{"check":null,"uid":"27cd4d6d05c66590","title":"Ítélet a NAIH-19-18-2024 sz. ügyben (Kúria Kfv.IV.37.804/2025/2)","title_generated":false,"country":"Венгрия","organ":"Орган по защите данных Венгрии (NAIH)","kind":"case","kind_name":"Судебная практика","lang":"hu","date":"2024-01-01","summary":"Верховный суд Венгрии отказался принять кассационную жалобу компании на решение, которым Национальный орган по защите данных (NAIH) признал нарушения GDPR при сборе копий удостоверений личности, адресных справок и счетов за электроэнергию для программы энергоэффективности. Орган установил отсутствие прозрачного информирования, избыточный сбор документов, слабый контроль доступа к базе без двухфакторной аутентификации и назначил штраф 75 млн форинтов с требованием привести практику в соответствие со ст. 5–6, 12–14, 28, 32 GDPR и опубликовать решение. Суд счёл, что доводы не достигают порога «особой тяжести» или «общественной значимости», поэтому кассация неприемлема.","snippet":"","topics":["Персональные данные"],"status":"ok","error":"","text_len":30232,"versions":1,"url":"https://naih.hu/hatarozatok-vegzesek/birosagi-jogorvoslatok?download=1426:itelet-a-naih-19-18-2024-sz-ugyben-kuria-kfv-iv-37-804-2025-2","first_seen":"2026-09-07","last_checked":"2026-09-17 02:23","relevance":"hit","score":83,"query":"","source_key":"naih_hu","verdict":{"relevance":"hit","score":83,"topics":["Персональные данные"],"need_body":3,"authorities":[{"kind":"орган","name":"Nemzeti Adatvédelmi és Információszabadság Hatóság","topic":"Персональные данные"},{"kind":"орган","name":"NAIH","topic":"Персональные данные"},{"kind":"акт","name":"GDPR","topic":"Персональные данные"},{"kind":"акт","name":"2016/679","topic":"Персональные данные"},{"kind":"акт","name":"információs önrendelkezési jogról","topic":"Персональные данные"}],"evidence":[{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":386,"ctx":"vács ügyvédi iroda  (cím2 eljáró ügyvéd: dr. kovács tibor józsef)  ## az alperes: nemzeti adatvédelmi és információszabadság hatóság  (cím3) az alperes képviselője: dudás hargita zavodnyik üg","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":562,"ctx":"ta zavodnyik ügyvédi iroda (cím4, eljáró ügyvéd: dr. dudás gábor jános)  ## a per tárgya: adatvédelmi közigazgatási jogvita (naih-19-18/2024)  ## a felülvizsgálati kérelmet benyújtó fél: a fe","zone":"текст","weight":1},{"topic":"Персональные данные","term":"személyes adat","weak":false,"pos":1463,"ctx":"n: adatbázis) biztosította. a regisztráció során a programra való jelentkezéshez bizonyos személyes adatok kötelező megadása mellett fel kellett tölteni a jelentkező személyazonosító igazolványána","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatkezel","weak":false,"pos":1842,"ctx":"ét és az azon szereplő egyes további adatokat is. [2] az alperes a programmal kapcsolatos adatkezelésre vonatkozó panaszok, illetve vizsgálati eljárás kezdeményezésére irányuló beadványok, ille","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatkezel","weak":false,"pos":2033,"ctx":"letve közérdekű bejelentések alapján a felperes által a programmal összefüggésben végzett személyes adatkezelés, okmánymásolatok gyűjtése jogszerűségének vizsgálata tárgyában naih-4208/2023 ügyszámon v","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":2406,"ctx":": infotv.) 55. § (1) bekezdés a) pont ab) alpontja alapján lezárt és az ügyben hivatalból adatvédelmi hatósági eljárást indított. [3] az eljárásban helyszíni szemlét tartott, ahol rögzítette,","zone":"текст","weight":1},{"topic":"Персональные данные","term":"Nemzeti Adatvédelmi és Információszabadság Hatóság","weak":false,"pos":443,"ctx":"lője: Kovács Ügyvédi Iroda  (cím2 eljáró ügyvéd: Dr. Kovács Tibor József)  ## Az alperes: Nemzeti Adatvédelmi és Információszabadság Hatóság  (cím3) Az alperes képviselője: Dudás Hargita Zavodnyik Ügyvédi Iroda (cím4, eljáró ügyvé","zone":"орган","weight":3},{"topic":"Персональные данные","term":"NAIH","weak":false,"pos":9,"ctx":"Ítélet a NAIH-19-18-2024 sz. ügyben (Kúria Kfv.IV.37.804/2025/2) ## A Kúria mint felülvizsgálati bírósá","zone":"орган","weight":0},{"topic":"Персональные данные","term":"GDPR","weak":false,"pos":3953,"ctx":"6/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendeletet (a továbbiakban: GDPR) 5. cikk (1) bekezdés a) pontjában foglalt átláthatóság elvét, a GDPR 5. cikk (1) bekezdé","zone":"акт","weight":0},{"topic":"Персональные данные","term":"2016/679","weak":false,"pos":3916,"ctx":"k szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendeletet (a továbbiakban: GDPR) 5. cikk (1) bekezdés a) pontjában foglalt átláthatóság","zone":"акт","weight":0},{"topic":"Персональные данные","term":"információs önrendelkezési jogról","weak":false,"pos":2273,"ctx":"NAIH-4208/2023 ügyszámon vizsgálati eljárást folytatott le, amelyet 2023. október 6-án az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 55.","zone":"акт","weight":0}],"dropped":[{"topic":"Криптоактивы и блокчейн","term":"token","weak":true,"pos":2961,"ctx":"em megerősítő e-mail vagy szöveges üzenet nem került kiküldésre, egyéb hitelesítő eszköz, token birtoklása sem volt szükséges. rendszeres időközönkénti jelszóváltoztatás nem volt kikény","why":"одиночное упоминание (нужно 3)"}]},"last_changed":"2026-09-07","meta":{"fileId":"1426","slug":"itelet-a-naih-19-18-2024-sz-ugyben-kuria-kfv-iv-37-804-2025-2","case":"NAIH-19-18/2024"},"source_url":"https://naih.hu/hatarozatok-vegzesek/birosagi-jogorvoslatok?download=1426:itelet-a-naih-19-18-2024-sz-ugyben-kuria-kfv-iv-37-804-2025-2","text":"## A Kúria mint felülvizsgálati bíróság\n\nvégzése Az ügy száma: Kfv.IV.37.804/2025/2.\n\n## A tanács tagjai: Dr. Balogh Zsolt a tanács elnöke\n\nDr. Kiss Árpád Lajos előadó bíró Dr. Bögös Fruzsina bíró Dr. Dobó Viola bíró Dr. Sugár Tamás\n\n## A felperes: felperes\n\n(cím1)\n\n## A felperes képviselője: Kovács Ügyvédi Iroda\n\n(cím2 eljáró ügyvéd: Dr. Kovács Tibor József)\n\n## Az alperes: Nemzeti Adatvédelmi és Információszabadság Hatóság\n\n(cím3) Az alperes képviselője: Dudás Hargita Zavodnyik Ügyvédi Iroda (cím4, eljáró ügyvéd: Dr. Dudás Gábor János)\n\n## A per tárgya: adatvédelmi közigazgatási jogvita (NAIH-19-18/2024)\n\n## A felülvizsgálati kérelmet benyújtó fél: a felperes\n\nA felülvizsgálni kért jogerős határozat: Fővárosi Törvényszék 105.K.703.714/2024/17. számú ítélete\n\n## Rendelkező rész\n\nA Kúria a felülvizsgálati kérelem befogadását megtagadja. A végzés ellen további felülvizsgálatnak nincs helye.\n\nIndokolás\n\n## A felülvizsgálat alapjául szolgáló tényállás\n\n[1] A felperes 2021. december 10-én lakossági felhasználók számára országos kiterjedtségű egyéb1 programot (a továbbiakban: Program) indított. A Programban a jelentkezők online regisztrációt követően energiahatékonysági megállapodás megkötésével ingyen juthattak új, LED fényforrásokhoz. A Programra történő regisztrációt, szerződéskötési folyamatot és adminisztratív felületet webes applikáció (a továbbiakban: Adatbázis) biztosította. A regisztráció során a Programra való jelentkezéshez bizonyos személyes adatok kötelező megadása mellett fel kellett tölteni a jelentkező személyazonosító igazolványának mindkét oldalát és a lakcímet igazoló hatósági igazolványának mindkét oldalát tartalmazó fájlt (a továbbiakban: okmánymásolatok), valamint a fogyasztó nevére szóló villanyszámla képét és az azon szereplő egyes további adatokat is. [2] Az alperes a Programmal kapcsolatos adatkezelésre vonatkozó panaszok, illetve vizsgálati eljárás kezdeményezésére irányuló beadványok, illetve közérdekű bejelentések alapján a felperes által a Programmal összefüggésben végzett személyes adatkezelés, okmánymásolatok gyűjtése jogszerűségének vizsgálata tárgyában NAIH-4208/2023 ügyszámon vizsgálati eljárást folytatott le, amelyet 2023. október 6-án az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 55. § (1) bekezdés a) pont ab) alpontja alapján lezárt és az ügyben hivatalból adatvédelmi hatósági eljárást indított. [3] Az eljárásban helyszíni szemlét tartott, ahol rögzítette, hogy az Adatbázis adminisztrációs felületét internetes böngésző útján, a nyílt internetről bárhonnan, bármilyen eszközről el lehetett érni és oda be lehetett jelentkezni. Az Adatbázis adminisztrációs felületéhez hozzáférési jogosultsággal rendelkezők általi belépésnél egyfaktoros azonosítás (egyszerű felhasználónév és jelszó páros) történt, a bejelentkezéshez sem megerősítő e-mail vagy szöveges üzenet nem került kiküldésre, egyéb hitelesítő eszköz, token birtoklása sem volt szükséges. Rendszeres időközönkénti jelszóváltoztatás nem volt kikényszerítve, a feltöltött okmányképek lementését, azokról képernyőkép készítését tiltó technikai intézkedés nem volt bevezetve. Az Adatbázisba bekerült személyes adatokhoz hozzáféréssel rendelkező felhasználók között szerepeltek olyanok is, amelyek jogosultságai nem kerültek visszavonásra az egyes közreműködési időszakok között, illetve a felhasználóhoz kapcsolódó jelszó sem került megváltoztatásra. [4] Az alperes a 2024. szeptember 10-én kelt NAIH-19-18/2024 számú határozatával megállapította, hogy a felperes gondatlanul megsértette a 2021. december 10-től 2023. november 30-ig terjedő időszakban a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendeletet (a továbbiakban: GDPR) 5. cikk (1) bekezdés a) pontjában foglalt átláthatóság elvét, a GDPR 5. cikk (1) bekezdés c) pontját, a 6. cikk (1) bekezdését, a 12. cikk (1) bekezdését, a 13. cikk (1) bekezdés c), e) pontjait és a (2) bekezdés a) pontját, a 14. cikk (1) bekezdés c), d), e) pontjait és a (2) bekezdés a) pontját, valamint a 32. cikk (4) bekezdését (1.1. pont a)-i) alpontok); a 2021. december 10-től 2023. november 2-ig terjedő időszakban a GDPR 5. cikk (1) bekezdés e) pontját (1.2. pont); a 2023. május 16-tól 2023. június 15-ig terjedő időszakban a GDPR 28. cikk (3) és (9) bekezdéseit (1.3. pont); a 2023. december 1-től a bizonyítási eljárás lezárásáig terjedő időszakban a GDPR 13. cikk (1) bekezdés c) pontját és a (2) bekezdés a) pontját, valamint a 14. cikk (1) bekezdés c) pontját és a (2) bekezdés a) pontját [2. pont a)-d) alpontok]. [5] Az alperes 2. pontban megállapított – fennálló – jogsértések miatt kötelezte a felperest arra, hogy az adatkezelési gyakorlatát hozza összhangba a GDPR rendelkezéseivel, valamint módosítsa a vonatkozó adatkezelési tájékoztatóját (3. pont). Az 1. és 2. pontban megállapított jogsértések miatt a felperest 75.000.000 forint adatvédelmi bírság megfizetésére kötelezte (4. pont). Az Infotv. 61. § (2) bekezdés a) és c) pontjai alapján hivatalból elrendelte a végleges határozatnak a felperes azonosító adatainak közzétételével történő nyilvánosságra hozatalát az alperes honlapján, továbbá a felperes Programhoz kapcsolódó weboldalának nyitóoldalán, jól látható és könnyen hozzáférhető helyen, a határozat véglegessé válásától számított 30 napon belül, legalább 30 napon keresztül (5. pont). [6] A határozat megállapította, hogy a 2021. december 10-től 2023. november 30-ig terjedő időszakban az Adatbázison keresztül megvalósuló adatkezelések tekintetében elérhető tájékoztató a Programmal összefüggő regisztrációs folyamatra, a személyazonosító okmányok, a lakcímet, illetve személyi azonosítót igazoló hatósági igazolványok kezelésére vonatkozó információt egyáltalán nem tartalmazott. A szerződésekhez és ajánlatkéréshez kapcsolódó adatkezeléssel összefüggésben rögzített nyolc éves megőrzés eltért mind az alperes által megállapított valós adatkezelési időtartamtól, mind a szerződő fogyasztók által elérhető „Egységes Szerződési Feltételek”-ben (a továbbiakban: ESZF) általánosságban megjelölt, nem kifejtett kötelező adatkezelési időtartamtól, illetve a hasonló energiamegtakarítási programok céljára való felhasználás lehetőségétől. [7] Az alperes szerint a felperes nem a GDPR által elvárt módon és tartalommal nyújtott az adatkezelés alapvető jellemzőire vonatkozó tájékoztatást, az adatkezelést érintő rendelkezések nem különültek el a szerződéses rendelkezésektől. Az adatkezelés érintett számára legfontosabb, alapvető jellemzőit részleteiben nem fejtette ki, nem rögzítette, hogy a felperes mely adatkezelési célokból, mely jogalapon, mely adatokat gyűjti és tárolja, sor kerüle adattovábbításra, mennyi ideig történik az adatok, valamint az okmány- és dokumentummásolatok megőrzése. A szintén elérhető Gyakran Ismételt Kérdések között a GDPR szerinti hozzájárulás visszavonásához, a tiltakozáshoz és a jogorvoslathoz fűződő joggal ellentétesen jelenítette meg, hogy az érintett nem kifogásolhatja az adatkezelést. 2023. december 1-jét megelőzően az őket érintő adatkezelés az érintettek számára nem volt átlátható. [8] Az alperes kifejtette, hogy a regisztráció során az Adatbázisba feltöltött, nem hitelesített digitális okmánymásolatok nem alkalmasak a felperes által megjelölt cél („személy igazolására”) elérésére, ahhoz ugyanis az eredeti okmány bemutatása szükséges. Sérült az adattakarékosság elve azáltal is, hogy az okmánymásolatok és a villanyszámla másolata nem kizárólag az ajánlattételhez vagy a szerződés megkötéséhez és fenntartásához elengedhetetlenül szükséges, hanem egyéb személyes adatokat (az érintett okmányon szereplő arcképe, aláírásképe vagy a villanyszámlán megjelölt aktuális folyószámla egyenlege) is tartalmaznak. A felperes az Adatbázison keresztül végzett adatkezelés kapcsán az okmánymásolatok vonatkozásában nem tudott megfelelő jogalapot igazolni, az érintettek pedig nem tudták önkéntes hozzájárulásukat adni a személyes adataik kezeléséhez, figyelemmel arra, hogy a Programba nem tudtak jelentkezni az okmánymásolatok rendelkezésre bocsátása nélkül, ezért a felperes adatkezelési tevékenysége az okmánymásolatok vonatkozásában a személyazonosító jel helyébe lépő azonosítási módokról és az azonosító kódok használatáról szóló 1996. évi XX. törvény 7. § (2) bekezdésében és 35. §-ában foglaltaknak sem felelt meg. [9] A határozat szerint az adatkezelésre vonatkozó tájékoztatás az érintettek számára nem volt könnyen hozzáférhető, az ESZF III.5. fejezete egy jogi ismeretekkel nem rendelkező személy számára annak ellenére nem volt könnyen értelmezhető, hogy számítani lehetett a lakosság Program iránti széles körű érdeklődésére. A felperes nem hozott megfelelő intézkedéseket annak érdekében, hogy az érintettek részére a GDPR 13-14. cikkeiben említett valamennyi információt és tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa. Sem az ESZF, sem a 2023. november 30-ig elérhető tájékoztató nem határozta meg kifejezetten és a valóságnak megfelelően, pontosan az adatok tervezett kezelésének célját, valamint az adatkezelés jogalapját; a személyes adatok címzettjeit, a címzettek kategóriáit; a személyes adatok tárolásának időtartamát; az érintett személyes adatok kategóriáit.\n\n[10] Az alperes megállapította, hogy a felperes a felhasználók általi jogosulatlan adatmentéssel szemben nem alkalmazott olyan technikai intézkedéseket, amelyek a munkatársat megakadályoznák abban, hogy az Adatbázisból az adatokat, okmánymásolatokat a böngészőből a számítógépre lementse, vagy azokról képernyőmentést készítsen. Az adott időszakban közreműködői feladatokat ténylegesen nem végző személyeknek az Adatbázis adminisztrációs felületéhez való hozzáférési jogosultságát nem vonták vissza. [11] A határozat kitért arra, hogy az okmánymásolatok törlése nem volt automatizált és rendszeres, arra általában havonta került sor. A helyszíni szemle megállapításai szerint az okmányok túltárolására került sor, mert azok törlése a helyszíni szemlén megállapítottak és a felperes által lefolytatott belső vizsgálat eredménye szerint nem történt meg, továbbá előre meghatározhatatlan ideig tárolta a törölt e-mail címeket, megsértve ezzel a korlátozott tárolhatóság elvét. A közreműködő önkormányzattal kötött együttműködési megállapodás nem tekinthető egyben adatfeldolgozói szerződésnek is, mert nem tartalmazta a GDPR 28. cikk (3) bekezdés b) és f) pontjaiban foglalt garanciákat. A felperesi jogsértést az együttműködési megállapodás e tartalmi hiánya mellett azért állapította meg, mert az adatfeldolgozásra irányuló szerződés nem volt írásba foglalva. [12] Az alperes megállapította, hogy a felperes 2023. december 1. napjától új tájékoztatót vezetett be, amelyben tévesen határozta meg az adatok tervezett kezelésének jogalapját és a személyes adatok tárolásának időtartamát, a tájékoztatás nem volt teljes körű, abban nem került kifejtésre az a kötelező adatkezelés, amelyet a felperes számára jogi norma ír elő. Kifejtette, hogy az új tájékoztató szerint a dokumentumok megőrzése, ellenőrzése, esetleges auditálás, vagy jogi eljárások lefolytatása és az azok során történő bizonyítás érdekében történő adatkezelés esetében a felperes az adatokat tíz évig kezeli, azonban a vonatkozó jogszabály pontos rendelkezése nincs megjelölve. A tájékoztatás nem állt összhangban az energiahatékonyságról szóló törvény végrehajtásáról szóló 122/2015. (V. 26.) Korm. rendelet (a továbbiakban: Ehat. tv. Vhr.) 14. § (4) bekezdésével. [13] A szankció kiszabásával kapcsolatban a határozat indokolása rögzítette, hogy az ügy körülményeire és az adatkezelés természetére tekintettel az Infotv. 75/A. §-ában hivatkozott figyelmeztetés önmagában nem lenne se arányos, se visszatartó erejű. A bírság kiszabása során figyelemmel volt a felperes által bevezetett gyakorlat általános és országos jellegére, valamint a jelentős számú érintettre. Rögzítette, hogy a jogsértések többsége az adatkezelés elveire és az érintettek jogaira vonatkozó rendelkezések megsértését jelentették, melyek magasabb összegű bírságkategóriába tartozó, súlyosabb jogsértésnek minősülnek. Megállapította, hogy a jogsértések közepes súlyosságúnak minősülnek, tekintve, hogy a felperes több jogsértést követett el, illetve több alapelvi rendelkezést is megsértett. Enyhítő körülményként értékelte a felperes együttműködő magatartását, azzal összefüggésben az adatkezelési gyakorlatának módosítását. Rögzítette végül, hogy az ügyintézési határidőt túllépte ugyan, de annak kétszeresét az Infotv. 60/A. § (1) bekezdésére figyelemmel nem lépte túl.\n\n## A felperes keresete és az alperes védekezése\n\n[14] A határozattal szemben a felperes keresetet terjesztett elő, melyben elsődlegesen a határozat megváltoztatásával, illetve hatályon kívül helyezésével és az alperes új eljárásra kötelezésével a határozat 4-5. pontjai jogszerűtlenségének megállapítását és az e pontok szerinti jogkövetkezmények mellőzését, másodlagosan a határozat hatályon kívül helyezését és az alperes új eljárásra kötelezését kérte, mert álláspontja szerint a 2021. december 10. és 2023.\n\nnovember 30. közötti időszakban nem sértette meg a GDPR 5. cikk (1) bekezdés a) és c) pontjait, a 6. cikk (1) bekezdését, a 12. cikk (1) bekezdését, a 13. cikk (1) bekezdés c) pontját, a 14. cikk (1) bekezdés c), d) pontját és a (2) bekezdés a) pontját, valamint a 32. cikk (4) bekezdését, továbbá a határozat 1.3. és 2. pontjai szerinti rendelkezéseket. Harmadlagosan kérte a határozat megváltoztatásával, illetve hatályon kívül helyezésével és az alperes új eljárásra kötelezésével a határozat 4-5. pontjai szerinti jogkövetkezmények jogszerűtlenségének elévülés miatti megállapítását, e jogkövetkezmények mellőzését és annak megállapítását, hogy 2023. december 12-től a bizonyítási eljárás lezárásáig terjedő időszakban nem sértette meg a GDPR 28. cikk (3) és (9) bekezdéseit. Negyedlegesen a határozat megváltoztatását és a bírság mérséklését, vagy a határozat hatályon kívül helyezését és az alperes új eljárásra kötelezését kérte. Keresetében anyagi és eljárásjogi jogszabálysértésekre egyaránt hivatkozott. [15] Az alperes a határozatában foglaltak fenntartása mellett a kereset elutasítását kérte.\n\n## A jogerős ítélet\n\n[16] Az eljárt bíróság a jogerős ítéletével a keresetet elutasította. Megállapította, hogy az alperes vizsgálati eljárása és az annak eredménye alapján – hivatalból – indított adatvédelmi hatósági eljárás egymástól egyértelműen elkülönülő eljárások. Az alperes vizsgálata az Infotv. 52. § (2) bekezdése értelmében nem minősül közigazgatási hatósági eljárásnak, amiből kifolyólag arra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) hatálya nem terjed ki, így az Ákr. ügyintézési határidőre vonatkozó rendelkezései sem alkalmazandóak a vizsgálati eljárásban. Az alperes az adatvédelmi hatósági eljárást a rendelkezésre álló iratok, adatok alapján – ahogy azt a határozat is rögzíti több helyen – 2023. október 6-án indította meg és az Infotv. 60/A. § (1) bekezdése szerinti ügyintézési határidő túllépését nem vitatta. [17] A jogerős ítélet szerint az Ákr. az ügyintézési határidőre vonatkozó rendelkezései között az 50. § (2) bekezdés c) pontjában és a (3) bekezdésében rögzíti, hogy az ügyintézési határidő teljes eljárásban hatvan nap, amelynél hosszabb határidőt törvény, rövidebb határidőt jogszabály állapíthat meg, lehetővé teszi tehát az általánosan meghatározott ügyintézési határidőre vonatkozó rendelkezéstől való törvényi eltérést. Az Infotv. 60/A. § (1) bekezdése ilyen, hosszabb határidőt meghatározó törvényi rendelkezés, amelynek az is részét képezi, hogy az adatvédelmi hatósági eljárás százötven napos határidejébe nem számít bele a tényállás tisztázásához szükséges adatok közlésére irányuló felhívástól az annak teljesítéséig terjedő idő. Tévesen állította ezért a felperes, hogy az alperes hivatalból indított adatvédelmi hatósági eljárásban az ügyintézési határidőbe az Ákr. 103. § (3) bekezdése alapján csak az eljárás felfüggesztésének időtartama nem számíthatott volna be. Megállapította ezért, hogy a perbeli adatvédelmi hatósági eljárásban tehát az Infotv. 60/A. § (1) bekezdésében írt felhívásoktól az azok teljesítéséig terjedő időt figyelmen kívül hagyva az alperes az irányadó ügyintézési határidő kétszeresét nem lépte túl, ezért az Ákr. 103. § (4) bekezdése alkalmazásának nem volt helye. [18] A törvényszék kifejtette, hogy az alperes a megelőző eljárás során számos, az elévülési időt megszakító eljárási cselekményt foganatosított, aminek következtében a jogsértés megszűnése és a határozat meghozatala között több mint hat hónap a közigazgatási szabályszegések szankcióiról szóló 2017. évi CXXV. törvény (a továbbiakban: Szankció tv.) 5. § (1)-(2) bekezdéseire figyelemmel nem telt el.\n\n[19] A felülvizsgálattal támadott ítélet szerint a bírság kiszabása során az alperes a GDPR 83. cikk (2) bekezdésében foglalt hatáskörének gyakorlása során az arányosság elvét figyelembe véve, az ügy GDPR 83. cikk (2) bekezdése szerinti valamennyi releváns körülményét – így különösen a felperes által bevezetett gyakorlat általános és országos jellegét, valamint az érintettek jelentős számát – értékelve a figyelmeztetést okszerűen nem tartotta arányos, illetve visszatartó erejű szankciónak. A Szankció tv. 9. § (2) bekezdésére figyelemmel a jelen ügyben a figyelmeztetés azért nem volt alkalmazható, mert a bírság kiszabását nem törvény vagy törvény felhatalmazása alapján önkormányzati rendelet, hanem uniós rendelet, a GDPR teszi lehetővé. [20] A jogerős ítélet megállapította, hogy felperes adatkezelése nem volt átlátható, megfelelő tájékoztatás nem állt rendelkezésre. A személyi okmányok Adatbázison keresztül végzett adatkezeléséhez az érintettek nem tudhattak önkéntes, megfelelő tájékoztatáson alapuló, kifejezett hozzájárulást adni, az okmánymásolatok kezelésének jogalapja hiányzott, az nem volt szükséges a szerződések létrejöttéhez, ezért arra a GDPR 6. cikk (1) bekezdés b) pontja szerinti jogalap sem volt alkalmazható. Az adattakarékosság elve sérült, a szerződő felek személyazonosságának igazolása nem az okmánymásolatok gyűjtésével, hanem az eredeti okmányok bemutatásával történhetett volna meg, amire figyelemmel az okmánymásolatok bekérése szükségtelen volt, azok nem voltak alkalmasak a felperes által megjelölt cél elérésére. Az adattakarékosság elvének sérelmét jelentette az is, hogy az okmánymásolatok olyan adatokat is tartalmaztak – például személyazonosító jel, képmás –, amelyek kétségtelenül nem voltak szükségesek az adatkezeléshez. A felperes a gyakorlatán változtatva 2023. december 1től az okmánymásolatok bekérése helyett a LED-ek fizikai átadásakor történő bemutatást vezette be az okmányok ellenőrzésére, ami szintén azt mutatja, hogy létezett a cél elérésére megfelelő, azonban az érintettek személyes adatait kímélő módszer is. A GDPR 5. cikk (1) bekezdés c) pontja sérelmének megállapíthatóságát nem befolyásolja az a felperes által állított körülmény, hogy az adatokkal kapcsolatban incidens nem következett be. [21] Az eljárt bíróság megállapította, hogy a helyszíni szemle időpontjában a 2023. szeptember 1. napját megelőzően regisztrált személyekhez kapcsolódóan 374 személlyel összefüggésben kezelt az Adatbázisban továbbra is okmánymásolatot, azaz 374 darab rekordot nem törölt, és a korlátozott tárolhatóság elvének sérelmét illetően nincs relevanciája annak, hogy ez a szám a Programban részt vevők hány százalékának felel meg. A felperestől ugyanis elvárt, hogy a korlátozott tárolhatóság elvére figyelemmel a személyes adatok tárolását olyan formában tegye meg, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé. Ezen elvárásnak a felperes az okmánymásolatok rendszeres, automatizált törlésével tudott volna eleget tenni, amit azonban nem tett meg. A határozat (254) bekezdésében hivatkozott, törlést kérő 84 érintett nevének és e-mail címének további kezelése, e személyes adatokat tartalmazó külön nyilvántartás vezetése szükségtelen volt, és szintén ellentétes azzal a követelménnyel, hogy a személyes adatok tárolása az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig tegye lehetővé. [22] Az ítélet szerint az alperes a határozatában kimerítő részletességgel bemutatta azokat a körülményeket (adatbiztonsági hiányosságok, különösen a hozzáférési jogosultságok nem megfelelő kezelése), amelyek a GDPR 32. cikk (4) bekezdésének sérelmét eredményezték, jogszerűen állapította meg, hogy a felperes által bevezetett adminisztratív intézkedések ugyan megfelelőek voltak, az alkalmazott technikai intézkedések teljes körű megvalósítása azonban nem volt igazolt. A GDPR 32. cikk (4) bekezdése sérelmének megállapíthatóságát illetően nincs relevanciája annak, hogy adatvédelmi incidens bekövetkezésére a bizonyítási eljárás lezárásáig nem derült fény, ugyanis a személyes adatok sérelmének közvetlen kockázata ennek ellenére fennállt. Megfelelően igazolta továbbá a GDPR 14. cikkének alkalmazandóságát és sérelmét, okszerűen állapította meg, hogy a felperes az új tájékoztatóban tévesen határozta meg az adatok tervezett kezelésének jogalapját és a személyes adatok tárolásának időtartamát. [23] Rögzítette, hogy az adatvédelmi bírság kiszabása mérlegelési jogkörben hozott döntés, így a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) 85. § (5) bekezdésére figyelemmel vizsgálta, hogy az alperes a hatáskörét a mérlegelésre való felhatalmazásának keretei között gyakorolta-e, a mérlegelés szempontjai és azok okszerűsége a határozatából megállapíthatóak-e. A Kúria Kfv.I.35.471/2020/5. és Kfv.III.37.147/2021/13. számú ítéleteire hivatkozással megállapította, hogy az alperes a jogsértések súlyával arányban álló mértékű, arányos és visszatartó erejű adatvédelmi bírságot szabott ki. Tekintve továbbá, hogy az alperesi határozat a rendelkező részének 2. pontja körében nem jogszerűtlen, és ennek következtében a felperes adatkezelése 2023. december 1-től nem tekinthető jogszerűnek, az alperes a bírság kiinduló összegének alapjául okszerűen vette figyelembe a GDPR 83. cikk (5) bekezdésére figyelemmel a felperes által 2023. évben elért nettó árbevételt, a mérlegelése ebből az okból kifolyólag nem volt jogszerűtlen.\n\n## A felülvizsgálati kérelem\n\n[24] A jogerős ítélettel szemben a felperes terjesztett elő felülvizsgálati kérelmet, arra hivatkozva, hogy az sérti az Ákr. 103. § (3) és (4) bekezdését, az Infotv. 60/A. § (1) bekezdését, a GDPR 6. cikk (1) bekezdés. f) pontját, a 13. cikk (1) bekezdés c) pontját, a (2) bekezdés a) pontját, a 14. cikk (1) bekezdés c) pontját és a (2) bekezdés a) pontját és az Ehattv. vhr. 14. § (4) bekezdését. [25] A felperes a felülvizsgálati kérelmének befogadását a Kp. 118. § (1) bekezdés a) pont ab) alpontja alapján kérte, mivel „a megjelölt jogsértésekben felmerült jogkérdések” súlya és társadalmi jelentősége indokolja azt. Kifejtette, hogy abban az esetben, ha az elsőfokú bíróság a felperes álláspontjával egyezően alkalmazta volna a hivatalbóli eljárásokra nézve vett jogszabályi határidők számítását, az a felperesre nézve kedvezőbb eljárási helyzetet állított volna elő, hiszen alperes felperessel szemben a jogsértés megállapításán és a jogsértés helyreállításán túl egyéb szankciót nem alkalmazhatott volna, továbbá amennyiben a felperes álláspontjával egyezően alkalmazta volna a 2023. december 1-jét követően a felperes által kiadott adatkezelési tájékoztatóval összefüggő jogszabályi rendelkezéseket, úgy a felperesi jogsértés bírság szankciójának számításához a felperes 2023. évi árbevételét figyelmen kívül kellett volna hagynia, ami felperesre nézve alacsonyabb összegű bíráság alkalmazását eredményezte volna.\n\n## A Kúria döntése és jogi indokai\n\n[26] A Kúria megvizsgálta a felülvizsgálati kérelmet, és megállapította, hogy jelen ügyben a befogadás feltételei nem állnak fenn. [27] A Kp. 117. § (4) bekezdése szerint a felülvizsgálati kérelemben meg kell jelölni a kérelem befogadhatóságának okát, azonban annak fennállását bizonyítani és azt – a 118. § (1) bekezdés a) pont ad) alpontja szerinti ok kivételével – részletesen indokolni nem kell.\n\n[28] A Kp. 118. § (1) bekezdése szerint a Kúria a felülvizsgálati kérelmet akkor fogadja be, ha a) az ügy érdemére kiható jogszabálysértés vizsgálata aa) a joggyakorlat egységének vagy továbbfejlesztésének biztosítása, ab) a felvetett jogkérdés különleges súlya, illetve társadalmi jelentősége, ac) az Európai Unió Bírósága előzetes döntéshozatali eljárásának szükségessége ad) a kérelmező alapvető eljárási jogának valószínűsíthető sérelme, vagy az ügy érdemére kiható egyéb eljárási szabályszegés, illetve b) a Kúria közzétett határozatától jogkérdésben való eltérés miatt indokolt. [15] Hangsúlyozza a Kúria, hogy a felülvizsgálati kérelemben meg kell jelölni a kérelem befogadhatóságának okát, de azt indokolni, illetve a fennállását bizonyítékokkal alátámasztani nem kell, a bíróság pedig a fél által megjelölt befogadhatósági okhoz nincs kötve. Ez azonban nem jelenti azt, hogy a felülvizsgálatot kérő félnek elegendő lenne mindössze a befogadhatóság törvényi jogcímére utalnia. Annyit mindenképpen ki kell fejtenie, hogy az adott ok(ok)ból miért tartja szükségesnek a felvetett jogkérdés Kúria általi eldöntését. Így kerülhet ugyanis abba a helyzetbe a Kúria, hogy a fél szempontjait a felülvizsgálati kérelem befogadhatóságáról hozandó döntése körében értékelhesse. Ellenkező esetben a fél szempontjainak figyelembevétele lehetetlen lenne, ami nyilvánvalóan nem volna összhangban a felülvizsgálati eljárás céljával, mert módot adna a jogerős határozat önkényes felülbírálatára (Kfv.VII.38.157/2021/2.). [29] A befogadásról döntő bíróság azt vizsgálja meg, hogy az ügyben olyan kérdés merül-e fel, amely a Kp. 118. § (1) bekezdésének rendelkezései alá tartozik. A befogadhatóság tárgyában hozandó döntése körében azonban kizárólag a Kp. 118. § (1) bekezdésében felsorolt befogadási ok(ok) fennállását vizsgálhatja, a felülvizsgálati kérelemben megjelölt, annak alapját képező jogszabálysértésekről nem foglalhat állást, mert arra csupán a már befogadott felülvizsgálati kérelmet érdemben elbíráló határozatában van törvényes lehetőség (Kfv.IV.37.483/2023/2.). A jogerős ítélet fél által állított jogellenességét a Kúria a befogadás során nem vizsgálhatja, mert ezzel megfordítaná a döntései sorrendjét, és a befogadást követő érdemi vizsgálatot előlegezné meg már a befogadási szakaszban (Kfv.VII.37.557/2024/2.). [30] A felperes által megjelölt, a felvetett jogkérdés különleges súlya akkor állapítható meg, ha a vizsgált jogkérdés túlmutat a konkrét ügyön, nagy számú új típusú ügy esetén a jogegység, vagy a jogbiztonság érdekében szükséges a Kúria iránymutatása. Az ügyek társadalmi jelentősége jellemzően akkor mutatható ki, ha olyan jogkérdés merült fel, amely a társadalom széles körét közvetlenül, vagy közvetve érinti. (Kfv.IV.37.960/2020/2.) Mindez azt jelenti, hogy az adott ügy – illetve a bíróság által abban elfoglalt jogi álláspont – ne csak az adott ügyben érintettekre legyen kihatással közvetve, hanem az adott ügyben nem szereplő jogalanyok helyzetét illetően is irányt mutasson. (Kfv.III.37.778/2020/2.A felperes a befogadási kérelmében csak általában utalt a felülvizsgálati kérelmében megjelölt jogszabálysértések különleges súlyára és társadalmi jelentőségére, ebben a tekintetben indokot egyáltalán nem adott elő. A hivatkozásai szerint azonban az eljárási határidő számításával és az általa „kiadott adatkezelési tájékoztatóval összefüggő jogszabályi rendelkezések”-kel, kapcsolatos jogkérdés vizsgálatát az indokolná, hogy a felperesi álláspont elfogadása a felperes számára kedvezőbb jogkövetkezményeket eredményezett volna. A felperes jogi helyzetének változása azonban önmagában nem tekinthető olyannak, ami a társadalom széles körét közvetlenül, vagy közvetve érintené, vagy az adott ügyben nem szereplő jogalanyok helyzetét illetően is irányt mutatna. A rendkívüli perorvoslati eljárás lefolytatásának szükségességét önmagában nem alapozza meg, hogy a fél az alperes vagy az elsőfokú bíróság eljárását jogszabálysértőnek tartja, vagy a jogerős ítéletben foglaltakkal nem ért egyet. (Kfv.VII.37.357/2022/2.) [31] A Kúria hangsúlyozza, hogy a közzétett gyakorlata szerint arra senki sem jogosult, hogy egy jogerős (végleges és kötelező) ítélet felülvizsgálatát kérje pusztán abból a célból, hogy újabb tárgyalást tartsanak, és újra eldöntsék az ügyet. A magasabb szintű bíróságoknak a felülvizsgálat lehetőségét arra kell használniuk, hogy kijavítsák a bírói tévedéseket és a súlyos eljárási szabálysértéseket (miscarriages of justice), és nem arra, hogy újra megvizsgálják az ügyet. A felülvizsgálat nem lehet álcázott fellebbezés, és pusztán az, hogy egy kérdésnek kétféle megközelítése lehetséges, nem képezheti alapját az ügy újratárgyalásának. (Kfv.VII.37.087/2024/2.) [32] A Kúria megvizsgálva a felülvizsgálati kérelmet a fentiek alapján arra a következtetésre jutott, hogy a jelen ügyben a befogadás feltételei nem állnak fenn, ezért a felülvizsgálati kérelem befogadását a Kp. 118. § (2) bekezdésére alapítottan megtagadta.\n\n## A döntés elvi tartalma\n\n[33] Az a körülmény, hogy a felülvizsgálati kérelmet előterjesztő fél álláspontjának elfogadása az adott félre kedvezőbb határozat hozatalát eredményezné, nem alapozza meg a felvetett jogkérdésnek sem a különleges súlyát, sem a társadalmi jelentőségét.\n\n## Záró rész\n\n[34] A Kúria a felülvizsgálati kérelem befogadhatóságáról a Kp. 118. § (2) bekezdése alapján tárgyaláson kívül határozott. [35] Az eljárás az illetékekről szóló 1990. évi XCIII. törvény 57. § (1) bekezdés a) pontja alapján illetékmentes volt, ezért a Kúriának az illeték megfizetésről rendelkeznie nem kellett. [36] A végzés ellen a Kp. 116. § d) pontja alapján felülvizsgálatnak nincs helye Budapest, 2025. december 16. Dr. Balogh Zsolt s.k. a tanács elnöke Dr. Kiss Árpád Lajos s.k. Dr. Bögös Fruzsina s.k. előadó bíró bíró\n\nDr. Dobó Viola s.k. Dr. Sugár Tamás s.k. bíró bíró A kiadmány hiteléül: tisztviselő","changes":[]}