adatokat az érintettel való kapcsolattartás céljára használják, legalább az érintettel való első kapcsolatfelvétel alkalmával; vagy c) ha várhatóan más címzettel is közlik az adatokat, legkésőbb a személyes adatok első alkalommal való közlésekor.

(4) Ha az adatkezelő a személyes adatokon a megszerzésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról.

(5) Az (1)-(4) bekezdést nem kell alkalmazni, ha és amilyen mértékben: a) az érintett már rendelkezik az információkkal; b) a szóban forgó információk rendelkezésre bocsátása lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne, különösen a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, a 89. cikk (1) bekezdésében foglalt feltételek és garanciák figyelembevételével végzett adatkezelés esetében, vagy amennyiben az e cikk (1) bekezdésében említett kötelezettség valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezen adatkezelés céljainak elérését. Ilyen esetekben az adatkezelőnek megfelelő intézkedéseket kell hoznia az információk nyilvánosan elérhetővé tételét is ideértve - az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében;

c) az adat megszerzését vagy közlését kifejezetten előírja az adatkezelőre alkalmazandó uniós vagy tagállami jog, amely az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik; vagy d) a személyes adatoknak valamely uniós vagy tagállami jogban előírt szakmai titoktartási kötelezettség alapján, ideértve a jogszabályon alapuló titoktartási kötelezettséget is, bizalmasnak kell maradnia.

Az általános adatvédelmi rendelet 15. cikke alapján: „Az érintett hozzáférési joga (1) Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:

a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;

d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;

f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ;

h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár.

(2) Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozóan a 46. cikk szerinti megfelelő garanciákról.

(3) Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.

(4) A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait.” Az általános adatvédelmi rendelet 18. cikke alapján (1) Az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül:

a) az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az adatkezelő ellenőrizze a személyes adatok pontosságát;

b) az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását;

c) az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; vagy d) az érintett a 21. cikk (1) bekezdése szerint tiltakozott az adatkezelés ellen; ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az adatkezelő jogos indokai elsőbbséget élveznek-e az érintett jogos indokaival szemben.

(2) Ha az adatkezelés az (1) bekezdés alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni.

(3) Az adatkezelő az érintettet, akinek a kérésére az (1) bekezdés alapján korlátozták az adatkezelést, az adatkezelés korlátozásának feloldásáról előzetesen tájékoztatja.

Az általános adatvédelmi rendelet 23. cikk szerint: (1) Az adatkezelőre vagy adatfeldolgozóra alkalmazandó uniós vagy tagállami jog jogalkotási intézkedésekkel korlátozhatja a 12-22. cikkben és a 34. cikkben foglalt, valamint a 12-22. cikkben meghatározott jogokkal és kötelezettségekkel összhangban lévő rendelkezései tekintetében az 5. cikkben foglalt jogok és kötelezettségek hatályát, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát, valamint az alábbiak védelméhez szükséges és arányos intézkedés egy demokratikus társadalomban:

a) nemzetbiztonság; b) honvédelem; c) közbiztonság; d) bűncselekmények megelőzése, nyomozása, felderítése vagy a vádeljárás lefolytatása, illetve büntetőjogi szankciók végrehajtása, beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését;

e) az Unió vagy valamely tagállam egyéb fontos, általános közérdekű célkitűzései, különösen az Unió vagy valamely tagállam fontos gazdasági vagy pénzügyi érdeke, beleértve a monetáris, a költségvetési és az adózási kérdéseket, a népegészségügyet és a szociális biztonságot;

f) a bírói függetlenség és a bírósági eljárások védelme; g) a szabályozott foglalkozások esetében az etikai vétségek megelőzése, kivizsgálása, felderítése és az ezekkel kapcsolatos eljárások lefolytatása;

h) az a)-e) és a g) pontban említett esetekben - akár alkalmanként - a közhatalmi feladatok ellátásához kapcsolódó ellenőrzési, vizsgálati vagy szabályozási tevékenység;

i) az érintett védelme vagy mások jogainak és szabadságainak védelme; j) polgári jogi követelések érvényesítése. (2) Az (1) bekezdésben említett jogalkotási intézkedések adott esetben részletes rendelkezéseket tartalmaznak legalább:

a) az adatkezelés céljaira vagy az adatkezelés kategóriáira, b) a személyes adatok kategóriáira, c) a bevezetett korlátozások hatályára, d) a visszaélésre, illetve a jogosulatlan hozzáférésre vagy továbbítás megakadályozását célzó garanciákra, e) az adatkezelő meghatározására vagy az adatkezelők kategóriáinak meghatározására, f) az adattárolás időtartamára, valamint az alkalmazandó garanciákra, figyelembe véve az adatkezelés vagy az adatkezelési kategóriák jellegét, hatályát és céljait, g) az érintettek jogait és szabadságait érintő kockázatokra, és h) az érintettek arra vonatkozó jogára, hogy tájékoztatást kapjanak a korlátozásról, kivéve, ha ez hátrányosan befolyásolhatja a korlátozás célját. Az általános adatvédelmi rendelet 58. cikke alapján: (2) A felügyeleti hatóság korrekciós hatáskörében eljárva:

a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit;

b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét;

d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel;

e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is;

g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték;

h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek;

i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.

Az általános adatvédelmi rendelet 83. cikke szerint:

„(1) Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek.

(2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;

b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;

d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket;

e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke;

g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;

i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban - ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés;

j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség”. Az Infotv. 61 § (4) bekezdése b) pontja alapján a bírság mértéke százezertől húszmillió forintig terjedhet, ha az adatvédelmi hatósági eljárásban hozott határozatban kiszabott bírság megfizetésére kötelezett költségvetési szerv, az általános adatvédelmi rendelet 83. cikke szerint kiszabott bírság esetén.

Az általános adatvédelmi rendelet (155) preambulum-bekezdése értelmében: „A tagállami jog vagy kollektív szerződések - ideértve az üzemi megállapodásokat is - előírhatnak olyan konkrét szabályokat, amelyek a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelését szabályozzák, különösen azokat a feltételeket, amelyek mellett a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelésére - a munkavállaló hozzájárulása alapján, a munkaerő-felvétel és a munkaszerződés teljesítése céljából - kerülhet sor, ideértve a jogszabályban vagy kollektív szerződésben meghatározott kötelezettségek teljesítését, a munka irányítását, tervezését és szervezését, a munkahelyi egyenlőséget és sokszínűséget, a munkahelyi egészségvédelmet és biztonságot, továbbá a foglalkoztatáshoz kapcsolódó jogok és juttatások egyéni vagy kollektív gyakorlását és érvényesülését, valamint a munkaviszony megszüntetése céljából történő adatkezelést.” Az egészségügyről szóló 1997. évi CLIV. törvény (Eütv.) 3. § k) pontjának értelmében: „vizsgálat: az a tevékenység, amelynek célja a beteg egészségi állapotának felmérése, a betegségek, illetve kockázatuk felderítése, a konkrét betegség(ek) meghatározása, prognózisuk, változásuk megállapítása, a gyógykezelés eredményességének, valamint a halál bekövetkeztének és a halál okának megállapítása;” A Közszolgálati Döntőbizottságról szóló 69/2019. (IV. 4.) Korm. rendelet 11. § (2) bekezdése szerint: „Az eljáró tanács kijelölését követően a Titkárság értesíti a kormányzati igazgatási szervet a Döntőbizottság eljárásának megindításáról, megküldi számára a panaszt, és tizenöt napos határidő tűzésével felhívja nyilatkozatának előterjesztésére, amely az eljárás megszüntetésére irányulhat, vagy érdemi védekezést tartalmazhat.” A kormányzati igazgatásról szóló 2018. évi CXXV. törvény (Kit.) rendelkezéseinek értelmében: 115. § (2) A jogviszony megszüntetésekor vagy megszűnésekor az utolsó munkában töltött napon, de legkésőbb tizenöt napon belül a kormánytisztviselő illetményét és egyéb járandóságait - a szabadságmegváltás kivételével - részére ki kell fizetni, valamint ki kell adni a jogviszonyra vonatkozó szabályban és egyéb jogszabályokban előírt igazolásokat.

(2) A kormánytisztviselő jogosult a róla nyilvántartott helytelen adat helyesbítését, a jogellenesen nyilvántartott adat törlését kérni, a jogellenesen kért adat közlését megtagadni. Az adatkezelő köteles a helytelen adatot haladéktalanul helyesbíteni, illetve törölni.

(3) A kormányzati szolgálati jogviszonyból származó kötelezettségek teljesítése céljából a kormányzati igazgatási szerv a kormánytisztviselő személyes adatait - az adatszolgáltatás céljának megjelölésével, törvényben meghatározottak szerint - adatfeldolgozó számára átadhatja. Erről a kormánytisztviselőt előzetesen tájékoztatni kell.

(4) A kormánytisztviselőre vonatkozó adatok statisztikai célra felhasználhatók és statisztikai célú felhasználásra - hozzájárulása nélkül, személyazonosításra alkalmatlan módon - a jogszabályok alapján átadhatók.

(5) A kormánytisztviselők önéletrajza tartalmazza a Kormány rendeletében meghatározott kötelező adatköröket, valamint az önéletrajzhoz csatolandó, az önéletrajzban foglaltakat igazoló mellékleteket, illetve egyéb kiegészítő információkra vonatkozó adatokat.

(6) Ha a kormányzati igazgatási szerv a büntetőeljárásról szóló 2017. évi XC. törvény 111. §-a alapján tájékoztatást kap arról, hogy e törvény hatálya alatt állóval szemben büntetőeljárás indult, a tájékoztatás során tudomására jutott természetes személyazonosító adatot, valamint a közvádra üldözendő bűncselekmény miatt indult büntetőeljárás megindításának tényéről szóló adatot a tájékoztatást követő tizenöt napig, ha a tájékoztatás alapján munkáltatói intézkedésre kerül sor, az intézkedés meghozataláig jogosult kezelni. Ezt követően az adatokat törölni kell.

175. § (3) bekezdés „A közszolgálati alapnyilvántartásba - eljárásában indokolt mértékig jogosult betekinteni, illetve abból adatokat átvenni:

a) saját adatai tekintetében a kormánytisztviselő; b) a kormánytisztviselő felettese; c) a teljesítményértékelést végző vezető; d) a törvényességi ellenőrzést végző vagy törvényességi felügyeletet gyakorló; e) a fegyelmi eljárást lefolytató testület vagy személy; f) közszolgálati jogvita kapcsán az eljáró bíróság, a Közszolgálati Döntőbizottság;” 177. (3) bekezdés „A személyügyi központ által vezetett nyilvántartásba - eljárásában indokolt mértékig - jogosult betekinteni, illetve a személyügyi központ hozzájárulásával abból adatokat átvenni:

d) saját adatai tekintetében az adatbázisban szereplő személy”, A polgári perrendtartásról szóló 2016. évi CXXX. törvény (a továbbiakban: Pp.) 3. §-a [A perkoncentráció elve] szerint a bíróságnak és a feleknek törekedniük kell arra, hogy az ítélet meghozatalához szükséges valamennyi tény és bizonyíték olyan időpontban álljon rendelkezésre, hogy a jogvita lehetőleg egy tárgyaláson elbírálható legyen.

A Pp. 4. §-a [A felek eljárástámogatási és igazmondási kötelezettsége] szerint (1) A felek kötelesek előmozdítani az eljárás koncentrált lefolytatását és befejezését. (2) A perben jelentős tények állítása, és az alátámasztásukra szolgáló bizonyítékok rendelkezésre bocsátása – törvény eltérő rendelkezése hiányában – a feleket terheli. (3) A felek tényállításaikat és egyéb, tényekre vonatkozó nyilatkozataikat a valóságnak megfelelően kötelesek előadni. (4) A bíróság azt a felet, aki önhibájából a perben jelentős tények tekintetében olyan nyilatkozatot tesz, amelyről bebizonyosodik, hogy valótlan, pénzbírság megfizetésére kötelezi, valamint az e törvényben meghatározott más jogkövetkezménnyel sújtja.

A Pp. 5. §-a [A jóhiszeműség elve] szerint (1) A felek és más perbeli személyek eljárási jogaik gyakorlása és kötelezettségeik teljesítése során jóhiszeműen kötelesek eljárni.

A Pp. 170. § (5) bekezdése szerint a keresetlevélben feltüntethető az alpereshez intézett, indokolt felhívás a) állítási szükséghelyzet esetén valamely tény állításához szükséges információ szolgáltatására, illetve b) bizonyítási szükséghelyzet esetén bizonyítási eszköz csatolására.

A Pp. 265. §-a [Bizonyítási érdek és bizonyítási szükséghelyzet] szerint (1) Törvény eltérő rendelkezése hiányában a perben jelentős tényeket annak a félnek kell bizonyítania, akinek érdekében áll, hogy azokat a bíróság valósnak fogadja el (a továbbiakban: bizonyítási érdek), továbbá a bizonyítás elmaradásának vagy sikertelenségének a következményeit is ez a fél viseli. (2) A fél bizonyítási szükséghelyzetben van, ha valószínűsíti, hogy a) a bizonyítási indítványához nélkülözhetetlen adatokkal kizárólag az ellenérdekű fél rendelkezik, és igazolja, hogy az ezek megszerzéséhez szükséges intézkedéseket megtette, b) a tényállítás bizonyítása számára nem lehetséges, de az ellenérdekű féltől elvárható az állított tények fenn nem állásának a bizonyítása, vagy c) a bizonyítás sikerességét az ellenérdekű fél neki felróhatóan hiúsította meg, és az ellenérdekű fél nem valószínűsíti az a)–c) pontban foglaltak ellenkezőjét. (3) Bizonyítási szükséghelyzet fennállása esetén a szükséghelyzetben lévő fél által bizonyítandó tényt a bíróság valósnak fogadhatja el, ha annak tekintetében kételye nem merül fel.

Az Infotv. 2. § (2) bekezdése szerint „Személyes adatoknak az (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet a III-V. és a VI/A. Fejezetben, valamint a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §-ban, az 55. § (1)-(2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, a 62-71. §-ban, a 72. §-ban, a 75. § (1)-(5) bekezdésében, a 75/A. §-ban és az 1. mellékletben meghatározott kiegészítésekkel kell alkalmazni.”

Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Ugyanezen § (2a) bekezdése szerint Az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. Az Infotv. 14. §-a szerint: Az érintett jogosult arra, hogy az adatkezelő és az annak megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt személyes adatai vonatkozásában az e törvényben meghatározott feltételek szerint * a) az adatkezeléssel összefüggő tényekről az adatkezelés megkezdését megelőzően tájékoztatást kapjon (a továbbiakban: előzetes tájékozódáshoz való jog), b) kérelmére személyes adatait és az azok kezelésével összefüggő információkat az adatkezelő a rendelkezésére bocsássa (a továbbiakban: hozzáféréshez való jog), d) kérelmére, valamint az e fejezetben meghatározott további esetekben személyes adatai kezelését az adatkezelő korlátozza (a továbbiakban: az adatkezelés korlátozásához való jog), Az Infotv. 60. § (1) bekezdése szerint: „a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít”. Az Infotv. 60. § (2) bekezdése alapján: „az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében meghatározott esetben nyújtható be”.

Az Infotv. 61. § (4) bekezdés b) pontja alapján „a bírság mértéke százezertől húszmillió forintig terjedhet, ha az adatvédelmi hatósági eljárásban hozott határozatban kiszabott bírság megfizetésére kötelezett költségvetési szerv, az általános adatvédelmi rendelet 83. cikk szerint kiszabott bírság esetén”.

Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) rendelkezéseit kell alkalmazni az Infotv-ben meghatározott eltérésekkel. Az Ákr. 35. § (1) bekezdése szerint: „a kérelem az ügyfél olyan nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében”. Az Ákr. 62. § (4) bekezdése szerint a hatóság szabadon választja meg a bizonyítás módját, és a rendelkezésre álló bizonyítékokat szabad meggyőződése szerint értékeli.

III. A Hatóság döntése során figyelembe vett szabályozás és értelmezése

III.1. A Hatóság a kérelemben foglaltaknak megfelelően azt vizsgálta, hogy a Kérelmezett teljesítette-e a Kérelmező hozzáférési és tájékoztatási kérelmét a jogviszonya megszűnésével kapcsolatos adatokat érintően. Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján jelen adatkezelésre az általános adatvédelmi rendeletet kell alkalmazni. Az Infotv. 2. § (2) bekezdés alapján az Infotv. 14. §-a az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésekre nem alkalmazandó, azonban figyelemmel az Ákr. 38. §-ára, a Hatóság a kérelmet tartalma szerint bírálta el, így ahol a Kérelmező az Infotv. szerinti, 14. §-ban szabályozott érintetti jogaira hivatkozik, ott az általános adatvédelmi rendelet szerinti jogait értette. III.2. Elsőként, a Kérelmezett hivatkozása miatt szükséges annak megállapítása, hogy egészségügyi adatnak minősül-e az az információ, amelyet a Kérelmezett a Kérelmező pszichés állapotáról kezel. Az általános adatvédelmi rendelet 4. cikkének 15. pontja szerint egészségügyi adatnak minősül egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról. Az általános adatvédelmi rendelet (35) preambulumbekezdése a fogalmat tovább részletezi. A Kérelmezett érvelése szerint egészségügyi adat fogalmilag olyan adat lehet, amely egészségügyi szolgáltatás, vizsgálat során keletkezett. A Hatóság álláspontja szerint ilyen értelmezés az általános adatvédelmi rendelet rendelkezéseiből nem következik. Az általános adatvédelmi rendelet 4. cikk 15. pontja alapján minden, az érintett testi vagy pszichikai egészségi állapotára vonatkozó személyes adat egészségügyi adatnak minősülhet, továbbá ilyennek minősülhet az egészségügyi szolgáltatás során keletkezett adat is. Az egészségügyi adat-minőségnek nem feltétele az, hogy kizárólag valamely ellátás során keletkezett adat tekinthető ilyennek, elegendő, hogy az adat az érintett egészségi állapotára vonatkozzon, ugyanakkor az ellátás során keletkező adat is egészségügy adatnak tekintendő, amennyiben az információt hordoz az érintett egészségi állapotáról.

A személyes adat-egészségügyi adat kezelése elhatárolásának fő szempontja a vonatkozó rendelkezések és iránymutatások elemzése után az, hogy az adat egészségügyi adatnak minősül, ha az adatkezelés célja az érintett egészségi állapotára vonatkozó következtetés levonása. A 95/46/EK irányelv2 29. cikke alapján létrehozott Adatvédelmi Munkacsoport (a továbbiakban: Munkacsoport)3 a holland adatvédelmi hatóságnak egy korábbi, az általános

2 A személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló 95/46/EK európai parlamenti és tanácsi irányelv 3 Ez a munkacsoport a 95/46/EK irányelv 29. cikke alapján jött létre. Az Adatvédelmi Munkacsoport az Európai Adatvédelmi Testület megalakulását megelőzően foglalkozott az adatvédelemmel, valamint a magánélet védelmével kapcsolatos kérdésekkel mint független európai tanácsadó szerv. Feladatait a 95/46/EK irányelv 30. cikke és a 2002/58/EK irányelv 15. cikke határozta meg.

adatvédelmi rendelettervezettel összefüggő javaslata alapján az egészségügy állapottal kapcsolatos adatok három kategóriáját különbözteti meg4. A Hatóság értelmezése szerint maga a „furcsa mentális zavarodottságról tett tanúbizonyságot”, „nagyon zavarodott volt”, illetve a „tisztában van azzal, hogy szüksége van egy pszichológus szakember segítségére” kijelentések, illetve a Kérelmező viselkedését összességében bemutató leírás alkalmas volt – akár pontos, akár pontatlan következtetések levonására az érintett egészségi állapotára vonatkozóan. Az érintett ezen pszichikai állapotára vonatkozó adatkör, mivel abból az érintettre vonatkozó következtetést voltak le, bár a „szürke adat” kategóriájába vonható, egészségügyi adatnak minősül. A Hatóság áttekintette az Európai Unió Bíróságának joggyakorlatát is. Ez alapján megállapítható, hogy az uniós joggyakorlat az „egészségügyi adat” fogalmának tág értelmezése mellett foglalt állást. A C-101/01. számú ítélet 50. bekezdése alapján „[T]ekintettel ezen irányelv tárgyára, a 8. cikk (1) bekezdésében használt „egészségi állapotra vonatkozó adatok” kifejezésnek tág értelmezést kell adni úgy, hogy az magában foglalja valamely személy egészségének minden, fizikai és pszichikai összetevőjére vonatkozó információkat.” Az adatvédelmi jog az egészségügyi adatokat hagyományosan érzékeny adatoknak tekinti. E fogalom védelmi tárgya az ugyanis, hogy az érintett valamely fizikai vagy pszichikai állapota kapcsán a legintimebb és az egyén magánszférájának legbensőségesebb részét tárják fel, vagyis az érintett személy méltóságának legsebezhetőbb magjára vonatkoznak, amelynek felfedése az érintett megbélyegzéséhez vagy tisztességtelen diszkriminációjához vezetne. A kérdés további elemzése az általános adatvédelmi rendelet vizsgálatával tehető meg. Az az általános adatvédelmi rendelet 5. cikkében megfogalmazott alapelv a célhoz kötöttség elve, amely szerint az adatok kezelése csak egyértelmű és jogszerű célból történhet. Az általános adatvédelmi rendelet kimondja, hogy az egészségügyi adatokat, mint magasabb védelmet igénylő személyes adatokat csak és kizárólag abban az esetben lehet az egészséggel kapcsolatos célokból kezelni, ha ezen célok az egyén, illetve a társadalom egészségének érdeke elérésében szükségesek ((53) preambulumbekezdés). Ezzel összhangban áll az Európai Adatvédelmi Testület 3/2019. iránymutatása – a videofelvétel készítésére alkalmas eszközökkel történő személyes adatkezeléssel kapcsolatban –, amelynek a 62-64. pontjaiból következően akkor mondhatjuk, hogy egészségügyi adat kezelése történik a felvétel során, ha a kamerázásnak az a célja, hogy az adatkezelő az adatokból egészségi állapotra vonatkozó következtetést vonjon le. „Ha a kórház videokamerát szerel fel, hogy felügyelje a betegek egészségügyi állapotát, az a GDPR 9. cikk hatálya alá tartozik.”

4 a) Eredendően/egyértelműen egészségügyi adatok. Ez a ”medical data” (orvosi adat) kategóriája, ami az érintett egészségi állapotáról hordoz információt és amelyet professzionális, orvosi kontextusban hoztak létre. Ebbe beletartozik minden olyan adat, amely kapcsolatba hozható az egészségügyi szolgáltatók által nyújtott kezeléssel, felállított diagnózissal és minden információ betegségekről, fogyatékosságról, kórtörténetről, klinikai kezelésről. A Munkacsoport megállapította, hogy az egészségügyi adatok (vagy az érintettek egészségi állapotára vonatkozó adatok) azonban sokkal tágabb adatkört foglalnak magukba, mint az „orvosi” kifejezés. Ilyen például az a tény, hogy egy személy eltörte a lábát, terhes, hogy kontaktlencsét visel, és annak puszta említése, hogy valaki foglalkoztatási helyzetben beteg, mind az egyes érintettek egészségét érintő adatok. Egészségügyi adatnak minősül a betegségek kockázata is, mert ez az érintett jövőbeli egészségi állapotára vonatkozóan tartalmaz információt. A Munkacsoport szerint ide tartozik, hogy valaki elhízott, magas vérnyomása van, örökletes vagy genetikai hajlama van valamire. b) A skála másik végén azon adatok állnak, amelyeket nem kell egészségügyi adatnak tekinteni, mert nem lehet belőlük következtetést levonni az érintett egészségi állapotára. Ilyenek a nyers érzékelő adatok, például egy alkalmazás egy séta során számolja a megtett lépések számát anélkül, hogy ezeket az adatokat bármely orvosi kontextusban össze tudná kapcsolni ugyanazon adatalanyról szóló más adattal. c) Az adatok harmadik kategóriája az ún. szürke adat. Ebben az esetben nem egyértelmű, hogy egészségügyi adatról van szó, de az adatkezelés felveti annak lehetőségét, hogy egy személyt hátrányosan fognak megkülönböztetni a vélt vagy valós egészségügyi állapotára tekintettel. Mind a helyes, mind a helytelen/pontatlan következtetések az emberek egészségi állapotáról vagy egészségügyi kockázatáról ebbe a kategóriába sorolhatóak.

Így például, ha egy áruházi kamera rögzíti, hogy az egyik vásárló mankóval közlekedik, ettől még ezáltal nem történik egészségügyi adatkezelés, annak minden feltételével, hiszen pusztán azzal, hogy a kamera rögzít egy egészségi állapottal összefüggő adatot, az adatkezelés célja még nem az egészséggel kapcsolatos következtetés levonása volt. Ugyanakkor, ha az áruház profilozásra, marketing célra használja fel a kamerafelvételeken feltűnő, az egészségi állapotra utaló adatokat – érdemes-e gyógyászati segédeszköz boltot nyitni az üzletközpontban, mert a kamerafelvételek alapján sok mozgássérült jár ide – akkor az adat egyértelműen egészségügyi adat, és a kezelésének meg kell felelnie a 9. cikk (2) bekezdésében foglaltaknak is. Az általános adatvédelmi rendelet (35) preambulumbekezdése a második mondatában utal a klinikai kezelésre vonatkozó adatra, mint olyan adatra, amely információt hordoz az érintett egészségi állapotáról. Egészségügyi adat, ha az adat az igénybe vett egészségügyi szolgáltatásra utal és egyúttal az egészségi állapotra is levonható belőle következtés, információ (adat arról, hogy járt-e adott kezelésen, adott szolgáltatónál pl. pszichiátriai gondozó nyilvántartásba vette). Az általános adatvédelmi rendelet (53) preambulumbekezdése pedig kifejezetten az egészséggel kapcsolatos célra utal. Az általános értelmezést a jelen eljárásra vetítve az alábbi megállapítások tehetők: A Fővárosi Törvényszék […] számú tárgyalási jegyzőkönyv 5. oldal 4. bekezdése szerint: „A felperes által bizonyítási indítványként becsatolni kért irat személyi anyag, amely egy telefonbeszélgetésnek a kivonatát tartalmazza, amely azt kivonatolta, hogy a felperes milyen jellegű kijelentéseket tett, amelyből a munkáltatói jogkör gyakorlója azt a következtetést vonta le, hogy a felperes lelkiállapota és idegállapota miatt nem képes Magyarország felelős képviseletére […] munkakörben, ezért is döntött mérlegelési jogkörében arról az eset összes körülményét mérlegelve, hogy ezt a kirendelést megszünteti.” A Fővárosi Törvényszék [...] számú ítéletének egyes pontjai a következőket tartalmazzák: [38] „[…] Rámutatott arra is, hogy ha egy diplomata kapcsán felmerül, hogy kollégái körében zavaros összeesküvéselméleteket hirdet, az már önmagában alkalmas arra tény arra vonatkozóan, hogy kihelyezésének visszavonása mérlegelhető legyen.” [71] 4. […] „A bíróság szerint sem volt elvárható, hogy egy mentálisan saját magát szinte munkaképtelennek leíró diplomata kirendelését a munkáltató fenntartsa, hiszen a kiküldött diplomaták a Magyar Államot képviselik a kiküldetés helyszínén, ezáltal az általuk tanúsított esetleges negatív magatartás, vagy nem megfelelő munkavégzés is az ország negatív megítélését vonhatja maga után.” A fentiekből következően, a Hatóság álláspontja szerint, amikor a Kérelmezett a Kérelmező által előadottakat egy dokumentumban rögzítette, azokból következtetést vont le a Kérelmező pszichikai állapotáról, megállapítást tett az ennek nyomán a Kérelmező munkára való alkalmasságára vonatkozóan, és mindezen megállapításokra döntést alapozott, a Kérelmezőre vonatkozó egészségügyi adatot kezelt. A Kérelmező pszichikai állapotának leírása, az erről rögzített adatkör a puszta véleményalkotás fogalmán túlmenően alkalmas volt arra, hogy abból az érintett pszichikai állapotára lehessen következtetni, amely következtetést a Kérelmezett le is vont, arra a következő eljárásokban hivatkozott, így a Hatóság álláspontja szerint mindez összességében az egészségügyi adat kezelését valósítja meg. III.3. Tekintettel arra, hogy a kérelemnek nem volt tárgya az egészségügyi adat kezelésének jogalapja, az adat kezelésének jogszerű, vagy jogszerűtlen volta, a Hatóság az adatkezelés jogalapja tekintetében megállapítást nem tesz, figyelemmel arra is, hogy a kérelemmel érintett hozzáférési jog teljesítése nem függ az adatkezelés jogalapjától (ellentétben pl. a 21. cikk szerinti tiltakozási joggal), így a kérelem erre irányuló megállapítás nélkül is elbírálható.

IV. A hozzáférési kérelem teljesítése és a tájékoztatás

IV.1. A kérelemhez mellékelt levelezés szerint 2020. szeptember 2-án a Kérelmező kérte a jogviszonya megszüntetésével összefüggésben személyi adatait tartalmazó irat (2020. 03.31. keltezésű, […] által aláírt, „[…] berendelési ügye” c. dokumentum) teljes másolatát. Kérte továbbá a […] kérelem ideiglenes hazarendelés tárgyában tett kérelme és az arra adott hivatalos válasz megküldését. A Kérelmezett a hozzáférési kérelemre 2020. szeptember 9-én adott válaszban kifejtette, miszerint „A kormányzati igazgatásról szóló 2018. évi CXXV. törvény (Kit.) 175. § (3) bekezdés a) pontja alapján a közszolgálati alapnyilvántartásba – eljárásában indokolt mértékig – jogosult betekinteni, illetve azokból adatokat átvenni saját adatai tekintetében a kormánytisztviselő. Mivel Önnek [a Kérelmezőnek] nem áll fenn kormányzati szolgálati jogviszonya a […], a kérését nem tudom teljesíteni. A Kit. 177. § (3) bekezdés d) pontja értelmében a személyügyi központ által vezetett nyilvántartásba – eljárásában indokolt mértékig – jogosult betekinteni, illetve a személyügyi központ hozzájárulásával azokból adatokat átvenni saját adatai tekintetében az adatbázisban szereplő személy. A betekintésre vonatkozóan tájékoztatom, hogy mivel a Közszolgálati Döntőbizottság nem látta eljárásban indokoltnak a nevezett dokumentumok rendelkezése bocsátásra kötelezését, így a jogszabály ezen fordulata nem alkalmazható, az adatok átvételére pedig Ön nem rendelkezik hozzájárulással a személyügyi központtól.” A válasz további részében a Kérelmezett kifejtette, miszerint a hivatkozott dokumentumok esetében adatkezelőnek tekinthető, és idézte az általános adatvédelmi rendelet 15. cikkét, végül azt a tájékoztatást adta, hogy mivel a Kérelmező és közte a Közszolgálati Döntőbizottság határozata elleni kereset benyújtásának 30 napos határideje okán jogvita van folyamatban, a Kérelmezett jogait hátrányosan érintheti, amennyiben a nevezett dokumentumokat a Kérelmező rendelkezésére bocsájtanák. Az iratok kiadását az általános adatvédelmi rendelet 15. cikk (4) bekezdésére hivatkozva megtagadta. A Kérelmező 2020. szeptember 11-én kelt levelében ismét kérte a hozzáférést személyes adatai másolatához. A Kérelmező kifejtette továbbá álláspontját a Kit. hivatkozott szakaszaival kapcsolatban, miszerint az a tény, hogy a Közszolgálati Döntőbizottság nem élt a Kit. 177. § (3) bekezdés f) pontjában foglalt jogaival, nem érinti az ő jogát, mivel azt a független jogszabályhely önállóan biztosítja. Kifejtette továbbá, hogy álláspontja szerint az adatkezelő az általános adatvédelmi rendelet 15. cikk (4) bekezdésében foglalt korlátozásra saját érdekében nem hivatkozhat. A 15. cikk (4) bekezdés a (3) bekezdésre közvetlenül utal, így a két jogszabály egy kontextusban értelmezendő. A (3) bekezdés meghatározza a kötelezettet (adatkezelő) és a jogosultat (érintett) és szabályozza az adatok kapcsán az alanyok egyes jogait és kötelezettségeit. A (4) bekezdés arra ad az adatkezelőnek lehetőséget, hogy „mások”, vagyis az adatkezelőtől és az érintettől független harmadik személyek jogai és szabadságai védelme érdekében megtagadhatja az adatszolgáltatást. Az adatkezelő saját érdekére nem hivatkozhat. Ezzel kapcsolatban utalt még a „Magyarázat a GDPR-ről” c. kiadványban foglaltakra, amely szerint szintén harmadik személyek jogainak védelmére utal ezen bekezdés. A Kérelmezett 2020. szeptember 14-én adott válaszában hivatkozott az általános adatvédelmi rendelet (155) preambulum-bekezdésében adott felhatalmazás alapján született hazai jogszabályra, a Kit-re, és annak 115. § (2) bekezdésére, amely szerinti igazolásokat a Kérelmező részére átadta, a kérelmei tárgyát képező iratok nem tartoznak ebbe a körbe, így kérését nem tudják teljesíteni. A hozzáférési kérelemben hivatkozott 2020. 03.31. keltezésű, […] által aláírt, „[…] berendelési ügye” c. dokumentum kitakarással érintett tartalma a következő volt: „[…]ból 2020. 03.24-én érkezett a […] számú scriptament irat, amelyben […] id. ügyvivő jelezte, hogy […][…] engedély nélkül, 03.23-án éjjel családtagjaival együtt elhagyta állomáshelyét és hazautazott Mo-ra. A táviratban jelezte – amelyet később telefonon meg is erősített –, hogy a kolléga 03.23-án furcsa mentális zavarodottságról tett tanúbizonyságot, azt fejtegette a nagykövetség kollégáinak, hogy a koronavírus egy mesterséges intelligencia által működtetett globális támadás és mindannyian veszélyben vagyunk. Az id. ügyvivő ezt telefonon jelezte […] főov. úrnak. A Hivatalvezetés döntése alapján (e-mail […]-tól, […]-tól és […]-tól) […] külszolgálatát 2020. 03. 24-én megszüntettük és ezzel határozott idejű kormányzati szolgálati jogviszonya is aznap megszűnt. „ Ezen irat teljes másolatát kérte a Kérelmező 2020. szeptember 2-án és 2020. szeptember 11én. Kérte továbbá a saját maga által eljuttatott berendelési kérelmét és az arra adott választ. A Kérelmezett válaszában az iratban szereplő, Kérelmezőre vonatkozó adatok másolatát a Kit. idézett rendelkezései és az általános adatvédelmi rendelet 15. cikk (4) bekezdésére hivatkozva utasította el. A Kérelmezett a Hatóságnak adott válaszában ugyanakkor nem erre, hanem az általános adatvédelmi rendelet 14. cikk (5) bekezdésére hivatkozott, amely szerint – mivel a Kérelmező már rendelkezik az iratban foglalt információkkal – a tájékoztatási kötelezettségük ezen adatok vonatkozásában nem áll fenn. A Hatóság megállapítása szerint az általános adatvédelmi rendelet alapján a Kérelmezettnek két irányú kötelezettsége állt fenn a Kérelmező felé a 2020. március 24-től keletkezett adatok vonatkozásában:

Egyfelől, miután a Kérelmezőre vonatkozó – eddig jogszabályi felhatalmazás, a Kit. alapján nem tárolt – információk birtokába jutottak, az általános adatvédelmi rendelet 14. cikke alapján, a (60) preambulum-bekezdésben kifejtett okból kötelező tájékoztatást kellett volna nyújtani részére, az adat megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül. A tájékoztatásból ki kellett volna tűnnie, hogy a Kérelmezőre vonatkozó milyen információk vannak az adatkezelő birtokában, azt milyen céllal, milyen jogalapon, mennyi ideig kezelik, illetve minden a 14. cikkben felsorolt körülményre kiterjedően informálni kellett volna az adatkezelésről. A tájékoztatás elmaradásával az adatkezelő oldalán információs erőfölény alakul ki, és az érintett elesik attól, hogy megítélhesse, az adatkezelés milyen kihatással van a magánszférájára, és milyen érintetti jogokat kíván gyakorolni. A 14. cikk (2) bekezdés kifejezetten előírja, hogy a tisztességes és átlátható adatkezelés mint alapelvi követelménynek való megfelelés miatt szükséges a tájékoztatási kötelezettség teljesítése. A „[…] berendelési ügye” c. dokumentum Kérelmezőre vonatkozó tartalma, az abban hivatkozott […]. számú irat tartalma, illetve az abban hivatkozott e-mail rá vonatkozó tartalma az általános adatvédelmi rendelet fogalom-meghatározása szerint, mint az érintettre vonatkozó „bármely információ” az ő személyes adatának minősül. Így az általa mondottak, az ebből levont/levonható következtetések, ennek alapján rá vonatkozó kijelentések, a személyét érintő döntések, stb. a személyes adatának minősülnek.

A Kérelmező azonban, a tájékoztatás elmaradása okán nem értesült, hogy róla milyen tartalmú adatkezelés kezdődött meg, és a kezelt adatok alapján róla milyen következtetést vontak le, amely adatok a jogviszonya megszűnésére elsődleges kihatással voltak. A Fővárosi Törvényszék […] számú tárgyalási jegyzőkönyv 5. oldal 4. bekezdésében utalt: „A felperes által bizonyítási indítványként becsatolni kért irat személyi anyag, amely egy telefonbeszélgetésnek a kivonatát tartalmazza, amely azt kivonatolta, hogy a felperes milyen jellegű kijelentéseket tett, amelyből a munkáltatói jogkör gyakorlója azt a következtetést vonta le, hogy a felperese lelkiállapota és idegállapota miatt nem képes Magyarország felelős képviseletére […] munkakörben, ezért is döntött mérlegelési jogkörében arról az eset összes körülményét mérlegelve, hogy ezt a kirendelést megszünteti.” Nem vitatható, hogy az adatkezelés jelentős mértékben befolyásolta az érintett mint munkavállaló érdekeit, életét, amikor a jogviszonya megszűnése során a róla a Kérelmezett birtokában lévő információkat a rá vonatkozó döntéshez felhasználták.

A Kérelmező az adatkezelésről véletlenül, a Közszolgálai Döntőbizottság eljárása során értesült. Az információ birtokában kérte az adatok – a „[…] berendelési ügye” c. dokumentum – másolatát, ami a Kérelmezett másik kötelezettségét keletkeztette. A hozzáférési kérelem teljesítése független az előzetes tájékoztatás megadásától, az két külön jogintézményként jelenik meg az általános adatvédelmi rendeletben. Az előzetes tájékoztatás célja az, hogy az érintettet informálja egy eddig nem létező adatkezelésről, ami maga után vonhatja azt, hogy az érinett ezen adathoz hozzáférést, vagy másolatot igényel. A 14. cikk (5) bekezdésre utalás valós, amennyiben tájékoztatást nem kell adni a kérelmező által ismert adatokról, ez azonban a hozzáférési kérelem teljesítése alól nem mentesíti az adatkezelőt. Az érintett kérheti az általa megadott adat másolatát is. A hozzáférés teljesítésének korlátja a 15. cikk (4) bekezdés szerinti „mások jogainak” védelme, a 23. cikk alapján megalkotott nemzeti jog konkrét, garanciális rendelkezése, illetve technikai korlátként a 12. cikk (5) bekezdésben foglalt intézkedés lehet. Ezen adatokról – tehát a […]. számú iratban foglalt adatok, a „[…] berendelési ügye” c. dokumentum adattartalma és az abban hivatkozott e-mail adattartalma – való, 14. cikk szerinti, az adatkezelés megkezdésétől számított egy hónapon belül megadott tájékoztatást a Kérelmezett az eljárásban nem igazolta, az általa felsorolt, és a Kérelmező birtokában lévő iratok – amelyre vonatkozóan az érintett már rendelkezik információval, így a tájékoztatási kötelezettsége nem áll fenn – a Kérelmezett által hivatkozott adatkörön kívül esnek. A tájékoztatás elmaradásával a Kérelmezett megsértette az általános adatvédelmi rendelet 14. cikkét. IV.2. A hozzáférési kérelem teljesítésének megtagadásával kapcsolatban a Kérelmezett a Kérelmezőnek adott válaszában a 15. cikk (4) bekezdés alapján saját érdekére hivatkozott, amely szerint a köztük lévő jogvitás eljárásban a Kérelmezett jogait hátrányosan érintheti, ha az iratot a Kérelmező rendelkezésére bocsájtják. A Kérelmezett a Hatóság kérdésére a megtagadási okkal kapcsolatban a 15. cikkel kapcsolatos érvelést nem adott elő, vagy a 23. cikk szerinti jogszabályi rendelkezést nem hivatkozott, hanem a Kérelmezett a 14. cikk szerinti tájékoztatásával kapcsolatos, előzőkben részletezetteket fejtette ki. A 15. cikk (4) bekezdése másnak, az érintettől független személy jogainak védelme érdekében teszi lehetővé a másolat-adás megtagadását.

A Hatóság álláspontja szerint az adatkezelő a hozzáférés megtagadásakor saját érdekére a Kérelmezett által előadott okból nem hivatkozhat. A Kérelmező érvelésével ellentétben a „más” nem kizárólag az érintettől és az adatkezelőtől elkülönülő jogalany lehet. Az általános adatvédelmi rendelet a (63) preambulum-bekezdésben példálózó jelleggel az üzleti titkot, a szellemi és a szerzői jogot említi, mint „mások” jogát. A Hatóság álláspontja szerint elsősorban az adatkezelő üzleti titkának megóvása olyan jog, amely esetében az adatkezelő saját joga is megalapozhatja a jogkorlátozást. A további felsoroltak és attól eltérő indokok is megalapozhatják a hozzáférés megtagadását, azonban látható, hogy a szabályozás lényege, hogy az érintett a saját jogának gyakorlásával másnak jogát ne sértse (pl. kamerafelvétel másolatának biztosításakor a felvételen szereplő harmadik személyek saját személyes adataik védelméhez való jogát). Az adatkezelő azonban nem alakíthat ki olyan helyzetet, hogy átláthatatlan adatkezeléssel tájékoztatási, vagy hozzáférési jog megalapozott indok nélküli korlátozásával – saját maga részére előnyt biztosítson, ez ugyanis a már említett információs erőfölény okán adott esetben a tisztességes és átlátható adatkezelés alapelvi előírását is sértheti. Munkavégzésre irányuló jogviszonyban különösen nem csorbítható a munkavállaló érintetti joga a munkáltató által, mivel a felek nem mellérendelt viszonyban vannak. A Hatóság nem tudta elfogadni a Kérelmezettnek a Kérelmezőnek küldött levelében foglalt azon hivatkozását sem, hogy a hozzáférési jog korlátozását lényegében pertaktikai érdekeire hivatkozva tagadta meg. A Közszolgálati Döntőbizottság eljárását polgári per követte. A Hatóság rámutat, hogy egy polgári perben a pertaktika meghatározott alakításához a Kérelmezettnek nincs joga. A pertaktika meghatározott iránya a Kérelmezett érdekében állhat, de ilyen joga nincs, a pervitel kereteit a Pp. és a bíróság egyedi rendelkezései határozzák meg. Önmagában az, hogy a Pp. meghatározott perjogi helyzetekben a bíróság számára is lehetőséget ad arra a már folyamatban lévő perben, hogy az egyik peres fél birtokában lévő (nemcsak személyes) adatokkal a másik peres felet kötelezze bizonyításra, illetve, hogy a bíróság valónak fogadjon el egyes tényeket („bizonyítási szükséghelyzet”), nem korlátozza a rá vonatkozó személyes adatok tekintetében az érintett azon jogát, hogy az általános adatvédelmi rendelet alapján személyes adataihoz való hozzáférést kérjen és kapjon. Sem a Pp. perfelvételre, sem a bizonyítási szükséghelyzetre vonatkozó szabályai nem tartalmaznak semmiféle korlátozást az általános adatvédelmi rendelet 15. cikke vonatkozásában, de maga a Kérelmezett sem jelölt meg ilyen korlátozó rendelkezést. Konkrét jogszabályi felhatalmazásként a hozzáférés megtagadására a 23. cikk szerinti tagállami előírás szolgálhat jogalapként. A Kérelmezett a Hatóságnak adott válaszában a 15. vagy 23. cikknek megfelelő, a hozzáférési kérelem teljesítésének megtagadásának okára vonatkozóan jogszerű megtagadási okot nem adott elő, a Kérelmezőnek adott válaszban foglalt ok, a Kérelmezett saját érdeke pedig a fent kifejtettek szerint nem tekinthető jogszerűnek. A Kérelmezett által hivatkozott, Kit. szerinti nyilvántartásokba való, jogszabályon alapuló betekintés nem érinti az általános adatvédelmi rendelet alapján történő érintetti hozzáférési joggyakorlást. A Hatóság hatáskörében az általános adatvédelmi rendeletnek való megfelelést vizsgálhatja, sem az Infotv. 38. § (2) bekezdése, sem az általános adatvédelmi rendelet 58. cikke értelmében nem tartozik a Hatóság hatáskörébe a Kit. vonatkozó rendelkezései érvényesülésének ellenőrzése, ennek okán a Kérelmező azon kérelmét, hogy állapítsa meg a Kit. rendelkezésének megsértését, a rendelkező rész V. pontjában elutasította.

A Kérelmezett a „[…] berendelési ügye” c. dokumentum teljes adattartalmának másolatát végül nem a saját, adatkezelői hatáskörben hozott döntése alapján, hanem a bírósági végzésben kötelezésnek eleget téve bocsátotta a Kérelmező rendelkezésére. A Kérelmező ezen teljes iratban foglalt, rá vonatkozó adatok birtokában értesült a további, a dokumentumban hivatkozott további két iratban foglalt, személyét érintő adatok kezeléséről. Fontos megjegyezni, hogy az adatok másolata nem minden esetben egyenlő a teljes iratmásolattal. Azonban iratok esetében figyelemmel kell lenni a szöveg kontextusára, az adat szövegkörnyezetére, amely együttesen alkotja a jogérvényesítés eszközét. Ugyanakkor lehetnek az iratnak olyan részei (pl. jogszabályi hivatkozások, közérdekű adatok, más személyek személyes adatai, stb.) amelyek nem esnek az általános adatvédelmi rendelet 15. cikk (3) bekezdés alapján szolgáltatandó esetkörbe. Ezt minden irat esetében egyenként kell megítélni, és az érintett személyes adatainak a másolatát biztosítani. Ez nem jelenti azt, hogy a teljes irat más jogcímen (pl. bírósági, hatósági eljárásjogi iratbetekintési jog gyakorlása keretében, vagy ágazati jogszabályi előírás alapján) ne lenne megismerhető, pusztán azt jelenti, hogy az adatkezelő általános adatvédelmi rendelet alapján fennálló kötelezettsége a kezelt személyes adatok másolatának biztosításának kötelezettségét fedi le. Mindezek alapján a Hatóság megállapítja, hogy a Kérelmezett jogszerű ok hiányában tagadta meg a Kérelmező hozzáférési kérelmének teljesítését a benyújtott kérelem vonatkozásában, ezzel a Kérelmezett megsértette az általános adatvédelmi rendelet 15. cikke (3) bekezdését. A Kérelmező 2020. szeptember 2-án eljuttatott hozzáférési kérelmére a Kérelmezett 2020. szeptember 9-én, a 2020. szeptember 11-i kérelemre 2020. szeptember 14-én válaszolt, ami az általános adatvédelmi rendelet 12. cikk (4) bekezdésben előírt határidőben megadott válaszadási határidőnek megfelel. A Kérelmezett azonban a válaszaiban nem tájékoztatta a Kérelmezettet arról, hogy az intézkedés – ti. a hozzáférés teljesítése – elmaradása okán a Kérelmező jogosult a Hatóság, vagy bíróság eljárását kezdeményezni, így a jogorvoslati jog gyakorlásának módjáról és lehetőségéről való tájékoztatás elmaradása az általános adatvédelmi rendelet 12. cikk (4) bekezdésébe ütközött.

V. Adattovábbítás

V.1. A Közszolgálati Döntőbizottság részére történő adattovábbítás céljaként és jogalapjaként a Kérelmezett a 69/2019. (IV. 4.) Korm. rendelet 11. § (2) bekezdésében felhívott érdemi védekezés keretében adott nyilatkozatát jelölte meg. Egészségügyi adat kezelése, továbbítása estében az adatkezelésnek a 6. cikk szerinti, megfelelő jogalap mellett a 9. cikk szerinti kivételnek is meg kell felelnie. A 9. cikk (1) bekezdés szerint fő szabályként egészségügyi adat kezelése tilos, kivéve a 9. cikk (2) bekezdésében felsorolt eseteket. A 9. cikk (2) bekezdés f) pontja szerint a tilalom nem vonatkozik olyan esetre, ha az adatkezelés jogi igények megállapításához, érvényesítéséhez, illetve védelméhez szükséges, vagy amikor a bíróságok igazságszolgáltatási feladatkörükben járnak el.

Az általános adatvédelmi rendelet tehát elismeri a jogi igények előterjesztése, érvényesítése, illetve védelme céljából szükséges adatkezeléseket. Az általános adatvédelmi rendelet (52) preambulumbekezdése a személyes adatok különleges kategóriáira (ilyennek minősül az egészségügyi adat is) vonatkozóan megállapítja, hogy a személyes adatok e fokozott védelmet élvező csoportja esetén is helye van az adatok kezelésének, ha az jogi igények megállapítása, érvényesítése, illetve védelme céljából szükséges, függetlenül attól, hogy erre bírósági eljárás, közigazgatási, vagy egyéb, nem bírósági útra tartozó eljárás keretében kerül-e sor.

A Közszolgálati Döntőbizottság előtti eljárás keretében előadott érdemi nyilatkozat céljából történő adattovábbítás e körbe esik, így a Hatóság álláspontja szerint önmagában a KD eljárásában való felhasználás nem ütközik az általános adatvédelmi rendeletbe. Ennek értelmében a Kérelmezőnek az adattovábbítás jogellenességének megállapítása iránti kérelme elutasításra került. V.2. A fenti jogsértések okán a Hatóság utasította a Kérelmezettet, hogy adjon a Kérelmező részére a jogviszonya megszűnésével kapcsolatban kezelt adatokra vonatkozó teljes körű tájékoztatást, hogy az adatokat milyen címzetti kör ismerte meg, ismerheti meg és azokat a Kérelmezett milyen jogcímen, hogyan és meddig kezeli, figyelemmel a közszolgálati jogviszonya megszűnése idején hatályos jogszabályokra, illetve másolat formájában biztosítsa részére a korábban kérelmezett berendelési kérelmét és az arra kapott választ. A határozat rendelkező részének VII. pontjában foglalt elutasítási ok az általános adatvédelmi rendelet 58.cikk (2) bekezdés c) pontja értelmezésén alapul, amely szerint a Hatóság olyan kérelem teljesítésére utasíthatja az adatkezelőt, amely kérelmet az érintett az adatkezelőhöz már előterjesztett, de azt az adatkezelő nem teljesítette. A Kérelmező kérte a Hatóságot, hogy utasítsa a Kérelmezettet a) tartós külszolgálati és kormányzati szolgálati jogviszonya megszűnésével kapcsolatban keletkező valamennyi, személyes és különleges, ideértve az egészségügyi adatokat tartalmazó iratok részére mint érintett részére történő megküldésére, és a vonatkozó adatokkal kapcsolatos teljeskörű adatvédelmi tájékoztató igazolható módon történő nyújtására; b) különösen, de ne kizárólagosan adja ki részére a 2020. március 24. napján […]ból érkezett […]. számú scriptament iratot, valamint […], […] és […] levélváltását tartalmazó, a Kérelmező, közszolgálati jogviszonya megszüntetésére vonatkozó, azt közvetlenül megelőző e-mailjeit, amelyre a Személyügyi Főosztály hivatkozik a 2020. március 31-i keltezésű iratban. A csatolt iratok és nyilatkozatok szerint a Kérelmező az a) és b) pont szerinti iratok adattartalmára vonatkozóan másolat-kérési kérelemmel nem élt a Kérelmezett előtt. A 2020. szeptemberi levélváltás a „[…] berendelési ügye” c. irat adattartalmát érintette, illetve a Kérelmező által benyújtott berendelési kérelmet és az arra adott választ. Tehát az a) és b) pontra vonatkozó hozzáférési igényt nem tartalmazott, illetve a jelen kérelemmel érintett adatokat érintő, későbbi időpontban benyújtott hozzáférési kérelmet a Kérelmező nem igazolt. A Hatóság nem jogosult a Kérelmezett utasítására olyan kérelem teljesítésére vonatkozóan, amelyre vonatkozó érintetti kérelmet az adatkezelő nem kapott. Szintén nem igazolta a Kérelmező, hogy az adatkezelés [Infotv. 14. § d)-nek megfeleltethető, az általános adatvédelmi rendelet 18. cikke szerinti] korlátozását kérte volna. Így az adatkezelés korlátozására vonatkozó jogsérelem nem állapítható meg. Az adatkezelésről való tájékoztatási kötelezettség az érintettnek az adatkezelőhöz intézett kérelmétől függetlenül fennáll, így annak teljesítésére a Hatóság utasítást ad. A határozat végrehajtásaként megadott tájékoztatás után, az abban foglalt információk birtokában a Kérelmező által esetlegesen a későbbiekben benyújtandó hozzáférési kérelem teljesítése során az adatkezelőnek figyelemmel kell lennie a hozzáférési jog jogszerű megtagadása és az adatmásolat/iratmásolat körében a határozat IV. pontjában kifejtettekre.

VI. Jogkövetkezmények:

VI.1. A Hatóság a Kérelmező kérelmének részben helyt ad és a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja Kérelmezettet, mert megsértette az általános adatvédelmi rendelet 12. cikk (4) bekezdését, a 14. cikkét és a 15. cikk (3) bekezdését.

A Hatóság a GDPR 58. cikk (2) bekezdés c) pontja alapján utasítja Kérelmezettet, hogy teljesítse a Kérelmező hozzáférési kérelmét a berendelési kérelme, valamint az arra adott válasz vonatozásában, illetve adjon teljes körű tájékoztatást a Kérelmező részére a jogviszonya megszűnésével kapcsolatban kezelt adatokra vonatkozóan.

VI.2. A Hatóság megvizsgálta, hogy indokolt-e a Kötelezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés nem arányos és visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság mindenekelőtt figyelembe vette, hogy a Kérelmezett által elkövetett jogsértés az általános adatvédelmi rendelet 83. cikk (5) bekezdés b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősül, mivel az az érintetti jog sérelmével járt. A Hatóság a bírságkiszabás során az alábbi körülményeket bírságnövelő körülményként értékelte:

• a jogsértés súlyosnak minősül, mert az adatkezelés kihatással volt a Kérelmező jogviszonyának megszűnésére, és a Kérelmezőnek nem volt tudomása a rá vonatkozó adatok kezelésről [GDPR 83. cikk (2) bekezdés a) pont]; • az adatkezelő az adatkezelést a jogvitás eljárásban az érintett ellenében használta [GDPR 83. cikk (2) bekezdés c) pont]; • a megállapított adatvédelmi jogsértés a személyes adatok különleges kategóriáit érinti [GDPR 83. cikk (2) bekezdés g) pont]; A Hatóság a bírságkiszabás során az alábbi körülményeket bírságcsökkentő körülményként értékelte:

• gondatlanságra utal az, hogy a Kérelmezett téves jogértelmezéssel helytelenül ítélte meg, milyen okok alapozzák meg a hozzáférési jog korlátozását [GDPR 83. cikk (2) bekezdés b) pont];

a Kérelmezett első alkalommal sértette meg adatvédelmi hatósági eljárásban megállapítottan a GDPR rendelkezéseit, korábban releváns jogsértést nem követett el [GDPR 83. cikk (2) bekezdés e) pont]. Az 5808/2020/V. ügy szerinti jogsértés vizsgálati eljárásban került megállapításra, ezért ez jelen ügyben nem volt releváns.

A Hatóság figyelembe vette továbbá, hogy

• a jogsértés egyetlen személyt érintett [GDPR 83. cikk (2) a) pont] • a Kötelezett eleget tett a Hatóság felé fennálló együttműködési kötelezettségének [GDPR 83. cikk (2) bekezdés f) pont]

A Hatóság a bírságkiszabás során nem tartotta relevánsnak a GDPR 83. cikk (2) bekezdés d), h), i), j), k) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem értelmezhetők.

A bírság összegét a Hatóság jogszabályon alapuló mérlegelési jogkörében eljárva határozta meg. A bírság az Infotv. 60. § (4) bekezdés b) pontja alapján a költségvetési szervre kiszabható maximális bírságösszeg 3 %-a. A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

IV.3. A Hatóság az eljárás során túllépte az Infotv. 60/A § (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek.

VII. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

A határozat az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

A Hatóság tekintettel arra, hogy túllépte az ügyintézési határidőt, 10.000, - Ft, - azaz tízezer forintot fizet meg a Kérelmezőnek – választása szerint – bankszámlára utalással vagy postai utalvánnyal.

A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettségek teljesítését a kötelezett ügyfél megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettségeket határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja.

Budapest, 2021.december 17.

Dr. Péterfalvi Attila elnök c. egyetemi tanár