Орган по защите данных Венгрии (NAIH): обработка персональных и медицинских данных муниципалитетом Будапешта

Iktatószám: Előzmény ügyszám:

NAIH-642-4/2022 NAIH-8594/2021

Tárgy: határozat

HATÁROZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a Budapest Főváros XVIII. kerület Pestszentlőrinc - Pestszentimre Önkormányzatával (a továbbiakban: Ügyfél) szemben 2021. november 26. napján hivatalból – az Ügyfél

„www.bp18.hu/vakcina” weboldalon (a továbbiakban: Weboldal) és postai úton terjesztett

„vakcina kérdőív” (a továbbiakban: Kérdőív) adatkezelésének tárgyában – indított adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:

I. A Hatóság megállapítja, hogy az Ügyfél nem adott megfelelő tájékoztatást az érintetteknek a név és lakcím adataik külső forrásból történt megszerzéséről és felhasználásáról a velük történő első kapcsolatfelvételkor, ezzel a Kérdőív megküldéséhez felhasznált név és lakcím adatok tekintetében megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679/EU rendelet (a továbbiakban: általános adatvédelmi rendelet) 12. cikk (1) bekezdése és 14. cikke szerinti tájékoztatás nyújtásának kötelezettségét.

II. A Hatóság megállapítja, hogy az Ügyfél megfelelő előzetes tájékoztatás, konkrétan meghatározott cél, és érvényes jogalap hiányában kezelte a Kérdőívvel gyűjtött kapcsolati személyes adatokat több ezres nagyságrendű érintett vonatkozásában, és ezzel megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerinti célhoz kötöttség elvét, 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elvét, a 12. cikk (1) bekezdése és 13. cikke szerinti előzetes tájékoztatás nyújtásának kötelezettségét, valamint a fentiek miatt érvényes hozzájárulás hiányában az általános adatvédelmi rendelet 6. cikk (1)

bekezdését és a 7. cikk (2) bekezdését.

III. A Hatóság megállapítja, hogy az Ügyfél megfelelő előzetes tájékoztatás és érvényes jogalap hiányában, szükségtelenül kezelte a Kérdőívvel gyűjtött egészségügyi adatokat, és ezzel megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elvét, a 12. cikk (1) bekezdése és 13. cikke szerinti előzetes tájékoztatás nyújtásának kötelezettségét, valamint a fentiek miatt érvényes hozzájárulás hiánya miatt az általános adatvédelmi rendelet 6. cikk (1) bekezdését, a 7. cikk (2) bekezdését és 9. cikk (1) bekezdését.

IV. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján hivatalból utasítja az Ügyfelet, hogy akként módosítsa a Kérdőívvel gyűjtött kapcsolati személyes adatok kezelésével összefüggő gyakorlatát, hogy az megfeleljen az általános adatvédelmi rendeletnek, azaz megfelelő konkrét célt vagy célokat jelöljön meg, ahhoz a kapcsolati adat segítségével szerezze be az érintettek hozzájárulását megfelelő előzetes közvetlen tájékoztatás nyújtása mellett, és törölje azon Kérdőívvel gyűjtött kapcsolati személyes adatokat, amelyekre a fenti módon nem tudott az általános adatvédelmi rendeletnek megfelelő érvényes hozzájárulást szerezni. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 61. § (6)

bekezdése alapján a határozat megtámadására nyitva álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős határozatáig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

V. A Hatóság a fenti adatvédelmi jogsértések miatt az Ügyfelet hivatalból

3 000 000 Ft, azaz hárommillió forint adatvédelmi bírság megfizetésére kötelezi. A IV. pontban előírt kötelezettség teljesítését az Ügyfélnek a jelen határozattal szembeni jogorvoslati határidő leteltét követő 60 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. Az adatkezelést kizárólag megfelelő adatkör meghatározása mellett, valós és konkrét célokból, érvényes jogalap, valamint az érintetti jogok maximális biztosításának igazolásával lehet folytatni, ellenkező esetben az Ügyfélnek a kérdéses adatkezelés megszüntetését kell igazolnia a Hatóság felé a fenti határidőn belül.

Az V. pont szerinti bírságot a jelen határozat véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a „NAIH-642/2022 BÍRS.” számra kell hivatkozni. Ha az Ügyfél a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A bírság és a késedelmi pótlék meg nem fizetése, illetve a fenti IV. pont szerinti kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását. A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. Tárgyalás tartását a keresetlevélben lehet kérni. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező. Az Infotv. 61. § (2) bekezdés a) pontja alapján a Hatóság a jelen határozatot közzéteszi a Hatóság honlapján.

INDOKOLÁS

I.

Az eljárás menete és a tényállás tisztázása

I.1. Az előzmény ügy

1. A NAIH-3566/2021 számú előzmény ügyben (a továbbiakban: Előzmény Ügy) közérdekű bejelentés érkezett a Hatósághoz 2021. március 25-én, amely az Ügyfél által használt Kérdőív adatkezelésének jogszerűségét vitatta. A Kérdőív a „www.bp18.hu/vakcina” honlapra hivatkozik, amely a „https://www.bp18.hu/onkormanyzat/vakcina” honlapra irányít át.

2. A közérdekű bejelentés nyomán a Hatóság 2021. április 14-én hivatalból vizsgálatot indított az Előzmény Ügyben. 3. Az Előzmény Ügyben a Hatóság megkeresésére az Ügyfél 2021. május 3-án érkezett, NAIH-3566-4/2021 számon érkeztetett válaszlevelében az alábbi, a döntés szempontjából releváns nyilatkozatokat tette:

(i) A Kérdőívvel kapcsolatban az Ügyfél minősül adatkezelőnek.

(ii) Az Ügyfél csak a postát és a borítékok elkészítéséhez egy külső szolgáltatót vett igénybe adatfeldolgozóként, a visszaküldött Kérdőívek tekintetében nem vett igénybe adatfeldolgozót.

(iii) Az Ügyfél a Budapest XVIII. kerületi nagykorú lakosok nevét és lakcímét a polgárok személyi adatainak és lakcímének nyilvántartásáról szóló 1992. évi LXVI. törvény (a továbbiakban: Lakcímtv.) 21. § a) pontja alapján szerezte meg.

(iv) Az Ügyfél a címzettek nevét és lakcímét a Kérdőív postázásáig kezelte, ezt követően törölte. Ezen adatkezelés jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja volt.

(v) A Kérdőíveken az alábbi személyes adatokat gyűjtötte az Ügyfél: név, telefonszám, email cím (ezek kitöltése az Ügyfél nyilatkozata szerint opcionális, jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontja szerinti érintetti hozzájárulás). Ezen felül az alábbi egészségügyi adatra vonatkozó kérdésekre adott válaszokat gyűjtötték a Kérdőíven: regisztrált-e oltásra, megkapta-e az oltást, átesett-e koronavírus fertőzésen. Az egészségügyi adatok kezelésének ideje a Kérdőív beérkezését követő 1 hét, a kapcsolati adatok kezelési ideje a hozzájárulás visszavonásáig terjedő idő, jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontja és a 9. cikk (2) bekezdés a) pontja szerinti érintetti hozzájárulás. A Kérdőíven megjelölt (már nem üzemelő) „www.bp18.hu/vakcina” weboldalon az adatkezelési tájékoztatás az Ügyfél általános adatkezelési tájékoztatójára mutató, a Kérdőíven is jelzett hivatkozást tartalmaz (www.bp18.hu/kozerdeku/adatvedelmi-informáciok). Ezen kívül annyit írt a „www.bp18.hu/vakcina” weboldal, hogy a kapcsolati adatokat az Ügyfél azon célból kezeli a hozzájárulás visszavonásáig, hogy „információcsere céljából kapcsolatot tartson”.

(vi) Az Ügyfél területén 97.687 lakos lakik. Az Ügyfél 54.469 levelet küldött ki, amelyre

2021. április 28. napjáig 4.856 lakos válaszolt.

(vii) Az Ügyfél az adatkezeléssel kapcsolatos tájékoztatást kizárólag a papír Kérdőíven az Ügyfél honlapjára történő hivatkozás megjelölésével adta meg (www.bp18.hu/kozerdeku/adatvedelmi-informáciok)

4. Az Előzmény Ügyben a Hatóság megkeresésére az Ügyfél 2021. szeptember 16-án érkezett, NAIH-3566-8/2021 számon érkeztetett válaszlevelében az alábbi, a döntés szempontjából releváns nyilatkozatokat tette:

(i) A név- és lakcímadatok igénylése és a Kérdőívet tartalmazó borítékok kiküldésére felhasználása az Ügyfélnek a Magyarország helyi önkormányzatairól szóló 2011. évi CLXXXIX. törvény (a továbbiakban: Mötv.) 23. § (5) bekezdés 9. pontja alapján fennálló önkormányzati feladata végrehajtása érdekében történt. Ezt erősíti meg az egészségügyről szóló 1997. évi CLIV. törvény (a továbbiakban: Eütv.) 35. §-a is.

(ii) Az egészségügyi adatok törlésre kerültek, kizárólag azon személyek kapcsolati adatait kezeli már az Ügyfél az érintettek hozzájárulására alapozva.

(iii) A kiküldött Kérdőívek számához képest a válaszolók száma majdnem 10%. A nemzetközi standardok alapján a Kérdőív eredményei alappal szolgálhatnak az Ügyfél önkormányzati feladatai során történő döntés-előkészítéshez. E körben hivatkozott az alábbi tanulmányra: Christman, M.C. – LAN, F. [2001]: Inverse Adaptive Cluster Sampling, Biometrics, 57. évf. 4. sz. (a továbbiakban: Tanulmány).

(iv) Az adatok elemzése és folyamatos figyelemmel kísérése alapján döntött az Ügyfél az óvodák nyitvatartásáról, valamint tájékoztatta az adatokról a kerületben 17 iskolát üzemeltető Klebelsberg Intézményfenntartó Központot. Ehhez kapcsolódóan mellékelt egy 2021. március 31. keltezésű aláíratlan és azonosítatlan emlékeztetőt, amely szerint a kapott információk alapján születik később döntés lakossági tájékoztató kampányokról és szűrésekről.

(v) Az Ügyfél a járványügyi döntései kapcsán felhasználta az elemzéssel kapott adatokat kerületi iskolások tesztelésére irányuló projektről döntés során, ingyenes antitest szűrés szervezése során.

(vi) Az Ügyfél az illetékes Kormányhivatal vezetőjével történt szóbeli egyeztetés alapján vállalta, hogy felmérést végez a kerületi lakosok átoltottságára vonatkozóan.

(vii) Az Ügyfél által mellékelt, közte és különböző minisztériumok közötti levelezéseket a Hatóság nem vette figyelembe a döntés során, mivel azok érdemben nem befolyásolták az adatkezelői kötelezettségek teljesítését és az adatkezelések jogszerűségét. 5. Az Előzmény Ügyben a Hatóság megkeresésére Budapest Főváros Kormányhivatala XVIII. kerületi Hivatala 2021. november 12-én érkezett, NAIH-3566-11/2021 számon érkeztetett válaszlevelében az alábbi, a döntés szempontjából releváns nyilatkozatokat tette:

(i) Budapest Főváros Kormányhivatala XVIII. kerületi Hivatala sem szóban, sem írásban nem kérte az Ügyféltől a helyi lakosok átoltottságára vonatkozó felmérés készítését.

(ii) Budapest Főváros Kormányhivatala XVIII. kerületi Hivatala nem kapott Kérdőívből származó adatok feldolgozásából származó eredményt az Ügyféltől.

(iii) Budapest Főváros Kormányhivatala XVIII. kerületi Hivatala nem kapott más budapesti helyi önkormányzatoktól sem ilyen adatokat.

(iv) A Budapest Főváros Kormányhivatala XVIII. kerületi Hivatala egyik szervezeti egysége

Budapest Főváros Kormányhivatalnak, azonban annak a nevében nem tehet nyilatkozatot.

6. Az Előzmény Ügyben feltárt információk alapján felmerült az általános adatvédelmi rendelet több cikke megsértésének közvetlen veszélye a vizsgált adatkezeléssel kapcsolatban a Hatóság hivatalbóli eljárását és hatósági eszközökkel való fellépését indokolták. A felmerült adatvédelmi kérdések az Ügyfél általános adatkezelési gyakorlatát érintik, nem egy adott érintetthez köthetőek. A fentiekre tekintettel a Hatóság az Infotv. 55. § (1) bekezdés a) pont ab) alpontja alapján lezárta az Előzmény Ügyet, és hivatalból megindította a jelen adatvédelmi hatósági eljárást az Ügyfélnek a Kérdőívvel összefüggő adatkezelése tárgyában.

I.2. A jelen adatvédelmi hatósági eljárás

1. A jelen adatvédelmi hatósági eljárásban a Hatóság megkeresésére Budapest Főváros

Kormányhivatala 2021. december 30-án érkezett, NAIH-8594-6/2021 számon érkeztetett válaszlevelében az alábbi, a döntés szempontjából releváns nyilatkozatokat tette:

(i) Budapest Főváros Kormányhivatala megerősítette a Budapest Főváros Kormányhivatala

XVIII. kerületi Hivatala által küldött, NAIH-3566-11/2021 számon érkeztetett nyilatkozatokat.

(ii) A Budapest Főváros Kormányhivatala XVIII. kerületi Hivatala által tett nyilatkozatok a Budapest Főváros Kormányhivatala tekintetében is helytállóak.

2. A jelen adatvédelmi hatósági eljárásban a Hatóság megkeresésére az Ügyfél 2022. január

12-én érkezett, NAIH-642-1/2022 számon érkeztetett válaszlevelében az alábbi, a döntés szempontjából releváns nyilatkozatokat tette:

(i) Az Ügyfél az Előzmény Ügyben tett nyilatkozatait fenntartja.

(ii) Az Ügyfél 2021. évi nettó árbevétele 19 598 010 463 forint volt. Kérte az Ügyfél figyelembe venni, hogy a magasabb kiadások miatt 2021-ben 3 906 975 340 forint hiánya volt, és a költségvetése egészét közfeladatok ellátására, egy részét járványügyi védekezésre fordítja.

(iii) Fenntartja a fenti I.1. 4.(vi) alpont szerinti nyilatkozatát, azonban véleménye szerint a Kormányhivatal szerepe nem jelentős ezen ügyben, a felmérés döntően az Ügyfél feladatainak ellátását szolgálta.

3. A Hatóság 2022. február 8-án rögzítette az internetes archívum (The Wayback Machine)

tartalmából az alábbi két archivált tartalmat a Weboldal korábbi állapotáról:

(i) a https://bp18.hu weboldal adatvédelmi tájékoztatásról szóló aloldalának 2021. április

14-i állapota (https://web.archive.org/web/20210414165038/https://bp18.hu/kozerdeku/adatvedelmiinformaciok)

(ii) a https://bp18.hu weboldal adatvédelmi tájékoztatásról szóló aloldalán megjelölt

„ADATKEZELESI_TAJEKOZTATO_BP18_v4_RF_20201125.pdf” elnevezésű letölthető dokumentum 2021. május 7-i állapotából készült képernyőmentés a dokumentum 4. oldaláról (2.3. és 3. pontok), amely a fenti adatvédelmi tájékoztatásról szóló aloldalról volt elérhető ezzel a fájlnévvel 4. A általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 76. §-a alapján nincs szükség újabb nyilatkozattételre történő felhívásra, mivel az Ügyféltől és az Ügyfél weboldaláról származik a döntés alapjául szolgáló valamennyi információ. II.

Az ügyben alkalmazandó jogszabályi rendelkezések

Az általános adatvédelmi rendelet 2. cikk (1) bekezdése szerint az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak az adatoknak a nem automatizált kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján „személyes adat” azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ, többek között az online azonosító is.

Az általános adatvédelmi rendelet 4. cikk 2. pontja alapján „adatkezelés” a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés. Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján „adatkezelő” az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza. Ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja Az általános adatvédelmi rendelet 4. cikk 11. pontja alapján „az érintett hozzájárulása” az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez. Az általános adatvédelmi rendelet 4. cikk 15. pontja alapján „egészségügyi adat” egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról Az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerint a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”). Az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerint az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”). Az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja szerint jogszerű lehet a személyes adatok kezelése, ha az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges. Az általános adatvédelmi rendelet 7. cikk (2) bekezdése szerint ha az érintett hozzájárulását olyan írásbeli nyilatkozat keretében adja meg, amely más ügyekre is vonatkozik, a hozzájárulás iránti kérelmet ezektől a más ügyektől egyértelműen megkülönböztethető módon kell előadni, érthető és könnyen hozzáférhető formában, világos és egyszerű nyelvezettel. Az érintett hozzájárulását tartalmazó ilyen nyilatkozat bármely olyan része, amely sérti e rendeletet, kötelező erővel nem bír. Az általános adatvédelmi rendelet 9. cikk (1) bekezdése alapján a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.

Az általános adatvédelmi rendelet 9. cikk (2) bekezdés a) pontja alapján a 9. cikk (1) bekezdése nem alkalmazandó többek között abban az esetben, ha az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy a 9. cikk (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával. Az általános adatvédelmi rendelet 12. cikk (1) bekezdése alapján az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. illetve 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az általános adatvédelmi rendelet 13. cikk (1) és (2) bekezdése alapján ha a személyes adatokat az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat:

a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;

b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;

c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;

d) az általános adatvédelmi rendelet 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei;

e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;

f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy az általános adatvédelmi rendelet 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás;

g) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól;

h) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról;

i) az általános adatvédelmi rendelet 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;

j) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról;

k) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása;

l) az általános adatvédelmi rendelet 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. Az általános adatvédelmi rendelet 13. cikk (4) bekezdése alapján a 13. cikk (1)–(3) bekezdését nem kell alkalmazni, ha és amilyen mértékben az érintett már rendelkezik az információkkal. Az általános adatvédelmi rendelet 14. cikk (1) és (2) bekezdése alapján ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat:

a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;

b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;

c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;

d) az érintett személyes adatok kategóriái;

e) a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;

f) adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozás;

g) a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

h) ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről;

i) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga;

j) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;

k) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;

l) a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e; és m) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

Az általános adatvédelmi rendelet 14. cikk (5) bekezdése alapján a 14. cikk (1)–(4) bekezdését nem kell alkalmazni, ha és amilyen mértékben:

a) az érintett már rendelkezik az információkkal;

b) a szóban forgó információk rendelkezésre bocsátása lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne, különösen a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, a 89. cikk (1) bekezdésében foglalt feltételek és garanciák figyelembevételével végzett adatkezelés esetében, vagy amennyiben az e cikk (1) bekezdésében említett kötelezettség valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezen adatkezelés céljainak elérését. Ilyen esetekben az adatkezelőnek megfelelő intézkedéseket kell hoznia – az információk nyilvánosan elérhetővé tételét is ideértve – az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében;

c) az adat megszerzését vagy közlését kifejezetten előírja az adatkezelőre alkalmazandó uniós vagy tagállami jog, amely az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik; vagy d) a személyes adatoknak valamely uniós vagy tagállami jogban előírt szakmai titoktartási kötelezettség alapján, ideértve a jogszabályon alapuló titoktartási kötelezettséget is, bizalmasnak kell maradnia. Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja. Az Infotv. 71. § (2) bekezdése alapján a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja. Az Infotv. 75/A. §-a alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)–(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján a Hatóság utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja alapján a Hatóság a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett.

Az általános adatvédelmi rendelet 83. cikk (1) bekezdése alapján valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. Az általános adatvédelmi rendelet 83. cikk (2) bekezdése szerint a közigazgatási bírságokat az adott eset körülményeitől függően az általános adatvédelmi rendelet 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;

b) a jogsértés szándékos vagy gondatlan jellege;

c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;

d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa az általános adatvédelmi rendelet 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket;

e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések;

f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke;

g) a jogsértés által érintett személyes adatok kategóriái;

h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;

i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az általános adatvédelmi rendelet 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés;

j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát az általános adatvédelmi rendelet 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy az általános adatvédelmi rendelet 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. Az általános adatvédelmi rendelet 83. cikk (7) bekezdés alapján a felügyeleti hatóságok 58. cikk (2) bekezdése szerinti korrekciós hatáskörének sérelme nélkül, minden egyes tagállam megállapíthatja az arra vonatkozó szabályokat, hogy az adott tagállami székhelyű közhatalmi vagy egyéb, közfeladatot ellátó szervvel szemben kiszabható-e közigazgatási bírság, és ha igen, milyen mértékű. Az Infotv. 61. § (4) bekezdés b) pontja alapján az általános adatvédelmi rendelet 83. cikke szerint kiszabott bírság esetén a bírság mértéke százezertől húszmillió forintig terjedhet, ha az adatvédelmi hatósági eljárásban hozott határozatban kiszabott bírság megfizetésére kötelezett költségvetési szerv. Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az Infotv-ben meghatározott eltérésekkel. A Lakcímtv. 21. § a) pontja alapján a helyi önkormányzatok szervei törvényben vagy önkormányzati rendeletben meghatározott feladataik ellátásához a Lakcímtv. 17. § (2) bekezdésének b) pontja szerinti adatokat jogosultak igényelni, amelyek a természetes személyazonosító adatok és lakcímadatok, állampolgárság, családi állapot, a házasságkötés vagy bejegyzett élettársi kapcsolat létesítésének helye, a nem, a nyilvántartásból való kikerülés oka, helye és ideje. Az Mötv. 23. § (5) bekezdés 9. pontja alapján többek között a kerületi önkormányzat feladatát képezik az egészségügyi alapellátás, az egészséges életmód segítését célzó szolgáltatások. Az Eütv. 35. § (1) bekezdése alapján a népegészségügy állami és önkormányzati szervek, gazdasági, civil szervezetek, valamint egyének részvételével megvalósított, elsősorban lakossági csoportokat, közösségeket célzó tevékenység, az egészség védelme és fejlesztése, a betegségek, sérülések és rokkantság megelőzése érdekében. A népegészségügy célja a lakosság egészségi állapotának monitorozása, az egészségproblémák és prioritások meghatározása, népegészségügyi intézkedések kimunkálása és foganatosítása kormányzati, szakmai és civil szervezetekkel együttműködésben. Az Eütv. 35. § (2) bekezdése alapján a népegészségügyi tevékenység magában foglalja:

a) az egészség tudományosan megalapozott természeti és társadalmi környezeti (a továbbiakban együtt: környezeti) feltételeinek, az egészség fejlesztésének, a betegségek megelőzésének hatékony, hozzáférhető és megfelelő bizonyítékokon alapuló módszereinek, valamint az ehhez szükséges intézményrendszer kialakítása, működtetése feltételeinek meghatározását, b) a lakosság egészségmagatartásának, az azt befolyásoló környezeti tényezőknek a rendszeres elemzését, c) a b) pont szerinti elemzés során feltárt adatok alapján az egészségkárosító hatások kockázatának értékelését és az ennek megfelelő problémák és prioritások rangsorolását, d) a nemzetközi irányvonalakkal összhangban levő népegészségügyi stratégia és ennek megvalósítását elősegítő akcióterv kidolgozását, amely előre meghatározott, mérhető egészségcélokat határoz meg az egészség javítása érdekében, továbbá tartalmazza a megelőzés és az egészségkárosító hatások csökkentésére irányuló beavatkozásokat, e) a feladatok megvalósítása érdekében egészségfejlesztési, egészségvédelmi, betegségmegelőzési, gyógyító és orvosi rehabilitációs szolgáltatások biztosítását, f) a szolgáltatásoknak a hatékonyságuk, eredményességük, hozzáférhetőségük és egyéb minőségi jellemzőik szerinti rendszeres értékelését. Az Eütv. 35. § (3) bekezdése alapján a társadalom- és az egészségpolitika céljainak meghatározásánál, valamint a döntések előkészítésénél támaszkodni kell a népegészségügyi tevékenység során feltárt adatokra.

Az Eütv. 35. § (4) bekezdése alapján a lakosságot a népegészségügyi helyzetről, a felmerült problémákról, az előidéző tényezőkről, a várható következményekről, a megoldás lehetőségeiről és korlátairól rendszeresen tájékoztatni kell. III.

Döntés

III.1. Az adatkezelések leírása

1.1. Az Adatkezelő

1. Az Ügyfél nem tudta alátámasztani azon állítását, miszerint az adatkezelésekre harmadik személy, az illetékes kormányhivatal kérésére került sor, és ezt mind a kerületi, mind a fővárosi kormányhivatal tagadta. Az Ügyfél 2022. január 12-én érkezett, NAIH-642-1/2022 számon érkeztetett válaszlevelében is megerősítette, hogy az illetékes kormányhivatalnak nem volt érdemi szerepe az adatkezelések kialakításában.

2. Az Ügyfél az adatkezelést önként vállalt önkormányzati feladattal kapcsolatban, saját döntése alapján végezte, annak feltételeit sem uniós, sem magyar jogszabály nem határozta meg.

3. A fentiek alapján a jelen ügyben vizsgált valamennyi adatkezelés esetén az adatkezeléssel kapcsolatos valamennyi döntést, annak szükségességét, módját és eszközeit az Ügyfél határozta meg, így az általános adatvédelmi rendelet 4. cikk 7. pontja alapján Ügyfél minősül önálló adatkezelőnek.

1.2. A harmadik féltől szerzett név és lakcím adatokkal összefüggő adatkezelés főbb jellemzői

1. A Kérdőívvel történő adatkezelés előkészítéseként az Ügyfél a személyiadat- és lakcímnyilvántartásból a Lakcímtv. 21. § a) pontja, az Mötv. 23. § (5) bekezdés 9. pontja, és az Eütv. 35. § (1) bekezdése alapján beszerezte valamennyi Budapest XVIII. kerületi nagykorú lakos név és lakcím adatát.

2. Ezen adatkezelést az Ügyfél általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontjára alapította, azaz a covid-19 világjárvány miatti járványügyi felméréshez és megelőzéshez kapcsolódó közfeladata ellátásához volt szükséges.

3. A címzéshez felhasznált név és lakcím adatokat az Ügyfél a Kérdőívek postázását követően törölte, azokat csak 2021. március hónapban rövid ideig kezelte kizárólag a Kérdőívek célba juttatása céljából. Ezzel ellentétes körülmény nem merült fel az eljárás során.

1.3. A Kérdőíven beérkezett kapcsolati adatokkal összefüggő adatkezelés főbb jellemzői

1. A Kérdőíven az Ügyfél a következő kapcsolati adatokat kérte megadni, amelyek mellett nem jelezte, hogy azok megadása opcionális: név, telefonszám, email cím. Ezek érdemben nem voltak elkülöníthetőek a kért egészségügyi adatoktól, nem derültek ki a Kérdőívből, hogy ezen adatok különböző célok és feltételek szerint kerülnek felhasználásra.

2. A Kérdőíven beérkezett kapcsolati adatokat az Ügyfél – csak online kitöltés során elérhető

– tájékoztatása szerint az érintett hozzájárulásán alapulva kezeli a hozzájárulás visszavonásáig abból a célból, hogy „információcsere céljából kapcsolatot tartson” az ezen adatokat a Kérdőíven megadó érintettekkel.

3. A fentiek alapján a Kérdőíveket postán vagy online megküldő kb. 5 ezer érintettek közül a kapcsolati adatokat megadó érintettek név, telefonszám, email cím adatát kezeli jelenleg is az Ügyfél.

1.4. A Kérdőíven beérkezett egészségügyi adatokkal összefüggő adatkezelés főbb jellemzői

1. A Kérdőíven az alábbi kérdések szerepeltek:

(i) regisztrált-e oltásra, (ii) megkapta-e az oltást, (iii) átesett-e koronavírus fertőzésen.

2. Az általános adatvédelmi rendelet 4. cikk 15. pontja alapján egészségügyi adat egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról. A fenti kérdésekre adott válaszok egészségügyi adat jellegét az Ügyfél sem vitatta az eljárás során, továbbá hivatkozott ezzel kapcsolatban az általános adatvédelmi rendelet 9. cikk (2) bekezdés a) pontjára is. Az egészségügyi adat tág értelmezését erősíti meg többek között az Európai Unió Bíróságának gyakorlata is1, amely szerint bármely fizikai vagy mentális egészségre utaló adat lehet egészségügyi adat.

3. A fenti egészségügyi adatokat az Ügyfél csak átmenetileg kezelte, azonban azon érintetteknél, akik a kapcsolati adatokat is megadták, ezek azonosítható személyekkel kapcsolatban kerültek átmenetileg kezelésre. A személyhez kapcsolható egészségügyi adatokat a beérkezést követő egy hét elteltével az Ügyfél törölte. Ezzel ellentétes körülmény nem merült fel az eljárás során.

4. Az egészségügyi adatok kezelésének célja anonim statisztika előállítása volt, amely alapján az Ügyfél önkormányzati döntéseket kívánt meghozni a covid-19 világjárvánnyal kapcsolatban.

III.2. A megfelelő tájékoztatás kötelezettsége

1. Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerint az Ügyfél mint önálló adatkezelő kötelezettsége megfelelő intézkedéseket hozni annak érdekében, hogy az érintettek részére a személyes adatok kezelésére vonatkozó, a 13. és 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa. 2. A megfelelő tájékoztatás rendszere az általános adatvédelmi rendeletben azt szolgálja, hogy az érintett tudatában lehessen annak, hogy mely személyes adatait, mely adatkezelő és mely célból, hogyan fogja kezelni. Ez elengedhetetlen ahhoz, hogy olyan helyzetben legyen, hogy érintetti jogait érdemben gyakorolni tudja.

1 lásd pl. C-101/01 számú döntés (Lindqvist ügy): https://curia.europa.eu/juris/liste.jsf?num=C-101/01

3. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontjára alapított adatkezelés esetén a kiszolgáltatottabb érintettek miatt fokozott tájékoztatási elvárás érvényesül egy közhatalmi feladatokat ellátó, az adatkezelést az érintett beleegyezésétől függetlenül végző adatkezelővel szemben egy olyan adatkezelőhöz képest, amely az érintett rendelkezési joga mellett kezeli az érintett személyes adatait. Megfelelő tájékoztatás hiányában értelemszerűen az érintett nincs olyan helyzetben, hogy érintetti jogait megfelelően gyakorolja.

4. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontjára alapított adatkezelés esetén az általános adatvédelmi rendelet 4. cikk 11. pontja alapján nemcsak az adatkezelés megkezdése, hanem a hozzájárulás megszerzése előtt köteles az adatkezelő olyan tájékoztatást nyújtani, amely alapján tájékozott hozzájárulás adható.

5. Az általános adatvédelmi rendelet szerinti érintetti hozzájárulás jogalappal kapcsolatban fontos hangsúlyozni, hogy az nem arra szolgál, hogy az adatkezelő egyéb jogszabályi feltételektől függetlenül általános felhatalmazásként alkalmazza azt, hogy bármikor és bármilyen indokkal, bármely személyes adatot korlátlanul kezelhessen. Az adatkezeléshez történő érintetti hozzájárulás csak akkor lehet érvényes, ha azt konkrét cél(ok)ra – célonként külön megadhatóan – kérik, és előtte megfelelő tájékoztatást nyújtanak, amely olyan helyzetbe hozza az érintettet, hogy megfelelő döntést tudjon hozni a hozzájárulás megadásáról, és megfelel az általános adatvédelmi rendeletben előírt valamennyi egyéb érvényességi követelménynek. Az általános adatvédelmi rendelet 12. cikk (1) bekezdése kifejezetten eredménykötelmet ír elő az adatkezelőnek, azaz az érintett számára olyan segítséget kell nyújtania, hogy az minden érintetti jogát tájékozottan tudja gyakorolni.

6. A tájékoztatási kötelezettség a fentiekben is kifejtettek szerint nem puszta „lepapírozási”

kötelezettséget jelent az általános adatvédelmi rendeletben. Mind a preambulumban foglaltak, mind az általános adatvédelmi rendelet cikkei eredmény elérését írják elő az adatkezelő kötelezettségeinek meghatározásakor, nem csak egy meghatározott minimális erőfeszítés igazolását az adatkezelő részéről. A tájékoztatás célja, hogy olyan helyzetbe hozza az érintettet, hogy az megfelelő döntési helyzetben legyen az érintetti jogai gyakorlásával kapcsolatban.

7. Az Ügyfél a Kérdőíven semmilyen érdemi, az érintettek által könnyen hozzáférhető tájékoztatást nem nyújtott az adatkezelésről az érintettek részére, annak sem a különböző célok, sem a jogalapok, sem az időtartamok nem derültek ki, és a név és lakcím adatok forrását sem jelölte meg. Az sem derült ki, hogy a kapcsolati adatok kitöltése opcionális. A papír alapú adatkezelés esetén az érdemi tájékoztatás teljes egészében online nyújtása általában nem átlátható és könnyen hozzáférhető a Kérdőívet postán megkapó és azon visszaküldő érintettek számára. Így ez önmagában meghiúsította azt, hogy az érintettek érvényes hozzájárulást tudjanak adni.

8. Az Ügyfélnek a Kérdőíven írásban megjelölt és online kitöltésnél is hivatkozással elérhető www.bp18.hu/kozerdeku/adatvedelmi-informáciok webcímen elérhető általános adatkezelési tájékoztatása a Kérdőívek kiküldése és azok érintettek általi visszaküldése idején – amely az Ügyfél nyilatkozatai szerint rövid időszak volt 2021. március környékén – semmilyen információt nem tartalmazott egyik vizsgált adatkezelésről sem. A Hatóság felhívására megküldött tájékoztatás a www.bp18.hu/kozerdeku/adatvedelmi-informáciok webcímen csak 2021. május 7-ét követően került ki a fenti I.2. 3. pont szerinti webes archívum alapján, azt megelőzően semmilyen tájékoztatás nem volt egyetlen adatkezeléssel kapcsolatban sem. Bár a későbbi tájékoztatás a jogszerűtlenség megállapításánál nem játszik szerepet, a Hatóság megjegyzi, hogy az Ügyfél által a Weboldalon utólag kicserélt, utólag 2.4. és 2.5. pontokkal kiegészített tájékoztatás sem tartalmazta az adatok forrását, valamint alapvető információkat a konkrét célokról. Ennek a Weboldalon található fájlneve és tartalma, verziószáma sem egyezik a vizsgált adatkezelések idején elérhető verzióval. Azonban a fentiek miatt a 2.4. és 2.5. pontokkal kiegészített új tájékoztatás korábbi elérhetősége esetén a tartalma, valamint a Kérdőívvel együtt történő könnyű hozzáférhetőség hiánya miatt nem tették volna megfelelővé a tájékoztatást, annak legalább alapvető információit a Kérdőíven kellett volna nyújtani. Az adatkezelés célja és jellege nem volt olyan összetett, amely ezt érdemben akadályozta volna.

III.3. A Kérdőív elküldéséhez szükséges adatkezelés értékelése

1. Az Ügyfél az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja alapján a közhatalmi és egyéb jogszabályban meghatározott közfeladatai ellátásához szükséges mértékben jogosult a kerületi lakosokkal a kapcsolatfelvételre.

2. A fenti jogalap – és bármely jogalap – alkalmazása esetén is szükséges azonban az általános adatvédelmi rendelet minden vonatozó rendelkezését betartani, jelen ügyben különös tekintettel az általános adatvédelmi rendelet 14. cikke szerinti kötelezettségre. Ez alapján az Ügyfélnek legkésőbb a Kérdőív megküldésekor, azzal együtt kellett volna legalább azon tájékoztatást nyújtania az érintettek részére ezzel kapcsolatban, hogy honnan származik a név és lakcím adatuk, ezen adatokat pedig már nem kezeli. Ezen kötelezettségét az Ügyfél – a fenti III.2. pontban kifejtettekre is figyelemmel – nem teljesítette, és ez is nagy szerepet játszott abban, hogy több érintett közérdekű bejelentéssel élt a Kérdőív miatt.

3. Az általános adatvédelmi rendelet 14. cikk (5) bekezdése szerinti kivételek egyike sem áll fenn a jelen esetben, nem minősül aránytalan elvárásnak és nem lehetetlenítené el az adatkezelés célját a Kérdőíven vagy a mellett megfelelő tömör tájékoztatás nyújtása legalább az adatkezelés legalapvetőbb feltételeiről.

4. Ezen adatkezelés szorosan kapcsolódik a Kérdőívhez, azonban a más jogalap és az adatok külső forrása miatt a többi vizsgált adatkezeléshez képest más rendelkezéseknek kell megfelelnie, emiatt a Hatóság azt külön minősítette. Önmagában egy önkormányzat 6. cikk (1) bekezdés e) pontja alapján fennálló jogalapját ezen – a többi jogsértéshez képest – kisebb mulasztás nem teszi érvénytelenné, azonban ettől függetlenül az Ügyfél köteles lett volna e tekintetben is az általános adatvédelmi rendeletnek megfelelően eljárni.

bekezdése és 14. cikke szerinti tájékoztatás nyújtásának kötelezettségét.

III.4. A kapcsolati személyes adatok kezelésének értékelése

1. Az általános adatvédelmi rendelet 5. cikk (1) bekezdésében szereplő elvek nem csak arra szolgálnak, hogy elméleti megállapításokat tegyenek az adatkezelés megvalósításával kapcsolatban. Ezen elvek konkrét kötelezettségeket takarnak, amelyek számonkérhetőek konkrét esetekben az adatkezelőkön.

2. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerint a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés. Jelen esetben nem jogszabály, hanem az Ügyfél döntése alapján készült egyedi statisztika, így az adatkezelési célnak a pontos és egyértelmű meghatározása és más céloktól megkülönböztethetőségének biztosítása az Ügyfél kötelezettsége lett volna.

3. Az Ügyfél a fenti kötelezettségét – a feltárt tényállás és a fenti III.2. pontban kifejtettekre is figyelemmel – sem a Hatóság, sem az érintettek felé nem teljesítette. A kapcsolati adatok kezelésének célja nem lehet egy olyan megfoghatatlan cél, mint az általános kapcsolattartás. Valamilyen módon szükséges annak megjelölése, hogy a kapcsolattartás konkrétan milyen jellegű információk küldését jelenti, „információcsere” esetén pedig milyen információra számítanak az érintettektől. Ezen adatkezelés keverése az egészségügyi adatokkal, azok egy lapon gyűjtése felveti az általános adatvédelmi rendelet 7. cikk (2) bekezdése szerinti tilalom sérelmét is, amely szerint a hozzájárulás iránti kérelmet más ügyektől egyértelműen megkülönböztethető módon kell előadni, különösen akkor, ha azok keverése súlyos adatvédelmi kérdéseket vetne fel.

4. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerint az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk. A kapcsolattartás egészének opcionális jellegének, valamint a kapcsolattatás választása esetén az egyes kapcsolati csatornák szabad megválasztási jogának (hogy elég egy típusú kapcsolati adatot megadni) egyértelműen és világosan ki kellett volna derülnie az érintetteknek nyújtott tájékoztatásból, azonban erre vonatkozóan az Ügyfél semmilyen érdemi tájékoztatást nem nyújtott az érintetteknek. Semmivel sem támasztotta alá az Ügyfél, hogy mely okból nem elég, ha kifejezetten csak egy kapcsolati csatornán tart kapcsolatot az egyes érintettekkel, még több kapcsolati csatorna megadása esetén is mi szüksége lenne egynél több típusú elérésre egy érintettel történő kapcsolattartáshoz, és mely célokból szükséges ez időkorlátozás nélkül, akár a járvány megszűnését követően is.

III.5. Az egészségügyi adatok kezelésének értékelése

1. A fenti III.2. és III.4. pontokban írtak a lentiekben kifejtettek szerint megfelelően irányadóak a Kérdőíven gyűjtött egészségügyi adatok kezelésére is, azzal, hogy jelen esetben volt egy jogszerű cél, a járványügyi statisztika készítése, és ez alapján önkormányzati intézkedések meghozatala, továbbá ezen adatok kezelése már nem történik, azok törlésre kerültek. Emiatt a fenti III.4. pontban kifejtettekből a célhoz kötöttség elvének sérelme nem állt fenn az egészségügyi adatok tekintetében.

2. Az egészségügyi adatok kezelése esetén az általános adatvédelmi rendelet 6. cikk (1)

bekezdésének egyik jogalapján felül szükséges az általános adatvédelmi rendelet 9. cikk (2) bekezdés szerinti – 9. cikk (1) bekezdés szerinti általános kezelési tilalom alóli – kivételek egyike is fenn kell álljon. A jelen esetben a hozzájárulásnak az általános adatvédelmi rendelet

9. cikk (2) bekezdés a) pontja szerint azon további feltételnek kell megfelelnie, hogy az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez. Tekintettel arra, hogy megfelelő tájékoztatás nem történt, valamint a szükségesség és alkalmasság a cél elérésére a lentebb kifejtett okokból nem áll fenn, ezért ezen feltétel sem teljesülhetett.

3. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság gyakorlati megvalósulásának egyik feltétele, hogy az adatkezelés szükséges és arányos az adott adatkezelési cél eléréséhez, és arra alkalmas is.

4. Az alkalmasság kérdésében a Hatóság kiemeli, hogy az Ügyfél semmivel sem támasztotta alá, hogy pontosan milyen módon tudott kevesebb, mint 10%-os, nem reprezentatív mintából pontos következtetéseket levonni a kerületi lakosok egészére. Ezen kívül a statisztika egy időpillanatban készült az oltási kampány közepén, annak eredménye hétről hétre jelentősen változhatott, és rövid időn belül akkor sem adott volna pontos képet a járványhelyzetről, ha a készítésekor pontos lett volna. Az Ügyfél által hivatkozott Tanulmány csak összefoglaló formájában volt elérhető, de a Tanulmány sem azt támasztja alá, hogy a Kérdőíven gyűjtött adatokból anonim statisztika készítéssel pontos eredményt kapni, hanem hogy kis mennyiségű, nem reprezentatív minta esetén többlet külső – nem anonim – információk felhasználása is szükséges lett volna azokkal kapcsolatban, akik a Kérdőívet kitöltötték. Ilyen többlet személyes adatok beszerzését az Ügyfél nem jelölte meg, és ez az adatvédelmi jogsértés mértékét nem csökkentette, hanem növelte volna. Önmagában az alkalmasság azonban érdemben nem befolyásolná az adatkezelés jogszerűségét.

IV. Jogkövetkezmények

1. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja és 83. cikk (2)

bekezdése szerint a többi intézkedés helyett vagy mellett adatvédelmi bírságot is kiszabhat. Az nem volt kétséges, hogy az általános adatvédelmi rendelet megsértése esetén az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján az adatkezelőt kötelezni szükséges arra, hogy az adatkezelést hozza összhangba az általános adatvédelmi rendelettel. A hozzájárulások beszerzésének időigényessége és az adatkezelés közfeladat jellege miatt a Hatóság a szokásos 30 napos határidő helyett 60 napot állapított meg erre. Ezen felül a Hatóság az irányadó bírói gyakorlatnak megfelelően ilyen esetben a bírság kiszabásánál az általános adatvédelmi rendelet 83. cikk (2) bekezdésében felsorolt szempontok közül az érdemben figyelembe vetteket mutatja be a döntés indokolásában.

2. Abban a kérdésben, hogy indokolt-e az adatvédelmi bírság kiszabása, a Hatóság jogszabályon alapuló mérlegelési jogkörben eljárva döntött, figyelemmel az Infotv. 61. § (1) bekezdés a) pontjára, az Infotv. 75/A. §-ára, valamint az általános adatvédelmi rendelet 83. cikk (2) bekezdésére és az általános adatvédelmi rendelet 58. cikk (2) bekezdésére, amely alapján az elmarasztalás önmagában nem arányos és visszatartó erejű szankció lenne, ezért bírság kiszabása szükséges. A jelen esetben a személyes adatok védelme – amely a Hatóság feladata – a lentebb részletezett bírságkiszabási körülmények összessége alapján nem érhető el adatvédelmi bírság kiszabása nélkül. A bírságkiszabás mind a speciális, mind a generális prevenciót is szolgálja, amelynek érdekében a határozat a Hatóság honlapján is közzétételre kerül.

3. A Hatóság a bírság szükségessége tekintetében nem vette figyelembe enyhítő körülményként az Ügyfél által hivatkozott gazdasági helyzetet, mivel az – közvetetten, az éves bevételen keresztül – csak a bírság szükségessége esetén annak mértékét befolyásolja, nem azt, hogy a bírságot szükséges-e kivetni, a szükségességet a jogsértés és annak körülményei határozzák meg az általános adatvédelmi rendelet 83. cikk (2) bekezdésének megfelelően. E tekintetben a Hatóság figyelembe vette a bírság összegének megállapításakor, hogy az Ügyfél 2021. évi nettó árbevétele 19 598 010 463 forint volt. A Hatóság az Ügyfél rossz anyagi helyzetét és a közfeladatai ellátásához fűződő közérdeket a bírság mértékének meghatározásakor enyhítő körülményként figyelembe vette.

4. A Hatóság szintén nem vette figyelembe enyhítő körülményként azt, hogy az Ügyfél a Hatósággal az eljárás során – nem érintetti kár kárenyhítési, csak az eljárásban válaszadási céllal – együttműködött, mivel ez az általános adatvédelmi rendelet 31. cikke alapján minden adatkezelő és adatfeldolgozó kötelezettsége, ennek hiánya lenne figyelembe vehető súlyosbító körülményként. (általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont)

(i) A statisztika készítése járványkezelés segítésére önmagában nem jogszerűtlen egy önkormányzat működése során, csak annak elérését nem tervezték meg adatvédelmi tudatossággal és nem megfelelő módon próbálták elérni azt, valamint a kapcsolati adatokon kívüli adatokat rövid időn belül törölték, a kapcsolati személyes adatok tekintetében pedig az eset összes körülménye alapján orvosolható a jogsértés a rendelkező rész szerint. (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont)

(ii) A jogsértés gondatlan jellegű, nem irányult az érintettek megkárosítására vagy jogellenes haszonszerzésre (általános adatvédelmi rendelet 83. cikk (2) bekezdés b) pont)

(iii) A legtöbb személyes adat törlése rövid időn belül megtörtént, így a jogsértés orvoslását az Ügyfél részlegesen – a korábbi jogsértés megtörténtét nem befolyásolva – már megtette, azt megelőzően pedig a többi adatkezelésétől elkülönítve, statisztikai célra használta fel az egészségügyi adatokat (általános adatvédelmi rendelet 83. cikk (2) bekezdés c) pont)

(iv) Az Ügyféllel szemben a Hatóság korábban nem állapított meg adatvédelmi jogsértést. (általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont)

(i) Az érintettek akaratát figyelembe nem vevő, szükségtelen személyes adatok kezelésével járó tömeges adatkezelés sérti a személyes adatok védelméhez való jogot és általában szükségtelen adatbiztonsági kockázatot jelent. (általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont)

(ii) Az Ügyfél közhatalmi szerv, vele szemben a jogszabályok betartására irányuló elvárások fokozottak, a magánszféra felé történő jó példa nyújtása lenne az állami szervek feladata. (általános adatvédelmi rendelet 83. cikk (2) bekezdés d) pont)

(iii) Nem állt rendelkezésre hatékony tájékoztatás az érintettek részére, így esélyük sem volt az érintetti jogaikkal élni, megfelelő érintetti döntést hozni. és ez az elvi szinten elégtelen adatvédelmi tervezés eredménye volt. (általános adatvédelmi rendelet 83. cikk (2) bekezdés d) pont)

(iv) A kezelt személyes adatok köre tartalmazott különleges kategóriába tartozó egészségügyi személyes adatot, amelyet feleslegesen kapcsoltak – akár átmenetileg is konkrét érintettekhez. (általános adatvédelmi rendelet 83. cikk (2) bekezdés g) pont)

(v) A Hatóság a jogsértésről több közérdekű bejelentés útján szerzett tudomást (általános adatvédelmi rendelet 83. cikk (2) bekezdés h) pont)

7. A fentiek alapján a Hatóság a rendelkező rész szerinti összegű adatvédelmi bírság kiszabását tartotta az eset összes körülménye alapján arányosnak és visszatartó erejűnek. Ez nem jelenti azt, hogy hasonló esetben más adatkezelővel szemben az adatvédelmi bírság ne lehetne ennél számottevően nagyobb is, különös tekintettel a generális prevenció céljából történt közzététel figyelmen kívül hagyásának többlet körülményére, valamint arra is tekintettel, hogy jelen ügyben az Infotv. 61. § (4) bekezdés b) pontja alapján a bírságmaximum húszmillió forint volt az általános adatvédelmi rendelet általános maximuma helyett.

V. Egyéb kérdések

1. Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Az Infotv. 38. § (2a) bekezdése szerint az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. A Hatóság illetékessége Magyarország egész területére kiterjed.

2. Az Ákr. 112. § (1) bekezdése, 114. § (1) bekezdése és 116. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

3. A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdése szerint a törvényszék előtti közigazgatási perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. 4. A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi CXXX. törvény 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul.

Dr. Péterfalvi Attila elnök távollétében:

Dr. Szabó Endre Győző elnökhelyettes