Hungarian Data Protection Authority (NAIH): unlawful access to the EESZT system and failure to respond to an access request

Ügyszám: NAIH-273-7/2026. Előzmény: (NAIH-11669/2025.) (NAIH-13152/2024.) Tárgy: kérelemnek részben helyt adó határozat

HATÁROZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt [...]

(a továbbiakban: Kérelmező) a [...]-vel (cégjegyzékszám: […]; képviseletében eljár: [...] ügyvezető; a továbbiakban: Kérelmezett) szemben benyújtott, 2024. november 6. napján teljessé vált kérelme nyomán indult adatvédelmi hatósági eljárásban a Hatóság az alábbi döntéseket hozza:

I. A Hatóság a Kérelmező arra irányult kérelmének, hogy a Hatóság figyelmeztesse és marasztalja el a Kérelmezettet azért, mert az adatkezelése sérti a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) rendelkezéseit, részben helyt ad és elmarasztalja a Kérelmezettet, mert megsértette a GDPR 5. cikk (2) bekezdését, a 6. cikk (1) bekezdését és a GDPR 9. cikk (2) bekezdését és a GDPR 12. cikk (2) bekezdését. II. A Hatóság a Kérelmező arra irányult kérelmének, hogy a Hatóság állapítsa meg, hogy a Kérelmezett nem teljesítette a hozzáférési kérelmét és kötelezze a hozzáférési kérelem teljesítésére, helyt ad és elmarasztalja a Kérelmezettet, mert megsértette a GDPR 15. cikk (1) bekezdését.

III.

A II. pontban megállapított jogsértés miatt a Hatóság utasítja a Kérelmezettet, hogy a határozat kézhezvételét követő 30 napon belül teljesítse a Kérelmező hozzáférési kérelmét. A kötelezettség teljesítését a Kérelmezettnek az intézkedés megtételétől számított 15 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt - igazolnia a Hatóság felé. A Hatóság a kötelezettség teljesítését érdemben ellenőrzi. A kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását.

IV. A Hatóság a Kérelmező arra irányult kérelmét, hogy a Hatóság utasítsa a Kérelmezettet, hogy a Kérelmezővel kapcsolatos adatkezelési műveleteit hozza összhangba az általános adatvédelmi rendelet rendelkezéseivel, valamint, hogy tiltsa meg a Kérelmezett számára a Kérelmező személyes adataival kapcsolatos adatkezelést, elutasítja.

V. A megállapított jogsértések miatt a Hatóság a Kérelmezettet hivatalból

500 000 Ft, azaz ötszázezer forint adatvédelmi bírság megfizetésére kötelezi a jelen határozat véglegessé válásától számított 30 napon belül.

A bírságot a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-273/2026. BÍRS. számra kell hivatkozni.

................................................................................................................................................................................................................ 1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok

Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását. A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

INDOKOLÁS

I. Az eljárás menete

(1) A Kérelmező előadta, hogy 2024. augusztus [...]-án az Elektronikus Egészségügyi Szolgáltatási

Tér (a továbbiakban: EESZT) „Digitális önrendelkezés/Adatkezelési napló” elnevezésű fül megnyitásával észlelte, hogy a Kérelmezett, [...] város háziorvosa havi rendszerességgel, havonta akár több alkalommal is megnézi és lekéri a Kérelmező egészségügyi dokumentumait, receptjeit, holott 2023. január [...] napja óta már nem ő a háziorvosa. 2023. január [...]-től 2024. szeptember [...]-ig (amely napon a Kérelmező korlátozta a Kérelmezett betekintési jogát) összesen 47 alkalommal listázta ki az egészségügyi adatait (laboreredmények, receptek, vizsgálatok eredményei). A Kérelmező kérelméhez csatolta a Kérelmezett lekérdezéseit bizonyító EESZT portál „Adatkezelési napló” kivonatát, mely szerint a következő időpontokban végzett a Kérelmezett lekérdezést: 1. 2023.01. [...] 2. 2023.02. [...] 3. 2023.02. [...] 4. 2023.02. [...] 5. 2023.03. [...] 6. 2023.03. [...] 7. 2023.03. [...] 8. 2023.03. [...] 9. 2023.03. [...] 10. 2023.03. [...] 11. 2023.03. [...] 12. 2023.03. [...] 13. 2023.04. [...] 14. 2023.04. [...] 15. 2023.04. [...] 16. 2023.04. [...] 17. 2023.04. [...] 18. 2024.04. [...] 19. 2024.04. [...] 20. 2023.04. [...] 21. 2023.04. [...] 22. 2023.05. [...]

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16). Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata

23. 2023.05. [...] 24. 2023.05. [...] 25. 2023.05. [...] 26. 2023.06. [...] 27. 2023.06. [...] 28. 2023.07. [...] 29. 2023.07. [...] 30. 2023.07. [...] 31. 2023.08. [...] 32. 2023.12. [...] 33. 2024.01. [...] 34. 2024.01. [...] 35. 2024.01. [...] 36. 2024.03. [...] 37. 2024.04. [...] 38. 2024.04. [...] 39. 2024.05. [...] 40. 2024.05. [...] 41. 2024.06. [...] 42. 2024.06. [...] 43. 2024.06. [...] 44. 2024.07. [...] 45. 2024.07. [...] 46. 2024.08. [...] 47. 2024.08. [...] (2) A Kérelmező 2024. szeptember 5. napján kelt levelében hozzáférési kérelemmel fordult a Kérelmezetthez, melyben az alábbi kérdéseket, illetve kéréseket terjesztette elő: „1. A 2023.01. [...] és 2024.09. [...] szerinti időszakban folyamatban volt-e az Ön részéről személyes adataim kezelése? 2. Jelenleg van-e folyamatban olyan adatkezelés, amely a személyes adataimat érinti? 3. Az 1. és 2. pontok szerinti időszakban ki volt a személyes adataim kezelője, adatkezelő minőségben? 4. Az 1. és 2. pontok szerinti időszakban adatkezelő mely személyes adataimat kezelte? Kérem, jelölje meg a személyes adatok kategóriáit. 5. Az 1. és 2. pontok szerinti időszakban mi volt a személyes adataim kezelésének célja? 6. Az 1. és 2. pontok szerinti időszakban mi volt a személyes adataim kezelésének jogalapja? 7. Az 1. és 2. pontok szerinti időszakban kivel közölte a személyes adataimat, ki volt a címzettje az adatoknak? 8. Mennyi volt az 1. és 2. pontok szerinti időszakban az adataim tárolásának időtartama és hol tárolták azokat? 9. Kérem, nevezze meg az adatvédelmi tisztviselőjét és adja meg elérhetőségét! 10. Jelölje meg, honnan lehet elektronikusan letölteni az adatkezelő adatvédelmi tájékoztatóját, amely az Érintetteket tájékoztatja. Amennyiben nem tölthető le, kérem, küldje meg emailben a következő email címre: [...]”. A Magyar Posta kézbesítési igazolása szerint a levelet 2024. szeptember 9. napján a Kérelmezett átvette, azonban válaszlevelet nem küldött. A Kérelmező kifogásolta továbbá, hogy több alkalommal közbeszéd tárgyát képezték olyan, az ő egészségi állapotára vonatkozó információk, amelyekről a Kérelmezőn és a Kérelmező kezelőorvosán túl – a Kérelmező állítása szerint - kizárólag a Kérelmezettnek volt tudomása. Következésképpen kérte a Hatóságtól, hogy: állapítsa meg, hogy a Kérelmezett nem teljesítette a Kérelmező hozzáférési kérelmét és ezzel megsértette az általános adatvédelmi rendelet 15. cikk (1) bekezdés szerinti tájékoztatáshoz való jogát (1. kérelem); kötelezze a Kérelmezettet arra, hogy a Kérelmező részére adjon az általános adatvédelmi rendelet 15. cikk (1) bekezdés szerinti tájékoztatást a Kérelmezett által kezelt személyes adatairól (2. kérelem); figyelmeztesse és marasztalja el a Kérelmezettet azért, mert az adatkezelése sérti az általános adatvédelmi rendelet rendelkezéseit, különösen a célhoz kötöttség, a jogszerűség, tisztességes eljárás, és átláthatóság elvét (3. kérelem); utasítsa a Kérelmezettet, hogy a Kérelmezővel kapcsolatos adatkezelési műveleteit hozza összhangba az általános adatvédelmi rendelet rendelkezéseivel (4. kérelem); tiltsa meg a Kérelmezővel kapcsolatos adatkezelést (5. kérelem); szabjon ki a Kérelmezettel szemben közigazgatási bírságot, figyelemmel arra, hogy a jogellenes adatkezelés egészségügyi adatokkal összefüggésben, jogellenes célból, hosszú ideig és rendszeresen, az általános adatvédelmi rendelet többszörös megsértésével történt (6. kérelem). A Kérelmező a NAIH-13152-3/2025. számú hiánypótlásra felhívó végzésre válaszul megküldte [...] háziorvos [...] igazolását arról, hogy a Kérelmező 2023. január [...] napjától az ő praxisába tartozik. Emellett megküldte két személy 2024. november 4. napján kelt nyilatkozatát, melyekben előadják a következőt: „nyilatkozom, hogy 2023-2024 évben [...] településen hallottam olyan lakossági megnyilvánulásokat, melyek [...] egészségügyi állapotával voltak kapcsolatosak.” A Hatóság az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 62. § (1) bekezdése, a 63. §-a és a 65. § (1)-(2) bekezdése alapján a tényállás tisztázása érdekében a NAIH-13152-6/2024. számú végzésben nyilatkozattételre és iratok becsatolására hívta fel a Kérelmezettet. A Kérelmezett a 2024. december 19. napján kelt válaszlevelében a következőket adta elő. [...] a betegellátást végzi, két asszisztens kollégája pedig adatrögzítési teendőket lát el. Ez a gyakorlatban úgy történik, hogy a rendelési idő kezdetén [...] 2 darab számítógépen belép az EESZT rendszerbe, ahova azt követően az asszisztensek a szükséges adatokat rögzítik. Az EESZT eléréséhez a MedMax elnevezésű orvosi szoftvert használják. A program sajátossága, hogy amikor a rendelést elkezdik, egy úgynevezett „rendelés nézet” elnevezésű felületet kell megnyitni. A „rendelés nézet” a pácienslistával indul, amely listán piros szín jelzi azon betegeket, akik már nincsenek a praxisban. Ilyenkor a kurzor valamelyik beteg nevén van, ezt nem irányítják. A szoftver belép az EESZT felületre. Valóban átvett 2024. szeptember 9. napján a Kérelmezőtől egy megkeresést, melyben a Kérelmező arról kért tájékoztatást, hogy a praxisból való kikerülését követően hogyan kezelte az adatait. A Kérelmezett ennek a megkeresésnek nem tulajdonított jelentőséget, mert amióta a Kérelmező háziorvost váltott, a Kérelmezett – az állítása szerint - nem kezelte az adatait. Következésképpen a hozzáférési kérelemre nem válaszolt. [...] nyilatkozata szerint a betegei adatait mindig az orvosi teendők ellátása érdekében kezelte és kezeli, a praxisába nem tartozó személyek adatait nem nézte meg, a tudomása szerint erre informatikai lehetőség sincs, mivel egy adott személy elektronikus egészségterét csak a kezelő szakorvosa és a saját háziorvosa láthatja - és ezektől eltérő utasítást az adatrögzítő asszisztenseinek sem adott soha. Amennyiben a Kérelmező EESZT felületére valóban az ő kódjával történt belépés, az az álláspontja szerint kizárólag informatikai/szoftverhasználati hiba miatt történhetett. Előadta, hogy mivel nem kérdezett le adatokat, így azokat nem is továbbította. A Hatóság a NAIH-11669-1/2025. számú végzésében felhívta a Kérelmezőt, hogy az adatkezelési napló bejegyzéseinek részleteiről készített képernyőmentések megküldésével ismertesse, hogy az egészségügyi adatait milyen jogalapon kérdezte le és ismerte meg a Kérelmezett az EESZT rendszerében a tárgyi időpontokban. A Kérelmező a 2025. július 21. napján küldött válaszlevelében foglaltakkal teljesítette a Hatóság felhívásában foglaltakat és megküldte a kért képernyőmentések másolatát. A Hatóság a NAIH-11669-3/2025. számú végzésében felhívta a Kérelmezettet arra, hogy támassza alá azon állítását – naplófájlok megküldésével – , hogy valamennyi tárgyi lekérdezést informatikai/szoftverhasználati hiba okozott; nyilatkozzon arról, hogy a hivatkozott hiba érintett-e más személyeket - amennyiben igen, nyilatkozzon azok részleteiről, valamint hogy küldje meg az asszisztensei által tett azon nyilatkozatokat, hogy nem tekintettek be a Kérelmező EESZT felületébe a megjelölt időpontokban sem az utasítására, sem saját döntés nyomán. A Kérelmezett 2025. augusztus 25. napján küldött válaszlevelet. Előadta, hogy [...] Város Önkormányzatával háziorvosi feladatok ellátásra kötött szerződését 2025. február 28. napján felmondta, melynek nyomán az asszisztensek munkaviszonya is megszüntetésre került, valamint a MedMax orvosi szoftver használatára vonatkozó szerződést is felmondta. Adminisztrációs terhekre hivatkozással nem küldte meg a Hatóság által kért naplófájlokat. Megismételte azon állítását, hogy soha nem adott utasítást az asszisztensei számára a Kérelmező EESZT portáljába való betekintésre, és ennek alátámasztására mellékelte az asszisztensek – [...] és [...] - 2025. augusztus 19. napján kelt, megegyező tartalmú nyilatkozatait:

„Előadom, hogy az EESZT hozzáférések tekintetében [...] Kérelmező személy adataihoz kapcsolódóan a megjelölt időpontokban, sem más időpontokban nem kaptam semmilyen utasítást [...] betegellátást végző orvostól arra vonatkozóan, hogy a Kérelmező adatait megtekintsem. Kijelentem, hogy csak és kizárólag olyan betegek törzsadatlapjába végeztem orvosi utasításra betekintést, aki a rendelésen megjelent, vagy egyéb okok miatt utókövetés volt szükséges. Jelen nyilatkozatban foglaltak valóságtartalmáért teljes felelősséggel tartozom.” Kifejtette, hogy a korábbi levelében hivatkozott hiba fennálltát nem tudja alátámasztani, azt mindössze feltételezi. Nincsen tudomása arról, hogy a feltételezett informatikai hiba a Kérelmező adatain túl más személy adatait is érintette volna. A Hatóság a NAIH-273-1/2026. számú végzésében megkereste a PROFIX Computer Számítástechnikai Kft.-t, mint a Kérelmezett által használt MedMax orvosi program szolgáltatóját annak érdekében, hogy adjon tájékoztatást arról, hogy a Kérelmezett esetében a MedMax program használata során informatikai hiba fennállását észlelték-e a tárgyi időpontokban, illetve amennyiben igen, nyújtson tájékoztatást a hiba részleteiről. A PROFIX Computer Számítástechnikai Kft. a 2025. február 5. kelt válaszlevelében előadta, hogy sem a felsorolt, sem más napokon nem észleltek informatikai hibát a Kérelmezett esetében a MedMax program használata során. Előadták, hogy az EESZT-vel a kommunikáció a MedMax programban csak felhasználói kezdeményezésre történhet. Az EESZT-be történő bejelentkezéshez szükséges a felhasználó személyi igazolványa vagy mobiltelefonja, nélkülük a program nem tud az EESZT-hez kapcsolódni. A bejelentkezést követően a felhasználó választja ki, hogy a beteg mely EESZT-ben tárolt adatát kérdezi le. A programba történő belépést követően az EESZT autentikációhoz az adatok bekérése csak abban az esetben történik meg, ha a felhasználó olyan műveletet kezdeményez, amelyhez szükséges EESZT kapcsolatot létrehozni. Az adatbázisban lévő egyéb tevékenységeket logolják, a pontos EESZT kommunikációt azonban nem tárolják, ehhez az adatbázishoz nem férnek hozzá tekintettel arra, hogy a MedMax program nem felhő alapú, hanem helyi számítógépekre telepített adatbázis. Ennek következtében nincsen lehetőségük arra, hogy lekérdezzék, ki volt a kérdéses időpontokban bejelentkezve a felhasználó számítógépébe és milyen tevékenységeket végzett. A Hatóság a NAIH-273-2/2026. számú végzésben megkereste a Belügyminisztériumot, mint az EESZT-t működtető hatóságot annak tisztázása céljából, hogy a Kérelmezett esetében az EESZT használata során informatikai hiba fennállását észlelték-e a tárgyi időpontokban, illetve amennyiben igen, tájékoztassa a Hatóságot a hiba részleteiről. A Belügyminisztérium a 2026. február 9. napján érkezett válaszlevelében tájékoztatta a Hatóságot, hogy a megkeresésben megjelölt napokon nem történt az EESZT rendszerét érintő olyan adatvédelmi incidens, informatikai hiba, amely a tárgyi megkeresésben jelzett, rendellenes (tényleges ellátó oldali felhasználói beavatkozás nélküli és/vagy az érintett digitális önrendelkezési nyilatkozatában foglalt korlátozó rendelkezést felülíró) lekérdezési műveletek végrehajtását eredményezte volna. A kifogásolt lekérdezési műveletek nem az EESZT nem üzemszerű működése, EESZT informatikai rendszerének meghibásodása, technológiai biztonsági rés vagy üzemeltetési emberi erőforrás probléma miatt állt elő. A Hatóság az Ákr. 76. §-a alapján a Kérelmezőt a NAIH-273-5/2026. számú végzésben, illetve a Kérelmezettet a NAIH-273-6/2026. számú végzésben tájékoztatta arról, hogy a tényállás tisztázása befejeződött és a feltárt bizonyítékokat az iratbetekintés szabályainak figyelembevételével megismerhetik és további bizonyítási indítványokat tehetnek. A Hatóság végzését a Kérelmező és a Kérelmezett is átvette 2026. február 26. napján, azonban határidőn belül és azon túl sem élt egyikük sem iratbetekintési, valamint nyilatkozattételi jogával.

II. Tényállás

A Kérelmezett 2023. január [...]-tól 2024. szeptember [...]-ig 47 alkalommal lekérdezte és megismerte a Kérelmező EESZT rendszerében található információkat annak ellenére, hogy 2023. január [...] napja óta már nem a Kérelmezett végzi a Kérelmező háziorvosi ellátását.

A Kérelmező 2024. szeptember 5. napján kelt levelében hozzáférési kérelemmel fordult a Kérelmezetthez, azonban a Kérelmezett nem küldött válaszlevelet, a hozzáférési kérelmet nem teljesítette.

III. Alkalmazott jogszabályi rendelkezések

Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít. Az Infotv. 60. § (2) bekezdése alapján az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében meghatározott esetben nyújtható be. Az általános adatvédelmi rendelet 77. cikk (1) bekezdése szerint minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti az általános adatvédelmi rendeletet. Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az Infotv.-ben meghatározott eltérésekkel. Az Ákr. 35. § (1) bekezdése szerint a kérelem az ügyfél olyan nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében. Az Ákr. 38. §-a értelmében a kérelmet tartalma szerint kell elbírálni akkor is, ha az nem egyezik az ügyfél által használt elnevezéssel. Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.

A GDPR 4. cikk 15. pontja alapján „egészségügyi adat”: egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról.

A GDPR 4. cikk 2. pontja alapján „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés, továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.

A GDPR 4. cikk 7. pontja alapján „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja. Általános adatvédelmi rendelet 5. cikk: (1) A személyes adatok:

a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”); c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”); d) pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság”); e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”); f) kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”). (2) Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). Az általános adatvédelmi rendelet 6. cikk (1) bekezdése szerint: (1) A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. Az általános adatvédelmi rendelet 9. cikke szerint: (1) A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.

(2) Az (1) bekezdés nem alkalmazandó abban az esetben, ha: a) az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával; b) az adatkezelés az adatkezelőnek vagy az érintettnek a foglalkoztatást, valamint a szociális biztonságot és szociális védelmet szabályozó jogi előírásokból fakadó kötelezettségei teljesítése és konkrét jogai gyakorlása érdekében szükséges, ha az érintett alapvető jogait és érdekeit védő megfelelő garanciákról is rendelkező uniós vagy tagállami jog, illetve a tagállami jog szerinti kollektív szerződés ezt lehetővé teszi; c) az adatkezelés az érintett vagy más természetes személy létfontosságú érdekeinek védelméhez szükséges, ha az érintett fizikai vagy jogi cselekvőképtelensége folytán nem képes a hozzájárulását megadni; d) az adatkezelés valamely politikai, világnézeti, vallási vagy szakszervezeti célú alapítvány, egyesület vagy bármely más nonprofit szervezet megfelelő garanciák mellett végzett jogszerű tevékenysége keretében történik, azzal a feltétellel, hogy az adatkezelés kizárólag az ilyen szerv jelenlegi vagy volt tagjaira, vagy olyan személyekre vonatkozik, akik a szervezettel rendszeres kapcsolatban állnak a szervezet céljaihoz kapcsolódóan, és hogy a személyes adatokat az érintettek hozzájárulása nélkül nem teszik hozzáférhetővé a szervezeten kívüli személyek számára; e) az adatkezelés olyan személyes adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott; f) az adatkezelés jogi igények megállapításához, érvényesítéséhez, illetve védelméhez szükséges, vagy amikor a bíróságok igazságszolgáltatási feladatkörükben járnak el; * g) az adatkezelés jelentős közérdek miatt szükséges, uniós jog vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő; h) az adatkezelés megelőző egészségügyi vagy munkahelyi egészségügyi célokból, a munkavállaló munkavégzési képességének felmérése, orvosi diagnózis felállítása, egészségügyi vagy szociális ellátás vagy kezelés nyújtása, illetve egészségügyi vagy szociális rendszerek és szolgáltatások irányítása érdekében szükséges, uniós vagy tagállami jog alapján vagy egészségügyi szakemberrel kötött szerződés értelmében, továbbá a (3) bekezdésben említett feltételekre és garanciákra figyelemmel; i) az adatkezelés a népegészségügy területét érintő olyan közérdekből szükséges, mint a határokon át terjedő súlyos egészségügyi veszélyekkel szembeni védelem vagy az egészségügyi ellátás, a gyógyszerek és az orvostechnikai eszközök magas színvonalának és biztonságának a biztosítása, és olyan uniós vagy tagállami jog alapján történik, amely megfelelő és konkrét intézkedésekről rendelkezik az érintett jogait és szabadságait védő garanciákra, és különösen a szakmai titoktartásra vonatkozóan; j) az adatkezelés a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból szükséges olyan uniós vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő; Az (1) bekezdésben említett személyes adatokat abban az esetben lehet a (2) bekezdés h) pontjában említett célokból kezelni, ha ezen adatok kezelése olyan szakember által vagy olyan szakember felelőssége mellett történik, aki uniós vagy tagállami jogban, illetve az arra hatáskörrel rendelkező tagállami szervek által megállapított szabályokban meghatározott szakmai titoktartási kötelezettség hatálya alatt áll, illetve olyan más személy által, aki szintén uniós vagy tagállami jogban, illetve az arra hatáskörrel rendelkező tagállami szervek által megállapított szabályokban meghatározott titoktartási kötelezettség hatálya alatt áll. A tagállamok további feltételeket - köztük korlátozásokat - tarthatnak hatályban, illetve vezethetnek be a genetikai adatok, a biometrikus adatok és az egészségügyi adatok kezelésére vonatkozóan. Az általános adatvédelmi rendelet 12. cikk (1)-(5) bekezdései alapján:

Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. Az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15-22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15-22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri. Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. A 13. és 14. cikk alapján rendelkezésre bocsátott információkat és a 15-22. és 34. cikk alapján végzett minden tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy - különösen ismétlődő jellege miatt - túlzó, az adatkezelő: a) a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségek figyelembevételével észszerű összegű díjat számíthat fel, vagy b) megtagadhatja a kérelem alapján történő intézkedést. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli.

Az általános adatvédelmi rendelet (63) preambulumbekezdése alapján az érintett jogosult, hogy hozzáférjen a rá vonatkozóan gyűjtött adatokhoz, valamint arra, hogy egyszerűen és észszerű időközönként, az adatkezelés jogszerűségének megállapítása és ellenőrzése érdekében gyakorolja e jogát. Ez magában foglalja az érintett jogát arra, hogy az egészségi állapotára vonatkozó személyes adatokhoz - mint például a diagnózis, a vizsgálati leletek, a kezelőorvosok véleményei, valamint a kezeléseket és a beavatkozásokat tartalmazó egészségügyi dokumentációk - hozzáférjen. Ezért minden érintett számára biztosítani kell a jogot arra, hogy megismerje különösen a személyes adatok kezelésének céljait, továbbá ha lehetséges, azt, hogy a személyes adatok kezelése milyen időtartamra vonatkozik, a személyes adatok címzettjeit, azt, hogy a személyes adatok automatizált kezelése milyen logika alapján történt, valamint azt, hogy az adatkezelés - legalább abban az esetben, amikor az profilalkotásra épül - milyen következményekkel járhat, továbbá hogy minderről tájékoztatást kapjon. Ha lehetséges, az adatkezelő távoli hozzáférést biztosíthat egy biztonságos rendszerhez, amelyen keresztül az érintett a saját személyes adataihoz közvetlenül hozzáférhet. Ez a jog nem érintheti hátrányosan mások jogait és szabadságait, beleértve az üzleti titkokat vagy a szellemi tulajdont, és különösen a szoftverek védelmét biztosító szerzői jogokat. Ezek a megfontolások mindazonáltal nem eredményezhetik azt, hogy az érintettől minden információt megtagadnak. Ha az adatkezelő nagy mennyiségű információt kezel az érintettre vonatkozóan, kérheti az érintettet, hogy az információk közlését megelőzően pontosítsa, hogy kérése mely információkra vagy mely adatkezelési tevékenységekre vonatkozik. Az általános adatvédelmi rendelet 15. cikke szerint: (1) Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár. Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozóan a 46. cikk szerinti megfelelő garanciákról. Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri. A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait. (32) Az Elektronikus Egészségügyi Szolgáltatási Térrel kapcsolatos részletes szabályokról szóló 39/2016. (XII. 21.) EMMI rendelet értelmében: 9. § (1) EESZT szolgáltatás kizárólag a szolgáltatás igénybevételéhez szükséges jogosultsággal rendelkező felhasználó által, annak azonosítását követően vehető igénybe. (2) Az azonosítás a) szervezeti felhasználó esetében a működtető által meghatározott tulajdonságokkal rendelkező elektronikus tanúsítvánnyal, b) természetes személy ágazati felhasználó esetében a működtető által meghatározott többtényezős hitelesítést alkalmazó azonosítás igénybevételével, c) érintett esetében a működtető által biztosított elektronikus felületen, a Kormány által kötelezően biztosított azonosítási szolgáltatás útján történik. (3) A működtető az ágazati felhasználó (2) bekezdés a) vagy b) pontja szerinti azonosítását követően az EESZT minden egyes szolgáltatásának használatát megelőzően ellenőrzi, hogy az ágazati felhasználó a) jogosult-e a szolgáltatás használatára, b) jogosult-e a csatlakozott adatkezelő vagy annak szervezeti egysége nevében az adott szolgáltatás vonatkozásában eljárni, c) megfelel-e az adott szolgáltatás igénybevételére vonatkozó speciális feltételeknek, valamint d) jogosult-e az önrendelkezési nyilvántartás adatait is figyelembe véve az adat megismerésére. (33) Az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló 1997. évi XLVII. törvény (a továbbiakban: Eüak.) 3. § f) kezelést végző orvos: az egészségügyről szóló 1997. évi CLIV. törvény 3. § b) pontja szerinti kezelőorvos; g) betegellátó: a kezelést végző orvos, az egészségügyi szakdolgozó, az érintett gyógykezelésével kapcsolatos tevékenységet végző egyéb személy, a gyógyszerész;

5. § (1) Az egészségügyi ellátó hálózaton belül az egészségügyi és személyazonosító adat kezelésére – amennyiben e törvény másként nem rendelkezik – jogosult a) a betegellátó

Az egészségügyről szóló 1997. évi CLIV törvény (a továbbiakban: Eütv.) 3. § b)

kezelőorvos: a beteg adott betegségével, illetve egészségi állapotával kapcsolatos vizsgálati és terápiás tervet meghatározó, továbbá ezek keretében beavatkozásokat végző orvos, illetve orvosok, akik a beteg gyógykezeléséért felelősséggel tartoznak; Eütv. 129. § (3) A kezelőorvos – feladatkörében – jogosult a) más orvost vagy egyéb szakképesítéssel rendelkező egészségügyi dolgozót a beteg vizsgálatára, illetve gyógykezelésében való közreműködésre felkérni, b) konzílium összehívását javasolni, illetve összehívni. (36) Az általános adatvédelmi rendelet 58. cikk (2) bekezdése szerint a felügyeleti hatóság korrekciós hatáskörében eljárva: a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit - adott esetben meghatározott módon és meghatározott időn belül - hozza összhangba e rendelet rendelkezéseivel; e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését. Az általános adatvédelmi rendelet 83. cikke szerint: Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket: a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket;

e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái;

h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. (3) Ha egy adatkezelő vagy adatfeldolgozó egyazon adatkezelési művelet vagy egymáshoz kapcsolódó adatkezelési műveletek tekintetében - szándékosan vagy gondatlanságból - e rendelet több rendelkezését is megsérti, a bírság teljes összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget. Az Ákr. 62. § (4) bekezdése szerint a hatóság szabadon választja meg a bizonyítás módját, és a rendelkezésre álló bizonyítékokat szabad meggyőződése szerint értékeli. Az Infotv. 60/A. § (1) bekezdése szerint az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap, amely határidőbe nem számít bele a tényállás tisztázásához szükséges adatok közlésére irányuló felhívástól az annak teljesítéséig terjedő idő. Az Ákr. 37. § (2) bekezdése értelmében az eljárás a kérelemnek az eljáró hatósághoz történő megérkezésének időpontjában indul. Az Ákr. 50. § (5) bekezdése szerint az ügyintézési határidőbe nem számít be az eljárás felfüggesztésének, szünetelésének és az ügyfél mulasztásának vagy késedelmének időtartama. Az eljárási határidők számítására egyebekben az Ákr. 52. §-át kell alkalmazni.

IV. A Hatóság döntése

IV.1. EESZT-be való betekintés (3. kérelem)

Az EESZT-ben rögzített orvosi dokumentációban foglalt egészségügyi adatok a különleges személyes adatok körébe tartoznak a GDPR 4. cikk 15. pontja, valamint a 9. cikk (1) bekezdése alapján. A GDPR 4. cikk 2. pontjában foglalt, adatkezelés fogalommeghatározása szerint adatkezelésnek minősül a személyes adatokat érintő lekérdezés és betekintés. Tekintettel arra, hogy a Kérelmezett nyilatkozata szerint az asszisztensei is hozzáféréssel rendelkeztek a háziorvosi szoftverhez, és a munkavállalók utasításokkal történő ellátása a munkáltató felelőssége, a Hatóság felhívta a Kérelmezettet annak tisztázására is, hogy a kifogásolt lekérdezéseket az asszisztensek végezték-e. A Kérelmezett által 2025. augusztus 19. napján küldött levél, valamint az ahhoz csatolt asszisztensi nyilatkozatok szerint az asszisztensek sem hajtották végre a panaszolt lekérdezéseket. A Kérelmező által az EESZT adatkezelési naplójában elérhető bejegyzések részleteiről küldött képernyőmentések alapján egyértelműen megállapítható, hogy a Kérelmezett végezte a lekérdezéseket, és ezzel ellentétes körülmény fennálltát – informatikai hiba vagy asszisztensi lekérdezés – a Kérelmezett semmivel nem támasztotta alá. Ezek alapján a Hatóság megállapította, hogy a Kérelmezett a Kérelmező EESZT-jébe való betekintéssel a GDPR hatálya alá tartozó adatkezelést végzett és viselnie kell az adatkezelői felelősségeket. Az egészségügyi adatok kezeléséhez a GDPR 6. cikk (1) bekezdésében szabályozott valamely jogalap mellett a GDPR 9. cikk (2) bekezdésében meghatározott valamely jogalap fennállása is szükséges. A magyar jogi szabályozásban ezt a keretet az Eüak., valamint az Eütv. pontosítja. Az Eüak. 5. § szerint az egészségügyi ellátó hálózaton belül az egészségügyi és személyazonosító adat kezelésére – amennyiben e törvény másként nem rendelkezik – jogosult a betegellátó, az intézményvezető, valamint az adatvédelmi tisztviselő. A fogalom-meghatározás értelmében a betegellátó a kezelőorvos, így az a korábbi háziorvos, aki már nem vesz részt a beteg ellátásában, nem minősül kezelőorvosnak – kivéve, ha az Eütv. 129. § (3) bekezdés alapján felkérték a közreműködésre, de ennek fennállására a Kérelmezett nem hivatkozott. Aki nem minősül kezelőorvosnak, az a fent idézett szerint nem jogosult az érintett egészségügyi adatának kezelésére.

A Kérelmezett általi lekérdezések adatkezelési jogalapjaként „Kezelőorvos általi lekérdezés” látható az EESZT bejegyzések részleteiben. A Kérelmező és a Kérelmezett nyilatkozata is egybehangzó a tekintetben, hogy a Kérelmezett a kifogásolt lekérdezések idejében már nem volt a Kérelmező kezelőorvosa. Az elszámoltathatóság elvének értelmében a Kérelmezettet, mint adatkezelőt terheli annak bizonyítása, hogy adatkezelése megfelel a GDPR 5. cikk (1) bekezdésében foglalt, a személyes adatok kezelésére vonatkozó elveknek. A Hatóság a NAIH-11669-1/2025. számú végzésében ismételten felhívta a Kérelmezettet a lekérdezések jogalapjának igazolására, azonban a Kérelmezett azokat nem tudta megjelölni. Nyilatkozatában az informatikai hiba fennállását a Kérelmezett egy lehetőségként vetette fel, amely felvetését maga nem tudta igazolni. Az informatikai hiba fennállta bizonyítása érdekében a Hatóság a Kérelmezettől be kívánta szerezni azokat a naplófájlokat, amelyek tanúsíthatták volna esetleges informatikai hiba megtörténtét, azonban a Kérelmezett a Hatóság ezen kérését nem teljesítette. Az informatikai hiba fennállta bizonyítása érdekében a Hatóság a NAIH-273-1/2026. számú végzésében a PROFIX Computer Számítástechnikai Kft.-t, mint a Kérelmezett által használt MedMax orvosi program szolgáltatóját, a NAIH-273- 2/2026. számú végzésében pedig a Belügyminisztériumot, mint az EESZT-t működtető hatóságot megkereste annak tisztázása érdekében, hogy a tárgyi időpontokban fennállt-e informatikai/szoftverhasználati hiba a Kérelmezett esetében a rendszerek használata során. Mindkét megkeresett előadta, hogy semmilyen informatikai vagy szoftverhasználati hiba nem állt fenn.

A Hatóság figyelembe vette azt is, hogy a Kérelmezett állítása szerint a feltételezett informatikai hiba a Kérelmező adatain túl más személy adatait nem érintette.

Összességében a Hatóság úgy értékelte, hogy mivel informatikai hiba nem állt fenn, és a becsatolt adatkezelési napló, valamint annak részletezett tartalma - „adatkezelés jogalapja: kezelőorvos általi lekérdezés”- a Kérelmező adatainak a Kérelmezett kezelőorvosi minőségben történt, a felsorolt időpontokban megtett lekérdezését tanúsítja annak ellenére, hogy ő ezen időpontokban nem volt a Kérelmező kezelőorvosa, ezért a Hatóság megállapítja a jogellenes adatkezelést.

Az adatkezelési napló tanúsága szerint a lekérdezést a Kérelmezett végezte. A Kérelmezett nyilatkozata szerint a rendelési idő kezdetén ő belép az EESZT rendszerébe, ahol az asszisztensei végzik az adatrögzítést. Tekintettel arra, hogy az adatkezelési napló a Kérelmezett általi lekérdezést tanúsítja, a Hatóság a Kérelmezett jogellenes adatkezelését állapítja meg, és további bizonyítást nem folytatott annak érdekében, hogy feltárja, az asszisztensek az ő utasítása ellenében végezték-e a műveleteket, valamint tekintettel arra is, hogy a Kérelmezett a Hatóság tényállás-tisztázó végzésben feltett kérdése („Küldje meg az asszisztensei természetes személyazonosító adatait, elérhetőségeit, valamint az általuk tett azon nyilatkozatot, hogy nem tekintettek be a Kérelmező EESZT felületébe az 1. pontban megjelölt időpontokban sem az Ön utasítására, sem saját döntés nyomán!”) ellenére e körben – ti. az asszisztens az utasítása ellenére, saját döntés nyomán végezett volna betekintést – nem nyújtott be nyilatkozatot, így a saját tevékenységének jogszerűségét nem kísérelte meg igazolni.

A Hatóság a fentiek alapján a rendelkező rész I. pontjában megállapította, hogy a Kérelmezett 47 alkalommal végzett adatkezelést a Kérelmező EESZT felületébe való betekintéssel anélkül, hogy ezen adatkezeléseknek igazolta volna a jogalapját és ezzel a magatartásával a Kérelmezett megsértette a GDPR 5. cikk (2) bekezdését, mivel semmivel nem igazolta azt, hogy adatkezelése jogszerű, valamint a jogalap nélküli adatkezeléssel megsértette a GDPR 6. cikk (1) és a 9. cikk (2) bekezdését is. IV.2. A hozzáférési kérelem (1. és 2. kérelem)

A Kérelmező kérte annak megállapítását, hogy a Kérelmezett megsértette a hozzáférési jogát azáltal, hogy nem válaszolt a hozzáférési kérelmére, valamint kérte a Hatóságot, hogy kötelezze a Kérelmezettet a hozzáférési kérelem teljesítésére. Az adatkezelők kötelesek az átláthatóságot biztosítani nemcsak az adatkezelés megkezdését megelőzően, hanem annak teljes időtartama során. A transzparencia funkciója ugyanakkor a folyamatban lévő műveletek esetében némileg átalakul az előzetes tájékoztatáshoz képest: már nemcsak az adatkezelés tudatosítását célozza, hanem az adatkezelés adatalany általi ellenőrzésének leghatékonyabb eszköze lesz. Az adatalanyok hozzáféréshez való joga az információs önrendelkezési jog egyik konstitutív eleme, és mint ilyen, a személyes adatok védelméhez fűződő alapjog egyik legfontosabb aspektusa. E jogosultság lényege, hogy az érintett tájékoztatást kaphat a konkrét adatkezeléssel összefüggésben, a kapott információk révén pedig képessé válik az adatkezelő folyamatban lévő tevékenységeinek ellenőrzésére, gyakorolhatja a számára biztosított jogokat, illetve jogorvoslatot vehet igénybe.

Az általános adatvédelmi rendelet 12. cikk (2) bekezdésében foglaltak értelmében az adatkezelő elősegíti az érintett 15-22. cikk szerinti jogainak a gyakorlását. A 15. cikk rendelkezik a hozzáférés jogának részleteiről, ezen belül a 15. cikk (3) bekezdés az adatok másolatára való jogosultságot állapítja meg. A GDPR 12. cikk (5) bekezdése rendelkezik azon esetekről, amikor az adatkezelő megtagadhatja az érintetti kérelem alapján történő intézkedést: ha az érintett kérelme egyértelműen megalapozatlan vagy - különösen ismétlődő jellege miatt – túlzó. Azonban a GDPR 12. cikk (4) bekezdése értelmében ebben az esetben is késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. A Hatóság megállapította, hogy a Kérelmezett nem tett eleget ezen kötelezettségének, ugyanis a Kérelmező 2024. szeptember 5. napján kelt, a Kérelmezett által a tértivevény tanúsága szerint 2024. szeptember 9. átvett levele nyomán nem tett intézkedéseket a GDPR által biztosított egy hónapos határidőn belül. A GDPR 12. cikk (5) bekezdése alapján a kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli. A Kérelmezett a Hatóságnak azt nyilatkozta, hogy azért nem teljesítette a Kérelmező hozzáférési kérelmét, mert annak nem tulajdonított jelentőséget tekintettel arra, hogy a Kérelmező már nem a páciense és nem kezeli az adatait. A Hatóság nem tartja elfogadhatónak a Kérelmezett által hivatkozott indokot, mivel az érintett a hozzáférési jogának gyakorlása keretében jogosult arra is, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése még folyamatban van-e. Ha a korábbi - adatkezelő már nem kezeli az adatokat, ez önmagában is egy információ, amit közölni kell az érintettel az általános adatvédelmi rendelet 15. cikk (1) bekezdésének első fordulata alapján, tehát ez a körülmény nem mentesíti az adatkezelőt az alól, hogy válaszoljon a megkeresésre. A Kérelmezett a Kérelmező tájékoztatása nélkül (akinek huzamosabb időn keresztül tudomása sem volt a betekintésekről) számtalan alkalommal betekintett az EESZT felületébe azt követően, hogy már nem ő volt a háziorvosa, tehát a Kérelmező megalapozottan kért információkat az érintetti kérelmében a Kérelmezett által a Kérelmező adataival végzett adatkezelések részleteiről, hiszen azokról (pl. betekintések célja, jogalapja, stb.) nem volt tudomása tájékoztatás hiányában. A Hatóság tehát a határozat rendelkező rész II. pontjában megállapította, hogy a Kérelmezett megsértette a GDPR 15. cikk (1) bekezdését azáltal, hogy nem tett intézkedéseket a Kérelmező hozzáférési kérelme alapján, nem tájékoztatta a Kérelmezőt az adatkezelés körülményeiről a 15. cikk (1) bekezdésének megfelelően. Tekintetettel arra, hogy a fent kifejtetteknek megfelelően a Kérelmezett jogsértő módon nem tett intézkedéseket a Kérelmező hozzáférési kérelme nyomán, a Hatóság a rendelkező rész III. pontjában kötelezte a hozzáférési kérelem teljesítésére. IV.3. A Kérelmező egészségügyi adatai harmadik személyek általi megismerése (3. kérelem)

A Kérelmező állítása szerint vannak olyan egészségügyi adatai, amelyekről korábban kizárólag neki és a jelenlegi háziorvosának volt tudomása, illetve a Kérelmezett az EESZT lekérdezések útján ismerte meg azokat. A Kérelmező nyilatkozata szerint ezeket az információkat se ő, se a háziorvosa nem osztotta meg más személlyel, mégis ismertté váltak harmadik személyek számára. A Kérelmező következtetése szerint tehát kizárólag a Kérelmezett lehetett az a személy, aki megosztotta ezeket az információkat harmadik személyekkel. A Hatóság felhívta a Kérelmezettet annak közlésére, hogy mely személyekkel osztotta meg a Kérelmező tárgyi egészségügyi adatait. A Kérelmezett válaszában azt nyilatkozta, hogy „mivel nem kérdeztem le adatokat, nem is továbbítottam azokat senkinek”. Annak megállapításához, hogy a Kérelmezett jogellenesen közölte a Kérelmező egészségügyi adatait, objektív, rekonstruálható bizonyíték lenne szükséges. A kizárólag a Kérelmező véleményén alapuló feltételezés – miszerint az adott információhoz más nem férhetett hozzá, más nem oszthatta meg – nem zárja ki annak a lehetőségét, hogy az érintett egészségügyi adatok más úton, más személy által is ismertté válhattak. Amennyiben a kifogásolt közlés szóban, informálisan történt, úgy annak pontos tartalma, ideje, körülményei és résztvevői utólag nem rekonstruálhatók teljes bizonyossággal, amennyiben erről semmiféle írásos vagy más módon dokumentált bizonyíték nem áll rendelkezésre. A szóbeliség sajátosságából fakadóan – különösen, ha az adatok illetéktelen személyek általi megismerésének tényéről harmadik személy útján értesült a Kérelmező – az eset objektív megítélését jelentősen nehezíti a közlés tartalmát érintő torzulás lehetősége. Ennek értelmében tehát a Kérelmező szubjektív vélekedése, logikai következtetése, vagy annak feltételezése, hogy kizárólag egy adott személy ismerhette az adatokat, nem helyettesíti az objektív bizonyítékot. A kérelemhez csatolt nyilatkozatok sem nevesítik a Kérelmezettet, mint az adatok forrását, csupán azt jelentik ki, hogy a Kérelmező egészségügyi állapota a településen szóbeszéd tárgya volt. Tekintettel a fentiekre nem állapítható meg Kérelmezett általi, Kérelmező egészségügyi adataival végzett jogellenes adattovábbítás vagy közlés. A Hatóság ezért a kérelem ezen részét a rendelkező rész IV. pontjában elutasította. IV.4. A Kérelmezett utasítása arra, hogy a Kérelmezővel kapcsolatos adatkezelési műveleteit hozza összhangba az általános adatvédelmi rendelet rendelkezéseivel (4. kérelem) A Kérelmező kérte azt is, hogy a Hatóság utasítsa a Kérelmezettet arra, hogy a Kérelmezővel kapcsolatos adatkezelési műveleteit hozza összhangba az általános adatvédelmi rendelet rendelkezéseivel. Ahogyan a Hatóság fentebb kifejtette, a Kérelmezett a Kérelmező hozzáférési kérelme kezelése tekintetében megsértette a GDPR 12. cikk (2) bekezdését, ezért a Hatóság a Kérelmezettet elmarasztalta és utasította, hogy a határozat kézhezvételét követő 30 napon belül teljesítse a Kérelmező hozzáférési kérelmét. A Hatóság az előbbiekben megállapította, hogy a Kérelmezett 47 alkalommal végzett adatkezelést a Kérelmező EESZT felületébe való betekintéssel anélkül, hogy ezen adatkezeléseknek igazolta volna a jogalapját, következésképpen ezzel a magatartásával a Kérelmezett megsértette a GDPR 5. cikk (2) bekezdését, mivel semmivel nem igazolta azt, hogy adatkezelése jogszerű, valamint a jogalap nélküli adatkezeléssel a GDPR 9. cikk (2) bekezdését. A Hatóság jövőbeli, feltételezett magatartástól való tartózkodásra nem hívta fel a Kérelmezettet.

Tekintettel arra, hogy a Kérelmezett már nem a Kérelmező kezelőorvosa, tehát már nem kezeli az adatait, nincsen olyan adatkezelési művelet, amelynek tekintetében a Hatóság kötelezhetné a Kérelmezettet, hogy azt hozza összhangba a GDPR rendelkezéseivel. Ennek értelmében a Hatóság a rendelkező rész IV. pontjában elutasította a Kérelmező 4. kérelmét. IV.5. A Kérelmező azon kérelme, hogy a Hatóság tiltsa meg a Kérelmezettnek a Kérelmezővel kapcsolatos adatkezelést (5. kérelem) A Kérelmező kérte a Hatóságot, hogy tiltsa meg a Kérelmezettnek a személyes adatai kezelését. Mivel a Hatóság a IV.4. pontban megállapította, hogy a Kérelmezett már nem kezeli a Kérelmező adatait, a Hatóság a Kérelmező ezen kérelmét úgy értelmezte, hogy a Hatóság a Kérelmező adatait érintő, jövőbeli jogellenes adatkezelést tiltsa meg a Kérelmezettnek. A Hatóság által kiadott tiltás egy esetleges jövőbeli jogellenes adatkezeléssel kapcsolatban értelmetlen, mivel a jogszabály már eleve megfogalmazza azokat az elveket és tilalmakat, amelyek alapján minden jogellenes adatkezelés tiltott. A jogellenes cselekményekre nem szükséges külön, eseti tiltásokat kibocsátani, mivel azok az általános szabályozás folytán amúgy is tilalom alá esnek. Ha egy hatóság előzetesen és általánosságban tilt meg egy feltételezett, de még be nem következett, hipotetikus adatkezelést, amelyet a jogszabály egyébként is jogellenesnek minősít, akkor azzal lényegében deklarálja azt, amit a jogszabály már önmagában kimondott. A jogellenes adatkezelések jogszerűtlensége tehát nem az eseti tiltásokból, hanem jogszabályban lefektetett elvekből ered. A Hatóság szükség esetén, konkrét adatkezelések vizsgálata során alkalmazza a jogszabályi tilalmakat, és ha jogsértést állapít meg, akkor azt szankcionálja. A Hatóság ezért a kérelem ezen részét a rendelkező rész IV. pontjában elutasította. IV.6. Bírság kiszabására irányuló kérelem (6. kérelem)

A Kérelmező kérte, hogy a sérelmezett adatkezelések miatt a Hatóság szabjon ki bírságot a Kérelmezettel szemben. Ezen jogkövetkezmény alkalmazása a Kérelmező jogát vagy jogos érdekét még jogsértés megállapítása esetén sem érinti közvetlenül, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen, a közérdek érvényesítésének körébe eső jogkövetkezmény alkalmazása tekintetében a Kérelmező nem minősül ügyfélnek az Ákr. 10. § (1) bekezdése alapján. Mivel az Ákr. 35. § (1) bekezdésének nem felel meg, e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető. Ezt támasztja alá az EUB C-768/21. ügyben született ítélet 41. pontja is: „Ennélfogva sem a GDPR 58. cikkének (2) bekezdéséből, sem annak 83. cikkéből nem lehet arra következtetni, hogy a felügyeleti hatóságot olyan kötelezettség terheli, hogy minden esetben, amikor adatvédelmi incidenst állapít meg, korrekciós intézkedést fogadjon el, különösen közigazgatási bírságot szabjon ki, mivel ilyen körülmények között az a kötelessége, hogy megfelelően reagáljon a megállapított hiányosság orvoslása érdekében. E körülmények között, amint arra a főtanácsnok az indítványának 81. pontjában rámutatott, az olyan panaszt benyújtó személy, akinek jogait megsértették, nem rendelkezik alanyi joggal arra, hogy a felügyelő hatóság közigazgatási bírságot szabjon ki az adatkezelőre.” A Hatóság az adatvédelmi bírság kiszabása iránti kérelem kapcsán – az általános adatvédelmi rendelet (148) és (150) preambulum-bekezdése, 58. cikke és 83. cikk (2) bekezdése alapján – továbbá rámutat, hogy a felügyeleti Hatóság – az adott eset körülményeitől függően – hivatalból maga jogosult mérlegelési jogkörében dönteni a személyes adatok védelme érdekében az adatkezelővel/adatfeldolgozóval szemben alkalmazandó hatékony, arányos és visszatartó erejű intézkedésről, illetve ezek helyett vagy mellett szankció, így a közigazgatási bírság kiszabásának szükségességéről, és kiszabása esetén annak mértékéről.

V. Jogkövetkezmények

V.1. Bírságkiszabás szükségessége

A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja és a 83. cikk (2) bekezdése szerint a többi intézkedés helyett vagy mellett adatvédelmi bírságot is kiszabhat. Abban a kérdésben, hogy indokolt-e az adatvédelmi bírság kiszabása, a Hatóság a jogszabályon alapuló mérlegelési jogkörében eljárva döntött, figyelemmel az Infotv. 61. § (1) bekezdés a) pontjára, az Infotv. 75/A. §-ára, valamint az általános adatvédelmi rendelet 83. cikk (2) bekezdésére és az általános adatvédelmi rendelet 58. cikk (2) bekezdésére. A Hatóság mérlegelte az ügy összes körülményét és megállapította, hogy a jelen adatvédelmi hatósági eljárás során feltárt jogsértések esetén a figyelmeztetés és az elmarasztalás önmagában se nem arányos, se nem visszatartó erejű szankció lenne, ezért bírság kiszabása szükséges tekintettel arra, hogy a Kérelmezett nem tett intézkedéseket a Kérelmező hozzáférési kérelme nyomán, valamint 19 hónapon keresztül mindösszesen 47 alkalommal, azaz havonta 2-3 alkalommal jogalap nélkül tekintett be a Kérelmező EESZT felületébe. V.2. Bírság összege

A Hatóság a bírság összegének meghatározása során mindenekelőtt figyelembe vette, hogy a megállapított jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) és b) pontja szerinti magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek, ez alapján a kiszabható bírság maximuma 20 000 000 EUR, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeg, a kettő közül a magasabb összeget kell kiszabni. Ehhez viszonyítva a határozatban megállapított 500 000 Ft összegű adatvédelmi bírság a jogszabályi maximumhoz képest alacsonynak tekinthető. A Hatóság az adatvédelmi bírság mértékének meghatározásakor enyhítő körülményként értékelte, hogy a Kérelmezett első alkalommal követ el jogsértést a Hatóság előtt [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont]. A Hatóság az adatvédelmi bírság mértékének meghatározásakor az alábbi súlyosító körülményeket vette figyelembe:

- A Kérelmezett több jogsértést követett el, melyek közt alapelvi rendelkezést is megsértett és személyes adatok különleges kategóriájába tartozó személyes adatokat kezelt jogalap nélkül [GDPR 5. cikk (2) bekezdés és 9. cikk (2) bekezdés], ezért a Hatóság a jogsértések jellegét közepesen súlyosnak ítélte meg [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont].

- A Kérelmező EESZT-jébe való betekintéssel a Kérelmezett egészségügyi adatokat ismert meg, ezáltal személyes adatok különleges kategóriáit is érintő adatkezelést végzett [általános adatvédelmi rendelet 83. cikk (2) bekezdés g) pont].

- A jogsértések huzamosabb ideig fennálltak azáltal, hogy a 2023. január [...] és 2024. augusztus [...] közötti időszakban a Kérelmezett 47 alkalommal, havonta 2-3 alkalommal tekintett be jogalap nélkül a Kérelmező EESZT-jébe [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont]. - A Kérelmezett által elkövetett jogsértések szándékosak voltak [általános adatvédelmi rendelet 83. cikk b) pont];

- A Kérelmezett az érintett (Kérelmező) által elszenvedett kár enyhítése érdekében nem tett semmilyen intézkedést [általános adatvédelmi rendelet 83. cikk c) pont]. A Kérelmezett a Hatósággal az eljárás során együttműködő volt, azonban ez a bírói gyakorlat és a Hatóság gyakorlata alapján jogszabályi kötelezettsége, ennek hiánya lehetne súlyosító körülmény, tehát jelenleg semleges körülménynek minősül [általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont]. A fentiek és az eset összes körülménye alapján a Hatóság a rendelkező rész szerinti összegű adatvédelmi bírság kiszabását tartotta arányosnak és visszatartó erejűnek a speciális és generálprevenció vonatkozásában is, amely összeg jelentősen a bírságmaximum alatt van. V.3. Ügyintézési határidő túllépése

Tekintettel arra, hogy a Hatóság túllépte az ügyintézési határidőt, 10.000, - Ft, - azaz tízezer forint illeti meg a Kérelmezőt - írásban megjelölendő választása szerint – bankszámlára utalással vagy postai utalvánnyal való megfizetés útján.

VI. Egyéb kérdések

A határozat az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul.

*** A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdése a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi CXXX. törvény 604. § szerint alkalmazandó, a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló 2023. évi CIII. törvény 19. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. Az egyszerűsített perről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén és a 124. § (1) bekezdés és (2) bekezdés c) pontján, illetve (5) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Ha az előírt kötelezettség teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Ugyanezen § (2a) bekezdése szerint az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. A Hatóság illetékessége az ország egész területére kiterjed. kelt: Budapest, az elektronikus aláírás és időbélyeg szerint

Dr. habil. Péterfalvi Attila, elnök, c. egyetemi tanár