Hungarian Data Protection Authority (NAIH): use of minors' personal data online by an educational institution

………………………………………………………………………………………………………………………………………………………….………………… 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Iktatószám: NAIH-4822-8/2021. Tárgy: kérelemnek helyt adó határozat

A Nemzeti Adatvédelmi és Információszabadság Hatósághoz (a továbbiakban: Hatóság)

XXXXXXX [születési helye és ideje: XXXXXX, anyja neve: XXXXXXX (a továbbiakban:

Kérelmező),] törvényes képviselői:

XXXXX [születési helye és ideje: XXXXX, anyja neve: XXXX, lakcíme: XXXX], valamint XXXXX [születési neve: XXXX, születési helye és ideje: XXXX, anyja neve: XXX, lakcíme:

XXXX], megbízásából a képviseletet ellátó XXXXXX ügyvéd (XXXXXXXXXXXX) útján a XXXXX Alapítványi Óvoda, Általános Iskola és Alapfokú Művészeti Iskolával (XXXXXX, a továbbiakban: Kérelmezett) szemben személyes adatok jogellenes kezelése és közzététele tárgyában 2021. május 11-én benyújtott kérelme (a továbbiakban: Kérelem) nyomán indult adatvédelmi hatósági eljárásban meghozta az alábbi

HATÁROZATOT .

A Hatóság Kérelmező kérelmének részben helyt ad és 1. Megállapítja, hogy a Kérelmezett

A sérelmezett videófelvétel intézményi Youtube-csatornán „unlisted” videóként való közzétételéhez kapcsolódó adatkezelése során megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a), b), c) pontjait, ehhez kapcsolódóan a

25. cikket, az 5. cikk (2) bekezdését, a 6. cikk (1) bekezdés a) pontját, valamint a 17. cikk (1) bekezdés b) pontját.

A sérelmezett videófelvétel intézményi Youtube-csatorna elérési útjának intézményi honlapon történő közzétételéhez kapcsolódó adatkezelése során megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a), b), c) pontjait, ehhez kapcsolódóan a 25. cikket, az 5. cikk (2) bekezdését, valamint a 6. cikk (1)

bekezdés a) pontját.

A sérelmezett videófelvétel intézményi Youtube-csatorna elérési útjának intézményi honlapon történő közzétételéhez kapcsolódó adatkezelése során nem sértette meg az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontját.

A sérelmezett videófelvétel nyilvánosságra hozatalát megelőzően a videófelvételen szereplő gyermekek személyes adatai tekintetében nem tett eleget az általános adatvédelmi rendelet 13. cikkében megjelölt előzetes tájékoztatás követelményének.

2. Megállapítja, hogy a Kérelmezett a sérelmezett videófelvétel rögzítéséhez kapcsolódó adatkezelése tekintetében nem végzett jogellenes adatkezelést, nem sértette meg a célhoz kötöttség és az adattakarékosság elvét, nem sértette meg a Kérelmező érintetti joggyakorláshoz való jogát, valamint a tisztességes eljárás és átláthatóság elvét.

3. Hivatalból kötelezi a Kérelmezettet arra, hogy az általános adatvédelmi rendelet előírásainak és a jelen Határozatban foglaltaknak megfelelően alakítsa át az adatvédelmi szabályzatát, valamint adatkezelési gyakorlatát;

az átalakított adatvédelmi szabályzatot az intézményi honlapján (www.XXXXXX.hu)

hozza nyilvánosságra; azon adatkezelések tekintetében, melyek nem közfeladata ellátásához szükségesek vagy jogi kötelezettségén alapulnak, a szülői hozzájáruló nyilatkozatok minden esetben tartalmazzák az iskolai esemény pontos megnevezését, amennyiben az adatok közzétételre is kerülnek, a nyilatkozat külön hozzájáruló részében kerüljön megjelölésre az adatok közzétételének helye, időtartama (mettől-meddig), valamint a nyilatkozattétel dátuma.

4. A Hatóság elrendeli 10 000 Ft-nak, azaz tízezer forintnak a Kérelmező részére történő megfizetését az ügyintézési határidő túllépése miatt – választása szerint – bankszámlára utalással vagy postai utalvánnyal.

A Kérelmezett a 3. pontban megjelölt kötelezettségek teljesítését az intézkedés megtételétől számított 15 napon belül írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt köteles igazolni a Hatóság felé. A 3. pont szerinti kötelezettségek nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását. A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz elektronikusan kell benyújtani, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

INDOKOLÁS

I. Tényállás, előzmények

A Kérelmező 2021. május 8-án kelt, a Hatósághoz e-Papíron 2021. május 11-én érkezett beadványában adatvédelmi hatósági eljárás iránti kérelmet terjesztettek elő, mely szerint „a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016. április 27-i (EU) 2016/679 európai parlament és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) 57. cikk (1) bekezdés f) pontja és az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése alapján adatvédelmi hatósági eljárás keretében hivatalból (i) állapítsa meg, hogy a Kérelmezett jogellenes adatkezelést valósított meg azzal, hogy megfelelő jogalap nélkül, a jogszerűség, a célhoz kötöttség és az adattakarékosság elvének megsértésével készítette és tette közzé a nagy nyilvánosság számára az Érintettet, mint a Kérelmezők kiskorú gyermekét ábrázoló kép- és hangfelvételt;

(ii) állapítsa meg, hogy a Kérelmezett a Kérelmező kép- és hangfelvétel törléséhez való jogának gyakorlására irányuló kérelmének figyelmen kívül hagyásával megsértette a Kérelmezők érintetti joggyakorláshoz való jogát, valamint a tisztességes eljárás és az átláthatóság elvét;

(iii) marasztalja el a Kérelmezettet az (i) és (ii) pontok szerinti jogsértések miatt, egyúttal – generálpreventív céllal – utasítsa a Kérelmezettet adatkezelési gyakorlatának felülvizsgálatára és a jövőben jogszerű adatkezelési tevékenység folytatására.” Kérelmező a 2021/22-es óvodai nevelési évre a XXXX Alapítványi Óvoda, Általános Iskola és Alapfokú Művészeti Iskola, mint Kérelmezett óvodai ellátásának megfelelő iskola-előkészítő csoportjába nyert felvételt. A Kérelmezett 2020. december 7. napján e-mailben tájékoztatta a csoportba járó gyermekek szüleit – így Kérelmezőket is – arról, hogy a csoportba járó gyermekek szerepelnek majd egy karácsonyi előadásban, amelyet a járványügyi helyzetre tekintettel nem személyesen, élőben tekinthetnek majd meg a hozzátartozók, hanem „felveszik videóra és mindenkihez eljuttatják”, továbbá „az igazgató asszony szeretné az iskola összes családját ezzel a kb. 15 perces műsorral köszönteni karácsonykor”. Kérelmező 2020. december 17-én a Kérelmezettől kapott elektronikus levélben egy Youtubelinken beágyazva volt elérhető a videófelvétel. A Kérelem szerint „Kérelmezők a linkre kattintva megdöbbenve tapasztalták, hogy a videofelvétel a Youtube-on a nagy nyilvánosság, tehát bárki számára korlátlanul hozzáférhető és korlátlanul továbbítható módon került megosztásra, hiszen a Kérelmezett erről a Kérelmezőket semmilyen módon nem tájékoztatta és ahhoz a hozzájárulásukat sem kérte.” A Kérelmező által becsatolt képernyőfotón a Youtube unlisted videója látható (elérési úttal megjelölve, mely nem látható teljes egészében, ugyanakkor a Youtube felirat előtt egy zárt lakat jelzés látható) XXXXXXXX. címmel, melyen a Kérelmező egyértelműen felismerhető, kétséget kizáró módon beazonosítható. Egyértelműen látható továbbá a videófelvétel Youtube beállítása – „unlisted” –, mely Kérelmezők álláspontja szerint azt jelenti, hogy „a videofelvételt bárki megtekintheti, aki a linkkel rendelkezik, továbbá azt is, hogy a link továbbításával a videofelvétel korlátlanul, bárkivel megosztható és ekként bárki által hozzáférhető és korlátlanul tovább osztható”. Kérelmező szülei 2021. január 29. napján e-mailben jelezték a Kérelmezettnek, hogy a Kérelmezőt az intézményből kiíratják, s ennek indokaként egyebek mellett azt jelölték meg, hogy „a gyermek Youtube-ra feltöltött szereplése engedély nélkül történt, arról a szülőket időben nem tájékoztatták, egyúttal kérték, hogy a videofelvételt a Youtube-ról haladéktalanul töröljék.” Kérelmezett 2021. február 12. napján küldött válaszlevele szerint „a gyermek szereplését az intézmény nem a mindenki által nézhető Youtube csatornára töltötte fel. Az iskolai Youtube-ot csak azok a hozzánk járó gyerekek szülei láthatják, akik az intézménytől erre engedélyt kaptak”. Kérelmező szülei álláspontja szerint Kérelmezett ezen állítása azonban a fent hivatkozott képernyőkép vonatkozásában megfogalmazott véleménye alapján nem felelt meg a valóságnak, ezért 2021. február 17. napján küldött levelében ismét felhívta a Kérelmezettet arra, hogy haladéktalanul törölje a videófelvételt. A Kérelmezett 2021. február 19. napján megküldött válaszában akként nyilatkozott, hogy „a honlapon lévő iskolai youtube videot töröltük”. Ez Kérelmező szülei szerint csak annyit jelentett, hogy a Kérelmezett csupán a www.XXXXX.hu honlapról törölte a videófelvételt, azonban a Kérelmezett a Kérelmező szülei felhívása ellenére a www.yoututbe.com oldalról továbbra sem törölte a felvétel elérhetőségét, az a rendelkezésre álló link alapján a továbbiakban is hozzáférhető és tovább osztható volt. Ezért a Kérelmező édesapja 2021. március 11. napján megkereste a Youtube munkatársait azzal, hogy bejelentse az engedély nélkül közzétett, hozzáférhető és megosztható videófelvételt, és kérte annak törlését. A Youtube munkatársai a bejelentés kivizsgálása után megállapították az adatvédelmi szabálysértést és 2021. március 15. napján törölték a videófelvételt.

Kérelmező szülei jogi képviselő útján 2021. március 26. napján levélben fordultak a Kérelmezetthez, amely szerint habár a gyermek karácsonyi műsorban történő szereplését engedélyezték és annak videófelvételen történő rögzítését sem ellenezték, ez nyilvánvalóan nem jelentette, nem jelenthette azt, hogy a videófelvétel a nagy nyilvánosság számára történő korlátlan hozzáférhetővé tételéhez is hozzájárultak volna, ezért Kérelmező szülei véleménye szerint a Kérelmezett a tájékoztatási kötelezettségét megszegte, jogalap nélküli adatkezelést végzett és Kérelmező felhívására sem törölte a sérelmes videófelvételt, ezért Kérelmezett megsértette Kérelmező képmáshoz és hangfelvételhez való jogát. Kérelmezett jogi képviselője útján 2021. április 22. napján kelt válaszlevelében előadta, hogy álláspontja szerint a Kérelmezett nem sértette meg Kérelmező személyiségi jogait. Tagadta, hogy a karácsonyi műsor a nagy nyilvánosság számára hozzáférhető lett volna, állítása szerint az kizárólag „az iskola közössége” számára volt elérhető. Hivatkozott továbbá arra, hogy Kérelmezők a beiratkozás alkalmával írásos nyilatkozatot tettek arra vonatkozóan, hogy gyermeke „neve, fotói stb. felkerülhetnek az intézmény által működtetett internetes fórumokra”. Kérelmezők ezzel kapcsolatos nyilatkozata szerint ez az állítás sem felel meg a valóságnak, hiszen a Kérelmezett a Kérelmezőktől nem kért és nem is kapott írásos hozzájáruló nyilatkozatot az adatkezelésre vonatkozóan sem az idézett, sem más tartalommal.

A Hatóság a NAIH-4822-2/2021. számon 2021. május 25-én kiadmányozott végzésében az ügy vonatkozásában nyilatkozattételre hívta a Kérelmezettet. Ennek keretében az alábbi kérdések megválaszolását kérte:

1. Milyen célból és mely jogalap alapján kezelte és hozta nyilvánosságra Kérelmező személyes adatait (hang- és képfelvétel) a gyermek szereplésével és közreműködésével elkészített karácsonyi videófelvételen? A személyes adatok kezelésének célja, illetve az adatkezelés megfelelő jogalapjának meglétét pontos jogszabályi hivatkozással, adott esetben megfelelő dokumentummal igazolja!

2. A panaszolt videófelvételt mely felületen/felületeken, mikor és milyen nyilvánossági körben tette elérhetővé? Jelölje meg pontosan ezeket a felületeket, a nyilvánosságra hozatal időpontját. A Hatóság kéri továbbá tájékoztatását arra vonatkozóan, hogy ezek nyilvános, bárki számára elérhető felületek, vagy ezek elérhetősége az érintetti kört tekintve korlátozott?

3. Amennyiben szűk körben volt elérhető a videófelvétel, hogyan biztosította azt, hogy a videófelvételt ne ismerhesse meg (például a link továbbításával) a megismerésre jogosult körhöz nem tartozó személy?

4. Ismeretei szerint jelenleg elérhető-e a panaszolt videófelvétel?

5. Érkezett-e a Kérelmező szüleitől vagy jogi képviselőjétől a Kérelmező általános adatvédelmi rendeletben foglalt érintetti jogainak (például személyes adatok törléséhez való jog, tiltakozáshoz való jog stb.) gyakorlásával kapcsolatos kérelem?

a. Amennyiben igen, mikor és hány alkalommal? Megválaszolták-e megfelelően és teljes körűen ezeket a kérelmeket? Válaszához küldje meg a Hatóságnak ezeknek a leveleknek a másolatát. b. Amennyiben nem, tájékoztassa a Hatóságot ennek okairól.

6. Hogyan biztosította Kérelmezőknek az általános adatvédelmi rendelet 12., illetve 14. cikk szerinti jogait?

7. Tájékoztassa a Hatóságot adatkezelési gyakorlatáról, másolatban csatolja be a személyes adatok kezelésére vonatkozó szabályzatát, belső normáját.

8. Küldje meg a sérelmezett videófelvételt a Hatóságnak.

A Hatóság tényállást tisztázó végzésére Kérelmezett 2021. június 4-én kelt K-II-15/2021. számon a következő válaszokat adta: „[…] 1. A karácsonyi videofelvételt – amelyen XXX gyermeke, XXX is szerepelt – karácsonyi üdvözlet céljából, továbbítottam az intézményünk családi közösségének. A karácsonyi műsorok a pandémia előtt a szülők, nagyszülők, hozzátartozók meghívásával kerültek bemutatásra, valamint egy másik időpontban az iskola tanulói közössége is megnézhette. A karácsonyi műsor felvételét az óvodapedagógusok a felkészülés alatt folyamatosan szóban és írásban is kommunikálták a szülők felé. Ennek igazolására becsatolásra kerültek az óvodapedagógusok által írott levelek.

Az 1. pont szerinti kérdés vonatkozásában tett nyilatkozat szerint a Kérelmezett egy családtól kért külön engedélyt a műsor felvételére, akik az év eleji hozzájáruló nyilatkozatot nemlegesen töltötték ki, ugyanakkor a hozzájáruló nyilatkozatot XXX elfogadólag írta alá.

2. – 3. A 2. számú kérdés tekintetében a Kérelmezett becsatolta a sérelmezett videófelvételt készítő és közzétevő szülő nyilatkozatáról 2021. június 3-án készült feljegyzést. Ez alapján a sérelmezett videófelvétel az iskola saját Youtube csatornájára lett feltöltve 2020. december 17-én nem nyilvános videóként, és ugyanezen napon került megosztásra is. A videófelvétel elérési útja (link) csak az iskola saját e-mail-es kommunikációs csatornáján keresztül a szülőkkel (szűk körben) került megosztásra, és kizárólag a link birtokában volt lehetőség a videófelvétel megtekintésére.

4. Kérelmezett nyilatkozata szerint a videófelvétel a nyilatkozattétel időpontjában már nem volt elérhető.

5. A sérelmezett videófelvételt a Kérelmezett XXX e-mailen benyújtott kérésére távolította el a felületről (a csatolt elektronikus levél szerint az iskola honlapjáról került törlésre a videófelvétel), melyről a Kérelmezett fenntartója e-mailben tájékoztatta XXXX-t.

6. Az általános adatvédelmi rendeletben meghatározott, az érintettek átlátható tájékoztatáshoz való jogát az alábbiak szerint biztosítja: „Minden család, aki intézményünkkel jogviszonyt létesít, a beiratkozás, és az első vezetőségi szülői értekezlet alkalmával tájékoztatást kap az adatvédelmi szabályzat 4. sz. melléklete szerint. Ezen alkalommal kerül ismertetésre és aláírásra a hozzájáruló nyilatkozat is, melyet XXX személyesen írt alá. (7. sz. melléklet)”.

7. – 8. Kérelmezett nyilatkozatához mellékelve becsatolta az adatvédelmi szabályzatát, illetve a sérelmezett karácsonyi videófelvételt. […]” A Kérelmezett által az eljárás során becsatolt e-mail-másolat tanúsága szerint a jelen eljárás tárgyát képező videófelvétel elérhetőségi linkjét a Kérelmezett elektronikus levélben 2020. december 17-én 12:42 órakor 170 darab e-mail címre küldte meg. A Kérelmezett nyilatkozatában jelen ügy vonatkozásában egyebekben arról tájékoztatta a Hatóságot, hogy „[…] XXX, január 25-én hirtelen megszüntette gyermeke jogviszonyát intézményünkkel, mert XXX nem nyert felvételt az intézmény 2021/2022-ben induló 1. évfolyamára.

Több ízben és több pontban feljelentette a gyermekkel foglalkozó pedagógusokat és az intézmény vezetését a Fenntartónál, - illetve egy ügyvéd által – egymásnak többszörösen ellentmondó kijelentésekkel. Ennek egy része volt ez a videofelvétel.

A videofelvétel elérhetővé tétele után (2020. december 17.) XXX szülei, nagyszülője több alkalommal szóban hálásan megköszönték ezt a lehetőséget, mellyel óvodapedagógus kolléganőim XXX ezirányú tehetségét szerették volna megmutatni, hangsúlyozni, önbizalmát erősíteni. […]”

Ugyanebben a levélben a Kérelmező szülei közölték a Kérelmezettel, hogy gyermeküket kiíratják az intézményből, és több egyéb ok mellett azt jelölték meg indokként, hogy a karácsonyi videó nyilvánosságra hozatalához a Kérelmezett nem kérte, és ők nem adták a hozzájárulásukat. A Kérelmezett 2021. február 12-én adott válaszában tájékoztatta a Kérelmező szüleit arról, hogy „a Gyermek szereplését az intézmény nem a mindenki által nézhető youtube csatornára töltötte fel. Az iskolai Youtube-n csak azok a hozzánk járó gyerekek szülei láthatják, akik az intézménytől erre engedélyt kaptak.” A Kérelmező a Hatóság felé képernyő fotót csatolt be arról, hogy véleménye szerint miért nem felel meg a Kérelmezett válasza a valóságnak. A Kérelmező édesapja 2021. február 17. napján a Kérelmezettnek megküldött válaszában továbbra is határozottan kérte a videófelvétel törlését, melyre a Kérelmezett 2021. február 19én akként nyilatkozott, hogy „a honlapon lévő iskolai youtube videot töröltük”, ami a www.XXX.hu oldalról való törlést jelentette. Ezért a Kérelmező édesapja 2021. március 11. napján közvetlenül kereste meg a Youtube-ot és kérte a sérelmezett videófelvétel törlését. A Youtube munkatársai 2021. március 15-én törölték a felvételt.

II. Alkalmazott jogszabályi rendelkezések

1. A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 2. cikk (1) bekezdése alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

Az általános adatvédelmi rendelet (38) preambulumbekezdése alapján „A gyermekek személyes adatai különös védelmet érdemelnek, mivel ők kevésbé lehetnek tisztában a személyes adatok kezelésével összefüggő kockázatokkal, következményeivel és az ahhoz kapcsolódó garanciákkal és jogosultságokkal.”

Az általános adatvédelmi rendelet (42) preambulumbekezdése szerint „Ha az adatkezelés az érintett hozzájárulásán alapul, az adatkezelő számára lehetővé kell tenni, hogy bizonyítani tudja, hogy az adatkezelési művelethez az érintett hozzájárult. Különösen a más ügyben tett írásbeli nyilatkozattal összefüggésben garanciákkal szükséges biztosítani azt, hogy az érintett tisztában legyen azzal a ténnyel, hogy hozzájárulását adta, valamint azzal, hogy ezt milyen mértékben tette. A 93/13/EGK tanácsi irányelvnek a fogyasztókkal kötött szerződésekben alkalmazott tisztességtelen feltételekről megfelelően az adatkezelő előre megfogalmazott hozzájárulási nyilatkozatról gondoskodik, amelyet érthető és könnyen hozzáférhető formában bocsát rendelkezésre, nyelvezetének pedig világosnak és egyszerűnek kell lennie, és nem tartalmazhat tisztességtelen feltételeket. Ahhoz, hogy a hozzájárulás tájékoztatáson alapulónak minősüljön, az érintettnek legalább tisztában kell lennie az adatkezelő kilétével és a személyes adatok kezelésének céljával. A hozzájárulás megadása nem tekinthető önkéntesnek, ha az érintett nem rendelkezik valós vagy szabad választási lehetőséggel, és nem áll módjában a hozzájárulás anélküli megtagadása vagy visszavonása, hogy ez kárára válna.”

Az általános adatvédelmi rendelet (60) preambulumbekezdése értelmében „A tisztességes és átlátható adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljairól. Az adatkezelő olyan további információt is az érintett rendelkezésére bocsát, amelyek a tisztességes és átlátható adatkezelés biztosításához szükségesek, figyelembe véve a személyes adatok kezelésének konkrét körülményeit és kontextusát. Az érintettet továbbá a profilalkotás tényéről és annak következményeiről tájékoztatni kell. Ha a személyes adatokat az érintettől gyűjtik, az érintettet arról is tájékoztatni kell, hogy kötelese a személyes adatokat közölni, valamint hogy az adatszolgáltatás elmaradása milyen következményekkel jár. Ezeket az információkat szabványosított ikonokkal is ki lehet egészíteni annak érdekében, hogy az érintett a tervezett adatkezelésről jól látható, könnyen érthető és jól olvasható formában általános tájékoztatást kapjon. Amikor az ikonokat elektronikus formátumban jelenítik meg, azoknak géppel olvashatóknak kell lenniük.”

Az általános adatvédelmi rendelet (61) preambulumbekezdése alapján „Az érintettre vonatkozó személyes adatok kezelésével összefüggő tájékoztatást az adatgyűjtés időpontjában kell az érintett részére megadni, illetve ha az adatokat nem az érintettől, hanem más forrásból gyűjtötték, az ügy körülményeit figyelembe véve, észszerű határidőn belül kell rendelkezésre bocsátani. Ha a személyes adatok jogszerűen közölhetőek más címzettel, a címzettel történő első közléskor arról az érintettet tájékoztatni kell. Ha az adatkezelő a személyes adatokat a gyűjtésük eredeti céljától eltérő célból kívánja kezelni, a további adatkezelést megelőzően az érintettet erről az eltérő célról és minden egyéb szükséges tudnivalóról tájékoztatnia kell. Ha az adatkezelő nem tud tájékoztatást nyújtani az érintett részére a személyes adatok eredetéről, mivel azok különböző forrásokból származnak, általános tájékoztatást kell adni.”

Az általános adatvédelmi rendelet (65) preambulumbekezdése szerint: „Az érintett jogosult arra, hogy kérhesse a rá vonatkozó személyes adatok helyesbítését és megilleti őt az „elfeledtetéshez való jog”, ha a szóban forgó adatok megőrzése sérti e rendeletet vagy az olyan uniós vagy tagállami jogot, amelynek hatálya az adatkezelőre kiterjed. Az érintett jogosult különösen arra, hogy személyes adatait töröljék és a továbbiakban ne kezeljék, ha a személyes adatok gyűjtése vagy más módon való kezelése az adatkezelés eredeti céljaival összefüggésben már nincs szükség, vagy ha az érintettek visszavonták az adatok kezeléshez adott hozzájárulásukat, vagy ha személyes adataik kezelése egyéb szempontból nem felel meg e rendeletnek. Ez a jog különösen akkor lényeges, ha az érintett gyermekként adta meg hozzájárulását, amikor még nem volt teljes mértékben tisztában az adatkezelés kockázataival, később pedig el akarja távolítani a szóban forgó személyes adatokat, különösen az internetről. Az érintett e jogát gyakorolhatja akkor is, ha már nem gyermek. Ugyanakkor a személyes adatok további megőrzése jogszerűnek tekinthető, ha az a véleménynyilvánítás és a tájékozódás szabadságához való jog gyakorlása, valamely jogi kötelezettségnek való megfelelés, illetőleg közérdekből végzett feladat végrehajtása vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása miatt, vagy a népegészségügy területét érintő közérdekből, közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, vagy jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükséges.”

Az általános adatvédelmi rendelet (69) preambulumbekezdése értelmében „Bármely érintett számára akkor is biztosítani kell a jogot arra, hogy az egyedi helyzetükre vonatkozó adatok kezelése ellen tiltakozzon, ha a személyes adatok jogszerűen kezelhetők, mert az adatkezelésre közérdekből, vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtásához, illetve az adatkezelő vagy egy harmadik fél jogos érdekei alapján van szükség. Az adatkezelő bizonyítja, hogy az érintett érdekeivel vagy alapvető jogaival és szabadságaival szemben az ő kényszerítő erejű jogos érdeke elsőbbséget élvezhet.”

Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

Az általános adatvédelmi rendelet 4. cikk 1. pontja szerint „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.

Az általános adatvédelmi rendelet 4. cikk 2. pontja alapján „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.

Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján: „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja. Az általános adatvédelmi rendelet 4. cikk 12. pontja értelmében: „adatvédelmi incidens”: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.

Az általános adatvédelmi rendelet 5. cikk (1) bekezdése szerint (1) A személyes adatok:

a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”); c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”); d) pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság”); e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”); f) kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”)

Az általános adatvédelmi rendelet 5. cikk (2) bekezdés szerint az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).

Az általános adatvédelmi rendelet 6. cikk (1) bekezdése alapján személyes adat kizárólag akkor és annyiban kezelhető jogszerűen, ha legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.

Az általános adatvédelmi rendelet 7. cikk (1) bekezdése értelmében, ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléshez hozzájárult.

Az általános adatvédelmi rendelet 7. cikk (2) bekezdése szerint, ha az érintett hozzájárulását olyan írásbeli nyilatkozat keretében adja meg, amely más ügyekre is vonatkozik, a hozzájárulás iránti kérelmet ezektől a más ügyektől egyértelműen megkülönböztethető módon kell előadni, érthető és könnyen hozzáférhető formában, világos és egyszerű nyelvezettel. Az érintett hozzájárulását tartalmazó ilyen nyilatkozat bármely olyan része, amely sérti e rendeletet, kötelező erővel nem bír.

Az általános adatvédelmi rendelet 17. cikk (1) bekezdése alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:

a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték; b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2)

bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja; c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezelése ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen; d) a személyes adatokat jogellenesen kezelték; e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell; f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.

Az általános adatvédelmi rendelet 25. cikk (1) bekezdése alapján az adatkezelő a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket – például álnevesítést – hajt végre, amelyek célja egyrészt az adatvédelmi elvek, például az adattakarékosság hatékony megvalósítása, másrészt az e rendeletben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába.

Az általános adatvédelmi rendelet 25. cikk (2) bekezdése értelmében az adatkezelő megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítására, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek. Ez a kötelezettség vonatkozik a gyűjtött személyes adatok mennyiségére, kezelésük mértékére, tárolásuk időtartamára és hozzáférhetőségükre. Ezek az intézkedések különösen azt kell, hogy biztosítsák, hogy a személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül ne válhassanak hozzáférhetővé meghatározatlan számú személy számára.

Az általános adatvédelmi rendelet 77. cikk (1) bekezdése szerint az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet. 2. A nemzeti köznevelésről szóló 2011. évi CXC. törvény

43. § (1) bekezdése értelmében a köznevelési intézmény iratkezelési szabályzatában, ha ilyen készítése nem kötelező, a köznevelési intézmény SZMSZ-ének mellékleteként kiadott adatkezelési szabályzatban kell meghatározni az adatkezelés és -továbbítás intézményi rendjét. Az adatkezelési szabályzat elkészítésénél, módosításánál nevelési-oktatási intézményben a szülői szervezetet és az iskolai, kollégiumi diákönkormányzatot véleményezési jog illeti meg. Adattovábbításra a köznevelési intézmény vezetője és - a meghatalmazás keretei között - az általa meghatalmazott vezető vagy más alkalmazott jogosult.

(2) Az önkéntes adatszolgáltatásra vonatkozó szülői engedélyt az elévülési idő végéig nyilván kell tartani. 3. Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit kell alkalmazni az Infotv.-ben meghatározott eltérésekkel.

Az Ákr. 103. § (1) bekezdése alapján a hivatalbóli eljárásokra az Ákr.-nek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az Ákr. 103 és 104. §-ában foglalt eltérésekkel kell alkalmazni.

Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendelet 58. cikk (2) bekezdés szerinti jogkövetkezményeket alkalmazhatja. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b), c) és d) pontjai alapján a felügyeleti hatóság korrekciós hatáskörében eljárva elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül hozza összhangba e rendelet rendelkezéseivel.

Az Infotv. 75/A. § alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.

Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Ugyanezen § (2a) bekezdése szerint az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja.

Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít.

Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) rendelkezéseit kell alkalmazni az Infotv.-ben meghatározott eltérésekkel.

Az Ákr. 17. §-a alapján a hatóság a hatáskörét és illetékességét az eljárás minden szakaszában hivatalból vizsgálja. Ha valamelyik hiányát észleli, és kétséget kizáróan megállapítható az ügyben illetékességgel rendelkező hatóság, az ügyet átteszi, ennek hiányában a kérelmet visszautasítja vagy az eljárást megszünteti.

Az Ákr. 36. § szerint a kérelem az ügyfél olyan írásban vagy személyesen előterjesztett nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében. Az Infotv. 60. § (2) bekezdése szerint az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében meghatározott esetben nyújtható be.

Az Ákr. 46. § (1) bekezdés a) pontja kimondja, hogy a Hatóság a kérelmet visszautasítja, ha az eljárás megindításának jogszabályban meghatározott feltétele hiányzik, és az Ákr. ahhoz más jogkövetkezményt nem fűz.

Az Infotv. 60. § (5) bekezdése értelmében a (2) bekezdésben meghatározott esetben a kérelem az Ákr.-ben meghatározottakon túl tartalmazza a) a feltételezett jogsértés megjelölését, b) a feltételezett jogsértést megvalósító konkrét magatartás vagy állapot leírását, c) a feltételezett jogsértést megvalósító adatkezelő, illetve adatfeldolgozó azonosításához szükséges, a kérelmező rendelkezésére álló adatokat, d) a feltételezett jogsértéssel kapcsolatos állításokat alátámasztó tényeket és azok bizonyítékait, továbbá e) a megjelölt jogsértés orvoslása iránti döntésre vonatkozó határozott kérelmet.

III. A Hatóság döntése

III.1. A Kérelmezett adatkezelési gyakorlata, valamint Adatvédelmi Szabályzatának vizsgálata A Szabályzatot a nevelőtestület 2018. augusztus 30. napján fogadta el, az a nevelőtestületi döntés szerint az elfogadás napjától érvényes. A Szabályzatot 2018. szeptember 3-án véleményezte az iskola szülői szervezete és a diákközösség. A Szabályzat bevezetője szerint a XXX Alapítványi Óvoda, Általános Iskola és Alapfokú Művészeti Iskola köznevelési intézmény nevelőtestülete az Infotv. alapján, összhangban az általános adatvédelmi rendelet vonatkozó rendelkezéseivel – a nemzeti köznevelésről szóló 2011. évi CXC. törvény 70. §. (2) bekezdés k) pontjában biztosított jogkörében eljárva fogadta el a Szabályzatot annak érdekében, „hogy az információ- és adatkezelésben érintett személyeket tájékoztassa az intézményben kezelt, továbbá onnan továbbított személyes adatok és más jogilag védettséget élvező információk védelmének jogtisztaságáról, az adatok kezelésének, védelmének és az adattovábbítás folyamatának törvényességéről.” A Szabályzat 2.3.1. alpontjában rögzítésre került, hogy a személyes adatok kezelésének teljes folyamatában egyszerre érvényesülnie kell az adatvédelmi elveknek1, melyek felsorolásra is kerültek. Az ezt követő 2.3.2. alpont megfogalmazása szerint a Szabályzat szempontjából az adatkezelés célja: kommunikáció. A Szabályzat IV. pontja tartalmazza az adatvédelmi incidensre vonatkozó rendelkezéseket. Ennek 4.2. pont d) alpontja szerint különösen magas kockázati szintűnek értékelhető az adatvédelmi incidens jellege, ha „az intézményi honlapon vagy közösségi internetes megosztó oldalon olyan személyes adat (pl. képmás, hanganyag, audiovizuális fájl) kerül közlésre, melyből az érintett beazonosíthatóvá válik; […]” A Szabályzat V. pontja rögzíti a Kérelmezett, mint köznevelési intézmény által végzett konkrét adatkezeléséhez kapcsolódó előzetes érintetti tájékoztatás kötelezettségét, annak teljesítési módját. A Szabályzat VI. pontja tartalmazza a Kérelmezett adatvédelmi tisztviselőjére vonatkozó szabályokat. Kérelmezett esetében adatvédelmi tisztviselőként Kérelmezett igazgatóhelyettese került megjelölésre. A Szabályzat 6.6. alpontja részletesen – a)-tól m)-ig – felsorolja az adatvédelmi tisztviselő adatbiztonság megerősítését, az érintettek jogérvényesítésének elősegítését célzó tevékenységét. A felsorolás szerint az adatvédelmi tisztviselő feladata többek között az adatvédelmi incidensekkel kapcsolatos gyakorlati és adminisztratív teendők ellátása, az előzetes tájékoztatás szövegének elkészítése és folyamatos aktualizálása, az érintetti jogok gyakorlásában való közreműködés, az adatvédelmi nyilvántartás vezetése, a felügyeleti hatósággal való együttműködés, valamint az adatkezeléssel összefüggő ügyekben kapcsolatot tart, illetve konzultációt folytat a felügyeleti hatósággal. A Szabályzat 4. számú melléklete „az intézményben nyilvántartott adatok köre tájékoztató szülő/diák” címet viseli, mely tartalmazza az iskolai eseményeken készült fényképek kezelésére vonatkozó megállapításokat: „Az intézményben szervezett iskolai eseményekről szóló tájékoztatás érdekében az intézmény honlapján és kiadványaiban az eseményekről fényképeket tesz közzé, amelyeken a tanulók vagy tanulók csoportjai szerepelhetnek. Amennyiben az intézmény tanulója vagy annak gondviselője úgy nyilatkozik, hogy nem kíván szerepelni az iskola által készített fényképeken, azt a gondviselő és a tanuló aláírásával ellátott nyilatkozatban kell jelezni az intézmény vezetője számára.” A Szabályzat 8. sz. mellékletében található a „nyilatkozat az intézmény honlapján megjelenő

1 Szabályzat 2.3.1 Személyes adatok kezelésének teljes folyamatában egyszerre érvényesülnie kell a következő adatvédelmi elveknek:

a) az adatok kezelése csak a jogszabályi előírásoknak megfelelően, tisztességes eljárás keretében az érintett számára átláthatóan történhet, melynek során az érintett bármikor betekintést nyerhet az adatainak kezelésébe, élhet érintetti jogainak gyakorlásával, továbbá lehetősége van arra, hogy közigazgatási vagy bírósági eljárás útján gyakorolja a jogorvoslathoz való jogát; b) a személyes adatok kezelése csak célhoz kötötten, a cél eléréséhez feltétlenül szükséges terjedelemben és ideig kezelhető, illetve tárolható; c) az adatok felhasználása során az adatkezelés eredményessége érdekében azok pontosságára és teljességére az adatkezelőnek kiemelt figyelmet kell fordítania; d) az adatkezelést oly módon kell végezni, hogy megfelelő technikai-informatikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve; e) az adatfelhasználó az adatok kezelés során mindig képes legyen a jogszerű adatkezelés kritériumainak igazolására.

személyes adatok hozzájáruláson alapuló kezeléséhez” elnevezésű dokumentum, mely szerint az érintett aláírásával hozzájárul, hogy a XXX Alapítványi Óvoda, Általános Iskola és Alapfokú Művészeti Iskola honlapján (www.xxx.hu) megjelenhessen a gyermek neve az osztálynévsorban, a versenyeredményeknél, illetve megjelenhet a gyermek fotója nem beazonosítható módon. A Szabályzat áttekintését követően a Hatóság megállapította, hogy a Kérelmezett a Szabályzat 8. számú melléklete szerinti nyilatkozat Kérelmező törvényes képviselője általi aláírását tekintette a sérelmezett videófelvétel rögzítése, megosztása, illetve a honlapon történő nyilvánosságra hozatal jogalapjának. A Hatóság álláspontja szerint azonban a tanév elején a Kérelmezők által adott hozzájárulás csak az alábbi adatkezelések jogalapját teremti meg: az iskolai honlapon megjelenhet a gyermek neve az osztálynévsorban és a versenyeredményeknél, illetve megjelenhet a gyermek fotója nem beazonosítható módon. A Hatóság álláspontja szerint a gyermekek ünnepi előadásának felvétele és annak szűk körben történő megosztása, illetve a Youtube-link honlapon történő nyilvánosságra hozatala külön adatkezelési cselekményeknek minősülnek (a felvétel rögzítése, a felvétel feltöltése a Youtube-csatornára, a Youtube-linknek az intézmény honlapján történő közzététele, a Youtube-link e-mailen történő megosztása), melyek abban az esetben jogszerűek, ha valamennyi adatkezelés tekintetében rendelkezik az adatkezelő az érintettek egyértelmű, megfelelő tájékoztatáson alapuló hozzájárulásával. A Hatóság megállapítja, hogy a Youtube videó megosztó felületén az „unlisted” – nem nyilvános – adatvédelmi beállítás ellenére az adatbiztonság sérülését eredményezheti az, ha a videó URL-je kontrollálhatatlan módon megosztásra kerül. A Youtube súgó felületén található információk szerint a nem nyilvános videókat és lejátszási listákat a link birtokában bárki láthatja és megoszthatja. A videó megnézéséhez nem szükséges, hogy azok, akikkel megosztásra kerül a videó, Google-fiókkal rendelkezzenek. A link birtokában bárki újra megoszthatja a videót. A nem nyilvános videók nem jelennek meg a saját csatorna kezdőlapjának „Videók” lapján. A Youtube keresési eredményei között sem jelennek meg, kivéve, ha a nem nyilvános videót valaki hozzáadja egy nyilvános lejátszási listához. A Hatóság megállapítja továbbá, hogy a Kérelmezett Szabályzata az érintetti joggyakorlás biztosítása tekintetében nem megfelelő rendelkezéseket tartalmaz. A Szabályzat 3.1. pont bekezdésének szerint „[…] E jogok érvényesítése – érintetti jogok érvényesítése érdekében az érintett elsősorban az intézmény adatvédelmi tisztviselőjét keresse meg személyesen vagy írásban (elektronikus úton) az általa érvényesíteni kívánt jogosultság kérelmének előadásával, de kérésével megkeresheti az intézmény felelős vezetőjét, vagy az adatkezelést/feldolgozást végző munkatársat is, akik az előírások szerint tájékoztatják az érintettet. Amennyiben ez nem járható út, továbbítják kérelmét az adatvédelmi tisztviselő felé. […]” A Szabályzat 6.6. pont i) pontja jelöli ki az adatvédelmi tisztviselőt az érintetti joggyakorlás közreműködőjeként. Ugyanakkor a Szabályzat alapján az adatvédelmi tisztviselő kizárólag akkor értesül az érintetti jogok gyakorlása iránti kérelemről, ha azt közvetlenül hozzá nyújtották be, illetve, ha az intézmény vezetője vagy az adatkezelést végző munkatárs tájékoztatása „nem járható út”. A Szabályzat X. Legitimációs záradéka szerint a Szabályzat nyilvános, minden érdeklődő számára megtekinthető egy-egy példánya az iskola igazgatójánál, illetve az intézmény honlapján. Ugyanakkor a Hatóság áttekintette a Kérelmezett weboldalát (www.xxxxx.hu) és ezzel kapcsolatban a következő megállapításokat teszi:

- A honlapon a weboldalhoz kapcsolódó adatkezelési tájékoztató található meg (http://www.xxxxxxx.pdf), a Kérelmezett által a Hatóságnak megküldött Szabályzat nem elérhető. - A Kérelmezett honlapján elérhető közzétételi lista sem tartalmazza a Szabályzatot (http://www.xxxxxxx.pdf), kizárólag a megbízott adatvédelmi tisztviselő (aki személyében megegyezik a Szabályzatban megjelölt adatvédelmi tisztviselővel) adatai találhatóak meg. III.2.1. A Hatóság jelen ügyben kialakított álláspontja A Hatóság a jelen hatósági eljárásban kiemelten fontosnak tartja a személyes adatok védelme mellett az alapvető gyermeki jogok figyelembevételét és hangsúlyozását. A Hatóság álláspontja szerint a gyermekek egészséges testi, lelki és szellemi fejlődéséhez, a közösségbe történő szocializációjához elengedhetetlen fontosságú az oktatási, nevelési intézmények mindennapi tevékenysége mellett azok nevelési programjában, illetve tantervében meghatározott intézményi eseményeken való részvétel. Ezeken az ünnepekhez, ünnepkörökhöz kapcsolódó eseményeken a gyermeknek joga és érdeke is a saját mikroközössége tagjaként aktívan részt venni (szerepelni), önkifejező képességét, értelmi, érzelmi és erkölcsi fejlődését elősegíteni. Kétségtelen, hogy a köznevelési és közoktatási intézmények (a továbbiakban együtt: intézmény) az általuk végzett munka eredményét a gyermekek egyedi és közösségi szereplésein keresztül tudja bemutatni, mely eseményekről gyakran készülnek kép- és videófelvételek. Különösen a pandémia időszakában a közvetlen kapcsolattartás nehézsége felerősítette az alternatív kommunikációs eszközök és lehetőségek alkalmazását. Jelen esetben is a karácsonyi szereplésről készült a videófelvétel, és a felvétel megosztásának az volt a célja, hogy igazodva a korábbi (a pandémia előtti időszak) gyakorlatához, az intézmény családi közösségéhez is eljusson a gyermekek produkciója, a karácsonyi köszöntő. A gyermekek szereplését megörökítő intézményi adatkezelések tekintetében a Hatóság hangsúlyozza: kiemelten fontos, hogy az adatkezelő köznevelési intézmény tudatosan gondolja át az általa az adott nevelési évben tervezett – adatkezeléssel együtt járó tevékenységek, események körét, így nem csak az egyéni, hanem a közösségi, ezzel együtt valamennyi gyermek érdekét szem előtt tudja tartani. Az egy vagy több, illetve kifejezetten az összes gyermek részvételét igénylő műsorról készítendő videófelvétel esetén a szülői szándékok előzetes felmérésével már a kezdetektől oly módon alakítható a készülő előadás, hogy a felvételhez és annak esetleges megosztásához hozzájáruló szülők gyermekeinek szereplése jogszerűen megörökíthető legyen. A gondos tervezéssel az is biztosítható, hogy a felvétel elkészítéséhez hozzájárulásukat nem adó szülők gyermekei is megfelelő módon szerepelhessenek a műsorban, hiszen a gyermekek érdekeit egyáltalán nem szolgálja az, ha adatvédelmi okok miatt kimaradnak a közösségi szereplésekből. A gyermekekről készült felvételek korlátlan internetes nyilvánosság előtti megosztása esetén már nem elegendő a szülők, törvényes képviselők számára egyébként is biztosított tiltakozáshoz való jog, ebben az esetben már aktív döntési pozíciót kell garantálni a szülők számára a kiskorú gyermekük adatai korlátlan, bárki általi megismerhetősége miatt, ezért szükséges az ilyen adatkezeléseknél a tájékozott, írásos, előzetes hozzájárulás beszerzése.

[Lásd. NAIH/2018/6083/V.2] Jelen ügyben a Hatóság a Kérelmezett által nyilvánosságra hozott, gyermekek előadását rögzítő videó felvételhez kapcsolódó adatkezelés jogszerűségét, valamint az érintetti joggyakorlás biztosítását vizsgálta. Az általános adatvédelmi rendelet 5. cikke tartalmazza azokat a fő alapelveket, amelyeket a személyes adatok kezelése során az adatkezelőknek figyelembe kell venni, és amelyeknek folyamatosan érvényesülniük kell az adatkezelés során. Ilyen alapelv többek között a jogszerűség, a tisztességes eljárás és átláthatóság, a célhoz kötöttség, az adattakarékosság, a pontosság és a korlátozott tárolhatóság elve. [általános adatvédelmi rendelet 5. cikk (1) bekezdés a)-e) pont] Az elszámoltathatóság elvéből [általános adatvédelmi rendelet 5. cikk (2) bekezdés] fakadóan az adatkezelő felelős az adatvédelmi alapelveknek való megfelelésért, emellett képesnek kell lennie e megfelelés igazolására, emellett az adatkezelőnek képesnek kell lennie e megfelelés igazolására is. Ez alapján az adatkezelő köteles úgy dokumentálni és nyilvántartani az adatkezelést, hogy annak jogszerűsége utólag bizonyítható legyen. Ilyen alapelvek többek között az adattakarékosság3, a korlátozott tárolhatóság4 és a célhoz kötött adatkezelés5 elve. Az általános adatvédelmi rendelet az alapelvek között rögzíti továbbá, hogy a személyes adatok kezelését „oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”).”6 Az adatkezelés jogszerűségének elengedhetetlen feltétele, hogy annak megfelelő jogalapja legyen. Az általános adatvédelmi rendelet 6. cikke rendelkezik a személyes adatok kezelésének lehetséges jogalapjairól, azaz azon esetekről, amikor egy adatkezelés jogszerű lehet, amennyiben az az általános adatvédelmi rendelet többi rendelkezésének, különösen az adatvédelem alapelveinek is megfelel. A természetes személy személyes adatai kezelésének jogalapja alapulhat például az érintett hozzájárulásán, szerződés létrejöttén vagy teljesítéséhez kapcsolódóan, jogi kötelezettség teljesítésén vagy

2 A Hatóság a háztartási célú kivételek közé sorolta a rendezvényeken a szülők által gyermekükről készített felvételeket, akkor is, ha azokon más gyermekek is szerepelnek (NAIH/2018/6083/V.). Hangsúlyozandó, hogy a Hatóság kizárólag e felvételek elkészítését értékelte háztartási célú adat- kezelésnek, amennyiben e képeket a készítő feltöltötte volna az internetre, az adatkezelés a GDPR hatálya alá tartozna. 3 Általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pont: „a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”). 4 Általános adatvédelmi rendelet 5. cikk (1) bekezdés e) pont: „a személyes adatok tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatás céljából vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”);” 5 Általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pont: „gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”)” 6 Általános adatvédelmi rendelet 5. cikk (1) bekezdés f) pont az adatkezelő7 jogos érdekén is, mely esetben azonban az adatkezelés megkezdése előtt az adatkezelőnek el kell készítenie egy ún. érdekmérlegelési tesztet. Az intézmény esetében megfelelő jogalap lehet, ha az intézmény ún. „beleegyező nyilatkozatot” kér a diákoktól, a gyermekek törvényes képviselőitől (a szülőktől), tanároktól, azaz, ha az érintettek egyértelmű hozzájárulásukat adják személyes adataik egy vagy több konkrét célból történő kezeléséhez. Az általános adatvédelmi rendelet értelmében az érintett hozzájárulásának az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása minősül, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez.8 A hozzájárulás fogalma négy konjunktív feltételre épül. Egyrészt a hozzájárulásnak önkéntesnek kell lennie, amely azt jelenti, hogy az érintett valós vagy szabad választási lehetőséggel rendelkezzen a hozzájárulás megadását illetően. Másrészt a hozzájárulásnak konkrétnak kell lennie, amely alapvetően a célok pontos beazonosítását igényli az adatkezelőtől, illetve azt, hogy amennyiben az érintett hozzájárulása lapján különböző célból tervezi kezelni a személyes adatokat, akkor mindegyik célhoz az érintett hozzájárulását be kell szereznie. Harmadrészt a hozzájárulásnak megfelelő tájékoztatáson kell alapulnia, amely nemcsak az általános adatvédelmi rendelet által meghatározott, a tájékoztató kötelező tartalmi elemeinek a meglétét jelenti, hanem azt is, hogy a tájékoztatás tömör, átlátható, közérthetően megfogalmazott legyen, amely az érintett számára könnyen hozzáférhető. Végül az adatkezelőnek azt is biztosítania kell, hogy az érintett az akaratát egyértelműen kinyilváníthassa, vagyis az érintett aktív cselekedettel, nyilatkozattal tudjon beleegyezni az adatkezelésbe. A megfelelő tájékoztatás a hozzájárulás jogalapjának alkalmazása során központi szerepet tölt be. A hozzájárulás definíciójában szereplő többi fogalmi elem (önkéntesség, a hozzájárulás konkrétsága és egyértelműsége) akkor érvényesülhet teljeskörűen, ha a hozzájárulás kérését megfelelő tájékoztatás előzte meg. Ha az adatkezelő nem biztosít hozzáférhető tájékoztatást az érintettek számára, akkor az adatok feletti rendelkezés látszólagos lesz, és a hozzájárulás az adatkezelés érvénytelen jogalapjává válik. Fentiek alapján jelen esetben a Kérelmező hozzájárulása akkor érvényes és megfelelő jogalap, ha az önkéntes, tehát ha a Kérelmező az ehhez fűződő bármely hátrány vagy kár nélkül dönthet úgy, hogy nem kíván szerepelni a kép- és/vagy videófelvételen. Az érvényesség további feltétele, hogy az konkrét és megfelelő tájékoztatáson alapuljon, amely feltétel akkor érvényesül, ha a Kérelmező tisztában van az adatkezelés részleteivel. Ez a konkrét esetben azt jelenti, hogy a Kérelmezett tájékoztatja a Kérelmezőt a kép- és/vagy videófelvétel sorsáról, így arról, hogy azt hol jelentetik meg, milyen fórumon teszik mások számára elérhetővé. A Hatóság észleli, hogy a köznevelési és közoktatási intézmények (a továbbiakban együtt: intézmények) működése során a nevelési és tanév rendjében megjelölt intézményi események – személyes adatok kezelésével szükségképpen együtt járó – megörökítése egyre inkább áthelyeződik az internetes nyilvánosság színterére.

7 Általános adatvédelmi rendelet 4. cikk 7. „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja; 8 Általános adatvédelmi rendelet 4. cikk 11. pont

A Hatóság a nem internetes platformokon végzett adatkezelések esetében elismeri, hogy a tanév során szervezett minden egyes intézményi eseményhez kapcsolódó adatkezelés esetében szinte teljesíthetetlen adminisztrációs terhet ró az intézményekre, a pedagógusokra és a szülőkre is a megfelelő, részletes tájékoztatáson alapuló írásban tett adatkezelési hozzájárulások beszerzése. Ugyanakkor a Hatóság hangsúlyozza, hogy az általános adatkezelési hozzájárulás megléte nem mentesíti az intézményt azon kötelezettsége alól, hogy az egyes tervezett adatkezelésekről az eseményt megelőzően külön, igazolható módon részletes adatkezelési tájékoztatást nyújtson a szülő/törvényes képviselő számára a következő tartalommal:

annak megjelölése, hogy mely eseményen történik az adatkezelés, a gyermek mely személyes adatai vonatkozásában történik az adatkezelés (képmás, hang, képmás- és hang, egyéb személyes adat); az adatkezelés helye, az adatkezelés időtartama; a szülő tájékoztatása, figyelmének felhívása az általános adatvédelmi rendelet szerinti tiltakozáshoz való jogára. A Hatóság a fentiek mellett elvárja továbbá az intézményektől annak biztosítását, hogy a szülő/törvényes képviselő az általános adatvédelmi rendeletben biztosított tiltakozáshoz való jogát könnyen, akadálymentesen és időben, a tervezett adatkezelés megkezdése előtt tudja gyakorolni.

Az internetes adatkezelések tekintetében csupán a tájékoztatás nem elegendő, ezekben az esetekben kötelező a szülő/törvényes képviselő írásos hozzájárulásának beszerzése, melyet mindenképpen az adatkezelést megelőzően kell az intézménynek beszereznie, figyelemmel arra, hogy a szülő/törvényes képviselő bármikor tiltakozhat az adatkezelés kapcsán és visszavonhatja az adatkezeléshez korábban adott hozzájárulását. Annak ellenére, hogy Kérelmezettre többlet adminisztrációs terhet ró, a Hatóság álláspontja szerint elkerülhetetlen, hogy az intézménnyel jogviszonyban álló gyermekekről készített videófelvételek Kérelmezett honlapján, illetve az általa használt megosztó portálokon történő nyilvánosságra hozatalához, illetve megosztásához minden felvétel esetében külön-külön szülői hozzájárulással rendelkezzen.

A Hatóság emellett szükségesnek tartja a jelenleg eltérő tartalmú szülői nyilatkozatok egységesítését, valamint azok, a fentiekben foglalt információk mellett a nyilatkozattétel dátumával történő kiegészítését. III.2.2. Az adatvédelmi alapelvek érvényesülése a Kérelmezett adatkezelése vonatkozásában Az adatkezelés jogszerűsége Az általános adatvédelmi rendelet 5. cikke tartalmazza azon fő alapelveket, amelyeket a személyes adatok kezelése során figyelembe kell venni, és amelyeknek folyamatosan érvényesülniük kell az adatkezelés során. Ilyen alapelv többek között a jogszerűség, tisztességes eljárás és átláthatóság, a célhoz kötöttség, az adattakarékosság, a pontosság és a korlátozott tárolhatóság elve [5. cikk (1) bekezdés a)-e) pont]. Az általános adatvédelmi rendelet 6. cikk (1) bekezdése a)-f) pontjai tartalmazzák azokat a jogalapokat, melyek legalább egyike érvényesülése esetén ítélhető jogszerűnek a személyes adatok kezelése.

A Hatóság az adatkezelés jogszerűsége tekintetében – az általános adatvédelmi rendeletben foglaltakkal egyezően – azt az álláspontot képviseli, mely szerint az adatkezelőknek az általános adatvédelmi rendelet előírásaira figyelemmel kell megvalósítaniuk a személyes adatok védelmét. Ennek megfelelően a személyes adatok kezelését előre meghatározott, egyértelmű és jogszerű célból, a megjelölt cél eléréséhez szükséges ideig, a megfelelő technikai és szervezési intézkedések alkalmazásával úgy kell elvégezni, hogy az adatkezelési cselekmény során garantált legyen a kezelt személyes adatok megfelelő biztonsága. A Hatóság mindenekelőtt hangsúlyozza, hogy a sérelmezett videófelvétel rögzítése, illetve annak (korlátozott körben) történő nyilvánosságra hozatala egymástól eltérő, külön adatkezelésnek minősül, melyek tekintetében a Kérelmezettnek, mint adatkezelőnek külön jogalappal, és amennyiben az adatkezelés jogalapja az érintett vagy törvényes képviselőjének a hozzájárulása, akkor külön hozzájárulással kell rendelkeznie. A jelen ügyben azt vizsgálja, hogy a Kérelmezett a sérelmezett videófelvétel rögzítése és hozzáférhetővé tétele tekintetében jogszerűen járt-e el: azaz a hivatkozott, hozzájáruláson alapuló adatkezelések tekintetében rendelkezett-e a Kérelmező külön-külön hozzájárulásával, valamint a hozzájárulásokat megelőzően nyújtott-e teljes körű tájékoztatást a Kérelmezőnek az érintett adatkezelésekről. A tényállás tisztázása során a Hatóság birtokába került információk alapján a Kérelmezett kellőképpen alátámasztotta azt, hogy a Kérelmező által sérelmezett videófelvétel rögzítését megelőzően a felvétellel érintett valamennyi gyermek (így a Kérelmező) szüleit megfelelően tájékoztatta a felvétel elkészítéséhez kapcsolódó adatkezelésről – ezt egyébként a Kérelmező szülei sem vitatták –, ezt követően pedig 2020. december 17-én az intézmény családi közösségének elektronikus levélben küldte el a Kérelmezett a sérelmezett videófelvétel elérési útját „XXXXXXX.” címmel. Fentiekre tekintettel a Hatóság a vizsgált ügyben elfogadja a sérelmezett videófelvétel rögzítéséhez kapcsolódó adatkezelés jogalapjaként a szülők által a nevelési év elején tett általános hozzájárulást, valamint a gyermekek előadását megelőzően a szülőkkel folytatott tájékoztató levelezést. Ezzel egyidejűleg a Hatóság megállapítja, hogy a videófelvétel intézményi honlapon és az intézményi Youtube-csatornán történő nyilvánosságra hozatala tekintetében a Kérelmezettnek a Kérelmező részéről külön hozzájárulással kellett volna rendelkeznie, mivel az általános hozzájárulás nem vonatkozott (nem is vonatkozhatott) a videófelvétel intézményi Youtubecsatornán, illetve az elérési útnak az intézmény honlapján történő nyilvánosságra hozatalára. A Hatóság álláspontja szerint a vizsgált videófelvétel a fentiekben részletezett módokon történt közzétételének jogalapja tekintetében a Kérelmezett nem tudta elfogadhatóan igazolni azt, hogy a szülőket megfelelően, mindenre kiterjedően tájékoztatta a gyermeküket ábrázoló videófelvétel közzétételének helyéről, időtartamáról. Az általános adatvédelmi rendelet 5. cikke tartalmazza azon fő alapelveket, amelyeket a személyes adatok kezelése során figyelembe kell venni, és amelyeknek folyamatosan érvényesülniük kell az adatkezelés során. Ilyen alapelv többek között a jogszerűség, tisztességes eljárás és az átláthatóság [5. cikk (1) bekezdés a) pont], valamint az elszámoltathatóság [5. cikk (2) bekezdés] elve. Azzal, hogy a Kérelmező édesapja aláírta az év eleji adatkezelési hozzájárulást, valamint azzal, hogy a Kérelmező szülei az óvónők tájékoztató e-mailjeire – melyben megjelölték az adatkezelés célját, és tájékoztatást adtak a gyermekek szerepléséről, és a videó elkészítéséről – nem fejezték ki tiltakozásukat, elfogadták az adatkezelés célját és azt, hogy a Kérelmező (a gyermekük) része lesz annak az előadásnak, melyről videófelvétel készül, és amely karácsonyi üdvözletként továbbításra kerül az intézmény családi közösségének. Ugyanakkor azonban a felvétel megosztásának módjáról nem tájékoztatta a Kérelmezett a Kérelmező szüleit, ezáltal a Kérelmezett nem biztosította a Kérelmező számára az érintetti joggyakorlás lehetőségét, hogy annak keretében élhessenek a törlési jogukkal a videófelvétel intézményi Youtube-csatornára történő feltöltése, illetve az intézményi honlapon való közzététele vonatkozásában. Az eljárás során a rendelkezésére álló valamennyi információ birtokában a Hatóság megállapítja, hogy a Kérelmezett a sérelmezett adatkezelések tekintetében megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti jogszerűség, és átláthatóság alapelvét.

Emellett az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontjába ütköző jogsértést valósított meg azzal, hogy a Kérelmező által sérelmezett videófelvételt a Kérelmező egyértelmű és megfelelő tájékoztatáson alapuló hozzájárulása hiányában hozta nyilvánosságra az intézményi Youtube-csatornán, valamint a Youtube-link az intézményi honlapon megvalósított közzététellel. Az elszámoltathatóság elve A Hatóság a vizsgált ügyben is következetesen hangsúlyozza, hogy az adatkezelés jogszerűségének biztosítása az adatkezelés valamennyi szakaszában az adatkezelő, azaz jelen esetben a Kérelmezett kötelezettsége. Az általános adatvédelmi rendelet 5. cikk (2) bekezdése rögzíti az elszámoltathatóság elvét, mely szerint az adatkezelő felelős a személyes adatok jogszerű kezeléséért, továbbá képesnek kell lennie e megfelelés igazolására. Ezek alapján a Kérelmezettnek az adatkezelés megtervezésétől kezdve az adatkezelés megkezdésén át egészen a személyes adatok törléséig valamennyi adatkezelési műveletet úgy kell megvalósítania, hogy bármikor bizonyítani tudja azt, hogy az adatkezelés folyamata miként felelt meg az adatvédelmi előírásoknak, illetve az általános adatvédelmi rendelet szerinti adatkezelői kötelezettségeknek. Azáltal, hogy „unlisted”, azaz nem nyilvános videóként került feltöltésre az intézmény Youtubecsatornájára a sérelmezett videófelvétel az adatkezelés jogszerűségéhez a Kérelmezettnek rendelkeznie kell a felvétellel érintett gyermekek – így Kérelmező – törvényes képviselőjének a hozzájárulásával is. Az eljárás során tett kérelmezetti nyilatkozatok, valamint a becsatolt dokumentumok alapján a Hatóság megállapította, hogy a Kérelmezett az általa az adatkezelési jogszabályokból levont téves következtetések alapján kialakított adatkezelési gyakorlata vonatkozásában nem volt képes megfelelően igazolni a Kérelmező által panaszolt adatkezelések adatvédelmi alapelveknek való megfelelőségét. Így Kérelmezett a Kérelmező által panaszolt videófelvétel szűk körben megvalósuló elérhetővé tétele vonatkozásában a hozzájárulás jogalap jogszerű alkalmazásához nem tudta bizonyítani az adatkezelést megelőző tájékoztatás megfelelő, minden lényeges információra kiterjedő tartalommal való megtörténtét, valamint a Kérelmező hozzájárulásának a meglétét. Mindezekre figyelemmel a Hatóság megállapította, hogy a Kérelmezett jelen esetben nem volt képes a sérelmezett adatkezelés adatvédelmi előírásoknak való megfelelését bizonyítani, ezzel megsértette az általános adatvédelmi rendelet 5. cikk (2) bekezdésében foglalt elszámoltathatóság elvét. A célhoz kötöttség, az adattakarékosság, valamint a beépített és alapértelmezett adatvédelem elvének érvényesülése Az adatvédelmi szabályozás kiemelt elve a célhoz kötöttség elve, melynek lényegi tartalma szerint ezen elvből következően minden adatkezelésnek jogszerű célja kell legyen, a célt előre meg kell határozni. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja tartalmazza a célhoz kötöttség követelményét. Eszerint személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és az adatok csak e célokkal összeegyeztethető módon legyenek kezelve. A célhoz kötöttség lényegi tartalmát tekintve alapvető fontosságú az adatkezelési cél meghatározása, mely az adatkezelő feladata. Az adatkezelés célját világosan, egyértelműen kell meghatározni úgy, hogy az érintettek azt értelmezni tudják. Vagyis, a célnak kifejezettnek kell lennie, és arról érthetően tájékoztatni kell az érintetteket. A célhoz kötöttség követelménye szorosan összefügg az adattakarékosság (adatminimalizálás) elvével [5. cikk (1) bekezdés c) pont], hiszen csak az adatkezelési cél megvalósulásához szükséges, e cél elérésére alkalmas személyes adatok kezelhetők: mindig az adott célhoz kell viszonyítani az adott adatot, és ez alapján kell eldönteni, ténylegesen szükséges-e a cél eléréséhez, és valóban alkalmas-e erre. Ha az adatkezelés célja megváltozik, akkor ezen célnak megfelelően kell megítélni a jogalap kérdését, a szükségesség elvét és az egyéb garanciák érvényesülését. Ha az adatkezelési cél megszűnik, akkor törlési kötelezettség áll fenn.

A személyes adatok a cél megvalósulásához szükséges mértékben és ideig kezelhetőek. Emellett az adatoknak megfelelőnek és relevánsnak kell lenniük. Kizárólag annyi és olyan személyes adat kezelhető, ami szükséges és egyben elégséges az adatkezelés céljának eléréséhez. Ez az ún. szükségességi kritérium, más néven az adattakarékosság elve, azt is jelenti, hogy már az adatkezelés megkezdése előtt vizsgálni kell, hogy szükséges-e, ha igen, milyen mértékben, személyes adatokat kezelni a megvalósítandó cél eléréséhez. A jelen eljárás keretében a Hatóság több, egymásra épülő adatkezelés tekintetében vizsgálta azok célhoz kötöttségét, az adattakarékosság, valamint a beépített és alapértelmezett adatvédelem érvényesülését. Az adatkezelések szükséges, megfelelő és releváns adatok körének meghatározása esetrőlesetre mérlegelendő, melynek eldöntéséhez az adatkezelési cél pontos, konkrét megnevezése nélkülözhetetlen, mert ehhez viszonyítottan vonható meg az adatkezeléssel érintett személyes adatok határa. Az adattakarékosság elvének teljesülését segíti egy adatkezelőnél megvalósított „beépített és alapértelmezett adatvédelem” [általános adatvédelmi rendelet 25. cikk]. Ennek értelmében az adatkezelő az általa tett intézkedésekkel kell biztosítsa azt, hogy kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek. A szükségesség ezen szempontjának kell érvényesülnie az adatok mennyisége, kezelésük mértéke, tárolási időtartama és hozzáférhetősége tekintetében is.

A videófelvétel rögzítése A Kérelmező által panaszolt videófelvétel egy, óvodás gyermekek csoportja által bemutatott betlehemes előadást tartalmazott, melyben a Kérelmező is szerepelt. Ezt a felvételt töltötte fel a Kérelmezett az intézményi Youtube-csatornára, és annak elérési útját továbbította karácsonyi üdvözletként az intézmény családi közösségének elektronikus levél útján, valamint az elérési út közzétételével azt nyilvánosságra hozta az intézményi honlapon.

A Hatóság álláspontja szerint az intézményeknek, működjenek akár állami, akár egyéb fenntartásban, alapvető céljuk annak bemutatása a szülőknek, nagyszülőknek, hogy a gondozásukban lévő gyermekek milyen fejlődésen mennek keresztül, akár csoportosan, akár egyénileg milyen új célokat érnek el, hogyan fejlődik a gyermek személyisége, egyénisége, miként bővül a tudása, ismerete.

Az óvodai csoport közös produkciója alkotja az egységet. Amennyiben abból az intézmény kihagy akár egy gyermeket is, a negatív diszkrimináció a gyermek hátrányos megkülönböztetését eredményezheti. Különösen igaz ez a jelen esetben, mivel a Kérelmező édesapja a Youtube-csapatának írt törlési kérelme szerint a gyermeke látható az egész videóban, szóló dalt is énekel, és a csoportdalokban is részt vesz, tehát a Kérelmezőnek az előadásban kiemelt szerepe volt. A videófelvételt megtekintését követően az a következtetés vonható le, hogy a Kérelmezett kizárólag magára az előadásra, a gyermekek produkcióira fókuszált annak rögzítése során.

Megállapítható tehát, hogy a személyes adatok videófelvételben történő rögzítéséhez kapcsolódó adatkezelés során a Kérelmezett nem sértette meg sem az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerinti célhoz kötöttség, sem az 5. cikk (1) bekezdés c) pontjában foglalt adattakarékosság elvét. A rögzített videófelvétel közzététele A Hatóság a panaszolt videófelvétel az intézményi Youtube-csatornán, valamint az intézmény honlapján megvalósított nyilvánosságra hozatal esetében is vizsgálta a célhoz kötött adatkezelés és az adattakarékosság elvének, ehhez kapcsolódóan a beépített és alapértelmezett adatvédelem érvényesülését. Ennek körében megállapította, hogy a Kérelmezett a két intézményi platformon is megvalósított közzétételhez kapcsolódó adatkezelésével az általa előzetesen meghatározott adatkezelési célhoz viszonyítva, a célcsoportot meghaladó körben vált megismerhetővé a sérelmezett videófelvétel, és ezáltal az abban kezelt személyes adatok. A célhoz kötöttség sérülésével egyidejűleg az adattakarékosság elve is sérült, mivel az eredeti adatkezelési cél megvalósulásához szükséges mértéket és adatkezelési időt meghaladóan volt korlátlanul megismerhető a Kérelmező személyes adatait is tartalmazó videófelvétel.

A Hatóság a beépített és alapértelmezett adatvédelem elvének a panaszolt, nyilvánosságot biztosító adatkezelések tekintetében végzett vizsgálata vonatkozásában kiemeli, annak ellenére, hogy a Kérelmezett tett technikai intézkedéseket a sérelmezett videófelvétel Youtube-csatornán megvalósított közzétételéből fakadó megismerhetősége korlátozására („unlisted” videó), azzal, hogy a videófelvétel Youtube-csatorna elérhetőségét az intézményi honlapján nyilvánosságra hozta, korlátlan hozzáférést biztosított bárki számára a videófelvételben kezelt személyes adatokhoz.

A Hatóság a fentiek alapján megállapította, hogy a Kérelmezett a panaszolt videófelvétel intézményi Youtube-csatornán, valamint annak elérési útjának az intézményi honlapon történő közzétételéhez kapcsolódó adatkezelése során megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdése szerinti szükségesség és adattakarékosság, valamint a 25. cikk szerinti beépített és alapértelmezett adatvédelem elvét. Az érintetti joggyakorlás biztosítása Az átlátható adatkezelés biztosítás érdekében az adatkezelő főszabály szerint köteles proaktív módon – megfelelő tájékoztatást nyújtani az érintettek részére az adatkezelés megkezdése előtt. E jog elsődlegesen azt hivatott tudatosítani az adatalanyokban, hogy az adatkezelő velük kapcsolatban személyes adatokat kíván kezelni. Ennek megfelelően a tájékoztatás tartalma aszerint differenciált, hogy a kezelendő személyes adatokat közvetlenül az érintettől gyűjtik-e (általános adatvédelmi rendelet 13. cikk), vagy pedig azokat más forrásból szerezte meg az adatkezelő (általános adatvédelmi rendelet 14. cikk). A tájékoztatáshoz való jog általános korlátját jelenti az az eset, amikor az adatalany már rendelkezik a vonatkozó információkkal. Az adatkezelő ebben az esetben – az elszámoltathatóság elvére tekintettel – köteles igazolni ezt a tényt. Jelen vizsgálatban a sérelmezett videófelvétel elkészítése vonatkozásában a Kérelmezett a Hatóság számára megfelelően igazolta azt, hogy az érintettek, így a Kérelmező szülei is rendelkeztek a szükséges információkkal. Az elkészült videófelvétel nyilvánosságra hozatala tekintetében azonban a Kérelmezett nem tudta dokumentumokkal alátámasztani azt, hogy az érintettek megfelelő ismerettel rendelkeztek az adatkezelés valamennyi részletét illetően. Mivel a Kérelmezett az elkészült videófelvétel nyilvánosságra hozatala vonatkozásában végzett adatkezelése tekintetében nem nyújtott előzetes tájékoztatást az érintetteknek, így a Kérelmezőnek sem, ebből következően a Hatóság megállapítja, hogy e tekintetben a Kérelmezett megsértette az általános adatvédelmi rendelet 13. cikkét. A személyes adatok törlése iránti érintetti jog biztosítása Az általános adatvédelmi rendelet 17. cikk (1) bekezdése értelmében az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az általános adatvédelmi rendeletben meghatározott indokok valamelyike fennáll. Miután az általános adatvédelmi rendelet alapján az adatkezelő felelős az adatkezelés jogszerűségéért, ezért az adatkezelőn van a bizonyítási teher, tehát köteles bizonyítani tudni, hogy az adatkezelés megfelel a jogszabályi feltételeknek. A Kérelmező 2021. január 29-én tett törlési kérelmére a Kérelmezett 2021. február 12-én tájékoztatta a Kérelmezőt arról, hogy láthatóság szempontjából milyen módon és formában történik a korlátozott nyilvánosságra hozatal. A Kérelmező 2021. február 17-i ismételt törlési kérelmére a Kérelmezett az intézményi honlapról eltávolította a sérelmezett videófelvételre mutató Youtube-linket. Fentiek alapján, a Kérelmezett intézményi honlapon végzett, korlátlan nyilvánossággal járó adatkezelése vonatkozásában a Kérelmező érintetti joggyakorlása keretében érvényesített törlési kérelmét követően, annak eleget téve, a Kérelmezett törölte a videót az oldalról. Ezzel a Kérelmezett megakadályozta azt, hogy bárki, aki az adattörlést követően az intézmény honlapját felkeresi, szabadon megnézhesse a sérelmezett videófelvételt.

Ebből következően a Kérelmezett ezen adatkezelését tekintve nem sértette meg sem a Kérelmező általános adatvédelmi rendelet 17. cikk szerinti törléshez való jogát, sem az általános adatvédelmi rendelet 15. szerinti érintetti joggyakorláshoz való jogát. A Hatóság rendelkezésére álló adatok szerint a Kérelmezett a sérelmezett felvétel elérhetőségét kizárólag az intézményi honlapjáról törölte, az intézményi Youtube-csatornáról nem. Ezért 2021. március 11. napján a Kérelmező édesapja közvetlenül kereste meg a Youtube-ot, és jelentette be az engedély nélkül közzétett, hozzáférhető és megosztható videófelvételt és kérte annak törlését. Az ügy kivizsgálását és a Kérelmező a Youtube csapatával folytatott levelezést követően a Youtube munkatársai 2021. március 15. napján törölték a felvételt. A videófelvétel törlésének indokaiként Kérelmező az alábbiakat jelölte meg:

- „[…] a fiunk egy szólórészt ad elő (1:11-1:37; 3:20-3:45) a fiunk nem része az iskolának/felhasználónak (XXXX), mint az egyik oka annak, ami megkülönbözteti őt a videóban szereplő többitől. nincs szerződésünk a felhasználóval (XXXX) nem adtunk engedélyt a felhasználónak (XXXX) arra, hogy fiunkat digitális tartalmaiban vagy hirdetéseiben felhasználja. [...]” Az intézményi Youtube-csatornán „unlisted” videóként közzétett felvétel esetében is a Kérelmezett a hozzájárulást (általános adatvédelmi rendelet 6. cikk (1) bekezdés a.) pont) azonosította az adatkezelés jogalapjaként. Ebben az esetben, ha az érintett visszavonja az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja, az adatkezelő indokolatlan késedelem nélkül törölni köteles az érintett kérésére a rá vonatkozó személyes adatokat. Miután a Kérelmezett a szülői hozzájáruláson kívül más jogalapot nem azonosított a sérelmezett adatkezelés tekintetében, ezért a Kérelmező törlésre irányuló kérelmét követően az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontja alapján haladéktalanul törölnie kellett volna a sérelmezett videófelvételt az intézményi Youtubecsatornáról is. A Kérelmezett azzal, hogy figyelmen kívül hagyta a Kérelmező az intézményi Youtubecsatornán elérhető videófelvétel törlésére, és ezáltal a Kérelmező hozzájárulása visszavonására irányuló kérelmét, megsértette a Kérelmező az általános adatvédelmi rendelet 17. cikk (1) bekezdés b) pontja alapján érvényesíthető törléshez, valamint az általános adatvédelmi rendelet 15. cikke szerinti érintetti joggyakorláshoz való jogát. Mindemellett a Hatóság a jövőre nézve adatbiztonsági szempontból aggályosnak tartja az „unlisted” (nem nyilvános) Youtube-csatorna alkalmazását. Ehelyett javasolja Kérelmezettnek az intézményi videók „privát” módon történő, kizárólag az érintettekkel történő megosztását. A Hatóság tapasztalja a hazai köznevelésben és közoktatásban meghonosodott általános gyakorlatot, mely szerint az adatkezelő intézmények a kiskorú gyermekek (a továbbiakban: gyermekek) törvényes képviselőitől minden év elején (általában az első szülői értekezleten) általános adatkezelési hozzájárulást kérnek. Ez azonban nem mentesíti az adatkezelő intézményeket azon kötelezettségük alól, hogy a tanév közben sorra kerülő, a gyermekek személyes adatai kezelésével szükségszerűen együtt járó események kapcsán előzetesen a törvényes képviselőket (szülőket) részletesen tájékoztassák, külön kitérve a hozzájárulás visszavonásának lehetőségére, melynek gyakorlását kötelesek könnyen, akadálymentes módon biztosítani.

A Hatóság felhívja az adatkezelők figyelmét arra, hogy amennyiben a gyermekek adatai korlátlan online nyilvánosságot célzó adatkezelések keretében széleskörű nyilvánosságot kaphatnak, az általános adatvédelmi rendelet alapján a Hatóság elvárja a köznevelési és közoktatási adatkezelőktől az előzetes, részletes és írásos adatkezelési tájékoztatás és az azon alapuló szülői hozzájárulás meglétét.

IV. Jogkövetkezmények

A Hatóság az általános adatvédelmi rendelet 58. cikk (1) bekezdés b) pontja alapján a Kérelmezettet elmarasztalta az adatvédelmi jogsértés megvalósításában. A Hatóság a kérelem alapján lefolytatott eljárásban megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. A Hatóság az alábbi tényezőket vette figyelembe a bírságkiszabás mellőzése tekintetében:

1. A Kérelmezettel szemben korábban nem állapított meg a személyes adatok kezelésével kapcsolatos jogsértést a Hatóság. 2. A Kérelmező által sérelmezett videófelvétel a Kérelmező által megjelölt internetes felületekről törlésre került. 3. A Hatóság megítélésre szerint a jelen eljárás tárgyát képező felvétel nyilvánosságra hozatala, megosztása, valamint a Kérelmezett adatkezelési gyakorlata tekintetében nem állapítható meg a szándékos, rosszhiszemű motiváltság, az inkább a Kérelmezett adatkezelői tudatosságának hiányára vezethető vissza. 4. A Hatóság – nem elfogadva jogszerűnek a videófelvétel intézményi honlapon és Youtube-csatornán való közzétételét – tudomással bír a Kérelmezett által is követett, a köznevelési és közoktatási intézmények körében elterjedt adatkezelési gyakorlatról, mely tekintetében a szakterület megfelelő adatkezelési iránymutatással nem rendelkezik. A Hatóság figyelemmel volt továbbá arra is, hogy a Kérelmezett az eljárás során együttműködött a Hatósággal. E tekintetben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét, és megítélése szerint az általános adatvédelmi rendelet céljainak teljesüléséhez a Hatóság elegendőnek és arányosnak tartja az általános adatvédelmi rendeletben foglalt elmarasztalást, illetve a Kérelmezett adatkezelési szabályzatának és jövőbeni adatkezelési gyakorlatának az általános adatvédelmi rendeletben foglaltaknak megfelelő átalakítását.

Nem vitatva a Kérelmezett által megvalósított jogsértést, valamint annak súlyát, a Hatóság pozitívumként értékeli a Kérelmezett azon törekvését, hogy a pandémia ideje alatt – még ha nem a megszokott formában is – bemutassa a szülőknek gyermekeik produkciója által képességeik, készségeik fejlődését, melyből Kérelmezett jóhiszeműsége, jó szándéka egyértelműen megállapítható.

Mindezek mellett a Kérelmezett adatkezelési gyakorlata tekintetében a Hatóság felhívja a figyelmet az általános adatvédelmi rendelet szabályainak fokozott figyelembevételére, a megbízott adatvédelmi tisztviselő bevonására a személyes adatokat érintő kérdésekbe. Kérelmezett kötelezettsége továbbá a jelenleg hatályos Szabályzat általános adatvédelmi rendeletnek megfelelő átalakítása és az intézményi honlapon való közzététele, valamint a jövőbeli adatkezelés jogszerűségéhez szükséges részletes tájékoztatás és a tiltakozáshoz való jogot biztosító szülői hozzájárulás elkészítésére.

A Hatóság eljárásának jelen esetben az a célja, hogy hatékonyan közreműködjön a Kérelmezett köznevelési intézmény(ek) személyes adatok kezelése tekintetében kialakított szemlélete, valamint az általános adatvédelmi rendeletnek való megfelelő gyakorlata kimunkálásában.

A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

V. Eljárási szabályok

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. A Hatóság jelen határozatot a Kérelmező mellett a Kérelmezettnek, mint panaszolt adatkezelő részére is megküldi.

Jelen döntés az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapszik. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik.

A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 124. § (6) bekezdése szerint, ha törvény által megengedett keresethalmazat esetén a kereseti kérelmek egy részét az egyszerűsített per, másik részét az általános szabályok szerint kellene elbírálni, a bíróság az általános szabályok szerint jár el.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A Hatóság döntésével szembeni keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

A Hatóság az eljárás során túllépte az Infotv. 60/A. § (1) bekezdése szerinti százötven napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőknek – Kérelmezők írásban megjelölendő választása szerint – bankszámlára utalással vagy postai utalvánnyal. Budapest, 2021. november 17.

Dr. Péterfalvi Attila elnök c. egyetemi tanár