{"check":null,"uid":"78b726a237344ef5","title":"Elsőfokú ítélet a NAIH/2019/2485 sz. ügyben (Fővárosi Törvényszék 105.K.700.539/2019/16)","title_generated":false,"country":"Венгрия","organ":"Орган по защите данных Венгрии (NAIH)","kind":"case","kind_name":"Судебная практика","lang":"hu","date":"","summary":"Суд отклонил иск Медицинского центра ВС Венгрии к Национальному органу по защите данных, оставив в силе штраф в размере 2,5 млн форинтов за нарушение GDPR. Орган установил, что центр несвоевременно сообщил об утечке заявки на госпитализацию депутата и не вёл внутренний реестр инцидентов, как того требуют ст. 33(1) и 33(5) GDPR, а также нарушил требования безопасности по ст. 32(1) и общие принципы по ст. 24(1)-(2) GDPR. Суд признал размер штрафа обоснованным с учётом тяжести нарушений и статуса учреждения.","snippet":"","topics":["Персональные данные"],"status":"ok","error":"","text_len":24893,"versions":2,"url":"https://naih.hu/hatarozatok-vegzesek/birosagi-jogorvoslatok?download=127:elsofoku-itelet-a-naih-2019-2485-sz-ugyben-fovarosi-torvenyszek-105-k-700-539-2019-16","first_seen":"2026-09-07","last_checked":"2026-09-17 02:25","relevance":"hit","score":125,"query":"","source_key":"naih_hu","verdict":{"relevance":"hit","score":125,"topics":["Персональные данные"],"need_body":3,"authorities":[{"kind":"орган","name":"Nemzeti Adatvédelmi és Információszabadság Hatóság","topic":"Персональные данные"},{"kind":"орган","name":"NAIH","topic":"Персональные данные"},{"kind":"акт","name":"GDPR","topic":"Персональные данные"},{"kind":"акт","name":"2016/679","topic":"Персональные данные"},{"kind":"акт","name":"információs önrendelkezési jogról","topic":"Персональные данные"}],"evidence":[{"topic":"Персональные данные","term":"защит данных","weak":false,"pos":163,"ctx":"00.539/2019/16) суд отклонил иск медицинского центра вс венгрии к национальному органу по защите данных, оставив в силе штраф в размере 2,5 млн форинтов за нарушение gdpr. орган установил, что","zone":"название","weight":3},{"topic":"Персональные данные","term":"gdpr","weak":false,"pos":239,"ctx":"ому органу по защите данных, оставив в силе штраф в размере 2,5 млн форинтов за нарушение gdpr. орган установил, что центр несвоевременно сообщил об утечке заявки на госпитализацию деп","zone":"название","weight":3},{"topic":"Персональные данные","term":"gdpr","weak":false,"pos":413,"ctx":"изацию депутата и не вёл внутренний реестр инцидентов, как того требуют ст. 33(1) и 33(5) gdpr, а также нарушил требования безопасности по ст. 32(1) и общие принципы по ст. 24(1)-(2) g","zone":"название","weight":3},{"topic":"Персональные данные","term":"gdpr","weak":false,"pos":506,"ctx":"r, а также нарушил требования безопасности по ст. 32(1) и общие принципы по ст. 24(1)-(2) gdpr. суд признал размер штрафа обоснованным с учётом тяжести нарушений и статуса учреждения.","zone":"название","weight":3},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":282,"ctx":"id tibor kamarai jogtanácsos (1055 budapest, balaton utca 7-11.)  ## az alperes:  nemzeti adatvédelmi és információszabadság hatóság (1125 budapest, szilágyi erzsébet fasor 22/c.)  ## az alpe","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":531,"ctx":"036 budapest, lajos utca 66., ügyintéző: dr. dudás gábor jános ügyvéd)  ## a per tárgya:  adatvédelmi ügyben hozott naih/2019/2485/20. számú határozat, mint közigazgatási cselekmény jogszerűs","zone":"текст","weight":1},{"topic":"Персональные данные","term":"személyes adat","weak":false,"pos":1407,"ctx":"panaszos által beadott igénylőlap szkennelt változatát is, amelyen a nevén kívül az egyéb személyes adatai kitakarásra kerültek.  ## a megelőző közigazgatási eljárás és a keresettel támadott dönté","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":1621,"ctx":"panaszbeadvánnyal fordult az alpereshez, amelyre tekintettel az alperes 2019. május 24-én adatvédelmi hatósági eljárást indított. [3] az alperes a 2019. október 24-én kelt, naih/2019/2485/20.","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":1851,"ctx":"gy a felperes a panaszos kórházi igénylőlapjának nyilvánosságra kerülésével bekövetkezett adatvédelmi incidenssel összefüggésben nem tett eleget a természetes személyeknek a személyes adatok","zone":"текст","weight":1},{"topic":"Персональные данные","term":"személyes adat","weak":false,"pos":1935,"ctx":"ezett adatvédelmi incidenssel összefüggésben nem tett eleget a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint","zone":"текст","weight":1},{"topic":"Персональные данные","term":"Nemzeti Adatvédelmi és Információszabadság Hatóság","weak":false,"pos":874,"ctx":"Dr. Haid Tibor kamarai jogtanácsos (1055 Budapest, Balaton utca 7-11.)  ## Az alperes:  Nemzeti Adatvédelmi és Információszabadság Hatóság (1125 Budapest, Szilágyi Erzsébet fasor 22/C.)  ## Az alperes képviselője:  Dudás Hargita","zone":"орган","weight":3},{"topic":"Персональные данные","term":"NAIH","weak":false,"pos":18,"ctx":"Elsőfokú ítélet a NAIH/2019/2485 sz. ügyben (Fővárosi Törvényszék 105.K.700.539/2019/16) Суд отклонил иск Медици","zone":"орган","weight":0},{"topic":"Персональные данные","term":"GDPR","weak":false,"pos":239,"ctx":"ому органу по защите данных, оставив в силе штраф в размере 2,5 млн форинтов за нарушение GDPR. Орган установил, что центр несвоевременно сообщил об утечке заявки на госпитализацию деп","zone":"акт","weight":0},{"topic":"Персональные данные","term":"2016/679","weak":false,"pos":2695,"ctx":"adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) 33. cikk (1) bek","zone":"акт","weight":0},{"topic":"Персональные данные","term":"információs önrendelkezési jogról","weak":false,"pos":3468,"ctx":"i rendelet 32. cikk (1) bekezdése, továbbá 24. cikk (1) és (2) bekezdéseiben, valamint az információs önrendelkezési jogról és információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Info tv.) 25/A.","zone":"акт","weight":0}],"dropped":[{"topic":"Цифровое здравоохранение","term":"egészségügyi adat","weak":false,"pos":2506,"ctx":"ségének. megállapította továbbá, hogy a felperes azzal, hogy fő tevékenységként nagyszámú egészségügyi adat kezelőjeként, továbbá honvédelmi célú adatkezelést is végző, adatvédelmi tisztviselő kije","why":"одиночное упоминание (нужно 3)"},{"topic":"Цифровое здравоохранение","term":"egészségügyi adat","weak":false,"pos":7526,"ctx":"egyetlen személy személyes adatait érintette, amelyek között nem szerepeltek különleges, egészségügyi adatok. azt is figyelembe vette, hogy a felperes végül utólag bejelentette az adatvédelmi incide","why":"одиночное упоминание (нужно 3)"}]},"last_changed":"2026-09-17","meta":{"fileId":"127","slug":"elsofoku-itelet-a-naih-2019-2485-sz-ugyben-fovarosi-torvenyszek-105-k-700-539-2019-16"},"source_url":"https://naih.hu/hatarozatok-vegzesek/birosagi-jogorvoslatok?download=127:elsofoku-itelet-a-naih-2019-2485-sz-ugyben-fovarosi-torvenyszek-105-k-700-539-2019-16","text":"Fővárosi Törvényszék mint elsőfokú bíróság\n\n## Az ügy száma:\n\n## A felperes:\n\nMagyar Honvédség Egészségügyi Központ (1134 Budapest, Róbert Károly körút 44.)\n\n## A felperes képviselője:\n\nDr. Haid Tibor kamarai jogtanácsos (1055 Budapest, Balaton utca 7-11.)\n\n## Az alperes:\n\nNemzeti Adatvédelmi és Információszabadság Hatóság (1125 Budapest, Szilágyi Erzsébet fasor 22/C.)\n\n## Az alperes képviselője:\n\nDudás Hargita Zavodnyik Ügyvédi Iroda (1036 Budapest, Lajos utca 66., ügyintéző: dr. Dudás Gábor János ügyvéd)\n\n## A per tárgya:\n\nadatvédelmi ügyben hozott NAIH/2019/2485/20. számú határozat, mint közigazgatási cselekmény jogszerűségének vizsgálata\n\nÍ t é l e t:\n\nA Fővárosi Törvényszék a felperes keresetét elutasítja.\n\nKötelezi a felperest, hogy 15 napon belül fizessen meg az alperesnek 180.000 (Száznyolcvanezer) forint perköltséget.\n\nA kereseti illetéket az állam viseli.\n\nAz ítélet ellen fellebbezésnek nincs helye.\n\nI n d o k o l á s\n\n## Az ítélet alapjául szolgáló tényállás\n\n[1] A perben nem álló D. M. országgyűlési képviselő (a továbbiakban: panaszos) panasszal fordult az alpereshez, mert a www.origo.hu internetes portálon 2019. február 12-én és 13-án megjelent két cikk, amelyekben nyilvánosságra hozták, hogy a panaszos korábban ún. VIP belépőt igényelt az MH Egészségügyi Központba. Megjelentették a panaszos által beadott igénylőlap szkennelt változatát is, amelyen a nevén kívül az egyéb személyes adatai kitakarásra kerültek.\n\n## A megelőző közigazgatási eljárás és a keresettel támadott döntés\n\n[2] A panaszos panaszbeadvánnyal fordult az alpereshez, amelyre tekintettel az alperes 2019. május 24-én adatvédelmi hatósági eljárást indított. [3] Az alperes a 2019. október 24-én kelt, NAIH/2019/2485/20. számú határozatában megállapította, hogy a felperes a panaszos kórházi igénylőlapjának nyilvánosságra kerülésével bekövetkezett adatvédelmi incidenssel összefüggésben nem tett eleget a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR vagy általános adatvédelmi rendelet) 33. cikk (1) bekezdése szerinti, indokolatlan késedelem nélküli, a tudomásszerzéstől számított 72 órán belüli incidensbejelentési kötelezettségének, továbbá nem tett eleget ezen cikk (5) bekezdése szerinti nyilvántartásba vételi kötelezettségének. Megállapította továbbá, hogy a felperes azzal, hogy fő tevékenységként nagyszámú egészségügyi adat kezelőjeként, továbbá honvédelmi célú adatkezelést is végző, adatvédelmi tisztviselő kijelölésére is kötelezett szervként nem rendelkezett az adatvédelmi incidens bekövetkezésekor belső incidens-kezelési szabályzattal, megsértette az általános adatvédelmi rendelet 32. cikk (1) bekezdése, továbbá 24. cikk (1) és (2) bekezdéseiben, valamint az információs önrendelkezési jogról és információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Info tv.) 25/A. § (1) és (3) bekezdéseiben foglaltakat, így nem alkalmazott az adatkezelés biztonsága körében megfelelő szervezési intézkedéseket. A jogsértés miatt a felperest 2.500.000 forint adatvédelmi bírság megfizetésére kötelezte. Elrendelte a végleges határozatnak az adatkezelő azonosító adatainak közzétételével történő nyilvánosságra hozatalát. [4] Indokolásában megállapította, hogy a felperes 2019. február 13-án már tudomást szerzett arról, hogy az igénylőlap megjelenése a sajtóban valószínűleg egy nála bekövetkezett biztonsági eseményre vezethető vissza. Ennek feltárása és megállapítása érdekében a felettes szerv már másnap elrendelte a felperes adatvédelmi ellenőrzését, ezen belül pedig az igénylőlapok kezelésével kapcsolatos adatbiztonsági intézkedések ellenőrzését, amely szintén megerősíti, hogy a felperesnél incidens történhetett. Az alperes megítélése szerint ezért a felperesnek már ebben az időszakban incidensként kellett volna kezelnie az ügyet, így mérlegelnie kellett volna az eset érintett magánszférájára jelentett kockázatait, és azt az általános adatvédelmi rendelet 33. cikk (5) bekezdése alapján rögzítenie kellett volna belső incidens-nyilvántartásában. [5] Az alperes kockázatcsökkentő tényezőként értékelte az incidens megítélése kapcsán azt, hogy az igénylőlapon található kiszivárgott személyes adatok nem minősülnek az általános adatvédelmi rendelet 9. cikk (1) bekezdése szerinti különleges adatnak, mivel abból se a panaszos, se más személy egészségügyi állapotára vonatkozóan nem lehet következtetést levonni, valamint a kikerült adatok közül a sajtó által nyilvánosságra hozott dokumentumon a legtöbb adat – a panaszos nevén kívül – anonimizálásra került, ezért a személyazonossággal visszaélés esélye a sajtóban nyilvánosságra hozott adatok alapján viszonylag kicsi. Az incidens alacsonyabb kockázati besorolása abban a vonatkozásában elfogadható, hogy csupán egyetlen érintett, nagyrészt nyilvánosan elérhető személyes adatait érintette. Az incidensben azonban érintett volt nem nyilvánosan elérhető személyes adat is (TAJ szám), továbbá az igénylőlap sajtó általi megjelentetése a panaszos magánszférához való jogát hátrányosan érinti, mivel a kórházi szolgáltatás igénylése kapcsán nem közszereplői minőségében járt el. Rámutatott arra, hogy az incidens kockázatos voltát utólag a felperes is elismerte azzal, hogy a hatósági eljárás megindítása után 2019. június 3-án e-mailben bejelentette az alpereshez. Megállapította, hogy az adatvédelmi incidens bejelentésére így nem került sor az általános adatvédelmi rendelet 33. cikk (1) bekezdése által meghatározott határidőben, azaz az adatvédelmi incidensről való tudomásszerzést követő 72 órán belül. [6] Rögzítette, hogy a felperes az incidensről való tudomásszerzés időpontjában nem rendelkezett az adatvédelmi incidensek kezelésére vonatkozó belső eljárásrenddel, az csak utólag, a hatósági ellenőrzés megindítása után, 2019. májusában került kialakításra. Megítélése szerint – tekintettel arra, hogy a felperes az ország egyik legnagyobb egészségügyi intézményeként, fő tevékenysége keretein belül nagy számban kezel a GDPR 9. cikke szerinti különleges (egészségügyi) adatokat – kifejezetten elvárható lett volna, hogy már az általános adatvédelmi rendelet alkalmazandóságától, így már 2018. május 25-től rendelkezzen az adatvédelmi incidensek kezelésére vonatkozó szabályzattal. Azt is megállapította, hogy a felperes honvédelmi célú adatkezelést is folytató szervként az Info tv. 25/A. § (1) és (3) bekezdéseiben foglalt előírásoknak sem tett eleget. [7] A bírságkiszabás körében a figyelmeztetést nem tartotta sem arányos, sem visszatartó erejű szankciónak figyelemmel arra, hogy a felperes egyáltalán nem rendelkezett az eset megtörténtekor belső incidenskezelési szabályzattal, és ezt rendszerszintű problémának tekintette. Rámutatott arra, hogy a szabályzat hiánya akár más, ebben az időszakban bekövetkezett incidensek hatékony kezelését is hátráltathatta. Figyelembe vette azt is, hogy a felperes az ország egyik legnagyobb egészségügyi intézménye, ezért tőle elvárható, hogy adatkezelési folyamatait megfelelően megszervezze. Tekintettel volt arra, hogy a jelen ügyben vizsgált incidenst követően bekövetkezett másik incidens nem megfelelő kezelése miatt a NAIH/2019/5743/6. számú, 2019. október 11-i határozatával szintén elmarasztalta a felperest. [8] Enyhítő körülményként vette figyelembe, hogy a feltárt tényállás alapján az incidens csupán egyetlen személy személyes adatait érintette, amelyek között nem szerepeltek különleges, egészségügyi adatok. Azt is figyelembe vette, hogy a felperes végül utólag bejelentette az adatvédelmi incidenst, rögzítette azt a 33. cikk (5) bekezdése szerinti nyilvántartásban, és a felettes szerv által előírt intézkedései is elfogadhatóak a kockázatok csökkentése érdekében, valamint végül a belső incidenskezelési szabályzatát is kialakította.\n\n## A keresetlevél és a védirat\n\n[9] A felperes – a 15. sorszámú beadványában kiegészített – keresetében elsődlegesen az alperesi határozat megváltoztatásával a bírság megfizetésére és a határozat nyilvánosságra hozatalára történő kötelezés mellőzése mellett annak a megállapítását kérte, hogy nem követett el adatvédelmi jogsértést; másodlagosan az alperesi határozat megsemmisítését; harmadlagosan az alperesi határozat hatályon kívül helyezését; negyedlegesen az alperesi határozat megváltoztatásával a bírság lehető legalacsonyabb összegre (azaz 100.000 forintra) történő csökkentését, vagy az alperesnek a megfelelő iránymutatás nyújtásával a bírság alacsonyabb összegének kiszámítására kötelezését kérte. Perköltséget igényelt, költségjegyzéket csatolt. [10] Álláspontja szerint a perbeli incidens tárgyát képező adatkezelés honvédelmi célú adatkezelésnek minősül, így arra a honvédségi adatkezelésről, az egyes honvédelmi kötelezettségek teljesítésével kapcsolatos katonai igazgatási feladatokról szóló 2013. évi XCVII. törvény (a továbbiakban: Haktv.), valamint az Info tv. rendelkezései az alkalmazandók függetlenül attól, hogy az érintett a Honvédség személyi állományába tartozik-e vagy nem. [11] A határozat GDPR-ra történő hivatkozásait nem tartotta helytállónak, mivel az eljárás során kétséget kizáróan nem nyert bizonyítást, hogy az adatvédelmi incidens bekövetkezése az ő érdekkörében történt meg, ezáltal az incidens be nem jelentése véleménye szerint nem róható fel neki. Az alperesi határozat az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 62. §-ába ütközik, mivel az alperes nem tisztázta kellő mértékben a tényállást. Az alperes vizsgálata nem tárt fel olyan jogellenes, az alapügyhöz kapcsolódó konkrét adatbiztonságot sértő magatartást a felperesnél, amely alapjául szolgált volna az adatvédelmi incidens megtörténtének megállapításához. Hangsúlyozta, hogy az utólagos bejelentése nem jelenti sem az adatvédelmi jogsértés megtörténtének, sem az azért való felelősségének az elismerését. [12] Vitatta, hogy ne tett volna eleget az Info tv. 25/A. § (1) bekezdésében foglalt előírásnak, mivel az adatkezelés által fenyegető kockázatokhoz igazodó műszaki és szervezési intézkedéseket tett. Előadta, hogy rendelkezett belső adatvédelmi és adatbiztonsági szabályzattal, az elvárt eljárást lefolytatta, azonosította a kockázatokat, és az incidenst alacsony kockázatúnak minősítette. Álláspontja szerint sem az Info tv., sem a GDPR nem ír elő olyan kötelezettséget az adatkezelő részére, hogy incidens-kezelési szabályzattal kellene rendelkeznie. [13] Véleménye szerint mivel a jogsértés nem volt bizonyított, így bírság kiszabásának sem lett volna helye. A kiszabott bírság összegét eltúlzottnak tartotta tekintettel arra, hogy a jogsértéssel érintettek köre kicsi, a jogsértés nem volt neki felróható, a határozat szerinti incidensnél később bekövetkezett incidensre hivatkozással állapította meg a bírság összegét, valamint csak a gondatlansága kerülhet szóba. [14] Az alperes védiratában a kereset elutasítását kérte. Perköltséget igényelt, költségjegyzéket csatolt. [15] Álláspontja szerint kellő mértékben feltárta a tényállást, okszerűen mérlegelte a rendelkezésre álló bizonyítékokat. Kifejtette, hogy a GDPR 24. cikk (1) és (2) bekezdései, valamint az Info tv. 25/A. § (3) bekezdése egyértelmű kötelezést tartalmaz a belső szabályzatok megalkotására.\n\n## A törvényszék döntése és annak jogi indokai\n\n[16] A felperes keresete nem alapos. [17] A Fővárosi Törvényszék a közigazgatási jogvitát a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) 4. § (1)-(2) bekezdései, a (3) bekezdés a) pontja és az 5. § (1) bekezdése alapján, közigazgatási peres eljárásban, nyilvános tárgyaláson bírálta el. [18] A Kp. 2. § (4) bekezdése, a 85. § (1) bekezdése és a Kp. 84. § (2) bekezdése folytán alkalmazandó Pp. 342. § (1) bekezdésére figyelemmel a bíróság a közigazgatási tevékenység jogszerűségét a kereseti kérelem, a védirat, a felek által előterjesztett kérelmek és jognyilatkozatok keretei között, a Kp. 85. § (2) bekezdése alapján a közigazgatási tevékenység megvalósításának időpontjában fennálló tények alapján vizsgálta. A törvényszék a tényállást a perbeli ügyben a Kp. 78. § (1) bekezdése folytán alkalmazandó Pp. 279. §-ára és a Kp. 78. § (2) bekezdésére figyelemmel a rendelkezésre álló közigazgatási iratok, valamint a felek nyilatkozatai és ezek egybevetése alapján állapította meg, a bizonyítékokat egyenként és összességükben, a megelőző eljárásban megállapított tényállással összevetve értékelte. [19] A törvényszék mindenekelőtt azt vizsgálta, hogy a perbeli adatkezelésre alkalmazandók-e a GDPR rendelkezései. [20] Az Európai Unió Működéséről Szóló Szerződés (a továbbiakban: EUMSZ) 288. cikke értelmében az Unió hatásköreinek gyakorlása érdekében az intézmények rendeleteket, irányelveket, határozatokat, ajánlásokat és véleményeket fogadnak el. A rendelet általános hatállyal bír. Teljes egészében kötelező és közvetlenül alkalmazandó valamennyi tagállamban, anélkül, hogy át kellene ültetni a nemzeti jogba. [21] A fentiek alapján a GDPR, mint rendelet közvetlenül alkalmazandó az Európai Unió valamennyi tagállamában, így Magyarországon is 2018. május 25-től.\n\n[22] Az Európai Unió Bírósága a C-6/64 Costa v. E.N.E.L. ügyben alakította ki a közösségi jog elsőbbségének az elvét, mely szerint az Európai Unió intézményei által alkotott jog beépül a tagállamok jogrendszerébe, amelyek kötelesek azt tiszteletben tartani, és az uniós jog a tagállamok nemzeti joga felett áll, elsőbbséget élvez azok felett. [23] A GDPR 2. cikk (1) bekezdése szerint e rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. [24] Figyelemmel az uniós jog elsőbbségének az elvére, valamint a GDPR fenti tárgyi hatályára, a perbeli esetben a felperes adatkezelésére kötelező jelleggel alkalmazandó jogszabály a GDPR. Így függetlenül attól, hogy a felperes adatkezelésére kiterjed a Haktv., valamint az Info tv. hatálya, az alperesnek elsődlegesen a GDPR szabályait kellett alkalmaznia az eljárása során. [25] A GDPR 4. cikk 12. pontja szerint „adatvédelmi incidens”: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi. [26] Tekintettel arra, hogy a felek között nem volt vitatott, hogy a panaszos igénylőlapja kikerült a nyilvánosságra, önmagában azzal, hogy az igénylőlap eljutott a sajtóhoz, megvalósult az adatvédelmi incidens a GDPR fenti rendelkezése értelmében. Mivel a jogszabály a felperesre telepíti az adat őrzésének a kötelezettségét, ha az adat kikerül, akkor nincs relevanciája annak, hogy az adat hogyan kerülhetett a sajtóhoz, az alperesnek így nem kellett bizonyítania, hogy ki volt az elkövető és milyen módon került ki az adat a felperestől. A tényállás kellően tisztázott volt, így az alperes nem sértette meg az Ákr. 62. §-át. Mivel a felperes felelőssége objektív jellegű, így önmagában az, hogy az adat eljutott a sajtóhoz, és nem ismerte fel az adatvédelmi incidenst, megalapozza a felperes felelősségét az adatvédelmi incidensért. [27] A GDPR 33. cikk (5) bekezdése szerint az adatkezelő nyilvántartja az adatvédelmi incidenseket, feltüntetve az adatvédelmi incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket. E nyilvántartás lehetővé teszi, hogy a felügyeleti hatóság ellenőrizze az e cikk követelményeinek való megfelelést. [28] Mivel a felperes nem ismerte fel az adatvédelmi incidenst, így – általa is elismerten – nem készített róla nyilvántartást. Erre figyelemmel az alperes helytállóan állapította meg, hogy a felperes megsértette a GDPR 33. cikk (5) bekezdését. [29] A GDPR 33. cikk (1) bekezdése alapján az adatvédelmi incidenst az adatkezelő indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, bejelenti az 55. cikk alapján illetékes felügyeleti hatóságnak, kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés nem történik meg 72 órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló indokokat is. [30] A periratok alapján megállapítható, hogy a felperes – nyilatkozata szerint – 2019. február 13án tudomást szerzett arról, hogy az igénylőlap megjelent a sajtóban, így onnantól számított 72 órán belül kellett volna bejelentenie az adatvédelmi incidenst az alperes felé, erre azonban nem került sor és a késedelem indokát sem igazolta. Az alperes helyesen mutatott rá, hogy a bejelentési kötelezettség alóli kivétel szűken értelmezendő, és az egészségügyi szolgáltatás igénylése tényének kiszivárgása, valamint az igénylőlap sajtó általi megjelentetése önmagában kockázattal jár a panaszos magánszférájára nézve, így a bejelentés alóli kivétel nem volt alkalmazható. Mindezek alapján az alperes jogszerűen állapította meg, hogy a felperes nem tett eleget az incidensbejelentési kötelezettségének. [31] Az Info tv. 25/A. § (1) bekezdése szerint az adatkezelő az adatkezelés jogszerűségének biztosítása érdekében az adatkezelés összes körülményéhez, így különösen céljához, valamint az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető kockázatokhoz igazodó műszaki és szervezési intézkedéseket tesz. Ugyanezen jogszabályhely (3) bekezdése kimondja, hogy ha az adatkezelő adatvédelmi tisztviselő kijelölésére köteles, az (1) bekezdésben meghatározott intézkedések részeként az adatkezelő belső adatvédelmi és adatbiztonsági szabályzatot alkot meg és alkalmaz. Az Info tv. 25/L. § (1) bekezdés a) pontja alapján a felperes adatvédelmi tisztviselő kijelölésére köteles, és erre sor is került. [32] A GDPR 24. cikk (1) bekezdése szerint az adatkezelő az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése e rendelettel összhangban történik. Ugyanezen jogszabályhely (2) bekezdése szerint, ha az az adatkezelési tevékenység vonatkozásában arányos, az (1) bekezdésben említett intézkedések részeként az adatkezelő megfelelő belső adatvédelmi szabályokat is alkalmaz. A GDPR 32. cikk (1) bekezdése is kimondja, hogy az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja. [33] A fenti rendelkezések fényében és figyelemmel arra, hogy a felperes egészségügyi intézményként nagy számban kezel a GDPR 9. cikke szerinti különleges adatokat, mindenképpen arányosnak tekinthető a felperes adatkezelési tevékenységéhez képest a belső adatvédelmi szabályzat megkövetelése. Az adatbiztonság biztosítása érdekében, még ha nem is külön szabályzatként, de legalább az adatvédelmi szabályzat részeként mindenképpen le kell szabályozni a belső incidens-kezelési folyamatokat. Ennek segítségével az adatkezelő észlelni és kezelni tudja az incidenseket, előre meghatározott szempontrendszer szerint értékelni tudja, hogy milyen kockázattal jár az incidens a természetes személyek jogaira és szabadságaira nézve, és ezek alapján meg tudja határozni, hogy az incidens-kezeléshez milyen szükséges lépéseket kell megtennie, és azokért ki a felelős. [34] A felperes által sem vitatottan a perbeli incidens megtörténtekor nem rendelkezett incidenskezelési szabályzattal. Ezáltal – ahogy azt az alperes helyesen állapította meg – egyrészt a GDPR fenti rendelkezéseit, másrészt honvédelmi célú adatkezelést folytató adatkezelőként az Info tv. 25/A. § (1) és (3) bekezdéseit is megsértette. [35] A felperes jogsértésére figyelemmel a perbeli esetben az Info tv. 61. § (1) bekezdés a) pontja folytán alkalmazandó GDPR 58. cikk (2) bekezdésében írt jogkövetkezmények alkalmazására a jogszabályi rendelkezésekkel összhangban került sor. Mind a GDPR 58. § (2) bekezdés i) pontjából, közelebbről pedig a GDPR 83. cikk (2) bekezdéséből egyértelműen az következik, hogy a tagállami felügyeleti hatóságok mérlegelésétől kell függenie mind a bírság kiszabásának, mind pedig annak, hogy a kiszabott bírság milyen mértékű, és hogy a tagállami felügyeleti hatóságok, így az alperes mérlegelését e körben csak a GDPR 83. cikk szerinti rendelkezések korlátozzák. A hatóság a körülmények mérlegelése alapján jogszerűen dönthet úgy, hogy az első alkalommal elkövetett jogsértés esetén sem figyelmeztetést, hanem bírság szankciót alkalmaz. Az adott ügyben az alperes a határozatában megfelelően megindokolta, hogy miért tartotta szükségesnek a felperessel szemben figyelmeztetés helyett bírság kiszabását, a törvényszék álláspontja szerint az alperes a figyelembe vett szempontok alapján okszerűen jutott arra a következtetésre, hogy a bírságkiszabás feltételei fennálltak. [36] Annak eldöntésében, hogy egy adott ügyben szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság konkrét összegének megállapítására vonatkozóan a GDPR széleskörű mérlegelési jogkört biztosít az alperesnek. E mérlegelési jogkör gyakorlásához iránymutatást ad a GDPR (148) és (150) preambulumbekezdése, valamint a GDPR 83. cikk (2) bekezdése, amely példálózó jelleggel felsorolja a hatóság által figyelembe veendő szempontokat, súlyosbító és enyhítő tényezőket. A mérlegelési jogkörben hozott határozatrész jogszerűségét pedig a közigazgatási bíróságnak a Kp. 85. § (5) bekezdésében foglaltak mentén kell vizsgálnia, vagyis, hogy a közigazgatási szerv hatáskörét a mérlegelésre való felhatalmazásának keretei között gyakorolta-e, a mérlegelés szempontjai és azok okszerűsége a határozatból megállapíthatóak-e. [37] A törvényszék álláspontja szerint az alperes az adott ügyben releváns körülményeket megfelelően értékelte, mérlegelte, s erről a határozatában a megfelelő jogszabályi hivatkozásokkal számot is adott, a határozat indokolásából a mérlegelés szempontjai megállapíthatók és abból a mérlegelés okszerűsége is kitűnik. Kirívó okszerűtlenséget a törvényszék nem tudott azonosítani és ilyet a felperes sem jelölt meg. Azt, hogy egyetlen személyt érintett az incidens, az alperes a határozat tanúsága szerint a bírságkiszabás körében figyelembe vette. Mivel a fentebb kifejtettek miatt a felperesnek a jogsértésért való felelőssége objektív jellegű, így sem a felróhatóságnak, sem a gondatlanságnak, illetve azok hiányának nem volt relevanciája a bírságkiszabás körében. Az alperes helyesen vette figyelembe a bírságkiszabás körében a felperesnél előfordult másik incidenst, mivel nem az számít, hogy a másik jogsértés mikor következett be, hanem a jogsértés ismétlődésének a ténye, amely fokozott adatbiztonsági kockázatot rejt magában. Összességében, a törvényszék álláspontja szerint a felperessel szemben kiszabott bírság közepesen súlyos összeg, semmiképpen sem minősíthető eltúlzottnak, figyelemmel arra, hogy a GDPR 83. cikk (4) bekezdés a) pontja a tárgybeli jogsértésre akár 10.000.000 euró, illetve az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 2%-át kitevő – s a kettő közül a magasabb összegű bírság kiszabását teszi lehetővé, amelyet az Info tv. 61. § (4) bekezdés b) pontja költségvetési szerv esetében százezertől 20 millió forintig terjedő összegben maximalizál. [38] A fentiek alapján a törvényszék megállapította, hogy az alperes jogszerű döntést hozott, mely okból a törvényszék a felperes keresetét a Kp. 88. § (1) bekezdés a) pontja alapján, mint alaptalant, elutasította.\n\n## Záró rész\n\n[39] A törvényszék a felperest a Kp. 35. § (1) bekezdése folytán alkalmazandó Pp. 83. § (1) bekezdése alapján kötelezte az alperes – a Pp. 81. § (5) bekezdése szerint előterjesztett költségjegyzékének megfelelően felszámított – perköltsége megfizetésére. [40] Az illetékekről szóló 1990. évi XCIII. törvény (a továbbiakban: Itv.) 45/A. § (1) bekezdése szerinti kereseti illeték a felperesnek az Itv. 5. § (1) bekezdés c) pontja alapján fennálló személyes illetékmentessége folytán a Pp. 102. § (6) bekezdése alapján az állam terhén marad. [41] Az ítélet elleni fellebbezés lehetőségét a Kp. 99. § (1) bekezdése zárja ki.\n\nBudapest, 2020. június 17.\n\ndr. Tóth László s.k. dr. Robotka Imre s.k. dr. Nagy Péter s.k. a tanács elnöke, előadó bíró bíró","changes":[{"id":882,"doc_id":10633,"v_from":11310,"v_to":14707,"detected_at":"2026-09-17 02:25:33","added":1,"removed":1,"summary":"--- \n+++ \n-[22] Az Európai Unió Bírósága a C-6/64 Costa v. E.N.E.L. ügyben alakította ki a közösségi jog elsőbbségének az elvét, mely szerint az Európai Unió intézményei által alkotott jog beépül a tagállamok jogrendszerébe, amelyek kötelesek azt tiszteletben tartani, és az uniós jog a tagállamok nemzeti joga felett áll, elsőbbséget élvez azok felett. [23] A GDPR 2. cikk (1) bekezdése szerint e rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. [24] Figyelemmel az uniós jog elsőbbségének az elvére, valamint a GDPR fenti tárgyi hatályára, a perbeli esetben a felperes adatkezelésére kötelező jelleggel alkalmazandó jogszabály a GDPR. Így függetlenül attól, hogy a felperes adatkezelésére kiterjed a Haktv., valamint az Info tv. hatálya, az alperesnek elsődlegesen a GDPR szabályait kellett alkalmaznia az eljárása során. [25] A GDPR 4. cikk 12. pontja szerint „adatvédelmi incidens”: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi. [26] Tekintettel arra, hogy a felek között nem volt vitatott, hogy a panaszos igénylőlapja kikerült a nyilvánosságra, önmagában azzal, hogy az igénylőlap eljutott a sajtóhoz, megvalósult az adatvédelmi incidens a GDPR fenti rendelkezése értelmében. Mivel a jogszabály a felperesre telepíti az adat őrzésének a kötelezettségét, ha az adat kikerül, akkor nincs relevanciája annak, hogy az adat hogyan kerülhetett a sajtóhoz, az alperesnek így nem kellett bizonyítania, hogy ki volt az elkövető és milyen módon került ki az adat a felperestől. A tényállás kellően tisztázott volt, így az alperes nem sértette meg az Ákr. 62. §-át. Mivel a felperes felelőssége objektív jellegű, így önmagában az, hogy az adat eljutott a sajtóhoz, és nem ismerte fel az adatvédelmi incidenst, megalapozza a felperes felelősségét az adatvédelmi incidensért. [27] A GDPR 33. cikk (5) bekezdése szerint az adatkezelő nyilvántartja az adatvédelmi incidenseket, feltüntetve az adatvédelmi incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket. E nyilvántartás lehetővé teszi, hogy a felügyeleti hatóság ellenőrizze az e cikk követelményeinek való megfelelést. [28] Mivel a felperes nem ismerte fel az adatvédelmi incidenst, így – általa is elismerten – nem készített róla nyilvántartást. Erre figyelemmel az alperes helytállóan állapította meg, hogy a felperes megsértette a GDPR 33. cikk (5) bekezdését. [29] A GDPR 33. cikk (1) bekezdése alapján az adatvédelmi incidenst az adatkezelő indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, bejelenti az 55. cikk alapján illetékes felügyeleti hatóságnak, kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés nem történik meg 72 órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló indokokat is. [30] A periratok alapján megállapítható, hogy a felperes – nyilatkozata szerint – 2019. február 13án tudomást szerzett arról, hogy az igénylőlap megjelent a sajtóban, így onnantól számított 72 órán belül kellett volna bejelentenie az adatvédelmi incidenst az alperes felé, erre azonban nem került sor és a késedelem indokát sem igazolta. Az alperes helyesen mutatott rá, hogy a bejelentési kötelezettség alóli kivétel szűken értelmezendő, és az egészségügyi szolgáltatás igénylése tényének kiszivárgása, valamint az igénylőlap sajtó általi megjelentetése önmagában kockázattal jár a panaszos magánszférájára nézve, így a bejelentés alóli kivétel nem volt alkalmazható"}]}