Federal Supreme Court of Hungary: Violation of Personal Data Processing Rules

El. utedlum

[1]

[2]

[3]

A DOKUMENTUMOT

ELEKTRONIKUS ALÁÍRÁSSAL LÁTTA EL:

FŐVÁROSI TÖRVÉNYSZÉK Fővárosi Törvényszék Az ügy száma: 105.K.700.232/2022/10. A felperes: t ( ) A felperes képviselője: " kamarai jogtanácsos Az alperes: Nemzeti Adatvédelmi és Információszabadság Hatóság (1055 Budapest, Falk Miksa utca 9-1 1.) Az alperes képviselője: Dudás Hargita Zavodnyik Ügyvédi Iroda (1036 Budapest, Lajos utca 66., eljáró ügyvéd KGN A per tárgya: adatvédelmi tárgyú közigazgatasi Jogvid

(NAIH-3414/2/2021.) elbírálása

ÍTÉLET

A bíróság az alperes NAIH-3414/2/2021. számú határozatának a felperest 600.000 (hatszázezer) forint adatvédelmi bírság megfizetésére kötelező VIII. pontját megsemmisíti, és e részben az alperest új eljárásra kötelezi. Ezt meghaladóan a bíróság a keresetet elutasítja.

gy

A felek költségeiket maguk viselik. SAH

9.

Iktatószám

Az ítélet ellen fellebbezésnek nincs helye. Iktatás dátuma

2022 JÚL 13.

Indokolás — kizá öz sgt zgs szesztásátoztl

Előzmény

VALH- EMU] em TERET TT Melléklet: A döntés alapjául szolgáló tényállás EGYEK ; j

A felperes kormánytisztviselőt (a továbbiakban: kérelmező) ba helyezte ki . attassé munkakörbe 2018-ban. A fogadó állam csak a felperes előzetes írásos engedélyével volt elhagyható.

Magyarország Nagykövetségének ideiglenes ügyvivője 2020. március 24-én táviratban (a továbbiakban: Távirat) jelezte a felperesnek, hogy a kérelmező 2020. március 23-án délutánra , már furcsa mentális zavarodottságról tett tanúbizonyságot, azt fejtegette a nagykövetségi kollégáknak, hogy a koronavírus egy mesterséges intelligencia által működtetett globális támadás és mindannyian veszélyben vagyunk." 2020. március 26-a után mindezt az ügyvivő telefonon is elmondta a Berendelési dokumentumot (ismertetve alább) készítő személynek.

A kérelmező ideiglenes berendelését kérte, de a döntés bevárása nélkül, 2020. március 23-án állomáshelyét már elhagyta, hazaérkezését követően értesült arról, hogy az ideiglenes berendelés iránti kérelmét nem hagyták jóvá. A felperes a kérelmező kormányzati

[4]

[51

[6]

[71

[8]

[2]

[10]

Fővárosi Törvényszék 105.K.700.232/2022/10. 2 jogviszonyát 2020. március 24-i hatállyal megszüntette, mely döntéssel szemben a kérelmező jogvitát kezdeményezett a Közszolgálati Döntőbizottságnál (a továbbiakban: KDB).

A felperesnél 2020. március 31-én ,. j berendelési ügye" címmel belső irat készült (a továbbiakban: Berendelési dokumentum), amelyben az irat készítője más mellett , utalt a Távirat tartalmára, az ideiglenes ügyvivővel folytatott fenti telefonbeszélgetésre, három személytől származó e-mailre (a továbbiakban: E-mail) mint a kormányzati szolgálati viszony megszüntetését megelőző, a hivatalvezetés által hozott döntésre —, valamint arra, hogy a szolgálati viszony megszüntetését telefonon maga közölte a kérelmezővel, aki többek között jelezte: tisztában van azzal, hogy , Szüksége van egy pszichológus ember segítségére", A kérelmező a KDB eljárása során tudomást szerzett a Berendelési dokumentum létezéséről és kis részben annak tartalmáról is, ezért 2020. szeptember 2-án és szeptember 11-én a Berendelési dokumentum teljes, valamint az ideiglenes hazarendelés tárgyában Írt kérelem és az arra adott hivatalos válasz megküldését kérte a felperestől (a továbbiakban együtt: hozzáférési kérelem). A felperes a hozzáférési kérelmet a folyamatban lévő jogvitára és a kormányzati igazgatásról szóló 2018. évi CXXV. törvény (Kit.) egyes rendelkezéseire hivatkozással megtagadta.

A KDB eljárást követő közszolgálati perben a bíróság kötelezése alapján a kérelmező a Berendelési dokumentum tartalmát megismerte.

A kérelmező az alpereshez intézett 2021. március 10-i kérelmében (a továbbiakban: kérelem) adatvédelmi hatósági eljárás lefolytatását kérte. Sérelmezte egyebek mellett, hogy a KDB előtt a felperes olyan, a saját egészségügyi adatát tartalmazó belső iratokat is felhasznált, amelynek létezéséről tájékoztatást a felperestől nem kapott, és az irat kiadását is megfelelő indok nélkül tagadták meg tőle.

Az alperes határozata

Az alperes a felperes nyilatkozatának beszerzését követően hozott 2021. december 17-én kelt

NAIH-3414-12/2021. számú határozatában a kérelemnek részben helyt adva megállapította, hogy a hozzáférési kérelem teljesítésének megtagadása miatt a felperes megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK. rendelet hatályon kívül helyezéséről szóló 2016/679 EU rendelet (a továbbiakban: GDPR) 12. cikk (4) bekezdését és a 15. cikk (83)

bekezdését, továbbá a 14. cikkét azzal, hogy nem adott a jogviszony megszűnésével kapcsolatban teljeskörű tájékoztatást; mindezek miatt a felperest tartalmában a jogsértő állapot megszüntetésére utasította, és 600.000 forint adatvédelmi bírság megfizetésére kötelezte, a keresettel nem érintett kérelemrészeket elutasította.

Indokolásában a jogvita szempontjából lényeges körben a GDPR 4. cikk 15. pontját és a (35)

preambulumbekezdést, az Európai Unió Bírósága (a továbbiakban; EUB) C-101/01. sz.

ítéletét, valamint az Adatvédelmi Munkacsoport javaslatát és 3/2019. iránymutatását hivatkozva megállapította, hogy a kérelmező zavarodottságára, mentális állapotára tett leírásokkal (a továbbiakban: Leírások) az adatkezelés célja a kérelmező egészségi állapotára vonatkozó következtetések levonása volt, ezért a felperes a kérelmező egészségügyi adatait kezelte, amelyekkel kapcsolatosan 2020. március 24-ét követően a 14. cikk szerinti tájékoztatást kellett volna megadnia kérelmező részére a Berendelési dokumentum, az abban hivatkozott Távirat, és az E-mail vonatkozásában; ennek elmaradása miatt a kérelmező az adatkezelésről csak a KDB eljárásából, véletlenül értesült.

Megállapította, hogy a hozzáférési kérelmet a felperes az adatkezelés jogalapjának értékelésétől (mely a megelőző eljárásnak nem volt tárgya) és a 14. cikk (5) bekezdésétől függetlenül köteles volt teljesíteni, a hozzáférés pertaktikai érvre alapított korlátozása, mint

[11]

[12]

[13]

[14]

[15]

[16]

[17] [18]

Fővárosi Törvényszék 105.K.700.232/2022/10. a saját érdek pedig nem elfogadható, mert az adatkezelő különösen a munkavégzésre irányuló jogviszonyban nem alakíthat ki saját előnyszerzés érdekében olyan helyzetet, amelyben a hozzáférést korlátozza. Megjegyezte, hogy a közszolgálati per eljárási szabályaiból sem vezethető le a hozzáférési kérelem megtagadásához adott felperesi érvelés megalapozottsága.

Az adatvédelmi bírság kiszabása során a GDPR 83. cikk (5) bekezdésének b) pontjára és — elírás folytán 61.§ (4) bekezdés helyett — az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60.§ (4)

bekezdésére utalt, a mérlegelés során bírságnövelő- és csökkentő, valamint az egyéb szempontokat vett figyelembe. A GDPR 83. cikk (2) bekezdés c) pontjára tekintettel bírságnövelő körülményként értékelte más mellett azt, hogy az adatkezelés kihatással volt kérelmező jogviszonyának megszüntetésére, valamint azt is, hogy az adatkezelést a felperes a jogvitás eljárásban a kérelmező ellenében használta.

A kereset és a védirat

A felperes keresetében az alperes határozatának megváltoztatásával a kérelem teljes elutasítását, másodlagosan megváltoztatással a bírság összegének mérséklését, harmadlagosan az alperes határozatának megsemmisítését, és az alperes új eljárásra kötelezését kérte, perköltséget felszámított.

Előadta, hogy egészségügyi adatot nem kezelt, mert a Leírások a GDPR (53)

preambulumbekezdése folytán releváns, az egészségügyről szóló 1997. évi CLIV. törvény

(Eütv.) 3.§-ának hatálya alá nem tartoznak, a felperes munkavállalóinak egészségügyi állapotára vonatkozó adatokat kezelni csak a foglalkozás-egészségügyi orvos jogosult, de a kérelmező jogviszonyának megszüntetése szempontjából a Leírásoknak jelentősége sem volt.

A kérelmező irányába tájékoztatási kötelezettsége a GDPR 14. cikk (5) bekezdése szerint nem volt, mert a kérelmező nyilvánvalóan rendelkezett a saját maga által szerkesztett irattal, a Berendelési dokumentumot pedig legkésőbb a közszolgálati perben megismerte.

A hozzáférés megtagadását illetően a GDPR. 23. cikk (1) bekezdés j) pontját és a 34/1994. (VI.24.) AB határozatot hangsúlyozta azzal, hogy nem volt köteles a saját számára hátrányos, a közszolgálati jogviták bizonyítási eljárását kiüresítő helyzetet teremteni azzal, hogy a kérelmező rendelkezésére bocsát olyan bizalmas belső háttéranyagot, amelyet a kérelmező nem ellenőrizhető módon fel is használhat.

A bírságkiszabást — az annak jogalapját vitató érvelésen túl — összegszerűségében is jogszabálysértőnek tartotta, mert a kérelmező jogviszonyának megszüntetésében nem feltétlenül a háttéranyagnak, hanem a szolgálati hely idő előtti elhagyásának volt jelentősége. A védiratra tekintettel iratellenességre is utalva hangsúlyozta: a jogvitás eljárásban jogszerűen használt fel és továbbított adatokat a kérelmezővel szemben, melynek célja a saját érdekeinek védelme és az érdemi védekezéshez való joga volt.

Sérelmezte, hogy az alperes a bírság összegét téves, nem létező jogszabályhelyre alapította.

Az alperes a kereset elutasítását kérte, perköltséget felszámított. Az egészségügyi adat értelmezése tárgyában határozatának indokait fenntartotta azzal, hogy e körben irreleváns a kérelmező jogviszonyának megszüntetését eredményező döntő ok mibenléte. Álláspontja szerint a GDPR 14. cikk (5) bekezdés a) pontját a felperes tévesen értelmezte, mert a tájékoztatás nem akkor mellőzhető, ha az érintett az adatkezelő által ismert adatokkal rendelkezik, hanem akkor, ha a 14. cikk (1)-(2) bekezdései szerinti adatokról van tudomása; a konkrét ügyben pedig éppen ez utóbbi nem teljesült. Előadta, hogy a GDPR 23. cikk (1)

bekezdésének címzettje — figyelemmel a (73) preambulumbekezdésre is — nem az adatkezelő, hanem a jogalkotó, de a GDPR (63) preambulumbekezdésére és a bírói gyakorlatra is tekintettel a saját érdekre alapított hozzáférés megatagadása sem lehetett jogszerű a perbeli

[19] [20]

[21]

[221

[23]

[24]

Fővárosi Törvényszék 105.K.700.232/2022/10. 4 esetben. A felperes által kiemelt AB határozatot tárgyánál fogva tartotta irrelevánsnak.

Kifejtette, hogy a bírságkiszabás terén mérlegelési jogkörét a GDPR 83. cikkével, a Kp. 85.§

(5) bekezdésével, és bírói gyakorlattal összhangban gyakorolta; fenntartotta, hogy az adatkezelés a kérelmezői jogviszony megszűnésére kihatással volt, az ugyanakkor nem lényeges, hogy a felperesnek joga volt-e a jogvitás eljárásban a kérelmező ellen adatokat felhasználni. Hangsúlyozta, a bírság összegének alapját helyesen jelölte meg, mert az Infotv.

61.§ (4) bekezdés b) pontja a határozat indokolásában idézve is szerepel, A bíróság döntése és jogi indokai

A kereset az alábbiak szerint részben alapos.

A bíróság az alperes határozatának jogszerűségét a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) 2. § (4) bekezdése és a 85. § (1)-(2) bekezdései szerint az alperes határozathozatalának időpontjában fennálló tények alapján, a felek nyilatkozatainak keretei között, a Kp. 77.§ (1) bekezdése alapján tárgyaláson kívül bírálta el.

A jogvita nagyobb részben jogkérdéseket érintett, melyek közül az egészségügyi adatok minősítése tárgyában a bíróság az alperes értelmezését ítélte jogszerűnek.

A GDPR 4. cikk 15. pontja értelmében , egészségügyi adat": egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról.

A bíróság megállapította, hogy a GDPR kiemelt fogalommeghatározásának nyelvtani értelmezésével nem lehet arra a következtetésre jutni, hogy egészségügyi adatnak kizárólag az egészségügyi ellátórendszeren belül keletkező adat minősül; utóbbit csak a jogi definíció második tagmondata foglalja magában. Az (53) preambulumbekezdés és az Eütv. 3.§-a között pedig nincsen lényeges megfeleltetési kapcsolat, mert az Eütv. 3.§-a egy nem kifejezetten adatvédelmi céllal megalkotott jogszabály értelmező rendelkezése (figyelemmel az Eütv.

preambulumára). Az alperes által kiemelt jogforrások — az Adatvédelmi Munkacsoport javaslata és irányelve, az EUB C-101/01 ítélete — is azt támasztják alá, hogy a GDPR 4. cikk

15. pontjának tartalmi keretét nem lehet a norma szövegében nem szereplő kritériumok mentén szűkíteni. Az alperes határozatában kifejtett megközelítés (mely az adatkezelés célját az egészségi állapotra vonatkozó következtetéshez rendeli) nem eredményezi az egészségügyi adatok körének parttalan kiszélesítését sem. A Leírás folytán a Távirat és a Berendelési dokumentum is egyértelműen a kérelmező egészségi állapotára vonatkozó véleményt tartalmazott, melynek célja — a szóban forgó dokumentumok tartalmára és keletkezésének körülményeire tekintettel — a kérelmező egészségi (szellemi) állapotára vonatkozó következtetés levonása volt, függetlenül attól, hogy ez nem az egészségügyi ellátórendszer keretein belül és nem orvos által történt, valamint attól is függetlenül, hogy a kérelmezői jogviszony megszüntetésének okát a felperes mennyiben azonosította más ténnyel (állomáshely engedély nélküli elhagyása). Megjegyzi a bíróság, hogy a Berendelési dokumentum tanúsága szerint a kérelmező mentális helyzete és az állomáshely engedély nélküli elhagyása között közvetlen összefüggés volt.

Az alperes a perben nem vitatott tények helyes értékelésével állapította meg a felperes tájékoztatási kötelezettségét, -és annak megsértését. Azt a felperes sem vitatta, hogy az érintettől különböző forrásból származó személyes adatok kezelése esetén a GDPR 14. cikkét alkalmazni kell. A GDPR. 14. cikk (5) bekezdésének a) pontja azonban — ahogyan arra a védirat helytállóan utalt — nem az adatkezelő által kezelt adatokra, hanem kifejezetten a 14. cikk (1)-(2) bekezdéseiben írt információkra vonatkozik. Amennyiben az érintett nem is tudja, [25]

[26]

[271]

[28]

[29]

Fővárosi Törvényszék 105.K.700.232/2022/10. 5)

hogy az adatkezelő a személyes adatait kezeli, úgy fogalmilag kizárt, hogy az érintett ezen adatkezeléssel összefüggően a 14. cikk (1)-(2) bekezdéseiben foglalt bármilyen információval rendelkezzen, A felperes a tájékoztatási kötelezettség megsértését tekintve szükségtelenül hivatkozott arra, hogy a kérelmező a saját maga által szerkesztett iratot (ideiglenes berendelési kérelem) ismerte, hiszen az alperes a tájékoztatási kötelezettség megsértését nem erre az iratra, hanem a Berendelési dokumentumra, a Táviratra, és az E-mailre vonatkoztatva állapította meg (határozat 23. oldal 2. bekezdés). Kétségtelen, hogy a kérelmező a Berendelési dokumentumot a közszolgálati perben megismerte, e körülményre ugyanakkor felperes a megelőző eljárásban nem hivatkozott, de ha hivatkoz(hatjott (is) volna, mindez — az adatkezelés kezdetétől annak kérelmező általi megismeréséig eltelt időtartamra figyelemmel — a jogsértés megállapítását nem zárhatta ki.

Az alperes helytállóan rögzítette azt is, hogy a hozzáférési kérelem teljesítése független a GDRPR I4. cikk szerinti tájékoztatási kötelezettségtől, és ez utóbbi alóli - a jelen jogvitában fentiek szerint nem releváns — mentesüléstől. A hozzáférési kérelem elutasításának okát a felperes a jogviszony megszüntetése miatt keletkezett jogvita eredményességéhez fűződő érdekében jelölte meg. Ilyen ok miatt azonban az érintett GDPR 15. cikk (3) bekezdése csak akkor korlátozható, ha ezt a tagállami jog a 23. cikk a felperes által hivatkozott j) pontján keresztül kifejezetten előírja. Tekintettel arra, hogy a GDPR utóbbi rendelkezésének címzettje a jogalkotó, a közszolgálati jogviták eljárási rendjét leíró jogszabályok pedig a perbeli jogvitára vonatkoztatható korlátozó rendelkezéseket nem tartalmaznak (attól függetlenül sem, hogy az adatkezelés belső iratokkal történik-e), a felperes a kérelmező hozzáférési kérelmét jogellenesen tagadta meg. A felperes kétségtelenül nem köteles a maga számára előnytelen eljárásjogi cselekményeket tenni a közszolgálati jogvitában, azonban erre hivatkozva adatkezelőként az érintett felé teljesítendő jogszabályban előírt kötelezettségét sem hagyhatja figyelmen kívül, A felperes a 34/1994, (VI.24.) AB határozatra annak a GDPR megalkotását évtizedekkel megelőző keletkezése miatt eleve szükségtelenül hivatkozott, az AB határozat tárgya ugyanakkor alapjaiban is eltér a megelőző eljárás tárgyától.

A Kp. 85.§ (5) bekezdése szerint mérlegelési jogkörben megvalósított közigazgatási cselekmény jogszerűsége körében a bíróság azt is vizsgálja, hogy a közigazgatási szerv hatáskörét a mérlegelésre való felhatalmazásának keretei között gyakorolta-e, a mérlegelés szempontjai és azok okszerűsége a közigazgatási cselekményt tartalmazó iratból megállapíthatóak-e.

A bíróság megállapította, hogy alperes az adatkezelés kérelmezői jogviszony megszüntetésére való hatását logikusan értékelte bírságnövelő tényezőként, hiszen a felperes által hangsúlyozott másik ok (állomáshely elhagyása) is közvetlen összefüggésben állt a kérelmező egészségügyi adatainak kezelésével.

A felperes helytállóan adta elő, hogy a határozat 28. oldalán az Infotv. 60.§ (4) bekezdése téves hivatkozás, azonban éppen amiatt, mert ilyen jogszabályhely nincsen, a határozat 17. oldalán citált 61.§ (4) bekezdés b) pont ugyanakkor adekvát volt, a nyilvánvaló elírás az ügy érdemével összefüggésbe hozható jogszabálysértés nem lehetett.

A kereset abban volt alapos, hogy az alperes okszerűtlenül értékelte bírságnövelő szempontként azt, hogy felperes az adatkezelést a jogvitás eljárásban a kérelmező ellenében használta, mert e tény a jogvítás eljárás természetéből, és a szabad bizonyítás elvéből szükségképpen következik, a GDPR 83. cikk (2) bekezdésének c) pontjára vonatkoztatható súlyosító szempontként (kárenyhítés elmaradásaként) pedig semmiképp nem értékelhető. E körülmény bírságnövelő szempont okszerűen amiatt sem lehetett, mert az adatkezelés jogalapjának vizsgálata a megelőző eljárás tárgyát nem képezte (határozat 21. oldal 2.

bekezdése).

[30]

[31]

[32]

[33]

[34]

Fővárosi Törvényszék 105.K.700.232/2022/10. 6

Összefoglalva, az alperes határozata jogszerű volt a felperes terhére megállapított jogsértések tekintetében, így a bírságkiszabás jogalapja fennáll. A. mérlegelési jogkörét ugyanakkor alperes részben, de az ügy érdemére kihatóan nem a Kp. 85.§ (5) bekezdésének megfelelően gyakorolta.

A bíróság az alperes határozatának megváltoztatására nem jogosult, ezért annak az adatvédelmi bírság összegét és annak fizetésre kötelezését tartalmazó rendelkezését a Kp. 89.§ (1) bekezdés b) pontja alapján megsemmisítette, és e körben az alperest új eljárásra kötelezte, ezt meghaladóan az alaptalan keresetet a Kp. 88.§ (1) bekezdés a) pontja szerint elutasította.

A megismételt eljárásban az alperesnek a bírságkiszabásról az ügy összes körülményét okszerűen mérlegelve kell ismét döntenie, azzal, hogy az adatkezelés jogvitában való felhasználása a felperes terhére súlyosító (bírságnövelő) tényezőként nem vehető figyelembe. A megismételt eljárásban alkalmazandó adatvédelmi bírság összege nem érheti el a 600.000 forintot.

Az eljárás az illetékekről szóló 1990. évi XCII. törvény (Itv.) 57.§ (1) bekezdés 0) pontja alapján illetékmentes. Az azonos arányban pernyertes és pervesztes felek költségeinek viseléséről a bíróság a polgári perrendtartásról szóló 2016. évi CXXX. törvény (Pp.) 83. § (2) bekezdésének alkalmazásával rendelkezett.

Az ítélet elleni fellebbezés lehetőségét a Kp. 99. § (1) bekezdése zárja ki.

Záró rész

Budapest, 2022. június 3.

dr. Barsi-Fodor Bea s. k. dr. Huber Gábor s. k. dr. Nagy Péter s. k. a tanács elnöke előadó bíró bíró