Федеральный верховный суд Венгрии: нарушение правил обработки персональных данных при вакцинации от COVID-19

[1]

A DOKUMENTUMOT

ELEKTRONIKUS ALÁÍRÁSSAL LÁTTA EL:

FŐVÁROSI TÖRVÉNYSZÉK

5

Fővárosi Törvényszék

Az ügy száma: 106.K.701.995/2022/13.

A felperes: Budapest Főváros XVIII. Kerület Pestszentlőrinc-Pestszentimre Önkormányzata (1184 Budapest, Üllői út 400.)

A felperes képviselője: [I kamarai jogtanácsos

Az alperes: Nemzeti Adatvédelmi és Információszabadság Hatóság (1055 Budapest, Falk Miksa utca 9-11.)

Az alperes képviselője: ENNI I]

A per tárgya: adatvédelmi ügyben hozott NAIH-642-4/2022. számú határozat jogszerűségének vizsgálata

Ítélet:

A Fővárosi Törvényszék a keresetet elutasítja.

Kötelezi a felperest, hogy 15 napon belül fizessen meg az alperesnek 76.200 (hetvenhatezerkettőszáz) forint perköltséget.

A 30.000 (harmincezer) forint feljegyzett kereseti illeték az állam terhén marad.

Az ítélet ellen nincs helye fellebbezésnek.

Indokolás

Az ítélet alapjául szolgáló tényállás

A felperes 2021 márciusában a , www.bp18.hu/vakcina"?" weboldalon kitölthető elektronikus és postai úton megküldött papír alapú , vakcina kérdőív" (a továbbiakban: kérdőív) formájában adatgyűjtést "végzett a Covid19 járványkezelés elősegítése és az ehhez kapcsolódó önkormányzati döntések alátámasztása érdekében statisztikai célból. A Budapest XVIII. kerületi nagykorú lakosok nevét és lakcímét a felperes a polgárok személyi adatainak és lakcímének nyilvántartásából szerezte meg. A címzettek nevét és lakcímét a kérdőívek postázásáig kezelte, ezt követően azokat törölte. A felperes nyilatkozata szerint ezen adatkezelés jogalapja a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679/EU rendelet (a továbbiakban: általános adatvédelmi rendelet) 6. cikk (1)

bekezdés e) pontja volt. A felperes 54.469 levelet küldött ki, amelyre 2021. április 28. napjáig

4.856 lakos (kevesebb, mint 1090) válaszolt.

x)

[2]

[3]

[4]

[5]

[6]

Fővárosi Törvényszék 106.K.701.995/2022/13. 2

A kérdőíveken a következő adatokat gyűjtötte: név, telefonszám, e-mail cím (a továbbiakban:

kapcsolati adatok). Egészségügyi adatként megadandó beikszelhető válaszként szerepelt a kérdőíven, hogy: , regisztráltam a koronavírus elleni oltásra", , az első vagy mindkét oltást már megkaptam", valamint , átestem a koronavírus fertőzésen". A körülbelül 5 ezer választ adó kapcsolati adatát a felperes a közigazgatási eljárás idején továbbra is kezelte, a nyilatkozata szerint az adatkezelése jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontja szerinti érintetti hozzájárulás. Az egészségügyi adatok kezelésének ideje a kérdőív beérkezését követő 1 hét volt, ezt követően az adatok törlésre kerültek. A felperes nyilatkozata szerint az egészségügyi adatok kezelésének célja anonim statisztika előállítása volt, amely alapján a felperes önkormányzati döntéseket kívánt meghozni a covid-19 világjárvánnyal kapcsolatban.

Ezen adatkezelés jogalapjaként is az általános adatvédelmi rendelet 6. cikk (1) bekezdés a)

pontja és a 9. cikk (2) bekezdés a) pontja szerinti érintetti hozzájárulást jelölte meg.

A papír alapú kérdőíven az a tájékoztatás szerepelt: , A kérdőívvel kapcsolatos adatkezelés részletei megtalálhatóak az önkormányzat honlapján, az önkormányzat adatkezelési tájékoztatójában: www.bp18.hu/kozerdeku/adatvedelmi-informáciok". A www.bp18.hu/vakcina weboldalon elérhető online kérdőív szintén a felperes előbbi általános adatkezelési tájékoztatójára utaló hivatkozást tartalmazott, valamint az a tájékoztatás került feltüntetésre, hogy a kapcsolati adatokat azon célból kezeli a hozzájárulás visszavonásáig, hogy , Információcsere céljából kapcsolatot tartson". A papír alapú kérdőíven az adatkezelésre vonatkozóan sem tájékoztatás, sem hozzájárulás-kérés nem szerepelt, se az adatkezelés célja nem került feltüntetésre.

Az alperes közérdekű bejelentés nyomán 2021. április 14-én hivatalból vizsgálatot indított, mely során felmerült az általános adatvédelmi rendelet több cikke megsértésének közvetlen veszélye. A felmerült adatvédelmi kérdések a felperes általános adatkezelési gyakorlatát érintették, nem egy adott érintetthez voltak köthetőek. Az alperes ezért lezárta az előzmény ügyet, és hivatalból megindította az adatvédelmi hatósági eljárást a felperes kérdőívvel összefüggő adatkezelése tárgyában.

A https:/bpl8.hu weboldal adatvédelmi tájékoztatásról szóló aloldalán megjelölt , ADATKEZELESI TAJEKOZTATO BPI8 v4 RF 20201125.pdf" elnevezésű letölthető dokumentum 2021. május 7-i állapota szerinti 2.3. pontja rögzítette, hogy a felperes közhatalmi jogosítvány gyakorlása jogalappal milyen adatkezeléseket valósít meg, felsorolásra kerültek az adatkezelési célok. Ez a tájékoztató semmilyen információt nem tartalmazott a jelen eljárás tárgyát képező adatkezelésekre vonatkozóan.

A határozat

Az alperes a NAIH-642-4/2022. számú határozatában a , www.bp18.hu/vakcina"? weboldalon és postai úton terjesztett , vakcina kérdőív" adatkezelésének tárgyában megállapította, hogy a felperes

I. nem adott megfelelő tájékoztatást az érintetteknek a név és lakcím adataik külső forrásból történt megszerzéséről és felhasználásáról a velük történő első kapcsolatfelvételkor, és ezzel megsértette az általános adatvédelmi rendelet 12. cikk (1) bekezdése és 14. cikke szerinti tájékoztatás nyújtásának kötelezettségét;

II. megfelelő előzetes tájékoztatás, konkrétan meghatározott cél és érvényes jogalap hiányában kezelte a kérdőívvel gyűjtött kapcsolati személyes adatokat több ezres nagyságrendű érintett vonatkozásában, és ezzel megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerinti célhoz kötöttség elvét, az 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elvét, a 12. cikk (1) bekezdése és a 13. cikke szerinti előzetes tájékoztatás

[71

[8]

[9]

Fővárosi Törvényszék 106.K.701.995/2022/13. 3 nyújtásának kötelezettségét, valamint a fentiek miatt érvényes hozzájárulás hiányában az általános adatvédelmi rendelet 6. cikk (1) bekezdését és a 7. cikk (2) bekezdését; valamint

III. megfelelő előzetes tájékoztatás és érvényes jogalap hiányában, szükségtelenül kezelte a kérdőívvel gyűjtött egészségügyi adatokat, és ezzel megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elvét, a 12. cikk (1)

bekezdése és 13. cikke szerinti előzetes tájékoztatás nyújtásának kötelezettségét, valamint a fentiek miatt érvényes hozzájárulás hiánya miatt az általános adatvédelmi rendelet 6. cikk

(1) bekezdését, a 7. cikk (2) bekezdését és 9. cikk (1) bekezdését.

A fenti jogsértésekért a felperest 3.000.000 forint adatvédelmi bírság megfizetésére kötelezte.

A tájékoztatási kötelezettség megsértésére vonatkozó indokolása szerint a felperes a kérdőíven semmilyen érdemi, az érintettek által könnyen hozzáférhető tájékoztatást nem nyújtott az adatkezelésről az érintettek részére, abból sem a különböző célok, sem a jogalapok, sem az időtartamok nem derültek ki, és a név és lakcím adatok forrását sem jelölte meg. Az sem derült ki, hogy a kapcsolati adatok kitöltése opcionális. A papír alapú adatkezelés esetén az érdemi tájékoztatás teljes egészében online nyújtása általában nem átlátható és nem könnyen hozzáférhető a kérdőívet postán megkapó és azon visszaküldő érintettek számára. Így ez önmagában meghiúsította azt, hogy az érintettek érvényes hozzájárulást tudjanak adni. A www.bp18.hu/kozerdeku/adatvedelmi-informáciok webcímen elérhető általános adatkezelési tájékoztatás a kérdőívek kiküldése és azok érintettek általi visszaküldése idején semmilyen információt nem tartalmazott egyik vizsgált adatkezelésről sem. A fenti webcímen a tájékoztatás csak 2021. május 7-ét követően került ki, és az utólag 2.4. és 2.5. pontokkal kiegészített tájékoztatás sem tartalmazta az adatok forrását, valamint az alapvető információkat a konkrét célokról; a fájlneve és tartalma, verziószáma sem egyezik a vizsgált adatkezelések idején elérhető verzióval.

A felperesnek az általános adatvédelmi rendelet 14. cikkére tekintettel legkésőbb a kérdőív megküldésekor, azzal együtt kellett volna legalább azon tájékoztatást nyújtania az érintettek részére, hogy honnan származik a név és lakcím adatuk, ezen adatokat pedig már nem kezeli.

Ezen kötelezettségét a felperes nem teljesítette.

A kapcsolati személyes adatok kezelésével kapcsolatos jogsértés körében kifejtette, hogy jelen esetben nem jogszabály, hanem a felperes döntése alapján készült egyedi statisztika, így az adatkezelési — cél — pontos — és egyértelmű meghatározása — és más céloktól megkülönböztethetőségének biztosítása a felperes kötelezettsége lett volna, ezt azonban nem teljesítette. A kapcsolati adatok kezelésének célja nem lehet egy olyan megfoghatatlan cél, mint az általános kapcsolattartás. Valamilyen módon szükséges annak megjelölése, hogy a kapcsolattartás konkrétan milyen jellegű információk küldését jelenti, , információcsere" esetén pedig milyen információra számítanak az érintettektől. A kapcsolati személyes adatok egészségügyi adatokkal egy lapon történő gyűjtése felveti az általános adatvédelmi rendelet 7.

cikk (2) bekezdése szerinti tilalom sérelmét is, amely szerint a hozzájárulás iránti kérelmet más ügyektől egyértelműen megkülönböztethető módon kell előadni, különösen akkor, ha azok keverése súlyos adatvédelmi kérdéseket vetne fel. A kapcsolattartás egészének opcionális jellege, valamint a kapcsolattartás választása esetén az egyes kapcsolati csatornák szabad megválasztási joga egyértelműen és világosan ki kellett volna, hogy derüljön az érintetteknek nyújtott tájékoztatásból, azonban erre vonatkozóan a felperes semmilyen érdemi tájékoztatást nem nyújtott az érintetteknek. Semmivel sem támasztotta alá azt, hogy mely okból nem elég, ha kifejezetten csak egy kapcsolati csatornán tart kapcsolatot az egyes érintettekkel, és mely célokból szükséges ez időkorlátozás nélkül, akár a járvány megszűnését követően is. Az általános adatvédelmi rendelet 4. cikk 11. pontja alapján az érintett hozzájárulása egy konkrét cél nélküli, időben indokolatlanul meghatározatlan adatkezeléshez megfelelő tájékoztatás hiányában nem érvényes, és a fenti körülmények egyenként is az érintetti hozzájárulás

[10]

[11]

[12]

Fővárosi Törvényszék 106.K.701.995/2022/13. 4 érvénytelenségéhez vezetnének. Érvényes hozzájárulás hiányában az adatkezelés nem felel meg az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontja szerinti jogalapnak, és más jogalap sem áll fenn.

Az alperes az egészségügyi adatokkal kapcsolatos jogsértésekre is irányadónak tartotta a [8] és [10] pontokban hivatkozott indokolást azzal, hogy ezen adatkezelés esetén volt jogszerű cél, a járványügyi statisztika készítése, és ez alapján önkormányzati intézkedések meghozatala, továbbá ezen adatok kezelése már nem történik, azok törlésre kerültek, emiatt a célhoz kötöttség elvének sérelme nem állt fenn az egészségügyi adatok tekintetében. Az egészségügyi adatok kezelése esetén az általános adatvédelmi rendelet 6. cikk (1) bekezdésének egyik jogalapján felül a 9. cikk (2) bekezdés szerinti — 9. cikk (1) bekezdés szerinti általános kezelési tilalom alóli

— kivételek egyikének is fenn kell állnia. Az általános adatvédelmi rendelet 9. cikk (2) bekezdés

a) pontja szerint azon további feltételnek kell megfelelnie, hogy az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez. Tekintettel arra, hogy megfelelő tájékoztatás nem történt, valamint a szükségesség és alkalmasság a cél elérésére a lentebb kifejtett okokból nem áll fenn, ezért ezen feltétel sem teljesülhetett. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság gyakorlati megvalósulásának egyik feltétele, hogy az adatkezelés szükséges és arányos az adott adatkezelési cél eléréséhez, és arra alkalmas is. Az alkalmasság körében a felperes semmivel sem támasztotta alá, hogy pontosan milyen módon tudott kevesebb, mint

1090-os, nem reprezentatív mintából pontos következtetéseket levonni a kerületi lakosok egészére. Ezen kívül a statisztika egy időpillanatban készült, az oltási kampány közepén, annak eredménye hétről hétre jelentősen változhatott. Kis mennyiségű, nem reprezentatív minta esetén többlet külső — nem anonim — információk felhasználása is szükséges lett volna azokkal kapcsolatban, akik a kérdőívet kitöltötték. Ilyen többlet személyes adatok beszerzését a felperes nem jelölte meg, és ez az adatvédelmi jogsértés mértékét nem csökkentette, hanem növelte volna. Önmagában azonban az alkalmasság érdemben nem befolyásolná az adatkezelés jogszerűségét. Az, hogy a kérdéseket nem a kapcsolati azonosító adatoktól elkülönítve tették fel az érintetteknek, szükségtelen módon összekötötte őket egy adott érintettel. Egy adott természetes személyhez nem köthető véletlenszerű iratazonosító számmal biztosítható, hogy egy érintett csak egy választ küldjön vissza, így az iratazonosító számok és a címzettek között semmilyen kapcsolat nem lenne szükséges az adatkezelés egyetlen lépésénél sem (elegendő annak a biztosítása, hogy egy iratazonosító számot csak egyszer dolgozzanak fel, amelyet a listában jeleznek), és a statisztikát anonim adatokból is elkészíthették volna különleges meg a szükségesség és arányosság kritériumának.

Figyelemmel az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Info tv.) 61. § (1) bekezdés a) pontjára és a 75/A. §-ára, az általános adatvédelmi rendelet 83. cikk (2) bekezdésére és az 58. cikk (2) bekezdésére, valamint a speciális és a generális prevenció céljára, továbbá arra, hogy az elmarasztalás nem lenne arányos és visszatartó erejű szankció, az alperes szükségesnek tartotta a bírság kiszabását. A bírság mértékének meghatározásánál ismertette, hogy mely tényeket vett figyelembe enyhítő és melyeket súlyosító körülményként.

A kereset és a védirat

A felperes az alperes határozatát keresettel támadta. A 11. sorszámú beadványában kiegészített keresetlevelében elsődlegesen a határozat hatályon kívül helyezését, másodlagosan a bírságkötelezés hatályon kívül helyezését kérte. Perköltségigénnyel is élt az alperessel szemben, azonban annak összegét nem számította fel.

[13]

[14]

[15]

[16]

[17]

Fővárosi Törvényszék 106.K.701.995/2022/13. 5

Hivatkozása szerint az alperes tévesen értelmezte a kapcsolati személyes adatok vonatkozásában az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontjában foglalt célhoz kötöttség elvét. A kérdőíven található, a kapcsolattartási adatok kezelésének célját azonosító

, információcsere céljából kapcsolatot tartson" fordulat megfelelő és konkrét meghatározását adja az adatkezelési célnak. Az , információcsere céljából kapcsolatot tart" szöveg tartalma egyértelmű, és megfelel az általános adatvédelmi rendelet 39. és 42. preambulumbekezdésében, valamint az 5. cikk (1) bekezdés 5) pontjában foglaltaknak. Az adatalanyok információs önrendelkezési jogának önkényes hatósági korlátozása az, amikor azt a célt, amelyet megismerve az érintettek az önkéntes hozzájárulásukat adták az alperes , megfoghatatlannak"

minősíti. Az alperes az érintettek akaratának a célra és adatkezelési időtartamra is kiterjedő nyilatkozatát önkényesen annulálja, így az adatalanyok információs önrendelkezési jogát hatósági gyakorlatával jogellenesen korlátozza., Mivel a cél meghatározását a kérdőíven hivatkozott, az önkormányzati honlapon szereplő tájékoztatás tartalmazta, jogsértés nem történt.

A kormányzati vakcinainfo portál adatkezelésével kapcsolatban folytatott vizsgálat során, azonos tényállás kapcsán (az adatalanyok hozzájárulása ott is a , későbbi kapcsolattartásra"

vonatkozott, a kapcsolattartás tartalmának meghatározása nélkül) az alperes is elegendőnek ismerte el a , későbbi kapcsolattartás" célmegjelölést, és kifejezetten tartózkodott attól, hogy ezen célmegjelölés kapcsán a kapcsolattartás során küldött üzenetek tartalmát vizsgálja. Jelen ügyben azonban kiterjesztette a vizsgálatát a kapcsolattartás tartalmára.

Az alperes tévesen értelmezte a kapcsolati személyes adatok vonatkozásában az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontjában foglalt adattakarékosság elvét is. Mivel az adatkezelés célja kapcsolattartás, ezért az elérhetőségi adatok (külön vagy együttes) kezelése ezen cél szempontjából releváns, illetőleg azok — mivel adott esetben az elérhetőségi adatokat az érintett információs önrendelkezési jogával élve saját maga adja meg, a saját preferenciái szerint

— a szükségesre korlátozottak. Az adattakarékosság elvéből nem következik az, hogy az érintett ne adhatna meg egyszerre több elérhetőségi adatot, illetőleg alperes az érintett információs önrendelkezési jogán alapuló ilyen választását önkényesen jogsértőnek tekinthetné. Mivel az egész kérdőív kitöltése önkéntes és nem kötelező volt, az érintettek nem következtethettek arra, hogy mindegyik kapcsolattartási adatuk megadása kötelező. Az alperes ezért legfeljebb a tájékoztatási kötelezettséggel kapcsolatban állapíthatott volna meg jogsértést.

A határozat III.4. pontja nem alapozza meg azt az alperesi következtetést, hogy a kapcsolati személyes adatok kezelése során az általános adatvédelmi rendelet 12. cikk (1) bekezdését és a 13. cikkét megsértette. Ha az alperes a cél meghatározását illető álláspontjából vezeti le a tájékoztatási kötelezettség vélt megsértését, akkor mivel a cél meghatározása megfelelő volt, az arról történő tájékoztatás is megfelelt az általános adatvédelmi rendelet szabályainak.

A cél megfelelősége okán az általános adatvédelmi rendelet 4. cikk 11. pontja szerinti hozzájárulás is rendelkezésre állt, ezért a határozat megsértette az általános adatvédelmi rendelet

6. cikk (1) bekezdését. A határozat III.4.3. pontjába foglalt — az általános adatvédelmi rendelet

7. cikk (2) bekezdésének megsértésére vonatkozó — része nehezen értelmezhető; aggályos egy hatósági kötelezést arra alapozni, hogy valami , felveti" egy jogszabály sérelmét. Mivel a kapcsolati adatok megadása opcionális volt, az érintett megtehette azt, hogy csak egészségügyi adatokat szolgáltat a kapcsolati adatok megadása nélkül; a két adatkezelési cél elkülönítése tehát biztosított volt.

Az egészségügyi adatok kezelése kapcsán az adattakarékosság elvének sérelme körében kifogásolta a felperes, hogy az alperes nem személyes (hanem statisztikai) adatok kezelésével kapcsolatban tett megállapításokat. Az pedig, hogy a szóban forgó statisztika alkalmas-e önkormányzati döntések előkészítésére, az alperes hatáskörén kívül eső szakkérdés. Szakértő kirendelésére pedig e körben nem került sor, az alperes e körben bizonyítást nem folytatott le, így az alperes a döntés érdemére kiható módon megsértette az általános közigazgatási

[18]

[192]

[20]

[21]

[22]

Fővárosi Törvényszék 106.K.701.995/2022/13. 6 rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 62. §-ában foglalt tényállás tisztázási kötelezettségét, valamint a hatáskörét túllépte, ami az Ákr. 123. § (1) bekezdés a)

pontja alapján a határozata semmisségét eredményezi. Az elkészített statisztika egyébként alkalmas volt a cél elérésére, az az önkormányzati döntések meghozatalában szerepet játszott.

Az alperes jogsértő módon állapította meg az adatkezelési jogalap hiányát az egészségügyi adatok vonatkozásában a megfelelő tájékoztatás vélt hiánya miatt. Érvényes adatkezelési jogalap fennállhat úgy is, hogy az általános adatvédelmi rendelet 13. cikkében írt tájékoztatást az adatkezelő nem adja meg teljes körben; a jogalap meglétét a tájékoztatás esetleges hiányosságai nem érintik. Az alperes is elismerte, hogy az egészségügyi adatok kezelése tekintetében az általános adatvédelmi rendelet szerinti jogszerű cél fennállt.

Az alperes az adatvédelmi bírság kiszabása során nem mérlegelte az általános adatvédelmi rendelet 83. cikk (2) bekezdésében foglalt szempontokat; egyes szempontokat figyelmen kívül hagyott; egyéb esetekben a mérlegelt szempontok nem voltak okszerűek. Az alperes jogsértő módon vett figyelembe súlyosbító körülményeket a bírság mértékének meghatározásakor. Nem az érintettek akaratát figyelembe nem vevő, hanem kifejezetten azok hozzájárulásával végzett adatkezelésről van szó. A szükségtelen jelzővel nem ért egyet, mert az adatkezelés (statisztika képzése) alkalmas volt az adott célra. Az általános adatvédelmi rendelet 86. cikk (2) bekezdés d)

pontja kifejezetten a 32. cikkel kapcsolatos (adatbiztonsági) esetleges hiányosságokra utal, nem a tájékoztatással kapcsolatos hiányosságokra.

Az alperes védiratában a határozatban foglaltak fenntartásával a felperes keresetének elutasítását kérte. Perköltséget igényelt, melynek összegét a bírósági eljárásban megállapítható ügyvédi költségekről szóló 32/2003. (VIII. 22.) IM rendelet (a továbbiakban: IM rendelet) 2. § (1)

bekezdése alapján, 210.000 forint összegben számította fel a költségjegyzéken, melynek alátámasztására megbízási szerződést csatolt. A megbízási szerződés 3.1 pontja szerint a peres eljárásokban végzett jogi képviseleti tevékenység díjazásának mértéke a per alapjául szolgáló megbízói határozatban kiszabott bírság 290-a vagy 35.000 Ft -- áfa óradíj.

Hivatkozása szerint az adatkezelési célra vonatkozó felperesi tájékoztatás a rövidsége ellenére is ellentmondásos, hiszen a , kapcsolattartás" egyirányú, a felperestől az érintettek felé irányuló adatközlésre utal; az , információcsere" viszont kétirányú adatkapcsolatra. Így tehát nemcsak az kérdéses, hogy az adatkezelés során a felperes milyen jellegű üzeneteket kíván küldeni az érintetteknek, hanem az is, hogy kíván-e további adatokat gyűjteni a későbbiekben, és amennyiben igen, milyen jellegűeket. Az adatgyűjtésre szolgáló kérdőíven egyébként a felperes semmilyen adatkezelési célt nem jelölt meg, a felperesi adatkezelés így önmagában már emiatt is jogsértő. Nincs jelentősége az alperes érintettek hozzájárulását figyelmen kívül hagyó magatartására történt hivatkozásának, mivel ez nem indokolja az adatkezelési cél meghatározásának elfogadhatóságát. Szintén nincs jelentősége a vakcinainfo portál adatkezelését érintő kifogásának, egyfelől mert ez szintén nem indokolja a felperesi adatkezelés jogszerűségét, másfelől pedig a vakcinainfo portálon a felperes által idézett résznél lényegesen hosszabb adatkezelési tájékoztatás található.

Az adattakarékosság elvének sérelme körében a felperes a kérdőíven nem utalt egyáltalán arra, hogy mivel a kapcsolattartáshoz egy elérési adat is elegendő, ezért ezen adatok megadása opcionális, azaz az érintettek nemcsak azt dönthetik el, hogy adnak vagy nem adnak elérési adatot, hanem azt is, hogy hány és milyen kapcsolattartási adatot szolgáltatnak a felperesnek.

Mivel az adatszolgáltatás opcionális jellegére a kérdőív nem utalt, ezt az érintettek úgy értelmezhették, hogy az összes adat megadása szükséges. Egyértelműen ezt erősíti, hogy mind a kérdőív, mind annak kísérőlevele is tartalmazza, hogy felperes a , teljes" kérdőív kitöltését várja, azaz minden adat megadása szükséges.

[23]

[24]

[25]

[26]

[271

[28] [29]

[30]

[31]

[32]

[33]

Fővárosi Törvényszék 106.K.701.995/2022/13. 7

Az általános adatvédelmi rendelet 12. cikk (1) bekezdésének és a 13. cikkének megsértését megalapozó körülmények a határozat III.2. pontjában találhatók, különös figyelemmel a 7. és 8. pontokra.

Az általános adatvédelmi rendelet 6. cikk (1) bekezdésének és a 7. cikk (2) bekezdésének megsértése kapcsán kiemelte, hogy a kérdőív semmilyen formában nem kéri az érintettek hozzájárulását, sőt arra sem utal, hogy az adatok megadásával az érintettek ráutaló magatartással járulnának hozzá adataik kezeléséhez. Emellett felperes csak állítja, de sem a hatósági eljárásban, sem a jelen perben eddig nem támasztotta alá azt semmivel, hogy az egészségügyi és a kapcsolati adatokat elkülönülten kezelte volna; a kérdőív tartalma pedig éppen az ellenkező következtetést alapozza meg.

A felperesi adatkezelés a kapcsolati adatokat és az egészségügyi adatokat nem különítette el egymástól, ezért megalapozatlan a felperes pusztán statisztikai adatkezelésre történő hivatkozása. Az adatkezelő köteles bizonyítani az adatkezelése jogszerűségét. Ezen kötelezettségének ugyanakkor felperes nem tett eleget. Ezt a felperes által hivatkozott tanulmány nem támasztja alá, más bizonyítást pedig a felperes nem tett. Így az adatkezelés jogszerűsége nem bizonyított. Erre a megállapításra pedig — mivel ez személyes adatkezelést érint — hatáskörrel rendelkezik. A statisztikai célú adatkezeléshez fő szabály szerint egyáltalán nincs szükség személyazonosító és kapcsolati adatok kezelésére.

A GDPR [42] preambulumbekezdés szerinti minimális tájékoztatási kötelezettség esetleges teljesítéséből még nem következik a hozzájárulások elfogadhatósága, a jogszerű hozzájárulásnak ugyanis további, egymással konjunktív kapcsolatban álló tartalmi követelményei vannak. Ilyen pl. az adatszolgáltatással kapcsolatos választási szabadság, amely a kapcsolati és egészségügyi adatok összekapcsolt gyűjtése miatt szintén nem teljesült.

A Kúria Kf.III.37.998/2019/10. számú döntése alapján nem jogsértő önmagában az, hogy nem mérlegeli a GDPR 83. cikk (1) és (2) bekezdéseiben felsorolt összes szempontot. A felperes a keresetében nem jelölt meg olyan körülményt, amelyet nem vett figyelembe.

A törvényszék döntése és jogi indokai

A felperes keresete — az alábbiak szerint — alaptalan.

A Fővárosi Törvényszék a közigazgatási jogvitát a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) 4. § (1)-(2) bekezdései, a (3) bekezdés a) pontja és az 5. § (1) bekezdése alapján közigazgatási peres eljárásban, a Kp. 77. § (1) bekezdése alapján tárgyaláson kívül bírálta el, tekintettel arra, hogy a felek nem kérték tárgyalás tartását és azt a bíróság sem tartotta szükségesnek.

A határozat jogszerűségét a Kp. 2. § (4) bekezdése és a 85. § (1) bekezdése értelmében a kereseti kérelem, a felek által előterjesztett kérelmek és jognyilatkozatok keretei között, a Kp. 85. § (2) bekezdése szerint a közigazgatási tevékenység megvalósításának időpontjában fennálló tények alapján bírálta el.

A tényállást a Kp. 78. § (2) bekezdésére figyelemmel a rendelkezésre álló adatok, valamint a felek előadásának egybevetése alapján, a bizonyítékokat egyenként és összességükben értékelve, a megelőző közigazgatási eljárásban megállapított tényállással összevetve állapította meg. Döntése meghozatala során a Kúria joggyakorlatát figyelembe véve járt el, attól nem tért el.

A bíróság a felperes keresetében előadott hivatkozások alapján elsőként a jogsértések megállapítása, majd az alkalmazott jogkövetkezmény jogszerűségét vizsgálta.

Az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerint a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, [34]

[35]

[36]

Fővárosi Törvényszék 106.K.701.995/2022/13. 8 tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés (, célhoz kötöttség"). Az általános adatvédelmi rendelet (39) preambulumbekezdése szerint ,(-..) A személyes adatkezelés konkrét céljainak mindenekelőtt explicit módon megfogalmazottaknak és jogszerűeknek, továbbá már a személyes adatok gyűjtésének időpontjában meghatározottaknak kell lenniük. (...)".

A felperes a célhoz kötöttség elvének a sérelme kapcsán iratellenesen és alaptalanul állította, hogy a kapcsolattartási adatok kezelésének célja az , információcsere céljából kapcsolatot tartson" fordulat feltüntetésével megfelelő volt, és hogy a cél meghatározását a kérdőíven hivatkozott, az önkormányzati honlapon szereplő tájékoztatás tartalmazta. A felperesi hivatkozással ellentétben a papír alapú kérdőíven az adatkezelés célja egyáltalán nem került feltüntetésre, azon nem szerepelt az információcsere céljából történő kapcsolattartás megjelölés.

A https:/bpl8.hu weboldalon elérhető adatvédelmi tájékoztató sem tartalmazta a kérdőív kapcsán az adatkezelés célját, a tájékoztatóban a jelen vizsgálat tárgyát képező adatgyűjtés vonatkozásában semmilyen információ nem szerepelt. Azt a felperes sem mutatta be sem a közigazgatási eljárás, sem a per során, hogy a weboldalon elérhető tájékoztató mely pontja tartalmazta az adatkezelés célját. Annak ellenére, hogy a felperes adatkezelőként felelt az adatkezelése jogszerűségéért, az adatkezelése jogszerűségét alátámasztó bizonyítékot a felperes sem az eljárásban sem a perben nem mutatott be. A www.bp18.hu/vakcina weboldalon elérhető online kérdőív — a felperes nyilatkozata szerint — szintén a felperes általános adatkezelési tájékoztatójára utaló hivatkozást tartalmazott, valamint az a tájékoztatás került feltüntetésre, hogy a kapcsolati adatokat azon célból kezeli a hozzájárulás visszavonásáig, hogy , információcsere céljából kapcsolatot tartson". Figyelemmel arra, hogy ezen szövegből nem derül ki, hogy a felperes a jövőben milyen célból akar kapcsolatot tartani az érintettekkel, hogy milyen információt akar küldeni, illetve milyen információkat akar kérni az érintett lakosoktól, az nyilvánvalóan nem felelt meg az egyértelmű, explicit módon megfogalmazott célmeghatározás követelményének. Helytállóan állapította meg ezért az alperes ezen célmegjelöléssel kapcsolatban, hogy az túl általános, ezért nem elégséges. A felperes e körben tévesen hivatkozott az általános adatvédelmi rendelet (42) preambulumbekezdésére, mivel az az érintetti hozzájárulás és nem a célmeghatározás megfogalmazására vonatkozik. Az pedig, hogy az alperes más ügyben korábban milyen döntést hozott, nem lehet irányadó a jelen perben, mivel sem az alperes, sem a bíróság nincsen kötve az alperes másik ügyben hozott határozatához, és a tényállás azonossága sem volt a két ügyet illetően megállapítható. A felperes alaptalanul állította, hogy az adatalanyok a célt megismerhették és a cél ismeretében adták az önkéntes hozzájárulásukat az adatkezeléshez. E körben helytállóan hivatkozott arra az alperes, hogy az érintetti hozzájárulás az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontja szerinti jogalap körében vizsgálandó. Mindezek alapján az alperes jogszerűen állapította meg, hogy a felperes a kapcsolati személyes adatok kezelésével megsértette az általános adatvédelmi rendelet

5. cikk (1) bekezdés 5) pontja szerinti célhoz kötöttség elvét.

Az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerint a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk (, adattakarékosság"). Az általános adatvédelmi rendelet (39) preambulumbekezdése szerint ,,(...) A személyes adatoknak a kezelésük céljára alkalmasaknak és relevánsaknak kell lenniük, az adatok körét pedig a célhoz szükséges minimumra kell korlátozni. (...)".

Tekintettel arra, hogy a kérdőíven nem szerepelt az az információ, hogy opcionális az, hogy a kitöltő személy a több közül melyik kapcsolati adatát vagy adatait adja meg, illetve, hogy egyáltalán bármelyiket megadja-e, az alperes helytállóan állapította meg, hogy ezzel az adatkezelés nem a szükséges mértékre korlátozódott. A kérdőíven az szerepelt, hogy: , Kérjük a teljes lapot juttassa vissza!", , kérjük juttassa vissza kitöltve a teljes lapot", valamint: , A

[37]

[38]

[39]

Fővárosi Törvényszék 106.K.701.995/2022/13. 9 kitöltött, teljes levelet személyesen is leadhatja. ..", mindezek egyértelműen arra utaltak, hogy a felperes a teljes kérdőív kitöltését kérte és várta el. Az alperes ezért jogszerűen állapította meg, hogy a felperes a kapcsolati személyes adatok kezelésével megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elvét.

Az általános adatvédelmi rendelet 12. cikk (1) bekezdése értelmében az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa (...).

Az általános adatvédelmi rendelet 13. cikk (1) bekezdése szerint, ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:

a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei;

b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;

c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;

d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei;

e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;

f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás.

A 13. cikk (2) bekezdése kimondja, hogy az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja:

a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól;

b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról;

c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;

d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról;

e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat "megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása;

J a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

A bíróság megállapította, hogy az alperes a határozat III.4.4. és III.5. pontjaiban is ismertette a tájékoztatás hiányára vonatkozó álláspontját, továbbá a III.3. pontban visszahivatkozott a határozat III.2. pontjában kifejtettekre, amely pontban — mintegy alapvetésként — az alperes

[40]

[41]

[42]

Fővárosi Törvényszék 106.K.701.995/2022/13. 10 részletesen bemutatta és értelmezte a tájékoztatási kötelezettségre vonatkozó követelményeket és kifejtette annak indokait, hogy a felperes ennek a kötelezettségének miként nem tett eleget. A

III.2. és III.4 pontokban együttesen az alperes kellő részletességű és meggyőző erejű indokát adta annak, hogy a felperes azzal, hogy az adatkezelése céljáról, valamint a kapcsolati adatok megadásának opcionális jellegéről, továbbá az általános adatvédelmi rendelet 13. (1) és (2)

bekezdéseiben foglalt információkról nem tájékoztatta az érintett lakosokat, megsértette az általános adatvédelmi rendelet 12. cikk (1) bekezdését és a 13. cikkében foglaltakat. A fentiek alapján a felperes alaptalanul állította azt is, hogy a határozat III.4. pontja nem alapozza meg a határozat III.4.5. (helyesen III.4.6.) pontjában szereplő megállapítást a tájékoztatási kötelezettség elmulasztása tekintetében.

Az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontja szerint a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez.

A kapcsolati adatok kezelésének jogalapjaként a felperes a 6. cikk (1) bekezdés a) pontja szerinti érintetti hozzájárulást jelölte meg, és a per során mindvégig azzal érvelt, hogy az érintettek az adatkezeléshez hozzájárultak. Ezzel szemben azonban a kérdőíven semmilyen érdemi adatkezelői tájékoztatás és érintetti hozzájárulás-kérés sem szerepelt, ezért önmagában az, hogy az érintettek a kérdőívet kitöltötték és visszaküldték nem tekinthető úgy, hogy azzal hozzájárultak az adataik kezeléséhez. Az általános adatvédelmi rendelet (42)

preambulumbekezdése szerint ,(...) garanciákkal szükséges biztosítani azt, hogy az érintett tisztában legyen azzal a ténnyel, hogy hozzájárulását adta, valamint azzal, hogy ezt milyen mértékben tette. (...) az adatkezelő előre megfogalmazott hozzájárulási nyilatkozatról gondoskodik, amelyet érthető és könnyen hozzáférhető formában bocsát rendelkezésre, nyelvezetének pedig világosnak és egyszerűnek kell lennie (...)" A felperes csak állította, de nem bizonyította azt, hogy az érintettek hozzájárulásukat adták az vizsgált adatkezeléshez, lévén azt sem a közigazgatási eljárás során, sem a perben nem támasztotta alá semmilyen bizonyítékkal, hogy a kérdőíven kifejezetten kérte volna az érintettek hozzájárulását az adatkezeléshez, és azt megelőzően a részükre az adatkezelésre vonatkozóan megfelelő tájékoztatást adott. Így a felperes alaptalanul hivatkozott az érintettek önrendelkezési jogának a sérelmére. A fentieken túlmenően még ha az érintettek hozzájárulást is adtak volna az adatkezeléshez, az akkor se lenne érvényesnek tekinthető az adatkezelés céljáról történő megfelelő tájékoztatás hiányában. Ezt támasztja alá a Kúria Kfv.VI.37.886/2015/5. számú ítélete is, mely szerint , [26] (...) A nem kellő tájékoztatás a hozzájárulás hiányához vezet. Az adatkezelés célja nem egy elhanyagolható információ, (...). Az érintettek csak az adatkezelés releváns körülményei tudatában minősülnek kellően tájékozottnak, csak ekkor mondható ki, hogy adatuk kezeléséhez (...) hozzájárulás fogalmának megfelelően hozzájárultak és azt önként tették." A Kúria Kfv.II.37.330/2017/5. számú ítéletében is megerősítette, hogy ,[12] (...)

személyes adat akkor kezelhető, ha ahhoz az érintett hozzájárul. (...) a hozzájárulás fogalomnak három eleme van: az önkéntesség, a határozottság és a tájékozottság. A hozzájárulás kizárólag akkor tekinthető jogszerűen elfogadhatónak, ha mind a három tartalmi követelmény teljesül.

(...) az egyértelmű és részletes tájékoztatásra vonatkozó kötelezettség már az adatkezeléshez szükséges hozzájárulás megadását megelőzően terheli az adatkezelőt. (...) Ezért a felperes tájékoztatójának (...) követelményeknek kellett volna megfelelnie, ennek hiányában az érintett hozzájárulásáról szó sem lehet."

Az általános adatvédelmi rendelet 7. cikk (2) bekezdése szerint, ha az érintett hozzájárulását olyan írásbeli nyilatkozat keretében adja meg, amely más ügyekre is vonatkozik, a hozzájárulás iránti kérelmet ezektől a más ügyektől egyértelműen megkülönböztethető módon kell előadni, érthető és könnyen hozzáférhető formában, világos és egyszerű nyelvezettel. Az érintett

[43]

[44]

[45]

[46]

[47] [48]

[49]

Fővárosi Törvényszék 106.K.701.995/2022/13. 11 hozzájárulását tartalmazó ilyen nyilatkozat bármely olyan része, amely sérti e rendeletet, kötelező erővel nem bír.

Ezen rendelkezés megsértése körében az alperesi határozat megfogalmazása valóban nem ad kellő bizonyosságérzetet a , felveti?" szó használata kapcsán, azonban az alperes a határozata

III.4.6. pontjában konkrétan kimondta ezen jogszabályhely megsértését, és a megállapított tényállásból az összefüggés fennállása egyértelműen kitűnik. Az alperes ezért megalapozottan rótta ezt a jogsértést a felperes terhére, tekintettel arra, hogy a kérdőíven semmilyen hozzájárulás-kérés nem szerepelt, így nem valósult meg az sem, hogy a kapcsolati adatokra és az egészségügyi adatokra elkülönítetten kért volna az adatkezeléshez hozzájárulást.

Az egészségügyi adatok kezelése kapcsán a felperes az alperes hatáskörének hiányára hivatkozva kifogásolta az adattakarékosság elvének a sérelmét. E körben a törvényszék kiemeli, hogy az alperes valóban nem értékelhette volna az adatgyűjtés statisztikai szempontú felhasználhatóságát, azonban a jogsértés megállapítását nem is az alkalmasság kritériumának nem teljesülésére alapította, hanem az adatkezelés szükségesség és arányosság kritériumoknak való meg nem felelés miatt, így ez a kérdés nem érintette az ügy érdemét. Önmagában amiatt, hogy az alperes az alkalmasság körében állást foglalt az adatgyűjtés statisztikai célokra történő felhasználhatóságáról, nem vonhatja maga után a határozat semmisségét, erre a felperes alaptalanul hivatkozott. Az adattakarékosság elve az által sérült, hogy a felperes adatkezelése nem felelt meg sem a szükségesség, sem az arányosság kritériumának, mivel a bekért kapcsolati adatokat nem különítette el a bekért egészségügyi adatoktól, így a felperes által kezelt személyes adatok (különleges személyes adatok) a hivatkozott cél, a statisztikai adatgyűjtés szempontjából teljesen szükségtelen módon voltak , összekötve? és kezelve. A kapcsolati adatok és az egyészségügyi adatok egy adathordozón való gyűjtésének, kezelésének vizsgálata — a személyes adat fogalmára is figyelemmel — nyilvánvalóan és egyértelműen az alperes hatáskörét képezte, ezért annak hiánya nem állt fenn. Az alkalmasság vizsgálata körében ezért az alperes a felperesi érveléssel ellentétben nem mulasztotta el a tényállástisztázási kötelezettsége teljesítését, és nem kellett szakértőt sem kirendelnie. A felperes olyan érvelést nem adott elő, amely az alperes ezen megállapítása jogszerűségét megdönthette volna.

A törvényszék az egészségügyi adatok jogalapjára vonatkozó felperesi hivatkozások kapcsán egyrészt visszautal a [41] pontban kifejtettekre, valamint hangsúlyozza, hogy még ha lett is volna kifejezett hozzájárulás-kérés az adatkezeléshez a kérdőíven, megfelelő tájékoztatás hiányában eleve nem lehetett volna az érintett hozzájárulását érvényesnek tekinteni. Így jogszerűen állapította meg az alperes a 6. cikk (1) bekezdésének és a 9. cikk (1) bekezdésének a megsértését e körben is.

A fentiek alapján az alperes jogszerűen állapította meg, hogy a felperes megsértette az általános adatvédelmi rendelet megjelölt rendelkezéseit, a felperes érveit a bíróság nem fogadta el.

Ezt követően a törvényszék az alkalmazott bírságszankció jogszerűségét vizsgálta.

Az általános adatvédelmi rendelet 58. cikk (1) bekezdés i) pontja szerint a felügyeleti hatóság vizsgálati hatáskörében eljárva a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. A 83. cikk (2) bekezdése szerint a közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. A 83. cikk (2) bekezdése sorolja fel azokat a szempontokat, amelyeket a bírságkiszabás szükségessége, illetve a bírság összegének meghatározása során figyelembe kell venni.

Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Info tv.) 61. § (4) bekezdés b) pontja alapján a bírság mértéke százezertől húszmillió forintig terjedhet ha az adatvédelmi hatósági eljárásban hozott

[50]

[51]

152]

Fővárosi Törvényszék 106.K.701.995/2022/13. 12 határozatban kiszabott bírság megfizetésére kötelezett költségvetési szerv, az általános adatvédelmi rendelet 83. cikke szerint kiszabott bírság esetén.

A Kp. 85. § (5) bekezdése értelmében mérlegelési jogkörben megvalósított közigazgatási cselekmény jogszerűsége körében a bíróság azt is vizsgálja, hogy a közigazgatási szerv hatáskörét a mérlegelésre való felhatalmazásának keretei között gyakorolta-e, a mérlegelés szempontjai és azok okszerűsége a közigazgatási cselekményt tartalmazó iratból megállapíthatóak-e. A Kúria a Kfv.I.35.220/2015/8. számú ítéletében kifejtette, hogy , mérlegelés során alapkövetelmény, hogy a szempontok az adott tényállással legyenek adekvát kapcsolatban. Ennek következtében mérlegelni csak az adott körben felmerült tényeket lehet, nem létező, vagy irreleváns tények figyelembe vételére nem kerülhet sor." A

Kf.III.37.998/2019/10. (BH2020. 345.) számú ítélet szerint , [52] A Kúria hangsúlyozza, hogy a Rendelet 83. cikk (2) bekezdésében felsorolt szempontok közül az alperesnek azokat a körülményeket kellett értékelnie, amelyek az adott ügyben relevánsak voltak. A határozatban nem nevesített szempontokat úgy kell tekinteni, hogy azokat az alperes nem tartotta a bírságkiszabás körében jelentősnek, azok sem pozitív, sem negatív előjellel nem voltak figyelembe vehetők. Nem jogszabálysértő a mérlegelési jogkörben hozott döntés pusztán azon az alapon, hogy a hatóság a Rendeletben felsorolt, ám az adott ügyben jogi jelentőséggel nem bíró körülményeket nem sorolta fel azzal, hogy azok nem értékelhetők vagy nem értelmezhetők az ügyben. A mérlegelési jogkörben hozott döntés akkor jogszabálysértő, ha a mérlegelés folyamata, a figyelembe vett szempontok súlyozása a határozat indokolásából nem állapítható meg, az egyes szempontokat okszerűtlenül vagy iratellenes mérlegelte, továbbá ha figyelmen kívül hagyott olyan elemet, amely az ügy összes körülménye szempontjából valódi jelentőséggel bír, illetve, ha olyan körülményt értékelt, amelynek a jogkövetkezmény alapjául szolgáló jogsértéssel összefüggésben tényleges jogi jelentősége nincs."

A bíróság megállapította, hogy a felperes csak állította, hogy az alperes elmulasztotta a Rendelet

83. cikk (3) (helyesen (2)) bekezdésében írt szempontok mérlegelését, azonban nem jelölt meg semmilyen olyan konkrét körülményt, amelyet az alperes ne vett volna figyelembe. A súlyosító körülmények közül , az érintettek akaratát figyelembe nem vevő" kitételt kifogásolta, mivel álláspontja szerint az adatkezelés kifejezetten az érintettek hozzájárulásával történt. Ugyanakkor ahogyan azt a törvényszék a [41] pontban kifejtette, az érintetti hozzájárulás megtörténtét a felperes sem a megelőző eljárás során, sem a perben nem igazolta. A , szükségtelen" adatkezelés kapcsán a felperes megismételte az egészségügyi adatok kezelése kapcsán az adattakarékosság elvének sérelme körében előadottakat. E körben a törvényszék visszautal a [44] pontban foglaltakra. Mivel az adattakarékosság elvének a sérelmét az alperes nem az alkalmasság kritériumának nem teljesülésére alapította, a felperes e vonatkozásban előadott értelése a bírságkiszabás körében sem foghatott helyt. A felperesi hivatkozással ellentétben a határozat

IV.6.(i1) pontjában az alperes az elégtelen adatvédelmi tervezést tekintette súlyosító körülménynek, amely a 32. cikk szerinti adatkezelés biztonsága körébe eső körülmény.

Tekintettel arra, hogy a határozat indokolása valamennyi, a kiszabáskor figyelembe vett releváns körülményt tartalmazza, az alperes eleget tett a Kp. 85. § (5) bekezdésében foglaltaknak. A mérlegelésre kapott hatáskörét az alperes nem lépte túl, a határozatából a mérlegelés szempontjai és azok okszerűsége is kitűnik. Az alperes az alkalmazandó jogszabályoknak megfelelően járt el a jogkövetkezmények meghatározása körében, mérlegeléssel határozta meg az alkalmazandó szankciót; a törvényi szempontokat figyelembe vette, azokat értékelte, a határozatában a szükséges mértékben és részletességgel megjelölte a mérlegelése szempontjait és indokait. A mérlegelési jogkörben hozott, okszerű következtetésekből álló, és indokolt döntés felülmérlegelésére a bíróság nem jogosult.

[53]

[54]

[55]

[56]

Fővárosi Törvényszék 106.K.701.995/2022/13. 13

A fentiekre figyelemmel a törvényszék megállapította, hogy az alperes határozata a keresettel támadott körben nem jogszabálysértő, ezért a felperes alaptalan keresetét — a Kp. 88. § (1) bekezdés a) pontja alapján — elutasította.

A törvényszék a Kp. 35. § (1) bekezdése folytán alkalmazandó polgári perrendtartásról szóló

2016. évi CXXX. törvény (a továbbiakban: Pp.) 83. § (1) bekezdése alapján a pervesztes felperest kötelezte az alperes perköltségének megtérítésére. A perköltség összegét az IM rendelet 2. § (1) bekezdés a) pontja és a 2. § (2) bekezdése alapján, az előterjesztett költségjegyzékben megjelölt összeghez képest mérsékelt összegben állapította meg, tekintettel arra, hogy az ügyben tárgyalás tartására nem került sor, az alperesi jogi képviselő a perképviselettel felmerült időráfordítást nem jelölte meg, így a törvényszék a megbízási szerződésben rögzített, a bírság 290-a szerinti munkadíjat (60.000 Ft -- áfa) tudta elfogadni.

Az illetékekről szóló 1990. évi XCIII. törvény (a továbbiakban: Itv.) 62. § (1) bekezdés Ah) pontja alapján feljegyzett, az Itv. 45/A. § (1) bekezdésében meghatározott 30.000 Ft tételes kereseti illeték a felperesnek az Itv. 5. § (1) bekezdés b) pontja alapján fennálló személyes illetékmentessége folytán a Pp. 102. § (6) bekezdése alapján az állam terhén marad.

Az ítélet elleni fellebbezés lehetőségét a Kp. 99. § (1) bekezdése zárja ki.

Budapest, 2023. július 12.

Fintáné dr. Vásárhelyi Julianna s.k. dr. Winklerné dr. Nóvé Ildikó s.k. dr. Váczi Katalin s.k. a tanács elnöke előadó bíró bíró