{"check":null,"uid":"6fb4eb68e589ddd8","title":"Magyar Honvédség Egészségügyi Központ incidenskezelési gyakorlata","title_generated":false,"country":"Венгрия","organ":"Орган по защите данных Венгрии (NAIH)","kind":"case","kind_name":"Судебная практика","lang":"hu","date":"","summary":"Регулятор установил, что Медицинский центр Венгерской армии не сообщил об утечке заявления на госпитализацию депутата без неоправданной задержки и в течение 72 часов с момента обнаружения, а также не вёл учёт нарушений GDPR. Центр как крупный обработчик медицинских и оборонных данных не имел внутреннего регламента реагирования на инциденты при их возникновении, нарушив ст. 32(1), 24(1)–(2) GDPR и местные нормы о безопасности. За это NAIH назначил штраф 2 500 000 форинтов с публикацией решения; обжалование — в административный суд.","snippet":"","topics":["Персональные данные"],"status":"ok","error":"","text_len":64918,"versions":2,"url":"https://naih.hu/hatarozatok-vegzesek?download=190:magyar-honvedseg-egeszsegugyi-kozpont-incidenskezelesi-gyakorlata&start=200","first_seen":"2026-09-07","last_checked":"2026-09-17 02:25","relevance":"hit","score":249,"query":"","source_key":"naih_hu","verdict":{"relevance":"hit","score":249,"topics":["Персональные данные"],"need_body":4,"authorities":[{"kind":"орган","name":"Nemzeti Adatvédelmi és Információszabadság Hatóság","topic":"Персональные данные"},{"kind":"орган","name":"NAIH","topic":"Персональные данные"},{"kind":"акт","name":"GDPR","topic":"Персональные данные"},{"kind":"акт","name":"2016/679","topic":"Персональные данные"}],"evidence":[{"topic":"Персональные данные","term":"gdpr","weak":false,"pos":285,"ctx":"данной задержки и в течение 72 часов с момента обнаружения, а также не вёл учёт нарушений gdpr. центр как крупный обработчик медицинских и оборонных данных не имел внутреннего регламен","zone":"название","weight":3},{"topic":"Персональные данные","term":"gdpr","weak":false,"pos":459,"ctx":"о регламента реагирования на инциденты при их возникновении, нарушив ст. 32(1), 24(1)–(2) gdpr и местные нормы о безопасности. за это naih назначил штраф 2 500 000 форинтов с публикаци","zone":"название","weight":3},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":59,"ctx":"ügyszám: naih/2019/2485/20 tárgy: döntés hivatalból induló adatvédelmi hatósági eljárásban  ## h a t á r o z a t  ## a nemzeti adatvédelmi és információszabadsá","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":127,"ctx":"tés hivatalból induló adatvédelmi hatósági eljárásban  ## h a t á r o z a t  ## a nemzeti adatvédelmi és információszabadság hatóság (a továbbiakban: hatóság) a magyar  ## honvédség egészségü","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":326,"ctx":"ontot (székhely: 1134 budapest, róbert károly körút 44.) (a  továbbiakban: ügyfél) érintő adatvédelmi incidenssel kapcsolatban a természetes személyeknek a személyes adatok kezelése tekinteté","zone":"текст","weight":1},{"topic":"Персональные данные","term":"személyes adat","weak":false,"pos":392,"ctx":"biakban: ügyfél) érintő adatvédelmi incidenssel kapcsolatban a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":602,"ctx":"nyelv hatályon kívül helyezéséről szóló (eu) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 32-34. cikkében foglalt kötelezettségei teljesítésének elmaradása tárgyában hiv","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":723,"ctx":"kkében foglalt kötelezettségei teljesítésének elmaradása tárgyában hivatalból megindított adatvédelmi hatósági eljárásban 1.  ## megállapítja, hogy a. az ügyfél a panaszos kórházi igénylőlapj","zone":"текст","weight":1},{"topic":"Персональные данные","term":"Nemzeti Adatvédelmi és Információszabadság Hatóság","weak":false,"pos":722,"ctx":"rgy: döntés hivatalból induló adatvédelmi hatósági eljárásban  ## H A T Á R O Z A T  ## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a Magyar  ## Honvédség Egészségügyi Központot (székhely: 1134 B","zone":"орган","weight":3},{"topic":"Персональные данные","term":"NAIH","weak":false,"pos":503,"ctx":"х возникновении, нарушив ст. 32(1), 24(1)–(2) GDPR и местные нормы о безопасности. За это NAIH назначил штраф 2 500 000 форинтов с публикацией решения; обжалование — в административный","zone":"орган","weight":0},{"topic":"Персональные данные","term":"GDPR","weak":false,"pos":285,"ctx":"данной задержки и в течение 72 часов с момента обнаружения, а также не вёл учёт нарушений GDPR. Центр как крупный обработчик медицинских и оборонных данных не имел внутреннего регламен","zone":"акт","weight":0},{"topic":"Персональные данные","term":"2016/679","weak":false,"pos":1160,"ctx":"k szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 32-34. cikkében foglalt kötelez","zone":"акт","weight":0}],"dropped":[{"topic":"Цифровое здравоохранение","term":"egészségügyi adat","weak":false,"pos":1266,"ctx":"tásba vételi kötelezettségének.  ## b. az ügyfél azzal, hogy fő tevékenységként nagyszámú egészségügyi adat  kezelőjeként, továbbá honvédelmi célú adatkezelést is végző, adatvédelmi tisztviselő kij","why":"одиночное упоминание (нужно 4)"},{"topic":"Цифровое здравоохранение","term":"egészségügyi adat","weak":false,"pos":25188,"ctx":"int a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó szem","why":"одиночное упоминание (нужно 4)"},{"topic":"Цифровое здравоохранение","term":"egészségügyi adat","weak":false,"pos":60450,"ctx":"s adatait érintette, amelyek között (jelen ügyben legalábbis) nem szerepeltek különleges, egészségügyi adatok. a hatóság emellett azt is figyelembe vette, hogy az ügyfél, bár nem indokolatlan késedel","why":"одиночное упоминание (нужно 4)"},{"topic":"Цифровая идентификация и госуслуги","term":"elektronikus ügyintézés","weak":false,"pos":63307,"ctx":"incs. a kp. 29. § (1) bekezdése és erre tekintettel a pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi ccxxii. törvény (a tov","why":"одиночное упоминание (нужно 4)"}]},"last_changed":"2026-09-17","meta":{"fileId":"190","slug":"magyar-honvedseg-egeszsegugyi-kozpont-incidenskezelesi-gyakorlata"},"source_url":"https://naih.hu/hatarozatok-vegzesek?download=190:magyar-honvedseg-egeszsegugyi-kozpont-incidenskezelesi-gyakorlata&start=200","text":"Ügyszám: NAIH/2019/2485/20 Tárgy: döntés hivatalból induló adatvédelmi hatósági eljárásban\n\n## H A T Á R O Z A T\n\n## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a Magyar\n\n## Honvédség Egészségügyi Központot (székhely: 1134 Budapest, Róbert Károly körút 44.) (a\n\ntovábbiakban: Ügyfél) érintő adatvédelmi incidenssel kapcsolatban a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 32-34. cikkében foglalt kötelezettségei teljesítésének elmaradása tárgyában hivatalból megindított adatvédelmi hatósági eljárásban 1.\n\n## megállapítja, hogy a. az Ügyfél a panaszos kórházi igénylőlapjának nyilvánosságra kerülésével\n\nbekövetkezett adatvédelmi incidenssel összefüggésben nem tett eleget az általános adatvédelmi rendelet 33. cikk (1) bekezdése szerinti, indokolatlan késedelem nélküli, a tudomásszerzéstől számított 72 órán belüli incidensbejelentési kötelezettségének, továbbá nem tett eleget ezen cikk (5) bekezdése szerinti nyilvántartásba vételi kötelezettségének.\n\n## b. az Ügyfél azzal, hogy fő tevékenységként nagyszámú egészségügyi adat\n\nkezelőjeként, továbbá honvédelmi célú adatkezelést is végző, adatvédelmi tisztviselő kijelölésére is kötelezett szervként nem rendelkezett az adatvédelmi incidens bekövetkezésekor belső incidenskezelési szabályzattal, megsértette az általános adatvédelmi rendelet 32. cikk (1) bekezdése, továbbá 24. cikk (1) és (2) bekezdéseiben, valamint az Infotv. 25/A. § (1) és (3) bekezdéseiben foglaltakat, így nem alkalmazott az adatkezelés biztonsága körében megfelelő szervezési intézkedéseket. 2.\n\n## a fenti jogsértés miatt az Ügyfelet a jelen határozat véglegessé válásától számított 30 napon belül\n\n## 2.500.000,- Ft, azaz kétmillió-ötszázezer forint\n\nadatvédelmi bírság megfizetésére kötelezi; 3.\n\n## elrendeli a végleges határozatnak az adatkezelő azonosító adatainak közzétételével történő\n\nnyilvánosságra hozatalát. A bírságot a Hatóság központosított bevételek beszedési célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell átutalással megfizetni. Az összeg átutalásakor a NAIH/2019/2485 BÍRS. számra kell hivatkozni.\n\nAmennyiben a kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A késedelmi pótlékot a Hatóság központosított bevételek beszedési célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla) javára kell megfizetni. A 2. pont szerinti bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat, a bírság és a késedelmi pótlék végrehajtását. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.\n\n## INDOKOLÁS\n\nI.\n\n## Előzmények, a tényállás tisztázása a. A panaszos által előadottak\n\nA Hatósághoz Demeter Márta országgyűlési képviselőtől panaszbeadvány érkezett, amelyben a beadványozó leírta, hogy az origo.hu internetes portálon 2019. február 12-én, majd 13-án megjelent két cikk1, amelyekben nyilvánosságra hozták, hogy a képviselő korábban ún. VIP belépőt igényelt a Magyar Honvédség Egészségügyi Központba. A portál nyilvánosságra hozta a képviselő által beadott igénylőlap szkennelt változatát is, amelyen azonban a nevén kívül a további személyes adatok kitakarásra kerültek. A panaszbeadvány szerint az igénylőlapot a képviselő korábban sehol sem hozta nyilvánosságra, azt kizárólag az Ügyfélnek küldte meg elektronikusan, szkennelt formában. A képviselő nyilatkozata és általa csatolt e-mailek szerint az igénylőlapot 2017. július 24-én […] küldte meg […] e-mail címéről a […] címre. Később a képviselő 2017. augusztus 10-én […] visszaigazolást kapott az mh.ek.ijr@hm.gov.hu e-mail címről, amelyben további tájékoztatást kapott az igénylésével kapcsolatban.\n\n## b. A Hatóság által a hatósági ellenőrzés során a Honvédelmi Minisztériumnak küldött tényállás-tisztázó végzésre adott válaszok\n\nA panaszbeadvány kapcsán a Hatóság NAIH/2019/2485/2. számon további adatok szolgáltatására hívta fel a panaszost. A panaszos válaszának beérkezése után NAIH/2019/2485/4. számú végzésével 2019. március 25-én a Hatóság a vizsgálati eljárást megszüntette, és hivatalból hatósági ellenőrzést indított az ügyben, egyben nyilatkozattételre és iratszolgáltatásra hívta fel a Honvédelmi Minisztériumot (a továbbiakban: HM). A HM a felhívásra határidőben válaszolt és megerősítette a panaszos által előadottakat, nevezetesen, hogy a panaszos kérelmét az Ügyfél közvetlenül kapta meg elektronikus levél formájában. E levél csatolmánya volt az Ügyfél Speciális\n\n1 https://www.origo.hu/itthon/20190212-demeter-marta-lebukott-vip-kartyat-igenyelt-a-honvedkorhazban.html, https://www.origo.hu/itthon/20190213-demetert-ismet-hazugsagon-kaptuk.html (NAIH/2019/2485/19)\n\nRendeltetésű Centrumában történő ellátási kérelem, amelyet a panaszos 2017. július 24-én töltött ki. Az HM mint az Ügyfél fenntartója a sajtóhírek alapján a panasszal érintett incidenssel kapcsolatban már 2019. február 14-én eseti adatvédelmi ellenőrzést rendelt el az Ügyfélnél a személyes adatok védelméről és a közérdekű adatok nyilvánosságával összefüggő feladatok irányításáról és felügyeletéről, valamint az ezekhez kapcsolódó egyes tevékenységek eljárási rendjéről szóló 2/2019 (I. 24.) HM utasítás (a továbbiakban: HM utasítás) 6. § (4) bekezdése alapján. A HM által a hatóság rendelkezésére bocsátott információk is ezen ellenőrzésen alapultak. A HM az esetet már ekkor (az Ügyfélnél felmerült) adatvédelmi incidensként értékelte, feltéve, hogy az igénylőlap az Ügyfél kezeléséből került ki, amelynek következtében eljutott a sajtóorgánumhoz. A HM a panaszos igénylőlapjának kezelésével kapcsolatban megállapította az ellenőrzés során, hogy a dokumentumot e-mailben közvetlenül az MH EK Igényjogosulti Referatúra munkatársa kapta meg. Itt az ellenőrzés időpontjában két munkatárs dolgozott, akik a dokumentumot megismerhették, ők kezelik az mh.ek.ijr@hm.gov.hu e-mail címet. Ezen kívül az ellenőrzés során megállapításra került, hogy 2019. február 11-én az MH EK parancsnoka – több egyéb dokumentummal együtt – felkérte az MH EK Igényjogosulti Referatúrától az ügy tárgyát képező dokumentum kinyomtatott példányát. A dokumentum fizikailag az MH EK Kórlaptárjában volt, innen került fel a parancsnokhoz. A kórlaptár az Ügyfél telephelyén található zárt helyiség, melynek kulcsa zárt kulcsdobozban a 24 órás őrség szolgálati helyiségében lelhető fel és ahhoz csak meghatározott személyek dokumentáltan férhetnek hozzá. Összességében tehát megállapítható, hogy a panaszos igénylőlapjához az MH EK Igényjogosulti Referatúra és az MH EK parancsnoka férhetett hozzá. Az ellenőrzés során a HM azt, hogy ezek után a dokumentum hogyan került ki az Ügyfél kezeléséből és került a sajtóorgánumhoz nem tudta megállapítani. A HM nyilatkozata szerint a jelen esetben az adatkezelő egyedül az Ügyfél, mivel az önálló jogi személyként, önálló adatkezelőként működő honvédségi szervezet, amely nem része a HM-nek. Mivel a Hatóság által a NAIH/2019/2485/4. számú végzésben feltett egyes kérdések megválaszolása az Ügyfél kompetenciájába tartozott annak önálló adatkezelői minősége miatt, ezért a HM azt megküldte az Ügyfélnek is válaszadás céljából. A végzésre az Ügyfél határidőben válaszolt (iktatószám: NAIH/2019/2485/6) és közölte, hogy 2019. február 13-án szerzett legkorábban tudomást arról, hogy a panaszos igénylőlapját az origo.hu nyilvánosságra hozta. A tudomásszerzés forrása egyrészt az Ügyfél által működtetett sajtószemle, másrészt egy ahhoz kapcsolódó közérdekű adatigénylés volt. Az Ügyfél közölte, hogy nincs tudomása a személyi állomány adatvédelmi incidenst megvalósító cselekményéről. Utólag az Ügyfél megállapította, hogy az igénylőlap nyilvánosságra kerülésével kapcsolatban megvalósult adatvédelmi incidens, azonban annak az érintett magánszférájára jelentett kockázata álláspontja szerint alacsony. A HM által elrendelt adatvédelmi ellenőrzés megállapításai tükrében tervezi az Ügyfél az igényjogosultak nyilvántartásával összefüggő feladatok, adatkezelések felülvizsgálatát. Az Ügyfél közölte továbbá a Hatóság ilyen irányú kérdésére, hogy az incidens az általános adatvédelmi rendelet 33. cikk (5) bekezdése szerinti nyilvántartásba vételére nem került sor. Az Ügyfél a fentieken túl megerősítette a HM által közölteket, mely szerint a panaszos igénylőlapját – több más irattal együtt – 2019. február elején hozták fel az irattárból, mivel az MH EK parancsnoka feladatul szabta annak részére történő bemutatását. További információval nem rendelkezik az Ügyfél azzal kapcsolatban, hogy az origo.hu hogyan jutott ezek után a dokumentum birtokába. Az Ügyfél az igénylőlapok adminisztrációjával kapcsolatban a következőkről tájékoztatta a Hatóságot: Az MH EK Speciális Rendeltetésű Centrumba való méltányossági kérelem benyújtására szolgáló formanyomtatvány először a kérelmező által kitöltésre, majd beadásra kerül az Igényjogosulti Referatúrához. A Referatúra munkatársai a kérelmet az Orvosigazgatón keresztül az MH EK parancsnoka részére továbbítják. Az engedély a parancsnoki engedélyezést követően nyilvántartásba kerül, egyúttal kiállításra kerül az érintett részére az igazolókártya, amit az MH EK parancsnoka aláírásával és pecséttel lát el. Elutasítás esetén a kérelmező tájékoztatást kap az elutasítás tényéről, melyet az Orvosigazgató ír alá. A kérelmezők személyes adatait kizárólag az ügymenetben érintett személyek ismerhetik meg.2 Az Ügyfél az igénylőlapokon található személyes adatok biztonságával kapcsolatban alkalmazott intézkedésekről is tájékoztatta a Hatóságot: Az Igényjogosulti Referatúra irodája, továbbá az összes olyan helyiség, ahol az igénylőlapokat érintő ügymenettel összefüggő irat- és adatkezelés folyik, az ott dolgozó munkatársak felügyelete alatt áll munkaidőben. Munkaidőn túl, illetve a munkaidő azon szakaszában, amikor ügyintéző nem tartózkodik a helyiségben, az iroda kulccsal bezárásra kerül. A kulcsok felvétele kulcsdoboz nyilvántartással ellenőrizhető. Az iratokat és elektronikus adathordozókat a munkaidő végeztével el kell zárni a zárható irodabútorokba (amennyiben elegendő zárható bútor áll rendelkezésre). Az Igényjogosulti Referatúra irodahelyiségében egyszerre csak egy ügyfél tartózkodhat. A monitorok úgy kerültek elhelyezésére, hogy arra illetéktelen személy ne lásson rá. A munkaállomásokra a belépés egyéni felhasználónévvel és ahhoz tartozó jelszóval történik, a számítógépeken központilag képernyőzár került beállításra. Munkahelyi elektronikus levelezésre kizárólag a honvédségi levelezőrendszert használhatják a munkatársak.\n\nc. A Hatóság által a hatósági ellenőrzés során az Ügyfélnek küldött első tényállástisztázó végzésre adott válaszok\n\nKésőbb a Hatóság NAIH/2019/2485/7. ügyiratszámon küldött kiegészítő végzésében további adatszolgáltatásra szólította fel az Ügyfelet, amelyre az szintén határidőben válaszolt. Ezek alapján megállapítható, hogy az incidens kapcsán a HM által elrendelt eseti adatvédelmi ellenőrzést lezáró jelentés (ügyiratszám: 2209-5/2019. nyt.) 2019. április 24-én került kézbesítésre az Ügyfél részére. A jelentés is megállapítja, hogy a panaszos igénylőlapjára vonatkozó információknak az Ügyfél birtokából való kikerülésével összefüggésben a HM adatbiztonsági hiányosságokat állapított meg az Ügyfélnél és ezért intézkedések megtételére hívta fel. A javasolt intézkedések bevezetését az Ügyfél haladéktalanul elrendelte. A Hatóság ezirányú kérdésére az Ügyfél közölte, hogy az incidens kockázati besorolása („alacsony”) során azt vette figyelembe, hogy az kizárólag egy személyt érint, továbbá az origo.hu részlegesen anonimizált formában hozta nyilvánosságra az igénylőlapot, mivel azon csak az érintett neve volt olvasható. Az incidens kapcsán ezért csak a panaszos neve és azon tény került\n\n2 Az ügymenetet az alábbi jogszabályok rendezik: a Magyar Honvédség Egészségügyi Központ, Honvédkórház, Speciális Rendeltetésű Centrum igénybevételének rendjéről és a Magyar Honvédség Egészségügyi Központ szolgáltatásait méltányossági alapon igénylőkkel kapcsolatos eljárási rendről szóló 36/2014. (HK 6.) HM KÁT-HVKF együttes intézkedés, továbbá a Magyar Honvédség Egészségügyi Központ, Honvédkórház, Speciális Rendeltetésű Centrum működéséről és igénybevételének rendjéről szóló 195/2014. MH EK PK intézkedés.\n\nnyilvánosságra, hogy kérelmet nyújtott be az MH EK Honvédkórház, Speciális Rendeltetésű Centrum ellátásának igénylése érdekében. Ezen adatok közül egyik sem minősül az általános adatvédelmi rendelet 9. cikk (1) bekezdése alapján különleges adatnak. Az érintett nevén kívül más azonosító adat nem került nyilvánosságra, így a személyazonossággal való visszaélés lehetősége kizárható. Ezen felül a panaszos más, az igénylőlapon megtalálható, de a sajtóorgánum által anonimizált adatai közül a legtöbb nyilvánosan megtalálható az interneten.3 Az Ügyfél a fentieken túl azonban maga is úgy nyilatkozott, hogy a nyilvánosságra került adatok véleménye szerint nem tartoznak a közérdekből nyilvános adat kategóriájába, mivel annak megítélése, hogy a panaszos közfeladatának (országgyűlési képviselő) ellátásával kapcsolatban keletkeztek-e nem egyértelmű. Az Ügyfél az eset az általános adatvédelmi rendelet 33. cikk (5) bekezdése szerinti incidensnyilvántartásban való rögzítésének elmaradásával kapcsolatban arra hivatkozott, hogy a Hatóság hatósági ellenőrzésének megindulása előtt nem vizsgálta, hogy az igénylőlap kikerülésével kapcsolatban bekövetkezett-e adatvédelmi incidens. Az incidens nyilvántartásba vétele azonban később, 2019. április 24-én megtörtént, a HM által lefolytatott ellenőrzés megállapításainak tükrében. Az Ügyfél továbbította a Hatóságnak a HM által kiadott 2209-5/2019. nyt. számú jelentést az eseti adatvédelmi ellenőrzés eredményeiről. Ezek szerint a HM az ellenőrzés során megállapította, hogy az Igényjogosulti Referatúrára beérkezett kérelmeket 2014 óta papír alapon tárolják egészségügyi dokumentációként, nincsenek ügyviteli nyilvántartásba véve. Ezzel párhuzamosan számítógépen is vezetnek egy nyilvántartást a kérelmekről. Az igénylésre szolgáló kéreleműrlapok adatkezelési tájékoztatót nem tartalmaznak. Az Ügyfél előadta, hogy az ügyintézőinek elmondása szerint a panaszos tárgyi kérelme e-mailben érkezett meg az Igényjogosulti Referatúrára 2017. júliusban. A kérelmet az MH EK parancsnoka elutasította. 2019. januárjában a Referatúra új irodába költözött, ezért több irat (2014-2015 évi teljes dokumentáció és a 2014-2017 évi elutasított kérelmek) – többek között a panaszos tárgyi kérelme – is lekerült a Kórlaptárba. Az MH EK parancsnoka – elmondása szerint – 2019. február elején több más dokumentummal együtt felkérette a Kórlaptárból a panaszos kérelmét is. A dokumentumokat az ügyintéző hozta fel a Kórlaptárból, az ezekbe való betekintésre pedig a parancsnok jogosult. Az igényjogosulti kérelmek (közük a panaszos kérelme) elvétele a Kórlaptárból nem került külön dokumentálásra. A Kórlaptárban az iratok egy üveges ajtajú, nem zárt szekrényben voltak tárolva. A kórlaptár kulcsa az Őrségnél elhelyezett kulcsdobozban kerül tárolásra, azt onnan dokumentáltan vették ki. Egyébként az ellenőrzés során a HM-nek nem sikerült azt megállapítania, hogy a panaszos kérelme hogyan kerülhetett ki az Ügyfél kezeléséből, illetve végül hogyan és kitől került a sajtóorgánumhoz. A HM a fenti megállapításokkal kapcsolatban előírta az Ügyfél számára, hogy a kérelem beadására szolgáló űrlapokat adatkezelési tájékoztatóval szükséges ellátni. Továbbá a Kórlaptárba leadott dokumentumok mozgását tartalmazó nyilvántartást szükséges bevezetni és zárhatóvá kell tenni az azok tárolására használt szekrényt. Ezen felül az igényjogosulti kérelmeket is az ügyviteli nyilvántartásban kell vezetni a személyes adatok kezelésére vonatkozó általános szabályok szerint, mivel azok önmagukban nem minősülnek egészségügyi dokumentációnak. Ezen intézkedések megtételét a HM haladéktalanul rendelte el, kivéve az adatkezelési tájékoztató elkészítését, amelyre 2019. május 31-i határidőt jelölt meg.\n\n3 Lásd pl. a panaszos személyéről szóló Wikipédia szócikket: https://hu.wikipedia.org/wiki/Demeter_M%C3%A1rta d. A Hatóság által az Ügyfélnek küldött második tényállás-tisztázó végzésre adott válaszok\n\nKésőbb a Hatóság NAIH/2019/2485/9. ügyiratszámon küldött kiegészítő végzésében további adatszolgáltatásra szólította fel az Ügyfelet, amelyre az szintén határidőben válaszolt. 2019. május 22-én kelt válaszában az Ügyfél arról tájékoztatta a Hatóságot, hogy a HM által előírt intézkedések végrehajtása időközben megtörtént. Az Igényjogosulti Referatúrán rendszeresített kérelem űrlapokhoz elkészült a kért adatvédelmi tájékoztató. Az iratok biztonságos tárolása érdekében a Kórlaptárban elhelyezett iratanyag egy része ismét az Igényjogosulti Referatúrán, zárható szekrényben került elhelyezésre, ezen felül a Kórlaptárban maradt dokumentumok biztonságos elhelyezése érdekében egy szekrényt zárhatóvá tettek. Az iratok intézményen belüli mozgásának nyomon követésére mindkét helyiségben ezen felül nyilvántartás került felfektetésre. Az igényjogosulti kérelmekkel kapcsolatban továbbá nyilvántartási számmal ellátott papír alapú iktatólapok kerültek bevezetésre. A Hatóság ezirányú kérdésére az Ügyfél közölte, hogy csak tervezet formájában rendelkezik incidenskezelési szabályzattal, amely tervezetet megküldte a Hatóság részére. Az incidenskezelési rendhez kapcsolódóan az Ügyfél adatvédelmi tisztviselője összeállított egy listát is az Ügyfélnél korábban előfordult, illetve esetlegesen előforduló adatvédelmi incidens-típusokról, példákkal bemutatva. Ez a személyi állománynak nyújthat segítséget az incidensek felismerése és kezelése érdekében. Egy kérdéslista is összeállításra került a 29-es Adatvédelmi Munkacsoport adatvédelmi incidensekkel kapcsolatos iránymutatása alapján, amely az incidensekkel kapcsolatos kockázatok felmérésére és értékelésére szolgál az Ügyfélnél.\n\n## e. Adatvédelmi hatósági eljárás indítása az ügyben és a tényállás további tisztázása\n\nAz ügyben az általános adatvédelmi rendelet 32-34. cikkeiben foglalt kötelezettségek Ügyfél általi feltételezhető megsértése miatt az információs önrendelkezési jogról és információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdésére tekintettel, a Hatóság 2019. május 24-én adatvédelmi hatósági eljárás megindításáról döntött, amelyről NAIH/2019/2485/12. számon értesítette az Ügyfelet. Az Ügyfél a visszaérkezett tértivevény alapján az értesítést 2019. május 28-án vette át. Az Ügyfél az adatvédelmi hatósági eljárás megindítása után 2019. június 3-án e-mailben a Hatóság honlapján elérhető formanyomtatványt használva bejelentette a panaszos igénylőlapjának nyilvánosságra kerülését, mint adatvédelmi incidenst a Hatóságnak. A bejelentés szerint az incidensről való tudomásszerzés időpontja 2019. február 13-a, forrása sajtószemle, illetve az Ügyfélhez ezzel kapcsolatban címzett közérdekű adatigénylés. A késedelmes bejelentés indokaként az Ügyfél ismételten azt jelölte meg, hogy korábban nem vizsgálta, hogy az igénylőlap nyilvánosságra kerülésével kapcsolatban bekövetkezett-e adatvédelmi incidens. Ezen felül nem állt rendelkezésére arról információ, hogy az incidensbejelentés a Hatósághoz a hatósági ellenőrzés megindítását követően is megtehető. A Hatóság 2019. június 5-én kelt NAIH/2019/2485/14. számú tényállástisztázó végzésével újabb nyilatkozatra hívta fel az Ügyfelet, amelyre az határidőben válaszolt. A válasz szerint a tervezet szinten rendelkezésre álló belső incidenskezelési szabályzata még nem került vezetői szinten jóváhagyásra, de már felterjesztésre került döntéshozatalra 2019. május 22-én. A tervezet kidolgozása egyébként 2019. március hónapban vette kezdetét, a részletes szabályok kidolgozására 2019. május hónapban került sor. A belső incidenskezelési szabályzat kidolgozása kapcsán az Ügyfél megjegyezte, hogy a honvédelmi szervek adatvédelmi incidensekkel kapcsolatos feladatait is általánosságban meghatározó 2/2019. (I. 24.) HM utasítás4 csak 2019. február 1-jén lépett hatályba. Ezen felül az Ügyfél a Hatóság kérésére megküldte a már korábban általa hivatkozott incidenstípus-listát, a kockázatok felmérésre kidolgozott kérdéssort és az újonnan kidolgozott, az Igényjogosulti Referatúrán bevezetett tájékoztatót. Mivel a tényállás tisztázásának részeként önmagában az Ügyfél nyilatkoztatása révén nem volt felderíthető, hogy az adott adatvédelmi incidens vonatkozásában a panaszoshoz köthető kórházi igénylőlap pontosan milyen körülmények között került ki az Ügyfél kezeléséből, a Hatóság NAIH/2019/2485/16. számú 2019. július 16-án kelt végzésével megkereste az origo.hu portált üzemeltető New Wave Media Group Kft-t (székhely: 1126 Budapest, Nagy Jenő u. 12.) (a továbbiakban: Kft.), hogy nyilatkozzon arról, hogy a panaszos portálon megjelent igénylőlapja hogyan került a birtokába. A megkereső végzést a Kft. a visszaérkezett tértivevény alapján 2019. július 22-én vette át. A Kft. a felhívással kapcsolatban a megjelölt határidőn túl sem juttatott el semmilyen nyilatkozatot a mai napig a Hatósághoz, így sem a kérdésre nem válaszolt, se nem nyilatkozott arról (a Hatóság ezirányú kioktatása ellenére), hogy az őt médiatartalomszolgáltatóként az Ákr. 66. § (3) bekezdés c) pontja és az Ákr. 105. § (2) bekezdése5 alapján megillető nyilatkozat megtagadási joggal kívánna élni. Mivel a Kft. semmilyen nyilatkozatot nem juttatott el a Hatósághoz, ezért őt NAIH/2019/2485/17. számú 2019. szeptember 10-én kelt, a Kft. által 2019. szeptember 13-án átvett végzésével a Hatóság 200.000 Ft eljárási bírsággal sújtotta az eljárás akadályozása miatt, továbbá ismételten felhívta a nyilatkozat haladéktalan megtételére. Mindezek ellenére a felhívásra a Kft. a mai nappal bezárólag sem válaszolt, a bírságoló végzést azonban bíróság előtt megtámadta. Egy az Ügyfélnél 2019. júniusában bekövetkezett – a jelen eljárás megindítását megelőző panaszban foglalttól eltérő természetű – incidens késedelmes bejelentése miatt a Hatóság a NAIH/2019/5743/6. sz. 2019. október 11-én kelt határozatával az Ügyféllel szemben 500.000,- Ft. adatvédelmi bírságot szabott ki. A fentiekben ismertetett tényállás alapján a Hatóság az Ügyfélnél jogsértést állapított meg, ezért az ügyben meghozta jelen határozatot.\n\nII.\n\n## Alkalmazott jogszabályi rendelkezések\n\nAz általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 99. §-a alapján a hatóság – a hatáskörének keretei között – ellenőrzi a jogszabályban foglalt rendelkezések betartását, valamint a végrehajtható döntésben foglaltak teljesítését.\n\n4 A honvédelmi miniszter 2/2019. (I. 24.) HM utasítása a személyes adatok védelmével és a közérdekű adatok nyilvánosságával összefüggő feladatok irányításáról és felügyeletéről, valamint az ezekhez kapcsolódó egyes tevékenységek eljárási rendjéről\n\n5 Ákr. 66. § (3) bekezdés: „A tanú a vallomástételt megtagadhatja, ha […] a sajtószabadságról és a médiatartalmak alapvető szabályairól szóló törvény szerinti médiatartalom-szolgáltató (a továbbiakban: médiatartalom-szolgáltató), vagy vele munkaviszonyban vagy munkavégzésre irányuló egyéb jogviszonyban álló személy - a jogviszonya megszűnése után is -, és a tanúvallomásával a számára a médiatartalom-szolgáltatói tevékenységgel összefüggésben információt átadó személy kilétét felfedné […].” Ákr. 105. § (2) bekezdés: „Az adatszolgáltatást az ügyfél akkor tagadhatja meg, ha arra a tanúvallomást megtagadhatná.”\n\nAz általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján a bejelentett incidenssel érintett adatkezelésre az általános adatvédelmi rendeletet kell alkalmazni. Az általános adatvédelmi rendelet 4. cikk 12. pontja határozza meg, hogy mi minősül adatvédelmi incidensnek, ez alapján „adatvédelmi incidens”: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi. Az általános adatvédelmi rendelet 9. cikk (1) bekezdése alapján a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos. Az általános adatvédelmi rendelet 24. cikk (1)-(2) bekezdései alapján: (1) az adatkezelő az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése e rendelettel összhangban történik. Ezeket az intézkedéseket az adatkezelő felülvizsgálja és szükség esetén naprakésszé teszi. (2) Ha az az adatkezelési tevékenység vonatkozásában arányos, az (1) bekezdésben említett intézkedések részeként az adatkezelő megfelelő belső adatvédelmi szabályokat is alkalmaz. Az általános adatvédelmi rendelet 32. cikk (1) és (2) bekezdései szerint az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja […]. A biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek. Az általános adatvédelmi rendelet 33. cikk (1)-(2) és (4)-(5) bekezdései szerint az adatvédelmi incidenst az adatkezelő indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, bejelenti az 55. cikk alapján illetékes felügyeleti hatóságnak, kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés nem történik meg 72 órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló indokokat is. Az adatfeldolgozó az adatvédelmi incidenst, az arról való tudomásszerzését követően indokolatlan késedelem nélkül bejelenti az adatkezelőnek. Ha és amennyiben nem lehetséges az információkat egyidejűleg közölni, azok további indokolatlan késedelem nélkül később részletekben is közölhetők. Az adatkezelő nyilvántartja az adatvédelmi incidenseket, feltüntetve az adatvédelmi incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket. E nyilvántartás lehetővé teszi, hogy a felügyeleti hatóság ellenőrizze az e cikk követelményeinek való megfelelést.\n\nAz információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 25/A. § (1) és (3) bekezdései szerint az adatkezelő az adatkezelés jogszerűségének biztosítása érdekében az adatkezelés összes körülményéhez, így különösen céljához, valamint az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető kockázatokhoz igazodó műszaki és szervezési intézkedéseket tesz, ideértve indokolt esetben az álnevesítés alkalmazását. Ezeket az intézkedéseket az adatkezelő rendszeresen felülvizsgálja és szükség esetén megfelelően módosítja. Ha az adatkezelő adatvédelmi tisztviselő kijelölésére köteles, az […] intézkedések részeként az adatkezelő belső adatvédelmi és adatbiztonsági szabályzatot alkot meg és alkalmaz. Az Ákr. 101. § (1) bekezdés a) pontja alapján, ha a hatóság a hatósági ellenőrzés során jogsértést tapasztal, megindítja a hatósági eljárását. Az Infotv. 38. § (3) bekezdése és 60. § (1) bekezdése alapján a Hatóság az Infotv. 38. § (2) és (2a) bekezdés szerinti feladatkörében a személyes adatok védelméhez való jog érvényesítése érdekében hivatalból adatvédelmi hatósági eljárást folytat. Az Ákr. 103. § (1) bekezdése alapján az Ákr.-nek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az Ákr. 103 és 104. §-ában foglalt eltérésekkel kell alkalmazni. Az Infotv. 61. § (1) bekezdés a) pontja alapján a Hatóság a 2. § (2) és (4) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja. Az általános adatvédelmi rendelet 83. cikk (7) bekezdése szerint, a felügyeleti hatóságok 58. cikk (2) bekezdése szerinti korrekciós hatáskörének sérelme nélkül, minden egyes tagállam megállapíthatja az arra vonatkozó szabályokat, hogy az adott tagállami székhelyű közhatalmi vagy egyéb, közfeladatot ellátó szervvel szemben kiszabható-e közigazgatási bírság, és ha igen, milyen mértékű. Az Infotv. 61. § (4) bekezdés b) pontja alapján, a bírság mértéke százezertől húszmillió forintig terjedhet, ha az adatvédelmi hatósági eljárásban hozott határozatban kiszabott bírság megfizetésére kötelezett költségvetési szerv, az általános adatvédelmi rendelet 83. cikke szerint kiszabott bírság esetén. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) és i) pontja alapján, a felügyeleti hatóság korrekciós hatáskörében eljárva elmarasztalja az adatkezelőt vagy adatfeldolgozót, ha adatkezelési tevékenysége megsértette a rendelet rendelkezéseit, illetve a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. Ugyanezen cikk (2) bekezdés d) pontja alapján, a felügyeleti hatóság korrekciós hatáskörében eljárva utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba a rendelet rendelkezéseivel. A közigazgatási bírság kiszabására vonatkozó feltételeket az általános adatvédelmi rendelet 83. cikke tartalmazza. Az Infotv. 75/A. § - a szerint a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Az Infotv. 61. § (2) bekezdés b) pontja alapján, a Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő – nyilvánosságra hozatalát, ha azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta. Az Ákr. 104. § (1) bekezdés a) pontja szerint a Hatóság az illetékességi területén hivatalból megindítja az eljárást, ha az eljárás megindítására okot adó körülmény jut a tudomására; ugyanezen bekezdés (3) bekezdése alapján a hivatalbóli eljárás az első eljárási cselekmény elvégzésének napján kezdődik, megindításáról az ismert ügyfél értesítése mellőzhető, ha az eljárás megindítása után a hatóság nyolc napon belül dönt. III.\n\n## Döntés a. Az eset adatvédelmi incidens jellegének megítélése\n\nA Hatóság a feltárt tényállás alapján megállapította, hogy a bekövetkezett adatvédelmi incidensről az Ügyfél saját elmondása szerint legkorábban 2019. február 13-én szerzett tudomást. Habár az eset körülményei alapján már a sajtóhírek megjelenésekor valószínűsíthető volt az, hogy a panaszos igénylőlapja az Ügyfél kezeléséből került ki ismeretlen módon, az esetet az Ügyfél nem minősítette adatvédelmi incidensnek. Az Ügyfél az esetet csak később, a Hatóság által 2019. március 25-én megkezdett hatósági ellenőrzés, majd a későbbi hatósági eljárás hatására minősítette adatvédelmi incidensnek és kezelte azt ekként. A Hatóság megítélése szerint az esetet az Ügyfélnek adatvédelmi incidensnek kellett volna minősítenie és ezek szerint kezelnie a tudomásszerzést követően. Erre amiatt is sort kellett volna keríteni, mivel az igénylőlap nyilvánosságra kerülésével kapcsolatban az Ügyfél felügyeletét ellátó HM rögtön, már 2019. február 14-én adatvédelmi ellenőrzést rendelt el az Ügyfélnél, ahol a vizsgálat tárgyát az is képezte, hogy az igénylőlapokkal kapcsolatos személyes adatok kezelése során megfelelőek-e az adatok biztonsága kapcsán meglévő intézkedések. Mivel már az ellenőrzés elrendelésekor felmerült annak az alapos gyanúja, hogy az Ügyfélnél alkalmazott adatbiztonsági intézkedések sérülése kapcsán kerülhetett nyilvánosságra a panaszos igénylőlapja, ezért annak adatvédelmi incidensként való kezelésének kötelezettsége is egyértelműen megállapítható. Habár a vizsgálat nem tudta végül teljesen feltárni, hogy az igénylőlap hogyan és milyen módon kerülhetett a sajtóorgánumhoz, az eset összes körülményei, az igénylőlap szervezeten belüli mozgása és a releváns időpontok (így a dokumentum 2019. február 11-i parancsnoki felkérése a kórlaptárból, majd annak másnapi megjelenése az internetes sajtóban) alapján valószínű, hogy az az Ügyfélnél bekövetkezett biztonsági eseményre vezethető vissza. Megjegyzi a Hatóság, hogy a kérdéses adatoknak a sajtó – vagy bárki más – részére való továbbítása az adott – ismeretlen – személy részéről önmagában is jogellenes adatkezelésnek tekinthető, hiszen egyértelműen ütközik a célhoz kötött és a jogszerű adatkezelés követelményével. Az incidenst előidéző konkrét személy kilétét azonban a HM által elrendelt vizsgálatban nem sikerült felderíteni. Ezen felül a Hatóság New Wave Media Group Kft-nek küldött ilyen irányú megkeresése sem járt eredménnyel. A Hatóság a konkrét elkövető ismeretének hiányában eltekintett ezen jogellenes adatkezelés további vizsgálatától. Ennek során figyelemmel volt a HM által az incidens nyomán indított vizsgálat eredményeként a 2209-5/2019. nyt. számú jelentésében előírt intézkedésekre (az adatok mozgásának jobb nyomon követhetőségét biztosítandó a kérelmek ügyviteli nyilvántartásban kezelése) és arra, hogy a jelen hatósági eljárás tárgya az incidens Ügyfél általi kezelése volt. Figyelembe vette továbbá, hogy az incidens előidézése valószínűsíthetően az egyébként is alkalmazott szabályok szándékos megsértéséből eredt, valamint az elkövető személyének megállapítására nem állnak rendelkezésre a megfelelő eszközök. A Hatóság úgy ítéli meg, hogy az Ügyfél 2019. február 13-án már tudomást szerzett arról, hogy az igénylőlap megjelenése a sajtóban valószínűleg egy nála bekövetkezett biztonsági eseményre vezethető vissza. Ennek feltárása és megállapítása érdekében pedig a felettes szerv már másnap elrendelte az Ügyfél adatvédelmi ellenőrzését, ezen belül pedig az igénylőlapok kezelésével kapcsolatos adatbiztonsági intézkedések ellenőrzését, amely szintén megerősíti, hogy az Ügyfélnél incidens történhetett. A Hatóság megítélése szerint ezért az Ügyfélnek már ebben az időszakban incidensként kellett volna kezelnie az ügyet, így mérlegelnie kellett volna az eset érintett magánszférájára jelentett kockázatait, és azt az általános adatvédelmi rendelet 33. cikk (5) bekezdése alapján rögzítenie kellett volna belső incidens-nyilvántartásában. A nyilvántartásba vétel elmaradásával így az Ügyfél megsértette az általános adatvédelmi rendelet 33. cikk (5) bekezdését.\n\n## b. Az adatvédelmi incidens kockázati besorolása és bejelentése a felügyeleti hatóságnak\n\nAz Ügyfél az incidens kockázati besorolásával kapcsolatban a Hatóság kérdésére azt adta elő, hogy az megítélése szerint alacsony kockázatú. Ezt arra alapozta, hogy az kizárólag egy személyt érint, az adatok részlegesen anonimizált formában kerültek nyilvánosságra az interneten. Az incidens kapcsán csak a panaszos neve és azon tény került nyilvánosságra, hogy kérelmet nyújtott be az MH EK Honvédkórház, Speciális Rendeltetésű Centrum ellátásának igénylése érdekében. Az Ügyfél szerint ezen adatok közül egyik sem minősül az általános adatvédelmi rendelet 9. cikk (1) bekezdése alapján különleges adatnak. Az érintett nevén kívül más azonosító adat nem került nyilvánosságra, így a személyazonossággal való visszaélés lehetősége kizárható. Ezen felül a panaszos más, az igénylőlapon megtalálható, de a sajtóorgánum által anonimizált adatai közül a legtöbb nyilvánosan megtalálható az interneten. A Hatóság egyetért az Ügyfél érvelésével abban a tekintetben, hogy az igénylőlapon található kiszivárgott személyes adatok nem minősülnek az általános adatvédelmi rendelet 9. cikk (1) bekezdése szerinti különleges adatnak, mivel abból se a panaszos, se más személy egészségügyi állapotára vonatkozóan nem lehet következtetést levonni. A szolgáltatás igénylésének tényéből és a lapon szereplő adatokból önmagában nem lehet levonni egészségügyi szempontból releváns következtetést, így például, hogy a panaszos pontosan miért szeretné igénybe venni a kórház szolgáltatását. A Hatóság egyetért abban is az Ügyféllel, hogy mivel a kikerült adatok közül a sajtó által nyilvánosságra hozott dokumentumon a legtöbb adat – a panaszos nevén kívül – anonimizálásra került, ezért a személyazonossággal visszaélés esélye a sajtóban nyilvánosságra hozott adatok alapján viszonylag kicsi. Ez szintén kockázatcsökkentő tényező az incidens megítélése kapcsán. A Hatóság azonban az incidens kockázati besorolásával kapcsolatban azt is ki kívánja emelni, hogy a biztonsági sérülés kapcsán az igénylőlap kikerülése az Ügyfél kezeléséből önmagában adatvédelmi incidensnek minősül, az incidenskénti kezeléséhez nem további feltétel annak nyilvánosságra hozatala, így kockázatait is önmagában, nem a későbbi nyilvánosságra hozatal fényében kel értékelni. A nyilvánosságra hozatalnak az érintettre jelentett kockázat megítélése kapcsán a ténylegesen bekövetkezett esetleges hátrányos következmények vizsgálata körében lehet jelentősége. Magán az igénylőlapon ugyanis szerepelt olyan adat is (az érintett TAJ száma), amely nyilvánosan nem érhető el, így ezt az adatot jogosulatlanul ismerhette meg a dokumentumot kiszivárogtató személy és a sajtó is (illetve e két szereplő között akár más ismeretlen személy is). A Hatóság megítélése szerint az incidens alacsonyabb kockázati besorolása abban a vonatkozásában elfogadható, hogy csupán egyetlen érintett, nagyrészt nyilvánosan elérhető személyes adatait érintette. Az incidensben azonban érintett volt nem nyilvánosan elérhető személyes adat is (TAJ szám), továbbá az igénylőlap sajtó általi megjelentetése a panaszos magánszférához való jogát hátrányosan érinti, mivel a kórházi szolgáltatás igénylése kapcsán nem közszereplői minőségében járt el, a szolgáltatás igénylése nem közszereplői minőségéből fakad. Az Ügyfél szóban forgó szolgáltatását nem csak közszereplők, hanem bárki igényelheti. Az Ügyfél is hivatkozott a kockázati besorolás kapcsán arra, hogy az adatokkal kapcsolatban nem állapítható meg, hogy azok a panaszos közfeladatának (országgyűlési képviselő) ellátásával kapcsolatban keletkeztek. A Hatóság megítélése szerint ezért a kórházi szolgáltatás igénylésének ténye, mint nyilvánosságra került adat is kockázatos lehet az érintett személy jogai és szabadságai szempontjából. Az incidenssel jelentett kockázatokat tehát az ügy kapcsán teljes mértékben nem lehet kizárni. Az általános adatvédelmi rendelet 33. cikk (1) bekezdése szerint fő szabályként az incidenst be kell jelenteni a felügyeleti hatóságnak. A rendelet ezen bekezdése és a (85) preambulumbekezdése is kimondja, hogy a bejelentéstől az adatkezelő csak abban az esetben tekinthet el, ha az elszámoltathatóság elvével6 összhangban bizonyítani tudja, hogy az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Mivel a főszabály az incidens hatóságoknak való bejelentése (aminek oka végső soron az, hogy az érintettek jogaival és szabadságaival kapcsolatban a legkisebb kockázatot jelentő incidensek kezelését is kontrollálhassák a hatóságok – éppen e jogok és szabadságok minél teljesebb körű védelme érdekében), az ez alóli kivétel is szűken értendő. Mivel az érintett adatok kapcsán az incidenssel jelentett kockázatokat nem lehet teljes mértékben kizárni az valószínűsíthetően kockázattal jár az érintett magánszférájára nézve. A fentiek alapján ezért indokolt az incidens bejelentése az általános adatvédelmi rendelet 33. cikk (1) bekezdése alapján a Hatóságnak akkor is, ha a kockázatok egyébként viszonylag alacsonyak. Ha bármilyen alacsony kockázat is fennáll egy adott incidenssel kapcsolatban, a kockázat hiányának valószínűsíthetőségétől nem lehet beszélni. Ha az incidenssel kapcsolatban minden releváns tényező nem állapítható meg, akkor a kockázatok és azok bekövetkezése valószínűségének feltárásához sem állhatnak rendelkezésre a szükséges adatok, a kockázat nem zárható ki, és annak kizártsága sem valószínűsíthető ilyen helyzetben. A Hatóság megítélése szerint az érintettre jelentett kockázat a nem nyilvános TAJ szám és az igénylés tényének kiszivárgásából, valamint ezen utóbbi tény sajtó általi megjelentetéséből fakad, hiszen az érintett a szolgáltatásokat magánszemély minőségben igényelte. Az incidens kockázatos voltát egyébként utólag az Ügyfél is elismerte azzal, hogy a hatósági eljárás megindítása után végül 2019. június 3án e-mailben bejelentette azt a Hatóságnak az incidensbejelentésre szolgáló formanyomtatvány használatával.\n\n6 általános adatvédelmi rendelet 5. cikk (2) bekezdés: Az adatkezelő felelős az (1) bekezdésnek [alapelvek] való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).\n\nAz adatvédelmi incidens bejelentésére tehát nem került sor az általános adatvédelmi rendelet 33. cikk (1) bekezdése által meghatározott határidőben, vagyis indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens az adatkezelő tudomására jutott. Az Ügyfél úgy nyilatkozott, hogy 2019. február 13-án szerzett tudomást legkorábban az igénylőlap sajtó általi leközléséről, ezért a Hatóság megítélése szerint az Ügyfél általi hivatalos tudomásszerzésnek ez az időpont minősül. A Hatóság megítélése szerint a tudomásszerzés idejének megítélése szempontjából elég, ha olyan érdemi ügyintéző / elöljáró tudomására jut az incidens bekövetkezésének ténye az adatkezelőnél, aki azt nem szándékosan maga okozta, és akinek minden lehetősége és eszköze megvolt a releváns döntéshozók, tisztviselő értesítésére. Ezt az értelmezést alátámasztja a 29. cikk szerinti Adatvédelmi Munkacsoport iránymutatása is az adatvédelmi incidens bejelentéséről, amely alapján „tudomásszerzésnek az minősül, amikor az adatkezelő észszerű bizonyossággal meggyőződött arról, hogy olyan biztonsági incidens történt, amelynek következtében a személyes adatok veszélybe kerültek.”7 Az Ügyfélnek a fentiek alapján 2019. február 13-tól számítva 72 óra állt rendelkezésére arra, hogy az incidens által jelentett kockázatokat mérlegelje és azzal kapcsolatban megtegye az esetleges bejelentést a Hatósághoz, amennyiben azt állapítja meg, hogy az incidens kockázattal jár az érintettek jogaira és szabadságaira nézve. Ehhez képest a Hatóságnak az incidensbejelentés megküldésére végül 2019. június 3-án került sor, már a hatósági eljárás megindítása után. A Hatóság az incidensbejelentési kötelezettséggel kapcsolatban kihangsúlyozza, hogy ha a tudomásszerzéstől számított 72 órás határidőt az adatkezelő nem tudja tartani, úgy minden esetben igazolnia kell a késedelmes bejelentés indokait a Hatóság felé. E körben az Ügyfél arra hivatkozott, hogy nem volt arról tudomása, hogy az incidensbejelentés a Hatóság ellenőrzésének, illetve eljárásának megindítása után is megtehető. A Hatóság az Ügyfél ezen indokát a késedelmes bejelentéssel kapcsolatban nem tudja elfogadni, mivel a tudomásszerzés (2019. február 13.) és a hatósági ellenőrzés megindításának időpontja (2019. március 25.) között is több mint egy hónap telt el, amivel önmagában is többszörösen átlépte a rendelet által előírt 72 órás bejelentési határidőt. A Hatóság a késedelem fenti igazolását ezért nem fogadta el, mivel az általános adatvédelmi rendelet 33. cikkében előírt bejelentési kötelezettség teljesítése érdekében az adatkezelő köteles intézkedni az első figyelmeztető jelzés alapján, és megállapítani, hogy valóban történt-e incidens, és lehetőleg 72 órán belül vizsgálatot folytatni, valamint bizonyítékokat és más lényeges részleteket gyűjteni. Az incidens időben történő bejelentése előtt az sem lehet akadály, ha nem állnak rendelkezésre pontos információk, mivel az általános adatvédelmi rendelet 33. cikk (4) bekezdése lehetővé teszi, hogy a bejelentésre részletekben, szakaszosan kerüljön sor. A Hatóság hangsúlyozza azt is, hogy incidens észlelése esetén haladéktalanul értesíteni kell a megfelelő vezetési szinten lévő felettest, hogy az incidenst kezelni és szükség szerint jelenteni lehessen a 33. és – adott esetben – a 34. cikknek megfelelően. Az incidens megfelelő kezelése szempontjából a bejelentés szakaszos megtétele elfogadható megoldás az adatkezelő részéről akkor, ha egyébként nem teljesen biztos a kockázatok értékelését illetően, illetve ennek lefolytatására még nem áll rendelkezésére valamennyi információ, azt azonban már nagy valószínűséggel meg tudja állapítani, hogy\n\n7 Lásd: 29. cikk szerinti adatvédelmi munkacsoport: Iránymutatás az adatvédelmi incidensek (EU) 2016/679 rendelet szerinti bejelentéséről, 10. oldal.\n\nadatvédelmi incidens történt. Nincs annak akadálya, hogy az adatkezelő kiegészítse az incidensbejelentését a 72 órás határidőt követően tudomására jutott tényekkel. A Hatóság megjegyzi azt is, hogy az Ügyfél felettes szerve által lefolytatott eseti adatvédelmi ellenőrzés eredményének bevárása sem szolgáltathat alapot arra, hogy késlekedjen az incidens bejelentésével. Ennek oka, hogy az Ügyfélnél már korábban rendelkezésre állt valamennyi adat az incidens – legalább részleges – bejelentésével kapcsolatban. Az Ügyfél ezen felül rendelkezik adatvédelmi tisztviselővel, önálló adatkezelőnek minősül, így elvárható tőle, hogy az incidens minősítését és kockázati besorolását önállóan is el tudja végezni. A fentiek alapján a Hatóság megállapította, hogy az Ügyfél megsértette az általános adatvédelmi rendelet 33. cikk (1) bekezdésében foglalt kötelezettségét, mivel az alapvetően kockázatos adatvédelmi incidenst nem jelentette be a tudomásszerzést követően indokolatlan késedelem nélkül.\n\n## c. Az incidenskezeléssel kapcsolatos belső szabályozás hiánya\n\nA Hatóság végül figyelembe vette azt az ügy megítélése során, hogy az Ügyfél az incidensről való tudomásszerzés időpontjában nem rendelkezett az adatvédelmi incidensek kezelésére vonatkozó belső eljárásrenddel, az csak utólag került kialakításra. Az Ügyfél nyilatkozata alapján az incidenskezelési szabályzat csupán tervezet szintjén állt rendelkezésre, annak véglegesítése a Hatóság ellenőrzését megelőzően még nem történt meg. Az incidenskezelési szabályzat részletes kidolgozására, csak jóval az ügy tárgyát képező incidens és a hatósági ellenőrzés megindítása után, 2019. májusában került sor. Az Ügyfél a szabályzat elkészítésével való késlekedés indokaként arra hivatkozott, hogy a honvédelmi szervek adatvédelmi incidensekkel kapcsolatos feladatait is általánosságban meghatározó 2/2019. (I. 24.) HM utasítás csak 2019. február 1-jén lépett hatályba. A Hatóság a fentiekkel kapcsolatban rá kíván mutatni arra, hogy az általános adatvédelmi rendelet 4. cikk 12. pontja alapján adatvédelmi incidensnek a biztonsági sérülésekből adódó, személyes adatok érintő jogellenes műveletek minősülnek. A fogalom szempontjából így a biztonsági eseménnyel való kapcsolat kulcselemnek tekinthető. Az adatkezelés biztonságával kapcsolatban a rendelet 32. cikk (1) bekezdése kimondja, hogy többek között a tudomány és technológia állása és a felmerülő kockázatok figyelembe vételével az adatkezelő feladata, hogy az adatok biztonságát megfelelő technikai és szervezési intézkedésekkel garantálja. Ezen cikk (1) bekezdés b) pontja alapján az adatbiztonsági intézkedések hivatottak arra is, hogy a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítását, integritását, rendelkezésre állását és ellenálló képességét garantálják. A fentieken túl az általános adatvédelmi rendelet 24. cikk (1) bekezdése is kimondja a megfelelő technikai és szervezési intézkedések végrehajtásának kötelezettségét az adatkezeléssel kapcsolatban. E cikk az adott adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével kívánja meg az ilyen intézkedések alkalmazását. A (2) bekezdés szerint ezen technikai és szervezési intézkedések részeként az adatkezelő megfelelő belső adatvédelmi szabályokat is alkalmaz, ha az az adatkezelési tevékenység vonatkozásában arányos.\n\nA Hatóság álláspontja szerint az adatkezelés biztonságát szolgáló megfelelő szervezési intézkedésnek tekinthető az, ha az adatkezelő az adatvédelmi incidensek kezelésére vonatkozó belső szabályzatot alakít ki és azt következetesen betartatja. A belső felelősségi köröket, a kivizsgálás és jelentés rendjét részletesen lefektető és valamennyi érintett munkatárs számára ismert szabályzat megléte esetén az adatkezelő gyorsabban és hatékonyabban tudja kezelni a személyes adatokat is érintő biztonsági eseményeket és tudja végső soron garantálni az adatkezelés biztonságának való megfelelést (pl. megtenni azon intézkedéseket, hogy a jövőben lehetőleg hasonló incidens ne forduljon elő). A Hatóság kihangsúlyozza, hogy a belső incidenskezelési szabályzat elkészítése – a rendelet 24. cikk (1) bekezdésére tekintettel – akkor várható el az adatkezelőtől, ha az az adatkezelési tevékenység vonatkozásában arányos. Az Ügyfél vonatkozásában a Hatóság megítélése szerint – tevékenységére és az általa kezelt adatok jellegére tekintettel – kifejezetten elvárható lett volna, hogy már az általános adatvédelmi rendelet alkalmazandóságától, így már 2018. május 25-től rendelkezzen az adatvédelmi incidensek kezelésére vonatkozó szabályzattal. Ennek oka, hogy az Ügyfél az ország egyik legnagyobb egészségügyi intézményeként, fő tevékenysége keretein belül nagy számban kezel a rendelet 9. cikke szerinti különleges (egészségügyi) adatokat. Az adatvédelmi incidensekre való reagálás, azok kivizsgálása és a szükséges intézkedések megtétele szempontjából egy ilyen érzékeny adatokat nagy számban kezelő intézménynél elvárható a belső szabályzat megléte. Ennek hiányában, már csak a szervezet méretéből adódóan is, csúszhat a hatékony reagálás és a biztonságos helyzet helyreállítása egy adatvédelmi incidenssel kapcsolatban. Ez az Ügyfél részéről általánosságban akkor is elvárható, ha jelen ügyben egyébként különleges adatokat az incidens nem érintett. A Hatóság nem tudja elfogadni az Ügyfél azon indokát, hogy a belső incidenskezelési szabályzat kialakítására azért nem került időben sor, mivel az ezen feladatokat meghatározó, korábban hivatkozott HM utasítás csak 2019. február 1-jén lépett hatályba. Egyrészt azért mert a hivatkozott utasítás csupán egyetlen szakasza (20. §) foglalkozik ezen kérdéskörrel, és az is csak rendkívül általános szabályokat állapít meg (mindössze 6 bekezdésben) az adatvédelmi incidensek kezelésével kapcsolatban. Másrészt az általános adatvédelmi rendelet közvetlen hatályából következően az adatkezelők akkor járnak el helyesen, ha már annak alkalmazandóvá válásakor fel vannak készülve az abból fakadó kötelezettségeknek történő megfelelésre. A Hatóság megítélése szerint ezért – összhangban az elszámoltathatóság elvével – az Ügyfél akkor járt volna el helyesen, ha már 2018. május 25-étől rendelkezett volna incidenskezelési szabályzattal és nem várt volna a jogalkotóra. A jogalkotási aktus kiadását követően természetesen nincs annak akadálya, hogy az Ügyfél összhangba hozza a már meglévő szabályzatát a jogszabályból eredő esetleges további kötelezettségekkel, eltérésekkel. Az Ügyfél által végzett adatkezelésekkel kapcsolatban a Hatóság továbbá meg kívánja jegyezni, hogy a honvédségi adatkezelésről, az egyes honvédelmi kötelezettségek teljesítésével kapcsolatos katonai igazgatási feladatokról szóló 2013. évi XCVII. törvény (a továbbiakban: Haktv.) 8/F. § (1) bekezdése alapján8 a Honvédség személyi állománya tekintetében a Honvédség\n\n8 Haktv. 8/F. § (1) bekezdés: A Honvédség a központi egészségügyi szervezetének szolgáltatásaira való igényjogosultság nyilvántartása, ellenőrzése, az igényjogosulti létszám meghatározása és aktualizálása céljából kezeli a vonatkozó kormányrendeletben meghatározott személyi állomány 16. melléklet 5. pontja szerinti adatait.\n\nközponti egészségügyi szervezetének szolgáltatásaira való igényjogosultság nyilvántartása, ellenőrzése, az igényjogosulti létszám meghatározása és aktualizálása – tekintettel az Infotv. 3. § 10c. pontjára9 – honvédelmi célú adatkezelésnek minősül. E körülményre a Hatóságnak 2019. április 19-én tett, a Hatóságnál NAIH/2019/2485/6 ügyiratszámon iktatott nyilatkozatában az Ügyfél maga is utalt. A Hatóság megjegyzi, hogy a panaszos nem tartozik a Honvédség személyi állományába, így a Hatóság megítélése szerint személyes adatainak kezelése az igényjogosultság igénylése tekintetében nem minősül honvédelmi célú és így a Haktv. hatálya alá tartozó adatkezelésnek. Az Ügyfélnél azonban a Honvédség személyi állományába tartozó érintettek személyes adatainak kezelésére már ezen előírások az irányadóak. Ennek megfelelően a személyi állomány igényjogosulti kérelmeinek kezelésére az Infotv. – mint a honvédelmi célú adatkezelésekre alkalmazandó általános adatvédelmi norma – alábbi rendelkezései is irányadóak. A honvédelmi célú adatkezelést (is) folytató adatkezelők részére az Infotv. 25/A. § (1) bekezdése is előírja, hogy az adatkezelő az adatkezelés jogszerűségének biztosítása érdekében az adatkezelés összes körülményéhez, így különösen céljához, valamint az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető kockázatokhoz igazodó műszaki és szervezési intézkedéseket tesz, ideértve indokolt esetben az álnevesítés alkalmazását. Ezeket az intézkedéseket az adatkezelő rendszeresen felülvizsgálja és szükség esetén megfelelően módosítja. Az Infotv. ezen szakaszának (3) bekezdése kötelezően előírja, hogy ha az adatkezelő adatvédelmi tisztviselő kijelölésére köteles, az (1) bekezdésben meghatározott intézkedések részeként az adatkezelő belső adatvédelmi és adatbiztonsági szabályzatot alkot meg és alkalmaz. Az Ügyfél az adatbiztonság garantálásának részeként, honvédelmi célú adatkezelést is folytató szervezetként az Infotv. ezen előírásainak sem tett eleget. Az Infotv-nek a szabályzatok megalkotásával kapcsolatos hivatkozott előírása 2018. július 26-tól hatályos és alkalmazandó, így az Ügyfél a honvédelmi célú adatkezeléseit érintő incidensek kezelésével kapcsolatban is késedelembe esett. A Hatóság ezért megállapította, hogy az Ügyfél nem tett eleget az általános adatvédelmi rendelet 32. cikk (1) bekezdésében, továbbá a 24. cikk (1) és (2) bekezdéseiben, valamint az Infotv. 25/A. § (1) és (3) bekezdéseiben foglaltaknak, amikor nagyszámú különleges adat kezelőjeként, továbbá honvédelmi célú adatkezelést is végző, adatvédelmi tisztviselő kijelölésére is kötelezett szervként10 nem alakított ki időben belső incidenskezelési szabályzatot.\n\n## d. A kiszabott bírsággal kapcsolatos megállapítások\n\nA Hatóság megvizsgálta, hogy indokolt-e az Ügyféllel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján, figyelemmel – az Infotv. 25/A. § (1) és (3) bekezdéseiben foglaltak megsértésével\n\n9 Infotv. 3. § 10c. pont: honvédelmi célú adatkezelés: a honvédségi adatkezelésről szóló törvény, továbbá a honvédelemről és a Magyar Honvédségről, valamint a különleges jogrendben bevezethető intézkedésekről szóló törvény, és a Magyar Köztársaság területén szolgálati céllal tartózkodó külföldi fegyveres erők, valamint a Magyar Köztársaság területén felállított nemzetközi katonai parancsnokságok és állományuk nyilvántartásáról, valamint jogállásukhoz kapcsolódó egyes rendelkezésekről szóló törvény hatálya alá tartozó adatkezelés. 10 Az általános adatvédelmi rendelet 37. cikk (1) bekezdés c) pontja alapján az adatkezelő és az adatfeldolgozó adatvédelmi tisztviselőt jelöl ki minden olyan esetben, amikor: az adatkezelő vagy az adatfeldolgozó fő tevékenységei a személyes adatok 9. cikk szerinti különleges kategóriáinak […] nagy számban történő kezelését foglalják magukban.\n\nösszefüggésben – az Infotv. 61. § (5) bekezdésére is, mérlegelte az ügy összes releváns körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, mindenekelőtt arra tekintettel, hogy az Ügyfél nem csak az ügy tárgyát képező incidenssel kapcsolatban nem tett eleget az általános adatvédelmi rendelet vonatkozó rendelkezéseinek, hanem egyáltalán nem rendelkezett az eset megtörténtekor belső incidenskezelési szabályzattal, amelynek a megléte azonban részéről elvárható. A Hatóság a szabályzat hiányát rendszerszintű problémának tekinti, amely alapján a jogsértő helyzet a rendelet alkalmazandóvá válása utáni majd egy éves időszakban fennállt az adatkezelőnél. Ez akár más, ebben az időszakban bekövetkezett incidensek hatékony kezelését is hátráltathatta. Megjegyzi továbbá a Hatóság, hogy bírság összege meghatározásakor figyelemmel volt arra is, hogy az Ügyfél az ország egyik legnagyobb egészségügyi intézménye, ezért tőle elvárható, hogy adatkezelési folyamatait megfelelően megszervezze (ez tevékenysége jellegénél fogva sem okozhat semmilyen nehézséget számára). A Hatóság e körben szintén figyelembe vette, hogy az Ügyfelet a nála – a jelen ügyben vizsgált incidenset követően bekövetkezett másik incidens nem megfelelő kezelése miatt NAIH/2019/5743/6 számú, 2019. október 11-i határozatával szintén marasztalni volt szükséges. Ügyfél költségvetési szerv, melynek esetében az Infotv. 61. § (4) bekezdés b) pontja alapján a bírság mértéke százezertől húszmillió forintig terjedhet. A Hatóság a bírság összegének meghatározása során figyelembe vette, hogy az Ügyfél által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (4) bekezdése szerint az alacsonyabb maximális összegű bírságkategóriába tartozó jogsértésnek minősülnek. Emellett a bírság összegének meghatározása során az alábbi releváns tényezőket vette figyelembe. Az Infotv. 25/A. § (1) és (3) bekezdése megsértésének az általános adatvédelmi rendelet rendelkezéseinek megsértésével egyidejű megállapítása a bírság összegét nem érintette, a Hatóság ezt a bírság mértéke tekintetében – a két szabályozásból eredő kötelezettségek lényegi azonosságára tekintettel – nem tekintette külön releváns tényezőnek. Enyhítő körülményként vette figyelembe a Hatóság, hogy a feltárt tényállás alapján az incidens csupán egyetlen személy személyes adatait érintette, amelyek között (jelen ügyben legalábbis) nem szerepeltek különleges, egészségügyi adatok. A Hatóság emellett azt is figyelembe vette, hogy az Ügyfél, bár nem indokolatlan késedelem nélkül, de végül utólag bejelentette a Hatóság számára az adatvédelmi incidenst, rögzítette azt a 33. cikk cikk (5) bekezdése szerinti nyilvántartásban, és az egyéb, az adatvédelmi incidenst követően hozott, a felettes szerv által előírt intézkedései is elfogadhatóak a kockázatok csökkentése érdekében. Ezen felül az Ügyfél a Hatóság eljárását követően kialakította végül a belső incidenskezelési szabályzatát is. A Hatóság figyelemmel volt arra is, hogy az Ügyfél együttműködött a Hatósággal az ügy kivizsgálása során, noha e magatartást – mivel a jogszabályi kötelezettségek betartásán nem ment túl – kifejezetten enyhítő körülményként nem értékelte. A bírság kiszabása során a Hatóság figyelembe vette az Ügyfél 2019 évi előirányzott költségvetését, amelyről az Országgyűlés honlapján érhetőek el nyilvános információk.11 A kiszabott adatvédelmi bírság így nem lépi túl az Infotv. 61. § (4) bekezdés b) pontja alapján kiszabható bírság maximumát, továbbá az Ügyfél éves költségvetéséhez képest, az incidensben érintett személyes adatok és érintettek számát (egy fő) tekintve is arányosnak tekinthető.\n\n11 Lásd: https://www.parlament.hu/irom41/00503/adatok/fejezetek/13.pdf, 5. oldal: MH Egészségügyi Központ cím: Kiadás: 38.551.800.000 Ft, Bevétel: 28.798.300.000 Ft, Támogatás: 9.753.500.000 Ft.\n\nAz Ügyfél közfeladatot ellátó, költségvetési szerv, és a jogsértő adatkezelésre e közfeladata ellátásával összefüggésben került sor. A Hatóság ezért az Infotv. 61. § (2) bekezdés b) pontja alapján elrendelte a határozatnak az adatkezelő, vagyis az Ügyfél azonosító adatainak közzétételével történő nyilvánosságra hozatalát. IV.\n\n## Egyéb kérdések\n\nA Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak. A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §-a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 44/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Az Ákr. 132. §-a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. Az Ákr. 133. §-a értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2019. október 24.\n\nDr. Péterfalvi Attila elnök c. egyetemi tanár","changes":[{"id":881,"doc_id":10632,"v_from":11309,"v_to":14706,"detected_at":"2026-09-17 02:25:32","added":2,"removed":2,"summary":"--- \n+++ \n-Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 25/A. § (1) és (3) bekezdései szerint az adatkezelő az adatkezelés jogszerűségének biztosítása érdekében az adatkezelés összes körülményéhez, így különösen céljához, valamint az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető kockázatokhoz igazodó műszaki és szervezési intézkedéseket tesz, ideértve indokolt esetben az álnevesítés alkalmazását. Ezeket az intézkedéseket az adatkezelő rendszeresen felülvizsgálja és szükség esetén megfelelően módosítja. Ha az adatkezelő adatvédelmi tisztviselő kijelölésére köteles, az […] intézkedések részeként az adatkezelő belső adatvédelmi és adatbiztonsági szabályzatot alkot meg és alkalmaz. Az Ákr. 101. § (1) bekezdés a) pontja alapján, ha a hatóság a hatósági ellenőrzés során jogsértést tapasztal, megindítja a hatósági eljárását. Az Infotv. 38. § (3) bekezdése és 60. § (1) bekezdése alapján a Hatóság az Infotv. 38. § (2) és (2a) bekezdés szerinti feladatkörében a személyes adatok védelméhez való jog érvényesítése érdekében hivatalból adatvédelmi hatósági eljárást folytat. Az Ákr. 103. § (1) bekezdése alapján az Ákr.-nek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az Ákr. 103 és 104. §-ában foglalt eltérésekkel kell alkalmazni. Az Infotv. 61. § (1) bekezdés a) pontja alapján a Hatóság a 2. § (2) és (4) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja. Az általános adatvédelmi rendelet 83. cikk (7) bekezdése szerint, a felügyeleti hatóságok 58. cikk (2) bekezdése szerinti korrekciós hatáskörének sérelme nélkül, minden egyes tagállam megállapíthatja az arra vonatkozó szabályokat, hogy az adott tagállami székhelyű közhatalmi vagy egyéb, közfeladatot ellátó szervvel szemben kiszabható-e közigazgatási bírság, és ha igen, milyen mértékű. Az Infotv. 61. § (4) bekezdés b) pontja alapján, a bírság mértéke százezertől húszmillió forintig terjedhet,ha az adatvédelmi hatósági eljárásban hozott határozatban kiszabott bírság megfizetésére kötelezett költségvetési szerv, az általános adatvédelmi rendelet 83. cikke szerint kiszabott bírság esetén. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) és i) pontja alapján, a felügyeleti hatóság korrekciós hatáskörében eljárva elmarasztalja az adatkezelőt vagy adatfeldolgozót, ha adatkezelési tevékenysége megsértette a rendelet rendelkezéseit, illetve a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. Ugyanezen cikk (2) bekezdés d) pontja alapján, a felügyeleti hatóság korrekciós hatáskörében eljárva utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba a rendelet rendelkezéseivel. A közigazgatási bírság kiszabására vonatkozó feltételeket az általános adatvédelmi rendelet 83. cikke tartalmazza. Az Infotv. 75/A. § - a szerint a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Az Infotv. 61. § (2) bekezdés b) pontja alapján, a Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő – nyilvánosságra hozatalát, haa"}]}